(57)【要約】システムの各ネットワーク装置（x）は、証明可能な識別表示を生成又は取得する証明可能識別表示又は手段と、その装置との信頼関係を有するコミュニティの装置の識別表示を記憶可能なオブジェクトと、信頼関係の同期のためのプロトコルを確立する手段とを有することにより、それが属するコミュニティのローカル表示を有する。
2006526228.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク装置のコミュニティに属するように適合された装置であって、
証明可能な識別表示を生成及び／又は取得する証明可能識別表示及び／又は手段と、
前記装置との信頼関係を有するコミュニティの装置についての情報を格納するように適合された手段と、
前記装置により信頼されていない装置についての情報を格納するように適合された手段と、
信頼関係の同期のための手段と
を有する装置。
【請求項２】
請求項１に記載の装置であって、
前記装置により信頼されていない装置についての情報を格納する手段は、以前に前記装置との信頼関係を有していたが、もはや有していないコミュニティの装置についての情報を有する装置。
【請求項３】
請求項１又は２に記載の装置であって、
前記装置についての情報は、前記装置の証明可能な識別表示を有する装置。
【請求項４】
請求項１ないし３のうちいずれか１項に記載の装置であって、
前記装置は、前記装置が他の装置により信頼されているというコミュニティの他の装置から受信した証明を格納するように更に設計された装置。
【請求項５】
請求項１ないし４のうちいずれか１項に記載の装置であって、
前記信頼関係の同期のための手段は、前記コミュニティの他の装置により信頼されている装置及び／又は信頼されていない装置について、前記コミュニティの他の装置と情報を交換する手段を有する装置。
【請求項６】
請求項１ないし５のうちいずれか１項に記載の装置であって、
前記装置により信頼された装置及び前記装置を信頼する装置の識別表示を有し得る第１のオブジェクトと、
前記装置により信頼された装置の識別表示を有し得る第２のオブジェクトと、
前記装置により信頼されていない装置の識別表示を有し得る第３のオブジェクトと
を有する装置。
【請求項７】
請求項５と結合した請求項６に記載の装置であって、
前記コミュニティの他の装置と交換した情報の関数として、前記第１のオブジェクト及び／又は前記第２のオブジェクト及び／又は前記第３のオブジェクトの内容を変更することができる装置。
【請求項８】
請求項５に記載の装置であって、
前記第１のオブジェクト及び／又は前記第２のオブジェクト及び／又は前記第３のオブジェクトは、暗号構成要素を更に有することができる装置。
【請求項９】
請求項６又は７に記載の装置であって、
前記第１の装置は、追放される装置の識別表示が前記第１の装置の前記第１又は第２のオブジェクトに含まれる場合に、前記コミュニティの他の装置を更に追放することができ、
前記追放動作は、追放される前記装置の識別表示を前記第１又は第２のオブジェクトから除去し、前記第１の装置の前記第３のオブジェクトに前記識別表示を挿入することを有する装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特に動的、発展的、異種である場合、且つ無線部分を有する場合のデジタルネットワークに当てはまる。
【背景技術】
【０００２】
（定義）
ネットワークは、装置が移動し、オン／オフになり、又は到達可能／到達不可能になり得るときに、動的になる。
【０００３】
ネットワークは、新しい装置がネットワークに加わり、古い装置がネットワークから確かに消滅又は盗難され得るときに、発展的になる。
【０００４】
ネットワークは、全ての装置が対になって直接通信できないときに、異種になる。
【０００５】
コミュニティは、メインユーザの責任のもとでの装置を有するネットワークである。メインユーザは、単一のユーザ又は人のグループ内での特定のユーザである。メインユーザのみが、システムに必要な確認動作を実行するために、コミュニティの装置に対して認証することができる。
【０００６】
コミュニティの境界は、以下の特徴的な特性で定められる。
−コミュニティの如何なる装置も、それがコミュニティに属することを確認することができる。
−コミュニティの如何なる装置も、他の装置がコミュニティに属しているか、コミュニティに属していないかを確認することができる。
−メインユーザのみが、装置をコミュニティに挿入したり、コミュニティから除去したりするような境界動作を実行することができる。
【０００７】
（従来技術）
ほとんどの従来技術は、全社的デジタルネットワークと、アドホックネットワーク（すなわち、人のグループの特定の使用のために一般的に構成される既存のインフラのないネットワーク  −  アドホックネットワークの持続時間はグループの持続時間を超過しない）と、デジタルホームネットワークと、無線及びモバイルネットワーキングとの分野から生じる。
【０００８】
最初のコミュニティは基本モデルに対応する。コミュニティの境界はネットワークの境界と同一である。装置がネットワークを通じて到達可能である場合、それはコミュニティのメンバである。逆に、ネットワークを通じて到達不可能な如何なる装置も、コミュニティのメンバではない。
【０００９】
このようなコミュニティは、信頼できないネットワーク（インターネット等）に接続する必要がある前の、企業で使用されるような孤立したローカルエリアネットワーク（LAN）にちょうど対応する。
【００１０】
これらのコミュニティでは、境界のセキュリティは２つの要因に依存する。
−許可されたユーザのみが装置とネットワークとを使用することができる。
−信頼できない装置はネットワークに挿入され得ない。
【００１１】
双方の要因は、メインユーザ（ネットワーク管理者と呼ばれる）の役目により、及びセキュアな位置での装置及びネットワークの配置により強化される。
【００１２】
これらのコミュニティは、ネットワークが移動体である場合又はネットワークが信頼できない装置を経由する必要がある場合に適合されていない。管理タスクもまた、非常に要求が厳しく、一般的なドメスティックのメインユーザに一般的にアクセス可能ではない。最後に、そのメンバのうち１人が危うくなるとすぐに、全てのコミュニティが危うくなるため、セキュリティモデルは障害に対して抵抗力がない。
【００１３】
信頼できないネットワークでの通信の必要が生じると、前者の枠組みは十分ではない。インターネットのような信頼できないネットワークを経由する可能性を考慮に入れて、境界は異なる方法で具体化される必要がある。
【００１４】
このことは、セキュア・ルータやファイヤウォールのような境界コンポーネントと、プライベートアドレスドメインの概念とを生じてきた。このようなコンポーネントは、境界を経由するアクセスを許可又は拒否することにより、正確な境界の特性を実施する。一般的なアーキテクチャは、外向きの接続を許可し、内向きの接続を禁止することを可能にするダイオードファイヤウォールである。
【００１５】
このようなコミュニティの境界のセキュリティは、外部接続が許可されているか否かを検出する境界コンポーネントの機能にほとんど依存している。ネットワークの内部で、セキュリティは同一の２つの要因（許可されたアクセス及び信頼できない装置の挿入の無いこと）に依存する。
【００１６】
これらのコミュニティは、ネットワークが非常に発展的である場合、又は多数の装置がノマディック（nomadic）動作を有する場合に、適合されていない。
【００１７】
装置が外部ネットワーク位置からコミュニティにアクセスする必要がある場合、ネットワークを経由したコミュニティがノマディック動作で実際に開始する。ファイヤウォールは、認証サーバと共に、境界の特定を強化する役目をする。
【００１８】
IPv6（“RFC  2460  Internet  Protocol,  Version  6  (IPv6)  Specification.  S.Deering,  R.Hinden、1998年12月”に定められているインターネットプロトコルの新バージョン）のようなプロトコル及びいくつかのVPN（Virtual  Private  Network）技術は、コミュニティの境界をセキュアにする役目をする移動性及びセキュリティ機能を有する。これらは、HIP（http://homebase.htt-consult.com/~hip/draft-moskowitz-hip-05.txtのアドレスで入手可能な“R.Moskowitx、Host  Identity  Payload  And  Protocol、draft-ietf-moskowitz-hip-05.txt、2001年10月”に記載）と、SUCV（“C.Montenegro及びC.Castelluccia、Statistically  Unique  and  Cryptographically  Verifiable（SUCV）  identifiers  and  addresses、In  NDSS’02、2002年2月”に記載）とを含む。しかし、この場合には、複雑さは、一般的なドメスティックユーザにより管理可能ではない。更に、これらの装置は、装置の同種に依存している（例えば、各装置は有効なIPv6アドレスを有する）。
【００１９】
F.Stajanoは、より一般的な方法：Resurrecting  Duckling（“F.Stajano  The  Resurrecting  Duckling  −  What  Next?  Lecture  Notes  in  Computer  Science、2133:204-211、2001”及び“F.Stajano及びR.Anderson、The  resurrecting  duckling  :  Security  issues  for  ad-hoc  wireless  networks.  In  7th  International  Workshop  on  Security  Protocols、172-194ページ、1999”）を提案している。しかし、この方法では、新しい装置がコミュニティに追加されると常に、メインユーザが動作を確認しなければならない。更に、一般的な場合に、コミュニティからの装置の追放は容易な動作ではない。
【発明の開示】
【発明が解決しようとする課題】
【００２０】
コミュニティの境界を管理及びセキュアにする主な問題は、以下の通りである。
−少なくともドメスティックユーザのニーズに関する複雑性及びユーザフレンドリー性の欠如。これは、かなりのセキュリティレベルが実現される場合に複雑なままになるファイヤウォール（パーソナルファイヤウォールも同様）にほぼ当てはまる。
−異種に対する必要性。ほとんどの既存の方法は、全ての装置が対になって通信することができないときに作動しない。
−装置が危うくなったとき又は盗まれたときのロバスト性の欠如。より正確には、装置の事後の取消し（追放）は、ほとんどの既存の方法で簡単な動作ではない。
【課題を解決するための手段】
【００２１】
前述の問題を克服するため、本発明は、ネットワーク装置内のローカルコミュニティ表示のセキュアな分散管理用のシステムを提案し、各ネットワーク装置は、
証明可能な識別表示を生成又は取得する証明可能識別表示又は手段と、
その装置との信頼関係を有するコミュニティの装置の識別表示を記憶可能なオブジェクトと、
信頼関係の同期のためのプロトコルを確立する手段と
を有する。
【発明を実施するための最良の形態】
【００２２】
本発明の様々な特徴及び利点と、その好ましい実施例とについて、添付図面を参照して説明する。添付図面は例示を目的としており、本発明を限定することを目的としていない。
【００２３】
以下の説明において、次の表記が使用される。
【００２４】
a、b、c、d、x、y、z、t、j  装置の可変の名前
idx  装置xの証明可能な識別表示
Λ  装置のコミュニティ
MT(x)、UT(x)、DT(x)  装置のセット
Sx(idy)  装置yが装置xにより信頼されているという証明。idxを認識している場合に、この証明が確認され得る。idxを認識することで、Sx(idy)がxにより生成されたことを確認することが可能であり、idyを回復することが可能である。
【００２５】
本発明は以下の要素に基づく。
１．コミュニティの各装置xは、証明可能な識別表示idxを有しており、又は証明可能な識別表示を生成若しくは受信可能である。
２．コミュニティの各装置xは、オブジェクトMT(x)、UT(x)及びDT(x)のコミュニティの装置間の信頼関係を記憶している。オブジェクトMT(x)、UT(x)及びDT(x)はそれぞれ以下のものを有する。
−MT(x)：xにより信頼された装置のセット及びxを信頼する装置のセット
−UT(x)：xにより信頼された装置のセット
−DT(x)：xにより信頼されていない装置のセット
３．コミュニティの各装置xは、xがjにより信頼されているコミュニティの他の装置jから受信した証明Sj(idx)を更に記憶する。
４．信頼関係の同期のプロトコルは、コミュニティの各装置に実装される。
５．ユーザは、いくつかの装置間の信頼関係を有効又は無効にする機能を有する。
【００２６】
まず、本発明により、コミュニティの境界の分散された安全な強化が可能になる。
【００２７】
次に、本発明は、コミュニティの装置とメインユーザとの間の相互作用の数及び複雑性を最小化する。
【００２８】
オブジェクトMT(x)、UT(x)及びDT(x)は、そのセットの一部である装置jの証明可能な識別表示idjを有するリストで実装されることが好ましい。
【００２９】
例えば、装置xが装置yを信頼し、yにより信頼されると、MT(x)はidyを有する。MT(x)はまた、場合によっては、コミュニティの装置がセキュアにデータを交換することができる鍵のような、何らかの暗号構成要素を有してもよい。前記の例では、MT(x)は、装置xとyとの間で共有される対称鍵Kxyを有してもよい。
【００３０】
本発明の好ましい実施例では、証明Sj(idx)のリストはMT(x)に格納されてもよく、各証明Sj(idx)は、xを信頼する装置及びxにより信頼された装置の識別表示idjを備えて格納されてもよい。変形の実施例では、証明Sj(idx)はデータの他のリストに格納される。
【００３１】
このように、装置xが装置zを信頼するが、必ずしもzにより信頼されていない場合、UT(x)はidzを有する。UT(x)はまた、何らかの暗号構成要素を有してもよい。
【００３２】
DT(x)はまた、xにより信頼されていない装置jの識別表示idjを有する。それはまた、場合によっては、暗号構成要素のような他のデータを有してもよい。
【００３３】
基本的なコミュニティ動作は以下の通りである。
・コミュニティの初期化（initと言う）
init動作は、一般的には単一の装置でのコミュニティの生成に対応する。
・コミュニティへの装置の挿入（insertと言う）
insert動作は、新しい装置がコミュニティに入ったときに生じる。この新しい装置は、コミュニティに属すると、コミュニティの他の装置を識別することができ、コミュニティの他のメンバもコミュニティのメンバとして新しい装置を識別する。
・コミュニティからの装置の除去（removeと言う）
remove動作は、装置が廃止されたときに使用される。この動作はコミュニティから装置を抽出するが、信頼関係を変更しない。特に、双方の装置が装置xと信頼関係を有するという条件で２つの装置x及びzが信頼関係を構築している場合、装置xが除去されたという事実は影響を及ぼさない。
【００３４】
remove動作は他のコミュニティ装置との情報伝送を全く必要としない。特に、この動作は、単一の装置のコミュニティの場合に有効である。装置xを除去することは以下のことを有する。
−xの識別表示(idx)と、xがその識別表示を証明できる機能とを無効にする。
−全ての信頼関係をリセットする。すなわち、全てのセットMT(x)、UT(x)、DT(x)を空にする。
【００３５】
除去の後に、装置xは（無効にされた）その識別表示をブロードキャストすることができない。コミュニティの装置は識別できない装置との伝送を受け入れないため、装置xはコミュニティの装置に参加することができない。
・コミュニティからの装置の追放（banishと言う）
banish動作は、装置が紛失又は盗難されたとき、又は装置が他のコミュニティからの他のユーザに転売されたときに使用される。この場合、装置自体は利用可能でない。更に、追放された装置との信頼条件で構築可能な新しい信頼関係は不可能になる。装置xを追放するために、ユーザは既にxと信頼関係を有する（すなわち、その識別表示idxがUT(y)又はMT(y)に属する）他の利用可能な装置yを選択しなければならない。ユーザは、信頼できない装置DT(y)のリストに{idx}を追加するようにyに求める。
【００３６】
同期動作は、装置xが信頼できないという情報の普及を保証する。コミュニティの装置が相互作用する頻度に応じて、この情報は、他の装置により速く普及してもよく、全ての装置により遅く普及してもよい。
【００３７】
従って、本発明によれば、コミュニティの唯一の他の装置yを使用することにより、装置xをコミュニティから追放することが可能になる。
【００３８】
図１は、本発明を実装する装置に含まれる要素を示している。
【００３９】
装置xは、CPU（中央処理装置）10と、ユーザインタフェース11と、オブジェクトMT(x)、UT(x)及びDT(x)、並びにxがjにより信頼されているコミュニティの他の装置jから受信した証明Sj(idx)のリストを格納するメモリ12とを一般的に有する。装置は、コミュニティの他の装置と通信する少なくとも１つのネットワークインタフェース131、132を更に有する。１つの装置は、コミュニティで異種の通信を可能にするために、複数のネットワークインタフェースを有してもよい。
【００４０】
図２は、複数サイトのドメスティックネットワークで表される装置のコミュニティ20の例を示している。装置は、例えば、パーソナルコンピュータ21、22、TVセット23、記憶ユニット24、PDA（携帯情報端末）25等である。図２の状況において、装置間の全ての信頼関係が相互の信頼であることを仮定する。図２は、ユーザ確認を用いて、装置cがコミュニティで新しい装置dを受け入れようとしている時を示している。
【００４１】
本発明の好ましい実施例では、各装置は、そのセキュリティの役目をするローカルエージェントを有する。エージェントの第１のタスクは、その自分の証明可能な識別表示を管理することである。証明可能な識別表示は、如何なるものによっても検査可能であるが、模倣することが非常に困難な特性を有する識別表示である。例えば、公開／秘密鍵の対の公開鍵は、証明可能な識別表示である。その公開鍵により識別されようとするエージェントは、その秘密鍵でチャレンジを署名することにより、それを証明することができる。SUCVは、証明可能な識別表示の概念に基づくIPネットワーク用に設計された他の機構である。
【００４２】
ローカルエージェントは、コミュニティの他の装置の前に自分を認証するために使用されるその証明可能な識別表示を生成し、寄託し、承認する役目をする。
【００４３】
エージェントはまた、セキュリティ関連の要求が正当であることを確保するように装置の権限を作るユーザをローカルで認証する役目をする。このローカル認証は、その証明可能な識別表示及び装置間で行われる鍵処理に対して完全に独立である。従って、各装置はその最適な認証手順（例えば装置にPINを入力すること又はバイオメトリックスによる手順）を有することができる。
【００４４】
最後に、エージェントはコミュニティ管理の役目をする。それは、コミュニティメンバの自分のリストを処理して維持し、そのコミュニティメンバは前述のオブジェクトMT、UT及びDTに格納される。選択された実装に応じて、これらのオブジェクトは単一のリスト又は異なるリストに格納され得る。このリスト又はこれらのリストは、エージェントが有するそのコミュニティのローカルの認識を記述する。オブジェクトMT、UT及びDTの内容をセキュアに更新することにより、エージェントはそのコミュニティを管理する。
【００４５】
オブジェクトMT，UT及びDTは、異なる２つの手段により更新され得る。エージェントは、どの装置がそのコミュニティに入ることができるかを決定するために、その所有者（すなわち、装置を所有しているユーザ）を信頼する。それはまた、コミュニティの新しいメンバに取り込むために、そのコミュニティに属していることを認識しているエージェント（すなわち、そのMT又はUTに証明可能な識別表示を有するエージェント）を信頼する。同じコミュニティに属するエージェントは、セキュアに相互に情報を同期させ、そのそれぞれのオブジェクトMT、UT及びDTを最新に維持する。
【００４６】
エージェントは複数の異なる方法で物理的に実装され得る。
【００４７】
それは装置にダウンロード又は内蔵されるソフトウェアでもよい。それはまた、装置に挿入されるスマートカードで動作するソフトウェアでもよい。エージェントはまた、ソフトウェアを有するチップ又はチップセットにより実装されてもよい。
【００４８】
本発明による装置zに実装されるプロトコルをより正確に説明する。このプロトコルは図３〜７の図面に記載されている。
【００４９】
前述の表記に加えて、これらの図面で以下の表記が使用される。
【００５０】
（外１）
2006526228.tif 000003
条件Pがyに対して持続するように、装置yが存在するか？
（外２）
2006526228.tif 000004
開始点
（外３）
2006526228.tif 000005
シーケンス命令
（外４）
2006526228.tif 000006
タイムアウト命令（特に指定しなければステップ3に戻る）
（外５）
2006526228.tif 000007
バイナリ条件
（外６）
2006526228.tif 000008
終了点
図３のステップ1は、メインユーザが識別表示idzのない装置zをちょうど取得したときに使用される開始点である。
【００５１】
ステップ1に続いてステップ2があり、ステップ2の間に、装置zの初期化に必要な全ての動作が実行される。これは、ソフトウェアコードの挿入（チップの実装の場合は不要）、暗号鍵構成要素の生成、装置zの証明可能な識別表示idzの生成、リストMT(z)、UT(z)及びDT(z)を空にする設定を含む。１つの初期化動作がメインユーザの介入を必要としてもよい点に留意すべきである。ステップ2に続いてステップ100がある。
【００５２】
プロトコルはまた、ステップ3で開始してもよく、ステップ3は、既に初期化された装置zの通常の開始点である。また、ステップ3に続いてステップ100がある。
【００５３】
ステップ100は、他の装置tが同じコミュニティΛに属するか否かを装置zが検出するために必要な全ての動作及び条件を含む。これらの動作はサブステップ101〜104（図４）に記載されている。
【００５４】
ステップ101において、装置zは、場合によっては同じネットワークに属する全ての他の装置に、何らかの利用可能な手段（有線又は無線ネットワークプロトコル）により情報を送信する。ブロードキャストされる情報は、idz及びMT(z)である。
【００５５】
ステップ101に続いて自動的にステップ102があり、ステップ102の間に、装置tから識別表示idt及びオブジェクトMT(t)を取得するまで（ケース１）又はタイムアウトが経過するまで（ケース２）、装置zはその全てのネットワークインタフェースを待機及び受信する。ドメスティックネットワークの場合の一般的なタイムアウト持続時間は、1秒又は2秒である。ケース１が生じた場合、プロトコルはステップ103に進み、その他の場合（ケース２）には、ステップ101に戻る。
【００５６】
ステップ103は、情報idt及びMT(t)が装置tから受信された場合に作動する。このステップの間に、装置zは、それがtを信頼していないか否かを確認する。そうである場合、処理は終了し、ステップ3で再び開始する。そうでない場合、ステップ104に進む。
【００５７】
ステップ104において（すなわち、装置zが装置tを信頼していない場合ではない場合）
、装置zは識別表示idtがMT(z)に属するか否か及び識別表示idzがMT(t)に属するか否かを確認する。双方の確認が成功した場合、処理はステップ400（図３）に進む。そうでない場合、ステップ200に進む。
【００５８】
ステップ200は、装置tが（もはや）同じコミュニティに属していないことを装置zが検出した場合に作動する。このステップは、装置zが装置tのものと同じコミュニティに入ることができるか否かを検出するために必要な全ての動作及び条件を有する。この動作の詳細はサブステップ201〜209（図５）に記載されている。
【００５９】
ステップ201において、装置zは、idxがリストMT(z)及びMT(t)の共通部分に属するように装置xが存在するか否かを確認する。そうである場合、次のステップは202であり、そうでない場合、204になる。
【００６０】
ステップ202において、装置zはSx(idt)（すなわち、装置tが装置xにより信頼されているという証明）を装置tに要求する。一般的に1分の持続時間の終了前に、装置zが装置tからSx(idt)を受信した場合、処理はステップ203に進む。そうでない場合、装置zによるSx(idt)の受信の前にタイムアウトが終了した場合、処理は中止し、ステップ3（図３）で再び開始する。
【００６１】
ステップ203において、装置zは装置tからSx(idt)を受信し、それを確認する。この時点で、装置zは（MT(z)に含まれる）idxを認識しており、以前に（ステップ102で）idtを受信している。従って、idtを回復してそれをidtと比較するために、確認はSx(idt)で装置xのパブリック識別表示idxを使用することを有する。双方の識別表示idtが一致した場合に確認は成功し、次の動作ステップは300（図３）になる。そうでない場合、確認は成功せず、処理が中止し、ステップ3で再び開始する。
【００６２】
ステップ204は、idxがリストMT(z)及びMT(t)の共通部分に属するような装置xが存在しない場合に作動する。このステップの間に、装置zは、idxがリストUT(z)及びMT(t)の共通部分に属するような装置xが存在するか否かを確認する。そうである場合、次の動作ステップは205であり、そうでない場合、209になる。
【００６３】
ステップ205において、装置zは装置tにSx(idt)を要求し、一般的に1分の持続時間のタイムアウトの終了前にSx(idt)を受信した場合、次の動作ステップは206になる。そうでない場合、装置zによるSx(idt)の受信の前にタイムアウトが終了した場合、処理が中止し、ステップ3（図３）で再び開始する。
【００６４】
ステップ206はステップ203と同様であり、再度説明しない。ステップ206の確認が成功した場合、処理はステップ207に進み、そうでない場合、処理が中止し、ステップ3（図３）で再び開始する。
【００６５】
（装置zがうまくSx(idt)を確認した場合に作動する）ステップ207において、装置zは、装置tにUT(t)を要求する（一般的な1分の持続時間のタイムアウト内に受信される）。処理はステップ208に続く。UT(t)の受信の前にタイムアウトが終了した場合、処理は中止し、ステップ3（図３）で再び開始する。
【００６６】
ステップ208において、装置zは、idyがリストUT(t)及びMT(t)の共通部分に属するような装置yが存在するか否かを確認する。そうである場合、処理はステップ300（図３）に進み、そうでない場合、処理は中止し、ステップ3で再び開始する。
【００６７】
ステップ209は、idxがリストUT(z)及びMT(z)の共通部分に属するような装置xが存在しない場合に、ステップ204の後に作動する。この場合、次のステップ300に進むために、メインユーザの確認が必要になる。このメインユーザの確認は、一般的に1分の持続時間のタイムアウト内に生じる。タイムアウトが終了すると、処理は中止し、再びステップ3（図３）で開始する。
【００６８】
ステップ202、205及び209で使用されるタイムアウトは一般的に1分の持続時間を有するが、ユーザがこの持続時間を変更することができる点に留意すべきである。
【００６９】
図３のステップ300は、装置zがそのコミュニティΛに装置tを受け入れることができるという証明を有したときに作動する。このステップは、装置zが装置tをそのコミュニティに受け入れるために必要な全ての動作及び条件を有する。この動作の詳細は、図６のサブステップ301〜303に記載されている。
【００７０】
ステップ301において、リストUT(z)及びMT(z)は以下のように更新される。idtはUT(z)から除去され、MT(z)に挿入される。このステップに続いてステップ302がある。
【００７１】
ステップ302において、装置zは、装置tが装置zにより信頼されたという証明Sz(idt)をtに送信する。次にステップ303において、装置zはtからのSt(idz)を待機し、後の使用のために（zがtにより信頼されていることを他の装置に証明するために）それを格納する。次に、一般的に1分の持続時間のタイムアウトがSt(idz)の受信前に終了するまで、処理はステップ400（図３）に進む。後者の場合、処理は終了し、ステップ3で再び開始する。
【００７２】
ステップ400（図３）は、図４のステップ104（装置z及びtが既に同じコミュニティに属する場合）又は図６のステップ303（装置zがそのコミュニティに装置tを受け入れることができるという証明を有している場合）の後に自動的に作動する。このステップ400は、装置z及び装置tがコミュニティ情報を共有して更新するために必要な全ての動作及び条件を有する。これらの動作の詳細は、図７のサブステップ401〜402に記載する。
【００７３】
ステップ401において、リストDT(z)及びUT(z)は以下のように更新される。DT(t)の要素はDT(z)に追加され、MT(t)の要素はUT(z)に追加され、DT(t)の要素はUT(z)から除去される。このステップに続いてステップ402がある。
【００７４】
ステップ402において、装置zは、所有している全てのコミュニティ情報を装置tに提供する。次に、処理は中止し、ステップ3で再び開始する。
【００７５】
図８〜１２は、コミュニティの発展の例を示している。最初に、コミュニティに１つのみの１つの装置が存在する。次にユーザは装置bを挿入し、次に装置dを挿入し、次に装置cをこの順序で挿入する。具体的には、以下の通りである。
・図８は、装置bが装置aのコミュニティに入ったときの動作を示している。
・図９は、装置dが装置aのコミュニティに入ったときの動作を示している。
・図１０は、装置cが装置bのコミュニティ（装置aのコミュニティでもある）に入ったときの動作を示している。
・図１１は、（図５のステップ204〜208を使用して）装置c及びdがユーザの介入なしに信頼関係を確立したときの動作を示している。
・図１２は、（図５のステップ201〜203を使用して）装置a及びcがユーザの介入なしに信頼関係を確立したときの動作を示している。
【００７６】
本発明は以下の利点を提供する。
【００７７】
本発明は、かなり動的、発展的及び異種のコミュニティに当てはまる。従来技術の対策は、このような場合に適用されず、メインユーザ（例えばドメスティックユーザの場合にはネットワーク管理者）に対する要求が非常に厳しい。
【００７８】
小さい管理のニーズのため、本発明は大規模ネットワークに対して便利である。
【００７９】
挿入、除去又は追放の間に特定の役目を行う制御のような中央装置が必要ない。このことにより、ネットワークの何らかの装置が利用できないことにかかわらず、本発明がよりロバストになる。電子チップの実装の場合、特定のコントローラバージョンの必要がない。チップは全て同じである。
【００８０】
本発明により、コミュニティに関する何らかの情報のセキュアな配信が可能になる。これらは、構成情報、時間及びタイムスタンプ情報、第三者のプロトコル鍵、第三者のモバイルエージェント、アンチウィルスの署名ファイル等を含み、それらに限定されない。
【００８１】
エージェントがほとんどの種類のネットワーク装置に挿入可能であるため、本発明は様々な技術に当てはまる。
【００８２】
本発明は、以前に構成されたコミュニティ及び新しく構成されたコミュニティに当てはまる。十分な計算及びメモリ機能をサポートしている場合には、エージェントは古い装置に挿入され得る。
【００８３】
本発明により、紛失、盗難又は危うい装置の簡単な追放が可能になる。他の技術対策の状態は、既にアクセス不可能な装置の追放について容易な手段を提供しない。
【００８４】
本発明は、コミュニティの装置間での正確な情報の同期及び普及を保証する。この点により、他のプロトコル又はシステムにより使用される第三者の暗号構成要素の送信が可能になる。非限定的な例のリストとして、本発明は以下のものを送信することができる。
−鍵として使用される共有の秘密
−場合によっては安全でないプロトコル（FTP等）で送信されるファイルの暗号の要約これらのファイルは、ソフトウェアパッチ、ウィルスリスト、自動セキュリティ手順等でもよい。
−新しいバージョンのソフトウェアエージェントの暗号署名（本発明で使用されるようなもの）
【図面の簡単な説明】
【００８５】
【図１】本発明を実装した装置の一部
【図２】本発明により生成されたコミュニティの例
【図３】本発明による装置zで実行される好ましいプロトコルのフローチャート
【図４】本発明による装置zで実行される好ましいプロトコルのフローチャート
【図５】本発明による装置zで実行される好ましいプロトコルのフローチャート
【図６】本発明による装置zで実行される好ましいプロトコルのフローチャート
【図７】本発明による装置zで実行される好ましいプロトコルのフローチャート
【図８】図３〜７に示すプロトコルを実装した装置間での異なる可能な状況を示した時系列図
【図９】図３〜７に示すプロトコルを実装した装置間での異なる可能な状況を示した時系列図
【図１０】図３〜７に示すプロトコルを実装した装置間での異なる可能な状況を示した時系列図
【図１１】図３〜７に示すプロトコルを実装した装置間での異なる可能な状況を示した時系列図
【図１２】図３〜７に示すプロトコルを実装した装置間での異なる可能な状況を示した時系列図
【図１】
2006526228.tif 000009
【図２】
2006526228.tif 000010
【図３】
2006526228.tif 000011
【図４】
2006526228.tif 000012
【図５】
2006526228.tif 000013
【図６】
2006526228.tif 000014
【図７】
2006526228.tif 000015
【図８】
2006526228.tif 000016
【図９】
2006526228.tif 000017
【図１０】
2006526228.tif 000018
【図１１】
2006526228.tif 000019
【図１２】
2006526228.tif 000020
【国際調査報告】
2006526228.tif 000021
2006526228.tif 000022
2006526228.tif 000023