JP2009296576A - ブロードキャストのメッセージを認証する方法および装置 - Google Patents

Abstract

【課題】 比較的小さなビット数しか利用できない環境においてもブロードキャストメッセージの認証を実行することが可能な方法を提供する。
【解決手段】 本発明において、ユーザ装置ＵＥへ送信されるべきブロードキャストメッセージを認証する方法であって、ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、署名局とユーザ装置ＵＥとの間で共有されるマスター鍵ＭＫを使用してそれに基づいて、認証されるべきメッセージに署名するための署名鍵を導出するステップと、署名鍵によって認証されるべきメッセージに署名し、その署名をユーザ装置ＵＥによって検証するステップとを含む方法が提供される。マスター鍵ＭＫは、定期的に更新され、マスター鍵ＭＫは、暗号鍵Ｖｋｉを用いて暗号化された形で署名局からユーザ装置ＵＥへ送信され、暗号鍵は、マスター鍵を送信するネットワークとユーザ装置との間で共有される秘密鍵である。
【選択図】 図３

Description

本発明はブロードキャストメッセージを認証するための方法および装置に関する。

地震津波警報システムＥＴＷＳ（Earthquake and Tsunami Warning System）は、日本の地震津波警報システムに対して重要である要件に制約された公的警報システムＰＷＳ（public warning system）の一部である。

こうした種類のＥＴＷＳ警報システムには、次のような２つの主な脅威がある。
１）警報メッセージのなしすまし。これはアタッカが偽の警報メッセージを送信する脅威である。
２）警報メッセージが遅れてリプレイされること。
アタッカは、ユーザの“緊急行動”を引き起こすためにこれら両方を使用することが可能であり、従ってユーザのセキュリティ／安全性が危険にさらされることになる。

ここで問題は、ブロードキャスト（同報）されるメッセージが限られた長さ（ビット数）しか持たず、従ってセキュリティまたは認証を確保するために使用することができる情報量が限られているということである。

そこで、本発明の課題は、利用可能なビット数が比較的小さな環境においても認証を実現することにある。本発明の更なる課題は、どのようにしてあるシークレットを署名局（signing authority）とユーザ装置ＵＥ（user equipment）との間で共有して、共有されたシークレットによって作成された署名が数十ビット程度に過ぎない比較的小さな場合でも、セキュリティを最大にするかにある。

本発明は、上記課題を解決するための手段として、ユーザ装置へ送信されるべきブロードキャストメッセージを認証する方法を提供する。
本方法は、ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、そのマスター鍵に基づいて、認証されるべきメッセージに署名するための署名鍵を導出するステップと、
前記署名鍵によって認証されるべきメッセージに署名し、その署名を前記ユーザ装置によって検証するステップとを含み、
前記マスター鍵は、定期的に更新され、かつ、
前記マスター鍵は、暗号鍵を用いて暗号化された形で前記署名局から前記ユーザ装置へ送信され、前記暗号鍵が、送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である。

マスター鍵を定期的に更新し、この更新されたマスター鍵をユーザ装置へ暗号化された形で送信することにより、システムは署名鍵を変更し続け、その結果、システムへの攻撃をより困難にすることができる。

本方法において、前記ユーザ装置がそのホームネットワーク内に存在する場合には、前記暗号鍵は、前記ユーザ装置のホームネットワーク内の信頼できるノードと前記ユーザ装置との間で共有されるホーム鍵であり、
前記ユーザ装置が訪問先ネットワーク内に存在する場合には、前記暗号鍵は、前記ユーザ装置の前記ホーム鍵に基づいて導出された鍵である。

これより、ユーザ装置が信頼できるノードとシークレットを共有しないような区域外ネットワーク内（foreign network）にそのユーザ装置が存在する場合でも、マスター鍵をユーザ装置へ安全な形で配送（あるいは配信）することができる。

本方法において、前記ユーザ装置が前記訪問先ネットワーク内に存在する場合には、前記暗号鍵は、前記ホーム鍵と前記訪問先ネットワークの識別子とに基づいて導出される。

こうして、マスター鍵を暗号化した状態で配送するための、訪問先ネットワークに特有の鍵（暗号鍵）が作成されることになる。

本方法において、前記マスター鍵は、第１の時間間隔（Ｔ）で定期的に更新されるとともに前記ユーザ装置に送信され、
前記署名鍵は、前記第１の時間間隔（Ｔ）より短い第２の時間間隔（ｔ）で定期的に更新される。

２つの時間間隔、すなわち、マスター鍵を更新するための第１の時間間隔と署名鍵を更新するための第２の時間間隔を設定することにより、セキュリティが更に高まり、攻撃は更に困難になる。

本方法において、前記署名鍵は、前記マスター鍵または前記マスター鍵から導出された入力に鍵導出関数（key derivation function）を繰り返し適用することによって繰り返し更新される。

これにより、署名鍵は、同じ鍵導出関数を使用する場合において、反復または繰り返し作成することができる。

本方法において、（一連の第２の時間間隔の中の）ある第２の時間間隔における前記署名鍵は、前記マスター鍵と１つ前の第２の時間間隔の署名鍵とに基づく入力に前記鍵導出関数を適用することによって導出される。

これにより、署名鍵の反復作成が可能となり、その結果、どんな攻撃も実行することは極めて困難になる。

本方法において、前記第２の時間間隔は、（一連の第２の時間間隔の中の）ｎ番目の時間間隔がｔｎと表されるようにインデックスが付けられており、前記ユーザ装置における前記署名の検証は、現在有効な第２の時間間隔ｔｎの間だけでなく、（その前後の）１以上の近隣の時間間隔の間においても実行される。

これにより、ユーザ装置のクロックが完全に正確でなく、そのために実際の時間間隔（のインデックｔｎ）を正確に決定することができない場合であっても、ユーザ装置による検証を行うことができる。

本方法において、現在有効な第２の時間間隔（ｔ）のインデックスが、前記マスター鍵と一緒に前記署名局から前記ユーザ装置へ送信される。

このようにして、ユーザ装置は現在アクティブな第２の時間間隔（ｔ）に“同期”することができる。

本方法は、２つのページングメッセージを同じ時間スロット上に多重化するステップを更に含み、前記２つのページングメッセージのうちの１つは、現在のマスター鍵Ｍ（Ｔ）を使用しているものであり、もう１つは、まだ更新されていないもの、すなわち、１つ前のマスター鍵Ｍ（Ｔ−１）を使用しているものであり、これらのページングメッセージの各メッセージは、２つの異なる鍵から導出されたそれぞれの有効な署名を搬送するものである。

このようにして、時間間隔Ｔの同期を実行することができる。

本方法は、次の時間スロットへ進むことを合図する信号を前記ユーザ装置または前記ユーザ装置内における保護された環境に送信するステップを更に含む。

これは、ユーザ装置が実際の時間スロットを決定することが不可能な場合に有用となると考えられる。

本方法において、前記ユーザ装置は署名を検証する試行回数に対して頻度制限（rate limitation）を実行する、かつ／または、
前記ユーザ装置は、クロック超過（over-clocking）を検出する動作を実行する。

これにより、システムのセキュリティが更に向上する。

本方法において、前記マスター鍵は、ブロードキャストグループ、すなわちページンググループ（paging group）に依存するものである。

これにより、システムのセキュリティが更に向上する。

本発明は、上記課題を解決するための手段として、ユーザ装置へ送信されるべきブロードキャストメッセージを認証する装置を提供する。
本装置は、ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、そのマスター鍵に基づいて、認証されるべきメッセージに署名するための署名鍵を導出するためのモジュールと、
前記署名鍵によって認証されるべきメッセージに署名して、前記ユーザ装置がその署名を検証することができるようにするためのモジュールと、
前記マスター鍵を定期的に更新するためのモジュールと、
暗号鍵を用いて暗号化した形で、前記マスター鍵を前記署名局から前記ユーザ装置へ送信するためのモジュールであって、前記暗号鍵が、マスター鍵を送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である、モジュールと
を備えるものである。

このようにして、認証されるべきメッセージの送信を実行するネットワーク内のノードまたはエンティティを実現することができる。

本発明は、上記課題を解決するための手段として、ユーザ装置によって受信されるべきブロードキャストメッセージを認証する装置を提供する。
本装置は、ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、それに基づいて、認証されるべきメッセージに署名するための署名鍵を導出するためのモジュールと、
前記署名鍵を用いて署名された署名を復号して、前記ユーザ装置がその署名を検証することができるようにするためのモジュールと、
暗号鍵を用いて暗号化された形で前記署名局から前記ユーザ装置へ送信された前記マスター鍵の（マスター鍵が定期的に更新されることを前提として）更新版を定期的に受信するためのモジュールであって、前記暗号鍵が、前記マスター鍵を送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である、モジュールと
を備えるものである。

このようにして、メッセージの認証を実行する、例えばネットワーク内のユーザ装置または端末といった、ネットワーク内のノードまたはエンティを実現することができる。

上記装置は、本発明の上記いずれかの態様の方法を実行するためのモジュールを更に備えるものである。

本発明は、上記課題を解決するための手段として、コンピュータ上で実行される際にこのコンピュータが本発明の上記いずれかの態様の方法を実行することを可能にするコンピュータプログラムコードを含むコンピュータプログラムも提供する。

警報メッセージを送信するための送信手順を示した図である。 本発明の実施形態において使用されるメッセージのビットシーケンスを示した図である。 本発明の実施形態が適用可能な環境を示した図である。 本発明のある実施形態によるメッセージフローを示した図である。 本発明のある実施形態で使用される第１および第２の時間間隔を示した図である。

公的警報システムＥＴＷＳは、一次通知（primary notification）と二次通知（secondary notification）とから構成される２段階警報システムを提案している。以下の実施形態では、本発明の原理がこうした種類の警報システムにどのように適用できるかについて説明する。実施形態によれば、本明細書はいわゆるＥＴＷＳの“一次通知”を対象としている。しかしながら、一般に本メカニズムは、認証を必要とする全種類のブロードキャストシステムに再利用することができる。

実施形態によれば、認証されるべきメッセージ（例えば、ＥＴＷＳの一次通知）は、限られた長さの共有鍵で保護することができる。また、以下の二重の役割を果たす鍵スケジューリングメカニズムが提供される。
・総当たり攻撃に対して鍵の安全性を高めること
・起こり得るリプレイ攻撃を短い時間窓（時間区間）に制限すること
次に、このことについてより詳しく説明する。

署名のために、警報メッセージを送信する機関（authority）（例えば、警報通知プロバイダ、無線ネットワークまたはＰＬＭＮ（public land mobile network）からメッセージを集約するアグリゲータ）は、署名局（signing authority）とユーザ装置ＵＥ上の機密保護改竄防止環境（confidentiality-preserving, tamper-proof environment）との間において共有され定期的に更新されるシークレットを使用する。このＵＥにおける環境は、この共有されたシークレットを使用して、警報内の認証情報を検証する機能も提供する必要がある。

図１は、ＥＴＷＳにおいて実行することができる認証手順を示している。最初の通知の後、ユーザ装置ＵＥは、セキュリティデータを例えばより高い帯域で聞く（listen）ように設定されている。次いで、セキュリティデータがより高い帯域のチャネルで送信される。このセキュリティデータは、図１に示すデータを含み得る。このセキュリティデータは、プロトコルバージョン（１バイト）、災害タイプ（１バイト）、タイムスタンプ（４バイト、分単位の精度で７８６０年間）、署名局のＩＤ（３バイト、内訳は国名に１バイト、内部ＩＤに２バイト）を含むことができる。代替として、そのセキュリティデータは、署名局までの信頼の連鎖（例えば、ＤＮＳＳＥＣ）によって保証された完全修飾ドメイン名ＦＱＤＮ（fully qualified domain name）を含んでもよい。この場合、タイムスタンプを含み得るセキュリティデータの署名は、例えば、現在時刻の前後のある特定の時間窓内で検証される。

しかしながら、一次通知は、ページングメッセージで既に送信されている場合があり、同じメッセージ内で認証される必要がある。斯かるケースでは、そのメッセージ自体に利用可能な、それを認証するための、（利用可能なビット数で）非常に限られた量の情報しか存在しない。

図２は、斯かる方法に対して利用可能なビットリソースを示している。約２０ビットがページングメッセージの“ペイロード”に利用され、約３０ビットが署名用に利用できることが図から見て取れる。

署名用のビット数がこのように限られているため、リプレイ攻撃の可能性はあると考えられる。しかしながら、以下においてより詳しく説明するように、本発明の実施形態によるメカニズムはこうした種類の攻撃のリスクを低減する。

実施形態によれば、署名局とＵＥとの間の共有されたシークレットの定期的な更新を実行するメカニズムが提供される。共有されたシークレットから署名鍵を導出するために鍵階層（key hierarchy）が使用される。

署名鍵を保護するためにいくつかのメカニズムを使用することができる。例えば、
・訪問先ネットワークの署名局ごと、かつＵＥごとに異なるマスター鍵
・共有されたシークレットの低頻度（例えば１ヶ月に一度、または１日に一度）のユニキャスト更新
・一方向性関数を使用して、署名鍵のより高頻度（例えば１分に一度）の更新
・総当たり攻撃（brute force attacks）を防止するための署名検証の頻度の制限
が挙げられる。

以下、これらのメカニズムについてより詳しく説明する。

提案されたメカニズムによれば、実際の通知メッセージの中にセキュリティ用に非常に少ないビット数しか確保されていなくても、かなり高いセキュリティが実現できる。

アタッカが鍵を破る可能性が５０％に達するまでの時間でセキュリティが測定される場合においては、鍵を頻繁に更新することによって、本ソリューションのセキュリティを最大４０％まで増加させることができる。

また、鍵を頻繁に更新することにより、アタッカが警報メッセージをリプレイすることができる期間が短くなり、その結果、リプレイされたメッセージの影響が低減する。

図３には、本発明を適用することができる環境が概略的に示されている。通知プロバイダＮＰ（Notification Provider）は、警報メッセージの発信元である。ここで、通知プロバイダが、その警報メッセージを複数のネットワークに配送したいと思っている状況を想定する。この複数のネットワークのうちの１つは、ノードＵＥ１〜ＵＥ６に対するホームネットワークＨＮ（home network）である。もう１つのネットワークＶＮは、ノードＵＥ７に対するホームネットワークではあるが、ＨＮをホームネットワークとするノードＵＥ４〜ＵＥ６の訪問先ネットワーク（visited network）である。

各ユーザ装置ＵＥは、関連するホーム鍵（Home key）を有する。これは、ＵＥがホームネットワーク（例えばＨＳＳ（Home Subscriber Server））内の信頼できるノードと共有する共有シークレットである。ホーム鍵ＨＫは、ＵＥとそのホームネットワークに特有である。これは、図３にＨＫ１〜ＨＫ７として示されている。ホーム鍵ＨＫ１〜ＨＫ６は、ノードＵＥ１〜ＵＥ６とそれらのホームネットワークＨＮにそれぞれ属している。ホーム鍵ＨＫ７は、ＵＥ７とこのＵＥ７のホームネットワークであるネットワークＶＮに属している。

さらに、所与の通信事業者（運営者）に登録された全てのノードは、共通鍵ＭＫ（あるいはマスター鍵ＭＫ（master key））をその通信事業者と共有している。この鍵は、定期的に更新される。

警報メッセージを認証するために署名鍵ＳＫ（signing key）が使用される。この署名鍵は、ＵＥが現在登録されているエリア内で使用されるマスター鍵ＭＫに基づいて、例えば鍵導出関数ＫＤＦを適用することによって導出される。マスター鍵は、暗号化された形でＵＥへ送信することができる。例えば、ＵＥがホームネットワーク内に存在する場合にはホーム鍵ＨＫを用いてそのマスター鍵を暗号化し、ＵＥが訪問先ネットワーク内に存在する場合には訪問先ネットワーク鍵ＶＫｎを用いてそのマスター鍵を暗号化することによって、ＵＥへ送信することができる。

この手順は図３に示されている。図中、マスター鍵ＭＫは、ＨＮからＵＥ１、ＵＥ２およびＵＥ３へ、これらのＵＥのそれぞれのホーム鍵でそれを暗号化した状態で送信される。しかしながら、ＵＥ４、ＵＥ５、およびＵＥ６に関しては、ネットワークとＵＥはホーム鍵を共有しておらず、それ故に代わりに、マスター鍵をＵＥ４〜ＵＥ６へ送信する前に、訪問先ネットワークで有効な訪問先ネットワーク鍵ＶＫが、マスター鍵を暗号化するために使用されなければならない。この手順は、図３において（ＭＫ）Ｖｋｉで示されている。これは、マスター鍵ＭＫがユーザ装置ＵＥ４〜ＵＥ６へ暗号化された形で送られる前に、これらのユーザ装置ＵＥ４〜ＵＥ６のそれぞれの訪問先ネットワーク鍵Ｖｋｉを使ってマスター鍵ＭＫが暗号化されることを示している。代わりに、ユーザ装置ＵＥがホームネットワークＨＮ内に存在している場合でも、訪問先ネットワーク鍵を導出するために使用されるものとできる限り同じやり方または同じアルゴリズムに基づいてホーム鍵ＨＫによって導出された鍵が、ＵＥがホームネットワークに存在する場合において、マスター鍵をＵＥに送信する前に、そのマスター鍵を暗号化するために使用されることができる。

ＵＥ７に関しては、ＶＮはホームネットワークであるので、マスター鍵をＵＥ７に送信する前にそのマスター鍵を暗号化するためにホーム鍵ＨＫを使用することができる。別の実施形態では、訪問先ネットワーク鍵を導出するために使用されるものと同じアルゴリズムに基づいて、マスター鍵をＵＥ７に送信する前に、ホーム鍵に基づいて導出された鍵がそのマスター鍵を暗号化するために使用される。

マスター鍵に基づいて、認証されるべきメッセージに署名するために使用される署名鍵を導出することができる。送り手ノードとＵＥの双方は、鍵導出関数をＭＫに適用することによってこの署名鍵を導出することができる。ネットワーク（ＮＷ：network）側においては、署名鍵は、認証されるべきメッセージに署名するために使用される。ＵＥ側においては、署名は、メッセージを認証するために署名鍵を使って復元される。

次に、更なる実施形態をより詳しく説明する。

図３に既に示したように、また図４にも示しているように、各ＵＥは、１つのシークレット（ＨＫ_ｉ）をホームネットワークＨＮ内の信頼できるノード、例えばＨＳＳと共有している。

ホームネットワークから離れて、かつ訪問先ネットワークＶＮと共有する共有鍵を持たないノード（例えば図３におけるＵＥ４、ＵＥ５、およびＵＥ６）に関しては、訪問先ネットワークにおける署名局は、訪問しているノードの鍵ＶＫ_ｉをそのホームネットワークから要求することができる。

実施形態によれば、保護された環境ＰＥ（Protected Environment）（例えばＵＩＣＣまたはＳＩＭカード）において、ＵＥは、ＨＫ_ｉから、更に例えば署名局のＩＤに基づいて、この鍵ＶＫ_ｉを導出することができる。

所与の通信事業者（運営者）に登録された全てのノードは、その通信事業者と共通鍵ＭＫを共有している。この鍵は、定期的に更新される。

マスター鍵ＭＫは、時間に依存するように定期的に更新されることができ、したがって、ＭＫ（Ｔ）と表すことができる。この更新は、例えば数時間、数日、または数ヶ月といった間隔で実行することができる。実施形態によれば、この更新は、数日おきもしくは数ヶ月おき、または日に一度もしくは月に一度の頻度で実行される。

訪問先ネットワークの共有シークレットＭＫ（Ｔ）は、訪問先ネットワーク鍵ＶＫ_ｉを使ってユニキャストでＵＥにおける保護された環境ＰＥに送信される。この共有シークレットＭＫ（Ｔ）は、訪問先ネットワーク内の全てのＵＥの間で共有される。

ある実施形態における共有シークレットＭＫ（Ｔ）は、図５に示すように低頻度で更新される。その共有シークレットは、暗号化された形でユーザ装置ＵＥに送信される。暗号化に使用される鍵は、移動端末ＵＥがホームネットワーク内に存在するか訪問先ネットワーク内に存在するかに応じて、ホーム鍵ＨＫ_ｉまたは訪問先ネットワーク鍵ＶＫ_ｉとなる。この暗号化により不正な（悪事を働く）ＵＥを選択的に排除することができる。

ネットワークといくつかのノードとの間で共有されるマスター鍵ＭＫ（Ｔ）は、例えばマスター鍵ＭＫ（Ｔ）にそれ自身を連結したものに鍵導出関数ＫＤＦを適用することによって署名鍵ＳｉｇＫ（Ｔ，ｔ＝０）を導出するために使用される：ＳｉｇＫ（Ｔ，ｔ＝０）＝Ｈ（ＭＫ（Ｔ）｜｜ＭＫ（Ｔ））。マスター鍵は、必ずしもそれ自身と連結される必要はなく、任意の他の更なる入力（例えば固定数のビットシーケンス）も使用されてもよい。別の可能性としては、署名鍵を生成するのにマスター鍵だけを使用することである。

ある実施形態において、鍵導出関数ＫＤＦはハッシュ関数とすることができる。

時間間隔Ｔ（“第１の時間間隔”と見なすことができる）は、マスター鍵ＭＫ（Ｔ）が更新される間隔である。更新されたマスター鍵は、警報メッセージ（およびマスター鍵も）を送信する送信局が役目を果たすエリア内に現在位置する異なるユーザ装置ＵＥに配送されることができる。

署名鍵を導出するための基礎を形成するこのマスター鍵の更新に加えて、署名鍵はそれ自体、時間に依存してもよく、Ｔより短い時間間隔ｔ（“第２の時間間隔”と見なすことができる）内で変化させてもよい。

その目的のため、ある実施形態によれば、各時間間隔Ｔは、図５の下部にｔで示すように、より短い時間スライス（図２参照）に分割される。ＳｉｇＫ（Ｔ，ｔ＝０）は、マスター鍵ＭＫ（Ｔ）が有効な時間スロットｔ＝０においてメッセージに署名するために使用される。ある時間間隔ｔにおける署名鍵は、ハッシュ関数をマスター鍵またはマスター鍵から導出された入力に反復適用することによって導出することができる。

署名局は、マスター鍵（または更新されたマスター鍵）と一緒に、現時間間隔ｔのインデックスを送信することができる。このようにして、ＵＥは、マスター鍵を送信するノードまたはステーションのクロックによって指定され得る現時間間隔ｔを知ることができる。マスター鍵の異なるＵＥへの配送は、ポイント・ツー・ポイントで実行されるべきであるので、いくつかのユーザ装置は、マスター鍵を異なる時間に、従って異なる（インデックスの）時間間隔ｔに受信する場合がある。また時間間隔ｔのインデックスを送信することによって、ユーザ装置は、そのカウントを正しい時点、つまり現在有効な時間間隔である正しい時間間隔ｔにセットすることができる。

ある特定の実施形態によれば、例えば、署名鍵ＳｉｇＫ（Ｔ，ｔ）は、マスター鍵ＭＫ（Ｔ）に前回の署名鍵を連結したものについてハッシュ値を計算することよって計算される：ＳｉｇＫ（Ｔ，ｔ）＝ＫＤＦ（ＭＫ（Ｔ）｜｜ＳｉｇＫ（Ｔ，ｔ−１））。この署名鍵ＳｉｇＫ（Ｔ，ｔ）は、例えば、警報メッセージへの署名として使用することができるハッシュ関数（ＨＭＡＣ：Keyed-Hashing for Message Authentication code）に鍵をかけることによって、署名を計算することに使用することができる。ある実施形態において、署名の最後の３０ビットが、図２に示すように初期のページングメッセージに組み込まれる。

また、署名の検証は、時間スロットが完全に整列していない場合があることを考慮し、従って、ＵＥ内における保護された環境は、例えば、ｔの現在値に対するＨＭＡＣだけでなく、ｔの近隣の値（近傍値）に対するＨＭＡＣも計算し、比較することができる。

Ｔの同期化は、２つのページングメッセージを同じ時間スロット上に多重化することによって実行される。その２つのページングメッセージのなかの１つは、現在のマスター鍵ＭＫ（Ｔ）を使用しているものであり、もう１つは、まだ更新されていないもの、すなわち、その前のマスター鍵ＭＫ（Ｔ−１）を使用しているものである。これらのページングメッセージの各メッセージは、２つの異なる鍵から導出されたそれぞれの有効な署名を搬送するものである。

ＵＥ内における保護された環境は、その時間スロットを決定することが不可能な場合がある。それ故、実施形態によれば、そのＵＥ内の保護環境は、次の時間スロットに進むための外部信号を受信することができる。

ある実施形態によれば、ＵＥ内における保護された環境は、署名を検証する試行回数に対して頻度制限（rate limitation）を実行する。

ＵＥ内における保護された環境が、信頼できるクロックを持たない場合には、その保護された環境は、所定数のクロックサイクル分だけチェック結果の返送を遅らせることができる。これを実行するため、ＵＥ内における保護された環境には、クロック超過（over-clocking）を検出するためのモジュールが提供されてもよい。

また、マスター鍵ＭＫ（Ｔ）をブロードキャストグループ、つまりページンググループ、に依存して作ることによって、更なる改良を実現することができる。

上記の実施形態は、ハードウェア、ソフトウェア、あるいはハードウェアとソフトウェアの組み合わせによって実施することができることは当業者であれば理解できるだろう。本発明の実施形態に関連して述べたモジュールおよび機能は、全体的または部分的に、本発明の実施形態に関連して説明された方法の通りに動作するように適切にプログラムされたマイクロプロセッサまたはコンピュータによって実装することができる。本発明の実施形態を実現する装置は、例えば、実施形態で述べたメカニズムを実行することが可能なように適切にプログラムされたネットワーク内のノードその他の構成要素を構成することができる。

本発明の実施形態として、データキャリアに格納され、あるいは他のやり方で記録媒体もしくは伝送リンクといった何らかの物理的手段によって具現化されたコンピュータプログラムが提供される。このコンピュータプログラムは、コンピュータ上で実行する際にこのコンピュータが上記実施形態に従って動作することを可能にする。

本発明の実施形態は、例えば、上述したメカニズムに従って動作するようにプログラムされたネットワーク内のノードその他のネットワーク内の任意のエンティティによって実施することができる。

ＨＫ１〜７ ホーム鍵
Ｈｋｉ、Ｖｋｉ 暗号鍵
ＭＫ マスター鍵
（ＭＫ）Ｈｋｉ、（ＭＫ）Ｖｋｉ 暗号鍵で暗号化されたマスター鍵
ＨＮ ホームネットワーク
ＮＰ 警報通知プロバイダ
ＮＷ ネットワーク
ＵＥ１〜７ ユーザ装置
ＶＮ 訪問先ネットワーク

Claims (15)

1. あるユーザ装置へ送信されるべきブロードキャストメッセージを認証する方法であって、前記ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
   前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、そのマスター鍵に基づいて、認証されるべきメッセージに署名するための署名鍵を導出するステップと、
   前記署名鍵によって認証されるべきメッセージに署名し、その署名を前記ユーザ装置によって検証するステップとを含み、
   前記マスター鍵は、定期的に更新され、かつ、
   前記マスター鍵は、暗号鍵を用いて暗号化された形で前記署名局から前記ユーザ装置へ送信され、前記暗号鍵は、前記マスター鍵を送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である、方法。
2. 前記ユーザ装置がそのホームネットワーク内に存在する場合には、前記暗号鍵は、前記ユーザ装置のホームネットワーク内の信頼できるノードと前記ユーザ装置との間で共有されるホーム鍵であり、
   前記ユーザ装置が訪問先ネットワーク内に存在する場合には、前記暗号鍵は、前記ユーザ装置の前記ホーム鍵に基づいて導出された鍵である、請求項１に記載の方法。
3. 前記ユーザ装置が前記訪問先ネットワーク内に存在する場合には、前記暗号鍵は、前記ホーム鍵と前記訪問先ネットワークの識別子（ＩＤ）とに基づいて導出されるものである、請求項２に記載の方法。
4. 前記マスター鍵は、第１の時間間隔（Ｔ）で定期的に更新されるとともに、前記ユーザ装置に送信され、
   前記署名鍵は、前記第１の時間間隔（Ｔ）より短い第２の時間間隔（ｔ）で定期的に更新される、請求項１ないし３のいずれか一項に記載の方法。
5. 前記署名鍵は、前記マスター鍵または前記マスター鍵から導出された入力に対して鍵導出関数を繰り返し適用することによって繰り返し更新される、請求項４に記載の方法。
6. ある第２の時間間隔における前記署名鍵は、前記マスター鍵と１つ前の第２の時間間隔の署名鍵とに基づく入力に前記鍵導出関数を適用することによって導出される、請求項４または５に記載の方法。
7. 前記第２の時間間隔は、ｎ番目の時間間隔がｔｎと表されるようにインデックスが付けられており、
   前記ユーザ装置における前記署名の検証は、現在有効な第２の時間間隔ｔｎの間だけでなく、１以上の近隣の時間間隔の間においても実行される、請求項４ないし６のいずれか一項に記載の方法。
8. 現在有効な第２の時間間隔（ｔ）のインデックスが、前記マスター鍵と一緒に前記署名局から前記ユーザ装置へ送信される、請求項４ないし７のいずれか一項に記載の方法。
9. ２つのページングメッセージを同じ時間スロット上において多重化するステップを更に含んでおり、
   前記２つのページングメッセージのうちの１つは、現在のマスター鍵Ｍ（Ｔ）を使用しているものであり、前記２つのページングメッセージのうちのもう１つは、まだ更新されていないもの、すなわち、１つ前のマスター鍵Ｍ（Ｔ−１）を使用しているものであり、
   これらのページングメッセージの各メッセージは、２つの異なる鍵から導出されたそれぞれの有効な署名を搬送するものであり、請求項１ないし８のいずれか一項に記載の方法。
10. 次の時間スロットへ進むことを合図する信号を前記ユーザ装置または前記ユーザ装置内における保護された環境に送信するステップを更に含む請求項１ないし９のいずれか一項に記載の方法。
11. 前記ユーザ装置は、署名を検証する試行回数に対して頻度制限を実行する、かつ／または、
    前記ユーザ装置は、クロック超過を検出する動作を実行する、かつ／または、
    前記マスター鍵は、ブロードキャストグループ、すなわちページンググループに依存するものである、請求項１ないし１０のいずれか一項に記載の方法。
12. あるユーザ装置へ送信されるべきブロードキャストメッセージを認証する装置であって、前記ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
    前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、そのマスター鍵に基づいて、認証されるべきメッセージに署名するための署名鍵を導出するためのモジュールと、
    前記署名鍵によって認証されるべきメッセージに署名して、前記ユーザ装置がその署名を検証することができるようにするためのモジュールと、
    前記マスター鍵を定期的に更新するためのモジュールと、
    暗号鍵を用いて暗号化した形で前記マスター鍵を前記署名局から前記ユーザ装置へ送信するためのモジュールであって、前記暗号鍵が、マスター鍵を送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である、モジュールと
    を備えるものである装置。
13. あるユーザ装置によって受信されるべきブロードキャストメッセージを認証する装置であって、前記ブロードキャストメッセージが、認証のために署名局によって署名されたものであり、
    前記署名局と前記ユーザ装置との間で共有されるマスター鍵を使用して、そのマスター鍵に基づいて、認証されるべきメッセージに署名するための署名鍵を導出するためのモジュールと、
    前記署名鍵を用いて署名された署名を復号して、前記ユーザ装置がその署名を検証することができるようにするためのモジュールと、
    暗号鍵を用いて暗号化された形で前記署名局から前記ユーザ装置へ送信された前記マスター鍵の更新版を定期的に受信するためのモジュールであって、前記暗号鍵が、前記マスター鍵を送信するネットワークと前記ユーザ装置との間で共有される秘密鍵である、モジュールと
    を備えるものである装置。
14. 請求項２ないし１１のいずれか一項に記載の方法を実行するためのモジュールを更に備えるものである請求項１２または１３に記載の装置。
15. コンピュータ上で実行される際にそのコンピュータが請求項１ないし１１のいずれか一項に記載の方法を実行することを可能にするコンピュータプログラムコードを含むコンピュータプログラム。