特許 6096327 ユーザデバイスとサーバとの間の通信を準備する方法およびシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6096327

(24)【登録日】2017年2月24日

(45)【発行日】2017年3月15日

(54)【発明の名称】ユーザデバイスとサーバとの間の通信を準備する方法およびシステム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20170306BHJP

   H04L 9/32 20060101ALI20170306BHJP

   G06F 21/44 20130101ALI20170306BHJP

【ＦＩ】

   H04L9/00 601C

   H04L9/00 675B

   G06F21/44

【請求項の数】10

【全頁数】13

(21)【出願番号】特願2015-560720(P2015-560720)

(86)(22)【出願日】2014年3月10日

(65)【公表番号】特表2016-513899(P2016-513899A)

(43)【公表日】2016年5月16日

(86)【国際出願番号】EP2014054607

(87)【国際公開番号】WO2014135707

(87)【国際公開日】20140912

【審査請求日】2015年9月7日

(31)【優先権主張番号】13158289.2

(32)【優先日】2013年3月8日

(33)【優先権主張国】EP

(73)【特許権者】

【識別番号】508342183

【氏名又は名称】エヌイーシー ヨーロッパ リミテッド

【氏名又は名称原語表記】ＮＥＣ ＥＵＲＯＰＥ ＬＴＤ．

(74)【代理人】

【識別番号】100097157

【弁理士】

【氏名又は名称】桂木 雄二

(72)【発明者】

【氏名】カラメ、ガッサン

(72)【発明者】

【氏名】ジラオ、ジョアオ

(72)【発明者】

【氏名】ドブレ、ダン

【審査官】 宮司 卓佳

(56)【参考文献】

【文献】 特表２００９−５３０８８７（ＪＰ，Ａ）

【文献】 特開２０１１−１９８３１７（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００５／０１４９７４０（ＵＳ，Ａ１）

【文献】 特開２００７−２３４０３０（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

Ｇ０６Ｆ ２１／４４

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

ユーザデバイスとサーバとの間の通信を準備する方法において、前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能であり、
ａ）セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送るステップと、
ｂ）前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行するステップと、
ｃ）前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成するステップと、
ｄ）前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを前記サーバに保存するステップと、
ｅ）所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るステップと、
ｆ）前記セキュア要素が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するステップと、
ｇ）前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するステップと
を備え、
前記ユーザデバイスが、前記ステップｃ）で生成された署名付きレスポンスを用いてセッション鍵の形態でセキュア情報を生成し、前記サーバが、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいてセッション鍵の形態でセキュア情報を生成し、これがステップｇ）による照合のために使用され、
前記セッション鍵が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される
ことを特徴とする、ユーザデバイスとサーバとの間の通信を準備する方法。

【請求項2】

前記生成されたレスポンス情報が前記サーバに提供され、前記照合が、前記保存された署名付きレスポンスおよびステップｆ）の前記生成されたレスポンス情報を用いて直接に実行され、一致した場合、前記ユーザデバイスは、前記サーバとの通信について認証されることを特徴とする請求項１に記載の方法。

【請求項3】

前記１つ以上の署名付きレスポンスを生成するため、および／または、セッション鍵を計算するためのカウンタ情報がステップｃ）に含められることを特徴とする請求項１または２に記載の方法。

【請求項4】

カウンタ情報が、前記ユーザデバイスおよび／または前記サーバによって確立されたセッションの数に対するカウンタを示すことを特徴とする請求項３に記載の方法。

【請求項5】

前記サーバ情報を提供するために暗号学的ハッシュ関数が使用されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。

【請求項6】

ステップｃ）を実行するための決定的アルゴリズムとしてＧＳＭ−Ａ３アルゴリズムが使用され、および／または、前記セキュア要素内に保存された鍵情報を用いずにセッション鍵を生成するための決定的アルゴリズムとしてＧＳＭ−Ａ８アルゴリズムが使用されることを特徴とする請求項１ないし５のいずれか１項に記載の方法。

【請求項7】

チャレンジ送信後にステップｆ）による正しいレスポンスを提供する時間が測定され、該測定された時間に基づいて、ステップｇ）が実行されるか、または、実行されないことを特徴とする請求項１ないし６のいずれか１項に記載の方法。

【請求項8】

前記カウンタ情報が、所定のセッションの数に対してチェックされることを特徴とする請求項３に記載の方法。

【請求項9】

ステップａ）による前記１つ以上のチャレンジが１２８ビット以上のチャレンジであることを特徴とする請求項１ないし８のいずれか１項に記載の方法。

【請求項10】

ユーザデバイスとサーバとの間の通信を準備するシステムにおいて、前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能であり、
前記サーバが、セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送り、前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを保存し、所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るように動作可能であり、
前記セキュア要素が、前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行し、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成し、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するように動作可能であり、
前記サーバおよび／または前記ユーザデバイスが、前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するように動作可能であり、
前記ユーザデバイスが、前記生成された署名付きレスポンスを用いてセッション鍵の形態でセキュア情報を生成し、前記サーバが、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいてセッション鍵の形態でセキュア情報を生成し、これが前記照合のために使用され、
前記セッション鍵が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される
ことを特徴とする、ユーザデバイスとサーバとの間の通信を準備するシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ユーザデバイスとサーバとの間の通信を準備する方法に関する。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能である。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。

【0002】

また、本発明は、ユーザデバイスとサーバとの間の通信を準備するシステムに関する。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、好ましくは請求項１ないし１１のいずれか１項に記載の方法を実行する。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。

【0003】

本発明は、一般に１つ以上の決定的アルゴリズムを提供するセキュア要素に適用可能であるが、以下ではＳＩＭカードに関して説明する。

【背景技術】

【0004】

最近、会社や企業では、従業員が仕事のために自分のタブレット、ラップトップコンピュータ、あるいはスマートフォン等のデバイスを持ち込むことを許容する傾向がある。その理由は、例えば、会社は各従業員用に会社のラップトップコンピュータを提供する必要がなければコストが削減されるからである。別の理由は、例えば、従業員は自分で自分のデバイスを選択できたほうがよいからである。しかしこれにより、大企業および中小企業のいずれにおいても、「外部」あるいは「外来」のデバイスが大幅に増加することになる。デバイスは依然としてその従業員の所有であるが、企業は、自らのセキュリティポリシーを施行し、危険にさらされたデバイスに関する責任を低減するように注意しなければならない。したがって、企業のセキュリティポリシーを施行する際には、従業員の個人データ、個人ポリシーや、自己のデバイスを変更したりその機能を制限したりすることへの従業員の抵抗を考慮に入れる必要がある。

【0005】

上記の問題を解決してモバイルデバイスに保存された機密情報の秘密を保護するためには、スマートカード、ＳＩＭカード、ＴＭＰチップ等のセキュア要素（セキュリティ保護された要素）が使用される。これについては、非特許文献１〜７を参照されたい。

【0006】

上記の非特許文献５では、ＮＦＣ無線インタフェースを用いたユーザ認証のためにＳＩＭカードが使用されている。ＮＦＣインタフェースは、暗号鍵を転送するために使用され、ＳＩＭカードは、ＳＩＭカードにマスタ暗号鍵を保存するために使用される。次の初期セキュリティ設定を実行する必要がある。すなわち、マスタ鍵をＳＩＭカードに保存しなければならない。また、この鍵は、アイデンティティ管理者のデータベースに登録しなければならない。

【0007】

しかし、一般に、これらのセキュア要素に依拠することにより、企業は、自己の要素に保存されたすべての情報を管理し、それらのセキュリティ鍵にアクセスできる必要がある。これは通常、企業がこれらのセキュア要素を用意することを必要とする。

【0008】

したがって、欠点の１つとして、複数の現実的な状況においてはこの仮定を満たせないことがある。例えば、企業は、機密情報を保存するためにＳＩＭカードに依拠したい場合には、ＳＩＭカード内に保存されている鍵にアクセスするために、対応するモバイル事業者と協力するか、または、自らＳＩＭカードを用意する必要があるが、これは多大な管理の手間とコストがかかる。

【先行技術文献】

【非特許文献】

【0009】

【非特許文献1】"Bootstrapping Trust in Commodity Computers", B. Parno, J.M. Mc Cune, A. Perrig IEEE S&P 2010

【非特許文献2】"OSLO: Improving the security of Trusted Computing", Bernhard Kauer

【非特許文献3】Trusted Computing Group http://www.trustedcomputinggroup.org

【非特許文献4】IBM 4758 Basic Services Manual: http://www-03.ibm.com/security/cryptocards/pdfs/IBM_4758_Basic_Services_Manual_Release_2_54.pdf

【非特許文献5】Kalman, G., Noll, J., UniK, K.: SIM as secure key storage in communication networks. In: International Conference on Wireless and Mobile Communications (ICWMC) (2007)

【非特許文献6】Noll, J., Lopez Calvet, J.C., Myksvoll, K.: Admittance services through mobile phone short messages. In: International Multi-Conference on Computing in the Global Information Technology. pp. 77-82. IEEE Computer Society, Washington, DC, USA (2006)

【非特許文献7】Mantoro, T., Milisic, A.: Smart card authentication for Internet applications using NFC enabled phone. In: International Conference on Information and Communication Technology for the Muslim World (ICT4M) (2010)

【発明の概要】

【発明が解決しようとする課題】

【0010】

したがって、本発明の目的は、セキュア要素内に保存された鍵等のセキュア情報の知識なしに、既存のセキュア要素のセキュア機能を利用する方法およびシステムを提供することである。

【0011】

本発明のもう１つの目的は、ユーザが自分のデバイスを持ち込むことができる状況において、ブートストラップ認証を可能にする方法およびシステムを提供することである。

【0012】

本発明のもう１つの目的は、認証中に起こり得る攻撃を効果的に検出することが可能な方法およびシステムを提供することである。

【0013】

本発明のもう１つの目的は、従来の方法およびシステムにおいて容易に実施可能な方法およびシステムを提供することである。

【課題を解決するための手段】

【0014】

上記の目的は、請求項１の方法および請求項１２のシステムによって達成される。

【0015】

請求項１において、ユーザデバイスとサーバとの間の通信を準備する方法が提供される。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能である。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。

【0016】

請求項１によれば、該方法は、
ａ）セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送るステップと、
ｂ）前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行するステップと、
ｃ）前記セキュア要素内に保存された鍵情報を用いずに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成するステップと、
ｄ）前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを前記サーバに保存するステップと、
ｅ）所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るステップと、
ｆ）前記セキュア要素が、前記セキュア要素内に保存された鍵情報を用いずに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するステップと、
ｇ）前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するステップと
を備えたことを特徴とする。

【0017】

請求項１２において、ユーザデバイスとサーバとの間の通信を準備するシステムが提供される。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、好ましくは請求項１ないし１１のいずれか１項に記載の方法を実行する。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。

【0018】

請求項１２によれば、該システムは、
前記サーバが、セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送り、前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを保存し、所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るように動作可能であり、
前記セキュア要素が、前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行し、前記セキュア要素内に保存された鍵情報を用いずに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成し、前記セキュア要素内に保存された鍵情報を用いずに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するように動作可能であり、
前記サーバおよび／または前記ユーザデバイスが、前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するように動作可能である
ことを特徴とする。

【0019】

本発明によって認識されたこととして、特に、従来のＳＩＭカードのセキュアな機能を、ＳＩＭカード内に保存された鍵の知識なしに、利用することができる。

【0020】

また、本発明によって認識されたこととして、ユーザデバイス内に保存された鍵へのアクセスを必要とせずに、セキュア要素の一方向認証プロセスを利用して、ユーザデバイスとの相互認証を行うことができる。

【0021】

また、本発明によって認識されたこととして、企業は、例えば従業員が電子メールを読んだりバーチャルプライベートネットワークにアクセスしたりするために、従業員のユーザデバイスとセキュアに通信を行うことが可能となる。

【0022】

また、本発明によって認識されたこととして、モバイルデバイスの使用は妨げられず、セキュア要素、特にＳＩＭカードの設計およびプロトコルに影響を及ぼさない。本発明は、例えば基本的なＧＳＭセキュリティ機能を実施するすべてのセキュア要素において適用可能である。

【0023】

また、本発明によって認識されたこととして、企業は、自らセキュア要素を用意することも、例えばモバイル事業者と協力することも不要である。

【0024】

また、本発明によって認識されたこととして、例えばＳＩＭカードおよび加入者鍵に依拠した従来の解決法と比較して、セキュリティのレベルは低下しない。

【0025】

また、本発明によって認識されたこととして、起こり得る不正行為、なりすまし攻撃等を、サーバおよびユーザデバイスの両方により簡易かつ効果的に検出することが可能となる。

【0026】

さらなる特徴、効果および好ましい実施形態は、後続の従属請求項に記載される。

【0027】

好ましい実施形態によれば、前記生成されたレスポンス情報が前記サーバに提供され、前記照合が、前記保存された署名付きレスポンスおよびステップｆ）の前記生成されたレスポンス情報を用いて直接に実行され、一致した場合、前記ユーザデバイスは、前記サーバとの通信について認証される。これにより、サーバ側でユーザデバイスの認証手続きを提供する容易な方法が可能となる。サーバは、サーバに保存された署名付きレスポンスと、サーバ情報で問合せされた例えばＳＩＭカードから提供されたレスポンスとを比較する。

【0028】

また、好ましい実施形態によれば、前記ユーザデバイスおよび前記サーバの両方が、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいて互いに独立にセキュア情報を生成し、これがステップｇ）による照合のために使用される。これにより、生成されたセキュア情報に基づいて通信を用意する容易な方法が可能となる。サーバおよびユーザデバイスの両方がセキュア情報を生成する場合、生成されたセキュア情報を事前に交換することを必要とせずに、セキュア情報を用いてサーバとユーザデバイスとの間で通信を確立することができる。

【0029】

また、好ましい実施形態によれば、前記セキュア情報がセッション鍵の形態で提供され、該セッション鍵が、前記セキュア要素内に保存された鍵情報を使用せずに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される。これにより、ユーザデバイスとサーバとの間の通信セッションに対するセッション鍵を生成する容易な方法が可能となる。例えば、セッション鍵は、ユーザデバイスがサーバで認証された後に生成することが可能である。

【0030】

また、好ましい実施形態によれば、前記１つ以上の署名付きレスポンスを生成するため、および／または、前記セッション鍵を計算するためのカウンタ情報がステップｃ）に含められる。これにより、中間者攻撃を容易に検出することが可能となる。例えば、アクティブな攻撃がない場合、カウンタ情報はセッション情報に等しいかまたは相当する。一方、アクティブな攻撃の場合、カウンタ情報はセッション情報からずれる。

【0031】

また、好ましい実施形態によれば、カウンタ情報が、前記ユーザデバイスおよび／または前記サーバによって確立されたセッションの数に対するカウンタを示す。これにより、カウンタ情報が容易な方法で提供され、中間者攻撃を検出するために、カウンタ情報とセッション情報との間の高速で効率的な比較が可能となる。

【0032】

また、好ましい実施形態によれば、前記サーバ情報を提供するために暗号学的ハッシュ関数が使用される。これにより、衝突耐性のある一方向性のハッシュ関数によって前記チャレンジを提供することが可能となる。

【0033】

また、好ましい実施形態によれば、ステップｃ）を実行するための決定的アルゴリズムとしてＧＳＭ−Ａ３アルゴリズムが使用され、および／または、前記セキュア要素内に保存された鍵情報を用いずに前記セッション鍵を生成するための決定的アルゴリズムとしてＧＳＭ−Ａ８アルゴリズムが使用される。これにより、現行のＧＳＭプロトコルにおける容易で効率的な実施が可能となる。

【0034】

また、好ましい実施形態によれば、チャレンジ送信後にステップｆ）による正しいレスポンスを提供する時間が測定され、該測定された時間に基づいて、ステップｇ）が実行されるか、または、実行されない。例えばＳＩＭカードが正しいレスポンスで応答するのにかかる時間を測定し、この測定時間が所定しきい値を超える場合には、例えば、サーバは、通信を用意するためのさらなるステップ、例えば認証確認、を拒否する。例えば、ユーザデバイスに対する無線での攻撃は、認証段階に成功するためには、往復（ＲＴＴ）の伝搬時間の２倍を必要とする。したがって、好ましくは、無線攻撃に対してこれに対応してしきい値を設定することにより、このような攻撃の検出が向上する。

【0035】

また、好ましい実施形態によれば、前記カウンタ情報が、所定のサーバ情報の数に対してチェックされる。これにより、中間者攻撃を検出する可能性が増大する。

【0036】

また、好ましい実施形態によれば、ステップａ）による前記１つ以上のチャレンジが１２８ビット以上のチャレンジである。これにより、一方では、高度の擬似ランダム性が保証され、他方では、特にＧＳＭプロトコルにおける容易な実施が可能となる。

【0037】

請求項１２のシステムの好ましい実施形態によれば、前記サーバおよび／または前記ユーザデバイスが、セッション鍵に基づいて前記サーバと前記ユーザデバイスとの間の通信セッションを確立するように動作可能であり、該セッション鍵が、前記セキュア要素内に保存された鍵情報を使用せずに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスの１つ、に基づいて計算される。これにより、認証後のユーザデバイスとサーバとの間の通信のためのセッション鍵を確立する容易な方法が可能となる。

【0038】

本発明を好ましい態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１および請求項１２に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。

【図面の簡単な説明】

【0039】

【図1】モバイル事業者においてユーザデバイスを認証する従来の方法を模式的に示す図である。

【図2】本発明の実施形態による方法を模式的に示す図である。

【発明を実施するための形態】

【0040】

図１は、モバイル事業者においてユーザデバイスを認証する従来の方法を模式的に示している。

【0041】

図１には、ＳＩＭカードとモバイル事業者ＭＯとの間の基本的な認証が示されている。ＳＩＭカードは、ユーザデバイスＵＤで使用される。図１では、ＳＩＭカード付きのユーザデバイスＵＤと、モバイル事業者ＭＯが、同じ加入者鍵Ｋｉを共有する。ユーザデバイスＵＤあるいはＳＩＭカードを認証するため、第１ステップＳ１で、モバイル事業者ＭＯは、ランダムに選択されたチャレンジＲＡＮＤをユーザデバイスＵＤへ送信する。ユーザデバイスＵＤは、次のステップＳ１２で、加入者鍵ＫｉおよびチャレンジＲＡＮＤを入力としてＧＳＭプロトコルによるＡ３アルゴリズムを実行し、第２ステップＳ２で、署名付きレスポンスＳＲＥＳを出力し、署名付きレスポンスＳＲＥＳをモバイル事業者ＭＯへ返送する。

【0042】

次に、モバイル事業者ＭＯは、提供されたチャレンジＲＡＮＤおよび加入者鍵Ｋｉを入力として使用して自らＡ３アルゴリズムを再実行することにより、署名付きレスポンスＳＲＥＳの正しさを検証することによって、ユーザデバイスＵＤあるいはＳＩＭカードを認証する。

【0043】

ユーザデバイスＵＤとモバイル事業者ＭＯとの間の通信セッションのためのセッション鍵Ｋｃを生成するためには、このセッション鍵Ｋｃは、ユーザデバイスＵＤあるいはＳＩＭカードでＧＳＭプロトコルによるＡ８アルゴリズムを使用して生成されることが可能である。例えば第１ステップＳ１で提供されたモバイル事業者からのチャレンジＲＡＮＤが入力されると、ユーザデバイスＵＤあるいはＳＩＭカードは、共有している加入者鍵Ｋｉとともに、Ａ３アルゴリズムの出力すなわち署名付きレスポンスＳＲＥＳを入力する。そして、次のステップＳ２３で、ＳＩＭカードおよびモバイル事業者ＭＯのサーバの両方でＡ８アルゴリズムが実行される。そして、Ａ８アルゴリズムは、共有セッション鍵Ｋｃを出力する。

【0044】

図２は、本発明の実施形態による方法を模式的に示している。

【0045】

図２には、本発明による実施形態が示されている。より詳細には、企業Ｅは、与えられたユーザＵのモバイルデバイスＵＤを認証したい。このため、企業は、認証対象のユーザデバイスＵＤが、ＳＩＭカードに結び付けられた鍵を備えていることを確かめる必要がある。これにより、企業Ｅによって識別可能なＳＩＭカードにアクセスしなくても、デバイス間でのそれらの鍵の偽造および／または複製が不可能であることが保証される。

【0046】

第１ステップＥ１で、設定段階が実行される。設定段階を開始するため、企業は、短い限定された時間、ユーザデバイスＵＤすなわちＳＩＭカードにアクセスする。この時間中、企業Ｅは、セキュアな秘匿性チャネルを用いてユーザデバイスＵＤすなわちＳＩＭカードとインタフェースをとる。例えば、このセキュアな秘匿性チャネルは、企業Ｅによって提供される完全に信頼されたモバイルデバイス内にＳＩＭカードを挿入することによって提供することができる。次に、企業Ｅは、企業Ｅによって擬似ランダムに選択された乱数に対応する署名付きレスポンス値ＳＲＥＳについてＳＩＭカードに問い合わせる。好ましくは、企業Ｅは、鍵付きハッシュ法を適用することにより、１２８ビットのチャレンジＲＡＮＤを選択する（ＲＡＮＤ１＝Ｈ（Ｋｅ || １），...，ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）等）。Ｈ（）は暗号学的ハッシュ関数（すなわち、衝突耐性のある一方向性のハッシュ関数）であり、Ｋｅは秘密鍵を表す。Ｘは、例えば、生成されるレスポンスの数あるいはより一般的なカウンタ情報を示す。企業Ｅは、これらのチャレンジを全部でＮ個生成する（ＲＡＮＤ１，ＲＡＮＤ２，...，ＲＡＮＤＮ）。

【0047】

次に、第１ステップＴ１で、企業Ｅは、ユーザデバイスＵＤ内のＳＩＭカードのＧＳＭプロトコルによるＡ３アルゴリズムに対してチャレンジＲＡＮＤ１，ＲＡＮＤ２，...，ＲＡＮＤＮのそれぞれを送り、対応する署名付きレスポンスＳＲＥＳ１，ＳＲＥＳ２，...，ＳＲＥＳＮを取得する。次に、企業Ｅは、秘密鍵Ｋｅおよびすべての問合せされた署名付きレスポンスＳＲＥＳ１，ＳＲＥＳ２，...，ＳＲＥＳＮを保存する。すべてのＲＡＮＤチャレンジおよび署名付きレスポンスＳＲＥＳは、秘匿性チャネルを通じて交換される。

【0048】

設定段階後の第２ステップＥ２で、企業Ｅは、セッションＸにおいて、ユーザデバイスＵＤあるいはユーザデバイス内のＳＩＭカードを次のように認証することができる。企業Ｅは、公式ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）により、秘密鍵Ｋｅを用いてセッションＸに対するチャレンジＲＡＮＤＸを計算する。

【0049】

次に、企業Ｅは、計算されたチャレンジＲＡＮＤＸの１つを用いて第１ステップＴ１でユーザデバイスＵＤあるいはＳＩＭカードに問合せを行い、レスポンスＲＥＳＰを待機する。ＳＩＭカードは、公式ＲＥＳＰ＝Ｈ（Ｋ || ＲＡＮＤＸ || ＳＲＥＳＸ|| ＣＴＲ）によりレスポンスを計算する。ただし、Ｋは共有鍵であり、ＲＡＮＤＸはセッションＸに対するチャレンジであり、ＳＲＥＳＸはチャレンジＲＡＮＤＸに対するＧＳＭプロトコルによるＡ３アルゴリズムの出力であり、ＣＴＲはモバイルデバイスおよび／または企業Ｅが確立したセッションの数に対するカウンタである。アクティブな攻撃がない場合、ＣＴＲはセッションＸの識別番号に等しい。

【0050】

次に、企業Ｅは、レスポンスＲＥＳＰが、事前に設定段階Ｅ１中に企業Ｅによって収集されたＳＲＥＳＸと一致するかどうかをチェックし、一致する場合、認証は成功する。こうして、企業Ｅは、正しいＳＩＭカードおよび正しい鍵Ｋにアクセス可能なユーザデバイスＵＤと通信していることが確認される。好ましくは、企業Ｅは、ＳＩＭカードが正しいレスポンスＲＥＳＰで応答するのにかかる時間を測定する。この時間が所定のしきい値を超える場合、企業Ｅは、認証確認を拒否してもよい。モバイル事業者とモバイルデバイスＵＤとの間のすべての通信が、共有鍵Ｋを用いてセキュアチャネル上で実行可能であるのが好ましい。

【0051】

セッション鍵を確立するため、認証段階Ｅ２と同様の段階Ｅ３が実行される。セッションＸに対するセッション鍵Ｋｃを確立するため、企業Ｅは、ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）によりセッションＸに対するチャレンジＲＡＮＤＸを計算し、チャレンジＲＡＮＤＸを用いてユーザデバイスＵＤすなわちＳＩＭカードに問合せを行う。ユーザデバイスＵＤおよび企業Ｅは、セッションＣＴＲにおけるセッション鍵として、Ｋｃ＝Ｈ（Ｋ || ＳＲＥＳＸ || ＣＴＲ）によりセッション鍵Ｋｃを別個に計算する。鍵Ｋは、ユーザデバイスＵＤと企業Ｅとの間で共有された鍵である。例えば、共有鍵Ｋは、ユーザが入力したパスワードから導出されることも可能である。したがって、セッション鍵Ｋｃは、ユーザデバイスＵＤが正しいＳＩＭカードにアクセスすることによってのみ導出可能である。企業ＥとモバイルデバイスＵＤとの間のすべての通信が、ユーザデバイスＵＤと企業Ｅとの間の共有鍵Ｋを用いてセキュアチャネル上で実行可能であるのが好ましい。

【0052】

要約すれば、セッション鍵Ｋｃは、ユーザデバイスＵＤと企業Ｅとの間でただ１つのメッセージを交換することによって、すなわちユーザデバイスＵＤへチャレンジＲＡＮＤＸを送信することによって、効果的に確立することができる。セッション鍵を確立する前に、対話的な認証段階、例えば段階Ｅ２を実行可能であることが好ましい。

【0053】

以下、図２による方法のセキュリティがＧＳＭセキュリティに帰着し、起こり得るセッション乗っ取りはモバイル事業者ＭＯによって結局検出されることを示す。図２によれば、ａ）ＳＩＭカードにアクセス可能であり、ｂ）適切なユーザパスワードを取得可能であり、ｃ）正しいチャレンジＲＡＮＤでＳＩＭカードに問合せすることが可能である、というユーザデバイスＵＤのみが、認証段階を通過し、企業Ｅとの間でセッション鍵Ｋｃを確立することができる。

【0054】

・共有鍵Ｋにアクセスできない外部の攻撃者は、企業ＥとユーザデバイスＵＤとの間の通信を傍受することができない。

【0055】

・いかなる攻撃者もＫｉすなわち加入者鍵を取得できない。というのは、加入者鍵は、ＳＩＭカード内の不正操作できないストレージに保存されており、ＳＩＭカードから取り出せないからである。

【0056】

・いかなる攻撃者もチャレンジの値を予測できない。また、各チャレンジは１回だけ使用される。チャレンジは擬似ランダムであり、チャレンジ空間は少なくとも１２８ビットである。これにより、いかなる攻撃者も、企業Ｅによって選択されたチャレンジ空間を全数探索することは実現不可能である。

【0057】

・したがって、チャレンジが送信されるときに正しいＳＩＭカードにアクセスできないいかなる主体も、認証チェックに失敗することになる。

【0058】

・ＳＩＭカードへのアクセスは、物理アクセスを用いて、または、無線（ＯＴＡ）アクセスにより実現可能である。ＳＩＭカードにＯＴＡアクセスすることは、悪意者にとって、モバイル基地局になりすますために用いられる技術への投資を必要とする。ＯＴＡ攻撃は、基礎となるＧＳＭプロトコルスイートに対する攻撃に帰着する。このような種類の攻撃は通常、企業Ｅによって実行されるタイミング測定によって軽減される。実際、いかなるＯＴＡ攻撃も、認証段階に成功するためには２ＲＴＴの伝搬時間を必要とする。

【0059】

・また、攻撃者は、共有鍵Ｋを取得するためにモバイルデバイスに侵入する必要があることが指摘される。これは、この攻撃を実行するコストをさらに高価にする。

【0060】

・たとえ攻撃者がＳＩＭカードへのＯＴＡアクセスができ、ＳＩＭカードにアクセスしたとしても、企業Ｅは結局、確立する次のセッション中に直ちにその攻撃を検出する。これは、ハッシュ計算（認証およびセッション確立段階の両方における）内のローカルカウンタに基づいて実現される。攻撃者が１回の攻撃に成功した場合、モバイルデバイス上のローカルカウンタは、企業Ｅに保存されているカウンタと相違することになる。これにより、企業Ｅによるモバイルデバイスのさらなる認証を効果的に防止する。その場合、企業Ｅは、問題が存在すること、および、モバイルデバイスが危険にさらされているおそれがあることを検出して、続いてＫを変更し、ユーザアカウントを保護する等を行うことができる。

【0061】

要約すれば、本発明は、自分のデバイスを持ち込むことができる状況において、好ましくはＳＩＭカードを用いて、その加入者鍵を知ることなしに認証をブートストラップ処理するために、特にＧＳＭセキュリティの性質を特に利用する。また、本発明によれば、認証・鍵確立段階に対して起こり得る攻撃を効果的に検出するために、ＳＩＭカードの使用をセキュリティプロトコルおよびタイミング測定と組み合わせることが可能であり、セキュアで効率的なＳＩＭカード秘密取得段階に依拠する。

【0062】

本発明によれば、ＳＩＭカード内で動作する加入者鍵を知ることなしに、挿入されたＳＩＭカードに基づくモバイルデバイスの認証が可能となる。また、本発明によれば、ＳＩＭカード内に保存された秘密に基づいて非対話的なセッション鍵確立を構築することが可能となる。さらに、本発明は、ＧＳＭセキュリティプロトコル上でなりすまし攻撃および中間者攻撃の効果的な検出が可能な方法およびシステムを提供する。本発明は、モバイルデバイスの使用を妨げず、ＳＩＭカードの設計およびプロトコルに影響を及ぼさず、基本的なＧＳＭセキュリティ機能を実施するすべてのＳＩＭカードで適用可能である。

【0063】

本発明は、とりわけ、以下の利点を有する。従来の方法およびシステムとは異なり、本発明は、ＳＩＭカード内に保存された加入者鍵の知識を必要とせず、また、例えばモバイル事業者と協力することによって、企業が自らセキュア要素を用意することを必要としない。本発明による別の利点として、ＳＩＭカードやその加入者鍵に基づく従来の解決法と比較して、セキュリティのレベルは低下しない。また、本発明によれば、セキュリティプロトコルを備えた従来のＧＳＭセキュリティを利用することにより、起こり得る不正行為、なりすまし、攻撃等を、企業およびモバイルデバイスの両方により簡易かつ効果的に検出することが保証される。

【0064】

上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。

【図1】

【図2】