(57)【特許請求の範囲】
【請求項１】
第１の通信デバイスと第２の通信デバイスとの間の通信を確立する方法であって、前記第１の通信デバイスおよび前記第２の通信デバイスの各々は、それぞれ識別情報を有し、前記第１の通信デバイスは、それから導出されたプライベートキーとパブリックキーとを有し、
前記方法は、
ａ）前記第２の通信デバイスが、前記第１の通信デバイスの前記パブリックキーを獲得するステップと、
ｂ）前記第２の通信デバイスが、短命のパブリックキーと前記第２の通信デバイスの識別情報とを前記第１の通信デバイスに送信するステップと、
ｃ）前記第１の通信デバイスが、前記第１の通信デバイスのプライベートキーと前記短命のパブリックキーとを組み合わせ、それからシークレットキーの対を生成するステップと、
ｄ）前記第１の通信デバイスが、前記第１の通信デバイスの識別情報と前記第２の通信デバイスの識別情報とランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの第１のシークレットキーを用いて、第１のＭＡＣを計算するステップと、
ｅ）前記第１の通信デバイスが、前記第１の通信デバイスの識別情報と、前記ランダムチャレンジと、前記第１のＭＡＣとを前記第２の通信デバイスに送信し、これにより、登録を要求するステップと、
ｆ）前記第２の通信デバイスが、前記短命のプライベートキーと前記第１の通信デバイスのパブリックキーとを用いて、前記シークレットキーの対を生成するステップと、
ｇ）前記第２の通信デバイスが、前記第２の通信デバイスの識別情報と前記第１の通信デバイスの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、第２のＭＡＣを計算するステップと、
ｈ）前記第２の通信デバイスが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第１のＭＡＣを確認するステップと、
ｉ）前記第２の通信デバイスが、前記第２のＭＡＣを前記第１の通信デバイスに送信し、これにより、前記第１の通信デバイスを登録するステップと、
ｊ）前記第１の通信デバイスが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認するステップと、
ｋ）前記第１の通信デバイスおよび前記第２の通信デバイスの各々が、前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとから、セッションキーの対を計算するステップと、
ｌ）前記通信デバイスが、安全な通信において前記セッションキーのうちの少なくとも１つを用いるステップと
を含む、方法。
【請求項２】
前記第１の通信デバイスは、モバイルステーションであり、前記第２の通信デバイスは、ベースステーションである、請求項１に記載の方法。
【請求項３】
前記安全な通信は、前記モバイルステーションにより開始される電話の通話である、請求項２に記載の方法。
【請求項４】
前記安全な通信は、前記モバイルステーションにおいて終了する電話の通話である、請求項２に記載の方法。
【請求項５】
前記安全な通信は、前記ステーション間のデータ交換である、請求項２に記載の方法。
【請求項６】
前記データ交換は、インターネットブラウジングに用いられる、請求項５に記載の方法。
【請求項７】
前記データ交換は、金融取引に用いられる、請求項５に記載の方法。
【請求項８】
前記第２の通信デバイスは、前記第１の通信デバイスのサービスプロバイダから前記パブリックキーを獲得する、請求項１に記載の方法。
【請求項９】
前記パブリックキーは、ダイヤルアップ接続を用いて前記サービスプロバイダに伝送される、請求項８に記載の方法。
【請求項１０】
前記サービスプロバイダは、製造時の交換により前記パブリックキーを獲得する、請求項８に記載の方法。
【請求項１１】
前記交換は、製造者が前記パブリックキーを読み出すステップと、前記サービスプロバイダ（１６）へ前記パブリックキーを伝送するステップとを含む、請求項１０に記載の方法。
【請求項１２】
前記サービスプロバイダは、無線交換により前記パブリックキーを獲得する、請求項８に記載の方法。
【請求項１３】
前記無線交換は、前記第１の通信デバイスのユーザと前記サービスプロバイダとの間に確立されたパスワードを用いて安全なものとされる、請求項１２に記載の方法。
【請求項１４】
前記無線交換は、製造時に前記第１の通信デバイスに埋め込まれたパスワードを用いて安全なものとされる、請求項１３に記載の方法。
【請求項１５】
前記第２の通信デバイスは、前記第１の通信デバイスのサービスプロバイダである、請求項１に記載の方法。
【請求項１６】
前記ステップ（ｄ）および（ｇ）において計算される２つのＭＡＣが、互いに異なる値を組み込む、請求項１に記載の方法。
【請求項１７】
前記モバイルステーションのＭＡＣの計算の間に前記モバイルステーションのＭＡＣに組み込まれる値が２であり、前記ベースステーションのＭＡＣの計算の間に前記ベースステーションのＭＡＣに組み込まれる値が３である、請求項２に記載の方法。
【請求項１８】
前記プライベートキーと、前記パブリックキーと、前記ＭＡＣとが、楕円曲線暗号手法を用いて計算される、請求項１に記載の方法。
【請求項１９】
前記楕円曲線は、余因数ｔを有し、前記短命のパブリックキーがｂＰであり、前記モバイルステーションのプライベートキーがｍであり、前記シークレットキーの対が共有のシークレットキーｔｍｂＰから生成される、請求項２に記載の方法。
【請求項２０】
少なくとも１つのモバイルステーションを有する通信システムにおいて用いるベースステーション（１４）であって、前記ベースステーションおよび前記少なくとも１つのモバイルステーションの各々は、それぞれ識別情報を有し、前記少なくとも１つのモバイルステーションの各々は、プライベートキーと、前記プライベートキーから導出されたパブリックキーとを有し、
前記ベースステーションは、
（ａ）前記モバイルステーションの前記パブリックキーを獲得し、短命のプライベートキーから導出された短命のパブリックキーを計算し、前記モバイルステーションに前記短命のパブリックキーと前記ベースステーションの識別情報とを送信することと、
（ｂ）前記モバイルステーションから、前記モバイルステーションの識別情報と、ランダムチャレンジと、第１のＭＡＣとを含む登録要求を受信することであって、前記第１のＭＡＣは、前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、シークレットキーの対のうちの第１のシークレットキーを用いて計算され、前記シークレットキーの対は、前記モバイルステーションによって、前記モバイルステーションのプライベートキーと前記ベースステーションによって提供された前記短命のパブリックキーとを組合せることにより生成される、ことと、
（ｃ）前記短命のプライベートキーと前記モバイルステーションのパブリックキーとを用いて、前記シークレットキーの対を生成することと、
（ｄ）前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、第２のＭＡＣを計算することと、
（ｅ）前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第１のＭＡＣを確認することと、
（ｆ）前記第２のＭＡＣを前記モバイルステーションに送信し、これにより、前記モバイルステーションを登録し、かつ、前記モバイルステーションが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認することを可能にすることと、
（ｇ）前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとを用いて、セッションキーを計算することにより、前記モバイルステーションとの通信を安全にすることと
を行うことにより、前記少なくとも１つのモバイルステーションのそれぞれと通信を開始する、ベースステーション。
【請求項２１】
前記ベースステーションは、サービスプロバイダから前記パブリックキーを受信する、請求項２０に記載のベースステーション。
【請求項２２】
前記ベースステーションは、前記モバイルステーションのサービスプロバイダである、請求項２０に記載のベースステーション。
【請求項２３】
前記ベースステーションは、ダイヤルアップ接続を用いて前記パブリックキーを受信する、請求項２２に記載のベースステーション。
【請求項２４】
前記ベースステーションは、製造時の交換により前記パブリックキーを獲得する、請求項２２に記載のベースステーション。
【請求項２５】
前記交換は、製造者が、前記パブリックキーを読み出し、前記ベースステーションへ前記パブリックキーを伝送することを含む、請求項２４に記載のベースステーション。
【請求項２６】
前記ベースステーションは、無線交換により前記パブリックキーを獲得する、請求項２４に記載のベースステーション。
【請求項２７】
前記無線交換は、前記モバイルステーションのユーザと前記ベースステーションとの間に確立されたパスワードを用いて安全なものとされる、請求項２６に記載のベースステーション。
【請求項２８】
前記無線交換は、製造時に前記モバイルステーションに埋め込まれたパスワードを用いて安全なものとされる、請求項２６に記載のベースステーション。
【請求項２９】
前記パブリックキーと、前記プライベートキーと、前記短命のパブリックキーと、前記短命のプライベートキーとが、楕円曲線暗号手法を用いる、請求項２０に記載のベースステーション。
【請求項３０】
ベースステーションとモバイルステーションとの間の通信を確立する方法であって、
前記ベースステーションおよび前記モバイルステーションの各々は、それぞれ識別情報を有し、前記モバイルステーションは、プライベートキーと、前記プライベートキーから導出されたパブリックキーとを有し、
前記方法は、前記ベースステーションが、
（ａ）前記モバイルステーションの前記パブリックキーを獲得し、短命のプライベートキーから導出された短命のパブリックキーを計算し、前記短命のパブリックキーと前記ベースステーションの識別情報とを前記モバイルステーションに送信するステップと、
（ｂ）前記モバイルステーションから、前記モバイルステーションの識別情報と、ランダムチャレンジと、第１のＭＡＣとを含む登録要求を受信し、前記第１のＭＡＣは、前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの第１のシークレットキーを用いて計算され、前記シークレットキーの対は、前記モバイルステーションによって、前記モバイルステーションのプライベートキーと前記ベースステーションによって提供される前記短命のパブリックキーとを組合せることにより生成される、ステップと、
（ｃ）前記短命のプライベートキーと前記モバイルステーションのパブリックキーとを用いて、前記シークレットキーの対を生成するステップと、
（ｄ）前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、第２のＭＡＣを計算するステップと、
（ｅ）前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第１のＭＡＣを確認するステップと、
（ｆ）前記第２のＭＡＣを前記モバイルステーションに送信し、これにより、前記モバイルステーションを登録し、かつ、前記モバイルステーションが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認することを可能にするステップと、
（ｇ）前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとを用いて、セッションキーを計算するステップと、
（ｈ）前記セッションキーを用いて、前記モバイルステーションとの通信を安全なものとするステップと
を実行することを含む、方法。
【請求項３１】
前記ベースステーションは、サービスプロバイダから前記パブリックキーを受信することにより前記シークレットパブリックキーにアクセスする、請求項２９に記載の方法。
【請求項３２】
前記ベースステーションは、前記モバイルステーションのサービスプロバイダ（１６）である、請求項２９に記載の方法。
【請求項３３】
前記ベースステーションは、ダイヤルアップ接続を用いて前記パブリックキーを受信する、請求項３１に記載の方法。
【請求項３４】
前記ベースステーションは、製造時の交換により前記パブリックキーを獲得する、請求項３１に記載の方法。
【請求項３５】
前記交換は、製造者が、前記パブリックキーを読み出し、前記ベースステーションへ前記パブリックキーを伝送することを含む、請求項３３に記載の方法。
【請求項３６】
前記ベースステーションは、無線交換により前記パブリックキーを獲得する、請求項３３に記載の方法。
【請求項３７】
前記無線交換は、前記モバイルステーションのユーザと前記ベースステーションとの間に確立されたパスワードを用いて安全なものとされる、請求項３５に記載の方法。
【請求項３８】
前記無線交換は、製造時に前記モバイルステーションに埋め込まれたパスワードを用いて安全なものとされる、請求項３５に記載の方法。
【請求項３９】
通信システムにおいて第１の通信デバイスと第２の通信デバイスとを認証する方法であって、前記第１の通信デバイスは、プライベートキーとパブリックキーとの対を有し、
前記方法は、
ａ）前記第２の通信デバイスが、短期間のパブリックキーと識別情報とを前記第１の通信デバイスに伝送するステップと、
ｂ）前記第１の通信デバイスが、前記第１の通信デバイスのプライベートキーと前記第２の通信デバイスの短期間のパブリックキーとを組み合わせ、共有のシークレットキーの対を生成するステップと、
ｃ）前記第１の通信デバイスおよび前記第２の通信デバイスが、前記第１の通信デバイスと前記第２の通信デバイスとの間の相互認証のために、前記共有のシークレットキーの対のうちの第１のシークレットキーを用いるステップと、
ｄ）前記第１の通信デバイスおよび前記第２の通信デバイスが、シークレットセッションキーを確立するために、前記共有のシークレットキーの対のうちの第２の共有のシークレットキーを用いるステップと、
ｅ）前記第１の通信デバイスおよび前記第２の通信デバイスが、前記シークレットセッションキーを用いて、前記通信システムにおける認証された通信を暗号化するステップと
を含み、
前記相互認証は、
前記第１の通信デバイスが、前記第１のデバイスの前記プライベートキーを用いて、前記第２の通信デバイスによって認証され、前記第２の通信デバイスが、信頼できる通信デバイスから前記第２の通信デバイスによって獲得された前記第１の通信デバイスのパブリックキーを用いて、前記第１の通信デバイスによって認証されること
を特徴とする、方法。
【請求項４０】
通信システムにおいて第１の通信デバイスが第２の通信デバイスを認証する方法であって、
前記方法は、
前記第１の通信デバイスが、パブリックキーの相互認証スキームに従って、前記第２の通信デバイスと暗号キーを交換するステップであって、前記相互認証スキームは、
前記第１の通信デバイスが、短期間のパブリックキーと識別情報とを前記第２の通信デバイスに伝送することにより、前記第２の通信デバイスが、前記第２の通信デバイスのプライベートキーと前記短期間のパブリックキーとを組み合わせ、それから共有のシークレットキーの対を生成することを可能にすることであって、前記共有のシークレットキーのうちの第１のシークレットキーは、前記相互認証のために用いられ、前記共有のシークレットキーのうちの第２のシークレットキーは、シークレットセッションキーを確立するために用いられる、ことと、
前記第１の通信デバイスが、短期間のプライベートキーと前記第２の通信デバイスのパブリックキーとを用いて、前記共有のシークレットキーの対を生成することと、
前記第１の通信デバイスが、前記共有のシークレットキーのうちの前記第２のシークレットキーを用いて、前記セッションキーを確立することと
を含む、ステップと、
前記第１の通信デバイスが、対称キーデータ交換においてデータを暗号化するために、前記セッションキーを用いるステップと
を含む、方法。
【請求項４１】
前記第１の通信デバイスは、ベースステーションであり、前記第２の通信デバイスは、モバイルステーションである、請求項４０に記載の方法。
【請求項４２】
前記第１の通信デバイスが、前記第２の通信デバイスから登録要求を受信するステップであって、前記登録要求は、前記共有のシークレットキーのうちの前記第１のシークレットキーを用いて、認証ストリングを計算することによって生成される、ステップ
をさらに含む、請求項４０に記載の方法。
【請求項４３】
前記第２の通信デバイスから受信された前記共有のシークレットキーのうちの前記第１のシークレットキーと、前記第１の通信デバイスによって生成された前記共有のシークレットキーのうちの前記第１のシークレットキーとを比較するステップと、
前記対称キーデータ交換のために、セッションキーの対を計算するステップと
をさらに含む、請求項４０〜４２のいずれか一項に記載の方法。
【請求項４４】
第１の通信デバイスと第２の通信デバイスとを含む通信システムであって、前記第１の通信デバイスおよび前記第２の通信デバイスの各々は、それぞれ識別情報を有し、前記第１の通信デバイスは、プライベートキーと、それから導出されたパブリックキーとを有し、前記システムは、前記第１の通信デバイスと前記第２の通信デバイスとの間の通信を確立するように構成され、前記通信は、
前記第２の通信デバイスが、前記第１の通信デバイスの前記パブリックキーを獲得することと、
前記第２の通信デバイスが、短命のパブリックキーと前記第２の通信デバイスの識別情報とを前記第１の通信デバイスに送信することと、
前記第１の通信デバイスが、前記第１の通信デバイスのプライベートキーと前記短命のパブリックキーとを組み合わせ、それからシークレットキーの対を生成することと、
前記第１の通信デバイスが、前記シークレットキーの対のうちの第１のシークレットキーと、前記第１の通信デバイスの識別情報と、前記第２の通信デバイスの識別情報と、ランダムチャレンジと、前記短命のパブリックキーとを用いて、第１のＭＡＣを生成することと、
前記第１の通信デバイスが、前記第１の通信デバイスの識別情報と、前記ランダムチャレンジと、前記第１のＭＡＣとを前記第２の通信デバイスに送信し、これにより、登録を要求することと、
前記第２の通信デバイスが、前記短命のパブリックキーに対応する短命のプライベートキーと前記第１の通信デバイスのパブリックキーとを用いて、前記シークレットキーの対を生成することと、
前記第２の通信デバイスが、前記シークレットキーの対のうちの第１のシークレットキーと、前記第２の通信デバイスの識別情報と、前記第１の通信デバイスの識別情報と、前記ランダムチャレンジと、前記短命のパブリックキーとを用いて、第２のＭＡＣを計算することと、
前記第２の通信デバイスが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第１のＭＡＣを確認することと、
前記第２の通信デバイスが、前記第２のＭＡＣを前記第１の通信デバイスに送信し、これにより、前記第１の通信デバイスを登録することと、
前記第１の通信デバイスが、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認することと、
前記第１の通信デバイスおよび前記第２の通信デバイスの各々が、前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとから、セッションキーの対を計算することと、
前記第１の通信デバイスおよび前記第２の通信デバイスが、それらの間の安全な通信において前記セッションキーのうちの少なくとも１つを用いることと
によって、確立される、システム。
【請求項４５】
前記第１の通信デバイスは、モバイルステーションであり、前記第２の通信デバイスは、ベースステーションである、請求項４４に記載のシステム。
【請求項４６】
前記安全な通信は、前記第１の通信デバイスと前記第２の通信デバイスとの間のデータ交換であり、前記データ交換は、インターネットブラウジングと金融取引とのうちのいずれか１つ以上のために用いられる、請求項４４または４５に記載のシステム。
【請求項４７】
前記第２の通信デバイスは、前記第１の通信デバイスのサービスプロバイダから前記パブリックキーを獲得する、請求項４４〜４６のいずれか一項に記載のシステム。
【請求項４８】
前記サービスプロバイダは、製造時の交換により前記パブリックキーを獲得する、請求項４７に記載のシステム。
【請求項４９】
前記サービスプロバイダは、無線交換により前記パブリックキーを獲得する、請求項４７に記載のシステム。
【請求項５０】
前記無線交換は、前記第１の通信デバイスのユーザと前記サービスプロバイダとの間に確立されたパスワードを用いて安全なものとされる、請求項４９に記載のシステム。
【請求項５１】
前記無線交換は、製造時に前記第１の通信デバイスに埋め込まれたパスワードを用いて安全なものとされる、請求項４９に記載のシステム。
【請求項５２】
前記プライベートキーと、前記パブリックキーと、前記ＭＡＣとが、楕円曲線暗号手法を用いて計算される、請求項４４〜５１のいずれか一項に記載のシステム。
【請求項５３】
モバイルステーションとベースステーションとの間の通信を確立する方法であって、
前記モバイルステーションおよび前記ベースステーションの各々は、それぞれ識別情報を有し、前記モバイルステーションは、プライベートキーと、前記プライベートキーから導出されたパブリックキーとを有し、
前記方法は、前記モバイルステーションが、
前記ベースステーションによって獲得されるべき前記モバイルステーションのパブリックキーを提供することと、
前記ベースステーションから、前記短命のプライベートキーと前記第２の通信デバイスの識別情報とから前記ベースステーションによって計算された短命のパブリックキーを受信することと、
前記モバイルステーションのプライベートキーと前記短命のパブリックキーとを組み合わせ、それからシークレットキーの対を生成することと、
前記モバイルステーションの識別情報と前記第２の通信デバイスの識別情報とランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの第１のシークレットキーを用いて、第１のＭＡＣを計算することと、
前記モバイルステーションの識別情報と、前記ランダムチャレンジと、前記第１のＭＡＣとを前記ベースステーションに送信し、これにより、登録を要求することと、
前記ベーステーションから、前記モバイルステーションを登録する第２のＭＡＣを受信することであって、前記第２のＭＡＣは、前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記ベースステーションによって計算され、前記シークレットキーの対は、前記短命のプライベートキーと、前記モバイルステーションのパブリックキーとを用いて、前記ベースステーションによって生成され、前記第１のＭＡＣは、前記ベースステーションが、前記モバイルステーションを確認することを可能にする、ことと、
前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認することと、
前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとからセッションキーの対を計算し、前記モバイルステーションが、安全な通信において前記セッションキーのうちの少なくとも１つを用いることを可能にすることと
を含む、方法。
【請求項５４】
前記ベースステーションは、前記モバイルステーションのサービスプロバイダである、請求項５３に記載の方法。
【請求項５５】
前記ベースステーションは、無線交換によって前記パブリックキーを獲得し、前記無線交換は、前記モバイルステーションのユーザと前記ベースステーションとの間に確立されたパスワードを用いて安全なものとされる、請求項５４に記載の方法。
【請求項５６】
前記無線交換は、製造時に前記モバイルステーションに埋め込まれたパスワードを用いて安全なものとされる、請求項５５に記載の方法。
【請求項５７】
前記プライベートキーと、前記パブリックキーと、前記ＭＡＣとが、楕円曲線暗号手法を用いて計算される、請求項５３〜５６のいずれか一項に記載の方法。
【請求項５８】
ベースステーションを有する通信システムにおいて用いるモバイルステーションであって、前記モバイルステーションおよび前記ベースステーションの各々は、それぞれ識別情報を有し、前記モバイルステーションは、プライベートキーと、前記プライベートキーから導出されたパブリックキーとを有し、前記モバイルステーションは、前記ベースステーションと通信するように構成され、
前記通信は、
前記ベースステーションによって獲得されるべき前記モバイルステーションのパブリックキーを提供することと、
前記ベースステーションから、短命のプライベートキーと前記第２の通信デバイスの識別情報とから前記ベースステーションによって計算された短命のパブリックキーを受信することと、
前記モバイルステーションのプライベートキーと前記短命のパブリックキーとを組み合わせ、それからシークレットキーの対を生成することと、
前記シークレットキーの対のうちの第１のシークレットキーと前記モバイルステーションの識別情報と前記第２の通信デバイスの識別情報とランダムチャレンジと前記短命のパブリックキーとを用いて、第１のＭＡＣを計算すること、
前記モバイルステーションの識別情報と、前記ランダムチャレンジと、前記第１のＭＡＣとを前記ベースステーションに送信し、これにより、登録を要求することと、
前記ベースステーションから、前記モバイルステーションを登録する第２のＭＡＣを受信することであって、前記第２のＭＡＣは、前記ベースステーションの識別情報と前記モバイルステーションの識別情報と前記ランダムチャレンジと前記短命のパブリックキーとに対して、前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記ベースステーションによって計算され、前記シークレットキーの対は、前記短命のプライベートキーと前記モバイルステーションのパブリックキーとを用いて、前記ベースステーションによって生成され、前記第１のＭＡＣは、前記ベースステーションが、前記モバイルステーションを確認することを可能にする、ことと、
前記シークレットキーの対のうちの前記第１のシークレットキーを用いて、前記第２のＭＡＣを確認することと、
前記シークレットキーの対のうちの第２のシークレットキーと、前記短命のパブリックキーと、前記ランダムチャレンジとからセッションキーの対を計算し、前記モバイルステーションが、安全な通信において前記セッションキーのうちの少なくとも１つを用いることを可能にすることと
によって行われる、モバイルステーション。
【請求項５９】
前記ベースステーションは、前記モバイルステーションのサービスプロバイダである、請求項５８に記載のモバイルステーション。
【請求項６０】
前記ベースステーションは、無線交換によって前記パブリックキーを獲得し、前記無線交換は、前記モバイルステーションのユーザと前記ベースステーションとの間に確立されたパスワードを用いて安全なものとされる、請求項５９に記載のモバイルステーション。
【請求項６１】
前記無線交換は、製造時に前記モバイルステーションに埋め込まれたパスワードを用いて安全なものとされる、請求項６０に記載のモバイルステーション。
【請求項６２】
前記プライベートキーと、前記パブリックキーと、前記ＭＡＣとが、楕円曲線暗号手法を用いて計算される、請求項５８〜６１のいずれか一項に記載のモバイルステーション。
【発明の詳細な説明】
本発明は暗号システムに関し、より詳細には楕円曲線暗号化スキームを用いる確認プロトコルに関する。
【０００１】
（発明の背景）
携帯電話等のように、計算電力、記憶領域、およびバンド幅が厳しく制限されている制約付きの環境下においては、パブリックキー暗号手法は効率が悪いものとして考えられており、発展性のある意見ではなかった。しかしながら、楕円曲線数学の使用等の、高速プロセッサやより効率的なパブリックキー暗号手法技術が到来し、パブリックキー暗号手法の使用を禁じていた従来の障害は本質的に克服された。実際、パブリックキー暗号手法は、無線によるサービス提供と同様に、携帯電話のアプリケーションに導入されている。これらの事項により、無線産業は、第３世代システムにおけるパブリックキー暗号手法の利点を利用することができる。
【０００２】
ＲＦネットワークを介して通信を行う携帯電話は、データセキュリティに関する問題の古典的な例を露呈している。ＲＦネットワークは容易に盗聴されるので、電話により送信されたデータは反対者（adversary ）により容易にモニタすることができ、媒体自身はデータを物理的に不透明な包装物内に配置して秘密性を保証することを妨げている。実際、携帯電話によりＲＦネットワークを介して送信されたデータは、盗聴されやすいばかりではない。反対者は、メッセージを遮ったり、置換したり、削除したり、変換したりすることが可能である。それゆえ、送信データが秘密のままであるという保証と同様に、受信データが真正であるという保証のような種々のセキュリティサービスが、携帯電話ユーザには必要となる。ＲＦネットワークを介して通信する携帯電話とサービスプロバイダとの間に必要となるデータセキュリティサービスは、以下のものを含む。
【０００３】
データ信頼性：携帯電話ユーザと、サービスプロバイダとの両方は、交換するメッセージが秘密のままであることを望む。たとえば、携帯電話ユーザは、呼出し中に反対者が盗聴できないことを望む。
【０００４】
データ完全性：携帯電話ユーザと、サービスプロバイダとの両方は、交換するメッセージが変更されないことを望む。たとえば、受信した呼出し要求がユーザがダイヤルした番号と同じ番号を特定することにより、ダイヤルしたとおりに呼出しを完了することができるという保証があることを、サービスプロバイダは望む。
【０００５】
データ認証：携帯電話ユーザと、サービスプロバイダとの両方は、受信したデータの発生源を知りたいと望む。たとえば、サービスプロバイダは、呼出しを完了させるかどうかを決定することができるように、呼出し要求の発生源を知ることを望む。
【０００６】
非拒絶性（Non-repudiation ）：携帯電話ユーザは、拒絶することができない（non-repudiable）、すなわちデータ送信を後に否定できないようなデータを送信することを望む。たとえば、電話により株式を購入するといった金融取引を完了させることをユーザは望む。
【０００７】
デバイスあるいはエンティティ認証：携帯電話ユーザと、サービスプロバイダの両方とは、自分が誰と通信しているのかを知りたいと望む。たとえば、サービスプロバイダは、ユーザの呼出しをとる前に、払込み済の携帯電話ユーザと通信していることをチェックしたいと望む。特に、デバイス認証は、ネットワークへのアクセスを得るために、正当なユーザにより送信された許可作業を反対者が繰り返すことを禁止する。
【０００８】
暗号手法は、これら全てのサービスを提供することができる。暗号化スキームはデータセキュリティを提供するために用いられることができ、メッセージ認証コード（MAC:message authentication code ）あるいは記号化スキームは、非拒絶性を提供するために用いられる。エンティティ認証は、暗号化スキームと、メッセージ認証コードと、記号化スキームとからなるより複雑なプロトコルを用いることにより提供される。
【０００９】
現在、セルラーネットワークのセキュリティは、元来デバイス認証に制限されている。携帯電話のネットワークアクセスを許可する前に、ネットワークあるいはサービスプロバイダは、メッセージ認証コードに基づくプロトコルを用いる電話を認証する。上記したような付加セキュリティサービスに対する必要性により、セルラー産業は、将来の第３世代システムにおいてより包括的なセキュリティを提供するように刺激を受けている。
【００１０】
現在のＲＦシステムにおける認証は、対称的暗号手法に基づくデバイス認証を含む。モバイルステーションは、セルラーネットワークとの通信の前に、認証キー（Authentication Key，以下A-key とする）が提供される。A-key は、サービスプロバイダあるいはホームネットワークの認証センター（ＡＣ）内に提供されている。A-key をモバイルステーション内に提供するプロセスは、”サービス提供（service provisioning）”の一部であり、その間に他のモバイルステーションに特定の情報が提供される。A-key を提供するためにはいくつかの方法があるが、無線のサービス提供（Over-The-Air Service Provisioning:OTASP ）が推奨である。OTASP は、ディフィエ−ヘルマン（Diffie-Hellman）  プロトコルを用いることにより、ＡＣ内とモバイルステーション内とにおいて同時にA-key を生成する。
【００１１】
A-key は、モバイルステーション内およびホームネットワーク内に記憶されているＳＳＤ（Shared Secret Data：共有シークレットデータ）として知られているセッションキーを生成するために用いられるとともに、モバイルステーションを認証するために用いられる。ＳＳＤは、A-key と、モバイルステーションの識別情報等の他の情報とをハッシングすることにより得られる。ユーザがネットワークの反対側をローミングしている場合、ホームネットワークは、サービスプロバイダの自由裁量で、ＳＳＤをサービスネットワークと共有することにより、サービングネットワークがＳＳＤを用いてモバイルデバイス自身を認証することができるようにする。あるいは、サービスプロバイダは、その度ホームネットワークと検査することによりモバイルステーションを認証することを、サービングネットワークに対して要求する。サービングネットワークとＳＳＤを共有することにより、ユーザがローミングしているときでも２つのネットワークの間で信号を通信することができるが、ＳＳＤを理解することによりサービングネットワークはモバイルステーションの模倣をすることができるので、サービングネットワークに対してはある程度の信頼性が必要となる。
【００１２】
モバイルステーションの電源がオンすると、モバイルステーションはネットワークとともに”登録”する。登録作業の間に、モバイルステーションは自分の識別情報を、ＳＳＤと、識別情報と、ランダムチャレンジ（ベースステーションによる３２ビット数放送）と、他の情報とをハッシングすることにより得られる認証ストリングあるいはＭＡＣとともに（簡略化のため、以下本明細書において、ＭＡＣの語は認証ストリングを表すものとして用いる）サービングネットワークに送信する（モバイルステーションがローミングしていると仮定した場合）。サービングネットワークは、ユーザのホームネットワークに対し、モバイルステーションを登録するか質問する。ホームネットワークは、この時点において、ＳＳＤをサービングネットワークと共有するかどうかを決定する。共有する場合、ＳＳＤはサービングネットワークに送信される。サービングネットワークは、モバイルステーションと同じ入力を用いることによりＭＡＣを計算する。計算されたＭＡＣがモバイルステーションにより送信されたものと一致する場合、モバイルステーションが認証されたと考えられる。
【００１３】
サービングネットワークは、ユーザがそのネットワークに登録されている間、モバイルステーションに関するＳＳＤを保持する。その間、ユーザが呼出しを開始した場合（以下、呼出し開始とする）、ダイヤルされたディジットがハッシュへの追加入力として用いられるということを除いて、モバイルステーションは登録のための認証と同様の手法で再び認証される。もう一度、サービングネットワークは、ＭＡＣを計算するとともに２つのＭＡＣが一致するかを確認することにより、モバイルステーションを認証する。さらに、呼出しがユーザのために受信された場合（以下、呼出し終了とする）、同様の処理手順が繰り返される。すなわち、認証は、ＳＳＤのハッシュであるＭＡＣと、サービングネットワークあるいはベースステーションからのランダムチャレンジと、モバイルステーションの識別情報および／またはダイヤルされたディジット等の他の入力とに基づくものである。
【００１４】
ホームネットワークにおける認証センターは、モバイルステーション内のＳＳＤをアップデートすること（以下、ＳＳＤアップデートと称する）を決定することができる。これは、新しいＳＳＤを生成するようにモバイルステーションに対して要求を送信することにより達成される。このシナリオにおいては、ホームネットワークに対するモバイルステーション、およびモバイルステーションに対するホームネットワークを双方向に認証することは、モバイルステーション内に新しく生成されたＳＳＤを記憶する前に実行される。ホームネットワークの認証は、以下のものを含む。すなわち、モバイルステーションがＡＣにランダムチャレンジを送信する；ＳＳＤのコンポーネントと、ランダムチャレンジと、他の情報とを用いることにより、ＡＣがＭＡＣを計算するとともに、それをモバイルステーションに送信する；モバイルステーションが、受信したＭＡＣと自身の計算した値とが一致していることを確認する。
【００１５】
現在の認証システムには数多くの弱点がある。
【００１６】
中枢ネットワークがホームネットワークに接続されていること、およびサービングネットワークが特に安全であることが必要となる。このネットワークで交換されるメッセージは、機密的に交換される必要がある。そうしないと、このチャネルをモニタしている盗聴者が、あらゆる動作中のモバイルステーションの模倣をすることができてしまう。
【００１７】
各サービスプロバイダの認証センターは、高いセキュリティを必要とする。また、認証センターにおけるA-key データベースの信頼性を維持することが不可欠である。そうしないと、データベースのコンテンツを学んだ者が、何時でもあらゆるモバイルステーションの模倣をすることができてしまう。この問題は、認証センターに不具合が発生した場合、不具合を回復するための効果的なメカニズムがないということにより顕著となる。
【００１８】
ＳＳＤの共有に関してもセキュリティがある。ホームネットワークが、サービングネットワークとＳＳＤを共有することを決定した場合、サービングネットワークはモバイルステーションの模倣をすることができる。
【００１９】
ＣＡＶＥアルゴリズムは、認証のために用いられるものであって、セキュリティに関する問題点がある。ＣＡＶＥは公知とはなっておらず、暗号手法コミュニティによっても幅広い綿密な調査が受理されていない。妥協してＣＡＶＥを用いると、ＣＭＥＡ等の未公知のアルゴリズムを使用することにより既に損害を被っているセルラー産業を困惑させる可能性がある。
【００２０】
効率に関する問題もある。ホームネットワークとサービングネットワークとにリンクしている中枢ネットワークには、大量の通信が必要となる。現在、サービングネットワークは、モバイルステーションを認証したいと望む度にホームネットワークと通信しなければならないので、ホームネットワークがサービングネットワークとＳＳＤを共有していない場合は、通信が実質的に増加する。
【００２１】
さらに重要であるのは、現在のシステムが十分なセキュリティサービスを提供していないことである。デバイス認証が実行された後に反対者がサービスをハイジャックする可能性が残っているので、デバイス認証はネットワークに対して限られたセキュリティしか提供できない。さらに、データプライバシーサービスが制限されて備えられているということは、ユーザがセルラーネットワークを介して呼出しを行うのに慎重になるということを意味し、重要な問題を露呈している。この問題は、セルラー産業がインターネットブラウジングや無線による金融取引のような、より発展した特徴点をサポートしたいと望むのであれば、将来特に重要となるだろう。
【００２２】
第３世代システムにおける最も有望な特徴の一つである、グローバルローミングは、これらの問題点の多くを強めるであろう。
【００２３】
第３世代システムを備えることにより、セルラー産業は、現在の認証システムにおける欠点を指摘する機会を与えられている。したがって、第３世代認証システムは、以下の要求を満たす必要がある。
【００２４】
モバイルステーションが、各アクセス毎に適切なキーを生成するために必要となる計算時間を最小化する必要がある。呼出し毎に認証が必要となるので、パフォーマンスが重要な検討事項となる。セキュリティは、エンドユーザに提供されているサービスには否定的に影響するべきではない。
【００２５】
非拒絶性を提供する能力が必要である。これは、第３世代システムの配備を実現するように期待されているサービスにおいて特に有益である。
【００２６】
余分なネットワーク下部構造を最小化することが必要である。第３世代は第２世代からの移行であるため、現在の下部構造を、可能な場所において有効利用することが重要である。
【００２７】
スケーラビリティが必要である。より多くのセルラーシステムが毎年サービスに導入されており、さらに多くのキャリアが世界規模のローミングを提供することを目的としているので、第３世代ＥＳＡとＥＳＰとが、キャリアに追加コストを課すことなく拡大する能力のために提供されるべきである。
【００２８】
（発明の概要）
本発明は、パブリックキー暗号手法と対称的暗号手法とを結合させて用いることにより、現在のシステムにおける欠点を解消するとともに軽減する、ネットワーク内の加入者認証のためのシステムを提供することを目的とする。
【００２９】
ネットワークとモバイルステーションとの双方向認証を提供することも本発明の目的である。
【００３０】
本発明に関し、通信システムにおいて通信相手を認証する方法が提供されており、上記の方法は、上記通信相手の間で暗号キーを交換するステップを備え、上記の交換はパブリックキー双方向認証スキームに基づくとともに、対称キーデータ交換におけるデータ暗号化用のキーを用いている。
【００３１】
本発明の好適な実施形態の特徴点は、添付図面を参照できるように記載された以下の詳細な説明においてより明瞭となるであろう。
【００３２】
（好適な実施形態の詳細な説明）
図１には、参照番号１０により通信システムの概略図が示されている。システム１０は、モバイルステーション１２と、ベースステーション１４と、サービスプロバイダ１６とを備えており、それらのすべてがネットワーク１８を介して接続されている。ネットワークは、ＲＦ、セルラー、衛星通信あるいは類似のものとすることができる。
【００３３】
本発明の実施形態に係る第３世代システムは、現在のシステムと同様の事項に基づく。すなわち、サービス提供と、モバイル登録と、呼出し開始と、呼出し終了と、データ交換である。しかしながら、本発明のシステムと現在のシステムとの間には２つの基本的な違いがある。第１に、本発明のシステムは、プロトコルを用いる登録作業を実行するものであり、該プロトコルは、双方向の認証を提供するとともに、パブリックキー暗号手法に基づくものである。第２に、本発明のシステムは安全なデータ交換を提供することを含む。
【００３４】
モバイルステーションがセルラーネットワークを用い始める前に、サービス提供が実行されなければならない。楕円曲線パラメータが製造時にモバイルステーションに組み込まれる。サービスを提供している間は、モバイルステーションは無作為に楕円曲線プライベートキーを選択し、対向する楕円曲線パブリックキーを計算する。そして、モバイルステーションは、認証センター内に情報を記憶しているサービスプロバイダと、機密的にパブリックキーおよび識別情報を交換する。モバイルステーションとサービスプロバイダとは、様々なメカニズムを用いることによりモバイルステーションのパブリックキーを交換することができる。
【００３５】
サービス提供とは、モバイルステーションがネットワークと通信できるように、モバイルステーションにおいて安全キーを設定し、モバイルステーションとサービスプロバイダとの間で必要な全てのデータを交換する過程を指す。暗号手法の観点からすれば、この過程の開始点は、キー生成とパブリックキーの交換である。
【００３６】
キー生成は、サービス提供前のあらゆる時点においても、モバイルステーションにより効率的に実行されることが可能である。あるアプローチでは、製造時においてモバイルステーションにランダムシード（random seed ）を組み込み、このシードをプライベートキーを生成するために用いる。これは、モバイルのプライベートキーのセキュリティが、モバイルステーションにより生成されるランダム性のみに基づくものではないということを意味している。制約付きのデバイスにおいてランダム性を生成することはとりわけ困難であるので、これは理想的である。
【００３７】
安全キーのペアをモバイルステーションにおいて生成することにより、パブリックキーの交換を実行する方法は数多く得られる。あらゆるシステムの配備は、様々な方法を含む傾向がある。可能性のあるもののいくつかを以下に示す。
【００３８】
ディストリビュータ出口における起動中の手動交換である。モバイルステーションのパブリックキーは、ダイヤルアップ接続を用いて上記出口からサービスプロバイダの認証センターまで機密的に送信されることが可能である。
【００３９】
製造時における交換である。モバイルステーションの製造者は、製造中にパブリックキーを読み出すことが可能であり、その後モバイルステーションユーザがサービスを要求したときにパブリックキーを機密的にサービスプロバイダに送信する。
【００４０】
無線交換である。モバイルステーションとサービスプロバイダとは、モバイルユーザがサービスを要求したときにパブリックキーを交換することができる。この場合、ユーザとサービスプロバイダとの間に設定されたパスワードを使用するか、あるいは製造時にモバイルステーションに組み込まれた製造者のパブリックキーを使用することにより機密的に交換を行うことができる。
【００４１】
これらのメカニズムは、適切に実行されれば十分なセキュリティを提供することができるものである。無線起動は、モバイルステーションユーザにとって潜在的に透過であるので特に魅力的である。
【００４２】
サービス提供は、ネットワークサービスについての料金をモバイルステーションユーザに請求できるように、モバイルステーションに関する料金を設定することにより完了する。
【００４３】
サービングネットワーク内でのサービスを得るために、モバイルステーションは、電源オンとなるとともにネットワークを登録する。現在のセルラーシステムにおいては、登録作業は、ベースステーションとモバイルステーションとの間に完成されたプロトコルを含んでいる。しかしながら、本発明の登録作業メカニズムは、単にモバイルステーションのデバイス認証を行うだけでなく、それ以上のものを達成する。ベースステーションに対するモバイルステーション、モバイルステーションに対するベースステーションを双方向に認証し、さらに、セッションキーを設定する。そのセッションキーを用いることにより、セッション中においてベースステーションとモバイルステーションとの間の将来的な通信を安全なものとすることができる。認証とキー交換とは、後述するパブリックキーに基づくプロトコルにより提供される。
【００４４】
ベースステーションは、モバイルステーションへ識別子とともに短命（short-lived ）の楕円曲線パブリックキーを送信することにより、登録作業を可能としている。この情報は、オーバーヘッドチャネル上で放送することも可能であるし、モバイルステーションからの登録要求に応答して各モバイルステーションに送信することも可能である。
【００４５】
これに応答して、モバイルステーションは短命のベースステーションパブリックキーを自身のプライベートキーと結合するとともに、楕円曲線ディフィエ−ヘルマン手法を用いる２つの共有シークレットキーを生成する。これらの２つのキーのうち１番目のものは、ベースステーションに対するモバイルステーションと、モバイルステーションに対するベースステーションとを認証するためのＭＡＣキーとして用いられ、２番目のものはシークレットセッションキーを設定するために用いられる。その後、ランダムチャレンジを選択するとともに、設定されたＭＡＣキーを用いつつ認証ストリング（すなわち、ＭＡＣ）を計算し、さらに識別情報と、ランダムチャレンジと、ＭＡＣとを登録のためにベースステーションに送信する。
【００４６】
モバイルステーションからの登録要求を受信すると、ベースステーションは、先ず、モバイルステーションのサービスプロバイダに接続し、モバイルステーションのパブリックキーを要求する。モバイルステーションのパブリックキーと自身の短命のプライベートキーとを用いることにより、ベースステーションも楕円曲線ディフィエ−ヘルマン手法を用いる２つの共有シークレットキーを計算する。そして、第１のキーを用いてモバイルステーションから受信したＭＡＣを検査する。この検査が成功した場合、ベースステーションは、モバイルステーションを登録するとともにモバイルステーションの位置を確定し、モバイルステーションに対する自分自身を認証するために用いる２つのセッションキーを計算する。
【００４７】
最終的に、モバイルステーションはベースステーションから受信したＭＡＣの正当性を検査し、２つのセッションキーを順番に計算する。これにより、ベースステーションに対するモバイルステーションと、モバイルステーションに対するベースステーションとの両方が認証された登録プロトコルが完了し、将来的な通信を安全なものとするために用いることができるセッションキーを設定することができる。
【００４８】
すなわち、登録作業は、モバイルステーションとベースステーションとにより実行されるプロトコルを備えており、双方向の認証を行うとともにセッションキーを設定する。モバイルステーション認証は、自分のプライベートキーの知識に基づく。ベースステーション認証は、モバイルステーションパブリックキーの知識に基づく。
【００４９】
モバイルステーションとベースステーションとは、登録作業の後、データを交換したいと望む場合、登録作業中に設定されたセッションキーを用いて交換作業を安全なものとする。データが制御チャネルあるいは音声チャネル上で交換されても、さらに、データがモバイルステーションからベースステーションへの呼出し開始要求あるいはベースステーションからモバイルステーションへの呼出し終了要求（すなわち、ページ）である場合でさえ、同様の暗号化メカニズムを用いてデータを安全なものとすることができる。
【００５０】
送信者がデータを取得し、プライバシーがＯＮである場合、第１のセッションキーを用いてデータを暗号化する。今までに交換されたメッセージの数を示すカウンタと、モバイルステーションからベースステーションに送信されているのか、あるいはベースステーションからモバイルステーションに送信されているのかを示す方向フラッグとを結果に追加する。第２のセッションキーを用いて結果ストリングを媒体アクセス制御（ＭＡＣ）し、暗号化されたデータをＭＡＣとともに送信する。
【００５１】
このプロセスを以下に詳細に説明する。
【００５２】
本発明のシステムは、従来の認証システムよりも多くの点で簡易なものである点に注目すべきである。パブリックキー暗号手法を用いることは、A-key とＳＳＤとを用いる２段キー管理の必要がないということを意味している。これは、本発明のシステムにおいて、サービスプロバイダは、サービングネットワークがモバイルステーションの模倣をすることを可能とする情報をサービングネットワークと共有する必要がないという理由によるものである。データ交換を安全なものとするためにセッションキーを用いることは、呼出し開始および呼出し終了の間にモバイルステーションを再び認証する必要がないということを意味している。そのかわり、呼出し開始と、呼出し終了とは、モバイルステーションとベースステーションとの間におけるセッションキーを用いた他のデータ交換と同様に、安全なものとすることができる。
【００５３】
登録作業は、電話の電源が投入され、サービングネットワーク内でサービスを設定しようとする度に実行される。登録作業は認証キー設定プロトコルを備え、上記プロトコルにより、モバイルステーションおよびベースステーションに対する将来的な通信を安全なものとするために用いるセッションキーを供給することができ、同様に、ベースステーションに対するモバイルステーションと、モバイルステーションに対するベースステーションとを認証することができる。
【００５４】
キー設定プロトコルは、数多くの暗号手法基本命令を含んでいる。すなわち、米国規格協会（ANSI：American National Standards Institute ）Ｘ９．６３に記載されたＳＨＡ−１ベースのキー導出と一致する楕円曲線ディフィエ−ヘルマンキー、および、エヌ．コブリッツ（N.Koblitz ）による”楕円曲線暗号システム（Ellipitic curve cryptosystems ）”（マスマティクス  オブ  コンピュテイション（Mathematics of Computation）４８号，２０３〜２０９頁，１９８７年発行）に記載されたＳＨＡ−１ベースのＨＭＡＣメッセージである。
【００５５】
これ以降の説明では、以下の記号が用いられている。
【００５６】
ベースステーション（Base Station）＝BS
ベースステーションの識別情報（Base Station's identifying information）＝BS ID
ベースステーションの短命のプライベートキー(Base Station's short-lived private key ）＝b
ベースステーションの短命のパブリックキー(Base Station's short-lived public key）＝bP
楕円曲線の余因数（Cofactor of ellipitic curve ）＝t
モバイルステーションから発信された、あるいはベースステーションから発信された方向標識（Direction indicator(MS-originated or BS-originated）＝Dir
楕円曲線パラメータ（Ellipitic curve parameters）＝E
キー設定用の暗号キー（Encryption key for key establishment）＝k'
次回の通信を暗号化するために用いる暗号キー（Encryption key used to encrypt subsequent communications）＝c'
楕円曲線上のジェネレータポイント（Generator point on ellipitic curve）＝P
キーｋにおけるＭ上のＨＭＡＣ(HMAC on M under key k) ＝MAC K ｛Ｍ｝
SHA-1 に基づくキー導出関数(Key derivation function based on SHA-1)＝KDF
メッセージ認証コード（Message Authentication Code ）＝MAC
メッセージカウンタ（Message counter ）＝Count
キー設定用のＭＡＣキー（MAC key for key establishment ）＝k
次回の通信の媒体アクセス制御を行うために用いるＭＡＣキー（MAC key used to MAC subsequent communications ）＝c
モバイルステーション（Mobile Station）＝MS
モバイルステーションの識別情報（Mobile Station's identifying information）＝MS ID
モバイルステーションのプライベートキー(Mobile Station's private key ）＝m
モバイルステーションのパブリックキー(Mobile Station's public key）＝mP  モバイルステーションのランダムチャレンジ(Mobile Station's random challenge）＝MS RC
k'を用いるＭの対称暗号化（Symmetric Encryption of M using k'）＝ENC k'(M)
k'を用いるＣの対称解読化（Symmetric Decryption of C using k'）＝SKD k'(C)
図２には、本発明の実施形態に係る暗号手法プロトコルの概略が参照番号２０により示されている。
【００５７】
ベースステーションは、自身の短命のパブリックキーbPと識別情報BS IDとをモバイルステーションに送信する。現在の認証システムにおけるベースステーションランダムチャレンジと同様に、bPは、一回の登録作業について固有のものであるか（要求に基づいて送信された場合）、あるいは頻繁に変更されるかのいずれかである。
【００５８】
モバイルステーションは、プライベートキーｍを用いてbPからtmbPを計算するとともに、tmbP≠Ｏを検査し、SHA-1 ：k,k'＝KDF ｛tmbP｝を用いてtmbPからk とk'との2 つのキーを生成する。余因数ｔを用いることにより、小さなサブグループアタックを防止することができる。
【００５９】
モバイルステーションは、ランダムチャレンジMS RCを生成する。そして、2,MS ID,BS  ID,MS  RC,bP に基づくキーk におけるＭＡＣ:MAC K｛2,MS ID,BS  ID,MS  RC,bP ｝を計算する。モバイルステーションは、MS IDと、MS RCと、および上記のように計算されたＭＡＣ: MAC K ｛2,MS ID,BS  ID,MS  RC,bP ｝とからなる登録要求メッセージをベースステーションに送信する。ベースステーションはモバイルステーションサービスプロバイダに接続し、モバイルステーションのパブリックキーを読み出す。
【００６０】
ベースステーションは、mPと自身の短命なプライベートキーb とからtmbPを計算するとともに、tmbP≠Ｏを検査し、SHA-1 ：k,k'＝KDF ｛tbmP｝を用いてtbmPからキーk とk'とを生成する。
【００６１】
ベースステーションは、モバイルステーションと同様の情報にＭＡＣを計算し、計算値と、モバイルステーションにより送信された値とを比較する。値が一致すれば、モバイルステーションがプライベートキーm を知っていることが示され、モバイルステーションが認証される。ベースステーションはモバイルステーションの位置をアップデートし、3,BS ID,MS  ID,bP,MS RCに基づくキーk におけるＭＡＣ:MAC K｛3,BS ID,MS  ID,bP,MS RC｝を計算する。
【００６２】
ベースステーションは、上記のように計算されたＭＡＣ:MAC K｛3,BS ID,MS  ID,bP,MS RC｝を含む登録承認メッセージをモバイルステーションに送信する。
【００６３】
モバイルステーションはベースステーションと同じ情報に基づいてＭＡＣを計算し、計算値と、ベースステーションにより送信された値とを比較する。値が一致すれば、モバイルステーションパブリックキーmPを知っていることが示され、ベースステーションが認証される。
【００６４】
モバイルステーションとベースステーションとの両方は、共有シークレットキーk'と、ベースステーション短命パブリックキーbPと、モバイルステーションチャレンジMS RCとから、c,c'＝KDF ｛k',bP,MS RC｝としてセッションキーc,c'を計算する。このセッションキーc,c'は記憶され、モバイルステーションとベースステーションとの間のこのセッションにおける将来的な通信を安全なものとするために用いられる。
【００６５】
本プロトコルは、双方向の認証と、セッションキー設定とを達成する。セッションキーは、ベースステーションあるいはモバイルステーションのいずれかがセッション終了要求を発行するまでの間、モバイルステーションとベースステーションとの間の当該セッションにおける将来的な通信の全てを安全なものとするのに十分であるべきである。セッションの終了は、モバイルステーションがベースステーションから遠ざかった場合であるか、あるいはモバイルステーションの電源がオフとなった場合であるかのいずれかの理由により発生する可能性がある。一方、ベースステーションは何時の時点においても、セッションを終了することを選択するとともに、モバイルステーションに再び登録するように要求することが可能である。
【００６６】
プロトコルの可変部も、第３世代システムにおいて有益である。ネットワーク内でモバイルステーションパブリックキーを秘密状態に維持することにより、ベースステーション認証を達成する代わりに、サービスプロバイダによりベースステーションに発行された、証明内に記憶されている長命のベースステーションパブリックキーを用いることで、ベースステーション認証を達成することができる。この可変部では、サービスプロバイダのパブリックキーがサービス提供中にモバイルステーションへダウンロードされる。ベースステーションは、プロトコルの第１フロー中に、ランダムチャレンジとともに自己の証明をモバイルステーションへ送信する。プロトコルは前回と同様に進行する。本アプローチの利点は、モバイルステーションパブリックキーの秘密性をネットワークが維持する必要がないという点である。欠点は、サービスブロバイダが証明オーソリティ（Certification Authorities ）としての役割を果たしてベースステーションに証明を発行する必要があるということと、登録作業中にベースステーションの証明を変化させるためにサービスプロバイダがより多くの計算を行う必要があることである。
【００６７】
一旦モバイルステーションとベースステーションとが互いを認証し、登録プロセス中のセッションキーが設定されると、呼出し開始、呼出し終了等の将来的な通信がセッションキーを用いて安全に行われる。ここに提案されたメカニズムにより、データの信頼性、データの完全性、およびデータ認証を提供することができる。
【００６８】
図３に示されている上記メカニズムを以下に説明する。それは、プライバシーを保護するために、認証、完全性、および総括暗号のためのＳＨＡ−１を用いてＨＭＡＣを実行する。
【００６９】
モバイルステーションとベースステーションとが、あるデータｍを交換することを望み、このデータが当該セッション中において交換されたもののうちｉ番目のメッセージであると仮定する。送信者は、先ず暗号を用いてキーc'に基づきメッセージを暗号化する。その後、送信者は、ｉなる値をもつカウンタと、方向フラッグとを暗号に追加し、上記のｉは、セッション中に交換されたｉ番目のメッセージであることを示しており、上記の方向フラッグは、メッセージがモバイルステーションからベースステーションに送信されているのか、あるいはベースステーションからモバイルステーションに送信されているのかを示すシングルビットである。送信者は、ＨＭＡＣをキーｃにおけるＳＨＡ−１とともに用いて、結果ストリングを媒体アクセス制御する。
【００７０】
暗号化されたデータとＭＡＣとが受信されると、受信者は先ずメッセージの信頼性を検査する。これらは適切なカウンタ値と方向フラッグとを暗号化されたデータに追加し、ｃを用いてＭＡＣ値を再び計算する。ＭＡＣが同じであれば、メッセージの信頼性を確証する。受信者は、キーc'における暗号を用いて暗号化されたデータを解読することにより、データそのものを回復する。
【００７１】
本プロセスにより、データの認証、信頼性、完全性を保証できる。方向表示器を用いることにより、活動中の反対者がメッセージを送信者へ送り返そうとするアタックを防止することができる。メッセージカウンタを用いることにより、活動中の反対者がメッセージを再びオーダーすることを防止することができる。当該プロセスは、モバイルステーションとベースステーションとがメッセージを交換したいと望むときはいつでも実行される。呼出し開始要求、呼出し終了要求、音声、およびセッション中における他のあらゆるデータ交換についても同様のプロセスが用いられる。
【００７２】
本プロセスには、２通りの利用可能な変更態様がある。
【００７３】
プライバシーがオフである場合、送信者はデータｍを暗号化しない。その代わり、送信者はＭＡＣ計算においてクリア内にメッセージを含み、受信者にm,MAC c ｛Dir,Count,m ｝を送信する。
【００７４】
プライバシーがオンであって、用いられている暗号がプライバシーと同様の信頼性を提供することができる場合、送信者は、信頼性とプライバシとの両方のために暗号を用いることができる。この場合、送信者は受信者にENC c ｛Dir,Count,m ｝を送信する。システムによっては、データ暗号化規格（ＤＥＳ）のようなブロック暗号は、信憑性と信頼性との両方を提供することができると仮定する場合がある。単一の対称作業のみが必要とされているので、この可変部は、送信者と受信者との両方の計算リソースを確保することが可能である。
【００７５】
制御チャネルと通信チャネルとにおいて異なるプライバシーアルゴリズムが用いられている場合、２つの代わりに３つのセッションキーc,c',c''が登録作業中に設定される。m が制御チャネルにおいて送信されているならばc'がm を暗号化するために用いられているということと、m が制御チャネルにおいて通信されているならばc'' がm を暗号化するために用いられているということとを除いて、メッセージは上記したように秘密状態で交換される。
【００７６】
本発明を特定の実施形態を参照することにより記載したが、ここに添付された特許請求の範囲に記載された発明の範囲を離脱しない種々の変更態様は、当業者には明らかであろう。
【図面の簡単な説明】
【図１】  ＲＦ通信システムの概略図である。
【図２】  本発明の実施形態に係る認証キー設定プロトコルを示す概略図である。
【図３】  本発明の実施形態に係る安全データ交換を示す概略図である。
【図１】
0004634612.tif 000002
【図２】
0004634612.tif 000003
【図３】
0004634612.tif 000004