JP2003318894A - チャレンジ−レスポンス方式による機器間の認証処理方法 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、チャレンジ−レスポンス方式によ
る機器間の認証方法において、なりすましに対する安全
性を向上させる技術を提供する。 【解決手段】当該認証方法は、サーバ１０から端末２０
にチャレンジデータを伝送し（Ｓ１０４）、当該チャレ
ンジデータを復号化（Ｓ１０５）したレスポンスデータ
を端末からサーバに伝送する（Ｓ１０７）。さらに、当
該レスポンスデータが前記チャレンジデータに復号化さ
れたものであるか否かを、サーバ１０において施された
暗号化に基づいて判断する（Ｓ１０９）。判断結果が肯
定的であるとき、当該認証方法は、暗号化及び復号化に
用いるパラメータを共に新たなパラメータに更新して、
これらを次回の認証処理に用いるパラメータとして設定
する（Ｓ１１１、Ｓ１１２）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、チャレンジ−レス
ポンス方式による機器間の認証方法に関し、特に、なり
すましに対して安全性を高める技術に関する。

【０００２】

【従来の技術】従来から一般的に使用される機器間認証
方式として「チャレンジ−レスポンス方式」がある。図
１は、一般的なチャレンジ−レスポンス方式を実現する
サーバ及び端末のそれぞれの構成を示す図である。

【０００３】サーバ１３０は、乱数生成部１３１、鍵記
憶部１３２、データ変換部１３３及び比較部１３４を備
える。また、端末１４０は、鍵記憶部１４１及びデータ
変換部１４２を備える。ここで、サーバ１３０と端末１
４０とは、鍵記憶部１３２及び鍵記憶部１４１において
予め鍵データＫを秘密に共有しているとする。これは、
端末１４０を正規の端末としてサーバ１３０に登録する
際に、サーバ１３０が端末１４０のユーザに鍵データＫ
を発行し、ユーザが端末１４０に鍵データＫを設定す
る、などといった方法で行われる。

【０００４】以下に、端末１４０がサーバ１３０にアク
セスするときに、サーバ１３０が端末１４０を正規の端
末であると認証する手順を示す。 （ステップ１）サーバ１３０は、乱数生成部１３１によ
り乱数Ｒを生成し、チャレンジデータとして端末１４０
に送信する。 （ステップ２）端末１４０は、サーバ１３０から乱数Ｒ
を受信して、乱数Ｒ及び鍵記憶部１４１に記憶している
鍵データＫを用いてデータ変換部１４２により、以下の
データＤを求め、これをレスポンスデータとしてサーバ
１３０に送信する。

【０００５】Ｄ＝Ｆ（Ｋ、Ｒ） ここで、Ｆ（Ｘ、Ｙ）は、ＸをパラメータとしてＹに対
して所定の変換を行い、その結果を出力する操作を表
す。また、Ｚ＝Ｆ（Ｘ、Ｙ）は、ＺとＹのみが与えられ
た場合に、Ｘを求めることが困難な操作である必要があ
る。 （ステップ３）サーバ１３０は、乱数Ｒ及び鍵記憶部１
３２に記憶している鍵データＫを用いてデータ変換部１
３３により、以下のデータＥを求める。

【０００６】Ｅ＝Ｆ（Ｋ、Ｒ） （ステップ４）サーバ１３０は、端末１４０から受信し
たレスポンスデータＤとステップ３において求めたデー
タＥとを比較して、一致する場合に限り、端末１４０が
正規の端末であると認証する。なお、一般的なチャレン
ジ−レスポンス方式は、非特許文献１に詳しく述べられ
ている。

【０００７】

【非特許文献１】著者 Ross Anderson 書名 Security Engineering - A Guide to Building D
ependable DistributedSystems 出版社 John Wiley & Sons, Inc. ページ p.17 (2.2.1 Challenge and Response)

【０００８】

【発明が解決しようとする課題】しかしながら、上述の
従来例は、安全性の面で以下のような問題を有する。例
えば、サーバ１３０と端末１４０との毎回の認証におい
てやり取りされるチャレンジデータＲ及びそれに対応す
るレスポンスデータＤを盗聴して、それらの組（Ｒ、
Ｄ）をデータベースに蓄積している解読者がいるとす
る。

【０００９】この場合、解読者は、次のようにして正規
の端末になりすますことができる。解読者がサーバ１３
０にアクセスしようとすると、サーバ１３０は、解読者
にチャレンジデータＲを送信する。解読者は、データベ
ースの中にそのチャレンジデータＲに一致するものがあ
るかチェックする。もしも一致するものが見つかった場
合、解読者は、それに対応するレスポンスデータＤをサ
ーバ１３０に送信する。

【００１０】このように、過去の認証処理に利用された
ものと同じチャレンジデータが再利用される場合に、解
読者は不正に認証に成功し、正規の端末になりすますこ
とができる。特に、チャレンジデータのデータサイズが
小さいほど、チャレンジデータが再利用される確率が高
くなり、上記のなりすまし方法が問題となる。本発明
は、かかる問題点に鑑みてなされたものであり、チャレ
ンジ−レスポンス方式による機器間の認証方法におい
て、過去の認証処理において利用されたものと同じチャ
レンジデータが再利用される場合であっても、上記のな
りすまし方法に対する安全性を向上させる認証処理方法
を提供することを目的とする。

【００１１】

【課題を解決するための手段】本発明に係る認証処理方
法は、第１の機器は、第１の変換を施す変換部を保有
し、第２の機器は、第２の変換を施す変換部を保有し、
第１の変換と第２の変換とが同一又は逆変換の関係にあ
り、第１の機器と第２の機器との間のチャレンジ−レス
ポンス方式による認証処理方法であって、第１の機器か
ら第２の機器にチャレンジデータを伝送し、当該チャレ
ンジデータに第２の変換が施されたレスポンスデータを
第２の機器から第１の機器に伝送して、当該レスポンス
データが前記チャレンジデータに第２の変換が施された
ものであるか否かを、第１の機器において第１の変換に
基づいて判断し、判断結果が肯定的であれば第１の機器
が第２の機器を正規の機器であると認証する認証ステッ
プと、前記認証ステップによる判断結果が肯定的である
とき、前記関係にあり、かつ今回の認証処理に用いたも
のと異なる新たな第１の変換と新たな第２の変換とを次
回の認証処理に用いる変換として設定する設定ステップ
とを含むことを特徴とする。

【００１２】上記構成によれば、当該認証方法は、判断
の結果が肯定的である度に、即ち、認証が成功する度
に、今回の認証処理に用いたものと異なる新たな第１の
変換及び新たな第２の変換を次回の認証に用いる変換と
して設定する。これは、過去の認証処理と同一のチャレ
ンジデータが今回の認証処理において再利用されたとし
ても、過去の変換と今回の変換とが同一とは限らず、そ
れに伴い、過去の認証処理のレスポンスデータと今回の
認証処理のレスポンスデータとが同一とは限らないこと
を意味する。

【００１３】したがって、当該認証方法は、チャレンジ
データとレスポンスデータとを盗聴して、これらの組を
データベースに蓄積することによるなりすまし方法に対
して、安全性を向上させることができる。

【００１４】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を用いて詳細に説明する。 （実施の形態１） ［概要］本実施の形態において、チャレンジデータ及び
レスポンスデータは、パラメータに基づく暗号及び復号
により生成される。パラメータは、予めサーバと端末と
で共有されており、認証が成功する度に順次更新されて
いく。つまり、過去の認証処理と今回の認証処理とでパ
ラメータが更新されているため、チャレンジデータが同
じであっても、レスポンスデータが同じであるとは限ら
ない。これにより、チャレンジデータとレスポンスデー
タとを盗聴して、これらの組をデータベースに蓄積する
ことによるなりすまし方法に対する安全性が向上してい
る。

【００１５】［構成］図２は、実施の形態１に係るチャ
レンジ−レスポンス方式の認証を実現するサーバ及び端
末のそれぞれの構成を示す図である。サーバ１０は、乱
数生成部１１、パラメータ更新部１２、パラメータ記憶
部１３、暗号化部１４、データ補正部１５及び判断部１
６を備える。

【００１６】サーバ１０は、端末２０からのアクセス要
求を受けて、端末２０の認証処理を行う。乱数生成部１
１は、認証処理毎に６４ビットの乱数Ｒを生成する。生
成された乱数Ｒは、パラメータ更新部１２、暗号化部１
４及びデータ補正部１５にそれぞれ入力される。

【００１７】パラメータ更新部１２は、パラメータ記憶
部１３に記憶されている５６ビットのパラメータＫ
［ｉ］を、認証が成功する度に新たな５６ビットのパラ
メータＫ［ｉ＋１］に更新する。ここで、状態ｉ（ｉ＝
０、１、２、・・・）は、パラメータが初期状態（ｉ＝
０）からｉ回更新された状態を表す。具体的には、パラ
メータＫ［ｉ＋１］は以下の操作により導出される。

【００１８】 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｔ） ここで、Ｋ［ｉ］は、パラメータ記憶部１３に記憶して
いる５６ビットのパラメータであり、データＴは、上位
４８ビットを０とし下位８ビットを乱数Ｒの下位８ビッ
トとした５６ビットのデータである。また、（＋）はビ
ット毎の排他的論理和演算であり、Ｒｏｔ８（Ｘ）はデ
ータＸを上位方向に８ビットだけデータ回転する操作を
表す。

【００１９】パラメータ記憶部１３は、初期値のパラメ
ータＫ[０]とパラメータＫ［ｉ］とを記憶している。パ
ラメータＫ［ｉ］は、パラメータ更新部１２においてパ
ラメータＫ［０］がｉ回更新され、次回の認証処理で用
いるパラメータとして設定されたものである。また、パ
ラメータＫ［０］は、予め秘密にサーバ１０と端末２０
とで共有しているとする。これは、サーバ１０が端末２
０を正規の端末として最初に登録するときに、サーバ１
０が端末２０のユーザにパラメータＫ［０］を発行し、
ユーザが端末２０にパラメータＫ［０］を設定する、な
どといった方法で行われる。

【００２０】暗号化部１４は、パラメータ記憶部１３に
記憶しているパラメータＫ［ｉ］を用いて乱数Ｒを以下
のように暗号化して、チャレンジデータＣを求め、端末
２０に送信する。 Ｃ＝Ｅｎｃ（Ｋ［ｉ］、Ｒ） ここで、Ｅｎｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを暗号化し、その結果
である６４ビットデータを出力する操作を表す。

【００２１】暗号化方式としては、ＤＥＳ（Ｄａｔａ
Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）暗号方式を
用いる。データ補正部１５は、６４ビットのデータから
５６ビットのデータＳを生成する。具体的には、６４ビ
ットの下位８ビットを取り除いた結果の５６ビットのデ
ータを求める。生成されたデータＳは、判断部１６に入
力される。

【００２２】判断部１６は、データ補正部１５から入力
されたデータＳと、端末２０からレスポンスデータＱと
して送信された５６ビットのデータとを比較して、それ
らが一致するか否かを確認する。サーバ１０は、それら
が一致するとき、端末２０を正規の端末であるとして認
証し、それらが一致しないとき、端末２０を正規の端末
でないとして認証しない。

【００２３】また、判断部１６は、それらが一致したと
き、認証が成功したとしてパラメータ更新部１２及びパ
ラメータ更新部２２にその旨を通知する。また、端末２
０は、パラメータ記憶部２１、パラメータ更新部２２、
復号化部２３及びデータ補正部２４を備える。パラメー
タ記憶部２１は、パラメータ記憶部１３と同様に、初期
値のパラメータＫ[０]とパラメータＫ［ｉ］とを記憶し
ている。パラメータＫ［ｉ］は、パラメータ更新部２２
においてパラメータＫ［０］がｉ回更新され、次回の認
証処理で用いるパラメータとして設定されたものであ
る。また、パラメータＫ［０］は、予め秘密にサーバ１
０と端末２０とで共有されている。

【００２４】パラメータ更新部２２は、パラメータ更新
部１２と同様に、パラメータ記憶部２１に記憶されてい
る５６ビットのパラメータＫ［ｉ］を、認証が成功する
度に新たな５６ビットのパラメータＫ［ｉ＋１］に更新
する。具体的には、パラメータＫ［ｉ＋１］は以下の操
作により導出される。 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｕ） ここで、Ｋ［ｉ］は、パラメータ記憶部２１に記憶して
いる５６ビットのパラメータＫ［ｉ］であり、データＵ
は、上位４８ビットを０とし下位８ビットを復号化乱数
データＰの下位８ビットとした５６ビットのデータであ
る。また、（＋）はビット毎の排他的論理和演算であ
り、Ｒｏｔ８（Ｘ）はデータＸを上位方向に８ビットだ
けデータ回転する操作を表す。

【００２５】復号化部２３は、サーバ１０から送信され
たチャレンジデータＣを受信して、パラメータ記憶部２
１に記憶しているパラメータＫ［ｉ］を用いて、チャレ
ンジデータＣを以下のように復号化することにより復号
化乱数データＰを生成する。 Ｐ＝Ｄｅｃ（Ｋ［ｉ］、Ｃ） ここで、Ｄｅｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを復号化し、その結果
である６４ビットデータを出力する操作を表す。

【００２６】復号化方式としてはＤＥＳ暗号方式の復号
化を用いる。これによりＥｎｃ（Ｘ、Ｙ）とＤｅｃ
（Ｘ、Ｙ）とは任意の６４ビットデータＡ及び任意の５
６ビットデータＢに対して以下の関係が成り立つ。 Ａ＝Ｄｅｃ（Ｂ、Ｅｎｃ（Ｂ、Ａ）） この関係により、復号化乱数データＰは、乱数Ｒと一致
する。

【００２７】データ補正部２４は、データ補正部１５と
同様に、６４ビットのデータから５６ビットのデータを
生成する。具体的には、６４ビットの下位８ビットを取
り除いた結果の５６ビットのデータを求める。生成され
たデータは、レスポンスデータとしてサーバに送信され
る。上記構成によれば、乱数Ｒと復号化乱数データＰと
が一致するので、データＴとデータＵとが一致する。ま
た、Ｋ[ｉ］は、予めサーバ１０と端末２０とで共有さ
れている。これにより、サーバ１０及び端末２０は、Ｋ
[ｉ＋１］も共有することができる。

【００２８】また、以下に、パラメータ更新部１２及び
パラメータ更新部２２の構成の詳細について示す。図３
は、パラメータ更新部１２の構成を示す図である。パラ
メータ更新部１２は、データマスク部１７、データ融合
部１８及びデータ回転部１９を備え、上述のようにパラ
メータＫ［ｉ］をパラメータＫ［ｉ＋１］に更新するも
のである。

【００２９】データマスク部１７は、６４ビットの乱数
Ｒの下位８ビット以外をゼロマスクし、その結果の下位
５６ビットをデータＴとしてデータ融合部１８に出力す
る。ここで、乱数Ｒは、状態ｉにおいて乱数生成部１１
で生成された乱数である。データ融合部１８は、５６ビ
ットのパラメータＫ[ｉ]と５６ビットのデータＴとのビ
ットごとの排他的論理和を演算して、データ回転部１９
に出力する。

【００３０】データ回転部１９は、データ融合部１８か
ら入力されたデータを上位方向に８ビット回転させて、
その結果をパラメータＫ[ｉ＋１]として出力する。これ
により、パラメータ更新部１２は、以下の操作を実現す
ることができる。 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｔ） また、パラメータ更新部２２は、乱数Ｒの代わりに復号
化乱数データＰが入力されることだけが異なり、その構
成自体は、パラメータ更新部１２と同様である。

【００３１】このように、パラメータ更新部１２及びパ
ラメータ更新部２２が同様の構成であるため、乱数Ｒと
復号化乱数データＰとが同一であれば、それぞれにおい
て更新後のパラメータＫ［ｉ＋１]も同一となる。 ［動作］以下に、状態ｉにおいてサーバ１０が端末２０
を認証する動作を説明する。なお、サーバ１０と端末２
０とが、初期状態においてパラメータＫ[０]を共有して
おり、状態ｉにおいても、パラメータＫ[ｉ］を共有し
ているものとする。

【００３２】図４は、実施の形態１に係るチャレンジ−
レスポンス方式の認証を実現するサーバ及び端末のそれ
ぞれの動作を示す図である。最初に、端末２０が、サー
バ１０に対してアクセス要求を行う（ステップＳ１０
１）。サーバ１０は、端末２０からのアクセス要求を受
けて、端末２０が正規の端末であるか否かを確認する認
証処理を開始する。まず、サーバ１０は、乱数生成部１
１において６４ビットの乱数Ｒを生成する（ステップＳ
１０２）。

【００３３】その後、サーバ１０は、暗号化部１４にお
いて、パラメータ記憶部１３に記憶しているパラメータ
Ｋ［ｉ］を用いて、乱数Ｒを以下のように暗号化するこ
とによりチャレンジデータＣを生成する（ステップＳ１
０３）。 Ｃ＝Ｅｎｃ（Ｋ［ｉ］、Ｒ） そして、サーバ１０は、チャレンジデータＣを端末２０
に送信する（ステップＳ１０４）。

【００３４】端末２０は、サーバ１０から送信されたチ
ャレンジデータＣを受信する。そして、復号化部２３に
おいて、パラメータ記憶部２１に記憶しているパラメー
タＫ［ｉ］を用いてチャレンジデータＣを以下のように
復号化することにより復号化乱数データＰを求める（ス
テップＳ１０５）。 Ｐ＝Ｄｅｃ（Ｋ［ｉ］、Ｃ） 次に、端末２０は、データ補正部２４において、６４ビ
ットの復号化乱数データＰの下位８ビットを取り除いて
５６ビットのデータを生成する。（ステップＳ１０
６）。

【００３５】その後、端末２０は、ステップＳ１０６に
おいて生成された５６ビットのデータをレスポンスデー
タＱとしてサーバ１０に送信する（ステップＳ１０
７）。一方、サーバ１０は、データ補正部１５におい
て、ステップＳ１０２で生成された６４ビットの乱数Ｒ
の下位８ビットを取り除いて５６ビットのデータＳを生
成する（ステップＳ１０８）。

【００３６】サーバ１０は、ステップＳ１０７において
受信したレスポンスデータＱと、ステップＳ１０８にお
いて生成したデータＳとを判断部１６に入力する。判断
部１６は、それらを比較して一致するか否かを確認する
（ステップＳ１０９）。サーバ１０は、ステップＳ１０
９において、一致しないとき（ステップＳ１０９、Ｎ）
に、端末２０を正規の端末でないとして、認証処理を終
了する。このとき、状態ｉは変化しない。

【００３７】サーバ１０は、ステップＳ１０９におい
て、一致するとき（ステップＳ１０９、Ｙ）に、端末２
０が正規の端末であると認証する。そして、端末２０に
認証した旨を通知する（ステップＳ１１０）。その後、
サーバ１０は、パラメータ更新部１２において、以下の
操作によりパラメータＫ［ｉ＋１］を求める。

【００３８】 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｔ） サーバ１０は、パラメータ記憶部１３に記憶しているパ
ラメータＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置
き換えて、これを次回の認証処理で用いるパラメータと
して設定する（ステップＳ１１１）。これにより、状態
ｉは１だけ増加する。

【００３９】その後、サーバ１０は、認証処理を終了す
る。また、端末２０は、ステップＳ１１０による通知を
受けた後に、パラメータ更新部２２において、以下の操
作によりパラメータＫ［ｉ＋１］を求める。 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｕ） そして、パラメータ記憶部２１に記憶しているパラメー
タＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置き換え
て、これを次回の認証処理で用いるパラメータとして設
定する（ステップＳ１１２）。これにより、状態ｉは１
だけ増加する。

【００４０】その後、端末２０は、認証処理を終了す
る。本実施の形態は、認証が成功する度にサーバと端末
との間で秘密に共有されているパラメータＫ［ｉ］を新
たなパラメータＫ［ｉ＋１］に更新する。つまり、過去
の認証処理に利用されたパラメータと今回の認証処理で
利用されるパラメータとが一致しているとは限らない。
これらが一致しなければ、チャレンジデータＣに対する
レスポンスデータＱの関係も一致しない。したがって、
本実施の形態は、チャレンジデータとレスポンスデータ
とを盗聴して、これらの組をデータベースに蓄積するこ
とによるなりすまし方法に対して、安全性を向上させる
ことができる。

【００４１】また、数値的な評価は以下の通りである。
本実施の形態において、パラメータは５６ビットのデー
タである。つまり、パラメータがとり得る値は、２＾
（５６）通り（２＾（５６）は２の５６乗を意味す
る。）である。したがって、過去の認証処理において利
用されたものと同じチャレンジデータＣが再利用された
としても、なりすましが成功する確率は２＾（５６）分
の１となり、確率１で成功する従来例と比べて安全性が
はるかに向上している。

【００４２】また、サーバが端末を認証した後に引き続
いて暗号通信を行うことがある。このような場合に本実
施の形態を適用すれば、認証処理に用いた暗号化部や復
号化部を、暗号通信における暗号化や復号化に流用する
ことが可能である。 （実施の形態２） ［概要］実施の形態１は、パラメータをＲｏｔ８（Ｘ）
という操作により更新している。本実施の形態は、Ｒｏ
ｔ８（Ｘ）よりもさらに変化の度合いの高い操作を行う
ことにより、不正な端末のなりすましに対する安全性を
さらに高めている。

【００４３】［構成］図５は、実施の形態２に係るチャ
レンジ−レスポンス方式の認証を実現するサーバ及び端
末のそれぞれの構成を示す図である。サーバ３０は、乱
数生成部３１、パラメータ更新部３２、パラメータ記憶
部３３、暗号化部３４及び判断部３５を備える。また、
端末４０は、パラメータ記憶部４１、パラメータ更新部
４２及び復号化部４３を備える。

【００４４】本実施の形態におけるサーバ３０及び端末
４０は、実施の形態１におけるサーバ１０及び端末２０
からデータ補正部を取り去った構成となっている。デー
タ補正部は、６４ビットの下位８ビットを取り除いて５
６ビットのデータを求めるものである。したがって、実
施の形態１は、判断部１６において５６ビットのデータ
同士を比較するが、本実施の形態は、判断部３５におい
て６４ビットのデータ同士を比較することになる。

【００４５】また、本実施の形態では、パラメータ更新
部３２及びパラメータ更新部４２において、パラメータ
Ｋ［ｉ］を新たなパラメータＫ［ｉ＋１］に更新する際
の操作が実施の形態１と異なる。具体的には、パラメー
タ更新部３２において、パラメータＫ［ｉ＋１］は以下
の操作により導出される。

【００４６】Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｄｅｃ（Ｋ
［ｉ］、Ｒ）） ここで、Ｋ［ｉ］は、パラメータ記憶部３３に記憶して
いる５６ビットのパラメータＫ［ｉ］であり、Ｒは、乱
数生成部３１により生成された６４ビットの乱数Ｒであ
る。また、ＭＳＢ５６（Ｘ）はデータＸの上位５６ビッ
トだけを出力する操作を表す。

【００４７】また、パラメータ更新部４２において、パ
ラメータＫ［ｉ＋１］は以下の操作により導出される。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｄｅｃ（Ｋ［ｉ］、Ｐ）） ここで、Ｋ［ｉ］は、パラメータ記憶部４１に記憶して
いる５６ビットのパラメータＫ［ｉ］であり、Ｐは、復
号化部４３により復号化された６４ビットの復号化乱数
データＰである。また、ＭＳＢ５６（Ｘ）はデータＸの
上位５６ビットだけを出力する操作を表す。

【００４８】図６は、パラメータ更新部３２の構成を示
す図である。パラメータ更新部３２は、復号化部３６及
びデータ短縮部３７を備え、上述のようにパラメータＫ
［ｉ］をパラメータＫ［ｉ＋１］に更新するものであ
る。復号化部３６は、パラメータＫ[ｉ]に基づいて６４
ビットの乱数Ｒを復号化して、その結果の６４ビットの
データをデータ短縮部３７に出力する。ここで、乱数Ｒ
は、状態ｉにおいて乱数生成部３１で生成された乱数で
ある。

【００４９】データ短縮部３７は、６４ビットのデータ
の下位８ビットをカットして、上位５６ビットのデータ
をパラメータＫ[ｉ]として出力する。これにより、パラ
メータ更新部３２は、以下の操作を実現することができ
る。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｄｅｃ（Ｋ［ｉ］、Ｒ）） また、パラメータ更新部４２は、乱数Ｒの代わりに復号
化乱数データＰが入力されることだけが異なり、その構
成自体は、パラメータ更新部３２と同様である。

【００５０】このように、パラメータ更新部３２及びパ
ラメータ更新部４２が同様の構成であるため、乱数Ｒと
復号化乱数データＰとが同一であれば、それぞれにおい
て更新後のパラメータＫ［ｉ＋１]も同一となる。それ
以外の構成については、実施の形態１と同様なので説明
を省略する。 ［動作］以下に、状態ｉにおいてサーバ３０が端末４０
を認証する動作を説明する。なお、サーバ３０と端末４
０とが、初期状態においてパラメータＫ[０]を共有して
おり、状態ｉにおいても、パラメータＫ［ｉ］を共有し
ているものとする。

【００５１】図７は、実施の形態２に係るチャレンジ−
レスポンス方式の認証を実現するサーバ及び端末のそれ
ぞれの動作を示す図である。最初に、端末４０が、サー
バ３０に対してアクセス要求を行う（ステップＳ２０
１）。サーバ３０は、端末４０からのアクセス要求を受
けて、端末４０が正規の端末であるか否かを確認する認
証処理を開始する。まず、サーバ３０は、乱数生成部３
１において６４ビットの乱数Ｒを生成する（ステップＳ
２０２）。

【００５２】その後、サーバ３０は、暗号化部３４にお
いて、パラメータ記憶部３３に記憶しているパラメータ
Ｋ［ｉ］を用いて、乱数Ｒを以下のように暗号化するこ
とによりチャレンジデータＣを生成する（ステップＳ２
０３）。 Ｃ＝Ｅｎｃ（Ｋ［ｉ］、Ｒ） ここで、Ｅｎｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを暗号化し、その結果
である６４ビットデータを出力する操作を表す。

【００５３】暗号化方式としては、ＤＥＳ（Ｄａｔａ
Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）暗号方式を
用いる。そして、サーバ３０は、チャレンジデータＣを
端末４０に送信する（ステップＳ２０４）。端末４０
は、サーバ３０から送信されたチャレンジデータＣを受
信する。そして、復号化部４３において、パラメータ記
憶部４１に記憶しているパラメータＫ［ｉ］を用いてチ
ャレンジデータＣを以下のように復号化することにより
復号化乱数データＰを求める（ステップＳ２０５）。

【００５４】Ｐ＝Ｄｅｃ（Ｋ［ｉ］、Ｃ） ここで、Ｄｅｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを復号化し、その結果
である６４ビットデータを出力する操作を表す。復号化
方式としてはＤＥＳ暗号方式の復号化を用いる。

【００５５】その後、端末４０は、ステップＳ２０５に
おいて復号化された６４ビットの復号化乱数データＰを
レスポンスデータとしてサーバ３０に送信する（ステッ
プＳ２０６）。サーバ３０は、ステップＳ２０６におい
て受信したレスポンスデータと、ステップＳ２０２にお
いて生成した乱数Ｒとを判断部３５に入力する。判断部
３５は、それらを比較して一致するか否かを確認する
（ステップＳ２０７）。

【００５６】サーバ３０は、ステップＳ２０７におい
て、一致しないとき（ステップＳ２０７、Ｎ）に、端末
４０を正規の端末でないとして、認証処理を終了する。
このとき、状態ｉは変化しない。サーバ３０は、ステッ
プＳ２０７において、一致するとき（ステップＳ２０
７、Ｙ）に、端末４０が正規の端末であると認証する。
そして、端末４０に認証した旨を通知する（ステップＳ
２０８）。

【００５７】その後、サーバ３０は、パラメータ更新部
３２において、以下の操作によりパラメータＫ［ｉ＋
１］を求める。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｄｅｃ（Ｋ［ｉ］、Ｒ）） サーバ３０は、パラメータ記憶部３３に記憶しているパ
ラメータＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置
き換えて、これを次回の認証処理で用いるパラメータと
して設定する（ステップＳ２０９）。これにより、状態
ｉは１だけ増加する。

【００５８】その後、サーバ３０は、認証処理を終了す
る。また、端末４０は、ステップＳ２０８による通知を
受けた後に、パラメータ更新部４２において、以下の操
作によりパラメータＫ［ｉ＋１］を求める。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｄｅｃ（Ｋ［ｉ］、Ｐ）） そして、パラメータ記憶部４１に記憶しているパラメー
タＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置き換え
て、これを次回の認証処理で用いるパラメータとして設
定する（ステップＳ２１０）。これにより、状態ｉは１
だけ増加する。

【００５９】その後、端末４０は、認証処理を終了す
る。本実施の形態は、認証処理１回につき、サーバ３
０、端末４０においてそれぞれ２回ずつＤＥＳ暗号処理
を必要とするため処理量が多い。しかし、実施の形態１
のパラメータ更新の操作がＲｏｔ（Ｘ）という単なるビ
ット列のデータ回転であるのに対し、本実施の形態の操
作はＤｅｃ（Ｘ、Ｙ）を利用しているため、パラメータ
Ｋ［ｉ］からＫ［ｉ＋１］への変化の度合いが大きい。
したがって、本実施の形態は、実施の形態１に比べて処
理量が多くなるが、安全性をさらに向上させることがで
きる。

【００６０】（実施の形態３） ［概要］実施の形態１は、サーバ及び端末において暗号
及び復号を用いて認証処理を行っている。つまり、サー
バにおける変換と端末における変換とが異なる。しか
し、状況によっては、サーバにおける変換と端末におけ
る変換とが同一であれば、認証処理のスピードや変換回
路の実装などにおいて有利なことも多い。そこで、本実
施の形態は、サーバ及び端末において同一の変換を用い
て認証処理を行う。

【００６１】［構成］図８は、実施の形態３に係るチャ
レンジ−レスポンス方式の認証を実現するサーバ及び端
末のそれぞれの構成を示す図である。サーバ５０は、乱
数生成部５１、パラメータ更新部５２、パラメータ記憶
部５３、データ変換部５４、データ補正部５５及び判断
部５６を備える。また、端末６０は、パラメータ記憶部
６１、パラメータ更新部６２、データ変換部６３及びデ
ータ補正部６４を備える。

【００６２】本実施の形態におけるサーバ５０及び端末
６０は、実施の形態１におけるサーバ１０及び端末２０
から暗号化部及び復号化部を取り去り、データ変換部を
設ける構成となっている。それ以外の構成については、
実施の形態１と同様なので説明を省略する。データ変換
部５４は、パラメータ記憶部５３に記憶しているパラメ
ータＫ［ｉ］を用いて乱数Ｒを以下のように変換する。

【００６３】Ｃ＝Ｔｒ（Ｋ［ｉ］、Ｒ） ここで、Ｔｒ（Ｘ、Ｙ）は、５６ビットのパラメータＸ
を用いて６４ビットのデータＹを変換し、その結果であ
る６４ビットデータを出力する操作を表す。変換方式と
しては、ＤＥＳ暗号方式の変換を用いる。データ変換部
５４において変換された変換データＣは、データ補正部
５５に入力される。

【００６４】また、データ変換部６３は、データ変換部
５４と同様に、パラメータ記憶部６１に記憶しているパ
ラメータＫ［ｉ］を用いて乱数Ｒを以下のように変換す
る。 Ｐ＝Ｔｒ（Ｋ［ｉ］、Ｒ） データ変換部６３において変換された変換データＰは、
データ補正部６４に入力される。

【００６５】また、以下に、パラメータ更新部５２及び
パラメータ更新部６２の構成の詳細について示す。図９
は、パラメータ更新部５２の構成を示す図である。パラ
メータ更新部５２は、データマスク部５７、データ融合
部５８及びデータ回転部５９を備え、上述のようにパラ
メータＫ［ｉ］をパラメータＫ［ｉ＋１］に更新するも
のである。

【００６６】データマスク部５７は、６４ビットの乱数
Ｒの下位８ビット以外をゼロマスクし、その結果の下位
５６ビットをデータＴとしてデータ融合部５８に出力す
る。ここで、乱数Ｒは、状態ｉにおいて乱数生成部５１
で生成された乱数である。データ融合部５８は、５６ビ
ットのパラメータＫ[ｉ]と５６ビットのデータＴとのビ
ットごとの排他的論理和を演算して、データ回転部５９
に出力する。

【００６７】データ回転部５９は、データ融合部５８か
ら入力されたデータを上位方向に８ビット回転させて、
その結果をパラメータＫ[ｉ＋１]として出力する。これ
により、パラメータ更新部５２は、以下の操作を実現す
ることができる。 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｔ） また、パラメータ更新部６２の構成は、パラメータ更新
部５２と同様である。

【００６８】このように、パラメータ更新部５２及びパ
ラメータ更新部６２が同様の構成であるため、それぞれ
において更新後のパラメータＫ［ｉ＋１]も同一とな
る。 ［動作］以下に、状態ｉにおいてサーバ５０が端末６０
を認証する動作を説明する。なお、サーバ５０と端末６
０とが、初期状態においてパラメータＫ[０]を共有して
おり、状態ｉにおいても、パラメータＫ［ｉ］を共有し
ているものとする。

【００６９】図１０は、実施の形態３に係るチャレンジ
−レスポンス方式の認証を実現するサーバ及び端末のそ
れぞれの動作を示す図である。最初に、端末６０が、サ
ーバ５０に対してアクセス要求を行う（ステップＳ３０
１）。サーバ５０は、端末６０からのアクセス要求を受
けて、端末６０が正規の端末であるか否かを確認する認
証処理を開始する。まず、サーバ５０は、乱数生成部５
１において６４ビットの乱数Ｒを生成する（ステップＳ
３０２）。

【００７０】そして、サーバ５０は、乱数Ｒをデータ変
換部５４に入力する一方、乱数Ｒをチャレンジデータと
して端末６０に送信する（ステップＳ３０３）。サーバ
５０は、データ変換部５４において、パラメータ記憶部
５３に記憶しているパラメータＫ［ｉ］を用いて乱数Ｒ
を以下のように変換する（ステップＳ３０４）。

【００７１】Ｃ＝Ｔｒ（Ｋ［ｉ］、Ｒ） 次に、サーバ５０は、データ補正部５５において、６４
ビットの変換データＣの下位８ビットを取り除いて５６
ビットのデータＳを生成する（ステップＳ３０５）。端
末６０は、サーバ５０から送信されたチャレンジデータ
としての乱数Ｒを受信する。そして、データ変換部６３
において、パラメータ記憶部６１に記憶しているパラメ
ータＫ［ｉ］を用いて乱数Ｒを以下のように変換する
（ステップＳ３０６）。

【００７２】Ｐ＝Ｔｒ（Ｋ［ｉ］、Ｒ） 次に、端末６０は、データ補正部６４において、６４ビ
ットの変換データＰの下位８ビットを取り除いて５６ビ
ットのデータを生成する（ステップＳ３０７）。その
後、端末６０は、ステップＳ３０５において生成された
５６ビットのデータをレスポンスデータＱとしてサーバ
５０に送信する（ステップＳ３０８）。

【００７３】サーバ５０は、ステップＳ３０８において
受信したレスポンスデータＱと、ステップＳ３０５にお
いて生成したデータＳとを判断部５６に入力する。判断
部５６は、それらを比較して一致するか否かを確認する
（ステップＳ３０９）。サーバ５０は、ステップＳ３０
９において、一致しないとき（ステップＳ３０９、Ｎ）
に、端末６０を正規の端末でないとして、認証処理を終
了する。このとき、状態ｉは変化しない。

【００７４】サーバ５０は、ステップＳ３０９におい
て、一致するとき（ステップＳ３０９、Ｙ）に、端末６
０が正規の端末であると認証する。そして、端末６０に
認証した旨を通知する（ステップＳ３１０）。その後、
サーバ５０は、パラメータ更新部５２において、上位４
８ビットを０とし下位８ビットを乱数Ｒの下位８ビット
とした５６ビットのデータＴ、及び、パラメータ記憶部
５３に記憶している５６ビットのパラメータＫ［ｉ］を
用いて、以下の操作によりパラメータＫ［ｉ＋１］を求
める。

【００７５】 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｔ） その後、サーバ５０は、パラメータ記憶部５３に記憶し
ているパラメータＫ［ｉ］を新たなパラメータＫ［ｉ＋
１］に置き換えて、これを次回の認証処理で用いるパラ
メータとして設定する（ステップＳ３１１）。これによ
り、状態ｉは１だけ増加する。

【００７６】その後、サーバ５０は、認証処理を終了す
る。また、端末６０は、ステップＳ３１０による通知を
受けた後に、パラメータ更新部６２において、上位４８
ビットを０とし下位８ビットを復号化乱数データＰの下
位８ビットとした５６ビットのデータＵ、及び、パラメ
ータ記憶部６１に記憶しているパラメータＫ［ｉ］を用
いて、以下の操作によりパラメータＫ［ｉ＋１］を求め
る。

【００７７】 Ｋ［ｉ＋１］＝Ｒｏｔ８（Ｋ[ｉ]（＋）Ｕ） そして、パラメータ記憶部６１に記憶しているパラメー
タＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置き換え
て、これを次回の認証処理で用いるパラメータとして設
定する（ステップＳ３１２）。これにより、状態ｉは１
だけ増加する。その後、端末６０は、認証処理を終了す
る。

【００７８】本実施の形態は、本実施の形態１と同様
に、認証が正しく行われる毎にサーバと端末との間で秘
密に共有されているパラメータＫ［ｉ］を新たなパラメ
ータＫ［ｉ＋１］に更新する。つまり、過去の認証処理
に利用されたパラメータと今回の認証処理で利用される
パラメータとが一致しているとは限らない。これらが一
致しなければ、チャレンジデータに対するレスポンスデ
ータの関係も一致しない。したがって、本実施の形態
は、チャレンジデータとレスポンスデータとを盗聴し
て、これらの組をデータベースに蓄積することによるな
りすまし方法に対して、安全性を向上させることができ
る。

【００７９】さらに、本実施の形態は、乱数の変換をサ
ーバと端末とで並行して行うので、実施の形態１に比べ
て認証処理を高速に行うことができる。また、認証の仕
様によっては、第１段階としてサーバが端末を認証した
後に、第２段階として端末がサーバを認証するという相
互認証を行うことがある。このような場合に本実施の形
態を適用すれば、サーバ及び端末は、第１段階及び第２
段階において、同じデータ変換部を流用することができ
る。したがって、サーバ及び端末の製造コストの削減
や、製品サイズの縮小化を図ることができる。

【００８０】（実施の形態４） ［概要］実施の形態３において、パラメータをＲｏｔ８
（Ｘ）という操作により更新している。本実施の形態
は、Ｒｏｔ８（Ｘ）よりもさらに変化の度合いの高い操
作を行うことにより、不正な端末のなりすましに対する
安全性をさらに高めている。

【００８１】［構成］図１１は、実施の形態４に係るチ
ャレンジ−レスポンス方式の認証を実現するサーバ及び
端末のそれぞれの構成を示す図である。サーバ７０は、
乱数生成部７１、パラメータ更新部７２、パラメータ記
憶部７３、データ変換部７４及び判断部７５を備える。
また、端末８０は、パラメータ記憶部８１、パラメータ
更新部８２及びデータ変換部８３を備える。

【００８２】本実施の形態におけるサーバ７０及び端末
８０は、実施の形態３におけるサーバ５０及び端末６０
からデータ補正部を取り去った構成となっている。デー
タ補正部は、６４ビットの下位８ビットを取り除いて５
６ビットのデータを求めるものである。したがって、実
施の形態３は、判断部５６において５６ビットのデータ
を比較するが、本実施の形態は、判断部７５において６
４ビットのデータを比較する。

【００８３】また、本実施の形態では、パラメータ更新
部７２及びパラメータ更新部８２において、パラメータ
Ｋ［ｉ］を新たなパラメータＫ［ｉ＋１］に更新する際
の操作が実施の形態３と異なる。具体的には、パラメー
タ更新部７２において、パラメータＫ［ｉ＋１］は以下
の操作により導出される。

【００８４】 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｔｒ（Ｋ［ｉ］、Ｒ）） ここで、Ｋ［ｉ］は、パラメータ記憶部７３に記憶して
いる５６ビットのパラメータＫ［ｉ］であり、Ｒは、乱
数生成部７１により生成された６４ビットの乱数Ｒであ
る。また、ＭＳＢ５６（Ｘ）はデータＸの上位５６ビッ
トだけを出力する操作を表す。さらに、Ｔｒ（Ｘ、Ｙ）
は、５６ビットのパラメータＸを用いて６４ビットのデ
ータＹを変換し、その結果である６４ビットデータを出
力する操作を表す。変換方式としては、ＤＥＳ暗号方式
の変換を用いる。

【００８５】また、パラメータ更新部８２において、パ
ラメータＫ［ｉ＋１］は以下の操作により導出される。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｔｒ（Ｋ［ｉ］、Ｒ）） ここで、Ｋ［ｉ］は、パラメータ記憶部８１に記憶して
いる５６ビットのパラメータＫ［ｉ］であり、Ｒは、サ
ーバ７０から送信された６４ビットの乱数Ｒである。ま
た、ＭＳＢ５６（Ｘ）はデータＸの上位５６ビットだけ
を出力する操作を表す。さらに、Ｔｒ（Ｘ、Ｙ）は、５
６ビットのパラメータＸを用いて６４ビットのデータＹ
を変換し、その結果である６４ビットデータを出力する
操作を表す。変換方式としては、ＤＥＳ暗号方式の変換
を用いる。

【００８６】図１２は、パラメータ更新部７２の構成を
示す図である。パラメータ更新部７２は、データ変換部
７６及びデータ短縮部７７を備え、上述のようにパラメ
ータＫ［ｉ］をパラメータＫ［ｉ＋１］に更新するもの
である。データ変換部７６は、パラメータＫ[ｉ]に基づ
いて６４ビットの乱数ＲをＴｒ（Ｋ［ｉ］、Ｒ）による
変換を行い、その結果の６４ビットのデータをデータ短
縮部７７に出力する。ここで、乱数Ｒは、状態ｉにおい
て乱数生成部７１で生成された乱数である。また、デー
タ変換部７６の変換は、データ変換部７４の変換と同様
なので、データ変換部７６とデータ変換部７４とを共用
してもよい。

【００８７】データ短縮部７７は、６４ビットのデータ
の下位８ビットをカットして、上位５６ビットのデータ
をパラメータＫ[ｉ]として出力する。これにより、パラ
メータ更新部７２は、以下の操作を実現することができ
る。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｔｒ（Ｋ［ｉ］、Ｒ）） また、パラメータ更新部８２の構成は、パラメータ更新
部７２の構成と同様である。

【００８８】このように、パラメータ更新部７２及びパ
ラメータ更新部８２が同様の構成であるため、それぞれ
において更新後のパラメータＫ［ｉ＋１]も同一とな
る。それ以外の構成については、実施の形態３と同様な
ので説明を省略する。 ［動作］以下に、状態ｉにおいてサーバ７０が端末８０
を認証する動作を説明する。なお、サーバ７０と端末８
０とが、初期状態においてパラメータＫ［０］を共有し
ており、状態ｉにおいても、パラメータＫ［ｉ］を共有
しているものとする。

【００８９】図１３は、実施の形態４に係るチャレンジ
−レスポンス方式の認証を実現するサーバ及び端末のそ
れぞれの動作を示す図である。最初に、端末８０が、サ
ーバ７０に対してアクセス要求を行う（ステップＳ４０
１）。サーバ７０は、端末８０からのアクセス要求を受
けて、端末８０が正規の端末であるか否かを確認する認
証処理を開始する。まず、サーバ７０は、乱数生成部７
１において６４ビットの乱数Ｒを生成する（ステップＳ
４０２）。

【００９０】そして、サーバ７０は、乱数Ｒをデータ変
換部７４に入力する一方、乱数Ｒをチャレンジデータと
して端末８０に送信する（ステップＳ４０３）。サーバ
７０は、データ変換部７４において、パラメータ記憶部
７３に記憶しているパラメータＫ［ｉ］を用いて乱数Ｒ
を以下の操作により変換する（ステップＳ４０４）。

【００９１】Ｃ＝Ｔｒ（Ｋ［ｉ］、Ｒ） 端末８０は、サーバ７０から送信されたチャレンジデー
タとしての乱数Ｒを受信する。そして、データ変換部８
３において、パラメータ記憶部８１に記憶しているパラ
メータＫ［ｉ］を用いて乱数Ｒを以下の操作により変換
する（ステップＳ４０５）。

【００９２】Ｐ＝Ｔｒ（Ｋ［ｉ］、Ｒ） そして、端末８０は、変換データＰをパラメータ更新部
８２に入力する一方、６４ビットの変換データＰをレス
ポンスデータとしてサーバ７０に送信する（ステップＳ
４０６）。サーバ７０は、ステップＳ４０６において受
信したレスポンスデータと、ステップＳ４０２において
生成した乱数Ｒとを判断部７５に入力する。判断部７５
は、それらを比較して一致するか否かを確認する（ステ
ップＳ４０７）。

【００９３】サーバ７０は、ステップＳ４０７におい
て、一致しないとき（ステップＳ４０７、Ｎ）に、端末
８０を正規の端末でないとして、認証処理を終了する。
このとき、状態ｉは変化しない。サーバ７０は、ステッ
プＳ４０７において、一致するとき（ステップＳ４０
７、Ｙ）に、端末８０が正規の端末であると認証する。
そして、端末８０に認証した旨を通知する（ステップＳ
４０８）。

【００９４】その後、サーバ７０は、パラメータ更新部
７２において、以下の操作によりパラメータＫ［ｉ＋
１］を求める。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｔｒ（Ｋ［ｉ］、Ｒ）） サーバ７０は、パラメータ記憶部７３に記憶しているパ
ラメータＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置
き換えて、これを次回の認証処理で用いるパラメータと
して設定する（ステップＳ４０９）。これにより、状態
ｉは１だけ増加する。

【００９５】その後、サーバ７０は、認証処理を終了す
る。また、端末８０は、ステップＳ４０８による通知を
受けた後に、パラメータ更新部８２において、以下の操
作によりパラメータＫ［ｉ＋１］を求める。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｔｒ（Ｋ［ｉ］、Ｒ）） そして、パラメータ記憶部８１に記憶しているパラメー
タＫ［ｉ］を新たなパラメータＫ［ｉ＋１］に置き換え
て、これを次回の認証処理で用いるパラメータとして設
定する（ステップＳ４１０）。これにより、状態ｉは１
だけ増加する。

【００９６】その後、端末８０は、認証処理を終了す
る。本実施の形態は、認証処理１回につき、サーバ７
０、端末８０においてそれぞれ２回ずつＤＥＳ暗号処理
を必要とし、処理量が多い。しかし、実施の形態３のパ
ラメータ更新の操作がＲｏｔ（Ｘ）という単なるビット
列のデータ回転だったのに対し、本実施の形態の操作は
Ｄｅｃ（Ｘ、Ｙ）を利用しているため、パラメータＫ
［ｉ］からＫ［ｉ＋１］への変化の度合いが大きい。し
たがって、本実施の形態は、実施の形態３に比べて処理
量が多くなるが、安全性をさらに向上させることができ
る。

【００９７】なお、全ての実施の形態において、乱数Ｒ
のデータサイズを６４ビット、パラメータＫ［ｉ］のサ
イズを５６ビットとしているが、これは他のデータサイ
ズであってもよい。また、全ての実施の形態において、
暗号化部、復号化部及びデータ変換部で用いる変換方式
としてＤＥＳ暗号方式を用いている。これは、Ｚ＝Ｆ
（Ｘ、Ｙ）という変換において、ＺとＹのみが与えられ
た場合に、Ｘを求めることが困難であれば、他の変換方
式であってもよい。

【００９８】また、全ての実施の形態において、パラメ
ータ更新部が新たなパラメータＫ［ｉ＋１］を求める操
作は、各実施の形態で述べた操作に限られるものではな
く、入力データに対して出力データを一意に決定できる
ような操作であればよい。また、全ての実施の形態にお
いて、パラメータを更新することにより、なりすましに
対する安全性を向上させている。これは、暗号化及び復
号化に用いるパラメータ値、例えば、暗号処理に用いる
変換テーブル値（Ｓｂｏｘ）を更新するようにしても同
様の効果を得ることができる。

【００９９】また、全ての実施の形態において、サーバ
が端末を正規の端末であると認証したときには必ずパラ
メータを更新するようにしているが、パラメータを更新
する条件をサーバが端末を正規の端末であると認証し、
かつ、サーバから端末にパラメータの更新を指示する信
号が送信されたときとしてもよい。また、実施の形態１
及び実施の形態３において、データ補正部は、下位８ビ
ットを取り除いたデータを出力するが、これは入力デー
タから部分データを取り出すようなものであれば何でも
よい。

【０１００】また、全ての実施の形態において、万が一
パラメータの同期外れが起きたとき、以下のように対処
してもよい。ここで、パラメータの同期外れとは、サー
バと端末とのそれぞれの状態ｉが何らかの理由により異
なってしまう状態をいう。同期外れの状態であれば、サ
ーバと端末とで記憶しているパラメータが異なるので、
たとえ端末が正規の端末であったとしてもサーバから正
規の端末であると認証されない。

【０１０１】そこで、サーバは、判断部においてデータ
が一致しないとき、状態ｉを０にリセットし、自己のパ
ラメータ記憶部に記憶するパラメータをＫ［０］に初期
化する。また、端末は、サーバから認証されないとき、
自己のパラメータ記憶部に記憶するパラメータをＫ
［０］に初期化する。すると、サーバ及び端末のパラメ
ータがどちらもＫ［０］となって、一致する。

【０１０２】これにより、端末は、再度サーバにアクセ
ス要求を行えば、サーバから認証を受けることができ
る。また、全ての実施の形態において、サーバがと端末
とが１対１であったが、端末は複数あってもよい。この
とき、サーバが端末毎にパラメータを記憶している第１
の場合と、サーバが１つのパラメータを複数の端末に対
して流用する第２の場合とが考えられる。

【０１０３】第１の場合は、サーバが予め端末毎にＩＤ
を割り振り、そのＩＤとパラメータとを関連付けて記憶
することで解決する。これによると、サーバは、認証処
理の事前に端末からＩＤを取得し、そのＩＤにより端末
を特定して、その端末に固有のパラメータを用いて認証
処理を行う。認証処理については、実施の形態１から実
施の形態４まで説明したものと同様である。

【０１０４】ところが、第２の場合は、必然的にパラメ
ータの同期外れが起こりえるので、サーバが同期外れに
対処する手段を予め搭載しておかなければならない。同
期外れの対処手段としてパラメータの初期化を前述した
が、頻繁なパラメータの初期化は、なりすましに対する
安全性の向上を妨げることになる。例えば、３台の端末
Ａ、Ｂ、Ｃが正規の端末であると登録されており、サー
バが、「Ａ、Ｂ、Ｃ、・・・」の順番で端末の認証処理
を行うとする。

【０１０５】最初に、サーバが端末Ａを認証する。この
とき、パラメータはＫ[０]からＫ[１]に更新されるとす
る。次に、サーバが端末Ｂを認証する。このとき、端末
Ｂのパラメータが偶然にＫ[１]であれば、認証は成功
し、パラメータはＫ[２]に更新される。ところが、端末
Ｂのパラメータは、Ｋ[１]であるとは限らない。もしＫ
［１］でなければ、サーバ及び端末Ｂのパラメータは、
共にＫ[０]に初期化される。そして、再度認証処理が行
われ、サーバが端末Ｂを認証する。このとき、パラメー
タはＫ[０]からＫ［１］に更新される。

【０１０６】その次に、サーバが端末Ｃを認証する。こ
のとき、端末Ｃのパラメータが偶然にＫ[１]であれば、
認証は成功し、パラメータはＫ[２]に更新される。とこ
ろが、端末Ｃのパラメータは、Ｋ[１]であるとは限らな
い。もしＫ［１］でなければ、サーバ及び端末Ｃのパラ
メータは、共にＫ[０]に初期化される。そして、再度認
証処理が行われ、サーバが端末Ｃを認証する。このと
き、パラメータはＫ[０]からＫ［１］に更新される。

【０１０７】このように、前回に認証した端末と今回に
認証する端末とが異なれば、常にパラメータＫ［０］を
用いて認証処理が行われる可能性が高い。これではパラ
メータが単一である従来例と変わりがなく、なりすまし
に対する安全性の向上が図れない。特に、端末の数が多
くなるほど前回に認証した端末と今回に認証する端末と
が異なる確率が高くなり問題となる。

【０１０８】そこで、第２の場合において、サーバにア
クセスしようとする端末が、認証処理の事前に自己のパ
ラメータをサーバのパラメータと同期させるようにして
もよい。その実現例を以下に示す。図１４は、第２の場
合に係るチャレンジ−レスポンス方式の認証を実現する
サーバ及び端末のそれぞれの構成を示す図である。

【０１０９】サーバ９０は、乱数生成部９１、パラメー
タ更新部９２、パラメータ記憶部９３、暗号化部９４、
データ補正部９５、判断部９６及び状態記憶部９７を備
える。また、端末１００は、パラメータ記憶部１０１、
パラメータ更新部１０２、復号化部１０３、データ補正
部１０４及び状態記憶部１０５を備える。

【０１１０】第２の場合におけるサーバ９０及び端末１
００は、実施の形態１におけるサーバ１０及び端末２０
に状態記憶部９７及び状態記憶部１０５を追加した構成
となっている。状態記憶部９７及び状態記憶部１０５
は、状態ｉを記憶しており、正しく認証が行われる毎に
１だけ増加する。具体的にはカウンタなどを用いる。

【０１１１】また、第２の場合は、パラメータ更新部９
２及びパラメータ更新部１０２において、パラメータＫ
［ｉ］を新たなパラメータＫ［ｉ＋１］に更新する際の
操作が実施の形態１と異なる。具体的には、上位８ビッ
トを０とし下位５６ビットをパラメータ記憶部９３及び
パラメータ記憶部１０１に記憶している５６ビットのパ
ラメータＫ[ｉ]とした６４ビットのデータＷ、及び、５
６ビットのパラメータＫ［ｉ］を用いて、以下の操作に
よりパラメータＫ［ｉ＋１］を求める。

【０１１２】 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｅｎｃ（Ｋ[ｉ]、Ｗ）） ここで、Ｅｎｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを暗号化し、その結果
である６４ビットデータを出力する操作を表す。暗号化
方式としては、ＤＥＳ暗号方式を用いる。

【０１１３】この操作の特徴は、乱数を用いないことで
ある。これにより、端末１００は、自己の状態（ｍ）
と、サーバの状態（ｎ）との差分（ｎ−ｍ）さえ分かれ
ば、サーバ９０が現在記憶しているパラメータを生成す
ることができる。それ以外の構成については、実施の形
態１と同様である。認証処理の事前にパラメータを同期
させる動作を以下に示す。

【０１１４】最初に、端末１００がアクセス要求をすれ
ば、サーバ９０は、状態記憶部９７に記憶している状態
ｎを端末１００に通知する。端末１００は、サーバ９０
から状態ｎの通知を受けて、状態記憶部１０５に記憶し
ている自己の状態ｍを調べる。これにより、端末１００
は、自己とサーバ９０との状態の差分（ｎ−ｍ）を算出
する。

【０１１５】端末１００は、パラメータ更新部１０２に
おいて、以下の変換を（ｎ−ｍ）回繰り返すことによ
り、サーバ９０が記憶しているパラメータＫ[ｎ]を得る
ことができる。 Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｅｎｃ（Ｋ[ｉ]、Ｗ）） これにより、第２の場合において、サーバにアクセスし
ようとする端末が、認証処理の事前に自己のパラメータ
をサーバのパラメータと同期させることができる。

【０１１６】また、上述の操作では、パラメータ更新部
１０２において、変換を（ｎ−ｍ）回繰り返さなければ
ならない。サーバに対する端末の台数が多ければ多いほ
ど繰り返しの回数が多くなる可能性が高い。繰り返しが
多くなると端末の能力によっては演算にかかる時間が長
くなるので、そのような場合は、以下のようにしてもよ
い。

【０１１７】図１５は、第２の場合に係るチャレンジ−
レスポンス方式の認証を実現するサーバ及び端末のそれ
ぞれの構成を示す図である。サーバ１１０は、乱数生成
部１１１、パラメータ更新部１１２、パラメータ記憶部
１１３、暗号化部１１４、データ補正部１１５、判断部
１１６及び状態記憶部１１７を備える。また、端末１２
０は、パラメータ記憶部１２１、パラメータ更新部１２
２、復号化部１２３及びデータ補正部１２４を備える。

【０１１８】図１５の構成は、図１４における端末１０
０より状態記憶部１０５を取り去った構成である。ま
た、パラメータ更新部１１２及びパラメータ更新部１２
２において、パラメータＫ［ｉ］を新たなパラメータＫ
［ｉ＋１］に更新する際の操作が異なる。具体的には、
状態記憶部１１７のカウンタの値を６４ビットで表した
カウンタ値ＣＮＴ、及び、予めサーバと共有している５
６ビットのパラメータＫ［０］を用いて、以下の操作に
よりパラメータＫ［ｉ＋１］を求める。なお、ここでカ
ウンタ値ＣＮＴは、状態ｉにおいて正しく認証が行われ
て状態が１だけ増加した後の値である。

【０１１９】Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｅｎｃ（Ｋ
[０]、ＣＮＴ）） ここで、Ｅｎｃ（Ｘ、Ｙ）は、５６ビットのパラメータ
Ｘを用いて６４ビットのデータＹを暗号化し、その結果
である６４ビットデータを出力する操作を表す。暗号化
方式としては、ＤＥＳ暗号方式を用いる。

【０１２０】この演算の特徴は、乱数及びＫ[ｉ]を用い
ないことである。これにより、端末１２０は、状態記憶
部１１７に記憶しているカウンタ値ＣＮＴさえ分かれ
ば、演算の繰り返しをせずにサーバが現在記憶している
パラメータを直接生成することができる。それ以外の構
成については、実施の形態１と同様である。

【０１２１】認証処理の事前にパラメータを同期させる
動作を以下に示す。最初に、端末１２０がアクセス要求
をすれば、サーバ１１０は、状態記憶部１１７に記憶し
ているカウンタ値ＣＮＴを端末１２０に通知する。端末
１２０は、パラメータ更新部１２２において、以下の変
換を行うことにより、サーバ１１０が記憶しているパラ
メータＫ[ｉ＋１]を得ることができる。

【０１２２】Ｋ［ｉ＋１］＝ＭＳＢ５６（Ｅｎｃ（Ｋ
[０]、ＣＮＴ）） これにより、第２の場合において、サーバにアクセスし
ようとする端末が、認証処理の事前に自己のパラメータ
をサーバのパラメータと同期させることができる。な
お、全ての実施の形態において、上述したパラメータの
同期外れの対処例が適用できる。

【０１２３】また、全ての実施の形態は、自動車に搭載
されるキーレスエントリシステムに適用できる。この場
合、サーバが車載装置、端末がリモートコントローラと
なる。

【０１２４】

【発明の効果】本発明に係る認証処理方法は、第１の機
器は、第１の変換を施す変換部を保有し、第２の機器
は、第２の変換を施す変換部を保有し、第１の変換と第
２の変換とが同一又は逆変換の関係にあり、第１の機器
と第２の機器との間のチャレンジ−レスポンス方式によ
る認証処理方法であって、第１の機器から第２の機器に
チャレンジデータを伝送し、当該チャレンジデータに第
２の変換が施されたレスポンスデータを第２の機器から
第１の機器に伝送して、当該レスポンスデータが前記チ
ャレンジデータに第２の変換が施されたものであるか否
かを、第１の機器において第１の変換に基づいて判断
し、判断結果が肯定的であれば第１の機器が第２の機器
を正規の機器であると認証する認証ステップと、前記認
証ステップによる判断結果が肯定的であるとき、前記関
係にあり、かつ今回の認証処理に用いたものと異なる新
たな第１の変換と新たな第２の変換とを次回の認証処理
に用いる変換として設定する設定ステップとを含むこと
を特徴とする。

【０１２５】上記構成によれば、当該認証方法は、判断
の結果が肯定的である度に、即ち、認証が成功する度
に、今回の認証処理に用いたものと異なる新たな第１の
変換及び新たな第２の変換を次回の認証に用いる変換と
して設定する。これは、過去の認証処理と同一のチャレ
ンジデータが今回の認証処理において再利用されたとし
ても、過去の変換と今回の変換とが同一とは限らず、そ
れに伴い、過去の認証処理のレスポンスデータと今回の
認証処理のレスポンスデータとが同一とは限らないこと
を意味する。

【０１２６】したがって、当該認証方法は、チャレンジ
データとレスポンスデータとを盗聴して、これらの組を
データベースに蓄積することによるなりすまし方法に対
して、安全性を向上させることができる。また、前記設
定ステップは、前記認証ステップによる判断結果が否定
的であるとき、今回の認証処理に用いた第１の変換及び
第２の変換を、次回の認証処理に用いる変換として設定
することとしてもよい。

【０１２７】上記構成によれば、当該認証方法は、判断
の結果が否定的であるとき、即ち、認証が失敗したと
き、今回の認証処理に用いた第１の変換及び第２の変換
をそのまま次回の認証処理に用いる変換として設定す
る。そのため、第１の変換及び第２の変換は、同一又は
逆変換の関係に保たれたままである。したがって、再度
認証を行えば、第１の機器が第２の機器を正常に認証す
ることができる。

【０１２８】これは特に、第１の機器と不正な機器との
間で認証処理が行われた場合に効果的である。例えば、
当該認証方法が認証に失敗しても新たな第１の変換に更
新する仕様であれば、不正な機器との認証を行った後
で、第１の変換は更新されており、第２の機器における
第２の変換は更新されていない場合が起こりえる。この
ような場合、第１の変換と第２の変換とを同一又は逆変
換の関係に保つために、第１の機器が第２の機器に第１
の変換を更新した旨を通知して、第２の機器がその通知
を受けて第２の変換を更新する、などの特別な措置が必
要である。ところが、認証が失敗したとき第１の変換及
び第２の変換を更新しない仕様であれば、上記のような
特別な措置をとる必要がない。

【０１２９】本発明に係る第１の機器は、第１の変換と
第２の変換とが同一又は逆変換の関係にあり、チャレン
ジ−レスポンス方式により第２の機器を認証する第１の
機器であって、第２の機器にチャレンジデータを送信
し、当該チャレンジデータに第２の変換が施されたレス
ポンスデータを第２の機器から受信して、当該レスポン
スデータが前記チャレンジデータに第２の変換が施され
たものであるか否かを、第１の変換に基づいて判断し、
判断結果が肯定的であれば第２の機器を正当な機器であ
ると認証する認証手段と、前記認証手段による判断結果
が肯定的であるとき、次回の認証処理に用いる新たな第
２の変換と前記関係にあり、かつ今回の認証処理に用い
たものと異なる新たな第１の変換を次回の認証処理に用
いる変換として設定する設定手段とを備えることを特徴
とする。

【０１３０】上記構成によれば、第１の機器は、判断の
結果が肯定的である度に、即ち、認証が成功する度に、
今回の認証処理に用いたものと異なる新たな第１の変換
を次回の認証に用いる変換として設定する。これは、過
去の認証処理と同一のチャレンジデータが今回の認証処
理において再利用されたとしても、過去の変換と今回の
変換とが同一とは限らず、それに伴い、過去の認証処理
のレスポンスデータと今回の認証処理のレスポンスデー
タとが同一とは限らないことを意味する。

【０１３１】したがって、第１の機器は、チャレンジデ
ータとレスポンスデータとを盗聴して、これらの組をデ
ータベースに蓄積することによるなりすまし方法に対し
て、安全性を向上させることができる。また、前記設定
手段は、前記認証手段による判断結果が否定的であると
き、今回の認証処理に用いた第１の変換を、次回の認証
処理に用いる変換として設定することとしてもよい。

【０１３２】上記構成によれば、第１の機器は、判断の
結果が否定的であるとき、即ち、認証が失敗したとき、
今回の認証処理に用いた第１の変換をそのまま次回の認
証処理に用いる変換として設定する。第２の機器も、第
１の機器と同様の仕様であれば、第１の変換及び第２の
変換は、同一又は逆変換の関係に保たれたままである。

【０１３３】したがって、再度認証を行えば、第１の機
器が第２の機器を正常に認証することができる。これは
特に、第１の機器と不正な機器との間で認証処理が行わ
れた場合に効果的である。例えば、第１の機器が認証に
失敗しても新たな第１の変換に更新する仕様であれば、
不正な機器との認証を行った後で、第１の変換は更新さ
れており、第２の機器における第２の変換は更新されて
いない場合が起こりえる。このような場合、第１の変換
と第２の変換とを同一又は逆変換の関係に保つために、
第１の機器が第２の機器に第１の変換を更新した旨を通
知して、第２の機器がその通知を受けて第２の変換を更
新する、などの特別な措置が必要である。ところが、認
証が失敗したとき第１の変換及び第２の変換を更新しな
い仕様であれば、上記のような特別な措置をとる必要が
ない。

【０１３４】また、第１の変換及び第２の変換は、共に
同一のパラメータにより特徴付けられる変換であり、前
記設定手段は、前記認証手段による判断結果が肯定的で
あるとき、第１の機器及び第２の機器において予め共有
されている所定の操作を前記パラメータに施すことによ
り新たなパラメータを得ることとしてもよい。上記構成
によれば、第１の変換及び第２の変換は、それぞれパラ
メータにより特徴付けられている。即ち、パラメータが
更新されると、第１の変換や第２の変換が更新されるこ
とになる。

【０１３５】また、上記構成によれば、第１の機器は、
パラメータを第２の機器と同一の操作を施すことにより
新たなパラメータを得る。これにより、第１の機器と第
２の機器とのそれぞれのパラメータが一致していれば、
それらは更新後においても一致している。したがって、
第１の機器は、第１の変換及び第２の変換を更新しても
同一又は逆変換の関係に保つことができる。

【０１３６】また、前記設定手段は、前記認証手段によ
る判断結果が否定的であるとき、前記パラメータを、第
２の機器と予め共有している初期値に設定することとし
てもよい。上記構成によれば、第１の機器は、判断の結
果が否定的であるとき、パラメータを第２の機器と予め
共有している初期値に設定する。

【０１３７】これにより、第２の機器も第１の機器と同
様の仕様であれば、何らかの理由により第１の機器と第
２の機器とでそれぞれのパラメータが異なってしまった
としても、それらは初期値に設定されて一致する。した
がって、第１の機器は、第１の変換及び第２の変換が、
何らかの理由で異なってしまったとしても、これらを同
一又は逆変換の関係に戻すことができる。

【０１３８】また、前記設定手段は、さらに、所定のパ
ラメータ情報を取得するパラメータ情報取得手段と、前
記認証手段による判断結果が否定的であるとき、前記パ
ラメータ取得手段により取得された所定のパラメータ情
報を第２の機器に送信するパラメータ情報送信手段とを
含み、前記設定手段は、前記パラメータ情報取得手段に
より取得された所定のパラメータ情報に前記所定の操作
を施すことにより新たなパラメータを得ることとしても
よい。

【０１３９】上記構成によれば、第１の機器は、所定の
パラメータ情報を取得して、当該パラメータ情報に第２
の機器において施される操作と同一の操作を施すことに
よりパラメータを得る。これにより、第２の機器も第１
の機器と同様の仕様であれば、第１の機器と第２の機器
とは、パラメータを共有することができる。

【０１４０】したがって、第１の機器は、第１の変換及
び第２の変換が、何らかの理由で異なってしまったとし
ても、これらを同一又は逆変換の関係に戻すことができ
る。また、第１の変換と第２の変換とが逆変換の関係で
あり、前記認証手段は、乱数を発生させて、当該乱数に
第１の変換を施してチャレンジデータを生成するチャレ
ンジデータ生成手段と、前記チャレンジデータ生成手段
により生成されたチャレンジデータを第２の機器に送信
するチャレンジデータ送信手段と、前記チャレンジデー
タ送信手段により送信されたチャレンジデータに第２の
機器において第２の変換が施されたレスポンスデータを
第２の機器から受信するレスポンスデータ受信手段とを
含み、前記認証手段は、前記レスポンスデータ受信手段
により受信されたレスポンスデータと、前記乱数とが一
致するとき、前記レスポンスデータが前記チャレンジデ
ータに第２の変換が施されたものであると判断すること
としてもよい。

【０１４１】上記構成によれば、乱数に第１の変換を施
したものがチャレンジデータであり、チャレンジデータ
に第２の変換を施したものがレスポンスデータである。
ここで、第１の変換及び第２の変換は、逆変換の関係に
あるので、レスポンスデータは乱数そのものである。し
たがって、第１の機器は、レスポンスデータと乱数とが
一致するか否か確認することで、第２の機器を認証する
か否か判断することができる。

【０１４２】また、第１の変換と第２の変換とが同一の
関係であり、前記認証手段は、乱数を発生させる乱数発
生手段と、前記乱数発生手段により発生された乱数をチ
ャレンジデータとして第２の機器に送信するチャレンジ
データ送信手段と、前記チャレンジデータ送信手段によ
り送信されたチャレンジデータに第２の機器において第
２の変換が施されたレスポンスデータを第２の機器から
受信するレスポンスデータ受信手段と、前記乱数発生手
段により発生された乱数に第１の変換を施すチャレンジ
データ変換手段とを含み、前記認証手段は、前記レスポ
ンスデータ受信手段により受信されたレスポンスデータ
と、前記チャレンジデータ変換手段による変換後の乱数
とが一致するとき、前記レスポンスデータが前記チャレ
ンジデータに第２の変換が施されたものであると判断す
ることとしてもよい。

【０１４３】上記構成によれば、第１の機器は、第２の
機器においてチャレンジデータに第２の変換を施された
レスポンスデータを受信する。一方、第１の機器は、チ
ャレンジデータに第１の変換を施す。ここで、第１の変
換及び第２の変換は、同一の関係にある。したがって、
第１の機器は、レスポンスデータと第１の機器における
変換後のチャレンジデータとが一致するか否か確認する
ことで、第２の機器を認証するか否か判断することがで
きる。

【０１４４】本発明に係る第２の機器は、第１の変換と
第２の変換とが同一又は逆変換の関係にあり、チャレン
ジ−レスポンス方式により第１の機器に認証される第２
の機器であって、第１の機器から送信されたチャレンジ
データを受信するチャレンジデータ受信手段と、前記チ
ャレンジデータ受信手段により受信されたチャレンジデ
ータに第２の変換を施してレスポンスデータを生成する
レスポンスデータ生成手段と、前記レスポンスデータ生
成手段により生成されたレスポンスデータを第１の機器
に送信するレスポンスデータ送信手段と、前記レスポン
スデータ生成手段において第２の変換を施した後に、次
回の認証処理に用いる新たな第１の変換と前記関係にあ
り、かつ今回の認証処理に用いたものと異なる新たな第
２の変換を次回の認証処理に用いる変換として設定する
設定手段とを備えることを特徴とする。

【０１４５】上記構成によれば、第２の機器は、チャレ
ンジデータに第２の変換を施してレスポンスデータを生
成し、今回の認証処理に用いたものと異なる新たな第２
の変換を次回の認証に用いる変換として設定する。これ
は、過去の認証処理と同一のチャレンジデータが今回の
認証処理において再利用されたとしても、過去の変換と
今回の変換とが同一とは限らず、それに伴い、過去の認
証処理のレスポンスデータと今回の認証処理のレスポン
スデータとが同一とは限らないことを意味する。

【０１４６】したがって、第２の機器は、チャレンジデ
ータとレスポンスデータとを盗聴して、これらの組をデ
ータベースに蓄積することによるなりすまし方法に対し
て、安全性を向上させることができる。また、前記設定
手段は、第１の機器において、前記レスポンスデータ送
信手段により送信されたレスポンスデータがチャレンジ
データに第２の変換を施したものであるか否かが第１の
変換に基づいて判断され、第１の機器から判断結果が肯
定的であると通知されたときに、今回の認証処理に用い
たものと異なる新たな第２の変換を次回の認証処理に用
いる変換として設定することとしてもよい。

【０１４７】上記構成によれば、第２の機器は、第１の
機器における判断の結果が肯定的であると通知されたと
きに新たな第２の変換を次回の認証処理に用いる変換と
して設定する。第２の機器が第１の機器に正常に認証さ
れるために、第２の変換は第１の変換と同一又は逆変換
の関係に保たれなければならない。つまり、第１の機器
が、判断の結果が肯定的であれば第１の変換を更新する
という仕様であれば、第２の機器もそれに合わせて第２
の変換を更新しなければならない。そこで、第２の機器
は、第１の機器から通知されたときに第２の変換を更新
することとすれば、第１の変換及び第２の変換は、同一
又は逆変換の関係を保つことができる。

【０１４８】また、第１の変換及び第２の変換は、共に
同一のパラメータにより特徴付けられる変換であり、前
記設定手段は、第１の機器において、前記レスポンスデ
ータ送信手段により送信されたレスポンスデータがチャ
レンジデータに第２の変換を施したものであるか否かが
第１の変換に基づいて判断され、第１の機器から判断結
果が否定的であると通知されたときに、前記パラメータ
を、第１の機器と予め共有している初期値に設定するこ
ととしてもよい。

【０１４９】上記構成によれば、第２の機器は、判断の
結果が否定的であるとき、パラメータを第１の機器と予
め共有している初期値に設定する。これにより、第１の
機器も第２の機器と同様の仕様であれば、何らかの理由
により第２の機器と第１の機器とでそれぞれのパラメー
タが異なってしまったとしても、これらは初期値に設定
され一致する。

【０１５０】したがって、第２の機器は、第１の変換及
び第２の変換が、何らかの理由で異なってしまったとし
ても、これらを同一又は逆変換の関係に戻すことができ
る。また、前記設定手段は、さらに、前記判断結果が否
定的であり、第１の機器から所定のパラメータ情報が送
信されたとき、当該所定のパラメータ情報を取得するパ
ラメータ情報取得手段を含み、前記設定手段は、前記パ
ラメータ情報取得手段により取得された所定のパラメー
タ情報に第１の機器及び第２の機器において予め共有さ
れている所定の操作を施すことにより新たなパラメータ
を得ることとしてもよい。

【０１５１】上記構成によれば、第２の機器は、所定の
パラメータ情報を取得して、当該パラメータ情報に第１
の機器において施される操作と同一の操作を施すことに
よりパラメータを得る。これにより、第１の機器も第２
の機器と同様の仕様であれば、第１の機器と第２の機器
とは、パラメータを共有することができる。

【０１５２】したがって、第２の機器は、第１の変換及
び第２の変換が、何らかの理由で異なってしまったとし
ても、これらを同一又は逆変換の関係に戻すことができ
る。本発明に係る認証システムは、第１の変換と第２の
変換とが同一又は逆変換の関係にあり、第１の機器と第
２の機器との間のチャレンジ−レスポンス方式による認
証システムであって、第１の機器から第２の機器にチャ
レンジデータを伝送し、当該チャレンジデータに第２の
変換が施されたレスポンスデータを第２の機器から第１
の機器に伝送して、当該レスポンスデータが前記チャレ
ンジデータに第２の変換が施されたものであるか否か
を、第１の機器において第１の変換に基づいて判断し、
判断結果が肯定的であれば第１の機器が第２の機器を正
規の機器であると認証する認証手段と、前記認証手段に
よる判断結果が肯定的であるとき、前記関係にあり、か
つ今回の認証処理に用いたものと異なる新たな第１の変
換と新たな第２の変換とを次回の認証処理に用いる変換
として設定する設定手段とを備えることを特徴とする。

【０１５３】上記構成によれば、当該認証システムは、
判断の結果が肯定的である度に、即ち、認証が成功する
度に、今回の認証処理に用いたものと異なる新たな第１
の変換及び新たな第２の変換を次回の認証に用いる変換
として設定する。これは、過去の認証処理と同一のチャ
レンジデータが今回の認証処理において再利用されたと
しても、過去の変換と今回の変換とが同一とは限らず、
それに伴い、過去の認証処理のレスポンスデータと今回
の認証処理のレスポンスデータとが同一とは限らないこ
とを意味する。

【０１５４】したがって、当該認証システムは、チャレ
ンジデータとレスポンスデータとを盗聴して、これらの
組をデータベースに蓄積することによるなりすまし方法
に対して、安全性を向上させることができる。本発明に
係るキーレスエントリシステムは、第１の変換と第２の
変換とが同一又は逆変換の関係にあり、車載装置とリモ
ートコントローラとの間のチャレンジ−レスポンス方式
によるキーレスエントリシステムであって、車載装置か
らリモートコントローラにチャレンジデータを伝送し、
当該チャレンジデータに第２の変換が施されたレスポン
スデータをリモートコントローラから車載装置に伝送し
て、当該レスポンスデータが前記チャレンジデータに第
２の変換が施されたものであるか否かを、車載装置にお
いて第１の変換に基づいて判断し、判断結果が肯定的で
あれば車載装置がリモートコントローラを正規のリモー
トコントローラであると認証する認証手段と、前記認証
手段による判断結果が肯定的であるとき、前記関係にあ
り、かつ今回の認証処理に用いたものと異なる新たな第
１の変換と新たな第２の変換とを次回の認証処理に用い
る変換として設定する設定手段とを備えることを特徴と
する。

【０１５５】上記構成によれば、当該キーレスエントリ
システムは、判断の結果が肯定的である度に、即ち、認
証が成功する度に、今回の認証処理に用いたものと異な
る新たな第１の変換及び新たな第２の変換を次回の認証
に用いる変換として設定する。これは、過去の認証処理
と同一のチャレンジデータが今回の認証処理において再
利用されたとしても、過去の変換と今回の変換とが同一
とは限らず、それに伴い、過去の認証処理のレスポンス
データと今回の認証処理のレスポンスデータとが同一と
は限らないことを意味する。

【０１５６】したがって、当該キーレスエントリシステ
ムは、チャレンジデータとレスポンスデータとを盗聴し
て、これらの組をデータベースに蓄積することによるな
りすまし方法に対して、安全性を向上させることができ
る。本発明に係る自動車は、第１の変換と第２の変換と
が同一又は逆変換の関係にあり、車載装置とリモートコ
ントローラとの間のチャレンジ−レスポンス方式による
キーレスエントリシステムを搭載する自動車であって、
車載装置からリモートコントローラにチャレンジデータ
を伝送し、当該チャレンジデータに第２の変換が施され
たレスポンスデータをリモートコントローラから車載装
置に伝送して、当該レスポンスデータが前記チャレンジ
データに第２の変換が施されたものであるか否かを、車
載装置において第１の変換に基づいて判断し、判断結果
が肯定的であれば車載装置がリモートコントローラを正
規のリモートコントローラとして認証する認証手段と、
前記認証手段による判断結果が肯定的であるとき、前記
関係にあり、かつ今回の認証処理に用いたものと異なる
新たな第１の変換と新たな第２の変換とを次回の認証処
理に用いる変換として設定する設定手段とを備えること
を特徴とする。

【０１５７】上記構成によれば、当該自動車は、判断の
結果が肯定的である度に、即ち、認証が成功する度に、
今回の認証処理に用いたものと異なる新たな第１の変換
及び新たな第２の変換を次回の認証に用いる変換として
設定する。これは、過去の認証処理と同一のチャレンジ
データが今回の認証処理において再利用されたとして
も、過去の変換と今回の変換とが同一とは限らず、それ
に伴い、過去の認証処理のレスポンスデータと今回の認
証処理のレスポンスデータとが同一とは限らないことを
意味する。

【０１５８】したがって、当該自動車は、チャレンジデ
ータとレスポンスデータとを盗聴して、これらの組をデ
ータベースに蓄積することによるなりすまし方法に対し
て、安全性を向上させることができる。

【図面の簡単な説明】

【図１】 一般的なチャレンジ−レスポンス方式の認証
を実現するサーバ及び端末のそれぞれの構成を示す図で
ある。

【図２】 実施の形態１に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの構成
を示す図である。

【図３】 パラメータ更新部１２の構成を示す図であ
る。

【図４】 実施の形態１に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの動作
を示す図である。

【図５】 実施の形態２に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの構成
を示す図である。

【図６】 パラメータ更新部３２の構成を示す図であ
る。

【図７】 実施の形態２に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの動作
を示す図である。

【図８】 実施の形態３に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの構成
を示す図である。

【図９】 パラメータ更新部５２の構成を示す図であ
る。

【図１０】 実施の形態３に係るチャレンジ−レスポン
ス方式の認証を実現するサーバ及び端末のそれぞれの動
作を示す図である。

【図１１】 実施の形態４に係るチャレンジ−レスポン
ス方式の認証を実現するサーバ及び端末のそれぞれの構
成を示す図である。

【図１２】 パラメータ更新部７２の構成を示す図であ
る。

【図１３】 実施の形態４に係るチャレンジ−レスポン
ス方式の認証を実現するサーバ及び端末のそれぞれの動
作を示す図である。

【図１４】 第２の場合に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの構成
を示す図である。

【図１５】 第２の場合に係るチャレンジ−レスポンス
方式の認証を実現するサーバ及び端末のそれぞれの構成
を示す図である。

【符号の説明】

１０、３０、５０、７０、９０、１１０ サーバ １１、３１、５１、７１、９１、１１１ 乱数生成部 １２、３２、５２、７２、９２、１１２ パラメータ
更新部 １３、３３、５３、７３、９３、１１３ パラメータ
記憶部 １４、３４、９４、１１４ 暗号化部 １５、５５、９５、１１５ データ補正部 １６、３５、５６、７５、９６、１１６ 判断部 １７、５７ データマスク部 １８、５８ データ融合部 １９、５９ データ回転部 ２０、４０、６０、８０、１００、１２０ 端末 ２１、４１、６１、８１、１０１、１２１ パラメー
タ記憶部 ２２、４２、６２、８２、１０２、１２２ パラメー
タ更新部 ２３、４３、１０３、１２３ 復号化部 ２４、６４、１０４、１２４ データ補正部 ３６ 復号化部 ３７、７７ データ短縮部 ５４、７４ データ変換部 ６３、８３ データ変換部 ７６、 データ変換部 ９７、１１７ 状態記憶部 １０５ 状態記憶部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 大森 基司 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B085 AE23 AE29 BA06 BG02 5J104 AA07 KA02 KA04 KA06 NA02

Claims (16)

【特許請求の範囲】
1. 【請求項１】 第１の機器は、第１の変換を施す変換部
   を保有し、第２の機器は、第２の変換を施す変換部を保
   有し、第１の変換と第２の変換とが同一又は逆変換の関
   係にあり、第１の機器と第２の機器との間のチャレンジ
   −レスポンス方式による認証処理方法であって、 第１の機器から第２の機器にチャレンジデータを伝送
   し、当該チャレンジデータに第２の変換が施されたレス
   ポンスデータを第２の機器から第１の機器に伝送して、
   当該レスポンスデータが前記チャレンジデータに第２の
   変換が施されたものであるか否かを、第１の機器におい
   て第１の変換に基づいて判断し、判断結果が肯定的であ
   れば第１の機器が第２の機器を正規の機器であると認証
   する認証ステップと、 前記認証ステップによる判断結果が肯定的であるとき、
   前記関係にあり、かつ今回の認証処理に用いたものと異
   なる新たな第１の変換と新たな第２の変換とを次回の認
   証処理に用いる変換として設定する設定ステップとを含
   むことを特徴とする認証処理方法。
2. 【請求項２】 前記設定ステップは、 前記認証ステップによる判断結果が否定的であるとき、
   今回の認証処理に用いた第１の変換及び第２の変換を、
   次回の認証処理に用いる変換として設定することを特徴
   とする請求項１に記載の認証処理方法。
3. 【請求項３】 第１の変換と第２の変換とが同一又は逆
   変換の関係にあり、チャレンジ−レスポンス方式により
   第２の機器を認証する第１の機器であって、 第２の機器にチャレンジデータを送信し、当該チャレン
   ジデータに第２の変換が施されたレスポンスデータを第
   ２の機器から受信して、当該レスポンスデータが前記チ
   ャレンジデータに第２の変換が施されたものであるか否
   かを、第１の変換に基づいて判断し、判断結果が肯定的
   であれば第２の機器を正当な機器であると認証する認証
   手段と、 前記認証手段による判断結果が肯定的であるとき、次回
   の認証処理に用いる新たな第２の変換と前記関係にあ
   り、かつ今回の認証処理に用いたものと異なる新たな第
   １の変換を次回の認証処理に用いる変換として設定する
   設定手段とを備えることを特徴とする第１の機器。
4. 【請求項４】 前記設定手段は、 前記認証手段による判断結果が否定的であるとき、今回
   の認証処理に用いた第１の変換を、次回の認証処理に用
   いる変換として設定することを特徴とする請求項３に記
   載の第１の機器。
5. 【請求項５】 第１の変換及び第２の変換は、共に同一
   のパラメータにより特徴付けられる変換であり、 前記設定手段は、 前記認証手段による判断結果が肯定的であるとき、第１
   の機器及び第２の機器において予め共有されている所定
   の操作を前記パラメータに施すことにより新たなパラメ
   ータを得ることを特徴とする請求項３に記載の第１の機
   器。
6. 【請求項６】 前記設定手段は、 前記認証手段による判断結果が否定的であるとき、前記
   パラメータを、第２の機器と予め共有している初期値に
   設定することを特徴とする請求項５に記載の第１の機
   器。
7. 【請求項７】 前記設定手段は、さらに、 所定のパラメータ情報を取得するパラメータ情報取得手
   段と、 前記認証手段による判断結果が否定的であるとき、前記
   パラメータ取得手段により取得された所定のパラメータ
   情報を第２の機器に送信するパラメータ情報送信手段と
   を含み、 前記設定手段は、 前記パラメータ情報取得手段により取得された所定のパ
   ラメータ情報に前記所定の操作を施すことにより新たな
   パラメータを得ることを特徴とする請求項５に記載の第
   １の機器。
8. 【請求項８】 第１の変換と第２の変換とが逆変換の関
   係であり、 前記認証手段は、 乱数を発生させて、当該乱数に第１の変換を施してチャ
   レンジデータを生成するチャレンジデータ生成手段と、 前記チャレンジデータ生成手段により生成されたチャレ
   ンジデータを第２の機器に送信するチャレンジデータ送
   信手段と、 前記チャレンジデータ送信手段により送信されたチャレ
   ンジデータに第２の機器において第２の変換が施された
   レスポンスデータを第２の機器から受信するレスポンス
   データ受信手段とを含み、 前記認証手段は、 前記レスポンスデータ受信手段により受信されたレスポ
   ンスデータと、前記乱数とが一致するとき、前記レスポ
   ンスデータが前記チャレンジデータに第２の変換が施さ
   れたものであると判断することを特徴とする請求項３に
   記載の第１の機器。
9. 【請求項９】 第１の変換と第２の変換とが同一の関係
   であり、 前記認証手段は、 乱数を発生させる乱数発生手段と、 前記乱数発生手段により発生された乱数をチャレンジデ
   ータとして第２の機器に送信するチャレンジデータ送信
   手段と、 前記チャレンジデータ送信手段により送信されたチャレ
   ンジデータに第２の機器において第２の変換が施された
   レスポンスデータを第２の機器から受信するレスポンス
   データ受信手段と、 前記乱数発生手段により発生された乱数に第１の変換を
   施すチャレンジデータ変換手段とを含み、 前記認証手段は、 前記レスポンスデータ受信手段により受信されたレスポ
   ンスデータと、前記チャレンジデータ変換手段による変
   換後の乱数とが一致するとき、前記レスポンスデータが
   前記チャレンジデータに第２の変換が施されたものであ
   ると判断することを特徴とする請求項３に記載の第１の
   機器。
10. 【請求項１０】 第１の変換と第２の変換とが同一又は
    逆変換の関係にあり、チャレンジ−レスポンス方式によ
    り第１の機器に認証される第２の機器であって、 第１の機器から送信されたチャレンジデータを受信する
    チャレンジデータ受信手段と、 前記チャレンジデータ受信手段により受信されたチャレ
    ンジデータに第２の変換を施してレスポンスデータを生
    成するレスポンスデータ生成手段と、 前記レスポンスデータ生成手段により生成されたレスポ
    ンスデータを第１の機器に送信するレスポンスデータ送
    信手段と、 前記レスポンスデータ生成手段において第２の変換を施
    した後に、次回の認証処理に用いる新たな第１の変換と
    前記関係にあり、かつ今回の認証処理に用いたものと異
    なる新たな第２の変換を次回の認証処理に用いる変換と
    して設定する設定手段とを備えることを特徴とする第２
    の機器。
11. 【請求項１１】 前記設定手段は、 第１の機器において、前記レスポンスデータ送信手段に
    より送信されたレスポンスデータがチャレンジデータに
    第２の変換を施したものであるか否かが第１の変換に基
    づいて判断され、第１の機器から判断結果が肯定的であ
    ると通知されたときに、今回の認証処理に用いたものと
    異なる新たな第２の変換を次回の認証処理に用いる変換
    として設定することを特徴とする請求項１０に記載の第
    ２の機器。
12. 【請求項１２】 第１の変換及び第２の変換は、共に同
    一のパラメータにより特徴付けられる変換であり、 前記設定手段は、 第１の機器において、前記レスポンスデータ送信手段に
    より送信されたレスポンスデータがチャレンジデータに
    第２の変換を施したものであるか否かが第１の変換に基
    づいて判断され、第１の機器から判断結果が否定的であ
    ると通知されたときに、前記パラメータを、第１の機器
    と予め共有している初期値に設定することを特徴とする
    請求項１０に記載の第２の機器。
13. 【請求項１３】 前記設定手段は、さらに、 前記判断結果が否定的であり、第１の機器から所定のパ
    ラメータ情報が送信されたとき、当該所定のパラメータ
    情報を取得するパラメータ情報取得手段を含み、 前記設定手段は、 前記パラメータ情報取得手段により取得された所定のパ
    ラメータ情報に第１の機器及び第２の機器において予め
    共有されている所定の操作を施すことにより新たなパラ
    メータを得ることを特徴とする請求項１２に記載の第２
    の機器。
14. 【請求項１４】 第１の変換と第２の変換とが同一又は
    逆変換の関係にあり、第１の機器と第２の機器との間の
    チャレンジ−レスポンス方式による認証システムであっ
    て、 第１の機器から第２の機器にチャレンジデータを伝送
    し、当該チャレンジデータに第２の変換が施されたレス
    ポンスデータを第２の機器から第１の機器に伝送して、
    当該レスポンスデータが前記チャレンジデータに第２の
    変換が施されたものであるか否かを、第１の機器におい
    て第１の変換に基づいて判断し、判断結果が肯定的であ
    れば第１の機器が第２の機器を正規の機器であると認証
    する認証手段と、 前記認証手段による判断結果が肯定的であるとき、前記
    関係にあり、かつ今回の認証処理に用いたものと異なる
    新たな第１の変換と新たな第２の変換とを次回の認証処
    理に用いる変換として設定する設定手段とを備えること
    を特徴とする認証システム。
15. 【請求項１５】 第１の変換と第２の変換とが同一又は
    逆変換の関係にあり、車載装置とリモートコントローラ
    との間のチャレンジ−レスポンス方式によるキーレスエ
    ントリシステムであって、 車載装置からリモートコントローラにチャレンジデータ
    を伝送し、当該チャレンジデータに第２の変換が施され
    たレスポンスデータをリモートコントローラから車載装
    置に伝送して、当該レスポンスデータが前記チャレンジ
    データに第２の変換が施されたものであるか否かを、車
    載装置において第１の変換に基づいて判断し、判断結果
    が肯定的であれば車載装置がリモートコントローラを正
    規のリモートコントローラであると認証する認証手段
    と、 前記認証手段による判断結果が肯定的であるとき、前記
    関係にあり、かつ今回の認証処理に用いたものと異なる
    新たな第１の変換と新たな第２の変換とを次回の認証処
    理に用いる変換として設定する設定手段とを備えること
    を特徴とするキーレスエントリシステム。
16. 【請求項１６】 第１の変換と第２の変換とが同一又は
    逆変換の関係にあり、車載装置とリモートコントローラ
    との間のチャレンジ−レスポンス方式によるキーレスエ
    ントリシステムを搭載する自動車であって、 車載装置からリモートコントローラにチャレンジデータ
    を伝送し、当該チャレンジデータに第２の変換が施され
    たレスポンスデータをリモートコントローラから車載装
    置に伝送して、当該レスポンスデータが前記チャレンジ
    データに第２の変換が施されたものであるか否かを、車
    載装置において第１の変換に基づいて判断し、判断結果
    が肯定的であれば車載装置がリモートコントローラを正
    規のリモートコントローラとして認証する認証手段と、 前記認証手段による判断結果が肯定的であるとき、前記
    関係にあり、かつ今回の認証処理に用いたものと異なる
    新たな第１の変換と新たな第２の変換とを次回の認証処
    理に用いる変換として設定する設定手段とを備えること
    を特徴とする自動車。