ホーム > 特許ランキング > アイデミア フランス
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2025-02-14
(45)【発行日】2025-02-25
(54)【発明の名称】データを暗号化又は復号化するための暗号処理イベント
(51)【国際特許分類】
H04L 9/08 20060101AFI20250217BHJP
H04W 12/041 20210101ALI20250217BHJP
H04W 12/10 20210101ALI20250217BHJP
H04W 12/03 20210101ALI20250217BHJP
H04W 12/0431 20210101ALI20250217BHJP
【ＦＩ】
H04L9/08 B
H04L9/08 F
H04W12/041
H04W12/10
H04W12/03
H04W12/0431
【請求項の数】
15
【外国語出願】
(21)【出願番号】P 2021088757
(22)【出願日】2021-05-26
(65)【公開番号】P2021193793
(43)【公開日】2021-12-23
【審査請求日】2024-03-08
(31)【優先権主張番号】2005595
(32)【優先日】2020-05-27
(33)【優先権主張国・地域又は機関】FR
(73)【特許権者】
【識別番号】519260337
【氏名又は名称】アイデミア フランス
(74)【代理人】
【識別番号】110004314
【氏名又は名称】弁理士法人青藍国際特許事務所
(74)【代理人】
【識別番号】100107641
【弁理士】
【氏名又は名称】鎌田 耕一
(72)【発明者】
【氏名】ジロー，クリストフ
(72)【発明者】
【氏名】ドタ，エマニュエル
【審査官】平井 誠
(56)【参考文献】
【文献】特開２０１９－２０１３９８（ＪＰ，Ａ）
【文献】特表２０１９－５０９６４８（ＪＰ，Ａ）
【文献】国際公開第２０１９／０２０４３９（ＷＯ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００－ ５／００
Ｈ０４Ｌ ９／００－４０
Ｈ０４Ｗ １２／００－８８
(57)【特許請求の範囲】
【請求項1】
第２システム（ＨＮ１）と連携する装置（ＤＶ１）によって実行される暗号処理方法であって、前記方法は、・初期化段階（Ｓ１００）であって、
仮生成元点Ｇ’を決定するステップ（Ｓ１０１）であって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線（ε）の生成元点である、ステップ（Ｓ１０２）と、
仮鍵Ｑ’を決定するステップ（Ｓ１０４）であって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線（ε）の点である、ステップ（Ｓ１０４）と、
を含む初期化段階（Ｓ１００）と、
・暗号化段階（Ｓ１０７）であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップ（Ｓ１０８）であって、Ｍ＜Ｎである、ステップ（Ｓ１０８）と、
前記装置に関連する公開鍵Ｐを計算するステップ（Ｓ１１０）であって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップ（Ｓ１１０）と、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標（ＣＤ１）を計算するステップ（Ｓ１１２）であって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップ（Ｓ１１２）と、
前記中間点ＳＰ１の少なくとも１つの前記座標（ＣＤ１）に鍵導出関数（Ｆ１）を適用することによって、少なくとも１つの鍵（ＫＹ１、Ｖ１、ＫＭＡＣ１）を導出するステップ（Ｓ１１４）と、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づきデータ（ＳＵＰＩ）を暗号化するステップ（Ｓ１１６）と、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップ（Ｓ１１８）と、
を含む暗号化段階（Ｓ１０７）と、
を含む、方法。
【請求項2】
前記公開鍵Ｐによって、前記第２システムが、前記第２システムの秘密鍵-表記ａ-を形成するスカラーに基づき、前記中間点ＳＰ１の少なくとも１つの前記座標を再計算することが可能となり、ここで、ＳＰ１＝［ａ］Ｐであり、前記中間点ＳＰ１の少なくとも１つの前記座標によって、前記第２システムが前記暗号化されたデータを復号化できる、請求項１に記載の方法。
【請求項3】
前記初期化段階は、Ｎビットの前記第１秘密鍵ｄ’を形成する前記第１ランダムスカラーを決定するステップ（Ｓ１０１）と、
前記仮生成元点Ｇ’を計算するステップ（Ｓ１０２）であって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような前記第１積に等しい、ステップ（Ｓ１０２）と、
前記仮鍵Ｑ’を計算するステップ（Ｓ１０４）であって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような前記第２積に等しい、ステップ（Ｓ１０４）と、
を含む、請求項１又は２に記載の方法。
【請求項4】
前記初期化段階の後に、前記方法は、前記仮生成元点Ｇ’及び前記仮鍵Ｑ’を前記装置の不揮発性メモリに登録するステップを含む、請求項１から３のいずれか１項に記載の方法。
【請求項5】
前記暗号化段階は、少なくとも１つのイベントの検出時に開始され、前記初期化段階は、前記検出の前に実行される、請求項１から４のいずれか１項に記載の方法。
【請求項6】
少なくとも１つの鍵の前記導出において、前記鍵導出関数（Ｆ１）を前記中間点ＳＰ１の少なくとも１つの前記座標に適用することによって、暗号化鍵（ＫＹ１）、初期化ベクトル（Ｖ１）、及びＭＡＣ鍵（ＫＭＡＣ１）が生成され、前記暗号化は、
・前記暗号化鍵及び前記初期化ベクトルに基づき前記データを暗号化する暗号化関数（Ｆ２）を適用するステップと、
・前記暗号化されたデータ及び前記ＭＡＣ鍵に基づき認証コードＭＡＣ（ＭＣ１）を計算するステップと、
を含み、
前記公開鍵Ｐ及び前記暗号化されたデータとは別に、前記装置は、前記認証コードＭＡＣ（ＭＣ１）を前記第２システムに送信して、前記第２システムに前記暗号化されたデータの完全性を検証させる、請求項１から５のいずれか１項に記載の方法。
【請求項7】
前記装置は、前記初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’に基づき、前記暗号化段階の少なくとも２つの連続した繰り返し処理を実行して、復号化のために前記第２システムに送信されるデータを暗号化する、請求項１から６のいずれか１項に記載の方法。
【請求項8】
前記暗号化段階の少なくとも１つの繰り返し処理について、現在の前記繰り返し処理において使用される前記仮生成元点Ｇ’及び前記仮鍵Ｑ’は、前記暗号化段階の先行する前記繰り返し処理において計算された前記公開鍵Ｐ及び前記中間点ＳＰ１にそれぞれ等しい、請求項１から７のいずれか１項に記載の方法。
【請求項9】
前記初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’に基づき、前記装置が、前記暗号化段階の少なくともＸ回の連続した繰り返し処理を実行して、暗号化されたデータを前記第２システムに送信したということが検出される時、前記方法はまた、・前記仮生成元点Ｇ’及び前記仮鍵Ｑ’を、前記初期化段階の先行する前記繰り返し処理において決定された第１ランダム鍵とは異なる新たな第１秘密ランダム鍵ｄ’に基づき更新するために、前記初期化段階の新たな繰り返し処理を実行するステップと、
更新された前記仮生成元点Ｇ’及び更新された前記仮鍵Ｑ’は、前記暗号化段階の少なくとも１つの後の繰り返し処理において使用されて、前記第２システムに新たな暗号化されたデータを送信するステップと、
を含み、
Ｘは、Ｘ≧１であるような整数である、請求項１から８のいずれか１項に記載の方法。
【請求項10】
・前記第２システムは、通信ネットワークであり、・前記装置は、端末を前記通信ネットワークで認証するための、前記端末の組み込み加入者識別モジュールであり、
・前記データは、前記組み込み加入者識別モジュールの識別子（ＳＵＰＩ）を含み、
・前記暗号化において、前記識別子は、前記導出において導出された少なくとも１つの前記鍵に基づいて暗号化され、暗号化された識別子（ＳＵＣＩ）を取得し、
・前記送信において、前記組み込み加入者識別モジュールが前記通信ネットワークで認証されるようにするために、前記公開鍵Ｐ及び前記暗号化された識別子は、前記通信ネットワークのアクセスポイントに送信される、請求項１から９のいずれか１項に記載の方法。
【請求項11】
前記暗号化段階は、少なくとも１つのイベントの検出時に開始され、前記初期化段階は、前記検出の前に実行され、少なくとも１つの前記イベントは、前記通信ネットワークの前記アクセスポイントから、前記通信ネットワークで前記組み込み加入者識別モジュールを登録するための要求を受信するステップを含む、請求項１０に記載の方法。
【請求項12】
前記通信ネットワークは、５Ｇモバイルネットワークであり、前記組み込み加入者識別モジュールの前記識別子は、ＳＵＰＩ識別子である、請求項１０又は１１に記載の方法。
【請求項13】
第２システム（ＨＮ１）と連携する装置（ＤＶ１）によって実行される暗号処理方法であり、前記方法は、・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線（ε）の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線（ε）の点である、ステップと、
を含む初期化段階と、
・復号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標（ＣＤ１）を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標（ＣＤ１）に鍵導出関数（Ｆ１）を適用することによって、少なくとも１つの鍵（ＫＹ１、Ｖ１、ＫＭＡＣ１）を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化段階と、
を含む、方法。
【請求項14】
第２システムと連携できる暗号処理装置であって、前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線（ε）の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線（ε）の点である、ステップと、
を含む初期化モジュールと、
・暗号化段階を実行するように構成された暗号化モジュールであって、
前記暗号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数（Ｆ１）を適用することによって、少なくとも１つの鍵（ＫＹ１、Ｖ１、ＫＭＡＣ１）を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づきデータ（ＳＵＰＩ）を暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化モジュールと、
を含む、暗号処理装置。
【請求項15】
第２システムと連携できる暗号処理装置であって、前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線（ε）の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線（ε）の点である、ステップと、
を含む初期化モジュールと、
・復号化段階を実行するように構成された復号化モジュールであって、
前記復号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標（ＣＤ１）を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標（ＣＤ１）に鍵導出関数（Ｆ１）を適用することによって、少なくとも１つの鍵（ＫＹ１、Ｖ１、ＫＭＡＣ１）を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化モジュールと、
を含む、暗号処理装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号技術の分野に関し、より詳細には、装置から外部エンティティに安全に送信されるべきデータを暗号化するための暗号処理イベントの実行に関する。本発明は、特に、組み込み加入者識別モジュールの識別子を暗号化すること、及び通信端末を通信ネットワークで認証するためにそのような識別子を暗号化された形式で送信することに関する。
【背景技術】
【0002】
通信分野において「４Ｇ」とは、ＬＴＥ－アドバンスト（LTE-Advanced）（ＩＭＴ－アドバンスト（IMT-Advanced））に相当する第４世代の携帯電話規格のことである。４Ｇネットワークは、ＩＰを基盤としたネットワークコアを含み、従来の２Ｇ世代又は３Ｇ世代で可能であったものよりも優れた速度及びサービスを提供してきた。
【0003】
知られているように、モバイル４Ｇネットワークにアクセスし、関連サービスを利用するためには、通信端末（「スマートフォン」電話機等）がネットワークで認証されるべき識別データを送信しなければならない。これを実現するために、一般的には、加入者識別モジュール（例えば、ＳＩＭカード）は、端末に組み込まれており、加入者のＩＭＳＩ識別子（「インターナショナル モバイル サブスクライバー アイデンティティ（International Mobile Subscriber identity）」の略）を４Ｇネットワークに送信し、４Ｇネットワークでの認証手続きを行う。
【0004】
しかし、４Ｇに関しては、私生活を侵害するセキュリティ上の問題及びリスクが指摘されている。特に、端末からこの４ＧネットワークにＩＭＳＩ識別子を送信する時にセキュリティが確保されていないので、加入者は、「ＩＭＳＩインターセプタ―（IMSI interceptor）」又は「ＩＭＳＩキャッチャー（IMSI catchers）」と呼ばれる悪意のある第三者に自身のＩＭＳＩ識別子を傍受されるリスクにさらされている。実際、悪意のある第三者は、携帯通信トラフィックを傍受するために使用される監視システムを利用して、（ＩＭＳＩを含む）機密情報をリモートで取得でき、又は４Ｇ端末のユーザの動向を追跡できる。これを実現するために、ＩＭＳＩインターセプタ―は、偽の中継アンテナを、電話オペレータのネットワークと対象のクライアント端末との間に介在させることによって、あたかも本物のように見せ掛けている。
【0005】
第５世代の携帯電話規格は、５Ｇと呼ばれ、技術的にはＬＴＥ（ロング ターム エボリューション（Long Term Evolution）の略）を発展させたものであり、より優れた速度及びサービスを提供する。現在、５Ｇ世代の通信ネットワークでは、ユーザの私生活のセキュリティを強化するための対策、特に端末を５Ｇネットワークで認証する時に、加入者の識別子が不正に傍受されることに対抗するための対策が導入されている。
【0006】
５Ｇは、特に、加入者の識別子（ＳＵＰＩ：「サブスクリプション パーマネント アイデンティファー（Subscription Permanent Identifier）」の略）を暗号化するために、組み込み加入者識別モジュール（例えば、ＳＩＭ、「組み込みＳＩＭ（embedded SIM）」の略である「ｅＳＩＭ」カードタイプ等）によって実施される暗号処理イベントを提供する。ＳＵＰＩ識別子は、組み込み加入者識別モジュールから関連する５Ｇネットワークに暗号化された形式で送信される。
【0007】
これを実現するために、組み込み加入者識別モジュールは、ＳＵＰＩ識別子及び暗号鍵から「ＳＵＣＩ」（「サブスクリプション コンシールド アイデンティファー（Subscription Concealed Identifier）」の略）と呼ばれる暗号化された識別子を生成できる暗号処理の手段を含む。暗号化された識別子ＳＵＣＩを提供することによって、端末クライアントは、ネットワークで安全に認証され、その暗号化された識別子ＳＵＣＩに代わる仮識別子を受信でき、ネットワークで繰り返し認証されることができる。
【0008】
図１は、ユーザＵＲの通信端末２を概略的に示し、この端末は、アクセスポイント４（又は例えば、中継アンテナ）を介して、５Ｇモバイルネットワーク（表記６）と連携できる。この例において、端末は、アクセスポイント４から届く要求ＲＱ１の受信（Ｓ２）に応答し、組み込み加入者識別モジュール３を利用して暗号化された識別子ＳＵＣＩを生成する（Ｓ４）。暗号化された識別子ＳＵＣＩは、メッセージＭＳＧ１でアクセスポイント４に送信され（Ｓ６）、アクセスポイント４は、ＳＵＣＩから、ネットワーク６が加入者ＵＲに関連するネットワークであることを決定する（Ｓ８）。アクセスポイント４は、通常、識別子ＳＵＣＩ自体を復号化するために必要な手段を有さないことに留意すべきである。
【0009】
アクセスポイント４は、暗号化された識別子ＳＵＣＩを（他の関連情報とともに）ネットワーク６に送信し（Ｓ１０）、その後ネットワーク６は、暗号化された識別子ＳＵＣＩを復号化して（Ｓ１２）、そこから加入者のＳＵＰＩ識別子を推定する。ネットワーク６及び加入者識別モジュール３は共に、相互認証の手順を実行し、セキュアチャネルを設定する（ステップＳ１４）。このステップＳ１４が完了すると、ネットワーク６は、ＳＵＰＩ識別子を復号化された形式でアクセスポイント４に送信する（Ｓ１６）。アクセスポイントは、ＳＵＰＩから、「５Ｇ－ＧＵＴＩ」と呼ばれる仮識別子を決定し（Ｓ１８）、これを加入者ＵＲのＳＵＰＩ識別子とともに記録する。また、アクセスポイント４は、仮識別子５Ｇ－ＧＵＴＩを組み込み加入者識別モジュール３に送信し（Ｓ２０）、組み込み加入者識別モジュール３は、仮識別子５Ｇ－ＧＵＴＩをローカルに記録する（Ｓ２２）。
【0010】
この後、組み込み加入者識別モジュール３は、ネットワーク６がアクセスポイント４に送信するその仮識別子５Ｇ－ＧＵＴＩによって、ネットワーク６で繰り返し認証されることができる。このようにして、ユーザ識別子ＳＵＰＩは、端末２とアクセスポイント４との間で復号化された形式で通信されることは決してないので、通信を監視する悪意のある第三者によるＳＵＰＩの不正な傍受をすべて防ぐことができる。また、アクセスポイント４は、組み込み加入者識別モジュール３に割り当てられた仮識別子５Ｇ－ＧＵＴＩを繰り返し更新して（Ｓ２４）、端末２が悪意のある第三者によって追跡されるリスクを制限できる。
【0011】
図２に示されるように、その後、組み込み加入者識別モジュール３は、その現在の仮識別子５Ｇ－ＧＵＴＩをアクセスポイント４に送信し（Ｓ３０）、その後アクセスポイント４がそのデータベースを参照して関連するＳＵＰＩ識別子を取得する（Ｓ３２）ことによって、再び認証されることができる。次に、アクセスポイント４は、そのデータベースから取得されたＳＵＰＩ識別子をネットワーク６に送信する（Ｓ３４）。ネットワーク６は、今度は、ＳＵＰＩから、認証のための新しい手順を実行し、セキュアチャネルを設定できる（Ｓ３６）。
【0012】
前述のような方法によって、クライアント端末を５Ｇネットワークで認証する時に加入者のＳＵＰＩ識別子が保護され、それにより悪意のある第三者による不正な傍受のリスクが制限されている。したがって、ユーザの個人情報及び私生活がより保護される。
【0013】
しかし、識別子ＳＵＰＩを暗号化するために必要な暗号処理イベントは、リソース及び処理時間をかなり費やすので、クライアント端末が５Ｇネットワークにアクセスして関連サービスを利用する際のパフォーマンスが低下してしまうという問題がある。
【0014】
５Ｇネットワークにおいてか、又は他のタイプの通信ネットワークにおいてかに関わらず、加入者の識別子の高レベルのセキュリティと、通信ネットワークへの効果的なアクセス（迅速でセキュアな認証）との間の良好な妥協点を得るための満足のいく暗号ソリューションは、現在ない。より一般的には、暗号化のセキュリティレベルと暗号化のパフォーマンス（リソース、処理時間等の消費）との間の良好な妥協点を提供しながら、任意のデータを（これがＳＵＣＩ識別子であるか、別の形態の他のデータであるかに関わらず）暗号化又は復号化するための効果的な暗号処理が必要とされている。
【発明の概要】
【0015】
この目的のために、本発明は、データの暗号化を可能にする、第１装置によって実行される第１暗号処理方法に関する。より詳細には、本発明の目的は、第２システムと連携する装置によって実行される第１暗号処理方法であって、前記方法は、
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・暗号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵を用いてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化段階と、
を含む。
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・暗号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵を用いてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化段階と、
を含む。
【0016】
本発明は、楕円曲線に基づく第１暗号処理（例えば、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ型）を実行し、楕円曲線は、実現されるセキュリティレベルと、リソース及び処理時間に必要な消費との間の良好な妥協点を実現することによって、データを安全に暗号化するための共有秘密（shared secret）（又は共通秘密（common secret））を生成する。これを実現するために、生成元点Ｇ及び公開鍵Ｑは、公開鍵Ｐ及び中間点ＳＰ１（又はＳＰ１の少なくとも１つの座標）をそれぞれ計算するために使用され、初期化段階において取得される仮生成元点Ｇ’及び仮鍵Ｑ’にそれぞれ置き換えられ、これらのパラメータＧ’及びＱ’は、いずれもＮビットでコードされた同一の秘密鍵ｄ’に依存する。
【0017】
仮生成元点Ｇ’及び仮公開鍵Ｑ’を決定するために、Ｎビットでコードされた第１秘密鍵ｄ’を使用することによって、特に高いセキュリティレベルが実現される。仮生成元点Ｇ’及び仮公開鍵Ｑ’は、暗号化段階における公開鍵Ｐ及び中間点ＳＰ１の座標の計算の際に登場し、これらの計算のセキュリティを強化する。このようにして、公開鍵Ｐ及び中間点ＳＰ１の座標の値は、（Ｍビットでコードされた）第２秘密鍵ｋだけでなく、（Ｎビットでコードされた）第１秘密鍵ｄ’にも依存する。
【0018】
また、公開鍵Ｐ及び中間点ＳＰ１の座標の計算を２つの段階に分けることによって、装置が公開鍵Ｐ及び中間点ＳＰ１の座標を決定するために必要なリソースを制限すること、又は少なくともこれらのリソースの管理を改善することが可能である。初期化段階において、装置は、仮生成元点Ｇ’及び／又は仮鍵Ｑ’を外部から取得することができ、又は、適切なタイミングで、例えば、暗号化段階の上流で、例えば、非アクティブの期間において、若しくは少なくとも必要なリソースが利用可能なときに、仮生成元点Ｇ’及び／又は仮鍵Ｑ’を計算によって決定することができる。したがって、暗号化されるべきデータに関係なく、暗号化段階が開始されたときにすぐに使用できる仮生成元点Ｇ’及び仮鍵Ｑ’を、初期化段階において事前に決定することによって、データの暗号化の速度を高速化することができる。
【0019】
本発明は、暗号化段階を開始する前の初期化段階において、時間及びリソースの観点から最も消費が多い暗号計算を実行する。第１秘密鍵ｄ’は、第２秘密鍵ｋよりも多くのビットでコードされているので、初期化段階では、最も消費が多い計算が集中する。したがって、暗号化段階における計算処理は、第３積及び第４積で登場するｋが分解に係るより小さい方である（is lower in resolution）分、消費が少なくなる。
【0020】
一実施形態によれば、初期化段階において、仮生成元点Ｇ’及び仮鍵Ｑ’は、装置の外部から受信される。仮生成元点Ｇ’及び仮鍵Ｑ’は、暗号化段階において後で取得して使用できるように、装置、例えば、装置の不揮発性メモリに登録することができる。したがって、この実施形態によれば、装置は、仮生成元点Ｇ’及び仮鍵Ｑ’を計算する必要がない。
【0021】
特定の例によれば、本方法は、（前記データの前記暗号化ステップの前に）暗号化されるべきデータを取得するステップを含む。これらのデータは、任意の方法で取得又は決定することができる。特定の例によれば、秘密鍵ｋの決定、公開鍵Ｐの計算、及び中間点ＳＰ１の少なくとも１つの座標の計算、若しくは、少なくとも１つの鍵の前記導出は、事前に、すなわち、暗号化されるべきデータを取得するステップの前に、実行される。
【0022】
一実施形態によれば、前記公開鍵Ｐによって、前記第２システムが、前記第２システムの秘密鍵（表記ａ）を形成するスカラーから、前記中間点ＳＰ１の少なくとも１つの前記座標を再計算することが可能となり、ここで、ＳＰ１＝［ａ］Ｐであり、
前記中間点ＳＰ１の少なくとも１つの前記座標によって、前記第２システムが前記暗号化されたデータを復号化できる。
前記中間点ＳＰ１の少なくとも１つの前記座標によって、前記第２システムが前記暗号化されたデータを復号化できる。
【0023】
一実施形態によれば、Ｎ＝２５６ビットであり、Ｍ＝３２ビット、４８ビット、６４ビット又は１２８ビットである。
【0024】
一実施形態によれば、前記初期化段階は、
Ｎビットの前記第１秘密鍵ｄ’を形成する前記第１ランダムスカラーを決定するステップと、
前記仮生成元点Ｇ’を計算するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような前記第１積に等しい、ステップと、
仮鍵Ｑ’を計算するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような前記第２積に等しい、ステップと、
を含む。
Ｎビットの前記第１秘密鍵ｄ’を形成する前記第１ランダムスカラーを決定するステップと、
前記仮生成元点Ｇ’を計算するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような前記第１積に等しい、ステップと、
仮鍵Ｑ’を計算するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような前記第２積に等しい、ステップと、
を含む。
【0025】
一実施形態によれば、前記方法は、前記初期化段階の後に、前記仮生成元Ｇ’及び前記仮鍵Ｑ’を前記装置の不揮発性メモリに登録するステップを含む。
【0026】
一実施形態によれば、前記暗号化段階は、少なくとも１つのイベントの検出時に開始され、前記初期化段階は、前記検出の前に実行される。
【0027】
一実施形態によれば、少なくとも１つの鍵の前記導出において、前記鍵導出関数を前記中間点ＳＰ１の少なくとも１つの前記座標に適用することによって、暗号化鍵、初期化ベクトル、及びＭＡＣ鍵が生成され、
前記暗号化は、
・前記暗号化鍵及び前記初期化ベクトルから前記データを暗号化する暗号化関数を適用するステップと、
・前記暗号化されたデータ及び前記ＭＡＣ鍵から認証コードＭＡＣを計算するステップと、
を含み、
前記公開鍵Ｐ及び前記暗号化されたデータとは別に、前記装置は、前記認証コードＭＡＣ（ＭＣ１）を前記第２システムに送信して、前記第２システムが前記暗号化されたデータの完全性を検証することを可能にする。
前記暗号化は、
・前記暗号化鍵及び前記初期化ベクトルから前記データを暗号化する暗号化関数を適用するステップと、
・前記暗号化されたデータ及び前記ＭＡＣ鍵から認証コードＭＡＣを計算するステップと、
を含み、
前記公開鍵Ｐ及び前記暗号化されたデータとは別に、前記装置は、前記認証コードＭＡＣ（ＭＣ１）を前記第２システムに送信して、前記第２システムが前記暗号化されたデータの完全性を検証することを可能にする。
【0028】
一実施形態によれば、前記装置は、前記初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’から、前記暗号化段階の少なくとも２つの連続した繰り返し処理を実行して、復号化のために前記第２システムに送信されるデータを暗号化する。
【0029】
言い換えれば、初期化段階において決定された同一の仮生成元点Ｇ’及び同一の仮鍵Ｑ’を用いることによって、前記暗号化段階の複数の繰り返し処理を実行することが可能であり、データの暗号化を実行するためのリソース及び処理時間に必要な消費をさらに削減することができる。したがって、本発明では、各暗号化段階の前に初期化段階を実行する必要がないので、前記装置によって実行される処理は、より一層高速化することができる。
【0030】
一実施形態によれば、前記暗号化段階の少なくとも１つの繰り返し処理について、現在の前記繰り返し処理において使用される前記仮生成元Ｇ’及び前記仮鍵Ｑ’は、前記暗号化段階の先行する前記繰り返し処理において計算された前記公開鍵Ｐ及び前記中間点ＳＰ１にそれぞれ等しい。
【0031】
一実施形態によれば、前記初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’から、前記装置が、前記暗号化段階の少なくともＸ回の連続した繰り返し処理を実行して、暗号化されたデータを前記第２システムに送信したということが検出される時、前記方法はまた、
・前記仮生成元Ｇ’及び前記仮鍵Ｑ’を、前記初期化段階の先行する前記繰り返し処理において決定された前記第１ランダム鍵とは異なる新たな第１秘密ランダム鍵ｄ’から更新するために、前記初期化段階の新たな繰り返し処理を実行するステップと、
更新された前記仮生成元Ｇ’及び更新された前記仮鍵Ｑ’は、前記暗号化段階の少なくとも１つの後の繰り返し処理において使用されて、前記第２システムに新たな暗号化されたデータを送信するステップと、
を含み、
Ｘは、Ｘ≧１であるような整数である。
・前記仮生成元Ｇ’及び前記仮鍵Ｑ’を、前記初期化段階の先行する前記繰り返し処理において決定された前記第１ランダム鍵とは異なる新たな第１秘密ランダム鍵ｄ’から更新するために、前記初期化段階の新たな繰り返し処理を実行するステップと、
更新された前記仮生成元Ｇ’及び更新された前記仮鍵Ｑ’は、前記暗号化段階の少なくとも１つの後の繰り返し処理において使用されて、前記第２システムに新たな暗号化されたデータを送信するステップと、
を含み、
Ｘは、Ｘ≧１であるような整数である。
【0032】
したがって、装置は、良好な処理パフォーマンスを維持しつつ、パラメータＧ’及びＱ’を定期的に更新して、セキュリティを強化することができ、例えば、装置をネットワークで複数回認証することができる。特に、パラメータＧ’及びＱ’（したがって、第１秘密鍵ｄ’）を定期的に更新することによって、装置が通信ネットワークで組み込み加入者識別モジュールとして登録されている間に、悪意のある第三者が装置を追跡することを防ぐことができる。実際には、暗号化段階又は本方法の様々な繰り返し処理において交換された公開鍵Ｐに基づいて、第三者がユーザを追跡することは困難である。この理由は、これらの鍵が、この秘密鍵ｋによってのみ区別されるのではなく、この秘密鍵ｋ及び仮生成元点Ｇ’によって区別されるからである。
【0033】
一実施形態によれば、第１方法は、
・前記第２システムは、通信ネットワークであり、
・前記装置は、端末を前記通信ネットワークで認証するための、前記端末の組み込み加入者識別モジュールであり、
・前記データは、前記組み込み加入者識別モジュールの識別子を含み、
・前記暗号化において、前記識別子は、前記導出において導出された少なくとも１つの前記鍵に基づいて暗号化され、暗号化された識別子を取得し、
・前記送信において、前記組み込み加入者識別モジュールが前記通信ネットワークで認証されるようにするために、前記公開鍵Ｐ及び前記暗号化された識別子は、前記通信ネットワークのアクセスポイントに送信される、
のようなものである。
・前記第２システムは、通信ネットワークであり、
・前記装置は、端末を前記通信ネットワークで認証するための、前記端末の組み込み加入者識別モジュールであり、
・前記データは、前記組み込み加入者識別モジュールの識別子を含み、
・前記暗号化において、前記識別子は、前記導出において導出された少なくとも１つの前記鍵に基づいて暗号化され、暗号化された識別子を取得し、
・前記送信において、前記組み込み加入者識別モジュールが前記通信ネットワークで認証されるようにするために、前記公開鍵Ｐ及び前記暗号化された識別子は、前記通信ネットワークのアクセスポイントに送信される、
のようなものである。
【0034】
一実施形態によれば、前記暗号化段階は、少なくとも１つのイベントの検出時に開始され、前記初期化段階は、前記検出の前に実行され、
少なくとも１つの前記イベントは、前記通信ネットワークの前記アクセスポイントから、前記通信ネットワークで前記組み込み加入者識別モジュールを登録するための要求を受信するステップを含む。
少なくとも１つの前記イベントは、前記通信ネットワークの前記アクセスポイントから、前記通信ネットワークで前記組み込み加入者識別モジュールを登録するための要求を受信するステップを含む。
【0035】
一実施形態によれば、通信ネットワークは、５Ｇモバイルネットワークであり、組み込み加入者識別モジュールの識別子は、ＳＵＰＩ識別子である。
【0036】
本発明は、特に、加入者のＳＵＰＩ識別子を暗号化するために組み込み加入者識別モジュールによって実行される暗号処理イベントを改善し、また、達成されるセキュリティレベルと、リソース及び処理時間に必要な消費との間の良好な妥協点を実現する。
【0037】
特定の実施形態では、第１暗号処理方法の別のステップは、コンピュータプログラム命令によって決定される。
【0038】
結果として、本発明の別の目的は、データキャリア（又は記録媒体）上のコンピュータプログラムでもあり、このプログラムは、暗号処理装置、又はより一般的には、コンピュータ（又は、例えば、組み込み加入者識別モジュール等のプロセッサを含む任意の装置）で実行される可能性が高く、このプログラムは、本明細書で定義されているような第１暗号処理方法のステップを実行するように構成された命令を含む。
【0039】
本発明の別の目的は、コンピュータによって読み取り可能な記録媒体（又はデータキャリア）であって、前述のようなコンピュータプログラムの命令を含む。
【0040】
本発明の別の目的は、本発明の第１暗号処理方法を実行するように構成された、対応する第１暗号処理装置である。
【0041】
本発明は、特に、第２システムと連携できる暗号処理装置に関し、
前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化モジュールと、
・暗号化段階を実行するように構成された暗号化モジュールであって、
前記暗号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づきデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化モジュールと、
を含む。
前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化モジュールと、
・暗号化段階を実行するように構成された暗号化モジュールであって、
前記暗号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づきデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化モジュールと、
を含む。
【0042】
特定の実施形態によれば、第１装置は、初期化モジュールによって決定された仮生成元Ｇ’及び仮鍵Ｑ’を格納するように構成されたメモリを含む。
【0043】
本発明の第１暗号処理方法に関連して前述した異なる実施形態（及び後述する実施形態）、及び関連する利点は、本発明の第１暗号処理装置にも同様に適用されることに留意すべきである。
【0044】
第１暗号処理方法の各ステップについて、本発明の第１暗号処理装置は、前記ステップを実行するように構成された対応するモジュールを含むことができる。
【0045】
また、本発明は、暗号化されたデータの復号化にも同様に適用される。本発明の目的は、特に、第２暗号処理装置によって実行される第２暗号処理方法であり、その第２暗号処理装置は、暗号化されたデータを、先に定義された（及び後述する）第１方法と同様の原理に基づいて復号化することを可能にする。
【0046】
本発明の特定の目的は、第２システムと連携する装置によって実行される第２暗号処理方法であり、前記方法は、
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・復号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された（originating from）暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化段階と、
を含む。
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・復号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された（originating from）暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化段階と、
を含む。
【0047】
本発明の第１暗号処理方法に関連して前述した異なる実施形態（及び後述する実施形態）、及び関連する利点は、本発明の第２暗号処理方法にも同様に適用されることに留意すべきである。
【0048】
より具体的には、一実施形態によれば、初期化段階において、仮生成元点Ｇ’及び仮鍵Ｑ’は、装置の外部から受信される。仮生成元点Ｇ’及び仮鍵Ｑ’は、暗号化段階において後で取得して使用できるように、装置、例えば、装置の不揮発性メモリに登録することもできる。したがって、この実施形態によれば、装置は、仮生成元点Ｇ’及び仮鍵Ｑ’を計算する必要がない。
【0049】
特定の例によれば、中間点ＳＰ１の少なくとも１つの座標の計算、又は、少なくとも１つの鍵の前記導出は、事前に、すなわち、暗号化されたデータを受信するステップの前に、実行される。
【0050】
特定の実施形態によれば、公開鍵Ｐは、第２システムが第２システムの秘密鍵（表記ａ）を形成するスカラーに基づいて前記中間点ＳＰ１の少なくとも１つの前記座標を計算することを可能にし、ここで、ＳＰ１＝［ａ］Ｐであり、
前記中間点ＳＰ１の少なくとも１つの前記座標は、前記第２システムがデータを暗号化して前記暗号化されたデータを取得することを可能にする。
前記中間点ＳＰ１の少なくとも１つの前記座標は、前記第２システムがデータを暗号化して前記暗号化されたデータを取得することを可能にする。
【0051】
特定の実施形態によれば、Ｎ＝２５６ビットであり、Ｍ＝３２ビット、４８ビット、６４ビット又は１２８ビットである。
【0052】
特定の実施形態によれば、初期化段階は、
Ｎビットの前記第１秘密鍵ｄ’を形成する第１ランダムスカラーを決定するステップと、
仮生成元点Ｇ’を計算するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しい、ステップと、
仮鍵Ｑ’を計算するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しい、ステップと、
を含む。
Ｎビットの前記第１秘密鍵ｄ’を形成する第１ランダムスカラーを決定するステップと、
仮生成元点Ｇ’を計算するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しい、ステップと、
仮鍵Ｑ’を計算するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しい、ステップと、
を含む。
【0053】
特定の実施形態によれば、前記方法は、初期化段階の後に、仮生成元Ｇ’及び仮鍵Ｑ’を前記装置の不揮発性メモリに登録するステップを含む。
【0054】
特定の実施形態によれば、復号化段階は、少なくとも１つのイベントの検出時に開始され、前記初期化段階は、前記検出の前に実行される。
【0055】
特定の実施形態によれば、少なくとも１つの鍵の前記導出において、鍵導出関数を中間点ＳＰ１の少なくとも１つの前記座標に適用することによって、復号化鍵、初期化ベクトル、及びＭＡＣ鍵が生成され、
前記復号化は、
・前記復号化鍵及び前記初期化ベクトルに基づいて前記暗号化されたデータを復号化する復号化関数を適用するステップと、
・前記暗号化されたデータ及び前記ＭＡＣ鍵に基づいて認証コードＭＡＣを計算して、受信した前記暗号化されたデータの完全性を検証するステップと、
を含む。
前記復号化は、
・前記復号化鍵及び前記初期化ベクトルに基づいて前記暗号化されたデータを復号化する復号化関数を適用するステップと、
・前記暗号化されたデータ及び前記ＭＡＣ鍵に基づいて認証コードＭＡＣを計算して、受信した前記暗号化されたデータの完全性を検証するステップと、
を含む。
【0056】
特定の実施形態によれば、本装置は、前記第２システムから受信した前記暗号化されたデータを復号化するために、前記初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’に基づいて、前記復号化段階の少なくとも２つの連続した繰り返し処理を実行する。
【0057】
特定の実施形態によれば、復号化段階の少なくとも１つの繰り返し処理について、現在の繰り返し処理において使用される仮生成元Ｇ’及び仮鍵Ｑ’は、復号化段階の先行する繰り返し処理において計算された公開鍵Ｐ及び中間点ＳＰ１にそれぞれ等しい。
【0058】
特定の実施形態によれば、初期化段階において決定された前記仮生成元点Ｇ’及び前記仮鍵Ｑ’から、前記装置が、前記復号化段階の少なくともＸ回の連続した繰り返し処理を実行して、前記第２システムから受信した暗号化されたデータを復号化したということが検出される時、前記方法はまた、
・前記仮生成元Ｇ’及び前記仮鍵Ｑ’を、前記初期化段階の先行する繰り返し処理において決定された第１ランダム鍵とは異なる新たな第１秘密ランダム鍵ｄ’に基づいて更新するために、前記初期化段階の新たな繰り返し処理を実行するステップと、
・更新された前記仮生成元Ｇ’及び更新された前記仮鍵Ｑ’は、前記復号化段階の少なくとも１つの後の繰り返し処理において使用されて、前記第２システムから受信した新たな暗号化されたデータを復号化するステップと、
を含み、
Ｘは、Ｘ≧１であるような整数である。
・前記仮生成元Ｇ’及び前記仮鍵Ｑ’を、前記初期化段階の先行する繰り返し処理において決定された第１ランダム鍵とは異なる新たな第１秘密ランダム鍵ｄ’に基づいて更新するために、前記初期化段階の新たな繰り返し処理を実行するステップと、
・更新された前記仮生成元Ｇ’及び更新された前記仮鍵Ｑ’は、前記復号化段階の少なくとも１つの後の繰り返し処理において使用されて、前記第２システムから受信した新たな暗号化されたデータを復号化するステップと、
を含み、
Ｘは、Ｘ≧１であるような整数である。
【0059】
結果として、本発明の別の目的は、データキャリア（又は記録媒体）上のコンピュータプログラムであり、このプログラムは、暗号処理装置、又はより一般的には、コンピュータ（又は、例えば、組み込み加入者識別モジュール等のプロセッサを含む任意の装置）で実行される可能性が高く、このプログラムは、本明細書で定義されているような第２暗号処理方法のステップを実行するように構成された命令を含む。
【0060】
本発明の別の目的は、コンピュータによって読み取り可能な記録媒体（又はデータキャリア）であって、前述のようなコンピュータプログラムの命令を含む。
【0061】
本開示で述べているコンピュータプログラムは、任意のプログラミング言語を用いることができ、ソースコード、オブジェクトコード、又は部分的にコンパイルされた形式等のソースコードとオブジェクトコードとの間の中間コードの形式、又は他の任意の好ましい形式であってもよいことに留意すべきである。
【0062】
本発明の別の目的は、組み込み加入者識別モジュールによって、より一般的にはコンピュータによって読み取り可能なデータキャリア（又は記録媒体）であって、本明細書で定義されているようなコンピュータプログラムの命令を含む。
【0063】
また、本開示で述べている登録媒体は、プログラムを格納できる任意のエンティティ又は装置であってもよい。例えば、媒体は、書き換え可能な不揮発性メモリ若しくはＲＯＭ、例えば、ＣＤ ＲＯＭ、マイクロ電子回路のＲＯＭ、又は磁気登録手段、例えば、ディスク（フロッピーディスク）、若しくはハードディスクなどの格納手段を含んでもよい。
【0064】
一方、データキャリアは、電気信号又は光信号のように、電気ケーブル、光ケーブル、無線、又はその他の手段を介して伝達できる、伝達可能な媒体であってもよい。本発明に係るプログラムは、特に、インターネットタイプのネットワークを介してダウンロードされてもよい。
【0065】
または、データキャリアは、プログラムが組み込まれた集積回路であってもよく、この回路は、対象の方法を実行するように、又は実行する際に使用されるように構成されている。
【0066】
本発明の別の目的は、本発明の第２暗号処理方法を実行するように構成された、対応する第２暗号処理装置である。
【0067】
本発明は、特に、第２システムと連携できる暗号処理装置に関し、
前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化モジュールと、
・復号化段階を実行するように構成された復号化モジュールであって、
前記復号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化モジュールと、
を含む。
前記暗号処理装置は、
・初期化段階を実行するように構成された初期化モジュールであって、
前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、前記仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、前記仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化モジュールと、
・復号化段階を実行するように構成された復号化モジュールであって、
前記復号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、前記公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記公開鍵Ｐを第２システムに送信するステップと、
前記第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、前記中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき前記暗号化されたデータを復号化するステップと、
を含む復号化モジュールと、
を含む。
【0068】
特定の実施形態によれば、第２装置は、初期化モジュールによって決定された仮生成元Ｇ’及び仮鍵Ｑ’を格納するように構成されたメモリを含む。
【0069】
本発明の第２暗号処理方法に関連して前述した異なる実施形態（及び後述する実施形態）、及び関連する利点は、本発明の第２暗号処理装置にも同様に適用されることに留意すべきである。
【0070】
第２暗号処理方法の各ステップについて、本発明の第２暗号処理装置は、前記ステップを実行するように構成された対応するモジュールを含むことができる。
【0071】
一実施形態によれば、本発明は、ソフトウェアコンポーネント及び／又はハードウェアコンポーネントによって実行される。この観点から、「モジュール」の用語は、本明細書において、ソフトウェアコンポーネント及びハードウェアコンポーネントの両方、又はハードウェアコンポーネント及びソフトウェアコンポーネントのセットに対応し得る。
【0072】
ソフトウェアコンポーネントとは、１つ以上のコンピュータプログラム、プログラムの１つ以上のサブプログラム、又は、より一般的には、対象のモジュールについて後述されるものに応じた機能若しくは機能のセットを実行できるプログラム若しくはソフトウェアの任意の要素に対応する。同様に、ハードウェアコンポーネントは、対象のモジュールについて本明細書に説明されるものに応じた機能又は機能のセットを実行できるハードウェアアセンブリ（又はハードウェア）の任意の要素に対応する。ハードウェアコンポーネントは、プログラム可能なハードウェアコンポーネントであってもよく、又はソフトウェアを実行するための統合されたプロセッサを有していてもよく、ハードウェアコンポーネントは、例えば、集積回路、スマートカード、メモリカード、ファームウェアを実行するための電子基盤等である。
【図面の簡単な説明】
【0073】
本発明の他の特徴及び利点は、非限定的な特徴を有する実施形態を示す添付の図面を参照した以下の説明によって表される。
【0074】
【発明を実施するための形態】
【0075】
本発明は、データを暗号化又は復号化するために、暗号処理イベントを実行することを提案し、また、セキュリティレベルと処理の消費との間の良好な妥協点を実現することを提案する。本発明の目的は、特に、排他的ではないが、通信ネットワークでユーザを認証するための加入者の識別子を暗号化することである（例えば、５Ｇネットワークで認証されることを考慮してＳＵＰＩ識別子を暗号化すること）。しかし、本発明は、より一般的には、任意のデータが通信ネットワークへの加入者の識別子であるか、又は他の適切なデータであるかに関わらず、任意のデータを暗号化又は復号化する。
【0076】
特に、本発明は、暗号化されたデータを装置から第三者のエンティティに送信すること、又は暗号化された形で受信した暗号化されたデータを復号化することのいずれかを考慮して、共通秘密（common secret）（又は共有秘密（shared secret））を設定する。
【0077】
本発明は、特に、暗号処理装置（後に「装置」又は「処理装置」とも呼ばれる）によって実行される暗号処理方法を提供する。この処理は、本装置が楕円曲線の仮生成元点Ｇ’及び仮鍵Ｑ’を決定する初期化段階と、装置が生成元点Ｇ’に基づいて公開鍵Ｐを決定し、仮鍵Ｑ’に基づいてデータを暗号化する暗号化段階とを含む。したがって、本装置は、公開鍵Ｐ及び暗号化されたデータを「第２システム」と呼ばれるシステムに送信できる。
【0078】
その異なる実施形態によれば、本発明は、より詳細には、第２システムと連携する装置によって実行される暗号処理方法を提供し、前記方法は、
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・暗号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づいてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化段階と、
を含む。
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・暗号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づいてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び暗号化されたデータを前記第２システムに送信するステップと、
を含む暗号化段階と、
を含む。
【0079】
本発明の別の目的は、対応する装置及び対応するコンピュータプログラムである。
【0080】
本発明の別の目的は、本発明の暗号処理方法と同様の原理に基づく、暗号化されたデータを復号化するための方法である。本発明の別の目的は、対応する装置及び対応するコンピュータプログラムである。
【0081】
本発明の他の側面及び利点は、前述の図面を参照して後述する実施形態から説明される。
【0082】
本明細書では、本発明の例示的な実施形態を、通信端末のユーザを５Ｇタイプの通信ネットワークで認証するように構成された組み込み加入者識別モジュールの形態で説明する。これを実現するために、組み込み加入者識別モジュール（例えば、ＳＩＭカード又はｅＳＩＭモジュール）は、暗号処理を実行して、ユーザのＳＵＰＩ識別子を暗号化する。
【0083】
ＳＵＰＩ識別子は、（例えば、１５桁の）１０進数の連鎖の形式であってもよいが、様々な実施があり得る。特定の例によれば、ＳＵＰＩ識別子は、
・「モバイル カントリー コード（Mobile Country Code）」（ＭＣＣ）を表す３桁の数字と、
・オペレータネットワークを識別する「モバイル ネットワーク コード（Mobile Network Code）」（ＭＮＣ）を構成する２桁又は３桁の他の数字と、
・オペレータネットワークのユーザを示す識別子ＭＳＩＮ（「サブスクライバー アイデンティフィケーション ナンバー（Subscriber identification Number）」の略）を構成する残りの数字（９桁又は１０桁）と、
を連続して含む。
・「モバイル カントリー コード（Mobile Country Code）」（ＭＣＣ）を表す３桁の数字と、
・オペレータネットワークを識別する「モバイル ネットワーク コード（Mobile Network Code）」（ＭＮＣ）を構成する２桁又は３桁の他の数字と、
・オペレータネットワークのユーザを示す識別子ＭＳＩＮ（「サブスクライバー アイデンティフィケーション ナンバー（Subscriber identification Number）」の略）を構成する残りの数字（９桁又は１０桁）と、
を連続して含む。
【0084】
しかし、本発明は、この特定の例に限定されるものではなく、より一般的に、本発明の暗号処理装置による任意のデータの暗号化又は復号化に適用されることに留意すべきである。暗号化されるべき（又は復号化されるべき）データは、例えば、（５Ｇタイプ又はその他の）通信ネットワークの加入者の識別子、又は個人データ若しくは機密性の高いデータ等の他のデータであってもよく、又はそれらを含んでもよい。本発明は、通信ネットワークでの認証以外の形態でのデータの暗号化又は復号化にも適用される。
【0085】
通信端末に組み込まれる加入者識別モジュールは、いくつかの形態、特に様々な形式（フォーマット）の要素を取り得ることに留意すべきである。このようにして、組み込み加入者識別モジュールは、ＳＩＭカード（又は「ユニバーサル インテグレイテッド サーキット カード（Universal Integrated Circuit Card）」の略であるＵＩＣＣ）又はｅＵＩＣＣとも呼ばれるｅＳＩＭカードの形態をとることができる。セキュアエレメントの別の例としては、ｅＳＥ（「組み込みセキュアエレメント（embedded Secure Element）」の略）と呼ばれる組み込みセキュアエレメントがあり、これは、一般的にホスト端末にはんだ付けされる。したがって、本発明の原理は、異なるタイプのセキュアエレメント（例えば、ＳＩＭ、ｅＳＩＭカード、ｅＵＩＣＣ、ＳＥ、ｅＳＥ、又はセキュアエレメントの組み合わせ）に適用可能である。
【0086】
別段の表現がない限り、いくつかの図に共通する要素又は類似するものには同一の参照番号が付されており、同一又は類似の特徴を示すので、これらの共通要素は、一般的に、簡素化のために再度説明されない。
【0087】
特定の実施形態のうちの1つにおいて後述される本発明をより明確に理解するために、ＳＵＰＩ識別子の暗号化方法及び識別子ＳＵＣＩの復号化方法が、本発明の概念を実施していない特定の例に係る図３及び図４を参照して以下に説明される。これらの特定の例では、５Ｇネットワークでの加入者の認証が記載されている。
【0088】
より正確には、図３に示されているように、通信端末２が加入者識別モジュール３を組み込み、加入者識別モジュール３が例えばＳＩＭカードの形態をとることが想定されている。このＳＩＭ３カードは、特に、前記ネットワークのアクセスポイント４を介して、ユーザＵＲを５Ｇ通信ネットワーク（表記６）で認証する。これを実現するために、ＳＩＭ３カードは、当業者が適宜選択した楕円曲線εに基づく暗号処理イベントの各種処理を実行するための手段を含む。ＳＩＭ３カードは、具体的には、楕円曲線εの生成元点Ｇ、ネットワーク６の公開鍵Ｑ、ＳＵＰＩ識別子、鍵導出関数Ｆ１、及び暗号化関数Ｆ２をメモリに含む。
【0089】
生成ステップＳ４０において、ＳＩＭ３カードは、秘密鍵ｋを形成するスカラーをランダムに生成する。この鍵ｋは、Ｍビットでコードされていると想定され、ここで、Ｍは、２５６に等しい。次に、ＳＩＭ３カードは、秘密鍵ｋ及び生成元点Ｇに基づいて、ＳＩＭ３カードに関連する公開鍵Ｐを計算する（Ｓ４２）。これを実現するために、ＳＩＭ３カードは、以下のようなｋとＧとの積を計算する（Ｓ４２）。
【0090】
［数１］
Ｐ＝［ｋ］Ｇ
Ｐ＝［ｋ］Ｇ
【0091】
本明細書において、この表記は、スカラー（「［ ］」の間に示す）と楕円曲線の点（括弧なしで示す）との積（又は乗算）を示すことに留意すべきである。したがって、同等の表記法（本文書において互換可能）によれば、公開鍵Ｐは、以下のようにもなる。
【0092】
［数２］
Ｐ＝ｋ・Ｇ
Ｐ＝ｋ・Ｇ
【0093】
次に、ＳＩＭ３カードは、楕円曲線εの点ＳＰ１（中間点と呼ばれる）の少なくとも１つの座標ＣＤ１（例えば、方向ｘ及び／又は方向ｙの座標）を計算する（Ｓ４４）。この中間点ＳＰ１は、秘密鍵ｋとネットワーク６の公開鍵Ｑとの積に等しく、以下で示される。
【0094】
［数３］
ＳＰ１＝［ｋ］Ｑ
ＳＰ１＝［ｋ］Ｑ
【0095】
この例において、ＳＩＭ３カードは、中間点ＳＰ１の単一の座標ＣＤ１（例えば、ｘ又はｙ方向の座標）のみを決定することが想定されている。
【0096】
したがって、ステップＳ４６において、ＳＩＭ３カードは、鍵導出関数Ｆ１を中間点ＳＰ１の座標ＣＤ１に適用することによって、鍵（又はパラメータ）を導出する。そして、この例において、ＳＩＭ３カードは、暗号化鍵ＫＹ１、初期化ベクトルＶ１、及びオプションとしてＭＡＣ鍵（「メッセージ認証コード（message authentication code）」）（表記ＫＭＡＣ１）を導出する。
【0097】
例として、関数Ｆ１は、規格「ANSI X9.63 Key Derivation Function, §5.6.3」で提供される導出関数であってもよいが、他の関数でもあり得る。
【0098】
次に、ＳＩＭ３カードは、導出ステップＳ４６において取得された鍵（又はデータ）に基づいて、ＳＵＰＩ識別子を暗号にする（cipher）又は暗号化して（Ｓ４８）、暗号化された形式でＳＵＰＩ識別子に等しい暗号化された識別子ＳＵＣＩを取得できる。より正確には、ＳＩＭ３カードは、加入者ＳＵＰＩ識別子（又は加入者ＳＵＰＩ識別子のサブパート）を暗号化することによって、暗号化された識別子ＳＵＣＩを決定する。これを実現するために、ＳＩＭ３カードは、暗号化鍵ＫＹ１及び初期化ベクトルＶ１を用いることによって、暗号化関数Ｆ２をＳＵＰＩ識別子（又はＳＵＰＩ識別子のサブパート）に適用し、暗号化された識別子ＳＵＣＩを取得する。また、ＳＩＭ３カードは、鍵ＫＭＡＣ１に基づいて、例えば、ＭＡＣ計算関数を適用することによって、暗号化された識別子ＳＵＣＩの認証コードＭＡＣ（表記ＭＣ１）を計算する。使用されるＭＡＣ計算関数は、例えば、ＳＨＡ－２５６（FIPS 180-4 §6.2, August 2015）を用いたＨＭＡＣ（FIPS 198-1, July 2008）であってもよい。
【0099】
例として、関数Ｆ２は、規格「SP800-38a §6.5」で提供されるようなカウンタモードの暗号化関数ＡＥＳ（FIPS 197）であってもよい。
【0100】
次に、そのアクセスポイント４を介して、ＳＩＭ３カードは、公開鍵Ｐと、認証コードＭＡＣ ＭＣ１を伴う暗号化された識別子ＳＵＣＩとをネットワーク６に送信する（Ｓ５０）。ＳＩＭ３カードは、例えば、認証コードＭＣ１が挿入された暗号化された識別子ＳＵＣＩを送信する。公開鍵Ｐは、例えば、暗号化された識別子ＳＵＣＩに統合されるが、他の実施もあり得る。
【0101】
ＳＵＰＩ識別子を復号化された形式で取得するために、公開鍵Ｐは、ネットワーク６が識別子ＳＵＣＩを復号化することを可能にし、一方、認証コードＭＡＣ ＭＣ１は、後述のように、ネットワーク６が、ＳＩＭ３カードから受信した暗号化された識別子ＳＵＣＩの完全性を検証することを可能にする。
【0102】
より正確には、図４に示されているように、ＳＩＭカード３から発信され、アクセスポイント４を介して、ネットワーク６は、ＳＩＭカードの公開鍵Ｐと、認証コードＭＡＣ（ＭＣ１）を伴う暗号化された識別子ＳＵＣＩと、を受信する（Ｓ６０）。
【0103】
ネットワーク６は、前記ネットワーク６に関連する秘密鍵（表記ａ）、導出関数Ｆ１、及び復号化関数Ｆ３をメモリに格納する。
【0104】
計算ステップＳ６２において、ネットワーク６は、楕円曲線εの中間点ＳＰ１の少なくとも１つの前記座標ＣＤ１を計算する。したがって、この例において、ネットワーク６は、ＳＵＰＩ識別子を暗号化するためにＳＩＭ３カードによって使用された単一の座標ＣＤ１（例えば、ｘ又はｙ方向の座標）を計算する。これを実現するために、ネットワーク６は、中間点ＳＰ１の座標ＣＤ１を決定する。この中間点は、以下に定義するように、秘密鍵ａと公開鍵Ｐとの積に等しい。
【0105】
［数４］
［ａ］Ｐ＝［ａ］［ｋ］Ｇ＝［ｋ］［ａ］Ｇ＝［ｋ］Ｑ＝ＳＰ１
［ａ］Ｐ＝［ａ］［ｋ］Ｇ＝［ｋ］［ａ］Ｇ＝［ｋ］Ｑ＝ＳＰ１
【0106】
ここで、ネットワーク６の公開鍵Ｑは、以下に定義するように、秘密鍵ａと生成元点Ｇとの積に等しい。
【0107】
［数５］
Ｑ＝［ａ］Ｇ
Ｑ＝［ａ］Ｇ
【0108】
前述のように、ネットワーク６は、その秘密鍵ａをメモリに格納している。これによって、ネットワーク６は、秘密鍵ｋを知らなくても、計算によって中間点ＳＰ１の座標ＣＤ１を取得できる。
【0109】
次に、図４に示すように、ネットワーク６は、ＳＩＭ３カードによって以前に実行された導出ステップＳ４６と同様に、鍵導出関数Ｆ１を適用することによって、暗号化鍵ＫＹ１、初期化ベクトルＶ１、及び必要に応じてＭＡＣ鍵（表記ＫＭＡＣ１）を導出する（Ｓ６４）。これを実現するために、ネットワーク６は、Ｓ６２で取得された中間点ＳＰ１の座標ＣＤ１に、鍵導出関数Ｆ１を適用する。ここでの鍵ＫＹ１は、暗号化された識別子ＳＵＣＩを復号化するための復号化鍵として機能する。
【0110】
前述のように、関数Ｆ１は、例えば、規格「ANSI X9.63 Key Derivation Function, §5.6.3」で提供される導出関数であってもよいが、他の関数でもあり得る。
【0111】
検証ステップＳ６６において、ネットワーク６は、ＳＩＭ３カードからＳ６０で受信した暗号化された識別子ＳＵＣＩの完全性を検証する。これを実現するために、ネットワーク６は、Ｓ６４で取得されたＭＡＣ鍵ＫＭＡＣ１に基づいて、ＳＩＭ３カードによって提供された暗号化された識別子ＳＵＣＩの認証コードＭＡＣ（表記ＭＣ２）を計算する。次に、ネットワーク６は、Ｓ６８で計算された認証コードＭＣ２と、Ｓ６０でＳＩＭ３カードから受信した認証コードＭＣ１とを比較する（Ｓ７０）。認証コードＭＣ１及びＭＣ２が一致する場合、ネットワーク６は、このことから、Ｓ６０で受信した暗号化された識別子ＳＵＣＩが完全であると推定する。そうでなければ、ＳＩＭ３カードによって提供された暗号化された識別子ＳＵＣＩは、完全ではない。
【0112】
Ｓ６０で受信した暗号化された識別子ＳＵＣＩが完全である（変更されていない）ことが検出された場合、ネットワーク６は、ＳＩＭ３カードによって以前に実行された暗号化ステップＳ４８の逆の原理に従って、暗号化された識別子ＳＵＣＩを復号化する（Ｓ７２）。より詳細には、ネットワーク６は、ＳＵＰＩ識別子を復号化された形式で取得するために、導出ステップＳ６４において取得された復号化鍵ＫＹ１及び初期化ベクトルＶ１に基づいて、暗号化された識別子ＳＵＣＩ（又は暗号化された識別子ＳＵＣＩのサブパート）を解読又は復号化する（Ｓ７２）。ネットワーク６は、復号化鍵ＫＹ１及び初期化ベクトルＶ１を用いて、特に暗号化された識別子ＳＵＣＩ（又は暗号化された識別子ＳＵＣＩのサブパート）に対して、復号化関数Ｆ３（ＳＩＭ３カードによってＳ４８で使用された暗号化関数Ｆ２の逆関数）を適用して、ＳＵＰＩ識別子を取得する。
【0113】
例として、関数Ｆ３は、規格「SP800-38a §6.5」で提供されるようなカウンタモードの復号化関数ＡＥＳ（FIPS 197）であってもよい。
【0114】
【0115】
前述のように、ＳＩＭ３カード及びネットワーク６によってそれぞれ実行される暗号化及び復号化の暗号処理イベントによって、ＳＩＭ３カードは、そのＳＵＰＩ識別子を復号化された形式で提供することなく、ネットワーク６で安全に認証されることができる。これらの暗号処理イベントは、悪意のある第三者による識別子ＳＵＰＩの不正な傍受に特に対抗するという点で有利である。
【0116】
しかし、これらの暗号処理イベントは、リソース及び処理時間において特に消費が多くなり得、これらの消費は、利用可能なリソース及び適用可能な時間の制約の範囲内には必ずしもない（not always being compatible with）という難点がある。より詳細には、公開鍵Ｐの計算（Ｓ４２、図３）（ここで、Ｐ＝［ｋ］Ｇ）及び中間点ＳＰ１の少なくとも１つの座標ＣＤ１の計算（Ｓ４４）（ここで、ＳＰ１＝［ｋ］Ｑ）は、特にリソース及び処理時間を消費する。これら２つの計算の複雑さは、特に、秘密鍵ｋが比較的大きなビット数、具体的には、２５６ビット（Ｍ＝２５６）でコードされていることに起因しているが、Ｍは、他の値でもあり得る。
【0117】
したがって、本発明の目的は、特に、加入者のＳＵＰＩ識別子を暗号化するために組み込み加入者識別モジュールによって実行される暗号処理イベントを改善し、また、達成されるセキュリティレベルと、リソース及び処理時間における必要な消費との間の良好な妥協点を実現することである。前述のように、本発明は、より一般的には、任意のデータの効果的でセキュアな暗号化又は復号化に適用され、これらが加入者の識別子（５Ｇ又はその他の形態におけるＳＵＣＩ）であるか、又はセキュアに保護及び配布されるべき他のデータであるかに関わらず、適用される。
【0118】
次に、本発明の原理を特定の実施形態において説明する。
【0119】
図５は、アクセスポイントＡＰ１を介して通信ネットワークＨＮ１と連携できる、暗号処理装置ＤＶ１（以降、単に「装置」とも呼ぶ）を概略的に示す。ここでは、装置ＤＶ１は、通信端末Ｔ１内の組み込み加入者識別モジュールであり、通信ネットワークＨＮ１は、５Ｇモバイルネットワークであることが想定されている。したがって、装置ＤＶ１は、ここでは特に、ネットワークＨＮ１で加入者を認証することが意図されている。
【0120】
装置ＤＶ１は、適切な通信手段を含む通信端末Ｔ１によってネットワークＨＮ１と通信する。
【0121】
加入者識別モジュールＤＶ１は、様々な形態をとってもよく、例えば、ＳＩＭカード又はｅＳＩＭカード等であってもよい。装置ＤＶ１は、特に、取り外し可能なカード又は端末Ｔ１にはんだ付けされた装置であってもよい。装置ＤＶ１は、ここでは端末Ｔ１に組み込まれているが、装置ＤＶ１が端末Ｔ１に組み込まれておらず、端末Ｔ１と遠隔で連携しているような変形例もあり得る。
【0122】
この例において、端末Ｔ１は、携帯電話（スマートフォン）、タブレット等のような、５Ｇに対応した任意のクライアント端末であってもよい。
【0123】
より正確には、この例において、装置ＤＶ１は、少なくとも１つのプロセッサ２０と、揮発性メモリ（ＲＡＭ）２２と、通信インターフェース２４と、不揮発性メモリＭＲ１とを含む。
【0124】
この例において、メモリＭＲ１は、書き換え可能な不揮発性メモリ又は読み取り専用のメモリ（ＲＯＭ、ＥＥＰＲＯＭ、又はＦＬＡＳＨ）であり、このメモリは、装置ＤＶ１によって読み取り可能な、特定の実施形態に係る記録媒体（又はデータキャリア）を構成し、そのメモリには、特定の実施形態に係るコンピュータプログラムＰＧ１が登録されている。このコンピュータプログラムＰＧ１は、特定の実施形態に係る暗号処理方法のステップを実行するための命令を含む。この方法のステップは、特定の実施形態において以下に詳細に説明される。
【0125】
メモリＭＲ１は、特に、本発明の原理に係り暗号化されるべきデータＤＴ１を格納できる。後述するように、ここでは、これらのデータＤＴ１が、５Ｇネットワークでの加入者の認証を可能にするＳＵＰＩタイプの加入者の識別子（又はＳＵＰＩタイプの加入者の識別子のサブパート）であるか、又は少なくともそれを含むことが想定されている。しかし、他のタイプの加入者の識別子もあり得る。本発明の原理は、保護されるべき任意のデータの暗号化に適用することができる。これらのデータＤＴ１は、装置ＤＶ１によって任意の方法で取得（受信、決定等）されてもよい。
【0126】
また、メモリＭＲ１は、これらのデータＤＴ１を暗号化するための本発明の暗号処理方法において使用されるデータ（又はパラメータ）を格納できる。ここで考えられる例において、メモリＭＲ１は、特に、生成元点Ｇ、ネットワークＨＮ１に関連する公開鍵Ｑ、導出関数Ｆ１、及び暗号化関数Ｆ２を格納できる。また、メモリＭＲ１は、暗号処理方法において決定されたデータ、特に仮生成元点Ｇ’及び仮鍵Ｑ’を格納できる。これらの異なるパラメータの性質及び使用方法については、以下に詳細に説明される。
【0127】
通信インターフェース２４は、装置ＤＶ１が、それが組み込まれている端末Ｔ１と連携するように構成されている。装置ＤＶ１は、端末Ｔ１を利用して、遠隔のネットワークＨＮ１と通信する。このインターフェース２４の性質は、形態に応じて変更してもよい。
【0128】
また、ネットワークＨＮ１はメモリに、秘密鍵（表記ａ）、導出関数Ｆ１、及びデータＤＴ１を暗号化するために装置ＤＶ１によって使用される暗号化関数Ｆ２の逆関数に対応する復号化関数Ｆ３を含むことにも留意すべきである。
【0129】
通信端末５Ｇ及び組み込み加入者識別モジュールに一般的に実施されているいくつかの要素は、本発明の理解に必要ではないので、意図的に省略されていることが明らかである。
【0130】
また、図５に示す装置ＤＶ１は、単なる一実施形態を構成するものであり、本発明の範囲内で他の実施形態もあり得ることに留意すべきである。当業者は、装置ＤＶ１のいくつかの要素は、本発明の理解を容易にするためにのみここに記載されており、これらの要素は、本発明を実施するために必須ではないことを特に理解している。
【0131】
特定の実施形態に係る図６に示すように、ここでは、コンピュータプログラムＰＧ１によって制御されるプロセッサ２０は、初期化モジュールＭＤ１及び暗号化モジュールＭＤ７を実施する。
【0132】
特定の例によれば、初期化モジュールＭＤ１は、初期化段階を実行するように構成され、前記初期化段階は、
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線εの生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線εの点である、ステップと、
を含む。
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線εの生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線εの点である、ステップと、
を含む。
【0133】
使用される楕円曲線ε及び正の整数Ｎは、当業者であれば、検討している用途に応じて適宜選択することができる。Ｎの値は、特に好ましいセキュリティレベルに応じて、及びリソース及び処理時間の消費の制約に応じて選択されてもよい。後述するように、Ｎは、例えば、２５６に等しく、第１秘密鍵ｄ’が２５６ビットでコードされるようにすることができる（ただし、他の値もあり得る）。
【0134】
当業者は、Ｎの値を適宜適応させることができる。Ｎの大きさは、特に、使用される楕円曲線εの大きさ（すなわち、生成元点Ｇによって生成される点群の位数（order of the group of points）の大きさ）に応じて選択されてもよい。例えば、３８４ビットの楕円曲線εを使用する場合、ビット数Ｎは、ここでは３８４ビットが選択される。このように、Ｎの値は、以下のいずれかの値の１つから選択されてもよく、例えば、Ｎ＝１９２、２２４、２５６、３８４、５２１、又は５１２ビットである。Ｎの値は、使用される楕円曲線εに応じて（そのサイズに応じて）選択されてもよい。また、ＭがＭ＜Ｎとなるような場合、Ｍの値は、使用される楕円曲線εに応じて選択されてもよい。
【0135】
後述のように、初期化モジュールＭＤ１は、いくつかの実施があり得る。初期化モジュールＭＤ１は、すべての適切な方法に従って、初期化段階において仮生成元点Ｇ’及び仮鍵Ｑ’を取得又は決定するように構成することができる。特定の例によれば、初期化モジュールＭＤ１は、装置ＤＶ１の外部から仮生成元点Ｇ’及び仮鍵Ｑ’を受信するように構成される。仮生成元点Ｇ’及び仮鍵Ｑ’は、後述する暗号化段階において後で取得して使用できるように、不揮発性メモリＭＲ１に登録することができる。
【0136】
特定の例によれば、初期化モジュールＭＤ１は、スカラー（表記ｄ’）に基づく計算によってＧ’及びＱ’を決定する。これを実現するために、初期化モジュールＭＤ１は、例えば、図６に示すように、第１決定モジュールＭＤ２及び第１計算モジュールＭＤ４を含んでもよいが、他の実施もあり得る。
【0137】
第１決定モジュールＭＤ２は、Ｎビットの第１秘密鍵ｄ’を形成する第１スカラーを決定するように構成されている。
【0138】
第１計算モジュールＭＤ４は、
仮生成元点Ｇ’の計算であって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しい、計算と、
仮鍵Ｑ’の計算であって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しい、計算と、
をするように構成されている。
仮生成元点Ｇ’の計算であって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しい、計算と、
仮鍵Ｑ’の計算であって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しい、計算と、
をするように構成されている。
【0139】
そして、Ｇ’及びＱ’について取得された結果は、装置ＤＶ１内のメモリ（ライブメモリ２２又は不揮発性メモリＭＲ１）に格納されてもよい。
【0140】
実施形態は、前述のようなモジュールＭＤ２及びＭＤ４を実行する初期化モジュールがなくてもよいことを覚えておくべきである。初期化モジュールＭＤ１は、任意の方法でＧ’及びＱ’を取得できる。
【0141】
また、暗号化モジュールＭＤ７は、以下のステップを含む暗号化段階を実行するように構成されており、前記暗号化段階は、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置ＤＶ１に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線εの中間点ＳＰ１の少なくとも１つの座標ＣＤ１を計算するステップであって、この中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づいてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを第２システムに送信するステップと、
を含む。
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置ＤＶ１に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
前記楕円曲線εの中間点ＳＰ１の少なくとも１つの座標ＣＤ１を計算するステップであって、この中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算するステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
暗号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づいてデータを暗号化するステップと、
前記第２システムによる復号化のために、前記公開鍵Ｐ及び前記暗号化されたデータを第２システムに送信するステップと、
を含む。
【0142】
正の整数Ｍは、当業者であれば、（Ｍ＜Ｎであることを前提に）対象の用途に応じて、特に好ましいセキュリティレベルに応じて、並びにリソース及び処理時間の消費の制約に応じて、適宜選択することができる。例えば、Ｍは、３２、４８、６４、又は１２８ビットであり、Ｎは、２５６ビットであると考えられる（ただし、値（Ｎ、Ｍ）の他の組み合わせもあり得る）。
【0143】
後述する実施形態において、本発明における「第２システム」は、通信ネットワークＨＮ１、より一般的にはそのアクセスポイントＡＰ１を含むネットワークＨＮ１であると考えられる。
【0144】
特定の例に係る図６に示されているように、暗号化モジュールＭＤ７は、第２決定モジュールＭＤ６、第２計算モジュールＭＤ８、鍵導出用モジュールＭＤ１０、暗号化モジュールＭＤ１２、及び送信モジュールＭＤ１４を含んでもよいが、他の実施もあり得る。
【0145】
より具体的には、第２決定モジュールＭＤ６は、Ｍ＜ＮであるＭビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するように構成されている。
【0146】
第２計算モジュールＭＤ８は、
装置ＤＶ１に関連する公開鍵Ｐの計算であって、Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、計算と、
楕円曲線εの中間点ＳＰ１の少なくとも１つの座標ＣＤ１の計算であって、この中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算と、
をするように構成される。
装置ＤＶ１に関連する公開鍵Ｐの計算であって、Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、計算と、
楕円曲線εの中間点ＳＰ１の少なくとも１つの座標ＣＤ１の計算であって、この中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、計算と、
をするように構成される。
【0147】
鍵導出用モジュールＭＤ１０は、第２計算モジュールＭＤ８によって計算された中間点ＳＰ１の少なくとも１つの前記座標ＣＤ１に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するように構成されている。
【0148】
データ暗号化用モジュールＭＤ１２は、暗号化されたデータを取得するために、鍵導出用モジュールＭＤ１０によって導出された少なくとも１つの前記鍵に基づいて暗号化するように構成される。
【0149】
送信モジュールＭＤ１４は、第２システムによる復号化のために、公開鍵Ｐ及び暗号化されたデータを第２システムに（すなわち、この例においてはネットワークＨＮ１に）送信するように構成される。
【0150】
装置ＤＶ１のモジュールＭＤ１－ＭＤ１４の構成及び機能は、後述する実施形態から正確に説明される。図６に示すようなモジュールＭＤ１－ＭＤ１４は、本発明の非限定的な一実施形態を示しているに過ぎないことに留意すべきである。一般的に、本発明の暗号処理方法の各ステップについて、本発明の暗号処理装置は、当該ステップを実行するように構成された対応するモジュールを含むことができる。
【0151】
一般に、本発明の概念は、特に、一方で公開鍵Ｐを計算するためにステップＳ４２（図３）で使用される生成元点Ｇと、他方で中間点ＳＰ１の少なくとも１つの座標ＣＤ１を決定するためにステップＳ４４（図３）で使用される公開鍵Ｑとが、前述のように、暗号化段階において、仮生成元点Ｇ’と仮鍵Ｑ’とにそれぞれ置き換えられることである。仮生成元点Ｇ’及び仮鍵Ｑ’は、いずれも、暗号化段階において使用される秘密鍵ｋがコードされたビット数Ｍよりも高いビット数Ｎでコードされたランダムなスカラーである秘密鍵ｄ’に基づいて生成される。比較的大きな数Ｎ（例えば、Ｎ＝２５６）を選択することによって高いセキュリティレベルを維持しつつ、数Ｍを制限する（Ｍ＜Ｎ）ことによって、暗号化段階において行われる計算の消費を削減することが可能である。前述のように、（Ｍよりも大きい）数Ｎは、使用される楕円曲線εに応じて選択することができる。数Ｎは、例えば、使用される楕円曲線εが提供する最大のセキュリティに対応することができる。
【0152】
秘密鍵ｋがＮよりも低いビット数Ｍでコードされている範囲では、公開鍵Ｐ及び中間点ＳＰ１の少なくとも１つの座標ＣＤ１を決定するために行われる計算の複雑さが緩和されつつ、暗号化のセキュリティレベルと、リソース及び処理時間の消費との間の良好な妥協点が実現されている。この妥協点は、Ｎ及びＭの値をそれぞれの状況に応じて調整することによって、適宜適応することができる。
【0153】
後述するように、仮生成元点Ｇ’及び仮鍵Ｑ’は、暗号化段階に先行する初期化段階において決定されることができ、これによって、Ｇ’及びＱ’を上流で有利に取得でき、したがって、暗号処理装置が暗号化段階に入る際の暗号処理イベントを加速することができる。また、初期化段階において取得されたＧ’及びＱ’の同一の値は、暗号化段階で複数回（例えば、複数回の繰り返し処理時において）使用されてもよく、これによって、各暗号化段階の前に初期化段階を実行する必要がないので、装置によって実行される処理をさらに加速することができる。
【0154】
次に、本発明の特定の実施形態について、図７を参照して説明される。より詳細には、暗号処理装置ＤＶ１は、特定の実施形態に係るプログラムＰＧ１を実行することによって、本発明の暗号処理方法を実行する。
【0155】
この例において、端末Ｔ１に組み込み加入者識別モジュールを構成する装置ＤＶ１が、特にデータＤＴ１を暗号化することを目的とした暗号処理を実行し、次に、このようにして取得された暗号化されたデータ（表記ＤＴＣ１）を通信ネットワークＨＮ１に送信することが想定されている。この例において、暗号化されるべきデータＤＴ１は、ネットワークＨＮ１に対する加入者ＵＲのＳＵＰＩ識別子（又はＳＵＰＩ識別子のサブパート）であるか、又はそれを含む。当業者にはよく知られているように、ＳＵＰＩ識別子は、ユーザが加入している５Ｇネットワークでユーザを識別するものである。これらのデータＤＴ１は、装置ＤＶ１によって任意の方法で取得（受信、決定等）されてもよい。
【0156】
後述のように、装置ＤＶ１によって実行される暗号処理は、特に、当業者が使用する場合に応じて選択した楕円曲線εの使用に基づいている。
【0157】
より具体的には、装置ＤＶ１は、初期化段階Ｓ１００を実行し、初期化段階Ｓ１００において仮生成元点Ｇ’及び仮鍵Ｑ’を決定する。
【0158】
仮生成元点Ｇ’は、以下のような第１積に等しい。
【0159】
［数６］
Ｇ’＝［ｄ’］Ｇ
Ｇ’＝［ｄ’］Ｇ
【0160】
ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、上記楕円曲線εの生成元点である。
【0161】
また、仮鍵Ｑ’は、以下のような第２積に等しい。
【0162】
［数７］
Ｑ’＝［ｄ’］Ｑ
Ｑ’＝［ｄ’］Ｑ
【0163】
ここで、Ｑは、本発明の観点から第２システム、具体的にはこの例においてネットワークＨＮ１に関連する公開鍵を形成する楕円曲線εの点である。
【0164】
秘密鍵ｄ’のコード化のビット数Ｎ（level N of coding in bits）は、例えば、２５６ビットに固定されており、又はさらに高いセキュリティレベルが要求される場合にはそれよりも大きくてもよい。
【0165】
前述のように、Ｇ’及びＱ’を取得するための様々な方法があり得る。第１実施例によれば、装置ＤＶ１自体は、Ｇ’及びＱ’を計算せず、外部から後に受信する。パラメータＧ’及びＱ’は、例えば、装置ＤＶ１の初期パーソナライゼーションにおいて装置ＤＶ１に読み込まれるか、又は装置ＤＶ１が端末Ｔ１で既に使用されている期間において後で読み込まれる。
【0166】
図７に示される別の例によれば、装置ＤＶ１自体が、第１ランダムスカラーｄ’に基づいてパラメータＧ’及びＱ’を計算する。この特定の例は、以下でより詳細に説明される。初期化段階Ｓ１００は、後述するステップＳ１０１、Ｓ１０２、及びＳ１０４を含むと考えられる。
【0167】
決定ステップＳ１０１において、装置ＤＶ１は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーｄ’を決定する。前述のように、Ｎは、２５６に固定されていることが想定されており、又は必要に応じてそれよりも大きい値であってもよい。ここでの例では、装置ＤＶ１自体がスカラーｄ’をランダムに生成している。変形例によれば、装置ＤＶ１は、このランダムなスカラーｄ’を外部から受信できる（例えば、パーソナライゼーションにおいて、又はその実行後において読み込む）。
【0168】
装置ＤＶ１は、楕円曲線εの仮生成元点Ｇ’を計算し（Ｓ１０２）、この仮生成元点Ｇ’は、以下の第１積に等しい。
【0169】
［数８］
Ｇ’＝［ｄ’］Ｇ
Ｇ’＝［ｄ’］Ｇ
【0170】
ここで、ｄ’は、決定ステップＳ１０１で決定された第１ランダムスカラーである。
【0171】
装置ＤＶ１は、仮鍵Ｑ’も計算し（Ｓ１０４）、仮鍵Ｑ’は、以下の第２積に等しい。
【0172】
［数７］
Ｑ’＝［ｄ’］Ｑ
Ｑ’＝［ｄ’］Ｑ
【0173】
ここで、Ｑは、第２システム、具体的にはこの例においてネットワークＨＮ１に関連する公開鍵を形成する楕円曲線εの点である。
【0174】
これを実現するために、装置ＤＶ１は、そのメモリＭＲ１に以前に格納されているパラメータＧ及びＱを抽出する。計算ステップＳ１０２及びＳ１０４は、同時に又は任意の順序に従って実行することができる。
【0175】
Ｓ１００で仮生成元点Ｇ’及び仮鍵Ｑ’が決定されると、装置ＤＶ１は、これらのパラメータＧ’及びＱ’をそのメモリＭＲ１に格納し（Ｓ１０６、図７）、次の暗号化段階Ｓ１０７においてそれらを使用できるようにする。
【0176】
暗号化段階Ｓ１０７（図７）において、装置ＤＶ１は、初期化段階Ｓ１００において取得された仮生成元点Ｇ’及び仮鍵Ｑ’を利用して、上記データＤＴ１を復号化する。前述のように、この例において、これらのデータＤＴ１は、ネットワークＨＮ１（図５）に対する加入者ＵＲのＳＵＰＩ識別子（又はＳＵＰＩ識別子のサブパート）であるか、又はそれを含むことが想定されている。以下で詳細に説明するように、この例において、暗号化段階Ｓ１０７は、ステップＳ１０８、Ｓ１１０、Ｓ１１２、Ｓ１１４、Ｓ１１６、及びＳ１１８を含む。
【0177】
決定ステップＳ１０８において、装置ＤＶ１は、Ｍ＜ＮであるＭビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定する。第２秘密鍵ｋのコード化のビット数Ｍは、当業者がセキュリティのレベルと、リソース及び処理時間の観点における暗号処理の消費との間で、各形態で達成したい妥協点に応じて選択する。コード化のビット数Ｍが高いほど、セキュリティはより強化されるが、より多くのリソースが必要となり、暗号化段階における処理イベント速度への影響が大きくなる。
【0178】
特定の例によれば、Ｎ及びＭは、Ｎが２５６ビットであり、Ｍが３２、４８、６４又は１２８ビットであるように選択されるが、条件Ｍ＜Ｎの関係が維持される範囲で他の組み合わせ（Ｎ、Ｍ）もあり得る。
【0179】
本発明の原理の１つは、初期化段階Ｓ１００における暗号計算に介在する第１秘密鍵ｄ’が、暗号化段階Ｓ１０７における暗号計算に介在する第２秘密鍵ｋよりも多くのビット（Ｎビット）で暗号化され、この第２秘密鍵ｋは、Ｍ＜ＮであるＭビットだけでコードされるということである。Ｍ及びＮの差は、適宜調整され得る。これは、重要かつ一般的に任意の瞬間に迅速に実行される必要がある暗号化段階Ｓ１０７よりも、初期化段階Ｓ１００に基づく処理においてより多く消費される。なお、後述のように、暗号化段階Ｓ１０７は、初期化段階Ｓ１００において取得された同一のパラメータＧ’及びＱ’を使用することによって複数回繰り返し行うことができるので、リソース及び処理時間の消費をさらに制限することができる。
【0180】
次に、装置ＤＶ１は、装置ＤＶ１に関連する公開鍵Ｐを計算し（Ｓ１１０）、Ｐは、以下のような第３積に等しい。
【0181】
［数８］
Ｐ＝［ｋ］Ｇ’＝［ｋ］［ｄ’］Ｇ
Ｐ＝［ｋ］Ｇ’＝［ｋ］［ｄ’］Ｇ
【0182】
したがって、この公開鍵Ｐ（［ｋ］［ｄ’］）の離散対数の秘匿性は、第１秘密鍵ｄ’のビット数Ｎ及び第２秘密鍵ｋのビット数Ｍに依存する。
【0183】
計算ステップＳ１１２において、装置ＤＶ１は、中間点ＳＰ１の少なくとも１つの座標ＣＤ１を計算し、当該中間点ＳＰ１は、以下のような第４積に等しい。
【0184】
［数９］
ＳＰ１＝［ｋ］Ｑ’＝［ｋ］［ｄ’］Ｑ
ＳＰ１＝［ｋ］Ｑ’＝［ｋ］［ｄ’］Ｑ
【0185】
これは可能であるが、装置ＤＶ１が楕円曲線ε上の中間点ＳＰ１のすべての座標を決定する必要はない。装置ＤＶ１は、方向ｘ及び／又は方向ｙに応じて座標ＣＤ１を計算することができ、これらの方向ｘ及び方向ｙは、楕円曲線εが延びる空間を定義する。後で簡単にするために、装置ＤＶ１は、ステップＳ１１２において中間点ＳＰ１の単一の座標ＣＤ１を決定することが想定されている。
【0186】
導出ステップＳ１１４において、装置ＤＶ１は、中間点ＳＰ１の座標ＣＤ１に鍵導出関数Ｆ１を適用することによって、少なくとも１つの鍵を導出する。言い換えれば、装置ＤＶ１は、鍵導出関数Ｆ１を実行して、中間点ＳＰ１の座標ＣＤ１に基づいて、少なくとも１つの鍵を決定する。鍵の性質及び数は、使用する形態に応じて、特に暗号化の種類及び考慮される関数Ｆ１に応じて変化し得る。ステップＳ１１４において、装置ＤＶ１は、単一の鍵又は複数の鍵を生成することができ、単一の鍵又は複数の鍵は、データＤＴ１を復号化するために次の暗号化ステップＳ１１６で使用される。
【0187】
この例において、座標ＣＤ１を考慮して導出関数Ｆ１を適用することによって、別々のパラメータ（又はコンポーネント）、具体的には、暗号化鍵ＫＹ１、初期化ベクトルＶ１、及びＭＡＣ鍵（表記ＫＭＡＣ１）が生成されることが想定されている。後述のように、鍵ＫＭＡＣ１が介在しない変形例もあり得る。
【0188】
暗号化段階Ｓ１０７の一部は、事前に、すなわち、暗号化されるべきデータＤＴ１が装置ＤＶ１によって決定又は取得される前に、又は、装置ＤＶ１がデータＤＴ１を暗号化する必要があると決定する前に、実行することができることに留意すべきである。
【0189】
特定の例によれば、まだ行われていない暗号化ステップＳ１１６の前に、本方法は、暗号化されるべきデータＤＴ１を取得するためのステップ（図示せず）、及び／又は、データＤＴ１を暗号化する必要があると決定するためのステップを含む。これらのデータＤＴ１は、任意の方法で受信又は決定することができる。特定の例によれば、秘密鍵ｋを決定するためのステップＳ１０８、公開鍵Ｐを計算するためのステップＳ１１０、及び中間点ＳＰ１の少なくとも１つの座標ＣＤ１を計算するためのステップＳ１１２、又は導出ステップＳ１１４（又はこれらのステップの少なくとも一部）までもが、事前に、つまり装置ＤＶ１が暗号化されるべきデータＤＴ１を取得する前に、又は装置ＤＶ１がデータＤＴ１を暗号化する必要があると決定する前に、実行され、暗号化方法をさらに加速させることが可能である。
【0190】
暗号化ステップＳ１１６において、装置ＤＶ１は、導出ステップＳ１１４において以前に導出された暗号化鍵ＫＹ１及び初期化ベクトルＶ１に基づいて、データＤＴ１を暗号化して、暗号化されたデータＤＴＣ１を取得する。ここで考えられる例において、装置ＤＶ１は、暗号化関数Ｆ２を適用して、暗号化鍵ＫＹ１及び初期化ベクトルＶ１に基づいてデータＤＴ１を暗号化する。前述のように、暗号化関数Ｆ２は、この例において、装置ＤＶ１のメモリＭＲ１に格納されている。暗号化ステップＳ１１６は、データＤＴ１に含まれる加入者ＳＵＰＩ識別子（又は加入者ＳＵＰＩ識別子のサブパート）を暗号化して、ＳＵＰＩの暗号化された形式に対応する暗号化された識別子ＳＵＣＩ（又はＳＵＣＩのサブパート）を含む暗号化されたデータＤＴＣ１を生成する。
【0191】
この例において、暗号化ステップＳ１１６において、装置ＤＶ１が、暗号化されたデータＤＴＣ１及び鍵ＫＭＡＣ１に基づいて、認証コードＭＡＣ（表記ＭＣ１）を計算することも考慮される。認証コードＭＡＣは、任意の適切な方法に従って、暗号化されたデータＤＴＣ１に基づいて計算される。当業者にはよく知られているように、コードＭＡＣは、対象のデータの配布又は処理後にコードＭＡＣを後で検証できるようにすることによって、データの完全性を保証するためにデータに付随するコードである。このように、本形態では、認証コードＭＣ１によって、ネットワークＨＮ１は、受信した暗号化されたデータＤＴＣ１が完全である（変更されていない）ことを後から検証することができる。
【0192】
次に、送信ステップＳ１１８において、装置ＤＶ１は、ネットワークＨＮ１による復号化のために、Ｓ１１０で計算された公開鍵Ｐ及び暗号化されたデータＤＴＣ１をネットワークＨＮ１（第２システム）に送信する。この例において、装置ＤＶ１は、ネットワークＨＮ１のアクセスポイントＡＰ１を介して送信Ｓ１１８を実行する。そして、後述のように、ネットワークＨＮ１は、受信した暗号化されたデータＴＤＣ１を復号化することができる。
【0193】
より詳細には、公開鍵Ｐは、ネットワークＨＮ１がネットワークＨＮ１の秘密鍵（表記ａ）を形成するスカラーに基づいて中間点ＳＰ１の座標ＣＤ１を再計算することを可能にする。
【0194】
［数１０］
ＳＰ１＝［ａ］Ｐ
ＳＰ１＝［ａ］Ｐ
【0195】
そして、中間点ＳＰ１の座標ＣＤ１は、後述するように、ネットワークＨＮ１に、秘密鍵ｋ及び秘密鍵ｄ’を知らない状態で暗号化されたデータＤＴＣ１を復号化させる。
【0196】
ここで考えられる例において、公開鍵Ｐ及び暗号化されたデータＤＴＣ１とは別に、ステップＳ１１８において、装置ＤＶ１は、Ｓ１１６で計算された認証コードＭＣ１をネットワークＨＮ１に送信して、ネットワークＨＮ１に、受信した暗号化されたデータＤＴＣ１の完全性を後で検証させる。装置ＤＶ１は、ネットワークＨＮ１に送信する送信ステップＳ１１８の前に、認証コードＭＣ１を暗号化されたデータＤＴＣ１に挿入することができる。変形例として、認証コードＭＣ１は、暗号化されたデータＤＴＣ１に付随して送信される（Ｓ１１８）。
【0197】
本発明の原理は、コードＭＡＣを使用又は送信せずに実施できることに留意すべきである。しかし、コードＭＡＣを使用することは、受信エンティティ（この例におけるネットワークＨＮ１）が、受信した暗号化されたデータＤＴＣ１の完全性を検証することができるという点で有利である。
【0198】
本発明は、楕円曲線に基づく暗号処理（例えば、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ型）を実行し、楕円曲線は、達成されるセキュリティレベルと、リソース及び処理時間に必要な消費との間の良好な妥協点を実現することによって、データを暗号化する（又は、後述のように復号化する）。これを実現するために、生成元点Ｇ及び公開鍵Ｑは、図３を参照して前述したステップＳ４２及びＳ４４において公開鍵Ｐ及び中間点ＳＰ１（又はＳＰ１の少なくとも１つの座標ＣＤ１）をそれぞれ計算するために使用され、初期化段階において取得される仮生成元点Ｇ’及び仮鍵Ｑ’にそれぞれ置き換えられ、これらのパラメータＧ’及びＱ’は、いずれもＮビットでコードされた同一の秘密鍵ｄ’に依存する。
【0199】
特にＮビットでコードされた第１秘密鍵ｄ’を使用して仮生成元点Ｇ’及び仮公開鍵Ｑ’を決定することによって、高いセキュリティレベルが実現される。仮生成元点Ｇ’及び仮公開鍵Ｑ’は、暗号化段階における公開鍵Ｐと中間点ＳＰ１の座標ＣＤ１の計算の際に登場し、これらの計算のセキュリティを強化する。このようにして、公開鍵Ｐ及び座標ＣＤ１の値は、（Ｍビットでコードされた）第２秘密鍵ｋだけでなく、（Ｎビットでコードされた）第１秘密鍵ｄ’にも依存する。
【0200】
また、公開鍵Ｐ及び座標ＣＤ１の計算を２つの段階に分けることによって、装置ＤＶ１が公開鍵Ｐ及び座標を決定するために必要なリソースを制限すること、又は少なくともこれらのリソースの管理を改善することが可能である。初期化段階Ｓ１００において、装置ＤＶ１は、仮生成元点Ｇ’及び／又は仮鍵Ｑ’を外部から取得することができ、又は、正しいタイミングで、例えば、暗号化段階Ｓ１０７の上流で、例えば、非アクティブの期間において、若しくは少なくとも必要なリソースが利用可能なときに、仮生成元点Ｇ’及び／又は仮鍵Ｑ’を計算によって決定することができる。したがって、暗号化されるべきデータにも関係なく、暗号化段階が開始されたときにすぐに使用できる仮生成元点Ｇ’及び仮鍵Ｑ’を、初期化段階において事前に決定することによって、データＤＴ１の暗号化の速度を高速化することができる。
【0201】
本発明は、暗号化段階Ｓ１０７を開始する前の初期化段階Ｓ１００において、時間及びリソースにおいて最も消費が多い暗号計算を実行する。第１秘密鍵ｄ’は、第２秘密鍵ｋよりも多くのビットでコードされているので、初期化段階Ｓ１００では、最も消費が多い計算が集中する。したがって、暗号化段階Ｓ１０７における計算処理は、第３積及び第４積（Ｓ１１０及びＳ１１２）で登場するｋが分解に係るより小さい方である分、消費が少なくなる。
【0202】
特定の例によれば、暗号化段階Ｓ１０７（図７）は、少なくとも１つのイベントの検出時に開始され、初期化段階Ｓ１００は、前記少なくとも１つのイベントの検出前に実行される。
【0203】
ＳＵＰＩ識別子（又はＳＵＰＩ識別子のサブパート）を含むデータＤＴ１の暗号化段階Ｓ１０７（図７）は、例えば、アクセスポイントＡＰ１から、装置ＤＶ１をネットワークＨＮ１に登録するための要求（例えば、規格ETSI TS 133 501、例えば、Version 15.3.1 Release 15に規定されているような「登録要求」又は「識別要求」）を受信することに応答して開始される。
【0204】
特定の例によれば、初期化段階Ｓ１００は、例えば、装置ＤＶ１の初期起動において、又は装置ＤＶ１の製造において（例えば、そのプレパーソナライゼーション又はパーソナライゼーションにおいて）、１回だけ実行される。
【0205】
特定の例で後述するように、初期化段階Ｓ１００は、好ましくはこの種類の処理に寄与する所定の期間において、複数回実行されることもできる。
【0206】
また、ネットワークＨＮ１が、装置ＤＶ１によってＳ１１８（図７）で提供された暗号化されたデータＤＴＣ１を復号化する方法は、装置ＤＶ１によって実行される暗号化方法によって変更されない。言い換えれば、ネットワークＨＮ１は、図４を参照して前述した方法と同一の方法に従って、装置ＤＶ１によってＳ１１８（図７）で提供されたデータＤＴＣ１を復号化することができる。
【0207】
次に、図８を参照して、装置ＤＶ１によって以前に暗号化されたデータＤＴＣ１を復号化するためにネットワークＨＮ１によって実行される、本発明の原理に従う処理方法が以下に説明される。
【0208】
受信ステップＳ１３０において、ネットワークＨＮ１は、そのアクセスポイントＡＰ１を介して、装置ＤＶ１から提供された、暗号化されたデータＤＴＣ１及び公開鍵Ｐを受信する。ここでは、認証コードＭＣ１が暗号化されたデータＤＴＣ１に含まれていることが想定されている。
【0209】
計算ステップＳ１３２において、前述の計算ステップＳ６２（図４）と同様に、ネットワークＨＮ１は、楕円曲線εの中間点ＳＰ１の少なくとも１つの前記座標ＣＤ１、すなわち、この例において、装置ＤＶ１によってＳ１１２（図７）で決定された座標ＣＤ１を計算する。したがって、この例において、ネットワーク６は、装置ＤＶ１によって使用される単一の座標ＣＤ１（例えば、ｘ又はｙ方向の座標）を計算し、データＤＴ１を暗号化する。
【0210】
中間点ＳＰ１は、以下に定義するように、ネットワークＨＮ１の秘密鍵（表記ａ）と公開鍵Ｐとの積に等しい。
【0211】
［数１１］
［ａ］Ｐ＝［ａ］［ｋ］［ｄ’］Ｇ＝［ｋ］［ｄ’］［ａ］Ｇ＝［ｋ］［ｄ’］Ｑ＝［ｋ］Ｑ’＝ＳＰ１
［ａ］Ｐ＝［ａ］［ｋ］［ｄ’］Ｇ＝［ｋ］［ｄ’］［ａ］Ｇ＝［ｋ］［ｄ’］Ｑ＝［ｋ］Ｑ’＝ＳＰ１
【0212】
ここで、ネットワークＨＮ１の公開鍵Ｑは、以下に定義するように、秘密鍵ａと生成元点Ｇとの積に等しい。
【0213】
［数１２］
Ｑ＝［ａ］Ｇ
Ｑ＝［ａ］Ｇ
【0214】
前述のように、ネットワークＨＮ１は、その秘密鍵ａをメモリに格納している。したがって、ネットワークＨＮ１は、第１秘密鍵ｄ’又は第２秘密鍵ｋを知らなくても、計算によって中間点ＳＰ１の座標ＣＤ１を取得できる。
【0215】
その後、図８に示されるように、ネットワークＨＮ１は、図４を参照して既に前述したようなステップＳ６４、Ｓ６６、Ｓ６８、Ｓ７０、Ｓ７２、及びＳ７４とそれぞれ同一のステップＳ１３４、Ｓ１３６、Ｓ１３８、Ｓ１４０、Ｓ１４２、及びＳ１４４を実行する。
【0216】
より詳細には、次に、ネットワークＨＮ１は、装置ＤＶ１によって以前に実行された導出ステップＳ１１４と同様に、鍵導出関数Ｆ１を適用することによって、暗号化鍵ＫＹ１、初期化ベクトルＶ１、及び必要に応じてＭＡＣ鍵（表記ＫＭＡＣ１）を導出する（Ｓ１３４）。これを実現するために、ネットワークＨＮ１は、Ｓ１３２で取得された中間点ＳＰ１の座標ＣＤ１に、鍵導出関数Ｆ１を適用する。ここでの鍵ＫＹ１は、暗号化された識別子ＳＵＣＩを含む暗号化されたデータＤＴＣ１を復号化するための復号化鍵として機能する。
【0217】
検証ステップＳ１３６において、ネットワークＨＮ１は、装置ＤＶ１からＳ１３０で受信した暗号化されたデータＤＴＣ１の完全性を検証する。これを実現するために、ネットワークＨＮ１は、Ｓ１３４で取得されたＭＡＣ鍵ＫＭＡＣ１に基づいて、装置ＤＶ１によって提供された暗号化されたデータＤＴＣ１の認証コードＭＡＣ（表記ＭＣ２）を計算する。次に、ネットワークＨＮ１は、Ｓ１３８で計算された認証コードＭＣ２と、装置ＤＶ１から発しＳ１３０で受信した認証コードＭＣ１とを比較する（Ｓ１４０）。認証コードＭＣ１及びＭＣ２が一致する場合、ネットワークＨＮ１は、このことから、Ｓ１３０で受信した暗号化されたデータＤＴＣ１が完全であると推定し、本方法は、その後、暗号化ステップＳ１４２を実行する。そうでなければ、受信した暗号化されたデータＤＴＣ１は、完全ではないので、復号化方法は、終了する。
【0218】
復号化ステップＳ１４２において、ネットワークＨＮ１は、装置ＤＶ１によって以前に実行された暗号化ステップＳ１１６（図７）の逆の原理に従って、（暗号化された識別子ＳＵＣＩ又は暗号化された識別子ＳＵＣＩの一部を含む）暗号化されたデータＤＴＣ１を復号化する。より詳細には、ネットワークＨＮ１は、加入者の識別子ＳＵＰＩ（又は加入者の識別子ＳＵＰＩのサブパート）を含むデータＤＴ１を復号化された形式で取得するために、導出ステップＳ１３４において取得された復号化鍵ＫＹ１及び初期化ベクトルＶ１に基づいて、暗号化されたデータＤＴＣ１を解読又は復号化する（Ｓ１４２）。これを実現するために、ネットワークＨＮ１は、復号化鍵ＫＹ１及び初期化ベクトルＶ１を用いて、暗号化されたデータＤＴＣ１に対して、特に復号化関数Ｆ３（ここで、Ｆ３は、装置ＤＶ１によってＳ１１６で使用された暗号化関数Ｆ２の逆関数である）を適用して、復号化されたデータＤＴ１を取得する。
【0219】
【0220】
前述のように、この特定の形態において、装置ＤＶ１及びネットワークＨＮ１によってそれぞれ実行される暗号化及び復号化の暗号処理イベントによって、装置ＤＶ１は、加入者のＳＵＰＩ識別子を復号化された形式で提供することなく、ネットワークＨＮ１で後に安全に認証されることができる。これらの暗号処理イベントは、悪意のある第三者によるＳＵＰＩ識別子の不正な傍受に特に対抗するという点で有利であり、そのためユーザの個人データと私生活のセキュリティを強化できる。
【0221】
特定の例によれば、図７を参照して前述したステップＳ１００－Ｓ１１８のシーケンスが複数回実行され、データＤＴ１を暗号化し、データＤＴ１を暗号化された形式で１つの第２システム又は複数の第２システムに送信する。初期化段階Ｓ１００は、暗号化段階Ｓ１０７の各繰り返し処理の前に繰り返し実行できる。
【0222】
本発明は、初期化段階Ｓ１００において決定された同一の仮生成元点Ｇ’及び同一の仮鍵Ｑ’を用いることによって、暗号化段階Ｓ１０７の複数の繰り返し処理を実行することが可能であり、データＤＴ１の暗号化を実行するためのリソース及び処理時間に必要な消費をさらに削減できるという点でも有利である。各暗号化段階Ｓ１０７の前に、初期化段階Ｓ１００を実行する必要はない。
【0223】
このようにして、特定の実施形態において図９に示すように、装置ＤＶ１は、前述のように初期化段階Ｓ１００を実行し、その後、初期化段階Ｓ１００において決定された仮生成元点Ｇ’及び仮鍵Ｑ’に基づいて、暗号化段階Ｓ１０７の少なくとも２つの連続した繰り返し処理を実行して、復号化のために第２システム（ネットワークＨＮ１）に送信されるデータＤＴ１を暗号化する。暗号化段階Ｓ１０７の各繰り返し処理で暗号化されるデータＤＴ１、及びこれらの暗号化されたデータＤＴ１が送信される第２システムは、バリエーションを有しうる（can vary）ことに留意すべきである。
【0224】
このようにして、初期化段階Ｓ１００においてＳ１０２の第１積及びＳ１０４の第２積から生じる鍵Ｇ’及び鍵Ｑ’は、１つ又は複数の第２システムと通信するために、例えば、１つ又は複数の通信ネットワークで経時的に複数回加入者ＵＲを認証するために、暗号化段階Ｓ１０７の複数の連続した繰り返し処理において、複数回使用することができる。各暗号化段階の前に、初期化段階を実行する必要はない。初期化段階Ｓ１００は、例えば、暗号化Ｓ１０７のＸ段階ごとに実行することができる（又は、Ｘは、２以上の整数）。
【0225】
これによって、装置ＤＶ１によって行われる暗号計算における処理時間が制限され、一方で、高いセキュリティレベルが実現される。これは、暗号化段階Ｓ１０７において、秘密鍵ｋだけでなく、秘密鍵ｄ’も積に影響を与えるためである。
【0226】
また、データＤＴ１を暗号化するために暗号化段階Ｓ１０７の異なる繰り返し処理において使用される仮生成元Ｇ’及び仮鍵Ｑ’を更新（修正）するように、初期化段階Ｓ１００の複数の繰り返し処理を実行することが可能である。
【0227】
特定の実施形態によれば、装置ＤＶ１は、初期化段階Ｓ１００において決定された同一の仮生成元点Ｇ’及び同一の仮鍵Ｑ’を用いて行われた暗号化段階Ｓ１０７の連続した繰り返し処理回数を監視する。暗号化されたデータＤＴＣ１を第２システム（この例において具体的にはネットワークＨＮ１）に送信するために初期化段階Ｓ１００において決定された同一の仮生成元点Ｇ’及び同一の仮鍵Ｑ’に基づいて、暗号化段階Ｓ１０７の少なくともＸ回の連続した繰り返し処理が実行されたことを検出すると、装置ＤＶ１は、初期化段階Ｓ１００の新たな繰り返し処理を実行して、初期化段階Ｓ１００の先行する繰り返し処理において決定された第１秘密ランダム鍵ｄ’とは異なる新たな第１秘密ランダム鍵ｄ’に基づいて、仮生成元Ｇ’及び仮鍵Ｑ’を更新する（したがって変更する）。更新された仮生成元Ｇ’及び更新された仮鍵Ｑ’は、暗号化段階Ｓ１０７の少なくとも１つの後の繰り返し処理において使用されて、新しいデータＤＴ１を暗号化し、第２システム（この例において具体的にはネットワークＨＮ１）にこれらの新しい暗号化されたデータＤＴＣ１を送信する。
【0228】
数Ｘは、Ｘ≧１となるような整数である。特定の例によれば、Ｘ≧２であり、これは、装置が、新しい暗号化を実行することに照らしてこれらの値を更新する前に、Ｇ’及びＱ’の同一の値を用いた暗号化段階Ｓ１０７の少なくとも２つの連続した繰り返し処理を実行することを意味する。
【0229】
したがって、装置ＤＶ１は、パラメータＧ’及びＱ’を定期的に更新して、セキュリティを強化するとともに、良好な処理パフォーマンスを維持することもでき、例えば、装置ＤＶ１をネットワークＨＮ１で複数回認証することができる。特に、パラメータＧ’及びＱ’（したがって、第１秘密鍵ｄ’）を定期的に更新することによって、装置ＤＶ１が通信ネットワークに組み込み加入者識別モジュールとして登録されている間は、悪意のある第三者が装置ＤＶ１を追跡することを防ぐことができる。実際には、暗号化段階又は本方法の様々な繰り返し処理において交換された公開鍵Ｐに基づいて、第三者がユーザを追跡することは困難である。この理由は、これらの鍵が、この秘密鍵ｋによってのみ区別されるのではなく、この秘密鍵ｋ及び仮生成元点Ｇ’によって区別されるからである。
【0230】
これを実現するために、装置ＤＶ１は、同一の組み合わせ（Ｇ’、Ｑ’）がネットワークでの認証に使用された回数を監視するカウンタＣＴを利用することができる。
【0231】
次に、図１０を参照して特定の実施形態を説明する。装置ＤＶ１が、既に前述したように、暗号化段階Ｓ１０７を実行していることが想定されている。この暗号化段階Ｓ１０７が実行されたこと（又は開始されたこと、又は実行中であること）を検出すると、装置ＤＶ１は、また、カウンタＣＴ１を更新する（Ｓ１６２）。この例において、カウンタＣＴ１は、暗号化段階Ｓ１０７の新たな繰り返し処理が実行されるごとに１ずつ増加される。
【0232】
次に、新しい暗号化を実行する必要があることを検出すると、装置ＤＶ１は、そのカウンタＣＴ１の現在の値に基づいて、暗号化段階Ｓ１０７の少なくともＸ回の連続した繰り返し処理が、Ｇ’及びＱ’の同一の値を用いて実行されたかどうかを判断する（Ｓ１６４）。これを実現するために、装置ＤＶ１は、カウンタＣＴ１が閾値Ｘ以上であるか否かを判断する。閾値Ｘ以上である場合には、本方法は、Ｓ１００を継続して、初期化段階Ｓ１００の新たな繰り返し処理においてパラメータＧ’及びＱ’を更新し、カウンタＣＴ１を再初期化する。そうでない場合には、装置ＤＶ１は、パラメータＧ’及びＱ’を変更することなく暗号化段階Ｓ１０７の新たな繰り返し処理を実行する。
【0233】
このようにして、初期化段階Ｓ１００の新たな繰り返し処理において、装置ＤＶ１は、仮生成元Ｇ’及び仮鍵Ｑ’を更新（変更）する。そして、装置ＤＶ１は、Ｓ１００で取得されたＧ’及びＱ’の更新値を用いて、暗号化段階Ｓ１０７の新たな繰り返し処理を実行する、という具合である。
【0234】
図１１に示される特定の実施形態によれば、暗号化段階Ｓ１０７の各繰り返し処理において、当該暗号化段階Ｓ１０７の現在の繰り返し処理において使用される仮生成元Ｇ’及び仮鍵Ｑ’は、暗号化段階Ｓ１０７の先行する繰り返し処理において計算された公開鍵Ｐ及び中間点ＳＰ１にそれぞれ等しい。
【0235】
より一般的には、暗号化段階Ｓ１０７の少なくとも１つの繰り返し処理において、当該暗号化段階Ｓ１０７の現在の繰り返し処理において使用される仮生成元Ｇ’及び仮鍵Ｑ’は、暗号化段階Ｓ１０７の先行する繰り返し処理において計算された公開鍵Ｐ及び中間点ＳＰ１にそれぞれ等しくなり得る。
【0236】
言い換えれば、現在の繰り返し処理のパラメータＧ’及びＱ’は、暗号化段階Ｓ１０７の先行する繰り返し処理の値［ｋ］Ｇ’及び［ｋ］Ｑ’に置き換えられ、これによって、悪意のある第三者（識別子の傍受者）が、通信ネットワークで認証するために組み込み加入者識別モジュールによって生成された連続的なＳＵＣＩに基づいて、組み込み加入者識別モジュールを追跡することがより困難になる程度にセキュリティが強化される。
【0237】
ただし、これが可能であっても、暗号化段階Ｓ１０７の各繰り返し処理において、秘密鍵ｋの同一の値を使用することは必須ではないことに留意すべきである。
【0238】
図１１に示されているように、以下のように
Ｐ＝［ｋ1］Ｇ’及びＳＰ１＝［ｋ1］Ｑのような繰り返し処理Ｉ１（Ｓ１８０）における秘密鍵ｋ1と、
Ｐ＝［ｋ1］［ｋ2］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］Ｑ’のような繰り返し処理Ｉ２（Ｓ１８２）における秘密鍵ｋ2と、
Ｐ＝［ｋ1］［ｋ2］［ｋ3］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］［ｋ3］Ｑ’のような繰り返し処理Ｉ３（Ｓ１８２）における秘密鍵ｋ3と、
等を使用することができる。
Ｐ＝［ｋ1］Ｇ’及びＳＰ１＝［ｋ1］Ｑのような繰り返し処理Ｉ１（Ｓ１８０）における秘密鍵ｋ1と、
Ｐ＝［ｋ1］［ｋ2］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］Ｑ’のような繰り返し処理Ｉ２（Ｓ１８２）における秘密鍵ｋ2と、
Ｐ＝［ｋ1］［ｋ2］［ｋ3］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］［ｋ3］Ｑ’のような繰り返し処理Ｉ３（Ｓ１８２）における秘密鍵ｋ3と、
等を使用することができる。
【0239】
このようにして、Ｒが少なくとも２に等しい整数である繰り返し処理ＩR（Ｓ１８６）において、Ｐ及びＳＰ１は、
Ｐ＝［ｋ1］［ｋ2］．．．［ｋR］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］．．．［ｋR］Ｑ’
となる。
Ｐ＝［ｋ1］［ｋ2］．．．［ｋR］Ｇ’及びＳＰ１＝［ｋ1］［ｋ2］．．．［ｋR］Ｑ’
となる。
【0240】
特定の形態では、秘密鍵ｋの同一の値が各繰り返し処理に使用される。このようにして、繰り返し処理ＩR（Ｓ１８６）において、Ｐ及びＳＰ１は、
Ｐ＝［ｋ］RＧ’及びＳＰ１＝［ｋ］RＱ’
となる。
Ｐ＝［ｋ］RＧ’及びＳＰ１＝［ｋ］RＱ’
となる。
【0241】
前述の実施形態において、本発明は、データの暗号化の形態に適用されている。しかし、前述のように、本発明は、この特定の形態に限定されるものではなく、暗号化されたデータの復号化にも適用される。これを実現するために、本発明は、前述の第１暗号処理方法と同様の原理に基づく第２暗号処理方法も提供する。
【0242】
このように、特定の実施形態によれば、装置ＤＶ１は、第２暗号処理を実行するように構成されている。この特定の態様によれば、装置ＤＶ１は、任意の第２システム（表記ＨＮ１）と連携し、前記方法は、
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・復号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
公開鍵Ｐを第２システムに送信するステップと、
第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき暗号化されたデータを復号化するステップと、
を含む復号化段階と、
を含む。
・初期化段階であって、
仮生成元点Ｇ’を決定するステップであって、仮生成元点Ｇ’は、Ｇ’＝［ｄ’］Ｇのような第１積に等しく、ここで、ｄ’は、Ｎビットの第１秘密鍵を形成する第１ランダムスカラーであり、Ｇは、楕円曲線の生成元点である、ステップと、
仮鍵Ｑ’を決定するステップであって、仮鍵Ｑ’は、Ｑ’＝［ｄ’］Ｑのような第２積に等しく、ここで、Ｑは、前記第２システムに関連する公開鍵を形成する前記楕円曲線の点である、ステップと、
を含む初期化段階と、
・復号化段階であって、
Ｍビットの第２秘密鍵ｋを形成する第２ランダムスカラーを決定するステップであって、Ｍ＜Ｎである、ステップと、
前記装置に関連する公開鍵Ｐを計算するステップであって、公開鍵Ｐは、Ｐ＝［ｋ］Ｇ’のような第３積に等しい、ステップと、
公開鍵Ｐを第２システムに送信するステップと、
第２システムから送信された暗号化されたデータを受信するステップと、
前記楕円曲線の中間点ＳＰ１の少なくとも１つの座標を計算するステップであって、中間点ＳＰ１は、ＳＰ１＝［ｋ］Ｑ’のような第４積に等しい、ステップと、
前記中間点ＳＰ１の少なくとも１つの前記座標に鍵導出関数を適用することによって、少なくとも１つの鍵を導出するステップと、
復号化されたデータを取得するために、前記導出において導出された少なくとも１つの前記鍵に基づき暗号化されたデータを復号化するステップと、
を含む復号化段階と、
を含む。
【0243】
初期化段階は、先に説明した初期化段階Ｓ１００（図７）と同様に実行することができる。特に、ランダム鍵ｄ’の決定並びに第１鍵Ｇ’及び仮公開鍵Ｑ’の計算は、前述のステップＳ１０１、Ｓ１０２、及びＳ１０４と同様にそれぞれ実行することができる。
【0244】
また、復号化段階は、先に説明した暗号化段階Ｓ１０７（図７）と同様に実行することができる。特に、第２秘密鍵ｋの決定及び公開鍵Ｐの計算は、前述のステップＳ１０８及びＳ１１０と同様にそれぞれ実行することができる。同様に、中間点ＳＰ１の少なくとも１つの座標の計算、及び鍵導出関数の適用による少なくとも１つの鍵の導出は、前述のステップＳ１１２及びＳ１１４と同様にそれぞれ実行することができる。最後に、暗号化されたデータの復号化は、前述した暗号化ステップＳ１１６と同様に実行することができる。
【0245】
前述の実施形態のような本発明の暗号処理方法ｅｓのステップを連結する順序は、あくまでも一実施形態を構成するものであるが、他の変形例もあり得ることに留意すべきである。
【0246】
当業者であれば、前述した実施形態及び変形例が、本発明の実施形態の非限定的な例を構成していることを理解できる。特に、当業者は、特定の必要性に対応するように、前述した実施形態及び変形例の任意の適応又は組み合わせを想定することができる。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7-1】
【図7-2】
【図8】
【図9】
【図10】
【図11】