JP2007529935A - 匿名認証方法 - Google Patents

Abstract

本発明は、各々が、特定されるべきクライアントエンティティ（Ａｉ）と関連付けられる、いくつかの秘密鍵（Ｋ_Ａｉ）を有する認証エンティティ（Ｂ）による、クライアントエンティティ（Ａ）の認証方法に関する。本発明の方法は、認証要求の後に、認証エンティティ（Ｂ）からクライアントエンティティ（Ａ）に認証カウンタ値（ＣＢ）を送信するステップと、クライアントエンティティの側において、受信されたカウンタ値が、クライアントエンティティに記憶されるカウンタ値（ＣＡ）より厳密に大きいことを検証するステップと、クライアントエンティティの側において、カウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））を算出し、それを認証エンティティに伝送するステップと、クライアントエンティティによって記憶されるカウンタ値（ＣＡ）を認証カウンタ値（ＣＢ）に更新するステップと、認証エンティティ（Ｂ）の側において、対応するカウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））が受信されたカウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））に一致する、特定されるべきクライアントエンティティ（Ａｉ）を探すステップと、認証カウンタ（ＣＯＭＰＴＢ）を増加させるステップとを有する。

Description

本発明は、例えば、認証されている（被認証中の）ユーザの匿名性が要求されるときに、このユーザに、リソースにアクセスする権限を与えるか否かという点を考慮した、秘密鍵による、少なくとも１人のユーザの認証方法に関する。

本明細書において、リソースの範囲は、非常に広いものとして使用されなければならない。一般に、リソースの範囲は、ユーザがアクセス可能であり、そのアクセスは、認証処理を完了したときに与えられる、先の認証によって条件付けられた、いかなる機能、アプリケーション、サービス、及びデータのセットをも示す。非限定的な例として、リソースは、特定のサーバによって提供されるサービス、ネットワークへのアクセス機能、データベースのような情報リソース、又は、サーバ上で利用でき、複数のユーザによって共有されることができるソフトウェアアプリケーションであることができる。

一般に、認証は、認証エンティティによって実行されるセキュリティサービスである。認証の目的は、特定されることを希望するユーザのアイデンティティ（身元）を確認し、このユーザが対象のリソースにアクセスすることが正当であることの証明を持つことである。一般に、認証エンティティは、認証プロセスを集中して行い、且つ、通信ネットワークを介して、リソースへのアクセスのために認証されること（被認証）を希望するユーザによってアクセス可能な、いかなる機器、装置、又はコンピュータシステムをも意味する。

通常、認証プロセスを起動させることを希望するユーザは、ユーザに認証エンティティとの通信を可能にする、クライアントエンティティを持っている。本明細書におけるクライアントエンティティは、認証エンティティとデータのやりとりをするいかなる電子システム又は電子機器をも意味し、非接触式であることが好ましい。

従来技術によると、秘密鍵による認証は、図１に示されるような連続する以下の段階を、本質的な特徴としている。したがって、クライアントエンティティＡが認証エンティティＢによる認証を受けることを希望するときに、クライアントエンティティＡは、最初に、自身のアイデンティティを自身に固有の静的識別子の形式で、認証エンティティＢに与え、その後、エンティティＡとエンティティＢのみによって知られ、共有される秘密鍵Ｋ_Ａを用いて、アイデンティティを証明する。

これを行うため、認証エンティティＢがアイデンティティを有するクライアントエンティティＡによって送信された認証要求を受信したとき、前記認証エンティティは、最初にハザード（ｈａｚａｒｄ）と称される又はチャレンジと称される乱数を生成し、このハザードをクライアントエンティティＡに送信する。これに応答して、クライアントエンティティは、受信されたハザードを、ＤＥＳ（英語Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄの頭文字）アルゴリズムのような、秘密鍵を用いた、予め定義された暗号化アルゴリズムに従って、デジタル化又は符号化する。その後、エンティティＡは、値Ｃ（Ｋ_Ａ，ハザード）を認証エンティティＢに送り返す。ここで、Ｃは、暗号関数である。

エンティティＢは、エンティティＢの側において、暗号関数Ｃと、エンティティＡの秘密鍵Ｋ_Ａとを用いることによって、同じ計算を行い、得られた結果を、エンティティＡによってエンティティＢに送り返された値と比較する。予測された結果と送り返された値Ａとが一致する場合は、認証エンティティＢは、認証を有効とする。このことは、エンティティＡが認証に成功したことを意味する。例えば、認証されたクライアントＡのために予定されている認証エンティティを経由して、リソースへのアクセス権を送信することによって、認証の確認が移動する。

このような秘密鍵を用いた認証方法は通信ネットワークを通じて広く普及しているが、認証を受けることを希望するクライアントエンティティの匿名性の保護に関して、未だいくつかの問題点がある。

実際、認証方法を初期設定するために、クライアントエンティティの固有の識別子は、必ず平文で認証エンティティに伝送される。したがって、悪意ある第三者は、認証エンティティと、被認証中のエンティティとの間の処理を観察することによって、被認証中のエンティティの固有の識別子を知ることができる。

また、認証を受けることを希望するエンティティの固有の識別子は、このとき積極的に行動する、すなわち、被認証中のエンティティに向かい合う認証エンティティとみなされることにより認証プロセスを初期設定する、悪意ある第三者によって、同様に推測され得る。

被認証中のエンティティは、そのエンティティの挙動の観察、特に、以前の認証プロセスの途中でそのエンティティによって提供された応答の観察によっても認識され得る。

実際に、被認証中のエンティティによって提供された応答は、それら応答が認証エンティティによって決められたハザードに対応する、ある入力の特性を示す。同じ入力に対しては、被認証中のエンティティは、常に同じ応答を出力する。ハザードの性質を示す値に対するエンティティの応答の事前観察において、エンティティからの応答がすでに観察された、これらハザード値のうちの１つを再度送信することによって、被認証中のエンティティを認識することが可能である。従って、ハザードに署名する、認証を受けるエンティティは、特定のハザード値（例えば、０、１０、１００、１０００、…など）に対するその応答によって、特徴付けられる。同じハザードを持つ２つの連続した識別子を観察することによって、これらの被認証中のエンティティが、２つの異なるエンティティであるのか、同じエンティティであるのかを判断することが可能である。

本発明の目的は、秘密鍵を用いた暗号化アルゴリズムに基づく認証方法であって、その認証方法において、被認証中のエンティティの匿名性が保証され、それによって唯一の正当な認証エンティティのみが被認証中のエンティティのアイデンティティを認識することができる認証方法を提案することによって、上記問題点を解決することである。

このような目的によって、本発明は、認証エンティティによる、少なくとも１つのクライアントエンティティの認証方法であって、
前記認証エンティティは、１組の秘密鍵を有し、
前記秘密鍵の各々は、前記認証エンティティによって特定されることができるクライアントエンティティに関連付けられ、
ａ． 匿名認証要求を、前記クライアントエンティティの一部から前記認証エンティティに伝送するステップと、
ｂ． 前記認証エンティティのカウンタの現在の状態に対応する認証カウンタ値を、前記認証エンティティから前記クライアントエンティティに送信するステップと、
ｃ． 前記クライアントエンティティの側において、受信された前記認証カウンタ値が前記クライアントエンティティによって記憶されるカウンタ値より厳密に大きいことを検証するステップと、
ｄ． 前記クライアントエンティティの側において、オペランドとして、前記認証カウンタ値と、前記クライアントエンティティに関連付けられた秘密鍵とを用い、前記クライアントエンティティ及び前記認証エンティティによって共有される暗号関数を適用することによって、カウンタ署名を算出するステップと、
ｅ． 前記カウンタ署名を前記認証エンティティに伝送するステップと、
ｆ． 前記クライアントエンティティによって記憶される前記カウンタ値を、前記認証カウンタ値に更新するステップと、
ｇ． 前記認証エンティティの側において、前記認証カウンタ値のための対応するカウンタ署名が、受信された前記カウンタ署名と一致する、少なくとも１つの特定されることができるクライアントエンティティをサーチするステップと、
ｈ． 前記認証カウンタを増加させるステップと
を有する。

ステップｂからｈまでは、特定された前記クライアントエンティティが、各繰り返しにおいて、同一であることを保証するように、少なくとも１回繰り返されることが望ましい。

特別の実施形態によれば、前記サーチするステップは、
ｉ． 前記カウンタ値について、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対のリストを編集するために、特定されることができるクライアントエンティティの各々について、オペランドとして、前記認証カウンタ値と、関連付けられた秘密鍵とを用い、前記暗号関数を適用することによって、前記対応するカウンタ署名を算出するステップと、
ｊ． 受信された前記カウンタ署名と、前記リストの少なくとも１つのカウンタ署名との間の一致を検証するステップと
を有する。

前記認証エンティティの側において、所定の認証カウンタ値について編集された、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対のリストが、前記カウンタ署名の値にしたがって、順序付けられることが望ましい。

本実施形態によれば、受信された前記カウンタ署名と、複数の対の前記カウンタ署名とが一致する場合に、前記カウンタ署名が、受信された前記カウンタ署名と一致する１つの対が得られるまで、ステップｂからｈまでが繰り返される。

ステップｉの繰り返し中に、前記カウンタ署名は、先行する繰り返しにおいて求められた前記複数の対に対応するクライアントエンティティに対してのみ、計算される。

変形例において、本発明の方法は、ステップａにおけるクライアントエンティティからの認証要求に関連する前記ステップｉを前もって実行するステップを有し、
前記前もって実行されたステップｉは、
前記認証エンティティの側において、将来の認証カウンタ値の少なくとも１つについて、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対のリストを、前記将来の認証カウンタ値の各々について、予め生成するステップと、
前記認証エンティティの側において、前記予め生成されたリストを記憶するステップと
を含み、
前記認証エンティティから前記クライアントエンティティへの認証カウンタ値のいかなる送信も、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対のリストが予め既に生成された、認証カウンタ値の送信に相当する。

ステップｈは、前記認証カウンタを一定の割合で増加させるステップを有することが望ましい。

変形例において、ステップｈは、前記認証カウンタをランダムな割合で増加させるステップを有することが望ましい。

特別な実施形態によれば、ステップｂは、認証要求に応じて、前記認証エンティティの側において、前記認証カウンタ値に加え、前記認証カウンタ値に関連付けられたランダム値を送信するステップを有し、
送信された前記認証カウンタ値の各々について、前記ランダム値は異なり、
前記方法の期間中に実行されるカウンタ署名の各々のステップは、オペランドとして前記関連付けられたランダム値をさらに有する前記暗号関数を適用することを含む、前記認証カウンタ値及び関連付けられたランダム値の対の署名ステップによって置き換えられる。

変形例によれば、ステップｃは、前記受信された認証カウンタ値と前記クライアントエンティティによって記憶される前記カウンタ値の差が、所定の値以下であることを検証するステップをさらに有する。

変形例において、前記ステップｃが検証されない場合には、以下の中間ステップが実行され、この中間ステップは、
前記クライアントエンティティによって記憶される前記カウンタ値を、前記クライアントエンティティから前記認証エンティティに送信するステップと、
前記クライアントエンティティによって記憶される前記カウンタ値より大きい一時認証カウンタ値を、前記認証エンティティから前記クライアントエンティティに送信するステップと、その後、
前記一時認証カウンタ値に基づいて、ステップｄからｇまでを実行するステップと、
前記クライアントエンティティの認証が成功した場合には、
前記認証エンティティの前記カウンタの前記現在の状態に対応する前記認証カウンタ値を、前記一時認証カウンタ値に更新し、そしてステップｈを実行するステップと
を有する。

ステップｅは、前記認証エンティティに、さらに前記認証カウンタ値を伝送するステップを有することが好ましい。

前記認証カウンタ値は、少なくとも１２８ビットで符号化されることが好ましい。

本発明は、同様に、集積回路と、秘密鍵を記憶し、本発明の方法を実行する手段とを有することを特徴とするチップカードに関する。

好ましくは、チップカードは、非接触式チップカードである。

本発明は、また、本発明の方法を実行する手段が装備されたチップカード読取装置を有することを特徴とする、少なくとも１つのクライアントエンティティの認証エンティティに関する。

認証エンティティは、非接触式チップカード読取装置を備えることが好ましい。

本発明の他の特徴及び利点は、例として且つ非限定的なものとして与えられる以下の説明から、及び、添付された図を参照して、より明瞭になる。添付された図において、
・図１は、技術の状態に基づく、秘密鍵による認証プロセスを示す概略図であり、既に説明されており、
・図２は、本発明による認証プロセスの主要な段階を示す概略図である。

図２は、本発明による、認証エンティティＢによる、秘密鍵を用いた、クライアントエンティティＡの認証プロセスの主要な段階を示している。

認証を受けることを希望するエンティティＡは、それに固有の秘密鍵Ｋ_Ａと、カウンタ値ＣＡの記憶手段と、認証エンティティＢによって共有される暗号署名関数Ｓとを有する。暗号署名関数Ｓは、カウンタ値に署名するように、以下の２つのオペランド、すなわち、秘密鍵とカウンタ値を用いて適用するために、備えられている。

認証エンティティＢは、その一部として、対（Ａｉ，Ｋ_Ａｉ）のリストを有する。Ａｉは、認証エンティティＢによって認証されることが可能なｎ個のクライアントエンティティのうちの１つの名称である。Ｋ_Ａｉは、クライアントエンティティＡｉに関連付けられた、それに固有の秘密鍵である。

認証エンティティはさらに、カウンタ値ＣＢを出力するカウンタＣＯＭＰＴＢと、クライアントエンティティＡにおいて実行されるものと同一の暗号関数Ｓとを有する。

本発明による匿名認証プロセスの順序は、以下の通りである。第１段階において、クライアントエンティティＡが認証エンティティＢによる認証を受けることを希望する場合に、匿名認証要求「認証要求（ＤｅｍａｎｄｅＡｕｔｈｅｎｔｉｃａｔｉｏｎ）」の伝送によって、そのことが認証エンティティＢに通知される。応答して、第２段階において、認証エンティティＢは、クライアントエンティティＡに、そのカウンタＣＯＭＰＴＢの現在の状態に対応するカウンタ値ＣＢを送信する。

第３段階において、クライアントエンティティＡは、受信されたカウンタ値ＣＢと、クライアントエンティティＡによって記憶されるカウンタ値ＣＡとを比較する。この段階において、クライアントエンティティＡには、２つの可能性がある。

一つの可能性は、ＣＡ≧ＣＢの場合である。この状況は、あるエンティティがクライアントエンティティＡに対する署名を再度行おうとしていることを示しているので、クライアントエンティティＡは、それ以上何も実行しない。本発明の特徴によれば、クライアントエンティティＡの挙動によって認識されないようにするために、クライアントエンティティは、決して同じデータに２回署名をしない。

したがって、この状況は、認証方法を終了させる。

また、他の可能性は、ＣＡ＜ＣＢの場合である。この状況においては、クライアントエンティティＡは、認証エンティティＢを信頼することができる。なぜなら、受信されたカウンタ値ＣＢは、クライアントエンティティＡによって記憶されるカウンタ値よりも厳密に大きく、このことは、このカウンタ値ＣＢは、署名のために送信されたことがないことを意味しているからである。その後、このプロセスは次の段階に進む。

第４段階において、クライアントエンティティＡは、オペランドとして、クライアントエンティティＡと関連付けられた秘密鍵Ｋ_Ａと、カウンタ値ＣＢとを用いた、暗号関数Ｓの適用によって、受信されたカウンタ値ＣＢに署名する。このカウンタ署名Ｓ（Ｋ_Ａ，ＣＢ）の動作の結果は、クライアントエンティティＡから認証エンティティＢに伝送される。その後、第５段階において、クライアントエンティティＡは、自身に記憶されるカウンタ値ＣＡを、認証エンティティＢによってクライアントエンティティＡに伝送された最新の正当なカウンタ値、すなわち、ＣＢに更新する。

第６段階において、認証エンティティＢは、認証することが可能なｎ個のクライアントエンティティの中から、カウンタ値ＣＢに対応する署名Ｓ（Ｋ_Ａｉ，ＣＢ）が、認証を受けようとしているクライアントエンティティから受信されたカウンタ署名Ｓ（Ｋ_Ａ，ＣＢ）と一致する、少なくとも１つのクライアントエンティティＡｉをサーチする。

特定されることができるクライアントエンティティが見つからないならば、このことは、認証が失敗したことを意味する。逆に、サーチ段階の完了時に、Ｓ（Ｋ_Ａ，ＣＢ）＝Ｓ（Ｋ_Ａｉ，ＣＢ）となる唯一のクライアントエンティティＡｉが見つけられたならば、認証エンティティＢは、Ａ＝Ａｉであるとの結論を下す。このことは、認証エンティティＢによって認証されようとしていたエンティティは、クライアントエンティティＡｉであり、この認証が成功したことを意味する。

この認証方法を完了させる最後の第７段階において、認証エンティティＢは、次の認証要求のために、カウンタ値ＣＢを増加させる。

不正を行おうとする者が、ランダムに抽出された数字を送信することによって、実在する値Ｓ（Ｋ_Ａｉ，ＣＢ）を見つけ出し、そして、クライアントエンティティＡｉとみなされることは可能である。このリスクを回避するため、いつも同じクライアントエンティティを認識していることを保証するように、認証エンティティＢは、認証プロセスを、計画的に少なくとも２回繰り返させることができる。このプロセスは、同じクライアントエンティティに対応する署名の値にＮ回偶然に出くわす十分に低い可能性が得られるまで、Ｎ回繰り返されることさえできる。

また、この認証方法のさらなる最適化は、衝突（ｃｏｌｌｉｓｉｏｎ）のケースを管理することに関する。実際に、第６段階の終わりに、結果が衝突のケースになり得る。すなわち、認証エンティティＢによって特定されそうな、カウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）が受信されたカウンタ署名Ｓ（Ｋ_Ａ，ＣＢ）と一致する、数台のクライアントエンティティＡｉが見つけられた。暗号関数Ｓが２つの異なるデータについて同一の結果を出す、ゼロではない、僅かな可能性がある。この衝突の状況においては、Ｓ（Ｋ_Ａｉ，ＣＢ）＝Ｓ（Ｋ_Ａ，ＣＢ）となる唯一の特定されることができるクライアントエンティティＡｉが得られるまで、第２段階からプロセスの段階を繰り返す必要があり、この繰り返しの度に、カウンタ値ＣＢはインクリメントされる。

第６段階は、認証エンティティティが、カウンタ値ＣＢの対応するカウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）が、認証されようとしているクライアントエンティティから受信されたカウンタ署名Ｓ（Ｋ_Ａ，ＣＢ）と一致する、認証エンティティティが認証することができるｎ個のクライアントエンティティの中から、少なくとも１つのクライアントエンティティＡｉをサーチする段階を含む。第６段階は、以下のように行われることができる。認証エンティティＢは、現在のカウンタ値ＣＢに対して、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストを生成するように、特定されることができるクライアントエンティティＡｉの各々について、オペランドとして、認証カウンタ値ＣＢと、Ｋ_Ａｉに関連付けられた秘密鍵とを用いて、暗号関数Ｓを適用することによって、対応するカウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）を算出する。

一旦このリストが編集されると、認証エンティティは、Ｓ（Ｋ_Ａｉ，ＣＢ）＝Ｓ（Ｋ_Ａ，ＣＢ）を検証する、特定されることができる少なくとも１つのクライアントエンティティＡｉがあるかどうかを検証するため、このリストを調べる。

いくつかの対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））が一致する場合、カウンタ値ＣＢの送信及び署名動作を繰り返すことが明らかに必要であった。それにもかかわらず、この繰り返しは、一致するいくつかの対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））が存在するという結論に達することさえできる。この場合、先の繰り返しにおいてすでに選択された対のうち、可能性のある対に対してのみサーチが行われる。

したがって、繰り返しの各々において、先の繰り返しの際に選択された対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））に対応するクライアントエンティティＡｉに対してのみ、カウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）が算出されるので、処理は、より早く唯一のクライアントエンティティＡｉに集中されるであろう。

第６段階において、特定されることができるクライアントエンティティＡｉの各々のため、対応するカウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）の、Ｂによる計算の段階は、現在のカウンタ値ＣＢのための、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストを編集するために、非常に長くなることがあり、応答時間の点では痛手である。この問題を解決するために、本発明の変形例において、認証エンティティＢは、将来の少なくとも１つの認証カウンタ値ＣＢについて、将来のこれらの値ＣＢについての対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストを予め算出し、これらの結果を記憶する。したがって、あるクライアントエンティティが認証要求メッセージの送信によって認証を受けようとする場合、認証エンティティＢはリスト（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））がすでに編集された認証カウンタ値ＣＢを送信することによって応答する。一般に、この実施形態によれば、ＢからＡへの認証カウンタ値ＣＢの送信は、リスト（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））がすでに編集された、認証カウンタ値に対応するであろう。

認証エンティティＢによる検証段階は、Ｓ（Ｋ_Ａｉ，ＣＢ）＝Ｓ（Ｋ_Ａ，ＣＢ）となる、リスト（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））の少なくとも１つのクライアントエンティティＡｉの存在をサーチする段階を有する。シーケンシャルなサーチ、理論上はｎ個の要素を有するリストを用いるおよそｎ／２回のテストの場合は、認証エンティティＢによる検証段階は、同様に、非常に長い時間がかかるかもしれない。また、この段階を最適化するために、得られた対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストは、カウンタ署名の値Ｓ（Ｋ_Ａｉ，ＣＢ）にしたがって、昇順（又は降順）に並べられることができる。この並べられたリストにおいて、カウンタ署名Ｓ（Ｋ_Ａｉ，ＣＢ）がＳ（Ｋ_Ａ，ＣＢ）に一致する対をサーチすることは、二分法サーチ（ｄｉｃｈｏｔｏｍｉｃ ｓｅａｒｃｈ）によって行うことができる。この場合、サーチされるクライアントエンティティは、平均的には、非常に大きな時間ゲインを持つ、ｌｏｇ_２（ｎ）動作を実行した後に、見つけられる。

カウンタ値ＣＢは、各認証に固有であるので、認証セッション（認証期間）の識別子として用いられることができる。そのため、もしも数個のエンティティＡｉが認証エンティティＢによって同時に認証を受けているならば、認証エンティティＢは、この値によって、対話を区別することができる。認証を受けることを希望するクライアントエンティティは、署名の値Ｓ（Ｋ_Ａ，ＣＢ）のほかに値ＣＢを送り返せば十分である。

認証カウンタ値ＣＢを提供するカウンタＣＯＭＰＴＢは、一定の割合で増加することが望ましい。

それでもやはり、カウンタ値ＣＢが一定の割合で増加するという事実は、将来の認証中に用いられる認証カウンタ値を与えることがあり得る。このため、不正行為者は、幾つかのカウンタ値ＣＢについての、あるエンティティＡの幾つかの値Ｓ（Ｋ_Ａ，ＣＢ）を要求し、最終的に、そのクライアントエンティティＡから以前に得られた値を認証エンティティＢに送り返すことによって、認証エンティティＢによる認証を受けることを要求することができる。それゆえ、不正行為者は、Ａとみなされることによって、認証を受けることができる。認証システムに対するこのような攻撃する２種類の防御が、利用できる。

まず、第１の防御は、連続した値ＣＢを、もはや用いないために、各認証において、ランダムな割合によってカウンタＣＯＭＰＴＢを増加させるステップを有する。この場合には、カウンタが停止に至らないように、カウンタは、大きな容量を持たなければならないであろう。

他の防御は、認証を受けようとするクライアントエンティティＡに対する簡単なカウンタ値ＣＢにはもはや署名せず、対（ＣＢ，ハザード）に署名する。ここで、ＣＢは、一定の割合でインクリメントし、ハザードは、ランダムな値をとる。このランダムな値は、送信された認証カウンタ値ごとに異なるように与えられる。変形例のいずれか一つにおける、認証プロセス中に用いられるカウンタ署名のための各段階は、オペランドとして前記関連付けられたランダム値を用いる暗号関数Ｓの適用をさらに含む、対（ＣＢ，ハザード）の署名段階によって置き換えられる。

上記されたような認証プロセスは、各認証の時に、エンティティＡとＢがカウンタ値ＣＢに同期するという事実によって、カウンタジャンプによる攻撃に対して脆弱である。したがって、悪意ある機械は、認証エンティティＢにみなされることがあり得、そして、認証を受けることを希望するクライアントエンティティＡに対し、認証エンティティＢのカウンタＣＯＭＰＴＢの現在の値に対応する、有効な認証カウンタ値ＣＢより遙かに大きいカウンタ値を送信することができる。エンティティＡは、それ自身に記憶されているカウンタ値ＣＡを、エンティティＡに送られたこの大きな値に更新することによって、もはや認証要求に応答することができなくなる。なぜなら、認証エンティティＢのカウンタ値ＣＢは、第３段階のテストのせいで、この値ＣＡを埋め合わせることができなくなったからである。

また、もしも悪意ある機械が、自身に記憶されているカウンタ値ＣＡを、この最大値に更新することによって、エンティティＡに最大のカウンタ値を与えるならば、エンティティＡはそれ以降、最終的に使用不能になる。

これらの攻撃に対する防御は、より詳しくは、クライアントエンティティＡが、受信されたカウンタ値ＣＢを、クライアントエンティティＡに記憶されるカウンタ値ＣＡと比較する、この認証プロセスの第３段階に関する。

本発明の変形例による、ＣＡ≧ＣＢの場合には、以下の中間段階が採用される。
・エンティティＡは、エンティティＢに、自身が記憶しているカウンタ値ＣＡが値ＣＢよりも大きいことを示す信号を送り、そして、エンティティＢにＣＡを送り返す。
・エンティティＢは、エンティティＡに、ＣＡより大きい一時のカウンタ値ＣＢを送信する。その後、認証プロセスのその他の段階は、一時の値ＣＢに基づいて実行される。もしもエンティティＡの認証が一時の値ＣＢで成功した場合には、エンティティＢは、自身のカウンタＣＯＭＰＴＢの現在の状況に対応する自身の認証カウンタ値ＣＢを、認証カウンタ値の一時の値ＣＢに更新する。最後に、カウンタの値は、次の認証のためにインクリメントされる。このプロセスにより、認証エンティティは、カウンタジャンプによる攻撃から守られる。実際に、そのカウンタを更新する前に、まずクライアントエンティティＡを一時の値ＣＢを用いて認証する。また、認証エンティティＢがカウンタジャンプによる攻撃を受けた場合に、このプロセスは、クライアントエンティティＡが、認証エンティティＢのカウンタを、自身に記憶されるカウンタ値に一致させる。

この段階において、エンティティＢは、追加の保護対策を実行することもできる。例えば、Ｂは、クライアントエンティティ毎及び期間毎に、これらカウンタを一致させることを、ある台数のカウンタにのみ権限を与えるようにすることができる。また、Ｂは、これらの保護を、クライアントエンティティによって記憶されるカウンタ値ＣＡと、認証カウンタ値ＣＢとの差が、所定値よりも小さい合理的な期間内においてのみ許可するようにすることができる。

他の変形例によれば、このプロセスの第３段階で、ＣＡ＜ＣＢの関係が検証された場合には、クライアントエンティティの側で、受信された認証カウンタ値ＣＢと、クライアントエンティティによって記憶されるカウンタ値ＣＡとの差が、所定値Ａ以下である、すなわち、ＣＢ−ＣＡ≦Δであることも検証される。この追加の条件が検証された場合にのみ、エンティティＡは、カウンタ値ＣＢに署名することを容認する。この追加の条件により、認証されようとするクライアントエンティティＡは、自身に記憶されているカウンタ値のある適度の増加のみを受け入れること、及び、自身が記憶しているカウンタ値よりも遙かに大きい認証カウンタ値を用いる勧誘を無視することによって、カウンタジャンプによって攻撃を制限することができる。

ある実施形態によると、カウンタ値ＣＡ及びＣＢは、システムがカウンタＣＯＭＰＴＢの消耗（ｅｘｈａｕｓｔｉｏｎ）に至る前に、２^１２８回の認証を可能にする、少なくとも１２８ビットで符号化された２進数であることができる。

クライアントエンティティの側における、本発明によるプロセスの段階は、例えば、チップカード上、好ましくは非接触式チップカード上で実行される。本発明によるプロセスの段階を実行するためのチップカードは、実行される動作が単純（せいぜい、カウンタの署名）である限りは、小さな計算能力のみを必要とする。したがって、認証エンティティは、接触式又は非接触式のチップカード読取装置の形態で存在する。

本発明のプロセスによれば、正当な認証エンティティのみが、認証されようとするクライアントエンティティのアイデンティティを認識できるという利点がある。認証されようとするクライアントエンティティＡのアイデンティティは、認証エンティティＢのみが知り、認証中は決して明らかにされない。また、クライアントエンティティＡは、認証エンティティによって、どのような名前の元で特定されるかを、知らない。被認証中のエンティティは、実際に、明らかにされることができる静的アイデンティティを持っていない。

一方、既に従った質問がある場合には、エンティティが認証されることを拒否することを保証することによって、悪意ある第三者は、エンティティを識別することができない。２つの連続する認証については、これらが、被認証中の２つの異なるエンティティであるのか、又は、同じエンティティであるのかを、知ることは可能ではない。したがって、匿名性は完全である。

技術の状態に基づく、秘密鍵による認証プロセスを示す概略図である。 本発明による認証プロセスの主要な段階を示す概略図である。

Claims (18)

1. 認証エンティティ（Ｂ）による、少なくとも１つのクライアントエンティティ（Ａ）の認証方法であって、
   前記認証エンティティ（Ｂ）は、１組の秘密鍵（Ｋ_Ａｉ）を有し、
   前記秘密鍵の各々は、前記認証エンティティによって特定されることができるクライアントエンティティ（Ａｉ）に関連付けられ、
   ａ． 匿名認証要求（ＤｅｍａｎｄｅＡｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ）を、前記クライアントエンティティ（Ａ）の一部から前記認証エンティティ（Ｂ）に伝送するステップと、
   ｂ． 前記認証エンティティ（Ｂ）のカウンタ（ＣＯＭＰＴＢ）の現在の状態に対応する認証カウンタ値（ＣＢ）を、前記認証エンティティ（Ｂ）から前記クライアントエンティティ（Ａ）に送信するステップと、
   ｃ． 前記クライアントエンティティ（Ａ）の側において、受信された前記認証カウンタ値（ＣＢ）が前記クライアントエンティティ（Ａ）によって記憶されるカウンタ値（ＣＡ）より厳密に大きいことを検証するステップと、
   ｄ． 前記クライアントエンティティ（Ａ）の側において、オペランドとして、前記認証カウンタ値（ＣＢ）と、前記クライアントエンティティ（Ａ）に関連付けられた秘密鍵（Ｋ_Ａ）とを用い、前記クライアントエンティティ（Ａ）及び前記認証エンティティ（Ｂ）によって共有される暗号関数（Ｓ）を適用することによって、カウンタ署名を算出するステップと、
   ｅ． 前記カウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））を前記認証エンティティ（Ｂ）に伝送するステップと、
   ｆ． 前記クライアントエンティティ（Ａ）によって記憶される前記カウンタ値（ＣＡ）を、前記認証カウンタ値（ＣＢ）に更新するステップと、
   ｇ． 前記認証エンティティ（Ｂ）の側において、前記認証カウンタ値（ＣＢ）のための対応するカウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））が、受信された前記カウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））と一致する、少なくとも１つの特定されることができるクライアントエンティティ（Ａ）をサーチするステップと、
   ｈ． 前記認証カウンタ（ＣＯＭＰＴＢ）を増加させるステップと
   を有することを特徴とする認証方法。
2. ステップｂからｈまでは、特定された前記クライアントエンティティが、各繰り返しにおいて同一であることを保証するように、少なくとも１回繰り返されることを特徴とする請求項１に記載の認証方法。
3. 前記サーチするステップは、
   ｉ． 前記カウンタ値（ＣＢ）について、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストを編集するために、特定されることができるクライアントエンティティ（Ａｉ）の各々について、オペランドとして、前記認証カウンタ値（ＣＢ）と、関連付けられた秘密鍵（Ｋ_Ａ）とを用い、前記暗号関数（Ｓ）を適用することによって、前記対応するカウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））を算出するステップと、
   ｊ． 受信された前記カウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））と、前記リストの少なくとも１つのカウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））との間の一致を検証するステップと
   を有することを特徴とする請求項１又は２に記載の認証方法。
4. 前記認証エンティティの側において、所定の認証カウンタ値（ＣＢ）について編集された、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストが、前記カウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））の値にしたがって、順序付けられることを特徴とする請求項３に記載の認証方法。
5. 受信された前記カウンタ署名（Ｓ（Ｋ_Ａ，ＣＢ））と、複数の対の前記カウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））とが一致する場合に、前記カウンタ署名が、受信された前記カウンタ署名と一致する１つの対が得られるまで、ステップｂからｈまでが繰り返されることを特徴とする請求項３又は４に記載の認証方法。
6. ステップｉの繰り返し中に、前記カウンタ署名（Ｓ（Ｋ_Ａｉ，ＣＢ））は、先行する繰り返しにおいて求められた前記複数の対に対応する前記クライアントエンティティ（Ａｉ）に対してのみ、計算されることを特徴とする請求項５に記載の認証方法。
7. ステップａにおけるクライアントエンティティ（Ａ）からの認証要求に関連するステップｉを前もって実行するステップを有し、
   前記前もって実行されたステップｉは、
   前記認証エンティティ（Ｂ）の側において、将来の認証カウンタ値（ＣＢ）の少なくとも１つについて、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストを、前記将来の認証カウンタ値の各々について、予め生成するステップと、
   前記認証エンティティ（Ｂ）の側において、前記予め生成されたリストを記憶するステップと
   を含み、
   前記認証エンティティ（Ｂ）から前記クライアントエンティティ（Ａ）への認証カウンタ値（ＣＢ）のいかなる送信も、特定されることができるクライアントエンティティ及び対応するカウンタ署名の対（Ａｉ，Ｓ（Ｋ_Ａｉ，ＣＢ））のリストが既に予め生成された、認証カウンタ値（ＣＢ）の送信に相当する
   請求項３乃至５のいずれか１項に記載の認証方法。
8. ステップｈは、前記認証カウンタ（ＣＯＭＰＴＢ）を一定の割合で増加させるステップを有することを特徴とする請求項１乃至７のいずれか１項に記載の認証方法。
9. ステップｈは、前記認証カウンタ（ＣＯＭＰＴＢ）をランダムな割合で増加させるステップを有することを特徴とする請求項１乃至７のいずれか１項に記載の認証方法。
10. ステップｂは、認証要求に応じて、前記認証エンティティ（Ｂ）の側において、前記認証カウンタ値（ＣＢ）に加え、前記認証カウンタ値（ＣＢ）に関連付けられたランダム値を送信するステップを有し、
    送信された前記認証カウンタ値の各々について、前記ランダム値は異なり、
    前記方法の期間中に実行されるカウンタ署名の各々のステップは、オペランドとして関連付けられた前記ランダム値をさらに有する前記暗号関数（Ｓ）を適用することを含む、前記認証カウンタ値及び関連付けられた前記ランダム値の対の署名ステップによって置き換えられる
    ことを特徴とする請求項１乃至８のいずれか１項に記載の認証方法。
11. ステップｃは、前記受信された認証カウンタ値（ＣＢ）と前記クライアントエンティティ（Ａ）によって記憶される前記カウンタ値（ＣＡ）の差が、所定の値以下であることを検証するステップをさらに有することを特徴とする請求項１乃至１０のいずれか１項に記載の認証方法。
12. 前記ステップｃが検証されない場合には、以下の中間ステップが実行され、この中間ステップは、
    前記クライアントエンティティ（Ａ）によって記憶される前記カウンタ値（ＣＡ）を、前記クライアントエンティティ（Ａ）から前記認証エンティティ（Ｂ）に送信するステップと、
    前記クライアントエンティティ（Ａ）によって記憶される前記カウンタ値（ＣＡ）より大きい一時認証カウンタ値を、前記認証エンティティ（Ｂ）から前記クライアントエンティティ（Ａ）に送信するステップと、その後、
    前記一時認証カウンタ値に基づいて、ステップｄからｇまでを実行するステップと、
    前記クライアントエンティティ（Ａ）の認証が成功した場合には、
    前記認証エンティティ（Ｂ）の前記カウンタ（ＣＯＭＰＴＢ）の前記現在の状態に対応する前記認証カウンタ値（ＣＢ）を、前記一時認証カウンタ値に更新し、そしてステップｈを実行するステップと
    を有することを特徴とする請求項１乃至１０のいずれか１項に記載の認証方法。
13. ステップｅは、前記認証エンティティ（Ｂ）に、さらに前記認証カウンタ値（ＣＢ）を伝送するステップを有することを特徴とする請求項１乃至１２のいずれか１項に記載の認証方法。
14. 前記認証カウンタ値（ＣＢ）は、少なくとも１２８ビットで符号化されることを特徴とする請求項１乃至１３のいずれか１項に記載の認証方法。
15. 集積回路と、
    秘密鍵（Ｋ_Ａ）を記憶し、請求項１乃至１４のいずれか１項に記載の方法を実行する手段と
    を有することを特徴とするチップカード。
16. 非接触式チップカードであることを特徴とする請求項１５に記載のチップカード。
17. 請求項１乃至１４のいずれか１項に記載の方法を実行する手段が装備されたチップカード読取装置を有することを特徴とする、少なくとも１つのクライアントエンティティ（Ａ）の認証エンティティ（Ｂ）。
18. 非接触式チップカード読取装置を備えることを特徴とする請求項１７に記載の認証エンティティ。

Images