(57)【要約】  腕時計（２）のようなトラステッドデバイスは、認証動作を実施してトラステッドデバイスを認証済み状態に切り替えるのに使用される認証回路（２６）を設けられている。保持モニタリング回路（３２）は、認証動作に従って、ユーザによるトラステッドデバイスの物理的所持をモニタリングし、トラステッドデバイスがユーザによって物理的に所持されていない場合、トラステッドデバイスを認証済み状態から脱して切り替える。トラステッドデバイスがユーザによって物理的に所持されたままである間、通信トリガ回路（３８）が、複数の異なる目標デバイスの１つである目標デバイスとの通信を確立することを求める要求を検出するのに使用され、通信回路（４０）は、ユーザの認証済み識別標識を使用して目標デバイスと通信するのに使用される。【選択図】図４
2016524249.tif 000002
【特許請求の範囲】
【請求項１】
トラステッドデバイスであって、
認証動作によって、前記トラステッドデバイスを物理的に所持しているユーザを認証し、それによって、前記トラステッドデバイスを認証済み状態に切り替えるように構成されている認証回路と、
前記認証動作に従って、前記ユーザによる前記トラステッドデバイスの物理的所持をモニタリングし、前記トラステッドデバイスが前記ユーザによって物理的に所持されていない場合、前記トラステッドデバイスを前記認証済み状態から脱して切り替えるように構成されている、保持モニタリング回路と、
複数の異なる目標デバイスの１つである目標デバイスから受信される、通信を確立することを求める要求を検出するように構成されている通信トリガ回路と、
前記トラステッドデバイスが前記認証済み状態にある場合に、前記目標デバイスと通信するように構成されている通信回路とを備える、トラステッドデバイス。
【請求項２】
前記目標デバイスとの前記通信は、アプリケーションプログラムインターフェースキー、デジタル証明書、ユーザ識別標識、パスワードおよび暗号化署名付きデータの１つまたは複数を含むクレデンシャルを前記目標デバイスに提示することを含む、請求項１に記載のトラステッドデバイス。
【請求項３】
前記目標デバイスとの通信は、後続の認証において使用可能なクレデンシャルの作成を含む、請求項１および２のいずれか一項に記載のトラステッドデバイス。
【請求項４】
前記目標デバイスとの前記通信は、構成データ、パーソナライズ嗜好、ネットワーク設定、規約、領収書、コンピュータプログラム、データログ、取引記録およびクレデンシャルの少なくとも１つを含む情報の転送を含む、請求項１、２および３のいずれか一項に記載のトラステッドデバイス。
【請求項５】
前記トラステッドデバイスはいずれのクレデンシャルを使用すべきかを自動的に選択する、請求項２に記載のトラステッドデバイス。
【請求項６】
前記トラステッドデバイスはいずれの情報を使用すべきかを自動的に選択する、請求項４に記載のトラステッドデバイス。
【請求項７】
前記自動選択に使用される自動選択基準は、ユーザ構成の影響下にある、請求項５または６に記載のトラステッドデバイス。
【請求項８】
前記トラステッドデバイスはユーザに、自動的に行われた選択を手動で変更することを可能にする、請求項５または６に記載のトラステッドデバイス。
【請求項９】
前記保持モニタリング回路は、
留め具であって、前記留め具が閉じた状態にあるとき、前記ユーザに取り付けられている前記トラステッドデバイスを保持するように構成されており、前記留め具が前記閉じた状態から脱して変化した場合、前記保持モニタリング回路は、前記トラステッドデバイスを前記認証済み状態から脱して切り替える、留め具、
前記ユーザから検出される電気信号、前記トラステッドデバイスと前記ユーザとの間の接触領域の温度の１つまたは複数を使用して前記トラステッドデバイスと前記ユーザとの間の接触を検出するように構成されている接触検出回路、
前記トラステッドデバイスおよび前記ユーザによって装着されている近接性デバイスの近接性を検出するように構成されている近接性検出回路、
前記トラステッドデバイスが前記ユーザによって所持されているときに光から遮蔽される光検出器、
前記ユーザの化学的特性を検出するように構成されている化学検出器、
前記ユーザの１つまたは複数のバイオメトリック特徴を認識するように構成されているバイオメトリック検出器回路、
前記トラステッドデバイスが前記トラステッドデバイスによって物理的に所持されている間に前記ユーザが動くときに前記トラステッドデバイスの動きを検出するように構成されている動きセンサ、
前記ユーザ内のインプラントの近接性を検出するように構成されているインプラント検出回路、ならびに
複数の温度センサを有し、前記トラステッドデバイスを通る熱流束を検出するように構成されている熱流束検出回路の少なくとも１つを備える検出回路を含む、請求項１〜８のいずれか一項に記載のトラステッドデバイス。
【請求項１０】
保持モニタリング回路は複数の検出回路を備え、前記複数の検出回路からの検出結果を組み合わせて、前記トラステッドデバイスが前記ユーザによって物理的に所持されている保持確率を求め、前記保持確率が閾値確率レベルを下回って降下する場合、前記トラステッドデバイスを前記認証済み状態から脱して切り替えるように構成されている、請求項９に記載のトラステッドデバイス。
【請求項１１】
前記保持モニタリング回路は、前記認証動作からの時間が増大するにつれて前記保持確率を低減するように構成されている、請求項１０に記載のトラステッドデバイス。
【請求項１２】
前記認証回路は、
前記ユーザの１つまたは複数のバイオメトリック特徴を認識するように構成されているバイオメトリック認識回路、
前記ユーザの指紋を認識するように構成されている指紋認識回路、
前記ユーザの顔を認識するように構成されている顔認識回路、
前記ユーザの１つまたは複数の化学的特性を認識するように構成されている化学認識回路、
前記ユーザのＥＣＧ信号を認識するように構成されているＥＣＧ認識回路、
前記ユーザの１つまたは複数の生体インピーダンス特性を認識するように構成されている生体インピーダンス回路、
前記ユーザの歩行を認識するように構成されている歩行認識回路、および
前記ユーザ内のインプラントを認識するように構成されているインプラント認識回路の少なくとも１つを備える、請求項１〜１１のいずれか一項に記載のトラステッドデバイス。
【請求項１３】
前記認証回路は、前記ユーザの識別における誤判定の許容される確率で認証動作を許容するように構成されており、前記許容される確率は、以前の陽性の認証動作からの時間が低減するにつれて増大する、請求項１２に記載のトラステッドデバイス。
【請求項１４】
前記保持モニタリング回路は、以前の陽性の認証動作から前記トラステッドデバイスが前記ユーザによって物理的に所持されたまま担っている確率を示すために保持確率を生成し、前記認証回路は、前記ユーザの識別における誤判定の許容される確率で認証動作を許容するように構成されており、前記許容される確率は、保持確率が増大するにつれて低減する、請求項１２および１３のいずれか一項に記載のトラステッドデバイス。
【請求項１５】
前記通信トリガ回路は、
前記目標デバイスと前記トラステッドデバイスとの間の、閾値距離に満たない距離の検出、
前記ユーザが前記目標デバイスに触れていることの検出、
前記目標デバイスを指定するメッセージの受信、
前記ユーザによる、デバイスのリストから前記目標デバイスの選択の少なくとも１つに応答して前記目標デバイスとの通信をトリガするように構成されている、請求項１〜１４のいずれか一項に記載のトラステッドデバイス。
【請求項１６】
前記通信回路は、前記トラステッドデバイスと任意の他のデバイスとの間の通信の利用可能性とは無関係に、前記目標デバイスと通信するように構成されている、請求項１〜１５のいずれか一項に記載のトラステッドデバイス。
【請求項１７】
前記通信回路は、前記目標デバイスと任意の他のデバイスとの間の通信の利用可能性とは無関係に、前記目標デバイスと通信するように構成されている、請求項１〜１６のいずれか一項に記載のトラステッドデバイス。
【請求項１８】
前記通信回路は、前記トラステッドデバイスと前記目標デバイスとの間に双方向性通信をもたらすように構成されている、請求項１〜１７のいずれか一項に記載のトラステッドデバイス。
【請求項１９】
前記目標デバイスからの情報を表示するように構成されているディスプレイをさらに備える、請求項１〜１８のいずれか一項に記載のトラステッドデバイス。
【請求項２０】
前記通信回路は、前記目標デバイスから情報を受信するように構成されており、前記目標デバイスから受信される前記情報を使用して前記目標デバイスを認証するように構成されている目標認証回路をさらに備える、請求項１〜１９のいずれか一項に記載のトラステッドデバイス。
【請求項２１】
前記通信回路は、前記目標デバイスとの通信を許可する前に、前記ユーザからの確認入力の受信を必要とするように構成されている確認回路を含む、請求項１〜２０のいずれか一項に記載のトラステッドデバイス。
【請求項２２】
前記トラステッドデバイスは、
ウェアラブルデバイス、および
腕時計の少なくとも１つである、請求項１〜２１のいずれか一項に記載のトラステッドデバイス。
【請求項２３】
前記トラステッドデバイスは、前記認証された識別標識を使用した前記通信に使用するための識別標識データを記憶するように構成されている識別標識記憶回路を備え、前記識別標識データは、各々が関連付けられる秘密データを有する１つまたは複数の公的識別標識識別子を含む、請求項１〜２２のいずれか一項に記載のトラステッドデバイス。
【請求項２４】
前記目標デバイスは、１つまたは複数のレベルのさらなるデバイスと通信する、請求項１〜２３のいずれか一項に記載のトラステッドデバイス。
【請求項２５】
前記１つまたは複数のレベルのさらなるデバイスとの前記通信は、前記トラステッドデバイスに記憶されているクレデンシャルを使用する、請求項２４に記載のトラステッドデバイス。
【請求項２６】
前記１つまたは複数のさらなるデバイスのレベルの許容される最大数は、
使用されるクレデンシャル、および
前記トラステッドデバイスに対するユーザ入力の１つまたは複数の関数である、請求項２５に記載のトラステッドデバイス。
【請求項２７】
トラステッドデバイスであって、
認証動作によって、前記トラステッドデバイスを物理的に所持しているユーザを認証し、それによって、前記トラステッドデバイスを認証済み状態に切り替えるための認証手段と、
前記認証動作に従って、前記ユーザによる前記トラステッドデバイスの物理的所持をモニタリングし、前記トラステッドデバイスが前記ユーザによって物理的に所持されていない場合、前記トラステッドデバイスを前記認証済み状態から脱して切り替えるための保持モニタリング手段と、
複数の異なる目標デバイスの１つである目標デバイスから受信される、通信を確立することを求める要求を検出するための通信トリガ手段と、
前記トラステッドデバイスが前記認証済み状態にある場合に、前記目標デバイスと通信するための通信手段とを備える、トラステッドデバイス。
【請求項２８】
信頼できる処理の方法であって、
認証動作によって、前記トラステッドデバイスを物理的に所持しているユーザを認証し、それによって、前記トラステッドデバイスを認証済み状態に切り替えるステップと、
前記認証動作に従って、前記ユーザによる前記トラステッドデバイスの物理的所持をモニタリングし、前記トラステッドデバイスが前記ユーザによって物理的に所持されていない場合、前記トラステッドデバイスを前記認証済み状態から脱して切り替えるステップと、
複数の異なる目標デバイスの１つである目標デバイスから受信される、通信を確立することを求める要求を検出するステップと、
前記トラステッドデバイスが前記認証済み状態にある場合に、前記目標デバイスと通信するステップとを含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラステッドデバイスの分野に関する。より詳細には、本発明は、複数の異なる目標デバイスのうちの１つとの通信を確立するのに使用するためのトラステッドデバイスに関する。
【背景技術】
【０００２】
加入者識別モジュール（ＳＩＭ）が、トラステッドデバイスの好例である。加入者識別モジュールは、どのソフトウェアがデバイス上で作動するかを制御しないエンドユーザにサービスを配信することを容易にするために、当該エンドユーザの手元に置かれる、物理的改ざんに耐え、認可されていないパーティによる電子的通信を拒絶するように設計されている、「セキュアエレメント」コンピュータプロセッサを提供する。
【０００３】
デバイスを制御する者（認可されたパーティ）は誰でも、どのソフトウェアがデバイス上で作動するかを制御する。デバイスは物理的かつ暗号学的に安全であるため、デバイスを制御する者は、デバイス上で作動するソフトウェアが、自身がそこに置いたソフトウェアであるという確実性を有することができる。デバイスを制御する者は、ソフトウェアが自身のエージェントとして機能するように信頼することができ、これは例えば、時としてデバイスコントローラと通信していない間でさえ、サービスにアクセスするカード所有者を認証する。デバイスコントローラは、サービスを提供するためにデバイスを使用するエンティティである必要はなく、第三者がデバイス上にエージェントおよび情報を置くのを認証するゲートキーパとして起用することができる。
【０００４】
一例として、ＳＩＭカードの製造者であるＧｅｍａｌｔｏ  Ｎ．Ｖ．は、Ｖｏｄａｆｏｎｅ  ＰＬＣにＳＩＭカードを販売しており、Ｖｏｄａｆｏｎｅの代理としてＳＩＭカードをＶｏｄａｆｏｎｅの顧客に届けている。Ｖｏｄａｆｏｎｅは、そのセルラネットワークに接続されている携帯電話が、特定の顧客、ひいてはＶｏｄａｆｏｎｅが料金を請求することができる者によって操作されていることをソフトウェアに検証（および、必要に応じて証明）させるカード上にソフトウェアを有する。Ｖｏｄａｆｏｎｅはまた、カード上に、Ｖｉｓａの代理としての小型ソフトウェアプログラムを配布することもでき、このとき、小型ソフトウェアプログラムはＶｉｓａのモバイルアプリを使用して、ＳＩＭカードをＶｉｓａカードのように操作し、例えば、ＰＩＮ番号を検証して支払いを認証することができる。
【０００５】
本発明の文脈において、トラステッドデバイスは少なくともセキュアエレメントを備え、セキュアエレメントは、当該セキュアエレメントの直接制御下にある通信手段を有する。それらの通信手段は、近接場通信（ＮＦＣ）他の無線リンク、および／またはボタンおよびディスプレイのようなインターフェース要素を含み得る。したがって、トラステッドデバイスは、例えば、画面上にＰＩＮ番号を入力し、当該番号が、信頼できるセキュアエレメント上で作動するソフトウェアに向かったと確信できるように、セキュアエレメントと直接対話する方法を提供する。
【０００６】
現代のデジタルシステムにおいて生じる共通の問題は、目標デバイスとの信頼できる通信を確立する必要があることである。これらの目標デバイスは、家庭内ｗｉｆｉネットワークに接続しているタブレットコンピュータのように、相対的にローカルであり得、または、リモートサーバによって管理されており、無線インターネット接続を介してアクセスされる銀行口座にアクセスするためのスマートフォンの使用のように、よりリモートであり得る。今日利用されている一般的なソリューションは、通信が確立されるときに、ユーザがトラステッドデバイスを認証するためのパスワードを目標デバイスに提供することを必要とする。これは、ユーザが複数の異なるパスワードの大きな数字を覚えておくことを必要とし得る。この問題は、ユーザが通信することを所望する可能性がある目標デバイスの数が増大するにつれて、例えば、ますます多くの数の家庭用デバイスがモノのインターネットにおいて接続されるようになるにつれて、より大きくなる。スマートフォンのようなトラステッドデバイスが、様々な接続が確立されるために、複数のパスワードを記憶し得ることが可能である。しかしながら、この状況においても、トラステッドデバイス自体を保護するパスワードを提供することによってセキュリティを確保することが必要であり、トラステッドデバイス上でパスワードを頻繁に入力する必要性が、厄介なものになり得る。さらに、純粋にパスワードに基づくセキュリティは、パスワードが別のパーティの知るところとなった場合に脆弱である。
【０００７】
別の既知の形態のセキュリティは、ユーザが、目標デバイスに接続するために、自身で所持しなければならないトークン（例えば、コード生成器）をユーザが所持していること、および、パスワードを知っていることに依拠する。一例として、目標デバイスに接続するためのセキュリティは、ユーザがトークンデバイスからワンタイムコードを得ること、およびまた、パスワードを入力することも必要とし得、それによって、ユーザが所持しているもの（すなわち、トークン）およびユーザが知っていること（すなわち、パスワード）に基づいてセキュリティが提供される。そのようなシステムはセキュリティを増大することを可能にし得るが、接続を行うためにより多くのステップが必要とされるため、ユーザに対する利便性が低減することにもなる。
【０００８】
長年にわたって確立されてきた形態のセキュリティは、純粋に物理的な鍵を所持することに基づいて提供され得る。一例として適切に成形された金属鍵を所持することによって、所有者がロックされた扉を開くことを可能にすることができる。そのような物理的な鍵を所持することの電子的な均等形態は、例えば、電子的に固定されているドアロックを開くのに使用することができるドアパスを所持することであり得る。そのようなシステムは相対的に迅速に使用することができるが、それらのシステムは、ユーザが、複数の物理的な鍵を所持することを必要とする可能性があり、また、これらの鍵の喪失に対して脆弱でもあり、認可されていない鍵の所有者が不適切にアクセスを得ることを可能にしてしまう。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
本発明の技法は、目標デバイスとの通信を安全に確立する方法を提供し、なお、それらの通信を確立するための進行中のユーザ動作のレベルを低減もするトラステッドデバイスを提供することを模索する。これらの利点は、ユーザが、自身の日常生活の一部として通信することを所望し得る多数のデバイスを含む環境におけるように（すなわち、多くの一般的なデバイスが、ユーザが通信することを所望し得る組み込み処理機能を含むもののインターネット環境において安全確保された通信が所望される目標デバイスの数が増大されるときに特に有用である。
【課題を解決するための手段】
【００１０】
一態様から見ると、本発明は、トラステッドデバイスであって、
認証動作によって、上記トラステッドデバイスを物理的に所持しているユーザの身元を認証し、それによって、上記トラステッドデバイスを認証済み状態に切り替えるように構成されている認証回路と、
上記認証動作に従って、上記ユーザによる上記トラステッドデバイスの物理的所持をモニタリングし、上記トラステッドデバイスが上記ユーザによって物理的に所持されていない場合、上記トラステッドデバイスを上記認証済み状態から脱して切り替えるように構成されている、保持モニタリング回路と、
複数の異なる目標デバイスの１つである目標デバイスから受信される、通信を確立することを求める要求を検出するように構成されている通信トリガ回路と、
上記トラステッドデバイスが上記認証済み状態にある場合に、上記目標デバイスと通信するように構成されている通信回路とを備える、トラステッドデバイスを提供する。
【００１１】
本発明の技法は、ユーザによってまたはユーザを受けて実施される認証動作によって認証済み状態に切り替えることができるトラステッドデバイスを提供する。その後、保持モニタリング回路は、継続してモニタリングされ得る認証済み状態にトラステッドデバイスが切り替えられているときに、ユーザによるトラステッドデバイスの継続した物理的所持をモニタリングする。トラステッドデバイスが（少なくとも所定の確率レベルまで）ユーザによって物理的に所持されたままであると判定される場合、トラステッドデバイスは認証済み状態のままになり、一方、トラステッドデバイスがそのデバイスを認証したユーザの物理的所持から外れていると判定される場合、トラステッドデバイスは認証済み状態から外れる。トラステッドデバイスは、複数の異なる目標デバイスの中からの目標デバイスとの通信を確立することを求める要求を検出する通信トリガ回路を含み、トラステッドデバイスが依然として認証状態にある場合、通信回路を使用して、ユーザに属する適切なクレデンシャルセットを使用して目標デバイスと通信する。
【００１２】
トラステッドデバイスの一例の使用シナリオは、トラステッドデバイスを認証済み状態に切り替えるために、ユーザが、パスワードを入力すること、またはバイオメトリック特徴を使用することなどによって認証するウェアラブルデバイスである。その後、ウェアラブルトラステッドデバイスは、整体測定または近接センサなどによって、ユーザによるその継続した物理的所持をモニタリングし、トラステッドがユーザの物理的所持から外れていると判定される場合、認証済み状態から脱して切り替える。目標デバイスとの通信を確立することを求める要求が受信されたときに、トラステッドが依然としてユーザによって物理的に所持されたままであると判定される場合、トラステッドデバイスは、トラステッドデバイス内に記憶されている適切なパスワードを使用すること、および、ユーザの認証済み識別標識を使用することなどによって、その通信を確立する。ユーザは、例えば、その日の始めにウェアラブルトラステッドデバイスが装着されるときに一度ウェアラブルトラステッドデバイスを認証することができ、その後、トラステッドデバイスは、ウェアラブルトラステッドデバイスがユーザによって物理的に所持されたままであることを条件として、その日のリマインダの間、任意の必要なパスワードまたは他のクレデンシャルを目標デバイスに供給することができる。
【００１３】
目標デバイスとの通信は、アプリケーションプログラムインターフェースキー、デジタル証明書、ユーザ識別標識、パスワード、チャレンジレスポンスプロトコルの一部として署名のためにトラステッドデバイスに送信されるデータを含む暗号化署名付きデータ、アクセス制御データおよび／または認証データの１つまたは複数を含む、クレデンシャルの、上記目標デバイスへの提示のような、多種多様な異なる形態をとることができる。
【００１４】
通信は、トラステッドデバイスおよび目標デバイスのいずれかまたは両方の認証の一部としての後続の通信に使用するためのクレデンシャルの作成を含むことができる。
【００１５】
通信は、構成データ、パーソナライズ嗜好、ネットワーク設定、規約、領収書、コンピュータプログラム、データログ、取引記録およびクレデンシャルのような情報の転送を含むことができる。
【００１６】
クレデンシャル／通信される情報は、選択アルゴリズム（ユーザ構成可能でもよい）を使用して自動的に選択されてもよい。必要に応じて、自動選択は、手動ユーザ選択によって無効にされ得、例えば、トラストデバイスが使用すべきクレデンシャルを示唆し、ユーザがこれを確認して、提示されている代替案リストからなどの、別のクレデンシャルを選択する。
【００１７】
「識別標識」は、個人に関連し、個人を説明する情報のセットから構成される。日常生活の中で、我々の識別標識は、名前、肩書、電話番号、および、我々に関する、我々の物理的特性を所持する個人とこれらの詳細を関連付ける他者に分かっている種々の他の情報から構成される。我々の直接的な社会的集団よりも広い文脈における識別標識は、一般的に、我々の顔の特徴と、名前、誕生日、および、社会保障番号のような固有の政府識別子のような、我々に関する特定の詳細とを関連付ける、パスポートのような政府発行文書によって提供される。オンラインの識別標識は、相対的に有用性が低いことが多く、例えば、ディスカッションフォーラムにログインすることによって、記憶されている状態にアクセスさせる役割しか果たさない。これらの事例において、識別標識は、ユーザ名およびパスワード程度からしか構成されない場合がある。パスワードは、他人が提示することが困難または不可能であり、クレデンシャルであるという点において、現実の日常生活の中で我々の顔と同様の目的を果たす。
【００１８】
この識別情報は、トラステッドデバイス上にのみ記憶することができるか、または、有利には、トラステッドデバイスから遠隔している可能性がある別個のコンピュータシステム上に記憶またはバックアップすることができ、これによって、ユーザが自身の識別情報を改めて確立する必要なしに、トラステッドデバイスを交換または交代することが可能になる。
【００１９】
トラステッドデバイスは、トラステッドデバイスのユーザの複数の識別標識をサポートすることができ、これによって、ユーザは、認証されると、いずれの識別標識を使用することを所望するかを選択することが可能になる。そのような識別標識は、目標デバイスに送信されるユーザに関する情報の量を制御する方法として使用することができる。一例として、金融機関と通信するのに使用するためのもののような１つの認証される識別標識は、特定の個人が認証されることを必要とする場合があり、従って、そのような状況においては、ユーザ固有の認証される識別標識（例えば、フルネーム）が使用され得る。一方、地下鉄の自動改札機と通信するときのような、別の形態の認証される識別標識は、ユーザが成人として識別されること、および、トラステッドデバイス内の電子ウォレットから関連する旅程の適切な運賃が差し引かれることのみを必要とし得る。これらの状況において、ユーザのプライバシーを確保するために、ユーザの個々の識別標識が輸送手段提供者に提供されることは所望されない場合があり、従って、認証される識別標識は、適切な運賃を支払うことを所望する成人旅客のものだけである。
【００２０】
複数の異なる識別標識は、様々に異なり得る。関連する識別標識と関連付けられ、目標デバイスに通信される識別情報は変化し得る。代替的にまたは付加的に、識別標識と関連付けられ、目標デバイスとの通信中に使用される権限は変化し得る。一例として、目標デバイスが会議室のドアロックを開くのに使用された場合、１つの識別標識が、目標デバイスのユーザが、その部屋に入るのを許可することができ、一方で、目標デバイスによってサポートされている別の識別標識が、ユーザが、その会議室の鍵を開けることを可能にして、一定期間にわたって他者が入ることを許可することができ、例えば、ユーザがこの動作を認証するための適切な権限を与えている場合に、一時間にわたって会議室の鍵を開けることを許可することができる。
【００２１】
目標デバイスに送信される、ユーザに関する情報の量およびタイプを制御する別の方法は、トラステッドデバイスが、そのユーザに関する記憶されているすべての情報およびクレデンシャルを含む、そのユーザの単一の識別標識を保持するが、各目標デバイスに、そのデバイスにとって適切かつ必要であるような情報およびクレデンシャルのみを提示することである。
【００２２】
トラステッドデバイスの継続した物理的所持をモニタリングするのに使用される保持モニタリング回路は、多種多様な異なる形態をとることができる。トラステッドデバイスの物理的所持は、例えば、トラステッドデバイスが関連するユーザと継続して接していることによって、または、トラステッドデバイスが関連するユーザの所定の範囲内に継続して近接していることによって判定することができる。トラステッドデバイスがユーザと物理的に接しているか、または、ユーザの１メートル以内にある場合、トラステッドデバイスはユーザの制御下にあるままであると判定することができ、したがって、トラステッドデバイスがその認証済み状態にあるままであることは安全である。
【００２３】
保持モニタリング回路の例としては、留め具であって、留め具が閉じた状態にあるときにユーザに取り付けられているトラステッドデバイスを保持するように構成されている、留め具、ユーザからの電気信号（例えば、ＥＣＧ、ＥＥＧなど）およびトラステッドデバイスとユーザとの間の接触領域の温度の１つまたは複数を使用してトラステッドデバイスとユーザとの間の接触を検出するように構成されている接触検出回路、トラステッドデバイスがユーザからの一定の距離を超えて動く場合にトラステッドデバイスが認証済み状態から外れ得るようにトラステッドデバイスとユーザとの間の距離を測定するのに使用される近接性検出回路、トラステッドデバイスがユーザによって所持されているときに光から遮蔽される光検出器（例えば、デバイスがユーザによって装着されているときに被覆される、ウェアラブルデバイスの表面上の光検出器）、ユーザの化学的特性を検出するように構成されている化学検出器、ユーザの１つまたは複数のバイオメトリック特徴を認識するように構成されているバイオメトリック検出器、ユーザが動く度にトラステッドデバイスの動きを検出（例えば、ユーザの特徴的な歩行の検出）するように構成されている動き検出器、インプラント（例えば、ＲＦＩＤタグまたは磁性タトゥー）と近接していることを検出するように構成されているインプラント検出回路、および、複数の温度センサを有し、デバイスがユーザによって保持されていることと一致する、デバイスを通る継続した熱流束を検出するように構成されている熱流束検出回路（例えば、装着されるトラステッドデバイスは、ユーザの体温に起因してデバイスを通過する熱流束を有する）の少なくとも１つを備える１つまたは複数の検出回路を含む。
【００２４】
いくつかの実施形態において、保持モニタリング回路は、複数の検出回路を備えることができ、それらの検出結果を組み合わせて、トラステッドデバイスがその認証済み状態に切り替えられてからユーザによって物理的に所持されたままである可能性がどれだけあるかの測度に対応する保持確率を判定し、保持確率が閾値確率を下回って降下する場合、トラステッドデバイスをこの認証状態から脱して切り替えるように構成することができる。複数の検出結果を組み合わせることによって、保持モニタリング回路の精度および信頼性を向上させることができる。
【００２５】
いくつかの実施形態において、最後の認証動作からの時間が保持モニタリング検出結果のいずれとも無関係に増大するにつれて、保持モニタリング回路は、保持確率を低減するように構成されてもよい。これは、認証動作が何らかの最小間隔で繰り返されることを保証し、一般的に、最後の認証動作からの時間が増大するとトラステッドデバイスが継続して物理的に所持されている確実性が低減することを反映するために使用することができる。
【００２６】
認証回路もまた、様々な異なる形態をとることができる。例として、認証回路は、ユーザの１つまたは複数のバイオメトリック特徴を認識するためのバイオメトリック認識回路、ユーザの指紋を認識するように構成されている指紋認識回路、ユーザの顔を認識するように構成されている顔認識回路、ユーザの１つまたは複数の化学的特性を認識するように構成されている化学的認識回路、ユーザのＥＣＧ信号を認識するように構成されているＥＣＧ認識回路、ユーザの１つまたは複数の生体インピーダンス特性を認識するように構成されている生体インピーダンス回路、ユーザの歩行を認識するように構成されている歩行認識回路、および、ユーザ内のインプラントを認識するように構成されているインプラント認識回路の１つまたは複数を含んでもよい。
【００２７】
他の認証済み技法も使用されてもよいことが諒解されよう。認証済み状態への切り替えの安全性および信頼性を増大させるために、これらのセンサ／検出器および技法の組み合わせが認証動作において使用されてもよい。
【００２８】
いくつかの実施形態において、保持確率の測度と組み合わさった後続の認証を受けて、それほど正確でない認証動作が許容されてもよいということがあり得、例えば、ユーザが目標デバイスを物理的に所持したままである可能性が高いことを保持確率が示す場合に、たとえさらなる認証動作が要求されているとしても、その新たな認証動作において、そうでない場合よりも高い割合の誤判定が許容されることになる。
【００２９】
通信トリガ回路は、様々な異なる形態をとることができ、様々な異なる様式で起動することができる。例として、目標デバイスは、目標デバイスとトラステッドデバイスとの間の距離が閾値距離よりも小さいことが検出されること、ユーザが目標デバイスに触れていること（例えば、ユーザの身体を通じた信号の電気伝導）が検出されること、目標デバイスを指定するメッセージが（例えば、リモートサーバのようなリモートソースから）受信されること、および、ユーザが、通信がトリガされ得る目標デバイスのリストから目標デバイスを選択することの少なくとも１つに応答することができる。
【００３０】
トラステッドデバイスおよび目標デバイスは各々、それらがその時点において任意の他のデバイスと通信しているか否かとは無関係に、それらの側の通信動作を実施することができる。したがって、トラステッドデバイスおよび目標デバイスは、それらが互いと通信するときに、他のデバイスとオンラインであってもよく、またはオンラインでなくてもよい。
【００３１】
通信回路は、トラステッドデバイスと目標デバイスとの間に双方向性通信をもたらすように構成されてもよい。トラステッドデバイスは、それ自体を目標デバイスに対して認証することができ、また、目標デバイスが、それ自体をトラステッドデバイスに対して認証することができるということも可能である。
【００３２】
トラステッドデバイスは、目標デバイスからの情報を表示するように構成されているディスプレイを備えることができる。この情報は、目標デバイスの動作のために使用され得、または、加えてまたは代替的に、通信が行われている目標デバイスの識別標識を確認するために使用され得、例えば、トラステッドデバイスが、ユーザのラップトップコンピュータとの通信を開始し、当該ラップトップコンピュータをロック解除するためにトリガされ得、トラステッドデバイスは、ユーザがそのロック動作を阻止するために介入されない限り、そのようなロック解除動作が実施されるという指示を表示する。
【００３３】
通信回路は、いくつかの実施形態において、目標デバイスとの通信を許可する前に、ユーザからの確認入力の受信を必要とする場合があり、例えば、ユーザは、実際にロック解除が行われる前に、自身のラップトップコンピュータをロック解除することを所望することを確認するよう要求され得る。
【００３４】
トラステッドデバイスは、様々な異なる形態をとり得る。例えば、トラステッドデバイスは、ネックレスのようなウェアラブルデバイスであり得る。しかしながら、トラステッドデバイスの特に有用な形態は腕時計の形態である。
【００３５】
トラステッドデバイスは、前述したように認証済み識別標識を使用して通信に使用するための識別標識データを記憶するように構成されている識別標識記憶回路を含むことができる。識別標識データは、各々が関連付けられる秘密データ（例えば、パスワードまたは他のセキュリティ証明書）を有する１つまたは複数の公的な身分識別子（例えば、ユーザｉｄ）を含み得る。
【００３６】
ユーザとトラステッドデバイスとの間に確立される信頼関係は推移的なものである。すなわち、目標デバイスＡがそのユーザを正確に認証するためにトラステッドデバイスＢを信頼し、かつトラステッドデバイスＢがその適切に認証されたユーザＣによって使用されていることをトラステッドデバイスＢが信頼する場合、この状況は、Ａが適切に認証されたユーザＣによって使用されていることをＡが信頼していることと等価である。
【００３７】
したがって、トラステッドデバイスによって確立される信頼関係は、目標デバイスを越えて１つまたは複数のレベルのさらなるデバイスへと延伸することができる。それらのさらなるデバイスとの通信は、トラステッドデバイスに記憶されているクレデンシャルおよび情報を使用する。レベルの許容される最大数は、使用されるクレデンシャルの関数であり得、および／または、トラステッドデバイスに対するユーザ入力によって設定され得る。
【００３８】
別の態様から見ると、本発明は、トラステッドデバイスであって、
認証動作によって、上記トラステッドデバイスを物理的に所持しているユーザの身元を認証し、それによって、上記トラステッドデバイスを認証済み状態に切り替えるための認証手段と、
上記認証動作に従って、上記ユーザによる上記トラステッドデバイスの物理的所持をモニタリングし、上記トラステッドデバイスが上記ユーザによって物理的に所持されていない場合、上記トラステッドデバイスを上記認証済み状態から脱して切り替えるための保持モニタリング手段と、
複数の異なる目標デバイスの１つである目標デバイスとの通信を確立することを求める要求を検出するための通信トリガ手段と、
上記トラステッドデバイスが上記認証済み状態にある場合に、上記目標デバイスと通信するための通信手段とを備える、トラステッドデバイスを提供する。
【００３９】
さらなる態様から見ると、本発明は、信頼できる処理の方法であって、
認証動作によって、上記トラステッドデバイスを物理的に所持しているユーザの身元を認証し、それによって、上記トラステッドデバイスを認証済み状態に切り替えるステップと、
上記認証動作に従って、上記ユーザによる上記トラステッドデバイスの物理的所持をモニタリングし、上記トラステッドデバイスが上記ユーザによって物理的に所持されていない場合、上記トラステッドデバイスを上記認証済み状態から脱して切り替えるステップと、
複数の異なる目標デバイスの１つである目標デバイスとの通信を確立することを求める要求を検出するステップと、
上記トラステッドデバイスが上記認証済み状態にある場合に、上記目標デバイスと通信するステップとを含む、方法を提供する。
【００４０】
添付の図面とともに読まれるべきである以下の例示的な実施形態の詳細な説明から、本発明の上記および他の目的、特徴および利点が明らかになる。
【図面の簡単な説明】
【００４１】
【図１】腕時計の形態のトラステッドデバイスの概略図である。
【図２】互いと通信している、図１に示すような２つの腕時計の概略図である。
【図３】販売時点管理端末と通信している腕時計の概略図である。
【図４】トラステッドデバイス内の回路の概略図である。
【図５】複数の認証される識別標識を指定するデータの概略図である。
【図６】トラステッドデバイスの認証済み状態への切り替え、および、ユーザによるトラステッドデバイスの継続した物理的所持のモニタリングにおける保持モニタリング回路の動作を概略的に示す流れ図である。
【図７】時間による保持確率の変動の概略図である。
【発明を実施するための形態】
【００４２】
図１は、腕時計の形態のトラステッドデバイス２の概略的に示す。腕時計はウェアラブルデバイスである。他の形態のトラステッドデバイスが、ネックレス、物理的な鍵のキーフォブなどであり得る。トラステッドデバイス２は、メッセージを表示することができるディスプレイ６を有する時計本体４を含む。ユーザに対する認証動作を実施するための指紋読み取り装置８が供給される。ボタン１０によって、ユーザは、通信要求を確認または拒否する、目標デバイスを選択する、トラステッドデバイス２によって保持されるべき秘密データを入力するなどのために、トラステッドデバイス２と通信することができるようになる。トラステッドデバイス２は、留め具１４を有するストラップ１２を含む。留め具１４は、留め具１４が開かれるときに、これがトラステッドデバイス２によって認識され、トラステッドデバイス２を認証済み状態から脱して切り替えるのに使用されるように構成することができる。トラステッドデバイス２を装着しているユーザは、指紋読み取り装置８を使用して自身を認証し、そのためトラステッドデバイス２を認証済み状態に切り替えることができる。その後、トラステッドデバイス２が認証済み状態にあるままである間、トラステッドデバイス２によって目標デバイスとの様々な通信動作が確立され得る。留め具１４が開かれているとトラステッドデバイス２が認識した場合、トラステッドデバイス２が、元々自身の指紋を使用してトラステッドデバイス２を認証したユーザによって物理的に所持された（すなわち、当該ユーザの制御下にある）ままであると考えるにはもはや安全ではないため、これによって、認証済み状態から脱する切り替えがトリガされる。
【００４３】
図２は、それらの間で通信がトリガされ、実施されている、図１に示すような２つの腕時計を概略的に示す。これらの腕時計の一方１６はトラステッドデバイスと考えることができ、これらの腕時計の他方１８は目標デバイスと考えることができる。トラステッドデバイス１６は、多くの異なる目的のために多くの異なる目標デバイスと通信することができる。トラステッドデバイス１６と目標デバイス１８との間の通信が行われるとき、トラステッドデバイス１６と目標デバイス１８の両方はオフラインであっても（すなわち、任意のさらなるデバイスと通信していなくても）よい。通信は、例えば、目標デバイス１８のユーザが、ちょうど受信された電子鍵（例えば、パスワード）によって安全確保されているデバイスに対する動作を実施するかまたはアクセスすることを可能にするなどのために、一方のユーザからもう一方のユーザに仮想鍵を渡すことであってもよい。一例は、トラステッドデバイス１６と目標デバイス１８との間の適切で安全な（信頼できる）通信によって、トラステッドデバイス１６のユーザが目標デバイス１８のユーザに、自身の車を所与の期間にわたって、または永続的に使用する権限を与えることができることである。
【００４４】
図３は、トラステッドデバイス２０が腕時計の形態であり、目標デバイス２２が販売時点管理端末の形態である例を示す。販売時点管理端末２２は、インターネットを介して例えば、店主または銀行のリモートサーバ２４と通信している。トラステッドデバイス２０は、インターネットクラウドを介して１つまたは複数のさらなるデバイスと通信している。トラステッドデバイス２０と目標デバイス２２との間の通信は双方向性である。販売時点管理端末２２は、トラステッドデバイス２０を装着しているユーザから、ある品目についての支払いを要求することができる。トラステッドデバイス２０の装着者は、販売時点管理端末２２の表示されている識別標識および表示されている、請求されることになる額を、例えば、ボタン１０を押下することによって確認することができ、その後すぐに、この確認が販売時点管理端末２２に返信され、販売時点管理端末２２はその後、トラステッドデバイス２０のユーザの銀行口座からの支払いを要求するために、そのインターネットリンクを介して銀行サーバ２４と通信することができる。加えて、トラステッドデバイス２０を装着しているユーザによる取引の承認の確認は、インターネットクラウドを使用して別個のチャネルを介して送信されて、銀行サーバ２４に達し、したがって、関連する取引が認証されたことを示すことができる。代替的に、トラステッドデバイス２０から販売時点管理端末２２に返信されるデータは、販売時点管理端末２２によって銀行サーバ２４に転送されると、トラステッドデバイス２０のユーザが関連する取引を適切に認証したことを示す十分に暗号化されたデータを含んでもよい。
【００４５】
図４は、トラステッドデバイス２の一部分を形成する回路を概略的に示す。回路は、認証動作の一部分としてユーザを認識するのに使用される複数のセンサ２８、３０を含む認証回路２６を含む。保持モニタリング回路３２は、トラステッドデバイス２が認証済み状態に切り替えられた後の、ユーザによるトラステッドデバイス２の物理的所持をモニタリングするのに使用される複数の検出器３４、３６を設けられている。センサおよび検出器という用語は、それらの間の任意の特定の差を示唆するのではなく、明瞭にするのを助けるために使用されている。トリガ回路３８と通信回路４０との間の通信は、信号を送受信するためのアンテナ４２に接続されている。
【００４６】
通信トリガ回路３８は、目標デバイスから、トラステッドデバイス２との通信を確立することを求める要求を受信する。通信回路４０はその後、目標デバイスを認証することができ、目標デバイスがこの認証ステップをパスした場合、通信を許可することができる。その後、通信回路４０は、トラステッドデバイス２が認証済み状態のままである間に、ユーザの認証済み識別標識を使用して目標デバイスと通信する。
【００４７】
図４に示す回路は、認証回路２６、保持モニタリング回路３２、通信トリガ回路３８および通信回路４０の活動を協調および制御するのに使用され得るメモリ４６に結合されている中央処理装置４４を含む。メモリ４６は、中央処理装置４４によって実行されるプログラム、および、ユーザと関連付けられる複数の異なる識別標識を指定するデータを記憶することができる。これらの複数の異なる識別標識は、各識別標識と関連付けられ、目標デバイスと通信される識別情報において異なる場合がある（例えば、複数のユーザｉｄが提供される場合がある）。複数の識別標識はまた、それらの識別標識と関連付けられ、目標デバイスとの通信中に使用される権限においても異なる場合がある（例えば、特定の認証済み識別標識が許可している安全確保権限の種類）。メモリ４６は、認証済み識別標識を使用した通信に使用するための識別標識データを記憶する識別標識記憶回路としての役割を果たすことができる。識別標識データは、各々が関連付けられる秘密データ（パスワード）を有する１つまたは複数の公的な身分識別子を含み得る。
【００４８】
保持モニタリング回路３２と関連付けられる検出器回路３４、３６は、様々な異なる形態をとることができる。これらの検出回路の例は、図１に示す留め具１４を含み、留め具１４は、留め具が閉じた状態にあるときにユーザに取り付けられているトラステッドデバイスを保持するのに使用され、留め具が閉じた状態から脱して変化する場合、例えば、留め具がユーザの手首から腕時計を取り外すことが可能であるように開かれる場合、トラステッドデバイスが認証済み状態から脱して切り替わるように、保持モニタリング回路３２によってモニタリングされる。
【００４９】
検出回路の別の例は、ユーザからの電気信号（例えば、ＥＣＧ、ＥＥＧなど）および／またはトラステッドデバイスとユーザとの間の接触領域の温度の１つまたは複数を使用してトラステッドデバイスとユーザとの間の接触を検出するように構成されている接触検出回路である。接触検出回路は、ユーザの心拍をモニタリングすることができ、この信号が失われた場合、これは、トラステッドデバイスがもはや、元々そのデバイスを認証し、そのデバイスを認証済み状態に切り替えたユーザによって物理的に所持されておらず、したがってその制御下にないことを示す。トラステッドデバイスユーザ間の接触領域の温度をモニタリングして、その温度が、トラステッドデバイスがユーザによって装着している状態と一致したままであることを保証することができ、トラステッドデバイスがもはやユーザによって装着されていないことを示すように温度が変化した場合、トラステッドデバイスは認証済み状態から脱して切り替えられ得る。
【００５０】
使用され得る別の形態の検出回路は、トラステッドデバイスおよびユーザによって装着されている近接性デバイスの近接性を検出するように構成されている近接性検出回路である。したがって、ユーザは、例えば、自身の指に装着されているリングの形態の近接性デバイスを有し得、トラステッドデバイスは、それ自体と、リングとの間の距離をモニタリングすることができ、それによって、この距離が一定の閾値を超える場合、それは、トラステッドデバイス（腕時計）がもはやユーザによって装着されていないことを示す。
【００５１】
保持モニタリング回路によって使用され得るさらなる形態の検出回路は、トラステッドデバイスがユーザによって物理的に所持されているときに光から遮蔽される光検出器、例えば、時計がユーザの手首に装着されているときに、光検出器が光を受け取らないように、時計の背面上にある光検出器を含む。ユーザの手首から時計を取り外すことによって、光検出は光を受け取ることが可能になり、これは、時計が取り外されており、したがって、もはや元々そのトラステッドデバイスを認証したユーザによって物理的に所持されていない場合があることを示す。
【００５２】
保持モニタリング回路によって使用されるさらなる形態の検出回路は、ユーザの化学的特性、例えば、ユーザの皮膚の特定の性質を検出するように構成されている化学検出器である。より一般的に、バイオメトリック検出器が、ユーザの１つまたは複数のバイオメトリック特徴を、それらのバイオメトリック特徴が遮断された場合、これが、トラステッドデバイスがもはやユーザによって物理的に所持されていないことを示すように、認識するために使用されてもよい。動きセンサは、トラステッドデバイスがユーザによって物理的に所持されている間にユーザが動くときにトラステッドデバイスの動きを検出するように構成され得る。したがって、例えば、動きセンサは、ユーザの特徴的な歩行を、この歩行信号が受信されない場合、これが、トラステッドデバイスがもはや元々のユーザによって物理的に所持されていないことを示すように、検出するために使用されてもよい。ユーザ内のインプラントおよびトラステッドデバイスの近接性を検出するために、インプラント検出回路が使用され得る。ユーザ内のインプラントは、ユーザが自身の腕時計を装着する位置に近いユーザの皮膚下に配置されるＲＦＩＤタグであり得る。保持モニタリング回路によって使用され得る回路の別の例は、複数の温度センサを有し、トラステッドデバイスを通る熱流束を検出するのに使用される熱流束検出回路である。装着されているデバイスは一般的に、デバイスを通過する、ユーザの身体の体温に対応する、デバイスを通る熱流束を有し、この熱流束が中断されずに継続していることが、ユーザの物理的所持におけるトラステッドデバイスの継続した保持の指示としてモニタリングされ得る。
【００５３】
トラステッドデバイスが保持モニタリングに使用するために単一の検出器３４、３６を備え得ることが可能であるが、いくつかの実施形態において、複数のそのような検出回路が設けられてもよく、それらの検出回路からの検出結果が組み合わされて、トラステッドデバイスがユーザによって物理的に所持されている保持確率を求めることができる。保持確率は、所望される場合は単一の検出器から求められ得るが、複数の検出結果を組み合わせることによって、ユーザによるトラステッドデバイスの継続した物理的所持をモニタリングすることができる信頼性を増大させることができる。そのような複数の異なる検出結果をアルゴリズム的に組み合わせることができる多くの方法がある。組み合わされた結果は、保持確率を生じさせることができ、この保持確率が閾値確率を下回って降下する場合、これは、トラステッドデバイスが認証済み状態から脱して切り替わることをトリガする役割を果たすことができる。いくつかの実施形態において、最後の認証動作（例えば、有効指紋認識動作）からの時間が増大するにつれて、保持モニタリング回路３２は、保持確率を低減するように構成されてもよい。したがって、保持確率は、有効認証動作からの時間とともに漸進的に低減し、それによって、最終的には閾値確率レベルを下回って降下し、たとえトラステッドデバイスがユーザによって所持されたままであることを保持モニタリング回路が示す場合であっても、トラステッドデバイスを認証済み状態から脱して切り替える。この挙動を使用して、定期的な再認証が強制的に実施されるようにすることができる。
【００５４】
保持モニタリング回路３２によって使用される検出器回路３４、３６が様々な異なる形態をとってもよいのと同様に、認証回路２６が、トラステッドデバイスを物理的に所持しているユーザの身元を認証し、それによって、トラステッドデバイスを認証済み状態に切り替えるための認証動作を実施するための１つまたは複数の異なるセンサ２８、３０を備え得ることも可能である。センサ２８、３０は、ユーザの１つまたは複数のバイオメトリック特徴を認識するように構成されているバイオメトリック認識回路を含んでもよい。別の例は、ユーザの指紋を認識することができる指紋読み取り装置８である。時計を装着しているユーザの身元を認証するために顔認識アルゴリズムを使用する、時計２の表面内のカメラなどを用いる顔認識回路が別の可能性である。ユーザの皮膚の特徴的な化学的特性を識別するための化学認識回路が設けられてもよい。さらなる形態のセンサ２８、３０は、特定のユーザの特徴的なＥＣＧ信号を認識するように構成されているＥＣＧ認識回路、ユーザの１つまたは複数の生体インピーダンス特性を認識するように構成されている生体インピーダンス回路、ユーザの特徴的な歩行（動き）を認識するように構成されている歩行認識回路、および、ユーザ内のインプラントを認識するように構成されているインプラント認識回路を含む。ユーザを認証し、トラステッドデバイス２を認証済み状態に切り替えるさらなる異なる可能性があり得ることが諒解されよう。これらの代替的な技法が、上記に記載したものの代わりに、またはそれらと組み合わせて使用されてもよい。
【００５５】
認証回路２６の動作が、保持モニタリング回路３２の動作と組み合わされてもよい。上述したように、トラステッドデバイス２の定期的な再認証が必要とされる場合がある。再認証動作は、特定の慎重に扱うべき通信動作が実施されることになった場合にも必要とされ得、例えば、少額の金銭の消費を認証する取引は、トラステッドデバイス２が認証済み状態にあることに基づいて自動的に認証され得、一方で、金銭のより大きい合計額を認証する取引は、たとえトラステッドデバイスが認証済み状態にあったとしても、再認証を必要とし得る。
【００５６】
いくつかの実施形態において、ユーザの能動的な注意を必要としない認証回路は、同時に保持モニタリング回路としての役割を果たしてもよいことも諒解されよう。
【００５７】
いかなる理由にせよ再認証が必要とされるとき、トラステッドデバイス２が以前の認証動作からユーザによって物理的に所持されたままになっていると保持モニタリング回路３２が示す場合、再認証においてより高い割合の誤判定が許容され得、したがって、そうでない場合よりも精度の低い個人の識別がデバイスを再認証するために許容され得る。同様に、以前の認証動作に時間的に相対的に近いうちに実施される再認証は、そうでない場合よりも精度の低い個人ユーザの認証を必要とし得る（すなわち、より高い割合の誤判定が許容される）。そのような特徴は、必要とされるものが、完全に信頼できない状態からの認証ではなく、実質的に、トラステッドデバイス２の認証の「補充」であるため、システムの安全性を大きく低減することなくより容易な再認証を可能にすることによって、有用性を向上させる。
【００５８】
通信トリガ回路３８は、複数の異なる刺激に応答して目標デバイスの通信をトリガするように構成することができる。目標デバイスとの通信をトリガする例は、目標デバイスとトラステッドデバイスとの間の、閾値距離に満たない距離の検出を含んでもよい。したがって、図３の文脈において、トラステッドデバイス２０は、販売時点管理端末２２の数センチメートル以内に動かされて通信を開始してもよく、または、トラステッドデバイス２０は、販売時点管理端末２２に「ぶつかって」、通信を開始してもよい。通信をトリガし得る別の形態の刺激は、ユーザが目標デバイスに触れていることを検出することである。目標デバイスに物理的に触れていることは、ユーザの手首に装着されているトラステッドデバイス２からユーザの皮膚／身体を通じて目標デバイスまでの電気接続を使用して検出することができる。接触によって通信を起動するこの技法は、直感的であり、トラステッドデバイス２のワイヤレス無線通信内に複数の目標デバイスを含み得る環境において目標デバイス一意に識別することが有利である。通信をトリガすることができるさらなる形態の刺激は、目標デバイスを指定するメッセージを受信すること（例えば、別の人間またはリモートサーバからリモートメッセージを受信すること）、および／または、ユーザが、目標デバイスのリストから通信をトリガされるべき目標デバイスを手動で選択することである。
【００５９】
トラステッドデバイスおよび／または目標デバイスの両方が、それらがその時点において任意のさらなるデバイスと通信しているか否かとは無関係に互いの間で一方向または双方向のいずれかで通信することを可能にされ得る、すなわち、トラステッドデバイスと目標デバイスの両方が、他のデバイスとオフラインであるときに通信することが可能にされる。代替的に、通信は、目標デバイスまたはトラステッドデバイス自体が別のデバイスとオンラインであるときにのみ可能にされてもよい。
【００６０】
通信は、アプリケーションプログラムインターフェースキー、デジタル証明書、ユーザ識別標識、パスワードおよび暗号化署名付きデータの１つまたは複数を含むクレデンシャルを目標デバイスに提示することを含み得る。通信はまた、後続の通信に使用するためのクレデンシャルの作成も含み、トリガし得る。通信は、構成データ、パーソナライズ嗜好、ネットワーク設定、規約、領収書、コンピュータプログラム、データログ、取引記録およびクレデンシャルの少なくとも１つのような情報の転送を含むことができる。トラステッドデバイス２と目標デバイス１８との間の情報の転送は、いくつかの例示的な実施形態において、それらのデバイス間の信頼できる関係が確立される前に行うことができ、それによって、その関係が確立されたときに動作が加速され、例えば、目標デバイス１８はクレデンシャルを、それらのクレデンシャルを有するトラステッドデバイス２がトラステッドデバイス２に対する認証動作によって起動される前に送信することができる。
【００６１】
図４にはまた、トラステッドデバイス２上のディスプレイ６を駆動するのに使用されるディスプレイドライバ回路４６も示されている。このディスプレイ６は、現在通信が行われている目標デバイスの識別標識を指定する情報、認証されるべき取引の値を示すメッセージなどのような、目標デバイスからの情報を表示するのに使用することができる。中央処理装置４４は、目標デバイスとの通信が許可される前に、ユーザが確認入力の形態の何らかのさらなる情報を提供しなければならないことを示すメッセージを、ディスプレイ６上でユーザに表示することができる。そのような確認入力は、例えば、特定の販売時点管理端末２２または交通機関の自動改札機が、トラステッドデバイスを介してアクセスされる銀行口座から、または、トラステッドデバイス上にロードされる現金資金から品目の費用または旅行切符の費用を差し引くことを許可されることを確認するためにボタン１０を使用して行われ得る。
【００６２】
トラステッドデバイス２はまた、目標デバイス１８の代理としてユーザから入力を受信することができるユーザインターフェースをも提供することができ、その入力はその目標デバイスによって使用するために目標デバイス１８に戻され、例えば、目標デバイス１８を構成するためのメニュー選択肢がトラステッドデバイス２のユーザインターフェース上に表示され、当該ユーザインターフェースを使用して、それらの選択肢の間で選択され得る。
【００６３】
通信回路４０は、目標デバイスから受信される情報を使用して目標デバイスを認証する役割を果たす目標認証回路をさらに含むことができる。したがって、目標デバイスとトラステッドデバイスの両方が、通信が許可される前に、他のパーティの身元を認証することができる。これによって、システムの安全性を増大させることができる。
【００６４】
図５は、ユーザの複数の異なる識別標識と関連付けられる識別情報を概略的に示す。識別標識０は、ユーザの個人名（またはユーザｉｄ）およびユーザが通信することができる種々のサービスまたはデバイスによって使用されることになる１つまたは複数のパスワードを指定することができる。一例として、個人のユーザは、自身の銀行、自身の玄関のドアの鍵、自身のラップトップコンピュータなどとともに使用するためのパスワードを有することができる。第２の識別標識は、ユーザが特定の建物の賃借人であり、その識別標識と関連付けられる秘密情報が、その賃借人が居住する建物の駐車場ゲートのパスワードであることを示す識別標識１であり得る。したがって、ユーザの個々の識別標識は通信においては明かされず、ユーザが建物の賃借人であること、および、ユーザが適切な駐車場パスワードを有することのみが明かされるため、トラステッドデバイスは、駐車場システムにユーザに関する多すぎるプライベート情報を与えることなく、安全に駐車場パスワードを提供するのに使用することができる。同様に、さらなる識別標識は、公共交通機関において使用され、関連するユーザが成人旅客であること、および、ユーザがトラステッドデバイス内に保持されているいくつかの旅行クレジットを有することを示す識別標識２であり得、認証済み状態にあるトラステッドデバイス２を所持しているユーザが交通機関へのアクセスを得るために交通機関の自動改札機に通されるときに当該旅行クレジットから運賃を差し引くことができる。先行する識別標識と同様に、ユーザを成人旅客としてのみ識別するこの識別標識を使用することによって、必要とされていない、その旅客の個人識別標識を特定する不要なプライベート情報を与えることなく、自動改札機の操作者が、成人旅客が自動改札機を通っていることを確認することが可能になる。
【００６５】
このプレイバシーを確保する特徴は、各目標デバイスに従って提示される識別情報セットを調整することによっても達成することができることが諒解されよう。
【００６６】
通信されるクレデンシャル／情報は、通信の検出されるパラメータに応答する選択アルゴリズムを使用して自動的に選択することができる（アルゴリズムは、ユーザによって構成されていてもよい）。アルゴリズムは、ユーザがそう所望する場合に手動で選択することができる代替案のリストとともに通信するために示唆されるクレデンシャルまたは情報を生成することができる。
【００６７】
図６は、トラステッドデバイス２の認証済み状態への切り替え、および、ユーザによるトラステッドデバイスの継続した物理的所持のモニタリングを概略的に示す流れ図である。ステップ４８において、認証動作が実施される。この認証動作は、例えば、指紋認識動作であってもよい。ステップ５０は、認証が閾値確度レベルを満たすか否かを判定する。閾値確度レベルが満たされない場合、処理はステップ４８に戻る。この閾値確度レベルは、許容される誤判定の度合いに対応する。前述したように、この閾値確度レベルは、最後に認証動作に成功してからの時間に応じて、または、保持モニタリング回路３２によって示される保持確率に応じて変化し得る。
【００６８】
ステップ５０におけるテストが、ステップ４８において実施されている認証動作が閾値確度レベルを超えるということである場合、ステップ５２が、トラステッドデバイス２を認証済み状態に切り替える。ステップ５４が保持検出器３４、３６を読み取り、ステップ５６が、ステップ４８において実施されている認証動作の成功からトラステッドデバイス２が継続して物理的に所持された（ユーザの制御下にある）ままである可能性を示す保持確率を（検出信号を組み合わせることによって）求める。ステップ５８は、保持確率が閾値を下回って降下するか否かを判定する。保持確率が閾値を下回って降下する場合、処理はステップ６０に進み、トラステッドデバイスが認証済み状態から脱して切り替えられ、処理はステップ４８に戻る。ステップ５８におけるテストが、保持確率が閾値を上回るということである場合、処理はステップ６２に進み、通信がトリガされるべき任意の目標デバイスが検出されているか否かについて判定が行われる。そのような目標デバイスが検出されていない場合、処理はステップ５４に戻り、それによって、保持検出器３４、３６が再び読み取られ、トラステッドデバイスが認証済み状態にあるままである間にトラステッドデバイスの継続した物理的所持をモニタリングするように、保持確率に対する更新が実施される。
【００６９】
ステップ６２における判定が、目標デバイスが検出されているということである場合、ステップ６４が、複数の識別標識の中から、その目標デバイスとの通信に使用されるべき識別標識を選択する。この選択は、例えば、ユーザがディスプレイ６に表示されるリストから選択することによるものであり得る。代替的に、使用されるべき識別標識は、目標デバイスの識別標識から推測され得、例えば、駐車場ゲートは、適切に認証された賃借人の識別標識に対応する識別標識および使用されるべき駐車場パスワードのみを必要とし得る。ステップ６６は、ステップ６４において選択された識別標識を使用して目標デバイスとの通信を確立するために、通信回路４０を使用する。その後、処理はステップ５４に戻り、目標デバイスの継続したさらなる保持がモニタリングされる。
【００７０】
図７は、計算される保持確率（ステップ５６）が時間とともにどのように変化し得るかを概略的に示すグラフである。トラステッドデバイスが最初に認証されて認証済み状態になると、保持確率が、再認証をトリガするための閾値を上回る高い値まで増大される。この保持確率はその後、最後に認証されてからの時間とともに漸進的に減少する。ＡとＢとの間の期間において、トラステッドデバイス２がユーザによって物理的に所持されたままであることを、２つの保持検出器が報告している。したがって、保持確率が減衰する割合は低い。時刻ＢとＣとの間で、トラステッドデバイス２がユーザによって継続して物理的に所持されていることを単一の保持検出器のみが適切に報告しており、したがって、保持確率が減衰する割合は増大する。時刻ＣとＤとの間で、２つの検出器が再び、デバイスが継続して保持されていることを報告しており、したがって、減衰する割合は低減するが、それにもかかわらず、時刻Ｄにおいて再認証をトリガするための閾値まで下降する。時刻Ｄにおいて、再認証動作がトリガおよび実施されるが、時刻Ａの前に行われた最初の認証よりも高い割合の誤判定が許容される。時刻Ｅにおいて、いずれの保持検出器もデバイスの物理的所持を報告していないことによって、または、デバイスが取り外されていることを時計留め具１４のようなマスタ検出器が示すことによって示され得るように、ユーザがデバイスを物理的に所持しなくなる。
【００７１】
トラステッドデバイスによって実装される基本的な推移信頼モデルと同様に、その使用は、複雑な信頼関係の非常に柔軟でシームレスな確立および使用を可能にする。例えば、ユーザは、自身の時計の信頼を得（指紋、時計の装着など）、ユーザは信頼できる腕時計を使用してラップトップに対して認証し、その後、ユーザが訪問するすべてのウェブサイトが信頼できる腕時計内のクレデンシャルを自動的に使用してログインし、その後、これらのウェブサイトのいくつかは、腕時計内のクレデンシャルを自動的に利用して、他のウェブサイト上のリソースに対するさらなるアクセスを得る。推移的な関係がどれだけ多くのレベルまでいくかは、クレデンシャルの関数であり得、および／または、信頼できる腕時計上で制御可能であり得る。
【００７２】
アクセス／認証の制御における本発明の技法のさらなる例示的な使用は、ユーザが１つのレベルにおいて関係を確立する場合、例えば、ユーザが組織の雇用者になる場合であり、このとき、これは、異なるレベルにおけるそのユーザの権限、例えば、組織のオフィスへの入退室、その組織によって使用される旅行代理店のユーザアカウントなどを推測するのに使用され得る。別の例は、ユーザが所有者レベルにおいてデバイスの所有者になる場合であり、このとき、これは、異なるレベルにおいて制御されるデバイスを使用するための様々な権限を与えることができる。異なるレベルでの通信はローカル（例えば、同じデバイス上）またはリモート（例えば、インターネットを介する）であり得る。
【００７３】
そのような関係の別の例は以下のとおりである。ユーザがドアベルボタンを購入する。ドアベルボタンはユーザに「所有者キー」を与える。ユーザは自身のタブレット上でｗｗｗ．ｈｏｍｅｃｏｎｔｏｌｓ．ｃｏｍに行き、そこで、サイトは「新しいデバイスがあります！ホームコントロールにこれらを制御させますか？」と表示するダイアログをポップアップする。ユーザがはいと言うと、ユーザの信頼できる腕時計がユーザに確認するかを尋ねる。ユーザは信頼できる腕時計上のボタンをクリックして確認する。この時点で、ホームコントロールはユーザのドアベルボタンをモニタリングして、あらかじめ接続されているＨｉＦｉシステムを介してユーザの家屋内でドアベル音を鳴らすことができる。
【００７４】
別の例は以下のとおりである。ユーザがｗｗｗ．ＮＨＳ．ｇｏｖ．ｕｋを開き、予防投薬指導局に行く。予防投薬指導局は、ユーザが有する何らかの「自己定量化」リソースに接続するかを尋ね、ユーザは同意して、ユーザの信頼できる腕時計がビープ音を鳴らし、確認を問うメッセージを表示し、ユーザが「確認」ボタンをクリックすると、ＮＨＳ．ｇｏｖ．ｕｋは一時的にユーザのｆｉｔｂｉｔ．ｃｏｍの記録、ユーザのｐｏｌａｒ．ｃｏｍのトレーニング記録、ユーザのジム使用状況からのデータ、ユーザのＧｏｏｇｌｅ  Ｇｌａｓｓからの食事画像の「ダイエット食」などを得ることが可能になる。ＮＨＳ．ｇｏｖ．ｕｋは、このデータを、それらを使用することができる様々な第三者サービスに分析のために配布し、結果を照合し、レポートを編集し、ユーザに、ユーザが、自身が所望する平均余命までスライダを動かすことができるページを表示して、ユーザに、自身の目標を達成する良い機会を得るために行う必要があるライフスタイルの変更を伝える。ユーザが去ると、ＮＨＳ．ｇｏｖ．ｕｋは、ユーザが英国国民であったことを除いて、ユーザが誰であったかを決して知らなかったため、ユーザに関するすべてを忘れる。第三者サービスも、ＮＨＳとの契約がそうしなければならないと定めているため、これを忘れる。ただし、ウェブサイトは、個人データを消去する前に、それらの集合データセットを更新することができる。
【００７５】
本発明の例示的な実施形態が、添付の図面を参照して本明細書において詳細に説明されてきたが、本発明はそれらの厳密な実施形態には限定されないこと、ならびに、添付の特許請求の範囲によって規定されているような本発明の範囲および精神から逸脱することなく、当業者によってそれらの実施形態において様々な変更および修正を実行することができることは理解されたい。
【図１】
2016524249.tif 000003
【図２】
2016524249.tif 000004
【図３】
2016524249.tif 000005
【図４】
2016524249.tif 000006
【図５】
2016524249.tif 000007
【図６】
2016524249.tif 000008
【図７】
2016524249.tif 000009
【国際調査報告】
2016524249.tif 000010
2016524249.tif 000011
2016524249.tif 000012