(57)【要約】  本発明は、楕円曲線をベースとする暗号を使用して通信システムの加入者間で暗号化されたデータ交換を行う方法であって、第１の加入者の問い合わせに応答して第２の加入者によって、該第２の加入者にある証明書を使用してスカラ倍を計算し、該スカラ倍の結果の一部のみを応答として第１の加入者へ送信する方法に関する。本発明は通信システムに関する。
2010539519.tif 000002
【特許請求の範囲】
【請求項１】
楕円曲線をベースとする暗号を使用して通信システム（１）の加入者（２，３）間で暗号化されたデータ交換を行う方法において、
第１の加入者（２）の問い合わせに応答して第２の加入者（３）によって第１のスカラ倍を計算し、
該第１のスカラ倍の結果の一部のみを応答として該第１の加入者（２）へ返信する方法。
【請求項２】
前記問い合わせおよび／または応答はそれぞれ、前記楕円曲線上の点のｘ座標を含む、請求項１記載の方法。
【請求項３】
前記ｘ座標はバイナリ形式であり、
前記応答に含まれるｘ座標のビットの一部のみを送信する、請求項２記載の方法。
【請求項４】
前記応答および／または応答に含まれる、前記楕円曲線上の点のｘ座標は、投影図で形成される、請求項２または３記載の方法。
【請求項５】
前記点の座標はバイナリ表示では、バイナリ表示で相互に隣接して整列されて表示される第１の値と第２の値とを含む数である、請求項２から４までのいずれか１項記載の方法。
【請求項６】
前記両値の少なくとも１つの値のビットの一部のみを返信する、請求項５記載の方法。
【請求項７】
前記両値の少なくとも１つの値のビットの半分を返信する、請求項５または６記載の方法。
【請求項８】
前記両値のうち少なくとも１つの値の最上位ビットに対して該少なくとも１つの値のビットのうち上位ビット領域、とりわけ上半分のビットを返信する、請求項５から７までのいずれか１項記載の方法。
【請求項９】
前記第１の加入者（２）は、該第２の加入者（３）の受信された応答を、該応答の正当性に関して検査する、請求項１から８までのいずれか１項記載の方法。
【請求項１０】
前記第１の加入者（２）は、前記応答に含まれるデータと、第２のスカラ倍の結果のデータとが、同じ点の座標であるか否かを検査する、請求項１から９までのいずれか１項記載の方法。
【請求項１１】
前記第１の加入者（２）は、前記応答に含まれるデータと第２のスカラ倍の結果とを比較し、
該応答の相応のデータと該第２のスカラ倍の結果の相応のデータとが相互に一致する場合、該第１の加入者（２）は前記第２の加入者（３）を、権限を有するものとして承認する、請求項１から１０までのいずれか１項記載の方法。
【請求項１２】
前記応答のデータと前記第２のスカラ倍の結果とを比較するために、該第２のスカラ倍の結果のうち、前記第２の加入者（３）から前記第１の加入者（２）へ送信された応答の部分に相応する部分のみを使用する、請求項１１記載の方法。
【請求項１３】
前記第１のスカラ倍の結果のうち、応答として返信されなかった部分は、前記第１の加入者（２）および第２の加入者（３）のうち少なくとも１つの加入者に既知であるランダム生成された結果を成し、該ランダム生成された結果は秘密鍵として、後続のステップで使用可能であり、
該ランダム生成された結果は、有利には該第１の加入者（２）および第２の加入者（３）の双方に既知である、請求項１から１２までのいずれか１項記載の方法。
【請求項１４】
前記第１の加入者（２）に対する前記第２の加入者（３）の認証および／またはその逆の認証を行うためのチャレンジ‐レスポンス方式をベースとする認証方法である、請求項１から１３までのいずれか１項記載の方法。
【請求項１５】
前記第１の加入者（２）の問い合わせは、前記第２の加入者（３）の鍵に依存しない、請求項１から１４までのいずれか１項記載の方法。
【請求項１６】
前記通信システム（１）のシステムパラメータとして、暗号方式に適した楕円曲線と、該楕円曲線の基準点のアフィンｘ座標と、署名検査のための公開鍵とを供給する、請求項１から１５までのいずれか１項記載の方法。
【請求項１７】
前記第２の加入者（３）のパラメータとして、該第２の加入者（３）に既知の鍵と、該第２の加入者（３）の証明書とのみを供給する、請求項１から１６までのいずれか１項記載の方法。
【請求項１８】
前記第２の加入者（３）から前記応答と一緒に該第２の加入者の証明書も伝送し、
前記第１の加入者において、該第１の加入者および第２の加入者の双方に既知の公開鍵を使用して、該証明書の有効性に基づいて行う、請求項１７記載の方法。
【請求項１９】
請求項１から１８までのいずれか１項記載の暗号を使用して、前記通信システム（１）の加入者（２，３）を認証するための通信システム。
【請求項２０】
相互にデータ通信接続された第１の加入者（２）と少なくとも１つの第２の加入者（３）とが設けられ、
該第１の加入者（２）および該第２の加入者（３）は認証のためにそれぞれ認証モジュール（１６，１７）を有する、請求項１９記載の通信システム。
【請求項２１】
各加入者（２，３）の認証モジュール（１６，１７）は、各認証モジュール（１６，１７）内で計算、検査および認証を行うために構成された計算装置を有する、請求項２０記載の通信システム。
【請求項２２】
各加入者（２，３）はメモリ（１８，１９）を有し、
該メモリ（１８，１９）内に、前記システムパラメータと、各加入者（２，３）に関連するパラメータとが格納されている、請求項１９から２１までのいずれか１項記載の通信システム。
【請求項２３】
前記第１の加入者（２）および第２の加入者（３）は通信システム（１）の通信加入者であり、とりわけＲＦＩＤシステムとして構成された通信システム（１）の通信加入者である、請求項１９から２２までのいずれか１項記載の通信システム。
【請求項２４】
前記第１の加入者（２）はベースステーションであり、
前記第２の加入者（３）はトランスポンダであり、とりわけパッシブまたはセミパッシブのトランスポンダ（３）である、請求項１９から２３までのいずれか１項記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムの加入者間で暗号化されたデータ交換を行う方法と、通信システムとに関する。
【０００２】
本発明は通信技術分野に属し、とりわけ、識別用の非接触通信の分野に属する。原則的には任意の通信システムに適用できるが、以下ではいわゆるＲＦＩＤ通信システムとそのアプリケーションとを参照して、本発明ならびに本発明の基礎となる問題を説明する。ＲＦＩＤは「無線周波数識別（Radio Frequency Identification）」の略称である。このＲＦＩＤ技術の一般的な背景に関しては、Klaus Finkenzeller による "RFID-Handbuch", Hansa-Verlag, dritte aktualisierte Auflage, 2002 を参照されたい。
【０００３】
現在公知のＲＦＩＤシステムでは典型的には、ベースステーション（または読出ステーションまたはリーダ）から送信された電磁的信号がパッシブなトランスポンダ（またはタグ）によって捕捉され、該トランスポンダはこの電磁的信号から、該トランスポンダに必要なエネルギーを取り出す。ＵＨＦまたはマイクロ波をベースとする大部分のＲＦＩＤシステムでは、このような単方向のエネルギー伝送の他に、いわゆるチャレンジ／レスポンス方式を基礎とする典型的には双方向のデータ通信も行われる。このようなデータ通信では、ベースステーションは持続的に問い合わせ信号（データ要求、チャレンジ）を送出し、当該のトランスポンダがこのベースステーションの有効範囲内に存在する場合のみ、該問い合わせ信号に対して応答が行われる。この場合、ベースステーションの直近の周辺に存在するトランスポンダが応答信号（レスポンス）によって応答する。このようなＲＦＩＤトランスポンダはたとえば物を識別するために使用され、たとえば物品および書類等を識別するために使用される。
【０００４】
ワイヤサポートされる従来のデータ通信と異なり、ベースステーションと相応のトランスポンダとの間のデータ通信はほぼ独立して、ユーザが関与する必要なく、ある意味ではバックグラウンドで行われる。すなわち、許可されたトランスポンダが所属のベースステーションの有効領域内に存在する場合に、データ通信が開始される。たとえばフロッピーディスクまたはＵＳＢメモリ等のデータ担体の読出し時には、該データ担体はユーザによって意図的に相応の読出し機器とコンタクトしなければならず、有線データ通信の場合には、このデータ通信もユーザによって意図的に開始しなければならないのに対し、ＲＦＩＤベースの無線データ通信にはこのことは当てはまらない。
【０００５】
このことは、たとえばロジスティクス分野や倉庫等における識別において、幾つかの有効な利点を有する。しかし、ＲＦＩＤベースのデータ通信のこのような技術は、多くの用途で留意しなければならない幾つかの欠点も有する。
【０００６】
このような問題は、無許可のユーザ（攻撃者）によって行われる、ＲＦＩＤトランスポンダに含まれるデータの読出しに関し、このことはとりわけ、このデータがセキュリティ上重要なデータである場合に当てはまる。そのため、ＲＦＩＤベースのデータ通信システムは典型的にはセキュリティメカニズムを有し、このセキュリティメカニズムはたとえば、セキュリティコードがベースステーションによって送信信号に重畳され、データ通信を許可されたトランスポンダによって復号化および評価されることによって該データ通信を保護する。評価が完了した後、データ通信を許可されたトランスポンダが、同様にセキュリティコードを含む応答信号をベースステーションへ送出し、該セキュリティコードはトランスポンダの認証のために該ベースステーションにおいて評価される。この認証によって、ベースステーションにおいて確実に、気づかれることなく無許可のユーザがデータ通信に入り込んでセキュリティ上重要なデータを読み出すことが不可能になる。
【０００７】
トランスポンダベースのデータ通信で重要な境界条件は、ベースステーションとトランスポンダとの間で可能な限り簡単かつ高速のデータ通信が行われることである。このことは、トランスポンダが有するリソースが典型的には少ないこと、すなわちエネルギーリソースとメモリおよび計算のリソースとが小さいことに拠る。このことにより、認証時に評価および認証される典型的なデータ量が可能な限り少なくなる。またこの認証は、可能な限り高速で行う必要もある。というのも、とりわけダイナミックなＲＦＩＤ方式のデータ通信システムでは、認証されるトランスポンダがそのつどのベースステーションの有効領域内に存在する時間はごく僅かである場合が非常に多いからである。この短い時間内で、データ通信接続を構築し、該データ通信接続を認証してその後にデータ交換を行わなければならない。
【０００８】
ベースステーションとトランスポンダとの間のデータ通信を保証するために、暗号保護されるデータ通信が行われる。この暗号化方法に重要なのは、有限の時間内で使用可能な計算能力によって逆を検出できないようにすること、すなわち上記の公開鍵から私有鍵を検出できないようにすることである。
【０００９】
ここで有利であると判明しているのは、楕円曲線に基づく暗号符号化アルゴリズムを使用することである。それはこのようなアルゴリズムにより、短い鍵長で高いセキュリティが得られるからである。楕円曲線をベースとするこのような暗号符号化手法は非常に高効率である。その根拠はとりわけ、公知の暗号方式と対照的にこの手法では、劣指数的（subexponentiell）な実行時間で行われる攻撃手法は知られていないことである。換言するとこのことは、楕円曲線をベースとする手法で使用されるセキュリティパラメータのビットあたりのセキュリティゲインは比較的高いので、実用的な用途に使用される鍵長を格段に短くできることを意味する。それゆえ、実現可能なセキュリティが同程度である場合、楕円曲線をベースとする暗号方式は他の暗号方式よりも高効率であり、システムパラメータを伝送するのに必要とされる帯域幅も小さくなる。
【００１０】
暗号化法は、データを符号化する際の期待されるセキュリティと計算手間との妥協線を成す。ＤＥ１０１６１１３８Ａ１に、ｙ座標を使用せずに点のｘ座標だけで該点のスカラ倍数を決定できることが記載されている。この文献には、任意の体に対する相応の計算規則も記載されている。これによって、スカラ倍を得るための点算術、たとえばモンゴメリ導出器（Montgomery-Leiter）を格段に効率的に実現することができ、点加算当たりの体の乗算回数を少なくし、また中間結果の点表示のためのレジスタの数を少なくすることもできる。
【００１１】
このような背景から出発して本発明の課題は、とりわけ計算上の手間の減少と一定の高さのセキュリティとが必要とされる無線データ通信であってとりわけ高速でもある無線データ通信のための認証を提供することである。
【００１２】
本発明によればこの課題は、請求項１記載の特徴を備えた認証方法および／または請求項１７記載の特徴を備えた通信システムによって解決される。
【００１３】
本発明の対象は、以下の通りである。
【００１４】
楕円曲線をベースとする暗号化を使用して通信システムの加入者間で暗号化されたデータ交換を行う方法であって、第１の加入者の問い合わせに応答して第２の加入者によって、該第２の加入者にある証明書を使用してスカラ倍を計算し、該スカラ倍の結果の一部のみを応答として第１の加入者へ送信する方法。本発明は通信システムに関する。
【００１５】
本発明による暗号化方法を使用して通信システムの加入者を認証するための通信システム。
【００１６】
本発明の基礎となる思想は、通信システムの２加入者間の認証時、とりわけ応答信号をトランスポンダからベースステーションへ送信する際に、この送信すべきデータを低減することである。
【００１７】
ベースステーションによって行われるトランスポンダの認証では典型的には、チャレンジ‐レスポンス方式をベースとする認証プロトコルを使用する。この認証プロトコルではたとえば、トランスポンダはベースステーションの問い合わせに応答してスカラ倍を計算し、その結果として、ランダム選択された投影図内のｘ座標を得る。２進表示では数であるこの投影図は、２進表示では相互に整列されて表示される２つの値（Ｘ，Ｚ）を含む。従来公知の方法では、トランスポンダによって応答の伝送時に両値が応答信号として、すなわちｘ座標の対（Ｘ、Ｚ）が応答信号としてベースステーションへ送信されていた。
【００１８】
それに対して本発明の基礎となる思想は、トランスポンダによってｘ座標の投影図を伝送するために両値をベースステーションへ送信しなくてもよいことである。むしろ、これら２つの値のうち１つを完全に送信し、２番目の値を少なくとも部分的に送信するだけで十分である。このような準不完全な応答でもなお、ベースステーションは比較的高い確実性で認証を行うことができる。このことの特別な利点は、トランスポンダから送信される応答データを低減できることである。このことにより、認証で伝送される応答データの全体的な量が低減される。このことによって、トランスポンダが返信と認証と、これらに関連する計算演算とに必要とされる時間は短縮される。したがって全体的に、認証方法全体は格段に簡単に、かつより高速に行うことができ、このことによって認証時に極度に大きなセキュリティ損失が発生することはない。
【００１９】
たとえばトランスポンダは、ｘ座標の両値のうち１つの値のうちで、一部のみを伝送し、たとえば半分のみを伝送する。本発明ではこのことはたとえば、ｘ座標の相応に計算された値の上部分ないしは上半分のみを返信するか、または下部分ないしは下半分を返信することによって実現される。その際にはベースステーションは、値のこの部分ないしは半分が、この計算された値に相応する値の相応の部分ないしは半分と一致するか否かを検査する。ビットのこの部分ないしは半分が同一である場合にのみ、ベースステーション側で応答データを送信したトランスポンダが正当であると承認される。
【００２０】
投影表現された座標を応答としてトランスポンダが返信するトランスポンダの特定の用途において、データ縮小の実施形態による本発明の認証方法は、以下の利点を有する：
投影図内のｘ座標の伝送すべきビット量が格段に低減される。両値のうち１つの値のビットの半分のみを伝送する上記の場合、伝送すべきデータの全体量は１／４減少される。
【００２１】
このようなデータ縮小によって発生するセキュリティの低減は、たとえば本願に記載された認証プロトコル等の多くの用途では無視できる程度のみである。暗号の公知の作用は、暗号用に適した楕円曲線は有限体ＧＦ（２ｄ）上では、２ｄ／２−１のセキュリティのみを提供することである。このことは、ｄビットの長さを有する体の要素を使用しても、公開鍵を使用するこのような認証のセキュリティは、ｄ／２−１の鍵長に相応するだけである。このことにより、無許可のユーザ側で本認証方法を破ってトランスポンダの秘密鍵に到達することは、上記の本発明の認証方法で応答伝送時に低減されたデータ量で有効な応答を供給することと同程度に困難である。適用例と、該適用例で設定または必要とされる所要セキュリティとに応じて、トランスポンダからベースステーションへ一部伝送されるｘ座標のビット数をさらに低減することができる。
【００２２】
伝送されないビットは、トランスポンダとデータ通信に関与するベースステーションとにのみ既知であるランダム発生された秘密を成す。この未伝送ビットはたとえば鍵として、本発明の認証方法の後続のプロトコルステップで使用することができる。このことは、データ縮小による本発明の認証方法では、投影表現されるｘ座標の一部のみの伝送によって、（片側の）認証のためのプロトコルが、鍵統一による（片側の）認証のためのプロトコルに拡張されることを意味する。
【００２３】
本発明による認証方法の１つの実施形態では、トランスポンダが有限体で除算を行って応答の座標のアフィン表示を算出できる場合、同認証方法をアフィン値に適用することもできる。この場合にも、伝送すべきビット数は格段に低減され、典型的には伝送すべきビットの半分にまで低減される。
【００２４】
図面の各図を参照して他の従属請求項と明細書とを読めば、本発明の有利な実施形態および発展形態を理解できる。
【００２５】
本発明を以下で、図面の各図に示した実施例に基づいて詳しく説明する。
【図面の簡単な説明】
【００２６】
【図１】楕円曲線の例を示す。
【図２】楕円曲線を使用する加算例を示す。
【図３】本発明の通信システムの構成を示すブロック回路図である。
【図４】楕円曲線に基づいて行われる本発明の認証方法を示すフローチャートである。
【図５】応答データのデータ縮小を行う方法と、計算された応答データを含むデータ縮小されたこの応答データと比較するための方法とを説明するための概略図である。
【００２７】
図面の各図において、同一ないしは同機能の要素、特徴および信号には特にことわりがないかぎり同一の参照符号が付与されている。
【００２８】
本発明による認証方法は、楕円曲線に使用される算術をベースとする新規のセキュリティプロトコルを有する。それゆえ、本発明による認証方法を説明する前にまず、図１ａおよび１ｂに基づいて楕円曲線の最も重要な特性を説明する。
【００２９】
有限体（ガロア域）ＧＦ（２ｄ）での楕円曲線に、３次方程式の零集合（Nullstellenmenge）がある。
【００３０】
ｙ２＋ｘｙ＝ｙ３＋ａｘ２＋ｂ（１）
上記式においてｘおよびｙは変数を示し、係数ａおよびｂはガロア域ＧＦ（２ｄ）における係数を示し、ｂ≠０である。
【００３１】
図１ａおよび１ｂには例として、実数での２つの楕円曲線が示されている。
【００３２】
無限に遠隔の点を中性的な要素として使用するとこの零集合は、少なくとも実数体での楕円曲線の場合に群法則が幾何学的に解釈できる加法群を形成する。このような加法群は、数集合と加法（群演算）とから成る。さらにこの群には、前記数集合に含まれる数に加算されると値を変えない中性的な要素（たとえば０）が存在する。さらに、前記数集合の各値に逆元が存在し、相応の値とこの逆元とが加算されると中性的な要素が得られる。ここで重要なのは、代数幾何学によって２つの結果が得られることである（図２参照）。
【００３３】
すべての直線が楕円曲線と３点で交差し、これら３点は、必ずしも相違しているとは限らない。必ず相違しているとは限らない２点ごとに第３の点を計算して、これら３点の和が中性的な要素を表すようにすることができる。ＰおよびＱ（Ｐ≠Ｑ）が２つの点であり、ｇがこれらの点Ｐ，Ｑを通る直線だとすると、この直線ｇは第３の点Ｒで楕円曲線に交差する。Ｘ軸でのＲの鏡映により、Ｓ＝Ｐ＋Ｑが得られる。Ｐ＝−Ｑである場合、ｇの勾配は無限であり、第３の交点Ｒは無限に遠隔の点である。
【００３４】
ベクトル空間内でのスカラ倍の定義と同様に、楕円曲線でのスカラ倍は定義される。Ｐは楕円曲線の１点であり、ｋは自然数であるとすると、スカラ倍ｋ＊ＰはＰ自体のｋ回の加算に相応する。このようなスカラ倍ｋ＊Ｐは、楕円曲線を基礎とする暗号システム内で重要な構成ユニットを成す。暗号上強い楕円曲線では、スカラ倍は一方向性関数となる。すなわち、このスカラ倍は多項式時間で計算できるが、指数関数時間でのみ可逆である。それゆえ、スカラの効率的なアルゴリズム構築を想到するのは困難である。この一方向性関数が、楕円曲線をベースとする暗号認証方法の基礎となる。
【００３５】
楕円曲線に基づいてこのようなスカラ倍を計算するための公知の手法に、いわゆるモンゴメリ導出器またはモンゴメリアルゴリズムがある。このモンゴメリ導出器は、点Ｐのスカラ倍数のｘ座標を計算するために、Ｐのｘ座標と、もっぱらガロア域ＧＦ（２ｄ）での加法および乗法とのみが使用されるように具現化することができる。その際には、面倒な反転は必要ない。下記の本発明による両側での認証方法は、このモンゴメリアルゴリズムを基礎とする。
【００３６】
以下で本発明による両側の認証方法を説明する前に、図３中のブロック回路図に基づいて、まずは本発明による通信システムの基本的構成を詳細に説明する。
【００３７】
図３において参照番号１は、たとえばＲＦＩＤ通信システム等である通信システムを示す。このＲＦＩＤ通信システム１は第１の加入者（ベースステーション２）と少なくとも１つの第２の加入者（トランスポンダ３）とを含む。ベースステーション２とトランスポンダ３とは無線通信区間４を介して双方向通信接続されている。この通信システム１はたとえばいわゆるマスタ‐スレーブ通信システム１として構成することができる。その際には、ベースステーション２はたとえばマスタとして機能するか、またはトランスポンダ３はそれぞれスレーブとして機能する。
【００３８】
ベースステーション２は制御装置５と送受信装置６と送信アンテナおよび受信アンテナ７とを有する。同様にトランスポンダも、制御装置８と送受信装置９と送受信共用アンテナ１０とを有する。
【００３９】
送受信アンテナ７，１０は、誘導コイルアンテナとして形成するかまたはダイポールアンテナとして形成することができる。
【００４０】
各制御装置５，８においてデータ通信のシーケンスが制御される。こうするために典型的には、この制御装置は計算装置（計算ドライブ、ＣＰＵ）を有し、この計算装置内において、とりわけ認証のための計算演算が実行される。制御装置５，８はたとえばプログラム制御される装置として、たとえばマイクロコントローラまたはマイクロプロセッサとして構成されるか、または固定配線式の論理回路で、たとえばＦＰＧＡまたはＰＬＤとして具現化される。
【００４１】
ベースステーション２の制御装置５は、アンテナ７を介して高周波キャリア信号１１をトランスポンダ３のアンテナ１０へ送信するように構成されている。同様にトランスポンダ３の制御装置８および送受信装置９も、送信されたキャリア信号１１に応答して相応の応答信号１２をベースステーション２へ返信するように構成されている。
【００４２】
ベースステーション２はさらに評価装置１４も有する。この評価装置１４はベースステーション２の受信系統２１に配置され、送受信装置６の受信器に後続接続されて配置されている。同様にトランスポンダ３も、該トランスポンダ３の受信系統２３に評価装置１５を有する。各評価装置１４，１５において、データ通信の受信されたデータの評価が行われる。とりわけ評価装置では、受信されたデータの復調および復号化も行われる。
【００４３】
本発明では、ベースステーション２もトランスポンダ３も認証モジュール１６，１７を有し、この認証モジュール１６，１７はベースステーション２ないしはトランスポンダ３の各送受信装置６，９と制御装置５，８との間に配置されている。この認証モジュール１６，１７はここでは別個のモジュールとして構成されている。しかし、各認証モジュール１６，１７は各制御装置５，８の構成部分であるのが有利である。
【００４４】
認証モジュール１６，１７はさらにメモリ１８，１９も有する。このメモリ１８，１９にはたとえば、認証のために必要であるかまたは一時記憶しなければならないデータまたは鍵等が格納されている。メモリ１８，１９は典型的にはＲＡＭメモリを含み、このＲＡＭメモリにはたとえば計算結果が格納される。付加的または択一的にこのメモリ１８，１９はＥＥＰＲＯＭメモリも有することができ、このＥＥＰＲＯＭメモリには、システムパラメータ、たとえば加入者固有の私有鍵等である、異なる通信加入者のパラメータ、公開鍵または加入者固有の証明書等が格納される。
【００４５】
例として図４および５中の概略図を参照して、本発明による認証方法（または認証プロトコル）の基本的原理を説明する。
【００４６】
図４には通信システム１のベースステーション２およびトランスポンダ３が概略的に示されており、ここではこれら装置２，３内の認証モジュール１６，１７およびメモリ装置１８，１９のみが示されている。ここでは、ベースステーション側のメモリ装置１８に公開鍵が格納されており、かつトランスポンダ３のメモリ装置１９内には、該トランスポンダの証明書Ｚとトランスポンダ側の秘密鍵と、場合によっては公開鍵とが格納されていると仮定する。
【００４７】
以下では、図４中のフローチャートに基づいて、楕円曲線に基づいて実施される本発明による認証方法の一例を説明する。
【００４８】
システムパラメータとして、すなわち通信システム全体１ひいては全認証に有効なパラメータとして、以下のパラメータを設定する。
【００４９】
・適切な楕円曲線を設定する。
・ｘｐは、前記楕円曲線上の基本点Ｐのアフィンｘ座標を表す。
・ｘｓは、公開鍵、すなわちベースステーションとトランスポンダとに既知の署名確認用の鍵を表す。
【００５０】
トランスポンダ３には以下のパラメータが設けられる：
・ξＴは、トランスポンダ側の秘密鍵、すなわちベースステーション２が知らない鍵を表す。
・ｘＴ，ｒＴ，ｓＴはトランスポンダ２の証明書Ｚを表し、ｘＴは公開鍵（点Ｔ＝ξＴ＊Ｐのアフィンｘ座標）を表し、ｒＴ，ｓＴは、前記公開鍵ｘＳによって確認可能なｘＴの署名を表す。
【００５１】
図４に示された認証方法は以下のように実施される：
ステップ１）〜３）において、ベースステーション２が問い合わせＣ＝ｘ１（Ｃ＝チャレンジ）を生成する。こうするために、値ｒ１がランダム選択される。次に、ベースステーション２はこの値ｒ１とシステムパラメータｘｐとから、点Ｐ（Ｐ＝ｒ１＊ｘｐ）の投影ｘ座標を示す問い合わせ（Ｘ１，Ｚ１）を計算する。これらの値Ｘ１，Ｚ１はバイナリで相互に隣接して配列され、問い合わせｘ１が写像される。この問い合わせｘ１は、ランダムなスカラでは点Ｐ１＝ｒ１＊Ｐのｘ座標を表す。
【００５２】
ベースステーション２はこの問い合わせＣ＝ｘ１をステップ４）においてトランスポンダ３へ送出する。
【００５３】
ステップ５）において応答Ｒ（Ｒ＝レスポンス）の計算が行われる。ここでは、トランスポンダ３は問い合わせｘ１に対し、点Ｐ２＝ξＴ＊Ｐ１＝ξＴ＊（ｒ１＊Ｐ）の投影ｘ座標を表す相応の応答データＲ＝（Ｘ２，Ｚ２）を計算する。
【００５４】
ステップ７）において、トランスポンダ３によって生成された応答データＲ′＝（Ｘ２′，Ｚ２）が該トランスポンダ３の証明書Ｚ＝ｘＴ，ｒＴ，ｓＴとともにベースステーション２へ返信される。
【００５５】
ベースステーション２はトランスポンダ３の証明書Ｚ＝ｘＴ，ｒＴ，ｓＴをステップ８）において検査する。証明書Ｚが有効でない場合、ベースステーション２はトランスポンダ３を、権限を有さないものとして拒絶する。
【００５６】
ステップ９）および１０）においてベースステーション２はトランスポンダ３の応答を検査する。ベースステーション２は、点Ｐ３＝ｒ１＊Ｔ＝ｒ１＊（ξＴ＊Ｐ）の計算投影ｘ座標（Ｘ３，Ｚ３）を計算し、トランスポンダ３から伝送されたデータ（Ｘ２′，Ｚ２）が、ベースステーション２で生成されたデータ（Ｘ３，Ｚ３）と同じ点の投影座標であり得るか否かを検査する。このことは、スカラ積に関してＸ３＊Ｚ２＝Ｘ２′＊Ｚ３が成り立つ場合に当てはまる。
【００５７】
この関係式が成り立つ場合、トランスポンダ３は権限を有することになる。そうでない場合にはベースステーション２は、応答データＲ′を送信したトランスポンダ３を権限を有さないものとして拒絶する。
【００５８】
ここで重要なのは、ガロア域ＧＦ（２ｄ）において楕円曲線をベースとして相応の認証プロトコルを実施できるように、問い合わせＣおよび応答Ｒ，Ｒ′の生成と相応の証明書とを設定することである。
【００５９】
従来公知の手法では、点Ｐ２の全ｘ座標（Ｘ２，Ｚ２）をベースステーションへ伝送し戻していた。すなわち、このｘ座標のうちで応答Ｒの両値Ｘ２，Ｚ２ともに完全に伝送し戻していた。したがって、ステップ５）の直後にステップ７）が続いていた。それに対して本発明では、ステップ５）とステップ７）との間に付加的なステップ６）が設けられる。この付加的なステップ６）は、データ縮小ステップである。このステップ６）では、トランスポンダ３によって生成された次のような応答データＲ＝（Ｘ２，Ｚ２）、すなわち点Ｐ２のｘ座標のランダム選択された投影図を示す応答データＲ＝（Ｘ２，Ｚ２）がデータ縮小される。すなわち、ここで本発明では、ステップ６）においてこれら２つの値（Ｘ２，Ｚ２）のうち１つの値でデータ縮小を行う。
【００６０】
図５中の実施例では、ｘ座標（Ｘ２，Ｚ２）の投影図の第１の値Ｘ２でデータ縮小を行うことを前提とする。したがって、ｘ座標は両値（Ｘ２′，Ｚ２）を有し、Ｘ２′は値Ｘ２に対してデータ縮小された内容を有する。次に、このデータ縮小された応答Ｒ′＝（Ｘ２′，Ｚ２）はステップ７）において、トランスポンダ３からベースステーション２へ、該トランスポンダの証明書Ｚとともに送出される。
【００６１】
もちろん、ｘ座標の第１の値Ｘ２のデータ縮小を行う代わりに、付加的または択一的に、第２の値Ｚ２のデータ縮小も行うことができる。
【００６２】
ベースステーション２は次に、該ベースステーション２で計算された数（Ｘ３，Ｚ３）が、トランスポンダ３から送出された応答Ｒ′と一致するか否かを検査する。しかしこの応答Ｒ′＝（Ｘ２′，Ｚ２）は完全ではなくデータ縮小されているので、項Ｘ３＊Ｚ２／Ｚ３の相応の部分のみを応答Ｘ２′の成分によって検査する。数Ｘ３＊Ｚ２／Ｚ３のこの相応の部分がＸ３′と一致する場合にのみ、トランスポンダ３はベースステーションによって、権限を有するものとして承認される。
【００６３】
以下で、このデータ縮小方法と、このデータ縮小された値を比較する相応の方法とを、図５ａ〜５ｃ中の概略図に基づいて簡単に説明する。
【００６４】
図５ａに、ステップ５）によって生成されたｘ座標ないしは数４０が示されている。図５ａにはまず、数３０の構造が示されている。この数３０は２つの数値Ｘ２，Ｚ２を含む。このｘ座標３０、ここではｘ座標の値Ｘ２，Ｚ２は、ここではバイナリコードで表されている。ここでは、両値Ｘ２，Ｚ２はそれぞれ８ビット幅であり、これら２つの８ビット幅の値Ｘ２，Ｚ２は直接隣接して配列されていることを前提とする。したがってｘ座標３０全体は１６ビット幅である。この数３０の値Ｘ２は図中の例では、ビット列１０１０を有する４ビット幅の上半分３２と、ビット列１０１１を有する４ビット幅の下半分３３とに分割されている。数３０の値Ｚ２も、ビット列０００１を有するビット半分３４と、ビット列０１０１を有するビット半分３５とを有する。
【００６５】
ステップ６）において数３０から、値Ｘ２′，Ｚ２を有するデータ縮小された数３１が生成される。こうするためにたとえば、値Ｘ２の上半分３２は、データ縮小された数３１を生成する際に無視される。すなわち、データ縮小された数３１は値Ｘ２の下半分３３と完全な値Ｚ２とのみを有する。ステップ６）においてデータ縮小が行われた後、データ縮小されたｘ座標３１は、値Ｘ２の下半分３３と値Ｚ２の両半分３４，３５とを含む。ここで値Ｘ２の上半分３２は、データ縮小されたｘ座標３１の構成要素でなくなるので、トランスポンダ３からベースステーション２へ伝送し戻されることもない。
【００６６】
図５中の例では、データ縮小されたｘ座標３１において上半分３２が無視されている。もちろん、ここで値Ｘ２の下半分３３または値Ｚ２の両半分３４，３５のうち一方の半分を無視することも考えられる。さらに、そのつど値Ｘ２の半分３２、ひいては値Ｘ２の８ビットの内容のうち４ビットが無視されている。ここでは、値Ｘ２の０ではない任意のデータ縮小が考えられる。すなわち、データ縮小されたｘ座標を生成する際にたとえば値Ｘ２の１〜７ビットのみを無視することも考えられる。
【００６７】
図５ｃに基づいてステップ１０）を説明する。図５ｃには、値Ｘ３，Ｚ３を含むｘ座標ないしは数３７の構造が示されている。値Ｘ３，Ｚ３はそれぞれ相応に、上半分ビットおよび下半分ビット３８〜４１を有する。
【００６８】
数３０，３７の両ｘ座標が相互に相応する場合、（Ｘ２，Ｚ２）＝（Ｘ３，Ｚ３）が成り立つはずである。すなわち、相互に隣接して配列されたバイナリ値Ｘ２，Ｚ２のバイナリ数３０は、相応に相互に隣接して配列されたバイナリ値Ｘ３，Ｚ３を有するバイナリ数３７に相応する。
【００６９】
ここでは、認証検査で数３７と本来の数３０と比較することはなく、数３７は、送出されベースステーション２によって受信されたデータ縮小された数３１とのみ比較することができる。しかし、この両数３１，３７のビット幅は異なるので、数３１の一部と数３７の相応の部分とのみが比較される。このことは、データ縮小された数３１に含まれない値Ｘ２の上半分３２は、数３７の値Ｘ３の上半分３８と比較されることもないことを意味する。したがって、数３１の区分３３〜３５のみが数３７の相応の区分３９〜４１と比較され、区分３３が区分３９に相応するか否か、区分３４が区分４０に相応するか否か、区分３５が区分４１に相応するか否かが検査される。
【００７０】
図５のこの例では、区分３３〜３５のビット内容は区分３９〜４１の各ビット内容と同一であるから、この例ではベースステーション２は、データ縮小された数３１を送信した該当のトランスポンダ３を、権限を有するものとして識別する。このことは、値Ｘ２の上方の区分３２が相応の値Ｘ３の上方の区分３８と比較されなくても当てはまる。このことは、とりわけ比較すべき数３０，３７のビット幅が非常に大きい場合、これらの値の一部のみを伝送し、比較すべき値Ｘ３，Ｚ３の相応の部分と比較するだけで十分であるという認識に基づく。相互に比較されたこれらの区分が一致する場合、非常に高い確率で、相応の値Ｘ２，Ｘ３ひいては相応の数３０，３７も同一であると推定することができる。
【００７１】
上記で本発明を有利な実施例に基づき説明したが、本発明はこの実施例に限定されず、種々に変更することができる。
【００７２】
本発明はとりわけ、もっぱらＲＦＩＤシステムに限定されることはなく、たとえば項目別識別（Item-Identification）に拡張することもできる。このような部分は、一義的に識別しなくてもよい場合が多い。また、たとえば欠落した部分の存在を排除することで十分である場合も多い。このことはたいてい、非一義的識別とも称される。このような非一義的識別でトランスポンダが動作する場合、該トランスポンダはセンサの機能を有する。本発明は詳細には、データ担体ないしはセンサのデータを読出して書き込むために通信が行われるセンサにも関する。
【００７３】
また本発明は、必ずしもＲＦＩＤシステムというわけではなくまた必ずしも無線方式で構成されることもない任意のデータ通信システムにも関する。
【００７４】
図３および４ではより概観しやすくするため、ＲＦＩＤシステムの構成、とりわけトランスポンダおよびベースステーションの構成を意図的に大幅に簡略化して示した。もちろんベースステーションおよび相応のトランスポンダは、ベースステーションとトランスポンダとの間のデータ通信に必要な機能ユニットも含むことができ、とりわけ復調器、変調器、エネルギー供給部、同期化装置および復号器等を含むこともできる。
【００７５】
図３および４ではそれぞれ、制御装置と評価装置と認証モジュールとを区別した。もちろん、これらの装置またはこれらの装置の一部を制御装置の一部とするか、または該制御装置と別個に構成することもできる。
【００７６】
また、ベースステーションが有する送受信装置および所属の送受信アンテナをそれぞれ１つとし、トランスポンダが有する送受信装置および所属の送受信アンテナもそれぞれ１つとすることが可能であることも述べておく。もちろん、ベースステーションおよび／またはトランスポンダが有する送信装置と受信装置とを別個にし、とりわけ送信アンテナと受信アンテナとを別個にすることも考えられる。
【００７７】
上記のデータ通信システムおよびデータ通信方法は、「リーダ・トーク・ファースト」原理にしたがって説明した。もちろん、最初はベースステーションがトランスポンダの問い合わせまで待機する「タグ・トーク・ファースト」原理も考えられる。しかし、２番目に挙げられたこの原理の応答時間は比較的悪いので、とりわけ、たとえばＲＦＩＤで使用されるような現在のいわゆる「ロングレンジ」データ通信システムでは、有利には「リーダ・トーク・ファースト」原理が使用される。
【００７８】
図５に基づいて説明した本発明の認証方法は単なる一例であることを解すべきであることは自明である。もちろんここでは、個々のステップおよび適用される数学的演算は本発明の枠内で変更および修正することができ、たとえば同効果のステップまたは択一的なステップによって変更および修正することができる。
【００７９】
また、挙げられた数値記載およびビット幅は単なる一例であることを解すべきであり、本発明は決してこれらに限定すべきではないことにも留意されたい。とりわけ、各値のビット幅を大きくしたり小さくしたりすることも考えられる。さらに、１つの値の異なる区分のビット幅は等しくなくてもよく、異なっていてもよい。各投影ｘ座標の両値Ｘ，Ｚのビット幅にも同様のことが当てはまる。
【図１Ａ】
2010539519.tif 000003
【図１Ｂ】
2010539519.tif 000004
【図２】
2010539519.tif 000005
【図３】
2010539519.tif 000006
【図４】
2010539519.tif 000007
【図５Ａ−５Ｃ】
2010539519.tif 000008
【国際調査報告】
2010539519.tif 000009
2010539519.tif 000010
2010539519.tif 000011
2010539519.tif 000012
2010539519.tif 000013
2010539519.tif 000014