特表 2021-521748 物理的複製困難関数を使用して暗号鍵をオンボードで生成するための方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2021-521748(P2021-521748A)

(43)【公表日】2021年8月26日

(54)【発明の名称】物理的複製困難関数を使用して暗号鍵をオンボードで生成するための方法

(51)【国際特許分類】

   H04L 9/10 20060101AFI20210730BHJP

   H04L 9/08 20060101ALI20210730BHJP

   G06F 7/58 20060101ALI20210730BHJP

【ＦＩ】

   H04L9/00 621Z

   H04L9/00 601B

   H04L9/00 601F

   G06F7/58 620

【審査請求】有

【予備審査請求】未請求

【全頁数】19

(21)【出願番号】特願2021-508071(P2021-508071)

(86)(22)【出願日】2019年4月24日

(85)【翻訳文提出日】2020年12月8日

(86)【国際出願番号】EP2019060525

(87)【国際公開番号】WO2019207001

(87)【国際公開日】20191031

(31)【優先権主張番号】18305522.7

(32)【優先日】2018年4月26日

(33)【優先権主張国】EP

(81)【指定国】 AP(BW,GH,GM,KE,LR,LS,MW,MZ,NA,RW,SD,SL,ST,SZ,TZ,UG,ZM,ZW),EA(AM,AZ,BY,KG,KZ,RU,TJ,TM),EP(AL,AT,BE,BG,CH,CY,CZ,DE,DK,EE,ES,FI,FR,GB,GR,HR,HU,IE,IS,IT,LT,LU,LV,MC,MK,MT,NL,NO,PL,PT,RO,RS,SE,SI,SK,SM,TR),OA(BF,BJ,CF,CG,CI,CM,GA,GN,GQ,GW,KM,ML,MR,NE,SN,TD,TG),AE,AG,AL,AM,AO,AT,AU,AZ,BA,BB,BG,BH,BN,BR,BW,BY,BZ,CA,CH,CL,CN,CO,CR,CU,CZ,DE,DJ,DK,DM,DO,DZ,EC,EE,EG,ES,FI,GB,GD,GE,GH,GM,GT,HN,HR,HU,ID,IL,IN,IR,IS,JO,JP,KE,KG,KH,KN,KP,KR,KW,KZ,LA,LC,LK,LR,LS,LU,LY,MA,MD,ME,MG,MK,MN,MW,MX,MY,MZ,NA,NG,NI,NO,NZ,OM,PA,PE,PG,PH,PL,PT,QA,RO,RS,RU,RW,SA,SC,SD,SE,SG,SK,SL,SM,ST,SV,SY,TH,TJ,TM,TN,TR,TT

(71)【出願人】

【識別番号】520414848

【氏名又は名称】タレス・ディス・デザイン・サービシズ・エス・ア・エス

(74)【代理人】

【識別番号】110001173

【氏名又は名称】特許業務法人川口國際特許事務所

(72)【発明者】

【氏名】デュバル，バンジャマン

(72)【発明者】

【氏名】ベルザチ，アレクサンドル

(72)【発明者】

【氏名】フルカン，オリビエ

(57)【要約】

本発明は、少なくとも１つの素数から暗号鍵を生成するための方法であって、少なくとも１つのハードウェアプロセッサと、物理的複製困難関数（２０８）と、少なくとも１つのチャレンジ（Ｃｉ）および少なくとも１つの関連付けられるインクリメント数（Ｓｐｉ）を記憶するメモリ（２０４、２０５）とを備える暗号デバイス（１０１）であって、前記関連付けられるインクリメント数は、前記物理的複製困難関数を使用して前記チャレンジから取得されるシードから前記少なくとも１つの素数を生成するために事前定義された暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数である、暗号デバイス（１０１）によりランタイムにおいて実施される、以下のステップ： − 前記メモリからチャレンジおよび少なくとも１つの関連付けられるインクリメント数を取得するステップ（ＲＳ１）、 − 前記物理的複製困難関数を前記取得されたチャレンジに適用することによりシードを生成するステップ（ＲＳ２）、 − 前記暗号素数生成アルゴリズムを実施することにより、および、その暗号素数生成アルゴリズムにおいて、前記取得された少なくとも１つのインクリメント数と同数のインクリメンテーションステップを実施することにより、前記生成されたシードから前記少なくとも１つの素数を生成するステップ（ＲＳ３）、 − 前記生成された素数から前記暗号鍵を生成するステップ（ＲＳ４）を含む、方法に関する。

【特許請求の範囲】

【請求項1】

少なくとも１つの素数から暗号鍵を生成するための方法であって、
少なくとも１つのハードウェアプロセッサ（２０１）と、物理的複製困難関数（２０８）と、少なくとも１つのチャレンジ（Ｃｉ）および少なくとも１つの関連付けられるインクリメント数（Ｓｐｉ）を記憶するメモリ（２０４、２０５）とを備える暗号デバイス（１０１）であって、前記関連付けられるインクリメント数は、前記物理的複製困難関数を使用して前記チャレンジから取得されるシードから前記少なくとも１つの素数を生成するために事前定義された暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数である、暗号デバイス（１０１）によりランタイムにおいて実施される、以下のステップ、
前記メモリからチャレンジおよび少なくとも１つの関連付けられるインクリメント数を取得するステップ（ＲＳ１）、
前記物理的複製困難関数を前記取得されたチャレンジに適用することによりシードを生成するステップ（ＲＳ２）、
前記暗号素数生成アルゴリズムを実施することにより、および、その暗号素数生成アルゴリズムにおいて、前記取得された少なくとも１つのインクリメント数と同数のインクリメンテーションステップを実施することにより、前記生成されたシードから前記少なくとも１つの素数を生成するステップ（ＲＳ３）、
前記生成された素数から前記暗号鍵を生成するステップ（ＲＳ４）
を含む、方法。

【請求項2】

登録段階の間に前記暗号デバイス（１０１）により実施される、以下のステップ、
暗号デバイスの前記物理的複製困難関数をチャレンジ（Ｃｉ）に適用することによりシードを生成するステップ（ＥＳ１）、
暗号デバイスの前記メモリ内に、前記チャレンジ（Ｃｉ）、および、前記シードから前記素数を生成するために暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数として規定される、少なくとも１つの関連付けられるインクリメント数（Ｓｐｉ）を記憶するステップ（ＥＳ２）
を含む、請求項１に記載の方法。

【請求項3】

前記暗号デバイスにより実施される、前記暗号デバイスに接続されるサーバからの前記チャレンジの受信のステップ（ＥＳ０）と、前記サーバへの前記生成されたシードの送信のステップ（ＥＳ１１１）とをさらに含む、請求項２に記載の方法。

【請求項4】

登録段階の間に、前記サーバにより実施される、
暗号デバイスに前記チャレンジを送出するステップ（ＥＳ０）、
暗号デバイスから前記生成されたシードを受信するステップ（ＥＳ１１１）、
暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、前記シードから素数を生成するステップ（ＥＳ１１２）、
前記暗号デバイスに、メモリ内に記憶するために、前記素数を生成するために前記暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、前記少なくとも１つのインクリメント数を送出するステップ（ＥＳ１１３）
を含む、請求項３に記載の方法。

【請求項5】

前記暗号デバイスにより実施される、
前記チャレンジを生成するステップ（ＥＳ０’）、
暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、前記シードから素数を生成し、前記素数を生成するために前記暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、前記少なくとも１つの関連付けられるインクリメント数を生成するステップ
をさらに含む、請求項２に記載の方法。

【請求項6】

前記暗号素数生成アルゴリズムが、ＦＩＰＳ １８６−４付録Ａ．１．１．２およびＡＮＳ Ｘ９．３１、ｒＤＳＡの中の１つである、請求項１から５のいずれか一項に記載の方法。

【請求項7】

前記暗号鍵が、ＲＳＡ鍵またはＥＣＣ鍵の中の１つである、請求項１から６のいずれか一項に記載の方法。

【請求項8】

少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で作動させられるとき、請求項１から７のいずれか一項に記載のステップを実施するためのソフトウェアコード命令を備える、コンピュータプログラム製品。

【請求項9】

少なくとも１つのハードウェアプロセッサ（２０１）を備える暗号デバイス（１０１）により実行されるとき、請求項１から７のいずれか一項に記載のステップを実施する実行可能コンピュータコードを記憶する、非一時的コンピュータ可読媒体。

【請求項10】

請求項１から７のいずれか一項に記載のステップを実施するように構成される少なくとも１つのハードウェアプロセッサ（２０１）、
チャレンジおよび関連付けられるインクリメント数を記憶するための少なくとも１つのメモリ（２０３、２０４、２０５）
を備える、暗号デバイス（１０１）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号鍵生成方法およびデバイスの分野に関し、より詳しくは、物理的複製困難関数を使用するオンボード鍵生成に関する。

【背景技術】

【0002】

暗号アルゴリズムは、一般に、暗号化により通信のプライバシーを確実にするために、認証のために、または、検証可能な署名を生成するために使用される。大部分の暗号アルゴリズムは、任意の暗号動作を実施するために暗号鍵を要する。そのような鍵は、暗号アルゴリズムの最初の使用の前に暗号デバイスのメモリ内に記憶されることになっており、後で、例えば元の鍵に欠陥があるとき、更新されなければならないことがある。

【0003】

鍵生成プロセスは、たいていは、素数から新しい暗号鍵をつくり上げる。結果として、それは、たいていは、そのような素数を得るための、ミラーラビンテストなどの素数性テストを実施することを含む。

【0004】

そのようなテストは、コストのかかる動作である、べき乗剰余を計算することを含む。ＳＩＭカード、銀行カード、または他のスマートカードなどの、いくつかの暗号デバイスは、低い処理能力を有するので、暗号鍵を更新することに関連付けられる算出コストを減少するための方法が探究されてきた。

【0005】

第１の既存の解決策は、新しい素数および新しい鍵を計算することなく、暗号鍵を新しいものにより変化させることができるために、デバイス上に複数個の鍵を記憶することである。そのような解決策の第１の問題は、デバイス内に組み込まれる鍵の数は、その個人化（ｐｅｒｓｏｎａｌｉｚａｔｉｏｎ）ステップの後に拡張され得ないということである。別の問題は、デバイス内に複数個の鍵を記憶することは、不揮発性メモリ（ＮＶＭ）消費を増大し、デバイスから有効な鍵を得ようとする攻撃（ダンプ、プロービング…）のリスクを増大するということである。

【0006】

第２の既存の解決策は、デバイス内にシードを記憶することであり、それらのシードから、素数は迅速に生成され得る。シードを使用することは、新しい素数を生成することのコストを低減するが、それは、先の解決策と同じ欠点を有する。

【0007】

第３の既存の解決策は、必要とされるとき、認証局などの遠隔（ｄｉｓｔａｎｔ）サーバから鍵をダウンロードすることである。そのような解決策は、無視できる算出コストを有し、デバイス内に記憶されるいかなるデータも攻撃に対して露出させない。他方で、それは、暗号デバイスに加えて、いくらかの追加的なインフラストラクチャを維持することを要し、盗聴を回避するために、サーバへのセキュアなリンクを要する。

【先行技術文献】

【非特許文献】

【0008】

【非特許文献1】ｈｔｔｐ：／／ｗｗｗ．ｘ９．ｏｒｇ

【発明の概要】

【発明が解決しようとする課題】

【0009】

結果として、制限される算出コストおよびメモリフットプリントを伴う、ならびに、新しい鍵の、または、対応するシードの露出のより低いリスクを伴う、ランタイムにおいて暗号デバイス上で利用可能な新しい暗号鍵を作製することを可能にする方法に対する必要性が依然として存する。

【課題を解決するための手段】

【0010】

この目的のために、および、第１の態様によれば、本発明は、それゆえに、少なくとも１つの素数から暗号鍵を生成するための方法であって、少なくとも１つのハードウェアプロセッサと、物理的複製困難関数と、少なくとも１つのチャレンジおよび少なくとも１つの関連付けられるインクリメント数を記憶するメモリとを備える暗号デバイスであって、前記関連付けられるインクリメント数は、前記物理的複製困難関数を使用して前記チャレンジから取得されるシードから前記少なくとも１つの素数を生成するために事前定義された暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数である、暗号デバイスによりランタイムにおいて実施される、以下のステップ：
− 前記メモリからチャレンジおよび少なくとも１つの関連付けられるインクリメント数を取得するステップ、
− 前記物理的複製困難関数を前記取得されたチャレンジに適用することによりシードを生成するステップ、
− 前記暗号素数生成アルゴリズムを実施することにより、および、その暗号素数生成アルゴリズムにおいて、前記取得された少なくとも１つのインクリメント数と同数のインクリメンテーションステップを実施することにより、前記生成されたシードから前記少なくとも１つの素数を生成するステップ、
− 前記生成された素数から前記暗号鍵を生成するステップ
を含む、方法に関する。

【0011】

第１の態様による方法は、登録段階の間に前記暗号デバイスにより実施される、以下のステップ：
− 暗号デバイスの前記物理的複製困難関数をチャレンジに適用することによりシードを生成するステップ、
− 暗号デバイスの前記メモリ内に、前記チャレンジ、および、前記シードから前記素数を生成するために暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数として規定される、少なくとも１つの関連付けられるインクリメント数を記憶するステップ
をも含み得る。

【0012】

そのような方法は、素数性テストを含めて、新しい暗号鍵が必要とされる前に、登録において計算の大部分を為すことを可能にする。ランタイムにおいて、暗号鍵は、低減されたコストで暗号により生成され得る。加えて、暗号デバイス内に記憶されるデータ（チャレンジおよび関連付けられるインクリメント数）は、極秘データではない。攻撃者は、それを使用して鍵を生成することはできず、なぜならば、彼は、正しいシードを生成するために必須である、暗号デバイスの物理的複製困難関数を再現することができないからである。

【0013】

第１の実施形態によれば、第１の態様による方法は、前記暗号デバイスにより実施される、前記暗号デバイスに接続されるサーバからの前記チャレンジの受信のステップと、前記サーバへの前記生成されたシードの送信のステップとをさらに含み得る。

【0014】

この第１の実施形態において、第１の態様による方法は、登録段階の間に、前記サーバにより実施される：
− 暗号デバイスに前記チャレンジを送出するステップ、
− 暗号デバイスから前記生成されたシードを受信するステップ、
− 暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、前記シードから素数を生成するステップ、
− 前記暗号デバイスに、メモリ内に記憶するために、前記素数を生成するために前記暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、前記少なくとも１つのインクリメント数を送出するステップ
をさらに含み得る。

【0015】

そのようにすることにより、登録段階において、算出の大部分はサーバにより実施され、そのことは、サーバのより大きい計算能力から利益を得ることを可能にする。

【0016】

第２の実施形態によれば、第１の態様による方法は、前記暗号デバイスにより実施される：
− 前記チャレンジを生成するステップ、
− 暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、前記シードから素数を生成し、前記素数を生成するために前記暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、前記少なくとも１つの関連付けられるインクリメント数を生成するステップ
をさらに含み得る。

【0017】

そのような場合において、登録段階においてのすべての計算は、暗号デバイスにより実施され、そのことは、遠隔サーバとメッセージを交換することを回避し、セキュリティを改善する。

【0018】

暗号素数生成アルゴリズムは、ＦＩＰＳ １８６−４付録Ａ．１．１．２およびＡＮＳ Ｘ９．３１、ｒＤＳＡの中の１つであり得る。

【0019】

暗号鍵は、ＲＳＡ鍵またはＥＣＣ鍵の中の１つであり得る。

【0020】

第２の態様によれば、本発明は、それゆえに、少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で作動させられるとき、第１の態様による方法のステップを実施するためのソフトウェアコード命令を備える、コンピュータプログラム製品にも関する。

【0021】

第３の態様によれば、本発明は、それゆえに、少なくとも１つのハードウェアプロセッサを有する処理システムを備える暗号デバイスにより実行されるとき、第１の態様による方法を実施する実行可能コンピュータコードを記憶する、非一時的コンピュータ可読媒体にも関する。

【0022】

第４の態様によれば、本発明は、それゆえに：
− 第１の態様による方法を実施するように構成される少なくとも１つのハードウェアプロセッサ、
− チャレンジおよび関連付けられるインクリメント数を記憶するための少なくとも１つのメモリ
を備える、暗号デバイスにも関する。

【0023】

以下の説明、および、添付される図面は、所定の例示的な態様を詳細に論述し、実施形態の原理が用いられ得る様々な方法のうちのほんの少数のものを指し示す。他の利点、および、新規の特徴は、図面と併せて考察されるとき、以下の詳細に述べられる説明から明らかになることになり、開示される実施形態は、すべてのそのような態様、および、それらの均等を含むことを意図される。

【図面の簡単な説明】

【0024】

【図1】本発明の実施形態によるシステムの概略的例示の図である。

【図2】本発明の実施形態による暗号デバイスの概略的例示の図である。

【図3】本発明の実施形態による暗号デバイスの物理的複製困難関数の概略的例示の図である。

【図4a】本発明の登録段階の、実施形態を概略的に例示する図である。

【図4b】本発明の登録段階の、実施形態を概略的に例示する図である。

【図5】本発明の実施形態によるランタイム段階を概略的に例示する図である。

【図6】素数を生成するために使用される暗号素数生成アルゴリズムがアルゴリズムＡＮＳ Ｘ９．３１である実装の例を概略的に例示する図である。

【図7】素数を生成するために使用される暗号素数生成アルゴリズムがアルゴリズムＡＮＳ Ｘ９．３１である実装の例を概略的に例示する図である。

【発明を実施するための形態】

【0025】

下記で詳細に述べられる説明において、例示として、本発明が実践され得る特定の実施形態を示す、添付図面に対して参照が為される。これらの実施形態は、当業者が本発明を実践することを可能にするのに十分詳細に説明される。本発明の様々な実施形態は、異なっていても、必ずしも相互に排他的ではないということが理解されるべきである。例えば、１つの実施形態に関して本明細書において説明される、個別の特徴、構造、または特性は、本発明の趣旨および範囲から逸脱することなく、他の実施形態の中で実装され得る。加えて、各々の開示される実施形態の中の個々の要素の位置または配置は、本発明の趣旨および範囲から逸脱することなく修正され得るということが理解されるべきである。下記で詳細に述べられる説明は、それゆえに、制限的な意味で解されるべきではなく、本発明の範囲は、単に、適切に解釈される、添付される特許請求の範囲により、特許請求の範囲が権利を与えられる均等の最大限の範囲と共に定義される。

【0026】

本発明は、暗号デバイス１０１が、要望に応じて、制限される算出コストで、１つ以上の暗号鍵、例えば、対称暗号化／復号化のための鍵、または、非対称暗号化アルゴリズムのための公開鍵−プライベート鍵ペアを生成するために必要とされる、少なくとも１つの素数を生成することを可能にする方法を提供することを目標とする。

【0027】

ＦＩＰＳ １８６−４付録Ａ．１．１．２、および、金融サービスに関する認定基準委員会（Ａｃｃｒｅｄｉｔｅｄ Ｓｔａｎｄａｒｄｓ Ｃｏｍｍｉｔｔｅｅ）、Ｘ９（ｈｔｔｐ：／／ｗｗｗ．ｘ９．ｏｒｇを参照されたい）により米国規格協会に対して開発された、ＡＮＳ Ｘ９．３１（１９９８年に承認されたバージョン）、ｒＤＳＡ 金融サービス業界用の可逆公開鍵暗号を使用するデジタル署名（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ Ｕｓｉｎｇ Ｒｅｖｅｒｓｉｂｌｅ Ｐｕｂｌｉｃ Ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ｆｏｒ ｔｈｅ Ｆｉｎａｎｃｉａｌ Ｓｅｒｖｉｃｅｓ Ｉｎｄｕｓｔｒｙ）などの、シード値から素数を生成する、いくつかのよく知られているアルゴリズムが存在する。

【0028】

そのようなアルゴリズムは、シードから計算される、ある値をインクリメントすることにより候補数を取得し、次いで、この候補数の素数性をテストすることを、素数性テストが肯定的であるまで繰り返し行うことにより、シード値から少なくとも１つの素数を生成する。そのような種類の算出は、非常に高価であり得る。

【0029】

本発明の主な考え方は、そのような算出を、素数が実際に必要とされるランタイム段階の前に、登録段階の間に実施すること、および、暗号デバイス内に、所与のシードから少なくとも１つの素数を生成するために選定されたアルゴリズムを使用して実施されることになるインクリメンテーションステップの数を記憶することである。そのようにすることにより、暗号デバイスは、ランタイムにおいて、要される数のインクリメンテーションステップを再びただ実施することにより、シードから登録段階の間に取得される素数を再び生成することができる。暗号デバイスは、各々のインクリメンテーションステップの後に素数性テストを実施する必要性を有さないので、素数は、ランタイムにおいて、登録段階の間よりはるかに低い算出コストで生成され得る。暗号デバイスにより実施されることになる算出の量を、よりいっそう減少するために、登録段階において実施されることになる算出の大部分は、リモートサーバ１０２により実施され得る。

【0030】

暗号鍵を生成するためにシードから少なくとも１つの素数を生成する、そのようなアルゴリズムを使用することの欠点は、シードにアクセスするいかなる攻撃者も、同じ素数および暗号鍵を生成することができ、次いで、それを、悪意をもって使用し得るということである。インクリメンテーションステップの数と共に、素数生成アルゴリズムにおいて使用されることになるシードは、それゆえに、いかなる不正アクセスからも保護されるべきである。攻撃者による記憶されるシードへのいかなるそのようなアクセスも防止するために、本発明の別の特徴は、暗号デバイスに、シードを、それが素数生成アルゴリズムへの入力として必要とされるとき、オンザフライでセキュアに生成させることにより、シード値を記憶することを回避することである。そのようなセキュアな生成は、物理的複製困難関数（ＰＵＦ）を使用してチャレンジを処理することにより実施され得る。

【0031】

そのようなＰＵＦは、ハードウェア回路により実装される関数であり、その関数の結果は、このハードウェア回路の微細構造などの、その製造の間にランダムにセットされる物理的因子に依存する。その結果、そのようなＰＵＦは、一意的であり、予測不可能であり、再現され得ない。

【0032】

本発明によれば、暗号デバイスは、それがＰＵＦを使用してシードを得ることができるチャレンジ、および、このシードから少なくとも１つの素数を生成するために選定されたアルゴリズムを使用して実施されることになるインクリメンテーションステップの数を記憶するのみである。新しい暗号鍵が必要とされるとき、暗号デバイスは、そのメモリ内に記憶されるチャレンジを読み出し、ＰＵＦをそのチャレンジに適用して、シードを得ることができる。暗号デバイスは、少なくとも１つの素数を生成するために；および、この素数から暗号鍵を生成するために、入力として、シードと、チャレンジとともに記憶されるインクリメンテーションステップの数とを使用して、事前定義された素数生成アルゴリズムを作動させ得る。

【0033】

暗号鍵を生成するそのような方法は、暗号デバイス内にシードを記憶するよりはるかに安全であり；暗号デバイスのメモリの内容にアクセスする攻撃者は、チャレンジを使用することができないことになり、なぜならば、彼は、暗号デバイスのＰＵＦを再現し、このＰＵＦによってチャレンジを処理することから取得されることになるシードを再計算することができないからである。

【0034】

図１は、暗号デバイス１０１、例えばスマートカードまたは移動電話を、リモートサーバ１０２に接続するネットワーク１０３の概略的例示である。暗号デバイス１０１は、ユーザにより動作させられ、データ暗号化または復号化などの暗号動作のために暗号デバイスにコマンドを送出するパーソナルコンピュータに接続され得る。代替的には、暗号デバイス１０１は、そのようなコンピュータ内に組み込まれ得る。

【0035】

図２は、暗号デバイス１０１の概略的例示である。それは、ランダムアクセスメモリ（ＲＡＭ）２０３、読み出し専用メモリ（ＲＯＭ）２０４、および／または不揮発性メモリ（ＮＶＭ）２０５に、バス２０２を介して接続されるプロセッサ２０１を含み得る。暗号デバイス１０１のメモリ、ＲＯＭ、および／またはＮＶＭのサブパートは、次の段落において説明されるように、秘密鍵などの、または、新しい秘密鍵を生成するために必要とされる情報などの、極秘データを記憶し得る。

【0036】

暗号デバイス１０１は、プロセッサに接続されるコネクタ２０６をさらに含み、そのコネクタ２０６により、暗号デバイス１０１はアンテナに接続され得る。そのようなアンテナは、暗号デバイス１０１を様々な形式のワイヤレスネットワーク、例えば、ワイドエリアネットワーク、ＷｉＦｉネットワーク、または移動電話ネットワークに接続するために使用され得る。代替的には、暗号デバイス１０１は、Ｅｔｈｅｒｎｅｔなどの有線ネットワーク接続を介してネットワークに接続し得る。

【0037】

暗号デバイス１０１は、１つ以上の画面、ラウドスピーカ、マウス、触覚表面、キーボード、その他…などの、暗号デバイス１０１のユーザにインターフェイスを提供する入出力手段２０７をも含み得る。

【0038】

暗号デバイス１０１は、ここでは上記で規定されたような物理的複製困難関数を実施するＰＵＦ回路３０１をも含む、図３上で例示される、強いＰＵＦモジュール２０８を含む。強いＰＵＦモジュールの出力においてエントロピーの最小レベルを確実にするために、その強いＰＵＦモジュールは、ＰＵＦ回路の出力に、ハッシュ関数などの、そのエントロピーを増大する関数を適用するエントロピーアキュムレータ回路３０２をも含む。エントロピーアキュムレータ回路３０２は、入力として、初期化ベクトル（ＩＶ）をも使用し得る。強いＰＵＦモジュールにより実施される全体の関数は、以下の段落において「強いＰＵＦ」と呼ばれる。

【0039】

暗号デバイス１０１は、いかなる不正アクセスに対してもセキュアにされる耐タンパ性デバイスであり得る。

【0040】

以下の段落は、図４ａおよび４ｂ上で描写されるように、少なくとも１つの素数を容易に生成するためにランタイムにおいて後で必要とされることになる要素を生成および記憶するために、登録段階の間に暗号デバイス１０１により実施されるステップを説明する。

【0041】

第１の登録ステップＥＳ１の間に、暗号デバイスは、その強い物理的複製困難関数をチャレンジＣｉに適用することにより、シードを生成する。

【0042】

第２の登録ステップＥＳ２の間に、暗号デバイスは、そのメモリ内に、前記チャレンジ、および、第１の登録ステップＥＳ１の間に生成されたシードから少なくとも１つの素数を生成するために暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数として規定される、少なくとも１つの関連付けられるインクリメント数Ｓｐｉを記憶する。チャレンジに関連付けられるインクリメント数の数は、素数を生成するために選定された対応するアルゴリズムに依存し得る。

【0043】

図４ａ上で例示される、第１の実施形態において、この登録段階の間に暗号デバイスにより実施されることになる計算を最小化するために、サーバは、暗号デバイスにチャレンジを送信することを、および、このチャレンジから生成されたシードから少なくとも１つの素数を生成するために実施されることになるインクリメンテーションステップの数を決定することを担当する。

【0044】

そのような場合において、登録段階は、予備的登録ステップＥＳ０を含み、そのステップの間に、サーバは、チャレンジを生成し、それを、サーバからチャレンジを受信する暗号デバイスに送出し得る。そのような場合において、登録段階は：
・暗号デバイスが、サーバに、サーバにより送出されたチャレンジから暗号デバイスが生成したシードを送出し、サーバが、暗号デバイスから、生成されたシードを受信する、登録ステップＥＳ１１１、
・サーバが、暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、シードから少なくとも１つの素数Ｙｐｉを生成する、登録ステップＥＳ１１２、
・サーバが、前記暗号デバイスに、そのメモリ内に記憶するために、素数を生成するために暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、少なくとも１つのインクリメント数Ｓｐｉを送出する、登録ステップＥＳ１１３
を含む、素数生成登録ステップＥＳ１１をも含む。

【0045】

図４ｂ上で例示される、第２の実施形態において、登録の間に実施されるすべての計算が、暗号デバイス１０１それ自体により実施される。そのような場合において、登録段階は、代替的な予備的登録ステップＥＳ０’を含み、そのステップの間に、暗号デバイスは、チャレンジを生成し得る。そのような場合において、登録段階は、代替的な素数生成登録ステップＥＳ１１’を含み、そのステップの間に、暗号デバイスは：
・暗号素数生成アルゴリズムにおいていくつかのインクリメンテーションステップを実施することにより、暗号デバイスが第１の登録ステップＥＳ１の間に生成したシードから素数Ｙｐｉを生成し、
・素数を生成するために暗号素数生成アルゴリズムにおいて実施されるインクリメンテーションステップの数として規定される、少なくとも１つの関連付けられるインクリメント数Ｓｐｉを生成する。

【0046】

そのようにすることにより、両方の実施形態において、登録段階の終了において、暗号デバイスは、チャレンジからシードを生成し、次いで、暗号素数アルゴリズムにおいて、関連付けられるインクリメント数と同数のインクリメンテーションステップを実施することにより、シードから少なくとも１つの素数を生成することができるように、そのメモリ内に、チャレンジおよび少なくとも１つの関連付けられるインクリメント数を記憶する。

【0047】

以下の段落は、図５上で描写されるように、少なくとも１つの素数から暗号鍵を生成するために、登録段階の後にランタイムにおいて暗号デバイス１０１により実施される、本発明の第１の態様による方法のステップを説明する。

【0048】

ここでは上記で説明されたように、暗号デバイスのメモリ２０４、２０５は、少なくとも１つのチャレンジ、および、暗号デバイスのＰＵＦモジュールにより実施される強いＰＵＦを使用して前記チャレンジから取得されるシードから前記素数を生成するために事前定義された暗号素数生成アルゴリズムにおいて実施されることになるインクリメンテーションステップの数である、少なくとも１つの関連付けられるインクリメント数を記憶する。

【0049】

第１のランタイムステップＲＳ１の間に、暗号デバイスは、そのメモリから、チャレンジＣｉおよび関連付けられる少なくとも１つのインクリメント数Ｓｐｉを取得する。

【0050】

第２のランタイムステップＲＳ２の間に、暗号デバイスは、その強い物理的複製困難関数を、第１のランタイムステップＲＳ１の間に取得されたチャレンジに適用することにより素数生成シードを生成する。

【0051】

第３のランタイムステップＲＳ３の間に、暗号デバイスは、前記暗号素数生成アルゴリズムを実施することにより、および、その暗号素数生成アルゴリズムにおいて、取得された少なくとも１つのインクリメント数Ｓｐｉと同数のインクリメンテーションステップを実施することにより、生成されたシードから少なくとも１つの素数を生成する。

【0052】

第４のランタイムステップＲＳ４の間に、暗号デバイスは、生成された素数から暗号鍵を生成する。生成される暗号鍵は、例えば、ＲＳＡ鍵、ＤＳＡ鍵、ディフィー−ヘルマン鍵、ＥＣＤＳＡ鍵、ＥＣＤ鍵、もしくはＥＣＣ鍵、または、因数分解問題の、もしくは離散対数問題の実際的な困難さに基づく公開鍵アルゴリズムにより使用される任意の暗号鍵の中の１つであり得る。

【0053】

以下の段落において、ＡＮＳ Ｘ９．３１およびＦＩＰＳ １８６−４付録Ａ．１．１．２素数生成アルゴリズムに基づく実装の２つの例が与えられる。これらは、実装の非制限的な例であり、本発明による方法は、様々な他の素数生成アルゴリズムに基づいて実装され得る。

【0054】

素数を生成するために使用される暗号素数生成アルゴリズムがアルゴリズムＡＮＳ Ｘ９．３１である、実装の第１の例が与えられる。

【0055】

その場合において登録段階の間に実施される動作が、サーバが、素数を生成するために実施されることになるインクリメンテーションステップの数を決定する、第１の実施形態に対応して、図６上で示される。

【0056】

予備的登録ステップＥＳ０／ＥＳ０’の間に、チャレンジＣｉが、暗号デバイスにより生成され、さもなければ、サーバにより生成され、暗号デバイスに送信される。暗号デバイスは、生成されることになる鍵のサイズである、および、サーバにより送信され得る、鍵サイズｐと、整数であるインクリメントペースｂと、公開パラメータｅ、例えばＲＳＡ公開鍵とをも知る。

【0057】

第１の登録ステップＥＳ１の間に、暗号デバイスは、チャレンジＣｉからシードを生成する。Ｘ９．３１アルゴリズムの場合において、シードは、３つの部分Ｘｐｉ、Ｘｐｉ_１、およびＸｐｉ_２から成る：
（Ｘｐｉ，Ｘｐｉ_１，Ｘｐｉ_２） ＝ Ｓｔｒｏｎｇ＿ＰＵＦ（Ｃｉ，ｐ）

【0058】

素数生成登録ステップＥＳ１１／ＥＳ１１’の間に、暗号デバイスまたはサーバは、Ｘ’９．３１と記される、ここでは下で説明されるようなＸ９．３１アルゴリズムを使用してシードから素数Ｙｐｉを生成し、ここで、ＰｒｉｍｅＱは素数性テストである：
１．Ｆｏｒ ｊ ＝ １ ｔｏ ２ ｄｏ
（ａ）ｐｊ ＜− Ｘｐ_ｉｊをセットする
（ｂ）Ｉｆ ｐｊが偶数である ｔｈｅｎ ｐ_ｊ ＜− ｐ_ｊ ＋ １をセットする
（ｃ）Ｗｈｉｌｅ（ＰｒｉｍｅＱ（ｐ_ｊ） ＝ ｆａｌｓｅ） ｄｏ
ｐ_ｊ ＜− ｐ_ｊ ＋ ｂ
Ｓｐ_ｉｊ ＜− Ｓｐ_ｉｊ ＋ １；
２．Ｒ ＜− （ｐ_２^−１ ｍｏｄ ｐ_１）ｐ_２ − （ｐ_１^−１ ｍｏｄ ｐ_２）ｐ_１を計算する
３．Ｙ_ｐｉ ＜− Ｘ_ｐｉ ＋ （（Ｒ − Ｘ_ｐｉ） ｍｏｄ ｐ_１ｐ_２）をセットする ＝＞ Ｓｐｉ_１２ ＝ （Ｒ − Ｘ_ｐｉ） ｍｏｄ ｐ_１ｐ_２を保存する
４．Ｉｆ （ｇｃｄ（Ｙ_ｐｉ − １；ｅ） ≠ １） ｏｒ （ＰｒｉｍｅＱ（Ｙ_ｐｉ） ＝ ｆａｌｓｅ） ｔｈｅｎ
（ａ）Ｙ_ｐｉ ＜− Ｙ_ｐｉ ＋ ｐ_１ｐ_２をセットする
（ｂ）ステップ４に進み、 Ｓ_ｐｉ ＜− Ｓ_ｐｉ ＋ １；
５．Ｙ_ｐｉを出力する

【0059】

そのようなアルゴリズムを使用して、素数Ｙ_ｐｉが、ｐ_１値をＳｐｉ_１回、ｐ_２値をＳｐｉ_２回、および、Ｙ_ｐｉ値をＳ_ｐｉ回インクリメントした後に取得される。

【0060】

素数生成登録ステップＥＳ１１／ＥＳ１１’の終了において、値Ｓｐｉ_１、Ｓｐｉ_２、Ｓｐｉ、およびＳｐｉ_１２は、チャレンジＣｉに関連付けられるインクリメント数であり、Ｘ９．３１暗号素数生成アルゴリズムの出力として暗号デバイスにより生成され、さもなければ、サーバにより暗号デバイスに送出される。

【0061】

最終的には、第２の登録ステップＥＳ２の間に、チャレンジＣｉならびに関連付けられるインクリメント数Ｓｐｉ_１、Ｓｐｉ_２、Ｓｐｉ、およびＳｐｉ_１２は、暗号デバイスにより記憶される。

【0062】

次いで、ランタイムにおいて、図７上で例示されるように、第１のランタイムステップＲＳ１の間に、暗号デバイスは、そのメモリから、これらの値Ｃｉ、Ｓｐｉ_１、Ｓｐｉ_２、Ｓｐｉ、およびＳｐｉ_１２を読み出す。

【0063】

第２のランタイムステップＲＳ２の間に、暗号デバイスは、その強い物理的複製困難関数をチャレンジＣｉに適用することにより素数生成シード（Ｘｐｉ、Ｘｐｉ_１、Ｘｐｉ_２）を再び生成する。
（Ｘｐｉ，Ｘｐｉ_１，Ｘｐｉ_２） ＝ Ｓｔｒｏｎｇ＿ＰＵＦ（Ｃｉ，ｐ）

【0064】

第３のランタイムステップＲＳ３の間に、暗号デバイスは、単純化されたＸ９．３１バリアント（ｖａｒｉａｎｔ）と呼ばれる、以下の計算：
１．ａ／ ｐ_１ ＜− Ｘｐｉ_１ ＋ Ｓｐｉ_１．ｂを計算する
ｂ／ ｐ_２ ＜− Ｘｐｉ_２ ＋ Ｓｐｉ_２．ｂを計算する
２．ａ／ Ｉｐ_２ ＜− ｐ_１^−１ ｍｏｄ ｐ_２を計算する
ｂ／ Ｒｔ ＜− ｐ_２．２Ｉｐ_２ ＋ ｐ_１．ｐ_２ − １を計算する
ｃ／ Ｔ ＜− Ｘｐｉ ｍｏｄ ｐ_１．ｐ_２を計算する
ｄ／ Ｕ ＜− Ｒｔ − Ｔを計算する
ｅ／ Ｕ ＜− Ｕ − Ｓｐｉ_１２．ｐ_１．ｐ_２を計算する
３．Ｙ_ｐｉ ＝ Ｘ_ｐｉ ＋ Ｕ ＋ Ｓｐｉ．２．ｐ_１．ｐ_２を計算する
を実施することにより、生成されたシードから素数Ｙｐｉを再び生成する。

【0065】

そのようにすることにより、暗号デバイスは、登録段階の間よりはるかに高速に素数Ｙｐｉを再生成することができる。

【0066】

以下の段落において、少なくとも１つの素数を生成するために使用される暗号素数生成アルゴリズムがアルゴリズムＦＩＰＳ １８６−４付録Ａ．１．１．２の修正されたバージョンである、実装の第２の例が与えられる。

【0067】

このアルゴリズムは、第１の素数ｐおよび第２の素数ｑの生成のために使用され得る。このアルゴリズムは、入力として、第１の素数ｐの所望される長さＬ、第２の素数ｑの所望される長さＮ、および、強いＰＵＦにより生成されるシードの長さＳＬ（≧Ｎ）を使用する。それは、出力長さｏｕｔｌｅｎのハッシュ関数を使用する。

【0068】

ここでは下記で、このアルゴリズムを使用するとき、登録段階の間に実施される動作が詳細に述べられる：

【0069】

最初に、このアルゴリズムは：
１．ｎ ＝ ｃｅｉｌ（Ｌ／ｏｕｔｌｅｎ）を計算し、ここでｏｕｔｌｅｎはハッシュ出力ブロック長さを表す
２．ＢＬ ＝ Ｌ − １ − （ｎ＊ｏｕｔｌｅｎ）を計算する
次いで、第２の素数ｑを生成するために：
３．予備的登録ステップＥＳ０／ＥＳ０’の間に、チャレンジＣｑが、暗号デバイスにより生成され、さもなければ、サーバにより生成され、暗号デバイスに送信される：Ｃｑ ＝ ランダム値
４．第１の登録ステップＥＳ１の間に、暗号デバイスは、チャレンジＣｑから、および、シードの長さＳＬからシードＵを生成する：Ｕ ＝ Ｈａｓｈ（ＳｔｒｏｎｇＰＵＦ（Ｃｑ，ＳＬ）） ｍｏｄ ２^Ｎ−１
次いで、素数生成登録ステップＥＳ１１／ＥＳ１１’の間に、暗号デバイスまたはサーバは、シードＵから素数ｐ、ｑを生成する：
５．ｑ ＝ ２^Ｎ−１ ＋ Ｕ ＋ １ − （Ｕ ｍｏｄ ２）を計算する
６．ｑの素数性をテストし、素数でないならば、ステップ３に進む。そうでなければ、Ｃｑパラメータを保存する。

【0070】

ｑに対し互いに素であるｐを生成するために：
７．ｏｆｆｓｅｔ ＝ １をセットする
８．Ｆｏｒ ｃｏｕｎｔｅｒ ＝ ０ ｔｏ （４Ｌ − １） ｄｏ
８．１．Ｆｏｒ ｊ ＝ ０ ｔｏ ｎ ｄｏ
Ｖｊ ＝ Ｈａｓｈ（ＳｔｒｏｎｇＰＵＦ（Ｃｑ，ＳＬ） ＋ ｏｆｆｓｅｔ ＋ ｊ） ｍｏｄ ２^ＳＬを計算する
８．２．Ｗ ＝ Ｓｕｍ（ｊ ＝ ０；ｊ ＜ ＢＬ）（Ｖｊ ＊ ２^{ｊ＊ｏｕｔｌｅｎ}）を計算する
８．３．Ｘ ＝ Ｗ ＋ ２^Ｌ−１を計算する
８．４．Ｃ ＝ Ｘ ｍｏｄ ２ｑを計算する
８．５．ｐ ＝ Ｘ − （Ｃ − １）を計算する
８．６．Ｉｆ ｐ ＜ ２^Ｌ−１ ｔｈｅｎ ８．８に進む
８．７．ｐの素数性をテストし、ｐが素数ならば、ｏｆｆｐ ＝ ｏｆｆｓｅｔを保存し、（Ｃｑ，ｏｆｆｐ）を返す
８．８．ｏｆｆｓｅｔ ＝ ｏｆｆｓｅｔ ＋ ｎ ＋ １をセットする

【0071】

素数生成登録ステップＥＳ１１／ＥＳ１１’の終了において、値ｏｆｆｐは、チャレンジＣｑに関連付けられるインクリメント数であり、暗号素数生成アルゴリズムの出力として暗号デバイスにより生成され、さもなければ、サーバにより暗号デバイスに送出される。

【0072】

最終的には、第２の登録ステップＥＳ２の間に、チャレンジＣｑおよび関連付けられるインクリメント数ｏｆｆｐは、暗号デバイスにより記憶される。

【0073】

ここでは下で、ランタイム段階の間に実施されるステップが詳細に述べられる。

【0074】

ランタイムにおいて、第１のランタイムステップＲＳ１の間に、暗号デバイスは、そのメモリから、これらの値Ｃｑおよびｏｆｆｐを読み出す。暗号デバイスは、第１の素数ｐの所望される長さＬ、第２の素数ｑの所望される長さＮ、および、シードの長さＳＬ（≧Ｎ）をも知る。

【0075】

次いで、暗号デバイスは：
１．ｎ ＝ ｃｅｉｌ（Ｌ／ｏｕｔｌｅｎ）を計算する
２．ＢＬ ＝ Ｌ − １ − （ｎ＊ｏｕｔｌｅｎ）を計算する
３．第２のランタイムステップＲＳ２の間に、暗号デバイスは、その強い物理的複製困難関数をチャレンジＣｑに適用することにより素数生成シードＵを再び生成する：Ｕ ＝ Ｈａｓｈ（ＳｔｒｏｎｇＰＵＦ（Ｃｑ，ＳＬ）） ｍｏｄ ２^Ｎ−１。
第３のランタイムステップＲＳ３の間に、暗号デバイスは、以下の計算：
４．ｑ ＝ ２^Ｎ−１ ＋ Ｕ ＋ １ − （Ｕ ｍｏｄ ２）を計算する
ｑに対し互いに素であるｐを生成するために
５．１．Ｆｏｒ ｊ ＝ ０ ｔｏ ｎ ｄｏ
Ｖｊ ＝ Ｈａｓｈ（ＳｔｒｏｎｇＰＵＦ（Ｃｑ，ＳＬ） ＋ ｏｆｆｐ ＋ ｊ） ｍｏｄ ２^ＳＬを計算する
５．２．Ｗ ＝ Ｓｕｍ（ｊ ＝ ０；ｊ ＜ ＢＬ）（Ｖｊ ＊ ２^{ｊ＊ｏｕｔｌｅｎ}）を計算する
５．３．Ｘ ＝ Ｗ ＋ ２^Ｌ−１を計算する
５．４．Ｃ ＝ Ｘ ｍｏｄ ２ｑを計算する
５．５．ｐ ＝ Ｘ − （Ｃ − １）を計算する
５．６ ペア（ｐ，ｑ）を返す
を実施することにより、生成されたシードＵから第１の素数ｐおよび第２の素数ｑを再び生成する。

【0076】

そのようにすることにより、暗号デバイスは、登録段階の間よりはるかに高速に素数ｐおよびｑを再生成することができる。

【0077】

第２の態様によれば、本発明は、それゆえに、少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で作動させられるとき、第１の態様による方法のステップを実施するためのソフトウェアコード命令を備える、コンピュータプログラム製品にも関する。

【0078】

第３の態様によれば、本発明は、それゆえに、少なくとも１つのハードウェアプロセッサを備える暗号デバイスにより実行されるとき、第１の態様による方法を実施する実行可能コンピュータコードを記憶する、非一時的コンピュータ可読媒体にも関する。

【0079】

第４の態様によれば、本発明は、それゆえに：
− 第１の態様による方法のステップを実施するように構成される少なくとも１つのハードウェアプロセッサ２０１、
− チャレンジおよび関連付けられるインクリメント数を記憶するための少なくとも１つのメモリ２０３、２０４、２０５
を備える、暗号デバイス１０１にも関する。

【図1】

【図2】

【図3】

【図4a】

【図4b】

【図5】

【図6】

【図7】

【国際調査報告】