CN103348625B

CN103348625B - 认证者、被认证者和认证方法

Info

Publication number: CN103348625B
Application number: CN201180067077.5A
Authority: CN
Inventors: 长井裕士; 加藤拓; 坂本广幸
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2011-04-22
Filing date: 2011-09-26
Publication date: 2016-01-20
Anticipated expiration: 2031-09-26
Also published as: US20140047239A1; WO2012144094A1; CN103348625A; EP2700190A1; US9160534B2; TWI436233B; KR101494992B1; EP2700190B1; KR20130127499A; JP2012227899A; EP2700190B8; TW201243639A

Abstract

根据一个实施例，被认证者包括：存储器，其被配置为存储多个秘密信息XY和通过加密多个秘密信息XY而生成的多个秘密信息XY_E；生成模块，其被配置为生成随机数A；生成模块，其被配置为生成随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；计算模块，其被配置为通过对随机数D和从存储器加载的秘密信息XY的至少一部分执行压缩操作来生成数据C；生成模块，其被配置为生成数据ν；以及逐位加法模块，其被配置为根据数据ν和数据C计算结果Z。

Description

认证者、被认证者和认证方法

技术领域

在此描述的实施例一般涉及认证者、被认证者和认证方法。

背景技术

通常，在需要安全性的领域，采用基于与加密器共享的秘密的方法作为验证自身的真实性的方法。

例如，在用于电子结算的IC卡等中，个性化ID和秘密信息被存储在卡的IC中，IC卡具有用于根据ID和秘密信息执行认证的密码处理功能。在另一个例子中，存在用于在内容的版权保护中证实SD卡（商标）的真实性的装置。

发明内容

根据一个实施例，一种被认证者与认证者之间的认证方法，其中所述被认证者存储多个秘密信息XY和通过加密所述多个秘密信息XY而生成的多个秘密信息XY_E，所述认证者认证所述被认证者，所述方法包括：由认证者对从被认证者接收的秘密信息XY_E执行解密过程，并共享所述秘密信息XY；由被认证者接收由认证者生成的随机数B，并加载所述秘密信息XY；由被认证者生成随机数A和数据ν（v出现为1的概率为η（η<0.5））；由被认证者生成随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；由被认证者通过对随机数D和秘密信息XY的至少一部分执行压缩计算操作来生成数据C；由被认证者将根据数据ν和数据C得到的计算结果Z发送到认证者；由认证者生成随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；由认证者通过对随机数D和秘密信息XY的至少一部分执行压缩计算操作来生成数据C；以及由认证者通过使用所接收的计算结果Z和所生成的数据C来执行判定过程。

附图说明

图1是示出根据比较例1的协议的框图；

图2是示出根据比较例2的协议的框图；

图3是示出根据第一实施例的结构实例的框图；

图4是表示根据第一实施例的认证流程的流程图；

图5是示出根据第二实施例的结构实例的框图；

图6是表示根据第二实施例的认证流程的流程图；

图7是示出根据第三实施例的结构实例的框图；

图8是表示根据第三实施例的认证流程的流程图；

图9是示出第三实施例中秘密信息的数据传送的框图；

图10是示出根据第四实施例的结构实例的框图；

图11是表示根据第四实施例的认证流程的流程图；

图12是示出根据第五实施例的结构实例的框图；

图13是表示根据第五实施例的认证流程的流程图；

图14是示出根据第六实施例的结构实例的框图；

图15是表示根据第六实施例的认证流程的流程图；

图16是示出根据第七实施例的结构实例的框图；

图17是表示根据第七实施例的认证流程的流程图；

图18是表示根据第八实施例的ID获取过程（1）的框图；

图19是表示根据第八实施例的ID获取过程（2）的框图；

图20是表示根据第八实施例的ID获取过程（3）的框图；

图21是表示根据第八实施例的ID获取过程（4）的框图；

图22是表示根据第九实施例的ID绑定过程（1）的框图；

图23是表示根据第九实施例的ID绑定过程（2）的框图；

图24是示出根据第十实施例的结构实例的框图；

图25是示出根据第十一实施例的结构实例的框图；

图26是示出根据第十二实施例的结构实例的框图。

具体实施方式

在上述的例子中，需要被认证者包括秘钥和加密器。然而，加密器的实现要求相对大的电路规模。因此，在其中对电路规模同时施加限制的环境中，很难证明自身的真实性。其中对电路规模施加限制的典型例子是RFID（射频识别）。

因此，在近些年，存在对实现的需求在增加的趋势。

更具体地，参照附图，将描述比较例和实施例。在下面的描述中，在所有附图中，相同的部件用相同的参考数字来表示。

比较例1（HB+协议的例子）

首先参照图1描述比较例1。比较例1涉及HB+协议的例子。

HB+协议是HB协议的改进协议，其中HB协议是由Hopper和Blum在2000年提出的轻量级认证协议。HB协议基于如下的事实：带有噪声的奇偶值的识别是困难的（LPN：噪声下的学习奇偶校验），并且防止被动攻击的安全性已经得到证实。然而，HB协议易于受到主动攻击，诸如伪装读取器（Reader）。为了解决这个问题，Juels等人在2005年提出了HB+协议。

HB+协议的概要在图1中示出。在图1中，a、b、x和y是向量，ν和z是比特。

如图所示，在HB+协议中，标签（Tag）是被认证者（将被认证的部件），读取器（Reader）是认证者（认证部件），并且标签和读取器共享秘密信息向量x和y。

标签向读取器传送当前随机数向量b。

接着，读取器向标签传送当前随机数a。

随后，标签计算随机数a与秘密信息向量x之间的内积（a·x）以及随机数b与秘密信息向量y之间的内积（b·y）。进一步地，标签生成变量ν，其成为1的概率为η。然后，标签将内积（a·x）、内积（b·y）和变量ν相加，并计算z=ax⊕by⊕ν。在这种情况下，ax是指内积（(a·x)），⊕是指异或。

然后，标签将所计算的z发送给读取器。

随后，读取器比较所接收的z和它自己计算的ax⊕by，并检查一致/不一致。上述的一系列过程可以被称为“1轮”。

当1轮的过程被重复多次（例如，几十次到几万次），并且当上述的不一致的概率低于预定的t时，认为标签拥有秘密信息，并且认证被成功执行。

在此期间，ax⊕by是秘密信息x、y与绑定向量a、b的内积。因此，如果x、y的绑定向量xy是秘密信息而a、b的绑定向量是Concat(a,b)，则ax⊕by可被表示为Concat(a,b)xy。

比较例2（随机HB#协议的例子）

下面参照图2描述比较例2。比较例2涉及随机HB#协议的例子。随机HB#协议是上述的比较例1中所示的HB+协议的进一步改进的协议。

虽然上述的HB+协议提供了被动攻击和主动攻击的解决方案，但存在HB+协议易受到中间人攻击的趋势。为了解决这个问题，Gilbert等人提出了随机HB#协议，作为HB+协议的改进协议。

随机HB#协议的概要在图2中示出。在图2中，x和y是矩阵，a、b、z和ν是向量。

如图2所示，在随机HB#协议中，标签（Tag）和读取器（Reader）共享秘密信息矩阵x和y。

首先，标签将当前随机数向量b传送给读取器。

然后，读取器向标签传送当前随机数a。

随后，标签计算随机数a与秘密信息矩阵X之间的内积（aX）以及随机数b与秘密信息矩阵Y之间的内积（bY）。在这种情况下，由于X和Y是矩阵，而a和b是向量，因此，每个内积的结果是向量。进一步地，标签生成变量ν，其成为1的概率为η。然后，标签将上述值相加，并计算z=aX⊕bY⊕ν。在这种情况下，z是向量。

然后，标签将所计算的z发送到读取器。

随后，读取器在所接收的z与自己计算的aX⊕bY之间执行比特加法，即，通过使用异或操作的结果计算aX⊕bY⊕z的汉明权重Hwt（aX⊕bY⊕z）。当汉明权重Hwt（aX⊕bY⊕z）低于预定值t*clen时，认为标签持有秘密信息，并且认证被成功执行。

在此期间，aX⊕bY是秘密信息项X和Y的绑定矩阵与a和b的绑定向量之间的内积。因此，如果X和Y的绑定矩阵XY是秘密信息，a和b的绑定向量是Concat(a,b)，则aX⊕bY可以被表示为Concat(a,b)XY。

对实现的改进点

然而，在上述的比较例1、2的协议中，例如，当协议将被实现在NAND闪存等上时，可以考虑以下的改进点（I）至（IV）。

（I）秘密信息项X和Y的共享方法

如上所述，在上述的比较例1和2中，读取器和标签需要共享秘密信息X、Y。然而，例子1和2没有提供具体的用于共享秘密信息X、Y的共享方法。

因此，在所有读取器和标签预先共享相同的X、Y的情况下，如果X、Y一旦被暴露，则整个系统将受到致命的影响。另一方面，在不同的信息X、Y被应用于每个标签的情况下，读取器侧被请求访问例如存储被应用于所有标签的X和Y的数据库或者从整体管理X和Y。

因此，在读取器侧的负载增加。

作为有关的现有技术，日本专利申请No.2000-357213提出一种在记录设备与记录媒体之间的相互认证的方法，其中记录设备在具有算术处理功能的记录媒体中记录重复的内容。记录媒体至少存储依赖于记录媒体的第一信息和依赖于记录媒体且将在执行与记录设备的相互认证时与记录设备共享的第二信息。根据从记录媒体获取的第一信息，记录设备生成在执行与记录媒体的相互认证时使用的认证信息。通过使用所生成的认证信息和第二信息，执行记录设备与记录媒体之间的相互认证。

（II）用于在组件P中有效地记录秘密信息项X和Y的方法

在上述的HB+协议和随机HB#协议中，需要相当的秘密信息量，即X、Y的相当的数据大小，以便难于用实际的计算量识别上述的LPN问题。如果X、Y对于所有标签都相同，则固定连线（hardwired）的日志实现是可能的。然而，当X、Y随标签的不同而变化时，标签需要有足够的存储容量以便容纳X、Y。同时，需要在标签制造中单独地记录数据，并且记录时间反映在制造时间上。

因此，由于存储容量的增加和记录时间的增加，标签的成本增加。

（III）用于保护在组件P中存储的秘密信息项X和Y不被损坏的方法

在组件P在内部存储器中存储X、Y的情况下，当X、Y用于认证时，要求X、Y的数据完整性。然而，现有技术并没有这方面的内容。为了确保数据完整性，可以设想这样一种方法，被添加了纠错码的X、Y存储在标签的内部存储器中，并且在认证时执行纠正过程。然而，一般地，便宜的存储器并不总是具有纠正功能。当存储器不具有纠正功能时，纠正功能需要被提供为标签中的组件，而不是存储器。

因此，标签的成本增加。

（IV）在秘密信息项X和Y被暴露时的秘密信息更新方法

上述的随机HB#协议被承认可以在预定条件下抵御被动攻击、主动攻击和中间人攻击。然而，在近些年，易于受到通用中间人攻击已经被报道，X、Y被暴露的可能性不能被排除。虽然对于暴露X、Y需要相应的攻击成本，但X、Y一旦被暴露，使用X、Y制造虚假标签就变得可能。因此，期望用于更新秘密信息的方法，以便即使在X、Y已经被暴露时也转变到新的X、Y。

考虑上面的因素，下面参照附图描述实施例。RFID的读取器和标签已在上面作为例子进行了描述。然而，同样的要求应用于存储器芯片，诸如NAND闪存，其中电路区域面积直接与成本有关。因此，在下面的实施例中描述了其中认证NAND闪存的主机设备（Host）被用作具有认证者功能的读取器（Reader）而NAND闪存（NAND芯片）被用作具有被认证者功能的标签（Tag）的例子。然而，实施例并不限于这些例子。例如，实施例可应用各种实现方式，诸如NOR闪存、电阻随机存取存储器（ReRAM）、磁阻随机存取存储器（MRAM）、相变随机存取存储器（PRAM）、铁电随机存取存储器（FeRAM）、诸如硬盘驱动器或固态驱动器的具有算术功能和存储器的存储设备、诸如RFID或IC卡的要求认证的部件、以及包括具有通用运算单元和通用存储器的计算机和软件的系统。在下面的描述中，在所有附图中，相同的部件用相同的参考数字来表示。

第一实施例

下面给出根据第一实施例的认证者、被认证者和认证方法的描述。

1.结构实例（存储器系统）

首先参照图3，描述根据第一实施例的结构实例。

在图3中示出的存储器系统包括NAND闪存10，其是被认证者；主机设备20，其是认证者；以及控制器19，其介于上述两者之间。如图3所示，主机20经由被称为“控制器19”的设备访问NAND闪存，其中控制器19具有访问NAND闪存10的功能。

描述半导体产品的制造过程。半导体产品的制造过程主要分为在基板晶片上形成电路的预处理以及切割晶片并进行布线和树脂封装的后处理。在这种情况下，控制器19可例如进行各种配置，以使得控制器19在预处理中被包括在NAND闪存10中、或者控制器19未包括在预处理中但包括在后处理中的同一封装中、或者控制器19被形成为不同于NAND闪存10的芯片。在包括图3的图中，作为例子描述了控制器19被形成为不同于NAND闪存10的芯片的情形。然而，本实施例可应用于上述的任何一种情形。在下面的描述中，除非特别指明，在许多情况下，控制器在主机设备20与NAND闪存10之间协调业务数据和指令，但这些描述将被省略。NAND闪存10和控制器10的结构实例将在后面描述。

图3所示的各个组件和数据处理将在下面描述。如图所示，示出了共享秘密信息X、Y的方法和在将该方法应用于NAND闪存10时的结构。

1-1.NAND闪存

NAND闪存10是被认证者。根据本实例的NAND闪存10包括单元阵列11、被设置在单元阵列11的外围区域的数据缓存器12、压缩运算电路13、偏置RNG14、输出模块15、随机数生成器16、排列和级联电路18、逐位加法电路C1。

在单元阵列（Cellarray）11中，多个存储单元在位线和字线的交叉处被布置成矩阵（未示出）。按照半导体基板上指定的顺序，存储单元包括隧道绝缘膜、浮置栅极、层间绝缘膜和连接到字线的控制栅极。存储单元在位线方向上的电流路径串联连接，从而组成单元单位（cellunit）。单元单位被连接到位线和源极线的选择晶体管选择。在字线方向上的多个存储单元组成1个页面（Page），其是数据读取和数据写入的单位。另外，多个页面组成块（Block），其是数据擦除的单位。

单元阵列（Cellarray）11包括ROM区域11-1、隐藏区域11-2和用户区域11-3。

ROM区域（ROMarea）11-1是其中禁止数据记录而允许数据读取的区域。在根据本实例的ROM区域11-1中，记录了数据XY_E（xe比特），其通过对秘密信息XY加密并进一步将纠正码加在所加密的秘密信息上来获得。对于加密，可以使用例如AES（高级加密标准）的加密器，其是对称秘钥加密。作为加密模式，可使用CTR（计数器）、CBC（加密块链接）等。另外，可使用ECDSA（椭圆曲线加密）或RSA，其是非对称加密。除此之外，作为纠错码，可使用BCH码、ReedSolomon码、LDPC（低密度奇偶校验）码等。这样，本实例可应用于任何加密方法和任何纠正码。在这种情况下，XY_E被表示为通过加密秘密信息XY并进一步将纠正码加在所加密的秘密信息上来获得的数据。另外，（xe比特）表示比特数。

隐藏区域（Hiddenarea）11-2是其中NAND闪存10的外部被禁止进行数据记录并且数据读取被禁止（读取程序禁止）的区域。在根据本实例的隐藏区域11-2中，记录了在认证时使用的与X、Y对应的数据XY。

用户区域（Userarea）11-3是其中数据记录和数据读取可随意执行的区域。在用户区域11-3中，例如，记录了诸如照片的图片数据以及动画数据。

上述的ROM区域、隐藏区域和用户区域可以通过不同的物理结构实现，或者可以物理结构相同而通过NAND闪存内的逻辑控制实现。在这种情况下，逻辑控制例如是这种方法，其中各个区域被提供控制来自NAND闪存的外部的访问的标识符，这些标识符被存储，当NAND闪存已从外部接收对这些区域的访问时，通过标识符执行访问控制。

另外，组成单元阵列（Cellarray）11的每个存储单元可以是存储多个比特的存储单元（MLC：多级单元）或存储1个比特的存储单元（SLC：单级单元）。进一步地，ROM区域和隐藏区域可以被配置为由SLC使用，而用户区域可被配置为由MLC使用。同时，单元阵列的物理结构可在SLC区域和MLC区域之间不同，或者仅有存储单元的部分比特（可用作MCL）可被用作伪SLC区域。

数据缓存器（Datacache）12临时存储已从单元阵列11中读出的数据。

偏置RNG（BiasedRNG）14生成随机数ν，其成为1的预定概率为η。其间，将在下面描述的随机数生成器可用作偏置RNG的输入源。在这种情况下，与概率η对应的随机数可通过对从随机数生成器输出的多个随机数序列执行诸如AND或OR的算术操作来生成。

随机数生成器（RNG）16生成随机数Nonce_N（a比特），其在认证中使用。

排列和级联电路（排列和级联）18通过使用由主机20和存储器10共享的XY来生成随机数Nonce（c比特），它根据从主机20输入的随机数Nonce_H和从存储器10输入的随机数Nonce_N构成。在这种情况下，a是指Nonce_N的比特长度，b是指Nonce_H的比特长度，c是指压缩运算电路的每个过程被输入的比特长度。具体地，从排列和级联电路（排列和级联）输出的单个随机数Nonce是用于压缩运算电路的1个过程的数据，并且Nonce_N和Nonce_H的全部比特可用于1个过程或者其一部分可被有选择地使用。

压缩运算电路（压缩（例如，内积））13对数据缓存器12的输出XY（每个c比特）和排列和级联电路18的输出（c比特）执行预定的算术运算，诸如内积算术运算，并输出数据C。

逐位加法电路C1向输出模块15输出Z=C+ν，其通过将已由偏置RNG生成的ν添加到压缩运算电路13的输出比特上来获得。如上所述，位加法意味着逻辑异或。具体地，逐位加法电路输出2个输入数据的比特的逻辑异或。

输出模块15经由控制器19向主机20输出逐位加法电路C1的结果（Z=C+ν）。

除了单元阵列11外，诸如数据缓存器12的结构组件还可以被设置在存储控制器19中。

1-2.主机

根据本实例的主机（Host）20包括修正处理模块21、解密模块22、秘钥保持模块23、数据临时存储模块25、压缩运算模块26、随机数生成器27、排列和级联电路29、判定模块30。

修正处理模块（ECC）21对已从NAND闪存10的ROM区域11-1中读出的数据XY_E执行纠错处理（ECC）。

在所读出的数据XY_E已经接受了纠错处理后，解密模块（Decrypt）22用在秘钥保持模块23中保存的秘钥（KEY）解密数据XY_E，从而获得XY。

数据临时存储模块（数据缓存器）25临时存储所解密的XY。从而，主机设备20和NAND闪存10可以共享秘密信息XY。

压缩运算电路（压缩（例如，内积））26对数据缓存器25的输出（每个c比特）和排列和级联电路29的输出（c比特）执行于预定的算术运算，诸如内积算术运算，并输出数据C。

随机数生成器（RNG）27生成主机的随机数Nonce_H（b比特）。

排列和级联电路（排列和级联）29通过使用主机20和存储器10所共享的XY来生成随机数Nonce（c比特），其根据从主机20输入的随机数Nonce_H和从存储器10输入的随机数Nonce_N构成。

如上所述，判定模块（如果Hwt（Z⊕C）≤t*clen则接受）30计算有关压缩运算模块26的输出C和输出模块15的输出Z的汉明权重Hwt（Z⊕C）。当汉明权重Hwt（Z⊕C）变得低于预定值t*clen时，判定模块30认为秘密信息被拥有，并确定认证成功。假定η≤t<0.5，clen是Z⊕C的比特长度。

这样，通过判定模块30比较已通过相同过程获得的C和Z，除了偏置RNG处理27外，主机20确认NAND闪存10的真实性是被认证者。

同时，相同的过程可以由上述的结构执行多次，从而最终确认真实性。例如，在当前的图中，作为例子示出了C是多个比特的情形，并且在判定时，压缩判定方法使用了Z和C的加法比特序列的汉明权重。如果C是单个比特，则与上述的HB+协议相同，上述的过程需要被执行多次。在这种情况下，像HB+协议一样，应当满足Z与C之间的不一致的比率根据差错变量的出现概率检查。

1-3.变形

除了以上所述的，在需要时，本实施例的结构可以被修改，如下面所述。

根据如图1和图2所示的比较例1和2，压缩过程可对应于内积计算，但并不必须对应于内积计算。例如，在压缩过程中，基于XY的数据和基于Nonce_H和Nonce_N的数据可以被输入到包括LFSR（线性反馈移位寄存器）的运算设备中，并且在输入后LFSR中部分或所有寄存器值可以被用作压缩结果。

可选地，CRC运算设备可以被用作LFSR。另外，哈希函数可用作用于压缩过程的函数。哈希函数可以或者可以不基于加密器。不管使用那种运算方法，在本实施例中提出的方法都是可用的。在属于作为安全性的基础的LPN问题方面没有差异。压缩过程可以是无损压缩或有损压缩。压缩过程是指输出至少小于输入数据并依赖于输入数据的数据的过程。

给出了发送基于Nonce_H和Nonce_N生成的Nonce的过程的描述。Nonce是通过以预定的顺序绑定Nonce_H和Nonce_N来生成并接着发送的数据。绑定/发送方法可以是简单的前馈数据绑定/发送方法，或者是共有数据被交替插入的交织数据绑定/发送方法。数据可以通过上述的方法被发送多次。在任何情况下，Nonce是根据Nonce_N和Nonce_H的至少一部分生成并且是具有c比特长度的数据的数据。假定Nonce_N的数据长度是a，Nonce_H的数据长度是b，两者的总数据长度是d。如果c=d且数据未被发送多次，则压缩计算模块的输出是1比特。如果c=d且数据被发送多次，则压缩计算模块的输出是使得1比特被发送多次。如果c<d且数据被发送多次，则压缩计算模块的输出是使得1比特被发送多次。

另一方面，关于对于其计算Nonce的压缩的XY，XY中的数据以c比特为单位发送到压缩计算模块。XY数据的比特大小等于c或者是c的整数倍。当比特大小x等于c时，压缩计算模块的输出等于1比特。当XY数据的比特大小x是c的整数倍时，压缩计算模块的输出是使得1比特被输出多次。典型的组合如下：

·如果c=d=x，则压缩计算模块的输出是1比特，

·如果c=d<x，则压缩计算模块的输出是1比特的多次，

·如果c<d且c<x，则压缩计算模块的输出是1比特的多次。其间，上述的例子涉及其中压缩计算模块将2个输入压缩成1比特的情形。在压缩计算模块将2个输入压缩成多个比特的情况下，每次的输出值本身变成多个比特。

2.认证流程

下面参照图4，给出具有图3所示的结构的存储器系统的认证流的描述。

当认证开始时（开始），主机设备20在步骤S11中向NAND闪存10发送XY_E的读取指令（读取XY_E）。

接着，在步骤S12，NAND闪存10根据读取指令从单元阵列11-1中加载XY_E（加载XY_E），并将其发送到主机设备20。

随后，在步骤S13，主机设备20对所接收的XY_E执行上述的解密过程，并获取XY（获取XY）。

然后，在步骤S14，主机设备20向NAND闪存10发送认证请求（请求认证）。在这种情况下，认证请求可包括Nonce_H。

随后，在步骤S15，NAND闪存10接收Nonce_H，并加载XY（加载XY（如果需要））。

接着，在步骤S16，NAND闪存10生成Nonce_N和ν（生成Nonce_N，生成ν）。

随后，在步骤S17，如上所述，NAND闪存10加上ν，并计算Z。NAND闪存10向主机20发送Nonce_N和Z。

然后，在步骤S18，在接收了Nonce_N和Z后，主机20执行预定的算术运算，诸如内积算术运算，并计算数据C。

随后，在步骤S19，主机20对Z和C的逐位XOR值序列计算汉明权重Hwt（Z⊕C），并执行判定过程以确定汉明权重Hwt（Z⊕C）是否低于预定值t*Clen（检查Hwt（Z⊕C）≤t*Clen）。如上所述，t是基于在计算Z时NAND闪存10所使用的差错比特或差错向量中的差错加法概率（或在数据中出现1的概率）η的值，并假定η≤t<0.5。另外，假定clen是C的比特长度。

随后，在步骤S20，当在步骤S19的判定结果并不是低于预定值时（失败），主机20确定失败并停止操作。

然后，在步骤S21，当在步骤S19的判定结果是低于预定值时（成功），主机20确定是否已达到预定的轮数（足够轮数？）。在本上下文中，轮数是指从认证请求过程到判定过程的一系列过程。如果轮数未达到（否），则重复认证请求过程（S14～）。

随后，在步骤S22，当达到轮数时（是），主机设备10认为认证已经被成功执行，并在需要时基于XY执行计算媒体ID的过程。媒体ID的计算过程和使用媒体ID的方法（S23及以后）将在后面描述。

通过上面描述的操作，根据第一实施例的认证流程结束（结束）。

其间，需要在各轮之间使用Nonce_N、Nonce_H和ν的不同参数。另外，当NAND闪存10已经接收了认证请求时，如果在前面的认证请求时的XY维持被加载在数据缓存器中，则可以省略从单元阵列加载XY，并使用数据缓存器中的值。另外，在步骤S17之后，数据缓存器中的XY可被删除。特别地，在NAND闪存10向外部提供访问数据缓存器的功能时，为了安全起见，在认证所需的数据Z已被计算的阶段擦除数据缓存器中的秘密信息是有用的。

3.有益效果

根据与第一实施例有关的结构和认证方法，上述的（I）至（IV）点可以得以改进，并可至少获得下面的有益效果（1）。

（1）不同的秘密信息XY可以在认证者和被认证者之间共享，而秘密信息XY的秘密状态被维持，并且认证可以基于所共享的秘密信息通过较少的计算量来执行。

根据本实施例的NAND闪存10在作为记录禁止/读取禁止区域的隐藏区域11-2中存储秘密信息XY，将通过加密秘密信息XY并将纠正码添加到所加密的秘密信息上获得的XY_E存储在作为记录禁止/读取允许区域的ROM区域11-1中。另外，主机20具有读出XY_E并执行纠错过程21和解密过程22的功能，并可通过用于解密的秘钥在NAND闪存10与主机20之间共享秘密信息XY。因此，认证者和被认证者可以通过所共享的秘密信息XY来执行认证（S11至S23）。

此外，NAND闪存10和主机设备20包括生成当前随机数的RNG16、17、排列和级联模块18、29、压缩计算模块13、26、当前随机数的逐位加法模块C1、26、以及输出模块15。另外，NAND闪存10包括偏置RNG14。主机20包括判定模块30，其比较从NAND闪存10输出的z和在主机设备内计算的C，从而执行认证。

如上所述，在第一实施例中，由于秘密信息XY被存储在作为记录禁止/读取禁止区域的隐藏区域11-2，而数据Z通过使用该信息生成，因此，秘密可得到保护。另外，通过加密秘密信息XY并将纠正码添加到所加密的秘密信息上而获得的XY_E被存储在作为记录禁止/读取允许区域的ROM区域11-1中。主机20使从中读取的XY_E遭受纠错过程21和使用秘钥23的解密过程23，从而共享XY。因此，不同的秘密信息XY可在认证者与被认证者之间共享，而秘密信息XY的秘密状态被维持。

因此，根据与第一实施例有关的结构和认证方法，不同的秘密信息XY可在认证者与被认证者之间共享，而秘密信息XY的秘密状态被维持，并且认证可基于所共享的秘密信息通过较少的计算量执行。

第二实施例

下面参照图5和图6，给出根据第二实施例的认证者/被认证者和认证方法的描述。在下面的描述中，省略与第一实施例重复的部分的描述。

结构实例（存储器系统）

参照图5描述根据第二实施例的结构实例。

如图5所示，第二实施例的结构实例与第一实施例的不同在于：NAND闪存10分别在ROM区域11-1和隐藏区域11-2存储多个XY_E和多个XY。在该例子中，当i和j不同时，XY[i]≠XY[j]，并且XY_E[i]≠XY_E[j]。

这样，通过存储成组的多个XY_E和XY，可以提供用于在秘密信息项X和Y被暴露时更新秘密信息的方法。如果一组XY和XY_E由于中间人攻击等被暴露，并且伪造设备通过盗用所暴露的XY和XY_E制造，则在本实施例中，可以更新由主机20持有的秘钥KEY[1]23（例如，KEY[1]更新的KEY[2]）。这样，通过使用一组与所暴露的那组XY和XY_E不同的XY和XY_E，可以消除伪造设备。关于用于每个XY[i]的加密的密钥KEY，当i不同时，优选地使用不同的KEY。

在其它方面，第二实施例基本与第一实施例相同，因此，省略详细的描述。

认证流程

下面参考图6，描述根据第二实施例的认证操作。

在第二实施例中，由于多个XY和多个XY_E被记录在NAND闪存10中，因此，主机20选择将要使用的XY，从而执行认证。

因此，在第二实施例中，在步骤S14，当主机20请求认证（请求认证）时，主机20发送参数i，其向NAND闪存10指定将要使用的XY以及随机数Nonce_H。在这一点，第二实施例不同于第一实施例。

在其它方面，第二实施例基本与第一实施例相同，因此省略详细的描述。

有益效果

根据与第二实施例的认证者/被认证者和认证方法，上述的（I）至（IV）点可得到改进，并可以至少获得上述的有益效果（1）。

另外，第二实施例与第一实施例的不同在于NAND闪存10分别在ROM区域11-1和隐藏区域11-2中存储多个XY_E和多个XY。

这样，通过存储成组的多个XY_E和XY，可提供用于在秘密信息X和Y被暴露时更新秘密信息的方法。如果一组XY和XY_E由于中间人攻击等被暴露，并且伪造设备通过盗用所暴露的XY和XY_E制造，则在本实施例中，可以更新主机20所持有的秘钥KEY[1]23（例如，KEY[1]更新的KEY[2]）。

因此，在第二实施例的认证流程中，在步骤S14，当主机20请求认证（请求认证）时，主机20发送参数i，其向NAND闪存10指定将要使用的XY以及随机数Nonce_H。

在第二实施例中，如上所述，NAND闪存10具有多个XY和多个XY_E，并具有根据来自主机设备的指令有选择地发送XY_E的功能，并根据来自主机设备的指令有选择地设置用于认证的XY。另外，主机设备具有有选择地读出与由主机设备自己持有的秘钥对应的XY_E的功能，具有解密XY_E的功能，并具有在预定条件下更新自己所持有的秘钥的功能。

因此，通过使用与所暴露的一组XY和XY_E不同的一组XY和XY_E，可以有利地消除伪造设备。

第三实施例

下面，参照图7至图9，给出根据第三实施例的认证者/被认证者和认证方法的描述。

结构实例（存储器系统）

参照图7描述第三实施例的结构实例。

如图7所示，第三实施例与第二实施例的不同在于：NAND闪存10分别在ROM区域11-1B和11-2B中存储多个XYsub_E和XYsub。在该例子中，当i和j不同时，XYsub[i]≠XYsub[j],并且XYsub_E[i]≠XYsub_E[j]。XYsub_E是通过加密XYsub并在其上添加纠正码而获取的数据。

XYsub与XY一样被记录在记录禁止/读取禁止区域（隐藏区域）11-2B中，XYsub_E与XY_E一样被存储在记录禁止/读取允许区域（ROM区域）11-1B中。

XYmain的数据大小大于XYsub的数据大小（数据大小：XYmain>XYsub）。另外，包括XYmain和XYsub的数据对应于上述的秘密信息XY。

在第三实施例中，如上所述，由于除了一组XY以外还包括一组XYsub[i]和XYsub_E[i]，因此，第三实施例的有利方面在于秘密信息X和Y可以被有效地记录。后面将描述具体情形。

另外，NAND闪存10包括用于存储XYsub的数据缓存器12B和用于逐位地将XYmain和XYsub相加的逐位加法模块C2。逐位加法模块C2的输出对应于上述的用于认证的XY值。在该例子中，由于XYmain和XYsub的比特长度不同，因此，重复的XYsub数据被应用于位加法C2。

例如，如图所示，位加法可以被认为是预定的算术运算。当XYmain的数据大小是XYsub的数据大小的整数倍时，可以考虑这种配置：XYmain被连续地从存储XYmain数据的数据缓存器中发送，而XYsub被连续和重复地从存储XYsub数据的数据缓存器中发送。存储XYsub的数据缓存器可被认为是环形缓冲器。除了逐位加法以外，XYmain和XYsub的边界值可被用作XY，或者XYmain和XYsub的交织边界值可被用作XY。另外，XYmain和XYsub可以被输入到LFSR，LFSR的预定寄存器的值可以被用作XY。简而言之，在本实施例中，虽然使用了逐位加法模块，但可以应用任何使用包括两个输入的数据的算术方法作为XY。

同样，主机20还包括修正处理模块21B、解密模块22B、秘钥保持模块23B、数据存储模块25B和加法模块C3，这些模块适合于所读出的XYsub_E。通过上述结构，主机20同样执行纠错过程，并通过对应的KEY_XYsub执行解密，从而获得XYsub。因此，秘密信息XYmain和XYsub可以在主机设备和NAND闪存之间共享。虽然在图中KEY_XYmain和KEY_XYsub被表示为不同的对象，但它们实际上是相同的。关于用于每个XYsub[i]的加密的KEY_XYsub，当i不同时，优选地，使用不同的KEY_XYsub。另外，主机20和存储器10基于通过使用XYmain和XYsub执行预定的算术运算而获得的XY来执行认证过程。

认证流程

接着参照图8描述根据第三实施例的认证操作。

在第三实施例中，除了XYmain外，XYsub也被记录在NAND闪存10中，并且通过加密它们而获得的XYmain_E和XYsub_E也被记录。

因此，如图所示，在对应的步骤S13，主机10还读出XYmain_E和XYsub_E，对其进行解密，并基于秘密信息XYmain和XYsub生成秘密信息XY（生成XY）。随后，主机20通过使用从秘密信息XYmain和XYsub中获得的信息来执行类似的认证。

同样，在NAND闪存10侧，在步骤S15，秘密信息XY基于所读出的秘密信息XYmain和XYsub而生成（生成XY）。在这一点，第三实施例不同于第二实施例。

有益效果

根据与第三实施例有关的认证者/被认证者和认证方法，上述的（I）至（IV）点可得到改进，并可以至少获得上述的有益效果（1）。另外，在第三实施例中，还可以获得下面的有益效果（2）。

（2）秘密信息X、Y可被有效地记录，并且记录时间可有利地缩短。

在第三实施例中，NAND闪存10具有多个XYsub和XYsub_E，根据来自主机20的指令有选择地发送XYsub_E，根据来自主机20的指令有选择地设置用于认证的XYsub，并用通过对所选择的XYsub和XY进行预定的算术运算而获得的值执行认证。

另外，主机设备具有有选择地读出与主机设备自己所持有的秘钥23B对应的XYsub_E的功能，具有解密XYsub_E的功能22B，并具有在预定条件下更新它自己所持有的秘钥23B的功能，并用通过对所选择的XYsub和XYmain进行预定的算术运算而获取的值执行认证30。

如上所述，由于除了一组XYmain外，还包括一组XYsub[i]和XYsub_E[i]，因此，有利的是秘密信息X和Y可被有效地记录。

更具体地，例如在图9中示出。如图9所示，在NAND闪存的制造过程中，多组XYmain、XYmain_E、XYsub和XYsub_E由XY生成器（XYGEN）生成，并由写入器（Writer）写入多个NAND闪存中（在本例中，芯片1至芯片4）。

在该例子中，XYmain和XYmain_E在包括多个芯片即芯片1至芯片4的组（例如，lot）中是相同的数据。另一方面，XYsub和XYsub_E需要在各芯片间即芯片1至芯片4之间是不同的数据（XYsub1至XYsub4，XYsub_E1至XYsub_E4)）。

如上所述，在第三实施例中，在数据写入操作中，数据量大的XYmain和XYmain_E在多个芯片即芯片1至芯片4之间是共同的。因此，数据写入存储器的过程可被优化，数据可被有效地记录。

如果XYmain和XYmain_E通过固定连线配置来构建，则实际记录的数据是XYsub和XYsub_E，其数据量小，记录时间可以被缩短。如果XYmain和XYmain_E被记录在单元上，则由于在一个组中是相同的，因此，可以缩短用于向NAND闪存中的数据记录设备传送记录数据的时间。如已经在上面所描述的，由于记录时间的增加变成成本的增加，因此，第三实施例具有制造成本可以被降低的巨大优点。

第四实施例（多次记录的例子）

下面参照图10和图11，给出根据第四实施例的认证者/被认证者和认证方法的描述。

结构实例（存储器系统）

参照图10描述第四实施例的结构实例。

第四实施例与第二实施例的不同在于：通过多次复制多个XY[i]而生成的信息项11-2A、11-2B和11-2C还被包括在存储器10的隐藏区域11-2中。

具体地，通过复制第二实施例中的XY[i]而获得的数据在图10中被表示为XY[i,1]、XY[i,2]、...、XY[i,n]，并且XY[i,1]=XY[i,2]=...=XY[i,n]，其中1≤i≤m。另外，XY[1,j]≠XY[2,j]≠...≠XY[m,j]，其中1≤j≤n。

在该例子中，当ECC被添加到XY_E上时，ECC没有添加到XY上。因此，当差错被包括在已从NAND闪存中的单元读出的数据中时，可以认为被NAND闪存用于认证的XY的完整性丢失。然而，在本实施例中，由于还包括通过复制多个XY[i]而生成的信息项11-2A、11-2B和11-2C，因此，校验和与选择模块12-0可通过在复制数据间进行比较来检测差错是否被包括。

因此，本实施例的存储器与第二实施例的不同在于：本实施例还包括校验和与选择模块（校验和与选择）12-0，其适应于通过复制XY[i]而生成的信息项11-2A、11-2B和11-2C。

在图10中，从单元11-2中加载的至少两个XY的数据组用如上所述的相同的预定方法进行比较，并检查是否包括差错。如果包括差错或者如果差错没有被消除，则另一个至少两个XY的数据组被再次加载，并执行类似的检查。重复这个过程直到不包括差错或者直到找到差错可被消除的数据组。当找到这种数据组时，它被用于认证。作为预定方法的例子，可考虑这种方法：加载两个XY，并逐位计算XOR值，然后检查是否所有XOR值都是0。可选地，可考虑这种方法：加载三个或更多个XY，获得差错已通过多数检查（majoritycheck）而逐位消除的XY。另外，虽然XY的所有复制数据在该图中是相同的，但也可以考虑采用这种方法，即事先形成并记录具有复制数据中奇数数据的极性和偶数数据的极性是相反的互补关系的数据。在这种情况下，具有互补关系的两个XY被加载，并逐位地计算XOR值，然后检查是否所有的XOR值都是1。

认证流程

下面参照图11描述根据第四实施例的认证操作。

如图11所示，在第四实施例中，多个XY被多次记录在NAND闪存10的隐藏区域11-2中。

因此，在步骤S15，NAND闪存10读出至少两个XY，比较它们，并通过使用不包括差错的XY执行认证（加载/比较XY）。

有益效果

根据与第四实施例有关的认证者/被认证者和认证方法，上述的（I）至（IV）点可得到改进，并可以至少获得上述的有益效果（1）。

另外，根据第四实施例，通过多次复制多个XY[i]而生成的信息项11-2A、11-2B和11-2C也被包括在存储器10的隐藏区域11-2中。

在这种情况下，当ECC被添加到XY_E上时，ECC不被添加到XY上。因此，当差错包括在已从NAND闪存的单元中读出的数据中时，可以认为被NAND闪存用于认证的XY的完整性丢失。然而，根据第四实施例，由于通过复制多个XY[i]而生成的信息项11-2A、11-2B和11-2C也被包括，因此，校验和与选择模块12-0可通过在复制数据之间进行数据比较来检查是否包括差错。因此，即使在差错被包括在已从存储器10的单元中读出的数据中的情况下，也可以利地防止被存储器10用于认证的XY的完整性丢失。

第五实施例

下面参照图12和图13，给出根据第五实施例的认证者/被认证者和认证方法的描述。

结构实例（存储器系统）

参照图12描述第五实施例的结构实例。第五实施例的结构实例是与第三和第四实施例的结合有关的例子。

如图12所示，第五实施例的NAND闪存10与第四实施例的不同在于：XYsub和XYsub_E的复制数据XYsub[i,j]和XYsub_E[i,j]也被记录在隐藏区域11-2中。

另外，该实施例还包括校验和与选择模块12-0B和适应于上述的数据缓存器12B。

认证流程

接着参照图13描述根据第五实施例的认证操作。

在第五实施例中，XYsub也被多次记录在NAND闪存10中（XYsub[i,j]和XYsub_E[i,j]）。

因此，在步骤S15，NAND闪存10还读出至少两个XYsub，比较它们，并通过使用不包括差错的XYsub执行认证（加载/比较XY和XYsub）。

有益效果

根据与第五实施例有关的认证者/被认证者和认证方法，上述的（I）至（IV）点可得到改进，并可以至少获得上述的有益效果（1）。

另外，根据第五实施例，NAND闪存10还在隐藏区域11-2中记录XYsub和XYsub_E的XYsub[i,j]和XYsub_E[i,j]。

在需要时，本实施例的结构和方法是适用的。

第六实施例

下面参照图14和图15，给出根据第六实施例的认证者/被认证者和认证方法的描述。

结构实例（存储器系统）

参照图14描述第六实施例的结构实例。

同样，在第六实施例中，NAND闪存10包括通过复制多个XY[i]而生成的信息。具体地，通过复制第二实施例中XY[i]而生成的数据在图14中用XY[i,1]、XY[i,2]、...、XY[i,n]表示，XY[i,1]=XY[i,2]=...=XY[i,n]，其中1≤i≤m。另外，XY[1,j]≠XY[2,j]≠...≠XY[m,j]，其中1≤j≤n。

在该例子中，XY数据的复制与第四实施例相同。然而，在第六实施例中，复制数据的比较过程不在NAND闪存10侧执行。相反，比较过程在主机20中执行。在这一点，第六实施例不同于第四实施例。另外，第六实施例与第四实施例的不同还在于主机20包括多数检查模块（多数检查）31。

具体地，根据由主机20指定的i，NAND闪存10加载XY[i,1]、XY[i,2]、...、XY[i,n]中的至少两个，并对每个XY执行上述的认证过程。在这种情况下，相同的Nonce_N和相同的Nonce_H用于每个XY，并且由偏置RNG生成的相同的ν也被应用。

NAND闪存10的传输模块15在其它参数的相同条件下针对多个XY计算多个Z（Z[i,1]、Z[i,2]、...、Z[i,n]），并将它们发送给主机20。

在接收到多个Z（Z[i,1]、Z[i,2]、...、Z[i,n]）后，主机设备通过多数检查模块31执行多数检查，并获取单个Z。在这种情况下，当每个Z由多个比特单元组成时，并且当压缩计算模块的输出由多个比特组成时，多数检查逐位执行。

在获得差错已通过多数检查而被消除的Z后，主机设备执行如上所述的相同判定过程30，从而认证NAND闪存10。

认证流程

下面参照图15描述根据第六实施例的认证操作。

在第六实施例中，NAND闪存10通过使用被多次记录在NAND闪存10中的XY来计算多个Z'，并发送Z'。主机设备对多个Z'执行多数检查，从而获得单个Z并执行认证。

因此，在步骤S17，NAND闪存10向主机20发送所计算的多个结果Z'和j'。

随后，在步骤S18，主机20执行多个Z'的多数检查（多数检查），这与第四实施例不同。

有益效果

根据与第六实施例有关的认证者/被认证者和认证方法，上述的（I）至（IV）点可得到改进，并可以至少获得上述的有益效果（1）。

另外，在第六实施例中，NAND闪存10还包括通过复制多个XY[i]而生成的信息。另外，主机20包括多数检查模块（多数检查）31。

因此，在其中计算资源受限的NAND闪存10中的比较过程的负载可被降低，并且具有足够计算资源的主机20可负责执行比较过程（多数过程）31。因此，有利地，可以抑制NAND闪存10的成本的增加，并可消除差错。

第七实施例

下面参照图16至图17，给出根据第七实施例的认证者/被认证者和认证方法的描述。

结构实例（存储器系统）

参照图16，描述第七实施例的结构实例。第七实施例与第三和第六实施例的结合的例子有关。

如图16所示，NAND闪存10还存储XYsub和XYsub_E的复制数据11-2B和11-1B。类似于上述的第六实施例，多个XY的认证数据Z由计算模块15计算并发送到主机20，多数检查31在主机20中执行。

认证流程

接着，参照图17描述根据第七实施例的认证操作。

在第七实施例中，NAND闪存10通过使用多次记录在NAND闪存10中的XYmain和XYsub计算多个Z'，并发送Z'。主机设备对多个Z'执行多数检查，从而获得单个Z并执行认证。

因此，在步骤S11，主机20发布多次记录的XYmain和XYsub的读出请求（读取XYmain_E和XYsub_E）。

随后，在步骤S12，NAND闪存14读出多次记录的XYmain和XYsub（加载XYmain_E和XYsub_E），并将XYmain和XYsub发送到主机20（XYmain_E和XYsub_E）。

有益效果

根据与第七实施例有关的认证者/被认证者和认证方法，上述的（I）至（IV）可得到改进，并可以至少获得上述的有益效果（1）。

另外，根据第七实施例，NAND闪存10还记录XYsub和XYsub_E的复制数据11-2B和11-1B。与上述的第六实施例一样，多个XY的认证数据Z由计算模块15计算并发送到主机20，多数检查31在主机20中执行。

这样，在需要时，本实施例是可适用的。

第八实施例（媒体ID获取过程）

下面参照图18至图21描述第八实施例。第八实施例涉及在上述的步骤S22中计算媒体ID（MediaID）的各种过程（媒体ID获取过程）。

ID获取过程（1）

ID获取过程（1）在图18中示出。如图18所示，在该例子（1）中，在步骤RS1，对在上述的认证过程中使用的XYmain和XYsub执行单向函数过程（单向函数）。过程的结果被认为是媒体ID。

在这种情况下，作为单向函数过程，可以使用基于诸如SHA-1、SHA-256或AEG-H的密码的单向算术运算。

ID获取过程（2）

ID获取过程（2）在图19中示出。如图19所示，在该例子（2）中，在步骤RS1、RS2中，已在上述认证中使用的XYmain和XYsub还通过使用与KEY_XYmain和KEY_XYsub之一对应的KEY_XY来进行解码过程（解码），其中KEY_XYmain和KEY_XYsub已经在上述的认证过程中在KEY_XYmain_E和KEY_XYsub_E的解密中使用。

随后，在步骤RS3，执行类似的单向函数过程（单向函数），过程的结果被认为是媒体ID。

ID获取过程（3）

ID获取过程（3）在图20中示出。如图20所示，在该例子（3）中，在步骤RS1、RS2，已在上述的认证中使用的XYmain和XYsub还通过使用已经在上述的认证过程中在解密KEY_XYmain_E和KEY_XYsub_E中使用的KEY_XYmain和KEY_XYsub来进行解码过程（解码）。

ID获取过程（4）

ID获取过程（4）在图21中示出。如图21所示，在该例子（4）中，在步骤RS1、RS2，已在上述的认证中使用的XYmain和XYsub还通过使用KEY_XYmain2和KEY_XYsub2来进行解码过程（解码），其中KEY_XYmain2和KEY_XYsub2不同于已经在上述认证过程中在解密KEY_XYmain_E和KEY_XYsub_E中使用的KEY_XYmain和KEY_XYsub。在这种情况下，KEY_XYmain2和KEY_XYsub2可具有相同的值。

第九实施例（媒体ID绑定过程）

下面参照图22和图23描述第九实施例。第九实施例涉及媒体ID的使用方法（媒体ID绑定过程）。

例如，当商业动画内容等被记录在物理媒体上并播放时，可使用这种方法，其中对于物理媒体是唯一的身份信息被用于内容记录时的加密过程，内容被绑定到物理媒体。

在播放内容时，采用这种方法，其中执行基于身份信息的解密过程或检查过程，当已被复制的身份信息与在记录内容时的加密过程中使用的身份信息不一致时，内容的播放停止。物理媒体的例子包括诸如SD卡的可移动媒体和包含在移动电话中的嵌入式存储器等。

在任何情况下，上述方法的目的是当在某一媒体上记录的加密内容已经被非法复制到另一个媒体上时停止播放非法复制的内容。作为用于此目的的信息，可以使用上述的身份信息（媒体ID），其随着媒体的不同而不同。

ID绑定过程（1）

ID绑定过程（1）在图22中示出。如图22所示，在该例子（1）中，执行MAC（消息认证码）生成过程，这用于防止非法复制。

具体地，在步骤BP1，在使用媒体ID作为上述身份信息的方法的例子中，基于用于内容加密的内容秘钥，对媒体ID或其它信息执行MAC生成过程。

随后，在将内容记录在媒体中的装置中，生成MAC，并且所生成的MAC被记录在媒体上。在播放来自媒体的内容的装置中，根据媒体ID或内容秘钥，检查所记录的MAC。当真实性已被确认时，内容被播放。当真实性还未被确认时，应用停止内容的播放的方法。

ID绑定过程（2）

ID绑定过程（2）在图23中示出。如图23所示，在该例子（2）中，媒体ID被用作生成用于内容加密的内容秘钥的信息。

在步骤BP1，在将内容记录在媒体中的装置中，媒体ID和内容秘钥先导（precursor）经历单向函数过程（单向函数）。

在将内容记录在媒体中的装置中，已被所处理的内容秘钥加密的内容被记录。

在播放来自媒体的内容的装置中，所记录的内容秘钥先导和媒体ID经历类似的单向函数过程，从而获取内容秘钥。因此，执行内容的解密和播放。在媒体ID不一致的情况下，即在内容数据已经被非法复制到不同媒体的情况下，所获取的内容秘钥与在内容加密中使用的内容秘钥不一致。因此，内容的解密失败，播放停止。

第十实施例（存储器和存储器/播放主机的例子）

下面参照图24描述第十实施例。第十实施例涉及其中在存储卡（包括NAND芯片）10、记录主机（记录设备）20A和播放主机（播放设备）20B的系统（其是上述实施例的结构的组合）中，执行上述的认证过程，并且通过使用上述的媒体ID，内容在主机20B中播放的例子。

当记录主机（记录设备）20A在存储卡（包括NAND芯片）10中记录内容时，上述实施例中的认证过程首先在存储卡（包括NAND芯片）10与记录主机（记录设备）20A之间执行。在认证过程已被成功执行后，执行上述实施例中的ID获取过程。然后，在上述实施例中已经通过ID绑定过程（1）生成的MAC被记录在存储卡（包括NAND芯片）10中。另外，被在ID绑定过程（1）中使用的内容秘钥加密的内容（加密内容）被记录。另外，内容秘钥自身也以安全形式被记录。在本上下文中，安全形式可以是在存储卡（包括NAND芯片）10中的记录区域中记录的形式，其中记录区域在认证在存储卡（包括NAND芯片）10与记录主机（记录设备）20A之间成功执行后变成可访问的。在本上下文中，认证可以是在本申请中描述的认证，或者可以通过某些其它由存储卡（包括NAND芯片）10拥有的认证功能实现。安全形式的另一个例子可以是用由存储卡（包括NAND芯片）10或记录主机（记录设备）20A拥有的秘钥加密的形式。

当播放主机（播放设备）20B从存储卡（包括NAND芯片）10中读出内容并播放内容时，上述实施例中的认证过程首先在存储卡（包括NAND芯片）10与播放主机（播放设备）20B之间执行。在认证过程已被成功执行后，执行上述实施例中的ID获取过程。然后，在存储卡（包括NAND芯片）10中记录的MAC通过与上述实施例中的ID绑定过程（1）对应的过程验证。然后，内容密钥从存储卡（包括NAND芯片）10中读出，所加密的内容（加密内容）被解密，从而内容被播放。

第十一实施例（存储器和存储器/播放主机的另一个例子）

下面参照图25描述第十一实施例。第十一实施例涉及其中在存储卡（包括NAND芯片）10、记录主机（记录设备）20A和播放主机（播放设备）20B的系统（其是上述实施例的结构的组合）中，执行上述的认证，并通过使用上述的媒体ID在主机20B中播放内容的例子。

当记录主机（记录设备）20A在存储卡（包括NAND芯片）10中记录内容时，上述实施例中的认证过程首先在存储卡（包括NAND芯片）10与记录主机（记录设备）20A之间执行。在认证过程已被成功执行后，执行上述实施例中的ID获取过程。接着，已由上述实施例中的ID绑定过程（1）生成的内容秘钥被记录在存储卡（包括NAND芯片）10中。另外，被已通过ID绑定过程（2）生成的内容秘钥加密的内容（加密内容）被记录。另外，内容秘钥先导本身也以安全形式记录。

在本上下文中，安全形式可以是在存储卡（包括NAND芯片）10中的记录区域中记录的形式，记录区域在认证在存储卡（包括NAND芯片）10与记录主机（记录设备）20A之间成功执行后变成可访问的。在本上下文中，认证可以是在本申请中描述的认证，或者可以通过某些其它由存储卡（包括NAND芯片）10拥有的认证功能实现。安全形式的另一个例子可以是用由存储卡（包括NAND芯片）10或记录主机（记录设备）20A拥有的秘钥加密的形式。

当播放主机（播放设备）20B从存储卡（包括NAND芯片）10中读出内容并播放内容时，上述实施例中的认证过程首先在存储卡（包括NAND芯片）10与播放主机（播放设备）20B之间执行。在认证过程被成功执行后，执行上述实施例中的ID获取过程。然后，内容秘钥通过与上述实施例中的ID绑定过程（2）对应的过程根据在存储卡（包括NAND芯片）10中存储的内容秘钥先导生成。然后，所加密的内容（加密内容）被解密，从而内容被播放。

第十二实施例（存储器、控制器和主机的例子）

下面参照图26描述第十二实施例。第十二实施例涉及可用于上述实施例的NAND闪存10、控制器19和主机20的例子。在该实施例中，SD卡（商标）被用作存储卡的例子。

如图26所示，在该实施例中，示出了连接到存储卡的主机设备的功能模块。各个功能模块可通过硬件或计算机软件或者其组合实现。因此，一般地，各个模块从其功能的观点来描述，以便阐明每个模块如何实现。这种功能是否被执行为硬件或者软件取决于实现的具体模式或者施加在整个系统上的设计限制。本领域的普通技术人员可以在每个具体的实现模式中通过各种方法实现这些功能，但是所有的实现方法都落入本发明的范围。

主机20包括软件211，诸如应用程序或操作系统。软件211由用户指示以在存储卡中写入数据或从存储卡中读出数据。软件211指示文件系统212写入或读取数据。文件系统212是用于管理在作为管理的对象的存储媒体中记录的文件数据的机制。文件系统212在存储器媒体的存储区域中记录管理信息，并通过使用管理信息来管理文件数据。

主机20包括SD接口213。SD接口213包括，用于在主机20与存储卡之间执行接口处理所必需的硬件和软件。主机20经由SD接口213与存储卡进行通信。SD接口213规定用于主机20与存储卡之间的通信所必需的各种协议，并包括一组各种命令，这些命令可由存储卡的SD接口相互识别，并将在后面描述。另外，SD接口213包括硬件结构（引脚的安排、引脚的数量等），其可连接到存储卡的SD接口213。

存储卡包括NAND闪存10和用于控制存储器10的控制器19。当存储卡连接到主机20时，或者当主机20转换到存储卡被插入处于OFF状态的主机20的状态时，存储卡被供电，执行初始化过程，并执行与来自主机20的访问对应的过程。

NAND存储器10以非易失性状态存储数据，并以称为“页面”的单位执行数据读写，其中页面包括多个存储单元。唯一的物理地址被分配给每个页面。另外，存储器10以称为“块”（擦除块）的单位执行数据的擦除，其中块包括多个页面。在某些情况下，一个物理地址被分配给一个物理块单元。

控制器19通过存储器10管理数据的存储状态。存储状态的管理包括管理页面的物理地址（或者物理块）与在该页面中存储的数据的逻辑地址之间的关系，以及管理哪个物理地址表示处于擦除状态（没有数据被写入或者无效数据被存储的状态）的页面（或者物理块）。

控制器19包括SD接口31、MPU32、ROM（只读存储器）33、RAM（随机存取存储器）34和NAND接口35。

SD接口31包括在主机20与控制器19之间执行接口处理所必需的硬件和软件。类似于SD接口213，SD接口31规定使能两者之间的通信的协议，包括一组各种命令，还包括硬件结构（引脚的设置、引脚的数量等）。存储卡（控制器19）经由SD接口31与主机20进行通信。SD接口31包括寄存器36。

MPU32控制存储卡的整体操作。例如，当存储卡被供电时，MPU32将在ROM33中存储的固件（控制程序）读入RAM34中，并执行预定的过程。MPU32根据控制程序在RAM34上创建各种表，或者根据从主机20接收的命令在存储器10上执行预定的过程。

ROM33存储例如由MPU32控制的控制程序。RAM34被用作MPU32的工作区域，临时存储控制程序或各种表。这些表包括转换表（逻辑/物理表），其用于将文件系统12分配给数据的逻辑地址转换成数据实际被存储的页面的物理地址。NAND接口35在控制器19与存储器10之间执行接口处理。

根据所存储的数据的类型，NAND闪存10中的存储区域例如包括系统数据区域、秘密数据区域、受保护数据区域、用户数据区域等。系统数据区域是在存储器10中受到控制器19保护的区域，以便存储控制器19的运行所必需的数据。秘密数据区域存储在加密中使用的秘钥信息、在认证时使用的秘密数据，并且不可从主机20访问。受保护数据区域存储重要数据、安全数据等。用户数据区域可以被主机20随意地访问和使用，并例如存储诸如AV内容文件和图像数据的用户数据。控制器19保护用户数据区域的一部分，并存储控制器19自身的操作所必需的控制数据（例如，逻辑/物理地址转换表）。

虽然已经描述了一些实施例，但这些实施例仅作为例子提出，并不意味着限制本发明的范围。实际上，在此描述的创新的实施例可以体现为各种其它形式；另外，在不脱离本发明的精神的情况下，可以对在此所述的实施例的形式进行各种省略、替换和修改。后附的权利要求及其等同意在覆盖这些形式或修改，其将落入本发明的范围和精神内。

Claims

1.一种被认证者与认证者之间的认证方法，其中，所述被认证者存储多个秘密信息XY和通过加密所述多个秘密信息XY而生成的多个秘密信息XY_E，所述认证者认证所述被认证者，所述方法包括：

由所述认证者对从所述被认证者接收的秘密信息XY_E执行解密过程，并从解密了的秘密信息XY_E中获取所述秘密信息XY；

由所述被认证者接收由所述认证者生成的随机数B，并加载所述秘密信息XY；

由所述被认证者生成随机数A和数据ν，其中ν出现为1的概率为η，η<0.5；

由所述被认证者生成第一随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；

由所述被认证者通过对所述第一随机数D和所述秘密信息XY的至少一部分执行压缩操作来生成第一数据C；

由所述被认证者将根据所述数据ν和所述第一数据C所计算的结果Z发送到所述认证者；

由所述认证者生成第二随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；

由所述认证者通过对所述第二随机数D和所述秘密信息XY的至少一部分执行压缩操作来生成第二数据C；

由所述认证者通过计算所接收的计算结果Z和所生成的第二数据C的加权值来确定所述被认证者的真实性；以及

当所述加权值小于预定值时，由所述认证者认证所述被认证者。

2.如权利要求1所述的方法，其中，所述多个秘密信息XY_E包括纠错码；

所述认证者被配置为对从所述被认证者接收的所述多个秘密信息XY_E执行纠错过程。

3.如权利要求1所述的方法，其中，所述多个秘密信息XY_E被存储在所述被认证者所包括的存储器的ROM区域中；

所述多个秘密信息XY被存储在所述存储器的隐藏区域中。

4.如权利要求3所述的方法，其中，所述被认证者包括控制器，其被配置为控制所述存储器以及访问所述认证者。

5.一种被认证者，包括：

存储器，其被配置为存储多个秘密信息XY和通过加密所述多个秘密信息XY而生成的多个秘密信息XY_E；

第一随机数生成模块，其被配置为生成随机数A；

第二随机数生成模块，其被配置为生成随机数D，其包括所生成的随机数A和所接收的随机数B的至少一部分；

计算模块，其被配置为通过对所述随机数D和从所述存储器加载的所述秘密信息XY的至少一部分执行压缩操作来生成数据C；

数据生成模块，其被配置为生成数据ν，其中ν出现为1的概率为η，η<0.5；以及

逐位加法模块，其被配置为根据所述数据ν和所述数据C计算结果Z；

其中，所计算的结果Z由认证者使用，所述认证者包括通过计算所计算的结果Z与所述数据C的加权值来确定所述被认证者的真实性的判定模块；

当所述加权值小于预定值时，所述被认证者被所述认证者认证。

6.如权利要求5所述的被认证者，其中，所述多个秘密信息XY_E包括纠错码。

7.如权利要求5所述的被认证者，其中，所述多个秘密信息XY_E被存储在所述存储器的ROM区域中；

所述多个秘密信息XY被存储在所述存储器的隐藏区域中。

8.如权利要求5所述的被认证者，还包括：控制器，其被配置为控制所述存储器以及访问所述认证者。

9.一种认证被认证者的认证者，其中所述被认证者被配置为存储多个秘密信息XY和通过加密所述多个秘密信息XY而生成的多个秘密信息XY_E，所述认证者包括：

解密模块，其被配置为使用秘钥对所述多个秘密信息XY_E执行解密过程，并从解密了的秘密信息XY_E中获取所述秘密信息XY；

第一随机数生成模块，其被配置为生成随机数B；

第二随机数生成模块，其被配置为生成随机数D，其包括所生成的随机数B和从所述被认证者接收的随机数A的至少一部分；

计算模块，其被配置为通过对所述随机数D和所述秘密信息XY的至少一部分执行压缩操作来生成数据C；以及

判定模块，其被配置为通过使用所生成的数据C和从所述被认证者接收的计算结果Z以计算所生成的数据C和所述计算结果Z的加权值来确定所述被认证者的真实性；

其中，当所述加权值小于预定值时，所述认证者认证所述被认证者。

10.如权利要求9所述的认证者，其中，所述多个秘密信息XY_E包括纠错码；

所述认证者还包括纠错模块，其被配置为对所述多个秘密信息XY_E执行纠错过程。

11.如权利要求9所述的认证者，其中，所述多个秘密信息XY_E被存储在所述被认证者所包括的存储器的ROM区域中；

所述多个秘密信息XY被存储在所述存储器的隐藏区域中。

12.如权利要求11所述的认证者，其中，所述被认证者包括控制器，其被配置为控制所述存储器以及访问所述认证者。