JP2002373116A - マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステム - Google Patents
マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステムInfo
- Publication number
- JP2002373116A JP2002373116A JP2002135053A JP2002135053A JP2002373116A JP 2002373116 A JP2002373116 A JP 2002373116A JP 2002135053 A JP2002135053 A JP 2002135053A JP 2002135053 A JP2002135053 A JP 2002135053A JP 2002373116 A JP2002373116 A JP 2002373116A
- Authority
- JP
- Japan
- Prior art keywords
- data
- microcomputer system
- stored
- smart card
- memory device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 88
- 238000004590 computer program Methods 0.000 title claims description 21
- 230000005540 biological transmission Effects 0.000 claims description 9
- 238000012546 transfer Methods 0.000 claims description 4
- 230000006870 function Effects 0.000 description 27
- 238000012795 verification Methods 0.000 description 11
- 238000010586 diagram Methods 0.000 description 9
- 230000001010 compromised effect Effects 0.000 description 5
- 238000013524 data verification Methods 0.000 description 4
- 102100033029 Carbonic anhydrase-related protein 11 Human genes 0.000 description 2
- 101000867841 Homo sapiens Carbonic anhydrase-related protein 11 Proteins 0.000 description 2
- 101001075218 Homo sapiens Gastrokine-1 Proteins 0.000 description 2
- 238000007796 conventional method Methods 0.000 description 2
- 239000003795 chemical substances by application Substances 0.000 description 1
- 238000002485 combustion reaction Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 230000001681 protective effect Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
- G06F21/109—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM] by using specially-adapted hardware at the client
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Physics (AREA)
- Multimedia (AREA)
- Technology Law (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】
【課題】 権限のない人物の手にわたったプライベート
キーの悪用を最小限に食い止めるマイクロコンピュータ
システムの保護方法等を提供する。 【解決手段】 非対称の暗号化方法によって署名又は暗
号化されて，マイクロコンピュータシステム（７５）の
メモリ装置（７６）に記憶されているデータ（１０）の
操作に対するマイクロコンピュータシステム（７５）の
保護方法であって，前記データ（１０）の署名又は暗号
化のために，パーソナルアイデンティフィケーションナ
ンバーで保護されたスマートカード（７４）が使用さ
れ，かつ，前記スマートカードには，非対称の暗号化方
法のためのプライベートキー（１４）と暗号化アルゴリ
ズムが格納されている，
キーの悪用を最小限に食い止めるマイクロコンピュータ
システムの保護方法等を提供する。 【解決手段】 非対称の暗号化方法によって署名又は暗
号化されて，マイクロコンピュータシステム（７５）の
メモリ装置（７６）に記憶されているデータ（１０）の
操作に対するマイクロコンピュータシステム（７５）の
保護方法であって，前記データ（１０）の署名又は暗号
化のために，パーソナルアイデンティフィケーションナ
ンバーで保護されたスマートカード（７４）が使用さ
れ，かつ，前記スマートカードには，非対称の暗号化方
法のためのプライベートキー（１４）と暗号化アルゴリ
ズムが格納されている，
Description
【０００１】
【発明の属する技術分野】本発明は，マイクロコンピュ
ータシステムの保護方法等に関し，さらに詳細には，マ
イクロコンピュータのメモリ装置に格納されているデー
タの操作に対するマイクロコンピュータシステムの保護
方法等に関する。なお，データは，例えばプログラム，
限界値，マップ又はパラメータあるいはマイクロコンピ
ュータシステムのシリアルナンバーである。
ータシステムの保護方法等に関し，さらに詳細には，マ
イクロコンピュータのメモリ装置に格納されているデー
タの操作に対するマイクロコンピュータシステムの保護
方法等に関する。なお，データは，例えばプログラム，
限界値，マップ又はパラメータあるいはマイクロコンピ
ュータシステムのシリアルナンバーである。
【０００２】
【従来の技術】従来においては，例えば車両の制御装置
に格納されている制御プログラム又は格納されているデ
ータの権限のない操作を阻止するプログラムの保護方法
がある。例えば，制御プログラムは，車両内の所定の機
能あるいは内燃機関，走行動特性制御，アンチロックブ
レーキングシステム（ＡＢＳ）又は電子的な操舵システ
ム（ステア−バイ−ワイヤ）を開ループ制御又は閉ルー
プ制御するために使用される。
に格納されている制御プログラム又は格納されているデ
ータの権限のない操作を阻止するプログラムの保護方法
がある。例えば，制御プログラムは，車両内の所定の機
能あるいは内燃機関，走行動特性制御，アンチロックブ
レーキングシステム（ＡＢＳ）又は電子的な操舵システ
ム（ステア−バイ−ワイヤ）を開ループ制御又は閉ルー
プ制御するために使用される。
【０００３】かかる制御プログラムの操作に基づいて，
車両の開ループあるいは閉ループ制御されるユニットの
故障あるいは機能方法の変化がもたらされる可能性があ
る。従って，制御プログラム又はデータの操作を可能な
限り阻止しなければならないが，少なくとも，操作を後
から認識して開ループ又は閉ループ制御されるユニット
の故障の原因を確認できるようにあるいは保証請求を正
しく対応付けできるようにしなければならない。
車両の開ループあるいは閉ループ制御されるユニットの
故障あるいは機能方法の変化がもたらされる可能性があ
る。従って，制御プログラム又はデータの操作を可能な
限り阻止しなければならないが，少なくとも，操作を後
から認識して開ループ又は閉ループ制御されるユニット
の故障の原因を確認できるようにあるいは保証請求を正
しく対応付けできるようにしなければならない。
【０００４】また，権限のない人物による制御プログラ
ム又はデータの操作の危険が存在するにもかかわらず，
制御装置のメモリ装置へのアクセスを完全に禁止してし
まうと不都合が生じる。例えば制御装置お新たなプログ
ラミングを可能とするために，権限のあるユーザサーク
ルは，メモリ装置にアクセスできなければならない。即
ち，時々は，例えばソフトウェア内のエラーを除去し，
あるいは新しい法律的基準を考慮するために，制御プロ
グラムの新しいバージョン又は新しいパラメータ又は限
界値を制御装置に格納することが必要になる場合があ
る。
ム又はデータの操作の危険が存在するにもかかわらず，
制御装置のメモリ装置へのアクセスを完全に禁止してし
まうと不都合が生じる。例えば制御装置お新たなプログ
ラミングを可能とするために，権限のあるユーザサーク
ルは，メモリ装置にアクセスできなければならない。即
ち，時々は，例えばソフトウェア内のエラーを除去し，
あるいは新しい法律的基準を考慮するために，制御プロ
グラムの新しいバージョン又は新しいパラメータ又は限
界値を制御装置に格納することが必要になる場合があ
る。
【０００５】
【発明が解決しようとする課題】しかしながら，従来の
方法では，プライベートキーの監理ができない（例え
ば，プライベートキーが権限のない人物の手に渡った場
合に悪用される），という問題がある。即ち，プライベ
ートキーは，例えば制御装置開発者又は車両開発者の側
で複数の人物に提供されなければならず，その場合に各
ユーザに専用のプライベートキーが対応付けられてい
る。
方法では，プライベートキーの監理ができない（例え
ば，プライベートキーが権限のない人物の手に渡った場
合に悪用される），という問題がある。即ち，プライベ
ートキーは，例えば制御装置開発者又は車両開発者の側
で複数の人物に提供されなければならず，その場合に各
ユーザに専用のプライベートキーが対応付けられてい
る。
【０００６】プライベートキーが（どんな理由からであ
ろうと），権限のない人物の手に渡った場合には，プラ
イベートキーを同じタイプの制御装置の全シリーズの新
プログラミングに悪用することが可能となる。しかしな
がら，制御装置メーカー側又は車両メーカー側は，この
ような事態を阻止することはできない。さらに，権限の
ない人物によって実施された制御プログラム及び／又は
データの操作は，後から認識することもできない。この
ように，従来の方法においては，危険にさらされたプラ
イベートキーは，そのような事態を引き起こす可能性が
あるものとして認識して阻止することはできない，とい
う問題があった。
ろうと），権限のない人物の手に渡った場合には，プラ
イベートキーを同じタイプの制御装置の全シリーズの新
プログラミングに悪用することが可能となる。しかしな
がら，制御装置メーカー側又は車両メーカー側は，この
ような事態を阻止することはできない。さらに，権限の
ない人物によって実施された制御プログラム及び／又は
データの操作は，後から認識することもできない。この
ように，従来の方法においては，危険にさらされたプラ
イベートキーは，そのような事態を引き起こす可能性が
あるものとして認識して阻止することはできない，とい
う問題があった。
【０００７】従って，本発明の目的は，権限のない人物
の手にわたったプライベートキーの悪用を最小限に食い
止めることが可能な新規かつ改良されたマイクロコンピ
ュータシステムの保護方法等を提供することにある。
の手にわたったプライベートキーの悪用を最小限に食い
止めることが可能な新規かつ改良されたマイクロコンピ
ュータシステムの保護方法等を提供することにある。
【０００８】
【課題を解決するための手段】上記課題を解決するため
に，本発明の第１の観点においては，マイクロコンピュ
ータシステム（７５）のメモリ装置（７６）に記憶され
ている，非対称の暗号化方法によって署名又は暗号化さ
れたデータ（１０）の操作に対するマイクロコンピュー
タシステム（７５）の保護方法であって，前記データ
（１０）の署名又は暗号化のために，パーソナルアイデ
ンティフィケーションナンバーで保護されたスマートカ
ード（７４）が使用され，かつ，前記スマートカードに
は，非対称の暗号化方法のためのプライベートキー（１
４）と暗号化アルゴリズムが格納されている，ことを特
徴とするマイクロコンピュータシステムの保護方法が提
供される。
に，本発明の第１の観点においては，マイクロコンピュ
ータシステム（７５）のメモリ装置（７６）に記憶され
ている，非対称の暗号化方法によって署名又は暗号化さ
れたデータ（１０）の操作に対するマイクロコンピュー
タシステム（７５）の保護方法であって，前記データ
（１０）の署名又は暗号化のために，パーソナルアイデ
ンティフィケーションナンバーで保護されたスマートカ
ード（７４）が使用され，かつ，前記スマートカードに
は，非対称の暗号化方法のためのプライベートキー（１
４）と暗号化アルゴリズムが格納されている，ことを特
徴とするマイクロコンピュータシステムの保護方法が提
供される。
【０００９】上記記載の発明では，パーソナルアイデン
ティフィケーションナンバー（ＰＩＮ）保護されたスマ
ートカードの使用によって，権限のない人物の手にわた
ったプライベートキーの悪用を著しく食い止めることが
できる。即ち，プログラム及び／又はデータを操作する
ためには，権限のない人物は，プライベートキーのため
のスマートカードを所有するだけでなく，ユーザの権限
を検査するためのＰＩＮも所有しなければならない。な
お，例えば，マイクロコンピュータは，カードの表面に
配置された接触領域を介して，スマートカードの外部に
ある電気的な構成素子，例えば書込み／読取りユニット
と接続することができる。スマートカードには，非対称
の暗号化方法のためのプライベートキーと暗号化アルゴ
リズムが格納されている。なお，スマートカードと称さ
れるのは，通常，カード内に，計算機（例えばマイクロ
プロセッサ）とメモリ装置とを有する完全なマイクロコ
ンピュータが，カードの表面と面一で密閉されて挿入さ
れている，プラスチックから形成されたカードである。
ＰＩＮを介してのユーザの権限の検査は，スマートカー
ド上であるいはスマートカードと接続されてスマートカ
ードの外部にある電気的な構成素子上で，例えば好適な
インターフェイス上で行われる。データの本来の署名又
は暗号化も，スマートカード上で実施することができ
る。したがって，署名又は暗号化するための付加的な外
部のマイクロコンピュータシステムは不要である。
ティフィケーションナンバー（ＰＩＮ）保護されたスマ
ートカードの使用によって，権限のない人物の手にわた
ったプライベートキーの悪用を著しく食い止めることが
できる。即ち，プログラム及び／又はデータを操作する
ためには，権限のない人物は，プライベートキーのため
のスマートカードを所有するだけでなく，ユーザの権限
を検査するためのＰＩＮも所有しなければならない。な
お，例えば，マイクロコンピュータは，カードの表面に
配置された接触領域を介して，スマートカードの外部に
ある電気的な構成素子，例えば書込み／読取りユニット
と接続することができる。スマートカードには，非対称
の暗号化方法のためのプライベートキーと暗号化アルゴ
リズムが格納されている。なお，スマートカードと称さ
れるのは，通常，カード内に，計算機（例えばマイクロ
プロセッサ）とメモリ装置とを有する完全なマイクロコ
ンピュータが，カードの表面と面一で密閉されて挿入さ
れている，プラスチックから形成されたカードである。
ＰＩＮを介してのユーザの権限の検査は，スマートカー
ド上であるいはスマートカードと接続されてスマートカ
ードの外部にある電気的な構成素子上で，例えば好適な
インターフェイス上で行われる。データの本来の署名又
は暗号化も，スマートカード上で実施することができ
る。したがって，署名又は暗号化するための付加的な外
部のマイクロコンピュータシステムは不要である。
【００１０】また，ユーザの権限が，前記パーソナルア
イデンティフィケーションナンバーを使用して検査さ
れ，前記署名又は暗号化すべきデータ（１０）は，前記
ユーザの権限が確認された場合においてのみ，スマート
カード（７４）に格納されているプライベートキー（１
４）及び暗号化アルゴリズムによって署名又は暗号化さ
れて，メモリ装置（７６）に格納される，如く構成すれ
ば，プライベートキーの使用は，ＰＩＮを介してユーザ
の権限を検査されるので，さらに安全が確保される。
イデンティフィケーションナンバーを使用して検査さ
れ，前記署名又は暗号化すべきデータ（１０）は，前記
ユーザの権限が確認された場合においてのみ，スマート
カード（７４）に格納されているプライベートキー（１
４）及び暗号化アルゴリズムによって署名又は暗号化さ
れて，メモリ装置（７６）に格納される，如く構成すれ
ば，プライベートキーの使用は，ＰＩＮを介してユーザ
の権限を検査されるので，さらに安全が確保される。
【００１１】また，前記ユーザの権限がパーソナルアイ
デンティフィケーションナンバーを使用して検査され，
前記ユーザの権限が確認された場合においてのみ，前記
署名又は暗号化すべきデータ（１０）が他のマイクロコ
ンピュータシステム（７０）に伝達され，前記伝達され
たデータ（１０）は，前記他のマイクロコンピュータシ
ステム（７０）に格納されている他のプライベートキー
（６０）及び他の暗号化アルゴリズムによって署名又は
暗号化されて，メモリ装置（７６）に格納される，如く
構成すれば，データの本来の署名又は暗号化は，トラス
トセンターの一部であるスマートカードの外部に配置さ
れた，他のマイクロコンピュータ上で実施される。署名
又は暗号化されたデータは，その後マイクロコンピュー
タシステム（例えば制御装置）のメモリ装置に伝達され
て格納され，予め設定可能な時点で予め設定可能な範囲
で検証されるので，スマートカードに格納されているプ
ライベートキーは，単に他のマイクロコンピュータシス
テムへデータを伝達するためにデータを署名又は暗号化
するためだけに使用される。他のマイクロコンピュータ
システムは，例えば，トラストセンターの一部であるシ
グネチャサーバである。シグネチャサーバ上で，危険に
さらされたプライベートキーを，制御装置のメモリ装置
に格納するためにデータを署名又は暗号化する前に，阻
止することができる。したがって，権限のない人物の手
にわたったプライベートキーの悪用を，著しく減少させ
ることができる。なお，他のマイクロコンピュータシス
テムへのデータの伝達は，ローカルコンピュータネット
ワークを介して，あるいは任意の他のネットワークを介
して，特にインターネットを介して行うことができる。
デンティフィケーションナンバーを使用して検査され，
前記ユーザの権限が確認された場合においてのみ，前記
署名又は暗号化すべきデータ（１０）が他のマイクロコ
ンピュータシステム（７０）に伝達され，前記伝達され
たデータ（１０）は，前記他のマイクロコンピュータシ
ステム（７０）に格納されている他のプライベートキー
（６０）及び他の暗号化アルゴリズムによって署名又は
暗号化されて，メモリ装置（７６）に格納される，如く
構成すれば，データの本来の署名又は暗号化は，トラス
トセンターの一部であるスマートカードの外部に配置さ
れた，他のマイクロコンピュータ上で実施される。署名
又は暗号化されたデータは，その後マイクロコンピュー
タシステム（例えば制御装置）のメモリ装置に伝達され
て格納され，予め設定可能な時点で予め設定可能な範囲
で検証されるので，スマートカードに格納されているプ
ライベートキーは，単に他のマイクロコンピュータシス
テムへデータを伝達するためにデータを署名又は暗号化
するためだけに使用される。他のマイクロコンピュータ
システムは，例えば，トラストセンターの一部であるシ
グネチャサーバである。シグネチャサーバ上で，危険に
さらされたプライベートキーを，制御装置のメモリ装置
に格納するためにデータを署名又は暗号化する前に，阻
止することができる。したがって，権限のない人物の手
にわたったプライベートキーの悪用を，著しく減少させ
ることができる。なお，他のマイクロコンピュータシス
テムへのデータの伝達は，ローカルコンピュータネット
ワークを介して，あるいは任意の他のネットワークを介
して，特にインターネットを介して行うことができる。
【００１２】また，前記署名又は暗号化すべきデータ
（１０）は，前記スマートカード（７４）に格納されて
いるプライベートキー（１４）及び暗号化アルゴリズム
によって署名又は暗号化されて，前記他のマイクロコン
ピュータシステム（７０）に伝達され，前記伝達された
データ（１０）は，スマートカード（７４）に格納され
ているプライベートキー（１４）を認証するために検証
され，前記スマートカード（７４）に格納されているプ
ライベートキー（１４）の認証に成功した場合には，前
記データは前記他のプライベートキー（６０）と前記他
の暗号化アルゴリズムによって署名又は暗号化されて，
前記メモリ装置（７６）に格納される，如く構成すれ
ば，ＰＩＮを介してユーザの権限を検査されるので，さ
らに安全が確保される。
（１０）は，前記スマートカード（７４）に格納されて
いるプライベートキー（１４）及び暗号化アルゴリズム
によって署名又は暗号化されて，前記他のマイクロコン
ピュータシステム（７０）に伝達され，前記伝達された
データ（１０）は，スマートカード（７４）に格納され
ているプライベートキー（１４）を認証するために検証
され，前記スマートカード（７４）に格納されているプ
ライベートキー（１４）の認証に成功した場合には，前
記データは前記他のプライベートキー（６０）と前記他
の暗号化アルゴリズムによって署名又は暗号化されて，
前記メモリ装置（７６）に格納される，如く構成すれ
ば，ＰＩＮを介してユーザの権限を検査されるので，さ
らに安全が確保される。
【００１３】また，署名されたデータ（１０）を検証す
るために，前記伝達されたデータ（１０）の署名（１
５）がパブリックキー（５２）によって復号化されて，
前記伝達されたデータ（１０）と比較され，前記復号化
されたデータ（５３）が前記伝達されたデータ（５４）
と一致した場合に，前記認証の成功が確認される，如く
構成することができる。
るために，前記伝達されたデータ（１０）の署名（１
５）がパブリックキー（５２）によって復号化されて，
前記伝達されたデータ（１０）と比較され，前記復号化
されたデータ（５３）が前記伝達されたデータ（５４）
と一致した場合に，前記認証の成功が確認される，如く
構成することができる。
【００１４】また，前記データの署名のために，前記署
名すべきデータ（１０）からチェックサム関数（１１）
を使用してチェックサム値（１２）が求められ，前記チ
ェックサム値（１２）は，前記スマートカード（７４）
に格納されている前記プライベートキー（１４）及び前
記暗号化アルゴリズムによって署名（１５）として暗号
化され，前記署名（１５）が前記データ（１０）と共
に，前記他のマイクロコンピュータシステム（７０）に
伝達され，署名されたデータを検証するために署名（１
５）が他のマイクロコンピュータシステム（７０）に格
納されているパブリックキー（５２）によって復号化さ
れ，前記伝達されたデータ（１０）からチェックサム関
数（５４）を使用して他のチェックサム値（５５）が計
算され，前記復号化されたチェックサム値（５３）が他
のチェックサム値（５５）と比較され，前記復号化され
たチェックサム値（５３）が前記他のチェックサム値
（５５）と一致した場合に，認証の成功が確認される，
如く構成することができる。かかるマイクロコンピュー
タシステム内でのデータの検証は，各実施又はデータの
各使用前あるいは所定の時点でのみ，データの全部又は
一部のみについて行うことができる。
名すべきデータ（１０）からチェックサム関数（１１）
を使用してチェックサム値（１２）が求められ，前記チ
ェックサム値（１２）は，前記スマートカード（７４）
に格納されている前記プライベートキー（１４）及び前
記暗号化アルゴリズムによって署名（１５）として暗号
化され，前記署名（１５）が前記データ（１０）と共
に，前記他のマイクロコンピュータシステム（７０）に
伝達され，署名されたデータを検証するために署名（１
５）が他のマイクロコンピュータシステム（７０）に格
納されているパブリックキー（５２）によって復号化さ
れ，前記伝達されたデータ（１０）からチェックサム関
数（５４）を使用して他のチェックサム値（５５）が計
算され，前記復号化されたチェックサム値（５３）が他
のチェックサム値（５５）と比較され，前記復号化され
たチェックサム値（５３）が前記他のチェックサム値
（５５）と一致した場合に，認証の成功が確認される，
如く構成することができる。かかるマイクロコンピュー
タシステム内でのデータの検証は，各実施又はデータの
各使用前あるいは所定の時点でのみ，データの全部又は
一部のみについて行うことができる。
【００１５】また，前記データ（１０）と共に，ユーザ
のアイデンティフィケーションが，前記他のコンピュー
タシステム（７０）に伝達され，前記パブリックキー
（５２）が，前記ユーザの前記アイデンティフィケーシ
ョンに従ってユーザデータバンク（７９）から取り出さ
れる，如く構成することができる。例えば，所定のユー
ザについて，ユーザデータバンク内でそれに対応するパ
ブリックキーを取り出せない場合，あるいはユーザデー
タバンクに格納されているパブリックキーが一致しない
場合（即ち，他のマイクロコンピュータシステムに伝達
された，署名又は暗号化されたデータが復号化できない
場合，あるいは正しく復号化できない場合）には，２つ
の原因が考えられる。即ち，１つの原因は，ユーザアイ
デンティフィケーションが権限のない人物であるために
認識されない場合であり，もう一つの原因は，使用され
たプライベートキーが遮断された場合である。双方の場
合において，データを不当に署名又は暗号化することが
試みられたと推定されて，それに応じた防御手段を導入
することができる。
のアイデンティフィケーションが，前記他のコンピュー
タシステム（７０）に伝達され，前記パブリックキー
（５２）が，前記ユーザの前記アイデンティフィケーシ
ョンに従ってユーザデータバンク（７９）から取り出さ
れる，如く構成することができる。例えば，所定のユー
ザについて，ユーザデータバンク内でそれに対応するパ
ブリックキーを取り出せない場合，あるいはユーザデー
タバンクに格納されているパブリックキーが一致しない
場合（即ち，他のマイクロコンピュータシステムに伝達
された，署名又は暗号化されたデータが復号化できない
場合，あるいは正しく復号化できない場合）には，２つ
の原因が考えられる。即ち，１つの原因は，ユーザアイ
デンティフィケーションが権限のない人物であるために
認識されない場合であり，もう一つの原因は，使用され
たプライベートキーが遮断された場合である。双方の場
合において，データを不当に署名又は暗号化することが
試みられたと推定されて，それに応じた防御手段を導入
することができる。
【００１６】また，前記データ（１０）と共に，前記ユ
ーザの前記アイデンティフィケーションが前記他のコン
ピュータシステム（７０）に伝達され，各データを署名
又は暗号化するための各ユーザの権限が，前記ユーザア
イデンティフィケーションに従ってプロジェクトデータ
バンク（８０）から取り出され，前記メモリ装置（７
６）に格納するために署名又は暗号化する際に，考慮さ
れる，如く構成することができる。
ーザの前記アイデンティフィケーションが前記他のコン
ピュータシステム（７０）に伝達され，各データを署名
又は暗号化するための各ユーザの権限が，前記ユーザア
イデンティフィケーションに従ってプロジェクトデータ
バンク（８０）から取り出され，前記メモリ装置（７
６）に格納するために署名又は暗号化する際に，考慮さ
れる，如く構成することができる。
【００１７】また，前記他のマイクロコンピュータシス
テム（７０）への，あるいは前記他のマイクロコンピュ
ータシステム（７０）からのデータ伝達は，インターネ
ット（５０）を介して実施される，如く構成することが
できる。
テム（７０）への，あるいは前記他のマイクロコンピュ
ータシステム（７０）からのデータ伝達は，インターネ
ット（５０）を介して実施される，如く構成することが
できる。
【００１８】また，少なくとも前記他のマイクロコンピ
ュータシステム（７０）へのデータ伝達は，電子メール
として，簡易メール転送プロトコル（ＳＭＴＰ）基準に
基づいて実施される，如く構成することができる。
ュータシステム（７０）へのデータ伝達は，電子メール
として，簡易メール転送プロトコル（ＳＭＴＰ）基準に
基づいて実施される，如く構成することができる。
【００１９】また，前記データ（１０）の署名又は暗号
化がプロトコル化されて，前記プロトコルが記憶され
る，如く構成すれば，後から所定のデータを所定の時点
で署名又は暗号化したユーザを同定することが可能とな
るので，危険にさらされたプライベートキーの悪用をさ
らに減少させることができる。
化がプロトコル化されて，前記プロトコルが記憶され
る，如く構成すれば，後から所定のデータを所定の時点
で署名又は暗号化したユーザを同定することが可能とな
るので，危険にさらされたプライベートキーの悪用をさ
らに減少させることができる。
【００２０】上記課題を解決するために，本発明の第２
の観点においては，コンピュータに対し，請求項１〜１
１のいずれか１項に記載の方法を実施させるコンピュー
タプログラムが格納されている，スマートカード（７
４）用あるいはマイクロコンピュータシステム（７０）
用のメモリ装置（９１，８３）が提供される。
の観点においては，コンピュータに対し，請求項１〜１
１のいずれか１項に記載の方法を実施させるコンピュー
タプログラムが格納されている，スマートカード（７
４）用あるいはマイクロコンピュータシステム（７０）
用のメモリ装置（９１，８３）が提供される。
【００２１】上記記載の発明では，メモリ装置に，計算
機上（例えばマイクロプロセッサ上）で遂行可能で，本
発明にかかる方法を実施するためのコンピュータプログ
ラムが格納されており，このメモリ装置に格納されてい
るコンピュータプログラムによって本発明にかかる方法
が実現されるので効果的である。メモリ装置としては，
例えば電気的なメモリ媒体（例えばリードオンリーメモ
リ，ランダムアクセスメモリ又はフラッシュメモリ）を
使用することができる。
機上（例えばマイクロプロセッサ上）で遂行可能で，本
発明にかかる方法を実施するためのコンピュータプログ
ラムが格納されており，このメモリ装置に格納されてい
るコンピュータプログラムによって本発明にかかる方法
が実現されるので効果的である。メモリ装置としては，
例えば電気的なメモリ媒体（例えばリードオンリーメモ
リ，ランダムアクセスメモリ又はフラッシュメモリ）を
使用することができる。
【００２２】上記課題を解決するために，本発明の第３
の観点においては，コンピュータに対し，請求項１〜１
１のいずれか１項に記載の方法を実施させるコンピュー
タプログラムが提供される。
の観点においては，コンピュータに対し，請求項１〜１
１のいずれか１項に記載の方法を実施させるコンピュー
タプログラムが提供される。
【００２３】上記記載の発明では，コンピュータプログ
ラムは，計算機上（例えばマイクロプロセッサ上で実行
されて，本発明にかかる方法が実施される。
ラムは，計算機上（例えばマイクロプロセッサ上で実行
されて，本発明にかかる方法が実施される。
【００２４】また，前記コンピュータプログラムは，メ
モリ装置（９１，８３）に格納されている，如く構成す
れば，特にフラッシュメモリに格納されていると効果的
である。
モリ装置（９１，８３）に格納されている，如く構成す
れば，特にフラッシュメモリに格納されていると効果的
である。
【００２５】上記課題を解決するために，本発明の第４
の観点においては，計算機（９０）とメモリ装置（９
１）とを有するスマートカード（７４）において，前記
スマートカード（７４）は，パーソナルアイデンティフ
ィケーションナンバー（ＰＩＮ）によって保護されてお
り，かつ，前記メモリ装置（９１）に，非対称暗号化方
法によってデータ（１０）を署名又は暗号化するための
プライベートキー（１４）及び暗号化アルゴリズムが格
納されている，ことを特徴とするスマートカードが提供
される。
の観点においては，計算機（９０）とメモリ装置（９
１）とを有するスマートカード（７４）において，前記
スマートカード（７４）は，パーソナルアイデンティフ
ィケーションナンバー（ＰＩＮ）によって保護されてお
り，かつ，前記メモリ装置（９１）に，非対称暗号化方
法によってデータ（１０）を署名又は暗号化するための
プライベートキー（１４）及び暗号化アルゴリズムが格
納されている，ことを特徴とするスマートカードが提供
される。
【００２６】また，前記メモリ装置（９１）に，コンピ
ュータプログラムが格納されており，前記コンピュータ
プログラムは，計算機（９０）上で実行可能であって，
かつ請求項２〜１１のいずれか１項に記載の方法を実施
可能である，如く構成するのが好ましい。
ュータプログラムが格納されており，前記コンピュータ
プログラムは，計算機（９０）上で実行可能であって，
かつ請求項２〜１１のいずれか１項に記載の方法を実施
可能である，如く構成するのが好ましい。
【００２７】上記課題を解決するために，本発明の第５
の観点においては，計算機（８２）及びメモリ装置（８
３）とを有するマイクロコンピュータシステム（７０）
において，前記マイクロコンピュータシステム（７０）
は，請求項３〜１１のいずれか１項に記載の方法を実施
する手段を有している，ことを特徴とするマイクロコン
ピュータシステムが提供される。
の観点においては，計算機（８２）及びメモリ装置（８
３）とを有するマイクロコンピュータシステム（７０）
において，前記マイクロコンピュータシステム（７０）
は，請求項３〜１１のいずれか１項に記載の方法を実施
する手段を有している，ことを特徴とするマイクロコン
ピュータシステムが提供される。
【００２８】上記記載の発明では，権限のない人物の手
にわたったプライベートキーの悪用を著しく食い止める
ことが可能なマイクロコンピュータシステムを提供する
ことができる。なお，マイクロコンピュータシステム
は，例えばトラストセンターのシグネチャサーバであ
る。シグネチャサーバには，署名又は暗号化すべきデー
タが，車両の制御装置に格納される前に，伝達される。
データを署名又は暗号化するために，トラストセンター
に存在しているプライベートキーが使用される。プライ
ベートキーは，トラストセンターのいわゆるサーティフ
ィケーションオーソリティによって付与される。安全上
の理由から，シグネチャサーバはサーティフィケーショ
ンオーソリティとはオフラインでのみ接続されている。
なお，方法を実施する手段は，ハードウェアで実現する
ことができる。
にわたったプライベートキーの悪用を著しく食い止める
ことが可能なマイクロコンピュータシステムを提供する
ことができる。なお，マイクロコンピュータシステム
は，例えばトラストセンターのシグネチャサーバであ
る。シグネチャサーバには，署名又は暗号化すべきデー
タが，車両の制御装置に格納される前に，伝達される。
データを署名又は暗号化するために，トラストセンター
に存在しているプライベートキーが使用される。プライ
ベートキーは，トラストセンターのいわゆるサーティフ
ィケーションオーソリティによって付与される。安全上
の理由から，シグネチャサーバはサーティフィケーショ
ンオーソリティとはオフラインでのみ接続されている。
なお，方法を実施する手段は，ハードウェアで実現する
ことができる。
【００２９】また，前記方法を実施する手段は，メモリ
装置（８３）に格納され，かつ計算機上で遂行可能なコ
ンピュータプログラムとして形成されている，如く構成
することができる。
装置（８３）に格納され，かつ計算機上で遂行可能なコ
ンピュータプログラムとして形成されている，如く構成
することができる。
【００３０】また，前記マイクロコンピュータシステム
（７０）は，データ接続を介してマイクロコンピュータ
システム（７０）への権限のないアクセスを阻止するた
めに，データ接続に対するセイフティロック素子（７
８）を有しており，その場合に，マイクロコンピュータ
システム（７０）への各アクセスはセイフティロック素
子（７８）を介して実行される，如く構成すれば，署名
又は暗号化すべきデータは，例えばこのセキュリティロ
ック素子を介してシグネチャサーバに伝達されるので，
シグネチャサーバへの権限のないアクセスとトラストセ
ンターの操作は，ほぼ排除されている。
（７０）は，データ接続を介してマイクロコンピュータ
システム（７０）への権限のないアクセスを阻止するた
めに，データ接続に対するセイフティロック素子（７
８）を有しており，その場合に，マイクロコンピュータ
システム（７０）への各アクセスはセイフティロック素
子（７８）を介して実行される，如く構成すれば，署名
又は暗号化すべきデータは，例えばこのセキュリティロ
ック素子を介してシグネチャサーバに伝達されるので，
シグネチャサーバへの権限のないアクセスとトラストセ
ンターの操作は，ほぼ排除されている。
【００３１】
【発明の実施の形態】以下に添付図面を参照しながら，
本発明の好適な実施の形態について詳細に説明する。な
お，本明細書及び図面において，実質的に同一の機能構
成を有する構成要素については，同一の符号を付するこ
とにより重複説明を省略する。
本発明の好適な実施の形態について詳細に説明する。な
お，本明細書及び図面において，実質的に同一の機能構
成を有する構成要素については，同一の符号を付するこ
とにより重複説明を省略する。
【００３２】（第１の実施の形態）まず，図１に基づい
て，本実施形態にかかるマイクロコンピュータシステム
の保護方法を説明する。なお，図１は，本実施形態にか
かるマイクロコンピュータシステムの保護方法の動作フ
ローを示すフローチャートである。なお，本実施形態に
おいては，データが制御装置のメモリ装置に格納される
前に，完全にスマートカード内で署名されあるいは暗号
化される。
て，本実施形態にかかるマイクロコンピュータシステム
の保護方法を説明する。なお，図１は，本実施形態にか
かるマイクロコンピュータシステムの保護方法の動作フ
ローを示すフローチャートである。なお，本実施形態に
おいては，データが制御装置のメモリ装置に格納される
前に，完全にスマートカード内で署名されあるいは暗号
化される。
【００３３】まず，ステップＳ１で，処理が開始される
（ステップＳ１）。次いで，ステップＳ２で，ユーザに
よりＰＩＮが入力される（ステップＳ２）。さらに，ス
テップＳ３で，入力されたＰＩＮがスマートカードに対
応づけられたＰＩＮであるかか否かが判断される（ステ
ップＳ３）。
（ステップＳ１）。次いで，ステップＳ２で，ユーザに
よりＰＩＮが入力される（ステップＳ２）。さらに，ス
テップＳ３で，入力されたＰＩＮがスマートカードに対
応づけられたＰＩＮであるかか否かが判断される（ステ
ップＳ３）。
【００３４】ＰＩＮが一致しないと判断される場合に
は，ステップＳ９に移行して，処理が終了される（ステ
ップＳ９）。なお，誤ったＰＩＮが複数回入力された後
に，スマートカードは完全に阻止される。
は，ステップＳ９に移行して，処理が終了される（ステ
ップＳ９）。なお，誤ったＰＩＮが複数回入力された後
に，スマートカードは完全に阻止される。
【００３５】一方，ＰＩＮが一致すると判断される場合
に，ステップＳ４に移行し，データは，スマートカード
に格納されているパーソナルキーにより署名又は暗号化
される（ステップＳ４）。
に，ステップＳ４に移行し，データは，スマートカード
に格納されているパーソナルキーにより署名又は暗号化
される（ステップＳ４）。
【００３６】次いで，ステップＳ５では，署名又は暗号
化されたデータが，車両制御装置に伝達されて，メモリ
装置に格納される（ステップＳ５）。
化されたデータが，車両制御装置に伝達されて，メモリ
装置に格納される（ステップＳ５）。
【００３７】さらに，ステップＳ６で，メモリ装置に格
納されたデータが検証される（ステップＳ６）。
納されたデータが検証される（ステップＳ６）。
【００３８】このとき，データ検証は，所定の時点で，
かつ任意の範囲で行うことができる。検証を，全ての最
初の利用の際だけ，原則的にデータの各利用の前あるい
はデータの利用前に予め設定された間隔で実施すること
できる。さらに，データを利用中又は利用に続いて検証
することもできる。検証範囲内において，メモリ装置に
格納されている全てのデータを，あるいはデータの一部
のみを検証することができる。データの一部のみが検証
される場合には，常にデータの同一部分，あるいは異な
る部分を検証することができる。
かつ任意の範囲で行うことができる。検証を，全ての最
初の利用の際だけ，原則的にデータの各利用の前あるい
はデータの利用前に予め設定された間隔で実施すること
できる。さらに，データを利用中又は利用に続いて検証
することもできる。検証範囲内において，メモリ装置に
格納されている全てのデータを，あるいはデータの一部
のみを検証することができる。データの一部のみが検証
される場合には，常にデータの同一部分，あるいは異な
る部分を検証することができる。
【００３９】その後，ステップＳ７で，メモリ装置に格
納されているデータの検証が成功したか否かが判断され
る（ステップＳ７）。成功しないと判断される場合に
は，ステップＳ９に移行して，処理が終了される（ステ
ップＳ９）。即ち，データは，遮断されており，利用す
ることはできない。
納されているデータの検証が成功したか否かが判断され
る（ステップＳ７）。成功しないと判断される場合に
は，ステップＳ９に移行して，処理が終了される（ステ
ップＳ９）。即ち，データは，遮断されており，利用す
ることはできない。
【００４０】一方，検証が成功したと判断される場合に
は，ステップＳ８に移行し，データは利用を許可される
（ステップＳ８）。このとき，制御プログラムを完全に
ノーマルに実施して，限界値又はパラメータ値を完全に
ノーマルに利用することができる。
は，ステップＳ８に移行し，データは利用を許可される
（ステップＳ８）。このとき，制御プログラムを完全に
ノーマルに実施して，限界値又はパラメータ値を完全に
ノーマルに利用することができる。
【００４１】次に，図２に基づいて，本実施形態にかか
るコンピュータの保護方法の主要部分について，より具
体的に説明する。なお，図２は，本実施形態にかかるコ
ンピュータの保護方法を説明するためのブロック図であ
る。
るコンピュータの保護方法の主要部分について，より具
体的に説明する。なお，図２は，本実施形態にかかるコ
ンピュータの保護方法を説明するためのブロック図であ
る。
【００４２】まず，図２に示すように，ＰＩＮ−照会が
成功した後に，署名すべきデータ１０は，スマートカー
ドに伝達される。機能ブロック１１では，ハッシュ関数
を使用して，データ１０からハッシュ値１２が形成され
る。あるいは，ハッシュ値１２を直接スマートカードに
伝達することもできる。かかるハッシュ値１２は，機能
ブロック１３で，スマートカードに格納されているプラ
イベートキー１４を使用して暗号化される。暗号化され
たハッシュ値は，署名（シグネチャ）１５と称される。
署名１５は，データ１０に付加され，両者は，好適なデ
ータインターフェイスを介して車両の制御装置に伝達さ
れ，メモリ装置に格納される。
成功した後に，署名すべきデータ１０は，スマートカー
ドに伝達される。機能ブロック１１では，ハッシュ関数
を使用して，データ１０からハッシュ値１２が形成され
る。あるいは，ハッシュ値１２を直接スマートカードに
伝達することもできる。かかるハッシュ値１２は，機能
ブロック１３で，スマートカードに格納されているプラ
イベートキー１４を使用して暗号化される。暗号化され
たハッシュ値は，署名（シグネチャ）１５と称される。
署名１５は，データ１０に付加され，両者は，好適なデ
ータインターフェイスを介して車両の制御装置に伝達さ
れ，メモリ装置に格納される。
【００４３】制御装置内で，データ１０は，署名１５か
ら分離される。署名１５は，機能ブロック１６におい
て，パブリックキー１７により復号化される。復号化さ
れたハッシュ値は，参照符号１８で示されている。
ら分離される。署名１５は，機能ブロック１６におい
て，パブリックキー１７により復号化される。復号化さ
れたハッシュ値は，参照符号１８で示されている。
【００４４】機能ブロック１９においては，データ１０
から，機能ブロック１１で使用されたのと同一のハッシ
ュ関数を使用して，他のハッシュ値２０が求められる。
さらに，判断ブロック２１では，復号化されたハッシュ
値１８が他のハッシュ値２０と一致するか否かが判断さ
れる。ハッシュ値が一致すると判断される場合には，デ
ータ１０は利用を許可される。ハッシュ値が一致しない
と判断される場合には，データは阻止されて，利用する
ことはできない。
から，機能ブロック１１で使用されたのと同一のハッシ
ュ関数を使用して，他のハッシュ値２０が求められる。
さらに，判断ブロック２１では，復号化されたハッシュ
値１８が他のハッシュ値２０と一致するか否かが判断さ
れる。ハッシュ値が一致すると判断される場合には，デ
ータ１０は利用を許可される。ハッシュ値が一致しない
と判断される場合には，データは阻止されて，利用する
ことはできない。
【００４５】本実施形態においては，例えば車両の制御
装置として形成されているマイクロコンピュータシステ
ムを，マイクロコンピュータシステムのメモリ装置に格
納されているデータの操作に対して保護することができ
る。データは，例えば制御プログラムとして，限界値と
して，マップとして，あるいはパラメータ値として形成
することができる。本実施形態にかかる方法において
は，データは非対称の暗号化方法によってメモリ装置に
署名あるいは暗号化されて格納されており，データを実
施あるいは利用する前に，データは制御装置内で所定の
時点で，かつ所定の範囲で検証されて，検証が失敗した
場合には，データは阻止される。
装置として形成されているマイクロコンピュータシステ
ムを，マイクロコンピュータシステムのメモリ装置に格
納されているデータの操作に対して保護することができ
る。データは，例えば制御プログラムとして，限界値と
して，マップとして，あるいはパラメータ値として形成
することができる。本実施形態にかかる方法において
は，データは非対称の暗号化方法によってメモリ装置に
署名あるいは暗号化されて格納されており，データを実
施あるいは利用する前に，データは制御装置内で所定の
時点で，かつ所定の範囲で検証されて，検証が失敗した
場合には，データは阻止される。
【００４６】データを署名又は暗号化するために，プラ
イベートキーが使用される。制御装置内でデータの署名
を検査し，あるいはデータを復号化するために，パブリ
ックキーが使用される。プライベートキーとパブリック
キーとからなるキーペアの監理と付与について大きな安
全性の問題がある。即ち，例えば制御装置メーカー側及
び車両メーカー側において，制御装置の開発，製造及び
試験の間この制御装置を任意にしばしばプログラミング
変更することができるようにするために，プライベート
キーは権限のある複数の人物に提供されなければならな
い。
イベートキーが使用される。制御装置内でデータの署名
を検査し，あるいはデータを復号化するために，パブリ
ックキーが使用される。プライベートキーとパブリック
キーとからなるキーペアの監理と付与について大きな安
全性の問題がある。即ち，例えば制御装置メーカー側及
び車両メーカー側において，制御装置の開発，製造及び
試験の間この制御装置を任意にしばしばプログラミング
変更することができるようにするために，プライベート
キーは権限のある複数の人物に提供されなければならな
い。
【００４７】本実施形態においては，データを署名又は
暗号化するために，パーソナルアイデンティフィケーシ
ョンナンバー（ＰＩＮ）−保護されたスマートカードが
使用され，そのスマートカードに非対称の暗号化方法の
ためのプライベートキーと暗号化アルゴリズムが格納さ
れているので，権限のない人物の手に渡ったプライベー
トキーの悪用を最小限に食い止めることができる。
暗号化するために，パーソナルアイデンティフィケーシ
ョンナンバー（ＰＩＮ）−保護されたスマートカードが
使用され，そのスマートカードに非対称の暗号化方法の
ためのプライベートキーと暗号化アルゴリズムが格納さ
れているので，権限のない人物の手に渡ったプライベー
トキーの悪用を最小限に食い止めることができる。
【００４８】なお，本実施形態においては，従来術から
既知である，制御プログラムとデータは，非対称の暗号
化方法を使用して署名されて制御装置のメモリ装置に格
納される，制御プログラム又はデータの操作に対する制
御装置の保護方法に基づいている。非対称の暗号化方法
は，パブリックキー暗号化方法とも称され，ドイツ，ミ
ュンヘンに居所を有するバイリッシェン モトーレン
ヴェルケＡＧ及びドイツ，ミュンヘンとベルリンに居所
を有するジーメンスＡＧによって，車両の制御装置に格
納されている制御プログラム及び／又はデータの暗号化
又は署名に使用される。既知の非対称暗号化方法におい
ては，署名すべき制御プログラム又は署名すべきデータ
からハッシュ関数を使用してハッシュ値が形成される。
ハッシュ値は，使用されるハッシュ関数に依存する特殊
な特性を有する固定長さの，ある種のチェックサムであ
る。
既知である，制御プログラムとデータは，非対称の暗号
化方法を使用して署名されて制御装置のメモリ装置に格
納される，制御プログラム又はデータの操作に対する制
御装置の保護方法に基づいている。非対称の暗号化方法
は，パブリックキー暗号化方法とも称され，ドイツ，ミ
ュンヘンに居所を有するバイリッシェン モトーレン
ヴェルケＡＧ及びドイツ，ミュンヘンとベルリンに居所
を有するジーメンスＡＧによって，車両の制御装置に格
納されている制御プログラム及び／又はデータの暗号化
又は署名に使用される。既知の非対称暗号化方法におい
ては，署名すべき制御プログラム又は署名すべきデータ
からハッシュ関数を使用してハッシュ値が形成される。
ハッシュ値は，使用されるハッシュ関数に依存する特殊
な特性を有する固定長さの，ある種のチェックサムであ
る。
【００４９】ハッシュ値は，自由にアクセスできないプ
ライベートキーを使用して暗号化される。暗号化された
ハッシュ値は，署名と称される。署名は，署名すべきプ
ログラム及び／又は署名すべきデータに付加されて，こ
のプログラム及び／又はデータと共に車両制御装置へ伝
達されて，メモリ装置に格納される。制御装置内で，署
名は自由にアクセスできるパブリックキーによって再び
復号化される。それによって復号化されたハッシュ値が
得られる。さらに，暗号化の枠内でハッシュ値を求める
ためにも使用された，同じハッシュ関数を使用して，受
信された制御プログラム及び／又は受信されたデータか
ら他のハッシュ値が求められる。次に，復号化されたハ
ッシュ値が他のハッシュ値と等しいか，が調べられる。
等しい場合には，伝達された制御プログラムの実施ある
いは伝達されたデータの利用が許可される。そうでない
場合には，制御プログラムの実施あるいはデータの利用
は，阻止される。
ライベートキーを使用して暗号化される。暗号化された
ハッシュ値は，署名と称される。署名は，署名すべきプ
ログラム及び／又は署名すべきデータに付加されて，こ
のプログラム及び／又はデータと共に車両制御装置へ伝
達されて，メモリ装置に格納される。制御装置内で，署
名は自由にアクセスできるパブリックキーによって再び
復号化される。それによって復号化されたハッシュ値が
得られる。さらに，暗号化の枠内でハッシュ値を求める
ためにも使用された，同じハッシュ関数を使用して，受
信された制御プログラム及び／又は受信されたデータか
ら他のハッシュ値が求められる。次に，復号化されたハ
ッシュ値が他のハッシュ値と等しいか，が調べられる。
等しい場合には，伝達された制御プログラムの実施ある
いは伝達されたデータの利用が許可される。そうでない
場合には，制御プログラムの実施あるいはデータの利用
は，阻止される。
【００５０】本実施形態においては，ユーザーの権限が
ＰＩＮを使用して検査されて，ユーザーの権限が確認さ
れた限りにおいて，署名または暗号化すべきデータは，
スマートカードに格納されているプライベートキー及び
暗号化アルゴリズムによって，署名または暗号化されて
メモリ装置に格納され，その後署名又は暗号化されたデ
ータは，マイクロコンピュータシステムのメモリ装置へ
伝達されて格納され，予め設定可能な時点で，所定の範
囲で検証される。従って，データの署名あるいは暗号化
は，スマートカード自体の上で実施される。署名又は暗
号化するための付加的な外部のマイクロコンピュータシ
ステムは，不要である。
ＰＩＮを使用して検査されて，ユーザーの権限が確認さ
れた限りにおいて，署名または暗号化すべきデータは，
スマートカードに格納されているプライベートキー及び
暗号化アルゴリズムによって，署名または暗号化されて
メモリ装置に格納され，その後署名又は暗号化されたデ
ータは，マイクロコンピュータシステムのメモリ装置へ
伝達されて格納され，予め設定可能な時点で，所定の範
囲で検証される。従って，データの署名あるいは暗号化
は，スマートカード自体の上で実施される。署名又は暗
号化するための付加的な外部のマイクロコンピュータシ
ステムは，不要である。
【００５１】（第２の実施の形態）次に，図３に基づい
て，本実施形態にかかるコンピュータの保護方法につい
て説明する。なお，図３は，本実施形態にかかるコンピ
ュータの保護方法の動作フローを示すフローチャートで
ある。
て，本実施形態にかかるコンピュータの保護方法につい
て説明する。なお，図３は，本実施形態にかかるコンピ
ュータの保護方法の動作フローを示すフローチャートで
ある。
【００５２】なお，本実施形態においては，制御装置の
メモリに格納する前のデータの署名又は暗号化がスマー
トカード上ではなく，例えばトラストセンターのシグネ
チャサーバとして形成された外部の他のマイクロコンピ
ュータシステム内で実施される点で，第１の実施の形態
とは異なる。スマートカードに格納されたプライベート
キー及び暗号化アルゴリズムは，単にスマートカードか
らシグネチャサーバへより安全にデータを伝達するため
にデータを署名又は暗号化するために使用される。
メモリに格納する前のデータの署名又は暗号化がスマー
トカード上ではなく，例えばトラストセンターのシグネ
チャサーバとして形成された外部の他のマイクロコンピ
ュータシステム内で実施される点で，第１の実施の形態
とは異なる。スマートカードに格納されたプライベート
キー及び暗号化アルゴリズムは，単にスマートカードか
らシグネチャサーバへより安全にデータを伝達するため
にデータを署名又は暗号化するために使用される。
【００５３】まず，図３に示すように，ステップＳ３０
で，処理が開始される（ステップＳ３０）。次いで，ス
テップＳ３１で，ユーザによってＰＩＮが入力される
（ステップＳ３１）。さらに，ステップＳ３２で，入力
されたＰＩＮがスマートカードに対応づけられているＰ
ＩＮであるか否かが判断される（ステップＳ３２）。
で，処理が開始される（ステップＳ３０）。次いで，ス
テップＳ３１で，ユーザによってＰＩＮが入力される
（ステップＳ３１）。さらに，ステップＳ３２で，入力
されたＰＩＮがスマートカードに対応づけられているＰ
ＩＮであるか否かが判断される（ステップＳ３２）。
【００５４】ＰＩＮが一致しないと判断される場合に
は，ステップＳ４２に移行し，処理が終了される（ステ
ップＳ４２）。ＰＩＮが複数回誤って入力された後は，
スマートカードは完全に遮断される。
は，ステップＳ４２に移行し，処理が終了される（ステ
ップＳ４２）。ＰＩＮが複数回誤って入力された後は，
スマートカードは完全に遮断される。
【００５５】ＰＩＮが一致すると判断される場合には，
ステップＳ３３に移行し，データがスマートカードに格
納されているパーソナルキーにより署名又は暗号化され
る（ステップＳ３３）。
ステップＳ３３に移行し，データがスマートカードに格
納されているパーソナルキーにより署名又は暗号化され
る（ステップＳ３３）。
【００５６】次いで，ステップＳ３４で，署名又は暗号
化されたデータは，シグネチャサーバに伝達される（ス
テップＳ３４）。その後，ステップＳ３５で，使用され
ているパーソナルキーが正常なものであるか，あるいは
危険にさらされたものであるかを調べるために，シグネ
チャサーバに伝達されたデータが検証される（ステップ
Ｓ３５）。伝達されたデータの検証については，後で詳
細に説明する。
化されたデータは，シグネチャサーバに伝達される（ス
テップＳ３４）。その後，ステップＳ３５で，使用され
ているパーソナルキーが正常なものであるか，あるいは
危険にさらされたものであるかを調べるために，シグネ
チャサーバに伝達されたデータが検証される（ステップ
Ｓ３５）。伝達されたデータの検証については，後で詳
細に説明する。
【００５７】その後，ステップＳ３６で，シグネチャサ
ーバへ伝達されたデータの検証が成功したか否かが判断
される（ステップＳ３６）。成功しないと判断される場
合には，ステップＳ４２に移行し，処理が終了される
（ステップＳ４２）。従って，データは全く署名又は暗
号化されず，制御装置のメモリ装置に格納されることは
ない。
ーバへ伝達されたデータの検証が成功したか否かが判断
される（ステップＳ３６）。成功しないと判断される場
合には，ステップＳ４２に移行し，処理が終了される
（ステップＳ４２）。従って，データは全く署名又は暗
号化されず，制御装置のメモリ装置に格納されることは
ない。
【００５８】検証が成功したと判断される場合には，ス
テップＳ３７に移行し，データは，シグネチャサーバに
格納されている他のプライベートキーにより署名又は暗
号化される（ステップＳ３７）。
テップＳ３７に移行し，データは，シグネチャサーバに
格納されている他のプライベートキーにより署名又は暗
号化される（ステップＳ３７）。
【００５９】その後，ステップＳ３８で，署名又は暗号
化されたデータが車両制御装置に伝達されて，メモリ装
置に格納される（ステップＳ３８）。さらに，ステップ
Ｓ３９で，メモリ装置に格納されているデータが検証さ
れる（ステップＳ３９）。データの検証は，所定の時点
で，かつ任意の範囲で行うことができる。データの検証
については，後で詳細に説明する。
化されたデータが車両制御装置に伝達されて，メモリ装
置に格納される（ステップＳ３８）。さらに，ステップ
Ｓ３９で，メモリ装置に格納されているデータが検証さ
れる（ステップＳ３９）。データの検証は，所定の時点
で，かつ任意の範囲で行うことができる。データの検証
については，後で詳細に説明する。
【００６０】さらに，ステップＳ４０で，メモリ装置に
格納されているデータの検証が成功したか否かが判断さ
れる（ステップＳ４０）。成功しなかったと判断される
場合には，ステップＳ４２に移行し，処理が終了される
（ステップＳ４２）。従って，データは遮断されて，利
用することはできない。
格納されているデータの検証が成功したか否かが判断さ
れる（ステップＳ４０）。成功しなかったと判断される
場合には，ステップＳ４２に移行し，処理が終了される
（ステップＳ４２）。従って，データは遮断されて，利
用することはできない。
【００６１】一方，検証が成功したと判断される場合に
は，ステップＳ４１に移行し，データは利用を許可され
る（ステップＳ４１）。この場合には，制御プログラム
を完全にノーマルに実施することができ，かつ限界値又
はパラメータ値を完全にノーマルに利用することができ
る。
は，ステップＳ４１に移行し，データは利用を許可され
る（ステップＳ４１）。この場合には，制御プログラム
を完全にノーマルに実施することができ，かつ限界値又
はパラメータ値を完全にノーマルに利用することができ
る。
【００６２】次に，図４及び図５に基づいて，本実施形
態にかかるコンピュータの保護方法の主要部分につい
て，より具体的に説明する。なお，図４及び図５は，本
実施形態にかかるコンピュータの保護方法を説明するた
めのブロック図である。
態にかかるコンピュータの保護方法の主要部分につい
て，より具体的に説明する。なお，図４及び図５は，本
実施形態にかかるコンピュータの保護方法を説明するた
めのブロック図である。
【００６３】まず，図４に示すように，ＰＩＮ−照会が
成功した後に，署名すべきデータ１０は，スマートカー
ドに伝達される。機能ブロック１１では，ハッシュ関数
を使用して，データ１０からハッシュ値１２が形成され
る。あるいは，ハッシュ値１２を直接スマートカードに
伝達することもできる。かかるハッシュ値１２は，機能
ブロック１３で，スマートカードに格納されているプラ
イベートキー１４を使用して暗号化される。暗号化され
たハッシュ値は，署名（シグネチャ）１５と称される。
署名１５は，データ１０に付加されて，両者は，インタ
ーネット５０を介してトラストセンターのシグネチャサ
ーバに伝達される。さらに，スマートカードのユーザの
アイデンティフィケーションが，シグネチャサーバに伝
達される。
成功した後に，署名すべきデータ１０は，スマートカー
ドに伝達される。機能ブロック１１では，ハッシュ関数
を使用して，データ１０からハッシュ値１２が形成され
る。あるいは，ハッシュ値１２を直接スマートカードに
伝達することもできる。かかるハッシュ値１２は，機能
ブロック１３で，スマートカードに格納されているプラ
イベートキー１４を使用して暗号化される。暗号化され
たハッシュ値は，署名（シグネチャ）１５と称される。
署名１５は，データ１０に付加されて，両者は，インタ
ーネット５０を介してトラストセンターのシグネチャサ
ーバに伝達される。さらに，スマートカードのユーザの
アイデンティフィケーションが，シグネチャサーバに伝
達される。
【００６４】シグネチャサーバでは，データ１０は署名
１５から分離される。署名１５は，機能ブロック５１
で，シグネチャサーバに格納されているパブリックキー
５２により復号化される。復号化されたハッシュ値は，
参照符号５３で示されている。パブリックキー５２は，
ユーザデータバンクからユーザアイデンティフィケーシ
ョンを使用して選択される。
１５から分離される。署名１５は，機能ブロック５１
で，シグネチャサーバに格納されているパブリックキー
５２により復号化される。復号化されたハッシュ値は，
参照符号５３で示されている。パブリックキー５２は，
ユーザデータバンクからユーザアイデンティフィケーシ
ョンを使用して選択される。
【００６５】機能ブロック５４では，データ１０から，
機能ブロック１１で使用されたものと同一のハッシュ関
数を使用して他のハッシュ値５５が求められる。
機能ブロック１１で使用されたものと同一のハッシュ関
数を使用して他のハッシュ値５５が求められる。
【００６６】判断ブロック５６では，復号化されたハッ
シュ値５３が，他のハッシュ値５５と一致するか否かが
判断される。これは，ユーザデータバンクに伝達された
ユーザアイデンティフィケーションについてパブリック
キー５２が格納されていない場合，あるいは誤ったパブ
リックキー５２が格納されている場合には，ハッシュ値
は一致しない。この場合には，処理は終了されて，デー
タは署名又は暗号化されることも，制御装置のメモリ装
置に格納されることもない。
シュ値５３が，他のハッシュ値５５と一致するか否かが
判断される。これは，ユーザデータバンクに伝達された
ユーザアイデンティフィケーションについてパブリック
キー５２が格納されていない場合，あるいは誤ったパブ
リックキー５２が格納されている場合には，ハッシュ値
は一致しない。この場合には，処理は終了されて，デー
タは署名又は暗号化されることも，制御装置のメモリ装
置に格納されることもない。
【００６７】一方，復号化されたハッシュ値５３が，求
められたハッシュ値５５と一致する場合には，プライベ
ートキーが正規であると推定される。この場合には，図
５に示すような処理が続行される。
められたハッシュ値５５と一致する場合には，プライベ
ートキーが正規であると推定される。この場合には，図
５に示すような処理が続行される。
【００６８】即ち，図５に示すように，機能ブロック５
７で，他のハッシュ関数を使用してデータ１０から他の
ハッシュ値５８が形成される。他のハッシュ値５８は，
機能ブロック５９で，シグネチャサーバに存在している
プライベートキー６０を使用して暗号化される。暗号化
されたハッシュ値は，署名（シグネチャ）６１と称され
る。署名６１は，データ１０に付加されて，両者は，好
適なデータインターフェイスを介して車両の制御装置に
伝達されて，メモリ装置に格納される。
７で，他のハッシュ関数を使用してデータ１０から他の
ハッシュ値５８が形成される。他のハッシュ値５８は，
機能ブロック５９で，シグネチャサーバに存在している
プライベートキー６０を使用して暗号化される。暗号化
されたハッシュ値は，署名（シグネチャ）６１と称され
る。署名６１は，データ１０に付加されて，両者は，好
適なデータインターフェイスを介して車両の制御装置に
伝達されて，メモリ装置に格納される。
【００６９】制御装置内で，データ１０は，署名６１か
ら分離される。署名６１は，機能ブロック１６におい
て，パブリックキー１７によって復号化される。復号化
されたハッシュ値は，参照符号１８で示されている。
ら分離される。署名６１は，機能ブロック１６におい
て，パブリックキー１７によって復号化される。復号化
されたハッシュ値は，参照符号１８で示されている。
【００７０】機能ブロック１９では，データ１０から，
機能ブロック５７で使用されたのと同一のハッシュ関数
を使用して，他のハッシュ値が求められる。
機能ブロック５７で使用されたのと同一のハッシュ関数
を使用して，他のハッシュ値が求められる。
【００７１】判断ブロック２１では，復号化されたハッ
シュ値１８が他のハッシュ値２０一致するか否かが判断
される。一致すると判断される場合には，データ１０
は，利用を許可される。一致しないと判断される場合に
は，データ１０は阻止されて，利用できない。
シュ値１８が他のハッシュ値２０一致するか否かが判断
される。一致すると判断される場合には，データ１０
は，利用を許可される。一致しないと判断される場合に
は，データ１０は阻止されて，利用できない。
【００７２】上記方法の代わりに，ハッシュ値１２を単
純に要請メールに結合して，Ｅメールを，スマートカー
ドに格納されているプライベートキー１４により署名さ
れるように構成することもできる。この場合には，Ｅメ
ールは，インターネット６０を介してシグネチャサーバ
に伝達されて，Ｅメールの署名が判断される。その後，
制御装置内で，暗号化されたハッシュ値６１を再びデー
タ１０に付加することができる。
純に要請メールに結合して，Ｅメールを，スマートカー
ドに格納されているプライベートキー１４により署名さ
れるように構成することもできる。この場合には，Ｅメ
ールは，インターネット６０を介してシグネチャサーバ
に伝達されて，Ｅメールの署名が判断される。その後，
制御装置内で，暗号化されたハッシュ値６１を再びデー
タ１０に付加することができる。
【００７３】次に，図６に基づいて，本実施形態にかか
るシグネチャサーバを有するトラストセンターについて
説明する。なお，図６は，マイクロコンピュータシステ
ムを有するトラストセンターの構成を示すブロック図で
ある。
るシグネチャサーバを有するトラストセンターについて
説明する。なお，図６は，マイクロコンピュータシステ
ムを有するトラストセンターの構成を示すブロック図で
ある。
【００７４】シグネチャサーバ７０は，インターネット
５０を介してマイクロコンピュータ７２と接続されてお
り，マイクロコンピュータ７２に好適なインターフェイ
ス７３を介してスマートカード７４が接続されている。
スマートカード７４の詳細に説明は，後述する。
５０を介してマイクロコンピュータ７２と接続されてお
り，マイクロコンピュータ７２に好適なインターフェイ
ス７３を介してスマートカード７４が接続されている。
スマートカード７４の詳細に説明は，後述する。
【００７５】マイクロコンピュータ７２は，例えばパー
ソナルコンピュータ（ＰＣ）として形成されている。マ
イクロコンピュータ７２には，データ１０（例えば車両
制御装置７５用のデータ），制御装置７５のメモリ装置
７６に格納すべき新しい制御プログラムが格納されてい
る。参照符号７７は，制御装置７５の計算機（例えばマ
イクロプロセッサ）を示している。
ソナルコンピュータ（ＰＣ）として形成されている。マ
イクロコンピュータ７２には，データ１０（例えば車両
制御装置７５用のデータ），制御装置７５のメモリ装置
７６に格納すべき新しい制御プログラムが格納されてい
る。参照符号７７は，制御装置７５の計算機（例えばマ
イクロプロセッサ）を示している。
【００７６】まず，ユーザの権限が，スマートカード７
４に対応づけられたＰＩＮの入力と検査を介して判断さ
れる。ユーザが権限を有する場合には，新しい制御プロ
グラム１０がスマートカード７４に格納されているプラ
イベートキー１４及び暗号化アルゴリズムにより，シグ
ネチャサーバ７０にデータ伝送するために署名又は暗号
化される。
４に対応づけられたＰＩＮの入力と検査を介して判断さ
れる。ユーザが権限を有する場合には，新しい制御プロ
グラム１０がスマートカード７４に格納されているプラ
イベートキー１４及び暗号化アルゴリズムにより，シグ
ネチャサーバ７０にデータ伝送するために署名又は暗号
化される。
【００７７】署名又は暗号化された制御プログラムは，
ユーザアイデンティフィケーションと共に，インターネ
ット５０を介してシグネチャサーバ７０に伝達される。
インターネット５０とシグネチャサーバ７０との間に
は，安全上の理由からファイアウォール７８が配置され
ており，かかるファイアウォールによってインターネッ
ト５０からシグネチャサーバ７０への権限のないアクセ
スを阻止することができる。データ伝達は，例えば電子
郵便の形式で，特に簡易メール転送プロトコル（ＳＭＴ
Ｐ）基準に基づくＥメールの形式で行われる。
ユーザアイデンティフィケーションと共に，インターネ
ット５０を介してシグネチャサーバ７０に伝達される。
インターネット５０とシグネチャサーバ７０との間に
は，安全上の理由からファイアウォール７８が配置され
ており，かかるファイアウォールによってインターネッ
ト５０からシグネチャサーバ７０への権限のないアクセ
スを阻止することができる。データ伝達は，例えば電子
郵便の形式で，特に簡易メール転送プロトコル（ＳＭＴ
Ｐ）基準に基づくＥメールの形式で行われる。
【００７８】シグネチャサーバ７０上で，受信された制
御プログラムがパブリックキー５２を使用して検証され
る。パブリックキー５２は，ユーザデータバンク７９か
らユーザアイデンティフィケーションに従って取り出さ
れる。
御プログラムがパブリックキー５２を使用して検証され
る。パブリックキー５２は，ユーザデータバンク７９か
らユーザアイデンティフィケーションに従って取り出さ
れる。
【００７９】ユーザが自己のスマートカード７４を紛失
した場合には，ユーザデータバンク７９内で，紛失した
スマートカード７４に格納されているプライベートキー
１４に適合する，このユーザに対応づけられたパブリッ
クキー５２を即座に消去することができる。
した場合には，ユーザデータバンク７９内で，紛失した
スマートカード７４に格納されているプライベートキー
１４に適合する，このユーザに対応づけられたパブリッ
クキー５２を即座に消去することができる。
【００８０】その後に，ユーザデータバンク７９に，新
しいスマートカード７４に格納されている新しいプライ
ベートキー１４に適合する，このユーザのために新しい
パブリックキー５２が格納された場合には，この新しい
パブリックキー５２が検証に利用され，かつまだ古いプ
ライベートキー１４によって署名され，あるいは暗号化
されているデータにおいては，エラー報告をもたらす。
しいスマートカード７４に格納されている新しいプライ
ベートキー１４に適合する，このユーザのために新しい
パブリックキー５２が格納された場合には，この新しい
パブリックキー５２が検証に利用され，かつまだ古いプ
ライベートキー１４によって署名され，あるいは暗号化
されているデータにおいては，エラー報告をもたらす。
【００８１】従って，スマートカード７４の紛失と，そ
れに伴ってプライベートキー１４の紛失もユーザデータ
バンク７９内でメモされた場合には，即座に，このプラ
イベートキー１４により署名又は暗号化されているデー
タは，もはやシグネチャサーバ７０によって受け入れら
れることはない。
れに伴ってプライベートキー１４の紛失もユーザデータ
バンク７９内でメモされた場合には，即座に，このプラ
イベートキー１４により署名又は暗号化されているデー
タは，もはやシグネチャサーバ７０によって受け入れら
れることはない。
【００８２】プロジェクトデータバンク８０には，個々
のユーザの権限が格納されている。転送されたユーザア
イデンティフィケーションに従ってプロジェクトデータ
バンク８０を使用して，そもそもユーザが要請されてい
る制御プログラムの署名又は暗号化の権限を有している
か否かが判断される。ユーザデータバンク７９はとプロ
ジェクトデータバンク８０は，共通のデータバンクに統
合することもできる。
のユーザの権限が格納されている。転送されたユーザア
イデンティフィケーションに従ってプロジェクトデータ
バンク８０を使用して，そもそもユーザが要請されてい
る制御プログラムの署名又は暗号化の権限を有している
か否かが判断される。ユーザデータバンク７９はとプロ
ジェクトデータバンク８０は，共通のデータバンクに統
合することもできる。
【００８３】シグネチャサーバ７０に伝達された制御プ
ログラムが成功裏に検証されて，ユーザが制御プログラ
ムの署名又は暗号化の権限を有している場合には，伝達
された制御プログラムはシグネチャサーバ７０に存在し
ているプライベートキー６０によって署名又は暗号化さ
れる。
ログラムが成功裏に検証されて，ユーザが制御プログラ
ムの署名又は暗号化の権限を有している場合には，伝達
された制御プログラムはシグネチャサーバ７０に存在し
ているプライベートキー６０によって署名又は暗号化さ
れる。
【００８４】プライベートキー６０は，トラストセンタ
ー７１内でサーティフィケーションオーソリティ８１に
よって生成されて，好ましくはオフラインでシグネチャ
サーバ７０に伝達される。署名又は暗号化された制御プ
ログラムは，その後，再びインターネット５０を介し
て，かつ好ましくはファイアウォール７８も介してマイ
クロコンピュータ７２に伝達される。その後，署名又は
暗号化された制御プログラムは，制御装置７５に伝達さ
れてメモリ装置７６に格納される。
ー７１内でサーティフィケーションオーソリティ８１に
よって生成されて，好ましくはオフラインでシグネチャ
サーバ７０に伝達される。署名又は暗号化された制御プ
ログラムは，その後，再びインターネット５０を介し
て，かつ好ましくはファイアウォール７８も介してマイ
クロコンピュータ７２に伝達される。その後，署名又は
暗号化された制御プログラムは，制御装置７５に伝達さ
れてメモリ装置７６に格納される。
【００８５】シグネチャサーバ７０は，マイクロプロセ
ッサ８２として形成された計算機とメモリ装置８３とを
有する完全なマイクロコンピュータを有している。シグ
ネチャサーバ７０のメモリ装置８３には，非対称の暗号
化方法のためのプライベートキー６０と暗号化アルゴリ
ズムが書込み及び読取り保護されて設けられている。
ッサ８２として形成された計算機とメモリ装置８３とを
有する完全なマイクロコンピュータを有している。シグ
ネチャサーバ７０のメモリ装置８３には，非対称の暗号
化方法のためのプライベートキー６０と暗号化アルゴリ
ズムが書込み及び読取り保護されて設けられている。
【００８６】メモリ装置８３には，さらに，コンピュー
タプログラムが格納されており，そのコンピュータプロ
グラムは，マイクロプロセッサ８２上で遂行可能であっ
て，図４及び図５で「シグネチャサーバ」によって示さ
れる部分を実施するのに適している。
タプログラムが格納されており，そのコンピュータプロ
グラムは，マイクロプロセッサ８２上で遂行可能であっ
て，図４及び図５で「シグネチャサーバ」によって示さ
れる部分を実施するのに適している。
【００８７】トラストセンター７１に，例えば種々の会
社に対応づけられた，複数のシグネチャサーバ７０を設
けることもできる。同様に，トラストセンター７１に，
複数のユーザデータバンク７９及び／又はプロジェクト
データバンク８０を設けることもできる。
社に対応づけられた，複数のシグネチャサーバ７０を設
けることもできる。同様に，トラストセンター７１に，
複数のユーザデータバンク７９及び／又はプロジェクト
データバンク８０を設けることもできる。
【００８８】次に，図７に基づいて，本実施形態にかか
るスマートカードについて説明する。なお，図７は，本
実施形態にかかるスマートカードの構成を示すブロック
図である。
るスマートカードについて説明する。なお，図７は，本
実施形態にかかるスマートカードの構成を示すブロック
図である。
【００８９】まず，図７に示すように，スマートカード
７４は，プラスチックから形成されており，マイクロプ
ロセッサ９０として形成された計算機とメモリ装置９１
とを有する完全なマイクロコンピュータを有している。
７４は，プラスチックから形成されており，マイクロプ
ロセッサ９０として形成された計算機とメモリ装置９１
とを有する完全なマイクロコンピュータを有している。
【００９０】マイクロコンピュータ全体は，スマートカ
ード７４の表面と面一で密閉されて挿入されている。マ
イクロプロセッサ９０は，スマートカード７４の表面に
配置された接触領域９２を介して，スマートカード７４
の外部にある電気的な構成素子，例えば書込み／読取り
ユニット（図示せず）と接続することができる。
ード７４の表面と面一で密閉されて挿入されている。マ
イクロプロセッサ９０は，スマートカード７４の表面に
配置された接触領域９２を介して，スマートカード７４
の外部にある電気的な構成素子，例えば書込み／読取り
ユニット（図示せず）と接続することができる。
【００９１】スマートカード７４のメモリ装置９１に
は，非対称の暗号化方法のためのプライベートキー１４
と暗号化アルゴリズムが書込み及び読取り保護されて格
納されている。メモリ装置９１には，さらに，コンピュ
ータプログラムが格納されており，そのコンピュータプ
ログラムはマイクロプロセッサ９０上で遂行可能であっ
て，かつ図２，図４及び図５に「スマートカード」によ
って示される部分を実施するのに適している。
は，非対称の暗号化方法のためのプライベートキー１４
と暗号化アルゴリズムが書込み及び読取り保護されて格
納されている。メモリ装置９１には，さらに，コンピュ
ータプログラムが格納されており，そのコンピュータプ
ログラムはマイクロプロセッサ９０上で遂行可能であっ
て，かつ図２，図４及び図５に「スマートカード」によ
って示される部分を実施するのに適している。
【００９２】本実施形態においては，スマートカードに
格納されているプライベートキーは，単に他のマイクロ
コンピュータシステムへデータを伝達するためにデータ
を署名または暗号化するためだけに使用される。マイク
ロコンピュータシステム（例えば制御装置）のメモリ装
置に格納するための，データの本来の暗号化は，他のマ
イクロコンピュータシステムに格納されている他のプラ
イベートキーと他の暗号化アルゴリズムによって行われ
る。他のマイクロコンピュータシステムは，例えば，ト
ラストセンターの一部であるシグネチャサーバである。
シグネチャサーバ上で，危険にさらされたプライベート
キーを，制御装置のメモリ装置に格納するためにデータ
を署名または暗号化する前に阻止することができる。し
たがって，権限のない人物の手にわたったプライベート
キーの悪用を，著しく減少させることができる。
格納されているプライベートキーは，単に他のマイクロ
コンピュータシステムへデータを伝達するためにデータ
を署名または暗号化するためだけに使用される。マイク
ロコンピュータシステム（例えば制御装置）のメモリ装
置に格納するための，データの本来の暗号化は，他のマ
イクロコンピュータシステムに格納されている他のプラ
イベートキーと他の暗号化アルゴリズムによって行われ
る。他のマイクロコンピュータシステムは，例えば，ト
ラストセンターの一部であるシグネチャサーバである。
シグネチャサーバ上で，危険にさらされたプライベート
キーを，制御装置のメモリ装置に格納するためにデータ
を署名または暗号化する前に阻止することができる。し
たがって，権限のない人物の手にわたったプライベート
キーの悪用を，著しく減少させることができる。
【００９３】以上，本発明に係る好適な実施の形態につ
いて説明したが，本発明はかかる構成に限定されない。
当業者であれば，特許請求の範囲に記載された技術思想
の範囲内において，各種の修正例および変更例を想定し
得るものであり，それらの修正例および変更例について
も本発明の技術範囲に包含されるものと了解される。
いて説明したが，本発明はかかる構成に限定されない。
当業者であれば，特許請求の範囲に記載された技術思想
の範囲内において，各種の修正例および変更例を想定し
得るものであり，それらの修正例および変更例について
も本発明の技術範囲に包含されるものと了解される。
【００９４】例えば，上記第２の実施の形態において
は，他のマイクロコンピュータシステムへのデータの伝
達は，インターネットを介しておこなう構成を例に挙げ
て説明したが，かかる例には限定されない。例えば，ロ
ーカルコンピュータネットワークを介して，あるいは任
意の他のネットワークを介しておこなうことができる。
は，他のマイクロコンピュータシステムへのデータの伝
達は，インターネットを介しておこなう構成を例に挙げ
て説明したが，かかる例には限定されない。例えば，ロ
ーカルコンピュータネットワークを介して，あるいは任
意の他のネットワークを介しておこなうことができる。
【００９５】
【発明の効果】ＰＩＮ保護されたスマートカードの使用
によって，権限のない人物の手にわたったプライベート
キーの悪用を著しく食い止めることができる。
によって，権限のない人物の手にわたったプライベート
キーの悪用を著しく食い止めることができる。
【図１】第１の実施の形態にかかるマイクロコンピュー
タシステムの保護方法の動作フローを示すフローチャー
トである。
タシステムの保護方法の動作フローを示すフローチャー
トである。
【図２】第１の実施の形態にかかるコンピュータの保護
方法を説明するためのブロック図である。
方法を説明するためのブロック図である。
【図３】第２の実施の形態にかかるマイクロコンピュー
タシステムの保護方法の動作フローを示すフローチャー
トである。
タシステムの保護方法の動作フローを示すフローチャー
トである。
【図４】第２の実施の形態にかかるコンピュータの保護
方法を説明するためのブロック図である。
方法を説明するためのブロック図である。
【図５】第２の実施の形態にかかるコンピュータの保護
方法を説明するためのブロック図である。
方法を説明するためのブロック図である。
【図６】マイクロコンピュータシステムを有するトラス
トセンターの構成を示すブロック図である。
トセンターの構成を示すブロック図である。
【図７】スマートカードの構成を示すブロック図であ
る。
る。
１０ データ １２ ハッシュ値 １４ プライベートキー １５ 署名 １７ パブリックキー １８ ハッシュ値 ２０ 他のハッシュ値 ５０ インターネット ７０ シグネチャサーバ ７１ トラストセンター ７２ マイクロコンピュータ ７４ スマートカード ７５ 制御装置 ７６ メモリ装置 ７８ ファイアウォール ７９ ユーザデータバンク ８０ プロジェクトデータバンク ８１ サーティフィケーションオーソリティ ８２ マイクロプロセッサ ８３ メモリ装置
フロントページの続き (72)発明者 クラウス シュナイダー ドイツ連邦共和国 71640 ルートヴィヒ スバ−ク ハンザアテンシュトラーセ 22 (72)発明者 ラルフ アンガーバウアー ドイツ連邦共和国 70376 シュトゥット ガルト アウシュトラーセ 113 (72)発明者 ベルント イルク ドイツ連邦共和国 75031 エピンゲン ゲラニエンシュトラーセ ７／１ Ｆターム(参考） 5B017 AA03 AA08 BA05 BA07 CA11 5B035 AA13 BB09 BC03 CA11
Claims (19)
- 【請求項１】 マイクロコンピュータシステムのメモリ
装置に記憶されている，非対称の暗号化方法によって署
名又は暗号化されたデータの操作に対するマイクロコン
ピュータシステムの保護方法であって，前記データの署
名又は暗号化のために，パーソナルアイデンティフィケ
ーションナンバーで保護されたスマートカードが使用さ
れ，かつ，前記スマートカードには，非対称の暗号化方
法のためのプライベートキーと暗号化アルゴリズムが格
納されている，ことを特徴とするマイクロコンピュータ
システムの保護方法。 - 【請求項２】 ユーザの権限が，前記パーソナルアイデ
ンティフィケーションナンバーを使用して検査され，前
記署名又は暗号化すべきデータは，前記ユーザの権限が
確認された場合においてのみ，スマートカードに格納さ
れているプライベートキー及び暗号化アルゴリズムによ
って署名又は暗号化されて，メモリ装置に格納される，
ことを特徴とする請求項１に記載のマイクロコンピュー
タシステムの保護方法。 - 【請求項３】 前記ユーザの権限がパーソナルアイデン
ティフィケーションナンバーを使用して検査され，前記
ユーザの権限が確認された場合においてのみ，前記署名
又は暗号化すべきデータが他のマイクロコンピュータシ
ステムに伝達され，前記伝達されたデータは，前記他の
マイクロコンピュータシステムに格納されている他のプ
ライベートキー及び他の暗号化アルゴリズムによって署
名又は暗号化されて，メモリ装置に格納される，ことを
特徴とする請求項１に記載のマイクロコンピュータシス
テムの保護方法。 - 【請求項４】 前記署名又は暗号化すべきデータは，前
記スマートカードに格納されているプライベートキー及
び暗号化アルゴリズムによって署名又は暗号化されて，
前記他のマイクロコンピュータシステムに伝達され，前
記伝達されたデータは，スマートカードに格納されてい
るプライベートキーを認証するために検証され，前記ス
マートカードに格納されているプライベートキーの認証
に成功した場合には，前記データは，前記他のプライベ
ートキーと前記他の暗号化アルゴリズムによって署名又
は暗号化されて，前記メモリ装置に格納される，ことを
特徴とする請求項３に記載のマイクロコンピュータシス
テムの保護方法。 - 【請求項５】 署名されたデータを検証するために，前
記伝達されたデータの署名がパブリックキーによって復
号化されて，前記伝達されたデータと比較され，前記復
号化されたデータが前記伝達されたデータと一致した場
合に，前記認証の成功が確認される，ことを特徴とする
請求項４に記載のマイクロコンピュータシステムの保護
方法。 - 【請求項６】 前記データの署名のために，前記署名す
べきデータからチェックサム関数を使用してチェックサ
ム値が求められ，前記チェックサム値は，前記スマート
カードに格納されている前記プライベートキー及び前記
暗号化アルゴリズムによって署名として暗号化され，前
記署名が前記データと共に，前記他のマイクロコンピュ
ータシステムに伝達され，前記署名されたデータを検証
するために署名が他のマイクロコンピュータシステムに
格納されているパブリックキーによって復号化され，前
記伝達されたデータからチェックサム関数を使用して他
のチェックサム値が計算され，前記復号化されたチェッ
クサム値が他のチェックサム値と比較され，前記復号化
されたチェックサム値が前記他のチェックサム値と一致
した場合に，認証の成功が確認される，ことを特徴とす
る請求項５に記載のマイクロコンピュータシステムの保
護方法。 - 【請求項７】 前記データと共に，ユーザのアイデンテ
ィフィケーションが，前記他のコンピュータシステムに
伝達され，前記パブリックキーが，前記ユーザの前記ア
イデンティフィケーションに従ってユーザデータバンク
から取り出される，ことを特徴とする請求項５又は６に
記載のマイクロコンピュータシステムの保護方法。 - 【請求項８】 前記データと共に，前記ユーザの前記ア
イデンティフィケーションが前記他のコンピュータシス
テムに伝達され，各データを署名又は暗号化するための
各ユーザの権限は，前記ユーザアイデンティフィケーシ
ョンに従ってプロジェクトデータバンクから取り出され
て，前記メモリ装置に格納するための署名又は暗号化す
る際に，考慮される，ことを特徴とする請求項３，４，
５，６あるいは７項のうちいずれか１項に記載のマイク
ロコンピュータシステムの保護方法。 - 【請求項９】 前記他のマイクロコンピュータシステム
への，あるいは前記他のマイクロコンピュータシステム
からのデータ伝達は，インターネットを介して実施され
る，ことを特徴とする請求項３，４，５，６，７あるい
は８項のうちいずれか１項に記載のマイクロコンピュー
タシステムの保護方法。 - 【請求項１０】 少なくとも前記他のマイクロコンピュ
ータシステムへのデータ伝達は，電子メールとして，簡
易メール転送プロトコル基準に基づいて実施される，こ
とを特徴とする請求項９に記載のマイクロコンピュータ
システムの保護方法。 - 【請求項１１】 前記データの署名又は暗号化がプロト
コル化されて，前記プロトコルが記憶される，ことを特
徴とする請求項３，４，５，６，７，８，９あるいは１
０項のうちいずれか１項に記載のマイクロコンピュータ
システムの保護方法。 - 【請求項１２】 コンピュータに対し，請求項１〜１１
のいずれか１項に記載の方法を実施させるコンピュータ
プログラムが格納されている，スマートカード用あるい
はマイクロコンピュータシステム用のメモリ装置。 - 【請求項１３】 コンピュータに対し，請求項１〜１１
のいずれか１項に記載の方法を実施させるコンピュータ
プログラム。 - 【請求項１４】 前記コンピュータプログラムは，メモ
リ装置に格納されている，ことを特徴とする請求項１３
に記載のコンピュータプログラム。 - 【請求項１５】 計算機とメモリ装置とを有するスマー
トカードにおいて，前記スマートカードは，パーソナル
アイデンティフィケーションナンバーによって保護され
ており，かつ，前記メモリ装置には，非対称暗号化方法
によってデータを署名又は暗号化するためのプライベー
トキー及び暗号化アルゴリズムが格納されている，こと
を特徴とするスマートカード。 - 【請求項１６】 前記メモリ装置には，コンピュータプ
ログラムが格納されており，かつ，前記コンピュータプ
ログラムは，請求項２〜１１のいずれか１項に記載の方
法を計算機上で実行可能である，ことを特徴とする請求
項１５に記載のスマートカード。 - 【請求項１７】 計算機及びメモリ装置とを有するマイ
クロコンピュータシステムにおいて，前記マイクロコン
ピュータシステムは，請求項３〜１１のいずれか１項に
記載の方法を実施する手段を有している，ことを特徴と
するマイクロコンピュータシステム。 - 【請求項１８】 前記方法を実施する手段は，前記メモ
リ装置に格納され，かつ前記計算機上で実行可能なコン
ピュータプログラムとして形成されている，ことを特徴
とする請求項１７に記載のマイクロコンピュータシステ
ム。 - 【請求項１９】 前記マイクロコンピュータシステム
は，データ接続を介してマイクロコンピュータシステム
への権限のないアクセスを阻止するために，データ接続
に対するセイフティロック素子を有しており，その場合
に，前記マイクロコンピュータシステムへの各アクセス
は，セイフティロック素子を介して実行される，ことを
特徴とする請求項１７又は１８に記載のマイクロコンピ
ュータシステム。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| DE10123169A DE10123169A1 (de) | 2001-05-12 | 2001-05-12 | Verfahren zum Schutz eines Mikrorechner-Systems gegen Manipulation von in einer Speicheranordnung des Mikrorechner-Systems gespeicherten Daten |
| DE10123169.5 | 2001-05-12 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2002373116A true JP2002373116A (ja) | 2002-12-26 |
Family
ID=7684566
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002135053A Pending JP2002373116A (ja) | 2001-05-12 | 2002-05-10 | マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US7213267B2 (ja) |
| JP (1) | JP2002373116A (ja) |
| DE (1) | DE10123169A1 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2008088622A1 (en) * | 2007-01-19 | 2008-07-24 | Microsoft Corporation | Secure pin transmission |
| WO2019163026A1 (ja) * | 2018-02-21 | 2019-08-29 | 三菱電機株式会社 | 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 |
Families Citing this family (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7478248B2 (en) * | 2002-11-27 | 2009-01-13 | M-Systems Flash Disk Pioneers, Ltd. | Apparatus and method for securing data on a portable storage device |
| US7178724B2 (en) * | 2003-04-21 | 2007-02-20 | Stmicroelectronics, Inc. | Smart card device and method used for transmitting and receiving secure e-mails |
| WO2005004368A2 (en) * | 2003-07-07 | 2005-01-13 | Lg Electronics, Inc. | Upgrade apparatus and its method for home network system |
| CA2457478A1 (en) * | 2004-02-12 | 2005-08-12 | Opersys Inc. | System and method for warranting electronic mail using a hybrid public key encryption scheme |
| DE102004046291A1 (de) * | 2004-09-24 | 2006-03-30 | Robert Bosch Gmbh | Verfahren und Vorrichtung zur Signaturbildung |
| DE102004047191A1 (de) * | 2004-09-29 | 2006-04-06 | Robert Bosch Gmbh | Manipulationsgeschütztes Mikroprozessorsystem und Betriebsverfahren dafür |
| US20060130154A1 (en) * | 2004-11-30 | 2006-06-15 | Wai Lam | Method and system for protecting and verifying stored data |
| US20080216067A1 (en) * | 2005-04-04 | 2008-09-04 | Volvo Lastvagnar Ab | Arrangement and Method for Programming Motor Vehicles |
| US20070061567A1 (en) * | 2005-09-10 | 2007-03-15 | Glen Day | Digital information protection system |
| US8132014B2 (en) * | 2006-08-29 | 2012-03-06 | Xerox Corporation | Image archiver |
| US8695087B2 (en) | 2008-04-04 | 2014-04-08 | Sandisk Il Ltd. | Access control for a memory device |
| US9031735B2 (en) * | 2009-08-28 | 2015-05-12 | Volvo Lastvagnar Ab | Tampering detection method |
| CN105631362A (zh) * | 2014-10-29 | 2016-06-01 | 奇方科技有限公司 | 微控制器加密的方法 |
| DE102014019407A1 (de) * | 2014-12-22 | 2016-06-23 | Technisat Digital Gmbh | Verfahren zur Freischaltung eines Zugriffs auf in einem Gerät geschützt gespeicherte Daten und Anordnung zur Durchführung des Verfahrens |
| DE102018006368A1 (de) | 2018-08-13 | 2019-02-14 | Daimler Ag | Verfahren zum Schutz gegen eine Manipulation einer Software eines Fahrzeugs |
| EP3620660B1 (de) * | 2019-08-06 | 2021-07-28 | Pfeiffer Vacuum Gmbh | Vakuumgerät |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5778071A (en) * | 1994-07-12 | 1998-07-07 | Information Resource Engineering, Inc. | Pocket encrypting and authenticating communications device |
| US5768390A (en) | 1995-10-25 | 1998-06-16 | International Business Machines Corporation | Cryptographic system with masking |
| US5774544A (en) | 1996-03-28 | 1998-06-30 | Advanced Micro Devices, Inc. | Method an apparatus for encrypting and decrypting microprocessor serial numbers |
| US5949882A (en) * | 1996-12-13 | 1999-09-07 | Compaq Computer Corporation | Method and apparatus for allowing access to secured computer resources by utilzing a password and an external encryption algorithm |
| DE19723332A1 (de) | 1997-06-04 | 1998-09-03 | Bosch Gmbh Robert | Verfahren zum Schutz eines Mikrorechners und geschützter Mikrorechner |
-
2001
- 2001-05-12 DE DE10123169A patent/DE10123169A1/de not_active Ceased
-
2002
- 2002-05-10 JP JP2002135053A patent/JP2002373116A/ja active Pending
- 2002-05-13 US US10/145,299 patent/US7213267B2/en not_active Expired - Fee Related
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2008088622A1 (en) * | 2007-01-19 | 2008-07-24 | Microsoft Corporation | Secure pin transmission |
| WO2019163026A1 (ja) * | 2018-02-21 | 2019-08-29 | 三菱電機株式会社 | 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 |
| JPWO2019163026A1 (ja) * | 2018-02-21 | 2020-08-20 | 三菱電機株式会社 | 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 |
| CN111788458A (zh) * | 2018-02-21 | 2020-10-16 | 三菱电机株式会社 | 车载功能访问控制系统、车载装置及车载功能访问控制方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| US7213267B2 (en) | 2007-05-01 |
| US20020194479A1 (en) | 2002-12-19 |
| DE10123169A1 (de) | 2002-11-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4733840B2 (ja) | 署名方法 | |
| EP1407339B1 (en) | Firmware validation | |
| US8689292B2 (en) | Method and systems for dynamically providing communities of interest on an end user workstation | |
| US7370211B2 (en) | Arrangement and method of execution of code | |
| JP4091744B2 (ja) | コンピュータ装置およびその動作方法 | |
| KR100806477B1 (ko) | 리모트 액세스 시스템, 게이트웨이, 클라이언트 기기,프로그램 및 기억 매체 | |
| JP2002373116A (ja) | マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステム | |
| US7181615B2 (en) | Method and system for vehicle authentication of a remote access device | |
| US7844832B2 (en) | System and method for data source authentication and protection system using biometrics for openly exchanged computer files | |
| US20040088541A1 (en) | Digital-rights management system | |
| KR100670005B1 (ko) | 모바일 플랫폼을 위한 메모리의 무결성을 원격으로 확인하는 확인장치 및 그 시스템 그리고 무결성 확인 방법 | |
| US20080148046A1 (en) | Real-Time Checking of Online Digital Certificates | |
| JP2001255953A (ja) | 認可証を用いて権限を与える方法 | |
| JP2004326796A (ja) | 高度機密保護機能を要求するアプリケーションを実行する方法における、端末とアプリケーションとの安全確保の方法、通信端末、識別モジュール | |
| US20150127930A1 (en) | Authenticated device initialization | |
| CN111651748A (zh) | 一种车内ecu的安全访问处理系统及其方法 | |
| JP4618999B2 (ja) | 制御装置 | |
| US20040003232A1 (en) | Method and system for vehicle component authentication of another vehicle component | |
| JP5183517B2 (ja) | 情報処理装置及びプログラム | |
| CN110532777B (zh) | 安全启动系统及方法、终端设备及其核心系统 | |
| JP2008226191A (ja) | 情報処理端末認証システム及び情報処理端末認証方法，情報処理端末認証用プログラム | |
| JP4321303B2 (ja) | プログラム配信システムおよび車載ゲートウェイ装置 | |
| US20230179432A1 (en) | Policies for hardware changes or cover opening in computing devices | |
| CN114253621B (zh) | 终端的运行环境的配置方法、计算机设备及可读存储介质 | |
| CN108886529B (zh) | 用于远程地控制车辆的系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050510 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20081021 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20090317 |