JP2003504959A

JP2003504959A - 移動局認証での使用のために分散ｒａｎｄ信号を確実に送信するための方法及び装置

Info

Publication number: JP2003504959A
Application number: JP2001510185A
Authority: JP
Inventors: ローズ、グレゴリー・ジー
Original assignee: Qualcomm Inc
Current assignee: Qualcomm Inc
Priority date: 1999-07-09
Filing date: 2000-07-07
Publication date: 2003-02-04
Also published as: WO2001005091A1; ATE322113T1; EP1197035A1; ES2263479T3; US6529487B1; US20030142644A1; EP1197035B1; AU5923800A; HK1045420A1; DK1197035T3; BR0012231A; KR20020026529A; PT1197035E; DE60027006D1; US7773553B2; DE60027006T2; CN1360773A

Abstract

(57)【要約】【課題】移動局認証での使用のための分散ＲＡＮＤ信号を確実に送信するための方法及び装置【解決手段】ランダムチャレンジ値を発生して移動局に通信するための方法及び装置は、正確にランダムな数の予測不能性を失わずにセルラシステムを通して簡単にそして経済的に同期化できることを明らかにされる。この方法及び装置は、第２のバイナリ数を得るために第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用することにより、第３のバイナリ数を得るために第１のバイナリ数の複数の最下位ビットについて第２のアルゴリズムで演算することにより、及び更新バイナリ数を得るために第２及び第３の数の連接にブロック暗号を適用することにより、セルラ電話システム認証手順において使用されるであろうバイナリ数を更新する。更新バイナリ数の最上位ビットがオールゼロ数を具備する時に、それらは第２及び第３の数の連接の最上位ビットで置換される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は一般にディジタル電話技術に関し、そして特にセルラ電話システム内
の移動局の認証(authentication)に関する。

【０００２】

【従来の技術】

無線通信分野は、例えば、コードレス電話、ページング、無線ローカルループ
、及び衛星通信システムを含む多くのアプリケーションを有する。特に重要なア
プリケーションは、移動体加入者のためのセルラ電話システムである。（この中
で使用されるように、術語“セルラシステム”はセルラ及びＰＣＳ周波数の両者
を含む）。種々の大気中のインターフェイス(over-the-air interfaces)は、例
えば、周波数分割多重アクセス（ＦＤＭＡ），時分割多重アクセス（ＴＤＭＡ）
，及び符号分割多重アクセス（ＣＤＭＡ）を含むようなセルラ電話システムのた
めに開発された。これらに関して、種々の国内及び国際標準が、例えば、進歩し
た移動電話システム（ＡＭＰＳ），移動体用グローバルシステム（ＧＳＭ），及
び臨時標準９５（ＩＳ−９５）を含んで確立された。特に、ＩＳ−９５とその派
生物、ＩＳ−９５Ａ，ＡＮＳＩＪ−ＳＴＤ−００８等（ここでは集合的にＩＳ−
９５と呼ぶ）は、電気通信工業協会（ＴＩＡ）と他の周知の標準類団体により公
布される。

【０００３】ＩＳ−９５標準に従って構成されたセルラ電話システムは、ＣＤＭＡ信号処理
技術を使用する。実質的にＩＳ−９５標準に従って構成された例示的なセルラ電
話システムは米国特許番号５，１０３，４５９号に記述されており、これは本発
明の譲受人に譲渡され、引用されてこの中に完全に組み込まれる。前述の特許は
ＣＤＭＡ基地局内の送信、即ち順方向リンク送信、信号処理について説明してい
る。ＣＤＭＡ基地局内の例示的な受信、即ち逆方向リンク送信、信号処理につい
ては、米国特許出願番号０８／９８７，１７２号、１９９７年１２月９日出願、
標題“マルチチャネル復調器（ＭＵＬＴＩＣＨＡＮＮＥＬＤＥＭＯＤＵＬＡＴ
ＯＲ）”に記述されており、これは本発明の譲受人に譲渡され、引用されてこの
中に完全に組み込まれる。

【０００４】セルラ電話システムでは、一般に移動体加入者ユニット、または移動局は、基
地局により認証されねばならない。認証は移動局のアイデンティティ(identity)
を確認するために移動局と基地局との間で情報が交換される処理である。セルラ
通信の標準は典型的に移動局の認証のための手順を定義する。ＴＩＡにより公布
されたセルラ標準は、移動局を認証するための２つの方法、“単一チャレンジ(u
nique challenge)”法と“放送チャレンジ(broadcast challenge)”法とを供す
る。前述の認証法を使用しているＴＩＡ標準は、例えば、ＩＳ−９１（ＡＭＰＳ
標準），ＩＳ−５４（アナログ制御チャネルを定義するＴＤＭＡ標準），ＩＳ−
１３６（ディジタル制御チャネルを定義するＴＤＭＡ標準）及びＩＳ−９５を含
んでいる。

【０００５】単一チャレンジ法は当分野の技術者には周知である。この方法を使用している
システムでは、セルラ・インフラストラクチャ（基地局および／または基地局コ
ントローラ）は移動局にチャレンジ値(challenge value)を送り、移動局はチャ
レンジ，移動局識別子及び基地局と移動局（その移動局が正当な移動局であると
仮定して）とにのみ既知の秘密データから計算されるレスポンス(response)を送
る。もしこのレスポンスが正確ならば、セルラ・インフラストラクチャは電話接
続のようなサービスへのアクセスを提供する。しかしながら単一チャレンジ法は
チャレンジ応答手順を完了するのに必要な時間が比較的長くなりそして呼の設定
を過度に遅らせることがあり得るという欠点を有する。この理由で、放送チャレ
ンジ法はセルラサービスへのアクセス用の要求の急速な認証を供給する手段とし
て、ＴＩＡセルラ標準に含まれた。

【０００６】認証の放送チャレンジ法の下では、チャレンジ値（一般に“ＲＡＮＤ”と呼ば
れる）はセルラ制御チャネル上で移動局に放送される。移動局がこのチャレンジ
値を受信する時、移動局はこのチャレンジ値を蓄積し、そしてその後それらが基
地局からセルラサービスへのアクセスを要求する時に、他の蓄積された情報と共
にそれを使用する。

【０００７】認証手順は多くの場面におけるセルラ電話システムにより使用される。例えば
、基地局はしばしば移動局登録、開始(originations)及び終了(terminations)の
認証を要求する。登録は、それにより移動局がその位置を確認して、あるパラメ
ータを基地局に送る処理である。生開始順はユーザが呼を開始するために移動局
に指示する時に始められる。終了手順はもう１つの相手が移動局に呼をかけて、
移動局がその呼を受け入れるためにページメッセージに答える時に始められる。

【０００８】ＩＳ−９５構成のＣＤＭＡシステムでは、基地局と移動局との両者が同一セッ
トの共有(Shared)秘密データ（ＳＳＤ）及び同一のランダムチャレンジ値（ＲＣ
Ｖ）を所有することを基地局が決定する時のみ、移動局は認証されるであろう。
ＳＳＤは基地局と移動局との両者に既知であり、移動局によりそれの半固定メモ
リに蓄積される１２８ビット量である。ＳＳＤの最初の６４ビットは数値ＳＳＤＡから成り、そして残りの６４ビットは数値ＳＳＤＢから成る。ＳＳＤＡ
は認証処理において使用され、一方ＳＳＤＢは秘話(voice privacy)とメッセ
ージ暗号化処理(authentication process)とに使用される。ＲＣＶは上に引用さ
れた認証の放送チャレンジ法において使用されたチャレンジ値に相当する３２ビ
ット数であり、そして以下にさらに詳細に論じられるであろう。ＲＣＶの８最上
位ビットは時にはＲＡＮＤＣと呼ばれ、一方ＲＣＶの２４最下位ビットは時には
ＲＡＮＤＩと呼ばれる。

【０００９】ＩＳ−９５構成のＣＤＭＡセルラ電話システムにおける移動局開始に関連して
、典型的な移動局認証は次の通りであろう。ユーザが移動局に電話呼を始めるこ
とを指示する。移動局は、認証情報要素（ＡＵＴＨ）の蓄積値が、標準認証モー
ドが使用されねばならないことを示す“０１”に設定されるかどうかを決定する
。もしも“０１”に設定されれば、移動局は、電気通信工業協会によって利用可
能な出版物であるが、しかし制限された分布に従う“共通暗号化アルゴリズム”
内に記述されたある認証アルゴリズムに従って認証記号(signature) 情報要素（
ＡＵＴＨＳＩＧＮＡＴＵＲＥ）の値を計算する。ＡＵＴＨＳＩＧＮＡＴＵＲＥ入力パラメータ及び開始認証のために移動局により供給さ
れた値は次の通りであるだろう：

【表１】ここでＲＡＮＤ_S＝蓄積されたランダムチャレンジメモリ，３２ビットランダ
ムチャレンジメモリ（ＲＡＮＤ）の蓄積値、ＥＳＮ_P＝電子シリアル番号，移動
局の固定メモリ内に蓄積された移動局を単一に確認する３２ビット値、及びＤＩ
ＧＩＴＳ＝移動局開始メッセージ内のＣＨＡＲｉフィールドの符号化された最終
６ディジット。

【００１０】一度移動局がＡＵＴＨＳＩＧＮＡＴＵＲＥを計算し、移動局開始メッセージ
のＡＵＴＨＲフィールドがＡＵＴＨＳＩＧＮＡＴＵＲＥの値に設定され、ＲＡ
ＮＤＣフィールドがＲＡＮＤ_Sの８最上位ビットに設定され、そして開始メッセ
ージが基地局に送信される。基地局はその後それのＳＳＤＡの内部蓄積値を使
用して、移動局と同じ方法でＡＵＴＨＲの値を計算し、この計算値を移動局から
受信したＡＵＴＨＲの値と比較し、そしてＲＡＮＤＣの受信値をＲＡＮＤのその
内部蓄積値の８最上位ビットと比較する。もし基地局で実行された比較が成功す
ると、基地局は種々のトラフィックチャネルに移動局を割り当てるのに使用され
る手順を開始するであろう。もしどちらかの比較が失敗すると、基地局はサービ
スを拒み、単一チャレンジ−応答手順を開始するかまたはＳＳＤ更新手順を始め
ることができる。

【００１１】典型的なセルラ電話システムでは、利用可能な周波数スペクトルは多数のチャ
ネルに分割され、そのそれぞれは異なる目的に使用される。ＩＳ−９５構成のＣ
ＤＭＡシステムでは、これらのチャネルの１つはページングチャネルである。ペ
ージングチャネルは、基地局がトラフィックチャネルに割り当てられなかった移
動局にシステムオーバヘッド情報と移動局特定(specific)メッセージを送信する
ために使用するところの、符号化，インターリーブ，拡散そして変調されたスペ
クトル拡散信号である。ページングチャネル上に送信されそして移動局によりモ
ニタされるメッセージの１つはアクセスパラメータ・メッセージである。アクセ
スパラメータ・メッセージは認証モード（ＡＵＴＨ）及びＲＡＮＤフィールドを
含み、２７フィールドを有する可変長メッセージである。ＡＵＴＨフィールドは
、もし移動局があの基地局に送られたアクセスチャネル・メッセージ内に標準認
証データを含むものであるならば、その値が基地局により“０１”に設定される
ところの２ビットフィールドである。もし移動局がアクセスチャネル・メッセー
ジ内に標準認証データを含まないと、基地局はＡＵＴＨフィールドの値を“００
”に設定するであろう。ＲＡＮＤフィールドは、ＡＵＴＨフィールドが“０１”
に設定されている時に移動局が認証手順内で使用するべき３２ビットＲＣＶにそ
の値が設定されるところの０または３２ビットフィールドである。基地局はＣＤ
ＭＡアクセスパラメータ・メッセージ内のＲＡＮＤの値を、アナログ順方向制御
チャネル上で基地局により移動局に送信されたシステムパラメータ・オーバヘッ
ドメッセージに周期的に付加された１６ビットＲＡＮＤ１ＡとＲＡＮＤ１Ｂ
とのオーバヘッド情報ワードの連接(concatenation)に等しくする。

【００１２】ＣＤＭＡシステムでは、ＲＣＶはそれがほぼ８０００年間反復しないであろう
ほどランダムな３２ビット数であることを指定する(intended to)。反復所有(pr
operty)前の８０００年は、アタッカ(attacker)に対してＲＣＶが将来どのポイ
ントにあるかを本質的に予想できなくする重要な安全性の特色(security featur
e)である。多くの理由で、認証処理においては頻繁に、もしかすると(potential
ly) 毎分、使用されるＲＣＶを変更することが有利であることが発見された。し
かしながらＲＣＶを毎分変更することは、もしＲＣＶが正確にランダムに発生さ
れるならば、ＲＣＶの２倍(duplicate)値がほぼ２¹⁶分（約４５日）後に現われ
始めるであろうという問題を引き起こす。セルラシステムにわたってＲＣＶを同
期化することにより得られる確実な利点があることも発見された。しかしながら
、もし同期化されたＲＣＶが正確にランダムであれば要求されるであろうセルラ
システムのネットワーク全体(を通してＲＣＶを通信することは、困難でありそ
して高価であるだろう。

【００１３】従って、３２ビットＲＣＶを発生するために基地局内の複数の最大長リニアフ
ィードバック・シフトレジスタ（ＬＦＳＲｓ）の組み合わせベースのカウンタを
使用することは、米国特許出願番号０９／０３６，９４１号、１９９８年３月９
日出願、標題“放送チャレンジ値を発生するための方法（ＭＥＴＨＯＤＦＯＲ
ＧＥＮＥＲＡＴＩＮＧＡＢＲＯＡＤＣＡＳＴＣＨＡＬＬＥＮＧＥＶＡ
ＬＵＥ）”に提案されており、これは本発明の譲受人に譲渡され、そして引用に
より完全にこの中に組み込まれる。最大長ＬＦＳＲの組み合わせベースのカウン
タは、ほぼ２³²−２²⁴分（約８０００年）の間反復ＲＣＶを発生しないであろう
し、そしてゼロ先導の(zero leading)オクテットを有するＲＣＶを一度も発生し
ないであろう。非ゼロ先導のオクテットを有することは、ＲＡＮＤ_Sの８最上位
ビットのみが多数の認証演算に使用されるので重要である。セルラシステムを通
してＲＣＶを同期化することは、さらにＬＦＳＲベースのカウンタとともに単純
で廉価である。システム内のどの基地局も、開始位置を与えられたどの特定の時
間やその開始位置から経過した多数の分及び全体的な時間基準の間に、固有のＲ
ＣＶを計算できる。上記引用により組み込まれた出願番号０９／０３６，９４１
号においてさらに完全に論じられるように、全体的な時間基準としてＧＰＳシス
テム時間を使用することが望ましい。

【００１４】しかしながらＲＣＶを発生するためのＬＦＳＲベースのカウンタの使用には欠
点がある。特に、ＬＦＳＲベースのカウンタを使用することはＲＣＶ予測不能性
(unpredictability)の喪失(loss)に帰着する。基地局によりＬＦＳＲベースのカ
ウンタで発生され、そしてアクセスパラメータ・メッセージ内の移動局に送信さ
れるＲＣＶのほぼ時間だけを観察することにより、アタッカはＬＦＳＲベースの
カウンタにより使用された数式を引き出して理解できる可能性がある。数式を引
き出して、アタッカはそれから将来の与えられたいずれかの時間の間にＲＣＶを
予想することができる。

【００１５】よって、ＲＣＶを発生して、正確にランダムな数の予測不能性を失わずにセル
ラ電話システムを通して簡単にそして経済的に同期化することができる移動局に
通信する安全な方法が必要である。

【００１６】

【課題を解決するための手段】

本発明はランダムなチャレンジ値を発生して、正確にランダムな数の予測不能
性を失わずにセルラシステムを通して簡単にそして経済的に同期化できる移動局
に通信するための方法及び装置に向けられる。この発明は、第２のバイナリ数を
得るために第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用
し、第３のバイナリ数を得るために第１のバイナリ数の複数の最下位ビットにつ
いて第２のアルゴリズムで演算し、及び更新バイナリ数を得るために第２及び第
３の数の連接にブロック暗号(block cipher)を適用するところの、セルラ電話シ
ステム認証手順において使用されるべきバイナリ数を更新するための方法及び装
置を具備する。この発明の特別の実施例では、ブロック暗号がＳＫＩＰＪＡＣＫ
ブロック暗号関数(function)の修正版を具備する。この発明のさらにもう１つの
実施例では、更新バイナリ数の最上位ビットがオールゼロ数を具備する時に、そ
れらは第２及び第３の数の連接の最上位ビットで置換される。

【００１７】

【発明の実施の形態】

本発明の特徴，対象及び長所は、ここで及び全体を通して付記される参照符号
を有する図面と関連して、下に述べる詳細な説明からさらに明白になるであろう
。

【００１８】本発明により、ＲＣＶを発生して、正確にランダムな数の予測不能性を失わず
に、セルラ電話システムを通して簡単にそして経済的に同期化できるところの移
動局に送信することの問題は、ＬＦＳＲ及びブロック暗号関数の使用により解決
される。特に、そのキーがセルラ電話基地局内で相対的に秘密を維持されるブロ
ック暗号関数は、ＲＣＶが移動局に送信される前にＬＦＳＲベースのカウンタ，
ＬＦＳＲベースのカウンタの組み合わせまたは同等の単一のカウンタにより発生
されるＲＣＶを暗号化するために使用される。ブロック暗号関数は一対一機能で
あるので、それによってＬＦＳＲベースのカウンタで発生されたＲＣＶの反復前
の８０００年の所有物(property)を保存して(preserving)、それぞれ別個の入力
に対してブロック暗号関数の出力もその上別個であるだろう。さらにアタッカは
、ブロック暗号キーにアクセスせずに、セルラ電話システムを通してＲＣＶを簡
単にそして経済的に同期化する能力が維持される間のいずれかの特定の時刻でＲ
ＣＶを予想できないであろう。３２ビットブロック上で動作するであろうし、合
理的に安全であるいずれのブロック暗号関数も使用されてよい。この発明の好ま
しい実施例では、ＳＫＩＰＪＡＣＫブロック暗号関数の修正版がブロック暗号関
数として使用される。

【００１９】あるセルラ電話アプリケーションでは、情報成分の第１バイトについてゼロ値
を有することは受け入れることはできない。しかしながら基地局によりＬＦＳＲ
ベースのまたは単一のカウンタで発生されたＲＣＶを暗号化するためブロック暗
号関数の使用は、暗号化関数の出力が正確にランダムに現れるであろうので、約
２^-8の確率でゼロ値を持つ第１バイトを有する暗号ＲＣＶに帰着する。したがっ
て、本発明のもう１つの実施例では、暗号ＲＣＶ出力の第１バイトは、その出力
の第１バイトがゼロ値を有する時はいつでも、非暗号ＲＣＶ入力の第１バイトで
置換される。これはその第１バイトがゼロ値を有する暗号ＲＣＶを有しているこ
との問題を除去する。このように、たとえ暗号ＲＣＶ出力の第１バイトを非暗号
ＲＣＶ入力の第１バイトで置換することは、その暗号ＲＣＶ出力がある時点でも
う１つの暗号ＲＣＶ出力と二重になるであろうとしても、それは予想不能な様式
内でもそうであろう。

【００２０】当分野で通常の技術を有する人により理解されるであろうように、本発明の特
徴を具体化している移動局認証において使用されるべき数を発生して送信するた
めの種々の方法及び装置は種々のセルラ電話システムのいずれかに属することが
できる。そのようなセルラシステムは、実例としてのみ、ＡＭＰＳ（アナログ）
，ＩＳ−５４（北米ＴＤＭＡ），ＧＳＭ（世界的なＴＤＭＡ），及びＩＳ−９５
（北米ＣＤＭＡ）を含む。好ましい実施例では、セルラシステムはスペクトル拡
散ＣＤＭＡセルラ電話システムである。

【００２１】さて図１を参照して、そこに典型的なＣＤＭＡセルラ電話システムのブロック
図が示される。そのようなシステムは一般に複数の移動体加入者ユニット１０，
複数の基地局１２，基地局コントローラ（ＢＳＣ）１４，及び移動交換センタ（
ＭＳＣ）１６を含んでいる。ＭＳＣ１６は従前の公衆電話交換ネットワーク（Ｐ
ＳＴＮ）１８とインターフェイスするように構成される。ＭＳＣ１６はまたＢＳ
Ｃ１４とインターフェイスするように構成される。ＢＳＣ１４は各基地局１２に
連結される。基地局１２はまた基地局トランシーバサブシステム（ＢＴＳｓ）１
２として知られる。代替として、“基地局”は集合的にＢＳＣ１４及び１つまた
はそれ以上のＢＴＳ１２とみなされてもよく、この複数のＢＴＳ１２はまた“セ
ルサイト”１２と呼ばれてもよい。（代替として、与えられたＢＴＳ１２の複数
セクタはセルサイトと呼ばれてもよい。）移動体加入者ユニット１０は典型的に
セルラ電話機１０であり、そしてセルラ電話システムは、例えば、ＩＳ−９５標
準に従う使用のために構成されたスペクトル拡散ＣＤＭＡシステムである。

【００２２】セルラ電話システムの典型的な動作中、基地局１２は数組の移動体ユニット１
０から数組の逆方向リンク信号を受信する。移動体ユニット１０は電話呼または
他の通信を処理している。与えられた基地局１２により受信された各逆方向リン
ク信号はその基地局１２内で処理される。結果としてのデータはＢＳＣ１４に順
方向送信される。ＢＳＣ１４は呼資源割り当て及び、基地局１２間のソフトハン
ドオフのオーケストレーションを含む、移動度管理機能(mobility management f
unctionality)を供する。ＢＳＣ１４はまた、ＰＳＴＮ１８とのインターフェイ
スのための追加のルーティングサービスを提供するところのＭＳＣ１６に受信デ
ータを送る(routes)。同様に、ＰＳＴＮ１８はＭＳＣ１６とインターフェイスし
、そしてＭＳＣ１６はＢＳＣ１４とインターフェイスし、ＢＳＣは基地局１２を
順番に制御して数組の移動体ユニット１０に数組の順方向リンク信号を送る。図
１のＣＤＭＡシステムでは、各基地局１２は少なくとも１つのセクタ（図示せず
）を含み、各セクタは基地局１２から放射状に特定の方向を指向するアンテナを
具備している。好ましくは、各基地局１２は、各セクタのアンテナの軸がほぼ１
２０度ずつ異なる３つのセクタを含む。

【００２３】好都合にも、ＬＦＲＳまたはソフトウェアシミュレーションは、移動局認証手
順における使用のため結局移動局に送信されるＲＣＶを発生するために、基地局
１２により使用されてもよい。ＩＳ−９５構成のＣＤＭＡシステムでは、ＲＣＶ
はアクセスパラメータ・メッセージのＲＡＮＤフィールド内の移動局に送信され
る。本発明の好ましい実施例では、ＬＦＳＲは最大長シフトレジスタ、そしてさ
らに明確には、ガロアシフトレジスタである。しかしながら、最大長シフトレジ
スタの他の実施の形態が使用されてもよい。当技術分野で周知のように、最大長
シフトレジスタは、それらの特性多項式が既約(irreducible) と原始(primitive
) との両者であることを保証するように構成されたＬＦＳＲであり、それによっ
て周期（Ｐ）＝２^r −１、ここでｒはＬＦＳＲ内のビット位置の番号である、に
帰着する。

【００２４】さて図２を参照して、そこにビット位置０，４及び５の後にフィードバックタ
ップを有する８ビット・ガロアシフトレジスタ２０が示される。当分野の技術を
有する人により理解されるように、ガロアシフトレジスタは各クロックパルスで
各レジスタビットを１ポジション左にシフトし、そしてあるレジスタビットはフ
ィードバックビットと排他的論理和（ＸＯＲ）関係で論理的に結合される。例え
ば、各左へのシフトでは、ビット位置１はビット７とビット０とのＸＯＲ結果を
受信する。同様にビット位置５はビット７とビット５とのＸＯＲ結果を受信する
。

【００２５】さて図３を参照して、そこに本発明において演算されるべき(to be operated
upon)数を発生する好ましい方法が示される。この方法は第１及び第２のガロア
シフトレジスタ３０，３２を頼みにする(relies upon) 。単一の更新クロック信
号３４は２つのガロアシフトレジスタ３０，３２の更新を引き起こす。第１のレ
ジスタ３０はＲＣＶの８最上位ビットを作り出すために使用された８ビット・ガ
ロアシフトレジスタ３０である。第２のシフトレジスタ３２は３２ビットＲＣＶ
の残りのビットを作り出すために使用された２４ビット・ガロアシフトレジスタ
３２である。第１及び第２のガロアシフトレジスタ３０，３２は両者がクロック
信号３４に連結されるが、しかしその他は接続されない。

【００２６】なお図３を参照して、第１及び第２のシフトレジスタ３０，３２はそれぞれフ
ィードバックタップ、または特定のビット位置に適用された電気的接続を有する
。当分野で技術を有する人により理解されるであろうように、８及び２４次のい
ずれかの原始多項式は、それぞれ第１及び第２のシフトレジスタ３０，３２のフ
ィードバックタップを決定するために使用されることが可能である。図３に示さ
れるように、第１及び第２のシフトレジスタは次の原始多項式ｘ⁸ ＋ｘ⁶ ＋ｘ⁵ ＋ｘ＋１及びｘ²⁴＋ｘ⁴＋ｘ³＋ｘ＋１をそれぞれ有する。提供された各シフト
レジスタ３０，３２は非ゼロ値に初期化され、その上各シフトレジスタ３０，３
２が発生するシーケンスは常に非ゼロであるであろう。このように、シーケンス
内の各数の８最上位ビット（即ち、シフトレジスタ３０により発生された各数）
は非ゼロであるであろう。しかしながら、第１及び第２のシフトレジスタ３０，
３２のこの調整は、第１及び第２のシフトレジスタ３０，３２が相対的に素(pri
me) でないシーケンス長を生成するので、３２ビット位置を持つ単一の最大長Ｌ
ＦＳＲで可能となるであろうところの２³²−１の最大Ｐを有する３２ビット出力
シーケンスには帰着しない。第１のシフトレジスタ３０は２⁸ −１＝２５５＝３ ^＊５^＊１７のＰを持つシーケンスを生成し、一方第２のシフトレジスタ３２は２ ²⁴ −１＝１６７７７２１５＝３^＊３^＊５^＊７^＊１３^＊１７^＊２４１のＰを持つシ
ーケンスを生成する。このように、第１及び第２のシフトレジスタ３０，３２に
より発生されたシーケンスのＰは６５７９３であり、単一の１６ビット最大長Ｌ
ＦＳＲのＰのそれよりもわずかに大きいだけである。しかしながら、最大長ＬＦ
ＳＲにより生成されたシーケンスはオールゼロ値を持たないので、そしてオール
ゼロ値を所有しない条件がＲＣＶの８最上位ビットのみに関して重要であるので
、第１及び第２のシフトレジスタ３０，３２により発生されたシーケンスのＰは
、２４ビット・シフトレジスタ３２により発生されたシーケンス内のいずれかの
点にオールゼロ値を挿入することにより拡張されてもよい。そうすると、第２の
シフトレジスタ３２のＰは１６７７７２１５から１６７７７２１６に増加され、
それは２の冪(power)であり、そして第１のシフトレジスタ３０のＰ（２５５）
と相対的に素である。よって、第２のシフトレジスタ３２により発生されたシー
ケンス内のある点に置かれたオールゼロ値と共に、第１及び第２のシフトレジス
タ３０，３２により発生された３２ビットシーケンスのＰは、８最上位ビットが
非ゼロか、または２³²−２²⁴の長さでなければならないところの最大長シーケン
スとなる。

【００２７】前述されたように演算されるべき数を発生して、ブロック暗号関数（“ブロッ
ク暗号”）がその数に適用される。ブロック暗号はｎビット平文(plaintext)ブ
ロックＰをｎビット暗号文(ciphertext)ブロックＣ、ここでｎはブロック長であ
る、にマップする関数Ｅである。それは大きい記号サイズを持つ簡単な置換暗号
化と見られてもよい。ブロック暗号は、オールｋビットベクトルＶ_k の組のサブ
セットＱ（典型的にキースペースと呼ばれる）から値をとって、ｋビットキーＫ
によりパラメータ化される。ｎビットＰ，ｎビットＣ及び固定キーＫについて、
ｎビットベクトル上に順列を定義して、ブロック暗号は全単射(bijection)であ
る。各キーは潜在的に異なる全単射である。キーはアットランダムに選択される
ものと一般に仮定される。換言すれば、ｎビットブロック暗号は、各キー

【数１】はＶ_ｎＶ_ｎ’への逆マッピング（Ｋのための暗号化関数）であるような、関数Ｅ
：Ｖ_n ×Ｑ−＞Ｖ_n' である。逆マッピングはＤ_K（Ｃ）またはＥ_K ^-1で表示され
る解読関数である。Ｃ＝Ｅ_K （Ｐ）はキーＫのもとに平文Ｐを暗号化することに
起因する暗号文である。

【００２８】６４ビット（またはそれ以上）を有するデータブロックについて演算するよう
に設計された多数の既知のブロック暗号がある。これらの中で最もよく知られた
ブロック暗号は米国標準ＦＩＰＳ４６−２により定義されたデ−タ暗号化標準（
ＤＥＳ）である。暗号化機／解読機アルゴリズムコードブック（ＳＫＩＰＪＡＣ
Ｋ）は６４ビットのブロックサイズ上で動作するように設計され、そして米国標
準ＦＩＰＳ１８５により定義されたもう１つの対称キーブロック暗号である。Ｆ
ＩＰＳ１８５はｈｔｔｐ：／／ｗｗｗ．ｉｔｌ．ｎｉｓｔ．ｇｏｖ／／ｆｉｐｓ
ｐｕｂｓ／ｆｉｐ１８５．ｈｔｍ／で検索され(retrieved)てもよく、そしてＳ
ＫＩＰＪＡＣＫのための仕様はｈｔｔｐ：／／ｃｒｓｃ．ｎｉｓｔ．ｇｏｖ／ｅｎｃｒｙｐｔｉｏｎ／ｓｋｉｐｊａｃｋ−１．ｐｄｆ／及びｈｔｔｐ：／／ｃｓｒｃ．ｎｉｓｔ．ｇｏｖ／ｅｎｃｒｙｐｔｉｏｎ／ｓｋｉｐｊａｃｋ−２．ｐｄｆで調査されてもよく、これらの両者は引用されて完全にこの中に組込まれる。
ＳＫＩＰＪＡＣＫブロック暗号は、ＤＥＳと同様に、６４ビット暗号文ブロック
を生成する、ｎ＝６４ビットの平文ブロックを処理するところのフェイステル(F
eistel)暗号である。秘密キーＫの有効なサイズは８０ビットであり、そして２⁸ ⁰ キーは６４ビット平文ブロック上の２⁶⁴！の起こりえる全単射の中の（高々(at
most) ）２⁸⁰を実施する。

【００２９】しかしながらＳＫＩＰＪＡＣＫは全ＳＫＩＰＪＡＣＫブロック暗号と同じキー
従属(key-dependent)の順列Ｇ及びＦテーブルと、非修正(unmodified)ＳＫＩＰ
ＪＡＣＫブロック暗号の４成分構造よりもむしろＤＥＳブロック暗号のフェイス
テル構造を使用して３２ビットブロックについて演算するように修正されること
ができる。修正(modified)ＳＫＩＰＪＡＣＫの計算経路(computation path)は図
４に示される。まず、３２ビット入力ブロック４０１はそれぞれ１６ビットを有
する、２つの等しい半分Ｌ₀４０２とＲ₀４０３とに分割される。３２ビット入力
ブロックを半分に分割して、暗号化は今２４ラウンドに進む。第１に即ち第０番
ラウンドでは、キー従属の順列Ｇ４０５がＲ₀４０３に適用され、その出力はそ
の後ラウンド番号（この場合は０）及びＸＯＲ演算４０６におけるＬ₀４０２と
結合される。２つの半分は、第１ラウンドを完了して、その後交換４０７され、
同じ演算が他の２３ラウンドに対して繰り返される。次の第２４番目の最終ラウ
ンドで、半分は再度交換４０８される。もし出力４０９の最上位ビットがオール
ゼロ値を含まなければ、出力４０９は上で参照された認証手順で使用されたＲＣ
Ｖである。この場合、この発明の好ましい実施例では、入力４０１の最上位ビッ
トは、出力４０９がＲＣＶとして使用される前に出力４０９の最上位ビットに置
き換えられる。

【００３０】キー従属の順列Ｇ４０５は、１６ビット値（即ち、ワード）をオール１６ビッ
ト値の組、Ｖ₁₆上で並べ替える４ラウンド・フェイステル構造である。ラウンド
関数はＦテーブルと呼ばれそして図５に５０１として描かれる、固定バイト置換
テーブル（即ち、オール８ビット値の組、Ｖ₈上の順列）である。テーブル内の
各エントリは１６進表記法(hexadecimal notation)で与えられる。入力の高次４
ビットは列５０２を索引し、入力の低次４ビットは行５０３を索引する。例えば
、７ａの入力はｄ６５０４に変更するであろう。Ｇ４０５の各ラウンドもまた
キーＫの１バイトを組み込む。Ｇ４０５のラウンドごとの関数は下記として特徴
付けられる：Ｇ_ｋ（Ｗ＝ｇ_１‖ｇ_２）＝ｇ_５‖ｇ_６’ ここで、

【数２】、ｋはステップ番号、ＦはＳＫＩＰＪＡＣＫＦテーブル５０１、そしてｃｖ_4k+ _i-3 はキーＫのスケジュール内の第（４ｋ＋ｉ−３）番バイトである。このよう
に、

【数３】キーＫのスケジュールは０から９まで標記された、１０バイト長（即ち、８０
ビット）であり、そしてその自然の順番に使用される。したがって上記されたス
ケジュール記号(subscripts)はｍｏｄ−１０と解釈されるべきである。

【００３１】修正ＳＫＩＰＪＡＣＫブロック暗号化処理の疑似符号版は下記の表１に示され
る：表１

【表２】

【表３】

【表４】

【表５】前述されたようにＲＣＶの発生は、当分野で技術を有する人により理解される
であろうように、例えば、Ｃ符号，Ｃ＋＋符号を含むいずれか従前の資源符号を
使用することが可能である。セルラサイトは典型的に、マイクロプロセッサ運転
のソフトウェア付きの、好都合には特定用途向けＩＣ（ＡＳＩＣ）であるところ
のＩＣを含む。したがってこの発明がセルラシステムのインフラストラクチャ内
のどこでも動作するのに十分なほど簡単であることを認めることができる。特定
の実施例では、この発明は図１のＣＤＭＡセルラシステムのセルサイト（図示せ
ず）内で実施されることができ、それによって新ＲＣＶを中心に造り、そして放
送するためにシステム全体を通してそれらをセルサイトに分配する必要性を除去
する。

【００３２】当分野内の技術者が容易に認めるであろうように、この中に記述された実施例
内の最大長シフトレジスタに、いずれの同形式の疑似ランダムノイズ発生器を代
用されてもよい。さらに、この中に記述された実施例は、その中ではＲＣＶ，Ｒ
ＡＮＤＣの８最上位ビットが非ゼロであるように束縛されるところのＣＤＭＡシ
ステムを含むセルラ電話システムに適する一方で、もし特定のシステムがそのよ
うに記入し(specifies)なければＲＡＮＤＣが非ゼロである必要がないことは理
解されるべきである。よって、そのシステムの束縛次第で、ＲＡＮＤＣかＲＡＮ
ＤＬのどちらかまたは両方は、シーケンスのどちらかまたは両方の周期を延長す
るために挿入されたオールゼロ値を有することができる。さらに、この中に記述
された実施例のセルラシステム放送チャレンジ値は恐らく均一に(equally well)
、連続する更新間の相関関係が最小化されそしていずれかの反復値が発生する前
の更新の数が最大化されるような周期的な更新を要するところのいずれかのバイ
ナリ数であることができる。

【００３３】本発明の好ましい実施例はこのように示されそして記述された。しかしながら
、この発明の精神または範囲から逸脱することなしに多くの変更がこの中に開示
された実施例になされてもよいことは、当分野の通常の技術を有する人には明白
であるだろう。したがって、本発明はクレームに従うのを除いては制限されない
。

【図面の簡単な説明】

【図１】セルラ電話システムの図である。

【図２】ガロアシフトレジスタのブロック図である。

【図３】２つのガロアシフトレジスタのブロック図である。

【図４】修正ＳＫＩＰＪＡＣＫブロック暗号の計算経路を示す。

【図５】ＳＫＩＰＪＡＣＫブロック暗号用のＦテーブルを示す。

【符号の説明】

１０…加入者ユニット，１２…基地局，１４…基地局コントローラ（ＢＳＣ）
，１６…移動交換センタ（ＭＳＣ），１８…公衆電話交換ネットワーク（ＰＳＴ
Ｎ），２０…８ビット・ガロアシフトレジスタ，３０…第１のガロアシフトレジ
スタ３０，３２…第２のガロアシフトレジスタ，４０１…入力ブロック

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＢＺ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷＦターム(参考） 5B085 AE04 AE29 BA06 5J104 AA07 AA18 JA05 KA02 NA23 PA01 PA02 5K067 AA32 BB04 CC04 CC10 DD17 DD30 DD53 EE02 EE10 EE16 HH23 HH36

Claims

【特許請求の範囲】

【請求項１】下記工程を具備するバイナリ数を更新する方法、前記更新バ
イナリ数はセルラ電話システム認証手順で使用される：（Ａ）第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用
して第２のバイナリ数を得る；（Ｂ）前記第１のバイナリ数の複数の最下位ビットを第２のアルゴリズムで
演算して、第３のバイナリ数を得る；及び（Ｃ）前記第２及び第３の数の連接にブロック暗号を適用して、前記更新バ
イナリ数を得る。
【請求項２】前記工程（Ａ）が第１の最大長シフトレジスタ・アルゴリズ
ムを適用することを具備する、請求項１の方法。
【請求項３】前記工程（Ａ）が第１の疑似ランダムノイズ発生アルゴリズ
ムを適用することを具備する、請求項１の方法。
【請求項４】前記工程（Ｂ）が前記複数の最下位ビットを第２の最大長シ
フトレジスタ・アルゴリズムで演算することを具備する、請求項１の方法。
【請求項５】前記工程（Ｂ）が前記複数の最下位ビットを第２の疑似ラン
ダムノイズ発生アルゴリズムで演算することを具備する、請求項１の方法。
【請求項６】前記工程（Ｂ）が、更新の該シーケンスに必要な該時間周期
の間に一度、前記複数の最下位ビットに対してオールゼロ値を挿入するところの
第２のアルゴリズムで前記複数の最下位ビットを演算して、前記複数の最下位ビ
ットに関する反復値を生成することを具備する、請求項１の方法。
【請求項７】前記第１のアルゴリズムの該出力が一度もオールゼロ値では
ない、請求項１の方法。
【請求項８】前記第１のバイナリ数の前記最上位ビットが前記第１の数の
最初の８ビットを具備する、請求項１の方法。
【請求項９】前記更新バイナリ数が３２ビットバイナリ数である、請求項
１の方法。
【請求項１０】前記ブロック暗号が修正ＳＫＩＰＪＡＣＫブロック暗号を
具備する、請求項９の方法。
【請求項１１】前記工程（Ｃ）が下記工程を具備する、請求項１の方法：（１）前記連接にブロック暗号を適用して暗号化されたバイナリ数を得る；（２）前記暗号化された数の最上位ビットがオールゼロ値を有するか否かを決
定する；（３）前記オールゼロ値に答え、前記暗号化された数の最上位ビットを前記連
接の前記最上位ビットで置換して、前記更新バイナリ数を得る。
【請求項１２】下記を具備するセルラ基地局：ソフトウェアを実行することができる集積回路；及び第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用して第２
のバイナリ数を得るための、前記第１のバイナリ数の複数の最下位ビットに第２
のアルゴリズムを適用して第３のバイナリ数を得るための、及び第４のバイナリ
数にブロック暗号を適用するための、前記集積回路により実行される１組のソフ
トウェア命令、前記第４のバイナリ数は前記第２及び第３の数の連接を具備して
いる。
【請求項１３】前記第１のアルゴリズムが第１のシミュレーションされた
最大長シフトレジスタ・アルゴリズムを具備する、請求項１２の基地局。
【請求項１４】前記第１のアルゴリズムが第１の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項１２の基地局。
【請求項１５】前記第２のアルゴリズムが第２のシミュレーションされた
最大長シフトレジスタ・アルゴリズムを具備する、請求項１２の基地局。
【請求項１６】前記第２のアルゴリズムが第２の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項１２の基地局。
【請求項１７】前記第２のアルゴリズムは、更新の該シーケンスに必要な
該時間周期の間に一度、前記複数の最下位ビットに対してオールゼロ値を挿入し
て、前記複数の最下位ビットに関する反復値を生成するために請求項１２の基地
局。
【請求項１８】前記第１のアルゴリズムの該出力が一度もオールゼロ値で
はない、請求項１２の基地局。
【請求項１９】前記第１のバイナリ数の前記最上位ビットが前記第１のバ
イナリ数の最初の８ビットを具備する、請求項１２の基地局。
【請求項２０】前記第４のバイナリ数が３２ビットバイナリ数である、請
求項１２の基地局。
【請求項２１】前記ブロック暗号が該修正ＳＫＩＰＪＡＣＫブロック暗号
を具備する、請求項２０の基地局。
【請求項２２】前記第４の数の前記最上位ビットがオールゼロ値を有する
時に前記ソフトウェア命令の組は前記第４のバイナリ数の該最上位ビットを前記
連接の該最上位ビットで置換する、請求項１２の基地局。
【請求項２３】下記を具備する、セルラシステム：システム全体の時間基準信号；複数の移動体加入者ユニット；及び前記複数の移動体加入者ユニットを持つ無線通信用に構成された複数の基地局
、前記複数の基地局の各局は下記を具備する：ソフトウェアを実行することができる集積回路；及び第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用して第
２のバイナリ数を得るための、前記第１のバイナリ数の複数の最下位ビットに第
２のアルゴリズムを適用して第３のバイナリ数を得るための、及び第４のバイナ
リ数にブロック暗号を適用するための、前記集積回路により実行される１組のソ
フトウェア命令、前記第４のバイナリ数は前記第２及び第３の数の連接を具備し
、前記第４の数は前記複数の基地局のいずれかとの通信を要求する前記複数の移
動体加入者ユニットのいずれかを認証するために役立つ。
【請求項２４】前記システム全体の時間基準信号が前記複数の基地局の各
局にＧＰＳ時間の規準を伝達する、請求項２３のセルラシステム。
【請求項２５】前記第１のアルゴリズムが第１のシミュレーションされた
最大長シフトレジスタ・アルゴリズムを具備する、請求項２３のセルラシステム
。
【請求項２６】前記第１のアルゴリズムが第１の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項２３の基地局。
【請求項２７】前記第２のアルゴリズムが第２のシミュレーションされた
最大長シフトレジスタ・アルゴリズムを具備する、請求項２３の基地局。
【請求項２８】前記第２のアルゴリズムが第２の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項２３の基地局。
【請求項２９】前記第２のアルゴリズムは、更新の該シーケンスに必要な
該時間周期の間に一度、前記複数の最下位ビットに対してオールゼロ値を挿入し
て、前記複数の最下位ビットに関する反復値を生成する、請求項２３の基地局。
【請求項３０】前記第１のアルゴリズムの該出力は一度もオールゼロ値で
ない、請求項２３の基地局。
【請求項３１】前記第１のバイナリ数の前記最上位ビットは前記第１の数
の最初の８ビットを具備する、請求項２３の基地局。
【請求項３２】前記第４のバイナリ数は３２ビットバイナリ数である、請
求項２３の基地局。
【請求項３３】前記ブロック暗号は修正ＳＫＩＰＪＡＣＫブロック暗号を
具備する、請求項３２の基地局。
【請求項３４】前記第４の数の前記最上位ビットがオールゼロ値を有する
時に、前記ソフトウェア命令の組は前記第４のバイナリ数の該最上位ビットを前
記連接の該最上位ビットで置換する、請求項２３の基地局。
【請求項３５】下記を具備する、セルラ基地局：第１のバイナリ数の複数の最上位ビットに第１のアルゴリズムを適用して第２
のバイナリ数を得るための手段；前記第１のバイナリ数の複数の最下位ビットを第２のアルゴリズムで演算して
第３のバイナリ数を得るための手段；及び第４のバイナリ数にブロック暗号を適用するための手段、前記第４の数は前記
第２及び第３の数の連接を具備する。
【請求項３６】前記第１のアルゴリズムは第１のシミュレーションされた
最大長シフトレジスタを具備する、請求項３５のセルラ基地局。
【請求項３７】前記第１のアルゴリズムは第１の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項３５のセルラ基地局。
【請求項３８】前記第２のアルゴリズムは第２のシミュレーションされた
最大長シフトレジスタ・アルゴリズムを具備する、請求項３５のセルラ基地局。
【請求項３９】前記第２のアルゴリズムは第２の疑似ランダムノイズ発生
アルゴリズムを具備する、請求項３５の基地局。
【請求項４０】前記第２のアルゴリズムは、前記複数の最下位ビットに関
する反復値を生成するために更新のシーケンスに必要な時間周期の間に一度、前
記複数の最下位ビットに対してオールゼロ値を挿入する、請求項３５の基地局。
【請求項４１】前記第１のアルゴリズムの出力は一度もオールゼロ値では
ない、請求項３５の基地局。
【請求項４２】前記第１のバイナリ数の前記最上位ビットは前記第１の数
の最初の８ビットを具備する、請求項３５の基地局。
【請求項４３】前記第４のバイナリ数は３２ビットバイナリ数である、請
求項３５の基地局。
【請求項４４】前記ブロック暗号は修正ＳＫＩＰＪＡＣＫブロック暗号を
具備する、請求項４３の基地局。
【請求項４５】前記第４の数の前記最上位ビットはオールゼロ値を有する
時に、前記第４のバイナリ数の該最上位ビットを前記連接の該最上位ビットで置
換するための手段をさらに具備する、請求項４３の基地局。