JP2008529413A - 他と共有されないジョイント乱数性（ｊｒｎｓｏ）を用いて暗号鍵を導出する方法とシステム - Google Patents

Abstract

本発明はＪＲＮＳＯを用いた暗号鍵を導出する方法とシステムに関する。通信体はＣＩＲ推定値からＪＲＮＳＯビットを生成し、ＪＲＮＳＯビットは暗号鍵の生成に用いられる。認証の型はＩＥＥＥ ８０２．１ｘ、または事前共有鍵 システムでもよい。ＩＥＥＥ ８０２．１ｘシステムでは、ＭＫ、ＰＭＫ、そして／または、ＰＴＫがＪＲＮＳＯビットから生成されてよい。暗号鍵はディフィ・ヘルマン鍵導出アルゴリズムにより生成されてもよい。

Description

本発明は、無線通信の安全に関する。より詳細には、本発明は、他と共有されないジョイント乱数性（joint-randomness-not-shared-with-others;ＪＲＮＳＯ）を用いて暗号鍵を導出する方法とシステムに関する。

ＩＥＥＥ ８０２．１１ｉは、ＩＥＥＥ ８０２．１１標準のもとで動作する無線ＬＡＮ（ＷＬＡＮ）が、カウンタモード（ＣＴＲ）を用いることにより、データを安全に通信できることを保証するために用いられている。このカウンタモードでは、暗号ブロック連鎖方式によるメッセージ確認コード（ＣＢＣ−ＭＡＣ）プロトコル（ＣＣＭＰ）を用いたカプセル化技術を導入している。ＩＥＥＥ ８０２．１１ｉは、ＡＥＳアルゴリズムを利用している。この目的を遂行するため、ＩＥＥＥ ８０２．１１ｉは、一対の通信ノードが、交換するパケットを暗号化するのに用いることのできる鍵を導出する方法として、二つの方法を提供している。

第１の方法は、遠隔認証サーバ（例えば、ＲＡＤＩＵＳサーバ）を必要とするＩＥＥＥ ８０２．１ｘ認証技術に基づいている。ＩＥＥＥ ８０２．１ｘでは、アクセスポイント（ＡＰ）と認証サーバに結合を希望する無線送受信機（ＷＴＲＵ）に対して、ＡＰがルータとして動作する。認証サーバは、ＡＰを通して、ＷＴＲＵに公開鍵を提供する。ＷＴＲＵは、認証サーバから提供を受けた電子認証を用いてこの公開鍵をチェックすることにより検証することができる。ＷＴＲＵはそのあと、乱数シークレット（すなわち、マスタシークレット）を導出し、提供された公開鍵を用いてマスタシークレットを暗号化し、それを認証サーバに送信する。このように、認証サーバだけが、対応した暗号鍵を用いて、マスタシークレットを復号することができる。認証サーバとＷＴＲＵは、共通鍵（親鍵）（ＭＫ）を導出するためにこのマスタシークレットを用いる。認証サーバとＷＴＲＵはそのあと、ＭＫから二つ一組の共通鍵（親鍵）（ＰＭＫ）を導出する。認証サーバはＡＰに対してこのＰＭＫを提供する。ＡＰとＷＴＲＵはそのあと、ＰＭＫを用いて二つ一組の臨時鍵（ＰＴＫ）を導出する。このＰＴＫの一部は、パケットを暗号化するためのＣＣＭＰ技術の中で用いられる実際の鍵である一時鍵（ＴＫ）である。この方法は認証サーバと電子認証（これらは現在高価である）を用いるので、このような方法は企業ＷＬＡＮで装備される典型的な方法である。

第２の方法は、家庭や小さな事業用ネットワークにより適しており、事前共有鍵（ＰＳＫ）を利用する。この方法では、２５６ビットの、ユーザが構成できる秘密鍵が通信ノードに蓄えられる。ＷＴＲＵがＡＰとの結合を望むと、ＷＴＲＵは（マスタシークレットとＭＫを導出することなく）、ＰＭＫとしてＰＳＫを用いる。そしてＰＴＫを導出し、そのＰＴＫの一部をＴＫとして用いる。これはＩＥＥＥ ８０２．１ｘ方式の中で用いられているのとまるで同様である。

ＩＥＥＥ ８０２．１１ｉ方式には少なくとも２つの問題がある。第１に、最終のＴＫだけが、ＩＥＥＥ ８０２．１ｘの場合に交換されるマスタシークレット、または、家庭や小さな事業用ネットワークの場合に於けるＰＳＫ、と同程度に秘密が保たれているのである。ＩＥＥＥ ８０２．１ｘ方式では、攻撃者は、認証サーバの秘密鍵を盗むことにより、マスタシークレットの暗号を解読することができる。家庭用ネットワークでは、（家庭においてはＰＳＫが定期的に変えられないこと、脆弱なパスフレーズから生成されていることにより）総当り攻撃により、または、鍵を盗まれることにより、ＰＳＫは解かれてしまう。マスタシークレットまたはＰＳＫを知ることは、攻撃者に対し、２つの合法的な通信ノードが行うのと同じ方法で、ＰＭＫの正しい値に到達し、そして、それ以後、正しいＰＴＫの値を導出すること許してしまう。このように、認証認定に関する知識は暗号鍵を導出するのに十分足りる知識なのである。さらに、鍵がセッション中に更新されるときは、ＭＫとＰＭＫは、典型的には、何も触れられずににあって、新しいＰＴＫだけがＰＭＫ（これは暗号と考えられている）を用いて導出される。そして情報の交換は自由に行われる。ＰＭＫは変化がないので、ＰＴＫは新しいものではなく、従って新しい鍵ではない。

さらに、鍵導出の処理過程は非常に複雑であり、多くの段階（ＭＫ、ＰＭＫ、ＰＴＫ、ＴＫ等）が存在する。多くの時間と資源を要する。

鍵はビット系列であると考えることができる。完全に暗号なＮビット長のランダム鍵は通信体相互に共有されるＮビット系列Ｓである。システム全体で全ての情報が得られるならば、この鍵のビット系列が何でありうるのかという他の誰もの評価は、全ての可能な２のＮ乗個のＮビット系列に、大体等しい確率で分布している。

従来技術の暗号化システムは、暗号鍵を推し量ることが、コンピュータ資源からみて極度に難しいであろうという事実に依存している。しかしながら、これらのうちの多くのシステムでは、いったん正しい推論が生まれれば、これが本当に正しい推論であると容易に検証されるのである。事実、従来の技術は、このことがどの公開鍵システム（すなわち、暗号化鍵が公開されても、復号鍵は秘密に保たれる）にも当てはまることを暗示している。

１つの例として、ｐとｑを、２つの大きな素数とし、ｓ＝ｐｑとすると、よく知られているように、２つの大きな素数の積の素因数分解は著しく計算が難しい。１つのパーティーがｐとｑを秘密裏に選びその積ｓを公開して暗号システムの暗号鍵として用いたとすると、ｐとｑを知らなければ、容易には暗号を解くことができない。暗号メッセージを横取りしようとする盗聴者はｓを素因数に分解することから始めようとするであろう。そしてそれは、計算が難しいことが知られている。しかしながら、盗聴者がｐを当てることができれば、それは正解を持っているということが容易に検証されるであろうであろう。推論によって正解を得ることができるという事実は、計算上の困難から生まれる暗号は完璧な暗号ではないということを示すに十分な力がある。完璧な暗号とは、攻撃者が鍵を正しく言い当てたとしても、それは真に暗号を解く力にはならないであろう、ということを意味するものである。

従って、従来技術の持つ限界を超えた鍵による暗号化が生成できることが望ましい。

以下では、「ＷＴＲＵ」という呼称は、ユーザ装置、ＳＴＡ、固定または移動体の加入者部、ページャー、そのほか無線環境下で動作するいかなる型の装置、を含むが、それらに限定したものではない。また以下では、「ＡＰ」という呼称は、ノードＢ、基地局、サイト制御局、そのほか無線環境下で動作するいかなる型のインターフェース装置、を含むが、それらに限定したものではない。

本発明の主要特長は集積回路（ＩＣ）の中に組み込まれてもよい。種々の接続用素子を具備する回路の中で用いられてもよい。本発明は、ディジタル信号処理回路（ＤＳＰ）、ソフトウェア、ミドルウェア、ハードウェア、として、または、応用または将来のシステム構築で用いられてもよい。本発明の構成要素は、より大きな通信システムやＡＳＩＣの構成要素であってもよいし、また、一部または全部の処理要素は他の要素と共有されてもよい。

無線通信システムでは、事前の通信による情報なしに相関のあるランダム信号源を作ることは、もともと理論的に難しいが、無線チャネルはそのような資源をチャネルインパルス応答（ＣＩＲ）の形で作り出すことができる。具体的には、ある通信システムで、２つの通信パーティー（例えば、アリスとボッブ）は非常に似たＣＩＲ推定値を割り出すであろう。広帯域コード分割多元接続（ＷＣＤＭＡ）時分割２重通信（ＴＤＤ）はこの特性を持っている。しかし一方で、アリスとボッブに物理的に同じ場所に無いパーティーは、アリスとボッブが観測をするCIRにほとんど相関のないCIRを観測するであろう。この不一致は完全に秘密な鍵の開発に利用することができる。無線チャネルはＪＲＮＳＯの源であり、ＣＩＲ推定値はチャネルから得られるそのサンプルなのである。

ディフィ・ヘルマン鍵の導出過程を以下に説明する。アリスとボッブは１つの素数ｐと１つの基数ｇを用いることに同意する。アリスは秘密の整数ａを選択し、ボッブにｇ^aモジュロｐを送信する。ボッブは秘密の整数ｂを選択し、アリスにｇ^bモジュロｐを送信する。アリスは（ｇ^bモジュロｐ）^aモジュロｐを計算する。ボッブは（ｇ^aモジュロｐ）^bモジュロｐを計算する。（ｇ^bモジュロｐ）^aモジュロｐと（ｇ^aモジュロｐ）^bモジュロｐは同じ値である。一例として、アリスとボッブは素数ｐ＝２３と基数ｇ＝３を用いることに同意する。アリスは秘密の整数ａ＝６を選択し、ボッブにｇ^aモジュロｐ＝３⁶モジュロ２３＝１６を送信する。ボッブは秘密の整数ｂ＝１５を選択し、アリスにｇ^bモジュロｐ＝３¹⁵モジュロ２３＝１２を送信する。アリスは（ｇ^bモジュロｐ）^aモジュロｐ＝１２⁶モジュロ２３＝９を計算する。ボッブは（ｇ^aモジュロｐ）^bモジュロｐ＝１６¹⁵モジュロ２３＝９を計算する。

この方法を安全にするにはさらに大きな数が必要である。もしｐが300桁より大きい素数であれば、そしてａとｂが100桁より大きければ、計算には大きな負荷がかかるので、攻撃は実行上は不可能であろう（合法的な通信パーティーにとっても同様である）。この理由により、このようなプロトコルは、電池の電力が限られている移動体用装置で用いることの障害になる。

もし、数ｐとｇの片方（または両方）が、JRNSOによって秘密裏のうちに同意されるならば、二つの通信ノードがａ、ｂ、ｐと、そして／または、ｇとしてより小さな数を用いて、同等の安全性を確保することができる。ディフィ・ヘルマン（Diffie-Hellman）共有鍵は、暗号化鍵として、または、実際の暗号鍵を暗号化して送信するために用いることができる。小さな数が用いられるので、鍵導出の処理過程は計算に大きな負荷がかからず、移動体用装置に用いることができる。

図１は、本発明にしたがった、ＪＲＮＳＯビットと秘密鍵を導出するための２つの通信体を含むシステム１００（第１のノード１１０と第２のノード１５０）のブロック図である。２つの通信体のうちの１つはＷＴＲＵで、他方はＡＰであってよい。簡単のため、図１には２つだけの通信体１１０と１５０を持つ点対点通信システムが描かれている。しかしながら、本発明は２つ以上の通信体含む点対多点通信システムにも応用することもできる。ここに、第１のノードと第２のノードは、基本的には、同じ構成要素を含む同じ通信体であるが、図１においては、簡単のため、第１のノードがＪＲＮＳＯビットと暗号鍵の生成について主導権を持っていると仮定しているので、第１のノードと第２のノードに関連する構成要素だけを描いてある、という点に注意すべきである。以下に詳しく説明する。

本発明にしたがって、通信体のうちの１つが主導権を持つ。第１のノード１１０が主導権を持つと仮定する。第１のノード１１０は、チャネル推定器１１２、後処理器１１４（随意）、誤り訂正符号器１１８、同期コード生成器１２０（随意）、秘密鍵生成器１１６、および多重化器１２２を具備する。

第１のノードのチャネル推定器１１２は、第２のノード１５０からの受信信号１１１に基づきＣＩＲ推定値１１３を生成する。第２のノードのチャネル推定器１５２もまた、第１のノード１１０から送信された信号の伝播に基づきＣＩＲ推定値１５３を生成する。チャネル推定器１１２、１１５の出力はＣＩＲ推定値のディジタル化された表現である。ＣＩＲ推定値の生成にはどのような従来技術による方法を用いてもよい。例えば、ＣＩＲ推定値の生成を助けるために、通信体１１０、１５０は、他方のノードに対して、特別な信号またはパイロット系列を送ることもできる。ＣＩＲ推定値は、時間領域、周波数領域 抽象ベクトル空間を用いた表現、または同様は方法、を含む方法、またはそのほかの方法により、生成されて蓄えられてよい。ＣＩＲ推定値の生成とその表現方法は第１のノード１１０の中と第２のノード１５０の中とで同じでなければならない。

実行の方法によっては、ＣＩＲ推定値の一部の情報だけに双方性があってもよく、従って、それは共通暗号鍵の生成に適している。例えば、通信体１１０、１５０はＣＩＲ推定値の振幅対電力プロファイルの情報を利用すべく選択し、位相情報は無視してもよい。

後処理器１１４は、随意に用いられ、従来技術を用いて処理してもよい。低域通過フィルタや補間フィルタのような後処理器１１４は、雑音と冗長度を除去する。後処理器１１４は、通信体がＭＩＭＯのための複数個のアンテナを装備している場合にも必要である。従って、この場合には、アンテナ数とアンテナパターンの不一致はＣＩＲ推定値の不一致の原因になりうる。この場合には、通信体１１０、１５０はそれらのアンテナ構成に関する情報を交換し合わなければならないであろう。

チャネルの双方向性によって、第１のノード１１０と第２のノード１５０により生成されるＣＩＲ推定値は非常に似ていることが期待される。しかしながら、ＣＩＲ推定値の不一致を招く３つの主要な誤差因がある。第１に、チャネル双方向性は、チャネル推定が双方の通信体で同時に行われることを仮定している。同時性が損なわれることによってチャネル推定にいくばくかの不一致が生ずる。第２に、ディジタル化されたＣＩＲ推定値を得るには、ＣＩＲが出発時点で同期している必要があるだろう。例えば、ＣＩＲ推定値が時間領域でディジタル化されているとすれば、ＣＩＲの有意な部分の始まりが、二つの通信体１１０，１５０の零基準時刻に関して異なった点であるかもしれない点に問題がある。この問題は図２に図示されている。もう一つの例として、ＣＩＲ推定値が周波数領域で表現されて蓄積されているとすると、その蓄積パラメータを決める際に、始まりの周波数対基準位相の値に異なった値を仮定されるかもしれない。第３に、無線通信に必然的に存在する干渉によって生ずる誤差により、ＣＩＲ推定値がやはり異なってくる。

第１の誤差の要因に関しては、チャネル推定の同時性を確保するために チャネル推定のタイミングが、無線フレームやスロット境界のような特別のシステム時間に結び付けられてもよい。またその代わりとして、通信体１１０と１５０がＣＩＲ推定値を助けるために送信する信号（パイロット信号のような）の中に、同期信号を埋め込んでもよい。特別な信号を埋め込まずとも、そのようなパイロット信号から同期を得ることもできる。代替案として、全地球測位システム（ＧＰＳ）のような絶対基準時刻を基準として、チャネル推定を実行してもよい。更なる代替案として、一往復遅延を測定し、この一往復遅延をもとに同期をとってもよい。

第２の誤差の要因に関しては、ＣＩＲ推定値の出発時点が第１のノード１１０で記録され、第２のノード１５０に送信されてもよい。代替として、特別な同期コード（例えば、コンマフリーコード）が使われてもよい。同期の問題は、典型的には、２、３のサンプルにだけ限られているので、そのようなコードには限られた動作機能が要求されるだけである。共通なタイミング源（例えば、ＧＰＳ）に関係する特別な同期信号が端末によって生成され、そして、ＣＩＲ測定がそのような信号に関して行われてもよい。同期の問題は、議論としていない領域でＣＩＲを処理することにより取り扱われてもよい。例えば、もし位相情報が無視されれば、同期の問題は周波数領域には存在しないのである。

チャネルの干渉レベルによって、秘密率損失（secrecy rate loss）は大きな値になったり、または最小になることもある。例えば、非常に雑音の多いチャネルでは位相情報は非常に信頼性に乏しいであろうから、位相情報を無視することは秘密率損失を最小にすることになるであろう。

再び図１を参照する。後処理器にて処理されたＣＩＲ推定値１１５は、秘密鍵生成器１１６、誤り訂正符号器１１８、そして同期コード生成器１２０へと供給される。秘密鍵生成器１１６はＣＩＲ推定値１１５から秘密鍵１１７を生成する。これがＪＲＮＳＯビットである。

同期コード生成器１２０は、同時性を得るために同期信号／コード１２１を生成し、「開始点（起点）」に同期させる。誤り訂正符号器１１８はＣＩＲ推定値１１５に対して誤り訂正符号化を行い、パリティービット１１９を生成する。誤り訂正符号化はブロック符号化または畳み込み符号化でよい。本発明は、もとのメッセージ（すなわち、ＣＩＲ推定値１１５である符号器入力）もまた、誤り訂正符号器１１８から出力されるといった、系統的誤差訂正符号化を用いている。本発明にしたがって、パリティービット１１９だけが、同期信号／コード１２１と多重化器１２２により多重化されて、第２のノード１５０に送信される。多重化されたビットストリーム１２３は第２のノード１５０に送信される。

第２のノード１５０は、チャネル推定器１５２、同期ビット復調器１５４、パリティービット復調器１５６、後処理器１５８（随意）、同期部１６０、誤り訂正復号器１６２、そして秘密鍵生成器１６４を具備する。チャネル推定器１５２は、第１のノード１１０から送信される受信信号１５１からＣＩＲ推定値を生成する。ＣＩＲ推定値１５３は上に述べたように、必要に応じて前置処理器１５６にて処理される。同期ビット復調器１５４は受信信号１５１を復調して同期信号／コード１５５を再生する。パリティービット復調器１５６は受信信号１５１を復調してパリティービット１５７を再生する。同期信号／コード１５５は同期部１６０へ供給され、パリティービット１５７は誤り訂正復号器１６２へ供給される。後処理されたＣＩＲ１５９は同期部１６０で処理される。同期部１６０は、同期信号／コード１５５にしたがって、同時性の欠落、そして／または、開始点の設定誤りにより生ずる２つのＣＩＲ推定値の不一致を訂正する。

誤り訂正復号器１６２は誤り訂正復号を実行する。誤り訂正復号器１６２は、同期部１６０によって処理されたＣＩＲ推定値１５９を符号語のメッセージ部分として扱うが、この符号語は誤りを含んでいる可能性があり、受信したパリティービット１５７を用いて誤りを訂正する。もしブロックコードがうまく選定されていれば、誤り訂正復号器１６２の出力１６３は、第１のノード１１０によって生成されたＣＩＲ推定値と、非常に高い確率をもって、同一のものである。このようにして、第１のノード１１０と第２のノード１５０とは同じデータ系列を得ることに成功し、おなじＪＲＮＳＯビットを得ることができる。この場合、公に露出しているものはそのうちの一部分（すなわち、パリティービット）だけである。
誤り訂正復号器１６２は、ディジタル化されたＣＩＲ推定値の開始点の同期をとるサポートとして用いてもよい。第２のノード１５０は一連のＣＩＲ推定値を生成し、パリティービット１５７を用いておのおの可能性のあるＣＩＲ推定値を復号する。誤り訂正復号器１６２はそれぞれのＣＩＲ推定値の誤りの数を計数する。１つの正しいＣＩＲ推定値を除いてすべてのものが非常に高い確率で大きな訂正数を持つことになるであろう。しかし、正しいＣＩＲ推定値では、訂正数は非常に小さな値になる。このように、誤り検出復号の処理過程は開始点同期をサポートすることができる。

いったんＣＩＲ推定値が第１のノード１１０と第２のノード１５０との間に設定されると、秘密鍵生成器１６４は、第１のノード１１０によって生成される秘密鍵１１７と同じ暗号鍵１６５を生成する。

図３は、本発明にしたがった、ＪＲＮＳＯビットと無線通信のための暗号鍵を導出するための処理過程３００の流れ図である。第１のノードは第２のノードから送信された信号の伝播から１つのＣＩＲ推定値を生成し、第２のノードは第１のノードから送信された信号の伝播から１つのＣＩＲ推定値を生成する（ステップ３０２）。 第１のノードにより生成されたＣＩＲ推定値と第２のノードにより生成されたＣＩＲ推定値との不一致を訂正するために（そして、必要に応じてＣＩＲ推定値の同期を助けるために）、第１のノードはパリティービット（そして、必要に応じ同期信号／コード）を第２のノードに送信する（ステップ３０４）。パリティービットは、第１のノードで生成されたＣＩＲ推定値に誤り訂正符号化を施すことにより生成される。第２のノードは、第２のノードにより生成されたＣＩＲ推定値を、第１のノードから送られた同期信号／コード、または、上に述べたその他の方法（ステップ３０６）を用いて、第１のノードにより生成されたＣＩＲ推定値に同期させる。そして、第２のノードは、パリティービットを用いて、同期したＣＩＲ推定値に対して誤り訂正復号を実行することにより、その同期したＣＩＲ推定値と第１のノードにより生成されたＣＩＲ推定値との不一致を訂正する（ステップ３０８）。ステップ３０２−３０８は数回繰り返されてもよい。このようにして、第１のノードと第２のノードは同じＣＩＲ推定値（ＪＲＮＳＯビット）を得ることができる。そして、第１のノードと第２のノードは、同じＣＩＲ推定値から暗号鍵を生成するのである（ステップ３１０）。

図４は、本発明の一実施例に基づく、ＪＲＮＳＯビットを用いて暗号化鍵を導出するための処理過程４００を示す流れ図である。ＷＴＲＵがステップ４０２でＡＰに接続されると、無線ネットワークがサポートする認証型がＩＥＥＥ ８０２．１ｘか、ＰＳＫのいずれであるかが判断される（ステップ４０４）。もし、ＩＥＥＥ ８０２．１ｘがサポートされているならば、認証・認可・課金（ＡＡＡ）サーバとＷＴＲＵが電子認証を用いて互いに認証を行う（ステップ４０６）。認証信号伝達の一部として、ＷＴＲＵは、ＡＡＡサーバの公開鍵により暗号化した暗号をＡＡＡサーバに送信する。この暗号化した暗号は対応した暗号鍵によりＡＡＡサーバだけが暗号の復号ができるようなものにしてある。この暗号は暗号化鍵を導出するための種として用いられる。そして、ＡＡＡサーバはＡＰにその暗号を送信する（ステップ４０８）。もし、サポートされている認証型がＰＳＫであるならば、ＰＳＫがデフォルト暗号として設定される（ステップ４１０）。

ＡＰとＷＴＲＵは上文に説明した処理過程を用いてＪＲＮＳＯビットを生成する（ステップ４１２）。ＪＲＮＳＯビットは、暗号が転送された直後ではなく、暗号化鍵が生成される以前のどのステップでもよく、いつ生成されてもよいということに注意すべきである。ＡＰとＷＴＲＵはその暗号とＪＲＮＳＯビットを用いて暗号化鍵を導出する（ステップ４１４）。そして、ＡＰとＷＴＲＵは、鍵の確認と身元確認（本人確認、または同一性確認ともいう）のため、暗号化鍵の一部を交換する（ステップ４１６）。ＩＥＥＥ ８０２．１１ｉで現在行われているように、ＰＴＫとして暗号化鍵を用いることにより、グループ鍵を導出してＷＴＲＵに送信してもよい（ステップ４１８）。

暗号化鍵が用意される時までに十分なＪＲＮＳＯビットが生成されなかった場合には、ＩＥＥＥ ８０２．１１ｉ標準による処理過程を続けて実施してもよい。ステップ４０２−４１０は最初の導出に必要なのであり、暗号化鍵の更新は新しいＪＲＮＳＯビットを導出することによってのみ実行されるということを注意しなければならない。

鍵の更新のためには、ＩＥＥＥ ８０２．１ｘの場合には、新しい暗号が交換されて新しいＪＲＮＳＯビットが生成されてもよい。またはその代替として、古い暗号とＪＲＮＳＯビットが用いられてもよい。ＰＳＫの場合に得られるのはこの第２の選択肢だけである。ＪＲＮＳＯビットの認証には時経歴の情報が用いられてもよい。双方のパーティーが以前の鍵の事前に同意した部分を蓄えておいてそれを参照してもよい。攻撃者は盗んだ暗号鍵を用いても、マスタシークレットを簡単には解読できないばかりでなく、以前に導出した鍵を言い当てなければならないのである。

この処理過程では、システムの中での認証と鍵生成の役割がはっきりと分離されている。ＡＡＡサーバはクライアントの認証だけを扱うのに対して、ＡＰは鍵生成を扱っている。これは、ＡＡＡサーバが鍵生成と認証に関与しているＩＥＥＥ ８０２．１ｘとは異なっている。ＪＲＮＳＯビットによって１００分の２、３秒程度の時間ごと（チャネルの状態による）に、動的に、新しく更新された暗号化鍵を生成することができる。これは従来の技術とは異なる。従来の技術では、鍵の更新が事前にプログラムされており、暗号書記法的には更新はされず、また、新しい鍵を生成するには新しい暗号を交換しなければならない。本発明のプロセス４００にはＭＫもＰＭＫも存在しない。このように、本処理過程は従来技術と比べてより簡単である。

現在のＩＥＥＥ ８０２．１１ｉプロトコルでは、認証認定（８０２．１ｘの場合）またはＰＳＫ（ＰＳＫ認証の場合）に関する情報を得ている攻撃者は、暗号化鍵の情報を得るためには、単に信号伝達の交換を盗聴さえすればよい。これに対して本発明の方法を用いれば、認証認定（たとえば、電子認証、またはＰＳＫ）を持っている攻撃者でも、ＷＴＲＵおよびＡＰが共有するのと同じチャネルを共有していないので、暗号化鍵を導出することができなくなり、したがって、同じＪＲＮＳＯビットを作ることができない。

現行のＩＥＥＥ ８０２標準のもとでは、ＰＴＫだけが変化するだけであり、ＭＫとＰＭＫは同じままであるので、鍵の更新は暗号書記法としては本当には安全ではない。もし攻撃者がＰＭＫを推測して知っていれば、ＰＴＫは単に、ＰＭＫと、自由に交換されたランダム情報を加えただけのものであり、鍵の更新は暗号書記法的な目的には資していない。この標準のもとでは、ＭＫとそしてＰＭＫを導出するのに用いるマスタシークレットを、暗号書記法的な目的に資するようにしているので、その結果として、マスタシークレットは非常に長い（例えば、４８バイト）ものになる。このように、ＩＥＥＥ ８０２．１１ｉにおける新しい鍵をつくるには、真にランダムに導出された４８バイトもの長い数を交換する必要がある（これは資源に対して厳しいものである）。しかしながら、本発明によれば、交換される暗号はＪＲＮＳＯビットから導出される秘密鍵を認証するのに用いられるのであるので、従って、長さは総当たり攻撃に対抗できる程度の長さ（たとえば、約１６ バイト）で十分である。これにより、ＪＲＮＳＯを用いて鍵を更新する必要があるたびごとに、新たに鍵を導出することができる。本発明は、一つの長い鍵の交換と３セットの鍵（すなわち、ＭＫ、ＰＭＫ、およびＰＴＫ）の導出を行うのではなくて、一つの短い暗号の交換と１セットの鍵の導出を行うだけの、ひとつのより簡単な鍵導出の方法を提供するものである。

図５は、本発明のもう１つの実施例にしたがった、ＪＲＮＳＯビットを用いて暗号化鍵を導出するためのプロセス５００の流れ図である。プロセス５００はプロセス４００と同様である。ステップ５０２−５１２はステップ４０２−４１２と同じである。従って、簡単のためにその説明は行わない。暗号がＡＰに転送されてＪＲＮＳＯビットが生成されてから、ＡＰとＷＴＲＵはこの暗号とＪＲＮＳＯビットを用いてＰＭＫを導出する（ステップ５１４）。グループ鍵がその後に導出され、ＩＥＥＥ ８０２．１１ｉで現在行われているように、ＷＴＲＵに送信される（ステップ５１６）。

図６は、本発明のさらにもう一つの実施例にしたがった、ＪＲＮＳＯビットを用いて暗号化鍵を導出するためのプロセス６００の流れ図である。ステップ６０２でＷＴＲＵがいったんＡＰに接続されると、無線ネットワークがサポートする認証型がＩＥＥＥ ８０２．１ｘか、あるいはＰＳＫのいずれであるかが判断される（ステップ６０４）。もし、ＩＥＥＥ ８０２．１ｘがサポートされていれば、ＡＡＡサーバとＷＴＲＵが、電子認証を用いて互いに認証しあい、マスタシークレットを交換する（ステップ６０６）。ＡＡＡサーバとＷＴＲＵはマスタシークレットを用いてＭＫを導出する（６０８）。ＡＡＡサーバとＷＴＲＵは、つぎにＭＫからＰＭＫを導出し、ＡＡＡサーバはこのＰＭＫをＡＰに送信する（６１０）。もし、サポートされている認証型がＰＳＫであれば、ＰＳＫがＰＭＫとして設定される（６１１）。

ＡＰとＷＴＲＵは上述の処理過程を用いてＪＲＮＳＯビットを生成する（６１２）。ここで、ＪＲＮＳＯビットの生成は、ＰＭＫが導出された直後ではなくて、暗号化鍵の生成まえのどの段階においてできるということに注目する必要がある。鍵導出の処理過程を速めるためには、ＰＭＫ（８０２．１ｘの場合）の導出の前にそれが実行されてもよい。ＰＴＫを導出するために、４方向ハンドシェイク（4-way handshake）の処理過程中に行われてもよい。これは、システムをＰＳＫ認証と適合可能にするものである。パリティーのチェックもまた、ＰＴＫの導出以前のいつでも実行することができる。

ＡＰとＷＴＲＵはＰＭＫとＪＲＮＳＯビットを用いてＰＴＫを導出する（ステップ６１４）。ＰＴＫは下記のように導出されてよい。
ＰＴＫ＝ＰＲＦ（ＰＭＫ、自由な情報、ＪＲＮＳＯビット）
そして、ＩＥＥＥ ８０２．１１ｉで現在行われているように、グループ鍵が導出され、交換される（ステップ６１６）。

図７は、本発明のさらにもう一つの実施例にしたがった、ＪＲＮＳＯビットを用いて暗号化鍵を導出するためのプロセス７００の流れ図である。ステップ７０２でＷＴＲＵがいったんＡＰに接続されると、無線ネットワークのサポートする認証型がＩＥＥＥ ８０２．１ｘか、またはＰＳＫのいずれであるかが判断される（ステップ７０４）。本実施例では、ＰＳＫはサポートされず、 ＩＥＥＥ ８０２．１ｘだけがサポートされている。もし、ＰＳＫがネットワークにサポートされている型であれば、プロセスは終了する。もし、ＩＥＥＥ ８０２．１ｘがサポートされていれば、ＡＡＡサーバとＷＴＲＵが、事前マスタシークレットを交換し合い、ＡＡＡサーバは事前マスタシークレットをＡＰに送信する（ステップ７０６）。

ＷＴＲＵとＡＰは事前マスタシークレットとＪＲＮＳＯビットを用いてＭＫを導出する（ステップ７１０）。そして、ＷＴＲＵとＡＰはそのＭＫとＪＲＮＳＯビットを用いてＰＭＫを導出する（ステップ７１２）。ＡＰとＷＴＲＵはそのＰＭＫを用いてＰＴＫを導出する（ステップ７１４）。そして、ＩＥＥＥ ８０２．１１ｉで現在行われているように、グループ鍵が導出され交換される（ステップ７１６）。

図８は、本発明にしたがった、ディフィ・ヘルマンプロトコルを用いて暗号化鍵を導出のためのプロセス８００の流れ図である。ＷＴＲＵ８０２とＡＰ８０４は、ＡＰに対するＪＲＮＳＯ開始メッセージとＪＲＮＳＯ開始確認を交換することにより、鍵を導出するためにＪＲＮＳＯを用いることに同意をする（ステップ８１２、８１４）。ＷＴＲＵ８０２とＡＰ８０４は、相互の信号伝播からのＣＩＲ推定値に基づいて、ＪＲＮＳＯビットを生成する（ステップ８１６、８１８）。ＷＴＲＵ８０２（主導権をとる）は、生成されたＣＩＲ推定値に対して誤り訂正符号化を施すことによりパリティービットを生成し、そのパリティービットをＡＰ８０４に送信する（ステップ８２０）。ＡＰ８０４は、受信したパリティービットを用いて誤り訂正復号（逆符号化）を実行する。そして、必要に応じて、確認信号を送信する（ステップ８２２）。ステップ８１６−８２２は数回繰り返されてもよい。

ＷＴＲＵ８０２とＡＰ８０４は、ＪＲＮＳＯビットを秘密の数字ｐとｇ（ともに素数）の値にマッピングするために、ｐとｇを蓄えた事前定義参照テーブル（ＬＵＴ）を有している。たとえば、ＪＲＮＳＯ測定が５ビットの秘密データを生成したとすると、ＷＴＲＵ８０２とＡＰ８０４は素数ｐとして１６個の可能な独自の数値から１つを選択し、基数ｇとしてもう一組の１６の数値から１つを選択する。ＬＵＴの代わりに、当業者にとって自明の他の方法も用いてもよいことに注意すべきである。蓄えられている素数は大きな値でなければならないが、従来のディフィ・ヘルマンプロトコルにおける値ほど大きな値である必要はない。これは、本発明に基づくｐとｇの秘密性により、安全性がさらに一層高くなっているからである。攻撃者にモジュロ値の範囲を推測されないためには、素数は桁数として異なった値であることが好ましい。ＪＲＮＳＯビットのＬＵＴへのマッピングが公に知れたとしても、攻撃者はＪＲＮＳＯ測定の盗聴はできていないので、実際にはどの値が採用されたかは分からないであろう。

ＷＴＲＵ８０２とＡＰ８０４は、それぞれ、秘密の整数ａとｂを選択し、ｇ^aモジュロｐとｇ^bモジュロｐを互いに他に送信し、それぞれ、ｂとａを導出する（ステップ８２４、８２６）。ＷＴＲＵ８０２とＡＰ８０４は、この値を用いて共有暗号を導出する（ステップ８２８）。ＷＴＲＵ８０２とＡＰ８０４は、この共有暗号を用いて暗号化したＪＲＮＳＯ鍵を送信、または、ＪＲＮＳＯ鍵としてこの共有暗号を用いる（ステップ８８０）。

本発明の特徴と構成要素は、特別の組み合わせによる、好ましい実施形態のなかで説明されたが、おのおのの特徴または構成要素は、好ましい実施形態の中で示した、その他の特徴と構成要素を用いずに単独に、または、本発明のその他の特徴と構成要素を用いた、または用いない種々の組み合わせの中で、用いられてもよい。

２つの通信体を含むシステムが本発明にしたがって秘密鍵を導出するシステムのブロック図である。 第１のノードと第２のノードの異なった出発時刻によるＣＩＲ推定値の不一致の問題を図示している図である。 本発明にしたがって秘密鍵を導出する処理過程の流れ図である。 本発明の１つの実施例にしたがってＪＲＮＳＯビットを用い暗号鍵を導出する処理過程の流れ図である。 本発明のもう１つの実施例にしたがってＪＲＮＳＯビットを用い暗号鍵を導出する処理過程の流れ図である。 本発明の更にもう１つの実施例にしたがってＪＲＮＳＯビットを用い暗号鍵を導出する処理過程の流れ図である。 本発明の、ほかにもう１つの実施例にしたがってＪＲＮＳＯビットを用い暗号鍵を導出する処理過程の流れ図である。 本発明の１つの実施例にしたがってディフィ・ヘルマン鍵導出アルゴリズムを用い暗号鍵を導出する処理過程の流れ図である。

Claims (38)

1. 第１のノードと第２のノードとの間の無線通信を安全にするための秘密鍵を導出する方法であって、
   （ａ）前記第１のノードが、前記第２のノードから送信された信号の伝播に基づき第１のチャネルインパルス応答（ＣＩＲ）推定値を生成する工程と、
   （ｂ）前記第２のノードが、前記第１のノードから送信された信号の伝播に基づき第２のＣＩＲ推定値を生成する工程と、
   （ｃ）前記第１のノードと前記第２のノードが、前記第１のチャネルＣＩＲ推定値と前記第２のＣＩＲ推定値との不一致を訂正する工程と、
   （ｄ）前記第１のノードと前記第２のノードが、それぞれ、前記第１のＣＩＲ推定値と前記第２のＣＩＲ推定値に基づいて秘密鍵を生成する工程と、
   を含むことを特徴とする方法。
2. 前記第１のノードが前記第１のＣＩＲ推定値を後処理する工程と、
   前記第２のノードが前記第２のＣＩＲ推定値を後処理する工程と、
   をさらに含むことを特徴とする請求項１に記載の方法。
3. 請求項１に記載のステップ（ｃ）が、
   （ｃ１）前記第１のノードが、前記第１のＣＩＲ推定値の誤り訂正符号化により生成されるパリティービットを、前記第２のノードに送信する工程と、
   （ｃ２）前記第２のノードが、前記第２のＣＩＲ推定値を前記第１のＣＩＲ推定値に同期させる工程と、
   （ｃ３）前記第２のノードが、前記パリティービットを用い、同期した前記第２のＣＩＲ推定値に誤り訂正復号を実行することにより、同期した前記第２のＣＩＲ推定値と前記第１のＣＩＲ推定値との不一致を訂正する工程と、
   を含むことを特徴とする請求項１に記載の方法。
4. 前記第１のＣＩＲ推定値にブロック符号化を適用することによりパリティービットが生成されることを特徴とする請求項３に記載の方法。
5. 前記第１のＣＩＲ推定値に系統的畳み込み符号化を適用することによりパリティービットが生成されることを特徴とする請求項３に記載の方法。
6. 前記第１のノードが、同期コードを前記第２のノードに送信し、それにより前記第２のノードが、その同期コードを用いて、前記第２のＣＩＲ推定値を前記第１のＣＩＲ推定値に同期させる、ことを特徴とする請求項３に記載の方法。
7. ディフィ・ヘルマン（Diffie-Hellman）鍵導出アルゴリズムを用いて秘密鍵を生成することを特徴とする請求項１に記載の方法。
8. 前記第１のノードと前記第２のノードが、前記第１のＣＩＲ推定値と前記第２のＣＩＲ推定値を、それぞれ、ディフィ・ヘルマン鍵導出アルゴリズムに係る少なくとも一つのｐとｑの値に写像（mapping）することにより、少なくとも１つのｐおよびｑの値を選択することを特徴とする請求項７に記載の方法。
9. 無線送受信機（ＷＴＲＵ）とアクセスポイント（ＡＰ）と認証サーバとを含む無線通信ネットワークにおける、前記ＷＴＲＵと前記ＡＰとの間の無線通信を安全にするための暗号鍵を導出する方法であって、
   前記ＷＴＲＵが前記ＡＰと関連付けを得る工程と、
   ネットワークのサポートする認証型を判断するする工程と、
   もしサポートする認証型がＩＥＥＥ ８０２．１ｘであるならば、前記認証サーバと前記ＷＴＲＵとが互いに認証しあい暗号を交換する工程と、
   前記認証サーバが前記暗号を前記ＡＰに転送する工程と、
   前記ＷＴＲＵと前記ＡＰが、前記ＷＴＲＵと前記ＡＰの間のチャネルインパルス応答に基づき、他と共有されないジョイント乱数性（joint-randomness-not-shared-with-others;ＪＲＮＳＯ）ビットを生成する工程と、
   前記暗号と前記ＪＲＮＳＯビットを用いて暗号鍵を導出する工程と、
   を含むことを特徴とする方法。
10. 請求項９に記載の方法であって、さらに、
    前記ＡＰが前記暗号鍵からグループ鍵を導出する工程と、
    前記ＡＰが前記ＷＴＲＵにグループ鍵を提供する工程と、
    を含むことを特徴とする方法。
11. 請求項９に記載の方法であって、さらに、サポートされている認証型が事前共有鍵（ＰＳＫ）の場合にはＰＳＫを設定する工程を含むことを特徴とする方法。
12. 請求項９に記載の方法であって、さらに、暗号鍵を更新するため他のＪＲＮＳＯビットを生成し、新しいＪＲＮＳＯビットを用いて新しい暗号鍵を生成する工程を含むことを特徴とする方法。
13. 請求項９に記載の方法であって、さらに、前記ＷＴＲＵと前記ＡＰが、暗号鍵を確認するために暗号鍵の一部を交換する工程を含むことを特徴とする方法。
14. 暗号鍵が二つ一組の共通鍵（親鍵）（ＰＭＫ）であることを特徴とする請求項９に記載の方法。
15. 無線送受信機（ＷＴＲＵ）とアクセスポイント（ＡＰ）と認証サーバとを含む無線通信ネットワークにおける、前記ＷＴＲＵと前記ＡＰとの間の無線通信を安全にするための暗号鍵を導出する方法であって、
    前記ＷＴＲＵが前記ＡＰと関連付けを得る工程と、
    ネットワークによりサポートされる認証型を判断するする工程と、
    もしサポートされる認証型がＩＥＥＥ ８０２．１ｘであるならば前記認証サーバと前記ＷＴＲＵとが互いに認証しあいマスタシークレットを交換する工程と、
    前記認証サーバが前記マスタシークレットを前記ＡＰに転送する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記マスタシークレットから二つ一組の共通鍵（親鍵）（ＰＭＫ）を導出する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記ＷＴＲＵと前記ＡＰの間のチャネルインパルス応答に基づき、他と共有されないジョイント乱数性（ＪＲＮＳＯ）ビットを生成する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記ＰＭＫと前記 ＪＲＮＳＯビットを用いて二つ一組の臨時鍵（ＰＴＫ）を導出する工程と、
    を含むことを特徴とする方法。
16. 請求項１５に記載の方法であって、さらに、
    前記ＡＰが前記ＰＴＫからグループ鍵を導出する工程と、
    前記ＡＰが前記ＷＴＲＵへ前記グループ鍵を提供する工程と、
    を含むことを特徴とする方法。
17. 請求項１５の方法であって、さらに、サポートされている認証型が事前共有鍵（ＰＳＫ）であれば、前記ＰＭＫにＰＳＫを設定する工程を含むことを特徴とする方法。
18. 請求項１５に記載の方法であって、さらに、前記ＰＴＫを更新するために他のＪＲＮＳＯビットを生成し、新しいＪＲＮＳＯビットを用いて新しいＰＴＫを生成する工程を含むことを特徴とする方法。
19. 無線送受信ユニット（ＷＴＲＵ）とアクセスポイント（ＡＰ）と認証サーバとを含む無線通信ネットワークにおける、前記ＷＴＲＵと前記ＡＰの間の無線通信を安全にするための暗号鍵を導出する方法であって、
    前記ＷＴＲＵが前記ＡＰと関連付けを得る工程と、
    ネットワークによりサポートされた認証型を判断するする工程と、
    もしサポートされる認証型がＩＥＥＥ ８０２．１ｘであるならば、前記認証サーバと前記ＷＴＲＵとが互いに認証しあい事前マスタシークレットを交換する工程と、
    前記認証サーバが前記事前マスタシークレットを前記ＡＰに転送する工程と
    前記ＷＴＲＵと前記ＡＰが、前記ＷＴＲＵと前記ＡＰの間のチャネルインパルス応答に基づき、他と共有されないジョイント乱数性（ＪＲＮＳＯ）ビットを生成する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記事前マスタシークレットと前記 ＪＲＮＳＯビットを用いて共通鍵（親鍵）を導出する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記共通鍵（親鍵）と前記ＪＲＮＳＯビットを用いて二つ一組の共通鍵（親鍵）（ＰＭＫ）を導出する工程と、
    前記ＷＴＲＵと前記ＡＰが、前記ＰＭＫと前記ＪＲＮＳＯビットを用いて二つ一組の臨時鍵（ＰＴＫ）を導出する工程と、
    を含むことを特徴とする方法。
20. 請求項１９に記載の方法であって、さらに
    前記ＡＰが前記ＰＴＫからグループ鍵を導出する工程と、
    前記ＡＰが前記ＷＴＲＵへ前記グループ鍵を提供する工程と、
    を含むことを特徴とする方法。
21. 第１のノードと第２のノードとの間の無線通信を安全にするための秘密鍵を導出するシステムであって、
    前記第２のノードにより送信された信号の伝播から第１のチャネルインパルス応答（ＣＩＲ）推定値を生成するための第１のチャネル推定器と、
    前記第１のＣＩＲ推定値に誤り訂正符号化を実行することによりパリティービットを生成する誤り訂正符号器と、
    同期コードを生成するための同期コード生成器と、
    前記第１のＣＩＲ推定値から秘密鍵を生成するための秘密鍵生成器と、
    を備える前記第１のノード、および
    前記第１のノードにより送信された信号の伝播から第２のＣＩＲ推定値を生成するための第２のチャネル推定器と、
    前記パリティービットを再生するためのパリティービット復調器と、
    同期コードを再生するための同期ビット復調器と、
    前記第１のＣＩＲ推定値と前記第２のＣＩＲ推定値を同期させる同期部と、
    前記第１のＣＩＲ推定値と、前記パリティービットに同期した前記第２のＣＩＲ推定値との不一致を取り除くため、前記パリティービットに同期した前記第２のＣＩＲ推定値に誤り訂正復号を実行する誤り訂正復号器と、
    前記不一致を取り除いた後に前記第２のＣＩＲ推定値から秘密鍵を生成するための秘密鍵生成器と、
    を備える第２のノード、
    を備えることを特徴とするシステム。
22. 前記第１のノードが、さらに前記第１のＣＩＲ推定値を後処理するための第１の後処理器を備え、
    前記第２のノードが、さらに前記第２のＣＩＲ推定値を後処理するための第２の後処理器を備えることを特徴とする請求項２１に記載のシステム。
23. 前記誤り訂正符号器が、前記第１のＣＩＲ推定値にブロック符号化を適用するためのブロック符号器であることを特徴とする請求項２１に記載のシステム。
24. 前記誤り訂正符号器が、前記第１のＣＩＲ推定値に系統的畳込み符号化を適用するための系統的畳込み符号器であることを特徴とする請求項２１に記載のシステム。
25. ディフィ・ヘルマン鍵導出アルゴリズムを用いて前記秘密鍵が生成されることを特徴とする請求項２１に記載のシステム。
26. 前記第１のノードと前記第２のノードが、前記第１のＣＩＲ推定値と前記第２のＣＩＲ推定値を、不一致を取り除いた後に、それぞれ、ディフィ・ヘルマン鍵導出アルゴリズムに係る、少なくとも１つのpとｑの値にマッピングすることにより、少なくとも１つのpおよびqの値を選択することを特徴とする請求項２５に記載のシステム。
27. 無線通信を安全にするために暗号鍵を導出するシステムであって、
    認証サーバと暗号を交換し、
    無線送受信機（ＷＴＲＵ）とアクセスポイント（ＡＰ）との間のチャネルインパルス応答（ＣＩＲ）推定値に基づき、他と共有されないジョイント乱数性（ＪＲＮＳＯ）ビットを生成し、
    前記暗号と前記ＪＲＮＳＯビットを用いて暗号鍵を導出する、
    ように構成された前記ＷＴＲＵと、
    前記暗号を前記ＷＴＲＵと交換し、前記暗号を前記ＡＰに送信する、
    ように構成された前記認証サーバと、
    前記ＷＴＲＵと前記ＡＰとの間のＣＩＲ推定値に基づきＪＲＮＳＯビットを生成し、
    前記暗号と前記ＪＲＮＳＯビットを用いて前記暗号鍵を導出する
    ように構成された前記ＡＰと、
    を備えることを特徴とするシステム。
28. 前記ＡＰが、前記暗号鍵からグループ鍵を導出し、前記グループ鍵を前記ＷＴＲＵに提供するように構成されたことを特徴とする請求項２７に記載のシステム。
29. サポートされている認証型がＩＥＥＥ ８０２．１ｘであることを特徴とする請求項２７に記載のシステム。
30. サポートされている認証型が事前共有鍵（ＰＳＫ）であり、それにより前記ＰＳＫが暗号に設定されることを特徴とする請求項２７に記載のシステム。
31. 前記ＷＴＲＵと前記ＡＰが、さらに、前記暗号鍵を確認するために前記暗号鍵の一部を交換するように構成されたことを特徴とする請求項２７に記載のシステム。
32. 前記暗号鍵が二つ一組の共通鍵（親鍵）（ＰＭＫ）であることを特徴とする請求項２７に記載のシステム。
33. 無線通信を安全にするために暗号鍵を導出するシステムであって、
    マスタシークレットを認証サーバと交換し、
    無線送受信機（ＷＴＲＵ）とアクセスポイント（ＡＰ）との間のチャネルインパルス応答（ＣＩＲ）推定値に基づき、他と共有されないジョイント乱数性（ＪＲＮＳＯ）ビットを生成し、
    前記マスタシークレットと前記ＪＲＮＳＯビットを用いて二つ一組の共通鍵（親鍵）（ＰＭＫ）を導出し、
    前記ＰＭＫと前記ＪＲＮＳＯビットを用いて二つ一組の臨時鍵（ＰＴＫ）を導出する、
    ように構成された前記ＷＴＲＵと、
    前記マスタシークレットを前記ＷＴＲＵと交換し、前記マスタシークレットを前記ＡＰに送信する、
    ように構成された前記認証サーバと、
    前記ＷＴＲＵと前記ＡＰの間のＣＩＲ推定値に基づきＪＲＮＳＯビットを生成し、
    前記マスタシークレットと前記ＪＲＮＳＯビットを用いて前記ＰＭＫを導出し、
    前記ＰＭＫと前記ＪＲＮＳＯビットを用いて前記ＰＴＫを導出する、
    ように構成された前記ＡＰと、
    を備えることを特徴とするシステム。
34. 前記ＡＰが、
    前記ＰＴＫからグループ鍵を導出し、
    前記グループ鍵を前記ＷＴＲＵに提供するように構成された、
    ことを特徴とする請求項３３に記載のシステム。
35. サポートされている認証型がＩＥＥＥ ８０２．１ｘであることを特徴とする請求項３３に記載のシステム。
36. サポートされている認証型が事前共有鍵（ＰＳＫ）であり、それにより前記ＰＳＫが前記ＰＭＫに設定されることを特徴とする請求項３３に記載のシステム。
37. 無線通信を安全にするために暗号鍵を導出するシステムであって、
    事前マスタシークレットを認証サーバと交換し、
    無線送受信機（ＷＴＲＵ）とアクセスポイント（ＡＰ）との間のチャネルインパルス応答（ＣＩＲ）推定値に基づき、他と共有されないジョイント乱数性（ＪＲＮＳＯ）ビットを生成し、
    前記事前マスタシークレットと前記ＪＲＮＳＯビットから共通鍵（親鍵）を導出し、
    前記共通鍵（親鍵）と前記ＪＲＮＳＯビットを用いて二つ一組の共通鍵（親鍵）（ＰＭＫ）を導出し、
    前記ＰＭＫと前記ＪＲＮＳＯビットを用いて二つ一組の臨時鍵（ＰＴＫ）を導出する、
    ように構成された前記ＷＴＲＵと、
    前記事前マスタシークレットを前記ＷＴＲＵと交換し、
    前記事前マスタシークレットを前記ＡＰに送信する、
    ように構成された前記認証サーバと、
    前記ＷＴＲＵと前記ＡＰの間のＣＩＲ推定値に基づきＪＲＮＳＯビットを生成し、
    前記事前マスタシークレットと前記ＪＲＮＳＯビットを用いて前記共通鍵（親鍵）を導出し、前記共通鍵（親鍵）と前記ＪＲＮＳＯ ビットを用いて前記ＰＭＫを導出し、
    前記ＰＭＫと前記ＪＲＮＳＯ ビットを用いて前記ＰＴＫを導出する、
    ように構成された前記ＡＰと、
    を備えることを特徴とするシステム。
38. 前記ＡＰが、前記ＰＴＫからグループ鍵を導出し、 前記グループ鍵を前記ＷＴＲＵに提供するように構成されたことを特徴とする請求項３７に記載のシステム。

Images