"無線ナビゲーション信号の受信機を使用して認証可能な時間および場所の指標を提供する方法であって、a複数の無線ナビゲーション信号の情報源から送信された無線ナビゲーション信号を受信する工程であって、前記無線ナビゲーション信号の少なくとも一部は暗号化により保護された一または複数の暗号トークンを含み、前記暗号トークンは随時更新される、工程と、b復号化により、前記無線ナビゲーション信号から前記暗号トークンを読み取る工程と、c受信した前記無線ナビゲーション信号に基づいて、前記無線ナビゲーション信号の受信機の地理的位置および時間を含む位置データを特定する工程と、d少なくとも前記位置データと前記読み取った暗号トークンを入力データとして用いて暗号化関数を使用してデジタル認証コードを生成する工程と、e第1部分および第2部分を含むデータパッケージを作成する工程であって、前記第1部分が前記位置データおよび受信機のパブリック識別子を含み、前記第2部分が前記デジタル認証コードを含む、工程とを有する方法。暗号トークンを含む前記無線ナビゲーション信号の各々は、前記無線ナビゲーション信号を送信する前記無線ナビゲーション信号の情報源に特有の暗号トークンを含む、請求項1に記載の方法。前記第1部分または前記第2部分は、前記暗号トークンが読み出された前記無線ナビゲーション信号を送信した前記無線ナビゲーション信号の情報源を識別する情報源識別データをさらに含む、請求項2に記載の方法。前記暗号化関数は、少なくとも前記読み取った暗号トークンの関数である暗号キーに基づいて、前記デジタル認証コードとして少なくとも前記位置データのハッシュ値または暗号文を生成する、請求項1乃至請求項3のいずれか一項に記載の方法。前記暗号化関数は、少なくとも前記位置データのハッシュ値または暗号文、および前記受信機のパブリック識別子を生成する、請求項4に記載の方法。例えば、ユーザおよびまたは一または複数のデジタル文書を識別するユーザ識別データ、宇宙信号インテグリティデータ、受信機のソフトウェア指紋、追加位置データ、およびデジタル署名などの保護対象データをさらに提供する工程を有し、前記デジタル認証コードは、前記保護対象の追加データも入力データとして用いた前記暗号化関数を使用して生成される、請求項4または請求項5に記載の方法前記暗号化関数は、保護するために、前記暗号キーに基づいて、少なくとも前記保護対象の追加的データのハッシュ値または暗号文を作成する、請求項6に記載の方法。前記暗号キーは、前記暗号トークンの連結を含む、請求項2と組み合わせた請求項4乃至請求項7のいずれか一項に記載の方法。前記受信機は、前記認証機関が知っている受信機の秘密識別子を格納しており、前記暗号キーは、前記暗号トークンの連結および前記受信機の秘密識別子の一部または全てを含む、請求項8に記載の方法。例えば、対称暗号方式に従って前記第2部分を暗号化する工程を有する請求項1乃至請求項8のいずれか一項に記載の方。暗号トークンを含む前記無線ナビゲーション信号は、暗号化された無線ナビゲーション信号であり、および/または暗号化されたデータコンテンツの一部として前記暗号トークンを含む、請求項1乃至請求項10のいずれか一項に記載の方法。暗号化により保護された前記一または複数の暗号トークンに応じるために前記認証機関からナビゲーションキーを要求する工程と、安全な通信チャネルを介して前記ナビゲーションキーを受信する工程とを含む請求項1乃至請求項11のいずれか一項に記載の方法。前記無線ナビゲーション信号の受信機は、前記工程a乃至工程eが実行されるセキュリティペリメータを含む、請求項1乃至請求項12のいずれか一項に記載の方法。請求項1乃至請求項13のいずれか一項に記載の方法を実行するように構成された無線ナビゲーション信号の受信機データパッケージの信頼性を確認する方法であって、提示された地理的位置および時間を有する位置データを含む第1部分およびデジタル認証コードを含む第2部分を有する、請求項1乃至請求項13のいずれか一項に記載の方法に従って、提示により生成されたデータパッケージを受信することと、実際に前記地理的位置で、前記時間であるならば無線ナビゲーション信号の受信機が受信したであろう一または複数の暗号トークンを読み出すことと、前記位置データと前記デジタル認証コードが互いに整合するか確認することと、前記位置データおよび前記デジタル認証コードが互いに整合する場合に前記データパッケージを認証するか、または、前記位置データおよび前記デジタル認証コードが互いに一致しない場合に無効として前記データパッケージを拒否することとを有する、方法。無線ナビゲーションを背景に存在する認証に関し、二つの主たる構想が存在する。一つ目の構想は、以下に単独型SIS認証と呼ぶものであり、SISは宇宙信号の頭文字、すなわち、受信機に到達する信号である。単独型SIS認証では、GNSS受信機のユーザまたは受信機自体が、位置を計算するために使用される信号が所定のGNSS衛星の信号でありまた、悪意のある地上に設置された、または飛行デバイスにより送信された信号ではない、信用できるアルゴリズムにより計算されたものであることを検証することができる。従って、単独型SIS認証は、無線ナビゲーション信号の情報源を認証することを目的とする。単独型SIS認証は、GNSS受信機の各々のユーザが関係している以下の二つの問いに取り組む。受信機はなりすまされているか受信機のソフトウェアは信頼できるか認証に関する二つ目の構想を、以下ではリモートPVT認証と呼ぶ。リモートPVT認証は、ユーザにより宣言された位置を確認したい第三者のために機能する。リモートPVT認証では、第三者が他のセンサと一体化されているか一体化されていない無線ナビゲーションの受信機により作成された位置データが改ざんされていないこと、すなわち、例えば、間違った位置、間違った速度、および/または間違った時間を与える目的で変更あるいは偽造されていないことを検証することができる。リモートPVT認証の構想は、既に記録された位置データとこれらの位置データを作成した情報源との信頼度を評価することである。リモートPVT認証は、位置データの受信者が関係する以下の問いに取り組む。これらの位置データは信用できるか位置データは位置データを作成したと主張する受信機に由来するかエンドツーエンドの位置認証は、単一のアプリケーションに含まれる単独型SIS認証およびリモートPVT認証の結合または組み合わせである。まさに本例が目的とするものである。単独型SIS認証およびリモートPVT認証を区別する理由を改めて強調する必要があり得る。単独型SIS認証は、無線ナビゲーション受信機により読み出された信号がGNSS衛星または疑似衛星から送信された信号であり、悪意のあるデバイスから送信された信号でないことを確保する。単独型SIS認証は、主にエンドユーザを対象とする。換言すれば、単独型SIS認証はGNSS受信機のユーザが望むものである。単独型SIS認証は、GNSS受信機のユーザが自身の受信機により提供された位置を信用できるかについての問いに答える。リモートPVT認証は、位置データが、たった今計算された位置データから改ざんされていないことを確保する。リモートPVT認証は、無線ナビゲーション受信機のユーザと契約上の関係にあるか、またはユーザに対する制御権限のある第三者を対象とする。リモートPVT認証は、無線ナビゲーション受信機のユーザを対象としない。換言すれば、リモートPVT認証は第三者が望むものである。リモートPVT認証は、第三者がユーザにより送信された位置データを信用できるかについての問いに答える。さらに、単独型SIS認証は、特に、多経路などの局地的影響がSIS測定をかき乱すような状況において、位置精度に関する信頼度の情報をユーザに与えるために使用することができる。なお、単独型SIS認証単独では、第三者に提供される位置データは偽造されている場合があるため、信用できる位置データを求める第三者にとって価値が無いことに留意されたい。さらに、リモートPVT認証単独では、単独型SIS認証がなければ関心度が低下する。位置データを算出するために使用される信号の信頼性が確認できない場合、位置データはなりすましの無線ナビゲーション信号に基づいて計算された可能性がある。位置データに何も変更がない場合でさえ、第三者は完全に信用することができない。さらに、二つの期間よりも一つの信用できる期間を信用する方が簡単であると考えられることにも留意されたい。換言すれば、二つの異なるエンティティをもたせる理論が考えられ、一つ目は単独型SIS認証を提供することであり、二つ目はリモートPVT認証を提供することである。しかし、実際には二つの別箇のエンティティの共存は以下の理由により、はるかに複雑な手続きを提示する。つまり、双方が同一の無線ナビゲーションの受信機に依存すること、および受信機の不正開封防止装置に依存すること。さらに、二つの異なるエンティティがそれぞれ単独型SIS認証およびリモートPVT認証を提供するためのものである場合、受信機は信用のきずなが弱いままである。そのような場合、インターフェース、すなわち受信機内で介入者攻撃を受ける危険性が常に存在する。例えば、ごまかしを行おうとする人々は二つのアプリケーション間にPVTシミュレータを設置することができる。そのような攻撃は、以下に説明するアプリケーションにおいては不可能である。本発明の目的は、認証可能な位置データ、すなわち、認証機関により後に確認することができる位置データの信頼性を計算する方法を提供することである。この目的は、請求項1に記載の方法により達成される。本発明は任意の種類の全地球的航法衛星システムGNSSまたは疑似衛星を使用する無線ナビゲーションシステムを背景として実施することができる。本発明の主な態様は、無線ナビゲーション信号の情報源衛星または疑似衛星が、データコンテンツ内に暗号トークンを含めた無線ナビゲーション信号を同時送信することである。暗号トークンは、認証機関の制御下で随時更新される疑似ランダム数またはキー例えば2進数列の形態として検討してよい。暗号トークンは、暗号トークンの履歴、すなわち以前に送信された暗号トークンの一部または全てから未来の暗号トークンを導き出すことは確率的に不可能である意味において予測不可能である。この意味において、暗号トークンは、暗号トークンの特定値が予測可能な時間で繰り返されたとしても暗号ノンス一度だけ使用される数字とみなされ得る。暗号トークンは、デジタルスタンプをするためおよび/または計算された位置の解、すなわち受信した無線ナビゲーション信号に基づいて計算された地理的位置および時間を暗号化するために、専用の無線ナビゲーション信号の受信機により暗号可能なものとして使用される。次に、受信機は第1部分および第2部分を含むデータパッケージを作成する。第1部分は位置データ位置の解および受信機のパブリック識別子を有し、第2部分は位置の解のダイジェストハッシュ値またはカプセル化暗号を含む。データパッケージは、受信機に格納されてよく、および/または例えば第三者サービスプロバイダなど他のエンティティに通信されてもよい。本文脈において、位置データという用語は、以下の一または複数種類のデータと組み合わせることが可能な時間および地理的位置緯度および経度などの二次元、または緯度、経度および高度の三次元を含むものとして理解される。速度ベクトル加速度ベクトルジャークベクトル、すなわち加速度の変化率のベクトル進行方向ベクトル空間時間の一部分が、所定の見込み信頼度を持つ実際の時間および地理的位置を有することを示す、計算された時間および地理的位置を軸とした信頼ボックスの大きさなどの精度およびインテグリティデータ次に、データパッケージに示される時間および地理的位置がダイジェストおよび/または暗号文と整合するか確認する認証機関に、該データパッケージが提示され得る。この目的を達成するために、認証機関は送信した暗号トークンのアーカイブを保持するか、アサートされた位置および時間に対応する暗号トークンを読み出すためにアルゴリズムを使用する。整合性の確認結果に応じて、次に認証機関は、データパッケージの信頼性を記載または整合性の確認が失敗したことを示す証明書を制定し得る。整合性の確認が失敗の場合、データパッケージは改ざんされたか、またはイレギュラーな状況で例えば、電波妨害、なりすまし、またはミーコニングによる攻撃において生成されたという強い反証を示す。暗号トークンが無線ナビゲーション信号のデータメッセージから簡単に抽出できるのであれば、送信された暗号トークンをアーカイブし、得られた特定の地理的位置および時間、好適なダイジェストおよび/または暗号文を偽造するためにアーカイブしたトークンを使用したり、正しいフォーマットでデータパッケージを組み立てることは、悪意のある第三者にとって理論的に実行可能である。さらなるセキュリティ対策がなければ、次に偽造データパッケージは認証機関により恐らく信憑性があるものとしてみなされるだろう。極めて困難なこの手の攻撃に報いる幾つかの選択肢が存在する。暗号トークンへのアクセスを認めないために、無線ナビゲーション信号で送信される際、暗号トークンは暗号化により保護される。この目的を達成するため、暗号トークンは安全な無線ナビゲーション信号で配信され得る。以下の条件の一つが満たされる場合、無線ナビゲーション信号は安全であるとみなされる。a最先端の暗号化アルゴリズムで無線ナビゲーション信号自体が暗号化されるすなわち、信号の測距コードが暗号化される。もしくは、b無線ナビゲーション信号は暗号化されないオープン信号が、無線ナビゲーション信号が伝達する暗号トークンを含むデータメッセージは、暗号化された最先端の暗号化アルゴリズムで暗号化されている。または、c無線ナビゲーション信号およびそのデータメッセージの両方が同一の最先端の暗号化アルゴリズムで暗号化されているか、または異なる一式のキーを用いた二つの異なる暗号化アルゴリズムで暗号化されている。暗号トークンは、無線ナビゲーション信号の情報源の一部または全てに共通していてよく、すなわち、従ってこれらの情報源は、同一の時間的順序で暗号トークンを送信する。代替的に、各無線ナビゲーション信号の情報源は一つの特定の暗号トークンにより特徴を持たせることができる。この代替的な選択肢において、各無線ナビゲーション信号の情報源は、自身の時間的順序、様々な信号の情報源で互いが異なるトークンのシーケンスを用いて暗号トークンを送信する。この選択肢において、無線ナビゲーション信号の受信機は、固定位置ごとに複数の暗号トークンを受信する。従って、デジタル的にスタンプするか、および/または計算した位置の解を暗号化するために使用される暗号可能なものは、複数の暗号トークンの関数である。このシナリオでは、暗号可能なものは、暗号トークンが規則的に更新される固定位置の時間および受信機が視認できる無線ナビゲーション信号の情報はその現在の場所に依存する地理的位置に依存する。なお、各無線ナビゲーション情報源は、個々のトークンシーケンスを送信する場合でも、異なる情報源から受信したトークンの一部が偶発的に値において等しい時間もあり得る。追加的セキュリティ態様として、暗号トークンへのアクセスは、好ましくは所定の種類の受信機のハードウェア例えば暗号モジュールおよび/またはソフトウェア、特に不正開封防止機能が付いた受信機のハードウェアおよび/またはソフトウェアを使用するという条件が付される。従って、受信機は、セーフティクリティカルな全ての動作を実行し、第三者が暗号トークンから読み出すことを防止するセキュリティペリメータを有利に備える。認証機関が受信機のソフトウェアが変更されていないことを確認できるように、受信機のソフトウェアの指紋が、データパッケージに含まれてよい。無効な指紋が提供されると、認証機関はソフトウェアの変更を警告する証明書を発行する。好ましくは、暗号化された無線ナビゲーション信号および/または好ましくは、ナビゲーションメッセージに付随する暗号トークンへのアクセスを受信機に与えるキーは、セキュアな通信プロトコルに従ってソフトウェアおよび/またはハードウェアの検証を渡す受信機にのみ配信される。暗号トークンにアクセスするためのキーおよび/または無線ナビゲーション信号にアクセスするためのキーは、受信機のセキュリティペリメータが暗号トークンへの長期アクセスがなく改ざんされたことを確認できるようにするため、随時変更される。これにより、破損した受信機を使用する攻撃者にとって、過去の暗号トークンの包括的なアーカイブを確立することは極めて困難となる。実際にキーがリフレッシュされる場合、受信機に格納された、無線ナビゲーション信号および/または暗号トークンへのアクセスを与えるキーは、期限が切れそうなとき、受信機は認証機関を持つ安全な通信チャネルを自動で確立し得るか、次のキーを読み取るためにユーザを促し得る。従来のデジタル署名は、メッセージまたはデジタル文書の権限者または情報源を認証することに関しているが、本発明は受信機のユーザ自身を認証しない。本発明は、契約装置が本発明に従って構成されているならば、デジタル署名が作成された時期と場所について安全な情報を用いてデジタル署名の範囲を拡大し得る。例えば、以下に示す無線ナビゲーションシステムの様々なセグメントが本発明に関係している。特に、衛星および/または疑似衛星と同期し無線ナビゲーション信号で送信すべきデータメッセージを用意する担当の無線ナビゲーションシステムの地上セグメント無線ナビゲーション信号の情報源衛星および/または疑似衛星のセグメント。全地球航法衛星システムの場合、3面または6面の異なる軌道面の中軌道に概ね約24~30の運用衛星を備え、これは宇宙セグメントと呼ぶ。無線ナビゲーション受信機を備えるユーザセグメント認証機関または認証機関利用できる場合、受信機からジオロケサービスのプロバイダにデータパッケージを送信するための遠隔通信セグメントデータパッケージネットワーク。並びに、受信機に無線ナビゲーション信号および/または暗号トークンへのアクセスを与えるキーを配信するための安全な遠隔通信セグメント出願人は、必要に応じて、一または複数の分割出願または継続出願がある場合に、本発明の異なる態様に対し請求の範囲を個別に運用する権利を有する。まずユーザセグメントを参照し、本発明の態様は、無線ナビゲーション信号の受信機を使用して認証可能な時間および位置データを提供する方法に関する。方法は、複数の無線ナビゲーション信号の情報源例えば衛星または疑似衛星から送信された無線ナビゲーション信号を受信することと、データメッセージ内に無線ナビゲーション信号の少なくとも一部と暗号化により保護され、好ましくは、認証機関の制御化で随時更新される一または複数の暗号トークンを含めることとを有する。受信機は、復号化により無線ナビゲーション信号から暗号トークンを読み取る。トークンを伝達する無線ナビゲーション信号が暗号化されている場合、受信機は対応するキーを使用して信号のデータメッセージへのアクセスを取得する。同様に、暗号トークンそれ自体がオープンまたは暗号化された信号で暗号化されている場合、受信機は、適切なキーを使用して暗号トークンを復号する。次に、受信機は、受信した無線ナビゲーション信号に基づいて、地理的位置および時間その日のデータおよび時間を含む位置データを特定、すなわち、固定位置を実行し、時間を特定する。受信機は、少なくとも位置データおよび読み取った暗号トークンを入力データとして用いて、暗号化関数の手段により、暗号メッセージのダイジェスト、または暗号文、あるいはダイジェストおよび暗号文の組み合わせであるデジタル認証コードのいずれかを生成する。次に、受信機は、前述した位置データおよび受信機のパブリック識別子すなわち、受信機で記載されたマーカを含む第1部分と、前述したデジタル認証コードを含む第2部分を有するデータパッケージを作成する。暗号トークンそれ自体は、デジタル認証コードを作成するために使用されるが、データパッケージには含まれない。ユーザセグメントの範囲内でさらに本発明の別の態様は、この方法を実行するように構成された無線ナビゲーション信号の受信機に関する。この目的を達成するため、受信機は好適なソフトウェアおよびハードウェアを備える。従って、本発明の一態様は、無線ナビゲーション信号の受信機により実行されると、該方法に従って無線ナビゲーション信号の受信機を動作させる指示を含む無線ナビゲーション信号の受信機のためのコンピュータプログラムに関する。暗号化関数は、例えば、デジタル認証コードとして、位置データのハッシュ値の形態でデジタルダイジェスト、および可能性として、暗号可能なものとして、少なくとも読み取った暗号トークンの関数例えば連結である暗号キーを使用して受信機のパブリック識別子を作成し得る。代替的または追加的に、暗号化関数は、位置データ、および可能性として暗号可能なものであるそのような暗号キーを使用して受信機のパブリック識別子を暗号化してよい。なお、位置データおよび受信機のパブリック識別子に追加して、暗号化関数は、例えば、デジタルフォト、ユーザ識別データ、宇宙信号インテグリティデータ、受信機のソフトウェア指紋、補助位置データ、デジタル署名など、一または複数のデジタル文書を保護するために追加データを入力データとして用いてよい。この場合、デジタル認証コードは、特定の時間かつ特定の場所において追加データが受信機により格納または処理されたことを立証するために機能する。従って、本発明は、受信機および受信機が作成した位置データの識別だけではなく、追加して、ユーザを識別またはユーザに関する他の情報を保護、並びに/または、写真、フィルム、スキャン文書、測位データファイルなど、受信機により処理される任意のデジタル文書を保護するために使用することができる。有利に、保護対象の追加データは、以下を含むことができる。受信機のユーザ、および/または受信機のソフトウェアのプログラムコード指紋を含む例えば、運転免許証、飛行免許証、車両登録証、車両保険証、マルチメディア文書にアクセスするためのデジタル権などユーザが所有する管理上の権限の任意のデジタル形態を識別する識別データ、並びに/または、攻撃警告データ、並びに/または、内蔵の無線ナビゲーション信号の受信機に備えられた測位デバイス、コピー機、写真用カメラ、ビデオレコーダにより作成された任意のデジタルデータまたは文書簡潔を期するため、位置データおよび任意の追加的な保護対象データを、以下では単に保護対象データと呼び得る。暗号化関数は、受信機が入力データとして受信するデータを保護するように構成され得る様々な方法が存在する。例えば、暗号化関数は、暗号可能なものである暗号キーを使用して、保護対象データの一部または全てのハッシュ値ダイジェストを作成することができる。暗号化関数は、暗号キーを使用して保護対象データの一部または全てを暗号化することもできる。従って、暗号化関数は、保護対象データのハッシュ値および/または暗号文を出力するように構成することができる。保護対象データの一部がハッシュ化されるだけ暗号化されないの場合、これらのデータは、認証機関がハッシュ値を用いてプレーンテキストのデータの整合性を確認できるように、暗号ハッシング関数用の入力データとして使用される場合と同じように、プレーンテキストとして同一のフォーマットで第1部分のデータパッケージに含まれなければならない。しかし、データが暗号化される、つまり認証機関が復号化によりデジタル認証コードから元データを読み取ることが可能なことを意味する場合、暗号化関数すなわち一般的にプレーンテキスト用に入力データとして使用される場合と同じように、必ずしも同一のフォーマットでデータパッケージに含まれる必要はない。デジタル認証コードが位置データおよび受信機のパブリック識別子に加えてある他のデータを含み得ることを思い出す必要がある。この場合、認証機関は、特定の時間に特定の場所でこうした追加データが受信機により処理されたことを確認することができる。ユーザのデータパッケージはユーザにより作成された後、例えばユーザのプライバシーを保護するために、データパッケージが全体または一部が暗号化され得ることも触れる必要がある別のポイントである。次に、複合されるデータパッケージは、認証機関に認証のため提示される前に復号される必要があるか、または後者はプレーンテキストの内容およびデジタル認証コードを読み取ることができるようにデータパッケージを復号するキーが提供されなければならない。保護対象データをハッシングおよび/または暗号化するために使用される暗号キーは、好ましくは、無線ナビゲーション信号の異なる情報源を介して送信された連結した暗号トークンを含む。しかし、暗号キーはより複雑な、例えば、トークンの置換または混合を含む暗号トークン関数により取得されてもよい。トークンから暗号キーを生成するために使用される関数は、認証機関にのみ知らされ、認証機関は提示されたデータパッケージを認証するように要求されると、受信機の暗号化関数に使用された暗号キーを再構成するために、アーカイブからまたは秘密アルゴリズムを使用して提示された地理的位置および時間に対応する暗号トークンを読み取る。無線ナビゲーション信号の受信機は、以下に受信機の秘密識別子と呼ぶ、認証機関にのみ知られている秘密キー秘密キーは、ユーザではなく受信機と認証機関との共有秘密キーであるを格納しておいてもよい。無線ナビゲーション信号の受信機は、例えば、認証機関とのライセンス契約のもと、製造業者により受信機内に格納されてよい。そのような場合、暗号キーを生成するために使用される関数は暗号トークンに加えて、入力として受信機の秘密識別子を使用してもよい。暗号キーは、例えば暗号トークンおよび秘密キーの全てまたは一部の連結でとすることができる。この選択肢は、受信機から見える情報源の数が時間によって異なり、場所に依存することを考えると、複数の暗号トークンの場合、暗号キーの一定の長さを確保するために特に有利である。GNSSの場合、例えば、受信機の視覚に入る無線ナビゲーション衛星の数は実際に一定ではない。それ故、暗号キー、例えば、暗号トークンのみの連結が取得された場合、キーの長さは様々であり、従って暗号キーの強度および認証コードの信頼性であろう。従って、暗号キーは、好ましくは、強固な暗号化に十分な長さが選択された固定長ビット数を持つ。従って、受信機は、任意の使われていないビットを満たす、すなわち所定の長さの暗号キーで届くように受信機の秘密識別子の一部分を有利に使用する。好ましくは、複数の暗号トークンの場合、データパッケージは、暗号キーを計算する受信機により使用される暗号トークンを送信するこうした信号の情報源を識別するデータ信号情報源識別データを第1または第2部分に含む。アサートされた時間および場所は、認証機関が、どの暗号トークンが実際に無線ナビゲーションの受信機により読み取られたか判断するためのあらゆるインスタンスに十分ではないため、この選択肢は、特に好ましい。時間および位置情報により、実際にどの信号の情報源が理論上受信機が可視できたかを立証することが可能となる。しかし、こうした情報源の一部からの無線ナビゲーション信号の受信は例えばマスキングに起因して防止されてきた。暗号トークンが受信機により実際に使用されたという追加的提示がないと、認証機関は、認証機関が暗号キーを生成するために使用したものを見つけ出すまで暗号トークンの理論上可能な多数の組み合わせを確認しなければならない。対称的に、暗号トークンの情報源がデータパッケージに示されるなら、認証機関は位置データ時間および位置に基づく暗号トークンと信号の情報源を識別するデータとを素早く識別することができる。一度暗号トークンが識別されると、認証機関は保護対象データおよびデジタル認証コードの整合性を確認し、保護対象データを認証する証明書を発行するか、または無効として拒絶することができる。既に上述したように、無線ナビゲーション信号の受信機は、好ましくは、少なくとも重要なセキュリティ工程を実行するセキュリティペリメータを備える。こうした工程は、例えば、無線ナビゲーション信号から暗号トークンを読み取る工程と、位置データを特定し、デジタル認証コードを生成する工程とを有する。受信機のソフトウェア指紋がデジタル認証コードに含まれていてもよい。この場合も、ソフトウェア指紋を計算する工程がセキュリティペリメータ内で実行される。当業者は、好ましくは、こうした工程が攻撃を打ち破るためにセキュリティペリメータ内で実行されることに気付くであろう。本発明の変形例では、位置データは疑似距離測定からだけではなく位相測定からも算出される。代替的に、受信機は、疑似距離測定から位置データを算出してよく、可能性としてオープン信号および暗号化信号の両方の位相測定を算出してよい。受信機は、観測できるオープン信号から取得した位置データと観測できる暗号化信号から取得した位置データとの間の不一致を検出するように構成されてよい。算出された地理的位置が許容可能な閾値以上異なる場合、受信機は、整合性が多経路のような通常の擾乱で説明できない場合、オープン信号に対するなりすまし攻撃であると推定される警告を行うまでオープン信号で成された測定を廃棄するように決定してよい。有利に、受信機は、多周波測定に基づいて、すなわち異なる周波数で送信される無線ナビゲーション信号を使用して位置データを算出してよい。状況次第で、受信機はミーコニング攻撃、すなわち時間遅延の導入を行うかまたは行わない地上のエミッタにより再送信される信号を検出することができ得る。ミーコニング攻撃では、無線ナビゲーション信号のデータメッセージは変更されないままである。オープンまたは暗号化のされた全ての信号は、誤送信の脅威にさらされる。ミーコニング攻撃は、利用可能な無線ナビゲーションの周波数の少なくとも1つが誤送信でない場合に検出することができる。従って、受信機は、異なる周波数を位置データごとに別個に、または異なる周波数の組み合わせの位置データを計算し、実質的に同じ時間に計算された異なる位置データの矛盾を確認するように構成され得る。本文脈において、暗号化された無線ナビゲーション信号の使用は電波妨害の攻撃の脅威を取り除くものではないことに留意する必要があり得る。しかし、電波妨害は、最新式の無線ナビゲーション信号の受信機により比較的簡単に検出することができる。受信機により引き起こされる警告に関するデータは、受信機により、保護対象データの一部としてデジタル認証コードに含めることができる。次に、このデータは、認証機関により収集され、データベースの構築に使用される。データベースは、検出された脅威を局地に抑えるため認証機関または別のサービスプロバイダにより監視される。従って、検出された電波妨害、なりすまし、ミーコニング、または他の攻撃は認証機関により有力な国内当局に報告され、局地に抑えられ、完全無欠に攻撃者を無効化する。以下、地上セグメントについて具体的に取り掛かる。本発明の態様は、幾度も本明細書で先に述べた認証機関に関する。認証機関は、提示されたデータパッケージに含まれる保護対象データの信頼性を確認する方法を実行する。当該方法は、方法本明細書で上述した方法に従って作成されたデータパッケージ、または作成された外観を有するデータパッケージを受信することを含む。認証機関に提示されるデータパッケージは、位置データおよびデジタル認証コードを含み、位置データは提示された地理的位置および時間を示し、認証コードは少なくともデータパッケージの外観を有することを前提とする認証機関に提示されるデータパッケージが明白に誤ったフォーマットである場合、継続する必要はない。従って、認証手続きは中止されてよく、エラーメッセージがデータパッケージを提示した相手に発行されてよい。認証機関は、実際に提示された地理的位置で提示された時間におけるものであったならば無線ナビゲーション信号の受信機が受信したであろう一または複数の暗号トークンを読み取る。認証機関は、位置データおよびデジタル認証コードが互いに整合するかを確認する。最終的に、認証機関は、位置データおよびデジタル認証コードが互いに整合する場合位置データに含まれる時間および場所の指標を含むデータパッケージを認証し、位置データおよびデジタル認証コードが互いに整合しない場、データパッケージを無効として拒絶する。整合する場合、証明書は必要であれば、例えば固定長のために使用された認証済みの信号の数に基づいて、位置データに添付できる信用度の提示を含む。認証機関により実行される手続きは、データパッケージのフォーマットに適合され、該フォーマットは基準により予め特定されるべきであることに留意されたい。第三者サービスプロバイダ例えば走行に応じた料金設定の保険会社または通行料金機関などは、加入者からデータパッケージを受信してよい。第三者サービスプロバイダは認証のため認証機関にデータパッケージを提出してよい。次に、認証機関はデータパッケージ、特にデータパッケージに含まれたデータおよび時間の表示が信憑性があるかを記載した証明書を、データパッケージを提出した要求元に返す。第三者サービスプロバイダは、加入者からデータパッケージを受信するごとに認証のためデータパッケージを認証機関に提出することができる。代替的に、第三者サービスプロバイダは、受信した全データパッケージからランダムに選択したサンプルを提出してもよい。第三者サービスプロバイダは、不正についてデータパッケージを検査してもよく、好ましくは、一見して不正なデータパッケージを認証機関に提出する。認証機関は、好ましくは、無線ナビゲーション情報源を介して配信される暗号トークンの値を特定する。認証機関で暗号トークンを生成した後、暗号トークンは安全な通信を介して無線ナビゲーション信号の情報源にトークンをアップロードするアップリンク局、例えば衛星に送信される。代替的に、暗号トークンは、認証機関外、例えば無線ナビゲーションシステムの一または複数のコマンドセンターで生成され、安全な通信を使用してアーカイブに格納するため認証機関、および無線ナビゲーション信号の情報源に更新するためのアップリンク局に送信される。過去の全ての暗号トークンを格納する代わりに、認証機関は特定の時間に対応する暗号トークンを出力する母関数を当てにすることができる。この変形例では、認証機関は、好ましくは、母関数またはそのパラメータを随時変更するために作成される。次に、認証機関は母関数またはパラメータ設定、および対応する期間のアーカイブを保持しなければならない。なお、二つ以上の認証機関があってもよいことに留意されたい。複数の認証機関の場合、好ましくは、暗号トークンの共通アーカイブ、または特定の時間に対応する暗号トークンを算出するための共通の計算センタが必要であり、アーカイブまたは計算センタの全ての認証設備は安全なアクセスを有する。代替的に、各認証機関は、各々のアーカイブまたは計算センタを有することができる。どちらの選択肢が選択されても、暗号トークンおよび/または母関数の秘密を保持する手当をしなければならない。これは短位置の認証機関を用いれば簡単であり得る。信号情報源セグメントについて、本発明の態様は、暗号化により保護された一または複数の暗号トークンを含む無線ナビゲーション信号を送信する無線ナビゲーション信号の情報源である。暗号トークンは、随時更新される。本発明の別の態様は、無線ナビゲーション信号それ自体とそのような信号の使用、例えば認証可能な時間および場所の指標を提供するための信号の使用に関する。無線ナビゲーション信号は、データコンテンツに包含され、暗号化により保護された一または複数の暗号トークンに特徴を持つ。当業者は、本発明の様々な態様が、ユーザエンドユーザと第三者サービスプロバイダにセキュリティ性の高い無線ナビゲーションシステムを提供する総合的なアプローチを証明することを理解するだろう。可能性として複数の周波数、および/またはオープン無線ナビゲーション信号の組み合わせでの暗号化された無線ナビゲーション信号の不正開封防止機能が付いた受信機および受信機のソフトウェアによる使用は、位置データの高い信頼性を教授するだろう。無線ナビゲーション信号例えば、電波妨害、なりすまし、またはミーコニングに関する攻撃の場合、前記前述した内容に従って、受信機の操作は、攻撃を検出しユーザに警告するベストチャンスを持つ。さらに、ユーザは、ユーザの受信機がデータパッケージを認証機関に送信することにより正しく動作しているかを簡単に判断し得る。受信機はデータパッケージを認証機関に定期的、例えば、暗号化された無線ナビゲーション信号および/または暗号トークンにアクセスするためのキーをダウンロードする際に送信するように構成することができる。本発明によれば、データパッケージを有する任意のユーザは、データパッケージは生成されたと主張する受信機がアサートされた位置でアサートされた時間であったかについて確認を取得することができる。データパッケージが追加的データ例えば文書を含む場合、データパッケージの認証機関への希望者は、追加的データがアサート位置でアサート時間に受信機によりパッケージされたという確認を受信してもよい。従って、本発明は時間および場所の指標を含むデータパッケージの受取人に宇宙信号から無線ナビゲーションシステム例えば未来のヨーロッパのGNSSまたは疑似衛星ネットワークの仕組みにおける向上した信用性のつながりを提供する。この意味において、本発明は、安全な無線ナビゲーションに向けて大きな一歩を示すエンドツーエンドにおける位置データ認証を実現する。本発明は悪意のある無線ナビゲーション信号に関する脅威に対し無線ナビゲーションのロバスト性を高め、位置データを変えてしまおうとする悪意に対し位置データの保護を確保し、安全な方法でジオタグおよび時間タグのついた任意の種類の文書のための手段を提供する。本発明は、安全な補正データの送達を介して位置の精度を強化するアプリケーションと役立つように組み合わせることができ、これにより安全でより正確な位置および時間手段が得られる。添付の図面を参照し、例示により本発明の好ましい実施形態を以下に説明する。[概要]以下、EuropeanGNSSGalileoとして知られているの商業サービスCSを使用して本発明の可能な実施をより詳細に説明する。一般ユーザに暗号化された無線ナビゲーション信号を提供する第1のGNSSサービスを構成するため例示的な商業サービスが主に選択されており、これは単独型SIS認証を実現するために最も実際的で安全な方法である。以下で議論する以下に記載する例は、本発明の様々な態様をより詳細に説明する。例は、以下の認証を行う目的で、無線ナビゲーション信号の受信機による、CSナビゲーション信号のデータメッセージに包含された暗号トークン単数または複数の入力を用いたデジタルダイジェストの作成に関する。ローカル、地方、または全地球航法衛星システムもしくは地上の疑似衛星システムにより送信された無線ナビゲーション信号に基づいて、権限を持つ無線ナビゲーション受信機により作成された位置データ無線ナビゲーション受信機のアイデンティティ、および適切な場合は受信機のユーザおよび/またはユーザに与えられた任意の種類の管理上の権限のアイデンティティおよび/または、適切な場合は、受信機によりジオタグ付けされ時間がタグ付けられた任意の種類の文書[システムの基本設計概念]図1は、本例の基本設計概念を示す。GNSSは、特に全ての衛星12および/または疑似衛星不図示の同期、無線ナビゲーション信号で送信されるデータメッセージの用意を管理する地上セグメント10を備える。地上セグメント10は、以下にいわゆる認証サービスセンター16と呼ぶ信用できる認証機関により制御される複数のアップリンク局14を備える。GNSSは、3または6の異なる軌道面の中軌道面を回る複数の無線ナビゲーション衛星12および/または複数6以上の同期疑似衛星を有する宇宙セグメント18も備える。GNSSのユーザセグメント20は、ユーザの無線ナビゲーション受信機22を備える。ユーザは、ジオロケサービスを提供する第三者サービスプロバイダ24の加入者であり得る。加入者の受信機22からのデータパッケージを第三者プロバイダ24に送信するための遠隔通信セグメント26データパッケージネットワークおよび認証サービスセンター16からユーザの受信機navkeyネットワークにナビゲーションキーnavkeysを配信するための安全な遠隔通信セグメント28が存在する。認証サービスセンター16は以下を確保する。暗号トークンの提供受信機22用の秘密識別ナンバーの提供受信機22により生成されたデータパッケージの認証地上セグメント10は、暗号トークンの送信を送信するためのCS無線ナビゲーション信号のデータメッセージに、幾らかのスペースを割り当てる。地上セグメント10は、データメッセージを衛星12にアップロードする前にデータメッセージ全体を暗号化するか、または衛星12が無線ナビゲーション信号を暗号化することを確保する。認証サービスセンター16は、最先端のアルゴリズムで暗号トークンを作成する。トークンから得られる暗号キーのリフレッシュ率は、得ようとするロバスト性のレベルに依存する。この割合は、アップリンク局14および接続衛星12の利用可能レベルにより制約される。データメッセージは実際に更新され、従って、異なる位置の異なる時間で衛星のアップリンク局を介してリフレッシュされる。認証サービスセンター16は、作成した全ての暗号トークンのアーカイブを保持する。認証サービスセンター16は、Galileoシステムの地上任務セグメントに安全な通信リンク30を有し、該通信リンク30は、認証サービスセンターから地上セグメントへのトークンの送信のため、およびセンサまたは監視局により読み出されたトークンを地上任務セグメントから認証サービスセンターに送信するためにアップリンク局を制御する。ユーザの受信機22には、CS無線ナビゲーション信号から暗号トークンを読み取り、少なくとも受信機により計算された位置データおよび暗号トークンを入力データとして用いて暗号化関数を使用してデジタル認証コードを生成し、少なくとも位置データおよびデジタル認証コードを含むデータパッケージを提供する特定のハードウェア暗号モジュールおよび特定のソフトウェアが装備されている。第三者サービスプロバイダ24は、加入者のデータパッケージの認証を認証サービスセンター16に要求し得る。次に、認証サービスセンター16は、位置データおよび可能であれば保護対象の追加的データのデータパッケージに含まれるデジタル認証コードと整合するかを確認し、検証の結果を示す証明書を第三者サービスプロバイダに返す。[暗号トークンの配信]宇宙セグメントにより作成される各無線ナビゲーション信号のデータメッセージは、暗号トークンのために固定ビット数を割り当てる。この長さは、アプリケーションに想定されるロバスト性のレベルにより特定される。この長さは、変更されるべきではない。しかし、全ての専用の受信機のソフトウェアは、データメッセージの構造におけるこうした変化を考慮して更新されなければならない。暗号トークンの値は、デジタル認証コードの作成に使用された暗号を破りたいハッカーを打ち破るために特定の時間間隔で変更される。リフレッシュ率は、地上セグメントおよび宇宙セグメントの物理的能力により限定される。データメッセージは、受信機が暗号トークンを運搬する暗号化された無線ナビゲーション信号を用いて位置を固定できる必要な全てのデータを含む。ヨーロッパのGNSS商業サービスは、E6B周波数帯域で暗号化された無線ナビゲーション信号を使用する。E6B信号のデータメッセージは暗号トークンを送信するために使用され得る。従って、以下の説明では、暗号トークンはE6Bデータメッセージで送信されることを前提とする。MissionRequirementsDocumentv7.0によれば、E6BデータチャネルおよびE6Cデータチャネルのないパイロット信号信号に関するEuropeanGNSSの測距コード暗号化は、256ビットのキーを用いた、robustAdvancedEncryptionStandardAESの対称アルゴリズムに基づいている。アルゴリズムは、Countermodeで使用される。GNSS受信機が暗号化された無線ナビゲーション信号にアクセスするために必要な秘密キー、すなわちナビゲーションキーは、認証サービスセンターにより管理されユーザに配信され、一週間から三カ月毎に更新される。この配信のために、ナビゲーションキーは受信機の秘密IDを用いて暗号化され、インターネットを介して受信機に送信される。受信機がインターネットとの直接的なインターフェースを有していない場合、ナビゲーションキーは第1の工程でパーソナルコンピュータに送信され、第2の工程で、例えばUSBフラッシュドライブを用いて受信機でアップロードされる。受信機の秘密IDの長さは、本明細書では合計256ビットを想定する。先に示したように、以下の条件の一つが満たされる場合、無線ナビゲーション信号は安全なものと特定される。a無線ナビゲーション信号自体が最先端の暗号化アルゴリズムで暗号化されているすなわち、信号の測距コードが暗号化されている。または、b無線ナビゲーション信号は暗号化されていないが暗号トークンを含む、無線ナビゲーション信号が伝達するデータメッセージが最先端の暗号化アルゴリズムで暗号化されている。または、c無線ナビゲーション信号およびそのデータメッセージの両方が、同一の最先端の暗号化アルゴリズム、または異なるキーセットを持つ二つの異なる暗号化アルゴリズムで暗号化されている。従って、E6信号は、簡単に成りすまされるE1信号と異なり十分に信用できる疑似距離測定を行うことができ、従って、同時に十分に信用できるPVTを計算することができる。Galileo商業サービスの認証サービスセンターは、衛星毎、および暗号トークンの有効期間毎に暗号トークンを計算する。こうした暗号トークンは、アップリンク局を介して衛星でアップロードされ、次に衛星により送信される。各衛星SViiは衛星または宇宙船の数は、データメッセージについて以下にNONCESViと呼ぶ特定の暗号トークンを送信する。各NONCESViの長さは、例えば32ビットにすることができる。データメッセージは、特に448ビット内に以下を含む。E6B用のナビゲーションメッセージ。これにより、受信機はE1A信号およびE5A信号が妨害またはなりすまされる環境でもナビゲーションを続行することができる。これにより、E6Bについて一秒間で448ビットのデータバンド幅から最大でも一秒間に50ビット先取りする。受信機がE1Aについてナビゲーションメッセージを再構成し、E1Aがなりすまされる場合でもE6BおよびE1Aでナビゲートすることができる追加データ。新しい各暗号トークンNONCESVi用の予測不可能な値。NONCESViは、衛星SViに特有である。従って、通常は、i≠jであれば、NONCESVit≠NONCESVjt。それでも、二つ以上の暗号トークンが偶発的に等しい時間は存在する。認証サービスセンターは、アーカイブNONCEアーカイブに全ての暗号ノンスを実現する。[受信機によるデータパッケージの計算]図2は、受信機のソフトウェアの可能な実施の概要を示す。ソフトウェアは、主に4つの構成要素を備える。SIS認証ソフトウェアキー管理ソフトウェア暗号化復号化ソフトウェアナビゲーションソフトウェア無線ナビゲーション信号および/または暗号トークンを同意するためにユーザの受信機に必要なキーは、安全な通信ネットワークを介して送信され、受信機内で、暗号モジュールおよびキー管理ソフトウェアで管理される。受信機のソフトウェアは、安全な無線ナビゲーション信号に基づいて計算された疑似距離を最初にかつ全面的に頼る。安全な無線ナビゲーション信号から取得された位置データのみが安全であるとみなすことができる。各無線ナビゲーション信号のナビゲーションメッセージにより提供される通常の入力に加えて、ナビゲーションソフトウェアを支援するために安全な無線ナビゲーション信号のデータメッセージに追加データを追加することができる。例えば、受信機のナビゲーションソフトウェアは以下を考慮することができる。安全な無線ナビゲーション信号を介したGNSSオペレータにより送達されたインテグリティデータGNSSオペレータまたは認証サービスセンターにより提供されるナビゲーション補正データ宇宙セグメントの他の周波数単数または複数に伴うクロック差ナビゲーションソフトウェアは、ReceiverAutonomousIntegrityMonitoringRAIM用に構成することができ、および/または、例えばPrecisePointPositioningなど補正データにより与えられる増加関数を含む。受信機は二つのパートを含むデータパッケージを作成する。部分1はプレーンテキストデータを含み、位置データを含む読み出し可能な情報を含む部分2はいわゆるデジタル認証コードであるデジタル認証コードにより、認証サービスセンターは保護対象データを認証することが可能となる。デジタル認証コードは、保護対象データの一部または全てを含むことができる。デジタル認証コードが特定のデータのハッシュ値を含む場合、こうしたデータはプレーンテキストの部分部分1に存在しなければならない。でなければ、認証サービスセンターはデジタル認証コードを確認することができない。データパッケージの部分1および部分2の両方にデータを含めることは可能である。これは、一般的に情報を複製することが確かであるものの、アプリケーションが部分1に賛成しない状況では、デジタル認証コードに含まれたデータを読み取ることができることはアプリケーションによっては興味深いものであり得る。次に図3に例示される好ましい無線ナビゲーションの受信機を参照すると、不正開封防止機能が付いた少なくとも二周波GNSS受信機E1A/E6Bバンドが示される。好ましくは、受信機は、E1、E5、およびE6の無線ナビゲーション信号を処理するように構成されている。受信機のセキュリティペリメータは、少なくともE6相関器およびベースバンド処理を含む。受信機は、内在ナビゲーションシステムINSも備える。受信機は、USBスロットもさらに備える。ユーザは、ナビゲーションキーをアップロードするため、スロットに専用のUSBフラッシュドライブを挿入する。USBフラッシュドライブは、他のデータ、例えば運転免許証などユーザのパブリックIDを受信機に転送するために使用されてよい。USBフラッシュドライブは、全てのデータパッケージまたは所定の間隔、所定の期間毎に少なくともデータパッケージもしくはデータパッケージのサンプルも格納する。全てのデータパッケージは、例えば、USBフラッシュドライブが盗まれた場合などプライバシーを保護するために暗号化された状態で格納される。データパッケージは、ユーザが次のナビゲーションキーについて認証サービスセンターのウェブサイトに問い合わせる度にユーザのパーソナルコンピュータを介してUSBフラッシュドライブから認証サービスセンターに伝達される。データパッケージの伝達により、認証サービスセンターは事後的にリモートPVT認証を行うことができる。このアプリケーションすなわち繰延リモートPVT認証のために、認証サービスセンターは、ユーザの権限を用いて、全てのデータパッケージおよび対応する証明書をユーザのサービスプロバイダに送信する。受信機は、GPRS、G3、またはG4など無線遠隔通信のための端末を備えることができる。この遠隔通信リンクは、第三者のほぼリアルタイムによるPVT認証を実現するために使用される。この機能すなわち、ほぼリアルタイムによるリモートPVT認証は、仮出所者の検知グッズをリアルタイムで追跡するために非常に役立つが、道路利用者の課金または走行に応じた料金設定のようなアプリケーションにとっては面白いものではない。受信機のパブリックIDは、好ましくは、可視可能なように受信機に記される。受信機のプライベートIDは、不正開封防止機能が付いたメモリに格納される。プライベートIDは、認証サービスセンターを除いてユーザにも他の第三者にも知られない。受信機のソフトウェアは、同一または別の不正開封防止機能が付いたメモリに格納される。好ましくは、ソフトウェアの更新中に受信機のプライベートIDが獲得される可能性を避けるために、受信機のソフトウェアおよび受信機のプライベートIDのメモリはそれぞれ別個である。受信機は、好ましくは、物理的に電源OFFとならないように安全な電力ケーブルから電力を得る。受信機は、短い距離で、受信機が電源ONとなり正確に機能しているか情報を伝達するDSCRエミッタを装備することもできる。こうした測定により、ユーザがサービスプロバイダに由来する支払やペナルティーを避けるために、自発的に受信機の電源をOFFにすることが防止される。受信機のソフトウェアは、主に4つの機能ブロックを有する。ナビゲーション信号からのPVTの計算を担当するナビゲーションソフトウェアユーザのUSBフラッシュドライブから暗号化されたナビゲーションキーのアップロードを担当するキー管理ソフトウェア電波妨害、なりすまし、およびミーコニングによる攻撃の検出を担当するSIS認証ソフトウェア認証デジタルコードの作成および暗号化されたナビゲーションキーの復号を担当する復号化/暗号化ソフトウェア受信機は、各衛星に二つの相関チャネル一方はE1A、他方はE6Bを割り当てる。次に、受信機はE1AおよびE6Bで測距コードを取得し、E1およびE6Bでナビゲーションメッセージを読み出し、E6Bデータメッセージから衛星により送信されたノンスを抽出する。ナビゲーションソフトウェアは、1つ目はE6B信号のみに基づいて、二つ目はE1およびE6を含む、利用できる全ての信号に基づいて二つのPVTの解を計算する。第1PVTは、PVTE6と呼ばれる。第1PVTは、E6B疑似距離測定PRE6のみを使用して計算される。第2PVTは、PVTE1,E6と呼ばれる。第2PVTは、iono-free疑似距離測定PRionofreeとも呼ぶに基づき、これは以下の式に従って計算される。ここで、fE1はGalileoのE1A周波数搬送1575.42MHzであり、fE6はGalileoのE6B周波数搬送1278.750MHzであり、PRE1はE1疑似距離であり、PRE6はE6疑似距離である。ナビゲーションソフトウェアは、PVTE6を軸とし、時間、横寸法、および縦寸法で規定される四次元信頼ボックスを推定することができる。ナビゲーションにおいて、可能性のある全てのエラーをE6Bにのみ基づいて検討することができる。四次元の信用できるPVTボックスは、衛星の状態にある認証サービスセンターにより提供されるデータに基づいて受信機により計算することができる。受信機がより高度な精度の衛星高正確度の天体暦位置および衛星クロック変動による利益を得られる、E6Bでの高精度サービスとソフトウェアがつながれる場合、信用できるPVTボックスの大きさは、著しく小さくすることができる。PVTE1,E6は、PVTE6と比較して精度は高いが完全に安全ではなく、一方、PVTE6は、精度は低いが十分に信頼できることに留意する必要があり得る。PVTE6の位置は後者は暗号化されるため安全で信用できる信号に基づいて計算されるため、唯一信用できるソリューションである。この位置-時間は、所定の許容誤差内で、四つの全ての範囲Dx、Dy、Dz、およびDtにおいて精確である。信頼ボックスは、受信機の真の位置および時間PVTexactが所定の可能性信頼度を持つ信頼ボックスに収まることを示す。信頼ボックスの大きさは、対象の位置および時間におけるGalileo衛星に依存する。ボックスの大きさは、システムがE6Bに適用された高精度アプリケーションとつながれる場合、著しく小さくすることができる。E1信号がなりすまされる場合、受信機はPVTE6,E1のいずれかを計算することができなくなり、従ってなりすまし警告を引き起こすか、または信用できるPVTボックスから外れそうなPVTE6,E1を計算することができるようになる。PVTE6,E1は、実際に信用できるPVTボックスの境界外にある場合も、受信機は警告を引き起こす。そのような警告の場合、受信機はPVTE6のおよび信頼ボックスの大きさのみを出力する。次に、該大きさは、真の位置および時間の最良近似であるとみなされる。警告が引き起こされない場合、受信機はPVTE6およびPVTE6,E1の両方を出力する。次に、PVTE6,E1は真の位置および時間の最良近似であるとみなされる。[ナビゲーションキーの管理]ユーザは、定期的に、例えば一月に一度、インターネットを介してE6B信号のナビゲーションキーをダウンロードし得る。こうしたキーは、Galileoオペレータまたは代替的に認証サービスセンターにより生成される。Galileoのオペレータは、一意のナビゲーションキーを持つナビゲーション信号を暗号化するために、同一のナビゲーションキーを持つ全ての衛星にE6Bペイロードを割り振る。本明細書で記載する認証ソリューションは、各衛星に割り振られた異なるナビゲーションキーを扱うこともできる。ユーザは、変更前にナビゲーションキーをダウンロードする。ユーザは、認証サービスセンターの安全なインターネットウェブサイトにログインする。そのために、ユーザは、ログイン例えば、受信機のパブリックIDおよび秘密のパスワードにより識別される。識別されると、キーの更新要求を提示し、そのためにパーソナルコンピュータにUSBフラッシュドライブを挿入する。要求は、認証サービスセンターのデータベースソフトウェアにより処理される。データベースには、全てのログ、秘密のパスワード、受信機のパブリックID、および受信機のプライベートIDが入っている。データベースサーバは、受信機のパブリックIDを識別し、そうして対応する受信機のプライベートIDを読み取る。次に、受信機のプライベートIDは、対称暗号化アルゴリズムを用いて、ナビゲーションキーを暗号化するために使用される。次に、ウェブサイトは、暗号化されたナビゲーションキーをユーザのパーソナルコンピュータに応じてUSBフラッシュドライブにダウンロードする。その間に、ウェブサイトのアプリケーションは、パーソナルコンピュータに挿入されたUSBフラッシュドライブに格納された全てのデータパッケージをアップロードする。その後、こうしたデータパッケージは認証サービスセンターにより認証され、次に、ユーザにより指定された第三者サービスプロバイダに送信される。新しいナビゲーションキーがUSBフラッシュドライブもダウンロードされると、ユーザは無線ナビゲーション信号の受信機にUSBフラッシュドライブを挿入する。この挿入により以下のアクションが引き起こされる。受信機のキー管理ソフトウェアは、新しく暗号化されたナビゲーションキーがUSBフラッシュドライブに格納されたかを確認する。格納されている場合、ソフトウェアは受信機のセキュリティペリメータ内のメモリに暗号化されたナビゲーションキーをアップロードする。次に、復号化および暗号化ソフトウェアは、セキュリティペリメータに格納された受信機のプライベートIDの助けを借りて暗号化されたナビゲーションキーを復号化し、セキュリティペリメータ内の不正開封防止機能が付いたメモリに、復号化したバージョンのナビゲーションキーを有効期限パラメータとともに保存する。キー管理ソフトウェアは、有効期限が切れたナビゲーションキーを削除する。必要であれば、キー管理ソフトウェアは、受信機のインターフェースを介し現在のナビゲーションキーの有効性の終了が差し迫っていることをユーザに警告し、必要ならば、次のナビゲーション期間のために有効なナビゲーションキーが無いことを警告する。現在の期間のためのキーが無い場合、受信機はもはやE6B信号を追跡および取得することができない。そのような場合、単独型SIS認証の機能は失われ、続く認証サービスセンターによるリモートPVT認証はもはや不可能となる。[受信機によるSIS認証のリアルタイム処理]まず、SIS認証ソフトウェアは、どのGalileo衛星によるE6Bデータメッセージが取得され復号されたか、すなわち、SIS認証ソフトウェアがPVTを計算するときに、どのGalileo衛星が受信機から可視可能であるかを受信機のインターフェースを介してユーザに提示する。SIS認証ソフトウェアの二つ目の仕事は、継続的に電波妨害の攻撃を監視および検出することである。例えば、SIS認証ソフトウェアは、受信機がある周波数を放ったが同一の衛星からさらに別の周波数を受信している場合、電波妨害の警告を引き起こす。この警告は、どの周波数が失われたのかを示す。E6Bバンドの信号が失われたのに、E1またはE5信号が受信機により未だに読み出されている場合、SIS認証ソフトウェアは、衛星ナビゲーションはもはや安全でないことを示す警告を引き起こし、INSナビゲーションモードに切り替えるようにナビゲーションソフトウェアに要求する。無線ナビゲーション信号が全ての周波数について失われた場合、SIS認証ソフトウェアは、衛星ナビゲーションはもはや可能ではないことを示す警告を引き起こし、同じくINSナビゲーションモードに切り替えるようにナビゲーションソフトウェアに求める。SIS認証ソフトウェアは、なりすまし攻撃、すなわち、攻撃者がオープン信号で送信されたナビゲーションデータを変更する状況を検出する。例えば、なりすましに影響されないE1信号で読み出された天体暦が、現在の技術によるなりすましに影響するE6信号で読み出された天体暦と異なっていれば、なりすまし警告を生じさせる。SIS認証ソフトウェアは、幾つかの状況ではミーコニング攻撃も検出する。ミーコニング攻撃は、宇宙信号が時間遅延があってもなくても地上のエミッタにより再送信される場合に生じるとみなされる。ミーコニング攻撃において、宇宙信号のデータメッセージは変更されないままである。E6B信号のように、オープンまたは暗号化された全ての信号は誤送信であり得る。ミーコニング攻撃は、利用可能な無線ナビゲーション周波数の少なくとも一つが誤送信ではない、例えばPVTE1またはPVTE5がPVTE6を軸とする信用できるPVTボックスに残っていれば検出することができる。ここでは、ソフトウェアは、一つの周波数の信号があったときにその周波数に基づいて各々計算された位置の矛盾を検出する。しかし、SIS認証ソフトウェアは、全ての無線ナビゲーションの周波数の信号の送信の遅延を同時に変更するミーコニング攻撃を検出することはできない。上述したように、慣性のナビゲーションシステムINSの受信機内への採用は、理論的に受信機がそのような攻撃を検出できなければならない。そのような攻撃を受けた場合、あるINSを装備した受信機は、INSおよび最新のPVTに基づいて計算された新しいPVTとナビゲーション信号に基づいて計算されたPVTとの非整合性を検出しければならない。要求を受けたSIS認証ソフトウェアは、USBフラッシュドライブに格納された指紋の支援により受信機に搭載されたソフトウェアを検査する。ソフトウェアのSHA256が対象の指紋と一致しない場合、受信機に搭載されたソフトウェアは変更されていることを示し、ソフトウェアのインテグリティに関する警告が引き起こされる。[受信機によるPVTのカプセル化]画面上の地図に示される位置に加えて、受信機は、自身のセキュリティペリメータ内に、第三者に送信され、第三所により使用される出力データパッケージを作成する。データパッケージは二つのパートを備える図3を参照。以下の情報を含む部分1読み出し可能な情報-PVTE1,E6-受信機のパブリックID-ユーザのパブリックID任意部分2デジタル認証コードは以下の情報の暗号である-PVT計算のために使用されるGalileo衛星を識別する27ビットフィールドのPVTE6-PVTE6-信用できるPVTボックスの大きさ-PVTE1,E6-ユーザのパブリックID任意-SHA256を用いて計算された受信機のソフトウェアの指紋データパッケージは、どのような場合でも分裂、切断、または変更されるべきではない。でなければ、認証可能な特徴が放たれてしまう。従って、データパッケージは、同一のフォーマットで作成、送信、格納、およびアーカイブされるべきである。カプセル化ソフトウェアは、ユーザがプライバシーを保護したいか否かに応じて明白または暗号化された部分1読み出し可能な情報を作成することができる。次に、部分1の暗号化は、プライバシーを保護する目的のみで作成されるが、その後データパッケージを認証する目的では作成されない。部分1を暗号化する可能性は認証アプリケーションが補うが、必須の特徴ではない。部分1読み出し可能な情報は、この情報が受信機に残された後、任意の時間で悪意のある者が盗むことが可能なため、プライバシーを保護するためにユーザによる受信機での選択に応じて暗号化されてよく、または暗号化されなくてもよい。部分1が暗号化される場合、ユーザの仲間を管理するために以下の構想が適用される。ユーザは受信機に秘密キーを取り込む次に、部分1は、この秘密キーを用いて、対称暗号アルゴリズムを使用して暗号化されるユーザは自身の仲間、および自身のサービスプロバイダに安全な方法で自身の秘密キーを配信することに対し責任がある部分2デジタル認証コードは、必ず暗号化され、認証サービスセンターを除いて読み出すことはできない。暗号化アルゴリズムは、少なくとも192ビットの楕円曲線統合暗号方式ECIESである。部分2を作成するソフトウェアは、以下では復号化/暗号化ソフトウェアと呼ぶ。受信機の秘密IDは一意であり、ユーザにおよび第三者には知らされず、受信機のセキュリティペリメータ内で保護される。部分1読み出し可能な情報は、ジオロケサービスまたは時間サービスのプロバイダを含む任意の第三者に使用されることを目的としているが、一方で、部分1に伴う部分2は、どのような環境でも認証サービスセンターが読み出すことができ、従って認証サービスセンターだけが使用することができる。さらに、ユーザは、同一のデータパッケージ部分1部分2を限定されない数のジオロケサービスまたは時間サービスのプロバイダに、およびユーザの仲間親類、友人、同僚に送信することができる。この情報の各々の受信者は、部分2が部分1に添付されたままである場合、認証サービスセンターでいつでも認証要求を実際に申し出ることができる。カプセル化ソフトウェアの主たる仕事は、以下に記載する2工程の手続きでデータパッケージの部分2において必須の情報をカプセル化して、未来のPVT認証のために必須の情報を暗号化することである。全ての暗号化操作は受信機のセキュリティペリメータ内で行われる。部分2デジタル認証コードは、二つの連続するカプセル化により作成される。第1のカプセル化は以下から構成されるデータを包隠するPVTE6四次元の信用できるPVTボックスPVTE1,E6受信機のパブリックIDユーザのパブリックID任意のSHA256を用いて計算された受信機のソフトウェアの指紋このデータパッケージは、E6Bデータメッセージについて受信機により読み出された全NONCEの所定順の連結に対応するキーを用いて、対称暗号化アルゴリズムを介して暗号化される。この暗号化により、以下にEn1と呼ぶ第1のカプセル化が作成される。暗号化は、所定順で、例えば、衛星の識別子の増加順で、可視衛星からの8つの暗号トークンの連結により獲得される。受信機が可視できるGalileo衛星が8個未満の場合、空白のノンスフィールドは、抽出した受信機のプライベートIDにより置き換えられる。この警戒は、全てのカプセル化が、最大長のキー256ビットを持つ最大強度を確保するために採用される。図5は、受信機が可視できる衛星が5つである場合の256ビットの長さを持ち暗号キーの計算を例示する。暗号キーは、利用可能な暗号トークンNONCESVi1...NONCESVi5および受信機のプライベートID部分の連結により取得される。受信機のプライベートIDは、所定長を持つキーを実現するためにこのような方法で切り取られる。第2のカプセル化は以下から構成されるデータを包隠する。En1PVTを計算し、それにより対応するNONCEの連結を介してEn1を暗号化するために使用されるGalileo衛星を明らかにする27ビットのコンポーネント第2段階では、このパッケージは、受信機の秘密IDをキーとして用い、対称暗号化アルゴリズムにより暗号化される。この暗号化により、以下にEn2と呼ぶ第2のカプセル化が作成される。En2が、データパッケージの部分2デジタル認証コードである。次に、部分1読み出し可能な情報および部分2デジタル認証コードは最終的に所定のフォーマットでデータパッケージ内に組み合わせられる。次に、データパッケージは、以下にデータパッケージネットワークと呼ぶ任意の遠隔通信ネットワークを介してユーザが規約または契約にサインした全てのサービスプロバイダに送信される。[データパッケージ配信]データパッケージは、任意の種類の媒体により移送することができる。データパッケージネットワークは、移動車両に届く便利さを証明している、GPRS、G3、またはG4などのデータ送信に使用される一般的な地球波の無線周波数ネットワークとすることができる。データパッケージは、リアルタイムまたはほぼリアルタイムで第三者サービスプロバイダに送信することができる。データパッケージは、繰延時間、好ましくは、一定間隔で送信することができる。これは、USBフラッシュドライブおよびインターネットを用いて、または他の任意の遠隔通信接続を介して行うことができる。プロバイダは、認証サービスセンターに、リアルタイムまたは繰延時間で受信したデータパッケージの認証を要求してよい。navkeysネットワークおよびデータパッケージネットワークは、同一のネットワークにすることもできる。この状況は、遠隔通信端末の数を低減させるので、受信機内での処理が一層容易である。この状況は、リアルタイムまたはほぼリアルタイムでのリモートPVT認証を要しないアプリケーションにとって別の利点も提示し得る。受信機により作成されたデータを対象とする多くの第三者サービスプロバイダにパッケージを送信する代わりに、受信機は、中心である一つの認証サービスセンターに全てのパッケージを送信することができ、認証サービスセンターは、証明書とともに指定された第三者に全てのパッケージを送信することができる。認証機関に一または複数のデータパッケージを送信することは、次のナビゲーションキー送達のための条件として行われる。そうでなければ安全な無線ナビゲーション信号および/または暗号トークンへのアクセスができなくなるので、従って、ユーザは特定の間隔で位置データを提供せざるを得ない。この取り組みの別の利点は、認証サービスセンターが受信機のソフトウェアのインテグリティをデジタル認証コードに含まれるソフトウェア指紋を使用して検査し得、従ってユーザは破損したセキュリティペリメータを備える受信機にナビゲーションキーを配信しないことである。[計算後のPVTの保護]受信機は、以下の二つのパートから形成されるデータパッケージを作成する。部分1は、所定のフォーマットで提供されるプレーンテキスのPVTおよび受信機のパブリック識別子受信機のパブリックIDを含む読み出し可能な情報である。部分2、特に暗号化されたフォーマットで受信機の識別、PVTE6およびPVTE6,E1、並びに信用できるPVTボックスの大きさを含むデジタル認証コード地上の電子通信セグメント以下ではデータパッケージネットワークと呼ぶは、先に記載したように作成された情報が任意の位置情報サービスプロバイダに送信されることを確保する。情報は、任意の種類の媒体により移送することができる。GPRS、G3、またはG4など地上の無線ネットワークを介したほぼリアルタイムによる移送または、フラッシュドライブおよびインターネットを介して繰延時間、好ましくは、一定の間隔による移送。データパッケージの受信は、認証サービスセンターに認証要求を出し得る第三者サービスプロバイダであり得る。代替的に、データパッケージは、認証サービスセンターに送信され得る。この場合、第三者サービスプロバイダは、認証サービスセンターから自身のクライアントのデータパッケージおよび自身のクライアントの各々の証明書を獲得するために該認証サービスセンターと接続する。認証サービスセンターは、デジタル認証コード部分2を読み出すことができる、唯一のエンティティである。顧客により送信されたデータパッケージを確認したいサービスプロバイダの要求を受け、認証サービスセンターは、プレーンテキストデータ部分1およびデジタル認証コードが互いに整合するかを確認する。位置データは、認証サービスセンターが、安全な無線ナビゲーション信号に基づいて、対象の位置データが信頼でき、識別できる受信機により作成され、かつ、公認されライセンス化されたソフトウェアにより計算されたことを保証できる場合にのみ正確であるとみなす。データパッケージの部分1および部分2が一致する場合、認証サービスセンターは、保護対象のデータは、提示された時間で提示された場所でデータパッケージに統合されたことを保証する証明書をサービスプロバイダに提供する。二つのパートが一致しない場合、認証サービスセンターはデータパッケージが認証テストに失敗した例えば、位置データまたは受信機の識別が破損していて結果としてデータパッケージを認証できないという理由などことを警告する証明書を希望者に提供する。第三者サービスプロバイダは、顧客のうちの一人からサービスプロバイダにより受信したデータパッケージ一式とともに認証要求を認証サービスセンターに送信し得る。認証機関は、認証要求として提出されたデータパッケージ解釈するように構成されている。次に、認証サービスセンターは部分2認証キーを復号し、部分2に含まれる情報が部分1のプレーンテキストとして含まれている情報と整合することを確認する。二つのパートのデータが一致する場合、認証サービスセンターは、データパッケージは整合性の確認をパスし、従って信頼されてよいものであることを証明する証明書を要求元に提供する。二つのパートのデータが一致しない場合、認証サービスセンターは、データパッケージは整合性の確認に失敗し、結果、認証できないことを警告する証明書を要求元に提供する。[PVT認証のリモート処理]サービスプロバイダまたは他の任意の第三者がデータパッケージの部分1読み出し可能な情報に含まれる情報の正確さを検証したい場合、認証サービスセンターを指定しなければならない。本発明の本実施形態では、世界中に1つのオーソリティーのみが受信機により作成されたデータパッケージを認証することができる。認証について、認証とは、プレーンテキストの部分1で明白なように、PVT、受信機のパブリックID、および、もしあればユーザのパブリックIDが正確であることを示す証明書を任意の希望者に送信することを意味し、この情報には信用レベルを付与することができる。問題となる機関は認証サービスセンターである。認証サービスセンターは、以下では認証ソフトウェアと呼ぶ、特定のソフトウェアを介して受信し得る認証の証明書に対する全ての要求を取り扱う。希望者は証明用ネットワーク図1の参照番号32と呼ばれる安全なネットワークを介して、対応するデータパッケージとともに認証の証明書要求を出す。証明用ネットワークは、インターネットを介して暗号化されたデータの交換により実現することができる。認証ソフトウェアは、部分1の受信機のパブリックIDを読み出す。このソフトウェア認証サービスセンターの3つのデータベースへのアクセスを有する。全ての暗号トークンのアーカイブ受信機のパブリックIDおよび受信機の秘密IDペアの全ペアリスト認可を受けた受信機のあらゆるバージョンのプログラムコードの足跡の収集認証サービスセンターは第2データベースを管理および更新し、認可を受けた受信機を持つ全車両の受信機のパブリックIDおよび受信機の秘密IDの全ペアを格納する。認証サービスセンターは、受信機を製造する認可を受けた製造業者に受信機のパブリックIDおよび受信機の秘密IDのペアを割り当てる。工程1部分1の確認まず、認証ソフトウェアは、部分1が正確なフォーマットでPVTおよび受信機のパブリックIDを含むかを確認する。例えば、部分1が認証要求に添付して提出する前にいずれかの者に暗号化されていた場合、認証要求を中止する。特に、部分1は明白であるべきであり、すなわち暗号化されるべきではない。宣言されたPVTおよび/または受信機のパブリックID単数または複数が正確なフォームではない場合、認証ソフトウェアは、間違いを含む部分1に起因して認証処理を行うことができないことを示す証明書を発行する。工程2:部分2の第1の復号化認証ソフトウェアは、部分1読み出し可能な情報で宣言された、問題となるデータパッケージを作成した受信機のパブリックIDに基づいて受信機の秘密IDを読み取る。次に、認証ソフトウェアは、データパッケージの部分2またはEn2を復号するために受信機の秘密IDを使用する。次に、認証ソフトウェアは、暗号化されているため今のところ使用できないEn1、およびPVTの計算に使用されるGalileo衛星を識別する28ビットのパターンを読み出す。認証ソフトウェアが受信機の秘密IDを用いて部分2を復号できない場合、次に認証ソフトウェアは次のいずれかを示す警告を持つ証明書を発行する受信機のパブリックIDは破損した、つまり対応する受信機の秘密IDは、正確な復号キーではないことを意味する警告または、部分2デジタル認証コードは破損しており、従って復号化できないという警告そのような警告を有する証明書は、部分1で宣言されたPVTは認証できないことを意味する。反対に、PVTがなりすまされた、または偽造されたことを必ずしも意味するものではない。認証ソフトウェアが受信機の秘密IDを用いて部分2を復号できる場合、次に認証ソフトウェアは、部分1で宣言された受信機のパブリックIDは正確であることを示す証明書において予備情報を発行する。工程3:部分2の第2の復号化En2の宇宙船識別子フィールドにおいて宣言されたGalileo衛星のリストに基づいて、認証ソフトウェアは、全てのGalileo衛星の暗号トークンのアーカイブにより、En1の暗号化キーを計算する。このキーは、データパッケージおよび、可能性として受信機のプライベートIDの部分1により提供された時間に基づく、読み取られた暗号トークンが所定順で連結されたものである。このキーのおかげで、認証ソフトウェアはEn1を復号することができ、従って、受信機により計算される以下の全てのデータにアクセスすることができる。PVTE6PVTE1,E6受信機のパブリックIDユーザのパブリックID任意信用されたPVTボックスの大きさ認証ソフトウェアは、暗号化された形態の部分2に含まれる全てのデータを読み出し、部分1のデータと読み出したデータと比較し、二つのデータセットが整合するかを確認する。この効果を得るために、認証ソフトウェアは以下を確認する。PVTE1,E6は、部分1で宣言されたPVTに一致するかPVTE1,E6がPVTE6を軸とする信用できるPVTボックスに収まっているか部分1で任意に宣言された任意のユーザのパブリックIDは部分2に含まれるユーザのパブリックIDに一致するか部分2に含まれるソフトウェアのハッシュ値指紋が信頼できるものとして、認証サービスセンターに認められたソフトウェアのバージョンに一致するかこうした確認の結果に応じて、ソフトウェアは、宣言されたPVTは正しいものであることを示し、また正しいものであるならば、信用の精度を証明書に添付し、宣言されたユーザのパブリックIDがあれば、該ユーザのパブリックIDが正確かを示すデジタル証明書を作成する。2工程の暗号化についで2工程の復号化の理由は、PVTを計算する時間に、受信機がどの衛星を可視できたかを認証ソフトウェアが予め推測することができないことに関連する。この理論において、1回の暗号化および1回の復号化で十分であろう。実際に、部分1で宣言されたPVTのタイミング、および地球上の位置に基づいて、ソフトウェアは、受信機の上空にあるGalileo衛星が8個かまたは8個未満かを導き出すことができる。しかし、こうした衛星の幾つかは隠れてしまう場合があり、結果として受信機により検出されない。正確な復号キーを獲得するために、ソフトウェアは、8個の衛星を各々視認できたか否か状況の組み合わせに対応する、暗号トークンの可能性のある全ての連結を用いて28回のテストを行う。認証処理を遅延させ得るこうした試験を避けるために、2回目の暗号化および対応する1回目の復号化により、カプセル化されたPVTにアクセスするための復号化キーを計算するために考慮しなければならない衛星に関する正しい情報を認証ソフトウェアに与えることができる。工程4:認証証明書の要求送信次に、認証サービスセンターは以下を示す証明書とともに提出されたデータパッケージを要求元に送信する。情報1部分1が正しいフォーマットであるか情報2もしそうであれば、宣言された受信機のパブリックIDが正確か情報3もしそうであれば、宣言されたPVTが改ざんされていないか情報4もしそうであれば、認証受信機に内蔵されたソフトウェアが認証サービスセンターにより承認されているか情報5もしそうであれば、E1,E6Bおよび任意でE5Aもでのナビゲーションメッセージは整合しているか情報6もしそうであれば、宣言されたPVTが信用できるPVTボックスに収まっているか情報7宣言されたユーザのパブリックIDが正確か情報8もしそうであれば、メートルで測定され、かつ信用できるPVTボックスの大きさに基づく認証の精度1乃至8の情報は、ブールデータである。情報8は整数である。こうした情報の要素は以下を示す。情報1が誤りであれば、その際の証明書はいかなる値も持たず、他の情報は不適切である情報2が誤りであれば、その際の証明書はいかなる値も持たず、他の情報も不適切である情報3が誤りであれば、その際の証明書は、部分1で宣言されたPVTが受信機で計算された後に変更されたことを証明する情報4が誤りであれば、その際の証明書は、PVTを計算するために使用されたソフトウェアは認証サービスセンターが知らないソフトウェアであることを証明する情報5が誤りであれば、その際の証明書は、受信機が恐らくE1でのなりすまし攻撃を受けているがPVTE6はまだ信用できることを証明する情報6が誤りであれば、その際の証明書は、受信機はほぼ無線ナビゲーション信号に攻撃を受けているがPVTE6はまだ信用できることを証明する情報7が誤りであれば、その際の証明書は、もしあれば、部分1で宣言されたユーザのパブリックIDは変更されなかったが、受信機で計算された後に変更されたことを証明する証明書は、PVTまたは受信機のパブリックIDを提供しない。換言すれば、部分1読み出し可能な情報は、暗号化された方法で提出された場合、または部分1が欠けている場合、その時希望者は、受信機のユーザにこの情報にアクセスする許可されていないと認証サービスセンターからみなされる。このとき、認証サービスセンターはPVTも受信機のパブリックIDも公開しない。換言すれば、認証サービスは、部分2デジタル認証コードが再度暗号化されていなければ技術的には実施できるが、プライバシーの保護を中断することは意図しない。間接的に世界中の地域から送信されるデータパッケージの証明書を作成することにより、ナビゲーションの周波数を世界的に監視できるようにし、そうして電波妨害、なりすまし、およびミーコニング攻撃を検出および局地化することが可能となる。認証サービスセンターは、例えば、そのように識別された攻撃による懸念を国家の国内当局に警告する。[GNSS脅威に対するロバスト性][電波妨害に対するロバスト性]アプリケーションは、全てのナビゲーション周波数について同時攻撃を保護することができない。しかし、ナビゲーションの周波数の内少なくとも1つの周波数が妨害されていなければ、電波妨害の攻撃は検出され打ち破られる。すなわち、受信機は対象の周波数から導き出されたPVTを、まだ信頼することができる。[なりすましに対するロバスト性]既存のなりすましは、任意に暗号化された信号を模倣することができない。特に、なりすましはE6Bを用いたGalileo測距コードを模倣することができない。それ故、E6Bコードはなりすまし脅威を受けにくい。しかし、E6B拡張コードは定期的な暗号シーケンスではないという事実に起因して、E6Bで直接第1取得は非常に複雑である。時間の十分な推定は必須であり、第1信号の取得がE1Aで行われたことを示す。この第1の時間の推定により、E6Bで取得処理を開始することが可能となる。なりすましによりE1Aでのナビゲーションメッセージが改ざんされた場合、次にE6B取得は開始することができない。従って、第1対応策はE6B取得が実行できるかを確認することである。もしできない場合、受信機はE1Aの信用できない信号を使用した。PVTE6の計算に加えて、信用できるナビゲーションデータ天体暦、クロック補正などがE6Bのデータメッセージに必要とされる。それ故、認証の受信機は、PVTの解を計算するために使用された全てのGalileo衛星について暗号化されたE6B信号で受信したナビゲーションデータの指紋を比較することにより、受信した各ナビゲーションデータのインテグリティ、およびE1Aで受信したナビゲーションデータのSHA-256値を確認する。暗号トークンは、認証デジタルコードの暗号化に対する攻撃に対し、非応答メカニズムを提供することを目的とする。認証受信機は、同一のGalileo衛星を使用して二つのPVT解答を計算する。しかし、PVTE1,E6が最も精確であるが、PVTE6だけがなりすまし攻撃に対し強固であり、信用領域単独型SIS認証を特定するために使用される信用できる参照先である。[ミーコニングに対するロバスト性]ミーコニングは、GNSS受信機を欺く最も効果的な手段である。強固なサービスとも呼ばれるGPSPY-コードまたはGalileoのPRSなどは、ミーコニングに影響されない。しかし、攻撃者がナビゲーション目的で使用した全ての周波数スペクトルすなわち、E1、E5、およびE6で使用される全ての周波数スペクトルを誤送信しない場合、ミーコニングは打ち破ることができる。次に、多周波受信機は、PVTE1、PVTE5、およびPVTE6により提供される位置で容易に不一致を検出することができる。これは、本例に係る受信機の場合である。受信機が計算されたPVTの位置および/または時間に突然ジャンプしたことを検出した場合も幾つかのミーコニング攻撃を検出することができる。認証受信機は、この機能を統合する。受信機に関する時間および/または位置の進行の編流を行使するミーコニング攻撃は、こうした受信機がGNSS信号だけを信頼する場合、検出されないまま残る場合がある。しかし、そのような攻撃は、受信機が慣性のナビゲーションセンサを備える場合検出することができる。認証受信機はそのようなセンサを備える。[可能性のある位置データの変更に対するロバスト性]アプリケーションは、特に、保護対象の情報がプレーンテキストで格納または送信される場合、データパッケージのうち部分1のPVTおよび/または受信機のパブリックIDが攻撃者により変更されてしまうことを防ぐことはできない。しかし、アプリケーションはそのような変更を検出するように機能する。PVTの改ざんと闘うために、受信機のソフトウェアは、サービスプロバイダおよびユーザの仲間に送信されるべき生成されたデータパッケージを保護することが可能なアルゴリズムを含み得る。この暗号化は、データパッケージの部分1でPVTおよび/または受信機のパブリックIDを変更しようとする第三者から保護するために有効な手段である。[アプリケーション自体への攻撃に対する脆弱性]受信機のファームウェアを含む全てのセキュリティ資源は、認証受信機のセキュリティペリメータ内に実装される。加えて、ホスト機器は、PVTを計算するために使用されるデータおよびソフトウェアのインテグリティを検査することができるメカニズムを備える。専用のGNSS受信機は、重要なソフトウェアおよびセキュリティ資源が読み出され、ユーザまたはサービスプロバイダを含めて盗まれるのを防止する暗号モジュールを備える。ここで、脅威とは、攻撃者が認証テスト、または偽造に成功してパスする偽の信用されたデータパッケージを作成することである。認証アプリケーションを打ち破るために、攻撃者は以下を行わなければならない。1受信機のプライベートIDの破損2NONCEおよび天体暦の全てに対する攻撃に関する期間にわたるアーカイブ、並びに3カプセル化ソフトウェアの逆行分析の実現アクション1は、実現が非常に困難である。つまり、認証サービスセンターが有する受信機のIDデータベースへの認証されていないアクセスを取得、または認証受信機の不正開封防止機能が付いたメモリの内容を読み出すことが必要である。あるいは、代替的に、受信機のプライベートIDは総当たり攻撃ではなく、28ビット長のみの受信機のプライベートIDを用いて暗号化されたデータにより破損される場合がある。現在の最新式アルゴリズムにより、今日のコンピュータの計算力を用いて、既に総当たり攻撃を免れる。短長な暗号化データでさえ、攻撃者は未来のキーを破ることが難しいだろう。別の脅威は、製造業者が受信機のパブリックIDおよび受信機のプライベートIDの関係の形跡を保持し、この形跡が盗まれることである。製造業者は認証受信機を製造後、そのような情報を破壊せざるを得ない。アクション2は、攻撃者が長期間にわたってナビゲーションキーにアクセスしており、E6Bデータメッセージで識別された全てのNONCEをアーカイブできる場合にのみ可能である。アクション2は、以下により防止されるものである。全てのCS受信機にセキュリティパラメータを課すこと第1の工程は商業サービスインターフェース管理文書を発行せず、認可を受けた製造業者にのみ商業サービス受信機の構築を許可することである認証受信機のセキュリティペリメータに高基準を設定することナビゲーションキーの配信を保護することまず、アクション3は、認可を受けたカプセル化ソフトウェアを盗むことにより実現することができる。このソフトウェアの配信および更新は、保護されたチャネルにより確保されなければならない。逆行分析は、暗号トークンを定期的または頻繁にリフレッシュすることにより満足なやり方で防止される。現在の最高技術を用いれば、こうした全ての行為はどのハッカーも行うことができない。"