(57)【要約】  安全でないトークンおよびＰＩＮ番号を使用した、認証ＩＤベース鍵交換およびリモート・ログインのシステムおよび方法が、楕円曲線バイリニア・タイプ３ペアリングに基づく認証鍵合意プロトコルを提供することができる。サーバが、クライアントに対する認証サービスとしての働きをし、信頼機関（ＴＡ）が、識別ベースの秘密番号をクライアントおよび認証サービスに発行する。本システムおよび方法には、クライアントが、その秘密番号を、クライアント選択のＰＩＮ番号と、より大きい番号であるトークンとの、２つの部分に分割できることが含まれる。
2015510335.tif 000002
【特許請求の範囲】
【請求項１】
信頼機関において、歪みマップが存在しない、偶数のｋを有する非超特異曲線を見つけること、
マスタ秘密ｓ∈Ｆｒを生成すること、
ハッシュ関数Ｈ：｛０，１｝＊→Ｅ（Ｆｐ２）を選ぶこと、および、
公開パラメータを公表することを含む方法。
【請求項２】
認可サーバを信頼機関に対して識別し認証すること、
信頼機関において、認証サービスの識別を、曲線上の点ＳにマッピングされるＩＤｓへの入力とすること、
第２のハッシュ関数Ｈ２：｛０，１｝＊→Ｅ（Ｆｐ２）を用いて拡大体Ｆｐ２を使用し、したがってＳ＝Ｈ２（ＩＤｓ）であり、よって、秘密番号であるＳが曲線Ｅ（Ｆｐ２）上の点であること、および、
前記秘密番号Ｓと曲線パラメータと前記Ｈ２ハッシュ関数とを、前記公開パラメータの場所と共に、安全なネットワーク接続を介して前記認証サービスに発行し返すことを含む、請求項１に記載の方法。
【請求項３】
クライアントにおいて、前記信頼機関に対して識別を認証すること、
前記信頼機関において、前記認証サービスの識別ＩＤａを入力とすること、
前記信頼機関において、前記識別ＩＤａをハッシュして前記曲線上の大きい素数位数の点Ａにマッピングすること、ならびに、
前記クライアントにおいて、安全なネットワーク接続を介して前記信頼機関からＡおよびＳＡを受け取ることであって、Ａ＝ｃ．Ｈ（ＩＤａ）がベース楕円曲線Ｅ（Ｆｐ）上の位数ｒの点であることをさらに含む、請求項２に記載の方法。
【請求項４】
ＰＩＮ番号αを入力としてaＡを計算すること、
番号（ｓ−α）Ａを生み出すこと、および、
（ｓ−α）ＡとＡの両方を前記クライアントのブラウザ・ストレージに記憶することをさらに含む、請求項３に記載の方法。
【請求項５】
認証プログラムにおいて、前記クライアントのユーザに、自分のＰＩＮおよび自分の識別子を入力するよう促すこと、ならびに、
前記認証プログラムにおいて、ＩＤａをハッシュし（初期化プログラムと同じハッシュ・アルゴリズムを使用して）、鍵／値の対をルックアップして、連結された（ｓ−α）ＡおよびＡを得ることをさらに含む、請求項４に記載の方法。
【請求項６】
前記クライアントと認証サービスとの間で、識別ＩＤａおよびＩＤｓを送り、前記クライアントにおいて値ｘ＜ｑを生成し、前記認証サービスにおいて値ｙ＜ｑを生成すること、
前記クライアントにおいて、Ｓ（Ｓ＝Ｈ２（ＩＤｓ））およびＡ（Ａ＝Ｈ１（ＩＤａ））を計算してＰａ＝ｘＡを達成し、前記認証サービスにおいて、Ａ（Ａ＝Ｈ１（ＩＤａ））およびＳ（Ｓ＝Ｈ２（ＩＤｓ））を計算してＰｓ＝ｙｓを達成すること、
前記クライアントと認証サービスとの間で、ＰａとＰｓを交換すること、
前記クライアントおよび前記認証サービスにおいて、ｒａ＝Ｈｑ（Ｐａ｜Ｐｓ）およびｒｓ＝Ｈｑ（Ｐｓ｜Ｐａ）を計算すること、
前記クライアントにおいて、ｋ＝ｅ（（ｘ＋ｒａ）（（ｓ−α）Ａ＋αＡ），ｒｓＳ＋Ｐｓ）を計算すること、
前記認証サービスにおいて、ｋ＝ｅ（ｒａＡ＋Ｐａ（ｙ＋ｒｓ）ｓＳ）を計算すること、
前記クライアントにおいて、鍵危殆化偽装攻撃を防ぐために前記安全な接続を介して前記認証サービスにＭを送ること、
前記認証サービスにおいて、Ｎ＝Ｍを比較し、一致する場合は前記クライアントにＮを送ること、ならびに、
前記クライアントにおいて、ＮをＭと比較し、一致する場合は、前記クライアントと認証サービスが相互を認証し合うことに成功しておりセッション鍵Ｎについて相互に合意していると決定することをさらに含む、請求項５に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
優先権の主張
本出願は、参照により本明細書に組み込まれる、２０１３年１月２４日に出願された「ＳＹＳＴＥＭ  ＡＮＤ  ＭＥＴＨＯＤ  ＦＯＲ  ＳＥＣＵＲＥ  ＴＷＯ−ＦＡＣＴＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＥＤ  ＩＤ−ＢＡＳＥＤ  ＫＥＹ  ＥＸＣＨＡＮＧＥ  ＡＮＤ  ＲＥＭＯＴＥ  ＬＯＧＩＮ  ＵＳＩＮＧ  ＡＮ  ＩＮＳＥＣＵＲＥ  ＴＯＫＥＮ  ＡＮＤ  ＳＩＭＰＬＥ  ＳＥＣＯＮＤ−ＦＡＣＴＯＲ  ＳＵＣＨ  ＡＳ  Ａ  ＰＩＮ  ＮＵＭＢＥＲ」という名称の米国特許出願第１３／７４９，４０８号、および、２０１２年１月２５日に出願された「ＳＹＳＴＥＭ  ＡＮＤ  ＭＥＴＨＯＤ  ＦＯＲ  ＳＥＣＵＲＥ  ＴＷＯ−ＦＡＣＴＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＥＤ  ＩＤ−ＢＡＳＥＤ  ＫＥＹ  ＥＸＣＨＡＮＧＥ  ＡＮＤ  ＲＥＭＯＴＥ  ＬＯＧＩＮ  ＵＳＩＮＧ  ＡＮ  ＩＮＳＥＣＵＲＥ  ＴＯＫＥＮ  ＡＮＤ  ＳＩＭＰＬＥ  ＳＥＣＯＮＤ−ＦＡＣＴＯＲ  ＳＵＣＨ  ＡＳ  Ａ  ＰＩＮ  ＮＵＭＢＥＲ」という名称の米国仮特許出願第６１／５９０，６９９号に対する優先権の利益を主張するものである。
【０００２】
本発明は、電子認証および認証鍵合意の分野に関する。本発明の目的は、２ファクタ認証の概念を進歩させ、トークンベースの方式（高価な（かつ取り替えられない）スマートカード・トークンにしばしば基づく）に対する代替方式を提供し、パスワードのみの方式（クライアントおよびサーバのコンテキストでユーザ名およびパスワードの管理を必要とする）に対する代替方式を提供する、クライアント−サーバ設定における認証鍵合意の方法を提供することである。
【発明の概要】
【０００３】
本方法は、クライアントおよび認証サービスに、それらの識別に関連する個別の秘密番号を発行する、信頼機関（ＴＡ）を利用する。認証サービスは番号を完全な形で記憶するが、各クライアントは、この番号を、小さいユーザ選択のＰＩＮ番号と、より大きい番号であるトークンとに「分割」する。トークンはどこにでも記憶することができ、このことは、セキュリティ保護される必要も暗号化される必要もないという追加の利益を有する。本発明の残りの部分では、単純な第２ファクタを、単純なユーザ選択のＰＩＮ番号と呼ぶが、これは明らかに、任意の形の単純な覚えやすいユーザ供給の第２ファクタの使用を限定する意図ではない。第２ファクタは、単純なパスフレーズまたは繰返し可能番号バイオメトリックなどであってもよく、これらも本発明において等しく使用することができる。
【図面の簡単な説明】
【０００４】
【図１】本発明の好ましい実施形態における、本システムおよび方法の全体と対話する内部コンポーネントおよび外部コンポーネントを示すブロック図である。
【図２】本発明の一実施形態による、信頼機関（ＴＡ）のセットアップ段階を安全に初期化するステップを示すブロック図である。
【図３】本発明の一実施形態による、認証サービス層のセットアップ段階を安全に初期化するステップ、および、信頼機関（ＴＡ）とのその対話を示すブロック図である。
【図４】本発明の一実施形態による、信頼機関（ＴＡ）からクライアントに秘密番号を安全に配布するステップを示すブロック図である。
【図５】クライアントが初期化プログラムを使用してその秘密番号をトークンおよびＰＩＮの形に初期化しそのトークンを記憶するために行われるステップを示すブロック図である。
【図６】認証プログラムを受け取ってクライアントのトークンをルックアップするためにクライアントと認証サービス層との間で行われるステップを示すブロック図である。
【図７】本発明の一実施形態による、認証プログラムを使用して認証鍵合意プロトコルを構築するためにクライアントと認証サービス層との間で行われるステップを示すブロック図である。
【発明を実施するための形態】
【０００５】
我々のシステムおよび方法は、大きい識別ベースの秘密番号とＰＩＮ番号とを使用する必要を含めた望ましいセキュリティ特性を有する。というのは、これは実際上、強力な２ファクタ認証をもたらすからである。我々はまた、別個のＴＡを、オンラインで必要とされないそれ自体のマスタ鍵と共に利用する。これは、追加のセキュリティ層を提供し、クライアントまたはサーバの長期秘密の紛失によって引き起こされる損害を制限する。別の望ましい特徴は、別のクライアントの長期秘密を盗む悪いクライアントが、クライアント同士でオフライン鍵交換を実施することによってクライアントのＰＩＮを決定することができないことである。すなわち、クライアントは、サーバのみと鍵を交換できるべきであり、他のクライアントと鍵を交換できるべきではない。
【０００６】
バイリニア・ペアリングを使用した認証鍵合意の分野には多くの従来技術があるが、述べる本発明は、トークンの安全でない記憶を利用した固有の特性を有する２ファクタ認証を、使用可能なシステム全体に組み込む、企業クラス生産環境に適する最初のシステムおよび方法を含む。
【０００７】
本発明の目的は、安全でないトークンおよびＰＩＮ番号を使用した、以下のような認証ＩＤベース鍵交換およびリモート・ログインのシステムおよび方法を提供することである。
【０００８】
１）本システムおよび方法は、楕円曲線バイリニア・タイプ３ペアリングに基づく認証鍵合意プロトコルを提供し、これにより、サーバが、クライアントに対する認証サービスとしての働きをし、信頼機関（ＴＡ）が、識別ベースの秘密番号をクライアントおよび認証サービスに発行する。本システムおよび方法には、クライアントが、その秘密番号を、クライアント選択のＰＩＮ番号と、より大きい番号であるトークンとの、２つの部分に分割できることが含まれる。
【０００９】
我々は、本発明の一実施形態について述べる。すなわち、クライアントがそのＰＩＮをＪａｖａＳｃｒｉｐｔプログラムによって入力および確認し、これによりクライアントのトークンがクライアントのブラウザのストレージに記憶されるといった方法において、どのようにＴＡからクライアントにその秘密番号が発行されてクライアントがそのトークンを初期化するかについて述べる。認証サービスがウェブ・サーバ・フロント・エンドを提供することにより、クライアントおよび認証サービスは、相互を認証し合うことができ、相互に合意したセッション鍵を導出することができる。我々は、どんな盗聴者も、その計算力にかかわらず、送信された値からＰＩＮを決定する立場にないという、望ましいセキュリティ特性を我々の発明が含むことを示す。
【００１０】
２）本システムおよび方法は、ＰＩＮ抽出プロトコルを使用する類似しうる認証鍵合意システムにおけるセキュリティ上の脆弱性に対処して、本システムおよび方法が鍵危殆化偽装（ＫＣＩ）攻撃に耐えられるようにし、また、クライアントおよび認証サービスの識別をそれらの個別秘密番号に結び付けて、識別スプーフィング、すなわち、あるクライアントが別の識別を使用して自分自身を認証サービスに対して認証することを防止する。我々は、他のシステムおよび方法が、識別スプーフィングを軽減できないことと並行してＫＣＩ攻撃に耐えないことを示す。加えて、我々は、同じセキュリティ特性を有する他の実施形態についても述べ、本システムおよび方法が適合できる幅広いプロトコルが存在することを実証する。
【００１１】
このセクションで述べる手法は、追求できるものだが、システムおよび方法全体として総合的にみて、以前に構想または追求された手法というわけでは必ずしもない。したがって、本明細書に別段に指示がない限り、このセクションで述べる手法は、本明細書中の特許請求の範囲に対する従来技術ではなく、また、このセクションに含まれることによって従来技術として認められるものではない。
【００１２】
本発明の主要なコンポーネントは、マスタ秘密の生成を担う信頼機関（ＴＡ）と、ＴＡから秘密番号を受け取る認証システムと、ＴＡから秘密番号を受け取るクライアントとを含む。クライアントは、本システムおよび方法を介して追加ステップを実施し、これにより、クライアント・システムのユーザは、望むＰＩＮ番号を作成することができ、この結果、この追加ステップの間にトークンが生成される。次いでこのトークンは、安全でない状態で記憶されてよく、ＰＩＮは、本発明の好ましい実施形態では、後で使用されるようにクライアントのユーザによって暗記される。
【００１３】
信頼機関（ＴＡ）は、マスタ秘密を生成する、コンピュータまたはサーバ上で実行されるコンピュータ・プロセスである。ＴＡは、最初にシステム上の参与者を登録すること、および、例えばクライアントには電子メール・アドレスを使用し、認証サービスにはＵＲＬを使用して、これらのエンティティに識別子を割り当てることを担う。ＴＡは、識別子を使用して、適切なハッシュ関数を用いて識別子を特定の楕円曲線上の点にマッピングする。
【００１４】
認証サービスは、信頼機関から秘密番号を受け取る、コンピュータまたはサーバ上で実行されるコンピュータ・プロセスである。認証サービスは、クライアントと共に認証鍵合意プロトコルに参与して、相互の識別を検証し合い、セッション鍵を生成する。
【００１５】
クライアントは、信頼機関から秘密番号を受け取る、コンピュータまたはサーバ上で実行されるコンピュータ・プロセスである。誤解を避けるために言うと、クライアントのユーザがおり、これは一般には人間である。クライアントは、認証サービスと共に認証鍵合意プロトコルに参与して、相互の識別を検証し合い、セッション鍵を生成する。
【００１６】
図１の例示によれば、信頼機関（ＴＡ）（１０）は、コンピュータ上で実行されるソフトウェアとすることができ、または、命令を実行する適切なコンピュータ・コードと共にプロセッサ（１１）を備える専用ハードウェア・デバイスとすることができる。加えて、ＴＡは、マスタ秘密（１２）を作成し、セキュリティ保護されたストレージ（１３）にマスタ秘密を記憶することになる。ストレージ（１３）は、理想的には、本発明の好ましい実施形態では、改ざん防止かつ耐改ざん性のストレージである。本発明の好ましい実施形態では、信頼機関（１０）は、安全なネットワーク接続を介して、クライアント（３０）に、その秘密番号（３２）とコンピュータ・プログラムすなわち初期化プログラム（１４）とを送る。初期化プログラム（１４）は、クライアント（３０）が秘密番号（３２）を使用してそのＰＩＮ（３４）を構築しそのトークン（３３）をクライアントのブラウザ・ストレージ（３５）または他の安全でない記憶媒体に記憶することを、プログラム的に可能にする。
【００１７】
図１の例示によれば、認証サービス（２０）は、コンピュータ上で実行されるソフトウェアとすることができ、または、命令を実行することができる適切なコンピュータ・コードと共にプロセッサ（２１）を備える専用ハードウェア・デバイスとすることができる。認証サービス（２０）は、信頼機関（１０）に登録されて、それ自体の秘密番号（２２）を得る。理想的には、本発明の好ましい実施形態では、秘密番号（２２）は、改ざん防止かつ耐改ざん性のストレージであるセキュリティ保護されたストレージ（２３）に記憶される。本発明の好ましい実施形態では、認証サービス（２０）は、コンピュータ・プログラムすなわち認証プログラム（２４）を、安全なネットワーク接続を介してクライアント（３０）に送る。認証プログラム（２４）は、クライアント（３０）がその秘密番号（３２）をＰＩＮ（３４）およびトークン（３３）から再構築し認証サービス（２０）との認証鍵合意プロトコルに携わることを、プログラム的に可能にする。
【００１８】
図１の例示によれば、クライアント（３０）は、コンピュータ上で実行されるソフトウェアとすることができ、または、命令を実行する適切なコンピュータ・コードと共にプロセッサ（３１）を備える専用ハードウェア・デバイスとすることができる。クライアントはまた、そのトークン（３３）を記憶するために、ストレージ（３５）へのアクセスを有することになる。本発明の述べる実施形態では、このストレージ（３５）は、クライアントのブラウザのストレージ、または完全に別個のＵＳＢフラッシュ・ドライブとすることができる。このストレージは、保護される必要は全くない。ＰＩＮ（３４）は記憶されないが、本発明の好ましい実施形態では、ＰＩＮ（３４）は、クライアントの秘密番号（３２）を組み立てるためのプロトコル中で、クライアント（３０）の人間オペレータによって手動入力される。
【００１９】
本発明の一実施形態では、図２に示すように、ＴＡが、低い偶数のｋ値（例えばｋ＝２）を有し歪みマップが存在しない非超特異曲線を見つける第１のステップを行う（２００）。例としてこれは、Ｆｐにわたるｋ＝２の非超特異曲線であり、ここで、ｐ＝５１２ビットであり、したがって、曲線位数はｃ．ｒ．であり、１６０ビット素数ｒで割り切れる。ＴＡは次に、それ自体のマスタ秘密ｓ∈Ｆｒを生成する（２１０）。ＴＡは、適切なハッシュ関数Ｈ：｛０，１｝＊  Ｅ（Ｆｐ２）を選ぶ（２２０）。このハッシュ関数は、ＴＡが認証サービスおよびクライアント登録プロセス中に受け取ることになる識別ストリング（認証サービスおよびクライアントのＩＤ）を、超特異曲線上の点までハッシュする。最後に、ＴＡは、公開されたウェブ・サイトなど、クライアントと認証サービスの両方がアクセスできるアクセスしやすい場所に、公開パラメータ｛ｐ，ｒ，Ｈ｝を公表する（２３０）。
【００２０】
図３に示すように、かつ本発明の同じ実施形態を続けるが、認証サービスが、信頼機関に対して一意に識別され認証される（３００）。信頼機関は、認証サービスの識別をＩＤｓへの入力とし、これは、前の計算と同じ曲線上の点Ｓにマッピングされる（３１０）が、今回は、第２のハッシュ関数Ｈ２：｛０，１｝＊  Ｅ（Ｆｐ２）を使用して拡大体Ｆｐ２にわたってマッピングされ、したがってＳ＝Ｈ２（ＩＤｓ）であり、よってＳは曲線Ｅ（Ｆｐ２）上の点である（３２０）。ＴＡは、秘密番号Ｓと、曲線パラメータと、Ｈ２ハッシュ関数とを、公開パラメータの場所と共に、安全なネットワーク接続を介して認証サービスに発行し返す（３３０）。
【００２１】
図４に示すように、かつ本発明の同じ実施形態を続けるが、クライアントが、その識別を信頼機関に対して認証する（４００）。信頼機関は、認証サービスの識別ＩＤａを入力とする（４１０）。識別は、ハッシュされ、曲線上の大きい素数位数の点Ａにマッピングされる（４２０）。クライアントは、安全なネットワーク接続を介して信頼機関からＡおよびＳＡを受け取るが、ここで、Ａ＝ｃ．Ｈ（ＩＤａ）は、ベース楕円曲線Ｅ（Ｆｐ）上の位数ｒの点である（４３０）。
【００２２】
図５に示すように、かつ本発明の同じ実施形態を続けるが、クライアントが、ＡおよびＳＡを、セキュリティ保護されたネットワーク接続を介して信頼機関から受け取る。本発明の述べる実施形態では、コンピュータ・プログラムすなわち初期化プログラム（例えばＪａｖａＳｃｒｉｐｔで書かれた）が、ウェブ・サーバ・インタフェースを介して信頼機関からクライアントに供給される（５００）。ウェブ・サーバ・インタフェースはこの場合ブラウザであり、初期化プログラムはブラウザ中で実行される。このプログラムは、ユーザのＰＩＮ番号を入力とし、αＡを計算することになり、ここで、αはユーザのＰＩＮ番号である（５１０）。
【００２３】
次いでプログラムは、２つを減算して番号（ｓ−α）Ａを得る（５２０）。次いでプログラムは、（ｓ−α）ＡとＡの両方を、クライアントのブラウザ・ストレージに記憶し（５３０）、ユーザに自分のＰＩＮを覚えておくよう促す（５４０）。単純な秘密共有方式と同様、この２つの部分は、正しい値ＳＡを再構築するために再結合する必要があることに留意されたい。加えて、クライアントは、難しい離散対数問題を解かずしてマスタ秘密ｓを決定することはできない。我々が単純な直線関係ＳＡ＝（ｓ−α）Ａ＋αＡを有することに留意されたい。
【００２４】
図６に示すように、かつ本発明の同じ実施形態を続けるが、クライアントと認証サービスが、安全なネットワーク接続を介して相互を認証し合いたいと思っている。述べる実施形態を使用して、クライアントは、認証サービスへのセキュリティ保護された接続を開始し、認証サービスは、認証プログラムをクライアントに供給する（６００）。認証プログラムは、クライアント上でローカルに（例えばクライアントのブラウザ中で）実行され、クライアントのユーザに、自分のＰＩＮおよび自分の識別子（すなわち電子メール・アドレス）を入力するよう促す（６１０）。認証プログラムは、ＩＤａをハッシュし（初期化プログラムと同じハッシュ・アルゴリズムを使用して）、鍵／値の対をルックアップして、連結された（ｓ−α）ＡおよびＡを取得し、次いでこれは後続のセクションで使用される（６２０）。
【００２５】
図７に示すように、かつ本発明の同じ実施形態を続けるが、クライアントと認証サービスが、本システムおよび方法を使用して、安全なネットワーク接続を介して相互を認証し合いたいと思っている。これから示すように、我々のシステムおよび方法は、タイプ３ペアリングを介したいくつかの認証鍵合意プロトコルに適合可能である。本発明の好ましい実施形態では、本システムおよび方法は、ワン（Ｗａｎｇ）のＩＤＡＫプロトコル（Ｗａｎｇ’ｓ  ＩＥＥＥ１３６３．３  Ｓｕｂｍｉｓｓｉｏｎ−ｈｔｔｐ：／／ｇｒｏｕｐｅｒ．ｉｅｅｅ．ｏｒｇ／ｇｒｏｕｐｓ／１３６３／ＩＢＣ／ｓｕｂｍｉｓｓｉｏｎｓ／ｉｄａｋ１３６３．ｐｄｆ）を使用するように適合される。
【００２６】
ワンの手法では、ＩＤａおよびＩＤｓが、それぞれクライアントの識別および認証サービスの識別であると仮定する。Ｈ１（．）は、Ｇ１上の位数ｑの点にハッシュするハッシュ関数であり、Ｈ２（．）は、Ｇ２上の位数ｑの点にハッシュするハッシュ関数であり、Ｈｑ（．）は、１〜ｑの範囲の数にハッシュするハッシュ関数である。クライアントおよび認証サービスに、ＴＡによってそれぞれ秘密ＳＡおよびＳＳが発行されていると仮定し、Ａ＝Ｈ１（ＩＤａ）、Ｓ＝Ｈ２（ＩＤｓ）、および、ｓはＴＡマスタ秘密である。次いで、クライアントのユーザは、自分の秘密を、トークン値（ｓ−α）Ａと、それよりもずっと小さいＰＩＮ値αＡとに分割する。
【００２７】
クライアントと認証サービスが相互を認証し合うために、クライアントと認証サービスは、安全なネットワーク接続を確立し、それぞれの識別ＩＤａおよびＩＤｓを相互に送る（７００）。クライアントにおいて値ｘ＜ｑを生成し、認証サービスにおいて値ｙ＜ｑを生成する（７１０）。次に、クライアントは、Ｓ（Ｓ＝Ｈ２（ＩＤｓ））およびＡ（Ａ＝Ｈ１（ＩＤａ））を計算して、Ｐａ＝ｘＡを達成し、認証サービスは、Ａ（Ａ＝Ｈ１（ＩＤａ））およびＳ（Ｓ＝Ｈ２（ＩＤｓ））を計算して、Ｐｓ＝ｙＳを達成する（７２０）。次いで、クライアントと認証サービスは、安全なネットワーク接続を介してＰａとＰｓを相互と交換する（７３０）。次に、クライアントおよび認証サービスはそれぞれ、ｒａ＝Ｈｑ（Ｐａ｜Ｐｓ）およびｒｓ＝Ｈｑ（Ｐｓ｜Ｐａ）を計算する（７４０）。次いでクライアントは、ｋ＝ｅ（（ｘ＋ｒａ）（（ｓ−α）Ａ＋αＡ），ｒｓＳ＋Ｐｓ）を計算し、したがって、Ｋを達成することができ、ここで、Ｍに対してＫ＝Ｈ（ｋ）であり、Ｍ＝Ｈ（ＩＤａ，ＩＤｓ，Ｋ）である（７５０）。認証サービスは、並行して、ｋ＝ｅ（ｒａＡ＋Ｐａ，（ｙ＋ｒｓ）ｓＳ）を計算し、したがって、Ｋを達成することができ、ここで、Ｋ＝Ｈ（ｋ）であり、Ｎ＝Ｈ（ＩＤａ，ＩＤｓ，Ｋ）である（７６０）。本発明のこの特定の好ましい実施形態では、次のステップは、正しく理解するのが極めて重要である。クライアントは、安全な接続を介して認証サービスにＭを送るが、これは、鍵危殆化偽装攻撃を防ぐために、認証サービスがクライアントに何かを送れるようになる前に最初に行われなければならない（７７０）。認証サービスは、Ｎ＝Ｍを比較するが、これは、１回限りのノンスの使用を介して行うことができ、一致する場合は、認証サービスはクライアントにＮを送る（７８０）。次いで、クライアントはＮ＝Ｍを比較し、一致する場合は、クライアントと認証サービスは相互を認証し合うことに成功しており、セッション鍵について相互に合意している（７９０）。
【００２８】
両方の当事者側について、ｋ＝ｅ（Ａ，Ｓ）ｓ（ｘ＋ｒａ）（ｙ＋ｒｓ）であることを観察することに留意されたい。トークンとＰＩＮは、これらから計算された何らかの値が送信される前にローカルに再結合され、したがって、誰も、その計算力にかかわらず、送信された値からＰＩＮを決定する立場にないということを観察されたい（かつ、このことから安心されたい）。誤ったＰＩＮが入力された場合は、認証サービスは接続を断つ。
【００２９】
しかし、このプロトコルが、問題を回避するために非常に慎重な実施を必要とすることを、我々は強調する。どんな精緻化（トークン秘密をＰＩＮで暗号化するなど）または省略（サーバが処理前に鍵を確認しないなど）も、システムを損なうことにつながる可能性がある。
【図１】
2015510335.tif 000003
【図２】
2015510335.tif 000004
【図３】
2015510335.tif 000005
【図４】
2015510335.tif 000006
【図５】
2015510335.tif 000007
【図６】
2015510335.tif 000008
【図７】
2015510335.tif 000009
【国際調査報告】
2015510335.tif 000010