FR3007231A1 - Appareil serveur, systeme de communication, et procede d'emission de donnees - Google Patents

Abstract

Appareil serveur dans lequel : une unité d'émission (113) émet des données vers des dispositifs; un gestionnaire de distribution distribue les données aux dispositifs ; un gestionnaire de données (112) gère un ensemble de données tel qu'émis ; un gestionnaire de révocation (114) détecte, à partir de l'ensemble de données, des données qui satisfont à une condition, et invalide les données détectées ; et un gestionnaire de filtre (111) met à jour et distribuer aux dispositifs un filtre ayant une longueur binaire prédéterminée chaque fois que des données sont invalidées, en établissant une d'une première valeur et d'une seconde valeur pour chacun des bits dans le filtre lorsqu'un ensemble de données révoqué est projeté sur le filtre ; le gestionnaire de données identifie des données autres que les données invalidées, ayant une projection sur au moins un des bits dont la valeur a changé entre avant et après la mise à jour, et ayant la première valeur pour tous les bits projetés sur le filtre mis à jour et réémet des données vers le dispositif ayant les données identifiées.

Description

DOMAINE Les modes de réalisation décrits ici concernent un appareil serveur, un système de communication, et un procédé 5 d'émission de données. ARRIERE-PLAN Il existe une technique dans laquelle un filtre de Bloom généré à partir d'une liste de révocation de certificat est 10 distribué d'une autorité de certification à chaque noeud au lieu de la liste de révocation de certificat. Selon cette technique, chaque noeud teste si un certificat présenté par un certain noeud est valide, avec l'utilisation du filtre de Bloom. A ce moment-là, si un certain certificat de 15 certificats distribués est révoqué, un faux-positif se produit dans le test en utilisant le filtre de Bloom, en raison des caractéristiques du filtre de Bloom. C'est-à-dire, un certificat qui est traité comme révoqué en dépit du fait que le certificat ne soit pas réellement révoqué se produit. 20 Par conséquent, dans un cas où le certificat présenté par le certain noeud est déterminé comme positif par le filtre de Bloom, chaque noeud a besoin d'interroger l'autorité de certification (appareil serveur) si ce certificat est vraiment révoqué (n'est pas faux-positif), et cela cause des problèmes 25 d'augmentations de la charge de bande de fréquences utilisée par l'appareil serveur et une charge sur l'appareil serveur. BREVE DESCRIPTION DES DESSINS La figure 1 est un schéma de principe d'un appareil 30 serveur selon un premier mode de réalisation ; la figure 2 est un schéma de principe d'un dispositif selon le premier mode de réalisation ; la figure 3 est un schéma illustrant un exemple de configuration d'ensemble d'un système de communication comprenant un appareil serveur et une pluralité de dispositifs selon le premier mode de réalisation ; la figure 4 est un schéma illustrant un exemple spécifique de test selon le premier mode de réalisation ; la figure 5 est un organigramme d'une opération selon le premier mode de réalisation ; la figure 6 est un schéma de principe d'un appareil 10 serveur selon un troisième mode de réalisation ; et la figure 7 est un schéma de principe d'un dispositif selon le troisième mode de réalisation. DESCRIPTION DETAILLEE 15 Selon un mode de réalisation, est fourni un appareil serveur comprenant : une unité de communication, une unité d'émission de données, un gestionnaire de distribution de données, un gestionnaire de données, un gestionnaire de révocation et un gestionnaire de filtre. 20 L'unité de communication se connecte à un réseau sans fil dans lequel une pluralité de dispositifs sont connectés. L'unité d'émission de données émet des données vers les dispositifs dans le réseau sans fil, respectivement. Le gestionnaire de distribution de données distribue les 25 données émises par l'unité d'émission de données aux dispositifs, respectivement. Le gestionnaire de données gère un ensemble de données comprenant les données émises par l'unité d'émission de données. 30 Le gestionnaire de révocation détecte, à partir de l'ensemble de données, des données qui satisfont à une condition prédéterminée et invalide les données détectées.

Le gestionnaire de filtre gère un ensemble de données révoqué qui est un ensemble d'éléments de données invalidé par le gestionnaire de révocation ; met à jour un filtre ayant une longueur binaire prédéterminée chaque fois que le gestionnaire 5 de révocation invalide des données, en établissant une première valeur pour un bit projeté lorsque l'ensemble de données révoqué est projeté sur le filtre selon une relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté dans le filtre ; et 10 distribue le filtre après la mise à jour aux dispositifs dans le réseau. Le gestionnaire de données : identifie, à partir de l'ensemble de données, des données cibles de réémission autres que les données invalidées par le gestionnaire de révocation, 15 les données cibles de réémission ayant une projection sur au moins un des bits dont la valeur binaire est passée de la seconde valeur à la première valeur entre avant et après la mise à jour du filtre, et ayant la première valeur pour tous les bits projetés lorsque les données cibles de réémission 20 sont projetées sur le filtre après la mise à jour ; et pour le dispositif ayant les données cibles de réémission, réémet des données ayant la seconde valeur pour au moins un des bits projetés lorsque ces données sont projetées sur le filtre après la mise à jour, au moyen de l'unité d'émission de 25 données, et distribue des données réémises au dispositif. Ci-après, des modes de réalisation de la présente invention sont décrits en référence aux dessins. (Premier mode de réalisation) Tout d'abord, les grandes lignes du présent mode de 30 réalisation sont décrites. Un système est supposé dans lequel un appareil serveur comme une autorité de certification émet et gère un certificat pour chaque dispositif (appareil de communication). A noter que, pour chaque dispositif, il y a un certificat installé en usine du dispositif même et un certificat (certificat de session) pour participer à un réseau sécurisé configuré par des dispositifs fiables. En général, le certificat du dispositif même est utilisé pour la 5 certification et similaire au moyen d'une autorité de certification différente concernant un vendeur de dispositif (une autorité de certification différente d'une autorité de certification 101 dépendante du présent système). Des certificats dans le présent mode de réalisation visent le 10 certificat de session, et un procédé de certification d'un dispositif utilisant le certificat du dispositif même n'est pas l'essence du présent mode de réalisation, et ainsi n'est pas décrit en détail. Chaque dispositif géré par l'appareil serveur constitue 15 un réseau comprenant chaque dispositif comme un noeud, et l'appareil serveur est connecté au réseau. Dans un cas où l'autorité de certification révoque un certain certificat de session et met à jour un filtre de Bloom d'une liste de révocation de certificat, il est possible qu'un autre 20 certificat de session valide puisse être traité comme révoqué par le filtre de Bloom après la mise à jour, en raison de faux-positif. Dans ce cas, l'appareil serveur réémet et distribue un nouveau certificat de session qui n'est pas déterminé comme 25 positif par le filtre de Bloom après la mise à jour, à un dispositif qui détient le certificat de session valide qui devient faux-positif. Lorsque chaque dispositif reçoit, d'un autre dispositif (noeud), une demande de participation au réseau et détermine si permettre ou rejeter la participation, 30 chaque dispositif teste un certificat de session présenté par l'autre noeud sur la base d'une liste de révocation de certificat à filtre de Bloom fournie à l'avance par l'appareil serveur. Dans un cas où le certificat de session présenté est déterminé comme positif lors du test, le dispositif qui reçoit la demande de participation rejette uniformément la de le le participation au réseau de noeuds en utilisant ce certificat session. Dans l'intervalle, si le dispositif ayant 5 certificat de session qui devient faux-positif présente certificat de session réémis, le certificat de session réémis est déterminé comme négatif, et la participation du dispositif est ainsi permise. De cette façon, dans le présent mode de réalisation, le 10 dispositif qui reçoit la demande de participation n'a pas besoin d'interroger l'appareil serveur si oui ou non le certificat de session présenté par un autre dispositif est vraiment révoqué (n'est pas faux-positif). En conséquence, dans la gestion de certificat en utilisant la liste de 15 révocation de certificat à filtre de Bloom, l'oppression d'une bande utilisée par l'appareil serveur peut être réduite, et une charge sur l'appareil serveur peut être réduite. A noter que le filtre de Bloom est décrit en détail dans Broder et al., Network Applications of Bloom Filters: A Survey 20 and other literatures, et par conséquent une simple description de celui-ci est uniquement donnée ici. Le filtre de Bloom est un filtre pour tester de façon probabiliste si oui ou non des données données (élément) d sont contenues dans un ensemble de données X (c.-à-d., un 25 membre d'un ensemble de données X), par le biais d'une application d'une fonction de hachage. Des procédures prédéterminées sont effectuées sur un filtre de Bloom BF-X généré à partir de l'ensemble de données X, moyennant quoi si oui ou non les données données d sont 30 contenues dans l'ensemble de données X peut être « testé ». A la suite des procédures, l'un quelconque de deux résultats (positif et négatif) est obtenu.

Dans un cas où le résultat de négatif est obtenu, il n'y a aucune possibilité que les données d soient contenues dans l'ensemble de données X. En revanche, dans un cas où le résultat de positif est obtenu, il y a une possibilité élevée 5 que les données d soient contenues dans l'ensemble de données X. A savoir, même si le résultat de positif est obtenu, les données d ne sont pas nécessairement contenues dans l'ensemble de données X. Un cas où le résultat de positif est obtenu en dépit du fait que les données d ne soient pas contenues dans 10 l'ensemble de données X est appelé faux-positif. Un procédé de génération du filtre de Bloom est comme suit. Les paramètres suivants sont utilisés pour générer le filtre de Bloom. 15 « m » : La longueur binaire (longueur de filtre) d'une table de bits formant le filtre de Bloom « k » : Le nombre (phase) de fonctions de hachage indépendantes utilisées pour le filtre de Bloom (1) Procédures pour générer le filtre de Bloom 20 1. Une séquence de bits F ayant la longueur « m » est préparée, et 0 est établi pour chaque bit. 2. « k » fonctions de hachage indépendantes « hn() » (où « n » = 1 « k »), dont la plage est [1, m], sont préparées. Les « k » fonctions de hachage indépendantes 25 « hn() » peuvent être préparées en donnant des constantes (sel) différentes les unes des autres au même algorithme de hachage. 3. Le traitement suivant est effectué sur chaque élément « xi » dans l'ensemble de données d'entrée X. 30 (a) Etablir 1 pour « p ». (b) Si « p » > « k », terminer le traitement. (c) Calculer « idx » hp(xi) » en utilisant les fonctions de hachage « hp() » préparées en 2. (d) Etablir 1 pour l'idxième bit dans la séquence de bits F (dans un cas où l'idxième bit est déjà 1, la valeur binaire est maintenue à 1 sans aucun changement). (e) Ajouter 1 à « p ». (f) Retourner à la procédure 3. (b). En bref, pour chaque élément « xi » dans l'ensemble de données d'entrée X, la valeur de hachage « idx » est obtenue à partir de chacune des fonctions de hachage « k », et 1 est établi pour l'idxième bit dans la séquence de bits F (dans un cas où l'idxième bit est déjà 1, la valeur binaire est maintenue à 1 sans aucun changement), moyennant quoi le filtre de Bloom est généré. Ensuite, le test (test de filtre) quant à si oui ou non les données d sont contenues dans l'ensemble de données 15 d'entrée X est effectué dans les procédures suivantes. (2) Procédures pour le test de filtre 1. Etablir 1 pour « p ». 2. Si « p » > « k », retourner positif. 3. Pour les données d à tester, calculer « idx » 20 « hp(d) ». 4. Tester l'idxième bit dans la séquence de bits F. Si l'idxième bit est 0, retourner négatif. 5. Ajouter 1 à « p ». 6. Retourner à la procédure 2. 25 En bref, les données d sont entrées dans chacune des « k » fonctions de hachage. Si tous les bits correspondant aux sorties respectives « idx » des fonctions de hachage sont 1, le positif est retourné. Si au moins l'un quelconque des bits correspondant aux sorties respectives « idx » des fonctions de 30 hachage est 0, le négatif est retourné. Ici, un cas où un faux-positif se produit, à savoir, un cas où le positif est retourné dans la procédure 2. en dépit du fait que les données d ne soient pas contenues dans l'ensemble de données X est un cas où tous les bits correspondant aux sorties respectives « idx » des fonctions de hachage s'avèrent être 1. Par exemple, un filtre de Bloom BF-Y généré à partir d'un ensemble de données Y comprenant des données A et des données B est examiné. Des positions binaires de 1 dans le filtre de Bloom BF-Y, à savoir, des positions obtenues en calculant un OU entre des positions binaires de 1 basées sur les données A et des positions binaires de 1 basées sur les données B peuvent comprendre des positions binaires de 1 basées sur les données d. Dans un tel cas, si les données d sont testées en utilisant le filtre de Bloom BF-Y, un faux-positif se produit. Une description simple du filtre de Bloom est donnée ci-dessus.

A noter que, dans le présent mode de réalisation, le filtre de Bloom est utilisé comme un filtre, mais c'est simplement un exemple. N'importe quel algorithme peut être adopté du moment que l'algorithme projette des données fournies sur une table de bits (ou un filtre) ayant une longueur prédéterminée sur la base d'une relation de projection définitive. Plus précisément, n'importe quel algorithme peut être adopté du moment qu'il s'agisse d'un algorithme qui établit 1 (première valeur) pour des bits sur lesquels des données sont projetées sur la base de la relation de projection définitive et établissant 0 (seconde valeur) pour des bits sur lesquels les données ne sont pas projetées (c.-à-d. des bits différents des bits de projection). Il est également possible d'adopter un algorithme pour la projection de données dans laquelle des données non entières mais, par exemple, uniquement des bits « X » inférieurs sont projetés sur la base de la relation de projection définitive. La figure 1 est un schéma de principe de l'appareil serveur selon le présent mode de réalisation.

L'appareil serveur comprend un nouveau gestionnaire de révocation 114, un gestionnaire de liste de révocation de certificat à filtre de Bloom (gestionnaire de filtre) 111, un gestionnaire de certificat (gestionnaire de données) 112, une table de correspondance bit-certificat 115, une unité d'émission de certificat (unité d'émission de données) 113, un gestionnaire de certificat de dispositif (gestionnaire de distribution de données) 116 et une unité de communication 117.

Le nouveau gestionnaire de révocation 114 reçoit une demande de révocation (nouvelle demande de révocation) sur un certificat de session, et notifie au gestionnaire de liste de révocation de certificat à filtre de Bloom 111 que le certificat de session est un certificat révoqué. Par exemple, la nouvelle demande de révocation peut être entrée par un utilisateur depuis une interface utilisateur fournie à l'appareil serveur, peut être effectuée par l'utilisateur à l'appareil serveur via le réseau, et peut être émise automatiquement lorsqu'une condition prédéterminée est satisfaite. Le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 détient une liste de révocation de certificat qui est une liste de certificats révoqués. De plus, le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 génère un filtre de Bloom, qui peut être appelé « liste de révocation de certificat à filtre de Bloom (BFCRL) » à partir de la liste de révocation de certificat selon un algorithme de filtre de Bloom, et détient la liste de révocation de certificat à filtre de Bloom.

Chaque fois qu'un certificat révoqué se produit nouvellement, la liste de révocation de certificat est mise à jour en ajoutant le certificat révoqué à la liste de révocation de certificat, et la liste de révocation de certificat à filtre de Bloom est également mise à jour. Pour cette mise à jour, le certificat révoqué qui est nouvellement révoqué peut être reflété dans la liste de révocation de certificat à filtre de Bloom à ce moment-là (mise à jour de différence), et la liste de révocation de certificat à filtre de Bloom peut être regénérée à partir de la liste de révocation de certificat entière après l'ajout. Celui-là a une efficacité de traitement plus élevée. Ici, le nouveau gestionnaire de révocation 114 teste si l'un quelconque des certificats de session qui ne sont pas révoqués actuellement (qui ne sont pas enregistrés dans la liste de révocation de certificat) devient faux-positif à la suite du nouvel enregistrement du certificat révoqué dans la liste de révocation de certificat à filtre de Bloom. A noter que des informations concernant des certificats de session qui ont été émis jusqu'alors sont gérées par le gestionnaire de certificat 112. Dans un cas où l'un quelconque des certificats de session devient nouvellement faux-positif, le nouveau gestionnaire de révocation 114 rapporte le certificat de session au gestionnaire de certificat de dispositif 116. Un exemple du procédé de test est décrit plus loin. A noter que le nouveau gestionnaire de révocation 114 peut créer et gérer une liste de certificats de session déterminés comme faux-positifs (liste de certificats faux-positifs). La liste de certificats faux-positifs peut être utilisée pour tester si l'un quelconque des certificats de session devient faux-positif. L'unité d'émission de certificat 113 reçoit une nouvelle demande d'émission, et émet nouvellement un certificat de session. Le certificat de session est une séquence d'octets ou une séquence de bits qui est calculée selon un certain algorithme sur la base d'un nombre aléatoire généré par un générateur de nombres aléatoires. L'unité d'émission de certificat 113 teste si le certificat de session nouvellement émis est positif en référence à la liste de révocation de certificat à filtre de Bloom gérée par le gestionnaire de liste de révocation de certificat à filtre de Bloom 111. Si le certificat de session nouvellement émis est positif, l'unité d'émission de certificat 113 élimine le certificat de session. L'unité d'émission de certificat 113 génère de façon répétitive un certificat de session jusqu'à ce qu'un certificat de session qui ne devient pas positif soit obtenu.

Le gestionnaire de certificat 112 gère une liste de certificats de session qui ont été émis jusqu'à alors par l'unité d'émission de certificat 113. De plus, le gestionnaire de certificat 112 génère et gère, pour chaque bit dans la liste de révocation de certificat à filtre de Bloom, une liste de certificats de session dans laquelle le bit est 1 (table de correspondance de bit-certificat 115). « Le bit est 1 » signifie ayant une projection sur le bit. C'est-à-dire, le certificat de session est projeté pour chacune des « k » fonctions de hachage, et, si une valeur d'un bit indiquée par une valeur (indice) de chacune d'une ou plusieurs fonction de hachage est 1 dans la liste de révocation de certificat à filtre de Bloom, le certificat de session est associé au(x) bit(s) ou à un(des) certain(s) nombre(s) indice(s) indiquant le(s) bit(s). A noter que, en cas d'utilisation des « k » fonctions de hachage, le nombre maximum de bits cibles de projection est « k » (un certificat peut être projeté sur le même bit à partir d'une pluralité de fonctions de hachage). Maintenant, une description est donnée d'un exemple du procédé de test de si l'un quelconque des certificats de session devient faux-positif à la suite de l'enregistrement du certificat révoqué dans la liste de révocation de certificat à filtre de Bloom.

Par exemple, la liste de révocation de certificat à filtre de Bloom avant l'enregistrement du certificat révoqué est comparée à la liste de révocation de certificat à filtre de Bloom après l'enregistrement du certificat révoqué, moyennant quoi des bits qui passent nouvellement de 0 à 1 sont identifiés. Il est fait référence à la table de correspondance bit-certificat 115 du gestionnaire de certificat 112 pour chaque bit identifié, et un certificat de session associé au bit est détecté. Les certificats de session détectés respectivement pour les bits identifiés sont testés en référence à la liste de révocation de certificat à filtre de Bloom après l'enregistrement du certificat révoqué, et si l'un quelconque des certificats de session devient positif est testé. Si l'un quelconque des certificats de session devient positif, le certificat de session est déterminé comme faux-positif. A noter que, pour le certificat de session qui est déterminé comme faux-positif au cours du test pour chaque bit identifié, le test pour le bit peut être omis à ce stade même si ce certificat de session est en outre associé à un autre bit. Selon un autre exemple du procédé de test, il est testé si chaque bit (correspondant à un certificat de session nouvellement révoqué) dans la liste de révocation de certificat à filtre de Bloom avant l'enregistrement est déjà 1. Des bits qui doivent encore devenir 1 (qui sont toujours 0) sont identifiés. Un certificat de session correspondant à chaque bit identifié est identifié en référence à la table de correspondance bit-certificat 115. Il est testé si le certificat de session identifié est positif en référence à la liste de révocation de certificat à filtre de Bloom après l'enregistrement. Si un quelconque certificat de session est positif, le certificat de session est déterminé comme faux-positif.

Les deux procédés de test sont décrits ci-dessus comme de simples exemples, et d'autres procédés peuvent également être adoptés. Le gestionnaire de certificat de dispositif 116 gère un certificat installé dans chaque dispositif. A savoir, le gestionnaire de certificat de dispositif 116 gère une correspondance entre chaque dispositif et le certificat de session installé dans le dispositif. Lorsqu'un nouveau dispositif est enregistré, le gestionnaire de certificat de dispositif 116 demande à l'unité d'émission de certificat 113 d'émettre un nouveau certificat de session, et installe le certificat de session émis par l'unité d'émission de certificat 113 dans le dispositif. A noter que, comme décrit ci-dessus, l'unité d'émission de certificat 113 génère de façon répétitive un certificat de session jusqu'à ce qu'un certificat de session qui ne devient pas positif en référence à la liste de révocation de certificat à filtre de Bloom soit obtenu, et sort le certificat de session qui ne devient pas positif, vers le gestionnaire de certificat de dispositif 116.

A noter que, dans un cas où un certificat de session qui devient positif est généré, le certificat de session est supprimé. De plus, dans un cas où un certificat de session qui devient faux-positif est rapporté par le nouveau gestionnaire de révocation 114, le gestionnaire de certificat de dispositif 116 demande à l'unité d'émission de certificat 113 d'émettre un nouveau certificat de session. Le gestionnaire de certificat de dispositif 116 installe le certificat de session émis par l'unité d'émission de certificat 113 dans un dispositif ayant le certificat de session faux-positif. Le dispositif peut utiliser le certificat de session nouvellement installé par la suite au lieu du certificat de session faux-positif.

L'unité de communication 117 communique de manière sans fil avec un dispositif (appareil de communication) qui existe dans une plage communicable. L'unité de communication 117 transmet, au dispositif, un certificat de session à installer 5 dans le dispositif. De plus, si le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 génère ou met à jour la liste de révocation de certificat à filtre de Bloom, l'unité de communication 117 distribue la liste au dispositif. A un dispositif qui existe en dehors de la plage communicable, 10 l'unité de communication 117 distribue le certificat de session et la liste, via le dispositif qui existe dans la plage communicable. La figure 2 est un schéma de principe du dispositif comme l'appareil de communication selon le présent mode de 15 réalisation. Le dispositif comprend un stockage de liste de révocation de certificat à filtre de Bloom 211, un récepteur de participation au réseau 212, une unité de communication 214, et un contrôleur de réseau 213. 20 L'unité de communication 214 communique de manière sans fil avec un appareil (l'appareil serveur, un autre dispositif ou les deux) qui existe dans une plage communicable. De plus, l'unité de communication 117 a une fonction de relais de communication entre des dispositifs ou entre le dispositif et 25 l'appareil serveur. L'unité de communication 214 reçoit la liste de révocation de certificat à filtre de Bloom générée par l'appareil serveur directement de l'appareil serveur ou via un autre dispositif, et transmet la liste au stockage de liste de 30 révocation de certificat à filtre de Bloom 211. Le stockage de liste de révocation de certificat à filtre de Bloom 211 stocke la liste reçue à l'intérieur, ou met à jour la liste stockée de façon interne avec la liste reçue.

Le récepteur de participation au réseau 212 reçoit une demande de participation au réseau d'un autre dispositif via l'unité de communication 214. Le récepteur de participation au réseau 212 teste un certificat de session présenté par le dispositif qui effectue la demande de participation, sur la base de la liste de révocation de certificat à filtre de Bloom dans le stockage de liste de révocation de certificat à filtre de Bloom 211, et détermine si le certificat de session est positif ou négatif.

Dans un cas où le certificat de session est déterminé comme positif, le contrôleur de réseau 213 détermine de rejeter la participation du dispositif qui effectue la demande de participation, et notifie au dispositif que la participation est rejetée. En revanche, dans un cas où le certificat de session est déterminé comme non positif (négatif), le contrôleur de réseau 213 permet la participation du dispositif, et effectue un traitement pour connecter le dispositif au réseau. C'est-à-dire, le contrôleur de réseau 213 établit un trajet de communication avec le dispositif, et effectue également des réglages de relais tel que nécessaire. Ci-après, un exemple de configuration spécifique du présent mode de réalisation est décrit. La figure 3 illustre un exemple de configuration d'ensemble d'un système comprenant un appareil serveur et une 25 pluralité de dispositifs selon le premier mode de réalisation. Le présent système est configuré comme un réseau sans fil 301 comprenant un appareil serveur 101 comme une autorité de certification et des dispositifs 201A, 201B, 201C, 201D, 201E, 201F, 201G, et 201H certifiés et autorisés par l'appareil 30 serveur 101. A noter que, comme décrit ci-dessus, pour chaque dispositif, il y a un certificat installé en usine du dispositif même et un certificat (certificat de session) pour participer à un réseau sécurisé configuré par des dispositifs fiables. Dans le présent mode de réalisation, un procédé de certification d'un dispositif utilisant le certificat du dispositif même, qui n'est pas décrit en détail, implique 5 généralement la certification et similaire au moyen d'une autorité de certification différente concernant un vendeur de dispositif (une autorité de certification différente de l'autorité de certification 101 dépendante du présent système). De plus, le certificat de session est émis par 10 l'autorité de certification 101 dépendante du système. Chaque dispositif comprend une unité de permission (correspondant au récepteur de participation au réseau 212) pour permettre une demande de participer au présent système de réseau d'un autre dispositif. Dans un cas où une signature du 15 certificat de session présenté par un autre dispositif peut être testée de façon certaine en utilisant une clé publique de l'autorité de certification 101 et où le certificat de session présenté n'est pas déterminé comme positif (révoqué) en référence à la liste de révocation de certificat à filtre de 20 Bloom qui lui est distribuée, l'unité de permission permet l'accès au réseau de l'autre dispositif qui présente le certificat de session. A noter que des exemples d'un tel système de réseau comprenant les dispositifs et l'autorité de certification 25 comprennent un réseau (réseau de voisinage (NAN pour neighborhood area network)) dans lequel des dispositifs tels que des compteurs intelligents sont disposés afin de réaliser une communication multi-bond sans fil. Le NAN comprend un concentrateur ayant une fonction de 30 l'autorité de certification et une pluralité de dispositifs ayant chacun une fonction de relais. Un dispositif qui existe au niveau d'une distance communicable de manière sans fil dans une plage donnée depuis le concentrateur relaie la communication sans fil vers un autre dispositif, et la communication sans fil est relayée même entre une pluralité de dispositifs qui ne peuvent pas communiquer avec le concentrateur, moyennant quoi la communication de tous les dispositifs qui participent au réseau est possible. Dans l'intervalle, un trajet de communication entre un dispositif et un dispositif est fréquemment commuté conformément à un changement d'environnements et similaire. Dans une configuration qui peut être conçue lorsqu'un dispositif commute son trajet, un dispositif de destination de commutation détermine si permettre la commutation (c'est-à-dire, détermine si permettre l'accès au réseau) sur la base d'un certificat de session du dispositif. A ce moment-là, le mécanisme décrit dans le présent mode de réalisation est appliqué, moyennant quoi la communication avec le concentrateur peut être minimisée (idéalement zéro) lors d'une telle commutation. L'autorité de certification 101 gère la liste de révocation de certificat à filtre de Bloom ayant la longueur « m » et la phase « k » en plus de la liste de révocation de certificat normale. Ceci est réalisé par le gestionnaire de liste de révocation de certificat à filtre de Bloom 111. En outre, des certificats de session qui ont été émis par l'autorité de certification 101 et tombent dans une période valide ou des certificats de session qui tombent dans une période obtenue en ajoutant une certaine marge à la période valide sont gérés par le gestionnaire de certificat 112. A noter que des certificats de session qui tombent dans la période valide mais sont révoqués en réponse à des demandes de révocation sont gérés par le gestionnaire de liste de révocation de certificat à filtre de Bloom 111. Des certificats de session qui tombent actuellement dans la période valide et ne sont pas révoqués peuvent être identifiés en obtenant une différence entre les deux. Un nouveau certificat de session est émis par l'unité d'émission de certificat 113. Un certificat de session est révoqué par le nouveau gestionnaire de révocation 114. De plus, l'autorité de certification 101 gère un certificat de session à installer dans chaque dispositif, au moyen du gestionnaire de certificat de dispositif 116. Chaque dispositif a une fonction permettant de recevoir 10 la liste de révocation de certificat à filtre de Bloom de l'autorité de certification 101 ou d'un dispositif similaire voisin et permettre une session (accès au réseau) d'un dispositif demandant la participation en utilisant cette liste. 15 Chaque dispositif a également une fonction permettant de recevoir un certificat de session installé par l'autorité de certification 101 par le biais d'un trajet de communication dédié à la certification sécurisé entre le dispositif et l'autorité de certification 101 (par exemple, un trajet de 20 communication indirect utilisant RFC6345{PANA Relay Element (Elément Relais PANA)}). Ici, comme décrit ci-dessus, l'autorité de certification 101 gère des certificats de session valides qui ont été émis, et il y a des dispositifs correspondant respectivement aux 25 certificats de session. Chaque dispositif (noeud) qui participe au réseau sécurisé est certifié et autorisé pour une nouvelle participation à n'importe quel point temporel dans le passé, et un certificat de session individuel est délivré au dispositif. La reparticipation de dispositif comprenant la 30 commutation de trajet peut être réalisée facilement en utilisant le certificat de session. Par exemple, dans un cas où une perturbation radio est causée par un obstacle et où une déconnexion temporaire se produit, un processus de reparticipation peut être requis. Même dans ce cas, la reparticipation peut être facilement permise entre des dispositifs en présentant le certificat de session sans communiquer avec le concentrateur.

Dans un système distribué, particulièrement, un système distribué concernant une communication multibond, un canal existe dans de nombreux cas pour partager des informations dans le réseau entier par le biais d'une diffusion répétitive (ou (un schéma appelé) trickle multicast). La liste de 10 révocation de certificat à filtre de Bloom générée par le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 peut être partagée par tous les dispositifs qui participent au réseau sécurisé, par le biais d'un tel canal d'échange d'informations. 15 A noter que, pour la mise à jour de la liste de révocation de certificat à filtre de Bloom, la table de bits entière peut être transmise, et seule une différence dans la table de bits peut être mise à jour. Afin de réaliser la mise à jour de différence, une gestion de version de la liste de 20 révocation de certificat à filtre de Bloom installée dans chaque dispositif est nécessaire, et par conséquent le traitement est plus compliqué. Avec l'utilisation de la liste de révocation de certificat à filtre de Bloom décrite dans le présent mode de 25 réalisation, si permettre ou non la reparticipation d'un dispositif certifié peut être accompli en testant seulement la signature du certificat de session présenté par le dispositif demandant la participation et en testant le certificat de session sur la base de la liste de révocation de certificat à 30 filtre de Bloom. A noter que le test de la signature n'est pas l'essence du présent mode de réalisation, et par conséquent une description complémentaire de celui-ci est omise.

Jusqu'à présent, il a été nécessaire d'interroger l'autorité de certification si un certificat de session qui devient positif en référence à la liste de révocation de certificat à filtre de Bloom est réellement positif (à savoir, révoqué) ou faux-positif (à savoir, non révoqué). Par conséquent, il y a eu des problèmes selon lesquels une bande de communication de l'autorité de certification est opprimée et une charge sur l'autorité de certification augmente. Par comparaison, dans le présent mode de réalisation, un nouveau certificat de session peut être escompté être émis pour un certificat de session actuel qui est déterminé comme faux-positif par l'autorité de certification, et par conséquent un certificat de session qui est déterminé comme positif dans le test de filtre d'un dispositif peut être traité uniformément comme révoqué. En conséquence, la fréquence d'interrogation de l'autorité de certification peut être réduite. Plus précisément, une utilisation de la bande de fréquences utilisée par le concentrateur qui est la plus précieuse dans de nombreux cas peut être économisée.

Il est supposé que, dans un tel système, un certificat de session ait besoin d'être révoqué en raison, par exemple, d'un vol de dispositif. A ce moment-là, dans l'autorité de certification 101, le nouveau gestionnaire de révocation 114 reçoit une nouvelle demande de révocation sur le certificat de session à révoquer, et le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 est notifié à cet effet. Le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 ajoute le certificat de session correspondant à la nouvelle demande de révocation à la liste de révocation de certificat, et met à jour la liste de révocation de certificat à filtre de Bloom. Le nouveau gestionnaire de révocation 114 teste si l'un quelconque des certificats de session valides qui ont été émis devient faux-positif à la suite de la mise à jour de la liste de révocation de certificat à filtre de Bloom. Par exemple, la liste de révocation de certificat à filtre de Bloom avant l'enregistrement de révocation est comparée à la liste de révocation de certificat à filtre de Bloom après l'enregistrement de révocation, moyennant quoi des bits qui passent de 0 à 1 par le biais de l'enregistrement sont détectés. Il est testé si chaque certificat de session correspondant à chaque bit détecté dans la table de correspondance bit-certificat 115 devient positif en référence à la liste de révocation de certificat à filtre de Bloom après l'enregistrement. Si un quelconque certificat de session qui devient positif est détecté, la détermination du certificat de session est faux-positif.

Ci-après, un exemple spécifique du test est décrit en référence à la figure 4. Pour faciliter la description, la figure 4 illustre un cas où la longueur binaire « m » de la table de bits formant le filtre de Bloom est 8 et où le nombre (phase) « k » de fonctions de hachage indépendantes utilisées pour le filtre de Bloom est 1. Des certificats de session Cl, C2, et C3 sont créés et installés dans des dispositifs Ml, M2, et M3. Ces certificats de session sont affectés chacun à un bit du filtre de Bloom (parce que « k » = 1).

Il est supposé ici que C2 et C3 sont affectés au même bit (bit n° 3) et que Cl est affecté à un bit n° 1. Un état de cette affectation est illustré à gauche de la figure. 4. « h() » représente une fonction de hachage. La plage de la fonction de hachage est de 0 à 7. Si une séquence d'octets de Cl est entrée dans la fonction de hachage, 1 est sorti, et par conséquent Cl est affecté au bit n° 1 (le deuxième bit à partir de la tête). De façon similaire, si des séquences d'octets de C2 et C3 sont entrées dans la fonction de hachage, la même valeur 3 est sortie, et par conséquent C2 et C3 sont affectés au bit n° 3 (le quatrième bit à partir de la tête). En conséquence, des valeurs des bits n° 1 et n° 3 dans le filtre de Bloom sont 1, et des valeurs des bits n° 0, n° 2, et n° 4 à n° 7 à l'intérieur sont 0. De plus, la table de correspondance bit-certificat 115 obtenue dans ce cas est illustrée à droite de la figure 4. A noter que, dans le cas où « k » est égal ou supérieur à 2, le même certificat de session peut être affecté à une pluralité de bits.

Un cas où les certificats de session Cl et C2 sont ajoutés séquentiellement à la liste de révocation de certificat (qui est supposée être vide dans son état initial) est examiné ici. Le cas où Cl est enregistré dans la liste de révocation de certificat est d'abord décrit.

Lors de la réception de Cl, le nouveau gestionnaire de révocation 114 transmet Cl au gestionnaire de liste de révocation de certificat à filtre de Bloom 111, et acquiert la liste de révocation de certificat à filtre de Bloom avant l'enregistrement et la liste de révocation de certificat à filtre de Bloom après l'enregistrement à partir du gestionnaire de liste de révocation de certificat à filtre de Bloom 111. La liste de révocation de certificat à filtre de Bloom avant l'enregistrement est 10101010101010101, alors que la 25 liste de révocation de certificat à filtre de Bloom après l'enregistrement est 10111010101010101. Ici, parce que le deuxième bit à partir de la tête passe de 0 à 1, la table de correspondance bit-certificat 115 fait l'objet d'une recherche pour un certificat de session 30 correspondant à ce bit, de sorte qu'il soit trouvé qu'aucun autre certificat de session que Cl n'est associé à ce bit. En conséquence, il peut être compris qu'aucun certificat de session ne devient faux-positif à la suite de ce nouvel enregistrement dans la liste de révocation de certificat. De façon similaire, lors de la réception d'une nouvelle demande de révocation sur le certificat de session C2, le 5 nouveau gestionnaire de révocation 114 transmet C2 au gestionnaire de liste de révocation de certificat à filtre de Bloom 111, et acquiert la liste de révocation de certificat à filtre de Bloom avant l'enregistrement dans la liste de révocation de certificat et la liste de révocation de 10 certificat à filtre de Bloom après l'enregistrement dans celle-ci. Parce que Cl a déjà été enregistré, liste de révocation de certificat à filtre de Bloom avant l'enregistrement est 10111010101010101, et la liste de révocation de certificat à 15 filtre de Bloom après l'enregistrement est 10111011101010101. Ici, parce que le quatrième bit à partir de la tête passe nouvellement de 0 à 1, la table de correspondance bit-certificat 115 fait l'objet d'une recherche pour un certificat de session correspondant à ce bit, de sorte qu'il soit trouvé 20 que C3 correspond à ce bit. Une condition pour faire de C3 un faux-positif est que chaque bit auquel C3 est associé (sur lequel C3 est projeté) soit 1 dans la liste de révocation de certificat à filtre de Bloom, en dépit du fait que C3 ne soit pas enregistré dans la liste de révocation de certificat. 25 Parce que « k » = 1 dans cet exemple, il est évident que C3 devient faux-positif. Dans un cas où « k » = 2, si C3 devient faux-positif est déterminé en testant C3 en référence à la liste de révocation de certificat à filtre de Bloom après l'enregistrement. Si le 30 résultat de la détermination est positif et si C3 n'est pas enregistré dans la liste de révocation de certificat, C3 peut être déterminé comme faux-positif.

Le certificat de session du dispositif qui devient faux-positif a besoin d'être mis à jour. Par conséquent, en réponse à une demande en provenance du gestionnaire de certificat de dispositif 116, l'unité d'émission de certificat 113 crée un 5 nouveau certificat de session C3a pour le dispositif M3, et installe le nouveau certificat de session C3a dans le dispositif M3. Pour la communication à ce moment-là, il est possible d'utiliser un canal de communication sécurisé qui est maintenu entre l'autorité de certification et le dispositif M3 10 par une action de l'élément relais PANA et similaire. Dans un cas d'exécution d'une demande de participation, le dispositif M3 effectue un processus de participation au réseau sur un dispositif voisin ou similaire avec l'utilisation du certificat de session nouvellement installé C3a. 15 Un dispositif qui reçoit la demande de participation du dispositif M3 teste le certificat de session C3a présenté par le dispositif M3 sur la base de la liste de révocation de certificat à filtre de Bloom. Si le certificat de session C3a n'est pas positif, le dispositif permet la participation du 20 dispositif M3. Si le certificat de session C3a est positif, le dispositif rejette uniformément la participation du dispositif M3 (sans interroger l'autorité de certification). A noter que l'installation du certificat de session dans le dispositif M3 par le gestionnaire de certificat de 25 dispositif 116 peut être effectuée avant la mise à jour et la distribution de la liste de révocation de certificat à filtre de Bloom, et peut être effectuée après la mise à jour et la distribution de la liste de révocation de certificat à filtre de Bloom. Si la liste de révocation de certificat à filtre de 30 Bloom est mise à jour avant l'installation, l'accès du dispositif M3 au réseau est bloqué temporairement, mais la sécurité peut être plus élevée. En revanche, si le certificat de session est d'abord installé dans le dispositif M3 et si la liste de révocation de certificat à filtre de Bloom est ensuite mise à jour et distribuée, la communication du dispositif M3 peut être maintenue de façon continue, alors que ce cas est plus désavantageux en termes de sécurité de réseau.

En variante, ceux-ci peuvent être mis à jour en même temps. L'ordre de mise à jour du certificat de session et de la liste de révocation de certificat à filtre de Bloom peut être déterminé par un administrateur du réseau sécurisé en considération d'un équilibre entre sécurité et gérabilité.

La figure 5 illustre un exemple d'un flux d'opérations de l'appareil serveur selon le présent mode de réalisation. Le nouveau gestionnaire de révocation 114 reçoit une nouvelle demande de révocation sur un certificat de session Cx (étape S11).

Le nouveau gestionnaire de révocation 114 lit et copie une liste de révocation de certificat à filtre de Bloom actuelle (« BFCRL ») à partir du gestionnaire de liste de révocation de certificat à filtre de Bloom 111 (étape S12). Dans un bloc de la figure 5, la copie est exprimée en substituant « BFCRL » en une variable « Btmp ». Le nouveau gestionnaire de révocation 114 demande au gestionnaire de liste de révocation de certificat à filtre de Bloom 111 d'enregistrer le certificat de session Cx dans la liste de révocation de certificat à filtre de Bloom actuelle (étape S13). Le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 entre le certificat de session Cx dans les « k » fonctions de hachage pour obtenir des valeurs résultantes, établit 1 pour un bit indiqué par un indice de chaque valeur obtenue (maintient 1 sans aucun changement si le bit est déjà 1), et ainsi met à jour la liste de révocation de certificat à filtre de Bloom actuelle. Le gestionnaire de liste de révocation de certificat à filtre de Bloom 111 transmet la liste de révocation de certificat à filtre de Bloom après la mise à jour au nouveau gestionnaire de révocation 114. Le nouveau gestionnaire de révocation 114 soustrait la liste de révocation de certificat à filtre de Bloom actuelle copiée avant la mise à jour de la liste de révocation de certificat à filtre de Bloom actuelle après la mise à jour (« BFCRL » - « Btmp »), et identifie une position de bit (indice) au niveau de laquelle une valeur de différence de bit est 1 (étape S14). A savoir, le nouveau gestionnaire de révocation 114 identifie une position de bit dont la valeur binaire est 0 avant la mise à jour et 1 après la mise à jour. Sur la base de l'indice binaire identifié, un certificat de session qui n'est pas révoqué est détecté parmi des certificats de session associés à l'indice, par le biais d'une consultation dans la table de correspondance bit-certificat 115 (étape S15). Par exemple, dans l'exemple de la figure 4, dans un cas où l'indice identifié est 3, les certificats de session C2 et C3 associés à l'indice 3 sont d'abord identifiés. Par la suite, si C2 et C3 sont révoqués (sont enregistrés dans la liste de révocation de certificat) est testé. En supposant que seul le certificat de session C2 soit révoqué, le certificat de session C3 est détecté. Le certificat de session détecté est testé en référence à la liste de révocation de certificat à filtre de Bloom après la mise à jour, et si oui ou non le certificat de session détecté devient positif est déterminé (étape S16). Dans un cas de positif, parce que le certificat de session identifié n'est pas réellement révoqué (n'est pas enregistré dans la liste de révocation de certificat), il s'agit d'un faux-positif. Dans un cas de faux-positif, le nouveau gestionnaire de révocation 114 donne pour instruction au gestionnaire de certificat de dispositif 116 de mettre à jour ce certificat de session (étape S16).

Après cela, le gestionnaire de certificat de dispositif 116 émet un nouveau certificat de session au moyen de l'unité d'émission de certificat 113. A ce moment-là, dans un cas où le certificat de session émis devient positif en référence à la liste de révocation de certificat à filtre de Bloom après la mise à jour, l'unité d'émission de certificat 113 élimine le certificat de session émis et, et émet de façon répétitive un certificat de session jusqu'à ce qu'un certificat de session qui devient négatif soit émis. Lorsque le certificat de session qui devient négatif est émis, le gestionnaire de certificat de dispositif 116 installe le certificat de session dans un dispositif qui détient le certificat de session faux-positif. De plus, le gestionnaire de certificat 112 enregistre le certificat de session dans la table de correspondance bit- certificat 115. (Deuxième mode de réalisation) Dans le premier mode de réalisation, si un bit dans la liste de révocation de certificat à filtre de Bloom passe de 0 à 1, un grand nombre de certificats de session peuvent devenir 20 faux-positifs (peuvent être traités comme révoqués) en même temps. En général, les bandes sont limitées dans un réseau sécurisé en utilisant le multibond sans fil et similaire, et par conséquent il n'est pas souhaitable de réémettre des certificats de session pour un grand nombre de dispositifs en 25 même temps. Compte tenu de ce qui précède, dans le présent mode de réalisation, une limite supérieure « c » est fournie au nombre de certificats de session correspondant à chaque bit dans la table de correspondance bit-certificat 115. 30 L'unité d'émission de certificat 113 détermine, pour chacun des « k » bits correspondant à un certificat de session nouvellement émis, si le nombre de certificats de session décrits dans la table de correspondance bit-certificat 115 gérée par le gestionnaire de certificat 112 atteint « c ». Dans un cas où au moins un des « k » bits atteint « c », l'unité d'émission de certificat 113 révoque et élimine le certificat de session correspondant, et réessaie d'émettre un certificat de session à partir d'une génération de nombres aléatoires. A noter que, même dans un cas où le certificat de session émis devient positif en référence à la liste de révocation de certificat à filtre de Bloom, de façon similaire au premier mode de réalisation, l'unité d'émission de certificat 113 élimine le certificat de session, et réessaie l'émission. La table de correspondance bit-certificat 115 est mise à jour au moment auquel un certificat de session qui satisfait à ces deux conditions est émis. A la suite de ce traitement, le nombre de certificats de session valides qui peuvent devenir faux-positifs lorsqu'un bit dans la liste de révocation de certificat à filtre de Bloom passe de 0 à 1, à savoir, le nombre de certificats de session valides réémis peut être réduit jusqu'à « c » - 1. De plus, un autre procédé qui est efficace lorsque « k » > = 2 est décrit ci-dessous. Par exemple, pour chacun des certificats de session correspondant à chaque bit (bit actuel) dans la table de correspondance bit-certificat 115, il est supposé que le nombre de bits dont la valeur est 1 parmi les « k » bits correspondants dans la liste de révocation de certificat à filtre de Bloom est « s » et que le poids du certificat de session est « w » = « s » / « k ». Ensuite, les poids « w » des certificats de session correspondant au bit actuel sont totalisés, moyennant quoi un poids binaire (poids de réémission de certificat de session) est obtenu. Chaque fois qu'un bit dans la liste de révocation de certificat à filtre de Bloom passe de 0 à 1, les poids des certificats de session correspondant au bit dans la table de correspondance bit-certificat 115 sont recalculés et totalisés, moyennant quoi le poids binaire du bit est mis à jour. Lorsque le poids binaire dépasse « c », un certificat de session est réémis pour un dispositif ayant le certificat de session le plus fortement pondéré parmi les certificats de session correspondant à un bit ayant le poids binaire qui dépasse « c ». En variante, le certificat le plus fortement pondéré peut être ajouté à la liste, et le processus de réémission peut être exécuté séquentiellement au positionnement temporel auquel une charge sur le réseau diminue (c'est-à-dire, le processus de réémission est exécuté de manière préventive lorsque la charge sur le réseau diminue). De cette façon, le poids binaire de chaque bit dans la table de correspondance bit-certificat 115 peut être réduit jusqu'à « c ». (Troisième mode de réalisation) Les schémas décrits dans les premier et deuxième modes de réalisation sont basés sur la prémisse que, lorsqu'un certificat de session qui est révoqué en raison de faux-positif est réémis, le certificat de session réémis peut être installé instantanément dans un dispositif. Dans l'intervalle, dans un réseau de communication inter-dispositif utilisant le multibond sans fil, le dispositif cible d'installation n'est pas nécessairement instantanément accessible depuis l'autorité de certification. Par exemple, dans un cas où le dispositif ne peut pas communiquer avec un dispositif relais ou une station relais en raison de l'existence d'un obstacle ou où le dispositif est activé périodiquement, le dispositif n'est pas accessible depuis l'autorité de certification. Le présent mode de réalisation résout ce problème.

Est examiné un cas où, dans le premier ou deuxième mode de réalisation, un certificat de session faux-positif se produit à la suite de la mise à jour de la liste de révocation de certificat à filtre de Bloom et où la mise à jour du certificat de session ne peut pas être effectuée sur un dispositif ayant le certificat de session faux-positif en raison d'une défaillance de la communication ou similaire. Dans ce cas, lorsque le dispositif devient en ligne à nouveau pour effectuer une demande de reparticipation au réseau, le dispositif présente un certificat de session qui est positif en référence à la liste de révocation de certificat à filtre de Bloom, à un dispositif voisin. Le dispositif voisin qui reçoit le certificat de session présenté par le dispositif qui effectue la demande de reparticipation détermine que le certificat de session présenté est positif, et par conséquent le dispositif qui effectue la demande de reparticipation n'est pas autorisé à participer au réseau. Compte tenu de ce qui précède, dans le présent mode de réalisation, une liste de certificats faux-positifs est préparée comme une liste pour distinguer si le certificat de session présenté est réellement positif ou faux-positif. Dans un cas où il y a un dispositif ayant un certificat de session qui devient faux-positif et où le certificat de session du dispositif est encore à mettre à jour, le certificat de session avant la mise à jour (le certificat de session déterminé comme faux-positif) est listé dans cette liste de certificats faux-positifs. La liste de certificats faux-positifs est distribuée à chaque dispositif (noeud) dans le réseau. A noter que, après qu'un certificat de session valide nouvellement créé est installé avec succès, le certificat de session peut être supprimé de la liste de certificats faux-positifs. Selon une opération du présent mode de réalisation, de façon similaire aux premier et deuxième modes de réalisation, le dispositif qui reçoit la demande de reparticipation teste d'abord le certificat de session présenté par le dispositif qui effectue la demande de reparticipation, sur la base de la liste de révocation de certificat à filtre de Bloom. Dans un cas où le certificat de session présenté est déterminé comme positif, le dispositif qui reçoit la demande de reparticipation teste ensuite si le certificat de session 5 présenté est inclus dans la liste de certificats faux-positifs. Si le certificat de session présenté y est inclus, le dispositif qui reçoit la demande de reparticipation notifie l'autorité de certification à cet effet. Si le certificat de session présenté n'y est pas inclus, le dispositif qui reçoit 10 la demande de reparticipation rejette la connexion du dispositif qui effectue la demande de reparticipation. L'autorité de certification qui reçoit la notification essaie de mettre à jour le certificat de session du dispositif demandant la participation. Parce que la probabilité que le 15 dispositif soit en ligne à ce moment-là est élevée, la possibilité que le certificat de session soit mis à jour avec succès peut être escomptée être élevée. Si la mise à jour est réussie, le dispositif est autorisé à participer au réseau. A savoir, dans un cas où le certificat de session après la mise 20 à jour est présenté au dispositif voisin, le dispositif voisin détermine que le certificat de session présenté est négatif. Ici, la liste de certificats faux-positifs peut également être formée en utilisant le filtre de Bloom. La liste de certificats faux-positifs formée en utilisant le filtre de 25 Bloom est appelée liste de certificats faux-positifs à filtre de Bloom. Ce n'est pas la liste de certificats faux-positifs mais la liste de certificats faux-positifs à filtre de Bloom qui est distribuée à chaque dispositif dans le réseau. Le dispositif qui reçoit la demande de participation 30 teste un certificat de session qui devient positif en référence à la liste de révocation de certificat à filtre de Bloom, sur la base de la liste de certificats faux-positifs à filtre de Bloom. Dans un cas où le résultat du test est positif, le dispositif qui reçoit la demande de participation notifie l'autorité de certification à cet effet. L'autorité de certification qu i reçoit la notification détermine si le certificat de s ession du dispositif est réellement positif, 5 sur la base de la liste de certificats faux-positifs (nonfiltre de Bloom) . Dans un cas où le certificat de session est réellement positif (est inclus dans la liste de certificats faux-positifs (non-filtre de Bloom)), l'autorité de certification essaie de mettre à jour le certificat de session 10 du dispositif demandant la participation. Dans un autre cas (dans un cas de faux-positif) , l'autorité de certification ne met pas à jour le certificat de session. Un ensemble de cibles de la liste de certificats faux-positifs à filtre de Bloom correspondent à tous les 15 certificats de session qui peuvent être positifs en référence à la liste de révocation de certificat à filtre de Bloom. C'est considérablement plus petit que le nombre de tous les certificats de session émis correspondant à un ensemble de cibles de la liste de révocation de certificat à filtre de 20 Bloom. En conséquence, la taille de la liste de certificats faux-positifs à filtre de Bloom peut être remarquablement réduite par rapport à la taille de la liste de révocation de certificat à filtre de Bloom. La figure 6 est un schéma de principe d'un appareil 25 serveur selon le présent mode de réalisation. Un gestionnaire de certificat faux-positif 118 est nouvellement ajouté. Dans un cas où l'installation d'un certificat de session qui est nouvellement émis en raison de faux-positif a échoué, le gestionnaire de certificat faux-positif 118 ajoute le 30 certificat de session avant la mise à jour à la liste de certificats faux-positifs (ou met à jour la liste de certificats faux-positifs à filtre de Bloom). Le gestionnaire de certificat faux-positif 118 distribue la liste de certificats faux-positifs (ou la liste de certificats faux-positifs à filtre de Bloom) après la mise à jour à chaque dispositif via l'unité de communication 117. Dans un cas de réception d'une notification selon 5 laquelle un dispositif inclus dans la liste de certificats faux-positifs effectue une demande de participation, si un certificat de session du dispositif est inclus dans la liste de certificats faux-positifs, le gestionnaire de certificat de dispositif 116 réinstalle un certificat de session valide. Si 10 le certificat de session valide est installé avec succès, le gestionnaire de certificat faux-positif 118 supprime le certificat de session correspondant (le certificat de session déterminé comme faux-positif) de la liste de certificats faux-positifs (ou met à jour la liste de certificats faux-positifs 15 à filtre de Bloom). A noter qu'un certificat de session émis au dernier essai d'installation peut être utilisé pour l'installation du certificat de session (mise à jour). En variante, le certificat de session émis au dernier essai d'installation 20 peut être éliminé lors d'une défaillance de son installation, et un certificat de session peut être émis à nouveau lorsque la réinstallation est essayée cette fois. La figure 7 est un schéma de principe d'un dispositif selon le présent mode de réalisation. Un stockage de liste de 25 certificats faux-positifs 215 est nouvellement ajouté. Le stockage de liste de certificats faux-positifs 215 acquiert la liste de certificats faux-positifs (ou la liste de certificats faux-positifs à filtre de Bloom) distribuée par l'appareil serveur (autorité de certification) via l'unité de 30 communication 214 et stocke la liste à l'intérieur. Dans un cas où un certificat de session présenté par un dispositif qui effectue une demande de participation est déterminé comme positif en référence à la liste de révocation de certificat à filtre de Bloom, le récepteur de participation au réseau 212 teste si le certificat de session présenté est inclus dans la liste de certificats faux-positifs (est déterminé comme positif en référence à la liste de certificats faux-positifs à filtre de Bloom). Si le certificat de session présenté est inclus à l'intérieur (ou est déterminé comme positif), le récepteur de participation au réseau 212 notifie l'autorité de certification à cet effet. Si le certificat de session présenté n'est pas inclus à l'intérieur (ou est déterminé comme non positif), le récepteur de participation au réseau 212 rejette la connexion du dispositif qui effectue la demande de participation. A noter que, dans un cas où le certificat de session présenté est inclus à l'intérieur (ou est déterminé comme positif), le récepteur de participation au réseau 212 peut rejeter une fois la connexion au réseau, du dispositif qui effectue la demande de participation, et peut permettre la participation de celui-ci lorsqu'une demande avec le certificat de session après la mise à jour est reçue par la suite. En variante, le récepteur de participation au réseau 212 peut attendre jusqu'à ce qu'un nouveau certificat de session soit installé par l'autorité de certification et qu'une demande de participation avec le certificat de session après la mise à jour soit reçue à nouveau. Dans les premier à troisième modes de réalisation, un cas où l'appareil serveur est une autorité de certification et où les données traitées sont un certificat de session est décrit comme un exemple, mais la présente invention n'est pas limitée à cela. La présente invention peut être appliquée à tout système configuré comme décrit ci-dessous. C'est-à-dire, dans le système, l'appareil serveur est configuré pour : émettre des données vers chaque appareil de communication ; distribuer les données à chaque appareil de communication ; gérer l'ensemble de données émis ; invalider des données qui satisfont à une condition prédéterminée ; générer un filtre de Bloom à partir d'un ensemble des données invalidées ; et distribuer le filtre de Bloom à chaque appareil de communication, et chaque appareil de communication teste la validité des données présentées par un autre appareil de communication avec l'utilisation du filtre de Bloom. L'appareil serveur (Autorité de certification) et l'appareil de communication (dispositif) comme décrit ci-dessus peuvent également être réalisés en utilisant un dispositif informatique universel comme matériel de base. C'est-à-dire, le traitement de chaque bloc dans l'appareil serveur et l'appareil de communication peut être réalisé en amenant un processeur monté dans le dispositif informatique universel ci-dessus à exécuter un programme. Dans ce cas, l'appareil serveur et l'appareil de communication peuvent être réalisés en installant le programme décrit ci-dessus dans le dispositif informatique au préalable ou peuvent être réalisés en stockant le programme dans un support de stockage comme un CD-ROM ou en distribuant le programme décrit ci-dessus sur un réseau et en installant ce programme dans le dispositif informatique comme il convient. En outre, le stockage dans l'appareil serveur et l'appareil de communication peut également être réalisé en utilisant un dispositif de mémoire ou un disque dur incorporé ou ajouté de façon externe au dispositif informatique décrit ci-dessus ou un support de stockage tel que CD-R, CD-RW, DVD-RAM, DVD-R comme il convient. Bien que certains modes de réalisation aient été décrits, ces modes de réalisation ont été présentés à titre d'exemple uniquement, et ne sont pas destinés à limiter l'étendue des inventions. En effet, les modes de réalisation originaux décrits dans le présent document peuvent être mis en oeuvre sous une variété d'autres formes ; en outre, diverses omissions, substitutions et changements dans la forme des modes de réalisation décrits ici peuvent être apportés sans s'écarter de l'esprit des inventions. Les revendications jointes et leurs équivalents sont destinés à couvrir les formes ou modifications qui tomberaient dans l'étendue et l'esprit des inventions. 37

Claims (18)

1. REVENDICATIONS1. Appareil serveur comprenant : une unité de communication (117) pour se connecter à un réseau sans fil (301) dans lequel une pluralité de dispositifs (201A-201H) sont connectés ; une unité d'émission de données (113) pour émettre des données vers les dispositifs (201A-201H) dans le réseau sans fil (301), respectivement ; un gestionnaire de distribution de données (116) pour distribuer les données émises par l'unité d'émission de données (113) aux dispositifs (201A-201H), respectivement ; un gestionnaire de données (112) pour gérer un ensemble de données (X) comprenant les données émises par l'unité d'émission de données (113) ; un gestionnaire de révocation (114) pour détecter, à partir de l'ensemble de données (X), des données qui satisfont à une condition prédéterminée et invalider les données détectées ; et un gestionnaire de filtre (111) pour : gérer un ensemble de données révoqué qui est un ensemble d'éléments de données invalidé par le gestionnaire de révocation (114) ; mettre à jour un filtre ayant une longueur binaire prédéterminée chaque fois que le gestionnaire de révocation (114) invalide des données, en établissant une première valeur pour un bit projeté lorsque l'ensemble de données révoqué est projeté sur le filtre selon une relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté dans le filtre ; et distribuer le filtre après la mise à jour aux dispositifs (201A-201H) dans le réseau, dans lequel le gestionnaire de données (112) : identifie, à partir de l'ensemble de données (X), des données cibles de réémission autres que les données invalidées par le gestionnaire de 38 3007231 révocation (114), les données cibles de réémission ayant une projection sur au moins un des bits dont la valeur binaire est passée de la seconde valeur à la première valeur entre avant et après la mise à jour du filtre, et ayant la première valeur pour tous les bits projetés lorsque les données cibles de réémission sont projetées sur le filtre après la mise à jour ; et pour le dispositif ayant les données cibles de réémission, réémet des données ayant la seconde valeur pour au moins un des bits projetés lorsque ces données sont projetées sur le filtre après la mise à jour, au moyen de l'unité d'émission de données (113), et distribue des données réémises au dispositif.
2. 2. Appareil selon la revendication 1, dans lequel le gestionnaire de données (112) compare les filtres avant et après la mise à jour, pour identifier ainsi un bit dont la valeur est passée de la seconde valeur à la première valeur entre avant et après la mise à jour du filtre, le gestionnaire de données (112) identifie, à partir de l'ensemble de données (X), des données ayant une projection sur le bit identifié, et lorsque des valeurs de tous les bits projetés lorsque les données identifiées sont projetées sur le filtre après la mise à jour sont la première valeur, le gestionnaire de données (112) identifie les données identifiées comme les données cibles de réémission.
3. 3. Appareil selon la revendication 1, dans lequel le gestionnaire de données (112) identifie un bit dans le filtre dans lequel une valeur du bit projeté lorsque les données invalidées par le gestionnaire de révocation (114) sont projetées sur le filtre avant la mise à jour est la seconde valeur, 39 3007231 identifie, à partir de l'ensemble de données (X), des données ayant une projection sur le bit identifié autres que les données invalidées par le gestionnaire de révocation (114), et spécifie les données identifiées comme les données cibles de réémission dans un cas où des valeurs de tous les bits projetés lorsque les données identifiées sont projetées sur le filtre après la mise à jour sont la première valeur.
4. 4. Appareil selon la revendication 1, dans lequel le gestionnaire de données (112) gère l'ensemble de données (X) en utilisant une table de correspondance bit-données (115), et la table de correspondance bit-données (115) associe, pour chaque bit dans le filtre, des données ayant une projection sur le bit.
5. 5. Appareil selon la revendication 1, dans lequel dans un cas où un nombre d'éléments de données ayant une projection sur un bit sur lequel les données émises sont projetées dans le filtre atteint une limite supérieure dans l'ensemble de données (X), l'unité d'émission de données (113) élimine les données émises, et émet de façon répétitive des données jusqu'à ce que des données ayant une projection sur un bit pour lequel la limite supérieure n'est pas atteinte soient émises.
6. 6. Appareil selon la revendication 1, dans lequel pour le dispositif pour lequel la distribution des données réémises a échoué, le gestionnaire de données (112) ajoute les données cibles de réémission du dispositif à une liste, et distribue la liste aux dispositifs (201A-201H) dans le réseau. 40 3007231
7. 7. Appareil selon la revendication 6, dans lequel le gestionnaire de données (112) : met à jour un premier filtre ayant la longueur binaire prédéterminée, en établissant la première valeur pour un bit projeté lorsqu'un ensemble d'éléments de données cibles de réémission inclus dans la liste est projeté sur le premier filtre selon la relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté dans le premier filtre ; et distribue le premier filtre après la mise à jour au lieu de la liste.
8. 8. Appareil selon la revendication 1, dans lequel le filtre est un filtre de Bloom, et la relation de projection définitive représente une ou plusieurs fonctions de hachage dont les valeurs de sortie indiquent chacune un indice d'un bit dans le filtre.
9. 9. Appareil selon la revendication 1, dans lequel l'unité d'émission de données (113) génère un nombre aléatoire, et émet les données sur la base du nombre aléatoire.
10. 10. Appareil selon la revendication 1, dans lequel les données sont des données de certificat pour permettre la participation au réseau.
11. 11. Appareil selon la revendication 1, dans lequel la première valeur est 1, et la seconde valeur est 0.
12. 12. Système de vérification de données comprenant : 41 3007231 une pluralité de dispositifs (201A-201H) connectés dans un réseau sans fil (301) ; et un appareil serveur, dans lequel l'appareil serveur comprend : une unité d'émission de données (113) pour émettre des données vers les dispositifs (201A-201H) dans le réseau sans fil (301), respectivement ; un gestionnaire de distribution de données (116) pour distribuer les données émises par l'unité d'émission de données (113) aux dispositifs (201A-201H), respectivement ; un gestionnaire de données (112) pour gérer un ensemble de données (X) comprenant les données émises par l'unité d'émission de données (113) ; un gestionnaire de révocation (114) pour détecter, à partir de l'ensemble de données (X), des données qui satisfont à une condition prédéterminée et invalider les données détectées ; et un gestionnaire de filtre (111) pour : gérer un ensemble de données (X) révoqué qui est un ensemble d'éléments de données invalidé par le gestionnaire de révocation (114) ; mettre à jour un filtre ayant une longueur binaire prédéterminée chaque fois que le gestionnaire de révocation (114) invalide des données, en établissant une première valeur pour un bit sur lequel l'ensemble de données révoqué est projeté lorsque l'ensemble de données révoqué est projeté sur le filtre selon une relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté dans le filtre ; et distribuer un filtre mis à jour aux dispositifs (201A-201H) dans le réseau, le gestionnaire de données (112) : identifie, à partir de l'ensemble de données (X), des données cibles de réémission autres que les données invalidées par le gestionnaire de révocation (114), les données cibles de réémission ayant une 42 3007231 projection sur au moins un des bits dont la valeur binaire est passée de la seconde valeur à la première valeur entre avant et après la mise à jour du filtre, et ayant la première valeur pour tous les bits projetés lorsque les données cibles de réémission sont projetées sur le filtre après la mise à jour ; et pour le dispositif ayant les données cibles de réémission, réémet des données ayant la seconde valeur pour au moins un des bits projetés lorsque ces données sont projetées sur le filtre après la mise à jour, au moyen de l'unité d'émission de données (113), et distribue des données réémises au dispositif, et les dispositifs (201A-201H) comprennent chacun un récepteur de réseau pour : tester des données présentées par un dispositif de la pluralité de dispositifs (201A-201H) sur la base du filtre fourni par l'appareil serveur ; et déterminer que les données présentées par ledit un dispositif sont invalides lorsque toutes les valeurs de bits projetés lorsque les données sont projetées sur le filtre sont la première valeur.
13. 13. Système selon la revendication 12, dans lequel pour le dispositif pour lequel la distribution des données réémises a échoué, le gestionnaire de données (112) ajoute les données cibles de réémission du dispositif à une liste, et distribue la liste aux dispositifs (201A-201H) dans le réseau, dans un cas où les données présentées par ledit un dispositif sont incluses dans la liste, le dispositif notifie cela à l'appareil serveur, et dans un cas où la notification par le dispositif est reçue, le gestionnaire de distribution de données (116) de l'appareil serveur réessaie de distribuer les données réémises par l'unité d'émission de données (113). 43 3007231
14. 14. Système selon la revendication 13, dans lequel le gestionnaire de données (112) : met à jour un premier filtre ayant la longueur binaire prédéterminée, en établissant la première valeur pour un bit projeté lorsqu'un ensemble d'éléments de données cibles de réémission inclus dans la liste est projeté sur le premier filtre selon la relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté ; et distribue le premier filtre après la mise à jour au lieu de la liste, et lorsque toutes les valeurs de bits projetés lorsque les données présentées par ledit un dispositif sont projetées sur le premier filtre sont la première valeur, le dispositif notifie cela à l'appareil serveur.
15. 15. Système selon la revendication 12, dans lequel dans un cas où une demande de participer au réseau sans fil (301) est reçue dudit un dispositif et où les données présentées par ledit un dispositif sont déterminées comme invalides, le dispositif rejette la participation dudit un dispositif au réseau sans fil (301).
16. 16. Système selon la revendication 12, dans lequel le filtre est un filtre de Bloom, et la relation de projection définitive représente une ou plusieurs fonctions de hachage dont les valeurs de sortie indiquent chacune un indice d'un bit dans le filtre.
17. 17. Système selon la revendication 12, dans lequel les données sont des données de certificat pour permettre la participation au réseau.
18. 18. Procédé d'émission de données comprenant : 44 3007231 l'émission de données vers des dispositifs (201A-201H) dans un réseau sans fil (301), respectivement ; la distribution des données émises, aux dispositifs (201A-201H), respectivement ; la gestion d'un ensemble de données (X) comprenant les données émises ; la détection, à partir de l'ensemble de données (X), de données qui satisfont à une condition prédéterminée et l'invalidation des données détectées ; la gestion d'un ensemble de données révoqué qui est un ensemble d'éléments de données invalidées ; la mise à jour d'un filtre ayant une longueur binaire prédéterminée chaque fois que des données sont invalidées, en établissant une première valeur pour un bit projeté lorsque l'ensemble de données révoqué est projeté sur le filtre selon une relation de projection définitive et en établissant une seconde valeur pour un bit différent du bit projeté dans le filtre ; la distribution du filtre après la mise à jour aux dispositifs (201A-201H) dans le réseau, l'identification, à partir de l'ensemble des données, de données cibles de réémission autres que les données invalidées, les données cibles de réémission ayant une projection sur au moins un des bits dont la valeur binaire est passée de la seconde valeur à la première valeur entre avant et après la mise à jour du filtre, et ayant la première valeur pour tous les bits projetés lorsque les données cibles de réémission sont projetées sur le filtre après la mise à jour ; et la réémission, pour le dispositif ayant les données cibles de réémission, de données ayant la seconde valeur pour au moins un des bits projetés lorsque ces données sont 45 3007231 projetées sur le filtre après la mise à jour et la distribution de données réémises au dispositif.