JP2008541633A - プライバシーが強化された電子パスポートの認証プロトコル - Google Patents

Abstract

生体データのような秘密性のデータの暗号化方法、及び参照値と比較させるために上記暗号鍵をパスポートから認証者に転送する方法を提供するパスポート認証プロトコル。暗号による結びつけは、デジタル署名された認証データと個人の生体データとからなる。メッセージが秘密性の情報（生体データ）を含む第１部分（Ｍ１）と、公に入手可能な情報を含む第２部分（Ｍ２）とに分割されている楕円曲線暗号システムを提案する。Ｍ１は、セッション暗号鍵によって暗号化され、Ｍ２と結合されて、セキュアなハッシュ関数によってハッシュされる。そして、ＲＦＩＤタグを介して、公開鍵の証明書を含む署名要素と共に他の装置（読取装置）に伝達される。装置は、検査を行って上記公開鍵を有効にし、上記セッション暗号鍵を演算してＭ１の生体データを解読する。ゆえに、復元された生体データからパスポートの所有者が認証される。

Description

発明の詳細な説明

本発明は、パスポートや身分証明書のような文書に含まれる、秘密性の情報へのアクセスを制限するプロトコルに関する。

〔発明の分野〕
現在のパスポートのセキュリティ技術は、パスポートに写真を付すことによって、個人の識別を行うものである。

上記の識別方法は、写真を異なるものに差し替えることが比較的容易であることから、暗号方式ほど強力な方法とは言えない。また、写真は、国境管理検査官によって、旅行者の顔と人為的に比較されるが、これはいくつかの問題点を有している。

そこで、セキュリティを強化するために、文書に付したチップに生体データ（biometric data）を記録して、検査のときに読み出せるようにした、機械読み取り可能なパスポートや身分証明書が提案されてきた。一般的な生体データとしては、虹彩のスキャン、指紋、所有者の顔の画像が挙げられる。

国際民間航空機関（ＩＣＡＯ）は、機械読み取り可能な旅行用文書（Machine Readable Travel Documents : ＭＲＴＤ）を提案している。ＭＲＴＤは、国境制御局（border control station）にて、暗号で個人の識別情報（例えば名前や国籍）と個人の生体データとを結びつけることによって、個人を認証する電子パスポートシステムである。

暗号による結びつけは、識別情報及び個人の生体データへのデジタル署名によってなされる。署名された識別情報と生体データとは、パスポートからパスポート読取装置に伝達される。署名によって個人の識別と生体の識別とがつながることになり、パスポートの模造は暗号的に非常に難しくなる。しかしながら、各個人の生体データが不注意で他者に入手されないように、厳重に注意しなければならないという問題も生じる。

本発明は、権限を有していない者が、パスポートのような文書から、生体データや、その他の秘密性の情報を取得することをより困難にすることによって、上記の問題点を回避あるいは軽減することを目的としている。

〔図面の簡単な説明〕
以下では、本発明の実施形態について、添付の図面を参照して説明する。

図１は、パスポート検査局の概要を示す図である。

図２は、パスポート及び読取装置の概略構成を示す図である。

図３は、上記検査局内で行われるデータ交換を示す図である。

〔発明の詳細な説明〕
図１に示すように、パスポート１０は、チップ１２、及びアンテナ１６を備える無線認証（Radio Frequency Identification : ＲＦＩＤ）タグ１４を含む構成である。読取装置２０は、アンテナ１６と通信するためのアンテナ２２、及びパスポート１０の所有者から参照入力（reference input）を取得するためのスキャナ２４を備えている。上記参照入力は、リアルタイムに指紋読み取り、虹彩読み取り、または顔の画像を取得することで得られるものであればよい。また、読取装置２０は、パスポート１０及びスキャナ２４から受け取ったデータの処理を行い、処理の結果をスクリーン２８に表示させるデータ処理エンジン２６を含む。入力装置３０は、キーボードやマウス等のような、ユーザの入力を受け付けるものを含む。

図２に示すように、チップ１２は、生体データと、名前、国籍、誕生日のような個人情報とを記憶するメモリ３２を含む。メモリ３２は、不正操作ができないようになっており、暗号部３４及びアンテナタグ１４に接続しているデータ伝達ネットワーク３６と通信するようになっている。メモリ３２は、定義された方法による一連の処理をプロセッサ３８に実行させるためのコンピュータ読み取り可能な命令を含むデータ担持体によって構成されている。なお、上記の命令がプロセッサ３８にファームウェアとして直接埋め込まれていてもよいし、利用できるのであれば、移動可能な媒体を上記データ担持体として用いてもよい。

暗号部３４は、暗号の演算を実行する演算プロセッサ３８と、秘密鍵及び証明書を記憶するセキュアなメモリ４０と含む。なお、基になる暗号システムは、楕円曲線暗号システム（elliptic curve cryptosystem）であることが好ましい。暗号部３４は、曲線や、有限のフィールドグループの要素である上記曲線上のポイントのジェネレータＧといった、元になる暗号システムのパラメータを含み、パスポートの公開鍵Ｑにアクセス可能なアクセス経路を有している。なお、以下に示す例において、グループオペレーションの追加の表記（additive notation of the group operation）は、楕円曲線暗号システムが使用されることを想定して使用している。しかしながら、上記処理は、他の公開鍵暗号方式に適用できるように、乗数表記（multiplicative notation）を用いて記述されていてもよい。

好ましい実施形態において、メモリ４０は、長期の署名秘密鍵（long term private signing key）ｄ、それに対応する長期公開鍵Ｑ＝ｄＧ、及びパスポートの発行者のような証明書の権限を有する者が発行した、公開鍵Ｑを証明する証明書ＣｅｒｔＱを含む。プロセッサ３８は、ポイント追加、鍵の導出、及びハッシュ関数のような暗号処理を行うことができる。また、暗号部３４は、セッション公開鍵に用いられる整数を生成するための、乱数生成部（Random Number Generator : ＲＮＧ）４２を備えている。

また、読取装置２０のデータ処理エンジン２６は、乱数生成部５２及び演算プロセッサ５４を含む暗号部５０を備えている。

オペレーションを行うときには、スキャナ２０は、ＲＦＩＤタグ１４を介してチップ１２を起動させることによって、メッセージの移動を開始する。メッセージＭは、アセンブルされて（assembled）パスポート処理のために必要なデータが構築される。そして、生体データ、所有者の氏名、国籍、及び誕生日と共に、所有者の公開鍵の証明書であるＣｅｒｔＱの認証が行われる。ここで用いられるデータは、パスポートの制御に必要なデータに依存する。

メッセージＭは、第１の部分Ｍ_１と第２の部分Ｍ_２との２つの部分に分けられる。生体データのような秘密性が保たれる必要のある秘密性のデータは、メッセージ部分Ｍ_１に含められ、発行国やビザのような、より機密性の低い、または公に入手可能なデータは、メッセージ部分Ｍ_２に含められる。

ランダムな数字ｋは、ＲＮＧ４２によって生成され、セッション秘密鍵または短期秘密鍵（ephemeral private key）として利用される。そして、Ｒ＝ｋＱの値が計算される。Ｒの値は、プロセッサ３８がセッション暗号鍵ｅを得るために実行される鍵導出関数（key derivation function : ＫＤＦ）に用いられる。なお、適当なＫＤＦであれば、どのようなものでも利用することができ、典型的には、セキュアなハッシュ関数を用いることができる。

メッセージの第１の部分Ｍ_１は、予め定めた冗長性のレベルが確認される。条件を満たさない場合には、データが追加される。セッション暗号鍵ｅは、メッセージの第１の部分Ｍ_１を暗号化して暗号文Ｃを生成するために使用される。次に、暗号文Ｃは、ｈの値を得るためのセキュアなハッシュ関数Ｈ、すなわちｈ＝Ｈ（Ｃ／Ｍ_２）を用いることによって、連結及びハッシュされて、メッセージの第２の部分Ｍ_２と結合される。

次に、ｓ＝ｋ＋ｄｈ ｍｏｄ ｎとの関係式を用いて、署名要素（signature component）ｓが、計算される。ｎは、ジェネレータＧの位数（order of the generator G）である。

続いて、署名要素ｓ、メッセージＭ_２の公開部分（public part）（公開鍵Ｑの証明書を含む）、及び暗号文Ｃを含むデータがＲＦＩＤタグ１４を介して送信される。

読取装置２０は、上記データを取得すると、初めに上記証明書にて公開鍵Ｑを検査する。次に、読取装置２０は、Ｖ＝ｓＧ−ｈＱの値を計算すると共に、ＲＮＧ５２にセッション秘密鍵ｂを生成させる。続いて、セッション公開鍵Ｕ＝ｂＶが計算されて、ＲＦＩＤ接続を介してチップ１２に送られる。チップ１２は、ポイントＵが上記曲線上にあることを確認すると、上記公開鍵を有効化し、さらに公開鍵Ｗ＝ｄＵを生成して読取装置２０に返送する。

次に、読取装置は、セッション秘密鍵ｂを用いてＲの値、すなわち（ｂ^−１ ｍｏｄ ｎ）Ｗを計算し、続いてＫＤＦを用いてｅの値を求める。計算されたｅの値を用いることにより、暗号文Ｃは解読され、メッセージの部分Ｍ_１に含まれる生体データが元の状態に戻る。そして、元の状態に戻ったデータの冗長性が検査され、要求されるレベルを超えている場合には受理される。

続いて、上記元の状態に戻ったデータは、スキャナが取得した参照データと比較されて、パスポートの所有者の認証が行われる。

メッセージと暗号化された生体データとを分離することにより、盗聴に遭ったとしても秘密性は保たれる。

上述の署名方法は、署名者（signer）にとって非常に効率がよい。Ｒ＝ｋＱの計算は予め行っておくことができ、また予め計算された複数の固定値Ｑの補助を受けてもよい。署名者にとって最もコストのかかるステップは、Ｗ＝ｄＵを計算するステップである。

また、データ交換は、読取装置２０の認証を行うことによってより強化される。このようにすることにより、署名者は、証明者（verifier）と通信するか否かを選択することができる。理想的には、証明者は、デジタル署名や、対称鍵システムによって、署名者に対し、自らを認証するようにするべきである。このようにすることにより、署名者は、メッセージ部分Ｍ_１を誰に公開するかを制御することができる。これは、最初のデータ交換の前、またはＷの値が伝達される前のデータ交換中に行うことができる。

署名の計算コストが高すぎる場合には、以下のような修正が可能である。証明者は、ｂ＝１に設定し、続いてＷ＝Ｒに設定する。Ｒは、署名生成時に既に計算済みである。Ｍ_１の秘密性を保つために、この代替法では、証明者にＲを秘密裏に伝達できるようにする必要がある。特に、受動的な盗聴者（passive eavesdroppers）にＲを傍受されないようにする必要がある。これは、弱いＲＦ信号や、電子パスポートの基本接続制御暗号システムのような何らかの形態の暗号、といった物理的な手段によって達成可能である。

Ｒの計算に所有者の公開鍵Ｑを利用することにより、所有者が居なければ署名の照合は行われない。特に、暗号文Ｃは、所有者の承認がなければ解読されない。

なお、証明者は、一度Ｒを復元した後はｄＱを演算することができ、これにより相互に検査処理を行わずに、署名からメッセージを復元することができる。

パスポート検査ステーションの概要を示す図である。 パスポート及び読取装置の概略構成を示す図である。 上記ステーション内で行われるデータ交換を示す図である。 上記ステーション内で行われるデータ交換を示す図である。

Claims (29)

1. 一組の通信端末間で秘密性を保った状態で情報の伝達を行う方法であって、
   上記通信端末の一方が、上記の情報を含む第１の部分Ｍ１を含むメッセージ、及び有限フィールドで定義された暗号システムにて使用される上記通信端末の一方の長期公開鍵Ｑを含む第２の部分Ｍ２を集めるステップと、
   セッション秘密鍵及び上記一方の通信端末の公開鍵Ｑから暗号鍵ｅを生成するステップと、
   上記第１の部分Ｍ１を上記暗号鍵ｅで暗号化して暗号文Ｃを得るステップと、
   上記暗号文Ｃと上記第２の部分Ｍ２とを結合させて、上記一方の通信端末の署名要素ｓを取得するステップと、
   上記署名要素ｓ、暗号文Ｃ、及び第２の部分Ｍ２を他の通信端末に送るステップとを含むことを特徴とする方法。
2. 上記他の通信端末は、上記署名、暗号文、及び第２の部分Ｍ２を利用して、セッション公開鍵と、それに対応する秘密鍵とを取得し、
   上記セッション公開鍵を上記一方の通信端末に送ることを特徴とする請求項１に記載の方法。
3. 上記一方の通信端末は、上記セッション公開鍵を利用してさらに公開鍵を生成し、該生成した公開鍵を上記他の通信端末に送ることを特徴とする請求項２に記載の方法。
4. 上記他の通信端末は、上記さらに生成された公開鍵を用いて暗号鍵ｅを復号し、上記暗号文Ｃから上記情報を得ることを特徴とする請求項３に記載の方法。
5. 上記暗号文及び第２の部分Ｍ２は、ハッシングによって結合されることにより、ハッシュｈが取得されていることを特徴とする請求項１に記載の方法。
6. 上記署名要素ｓは、上記一方の通信端末の長期秘密鍵ｄ、セッション秘密鍵ｋ、及び上記ハッシュｈの組み合わせによって得られるものであることを特徴とする請求項５に記載の方法。
7. 上記セッション秘密鍵ｋは、上記暗号鍵ｅを生成するために使用されることを特徴とする請求項６に記載の方法。
8. 上記セッション鍵ｋと上記公開鍵とが結合されることにより、上記暗号鍵ｅが取得されていることを特徴とする請求項７に記載の方法。
9. 上記公開鍵は、上記長期秘密鍵ｄから導出されるものであることを特徴とする請求項８に記載の方法。
10. 上記署名要素ｓは、ｓ＝ｋ＋ｄｈ ｍｏｄ ｎ との関係式から得られるものであり、
    上記ｎは、上記暗号システムに用いられるグループの要素からなるジェネレータＧの位数であることを特徴とする請求項９に記載の方法。
11. 上記他の通信端末は、セッション秘密鍵ｂを生成し、
    上記セッション秘密鍵と、上記署名要素ｓ、暗号文Ｃ、及び第２の部分Ｍ２から得たＶの値とを組み合わせて上記セッション公開鍵を生成することを特徴とする請求項２に記載の方法。
12. 上記Ｖの値は、Ｖ＝ｓＧ−ｈＱの関係から求められるものであり、
    上記Ｇは、上記暗号システムに用いられるグループの要素のジェネレータであり、
    上記ｈは、上記暗号文Ｃ及び第２の部分Ｍ２のハッシュであることを特徴とする請求項１１に記載の方法。
13. 上記セッション公開鍵は、上記一方の通信端末に送られて上記長期秘密鍵ｄと結合されることにより、さらに公開鍵が生成されることを特徴とする請求項１１に記載の方法。
14. 上記さらに生成された公開鍵は、上記他の通信端末に送られて上記セッション秘密鍵ｂと結合され、上記暗号鍵ｅが得られることを特徴とする請求項１３に記載の方法。
15. 上記暗号鍵ｅは、上記セッション秘密鍵ｂと上記さらに生成された公開鍵との組み合わせに対して鍵導出関数を適用することによって得られることを特徴とする請求項１４に記載の方法。
16. 通信端末としての機械読み取り可能な旅券（ＭＲＴＤ）に含まれる秘密性の情報の秘密性を保つ方法であって、
    上記通信端末の公開鍵から暗号鍵ｅを生成すると共に、上記秘密性の情報を暗号化して暗号文Ｃを得るステップと、
    検査を行うために、上記暗号文を機械に送るステップと、
    上記機械の短期秘密鍵ｂと上記暗号文とから得られた短期公開鍵を上記機械から受け取るステップと、
    上記暗号文から上記秘密性の情報を復号することを可能にする追加の情報を上記機械に返すことにより、上記通信端末の識別情報の認証を行うために、上記秘密性の情報と上記通信端末から直接に得られたデータとを比較することを可能にするステップとを含むことを特徴とする方法。
17. 上記秘密性の情報は、生体データであることを特徴とする請求項１６に記載の方法。
18. 上記追加の情報は、上記暗号鍵ｅの復号を可能にする情報であることを特徴とする請求項１７に記載の方法。
19. 上記短期公開鍵は、上記追加の情報を生成するために用いられることを特徴とする請求項１８に記載の方法。
20. 上記暗号鍵ｅは、上記通信端末の長期公開鍵Ｑ及び上記ＭＲＴＤによって生成されたセッション秘密鍵ｋから得られたＲの値から導出されることを特徴とする請求項１９に記載の方法。
21. 上記追加の情報により、上記機械が上記Ｒの値を計算することができるようになり、これにより上記暗号鍵ｅが導出されることを特徴とする請求項２０に記載の方法。
22. 上記長期公開鍵Ｑは、対応する長期秘密鍵ｄを有し、
    上記追加の情報は、上記長期秘密鍵ｄと上記短期公開鍵との組み合わせによって得られることを特徴とする請求項２１に記載の方法。
23. 上記短期公開鍵は、上記追加の情報を生成する前に、上記ＭＲＴＤによって有効化されることを特徴とする請求項２２に記載の方法。
24. 上記短期公開鍵は、上記暗号文のハッシュとしての上記暗号文と、
    上記公開鍵を含む公に入手可能な情報とを含むことを特徴とする請求項１９に記載の方法。
25. 上記短期公開鍵は、さらに上記通信端末の長期秘密鍵と上記ＭＲＴＤが生成したセッション秘密鍵とを結びつける署名要素ｓと上記ハッシュとを含むことを特徴とする請求項２３に記載の方法。
26. 暗号処理を実行する演算プロセッサと短期セッション鍵を生成する乱数生成部とを含む暗号部と、秘密性の情報をセキュアな方法で記憶するメモリとを備えるＭＲＴＤであって、
    上記プロセッサは、請求項１から１６の何れか１項に記載の方法の処理を実行することを特徴とするＭＲＴＤ。
27. 暗号処理を実行する演算プロセッサと短期セッション鍵を生成する乱数生成部とを含む暗号部と、秘密性の情報をセキュアな方法で記憶するメモリとを備えるＭＲＴＤであって、
    上記プロセッサは、請求項１７から２５の何れか１項に記載の方法の処理を実行することを特徴とするＭＲＴＤ。
28. １組のコンピュータ読み取り可能な命令を含むデータ担持体であって、
    コンピュータプロセッサによって実行された場合に、請求項１から１６の何れか１項に記載の方法の処理を実行することを特徴とするデータ担持体。
29. １組のコンピュータ読み取り可能な命令を含むデータ担持体であって、
    コンピュータプロセッサによって実行された場合に、請求項１６から２５の何れか１項に記載の方法の処理を実行することを特徴とするデータ担持体。

Images