特開 2022-159057 暗号プロセスによるデバイスの認証

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022159057

(43)【公開日】2022-10-17

(54)【発明の名称】暗号プロセスによるデバイスの認証

(51)【国際特許分類】

   H04L 9/14 20060101AFI20221006BHJP

   H04L 9/08 20060101ALI20221006BHJP

   H04L 9/32 20060101ALI20221006BHJP

【ＦＩ】

H04L9/14

H04L9/08 B

H04L9/08 F

H04L9/32 200A

H04L9/32 200F

【審査請求】未請求

【請求項の数】14

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2022048236

(22)【出願日】2022-03-24

(31)【優先権主張番号】2103451

(32)【優先日】2021-04-02

(33)【優先権主張国・地域又は機関】FR

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

(71)【出願人】

【識別番号】519260337

【氏名又は名称】アイデミア フランス

(74)【代理人】

【識別番号】100107641

【弁理士】

【氏名又は名称】鎌田 耕一

(74)【代理人】

【識別番号】100202201

【弁理士】

【氏名又は名称】兒島 淳一郎

(72)【発明者】

【氏名】ドタ，エマニュエル

(72)【発明者】

【氏名】ベタル，リュック

(72)【発明者】

【氏名】ルブー，ナタン

(57)【要約】      （修正有）

【課題】暗号アルゴリズムを十分に防御する暗号プロセスによるデバイスの認証を実現する。
【解決手段】処理方法は、第２のデバイスと協働する第１のデバイスＤＶ１における処理方法であって、チャレンジデータを含む第１のデータＤＴ１を受信することと、暗号マスキング関数を実行することによってマスキングされる暗号化された暗号鍵Ｄ_ＥＣを含む鍵データＣ_ＥＣを得ることと、アンマスキング鍵Ｋ２を受信することと、アンマスキング鍵に基づいて暗号アンマスキング関数を実行することにより、ＤＥＣを決定することと、ＤＥＣに基づいて、ホワイトボックス実装で復号アルゴリズムを実行する復号により、復号された暗号鍵Ｋ_ＥＣを決定することと、Ｋ_ＥＣ及びチャレンジデータに基づいて、既定の暗号アルゴリズムを実行する暗号動作により、解答データＡＮＳ１を決定することと、第１のデバイスを認証するために解答データＡＮＳ１を送信することと、を含む。
【選択図】図５

【特許請求の範囲】

【請求項1】

第２のデバイス（ＤＶ２）と協働する第１のデバイス（ＤＶ１）によって実施される処理方法であって、
ａ）前記第２のデバイスから、第１のチャレンジデータ（ＣＨ１）を含む第１のデータ（ＤＴ１）を受信すること（Ｓ２）と、
ｂ）第１の暗号化アルゴリズム（ｐｅｎｃ）による暗号化から得られた暗号化された暗号鍵（Ｄ_EC）を含む鍵データ（Ｃ_EC）を得ること（Ｓ４）であって、前記鍵データは、前記暗号化された暗号鍵及びマスキング鍵（Ｋ１）に基づいて暗号マスキング関数（Ｆ１）を実行することによってマスキングされる、得ること（Ｓ４）と、
ｃ）前記第２のデバイスから、アンマスキング鍵（Ｋ２）を受信すること（Ｓ１０）と、
ｄ）ｂ）で得られた前記鍵データ及びｃ）で受信された前記アンマスキング鍵（Ｋ２）に基づいて暗号アンマスキング関数（Ｆ２）を実行することにより、前記暗号化された暗号鍵（Ｄ_EC）を決定すること（Ｓ１２）と、
ｅ）前記暗号化された暗号鍵（Ｄ_EC）に基づいて、ホワイトボックス実装で第１の復号アルゴリズム（ｐｄｅｃ）を実行することによる復号により、復号された暗号鍵（Ｋ_EC）を決定すること（Ｓ１４）であって、前記第１の暗号化アルゴリズム（ｐｅｎｃ）及び前記第１の復号アルゴリズム（ｐｄｅｃ）は、逆暗号関数を実行するように構成された関連付けられた暗号アルゴリズムである、決定すること（Ｓ１４）と、
ｆ）前記復号された暗号鍵（Ｋ_EC）及び受信された前記第１のチャレンジデータ（ＣＨ１）に基づいて、既定の暗号アルゴリズム（ＡＬｐ）を実行することによる暗号動作により、解答データ（ＡＮＳ１）を決定すること（Ｓ１６）と、
ｇ）ａ）で受信された前記第１のデータ（ＤＴ１）に応答して、前記第２のデバイスに前記第１のデバイスを認証させるために前記解答データ（ＡＮＳ１）を前記第２のデバイスに送信すること（Ｓ１８）と
を含む処理方法。

【請求項2】

前記第１の暗号化アルゴリズム（ｐｅｎｃ）及び前記第１の復号アルゴリズム（ｐｄｅｃ）は、前記既定の暗号アルゴリズム（ＡＬｐ）と異なる、請求項１に記載の方法。

【請求項3】

ｃ）前記アンマスキング鍵（Ｋ２）を受信することの前に、
ｈ）第２のチャレンジデータ（ＣＨ２）を含む第２のデータ（ＤＴ２）を前記第２のデバイスに送信すること
をさらに含み、ｃ）で前記第２のデバイスから受信される前記アンマスキング鍵（Ｋ２）は、前記第２のチャレンジデータに基づいて演算される、請求項１又は２に記載の方法。

【請求項4】

ｈ）の前に、
ｉ）トークン（ＴＮ）を得ることであって、前記トークン（ＴＮ）は、
－ 前記鍵データ（Ｃ_EC）と、
－ 前記暗号鍵（Ｋ_EC）が有効である有効期間を示す第１の時間データ（ＥＸＰ）と、
－ 前記有効期間中に使用可能な前記暗号鍵の識別子（ＩＤ）と
を含む、得ること
を含み、ｈ）で送信される前記第２のデータ（ＤＴ２）は、前記トークンから抽出された前記第１の時間データ（ＥＸＰ）及び前記識別子（ＩＤ）を含む、請求項３に記載の方法。

【請求項5】

ｊ）ａ）で受信された前記第１のデータ（ＤＴ１）に含まれる第２の時間データ（ＥＸＰｍｉｎ）に基づいて、前記第１のデバイスによってアクセス可能な１つ又は複数のトークンの中から、ｉ）で得られた前記トークンを選択すること
をさらに含み、前記第２の時間データは、前記選択されたトークンの前記暗号鍵が有効でなければならない有効期間を示す、請求項４に記載の方法。

【請求項6】

ｉ）で得られた前記トークンは、前記第１の時間データ（ＥＸＰ）及び前記識別子（ＩＤ）とは別個の前記第２のチャレンジデータ（ＣＨ２）をさらに含み、
ｈ）で送信される前記第２のデータ（ＤＴ２）は、前記トークンから抽出された前記第２のチャレンジデータ（ＣＨ２）を含む、請求項４又は５に記載の方法。

【請求項7】

ｈ）で送信される前記第２のデータ（ＤＴ２）に含まれる前記第１の時間データ（ＥＸＰ）及び前記識別子（ＩＤ）は、前記第２のチャレンジデータを構成する、請求項４又は５に記載の方法。

【請求項8】

前記トークン（ＴＮ）は、ホワイトボックス実装（ｗｂ［ＫＲａｎｄ］）に適したフォーマットで符号化された鍵をさらに含み、
ｅ）では、前記復号された暗号鍵（Ｋ_EC）は、前記暗号化された暗号鍵（Ｄ_EC）に基づいて、且つ前記トークンから抽出されたホワイトボックス実装（ｗｂ［ＫＲａｎｄ］）に適したフォーマットで符号化された前記鍵に基づいて、ホワイトボックス実装で前記第１の復号アルゴリズム（ｐｄｅｃ）を実行することによる復号によって決定される、請求項４～７のいずれか一項に記載の方法。

【請求項9】

前記暗号マスキング及びアンマスキング関数（Ｆ１、Ｆ２）は、それぞれ関連付けられた暗号化及び復号関数である、請求項１～８のいずれか一項に記載の方法。

【請求項10】

前記暗号マスキング及びアンマスキング関数（Ｆ１、Ｆ２）は、対称暗号化関数であり、前記マスキング鍵（Ｋ１）及び前記アンマスキング鍵（Ｋ２）は、同一である、請求項９に記載の方法。

【請求項11】

前記暗号マスキング及びアンマスキング関数（Ｆ１、Ｆ２）は、ＸＯＲ関数である、請求項９又は１０に記載の方法。

【請求項12】

ｇ）に続いて、
ｋ）前記第２のデバイスに前記第１のデバイスを認証させることに成功したという検出に応答して、前記第２のデバイスと協働して既定の関数をトリガすること
を含む、請求項１～１１のいずれか一項に記載の方法。

【請求項13】

命令を含むコンピュータプログラム（ＰＧ１）であって、前記命令は、前記プログラムがコンピュータによって実行されると、請求項１～１２のいずれか一項に記載の方法のステップを実行するためのものである、コンピュータプログラム（ＰＧ１）。

【請求項14】

第２のデバイス（ＤＶ２）と協働することができる第１のデバイス（ＤＶ１）であって、
－ 前記第２のデバイスから、第１のチャレンジデータ（ＣＨ１）を含む第１のデータ（ＤＴ１）を受信するように構成された第１の受信モジュール（ＭＤ２）と、
－ 第１の暗号化アルゴリズム（ｐｅｎｃ）による暗号化から得られた暗号化された暗号鍵（Ｄ_EC）を含む鍵データ（Ｃ_EC）を得るように構成された取得モジュール（ＭＤ４）であって、前記鍵データは、前記暗号化された暗号鍵及びマスキング鍵（Ｋ１）に基づいて暗号マスキング関数（Ｆ１）を実行することによってマスキングされる、取得モジュール（ＭＤ４）と、
－ 前記第２のデバイスから、アンマスキング鍵（Ｋ２）を受信するように構成された第２の受信モジュール（ＭＤ６）と、
－ 得られた前記鍵データ（Ｃ_EC）及び受信された前記アンマスキング鍵（Ｋ２）に基づいて暗号アンマスキング関数（Ｆ２）を実行することにより、前記暗号化された暗号鍵（Ｄ_EC）を決定するように構成された第１の決定モジュール（ＭＤ８）と、
－ 前記暗号化された暗号鍵（Ｄ_EC）に基づいて、ホワイトボックス実装で第１の復号アルゴリズム（ｐｄｅｃ）を実行することによる復号により、復号された暗号鍵（Ｋ_EC）を決定するように構成された第２の決定モジュール（ＭＤ１０）であって、前記第１の暗号化アルゴリズム（ｐｅｎｃ）及び前記第１の復号アルゴリズム（ｐｄｅｃ）は、逆暗号関数を実行するように構成された関連付けられた暗号アルゴリズムである、第２の決定モジュール（ＭＤ１０）と、
－ 前記復号された暗号鍵（Ｋ_EC）及び受信された前記第１のチャレンジデータ（ＣＨ１）に基づいて、既定の暗号アルゴリズム（ＡＬｐ）を実行することによる暗号動作により、解答データ（ＡＮＳ１）を決定するように構成された第３の決定モジュール（ＭＤ１２）と、
－ 受信された前記第１のデータ（ＤＴ１）に応答して、前記第２のデバイスに前記第１のデバイスを認証させるために前記解答データ（ＡＮＳ１）を前記第２のデバイスに送信するように構成された送信モジュールと
を含む第１のデバイス（ＤＶ１）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号の分野に関し、具体的には、第２のデバイスに第１のデバイスを認証させるための暗号処理の実施に関する。

【背景技術】

【0002】

コンピュータ、タブレット、チップカード、携帯電話、接続オブジェクトなどのデジタルデバイス（コンピュータデバイス又はデジタル家電としても知られている）は、日常生活に遍在している。これらのデバイスは、多くの場合、セキュリティソリューションを実装して、デバイスへのアクセスを保護し、あらゆる攻撃から機密データを防御する必要がある。

【0003】

一般的なセキュリティソリューションは、そのようなデバイスにセキュアエレメントを埋め込むことを含む。当業者によく知られている「グローバルプラットフォーム」標準化機構によって定義されているように、セキュアエレメントは、信頼できる第三者機関によって設定された規則に従い、アプリケーション及びそれらの関連機密データ（暗号鍵、アルゴリズムなど）を安全にホストするように構成されたハードウェア及びソフトウェアプラットフォームである。セキュアエレメントは、安全な実行環境をアプリケーションに提供する。セキュアエレメントは、様々なハードウェア形態を取ることができ、ＵＩＣＣ（ユニバーサル集積回路カード）モジュール、埋め込みセキュアエレメント（又は「埋め込みＳＥ」若しくは「ｅＳＩＭ」）或いはマイクロＳＤカードが挙げられる。ＵＩＣＣモジュール及びマイクロＳＤカードは、一般に、取り外し可能である。セキュアエレメントの各形態は、非常に特殊なアプリケーションにおいて使用することが意図され、対象の市場の特定の要件を満たさなければならない。

【0004】

セキュアエレメントは、優れた保護レベルを提供するが、専門家によって供給される非常に特殊な機器及びサービスを必要とするため、その展開は、複雑且つ限定的である。デバイスを防御するためのセキュアエレメントの使用は、実装及び動作をより複雑にし、従って必ずしも望ましいものであるとは限らない。

【0005】

別のソリューションは、いかなるセキュアエレメントも使用することなく、ＰＣ、タブレット又はスマートフォンなどのオープンアプライアンスにおいてアプリケーションを実装することを含む。これにより、新しい市場にアクセスし、アプリケーションの展開を簡単にすることができる。オープンデバイスを防御するには、純粋なソフトウェアソリューション（例えば、暗号タイプ）を実装しなければならない。

【0006】

しかし、オープンデバイス（セキュアエレメントを使用しないもの）で実装されるソースコード及びデータは、潜在的なハッカーによってアクセスされ易い点でセキュリティ上の課題が生じる。オープンデバイスは、攻撃者が暗号アルゴリズムのソフトウェア実装への全アクセスを有するという意味で「ホワイトボックス」攻撃にさらされる恐れがある。すなわち、バイナリは、攻撃者に完全に見えており、修正も可能であり、攻撃者は、実行プラットフォームを完全に制御することができる。結果的に、オープンデバイスのアプリケーションのソフトウェア実装を十分に防御する必要がある。

【0007】

オープンデバイスを防御するため、様々な公知のソフトウェアソリューションを使用することができ、その中でも特に「ホワイトボックス」暗号が挙げられる。ホワイトボックス実装での暗号ソリューションは、使用される秘密暗号鍵を保護しながら、暗号アルゴリズムを実装することに基づく。ホワイトボックス暗号は、保護することが望まれるアプリケーションにおいて使用されるあらゆる暗号アルゴリズムに適用することができる。暗号アルゴリズムのホワイトボックス実装は、例えば、使用される秘密鍵を保護するために、関与する関数及びデータの内部の表現を変更することにより、対象のアルゴリズムの実装を修正すること（複雑にすること、マスキングすることなど）を含む。また、ホワイトボックス実装は、例えば、コンパイル時にインスタンス化された秘密（データの形態であるが、コードの形態でもある）及びランダムデータを、前記秘密の推測が難しい合成物に組み込むことも含む。ユーザを認証するため、例として、ＡＥＳ（高度暗号化標準）暗号化アルゴリズムのホワイトボックス実装をアプリケーションにおいて使用することができる。

【0008】

しかし、ホワイトボックス実装でさえ、攻撃者が必要な資源をロールアウトすることを条件として、暗号アルゴリズムが特定の攻撃（統計的攻撃）を受け易い点でセキュリティ上の問題が生じる。そのような攻撃は、具体的には、攻撃者がメモリに基づいてアプリケーションの実行をモニタできる際に可能である。

【0009】

攻撃者がホワイトボックス実装での暗号アルゴリズムの暗号鍵を発見できた場合、対象のアプリケーションの供給業者は、対象の暗号アルゴリズム及び新しい関連秘密をもう一度防御するために、異なる設計の新しいホワイトボックス実装を使用する必要がある。これにより、問題が生じ、なぜなら、所定のアルゴリズムに対して可能なホワイトボックス実装の数は、比較的限られているためである。従って、暗号アルゴリズムのホワイトボックス実装の選択又は修正に関して、供給業者の自由は、非常に限られている。従って、攻撃にさらされている暗号アルゴリズムを防御することは、即座に困難になり得る。

【先行技術文献】

【非特許文献】

【0010】

【非特許文献1】“Ｗｈｉｔｅ－Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ ａｎ ＡＥＳ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ”（Ｓｔａｎｌｅｙ Ｃｈｏｗ，Ｐｈｉｌｉｐ Ａ．Ｅｉｓｅｎ，Ｈａｒｏｌｄ Ｊｏｈｎｓｏｎ，ａｎｄ Ｐａｕｌ Ｃ．ｖａｎ Ｏｏｒｓｃｈｏｔ；Ｉｎ Ｋａｉｓａ Ｎｙｂｅｒｇ ａｎｄ Ｈｏｗａｒｄ Ｍ．Ｈｅｙｓ，ｅｄｉｔｏｒｓ；Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ，ｖｏｌｕｍｅ ２５９５ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｐａｇｅｓ ２５０－２７０．Ｓｐｒｉｎｇｅｒ，２００２；ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１３／１０４．ｐｄｆ）

【発明の概要】

【発明が解決しようとする課題】

【0011】

使用される１つ又は複数の暗号鍵があらゆる攻撃から効果的に保護されるように、暗号アルゴリズムを十分に防御することも望ましい。加えて、所定のアプリケーションを保護するために使用された暗号アルゴリズムへの攻撃を攻撃者が達成できた場合、対象のアプリケーションをできる限り良好に防御できるように、ソフトウェア実装を容易に適応させることができる必要がある。

【0012】

その上、プロトコル又は所定のアプリケーションを保護するために暗号アルゴリズムが使用される際、所定のプロトコル又はアプリケーションに影響を及ぼすことなく（従って対象のプロトコル又はアプリケーションへの影響を最小限に抑えて）、必要に応じて暗号アルゴリズムのソフトウェア実装を適応させ得ることが望ましい。

【課題を解決するための手段】

【0013】

この目的のため、本発明は、第２のデバイスと協働する第１のデバイスによって実施される処理方法であって、
ａ）第２のデバイスから、第１のチャレンジデータを含む第１のデータを受信することと、
ｂ）第１の暗号化アルゴリズムによる暗号化から得られた暗号化された暗号鍵を含む鍵データを得ることであって、前記鍵データは、暗号化された暗号鍵及びマスキング鍵に基づいて暗号マスキング関数を実行することによってマスキングされる、得ることと、
ｃ）第２のデバイスから、アンマスキング鍵を受信することと、
ｄ）ｂ）で得られた鍵データ及びｃ）で受信されたアンマスキング鍵に基づいて暗号アンマスキング関数を実行することにより、暗号化された暗号鍵を決定することと、
ｅ）暗号化された暗号鍵に基づいて、ホワイトボックス実装で第１の復号アルゴリズムを実行することによる復号により、復号された暗号鍵を決定することと、
ｆ）復号された暗号鍵及び受信された第１のチャレンジデータに基づいて、既定の暗号アルゴリズムを実行することによる暗号動作により、解答データを決定することと、
ｇ）ａ）で受信された第１のデータに応答して、第２のデバイスに第１のデバイスを認証させるために解答データを第２のデバイスに送信することと
を含む処理方法に関する。

【0014】

本発明は、有利には、確実且つ柔軟に第２のデバイスに第１のデバイスを認証させることを可能にする。本発明は、具体的には、使用されるソフトウェア実装における自由度を高めた状態であらゆる暗号アルゴリズムを効果的に防御することを可能にする。

【0015】

本発明は、使用される１つ又は複数の暗号鍵があらゆる攻撃から効果的に保護されるように、暗号アルゴリズムを防御することを可能にする。加えて、所定のアプリケーションを保護するために使用された暗号アルゴリズムへの攻撃に攻撃者が成功した場合、本発明を使用して、対象のアプリケーションをできる限り良好に防御できるように、ソフトウェア実装を容易に適応させることができる。

【0016】

その上、所定のプロトコル又はアプリケーションを保護するために暗号アルゴリズムが使用される際、本発明は、所定のプロトコル又はアプリケーションに影響を及ぼすことなく（従って対象のプロトコル又はアプリケーションへの影響を最小限に抑えて）、必要に応じて暗号アルゴリズムのソフトウェア実装を適応させることができる。

【0017】

特定の実施形態によれば、第１の暗号化アルゴリズム及び第１の復号アルゴリズムは、逆暗号関数を実行するように構成された関連付けられた暗号アルゴリズムである。

【0018】

特定の実施形態によれば、第１の暗号化及び復号アルゴリズムは、既定の暗号アルゴリズムと異なる。

【0019】

特定の実施形態によれば、方法は、ｃ）アンマスキング鍵を受信することの前に、
ｈ）第２のチャレンジデータを含む第２のデータを第２のデバイスに送信すること
をさらに含み、ｃ）で第２のデバイスから受信されるアンマスキング鍵は、第２のチャレンジデータに基づいて演算される。

【0020】

特定の実施形態によれば、方法は、ｈ）の前に、
ｉ）トークンを得ることであって、トークンは、
－ 鍵データと、
－ 暗号鍵が有効である有効期間を示す第１の時間データと、
－ 前記有効期間中に使用可能な前記暗号鍵の識別子と
を含む、得ること
を含み、ｈ）で送信される第２のデータは、トークンから抽出された第１の時間データ及び識別子を含む。

【0021】

特定の実施形態によれば、方法は、
ｊ）ａ）で受信された第１のデータに含まれる第２の時間データに基づいて、第１のデバイスによってアクセス可能な１つ又は複数のトークンの中から、ｉ）で得られたトークンを選択すること
をさらに含み、前記第２の時間データは、選択されたトークンの暗号鍵が有効でなければならない有効期間を示す。

【0022】

特定の実施形態によれば、ｉ）で得られたトークンは、第１の時間データ及び識別子とは別個の第２のチャレンジデータをさらに含み、
ｈ）で送信される第２のデータは、トークンから抽出された第２のチャレンジデータを含む。

【0023】

特定の実施形態によれば、ｈ）で送信される第２のデータに含まれる第１の時間データ及び識別子は、第２のチャレンジデータを構成する。

【0024】

特定の実施形態によれば、トークンは、ホワイトボックス実装に適したフォーマットで符号化された鍵をさらに含み、
ｅ）では、復号された暗号鍵は、暗号化された暗号鍵に基づいて、且つトークンから抽出されたホワイトボックス実装に適したフォーマットで符号化された鍵に基づいて、ホワイトボックス実装で第１の復号アルゴリズムを実行することによる復号によって決定される。

【0025】

特定の実施形態によれば、暗号マスキング及びアンマスキング関数は、それぞれ関連付けられた暗号化及び復号関数である。

【0026】

特定の実施形態によれば、暗号マスキング及びアンマスキング関数は、対称暗号化関数であり、マスキング鍵及びアンマスキング鍵は、同一である。

【0027】

特定の実施形態によれば、暗号マスキング及びアンマスキング関数は、ＸＯＲ関数である。

【0028】

特定の実施形態によれば、方法は、ｇ）に続いて、
ｋ）第２のデバイスに第１のデバイスを認証させることに成功したという検出に応答して、第２のデバイスと協働して既定の関数をトリガすること
を含む。

【0029】

特定の実施形態では、処理方法の異なるステップは、コンピュータプログラム命令によって決定される。

【0030】

結果的に、本発明は、情報媒体（又は記録媒体）上のコンピュータプログラムにも関し、このプログラムは、デバイス（いわゆる「第１のデバイス」）又はより一般的にはコンピュータにおいて実装することができ、このプログラムは、本明細書で定義されるような処理方法のステップの実施に適した命令を含む。

【0031】

このプログラムは、いかなるプログラミング言語も使用することができ、ソースコード、オブジェクトコード若しくはソースコードとオブジェクトコードとの間の中間コード（部分的にコンパイルされた形態など）の形態又は他の任意の望ましい形態であり得る。

【0032】

また、本発明は、情報媒体（又は記録媒体）にも関し、情報媒体は、コンピュータによって読み取ることができ、本明細書で定義されるようなコンピュータプログラムの命令を含む。

【0033】

情報媒体は、プログラムを格納することができるいかなる実体又はデバイスでもあり得る。例えば、媒体は、書き換え可能な不揮発性メモリ若しくはＲＯＭメモリなどの格納手段（例えば、ＣＤ－ＲＯＭ若しくはマイクロ電子回路ＲＯＭ）又は磁気記録手段（例えば、フロッピーディスク若しくはハードディスク）を含み得る。

【0034】

その上、情報媒体は、電気又は光信号などの伝送可能媒体でもあり得、電気若しくは光ケーブルを介して、無線機によって又は他の手段によって搬送することができる。本発明によるプログラムは、具体的には、インターネットタイプのネットワーク上でダウンロードすることができる。

【0035】

代わりに、情報媒体は、プログラムが組み込まれた集積回路であり得、回路は、対象の方法の実行に適しているか又はその実行時の使用に適している。

【0036】

また、本発明は、本明細書で定義されるような処理方法を実施することができるデバイス（いわゆる第１のデバイス）にも関する。具体的には、本発明は、第２のデバイスと協働することができる第１のデバイスであって、
－ 第２のデバイスから、第１のチャレンジデータを含む第１のデータを受信するように構成された第１の受信モジュールと、
－ 第１の暗号化アルゴリズムによる暗号化から得られた暗号化された暗号鍵を含む鍵データを得るように構成された取得モジュールであって、前記鍵データは、暗号化された暗号鍵及びマスキング鍵に基づいて暗号マスキング関数を実行することによってマスキングされる、取得モジュールと、
－ 第２のデバイスから、アンマスキング鍵を受信するように構成された第２の受信モジュールと、
－ 得られた鍵データ及び受信されたアンマスキング鍵に基づいて暗号アンマスキング関数を実行することにより、暗号化された暗号鍵を決定するように構成された第１の決定モジュールと、
－ 暗号化された暗号鍵に基づいて、ホワイトボックス実装で第１の復号アルゴリズムを実行することによる復号により、復号された暗号鍵を決定するように構成された第２の決定モジュールと、
－ 復号された暗号鍵に基づいて、且つ受信された第１のチャレンジデータに基づいて、既定の暗号アルゴリズムを実行することによる暗号動作により、解答データを決定するように構成された第３の決定モジュールと、
－ 受信された第１のデータに応答して、第２のデバイスに第１のデバイスを認証させるために解答データを第２のデバイスに送信するように構成された送信モジュールと
を含む第１のデバイスを提供する。

【0037】

上記で言及した異なる実施形態（及び以下で説明されるもの）は、本発明の処理方法及び関連する利点との関係において、本発明の第１のデバイスに同様の方法で適用できることに留意されたい。

【0038】

処理方法の各ステップについて、本発明の第１のデバイスは、前記ステップを実行するように構成された対応するモジュールを含み得る。

【0039】

この観点では、本明細書の「モジュール」という用語は、ソフトウェアコンポーネント、ハードウェアコンポーネント又はハードウェアコンポーネントとソフトウェアコンポーネントとのアセンブリと同様であり得る。

【0040】

ソフトウェアコンポーネントは、１つ若しくは複数のコンピュータプログラム、プログラムの１つ若しくは複数のサブプログラム又はより一般的には対象のモジュールに対して以下で説明されるものに従って機能若しくは機能セットを実施することができるプログラム若しくはソフトウェアの任意の要素と均等である。そのようなソフトウェアコンポーネントは、物理的実体（端末、サーバ、ゲートウェイ、ルータなど）のデータプロセッサによって実行することができ、この物理的実体のハードウェア資源（メモリ、記録媒体、通信バス、電子入力／出力カード、ユーザインタフェースなど）にアクセスすることができる。

【0041】

同様に、ハードウェアコンポーネントは、対象のモジュールに対して以下で説明されるように機能又は機能セットを実施することができるハードウェアアセンブリの任意の要素と均等である。ハードウェアコンポーネントは、プログラム可能なハードウェアコンポーネント又はソフトウェアを実行するための内蔵プロセッサ（例えば、集積回路、チップカード、メモリカード、ファームウェアを実行するための電子カードなど）を有するハードウェアコンポーネントであり得る。

【0042】

本発明の他の特徴及び利点は、添付の図面を参照することにより、以下で提供される説明から明らかになるであろう。添付の図面は、限定することなく、その例示的な実施形態を示す。

【図面の簡単な説明】

【0043】

【図1】第１の例による、第２のデバイスに第１のデバイスを認証させるための方法を概略的に表す。

【図2】特定の実施形態による、第１のデバイスが第２のデバイス及びリモートサーバと協働する環境を概略的に表す。

【図3】本発明の特定の実施形態による第１のデバイスの構造を概略的に表す。

【図4】本発明の特定の実施形態による第２のデバイスの構造を概略的に表す。

【図5】本発明の特定の実施形態による、第１のデバイスによって実装されるモジュールを概略的に表す。

【図6】本発明の特定の実施形態による処理方法のステップを図の形式で表す。

【図7】本発明の特定の実施形態による処理方法のステップを図の形式で表す。

【図8】図６に示される処理方法の変形形態を図の形式で表す。

【発明を実施するための形態】

【0044】

既に示した通り、本明細書は、第１のデバイスの認証に関し、より一般的には、例えば任意のサービス又は任意の機能へのアクセスを目的として、第２のデバイスにこの第１のデバイスのユーザを認証させることに関する。

【0045】

以下で説明される実施形態は、車両（例えば、車など）のアクセス制御のカテゴリ内に入る。従って、第１のデバイスは、ユーザにより、車両へのアクセスを制御する別のデバイスに自らを認証させるために使用される。しかし、本発明は、より一般的には、暗号処理に適用され、いかなる第１のデバイスも、それ自体を別のいわゆる第２のデバイスに認証させ得ることが理解されるであろう。例として、本発明の第２のデバイスは、ドアの制御又は車両の始動／停止制御など、車両のあらゆる機能性を制御するように構成される。第２のデバイスは、同様に、家のドアの制御、セキュリティゲートの制御、交通機関へのアクセスの制御又はインターネットサービス、ゲームコンソールなどへのアクセスの制御を行うことができる。

【0046】

第１及び第２のデバイスの本質は、構想される１つ又は複数のアプリケーションに応じて異なり得る。第１のデバイスは、例えば、端末（携帯電話、タブレット、コンピュータなど）、ＵＳＢキー又は均等物であり得る。

【0047】

本発明は、具体的には、認証のために使用される暗号鍵を保護するためのホワイトボックス実装での暗号アルゴリズムにより、第２のデバイスに第１のデバイスを認証させる上でのセキュリティの強化を提供する。この実現のため、第１のデバイスは、それ自体を第２のデバイスに認証させるために第２のデバイスと協働する。処理方法（認証方法）中、第１のデバイスは、第１のデバイスと第２のデバイスとの間の以前の対話中に第２のデバイスによって供給されたアンマスキング鍵を使用して、第１のデバイスが所有する暗号化された暗号鍵のアンマスキングを実行する。次いで、第１のデバイスは、ホワイトボックス実装で復号アルゴリズムを実行することにより、こうして得られた暗号化された暗号鍵を復号する。次いで、第１のデバイスは、この復号された暗号鍵及び第２のデバイスによって事前に供給されているチャレンジデータに基づいて、既定の暗号アルゴリズムを実行することにより、解答を生成することができる。第１のチャレンジデータに応答して、この解答を第２のデバイスに送信することにより、第１のデバイスは、それ自体を第２のデバイスに認証させることができ、第２のデバイスは、解答の有効性を検証し、その検証から、認証に成功するか又は失敗するかを推測することができる。

【0048】

本発明の他の態様及び利点は、上記で言及した図面を参照することにより、以下で説明される例示的な実施形態から明らかになるであろう。

【0049】

既に示した通り、ホワイトボックス暗号は、所定の暗号アルゴリズムの機能性を実装することを含む周知の技法であるが、安全な実装（いわゆるホワイトボックス実装）を使用するために、このアルゴリズムの実装を適応させることによって行われる。読者は、例えば、参考文献：（非特許文献１）を参照されたい。

【0050】

暗号アルゴリズムの公式仕様書（規格、基準などの）は、これらのアルゴリズムの演算で実施される数学関数の記述を供給する（例えば、ＡＥＳアルゴリズムは、米国標準技術局（ＮＩＳＴ）によって標準化されている）。そのような暗号アルゴリズムのホワイトボックス実装は、例えば、あらゆる攻撃から秘密を保護するために実装のコードで秘密を隠すようにこれらのアルゴリズムで実施される関数又はデータの内部の表現を変更することにより、これらの記述を修正することを目的とする。例えば、テーブルを使用して、秘密鍵（データの形態及び／又はコードの形態のもの）とランダムデータとの両方を、秘密鍵の推測が難しい関数と組み合わせることができる。所定の暗号アルゴリズムのホワイトボックス実装の一般的な原理は、当業者によく知られているため、本明細書でさらに詳細に説明することはしない。

【0051】

既に示した通り、ホワイトボックス実装での暗号アルゴリズムの現行の技法は、セキュリティの観点から利点を提供するが、プロトコル又はアプリケーションを効果的に保護するというそれらの能力における制約及び制限も必要とすることを本出願人は認めている。これは、具体的には、ホワイトボックス実装での暗号アルゴリズムが、一般に、保護することが望まれるプロトコル又はアプリケーションによって使用されるという事実に起因する。

【0052】

図１は、ホワイトボックス実装でのＡＥＳ（高度暗号化標準）に基づくＭＡＣ（メッセージ認証コード）アルゴリズムが、第１のデバイス２（この例では端末）により、それ自体を第２のデバイス４（この例では車両）に認証させるために使用される第１のソリューションを概略的に表す。

【0053】

図に示されるように、認証方法中、端末２と車両４とが互いに対話して、端末２がそれ自体を車両４に認証させることができるようにすると仮定される。車両４は、無作為に選択されたチャレンジデータＣＨ０を端末２に送信する（Ｅ２）。次いで、端末２は、受信したチャレンジデータＣＨ０に基づいて解答ＲＰ０を演算する（Ｅ４）。この実現のため、端末２は、ＡＥＳベースのＭＡＣアルゴリズム又はより正確にはこのアルゴリズムの特定のホワイトボックス実装（ｗｂ［ａｅｓ／Ｋ_EC］で示される）をそのメモリに有する。このホワイトボックス実装は、埋め込まれた暗号鍵Ｋ_ECを有し、この暗号鍵Ｋ_ECは、実装のコードでマスキングされている。従って、端末２は、車両４によって供給されたチャレンジデータＣＨ０に基づいて、ホワイトボックス実装でＡＥＳベースのＭＡＣアルゴリズムを実行する（Ｅ４）（ＲＰ０＝ｗｂ［ａｅｓ／Ｋ_EC］（ＣＨ０）として表される）。決定された時点で、端末２は、解答ＲＰ０を車両４に送信し（Ｅ６）、車両４は、受信した解答ＲＰ０の有効性を検証することができる。この実現のため、車両は、チャレンジデータＣＨ０及び車両が所有する鍵Ｋ_ECに基づいて、ＡＥＳベースのＭＡＣアルゴリズムを実行することにより、それ自体の解答ＲＰ０ａを演算する（Ｅ８）。次いで、車両は、受信した解答ＲＰ０と、その理論的な解答ＲＰ０ａとを比較し（Ｅ１０）、ＲＰ０とＲＰ０ａが一致した場合、端末２の認証に成功する。

【0054】

図１に示される例では、ホワイトボックス実装技法は、端末２を認証させるために車両４によって使用されるＡＥＳベースのＭＡＣアルゴリズムに直接適用されるが、これにより問題が生じる。既に述べた通り、同一の暗号アルゴリズム（すなわちこの例ではＡＥＳベースのＭＡＣアルゴリズム）に対する可能なホワイトボックス実装は、限られた数のみがある。攻撃者が暗号鍵Ｋ_ECを決定できた場合又は端末２においていかなる理由であれＡＥＳベースのＭＡＣアルゴリズムの実装のセキュリティが危殆化した場合、優れたセキュリティレベルを維持しながら、端末２でのこの同じＡＥＳベースのＭＡＣアルゴリズムの新しいホワイトボックス実装を実施することは、困難であることが証明され得る。この例では、車両４の構成により、車両４、従って端末２でのＡＥＳベースのＭＡＣアルゴリズムの使用が課されるという事実、及びこの例では、ホワイトボックス実装技法が端末２内でこのＡＥＳベースのＭＡＣアルゴリズムに適用されるという事実により、プログラマには、限られた自由のみがある。その上、端末２を認証するために車両４によって使用されるアルゴリズムを修正することが可能であるとしても、これは、一般に、既に現場に展開されたデバイスの構成の徹底的な修正を必要とするために望ましくない。

【0055】

本発明は、原理の変更を提供し、現在ではもはや第１のデバイスを認証するために第２のデバイスによって課されるアルゴリズムではなく、認証プロセスを防御するために第１のデバイスによって使用される（ただし、認証方法中に第２のデバイスによって使用されない）別の復号アルゴリズムにホワイトボックス実装技法を適用することによって行われる。従って、第２のデバイスにいかなる影響も及ぼすことなく、具体的には第２のデバイスの構成の徹底的ないかなる修正も必要とすることなく、認証プロセスにわたって優れたセキュリティレベルを維持しながら、第１のデバイスにおいてこの他の復号アルゴリズムのホワイトボックス実装を適応させて防御することが可能である。第１のデバイス側でのホワイトボックス実装のいかなる適応も、第２のデバイスとは無関係であり、それにより攻撃から認証方法をより良好に防御する上でさらなる柔軟性が提供される。

【0056】

ここで、図２～８を参照して、特定の実施形態について説明する。別段の指定がない限り、いくつかの図にわたる共有要素又は同様の要素は、同じ参照符号を有し、同一又は同様の特徴を有するものであり、簡単にするため、再びこれらの共有要素を一般的に説明することはしない。

【0057】

図２は、第１のデバイスＤＶ１が第２のデバイスＤＶ２と協働する環境Ｅを示す。第１のデバイスＤＶ１及び第２のデバイスＤＶ２は、共にシステムＳＹ１を形成する。

【0058】

この例では、第１のデバイスＤＶ１は、例えば、携帯電話（スマートフォン）又はタブレットなどの端末である。第２のデバイスＤＶ２は、車両８に含まれるか又は車両８と結合された家電である。変形形態では、デバイスＤＶ２は、車両８自体であり得る。

【0059】

この例では、ユーザＵＲは、端末ＤＶ１を使用して、自らを車両８、より具体的には車両８へのアクセスを制御する第２のデバイスＤＶ２に認証させる。

【0060】

環境Ｅは、任意選択により、少なくとも第１のデバイスＤＶ１及び第２のデバイスＤＶ２（又はこれらの少なくとも１つ）との通信が可能なリモートサーバＳＶ１を含む。サーバＳＶ１は、例えば、トークンＴＮ（データ群とも呼ばれる）の形態のデータを第１のデバイスＤＶ１に送信するか、又はチャレンジデータＣＨ２を第２のデバイスＤＶ２に送信することができるが、本発明の実装形態は、そのようなサーバＳＶ１がなくとも可能である。

【0061】

図３は、特定の実施形態による、図２に示される第１のデバイスＤＶ１の構造を示す。この例では、第１のデバイスＤＶ１は、プロセッサ１０、揮発性メモリ１２、不揮発性メモリ１４、不揮発性メモリ１６及び通信インタフェースＩＮＴ１を含む。

【0062】

メモリ１４は、書き換え可能な不揮発性メモリ又は読み取り専用メモリ（ＲＯＭ）であり、このメモリは、第１のデバイスＤＶ１によって読み取り可能な特定の実施形態による記録媒体（又は情報媒体）を構成し、このメモリ上には、特定の実施形態によるコンピュータプログラムＰＧ１が登録されている。このコンピュータプログラムＰＧ１は、後に説明されるように、特定の実施形態による処理方法のステップを実行するための命令を含む。

【0063】

メモリ１６は、既定の暗号アルゴリズムＡＬｐと共にトークンＴＮ、復号アルゴリズムｐｄｅｃのホワイトボックス実装（ｗｂ［ｐｄｅｃ］で示される）を格納することができる書き換え可能な不揮発性メモリである。しかし、メモリ１６のコンテンツは、考慮される本発明の実装形態に応じて異なり得る。この例では、メモリ１６は、ＴＮ１～ＴＮ２０で示されるトークンＴＮセットを格納し、それらの各々は、鍵データＣ_EC、チャレンジデータＣＨ２並びにデータＥＸＰ及びＩＤを含む。後に説明されるように、トークンＴＮのコンテンツ及びトークンＴＮの数は、事例に応じて異なり得る。例として、実装形態は、そのようなトークンＴＮがなくとも又はこれらのトークンＴＮ内のデータＥＸＰ及びＩＤがなくとも可能である。

【0064】

後に説明されるように、鍵データＣ_ECは、暗号化アルゴリズムｐｅｎｃの実行による暗号化から得られた暗号化された暗号鍵Ｄ_ECを含む。後にさらに明らかになるように、この暗号化アルゴリズムｐｅｎｃは、復号アルゴリズムｐｄｅｃの逆に対応する（換言すれば、これらの２つのアルゴリズムは、互いに合致する）ものであり、復号アルゴリズムｐｄｅｃは、暗号化アルゴリズムｐｅｎｃによって実行された暗号化を無効化又は復号することができる。

【0065】

従って、暗号化された暗号鍵Ｄ_ECは、暗号化された形態の暗号鍵Ｋ_ECと均等である（Ｄ_EC＝ｅｎｃ（Ｋ_EC））。ホワイトボックス実装での復号アルゴリズムｐｄｅｃは、いかなる復号アルゴリズム（専有アルゴリズム又はＡＥＳアルゴリズムのすべて若しくは一部など）でもあり得る。後に説明されるように、本発明の態様は、この例では、ホワイトボックス実装技法がこの復号アルゴリズムｐｄｅｃに適用されるという事実に基づく。

【0066】

鍵データＣ_EC（従ってＣ_ECに含まれる暗号化された暗号鍵Ｄ_EC）は、暗号化された暗号鍵Ｄ_EC及びマスキング鍵Ｋ１に基づいて暗号マスキング関数Ｆ１を実行することによってさらにマスキングされる。換言すれば、鍵データＣ_ECは、暗号化された暗号鍵Ｄ_EC及びマスキング鍵Ｋ１を入力として取り入れて、暗号マスキング関数Ｆ１を実行することから得られる。従って、鍵データＣ_ECに含まれる暗号化された暗号鍵Ｄ_ECは、マスキング関数Ｆ１の実行によってマスキングされる。従って、鍵データＣ_ECは、暗号化された形態（ｐｅｎｃによって）の暗号鍵Ｋ_ECにマスキングを行ったもの（Ｆ１によって）と均等である。

【0067】

後に示されるように、鍵データＣ_ECを生成するために関数Ｆ１によってマスキングを実行するのは、第１のデバイスＤＶ１ではない。しかし、第１のデバイスＤＶ１は、鍵データＣ_ECを得るか又は受信して、それらをメモリ１６に格納することができる。

【0068】

メモリ１６に含まれる異なる要素の本質及び使用については、後にさらに詳細に説明する。

【0069】

通信インタフェースＩＮＴ１は、有線又は無線タイプの適切な通信リンクを介して（例えば、Ｂｌｕｅｔｏｏｔｈ、Ｗｉ－Ｆｉ、ＮＦＣ又は無線通信タイプ（例えば、ＧＳＭ若しくはＬＴＥなど）を介して）第１のデバイスＤＶ１が第２のデバイスＤＶ２と通信できるようにする。

【0070】

プロセッサ１０は、揮発性メモリ１２も使用し、本発明の処理方法の実施中にコンピュータプログラムＰＧ１を実行することを含めて、第１のデバイスＤＶ１の動作に必要な異なる動作又は機能を実行する。

【0071】

図４は、特定の実施形態による、図２に示される第２のデバイスＤＶ２の構造を示す。この例では、第２のデバイスＤＶ２は、プロセッサ２０、揮発性メモリ２２、不揮発性メモリ２４、不揮発性メモリ２６及び通信インタフェースＩＮＴ２を含む。

【0072】

メモリ２４は、書き換え可能な不揮発性メモリ又は読み取り専用メモリ（ＲＯＭ）であり、このメモリは、第２のデバイスＤＶ２によって読み取り可能な特定の実施形態による記録媒体（又は情報媒体）を構成し、このメモリ上には、特定の実施形態によるコンピュータプログラムＰＧ２が記録されている。このコンピュータプログラムＰＧ２は、後に説明されるように、特定の実施形態による処理方法のステップを実行するための命令を含む。

【0073】

メモリ２６は、書き換え可能な不揮発性メモリであり、上記で言及した既定の暗号アルゴリズムＡＬｐ、暗号化アルゴリズムＡＬ１、１つ又は複数の鍵Ｋ_ECを導き出すことができるマスター鍵ＭＫ、鍵ＴＫ並びにデータＥＸＰ及びＩＤを格納することができる。しかし、メモリ２６のコンテンツは、考慮される本発明の実装形態に応じて異なり得る。例として、実装形態は、ＥＸＰ、ＩＤ、ＴＫ及びＭＫの少なくとも１つがなくとも（又は全くなくとも）可能である。

【0074】

図４に示されるように、メモリ２６は、時間データＥＸＰｍｉｎ（以下で第２の時間データと呼ばれる）を格納することもできるが、本発明の実装形態は、この時間データにおいて可能である。

【0075】

メモリ２６に含まれる異なる要素の本質及び使用については、後に特定の例においてさらに詳細に説明する。

【0076】

従って、ここで考慮される例では、第２のデバイスＤＶ２に第１のデバイスＤＶ１を認証させるために、認証方法中、第１及び第２のデバイスＤＶ１、ＤＶ２により、既定の暗号アルゴリズムＡＬｐが使用される。この暗号アルゴリズムＡＬｐは、当然ながら、第１及び第２のデバイスＤＶ１、ＤＶ２が同じ暗号アルゴリズムＡＬｐを使用する限り、暗号化（又はより一般的には暗号動作）を実行するために使用されるいかなるアルゴリズムでもあり得る。この暗号アルゴリズムＡＬｐは、例えば、ＡＥＳ暗号化アルゴリズム、署名演算アルゴリズム又はＭＡＣ（メッセージ認証コード）識別子演算アルゴリズム（例えば、ＡＥＳに基づくもの）であり得る。第２のデバイスＤＶ２の構成の徹底的な修正は、望ましくないため、第１のデバイスＤＶ１で実装される暗号アルゴリズムＡＬｐの本質は、第２のデバイスＤＶ２の構成によって与えられる。

【0077】

その上、通信インタフェースＩＮＴ２は、ＤＶ１とＤＶ２との間の通信リンクを確立するために、第１のデバイスＤＶ１の通信インタフェースＩＮＴ１と協働するように構成される（逆も同様）。既に示した通り、このリンクは、様々な種類（有線又は無線）のものであり得る。

【0078】

プロセッサ２０は、揮発性メモリ２２をさらに使用し、本発明の処理方法の実施中にコンピュータプログラムＰＧ２を実行することを含めて、第２のデバイスＤＶ２の動作に必要な異なる動作又は機能を実行する。

【0079】

図２～４に示される第１及び第２のデバイスＤＶ１、ＤＶ２は、単なる例示的な実施形態を構成し、他の実装形態は、本発明の範囲内で可能であることに留意されたい。当業者によって理解されるように、第１及び第２のデバイスＤＶ１、ＤＶ２のある要素は、本明細書では、本発明を簡単に理解できるようにするためにのみ説明され、これらの要素が必ずしも本発明を実行するために必要であるとは限らない。

【0080】

特定の実施形態に従って図５に示されるように、コンピュータプログラムＰＧ１によって駆動される第１のデバイスＤＶ１のプロセッサ１０は、ここで、ある数のモジュールを実装し、すなわち第１の受信モジュールＭＤ２、取得モジュールＭＤ４、第２の受信モジュールＭＤ６、第１の決定モジュールＭＤ８、第２の決定モジュールＭＤ１０、第３の決定モジュールＭＤ１２及び送信モジュールＭＤ１４を実装し、また適用可能な場合、第２の取得モジュールＭＤ１６及び／又は第２の送信モジュールＭＤ１８も実装する。しかし、本発明の実装形態は、具体的には、これらのモジュールＭＤ１６及びＭＤ１８がなくとも可能である。

【0081】

より正確には、第１の受信モジュールＭＤ２は、第２のデバイスＤＶ２から、第１のチャレンジデータＣＨ１を含む第１のデータＤＴ１を受信するように構成される。

【0082】

取得モジュールＭＤ４は、具体的には図３を参照して上記で既に説明した通り、鍵データＣ_ECを得るように構成される。従って、鍵データＣ_ECは、Ｄ_ECで示される暗号化された暗号鍵（暗号アルゴリズムｐｅｎｃによって事前に暗号化されているもの）を含み、鍵データＣ_ECは、それ自体、暗号化された暗号鍵Ｄ_EC及びマスキング鍵Ｋ１に基づいて暗号マスキング関数Ｆ１を事前に実行することによってマスキングされている。

【0083】

従って、既に示した通り、暗号化された暗号鍵Ｄ_ECは、暗号鍵Ｋ_ECの暗号化されたバージョンであり、このバージョンは、暗号アルゴリズムｐｅｎｃによって暗号鍵Ｋ_ECを暗号化することによって得られる。その上、鍵データＣ_ECに含まれる暗号化された暗号鍵Ｄ_ECは、それ自体、マスキング関数Ｆ１を実行することによってマスキングされている。

【0084】

取得モジュールＭＤ４が鍵データＣ_ECを回収する方法は、後に説明されるように、事例に応じて異なり得る。鍵データＣ_ECは、例えば、外部から（例えば、サーバＳＶ１（図２）から）事前に受信することができる。サーバＳＶ１は、例えば、これらの鍵データＣ_ECを生成するように構成することができる。

【0085】

第２の受信モジュールＭＤ６は、第２のデバイスＤＶ２から、アンマスキング鍵Ｋ２を受信するように構成される。このアンマスキング鍵Ｋ２は、以下で示されるように、暗号アンマスキング関数Ｆ２の入力として使用できるように構成される。

【0086】

第１の決定モジュールＭＤ８は、取得モジュールＭＤ４によって得られた鍵データＣ_ECに基づいて、且つ第２の受信モジュールＭＤ６によって受信されたアンマスキング鍵Ｋ２に基づいて、暗号アンマスキング関数Ｆ２を実行することにより、暗号化された暗号鍵Ｄ_EC（すなわち鍵Ｋ_ECの暗号化されたバージョンであるが、マスキングされていないもの）を決定するように構成される。アンマスキング関数Ｆ２は、鍵データＣ_ECを生成するために関数Ｆ１によって以前に実行されたマスキングを無効化するように構成される。換言すれば、第１の決定モジュールＭＤ８は、鍵データＣ_ECを生成するために使用されたマスキング関数Ｆ１の逆暗号関数であるアンマスキング関数Ｆ２を使用して、鍵データＣ_ECのアンマスキングを実行する。後に言及するように、互いに逆の関係である限り、様々な暗号関数Ｆ１、Ｆ２を構想することができる。

【0087】

第２の決定モジュールＭＤ１０は、第１の決定モジュールＭＤ８によって決定された暗号化された暗号鍵Ｄ_ECに基づいて、ホワイトボックス実装（すなわちホワイトボックス実装ｗｂ［ｐｄｅｃ］）で復号アルゴリズムｐｄｅｃを実行することによる復号により、復号された暗号鍵Ｋ_ECを決定するように構成される。

【0088】

第３の決定モジュールＭＤ１２は、第２の決定モジュールＭＤ１０によって決定された復号された暗号鍵Ｋ_ECに基づいて、且つ第１の受信モジュールＭＤ２によって受信された第１のチャレンジデータＣＨ１に基づいて、上記で言及したような既定の暗号アルゴリズムＡＬｐを実行することによる暗号動作により、解答データＡＮＳ１を決定するように構成される。以下で特定の例において説明されるように、この暗号動作は、暗号化又は他のタイプの暗号動作（署名演算、ＭＡＣ演算など）であり得る。

【0089】

送信モジュールＭＤ１４は、第２のデバイスＤＶ２に第１のデバイスＤＶ１を認証させるために、第１の受信モジュールＭＤ２によって受信された第１のデータＤＴ１への返信として、第３の決定モジュールＭＤ１２によって決定された解答データＡＮＳ１を第２のデバイスＤＶ２に送信するように構成される。

【0090】

既に示した通り、第１のデバイスＤＶ１は、適用可能な場合、鍵データＣ_ECを含む少なくとも１つのトークンＴＮを得るように構成された第２の取得モジュールＭＤ１６も含み得る。次いで、取得モジュールＭＤ４は、トークンＴＮから鍵データＣ_ECを抽出するように構成される。特定の実施形態によれば、トークンＴＮは、チャレンジデータＣＨ２又はデータＥＸＰ及びＩＤなどの様々な他のデータを含み得、その本質及び使用については、後に説明する。

【0091】

既に示した通り、第１のデバイスＤＶ１は、適用可能な場合、第２のチャレンジデータＣＨ２を含む第２のデータＤＴ２を第２のデバイスＤＶ２に送信するように構成された第２の送信モジュールＭＤ１８も含み得る（第２のチャレンジデータＣＨ２は、例えば、適用可能な場合に第２の取得モジュールＭＤ１６によって得られたトークンＴＮから抽出される）。

【0092】

第１のデバイスＤＶ１のモジュールＭＤ２～ＭＤ１８の構成及び動作は、図６～８を参照することにより、本明細書で説明される例示的な実施形態においてより詳細に見えるであろう。図５に示されるようなモジュールＭＤ２～ＭＤ１８は、限定することなく、本発明の単なる例示的な実施形態を示すことに留意されたい。

【0093】

一般に、本発明の処理方法の各ステップについて、本発明の第１のデバイスは、前記ステップを実行するように構成された対応するモジュールを含み得る。

【0094】

ここで、図６を参照して、特定の実施形態について説明する。より正確には、図２～５を参照して以前に説明した第１のデバイスＤＶ１（以下で「端末」と呼ばれる）と第２のデバイスＤＶ２とは、具体的には第１のデバイスＤＶ１がそれ自体を第２のデバイスＤＶ２に認証させることができるようにするために互いに協働する。この実現のため、端末ＤＶ１は、第２のデバイスＤＶ２と協働して、コンピュータプログラムＰＧ１を実行することにより、処理方法（又は認証方法）を実施する。同様に、第２のデバイスＤＶ２は、端末ＤＶ１を認証するために、コンピュータプログラムＰＧ２を実行する。

【0095】

受信ステップＳ２中、端末ＤＶ１は、第２のデバイスＤＶ２から、ＣＨ１で示される第１のチャレンジデータを含む第１のデータＤＴ１を受信する。第２のデバイスＤＶ２は、例えば、方法をより安全にするために無作為に、Ｓ２で端末ＤＶ１に送信するチャレンジデータＣＨ１を選択する。

【0096】

その上、端末ＤＶ１は、暗号化された暗号鍵Ｄ_ECを含む鍵データＣ_ECを得る（Ｓ４）が、前記鍵データＣ_EC（従って鍵データＣ_ECに含まれる暗号化された鍵Ｄ_EC）は、暗号化された暗号鍵Ｄ_EC及びマスキング鍵Ｋ１に基づいて暗号マスキング関数Ｆ１を実行することによってマスキングされている。

【0097】

より具体的には、暗号化された暗号鍵Ｄ_ECは、暗号アルゴリズムｐｅｎｃによる暗号化から得られる。換言すれば、暗号化された暗号鍵Ｄ_ECは、暗号鍵Ｋ_ECの暗号化されたバージョンであり、このバージョンは、暗号アルゴリズムｐｅｎｃによって暗号鍵Ｋ_ECを暗号化することによって得られる。

【0098】

その上、鍵データＣ_ECに含まれる暗号化された暗号鍵Ｄ_ECは、それ自体、暗号マスキング関数Ｆ１を実行することによってマスキングされている。従って、鍵データＣ_ECは、暗号化された形態（ｐｅｎｃによって）の暗号鍵Ｋ_ECにマスキングを行ったもの（Ｆ１によって）と均等である。

【0099】

端末ＤＶ１が鍵データＣ_ECを回収する方法は、後に説明されるように、事例に応じて異なり得る。鍵データＣ_ECは、例えば、外部から（例えば、サーバＳＶ１（図２）から）事前に受信することができる。特定の例によれば、鍵データＣ_ECを生成するのは、サーバＳＶ１であり、暗号化アルゴリズムｐｅｎｃを実行することによって暗号鍵Ｋ_ECを暗号化して暗号化された暗号鍵Ｄ_ECを得て、次いでマスキング鍵Ｋ１に基づいて暗号マスキング関数Ｆ１を実行することにより、こうして得られた暗号化された暗号鍵Ｄ_ECをマスキングすることによって行われる。

【0100】

事前に、端末ＤＶ１は、そのメモリ１６（図３）に受信した鍵データＣ_ECを記録し、取得ステップＳ４でそのメモリ１６に問い合わせてこれらのデータを回収することができる。

【0101】

送信ステップＳ６中、端末ＤＶ１は、ＣＨ２で示される第２のチャレンジデータを含む第２のデータＤＴ２を第２のデバイスＤＶ２に送信する。端末ＤＶ１が第２のデバイスＤＶ２に送信するために第２のチャレンジデータＣＨ２を事前に決定する方法は、事例に応じて異なり得る。端末ＤＶ１は、例えば、鍵データＣ_ECと関連付けて第２のチャレンジデータＣＨ２を事前に受信して、そのメモリ１６に記録することができる。以下で示されるように、端末ＤＶ１が第２のデバイスＤＶ２にいかなる第２のデータＤＴ２も送信しない実装形態が可能である。

【0102】

この例では、第２のデバイスＤＶ２は、次いで、Ｓ６で受信された第２のチャレンジデータＣＨ２に基づいて、アンマスキング鍵Ｋ２を決定する（Ｓ８）。より正確には、第２のデバイスＤＶ２は、第２のチャレンジデータＣＨ２に基づいて、且つ適用可能な場合には第２のデバイスＤＶ２のメモリ２６に格納された鍵ＴＫにも基づいて（ただし、この鍵ＴＫの使用は、強いられない）暗号化アルゴリズムＡＬ１を実行することにより、このアンマスキング鍵Ｋ２を演算する。換言すれば、暗号化アルゴリズムＡＬ１は、第２のチャレンジデータＣＨ２を入力として取り入れ、且つ適用可能な場合には鍵ＴＫも入力として取り入れて、アンマスキング鍵Ｋ２を出力として生成する。このアンマスキング鍵Ｋ２は、このマスキングされた形態で鍵データＣ_ECに含まれる暗号化された暗号鍵Ｄ_ECを端末ＤＶ１がアンマスキングできるようにすることを目的として解答を構成する。

【0103】

Ｓ８では、アンマスキング鍵Ｋ２を生成するために、第２のデバイスＤＶ２により、いかなる暗号化アルゴリズムＡＬ１も使用することができるが、その暗号化アルゴリズムＡＬ１が、端末ＤＶ１が、以下で説明されるようなアンマスキングＳ１２を実行することができるような必要なアンマスキング鍵Ｋ２を生成できることを条件とすることに留意されたい。具体的には、暗号化アルゴリズムＡＬ１は、端末ＤＶ１を認証するために端末ＤＶ１及び第２のデバイスＤＶ２によって使用される既定の暗号アルゴリズムＡＬｐと異なり得る。暗号化アルゴリズムＡＬ１は、ＡＥＳアルゴリズム又は他の任意の適切な暗号化アルゴリズムであり得る。

【0104】

従って、送信ステップＳ１０中、第２のデバイスＤＶ２は、Ｓ６で受信した第２のデータＤＴ２に応答して、アンマスキング鍵Ｋ２を端末ＤＶ１に送信する。対話中に端末ＤＶ１によって事前に供給されたチャレンジデータＣＨ２に基づいてのみ、第２のデバイスＤＶ２は、アンマスキング鍵Ｋ２を生成することができるため、Ｓ６において端末ＤＶ１から第２のデバイスＤＶ２に第２のチャレンジデータＣＨ２を送信することにより、処理方法をさらに防御することができる。しかし、アンマスキング鍵Ｋ２を生成するか又は得るために第２のデバイスＤＶ２が端末ＤＶ１の第２のチャレンジデータＣＨ２を必要としない他の実装形態も可能である。

【0105】

変形形態として、端末ＤＶ１は、送信ステップＳ６中の第２のデータＤＴ２の送信を行わず、第２のデバイスＤＶ２は、Ｓ８において、適切な任意の方法でアンマスキング鍵Ｋ２を決定する（この鍵Ｋ２は、具体的には、外部から受信することができる）。次いで、第２のデバイスＤＶ２は、端末ＤＶ１からのチャレンジデータＣＨ２に対する解答を出すことなく、Ｓ１０において、アンマスキング鍵Ｋ２を端末ＤＶ１に送信する。

【0106】

特定の例によれば、第２のデバイスＤＶ２は、サーバＳＶ１からアンマスキング鍵Ｋ２を受信する。この実現のため、第２のデバイスＤＶ２は、例えば、サーバＳＶ１から１つ又は複数のアンマスキング鍵Ｋ２のリストを受信する。次いで、第２のデバイスＤＶ２は、このリストからアンマスキング鍵Ｋ２を抽出し（例えば、既定の順番に従って）、Ｓ１０においてそのアンマスキング鍵Ｋ２を端末ＤＶ１に送信する。

【0107】

別の例によれば、ＤＶ２は、サーバＳＶ１から、鍵Ｋ_ECと関連付けて、チャレンジデータＣＨ２又はアンマスキング鍵Ｋ２を受信することができる。

【0108】

従って、端末ＤＶ１は、第２のデータＤＴ２への返信として、第２のデバイスＤＶ２によって供給されたアンマスキング鍵Ｋ２を受信する（Ｓ１０）。次いで、決定ステップＳ１２中、端末ＤＶ１は、Ｓ４で得られた鍵データＣ_ECに基づいて、且つＳ１０で受信されたアンマスキング鍵Ｋ２に基づいて、暗号アンマスキング関数Ｆ２（上記で言及したような）を実行することによって暗号化された暗号鍵Ｄ_ECを決定する。換言すれば、鍵データＣ_EC及びアンマスキング鍵Ｋ２を入力として取り入れて、アンマスキング関数Ｆ２を実行して鍵データＣ_ECをアンマスキングし、従って暗号化された暗号鍵Ｄ_ECを出力として得る。

【0109】

アンマスキング関数Ｆ２は、事例に応じて適応させることができ、鍵データＣ_ECを生成するために暗号マスキング関数Ｆ１によって生じたマスキング効果を無効化するように選択される。換言すれば、アンマスキング関数Ｆ２は、マスキング関数Ｆ１の逆暗号効果（すなわちアンマスキング効果）をもたらすために、マスキング関数Ｆ１の関数として選択される。

【0110】

特定の例によれば、暗号マスキング関数Ｆ１及びアンマスキング関数Ｆ２は、それぞれ関連付けられた暗号化及び復号関数である。様々な暗号化及び復号関数を構想することができる。特定の例によれば、暗号マスキング関数Ｆ１及びアンマスキング関数Ｆ２は、対称暗号化関数であり、マスキング鍵Ｋ１（鍵データＣ_ECが生成されたものに基づく）及びアンマスキング鍵Ｋ２は、同一である。変形形態では、暗号マスキング関数Ｆ１及びアンマスキング関数Ｆ２は、非対称暗号化及び復号関数であり、鍵Ｋ１及びＫ２は、それぞれ異なる公開及び私有鍵である。

【0111】

特定の例によれば、暗号マスキング関数Ｆ１及びアンマスキング関数Ｆ２は、「排他的論理和（ｅｘｃｌｕｓｉｖｅ ＯＲ（いわゆるＸＯＲ又は排他的論理和（ｅｘｃｌｕｓｉｖｅ ｄｉｓｊｕｎｃｔｉｏｎ））」関数である。当業者によく知られているＸＯＲ関数は、従来の方式では、シンボル「

【数1】

」によって表される。従って、この特別な事例では、Ｆ１の適用によって生じたマスキング効果がＳ１２におけるＦ２の適用によって無効化される限り、関数Ｆ１及びＦ２は、同一であり、相殺し合うものである。

【0112】

鍵データＣ_ECの初期のマスキングは、暗号鍵Ｋ_ECの有利な保護を提供し、なぜなら、暗号化された暗号鍵Ｄ_ECを抽出できる（従ってそれから暗号鍵Ｋ_ECを推測できる）ようにするには、端末ＤＶ１は、事前に第２のデバイスＤＶ２と対話してアンマスキング鍵Ｋ２を回収できなければならないためである。このアンマスキング鍵Ｋ２を使用した場合に限り、端末ＤＶ１は、暗号アンマスキング関数Ｆ２を実行することにより、暗号化された暗号鍵Ｄ_EC（すなわち暗号化された形態の暗号鍵Ｋ_EC）を決定することができる。第２のデバイスＤＶ２によってアンマスキング鍵が供給されなければ、攻撃者は、暗号化された暗号鍵Ｄ_ECをアンマスキングすることができない。

【0113】

次いで、決定ステップＳ１４中、端末ＤＶ１は、その復号された形態（プレーンテキスト）の暗号鍵Ｋ_ECを決定する。この実現のため、端末ＤＶ１は、暗号化された暗号鍵Ｄ_ECに基づいてホワイトボックス実装で復号アルゴリズムｐｄｅｃを実行することにより、復号を実行する。換言すれば、端末ＤＶ１は、プレーンテキストの暗号鍵Ｋ_ECを出力として生成するために、暗号化された暗号鍵Ｄ_ECを入力として取り入れて、復号アルゴリズムｐｄｅｃのホワイトボックス実装ｗｂ［ｐｄｅｃ］を実行する。

【0114】

従って、本発明の原理によれば、端末ＤＶ１を認証するために第２のデバイスＤＶ２によって課される既定の暗号化アルゴリズムＡＬｐではなく、端末ＤＶ１に特有であり、従って方法をできる限り良好に防御するためにアルゴリズムＡＬｐよりも自由度を高めた状態で当業者によって適応させることができる復号アルゴリズムｐｄｅｃにホワイトボックス実装技法が適用される。

【0115】

復号アルゴリズムｐｄｅｃは、暗号鍵Ｋ_ECを得るため、暗号化された暗号鍵Ｄ_ECを生成するために暗号化アルゴリズムｐｅｎｃによって以前に実行された暗号化を逆にする（又は無効化する）ことができる限り、いかなる復号アルゴリズムでもあり得る。換言すれば、暗号化アルゴリズムｐｅｎｃ及び復号アルゴリズムｐｄｅｃは、逆暗号関数を実行するように構成された関連付けられた暗号アルゴリズムである。

【0116】

復号アルゴリズムｐｄｅｃは、例えば、専有アルゴリズム又はＡＥＳアルゴリズムのすべて若しくは一部などであり得る。特定の例によれば、暗号化アルゴリズムｐｅｎｃ及び復号アルゴリズムｐｄｅｃは、端末ＤＶ１を認証するために第２のデバイスＤＶ２によって使用される既定の暗号アルゴリズムＡＬｐと異なる。その違いは、同一のタイプのアルゴリズム（同一の数学的原理に対する）の実装に関連し得ることに留意されたい。例として、アルゴリズムＡＬｐとｐｄｅｃ（及びｐｅｎｃ）とは、それらのそれぞれのソフトウェア実装が異なるという意味において、例えばアルゴリズムｐｄｅｃがホワイトボックス実装でのＡＥＳアルゴリズムである一方、アルゴリズムＡＬｐが非ホワイトボックス実装でのＡＥＳアルゴリズムである事例では異なるアルゴリズムであり得る。

【0117】

特定の例によれば、復号アルゴリズムｐｄｅｃは、ＡＥＳアルゴリズム以外のアルゴリズムである。

【0118】

ステップＳ１４中、復号アルゴリズムｐｄｅｃのホワイトボックス実装ｗｂ［ｐｄｅｃ］は、適用可能な場合、暗号化された暗号鍵Ｄ_ECの他に、端末ＤＶ１に特有のデータ及び／又は端末ＤＶ１のユーザＵＲからのデータ（例えば、ユーザＵＲによって入力された秘密ＰＩＮコード）を入力として取り入れ得ることに留意されたい。

【0119】

また、復号アルゴリズムｐｄｅｃのホワイトボックス実装ｗｂ［ｐｄｅｃ］は、鍵を考慮することもでき、その鍵は、ホワイトボックス実装に埋め込まれるか又は「トークン化」され（すなわちトークンの形態であり）、ホワイトボックスのパラメータとして渡すことができる。このトークン化された鍵は、例えば、端末ＤＶ１により、Ｓ４で得られた鍵データＣ_ECから得ることができる。

【0120】

次いで、決定ステップＳ１６中、端末ＤＶ１は、Ｓ１４で決定された復号された暗号鍵Ｋ_ECに基づいて、且つＳ２で以前に受信された第１のチャレンジデータＣＨ１に基づいて、既定の暗号アルゴリズムＡＬｐ（上記で言及したような）を実行することによる暗号化により（又は一般に暗号動作により）、解答データＡＮＳ１を決定する。換言すれば、端末ＤＶ１は、解答データＡＮＳ１を出力として生成するために、暗号鍵Ｋ_EC及びチャレンジデータＣＨ１を入力として取り入れて、既定の暗号アルゴリズムＡＬｐを実行し、解答データＡＮＳ１は、Ｓ２で受信されたチャレンジデータＣＨ１に対する解答を構成する。

【0121】

ここで考慮される例では、暗号アルゴリズムＡＬｐは、ホワイトボックス実装を有さない（ただし、ホワイトボックス実装を有することが可能である）。上記で説明されるように、ホワイトボックス実装技法は、Ｓ１４において復号アルゴリズムｐｄｅｃに適用され、それにより処理方法の柔軟性及びセキュリティを改善することができる。

【0122】

次いで、送信ステップＳ１８中、端末ＤＶ１は、Ｓ２で受信した第１のデータＤＴ１に応答して（具体的にはチャレンジデータＣＨ１に応答して）、第２のデバイスＤＶ２に端末ＤＶ１（従ってユーザＵＲ）を認証させるために、解答データＡＮＳ１を第２のデバイスＤＶ２に送信する。

【0123】

解答データＡＮＳ１が受信された（Ｓ１８）時点で、第２のデバイスＤＶ２は、解答データＡＮＳ１に基づいて、且つチャレンジデータＣＨ１に基づいて、端末ＤＶ１を認証する（Ｓ２０）。より正確には、第２のデバイスＤＶ２は、暗号鍵Ｋ_ECに基づいて、且つＳ２で以前に送信したチャレンジデータＣＨ１に基づいて、既定の暗号アルゴリズムＡＬｐを実行することによる暗号化により（又は一般に暗号動作により）、理論的な解答データＡＮＳ１ａを演算する（Ｓ２２）。換言すれば、第２のデバイスＤＶ２は、理論的な解答データＡＮＳ１ａを出力として生成するために、暗号鍵Ｋ_EC及びチャレンジデータＣＨ１を入力として取り入れて、既定の暗号アルゴリズムＡＬｐを実行する。第２のデバイスＤＶ２は、任意の適切な方法で暗号鍵Ｋ_ECを回収することができる。

【0124】

次いで、第２のデバイスＤＶ２は、Ｓ１８で端末ＤＶ１によって供給された解答データＡＮＳ１と、Ｓ２２で決定された理論的な解答データＡＮＳ１ａとを比較する（Ｓ２４）。受信した解答データＡＮＳ１が理論的な解答データＡＮＳ１ａと一致した場合、端末ＤＶ１の認証に成功し、そうでなければ認証に失敗する。換言すれば、ＡＮＳ１とＡＮＳ１ａが一致した場合にのみ、端末ＤＶ１の認証に成功する。

【0125】

既に述べた通り、第１のデバイスＤＶ１を認証するための認証方法中に第１及び第２のデバイスＤＶ１、ＤＶ２によって使用される既定の暗号アルゴリズムＡＬｐは、この同じ暗号アルゴリズムＡＬｐが端末ＤＶ１と第２のデバイスＤＶ２との両方によって使用される限り（その結果、Ｓ２０において第２のデバイスＤＶ２によって解答データＡＮＳ１を検証することができる）、事例に応じて異なり得る。この暗号アルゴリズムＡＬｐは、例えば、ＡＥＳ暗号化アルゴリズム、署名演算アルゴリズム又はＭＡＣ（メッセージ認証コード）識別子演算アルゴリズム（例えば、ＡＥＳに基づくもの）であり得る。署名又はＭＡＣの演算の原理は、当業者によく知られていることから、簡単にするため、本明細書で詳細に説明することはしない。

【0126】

第２のデバイスＤＶ２は、認証ステップＳ２０の結果に応じて、関数Ｆ３（車両８の任意の機能）へのアクセスをさらに制御することができる。具体的には、端末ＤＶ１の認証に成功した場合、第２のデバイスＤＶ２は、関数Ｆ３の実施をトリガすることができ、認証に失敗した場合、関数Ｆ３を阻止することができる。既に言及した通り、この関数Ｆ３は、例えば、車両８へのアクセスを制御すること又はその始動を制御することを含み得る。

【0127】

特定の例によれば、送信ステップＳ１８（図６）に続いて、端末ＤＶ１は、復号アルゴリズムｐｄｅｃを、古いものと異なる新しい復号アルゴリズムｐｄｅｃに置き換えることによって復号アルゴリズムｐｄｅｃを修正するように再構成される。次いで、再びＳ１４において、端末ＤＶ１においてホワイトボックス実装で実施される新しい復号アルゴリズムｐｄｅｃを使用して、上記のステップＳ２～２６で説明されるような認証方法を行うことができる。

【0128】

本発明は、有利には、確実且つ柔軟に第２のデバイスに第１のデバイスＤＶ１を認証させることを可能にする。上記で説明される例では、第２のデバイスＤＶ２は、第１のデバイスＤＶ１を認証するために、既定の暗号アルゴリズムＡＬｐを実行する。第２のデバイスＤＶ２の構成（アプリケーション、プロトコルなど）をできる限り修正しないことが望まれるため、その第２のデバイスＤＶ２の構成により、第１のデバイスＤＶ１は、解答データＡＮＳ１を生成するために、認証方法中、この同じ暗号アルゴリズムＡＬｐを使用するように強いられる。この理由は、Ｓ２０（図６）において、第２のデバイスＤＶ２が、上記で説明されるように、理論的な解答データＡＮＳ１ａを演算することによって第１のデバイスＤＶ１によって供給された解答データＡＮＳ１の有効性を検証できるようにするには、同じアルゴリズムＡＬｐの使用が必要であるためである。

【0129】

しかし、本発明の原理は、第１のデバイスＤＶ１による復号アルゴリズムｐｄｅｃの実行（Ｓ１４、図６）中、ホワイトボックス実装技法が適用されるという事実に基づく。従って、第１のデバイスＤＶ１においてホワイトボックス実装を有するのは、暗号アルゴリズムＡＬｐではなく、復号アルゴリズムｐｄｅｃである（ただし、暗号アルゴリズムＡＬｐであることも可能である）。アルゴリズムＡＬｐ及びｐｄｅｃの選択が無相関化される限り、第１及び第２のデバイスＤＶ１、ＤＶ２で実行される暗号アルゴリズムＡＬｐ（Ｓ１６、Ｓ２２）を修正することなく、第１のデバイスＤＶ１においてホワイトボックス実装での復号アルゴリズムｐｄｅｃ（Ｓ１４）を慎重に選択し、必要に応じてそれを適応させることができる。換言すれば、解答データＡＮＳ１を生成する（Ｓ１６、図６）ために第１のデバイスＤＶ１でも同じ暗号アルゴリズムＡＬｐが使用される限り、第２のデバイスＤＶ２によっていかなる暗号アルゴリズムＡＬｐも使用することができる。具体的には、暗号アルゴリズムＡＬｐは、第１のデバイスＤＶ１においてホワイトボックス実装によって防御する必要はない。従って、本発明は、特攻撃によって第１のデバイスＤＶ１のセキュリティが危殆化し、第１のデバイスＤＶ１において復号アルゴリズムｐｄｅｃのホワイトボックス実装の修正が必要である際、構成の柔軟性を得ることを可能にする。

【0130】

既に言及した通り、同一のアルゴリズムに対して可能なホワイトボックス実装の数は、限られている。従って、セキュリティ問題が生じた場合、本発明では、暗号鍵Ｋ_ECを決定するステップＳ１４（図６）中に第１のデバイスＤＶ１によってホワイトボックス実装で新しいｐｄｅｃアルゴリズムが実施されるように、復号アルゴリズムｐｄｅｃを修正することができ、それにより第２のデバイスＤＶ２の構成にいかなる影響も及ぼすことなく認証方法のセキュリティを強化することができる。従って、換言すれば、本発明は、復号アルゴリズムｐｄｅｃを実行しない第２のデバイスＤＶ２にいかなる影響も及ぼすことなく、復号アルゴリズムｐｄｅｃのホワイトボックス実装をより容易に更新することができる。

【0131】

しかし、暗号鍵Ｋ_ECを抽出するためにホワイトボックス実装で実施される復号アルゴリズムｐｄｅｃの分析を攻撃者が試みる恐れがあるが、アルゴリズムｐｄｅｃは、専有アルゴリズム（又は適用可能な場合にはＡＥＳアルゴリズムのすべて若しくは一部）であり得、定期的に修正することができ、それによりすべての攻撃が難しくなる。特定の例によれば、復号アルゴリズムｐｄｅｃは、ＡＥＳアルゴリズム以外のアルゴリズムである。

【0132】

本発明の別の利点は、アンマスキング鍵Ｋ２を回収して、暗号化された鍵Ｄ_ECをアンマスキングできるようにするために、第１のデバイスＤＶ１が第２のデバイスＤＶ２と対話する必要があり、それにより、攻撃者が、復号された鍵Ｋ_ECを発見してそれを使用する時間が限られるという事実にある。第１のデバイスＤＶ１と第２のデバイスＤＶ２とのこの事前の対話により、攻撃者は、暗号鍵Ｋ_ECを決定するために第２のデバイスＤＶ２と事前に対話するように強いられるため、攻撃がより複雑になる。トランザクションが正しく行われなかった場合（例えば、トランザクションが正しく終わらないか又は時間がかかり過ぎる場合）、第２のデバイスＤＶ２は、具体的には、無効と見なされるように暗号鍵Ｋ_ECを阻止することができ、従ってこの鍵に基づく後続のいかなる認証も防ぐことができる。

【0133】

以下では、図７及び８を参照して、図６の実施形態の変形実装形態について説明する。別段の指定がない限り、上記で説明される実施形態に従って上記で提供される本発明の異なる特徴及びステップの説明は、図７及び８の変形形態において同じ参照符号を有する均等な特徴に同じ方法で適用可能である。

【0134】

図７に示される実施形態によれば、この場合にもやはり、図２～５を参照して以前に説明した第１のデバイスＤＶ１（以下で「端末」と呼ばれる）と第２のデバイスＤＶ２とは、具体的には、第１のデバイスＤＶ１がそれ自体を第２のデバイスＤＶ２に認証させることができるようにするために互いに協働すると仮定される。この実現のため、端末ＤＶ１は、第２のデバイスＤＶ２と協働して、コンピュータプログラムＰＧ１を実行することにより、処理方法（又は認証方法）を実施する。同様に、第２のデバイスＤＶ２は、端末ＤＶ１を認証するために、コンピュータプログラムＰＧ２を実行する。

【0135】

この例では、受信（又は取得）ステップＳ４０中、端末ＤＶ１は、複数のトークンＴＮを受信する（又は得る）と仮定され、その各々は、チャレンジデータＣＨ２と関連付けられた鍵データＣ_ECと、第１の時間データＥＸＰと、鍵識別子ＩＤとを含む。各トークンＴＮに対して、第１の時間データＥＸＰは、関連付けられた暗号鍵が有効である有効時間を示す。加えて、識別子ＩＤは、考慮されるトークンＴＮと関連付けられた暗号鍵Ｋ_ECを識別し、この鍵Ｋ_ECは、第１の時間データＥＸＰによって指定される有効期間中に使用可能である。

【0136】

第１の時間データＥＸＰは、例えば、有効期限又は有効時間の終了（例えば、有効期限日及び／又は有効期限時間）を示すことができ、それを越えれば、関連付けられた暗号鍵Ｋ_ECは、もはや有効ではなくなる。

【0137】

識別子ＩＤは、インデックスであり得るか又は他の任意の適切な形態を取ることができる。同じ有効期間（従って同じ値のデータＥＸＰ）がいくつかの暗号鍵Ｋ_ECに割り当てられている際を含めて、この識別子ＩＤは、いくつかの暗号鍵Ｋ_EC（従ってより一般にはいくつかのトークンＴＮ）を区別できるようにする。データＥＸＰ及びＩＤの値は、各トークンＴＮ（従って各暗号鍵Ｋ_EC）がデータの対（ＥＸＰ、ＩＤ）と関連付けられるように選択することができる。

【0138】

既に示した通り、データＥＸＰ及びＩＤに依存しない他の実装形態も可能である。しかし、データＥＸＰ及びＩＤの使用は、暗号鍵Ｋ_ECの有効時間を制限できるようにする点、従って攻撃者がシステムのセキュリティを危殆化し、不法に取得した鍵を使用する時間を制限できるようにする点で有利である。

【0139】

ここで考慮される例では、端末ＤＶ１は、そのメモリ１６（図３）にトークンＴＮ（ＴＮ１～ＴＮ２０で示される）を含む。しかし、端末ＤＶ１によって得られるトークンの数は、事例に応じて異なり得ることに留意すべきである。端末ＤＶ１は、上記で説明されるように、１つ又は複数のトークンＴＮを得ることができる。

【0140】

受信ステップＳ４２中、端末ＤＶ１は、第２のデバイスＤＶ２から、第１のチャレンジデータＣＨ１（上記で既に説明した通り）及び第２の時間データＥＸＰｍｉｎを含む第１のデータＤＴ１を受信する。換言すれば、受信ステップＳ４２は、受信される第１のデータＤＴ１が第１のチャレンジデータＣＨ１に加えて第２の時間データＥＸＰｍｉｎを含む点において、以前に説明したステップＳ２（図６）と異なる。第２の時間データＥＸＰｍｉｎにより、端末ＤＶ１は、以下で説明されるように、ステップＳ４４においてトークンＴＮを選択することができる。

【0141】

選択ステップＳ４４中、端末ＤＶ１は、Ｓ４２で受信した第１のデータＤＴ１の第２の時間データＥＸＰｍｉｎに基づいて、端末ＤＶ１によってアクセス可能な１つ又は複数のトークンＴＮの中から（すなわち、ここで考慮される例では、そのメモリ１６に記録されたトークンＴＮ１～ＴＮ２０の中から）、トークンＴＮを選択する。

【0142】

第２の時間データＥＸＰｍｉｎは、Ｓ４４で選択されるトークンＴＮの暗号鍵Ｋ_ECが有効でなければならない有効期間を示す。換言すれば、端末ＤＶ１は、利用可能なトークンＴＮ１～ＴＮ２０の中から、ＥＸＰｍｉｎによって課される有効時間条件を満たす鍵データＣ_ECを含むトークンＴＮ（従って対応する暗号鍵Ｋ_EC）を選択する。端末ＤＶ１は、対象のトークンＴＮの鍵データＣ_ECと関連付けられた第１の時間データＥＸＰに基づいて、トークンＴＮに含まれる鍵データＣ_ECがこの第２の時間条件ＥＸＰｍｉｎを順守するか否かを判断する。

【0143】

例として、第２の時間データＥＸＰｍｉｎは、選択される鍵データＣ_EC（従って対応する暗号鍵Ｋ_EC）が有効でなければならない残りの最短時間（例えば、最短有効期限）を示す。従って、第２のデバイスＤＶ２は、第２の時間データＥＸＰｍｉｎを通して、Ｓ４４において、端末ＤＶ１が、例えば、暗号鍵Ｋ_ECの有効期限が少なくとも２時間以内に切れるトークンＴＮを選択するように要求することができる。従って、時間データＥＸＰｍｉｎの値に基づいて、端末ＤＶ１は、Ｓ４４において適切なトークンＴＮを選択することができる。

【0144】

特定の例によれば、Ｓ４４において、端末ＤＶ１は、認証方法の各反復において（すなわち第１のデータＤＴ１を新しく受信する（Ｓ４２）たびに）、新しいトークンＴＮを選択する。

【0145】

選択Ｓ４４が行われた時点で、端末ＤＶ１は、Ｓ４４で選択されたトークンＴＮから抽出された第２のチャレンジデータＣＨ２、第１の時間データＥＸＰ及び識別子ＩＤを含む第２のデータＤＴ２を第２のデバイスＤＶ２に送信する（Ｓ４６）。換言すれば、送信ステップＳ４６は、第２のデータＤＴ２が、第２のチャレンジデータＣＨ２に加えて、Ｓ４４で選択されたトークンＴＮで指定されたデータＥＸＰ及びＩＤを含む点において、以前に説明したステップＳ６（図６）と異なる。従って、この事例では、送信される第２のチャレンジデータＣＨ２は、第２のデータＤＴ２に含まれるデータＥＸＰ及びＩＤとは別個のものである。

【0146】

特定の例によれば、端末ＤＶ１は、第２のデータＤＴ２を第２のデバイスＤＶ２に送信する前に、私有鍵ＳＫｍで第２のデータＤＴ２に署名する。別の例によれば、第２のデータＤＴ２の署名は、サーバＳＶ１によって実行され、次いで第１のデバイスＤＶ１で受信され、関連付けられたトークンと共に格納される。次いで、私有鍵ＳＫｍと関連付けられた公開鍵ＰＫｍを所有する第２のデバイスＤＶ２は、署名を検証することができる。第２のデバイスＤＶ２は、署名の検証に成功した場合にのみ、認証方法を継続することを容認する。この変形形態は、具体的には、正当なユーザＵＲが自らを認証できないように、従って考慮されるサービスを失うように第２のデバイスＤＶ２を妨害することを目的とするいかなるＤｏＳ（サービス妨害）攻撃も回避できるようにする。そのような攻撃は、あたかも端末ＤＶ１が第２のデータＤＴ２において第１の時間データＥＸＰの任意の又は誤った値を第２のデバイスＤＶ２に送信しているかのように攻撃者が偽っている場合に可能であり得る。そのような事例では、第２のデバイスＤＶ２は、その後、受信した最後のＥＸＰによって示される有効時間の少なくとも終了までの有効性を有さないトークンＴＮを拒否することができる。

【0147】

その上、第２のデータＤＴ２が受信された時点で、第２のデバイスＤＶ２は、これらの第２のデータＤＴ２に基づいて、Ｓ４４で端末ＤＶ１が選択したトークンＴＮ（従って暗号鍵Ｋ_EC）の有効性を検証する（Ｓ４８）。より正確には、ここで考慮される例では、第２のデバイスＤＶ２は、Ｓ４８において、受信した第２のデータＤＴ２に含まれる第１の時間データＥＸＰ及び識別子ＩＤに基づいて、端末ＤＶ１によって選択されたトークンＴＮの有効性を検証する。第２のデバイスＤＶ２は、例えば、データＥＸＰ及びＩＤに基づいて、端末ＤＶ１によってＳ４４で選択されたトークンＴＮが端末ＤＶ１又は別の端末によって依然として使用されていないことを検証する。この検証中、第２のデバイスＤＶ２は、具体的には、Ｓ４６で受信した第１の時間データＥＸＰと、Ｓ４２で端末ＤＶ１に送信したデータＤＴ１に含まれる第２の時間データＥＸＰｍｉｎとを比較して、第１の時間データＥＸＰが、ＥＸＰｍｉｎによって課された有効時間条件を満たしているかどうかを検証することができる。既に述べた通り、トークンＴＮが有効であるには、トークンＴＮの鍵データＣ_ECと関連付けられた第１の時間データＥＸＰが、ＥＸＰｍｉｎによって課された時間有効性条件を満たすことが特に必要である。

【0148】

Ｓ４８において、端末ＤＶ１によって選択されたトークンＴＮが有効であると第２のデバイスＤＶ２が判断した場合、方法は、演算ステップＳ５０に進む。逆の場合、端末ＤＶ１の認証に失敗し、認証方法は、終了となる（適用可能な場合、第２のデバイスは、端末ＤＶ１に失敗を警告し、第２の時間データＥＸＰｍｉｎを順守する別のトークンＴＮを選択するように依頼する）。

【0149】

演算ステップＳ５０中、第２のデバイスＤＶ２は、Ｓ４６で受信した第２のデータＤＴ２に含まれる第２のチャレンジデータＣＨ２に基づいて、アンマスキング鍵Ｋ２を演算する（又は決定する）。この演算ステップＳ５０は、以前に説明したステップＳ８（図６）と同じ方法で暗号化アルゴリズムＡＬ１を実行することによって行うことができる。既に述べた通り、第２のデバイスＤＶ２は、暗号化アルゴリズムＡＬ１の実行中、鍵ＴＫなどの他の入力を考慮することもできる。

【0150】

演算ステップＳ５０中、アンマスキング鍵Ｋ２は、第２のチャレンジデータＣＨ２（適用可能な場合には鍵ＴＫ）に加えて、第１の時間データＥＸＰ及び識別子ＩＤを入力として取り入れて、暗号化アルゴリズムＡＬ１を実行することによって決定することができる。これにより、アンマスキング鍵Ｋ２の演算のセキュリティをさらに強化することができる。これにより、具体的には第２のデバイスＤＶ２に送信される時間データＥＸＰ（例えば、日付）又は識別子ＩＤを修正することにより、期限が切れたトークンを攻撃者が再利用することを回避することができる。そのような事例では、Ｓ５０で決定されるアンマスキング鍵Ｋ２は、対象のトークンＴＮに対して機能することが意図されるものと異なるものになるであろう。

【0151】

次いで、第２のデバイスＤＶ２は、アンマスキング鍵Ｋ２を端末ＤＶ１に送信する（Ｓ１０）。

【0152】

ここで考慮される例では、端末ＤＶ１は、Ｓ４６で第２のデバイスＤＶ２に送信する第２のデータＤＴ２に、第１の時間データＥＸＰ及び識別子ＩＤに加えて、第２のチャレンジデータＣＨ２を含めることに留意されたい（換言すれば、第２のチャレンジデータの役割を果たすのは、データＥＸＰ及びＩＤではない）。データＥＸＰ及びＩＤは、第２のデバイスＤＶ２が選択されたトークンＴＮの有効性を検証できるようにするものであり、第２のチャレンジデータＣＨ２は、第２のデバイスＤＶ２がアンマスキング鍵Ｋ２を演算できるようにするものである。しかし、端末ＤＶ１が、第２のデバイスＤＶ２に送信する第２のデータＤＴ２（Ｓ４６）に、データＥＸＰ及びＩＤに加えて、第２のチャレンジデータＣＨ２を含めない変形形態が可能である。この事例では、第２のチャレンジデータとしての役割を果たし、従ってＳ５０でアンマスキング鍵Ｋ２を決定するために第２のデバイスＤＶ２によって使用されるのは、データＥＸＰ及びＩＤ（又はこれらの２つのデータの少なくとも１つ）である。しかし、第１の時間データＥＸＰ及び識別子ＩＤに加えて、第２のチャレンジデータＣＨ２を第２のデータＤＴ２に含めることは、異なるトークンＴＮの使用における衝突に関するいかなる問題も回避できるようにする点で有利である。一般に、そのような衝突問題は、展開されたトークンＴＮにおいて各データ対（ＥＸＰ、ＩＤ）が一意的なものであることを保証できるようにするメカニズムを設置することによって回避することができる。次いで、第２のデータＤＴ２において受信されたデータの対（ＥＸＰ、ＩＤ）に基づいて、第２のデバイスＤＶ２は、対応するトークンＴＮが依然として有効であるか否かを判断することができる。

【0153】

変形形態では、Ｓ４６で第２のデバイスＤＶ２に送信される第２のデータＤＴ２は、識別子ＩＤのみを含み得、次いで、識別子ＩＤは、第２のチャレンジデータとしての役割を果たす（Ｓ４６で送信される第２のデータＤＴ２に第１の時間データＥＸＰ又はデータＣＨ２を含めることなく）。この特別な事例では、第２のデバイスＤＶ２は、Ｓ５０においてアンマスキング鍵Ｋ２を決定するために第２のチャレンジデータとして識別子ＩＤを使用する。構想される実装形態を問わず、第２のデバイスＤＶ２は、好ましくは、Ｓ４８において、同一のトークンＴＮが２回使用されないことを検証できなければならない。

【0154】

特定の例によれば、端末ＤＶ１は、Ｓ４６において、方法の新しい反復の各々について、異なる第２のチャレンジデータＣＨ２を送信する。換言すれば、端末ＤＶ１は、Ｓ４６において、端末ＤＶ１を（第２のデバイスＤＶ２又は他の任意のデバイスに）認証させるために使用される各トークンＴＮに対して、異なる第２のチャレンジデータＣＨ２を送信する。

【0155】

その上、Ｓ１０においてアンマスキング鍵Ｋ２が受信された時点で、端末ＤＶ１は、図６を参照して以前に既に説明したように、ステップＳ１２、Ｓ１４、Ｓ１６、Ｓ１８を実行する。ここで、例として、使用されるアンマスキング関数Ｆ２は、上記で既に言及した通り、ＸＯＲ関数であると仮定される。

【0156】

従って、第２のデバイスＤＶ２は、Ｓ１８において、解答データＡＮＳ１を受信する。この例では、第２のデバイスＤＶ２は、決定ステップＳ６０中、端末ＤＶ１によって使用された暗号鍵Ｋ_EC（すなわちＳ４４において端末ＤＶ１によって選択されたトークンＴＮに対応するもの）を決定する。この実現のため、第２のデバイスＤＶ２は、マスター暗号鍵ＭＫ（この例ではメモリ２６に格納されたもの）に基づいて、且つ適用可能な場合にはＳ４６で第２のデータＤＴ２において以前に受信されたデータＥＸＰ、ＩＤ及び／又はＣＨ２（すなわちそれらの少なくとも１つ、例えばＥＸＰとＩＤ、ＥＸＰとＣＨ２、ＩＤとＣＨ２又はＥＸＰとＩＤとＣＨ２）にも基づいて、暗号鍵Ｋ_ECを導き出す（Ｓ６０）。

【0157】

次いで、第２のデバイスＤＶ２は、図６を参照して以前に既に説明したように、ステップＳ２０、Ｓ２２、Ｓ２４、Ｓ２６を実行することにより、方法を継続する。具体的には、第２のデバイスＤＶ２は、Ｓ６０で演算された暗号鍵Ｋ_ECに基づいて、且つＳ４２で以前に送信したチャレンジデータＣＨ１に基づいて、既定の暗号アルゴリズムＡＬｐを実行することによる暗号化により（又は一般に暗号動作により）、理論的な解答データＡＮＳ１ａを演算する（Ｓ２２）。次いで、第２のデバイスＤＶ２は、Ｓ１８で受信した解答データＡＮＳ１と、理論的な解答データＡＮＳ１ａとを比較し（Ｓ２４）、そこから、ＡＮＳ１とＡＮＳ１ａが一致した場合、認証に成功したことを推測する。

【0158】

図８に示される実施形態によれば、この場合にもやはり、図２～５を参照して以前に説明した第１のデバイスＤＶ１（以下で「端末」と呼ばれる）と第２のデバイスＤＶ２とは、具体的には、第１のデバイスＤＶ１がそれ自体を第２のデバイスＤＶ２に認証させることができるようにするために協働すると仮定される。この実現のため、端末ＤＶ１は、第２のデバイスＤＶ２と協働して、コンピュータプログラムＰＧ１を実行することにより、処理方法（又は認証方法）を実施する。同様に、第２のデバイスＤＶ２は、端末ＤＶ１を認証するために、コンピュータプログラムＰＧ２を実行する。

【0159】

図８に示される変形形態は、端末ＤＶ１により、暗号鍵Ｋ_EC（その復号された形態のもの）を決定するために、ホワイトボックス実装で実施される復号アルゴリズムｐｄｅｃの入力として、ホワイトボックス実装に適したフォーマットで符号化された鍵ＫＲａｎｄがさらに使用される点において、図７の実施形態と異なる。従って、この鍵ＫＲａｎｄは、考慮されるホワイトボックス実装によってのみ使用可能である。この実現のため、鍵ＫＲａｎｄは、前記鍵ＫＲａｎｄが対象のホワイトボックス実装によってのみ理解可能であるか又は使用可能であるように、適切ないかなる変換（例えば、暗号化又は鍵が隠れる動作を実行するテーブルの形態の変換）も行うことができる。

【0160】

より正確には、図８に示されるように、端末ＤＶ１は、受信（又は取得）ステップＳ８０中、複数のトークンＴＮを受信し（又は得て）、その各々は、チャレンジデータＣＨ２と関連付けられた鍵データＣ_ECと、第１の時間データＥＸＰと、鍵識別子ＩＤと、ホワイトボックス実装（ｗｂ［ＫＲａｎｄ］で示される）に適したフォーマットで符号化された暗号鍵ＫＲａｎｄとを含む。換言すれば、トークンＴＮは、既にリストした他の要素と関連付けて、ホワイトボックス実装に適したフォーマットで符号化された鍵ＫＲａｎｄも含む点において、図７を参照して説明されるものと異なる。従って、この鍵ＫＲａｎｄは、あらゆる攻撃から保護するためにそれ自体防御される。

【0161】

各鍵データＣ_ECと関連付けられた鍵ＫＲａｎｄは、例えば、ランダム鍵である。

【0162】

次いで、端末ＤＶ１及び第２のデバイスＤＶ２は、図７を参照して上記で既に説明したように、ステップＳ４２～Ｓ５０及びステップＳ１０、Ｓ１２を共に実行すると仮定される。

【0163】

次いで、決定ステップＳ８６中、端末ＤＶ１は、その復号された形態（プレーンテキスト）の暗号鍵Ｋ_ECを決定する。この実現のため、端末ＤＶ１は、暗号化された暗号鍵Ｄ_EC（Ｓ１２で得られた）に基づいて、且つＳ４４で選択されたトークンＴＮから抽出されたホワイトボックス実装での鍵ＫＲａｎｄに基づいて、ホワイトボックス実装で復号アルゴリズムｐｄｅｃを実行することにより、復号を実行する。換言すれば、端末ＤＶ１は、プレーンテキストの暗号鍵Ｋ_ECを出力として生成するために、暗号化された暗号鍵Ｄ_EC及び鍵ＫＲａｎｄのホワイトボックス実装ｗｂ［ＫＲａｎｄ］を入力として取り入れて、復号アルゴリズムｐｄｅｃのホワイトボックス実装ｗｂ［ｐｄｅｃ］を実行する。

【0164】

暗号鍵Ｋ_EC（その復号された形態のもの）が決定された時点で、端末ＤＶ１及び第２のデバイスＤＶ２は、図７を参照して既に説明したように、ステップＳ１６、Ｓ１８、Ｓ６０、Ｓ２０～Ｓ２６を実行することによって処理方法を継続する。

【0165】

従って、この変形形態は、トークンＴＮにおけるホワイトボックス実装での多くの鍵ＫＲａｎｄの提供も行い、それにより本発明の処理方法をさらに防御することができる。

【0166】

その上、図６～８を参照して以前に説明されるような処理方法のステップが互いに従う順番は、単なる例示的な一実施形態を構成するものであり、その変形形態も可能であることに留意されたい。

【0167】

当業者であれば、上記で説明される実施形態及び変形形態は、本発明の実装形態の単なる非限定的な例を構成することを理解するであろう。具体的には、当業者は、以下で提示される特許請求の範囲に従い、上記で説明される実施形態及び変形形態のいかなる適応形態又は組合せも構想することができる。

【符号の説明】

【0168】

２ 第１のデバイス
４ 第２のデバイス
８ 車両
１０ プロセッサ
１２ 揮発性メモリ
１４ 不揮発性メモリ
１６ 不揮発性メモリ
２０ プロセッサ
２２ 揮発性メモリ
２４ 不揮発性メモリ
２６ 不揮発性メモリ
ＡＬ１ 暗号化アルゴリズム
ＡＬｐ 暗号アルゴリズム
ＡＮＳ１ 解答データ
ＡＮＳ１ａ 解答データ
ＣＥＣ 鍵データ
ＣＨ０ チャレンジデータ
ＣＨ１ 第１のチャレンジデータ
ＣＨ２ 第２のチャレンジデータ
ＤＥＣ 暗号鍵
ＤＴ１ 第１のデータ
ＤＴ２ 第２のデータ
ＤＶ１ 第１のデバイス
ＤＶ２ 第２のデバイス
Ｅ 環境
ＥＸＰ 第１の時間データ
Ｆ１ 暗号マスキング関数
Ｆ２ 暗号アンマスキング関数
Ｆ３ 関数
ＩＮＴ１ 通信インタフェース
ＩＮＴ２ 通信インタフェース
Ｋ１ マスキング鍵
Ｋ２ アンマスキング鍵
ＫＥＣ 暗号鍵
ＫＲａｎｄ 暗号鍵
ＭＤ２～ＭＤ１８ モジュール
ＭＫ マスター暗号鍵
ＰＧ１ コンピュータプログラム
ＰＧ２ コンピュータプログラム
ＰＫｍ 公開鍵
ＲＰ０ 解答
ＲＰ０ａ 解答
Ｓ１０～Ｓ８６ ステップ
ＳＫｍ 私有鍵
ＳＶ１ モートサーバ
ＳＹ１ システム
ＴＫ 鍵
ＴＮ トークン
ＴＮ１～ＴＮ２０ トークン
ＵＲ ユーザ
ｐｄｅｃ 復号アルゴリズム
ｐｅｎｃ 暗号化アルゴリズム
ｗｂ［ｐｄｅｃ］ ホワイトボックス実装

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【外国語明細書】