特開 2022-28632 デバイス、及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022028632

(43)【公開日】2022-02-16

(54)【発明の名称】デバイス、及び方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20220208BHJP

   G09C 1/00 20060101ALI20220208BHJP

   G06F 21/57 20130101ALI20220208BHJP

【ＦＩ】

H04L9/00 675A

H04L9/00 675B

G09C1/00 640E

G06F21/57 350

【審査請求】有

【請求項の数】26

【出願形態】ＯＬ

(21)【出願番号】P 2021125182

(22)【出願日】2021-07-30

(31)【優先権主張番号】16/983,360

(32)【優先日】2020-08-03

(33)【優先権主張国・地域又は機関】US

(71)【出願人】

【識別番号】508197206

【氏名又は名称】新唐科技股▲ふん▼有限公司

(74)【代理人】

【識別番号】110000291

【氏名又は名称】特許業務法人コスモス国際特許商標事務所

(72)【発明者】

【氏名】ハーシュマン，ジヴ

(72)【発明者】

【氏名】モラヴ，ダン

(57)【要約】

【課題】ブート事象後の認証キー修正を含むデバイス認証を提供する。
【解決手段】デバイスは、ネットワークインターフェース、メモリ、および、プロセッサを有する。ネットワークインターフェースは、通信ネットワークにより認証器と通信する。メモリは、多層の可変コードを保存し、各層は、個別の測定値により識別される。プロセッサは、所定のブートサイクル内で、所定のブートサイクルだけと関連するノンスを生成し、認証器からチャレンジチャレンジを受け取り、可変コードの所定層を認証し、(i)デバイス中に安全に保存される一意のデバイスシークレット(ＵＳＤ)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクルに生成されるノンスに基づいて、認証キーを計算し、認証キーを用いてチャレンジに署名することにより、チャレンジにレスポンスを計算するとともに、レスポンスを、認証器に送信して、所定層を検証する。
【選択図】図１

【特許請求の範囲】

【請求項1】

デバイスであって、
通信ネットワークを介し、認証器と通信するネットワークインターフェースと、
多層の可変コードを保存し、前記層が、個別の測定値により識別されるメモリ、および、
プロセッサ、を有し、前記プロセッサは、
所定のブートサイクル中、前記所定のブートサイクルだけと関連するノンスを生成し、
前記認証器からのチャレンジを受信し、前記可変コードの所定層を認証し、
(i)前記デバイス中に安全に保存される一意のデバイスシークレット(ＵＳＤ)、(ii)前記所定層が別の層により測定される測定値、および、(iii)前記所定のブートサイクルに生成される前記ノンス、から、認証キーを引き出すことにより、前記認証キーを計算し、
前記認証キーを用いて前記チャレンジに署名することにより、前記チャレンジに対し、レスポンスを計算し、および、
前記レスポンスを、前記認証器に送信して、前記所定層を検証する、
ことを特徴とするデバイス。

【請求項2】

前記プロセッサは、前記ノンスに基づいて、前記認証キーを計算し、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた認証キーは、前記所定のブートサイクル中に無効になり、認証できないことを特徴とする請求項１に記載のデバイス。

【請求項3】

前記プロセッサは、前記所定層、および、前記所定層の前に実行される各層の前記可変コードが、前記所定のブートサイクルで完全なまま保持されているときでも、前記認証キーを、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた前記認証キーと異なるように設定することを特徴とする請求項２に記載のデバイス。

【請求項4】

前記認証キーは、前記ノンスに基づいた対称キーを有し、且つ、前記プロセッサは、前記対称キーを用いて、少なくとも前記チャレンジに署名することにより、前記レスポンスを計算するとともに、前記レスポンスと前記ノンス両方を前記認証器に送信することを特徴とする請求項１に記載のデバイス。

【請求項5】

前記認証キーは、前記ノンスに基づいた非対称キーを有し、且つ、前記プロセッサは、前記非対称キーのプライベートキーを用いて、前記チャレンジに署名することにより前記レスポンスを計算するとともに、前記レスポンスを、前記ノンスではなく、前記認証器に送信することを特徴とする請求項１に記載のデバイス。

【請求項6】

前記プロセッサは、前記認証キーを有する前記の各層に、非対称キーを生成し、前記各非対称キーは、プライベートキー、および、パブリックキーを有して、認証のチェーンを生成し、所定層中の認証は、後続の層中で生成されるパブリックキーを認証し、且つ、前記所定層中で生成されるプライベートキーを用いて署名するとともに、前記認証のチェーンを前記認証器に送信して、前記認証キーの認証済みのパブリックキーを用いて、検証を実行することを特徴とする請求項５に記載のデバイス。

【請求項7】

前記認証のチェーンは、前記ノンスから独立して生成された認証を有し、前記デバイスが、すでに、特定の製造業者により製造されていることを証明することを特徴とする請求項６に記載のデバイス。

【請求項8】

前記プロセッサは、前記ノンスを、前記所定層の前に実行されるトラスト層中で生成して、前記ノンスに基づいて、前記トラスト層中でシークレットを計算するとともに、前記シークレットに基づいて、前記認証キーを計算することを特徴とする請求項１に記載のデバイス。

【請求項9】

前記プロセッサは、所定順序で、多層の前記コードを実行するとともに、選択された層が、前記認証器により既に検証されているときだけ、前記所定順序にしたがって、前記選択された層から後続の層に進むことを特徴とする請求項１に記載のデバイス。

【請求項10】

前記プロセッサは、前記ノンスに基づいて、前記認証キーを計算し、ゼロデイ攻撃を軽減することを特徴とする請求項１に記載のデバイス。

【請求項11】

方法であって、
通信ネットワークを介して認証器と通信するデバイス中で、
前記デバイスのメモリ中に、多層の可変コードを保存し、前記各層は、個別の測定値により識別可能である工程と、
所定のブートサイクル中に、前記所定のブートサイクルだけと関連するノンスを生成する工程と、
前記認証器から、チャレンジを受信して、前記可変コードの所定層を認証する工程と、
(i)前記デバイス中に安全に保存される一意のデバイスシークレット(ＵＳＤ)、(ii)前記所定層が別の層により測定される測定値、および、(iii)前記所定のブートサイクルに生成される前記ノンス、から、認証キーを引き出すことにより、前記認証キーを計算する工程、
前記認証キーを用いて前記チャレンジに署名することにより、前記チャレンジに対し、レスポンスを計算する工程、および、
前記レスポンスを前記認証器に送信して、前記所定層を検証する工程、
を有することを特徴とする方法。

【請求項12】

前記認証キーの計算は、前記ノンスに基づいて、前記認証キーを計算し、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた認証キーは、前記所定のブートサイクル中に無効になり、認証できない工程を有することを特徴とする請求項１１に記載の方法。

【請求項13】

前記認証キーの計算は、前記所定層、および、前記所定層の前に実行される各層の前記可変コードが、前記所定のブートサイクルで完全なまま保持されているときでも、前記認証キーを、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた前記認証キーと異なるように設定する工程を有することを特徴とする請求項１２に記載の方法。

【請求項14】

前記認証キーは、前記ノンスに基づいた対称キーを有し、且つ、前記レスポンスを計算する工程は、前記対称キーを用いて、少なくとも前記チャレンジに署名するとともに、前記レスポンスと前記ノンス両方を前記認証器に送信する工程を有することを特徴とする請求項１１に記載の方法。

【請求項15】

前記認証キーは、前記ノンスに基づいた非対称キーを有し、且つ、前記レスポンスを計算する工程は、前記非対称キーのプライベートキーを用いて、前記チャレンジに署名するとともに、前記レスポンスを、前記ノンスではなく、前記認証器に送信する工程を有することを特徴とする請求項１１に記載の方法。

【請求項16】

前記認証キーを有する前記の各層に、非対称キーを生成する工程を有し、前記非対称キーは、各々プライベートキー、および、パブリックキーを有し、認証のチェーンを生成し、所定層中の認証は、後続の層中で生成されるパブリックキーを認証し、且つ、前記所定層中で生成されるプライベートキーを用いて署名されるとともに、前記認証のチェーンを前記認証器に送信して、前記認証キーの認証済みのパブリックキーを用いて、検証を実行することを特徴とする請求項１５に記載の方法。

【請求項17】

前記認証のチェーンは、前記ノンスから独立して生成された認証を有し、前記デバイスが、すでに、特定の製造業者により製造されていることを証明することを特徴とする請求項１６に記載の方法。

【請求項18】

前記ノンスの生成は、前記所定層の前に実行されるトラスト層中に、前記ノンスを生成する工程を有し、且つ、前記認証キーを計算する工程は、前記ノンスに基づいて、前記トラスト層中のシークレットを計算する工程を有し、前記シークレットに基づいて、前記認証キーを計算することを特徴とする請求項１１に記載の方法。

【請求項19】

所定順序で、前記多層の前記コードを実行するとともに、選択された層が、前記認証器により既に検証されているときだけ、前記所定順序にしたがって、前記選択された層から後続の層に進む工程を有することを特徴とする請求項１１に記載の方法。

【請求項20】

前記認証キーの計算は、前記ノンスに基づいて、前記認証キーを計算して、ゼロデイ攻撃を軽減する工程を有することを特徴とする請求項１１に記載の方法。

【請求項21】

認証器であって、
通信ネットワークを介してデバイスと通信し、前記デバイスは多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成するネットワークインターフェース、および、
プロセッサ、を有し、前記プロセッサは、
チャレンジを前記デバイスに送信して、前記可変コードの所定層を検証し、
前記デバイスから、前記デバイスが前記チャレンジにレスポンスすることにより生成されるレスポンス情報を受信し、前記レスポンス情報は、前記所定のブートサイクルに関連する前記ノンスに基づき、および、
前記レスポンス情報を用いて、前記可変コードの前記所定層を検証することを特徴とする認証器。

【請求項22】

前記レスポンス情報は、少なくとも、前記ノンスに基づいた認証キーにより署名される前記チャレンジを有し、且つ、前記プロセッサは、前記チャレンジを送信する前、前記認証器のメモリ中に、デバイス情報が安全に保存され、前記デバイス情報は前記ノンスと併せると、前記認証キーをリカバーするのに十分であり、前記デバイスから前記ノンスを受信して、前記デバイス情報、および、前記受信されたノンスを用いて、前記認証キーをリカバーするとともに、前記リカバーされた認証キーを用いて、前記可変コードの前記所定層を検証することを特徴とする請求項２１に記載の認証器。

【請求項23】

前記レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名された前記チャレンジのデジタル署名、および、(ii)前記所定層に関連するパブリックキーの認証を有し、且つ、前記プロセッサは、前記パブリックキーと適合するプライベートキーを用いて署名された認証において認証されたパブリックキーを検証するとともに、その後、前記検証済みのパブリックキーを用いて、前記デジタル署名を検証することを特徴とする請求項２１に記載の認証器。

【請求項24】

デバイス検証の方法であって、
通信ネットワークによりデバイスと通信するサーバにおいて、前記デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成する工程と、
チャレンジを前記デバイスに送信して、前記可変コードの所定層を検証する工程と、
前記デバイスから、前記デバイスが前記チャレンジにレスポンスすることにより生成されるレスポンス情報を受信し、前記レスポンス情報は、前記所定のブートサイクルに関連する前記ノンスに基づく工程、および、
前記レスポンス情報を用いて、前記可変コードの前記所定層を検証する工程、
を有することを特徴とする方法。

【請求項25】

前記レスポンス情報は、少なくとも、前記ノンスに基づいた認証キーにより署名される前記チャレンジを有するとともに、前記プロセッサは、前記チャレンジを送信する前、前記認証器のメモリ中に、デバイス情報が安全に保存され、前記デバイス情報は前記ノンスと併せると、前記認証キーをリカバーするのに十分であり、前記デバイスから前記ノンスを受信して、前記デバイス情報、および、前記受信されたノンスを用いて、前記認証キーをリカバーするとともに、前記リカバーされた認証キーを用いて、前記可変コードの前記所定層を検証することを特徴とする請求項２４に記載の方法。

【請求項26】

前記レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名された前記チャレンジのデジタル署名、および、(ii)前記所定層に関連するパブリックキーの認証を有し、且つ、前記所定層の検証工程は、前記パブリックキーと適合するプライベートキーを用いて署名された認証において認証されたパブリックキーを検証するとともに、前記検証済みのパブリックキーを用いて、前記デジタル署名を検証する工程を有することを特徴とする請求項２４に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュアコンピューティングに関するものであって、特に、レイヤードソフトウェアを動作するデバイスの認証(attestation)に用いる方法、および、システムに関するものである。

【背景技術】

【0002】

様々なセキュアコンピューティング環境において、コンピューティングデバイスは、認証器(verifier)として知られるエンティティに、その状態、および、身分を証明(prove)、あるいは、認証(attest)することが要求される。デバイス認証の方法は、従来の技術である。たとえば、トラステッドコンピューティンググループ(Trusted Computing Group、ＴＣＧ)は、デバイス識別子コンポジションエンジン(ＤＩＣＥ)を定義するとともに、ＤＩＣＥに基づいたデバイス認証アーキテクチャを開発している。ＤＩＣＥベースの認証スキームは、対称キー、あるいは、非対称キー暗号化を採用する。ＤＩＣＥベースの仕様は、本明細書で引用されるいくつかの参照文献で記述されている。

【0003】

ＤＩＣＥのハードウェア要件は、２０１８年３月２２の“Hardware Requirements for a Device Identifier Composition Engine,” Family “2.0” Level 00, Revision 78等の文献で記述されている。

【0004】

非対称キー暗号化を用いたＤＩＣＥベースの認証スキームは、２０１８年３月５日の“Implicit Identity Based Device Attestation,” Version 1.0, Revision 0.93等の文献を参照する。

【0005】

対称キー暗号化を用いたＤＩＣＥベースの認証スキームは、２０２０年１月７日の“Symmetric Identity Based Device Attestation,” Version 1.0, Revision 0.95等の文献を参照する。

【0006】

ＤＩＣＥレイヤードアーキテクチャは、２０２０年３月１９日の“DICE Layering Architecture,” Version 1.0, Revision 0.19等の文献を参照する。

【0007】

ＤＩＣＥ認証プロファイルは、２０２０年３月１０日の“DICE Certificate Profiles,” Version 1.0, Revision 0.01 等の文献を参照する。

【発明の概要】

【発明が解決しようとする課題】

【0008】

本発明は、ブート事象後の認証キー修正を含む、改善されたデバイス認証方法、および、システムを提供する。デバイスは、ネットワークインターフェース、メモリ、および、プロセッサを有する。ネットワークインターフェースは、通信ネットワークを介して認証器と通信する。メモリは、多層の可変コードを保存し、各層は、個別の測定値により識別される。プロセッサは、所定のブートサイクル内で、所定のブートサイクルだけと関連するノンス(nonce)を生成し、認証器からチャレンジを受け取って、可変コードの所定層を認証し、(i)デバイス中に安全に保存される一意のデバイスシークレット(Unique Device Secret、ＵＳＤ)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクル中に生成されるノンス、から、認証キーを引き出して、認証を計算し、認証キーを用いてチャレンジに署名することにより、チャレンジに対しレスポンスを計算するとともに、レスポンスを、認証器に送信して、所定層を検証(verify)する。

【課題を解決するための手段】

【0009】

いくつかの実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーは、所定のブートサイクル中に無効になり、認証できない。別の実施形態において、プロセッサは、所定層、および、所定層の前に実行される各層の可変コードが、所定のブートサイクルで完全なまま保持されているときでも、認証キーを、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーと異なるように設定する。さらに別の実施形態において、認証キーは、ノンスに基づいた対称キーを有すると共に、プロセッサは、対称キーを用いて、少なくともチャレンジに署名することによりレスポンスを計算するとともに、レスポンスとノンス両方を認証器に送信する。

【0010】

一実施形態において、認証キーは、ノンスに基づいた非対称キーを有し、且つ、プロセッサは、非対称キーのプライベートキーを用いて、チャレンジに署名することによりレスポンスを計算するとともに、レスポンスを、ノンスではなく、認証器に送信する。別の実施形態において、プロセッサは、認証キーを有する各層に対し、非対称キーを生成し、各非対称キーは、皆、個別のプライベートキー、および、パブリックキーを有し、認証のチェーン(chain of certificates)を生成し、所定層中の認証は、後続の一層中で生成されるパブリックキーを認証(certify)し、且つ、所定層で生成されるプライベートキーを用いて署名するとともに、認証のチェーンを認証器に送信して、認証キーの認証済みのパブリックキーを用いて、検証を実行する。さらに別の実施形態において、認証のチェーンは、ノンスから独立して生成された認証を有するとともに、デバイスが、特定の製造業者により製造されたことを証明する。

【0011】

いくつかの実施形態において、プロセッサは、所定層の前に実行されるトラスト層中にノンスを生成して、トラスト層中で、ノンスに基づいて、シークレットを計算するとともに、シークレットに基づいて、認証キーを計算する。別の実施形態において、プロセッサは、所定順序で、多層のコードを実行するとともに、選択された層が、認証器により既に検証されたときだけ、所定順序にしたがって、選択された一層から後続の一層に進む。さらに別の実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、ゼロデイ攻撃(zero-day attack)を軽減する。

【0012】

本発明の一実施形態は、さらに、一方法を提供する。通信ネットワークを介して、認証器と通信するデバイスにおいて、デバイスのメモリ中に、多層の可変コードを保存し、各層は、個別の測定値により識別される。所定のブートサイクル中、所定のブートサイクルだけと関連するノンスが生成される。チャレンジは、認証器から受信されて、可変コードの所定層を認証する。認証キーは、(i)デバイス中に安全に保存される一意のデバイスシークレット(ＵＳＤ)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクルに生成されるノンスから、認証キーを引き出すことにより計算される。チャレンジに対するレスポンスは、認証キーを用いてチャレンジに署名することにより計算される。このレスポンスは認証器に送信されて、所定層を検証する。

【0013】

本発明の一実施形態は、さらに、認証器を提供し、認証器は、ネットワークインターフェース、および、プロセッサを有する。ネットワークインターフェースは、通信ネットワークによりデバイスと通信し、デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成する。プロセッサは、チャレンジをデバイスに送信して、可変コードの所定層を検証して、デバイスから、デバイスがチャレンジにレスポンスして生成されるレスポンス情報を受信し、レスポンス情報は、所定のブートサイクルに関連するノンスに基づくとともに、レスポンス情報を用いて、可変コードの所定層を検証する。

【0014】

いくつかの実施形態において、レスポンス情報は、少なくとも、ノンスに基づいた認証キーにより署名されるチャレンジを有し、且つ、プロセッサは、チャレンジを送信する前、認証器のメモリ中に安全に保存し、デバイス情報はノンスと併せると、認証キーをリカバーするのに十分であり、デバイスからノンスを受信して、デバイス情報、および、受信されたノンスを用いて、認証キーをリカバーするとともに、リカバーされた認証キーを用いて、可変コードの所定層を検証する。別の実施形態において、レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名されたチャレンジのデジタル署名、および、(ii)所定層に関連するパブリックキーの認証、を有し、且つ、プロセッサは、パブリックキーに適合するプライベートキーを用いて署名された認証中で認証されたパブリックキーを検証するとともに、その後、検証済みのパブリックキーを用いて、デジタル署名を検証する。

【0015】

本発明の一実施形態は、さらに、デバイス検証方法を提供する。本方法において、通信ネットワークにより、デバイスと通信するサーバにおいて、デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成し、チャレンジをデバイスに送信して、可変コードの所定層を検証する。チャレンジにレスポンスするため、デバイスにより生成されるレスポンス情報は、デバイスから受信され、レスポンス情報は、所定のブートサイクルに関連するノンスに基づく。可変コードの所定層は、レスポンス情報を用いて検証される。

【0016】

これら、および、その他の実施形態は、以下の詳細な記述と、図面と併せて参照することによりさらに完全に理解することができる。

【発明の効果】

【0017】

本発明の認証スキームは、ゼロデイ攻撃等の危害を軽減することができる。この認証スキームは、対称な認証キー、および、非対称認証キー両方に対し適用可能である。

【図面の簡単な説明】

【0018】

【図1】本発明の一実施形態によるセキュアデバイス認証をサポートするコンピューティングシステムのブロック図である。

【図2】本発明の一実施形態による対称キー認証に用いられるデバイスレイヤードスキームを示す図である。

【図3】ここで開示されるいくつかの実施形態による対称キー暗号化を用いたデバイス認証と検証の方法を図式化して説明するフローチャートである。

【図4】本発明の一実施形態による非対称キー認証に用いるデバイスレイヤードスキームを図式化して説明する図である。

【図5】本発明のいくつかの実施形態による非対称キー暗号化を用いたデバイス認証と検証に用いる方法を図式的に説明するフローチャートである。

【発明を実施するための形態】

【0019】

本発明の実施形態は、ブート事象後の認証キー修正を含む、改善されたデバイス認証方法、および、システムを提供する。

【0020】

クラウド、および、その他のコンピュータ環境、たとえば、インターネットオブシングス(IoT)ネットワーキングにおいて、コンピューティングデバイスは、多層のコードを含むソフトウェアを動作する。各層のコードは、時々、修正される(たとえば、バグ修正)、あるいは、アップグレード版をダウンロードする。可変コードはハッカーに攻撃されやすいので、安全要求は、コンピューティングデバイスの身分とソフトウェア状態を検証する必要がある。

【0021】

いくつかの実施形態において、外部認証器は、チャレンジ・レスポンスプロトコル(challenge-response protocol)を用いて、コンピューティングデバイス(たとえば、所定のコード層)を検証する。認証器は、チャレンジをデバイスに送信し、デバイスは、認証レスポンスを認証器に送り返して、コンピューティングデバイスの身分とインテグリティを検証する。デバイスは、通常、チャレンジに対し、適当な暗号化操作を適用することにより、レスポンスを計算し、たとえば、シークレット認証キーを用いて、デジタル署名を生成する。

【0022】

以下の記述、および、請求項において、用語“認証(attestation)”は、要求されるデバイスにより実行され、その状態を認証する操作のことを意味し、用語“検証(verification)”は、外部認証器により実行され、デバイスをトリガーして、認証を実行するとともに、デバイス状態を検証する操作のことを意味する。認証器、および、認証器からの認証要求にレスポンスするデバイスの、両方を有するスキームは、ここで、“認証スキーム(attestation scheme)”と称される。

【0023】

いくつかの実施形態において、認証キーは、コード層により生成されるシークレットから引き出され、デバイスの身分とコード層の測定値に基づく。所定のコード層の測定値は、安全なハッシュ関数を、下層コード、あるいは、ファームウェアに適用した結果を有する。認可されていない人が、一つ以上のコード層を修正するが、適合する認証キーへのアクセス権がないとき、検証は失敗する。

【0024】

ある種の攻撃において、デバイスシークレットキーは漏れる可能性があるとともに、認可されていない攻撃者により用いられて、認証を実行し、そのデバイスに成りすます。秘密漏れを検出するとき、デバイス所有者は、デバイスに、アップデートされたソフトウェア、あるいは、ファームウェアバージョンをダウンロードして、漏れの源を断つ。しかし、リークの修復、ならびに、フィールド内での大量のデバイスの更新は、長い時間を費やし、これらの時間中に、攻撃者は、重大な被害を与える。

【0025】

注意すべきことは、リブート後、デバイスがアップデートされる前、デバイスは同じ認証キーを生成し、これは、攻撃者により既に知られているので、攻撃が成功する恐れがある。この種の攻撃の一例は、“ゼロデイ攻撃(zero-day attack)”と称される。

【0026】

開示される実施形態において、デバイスは、各ブート事象の後、異なる認証キーを生成する。その結果、リブート前の認証キーの値は、リブート後の認証に対して無効になる。このメカニズムは、ゼロデイ攻撃を含む各種攻撃に対する認証-検証スキームの安全性を増加させる。

【0027】

ネットワークインターフェース、メモリ、および、プロセッサを有するデバイスを考察する。ネットワークインターフェースは、通信ネットワークを介して認証器と通信する。メモリは、多層の可変コードを保存し、各層は、個別の測定値により識別可能である。プロセッサは、所定のブートサイクルにおいて、所定のブートサイクルだけと関連するノンスを生成する。プロセッサは、認証器からチャレンジを受信して、可変コードの所定層を認証するとともに認証キーを計算し、(i)デバイス中に安全に保存される一意のデバイスシークレット(ＵＳＤ)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクルに生成されるノンス、から認証キーを引き出す。プロセッサは、認証キーを用いてチャレンジに署名することにより、チャレンジにレスポンスを計算するとともに、レスポンスを認証器に送信して、所定層の識別とインテグリティを検証する。以下の記述、および、請求項において、“所定因子から認証キーを引き出す”というのは、この因子を修正すると、認証キーの修正が生じることを意味する。しかし、認証キーは、その因子から、直接、あるいは、間接的に引き出される恐れがある。

【0028】

開示される実施形態において、プロセッサは、各層に沿って、シークレットチェーンを生成し、信頼できるハードウェア層で開始され、この層は、デバイス識別子コンポジションエンジン(ＤＩＣＥ)層と称される。上で引用されるＤＩＣＥ基準によると、ＤＩＣＥ層は、一意のデバイスシークレット(ＵＳＤ)を安全に保存する。このＵＤＳは、ＤＩＣＥ層とその他の層を含む信頼のチェーンの信頼の基点(Root of Trust、RoT)となる。

【0029】

ブート時、プロセッサは、無条件に、ＤＩＣＥ層を実行し、ＤＩＣＥ層は、第一可変層の測定を実行する。ＵＤＳと測定に基づいて、ＤＩＣＥ層は、第一可変層に対して、コンパウンド識別(ＣＤＩ)で示されるシークレットを生成する。類似する方式で、各可変層は、前の層で生成されるシークレット、および、次の層の測定から、次の層にシークレットを生成する。プロセッサは、前の層により生成されたその層のシークレットから、所定層に対し、認証キーを引き出す。

【0030】

いくつかの実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーは、所定のブートサイクル中に無効になり、認証できない。プロセッサは、所定層、および、所定層の前に実行される各層の可変コードが、所定のブートサイクルで完全なまま保持されているときでも、認証キーを、所定のブートサイクルの前に、認証に用いられる認証キーと異なるように設定する。

【0031】

一実施形態において、認証キーは、ノンスに基づいた対称キーを有し、且つ、プロセッサは、対称キーを用いて、少なくともチャレンジに署名することにより、レスポンスを計算するとともに、レスポンスとノンス両方を認証器に送信する。

【0032】

別の実施形態において、認証キーは、ノンスに基づいた非対称キーペアを有し、且つ、プロセッサは、非対称キーペアのプライベートキーを用いて、チャレンジを署名することによりレスポンスを計算するとともに、レスポンスを、ノンスではなく、認証器に送信する。この場合、プロセッサは、認証キーを有する各層に、非対称キーを生成し、各非対称キーペアは、皆、個別のプライベートキー、および、パブリックキーを有する。プロセッサは、認証のチェーンを生成し、所定層中の認証は、後続の一層中で生成されるパブリックキーを認証し、且つ、所定層で生成されるプライベートキーを用いて署名される。プロセッサは、認証のチェーンを認証器に送信して、認証キーの認証済みのパブリックキーを用いて、検証を実行する。

【0033】

一実施形態において、認証のチェーンは、ノンスから独立して生成された認証を有し、この認証は、デバイスが、特定の製造業者により製造されていることを証明する。この認証は、認証のチェーンを開始するとともに、外部認証機関(certification authority)により生成される。

【0034】

いくつかの実施形態において、プロセッサは、所定層の前に実施されるトラスト層(検証される層)中にノンスを生成して、トラスト層中で、ノンスに基づいて、シークレットを計算するとともに、シークレットに基づいて、認証キーを計算する。

【0035】

プロセッサは、通常、所定順序で、多層のコードを実行する。一実施形態において、プロセッサは、順序にしたがって、全層を実行するとともに、最後の層を認証する。別の実施形態において、プロセッサは、選択された層が、認証器により既に検証されているときのみ、所定順序にしたがって、選択された一層から後続の一層に進む。

【0036】

開示される技術において、認証スキームが記述され、その中のデバイスは、ブートサイクルと関連するランダムなノンスを生成すると共に、間接的に、そのノンスに基づいて、認証キーを計算する。このスキームにおいて、前のブートサイクルで用いられた認証キーは、リブート後、無効になって、認証できない。開示される認証スキームは、デバイスが、たとえば、ゼロデイ攻撃等の危害を軽減することができるようにする。開示される認証スキームは、対称な認証キー、および、非対称認証キー両方に対し適用可能である。

【0037】

システム記述
図１は、本発明の一実施形態による安全なデバイス認証をサポートするコンピューティングシステム２０を図式的に説明するブロック図である。

【0038】

コンピューティングシステム２０は、通信ネットワーク３２を介して、管理サーバ２８により制御される複数のコンピューティングデバイス２４を有する。通信ネットワーク３２は、任意の適当なパケットネットワークを有し、任意の適当な通信プロトコル、たとえば、イーサネット(Ethernet network)、あるいは、ＩＰネットワーク、たとえば、インターネットを用いて操作される。通信ネットワーク３２は、ローカルエリアネットワーク(ＬＡＮ)、広域ネットワーク(ＷＡＮ)、ワイヤレスネットワーク、あるいは、いくつかのタイプのパケットネットワークの組み合わせを有する。

【0039】

コンピューティングシステム２０は、たとえば、低コストのデバイス、たとえば、インターネットオブシングス(IoT)デバイス(２４)の検証に用いられてもよい。代替的に、あるいは、追加的に、別のタイプのコンピューティングデバイス、たとえば、サーバは、さらに、開示される認証、および、検証技術を使用してもよい。

【0040】

コンピューティングデバイス２４(簡潔に、“デバイス”とも称する)は、プロセッサ４０を有し、バス５２、たとえば、ペリフェラルコンポーネントインターコネクトエクスプレスバス(PCIe)、あるいは、その他の任意の適切なバスにより、書き換え可能メモリ４４、および、リードオンリメモリ(ＲＯＭ)４８に結合される。コンピューティングデバイス２４は、ネットワークインターフェース５４、たとえば、ネットワークインターフェースコントローラー(ＮＩＣ)を用いて、通信ネットワーク３２にアクセスする。

【0041】

プロセッサ４０は、通常、一つ以上の応用プログラムを動作する。このような応用プログラムは、通信ネットワーク３２を介して、別のデバイスやサーバと相互作用し、これらの相互作用は、デバイスが、セキュリティ攻撃を受けやすくする。各種タスク中で、プロセッサ４０は、認証関数５６を実行して、その状態と身分を証明し、以下で詳細に記述される。注意すべきことは、はっきりとさせるために、認証関数５６は、図面中では、プロセッサにより実施されるとして示されている。しかし、認証関数のコードは、通常、メモリ４４中に保存される(あるいは、プロセッサによりアクセス可能な任意のその他の適当なメモリ中-図示されない)。

【0042】

ＲＯＭ４８はブートコード５８を保存し、このブートコードは、リセット、あるいは、電源がオンの時、プロセッサ４０により無条件に実行される。メモリ４４は、複数のソフトウェア層６０を保存し、ソフトウェア層６０は、必要時に修正され、たとえば、機能的なバグを修正する、あるいは、セキュリティ上の弱点を解決する。図１の例において、前の三層６０は、Ｌ０、Ｌ１、および、Ｌ２で示される。ブートコード５８は“ＤＩＣＥ層”とも称される。このＤＩＣＥ層は、不変、且つ、安全性が高く、これにより、トラスト層であると見なされる。

【0043】

各層は、後続の、あるいは、前の一層と秘密情報を安全に交換し、よって、ＤＩＣＥ層から開始される信頼のチェーンを構築する。たとえば、いくつかの実施形態において、ＵＤＳ(たとえば、層Ｌ０…Ｌｎから)へのアクセスは、ＤＩＣＥ層が制御信号を層０に伝達する前はブロックされる。一般的に、各層Ｌｉは、制御信号を次の層Ｌｉ＋１に送信する前、そのシークレットＳｉ、および、その他のシークレット情報にアクセスするのを防止する。アクセスの防止は、たとえば、アクセスをブロックすることにより、あるいは、メモリから、層Ｌｉ中のシークレット情報を消去することにより実行される。

【0044】

以下の記述において、ある操作を実行する一層に言及した場合、プロセッサ４０が、層中のコードにより実行されるタスクを実行することを意味する。

【0045】

ブートシーケンスは、プロセッサ４０が、ブートコード５８を実行することから開始され、続いて、下層操作システム、および、アプリケーションがオンになって、動作するまで、ソフトウェア層６０を順次に実行する。これらの層の順次的な実行は、信頼のチェーンを形成し、各トラスト層は、シークレットを後続の一層に提供する。信頼できるソフトウェア層は、信頼されて、ある属性を有することができる。たとえば、トラスト層は信頼されて、前のトラスト層により生成されるシークレットを保有することができる。

【0046】

コンピューティングデバイス２４は、認証の信頼の基点となる一意のデバイスシークレット(ＵＳＤ)６２を有する。いくつかの実施形態において、ＵＤＳ６２は不変であり、且つ、ハードウェア中に安全に組み込まれる。たとえば、ＵＤＳは、ワンタイムプログラマブル(ＯＴＰ)メモリ中で、あるいは、物理複製困難関数(ＰＵＦ)として実行されてもよい。あるいは、ＵＤＳは、ＲＯＭ４８で焼かれる。あるいは、ハードウェア中にＵＳＤ６２を安全に組み込むその他の任意の適切な方法を用いることもでき、たとえば、ＯＴＰ、ＰＵＦ、および、ＲＯＭのいくつか、あるいは、全部の組み合わせを使用してもよい。

【0047】

ＵＤＳは、ＤＩＣＥ層だけによりアクセス可能であると推定される。デバイスのブート時、ＤＩＣＥ層は、ＵＤＳ６２からシークレットを生成し、このシークレットは、ＴＧＣ仕様中で、複合デバイス識別子(ＣＤＩ)６６と称される。ＤＩＣＥ層は、安全な方式で、ＣＤＩを層Ｌ０に提供する。

【0048】

コンピューティングデバイス２４は、暗号エンジン７０を有し、各種暗号化操作、たとえば、暗号化、復号、ハッシュ、デジタル署名の生成と検証、乱数の生成等をサポートする。いくつかの実施形態において、暗号エンジン７０は、プロセッサ４０の代わりに、デバイス認証に必要な暗号化計算を実行する。

【0049】

暗号エンジン７０は、乱数発生器(Random Number Generator、ＲＮＧ)７２を有して、ランダム、あるいは、疑似乱数暗号ノンス７４を生成して、プロセッサ４０がそれを認証に用いる。以下で記述されるように、暗号ノンス７４は、暗黙に、認証キーを修正して、ブート事象前の認証キーの値は、ブート事象後、無効になり、認証できない。

【0050】

暗号ノンス７４は、ランダム、あるいは、疑似乱数を有するとともに、十分なビット数を有して、重複するノンス値がほぼ生成されないように確保する。開示される認証スキームにおいて、暗号ノンス７４は、ブートサイクルと関連して生成され(たとえば、ブートサイクル事に一回)、以下で詳細に記述される。

【0051】

管理サーバ２８は、ホストプロセッサ７６、および、メモリ８０を有する。管理サーバ２８は、ネットワークインターフェース８４を用いて、通信ネットワーク３２を介して、コンピューティングデバイス２４と通信する。いくつかの実施形態において、メモリ８０は、そのコントロール下にあるコンピューティングデバイス２４のデータベース(ＤＢ)８８、および、ポリシー９０を保存する。メモリ８０は、たとえば、ランダムアクセスメモリ、不揮発性メモリ、あるいは、その他の任意の適当なタイプのストレージを有する。管理サーバ２８は、各種目的、たとえば、ソフトウェアプロビジョ二ングで、コンピューティングデバイス２４と通信し、デバイス２４に命令を送信して、関連のあるタスクを実行するとともに、デバイスからの報告を受信する。管理サーバ２８は、認証器プログラム８６を用いて、デバイス２４の身分と状態を検証する。簡潔にするため、ここでは、認証器プログラム８６は、簡潔に、“認証器”と称する。認証器(および、デバイス２４)は、適当なチャレンジ・レスポンス方法を実行することができ、以下で詳細に記述される。

【0052】

ポリシー９０は、ホストプロセッサ７６に、デバイス２４に適用する安全ポリシーを指定する。所定ポリシーは、デバイス検証を実行するスケジュール、各デバイス中のどの層が、検証を必要としているか、デバイスが検証を失敗するとき、どのような動作を採取するか、認可されたファームウェアバージョン等を指定する。

【0053】

図１に示されるコンピューティングシステム２０、コンピューティングデバイス２４、および、管理サーバ２８の設定は例示的な設定であり、単に、概念を明確にする目的のために描かれている。代替的な実施形態において、その他の任意の適切なコンピューティングシステム、コンピューティングデバイス、および、管理サーバを使用することができる。開示される技術の理解のために必須ではない素子は、簡潔にする目的のために、図面から省略される。

【0054】

各種実施形態において、コンピューティングシステム２０の異なる素子(たとえば、コンピューティングデバイス２４)は、任意の適当なハードウェア、たとえば、一つ以上の個別部品、一つ以上の特定用途向け集積回路(ＡＳＩＣ)、および／あるいは、一つ以上のフィールドプログラマブルゲートアレイ(ＦＰＧＡ)を用いて実行されてもよい。あるコンピュータシステム素子は、ソフトウェアで実行される、あるいは、ソフトウェア、および、ハードウェア素子の組み合わせを用いて実行される。

【0055】

いくつかの実施形態において、プロセッサ４０、および、ホストプロセッサ７６はそれぞれ、汎用プログラマブルプロセッサを有し、ソフトウェアでプログラムされて、ここで開示される機能を実行する。ソフトウェアは、ネットワークにより、電子形式で、関連のあるプロセッサにダウンロードされる、および／あるいは、非一時的な有形的表現媒体、たとえば、磁気、光学、電子メモリに保存されてもよい。

【0056】

対称キー暗号化を用いた認証スキーム
図２は、本発明の一実施形態による対称キー認証に用いられるデバイス分層スキームを図式的に説明する図である。

【0057】

図２において、コンピューティングデバイス１００は、認証器１０４を動作する管理サーバ１０２を用いて検証される。コンピューティングデバイス１００、管理サーバ１０２、および、認証器１０４は、図１のコンピューティングデバイス２４、管理サーバ２８、および、認証器プログラム８６を実行するのに用いられてもよい。

【0058】

デバイス１００は、多層コードを動作し、簡潔にするために、“層”と称する。第一層は“ＤＩＣＥ層”１１２で示され、この層は、通常、不変コードを有する。可変コードを動作するその他の層は、Ｌ０…Ｌｎとして示される。図２において、簡潔にするため、層Ｌ０１１４、および、Ｌｎ１１６だけが示される。ＤＩＣＥ層は、信頼の基点層として作用するとともに、通常、デバイスブート時に、無条件に実行される。層Ｌ０…Ｌｎは、通常、ＤＩＣＥ層の後に、所定順序(たとえば、連続的に)で実行される。コンピューティングデバイス１００により実行される各種タスクは、層Ｌ０…Ｌｎ、および、認証タスクを有し、プロセッサ４０により実行される。

【0059】

デバイス１００は、秘密鍵生成(Secret Chain Generation、ＳＣＧ)１０６モジュール、および、認証モジュール１０８を有する。ＳＣＧ１０６中の層は、Ｓ０…Ｓｎで示されるシークレットのシーケンスを生成する。ＤＩＣＥ層は、層Ｌ０中で用いられる第一シークレットＳ０を生成し、層Ｌ０は、層Ｌ１中で用いられるシークレットＳ１を生成し、以下同様である。本例において、認証モジュール１０８は、最後の層Ｌｎに結合される。信頼のチェーンに基づいて、この場合の認証は、ＤＩＣＥ層、および、可変層Ｌ０…Ｌｎをカバーする。あるいは、認証モジュール１０８は、層Ｌ０…Ｌｎ－１から選択される中間層Ｌｉに結合され、この時、認証は、ＤＩＣＥ層、および、各層Ｌ０…Ｌｉをカバーする。

【0060】

図２において、ＤＩＣＥ層、および、各層Ｌ０…Ｌｎ－１は、一方向性関数(One-Way Function、ＯＷＦ)１２０を有し、Ｌ１…Ｌｎ間で、対応する次の層に、シークレットを生成する。特に、ＤＩＣＥ層１１２のＯＷＦは、Ｌ０に、シークレットＳ０を生成し、層Ｌ０のＯＷＦは、Ｌ１に、シークレットＳ１を生成し、以下同様である。

【0061】

Ｌ０…Ｌｎの各層は、対応する測定値(１２８)Ｍ０…Ｍｎにより識別可能である。一層の測定値は、たとえば、層のコードにより計算される暗号化ハッシュ関数(cryptographic hash function)、ソフトウェアイメージ、データ、および／あるいは、ファームウェア、あるいは、上記の二個以上の組み合わせを有する。いくつかの実施形態において、所定層Ｌｉにより生成されるシークレットＳｉ＋１は、所定層が、次の層に(層順に従って)測定を実行して得られる測定値Ｍｉ＋１、および、前の層Ｌｉ－１により生成されるシークレットＳｉに基づいて生成される。いくつかの実施形態において、上記のスキームを用いることにより、各層は、信頼できると推定される、あるいは、前にすでに信頼できるとして検証された一層により測定される。

【0062】

ＯＷＦ１２０は、逆演算するのが困難な特性を有するべきで、ＯＷＦの出力シークレット(Ｓｉ＋１)、および、入力測定値Ｍｉから、ＯＷＦの入力シークレット(たとえば、シークレットＳｉ)を推定するのは困難である。例示的実施形態において、ＯＷＦ１２０は、暗号化が安全なハッシュ関数を有する。例のＯＷＦ１２０関数は、これらに制限されないが、メッセージ確認コード(ＭＡＣ)、ハッシュベースＭＡＣ(ＨＭＡＣ)、暗号ベースＭＡＣ(ＣＭＡＣ)、および、ＳＨＡ-３ベース関数Keccak ＭＡＣ(ＫＭＡＣ)を有する。

【0063】

本明細書で開示されるいくつかの実施形態において、ＨＭＡＣ関数をＯＷＦ１２０の例としている。この方法は、１９９７年２月の世界に公開されているインターネットの各種の規約(Request for Comments、ＲＦＣ)２１０４、“ＨＭＡＣ: Keyed-Hashing for Message Authentication”というタイトルの文献中ですでに説明されている。

【0064】

シークレットＳ０を生成するため、ＤＩＣＥ層は、一層Ｌ０の測定値１２８Ａを生成する。ＤＩＣＥ層は上の一層がなく、安全に組み込まれた一意のデバイスシークレット(ＵＳＤ)１２４を有する。ＵＤＳは、ＤＩＣＥ層、および、認証器だけに知られている。実施方式の差異に基づき、ＵＤＳは、また、デバイス製造業者に知られていることがある。一実施形態において、ＤＩＣＥ層は、ＨＭＡＣ関数を用いて、Ｓ０=ＨＭＡＣ(Ｍ０、ＵＤＳ)を計算することにより、シークレットＳ０を生成し、ＵＤＳはＨＭＡＣキーとなる。ＴＰＧ専門用語において、ＤＩＣＥ層により生成されるシークレットＳ０は、複合デバイス識別子(ＣＤＩ)とも称される。

【0065】

シークレットＳ１を生成するため、層Ｌ０は、層Ｌ１の測定値１２８Ｂ(Ｍ１で表示)を生成するとともに、ＤＩＣＥ層からシークレットＳ０を受信する。本例において、層Ｌ０は、乱数発生器(ＲＮＧ)１３２を有して、デバイスのブート後に、“Ｎａ”で表示されるノンスを生成する。いくつかの実施形態において、層Ｌ０のＯＷＦは、(i)層Ｌ１の測定値Ｍ１、(ii)ＤＩＣＥ層からのシークレットＳ０、および、(iii)ＲＮＧ１３２を用いて生成されるノンスＮａ、を入力として受信する。層Ｌ０のＯＷＦは、Ｓ１=ＨＭＡＣ([Ｍ１|Ｎａ],Ｓ０)を計算することにより、シークレットＳ１を生成し、Ｓ０はＨＭＡＣキーを有し、連結データ[Ｍ１|Ｎａ]は、ＨＭＡＣ関数へのデータ入力である。その他の層において、シークレットＳｉ＋１は、Ｓｉ＋１=ＨＭＡＣ([Ｍｉ＋１],Ｓｉ)により計算される。

【0066】

図２の例において、ノンスＮａは、層Ｌ０のＯＷＦの入力であり、このノンスは、通常、最小コードで実施され、この最小コードは、バグが発生しないことが予期され、アップデートが不要であり(あるいは、ごくまれに一回アップデート)、これにより、Ｌ０は、トラスト層であると見なされる。しかし、一般的に、ノンスＮａは、Ｌ１…Ｌｎ等のその他の層中の任意の信頼できると見なされるＯＷＦの入力である。

【0067】

いくつかの実施形態において、Ｌ０…Ｌｎ中の一つ以上の層は、各自ファームウェアセキュリティ記述子(Firmware Security Descriptor、ＦＳＤ)１３６を有する。ＦＳＤは、一層が有する、あるいは、自身で計算するセルフ測定値を有する。図２において、たとえば、層Ｌ０はＦＳＤ１３６Ａを有し、層Ｌｎは、ＦＳＤ１３６Ｂを有する。層Ｌ０…Ｌｎ－１の各層中、ＦＳＤは、ＯＷＦにより計算されるシークレットを組み込む。たとえば、図２の層Ｌ０中、ＦＳＤ１３６Ａが、層Ｌ０のＯＷＦに提供される。この時、ＯＷＦは、Ｓ１=ＨＭＡＣ([Ｍ１|ＦＳＤ|Ｎａ],Ｓ０)で、Ｓ１を計算する。この時、シークレットＳ１は、Ｌ０とＬ１両方により測定される測定値Ｍ１に基づく。

【0068】

図２の例において、最後の層(Ｌｎ１１６)は、認証モジュール１０８を用いて、デバイス認証プトロコルを実行する。この認証プトロコルは、記述されるように、通常、デバイス側で実行され、(i)認証器１０４からチャレンジを受信する、(ii)認証キーを用いてチャレンジに署名して、レスポンスを生成する、および、(iii)レスポンスを認証器に送信して検証する。

【0069】

層Ｌｎは、鍵導出関数(ＫＤＦ)１４０を用いて、シークレットＳｎから、認証に用いられるＳＫｎで示される一個の対称キー１４４を生成する。疑似ランダム関数を用いた鍵導出関数のいくつかの族は、たとえば、２００９年１０月のLily Chenによる NIST special publication 800-108、 “Recommendation for Key Derivation Using Pseudorandom Functions (Revised)”というタイトルの文献ですでに記述されている。認証モジュール１０８は、認証器(通常、Ｃは一個のランダム、あるいは、疑似乱数を有する)により生成される“Ｃ”により示されるチャレンジ、および、ＲＮＧ１６０により、チャレンジにレスポンスして生成される“Ｎｄ”で示されるデバイスノンスを受信する。認証モジュール１０８は、ＳＫｎ１４４を用いることにより、[Ｃ|Ｎｄ]に署名することにより、“Ｒ”で示されるレスポンスを生成する。

【0070】

認証器は、デバイスからレスポンスＲを受信するとともに、さらに、ＮａとＮｄを受信し、且つ、ＳＫｎと同じキー値を用いて、[Ｃ|Ｎｄ]に署名することにより、局部的にＲ’を計算する。いくつかの実施形態において、認証器は、ＵＤＳ、および、測定値Ｍｉに基づいて、デバイスが、局部的にそのＳＫｎを計算するのと同じアーキテクチャ、ＯＷＦ、および、ＫＤＦ関数を用いて、ＳＫｎ自体を計算する。ＲとＲ’が等しいとき、デバイスは、検証に成功する。デバイスのブート後、ノンスＮａが再生成され、このノンスＮａは、ブート前のその値に比べて、間接的に、認証キーＳＫｎの値に変更をもたらす。その結果、ブート前にＳＫｎの値を抽出する攻撃者は、ブート後に、それを認証に用いることができない。

【0071】

図３（Ａ）および（Ｂ）は、ここで開示されるいくつかの実施形態による対称キー暗号化を用いるデバイス認証と検証の方法を図式的に説明するフローチャートである。

【0072】

認証スキームは、図１のデバイス２４、および、認証器プログラム８６により実行される。デバイス２４は、図２で示されるレイヤードスキームを実行すると推定される。認証プトロコルの実行において、デバイスと認証器は、たとえば、通信ネットワーク３２を介して、互いに通信する。

【0073】

図３（Ａ）(デバイス部分)の方法は、ブート工程２００から開始され、デバイス２４のプロセッサ４０は、ブートサイクルを開始する。ブートの実行において、プロセッサ４０は、ＤＩＣＥ層１１２の実行を開始する。ノンス生成工程２０４において、プロセッサは、現在のブートサイクルだけと関連するノンスＮａを生成する(ＲＮＧ１３２を用いる)とともに、Ｎａを認証器に送信する。あるいは、プロセッサは、ノンスＮａを、Ｌ１…Ｌｎ中の少なくともいくつかの層を越えて安全に送信するとともに、Ｌ０以外の一層、たとえば、Ｌｎにより、Ｎａを認証器に送信する。一実施形態において、プロセッサは、ノンスＮａと以下の工程２２０中のレスポンスを一緒に送信する。

【0074】

キー生成工程２１２において、プロセッサは、層Ｌｎ中で、“ＳＫｎ”で示される対称な認証キーを生成する。たとえば、プロセッサは、関数ＯＷＦ１２０を、層ＬｎのシークレットＳｎに適用することにより、ＳＫｎを生成する。認証キーＳＫｎは、ある層で開始されるシークレットチェーンにより、ノンスＮａに基づいて決定され、Ｎａは層のＯＷＦの入力値である。

【0075】

チャレンジ受信工程２１６において、プロセッサは、認証器から、チャレンジＣを受信して、最後の一層Ｌｎを検証する。あるいは、プロセッサはチャレンジを受信して、Ｌ０…Ｌｎ－１中の別の層を検証する。

【0076】

レスポンス計算工程２２０において、プロセッサは、チャレンジにレスポンスして、認証キーＳＫｎを用いて、チャレンジＣに署名することにより(たとえば、署名関数１４８を用いる)、Ｒで示されるレスポンスを生成する。たとえば、プロセッサは、Ｒ=ＭＡＣ(Ｃ,ＳＫｎ)で、レスポンスを計算する。いくつかの実施形態において、プロセッサは、Ｃに対し、Ｎｄで示されるデバイスノンスを生成する(たとえば、ＲＮＧ１６０を用いる)とともに、Ｒ=ＭＡＣ([Ｃ|Ｎｄ]、ＳＫｎ)で、レスポンスを計算する。ノンスＮｄをレスポンスＲに組み込むのは、複数の選択されたチャレンジ値を、デバイスに送信することにより、ＳＫｎを推定することを試みる攻撃を克服する手助けをする。さらに、工程２２０において、プロセッサ４０は、レスポンスＲを認証器に送信する。上記のように、いくつかの実施形態において、工程２２０で、プロセッサは、レスポンスＲ、および、ノンスＮａを認証器に送信する。

【0077】

ブートクエリー工程２２８において、プロセッサは、リブートが必要か、あるいは、今発生しているかをチェックし、そうでない場合、工程２１６に戻って、同じブートサイクル内で、次のチャレンジを受信して、同一、あるいは、別の層を検証する。そうでなければ、プロセッサは工程２００に戻って、後続のブートサイクルを開始するとともに、前のブートサイクルで用いられるＮａ値と異なる値を有するノンスＮａを再生成する。

【0078】

図３（Ａ）の実施形態において、プロセッサは、一ブートサイクル毎に、一回、ＳＫｎを生成する。別の実施形態において、プロセッサは、チャレンジＣを受信することに対応して、ＳＫｎを生成する。この実施形態において、図３（Ａ）の工程２１２は、工程２１６の後、工程２２０の前に実施されてもよい。

【0079】

図３（Ｂ）の方法(認証器部分)は、通常、図３（Ａ）の方法と並行して実行される。図３（Ｂ）の方法は、ストレージ工程２５０から開始され、ホストプロセッサ７６は、デバイス情報を認証器のデータベース(たとえば、ＤＢ８８)に保存する。デバイス情報は、所定のチャレンジに対してレスポンスを生成するとき、デバイスにより用いられる対称な認証キーＳＫｎをリカバーするのに用いられる。この目的で、ホストプロセッサは、各デバイスに対し、デバイス情報を保存し、少なくともデバイスのＤＩＣＥ層ＵＤＳ(６２)、デバイスにより用いられる層設定、および、各層と関連した測定値を含む。認証器は、デバイス情報(および、ノンスＮａ)を用いて、認可されたデバイスにより計算されるのと同じＳＫｎ値を局部的に計算し、以下で記述される。

【0080】

ノンス受信工程２５４において、認証器はノンスＮａを受信し、これは、現在のブートサイクルと関連するデバイスにより生成される。通常、デバイスは、Ｎａを、一ブートサイクル毎に、一度、認証器に提供する。あるいは、デバイスは、同じブートサイクル中に、Ｎａを何回も生成するとともに、毎回アップデートされたＮａを認証器に報告してもよい。いくつかの実施形態において、認証器は、工程２５４でノンスＮａを受信するのではなく、以下の工程２６２で記述されるように、Ｎａとレスポンスを一緒に受信する。

【0081】

チャレンジ送信工程２５８において、認証器は、チャレンジＣを生成して、デバイスの層Ｌｎを検証すると共に、チャレンジをデバイスに送信する。認証器は、通常、乱数、あるいは、疑似乱数としてチャレンジを生成する。認証器は、毎回、異なるチャレンジを発するので、前のレスポンスの知識は、全く役に立たない。異なるチャレンジの使用は、たとえば、リプレーアタック(replay attack)の軽減に有用である。認証器は、任意の適当な時間で、たとえば、デバイスからの要求への応答時、管理者の要求による制御、あるいは、定期的にチャレンジを生成、および、送信してもよい、。

【0082】

レスポンス受信工程２６２において、認証器は、デバイスから、工程２５８で、前に送信されるチャレンジＣに対応するデバイスレスポンスＲを受信する。キーリカバリー工程２６６において、認証器は、工程２５０で保存されたデバイス情報、および、工程２５４で受信されたノンスＮａを用いて、対称な認証キーＳＫｎの複製ＳＫｎ’を局部的に再生成する。

【0083】

検証工程２７０において、認証器は、レスポンスＲ、および、リカバーされた認証キーＳＫｎ’を用いて、デバイスの層Ｌｎを検証する。デバイス中の信頼のチェーンのために、層Ｌｎを検証することにより、ＤＩＣＥ層と層Ｌ０…Ｌｎ－１は同時に検証される。上述のように、認証キーＳＫｎはノンスＮａに基づくので、攻撃者が、認証キーＳＫｎを取得したとしても、Ｎａ値はすでに変化しているので、リブート後、認証に失敗する。

【0084】

工程２７０の後、認証器は、工程２５０、工程２５４、および、工程２５８に戻る。特に、認証器は、デバイスがすでにアップデートされた後で(たとえば、ソフトウェア、あるいは、ファームウェアバージョンがアップデート)、工程２５０に戻る。あるいは、認証器は、デバイスがすでにブートされた後、工程２５４に戻り、現在のブートサイクルと関連するＮａを受信する。あるいは、認証器は後続の異なるチャレンジをデバイスに送信するため、工程２５８に戻る。

【0085】

非対称キー暗号化を用いた認証スキーム
図４は、本発明の一実施形態による非対称キー認証に用いられるデバイスレイヤードスキームを図式的に説明する図である。

【0086】

図４において、コンピューティングデバイス３００は、認証器３０４を動作する管理サーバ３０２を用いて検証される。コンピューティングデバイス３００、管理サーバ３０２、および、認証器３０４は、図１のコンピューティングデバイス２４、管理サーバ２８、および、認証器プログラム８６を実行するのに用いられる。

【0087】

図１のデバイス１００と同様に、デバイス３００は多層コードを動作し、“ＤＩＣＥ層”３１２、および、Ｌ０…Ｌｎで示される可変コードの各層を有する。図４において、はっきりとさせるため、層Ｌ０３１４、層Ｌ１３１６、層Ｌｎ３１８だけが示されている。一実施形態において、ＤＩＣＥ層は、信頼の基点層となり、且つ、デバイスブート時に、無条件に実行される。層Ｌ０…Ｌｎは、ＤＩＣＥ層の後に、所定順序、たとえば、連続的に実行される。デバイス３００中の層、および、キー生成スキームは、通常、デバイス１００中で記述されたスキームと類似する。

【0088】

デバイス３００は、秘密鍵生成(ＳＣＧ)モジュール３０６、認証モジュール３０８、および、証明モジュール３１０を有する。図２のＳＣＧ１０６と同様に、ＳＣＧ３０６は、ＯＷＦ３２０を用いて、Ｓ０…Ｓｎで示されるシークレットのシーケンスを生成する。ＤＩＣＥ層のＯＷＦは、ＵＤＳ３２４、および、層Ｌ０の測定値ＭＯ(３２８Ａ)に基づいて、層Ｌ０中に用いられるシークレットＳ０を生成する。Ｌ０のＯＷＦは、層Ｌ１中に用いられるシークレットＳ１を生成し、以下同様である。所定層ＬｉのＯＷＦは、層順序にしたがって、前の層Ｌｉ－１により生成されるシークレットＳｉ、および、次の層の測定値Ｍｉ＋１に基づいて、シークレットＳｉ＋１を生成する。

【0089】

本例において、認証モジュール３０８は最後のＬｎに結合され、これにより、デバイスは、ＤＩＣＥ層、および、可変層Ｌ０…Ｌｎを認証する。あるいは、認証モジュール３０８は、Ｌ０…Ｌｎ－１中の中間層に結合され、且つ、中間層と以下の各層を認証する。

【0090】

本例において、(上記のデバイス１００に類似する)層Ｌ０は、乱数発生器(ＲＮＧ)３３２を有し、デバイスブート後に、ノンスＮａを生成する。いくつかの実施形態において、層Ｌ０のＯＷＦは、(i)層Ｌ１の測定Ｍ１(３２８Ｂ)、(ii)ＤＩＣＥ層からのシークレットＳ０、および、(iii)ＲＮＧ３３２を用いて生成されるノンスＮａを入力として受信する。層Ｌ０のＯＷＦは、たとえば、Ｓ１=ＨＭＡＣ([Ｍ１|Ｎａ],Ｓ０)を計算することにより、シークレットＳ１を層Ｌ１に生成し、Ｓ０はＨＭＡＣキーを有し、且つ、連結データ[Ｍ１|Ｎａ]は、ＨＭＡＣ関数に入力されるデータである。その他の層中、シークレットＳｉ＋１は、Ｓｉ＋１=ＨＭＡＣ([Ｍｉ＋１],Ｓｉ)により計算される。

【0091】

証明モジュール３１０は、対応する層Ｌ０…Ｌｎと関連するＣＥＲＴ０…ＣＥＲＴｎで示される認証のチェーンを生成する。認証プロセスは、対応する層Ｌ０…Ｌｎ中で生成されるＡＫ０…ＡＫｎで示される非対称キーの使用を含む。層Ｌｉにおいて、プロセッサ４０は、適当な鍵導出関数(ＫＤＦ)３４０をシークレットＳｉに適用することにより、“ＡＫｉ”で示される非対称キーを導出する。ＫＤＦ３４０は、上記のＫＤＦ１４０と同じ(あるいは、類似する)である。各非対称キーＡＫｉは、パブリックキー“ＰＫｉ”、および、対応するプライベートキー“ＰＲｉ”を有する。本例において、各層Ｌ０…Ｌｎ－１は、埋め込まれた認証権限付与(ＥＣＡ)３４２を有する。層Ｌ０のＥＣＡ０は、認証ＣＥＲＴ１を生成し、層Ｌ１のＥＣＡ１は認証ＣＥＲＴ２を生成し、以下同様である。

【0092】

図２の例において、層Ｌｉ中のＥＣＡｉは、同じ層Ｌｉ中で生成されるプライベートキーＰＲｉ、および、次の層Ｌｉ＋１で生成されることが予期される非対称キーＡＫｉ＋１のＰＫｉ＋１に等しいパブリックキーＰＫｉ＋１’(Ｌｉで生成される)を受信する。いくつかの実施形態において、ＥＣＡｉは、プライベートキーＰＲｉを用いて、パブリックキーＰＫｉ＋１に署名することにより、認証ＣＥＲＴｉ＋１を生成する。よって、認証ＣＥＲＴｉ＋１は、それが、層ＬｉのシークレットプライベートキーＰＲｉを用いて署名されたことの証明を提供する。注意すべきことは、ＣＥＲＴｉ＋１は、シークレットＳｉ、ＬｉのＫＤＦ、ＡＫｉとＥＣＡｉにより、層Ｌｉ－１により測定される測定値Ｍｉを暗黙に認証することである。

【0093】

いくつかの実施形態において、デバイス３００は、“ＣＥＲＴ０”で示される認証を、デバイスの層Ｌ０に提供する外部認証機関(Certification Authority、ＣＡ)３５０を用いて、層Ｌ０のパブリックＰＫ０を認証する。ＣＥＲＴ０は、“DeviceID”とも称されるＰＫＯを認証する。製造業者が、ＣＡ３５０をデバイスの認証機関として委任するとき、ＣＥＲＴ０は、デバイスが、関連のある製造業者により製造されたことを証明する。このほか、ＣＥＲＴ０は、相手先商標製品の製造会社(ＯＥＭ)によりデバイスに提供されてもよい。代替的な実施形態において、層Ｌ０は、任意の適当なセルフ認証方法を用いて、ＰＫＯを認証する。一実施形態において、デバイスの層Ｌｉ中、ＡＫｉ－１のパブリックキーＰＫｉ－１が用いられて、認証ＣＥＲＴｉの署名を有効にする。

【0094】

認証モジュール３０８は、層ＬｎのシークレットＳｎを受信するとともに、ＫＤＦ３４０を用いて、シークレットＳｎから、非対称キーＡＫｎを生成し、プライベートキーＰＲｎは認証に用いられる。認証モジュール３０８は、認証器３０４から、チャレンジＮｖを受信するとともに、プライベートキーＰＲｎを用いて、署名関数３５４をチャレンジＮｖに適用することにより、デジタル署名ＤＳを生成する。関数３５４を実行して署名を行う(および、認証器中で検証を実行する)のに適する例示的な署名生成、および、検証方法は、たとえば、２０１３年７月、連邦情報処理標準(Federal Information Processing Standard Publication) (FIPS PUB) 186-4、“デジタル署名規格(DSS)”ですでに説明されている。認証モジュール３０８はさらに、層Ｌ０…Ｌｎに沿って積み重ねられた認証ＣＥＲＴ０…ＣＥＲＴｎのチェーンを受信する。認証スキームで実行される認証器の部分は以下で詳細に記述される。

【0095】

図５（Ａ）および（Ｂ）は、ここで開示されるいくつかの実施形態による非対称キー暗号化を用いたデバイス認証と検証の方法を説明するフローチャートである。

【0096】

認証スキームは、図１のデバイス２４、および、認証器プログラム８６により実行されてもよい。デバイス２４は、図４で示されるレイヤードスキームを実行すると推定される。認証プトロコルの実行において、デバイスと認証器は、たとえば、通信ネットワーク３２を介して、互いに通信する。

【0097】

図５（Ａ）(デバイス部分)の方法は、デバイス２４のプロセッサ４０から開始され、ブート工程４００で、ブートサイクルを開始する。ブートの実行時、プロセッサ４０は、ＤＩＣＥ層３１２の実行を開始する。ノンス生成工程４０４において、プロセッサは、ノンスＮａを生成し(たとえば、ＲＮＧ３３２を用いる)、ノンスＮａは、現在のブートサイクルだけと関連する。あるいは、プロセッサは、(たとえば、安全に)層Ｌ１…Ｌｎの少なくともいくつかを越えて、ノンスＮａを送信するとともに、Ｎａを、層Ｌ０以外の一層、たとえば、Ｌｎにより、認証器に送信する。

【0098】

認証生成工程４０８において、プロセッサは、所定順序(たとえば、連続的に)に従って、層Ｌ０…Ｌｎを実行すると共に、各層Ｌｉで、層Ｌｉ－１で生成されたシークレットＳｉに基づいて、非対称キーＡＫｉを生成する。さらに、プロセッサは、層Ｌｉ中で(ＥＣＡｉを用いて)、層Ｌｉ＋１中のＡＫｉ＋１のパブリックキーＰＫｉ＋１を生成するとともに、ＡＫｉのプライベートキーＰＲｉにより署名される。

【0099】

チャレンジ受信工程４１２において、プロセッサは、認証器から、チャレンジＮｖを受信する。レスポンス計算工程４２０において、プロセッサは、チャレンジにレスポンスして、非対称キーＡＫｎのプライベートキーＰＲｎを用いて、チャレンジＮｖに署名することにより(たとえば、署名関数３５４を用いる)、デジタル署名ＤＳを計算する。

【0100】

レスポンス送信工程４２４において、プロセッサは、通信ネットワーク３２を介して、デジタル署名ＤＳ、および、認証ＣＥＲＴ０…ＣＥＲＴｎを認証器に送信する。

【0101】

ブートクエリー工程４２８において、プロセッサは、リブートが必要か、あるいは、今発生しているかをチェックし、必要ない、発生していない場合、工程４１２に戻り、認証器から、後続の調整を受信する。そうでなければ、プロセッサは、工程４００に戻り、後続のブートサイクルを開始するとともに、前のブートサイクルで用いられるＮａ値と比較して、異なる値を有するノンスＮａを生成する。

【0102】

図５（Ｂ）(認証器部分)の方法は、通常、図５（Ａ）の方法と並行して実行される。図５（Ｂ）の方法は、認証器プログラム８６が、チャレンジ送信工程４５８において、チャレンジＮｖを生成、および、デバイス２４に送信して、層Ｌｎ、および、以下の各層を検証することから開始される。認証器は、任意の適当な時間、たとえば、デバイスからのサービス要求、管理人の要求へのレスポンス時、あるいは、定期的に、チャレンジを生成、および、送信してもよい。

【0103】

レスポンス受信工程４６２において、ホストは、デバイスから、工程４５８で送信されるチャレンジＮｖに対応するデジタル署名ＤＳを受信する。検証操作は、主に、記述されるように、二段階で、(i)認証を検証、および、(ii)デジタル署名を検証、を有する。

【0104】

認証検証工程４６６において、ホストは、工程４２４でデバイスにより送信されたＣＥＲＴ０…ＣＥＲＴｎを検証する。認証器は、製造業者ＣＡ３５０のルート認証を所有する、あるいは、認証器は、ＣＥＲＴ０認証中の機関情報アクセス(Authority Information Access、AIA)フィールドにより、ルート認証にアクセスできると推定される。認証器は、ルート認証を用いて、ＣＥＲＴ０を検証する。認証器はさらに、ＰＫｎを認証するＣＥＲＴｎを検証するまで、ＣＥＲＴ０から、パブリックＰＫ０(DeviceID)を用いて、ＣＥＲＴ１を検証する。検証の認証終了後、ＰＫｎは、信頼できるとみなされる。

【0105】

デジタル署名検証工程４７０において、認証器は、ＰＫｎを用いて、デジタル署名ＤＳを検証する。工程４７０中のＤＳ検証関数は、デバイス側で用いられる署名生成関数３５４と適合する。この検証段階は、ＤＩＣＥ層、および、層Ｌ０…Ｌｎの身分と状態を検証する。

【0106】

工程４７０の後で、必要に応じて、方法は、工程４５８に戻り、後続の異なるチャレンジＮｖをデバイスに送信する。

【0107】

いくつかの実施形態において、デバイスのブート事象後、認証器は、デバイスが、工程４００、工程４０４、および、工程４０８を実行するのを待ち、認証器に、デバイスが、後続のチャレンジを受信する準備をしたことを示す。

【0108】

上記の実施形態は、範例として与えられ、その他の適当な実施形態を使用することもできる。たとえば、上述の実施形態において、信頼のチェーンはＤＩＣＥ層を信頼の基点としているが、代替的な実施形態において、その他の実施形態において、その他の種類の素子を信頼の基点とすることもできる。

【0109】

ここで開示される実施形態は主に、ワイヤレス、あるいは、ランドネットワークに接続されるデバイスの認証スキームに取り組んでいるが、ここで開示される方法、および、システムは、その他のアプリケーション、たとえば、デバイスが、適当なバスにより(たとえば、マザーボード上の)、あるいは、配線を用いて、 (たとえば、車輛内で)認証器に接続される。

【0110】

本発明では好ましい実施例を前述の通り開示したが、これらは決して本発明に限定するものではなく、当該技術を熟知する者なら誰でも、本発明の思想を脱しない範囲内で各種の変形を加えることができる。

【符号の説明】

【0111】

２０…コンピューティングシステム
２４、１００、３００…コンピューティングデバイス
２８、１０２、３０２…管理サーバ
３２…通信ネットワーク
４０…プロセッサ
４４…メモリ
４８…ＲＯＭ
５２…ペリフェラルコンポーネントインターコネクトエクスプレスバス
５４…ネットワークインターフェース
５６…認証関数
５８…ブートコード(ＤＩＣＥ層)
６０…ソフトウェア層
６２、１２４、３２４…一意のデバイスシークレット(ＵＤＳ)
６６…複合デバイス識別子(ＣＤＩ)
７０…暗号エンジン
７２、１３２、１６０…乱数発生器(ＲＮＧ)
７４…暗号ノンス
７６…主機プロセッサ
８０…メモリ
８４…ネットワークインターフェース
８６、１０４、３０４…認証器プログラム
８８…データベース
９０…ポリシー
１０６、３０６…秘密鍵生成(ＳＣＧ)
１０８、３０８…認証モジュール
１１２、３１２…ＤＩＣＥ層
１１４、３１４…Ｌ０
１１６、３１８…Ｌｎ
１２０、３２０…一方向性関数
１２８Ａ、３２８Ａ…Ｍ０
１２８Ｂ、３２８Ｂ…Ｍ１
１３６Ａ、１３６Ｂ…ファームウェアセキュリティ記述子(ＦＳＤ)
１４０、３４０、３４４…鍵導出関数(ＫＤＦ)
１４４…ＳＫｎ
１４８、３５４…署名関数
２００、４００…ブート
２０４、２１２、２１６、２２０、２２８、２５０、２５４、２５８、２６２、２６６、２７０…工程
３１０…照明モジュール
３１６…Ｌ１
３２８Ｃ…Ｍ２
３４２…ＥＣＡ０、ＥＣＡ１
３５０…外部認証機関(ＣＡ)
４０４、４０８、４１２、４２０、４２４、４２８、４５８、４６２、４６６、４７０…工程

【図1】

【図2】

【図3】

【図4】

【図5】