JP2017130845A - 認証システム、認証要求装置、車載電子機器、コンピュータプログラム及び認証処理方法 - Google Patents

Abstract

【課題】より安全で確実に認証処理を行うことが期待できる認証システム、認証要求装置、車載電子機器、コンピュータプログラム及び認証処理方法を提供する。【解決手段】検査装置５は、認証子の生成要求をサーバ装置７へ送信する。認証子生成要求を受信したサーバ装置７は、有効期限情報を含む認証子を生成し、生成した認証子に電子署名を付して検査装置５へ送信する。サーバ装置７から認証子を受信した検査装置５は、電子署名が付された認証子をゲートウェイ３へ送信する。検査装置５からの認証子を受信したゲートウェイ３は、認証子に付された電子署名が正しいものであり、且つ、認証子が有効期限内である場合に、検査装置５との認証処理を行う。【選択図】図５

Description

本発明は、車両に搭載された電子機器が車両内外の他の機器を認証する認証システム、並びに、このシステムに係る認証要求装置、車載電子機器、コンピュータプログラム及び認証処理方法に関する。

従来、車両には多数の電子機器が搭載されている。車載の電子機器では、例えばソフトウェアの更新など安全に影響が出る可能性がある機能及び操作等については、それを行う診断ツールなどの装置が正当なものであるか否かを判断する必要がある。このため車載電子機器と診断ツールなどの装置との間では事前に認証処理が行われ、車載電子機器は認証した相手に上記の機能及び操作等を提供し、認証していない相手には機能及び操作等を提供しない。近年では、車載電子機器に有線接続される診断ツールのみでなく、例えば無線通信にて遠隔からの接続を行うサーバ装置、並びに、車両に搭載されたＥＣＵ（Electronic Control Unit）又はカーナビゲーション装置等の他の電子機器等が認証処理の対象となり得る。

例えば特許文献１においては、セキュリティ性の高い認証を実現することを目的とした車載機が提案されている。この車載機は、ＰＩＮコード及び車載機ＩＤを記憶し、ＰＩＮコードの照合により携帯端末との接続可否を判定する第１認証を行い、第１認証を経て接続された携帯端末に車載機ＩＤを要求し、この要求に応じて携帯端末から送られてくる車載機ＩＤを登録された車載機ＩＤと比較することで認証する第２認証を行い、第２認証により認証を得られた携帯端末に対して車両状態を表す所定の車両データを送信する。

特開２０１２−８８９１３号公報

従来の認証処理では、車載電子機器と認証を要求する装置との間でＩＤ及びパスワード等の情報を送受信し、これらの情報が正当なものであるか否かを判定している。認証に必要なこれらの情報は認証処理を行う２つの装置間で保持されるが、これらの情報が悪意の第三者によって不正に取得された場合、車載電子機器が悪意の第三者を認証する虞がある。

本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、より安全で確実に認証処理を行うことが期待できる認証システム、認証要求装置、車載電子機器、コンピュータプログラム及び認証処理方法を提供することにある。

本発明に係る認証システムは、車載電子機器と、該車載電子機器に対して認証要求を行う認証要求装置とを備え、前記認証要求に応じて前記車載電機器及び前記認証要求装置の間で認証処理を行う認証システムにおいて、有効期限情報を含む認証子を生成する認証子生成部、鍵情報を記憶する鍵情報記憶部、該鍵情報記憶部に記憶された鍵情報を用いて前記認証子生成部が生成した認証子に電子署名を付与する処理を行う署名付与部、該署名付与部が電子署名を付与した前記認証子を前記認証要求装置へ送信する認証子送信部を有する認証子生成装置を更に備え、前記認証要求装置は、前記認証子生成装置からの前記認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部とを有し、前記車載電子機器は、前記認証要求装置からの前記認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部とを有することを特徴とする。

また、本発明に係る認証システムは、前記認証子生成装置の前記鍵情報記憶部が、秘密鍵を記憶し、前記車載電子機器は、前記秘密鍵に対応する公開鍵を記憶する鍵情報記憶部を有し、前記車載電子機器の前記電子署名判定部は、前記鍵情報記憶部に記憶された前記公開鍵を用いて判定を行うことを特徴とする。

また、本発明に係る認証システムは、前記認証要求装置は、認証子の生成を要求する認証子生成要求を前記認証子生成装置へ送信する認証子生成要求送信部を有し、前記認証子生成要求には、第１の所定情報を含み、前記認証子生成装置は、前記認証要求装置からの前記認証子生成要求を受信する認証子生成要求受信部と、前記認証子生成要求受信部が受信した前記認証子生成要求に含まれる前記第１の所定情報を元に第２の所定情報を生成する情報生成部とを有し、前記認証子生成装置の前記認証子生成部は、前記有効期限情報及び前記情報生成部が生成した第２の所定情報を含む認証子を生成することを特徴とする。

また、本発明に係る認証システムは、前記情報生成部が、前記第１の所定情報を元に算出したハッシュ値を前記第２の所定情報とすることを特徴とする。

また、本発明に係る認証システムは、前記認証要求装置の前記認証子送信部は、前記認証子に前記第１の所定情報を付して前記車載電子機器へ送信し、前記車載電子機器は、前記認証子受信部が受信した前記認証子に付された前記第１の所定情報を基に、前記認証子に含まれる前記第２の所定情報の正否を判定する情報判定部を有し、前記車載電子機器の前記認証処理部は、前記電子署名判定部が前記電子署名は正しいと判定し、前記有効期限判定部が有効期限内であると判定し、且つ、前記情報判定部が前記第２の所定情報は正しいと判定した場合に、前記認証要求装置との認証処理を行うことを特徴とする。

また、本発明に係る認証システムは、前記認証要求装置が、鍵情報を記憶する鍵情報記憶部と、該鍵情報記憶部に記憶された鍵情報を用いて前記認証子受信部が受信した認証子に第２電子署名を付与する第２署名付与部とを有し、前記認証要求装置の前記認証子送信部は、前記第２署名付与部が前記第２電子署名を付与した前記認証子を前記車載電子機器へ送信することを特徴とする。

また、本発明に係る認証システムは、前記車載電子機器が、前記認証子受信部が受信した前記認証子に付された前記第２電子署名の正否を判定する第２電子署名判定部を有し、前記車載電子機器の前記認証処理部は、前記電子署名判定部が前記電子署名は正しいと判定し、前記有効期限判定部が有効期限内であると判定し、且つ、前記第２電子署名判定部が前記第２電子署名は正しいと判定した場合に、前記認証要求装置との認証処理を行うことを特徴とする。

また、本発明に係る認証要求装置は、車載電子機器に対して認証要求を行う認証要求装置において、認証子の生成を要求する認証子生成要求を認証子生成装置へ送信する認証子生成要求送信部と、前記認証子生成装置から前記認証子生成要求に応じて送信された認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部とを備えることを特徴とする。

また、本発明に係る車載電子機器は、認証要求装置との間で認証処理を行う車載電子機器において、前記認証要求装置から有効期限情報及び電子署名を有する認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部とを備えることを特徴とする。

また、本発明に係るコンピュータプログラムは、車載電子機器に対して認証要求を行う認証要求装置を、認証子の生成を要求する認証子生成要求を認証子生成装置へ送信する認証子生成要求送信部と、前記認証子生成装置から前記認証子生成要求に応じて送信された認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部として動作させることを特徴とする。

また、本発明に係るコンピュータプログラムは、認証要求装置との間で認証処理を行う車載電子機器を、前記認証要求装置から有効期限情報及び電子署名を有する認証子を受信する認証子受信部と、前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部として動作させることを特徴とする。

また、本発明に係る認証処理方法は、車載電子機器と、該車載電子機器に対して認証要求を行う認証要求装置との間で認証処理を行う認証処理方法において、認証子生成装置が、有効期限情報を含む認証子を生成し、前記認証子生成装置が、生成した認証子に鍵情報を用いて電子署名を付与し、前記認証子生成装置が、前記電子署名を付与した前記認証子を前記認証要求装置へ送信し、前記認証要求装置が、受信した前記認証子を前記車載電子機器に対して送信し、前記車載電子機器が、受信した前記認証子に付された電子署名の正否を判定し、前記車載電子機器が、前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定し、前記車載電子機器が、前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行うことを特徴とする。

本発明に係る認証システムは、車載電子機器に対して車両内外の認証要求装置が認証要求を行い、この要求に応じて認証処理がなされる構成であるが、認証要求装置は車載電子機器との認証処理に先立って、認証子生成装置が生成した認証子を取得して車載電子機器へ送信する必要がある。
認証子生成装置は、有効期限情報を含む認証子を生成し、生成した認証子に対して自身が記憶する鍵情報を用いて電子署名を付与し、電子署名が付された認証子を認証要求装置へ送信する。認証要求装置は、認証子生成装置から受信した電子署名付きの認証子を、認証を要求する車載電子機器へ送信する。認証要求装置から認証子を受信した車載電子機器は、認証子に付された電子署名の正否を判定すると共に、認証子に含まれる有効期限情報に基づいて、この認証子が有効期限内のものであるか否かを判定する。電子署名が正しいものであり、且つ、認証子が有効期限内である場合、車載電子機器は、認証要求装置との認証処理を行う。なおこの後に行われる認証処理は、例えばＩＤ及びパスワードを送受信するなど、従来の認証処理と同様のものであってよい。
即ち認証システムでは、認証要求装置と車載電子機器との認証処理に先立って、認証要求装置が第三の装置、即ち認証子生成装置から取得した認証子を車載電子機器へ送信し、これを受信した車載電子機器が認証子に含まれる情報に基づいて認証処理を行うか否かを判断する。これにより、車載電子機器との認証処理を行うことができる認証要求装置が、認証子生成装置から正しい認証子を取得できる装置に限られるため、認証処理を行う装置の信頼性を高めることができる。また認証子に有効期限を設定することにより、認証子生成装置が送信した認証子を使用することができる期間を限定することができる。

また本発明においては、認証子生成装置は秘密鍵を記憶しておき、この秘密鍵を用いて電子署名を生成する。車載電子機器は、認証子生成装置が用いる秘密鍵に対応する公開鍵を記憶し、認証要求装置から与えられた認証子に付された電子署名の正否を、記憶した公開鍵を用いて判定する。即ち、認証子生成装置と車載電子機器との間で公開鍵暗号方式の情報の授受を行う。車載電子機器が秘密鍵を記憶しておく暗号方式と比較して、車載電子機器による鍵情報の取得及び管理等を容易化することができる。

また本発明においては、認証要求装置が例えば乱数などの第１の所定情報を含む認証子生成要求を認証子生成装置へ送信する。認証子生成要求を受信した認証子生成装置は、認証子生成要求に含まれる第１の所定情報を元に第２の所定情報を生成する。認証子生成装置は有効期限情報及び第２の所定情報を含む認証子を生成して認証要求装置へ送信する。
認証子生成装置から認証子を受信した認証要求装置は、認証子に第１の所定情報を付して車載電子機器へ送信する。これを受信した車載電子機器は、認証子に付された第１の所定情報を元に第２の所定情報を生成し、認証子に含まれる第２の所定情報との比較を行うことにより、第２の所定情報の正否を判定する。車載電子機器は、電子署名が正しいものであり、認証子が有効期限内であり、且つ、第２の所定情報が正しいものである場合に、認証要求装置との認証処理を行う。
これにより認証子生成装置は、認証要求装置を特定するための情報（第２の所定情報）を認証子に埋め込むことができる。認証要求装置は認証子と共に第１の所定情報を車載電子機器へ送信する必要があるため、認証子のみを不正に取得した悪意の第三者が車載電子機器との認証処理を行うことを防止できる。
例えば第２の所定情報として、第１の所定情報を元に算出したハッシュ値を用いることができる。

また本発明においては、認証要求装置が鍵情報を記憶しておき、認証子生成装置から受信した認証子に対して、自身の鍵情報を用いて第２電子署名を付して車載電子機器へ送信する。
車載電子機器は、認証要求装置が記憶した鍵情報に対応する鍵情報を記憶しておき、認証要求装置から受信した認証子に付された第２電子署名の正否を判定する。車載電子機器は、認証子生成装置が付した電子署名が正しいものであり、認証子が有効期限内であり、且つ、認証要求装置が付した第２電子署名が正しいものである場合に、認証要求装置との認証処理を行う。
２つの電子署名を認証子に付すことによって、車載電子機器が受信した認証子の信頼性を向上することができる。

本発明による場合は、認証子生成装置が有効期限情報を含む認証子に電子署名を付したものを認証要求装置へ送信し、認証要求装置が受信した認証子を車載電子機器へ送信し、車載電子機器が受信した認証子の電子署名が正しく且つ有効期限内である場合に認証要求装置との認証処理を行う構成とすることにより、より安全で確実に認証処理を行うことができる。

実施の形態１に係る認証システムの構成例を示す模式図である。 検査装置の構成を示すブロック図である。 サーバ装置の構成を示すブロック図である。 ゲートウェイの構成を示すブロック図である。 実施の形態１に係る認証システムが行う処理を説明するためのタイミングチャートである。 検査装置が行う処理の手順を示すフローチャートである。 サーバ装置が行う処理の手順を示すフローチャートである。 ゲートウェイが行う処理の手順を示すフローチャートである。 変形例１に係る認証システムの構成例を示す模式図である。 変形例２に係る認証システムの構成例を示す模式図である。 実施の形態２に係る検査装置の構成を示すブロック図である。 実施の形態２に係るサーバ装置の構成を示すブロック図である。 実施の形態２に係るゲートウェイの構成を示すブロック図である。 実施の形態２に係る認証システムが行う処理を説明するためのタイミングチャートである。

＜実施の形態１＞
図１は、実施の形態１に係る認証システムの構成例を示す模式図である。実施の形態１に係る認証システムは、車両１に搭載されたゲートウェイ３と、車両１外に備えられた検査装置５及びサーバ装置７とを備えている。車両１には複数のＥＣＵ（Electronic Control Unit）２が搭載され、これらが複数の通信線を介して適宜に接続され、通信線を介して相互にメッセージの送受信を行っている。ゲートウェイ３は、車両１の複数の通信線が接続され、通信線間のメッセージを中継する処理を行う装置である。

検査装置５は、例えば車両１のディーラ又は整備工場等に備えられた可搬型の装置である。検査装置５は、通信ケーブルなどを介して車両１のゲートウェイ３に着脱可能に接続される。検査装置５は、接続された車両１の自己診断結果の取得、ゲートウェイ３のソフトウェアのアップデート、又は、各種のデータの取得及び書換等の処理を行うことができる。検査装置５は、これらの処理を行う前に、ゲートウェイ３との間で認証処理を行う必要がある。認証処理に成功した場合（ゲートウェイ３に認証された場合）、検査装置５はこれらの処理を行うことが可能となる。

サーバ装置７は、例えば車両１の製造会社などが運営する装置であり、インターネット又は専用回線等を介して検査装置５との通信を行うことができる。本実施の形態においてサーバ装置７は、検査装置５に対して認証子を送信する処理を行う。

本実施の形態に係る認証システムでは、検査装置５及びゲートウェイ３が認証処理を行う前に、検査装置５がサーバ装置７から認証子を取得してゲートウェイ３へ送信する処理が必要とされる。ゲートウェイ３は、検査装置５から受信した認証子が正当なものであるか否かを判定し、認証子が正当なものであると判断した場合にのみ検査装置５との認証処理を行う。

図２は、検査装置５の構成を示すブロック図である。検査装置５は、処理部５１、記憶部５２、第１通信部５３及び第２通信部５４等を備えて構成されている。処理部５１は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の演算処理装置を用いて構成されている。処理部５１は、記憶部５２に記憶されたプログラム５２ａを読み出して実行することにより、車両１の検査などに必要な種々の制御処理及び演算処理等を行う。

記憶部５２は、フラッシュメモリ又はハードディスク等の記憶装置を用いて構成されている。本実施の形態において記憶部５２は、処理部５１が実行するプログラム５２ａと、認証処理に用いられるＩＤ及びパスワード等の情報を含む認証情報５２ｂとを記憶している。認証情報５２ｂは、サーバ装置７との間で行う認証処理用の情報と、車両１のゲートウェイ３との間で行う認証処理用の情報とを含んでいる。

第１通信部５３は、例えば専用の通信ケーブルを介して車両１に設けられたコネクタなどに検査装置５が接続された場合に、この通信ケーブルを介してゲートウェイ３との間で通信を行う。第１通信部５３は、処理部５１から与えられたメッセージをゲートウェイ３へ通信ケーブルを介して送信すると共に、ゲートウェイ３から受信したメッセージを処理部５１へ与える。なお第１通信部５３は、ゲートウェイ３との間で無線通信を行う構成であってもよい。

第２通信部５４は、サーバ装置７との間で通信を行う。第２通信部５４とサーバ装置７との間で行われる通信は、例えばインターネット又は携帯電話通信網等のネットワークを介して行うものであってよく、有線通信又は無線通信のいずれであってもよい。また例えば、検査装置５とサーバ装置７とが近距離に配されている場合には、両装置を通信ケーブルで接続して通信を行う構成であってもよい。第２通信部５４とサーバ装置７との間で行われる通信は、どのような方法によるものであってもよい。

また本実施の形態に係る検査装置５の処理部５１は、記憶部５２に記憶されたプログラム５２ａを実行することにより、認証子生成要求送信処理部６１、認証子受信処理部６２、認証子送信処理部６３及び認証処理部６４等がソフトウェア的な機能ブロックとして実現される。認証子生成要求送信処理部６１は、例えば検査装置５を用いて車両１の検査を行う作業者の操作に応じて、第２通信部５４にてサーバ装置７へ認証子の生成要求を送信する処理を行う。なお本実施の形態において認証子生成要求には、サーバ装置７との認証に用いるＩＤ及びパスワード等の認証情報と、乱数情報とを含む。認証子生成要求に含まれる認証情報は、記憶部５２に記憶された認証情報５２ｂに含まれるものである。認証子生成要求に含まれる乱数情報は、所定の乱数生成アルゴリズムを利用して処理部５１が生成した乱数である。

認証子受信処理部６２は、認証子生成要求に応じてサーバ装置７から送信される認証子を第２通信部５４にて受信する処理を行う。認証子送信処理部６３は、サーバ装置７から受信した認証子を、第１通信部５３にてゲートウェイ３へ送信する処理を行う。本実施の形態において認証子送信処理部６３は、サーバ７から受信した認証子に、サーバ装置７へ送信した認証子生成要求に含めたＩＤ及び乱数の情報を付し、認証子判定要求としてゲートウェイ３へ送信する。認証処理部６４は、送信した認証子が正当なものであるとする判定結果をゲートウェイ３から受信した場合に、ゲートウェイ３との間で認証処理を行う。認証処理部６４は、例えば記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ及びパスワード等の情報をゲートウェイ３へ送信する処理を行う。

図３は、サーバ装置７の構成を示すブロック図である。サーバ装置７は、処理部７１、記憶部７２及び通信部７３等を備えて構成されている。処理部７１は、ＣＰＵ又はＭＰＵ等の演算処理装置を用いて構成されている。処理部７１は、記憶部７２に記憶されたプログラム７２ａを読み出して実行することにより、認証子の生成に必要な種々の演算処理を行う。記憶部７２は、ハードディスクなどの記憶装置を用いて構成されている。本実施の形態において記憶部７２は、処理部７１が実行するプログラム７２ａと、認証子に付す電子署名を作成するために用いられる秘密鍵情報７２ｂと、検査装置５との間で行う認証処理に用いられるＩＤ及びパスワード等の情報を含む認証情報７２ｃとを記憶している。通信部７３は、例えばインターネット若しくは携帯電話通信網等のネットワーク、又は、通信ケーブル等を介して、検査装置５との間で通信を行う。通信部７３は、処理部７１から与えられたメッセージを検査装置５へ送信すると共に、検査装置５から受信したメッセージを処理部７１へ与える。

また本実施の形態に係るサーバ装置７の処理部７１は、記憶部７２に記憶されたプログラム７２ａを実行することにより、認証子生成要求受信処理部８１、ハッシュ値算出処理部８２、認証子生成処理部８３、署名付与処理部８４及び認証子送信処理部８５等がソフトウェア的な機能ブロックとして実現される。認証子生成要求受信処理部８１は、検査装置５から送信された認証子の生成要求を通信部７３にて受信する処理を行う。なお認証子生成要求受信処理部８１は、受信した認証子生成要求に含まれるＩＤ及びパスワード等の情報が正当なものであるか否かの判定を、記憶部７２に記憶された認証情報７２ｃに基づいて行う。認証情報７２ｃには、例えば認証子の送信対象とすべき正当な検査装置５に与えられたＩＤ及びパスワード等の情報の組み合わせが複数記憶されている。

検査装置５からの認証子生成要求が正当なものである場合、ハッシュ値算出処理部８２は、認証子生成要求に含まれるＩＤ及び乱数等の情報を元に、所定のハッシュ関数を用いてハッシュ値を算出する処理を行う。認証子生成処理部８３は、有効期限情報と、ハッシュ値算出処理部８２が算出したハッシュ値とを含む認証子を生成する処理を行う。署名付与処理部８４は、記憶部７２に記憶された秘密鍵情報７２ｂを用いて、認証子生成処理部８３が生成した認証子に電子署名を付与する処理を行う。認証子送信処理部８５は、署名付与処理部８４にて電子署名が付与された認証子を、通信部７３にて検査装置５へ送信する処理を行う。

図４は、ゲートウェイ３の構成を示すブロック図である。ゲートウェイ３は、処理部３１、記憶部３２、２つの車内通信部３３及び車外通信部３４等を備えて構成されている。処理部３１は、記憶部３２に記憶されたプログラム３２ａを読み出して実行することにより、車両１内に配された通信線間のメッセージの中継処理、車両１外の装置との間の通信処理、及び、検査装置５から受信した認証子の正否判定処理等の種々の処理を行う。記憶部３２は、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子を用いて構成されている。本実施の形態において記憶部３２は、処理部３１が実行するプログラム３２ａと、認証子に付された電子署名の正否を判定するための公開鍵情報３２ｂと、検査装置５との間で行う認証処理に用いられる認証情報３２ｃとを記憶している。

２つの車内通信部３３は、車両１内に配された通信線がそれぞれ接続されている。車内通信部３３は、接続された通信線を介して、車両１に搭載されたＥＣＵ２との間で通信を行う。車内通信部３３は、例えばＣＡＮ（Controller Area Network）の通信規格に従ってメッセージの送受信を行う。車内通信部３３は、処理部３１から与えられたメッセージを電気信号に変換して通信線へ出力することでＥＣＵ２への送信を行うと共に、通信線上の信号をサンプリングして取得することによりＥＣＵ２からのメッセージを受信して処理部３１へ与える。

車外通信部３４は、例えば専用の通信ケーブルを介して車両１に設けられたコネクタなどに検査装置５が接続された場合に、この通信ケーブルを介して検査装置５との間で通信を行う。車外通信部３４は、処理部３１から与えられたメッセージを検査装置５へ通信ケーブルを介して送信すると共に、検査装置５から受信したメッセージを処理部３１へ与える。

また本実施の形態に係るゲートウェイ３の処理部３１は、記憶部３２に記憶されたプログラム３２ａを実行することにより、認証子受信処理部４１、電子署名判定処理部４２、有効期限判定処理部４３、ハッシュ値判定処理部４４及び認証処理部４５等がソフトウェア的な機能ブロックとして実現される。認証子受信処理部４１は、検査装置５から送信された認証子と、この認証子と共に送信されたＩＤ及び乱数等の情報とを受信する処理を行う。電子署名判定処理部４２は、受信した認証子に付された電子署名の正否を、記憶部３２に記憶された公開鍵情報３２ｂを用いて判定する処理を行う。有効期限判定処理部４３は、受信した認証子に含まれる期限情報と、認証子を受信した時点の日時とを比較することにより、この認証子が有効期限内であるか否かを判定する処理を行う。

ハッシュ値判定処理部４４は、認証子と共に受信したＩＤ及び乱数等の情報を元に、所定のハッシュ関数（サーバ装置７のハッシュ値算出処理部８２が用いたものと同じハッシュ関数）にてハッシュ値を算出し、受信した認証子に含まれるハッシュ値と一致するか否かを判定することにより、受信したハッシュ値の正否を判定する処理を行う。認証処理部４５は、電子署名判定処理部４２により電子署名が正しいと判定され、有効期限判定処理部４３により認証子が有効期限内であると判定され、且つ、ハッシュ値判定処理部４４によりハッシュ値が正しいと判定された場合に、検査装置５との間で認証処理を行う。認証処理部４５は、例えば検査装置５から送信されたＩＤ及びパスワード等の情報と、自身の記憶部３２に認証情報３２ｃとして記憶したＩＤ及びパスワード等の情報とを比較し、これらの情報が一致するか否かを判定することで認証処理を行う。

図５は、実施の形態１に係る認証システムが行う処理を説明するためのタイミングチャートである。例えばディーラなどにおいて、作業者が検査装置５を用いて車両１のゲートウェイ３のソフトウェアのアップデートを行う場合、作業者はまず検査装置５をサーバ装置７へ接続する（検査装置５が有線又は無線の通信によりサーバ装置７と通信可能な状態とする）。作業者は、検査装置５を操作して、サーバ装置７に対する認証子の生成要求を行う指示を与える。これに応じて検査装置５の認証子生成要求送信処理部６１は、記憶部５２の認証情報５２ｂに含まれるＩＤ及びパスワード（図５においてはＰＷと略記する）を取得すると共に、所定の乱数発生アルゴリズムにより乱数を発生させる。なおこの乱数は、例えば記憶部５２などに記憶される。認証子生成要求送信処理部６１は、ＩＤ，パスワード及び乱数の情報を含む認証子生成要求を、第２通信部５４にてサーバ装置７へ送信する。

サーバ装置７の認証子生成要求受信処理部８１は、検査装置５からの認証子生成要求を受信し、受信した認証子生成要求に含まれるＩＤ，パスワード及び乱数を取得する。認証子生成要求受信処理部８１は、取得したＩＤ及びパスワードと、記憶部７２の認証情報７２ｃに記憶されたＩＤ及びパスワードとを比較することにより、受信した認証子生成要求が正当なものであるか否かを判定する。認証子生成要求が正当なものでない場合、認証子生成要求受信処理部８１は、認証子生成要求の送信元へエラーを通知する。

認証子生成要求が正当なものである場合、サーバ装置７の認証子生成処理部８３は認証子の生成を行う。このときに認証子生成処理部８３は、認証子の有効期限情報（例えば年月日時分秒を指定した情報）を生成する。有効期限情報は、例えば認証子生成要求を受信した時点から１時間後などを期限として設定することができる。サーバ装置７のハッシュ値算出処理部８２は、認証子生成要求に含まれるＩＤ及び乱数を結合して１つのデータとし、このデータを所定のハッシュ関数へ入力することでハッシュ値を算出する。認証子生成処理部８３は、有効期限情報とハッシュ値とを結合して１つのデータとしたものを認証子とする。

サーバ装置７の署名付与処理部８４は、生成された認証子に対して記憶部７２に記憶された秘密鍵情報７２ｂを用いた暗号化処理を行い、暗号化されたデータを電子署名として認証子に付与する。サーバ装置７の認証子送信処理部８５は、電子署名が付された認証子を、通信部７３にて検査装置へ送信する。

検査装置５の認証子受信処理部６２は、サーバ装置７から送信された電子署名付きの認証子を第２通信部５４にて受信し、例えば記憶部５２に記憶しておく。サーバ装置７からの認証子を受信した後、作業者は検査装置５とサーバ装置７との接続を解除してもよい。次いで作業者は、検査装置５を例えば車両５に設けられたコネクタに通信ケーブルを介して接続し、検査装置５とゲートウェイ３とが通信可能な状態とする。作業者は、検査装置５を操作して、ゲートウェイ３に対する認証子の判定要求を行う指示を与える。

この指示に応じて検査装置５の認証子送信処理部６３は、検査装置５から受信して記憶しておいた電子署名付きの認証子を読み出し、記憶部５２の認証情報５２ｂに含まれるＩＤを読み出し、認証子の生成要求を行う際に発生させて記憶しておいた乱数を読み出す。認証子送信処理部６３は、これら読み出した電子署名付きの認証子、ＩＤ及び乱数を含む認証子判定要求を、第１通信部５３にてゲートウェイ３へ送信する。

ゲートウェイ３の認証子受信処理部４１は、検査装置５から送信された認証子判定要求を受信し、これに含まれる電子署名付きの認証子、ＩＤ及び乱数を取得する。電子署名判定処理部４２は、受信した認証子に付された電子署名に対して、記憶部３２に記憶された公開鍵情報３２ｂを用いた復号処理を行うことにより、暗号化された電子署名を元の認証子（有効期限情報及びハッシュ値）に復号する。電子署名判定処理部４２は、受信した認証子と復号した認証子とが一致するか否かに応じて、認証子に付された電子署名の正否を判定する。なおゲートウェイ３の記憶部３２に記憶される公開鍵情報３２ｂは、サーバ装置７の記憶部７２に記憶された秘密鍵情報７２ｂと対になるものである。公開鍵情報３２ｂは、例えばゲートウェイ３又は車両１の製造工程において記憶部３２に記憶されてもよく、ゲートウェイ３が車両内外の通信にて取得してもよく、これら以外の方法で記憶部３２に記憶されてもよい。

ゲートウェイ３の有効期限判定処理部４３は、現時点の時刻情報（年月日時分秒などの情報）を取得し、取得した時刻情報が受信した認証子に含まれる有効期限情報に示された有効期限内であるか否かを判定する。ハッシュ値判定処理部４４は、認証子と共に受信したＩＤ及び乱数を結合して１つのデータとし、このデータを所定のハッシュ関数（サーバ装置７のハッシュ値算出処理部８２が用いたものと同じハッシュ関数）へ入力することでハッシュ値を算出する。ハッシュ値判定処理部４４は、認証子に含まれるハッシュ値と、自身が算出したハッシュ値とが一致するか否かに応じて、ハッシュ値の正否を判定する。

ゲートウェイ３の処理部３１は、受信した認証子に付された電子署名が正しいと電子署名判定処理部４２が判定し、認証子が有効期限内であると有効期限判定処理部４３が判定し、且つ、認証子に含まれるハッシュ値が正しいとハッシュ値判定処理部４４が判定した場合、検査装置５に対して認証子が正しものであると判定した旨を示す認証子判定結果を車外通信部３４にて送信する。処理部３１は、電子署名が正しくないか、認証子が有効期限内でないか、又は、ハッシュ値が正しくないと判定した場合、認証子が不正なものであると判定した旨を示す認証子判定結果を検査装置５に対して送信する。

ゲートウェイ３から検査装置５へ、認証子が正しい旨の認証子判定結果が与えられた場合、検査装置５とゲートウェイ３との間で認証処理が開始される。このときに検査装置５の認証処理部６４は、記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ及びパスワードをゲートウェイ３へ送信して、ゲートウェイ３に対して認証を要求する。認証を要求されたゲートウェイ３の認証処理部４５は、検査装置５から送信されたＩＤ及びパスワードと、記憶部３２の認証情報３２ｃに記憶されたＩＤ及びパスワードと一致するか否かに応じて、検査装置５を認証するか否かを判断する。なお検査装置５及びゲートウェイ３の間で行われる認証処理に用いられるＩＤ及びパスワードは、検査装置５がサーバ装置７へ認証子生成要求として送信するＩＤ及びパスワードとは異なる（ただし同一のものを用いてもよい）。

図６は、検査装置５が行う処理の手順を示すフローチャートである。例えば作業者によりサーバ装置７に接続され、サーバ装置７に対する認証子の生成要求を行う指示が与えられた検査装置５の認証子生成要求送信処理部６１は、記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ及びパスワードを読み出す（ステップＳ１）。認証子生成要求送信処理部６１は、所定の乱数発生アルゴリズムにより乱数を生成すると共に、生成した乱数を記憶部５２などに記憶する（ステップＳ２）。認証子生成要求送信処理部６１は、ステップＳ１にて読み出したＩＤ及びパスワード、並びに、ステップＳ２にて生成した乱数を含む認証子生成要求を、第２通信部５４にてサーバ装置７へ送信する（ステップＳ３）。

検査装置５の認証子受信処理部６２は、ステップＳ３にて送信した認証子生成要求に応じてサーバ装置７から送信される認証子を受信したか否かを判定する（ステップＳ４）。認証子を受信していない場合（Ｓ４：ＮＯ）、認証子受信処理部６２は、サーバ装置７からの認証子を受信するまで待機する。認証子を受信した場合（Ｓ４：ＹＥＳ）、認証子受信処理部６２は、受信した認証子を記憶部５２などに記憶しておく。

その後、例えば作業者により検査装置５が車両１のゲートウェイ３に接続され、ゲートウェイ３との認証処理を行う指示が与えられた場合、検査装置５の認証子送信処理部６３は、記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ、及び、ステップＳ２にて記憶した乱数を読み出す（ステップＳ５）。認証子送信処理部６３は、ステップＳ４にてサーバ装置７から受信した認証子と、ステップＳ５にて読み出したＩＤ及び乱数とを含む認証子判定要求を、第１通信部５３にてゲートウェイ３へ送信する（ステップＳ６）。

検査装置５の処理部５１は、ステップＳ６にて送信した認証子判定要求に応じてゲートウェイ３から送信される判定結果を受信したか否かを判定する（ステップＳ７）。処理部５１は、ゲートウェイ３からの判定結果を受信していない場合（Ｓ７：ＮＯ）、判定結果を受信するまで待機する。判定結果を受信した場合（Ｓ７：ＹＥＳ）、処理部５１は、受信した判定結果が、認証子が正しいとする判定結果であるか否かを判定する（ステップＳ８）。認証子が正しい判定結果である場合（Ｓ８：ＹＥＳ）、検査装置５の認証処理部６４は、ゲートウェイ３との間で認証処理を行い（ステップＳ９）、処理を終了する。このときに認証処理部６４は、記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ及びパスワード等の譲歩をゲートウェイ３へ送信し、ゲートウェイ３に対して認証を要求する。また、認証子が正しくないとする判定結果である場合（Ｓ８：ＮＯ）、処理部５１は、ゲートウェイ３との認証処理を行うことなく、処理を終了する。

図７は、サーバ装置７が行う処理の手順を示すフローチャートである。サーバ装置７の認証子生成要求受信処理部８１は、検査装置５からの認証子生成要求を通信部７３にて受信したか否かを判定する（ステップＳ２１）。認証子生成要求を受信していない場合（Ｓ２１：ＮＯ）認証子生成要求受信処理部８１は、認証子生成要求を受信するまで待機する。認証子生成要求を受信した場合Ｓ（Ｓ２１：ＹＥＳ）、サーバ装置７の処理部７１は、受信した認証子生成要求に含まれるＩＤ及びパスワードと、記憶部７２に記憶された認証情報７２ｃに登録されたＩＤ及びパスワードとを比較する（ステップＳ２２）。処理部７１は、比較結果に基づいて、受信した認証子生成要求に含まれるＩＤ及びパスワードが正しいか否かを判定する（ステップＳ２３）。ＩＤ及びパスワードが正しくない場合（Ｓ２３：ＮＯ）、処理部７１は、要求元の検査装置５へエラー通知を行って（ステップＳ２８）、処理を終了する。

ＩＤ及びパスワードが正しい場合（Ｓ２３：ＹＥＳ）、サーバ装置７の認証子生成処理部８３は、例えば現時点から所定期間後などを示す有効期限情報を生成する（ステップＳ２４）。サーバ装置７のハッシュ値算出処理部８２は、ステップＳ２１にて受信した認証子生成要求に含まれるＩＤ及び乱数を結合して１つのデータとし、このデータを所定のハッシュ関数へ入力することでハッシュ値を算出する（ステップＳ２５）。サーバ装置７の署名付与処理部８４は、ステップＳ２４にて生成した有効期限情報と、ステップＳ２５にて算出したハッシュ値とを基に、記憶部７２に記憶された秘密鍵情報７２ｂを用いた所定の暗号化アルゴリズムにより電子署名を生成する（ステップＳ２６）。サーバ装置７の認証子送信処理部８５は、ステップＳ２４にて生成した有効期限情報及びステップＳ２５にて算出したハッシュ値を含む認証子に、ステップＳ２６にて生成した電子署名を付したものを、通信部７３にて検査装置５へ送信し（ステップＳ２７）、処理を終了する。

図８は、ゲートウェイ３が行う処理の手順を示すフローチャートである。ゲートウェイ３の認証子受信処理部４１は、車外通信部３４にて検査装置５から認証子判定要求を受信したか否かを判定する（ステップＳ４１）。認証子判定要求を受信していない場合（Ｓ４１：ＮＯ）、認証子受信処理部４１は、認証子判定要求を受信するまで待機する。認証子判定要求を受信した場合（Ｓ４１：ＹＥＳ）、認証子受信処理部４１は、受信した認証子判定要求に含まれる電子署名付きの認証子、ＩＤ及び乱数等の情報を記憶部３２などに記憶しておく。

ゲートウェイ３の電子署名判定処理部４２は、受信した認証子に付された電子署名を、記憶部３２に記憶された公開鍵情報３２ｂを用いて復号し、受信した認証子と復号した認証子とを比較する電子署名判定を行う（ステップＳ４２）。電子署名判定処理部４２は、この電子署名判定により両認証子が一致するか否かに応じて、受信した電子署名が正しいものであるか否かを判定する（ステップＳ４３）。電子署名が正しいものでない場合（Ｓ４３：ＮＯ）、ゲートウェイ３の処理部３１は、受信した認証子が正しくない旨の判定結果を、車外通信部３４にて検査装置５へ送信し（ステップＳ５０）、処理を終了する。

電子署名が正しいものである場合（Ｓ４３：ＹＥＳ）、ゲートウェイ３のハッシュ値判定処理部４４は、認証子と共に受信したＩＤ及び乱数を結合して１つのデータとし、このデータを所定のハッシュ関数へ入力することでハッシュ値を算出し、受信した認証子に含まれるハッシュ値と比較するハッシュ値判定を行う（ステップＳ４４）。ハッシュ値判定処理部４４は、認証子に含まれるハッシュ値と、自身が算出したハッシュ値とが一致するか否かに応じて、受信したハッシュ値が正しいものであるか否かを判定する（ステップＳ４５）。ハッシュ値が正しいものでない場合（Ｓ４５：ＮＯ）、処理部３１は、受信した認証子が正しくない旨の判定結果を、車外通信部３４にて検査装置５へ送信し（ステップＳ５０）、処理を終了する。

ハッシュ値が正しいものである場合（Ｓ４５：ＹＥＳ）、ゲートウェイ３の有効期限判定処理部４３は、現時点の時刻情報と、受信した認証子に含まれる有効期限情報とを比較する有効期限判定を行う（ステップＳ４６）。有効期限判定処理部４３は、現時点の時刻情報が受信した認証子に含まれる有効期限情報に示された有効期限内であるか否かを判定することにより、受信した認証子が有効期限内であるか否かを判定する（ステップＳ４７）。認証子が有効期限内でない場合（Ｓ４７：ＮＯ）、処理部３１は、受信した認証子が正しくない旨の判定結果を、車外通信部３４にて検査装置５へ送信し（ステップＳ５０）、処理を終了する。

認証子が有効期限内である場合（Ｓ４７：ＹＥＳ）、処理部３１は、受信した認証子が正しい旨の判定結果を、車外通信部３４にて検査装置５へ送信する（ステップＳ４８）。その後、ゲートウェイ３の認証処理部４５は、検査装置５との間で認証処理を行い（ステップＳ４９）、処理を終了する。このときに認証処理部４５は、検査装置５から与えられる認証要求に応じて、この認証要求と共に与えられるＩＤ及びパスワード等の情報の正否を、記憶部３２に記憶された認証情報３２ｃに基づいて判定する。

以上の構成の実施の形態１に係る認証システムは、ゲートウェイ３に対して車両１外の検査装置５が認証要求を行い、この要求に応じて認証処理がなされる構成であるが、検査装置５はゲートウェイ３との認証処理に先立って、サーバ装置７が生成した認証子を取得してゲートウェイ３へ送信する必要がある。サーバ装置７は、有効期限情報を含む認証子を生成し、生成した認証子に対して記憶部７２に記憶された秘密鍵情報７２ｂを用いて電子署名を付与し、電子署名が付された認証子を検査装置５へ送信する。検査装置５は、サーバ装置７から受信した電子署名付きの認証子を、認証を要求するゲートウェイ３へ送信する。検査装置５から認証子を受信したゲートウェイ３は、認証子に付された電子署名の正否を判定すると共に、認証子に含まれる有効期限情報に基づいて、この認証子が有効期限内のものであるか否かを判定する。電子署名が正しいものであり、且つ、認証子が有効期限内である場合、ゲートウェイ３は、検査装置５との認証処理を行う。なお、この後に行われる認証処理は、例えばＩＤ及びパスワード等の情報を送受信するなど、従来の認証処理と同様のものであってよい。

即ち実施の形態１に係る認証システムでは、検査装置５とゲートウェイ３との認証処理に先立って、検査装置５が第三の装置、即ちサーバ装置７から取得した認証子をゲートウェイ３へ送信し、これを受信したゲートウェイ３が認証子に含まれる情報に基づいて認証処理を行うか否かを判断する。これにより、ゲートウェイ３との認証処理を行うことができる装置が、サーバ装置７から正しい認証子を取得できる装置に限られるため、認証処理を行う装置の信頼性を高めることができる。また認証子に有効期限を設定することにより、サーバ装置７が送信した認証子を使用することができる期間を限定することができるため、より安全で確実な認証処理を行うことができる。

また実施の形態１に係る認証システムでは、サーバ装置７は記憶部７２に秘密鍵情報７２ｂを記憶しておき、この秘密鍵情報７２ｂを用いて電子署名を生成する。ゲートウェイ３は、サーバ装置７が用いる秘密鍵情報７２ｂに対応する公開鍵情報３２ｂを記憶部３２に記憶し、検査装置５から与えられた認証子に付された電子署名の正否を、記憶した公開鍵情報３２ｂを用いて判定する。即ち、サーバ装置７とゲートウェイ３との間で公開鍵暗号方式の情報の授受を行う。ゲートウェイ３が秘密鍵情報を記憶しておく暗号方式と比較して、ゲートウェイ３による鍵情報の取得及び管理等を容易化することができる。

また実施の形態１に係る認証システムでは、検査装置５がＩＤ、パスワード及び乱数等の情報を含む認証子生成要求をサーバ装置７へ送信する。これを受信したサーバ装置７は、認証子生成要求に含まれるＩＤ及び乱数を元にハッシュ値の算出を行う。サーバ装置７は、有効期限情報及びハッシュ値を含む認証子を生成して検査装置５へ送信する。サーバ装置７から認証子を受信した検査装置５は、この認証子にＩＤ及び乱数の情報を付してゲートウェイ３へ送信する。これを受信したゲートウェイ３は、認証子に付されたＩＤ及び乱数の情報を元にハッシュ値を算出し、認証子に含まれるハッシュ値との比較を行うことにより、ハッシュ値の正否を判定する。ゲートウェイ３は、電子署名が正しいものであり、認証子が有効期限内であり、且つ、ハッシュ値が正しいものである場合に、検査装置５との認証処理を行う。これによりサーバ装置７は、検査装置５を特定するための情報（ＩＤ及び乱数のハッシュ値）を認証子に埋め込むことができる。検査装置５は認証子と共にＩＤ及び乱数をゲートウェイ３へ送信する必要があるため、認証子のみを不正に取得した悪意の第三者がゲートウェイ３との認証処理を行うことを防止できる。

なお本実施の形態においては、検査装置５及びゲートウェイ３が行う認証処理は、ＩＤ及びパスワード等の情報を授受することで行われるものとしたが、これに限るものではなく、認証処理の方法はどのようなものであってもよい。またサーバ装置７が秘密鍵情報７２ｂを記憶し、ゲートウェイ３が公開鍵情報３２ｂを記憶して、公開鍵暗号方式による電子署名の判定を行う構成としたが、これに限るものではない。例えばゲートウェイ３が秘密鍵情報を記憶し、秘密鍵暗号方式による電子署名の判定を行う構成としてもよい。またサーバ装置７がＩＤ及び乱数を元にハッシュ値を算出し、このハッシュ値を含む認証子を検査装置５へ送信する構成としたが、これに限るものではない。サーバ装置７は、ＩＤ及び乱数を元にハッシュ値以外の値を算出し、算出した値を含む認証子を送信する構成であってよい。

また本実施の形態に係る認証システムは、サーバ装置７、検査装置５及びゲートウェイ３の３つの装置が認証子を授受して処理を行う構成としたが、これらの装置は一例であって、これに限るものではない。即ち本実施の形態に係る認証システムは、サーバ装置７を認証子生成装置とし、検査装置５を認証要求装置とし、ゲートウェイ３を車載電子機器とした構成であるが、これに限るものではない。認証システムを構成する認証子生成装置、認証要求装置及び車載電子機器の３つの装置は、どのような装置であってもよく、例えば以下の変形例に示す構成を採用してもよい。ただし装置の構成は、以下の変形例に限られるものではない。

（変形例１）
図９は、変形例１に係る認証システムの構成例を示す模式図である。変形例１に係る認証システムは、図１に示した認証システムの検査装置５に代えて、認証要求装置としてスマートフォン１０５を用いる構成である。スマートフォン１０５は、携帯電話通信網又は無線ＬＡＮ（Local Area Network）等の無線ネットワークを介して、車両１のゲートウェイ３及びサーバ装置７との間で無線通信を行うことができる。認証処理に関してスマートフォン１０５が行う処理は、上述の検査装置５が行う処理と同様であり、スマートフォン１０５にダウンロードされた認証アプリ（認証処理用のアプリケーションプログラム）が図６に示した処理を行う。

（変形例２）
図１０は、変形例２に係る認証システムの構成例を示す模式図である。変形例２に係る認証システムは、車両１に搭載されたゲートウェイ１０３がＥＣＵ１０２に対して認証を要求する構成である。変形例２に係るゲートウェイ３は、車両１内のネットワークを介してＥＣＵ１０２との通信を行うと共に、無線ネットワークを介してサーバ装置７との間で無線通信を行うことができる。ゲートウェイ１０３はサーバ装置７から受信した認証子をＥＣＵ１０２へ送信し、ＥＣＵ１０２は受信した認証子が正しいものであると判定した場合にゲートウェイ３との間で認証処理を行う。即ち変形例２に係る認証システムは、サーバ装置７を認証子生成装置とし、ゲートウェイ１０３を認証要求装置とし、ＥＣＵ１０２を車載電子機器とした構成である。このように、認証要求装置は車両１内外のいずれの装置であってもよい。

＜実施の形態２＞
実施の形態２に係る認証システムは、実施の形態１に係る認証システムが行うハッシュ値の算出及び判定の処理を行わず、これに代えて第２の電子署名の付与及び判定の処理を行う構成である。なお実施の形態２に係る認証システムの装置構成は、図１に示した実施の形態１に係る認証システムと同様であるため、図示を省略する。

図１１は、実施の形態２に係る検査装置２０５の構成を示すブロック図である。実施の形態２に係る検査装置２０５は、実施の形態１に係る検査装置５に対して、処理部５１に第２署名付与処理部２６５を追加すると共に、記憶部５２に記憶する情報に第２秘密鍵情報２５２ｃを追加した構成である。第２署名付与処理部２６５は、実施の形態２に係るサーバ装置２０７（図１２に記載する）から受信した認証子及び電子署名（第１電子署名）を元に、記憶部５２に記憶された第２秘密鍵情報２５２ｃを用いた暗号化処理を行うことによって第２電子署名を生成し、認証子に付与する処理を行う

図１２は、実施の形態２に係るサーバ装置２０７の構成を示すブロック図である。実施の形態２に係るサーバ装置２０７は、実施の形態１に係るサーバ装置７からハッシュ値算出処理部８２を削除した構成である。また実施の形態２に係る検査装置２０５が生成する電子署名（第２電子署名）との区別のために、実施の形態２に係るサーバ装置２０７において処理部７１に設けられる署名付与処理部８４は、第１署名付与処理部２８４とする。同様に、記憶部７２に記憶される秘密鍵情報７２ｂは、第１秘密鍵情報２７２ｂとする。

図１３は、実施の形態２に係るゲートウェイ２０３の構成を示すブロック図である。実施の形態２に係るゲートウェイ２０３は、実施の形態１に係るゲートウェイ３が有するハッシュ値判定処理部４４に代えて、第２電子署名判定処理部２４６を処理部３１に設けると共に、記憶部３２に記憶する情報に第２公開鍵情報２３２ｄを追加した構成である。また２つの電子署名を区別するために、実施の形態２に係るゲートウェイ２０３において処理部３１に設けられる電子署名判定処理部４２は第１電子署名判定処理部２４２とし、記憶部７２に記憶される公開鍵情報３２ｂは第１公開鍵情報２３２ｂとする。第２電子署名判定処理部２４６は、認証子に付された第２電子署名の正否を、記憶部７２に記憶された第２公開鍵情報２３２ｄに基づいて判定する処理を行う。

図１４は、実施の形態２に係る認証システムが行う処理を説明するためのタイミングチャートである。例えばディーラなどにおいて作業者により認証子の生成要求を行う指示が与えられた検査装置２０５の認証子生成要求送信処理部６１は、記憶部５２の認証情報５２ｂに含まれるＩＤ及びパスワードを取得し、このＩＤ及びパスワードを含む認証子生成要求を、第２通信部５４にてサーバ装置７へ送信する。

サーバ装置２０７の認証子生成要求受信処理部８１は、検査装置２０５からの認証子生成要求を受信し、受信した認証子生成要求に含まれるＩＤ及びパスワードを取得する。認証子生成要求受信処理部８１は、取得したＩＤ及びパスワードと、記憶部７２の認証情報７２ｃに記憶されたＩＤ及びパスワードとを比較することにより、受信した認証子生成要求が正当なものであるか否かを判定する。認証子生成要求が正当なものでない場合、認証子生成要求受信処理部８１は、認証子生成要求の送信元へエラーを通知する。

認証子生成要求が正当なものである場合、サーバ装置２０７の認証子生成処理部８３は認証子の生成を行う。このときに認証子生成処理部８３は、認証子の有効期限情報を生成し、この有効期限情報を認証子とする。サーバ装置２０７の第１署名付与処理部２８４は、生成された認証子に対して記憶部７２に記憶された第１秘密鍵情報２７２ｂを用いた暗号化処理を行い、暗号化されたデータを第１電子署名として認証子に付与する。サーバ装置２０７の認証子送信処理部８５は、第１電子署名が付された認証子を、通信部７３にて検査装置２０５へ送信する。

検査装置２０５の認証子受信処理部６２は、サーバ装置２０７から送信された第１電子署名付きの認証子を第２通信部５４にて受信し、例えば記憶部５２に記憶しておく。検査装置２０５の第２署名付与処理部２６５は、受信した認証子及び第１電子署名を結合して１つのデータとし、このデータに対して記憶部５２に記憶された第２秘密鍵情報２５２ｃを用いた暗号化処理を行い、暗号化されたデータを第２電子署名として認証子に付与する。次いで作業者によりゲートウェイ２０３に対する認証子の判定要求を行う指示が与えられた場合、検査装置２０５の認証子送信処理部６３は、第１電子署名及び第２電子署名が付された認証子を含む認証子判定要求を、第１通信部５３にてゲートウェイ２０３へ送信する。

ゲートウェイ２０３の認証子受信処理部４１は、検査装置２０５から送信された認証子判定要求を受信し、これに含まれる認証子、第１電子署名及び第２電子署名を取得する。第１電子署名判定処理部２４２は、受信した認証子に付された第１電子署名に対して、記憶部３２に記憶された第１公開鍵情報２３２ｂを用いた復号処理を行うことにより、暗号化された第１電子署名を元の認証子（有効期限情報）に復号する。第１電子署名判定処理部２４２は、受信した認証子と復号した認証子とが一致するか否かに応じて、認証子に付された第１電子署名の正否を判定する。なおゲートウェイ２０３の記憶部３２に記憶される第１公開鍵情報２３２ｂは、サーバ装置２０７の記憶部７２に記憶された第１秘密鍵情報２７２ｂと対になるものである。

第２電子署名判定処理部２４６は、受信した認証子に付された第２電子署名に対して、記憶部３２に記憶された第２公開鍵情報２３２ｄを用いた復号処理を行うことにより、暗号化された第２電子署名を元の認証子（有効期限情報＋第１電子署名）に復号する。第２電子署名判定処理部２４６は、受信した認証子及び第１電子署名と復号した認証子及び第１電子署名とが一致するか否かに応じて、認証子に付された第２電子署名の正否を判定する。なおゲートウェイ２０３の記憶部３２に記憶される第２公開鍵情報２３２ｄは、検査装置２０５の記憶部５２に記憶された第２秘密鍵情報２５２ｃと対になるものである。

ゲートウェイ２０３の有効期限判定処理部４３は、現時点の時刻情報を取得し、取得した時刻情報が受信した認証子に含まれる有効期限情報に示された有効期限内であるか否かを判定する。

ゲートウェイ２０３の処理部３１は、受信した認証子に付された第１電子署名が正しいと第１電子署名判定処理部２４２が判定し、認証子に付された第２電子署名が正しいと第２電子署名判定処理部２４６が判定し、且つ、認証子が有効期限内であると有効期限判定処理部４３が判定した場合、検査装置２０５に対して認証子が正しものであると判定した旨を示す認証子判定結果を車外通信部３４にて送信する。処理部３１は、第１電子署名が正しくないか、第２電子署名が正しくないか、又は、認証子が有効期限内でないと判定した場合、認証子が不正なものであると判定した旨を示す認証子判定結果を検査装置２０５に対して送信する。

ゲートウェイ２０３から検査装置２０５へ、認証子が正しい旨の認証子判定結果が与えられた場合、検査装置２０５とゲートウェイ２０３との間で認証処理が開始される。このときに検査装置２０５の認証処理部６４は、記憶部５２に記憶された認証情報５２ｂに含まれるＩＤ及びパスワードをゲートウェイ２０３へ送信して、ゲートウェイ２０３に対して認証を要求する。認証を要求されたゲートウェイ２０３の認証処理部４５は、検査装置２０５から送信されたＩＤ及びパスワードと、記憶部３２の認証情報３２ｃに記憶されたＩＤ及びパスワードと一致するか否かに応じて、検査装置２０５を認証するか否かを判断する。

以上の構成の実施の形態２に係る認証システムは、検査装置２０５が記憶部５２に第２秘密鍵情報２５２ｃを記憶しておき、サーバ装置２０７から受信した第１電子署名付きの認証子に対して、第２秘密鍵情報２５２ｃを用いて第２電子署名を付してゲートウェイ２０３へ送信する。ゲートウェイ２０３は、検査装置２０５が記憶した第２秘密鍵情報２５２ｃに対応する第２公開鍵情報２３２ｄを記憶部３２に記憶しておき、検査装置２０５から受信した認証子に付された第２電子署名の正否を判定する。ゲートウェイ２０３は、サーバ装置２０７が付した第１電子署名が正しいものであり、認証子が有効期限内であり、且つ、検査装置２０５が付した第２電子署名が正しいものである場合に、検査装置２０５との認証処理を行う。このように２つの電子署名を認証子に付すことによって、ゲートウェイ２０３が受信した認証子の信頼性を向上することができる。

なお実施の形態２に係る認証システムは、ハッシュ値に基づく認証子の判定処理を行わない構成としたが、これに限るものではなく、ハッシュ値に基づく認証子の判定処理を更に行う構成としてもよい。この場合にゲートウェイは、第１電子署名が正しいものであり、認証子が有効期限内であり、ハッシュ値が正しいものであり、且つ、第２電子署名が正しいものである場合に、検査装置との認証処理を行う構成とすればよい。

また、実施の形態２に係る認証システムのその他の構成は、実施の形態１に係る認証システムと同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

１ 車両
２ ＥＣＵ
３ ゲートウェイ（車載電子機器）
５ 検査装置（認証要求装置）
７ サーバ装置（認証子生成装置）
３１ 処理部
３２ 記憶部
３２ａ プログラム
３２ｂ 公開鍵情報
３２ｃ 認証情報
３３ 車内通信部
３４ 車外通信部
４１ 認証子受信処理部（認証子受信部）
４２ 電子署名判定処理部（電子署名判定部）
４３ 有効期限判定処理部（有効期限判定部）
４４ ハッシュ値判定処理部（情報判定部）
４５ 認証処理部
５１ 処理部
５２ 記憶部
５２ａ プログラム
５２ｂ 認証情報
５３ 第１通信部
５４ 第２通信部
６１ 認証子生成要求送信処理部（認証子生成要求送信部）
６２ 認証子受信処理部（認証子受信部）
６３ 認証子送信処理部（認証子送信部）
６４ 認証処理部
７１ 処理部
７２ 記憶部（鍵情報記憶部）
７２ａ プログラム
７２ｂ 秘密鍵情報
７２ｃ 認証情報
７３ 通信部
８１ 認証子生成要求受信処理部（認証子生成要求受信部）
８２ ハッシュ値算出処理部（情報生成部）
８３ 認証子生成処理部（認証子生成部）
８４ 署名付与処理部（署名付与部）
８５ 認証子送信処理部（認証子送信部）
１０２ ＥＣＵ（車載電子機器）
１０３ ゲートウェイ（認証要求装置）
１０５ スマートフォン（認証要求装置）
２０３ ゲートウェイ（車載電子機器）
２０５ 検査装置（認証要求装置）
２０７ サーバ装置（認証子生成装置）
２３２ｂ 第１公開鍵情報
２３２ｄ 第２公開鍵情報
２４２ 第１電子署名判定処理部
２４６ 第２電子署名判定処理部（第２署名判定部）
２５２ｃ 第２秘密鍵情報
２６５ 第２署名付与処理部（第２署名付与部）
２７２ｂ 第１秘密鍵情報
２８４ 第１署名付与処理部

Claims (12)

1. 車載電子機器と、該車載電子機器に対して認証要求を行う認証要求装置とを備え、前記認証要求に応じて前記車載電機器及び前記認証要求装置の間で認証処理を行う認証システムにおいて、
   有効期限情報を含む認証子を生成する認証子生成部、鍵情報を記憶する鍵情報記憶部、該鍵情報記憶部に記憶された鍵情報を用いて前記認証子生成部が生成した認証子に電子署名を付与する処理を行う署名付与部、該署名付与部が電子署名を付与した前記認証子を前記認証要求装置へ送信する認証子送信部を有する認証子生成装置を更に備え、
   前記認証要求装置は、
   前記認証子生成装置からの前記認証子を受信する認証子受信部と、
   前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部と
   を有し、
   前記車載電子機器は、
   前記認証要求装置からの前記認証子を受信する認証子受信部と、
   前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、
   前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、
   前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部と
   を有すること
   を特徴とする認証システム。
2. 前記認証子生成装置の前記鍵情報記憶部は、秘密鍵を記憶し、
   前記車載電子機器は、前記秘密鍵に対応する公開鍵を記憶する鍵情報記憶部を有し、
   前記車載電子機器の前記電子署名判定部は、前記鍵情報記憶部に記憶された前記公開鍵を用いて判定を行うこと
   を特徴とする請求項１に記載の認証システム。
3. 前記認証要求装置は、認証子の生成を要求する認証子生成要求を前記認証子生成装置へ送信する認証子生成要求送信部を有し、
   前記認証子生成要求には、第１の所定情報を含み、
   前記認証子生成装置は、
   前記認証要求装置からの前記認証子生成要求を受信する認証子生成要求受信部と、
   前記認証子生成要求受信部が受信した前記認証子生成要求に含まれる前記第１の所定情報を元に第２の所定情報を生成する情報生成部と
   を有し、
   前記認証子生成装置の前記認証子生成部は、前記有効期限情報及び前記情報生成部が生成した第２の所定情報を含む認証子を生成すること
   を特徴とする請求項１又は請求項２に記載の認証システム。
4. 前記情報生成部は、前記第１の所定情報を元に算出したハッシュ値を前記第２の所定情報とすること
   を特徴とする請求項３に記載の認証システム。
5. 前記認証要求装置の前記認証子送信部は、前記認証子に前記第１の所定情報を付して前記車載電子機器へ送信し、
   前記車載電子機器は、前記認証子受信部が受信した前記認証子に付された前記第１の所定情報を基に、前記認証子に含まれる前記第２の所定情報の正否を判定する情報判定部を有し、
   前記車載電子機器の前記認証処理部は、前記電子署名判定部が前記電子署名は正しいと判定し、前記有効期限判定部が有効期限内であると判定し、且つ、前記情報判定部が前記第２の所定情報は正しいと判定した場合に、前記認証要求装置との認証処理を行うこと
   を特徴とする請求項３又は請求項４に記載の認証システム。
6. 前記認証要求装置は、
   鍵情報を記憶する鍵情報記憶部と、
   該鍵情報記憶部に記憶された鍵情報を用いて前記認証子受信部が受信した認証子に第２電子署名を付与する第２署名付与部と
   を有し、
   前記認証要求装置の前記認証子送信部は、前記第２署名付与部が前記第２電子署名を付与した前記認証子を前記車載電子機器へ送信すること
   を特徴とする請求項１又は請求項２に記載の認証システム。
7. 前記車載電子機器は、前記認証子受信部が受信した前記認証子に付された前記第２電子署名の正否を判定する第２電子署名判定部を有し、
   前記車載電子機器の前記認証処理部は、前記電子署名判定部が前記電子署名は正しいと判定し、前記有効期限判定部が有効期限内であると判定し、且つ、前記第２電子署名判定部が前記第２電子署名は正しいと判定した場合に、前記認証要求装置との認証処理を行うこと
   を特徴とする請求項６に記載の認証システム。
8. 車載電子機器に対して認証要求を行う認証要求装置において、
   認証子の生成を要求する認証子生成要求を認証子生成装置へ送信する認証子生成要求送信部と、
   前記認証子生成装置から前記認証子生成要求に応じて送信された認証子を受信する認証子受信部と、
   前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部と
   を備えることを特徴とする認証要求装置。
9. 認証要求装置との間で認証処理を行う車載電子機器において、
   前記認証要求装置から有効期限情報及び電子署名を有する認証子を受信する認証子受信部と、
   前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、
   前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、
   前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部と
   を備えることを特徴とする車載電子機器。
10. 車載電子機器に対して認証要求を行う認証要求装置を、
    認証子の生成を要求する認証子生成要求を認証子生成装置へ送信する認証子生成要求送信部と、
    前記認証子生成装置から前記認証子生成要求に応じて送信された認証子を受信する認証子受信部と、
    前記認証子受信部が受信した前記認証子を前記車載電子機器に対して送信する認証子送信部と
    として動作させることを特徴とするコンピュータプログラム。
11. 認証要求装置との間で認証処理を行う車載電子機器を、
    前記認証要求装置から有効期限情報及び電子署名を有する認証子を受信する認証子受信部と、
    前記認証子受信部が受信した前記認証子に付された電子署名の正否を判定する電子署名判定部と、
    前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定する有効期限判定部と、
    前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行う認証処理部と
    として動作させることを特徴とするコンピュータプログラム。
12. 車載電子機器と、該車載電子機器に対して認証要求を行う認証要求装置との間で認証処理を行う認証処理方法において、
    認証子生成装置が、有効期限情報を含む認証子を生成し、
    前記認証子生成装置が、生成した認証子に鍵情報を用いて電子署名を付与し、
    前記認証子生成装置が、前記電子署名を付与した前記認証子を前記認証要求装置へ送信し、
    前記認証要求装置が、受信した前記認証子を前記車載電子機器に対して送信し、
    前記車載電子機器が、受信した前記認証子に付された電子署名の正否を判定し、
    前記車載電子機器が、前記認証子に含まれる前記有効期限情報に基づき、該認証子が有効期限内であるか否かを判定し、
    前記車載電子機器が、前記電子署名判定部が前記電子署名は正しいと判定し、且つ、前記有効期限判定部が有効期限内であると判定した場合に、前記認証要求装置との認証処理を行うこと
    を特徴とする認証処理方法。

Images