特許 6758476 デバイス間の共通セッション鍵を取得するシステムおよび方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6758476

(24)【登録日】2020年9月3日

(45)【発行日】2020年9月23日

(54)【発明の名称】デバイス間の共通セッション鍵を取得するシステムおよび方法

(51)【国際特許分類】

   H04L 9/08 20060101AFI20200910BHJP

   H04L 9/32 20060101ALI20200910BHJP

   G09C 1/00 20060101ALI20200910BHJP

【ＦＩ】

   H04L9/00 601C

   H04L9/00 601F

   H04L9/00 675B

   G09C1/00 640E

   H04L9/00 601D

【請求項の数】30

【全頁数】28

(21)【出願番号】特願2019-503954(P2019-503954)

(86)(22)【出願日】2017年3月28日

(65)【公表番号】特表2019-526205(P2019-526205A)

(43)【公表日】2019年9月12日

(86)【国際出願番号】SG2017050161

(87)【国際公開番号】WO2018021963

(87)【国際公開日】20180201

【審査請求日】2019年3月7日

(31)【優先権主張番号】10201606164T

(32)【優先日】2016年7月26日

(33)【優先権主張国】SG

(73)【特許権者】

【識別番号】517116441

【氏名又は名称】ファーウェイ インターナショナル プライベート リミテッド

【氏名又は名称原語表記】ＨＵＡＷＥＩ ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＰＴＥ． ＬＴＤ．

(74)【代理人】

【識別番号】100132481

【弁理士】

【氏名又は名称】赤澤 克豪

(74)【代理人】

【識別番号】100115635

【弁理士】

【氏名又は名称】窪田 郁大

(72)【発明者】

【氏名】イエンジアン ヤン

(72)【発明者】

【氏名】ジエ シー

(72)【発明者】

【氏名】グイリン ワン

【審査官】 金沢 史明

(56)【参考文献】

【文献】 米国特許出願公開第２００６／０２１５８３７（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１０／０１９９０９５（ＵＳ，Ａ１）

【文献】 欧州特許出願公開第０２１０６０９０（ＥＰ，Ａ１）

【文献】 Alfred J. MENEZES et al.，Handbook of Applied Cryptography，CRC Press，１９９６年１０月，pp. 489-541，ISBN: 0-8493-8523-7

【文献】 Joseph K. LIU et al.，Efficient Online/Offline Identity-Based Signature for Wireless Sensor Network，Cryptology ePrint Archive，International Association for Cryptologic Research，２０１０年 ５月，Report 2010/003，Ver. 20100514:034016，pp. 1-16，インターネット，［２０１９年１２月２日検索］，ＵＲＬ，https://eprint.iacr.org/2010/003

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

Ｇ０９Ｃ １／００

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成する方法であって、
セキュアサーバによって、前記第１のデバイスに対するプライベート鍵ｓｋ_iを生成し、前記プライベート鍵ｓｋ_iは、前記第１のデバイスのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、前記セキュアサーバによって、前記第２のデバイスに対するプライベート鍵ｓｋ_jを生成するステップであり、前記プライベート鍵ｓｋ_jは、前記第２のデバイスのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、前記プライベート鍵ｓｋ_iは前記第１のデバイスに伝達され、前記プライベート鍵ｓｋ_jは前記第２のデバイスに伝達される、ステップと、
前記第１のデバイスによって、暗号ノンスＮ_i、前記第１のデバイスの前記アイデンティティｉｄ_i、およびＲ_iを前記第２のデバイスと共有するステップと、
前記第２のデバイスによって、ｇが巡回群Ｇの生成元である暗黙的共有シークレットｋ_jiを前記共有Ｒ_iを使用して計算し、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_jを生成するステップと、
前記第２のデバイスによって、前記暗号ノンスＮ_j、前記第２のデバイスの前記アイデンティティｉｄ_j、Ｒ_j、および前記認証データＡｄ_jを前記第１のデバイスと共有するステップと、
前記第１のデバイスによって、前記共有Ｒ_jを使用して暗黙的共有シークレットｋ_ijを計算し、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを使用して前記認証データＡｄ_jを検証するステップであり、前記認証データＡｄ_jが検証されると、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給することにより前記共通セッション鍵ＳＫ_ijを生成する、ステップと、
前記第１のデバイスによって、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_iを生成し、前記認証データＡｄ_iを前記第２のデバイスに伝達するステップと、
前記第２のデバイスによって、前記暗黙的共有シークレットｋ_jiを使用して認証データＡｄ_iを検証するステップであり、前記認証データＡｄ_iが検証されると、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給して前記共通セッション鍵ＳＫ_ijを生成する、ステップと
を含む方法。

【請求項2】

前記認証データＡｄ_jの前記生成はさらに、前記認証データ導出関数に前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを供給するステップを含む、請求項１に記載の方法。

【請求項3】

前記認証データＡｄ_iの前記生成はさらに、前記認証データ導出関数に前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを供給するステップを含む、請求項１または２に記載の方法。

【請求項4】

前記認証データＡｄ_jを検証するステップは、
前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを前記認証データ導出関数に供給して結果を取得し、前記結果が認証データＡｄ_jと一致するか否かを判定するステップであり、一致が見つかった場合、前記認証データＡｄ_jを検証する、ステップを含む、請求項１から３のいずれか一項に記載の方法。

【請求項5】

前記認証データＡｄ_iを検証するステップは、
前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを前記認証データ導出関数に供給して結果を取得し、前記結果が認証データＡｄ_iと一致するか否かを判定するステップであり、一致が見つかった場合、前記認証データＡｄ_iを検証する、ステップを含む、請求項１から４のいずれか一項に記載の方法。

【請求項6】

前記暗号ノンスＮ_iは、ａが乱数であるｇ^aを含む、請求項１に記載の方法。

【請求項7】

前記暗号ノンスＮ_jは、ｂが乱数であるｇ^bを含む、請求項１または６に記載の方法。

【請求項8】

前記認証データ導出関数は、メッセージ認証コード（ＭＡＣ）関数を含む、請求項１から７のいずれか一項に記載の方法。

【請求項9】

前記鍵導出関数は、衝突耐性ハッシュ関数を含む、請求項１から８のいずれか一項に記載の方法。

【請求項10】

前記プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｒ_i＋ｘＨ（Ｒ_i、ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＳｃｈｎｏｒｒ署名であり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｒ_j＋ｘＨ（Ｒ_j、ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＳｃｈｎｏｒｒ署名であり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１から９のいずれか一項に記載の方法。

【請求項11】

前記プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｈ（ｉｄ_i）−ｒ_i・Ｒ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第１のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｈ（ｉｄ_j）−ｒ_j・Ｒ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第１のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｙ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｙ^sj・siであり、ｙ＝ｇ^xはマスター公開鍵であり、ｇは巡回群Ｇの生成元である、請求項１から９のいずれか一項に記載の方法。

【請求項12】

前記プライベート鍵ｓｋ_iが、Ｒ_i＝ｇ^riおよびｓ_i＝ｘＲ_i＋ｒ_i・Ｈ（ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第２のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘＲ_j＋ｒ_j・Ｈ（ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第２のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１から９のいずれか一項に記載の方法。

【請求項13】

前記プライベート鍵ｓｋ_iが、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ・Ｈ（ｉｄ_i）＋ｒ_i・Ｒ_i（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第３のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ・Ｈ（ｉｄ_j）＋ｒ_j・Ｒ_j（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第３のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１から９のいずれか一項に記載の方法。

【請求項14】

前記プライベート鍵ｓｋ_iが、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｒ_i−ｒ_i・Ｈ（ｉｄ_i））（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第４のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｒ_j−ｒ_j・Ｈ（ｉｄ_j））（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第４のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｙ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｙ^sj・siであり、ｙ＝ｇ^xはマスター公開鍵であり、ｇは巡回群Ｇの生成元である、請求項１から９のいずれか一項に記載の方法。

【請求項15】

第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成する方法であって、
セキュアサーバによって、前記第１のデバイスに対するプライベート鍵ｓｋ_iを生成し、前記プライベート鍵ｓｋ_iは、前記第１のデバイスのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、前記セキュアサーバによって、前記第２のデバイスに対するプライベート鍵ｓｋ_jを生成するステップであり、前記プライベート鍵ｓｋ_jは、前記第２のデバイスのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、前記プライベート鍵ｓｋ_iは前記第１のデバイスに伝達され、前記プライベート鍵ｓｋ_jは前記第２のデバイスに伝達される、ステップと、
前記第１のデバイスによって、暗号ノンスＮ_i、前記第１のデバイスの前記アイデンティティｉｄ_i、およびＲ_iを前記第２のデバイスと共有するステップと、
前記第２のデバイスによって、ｇが巡回群Ｇの生成元である、暗黙的共有シークレットｋ_ji＝ｇ^si・sjを前記共有Ｒ_iを使用して計算し、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給することにより共通セッション鍵ＳＫ_jiを計算し、前記共通セッション鍵ＳＫ_ji、前記暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給することにより認証データＡｄ_jを生成するステップと、
前記第２のデバイスによって、前記暗号ノンスＮ_j、前記第２のデバイスの前記アイデンティティｉｄ_j、Ｒ_j、および前記認証データＡｄ_jを前記第１のデバイスと共有するステップと、
前記第１のデバイスによって、前記共有Ｒ_jを使用して暗黙的共有シークレットｋ_ij＝ｇ^sj・siを計算し、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを前記鍵導出関数に供給することにより共通セッション鍵ＳＫ_ijを計算し、前記共通セッション鍵ＳＫ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを使用して前記認証データＡｄ_jを検証するステップであり、前記認証データＡｄ_jが検証されると、第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための前記共通セッション鍵として前記共通セッション鍵ＳＫ_ijまたはＳＫ_jiを使用する、ステップと
を含む方法。

【請求項16】

第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成するシステムであって、
前記第１のデバイスに対するプライベート鍵ｓｋ_iを共有し、前記プライベート鍵ｓｋ_iは、前記第１のデバイスのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、セキュアサーバによって、前記第２のデバイスに対するプライベート鍵ｓｋ_jを生成するように構成されるセキュアサーバであり、前記プライベート鍵ｓｋ_jは、前記第２のデバイスのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、前記プライベート鍵ｓｋ_iは前記第１のデバイスに伝達され、前記プライベート鍵ｓｋ_jは前記第２のデバイスに伝達される、セキュアサーバと、
暗号ノンスＮ_i、前記第１のデバイスの前記アイデンティティｉｄ_i、およびＲ_iを前記第２のデバイスと共有するように構成された前記第１のデバイスと、
暗黙的共有シークレットｋ_jiを前記共有Ｒ_iを使用して計算し、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_jを生成するように構成された前記第２のデバイスとを備え、
前記第２のデバイスは、前記暗号ノンスＮ_j、前記第２のデバイスの前記アイデンティティｉｄ_j、Ｒ_j、および前記認証データＡｄ_jを前記第１のデバイスと共有するように構成され、
前記第１のデバイスは、前記共有Ｒ_jを使用して暗黙的共有シークレットｋ_ij＝ｇ^sj・siを計算し、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを使用して前記認証データＡｄ_jを検証するように構成され、前記認証データＡｄ_jが検証されると、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給することにより前記共通セッション鍵ＳＫ_ijを生成し、
前記第１のデバイスは、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_iを生成し、前記認証データＡｄ_iを前記第２のデバイスに伝達するように構成され、前記第２のデバイスは、前記暗黙的共有シークレットｋ_jiを使用して認証データＡｄ_iを検証するように構成され、前記認証データＡｄ_iが検証されると、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給して前記共通セッション鍵ＳＫ_ijを生成する、システム。

【請求項17】

前記認証データＡｄ_jの前記生成はさらに、前記認証データ導出関数に前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを供給することを含む、請求項１６に記載のシステム。

【請求項18】

前記認証データＡｄ_iの前記生成はさらに、前記認証データ導出関数に前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを供給することを含む、請求項１６または１７に記載のシステム。

【請求項19】

前記認証データＡｄ_jを検証することは、
前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを前記認証データ導出関数に供給して結果を取得し、前記結果が認証データＡｄ_jと一致するか否かを判定し、一致が見つかった場合、前記認証データＡｄ_jを検証する、ことを含む、請求項１６から１８のいずれか一項に記載のシステム。

【請求項20】

前記認証データＡｄ_iを検証することは、
前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを前記認証データ導出関数に供給して結果を取得し、前記結果が認証データＡｄ_iと一致するか否かを判定し、一致が見つかった場合、前記認証データＡｄ_iを検証することを含む、請求項１６から１９のいずれか一項に記載のシステム。

【請求項21】

前記暗号ノンスＮ_iは、ａが乱数であるｇ^aを含む、請求項１６に記載のシステム。

【請求項22】

前記暗号ノンスＮ_jは、ｂが乱数であるｇ^bを含む、請求項１６または２１に記載のシステム。

【請求項23】

前記認証データ導出関数は、メッセージ認証コード（ＭＡＣ）関数を含む、請求項１６から２２のいずれか一項に記載のシステム。

【請求項24】

前記鍵導出関数は、衝突耐性ハッシュ関数を含む、請求項１６から２３のいずれか一項に記載のシステム。

【請求項25】

前記プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｒ_i＋ｘＨ（Ｒ_i、ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＳｃｈｎｏｒｒ署名であり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｒ_j＋ｘＨ（Ｒ_j、ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＳｃｈｎｏｒｒ署名であり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１６から２４のいずれか一項に記載のシステム。

【請求項26】

前記プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｈ（ｉｄ_i）−ｒ_i・Ｒ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第１のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｈ（ｉｄ_j）−ｒ_j・Ｒ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第１のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｙ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｙ^sj・siであり、ｙ＝ｇ^xはマスター公開鍵であり、ｇは巡回群Ｇの生成元である、請求項１６から２４のいずれか一項に記載のシステム。

【請求項27】

前記プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘＲ_i＋ｒ_i・Ｈ（ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第２のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘＲ_j＋ｒ_j・Ｈ（ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第２のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１６から２４のいずれか一項に記載のシステム。

【請求項28】

前記プライベート鍵ｓｋ_iが、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ・Ｈ（ｉｄ_i）＋ｒ_i・Ｒ_i（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第３のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ・Ｈ（ｉｄ_j）＋ｒ_j・Ｒ_j（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第３のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１６から２４のいずれか一項に記載のシステム。

【請求項29】

前記プライベート鍵ｓｋ_iが、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｒ_i−ｒ_i・Ｈ（ｉｄ_i））（ｍｏｄｕｌｏ ｑ）である、前記第１のデバイスの前記アイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第４のバリアントであり、前記プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｒ_j−ｒ_j・Ｈ（ｉｄ_j））（ｍｏｄｕｌｏ ｑ）である、前記第２のデバイスの前記アイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第４のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、
前記暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、前記暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である、請求項１６から２４のいずれか一項に記載のシステム。

【請求項30】

第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成するシステムであって、
前記第１のデバイスに対するプライベート鍵ｓｋ_iを生成し、前記プライベート鍵ｓｋ_iは、前記第１のデバイスのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、セキュアサーバによって、前記第２のデバイスに対するプライベート鍵ｓｋ_jを生成するように構成されるセキュアサーバを備え、前記プライベート鍵ｓｋ_jは、前記第２のデバイスのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、前記プライベート鍵ｓｋ_iは前記第１のデバイスに伝達され、前記プライベート鍵ｓｋ_jは前記第２のデバイスに伝達され、
前記第１のデバイスは、暗号ノンスＮ_i、前記第１のデバイスの前記アイデンティティｉｄ_i、およびＲ_iを前記第２のデバイスと共有するように構成され、
前記第２のデバイスは、ｇが巡回群Ｇの生成元である、暗黙的共有シークレットｋ_ji＝ｇ^si・sjを前記共有Ｒ_iを使用して計算し、前記暗黙的共有シークレットｋ_ji、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_i、および前記第２のデバイスの前記アイデンティティｉｄ_jを鍵導出関数に供給することにより共通セッション鍵ＳＫ_jiを計算し、前記共通セッション鍵ＳＫ_ji、前記暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_jを生成するように構成され、
前記第２のデバイスは、前記暗号ノンスＮ_j、前記第２のデバイスの前記アイデンティティｉｄ_j、Ｒ_j、および前記認証データＡｄ_jを前記第１のデバイスと共有するように構成され、
前記第１のデバイスは、前記共有Ｒ_jを使用して暗黙的共有シークレットｋ_ij＝ｇ^sj・siを計算し、前記暗黙的共有シークレットｋ_ij、前記暗号ノンスＮ_i、前記暗号ノンスＮ_j、前記第１のデバイスの前記アイデンティティｉｄ_iおよび前記第２のデバイスの前記アイデンティティｉｄ_jを前記鍵導出関数に供給することにより共通セッション鍵ＳＫ_ijを計算し、前記共通セッション鍵ＳＫ_ij、前記暗号ノンスＮ_i、および前記暗号ノンスＮ_jを使用して前記認証データＡｄ_jを検証するように構成され、前記認証データＡｄ_jが検証されると、第１のデバイスと第２のデバイスとの間のデジタル通信を符号化するための前記共通セッション鍵として前記共通セッション鍵ＳＫ_ijまたはＳＫ_jiを使用する、システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、デバイス間のデジタル通信を符号化するための共通セッション鍵を生成するシステムおよび方法に関する。特に、システムは、２つのデバイスが、これらの認証されたデバイスが共通セッション鍵の生成を開始する前に各デバイスの真偽を検証することを可能にし、この共通セッション鍵は次にこれら２つのデバイス間のデジタル通信を符号化するために利用される。

【背景技術】

【0002】

複数のテクノロジの収束により、ますます多くのデバイスがインターネットとシームレスに無線通信したり、それらの間で無線により通信を交換したりできるようになっている。この収束により、近年ではモノのインターネット（ＩｏＴ）のビジョンがさらに勢いを増している。モノのインターネットでは、何百万ものエンティティまたはデバイス（すなわちモノ）が相互に接続される。スマートチップ、スマートプラグ、スマートウォッチ、スマートフォン、スマートビークル、スマートビルなどのデバイスまたはエンティティを含むこれらのデバイスは、相互に直接通信するか、またはインターネットを介して通信する。

【0003】

モノのインターネットがより多くの分野に普及するにつれて、これらのデバイスは、ハッカーや不正ユーザからのサイバー攻撃を受けやすくなる。というのもセキュリティ侵害されたデバイスは悪意あるユーザにそのデバイスが属するネットワークへのアクセスを許可するからである。したがって、２つのエンティティ間でデータが交換される前に、１つのエンティティが通信相手となるピアエンティティの真偽を検証できるようにセキュリティプロトコルを設定することが最も重要である。上記に加えて、一旦エンティティの真偽が検証されたら、これら２つのエンティティだけに知られているシークレット鍵を確立して、これらのエンティティ間のデータメッセージの署名を容易にする必要がある。これは、データが傍受またはリダイレクトされた場合でも、これら２つのエンティティ間で通信されるデータが危険にさらされないようにするためである。

【0004】

エンティティ間のデータ通信に署名するためのシークレット鍵を確立する一般的な方法は、当事者間で共通の対称シークレット鍵を事前共有することを含む。そのような方法の場合、エンティティ間で送信されることになっているデータメッセージは、この事前共有または事前合意されたシークレット鍵を使用して署名されることになる。受信側エンティティがこの事前共有シークレット鍵を使用して受信メッセージを復号できる場合、これは送信者の真偽が検証されており、受信者はそれに応じて次に進んで、復号化メッセージを処理し得ることを意味する。残念ながら、この方法は、エンティティまたはデバイスが相互通信する前に共通のシークレットがすべての信頼できるエンティティまたはデバイスに事前共有または通信される必要があるため、スケーラブルではなく非常に融通性がない。ＩｏＴの設定では、デバイスの高モビリティが標準であり、データを相互交換するために必要なデバイスは、事前にシークレット鍵を確立する機会がなかった可能性もある。

【0005】

提案されている別の手法は、公開鍵インフラストラクチャ（ＰＫＩ）ベースの解決策を利用し、それによって各許可されたエンティティに割り当てられた鍵ペアが公開鍵証明書によってその所有者に結び付けられる。次いで、鍵ペアは、公開鍵暗号化またはデジタル署名方法論などの公開鍵暗号システムを利用して、データメッセージに署名するか、または送信者の公開鍵証明書を検証することによって送信者の真偽を検証する。そのような公開鍵インフラストラクチャの設定と保守は、高価であるのは知られているが、それぞれの公開鍵証明書を検証するためにエンティティがＰＫＩサーバとの連絡を絶えず維持することを必要とする。

【0006】

提案されているさらに別の手法は、エンティティを認証し、データメッセージに署名するためにアイデンティティベースの暗号化方法論を利用する。このようなアイデンティティベースの暗号システムは、双線形ペアリングに基づいており、ユーザ名、電子メールアドレス、電話番号、ＩＰアドレスなどのエンティティのアイデンティティを公開鍵として利用する特別な公開鍵暗号システムであり、次に、対応するプライベート鍵がエンティティのプライベート鍵の生成に利用されるマスターシークレット鍵を含む鍵生成センターによりエンティティのアイデンティティから導出される。この手法の欠点は、双線形ペアリングが高価で時間がかかる計算プロセスだということである。

【0007】

上記の理由から、当業者は、エンティティの真偽を検証し、検証されたエンティティ間でデータメッセージを符号化するために使用される共通のセッション鍵を生成するためのシステムおよび方法を思いつくために絶えず努力している。

【発明の概要】

【0008】

本発明による実施形態によって提供されるシステムおよび方法により上記および他の問題は解決され、当技術分野における進歩が達成される。

【0009】

本発明によるシステムおよび方法の実施形態の第１の利点は、モノのインターネット設定においてデバイスまたはエンティティのペアが互いの真偽を検証し、共通のセッション鍵を独立して生成できることであり、これにより鍵生成サーバとの通信を常に維持する必要がないことである。

【0010】

本発明によるシステムおよび方法の実施形態の第２の利点は、エンティティの認証および共通セッション鍵の生成方法が、好ましくは楕円曲線にわたって実施され（直接的には有限体にわたって実施されることも可能である）、それ故、高い計算および通信性能をもたらすことである。

【0011】

本発明によるシステムおよび方法の実施形態の第３の利点は、エンティティ間のシークレットの暗黙的な共有がエンティティの認証プロセスおよびその後の認証されたエンティティに対する共通セッション鍵の生成を非常に単純化することである。

【0012】

上記の利点は、以下の手法で動作する本発明による方法の実施形態によって提供される。簡潔にするために、本発明の実施形態の以下の説明では、乗法記法が算術演算に利用されるが、当業者にとって、算術演算が楕円曲線上で実行されるときには加算表記法を用いて記述されるべきであることを理解することは容易なはずである。

【0013】

本発明の第１の態様によれば、第１のエンティティと第２のエンティティとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成する方法は、セキュアサーバによって、第１のエンティティに対するプライベート鍵ｓｋ_iを生成し、プライベート鍵ｓｋ_iは、第１のエンティティのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、セキュアサーバによって、第２のエンティティに対するプライベート鍵ｓｋ_jを生成するステップであり、プライベート鍵ｓｋ_jは、第２のエンティティのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、プライベート鍵ｓｋ_iは第１のエンティティに伝達され、プライベート鍵ｓｋ_jは第２のエンティティに伝達される、ステップと、第１のエンティティによって、暗号ノンスＮ_i、第１のエンティティのアイデンティティｉｄ_i、およびＲ_iを第２のエンティティと共有するステップと、第２のエンティティによって、暗黙的共有シークレットｋ_jiを共有Ｒ_iを使用して計算し、暗黙的共有シークレットｋ_ji、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_jを生成するステップと、第２のエンティティによって、暗号ノンスＮ_j、第２のエンティティのアイデンティティｉｄ_j、Ｒ_j、および認証データＡｄ_jを第１のエンティティと共有するステップと、第１のエンティティによって、共有Ｒ_jを使用して暗黙的共有シークレットｋ_ijを計算し、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、および暗号ノンスＮ_jを使用して認証データＡｄ_jを検証するステップであり、認証データＡｄ_jが検証されると、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、暗号ノンスＮ_j、第１のエンティティのアイデンティティｉｄ_i、および第２のエンティティのアイデンティティｉｄ_jを鍵導出関数に供給することにより共通セッション鍵ＳＫ_ijを生成する、ステップとを含む。

【0014】

第１の態様に関して、第１の態様の第１の可能な実装方法において、本方法はさらに、第１のエンティティによって、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_iを生成し、認証データＡｄ_iを第２のエンティティに伝達するステップと、第２のエンティティによって、暗黙的共有シークレットｋ_jiを使用して認証データＡｄ_iを検証するステップであり、認証データＡｄ_iが検証されると、暗黙的共有シークレットｋ_ji、暗号ノンスＮ_i、暗号ノンスＮ_j、第１のエンティティのアイデンティティｉｄ_i、および第２のエンティティのアイデンティティｉｄ_jを鍵導出関数に供給して共通セッション鍵ＳＫ_ijを生成する、ステップとを含む。

【0015】

第１の態様または第１の態様の第１の可能な実装方法に関して、第１の態様の第２の可能な実装方法において、認証データＡｄ_jの生成はさらに、認証データ導出関数に第１のエンティティのアイデンティティｉｄ_iおよび第２のエンティティのアイデンティティｉｄ_jを供給するステップを含む。

【0016】

第１の態様の第１または第２の可能な実装方法に関して、第１の態様の第３の可能な実装方法において、認証データＡｄ_iの生成はさらに、認証データ導出関数に第１のエンティティのアイデンティティｉｄ_iおよび第２のエンティティのアイデンティティｉｄ_jを供給するステップを含む。

【0017】

第１の態様、第１の態様の第１、第２または第３の可能な実装方法に関して、第１の態様の第４の可能な実装方法において、認証データＡｄ_jを検証するステップは、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して結果を取得し、結果が認証データＡｄ_jと一致するか否かを判定するステップであり、一致が見つかった場合、認証データＡｄ_jを検証する、ステップを含む。

【0018】

第１の態様の第１、第２、第３または第４の可能な実装方法に関して、第１の態様の第５の可能な実装方法において、認証データＡｄ_iを検証するステップは、暗黙的共有シークレットｋ_ji、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して結果を取得し、結果が認証データＡｄ_iと一致するか否かを判定するステップであり、一致が見つかった場合、認証データＡｄ_iを検証する、ステップを含む。

【0019】

第１の態様に関して、第１の態様の第６の可能な実装方法において、暗号ノンスＮ_iは、ａが乱数であるｇ^aを含む。

【0020】

第１の態様または第１の態様の第６の可能な実装方法に関して、第１の態様の第７の可能な実装方法において、暗号ノンスＮ_jは、ｂが乱数であるｇ^bを含む。

【0021】

第１の態様または第１の態様の第１から第７の可能な実装方法に関して、第１の態様の第８の可能な実装方法において、認証データ導出関数は、メッセージ認証コード（ＭＡＣ）関数を含む。

【0022】

第１の態様または第１の態様の第１から第８の可能な実装方法に関して、第１の態様の第９の可能な実装方法において、鍵導出関数は、衝突耐性ハッシュ関数を含む。

【0023】

第１の態様または第１の態様の第１から第９の可能な実装方法に関して、第１の態様の第１０の可能な実装方法において、プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｒ_i＋ｘＨ（Ｒ_i、ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ_iのＳｃｈｎｏｒｒ署名であり、プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｒ_j＋ｘＨ（Ｒ_j、ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ_jのＳｃｈｎｏｒｒ署名であり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である。

【0024】

第１の態様または第１の態様の第１から第９の可能な実装方法に関して、第１の態様の第１１の可能な実装方法において、プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｈ（ｉｄ_i）−ｒ_i・Ｒ_i）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第１のバリアントであり、プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｈ（ｉｄ_j）−ｒ_j・Ｒ_j）（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第１のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。この場合、ｋ_ji＝ｙ^si・sjであり、ｋ_ij＝ｙ^sj・siであり、ｙ＝ｇ^xはマスター公開鍵である。

【0025】

第１の態様または第１の態様の第１から第９の可能な実装方法に関して、第１の態様の第１２の可能な実装方法において、プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘＲ_i＋ｒ_i・Ｈ（ｉｄ_i）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第２のバリアントであり、プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘＲ_j＋ｒ_j・Ｈ（ｉｄ_j）（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第２のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である。

【0026】

第１の態様または第１の態様の第１から第９の可能な実装方法に関して、第１の態様の第１３の可能な実装方法において、プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ・Ｈ（ｉｄ_i）＋ｒ_i・Ｒ_i（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第３のバリアントであり、プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ・Ｈ（ｉｄ_j）＋ｒ_j・Ｒ_j（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第３のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数であり、暗黙的共有シークレットｋ_ji＝ｇ^si・sjであり、暗黙的共有シークレットｋ_ij＝ｇ^sj・siであり、ｇは巡回群Ｇの生成元である。

【0027】

第１の態様または第１の態様の第１から第９の可能な実装方法に関して、第１の態様の第１４の可能な実装方法において、プライベート鍵ｓｋ_iは、Ｒ_i＝ｇ^riおよびｓ_i＝ｘ^-1・（Ｒ_i−ｒ_i・Ｈ（ｉｄ_i））（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ_iのＥｌＧａｍａｌ署名の第４のバリアントであり、プライベート鍵ｓｋ_jは、Ｒ_j＝ｇ^rjおよびｓ_j＝ｘ^-1・（Ｒ_j−ｒ_j・Ｈ（ｉｄ_j））（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ_jのＥｌＧａｍａｌ署名の第４のバリアントであり、ｒ_iおよびｒ_jは乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。この場合、ｋ_ji＝ｙ^si・sjおよびｋ_ij＝ｙ^sj・siであり、ｙ＝ｇ^xはマスター公開鍵である。

【0028】

本発明の第２の態様によれば、第１のエンティティと第２のエンティティとの間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成する方法は、セキュアサーバによって、第１のエンティティに対するプライベート鍵ｓｋ_iを生成し、プライベート鍵ｓｋ_iは、第１のエンティティのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、セキュアサーバによって、第２のエンティティに対するプライベート鍵ｓｋ_jを生成するステップであり、プライベート鍵ｓｋ_jは、第２のエンティティのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、プライベート鍵ｓｋ_iは第１のエンティティに伝達され、プライベート鍵ｓｋ_jは第２のエンティティに伝達される、ステップと、第１のエンティティによって、暗号ノンスＮ_i、第１のエンティティのアイデンティティｉｄ_i、およびＲ_iを第２のエンティティと共有するステップと、第２のエンティティによって、ｇが巡回群Ｇの生成元である、暗黙的共有シークレットｋ_ji＝ｇ^si・sjを共有Ｒ_iを使用して計算し、暗黙的共有シークレットｋ_ji、暗号ノンスＮ_i、暗号ノンスＮ_j、第１のエンティティのアイデンティティｉｄ_i、および第２のエンティティのアイデンティティｉｄ_jを鍵導出関数に供給し、共通セッション鍵ＳＫ_ji、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給することにより共通セッション鍵ＳＫ_jiを計算して認証データＡｄ_jを生成するステップと、第２のエンティティによって、暗号ノンスＮ_j、第２のエンティティのアイデンティティｉｄ_j、Ｒ_j、および認証データＡｄ_jを第１のエンティティと共有するステップと、第１のエンティティによって、共有Ｒ_jを使用して暗黙的共有シークレットｋ_ij＝ｇ^sj・siを計算し、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、暗号ノンスＮ_j、第１のエンティティのアイデンティティｉｄ_iおよび第２のエンティティのアイデンティティｉｄ_jを鍵導出関数に供給して共通セッション鍵ＳＫ_ijを計算し、共通セッション鍵ＳＫ_ij、暗号ノンスＮ_i、および暗号ノンスＮ_jを使用して認証データＡｄ_jを検証するステップであり、認証データＡｄ_jが検証されると、第１のエンティティと第２のエンティティとの間のデジタル通信を符号化するための共通セッション鍵として共通セッション鍵ＳＫ_ijまたはＳＫ_jiを使用する、ステップとを含む。

【図面の簡単な説明】

【0029】

本発明による上記利点および特徴は、以下の詳細な記載において説明され、以下の図面で図示される。

【図1】図１は、本発明の実施形態による、エンティティペアの認証および認証されたエンティティペアに対する共通セッション鍵生成システムを表すブロック図を示す。

【図2】図２は、本発明の実施形態による、実施形態を実装するための電子装置またはサーバ内の構成要素を表すブロック図を示す。

【図3】図３は、本発明の実施形態による、エンティティペアの認証および認証されたエンティティペアに対する共通セッション鍵の生成のためのタイミング図を示す。

【図4】図４は、本発明の実施形態による、エンティティペアの真偽を検証し、エンティティペアの共通セッション鍵を計算するためのプロセスの流れ図を示す。

【図5】図５は、本発明の実施形態による、第２のエンティティの真偽を検証し、第１のエンティティで共通セッション鍵を生成するためのプロセスの流れ図を示す。

【図6】図６は、本発明の実施形態による、第１のエンティティの真偽を検証し、第２のエンティティで共通セッション鍵を生成するためのプロセスの流れ図を示す。

【発明を実施するための形態】

【0030】

本発明は、デバイス間のデジタル通信を符号化するための共通セッション鍵を生成するシステムおよび方法に関する。特に、共通セッション鍵が計算される前に、エンティティペアは最初に各エンティティまたはデバイスの真偽を検証する。一旦これらのエンティティが認証されると、エンティティペアは次に進んで、これらのエンティティ間のデジタル通信をエンコードするために使用される共通のセッション鍵を生成する。

【0031】

図１は、本発明の実施形態による、エンティティペアの認証および共通セッション鍵生成システムのブロック図を示す。図１に示すシステムは、セキュアサーバ１２０に無線接続されているエンティティ１０５、１１０を含む。エンティティ１０５、１１０はそれぞれ、スマートフォン、タブレットコンピュータ、モバイルコンピュータ、ネットブック、スマートウォッチなどのウェアラブル電子装置、スマートプラグ、またはスマートデバイスまたはモノのインターネット（ＩｏＴ）対応デバイスに見られるトランシーバなどの無線通信機能を実行することができる任意のデバイスを含むことができるが、それらに限定されない。

【0032】

セキュアサーバ１２０に関しては、このサーバは、インターネット１１５を介してまたは直接のいずれかで、エンティティ１０５および１１０と無線通信することができるセキュアクラウドサーバまたは遠隔地にあるセキュアサーバを備え得る。サーバ１２０がインターネット１１５を介してエンティティ１０５および１１０と通信するように構成された場合、サーバ１２０は、限定されないが、例えばセルラネットワーク、衛星ネットワーク、電気通信ネットワーク、または広域ネットワーク（ＷＡＮ）などの有線ネットワークまたはワイヤレスネットワーク１２５を介して通信することができる。あるいは、サーバ１２０がエンティティ１０５および１１０と直接通信するように構成されている場合、これは、限定ではないが、ワイヤレスフィディリティ（Ｗｉ−Ｆｉ）、Ｂｌｕｅｔｏｏｔｈ、または近距離無線通信（ＮＦＣ）などのワイヤレスネットワーク１３０を介して達成され得る。エンティティ１０５および１１０は、ワイヤレスネットワーク１２５（インターネットを介して）またはワイヤレスネットワーク１３０（直接通信）のいずれかを利用してデータメッセージを相互に交換し得ることに留意されたい。

【0033】

図２は、本発明の実施形態による、実施形態を実施するためのエンティティ１０５、１１０およびサーバ１２０内に提供される電子装置２００の構成要素を表すブロック図を示す。当業者であれば理解するであろうが、エンティティまたはサーバ内に提供される各電子装置の正確な構成は異なってもよく、また電子装置２００の正確な構成は異なってもよく、また図２は一例としてのみ提供される。

【0034】

本発明の実施形態において、デバイス２００は、コントローラ２０１とユーザインタフェース２０２とを備える。ユーザインタフェース２０２は、ユーザと電子装置２００との間の手動のインタラクションを可能にするように構成され、この目的のために、ユーザが命令を入力して電子装置２００を制御するのに必要な入力／出力コンポーネントを含む。当業者であれば理解するであろうが、ユーザインタフェース２０２の構成要素は実施形態ごとに異なり得るが、通常、ディスプレイ２４０、キーボード２３５、およびトラックパッド２３６のうちの１つまたは複数を含む。

【0035】

コントローラ２０１は、バス２１５を介してユーザインタフェース２０２とデータ通信し、メモリ２２０、この実施形態の方法を実行するための命令およびデータを処理する回路基板に搭載された中央処理装置（ＣＰＵ）２０５、オペレーティングシステム２０６、ユーザインタフェース２０２と通信するための入出力（Ｉ／Ｏ）インタフェース２３０およびこの実施形態ではネットワークカード２５０の形態である通信インタフェースを含む。ネットワークカード２５０は、例えば電子装置２００からのデータを有線またはワイヤレスネットワークを介して他の処理装置へ送信するためにあるいはデータを有線またはワイヤレスネットワークを介して受信するために利用され得る。ネットワークカード２５０によって利用され得るワイヤレスネットワークは、ワイヤレスフィディリティ（Ｗｉ−Ｆｉ）、Ｂｌｕｅｔｏｏｔｈ、近距離無線通信（ＮＦＣ）、セルラネットワーク、衛星ネットワーク、電気通信ネットワーク、広域ネットワーク（ＷＡＮ）などを含むが、これらに限定されない。

【0036】

メモリ２２０およびオペレーティングシステム２０６は、バス２１０を介してＣＰＵ２０５とデータ通信している。メモリコンポーネントは、揮発性および不揮発性メモリの両方、ならびにランダムアクセスメモリ（ＲＡＭ）２２０、読み出し専用メモリ（ＲＯＭ）２２５および１つまたは複数のソリッドステートドライブ（ＳＳＤ）を備える大容量記憶装置２４５を含む各タイプのメモリのうちの２つ以上を含む。メモリ２２０はまた、シークレット鍵、またはプライベート鍵を安全に記憶するためのセキュアストレージ２４６も含む。セキュアストレージ２４６内のコンテンツは、装置２００のスーパーユーザまたは管理者によってのみアクセス可能であり、装置２００のいかなるユーザによってもアクセスされ得ないことに留意されたい。当業者であれば理解するであろうが、上記のメモリコンポーネントは、非一時的コンピュータ可読媒体を含み、一時的な伝搬信号を除くすべてのコンピュータ可読媒体を含むものとする。通常、命令はプログラムコードとしてメモリコンポーネントに格納されるが、配線接続されることも可能である。メモリ２２０は、揮発性または不揮発性メモリのいずれかに格納され得るソフトウェアアプリケーションなどのカーネルおよび／またはプログラミングモジュールを含み得る。

【0037】

本明細書では、「ＣＰＵ」という用語は、そのような命令を処理することができる任意のデバイスまたはコンポーネントを総称的に指すために使用され、マイクロプロセッサ、マイクロコントローラ、プログラマブルロジックデバイスまたは他の計算デバイスを含み得る。すなわち、ＣＰＵ２０５は、入力を受信し、メモリに格納された命令に従ってそれらを処理し、（例えば、メモリコンポーネントまたはディスプレイ２４０に対する）出力を生成するための任意の適切な論理回路によって提供され得る。この実施形態では、ＣＰＵ２０５は、メモリアドレス可能空間を有するシングルコアまたはマルチコアプロセッサであってもよい。一例では、ＣＰＵ２０５は、例えば８コアＣＰＵを含むマルチコアであってもよい。

【0038】

図１に戻って参照すると、本発明の実施形態によるエンティティペア認証および共通セッション鍵生成システムにエンティティ１０５および１１０を追加する前に、サーバ１２０はまず離散対数型署名方式に基づいて設定手順を開始してマスターシークレット鍵「ｘ」およびマスター公開鍵「ｙ」を生成する。設定手順において、サーバ１２０はまず、素数位数ｑ、およびＧの生成元ｇを有する適切な巡回群Ｇを決定する。

【0039】

次に、サーバ１２０は、暗号衝突耐性ハッシュ関数

【0040】

【数1】

【0041】

を選択し、

【0042】

【数2】

【0043】

は当業者には既知である適切な整数である。サーバ１２０はまた、システム内で使用するために採用されるべき認証データ導出関数および鍵導出関数を選択する。本発明の実施形態では、認証データ導出関数は、メッセージ認証コード（ＭＡＣ）、メッセージ完全性コード、または鍵付きハッシュ関数などのメッセージの真偽を検証するための任意のアルゴリズムまたは方式を含んでもよく、一方鍵導出関数は、衝突耐性ハッシュ関数などのシークレット値からシークレット鍵を導出するための任意の方式を含んでもよい。それが行われると、サーバ１２０は次に許可された整数のセット（ｘ∈Ｚ_q）からマスターシークレット鍵「ｘ」を選択し、マスター公開鍵「ｙ」はｙ＝ｇ^xとして設定される。上述の設定手順は、限定されるわけではないが、Ｓｃｈｎｏｒｒ署名方式またはＥｌＧａｍａｌ署名方式などの離散対数型の署名方式を設定するための初期手順と同様であることに留意されたい。

【0044】

エンティティ１０５または１１０がシステムに参加すると、これらのエンティティのそれぞれに固有のプライベート鍵がセキュアサーバ１２０によって生成される。これらの固有のプライベート鍵は一旦生成されると次に、これらのエンティティのそれぞれに伝達され、それにより対応するプライベート鍵がエンティティ１０５および１１０のそれぞれ内のセキュアメモリ内に格納される。

【0045】

特に、エンティティ１０５が自身をサーバ１２０に登録するとき、エンティティ１０５はそのアイデンティティをサーバ１２０に伝達する。エンティティ１０５のアイデンティティは、そのユーザ名、電子メールアドレス、電話番号、ＩＰアドレス、ＭＡＣアドレス、またはエンティティ１０５を一意的に特定するために利用され得る任意の英数字の組み合わせを含み得る。サーバ１２０は次に、乱数ｒ₁₀₅を選択し、以前に生成されたマスターシークレット鍵「ｘ」とエンティティ１０５のアイデンティティｉｄ₁₀₅とを利用して、エンティティ１０５のアイデンティティの離散対数型デジタル署名を取得する。エンティティ１０５に対するシークレットプライベート鍵ｓｋ₁₀₅は次に、エンティティ１０５に対するアイデンティティ（Ｒ₁₀₅、ｓ₁₀₅）の取得された離散対数型デジタル署名として設定される、すなわちｓｋ₁₀₅＝（Ｒ₁₀₅、ｓ₁₀₅）である。同様に、エンティティ１１０が自身をサーバ１２０に登録するとき、エンティティ１１０もまたそのアイデンティティをサーバ１２０に送信する。サーバ１２０は次に、乱数ｒ₁₁₀を選択し、以前に生成されたマスターシークレット鍵「ｘ」およびエンティティ１１０のアイデンティティｉｄ₁₁₀を利用してエンティティ１１０のアイデンティティｉｄ₁₁₀の離散対数型デジタル署名を取得する。エンティティ１１０に対するシークレットプライベート鍵ｓｋ₁₁₀は次に、エンティティ１１０に対するアイデンティティ（Ｒ₁₁₀、ｓ₁₁₀）の取得された離散対数型デジタル署名として設定される、すなわち、ｓｋ₁₁₀＝（Ｒ₁₁₀、ｓ₁₁₀）である。上記２つのシークレットプライベート鍵については、Ｒ₁₀₅とＲ₁₁₀はグループ要素であり、一方ｓ₁₀₅とｓ₁₁₀は、素数であるｑを法とする整数を含む。ｓ₁₀₅およびｓ₁₁₀が対応する署名検証アルゴリズムにおいてｇ^sまたはｙ^sによってチェックされ得る任意の離散対数型デジタル署名方式が、本発明の実施形態において使用され得ることに留意されたい。

【0046】

本発明の実施形態では、プライベート鍵ｓｋ₁₀₅は、

【0047】

【数3】

【0048】

およびｓ₁₀₅＝ｒ₁₀₅＋ｘＨ（Ｒ₁₀₅、ｉｄ₁₀₅）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＳｃｈｎｏｒｒ署名を含み得る。同様に、プライベート鍵ｓｋ₁₁₀は、

【0049】

【数4】

【0050】

およびｓ₁₁₀＝ｒ₁₁₀＋ｘＨ（Ｒ₁₁₀、ｉｄ₁₁₀）（ｍｏｄ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＳｃｈｎｏｒｒ署名を含み得る。上記２つの式では、ｒ₁₀₅とｒ₁₁₀は乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。

【0051】

本発明の別の実施形態では、プライベート鍵ｓｋ₁₀₅は、

【0052】

【数5】

【0053】

およびｓ₁₀₅＝ｘ^-1（Ｈ（ｉｄ₁₀₅）−ｒ₁₀₅・Ｒ₁₀₅）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＥｌＧａｍａｌ署名のバリアントを含み得る。同様に、プライベート鍵ｓｋ₁₁₀は、

【0054】

【数6】

【0055】

およびｓ₁₁₀＝ｘ^-1（Ｈ（ｉｄ₁₁₀）−ｒ₁₁₀・Ｒ₁₁₀）（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＥｌＧａｍａｌ署名を含み得る。上記２つの式では、ｒ₁₀₅とｒ₁₁₀は乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。

【0056】

本発明のさらに別の実施形態では、プライベート鍵ｓｋ₁₀₅は、

【0057】

【数7】

【0058】

およびｓ₁₀₅＝ｘＲ₁₀₅＋ｒ₁₀₅・Ｈ（ｉｄ₁₀₅）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＥｌＧａｍａｌ署名の別のバリアントを含み得る。同様に、プライベート鍵ｓｋ₁₁₀は、

【0059】

【数8】

【0060】

およびｓ₁₁₀＝ｘＲ₁₁₀＋ｒ₁₁₀・Ｈ（ｉｄ₁₁₀）（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＥｌＧａｍａｌ署名の別のバリアントを含み得る。上記２つの式では、ｒ₁₀₅とｒ₁₁₀は乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。

【0061】

本発明のさらに別の実施形態では、プライベート鍵ｓｋ₁₀₅は、

【0062】

【数9】

【0063】

およびｓ₁₀₅＝ｘ・Ｈ（ｉｄ₁₀₅）＋ｒ₁₀₅・Ｒ₁₀₅（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＥｌＧａｍａｌ署名のさらに別のバリアントを含み得る。同様に、プライベート鍵ｓｋ₁₁₀は、

【0064】

【数10】

【0065】

およびｓ₁₁₀＝ｘ・Ｈ（ｉｄ₁₁₀）＋ｒ₁₁₀・Ｒ₁₁₀（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＥｌＧａｍａｌ署名のさらに別のバリアントを含み得る。上記２つの式では、ｒ₁₀₅とｒ₁₁₀は乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性ハッシュ関数である。

【0066】

本発明のさらに別の実施形態では、プライベート鍵ｓｋ₁₀₅は、

【0067】

【数11】

【0068】

およびｓ₁₀₅＝ｘ^-1（Ｒ₁₀₅−ｒ₁₀₅・Ｈ（ｉｄ₁₀₅））（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＥｌＧａｍａｌ署名のさらに別のバリアントを含み得る。同様に、プライベート鍵ｓｋ₁₁₀は、

【0069】

【数12】

【0070】

およびｓ₁₁₀＝ｘ^-1（Ｒ₁₁₀−ｒ₁₁₀・Ｈ（ｉｄ₁₁₀））（ｍｏｄｕｌｏ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＥｌＧａｍａｌ署名のさらに別のバリアントを含み得る。上記２つの式では、ｒ₁₀₅とｒ₁₁₀は乱数であり、ｘはマスターシークレット鍵であり、Ｈ（）は衝突耐性のあるハッシュ関数である。

【0071】

一旦プライベート鍵がそれぞれのエンティティのセキュアメモリに格納されると、エンティティペア、すなわちエンティティ１０５および１１０は認証手順を開始し得る。相互認証に成功した場合、エンティティペアは次に進んで、相互間で送信されたデジタル通信を符号化または署名するための共通セッション鍵を生成し得る。

【0072】

図３を参照すると、エンティティ１０５は、最初に暗号ノンスＮ₁₀₅を選択することによってエンティティ１１０との認証プロセスを開始する。選択された暗号ノンスは、任意の乱数または擬似乱数を含み得る。次に、エンティティ１０５は次に進み、ステップ３０５において、（エンティティ１０５のシークレットプライベート鍵から得られる）Ｒ₁₀₅および擬似乱数ノンスＮ₁₀₅と共にエンティティ１０５のアイデンティティｉｄ₁₀₅をエンティティ１１０と共有する。共有情報を受信時に、エンティティ１１０は次に進み、ｋ_110、105＝ｇ^s105・s110である、暗黙的共有シークレットｋ_110、105を計算する。プライベート鍵ｓｋ₁₁₀が上記の実施形態で説明したような第２のエンティティのアイデンティティのＥｌＧａｍａｌ署名のバリアントを含む本発明の実施形態では、暗黙的共有シークレットｋ_110、105は代わりに以下のように、すなわちｙ＝ｇ^xであるｋ_110,105＝ｙ^s105・s110として計算し得ることに留意されたい。

【0073】

当業者であれば理解するであろうが、以下のセクションは、プライベート鍵ｓｋ₁₀₅が、

【0074】

【数13】

【0075】

およびｓ₁₀₅＝ｒ₁₀₅＋ｘＨ（Ｒ₁₀₅，ｉｄ₁₀₅）（ｍｏｄｕｌｏ ｑ）である、第１のエンティティのアイデンティティｉｄ₁₀₅のＳｃｈｎｏｒｒ署名を含み、プライベート鍵ｓｋ₁₁₀が、

【0076】

【数14】

【0077】

およびｓ₁₁₀＝ｒ₁₁₀＋ｘＨ（Ｒ₁₁₀、ｉｄ₁₁₀）（ｍｏｄ ｑ）である、第２のエンティティのアイデンティティｉｄ₁₁₀のＳｃｈｎｏｒｒ署名を含む実施形態を参照するが、上記のような他の種類の離散対数型デジタル署名方式は、本発明から逸脱することなくＳｃｈｎｏｒｒ署名方式の代わりに使用し得る。

【0078】

Ｓｃｈｎｏｒｒ署名方式が採用されるこの実施形態では、暗黙共有シークレットｋ_110、105がさらに拡張されると、結果として、

【0079】

【数15】

【0080】

となる。一旦これが行われると、エンティティ１１０は、自身の暗号ノンスＮ₁₁₀を選択する。次に、暗黙的共有シークレットｋ_110、105は、暗号ノンスＮ₁₀₅およびＮ₁₁₀と共に認証データ関数に供給され、Ａｄ₁₁₀＝Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ｎ₁₀₅、Ｎ₁₁₀）である、認証データＡｄ₁₁₀が生成される。本発明の実施形態では、認証データ関数は、その認証データとしてＭＡＣを生成するメッセージ認証コード関数であってもよい。エンティティ１１０は次に進み、ステップ３１０において、（エンティティ１１０のシークレットプライベート鍵から得られる）Ｒ₁₁₀、暗号ノンスＮ₁₁₀、および生成された認証データＡｄ₁₁₀と共に、エンティティ１１０のアイデンティティｉｄ₁₁₀をエンティティ１０５と共有する。

【0081】

エンティティ１０５が一度共有情報を受信すると、エンティティ１０５は次に進み、

【0082】

【数16】

【0083】

である、あるいは本発明のこの実施例では、さらに拡張されると、

【0084】

【数17】

【0085】

である、暗黙的共有シークレットｋ_105、110を計算する。この段階でｋ_105,110＝ｋ_110,105となることに気づくのは有益である。

【0086】

このステップに関し、プライベート鍵ｓｋ₁₀₅が、上記の実施形態で説明したような第１のエンティティのアイデンティティのＥｌＧａｍａｌ署名のバリアントを含む本発明の実施形態では、暗黙的共有シークレットｋ_105、110は代わりに以下のように、すなわち、ｙ＝ｇ^xである、

【0087】

【数18】

【0088】

として計算されてもよい。

【0089】

次に、暗黙的共有シークレットｋ_105、110は、暗号ノンスＮ₁₀₅およびＮ₁₁₀と共に認証データ関数に供給され、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ｎ_105、N110）がエンティティ１１０によって共有される認証データＡｄ₁₁₀と一致するか否かを判定する。Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ｎ₁₀₅、Ｎ₁₁₀）の結果がエンティティ１１０によって共有される認証データＡｄ₁₁₀と一致することが確認される場合、これはエンティティ１１０が認証されたことを示す。したがって、エンティティ１０５は次に進み、エンティティ１１０と共に使用するための共通セッション鍵を生成し得る。共通セッション鍵ＳＫ_105、110は、暗黙的共有シークレットｋ_105、110、エンティティ１０５および１１０のアイデンティティｉｄ₁₀₅およびｉｄ₁₁₀ならびに暗号ノンスＮ₁₀₅およびＮ₁₁₀を鍵導出関数に供給することによって計算される、すなわちＳＫ_105、110＝Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、ｉｄ₁₀₅、ｉｄ₁₁₀、Ｎ₁₀₅、Ｎ₁₁₀）である。本発明の実施形態では、鍵導出関数は衝突耐性ハッシュ関数であり得る。

【0090】

共通セッション鍵ＳＫ_105、110がエンティティ１０５によって計算された後、暗黙共有シークレットｋ_105、110が暗号ノンスＮ₁₁₀およびＮ₁₀₅と共に認証データ関数に供給され、Ａｄ₁₀₅＝Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ｎ₁₁₀、Ｎ₁₀₅）である、認証データＡｄ₁₀₅を生成し、Ａｄ₁₀₅はその後、ステップ３１５でエンティティ１１０と共有される。

【0091】

認証データＡｄ₁₀₅を受信すると、エンティティ１１０は、暗黙共有シークレットｋ_110、105を暗号ノンスＮ₁₁₀およびＮ₁₀₅と共に認証データ関数に供給して、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ｎ₁₁₀、Ｎ₁₀₅）がエンティティ１０５によって共有される認証データＡｄ₁₀₅と一致するか否かを判定する。Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ｎ₁₁₀、Ｎ₁₀₅）の結果が、エンティティ１０５によって共有される認証データＡｄ₁₀₅と一致することが確認される場合、これは、エンティティ１０５が認証されたことを暗示する。

【0092】

したがって、エンティティ１１０は次に進み、エンティティ１０５と共に使用するための共通セッション鍵を生成し得る。共通セッション鍵ＳＫ_110、105は、暗黙的共有シークレットｋ_110、105、エンティティ１１０および１０５のアイデンティティｉｄ₁₁₀およびｉｄ₁₀₅を暗号ノンスＮ₁₁₀およびＮ₁₀₅と共に鍵導出関数に供給することによって計算される、すなわち、ＳＫ_110、105＝Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、ｉｄ₁₀₅、ｉｄ₁₁₀、Ｎ₁₀₅、Ｎ₁₁₀）である。エンティティ１１０によって生成された共通セッション鍵ＳＫ_110、105、およびエンティティ１０５によって生成された共通セッション鍵ＳＫ_105、110は次に、このエンティティペア間のデジタルメッセージに署名または符号化するために利用され得る（１０５から１１０）。

【0093】

本発明の別の実施形態では、エンティティ１０５が最初に暗号ノンスＮ₁₀₅を選択することによって認証プロセスを開始する代わりに、エンティティ１０５は代わりに乱数「ａ」を選択し、乱数「ａ」を利用してＡ＝ｇ^aである、中間Ｄｉｆｆｅｒｙ−Ｈｅｌｍａｎ値Ａを計算する。エンティティ１０５は、前述のように、次に進み、エンティティ１０５のアイデンティティｉｄ₁₀₅を（エンティティ１０５のシークレットプライベート鍵から得られる）Ｒ₁₀₅および中間シークレットＡと一緒にエンティティ１１０と共有する。これはステップ３０５で行われる。

【0094】

共有情報を受信すると、エンティティ１１０は次に進み、

【0095】

【数19】

【0096】

である、またはさらに拡張されると、

【0097】

【数20】

【0098】

である、暗黙的共有シークレットｋ_110、105を計算する。一旦これが行われると、エンティティ１１０は次に、乱数「ｂ」を選択し、次いで乱数「ｂ」を利用してＢ＝ｇ^bである、中間Ｄｉｆｆｅｒｙ−Ｈｅｌｍａｎ値Ｂを計算する。次に、暗黙的共有シークレットｋ_110、105は、中間シークレットＡおよびＢと共に認証データ関数に供給され、Ａｄ₁₁₀＝Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ｂ、Ａ）である、認証データＡｄ₁₁₀を生成する。

【0099】

エンティティ１１０は次に進み、ステップ３１０において、（エンティティ１１０のシークレットプライベート鍵から得られる）Ｒ₁₁₀、中間シークレットＢ、および生成された認証データＡｄ₁₁₀と共に、エンティティ１１０のアイデンティティｉｄ₁₁₀をエンティティ１０５と共有する。

【0100】

エンティティ１０５が一度共有情報を受信すると、エンティティ１０５は次に進み、

【0101】

【数21】

【0102】

である、さらに拡張されると、

【0103】

【数22】

【0104】

である、暗黙的共有シークレットｋ_105、110を計算する。次に、暗黙的共有シークレットｋ_105、110は、中間シークレットＡおよびＢと共に認証データ関数に供給され、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ｂ、Ａ）がエンティティ１１０によって共有される認証データＡｄ₁₁₀と一致するか否かを判定する。Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ｂ、Ａ）の結果がエンティティ１１０によって共有される認証データＡｄ₁₁₀と一致することが確認される場合、これはエンティティ１１０が認証されたことを示す。

【0105】

したがって、エンティティ１０５は次に進み、エンティティ１１０と共に使用するための共通セッション鍵を生成し得る。共通セッション鍵ＳＫ_105、110は、暗黙的共有シークレットｋ_105、110、エンティティ１０５および１１０のアイデンティティｉｄ₁₀₅およびｉｄ₁₁₀、中間シークレットＡおよび乱数ａを鍵導出関数に供給することによって計算される、すなわちＳＫ_105、110＝Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（Ｂ^a、ｋ_105、110、ｉｄ₁₀₅、ｉｄ₁₁₀）である。

【0106】

共通セッション鍵ＳＫ_105、110がエンティティ１０５によって計算された後、暗黙共有シークレットｋ_105、110が中間シークレットＡおよびＢと共に認証データ関数に供給され、Ａｄ₁₀₅＝Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_105、110、Ａ、Ｂ）である、認証データＡｄ₁₀₅を生成し、Ａｄ₁₀₅はその後、ステップ３１５でエンティティ１１０と共有される。

【0107】

認証データＡｄ₁₀₅を受信すると、エンティティ１１０は、暗黙共有シークレットｋ_110、105を中間シークレットＡおよびＢと共に認証データ関数に供給して、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ａ、Ｂ）がエンティティ１０５によって共有される認証データＡｄ₁₀₅と一致するか否かを判定する。Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_110、105、Ａ、Ｂ）の結果が、エンティティ１０５によって共有される認証データＡｄ₁₀₅と一致することが確認される場合、これは、エンティティ１０５が認証されたことをエンティティ１１０に暗示する。

【0108】

したがって、エンティティ１１０は次に進み、エンティティ１０５と共に使用するための共通セッション鍵を生成し得る。共通セッション鍵ＳＫ_110、105は、暗黙的共有シークレットｋ_110、105とエンティティ１１０および１０５のアイデンティティｉｄ₁₁₀およびｉｄ₁₀₅とを中間シークレットＢおよび乱数ｂと共に鍵導出関数に供給することによって計算される、すなわち、ＳＫ_110、105＝Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（Ａ^b、ｋ_110、105、ｉｄ₁₀₅、ｉｄ₁₁₀）である。エンティティ１１０によって生成された共通セッション鍵ＳＫ_110、105、およびエンティティ１０５によって生成された共通セッション鍵ＳＫ_105、110は次に、このエンティティペア（１０５−１１０）間のデジタルメッセージに署名または符号化するために利用され得る。

【0109】

本発明の実施形態によれば、第１のエンティティ「ｉ」と第２のエンティティ「ｊ」との間のデジタル通信を符号化するための共通セッション鍵ＳＫ_ijを生成する方法は、以下のステップを含む。すなわち、
ステップ１：セキュアサーバによって、第１のエンティティに対するプライベート鍵ｓｋ_iを生成し、プライベート鍵ｓｋ_iは、第１のエンティティのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み、セキュアサーバによって、第２のエンティティに対するプライベート鍵ｓｋ_jを生成するステップであり、プライベート鍵ｓｋ_jは、第２のエンティティのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含み、Ｒ_iおよびＲ_jは群要素であり、ｓ_iおよびｓ_jはｑを法とする整数を含み、ｑは素数であり、プライベート鍵ｓｋ_iは第１のエンティティに伝達され、プライベート鍵ｓｋ_jは第２のエンティティに伝達される、ステップと、
ステップ２：第１のエンティティによって、暗号ノンスＮ_i、第１のエンティティのアイデンティティｉｄ_i、およびＲ_iを第２のエンティティと共有するステップと、
ステップ３：第２のエンティティによって、暗黙的共有シークレットｋ_jiを共有Ｒ_iを使用して計算し、暗黙的共有シークレットｋ_ji、暗号ノンスＮ_i、および暗号ノンスＮ_jを認証データ導出関数に供給して認証データＡｄ_jを生成するステップと、
ステップ４：第２のエンティティによって、暗号ノンスＮ_j、第２のエンティティのアイデンティティｉｄ_j、Ｒ_j、および認証データＡｄ_jを第１のエンティティと共有するステップと、
ステップ５：第１のエンティティによって、共有Ｒ_jを使用して暗黙的共有シークレットｋ_ijを計算し、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、および暗号ノンスＮ_jを使用して認証データＡｄ_jを検証するステップであり、認証データＡｄ_jが検証されると、暗黙的共有シークレットｋ_ij、暗号ノンスＮ_i、暗号ノンスＮ_j、第１のエンティティのアイデンティティｉｄ_i、および第２のエンティティのアイデンティティｉｄ_jを鍵導出関数に供給することにより共通セッション鍵ＳＫ_ijを生成する、ステップと
を含む。

【0110】

そのようなシステムまたは方法を提供するために、システムのエンティティのシークレットプライベート鍵を生成するため、およびエンティティペア間のデジタルメッセージを符号化するまたは署名するために共通セッション鍵が生成される前にエンティティペアのエンティティを認証するプロセスが必要である。以下の説明および図４から図６は、本発明によるプロセスを提供するプロセスの実施形態を説明する。

【0111】

図４は、セキュアサーバ、システムのエンティティに対するシークレットプライベート鍵を生成するため、およびエンティティペア間のデジタルメッセージを符号化するまたは署名するために共通セッション鍵が生成される前にエンティティペアのエンティティを認証するセキュアサーバ、第１のエンティティ「ｉ」および第２のエンティティ「ｊ」によって実行されるプロセス４００を示す。プロセスは、セキュアサーバがマスターシークレット鍵「ｘ」およびマスター公開鍵「ｙ」を生成するステップ４０５から開始する。第１のエンティティ「ｉ」が自身をセキュアサーバに登録するとき、セキュアサーバは、第１のエンティティのアイデンティティｉｄ_iを使用して、第１のエンティティに対するシークレットプライベート鍵ｓｋ_iを生成する。プライベート鍵ｓｋ_iは、Ｒ_iが群要素であり、ｓ_iがｑを法とする整数を含み、ｑは素数である、第１のエンティティのアイデンティティｉｄ_iの離散対数型デジタル署名［Ｒ_i、ｓ_i］を含み得る。本発明の実施形態では、シークレットプライベート鍵ｓｋ_iは、ｇが巡回群Ｇの生成元であり、ｒ_iが乱数であり、Ｈ（）が衝突耐性のあるハッシュ関数である、［Ｒ_i＝ｇ^ri，ｓ_i＝ｒ_i＋ｘＨ（Ｒ_i，ｉｄ_i）］を含むＳｃｈｎｏｒｒ署名である。シークレットプライベート鍵ｓｋ_iは次に、第１のエンティティに送信され、第１のエンティティ内に安全に格納される。これはすべてステップ４１０で行われる。

【0112】

ステップ４１５では、次のエンティティ、すなわち第２のエンティティｊが自身をセキュアサーバに登録するとき、セキュアサーバは、第２のエンティティのアイデンティティｉｄ_jを使用して、第２のエンティティに対するシークレットプライベート鍵ｓｋ_jを生成する。プライベート鍵ｓｋ_jは、Ｒ_jが群要素であり、ｓ_jがｑを法とする整数を含み、ｑは素数である、第２のエンティティのアイデンティティｉｄ_jの離散対数型デジタル署名［Ｒ_j、ｓ_j］を含む。本発明のこの実施形態では、シークレットプライベート鍵ｓｋ_jは、ｇが巡回群Ｇの生成元であり、ｒ_jが乱数であり、Ｈ（）が衝突耐性のあるハッシュ関数である、［Ｒ_j＝ｇ^rj，ｓ_j＝ｒ_j＋ｘＨ（Ｒ_j，ｉｄ_j）］を含むＳｃｈｎｏｒｒ署名である。シークレットプライベート鍵ｓｋ_jは次に、第２のエンティティに送信され、第２のエンティティ内に安全に格納される。

【0113】

第１および第２のエンティティは次に、ステップ４２０において、暗黙的シークレットを相互に交換する。共有された暗黙的シークレットは、次に、第１のエンティティおよび第２のエンティティに対する認証データを計算するために利用される。計算された認証データは次にステップ４２３で交換され、他のエンティティの真偽を検証するために各エンティティによって利用される。例えば、第２のエンティティは認証データＡｄ_jを計算し、この認証データを一緒に第１のエンティティに送信する。第１のエンティティは次に、第２のエンティティから以前に受信された暗黙的シークレットデータを利用して、受信された認証データＡｄ_jの正確性を判断する。このプロセスは次に、第１のエンティティがその認証データＡｄ_iを計算して第２のエンティティに送信することによって繰り返され、それによって第２のエンティティは第１のエンティティから以前に受信した暗黙的シークレットデータを利用して受信した認証データＡｄ_iの正確性を判定する。

【0114】

一旦エンティティが認証されると、ステップ４２５で、第１および第２のエンティティは共有された暗黙的シークレットを使用して共通セッション鍵を生成する。生成された共通セッション鍵は次いで、第１のエンティティと第２のエンティティとの間で交換される任意のデジタルメッセージに署名または符号化するために使用され得る。そしてプロセス４００は終了する。

【0115】

図５は、本発明の実施形態による、第２のエンティティを認証し、共通セッション鍵を生成するために、第１のエンティティによって実行されるプロセス５００を示す。プロセス５００が開始する前に、［Ｒ_i、ｓ_i］を含むシークレットプライベート鍵ｓｋ_iが以前に伝達され、第１のエンティティ内に記憶されていたことに留意されたい。

【0116】

プロセス５００はステップ５０５で開始し、それによってプロセス５００は暗号ノンスＮ_iを選択する。ステップ５１０で、暗号ノンスＮ_i、Ｒ_i（ｓｋ_iから得られる）、および第１のエンティティのアイデンティティｉｄ_iは、すべて第２のエンティティｊと共有される。その代わりに、第２のエンティティは、暗号ノンスＮ_j、Ｒ_j（第２のエンティティのプライベートのシークレット鍵から取得される）、第２のエンティティのアイデンティティｉｄ_j、および認証データＡｄ_jを第１のエンティティと共有する。これはステップ５１５で行われる。

【0117】

プロセス５００は次に、ステップ５２０において、暗黙的共有シークレットを計算する。第１のエンティティにおける暗黙的共有シークレットは、

【0118】

【数23】

【0119】

としてまたはさらに拡張される場合、

【0120】

【数24】

【0121】

として表し得る。ステップ５２５において、プロセス５００は次に、計算された暗黙的共有シークレットｋ_ijと暗号ノンスＮ_iおよびＮ_jとを利用して、第２のエンティティによって送信された情報の真偽を検証する。これは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ij、Ｎ_i、Ｎ_j）の結果が受信した認証データＡｄ_jと一致するか否かを検証することによって行われる。プロセス５００が第２のエンティティが認証されたエンティティであると判断した場合、すなわち上記の認証データ機能の結果が受信した認証データＡｄ_jと一致する場合、プロセス５００はステップ５３０に進み、プロセス５００が次の関数Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ij、Ｎ_j、Ｎ_i）を適用して第１のエンティティの認証データＡｄ_iを計算する。

【0122】

この認証データＡｄ_iはその後、第２のエンティティに送信される。プロセス５００は次に進み次の関数Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（ｋ_ij、ｉｄ_i、ｉｄ_j、Ｎ_i、Ｎ_j）を解くことによって共通セッション鍵ＳＫ_ijを計算する。そしてプロセス５００は終了する。

【0123】

逆に、ステップ５２５でプロセス５００が第２のエンティティの真偽を検証できない場合、すなわちＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ij、Ｎ_i、Ｎ_j）の結果が受信した認証データＡｄ_jと一致しない場合、プロセス５００はそこで終了する。

【0124】

本発明の別の実施形態では、ステップ５２５において、プロセス５００は、まず共通セッション鍵ＳＫ_ijを計算し、代わりに認証データ関数内の暗黙的共有シークレットｋ_ijを共通セッション鍵ＳＫ_ijで置き換えることによって第２のエンティティによって送信される情報の真偽を検証してもよい。これは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ＳＫ_ij、Ｎ_i、Ｎ_j）の結果が受信した認証データＡｄ_jと一致する場合、Ａｄｊが有効であることを意味する。プロセス５００は次に、ステップ５３０に進む。ステップ５３０において、プロセス５００は次に進み、次の関数Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ＳＫ_ij、Ｎ_j、Ｎ_i）を適用することによって第１のエンティティの認証データＡｄ_iを計算する。この認証データ、Ａｄ_iはその後、第２のエンティティに送信される。本発明のこの実施形態では、第１のエンティティに対する共通セッション鍵、すなわちＳＫ_ijはステップ５２５で既に計算されているので、プロセス５００は次にステップ５３５をスキップし、プロセス５００はそこで終了する。

【0125】

図６は、本発明の実施形態による、第１のエンティティｉを認証し、共通セッション鍵を生成するために第２のエンティティｊによって実行されるプロセス６００を示す。プロセス６００が開始する前に、［Ｒ_j、ｓ_j］を含むシークレットプライベート鍵ｓｋ_jが以前に伝達され、第２のエンティティ内に格納されていたことに留意されたい。

【0126】

プロセス６００はステップ６０５で開始し、それによってプロセス６００は暗号ノンスＮ_i、Ｒ_i（ｓｋ_iから得られる）、および第１のエンティティのアイデンティティｉｄ_iを第１のエンティティから受け取る。この受信された情報を用いて、プロセス６００は次に進み、ステップ６１０において暗黙的共有シークレットを計算する。第２のエンティティにおける暗黙的共有シークレットは

【0127】

【数25】

【0128】

として、または本発明の実施形態では、さらに拡張されると、

【0129】

【数26】

【0130】

として表し得る。ステップ６１５において、プロセス６００は次に進み暗号ノンスＮ_jを選択する。プロセス６００は次に、ステップ６２０において、計算された暗黙的共有シークレットｋ_ijと暗号ノンスＮ_iおよびＮ_jとを利用して、次の関数Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ji、Ｎ_i、Ｎ_j）を適用することによって第２のエンティティの認証データＡｄ_jを計算する。次のステップ、すなわちステップ６２５において、プロセス６００は、計算された認証データＡｄ_j、暗号ノンスＮ_j、Ｒ_j（ｓｋ_jから得られる）、および第２のエンティティのアイデンティティｉｄ_jを第１のエンティティに送信する。代わりに、プロセス６００は、ステップ６３０で第１のエンティティから認証データＡｄ_iを受信する。

【0131】

ステップ６３５において、プロセス６００は次に、計算された暗黙的共有シークレットｋ_jiと暗号ノンスＮ_iおよびＮ_jとを利用して、ステップ６０５において第１のエンティティから以前に受信された情報の真偽を検証する。これは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ji、Ｎ_j、Ｎ_i）の結果が受信した認証データＡｄ_iと一致するか否かを検証することによって行われる。プロセス６００が第１のエンティティが認証されたエンティティであると判断した場合、すなわち認証データ関数の結果が受信した認証データＡｄ_iと一致する場合、プロセス６００はステップ６４０に進み、プロセス６００は次の関数Ｋｅｙ＿Ｄｅｒｉｖｉｎｇ＿Ｆｕｎｃｔｉｏｎ（ｋ_ji、ｉｄ_i、ｉｄ_j、Ｎ_i、Ｎ_j）を解くことによって共通セッション鍵ＳＫ_jiを計算する。そしてプロセス６００は終了する。

【0132】

逆に、ステップ６３５でプロセス６００が第２のエンティティの真偽を検証できない場合、すなわちＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ｋ_ji、Ｎ_j、Ｎ_i）の結果が受信した認証データＡｄｉと一致しない場合、プロセス６００はそこで終了する。

【0133】

本発明の別の実施形態では、ステップ６２０において、計算された暗黙的共有シークレットｋ_ijを利用して第２のエンティティの認証データＡｄ_jを計算する代わりに、プロセス６００はまず第２のエンティティの共通セッション鍵、すなわちＳＫ_jiを計算し、暗黙的共有シークレットｋ_jiの代わりにこの共通セッション鍵ＳＫ_jiを利用して認証データＡｄ_jを計算する。これは、認証データＡｄ_jが次の関数Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ＳＫ_ji、Ｎ_i、Ｎ_j）を解くことによって取得されることを意味する。ステップ６２５において、プロセス６００は次に、計算された認証データＡｄ_j、暗号ノンスＮ_j、Ｒ_j（ｓｋ_jから得られる）、および第２のエンティティのアイデンティティｉｄ_jを第１のエンティティに送信する。

【0134】

同様に、プロセス６００は、ステップ６３０で第１のエンティティから認証データＡｄ_iを受信する。ステップ６３５で、プロセス６００は次に、共通セッション鍵ＳＫ_jiと暗号ノンスＮ_iおよびＮ_jとを利用して、ステップ６０５において第１のエンティティから以前に受信された情報の真偽を検証する。これは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｄａｔａ＿Ｆｕｎｃｔｉｏｎ（ＳＫ_ji、Ｎ_j、Ｎ_i）の結果が受信した認証データＡｄ_iと一致するか否かを検証することによって行われる。本発明のこの実施形態では、第２のエンティティの共通セッション鍵、すなわちＳＫ_jiはステップ６２０で既に計算されているので、プロセス６００は次にステップ６４０をスキップし、そしてプロセス６００は終了する。

【0135】

上記は、添付の特許請求の範囲に記載の本発明によるシステムおよびプロセスの実施形態の説明である。他者が添付の特許請求の範囲内に入る代替物を設計してもよく、また設計するであろうことが想定される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】