2025-24582 電子情報記憶媒体、ＩＣチップ、署名検証処理方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025024582

(43)【公開日】2025-02-20

(54)【発明の名称】電子情報記憶媒体、ＩＣチップ、署名検証処理方法、及びプログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20250213BHJP

   H04L 9/14 20060101ALI20250213BHJP

【ＦＩ】

H04L9/32 200B

H04L9/14

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023128788

(22)【出願日】2023-08-07

(71)【出願人】

【識別番号】000002897

【氏名又は名称】大日本印刷株式会社

(74)【代理人】

【識別番号】110000958

【氏名又は名称】弁理士法人インテクト国際特許事務所

(74)【代理人】

【識別番号】100120189

【弁理士】

【氏名又は名称】奥 和幸

(72)【発明者】

【氏名】福永 正剛

(72)【発明者】

【氏名】工藤 隆史

(72)【発明者】

【氏名】高橋 憲介

(72)【発明者】

【氏名】嘉瀬 悠太

(57)【要約】

【課題】ハイブリッド証明書に付加された署名の検証を実施し、その検証結果に応じて安全な処理を行うことが可能な電子情報記憶媒体、ＩＣチップ、署名検証処理方法、及びプログラムを提供する。
【解決手段】セキュアデバイス１は、外部端末２からハイブリッド証明書を含むコマンドを受信した場合に、非PQC公開鍵とPQC公開鍵とのうち少なくとも何れか一方により、ハイブリッド証明書に付加された少なくとも何れか一方の署名を検証し、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功した場合と、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との何れか一方が成功した場合とで異なる設定を行う。
【選択図】図３

【特許請求の範囲】

【請求項1】

暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体であって、
第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶する記憶手段と、
前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証する検証手段と、
前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行う設定手段と、
を備えることを特徴とする電子情報記憶媒体。

【請求項2】

前記設定手段は、さらに、前記第１の公開鍵による前記第１の署名の検証が成功した場合と、前記第２の公開鍵による前記第２の署名の検証が成功した場合とで異なる設定を行うことを特徴とする請求項１に記載の電子情報記憶媒体。

【請求項3】

前記記憶手段に前記第１の公開鍵と前記第２の公開鍵とが記憶されている場合、前記検証手段は、前記第２の公開鍵により前記証明書データに付加された前記第２の署名を検証し、当該第２の署名の検証が失敗した場合に、前記第１の公開鍵により前記証明書データに付加された前記第１の署名を検証することを特徴とする請求項１または２に記載の電子情報記憶媒体。

【請求項4】

前記記憶手段に前記第１の公開鍵と前記第２の公開鍵とが記憶されている場合、前記検証手段は、前記第２の公開鍵により前記証明書データに付加された前記第２の署名を検証し、当該第２の署名の検証が成功した場合であって、前記第１の公開鍵を用いた署名検証が必要であると判定した場合に、前記第１の公開鍵により前記証明書データに付加された前記第１の署名を検証することを特徴とする請求項１または２に記載の電子情報記憶媒体。

【請求項5】

暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能なＩＣチップであって、
第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶する記憶手段と、
前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証する検証手段と、
前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行う設定手段と、
を備えることを特徴とするＩＣチップ。

【請求項6】

暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体により実行される署名検証処理方法であって、
第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶手段に記憶するステップと、
前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証するステップと、
前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行うステップと、
を含むことを特徴とする署名検証処理方法。

【請求項7】

暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体に含まれるコンピュータに、
第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶手段に記憶するステップと、
前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証するステップと、
前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行うステップと、
を実行させることを特徴とするプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、署名検証を行うことが可能なセキュアデバイス等の技術分野に関する。

【背景技術】

【0002】

近年、十分な規模の量子コンピュータが実用化されても安全性を保つことができる暗号（つまり、量子コンピュータに耐性のある暗号）として、耐量子計算機暗号（以下、「PQC（Post-Quantum Cryptography）」という）が知られている。しかし、PQCを用いた暗号アルゴリズムは計算のためのリソースが多く必要となる。そのため、署名（デジタル署名）及び署名検証が必要とされるシステムにおいて、PQCを用いた暗号アルゴリズム（例えば、CRYSTALS-Dilithium）と、非PQC（例えば、RSA（Rivest-Shamir-Adleman cryptosystem））を用いた暗号アルゴリズムとが並行して利用（稼働）される可能性がある。これに関連する技術として、特許文献１には、量子脆弱暗号システムから耐量子暗号システムへの移行中に、量子脆弱暗号システムと耐量子暗号システムとのハイブリッドデジタル証明書を使用することができる技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特許第６６４４８９４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上述したように、PQCを用いた暗号アルゴリズムと、非PQCを用いた暗号アルゴリズムとが並行して利用されることを考慮すると、それぞれの暗号アルゴリズムによる署名が付加されたハイブリッド証明書がセキュアデバイス（セキュリティデバイス）により利用されることが想定される。

【0005】

そこで、本発明は、このような点などに鑑みてなされたものであり、ハイブリッド証明書に付加された署名の検証を実施し、その検証結果に応じて安全な処理を行うことが可能な電子情報記憶媒体、ＩＣチップ、署名検証処理方法、及びプログラムを提供することを課題の一例とする。

【課題を解決するための手段】

【0006】

上記課題を解決するために、請求項１に記載の発明は、暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体であって、第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶する記憶手段と、前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証する検証手段と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行う設定手段と、を備えることを特徴とする。

【0007】

請求項２に記載の発明は、請求項１に記載の電子情報記憶媒体において、前記設定手段は、さらに、前記第１の公開鍵による前記第１の署名の検証が成功した場合と、前記第２の公開鍵による前記第２の署名の検証が成功した場合とで異なる設定を行うことを特徴とする。

【0008】

請求項３に記載の発明は、請求項１または２に記載の電子情報記憶媒体において、前記記憶手段に前記第１の公開鍵と前記第２の公開鍵とが記憶されている場合、前記検証手段は、前記第２の公開鍵により前記証明書データに付加された前記第２の署名を検証し、当該第２の署名の検証が失敗した場合に、前記第１の公開鍵により前記証明書データに付加された前記第１の署名を検証することを特徴とする。

【0009】

請求項４に記載の発明は、請求項１または２に記載の電子情報記憶媒体において、前記記憶手段に前記第１の公開鍵と前記第２の公開鍵とが記憶されている場合、前記検証手段は、前記第２の公開鍵により前記証明書データに付加された前記第２の署名を検証し、当該第２の署名の検証が成功した場合であって、前記第１の公開鍵を用いた署名検証が必要であると判定した場合に、前記第１の公開鍵により前記証明書データに付加された前記第１の署名を検証することを特徴とする。

【0010】

請求項５に記載の発明は、暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能なＩＣチップであって、第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶する記憶手段と、前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証する検証手段と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行う設定手段と、を備えることを特徴とする。

【0011】

請求項６に記載の発明は、暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体により実行される署名検証処理方法であって、第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶手段に記憶するステップと、前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証するステップと、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行うステップと、を含むことを特徴とする。

【0012】

請求項７に記載の発明は、暗号強度が異なる複数種類の暗号アルゴリズムのそれぞれにより暗号演算を行うことが可能な電子情報記憶媒体に含まれるコンピュータに、第１の暗号アルゴリズムで用いられる第１の公開鍵と、前記第１の暗号アルゴリズムよりも暗号強度が高い第２の暗号アルゴリズムで用いられる第２の公開鍵とのうち少なくとも何れか一方を記憶手段に記憶するステップと、前記第１の暗号アルゴリズムで用いられる第１の秘密鍵による第１の署名と、前記第２の暗号アルゴリズムで用いられる第２の秘密鍵による第２の署名とが付加された証明書データを含むコマンドを外部端末から受信した場合に、前記第１の公開鍵と前記第２の公開鍵とのうち少なくとも何れか一方により、前記証明書データに付加された少なくとも何れか一方の前記署名を検証するステップと、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との双方が成功した場合と、前記第１の公開鍵による前記第１の署名の検証と前記第２の公開鍵による前記第２の署名の検証との何れか一方が成功した場合とで異なる設定を行うステップと、を実行させることを特徴とする。

【発明の効果】

【0013】

本発明によれば、ハイブリッド証明書に付加された署名の検証を実施し、その検証結果に応じて安全な処理を行うことができる。

【図面の簡単な説明】

【0014】

【図1】セキュアデバイス１のハードウェア構成例を示す図である。

【図2】セキュアデバイス１と外部端末２との間のやり取りを示すシーケンス図である。

【図3】セキュアデバイス１により実行される署名検証処理の一例を示すフローチャートである。

【発明を実施するための形態】

【0015】

以下、図面を参照して本発明の実施形態について詳細に説明する。

【0016】

［１．セキュアデバイス１の構成及び機能］
先ず、図１を参照して、本実施形態に係るセキュアデバイス（セキュリティデバイス）１の構成及び機能について説明する。セキュアデバイス１は、本発明の電子情報記憶媒体の一例である。セキュアデバイス１の例として、ＩＣチップ（Integrated Circuit）やＨＳＭ（Hardware Security Module）などが挙げられる。ＩＣチップは、例えば、クレジットカード、キャッシュカード、またはマイナンバーカードなどのＩＣカード、または、スマートフォンなどのモバイルデバイスに搭載される。スマートフォンなどのモバイルデバイスの場合、ＩＣチップは、モバイルデバイスに着脱可能な小型ＩＣカードに搭載されてもよいし、ｅＵＩＣＣ（Embedded Universal Integrated Circuit Card）としてモバイルデバイスから容易に取り外しや取り換えができないように組み込み基板上に搭載されてもよい。ｅＵＩＣＣは、ｅＳＥ（Embedded Secure Element）の一種である。

【0017】

図１は、セキュアデバイス１のハードウェア構成例を示す図である。セキュアデバイス１は、耐タンパ性を有しており、図１に示すように、Ｉ／Ｏ回路１１、ＲＡＭ（Random Access Memory）１２、ＮＶＭ（Nonvolatile Memory）１３、ＲＯＭ（Read Only Memory）１４、及びＣＰＵ（Central Processing Unit）１５（コンピュータの一例）等を備える。セキュアデバイス１の耐タンパ性により、外部からの攻撃から鍵の機密性、完全性が守られ、鍵が不正に漏洩されてしまったり改ざんされてしまったりといったことを防ぐことができる。なお、セキュアデバイス１は、ＣＰＵ１５からの命令を受けて暗号演算を実行するコプロセッサを備えてもよい。Ｉ／Ｏ回路１１は、外部端末２との間のインターフェースを担う。セキュアデバイス１と外部端末２との間の通信は、非接触通信であってもよいし、接触通信であってもよい。非接触通信の場合、例えばＩＣカードまたはモバイルデバイスに搭載されたアンテナ（図示せず）を介してセキュアデバイス１と外部端末２との通信が行われる。外部端末２は、例えば認証機能を有する端末（例えば、決済端末）である。外部端末２の他の例として、スマートフォン等のモバイルデバイス、建物や車両のドアに設置された端末、施設や改札等のゲートに設置された端末、ETC（Electronic Toll Collection System）で利用されるETC端末などが挙げられる。なお、外部端末２は、セキュアデバイス１と同じモバイルデバイス内に搭載されたコントローラ（制御部）であってもよい。

【0018】

ＮＶＭ１３（記憶手段の一例）には、例えばフラッシュメモリが適用される。なお、ＮＶＭ１３は、「Electrically Erasable Programmable Read-Only Memory」であってもよい。ＮＶＭ１３には、複数のレコード領域が設けられる。ＮＶＭ１３のレコード領域には、アプリケーションにより読み出し可能なデータを含むファイル（例えば、ＥＦ（Elementary File））が格納される。かかるデータの例として、通信パラメータ、暗号化通信に用いられる設定データ、認証に用いられる鍵やＰＩＮ、個人情報等のデータが挙げられる。各ファイルには、固有の識別子（例えば、SFI（Short File Identifier））が付与される。

【0019】

また、ＮＶＭ１３またはＲＯＭ１４には、ＯＳ（Operating System）、及びアプリケーション等の各種プログラム（本発明のプログラムを含む）が記憶される。アプリケーションには、例えば、決済用アプリケーションや認証用アプリケーションが含まれる。さらに、アプリケーションには、非PQC（例えば、RSA）を用いた暗号アルゴリズム（第１の暗号アルゴリズムの一例、以下、「非PQCアルゴリズム」という）を規定する暗号演算用アプリケーションと、PQCを用いた暗号アルゴリズム（第２の暗号アルゴリズムの一例、以下、「PQCアルゴリズム」という）を規定する暗号演算用アプリケーションとが含まれる。

【0020】

ここで、PQCアルゴリズムは、非PQCアルゴリズムよりも暗号強度が高い。PQCアルゴリズムは、例えばRSAが利用している素因数分解問題とは異なり、量子コンピュータでも解くことが難しい格子問題（格子内の短いベクトルの検出の難しさに基づく）を利用したアルゴリズムである。また、ＮＶＭ１３のレコード領域には、非PQCアルゴリズム（例えば、RSA）で用いられる公開鍵（第１の公開鍵の一例、以下、「非PQC公開鍵」という）と、PQCアルゴリズム（例えば、CRYSTALS-Dilithium）で用いられる公開鍵（第２の公開鍵の一例、以下、「PQC公開鍵」という）とのうち少なくとも何れか一方を含むファイルが格納される。なお、非PQC公開鍵及びPQC公開鍵は、それぞれ、例えば外部端末２に固有の公開鍵である。

【0021】

ＣＰＵ１５は、本発明のプログラムにしたがって本発明における検証手段及び設定手段等として機能する。ＣＰＵ１５は、外部端末２からＩ／Ｏ回路１１を介してハイブリッド証明書を含むコマンドを受信する。かかるコマンドは、例えば、VERIFY HYBRIDコマンドであり、CLA、INS、P1及びP2からなるヘッダ部と、Lc、Data、及びLeからなるボディ部とを含むコマンドAPDU（Application Protocol Data Unit）により構成される。ここで、Dataには、ハイブリッド証明書等がセットされる。ハイブリッド証明書は、非PQCアルゴリズムで用いられる秘密鍵（第１の秘密鍵の一例、以下、「非PQC秘密鍵」という）による署名Ａ（第１の署名の一例）と、PQCアルゴリズムで用いられる秘密鍵（第２の秘密鍵の一例、以下、「PQC秘密鍵」という）による署名Ｂ（第２の署名の一例）とが付加された（換言すると、添付された）証明書データである。ここで、署名とは、例えば署名対象データ（例えば、平文や乱数）が秘密鍵により生成（例えば、暗号化された）データであり、当該署名は当該秘密鍵と鍵ペアをなす公開鍵により抽出（例えば、復号）することができる。

【0022】

ＣＰＵ１５は、外部端末２からハイブリッド証明書を含むコマンドを受信した場合に、非PQC公開鍵とPQC公開鍵とのうち少なくとも何れか一方により、ハイブリッド証明書に付加された少なくとも何れか一方の署名を検証する。例えば、ＮＶＭ１３に非PQC公開鍵とPQC公開鍵とが記憶されている場合、ＣＰＵ１５は、PQC公開鍵によりハイブリッド証明書に付加された署名Ｂを検証し、当該署名Ｂの検証が失敗した場合に、非PQC公開鍵によりハイブリッド証明書に付加された署名Ａを検証する。ここで、検証が失敗した場合には、例えば、生成された署名対象データの抽出（例えば、復号）が失敗した場合、または抽出されたデータが署名対象データと一致しない場合が該当する。或いは、ＮＶＭ１３に非PQC公開鍵とPQC公開鍵とが記憶されている場合、ＣＰＵ１５は、PQC公開鍵によりハイブリッド証明書に付加された署名Ｂを検証し、当該署名Ｂの検証が成功した場合であって、且つ非PQC公開鍵による署名検証が必要であると判定した場合に、非PQC公開鍵によりハイブリッド証明書に付加された署名Ａを検証する。或いは、ＮＶＭ１３に非PQC公開鍵のみが記憶されている場合、ＣＰＵ１５は、非PQC公開鍵によりハイブリッド証明書に付加された署名Ａを検証する。或いは、ＮＶＭ１３にPQC公開鍵のみが記憶されている場合、ＣＰＵ１５は、PQC公開鍵によりハイブリッド証明書に付加された署名Ｂを検証する。

【0023】

ＣＰＵ１５は、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功（署名Ａ及びＢの検証成功）した場合と、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との何れか一方が成功（署名Ａ又はＢのみ検証成功）した場合とで異なる設定を行う。ＣＰＵ１５は、さらに、非PQC公開鍵による署名Ａの検証が成功した場合と、PQC公開鍵による署名Ｂの検証が成功した場合とで異なる設定を行ってもよい。ここで、異なる設定対象の例として、検証成功後のファイルへのアクセス権限や、検証成功後の通信暗号化レベルなどが挙げられる。

【0024】

ファイルへのアクセス権限は、例えば以降の通信（セキュアデバイス１と外部端末２との通信）において、ＮＶＭ１３のレコード領域に格納された複数のファイルのうちアクセスが許可（例えば、データの読み出しが許可）されるファイルの範囲を示す。例えば、署名Ａ及びＢの検証成功の場合はアクセス権限が“１”に設定され、これは、以降の通信においてアクセスが許可されるファイルの範囲はファイル01,02,03（つまり、３ファイル）を示す。一方、署名Ｂのみ検証成功の場合はアクセス権限が“２”に設定され、これは、以降の通信においてファイル01,02（つまり、２ファイル）へのアクセスが許可される。一方、署名Ａのみ検証成功の場合はアクセス権限が“３”に設定され、これは、以降の通信においてファイル01のみへのアクセスが許可される。

【0025】

通信暗号化レベルは、例えば、セキュリティ強度を示す。セキュリティ強度とは、例えば、暗号アルゴリズムに対して最も効果的な攻撃が与えられた場合に、どの程度の計算量であれば解読可能であるかについての指標を示す。例えば、署名Ａ及びＢの検証成功の場合はセキュリティ強度が“128”に設定され、これは、以降の暗号化通信において利用される共通鍵暗号方式として“AES-128bit”を示す。これにより、署名Ａ及びＢの検証成功の場合、署名Ａのみまたは署名Ｂのみ検証成功の場合よりもセキュリティ強度を下げることで、暗号処理に要する時間を短縮し、署名Ａのみまたは署名Ｂのみ検証成功の場合よりも高速通信を実現することができる。一方、署名Ｂのみ検証成功の場合はセキュリティ強度が“192”に設定され、これは、以降の暗号化通信において利用される共通鍵暗号方式として“AES-192bit”を示す。これにより、署名Ｂのみ検証成功の場合、署名Ａのみ検証成功の場合よりもセキュリティ強度を下げることで、暗号処理に要する時間を短縮し、署名Ａのみ検証成功の場合よりも高速通信を実現することができる。一方、署名Ａのみ検証成功の場合はセキュリティ強度が“256”に設定され、これは、以降の暗号化通信において利用される共通鍵暗号方式として“AES-256bit”を示す。これにより、署名Ａのみ検証成功の場合、署名Ａ及びＢの検証成功の場合等よりも暗号処理に時間がかかり低速通信となるが、一定以上のセキュリティを担保することができる。

【0026】

なお、通信暗号化レベルは、セキュアデバイス１と外部端末２との間で共通のセッション鍵を用いた暗号通信の実施要否を示してもよい。例えば、署名Ａ及びＢの検証成功の場合または署名Ｂのみ検証成功の場合は暗号通信の実施否に設定される。一方、署名Ａのみ検証成功の場合は暗号通信の実施要に設定され、以降の相互認証シーケンスにおいて例えばECDH（Elliptic curve Diffie-Hellman key exchange）による鍵交換、及びECDSA（Elliptic Curve Digital Signature Algorithm）による署名生成と署名検証により互いに共通するセッション鍵が生成される。また、署名Ａまたは署名Ｂのみ検証成功の場合、必要なセキュリティレベルに応じて、署名Ａ及びＢの検証成功の場合と同様の設定がなされてもよい。

【0027】

［２．セキュアデバイス１の動作］
次に、図２を参照して、本実施形態に係るセキュアデバイス１の動作について説明する。図２は、セキュアデバイス１と外部端末２との間のやり取りを示すシーケンス図である。図３は、セキュアデバイス１により実行される署名検証処理の一例を示すフローチャートである。なお、外部端末２は、例えば、署名対象データを外部端末２に固有の非PQC秘密鍵により署名Ａを生成し、且つ署名対象データを外部端末２に固有のPQC秘密鍵により署名Ｂを生成し、生成した署名Ａ及び署名Ｂが付加されたハイブリッド証明書を事前に生成しているものとする。

【0028】

図２において、外部端末２は、セキュアデバイス１との通信が開始され、初期化シーケンスが実施された後、署名対象データ及びハイブリッド証明書を含むVERIFY HYBRIDコマンドをセキュアデバイス１へ送信する（ステップＳ１）。セキュアデバイス１は、外部端末２からのVERIFY HYBRIDコマンドを受信すると、図３に示す署名検証処理を実行する（ステップＳ２）。図３に示す署名検証処理において、セキュアデバイス１は、ＮＶＭ１３に非PQC公開鍵とPQC公開鍵とが記憶されているか否かを判定する（ステップＳ２１）。非PQC公開鍵とPQC公開鍵とが記憶されていると判定された場合（ステップＳ２１：ＹＥＳ）、処理はステップＳ２２へ進む。一方、非PQC公開鍵とPQC公開鍵とが記憶されていないと判定された場合（ステップＳ２１：ＮＯ）、処理はステップＳ３２へ進む。

【0029】

ステップＳ２２では、セキュアデバイス１は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名ＢをPQC公開鍵により検証する。次いで、セキュアデバイス１は、PQC公開鍵による署名Ｂの検証が成功したか否かを判定する（ステップＳ２３）。例えば、ＣＰＵ１５（またはコプロセッサ）は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名ＢをPQC公開鍵により抽出された署名対象データと、VERIFY HYBRIDコマンドに含まれる署名対象データとが一致する場合に署名Ｂの検証が成功したと判定する。PQC公開鍵による署名Ｂの検証が成功したと判定された場合（ステップＳ２３：ＹＥＳ）、処理はステップＳ２４へ進む。一方、PQC公開鍵による署名Ｂの検証が成功しないと判定された場合（ステップＳ２３：ＮＯ）、処理はステップＳ２９へ進む。

【0030】

ステップＳ２４では、セキュアデバイス１は、非PQC公開鍵による署名検証が必要であるか否かを判定する。例えば、セキュリティ向上のため、非PQC公開鍵による署名検証が必要であることを示す情報がVERIFY HYBRIDコマンドに含まれている場合、非PQC公開鍵による署名検証が必要であると判定される。或いは、セキュリティ向上のため、セキュアデバイス１内に署名検証が必要であることを示す情報が設定（格納）されている場合、非PQC公開鍵による署名検証が必要であると判定される。非PQC公開鍵による署名検証が必要であると判定された場合（ステップＳ２４：ＹＥＳ）、処理はステップＳ２５へ進む。一方、非PQC公開鍵による署名検証が必要でないと判定された場合（ステップＳ２４：ＮＯ）、処理はステップＳ２７へ進む。

【0031】

ステップＳ２５では、セキュアデバイス１は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名Ａを非PQC公開鍵により検証する。次いで、セキュアデバイス１は、非PQC公開鍵による署名Ａの検証が成功したか否かを判定する（ステップＳ２６）。例えば、ＣＰＵ１５（またはコプロセッサ）は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名Ａを非PQC公開鍵により抽出された署名対象データと、VERIFY HYBRIDコマンドに含まれる署名対象データとが一致する場合に署名Ａの検証が成功したと判定する。非PQC公開鍵による署名Ａの検証が成功したと判定された場合（ステップＳ２６：ＹＥＳ）、処理はステップＳ２７へ進む。一方、非PQC公開鍵による署名Ａの検証が成功しないと判定された場合（ステップＳ２６：ＮＯ）、処理はステップＳ２８へ進む。

【0032】

ステップＳ２７では、セキュアデバイス１は、署名Ａ及びＢの検証成功時に応じた処理を実行する。署名Ａ及びＢの検証成功時に応じた処理において、例えば、ファイルへのアクセス権限が“１”に設定され、正常終了（検証成功）を示すレスポンスAPDUが生成される。かかるレスポンスAPDUには、署名Ａ及びＢの検証成功を示す情報が含まれてもよい。一方、ステップＳ２８では、セキュアデバイス１は、署名Ｂのみ検証成功時に応じた処理を実行する。署名Ｂのみ検証成功時に応じた処理において、例えば、ファイルへのアクセス権限が“２”に設定され、正常終了を示すレスポンスAPDUが生成される。かかるレスポンスAPDUには、署名Ｂのみ検証成功を示す情報が含まれてもよい。

【0033】

一方、ステップＳ２９では、セキュアデバイス１は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名Ａを非PQC公開鍵により検証する。次いで、セキュアデバイス１は、非PQC公開鍵による署名Ａの検証が成功したか否かを判定する（ステップＳ３０）。非PQC公開鍵による署名Ａの検証が成功したと判定された場合（ステップＳ３０：ＹＥＳ）、処理はステップＳ３１へ進む。一方、非PQC公開鍵による署名Ａの検証が成功しないと判定された場合（ステップＳ３１：ＮＯ）、処理はステップＳ３７へ進む。

【0034】

ステップＳ３１では、セキュアデバイス１は、署名Ａのみ検証成功時に応じた処理を実行する。署名Ａのみ検証成功時に応じた処理において、例えば、ファイルへのアクセス権限が“３”に設定され、正常終了を示すレスポンスAPDUが生成される。かかるレスポンスAPDUには、署名Ａのみ検証成功を示す情報が含まれてもよい。

【0035】

ステップＳ３２では、セキュアデバイス１は、ＮＶＭ１３に非PQC公開鍵のみが記憶されているか否かを判定する。ＮＶＭ１３に非PQC公開鍵のみが記憶されていない（つまり、PQC公開鍵のみが記憶されている）と判定された場合（ステップＳ３２：ＮＯ）、処理はステップＳ３３へ進む。一方、ＮＶＭ１３に非PQC公開鍵のみが記憶されていると判定された場合（ステップＳ３２：ＹＥＳ）、処理はステップＳ３５へ進む。

【0036】

ステップＳ３３では、セキュアデバイス１は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名ＢをPQC公開鍵により検証する。次いで、セキュアデバイス１は、PQC公開鍵による署名Ｂの検証が成功したか否かを判定する（ステップＳ３４）。PQC公開鍵による署名Ｂの検証が成功したと判定された場合（ステップＳ３４：ＹＥＳ）、上記と同様、署名Ｂのみ検証成功時に応じた処理が実行される（ステップＳ２８）。一方、PQC公開鍵による署名Ｂの検証が成功しないと判定された場合（ステップＳ３４：ＮＯ）、処理はステップＳ３７へ進む。

【0037】

ステップＳ３５では、セキュアデバイス１は、VERIFY HYBRIDコマンドに含まれるハイブリッド証明書に付加された署名Ａを非PQC公開鍵により検証する。次いで、セキュアデバイス１は、非PQC公開鍵による署名Ａの検証が成功したか否かを判定する（ステップＳ３６）。非PQC公開鍵による署名Ａの検証が成功したと判定された場合（ステップＳ３６：ＹＥＳ）、上記と同様、署名Ａのみ検証成功時に応じた処理が実行される（ステップＳ３１）。一方、非PQC公開鍵による署名Ａの検証が成功しないと判定された場合（ステップＳ３６：ＮＯ）、処理はステップＳ３７へ進む。ステップＳ３７では、セキュアデバイス１は、エラー（検証失敗）を示すレスポンスAPDUを生成する。

【0038】

図２に戻り、セキュアデバイス１は、署名検証処理において生成されたレスポンスAPDUを外部端末２へ送信する（ステップＳ３）。外部端末２は、セキュアデバイス１からのレスポンスAPDUが検証成功を示す場合、所定のコマンド（例えば、SELECTコマンド、READ RECORDコマンドなど）をセキュアデバイス１へ送信する（ステップＳ４）。そして、セキュアデバイス１は、外部端末２からのコマンドを受信すると、署名検証処理における設定（例えば、署名Ａ及びＢの検証成功時の設定）にしたがって処理（例えば、レコードの読み出し処理）を実行する（ステップＳ５）。

【0039】

以上説明したように、上記実施形態によれば、セキュアデバイス１は、外部端末２からハイブリッド証明書を含むコマンドを受信した場合に、非PQC公開鍵とPQC公開鍵とのうち少なくとも何れか一方により、ハイブリッド証明書に付加された少なくとも何れか一方の署名を検証し、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功した場合と、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との何れか一方が成功した場合とで異なる設定を行うように構成したので、セキュアデバイス１から鍵を出力することなく（セキュアデバイス１の内部で署名検証を実施しているため）、ハイブリッド証明書に付加された署名の検証の結果に応じて安全な処理を行うことができる。なお、上記実施形態において、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功した場合に限り、セキュアデバイス１は、特定のデータを変更することが可能になるように設定を行ってもよい。また、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功した場合に限り、セキュアデバイス１は、特定のデータに署名生成することが可能になるように設定を行ってもよい。或いは、非PQC公開鍵による署名Ａの検証とPQC公開鍵による署名Ｂの検証との双方が成功した場合に限り、セキュアデバイス１は、セキュアデバイス１内の特定の機能を変更することが可能になるように設定を行ってもよい。

【符号の説明】

【0040】

１ セキュアデバイス
２ 外部端末
１１ Ｉ／Ｏ回路
１２ ＲＡＭ（
１３ ＮＶＭ
１４ ＲＯＭ
１５ ＣＰＵ

【図1】

【図2】

【図3】