JP2006333435A - 時刻認証システム、装置及びプログラム - Google Patents

Abstract

【課題】 時刻認証毎に双方向通信を用いる必要が無く、タイムスタンプの検証時に検証センタを介する必要が無く、携帯端末上で時刻認証を実現させる。
【解決手段】電子ファイルfの時刻認証時に、携帯端末10の内部時計11に基づき仮タイムスタンプS_kts(h(f),id,t)と承認署名S_ksg(h(f))を生成する。仮タイムスタンプ生成用の秘密鍵ktsは携帯端末の耐タンパー保護領域25により不正アクセスから守られる。承認署名生成用の秘密鍵ksgは、内部時計の検証後に認証局装置30により発行され、内部時計の自発誤差とタイムスタンプ時刻情報の保証精度に応じた有効期間中、異なる電子ファイルにも使用できる。従って時刻認証毎の双方向通信が不要である。仮タイムスタンプと承認署名はデジタル署名方式の秘密鍵に対応する公開鍵で検証できる。従って検証センタが不要である。携帯端末は仮タイムスタンプと承認署名を生成し時刻認証を実現する。
【選択図】 図１

Description

本発明は、時刻認証システム、装置及びプログラムに関する。

インターネットの急速な普及に伴い、近年、電子情報を用いた様々な形態のビジネス等が生まれている。しかしながら、電子情報は、偽造や改ざんが極めて容易であることから、ビジネス等に用いる際には、正当性を保証する技術を必要とする。係る技術として、認証技術の重要性が、現在、広く認識されている。

認証技術の一つとして、電子情報の作成時刻を保証する時刻認証技術がある。時刻認証技術は、実用化が強く求められており、例えば次の方式が知られている。

電子ファイル作成者の端末（以下、ユーザ端末という）は、インターネットを介して、信頼できる第三者のサーバにアクセスする。これにより、ユーザ端末はサーバとの間で双方向通信を実行する。双方向通信中、ユーザ端末はサーバへ電子ファイルのメッセージダイジェストを送信する。サーバは、自らが有する時計の時刻と、受け取ったメッセージダイジェストとに対し、自らの秘密鍵に基づいてデジタル署名を生成し、得られたデジタル署名をユーザ端末に送信する。ユーザ端末は、デジタル署名を受信すると、双方向通信を終了する。

以上が、知られている時刻認証方式の例である。時刻認証サービスはすでに事業として開始されているが、そのほとんどが上述した時刻認証方式を採用している。

なお、この出願に関連した先行技術文献情報としては、次のものがある。
特開２００３−２７３８６６号公報

しかしながら、以上のような時刻認証方式は、用途によっては問題が生じる。例えば携帯端末により電子ファイルを作成する場合、多数の携帯端末が時刻認証のたびにサーバにアクセスすることとなる。すなわち、各々の携帯端末は、電子ファイルの作成時刻に対して時刻認証を受けるため、電子ファイル作成毎にサーバにアクセスすることとなる。

このことは、サーバとネットワークに過剰な負荷をかけ、通信処理コストを増大させる。また、負荷によって生じる余分な待ち時間のため、正しい作成時刻を認証することが困難となる。また、従来の時刻認証方式は、時刻認証毎に双方向通信が必要なため、時刻認証の処理中、携帯端末を絶えずネットワークに接続させ続けなければならない。これは、定位置に束縛されずに使用可能な携帯端末の利便性を大きく制約する不都合がある。

本発明者の検討によれば、携帯端末で作成された電子ファイルを時刻認証する場合、前述した問題を避ける観点から、携帯端末の内部時計を用いて端末側で時刻認証を実行することが望ましい。しかしながら、内部時計を用いる場合、携帯端末の利用者や悪意のある第三者が不正な時刻による不正な時刻認証を実行できないような、新たなしくみが必要である。

ここで、仮に携帯端末の内部時計とセキュリティパラメータが耐タンパー保護領域内で守られた上で、内部時計が原子時計のようにほぼ完全に正確であるとした理想的な環境を考えてみる。この理想的な環境であれば、各携帯端末の内部時計が時刻認証用サーバの時計と完全に同期するため、携帯端末を時刻認証用サーバに接続させる必要がなく、前述した新たなしくみを容易に実現できる。

しかしながら、現実には、携帯端末の内部時計として原子時計のような超高精度の時計を理想的な環境下で使用することは極めて稀であり、低価格化・小型化の要請および携帯端末の使用形態から、標準的な精度の水晶発振器を過酷な環境の下で用いるのが普通である。かかる内部時計は、品質のばらつき、外部の環境要因（温度・機械振動・駆動電圧ゆらぎ等）、時間劣化、などに起因した微小な時刻ずれが必ず生じるため、一定期間の後、累積された時刻ずれが無視できない大きさとなるのが常である（約３分／月）。従って、実用上は、耐タンパー領域内で保護された内部時計の自発的な時刻ずれを安全に補正することが必要である。

また、時刻合わせはネットワークを介した双方向通信により行うことが一般的であるが、双方向通信には前述した不都合がある。このため、本発明者の検討によれば、携帯端末の位置を固定する必要が無いこと、および通信時間・通信コストがネットワーク接続に比べ低くすむこと、の理由から、非接続状態で時刻合わせが可能な標準電波等の時刻放送を用いることが好ましいと考えられる。

なお、特許文献１に記載の技術は、タイムスタンプの正当性の検証時に、監査センタが提出した時刻修正履歴等の監査結果を有する特定の検証センタを介する必要がある。

本発明は上記実情を考慮してなされたもので、時刻認証毎に双方向通信を用いる必要が無く、タイムスタンプの検証時に検証センタを介する必要が無く、携帯端末上で時刻認証を実現し得る時刻認証システム、装置及びプログラムを提供することを目的とする。

第１の発明は、互いに暗号通信可能な携帯端末及び認証局装置を備えた時刻認証システムであって、前記携帯端末は耐タンパー保護装置を有し、前記耐タンパー保護装置としては、耐タンパー性保証情報を保持しており、物理的又は電気的な不正アクセスにより、前記耐タンパー性保証情報を消去又は改変する手段と、時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置と、時間間隔Δｔ毎に放送された標準時刻情報を受信する手段と、前記受信した標準時刻情報を基準としたときの前記提供された内部時刻情報の誤差を算出する手段と、この誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記内部時計装置を標準時刻に同期させる手段と、デジタル署名方式に用いられ、前記携帯端末に固有の第１秘密鍵情報が記憶された記憶手段と、認証対象の電子情報、前記内部時刻情報及び前記第１秘密鍵情報に基づいて第１デジタル署名を生成する手段と、デジタル署名方式に用いられ、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を前記認証局装置に要求する手段と、前記要求に伴い、前記内部時刻情報及び前記耐タンパー性保証情報を暗号通信により前記認証局装置に送信する手段と、前記認証局装置から暗号通信により第２秘密鍵情報を受信する手段と、前記標準時刻情報の再送により、前記内部時計装置に時刻ずれを生じさせ、且つ前記時刻ずれに応じた第１デジタル署名を生成させた後に前記内部時計装置を前記時間間隔Δｔ毎に前記許容時間εずつ補正して前記標準時刻に同期させる再送攻撃に対し、前記受信した第２秘密鍵情報、及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成する手段と、前記第１及び第２デジタル署名を出力する手段とを備えており、前記認証局装置としては、標準時刻情報を提供する標準時計装置と、前記携帯端末から暗号通信により内部時刻情報及び耐タンパー性保証情報を受信する手段と、前記標準時刻情報に基づいて、前記受信した内部時刻情報が正当か否かを検証する第１検証手段と、予め保持した耐タンパー性保証情報に基づいて、前記受信した耐タンパー性保証情報が正当か否かを検証する第２検証手段と、前記各検証の結果が正当のとき、前記第２秘密鍵情報及び対応する公開鍵を発行する手段と、前記発行された第２秘密鍵情報及び対応する公開鍵とこれらの発行日時とを記録する手段と、前記記録された第２秘密鍵情報を暗号通信により前記携帯端末に送信する手段とを備えた時刻認証システムである。

なお、第１の発明は、「前記標準時刻情報の再送」に代えて「前記標準時刻情報の偽造」とし、「再送攻撃」に代えて「偽造攻撃」としてもよい。

（作用）
第１の発明は、電子情報を時刻認証する際に、第１及び第２のデジタル署名を用いる。第１のデジタル署名は、許容時間ε（＝ｘ・Δｔ）の精度で、電子情報が内部時刻情報の時点のものである旨を保証する。第２デジタル署名は、再送攻撃又は偽造攻撃のいずれに対しても、保証精度Ｅrr（＝ｘ・Ｔ）の範囲で第１デジタル署名の正当性を保証する。ここで、第２のデジタル署名は、有効期間Ｔをもつ第２秘密鍵情報に基づいて生成されるので、有効期間Ｔ内であれば、異なる電子情報に対しても使用することができる。従って、時刻認証毎に双方向通信を用いる必要が無い。

また、第１及び第２のデジタル署名は、いずれもデジタル署名方式に用いられる秘密鍵情報から生成されるので、対応する公開鍵情報から検証可能となっている。従って、タイムスタンプ（第１及び第２のデジタル署名）の検証時に検証センタを介する必要が無い。

また、第１及び第２のデジタル署名は、いずれも携帯端末上で生成される。従って、携帯端末上で時刻認証を実現できる。

以上により、時刻認証毎に双方向通信を用いる必要が無く、タイムスタンプの検証時に検証センタを介する必要が無く、携帯端末上で時刻認証を実現できる。

なお、第１の発明は、各装置の集合体を「システム」として表現したが、これに限らず、各装置の集合体又は各装置毎に、「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。

以上説明したように本発明によれば、時刻認証毎に双方向通信を用いる必要が無く、タイムスタンプの検証時に検証センタを介する必要が無く、携帯端末上で時刻認証を実現できる。

以下、本発明の各実施形態について図面を用いて説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る時刻認証システムの構成を示す模式図であり、図２は携帯端末における時刻制御部の構成を説明するための模式図である。

ここで、時刻認証システムは、放送局１、携帯端末１０及び認証局装置３０から構成される。なお、携帯端末１０及び認証局装置３０は、それぞれ装置の各機能を実現するためのハードウェア構成、又はハードウェアとソフトウエアとの組み合わせ構成として実現されている。ソフトウェアは、予め記憶媒体又はネットワークからインストールされ、各装置１０，３０にその機能を実現させるためのプログラムからなる。
放送局１は、標準時刻情報と、標準時刻情報の出所および時間順序の正当性を保証する認証子とを時刻放送として発信するものである。

携帯端末１０は、内部時計１１、仮タイムスタンプ用秘密鍵記憶部１２、シリアル番号記憶部１３、耐タンパー性保証パラメータ記憶部１４、通信用第１秘密鍵記憶部１５、通信用第２秘密鍵記憶部１６、時刻制御部１７、仮タイムスタンプ生成部１８、署名要求部１９、暗号化部２０、復号部２１、承認署名生成部２２、電子ファイル記憶部２３及びハッシュ値生成部２４を備えている。なお、各要素１１〜２２は、耐タンパー保護領域２５に格納されている。

内部時計１１は、時間毎自発誤差ｘの精度で内部時刻情報ｔを時刻制御部１７、仮タイムスタンプ生成部及び暗号化部２０に提供する装置であり、時刻制御部１７により時刻が補正可能となっている。時間毎自発誤差ｘとは、単位時間当りに自発的に発生する最大誤差のことであり、例えばデジタル時計の水晶発振器の場合、約３分／月である。

仮タイムスタンプ用秘密鍵記憶部１２は、デジタル署名方式に用いられ、携帯端末１０に固有の仮タイムスタンプ用秘密鍵（第１秘密鍵情報）ktsが記憶されたメモリであり、仮タイムスタンプ生成部１８から読出可能となっている。

シリアル番号記憶部１３は、携帯端末１０に固有のシリアル番号ｉｄが記憶されたメモリであり、仮タイムスタンプ生成部１８及び暗号化部２０から読出可能となっている。

耐タンパー性保証パラメータ記憶部１４は、耐タンパー性保証パラメータ（耐タンパー性保証情報）ＴＲを保持しており、耐タンパー保護領域２５への物理的又は電気的な不正アクセスにより、耐タンパー性保証パラメータＴＲを消去又は改変する機能をもっている。補足すると、耐タンパー性保証パラメータＴＲとは、例えば耐タンパー保護領域２５が物理的に侵害され、内部情報の盗聴・改ざん、内部時計１１の不正操作といった不正なアクセスが行われた場合、この不正なアクセスを確実に検知して本来とは異なる値に変化（消去又は改変）する（例えば０値化）ような、耐タンパー保護領域２５内に保持されたセキュリティパラメータのことである。なお、不正な処理は、必ずしも物理的な侵害を含まなくてもよく、秘密鍵Ａ，Ｂの外部出力命令といった電気的な不正アクセスを含むことは言うまでも無い。

通信用第１秘密鍵記憶部１５は、認証局装置３０との間で暗号通信をするための共通鍵暗号方式の秘密鍵Ａが記憶されたメモリであり、暗号化部２０から読出可能となっている。秘密鍵Ａは認証局装置３０と共有されている。

通信用第２秘密鍵記憶部１６は、認証局装置３０との間で暗号通信をするための共通鍵暗号方式の秘密鍵Ｂが記憶されたメモリであり、復号部２１から読出可能となっている。秘密鍵Ｂは認証局装置３０と共有されている。

時刻制御部１７は、図２に示すように、受信部１７ａ、認証子検証部１７ｂ、時刻比較部１７ｃ及び内部時計補正部１７ｄを備えている。

受信部１７ａは、時間間隔Δｔ毎に放送局１から放送された標準時刻情報と、少なくとも標準時刻情報及びその出所（放送局１）の正当性を保証する認証子とを受信し、標準時刻情報及び認証子を認証子検証部１７ａに送出する機能をもっている。ここで、認証子としては、例えば、放送局１のデジタル署名方式の秘密鍵による、標準時刻情報及び放送局識別情報に対するデジタル署名が使用可能となっている。認証子は、放送局１の公開鍵に基づいて検証可能であり、署名対象としては標準時刻情報及び放送局識別情報の他に、時間順序情報を含んでもよい。

認証子検証部１７ｂは、予め放送局１の公開鍵を保持しており、受信部１７ａから受けた認証子の正当性を放送局１の公開鍵に基づいて検証する機能と、検証結果が正当のとき、受信部１７ａから受けた標準時刻情報を時刻比較部１７ｃに送出する機能とをもっている。

時刻比較部１７ｃは、認証子検証部１７ｂから受けた標準時刻情報と、内部時計１１から提供される内部時刻情報１１とを比較し、両者の誤差が正当な範囲（許容時間ε以下）にあるか否かを検証し、正当な範囲にあるときのみ、内部時計１１の誤差を０とするための補正信号を内部時計補正部１７ｄに送出するものである。ここで、正当な範囲とは、予め定められた時刻制御部１７の許容時間εである。許容時間εは、後述する図６に示すように、内部時計１１の時間毎自発誤差をｘとし、時刻補正の間隔をΔｔとしたとき、ε＝ｘΔｔの関係がある。例えば、時間毎自発誤差ｘの単位時間を１時間としたとき、前述した３分／月は、１８０秒／月と換算した後、１８０秒÷３０日÷２４時間と換算して、ｘ＝０．２５秒／時間として表される。ここで、時刻補正の間隔Δｔを２時間とすると、許容時間εは、ε＝ｘΔｔ＝０．２５×２＝０．５秒となる。すなわち、時刻比較部１７ｃは、この例の場合、２時間毎に０．５秒以内の誤差であれば、補正信号を内部時計補正部１７ｄに送出する。再送攻撃によれば、この誤差の補正が悪用されて２時間毎に０．５秒以内の誤差をもつ標準時刻情報が再送され、再送攻撃の回数ｎに比例してｎ・εの範囲で内部時計１１に時刻ずれを生じさせる可能性がある。

内部時計補正部１７ｄは、時刻比較部１７ｃから受ける補正信号に基づいて、内部時計１１を補正し、内部時計１１を標準時刻に同期させる機能をもっている。

仮タイムスタンプ生成部１８は、ハッシュ値生成部２４から受けたハッシュ値ｈ（ｆ）と、内部時計１１から提供される内部時刻情報ｔと、シリアル番号記憶部１３内のシリアル番号ｉｄとに対し、仮タイムスタンプ用秘密鍵記憶部１２内の仮タイムスタンプ用秘密鍵ktsに基づいて仮タイムスタンプ（第１デジタル署名）Ｓ_kts（ｈ（ｆ），ｉｄ，ｔ）を生成するものであり、シリアル番号ｉｄと内部時刻情報ｔと得られた仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）を出力する機能をもっている。

署名要求部１９は、ユーザの操作により、認証局装置３０に承認署名用秘密鍵（第２秘密鍵）を要求する機能と、この要求に伴い、認証局装置３０から受けた送信要求により、暗号化部２０を起動する機能とをもっている。ここで、承認署名用秘密鍵は、時刻認証装置３０に発行され、デジタル署名方式に用いられる秘密鍵であり、仮タイムスタンプの内部時刻情報ｔから起算される有効期間Ｔをもっている。ここで、有効期間Ｔは、図６に示すように、時刻認証システムが保証する精度Ｅrrの範囲で、前述した再送攻撃を阻止するためのものである。保証精度Ｅrrは、再送攻撃により発生して再送攻撃により時刻ずれの無い時刻ｔ22に復帰可能な時刻ずれのうち、最大の時刻ずれの値であり、Ｅrr＝ｎ・ε＝（Ｔ／Δｔ）（ｘ・Δｔ）＝ｘＴとして表される。保証精度Ｅrrの式Ｅrr＝ｘＴの関係は、有効期間Ｔを長くすると、保証精度Ｅrrが粗くなり、有効期間Ｔを短くすると、保証精度Ｅrrが細かくなることを意味している。

暗号化部２０は、署名要求部１９に起動されると、シリアル番号記憶部１３内のシリアル番号ｉｄ、内部時計１１の内部時刻情報ｔ、耐タンパー性保証パラメータ記憶部１４内の耐タンパー性パラメータＴＲを、通信用第１秘密鍵記憶部１５内の秘密鍵Ａ及び共通鍵暗号方式に基づいて暗号化し、得られた暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を認証局装置３０に送信（暗号通信）する機能をもっている。

復号部２１は、認証局装置３０から暗号化結果Ｅ_B（ksg）を受信し、この暗号化結果Ｅ_B（ksg）を通信用第２秘密鍵記憶部１６内の秘密鍵Ｂ及び共通鍵暗号方式に基づいて復号し、得られた承認署名用秘密鍵ksgを承認署名生成部２２に送出する機能をもっている。

承認署名生成部２２は、ハッシュ値生成部２４から受けたハッシュ値ｈ（ｆ）に対し、復号部２１から受けた承認署名用秘密鍵ksgに基づいて承認署名（第２デジタル署名）Ｓ_ksg（ｈ（ｆ））を生成する機能と、得られた承認署名Ｓ_ksg（ｈ（ｆ））を出力する機能とをもっている。

ここで、承認署名Ｓ_ksg（ｈ（ｆ））は、再送攻撃に対し、図６に示すような有効期間Ｔと時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で仮タイムスタンプの正当性を認証局が保証するためのものである。また、ここでいう再送攻撃とは、標準時刻情報の再送により、内部時計１１に時刻ずれを生じさせ、且つこの時刻ずれに応じた仮タイムスタンプを生成させた後に、内部時計１１を時間間隔Δｔ毎に許容時間εずつ補正して標準時刻に同期させることにより、時刻ずれを有する仮タイムスタンプを認証局に保証させる攻撃方法を意味する。

電子ファイル記憶部２３は、認証対象の電子ファイルｆを保持するメモリであり、通常の電子ファイル作成機能（図示せず）から読出／書込であり、他には例えば、ハッシュ値生成部２４から読出可能となっている。電子ファイルｆとしては、電子メール等の文書データや、デジタルカメラ等で撮影される静止画又は動画の画像データなど、任意の電子データからなる電子ファイルが適用可能となっている。

ハッシュ値生成部２４は、例えば外部から指定された電子ファイルｆを電子ファイル記憶部２３から読出し、この電子ファイルｆのハッシュ値ｈ（ｆ）を生成し、得られたハッシュ値ｈ（ｆ）を仮タイムスタンプ生成部１８に送出する機能をもっている。

耐タンパー保護領域（耐タンパー保護装置）２５は、前述した各要素１１〜２２を含んでおり、物理的又は電気的な不正アクセスにより、各要素１１〜２２の記憶内容や動作プログラムを消去又は改変する機能をもっている。

一方、認証局装置３０は、標準時計３１、通信用第１秘密鍵記憶部３２、承認署名用秘密鍵記憶部３３、ログ記憶部３４、通信用第２秘密鍵記憶部３５、受信時刻判定部３６、復号部３７、内部時刻検証部３８、制御部３９及び暗号化部４０を備えている。

標準時計３１は、標準時刻情報ｔ０，ｔ１，…を受信時刻判定部３６及び制御部３９に提供する装置である。

通信用第１秘密鍵記憶部３２は、携帯端末１０との間で暗号通信をするための共通鍵暗号方式の秘密鍵Ａが記憶されたメモリであり、復号部３７から読出可能となっている。秘密鍵Ａは携帯端末１０と共有されている。

承認署名用秘密鍵記憶部３３は、承認署名用秘密鍵ｋｓｇが記憶されるメモリであり、制御部３９から書込可能であり、暗号化部４０から読出可能となっている。

ログ記憶部３４は、シリアル番号ｉｄ、発行日時ｔｔ、承認署名用秘密鍵ｋｓｇ及び対応する公開鍵ｋｓｇ’から書き込まれるメモリであり、時刻認証先からの要求により、発行日時ｔｔ及び承認署名検証用公開鍵ｋｓｇ’が読み出される。ここでログ記憶部３４に書き込まれるシリアル番号ｉｄ、発行日時ｔｔは、検証時において承認署名用秘密鍵ｋｓｇの生成日時の特定に用いられるため、共に承認署名検証用公開鍵ｋｓｇ’に添えて公開される情報である。なお、ログ記憶部３４は、図１において認証局装置３０内にあるが、記録内容が悪意のある第三者による不正操作から守られていれば、必ずしも認証局装置３０内にある必要はない。すなわち、ログ記憶部３４は、認証局装置３０から分離され独立に管理されていてもよいし、ログ記憶部３４の記録内容の一部あるいは全部が外部の記憶装置を用いて分散管理されていてもよい。

通信用第２秘密鍵記憶部３５は、携帯端末１０との間で暗号通信をするための共通鍵暗号方式の秘密鍵Ｂが記憶されたメモリであり、暗号化部４０から読出可能となっている。秘密鍵Ｂは携帯端末１０と共有されている。

受信時刻判定部３６は、携帯端末１０から暗号通信により内部時刻情報ｔ及び耐タンパー性保証情報ＴＲを受信するものである。具体的には受信時刻判定部３６は、承認署名用秘密鍵の要求を受信すると、内部時刻情報ｔ及び耐タンパー性保証パラメータＴＲの送信要求を携帯端末１０に送信する機能と、この送信時刻ｔ０を標準時計３１を参照して記憶する機能と、携帯端末１０から暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を受信する機能と、この受信時刻ｔ１を標準時計３１を参照して記憶する機能と、送信時刻ｔ０と受信時刻ｔ１との差ｔ１−ｔ０が許容範囲内であるか否かを判定する機能と、許容範囲外であれば、判定結果が許容範囲内と出るまで規定回数の範囲内で処理を繰り返す機能と、規定回数を超えた場合には、処理を拒否して終了する機能と、判定結果が許容範囲内であれば暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を復号部３７に送出すると共に、両時刻ｔ０，ｔ１の中間時刻ｔ２（＝（ｔ０＋ｔ１）／２）を算出して中間時刻情報ｔ２を内部時刻検証部３８に送出する機能とをもっている。なお、中間時刻ｔ２は、ここでは両時刻ｔ０,ｔ１間の中央の値としたが、これに限らず、両時刻ｔ０，ｔ１間の値であれば、送信時刻ｔ０寄りの値でもよく、受信時刻ｔ１寄りの値でもよい。

復号部３７は、受信時刻判定部３６から受けた暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を、通信用第１秘密鍵記憶部３２内の秘密鍵Ａ及び共通鍵暗号化方式に基づいて復号し（ＳＴ１２）、得られたシリアル番号ｉｄ、内部時刻情報ｔ及び耐タンパー性パラメータＴＲを内部時刻検証部３８に送出する機能をもっている。

内部時刻検証部３８は、受信時刻判定部３６から受けた中間時刻情報ｔ２に基づいて、受信した内部時刻情報ｔが正当か否かを検証すると共に、予め保持した耐タンパー性保証情報に基づいて、受信した耐タンパー性保証パラメータＴＲが正当か否かを検証するものである。具体的には、内部時計検証部３８は、復号部３７から受けた内部時刻情報ｔと、受信時刻判定部３６から受けた中間時刻情報ｔ２との差ｔ２−ｔが許容範囲内にあるか否かを検証する機能と、検証結果が許容範囲内にあれば、さらに耐タンパー性保証パラメータの正当性を検証する機能と、検証結果が正当性を示していれば、携帯端末１０の耐タンパー保護領域２５に異常がない旨の通知（ＯＫ）及びシリアル番号ｉｄを制御部３９に送出する機能と、いずれか検証に不合格の場合には、携帯端末１０の耐タンパー保護領域２５に異常がある旨の通知（ＮＧ）及びシリアル番号ｉｄを送出する機能とをもっている。なお、内部時刻情報ｔの検証と、耐タンパー性保証パラメータＴＲの検証とは、いずれを先に実行してもよい。

制御部３９は、内部時刻検証部３８からの通知（ＮＧ）により処理を拒否して終了する機能をもっている。また、制御部３９は、各検証の結果が正当のときの内部時刻検証部３８からの通知（ＯＫ）により、携帯端末１０のシリアル番号ｉｄと現在の標準時刻（発行日時）ｔｔとに基づいて、承認署名用秘密鍵ｋｓｇ及び対応する公開鍵ｋｓｇ’を発行（生成）する機能と、シリアル番号ｉｄ、発行日時ｔｔ、承認署名用秘密鍵ｋｓｇ及び対応する公開鍵ｋｓｇ’をログ記憶部３４に書き込むと共に、承認署名用秘密鍵ｋｓｇを承認署名用秘密鍵記憶部３３に書き込んだ後、暗号化部４０を起動する機能とをもっている。

暗号化部４０は、制御部３９から起動され、各検証の結果が正当のとき、承認署名用秘密鍵を暗号通信により携帯端末１０に送信するものである。具体的には、暗号化部４０は、制御部３９から起動されると、承認署名用秘密鍵記憶部３３内の承認署名用秘密鍵ｋｓｇを、通信用第２秘密鍵記憶部３５内の秘密鍵Ｂ及び共通鍵暗号方式に基づいて暗号化する機能と、得られた暗号化結果Ｅ_B（ｋｓｇ）を携帯端末１０へ送信する機能とをもっている。

次に、以上のように構成された時刻認証システムの動作を図２乃至図４の模式図及び図５のフローチャートを主に参照しながら説明する。

（内部時計の同期：図２）
放送局１は、標準時刻情報と、標準時刻情報の出所および時間順序の正当性を保証する認証子とを時刻放送として発信する。

携帯端末１０では、時刻制御部１７がこの時刻放送を受信し、時刻放送に含まれる標準時刻情報に基づいて、内部時計１１を標準時刻に同期させるように補正する。

詳しくは、時刻制御部１７では、受信部１７ａが、時間間隔Δｔ毎に放送局１から標準時刻情報と認証子とを受信し、標準時刻情報及び認証子を認証子検証部１７ａに送出する。

認証子検証部１７ｂは、標準時刻情報及び認証子を受けると、放送局１の公開鍵に基づいて認証子の正当性を検証し、検証結果が正当のとき、標準時刻情報を時刻比較部１７ｃに送出する。

時刻比較部１７ｃは、この標準時刻情報と、内部時計１１から提供される内部時刻情報１１とを比較し、両者の誤差が正当な範囲（許容時間ε以下）にあるか否かを検証する。両者の誤差が正当な範囲にあるときには、内部時計１１の誤差を０とするための補正信号を内部時計補正部１７ｄに送出する。両者の誤差が正当な範囲外であれば内部時計１１の補正を行わない。

内部時計補正部１７ｄは、時刻比較部１７ｃから受けた補正信号に基づいて、内部時計１１を補正し、内部時計１１を標準時刻に同期させる。
以上により、内部時計１１は標準時刻に同期するように補正される。また、内部時計１１及び時刻制御部１７は、耐タンパー保護領域２５にあり、不正アクセスから保護されている。

（仮タイムスタンプの生成：図３）
ハッシュ値生成部２４は、例えば外部から指定された電子ファイルｆを電子ファイル記憶部２３から読出し、この電子ファイルｆのハッシュ値ｈ（ｆ）を生成し、得られたハッシュ値ｈ（ｆ）を仮タイムスタンプ生成部１８に送出する。

仮タイムスタンプ生成部１８は、このハッシュ値ｈ（ｆ）と、内部時計１１の内部時刻情報ｔと、シリアル番号記憶部１３内のシリアル番号ｉｄとに対し、仮タイムスタンプ用秘密鍵記憶部１２内の仮タイムスタンプ用秘密鍵ｋｔｓに基づいて仮タイムスタンプ（第１デジタル署名）Ｓ_kts（ｈ（ｆ），ｉｄ，ｔ）を生成し、シリアル番号ｉｄと内部時刻情報ｔと得られた仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）を出力する。

以上により、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）の生成及び出力が完了する。また、内部時計１１、仮タイムスタンプ用秘密鍵記憶部１２及びシリアル番号記憶部１３及び仮タイムスタンプ生成部１８は、耐タンパー保護領域２５にあり、不正アクセスから保護されている。

（承認署名の生成：図４，図５）
始めに、携帯端末１０は、ユーザの操作により、署名要求部１９が認証局装置３０に承認署名用秘密鍵を要求する（ＳＴ１）。認証局装置３０は、この要求を受信すると（ＳＴ２）、受信時刻判定部３６が、内部時刻情報ｔ及び耐タンパー性保証パラメータＴＲの送信要求を携帯端末１０に送信し、この送信時刻ｔ０を標準時計３１を参照して記憶する（ＳＴ３）。

携帯端末１０は、この送信要求を受信すると（ＳＴ４）、暗号化部２０を起動する。
暗号化部２０は、シリアル番号記憶部１３内のシリアル番号ｉｄ、内部時計１１の内部時刻情報ｔ、耐タンパー性保証パラメータ記憶部１４内の耐タンパー性パラメータＴＲを、通信用第１秘密鍵記憶部１５内の秘密鍵Ａ及び共通鍵暗号方式に基づいて暗号化する（ＳＴ５）。しかる後、暗号化部２０は、得られた暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を認証局装置３０に送信（暗号通信）する（ＳＴ６）。

認証局装置３０では、この暗号化結果を受信すると（ＳＴ７）、受信時刻判定部３６が、この受信時刻ｔ１を標準時計３１を参照して記憶する（ＳＴ８）。

そして、受信時刻判定部３６は、送信時刻ｔ０と受信時刻ｔ１との差ｔ１−ｔ０を算出し、この算出結果ｔ１−ｔ０が許容範囲内であるか否かを判定する（ＳＴ９）。許容範囲外であれば（ＳＴ９；ＮＯ）、許容範囲外を判定した回数が規定回数内か否かを判定し（ＳＴ１０）、規定回数内であれば（ＳＴ１０；ＹＥＳ）、ステップＳＴ３に戻り、新たに送信時刻ｔ０を書き換える。認証局装置３０は、ステップＳＴ９の判定結果が許容範囲内と出るまでステップＳＴ３〜ＳＴ１０を繰り返す。但し、ステップＳＴ１０の判定結果が規定回数を超えた場合（ＳＴ１０；ＮＯ）には、処理を拒否して終了する（ＳＴ１１）。

一方、ステップＳＴ９の判定結果が範囲内であれば（ＳＴ９；ＹＥＳ）、受信時刻判定部３６は、暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を復号部３７に送出すると共に、送信時刻ｔ０と受信時刻ｔ１との中間時刻ｔ２（＝（ｔ０＋ｔ１）／２）を算出して中間時刻情報ｔ２を内部時刻検証部３８に送出する。復号部３７は、この暗号化結果Ｅ_A（ｉｄ，ｔ，ＴＲ）を、通信用第１秘密鍵記憶部３２内の秘密鍵Ａ及び共通鍵暗号化方式に基づいて復号し（ＳＴ１２）、得られたシリアル番号ｉｄ、内部時刻情報ｔ及び耐タンパー性パラメータＴＲを内部時刻検証部３８に送出する。

内部時刻検証部３８は、この内部時刻情報ｔと、受信時刻判定部３６から受けた中間時刻情報ｔ２との差ｔ２−ｔを算出し、この差ｔ２−ｔが許容範囲内にあるか否かを検証し（ＳＴ１３）、検証結果が許容範囲内にあれば（ＳＴ１３；ＹＥＳ）、さらに耐タンパー性保証パラメータの正当性を検証し（ＳＴ１４）、検証結果が正当性を示していれば（ＳＴ１４；ＹＥＳ）、携帯端末１０の耐タンパー保護領域２５に異常がない旨の通知（ＯＫ）及びシリアル番号ｉｄを制御部３９に送出する。なお、ステップＳＴ１３又はＳＴ１４の検証に不合格だった場合（ＳＴ１３；ＮＯ、又はＳＴ１４；ＮＯ）、内部時刻検証部３８は、携帯端末１０の耐タンパー保護領域２５に異常がある旨の通知（ＮＧ）及びシリアル番号ｉｄを制御部３９に送出する。制御部３９は、この通知（ＮＧ）により処理を拒否して終了する。

続いて、ステップＳＴ１４の検証結果（ＯＫ）により、耐タンパー性保護領域２５に異常が無いことを確認した場合、制御部３９は、携帯端末１０のシリアル番号ｉｄと現在の標準時刻（発行日時）ｔｔのもとで、承認署名用秘密鍵ｋｓｇ及び対応する公開鍵ｋｓｇ’を発行する。しかる後、制御部３９は、シリアル番号ｉｄ、発行日時ｔｔ、承認署名用秘密鍵ｋｓｇ及び対応する公開鍵ｋｓｇ’をログ記憶部３４に書き込むと共に（ＳＴ１５）、承認署名用秘密鍵ｋｓｇを承認署名用秘密鍵記憶部３３に書き込んだ後、暗号化部４０を起動する。

暗号化部４０は、承認署名用秘密鍵記憶部３３内の承認署名用秘密鍵ｋｓｇを、通信用第２秘密鍵記憶部３５内の秘密鍵Ｂ及び共通鍵暗号方式に基づいて暗号化し（ＳＴ１６）、得られた暗号化結果Ｅ_B（ｋｓｇ）を携帯端末１０へ送信する（ＳＴ１７）。

携帯端末１０は、暗号化結果Ｅ_B（ｋｓｇ）を受信すると（ＳＴ１８）、復号部２１が、暗号化結果Ｅ_B（ｋｓｇ）を、通信用第２秘密鍵記憶部１６内の秘密鍵Ｂ及び共通鍵暗号化方式に基づいて復号し（ＳＴ１９）、得られた承認署名用秘密鍵ｋｓｇを承認署名生成部２２に送出する。

承認署名生成部２２は、この承認署名用秘密鍵ｋｓｇ及びデジタル署名方式に基づいて、時刻認証対象の電子ファイルｆのハッシュ値ｈ（ｆ）を暗号化し、承認署名Ｓ_ksg（ｈ（ｆ））を生成し、出力する。

承認署名Ｓ_ksg（ｈ（ｆ））は、承認署名用秘密鍵ｋｓｇを要求した携帯端末１０によって生成され、かつ承認署名用秘密鍵ｋｓｇの発行時刻ｔｔから過去にさかのぼって有効期間内（例：２４時間以内）に生成された仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）に対してのみ、有効と見なす。逆に言うと、承認署名Ｓ_ksg（ｈ（ｆ））は、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）の内部時刻情報ｔから起算して有効期間Ｔ内の発行時刻ｔｔに発行された承認署名用秘密鍵ｋｓｇにより生成されたとき、当該仮タイムスタンプを認証局装置３０が有効とみなした旨を表している。すなわち、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）の内部時刻情報ｔと、承認署名用秘密鍵ｋｓｇの発行時刻ｔｔとの間隔が有効期間Ｔ内にあれば、承認署名Ｓ_ksg（ｈ（ｆ））を有効とみなす。

図６は、理想的な再送攻撃時における内部時計１１の時刻ずれの絶対値と有効期間との関係を示す模式図である（但し、図６は、後述する第３の実施形態では、再送攻撃時に限らず、偽造攻撃時のものとしても参照される。）。時刻ずれの無い時刻ｔ22を承認署名用秘密鍵ｋｓｇの発行時刻ｔｔとするとき、理想的な再送攻撃時には、有効期間Ｔ内まで過去に遡った時刻ｔ10が仮タイムスタンプの内部時刻情報ｔとなる。ここで、時刻ｔ10における時刻ずれは、最大で保証精度Ｅrr＝ｘＴの値が可能である。理由は、時刻ｔ10における時刻ずれの値がＥrrまでであれば、有効期間Ｔ内の時間間隔Δｔ毎に（標準時刻放送受信時刻ｔ11,t12,・・・,ｔ22毎に）許容時間εだけ時刻ずれを補正していけば、時刻ｔ22には時刻ずれをゼロに戻して承認署名用秘密鍵ｋｓｇを発行させることが可能であるからである。

また、携帯端末１０は、時刻認証時には、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）と、承認署名Ｓ_ksg（ｈ（ｆ））との２つ１組を１つの有効なタイムスタンプ（Ｓ_kts（ｈ（ｆ），ｉｄ，ｔ），Ｓ_ksg（ｈ（ｆ）））として使用する。

ここで、携帯端末１０において、承認署名Ｓ_ksg（ｈ（ｆ））の生成に関する各要素１１，１３〜１６，１９〜２２は、耐タンパー保護領域２５に格納されている。

（タイムスタンプによる時刻認証）
携帯端末１０は、自己のシリアル番号ｉｄ、電子ファイルｆ及びタイムスタンプ（Ｓ_kts（ｈ（ｆ），ｉｄ，ｔ），Ｓ_ksg（ｈ（ｆ）））を第三者装置の検証装置に送出する。

検証装置では、シリアル番号ｉｄに基づいて例えば認証局装置３０にアクセスし、携帯端末１０の仮タイムスタンプ用秘密鍵ｋｔｓに対応する仮タイムスタンプ検証用公開鍵ｋｔｓ’と、承認署名用秘密鍵ｋｓｇに対応する承認署名検証用公開鍵ｋｓｇ’及び発行日時ｔｔとを入手する。

しかる後、検証装置では、仮タイムスタンプ検証用公開鍵ｋｔｓ’と仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）に基づいて、電子ファイルｆとシリアル番号ｉｄと内部時刻情報ｔの正当性を検証アルゴリズムに従い検証する。また、検証装置は、承認署名検証用公開鍵ｋｓｇ’と電子ファイルｆに基づいて、承認署名Ｓ_ksg（ｈ（ｆ））の正当性を検証アルゴリズムに従い検証し、仮タイムスタンプに示された内部時刻情報ｔの時刻ずれが保証精度Ｅｒｒ以内であることを確認する。

以下、検証装置は、ｈ（ｆ），ｉｄ，ｔをシリアル番号ｉｄ、電子ファイルｆ及び発行日時ｔｔに基づいて検証し、電子ファイルｆの作成時刻を仮タイムスタンプに示された内部時刻情報ｔとその時刻ずれ保証精度Ｅｒｒによって確認する。

上述したように本実施形態によれば、電子ファイルｆを時刻認証する際に、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）及び承認署名Ｓ_ksg（ｈ（ｆ））を用いる。仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）は、電子ファイルｆが、シリアル番号ｉｄの携帯端末１０において内部時刻情報ｔが内部時計１１により生成された時点のものである旨を保証する。承認署名Ｓ_ksg（ｈ（ｆ））は、シリアル番号ｉｄの携帯端末１０において、内部時刻情報ｔが内部時計１１により生成された時点より過去にさかのぼり内部時計１１への物理的または電気的な不正アクセスが無かったことを保証し、さらに内部時計１１への再送攻撃に対し、保証精度Ｅrr（＝ｘ・Ｔ）の範囲でＳ_kts（ｈ（ｆ），ｉｄ，ｔ）の正当性を保証する。ここで、承認署名Ｓ_ksg（ｈ（ｆ））は、有効期間Ｔをもつ承認署名用秘密鍵ｋｓｇに基づいて生成されるので、有効期間Ｔ内であれば、異なる電子ファイルｆ１，ｆ２，…に対しても使用することができる。従って、時刻認証毎に双方向通信を用いる必要が無い。

換言すると、電子ファイルｆを時刻認証する際に、携帯端末１０上の内部時計１１に基づき仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）及び承認署名Ｓ_ksg（ｈ（ｆ））を生成する。仮タイムスタンプの生成に用いられる秘密鍵ｋｔｓは携帯端末１０において格納され、耐タンパー保護領域２５によって不正アクセスから守られている。承認署名の生成に用いられる秘密鍵ｋｓｇは、内部時計１１の正当性が検証された後に認証局装置３０により発行され、内部時計１１の自発誤差とタイムスタンプ時刻情報の保証精度に応じて設定された有効期間内であれば、携帯端末１０上で異なる電子ファイルに対しても使用できる。従って、時刻認証毎に双方向通信を用いる必要が無い。

また、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）及び承認署名Ｓ_ksg（ｈ（ｆ））は、いずれもデジタル署名方式に用いられる秘密鍵ｋｔｓ，ｋｓｇから生成されるので、対応する公開鍵ｋｔｓ’，ｋｓｇ’から検証可能となっている。従って、タイムスタンプ（仮タイムスタンプ及び承認署名）の検証時に検証センタを介する必要が無く、任意の第三者装置（検証装置）による検証が可能である。

また、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）及び承認署名Ｓ_ksg（ｈ（ｆ））は、いずれも携帯端末１０上で生成される。従って、携帯端末１０上で時刻認証を実現できる。

すなわち、以上のように本実施形態では、時刻認証毎に双方向通信を用いる必要が無く、タイムスタンプの検証時に検証センタを介する必要が無く、携帯端末１０上で時刻認証を実現できる。

補足すると、本実施形態は、時刻放送を用いて内部時計１１を標準時刻に同期させる方法、および、内部時計１０の正当性と耐タンパー保護領域２５の耐タンパー性を検証する方法、から大まかに構成される。各方法を安全かつ効率的に組み合わせることによって、特に携帯端末１０において作成した電子ファイルｆを時刻認証する際に生じる、待ち時間・ネットワーク負荷・サーバ負荷、を従来方法と比較して飛躍的に減少できる効果を得る。この効果は、構成される個々の技術要素から単独で達成することはできず、さらには個々の技術要素単独で得られる効果から容易に類推できるものでもない。

（第２の実施形態）
次に、本発明の第２の実施形態に係る時刻認証システムについて前述した図面を参照しながら説明する。

本実施形態は、第１の実施形態の変形例であり、図２に示したように、放送局１が発信する時刻放送内の認証子をデジタル署名に代えてメッセージ認証子とし、受信部１７ａが受信する時刻放送内の認証子をデジタル署名に代えてメッセージ認証子とし、認証子検証部１７ｂが検証する認証子をデジタル署名に代えてメッセージ認証子とした構成となっている。

具体的には、時刻放送内の認証子は、標準時刻情報及び放送局識別情報をメッセージとした際の、放送局１と携帯端末１０との間に共有された秘密鍵によるメッセージ認証子が用いられている。なお、メッセージとしては、標準時刻情報及び放送局識別情報の他に、時間順序情報を含んでもよい。

換言すると、放送局１は、予め携帯端末１０との間で秘密鍵を共有しており、標準時刻情報及び放送局識別情報をメッセージとした際の、当該共有した秘密鍵によるメッセージ認証子を生成する機能と、標準時刻情報及びメッセージ認証子からなる時刻放送を発信する機能とをもっている。

一方、認証子検証部１７ｂは、認証子がメッセージ認証子の場合、予め放送局１との間で秘密鍵を共有しており、この秘密鍵に基づいて、受信部１７ａから受けた認証子の正当性を検証する機能と、検証結果が正当のとき、受信部１７ａから受けた標準時刻情報を時刻比較部１７ｃに送出する機能とをもっている。

以上のような構成によれば、放送局１が標準時刻放送及びメッセージ認証子からなる時刻放送を発信し、携帯端末１０の受信部１７ａがこの時刻放送を受信し、認証子検証部１７ｂが予め共有した秘密鍵によりメッセージ認証子を検証し、以下、前述した通りに時刻認証システムが動作する。従って、このように時刻放送内の認証子をメッセージ認証子とする変形例としても、第１の実施形態の効果を得ることができる。

（第３の実施形態）
図７は本発明の第３の実施形態に係る時刻制御部の構成を示す模式図であり、図２と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。

本実施形態は、第１の実施形態の変形例であり、放送局１が発信する時刻放送から認証子を省略し、これに伴い、時刻制御部１７から認証子検証部１７ｂを省略した構成となっている。

具体的には、時刻放送は、標準時刻情報のみからなるものとなっている。但し、時刻放送は、標準時刻情報の他に、放送局識別情報及び／又は時間順序情報を含んでもよい。

放送局１は、標準時刻情報からなる時刻放送を発信するものとなっている。

一方、時刻制御部１７内の受信部１７ａは、前述した認証子に関する機能が省略されており、時間間隔Δｔ毎に放送局１から放送された標準時刻情報を受信する機能と、受信した標準時刻情報を時刻比較部１７ｃに送出する機能とから構成される。なお、保証される精度Ｅｒｒは、認証子を含む時刻放送を受信する場合とは異なる値となってもよいが、ここでは、保証精度Ｅｒｒを、認証子を含む時刻放送の場合と同じ値として説明する。

時刻比較部１７ｃは、認証子検証部１７ｂに代えて受信部１７ａから受けた標準時刻情報と、内部時計１１から提供される内部時刻情報とを比較し、両者の誤差が正当な範囲（許容時間ε以下）にあるか否かを検証し、正当な範囲にあるときのみ、内部時計１１の誤差を０とするための補正信号を内部時計補正部１７ｄに送出するものである。ここで、正当な範囲及び許容時間εは、それぞれ前述した通りである。但し、認証子検証部１７ｂが存在せず、標準時刻情報の正当性を検証できないため、再送攻撃の他に、偽造攻撃が可能となっている。

再送攻撃とは、前述した通りの攻撃方法である。偽造攻撃とは、標準時刻情報の偽造により、内部時計１１に時刻ずれを生じさせ、且つこの時刻ずれに応じた仮タイムスタンプを生成させた後に、内部時計１１を時間間隔Δｔ毎に許容時間εずつ補正して標準時刻に同期させることにより、時刻ずれを有する仮タイムスタンプを認証局装置３０に保証させる攻撃方法を意味する。ここで、標準時刻情報の偽造とは、標準時刻情報の全体を偽造して送信する形態、又は標準時刻情報の一部を偽造（改変）して再送する形態、のいずれをも含む概念である。

以上のような構成によれば、放送局１が標準時刻放送からなる時刻放送を発信し、携帯端末１０の受信部１７ａがこの時刻放送を受信し、時刻比較部１７ｃが、受信部１７ａから受けた標準時刻情報と、内部時計１１から提供される内部時刻情報とを比較し、以下、前述した通りに時刻認証システムが動作する。

なお、認証子検証部１７ｂが存在しないため、標準時刻情報の偽造を阻止できないことから、時刻ずれが遅延又は先行のいずれの向きにも発生可能となる。しかしながら、本実施形態は、時計比較部１７ｃ以降、前述した通りに動作するので、図６に示したように、時刻ずれの絶対値が保証精度Ｅｒｒの範囲内で保証される。ここで、「時刻ずれの絶対値」と述べた通り、時刻ずれは遅延又は先行のいずれの向きであっても保証精度Ｅｒｒ以内が保証される。従って、本実施形態の作用効果は前述同様に次のようになる。

すなわち、本実施形態は、前述した通り、電子ファイルｆを時刻認証する際に、仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）及び承認署名Ｓ_ksg（ｈ（ｆ））を用いる。仮タイムスタンプＳ_kts（ｈ（ｆ），ｉｄ，ｔ）は、電子ファイルｆが、シリアル番号ｉｄの携帯端末１０において内部時刻情報ｔが内部時計１１により生成された時点のものである旨を保証する。承認署名Ｓ_ksg（ｈ（ｆ））は、シリアル番号ｉｄの携帯端末１０において、内部時刻情報ｔが内部時計１１により生成された時点より過去にさかのぼり内部時計１１への物理的または電気的な不正アクセスが無かったことを保証し、さらに内部時計１１への再送攻撃又は偽造攻撃に対し、保証精度Ｅrr（＝ｘ・Ｔ）の範囲でＳ_kts（ｈ（ｆ），ｉｄ，ｔ）の正当性を保証する。

このように、第３の実施形態では、図６に示すような時刻ずれを遅延又は先行のいずれの向きにも保証精度Ｅｒｒ以内で保証することができる。なお、第３の実施形態とは異なり、認証子検証部１７ｂが存在する場合（第１又は第２の実施形態）、認証子の検証により、標準時刻情報の偽造による時刻ずれが阻止され、標準時刻情報の再送による時刻ずれ（遅延の方向）のみが可能であった。すなわち、第１又は第２の実施形態において、図６に示した時刻ずれは、遅延の向きに保証精度Ｅｒｒ以内、先行の向きに０が保証されていた。一方、第３の実施形態においては、認証子検証部１７ｂを省略した簡易な構成にもかかわらず、時刻ずれは、遅延又は先行の向きに保証精度Ｅｒｒ以内が保証されている。

なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係る時刻認証システムの構成を示す模式図である。 同実施形態における時刻制御部の構成を説明するための模式図である。 同実施形態における仮タイムスタンプの生成動作を説明するための模式図である。 同実施形態における承認署名の生成動作を説明するための模式図である。 同実施形態における承認署名の生成動作を説明するためのフローチャートである。 理想的な再送攻撃時（又は偽造攻撃時）における内部時計の時刻ずれの絶対値と有効期間との関係を示す模式図である。 本発明の第３の実施形態に係る時刻制御部の構成を示す模式図である。

符号の説明

１…放送局、１０…携帯端末、１１…内部時計、１２…仮タイムスタンプ用秘密鍵記憶部、１３…シリアル番号記憶部、１４…耐タンパー性保証パラメータ記憶部…、１５…通信用第１秘密鍵記憶部、１６…通信用第２秘密鍵記憶部、１７…時刻制御部、１７ａ…受信部、１７ｂ…認証子検証部、１７ｃ…時刻比較部、１７ｄ…内部時計補正部、１８…仮タイムスタンプ生成部、１９…署名要求部、２０…暗号化部、２１…復号部、２２…承認署名生成部、２３…電子ファイル記憶部、２４…ハッシュ値生成部、２５…耐タンパー保護領域、３０…認証局装置、３１…標準時計、３２…通信用第１秘密鍵記憶部、３３…承認署名用秘密鍵記憶部、３４…ログ記憶部、３５…通信用第２秘密鍵記憶部、３６…受信時刻判定部、３７…復号部、３８…内部時刻検証部、３９…制御部、４０…暗号化部、ｔ…内部時刻情報、ｋｔｓ…仮タイムスタンプ用秘密鍵、ｉｄ…シリアル番号、ＴＲ…耐タンパー性保証パラメータ、Ａ，Ｂ…通信用秘密鍵、ｆ…電子ファイル、ｈ（ｆ）…ハッシュ値、ｔ０〜ｔ２…標準時刻情報、ｔｔ…発行時刻、ｋｓｇ…承認署名用秘密鍵。

Claims (8)

1. 互いに暗号通信可能な携帯端末及び認証局装置を備えた時刻認証システムであって、
   前記携帯端末は耐タンパー保護装置を有し、
   前記耐タンパー保護装置は、
   耐タンパー性保証情報を保持しており、物理的又は電気的な不正アクセスにより、前記耐タンパー性保証情報を消去又は改変する手段と、
   時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置と、
   時間間隔Δｔ毎に放送された標準時刻情報を受信する手段と、
   前記受信した標準時刻情報を基準としたときの前記提供された内部時刻情報の誤差を算出する手段と、
   この誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記内部時計装置を標準時刻に同期させる手段と、
   デジタル署名方式に用いられ、前記携帯端末に固有の第１秘密鍵情報が記憶された記憶手段と、
   認証対象の電子情報、前記内部時刻情報及び前記第１秘密鍵情報に基づいて第１デジタル署名を生成する手段と、
   デジタル署名方式に用いられ、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を前記認証局装置に要求する手段と、
   前記要求に伴い、前記内部時刻情報及び前記耐タンパー性保証情報を暗号通信により前記認証局装置に送信する手段と、
   前記認証局装置から暗号通信により第２秘密鍵情報を受信する手段と、
   前記標準時刻情報の再送により、前記内部時計装置に時刻ずれを生じさせ、且つ前記時刻ずれに応じた第１デジタル署名を生成させた後に前記内部時計装置を前記時間間隔Δｔ毎に前記許容時間εずつ補正して前記標準時刻に同期させる再送攻撃に対し、前記受信した第２秘密鍵情報、及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成する手段と、
   前記第１及び第２デジタル署名を出力する手段と
   を備えており、
   前記認証局装置は、
   標準時刻情報を提供する標準時計装置と、
   前記携帯端末から暗号通信により内部時刻情報及び耐タンパー性保証情報を受信する手段と、
   前記標準時刻情報に基づいて、前記受信した内部時刻情報が正当か否かを検証する第１検証手段と、
   予め保持した耐タンパー性保証情報に基づいて、前記受信した耐タンパー性保証情報が正当か否かを検証する第２検証手段と、
   前記各検証の結果が正当のとき、前記第２秘密鍵情報を生成する手段と、
   前記生成された第２秘密鍵情報を暗号通信により前記携帯端末に送信する手段と
   を備えたことを特徴とする時刻認証システム。
2. 請求項１に記載の時刻認証システムにおいて、
   「前記標準時刻情報の再送」に代えて「前記標準時刻情報の偽造」とし、
   「再送攻撃」に代えて「偽造攻撃」としたことを特徴とする時刻認証システム。
3. 認証局装置に暗号通信可能な携帯端末であって、
   耐タンパー保護装置を有し、
   前記耐タンパー保護装置は、
   耐タンパー性保証情報を保持しており、物理的又は電気的な不正アクセスにより、前記耐タンパー性保証情報を消去又は改変する手段と、
   時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置と、
   時間間隔Δｔ毎に放送された標準時刻情報を受信する手段と、
   前記受信した標準時刻情報を基準としたときの前記提供された内部時刻情報の誤差を算出する手段と、
   この誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記内部時計装置を標準時刻に同期させる手段と、
   デジタル署名方式に用いられ、前記携帯端末に固有の第１秘密鍵情報が記憶された記憶手段と、
   認証対象の電子情報、前記内部時刻情報及び前記第１秘密鍵情報に基づいて第１デジタル署名を生成する手段と、
   デジタル署名方式に用いられ、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を前記認証局装置に要求する手段と、
   前記要求に伴い、前記内部時刻情報及び前記耐タンパー性保証情報を暗号通信により前記認証局装置に送信する手段と、
   前記認証局装置による前記内部時刻情報及び前記耐タンパー性保証情報の検証の後、前記認証局装置から暗号通信により第２秘密鍵情報を受信する手段と、
   前記標準時刻情報の再送により、前記内部時計装置に時刻ずれを生じさせ、且つ前記時刻ずれに応じた第１デジタル署名を生成させた後に前記内部時計装置を前記時間間隔Δｔ毎に前記許容時間εずつ補正して前記標準時刻に同期させる再送攻撃に対し、前記受信した第２秘密鍵情報、及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成する手段と、
   前記第１及び第２デジタル署名を出力する手段と
   を備えたことを特徴とする携帯端末。
4. 請求項３に記載の携帯端末において、
   「前記標準時刻情報の再送」に代えて「前記標準時刻情報の偽造」とし、
   「再送攻撃」に代えて「偽造攻撃」としたことを特徴とする携帯端末。
5. 物理的又は電気的な不正アクセスにより、耐タンパー性保証情報を消去又は改変する機能を有しており、時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置を有し、時間間隔Δｔ毎に受信する標準時刻情報と前記提供される内部時刻情報との誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記内部時計装置を標準時刻に同期させ、時刻認証時には、認証対象の電子情報、前記内部時刻情報及び携帯端末固有の第１秘密鍵情報に基づいて第１デジタル署名を生成し、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を外部から受けると、この第２秘密鍵情報及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成し、前記第１及び第２デジタル署名を出力する携帯端末に関し、
   前記携帯端末に暗号通信可能な認証局装置であって、
   標準時刻情報を提供する標準時計装置と、
   デジタル署名方式に用いられ、前記第２秘密鍵情報の要求を前記携帯端末から受信する手段と、
   前記要求に伴い、前記携帯端末の内部時刻情報及び耐タンパー性保証情報を当該携帯端末から暗号通信により受信する手段と、
   前記標準時刻情報に基づいて、前記受信した内部時刻情報が正当か否かを検証する第１検証手段と、
   予め保持した耐タンパー性保証情報に基づいて、前記受信した耐タンパー性保証情報が正当か否かを検証する第２検証手段と、
   前記各検証の結果が正当のとき、前記第２秘密鍵情報を生成する手段と、
   前記生成された第２秘密鍵情報を暗号通信により前記携帯端末に送信する手段と
   を備えたことを特徴とする認証局装置。
6. 耐タンパー性保証情報を保持しており、物理的又は電気的な不正アクセスにより、前記耐タンパー性保証情報を消去又は改変する機能と、時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置と、時間間隔Δｔ毎に放送された標準時刻情報を受信する機能と、デジタル署名方式に用いられ、前記携帯端末に固有の第１秘密鍵情報が記憶された記憶装置と、コンピュータとを備えた耐タンパー保護装置を有して認証局装置に暗号通信可能な携帯端末に用いられる、前記携帯端末のプログラムであって、
   前記コンピュータを、
   前記受信した標準時刻情報を基準としたときの前記提供された内部時刻情報の誤差を算出する手段、
   この誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記標準時刻情報に基づいて、前記内部時計装置を標準時刻に同期させる手段、
   認証対象の電子情報、前記内部時刻情報及び前記第１秘密鍵情報に基づいて第１デジタル署名を生成する手段、
   デジタル署名方式に用いられ、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を前記認証局装置に要求する手段、
   前記要求に伴い、前記内部時刻情報及び前記耐タンパー性保証情報を暗号通信により前記認証局装置に送信する手段、
   前記認証局装置による前記内部時刻情報及び前記耐タンパー性保証情報の検証の後、前記認証局装置から暗号通信により第２秘密鍵情報を受信する手段、
   前記標準時刻情報の再送により、前記内部時計装置に時刻ずれを生じさせ、且つ前記時刻ずれに応じた第１デジタル署名を生成させた後に前記内部時計装置を前記時間間隔Δｔ毎に前記許容時間εずつ補正して前記標準時刻に同期させる再送攻撃に対し、前記受信した第２秘密鍵情報、及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成する手段、
   前記第１及び第２デジタル署名を出力する手段、
   として機能させるためのプログラム。
7. 請求項６に記載のプログラムにおいて、
   「前記標準時刻情報の再送」に代えて「前記標準時刻情報の偽造」とし、
   「再送攻撃」に代えて「偽造攻撃」としたことを特徴とするプログラム。
8. 物理的又は電気的な不正アクセスにより、耐タンパー性保証情報を消去又は改変する機能を有しており、時間毎自発誤差ｘの精度で内部時刻情報を提供する内部時計装置を有し、時間間隔Δｔ毎に受信する標準時刻情報と前記提供される内部時刻情報との誤差が前記時間毎自発誤差ｘと前記時間間隔Δｔとに比例する許容時間ε（＝ｘ・Δｔ）以下のとき、前記内部時計装置を標準時刻に同期させ、時刻認証時には、認証対象の電子情報、前記内部時刻情報及び携帯端末固有の第１秘密鍵情報に基づいて第１デジタル署名を生成し、前記第１デジタル署名の内部時刻情報から起算される有効期間Ｔをもつ第２秘密鍵情報を外部から受けると、この第２秘密鍵情報及び前記電子情報に基づいて、前記有効期間Ｔと前記時間毎自発誤差ｘとに比例する保証精度Ｅrr（＝ｘ・Ｔ）の範囲で前記第１デジタル署名の正当性を保証するための第２デジタル署名を生成し、前記第１及び第２デジタル署名を出力する携帯端末に関し、
   この携帯端末に暗号通信可能な認証局装置に用いられるプログラムであって、
   前記認証局装置のコンピュータを、
   標準時刻情報を提供する標準時計装置、
   デジタル署名方式に用いられ、前記第２秘密鍵情報の要求を前記携帯端末から受信する手段、
   前記要求に伴い、前記携帯端末の内部時刻情報及び耐タンパー性保証情報を当該携帯端末から暗号通信により受信する手段、
   前記標準時刻情報に基づいて、前記受信した内部時刻情報が正当か否かを検証する第１検証手段、
   予め保持した耐タンパー性保証情報に基づいて、前記受信した耐タンパー性保証情報が正当か否かを検証する第２検証手段、
   前記各検証の結果が正当のとき、前記第２秘密鍵情報を生成する手段、
   前記生成された第２秘密鍵情報を暗号通信により前記携帯端末に送信する手段、
   として機能させるためのプログラム。

Images