JP2010503252A

JP2010503252A - コンピューティング・プラットフォームの証明

Info

Publication number: JP2010503252A
Application number: JP2009526205A
Authority: JP
Inventors: カメニッチ、ヤーン; ポリッツ、ジョナサン; ジマーマン、ロジャー
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2006-08-31
Filing date: 2007-07-03
Publication date: 2010-01-28
Also published as: EP2080142A2; WO2008026086A2; CN101512535A; CN101512535B; US20090271618A1; US8555072B2; EP2080142B1; WO2008026086A3

Abstract

【課題】コンピューティング・プラットフォームの証明方法を提供すること。
【解決手段】コンピューティング・プラットフォーム（１）の構成を検証者（３）に対して証明する方法及び装置が提供される。署名鍵（ＳＫ）は、プラットフォーム（１）に結合され、且つ、プラットフォーム（１）の定義された構成に結合される。署名鍵（ＳＫ）のクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））がエバリュエータ（２）から取得される。このクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））は、署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する。次に、プラットフォーム（１）は、署名鍵（ＳＫ）を用いて検証者（３）からのチャレンジに署名する機能を検証者（３）に対して立証し、且つ、クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））の所有を検証者（３）に対して立証し、それによって、プラットフォーム（１）がトラステッド構成を有することを、プラットフォーム構成を検証者（３）に開示することなく証明することができる。チャレンジに署名する機能は、署名されたチャレンジを検証者（３）に戻すことによって立証することができ、また、クレデンシャルの所有は、クレデンシャルＣ（ＳＫ）を検証者（３）に送信することによって同様に立証することができる。代替的に、クレデンシャルは、署名鍵（ＳＫ）の公開鍵に結合された匿名クレデンシャルＣ_ＤＡＡ（ＳＫ）とすることができる。この場合、クレデンシャルＣ_ＤＡＡ（ＳＫ）の所有、及びチャレンジに署名する機能は、署名鍵（ＳＫ）のクレデンシャル又は公開鍵を検証者（３）に実際に開示することなく立証することができる。証明プロセスにおけるエバリュエータ（２）及び検証者（３）の動作に関連する対応する方法及び装置もまた提供される。
【選択図】図１

Description

本発明は、一般に、コンピューティング・プラットフォームの証明（attestation）に関する。より具体的には、本発明の態様は、コンピューティング・プラットフォームがトラステッド・プラットフォーム構成を有することの保証を検証者が要求するシステムにおいて、検証者に対してコンピューティング・プラットフォームの構成を証明するプロセスに含まれる方法、装置及びコンピュータ・プログラムに関する。

コンピュータは非常に多くの用途のためのツールに発展し、コンピュータ・システムの使用は、どのような形態にせよ、日常生活のますます重要な部分になっている。これらのシステムにおいてセキュリティは重大な課題を提示する。包括的なセキュリティ機能は、消費者、企業、政府及び金融機関のようなユーザがそれらの利益の保護のために信頼することができる信頼のおけるコンピュータ環境を提供するために不可欠である。１つのこのようなセキュリティ機能は、あるコンピュータが、トラステッド・コンピュータ環境内で動作する他のデバイスに対して、そのコンピュータ環境がその環境に対して指定された信頼基準に従って信頼できることを保証することを可能にする機構である。例えば、デバイスは、その構成に不正な変更をもたらす攻撃を受けていないことを立証できる必要がある。そのような構成の変更は、デバイスの乱用を可能にし、システム・セキュリティの侵害を許容する可能性がある。このデバイス構成に関する保証の提供が、証明プロセスの本質になる。

トラステッド・コンピューティング・グループ（ＴＣＧ）は、ＰＣ、ＰＤＡ、携帯電話、サーバ、ゲートウェイ及び種々の他のネットワーク・デバイス及び周辺機器のような多様なコンピューティング・プラットフォームにわたるトラステッド・コンピューティングのためのオープン業界標準を開発し推奨するために作られた組織である。ＴＣＧの仕様は、仮想的及び物理的攻撃に対するセキュリティを高めるように設計されたハードウェア構成ブロック及びソフトウェア・インターフェースを推奨する。トラステッド・コンピューティング・システムの中心は、トラステッド・プラットフォーム・モジュール（ＴＰＭ）として知られるコンポーネントである。ＴＰＭの構造及び動作は、非特許文献１により詳細に定められている。簡単に言えば、ＴＰＭは種々のプラットフォームに組み込まれる専用集積回路の形態のハードウェア・コンポーネントである。ＴＰＭは、不正変更防止機能を備え、デジタル鍵、証明書及びパスワードに対する安全なストレージを提供し、並びに、鍵生成、プラットフォーム証明、プライバシ保護機能、及び暗号アルゴリズム及びプロトコルの実施のような種々のセキュリティ関連動作の機能を提供する。

ＴＰＭによって提供されるプラットフォーム証明機能は、プラットフォーム構成値の安全なストレージ及び報告に基づく。これらの値は、ハードウェア及びソフトウェア構成の測定値から導かれ、１組のプラットフォーム構成レジスタ（ＰＣＲ）内のＴＰＭ内に安全にストアされる。より具体的には、ハッシュ・アルゴリズムを用いて、プラットフォームが初めに設定されるときに構成の測定値からハッシュ値を生成する。さらに、ハッシュ値は、プラットフォーム構成に変更が施されるときに生成されてストアされ、これらの変更を記録するログが維持される。ハッシュ値は、いわゆる「ＰＣＲ値」としてプラットフォーム構成レジスタ内にストアされる。プラットフォーム構成の証明が所望されるときには、現在のプラットフォーム構成のＰＣＲ値をログと共に、プラットフォーム構成の保証を要求するパーティ（本明細書では一般に「検証者」と呼ぶ）に送信することができる。次に、検証者は、ハッシュ値が正確に計算されていること、及びＰＣＲ値によって表された構成がトラステッド構成に対応することを確認することができる。そうでない場合には、プラットフォームによるさらなるトランザクションを拒否することができる。

前述のことは、証明プロセスの簡単な説明である。実際には、付加的なセキュリティ手続きがプロセスに含まれる。例えば、ＰＣＲ値は、検証者により認証可能なデジタル署名の下で検証者に送信される。ＴＰＭ仕様によると、証明識別鍵（ＡＩＫ）をこの目的のために用いることができる。ＡＩＫはＲＳＡ（Ｒｉｖｅｓｔ、Ｓｈａｍｉｒ、Ａｄｌｅｍａｎ）鍵対であり、特にＰＣＲデータに署名するための署名鍵として用いられる。即ち、ＡＩＫ対の秘密鍵は、検証者に送信されるデータに署名するのに用いられ、次いで検証者は公開ＡＩＫ鍵を用いてデータを検証することによって署名を認証する。公開ＡＩＫ鍵の妥当性は、検証者が信頼する何らかの形態のクレデンシャル（credential）によって保証することができる。例えば、プラットフォームは、認証機関（ＣＡ）のようなトラステッド・サード・パーティ（ＴＴＰ）からＡＩＫに関する証明書を取得することができる。次に、この証明書は、公開ＡＩＫ鍵と共に検証者に送信することができる。より高度なアプローチは、上述のＴＣＧ仕様に定められた直接匿名証明（ＤＡＡ）プロトコルのような匿名クレデンシャル・システムの使用を含む。簡単に言えば、このシステムは、プラットフォームが匿名クレデンシャルを取得することを可能にし、この匿名クレデンシャルを用いて、検証者にクレデンシャル又は鍵を実際に示すことなく、検証者にたいしてＡＩＫを証明することができる。これは、匿名性を維持しながら検証者に対して必要な証明を行うことを可能にする専用の暗号アルゴリズムを使用して達成される。

上述の証明プロセスの核心は、プラットフォーム構成データ（特にＰＣＲ値及びログ）を検証者へ送信して、検証者がプラットフォーム構成を確認できるようにすることである。このプロセスにおいては、検証者がプラットフォーム構成の詳細を知ることが内在する。例えば、検証者は、どの特定のプログラムがプラットフォーム上で実行中であるかを判断することができる。さらに、同じプラットフォーム構成による多数のトランザクションをリンクすることができる。さらに、いくつかのアプリケーションにおいて、プラットフォーム構成を事実上独自のものとすることが可能であり、それによって、そのプラットフォームによるすべてのトランザクションを識別することができる。これらの要素は明らかにプライバシを損なうが、プライバシは、ＴＣＧ及び実際に任意の信頼できるシステムの本来の目的の１つである。

基本的な証明プロセスはＴＣＧのトラステッド・プラットフォーム・モジュールの文脈内で説明されているが、種々の代替の又は修正されたプロセスが当技術分野で知られている。これらのプロセスの幾つかは、付加的なトラステッド・サード・パーティ（ＴＴＰ）の使用に頼り、また他のプロセスはそうしないが、全てのプロセスは多かれ少なかれプライバシ問題を被り、また、プロセスの幾つかは付加的な実施上の及び／又は有効性の問題を提示する。上のＴＰＭシステムに基づいた証明システムの実施例は、特許文献１及び特許文献２に与えられる。これらは、主として、基本的ＴＰＭ証明プロセスを超えて拡大するシステム動作の局面に対処するものである。代替のシステムは、非特許文献２に説明されている。これはＴＴＰを用いてプラットフォーム構成を確認するもので、検証者はプラットフォームのプロパティについての保証ステートメントを与えるＴＴＰの証明書を受信する。これは、プライバシ問題を軽減する何らかの方法となるが、プラットフォームと検証者の間のトランザクション・プロトコルにＴＴＰを含めることを必要とする。この「ボトルネック」から性能問題が生じるので、このシステムは既存のＴＰＭｖ１．２仕様内での実施には適合しない。別の修正物は、特許文献３に記述されている。このシステムにおいて、ＰＣＲ値は乱数によって拡大され、そしてＴＴＰは保証ステートメントを、これらの「難読化された」ＰＣＲ値に関するクレデンシャル保証の形で発行する。次に、難読化されたＰＣＲ値は、クレデンシャルと共に検証者に送信される。従って、検証者は、難読化されているにもかかわらず、なおＰＣＲデータを受信するので、プラットフォームの多数のトランザクションがリンク可能となる。

国際公開第２００５／０３８６３４Ａ２号国際公開第２００５／０３８６３５Ａ２号米国特許出願公開第２００５／０２２９０１１Ａ１号明細書

Trusted Computing Group, TPM v1.2Specification Changes (A Summary of Changes with respect to the v1.1b TPMSpecification), ２００３年１０月,https://www.trustedcomputinggroup.org/groups/tpm/TPM_1_2_Changes_final.pdf. Sadeghi他、"Property-based Attestation for Computing Platforms: Caring aboutProperties, not Mechanisms", NSPW ‘04: Proceedings of the 2004 workshop on New security paradigm, ACMPress, 67 - 77ページ RSA Laboratories, RSA PKCS#1specification, PKCS #1 v2.1 RSACryptography Standard, RSA Security Inc., ２００２年,ftp://ftp.rsasecurity.com/pub/pkcs/pkcs-1/pkcs-1v2-1.pdf.

前述のことに鑑みて、上述の既知のシステムに付随する種々の問題を緩和することができる証明システムを提供することが望ましい。

本発明の一態様は、コンピューティング・プラットフォームの構成を、検証者に対して証明する方法を提供する。この方法は、
プラットフォームに結合され、且つ、プラットフォームの定義された構成に結合される署名鍵を準備するステップと、
署名鍵が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、署名鍵のクレデンシャルをエバリュエータから取得するステップと、
署名鍵を用いて検証者からのチャレンジに署名する機能を検証者に対して立証し、且つ、クレデンシャルの所有を検証者に対して立証し、それによって、プラットフォームがトラステッド構成を有することを、プラットフォーム構成を検証者に開示することなく、検証者に対して証明するステップと
を含む。

従って、本発明を具体化する証明方法は、プラットフォーム及び定義されたプラットフォーム構成の両方に結合される専用の署名鍵の使用に基づく。この結果は、署名鍵が、特定のコンピューティング・プラットフォームによってのみ、且つそれが定義された構成を有する場合にのみ、使用可能となることになる。ＴＴＰのようなエバリュエータは、この定義された構成がトラステッド・プラットフォーム構成に対応することを検証することができ、そして、署名鍵に関するこの結果に対するクレデンシャルを発行することができる。しかしながら、署名鍵は定義された構成に内在的に結合されるので、構成自体はクレデンシャル内に明記されないままであることができる。即ち、クレデンシャルの必要物は、プラットフォーム構成情報を含まない。次に、プラットフォームは、署名鍵を用いて検証者からのチャレンジに署名できることを立証することができ、そして、署名鍵に関するクレデンシャルを立証することによって、プラットフォームは、それがトラステッド構成を有することを、何らかの特定の構成情報を検証者に開示することなく、検証者に対して保証することができる。信頼とは、ＴＣＧ技術用語集によれば、トラステッド・デバイス又はトラステッド・プラットフォーム構成が特定の目的のために特定の様式で機能することの予想として定義することができる。さらに、トラステッド・コンピューティング・プラットフォーム又はトラステッド・プラットフォーム構成は、ＴＣＧ技術用語集によれば、そのプロパティを報告する信頼できるコンピューティング・プラットフォームとして定義することができる。

本発明のこの態様は、プラットフォームの構成の詳細に対する完全なプライバシ保護をもたらすと同時に、必要な保証を検証者に与えることができる優雅に簡潔でなお高度に有効なプラットフォーム証明システムを提示する。さらに、このシステムは、現在のＴＣＧ仕様の文脈内での実施に著しく好適であり、証明機構をＴＣＧベースのシステムに直ちに採用することを可能にし、そして、洗練された有効且つ広く受け入れられているトラステッド・コンピューティング環境でのこの証明プロセスの利点を提供する。

プラットフォームは、単にチャレンジに署名し、そのチャレンジを署名鍵の公開鍵と共に検証者に戻すことによって、チャレンジに署名する機能を立証することができる。同様に、クレデンシャルの所有を、検証者にそれを実際に送信することによって、検証者に対して立証することができる。しかしながら、エバリュエータによって発行されるクレデンシャルがＤＡＡ類似のクレデンシャルのような匿名クレデンシャルである場合には、付加的なプライバシ保護を提供することができる。ここで、クレデンシャルの所有は、クレデンシャルを検証者に実際に開示することなく検証者に対して立証することができ、また、チャレンジに署名する機能は、署名されたチャレンジを送信することなく又は署名鍵の公開鍵を開示することなく、立証することができる。これは、以下により詳細に説明する。

本発明のさらに別の態様は、前述の方法を用いる証明システムにおけるエバリュエータ及び検証者のそれぞれの動作に関する。従って、本発明の第２の態様は、コンピューティング・プラットフォームの構成を証明する方法を提供する。この方法は、以下のステップ、即ち、コンピューティング・プラットフォームから、プラットフォームに結合され且つプラットフォームの定義された構成に結合された署名鍵の公開鍵を受信するステップと、コンピューティング・プラットフォームから定義された構成を示すデータを受信するステップと、定義された構成がトラステッド・プラットフォーム構成に対応することを検証するステップと、署名鍵が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、署名鍵のクレデンシャルをコンピューティング・プラットフォームに送信するステップとを含む。本発明の第３の態様は、コンピューティング・プラットフォームの構成の証明を検証する方法を提供する。この方法は、以下のステップ、即ち、コンピューティング・プラットフォームにチャレンジを送信するステップと、コンピューティング・プラットフォームに結合された署名鍵を用いてチャレンジに署名するコンピューティング・プラットフォームの機能の立証、及び署名鍵が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明するクレデンシャルのコンピューティング・プラットフォームによる所有の立証をコンピューティング・プラットフォームから受信するステップと、そのクレデンシャルを認証し、それによって、コンピューティング・プラットフォームがトラステッド・プラットフォーム構成を有することを、プラットフォーム構成の開示を受信することなく検証するステップとを含む。

本明細書において、特徴を本発明の一態様の一実施形態に関連して説明するが、類似の特徴を本発明の別の態様の実施形態において提供することができる。

本発明はまた、本発明の前述の態様の何れかによる方法をコンピュータに実行させるためのプログラム・コード手段を含むコンピュータ・プログラムを提供する。用語「コンピュータ」は最も包括的な意味で用いられ、コンピュータ・プログラムを実施するためのデータ処理能力を有する任意のデバイス、コンポーネント又はシステムを含むことを理解されたい。さらに、本発明を具体化するコンピュータ・プログラムは、独立したプログラムを構成することができ、又はより大きなプログラムの要素とすることができ、そして、例えば、コンピュータ内に装填するディスク又は電子伝送のようなコンピュータ可読媒体内に具体化して供給することができる。コンピュータ・プログラムのプログラム・コード手段は、コンピュータに問題の方法を、直接に実行させるか、又は（ａ）別の言語、コード又は表記への変換、及び（ｂ）異なる材料形態での複製のうちの何れか若しくは両方の後に実行させるように意図した１組の命令の、任意の言語、コード又は表記における任意の表現を含むことができる。

本発明のさらに別の態様は、検証者に対して、その装置を組み込んだコンピューティング・プラットフォームの構成を証明するための装置であって、本発明の第１の態様による方法を実行するように適合させた制御論理を備えた装置を提供する。

本発明の別の態様は、コンピューティング・プラットフォームの構成を証明するための、制御論理を備えた装置を提供し、ここで制御論理は、コンピューティング・プラットフォームからの、プラットフォームに結合され且つプラットフォームの定義された構成に結合された署名鍵の公開鍵と、プラットフォームの定義された構成を示すデータとの受信に応答して、定義された構成がトラステッド・プラットフォーム構成に対応することを検証し、そして、署名鍵が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する署名鍵のクレデンシャルをコンピューティング・プラットフォームに送信するように適合させる。

本発明の付加的な態様は、コンピューティング・プラットフォームの構成の証明を検証するための装置であって、本発明の第３の態様による方法を実行するように適合させた制御論理を含む装置を提供する。

これから本発明の好ましい実施形態を、実施例として添付の図面を参照しながら説明する。

本発明を具体化する証明方法の動作における基本ステップを示すコンピューティング・システムの表現である。本発明を具体化する１つの証明方法の動作の詳細の略図である。図２の実施形態に対する変形を示す。本発明を具体化する別の証明方法の動作の詳細の略図である。

図１は、本発明を具体化する証明方法を実施することができるコンピューティング・システムの一実施形態の略図を示す。このシステムは、コンピューティング・プラットフォーム１、構成エバリュエータ２及び検証者３を含む。コンピューティング・プラットフォーム１はまた、ユーザ・プラットフォーム１として表示される。構成エバリュエータ２はまたエバリュエータ２として表示される。これらのコンポーネントの各々は、説明される証明プロセスのステップを実施する制御論理を含む。一般に、制御論理は、ハードウェア又はソフトウェは又はそれらの組合せで実施することができ、またコンポーネント１乃至３の特性は、証明プロセスの基本的な動作にはあまり関係しない。しかしながら、本実施例の目的のために、システム・コンポーネント１、２及び３の各々は、汎用コンピュータによって実施されるものと想定する。特に、ここでプラットフォーム１は、ユーザＰＣによって実施され、そしてトラステッド・プラットフォーム・モジュール（ＴＰＭ）４の形態のセキュリティ・モジュールを含む。ＴＰＭ４の構造及び動作は、一般的には、前に言及したＴＣＧ仕様（その関連した内容は引用により本明細書に組み入れられる）により定められ、証明プロセスを実行するためのその付加的な機能性は以下に詳述する。この機能性の特定の実施は、本明細書の説明から当業者には明らかとなる。ユーザ・プラットフォーム１内のＴＰＭ４は、前述のＰＣＲ値をストアするための１組のレジスタ５を含む。一般にこのレジスタ５の組は、任意の数の個々のＰＣＲレジスタを含むことができるが、典型的にはＴＰＭチップは最少１６個のレジスタを含む。この実施例においてエバリュエータ２及び検証者３は、コンピュータに証明プロセスのステップを実行させるためのそれぞれのコンピュータ・プログラムを有する汎用コンピュータによって、同様に実施される。このようなシステムを含むシナリオの一実施例は、ユーザＰＣ１を操作する消費者が検証者コンピュータ３上で実行されるサーバによって提供されるウェブ・サービスにアクセスすることを望む場合である。このサービスにアクセスするために、ユーザ・プラットフォーム１の構成は、検証者３の満足に対して証明される必要がある。このシナリオにおいて、構成エバリュエータ２はＴＴＰ、即ち、ユーザと検証者の両方が信頼するエンティティを表す。

本発明の実施形態において、専用の署名鍵ＳＫがユーザ・プラットフォーム１において定義される。この署名鍵ＳＫは、ユーザ・プラットフォーム１、特にそのＴＰＭ４と、ユーザ・プラットフォーム１の定義された構成との両方に結合される。この結合の結果は、署名鍵ＳＫの秘密鍵がＴＰＭ４内に安全に保持されるので、署名鍵は特定のＴＰＭによってのみ（即ち、ＳＫは移動不可能）、且つユーザ・プラットフォーム１がＰＣＲレジスタ５の定義された状態に対応する定義された構成を有する場合のみ用いることができることになる。ＰＣＲレジスタ５のこの定義された状態は、例えば、レジスタ５が指定された一組の（１つ又は複数の）ＰＣＲ値を含むこと、或いは、一組のストアされたＰＣＲ値が定義された条件を満たすこと、例えば、所定のハッシュ関数のアプリケーションが指定されたハッシュ値を生じることである。何れの場合においても、本実施形態のＴＣＧ環境において、署名鍵は、命令ＴＰＭ＿ＣｒｅａｔｅＷｒａｐＫＥＹを用いてＴＰＭ４によって作成することができ、そして図１のＴＰＭ４内で、下付き文字がまさに記された結合を示すＳＫ_{（ＴＰＭ、ＰＣＲ）}によって表示される。

本発明を具体化する証明プロセスは、エバリュエータ２から署名鍵ＳＫのクレデンシャルを取得するコンピューティング・プラットフォーム１を含む。このクレデンシャルの目的は、鍵ＳＫが結合されているプラットフォーム構成がトラステッド・プラットフォーム構成であることを証明することである。図１における標識付き矢印は、説明される証明プロセスの動作における基本ステップの簡単化した表示を与える。矢印Ａは、署名鍵ＳＫ（特にその公開鍵）が、鍵ＳＫが結合される特定のＰＣＲ状態を示すデータと共にエバリュエータ２に送信されることを示す。このデータは図中ではＰＣＲ_ＳＫで示される。次に、エバリュエータ２は、ＰＣＲ_ＳＫで示されるＰＣＲの状態が、例えば、ログを使用してＰＣＲの状態をチェックすることによって、トラステッド・プラットフォーム構成に対応することを検証する。ＰＣＲの状態が信頼できると判断されたと仮定すれば、エバリュエータ２は、矢印Ｂで示すように、署名鍵のクレデンシャルＣ（ＳＫ）をプラットフォーム１に返信する。このクレデンシャルは、様々な形態を取ることができるが、典型的には、鍵ＳＫ上のエバリュエータによるある形態の署名を含む。ここでの要点は、クレデンシャルがＰＣＲ_ＳＫを含まないか又は別様にプラットフォーム構成に関する如何なる情報をも明記しないことである。次に、矢印Ｃで示すように検証者３がチャレンジ（例えば、メッセージ又はノンス）をプラットフォーム１に送信するとき、プラットフォームはクレデンシャルＣ（ＳＫ）を用いてその構成の妥当性を証明することができる。特に、矢印Ｄで示すように、プラットフォームは、検証者３に対して、署名鍵ＳＫを用いてチャレンジに署名する機能を立証し且つクレデンシャルＣ（ＳＫ）の所有を立証する。検証者３は、既知の様式でクレデンシャルを認証することができ、エバリュエータ２を信頼して、クレデンシャルがトラステッドＰＣＲ状態に対応する鍵ＳＫに対して発行されたことを知る。さらに、鍵ＳＫがエバリュエータ２によって検証されたＰＣＲ状態に結合されているので、チャレンジに署名するのにＳＫを用いる機能は、ユーザ・プラットフォーム１の構成が信頼できることの確証となる。このようにして、ユーザ・プラットフォームの構成は、ＰＣＲ_ＳＫ、ＰＣＲ値を如何なる形態においても又はプラットフォーム構成の実際の如何なる詳細をも検証者に開示することなく、検証者３の満足に対して証明される。

図２は、本発明を具体化する証明方法の、含まれるプロセスをより詳細に示した略図である。この実施形態において、ＴＰＭ４は、前述の証明識別鍵（ＡＩＫ）を用いて署名鍵ＳＫについての証明書を生成する。特に、図に示すように、ＴＰＭ４のＡＩＫの秘密鍵は、ＳＫの公開鍵及びＳＫが結合されるＰＣＲ状態のＰＣＲ_ＳＫに署名するのに用いられる。この証明動作は、ＳＫがＡＩＫを含む同じＴＰＭ４の移動不可能な鍵であり且つその使用が変数ＰＣＲ_ＳＫで定義されるＰＣＲ状態に限定される条件で、ＴＣＧ命令ＴＰＭ＿ＣｅｒｔｉｆｙＫｅｙ（ＡＩＫ、ＳＫ）を用いて実行することができる。結果として得られる証明書は，次にＳＫの公開鍵と共にエバリュエータ２に送信される。（ここで、ＡＩＫは公開ＳＫ鍵に署名するのに用いられるので、これは、本来的に証明書の一部としてエバリュエータに送信される。）この実施形態において、公開ＡＩＫ鍵は、証明書と共にエバリュエータ２に送信される。次に、エバリュエータ２は、ＡＩＫを認証する（例えば、ＡＩＫがエバリュエータには既知のトラステッドＡＩＫであることを検証することによって）。ＡＩＫの認証は署名鍵ＳＫを検証し、次に、既述のように、エバリュエータ２がＰＣＲ状態のＰＣＲ_ＳＫを検証する。次に、クレデンシャルＣ（ＳＫ）が発行されるが、これは図に示すように、公開ＳＫ鍵に結合される。ここで、この結合は、クレデンシャルに公開ＳＫ鍵を組み入れることによって達成され、例えば、クレデンシャルは公開ＳＫ鍵上のエバリュエータ２による署名とすることができる。次に、プラットフォーム１は秘密鍵ＳＫを用いて、図に示すように、検証者３のチャレンジに署名して、これを、検証者３に対するクレデンシャルと共に（公開ＳＫ鍵を組み入れる）検証者３に戻すことができる。これは、ＴＣＧのＴＰＭ＿Ｓｉｇｎ動作を介して実行することができる。次に、検証者３は、チャレンジが、クレデンシャルＣ（ＳＫ）によって認証されたＳＫの秘密鍵で署名されていることを確認することができ、それによって証明プロセスが完了する。

前述の実施形態におけるＡＩＫは、他の方法でエバリュエータ２によって認証することができる。例えば、ユーザ・プラットフォーム１は、エバリュエータ２が信頼する認証機関（ＣＡ）によって発行されるＡＩＫについての証明書を提供することができる。別の代替的方法は、前記のＤＡＡプロトコルを用いる。これは図３に概略的に示され、この図３は概ね図２に対応するが、ＤＡＡプロトコルによって導入される修正を示すボックス６を有する。ここで、ユーザ・プラットフォーム１は、エバリュエータ２（又は別のＴＴＰ）からＤＡＡのクレデンシャルＣ（ＤＡＡ）を予め取得している。図に示すように、ＤＡＡのクレデンシャルＣ（ＤＡＡ）は、クレデンシャルを取得するのに用いられ且つＴＰＭ４によって保護されるＤＡＡ鍵の公開鍵に結合される。Ｃ（ＤＡＡ）は、ＤＡＡプロトコルに定められた専用アルゴリズムの使用によってエバリュエータ２にＡＩＫの証明を供給するのに用いられる。これらのアルゴリズムは、本明細書において詳細に説明する必要はない。それらがゼロ知識証明を含むことを理解することで十分であり、そのゼロ知識証明は、プラットフォーム１が公開鍵ＡＩＫ上の署名を保持することを、プラットフォーム１が、クレデンシャルＣ（ＤＡＡ）を用いて、ＡＩＫ鍵又はクレデンシャルＣ（ＤＡＡ）をエバリュエータに実際に開示することなく、エバリュエータ２に立証することを可能にするものである。

コンピューティング・システム内で要求される匿名性のレベルに応じて、署名鍵ＳＫは、複数の検証者３との複数のトランザクション、特定の検証者３だけとの複数のトランザクション、又は所与の検証者との単一のトランザクションのみに対して用いることができる。従って、１つより多くの署名鍵をＴＰＭ４により準備してプラットフォームのトランザクションにおいて用いることができる。これらの署名鍵に対するそれぞれのクレデンシャルＣ（ＳＫ）は、それらが用いられることになるトランザクションに先立って取得することができ、定義されたＰＣＲ状態への署名鍵の結合は、プラットフォーム構成がその後に変造された場合にはクレデンシャルを用いることができないことを保証する。

図４の略図は、図２のシステムをさらに強化した証明システムの別の実施形態を示す。基本のシステムは、概して図２のシステムに類似しており、相違点のみをここで説明する。主要な相違は、署名鍵ＳＫに対してエバリュエータ２によって発行されるクレデンシャルの性質から起る。ここで、このクレデンシャルはＳＫの公開鍵に結合された匿名クレデンシャルである。この匿名クレデンシャルは、前述のＤＡＡ類似のクレデンシャルとすることができ、図中にＣ_ＤＡＡ（ＳＫ）で表示される。示したように、このクレデンシャルは、上述のＤＡＡシステムにおけるように、エバリュエータ２からクレデンシャルを取得する際に用いられるＤＡＡ類似の鍵ＤＫの公開鍵に結合される。しかしながら、通常のＤＡＡクレデンシャルとは異なり、クレデンシャルＣ_ＤＡＡ（ＳＫ）はプラットフォーム１に結合される必要はない。クレデンシャルＣ_ＤＡＡ（ＳＫ）はＳＫの公開鍵に、この公開鍵をクレデンシャルの属性として符号化することによって結合される。（これは一般に知られている様式で行うことができ、属性の使用は、例えば、以前に引用した特許文献２に記載されているように、当技術分野において既知である。）

この実施形態において、クレデンシャルＣ_ＤＡＡ（ＳＫ）は、プラットフォーム１が、検証者３に対してクレデンシャルの所有を、署名鍵ＳＫのクレデンシャル又は公開鍵を検証者に実際に開示することなく、立証することを可能にする。プラットフォームはまた、ＳＫを用いて検証者のチャレンジに署名するその機能を、署名されたチャレンジを検証者に実際に戻すことなく、立証することができる。特に、プラットフォーム１は、クレデンシャルＣ_ＤＡＡ（ＳＫ）の所有、及びチャレンジに署名する機能を、（１）クレデンシャルＣ_ＤＡＡ（ＳＫ）の知識を証明し、（２）クレデンシャルの属性とＳＫの公開鍵との同等性を証明し、そして（３）以下のアルゴリズムにおいて詳述するようにＳＫの公開鍵に対するチャレンジ上の署名の知識の正確さを証明することによって、立証することができる。クレデンシャルの知識の証明は、当業者には明らかとなるように、ＤＡＡ類似のプロトコルを用いて行うことができる。検証者からのチャレンジに応答して、プラットフォーム１は、その秘密ＳＫ鍵を用いてチャレンジ上のＲＳＡ署名を算出する。ＲＳＡ署名アルゴリズムは以下のアルゴリズム（詳細は、非特許文献３を参照されたい。この文献の関連する内容は引用によりここに組み入れられる）によって定められることに留意されたい。
(数１)
s = H(m) ^ (1/e)mod n
式中、Ｈはハッシュ関数であり、ｍはチャレンジであり、ｎ及びｅは公開署名鍵を定義する。実際には、ｅは通常は、固定値(2 ^ 16+1)である。ここで、プラットフォームは、公開署名鍵ＳＫがクレデンシャルＣ_ＤＡＡ（ＳＫ）内に符号化されていること、及びＳＫの秘密鍵をチャレンジへの署名に用いたことを、公開鍵を開示することなく証明する。それゆえに、プラットフォーム１は以下のコミットメントを算出する。
(数２)
C_n =g^n * h^(r_n)
C_s =g^s * h^(r_s)
式中、ｒ_ｓ、ｒ_ｎ＝ランダムであり、例えば、ｇ＝Ｒ_０、ｈ＝Ｓである（Ｒ_０及びＳはＤＡＡプロトコルによって定義される、構成エバリュエータのＤＡＡ公開鍵の要素である）。さらに、プラットフォームは、（１）Ｃ_ｎはクレデンシャルＣ_ＤＡＡ（ＳＫ）と同じｎを含み、そして（２）Ｃ_Ｓはｍの上のｎに関する署名を含むことの証明を生成する。従って、このシステムの種々の態様は、図に示すように検証者３によって検証することができ、図中、ＺＫＰはゼロ知識証明を示す。

図４のシステムは、ユーザ・プラットフォーム１が検証者３に対して完全に匿名であるので、前の実施形態よりもさらに進んだ改善を表す。従って、同じ署名鍵を任意の検証者との複数のトランザクションに、匿名性を損なうことなく用いることができる。ユーザ・プラットフォーム１は、プライバシの観点からエバリュエータ２に信頼を置く必要はないが、何故なら、たとえエバリュエータ２がＳＫ及びその結合されたＰＣＲ状態のＰＣＲ_ＳＫを開示したとしても、これは、検証者３に開示された情報を介してユーザ・プラットフォーム１にリンクすることができないからである。所与のシナリオにおいて適切である場合には、エバリュエータ２は検証者３と同じエンティティとすることができる。

上述の実施形態に対して、勿論、種々の修正を施すことができる。例えば、図４のシステムにおけるクレデンシャルＣ_ＤＡＡ（ＳＫ）の最大属性サイズに応じて、符号化された鍵を複数の属性に分割することができる。また、ＡＩＫを検証するために図３の実施形態において用いられるＤＡＡプロトコルは、図４のシステムに等しく用いることができる。本発明の実施形態は、勿論、図１の特定の実施例以外の多くのコンピューティング・システムに用いることができ、また、このようなシステム内のプラットフォーム、エバリュエータ及び検証者は、説明された特定の実施例以外の、任意の形態のコンピュータ・デバイスによって実施することができる。説明された特定の実施形態に対して種々の他の変更及び修正を、本発明の範囲から逸脱せずに施すことができる。

１：コンピューティング・プラットフォーム
２：構成エバリュエータ
３：検証者
４：トラステッド・プラットフォーム・モジュール（ＴＰＭ）
５：レジスタ
６：ボックス

Claims

コンピューティング・プラットフォーム（１）の構成を検証者（３）に対して証明する方法であって、
前記コンピューティング・プラットフォーム（１）に結合され、且つ、前記コンピューティング・プラットフォーム（１）の定義された構成に結合された署名鍵（ＳＫ）を準備するステップと、
前記署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、前記署名鍵（ＳＫ）のクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））をエバリュエータ（２）から取得するステップと、
前記検証者（３）に対して、前記署名鍵（ＳＫ）を用いて前記検証者（３）からのチャレンジに署名する機能を立証し、且つ、前記検証者（３）に対して、前記クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））の所有を立証し、それによって、前記コンピューティング・プラットフォーム（１）がトラステッド構成を有することを、前記プラットフォーム構成を前記検証者（３）に開示することなく、証明するステップと
を含む方法。
前記署名鍵（ＳＫ）を用いて前記チャレンジに署名し、該署名されたチャレンジを前記署名鍵（ＳＫ）の公開鍵と共に検証者（３）に戻すことによって、前記チャレンジに署名する前記機能を立証するステップと、
前記クレデンシャルを前記検証者に送信することによって、前記クレデンシャルＣ（ＳＫ）の所有を立証するステップと
を含む、請求項１に記載の方法。
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）は、前記署名鍵（ＳＫ）の公開鍵に結合された匿名クレデンシャルであり、
前記方法は、
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）の知識を前記検証者（３）に対して証明し、
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）に結合された鍵と前記署名鍵（ＳＫ）の前記公開鍵との同等性を、前記検証者（３）に対して立証し、
前記署名鍵（ＳＫ）の前記公開鍵に関する前記チャレンジ上の署名の正確な知識を前記検証者（３）に対して証明する
ことによって前記チャレンジに署名する前記機能及び前記クレデンシャルＣ_ＤＡＡ（ＳＫ）の所有を立証するステップを含む、
請求項１に記載の方法。
前記署名鍵（ＳＫ）の前記公開鍵は、前記クレデンシャルの少なくとも１つの属性として前記公開鍵を符号化することを通じて前記クレデンシャルＣ_ＤＡＡ（ＳＫ）に結合される、請求項３に記載の方法。
プラットフォーム構成値をストアするための１組のレジスタ（５）を有するトラステッド・プラットフォーム・モジュール（４）を含み、
前記署名鍵（ＳＫ）は前記トラステッド・プラットフォーム・モジュール（４）に結合され、前記定義された構成は前記レジスタの定義された状態を含む、
コンピューティング・プラットフォーム（１）を用いて使用するための、前記請求項の何れか１項に記載の方法。
前記クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））を前記取得するステップは、
トラステッド・プラットフォーム・モジュール（４）の証明識別鍵（ＡＩＫ）を用いて、前記レジスタ（５）の前記定義された状態を示す、前記署名鍵（ＳＫ）についての証明書を生成するステップと、
前記証明書を、前記署名鍵（ＳＫ）の前記公開鍵及び前記証明識別鍵（ＡＩＫ）の公開鍵の検証と共に、エバリュエータ（２）に送信するステップと
含む
請求項５に記載の方法。
前記証明識別鍵（ＡＩＫ）の前記公開鍵を前記エバリュエータ（２）に送信して前記公開鍵の前記検証を供給するステップを含む、請求項６に記載の方法。
前記公開鍵のクレデンシャル（Ｃ（ＤＡＡ））の所有を立証することによって、前記証明識別鍵（ＡＩＫ）の前記公開鍵の検証を送信するステップを含む、請求項６に記載の方法。
コンピューティング・プラットフォーム（１）の構成を認証する方法であって、
前記コンピューティング・プラットフォーム（１）に結合され、且つ、前記コンピューティング・プラットフォーム（１）の定義された構成に結合された署名鍵（ＳＫ）の公開鍵を、前記コンピューティング・プラットフォーム（１）から受信するステップと、
前記定義された構成を示すデータ（ＰＣＲ_ＳＫ）を、前記コンピューティング・プラットフォーム（１）から受信するステップと、
前記定義された構成がトラステッド・プラットフォーム構成に対応することを検証するステップと、
前記署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、前記署名鍵（ＳＫ）のクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））を前記コンピューティング・プラットフォーム（１）に送信するステップと
を含む方法。
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）は、前記署名鍵（ＳＫ）の公開鍵に結合された匿名クレデンシャルである、請求項９に記載の方法。
前記公開鍵を前記クレデンシャルの少なくとも１つの属性として符号化することによって、前記クレデンシャルＣ_ＤＡＡ（ＳＫ）を前記公開鍵に結合するステップを含む、請求項１０に記載の方法。
プラットフォーム構成値をストアするための１組のレジスタ（５）を有するトラステッド・プラットフォーム・モジュール（４）を含むコンピューティング・プラットフォーム（１）の前記構成を証明する方法であって、
前記プラットフォーム（１）の前記定義された構成は、前記レジスタ（５）の定義された状態を含み、
前記トラステッド・プラットフォーム・モジュール（４）の証明識別鍵（ＡＩＫ）を用いて生成され、前記レジスタ（５）の前記定義された状態を示す、前記署名鍵についての証明書を、前記コンピューティング・プラットフォーム（１）から受信するステップと、
前記証明識別鍵（ＡＩＫ）を認証するステップと、
前記定義された状態がトラステッド・プラットフォーム構成に対応することを検証するステップと
含む、請求項９乃至請求項１１の何れか１項に記載の方法。
コンピューティング・プラットフォーム（１）の構成の証明を検証する方法であって、前記コンピューティング・プラットフォーム（１）にチャレンジを送信するステップと、
前記コンピューティング・プラットフォーム（１）に結合された署名鍵（ＳＫ）を用いて前記チャレンジに署名する前記コンピューティング・プラットフォーム（１）の機能の立証と、前記署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明するクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））の前記コンピューティング・プラットフォーム（１）による所有の立証とを、前記コンピューティング・プラットフォーム（１）から受信するステップと、
前記クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））を認証し、それによって、前記コンピューティング・プラットフォーム（１）がトラステッド・プラットフォーム構成を有することを、前記プラットフォーム構成の開示を受信することなく検証するステップと、
含む方法。
前記署名鍵（ＳＫ）を用いて署名された前記チャレンジ、及び前記署名鍵（ＳＫ）の公開鍵を、前記チャレンジに署名する前記機能の立証として前記コンピューティング・プラットフォーム（１）から受信するステップと、
前記クレデンシャル（Ｃ（ＳＫ））を、該クレデンシャルの所有の立証として前記コンピューティング・プラットフォーム（１）から受信するステップと
を含む、請求項１３に記載の方法。
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）は前記署名鍵（ＳＫ）の公開鍵に結合された匿名クレデンシャルであり、
前記方法は、前記チャレンジに前記署名する機能と前記クレデンシャルＣ_ＤＡＡ（ＳＫ）の所有との立証として、前記プラットフォーム（１）から、
前記コンピューティング・プラットフォーム（１）による前記クレデンシャルＣ_ＤＡＡ（ＳＫ）の知識の証明と、
前記クレデンシャルＣ_ＤＡＡ（ＳＫ）に結合された鍵と前記署名鍵（ＳＫ）の前記公開鍵との同等性の証明と、
前記署名鍵（ＳＫ）の前記公開鍵に関する前記チャレンジ上の署名の正確な知識の証明と
を受信するステップを含む、請求項１３に記載の方法。
コンピュータに、前記請求項の何れかに記載の方法を実行させるためのプログラム・コード手段を含む、コンピュータ・プログラム。
検証者（３）に対して、装置を組み込んだコンピューティング・プラットフォーム（１）の構成を証明するための装置であって、
前記プラットフォーム（１）に結合され、且つ、前記プラットフォーム（１）の定義された構成に結合された署名鍵（ＳＫ）を供給し、
前記署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、前記署名鍵（ＳＫ）のクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））をエバリュエータ（２）から取得し、
前記検証者（３）に対して、前記署名鍵（ＳＫ）を用いて前記検証者（３）からのチャレンジに署名する機能を立証し、且つ、前記検証者（３）に対して、前記クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））の所有を立証し、それによって、前記プラットフォーム（１）がトラステッド構成を有することを、前記プラットフォーム構成を前記検証者（３）に開示することなく証明する、
ように適合された制御論理を含む装置。
コンピューティング・プラットフォーム（１）の構成を認証するための制御論理を備え装置であって、
前記制御論理は、前記コンピューティング・プラットフォーム（１）に結合され且つ前記コンピューティング・プラットフォーム（１）の定義された構成に結合された署名鍵（ＳＫ）の公開鍵と、前記コンピューティング・プラットフォームの前記定義された構成を示すデータ（ＰＣＲ_ＳＫ）との、前記コンピューティング・プラットフォーム（１）からの受信に応答して、
前記定義された構成がトラステッド・プラットフォーム構成に対応することを検証し、
前記署名鍵（ＳＫ）が明記されていないトラステッド・プラットフォーム構成に結合されていることを証明する、前記署名鍵（ＳＫ）のクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））を前記コンピューティング・プラットフォーム（１）に送信する
ように適合される、
装置。
コンピューティング・プラットフォーム（１）の構成の証明を検証するための装置であって、
前記コンピューティング・プラットフォーム（１）にチャレンジを送信し、
前記コンピューティング・プラットフォーム（１）に結合された署名鍵（ＳＫ）を用いて前記チャレンジに署名する前記コンピューティング・プラットフォーム（１）の機能の立証と、前記署名鍵（ＳＫ）が明記されていないトラスッテド・プラットフォーム構成に結合されていることを証明するクレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））の前記コンピューティング・プラットフォーム（１）による所有の立証とを、前記コンピューティング・プラットフォーム（１）から受信し、
前記クレデンシャル（Ｃ（ＳＫ）、Ｃ_ＤＡＡ（ＳＫ））を認証し、それによって、前記コンピューティング・プラットフォーム（１）がトラステッド・プラットフォーム構成を有することを、前記プラットフォーム構成の開示を受信することなく検証する、
ように適合された制御論理を含む装置。