(57)【要約】  本発明は、無線制御ネットワークなどのネットワークに関するノード100に関する。このネットワークにおいて、各ノード100は、識別子104及び鍵材料102と、ノードの鍵材料に基づきノードの識別子を認証する手段112と、ノード多次元識別性及びノードの識別性に対応するアクセス権に基づき、分散型で、ノードのアクセス制御権を確認する手段114と、を有する。追加的に、本発明は、ノードが、更なるセキュア通信を可能にするように使用され得るネットワークにおける他のいずれかのノードとの共通鍵を生成することを可能にさせる。
2010538564.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに関するノードであって、
−第１識別子及び第１鍵材料と、
−前記第１識別子を前記第１鍵材料に基づき認証する手段と、
−当該ノードのアクセス制御権を、前記第１識別子及び前記第１識別子に対応するアクセス権に基づき、分散型で、確認する手段と、
を有するノード。
【請求項２】
請求項１に記載のノードであって、当該ノード及び前記ネットワークの更なるノードの間において共通秘密について合意する手段を含み、前記合意する手段が、当該ノードの前記第１識別子及び前記第１鍵材料、並びに前記更なるノードの第２鍵材料及び第２識別子に基づき前記共通秘密について合意するように構成される、ノード。
【請求項３】
請求項２に記載のノードであって、前記合意する手段が、λ−セキュア鍵確立手法に基づき前記共通秘密について合意するように構成される、ノード。
【請求項４】
請求項３に記載のノードであって、アクセス制御解決法に基づく役割が、前記λ−セキュア鍵確立手法の識別子空間をいくつかの識別子副空間へ分割することによって実行され、これら識別子副空間のそれぞれが異なる役割へリンクされている、ノード。
【請求項５】
請求項２、３及び４の何れか一項に記載のノードであって、認証する手段が、前記第１識別子を認証するために前記共通秘密を使用するように構成される、ノード。
【請求項６】
請求項１乃至５の何れか一項に記載のノードであって、当該ノードは複数の特徴を有し、各特徴が複数の階層的レベルを有し、前記第１識別子は複数の第１副識別子を有し、各特徴の各階層的レベルは前記複数の第１副識別子のうちの異なるものへリンクされる、ノード。
【請求項７】
請求項６に記載のノードであって、前記第１鍵材料は、複数の群の第１鍵材料を含み、各副識別子は前記複数の群の第１鍵材料のうちの異なるものへリンクされる、ノード。
【請求項８】
請求項７に記載のノードであって、前記認証する手段は、特定の第１副識別子を、前記特定の第１副識別子へリンクされる該一群の第１鍵材料に基づき認証するように構成される、ノード。
【請求項９】
請求項８に記載のノードであって、前記認証する手段が、前記特定の第１副識別子に加えて、前記特定の第１副識別子がリンクされる同一の特徴の下位側の階層的レベルへリンクされている全ての副識別子を認証するように構成される、ノード。
【請求項１０】
請求項６乃至９の何れか一項に記載のノードであって、前記確認する手段が、一群の第１副識別子及び前記一群の第１副識別子に対応するアクセス権の成功した認証に基づき、当該ノードの認証を確認するように構成される、ノード。
【請求項１１】
請求項７乃至１０の何れか一項に記載のノードであって、前記合意する手段が、特定の副識別子に関する共通副秘密について、前記特定の副識別子へリンクされる前記一群の第１鍵材料及び前記更なるノードの第２副識別子へリンクされる一群の第２鍵材料に基づき、合意するように構成される、ノード。
【請求項１２】
請求項１１に記載のノードであって、前記合意する手段が、前記特定の副識別子に関する第１部分鍵を生成し、そして、前記特定の副識別子に関する前記共通副秘密について合意するために、前記更なるノードから前記第２副識別子及び第２部分鍵を受け取るように構成される、ノード。
【請求項１３】
請求項１１又は１２に記載のノードであって、前記合意する手段は、複数の副識別子に関する複数の共通副秘密について合意し、そして、前記複数の共通副秘密に基づき共通秘密を決定するように構成される、ノード。
【請求項１４】
請求項１３に記載のノードであって、前記合意する手段が、前記複数の共通副秘密のＸＯＲ組合せを実行することによって前記共通秘密を決定するように構成される、ノード。
【請求項１５】
請求項１乃至１４の何れか一項に記載のノードであって、当該ノードが、特定の動作を実行させるために前記更なるノードによって必要とされるアクセス権を特定する一群の動作ルールを有する前記ネットワークの照明ノードである、ノード。
【請求項１６】
請求項１乃至１５の何れか一項に記載のノードであって、当該ノードが、患者モニタリングなどの他の無線センサネットワークアプリケーションにおいて使用される医療用ノードである、ノード。
【請求項１７】
請求項１乃至１６の何れか一項に記載のノードであって、当該ノードが前記ネットワークの制御ノードである、ノード。
【請求項１８】
請求項１乃至１７の何れか一項に記載の少なくとも１つの第１ノードと、
請求項１乃至１７の何れか一項に記載の少なくとも１つの第２ノードと、
を含む、ネットワーク。
【請求項１９】
ネットワークに関するセキュリティアーキテクチャを確立する方法であって、
−識別子及び鍵材料を前記ネットワークのノードへ供給するステップと、
−前記識別子を前記鍵材料に基づき認証するステップと、
−前記識別子及び前記識別子に対応するアクセス権に基づき、分散型で、前記ノードのアクセス制御権を確認するステップと、
を含む方法。
【請求項２０】
計算機又はセンサノードなどによって実行される場合に、請求項１９に記載の方法を実行することを可能にする計算機プログラム。
【請求項２１】
請求項２０に記載の計算機プログラムを記憶する記録担体。
【請求項２２】
請求項１９に記載の方法を実行するようにプログラムされ、照明システムとの通信に関するインターフェイスを有する計算機。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特に、鍵合意、識別認証、及び分散型アクセス制御を含む、ネットワークに関するノード、ネットワーク、及びネットワークに関するセキュリティアーキテクチャを確立する方法に関する。
【背景技術】
【０００２】
広範囲なコンピュータの使用は、センサ、アクチュエータ、ディスプレイ及び計算機要素が日常的な物品にシームレスに埋め込まれるようなスマート環境（ＳＥ）の創造を可能にしようとしている。このようなスマート環境は、このようなシステムとの人間の相互作用を快適な体験にし得る。
【０００３】
スマート環境は、スマート環境に関する一貫性のある且つ実用的なセキュリティアーキテクチャ（ＳＡ）の定義を基本的なものにする新しいセキュリティ状の脅威に直面する。セキュリティアーキテクチャは、認証及びアクセス制御などの、基本的なセキュリティサービスを保証する必要がある。一方で、認証は、侵入者が例えば虚偽コマンドを送信することなどによってスマート環境との相互作用すること、が可能でないことを保証しなければならない。他方で、アクセス制御は、認証されたユーザが所定のアクセス権に従い実行することを保証しなければならない。最新技術、例えばZigBee（登録商標）などは、効率的なセキュリティアーキテクチャを欠いている。「Cook,Diane;Sajal  Das(2004);Smart  Environments:  Technology,  Protocols  and  Applications;  Wiley-Interscience」に記載されるように、ZigBeeは、オンライントラストセンター（ＯＴＣ）の参加が認証過程において必要とされるので、効率的及び実用的なセキュリティアーキテクチャを欠いている。このことは、オンライントラストセンタの周囲のリソースが過負荷にされ得、且つ、単一障害点（single  points  of  failure）が表わされるので、いくつかの欠点を有する。加えて、ZigBeeは、効率的な制御手順を規定しない。
【０００４】
米国特許出願書類第2007/0078817A1号は、センサノードネットワークにおいて鍵を配布する方法に関する。初めに、センサノードは、一群の鍵からのサブセットの鍵を記憶する。シンクノードは、鍵選択手順を起動し、センサノードは、ローカル同報送信された鍵ＩＤリストから、各センサノードに記憶されるべき１つの鍵を選択する。全ての他の初めに記憶された鍵は、その後削除される。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の目的は、ネットワークに関する改善されたノード、改善されたネットワーク、及びネットワークに関するセキュリティアーキテクチャを確立するための改善された方法を提供することである。
【課題を解決するための手段】
【０００６】
この目的は、独立請求項によって解決される。更なる実施例は従属項に示される。
【０００７】
本発明の基本思想は、認証及び承認処理がアドホックの形態で実行され得る新しい実用的且つ効率的なセキュリティアーキテクチャの規定である。したがって、オンライントラストセンタは、セットアップ段階のおいてのみ必要とされる。このようにして、本発明に従うセキュリティアーキテクチャは、低通信オーバーヘッドを有し、単一障害点を防ぎ、セキュリティをユーザに対して透明にする。
【０００８】
いかなる種類のスマート環境の重要課題又は一般的にはいかなる種類の複雑制御ネットワークの重要課題は、効率的且つセキュアな手法でそれらを制御することである。この文脈において、一般的にスマート環境、及び得に照明スマート環境は、基本セキュリティ問題が解決される場合に、活用され得る。制御ノード及び他のノードの期待される可動性、及びシステム再構成に関して順応しなければならないスマート環境の柔軟性が原因により、スマート環境に関するセキュリティシステムは、柔軟性があり、またスケーラブルでなければならない。一方で、照明スマート環境は、ネットワークにおける全てのノードそれぞれを認証することが可能でなければならない。例えば、認証が保証されない場合、悪意のあるノード又は侵入者は、ビル照明スマート環境などの照明システムをスイッチオフし得る故障メッセージを注入し得る。他方で、照明スマート環境は、ユーザが例えば位置又は状態などの応じた異なるアクセス権を有し得るので、システムへのアクセス権、すなわち承認権、を制御することが可能でなければならない。上述のセキュリティサービスの提供は、照明スマート環境に関する特定の鍵配布アーキテクチャ（ＫＤＡ）の規定を必要とする。鍵配布アーキテクチャは、更なるセキュリティサービスを可能にする暗号化鍵を配布するので、セキュリティの要である。
【０００９】
鍵配布アーキテクチャ、認証及びアクセス制御サービスを含む照明スマート環境に関するセキュリティアーキテクチャの規定は、技術的制約及び動作要件により困難なものである。一方で、照明スマート環境は、計算機的、通信的、エネルギ及びメモリの観点から最小のリソースを有する無線照明ノード及びアクチュエータからなる。他方で、照明スマート環境は、大きいスケーラブルなモバイルアドホックネットワークである。
【００１０】
これらの技術的制約及び動作要件は、現在の解決法の使用を不可能にさせ、新規の特徴を有するセキュリティアーキテクチャを要求する。第１に、照明スマート環境鍵配布アーキテクチャは、高い計算機要件が原因により、公開鍵などの従来型の解決法に基づくことが可能でない。
【００１１】
同様に、トラストセンタに基づく集中型解決法は、照明スマート環境のアドホック性質が原因により可能でない。一般的に、照明スマート環境鍵配布アーキテクチャは、トラストセンタへのアクセスを必要とすることなく動作し、モバイル状況において実施可能でなければならない。追加的に、鍵配布アーキテクチャは、最小のリソース要件を有しなければならない。第２に、認証工程は、第三者に依存してはならない。最後に、アクセス制御リスト（ＡＣＬ）に基づく通常のアクセス制御対処法は、照明スマート環境の高いスケーラビリティ、及びアクセス制御リスト記憶手段を不可能にする照明スマート環境ノードの低いメモリ容量が原因により可能でない。したがって、新しいアクセス制御対処法は、アクセス制御サービスの実施化を最小の要件で可能にさせるように開発されなければならない。
【００１２】
ZigBeeのセキュリティアーキテクチャは、集中型オンライントラストセンタに依存し、いかなる種類のアクセス制御の仕組みも記述していないので、十分に柔軟でない。したがって、ZigBeeの商用ビルオートメーションプロファイル仕様は、スマート照明応用例などの将来のスマート照明応用例を可能にするために、柔軟なセキュリティアーキテクチャ及びアクセス制御の仕組みを用いて拡張されなければならない。
【００１３】
本発明の対処法は、これらのネットワークにおける認証及びアクセス制御セキュリティサービスの労力を要しない実施化を可能にするスマート環境に関して実行可能且つ実用的な照明スマート環境セキュリティアーキテクチャを記述することによって、上述の全ての課題に対処する。
【００１４】
本発明のセキュリティアーキテクチャは、照明スマート環境において使用され得る。本発明のセキュリティアーキテクチャの有利な点は、その最小のリソース要件である。したがって、本発明に従うセキュリティアーキテクチャは、リソース制約照明スマート環境ノードに関する実行可能なセキュリティアーキテクチャである。セキュリティアーキテクチャの動作は、完全に分散され得る。分散型動作は、照明スマート環境の可動性又はアドホック動作などの動作要件と一致する。更に、セキュリティアーキテクチャは、セキュリティアーキテクチャがノード間の既存の関係をマッピングするので、認証サービスの労力を要しない実施化及びアクセス制御セキュリティサービスの不良のない実施化を可能にする。セキュリティアーキテクチャは、２つのノードが特定の事前配布鍵材料に基づき高セキュリティレベルで共通秘密について合意することを可能にし、他の種類のスマート環境又は制御ネットワークへも適用され得る。本発明のセキュリティアーキテクチャの更なる有利な点は、その応用領域及び技術的解決法が、例えば、「ZigBee(r)'s  Application  Profile  "Commercial  Building  Automation";  ZigBee  Document  053515r07,  "Commercial  Building  Automation  -  Profile  Specification"  February  2007」へ組み込むことなどによって、ZigBee規格へ加えるように使用され得ることである。
【００１５】
本発明の実施例に従うと、ネットワークに関するノードであって、
−第１識別子及び第１鍵材料と、
−前記第１識別子を前記第１鍵材料に基づき認証する手段と、
−当該ノードのアクセス制御権を、前記第１識別子及び前記第１識別子に対応するアクセス権に基づき、分散型で、確認する手段と、
を有するノードが提供される。
【００１６】
前記ノードは、当該ノード及び前記ネットワークの更なるノードの間において共通秘密について合意する手段を含み得、前記合意する手段が、前記ノードの前記第１識別子及び前記第１鍵材料並びに前記更なるノードの第２鍵材料及び第２識別子に基づき前記共通秘密について合意するように構成され得る。このことは、ネットワークのいずれかの２つのノードが、これらが担持する鍵材料及びこれらの識別子に基づき共通秘密について合意することを可能にする。
【００１７】
前記合意する手段は、λ−セキュア確立手法に基づき前記共通秘密について合意するように構成され得る。λ−セキュア鍵確立手法の例は、「R.  Blom,"An  Optimal  Class  of  Symmetric  Key  Generation  Systems"  Advances  in  Cryptology:Proc.  Eurocrypt'84,pp.335-338,1984」及び「C.  Blundo,A.D.  Santis,A.  Herzberg,S.  Kutten,U.  Vaccaro  and  M.  Yung,"Perfectly-Secure  Key  Distribution  for  Dynamic  Conferences",Proc.  Conf.  Advances  in  Cryptology  (Crypto'92),E.F.  Brickell,  ed.,pp.471-486,1992」である。λ−セキュア鍵確立手法は、多くてもλ個のノードの連携がシステムのセキュリティを危険にさらさないこと、すなわち攻撃者がシステムをクラックするためにλセットより多い鍵材料を収集しなければならないことを保証する。
【００１８】
アクセス制御解決法に基づく役割は、前記λ−セキュア鍵確立手法の識別子空間をいくつかの識別子副空間へ分割することによって実行され得、これら識別子副空間のそれぞれが異なる役割へリンクされている。このようにして、ノードの役割は、ノード識別子が属する識別子副空間を識別することによって容易に識別され得る。アクセス制御に関する集中型インフラストラクチャに依存することは、遅延の増加及びトラフィックの集中を生じさせる。
【００１９】
更に、認証する手段は、前記第１識別子を認証するために前記共通秘密を使用するように構成され得る。
【００２０】
ある実施例に従うと、前記ノードは複数の特徴を有し得、各特徴が複数の階層的レベルを有し得、前記第１識別子は複数の第１副識別子を有し得、各特徴の各階層的レベルは前記複数の第１副識別子のうちの異なるものへリンクされ得る。このことは、精度の増加する程度を用いて記述される一群の特徴としてノードを規定することを可能にさせる。
【００２１】
更に、前記第１鍵材料は、複数の群の第１鍵材料を含み得、各副識別子は前記複数の群の第１鍵材料のうちの異なるものへリンクされ得る。一群の鍵材料は、副識別子の認証を可能にさせる。
【００２２】
前記認証する手段は、特定の第１副識別子を、前記特定の第１副識別子へリンクされる該一群の第１鍵材料に基づき認証するように構成され得る。このことは、各副識別子の独立した認証を可能にする。
【００２３】
前記認証する手段は、更に、前記特定の第１副識別子に加えて、前記特定の第１副識別子がリンクされる同一の特徴の下位側の階層的レベルへリンクされている全ての副識別子を認証するように構成され得る。
【００２４】
前記確認する手段は、一群の第１副識別子及び前記一群の第１副識別子に対応するアクセス権の成功した認証に基づき、前記ノードの認証を確認するように構成され得る。したがって、ノードは、自身の識別性の全体を公開することなく特定のアクセスに関して認証され得る。
【００２５】
実施例に従うと、前記合意する手段は、特定の副識別子に関する共通副秘密について、前記特定の副識別子へリンクされる前記一群の第１鍵材料及び前記更なるノードの第２副識別子へリンクされる一群の第２鍵材料に基づき、合意するように構成され得る。このことは、共通副秘密を決定するために一群の鍵材料を使用することを可能にさせる。
【００２６】
前記合意する手段は、前記特定の副識別子に関する第１部分鍵を生成し、そして、前記特定の副識別子に関する前記共通副秘密について合意するために、前記更なるノードから前記第２副識別子及び第２部分鍵を受け取るように構成され得る。
【００２７】
前記合意する手段は、複数の副識別子に関する複数の共通副秘密について合意し、そして、前記複数の共通副秘密に基づき共通秘密を決定するように構成され得る。このことは、ネットワークの一対のノードが、高いセキュリティレベルを有する主鍵について同意することを可能にさせる。
【００２８】
前記合意する手段は、前記複数の共通副秘密のＸＯＲ組合せを実行することによって前記共通秘密を決定するように構成され得る。
【００２９】
ある実施例に従うと、当該ノードは、特定の動作を実行させるために前記更なるノードによって必要とされるアクセス権を特定する一群の動作ルールを有する前記ネットワークの照明ノードであり得る。
【００３０】
当該ノードは、患者モニタリングなどの他の無線センサネットワークアプリケーションにおいて使用される医療用ノードでもあり得る。
【００３１】
代替的に、前記ノードは前記ネットワークの制御ノードであり得る。
【００３２】
本発明の更なる実施例に従うと、本発明の実施例に従う少なくとも１つの第１ノードと、本発明の実施例に従う少なくとも１つの第２ノードと、を含む、ネットワークが提供される。
【００３３】
本発明の更なる実施例に従うと、ネットワークに関するセキュリティアーキテクチャを確立する方法であって、
−識別子及び第１鍵材料を前記ネットワークのノードへ供給するステップと、
−前記第１識別子を前記第１鍵材料に基づき認証するステップと、
−分散型で、前記ノードのアクセス制御権を、前記識別子及び前記識別子に対応するアクセス権に基づき、確認するステップと、
を含む方法が提供される。
【００３４】
本発明の更なる実施例に従うと、計算機又はセンサノードなどによって実行される場合に、本発明に従う上述の方法を実行することを可能にされる計算機プログラムが提供され得る。このことは、コンパイラプログラムにおいて本発明の対処法を実現することを可能にさせる。
【００３５】
本発明の更なる実施例に従うと、例えば、CD-ROM、DVD、メモリーカード、ディスケット、又は電子アクセスに関する計算機プログラムを記憶するのに適した同様なデータ担体などの、本発明に従う計算機プログラムを記憶する記録担体が提供され得る。
【００３６】
本発明のこれら及び他の態様は、以下に説明される実施例から明らかであり、これらを参照にして説明され得る。
【００３７】
本発明は、例証的な実施例を用いて以下により詳細に説明される。しかし、本発明は、これらの例証的な実施例に制限されない。
【００３８】
以下において、機能的に類似又は同一の要素は、同一の参照符号を有し得る。
【図面の簡単な説明】
【００３９】
【図１】図１は、本発明に従うネットワークに関するノードを示す。
【図２】図２は、本発明に従う照明スマート環境を示す。
【図３】図３は、本発明に従うビル照明スマート環境を示す。
【図４】図４は、本発明に従う鍵確立手法のセットアップ段階を示す。
【図５】図５は、本発明に従う鍵確立手法の動作段階を示す。
【図６】図６は、本発明に従う鍵伝達アーキテクチャを示す。
【図７】図７は、本発明に従うノードの多次元識別性を示す。
【図８】図８は、本発明に従うノードの更なる多次元識別性を示す。
【図９】図９は、本発明に従う識別性確認モデルを示す。
【図１０】図１０は、本発明に従う多次元認証を示す。
【図１１】図１１は、本発明に従う更なる多次元認証モデルを示す。
【図１２】図１２は、本発明に従う鍵伝達アーキテクチャの概略を示す。
【図１３】図１３は、本発明に従う本発明のセキュリティアーキテクチャの動作を示す。
【発明を実施するための形態】
【００４０】
図１は、本発明の実施例に従うネットワークに関するノード１００を示す。ノード１００は、ネットワークの装置又は構成要素であり得る。例えば、ノードは、ネットワークの照明ノード又は制御ノードであり得る。ノード１００は、第１識別子１０４及び第１鍵材料１０２を有する。識別子１０４及び第１鍵材料１０２は、ノード１００のメモリに記憶され得る。ノード１００は、更に、第１識別子１０４を認証する手段１１２及びノード１００の承認を確認する手段１１４を有する。認証する手段１１２は、第１鍵材料１０２に基づき第１識別子１０４を認証するように構成され得る。したがって、認証する手段は、第１識別子１０４及び第１鍵材料１０２を読取り、第１識別子１０４が正常に識別された場合に示す認証結果を提供するように構成され得る。確認する手段１１４は、第１識別子１０４に基づき、且つ、第１識別子１０４に対応する追加的なアクセス権に基づきノード１００の承認を確認するように構成され得る。したがって、確認する手段１１４は、第１識別子１０４及び追加的なアクセス権を読取り、そして、ノード１００が、例えば特定の動作を実行することなどを承認される場合に示す確認結果を提供するように構成され得る。
【００４１】
ノード１００は、更に、ノード１００とネットワークの更なるノードとの間の共通秘密について合意する手段１１６を含み得る。更なるノードは、ノード１００と等しい又は類似であり得る。合意する手段１１６は、第１識別子１０４及び第１鍵材料１０２、並びに、更なるノードから第２識別子及び第２鍵材料を受け取るように構成される。合意する手段１１６は、第１識別子１０４、第１鍵材料１０２、第２鍵材料、及び第２識別子に基づき共通秘密について合意するように構成され得る。λ−セキュア確立手法は、共通秘密について合意するために使用され得る。合意する手段１１６は、共通秘密を提供するように構成され得る。共通秘密は、第１識別子１０４を認証するために認証する手段１１２によって使用され得る。
【００４２】
ある実施例に従うと、ノード１００は、複数の特徴を含む。各特徴は、図８に示されるように、複数の階層レベルへ分割され得る。各特徴の各階層レベルを識別するために、第１識別子１０４は、図９に示されるように複数の第１副識別子を含み得る。したがって、各特徴の各階層レベルは、複数の第１副識別子のうちの異なる１つへリンクされ得る。第１識別子１０４に類似して、第１鍵材料１０２は、複数の群の第１鍵材料を含み得る。図１０に示されるように、各副識別子は、前記複数の群の第１鍵材料のうちの異なる１つへリンクされる。
【００４３】
第１鍵材料の複数の群は、副識別子を認証するために使用され得る。特に、認証する手段１１２は、特定の第１副識別子を、特定の第１副識別子へリンクされる第１鍵材料の群に基づき認証するように構成され得る。特定の第１副識別子を認証する場合、認証する手段１１２は、特定の第１副識別子がリンクされるのと同一の特徴のより下位の階層レベルへリンクされるいずれかの副識別子をも認証するように構成され得る。
【００４４】
ある実施例に従うと、確認する手段１１４は、ノード１００の特定の承認を、一群の第１副識別子及びこの一群の第１副識別子に対応するアクセス権に基づき、確認するように構成され得る。この一群の第１副識別子を形成する第１副識別子の選択は、例えば、ノード１００によって実行されるべき所望な動作の種類に依存し得る。
【００４５】
ある実施例に従うと、合意する手段１１６は、ノード１００と更なるノードとの間の共通副秘密について合意するように構成され得る。副秘密は、特定の副識別子に関連され得る。合意する手段１１６は、特定の副識別子に関する共通副秘密について、特定の副識別子へリンクされる一群の鍵材料と更なるノードの第２副識別子へリンクされる一群の第２鍵材料とに基づき合意するように構成され得る。更に、合意する手段１１６は、各副識別子に関する第１部分鍵を生成し、そして共通副秘密について第１部分鍵と更なるノードからの第２部分鍵とに基づき合意するように構成され得る。したがって、合意する手段１１６は、第２副識別子及び更なるノードからの第２部分鍵を受け取るように構成され得る。更に、合意する手段１１６は、ノード１００の複数の副識別子に関する複数の共通副秘密について合意し、そして、共通秘密を、複数の共通副秘密に基づき決定するように構成され得る。共通秘密は、複数の共通副秘密のＸＯＲ組合せを実行することによって決定され得る。
【００４６】
ノード１００が接続されるネットワークは、本発明の更なる実施例に従い、セキュリティアーキテクチャを確立する方法を実行し得る。確立する方法の第１のステップにおいて、第１識別子１０４及び第１鍵材料１０２は、ノード１００へ提供される。第２ステップにおいて、第１識別子１０４は、第１鍵材料１０２に基づき認証される。第３ステップにおいて、ノード１００の認証は、第１識別子１０４及び第１識別子１０４に対応するアクセス権に基づき確認される。方法の更なるステップは、共通秘密について合意するために、又は複数の副識別子及び複数の群の鍵材料を含むノード１００へ当該方法を適合させるために、実行され得る。
【００４７】
図２は、本発明の実施例に従うネットワークを示す。ネットワークは、図１に示されるノード１００のような、複数のノードを含み得る。この実施例に従うと、ネットワークは、制御ネットワークであり得、特に、第１無線照明システム１００ａ、第２無線照明システム１００ｂ、第３無線照明システム１００ｃ及び無線スイッチ１００ｄを含む照明スマート環境であり得る。無線照明システム１００ａ・１００ｂ・１００ｃ及び無線スイッチ１００ｄは、図１に示されるノードであり得る。無線スイッチ１００ｄは、無線照明システム１００ａ・１００ｂ・１００ｃをオン又はオフにスイッチするように構成され得る。
【００４８】
図２に示される照明スマート環境は、照明制御システムが知的であるようなスマート環境であり、この場合、例えば、多数の照明ノード１００ａ・１００ｂ・１００ｃは、知的な態様でユーザ担持トークン１００ｄによって無線で制御され、これにより、ユーザの好みに従うシステムの自動構成及び動作を可能にする。図２は、無線トークン１００ｄがいくつかの無線照明システム１００ａ・１００ｂ・１００ｃを無線で制御する簡単な照明スマート環境を例示する。
【００４９】
図３は、ネットワーク、特に本発明に従うビル照明スマート環境を示す。ビル照明スマート環境は、複数のノードを、ビルに配置されるスイッチ及び電球バルブの形態で含む。スイッチ及び電球バルブは、ビルの異なる部屋及び階に広げられ得る。
【００５０】
現実の照明スマート環境は、ビル、通り又はどこにおいても利用される数百の無線照明ノードから構成され得、光色温度、強度、指向性、及びビーム幅などの照明特徴を制御することを可能にさせる。この文脈において、図３に示される無線照明ノードを有するビル照明スマート環境が想像され得る。システム動作は、ユーザ及びユーザの好みを識別する無線制御トークンを持ち運ぶユーザによって制御され得る。したがって、ユーザの好みに従う動的な照明調整などの応用例が実現され得る。
【００５１】
ZigBeeなどの関連される規格は、スマート照明環境などのスマート環境に類似する応用例を含む。より具体的には、これらは、一般的な、照明の、遮断の、ＨＶＡＣの及び侵入者アラームのシステムなどの異なる応用例が制御され得るビルオートメーションに関するプロファイル仕様に対処する。これらの応用例は、スマート環境の柔軟性を提供しないので、かなり原始的である。しかし、本発明の対処法は、本発明に従うスマート環境を生成することを可能にさせ得る規格における適切な拡張を可能にする。
【００５２】
図４及び５は、本発明のある実施例に従うネットワークに関して使用され得るλ−セキュア確立手法の各段階をそれぞれ示す。図４は、鍵確立手法のセットアップ段階を示し、図５は鍵確立手法の動作段階を示す。ネットワークは、図１に示されるノード及びトラストセンタＴＣであり得る複数のノードＡ・Ｂ・ｉを含み得る。
【００５３】
例えば公開鍵などに基づく既知の鍵配布対処法は、技術的制約及び動作要件が原因により照明スマート環境へ適用され得ない。類似の理由が原因により、既知のアクセス制御解決法は、それらが集中型セキュリティインフラストラクチャなどのセキュリティインフラストラクチャへのランタイムアクセス及び／又は大きなＡＣＬの記憶手段を必要とするので、リソース制約ノードにおいて実行可能であり得ない。本発明の実施例に従うと、λ−セキュア確立手法は、両方の以前の問題を解決するのに使用される。
【００５４】
本発明に従うλ−セキュア鍵確立手法（λＫＥＭ）は、いずれかのノードの対がアドホックの形態で暗号化秘密について合意し得る鍵確立対処法として規定され得る。一般的に、図４に示されるセットアップ段階において、トラストセンタＴＣは、固有の識別子とともに一群の鍵材料ＫＭを、ネットワークにおける全てのノードへ配布する。一群の鍵材料ＫＭＡはノードＡへ配布され、更なる群の鍵材料ＫＭＢはノードＢへ配布され、一群の鍵材料ＫＭCはノードＣへ配布される。図５に示されるノード配置の後に、一対のノードＡ・Ｂは共通秘密ＫＡＢについて合意するために、事前配布された鍵材料ＫＭＡ・ＫＭＢを活用する。ノードＡ・Ｂ間の将来に通信は、共通秘密ＫＡＢ又はその派生物に基づき保護され得る。したがって、共通秘密ＫＡＢは、例えば秘匿性、認証又は承認に関して使用され得る。
【００５５】
λ−セキュア鍵確立手法は、多くてもλ個のノードの連携がシステムのセキュリティを危険にさらさせないことを保証する。したがって、攻撃者がシステムをクラックするためにλセットより多い鍵材料ＫＭを収集しなければならない。
【００５６】
図６は、本発明の実施例に従う照明スマート環境に関する基本セキュリティアーキテクチャを示す。基本セキュリティアーキテクチャは、単一のλ−セキュア鍵確立手法に基づく。この対処法は、簡単な形態で照明スマート環境に関するセキュリティアーキテクチャを生成するのに使用され得る。図５及び図６の上部に示されるように、セキュリティアーキテクチャは、いずれかの対のノードが、ノードが担持する鍵材料及びノードの識別子に基づき共通秘密について合意することを可能にさせる。結果として、２つの装置は、図６の中部に示される認証目的に関する該秘密を使用し得る。認証の後に、ノードは、他の集団がアクセス権を有するか、すなわち他の集団が承認されているかを、図６の下部に示されるように、識別性（identity）及び対応するアクセス権を確認することによって、確認する。通信の秘匿性は、メッセージを暗号化することために生成された秘密を用いることによって保証され得る。
【００５７】
図６に示される単一λ−セキュア鍵確立手法に基づくセキュリティアーキテクチャは、２つの主な欠点を有する。一方では、λ個のノードの捕捉は、システム全体の妥協を生じさせる。他方においては、この対処法は、ネットワークにおける各個別のノードのアクセス権に関する多量の情報の記憶手段を必要とする。役割に基づくアクセス制御の代替態様は、記憶手段を低減させ得るが、記憶され得る制限された量の役割が原因により、低い柔軟性をもたらす。例えば、役割に基づくアクセス制御解決法は、λ−セキュア鍵確立手法の識別子空間をいくつかの識別子副空間へ分割することによって実行され得る。これら識別子副空間のそれぞれは、異なる役割へリンクされる。この態様において、ノードの役割は、ノード識別子が属する識別子副空間を識別することによって容易に識別され得る。アクセス制御に関する集中型インフラストラクチャに依存することは、遅延の増加及びトラフィックの集中化を生じさせる。
【００５８】
図１２は、上述の制限を解決する更なる実施例に従うシステムを示す。このシステムは、４つの特徴、すなわち多次元識別、認証、アクセス制御及び秘匿性保護、を含む。図７乃至１１は、このシステムの特徴を詳細に示す。
【００５９】
図７及び８は、多次元識別性又は識別の特徴に関する。いずれかのノード、装置又は構成要素の識別は、精度の程度の増加を伴い記述され得る一群の特徴として一般的に規定され得る。例えば、図７において、構成要素の識別は、行列の行に列挙され得るN個の異なる特徴から構成され得る。各特徴は、行列の列に列挙され得るL個までの異なるレベルの精度を用いて記述され得る。精度レベルが深い程、識別仕様はより正確になる。図８は、構成要素の位置、所有者、及び役割が異なるレベルの精度を用いて記述される、この多次元識別性モデルの可能な例を与える。
【００６０】
λ−セキュア鍵確立手法に基づく既知のシステムにおいて、固有の識別子は１つ１つの構成要素へリンクされている。
【００６１】
多次元セキュリティアーキテクチャは、固有の識別子を排除し、それを多次元識別子と置換する。この多次元識別子は、N個までの異なる階層的副識別子を含み、これらの階層的副識別子のそれぞれが、構成要素の特徴を記述する。追加的に、これらの副識別子のそれぞれが、階層的な形態で構築され得、且つ、L個までの要素｛ＩＤｉ１,ＩＤｉ２,...,ＩＤｉＬ｝から構成され得、これにより、各特徴が、可変のレベルの精度を用いて記述され得るようにされる。例えば、特徴ｉ、｛ＩＤｉ１,ＩＤｉ２,...,ＩＤｉＬ｝に関する副識別子が与えられる場合、この副識別子のサブセット、例えば｛ＩＤｉ１,ＩＤｉ２｝は、構成要素の特徴を部分的に記述する一方で、識別子全体｛ＩＤｉ１,ＩＤｉ２,...,ＩＤｉＬ｝は構成要素の特徴を完全に記述する。この対処法は、いくつかの有利な点を有する。例えば、構成要素は、プライバシ範囲を保護するために、識別のサブセットのみを開示し得る。図９は、副識別子ＩＤ１１、ＩＤ２１、ＩＤｎ２、ＩＤ１２を開示するノード又は構成要素を示す。
【００６２】
図１０は、多次元識別性の特徴に関する。多次元セキュリティアーキテクチャは、多次元識別子の各属性又は特徴を独立して認証することを可能にさせる。このことは、構成要素の識別の全体が一度に認証される従来型モデルと比較されて有利である。例えば、この多次元セキュリティアーキテクチャは、構成要素が、デジタル識別の一部を開示し、この部分のみを認証することを可能にさせる。
【００６３】
この目的のために、ｉ及びｊがそれぞれ特徴及び精度の程度を識別する構成要素の識別ＩＤｉｊの各副識別子は、一群のλ−セキュア鍵材料ＫＭｉｊへリンクされる。このようにして、構成要素は、図１０に示される特定の鍵材料の群を用いて特定の特徴を認証し得る。識別子の階層的構造は、j<xである全ての副識別子ＩＤｉｊが、1≦x≦Lである副識別子ＩＤｉｘが認証される場合に認証されることを保証する。このようにして、構成要素は、構成要素が特徴ＩＤｉｊを有することを認証することを必要とする場合に、当該特徴を認証するためにＫＭｉｊを用いる。
【００６４】
図１１は、多次元アクセス制御の特徴に関する。構成要素は、自身の識別に従い、及びより具体的には自身の識別の特徴に従い、システムにおける特定の群の権利を獲得する。例えば、構成要素は、この構成要素が一群の要件を達成する場合に、及びその場合にのみ、システムへアクセス及びシステムを修正することを許可される。
【００６５】
多次元セキュリティアーキテクチャにおいて、構成要素の識別は、それぞれL個までの異なるレベルの精度を有する一群のN個の特徴に従い特定及び認証され得る。このようにして、リソースへのアクセスは、特定のプロファイルを有する構成要素、すなわち特徴のサブセットを満たす構成要素へ制限され得る。図１１は、構成要素が動作を実行するために満たす必要がある特徴の可能なサブセットＩＤ１１、ＩＤ２１、ＩＤ２２、...、ＩＤｎ１、ＩＤｎ２、...、ＩＤｎＬを例示する。一般的に、この工程は、異なるサブセットの特徴が異なるアクセス権を可能にするように、拡張され得る。
【００６６】
本発明のシステムは、秘匿性保護の特徴を提供する。図5に示されるように、λ−セキュア鍵確立手法は、相関化された鍵材料を担持する2つのノードが、共通鍵について合意することを可能にする。多次元セキュリティアーキテクチャも、対のノードが共通鍵について合意することを可能にさせるが、この場合、各ノードがいくつかの群の鍵材料を担持し、これにより、１つの対のノードが共通鍵について合意するためにいくつかの群の鍵材料を使用し得るようにされることにおいて差異を有する。したがって、鍵生成は、２つのステップで実行される。第１のステップにおいて、各ノードは、1≦j≦nである各特徴jに関する部分鍵Ｋｊを生成する。この目的のために、２つのノードＡ及びＢは、l≦Lである前記特徴｛ＩＤ１ｊ,ＩＤ２ｊ,...,ＩＤｌｊ｝へリンクされる階層的副識別子を開示する。両方のノードは、λ−セキュア鍵確立手法のルールに従う共通鍵Ｋｊについて合意するためにそれぞれ対応する鍵材料（
2010538564.tif 000003
及び
2010538564.tif 000004
）
及び副識別子（
2010538564.tif 000005
及び
2010538564.tif 000006
）を使用する。このステップは、特徴毎に１回ずつ、n回反復される。第２のステップにおいて、２つのノードは、各個別の特徴ｊにリンクされる鍵材料によって生成される、1≦j≦nであるような、部分鍵Kjを組み合わせることによって鍵Kを計算する。例えば、全ての鍵のＸＯＲ
2010538564.tif 000007
を計算することなどによる。
【００６７】
図１２は、本発明に従う多次元セキュリティアーキテクチャ及びその様々な成分を例示及び要約する。鍵配布アーキテクチャの第１のブロック「識別性」は、構成要素を特徴付け且つ識別するのに使用される全ての識別子を表わす。第２のブロック「認証」においては、対応する構成要素の副識別子の１つ１つへリンクされる鍵材料が示される。各鍵材料サブセットは、副識別子を認証するために使用される。最後に、第３のブロック「承認」は、構成要素が、特定のアクションを実行するのを可能にされるために、存在しなければならない最低限の特徴を示す。ノードを認証する処理において、秘匿性保護の特徴に従い共通鍵について合意することも可能である。
【００６８】
図１３は、本発明の実施例に従うセキュリティアーキテクチャの動作を示す。特に、図１３は、アクセス制御権が考慮に入れられる照明スマート環境を可能にするための多次元セキュリティアーキテクチャの使用の実用的な応用例を例証する。この目的のために、図３に示されるオフィスビルが仮定され、すなわち、ユーザは、その位置及び役割に応じて異なるアクセス権を有する。
【００６９】
位置特徴に関する３つの精度レベル、すなわち、ビル、階及び部屋、が仮定される。この文脈において、自分のオフィスにいるユーザは、自身のオフィス照明の完全な制御を有するべきである。例えば、彼女は、自分のオフィス照明において薔薇の色調を設定することが可能であり得る。同一のユーザは、彼女の階における照明システムに対して、異なる、より少ないアクセス権を有し得る。例えば、彼女は、照明をオン及びオフにする、並びに光強度レベルを修正することのみ可能であり得る。最後に、彼女がビルの他の部分へ移動しているときは、このユーザは非常に制限されたアクセス権を有する。
【００７０】
追加的に、２つの異なる役割、すなわちユーザ及び管理者、が仮定される。ユーザの権利は光制御に制限される一方で、管理者は、例えば、ミーティングルームなどの共通部屋における照明動作を設定する、ノードのＩＤを再構成する、鍵材料を変更する、新しいノードを追加する、又はノードのファームウェアを更新することなどが可能である。
【００７１】
２つの異なる種類のノード、すなわちバラストなどの照明ノード、及び制御トークンが考慮される。照明ノードは、特定の位置における照明特徴を制御するノードである。このようなノードは、ユーザの好みに従い制御され得、これらの制御は、特定の特徴の群を有するユーザが特定の動作を実行し得るように事前構成され得る。制御トークンは、ユーザによって持ち運ばれ、照明システムを制御するために使用される。制御トークンは、携帯電話に埋め込まれ得る。制御トークンは、システムへアクセスすることを望むユーザを識別する。
【００７２】
先行する過程に従い、システムの動作は、異なる段階を有し得る。第１のセットアップ段階において、照明及び制御ノードの両方が設定される。制御ノードは、例えば、ビル、階又は部屋などの位置、及び管理者又は通常のユーザなどの役割等の、所有者の制御トークンの特徴を識別する鍵材料を入手する。照明ノードは、特定のアクションを実行するための権利をどのユーザが有するかを特定する一群の動作ルール、及びユーザを認証するための鍵材料を入手する。第２の段階において、動作段階、ユーザ又は制御トークンは、例えば照明ノードなどのシステムと相互作用する。この目的のために、特定のアクションを実行することを望むユーザは、システムによって認証及び承認される必要がある。図１３は、ユーザ及びシステム間の可能な承認ハンドシェイクを示す。第１のステップ（１）において、ユーザは、設定要求をシステムへ送信する。システムは、このアクションを実行するための最低限の要件が何であるか、すなわちどの種類の個人が当該アクションを実行し得るのか、を確認する。この分析の後に、システムは、ユーザへ、識別要求を送信する（２）。最後に、ユーザは、以前のセクション（３）において記述されたシステムに基づき識別特徴を認証するために認証ハンドシェイクを開始する。認証処理が成功である場合、システムは、ユーザからの設定要求を承認する。
【００７３】
システムは、ユーザが自身の識別の一部のみを開示し、これにより、システムも自身の識別を保護することを可能にするようにされるので、優れた特徴を表している。
【００７４】
本発明の対処法は、IEEE802.15.4/ZigBeeに基づくネットワークなどのスマート環境及び制御ネットワークにおいて応用例を見つけ得る。応用例は、ZigBeeスマート環境に関する分散型制御システムであり得る。追加的に、本発明の対処法は、基本セキュリティが高セキュリティレベル及び低リソース要件を用いてアドホックの形式で提供されなければならないような無線センサネットワークなどの、他のネットワークへも適用可能であり得る。
【００７５】
上述の実施例の特徴は、適切である場合、組み合わせて又は並行して使用され得る。
【００７６】
本発明の少なくともいくつかの機能性は、ハードウェア又はソフトウェアによって実行され得る。単一の又は多重の標準マイクロプロセッサ又はマイクロコントローラは、本発明を実施する単一の又は多重のアルゴリズムを処理するために使用され得る。
【００７７】
「有する」という動詞及びその活用形の使用は、請求項に記載される以外の異なる他の要素又はステップの存在を排除しないこと、及び、単数形の構成要素は複数個の斯様な構成要素の存在を排除しないことを特記されるべきである。更に、請求項における如何なる参照符号も請求項を制限するように解釈されてはならない。
【図１】
2010538564.tif 000008
【図２】
2010538564.tif 000009
【図３】
2010538564.tif 000010
【図４】
2010538564.tif 000011
【図５】
2010538564.tif 000012
【図６】
2010538564.tif 000013
【図７】
2010538564.tif 000014
【図８】
2010538564.tif 000015
【図９】
2010538564.tif 000016
【図１０】
2010538564.tif 000017
【図１１】
2010538564.tif 000018
【図１２】
2010538564.tif 000019
【図１３】
2010538564.tif 000020
【国際調査報告】
2010538564.tif 000021
2010538564.tif 000022
2010538564.tif 000023