特開 2023-163173 秘密鍵の安全な回復

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023163173

(43)【公開日】2023-11-09

(54)【発明の名称】秘密鍵の安全な回復

(51)【国際特許分類】

   H04L 9/08 20060101AFI20231101BHJP

【ＦＩ】

H04L9/08 C

【審査請求】有

【請求項の数】18

【出願形態】ＯＬ

(21)【出願番号】P 2023072915

(22)【出願日】2023-04-27

(31)【優先権主張番号】10 2022 110 139.8

(32)【優先日】2022-04-27

(33)【優先権主張国・地域又は機関】DE

(71)【出願人】

【識別番号】523159557

【氏名又は名称】ディー ウンターネーメンスゲフィアテン ゲーエムベーハー

【氏名又は名称原語表記】ＤＩＥ ＵＮＴＥＲＮＥＨＭＥＮＳＧＥＦＡＥＨＲＴＥＮ ＧＭＢＨ

(74)【代理人】

【識別番号】100073184

【弁理士】

【氏名又は名称】柳田 征史

(74)【代理人】

【識別番号】100175042

【弁理士】

【氏名又は名称】高橋 秀明

(72)【発明者】

【氏名】ニック ロンドン

(72)【発明者】

【氏名】パトリック ロンドン

(57)【要約】

【課題】 秘密鍵を暗号化せずに保管することは、根本的なリスクを伴う。他方では、同じ秘密鍵でも、パスワード保護によるパックアップが、紛失のリスクを背景に、同じく大きなリスクを伴う。
【解決手段】 第１のクライアントによって、第１のサーバの公開鍵を要求する（１１０）。第１のクライアントによって、第１のクライアントの秘密鍵と第１のサーバの公開鍵とから対称鍵を生成し（１３０）、第１のクライアントの秘密鍵を対称鍵で暗号化し（１４０）、第１のクライアントの暗号化された秘密鍵を第２のサーバに伝送する。第２のサーバによって、第１のクライアントの暗号化された秘密鍵を保存する（１５０）。このようにして、第１のクライアントの秘密鍵を保護する。
【選択図】 図１

【特許請求の範囲】

【請求項1】

第１のクライアントの秘密鍵を保護する方法であって、
前記第１のクライアントによって、第１のサーバの公開鍵を要求するステップ（１１０）と、
前記第１のクライアントによって、前記第１のクライアントの前記秘密鍵と前記第１のサーバの前記公開鍵とから対称鍵を生成し（１３０）、前記対称鍵を用いて前記第１のクライアントの前記秘密鍵を暗号化し（１４０）、前記第１のクライアントの暗号化された前記秘密鍵を第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの暗号化された前記秘密鍵を保存する（１５０）ステップと
を含む、方法。

【請求項2】

前記第１のクライアントによって、前記対称鍵を前記第１のサーバから、前記第１のクライアントの暗号化された前記秘密鍵を前記第２のサーバから検索する（２１０，２３０）ステップと、
前記第１のサーバによって、前記第１のサーバの秘密鍵と前記第１のクライアントの公開鍵とから前記対称鍵を生成し（２４０）、前記対称鍵を前記第１のクライアントに伝送するステップであって、ここで、前記第１のサーバの前記秘密鍵が前記第１のサーバの前記公開鍵に属し、前記第１のクライアントの前記公開鍵が前記第１のクライアントの前記秘密鍵に属する、ステップと、
前記第１のクライアントによって、前記第１のクライアントの暗号化された前記秘密鍵を前記対称鍵によって解読する（２５０）ステップと
をさらに含む、方法。

【請求項3】

前記第１のクライアントの暗号化された前記秘密鍵および／または前記対称鍵の前記検索（２１０，２３０）を、１回用いられたパスワードに基づいて実行する、請求項２記載の方法。

【請求項4】

前記第１のクライアントの暗号化された前記秘密鍵を更新するステップをさらに含み、ここで、前記更新は、
前記第１のクライアントによって、前記第１のクライアントの新たな秘密鍵および前記公開鍵を前記第１のサーバから作成し（３１０）、前記第１のサーバの新たな公開鍵を前記第１のサーバに要求するステップと、
前記第１のクライアントによって、前記第１のクライアントの前記新たな秘密鍵と前記第１のサーバの前記新たな公開鍵とから新たな対称鍵を生成し（３５０）、前記第１のクライアントの前記新たな秘密鍵を前記新たな対称鍵で暗号化し（３６０）、前記第１のクライアントの前記新たな暗号化された秘密鍵を前記第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの前記新たな暗号化された秘密鍵を記憶し（３７０）、前記第１のクライアントの以前に記憶された暗号化された前記秘密鍵を削除する（３８０）ステップと
を含む、請求項１から３までのいずれか１項記載の方法。

【請求項5】

前記第１のクライアントの前記暗号化された秘密鍵の前記更新を、ユーザ要求に対する応答として実行するステップをさらに含む、請求項４記載の方法。

【請求項6】

前記第１のクライアントの前記暗号化された秘密鍵の前記更新を、規則的な間隔で自動的に実行する、請求項４記載の方法。

【請求項7】

前記第１のクライアントによって、パスワードを用いて前記第１のクライアントの前記秘密鍵を暗号化し（４１０）、前記パスワードで暗号化された前記第１のクライアントの前記秘密鍵と、前記パスワードから生成されたハッシュ値（４１５）とを前記第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの前記パスワードで暗号化された前記秘密鍵と、伝送された前記ハッシュ値を保存するステップと
をさらに含む、請求項１から６までのいずれか１項記載の方法。

【請求項8】

前記第１のクライアントによって、前記パスワードの前記ハッシュ値を前記第２のサーバに伝送する（４３０）ステップと、
前記第２のサーバによって、伝送された前記ハッシュ値を、前記第１のクライアントの保存された前記ハッシュ値と比較し（４４０）、前記パスワードで暗号化された前記第１のクライアントの前記秘密鍵を前記第１のクライアントに伝送する（４６０）ステップと、
前記第１のクライアントによって、前記第１のクライアントの伝送された秘密鍵を前記パスワードで解読する（４６０）ステップと
をさらに含む、請求項７記載の方法。

【請求項9】

前記第１のクライアントによって、前記第２のサーバに前記パスワードを置き換えるための要求を伝送する（４７０）ステップと、
前記第２のサーバによって、前記第１のサーバに前記パスワードを置き換えるための要求を伝送する（４８０）ステップと、
前記第１のサーバによって、前記第１のサーバの秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し（４９０）、ワンタイムパスワードを生成し（４９０）、前記ワンタイムパスワードで前記対称鍵を暗号化し（４９２）、前記ワンタイムパスワードのハッシュ値を作成し（４９２）、前記暗号化された対称鍵および前記ワンタイムパスワードの前記ハッシュ値の１つのハッシュ値を前記第２のサーバに伝送し、前記ワンタイムパスワードを前記１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記第２のサーバに前記第１のクライアントを認証する要求を伝送するステップであって、ここで、前記要求は、前記ワンタイムパスワードのハッシュ値を含む、ステップと、
前記第２のサーバによって、前記第１のサーバのハッシュ値と、前記第１のクライアントによって伝送された前記ワンタイムパスワードの前記ハッシュ値とを比較し（４９５）、前記第１のクライアントの前記対称鍵で暗号化された前記秘密鍵および前記ワンタイムパスワードで暗号化された前記対称鍵を前記第１のクライアントに伝送する（４９６）ステップと、
前記第１のクライアントによって、前記暗号化された対称鍵を前記ワンタイムパスワードで復号化（４９７）し、前記第１のクライアントの前記暗号化された秘密鍵を前記対称鍵で復号化（４９７）し、前記第１のクライアントの前記秘密鍵を新たなパスワードで暗号化（４９８）し、前記新たなパスワードで暗号化された前記第１のクライアントの前記秘密鍵および前記新たなパスワードのハッシュ値を前記第２のサーバに伝送する（４９８）ステップと
をさらに含む、請求項７または８記載の方法。

【請求項10】

前記第１のクライアントによって、第３のサーバに認証要求を伝送する（５１０）ステップと、
前記第３のサーバによって、前記第１のクライアントにチャレンジを伝送する（５２０）ステップと、
前記第１のクライアントによって、前記第３のサーバに前記チャレンジに対するレスポンスを伝送する（５３０）ステップと、
前記第３のサーバによって、前記レスポンスを検証し（５４０）、前記第１のクライアントにアクセストークンを伝送する（５５０）ステップと、
前記第１のクライアントによって、前記第２のサーバにアクセス要求を伝送する（５６０）ステップであって、前記アクセス要求は前記アクセストークンを含む、ステップと、
前記第２のサーバによって、前記アクセストークンをチェックするステップと
をさらに含む、請求項１から９までのいずれか１項記載の方法。

【請求項11】

前記第１のクライアントによって、前記第２のサーバにアクセス要求を伝送する（６１０）ステップと、
前記第２のサーバによって、前記第１のクライアントにチャレンジを伝送する（６２０）ステップと、
前記第１のクライアントによって、前記第２のサーバに前記チャレンジに対するレスポンスを伝送する（６３０）ステップと、
前記第２のサーバによって、前記チャレンジに基づいて前記レスポンスを検証する（６４０）ステップと
をさらに含む、請求項１から９までのいずれか１項記載の方法。

【請求項12】

前記第２のサーバによって、前記第２のサーバの前記秘密鍵で前記第１のクライアントの権限証明に署名し、前記署名された権限証明および前記対称鍵で暗号化された前記クライアントの前記秘密鍵を前記第１のクライアントに伝送する（７２０）ステップと、
前記第１のクライアントによって、前記署名された権限証明を前記第１のサーバに伝送するステップと、
前記第１のサーバによって、前記第２のサーバの前記認証された公開鍵を用いて前記第１のクライアントの前記署名された権限証明を検証し（７４０）、前記第１のサーバの前記秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し（７５０）、前記第１のクライアントに前記対称鍵を伝送する（７５０）ステップと、
前記第１のクライアントによって、前記暗号化された前記第１のクライアントの秘密鍵を前記対称鍵で解読する（７６０）ステップと
をさらに含む、請求項１０または１１記載の方法。

【請求項13】

前記第１のクライアントの前記権限証明の署名（７１０）が、１つ以上のタイムスタンプで前記権限証明を署名するステップを含み、ここで、前記タイムスタンプによって定義される期間が経過すると、前記署名された権限証明の前記検証（７４０）が中断される、請求項１２記載の方法。

【請求項14】

前記第２のサーバによって、前記対称鍵で暗号化された前記第１のクライアントの前記秘密鍵を第２のクライアントに伝送する（８１０）ステップと、
前記第１のサーバによって、前記第１のサーバの前記秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し（８２０）、前記対称鍵を前記第２のクライアントに伝送する（８２０）ステップと、
前記第２のクライアントによって、前記第１のクライアントの前記秘密鍵を前記対称鍵を用いて解読する（８３０）ステップと
をさらに含む、請求項１から１３までのいずれか１項記載の方法。

【請求項15】

クライアントの秘密鍵を保護するためのシステムであって、
クライアントと、第１のサーバと、第２のサーバと
を含み、
ここで、前記クライアントは、前記第１のサーバの公開鍵を要求する（１１０）ように構成されており、
前記第１のサーバは、前記第１のサーバの前記公開鍵を前記クライアントに伝送する（１２０）ように構成されており、
前記クライアントは、さらに、前記クライアントの前記秘密鍵と前記第１のサーバの前記公開鍵とから対称鍵を生成し（１３０）、前記クライアントの前記秘密鍵を前記対称鍵で暗号化し（１４０）、前記クライアントの暗号化された前記秘密鍵を第２のサーバに伝送する（１４０）ように構成されており、ここで、前記第２のサーバは、前記クライアントの暗号化された前記秘密鍵を保存する（１５０）ように構成されている、
システム。

【請求項16】

前記クライアントはさらに、前記第１のサーバおよび前記クライアントの前記暗号化された秘密鍵から前記対称鍵を検索し（２１０，２３０）、前記対称鍵を用いて前記クライアントの前記暗号化された秘密鍵を解読する（２５０）するように構成されている、請求項１５記載のシステム。

【請求項17】

コンピュータ可読媒体であって、前記コンピュータ可読媒体が１つ以上のプロセッサによって実行されるときに、請求項１から１４までのいずれか１項記載の方法を実行する命令を保存している、コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書に開示された発明は、コンピュータ実装された暗号化技術の分野である。

【背景技術】

【0002】

暗号化は、データの確実な暗号化を取り扱っており、多数の技術分野、特にメッセージ伝送の分野および多数の別のコンピュータ実装機構に適用されている。基本的に、暗号化方法は、デジタルで表現可能なあらゆるデータ形式に適用される。

【0003】

暗号化では、対称鍵と非対称鍵とに区別される。対称型暗号化では、データまたはストリームなどの各種データを暗号化するために同じ鍵が使用され、これに対して非対称型暗号化では、秘密鍵（private key）と公開鍵（public key）とから成る鍵対が使用される。公開鍵は暗号化のためにのみ使用され、秘密鍵は復号化のために用いられる。したがって、公開鍵は、受信者、つまり秘密鍵の所有者に対して他者がデータの暗号化を可能にするために、一般に利用可能にすることができる。秘密鍵は、所有者によって他者のアクセスから保護すべきものである。秘密鍵は、さらに、データの署名にも使用できる。この署名により、これらのデータは暗号化されないが、しかしながら、そのようなデータの受信者は、対応する公開鍵に基づいて、署名が有効であるか否かをチェックすることができ、このデータが署名後に変化した場合に、この署名はもはや有効ではなくなる。

【0004】

一方では暗号化を可能にし、他方では復号化を可能にするために、対称鍵は、通常、通信する当事者間で事前に伝送されなければならない。この伝送は、鍵を第三者に知られないようにする必要があり、伝送時に気付かれずにコピーされる可能性があるため、当事者にリスクが生じる。このような欠点は、非対称鍵の場合には当てはまらない。なぜならば、秘密鍵が共有されず、公開鍵が一般に知られる可能性があるからである。

【0005】

第三者による秘密鍵へのアクセスを防ぐため、秘密鍵そのものは、対称鍵、例えばパスワードまたは別の非対称鍵によって保護することができる。しかしながら、別の鍵が（例えばパスワードの失念によって）失われた場合には、最新の先行技術によれば元の秘密鍵は回復することができず、これによって、例えば、関連する文書へのアクセス、またはユーザの身元確認もしくは文書への署名能力が失効することになる。

【0006】

秘密鍵を権限のないアクセスから保護するために、この秘密鍵を第三者に伝送して保管することができる。鍵が暗号化されずに伝送されると、第三者が鍵所有に代わって文書に署名したり、鍵所有者に暗号化されているデータを復号化したりすることができる。上記のように別のパスワードもしくは鍵によって伝送が行われる場合には、紛失時に鍵を回復できないという問題が引き続き生じる。

【0007】

秘密鍵を暗号化せずに保管することは、特に第三者との間で、根本的なリスクを伴う。他方では、同じ秘密鍵でも、パスワード保護によるパックアップが、紛失のリスクを背景に、同じく大きなリスクを伴う。

【発明の概要】

【発明が解決しようとする課題】

【0008】

本明細書に開示された発明の根底を成す課題は、上述のリスクを回避しながら、非対称型秘密鍵をこうした損失から保護することである。

【課題を解決するための手段】

【0009】

本発明の実行形態は、第１のクライアントの秘密鍵を保護する方法に関し、この方法は、第１のクライアントによって、第１のサーバの公開鍵を要求するステップと、第１のクライアントによって、第１のクライアントの秘密鍵と第１のサーバの公開鍵とから対称鍵を生成し、第１のクライアントの秘密鍵を対称鍵で暗号化し、第１のクライアントの暗号化された秘密鍵を第２のサーバに伝送するステップと、第２のサーバによって、第１のクライアントの暗号化された秘密鍵を保存するステップとを含む。

【0010】

本発明の更なる実行形態は、第１のクライアントの秘密鍵を保護するためのシステムに関し、このシステムは、クライアント、第１のサーバ、および第２のサーバを含み、クライアントは、第１のサーバの公開鍵を要求するように適合されており、第１のサーバは、第１のサーバの公開鍵をクライアントに伝送するように適合されており、クライアントは、クライアントの秘密鍵と第１のサーバの公開鍵とから対称鍵を生成し、クライアントの秘密鍵を対称鍵で暗号化し、クライアントの暗号化された秘密鍵を第２のサーバに伝送するようさらに適合されており、第２のサーバは、クライアントの暗号化された秘密鍵の保存に適合されている。

【0011】

本発明の実行形態はさらに、コンピュータ可読媒体であって、当該コンピュータ可読媒体上に保存された命令を伴い、これらの命令は、１つ以上のプロセッサによって実行されると、上述の方法のうちの１つを実行する、コンピュータ可読媒体に関する。

【0012】

本発明の更なる実行形態は、添付の特許請求の範囲から読み取れる。

【図面の簡単な説明】

【0013】

【図1】クライアントの秘密鍵を保護するための本発明による方法を示す。

【図2】クライアントの秘密鍵を回復するための本発明による方法を示す。

【図3】クライアントの秘密鍵を置き換えるための本発明による方法を示す。

【図4A】クライアントの秘密鍵にパスワードを適用するための本発明による方法を示す。

【図4B】パスワードを用いてクライアントの秘密鍵を回復するための本発明による方法を示す。

【図4C】パスワードを置き換えるための本発明による方法を示す。

【図5】サーバを用いてクライアントを認証するための本発明による方法を示す。

【図6】別のサーバを用いてクライアントを認証するための本発明による方法を示す。

【図7】図５および図６に示した方法のうちの１つに基づいてクライアントを認証するための本発明による方法を示す。

【図8】クライアントの秘密鍵にアクセスするための本発明による方法を示す。

【発明を実施するための形態】

【0014】

本明細書に記載される方法は、好ましくは、１つ以上のクライアントおよび／または１つ以上のサーバによって実行される。クライアントは、スマートフォンやノートブックなどのモバイル機器や、据え置き型のコンピュータでもある。同様に、サーバも移動型コンピュータまたは据え置き型のコンピュータであってよい。しかしながら、選択的に、クライアントおよび／またはサーバを、異なるコンピュータまたは同じコンピュータ上で動作するソフトウェアプロセスとして構成することもできる。しかもクライアントは、本明細書に開示されているクライアントのステップをソフトウェアによって実行するユーザであってもよい。

【0015】

１つ以上のクライアントは、技術的に互いに分離され、互いに通信したり、互いのデータにアクセスしたりすることができない第１のサーバおよび第２のサーバと通信する。このような分離は、例えば、異なるマシン上で動作するサーバプロセスによって実現可能であり、その場合、マシンは互いに物理的な接触を持たず、ネットワーク接続や他の装置によって互いに通信することも不可能である。

【0016】

代替的に、２つのサーバを２つのネットワークで運用し、一方のネットワークからのコンタクトを他方のネットワークで常に拒否する、例えばネットワークファイアウォールを使用することによっても、２つのサーバの分離を実現することができる。

【0017】

更なる代替手段には、サーバを物理的に別のネットワークで運用することで、直接的な情報交換を物理的に排除する方法もある。例えば、第１のサーバはインターネット経由でアクセス可能であるが、第２のサーバはインターネット経由でアクセスできないキャンパスネットワークやローカルネットワークの一部であってもよい。

【0018】

更なる代替手段には、２台のサーバを同じネットワーク内で運用し、システムレベルのファイアウォールやアプリケーションのファイアウォールなどで、もう一方のサーバからの接続を常に拒否するように設定する方法もある。

【0019】

第２のサーバと第１のサーバとの間の直接の接触は、上述のサーバの分離にもかかわらず可能であるが、ここに開示された実行形態を使用する場合、双方とも、その都度他方の当事者が受け取ってはならないデータを有しているので、厳しい制限を受けている。これには、第１のサーバの秘密鍵または対称鍵で暗号化されたクライアントの秘密鍵が含まれる。この制限は、さまざまなアプローチで実現することができる。第１のアプローチには、例えばユーザに直接の有線接続または他のハードウェアインタフェースを構成するように指示することにより、２つのサーバを物理的かつ一時的に互いに接続する必要性が含まれる。第２のアプローチには、２つのサーバ間のあらゆるアクセスが、最大距離、例えば１ｍ以下または設定可能な距離だけ互いに離間している場合にのみ、２つのサーバ間のアクセスを許可するというものが含まれる。第３のアプローチには、２つのサーバ間の接続の持続時間中、他のすべての接続を自動的に遮断するように、すなわち、例えばシリアルポート経由でのみ通信し、それらのネットワークスタックを遮断するように、両サーバを構成することが含まれる。これらのサーバは、サーバ同士の接続または他のアドレスもしくは当事者との接続のみを形成することができるように構成可能である。これらのアプローチは互いに組み合わせることができ、かつ／または別の認証手段によって補完することができる。

【0020】

２つのサーバ間の接触を制限する別の方法として、例えば、いわゆるｊｕｍｐｈｏｓｔのような別のサーバを実装することも可能である。このサーバは、第１のサーバおよび第２のサーバの両方と通信できるように構成されている。このアプローチでは、第１のサーバと第２のサーバとは、別のサーバからの接続を認識して接続するように構成されている。第１のサーバおよび第２のサーバによる別のサーバの検出は、ネットワークアドレスの検出および／または技術的な識別および／または認証方法によって行われてもよい。別のサーバは、第１のサーバと第２のサーバとの間のパケットフィルタとして用いられ、上述の方法において第１のサーバと第２のサーバとの間に設けられている通信だけが可能となることを保証する。パケットのフィルタリングは、例えば、ディープパケットインスペクションによって行うことができる。別のサーバの変形例には、このサーバを分散ゾーンの一部であるいわゆるジャンプホストとして実装することが含まれ、これは、上述した第１のアプローチまたは第２のアプローチと組み合わせることができる。１つ以上のデータダイオードで相互接続された少なくとも２つのサーバを使用する方法も含まれ、これは、説明したすべてのアプローチと組み合わせることができる。

【0021】

サーバ間の通信を制限し、所定の事前措置の下でのみ通信を許容するという上記の可能性は、その都度明示的に言及しなくても、以下に説明するすべての実行形態と組み合わせることができる。

【0022】

図１は、クライアント（クライアント１）の秘密鍵を保護する方法１００を示している。この目的のために、クライアントは、第１のサーバ（サーバ１）および第２のサーバ（サーバ２）と別々に通信する。

【0023】

ステップ１１０において、クライアントは、第１のサーバの公開鍵（公開_ｓ１）を要求する。これは、図１に示すように、ＨＴＴＰＳ／ＴＬＳ／ＳＳＬまたは他のネットワークプロトコルなどの適切なプロトコルを用いて、第１のサーバに直接送信される要求によって行うことができる。代替的にクライアントは、第三者が公開鍵にアクセスおよび／またはチェックできるように公開鍵を管理および認証する公開鍵基盤（ＰＫＩ）の一部として、認証局（ＣＡ）など他のソースから第１のサーバの公開鍵を要求することもできる。ステップ１２０において、第１のサーバは、要求に応答して、その公開鍵を伝送する。このステップも、代替的に認証局によって実行されることができる。別の選択肢として、要求および応答も、図示のように、第１のサーバ自身が認証局から公開鍵を検索して実行することもできる。別の代替案として、要求に応答して、第１のサーバは、既に公開鍵を有しているかどうかをチェックし、有していない場合には、新たな非対称鍵対を生成し、この鍵対の公開鍵をクライアントに伝送することができる。

【0024】

特定の実行形態では、第１のサーバは、異なるクライアントに対してそれぞれの公開鍵を保持することができる。本実行形態では、クライアントは、ステップ１１０において、その要求とともに、このクライアントの識別子を伝送する。サーバ側では、この識別子を用いて、対応する公開鍵を参照するか、このクライアントに対して新たな非対称鍵対を生成して、識別子とともに保存する。

【0025】

ステップ１３０において、クライアントは、第１のサーバの公開鍵（公開_ｓ１）とクライアントの秘密鍵（秘密_ｃ１）とから対称鍵（対称）を生成する。これには、例えば、鍵導出関数（ＫＤＦ）の利用が含まれる。このようなＫＤＦは、第１の鍵対の公開鍵および第２の鍵対の秘密鍵から、第１の鍵対の秘密鍵および第２の鍵対の公開鍵からと同じ結果を生成する特性を有することができる。

【0026】

一実行形態では、ステップ１３０はさらに、紛失擬似ランダム関数（ＯＰＲＦ）により、対称鍵を別のサーバに保存された情報に依存させることを含んでいてもよい。このため、クライアントは一度だけ使用される乱数によって対称鍵のマスキングを行い、その結果を別のサーバに伝送する。別のサーバは、別のサーバに保存されている情報と伝送されたマスク鍵とを用いて処理を行い、その結果をクライアントに送信する。クライアントは、一度だけ使用される乱数によって別のサーバからの応答をアンマスキングする。マスキング処理も、サーバ処理と同様に、どの乱数を使っても必ず同じ結果になるように構成されている。このようなＯＰＲＦの一例として、ブラインドＲＳＡ署名がある。この方法は、任意の数の別のサーバを用いて繰り返すことができる。別のサーバの１つを第２のサーバとすることができる。本実行形態を用いる場合、ＯＰＲＦの結果は以下のステップで対称として使用される。本実行形態は、その都度明示的に言及しなくても、以下に説明するすべての実行形態と組み合わせることができる。特に、後述する方法のステップ２４０、３５０、４９７、７６０および８３０に適用される。唯一の要件は、クライアントが対称鍵を取得（ステップ２４０、３５０、７６０および８３０）または復号化（ステップ４９７）した後に、毎回ＯＰＲＦ関数を実行することである。

【0027】

ステップ１４０において、クライアントは自身の秘密鍵を対称鍵で暗号化し、この暗号化の結果をここでは対称（秘密_ｃ１）と称し、保存の要求（要求）とともに第２のサーバに伝送する。このような要求または要件には、クライアントの識別子、例えば、既に述べたクライアントの識別子を含めることができ、これによって、第２のサーバがクライアントの暗号化された秘密鍵をこの識別子の下に保存し、後でこの識別子を使用してこの秘密鍵を調べることができる。代替的に第２のサーバは、例えば、クライアントが第２のサーバにアクセスする際のアドレスに基づいて、クライアントの識別子を自ら生成することができる。別の選択肢として、このアクセスまたは要求は、識別子およびパスワードの指定を必要とするクライアントの認証を伴う場合があり、この場合、伝送された暗号化された秘密鍵は、第２のサーバのユーザカウントの下に簡単に保存することができる。第２のサーバは、ステップ１５０において、暗号化された秘密鍵を保存する。

【0028】

最後に、クライアントは対称鍵を削除する。好ましくは、方法１００は、クライアントがクライアントの暗号化された秘密鍵も削除する更なるステップを含むことができる。

【0029】

方法１００は、クライアントの秘密鍵を保存するための安全なアプローチを表している。方法１００を適用した後の第１のサーバは、自身の秘密鍵と公開鍵しか有しておらず、そこからクライアントの暗号化された秘密鍵を復号化するために必要な対称鍵を生成することはできない。さらに、説明したように、第１のサーバがクライアントの暗号化された秘密鍵を第１のサーバから検索する方法はない。また、第２のサーバもクライアントの秘密鍵にアクセスする術を持たない。たしかにこの鍵は暗号化された状態で第２のサーバに保存されている。しかしながら、復号化するためには、後述するように、クライアントの対称鍵または秘密鍵と第１のサーバの公開鍵のいずれかかが必要である。第２のサーバは、クライアントの暗号化された秘密鍵を解読するために必要なデータにアクセスすることはできない。

【0030】

図２は、図１に関して説明したように、この鍵が第２のサーバに保存された後に、クライアントの秘密鍵を回復するための方法２００を示す。

【0031】

ステップ２１０において、クライアントは、クライアントの暗号化された秘密鍵を取得するための要求を第２のサーバに送信する。この要求の送信には、識別子および／またはパスワードの伝送あるいはその他の認証措置を含めることができる。このようにして、第２のサーバは、クライアントの識別をチェックし、かつ／または複数の暗号化された秘密鍵の中からクライアントの暗号化された秘密鍵を、すなわち、例えば、伝送された識別子に基づいて識別することが可能である。しかしながら、例えばアドレスまたは他の通常の認証機構などを用いて、他の手段でクライアントを識別することもできる。

【0032】

ステップ２２０において、第２のサーバは、クライアントの要求した暗号化された秘密鍵を伝送することによって応答する。

【0033】

ステップ２３０において、クライアントは、第１のサーバから対称鍵を要求する。これは、図２に示された順序で行うことができる。特に、クライアントは、ステップ２１０および２２０が成功した場合にのみ、ステップ２３０を実行することができる。代替的にクライアントは、ステップ２１０の前に、またはステップ２１０と２２０との間に、あるいは一般にステップ２１０および２２０とは独立して、ステップ２３０を実行してもよい。

【0034】

ステップ２４０において、第１のサーバは、クライアントの要求に応答する。これは、クライアントの公開鍵と第１のサーバの秘密鍵とから対称鍵を生成するステップを含む。第１の鍵対の秘密鍵と第２の鍵対の公開鍵とから、第１の鍵対の公開鍵と第２の鍵対の秘密鍵とから形成される対称鍵と同一である対称鍵を生成するという可能性はＫＤＦによって保証される。対応する実装の例は、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵交換、Ｍｅｎｅｚｅｓ－Ｑｕ－Ｖａｎｓｔｏｎｅ（ＭＱＶ）、Ｈａｓｈ ＭＱＶ（ＨＭＱＶ）である。ステップ２４０の代替として、第１のサーバは、対称鍵を既に予め生成および／または保存しておき、単にそれを検索するだけでもよい。引き続き、第１のサーバは、対称鍵をクライアントに伝送する。特定の実行形態では、クライアントは、第１のサーバが対称鍵を参照または保存するために使用するクライアントの識別子をその要求とともに送信することができる。

【0035】

ステップ２５０において、クライアントは、暗号化されたクライアントの秘密鍵を対称鍵を用いて復号化する。このプロセスの結果は、図２に対称鍵^－１（秘密_ｃ１）→秘密_ｃ１として示されている。

【0036】

一実行形態では、ステップ２１０および２３０の要求ならびにステップ２２０および２４０のそれらの応答は、それぞれのサーバによって生成され、例えばクライアントのユーザのプリセットされた更なるデバイスを介して、事前に手配された経路でクライアントに送信される１つ以上のワンタイムパスワードの使用を条件としてもよい。

【0037】

その結果、方法２００では、そもそも使用後に秘密鍵を紛失したり削除したりした場合に、クライアントがその秘密鍵にアクセスすることが可能となる。この場合、第１のサーバと第２のサーバの２つの異なる当事者からそれぞれ秘密鍵を復号化するためのデータが必要となるため、この方法では秘密鍵の安全な回復が可能となる。

【0038】

図３は、クライアントの秘密鍵を交換／更新するための方法３００を示す。方法３００は、所定の期間にわたって使用される鍵を置き換えるという目的で、先に説明した方法のうちの１つに連続して実行されてもよい。

【0039】

ステップ３１０において、クライアントは新たな非対称鍵対を生成し、その鍵対の秘密鍵はここでは秘密_ｃ１ ^ｎｅｕ、その鍵対の公開鍵は公開_ｃ１ ^ｎｅｕと称する。これらの鍵の生成には、新たな公開鍵を第三者が検索および／または検証することができるように、鍵対をＰＫＩに登録することを含み得る。

【0040】

ステップ３２０において、クライアントは、第１のサーバの公開鍵の要求を第１のサーバに送信する。方法１００のステップ１１０および１２０に関して既に説明したように、クライアントは代替的に認証局から第１のサーバの公開鍵を取得することができるので、このステップはオプションである。しかしながら、例えば、クライアントが初めて第１のサーバにコンタクトする場合や、第１のサーバの公開鍵もそれらの鍵の長期間の使用（または不使用）により更新する必要があるため、そのクライアントのために新たな鍵対を生成することに、第１のサーバ専用に要求することもできる。

【0041】

ステップ３３０において、第１のサーバは新たな鍵対を生成し、その鍵対の公開鍵はここでは公開_ｓ１ ^ｎｅｕ、その鍵対の秘密鍵は秘密_ｓ１ ^ｎｅｕと称する。このステップは、要求３２０が鍵対を再生成するために第１のサーバを独自に検索する場合にのみ実行される。

【0042】

ステップ３４０において、第１のサーバは、第１のサーバの新たな公開鍵をクライアントに伝送する。

【0043】

ステップ３５０において、クライアントは、既に説明したＫＤＦを用いて、クライアントの新たな秘密鍵と第１のサーバの新たな公開鍵とから新たな対称鍵（対称鍵^ｎｅｕ）を生成する。

【0044】

ステップ３６０において、クライアントは新たな秘密鍵を新たな対称鍵で暗号化し、その結果の対称鍵^ｎｅｕ（秘密_ｃ１ ^ｎｅｕ）を第２のサーバに送信する。

【0045】

ステップ３７０において、第２のサーバは、クライアントの暗号化された新たな秘密鍵を保存する。

【0046】

ステップ３８０において、第２のサーバはクライアントの古い暗号化された秘密鍵を削除する。このステップは、特定の実施形態では、前述のとおり省略することができる。このステップは、ステップ３７０の後に所定の時間だけ遅延させることができる。こうすることで、古い公開鍵で暗号化されたままのデータを復元することができる。

【0047】

一実施形態では、方法３００は、ユーザ入力によってトリガされ得る。代替的に、予め設定された規則的な間隔で実行し、クライアントの暗号化された秘密鍵を繰り返し生成して保存してもよい。有利には、このような間隔の長さは、所与の技術的構成および所与の対称鍵の技術的な特性（その長さ）を考慮して、対称鍵を解読するために理論的に必要となる時間に基づいて設定されてもよく、例えば、この時間の特定の一部分（半分）だけを含む間隔に設定されてもよい。

【0048】

図４Ａは、クライアントの秘密鍵にパスワードを適用するための方法４００Ａを示す。この方法では、ユーザが特定のクライアントに依存せずに自身の秘密鍵にアクセスすることができる。特に、ユーザは自身で決めたパスワードを使って、自身の秘密鍵にアクセスすることができる。「パスワード」による暗号化では、これを対称鍵として使用するか、またはパスワードを初期値として対称鍵を生成する（シード鍵）。

【0049】

一実施形態では、方法４００Ａは、方法１００のステップが既に実行されているため、対称鍵が既に存在し、対称鍵で暗号化されたクライアントの秘密鍵が第２のサーバによって保存されていると仮定している。

【0050】

この実施形態では、方法４００Ａは、クライアントがパスワードを生成するステップ４０５を含む。パスワードは、ユーザの入力に基づくものでも、自動作成されるものであってもよい。パスワードは、クライアントのユーザがクライアントへの認証および／またはログインに使用するパスワードと同一であってもよい。

【0051】

ステップ４１０において、クライアントはパスワードで自身の秘密鍵を暗号化し、パスワードで暗号化された秘密鍵を第２のサーバに伝送する。この伝送は、例えばステップ４１５を実行する際に、図４Ａに示すよりも後に行うことができる。

【0052】

ステップ４１５において、クライアントは、ハッシュ関数を用いてパスワードからハッシュ値を生成し、このハッシュ値を第２のサーバに伝送する。一実施形態では、ステップ４１５は、パスワードで暗号化されたクライアント／ユーザ秘密鍵もパスワードのハッシュ値も第２のサーバに伝送することができる。場合によっては、クライアントはさらに、ユーザまたはクライアントの識別子を伝送することができる。クライアントは同時に、対称鍵で暗号化された自身の秘密鍵を伝送することができる。

【0053】

ステップ４２０において、第２のサーバはこのデータを保存し、その際、伝送されたハッシュ値の場合、これサーバから順に別のハッシュ値が生成され、このハッシュ値が保存される。有利には、クライアントと第２のサーバとは、同じハッシュ関数を使用する。代替的に、クライアント側でハッシュ関数ｓｈａ５１２、第２のサーバ側でｂｃｒｙｐｔまたはｓｃｒｙｐｔなど、異なるハッシュ関数を実行することも可能である。データは、ステップ４１０で伝送されたクライアントのパスワード暗号化秘密鍵と、場合によっては、既に方法１００で保存されているクライアントの対称鍵で暗号化された秘密鍵とともに保存される。この関連付けは、場合によっては、伝送された識別子に基づいて、あるいはクライアントまたはユーザ（対応する認証またはアドレス）に基づいて実行することができる。

【0054】

図４Ｂは、パスワードを用いてクライアントまたはユーザの秘密鍵を回復するための方法４００Ｂを示している。この方法は、方法４００Ａが既に実行され、第２のサーバが対称鍵で暗号化されたクライアントの秘密鍵とパスワードで暗号化されたクライアントの秘密鍵との両方を有すると仮定している。図４Ｂに示すクライアント１は、図４Ａに示すクライアントと同じであってもよいし、異なっていてもよい。

【0055】

ステップ４３０において、クライアントは、方法４００Ａのステップ４１０で既に適用されたハッシュ関数を使用して、クライアントまたはクライアントのユーザがこれまで使用していたまたはこの目的のために表示されたパスワードのハッシュ値を生成する。このハッシュ値は、場合によっては、クライアントまたはユーザの識別子とともに、あるいは先に説明した第２のサーバへのアクセスの場合のように、既知の認証手段によって第２のサーバに伝送される。この伝送は、パスワードで暗号化されたクライアントの秘密鍵の伝送を第２のサーバに要求する形で行うことができる。

【0056】

ステップ４４０において、第２のサーバは、方法４００Ａのステップ４２０で既に適用されたハッシュ関数を用いて、ステップ４３０で伝送されたハッシュ値を生成し、このハッシュ値と方法４００Ａのステップ４２０で保存したこのクライアントまたはユーザのハッシュ値とを比較する。場合によっては、第２のサーバは、ステップ４３０で伝送されたクライアント／ユーザの識別子に基づいて、クライアント／ユーザの保存されたハッシュ値を検索することができる。

【0057】

ステップ４５０において、第２のサーバは、ステップ４３０に応答して、パスワードで暗号化されたクライアントの秘密鍵をクライアントに伝送する。

【0058】

ステップ４６０において、クライアントまたはユーザは、送信されたパスワード暗号化秘密鍵を、自身が既に知っているパスワードで復号化する。

【0059】

図４Ｃは、パスワードを置き換えるための方法４００Ｃを示す。方法４００Ｃは、方法４００Ａおよび方法１００によって確立された条件が存在すること、つまり、クライアントの秘密鍵が第２のサーバに異なる暗号化で保存されており、すなわち、第１の暗号化は対称鍵に基づき、少なくとも１つの他の暗号化はパスワードに基づいていることを前提としている。先に説明したように、対称鍵は、クライアントと第１のサーバの秘密鍵と公開鍵との組み合わせによって復元することができる。この機構は、パスワードでは実行することができない。なぜなら、パスワードは非対称鍵に由来しないため、クライアントが自身の秘密鍵へのアクセスを失うことなく置き換えることができないからである。方法４００Ｃでは、この問題を解決し、パスワードの回復を可能にする。

【0060】

ステップ４７０において、クライアントは、第２のサーバに自身のパスワードを置き換えるように要求する。一実施形態では、クライアントは、第２のサーバがそのクライアントのパスワードを検索することができるように、この要求とともにその識別子を伝送することができる。

【0061】

ステップ４８０において、第２のサーバは、クライアントの要求を第１のサーバに転送し、場合によっては、再びクライアントの識別子を指定する。追加的または代替的に、第２のサーバは、クライアントの公開鍵を伝送することができる。

【0062】

ステップ４９０において、第１のサーバは、クライアントのために対称鍵を生成するか、またはそのクライアントのために保存されている当該鍵のコピーを検索する。さらに、第１のサーバはワンタイムパスワード（ｏｎｅ－ｔｉｍｅ）を生成する。このワンタイムパスワード自体が対称鍵であってもよいし、対称鍵として使用してもよい。

【0063】

ステップ４９１において、第１のサーバは対称鍵をワンタイムパスワードで暗号化し、その結果をｏｎｅ－ｔｉｍｅ（対称鍵）と呼ぶ。

【0064】

ステップ４９２において、第１のサーバは、方法４００Ａのステップ４１０で既に使用したハッシュ関数を用いて、ワンタイムパスワードで暗号化された対称鍵とワンタイムパスワードのハッシュ値とを第２のサーバに伝送する。このステップは、有利には、暗号化されていない対称鍵が公開されるのを防ぐために、適切な制約を使用して実行される。第２のサーバは、方法４００Ａのステップ４２０で既に使用したハッシュ関数を用いて伝送されたハッシュ値のハッシュ値を生成し、さらに使用するためにそれを保存する。

【0065】

ステップ４８０および４９２における第１のサーバと第２のサーバとの間の通信は、有利には、２つのサーバの相互の接続間の制約のために記載したアプローチを用いて実行される。

【0066】

ステップ４９３において、第１のサーバは、ワンタイムパスワードをクライアントに伝送する。

【0067】

ステップ４９４において、クライアントは、ワンタイムパスワードのハッシュ値に基づいてクライアントを認証するよう第２のサーバに要求する。この目的のために、クライアントはこのハッシュ値と、場合によってはクライアントの識別子とを伝送する。ここでも、方法４００Ａのステップ４１０で既に使用したのと同じハッシュ関数が使用される。

【0068】

ステップ４９５において、第２のサーバは、ステップ４９３およびステップ４９４で得られた２重ハッシュ値を比較し、単一のハッシュ値のみが伝送された場合、第２のサーバは、方法４００Ａのステップ４２０で既に使用した同じハッシュ関数を用いて２重ハッシュ値自体を生成する。

【0069】

ステップ４９６において、第２のサーバは、方法１００のステップ１５０で保存された対称鍵で暗号化されたクライアントの秘密鍵と、ステップ４９２で第１のサーバから第２のサーバに提供されたワンタイムパスワードで暗号化された対称鍵とを伝送することによって、クライアントに応答する。この伝送は、ステップ４９５において比較された値が同一であることを条件として行われる。

【0070】

ステップ４９７において、クライアントは、ワンタイムパスワードで暗号化された対称鍵を復号化し、この対称鍵を用いて、対称鍵で暗号化されたクライアントの秘密鍵を復号化する。

【0071】

ステップ４９８において、クライアントは自身の秘密鍵を新たなパスワードで暗号化する（パスワード^ｎｅｕ）。この新たなパスワードは、例えば乱数として生成することができるか、あるいはユーザ入力によって決定することもできる。クライアントはさらに、新たなパスワードのハッシュ値を作成し、暗号化された秘密鍵とハッシュ値とを、両方の値を保存する第２のサーバに伝送する。ハッシュ値の場合、第２のサーバは、有利には、パスワードの２重ハッシュ値を保存する。第２のサーバによるステップ４９８とそれに続く保存とは、方法４００Ａのステップ４１０および４２０と同様に行われる。古いパスワードの保存されたハッシュ値は、場合によっては、所定時間待った後に削除することができる。

【0072】

図５は、クライアントを認証するための別のサーバ（サーバ３）の使用を含む方法５００を示している。この方法によって、ここで説明した実施形態におけるシングルサインオン機構の統合が可能になる。この機構は、例えば、ＯＡｕｔｈ、Ａｕｔｈ０、ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）などによって実現することができる。第３のサーバは、クライアントを認証するために、例えば、チャレンジ・レスポンス認証を使用することができる。代替的に、パスワードによる認証、ＰＡＫＥ（パスワード認証鍵交換）、例えばＷｅｂＡｕｔｈｎなどのパスワード不要の方法など、公知の方法も利用することができる。

【0073】

ステップ５１０において、クライアントは、第３のサーバにクライアントの認証を要求する。一実施形態では、この要求は、クライアントから第２のサーバへの対応する要求を前提としてもよく、この要求は、クライアントが第３のサーバとの接続を確立することができるようにするために、第３のサーバに関する情報をクライアントに伝送する。

【0074】

ステップ５２０において、第３のサーバは、例えば図５に示すチャレンジ・レスポンス認証の範囲内でクライアントを検証する。チャレンジ・レスポンス認証を使用する場合、第３のサーバは、ステップ５２０において、例えば乱数、有利にはパスワードによって暗号化されたものを含むチャレンジで応答する。一実施形態では、この目的のために第３のサーバが保存し、クライアントが知っているパスワードを使用することができる。

【0075】

ステップ５３０において、クライアントは、第３のサーバに伝送されるレスポンスで応答する。このレスポンスは、例えば、クライアントが自身パスワードを用いてレスポンスを復号化し、所定の関数（例えば、インクリメント）を用いて変更し、パスワードを鍵として再暗号化することで、乱数から生成することができる。

【0076】

ステップ５４０において、第３のサーバは、例えば、伝送された暗号化された乱数を復号化し、場合によっては、所定の関数を適用することにより、クライアントのレスポンスを検証する。

【0077】

ステップ５５０において、第３のサーバは、クライアントの応答に対して、クライアントに伝送されたトークンで応答する。トークンは、クライアントによる識別証明として使用するために設けられているデジタルオブジェクトである。

【0078】

ステップ５６０において、クライアントは、アクセス要求を第２のサーバに伝送する。アクセス要求には、上記のトークンが含まれる。

【0079】

ステップ５７０において、第２のサーバは、例えば、第２のサーバに予め保存されていたクライアントに関するデータを用いて、トークンをチェックする。これには、例えばクライアントの識別子が含まれる。

【0080】

プロセス５００は、以下でさらに説明するプロセス７００に続けて行うことができる。

【0081】

図６は、第３のサーバの関与なしに実行され、方法５００に対する代替として提示される方法６００を示す。

【0082】

ステップ６１０において、クライアントは、アクセス要求を第２のサーバに伝送する。場合によっては、この要求はクライアントの識別子を含むことができるか、またはこれまで説明した要求と同様に認証措置をとることができる。

【0083】

ステップ６２０において、第２のサーバは、クライアントに伝送されるチャレンジで要求に応答する。

【0084】

ステップ６３０において、クライアントは再びチャレンジに応答し、レスポンスを第２のサーバに伝送する。

【0085】

ステップ６４０において、第２のサーバは応答を検証する。方法６００は、後述する方法７００に続けて行うことができる。

【0086】

図７は、対称鍵に関してクライアントの権限の保護を実行する方法７００を示している。方法７００は、方法５００および６００のいずれかが準備中に実施されたことを前提とする。

【0087】

ステップ７１０において、第２のサーバは第２のサーバの秘密鍵を使用してクライアントの権限証明に署名し、その結果を、ここでは署名_ｓ２（権限証明_ｃ１）と称することにする。権限証明は、データまたはデータ場所を指定し、１人または複数のユーザまたはクライアントを識別することができるデータ構造である。さらに、データ構造には、ユーザ／クライアントが当該データ／データ場所に対して有する、または有するべきアクセス権の定義が含まれていてよい。このようなユーザまたはクライアントを識別する代わりに、データ構造は、証明書チェーンを含むか、または証明書チェーン参照することができる。証明書チェーンはルート証明書を必要とし、ユーザまたはクライアントの識別を検証するために使用することができる。したがって、このような権限証明の署名は、第２のサーバが行うか、認証機関に委任することができる。証明書は、デジタル署名（署名）と特定の当事者または実体との関連付けが可能であることを確認する署名付き文書であり、その当事者または実体は、特定のアクションを実行する権限を与えられている。このようなアクションには、身分証明書または権限証明書の発行、あるいはそのようなアクションの更なる委任が含まれる。このような署名付き証明は、署名の作成に使用した秘密鍵に属する公開鍵を適用することで検証することができる。例えば、第１のサーバは、第２のサーバの公開鍵（公開_ｓ２）または証明書チェーンのルート証明書の公開鍵を使用する。

【0088】

一実施形態では、ステップ７１０は、署名に有効期限を設けることを追加的に含む。例えば、権限証明には、現在のタイムスタンプと期間とを設けることができる。

【0089】

ステップ７２０において、第２のサーバは、署名された権限証明と、対称鍵で暗号化されたクライアントの秘密鍵とをクライアントに伝送する。

【0090】

ステップ７３０において、クライアントは、署名された権限証明を第１のサーバに転送し、その過程で対称鍵を要求する。

【0091】

ステップ７４０において、第１のサーバは、第２のサーバの公開鍵または証明書チェーンを使用して、署名された権限証明を検証する。先に説明したように、この公開鍵は、例えば認証機関から取得してもよいし、ステップ７３０でクライアントから伝送されたものであってもよい。権限証明が有効期限を持つ実施形態では、この検証は、現在のタイムスタンプと権限証明のタイムスタンプとの差が、権限証明において示されている期間よりも大きいか否かのチェックを含む。この場合、検証および方法７００全体が中断される。

【0092】

ステップ７５０において、第１のサーバは、先に示したように、対称鍵を生成する。代替的に、第１のサーバは、対称鍵をローカルに検索してもよい。この目的のために、クライアントは、ステップ７３０において、さらに、クライアントの対応する識別子を第１のサーバに伝送してもよい。対称鍵はクライアントに伝送される。

【0093】

ステップ７６０において、クライアントは、ステップ７２０で取得された対称鍵で暗号化されたクライアントの秘密鍵を解読する。

【0094】

図８は、第三者に対してクライアントの秘密鍵を発行および解読させる方法８００を示している。このようなシナリオは、ユーザがここで説明した方法の１つを自身で実行できない場合、または第１のクライアントはもはや存在せず、新たなクライアントがまだ登録されていないか、またはログインすることができない場合、本発明の実際の用途で必要になり得る。つまり、死亡時または法的な引き渡し命令があった場合にも、ユーザデータへのアクセスが可能となる。

【0095】

方法８００の前提条件は、法的または契約的な指示が第２のサーバに提示されることである。この指示は、第２のクライアント（クライアント２）から提示され、第２のサーバでチェックされる。

【0096】

ステップ８１０において、指示のチェックに成功した後、第２のサーバは、そこに保存されている、対称鍵で暗号化された第１のクライアント（クライアント１）の秘密鍵を第２のクライアントに伝送する。指示の確認は、第２のサーバの管理者が自動で行ってもよいし、手動で行ってもよい。代替的に、この指示は、第２のクライアントの公開鍵を使用して第２のサーバによって自動的に検証される署名付き権限証明を含むこともできる。

【0097】

ステップ８２０において、第１のサーバは、第１のサーバの秘密鍵と第１のクライアントの公開鍵とから対称鍵を生成するか、または予め保存されていた対称鍵を検索する。対称鍵は、第２のクライアントに伝送される。ステップ８２０は、権限証明、特に第２のサーバによって署名された権限証明を含む第２のクライアントからの要求に応答して、ステップ８１０と同じように行われ、第２のサーバによって前述のとおり第１のサーバによってチェックされる。権限証明は、法的または契約的な性質のものであってもよい。第２のクライアントからの要求は、権限証明に加えて、第１のサーバが第１のクライアントまたはそのユーザを識別できるようにするためのクライアントの識別子を含んでもよい。一実施形態では、ステップ８２０は、第１のクライアントおよび／または第２のサーバにメッセージを伝送することをさらに含んでもよい。このメッセージは、例えば、権限証明および／または対称鍵の発行の要求を出した第２のクライアントに関する情報を含んでもよい。このメッセージは、対称鍵発行の同意についての第１のクライアントへの要求をさらに含んでもよく、そのような実施形態では、第１のサーバは、第１のクライアントからの応答を待機する期間を設定することができ、期間の満了後に第１のサーバにおいて第１のクライアントから応答を受信しない場合、対称鍵の発行を継続または停止することができる。

【0098】

ステップ８３０において、第２のクライアントは、第１のクライアントの暗号化された秘密鍵を復号化する。

【0099】

本明細書で説明している実施形態は、例えば、上記で説明したクライアントおよびサーバなどの１つ以上のコンピュータによって実行されると、説明した方法を実行する命令を保存するコンピュータ可読媒体によって補完される。同様に、本発明の実施形態は、クライアントおよびサーバ自体ならびにそこから形成されるシステムも含む。

【0100】

機密性を損なうことなく暗号鍵の可用性を確保するための本明細書に開示されている措置は、ほとんどの場合、ユーザの介入を必要とせずに自動的に行われ、これには、秘密鍵および公開鍵の作成、保護、更新および回復が含まれる。同時に、これらの鍵は、転送および／または保存のためにデータの暗号化および／または復号化、データの電子署名および／または個人の電子証明を継続的かつ自動的に行うために使用することができる。したがって、本発明では、データの可用性を保証するために、対象機器でのデータの永続的な保存を平文で暗号化解除する必要がない完全なエンドツーエンドの暗号化を実現することができる。こうした措置は、上述した方法により、特に鍵の定期的な更新によっても、従来のアプローチによって達成されなかった高い安全基準を提供する。本実施形態では、例えば、回復に必要な情報を任意の数のサーバに分散させたり、鍵の回復に特化したプロセスを技術的に強制したりすることで、ユーザまたはシステム管理者のセキュリティ要件およびＩＴインフラに対応した対策が可能である。

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図4C】

【図5】

【図6】

【図7】

【図8】

【手続補正書】

【提出日】2023-09-27

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

第１のクライアントの秘密鍵を保護する方法であって、
前記第１のクライアントによって、第１のサーバの公開鍵を要求するステップと、
前記第１のクライアントによって、前記第１のクライアントの前記秘密鍵と前記第１のサーバの前記公開鍵とから対称鍵を生成し、前記対称鍵を用いて前記第１のクライアントの前記秘密鍵を暗号化し、前記第１のクライアントの暗号化された前記秘密鍵を第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの暗号化された前記秘密鍵を保存するステップと
を含む、方法。

【請求項2】

前記第１のクライアントによって、前記対称鍵を前記第１のサーバから、前記第１のクライアントの暗号化された前記秘密鍵を前記第２のサーバから検索するステップと、
前記第１のサーバによって、前記第１のサーバの秘密鍵と前記第１のクライアントの公開鍵とから前記対称鍵を生成し、前記対称鍵を前記第１のクライアントに伝送するステップであって、ここで、前記第１のサーバの前記秘密鍵が前記第１のサーバの前記公開鍵に属し、前記第１のクライアントの前記公開鍵が前記第１のクライアントの前記秘密鍵に属する、ステップと、
前記第１のクライアントによって、前記第１のクライアントの暗号化された前記秘密鍵を前記対称鍵によって解読するステップと
をさらに含む、請求項１記載の方法。

【請求項3】

前記第１のクライアントの暗号化された前記秘密鍵および／または前記対称鍵の前記検索を、ワンタイムパスワードを用いた暗号化によって実行する、請求項２記載の方法。

【請求項4】

前記第１のクライアントの暗号化された前記秘密鍵を更新するステップをさらに含み、ここで、前記更新は、
前記第１のクライアントによって、前記第１のクライアントの新たな秘密鍵および公開鍵を作成し、前記第１のサーバの新たな公開鍵を前記第１のサーバに要求するステップと、
前記第１のサーバによって、前記第１のサーバの前記新たな公開鍵と新たな秘密鍵を作成し、前記第１のサーバの前記新たな公開鍵を前記第１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記第１のクライアントの前記新たな秘密鍵と前記第１のサーバの前記新たな公開鍵とから新たな対称鍵を生成し、前記第１のクライアントの前記新たな秘密鍵を前記新たな対称鍵で暗号化し、前記第１のクライアントの前記新たな暗号化された秘密鍵を前記第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの前記新たな暗号化された秘密鍵を記憶し、前記第１のクライアントの以前に記憶された暗号化された前記秘密鍵を削除するステップと
を含む、請求項１記載の方法。

【請求項5】

前記第１のクライアントの前記暗号化された秘密鍵の前記更新を、ユーザ要求に対する応答として実行するステップをさらに含む、請求項４記載の方法。

【請求項6】

前記第１のクライアントの前記暗号化された秘密鍵の前記更新を、規則的な間隔で自動的に実行する、請求項４記載の方法。

【請求項7】

前記第１のクライアントによって、パスワードを用いて前記第１のクライアントの前記秘密鍵を暗号化し、前記パスワードで暗号化された前記第１のクライアントの前記秘密鍵と、前記パスワードから生成されたハッシュ値とを前記第２のサーバに伝送するステップと、
前記第２のサーバによって、前記第１のクライアントの前記パスワードで暗号化された前記秘密鍵と、伝送された前記ハッシュ値のハッシュ値を保存するステップと
をさらに含む、請求項１記載の方法。

【請求項8】

前記第１のクライアントによって、前記パスワードの前記ハッシュ値を前記第２のサーバに伝送するステップと、
前記第２のサーバによって、伝送された前記ハッシュ値のハッシュ値を、前記第１のクライアントの保存された前記ハッシュ値と比較し、前記パスワードで暗号化された前記第１のクライアントの前記秘密鍵を前記第１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記第１のクライアントの伝送された前記秘密鍵を前記パスワードで解読するステップと
をさらに含む、請求項７記載の方法。

【請求項9】

前記第１のクライアントによって、前記第２のサーバに前記パスワードを置き換えるための要求を伝送するステップと、
前記第２のサーバによって、前記第１のサーバに前記パスワードを置き換えるための要求を伝送するステップと、
前記第１のサーバによって、前記第１のサーバの秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し、ワンタイムパスワードを生成し、前記ワンタイムパスワードで前記対称鍵を暗号化し、前記ワンタイムパスワードのハッシュ値を作成し、前記暗号化された対称鍵および前記ワンタイムパスワードの前記ハッシュ値のハッシュ値を前記第２のサーバに伝送し、前記ワンタイムパスワードを前記１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記第２のサーバに前記第１のクライアントを認証する要求を伝送するステップであって、ここで、前記要求は、前記ワンタイムパスワードのハッシュ値を含む、ステップと、
前記第２のサーバによって、前記第１のサーバの前記ハッシュ値と、前記第１のクライアントによって伝送された前記ワンタイムパスワードの前記ハッシュ値のハッシュ値とを比較し、前記第１のクライアントの前記対称鍵で暗号化された前記秘密鍵および前記ワンタイムパスワードで暗号化された前記対称鍵を前記第１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記暗号化された対称鍵を前記ワンタイムパスワードで復号化し、前記第１のクライアントの前記暗号化された秘密鍵を前記対称鍵で復号化し、前記第１のクライアントの前記秘密鍵を新たなパスワードで暗号化し、前記新たなパスワードで暗号化された前記第１のクライアントの前記秘密鍵および前記新たなパスワードのハッシュ値を前記第２のサーバに伝送するステップと
をさらに含む、請求項７記載の方法。

【請求項10】

前記第１のクライアントによって、第３のサーバに認証要求を伝送するステップと、
前記第３のサーバによって、前記第１のクライアントにチャレンジを伝送するステップと、
前記第１のクライアントによって、前記第３のサーバに前記チャレンジに対するレスポンスを伝送するステップと、
前記第３のサーバによって、前記レスポンスを検証し、前記第１のクライアントにアクセストークンを伝送するステップと、
前記第１のクライアントによって、前記第２のサーバにアクセス要求を伝送するステップであって、前記アクセス要求は前記アクセストークンを含む、ステップと、
前記第２のサーバによって、前記アクセストークンをチェックするステップと
をさらに含む、請求項１記載の方法。

【請求項11】

前記第１のクライアントによって、前記第２のサーバにアクセス要求を伝送するステップと、
前記第２のサーバによって、前記第１のクライアントにチャレンジを伝送するステップと、
前記第１のクライアントによって、前記第２のサーバに前記チャレンジに対するレスポンスを伝送するステップと、
前記第２のサーバによって、前記チャレンジに基づいて前記レスポンスを検証するステップと
をさらに含む、請求項１記載の方法。

【請求項12】

前記第２のサーバによって、前記第２のサーバの前記秘密鍵で前記第１のクライアントの権限証明に署名し、署名された前記権限証明および前記対称鍵で暗号化された前記クライアントの前記秘密鍵を前記第１のクライアントに伝送するステップと、
前記第１のクライアントによって、前記署名された権限証明を前記第１のサーバに伝送するステップと、
前記第１のサーバによって、前記第２のサーバの前記認証された公開鍵を用いて前記第１のクライアントの前記署名された権限証明を検証し、前記第１のサーバの前記秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し、前記第１のクライアントに前記対称鍵を伝送するステップと、
前記第１のクライアントによって、前記第１のクライアントの前記暗号化された秘密鍵を前記対称鍵で解読するステップと
をさらに含む、請求項１０記載の方法。

【請求項13】

前記第１のクライアントの前記権限証明の署名が、１つ以上のタイムスタンプで前記権限証明を署名するステップを含み、ここで、前記タイムスタンプによって定義される期間が経過すると、前記署名された権限証明の前記検証が中断される、請求項１２記載の方法。

【請求項14】

前記第２のサーバによって、前記対称鍵で暗号化された前記第１のクライアントの前記秘密鍵を第２のクライアントに伝送するステップと、
前記第１のサーバによって、前記第１のサーバの前記秘密鍵と前記第１のクライアントの前記公開鍵とから前記対称鍵を生成し、前記対称鍵を前記第２のクライアントに伝送するステップと、
前記第２のクライアントによって、前記第１のクライアントの前記秘密鍵を前記対称鍵を用いて解読するステップと
をさらに含む、請求項１記載の方法。

【請求項15】

クライアントの秘密鍵を保護するためのシステムであって、
クライアントと、第１のサーバと、第２のサーバと
を含み、
前記クライアントは、前記第１のサーバの公開鍵を要求するように構成されており、
前記第１のサーバは、前記第１のサーバの前記公開鍵を前記クライアントに伝送するように構成されており、
前記クライアントは、さらに、前記クライアントの前記秘密鍵と前記第１のサーバの前記公開鍵とから対称鍵を生成し、前記クライアントの前記秘密鍵を前記対称鍵で暗号化し、前記クライアントの暗号化された前記秘密鍵を第２のサーバに伝送するように構成されており、
前記第２のサーバは、前記クライアントの暗号化された前記秘密鍵を保存するように構成されている、
システム。

【請求項16】

前記クライアントはさらに、前記対称鍵を前記第１のサーバから、前記クライアントの暗号化された前記秘密鍵を前記第２のサーバから検索し、前記対称鍵を用いて前記クライアントの暗号化された前記秘密鍵を解読するように構成されている、請求項１５記載のシステム。

【請求項17】

前記第２のサーバによって、前記第２のサーバの前記秘密鍵で前記第１のクライアントの権限証明に署名し、前記署名された権限証明と前記対称鍵を用いて暗号化された前記クライアントの前記秘密鍵を前記第１のクライアントへ伝送するステップと、
前記第１のクライアントによって、前記署名された権限証明を前記第１のサーバへ伝送するステップと、
前記第１のサーバによって、前記第２のサーバの前記認証された公開鍵によって前記第１のクライアントの前記署名された権限証明を検証し、前記第１のサーバの前記秘密鍵と前記第１のクライアントの前記公開鍵から前記対称鍵を作成し、前記対称鍵を前記第１のクライアントへ伝送するステップと、
前記第１のクライアントによって、前記第１のクライアントの前記暗号化された秘密鍵を前記対称鍵で解読するステップと
をさらに含む、請求項１１記載の方法。

【請求項18】

前記第１のクライアントの前記権限証明の署名が、１つ以上のタイムスタンプで前記権限証明を署名するステップを含み、ここで、前記タイムスタンプによって定義される期間が経過すると、前記署名された権限証明の前記検証が中断される、請求項１７記載の方法。