特表 2022-513134 サイズ制限がある認証プロトコルにおける安全なアタッチメントの確保

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-02-07

(54)【発明の名称】サイズ制限がある認証プロトコルにおける安全なアタッチメントの確保

(51)【国際特許分類】

   H04L 9/08 20060101AFI20220131BHJP

   G06F 7/58 20060101ALI20220131BHJP

   H04W 12/041 20210101ALI20220131BHJP

   H04W 12/72 20210101ALI20220131BHJP

   H04W 12/30 20210101ALN20220131BHJP

【ＦＩ】

H04L9/08 B

G06F7/58 620

H04W12/041

H04W12/72

H04L9/08 E

H04W12/30

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2021529453

(86)(22)【出願日】2019-11-21

(85)【翻訳文提出日】2021-05-25

(86)【国際出願番号】 EP2019082139

(87)【国際公開番号】W WO2020079287

(87)【国際公開日】2020-04-23

(31)【優先権主張番号】18306602.6

(32)【優先日】2018-12-03

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．３ＧＰＰ

(71)【出願人】

【識別番号】519283417

【氏名又は名称】タレス ディアイエス フランス エスアー

(74)【代理人】

【識別番号】100086368

【弁理士】

【氏名又は名称】萩原 誠

(72)【発明者】

【氏名】マルク ランベルトン

(72)【発明者】

【氏名】エリク ブルターニュ

(72)【発明者】

【氏名】アリーヌ グーゲット

(72)【発明者】

【氏名】シルヴァン モランディ

(72)【発明者】

【氏名】アルノー シュワルツ

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA33

5K067DD17

5K067HH36

(57)【要約】

モバイルデバイス（ＭＤ）の一群のクレデンシャルコンテナ（ＣＣ）に格納されている同じエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））と、サーバ（ＳＶ）と、同じエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））を有するモバイルデバイス（ＭＤ）の一群のクレデンシャルコンテナ（ＣＣ）とにより共有された関連グループマスタ鍵（ＭＫ１１）とを使用して、さらに保護されたセッションを開始する初期設定段階を含み、第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）中の限られたペイロードを使用してＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））からランダムに選ばれたｒＩＭＳＩを送信し、次に同様にモバイルデバイス（ＭＤ）からサーバ（ＳＶ）へのメッセージ（ＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３）中の限られたペイロードを使用して送信されたクレデンシャルコンテナの識別子（ＣＣＩｄ）と、サーバ（ＳＶ）が保有する個別化マスタ鍵（ＭＫ１２）とを用いてサーバ（ＳＶ）により取得された個別鍵（ＳＫ１２ｃ，ＳＫ１２ｉ）を使用する。
【選択図】 図１

【特許請求の範囲】

【請求項1】

伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、クレデンシャルコンテナ（ＣＣ）を有するモバイルデバイス（ＭＤ）をサーバ（ＳＶ）に安全にアタッチする方法であって、前記制限が、少なくとも
－特に前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向の各交換におけるデータペイロードの数に関する制限、
－前記サーバ（ＳＶ）から前記モバイルデバイス（ＭＤ）方向及び前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向におけるデータペイロードのサイズの非対称性に関する制限、及び
－前記データペイロード中の一部のデータを暗号化できないことに関する制限、を含み、
前記方法が、モバイルデバイス（ＭＤ）の一群のクレデンシャルコンテナ（ＣＣ）に格納されている同じエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））と、前記サーバ（ＳＶ）と前記同じエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））を有する前記モバイルデバイス（ＭＤ）の前記一群のクレデンシャルコンテナ（ＣＣ）とにより共有された関連グループマスタ鍵（ＭＫ１１）とを使用して、さらにサーバランダム値（Ｒｎｄ）を使用する保護されたセッションを開始する初期設定段階を含み、前記初期設定段階が、前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）への第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）中の限られたペイロードを使用して、前記サーバ（ＳＶ）が保護された通信段階を開始するための鍵を生成できるようにするために前記ＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））からランダムに選ばれたｒＩＭＳＩを送信し、次に、前記モバイルデバイス（ＭＤ）の前記クレデンシャルコンテナ（ＣＣ）に格納され、同様に前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）へのメッセージ（ＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３）中の限られたペイロードを使用して送信された前記クレデンシャルコンテナの識別子（ＣＣＩｄ）と、前記サーバ（ＳＶ）が保有する個別化マスタ鍵（ＭＫ１２）とを用いて前記サーバ（ＳＶ）により取得された個別鍵（ＳＫ１２ｃ，ＳＫ１２ｉ）を使用する、ことを特徴とする方法。

【請求項2】

前記サーバ（ＳＶ）による前記個別鍵（ＳＫ１２ｃ，ＳＫ１２ｉ）の取得が、同様に前記初期設定段階中に前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）への前記メッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）中の限られたペイロードで送信された前記モバイルデバイス（ＭＤ）の識別子を用いて行われる、請求項１に記載の方法。

【請求項3】

前記モバイルデバイス側で、
－前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））を前記クレデンシャルコンテナ（ＣＣ）において受信及び格納するステップと、
－前記クレデンシャルコンテナ（ＣＣ）及び前記サーバ（ＳＶ）により共有され、前記同じエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））を有するクレデンシャルコンテナ（ＣＣ）毎に同じ前記グループマスタ鍵（ＭＫ１１）と、前記モバイルデバイス（ＭＤ）の前記クレデンシャルコンテナ（ＣＣ）の識別子及び前記サーバ（ＳＶ）が保有する個別化マスタ鍵（ＭＫ１２）を使用して導出された、個別暗号鍵（ＳＫｃ）及び個別完全性鍵（ＳＫｉ）と呼ばれる前記２つの個別鍵（ＳＫ１２ｃ，ＳＫ１２ｉ）とを、前記クレデンシャルコンテナ（ＣＣ）において受信及び格納するステップと、
を含むプロビジョニング段階を含む、請求項１に記載の方法。

【請求項4】

前記初期設定段階が、アタッチメントが必要な場合に、前記モバイルデバイス（ＭＤ）側で、
－あらかじめ格納されている前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））からランダムに取り出されたＩＭＳＩ値（ｒＩＭＳＩ）を運ぶ少なくともアタッチメント要求を前記サーバ（ＳＶ）に、前記プロトコルに従う第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）で送信するステップと、
－前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）及びサーバランダム値（Ｒｎｄ）を使用して固有のセッションの確立を可能にするパラメータを含む、前記サーバ（ＳＶ）からの認証要求を、前記グループマスタ鍵（ＭＫ１１）及び受信した前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して前記サーバ（ＳＶ）側で取得した、導出された完全性鍵（ＳＫ１１ｉ）を使用して署名された前記プロトコルに従う第２のメッセージ（ＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２）で受信するステップと、
－前記グループマスタ鍵（ＭＫ１１）及び前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して導出された暗号鍵（ＳＫ１１ｃ）を使用して暗号化されたクレデンシャルコンテナ識別子（ＣＣＩｄ）を、前記グループマスタ鍵（ＭＫ１１）及び前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して前記クレデンシャルコンテナ（ＣＣ）で導出された完全性鍵（ＳＫ１１ｉ）を使用して署名された前記プロトコルに従う第３のメッセージ（ＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３）で送信するステップと、
－前記個別暗号鍵（ＳＫ１２ｃ）を使用して暗号化された一時的なサブスクリプションを有効にするためにパーソナライズされるコマンド及びパラメータを、前記個別完全性鍵（ＳＫ１２ｉ）を使用して署名された前記プロトコルに従う第４のメッセージで受信するステップと、
前記保護された通信段階における前記プロトコルの後続のメッセージが、前記個別暗号鍵（ＳＫ１２ｃ）で暗号化され、前記個別完全性鍵（ＳＫ１２ｉ）で署名されるステップと、を含む請求項３に記載の方法。

【請求項5】

クレデンシャルコンテナ（ＣＣ）を有し、伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、サーバ（ＳＶ）にアタッチされるように適合されたモバイルデバイス（ＭＤ）であって、前記制限が、少なくとも
－特に前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向の各交換におけるデータペイロードの数に関する制限、
－前記サーバ（ＳＶ）から前記モバイルデバイス（ＭＤ）方向及び前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向におけるデータペイロードのサイズの非対称性に関する制限、及び
－前記データペイロード中の一部のデータを暗号化できないことに関する制限、を含み、
前記クレデンシャルコンテナが、
－一群のモバイルデバイス（ＭＤ）と共有されたエフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））と、
－前記サーバ（ＳＶ）と、同じ前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））を有する前記一群のモバイルデバイス（ＭＤ）とに共有された関連グループマスタ鍵（ＭＫ１１）と、
－２つの個別鍵、すなわち個別完全性鍵（ＳＫ１２ｉ）及び個別暗号鍵（ＳＫ１２ｃ）と、を格納し、
前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））及び前記関連グループマスタ鍵（ＭＫ１１）を使用して、さらにサーバランダム値（Ｒｎｄ）を使用しつつ、前記サーバ（ＳＶ）との保護されたセッションを開始し、前記初期設定段階が、前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）への第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）中の限られたペイロードを使用して、前記サーバ（ＳＶ）が保護された通信段階を開始するための鍵を生成できるようにするために前記ＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））からランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を送信し、
前記サーバ（ＳＶ）が、前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）へのメッセージ（ＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３）中の限られたペイロードを使用して送信された前記モバイルデバイス（ＭＤ）の前記クレデンシャルコンテナ（ＣＣ）の識別子（ＣＣＩｄ）と、前記サーバ（ＳＶ）が保有する個別化マスタ鍵（ＭＫ１２）とを使用して前記個別鍵（ＳＫ１２ｉ，ＳＫ１２ｃ）を取得する、前記保護された通信段階の間に前記２つの個別鍵（ＳＫ１２ｉ，ＳＫ１２ｃ）が機能を果たす、ことを特徴とするモバイルデバイス（ＭＤ）。

【請求項6】

前記モバイルデバイス（ＭＤ）が、
－あらかじめ格納されている前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））からランダムに取り出されたＩＭＳＩ値（ｒＩＭＳＩ）を運ぶ少なくともアタッチメント要求を前記サーバ（ＳＶ）に、前記プロトコルに従う第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）で送信するステップと、
－前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）及びサーバランダム値（ＲＮＤ）を使用して固有のセッションの確立を可能にするパラメータを含む、前記サーバ（ＳＶ）からの認証要求を、前記グループマスタ鍵（ＭＫ１１）及び受信した前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して前記サーバ（ＳＶ）側で取得した、導出された完全性鍵（ＳＫ１１ｉ）を使用して署名された前記プロトコルに従う第２のメッセージ（ＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２）で受信するステップと、
－前記グループマスタ鍵（ＭＫ１１）及び前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して導出された暗号鍵（ＳＫ１１ｃ）を使用して暗号化されたクレデンシャルコンテナ（ＣＣ）識別子（ＣＣＩｄ）を、前記グループマスタ鍵（ＭＫ１１）及び前記ランダムに選ばれたＩＭＳＩ値（ｒＩＭＳＩ）を使用して前記クレデンシャルコンテナ（ＣＣ）で導出された完全性鍵（ＳＫ１１ｉ）を使用して署名された前記プロトコルに従う第３のメッセージ（ＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３）で送信するステップと、
－前記個別暗号鍵（ＳＫ１２ｃ）を使用して暗号化された一時的なサブスクリプションを有効にするためにパーソナライズされるコマンド及びパラメータを、前記個別完全性鍵（ＳＫ１２ｉ）を使用して署名された前記プロトコルに従う第４のメッセージ（ＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿４）で受信するステップと、
－前記保護された通信段階における前記プロトコルの後続のメッセージが、前記個別暗号鍵（ＳＫ１２ｃ）で暗号化され、前記個別完全性鍵（ＳＫ１２ｉ）で署名されるステップと、を実行するように適合された、請求項５に記載のモバイルデバイス（ＭＤ）。

【請求項7】

伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、クレデンシャルコンテナ（ＣＣ）を有するモバイルデバイス（ＭＤ）をアタッチするように適合されたサーバ（ＳＶ）であって、前記制限が、少なくとも
－特に前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向の各交換におけるデータペイロードの数に関する制限、
－前記サーバ（ＳＶ）から前記モバイルデバイス（ＭＤ）方向及び前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）方向におけるデータペイロードのサイズの非対称性に関する制限、及び
－前記データペイロード中の一部のデータを暗号化できないことに関する制限、を含み、
前記サーバが、少なくとも
－同じエフェメラルＩＭＳＩ範囲（ＲＧｊ（ＩＭＳＩ））を共有し、前記サーバ（ＳＶ）にアタッチされるように意図された所定数の前記モバイルデバイスのクレデンシャルコンテナ（ＣＣ）群に対する所定数のグループマスタ鍵（ＭＫ１ｊ）であって、前記サーバ（ＳＶ）と、対応する群の全ての前記モバイルデバイスのクレデンシャルコンテナ（ＣＣ）とに共有されるグループマスタ鍵（ＭＫ１ｊ）と、
－前記同じエフェメラルＩＭＳＩ範囲（ＲＧｊ（ＩＭＳＩ））を共有し、前記サーバ（ＳＶ）にアタッチされるように意図された所定数の前記モバイルデバイスのクレデンシャルコンテナ（ＣＣ）群に対する同じ所定数の個別化マスタ鍵（ＭＫ２ｊ）であって、前記対応する群の個別化マスタ鍵（ＭＫ２ｊ）と前記モバイルデバイスのクレデンシャルコンテナの識別子（ＣＣＩｄ）とから導出された２つの個別鍵、すなわち完全性個別鍵（ＳＫ２ｊｉ）及び暗号個別鍵（ＳＫ２ｊｃ）で各モバイルデバイスのクレデンシャルコンテナ（ＣＣ）をパーソナライズするのに使用される個別化マスタ鍵（ＭＫ２ｊ）と、を格納し、
グループ決定モジュールが、一群のモバイルデバイス（ＭＤ）により共有された１つのエフェメラルＩＭＳＩ範囲からランダムに選ばれた受信したＩＭＳＩ（ｒＩＭＳＩ）を用いてグループ（ｊ）を決定するように適合され、
導出モジュールが、第１のグループマスタ鍵（ＭＫ１ｊ）、及び前記対応する群のモバイルデバイスのクレデンシャルコンテナ（ＣＣ）から受信したランダムに選ばれたＩＭＳＩ（ｒＩＭＳＩ）から完全性鍵及び暗号鍵（ＳＫ１ｊｉ，ＳＫ１ｊｃ）を計算し、第２のグループマスタ鍵（ＭＫ２ｊ）及び前記モバイルデバイスのクレデンシャルコンテナの識別子（ＣＣＩｄ）から個別完全性鍵及び個別暗号鍵（ＳＫ２ｊｉ，ＳＫ２ｊｃ）を計算するように適合され、
前記エフェメラルＩＭＳＩ範囲（ＲＧ１（ＩＭＳＩ））及び前記関連グループマスタ鍵（ＭＫ１ｊ）を使用して、さらにサーバランダム値（ＲＮＤ）を使用しつつ、前記モバイルデバイス（ＭＤ）から前記サーバ（ＳＶ）への第１のメッセージ（ＡＴＴＲ（ｒＩＭＳＩ）＿１）中の限られたペイロードを使用する初期設定段階において、前記モバイルデバイスのクレデンシャルコンテナ（ＣＣ）との保護されたセッションを開始して、前記サーバ（ＳＶ）が、前記２つの個別鍵（ＳＫ２ｊｉ，ＳＫ２ｊｃ）を使用して保護された通信段階を開始するための鍵を生成できるようにするために前記ＩＭＳＩ範囲（ＲＧｊ（ＩＭＳＩ））からランダムに選ばれたＩＭＳＩ（ｒＩＭＳＩ）を送信する、ことを特徴とするサーバ（ＳＶ）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、クレデンシャルコンテナを有するモバイルデバイスをサーバに安全にアタッチする方法であって、制限が、少なくとも
－特にモバイルデバイスからサーバ方向の各交換におけるデータペイロードの数に関する制限、
－サーバからモバイルデバイス方向及びモバイルデバイスからサーバ方向におけるデータペイロードのサイズの非対称性に関する制限、及び
－データペイロード中の一部のデータを暗号化できないことに関する制限、
を含む方法に関する。

【0002】

本発明はまた、上記方法を実施するモバイルデバイス及びサーバに関する。

【0003】

本発明は、セルラアクセス、２Ｇ、３Ｇ、４Ｇ／ＬＴＥ、ＮＢ‐ＩＯＴ、及びおそらく関連通信接続サービスのための５Ｇ無線ネットワークを用いるコンシューマ・Ｍ２Ｍデバイスに関する。本発明は、クレデンシャルコンテナとしてＵＩＣＣ、ｅＵＩＣＣ（埋め込み）、ｉＵＩＣＣ（組み込み）又はｓｏｆｔＳｉｍを使用するデバイスに関する。

【背景技術】

【0004】

モバイルデバイスとネットワークとの間で交換されるシグナリングメッセージは、必ずしも暗号化されているとは限らない。デバイスがアタッチ及び認証される前は、非アクセス層（ＮＡＳ）プロトコルは暗号されておらず、アタッチメントの後であっても、シグナリングメッセージは、コアネットワーク（３Ｇの場合のＭＡＰ）又はＥＰＳコア（４Ｇ／ＬＴＥの場合のＤｉａｍｅｔｅｒ）において平文のメッセージで運ばれる。ここで、一般的に５Ｇ通信ではこのような交換も暗号化されることに留意されたい。しかしながら、このような高速のアタッチメントプロトコルにはメッセージについての制限が依然として存在するであろう。シグナリングメッセージがＩＭＳＩ（国際移動体加入者識別番号）、ＯＰＣ、ＭＮＯ（移動体ネットワークオペレータ）情報又は任意のアプリケーションレベルデータなどの機密データを伝達するのに使用される場合、データ交換を保護する、特に機密データを暗号化する必要がある。ＯＰＣは一時的なＭＮＯで認証を得るのに古くから使用されている。ＯＰＣは、次の文書、すなわちＥＴＳＩ ＴＳ １３５ ２０８ Ｖ６．０．０（２０１４－１２）に定義される暗号化された秘密定数ＯＰである。

【0005】

データ交換は、そのようなプロトコル、例えば特許出願ＥＰ１８３０５１５９．８に開示されるＥａｓｙ ＣｏｎｎｅｃｔプロトコルにおけるＭｉｌｅｎａｇｅ認証メッセージにピギーバックされることがよくあるため、インターネット上で使用される伝統的な暗号化スキーマの使用を防ぐデータサイズ符号化制限が存在する。Ｅａｓｙ Ｃｏｎｎｅｃｔのような高速の認証プロトコルの特定の制限を考慮に入れると同時に良好なセキュリティレベルを提供する新しい暗号化スキーマを定義することが必要である。

【0006】

現在、ＵＩＣＣ、ｅＵＩＣＣ及びｉＵＩＣＣとの通信に保護されたチャネルを提供するいくつかの方法が存在する。例えば、ＥＴＳＩ ＴＳ １０２ ２２５に定義されたメカニズム。しかし、Ｅａｓｙ Ｃｏｎｎｅｃｔのようなプロトコルのデータサイズ制限を満たすとともに、データプライバシー、完全性及び信頼性を含む良好なセキュリティレベルを提供できるメカニズムは存在しない。

【0007】

なお、Ｅａｓｙ Ｃｏｎｎｅｃｔダイアログは次の３つのデータペイロード交換である。
－サーバからモバイル：３２バイトペイロード（このうちの一部のビット／バイトは暗号化できない）
－モバイルからサーバ：１４バイトペイロード
－サーバからモバイル：３２バイトペイロード。

【0008】

現在、バイト数が少なく、交換メッセージ数が低減された保護されたセッションを提供する方法はない。

【0009】

したがって、本技術分野における別の代替的かつ有利な解決策が望まれる。

【発明の概要】

【発明が解決しようとする課題】

【0010】

本発明は、認証プロトコルの定義により限られた非対称のペイロードを有する認証メカニズムを保護することを可能にする解決策を提案することを目的とする。

【課題を解決するための手段】

【0011】

本発明は、最も広義には、モバイルデバイスの一群のクレデンシャルコンテナに格納されている同じエフェメラルＩＭＳＩ範囲と、サーバと同じエフェメラルＩＭＳＩ範囲を有するモバイルデバイスの一群のクレデンシャルコンテナとにより共有された関連グループマスタ鍵とを使用して、さらにサーバランダム値を使用する保護されたセッションを開始する初期設定段階を含む方法であって、初期設定段階が、モバイルデバイスからサーバへの第１のメッセージ中の限られたペイロードを使用して、サーバが保護された通信段階を開始するための鍵を生成できるようにするためにＩＭＳＩ範囲からランダムに選ばれたＩＭＳＩを送信し、次に、モバイルデバイスのクレデンシャルコンテナに格納され、同様にモバイルデバイスからサーバへのメッセージ中の限られたペイロードを使用して送信されたクレデンシャルコンテナの識別子と、サーバが保有する個別化マスタ鍵とによってサーバにより取得された個別鍵を使用する方法と定義される。

【0012】

モバイルデバイスのクレデンシャルコンテナの識別子から導出された個別鍵と結合されたグループマスタ鍵と関連付けられた一群のモバイルデバイスのクレデンシャルコンテナによる共有されたＩＭＳＩ範囲の独創的な使用は、サーバ及びモバイルデバイスのクレデンシャルコンテナの信頼性のセキュリティチェックを行うことを可能にする。ＣＣの識別子は、例えば、ＣＣがｅＵＩＣＣである場合はＥＩＤであってよく、ＣＣがＵＩＣＣである場合はＩＣＣＩＤであってよい。

【0013】

本発明は、次のセキュリティ基準に達することを可能にする。
‐データプライバシー： モバイルＵＩＣＣ識別子のようなパーソナルデータは、第三者エンティティが平文で読み取ることができない。
‐完全性： 交換されたデータは第三者エンティティが修正することができない。
‐信頼性： 高速の認証ダイアログの両端はピアが認証されていることが保証される。
‐機密性： 機密データは、第三者エンティティによる傍受を避けるために暗号化される。
‐アンチリプレイ： サーバランダム値及びランダムＩＭＳＩの選択が、ＵＩＣＣがサーバを装うハッカーにより簡単に攻撃されるのを保護する機能を果たすため、以前のプロトコルフルシーケンスを再現することはできない。

【0014】

この解決策は、認証が効果的であるために必要なパラメータだけが送信されるため、サーバからの暗号化データの量を減らし、ランダムに選ばれたＩＭＳＩ及び暗号化された識別子だけをモバイルが送信すればよいため、モバイルにより送信されるデータを最大限に減らすことができる。

【0015】

この解決策は、３ＧＰＰ／ＧＳＭＡ規格の修正を必要とせず、標準的なシグナリングメッセージにピギーバックされるデータペイロードのデータプライバシー、完全性、信頼性、及び機密性を確保することができる。

【0016】

この解決策は、グループ鍵を使用して保護されたセッションを開始した後、セッションクライアントが特定されるとすぐに個別鍵に切り替えて保護されたセッションを継続する。

【0017】

実際、本発明は、対称暗号を使用してモバイルＵＩＣＣ（又はｅＵＩＣＣ又はｉＵＩＣＣ）の暗号化リソースを節約し、ペイロードサイズに対する強い制限に対処するのに適している。対称暗号は、モバイル及びサーバが本発明で規定される２種類の秘密鍵を共有していることを要求する。

【0018】

付加的特徴によれば、サーバによる個別鍵の取得は、同様に初期設定段階の間にモバイルデバイスからサーバへのメッセージの限られたペイロードで送信されたモバイルデバイスの識別子を用いて行われる。

【0019】

このような取得によって、モバイルデバイス及びモバイルデバイスのクレデンシャルコンテナを二重チェックできる可能性がある。

【0020】

有利な実施形態によれば、本発明は、モバイルデバイス側で、
－エフェメラルＩＭＳＩ範囲をクレデンシャルコンテナにおいて受信及び格納するステップと、
－クレデンシャルコンテナ及びサーバにより共有され、同じエフェメラルＩＭＳＩ範囲を有するクレデンシャルコンテナ毎に同じグループマスタ鍵と、モバイルデバイスのクレデンシャルコンテナの識別子及びサーバが保有する個別化マスタ鍵を使用して導出された、個別暗号鍵及び個別完全性鍵と呼ばれる２つの個別鍵とを、クレデンシャルコンテナにおいて受信及び格納するステップと、
を含むプロビジョニング段階を含む。

【0021】

このプロビジョニング段階は、典型的にはモバイルデバイスのクレデンシャルコンテナのパーソナライゼーション時に実行される。この段階は、モバイルデバイスのクレデンシャルコンテナに本発明を実施するのに必要な全てのデータを提供する。

【0022】

有利な実装形態によれば、初期設定段階は、アタッチメントが必要な場合に、モバイルデバイス側で、
－あらかじめ格納されているエフェメラルＩＭＳＩ範囲からランダムに取り出されたＩＭＳＩ値を運ぶ少なくともアタッチメント要求をサーバに、プロトコルに従う第１のメッセージで送信するステップと、
－ランダムに選ばれたＩＭＳＩ値及びサーバランダム値を使用して固有のセッションの確立を可能にするパラメータを含む、サーバからの認証要求を、グループマスタ鍵及び受信したランダムに選ばれたＩＭＳＩ値を使用してサーバ側で取得した、導出された完全性鍵を使用して署名されたプロトコルに従う第２のメッセージで受信するステップと、
－サーバランダム値と、ランダムに選ばれたＩＭＳＩ値と、グループマスタ鍵及びランダムに選ばれたＩＭＳＩ値を使用して導出された暗号鍵とを使用して暗号化されたモバイルクレデンシャルコンテナ識別子を、グループマスタ鍵及びランダムに選ばれたＩＭＳＩ値を使用してクレデンシャルコンテナで導出された完全性鍵を使用して署名されたプロトコルに従う第３のメッセージで送信するステップと、
－個別暗号鍵を使用して暗号化された一時的なサブスクリプションを有効にするためにパーソナライズされるコマンド及びパラメータを、個別完全性鍵を使用して署名されたプロトコルに従う第４のメッセージで受信するステップと、
保護された通信段階におけるプロトコルの後続のメッセージが、個別暗号鍵で暗号化され、個別完全性鍵で署名されるステップと、を含む。

【0023】

典型的には、モバイルクレデンシャルコンテナ識別子を暗号化するのにＡＥＳ ＣＴＲが使用される。ＡＥＳ ＣＴＲは、ランダムに選ばれたＩＭＳＩ ｒＩＭＳＩのＭＳＩＮ部分及びサーバランダムＲＮＤをノンスとして使用してデータを暗号化する。ＡＥＳ‐ＣＴＲの適用については、同じ鍵及び同じノンスが使用され、ＡＥＳ‐ＣＴＲの定義によって、カウンタＣＴＲが増分される。実際、同じ暗号化動作は、カウンタが増分されることのみで行われ、結果はメッセージとのＸＯＲが取られる。

【0024】

それらのステップは、認証要求メッセージ、認証失敗メッセージのフォーマットの下で、プロトコル自体で容易に実行することができる。第１のステップは、本発明がモバイルデバイスをサーバにアタッチさせる必要があるような状況を目指すときのモバイルデバイス自体からのアタッチメント要求である。

【0025】

本発明はまた、クレデンシャルコンテナを有し、伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、サーバにアタッチされるように適合されたモバイルデバイスであって、制限が、少なくとも
‐特にモバイルデバイスからサーバ方向の各交換におけるデータペイロードの数に関する制限、
‐サーバからモバイルデバイス方向及びモバイルデバイスからサーバ方向におけるデータペイロードのサイズの非対称性に関する制限、及び
‐データペイロード中の一部のデータを暗号化できないことに関する制限、を含み、
上記クレデンシャルコンテナが、
‐一群のモバイルデバイスと共有されたエフェメラルＩＭＳＩ範囲と、
‐サーバと、同じエフェメラルＩＭＳＩ範囲を有する一群のモバイルデバイスとに共有された関連グループマスタ鍵と、
‐２つの個別鍵、すなわち個別完全性鍵及び個別暗号鍵と、を格納し、
エフェメラルＩＭＳＩ範囲及び関連グループマスタ鍵を使用して、サーバとの保護されたセッションを開始し、上記初期設定段階が、モバイルデバイスからサーバへの第１のメッセージ中の限られたペイロードを使用して、サーバが保護された通信段階を開始するための鍵を生成できるようにするためにＩＭＳＩ範囲からランダムに選ばれたＩＭＳＩを送信し、
サーバが、モバイルデバイスからサーバへのメッセージ中の限られたペイロードを使用して送信されたモバイルデバイスのクレデンシャルコンテナの識別子と、サーバが保有する個別化マスタ鍵とを使用して個別鍵を取得する、保護された通信段階の間に２つの個別鍵が機能を果たす、ことを特徴とするモバイルデバイスに関する。

【0026】

有利には、上記モバイルデバイスは、
‐あらかじめ格納されているエフェメラルＩＭＳＩ範囲からランダムに取り出されたＩＭＳＩ値を運ぶ少なくともアタッチメント要求をサーバに、プロトコルに従う第１のメッセージで送信するステップと、
‐ランダムに選ばれたＩＭＳＩ値及びサーバランダム値を使用して固有のセッションを確立することを可能にするパラメータを含む、サーバからの認証要求を、グループマスタ鍵及び受信したランダムに選ばれたＩＭＳＩ値を使用してサーバ側で取得した、導出された完全性鍵を使用して署名されたプロトコルに従う第２のメッセージで受信するステップと、
‐グループマスタ鍵及びランダムに選ばれたＩＭＳＩ値を使用して導出された暗号鍵を使用して暗号化されたモバイルクレデンシャルコンテナ識別子を、グループマスタ鍵及びランダムに選ばれたＩＭＳＩ値を使用してクレデンシャルコンテナで導出された完全性鍵を使用して署名されたプロトコルに従う第３のメッセージで送信するステップと、
‐個別暗号鍵を使用して暗号化された一時的なサブスクリプションを有効にするためにパーソナライズされるコマンド及びパラメータを、個別完全性鍵を使用して署名されたプロトコルに従う第４のメッセージで受信するステップと、
‐保護された通信段階におけるプロトコルの後続のメッセージが、個別暗号鍵で暗号化され、個別完全性鍵で署名されるステップと、を実行するように適合される。

【0027】

最後に、本発明は、伝統的な暗号化の使用を防ぐデータサイズ符号化制限があるプロトコルの使用中に、クレデンシャルコンテナを有するモバイルデバイスをアタッチするように適合されたサーバであって、制限が、少なくとも
‐特にモバイルデバイスからサーバ方向の各交換におけるデータペイロードの数に関する制限、
‐サーバからモバイルデバイス方向及びモバイルデバイスからサーバ方向におけるデータペイロードのサイズの非対称性に関する制限、及び
‐データペイロード中の一部のデータを暗号化できないことに関する制限、を含み、
上記サーバが、少なくとも
‐同じエフェメラルＩＭＳＩ範囲を共有し、サーバにアタッチされるように意図された所定数のモバイルデバイスのクレデンシャルコンテナ群に対する所定数のグループマスタ鍵であって、サーバ及び対応する群の全てのモバイルデバイスのクレデンシャルコンテナに共有されるグループマスタ鍵と、
‐同じエフェメラルＩＭＳＩ範囲を共有し、サーバにアタッチされるように意図された所定数のモバイルデバイスのクレデンシャルコンテナ群に対する同じ所定数の個別化マスタ鍵であって、対応する群の個別化マスタ鍵とモバイルデバイスのクレデンシャルコンテナの識別子とから導出された２つの個別鍵、すなわち完全性個別鍵及び暗号個別鍵で各モバイルデバイスのクレデンシャルコンテナをパーソナライズするのに使用される個別化マスタ鍵と、を格納し、
グループ決定モジュールが、一群のモバイルデバイスにより共有された１つのエフェメラルＩＭＳＩ範囲からランダムに選ばれた受信したＩＭＳＩでグループを決定するように適合され、
導出モジュールが、第１のグループマスタ鍵、及び対応する群のモバイルデバイスのクレデンシャルコンテナから受信したランダムに選ばれたＩＭＳＩから完全性鍵及び暗号鍵を計算し、第２のグループマスタ鍵及びモバイルデバイスのクレデンシャルコンテナの識別子から個別完全性鍵及び個別暗号鍵を計算するように適合され、
エフェメラルＩＭＳＩ範囲及び関連グループマスタ鍵を使用して、モバイルデバイスからサーバへの第１のメッセージ中の限られたペイロードを使用する初期設定段階において、モバイルデバイスのクレデンシャルコンテナとの保護されたセッションを開始して、サーバが、２つの個別鍵を使用して保護された通信段階を開始するための鍵を生成できるようにＩＭＳＩ範囲からランダムに選ばれたＩＭＳＩを送信する、ことを特徴とするサーバに関する。「後続のメッセージ」モードについてＡＥＳ‐ＣＴＲカウンタも格納されている。

【0028】

本発明は、とりわけ、公開済みの特許出願ＷＯ２０１８１４１８９５、ＷＯ２０１８１４１８９６、ＷＯ２０１８１４１８９７、未公開の特許出願ＥＰ１８３０６１３４．０、ＥＰ１７３０６９４２．８、ＥＰ１８３０５１５９．８、ＥＰ１８３０５１９１．１に記載するプロトコルに適用される。

【0029】

以上の関連する目的を達成するために、１つ以上の実施形態が、以下で十分に説明され、請求項で特に指摘される特徴を含む。

【図面の簡単な説明】

【0030】

以下の説明及び添付の図面は、特定の例示的な態様について詳細に述べたものであり、実施形態の原理が採用され得る様々な方式のうちの幾つかを示すものである。その他の利点及び新規の特徴は、以下の詳細な説明を図面と併せて検討することで明らかになり、開示される実施形態は、これらの態様及びその同等物を全て含むよう意図されたものである。

【0031】

【図1】本発明の実施に使用される限られたペイロード交換を模式的に示す図。

【図2A】図１に示すフローチャートの第１の部分をより詳細に示す図。

【図2B】図１に示すフローチャートの第２の部分をより詳細に示す図。

【図3】本発明の方法に関与する本発明のエンティティを模式的に示す図。

【発明を実施するための形態】

【0032】

本発明のより完全な理解のために、本発明はこれより添付の図面を参照して詳細に説明される。詳細な説明において、本発明の好適な実施形態であると考えられるものを例示して説明する。当然ながら、本発明の精神から逸脱することなく、形態や内容の様々な修正及び変更を容易に行えることが理解されるべきである。したがって、本発明は、本明細書において図示及び記述される通りの形態及び内容、並びに本明細書に開示され、後で特許請求される発明の全貌に満たないものに限定されるものでなくてもよい。異なる図面において、同一の要素には同一の参照番号が付されている。明確性のために、本発明の理解に役立つ要素及びステップのみが図面に示されており、また説明される。

【0033】

図１は、本発明の方法の実施において使用される、モバイルデバイスＭＤのクレデンシャルコンテナＣＣとサーバＳＶとの間のネットワークＮＷ上での交換のフローチャートを模式的に示している。以下のセクションでは、ＣＣは、用いられている技術が何であれ、モバイルクレデンシャルコンテナ、すなわちＵＩＣＣ、ｅＵＩＣＣ、ｉＵＩＣＣ、又はｓｏｆｔＳｉｍを指す。

【0034】

これらの交換は、モバイルからサーバの方向かサーバからモバイルの方向かによって限られたペイロード及び非対称なペイロードを有する種類のものである。一般に、ペイロードはモバイルからサーバへのメッセージの場合により小さくなる。

【0035】

典型的には、Ｅａｓｙ Ｃｏｎｎｅｃｔダイアログは、ＩＭＳＩを運ぶ初期アタッチメントメッセージＡＴＴＲ（ＩＭＳＩ）＿１を含み、その後に３つのデータペイロード交換、すなわち、サーバＳＶからモバイルＣＣへの認証要求ＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２、モバイルＣＣからサーバＳＶへの認証失敗メッセージＡＵＴＦ（ＡＵＴＳ）＿３、そして最後にもう１つの認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿４が続く。

【0036】

第１のメッセージは、他の目的のために許可されるペイロードがない又はほとんどないＥａｓｙ Ｃｏｎｎｅｃｔプロトコルに既に使用されている１４バイトの限られたペイロードを有する。サーバからモバイルへのメッセージは、例えばＥａｓｙ Ｃｏｎｎｅｃｔプロトコルでは、一部のビット／バイトを使用又は暗号化できない３２バイトペイロードを有する。

【0037】

図３は、本発明を実施するモバイルデバイスＭＤ及びサーバＳＶを模式的に示している。

【0038】

モバイルデバイスＭＤは、エフェメラルＩＭＳＩ範囲ＲＧｊ（ＩＭＳＩ）を格納するクレデンシャルコンテナＣＣを含む。このｒＩＭＳＩ範囲ＲＧｊ（ＩＭＳＩ）は、同じ第１のグループマスタ鍵、ここではＭＫ１ｊを共有するモバイルデバイスのＵＩＣＣ／クレデンシャルコンテナＣＣのグループに結びついている。したがって、第１のグループマスタ鍵ＭＫ１ｊは、同じエフェメラルＩＭＳＩ範囲ＲＧｊ（ＩＭＳＩ）を使用するどのモバイルＵＩＣＣでも同じである。図１ではｊ＝１である。

【0039】

図１に示すクレデンシャルコンテナＣＣはまた、２つの個別鍵と、暗号鍵ＳＫ１２ｃと完全性鍵ＳＫ１２ｉとを格納する。グループｊに属するモバイルＵＩＣＣのパーソナライゼーションプロセスは計算し、そして各カード、すなわちＭＫｊ１、ＳＫｊ２ｃ及びＳＫｊ２iへ格納する。

【0040】

サーバＳＶは、接続が意図されるモバイルデバイスＭＤのグループと同数の第１のグループのマスタ鍵ＭＫｊ１を格納するメモリＭＥＭを含む、又はこれに接続される。

【0041】

サーバＳＶはまた、実際にはサーバＳＶにより管理される第２のグループマスタ鍵である個別化マスタ鍵ＭＫｊ２のテーブルを格納する。各ＭＫｊ２、及びモバイルＵＩＣＣ識別番号、典型的にはＥＩＤ又はＩＣＣＩＤから、サーバＳＶは、各モバイルＵＩＣＣに固有の、ＳＫｊ２ｃ、すなわち個別暗号鍵と、ＳＫｊ２ｉ、すなわち個別完全性鍵とを導出することができる。

【0042】

図２は、本発明の実施をさらに詳しく示している。

【0043】

図２Ａは、データプライバシー、完全性、信頼性、機密性及びアンチリプレイを含む合理的なセキュリティレベルでの暗号化されたセッション、又はダイアログを設定することを可能にする本発明の２つの第１の交換を示している。

【0044】

モバイルＭＤからサーバＳＶへのプロトコルのアタッチメントメッセージＡＴＴＲ（ＩＭＳＩ）＿１は、０バイトペイロードを有し、モバイルＩＭＳＩ値のみを運ぶ。本発明では、このＩＭＳＩは、ステップＰＲ０においてモバイルＣＣにあらかじめ組み込まれたエフェメラルＩＭＳＩ範囲ＲＧｊ（ＩＭＳＩ）から取り出されたランダムＩＭＳＩ値ｒＩＭＳＩである。

【0045】

次に、３２バイトペイロードの認証要求メッセージＡＵＴＲ（ｒＩＭＳＩ）＿１がサーバＳＶによってモバイルデバイスのＣＣ（ＭＤ）に送信される。３２バイトペイロードのうち、一部のバイト、例えばバイト０及び２１が空きではない。Ｅａｓｙ Ｃｏｎｎｅｃｔ技術では、バイト０はＥａｓｙ ＣｏｎｎｅｃｔコマンドＣを特定し、バイト２１は３ＧＰＰ ＴＳ ３３．１０２に準拠したＡＭＦ（認証管理フィールド）エンコーディングに従うものとする。

【0046】

ステップＰＲ１において、アタッチメント要求ＡＴＴＲ（ｒＩＭＳＩ）＿１に答えて認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２を構築する処理がサーバＳＶによって実行される。

【0047】

認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２は、ランダム部ＲＮＤと認証部ＡＵＴＮの２つの部分からなる。

【0048】

処理ステップＰＲ１の間、サーバＳＶは、ランダムに選ばれたｒＩＭＳＩからＩＭＳＩ範囲ＲＧ１（ＩＭＳＩ）を得る。次に、ＣＣ（ＭＤ）にＨＳＳ‐ＭＳＩＮを割り当てることができる。これは後で行うことができる、又はＨＳＳ‐ＭＳＩＮは「後続のメッセージ」にのみ使用されるため、必要となるまさに直前に割り当てられる。したがって、エフェメラルＩＭＳＩ範囲によって、まずサーバＳＶがグループマスタ鍵ＭＫ１１を識別することが可能になる。

【0049】

次に、サーバＳＶは、ＨＳＳランダム値Ｒｎｄを生成し、認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２の署名ＣＭＡＣ用の８バイトランダム値を生成する。

【0050】

サーバＳＶは、受信したランダムに選ばれたｒＩＭＳＩを使用して、ＣＭＡＣ署名を計算するためにマスタ鍵ＭＫ１１から暗号鍵ＳＫ１１ｃを導出する。

【0051】

典型的には、導出は次のようになる。ＳＫ１１ｃ／ＳＫ１１ｉ＝ＳＰ８００－１０８（ＭＫ１１，ｃｏｎｔｅｘｔ＝ｒＩＭＳＩ，ｌａｂｅｌ＝ｌａｂｅｌ１，ＰＲＦ＝ＡＥＳ‐ＣＭＡＣ）、ｌａｂｅｌ１は定義済みの定数である。この導出は、Ｌｉｌｙ Ｃｈｅｎによる２００９年１０月のＮＩＳＴ特別刊行物８００－１０８（Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ ｆｏｒ Ｋｅｙ Ｄｅｒｉｖａｔｉｏｎ Ｕｓｉｎｇ Ｐｓｅｕｄｏｒａｎｄｏｍ Ｆｕｎｃｔｉｏｎｓ）で定義された定義に対応する。

【0052】

次に、サーバＳＶは、完全性鍵ＳＫ１１iを使用して署名ＣＭＡＣ、すなわちＣＭＡＣ（ＳＫ１１i）（０１｜｜．．．｜｜ｐａｄｄｉｎｇ）を計算する。

【0053】

次に、認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２は、第１部分ＲＮＤ及び第２部分ＡＵＴＮにフォーマットされる。このメッセージは、プロトコルが要求する場合を除き暗号化されない。このことは、現在は当てはまらないが、５Ｇ規格では当てはまる可能性がある。

【0054】

示されている例では、第１部分ＲＮＤは、Ｅａｓｙ ＣｏｎｎｅｃｔコマンドＣ、パラメータＩＸ（１バイト）及びＨＳＳランダム値Ｒｎｄの一部分（２つの部分ＲＮＤ及びＡＵＴＮ上で共有された５及び３バイト）を含む。第２部分ＡＵＴＮは、サーバランダム値Ｒｎｄのもう１つの部分と、ＡＭＦと、４バイトのＣＭＡＣ署名とからなる。ペイロードＰＬが、ランダムｒＩＭＳＩ及びサーバランダム値Ｒｎｄを用いて固有のセッションを確立することを可能にするパラメータからなる。ペイロードＰＬは、図２ＡのＥａｓｙ Ｃｏｎｎｅｃｔの例では、部分ＲＮＤの９バイト、部分ＡＵＴＮの３及び５バイトの３つの部分に分割される。ペイロードはＣＭＡＣで署名される。ＣＭＡＣを使用してサーバを認証することが可能になる。

【0055】

モバイルＵＩＣＣはまた、認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２を受信しながら、第１のグループマスタ鍵ＭＫ１１から暗号鍵ＳＫ１１ｃ及び完全性鍵ＳＫ１１iを導出する。すなわち、ＳＫ１１ｃ／ＳＫ１１ｉ＝ＳＰ８００‐１０８（ＭＫ１１，ｃｏｎｔｅｘｔ＝ｒＩＭＳＩ，ｌａｂｅｌ＝ｌａｂｅｌ１，ＰＲＦ＝ＡＥＳ‐ＣＭＡＣ）、ｌａｂｅｌ１は固定された定数である。

【0056】

次に、モバイルＵＩＣＣは、受信したＣＭＡＣを、ＳＫ１１iを使用して計算及びチェックし、ペイロードに受信したｒＩＭＳＩがアタッチメント要求ＡＴＴＲ（ｒＩＭＳＩ）＿１から送信されたｒＩＭＳＩであることを確認する。

【0057】

図２Ｂに示すように、次にモバイルＣＣは、限られたペイロード、ここでは１４バイトを有するモバイルからサーバへの特定の認証失敗メッセージＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３を作成する。ここでバイト０は、Ｅａｓｙ Ｃｏｎｎｅｃｔコマンドを定義するため暗号化されないものとする。このペイロードはモバイルＵＩＣＣの識別子ＣＣＩｄを含むものとする。データプライバシーを確保するために、モバイルＵＩＣＣ識別番号ＣＣＩｄは、機密保持のために暗号化されるものとし、全コマンドは完全性及び信頼性のために署名されるものとする。この図は、データ完全性、及びＡＵＴＳペイロードを送信するモバイル／ＵＩＣＣの信頼性をチェックするためのＣＭＡＣを含む第３のメッセージ暗号化の可能な実装形態を示す。

【0058】

これによって、モバイルＵＩＣＣは、暗号鍵ＳＫ１１ｃと、ランダムに選ばれたエフェメラルｒＩＭＳＩ ＭＳＩＮに対応するＭＳＩＮとを使用してモバイルＵＩＣＣの識別子ＣＣＩｄの暗号化、すなわちＣｉｐｈｅｒ［ＣＩＤ＿１０］ＳＫ１１ｃ＝ＡＥＳ‐ＣＴＲ（ＳＫ１１ｃ，Ｎｏｎｃｅ＝ＭＳＩＮ｜｜Ｒａｎｄｏｍ，ＣＴＲ＝０×００００８１）を進める。ＲＡＮＤＯＭは前の段階で送信されたサーバランダム値Ｒｎｄである。

【0059】

次に、暗号化された識別子に基づいてＣＭＡＣ署名が計算される。計算結果は、利用可能なペイロードに関して必要に応じて切り捨てられる。すなわち、ＣＭＡＣ＝ＡＥＳ‐ＣＭＡＣ（ＳＫ１１i）（０×８１｜｜［ＣＩＤ＿１０］ＳＫ１１ｃ｜｜０×００）の最初の２バイト。

【0060】

これによって、モバイルＵＩＣＣにより返された認証失敗メッセージＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３は、応答コマンドＲｓｐを含む最初のバイトと、１０バイトのＵＩＣＣの暗号化された識別子ＣＣＩｄと、将来の使用のために確保された０×００に設定された空きバイトと、２バイトのＣＭＡＣとからなる。図には暗号化されたデータが太字で示されている。

【0061】

サーバＳＶは、この最後の認証失敗メッセージＡＵＴＦ（ｒＩＭＳＩ，ＡＵＴＳ）＿３を受信した後、導出した完全性鍵ＳＫ１１iをＣＭＡＣをチェックするために、そして導出した暗号鍵ＳＫ１１ｃをＵＩＣＣが識別した１０バイトのＣＩＤを復号するために使用する。ＣＣが受信及び復号したＣＣの識別子ＣＣＩｄ及び内部業務ルールを用いることによって、サーバＳＶは、一時的なＩＭＳＩ ｔ‐ＩＭＳＩ及び雑多なサブスクリプションパラメータを割り当てることができる。

【0062】

次にサーバＳＶは、３２バイトペイロードを有する新しい認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿４を作成する。ここでもバイト０及び２１は第２のメッセージで既に示したように空きではない。

【0063】

サーバＳＶは、第２のグループマスタ鍵ＭＫ２及びＣＣの復号された識別子ＣＣＩｄを使用して、２つの個別鍵ＳＫ１２ｃ及びＳＫ１２ｉを導出する。すなわち、ＳＫ１２ｃ／ＳＫ１２ｉ＝ＳＰ８００‐１０８（ＭＫ２［ＩＸ０］，ｃｏｎｔｅｘｔ＝ＣＩＤ＿１６，ｌａｂｅｌ＝ｌａｂｅｌ２，ＰＲＦ＝ＡＥＳ‐ＣＭＡＣ）。ここでＩＸ０は、使用するグループマスタ鍵ＭＫ２を選択するのに使用される。

【0064】

次に、サーバＳＶは、ｒＩＭＳＩ ＭＳＩＮ及びサーバランダム値Ｒｎｄから構成されるノンスを用いたＡＥＳ‐ＣＴＲを使用して、メッセージＰＬ１のＲＮＤ部分の１０バイト、並びにメッセージＰＬ２及びＰＬ３のＡＵＴＮ部分の６及び９バイトの３つのペイロード部分に分割されたペイロードＰＬ及びＴｉｍｅｏｕｔ及びＩｎｄｅｘを暗号化する。

【0065】

次に、サーバＳＶは、認証要求メッセージのＲＮＤ部分の２つの最後のバイトに挿入されるＣＭＡＣ署名を計算する。すなわち、ＣＭＡＣ＝ＡＥＳ‐ＣＭＡＣ（ＳＫ１２i）［Ｒｎｄ｜｜［Ｃｍｄ］｜｜［Ｄａｔａ］ＳＫ１２ｃ］の２つの最上位バイト。

【0066】

ランダムＲｎｄは実際、いわゆるビーコンランダムである。すなわち、ｅＩＭＳＩ｜｜ｔｉｍｅＷｉｎｄｏｗ｜｜ａｎ－ｉｎｔｅｎａｌ－ｇｒｏｕｐ－ｓｅｃｒｅｔのＳＨＡ２５６。したがって、最終的にこれはサーバから見れば決定論的値であるが、他のエンティティにとっては完全なランダム値に見える。これは次の問題を解決するのに使用される。すなわち、クレデンシャルコンテナ、典型的にはカードと、サーバとが一緒に対話するときに、同じメッセージがいくつかのスイッチを介して繰り返す可能性がある。したがって、カードは同じＰＲＯＶＩＤＥ ＥＩＤコマンドを何度も受信し、どれがうまくいくのかを知らずに何度も応答することになる。同じことはサーバ側でも起こる。サーバは、ＰＲＯＶＩＤＥ ＥＩＤ応答を何度も受信し、何度もＩＭＳＩ ＳＷＩＴＣＨコマンドを指示することになる。したがって、使用されないＩＭＳＩの割り当てを回避するためにサーバ側でメッセージを相互に関連付けやすいことが望ましい。

【0067】

ランダム値ＲｎｄをＰＲＯＶＩＤＥ ＥＩＤ応答のＣＭＡＣに付加するカードを使用することは、これを処理状態を把握せずに行う方法である。サーバは、ＣＭＡＣを有効化するために、現在の時間ウィンドウからのものから前のものなど、いくつかのランダム値を試すことになる。サーバがランダムを見つけた場合は、デバイスとサーバとがＡＥＳ‐ＣＴＲノンスの主要部分について合意したことを意味する。ランダム値Ｒｎｄはある種の会話相関子のような役割を果たし、サーバは状態を維持する必要がない。サーバは受信メッセージを解析するだけでよい。

【0068】

したがって、返されたメッセージは、データ完全性、及びＲＮＤ／ＡＵＴＮペイロードを送信するサーバの信頼性をチェックするＣＭＡＣを含む。

【0069】

このペイロードは、一時的なサブスクリプションを有効にするためにパーソナライズされるコマンド及びパラメータを含む。パラメータは暗号化され、全コマンドは、この段階においてカード／モバイルがサーバによって特定されたときに署名される。

【0070】

これによって、個別鍵ＳＫ２ｊｉ及びＳＫ２ｊｃは、サブスクリプションクレデンシャルのような機密データを安全にモバイルＵＩＣＣにダウンロードすることができる。

【0071】

第２の認証要求メッセージＡＵＴＲ（ＲＮＤ，ＡＵＴＮ）＿２がモバイルＵＩＣＣで受信されると、ＣＣは個別鍵ＳＫ１２ｃ及びＳＫ１２ｉを使用し、受信したメッセージの暗号化された部分から３０バイトを抽出する。すなわち、ＲＮＤ［２‐１３］，ＡＵＴＮ［０．．．５］，ＲＮＤ［１］及びＡＵＴＮ［７．．．１５］から［Ｄａｔａ］ＳＫ１２ｃ。

【0072】

次に、モバイルＵＩＣＣは、ＣＭＡＣ＝ＡＥＳ‐ＣＭＡＣ（ＳＫ１２ｉ）［Ｒｎｄ｜｜［Ｃｍｄ］｜｜［Ｄａｔａ］ＳＫ１２ｃ］の２つの最上位バイトを計算及びチェックする。モバイルＵＩＣＣは、［Ｄａｔａ］ＳＫ１２ｃを復号し、ＭＫ１３［ＩＸ１］から一時的な通信鍵ｔ‐Ｋｉ鍵を導出する。すなわち、ｔ‐Ｋｉ＝ＳＰ８００‐１０８（ＭＫ１３［ＩＸ１］，ｃｏｎｔｅｘｔ＝ｔ‐ＩＭＳＩ‐Ｉｎｆｏ，ｌａｂｅｌ＝ｌａｂｅｌ３，ＰＲＦ＝ＡＥＳ‐ＣＭＡＣ）。コンテキストは一時的なｔ‐ＩＭＳＩ及び他の何らかのメタデータを含むことがある。ここで導出関数において、ｔ‐ＩＭＳＩと関連付けられた一時的なＫｉを計算するために第３のマスタ鍵ＭＫ１３が使用される。実際にはいくつかのＭＫ１３値が存在する。すなわち一度に１つずつ使用される。ＩＸ１は、前のＭＫ１３が危殆化された場合に別のものを使用するように変更可能なインデックスである。

【0073】

次に、モバイルＣＣは、カードＩＭＳＩをｔ‐ＩＭＳＩに、ＫＩをｔ‐ＫＩに変更し、関連サブスクリプションパラメータは、メッセージペイロードに送信された少なくともＯＰＣを含む。

【0074】

本発明では、２つの秘密鍵ＳＫｊ１ｃ及びＳＫｊ１ｉは、定義済みの定数であるラベルと、アタッチメントメッセージを作成している間にカードにより選択されたランダムに選ばれたエフェメラルＩＭＳＩとを使用して、第１のグループマスタ鍵ＭＫｊ１から導出される。これらの鍵は、モバイルＵＩＣＣ ＣＣ及びサーバＳＶ間の相互認証を可能にし、モバイルＵＩＣＣ識別子ＣＩＤプライバシーを守る。例えば、標準的な導出アルゴリズム、すなわち、ＡＥＳ ＮＩＳＴ ＳＰ８００‐１０８（ＭＫｊ１，ｎｏｎｃｅ＝ｒＩＭＳＩ，ｌａｂｅｌ１）が使用される。ランダムに選ばれたｒＩＭＳＩの使用によって、サーバＳＶ及びカード／モバイルＣＣの両方が、このランダムに選ばれ送信されたｒＩＭＳＩにより特定されたセッションに関連する同じ専用の秘密鍵ＳＫｊ１ｃ及びＳＫｊ１ｉを導出することが可能になる。その結果、導出されたＳＫｊ１鍵は、ランダムに選ばれた新しいｒＩＭＳＩとともに毎回変化する。これによりＳＫｊ１鍵が危殆化されるリスクを低減することが可能になる。

【0075】

ラベルは、一群のクレデンシャルコンテナに対して本発明のシステムにおけるオンボード時に選ばれる。このようなラベルは、ＮＩＳＴ仕様に記載された種類のもの、すなわち導出した鍵材料の目的を特定する文字列であって、２進列として符号化されたものである。ラベルの符号化方法は、より大きなコンテキスト、例えばＫＤＦを使用するプロトコルで定義されている。ラベルは一般に、サイズが一般に制限されて（ここでは６バイト）ランダムに選ばれる。

【0076】

他の２つの秘密鍵ＳＫｊ２ｃ及びＳＫｊ２ｉが、これもまた定義済みの定数であるラベル２と、ＮＩＳＴ特別刊行物８００‐１０８、すなわち、サーバＳＶにより第２の認証要求メッセージのペイロードに転送された、疑似ランダム関数を用いた鍵導出の勧めで知られているＥＩＤ又はＩＣＣＩＤである可能性があるカード識別子ＣＩＤとを使用して、サーバによって第２のグループマスタ鍵ＭＫｊ２から導出される。モバイルＵＩＣＣは、これらの導出された鍵でパーソナライズされる。例えば、標準的な導出アルゴリズム、すなわち、ＡＥＳ ＮＩＳＴ ＳＰ８００‐１０８（ＭＫｊ２，ｃｏｎｔｅｘｔ＝ＥＩＤ（又はＩＣＣＩＤ），ｌａｂｅｌ＝ｌａｂｅｌ２，ＰＲＦ＝ＡＥＳ‐ＣＭＡＣ）が使用される。可変ノンスの使用によって、サーバＳＶ及びカード／モバイルＣＣの両方が、固有鍵ＳＫｊ２ｃ及びＳＫｊ２ｉを共有することが可能になる。ＳＫｊ２ｉ又はＳＫｊ２ｃが危殆化されたとしても、１つのカード／モバイルＣＣにしか影響を与えない。

【0077】

ＳＫｊ１ｃを使用して、サーバＳＶから受信した第２の認証要求メッセージのペイロードを暗号化する。ＳＫｊ２ｃを使用して、モバイルＣＣがサーバＳＶに答えた最後のメッセージのペイロードを暗号化する。暗号化されるペイロードは、ペイロードサイズが古典的な暗号ブロックサイズ（ＡＥＳの場合は１２８ビット）より小さいか又はその倍数ではなく、パディングを付加するのに利用可能なバイトが十分でないため、正規の暗号ブロックではない。例えば、サーバＳＶにより送信された第１の認証要求メッセージは暗号化された１０バイトを必要とし、サーバＳＶにより送信された第２の認証要求メッセージは暗号化された２７～２９バイトを必要とする。ペイロードサイズは、シグナリングネットワーク認証プロトコルにより定められるため変更することができない。

【0078】

本発明は、パディングなしに任意の数のバイトを暗号化できる任意の暗号化アルゴリズムを使用する。例えば、本発明は、ＵＩＣＣランダム（ＩＭＳＩ）及びサーバランダム値をノンスとして使用するＡＥＳ‐ＣＴＲを使用してカウンタブロックを生成することができる。また、カウンタ値は、ＡＥＳ‐ＣＴＲの使用に起因する既知の攻撃を回避するために各メッセージ専用である。

【0079】

ＳＫｊ１ｉは、サーバＳＶにより送信された第１の認証要求メッセージと、モバイルにより送信された認証失敗メッセージ、すなわち、図２Ｂに示す第１のメッセージとのペイロードの完全性をチェックするのに使用される。ＳＫｊ２ｉは、サーバにより送信された第２の認証要求メッセージ、すなわち、図２Ａ及び２Ｂに示すメカニズムの第４のメッセージのペイロードの完全性をチェックするのに使用される。完全性をチェックするために、本発明は、完全性鍵（それぞれＳＫｊ１ｉ及びＳＫｊ２ｉ）により暗号化されたペイロードのＭＡＣ（メッセージ認証コード）を計算する。例えば、本発明はＡＥＳ‐ＣＭＡＣアルゴリズムを使用することができる。いくつかのダイアログが共通のＩＭＳＩによって連鎖されている場合、後続のダイアログの全てのメッセージは、ＳＫｊ２ｃで暗号化され、ＳＫｊ２ｉで署名されて最大限の保護を保証する。

【0080】

以下の表は、モバイルＵＩＣＣ ＣＣとサーバＳＶとの間のダイアログの各メッセージの暗号化方法をまとめたものである。

【0081】

【表1】

【0082】

以上の詳細な説明では、本発明が実施され得る特定の実施形態を一例として示す添付の図面が参照される。これらの実施形態は、当業者が本発明を実施できるのに十分な程度に詳細に記載されている。したがって、以上の詳細な説明は限定的な意味で理解されるべきものではなく、本発明の範囲は添付の特許請求の範囲によってのみ定義され、特許請求の範囲の均等物の全範囲とともに、適切に解釈されるものである。本発明の範囲を逸脱することなく、当業者によって多くの変更及び修正がなされることがある。したがって、示された実施形態は例示目的でのみ記載されており、次の特許請求の範囲及びそれらの様々な実施形態により定義される本発明を制限するものと考えるべきではないことが理解されなければならない。

【図1】

【図2A】

【図2B】

【図3】

【国際調査報告】