JPH09190555A5 - トランズアクション証明装置を構成する方法 - Google Patents

Description

【特許請求の範囲】
【請求項１】 トランズアクション証明装置を構成する方法において、
(a) キー管理システム(10)の論理的安全領域(50, 52)にマスター・キーを生成するステップ(306)と、
前記生成するステップは、
前記論理的安全領域(50, 52)を生成するステップと、
少なくとも１つのサブ領域を生成するステップと、
前記キー管理システム(10)の安全ボックス(20, 21, 22, 32, 40)に前記論理的安全領域(50, 52)をインストールするステップと、
前記キー管理システム(10)の論理的安全領域(50, 52)内に前記マスター・キーとテスト・トークンを生成するステップと、
前記論理的安全領域のアーカイブ(25, 45)に前記マスター・キーを記録するステップとを有し、
(b) トランズアクション証明装置(36, 136, 236)に前記マスター・キーをインストールするステップ(332)と、
(c) 前記マスター・キーのインストールを検証するステップ(340-348)と、
(d) 前記キー管理システムの前記サブ領域に前記マスター・キーを登録するステップ(360-372)と、
を有することを特徴とする方法。
【請求項２】 前記トランズアクション証明装置に前記マスター・キーをインストールするステップは、更に、前記マスター・キーを前記トランズアクション証明装置に対する識別番号と関連させるステップを有することを特徴とする請求項１に記載の方法。
【請求項３】 前記マスター・キーのインストールを検証するステップは、更に、
前記トランズアクション証明装置にトークンを生成するステップと、
前記テストトークンと前記トランズアクション証明装置に生成されたトークンが同一であることを検証するステップと、
マスター・キーからトークンを前記アーカイブに生成するステップと、
前記トランズアクション証明装置に生成されたトークンと前記アーカイブに生成されたトークンが同一であることを検証するステップと、
を有することを特徴とする請求項１または２に記載の方法。
【請求項４】 前記キー管理システムのサブ領域に前記マスター・キーを登録するステップは、更に、
サブ領域を前記トランズアクション証明装置に割当てるステップと、
郵便の識別子を前記トランズアクション証明装置にインストールするステップと、
前記郵便の識別子を特定の装置の識別子に関連付けるステップと、
前記郵便の識別子と前記特定の装置の識別子に基づいて、前記トランズアクション証明装置に第１の登録トークンを生成するステップ(362)と、
前記アーカイブに記録された前記マスター・キーを用いて、第２の登録トークンを生成するステップ(366)と、
前記第１と第２の登録トークンが同一であることを検証するステップ(366)と、
前記マスター・キーを前記サブ領域に記録するステップ(370, 372)と、
を有することを特徴とする請求項１乃至３のいずれか１つに記載された方法。
【請求項５】 更に、前記トランズアクション証明装置に割り当てられた各領域に対してステップ(a)〜(d)を繰り返すステップを有することを特徴とする請求項１乃至４のいずれか１つに記載された方法。
【請求項６】 前記トランズアクション証明装置は、ディジタル郵便料金メーターであることを特徴とする請求項１乃至５のいずれか１つに記載された方法。
【請求項７】 前記キー管理システムのサブ領域に前記マスター・キーを登録するステップは、更に、
サブ領域をディジタル郵便料金メーターに割り当てるステップと、
郵便の識別子をディジタル郵便料金メーターにインストールするステップと、
前記ディジタル郵便料金メーターに対して前記郵便の識別子を特定の装置の識別子と関連付けるステップと、
前記郵便の識別子と前記特定の装置の識別子に基づいて、第１の登録トークンを前記ディジタル郵便料金メーターに生成するステップ(362)と、
前記アーカイブに記録された前記マスター・キーを用いて、第２の登録トークンを生成するステップ(366)と、
前記第１と第２の登録トークンが同一であることを検証するステップ(366)と、
前記サブ領域に前記マスター・キーを記録するステップ(370, 372)と、
を有することを特徴とする請求項６に記載の方法。
【請求項８】 更に、前記ディジタル料金メーターに割り当てられた各領域に対してステップ(a)〜(d)を繰り返すステップを有することを特徴とする請求項６または請求項７に記載の方法。

【０００２】
【発明の背景】
ディジタル印刷技術は、郵便物宛て名印刷機がディジタルの、即ちビットマップのアドレス可能な印刷を便利な方法で行うことを可能にする。郵便料金の支払いを証明する目的に対して、このような技術を用いることが必要であることがわかっている。ディジタル印刷技術の技術的進歩は、各郵便物に対して独自の郵便料金の証印を印刷することを可能にした。例えば、コンピュータ駆動の印刷機は郵便物の表面上の必要な位置に郵便料金の証印を印刷する。証印は、例えば、郵便物、郵便料金の値、日付、個数および／または郵便コードに直接関係する情報を含むために、証印は独特なものである。
郵便局の展望から、あるゆる適当なコンピュータと印刷機が画像の多重コピーを生成するために用いることができるので、ディジタル印刷および走査技術が、証印を有する郵便の価格を偽造することをかなり容易にすることは、評価されるであろう。
郵便物を確認するために、それは、郵便物に印刷された郵便料金の額を計算して、例えば、郵便物に印刷された値が正しいかどうかを知るために、無料配達の値が暗号化から決定されるように、暗号化された数を無料配達の一部として含むことが知られていることを保証することである。例えば、Eckertにあたえられた米国特許 4,649,266号と同様にEdelmann他に与えられた米国特許第 4,757,537号および 4,775,246号を参照さたい。Sansone 他に与えられた米国特許 4,725,718号とFougere 他に与えられた米国特許第 4,743,747号に記載された暗号化の更なる一部として宛て名を含むことによって、郵便物を証明することも公知である。

郵便料金の支払いの証明をするために暗号化の手段を採用するディジタル・メーターの新しいクラスが開発されている。暗号化は、暗号キーを用いて行われる。各々のディジタル・メーターにおいて、独立したキーがディジタル・トークンを生成するために用いられる。安全性の理由のために、いろいろなメーターにおけるキーも独立である。メーターおよび郵便物についての情報は結合され、売主および郵便のマスター・キーあるいはそこから引き出されるキーで暗号化される。その結果生じた情報の部分は、ディジタル・トークンとして郵便物に印刷される。情報とトークンは、同じ方法における情報を処理し、その結果生じたディジタル・トークンを郵便物に印刷されたディジタル・トークンと比較する装置によって検証される。
キー管理システムは、安全な、信頼できる方法で、暗号化キーをディジタル・メーターに分配する必要がある。キー管理システムは、証印と複製された証印の詐欺的に生成されたものを検出するために、証印とディジタル・トークンを検証するための手段を持たねばならない。
キー管理システムは、行き先国へメーターを割り当てること、即ち、インベントリーされた一般的なメーターを作成することなく、メーターを作成するための能力を有していることが必要である。しかしながら、一般的なメーターを作成することは、分野におけるキーをインストールするために必要であるか、或いは領域間のキーを変換するために必要であるかを示唆する問題を発生する。何れか一方は、重要な安全性とキーの完全性のスレット(threat)を示す。キー管理システムはこの様な問題を避ける手段を含む。

【０００５】
【本発明の概要】
本発明は、ディジタル郵便料金メーターのような、トランズアクション(transaction) 証明装置を作成する方法を提供する。幾つかのメーターは行き先国を知ることなく作成される。これは、分野においてキーをインストールする必要性か、あるいは領域間のキーを変換する必要性を示唆する問題を生じる。何れか一方は、重要な安全性とキーの完全性のスレット(threat)を示す。本発明において、この問題は、地球領域(Earth domain) と呼ばれる分離領域を作ることによって避けられる。本発明において、一般的なメーターに関する前述の問題は、地球領域と呼ばれる分離領域の作成によって避けられることが判った。本発明は、行き先国が作成時に判らないとき、ディジタル・メーター・キーを安全に管理する能力を提供する。
本発明によると、メーター・キーが作成され、メーターが作られる郵便領域のもとでディジタル・メーターにインストールされる。メーターのための証印の連続番号が登録されると、即ち現実的になると、郵便の国が知られる。その国の検証ボックスはその登録を検証し、メーター・キーは、蓄えられ、好ましくは、証印の連続番号によってインデックスされる。各々の国の検証ボックスは、その国に特定の秘密のキーで暗号化されたその国に対してメーター・キーを蓄える。

本発明によると、作成プロセス中に、その国に対して明らかに初期化されていないあらゆる国の受信メーターは、地球領域メーターを受ける。その国に対する安全な検証ボックスは、その国に対するデータベース暗号キーで、地球領域検証プロセスとして活性化される。もし、ある国がその国の郵便の領域に対して明らかに作成されたメーターと、その地球郵便領域にの下で作成されたメーターを有しているなら、その国に対する検証ボックスは、その国自身の領域と共に、およびにその国自身の領域おいて、地球領域の国のサブ領域で動作することができなければならない。
本発明は、キー管理システムの論理的な安全領域においてマスター・キーを生成するステップ、ディジタル郵便料金メーターにマスター・キーをインストールするステップ、マスター・キーのインストールを検証するステップ、およびキー管理システムの論理的な安全サブ領域にマスター・キーを登録するステップを有している。マスター・キーを生成するステップは、更に領域を生成するステップ、少なくとも１つのサブ領域を生成するステップ、キー管理システムの安全ボックスに領域をインストールするステップ、領域内にマスター・キーとテスト・トークンを生成するステップ、および領域のアーカイブにマスター・キーを登録するステップを有する。マスター・キーをインストールするステップは、更にディジタル・メーターにマスター・キーをインストールするステップ、およびマスター・キーを特定の装置の識別子と関連ずけるステップを有する。キー管理システムにおける論理的な安全サブ領域にマスター・キーを登録するステップは、更にディジタル・メーターにサブ領域を割り当てるステップ、ディジタル・メーターに郵便の識別子をインストールするステップ、特定の装置の識別子に郵便の識別子を関連するステップ、郵便の識別子と特定の装置の識別子に基づくディジタル・メーターに第１の登録トークンを生成するステップ、アーカイブに記録されたマスター・キーを用いて第２の登録トークンを生成するステップ、第１と第２の登録トークンが同一であることを検証するステップ、およびサブ領域にマスター・キーを記録するステップを有する。これらのステップはディジタル・郵便料金メーターに割り当てられた各領域に対して繰り返される。

キー管理システムは、情報の完全性の証拠を作成するために、暗号手段を採用する情報トランズアクション・システムによって用いられた暗号キーを生成し、分配し、管理する手段を有する。このシステムは、互いに作動的に結合された、複数の機能的に個別の安全ボックスを有する。安全ボックスの各々は、キーの生成、キーのインストール、キーの検証、あるいはトークンの有効性のための機能を果たす。安全ボックスに作動的に結合されたコンピュータは、システム制御を与え、安全ボックス間の通信を容易にする。複数の分離した論理的な安全領域は、キーの生成、キーの組み込み、キーの検証、およびキー管理機能を用いて、領域内のトランズアクション証明装置によって生成されたトークンの有効性を与える。安全性の領域の各々にそれぞれ対応する複数の領域アーカイブは、各々の領域に対するキー状態の記録およびマスター・キーを安全に、且つ確実に記録する。キー管理システムは、トランズアクション証明装置にマスター・キーをインストールし、トークンを有効にする。これらの安全ボックスは、マスター・キーを生成し、暗号化し、署名するためのキー生成ボックス；署名されたマスター・キーを受信し、検証し、復号化するため、およびトランズアクション証明装置にマスター・キーをインストールするためのキー・インストール・ボックス；トランズアクション証明装置のマスター・キーのインストールを検証するための検証ボックス、トークンを検証するための検証ボックス、および領域キーを生成し、領域の各々に対する安全ボックス間に領域キーを分配するための少なくとも１つの作成ボックスを有している。

本発明の好適な実施の形態によると、キー管理システムは、ベンダーキー、USPSキーおよび他国の郵便キーのような、暗号キーを生成し、多重領域に対するディジタル・メーターに分配する。領域は、データの論理的な分離および特定の領域の証明および秘密のキーによって実施される機能である。キー管理システムは、キーが領域内で生成され、それらがシステムによって、１メーターのみに組み込まれるという保証を領域に与える。キー管理システムは、多重領域に対する暗号キーを安全に分配し、維持する。更に、キー管理システムは、全ての領域に対するキー管理が同一であるように構成される。
キー管理システムは以下の安全性の要件をサポートする：（１）メーター・キーは、常に秘密である；（２）証印情報を検証する能力は、システムの寿命の間続く；（３）メーターのマスター・キーの状態は、常に正確に維持されなければならない；（４）領域の分離は、証印を発生し、検証するために維持されなければならない；そして（５）キーは、インストールされるか、あるいは一度だけインストールされるようにされる。

キー管理システム１０は、ディジタル・メーター製品における暗号キーを設けることおよび長期間の維持をサポートする。マスター・キーの生成は、オーク・ボックス(Oak Boxes) とも呼ばれるマスター・キー生成ボックス２０と２２、ＫＭＣとも呼ばれるインストールされたキー管理システムのコンピュータ(Key Management System computer)２４、および保存サーバー２５によって、サポートされる。マスター・キーの分配は、ＫＤＣとも呼ばれるキー分配コンピュータ(Key Distribution Computer) ３０によってサポートされる。マスター・キーのインストールは、スチール・ボックス(Steel Box) とも呼ばれるマスター・キー・インストール・ボックス(Master Key Installation Box) ３２、および取り付けられたパラメータライゼーション、シーディングおよび登録（Parameterization, Seeding And Resistration(PRS))コンピュータ３４によってサポートされる。印刷されたディジタル・トークンの集中化された検証は、ブラス・ボックス(Brass Boxes) とも呼ばれるトークン検証ボックス２１と４０、およびインストールされたそれぞれのキー管理システムのコンピュータ２４と４２によって、サポートされる。キーアーカイブ(Key Archives)２５と４５は、キー状態メッセージとキーを安全に且つ確実に記録する。

安全領域
図２を参照すると、キー管理システム１０は、個々の論理的安全領域：１つのベンダー領域５０と郵便局のための１以上の領域を有している。おのおのの領域は、キー発生、キー分配、キーのインストール、およびトークン検証サービスのフルセットを与える。各領域は、ベンダーおよび郵便設備のような、種々の設備を有することができる。多重の論理的安全領域は、各安全ボックス内に存在することができる。このような多重の領域の分離は、マスター・キー・データベースにおいて領域メッセージの暗号化によって達成される。データベースの暗号キーは、各々の領域に対して異なっている。安全ボックス内で、領域の分離は、限定されたプロセスによってそのボックスにおいて可能にされる。しかし、安全領域は、ディジタル・メーターの内部で、１か所においてのみオバーラップしている。ディジタル・メーターは、支払いトークンの２つの証明を計算し、１つはベンダーのマスター・キーを用い、他は郵便のマスター・キーを用いる。いずれかのディジタル・トークンの検証における失敗は、詐欺の充分な証明である。
図３を参照すると、ベンダーのデータ・センター１２は、キー管理システムの要素に対して、物理的な、情報アクセス制御を与える。ベンダーのデータ・センター１２は、ベンダーのマスター・キー生成ボックスとして機能する、少なくとも１つのオーク・ボックス２０、ベンダーのトークン検証ボックスとして機能する、少なくとも１つのブラス・ボックス２１、および作成ボックス２３を収容する。安全性に対して、各々のボックスは特定のＩＤを有する。追加の安全性に対しては、生成、検証および作成機能は、互いに物理的に分離されている。即ち、オーク・ボックス、ブラス・ボックスおよびスチール・ボックスは分離したボックスである。２以上の機能ボックスが、もし必要なら、１つの物理的なボックスに収容するとができることに留意さるべきである。

ベンダーのＫＭＳコンピュータ２４は、安全なオーク、ブラスおよび作成ボックス、およびそれら間のメッセージを管理する。それは、安全なボックス通信、ベンダーのキー保管サービス、郵便のキー保管サービス、およびベンダーの作成設備１４と郵便のデータ・センター１６との通信をサポートする。
図４を参照すると、ベンダーの作成設備１４は、キー管理システム要素に対する物理的な、情報アクセス制御を与える。ベンダーの作成設備１４は、ベンダーのキー分配コンピュータ３０、マスター・キーインストール・ボックスとして機能する少なくとも１つの安全スチール・ボックス３２、および対応するＰＳＲコンピュータ３４を収容する。ベンダーのキー分配およびＰＳＲコンピュータ３０と３４はキー管理システム・コンピュータ２４、他の安全ボックスおよびオンライン・ディジタル・メーター３６との通信をサポートする。ＰＳＲコンピュータ３０は対応するスチール・ボックス３２とディジタル・メーター３６の初期化を管理する。
図５を参照すると、郵便のデータ・センター１６は、キー管理システム１０の要素に対する物理的な、情報アクセス制御を与えることができる。郵便のデータ・センター１６は、郵便のマスター・キー生成ボックスとして機能する郵便のオーク・ボックス２２および郵便のトークン検証ボックスとして機能する郵便のブッス・ボックス４０を収容する。郵便のキー管理システム・コンピュータ４２は安全ボックス通信、郵便のキー保管サービス、および郵便設備１８とベンダーのデータ・センター１２との通信をサポートすることができる。

図６を参照すると、追加の論理的安全領域が、キー管理システム要素において全ての他の安全領域のインストールおよびメンテナンスをサポートするように要求される。これは、安全領域の生成およびキー管理システム要素における安全領域のインストールに対して責任をもつキー管理システムの監督領域(Key Management System Administration Domain) ６０と呼ばれる。
地球安全領域(Earth Security Domain) における国の特定サブ領域をインストールすることは、アース安全領域の責任である。安全領域内の製品コード・パラメータを設けることは、影響を受けた安全領域の責任である。これは以下に説明される。
機能的な特徴
以下のパラグラフは、キー管理システム１０における全ての動作とメッセージの概要を示す。
キー管理システム１０は、ディジタル・メーターの製品の作成および動作をサポートするために、幾つかの必要な機能を与える。ディジタル・メーターの製品に用いられる全ての暗号キーに対し、生成、分配および長期間の記憶に対して責任を有している。また、このような暗号キーを用いるディジタル・メーターの製品によって生成されるディジタル・トークンの検証に対しても責任を有している。

キー管理システム１０が要求キー命令（Request Key command)を受取ると、スチールＩＤが必要とされる。スチールＩＤは、分配マスター・キー(Distribute Master Key) の記録に含まれ、領域スチール・プロセス７６によってチェックされなければならない。もしメッセージにおけるスチールＩＤがスチール・ボックスのためのスチールＩＤとマッチしないなら、そのメッセージは拒否される。スチールＩＤは、メッセージ記号を解読することなく、メッセージ内で変更されることはできない。領域マスター・キーのアイデンティフィケーション数、スチールＩＤおよびメッセージ記号の組み合わせは、一時のインストール要求を満足する。
図８を参照すると、キー分配コンピュータ３０は、記号８０においてキーを要求する。記号８２において、キー管理システムのコンピュータ２４は領域アーカイブ７４からの新しく自動的に増大するキーＩＤを発生する。記号８４において、領域オーク・プロセス７０は、オーク・ボックス・キーＩＤが最後に見られた値に対して新しいかどうかを決定する。もし新しくなければ、オーク・ボックスのエラー条件が記号８６において開始される。キーＩＤが新しければ、記号８８で、オーク・ボックス２０はキーを発生し、暗号化し、そのキーＩＤを取付け、且つ署名して、メッセージをスチール・ボックス３２に送る。記号９０において、領域のスチール・プロセス７６は、スチールＩＤが正しいかどうかを決定する。記号９２において、領域のスチール・プロセス７６は、キーＩＤが最後に見られた値に対して新しいかどうかを決定する。メッセージの記号化テストが失敗するか、スチールＩＤが正しくないか、あるいはキーＩＤが新しくないなら、スチール・ボックスのエラーが発生する。もしエラーが発生しないなら、記号９８においてスチール・ボックス３２はキーをメーター３６にインストールする。

作成ボックスおよび領域のキー
図９−１２を参照すると、キー管理システム１０内の安全ボックスは領域の形状情報とキーイング材料で初期化される。これは領域の生成および領域のキー１１０に対して責任を有する作成ボックス２３の使用を介して達成される。領域が作られると、特定の領域ＩＤが必要とされる。領域が作成ボックス２３に確立された後、他の安全ボックスは領域情報で初期化することができる。
全ての領域のキー１１０は作成ボックス２３によって生成される。領域のキー１１０は、領域のキーセット１０３によって暗号化された、秘密性、権威および動作キーからなる。領域のキー１１０はいろいろな安全ボックス間でシェアされる。各々の安全ボックスは、キーイング材料に対する特定の要求を有している。
各作成ボックス２３は、３つのシャミールの秘密シェア(Shamir secret shares)１０２に入り込まれる動作の組み合わせ１０１を要求する。個々のシェアは取りはずし可能な媒体に書き込まれ、権限をもたされた者に分配される。各作成ボックス２３は、秘密性に対するＲＳＡのキー対と証明に対するＲＳＡのキー対から成る領域キーのセット１０３を必要とする。秘密性と証明のキーは３つのシャミールの秘密シェア１０４に入り込まれる。個々のシェアは取りはずし可能な媒体に書き込まれ、権限をもたされた者に分配される。ＲＳＡキー対は、Communications of the AMC, Vol. 21, No. 2, February 1978, pp. 120-127 において、R. L. Rivest, A. Shamir and L. Adelmanにより "A Method For Obtaining Digital Signatures And Public-Key Cryptosystems" に記載されている。シャミール秘密シェアは、Communications of the AMC, Vol. 22, No. 11, Nov. 1979, pp. 612-613において、 A. Shamirにより"How To Share A Secret" に記載されている。

各々の領域のブラス・プロセス７２は、証明のためにＲＳＡキー対を必要とする。個人的な、および公的な証明キー（P'BAとPBA)は、領域のブラス・プロセスによって知られるのみである。各々の領域のブラス・プロセスは、秘密性のためにＲＳＡキー対を必要とする。個人的な秘密性キー(P'BC)は、領域のブラス・プロセス７２によって知られるのみである。公的な秘密性（PBC)キーは、領域のオーク・プロセス７０によって知られる。各々の領域のブラス・プロセス７２は、領域のブラス・プロセス７２によって知られるのみである、秘密性のためのＤＥＳキーのセットを必要とする。各々の領域のブラス・プロセス７２は、領域のブラス・プロセス７２によって知られるのみである、証明のためのＤＥＳキーのセットを必要とする。
安全ボックスを動作するために必要な、選択されたシェアの数は、キー管理システムのために具現化される安全戦略に基づかれることは、この分野の当業者によって理解されるであろう。
ディジタル・メーターの要件
製品のコード・ナンバーと関連して、作成シーケンス・ナンバーは、ベンダーの作成プロセス内にディジタル・メーター３６を独自に定義する。作成シーケンス・ナンバーの割当ての好適な方法は、以下のとおりである。独自の製品コード・ナンバーと作成シーケンス・ナンバーの対をそれぞれが含むアイデンティフィケーション・ラベルの供給は、製造ラインにストックされる。１つのアイデンティフィケーション・ラベルは、各々のディジタル・メーター３６に適用される。これらのナンバーはＰＳＲコンピュータ３４に入れられ、キー・インストール・プロセス前にディジタル・メーター３６にダウンロードされる。
メーターは、製造中にキーが一旦インストールされると、それらは変更についての物理的証明の許可なく、製造環境の外部で決して除去されたり、決められたりすることがないように、安全に形成される。領域オーク・プロセス７０は、マスター・キーの生成プロセスの間一組のテスト情報を用いる。テスト・パターンは、テスト・トークンのセットを発生するために用いられ、製造におけるマスター・キー・インストール・プロセスをチェックする。このテスト・パターンは、２つの予めフォーマット化された６４ビットのバイナリー値から成る。これらはターゲット領域マスター・キーと特定の位置で暗号化され、生じた暗号文からのトークンの数が発生される。

テスト・パターンは、ソフトウエアを動作する領域のオーク・プロセスと領域のブラス・プロセスに含まれる。全てのディジタル・メーターは、取付けのチェック手続きの間に同じテスト情報を用いる。テスト・パターンはキー管理システム１０とターゲット・ディジタルメーター間にシェアされた情報のセットである。テスト・パターンは、特定のディジタルメーターのためにＲＯＭに記憶することができる。
地球領域ディジタルメーター
地球領域のディジタル・メーターは、それらが製造設備に残されるときは、国の特定情報を持っていない。これは、ディジタル・メーターが地域ベースにストックされ、最後の時には国が特定されることが可能なようになされる。地球領域のディジタル・メーターに対する製品コード・ナンバーは、予め決められた数に続く２文字製品コードのプリフィックス（a two letter product code prefix) である。国の擬人化の前に、証印の一連番号は、ヌルストリング(a null string) である。製品コード番号と証印の連続番号値は、領域マスター・キーを活性化するために、キーの登録時に定義されなけれはならない。

図１３を参照すると、地球領域ディジタル・メーターのためのプロセス・フロー図が得られる。地球領域ディジタル・メーターのための地球領域マスター・キーが地球領域のオーク・プロセス１７０によって生成される。地球領域マスター・キーのコピーは、地球領域アーカイブ１７４に格納される。地球領域マスター・キーは、地球領域のディジタル・メーター１３６にインストールされ、地球領域のスチール・プロセス１７６によってチェックされる。地球領域マスター・キーのインストールは、地球領域のブラス・プロセス１７２によって検証される。地球領域マスター・キーの記録は、地球領域のブラス・プロセス１７２によって現状をインストールするために更新される。地球領域のブラス・プロセス１７２はキーの登録には関係しない。
権限を与えられたものは、地球領域のディジタル・メーター１３６を、ディジタル・メーターの製品コード番号と証印の連続番号をセットすることによって、国の特定安全領域に割り当てる。ディジタル・メーター２３６が国の特定安全領域に一旦割り当てられると、それは地球領域に戻ることができない。ディジタル的にサインされたキー登録の記録は、製品コード番号、証印の連続番号および製造の連続番号を含むディジタル・メーターによって生成される。ディジタル的にサインされたキー登録の記録は、キー管理システムのコンピュータ２４に戻される。

キー管理システムのアドレス
キー管理システム１０は、物理的な安全ボックスと論理的な安全領域から成る。これらの要素間を流れるメッセージは、プロセスとオーディター(auditors)がメッセージの関係者を同定することを可能にするために、充分な情報を含んでいなければならない。
論理的な安全領域はアドレス・オブジェクト(address object)と呼ばれる領域ＩＤによって決定される。このアドレスは、キー管理システム１０内の特別な領域の場合を定義する。有効な領域ＩＤs の例は、ベンダーの安全領域に対するＶＥ、合衆国の郵便サービスの安全領域の場合に対するＵＳＰＳ、および英国の王室郵便の安全領域の場合に対するＵＫＲＭである。安全領域は、いろいろな安全ボックスにおよび、いろいろなアーカイブにおよぶ。多重の安全領域は、１つの安全ボックスの物理的な境界内で共存することができる。１つの領域のみが、与えられた時間に安全ボックス内でアクティブである。領域間で転送可能なデータはない。
論理的な安全ボックスの目的は、アドレス・オブジェクトと呼ばれる安全ボックス型によって決定される。このアドレスは、メッセージのトランズアクションに関係する安全ボックス機能を独自に定義する。オーク・ボックス２０はマスター・キーの発生器である。スチール・ボックス３２はマスター・キー・インストール・ボックスである。ブラス・ボックス２１はトークン検証ボックスである。ティン・ボックス(Tin Box) ４４は遠隔トークンの検証ボックスである。

生成、インストールおよび登録プロセス
図２４−図２７を参照すると、キー管理システム１０の領域マスター・キー取付けプロセスの概要が示されている。ベンダーとあらゆる郵便の領域間に差異は存在しない。領域マスター・キーの全セットをディジタル・メーター３６に首尾よく取り付けるために、動作のセットはベンダー領域に対してランされ、動作の他のセットは選択された郵便領域に対してセットされる。
図２４、図２９および図３０を参照すると、領域マスター・キー要求は、作成プロセスの作成中に、キー分配コンピュータ３０から来る。符号３００で、要求はキー分配コンピュータ３０からメッセージＭ１０におけるＫＭＳコンピュータ２４へスチール・ボックス３２の識別番号をともなって送られる。ＫＭＳコンピュータ２４は領域に対して特定のキーＩＤを生成する領域アーカイブから符号３０２でキーＩＤを要求する。符号３０４で、領域アーカイブ７４はメッセージＭ１０’においてＭＫＳコンピュータ２４へキーＩＤ応答を送る。ＫＭＳコンピュータ２４は追跡記録のためのローカル時間を記録し、符号３０６で、オーク・ボックス２０へ発生キーのメッセージＭＩ１における情報を送る。オーク・ボックス２０は要求をチェックして、領域の有効性、領域に対するスチール・ボックスＩＤの有効性、およびキーＩＤがこの領域に対して処理した最後のものより大きいかどうかをきめる。もし、チェックのいずれもが誤りであることを証明するなら、オーク・ボックス２０は誤りのメッセージをＫＭＳコンピュータ２４に戻す。もし、そのチェックが正しければ、オーク・ボックス２４は領域マスター・キーとテスト・トークンのセットを生成する。符号３０８で、オーク・ボックス２０は領域マスター・キーの記録をメッセージＭＩ２におけるＫＭＳコンピュータに渡す。符号３１０で、ＫＭＳコンピュータ２４は、領域マスター・キー記録をメッセージＭＩ３における領域アーカイブ７４に送る。領域アーカイブ７４はデータベースに領域マスター・キー記録を記憶し、応答が符号３１２におけるＫＭＳコンピュータに送られる。符号３１４で、ＫＭＳコンピュータ２４は、符号３１６でＫＭＳコンピュータ２４へ発生応答メッセージを送るオーク・ボックス２０へ応答を送る。符号３１８で、ＭＫＳコンピュータ２４は取付けキー記録を要求応答メッセージＭＩ４におけるキー分配コンピュータ３０へ送る。

あらゆる領域は少なくとも１つのサブ領域を有しており、そのサブ領域は、キーを証印番号に登録するための、およびそのサブ領域内で印章の検証を行うための役割を有している。特に、地球領域は幾つかの国のサブ領域を有している。１つの国が地球領域のサブ領域にメーターを、およびそれ自身の郵便の領域の特定のサブ領域にメーターを持つことが可能である。図３２に示された例においては、国３は特定の郵便領域と地球領域の郵便のサブ領域の両方を有している。しかし、国Ａは、その国の特定の郵便領域内に取り付けられたキーを有するメーターのみを有している。
図２７を参照すると、もし、ディジタル・メーターがサービスの範囲外にあると、情報は記録され、ＫＭＳコンピュータ２４へ送られる。キー管理システムのコンピュータ２４は領域アーカイブからの領域マスター・キー記録を検索し、ローカル時間のスタンプを調べ、情報を符号３８０でブラス・ボックス２１に送る。領域マスター・キーの記録は更新され、符号３８２でキー管理コンピュータ２４に送る。キー管理のコンピュータは領域マスター・キー記録を領域アーカイブに送り、もし、成功するなら、応答を符号３８４でブラス・ボックス２１へ戻す。ブラス・ボックス２１は応答をチェックし、符号３８６でキー管理コンピュータ２４へ成功あるいは失敗の検証を戻す。