JP2009529832A - 発見不可能、即ち、ブラック・データを使用するセキュアなデータ通信 - Google Patents

Abstract

データを暗号化する方法およびシステム。１つの方法は、発見可能、即ち、「ホワイト」データと、発見不可能、即ち、「ブラック」データとを含むデータを確立するステップを含む。ブラック・データは一般に認識不可能である。例えば、ブラック・データはランダム・データとすることができる。ホワイト・データは一般に、認識可能な内容を有するか、または認識可能なフォーマットで送信される。第１の鍵および第２の鍵が、第２の鍵が第１の鍵から実質的に導出不能であるように、生成または確立される。発見可能、即ち、ホワイト・データは、第１の鍵を用いて暗号化され、発見不可能、即ち、ブラック・データは、第２の鍵を用いて暗号化される。その後の通信またはトランザクションでは、第１の鍵および第２の鍵の少なくとも一方が変化させられる。

Description

本出願は、２００６年３月６日に出願された米国特許出願第１１／３６８，９５９号の優先権を主張し、同出願の内容全体が、参照により本明細書に組み込まれる。本出願はまた、２００５年１１月２３日に出願された米国特許出願第１１／２８６，８９０号の一部継続出願であり、同出願は、２００４年５月２６日に出願された米国特許出願第１０／８５４，６０４号の一部継続出願であり、同出願は、２００３年２月２７日に出願された米国特許出願第１０／２４８，８９４号の一部継続出願であり、同出願は、２００２年２月２７日に出願された米国仮特許出願第６０／３６０，０２３号の優先権を主張し、上記すべての出願の内容全体が、参照により本明細書に組み込まれる。

暗号化技法は、適切な妥当性検証（validation）または認証（authentication）（例えば鍵の所有）なしにデータが取得され得ないように、データ（即ち、平文または無暗号化データ）を仮装（ｄｉｓｇｕｉｓｅ）するための機構を提供する。一般に、暗号化、即ち、暗号適用プロセスは、暗号文を生成するために、暗号化鍵を平文に適用する。暗号文から平文データを取得するためには、暗号解除鍵が暗号文に適用され、暗号文を平文に変換し戻す。暗号文を生成するためと、暗号文を暗号解除するためとで、異なるタイプの鍵が使用できる。例えば、対称鍵システムは、単一の鍵を使用して、暗号化および暗号解除の両方を実行し（即ち、暗号化鍵は暗号解除鍵と等しい）、公開／私有鍵システムは、別個の暗号化鍵および暗号解除鍵を使用する。公開／私有鍵システムは、暗号解除鍵（即ち、私有鍵）は秘密にまたは私的に保持され、暗号化鍵（即ち公開鍵）は一般に公けに使用可能であるという事実から、その名称を得ている。公開／私有鍵システムのセキュリティは、暗号解除鍵を秘密に保持すること、また暗号解除鍵が公開暗号化鍵から容易に計算されないよう保証することにかかっている。

暗号解読は、適切な妥当性検証や認証なしに（例えば鍵を所有せず）、平文を回復する科学である。試みられる暗号解読は、しばしば攻撃と呼ばれる。暗号化技法のセキュリティをくぐり抜けるため、様々な攻撃が実行できる。例えば、暗号文単独攻撃（ｃｉｐｈｅｒｔｅｘｔ−ｏｎｌｙ ａｔｔａｃｋ）は、盗聴者が暗号文を取得または盗み取って、平文および／または暗号文を生成するのに使用された鍵を決定しようと試みる場合に実行することができる。暗号文に加えて、対応する平文も取得した場合、盗聴者は、平文攻撃（ｐｌａｉｎｔｅｘｔ ａｔｔａｃｋ）を実行することができ、暗号文を生成するのに使用された鍵を決定しようと試みることができる。暗号文に加えて、対応する平文の一部または既知のフォーマットのみを取得することができる場合でも、盗聴者は依然として、平文を生成するのに使用される鍵を決定することができる。ほとんどの状況において、盗聴者が取得できた情報が多いほど、盗聴者は容易に鍵を決定することができる。ひとたび鍵を決定すると、盗聴者は、暗号文を暗号解除するために、その鍵を使用することができる。

本発明の一実施形態は、データを暗号化する方法を提供する。この方法は、発見可能（ｄｉｓｃｏｖｅｒａｂｌｅ）、即ち、「ホワイト（ｗｈｉｔｅ）」データと、発見不可能（ｕｎｄｉｓｃｏｖｅｒａｂｌｅ）、即ち、「ブラック（ｂｌａｃｋ）」データとを含むデータを確立するステップを含む。ブラック・データは一般に、認識不可能である。例えば、ブラック・データは、ランダム・データとすることができる。ホワイト・データは一般に、認識可能な内容を有し、または認識可能なフォーマットで送信される。方法はまた、第１の鍵および第２の鍵を確立するステップも含み、第２の鍵は、第１の鍵から実質的に導出不能である。発見可能、即ち、ホワイト・データは、第１の鍵を用いて暗号化され、発見不可能、即ち、ブラック・データは、第２の鍵を用いて暗号化される。その後の通信またはトランザクションでは、第１の鍵および第２の鍵の少なくとも一つが変化（ｍｕｔａｔｅ）させられる。

別の実施形態では、メッセージが、エンティティとオーセンティケータ（認証手段）の間で送信され、メッセージは、そのエンティティに関連する識別子を確立することと、ブラック・データを暗号化するための第１の鍵であって、そのエンティティおよび認証手段にのみ知られた第１の鍵を確立することにより送信される。ホワイト・データを暗号化するための第２の鍵が確立される。第２の鍵は、前記のエンティティおよび認証手段にのみ知られている。リクエスト（要求）識別子が確立され、暗号化要求を生成するために、第２の鍵を用いて暗号化される。要求識別子のハッシュが生成され、そのハッシュが、暗号化要求ハッシュを生成するために、第１の鍵を用いて暗号化される。暗号化要求および暗号化要求ハッシュが、認証手段へ送られ、第１の鍵および第２の鍵の少なくとも一方が変化させられる。

別の実施形態では、発見可能データと発見不可能データとを含むデータを暗号化するためのシステムが提供される。このシステムは、第１の鍵および第２の鍵を有する送信者を含む。第２の鍵は、第１の鍵から実質的に導出不能である。送信者は、第１の鍵を用いて発見可能データを暗号化し、第２の鍵を用いて発見不可能データを暗号化し、かつ変化した第１の鍵および変化した第２の鍵の少なくとも一つを認証手段から受け取るように構成される。

他の実施形態および詳細は、図面および詳細な説明において例示および説明される。

本発明の実施形態を詳細に説明する前に、その応用において、本発明は、以下の説明において説明される、または図面において例示される構成要素の構造および構成の細部にわたり限定されないことを理解されたい。本発明は、更に他の実施形態が可能であり、様々な方法で実行または実施されることが可能である。また、本明細書で使用される表現法および用語法は、説明を目的としたものであり、限定的なものと見なされるべきでないことも理解されたい。

具体的には、幾つかの実施形態は、様々なコンピュータ・デバイスを使用して実施され、様々なコンピュータ・デバイスには、パーソナルまたはホーム・コンピュータ、サーバ、およびプロセッサを有するか又はプログラム、即ち、命令の組を実行することが可能な他のデバイスなどが含まれ、他のデバイスは、セット・トップ・ボックス（例えば、デジタル・ケーブルまたは衛星デコーダ）などの専用デバイスを含むことを理解されたい。一般に、幾つかの実施形態は、既存のハードウェア、または当業者により容易に作成され得るハードウェアを使用して、実施することができる。従って、例示的なデバイスのアーキテクチャは、デバイスが一般に、プロセッサと、メモリ（何らかの種類）と、入力および出力デバイスとを有することに言及する以外は、詳細には説明されない。幾つかの場合、デバイスはまた、オペレーティング・システムと、オペレーティング・システムにより管理されるアプリケーション・プログラムとを有することができる。幾つかの実施形態では、ハードウェア・デバイス、またはハードウェア・デバイスにより実行されるソフトウェアはまた、実施される本発明の具体的な実施形態におけるデバイスの役割に応じて、データを圧縮もしくは圧縮解除（伸張）するため、またはデータを符号化もしくは暗号化データを復号するための何らかの能力も提供する。幾つかの例では、圧縮解除機能は、ハードウェア実装のムービング・ピクチャ・エキスパート・グループ（「ＭＰＥＧ」）・コーデックなどのような使用可能なコーデックを使用して、提供することができる。暗号解除機能は、特定の暗号化アルゴリズムを使用して暗号化されたデータを暗号解除することが可能な暗号解除ハードウェアまたはソフトウェア・モジュールを使用して、提供することができる。幾つかの実施形態では、暗号化アルゴリズムは、ラインダール（Ｒｉｊｎｄａｅｌ）アルゴリズムを含み、その一例は、http://www.esat.kuleuven.ac.be/~rijmen/rijndael/rijndaelref.zipにおいて入手可能である。

図１は、ネットワークを介してコンテンツを配布するように構成された例示的なシステム２０を示している。実際には、当業者に明らかなように、インターネット、電話システム、無線ネットワーク、衛星ネットワーク、ケーブルＴＶネットワーク、ならびに様々な他の私的および公的ネットワークなどのような１または複数のネットワークまたは通信システムが、本発明の実施形態または実装の要望または必要とされる通信リンクを提供するために、様々な組み合わせで使用できる。従って、本発明は、どのような特定のネットワークまたはネットワークの組み合わせにも限定されない。しかし、幾つかの実施形態では、システム２０において使用されるネットワークまたは通信システムは、あるバージョンのラインダール暗号化を用いて暗号化されたデータを含む通信や他の通信などのような、デジタルおよび／またはセキュアの通信をサポートするための能力を有する。更に、データは、１つのエンティティから別のエンティティへ、有線通信、無線通信、または１つのエンティティから別のエンティティへ物理的に搬送される物理媒体を用いて、伝達することができる。

図１に示される実施形態では、システム２０は、３つの参加者、即ち、第１のデバイス２２と、第２のデバイス２４と、認証デバイス２８とを含む。図１に示される例示的な実施形態では、第１のデバイス２２が、第２のデバイスに送信されるデータを保有すると仮定される。図１は、第１のデバイス２２および第２のデバイス２４を示すだけであるが、幾つかの実施形態では、システム２０には数多くのデバイスが含まれ、少なくとも１つのデバイスが、別のデバイスに送信されるデータを保有する。更に、幾つかの実施形態では、システム２０は、複数の認証デバイス２８を含む。

第１のデバイス２２、第２のデバイス２４、および認証デバイス２８は、２方向リンク３０、３２、３８を介して、互いに接続される。リンク３０、３２、３８は、上述の１または複数のネットワークの全部または一部を含むことができる。幾つかの実施形態では、システム２０は、ラインダール・アルゴリズムなどのような、鍵ベースの暗号化アルゴリズムおよび現在使用可能なアルゴリズムを使用する。システム２０で使用されるアルゴリズムの選択は、アルゴリズムの強度（解読に対する）とアルゴリズムのスピード（選択されたアルゴリズムにより必要とされる数学的演算を実行するためのプロセッサ能力に関する）との間のトレード・オフを含む様々な要因に依存することができる。

幾つかの実施形態では、図１に示されるように、認証デバイス２８は、システム２０が実施または準拠するプロトコルにより使用される番号を生成するために、乱数生成器３９を使用する。乱数生成器３９は、真にランダムな数（即ち、本発明を実施するために使用される特定の技術を用いた中で可能な限りランダムな数）を生成することができる。例えば、コンテンツを取得するための顧客からの要求などの通信トラフィックは、乱数を生成するために使用することができる。そのような要求は一般に、予測不可能に発生する。従って、アルゴリズム的方法を用いて生成される疑似乱数とは対照的に、そのようなトラフィックに基づいて生成される乱数もまた、真にランダムまたはほぼ真にランダムである。

幾つかの実施形態では、第１のデバイス２２および第２のデバイス２４は、データを送信するために、ミューテーティング（変化）識別子（「ＩＤ」）（ｍｕｔａｔｉｎｇ ｉｄｅｎｔｉｆｉｅｒ）を使用する。例示的な変化ＩＤ３８が、図２に示されている。変化ＩＤ３８は、２つの部分、即ち、第１の部分４０と、第２の部分４２とを有する識別子である。第１の部分４０は、識別番号を含み、それは乱数である。図２に示されるように、幾つかの実施形態では、変化ＩＤの２つの部分は各々、多数のビットを含む。例えば、第１の部分４０および第２の部分４２は各々、２５６ビットを含むことができる。他の実施形態では、第１の部分４０および／または第２の部分４２は、１メガビットや１メガバイトなどのような、より多数のビットを含む。

第２の部分４２は秘密鍵を含み、秘密鍵は、やはり乱数であり、幾つかの実施形態では対称暗号鍵である。変化ＩＤは、１回だけ使用することができ、その後は長い間、再使用することができない。

加えて、図２は、２つの部分のみを有する変化ＩＤを示しているが、変化ＩＤは、付加的な区画または部分を含むことができる。例えば、以下で説明されるように、変化ＩＤは、識別番号と、第１のタイプのデータ（例えば発見可能データ）用の秘密鍵と、第２のタイプのデータ（例えば発見不可能データ）用の秘密鍵とを含むことができる。

変化ＩＤは、認証デバイス２８により生成され、追跡される。変化ＩＤは、１回限り使用可能な機構であるので、第１のデバイス２２、第２のデバイス２４、または別のデバイスがひとたび、供給された変化ＩＤ（例えば、一つの変化ＩＤまたは複数の一つの変化ＩＤ）を使用すると、デバイスは、認証デバイス２８から別の変化ＩＤ（または妥当な場合には複数の変化ＩＤ）を取得することができる。変化ＩＤに含まれるデータは、すべての可能な変化ＩＤにとって等しい確率で、ランダムに選択することができる。

図３ａおよび図３ｂは、変化ＩＤが、認証デバイス２８から第１のデバイス２２または第２のデバイス２４へどのように配布され得るかを示している。図３ａに示されるように、幾つかの実施形態では、デバイス４３（第１のデバイス２２や第２のデバイス２４など）は、認証デバイス２８に複数の変化ＩＤを要求する。認証デバイス２８は、デバイス４３が要求した数の変化ＩＤを生成し、変化ＩＤのリストをデバイス４３へ送る。デバイス４３は、要求した変化ＩＤの数量およびそれぞれの変化ＩＤのサイズを知っており、リストを個々の変化ＩＤに分割する。幾つかの実施形態では、認証デバイス２８は、変化ＩＤを分割するデバイス４３を支援するために、情報または命令をデバイス４３に提供する。例えば、認証デバイス２８は、拡張マークアップ言語（「ＸＭＬ」）などのデータ記述言語を使用して、変化ＩＤを分割するデバイス４３を支援するために、情報または命令をデバイス４３に提供することができる。

図３ｂに示されるように、他の実施形態では、デバイス４３は、新しい変化ＩＤを要求した際に、または先に提供された変化ＩＤを使用した際に、単一の変化ＩＤを受け取ることができる。単一の新しい変化ＩＤは、デバイス４３へ送られ、先にデバイス４３に提供された変化ＩＤに取って代わる。

図１に示される実施形態では、認証デバイス２８は、第１のデバイス２２に変化ＩＤ（この例ではこれ以降「第１の変化ＩＤ」と呼ばれる）を、また第２のデバイス２４に変化ＩＤ（この例ではこれ以降「第２の変化ＩＤ」と呼ばれる）をランダムに割り当てまたは提供する。第１の変化ＩＤは、第２の変化ＩＤとは異なり、第１の変化ＩＤおよび第２の変化ＩＤの各々は、他の変化ＩＤを決定するための情報を提供しない。図２に関して上述したように、それぞれの変化ＩＤは、乱数４０と、対応するランダムな秘密鍵４２とを含む。幾つかの実施形態では、変化ＩＤは、モディファイド・ハッシュ（ｍｏｄｉｆｉｅｄ ｈａｓｈ）の形式を取る。上述したように、ランダムであることに加えて、変化ＩＤ（または妥当な場合はハッシュ）は、それぞれの使用の後に廃棄される。言い換えると、認証デバイス２８は、変化ＩＤが使用された後、新しい乱数と新しいランダムな秘密鍵４２とを有する新しい変化ＩＤを提供する。幾つかの実施形態では、変化ＩＤは、それを使用するデバイスとは完全に無関係である。即ち、変化ＩＤまたはハッシュは、デバイスの正体に関するどのような情報も含まない。このようにして、デバイスの正体は、認証デバイス２８を除いて、すべての参加者にとって不明である。

本発明の幾つかの実施形態は、対称鍵システムを実施する。対称鍵システムは一般に、システムのエンティティまたは関与者の数が多くなると、鍵の管理の問題に遭遇する。例えば、ｎ個のエンティティから成るネットワークは、すべてのエンティティが互いに通信することを可能にするために、ｎ（ｎ−１）／２個の鍵を必要とする。従って、１０００個のエンティティから成るシステムの場合、個々のエンティティのすべてが他のすべてのエンティティへ同じコンテンツを送ることを望む場合、ほぼ５０万個の鍵が必要とされる。

しかし、開示される実施形態は、システムのエンティティのすべての対ごとに別個の鍵を必要としない。説明されるように、各エンティティと、各エンティティにより配布されるコンテンツの各部分は、１つの鍵を受け取り、その鍵は、それぞれの使用の後で変化させられる。従って、１０００個のエンティティから成るシステムの場合、先の対称鍵システムを用いた場合のほぼ５０万個の鍵に比べて、僅か２０００個の鍵が必要とされる。また、認証デバイス２８は、変化ＩＤのビット列全体を保存することを要求されない。認証デバイス２８は、変化ＩＤの各鍵部分を、対応する番号に基づいてメモリ記憶ロケーションにマッピングするために、ハッシュ関数または単に位置インデックスを使用することができる。

本発明の実施形態と従来のセキュリティ・システムとの間の他の相違は、スピードと、ある種の攻撃に対する脆弱性の低下とに関する。対称鍵の使用はまた、高速な計算を可能にする（公開鍵システムと比べて）。公開鍵システムの背後にある基本的考えは、一方向性関数の使用である。一方向性関数は、計算するのは容易であるが、その逆計算は困難である。公開鍵システムは、一方向性関数を逆方向で計算するための鍵を提供するトラップドア一方向性関数（ｔｒａｐｄｏｏｒ ｏｎｅ−ｗａｙ ｆｕｎｃｔｉｏｎ）を使用する。公開鍵システムは、自由にアクセスされ、メッセージに適用するための一方向性関数として使用される公開鍵を各参加者に提供する。公開鍵システムはまた、一方向性関数の計算を与えた場合にメッセージを計算するための私有鍵（公開鍵から導出することは計算的に実行不可能であると信じられている）も各参加者個々に提供する。公開鍵システムのセキュリティは、私有鍵は公開鍵から導出され得ないという仮定に依存している。この要件を維持するため、公開鍵システムにおいて使用される一方向性関数は複雑である。しかし、複雑性の追加は、計算時間の追加という犠牲を払うことになる。公開鍵システムはしばしば、対称鍵システムよりも１０００倍遅い。

対称鍵の使用はまた、選択平文攻撃（ｃｈｏｓｅｎ ｐｌａｉｎｔｅｘｔ ａｔｔａｃｋ）の有効性を低下させる。選択平文攻撃は、侵入者が暗号化鍵またはプロセスにアクセスし、暗号化する特定の平文を選択し、暗号化されたテキストから知識を得ようと試みるときに生じる。公開鍵システムでは、ある個人の公開鍵は、通信システムのすべての参加者に知られている。どの侵入者も、ある個人の公開鍵を使用して、数限りないメッセージを暗号化することができる。攻撃者が、ある個人の公開鍵を用いて、あり得るメッセージを暗号化し、その後、その個人へ送られた暗号化メッセージを傍受した場合、侵入者は、傍受したメッセージと、侵入者が生成したメッセージとを比較することができる。傍受メッセージが、侵入者により生成された暗号化メッセージと一致した場合、メッセージは、危険にさらされ、侵入者は、侵入者に宛てられたものではないメッセージを読むことができる。この攻撃は、あり得るメッセージが僅かな数しか存在しない場合、相対的に容易かつ有効であり、また、あり得るメッセージの数が、侵入者が暗号化できる数または傍受された暗号化メッセージと比較できる数を超えている場合であっても、傍受された暗号化メッセージが特定のメッセージと一致しないことを知るだけで、侵入者に有用な情報を提供することができる。どちらの状況においても、侵入者は、個人の私有鍵を推論することはできないが、その個人に送られたメッセージまたはメッセージに関する情報を推論できることがある。本発明の実施形態は対称鍵システムを使用するため、暗号化鍵は公開の知識ではなく、従って選択平文攻撃は適用可能ではない。

従来の対称鍵システムおよび公開鍵システムには、別の問題が存在する。無権限の主体（エンティティ）が、許可されている鍵へのアクセスを得ると、その無権限のエンティティは、その危険にさらされた鍵を用いて暗号化されたすべてのメッセージを復号することができ、おそらくより危険なこととして、システムの他のエンティティを欺くために、偽メッセージを暗号化することができる。変化ＩＤプロトコルは、それぞれの秘密鍵をそれが使用された後に変化させることにより、この脆弱性を低下させる。秘密鍵が危険にさらされたとしても、その危険にさらされた秘密鍵は、認証手段により使用済としてマーク付けされており、将来のメッセージを暗号化するために再使用されないので、将来のメッセージを生成するために使用することも、また将来のメッセージを暗号解除するために使用することもできない。

システム２０は、エンティティ間の通信を管理するためにプロトコルを使用する。各エンティティは、図２に示された識別子またはＩＤ３８などのような変化ＩＤを、認証デバイス２８によりランダムに割り当てられる。言及されたように、それぞれの変化ＩＤは、乱数４０と、対応するランダムな秘密鍵４２とを含む。幾つかの実施形態では、変化ＩＤは、モディファイド・ハッシュの形式を取る。

認証デバイス２８はまた、システム２０を介して配布されるコンテンツまたはデータのための暗号化鍵も生成する。データを送信したいデバイスは、認証デバイス２８に鍵を要求する。データを送るデバイス（即ち、送信デバイス）は、送信するデータのラベルもしくは関数（即ち、任意の識別ストリング）を認証デバイス２８へ供給し、認証デバイス２８は、関連する鍵により応答する。鍵は、変化ＩＤと同様に、それが暗号化するデータとは無関係である。データの識別子（例えば、ランダムな識別子）だけが提供されるので、認証デバイス２８も、データについての知識を有さない。認証デバイス２８は、鍵および関連するデータ識別子を記録する。

幾つかの実施形態では、認証デバイス２８が、データ識別子に関連する鍵を生成し、それを送信デバイスへ供給した後、送信デバイスは、鍵を使用してデータを暗号化する。暗号化データを受け取ったデバイス（即ち、受信デバイス）は、対応する暗号解除鍵（例えば、データを暗号化するのに使用されたのと同じ鍵）を認証デバイス２８に要求する。幾つかの実施形態では、認証デバイス２８は、システム２０に含まれており合法的な要求を行った何れの権限付与された（許可された、authorized）受信デバイスにも、暗号解除鍵を供給する。暗号解除鍵の要求は、データのラベルまたは識別ストリングへの参照を含む。認証デバイス２８は、要求内で示されたラベルに基づいて、関連する鍵を決定し、適切な鍵を受信デバイスへ返す。

本発明の例示的な実施形態が、幾つかの例を使用して説明される。

通信プロトコルについての多くの説明と同様に、プロトコルで使用される様々なデバイス（またはそれらのデバイスに関連するコンピュータ・システム）には名前が割り当てられる。一実施形態では、アリス（Ａ）およびボブ（Ｂ）は、第１のデバイス２２および第２のデバイス２４をそれぞれ表し、トレント（Ｔ）は、認証デバイス２８、通信の信用できるアービタ（ａｒｂｉｔｅｒ）を表す。キャロル（Ｃ）は、システム２０に含まれる第３のデバイスを表す。以下の表１は、プロトコルの複数の実施形態を説明するために本文書において使用される他の符号のリストである。

セッション鍵
幾つかの実施形態では、２つのエンティティの間で通信またはセッション鍵を交換するために、変化ＩＤが使用される。例えば、アリスとボブは、安全に通信したがっていると仮定する。アリスおよびボブは、トレントを信用しているものとし、トレントは、番号Ｎ_Ａと何らかの対称暗号用の秘密鍵Ｋ_Ａとを含む変化ＩＤをアリスに割り当て、また番号Ｎ_Ｂと何らかの対称暗号用の秘密鍵Ｋ_Ｂとを含む変化ＩＤをボブに割り当てるものと仮定する。また、アリスおよびボブは、各々、トレントおよび信用証明書（credential）の保有者だけが知っている信用証明書（例えば、それぞれＡ_ｃｒｅｄおよびＢ_ｃｒｅｄ）を有するものとする。

セッション鍵Ｋ_ＡＢをトレントに要求するために、アリスは、アリスの信用証明書およびボブの識別子（例えば、Ｂ_ＩＤ）をアリスの秘密鍵Ｋ_Ａを用いて暗号化し、その結果としてできたものにアリスの番号Ｎ_Ａを追加する。アリスは、ボブへメッセージを送る。

Ａ→Ｂ：Ｎ_ＡＥ（Ｋ_Ａ，Ａ_ｃｒｅｄＢ_ｉｄ）

ボブは、アリスからのメッセージに、ボブの信用証明書およびアリスの識別子（例えば、Ａ_ｉｄ）を連結し、その結果としてできたものをボブの秘密鍵Ｋ_Ｂを用いて暗号化する。ボブは、暗号化の結果としてできたものにボブの番号Ｎ_Ｂを追加し、その結果としてできたものをトレントへ送る。

Ｂ→Ｔ：Ｎ_ＢＥ（Ｋ_Ｂ，Ｂ_ｃｒｅｄＡ_ｉｄＮ_ＡＥ（Ｋ_Ａ，Ａ_ｃｒｅｄＢ_ｉｄ））

トレントは、番号Ｎ_Ｂがボブに関連付けられていることを知っているので、メッセージがボブから来たことを識別する。トレントは、そのメッセージをＫ_Ｂを使用して暗号解除し、信用証明書Ｂ_ｃｒｅｄを検査する。トレントはまた、アリスにより構成されたメッセージの部分も暗号解除し、検証する。ボブの信用証明書Ｂ_ｃｒｅｄが、ボブの番号Ｎ_Ｂおよびアリスにより提供されたボブの識別子Ｂ_ｉｄに合致し、かつアリスの信用証明書Ａ_ｃｒｅｄが、アリスの番号Ｎ_Ａおよびボブにより提供されたアリスの識別子Ａ_ｉｄに合致した場合、トレントは、要求の正当性を認める。要求の正当性を認めた後、トレントは、アリス宛てのメッセージおよびボブ宛てのメッセージを生成する。アリス宛てのメッセージは、新しい番号Ｎ_Ａ’と、新しい秘密鍵Ｋ_Ａ’と、アリスの信用証明書Ａ_ｃｒｅｄと、セッション鍵Ｋ_ＡＢとを含む。トレントは、アリス宛てのメッセージをアリスの現在の秘密鍵Ｋ_Ａを用いて暗号化する。ボブ宛てのメッセージは、新しい番号Ｎ_Ｂ’と、新しい秘密鍵Ｋ_Ｂ’と、ボブの信用証明書Ｂ_ｃｒｅｄと、セッション鍵Ｋ_ＡＢとを含む。トレントは、ボブ宛てのメッセージをボブの現在の秘密鍵Ｋ_Ｂを用いて暗号化する。トレントは、アリスおよびボブへメッセージを送る。

Ｔ→Ａ：Ｅ（Ｋ_Ａ，Ｎ_Ａ’Ｋ_Ａ’Ａ_ｃｒｅｄＫ_ＡＢ）
Ｔ→Ｂ：Ｅ（Ｋ_Ｂ，Ｎ_Ｂ’Ｋ_Ｂ’Ｂ_ｃｒｅｄＫ_ＡＢ）

上記のプロトコルは、より多くのエンティティを含むように拡張することができる。例えば、アリスが、ボブおよびキャロルに関連するセッション鍵を欲しい場合、アリスは、ボブの識別子Ｂ_ｉｄおよびキャロルの識別子（例えば、Ｃ_ｉｄ）などのボブおよびキャロルの既知の識別子を、アリスのメッセージ中に列挙することができる。同様に、ボブは、アリスおよびキャロルの識別子を列挙することができ、キャロルは、アリスおよびボブの識別子を列挙することができる。各エンティティはまた、各自の信用証明書を各自のメッセージ中に含めることができる。上記で示したように、各エンティティは、要求されたセッション鍵に関連する別のエンティティへ、各自のメッセージを送ることができ、各エンティティは、受け取ったメッセージに、各自のメッセージを追加することができる。すべての意図されたエンティティが、各自のメッセージを要求に追加すると、最後のエンティティは、その要求をトレントへ送る。トレントは、各エンティティの信用証明書が、各エンティティに割り当てられた変化ＩＤ（例えば、変化ＩＤの番号）と合致すること、および各エンティティにより指定された識別子のリストが、提供された信用証明書と合致することを検証する。要求の正当性を認めた後、トレントは、新しい変化ＩＤ（例えば、新しい番号および新しい秘密鍵）、およびリストされたエンティティに関連するセッション鍵とを、各エンティティの信用証明書と共に各エンティティへ送る。

コンテンツ使用ライセンス
変化ＩＤはまた、エンティティがコンテンツを取得するためおよび復号するために使用し得るライセンスを提供するために、使用することもできる。例えば、アリスは、ボブに安全に送りたいコンテンツまたはメッセージＰを有しているとする。アリスおよびボブは、トレントを信用しているものとし、トレントは、番号Ｎ_Ａと何らかの対称暗号用の秘密鍵Ｋ_Ａとを含む変化ＩＤをアリスに割り当て、また番号Ｎ_Ｂと何らかの対称暗号用の秘密鍵Ｋ_Ｂとを含む変化ＩＤをボブに割り当てるものとする。また、アリスおよびボブは、各々、トレントおよび信用証明書の保有者だけが知っている信用証明書（例えば、それぞれＡ_ｃｒｅｄおよびＢ_ｃｒｅｄ）を有するものとする。

メッセージＰのためのライセンスを取得するため、アリスは、メッセージＰのハッシュを生成し、そのハッシュＨ（Ｐ）をアリスの信用証明書Ａ_ｃｒｅｄと連結し、その結果としてできたものをアリスの秘密鍵Ｋ_Ａを用いて暗号化する。アリスはまた、アリスの番号Ｎ_Ａを、暗号化した結果としてできたものに追加する。アリスは、ライセンス要求をトレントへ送る。

Ａ→Ｔ：Ｎ_ＡＥ（Ｋ_Ａ，Ａ_ｃｒｅｄＨ（Ｐ））

トレントは、アリスからの要求の暗号解除を行い、アリスへの応答を生成する。アリスへの応答は、アリス用の新しい番号Ｎ_Ａ’および新しい秘密鍵Ｋ_Ａ’を含む変化ＩＤと、ライセンス番号Ｎ_Ｈ（Ｐ）およびライセンス秘密鍵Ｋ_Ｈ（Ｐ）を含む、メッセージＰのためのライセンスに関連する変化ＩＤと、メッセージＰのための鍵Ｋ_Ｐとを含む。幾つかの実施形態では、トレントはまた、メッセージが改ざんされていないことをアリスが保証できるように、アリスへの応答にハッシュＨ（Ｐ）も含める。トレントは、応答をアリスの現在の秘密鍵Ｋ_Ａを用いて暗号化し、暗号化された応答をアリスに送る。

Ｔ→Ａ：Ｅ（Ｋ_Ａ，Ｎ_Ａ’Ｋ_Ａ’Ｎ_Ｈ（Ｐ）Ｋ_Ｈ（Ｐ）Ｋ_ＰＨ（Ｐ））

アリスは、トレントから応答を取得すると、その応答を暗号解除し、鍵Ｋ_Ｐと、メッセージＰのためのライセンスに関連する変化ＩＤとを取得する。アリスは、鍵Ｋ_Ｐを用いてメッセージＰを暗号化し、暗号化したメッセージＰのためのライセンスを生成する。暗号化メッセージＰのためのライセンスは、アリスの信用証明書Ａ_ｃｒｅｄと、メッセージのハッシュＨ（Ｐ）とを含む。幾つかの実施形態では、ライセンスはまた、ライセンスの受取手の識別子も含む。例えば、アリスがライセンスをボブへ送ろうとする場合、ライセンスは、Ｂ_ｉｄなどのようなボブの識別子を含むことができる。幾つかの実施形態では、受取手の識別子は、プロトコルの複雑性を低減するために、ライセンスから除外される。例えば、デジタル媒体製作会社は、コンテンツの受取手となり得る者を事前に知り得ず、または追跡し得ないであろう。アリスは、ライセンス秘密鍵Ｋ_Ｈ（Ｐ）を用いてライセンスを暗号化し、暗号化の結果としてできたものに、関連するライセンス番号Ｎ_Ｈ（Ｐ）を追加する。アリスは、暗号化メッセージと、関連するライセンスとをボブへ送る。

Ａ→Ｂ：Ｅ（Ｋ_Ｐ，Ｐ） （暗号化コンテンツ）
Ａ→Ｂ：Ｎ_Ｈ（Ｐ）Ｅ（Ｋ_Ｈ（Ｐ），Ａ_ｃｒｅｄＨ（Ｐ）Ｂ_ｉｄ） （ライセンス）

暗号化メッセージＰおよび関連ライセンスを受け取った後の何れかの時点で、ボブは、暗号化メッセージＰのための暗号解除鍵を要求することができる。暗号解除鍵の要求を生成するため、ボブは、ボブの信用証明書Ｂ_ｃｒｅｄを、アリスが生成したライセンスに連結し、その結果としてできたものをボブの秘密鍵Ｋ_Ｂを用いて暗号化する。ボブはまた、ボブの番号Ｎ_Ｂを、暗号化して連結したものに追加し、要求をトレントへ送る。

Ｂ→Ｔ：Ｎ_ＢＥ（Ｋ_Ｂ，Ｂ_ｃｒｅｄＮ_Ｈ（Ｐ）Ｅ（Ｋ_Ｈ（Ｐ），Ａ_ｃｒｅｄＨ（Ｐ）Ｂ_ｉｄ））

トレントは暗号を開き、ボブの識別子がライセンスに含まれている場合、トレントは、信用証明書Ｂ_ｃｒｅｄおよび番号Ｎ_Ｂが、アリスが生成したライセンス内の識別子と合致することを検証する。トレントはまた、ハッシュＨ（Ｐ）が、ライセンス番号Ｎ_Ｈ（Ｐ）およびライセンス秘密鍵Ｋ_Ｈ（Ｐ）と合致することを検証することもできる。ボブからのメッセージの正当性を認めた（verify、確認した）後、トレントは、暗号化メッセージＰを暗号解除するために使用され得る鍵Ｋ_Ｐと、ボブ用の新しい番号Ｎ_Ｂ’および新しい秘密鍵Ｋ_Ｂ’を含む変化ＩＤと、ボブの信用証明書Ｂ_ｃｒｅｄとを、すべてボブの現在の秘密鍵Ｋ_Ｂを用いて暗号化して、ボブへ送る。

Ｔ→Ｂ：Ｅ（Ｋ_Ｂ，Ｎ_Ｂ’Ｋ_Ｂ’Ｋ_ＰＢ_ｃｒｅｄ）

アリスが望む場合、トレントは、ボブが暗号解除鍵を要求したことをアリスに通知することができる。

Ｔ→Ａ：Ｅ（Ｋ_Ａ’，“ボブは識別子Ｈ（Ｐ）に関連する鍵を要求した”）

暗号解除鍵をボブに提供した後、メッセージＰのためのライセンスに関連する１回限り使用可の変化ＩＤをこの例では構成するライセンス番号Ｎ_Ｈ（Ｐ）およびライセンス秘密鍵Ｋ_Ｈ（Ｐ）をトレントはすでに見ているので、アリスがボブに提供したライセンスはもはや有効ではない。

先の例でのように、このプロトコルは、各エンティティが各自の信用証明書をライセンスに追加するようにさせ、その結果としてできたものを各自に割り当てられた変化ＩＤを用いて暗号化させ、その変更したライセンスを次のエンティティへ送らせることにより、複数のエンティティを含むように拡張することができる。例えば、アリスがライセンスを生成し、それをキャロルへ送り、キャロルがそのライセンスをデイビッドへ送り、次にデイビッドがそのライセンスをボブへ送った場合、トレントにより受け取られる結果的なライセンスは以下のようになる。

Ｔ→Ａ：Ｎ_ＢＥ（Ｋ_Ｂ，Ｂ_ｃｒｅｄＮ_ＤＥ（Ｋ_Ｄ，Ｄ_ｃｒｅｄＮ_ＣＥ（Ｋ_Ｃ，Ｃ_ｃｒｅｄＮ_Ｈ（Ｐ）Ｅ（Ｋ_Ｈ（Ｐ），Ａ_ｃｒｅｄＨ（Ｐ）Ｂ_ｉｄ））））

デジタル署名
これまで、セッションを確立するため、およびライセンスを送り届けるための、変化ＩＤの使用について説明してきた。別の実施形態では、変化ＩＤは、デジタル署名として使用される。アリスおよびボブが各々、アリスとボブの間の合意を必要とする情報Ｐを含む文書Ｓのコピーを有すると仮定する。例えば、文書Ｓは、売買証書を含むことができ、情報Ｐは、その売買証書に関する最終価格を含むことができる。また、キャロルは、情報Ｐについて知る必要があるかもしれないが文書Ｓについては必ずしも知る必要のない、合意の仲裁者（例えば、クレジット・カード会社または銀行）であると仮定する。アリス、ボブ、およびキャロルは各々、トレントを信用しているものとし、トレントは、番号Ｎ_Ａと何らかの対称暗号用の秘密鍵Ｋ_Ａとを含む変化ＩＤをアリスに割り当て、番号Ｎ_Ｂと何らかの対称暗号用の秘密鍵Ｋ_Ｂとを含む変化ＩＤをボブに割り当て、また番号Ｎ_Ｃと何らかの対称暗号用の秘密鍵Ｋ_Ｃとを含む変化ＩＤをキャロルに割り当てるものとする。また、アリス、ボブ、およびキャロルは各々、トレントおよび信用証明書の保有者だけが知っている信用証明書（例えば、それぞれＡ_ｃｒｅｄ、Ｂ_ｃｒｅｄ、およびＣ_ｃｒｅｄ）を有するものとする。

文書Ｓの署名を開始するため、アリスは、文書Ｓまたは文書Ｓのハッシュと、アリスの信用証明書Ａ_ｃｒｅｄのハッシュとを含むメッセージを生成する。幾つかの実施形態では、アリスは、メッセージを仮装させるか又は符号化する。例えば、アリスは、文書のハッシュとアリスの信用証明書Ａ_ｃｒｅｄのハッシュのＸＯＲを生成することができる。メッセージはまた、情報Ｐを含むこともできる。アリスは、アリスの秘密鍵Ｋ_Ａを用いてメッセージを暗号化し、アリスの番号Ｎ_Ａを追加し、その結果としてできたものをボブへ送る。

Ａ→Ｂ：Ｎ_ＡＥ（Ｋ_Ａ，ＸＯＲ（Ｈ（Ｓ），Ｈ（Ａ_ｃｒｅｄ））Ｐ）

ボブは、文書Ｓのハッシュとボブの信用証明書Ｂ_ｃｒｅｄのハッシュのＸＯＲを含み得る同様のメッセージを生成する。幾つかの実施形態では、ボブはまた、情報Ｐをメッセージに追加する。ボブは、ボブのメッセージをアリスからのメッセージに追加し、その結果としてできたものをボブの秘密鍵Ｋ_Ｂを用いて暗号化する。ボブはまた、ボブの番号Ｎ_Ｂを追加し、その結果としてできたものをトレントへ送る。

Ｂ→Ｔ：Ｎ_ＢＥ（Ｋ_Ｂ，ＸＯＲ（Ｈ（Ｓ），Ｈ（Ｂ_ｃｒｅｄ））ＰＮ_ＡＥ（Ｋ_Ａ，ＸＯＲ（Ｈ（Ｓ），Ｈ（Ａ_ｃｒｅｄ））Ｐ））

トレントは、ボブからのメッセージを暗号解除し、アリスおよびボブにより生成された文書Ｓのハッシュが等しいことを検証する。アリスおよびボブが、各自のメッセージに情報Ｐを含めている場合、トレントはまた、アリスおよびボブから提供された情報Ｐが等しいことも検証する。メッセージの正当性が認められた後、トレントは、アリスおよびボブのための受領証（ｒｅｃｅｉｐｔ）を生成する。アリスの受領証は、ボブの識別子（例えば、Ｂ_ｉｄ）と、文書Ｓのハッシュと、オプションとして情報Ｐとを含む。トレントは、アリスおよびボブのための受領証に関連する変化ＩＤの一部である受領証秘密鍵Ｋ_{ｒｅｃｅｉｐｔ}を用いて、アリスの受領証を暗号化する。トレントはまた、アリスおよびボブのための受領証に関連する変化ＩＤに含まれる関連する受領証番号Ｎ_{ｒｅｃｅｉｐｔ}を、アリスの受領証に追加する。トレントは、その後、アリスの受領証と、アリス用の新しい番号Ｎ_Ａ’および新しい秘密鍵Ｋ_Ａ’を含む変化ＩＤと、アリスの信用証明書Ａ_ｃｒｅｄとを、アリスの現在の秘密鍵Ｋ_Ａを用いて暗号化し、その結果としてできたものをアリスへ送る。

Ｔ→Ａ：Ｅ（Ｋ_Ａ，Ｎ_Ａ’Ｋ_Ａ’Ａ_ｃｒｅｄＮ_{ｒｅｃｅｉｐｔ}Ｅ（Ｋ_{ｒｅｃｅｉｐｔ}，Ｂ_ｉｄＨ（Ｓ）Ｐ））

トレントは、アリスの識別子（例えば、Ａ_ｉｄ）と、文書Ｓのハッシュと、オプションとして情報Ｐとを含む、ボブのための同様の受領証を生成する。トレントは、アリスの受領証を暗号化したのと同じ受領証鍵Ｋ_{ｒｅｃｅｉｐｔ}を用いて、ボブの受領証を暗号化し、アリスの受領証に追加したのと同じ受領証番号Ｎ_{ｒｅｃｅｉｐｔ}を追加する。トレントは、ボブの受領証と、新しい番号Ｎ_Ｂ’および新しい秘密鍵Ｋ_Ｂ’を含む第６の変化ＩＤと、ボブの信用証明書Ｂ_ｃｒｅｄとを、ボブの現在の秘密鍵Ｋ_Ｂを用いて暗号化し、その結果としてできたものをボブへ送る。

Ｔ→Ｂ：Ｅ（Ｋ_Ｂ，Ｎ_Ｂ’Ｋ_Ｂ’Ｂ_ｃｒｅｄＮ_{ｒｅｃｅｉｐｔ}Ｅ（Ｋ_{ｒｅｃｅｉｐｔ}，Ａ_ｉｄＨ（Ｓ）Ｐ））

アリスおよびボブは、各自の受領証をキャロルに提示し、キャロルは、その受領証の一方または両方を検証のためにトレントへ送る。例えば、アリスがキャロルへアリスの受領証を提供すると仮定する。キャロルは、アリスの受領証にキャロルの信用証明書を追加し、その結果としてできたものをキャロルの秘密鍵Ｋ_Ｃを用いて暗号化する。キャロルは、その結果としてできたものにキャロルの番号Ｎ_Ｃを追加し、そのメッセージをトレントへ送る。

Ｃ→Ｔ：Ｎ_ＣＥ（Ｋ_Ｃ，Ｃ_ｃｒｅｄＮ_{ｒｅｃｅｉｐｔ}Ｅ（Ｋ_{ｒｅｃｅｉｐｔ}，Ｂ_ｉｄＨ（Ｓ）Ｐ））

トレントは、キャロルからのメッセージを暗号解除し、そして、受領証を暗号解除して（トレントだけがＫ_{ｒｅｃｅｉｐｔ}知っているため）、キャロルへ受領証の詳細を提供することにより、アリスの受領証を検証する。例えば、トレントは、キャロル用の新しい番号Ｎ_Ｃ’および新しい秘密鍵Ｋ_Ｃ’を含む変化ＩＤと、キャロルの信用証明書Ｃ_ｃｒｅｄと、アリスの識別子（例えば、Ａ_ｉｄ）と、ボブの識別子（例えば、Ｂ_ｉｄ）と、文書Ｓのハッシュと、オプションとして情報Ｐとを含む、キャロル宛てのメッセージを生成することができる。トレントは、そのメッセージをキャロルの現在の秘密鍵Ｋ_Ｃを用いて暗号化し、その結果としてできたものをキャロルへ送る。

Ｔ→Ｃ：Ｎ_ＣＥ（Ｋ_Ｃ，Ｎ_Ｃ’Ｋ_Ｃ’Ｃ_ｃｒｅｄＡ_ｉｄＢ_ｉｄＨ（Ｓ）Ｐ）

キャロルは、アリスとボブとの間の合意を裁定するために、トレントからの情報を使用することができる。

上記のプロトコルは、他の数のエンティティを含むように拡張され得ることを理解されたい。

上記の例において示されたように、変化ＩＤは、上記のプロトコルにおいて使用される場合、静的な値にまさる幾つかの利点を提供する。第１の利点は、盗聴者または攻撃者は、暗号文単独の力ずく攻撃（ｃｉｐｈｅｒｔｅｘｔ−ｏｎｌｙ ｂｒｕｔｅ ｆｏｒｃｅ ａｔｔａｃｋ）を試みるためには、変化ＩＤの識別子または鍵の全ての変化の履歴を獲得しなければならないことである。

変化ＩＤの第２の利点は、変化ＩＤが、セキュリティおよび侵入検出の一意の形式を提供することである。エンティティの変化ＩＤの履歴は、エンティティの「変化ＩＤの系譜（linage）」として認証デバイス２８により監査跡（audit trail）として保持される。変化ＩＤの系譜は、各変化ＩＤが割り当てられた相手、その変化ＩＤが割り当てられた時間、およびその変化ＩＤが使用された時間を追跡する。変化ＩＤまたはその部分が何らかの仕方でコピーされたり、盗まれたり、認証デバイス２８以外のエンティティにより活動化された場合、２つのイベントの一方が発生する。第１のイベントにおいて、詐称者が使用する前に、変化ＩＤの正当な所有者がその変化ＩＤを使用した場合、詐称者が所有する盗まれたまたはコピーされた変化ＩＤは廃止され、詐称者によりその変化ＩＤが将来に使用されると、認証デバイス２８により直ちに検出される。第２のイベントにおいて、変化ＩＤが正当な所有者により使用される前に、攻撃者または詐称者が盗んだその変化ＩＤを使用した場合、その変化ＩＤは、正当な所有者が変化ＩＤを使用する前に廃止される。その後、正当な所有者が変化ＩＤを使用すると、認証デバイス２８は、その変化ＩＤを廃止済として直ちに識別して、変化ＩＤの正当な所有者には、侵入についての通知がなされ、適切なアクションを取ることができる。

変化ＩＤの第３の利点は、エンティティが既存の変化ＩＤを使用したかどうかに関わらず、プロトコル中の任意の時点で、エンティティが、既存の変化ＩＤを使用して、新しい変化ＩＤを取得し得ることである。この定期的な変化は、攻撃者が変化ＩＤを盗み、盗んだ変化ＩＤを使用できる時間を制限することができる。

ブラック・プロトコル
変化ＩＤの秘密鍵（例えば、Ｋ_Ａ、Ｋ_Ｂ、Ｋ_Ｃ、Ｋ_Ｄ）は、送信データのセキュリティを保護するために、秘密であり続けなければならない。例えば、トレントが、アリスの現在の秘密鍵（例えば、Ｋ_Ａ）を用いて暗号化された新しい変化ＩＤをアリスに提供する場合、アリスの現在の秘密鍵を特定した盗聴者は、トレントにより提供されたアリスの新しい変化ＩＤを取得することができる。盗聴者は、その後、偽データを送るため、および／またはアリスとトレントの間で交換される将来のデータの平文を取得するために、新しい変化ＩＤを使用することができる。

上述のように、盗聴者は、攻撃を実行することにより、特定のデータを暗号化するために使用された鍵を特定する（または特定しようと試みる）ことができる。図４は、力ずく攻撃（ｂｒｕｔｅ ｆｏｒｃｅ ａｔｔａｃｋ）を説明している。力ずく攻撃は、筋の通ったまたは認識可能なデータ（例えば、人が読めるデータ）を生成する鍵が見つかるまで、あらゆる可能な鍵を用いて暗号文を暗号解除することを含む。図４に示されるように、盗聴者は、初期鍵またはゼロ候補鍵を決定する（ステップ５０）。盗聴者は、その後、その候補鍵を使用して、暗号文を暗号解除する（ステップ５２）。暗号文を暗号解除した後、盗聴者は、候補鍵を用いて暗号解除された暗号文が筋の通った平文または筋の通ったパターンを生成したかどうかを決定するために、その結果（即ち、候補平文）を検査することができる（ステップ５４）。盗聴者が、取得した暗号文に対応する平文（またはその部分もしくはパターン）を取得した場合、あるいは知っている場合、盗聴者は、正しい候補鍵が見つかったかどうかを、より容易に決定することができる。例えば、盗聴者が、暗号文を取得し、暗号文が個人名とそれに続く数字４桁の個人識別番号（「ＰＩＮ：ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ」）とを含むことを知っている場合、盗聴者は、候補鍵が個人名を含む平文を生成するまで、候補鍵を適用することができる。盗聴者は、その後、ある程度の確実性をもって、生成された平文に含まれる残りの情報がＰＩＮに対応すると推定することができる。

図４に示されるように、盗聴者が、特定の候補鍵を用いて暗号文を暗号解除することにより生成された候補平文の中で筋の通ったパターンを見つけた場合（ステップ５６）、盗聴者は、ある程度の確実性をもって、現在の候補鍵が、暗号文を生成するために使用された鍵に等しいか、または使用された鍵であることを知る（ステップ５７）。

盗聴者が、特定の候補鍵を用いて暗号文を暗号解除することにより生成された候補平文の中に筋の通ったパターンを見つけなかった場合（ステップ５６）、盗聴者は、候補鍵を変更（例えば、候補鍵をインクリメント）することができ（ステップ５８）、変更された候補鍵を使用して暗号文を暗号解除し、（ステップ５２）、筋の通った平文または筋の通ったパターンを求めて、生成された候補平文を検査することができる（ステップ５４）。十分な処理能力および時間を与えられれば、盗聴者は、特定の候補鍵が筋の通った平文または筋の通ったパターンを有する候補平文を生成するまで、このプロセスを続けることができ、従って、暗号文を生成するために使用された鍵を特定することができる。

しかし、盗聴者が、平文または平文のパターンについての知識を有さない（即ち、コンテンツのヒントを有さない）場合、正しい候補鍵が見つかったかどうかを決定する盗聴者の能力は、大きく損なわれるか、おそらくは失われる。例えば、平文が特定の鍵を用いて暗号化された乱数を含む場合、盗聴者が力ずく攻撃で多くの鍵を試みても、盗聴者は、候補平文が暗号文に対応する真の平文であるかどうかを決定することができない。鍵の空間（即ち、候補鍵のプール）と暗号化アルゴリズムの平文の空間（即ち、候補平文のプール）とが実質的に同じであると仮定すると、暗号化された乱数を何れの候補鍵を用いて暗号解除しても、乱数を生成することになり、その乱数は、他の何れかの候補鍵により生成された他の乱数と同様の、元の乱数のような乱数である。

アリス、ボブ、およびトレントを含む上述のセッション鍵交換の例を参照すると、暗号化メッセージの何らかの部分が、認識可能であるか、既知であるか、既知になるか、または何らかのコンテンツ・ヒントを含む場合、盗聴者はおそらく、暗号化メッセージに対して平文攻撃または部分平文攻撃を実行し、メッセージを暗号化するために使用されたアリスまたはボブの秘密鍵を暴くことができる。例えば、アリスが以下のメッセージをボブへ送り、それが盗聴者により傍受されると仮定する。

Ａ→Ｂ：Ｎ_ＡＥ（Ｋ_Ａ，Ａ_ｃｒｅｄＢ_ｉｄ）

ボブの識別子Ｂ_ｉｄおよび上記のメッセージのフォーマットは既知であるか又は公開されているので、盗聴者は、傍受したメッセージに対して力ずく攻撃を実行することができる。従って、盗聴者は、アリスの秘密鍵Ｋ_Ａおよび信用証明書Ａ_ｃｒｅｄを取得することができる。更に、盗聴者は、アリスの現在の秘密鍵Ｋ_Ａを取得すると、アリスの現在の秘密鍵Ｋ_Ａを使用して、アリスの次の変化ＩＤ（例えば、Ｎ_Ａ’およびＫ_Ａ’）などのような、アリスの現在の秘密鍵Ｋ_Ａを用いて暗号化されるすべてのデータを取得することができる。

盗聴者は、暗号化メッセージについての、または暗号化メッセージを生成するために使用される通信プロトコルについての他の知識を使用して、力ずく攻撃を実行することができる。例えば、盗聴者は、平文で渡される変化ＩＤの番号（例えば、Ｎ_Ａ）を使用して、力ずく攻撃を実行することができる。盗聴者はまた、変化ＩＤの番号を生成するために使用されるアルゴリズムについての知識を使用して、力ずく攻撃を実行することもできる。

発見不可能、即ち、「ブラック」データ（即ち、ランダムであるか、またはコンテンツのヒントをもたないデータ）を暗号化するために使用される鍵は、力ずく攻撃を使用して特定または発見できない。なぜなら、盗聴者は、正しい候補鍵が見つかった時にでもそれを判断できないからである。しかし、発見可能、即ち、「ホワイト」データ（即ち、既知であるか、後で開示されるかもしれないか、認識可能であるか、または既知もしくは容易に推測できるフォーマットを有するデータ）を暗号化するために使用される鍵は、力ずく攻撃を使用して特定することができる（理論的には）。ホワイト・データとブラック・データが一緒に、または同じ暗号化鍵を用いて暗号化される場合、ホワイト・データを使用する力ずく攻撃により特定される鍵はまた、ブラック・データを暗号化するために使用される鍵でもあるので、従って、ブラック・データは発見され得る。

暗号化データのセキュリティを高め、力ずく攻撃の有効性を低下させるため、本発明の幾つかの実施形態は、変化ＩＤに含まれる秘密鍵などのブラック・データのセキュリティを保護する暗号化戦略を提供する。

図５は、暗号化されるデータに含まれ得るデータのタイプを示している。図５に示されるように、暗号化されて特定の受信機へ送信されるデータ５９は、データのタイプまたはクラスに分類される。データの第１のクラスは、ブラック・データ・クラス６０を含む。ブラック・データ・クラス６０は、秘密に保持され、権限付与されたエンティティによりのみ知られるデータを含む。例えば、ブラック・データ・クラス６０は、変化ＩＤの秘密鍵および／またはシステム２０に含まれるエンティティの信用証明書を含むことができ、その両方とも、ランダムであり、認証デバイス２８ならびに信用証明書および秘密鍵の保有者によりのみ知られている。

図５に示されるように、データの第２のクラスは、ホワイト・データ・クラス６２を含む。ホワイト・データ・クラス６２は、公けに知られているか、認識可能であるか（例えば、人が読める）、または既知もしくは容易に推測できるフォーマットを有するデータを含む。例えば、ホワイト・データ・クラス６２は、エンティティ間で送信されるコンテンツ（例えば、人が読めるメッセージ、映画など）および認証デバイス２８により提供される変化ＩＤの番号（例えば、Ｎ_Ａ、Ｎ_Ｂ、Ｎ_Ｃ、Ｎ_Ｄ）などのような、標準化されたヘッダや、既知のパターンや、他の公けに使用可能なフォーマットなどのような、容易に弁別される特徴を有するデータを含む。

ホワイト・データ・クラス６２はまた、間接ホワイト・データ、即ち、変化ＩＤの秘密鍵（例えば、Ｋ_Ａ、Ｋ_Ｂ、Ｋ_Ｃ、Ｋ_Ｄ）などのような、ホワイト・データを含むメッセージを暗号化するために使用される鍵も含む。例えば、セッション鍵交換プロトコルに関して上述されたように、アリスは、アリスの秘密鍵Ｋ_Ａを用いて暗号化されたボブの公けに知られた識別子Ｂ_ｉｄを含むメッセージをボブに送る。

Ａ→Ｂ：Ｎ_ＡＥ（Ｋ_Ａ，Ａ_ｃｒｅｄＢ_ｉｄ）

ボブの識別子Ｂ_ｉｄは公けに知られており、従って、ホワイト・データであるので、アリスの秘密鍵Ｋ_Ａは、公けに知られたデータを暗号化するので、間接ホワイト・データと見なすことができる。

図６および図７は、本発明の一実施形態による、ブラック・データのセキュリティを保護するための暗号化戦略を示している。ブラック・データのセキュリティを保護するため、異なるタイプのデータを暗号化するために、別個の鍵が使用できる（これ以降、「個別暗号化プロトコル（ｓｅｐａｒａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｐｒｏｔｏｃｏｌ）」と呼ばれる）。例えば、１または複数の鍵（おそらく１または複数の変化ＩＤの一部である鍵）を、ブラック・データを暗号化するために使用でき、また、１または複数の異なる鍵（おそらく１または複数の異なる変化ＩＤの一部である鍵）を、ホワイト・データを暗号化するために使用できる。以下で説明されるように、ブラック・データおよびホワイト・データを暗号化するために同じ鍵は使用されないので、ブラック・データのセキュリティは高められる。

図６に示されるように、ブラック・データ・クラス６０に含まれるデータは、ブラック・データを暗号化するために専ら使用される１または複数の鍵７０（これ以降、この例においては「ブラック・データ鍵７０」と呼ばれる）を用いて暗号化することができる。オプションとして、ホワイト・データ・クラス６２に含まれるデータは、ホワイト・データを暗号化するために専ら使用される１または複数の鍵７２（これ以降、この例においては「ホワイト・データ鍵７２」と呼ばれる）を用いて暗号化することができる。ブラック・データ鍵７０は、ホワイト・データ鍵７２から決定し得ない（または無関係である）ことを理解されたい。データ５９は、データ５９の部分が属するデータ・クラスに従って、データの連続ブロックに分割および配置される必要がないことも理解されたい。図７に示されるように、ブラック・データ・クラス６０およびホワイト・データ・クラス６２に含まれるデータは、一緒に混合される多数の部分に分割することができる。

ブラック・データをホワイト・データから分離し、ホワイト・データを暗号化するために使用される鍵７２とは異なる鍵７０を用いてブラック・データを暗号化することにより、ホワイト・データを暗号化するために使用されるホワイト・データ鍵７２が力ずく攻撃を使用して決定されたとしても、決定されたホワイト・データ鍵７２は、ブラック・データを取得するためには使用することができない。

ランダムに生成された秘密コンテンツの交換
以下の例では、反復カウントを表すために下付文字ｉが使用され、ここで、ｉは、０または別の所定値に初期設定され、それぞれの交換後にプロトコル交換に関与する両方の関与者により、および／または異なる所定のスケジュールでインクリメントされる。従って、特定の項目の現在の値は、下付文字ｉを用いて表され、項目の新規のまたは変化した値は、これまでの例において使用された上付文字「’」を用いる代わりに、下付文字「ｉ＋１」を用いて表される。

２つのエンティティがランダムに生成された秘密データを交換できるように、個別暗号化プロトコルを使用できる。例えば、第１のエンティティＡが、ランダムに生成された秘密コンテンツＳ_ｉ（即ち、ブラック・データ）を第２のエンティティＢと交換することを望んでいると仮定する。エンティティＡおよびＢは、以前に確立されたランダム生成の秘密暗号化鍵Ｋ_ｉを共有する。エンティティＡおよびＢが、当事者どうしで直に鍵Ｋ_ｉに合意することや、一方のエンティティが、セキュアな通信手段を介して秘密鍵Ｋ_ｉを他方のエンティティへ送ることや、秘密鍵Ｋ_ｉが、エンティティにより操作されるソフトウェアやハードウェア内に事前保存されることなどができる。

秘密暗号化鍵Ｋ_ｉを確立した後、エンティティＡは、秘密データＳ_ｉおよび新しい秘密のランダムな暗号化鍵Ｋ_ｉ＋１を、暗号化鍵Ｋ_ｉを用いて暗号化する。アリスは、新しい秘密鍵Ｋ_ｉ＋１をランダムに生成する。エンティティＡおよびＢは、将来のデータ交換において秘密データを暗号化するために、新しい秘密鍵Ｋ_ｉ＋１を使用する。

Ａ→Ｂ：Ｅ（Ｋ_ｉ，Ｋ_ｉ＋１Ｓ_ｉ）

幾つかの変形では、エンティティＡは、暗号化鍵Ｋ_ｉと新しい暗号化鍵Ｋ_ｉ＋１とのＸＯＲを生成することができる。

ＸＯＲ（Ｋ_ｉ，Ｋ_ｉ＋１）

ＸＯＲ演算を実行した後、エンティティＡは、ＸＯＲ演算の結果として生じたビット列および秘密データＳ_ｉを暗号化鍵Ｋ_ｉを用いて暗号化し、その結果としてできたものをエンティティＢへ送る。

Ａ→Ｂ：Ｅ（Ｋ_ｉ，ＸＯＲ（Ｋ_ｉ，Ｋ_ｉ＋１）Ｓ_ｉ）

暗号化鍵Ｋ_ｉについての知識を使用して、エンティティＢは、新しい暗号化鍵Ｋ_ｉ＋１を決定することができる。

双方の場合とも、エンティティＡからのメッセージは、２つの部分、即ち、鍵変化部分（即ち、Ｋ_ｉ＋１またはＸＯＲ（Ｋ_ｉ，Ｋ_ｉ＋１））と、秘密コンテンツ部分（即ち、Ｓ_ｉ）とを含む。また、双方の場合において、鍵変化部分は、エンティティＡによりランダムに生成され、以降の鍵変化は、以前の鍵の値からは独立している。

秘密鍵Ｋ_ｉの鍵空間と暗号化関数Ｅの平文空間とが同形であると仮定すると、秘密鍵Ｋ_ｉのあらゆる候補値は、完全にあり得る（ｃｏｍｐｌｅｔｅｌｙ ｐｏｓｓｉｂｌｅ）候補平文を生成し、それぞれの候補平文は、完全にあり得る次の鍵値を計算するのに十分な情報を含む。従って、盗聴者は、何れのあり得る初期鍵値も除外することができず、プロトコルは、暗号文単独の力ずく攻撃を実質的に受けつけない。

認証手段との通信
個別暗号化プロトコルはまた、セッション鍵を要求するためや、ライセンスを要求するためなどのために認証デバイス２８と通信するために、図１に示されるようなシステム２０のエンティティにより使用されることもできる。例えば、第１のデバイス２２として表されているアリスが、認証デバイス２８として表されているトレントへ要求を送ることを望むものとする。トレントは先に、ランダムに生成された初期の秘密暗号化鍵Ｋ_ｉおよび対応する初期の公開識別子Ｎ_ｉ（例えば、トレントにより割り当てられた変化ＩＤの一部とすることができる）を、アリスに割り当てている。

これの関与者はまた、ブラック要求パラメータ・セットＢ_ＲＥＱと、ホワイト要求パラメータ・セットＷ_ＲＥＱと、ブラック応答パラメータ・セットＢ_ＲＳＰと、ホワイト応答パラメータ・セットＷ_ＲＳＰとから成る要求として一般化形式で示される要求と応答プロトコルとに合意する。幾つかの実施では、パラメータ・セットの幾つかは、空とすることができる。ホワイト要求パラメータ・セットＷ_ＲＥＱおよびホワイト応答パラメータ・セットＷ_ＲＳＰは共に、公けに知られた（即ち、ホワイトすなわち発見可能データ）要求および応答パラメータをそれぞれ含む。ブラック要求パラメータ・セットＢ_ＲＥＱは、ホワイト要求パラメータ・セットＷ_ＲＥＱから導出不可能である。

本発明の幾つかの実施形態では、ホワイト要求パラメータ・セットＷ_ＲＥＱは、有効な要求を形成するために、ブラック要求パラメータ・セットＢ_ＲＥＱとペアにされる。ブラック要求パラメータ・セットＢ_ＲＥＱは、ホワイト要求パラメータ・セットＷ_ＲＥＱから決定または導出され得ないので、盗聴者は、ブラック要求パラメータ・セットＢ_ＲＥＱを提供することなくアリスを装ってトレントに要求を行うことはできない。しかし、言及されたように、ブラック・コンテンツは発見不可能である。従って、ホワイト要求パラメータ・セットＷ_ＲＥＱについての知識だけでは、盗聴者が要求を偽造することは可能ではない。同様に、ホワイト応答パラメータ・セットＷ_ＲＳＰは、ブラック応答パラメータ・セットＢ_ＲＳＰとペアにされ、ホワイト応答パラメータ・セットＷ_ＲＳＰを取得した盗聴者は、対応するブラック応答パラメータ・セットＢ_ＲＳＰを知ることなくトレントを装ってアリスに応答を送ることはできない。

要求を送るため、アリスは、ブラック要求パラメータ・セットＢ_ＲＥＱを、暗号化鍵Ｋ_ｉを用いて暗号化する。トレントへの要求の送信者として彼女自らを識別させるために、アリスは、公開識別子Ｎ_ｉを、暗号化の結果としてできたものに追加する。幾つかの変形では、アリスはまた、対応するホワイト要求パラメータ・セットＷ_ＲＥＱも暗号化の結果としてできたものに追加する。アリスは、結果としてできたメッセージをトレントへ送る。

Ａ→Ｔ：Ｎ_ｉＷ_ＲＥＱＥ（Ｋ_ｉ，Ｂ_ＲＥＱ）

幾つかの変形では、トレントは、アリスがホワイト要求パラメータ・セットＷ_ＲＥＱなどのホワイト・データを暗号化するために使用し得る個別暗号化鍵をアリスに割り当てることができる。暗号化されたホワイト・データは、暗号化されたブラック応答パラメータ・セットＢ_ＲＥＱに追加される。しかし、ランダムに生成された秘密のブラック要求パラメータ・セットＢ_ＲＥＱおよび暗号化鍵Ｋ_ｉの特定に暗号文単独の力ずく攻撃が成功することを阻止するために、ブラック要求パラメータ・セットＢ_ＲＥＱまたは他の任意のブラック・データと同じ暗号化パッケージまたはエンベロープ内において、ホワイト要求パラメータ・セットＷ_ＲＥＱおよび他の任意のホワイト・データが暗号化されることはできない。

トレントは、アリスからメッセージを受け取り、メッセージに追加された識別子Ｎ_ｉに基づいて、アリスを送信者として識別する。トレントは、アリスがメッセージを送ったことを決定した後、メッセージを暗号解除し、ブラック要求パラメータ・セットＢ_ＲＥＱを取得するために、暗号化鍵Ｋ_ｉを使用する。トレントは、ブラック要求パラメータ・セットＢ_ＲＥＱが有効であることを検証する。アリスがホワイト要求パラメータ・セットＷ_ＲＥＱも提供した場合、トレントはまた、ホワイト要求パラメータ・セットＷ_ＲＥＱが有効であること（例えば、ホワイト要求パラメータ・セットＷ_ＲＥＱとブラック要求パラメータ・セットＢ_ＲＥＱの間に適切な関連または一致が存在すること）も検証する。ホワイト要求パラメータ・セットＷ_ＲＥＱが無効である場合、トレントは要求を拒否する。不一致のパラメータ・セットはまた、要求メッセージが改ざんされたこと（例えば、中間の者攻撃（ｍａｎ−ｉｎ−ｔｈｅ ｍｉｄｄｌｅ ａｔｔａｃｋ）による）や、詐称者により送られたかもしれないことも、示すことができる。

アリスへ応答を送るため、トレントは、ブラック応答パラメータ・セットＢ_ＲＳＰおよび新しいランダム生成された秘密暗号化鍵Ｋ_ｉ＋１を、現在の暗号化鍵Ｋ_ｉを用いて暗号化する。幾つかの変形では、上述のように、トレントは、アリスへの応答内の新しい暗号化鍵Ｋ_ｉ＋１を、現在の暗号化鍵Ｋ_ｉと新しい暗号化鍵Ｋ_ｉ＋１とに対してのＸＯＲ演算を実行した結果と置き換える。トレントはまた、アリス用の新しい識別子Ｎ_ｉ＋１も生成し、新しい識別子Ｎ_ｉ＋１を暗号化の結果としてできたものに追加する。幾つかの変形では、トレントはまた、対応するホワイト応答パラメータ・セットＷ_ＲＳＰも暗号化の結果としてできたものに追加する。上述のように、ホワイト応答パラメータ・セットＷ_ＲＳＰを平文として追加する代わりに、トレントは、ホワイト応答パラメータ・セットＷ_ＲＳＰを、トレントおよびアリスにより知られたホワイト・データ鍵を用いて暗号化することができる。加えて、トレントは、アリスに新規または変化させたホワイト・データ鍵を提供するために、ホワイト・データ鍵を使用することができる。トレントは、結果としてできたメッセージをアリスへ送る。

Ｔ→Ａ：Ｎ_ｉ＋１Ｗ_ＲＳＰＥ（Ｋ_ｉ，ＸＯＲ（Ｋ_ｉ，Ｋ_ｉ＋１）Ｂ_ＲＳＰ）

トレントはまた、現在の暗号化鍵Ｋ_ｉおよび現在の識別子Ｎ_ｉを使用済としてマーク付けし、その鍵および識別子が長い間再使用されないことを保証する。幾つかの実施形態では、トレントは、鍵または識別子が発行された時間と、後にそれが要求において使用された時間とを追跡する。トレントは、この情報を使用して、所定の時間が経過するまで鍵または識別子が再使用されないことを確実にすること、および／または鍵または識別子が不適切に使用された（例えば、鍵または識別子の正当な所有者を装ったエンティティによる）時にそれを追跡することができる。

アリスは、トレントからのメッセージを暗号解除し、新しい暗号化鍵Ｋ_ｉ＋１およびブラック応答パラメータ・セットＢ_ＲＳＰを取得する。アリスは、ブラック応答パラメータ・セットＢ_ＲＳＰが有効であることを検証する。ブラック応答パラメータ・セットＢ_ＲＳＰが無効である場合、アリスは、応答がトレントにより送られたものでないことを識別することができ、その応答を無視することができる。トレントからのメッセージがホワイト応答パラメータ・セットＷ_ＲＳＰも含む場合、アリスは、ホワイト応答パラメータ・セットＷ_ＲＳＰが有効であることも検証する。ホワイト応答パラメータ・セットＷ_ＲＳＰが無効である場合、アリスは、応答がトレントにより送られたものでないことを識別することができ、その応答を無視することができる。

メッセージ認証を備えるブラック・プロトコル
上述のプロトコルは、ミューテーティング（変化）鍵または識別子（変化ＩＤの一部とすることができる）を使用してのブラック・データの個別暗号化を導入した。上述のプロトコルは、暗号文単独の力ずく攻撃からブラック・データを保護するが、メッセージ認証や改ざん防止機構については制限されたものを提供するにすぎない。その結果、攻撃者がメッセージに不正データを注入し得ることがある。

メッセージ認証および改ざん防止機構を提供する１つの方法は、トレントがアリスに初期の大型秘密鍵Ｋ_ｉを割り当てることを含む。トレントおよびアリスはまた、独立に反復カウントｉを保持する。アリスおよびトレントは個々に、それぞれの交換の後および／または別の所定のスケジュールで、反復カウントｉを更新またはインクリメントすることができる。

アリスは、秘密データ（即ち、ブラック・データ）Ｓ_ｉをトレントと交換するために、大型秘密鍵Ｋ_ｉおよび反復カウントｉを使用する。例えば、トレントは、以下のメッセージ・プロトコルを使用して、秘密データＳ_ｉをアリスへ送ることができる。

Ｔ→Ａ：Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｓ_ｉＭ_ｉＨ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｓ_ｉＭ_ｉＦ_ＥＸ（ｉ，Ｋ_ｉ）））

上記のメッセージ・プロトコルにおいて、トレントは、鍵関数Ｋ_ＦＸにより生成された暗号化鍵を用いて、アリスへのメッセージを暗号化する。鍵関数Ｋ_ＦＸは、反復カウントｉおよび大型秘密鍵Ｋ_ｉを使用して、対称暗号化鍵値を生成する。

トレントからアリスへのメッセージの内容は、秘密データＳ_ｉと、変化値Ｍ_ｉと、ミューテーティング（変化）・セキュア・ハッシュ関数Ｈの結果とを含む。変化値Ｍ_ｉは、反復カウントｉに基づいてランダムに生成された番号であり、メッセージを一意に識別する。

セキュア・ハッシュ関数Ｈは、アリスからボブへのメッセージの内容のセキュアなハッシュを生成する。上記の例では、セキュア・ハッシュ関数Ｈは、秘密データＳ_ｉと、変化値Ｍ_ｉと、大型秘密鍵Ｋ_ｉまたはその一部のセキュア・ハッシュを生成する。ハッシュにおいて大型秘密鍵Ｋ_ｉの一部のみを使用するために、抽出関数Ｆ_ＥＸを使用できる。抽出関数Ｆ_ＥＸは、反復カウントｉに基づいて、大型秘密鍵Ｋ_ｉの一部を抽出し、それを返す。幾つかの変形では、抽出関数Ｆ_ＥＸは、大型秘密鍵Ｋ_ｉの全体を返す。

セキュア・ハッシュ関数Ｈは、初期設定ベクトルＩなどの初期設定値を用いて初期設定される。初期設定ベクトルＩは、初期設定ベクトル関数Ｉ_ＦＸを用いて生成される。初期設定ベクトル関数Ｉ_ＦＸは、反復カウントｉおよび大型秘密鍵Ｋ_ｉに基づいて、初期設定ベクトルＩを生成する。

アリスは、反復カウントｉ、大型秘密鍵Ｋ_ｉ、およびメッセージで使用された関数を知っているので、トレントからのメッセージを暗号解除することができる。メッセージの暗号解除は、アリスが、秘密データＳ_ｉ、変化値Ｍ_ｉ、およびハッシュＨ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｓ_ｉＭ_ｉＦ_ＥＸ（ｉ，Ｋ_ｉ））を取得することを可能にする。トレントからのメッセージが送信中に改ざんされていないことを確実にするため、アリスは、トレントがメッセージに含めたハッシュのアリス自身のバージョンを生成することにより、トレントからのメッセージを認証する。ハッシュのアリス自身のバージョンを生成するために、アリスは、トレントからのメッセージから得られた秘密データＳ_ｉおよび変化値Ｍ_ｉと大型秘密鍵Ｋ_ｉとのハッシュを生成する。アリスは、トレントと同じセキュア・ハッシュ関数Ｈを使用する。幾つかの変形では、アリスはまた、トレントが行ったように、ハッシュ関数Ｈ用の初期設定ベクトルＩ_ＦＸを生成する。加えて、アリスは、ハッシュ内で使用する大型秘密鍵Ｋ_ｉの一部を抽出するために、トレントが使用したのと同じ抽出関数Ｆ_ＥＸを使用することができる。

アリス自身のバージョンのハッシュを生成した後、アリスは、アリスのバージョンのハッシュを、トレントからのメッセージに含まれるハッシュと比較する。ハッシュが一致した、または同じである場合、アリスは、トレントからのメッセージは改ざんされていないと推定することができる。ハッシュが一致しない場合、メッセージは改ざんされた可能性が高く、アリスは、そのメッセージを無視することができる。

幾つかの実施形態では、アリスおよびトレントは各々、以降のメッセージで大型秘密鍵Ｋ_ｉを使用する前に、別々に大型秘密鍵Ｋ_ｉを変化させる。これを達成するため、アリスおよびトレントは、変化関数Ｆ_Ｍを使用して、大型秘密鍵Ｋ_ｉを変化させる。変化関数Ｆ_Ｍは、反復カウントｉ、直近のメッセージで使用された変化値Ｍ_ｉ、および／または現在の大型秘密鍵Ｋ_ｉに基づいて、新しいまたは変化された大型秘密鍵Ｋ_ｉ＋１を生成する。例えば、図８に示されるように、変化関数Ｆ_Ｍは、関数「Ｍ_ｉ ＸＯＲ Ｋ_ｉ」を実行することができ、ここで、Ｍ_ｉおよびＫ_ｉは、実質的に同じ長さである。

Ｋ_ｉ＋１＝Ｆ_Ｍ（ｉ，Ｍ_ｉ，Ｋ_ｉ）＝Ｍ_ｉ ＸＯＲ Ｋ_ｉ

上記のメッセージ・プロトコルを使用した場合、力ずく攻撃を使用して秘密データＳ_ｉまたは大型秘密鍵Ｋ_ｉを取得することを望む攻撃者は、メッセージ・プロトコルで使用されるアルゴリズムのすべてを最初に学ばなければならない。攻撃者はまた、アリスとトレントの間で交換されるメッセージのすべてを取得しなければならない。次に、攻撃者は、候補鍵Ｃ_ｉを推定し、その候補鍵Ｃ_ｉを使用して、アリスとトレントの間で交換された最初のメッセージ（即ち、反復ゼロ）を暗号解除しなければならない。候補鍵Ｃ_ｉを用いた最初のメッセージの暗号解除は、候補テキストＸ_ｉを明らかにする。攻撃者は、メッセージ・プロトコルのアルゴリズムを知っているので、候補テキストＸ_ｉを、候補秘密データＳ_ｉＸと、候補変化値Ｍ_ｉＸと、候補セキュア・ハッシュ関数結果Ｈ_ｉＸとに分割することができる。候補秘密データＳ_ｉＸと、候補変化値Ｍ_ｉＸと、候補鍵Ｃ_ｉとを使用して、攻撃者は、自らのバージョンのセキュア・ハッシュ関数結果Ｈ_ｉＴ（例えば、反復ｉについてのセキュア・ハッシュ関数Ｈのテスト結果）を生成する。セキュア・ハッシュ関数Ｈ_ｉＴのテスト結果が候補セキュア・ハッシュ関数結果Ｈ_ｉＸと一致する場合、攻撃者は、許容可能または潜在的候補鍵として候補鍵Ｃ_ｉをマーク付けすることができる。セキュア・ハッシュ関数Ｈ_ｉＴのテスト結果が候補セキュア・ハッシュ関数結果Ｈ_ｉＸと一致しない場合、攻撃者は、潜在的な正しい鍵としては候補鍵Ｃ_ｉを除外することができる。

それぞれの許容可能または潜在的な候補鍵Ｃ_ｉに対して、攻撃者は、変化関数Ｆ_Ｍを適用し、アリスとトレントの間で交換される２番目または次のメッセージのための候補鍵Ｃ_ｉ＋１を生成する。攻撃者は、その後、変化させた許容可能な候補鍵Ｃ_ｉ＋１を使用して、最初のメッセージについて上述のような暗号化およびテストのプロセスを実行する。

ランダムに生成された入力バッファの大きい組が与えられた場合、理想的なセキュア・ハッシュは、不偏かつ一様な分布を示す０から（２^ｈ−１）の間に入る出力値の組を生成し、ここで、ｈは、ハッシュ関数により返されるビットの数である。セキュア・ハッシュ関数Ｈの周期性のため、アリスとトレントの間で交換される各メッセージは、潜在的な鍵空間（可能な鍵のリスト）を２^ｈ分の１に縮小し、ここで、ｈは、セキュア・ハッシュ関数Ｈにより返されるビットの数である。秘密鍵の長さがｍビットである場合、攻撃者は、（ｍ／ｈ）個のメッセージが交換された後に初期の秘密鍵（例えば、秘密鍵Ｋ_ｉ）を決定することが可能となり得る。

力ずく攻撃の成功の可能性を低下させるため、大型秘密鍵Ｋ_ｉは、（ｍ／ｈ）番目のメッセージが交換される前に、リセットされることができる。加えて、（ｍ／ｈ）番目のメッセージが交換されるよりｊメッセージ前に、大型秘密鍵Ｋ_ｉがリセットされた場合、力ずく攻撃は、２^ｊｈ個の疑似的（ｓｐｕｒｉｏｕｓ）な大型鍵値をまだ残しており、正しいまたは真の大型秘密鍵値は弁別不可能である。

本発明の１つの可能な実施形態は、１６０ビットのハッシュ値を返すセキュア・ハッシュ関数Ｈと、６４キロバイトを含む大型秘密鍵Ｋ_ｉとを含むことができる。これらのパラメータを使用する場合、上述のようなメッセージ・プロトコルは、力ずく攻撃が有効となるリスクを制限しながら、３０００個を超えるメッセージを交換することを可能にする。加えて、抽出関数Ｆ_ＥＸおよび変化関数Ｆ_Ｍの選択は、大型秘密鍵Ｋ_ｉの移動ウィンドウ部分がメッセージ・ハッシュで使用されるようにし、また、大型秘密鍵Ｋ_ｉの変化が比較的狭いストリップ（ｓｔｒｉｐ）で生じるようにするが、大型秘密鍵Ｋ_ｉの次の反復になおも影響を与えるような方法で、行うとができる。これは、プロトコルが、ほぼ同じレベルのセキュリティを維持しながらも、比較的低い計算オーバヘッドを有することを可能にする。

上記で述べ、また図８に示されるように、一実施形態では、抽出関数Ｆ_ＥＸ（ｉ，Ｋ_ｉ）は、大型秘密鍵Ｋ_ｉの全体を返し、変化関数Ｆ_Ｍ（ｉ，Ｍ_ｉ，Ｋ_ｉ）は、「Ｍ_ｉ ＸＯＲ Ｋ_ｉ」を返すものであり、ここで、Ｍ_ｉおよびＫ_ｉは、等しい長さである。これらの関数は、機能するシステムを生成するが、ハッシュを計算する前に大型秘密鍵Ｋ_ｉの全体がメッセージの末尾に追加されるので、セキュア・ハッシュ関数について著しい計算オーバヘッドを導入し得る。これらの関数はかなりのプロトコル・オーバヘッドも導入し得る。なぜなら、それぞれの要求に応答して送信される変化値は、大型秘密鍵Ｋ_ｉと同じほど長いからである。

図９に示されるように、上記のオーバヘッド問題に対処するため、抽出関数Ｆ_ＥＸは、大型秘密鍵Ｋ_ｉの先頭からのオフセットが（ｉ×ｈ）ビットの所で、大型秘密鍵Ｋ_ｉのｐビットを選択するように変更することができ、ここで、ｈは、セキュア・ハッシュ関数Ｈにより返されるビットの数である。従って、大型秘密鍵の使用される部分は、（（ｉ×ｈ）＋ｐ）ビットであり、疑似的な大型鍵の集まり（ｏｃｅａｎ）は、２^ｐ個の値を含む。このバージョンの抽出関数Ｆ_ＥＸの使用は、セキュア・ハッシュ関数の計算において増大する計算オーバヘッドをもたらすことなく、大型秘密鍵値の使用を可能にする。

同様に、やはり図９に示されるように、変化関数Ｆ_Ｍは、ｐビットのランダムな変化値を受け取り、その変化値を、ＸＯＲを介して、大型秘密鍵Ｋ_ｉのオフセットが（（ｉ＋１）×ｈ）ビットの所で大型秘密鍵Ｋ_ｉに適用することができる。このようにして、変化に関連するプロトコル・オーバヘッドは、ｐビットに縮小され、初期の大型秘密鍵Ｋ_ｉのサイズとは無関係である。加えて、プロトコルの次の反復において使用されるビットのすべては変化させられ、それが、２つの鍵値の間の数学的相関を取り除く。

図１０に示されるように、抽出関数Ｆ_ＥＸはまた、大型秘密鍵Ｋ_ｉの先頭からのオフセットが（ｉ×ｐ）ビットの所で大型秘密鍵Ｋ_ｉのｐビットを選択するように変更することができる。従って、抽出関数Ｆ_ＥＸが使用されるたびに、大型秘密鍵Ｋ_ｉのまったく新しい部分が選択される。

同様に、また、図１０に示されるように、変化関数Ｆ_Ｍは、ｐビットのランダムな変化値を受け取り、その変化値を、ＸＯＲを介して、大型秘密鍵Ｋ_ｉのオフセットが（（ｉ＋１）×ｐ）ビットの所で大型秘密鍵Ｋ_ｉに適用することができる。

この「ストリップ内変更（ｕｐｄａｔｉｎｇ ｉｎ ｓｔｒｉｐｅｓ）」方法を使用することで、初期の大型秘密鍵Ｋ_ｉは、かなり大きくすることができ、システムは、公開識別子および関連する鍵のリセットが必要とされるまでに、非常に多数のメッセージ交換をサポートすることができる。

ブラック・プロトコル要求および応答
図１１は、エンティティ（例えば、第１のデバイス２２および第２のデバイス２４）と認証手段（デバイス２８など）の間で要求および応答を交換するために、ブラック・プロトコルがどのように使用できるかを示している。プロトコルの実施は、変化ＩＤの定期的変化を要求するため、暗号化鍵を要求するため、暗号解除鍵を要求するため、認証トークン（例えば、信用証明書）を取得するため、および認証トークンの認証を要求するために、エンティティにより使用することができる。同様に、認証デバイス２８は、各タイプの要求に対してエンティティに応答を提供するために、ブラック・プロトコルを使用することができる。図８に示されるように、エンティティは、認証手段からの応答を使用して、他のエンティティと通信することができる。例えば、エンティティは、認証手段に暗号化鍵を要求し、認証手段から暗号化鍵を受け取り、その暗号化鍵を使用して別のエンティティ宛てのメッセージを暗号化し、暗号化メッセージをその別のエンティティへ送ることができる。また、図８に示されるように、暗号化メッセージを受け取ったエンティティは、認証手段に暗号解除鍵を要求し、認証手段から暗号解除鍵を受け取り、その暗号解除鍵を使用して暗号化メッセージを暗号解除することができる。

一実施形態では、トレント（認証デバイス２８）が、初期の公開識別子Ｎ_ｉ、初期の秘密鍵ｋ_ｉ、および初期の大型秘密鍵Ｋ_ｉを、アリス（第１のデバイス２２）に割り当てる。公開識別子Ｎ_ｉ、秘密鍵ｋ_ｉ、および大型秘密鍵Ｋ_ｉは、大型変化ＩＤと呼ぶことができる。トレントおよびアリスはまた、しばしば値ゼロに初期設定される反復カウントｉを独立して保持する。アリスおよびトレントは、それぞれの要求の後、それぞれの応答の後、または別の所定のスケジュールで、反復カウントｉを独立に更新またはインクリメントすることができる。

アリスは、公開識別子Ｎ_ｉを使用して、自らをメッセージの発信者として識別させる。アリスは、ホワイト・データを暗号化するために、秘密鍵ｋ_ｉ（これ以降、アリスのホワイト・データ鍵ｋ_ｉと呼ばれる）を使用し、またアリスは、ブラック・データの暗号化を含む様々な目的で、大型秘密鍵Ｋ_ｉを使用する。アリスはまた、ハッシュ関数Ｈ用の初期設定ベクトルを生成するために、初期設定関数Ｉ_ＦＸへの入力として、大型秘密鍵Ｋ_ｉを使用することもできる。幾つかの実施形態では、トレントは、アリスにより要求されると、またはトレントにより施行されると、それぞれの使用の後にまたは定期的に、新しいまたは変化された公開識別子Ｎ_ｉおよびホワイト・データ鍵ｋ_ｉをアリスに割り当て、トレントおよびアリスは、アリスにより要求されると、またはトレントにより施行されると、それぞれのトランザクションの後にまたは定期的に、大型秘密鍵Ｋ_ｉをそれぞれに変化させる。

大型変化ＩＤを使用して、アリスは、要求パラメータＴ_ＲＥＱをアリスのホワイト・データ鍵ｋ_ｉを用いて暗号化することにより、トレント宛ての要求を生成する。要求パラメータＴ_ＲＥＱは、特定の要求に応答するためにトレントにより必要とされる任意の情報、例えば、アリスが暗号化鍵を要求しているコンテンツのハッシュなど、を含む。要求パラメータＴ_ＲＥＱは、ホワイト・データと見なされる。アリスは、自らを要求の送信者として識別させるために、アリスの公開識別子Ｎ_ｉを暗号化の結果としてできたものに追加する。

Ｎ_ｉＥ（ｋ_ｉ，Ｔ_ＲＥＱ）

要求に対するメッセージ認証を提供するため、アリスは、セキュア・ハッシュ関数Ｈを使用して、アリスの公開識別子Ｎ_ｉ、要求パラメータＴ_ＲＥＱおよび大型秘密鍵Ｋ_ｉのハッシュを生成する。上述のように、幾つかの変形では、アリスは、ハッシュにおいて大型秘密鍵Ｋ_ｉの一部のみを使用し、反復カウントｉおよび／またはセキュア・ハッシュ関数Ｈにより返されるビットの数に基づいて、大型秘密鍵Ｋ_ｉの特定の部分を抽出するために、抽出関数Ｆ_ＥＸを使用する。加えて、アリスは、反復カウントｉおよび大型秘密鍵Ｋ_ｉに基づいてハッシュ関数Ｈ用の初期設定ベクトルを生成するために初期設定関数Ｉ_ＦＸを使用することができる。

Ｈ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉＴ_ＲＥＱＦ_ＥＸ（ｉ，Ｋ_ｉ））

アリスは、大型秘密鍵Ｋ_ｉまたはその一部を用いてハッシュを暗号化する。例えば、上述のように、アリスは、反復カウントｉに基づいて鍵関数Ｋ_ＦＸにより決定される大型秘密鍵Ｋ_ｉの一部を用いて、ハッシュを暗号化することができる。

Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｈ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉＴ_ＲＥＱＦ_ＥＸ（ｉ，Ｋ_ｉ）））

アリスは、公開識別子Ｎ_ｉが追加された暗号化された要求パラメータに、暗号化ハッシュを追加し、その結果としてできたものをトレントへ送る。

Ｔ→Ａ：Ｎ_ｉＥ（ｋ_ｉ，Ｔ_ＲＥＱ）Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｈ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉＴ_ＲＥＱＦ_ＥＸ（ｉ，Ｋ_ｉ）））

アリスからの要求を受け取ると、トレントは、アリスがその要求を送ったことを識別子Ｎ_ｉに基づいて判定し、ホワイト・データ鍵ｋ_ｉおよび大型秘密鍵Ｋ_ｉを使用して、要求の一部を暗号解除する。トレントは、要求から要求パラメータＴ_ＲＥＱおよびハッシュを取得した後、要求から取得した要求パラメータに基づいて、トレント自身のバージョンのハッシュを生成する。要求を認証するため、トレントは、自身のバージョンのハッシュを要求から取得されたハッシュと比較する。ハッシュが一致する場合、トレントは、アリスからトレントへの要求の送信中に、ホワイト・データが改ざんされなかったことを確認することができる。

アリス宛ての応答を生成するために、トレントは、アリス用の新しいまたは変化された公開識別子Ｎ_ｉ＋１および新しいホワイト・データ鍵ｋ_ｉ＋１を生成する。トレントは、新しいホワイト・データ鍵ｋ_ｉ＋１および応答パラメータＴ_ＲＳＰを、アリスの現在のホワイト・データ鍵ｋ_ｉを用いて暗号化する。トレントは、新しい公開識別子Ｎ_ｉ＋１を暗号化の結果としてできたものに追加する。

Ｎ_ｉ＋１Ｅ（ｋ_ｉ，ｋ_ｉ＋１Ｔ_ＲＳＰ）

応答に対するメッセージ認証を提供するために、トレントは、セキュア・ハッシュ関数Ｈを使用して、アリスの新しい公開識別子Ｎ_ｉ＋１、アリスの新しいホワイト・データ鍵ｋ_ｉ＋１、応答パラメータＴ_ＲＳＰ、トレントにより生成されたランダム変化値Ｍ_ｉ、およびアリスの大型秘密鍵Ｋ_ｉのハッシュを生成する。上述のように、幾つかの変形では、トレントは、ハッシュにおいて大型秘密鍵Ｋ_ｉの一部のみを使用し、反復カウントｉおよび／またはセキュア・ハッシュ関数Ｈにより返されるビットの数に基づいて、大型秘密鍵Ｋ_ｉの特定の部分を抽出するために、抽出関数Ｆ_ＥＸを使用する。加えて、トレントは、反復カウントｉおよび大型秘密鍵Ｋ_ｉに基づいて、ハッシュ関数Ｈ用の初期設定ベクトルを生成するために、初期設定関数Ｉ_ＦＸを使用することができる。

Ｈ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉ＋１ｋ_ｉ＋１Ｔ_ＲＳＰＭ_ｉＦ_ＥＸ（ｉ，Ｋ_ｉ））

トレントは、アリスの大型秘密鍵Ｋ_ｉまたはその一部を用いて、ハッシュおよびハッシュに含まれる変化値Ｍ_ｉを暗号化する。例えば、上述のように、トレントは、反復カウントｉに基づいた鍵関数Ｋ_ＦＸにより決定される大型秘密鍵Ｋ_ｉの一部を用いて、ハッシュを暗号化することができる。

Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），ＭＨ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉ＋１ｋ_ｉ＋１Ｔ_ＲＳＰＭ_ｉＦ_ＥＸ（ｉ，Ｋ_ｉ）））

トレントは、新しい公開識別子Ｎ_ｉ＋１が追加された暗号化された応答パラメータに、暗号化ハッシュを追加し、その結果としてできたものをアリスへ送る。

Ａ→Ｔ：Ｎ_ｉ＋１Ｅ（ｋ_ｉ，ｋ_ｉ＋１Ｔ_ＲＳＰ）Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｍ_ｉＨ（Ｉ_ＦＸ（ｉ，Ｋ_ｉ），Ｎ_ｉ＋１ｋ_ｉ＋１Ｔ_ＲＳＰＭ_ｉＦ_ＥＸ（ｉ，Ｋ_ｉ）））

トレントからの要求を受け取ると、アリスは、新しい公開識別子Ｎ_ｉ＋１を取得し、新しいホワイト・データ鍵ｋ_ｉ＋１、応答パラメータＴ_ＲＳＰ、変化値Ｍ_ｉ、およびハッシュを取得するために、応答の残りの部分を暗号解除する。アリスは、アリス自身のバージョンのハッシュを生成し、自身のバージョンのハッシュをトレントからの応答に含まれるハッシュと比較することにより、新しい公開識別子Ｎ_ｉ＋１、新しいホワイト・データ鍵ｋ_ｉ＋１、応答パラメータＴ_ＲＳＰ、および変化値Ｍ_ｉを検証することができる。

アリスおよびトレントは、それぞれに、新しいまたは変化された大型秘密鍵Ｋ_ｉ＋１を生成するために変化値Ｍ_ｉを使用する。上述のように、アリスおよびトレントは、反復カウントｉ、トレントによりランダムに生成された変化値Ｍ_ｉ、現在の大型秘密鍵Ｋ_ｉ、および／またはハッシュ関数Ｈにより返されるビットの数に基づいて、新しい大型秘密鍵Ｋ_ｉ＋１を生成するために、変化関数Ｆ_Ｍを使用することができる。

上記のメッセージにおいて示されるように、要求および応答は、同様のレイアウトを含み、各々は、識別子（例えば、Ｎ_ｉまたはＮ_ｉ＋１）、暗号化されたホワイト・データ（例えば、Ｅ（ｋ_ｉ，Ｔ_ＲＥＱ）またはＥ（ｋ_ｉ，ｋ_ｉ＋１Ｔ_ＲＳＰ））、およびメッセージ認証コードまたはハッシュを含む暗号化されたブラック・データ（例えば、Ｅ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｈ（．．．））またはＥ（Ｋ_ＦＸ（ｉ，Ｋ_ｉ），Ｍ_ｉＨ（．．．）））を含む。ホワイト・データ（例えば、Ｔ_ＲＥＱ、Ｔ_ＲＳＰ、およびｋ_ｉ＋１）は、ホワイト・データ鍵ｋ_ｉを用いて暗号化せずに平文として送信することもできることを理解されたい。

要求および応答のフォーマットの上記の順序およびグループ化は、専ら例示のためであり、変更することができることを理解されたい。

上記の要求および応答のフォーマットを使用して、アリスおよびボブは様々なタイプの要求および応答を交換することができ、要求および応答のパラメータだけが変更される。従って、メッセージ・プロトコルの更なる具体例は、以下の省略型の表現を使用して表される。

Ａ→Ｔ：ＢＣＰ_ＲＥＱ（Ｔ_ＲＥＱ）
Ｔ→Ａ：ＢＣＰ_ＲＳＰ（Ｔ_ＲＳＰ）

幾つかの実施形態では、要求および応答パラメータは、メッセージを特定のタイプの要求または応答として識別するコマンド要求コードを含む。例えば、トレントが、以下のランダム生成される初期コマンド・コードをアリスに割り当てるものとする。

μ_ｉ＝「変化ＩＤを変化させる」コマンド・コード
α_ｉ＝「暗号化鍵を取得する」コマンド・コード
δ_ｉ＝「暗号解除鍵を取得する」コマンド・コード

各コマンド・コードは、トレントにより提供される暗号化鍵と同じ長さとすることができる。各コマンド・コードは、それぞれの使用の後、変化するか又は変更される。

要求および応答パラメータは、異なる長さを有する異なるタイプのデータを含むことができるので、上記のメッセージ・プロトコルは、すべての要求が同じサイズとなり、またすべての応答が同じサイズとなることを保証するために、ランダム生成されるパディング値（「ＰＡＤ」）を使用することができる。それぞれの要求または応答が同じサイズであることを確実にすることにより、盗聴者は、要求または応答のタイプを、それが含むビットの数に厳格に基づいて決定することができない。

上記のコマンド・コードおよびパディング値を使用して、「変化ＩＤを変化させる」要求を生成するために、アリスは、以下の例示的な形式を用いてトレント宛ての要求を生成する。

Ａ→Ｔ：ＢＣＰ_ＲＥＱ（μ_ｉＰＡＤ［Ｘ］）
上記式において、ＰＡＤ［Ｘ］は、ランダムなパディングのＸビットである。

それに応答して、トレントは、以下の例示的な形式を用いてアリス宛ての応答を生成する。

Ａ→Ｔ：ＢＣＰ_ＲＳＰ（ＸＯＲ（μ_ｉ，μ_ｉ＋１）ＰＡＤ［Ｘ］）

トレントからの上記の応答の結果として、アリスの公開識別子Ｎ_ｉ、秘密ホワイト・データ鍵ｋ_ｉ、および大型秘密鍵Ｋ_ｉが、変化させられる。加えて、「変化ＩＤを変化させる」コマンド・コードμ_ｉも、変化させられている。

上記のコマンド・コードおよびパディング値を使用して、アリスは、以下の例示的な形式を用いてトレント宛ての「暗号化鍵を取得する」要求を生成することができる。

Ａ→Ｔ：ＢＣＰ_ＲＥＱ（α_ｉＰＡＤ［Ｘ］）

それに応答して、トレントは、以下の例示的な形式を用いてアリス宛ての応答を生成する。

Ａ→Ｔ：ＢＣＰ_ＲＳＰ（ＸＯＲ（α_ｉ，α_ｉ＋１）Ｎ_ＲＳＰＥ（Ｋ_ＦＸ２（ｉ，Ｋ_ｉ），Ｋ_ＲＳＰ）ＰＡＤ［Ｘ］）

ここで、Ｋ_ＲＳＰは、ランダム生成された暗号化鍵であり、Ｎ_ＲＳＰは、暗号化鍵Ｋ_ＲＳＰに関連するランダム生成された識別子である。暗号化鍵Ｋ_ＲＳＰは、アリスの大型秘密鍵Ｋ_ｉまたはその一部を用いて暗号化される。例えば、幾つかの変形では、暗号化鍵Ｋ_ＲＳＰは、鍵関数Ｋ_ＦＸ２の結果を用いて暗号化される。鍵関数Ｋ_ＦＸ２は、トレントからの応答の他の部分で使用される鍵関数Ｋ_ＦＸとは異なることができ、また、反復カウントｉおよび大型秘密鍵Ｋ_ｉに基づいて鍵を生成する非可逆関数を含むことができる。鍵関数Ｋ_ＦＸは、非可逆である。なぜなら、以下で説明するように、アリスがホワイト、即ち、発見可能データを暗号化するために暗号化鍵Ｋ_ＲＳＰを使用した場合、盗聴者はその暗号化鍵Ｋを発見できるからである。非可逆関数の使用は、盗聴者が、暗号化鍵Ｋ_ＲＳＰについての知識を取得したときに、アリスの大型秘密鍵Ｋ_ｉを決定することを制限または防止する。例えば、鍵関数Ｋ_ＦＸ２は、アリスの大型秘密鍵Ｋ_ｉの一部のハッシュを生成するセキュア・ハッシュ関数を含むことができ、この大型秘密鍵Ｋ_ｉの一部は、抽出関数Ｆ_ＥＸ２により生成されたものであり、この抽出関数Ｆ_ＥＸ２は、上述の抽出関数Ｆ_ＥＸとは異なるものであり、反復カウントｉに基づいてアリスの大型秘密鍵Ｋ_ｉの一部を抽出する。鍵関数Ｋ_ＦＸ２に含まれるセキュア・ハッシュ関数はまた、上述の初期設定関数とは異なる初期設定関数Ｉ_ＦＸ２により生成された初期設定ベクトルに基づいて、ハッシュを生成することができる。初期設定関数Ｉ_ＦＸ２は、反復カウントｉおよびアリスの大型秘密鍵Ｋ_ｉに基づいて初期設定ベクトルを生成することができる。

要求された暗号化鍵Ｋ_ＲＳＰは、アリスの大型秘密鍵Ｋ_ｉまたはその一つのバージョンを用いて暗号化されるので、暗号化された暗号化鍵Ｋ_ＲＳＰは、アリスの大型秘密鍵Ｋ_ｉについての何らかの情報を漏らす。上述のメッセージ認証コードまたはハッシュにより漏らされる情報と同様に、攻撃者は、力ずく攻撃を実行するときに候補鍵を除外するために、暗号化された暗号化鍵Ｋ_ＲＳＰに含まれる情報を使用することができる。しかし、暗号化された暗号化鍵Ｋ_ＲＳＰにおいて漏らされる情報の量は、力ずく攻撃が成功する可能性を実質的に低減または排除するために、秘密鍵をいつリセットすべきかの計算において考慮することができる。幾つかの実施形態では、応答において漏らされる情報を更に制限するために、反復カウントｉは、鍵関数Ｋ_ＦＸ２において使用される前に、追加のカウントをインクリメントされる。

上記で示されたように、「暗号化鍵を取得する」要求に応答して、暗号化鍵Ｋ_ＲＳＰは、応答パラメータＴ_ＲＳＰの一部として含まれ、その応答パラメータＴ_ＲＳＰは、ホワイト・データと見なされ、アリスのホワイト・データ鍵ｋ_ｉを用いて暗号化される。暗号化鍵Ｋ_ＲＳＰは、アリスが暗号化鍵Ｋ_ＲＳＰを使用してホワイト・データを暗号化する可能性が高いので、ホワイト・データと見なされる。暗号化鍵Ｋ_ＲＳＰがホワイト・データを暗号化するために使用される場合、暗号化鍵Ｋ_ＲＳＰは、力ずく攻撃を使用して盗聴者により発見される可能性がある。暗号化鍵Ｋ_ＲＳＰがアリスの大型秘密鍵Ｋ_ｉを用いてブラック・データとして暗号化される場合、盗聴者は、暗号化鍵の発見された値を使用して、力ずく攻撃を実行し、アリスの大型秘密鍵Ｋ_ｉおよびアリスとトレントとの間で交換される他のブラック・データについての情報を決定することができる。上述のように、非可逆関数により生成された鍵を用いる暗号化鍵Ｋ_ＲＳＰの暗号化は、盗聴者の、暗号化鍵Ｋ_ＲＳＰについての取得された知識からアリスの大型秘密鍵Ｋ_ｉについての情報を発見する能力を、制限する。従って、アリスのホワイト・データ鍵ｋ_ｉを用いて暗号化鍵Ｋ_ＲＳＰを暗号化することにより、アリスの大型秘密鍵Ｋ_Ａおよびアリスとトレントとの間で交換される他のブラック・データは、盗聴者が暗号化鍵Ｋ_ＲＳＰを取得できたとしても、セキュアに保持される。

アリスは、以下の例示的な形式を用いてトレント宛ての「暗号解除鍵を取得する」要求を生成するために、上記のコマンド・コードおよびパディング値を使用することができる。

Ａ→Ｔ：ＢＣＰ_ＲＥＱ（Ｎ_ＲＥＱδ_ｉＰＡＤ［Ｘ］）
上記において、Ｎ_ＲＥＱは、要求された暗号解除鍵に関連する識別子である。

それに応答して、トレントは、以下の例示的な形式を用いてアリス宛ての応答を生成する。

Ａ→Ｔ：ＢＣＰ_ＲＳＰ（ＸＯＲ（δ_ｉ，δ_ｉ’）Ｅ（Ｋ_ＦＸ２（ｉ，Ｋ_ｉ），Ｋ_ＲＳＰ）ＰＡＤ［Ｘ］）

上記において、Ｋ_ＲＳＰは、要求において提供された識別子Ｎ_ＲＥＱに関連する要求された暗号解除鍵である。「暗号化鍵を取得する」要求に関して上述されたように、暗号化鍵Ｋ_ＲＳＰは、鍵関数Ｋ_ＦＸ２の結果を用いて暗号化され得るものであり、鍵関数Ｋ_ＦＸ２は、反復カウントｉおよび大型秘密鍵Ｋ_ｉに基づいて鍵を生成する非可逆関数を含み、トレントからの応答の他の部分で使用される鍵関数Ｋ_ＦＸとは異なるものである。上記で述べたように、トレントは、反復カウントｉを、鍵関数Ｋ_ＦＸ２において使用する前に、カウントを追加してインクリメントすることができる。

先に述べたように、エンティティは、認証手段に暗号化鍵および暗号解除鍵を要求するために、上記の要求フォーマットを使用することができる。エンティティは、データを他のエンティティへ送信する前に、暗号化鍵を使用して、データ（例えば、デジタル・コンテンツ）を暗号化し、暗号化データを受け取ったエンティティは、必要な暗号解除鍵を認証手段に要求する。認証手段を鍵配布者として使用することは、エンティティが、エンティティ間で個別の暗号化またはセッション鍵を確立する必要なしに、互いに通信することを可能にする。何れのエンティティも、平文または無暗号化データを他のデータに送ることにより、他のエンティティとセキュア・セッションを開始することを要求されない（即ち、ハンドシェークは必要とされない）ので、エンティティ間で送信されるデータは、常に暗号化されることができる。この暗号化戦略を使用することで、上記の要求および応答フォーマットを、電子メール交換、デジタル・コンテンツ管理、セキュア・ファイル転送、クライアント−サーバ・セッションなどのような様々なアプリケーションに適用され得るミューテーティング（変化）・トランスポート層セキュリティを確立するために、使用できる。

ミューテーティング（変化）・ロック・ボックス
幾つかの実施形態では、識別変化ＩＤ、デジタル署名変化ＩＤ、鍵ペア変化ＩＤ、フィンガプリント変化ＩＤ、および／または大型変化ＩＤなどのような、エンティティにより保持される変化ＩＤは、ミューテーティング・ロック・ボックス（ｍｕｔａｔｉｎｇ ｌｏｃｋ ｂｏｘ）と呼ばれるセキュアなメモリ・デバイスに保存される。ミューテーティング・ロック・ボックスに保存されたデータは、オフラインの力ずく攻撃の有効性を低下させるために、暗号化することができる。幾つかの実施形態では、ミューテーティング・ロック・ボックスに保存されたデータは、ブラック・データとホワイト・データとが同じ鍵を用いて暗号化されないように、上述のように個別に暗号化される。ミューテーティング・ロック・ボックスの活動化またはオープンには、複数のステップまたはファクタを必要とすることができる。例えば、ミューテーティング・ロック・ボックスを活動化しようと試みるエンティティは、ユーザ・パスワードおよび／またはＰＩＮを提供するように要求され得る。認証デバイス２８はまた、ボックス識別子カレンシ・チェック（ｂｏｘ ｉｄｅｎｔｉｆｉｅｒ ｃｕｒｒｅｎｃｙ ｃｈｅｃｋ）の実行および使用可能システム・データの分析などのような複数のチェックおよび分析を実行することができる。幾つかの実施形態では、ミューテーティング・ロック・ボックスは、エンティティのハード・ドライブまたは永久メモリ・デバイスに保存される。他の実施形態では、ミューテーティング・ロック・ボックスは、ユニバーサル・シリアル・バス（「ＵＳＢ」）フラッシュ・ドライブなどのようなポータブル・メモリ・デバイスに保存される。

本発明の様々な特徴が特許請求の範囲において説明される。

図１は、本発明の一実施形態による、データを送信するためのシステムを概略的に示す。 図２は、本発明の一実施形態による、ビット・ストリーム（「変化ＩＤ」と呼ばれる）を示す。 図３Ａおよび図３Ｂは、変化ＩＤを配布する方法を示す。 図４は、例示的な力ずく攻撃を示す。 図５は、暗号化されるデータに含まれるデータのタイプを示す。 図６および図７は、本発明の一実施形態による、発見不可能、即ち、「ブラック」データのセキュリティを保護するための暗号化戦略を示す。 図６および図７は、本発明の一実施形態による、発見不可能、即ち、「ブラック」データのセキュリティを保護するための暗号化戦略を示す。 図８、図９および図１０は、本発明の種々の実施形態による、鍵抽出および変化プロトコルを示す。 図８、図９および図１０は、本発明の種々の実施形態による、鍵抽出および変化プロトコルを示す。 図８、図９および図１０は、本発明の種々の実施形態による、鍵抽出および変化プロトコルを示す。 図１１は、本発明の一実施形態による、認証デバイスと通信するための個別の暗号化プロトコルを示す。

Claims (53)

1. データを暗号化する方法であって、
   第１の発見可能データおよび第１の発見不可能データを含む第１のデータを確立するステップと、
   第１の鍵と、前記第１の鍵から実質的に導出不能な第２の鍵とを確立するステップと、
   前記第１の鍵を用いて前記第１の発見可能データを暗号化するステップと、
   前記第２の鍵を用いて前記第１の発見不可能データを暗号化するステップと、
   を備える方法。
2. 請求項１に記載の方法であって、
   前記第１の鍵および前記第２の鍵の少なくとも一つを変化させるステップと、
   第２の発見可能データおよび第２の発見不可能データを含む第２のデータを確立するステップと、
   前記第１の鍵を用いて前記第２の発見可能データを暗号化するステップと、
   前記第２の鍵を用いて前記第２の発見不可能データを暗号化するステップと、
   を更に備える方法。
3. 請求項１に記載の方法であって、第３の鍵を確立するステップを更に備える方法。
4. 請求項３に記載の方法であって、第３の鍵を確立する前記ステップが、前記第１の鍵および前記第２の鍵の少なくとも一つに基づいて第３の鍵を確立するステップを含む、方法。
5. 請求項３に記載の方法であって、第３の鍵を確立する前記ステップが、第４の鍵と、前記第１の鍵および前記第２の鍵の少なくとも一つとの排他的ＯＲを実行することにより、第３の鍵を確立するステップを含む、方法。
6. 請求項３に記載の方法であって、前記第３の鍵を用いて前記発見可能データの少なくとも一部を暗号化するステップを更に備える方法。
7. 請求項６に記載の方法であって、前記第３の鍵を変化させるステップを更に備える方法。
8. 請求項１に記載の方法であって、第１の鍵を用いて前記発見可能データを暗号化する前記ステップが、前記第１の鍵を用いて、前記発見可能データと、前記第２の鍵を用いて前記発見不可能データを暗号化した結果としてできたものとを暗号化するステップを含む、方法。
9. 請求項１に記載の方法であって、第２の鍵を用いて前記発見不可能データを暗号化する前記ステップが、前記第２の鍵を用いて、前記発見不可能データと、前記第１の鍵を用いて前記発見可能データを暗号化した結果としてできたものとを暗号化するステップを含む、方法。
10. 請求項１に記載の方法であって、識別子を確立するステップを更に備える方法。
11. 請求項１０に記載の方法であって、前記第１の鍵を用いて前記発見可能データを暗号化した結果としてできたものと、前記第２の鍵を用いて前記発見不可能データを暗号化した結果としてできたものとの少なくとも一つに、前記識別子を付加するステップを更に備える方法。
12. 請求項１１に記載の方法であって、前記識別子を変化させるステップを更に備える方法。
13. 請求項１に記載の方法であって、前記データの少なくとも一部のハッシュを生成するステップを更に備える方法。
14. 請求項１３に記載の方法であって、前記第２の鍵を用いて前記ハッシュを暗号化するステップを更に備える方法。
15. 発見可能データおよび発見不可能データを含むデータを暗号化するためのシステムであって、
    第１の鍵と、前記第１の鍵から実質的に導出不能な第２の鍵とを有し、前記第１の鍵を用いて前記発見可能データを暗号化し、前記第２の鍵を用いて前記発見不可能データを暗号化し、かつ、変化した第１の鍵および変化した第２の鍵の少なくとも一つを受け取るように構成される送信側
    を備えるシステム。
16. 請求項１５に記載のシステムであって、前記第１の鍵および前記第２の鍵を確立するように構成される認証手段を更に備えるシステム。
17. 請求項１６に記載のシステムであって、前記認証手段が、前記変化した第１の鍵および前記変化した第２の鍵を確立するように更に構成される、システム。
18. 請求項１５に記載のシステムであって、前記送信側が第３の鍵を更に有する、システム。
19. 請求項１８に記載のシステムであって、前記第３の鍵が、前記第１の鍵および前記第２の鍵の少なくとも一つに基づくものである、システム。
20. 請求項１８に記載のシステムであって、前記第３の鍵が、第４の鍵と、前記第１の鍵および前記第２の鍵の少なくとも一つとの排他的ＯＲの結果に基づくものである、システム。
21. 請求項１８に記載のシステムであって、前記送信側が、前記第３の鍵を用いて前記発見可能データの少なくとも一部を暗号化するように更に構成される、システム。
22. 請求項２１に記載のシステムであって、前記送信側が、変化した第３の鍵を受け取るように更に構成される、システム。
23. 請求項１５に記載のシステムであって、前記送信側が、前記第１の鍵を用いて、前記発見可能データと、第２の鍵を用いて前記発見不可能データを暗号化した結果としてできたものとを暗号化するように更に構成される、システム。
24. 請求項１５に記載のシステムであって、前記送信側が、前記第２の鍵を用いて、前記発見不可能データと、前記第１の鍵を用いて前記発見可能データを暗号化した結果としてできたものとを暗号化するように更に構成される、システム。
25. 請求項１５に記載のシステムであって、前記送信側が識別子を更に有する、システム。
26. 請求項２５に記載のシステムであって、前記送信側が、前記第１の鍵を用いて前記発見可能データを暗号化した結果としてできたものと、前記第２の鍵を用いて前記発見不可能データを暗号化した結果としてできたものとの少なくとも一つに、前記識別子を付加するように更に構成される、システム。
27. 請求項２６に記載のシステムであって、前記送信側が、変化した識別子を受け取るように更に構成される、システム。
28. 請求項１５に記載のシステムであって、前記送信側が、前記発見可能データの少なくとも一部のハッシュを生成するように更に構成される、システム。
29. 請求項２８に記載のシステムであって、前記送信側が、前記第２の鍵を用いて前記ハッシュを暗号化するように更に構成される、システム。
30. データを保存する記憶デバイスであって、第１の鍵の組を用いて発見可能データを暗号化し、前記第１の鍵の組から実質的に導出不能な第２の鍵の組を用いて発見不可能データを暗号化するように構成される記憶デバイス。
31. 請求項３０に記載の記憶デバイスであって、認証手段と通信して前記第１の鍵の組または前記第２の鍵の組の少なくとも一つの変化を受信するように更に構成される記憶デバイス。
32. 請求項３０に記載の記憶デバイスであって、活動化する前に許可を必要とするように更に構成される記憶デバイス。
33. 請求項３２に記載の記憶デバイスであって、前記許可には、パスワードおよび個人識別番号の少なくとも一つを含む、記憶デバイス。
34. エンティティと認証手段との間でメッセージを送信する方法であって、
    前記エンティティに関連する識別子を確立するステップと、
    発見不可能データのみを暗号化するための第１の鍵であって、前記エンティティおよび前記認証手段のみに知られた第１の鍵を確立するステップと、
    発見可能データのみを暗号化するための第２の鍵であって、前記エンティティおよび前記認証手段のみに知られた第２の鍵を確立するステップと、
    前記第２の鍵を用いて要求パラメータを暗号化して、暗号化要求を生成するステップと、
    前記要求パラメータのハッシュを生成するステップと、
    前記第１の鍵を用いて前記要求パラメータの前記ハッシュを暗号化して、暗号化要求ハッシュを生成するステップと、
    前記エンティティが、前記暗号化要求および前記暗号化要求ハッシュを前記認証手段へ送るステップと、
    前記第１の鍵および前記第２の鍵の少なくとも一つを変化させるステップと、
    を備える方法。
35. 請求項３４に記載の方法であって、前記要求パラメータのハッシュを生成する前記ステップが、前記要求パラメータおよび前記識別子のハッシュを生成するステップを含む、方法。
36. 請求項３５に記載の方法であって、前記識別子を、前記暗号化メッセージと前記暗号化メッセージのハッシュとの少なくとも一つに付加するステップを更に備える方法。
37. 請求項３６に記載の方法であって、前記識別子に基づいて前記第１の鍵の一部を抽出する鍵関数を確立するステップを更に備える方法。
38. 請求項３７に記載の方法であって、前記第１の鍵を用いて前記要求パラメータの前記ハッシュを暗号化する前記ステップが、前記鍵関数の結果としてできたものを用いて前記要求パラメータの前記ハッシュを暗号化するステップを含む、方法。
39. 請求項３４に記載の方法であって、前記第１の鍵および前記識別子に基づいて初期設定ベクトルを確立するステップを更に備える方法。
40. 請求項３９に記載の方法であって、前記要求パラメータのハッシュを生成する前記ステップが、前記初期設定ベクトルに基づいて前記要求パラメータのハッシュを生成するステップを含む、方法。
41. 請求項３４に記載の方法であって、前記第１の鍵および前記識別子に基づいて抽出関数を確立するステップを更に備える方法。
42. 請求項４１に記載の方法であって、前記要求パラメータのハッシュを生成する前記ステップが、前記要求パラメータと前記抽出関数の結果としてできたものとのハッシュを生成するステップを含む、方法。
43. 請求項３４に記載の方法であって、前記識別子を変化させて、変化した識別子を生成するステップと、前記変化した識別子を前記エンティティへ送るステップとを更に備える方法。
44. 請求項４３に記載の方法であって、前記第２の鍵を変化させて、変化した第２の鍵を生成するステップと、前記第２の鍵を用いて前記変化した第２の鍵および応答パラメータを暗号化して、暗号化応答を生成するステップとを更に備える方法。
45. 請求項４４に記載の方法であって、ランダムな変化値を生成するステップを更に備える方法。
46. 請求項４５に記載の方法であって、前記第１の鍵および前記第２の鍵の少なくとも一つを変化させる前記ステップが、前記変化値を使用して前記第１の鍵および前記第２の鍵の少なくとも一つを変化させるステップを含む、方法。
47. 請求項４６に記載の方法であって、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータのハッシュを生成するステップを更に備える方法。
48. 請求項４７に記載の方法であって、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータのハッシュを生成する前記ステップが、初期設定ベクトルに基づいて、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータのハッシュを生成するステップを含む、方法。
49. 請求項４８に記載の方法であって、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータのハッシュを生成する前記ステップが、前記変化した識別子、前記変化した第２の鍵、前記変化値、前記応答パラメータ、および前記抽出関数の結果としてできたもののハッシュを生成するステップを含む、方法。
50. 請求項４９に記載の方法であって、前記第１の鍵を用いて、前記変化値と、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータの前記ハッシュとを暗号化して、暗号化応答ハッシュを生成するステップを更に備える方法。
51. 請求項５０に記載の方法であって、前記第１の鍵を用いて、前記変化値と、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータの前記ハッシュとを暗号化する前記ステップが、鍵関数の結果を用いて、前記変化値と、前記変化した識別子、前記変化した第２の鍵、前記変化値、および前記応答パラメータの前記ハッシュとを暗号化するステップを含む、方法。
52. 請求項５１に記載の方法であって、前記変化した識別子を、前記暗号化応答および前記暗号化応答ハッシュの少なくとも一つに付加するステップを更に備える方法。
53. 請求項５２に記載の方法であって、前記暗号化応答と前記暗号化応答のハッシュとを前記エンティティに送るステップを更に備える方法。

Images