JP2005204137A

JP2005204137A - 相互認証システム及び管理対象装置及びプログラム

Info

Publication number: JP2005204137A
Application number: JP2004009181A
Authority: JP
Inventors: Manabu Misawa; 学三澤; Keiki Yamada; 敬喜山田
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2004-01-16
Filing date: 2004-01-16
Publication date: 2005-07-28

Abstract

【課題】管理装置と管理対象装置からなる相互認証するシステムに係り、解析の対象となりやすい管理対象装置に対する不当な解析を阻止することを課題とする。
【解決手段】管理対象装置が管理装置を認証する認証処理（Ｓ１５３）と、管理装置が管理対象装置により認証される被認証処理（Ｓ１０２）を先に行い、当該認証処理が成功した場合に（Ｓ１５５）、管理装置が管理対象装置を認証する認証処理（Ｓ１０６）と、管理対象装置が管理装置により認証される被認証処理（Ｓ１５７）を行う。また、認証失敗回数が所定数を越えている場合には、認証を拒否する（Ｓ１５２）。
【選択図】図１

Description

本発明は、管理装置と管理対象装置からなる相互認証するシステムに係り、解析の対象となる管理対象装置に対する不当な解析を阻止する技術に関する。

例えば、路側機のような管理装置と、車載機のような管理対象装置の間で相互に認証するためのチャレンジアンドレスポンス処理について説明する。

図１０は、従来技術の全体処理フローを示す図である。管理装置と管理対象装置の間で通信を開始すると（Ｓ１００１、Ｓ１０５１）、管理装置が管理対象装置を認証する認証処理（Ｓ１００２）が行われる。そのとき、管理対象装置は認証されるための被認証処理（Ｓ１０５２）を行う。これらの処理については、図１１を用いて後述する。

そして、管理装置から認証結果を送信し（Ｓ１００３）、管理対象装置は認証結果を受信する（Ｓ１０５３）。認証結果が失敗の場合は、管理装置は、認証結果判定（Ｓ１００４）により、エラー処理（Ｓ１００５）へ分岐し、エラー終了する。また、管理対象装置も認証結果判定（Ｓ１０５４）により、エラー処理（Ｓ１０５５）へ分岐し、エラー終了する。

認証結果が成功の場合には、管理対象装置が管理装置を認証する認証処理（Ｓ１０５６）が行われ、管理装置は認証されるための被認証処理（Ｓ１００６）を行う。これらの処理については、図１２を用いて後述する。

そして、管理対象装置から認証結果を送信し（Ｓ１０５７）、管理装置は認証結果を受信する（Ｓ１００７）。認証結果が失敗の場合は、管理装置は、認証結果判定（Ｓ１００８）により、エラー処理（Ｓ１００９）へ分岐し、エラー終了する。また、管理対象装置も認証結果判定（Ｓ１０５８）により、エラー処理（Ｓ１０５９）へ分岐し、エラー終了する。

認証結果が成功の場合に、一連の認証処理を正常終了し、管理装置と管理対象装置の間で秘匿通信が開始される。

ここで、管理装置側の認証処理（Ｓ１００２）と管理対象装置側の被認証処理（Ｓ１０５２）について詳述する。図１１は、管理装置側の認証処理と管理対象装置側の被認証処理のフローを示す図である。

管理装置は、乱数Ｒａを生成し（Ｓ１１０１）、管理対象装置に送信する（Ｓ１１０２）。管理対象装置は、乱数Ｒａを受信し（Ｓ１１５１）、乱数Ｒａを自ら保持する暗号鍵Ｋｂ１で暗号化する（Ｓ１１５２）。その結果得られる暗号文Ｃａを管理装置に返信する（Ｓ１１５３）。

管理装置は、暗号文Ｃａを受信し（Ｓ１１０３）、自ら保持する復号鍵Ｋａ１で暗号文Ｃａを復号する（Ｓ１１０４）。その復号結果と、元の乱数Ｒａを比較する（Ｓ１１０５）。一致した場合に、認証結果を成功し（Ｓ１１０６）、不一致の場合に、認証結果を失敗とする（Ｓ１１０７）。

また、図１０の管理装置側の被認証処理（Ｓ１００６）と管理対象装置側の認証処理（Ｓ１０５６）について詳述する。図１２は、管理装置側の被認証処理と管理対象装置側の認証処理のフローを示す図である。

管理対象装置は、乱数Ｒｂを生成し（Ｓ１２５１）、管理装置に送信する（Ｓ１２５２）。管理装置は、この乱数Ｒｂを受信し（Ｓ１２０１）、自ら保持する暗号鍵Ｋａ２で暗号化する（Ｓ１２０２）。その結果得られる暗号文Ｃｂを管理対象装置に返信する（Ｓ１２０３）。

管理対象装置は、暗号文Ｃｂを受信し（Ｓ１２５３）、自ら保持する復号鍵Ｋｂ２によりこの暗号文Ｃｂを復号する（Ｓ１２５４）。そして、復号結果を元の乱数Ｒｂと比較する（Ｓ１２５５）。一致する場合に、認証結果を成功とし（Ｓ１２５６）、不一致の場合に、認証結果を失敗とする（Ｓ１２５７）。

このように、相互認証するシステムにおいて、管理対象装置は、不正使用目的による解析攻撃にさらされることになる。例えば、タイミング解析、電力解析、電磁波解析などのサイドチャネルアタックと呼ばれるものである。

しかし、図１０のような手順によると、管理対象装置の被認証処理（Ｓ１０５２）を解析するために、管理装置に成りすました装置を用いて、管理対象装置の処理を無制限に動作させることができる。このように、繰り返しチャレンジできるため、いずれ管理対象装置の鍵が解析され、管理対象装置のなり済まし装置が生成されるおそれがある。
特開平５−０７５５９５号公報特開平６−１０６８８４号公報

本発明は、上記した従来技術の欠点を除くためになされたものであって、その目的とするところは、相互認証するシステムに係り、解析の対象となる管理対象装置に対する不当な解析を阻止することを課題とする。

本発明に係る相互認証システムは、
管理装置と当該管理装置により管理される管理対象装置とからなる相互認証システムであって、
管理対象装置が管理装置を認証する認証処理と、管理装置が管理対象装置による当該認証処理に用いるデータを生成し、管理対象装置に送信する被認証処理を行い、
当該認証処理が成功した場合に、管理装置が管理対象装置を認証する認証処理と、管理対象装置が管理装置による当該認証処理に用いるデータを生成し、管理装置に送信する被認証処理を行うことを特徴とする。

本発明においては、管理対象装置が管理装置を認証する処理を管理装置が管理対象装置を認証する処理よりも先に行うので、管理装置に成りすました装置を用いて、管理対象装置を解析することを阻止できる。特に、認証失敗回数により認証拒否を行うので、管理対象装置に対する繰り返しチャレンジを制限することができる。

また、タイマーを用いて一回の認証にかかる時間を増やすことにより、繰り返しチャレンジのコスト，つまり攻撃にかかるコストを増加させることもできる。

実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。本発明は、管理装置と管理対象装置とからなる相互認証システムを対象としている。管理装置と管理対象装置の例としては、管理装置と管理対象装置の順に、路側機と車載器、サーバと端末などが考えられる。一般に、管理装置は、システムの設置者の所有物であり、管理対象装置は、システム利用者の所有物である。その為、管理対象装置は、解析の対象となりやすい。

管理装置と管理対象装置の順に、以下の例も考えられる。
・車と車の鍵
・リーダライタとICカード、携帯電話、RFID等
また、本発明はセキュリティレベルの低い方が高い方を認証する処理を、高い方が低い方を認証する処理よりも先に行う点に特徴があり、管理装置と管理対象装置の関係をサーバと端末のような主従の関係という観点からだけでなく、次の観点からとらえることもできる。
（１）「運用上保護、監視されている場所、公の場所、物理的に保護されている場所にある」管理装置と「持ち運び自由である」管理対象装置
（２）「耐タンパ実装がされている」管理装置と「耐タンパ実装がされていない」管理対象装置
（３）「耐タンパ実装がされており、もう一方と比べ強度が高い」管理装置と「耐タンパ実装がされているが、もう一方と比べ強度が低い」管理対象装置
図１は、全体処理フローを示す図であり、図２は、管理装置と管理対象装置の構成を示す図である。管理装置は、通信開始処理部２０１、被認証処理部２０２、鍵記憶部２０３、認証結果受信部２０４、認証結果判定部２０５、エラー処理部２０６、認証処理部２０７、及び認証結果送信部２０８を有し、管理対象装置は、通信開始処理部２５１、認証拒否判定処理部２５２、認証処理部２５３、鍵記憶部２５４、認証結果送信理部２５５、認証結果判定部２５６、エラー処理部２５７、認証失敗回数記憶部２５８、被認証処理部２５９、及び認証結果受信部２６０を有している。

図１に従って処理について説明する。管理装置の通信開始処理部２０１と管理対象装置の通信開始処理部２５１の間で互いに相手装置を認識し、通信を開始すると（Ｓ１０１、Ｓ１５１）、認証拒否判定処理部２５２により認証拒否判定処理（Ｓ１５２）を行う。認証失敗回数が所定の回数に達している場合に、拒否終了する。尚、認証拒否判定処理（Ｓ１５２）については、図６を用いて後述する。

認証拒否判定処理（Ｓ１５２）で容認と判定された場合は、認証処理部２５３により管理対象装置が管理装置を認証する認証処理（Ｓ１５３）が行われる。そのとき、管理装置は、被認証処理部２０２で、認証されるための被認証処理（Ｓ１０２）を行う。これらの処理については、図４を用いて後述する。

そして、管理対象装置の認証結果送信理部２５５から認証結果を送信し（Ｓ１５４）、管理装置の鍵記憶部２０３は認証結果を受信する（Ｓ１０３）。認証結果が失敗の場合は、管理装置は、認証結果判定部２０５の認証結果判定（Ｓ１０４）により、エラー処理部２０６によるエラー処理（Ｓ１０５）へ分岐し、エラー終了する。また、管理対象装置も認証結果判定部２５６の認証結果判定（Ｓ１５５）により、エラー処理部２５７によるエラー処理（Ｓ１５６）へ分岐し、エラー終了する。エラー処理として、具体的には認証失敗カウント処理を行う。この処理では、認証失敗の回数を計数する。詳しくは、図５で説明する。

認証結果が成功の場合には、認証処理部２０７により管理装置が管理対象装置を認証する認証処理（Ｓ１０６）が行われ、管理対象装置は、被認証処理部２５９で、認証されるための被認証処理（Ｓ１５７）を行う。これらの処理については、図４を用いて後述する。

そして、管理装置の認証結果送信部２０８から認証結果を送信し（Ｓ１０７）、管理対象装置の認証結果受信部２６０は認証結果を受信する（Ｓ１５８）。認証結果が失敗の場合は、管理装置は、認証結果判定部２０５の認証結果判定（Ｓ１０８）により、エラー処理部２０６によるエラー処理（Ｓ１０９）へ分岐し、エラー終了する。また、管理対象装置も認証結果判定部２５６の認証結果判定（Ｓ１０５９）により、エラー処理部２５７によるエラー処理（Ｓ１０６０）へ分岐し、エラー終了する。

ここで、管理装置側の被認証処理（Ｓ１０２）と管理対象装置側の認証処理（Ｓ１５３）について詳述する。図３は、管理装置側の被認証処理と管理対象装置側の認証処理の各フローを示す図である。

管理対象装置は、乱数Ｒｂを生成し（Ｓ３５１）、管理装置に送信する（Ｓ３５２）。管理装置は、この乱数Ｒｂを受信し（Ｓ３０１）、鍵記憶部２０３で保持する暗号鍵Ｋａ１で暗号化する（Ｓ３０２）。その結果得られる暗号文Ｃｂを管理対象装置に返信する（Ｓ３０３）。

管理対象装置は、暗号文Ｃｂを受信し（Ｓ３５３）、鍵記憶部２５４で保持する復号鍵Ｋｂ１によりこの暗号文Ｃｂを復号する（Ｓ３５４）。そして、復号結果を元の乱数Ｒｂと比較する（Ｓ３５５）。一致する場合に、認証結果を成功とし（Ｓ３５６）、不一致の場合に、認証結果を失敗とする（Ｓ３５７）。

次に、管理装置側の認証処理（Ｓ１０６）と管理対象装置側の被認証処理（Ｓ１５７）について詳述する。図４は、管理装置側の認証処理と管理対象装置側の被認証処理の各フローを示す図である。

管理装置は、乱数Ｒａを生成し（Ｓ４０１）、管理対象装置に送信する（Ｓ４０２）。管理対象装置は、乱数Ｒａを受信し（Ｓ４５１）、乱数Ｒａを鍵記憶部２５４で保持する暗号鍵Ｋｂ２で暗号化する（Ｓ４５２）。その結果得られる暗号文Ｃａを管理装置に返信する（Ｓ４５３）。

管理装置は、暗号文Ｃａを受信し（Ｓ４０３）、鍵記憶部２０３で保持する復号鍵Ｋａ２で暗号文Ｃａを復号する（Ｓ４０４）。その復号結果と、元の乱数Ｒａを比較する（Ｓ４０５）。一致した場合に、認証結果を成功とし（Ｓ４０６）、不一致の場合に、認証結果を失敗とする（Ｓ４０７）。

認証失敗カウント処理（Ｓ１５６）について詳述する。図５は、認証失敗カウント処理のフローを示す図である。エラー処理部２５７は、認証失敗回数記憶部２５８で記憶している認証失敗回数をインクリメントする（Ｓ５５１）。

認証拒否判定処理（Ｓ１５２）について詳述する。図６は、認証拒否判定処理のフローを示す図である。認証失敗回数記憶部２５８に記憶している認証失敗回数が閾値以上か判定する（Ｓ６５１）。閾値以上の場合には、判定結果を拒否とし（Ｓ６５３）、閾値未満の場合には判定結果を容認とする（Ｓ６５２）。

管理装置と管理対象装置ともにデータを受信した場合に、ＥＤＣ（ＥｒｒｏｒＤｅｔｅｃｔｉｎｇＣｏｄｅ）のチェックを挿入することにより、さらに相互認証の信頼性を向上させることもできる。

上述のように、管理対象装置が管理装置を認証する処理を管理装置が管理対照装置を認証する処理よりも先に行うので、管理装置に成りすました装置を用いて、管理対象装置を解析することを阻止できる。特に、認証失敗回数により、認証拒否を行うので、管理対象装置に対する繰り返しチャレンジを制限することができる。

また、図７に示すように、タイマーを使用することで認証処理の都度、処理を遅延させ、一回のチャレンジにかかる時間を増加させ、繰り返しチャレンジを行うためには、多大なコストを必要とするという対策も考えられる。

実施の形態２．
前述の実施の形態では、認証処理として、被認証側から受信した暗号文を復号して元の乱数を比較する例を示したが、本実施の形態では、認証処理として、元の乱数を暗号化して、その結果を受信した暗号文と比較する例について説明する。

管理装置側の被認証処理（Ｓ１０２）と管理対象装置側の認証処理（Ｓ１５３）の別例について詳述する。図８は、管理装置側の被認証処理と管理対象装置側の認証処理（その２）の各フローを示す図である。管理対象装置のＳ８５１〜Ｓ８５３の処理と管理装置のＳ８０１〜Ｓ８０３の処理は、図３に示した管理対象装置のＳ３５１〜Ｓ３５３の処理と管理装置のＳ３０１〜Ｓ３０３の処理と同様である。

管理対象装置の認証処理部２５３は、Ｓ８５１で生成した乱数Ｒｂを、鍵記憶部２５４で保持する暗号鍵Ｋｂ１で暗号化する（Ｓ８５４）。そして、暗号化結果を、Ｓ８５３で受信した暗号文Ｃｂと比較する。一致する場合に、認証結果を成功とし（Ｓ８５６）、不一致の場合に、認証結果を失敗とする（Ｓ８５７）。

更に、管理装置側の認証処理（Ｓ１０６）と管理対象装置側の被認証処理（Ｓ１５７）の別例について詳述する。図９は、管理装置側の認証処理と管理対象装置側の被認証処理（その２）の各フローを示す図である。管理装置のＳ９０１〜Ｓ９０３の処理と管理対象装置のＳ９５１〜Ｓ９５３の処理は、図４に示した管理装置のＳ４０１〜Ｓ４０３の処理と管理対象装置のＳ４５１〜Ｓ４５３の処理と同様である。

管理装置の認証処理部２０７は、Ｓ９０１で生成した乱数Ｒａを、鍵記憶部２０３で保持する暗号鍵Ｋａ２で暗号化する（Ｓ９０４）。そして、暗号化結果を、Ｓ９０３で受信した暗号文Ｃａと比較する。一致する場合に、認証結果を成功とし（Ｓ９０６）、不一致の場合に、認証結果を失敗とする（Ｓ９０７）。

この形態のように、認証しても、前述の形態と同様の効果が得られる。

共通鍵で言えば、暗号化と復号は逆でもよく、また公開鍵で言えば被認証処理は署名生成でもよく、共通鍵でも公開鍵など、秘密の情報を用いて演算を行い、それを認証に用いるものであれば適用できる。

尚、管理装置と管理対象装置は、演算装置とメモリを備えたコンピュータであり、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。

全体処理フローを示す図である。管理装置と管理対象装置の構成を示す図である。管理装置側の被認証処理と管理対象装置側の認証処理の各フローを示す図である。管理装置側の認証処理と管理対象装置側の被認証処理の各フローを示す図である。認証失敗カウント処理のフローを示す図である。認証拒否判定処理のフローを示す図である。タイマー処理を挿入したフローを示す図である。管理装置側の被認証処理と管理対象装置側の認証処理（その２）の各フローを示す図である。管理装置側の認証処理と管理対象装置側の被認証処理（その２）の各フローを示す図である。従来技術の全体処理フローを示す図である。管理装置側の認証処理と管理対象装置側の被認証処理のフローを示す図である。管理装置側の被認証処理と管理対象装置側の認証処理のフローを示す図である。

符号の説明

２０１通信開始処理部、２０２被認証処理部、２０３鍵記憶部、２０４認証結果受信部、２０５認証結果判定部、２０６エラー処理部、２０７認証処理部、２０８認証結果送信部、２５１通信開始処理部、２５２認証拒否判定処理部、２５３認証処理部、２５４鍵記憶部、２５５認証結果送信理部、２５６認証結果判定部、２５７エラー処理部、２５８認証失敗回数記憶部、２５９被認証処理部、２６０認証結果受信部。

Claims

管理装置と当該管理装置により管理される管理対象装置とからなる相互認証システムであって、
管理対象装置が管理装置を認証する認証処理と、管理装置が管理対象装置による当該認証処理に用いるデータを生成し、管理対象装置に送信する被認証処理を行い、
当該認証処理が成功した場合に、管理装置が管理対象装置を認証する認証処理と、管理対象装置が管理装置による当該認証処理に用いるデータを生成し、管理装置に送信する被認証処理を行うことを特徴とする相互認証システム。
管理装置が生成する前記データは、管理装置で保持する暗号鍵で暗号化した暗号文であり、
管理対象装置が生成する前記データは、管理対象装置で保持する暗号鍵で暗号化した暗号文であることを特徴とする請求項１記載の相互認証システム。
管理対象装置は、前記管理装置を認証する認証処理が失敗した回数をカウントし、所定数を越えている場合に、認証を拒否することを特徴とする請求項１記載の相互認証システム。
管理対象装置は、認証処理の都度タイマー処理を行うことを特徴とする請求項１記載の相互認証システム。
管理装置は、認証システム設置者により設置される装置であり、管理対象装置は、認証システム利用者に所持される装置であることを特徴とする請求項１記載の相互認証システム。
管理装置と相互認証システムを構成する管理対象装置であって、
管理対象装置が管理装置を認証する認証処理を行い、
当該認証処理が成功した場合に、管理装置による認証処理に用いるデータを生成し、管理装置に送信する被認証処理を行うことを特徴とする管理対象装置。
管理対象装置は、前記管理装置を認証する認証処理が失敗した回数をカウントし、所定数を越えている場合に、認証を拒否することを特徴とする請求項６記載の管理対象装置。
管理対象装置は、認証処理の都度タイマー処理を行うことを特徴とする請求項６記載の管理対象装置。
管理装置と相互認証システムを構成する管理対象装置となるコンピュータに、以下の手順を実行させるためのプログラム
（１）管理対象装置が管理装置を認証する認証処理手順
（２）当該認証処理が成功した場合に、管理装置による認証処理に用いるデータを生成し、管理装置に送信する被認証処理手順。
相互認証システムであって、セキュリティレベルの低い装置からセキュリティレベルの高い装置の認証を行い、当該認証が成功した場合にセキュリティレベルの高い装置がセキュリティレベルの低い装置を認証することを特徴とする相互認証システム。
相互認証システムであって、一方の認証装置は、運用上保護、監視、公の場所にあるか、もしくは物理的に保護されている装置であり、当該認証装置を他方の認証装置が認証する処理行い、当該処理が成功した場合に、運用上保護、監視、公の場所にあるか、もしくは物理的に保護されている装置が他方の認証装置を認証する処理を行うことを特徴とする請求項１０記載の相互認証システム。
相互認証システムであって、一方の認証装置は、耐タンパ実装がされている認証装置であり、他方は耐タンパ実装がされていない装置により構成され、耐タンパ実装をされていない装置が耐タンパ実装をされている装置を認証する処理を行い、当該処理が成功した場合に耐タンパ実装をされている装置が耐タンパ実装をされていない装置を認証する処理を行うことを特徴とする請求項１０記載の認証システム。
耐タンパ実装がされている相互認証システムであって、一方の認証装置は他方の認証装置と比べ解析コストが低い装置であり、解析コストの低い装置が解析コストの高い装置を認証する処理を行い、当該処理が成功した場合に解析コストの高い装置が解析コストの低い装置を認証する処理を行うことを特徴とする請求項１０記載の認証システム。
セキュリティレベルの低い装置は、認証処理が失敗した回数をカウントし、所定数を越えている場合に、認証を拒否することを特徴とする請求項１０記載の相互認証システム。
セキュリティレベルの低い装置は、認証処理の都度タイマー処理を行うことを特徴とする請求項１０記載の相互認証システム。