JP2008312213A - 認証方法及び装置 - Google Patents

Abstract

【課題】 車両アドホックネットワークにおいて効率的に認証を行う。
【解決手段】 アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法は、
あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われるときのタイムフレーム内の時点に依存するものである、ステップと、
生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと
を含む。
【選択図】 図２

Description

本発明は認証方法及び装置に関し、具体的には車両アドホックネットワーク（vehicular ad-hoc network）における認証方法及び装置に関する。

車両アドホックネットワーク（vehicular ad-hoc network： ＶＡＮＥＴ）は、トラフィック情報の伝送を改良すること、ひいては民間輸送システムの性能並びに自動車のドライバー及び同乗者の両方の安全性を改善することが期待されている。車両アドホックネットワークは、マルチホップ通信を使用してトラフィック情報をやり取りするための無線通信機能を持つ自動車に依存している。しかし、車両アドホックネットワークが大規模で使用される前に、ある種のセキュリティ問題が解決されなければならない。セキュリティ問題の１つは、非特許文献１又は非特許文献２に記載されているように、自動車が受信するメッセージの信頼性のチェックを自動車に対して許可する際にプライバシーを提供することである。他の自動車から受信したメッセージは、個人の安全に影響を与えることがあるため、メッセージの信頼性をチェックすることが重要である。しかし、ＶＡＮＥＴにおいては、与えられた情報が真実であることを保証する能力を有する機関が常に存在するとは限らないため、自動車は受信した情報の信頼性を自ら評価できることが必要である。

このことを実現するための１つのアプローチは、情報が有効であると考えるために、あるタイムフレーム内で同じ情報を含む署名付きメッセージを送信したに違いない異なる自動車の最小の数に対応する閾値を定めることである。しかし、メッセージは秘密鍵の所有者の身元（identity）にバインドされた秘密鍵を用いて署名されるべきでない。その理由は、攻撃者がすべての受信メッセージに関してデジタル署名が特定の公開鍵を使って検証できるかどうかをチェックすることにより自動車の追跡が可能となるからである。この問題を解決する１つの可能性は、自動車が多くの公開鍵と秘密鍵のペアを使用し、この公開鍵と秘密鍵のペアに対応する証明書が身元を全く含まず、かつ短時間に限り有効であることである。このとき、攻撃者は、もはやあるデジタル署名をある自動車にリンクすることができない。この解決法は興味深い。しかし、この解決法は、自動車が使用する必要があるすべての公開鍵と秘密鍵のペアを事前に記憶することを必要とする。自動車が毎日多くの異なる公開鍵と秘密鍵のペアを使用する必要があることを考慮すると、自動車が特定のタイムフレーム（たとえば１年間）に使用する必要があるすべての鍵のペアを記憶するために必要となる記憶容量は数百メガビットに達する。この解決法は、第一に自動車の製造コストを増加させ、第二に認証局（ＣＡ）が自動車毎に数百メガビットを保持しなければならないために認証局におけるスケーラビリティの問題をもたらす。１つの自動車製造メーカーが毎年数十万台の自動車を販売できることを考慮すると、この解決法は、ＣＡにおける証明書管理の問題をもたらす。
Ｐ．Ｐａｐａｉｍｉｔｒａｔｏｓ，Ａ．Ｋｕｎｇ，Ｊ．−Ｐ．Ｈｕｂａｕｘ，ａｎｄ Ｆ．Ｋａｒｇｌ，"Ｐｒｉｖａｃｙ ａｎｄ ｉｄｅｎｔｉｔｙ ｍａｎａｇｅｍｅｎｔ ｆｏｒ ｖｅｈｉｃｕｌａｒ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍｓ：Ａ ｐｏｓｉｔｉｏｎ ｐａｐｅｒ，"ｉｎ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｔａｎｄａｒｄｓ ｆｏｒ Ｐｒｉｖａｃｙ ｉｎ Ｕｓｅｒ−Ｃｅｎｔｒｉｃ Ｉｄｅｎｔｉｔｙ Ｍａｎａｇｅｍｅｎｔ，Ｊｕｌｙ ２００６ Ｍ．Ｒａｙａ，Ｐ．Ｐａｐａｄｉｍｉｔｒａｔｏｓ，ａｎｄ Ｊ．−Ｐ．Ｈｕｂａｕｘ，"Ｓｅｃｕｒｉｎｇ Ｖｅｈｉｃｕｌａｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，"ｉｎ ＩＥＥＥ Ｗｉｒｅｌｅｓｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｍａｇａｚｉｎｅ，Ｓｐｅｃｉａｌ Ｉｓｓｕｅ ｏｎ Ｉｎｔｅｒ−Ｖｅｈｉｃｕｌａｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２００６

一実施形態によれば、あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、ステップと、
生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと
を含む、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法が提供される。

その時点に依存して公開鍵と秘密鍵のペアを生成するためにハッシュ関数を繰り返して適用することにより、多くの鍵のペアを前もって端末に保存する必要がなくなる。さらに、公開ハッシュコード値へのバインドを検証することによるチェックは、必要とされているセキュリティを提供し、多くの端末のために使用される１つの公開ハッシュコード値により、処理が簡単なものとなる。

一実施形態によれば、前記方法は、
前記第１の端末ｋのシークレット値ｓ_ｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、前記第１の端末ｋが初期値Ｐ_ｋを生成するステップと、
信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐ_ｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するステップと、
前記第１の端末がシークレット値ｓ_ｋに基づいて公開鍵と秘密鍵のペアを生成するステップであって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓ_ｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものであり、前記認証が、前記シークレット値ｓ_ｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証することを含むものである、ステップと
を含む。

初期値及び得られる１つ以上の値によりシークレット値Ｋへのバインドが得られる。

一実施形態によれば、前記ハッシュ関数が適用される回数が、認証が実行されるまでに経過した固定長のタイムインターバルの数に依存する。

このようにして、「総使用時間」が分割された固定的なタイムインターバルが提供される。ある瞬間の使用に該当するインターバルに依存して、ハッシュ関数が対応する回数にわたり適用される。

一実施形態によれば、前記方法は、
に基づいて初期値を生成するステップと、
と、前記得られた１つ以上の値とに基づいて、公開鍵と秘密鍵の前記ペアのうちの秘密鍵Ｋ_ｉを生成するステップと、
に基づいて公開鍵と秘密鍵の前記ペアのうちの公開鍵を生成するステップと、
に基づいてヘルパー値Ｈ_ｉを生成するステップと
を含み、ここで、前記第２の端末による前記検証が、前記第１の端末によって生成された公開鍵
が前記シークレット値Ｋにバインドされていることを検証するために
を計算するステップを含む。

ヘルパー値は、タイムインターバルＴ_ｉにおいて初期値と公開鍵及び秘密鍵とを結びつける。その結果、初期値と公開鍵及び秘密鍵とを組み合わせると値Ｋへのバインドが証明できる。

一実施形態によれば、得られた１つ以上の前記初期値は、シークレット値ＫをＰ_ｋで除算することに基づいて得られる値Ｑ_ｋを含み、公開鍵と秘密鍵のペアのうちの秘密鍵は、
に基づいて生成される。

一実施形態によれば、公開鍵と秘密鍵の前記ペアのうちの秘密鍵は、
に基づいて生成されるものであり、ここで、ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対してａ_ｉ≠ａ_ｉ＋ｎであり、
前記ヘルパー値は、
に基づいて生成される。

値ａ_ｉにより本メカニズムは匿名性を有する。

一実施形態によれば、得られる１つ以上の前記初期値は、Ｋ＝Ｐ_ｋ＊Ｑ_ｋ＋ｒ_ｋに基づいて得られる値Ｑ_ｋを含むものであり、
前記第２の端末は、認証を検証するために
を計算する。

さらなる実施形態によれば、第２の端末は、代わりに、
を計算する。ここで、値Ａは大きい整数である。

一実施形態によれば、前記方法は、
ある期間をｎ個のインターバルに分割するステップを含み、ここで、第ｉ番目のインターバルにおいて秘密鍵Ｋ_ｉが、
に基づいて計算される。

一実施形態によれば、ある期間内に第２の端末が受信した有効な署名の個数がある閾値を超えた場合に限って認証が成功したものとみなされる。

これは、さらなるセキュリティチェックをもたらし、メッセージの信頼性のチェックを可能とする。

一実施形態によれば、値Ｋは前記第１の端末又は自動車製造業者などの端末に関係する機関によって選択され、このシークレット値から得られるハッシュ値は信頼できる機関によって証明され、認証を検証するために使用される。

これは、端末と「信頼できる機関」として動作する証明機関との間で必要となる通信エフォートを低減する。

一実施形態によれば、前記アドホックネットワークが車両アドホックネットワークであり、前記方法は、
初期化フェーズにおいて、ある自動車ｋに対しＰ_ｋと得られる１つ以上の初期値とを計算するステップと、
タイムインターバルｉにおいて、秘密鍵Ｋ_ｉと公開鍵とヘルパー値とを計算し、メッセージが暗号化されて署名されるときに用いられる秘密鍵Ｋ_ｉに対応する公開鍵を含む証明書を生成するステップと、
暗号化されたメッセージ及び証明書と、ヘルパー値と、
とを第２の端末へ送信するステップと、
第２の端末が、証明書の公開鍵が前記シークレット値Ｋにバインドされていることを検証することにより認証を検証するステップと
を含む。

一実施形態によれば、
の代わりに、
が計算されて第２の端末へ送信され、ここで、Ａは大きい整数である。

一実施形態によれば、メッセージに署名するために用いられる秘密鍵は、検証に用いる証明書に署名するために使用される秘密鍵とは異なる。

これは、セキュア環境（ブラックボックス）から自動車へ秘密鍵を送信する必要をなくす。

一実施形態によれば、あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく前記第１の端末が使用する公開鍵と秘密鍵のペアを生成するモジュールであって、前記ハッシュ関数の適用回数は、前記認証が行われるタイムフレーム内の時点に依存するものである、モジュールと、
生成された公開鍵が、信頼できる機関によって署名された公開ハッシュコード値Ｖにバインドされていることを検証することにより、該公開鍵の信頼性をチェックするために、該公開鍵をある端末へ送信するモジュールと
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置が提供される。

一実施形態によれば、
あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成することにより該第１の端末が生成した公開鍵を受信するモジュールであって、ここで、前記ハッシュ関数の適用回数は、前記認証が実行される時点に依存するものである、モジュールと、
受信した公開鍵が、信頼できる機関によって署名された公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするモジュールと
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置が提供される。

一実施形態によれば、本発明の実施形態のうちの１つによる方法を実行する１つ以上のモジュールをさらに備える装置が提供される。

一実施形態によれば、本発明の実施形態のうちの１つによる方法をコンピュータに実行させるコンピュータプログラムコードを含むコンピュータプログラムが提供される。

以下、典型的な実施形態を用いて本発明を説明する。

本発明の実施形態を詳細に説明する前に、以下に使用するいくつかの用語を説明する。

一実施形態によれば、自動車がユニークなシークレット値に基づいてあるタイムフレーム（たとえば１年）の範囲内に使用すべきすべての公開鍵と秘密鍵のペアの生成を許可するメカニズムが提供される。このようにして生成された公開鍵の信頼性は、信頼できるＣＡ（認証機関）により署名された公開ハッシュコード値Ｖへこれらの公開鍵がユニークにバインドされていることを検証することによってチェックすることができる。公開ハッシュコード値は、同じＣＡを使用するすべての自動車メーカー（又は、同じメーカーによって製造されたすべての自動車）に対して同一である。すべての自動車は、同じハッシュコード値に基づいて自己の公開鍵の有効性を検証する。したがって、どの自動車が公開鍵を生成したかをＶにより特定することはできない。これは、ある特定の製造業者のある１台の自動車が、（様々な自動車製造業者による）複数の自動車の間で追跡される思いもよらない状況を回避する。さらに、検証のためのＣＡは必要ない。

自動車がメッセージの信頼性を検証するとき、自動車はどのエンティティがメッセージを送信したかを推定することができない。メッセージの信頼性は、特定のエンティティまでメッセージをたどることなく検証できるので、匿名性が得られる。ＣＡ側では、ＣＡは１個のハッシュコード値を記憶する（又は、後ほど明らかにするように、製造業者毎にたった１個のハッシュコード値を記憶する）だけでよく、かつ、自動車は自己の証明書を自身で管理するため、この解決法では管理の要件が増えることはない。この解決法は、自動車側に要求される記憶能力を著しく低減できる。一実施形態によれば、このメカニズムはさらに、多くの異なる自動車がこのメッセージを送信したという印象を与えるために、自動車が異なる鍵を使って短期間に多くのメッセージに署名することを回避する。その上、さらなる実施形態によれば、このメカニズムは、異なるエンティティによって製造された自動車の間に相互運用性を提供する。

さらなる実施形態によれば、閾値がさらに定義される。そして、異なる自動車から受信した、同じ情報を含む有効なメッセージの数が閾値を超えた場合には、他の自動車から受信したメッセージに含まれている情報が信頼できるものとみなされる。これはさらに、メッセージに含まれている情報の信頼性を改善する。

次に、いくつかの実施形態を詳細に説明する。一実施形態では、（「第１の端末」である）１台の自動車が第２の自動車（「第２の端末」）によって認証される必要がある車両アドホックネットワーク（ＶＡＮＥＴ）へ認証方法を適用する。本実施形態では、自動車が、後述するように製造プロセス中に匿名の公開鍵及び秘密鍵のペアの生成を可能とするブラックボックスを備えていると仮定する。さらに、これらのブラックボックスは安全に動作でき、耐タンパー性があると仮定する。一実施形態におけるブラックボックスは、自動車が整備を受ける際に、定期的、たとえば１年に１回更新されるセキュリティパラメータを記憶する。これらのブラックボックスは公開鍵及び秘密鍵のペアを生成でき、証明書を発行できるとさらに仮定する。

本実施形態では、各自動車Ｃ_ｋは、
・自動車Ｃ_ｋがＴ_ｉ内に使用すべき公開鍵及び秘密鍵のペア
と、
・後述するように、インターバルＴ_ｉ内に限り有効なＢＢ_ｋの秘密鍵Ｋ_ｉを用いて署名された、対応する証明書Cert_iと、
・証明書の有効性のチェックに使用するための、証明書に署名するためにブラックボックスが使用する秘密鍵に対応する公開鍵
などの公開パラメータと
を、長さlifetimeの各タイムインターバルＴ_ｉにおいて、生成するブラックボックスＢＢ_ｋを有する。これらの値は自動車Ｃ_ｋへ送信される。

一実施形態によれば、証明書に署名するためにブラックボックスが使用する秘密鍵Ｋ_ｉ及び対応する公開鍵
は、以下のとおり、製造プロセス中にＢＢ_ｋへ安全に転送されるシークレット値ｓ_ｋに基づいて生成される。
・異なるブラックボックスは同じ鍵のペアを生成できない。
・証明書は、自動車メーカーによって定められた「セキュリティ要件」又は「セキュリティパラメータ」を順守するブロックボックスによって生成された場合に限り有効である。簡単にするため、すべての自動車製造業者が同じセキュリティ要件を使用するものとする。ここでセキュリティ要件という用語は、すべての自動車に対して同一であることが要求されうるlifetime及びmaxtimeなどのパラメータを意味する。しかし、一実施形態によれば、自動車製造業者は、異なるセキュリティ要件又はセキュリティパラメータを使用しても構わない。

上記セキュリティ要件又はパラメータは、メッセージが様々な自動車によって署名されたように見せかけるため、ある自動車が異なる鍵を使って同じメッセージに署名できることを防止し、それによりメッセージに含まれている情報の信頼性を高める。

Ｃ_ｋが鍵のペア
を受信した後、Ｃ_ｋは、送信するメッセージを認証するために長さがlifeteimeのある期間内に鍵のペアを使用することができる。そのため、Ｃ_ｋはブラックボックスから受信した秘密鍵
を使って送信メッセージに署名し、署名したメッセージを、ＢＢ_ｋが発行したCert_i及び公開パラメータとともに他の自動車へ送信する。タイムインターバルlifetimeを図１に概略的に示している。

他の自動車が署名されたメッセージを受信すると、他の自動車は、受信した（インターバルＴ_ｉ内に生成された）証明書Cert_iが有効であるかどうか、及び、定められたセキュリティ要件を順守するブラックボックスによって発行されたかどうかを検証する。検証できた場合には、他の自動車は、メッセージの署名が有効であることを検証するために、証明書に含まれる
を使用する。署名が有効であれば、他の自動車は、同じメッセージが様々な自動車によって署名されたものと見せかけるために、何度も同じメッセージに署名する機能をもたない自動車からメッセージが送信されたことを認識する。他の自動車は、別の自動車から先に受信した情報の信頼性を評価し、及び／又は将来受信する情報の信頼性を評価するために、新たに受信したメッセージを使用することができる。

一実施形態に従って受信したメッセージに含まれる情報の信頼性の検証を可能にするプロセスについて図２を参照して詳細に説明する。図１に示されているように、第１番目のタイムインターバルＴ_０は自動車が販売されたときに開始し、ｓ_ｋのように整備中に更新される。

最初に、自動車ｋのブラックボックスは、現在有効な公開鍵及び秘密鍵のペアと、対応する証明書と、（後述する）ヘルパー値などの公開パラメータとを生成する。次に、これらは、ブラックボックスから自動車へ送信される。次に、自動車は、現在有効な秘密鍵を使ってメッセージに署名し、メッセージ及び対応する証明書を他の自動車へブロードキャストする。他の自動車Ｃ_ｋ’は、受信した証明書が信頼できる自動車製造業者によって定められたセキュリティ要件を順守するブラックボックスによって発行されたものであることを検証し、メッセージの署名が正しいことを検証する。一実施形態によれば、これは、証明書の署名が有効であることと、公開鍵が適切な関係によってＶにバインドされていることとをチェックすることにより行われる。このことは、ＣＡによって証明されたチェック値を有するエンティティ、つまりmaxtime及びlifetimeに関する要件を順守するエンティティによって自動車が製造されたことを証明する。署名と公開鍵の両方が正しい場合には、メッセージは有効なものとして認証されると考えることができる。

一実施形態によれば、自動車が異なる公開鍵と秘密鍵のペアを使用して何度も所与のメッセージに署名することを回避することを目的とするさらなるメカニズムが使用される。このメカニズムを以下に説明する。

ある自動車が異なる秘密鍵を使って何度も同じメッセージに署名することを回避するために、タイムフレームmaxtimeの間にメッセージに署名していなければならない異なる自動車の最小の台数に対応する閾値ｔが定められる。maxtimeは、好ましくは、発行された証明書のlifetimeより短く、好ましくはずっと短い。
である。

ｍａｘｔｉｍｅとｌｉｆｅｔｉｍｅとの関係が図３に示されている。ｌｉｆｅｔｉｍｅ及びｔの値は、自動車を製造するときに定めることができる。ｍａｘｔｉｍｅの値が小さいほど、自動車が同じメッセージに署名をするために異なる鍵を使用する可能性が小さくなる。しかし、少しでも異なる自動車から同じメッセージを受信するある程度の可能性を残すため、ｍａｘｔｉｍｅは小さくし過ぎないことが必要である。ｍａｘｔｉｍｅのため選択される個々の値は、これらの２つの競合する要件に合わせて設計されたシステムにより与えられる重み（weight）に依存するものとすることができる。

この基本的な構造を用いると、自動車は自己のメッセージに署名するために異なる秘密鍵を使用することができるが、十分に小さいｍａｘｔｉｍｅが選択されると、自動車は、そのメッセージに含まれる情報を信頼できるものとするため、すなわち閾値ｔを超えるために、十分に様々な鍵を使って同じメッセージに署名することは不可能となる。

次に、メッセージ発信元を識別し、同時に匿名性を提供することができる実施形態を詳細に説明する。

発明の実施形態に基づく認証スキームを使用する前に、あるシステムパラメータは、以下のとおり、すべての当事者が合意している必要がある。
・Ｇ＝（Ｇ，＊）が（ある大きな）位数（order）ｑの有限巡回群（finite cyclic group）であり、ｇ∈ＧがＧの生成元（generator）であり、ｇに関してＧにおける離散対数の計算は計算上実行不可能であると仮定する。たとえば、Ｇはある大きな素数ｐに対する
の大きい乗法部分群（large multiplicative subgroup）とすることができ、ｑはｐ−１の大きな素因数であり、或いはＧは楕円曲線上の一群の点とすることができる（通常は加法的に記述される）。
・ｈは、任意長のバイナリ文字列を固定長（ｌとする。ここで、典型的なｌの値は２２４である）の文字列へマッピングする暗号化（一方向）ハッシュ関数である。
・ｆは、集合｛０，１，．．．，ｑ−１｝をそれ自体にマッピングする暗号化（一方向）ハッシュ関数である。実際には、ｆは、たとえばｈから導かれる。
・ｍ≧１は、インターバルＴ_ｉにわたって端末で利用できる鍵のペアの個数を決定する正の整数である。

本実施形態では、自動車が自己のブラックボックスによって使用されるチェック値を使って追跡されることを防ぐため、製造業者に対してチェック値Ｖを含む証明書がＣＡにより発行される。
ここで、ＫはＣＡだけが把握するシークレット値である。Ａは後のステップにおいて計算をより簡単なものとするため指数を整数とするための大きい整数である。ｇは後で詳細に説明するある生成元（generator）である。ｈは、逆計算を実行することが計算上実施不可能である一方向ハッシュ関数又は暗号化ハッシュ関数である。

証明書は製造プロセスにおいて安全にブラックボックスへ転送される。このアプローチにより、異なる自動車製造業者によって製造される自動車が、受信した情報の信頼性を検証するために同じチェック値を使用することが可能となる。

以下では、一実施形態によって、Ｖに対してユニークにバインドされる（又はＫにバインドされ、Ｋを介してＶにもバインドされる）匿名の鍵のペアを自動車がどのようにして生成できるかを説明する。解決法は、引用することにより本明細書の一部をなすものとする、使用する一方向ハッシュ関数及び鍵生成元のさらなる説明が利用できる、本願の出願人と同一出願人による欧州特許出願第０６１２２０４１．４号に記載のアプローチに類似した一方向ハッシュ関数の繰り返しの適用に基づいている。

一実施形態によれば、式１において、Ｋは、
という正の整数に対して、Ｋ＞Ｐ_ｋ（すなわち、ＫはＰ_ｋより大きい）となるような大きい正の整数である。好ましくは、さらに、Ｋ＞＞Ｐ_ｋである。Ａは大きい整数であり、ｍは、（ある程度の猶予期間を加えた）１回の整備インターバル内のタイムインターバルの個数にも対応する、（多少条件付きで）次の整備までに自動車が使用する異なる鍵のペアの最大の数である。換言すると、ｍは少なくともタイムインターバルＴ_ｉの総数と同じ大きさの整数である。したがって、
となる正の整数Ｑ_ｋ及びｒ_ｋが常に存在する。

換言すると、値Ｑ_ｋ及びｒ_ｋは、シークレット値Ｋと、一方向ハッシュ関数ｆをシークレット値ｓ_ｋに繰り返し適用することに基づくＰ_ｋとに基づいて導かれる「導出値（derived value）」である。式２における関係は、シークレット値を導出値Ｑ_ｋ及びｒ_ｋにバインドし、さらに、一方向ハッシュ関数ｆをｓ_ｋに繰り返し適用することにより得られる値にもバインドする。

式２によって、値Ｋは、Ｐ_ｋとＱ_ｋの積に剰余ｒ_ｋを加えたものとして表現されている。これにより、異なる自動車に対する値Ｑ_ｋ及びｒ_ｋを見つけることがより容易となるので、Ｋ＞＞Ｐ_ｋであることが好ましい理由を明らかにする。

しかし、式２の積が剰余ｒ_ｋを持たないということもあり、この場合、ＫはＰ_ｋとＱ_ｋの積に過ぎない。しかし、これは、セキュリティの観点からは、式２が剰余を有する場合より好ましくない。一実施形態によれば、式２が剰余を有さないならば、ＣＡはＰ_ｋが変更されることを要求する。一実施形態によれば、ｒ_ｋが大きくなるように、Ｋ＞＞Ｐ_ｋ＊Ｑ_ｋとすべく、Ｑ_ｋを定めるべきである。

全ての自動車Ｃ_ｋは、シークレット値ｓ_ｋを受信するブラックボックスＢＢ_ｋを有する。製造プロセスは、ｋ≠ｋ’として、ｓ_ｋが別のブラックボックスＢＢ_ｋ’によって使用されないことを保証する必要がある。

Ｐ_ｋはｓ_ｋを用いて以下のように生成される。

その後、Ｐ_ｋは、製造業者に対してＶを含んだ証明書を発行したＣＡへ送信される。ＣＡは、Ｋ＞＞Ｐ_ｋとなるようなシークレット値Ｋを有する（式２を参照）。Ｐ_ｋを受信した後、ＣＡは、
及びＱ_ｋを計算する。ここで、Ｑ_ｋ及びｒ_ｋは式２を満たし、ＣＡはそれを製造業者へ返送する。次に、製造業者はパラメータとして、
を自動車Ｃ_ｋのブラックボックスＢＢ_ｋへ安全に送信する。これらの値はＢＢ_ｋによって安全に記憶されている。

発明の実施形態において使用するパラメータ、及びパラメータの関係は図４に概略的に示されている。

タイムインターバルＴ_ｉにおいて、ＢＢ_ｋは、決して公開されないランダムな整数ａ_ｉを選択する。ａ_ｉは以下を満たすように選択される。
・（Ａ^＊ａ_ｉ ^＊ｒ_ｋ）ｍｏｄ Ｐ_ｋ＝０又はＰ_ｋがＡ^＊ａ_ｉ ^＊ｒ_ｋの倍数
・ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対して、ａ_ｉ≠ａ_ｉ＋ｎ

一方向ハッシュ関数ｆを繰り返して適用するシーケンスをどのように行うかについてのヒントにつながるやり方で、送信されたメッセージを追跡することを困難なものにするため、値ａ_ｉの使用はメカニズムに匿名性を提供する。これは、公然と送信された値ａ_ｉが、個別の端末又は自動車によって送信されたメッセージに基づいてその端末又は自動車を追跡することを非常に困難なものとする、攻撃者にはわからないさらなる要素をもたらすからである。

次に、ＢＢ_ｋは、以下のようにして証明書Ｃｅｒｔ_ｉに署名するために使用する秘密鍵Ｋ_ｉを生成する。

対応する公開鍵は、以下の通りである。

ＢＢ_ｋはさらにヘルパー値
を生成する。

その後、ＢＢ_ｋは、証明書Ｃｅｒｔ_ｉをＣ_ｋすなわち自動車ｋに対して発行する。Ｃｅｒｔ_ｉは、公開鍵
と、ＣＡによって署名されたハッシュコード値Ｖとを含んでおり、Ｋ_ｉを使って署名される。署名されたハッシュコードＶは、本実施形態において、互いに信頼できる異なるＣＡによって発行されたチェック値を有する自動車が使用できるようにするために証明書に含まれている。ＢＢ_ｋはさらに
を自動車Ｃ_ｋへ送信する。

Ｃ_ｋは、他の自動車へ送信されるメッセージに署名するために
を使用する。その後、署名されたメッセージｍｓｇをＣ_ｋが送信するとき、Ｃ_ｋは自己の公開鍵とともに
と
とＨ_ｉと
とを含む証明書Ｃｅｒｔ_ｉも送信する。自動車が以前の要素を受信すると、自動車は、Ｃｅｒｔ_ｉがＢＢ_ｋによって正しく署名されていることと、Ｃｅｒｔ_ｉが有効であることとを検証する。これらの検証を実行するために自動車は、
を計算する。

本発明の一実施形態により生成され送信されたメッセージを図５に示している。

ここで注意を要するのは、
である。

さらに、上記の解決法では、秘密鍵Ｋ_ｉがメッセージに署名するためには使用されず、そのため、別の秘密鍵
が使用されることに注意を要する。Ｋ_ｉは、公開鍵
の有効性を検証するために使用される証明書Ｃｅｒｔ_ｉに署名するためだけに使用される。メッセージｍｓｇに署名するために異なる公開鍵
を使用する理由は、このアプローチによれば、扱いに注意を要する秘密鍵Ｋ_ｉをブラックボックスの外側（自動車）に配信する必要がない。そうでなければ、自動車は、「自己の」証明書を生成し、このようにして生成された証明書を使用して１つのメッセージに複数回にわたり署名しようとするかもしれない。これは、秘密鍵Ｋ_ｉをブラックボックス内に保存し、証明書Ｃｅｒｔ_ｉだけを自動車へ送信することにより回避できる。秘密鍵
及び対応する公開鍵は任意の適切なやり方で生成され、その後にブラックボックスによって自動車へ送信され、その後に署名又はチェックのために使用される。その後、実際の認証は、証明書Ｃｅｒｔ_ｉに含まれている公開鍵を使って行われる。

このため、自動車がＶ^＊を計算した後、自動車は、ｈ（Ｖ^＊）＝Ｖであるかどうかを検証する。もしそうであるならば、自動車は、
を使ってＣｅｒｔ_ｉに対する署名をチェックする。署名が有効であれば、自動車は、それまでに定められた時間の要件を順守するやり方で動作するブラックボックスを有する自動車により署名が生成されたものであることを認識できる。換言すると、メカニズムのセキュリティ要件に基づくやり方、すなわちタイムインターバルＴ_ｉ内に、安全かつ耐タンパー性のあるやり方で端末（又は端末のブラックボックス）に転送される、ＣＡのシークレット値Ｋにバインドされている値に基づいて、対応する公開鍵及び秘密鍵のペアが生成され、これは、図３に示しているようにｍａｘｔｉｍｅとｌｉｆｅｔｉｍｅとの間の関係を表現している。その後、Ｃｅｒｔ_ｉの有効期間が経過していなければ、自動車はｍｓｇに対する署名を検証するためにＣｅｒｔ_ｉを使用できる。それまでの検証のうちの１つが失敗であれば、自動車は、受信したメッセージに対する署名が不正であるとみなす。この検証プロセスは自動車が受信したメッセージ毎に繰り返される。

本メカニズムがさらに上記の閾値を使用する場合、すなわちｔに達すると、言い換えれば、自動車が同じ情報を含む少なくともnbSignatures個のメッセージを時間maxtime内に受信すると、nbSignatures個の異なる署名によって署名されたメッセージに含まれている情報が信頼できるものとみなされる。

自動車は、インターバルＴ_ｉ内に最初にＣｅｒｔ_ｉを受信したときにＣｅｒｔ_ｉの有効性をチェックするだけでよいことに注意を要する。これは、有効な証明書はタイムインターバルの全体にわたって有効な状態を維持するからである。

以下、メカニズムのセキュリティについて説明する。上述したメカニズムでは、各ブラックボックスＢＢ_ｋは、値ｈ（ｇ^Ａ＊Ｋ）だけを認識している。一方向ハッシュ関数は逆計算することが実際には計算上実施不可能であり、かつＫが大きいとき、ｇ^Ａ＊Ｋに基づいてＫを見つけることが同様に計算上実施不可能であるため、ブラックボックスはＫを見つけることができない。同様に、ＢＢ_ｋは
しか認識していないため、ｒ_ｋを見つけることができない。したがって、ＢＢ_ｋはＱ_ｋを認識していてもＫを見つけることができない。

検証を行う自動車に焦点を当てると、検証を行う自動車は、Ｑ_ｋを認識しておらず、
に基づいてＱ_ｋを見つけることができない。さらに、検証を行う自動車は、Ｋもｒ_ｋも認識しておらず、
に基づいてこれらを見つけることもできない。これは、ａ_ｉがＢＢ_ｋによって公開されていないためである。

ここで、ヘルパー値の間の既存のつながりを利用した自動車の追跡も同様に行うことができない。なぜならば、Ｈ_ｉによってＨ_ｉ＋１を求め、Ｈ_ｉ＋１によってＨ_ｉ＋２を求めることによって、自動車は、
及び
を取得するからである。

であるため、
となる。

以下、製造プロセスにおいてＣＡとの相互作用を削減するための、少し修正したメカニズムを提供する実施形態について説明する。

セキュリティパラメータをブラックボックスへ転送することを可能とするプロセスを簡略化するため、たとえば製造業者とＣＡとの間の相互作用の回数を削減することができる。これは、チェック値の生成を各製造業者が行い、もはやＣＡが行わない場合に達成できる。この場合、各製造業者は、以下を満たす必要がある。

Ｖが生成されると、製造業者は、Ｖを含んだ証明書を発行するＣＡへＶを送信する。次に、製造プロセスにおいて、製造業者はＫを認識しているので、Ｋ＞＞Ｐ_ｋとなるようなＰ_ｋを常に定めることができる。製造業者は、ブラックボックスへ転送されるすべての値を生成することもできる。一実施形態によれば、ｒ_ｋが大きくなるようにＫ＞＞Ｐ_ｋ ^＊Ｑ_ｋとすべくＱ_ｋを定める。

ＣＡは、あるセキュリティメカニズム又はセキュリティ要件を順守するブラックボックスを有する自動車を製造するすべての製造業者のチェック値を含んだリストを管理することができる。１つの特定の製造業者の１台の自動車が（異なる自動車製造業者による）多くの自動車の中から追跡されることを回避するため、このリストはチェック値を使用している製造業者の名称を含むべきではない。このリストは、本明細書に定義されている解決法が異なる自動車製造業者によっても使用できることを可能とする。

リストは、製造プロセスが開始される前に自動車製造業者に対して発行されるべきである。その後、各製造業者は、受信したメッセージの信頼性を検証するためにリストを使用できるブラックボックス内にリストを転送することができる。その結果、ＶがＴ_ｉ内に発行された証明書Ｃｅｒｔ_ｉに含まれる必要はない。

以下、各タイムインターバル内に自動車が保存する証明書の数を削減するさらなる実施形態について説明する。

前のセクションに定められたメカニズムは、Ｃ_ｋが記憶する必要がある鍵のペアの数を削減するために改善することができる。これは、ＢＢ_ｋがＣ_ｋによって送信されたメッセージに署名をする場合に達成できる。そのとき、ＢＢ_ｋは
又は
をＣ_ｋに対して発行することはもはや不要である。ＢＢ_ｋは以下のものだけをＣ_ｋへ送信する。
ＢＢ_ｋがメッセージに署名した後、ＢＢ_ｋは、Ｃｅｒｔ_ｉ、Ｈ_ｉ及び
と共にこのメッセージをブロードキャストするＣ_ｋへこのメッセージを送信する。その後、Ｃ_ｋが送信したメッセージの有効性をチェックする自動車は、メッセージの署名の有効性を検証するために
を使用する。

上述した実施形態が、ハードウェア、ソフトウェア、又は、ソフトウェアとハードウェアの組み合わせによって実施できることを当業者は理解されたい。本発明の実施形態に関連して説明したモジュール及び機能は、本発明の実施形態と関連して説明した方法に従って動作するように適切にプログラミングされているマイクロプロセッサ又はコンピュータによって全体的又は部分的に実施できる。本発明の実施形態を実施する装置は、たとえば、本発明の実施形態に記載したように認証できるよう適切にプログラミングされたネットワーク内のノード又は要素を含む。

本発明の実施形態によれば、記録媒体又は伝送リンクのような物理的手段によって具現化されたデータ担体又は別の手段に記憶され、上述した本発明の実施形態に従ってコンピュータを動作させるコンピュータプログラムが提供される。

本発明の実施形態は、たとえば上述した認証メカニズムに従って動作するようにプログラミングされているネットワーク内のノード又はネットワーク内の任意のエンティティによって実施することができる。

本発明の実施形態により鍵を生成するタイミングスキームの概略的な説明図である。 本発明の実施形態による認証方法の概略的な説明図である。 本発明のさらなる実施形態によるタイミングスキームの概略的な説明図である。 本発明の実施形態において使用するパラメータと式の関係の概略的な説明図である。 本発明の実施形態において生成され送信されるメッセージの概略的な説明図である。

Claims (15)

1. あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、ステップと、
   生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと、
   前記第１の端末ｋのシークレット値ｓ_ｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、前記第１の端末ｋが初期値Ｐ_ｋを生成するステップと、
   信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐ_ｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するステップと、
   前記第１の端末がシークレット値ｓ_ｋに基づいて公開鍵と秘密鍵のペアを生成するステップであって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓ_ｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものであり、前記認証が、前記シークレット値ｓ_ｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証することを含むものである、ステップと
   を含む、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法。
2. 前記ハッシュ関数が適用される回数が、認証が実行されるまでに経過した固定長のタイムインターバルの数に依存する、請求項１に記載の方法。
3. に基づいて初期値を生成するステップと、
   と、前記得られた１つ以上の値とに基づいて、公開鍵と秘密鍵の前記ペアのうちの秘密鍵Ｋ_ｉを生成するステップと、
   に基づいて公開鍵と秘密鍵の前記ペアのうちの公開鍵を生成するステップと、
   に基づいてヘルパー値Ｈ_ｉを生成するステップと
   をさらに含み、ここで、前記第２の端末による前記検証は、前記第１の端末により生成された公開鍵
   が前記シークレット値Ｋにバインドされていることを検証するために
   を計算するステップを含むものであり、ここで、ｆが暗号化（一方向）ハッシュ関数であり、Ｇ＝（Ｇ，＊）がある大きなｑを位数とする有限巡回群であり、ｇ∈ＧがＧの生成元である、請求項１又は２に記載の方法。
4. 得られた１つ以上の初期値が、前記シークレット鍵ＫをＰ_ｋで除算することに基づいて得られる値Ｑ_ｋを含み、公開鍵と秘密鍵の前記ペアのうちの秘密鍵が、
   に基づいて生成されるものであり、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜３のいずれか一項に記載の方法。
5. 公開鍵と秘密鍵の前記ペアのうちの秘密鍵が、
   に基づいて生成されるものであり、ここで、ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対してａ_ｉ≠ａ_ｉ＋ｎであり、
   ヘルパー値が、
   に基づいて生成されるものであり、ここで、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜４のいずれか一項に記載の方法。
6. 得られた１つ以上の前記初期値が、Ｋ＝Ｐ_ｋ ^＊Ｑ_ｋ＋ｒ_ｋに基づいて得られる値Ｑ_ｋを含むものであり、
   前記第２の端末が、認証を検証するために
   を計算するものである、請求項５に記載の方法。
7. ある期間をｍ個のインターバルに分割するステップを含み、ここで、第ｉ番目のインターバルにおいて前記秘密鍵Ｋ_ｉが
   に基づいて計算され、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜６のいずれか一項に記載の方法。
8. ある期間内に前記第２の端末が受信した有効な署名の個数がある閾値を超えた場合に限って認証が成功したものとみなされる、請求項１〜７のいずれか一項に記載の方法。
9. 前記値Ｋが前記第１の端末によって選択されるものであり、
   該シークレット値から得られるハッシュ値が信頼できる機関によって証明されて、認証を検証するために使用されるものである、請求項１〜８のいずれか一項に記載の方法。
10. 前記アドホックネットワークが車両アドホックネットワークであり、
    初期化フェーズにおいて、ある自動車ｋに対しＰ_ｋと得られる１つ以上の初期値とを計算するステップと、
    タイムインターバルｉにおいて、前記秘密鍵Ｋ_ｉと前記公開鍵と前記ヘルパー値とを計算するとともに、メッセージが暗号化されて署名されるときに用いられる秘密鍵Ｋ_ｉに対応する公開鍵を含む証明書を生成するステップと、
    暗号化されたメッセージ及び前記証明書と、前記ヘルパー値と、
    とを前記第２の端末へ送信するステップと、
    前記第２の端末が、前記証明書の前記公開鍵が前記シークレット値Ｋにバインドされていることを検証することにより認証を検証するステップであって、ここで、ｆが暗号化（一方向）ハッシュ関数であり、Ｇ＝（Ｇ，＊）がある大きなｑを位数とする有限巡回群であり、ｇ∈ＧがＧの生成元である、ステップと
    を含む請求項１〜９のいずれか一項に記載の方法。
11. 前記メッセージの署名に用いられる前記秘密鍵が、検証に用いる前記証明書に署名するために使用される前記秘密鍵とは異なるものである、請求項１０に記載の方法。
12. あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するモジュールであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、モジュールと、
    生成された公開鍵が、信頼できる機関により署名された公開ハッシュコード値Ｖへバインドされていることを検証することにより、該公開鍵の信頼性をチェックするために、該公開鍵をある端末へ送信するモジュールと、
    前記第１の端末ｋのシークレット値ｓ_ｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、該第１の端末ｋが初期値Ｐ_ｋを生成するための手段であって、ここで、信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐ_ｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するものである、手段と、
    前記第１の端末がシークレット値ｓ_ｋに基づいて公開鍵と秘密鍵のペアを生成するための手段であって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓ_ｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものである、手段と
    を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置。
13. あるユニークなシークレット値ｓ_ｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓ_ｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成することにより、該第１の端末が生成した公開鍵を受信するモジュールであって、ここで、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、モジュールと、
    受信した公開鍵が、信頼できる機関により署名された公開ハッシュコード値Ｖへバインドされていることを検証することにより、該公開鍵の信頼性をチェックするモジュールであって、ここで、信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐ_ｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するものであり、前記第１の端末がシークレット値ｓ_ｋに基づいて公開鍵と秘密鍵のペアを生成するものであり、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓ_ｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものである、モジュールと、
    前記シークレット値ｓ_ｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証する手段と
    を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置。
14. 請求項２〜１１のいずれか一項に記載の方法を実行する１つ以上のモジュールをさらに備える請求項１２又は１３に記載の装置。
15. 請求項１〜１１のいずれか一項に記載の方法をコンピュータに実行させるコンピュータプログラムコードを含むコンピュータプログラム。