JP2009521032A - チップカードを備えるオンボードコンピュータシステム上に安全なカウンタを作成する方法 - Google Patents

Abstract

本発明の方法によると，チップカードと，カウント機能（ＦＣ）と，カウンタ（Ｃｐｔ）と，メモリ領域の書き込み専用部分に格納される秘密鍵（Ｃｆ）とが永続メモリに格納され，カウンタ及び秘密鍵（Ｃｆ）にはカウント機能（ＦＣ）からのみアクセス可能である。要求エンティティ（ＥＲ）から発行されたカウンタ要求をチップカードが受信すると，カウント機能（ＦＣ）はカウンタ（Ｃｐｔ）の変更と署名の計算とを行い，応答を要求エンティティ（ＥＲ）に送る。カウンタ要求への応答をオンボードシステムが受信すると，この応答に含まれた署名がチェックされる。

Description

発明の詳細な説明

本発明は，チップカードを有するオンボードコンピュータシステム上に安全なカウンタを得る方法に関する。

本発明の目的は，より具体的には，チップカード上に載置された，偽造できない単調カウンタ（compteurs monotones）にアクセスできるオンボード環境（特に携帯電話）を提供することである。

通常，単調カウンタは，その値が各呼ごとに変化する，すなわち同じ値を二度と与えないことを保証するカウンタとして既知である。このようなカウンタは，コンピュータシステムにおいて，例えば一意的(uniques)な識別子を生成するために極めて有用であり，さらには，所謂「リプレイ」セキュリティアタック（承認された値を時刻ｔにおいて特定したアタッカー（attaquant）は，時刻ｔ＋Δにおいて「リプレイ」できる。すなわち，当該システムにおいて，それにもかかわらず承認されることを期待して，前に検出された値）に対抗するために，極めて有用である。

単調カウンタは，さらに大半がインクリメンタルである。この理由は，実装上の困難が特に生じないからである。この場合，カウンタは，各呼において，直前の呼に与えた値より大きな値を与えるという保証をさらに提供する。例えば，時刻は，ユニバーサルなインクリメンタルソースである。インクリメンタルな単調カウンタは，イベント相互間の順序付けに特に注目されている。例えば，一部の日時決定システムにおいては，文書Ａが文書Ｂより前にアーカイブされたことを知ることだけが所望される。コンピュータシステムでは，内部クロック（通常，高価で，不正確，かつ非安全である。すなわち，アタッカーが時刻を随意に変更できる）を使用せず，インクリメンタル単調カウンタを使用することが多い。

インクリメンタル単調カウンタは，デジタル著作権管理（ＤＲＭ）の分野においても極めて望ましく，特に以前再生された楽曲が関連の著作権の失効後に二度と再生されないように管理するために極めて望ましい。

本願明細書の以下の部分では，インクリメンタル単調カウンタを「単調カウンタ」と称する。

パーソナルコンピュータ（ＰＣ）上の単調カウンタは実際の難題を一切引き起こさないが，オンボード環境（例えば，携帯電話機）への単調カウンタのオンボードははるかに複雑な問題である。単調カウンタを作成するには，（非通電時にカウンタの値を保存するために）いくつかの書き換え可能性を有する永続メモリ領域が必要である。オンボード環境への書き換え可能な永続メモリのオンボードは，無視できない費用がかかり，対象装置の配備規模が大規模であるほど費用が嵩む（例えば，数百万台の携帯電話に対する付加費用）。しかしながら，他のコンピュータシステムのようなオンボード環境でも単調カウンタが必要とされ，ＤＲＭ（携帯型ゲーム機用のゲーム，携帯電話，ｉＰｏｄ（商標）などでの楽曲の聴取）の観点から市場の需要がより大きくなることは確実である。

本発明の目的は，より具体的には，オンボード環境がスマートカードを有する場合（特に，ＳＩＭカード付きの携帯電話機の場合）のための単調カウンタを製作するための信頼性が高く低コストな情報システムを提供することである。

この目的のために，本発明は，以下の操作フェーズを含む方法を提案する。
（ｉ）チップカードの永続メモリに，
ａ．カウント機能ＦＣと，
ｂ．カウンタＣｐｔと，
ｃ．メモリ領域の読み出し保護部分に格納される秘密鍵Ｃｆと
を格納するフェーズであって，
カウンタＣｐｔ及び秘密鍵Ｃｆには，カウント機能ＦＣからのみアクセス可能であるフェーズと，
（ｉｉ）所謂「要求」エンティティＥＲが発行した「カウンタ要求」をチップカードが受信したときに，
ａ．カウント機能ＦＣがカウンタＣｐｔを変更することによって，与えられた要求への応答として与えるカウンタ値の単一性を保証するステップと，
ｂ．ステップ（ａ）で変更されたカウンタＣｐｔの値と秘密鍵Ｃｆとを用いてカウント機能ＦＣが署名を計算するステップと，
ｃ．ステップ（ａ）で変更されたカウンタＣｐｔの値とステップ（ｂ）で計算された署名とを含む応答をカウント機能ＦＣが要求エンティティＥＲに送出するステップと，
を実行するフェーズと，
（ｉｉｉ）カウンタ要求に対する応答をオンボードシステムが受信したときに，この応答に含まれた署名の検証を実行するフェーズ。

原則として，要求エンティティＥＲは，別のアプリケーション，システム，又は自然人の代わりに，オンボードシステムと交信できる。

有利には，カウンタ要求を実行するフェーズ中の署名を計算するステップにおいて，要求エンティティＥＲは事前に認証されている。したがって，認証が成功した場合にのみ，カウンタ要求が実行される。

同様に，カウンタ要求への応答に含まれている署名の検証は，オンボードシステム上の永続メモリに格納されている公開鍵を用いて行うことができる。

この方法によると，単調カウンタは，スマートカード（マイクロプロセッサ付き）の内部で実行されるアプリケーションの形態で作成される。このアプリケーションをネイティブにする（すなわちマイクロプロセッサ上で直接実行される）こともできるが，或いは翻訳エンジン（例えば，仮想Ｊａｖａマシン，スクリプトインタプリタなど）によって翻訳してもよい。これは，以下の利点を有する。
・ チップカードの材料抵抗（セキュリティの観点から）。例えば，ＰＣのマザーボード上にある場合に比べ，チップカードの内容を顕微鏡を用いて可視化し難く，或いはその値を（レーザ光などによって）変更し難い。
・ 書き換え可能な永続データをメモリ（ＥＥＰＲＯＭ）に保存するためのチップカードの能力。
・ 大多数のチップカード上に存在する暗号化機能。これらは一般に，暗号鍵を格納するために用いられる。

このように作成されたアプリケーションは，
・ 安全な（同じ値を二度と与えない）単調カウンタを提供する。
・ 材料の観点からアタックが困難である。
・ 必要であれば，認証される（発呼者は，値が確かに単調カウンタによって与えられることを確信する）。

本発明の一実施態様を非限定的な例として付属の図面を参照しながら以下に説明する。
− 一の図面は，公開鍵がオンボードシステム上に存在する場合の単調カウンタの詳細機能を示す概略図である。

この例において，オンボードシステム（ブロック１）は，カウンタＣｐｔが格納されたプライベート永続メモリ（ブロック３）と，永続メモリ領域（ブロック３）の書き換え可能かつ読み出し保護部分に格納された秘密鍵Ｃｆと，カウント機能ＦＣとを備えるチップカード（ブロック２）を有する。

カウンタＣｐｔと秘密鍵Ｃｆとには，カウント機能ＦＣからのみアクセスできる。カウント機能ＦＣによるカウンタＣｐｔの変更は，＋１のインクリメントである。

チップカード（ブロック２）上には，単調アプリケーション（ブロック５）も存在する。秘密鍵Ｃｆを使用するこのアプリケーションの起動は，カード２に電源を入れたときに自動的に，或いはカード２の所有者が手動で行うことができる。このアプリケーションは，発呼者がカードの外側で発行した要求に応答する。

オンボードシステム１は，公開鍵Ｃｐ（又は公開鍵証明書Ｃｃｐ）をさらに備える。この公開鍵Ｃｐ（又は公開鍵証明書Ｃｃｐ）は，公開永続メモリ（ブロック６）（理想的には，完全性が保護された，すなわち不正に変更できないメモリ），例えばワンタイムプログラマブルメモリ（ＯＴＰ）に格納される。その理由は，これらのメモリは，特定のオンボード又は財政上の困難を引き起こさないからである（例えば，これらのメモリは携帯電話機上に設けられる）。この情報システムは，一の図面に示されている情報システムに対応するものであり，アタッカーが別の鍵対を用いて偽の単調カウンタアプリケーションを構築し，真正な公開鍵を偽のアプリケーションの公開鍵に置換しようとした場合の管理を可能にする。

或いは，公開鍵Ｃｐを以下の場所に格納することもできる。すなわち，
− チップカード（ブロック２）上：オンボードシステム（ブロック１）にＯＴＰメモリがない（又は容量が不十分である）場合は，公開鍵Ｃｐをチップカード（ブロック２）の永続メモリ（ブロック３）に格納できる。その完全性を保証するために，次にチップカード（ブロック２）は，単調カウンタアプリケーション以外のアプリケーションがこの領域の書き込み／変更を行えないことを保証する必要がある。
− オンボードシステムの外部：オンボードシステムは，他の手段を用いて，例えば専用ＰＫＩアーキテクチャ（公開鍵インフラストラクチャ）を介して，公開鍵Ｃｐを入手することもできる。

この後者の２つのケースにおいては，すなわち公開鍵Ｃｐがオンボードシステム（ブロック１）のメモリに格納されない場合は，オンボードシステム上で使用する公開鍵Ｃｐの印影（empreinte）を記憶することが望ましい。これによって，アタッカーがこのチップカード（ブロック２）を別のチップカードに置き換えていないこと，又は違法なＰＫＩの挙動を模倣していないことを保証することができる。

公開鍵Ｃｐを管轄官庁に証明してもらうことによって，公開鍵Ｃｐが単調カウンタアプリケーション５に真に対応することを証明することもできる。この場合は，公開鍵Ｃｐを含むＣｃｐ証明書を記憶すれば十分である。公開鍵Ｃｐは，当該カウンタの署名を検証するために用いられる。

単調カウンタの値を入手するために，要求エンティティＥＲは最初にチップカード（ブロック２）上のアプリケーション５に対して単調カウンタ要求を発行する。場合によっては，チップカードにとって既知の秘密データ項目を供給するように要求エンティティＥＲに要求することによって，要求エンティティＥＲを認証することもできる。この秘密データ項目として，例えば，この２つのエンティティにとって既知のＰＩＮ（個人識別番号），パスワード，又は秘密鍵を使用できる。要求エンティティＥＲの認証によって，要求エンティティＥＲが単調カウンタ値を要求できると真に承認されたことが保証されるので，アタッカーが他の（正規）発呼者がサービスを利用することができなくなる値を絶え間なく要求するサービス妨害によるアタックが回避される。

次に，アプリケーション５は，その内部カウンタをインクリメントする。このカウンタは，チップカード（ブロック２）の永続メモリ（ブロック３）に保存され，単調カウンタアプリケーション５からのみアクセス可能である。場合によっては，このカウンタを（アプリケーションの公開鍵によって）符号化できる。これにより，承認されていないエンティティは，単調カウンタの現在値を知ることができなくなる。特に，極めて近接した目視精査が行われても，暴露された値が符号化されていれば使用不能であろう。次に，カウンタの現在値がアプリケーションの秘密鍵によって署名され，カウンタ値＋署名のデータ項目が要求エンティティＥＲに戻される。

最後に，要求エンティティＥＲは，アプリケーションの公開鍵Ｃｐを回収する。場合によっては，この公開鍵Ｃｐをチップカード（ブロック２）上のオンボードシステム（ブロック１）のメモリに回収することも，或いは外部に回収することもできる。後者の２つのケースにおいては，公開鍵Ｃｐの（ある場合には）印影を検証し，次にカウンタの署名を検証する必要がある。この署名が一致した場合は，発呼者はカウンタの値が真正であることを確信する。これを使用することができる。

なお，低機密環境（contextes peu sensibles）又はこれと反対に高セキュリティ環境（ultra-securises）においては，単調カウンタの値が非署名（及び非検証）であることも想定しうることに注目されたい。明らかにこの場合の欠点は，発呼者がその真正性を最早確信できないことである。すなわち，その値がアタッカーによって提供された可能性もありうる。この場合，鍵対を格納することは最早何の役にも立たない。

実装の観点から，単調カウンタアプリケーション５は，（永続メモリ及び暗号化機能へのアクセスが可能であるならば），ネイティブアプリケーションとしての実装も，又は翻訳されるアプリケーションとしての実装も極めて容易に行うことができる。後者の場合，アプリケーション５は，Ｊａｖａカード（登録商標）内にアプレットとして実装される。

なし

Claims (9)

1. チップカードを有するオンボードコンピュータシステム上に安全なカウンタを設ける方法であって，
   （ｉ）前記チップカードの永続メモリに，
   ａ．カウント機能ＦＣと，
   ｂ．カウンタＣｐｔと，
   ｃ．メモリ領域の読み出し保護部分に格納される秘密鍵Ｃｆと
   を格納する操作フェーズであって，
   前記カウンタＣｐｔ及び前記秘密鍵Ｃｆには，前記カウント機能ＦＣからのみアクセス可能である操作フェーズと，
   （ｉｉ）所謂「要求」エンティティＥＲが発行した「カウンタ要求」をチップカードが受信したときに，
   ａ．前記カウント機能ＦＣによって前記カウンタＣｐｔを変更することによって，与えられた要求への応答として与えるカウンタ値の単一性を保証し，
   ｂ．前記ステップ（ａ）で変更された前記カウンタＣｐｔの値と前記秘密鍵Ｃｆとを用いて前記カウント機能ＦＣが署名を計算し，
   ｃ．前記カウント機能ＦＣが前記要求エンティティＥＲに応答を送り，前記応答は，前記ステップ（ａ）で変更された前記カウンタＣｐｔの値とステップ（ｂ）で計算された署名とを含む操作を実行する操作フェーズと，
   （ｉｉｉ）前記カウンタ要求に対する応答を前記オンボードシステムが受信し，この応答に含まれた前記署名の検証を実行する操作フェーズと
   を含むことを特徴とする方法。
2. 前記カウンタ要求を実行するフェーズ中の署名を計算する前記ステップにおいて，前記要求エンティティＥＲは前に認証されており，認証が成功した場合にのみ前記カウンタ要求が実行されることを特徴とする請求項１記載の方法。
3. 前記カウンタＣｐｔは，符号化されて格納されることを特徴とする請求項１記載の方法。
4. 前記カウント機能ＦＣによる前記カウンタＣｐｔの前記変更は，このカウンタのインクリメントであることを特徴とする請求項１記載の方法。
5. 前記カウンタ要求に対する前記応答に含まれている前記署名の検証は，前記オンボードシステム１上の永続メモリ（ブロック６）に格納されている公開鍵Ｃｐを用いて行われることを特徴とする請求項１記載の方法。
6. 前記カウンタ要求に対する前記応答に含まれる前記署名の検証は，公開鍵Ｃｐを用いて行われ，前記公開鍵Ｃｐ，又は対応付けられている公開鍵証明書Ｃｃｐは，前記チップカードの前記永続メモリに格納され，前記オンボードシステム１の要求により前記オンボードシステム１に返されることを特徴とする請求項１記載の方法。
7. 前記カウンタ要求に対する前記応答に含まれる前記署名の検証は，公開鍵Ｃｐを用いて行われ，前記公開鍵Ｃｐ又は対応付けられている公開鍵証明書Ｃｃｐは公開鍵インフラストラクチャにより提供され，前記オンボードシステム１の要求により前記オンボードシステム１に返されることを特徴とする請求項１記載の方法。
8. 前記公開鍵Ｃｐ又は対応付けられる公開鍵証明書Ｃｃｐは完全性が保護されたものとして格納されることを特徴とする請求項５〜７いずれか１項記載の方法。
9. 前記公開鍵Ｃｐの印影が前記オンボードシステムに格納されることを特徴とする請求項６又は７記載の方法。

Images