JP4773708B2

JP4773708B2 - ネットワークメディアにおける通信を認証するシステムおよび方法

Info

Publication number: JP4773708B2
Application number: JP2004325915A
Authority: JP
Inventors: ケイスメッターズダイアナ; ダブリュコンリーケネス; エイペンドルトンブライアン; イーダーフィーグレン; ビーカズンズスティーブ; パルファンツダーク; シェムトフハーダー
Original assignee: Palo Alto Research Center Inc
Current assignee: Palo Alto Research Center Inc
Priority date: 2003-11-10
Filing date: 2004-11-10
Publication date: 2011-09-14
Anticipated expiration: 2024-11-10
Also published as: US20050100166A1; DE602004019870D1; JP2005151557A; EP1536609B1; EP1536609A3; EP1536609A2

Description

本発明は、少なくとも２つの装置間の安全な通信を認証するシステムおよび方法に関する。

公開鍵暗号方式が容易には採用されていないのは、主に「鍵管理問題」が原因であるが、このことは、目的とする通信相手の公開鍵を確実に識別することがユーザにとって困難であることを意味する。この問題に対処するために用いられる方法の１つに、公開鍵基盤（ＰＫＩ）を構築するという手法がある。この手法では、信用のある公開鍵を１つ以上指定し、その公開鍵が公開鍵基盤の構成メンバに知らされる。信用のある公開鍵に対応する秘密鍵を保存するコンピュータシステムは、公開鍵基盤内のユーザおよび装置の公開鍵を含むデジタル証明書に署名できる。この処理で、公開鍵基盤構成メンバの公開鍵を認証する。

公開鍵基盤は、公開鍵を信頼する必要がある個人または装置に対して、特定の個人または特定の装置の公開鍵の認証済みコピーを配布することに関わるいくつかの問題を改善する。公開鍵基盤内では、信用のある鍵の所有者は、通常、「認証機関（Certification Authority）」、すなわち、ＣＡと呼ばれる。このような信用のある鍵は、当該公開鍵基盤の他の構成メンバ（ユーザおよび装置）の鍵の認証に利用されており、構成メンバ用の鍵に署名して「デジタル証明書」を作成することで認証を行っている。通常、このような証明書は、（１）鍵の所有者は誰かを示す情報（個人証明書）、（２）その鍵は何に対して使用できるのかを示す情報（属性証明書）、または、少なくとも（３）対応する秘密鍵を持つ者が、この特定の公開鍵基盤または他の信頼システムの正当なメンバであることを示す情報と、公開鍵とをリンクするために、信用のある署名を使用する。

このような公開鍵基盤では、定義上は多数である交換すべき鍵の数が、信用のある公開鍵の数に減るため、鍵の管理問題が単純化される。構成メンバの証明書に含まれる情報が、該証明書の検証者に対して、互いに目的とする相手と通信していることを示す十分な情報である限り、その証明書の署名は、確かに、該証明書に含まれる公開鍵が信頼できる機関に属することを意味している。

残念ながら、公開鍵基盤の構築と管理は、証明書の配布と同様、驚くほど難しく複雑であることが判っている。たとえ、１つの組織内で単独の用途の公開鍵暗号方式を利用するための小規模な特定目的の公開鍵基盤であるとしても、その公開鍵基盤を構築することは、一般に、非常に費用がかかる複雑な作業であると考えられている。その理由の１つは、利用できるソフトウェアが複雑かつ高価である上、該ソフトウェアを効果的に構成するのに、規格と暗号法についての深い知識が求められるという点である。その結果、公開鍵暗号方式を利用することで、たとえば、パスワード基準の代替方法と比べ、多くの通信プロトコルの安全性が飛躍的に向上するにも関わらず、プロトコルの設計者は、公開鍵基盤の構築という「負担」がない代わりに安全性の低い代替方法への方向転換を強いられている。同様に、公開鍵基盤のこの設定コストは、組込み式装置（たとえば、携帯電話やプリンタ等）に公開鍵暗号方式の用途を広げることを思い留まらせる。というのは、これら組込み式装置が、使用前に証明書で「規定される」必要が生じるためである。この鍵の管理と配布の問題は、また、信用証明書の発行機関を利用して信用証明書を発行する安全な信用証明書基盤にも存在する。

その開示内容全体を本願明細書の一部として援用する特許文献１、バルファンツ（Ｂａｌｆａｎｚ）他による米国特許出願第１０／０６６，６９９号明細書は、各種関係者間の安全な通信、または信頼できる通信を設定しようとする場合の公開鍵基盤のいくつかの制限を回避する技法を開示する。特許文献１に開示されたこの技法は、期間限定と特定の目的の少なくとも一方を条件として集まった関係者のアドホックグループ（ad-hoc group）を扱う時に特に有用である。特許文献１に開示されるように、グループ管理者等が、グループ内の他の関係者それぞれに、所在地限定型チャンネル（location-limited channels）を介して事前認証情報を渡す。このような所在地限定型チャンネルは、赤外線チャンネル、音声チャンネル等を含むことができる。

このように、所在地限定型チャンネルを通じてこのような事前認証情報を渡すことで、任意のピア・トゥ・ピア方式のアドホックネットワークを安全に認証できる。たとえば、各種の実施形態では、所在地限定型チャンネルを利用して、グループの各関係者が、与えられた公開鍵を扱う。ここで、公開鍵暗号方式を用いる鍵交換プロトコルは、主要ネットワークリンク、たとえば、無線または有線のリンク等を介して利用でき、安全な通信を確立できる。公開鍵を用いてユーザの装置を事前認証することによって、所在地限定型チャンネルとして利用可能なタイプの媒体としては、盗聴を防止できるものである必要がなく、たとえば、音声チャンネルや赤外線チャンネル等を単独または組み合わせて利用できるようになる。

また、公開鍵基盤の公開鍵を交換する他の従来技術も知られている。集中型公開鍵基盤では、信用のある認証機関の証明書は、オペレーティングシステムまたはソフトウェアのウェブブラウザに証明書をインストールすることで配布されるが、新しいルート証明を認証するバンド外方式（out-of-band way）を備えるユーザは、ディレクトリまたはウェブサイトから証明書を取得できる。これらの証明機関公開鍵を利用して、各種の認証プロトコルまたは鍵交換プロトコルの一部として受信されたピアの証明書を検証できる。

鍵が公開鍵基盤の一部でない場合は、各個人でその鍵を交換するか、あるいはその鍵を取り出さなければならない。つまり、このような鍵については、その鍵が公開鍵基盤の一部ではないために、信用できない送信元から受け取った鍵の認証に利用できる信用できる認証機関というものは存在しない。前述したアドホックネットワーク、ピア・トゥ・ピア接続、または「信頼ウェブ」を土台とするネットワークで公開鍵を交換するために広く用いられる各種の技法が存在する。このような技法の多くは、取外し可能媒体を利用して、公開鍵等の信用証明書を運ぶ。たとえば、ＣＤ−ＲＯＭディスクや、書き込みまたは書き換えが可能な他のディスク記憶装置は、ユーザの公開ＰＧＰ鍵の移送に多く利用される。

直接対面したユーザ同士は、多くの場合、このような記憶装置を用いて、それぞれの公開ＰＧＰ鍵のコピーを互いに提示する。ここで、ユーザは、互いの公開鍵にデジタル署名を行い、署名された状態で提示された鍵は、当該個人（またはＥメールアドレス）に属するものであることを「信用する」と決断したことを示す。この署名は、その鍵を所有するユーザによって保管されるが、更に、そのユーザの鍵と共にネットワークディレクトリに保管されてもよい。この後、別のユーザの公開鍵を取得したいと考えるユーザは、このようなディレクトリに入って、鍵を取得し、その鍵には、信頼すると決定した鍵のうちの１つを用いて作成された署名が存在するかどうか、あるいは、再帰的に、自分が信頼する鍵の所有者が信頼すると決断した鍵のうちの１つを用いて作成された署名があるかどうか等を判断する。

米国特許出願公開第２００３／０１４９８７４Ａ１米国特許出願公開第２００１／００４９７８７Ａ１米国特許第５，０６７，１５４号明細書米国特許第５，３０９，５１６号明細書米国特許第５，７７８，０６８号明細書米国特許第６，２４０，１８８号明細書米国特許第６，２６６，４２０号明細書米国特許第６，４６０，１３８号明細書米国特許第５，６０２，９１８号明細書米国特許出願公開第２００２／００３１２３０Ａ１米国特許第６，０７５，８５８号明細書ロペス(Lopes)ら著、"Aerial Acoustic Communications"、IEEE Workshop on Applications Signal Processing to Audio and Acoustics、pp.219-222、２００１年１０月２１−２４日バルファンツ(Balfanz)ら著、"Talking to Strangers: Authentication in Ad-hoc Wireless Networks"、Proceedings of Network and Distributed System Security Symposium 2002、２００２年２月ラミング（Lamming）ら著、"Satchel: Providing Access to Any Document, Any Time, Anywhere"、ACM Transactions on Computer-Human Interaction, Vol.7, No.3, pp.322-352、２０００年９月ホワイトン（Whitten）ら著、"Why Johnny Can't Encrypt: A usability Evaluation of PGP 5.0"、Proceedings of the Eighth Usenix Security Symposium, pp.169-183、１９９９年８月カインドバーグ（Kindberg）ら著、"People, Places, Things: Web Presence for the Real World"、Technical Report HPL 2000-16 HP Labs,pp.1-17、２０００年

本発明は、グループのメンバ間で安全に情報を交換するための認証証明書の交換方式を提供する。

本発明は、少なくとも２つの装置間の通信を安全にする方法であって、所在地限定物理トークンチャンネルを前記少なくとも２つの装置のうちの第１装置に接続するステップと、前記第１装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルに保存するステップと、前記少なくとも２つの装置のうち、現在装置となる次の装置に前記所在地限定物理トークンチャンネルを提供するステップと、前記所在地限定物理トークンチャンネルを前記現在装置に接続するステップと、前記現在装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルに保存するステップと、前記第１装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルから前記現在装置にコピーするステップと、前記少なくとも２つの装置のうちの各装置について、それぞれを現在装置として、前記提供するステップと、前記接続するステップと、前記保存するステップと、前記コピーするステップと、を繰り返すステップと、前記所在地限定物理トークンチャンネルを前記第１装置に再接続するステップと、前記少なくとも２つの装置のうちの各装置それぞれの少なくとも事前認証情報を、前記所在地限定物理トークンチャンネルから前記第１装置にコピーするステップと、前記少なくとも２つの装置のうちの各装置について、前記所在地限定物理トークンチャンネルを用いて第１装置と各装置の間で交換された該第1装置と該各装置の少なくとも事前認証情報に基づいて、該第１装置と該各装置の間で安全な通信を確立するステップと、を含む。

図１は、アドホックグループの関係者による安全な関与の確立が求められる状況の一例を示す図である。個人１２１〜１２７は、それぞれ、装置１１０を所有し、各装置１１０は、有線ネットワークと無線ネットワークの少なくとも一方を介して、別の個人１２１〜１２７の装置１１０と通信できる。

個人１２１〜１２７は、個人１２１，１２２，１２７からなる第１グループ１２８と、個人１２３〜１２５からなる競合する第２グループ１２９と、前記個人がプレゼンテーションの対象とする潜在的顧客１２６と、を構成する。各グループ１２８，１２９は、それぞれの対抗グループ１２９，１２８、または顧客１２６と共有したくない秘密情報を所有する。

グループ１２８および１２９はいずれも、顧客のローカルエリアネットワークに接続できる。ただし、この接続は、グループの各通信を盗聴の危険にさらす。また、グループ１２８，１２９それぞれの関係者は、各グループ内の関係者同士で無線通信を行おうとするが、この無線通信も盗聴の対象となる。

所在地限定物理トークンチャンネル（location-limited physical token channel）は、たとえば、ＵＳＢフラッシュカード、フレキシブルディスク、ＣＤ−Ｒディスク、ＣＤ−ＲＷディスク、ＤＶＤ−Ｒディスク、ＤＶＤ−ＲＷディスク、外部ハードドライブ等、その特性が概して受動的な取外し可能媒体を用いて実現できる。また、デジタルカメラやＭＰ３プレイヤ等の装置を利用して、所在地限定物理トークンチャンネルを実現することもできる。

図２は、個人２２１〜２２７のグループを示す図である。個人２２１〜２２７は、それぞれ、通信装置を所持する。各通信装置２１０は、無線および／または有線リンク２３１〜２３７を介してネットワーク２３０に接続される。また、通信装置２１０は、所在地限定物理トークンチャンネル２４０の記憶空間への読み書きが可能なインタフェース装置またはシステム２１２を更に含む。

ネットワーク２３０上で安全に通信するため、グループのオリジネータ（originator）、たとえば、関係者２２１等は、所在地限定物理トークンチャンネル２４０を入手し、インタフェース２１２を利用して、自分の通信装置２１０に所在地限定物理トークンチャンネル２４０を接続する。次に、オリジネータ２２１は、所在地限定物理トークンチャンネルに、たとえば、オリジネータのネットワーク２３０上の位置、オリジネータの事前認証情報等の特定の情報と共に、必要に応じた追加情報、たとえば、秘密情報等を保存する。

次に、関係者２２１は、通信装置２１０から所在地限定物理トークンチャンネル２４０を取り外して関係者２２２に渡す。関係者２２２は、所在地限定物理トークンチャンネル２４０からオリジネータの情報を読み取り、所在地限定物理トークンチャンネル２４０に新しい情報を書き込んで、その所在地限定物理トークンチャンネル２４０を関係者２２３に渡す。同様に、各関係者２２３〜２２７は、順に、前の関係者から所在地限定物理トークンチャンネル２４０を受け取り、受け取った所在地限定物理トークンチャンネル２４０を自分の通信装置に接続し、オリジネータの情報の読み込みと自分の情報の追加を行って、次の関係者に所在地限定物理トークンチャンネルを渡す。

最後の関係者２２７は、自分の通信装置２１０から所在地限定物理トークンチャンネルを切り離すか、あるいは、取外した後、その所在地限定物理トークンチャンネルをオリジネータ２２１に戻す。オリジネータ２２１は、他の関係者それぞれによって所在地限定物理トークンチャンネル２４０に追加された位置情報と事前認証証明書情報の少なくとも一方を利用する。この情報を利用して、オリジネータ２２１は、ネットワーク２３０上で他の関係者２２２〜２２７それぞれと接続して、このグループの関係者２２１〜２２７間の安全な通信の設定を完了する。

別の関係者をそのグループに加える必要がある場合は、その新規関係者に所在地限定物理トークンチャンネル２４０を渡すことができる。該新規関係者は、所在地限定物理トークンチャンネル２４０を自分の通信装置２１０に挿入または連結して、保存されている前述のオリジネータの情報を所在地限定物理トークンチャンネル２４０から取り込み、所在地限定物理トークンチャンネル２４０に自分の情報をコピーした後で、所在地限定物理トークンチャンネル２４０をオリジネータ２２１に戻す。オリジネータ２２１は、グループの他の関係者すべての事前認証情報と位置情報の少なくとも一方を新規関係者に渡すと共に、新規関係者の事前認証証明書と位置情報の少なくとも一方を、既に認証済みの関係者２２２〜２２７それぞれに渡す。

図３は、関係者２２１〜２２７のうちの２人のそれぞれの通信装置３１０と３２０を詳細に示す図である。第１通信装置３１０は、所在地限定物理トークンチャンネル３４０を接続できるインタフェース構造３１２を含む。同様に、第２通信装置３２０は、所在地限定物理トークンチャンネル３４０を接続できるインタフェース構造３２２を含む。動作において、第１通信装置３１０の所有者である関係者は、前の関係者、たとえば、オリジネータ等から、情報セットＡを含む所在地限定物理トークンチャンネル３４０を受け取る。情報セットＡは、オリジネータの事前認証情報と、オリジネータの位置と、現在の秘密と、１つ以上の署名等を少なくとも１つ以上含む。また、情報セットＡは、先行する任意の関係者の事前認証情報、ネットワーク位置等を含んでいてもよい。前の関係者から所在地限定物理トークンチャンネル３４０を受け取った通信装置３１０の所有者は、その所在地限定物理トークンチャンネル３４０をインタフェース構造３１２に接続する。

必要なソフトウェア構成はすべて通信装置３１０にインストールされており、通信装置３１０は、所在地限定物理トークンチャンネル３４０に保存された事前認証証明書情報、位置情報等に対するアクセスおよび操作を行えるものとする。通信装置３１０は、所在地限定物理トークンチャンネル３４０からオリジネータ２２１の信用証明書情報や位置情報等を読み込み、該通信装置３１０内に設けられたメモリに読み取った情報を保存する。次に、通信装置３１０は、該通信装置３１０の事前認証証明書情報や位置情報等を、所在地限定物理トークンチャンネルに保存されている情報セットＡに追加して、情報セットＡを新しい情報セットＢに変換する。

ここで、通信装置３１０の所有者は、情報セットＢを含む所在地限定物理トークンチャンネル３４０をインタフェース構造３１２から切り離し、第２通信装置３２０の所有者である次の関係者に渡す。次に、第２通信装置３２０の所有者は、情報セットＢを含む所在地限定物理トークンチャンネル３４０をインタフェース構造３２２に接続する。ただし、この例において、通信装置３２０は、所在地限定物理トークンチャンネル３４０に保存された情報セットＢの事前認証証明書情報や位置情報等を読み取って通信装置３２０に正常に保存したり、通信装置３２０の事前認証証明書情報や位置情報等を所在地限定物理トークンチャンネル３４０に正常に追加および保存することを可能にしたり、あるいは、オリジネータ２２１との必要な通信において、このユーザの通信装置３２０との安全な通信を確立したりという動作を可能にするソフトウェア構成を含まない。したがって、所在地限定物理トークンチャンネル３４０には、ソフトウェアのインストール構成も保存されており、このインストール構成が、前述の動作に必要なソフトウェア構成を自動的に通信装置３２０にインストールする。

これで、通信装置３２０に適切なソフトウェア構成がインストールされたので、通信装置３２０は、オリジネータと先行する他の関係者の事前認証証明書や位置情報等を情報セットBから読み取り、読み込んだ情報を、通信装置３２０内に設けられたメモリに適切に保存する。次に、通信装置３２０は、所在地限定物理トークンチャンネル３４０に保存されている情報に、通信装置３２０の所有者の事前認証証明書や位置情報等を追加し、保存された情報セットBを新しい情報セットＣに変換する。通信装置３２０の所有者は、次に、インタフェース３２２から所在地限定物理トークンチャンネル３４０を切り離して、次の関係者が存在する場合は、次の関係者に所在地限定物理トークンチャンネル３４０を渡す。あるいは、通信装置３２０の所有者／関係者が、設立されたグループ内の最後の関係者である場合は、所在地限定物理トークンチャンネル３４０をオリジネータ２２１に戻す。

図４は、所在地限定物理トークンチャンネルを利用して、グループの関係者間通信を認証する方法の概要を示すフローチャートである。動作は、ステップＳ１００から始まり、ステップＳ２００に進み、そこで、グループの関係者からグループオリジネータが選択される。ステップＳ３００において、グループオリジネータは、所在地限定物理トークンチャンネルを使用して、グループ内の他の関係者から、事前認証証明書情報と、位置情報と、秘密情報と、署名情報とのうちすべてまたは少なくとも１つを収集する。ステップＳ４００において、グループオリジネータは、収集した事前認証証明書情報と、各関係者から収集した他の情報とを、他の関係者それぞれに配布し、グループの関係者間で安全な２地点間通信を行えるようにする。ステップＳ５００において、グループのオリジネータと関係者は、許可されたグループメンバとして、安全な２地点間情報交換に参加することができる。本方法は、ステップＳ６００で終了する。

図５は、所在地限定物理トークンチャンネルを使用して、事前認証情報および他の必要な情報をグループの関係者から収集する方法を詳細に示すフローチャートである。動作は、ステップＳ３００から始まり、ステップＳ３１０に進み、そこで、所在地限定物理トークンチャンネルは、グループオリジネータの通信装置に物理的に接続される。ステップＳ３２０において、オリジネータの事前認証情報と、通信ネットワーク上のオリジネータの位置が、所在地限定物理トークンチャンネルに保存される。次に、ステップＳ３３０において、所在地限定物理トークンチャンネルが、現在関係者（current participant）となる最初または次の関係者に渡される。

ステップＳ３４０において、現在関係者は、所在地限定物理トークンチャンネルを自分の通信装置に物理的に接続する。ステップＳ３５０において、前述したオリジネータの事前認証情報と通信ネットワーク上の位置が、所在地限定物理トークンチャンネルから現在関係者の通信装置にコピーされる。ステップＳ３６０において、現在関係者の事前認証情報と、通信ネットワーク上の位置と、秘密情報と、署名情報のうちすべてまたは少なくとも１つが、所在地限定物理トークンチャンネルに保存される。

ステップＳ３７０において、所在地限定物理トークンチャンネルをすべての関係者が受け取ったか否かが判定される。受け取っていない関係者がいる場合、動作は、ステップＳ３３０に戻り、所在地限定物理トークンチャンネルは、現在関係者として次の関係者に渡される。ここで、ステップＳ３４０〜３７０は、すべての関係者が所在地限定物理トークンチャンネルを受け取るまで繰り返される。すべての関係者が所在地限定物理トークンチャンネルを受け取った後、動作はステップＳ３８０に進み、そこで、オリジネータが所在地限定物理トークンチャンネルをオリジネータ自身の通信装置に物理的に接続する。ステップＳ３９０において、他の関係者すべての事前認証情報と、通信ネットワーク上の位置と、秘密情報と、署名情報のうちすべてまたは少なくとも１つが、所在地限定物理トークンチャンネルからオリジネータの通信装置にコピーされる。ステップＳ３９９において、本方法の動作は、ステップＳ４００に移行する。

図６は、所在地限定物理トークンチャンネルに含まれる収集された事前認証情報をグループの他の関係者に配布する方法を詳細に示すフローチャートである。動作は、ステップＳ４００から始まり、Ｓ４１０に進み、そこで、グループの他の関係者それぞれから提供された事前認証情報と、位置情報と、秘密情報と、署名情報のうちすべてまたは少なくとも１つを利用して、オリジネータの通信装置から、グループの他の関係者それぞれの通信装置に対する安全なネットワーク接続が確立される。ステップＳ４２０において、他の関係者それぞれの事前認証情報と、位置情報と、秘密情報と、署名情報のうちすべてまたは少なくとも１つは、確立された安全なネットワーク接続を介して、グループ内の各関係者に送信される。ステップＳ４３０において、本方法の動作は、ステップＳ５００に移行する。

前述した所在地限定物理トークンチャンネルで利用される固有の認証メカニズムとプロトコルは、公開鍵証明と、個別公開鍵と、他の既知あるいは今後開発される公開鍵に基づくグループの鍵管理または鍵交換メカニズムと、他の既知あるいは今後開発される適切な認証メカニズムのうちすべてまたは少なくとも１つを包含できる。

図７は、単独の攻撃（single adversary attacks）から保護された所在地限定物理トークンチャンネルを用いた事前認証情報の収集方法を詳細に示すフローチャートである。この方法は、ステップＳ３００’から始まり、ステップＳ３１０’に進み、そこで、グループオリジネータは、現在関係者として、所在地限定物理トークンチャンネルをグループオリジネータ自身の通信装置に物理的に接続する。ステップＳ３２０’においてグループオリジネータは、グループオリジネータの事前認証情報と、ネットワーク位置と、現在秘密（current secret）としての秘密Ｓ₀と、を所在地限定物理トークンチャンネルに保存する。オリジネータは、後の検証のために、この秘密Ｓ₀を記憶しておく必要がある。オリジネータは、また、認証情報、たとえばオリジネータ自身が所在地限定物理トークンチャンネルに既に書き込んでいる他の情報に対するオリジネータ自身の秘密鍵を用いて作成したデジタル署名などを、所在地限定物理トークンチャンネルに保存してもよい。オリジネータは、また、第２の秘密値を伴うこれらすべてのデータの暗号ハッシュを所在地限定物理トークンチャンネルに保存してもよい。しかし、オリジネータは、前記第２の秘密値は所在地限定物理トークンチャンネルに書き込まない。

署名の決定はオリジネータの秘密鍵の所有を必要とするので、オリジネータが署名を利用する場合、オリジネータは第２の秘密値を挿入する必要はない。また、オリジネータが所在地限定物理トークンチャンネルにオリジネータ自身の完全な公開鍵を登録しているか、他の関係者が何らかの他の経路からその完全な公開鍵を既に所有しているか、あるいは、他の関係者が、正当なオリジネータの鍵を確認する何らかの手段を所持しているのでなければ、他の関係者は、署名を検証できないことになる。この最後の例は、実際には、オリジネータが良く知られている人物である場合、他の関係者が以前にオリジネータと一緒に働いていたことがある場合に当てはまる。オリジネータは、後に、所在地限定物理トークンチャンネルがオリジネータに戻された時点で、この認証情報を検証する。この追加の認証情報を、それが提供されていれば、認証値Ａ₀と呼ぶ。ステップＳ３３０’において、所在地限定物理トークンチャンネルは、現在関係者によって、今度の現在関係者となる最初または次の関係者に渡される。

ステップＳ３４０’において、現在関係者（関係者ｎ）は、所在地限定物理トークンチャンネルを自分の通信装置に物理的に接続する。ステップＳ３５０’において、オリジネータの事前認証情報とネットワーク位置は、先行するすべての関係者の事前認証情報とネットワーク位置と、現在秘密Ｓ_(n-1)、すなわち、前の関係者（関係者ｎ−１）の秘密と共に、所在地限定物理トークンチャンネルから現在関係者の通信装置にコピーされる。

このように、オリジネータの次に続く最初の関係者が、所在地限定物理トークンチャンネルを受け取った時、そこには、オリジネータの事前認証情報（オリジネータの認証値Ａ₀が提供されている場合は、その値Ａ₀を含む事前認証情報）、オリジネータのネットワーク位置、およびオリジネータの秘密（Ｓ₀）のみが含まれている。オリジネータから数えてｎ番目の関係者は、所在地限定物理トークンチャンネルを受けると、オリジネータを含めた先行する（ｎ−１番目まで）の関係者それぞれの事前認証情報（認証値を含む）と、ネットワーク位置とを、前の関係者（ｎ−１番目の関係者）の秘密Ｓ_(n-1)と共にコピーする。

現在秘密（Ｓ_n-1）は、現在関係者（関係者ｎ）によって、所在地限定物理トークンから移動または削除され、該現在関係者の通信装置に保存される。現在関係者は、次に、新しい秘密値（Ｓ_n）を作成する。この秘密値（Ｓ_n）は、現在関係者が所在地限定物理トークンチャンネルからコピーした事前認証情報と共に、該現在関係者の通信装置内に保存される。ステップＳ３５５’において、現在関係者の通信装置は、認証値Ａ_nを生成するが、この認証値は、現在関係者が所在地限定物理トークンチャンネルから移動した前の関係者の秘密Ｓ_(n-1)と、現在関係者自身の公開鍵Ｋと、任意選択の事項である該現在関係者の新しい秘密Ｓ_nとのうちの１つ以上、に基づいて生成される。この認証値Ａ_nは、現在関係者の秘密鍵を用いて作成された、前記両方の秘密についてのデジタル署名とすることができる。より一般的には、この認証値は、ＳＨＡ−１等の暗号ダイジェスト関数の「Ｈ」と、連結文字の「‖」とを用いて表現される暗号ダイジェストＨ（Ｓ_(n-1)‖Ｋ‖Ｓ_n）である。安全性を高めるため、前記いずれのタイプの認証値であっても、秘密と現在関係者の鍵、および所在地限定物理トークンチャンネルに保存されている前の認証情報のうちの少なくとも複数に対して決定できることは、理解されるであろう。

ステップＳ３６０’において、現在関係者（関係者ｎ）は、現在関係者自身の事前認証情報と、ネットワーク位置と、生成された認証値Ａ_nと、現在秘密である新しい秘密Ｓ_nと、を所在地限定物理トークンチャンネルに保存する。ステップＳ３７０’において、すべての関係者が所在地限定物理トークンチャンネルを受け取ったかどうかが判定される。受け取ってない関係者がいる場合、動作はステップＳ３３０’に戻り、所在地限定物理トークンチャンネルが次の関係者に渡され、該関係者が現在関係者となる。ここで、ステップＳ３４０’〜Ｓ３７０’は、すべての関係者が所在地限定物理トークンチャンネルを受け取るまで繰り返される。もちろん、ステップＳ３４０’〜Ｓ３７０’の各繰り返しにおける先行関係者（ｎ−１）は、前回の繰り返しにおける現在関係者である。

ステップＳ３８０’において、オリジネータは、グループオリジネータの通信装置に所在地限定物理トークンチャンネルを物理的に接続する。ステップＳ３９０’において、グループオリジネータは、他のすべての関係者の事前認証情報と、位置と、認証値Ａ₁〜Ａ_nと、現在秘密Ｓ_nとを、所在地限定物理トークンチャンネルから該オリジネータの通信装置にコピーする。動作は、ステップＳ３９９’へと続き、そこで、ステップＳ４００に移行する。

図８は、所在地限定物理トークンチャンネルに含まれる収集された事前認証情報を、単独の攻撃に対して防御された状態で、グループの他の関係者に配布する方法を詳細に示すフローチャートである。

動作は、ステップＳ４００から始まり、ステップＳ４４０に続く。ステップＳ４４０において、Ａ₀が適正であるかどうかを判定する。すなわち、オリジネータが所在地限定物理トークンチャンネルにオリジネータ自身の認証値Ａ₀を書き込んでいた場合、オリジネータは、オリジネータの記憶にある秘密Ｓ₀を利用して、認証値Ａ₀は、確かに、オリジネータ自身が所在地限定物理トークンチャンネルに書き込んだデータのハッシュ、メッセージ認証コード、または署名であることを確認する。前記データは所在地限定物理トークンチャンネルに存在しているべきものであるが、オリジネータの記憶にある秘密Ｓ₀は、所在地限定物理トークンチャンネルに存在すべきものではなく、また、ハッシュまたはメッセージ認証コードの場合、秘密Ｓ₀は、オリジネータに記憶される第２の秘密を含んでいるか、あるいは、第２の秘密によって鍵がかけられている。

ステップＳ４４５において、最初または次の関係者が、通常は、所在地限定物理トークンチャンネルが渡される順と同じ順序で、グループオリジネータによって現在関係者として選択される。すなわち、グループオリジネータのところに所在地限定物理トークンチャンネルが戻された後、該オリジネータは、通常、チェイン内の各関係者について、関係者が所在地限定物理トークンチャンネルを受け取った順序で認証する。各認証値Ａ₁〜Ａ_nが、前の関係者の秘密（Ｓ_o〜Ｓ_n-1）と現在関係者の秘密（Ｓ_n）の両方を含んでいる場合、オリジネータは、正順または逆順のいずれでグループを検証してもよい（または、最初と最後の両方から始めて真ん中が最後になるように検証してもよい）。

いずれの場合であっても、オリジネータにとって、ｎ番目の関係者が認証された関係者であるかどうかは、（ｎ−１）番目の関係者を認証するまで不明である。したがって、オリジネータは、通常、所在地限定物理トークンチャンネルがグループ内を移動したのと同じ順序でグループを確認する。更に、認証値Ａ_nが（ｎ−１）番目の関係者の秘密しか含んでいない場合、オリジネータは順方向にグループを確認しなければならない。ここで言う順方向と逆方向は、最初のグループ移動の順序に対応して決定される方向である。ステップＳ４５０において、安全なネットワーク接続は、オリジネータによって、現在関係者、すなわち、ｎ番目の関係者に対して確立されるが、これは、その関係者によって所在地限定物理トークンチャンネルに保存された事前認証情報と位置情報を利用して行われる。

ステップＳ４５５において、グループオリジネータは、現在関係者によって所在地限定物理トークンチャンネルにコピーされた該現在関係者の秘密Ｓ_nを、現在関係者から取得する。ステップＳ４６０において、グループオリジネータは、前記現在関係者の認証値Ａ_nが有効であるかどうかについて、現在関係者の事前認証情報と、少なくとも秘密Ｓ_(n-1)と、に基づいて検証するが、この秘密Ｓ_(n-1)は、直前の関係者、すなわち（ｎ−１）番目の関係者によって提供された秘密である。認証値Ａが、たとえば、前の関係者の秘密Ｓ_(n-1)と、現在関係者の公開鍵と、任意に現在関係者の秘密Ｓ_nとについてのＳＨＡ−１ダイジェストとして作成されていれば、オリジネータは、これらのパラメータから認証値Ａ_nを生成でき、生成された認証値Ａ_nは、所在地限定物理トークンチャンネルに保存された認証値Ａ_nと等しいはずである。あるいは、認証値がデジタル署名であるならば、オリジネータは、署名された情報、たとえば、現在秘密Ｓ_nとその前の秘密Ｓ_(n-1)等や、場合によっては、トークン上のすべての認証情報について、関係者の公開鍵をデジタル署名として用いて確認できる。ステップＳ４６５において、現在関係者の認証値Ａ_nが有効であるかどうかが判定される。有効でない場合、それは、正当なグループ関係者の１人のグループへのアクセスを安全な通信が否定するような単独の攻撃を、所在地限定物理トークンチャンネルが受けたことを意味する。この場合、動作はステップＳ４８０に飛ぶ。判定が有効であった場合、動作はステップＳ４７０に進む。

ステップＳ４７０において、グループオリジネータは、安全な通信ネットワーク上で、他の関係者それぞれの事前認証情報と位置情報とを現在関係者に送信する。ステップＳ４７５において、関係者すべてとの接触（コンタクト）がなされたかどうかが判定される。コンタクトされていない関係者がいる場合、動作はステップＳ４４５に戻り、次の関係者が現在関係者として選択される。ステップＳ４４５〜Ｓ４７５は、ステップＳ４６５の判定が「いいえ」となるか、あるいは、関係者すべてとのコンタクトがなされるまで繰り返される。すべての関係者とのコンタクトが完了したら、動作は、ステップＳ４７５からＳ４８５に飛ぶ。そうでない場合は、グループの関係者間に安全な通信を確立する試みが単独の攻撃を受けたので、ステップＳ４８０において、各関係者は、グループが攻撃されたことを通知される。動作はステップＳ４８５に進み、本方法の動作はそこからステップＳ５００に移行する。

図９は、ネットワーク媒体内に安全な通信を確立するのに利用でき、第１通信装置３１０または第２通信装置３２０のいずれかとして利用可能な通信装置４００を示す図である。通信装置４００は、プロセッサ４１０と、メモリ４２０と、入出力（Ｉ／Ｏ）インタフェース４３０と、を含み、入出力インタフェース４３０は、所在地限定物理トークンチャンネルインタフェース４３２と、主要通信インタフェース４３４と、を含む。

メモリ４２０は、オペレーティングシステム４２１と、通信アプリケーション４２２と、認証アプリケーション４２３と、オーセンチケータ（authenticator）４２４と、事前認証部４２５と、位置情報部４２６と、署名情報部４２７と、秘密情報部４２８と、を格納する。

事前認証部４２５は、該当の関係者の事前認証情報に加え、所在地限定物理トークンチャンネルを介して、あるいはオリジネータから受け取った他の関係者の事前認証情報を記憶する。位置情報部４２６は、同様に、該当の関係者の位置情報に加え、所在地限定物理トークンチャンネルを介して、あるいはオリジネータから受け取った他の関係者の位置情報を記憶する。署名情報部４２７は、オリジネータによって使用されるもので、所在地限定物理トークンチャンネルを介して他の関係者から受け取った署名を記憶する。秘密情報部４２８は、該当の関係者が所在地限定物理トークンチャンネルに提供した秘密、および、所在地限定物理トークンチャンネルを介して他の関係者からオリジネータに受け取られた秘密である。

認証アプリケーション４２３は、プロセッサ４１０によって実行される命令を提供し、この命令によって、通信装置４００は、グループの第２の関係者の第２の通信装置との間で、該通信装置４００と該第２の通信装置４００の、事前認証データと、位置情報データと、署名情報データと、秘密情報データのうちのすべてまたは少なくとも１つに基づいて安全な通信を確立できる。これらのデータは、それぞれ、所在地限定物理トークンチャンネルからコピーされ、事前認証部４２５、位置情報部４２６、署名情報部４２７、秘密情報部４２８に保存されている。前述したように、この情報は、所在地限定物理トークンチャンネルを利用して、前記通信装置４００と前記第２の通信装置４００との間で安全に交換される。

事前認証情報は、受け取ったオーセンチケータ４２４の認証に利用される。事前認証データは、他の関係者に所属する公開鍵（秘密）の認証に用いられるもので、この認証は、（ａ）前記他の関係者の公開鍵が事前認証データ内のハッシュと一致すること、および（ｂ）前記他の関係者が対応する秘密鍵を所有すると証明されること、を確認することによって行われる。また、ワンキー（one-key）の場合、前記認証は、オリジネータが、オリジネータ自身で所在地限定物理トークンチャンネルに書き込んだ公開鍵に対応する秘密鍵を所有すると証明され、該公開鍵は、前記他の関係者が秘密内で送ったものであることを確認することによって行われる。前記秘密は、前記他の関係者が事前認証データとして利用したハッシュの事前イメージ（pre-image）であると共に、オリジネータの公開鍵を用いて作成された安全なトンネル（たとえば、ＳＳＬ）で暗号化されたものである。オーセンチケータ４２４は、鍵や秘密等であってもよい。

図１０と図１１は、無線装置のグループ内でネットワーク媒体を介した通信を認証する設定について示す図である。１つの関係者（装置）は、グループオリジネータ（装置）５１０として機能する。所在地限定物理トークンチャンネル５４０に事前認証情報と位置情報の少なくとも一方をコピーする最初の関係者が、グループオリジネータ５１０となる。このグループオリジネータ５１０は、各種の正当な関係者５１２，５１４，５１６のうちの最初の１つに所在地限定物理トークンチャンネルを渡す。

各正当関係者５１２，５１４，５１６は、所在地限定物理トークンチャンネルを渡された後、該所在地限定物理トークンチャンネルを自分の通信装置に接続する。当該関係者５１２，５１４、または５１６は、オリジネータの事前証明書情報および位置情報と、先行する関係者が存在する場合はその先行関係者の事前認証証明書情報および位置情報とを、所在地限定物理トークンチャンネル５４０からコピーすると共に、自分自身の事前認証証明書情報およびネットワーク位置を前記所在地限定物理トークンチャンネル５４０にコピーする。所在地限定物理トークンチャンネルは、次に、他の関係者５１２，５１４、または５１６それぞれに順次渡される。この動作は、すべての関係者５１２，５１４、および５１６が、オリジネータと先行関係者の事前証明書情報およびネットワーク位置を各自の通信装置にコピーし、自分の事前認証証明書情報およびネットワーク位置を所在地限定物理トークンチャンネル５４０にコピーする機会を得るまで続行される。

所在地限定物理トークンチャンネル５４０は、次に、オリジネータ５１０に戻される。この時点で、オリジネータ５１０は、所在地限定物理トークンチャンネル５４０に含まれる事前認証証明書情報とネットワーク位置情報とを使用して、関係者５１２，５１４，５１６の各通信装置との安全な通信を確立する。

別のグループ５２２，５２４，５２６も存在し、これらのグループも無線ネットワークにアクセスできる。一実施形態において、所在地限定物理トークンチャンネルを所有しようとするすべての試みは、必ず検知されることになってもよい。

図１１に示されるように、各関係者５１２，５１４，５１６は、たとえば、グループオリジネータ５１０から提供されたアドレスを使用して、グループオリジネータ５１０との２地点間接続を交互に行うか、あるいは、グループオリジネータ５１０が各関係者との接続を確立する。各関係者５１２，５１４，５１６は、２地点間鍵交換プロトコルでグループオリジネータ５１０と連結される。各関係者は、他の関係者によって提示された公開鍵が該他の関係者によって所在地限定物理トークンチャンネルに挿入されたものであることを確認する。

パーティ５２２，５２４，５２６は、所在地限定物理トークンチャンネルの物理的な所有が不可能であるので、グループオリジネータ５１０は、パーティ５２２，５２４，５２６をグループ通信の正当な関係者であると認識しない。したがって、パーティ５２２，５２４，５２６は、主要無線リンク上でグループオリジネータ５１０との２地点間接続を正常に作成することはできない。

関係者がグループを去った場合、グループオリジネータ５１０は、無線リンクを通じて、残りの関係者すべてに新しいグループ鍵を配布できる。これを行うのは、グループオリジネータ５１０は、２地点間の鍵交換において、共通の秘密鍵を関係者ごとに設定しているためである。

本発明を利用できる状況の一例を示す図である。通信認証システムを示す図である。通信認証システムの詳細を示す図である。所在地限定物理トークンチャンネルを使用して通信を認証する方法の概要を示すフローチャートである。所在地限定物理トークンチャンネルに事前認証情報を収集する方法を詳細に示すフローチャートである。所在地限定物理トークンチャンネルに含まれる収集された事前認証情報を他の関係者に配布する方法を詳細に示すフローチャートである。所在地限定物理トークンチャンネルを使用して事前認証情報を収集する方法を詳細に示すフローチャートである。所在地限定物理トークンチャンネルに含まれる収集された事前認証情報をグループの他の関係者に配布する方法を詳細に示すフローチャートである。ユーザのシステム装置の一例を示す図である。所在地限定物理トークンチャンネルの制御交換方式が、盗聴者のグループ内への侵入を、どのように防御するのかを示す図である。認証された関係者間の認証後の無線通信について、認証されていない傍観者が存在する場合を示す図である。

符号の説明

２１０通信装置、２１２インタフェース、２２１〜２２７関係者、２３０ネットワーク、２３１〜２３７リンク、２４０所在地限定物理トークンチャンネル、３１０第1通信装置、３１２インタフェース構造、３２０第２通信装置、３２２インタフェース構造、３４０所在地限定物理トークンチャンネル、４００通信装置、４１０プロセッサ、４２０メモリ、４２１Ｏ／Ｓ、４２２通信アプリケーションプログラム、４２３認証プログラム、４２４オーセンチケータ、４２５事前認証部、４２６位置情報部、４２７署名情報部、４２８秘密情報部、４３０Ｉ／Ｏインタフェース、４３２所在地限定物理トークンチャンネル、４３４ネットワークインタフェース、４４２所在地限定物理トークンチャンネル、４４４主要ネットワーク接続ノード、５１０グループオリジネータ、５１２，５１４，５１６，５２２，５２４，５２６装置、５４０所在地限定物理トークンチャンネル。

Claims

少なくとも３つの通信装置間の通信を安全にする方法であって、
前記少なくとも３つの通信装置のうちの第１通信装置が前記第１通信装置の少なくとも事前認証情報を前記第１通信装置に接続された所在地限定物理トークンチャンネルに保存するステップと、
前記少なくとも３つの通信装置のうち、現在通信装置となる次の通信装置が、前記現在通信装置の少なくとも事前認証情報を前記現在通信装置に提供されて接続された前記所在地限定物理トークンチャンネルに保存するステップと、
前記現在通信装置が前記第１通信装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルから前記現在通信装置にコピーするステップと、
前記少なくとも３つの通信装置のうちの前記第１通信装置と前記現在通信装置以外の残りの通信装置について、それぞれを現在通信装置として、前記保存するステップと、前記コピーするステップと、を繰り返すステップと、
前記第１通信装置が前記各現在通信装置それぞれの少なくとも事前認証情報を、前記第１通信装置に再接続された前記所在地限定物理トークンチャンネルから前記第１通信装置にコピーするステップと、
前記第１通信装置が前記所在地限定物理トークンチャンネルを用いて前記第１通信装置と各現在通信装置の間で交換された前記第１通信装置と前記各現在通信装置の少なくとも事前認証情報に基づいて、前記第１通信装置と前記各現在通信装置の間で安全な通信を確立するステップと、
前記第１通信装置が、前記各現在通信装置同士で安全な２地点間通信を行うために、前記各現在通信装置の秘密鍵を用いて生成された署名が、前記各現在通信装置の公開鍵を用いて有効であると判断されたときに、前記確立された安全な通信の経路を介して、前記各現在通信装置それぞれの少なくとも事前認証情報を前記各現在通信装置それぞれに対して送信するステップと、
を含むことを特徴とする方法。
データ処理装置で実行でき、少なくとも３つの通信装置間の安全な通信に利用できる一連のプログラム命令を格納する記憶媒体であって、
前記一連のプログラム命令は、
第１通信装置が前記第１通信装置に接続された所在地限定物理トークンチャンネルに、前記第１通信装置の少なくとも事前認証情報を保存する命令と、
前記第１通信装置とは異なる少なくとも２つの他の通信装置が、前記各他の通信装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルに保存する命令と、
前記各他の通信装置が少なくとも前記第１通信装置の少なくとも事前認証情報を前記所在地限定物理トークンチャンネルから前記各他の通信装置にコピーする命令と、
前記第１通信装置が前記他の通信装置の少なくとも事前認証情報を、前記所在地限定物理トークンチャンネルから前記第１通信装置にコピーする命令と、
前記第１通信装置が前記所在地限定物理トークンチャンネルを用いて前記第１通信装置と前記各他の通信装置の間で交換された前記第１通信装置と前記各他の通信装置の少なくとも事前認証情報に基づいて、前記第１通信装置と前記各他の通信装置の間で安全な通信を確立する命令と、
前記第１通信装置が、前記各他の通信装置同士で安全な２地点間通信を行うために、前記各他の通信装置の秘密鍵を用いて生成された署名が、前記各他の通信装置の公開鍵を用いて有効であると判断されたときに、前記確立された安全な通信の経路を介して、前記各他の通信装置それぞれの少なくとも事前認証情報を前記各他の通信装置それぞれに対して送信する命令と、
を含むことを特徴とする記憶媒体。