JP2011109709A

JP2011109709A - セキュア認証チャネル

Info

Publication number: JP2011109709A
Application number: JP2011020831A
Authority: JP
Inventors: Jean-Pierre Andreaux; ピエールアンドロー，ジャン; Alain Durand; デュラン，アラン; Thomas Sirvent; シルヴァン，トマ
Original assignee: Thomson Licensing SAS
Current assignee: Thomson Licensing SAS
Priority date: 2011-02-02
Filing date: 2011-02-02
Publication date: 2011-06-02
Anticipated expiration: 2024-10-29
Also published as: JP5238045B2

Abstract

【課題】要求される特性を有し、特に限られた計算能力しか有しない装置における実現に適したセキュアアクセスチャネルプロトコルを提供する。
【解決手段】第１装置は証明書を有し、アイデンティティと、プライベートキーと、パブリックキーとを知っており、エフェメラルプライベートキーを選択し、第１エフェメラルパブリックキーを計算し、前記証明書と前記第１エフェメラルパブリックキーとを第２装置に送信し、前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及びアイデンティティから計算される第１ハッシュ値とを受信し、前記第２装置の証明書を検証し、前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、さらにパーマネントキーを計算し、前記第１ハッシュ値を検証する。
【選択図】図１

Description

本発明は、一般にセキュア認証チャネルに関し、より詳細には、デジタルテレビシステムなどにおけるデジタルコンテンツのプロテクションのための当該チャネルを確立するためのセッションキーの計算に関する。

暗号化の分野において周知であるセキュア認証チャネルは、２つの互いに認証した装置（しばしばピアと呼ばれる）が情報を秘密にやりとりすることを可能にするため確立される。セキュア認証チャネルは、好ましくは、以下の特性を有するべきである。
・ピアの相互認証
・キー確認すなわち、共通の秘密が確立され、少なくとも１つのピアが、実際に秘密が共通であることを証明することが可能である。
・フォワード秘匿性（ｆｏｒｗａｒｄｓｅｃｒｅｃｙ）すなわち、古いセッションキーは、長期間秘密キー（認証秘密キーなど）が知られているときでさえ計算できない。

これらの特性は、形式的には数学的に証明可能であり、所与の暗号化プロトコルについて上記特性の１つを回避する方法が存在する場合、プロトコル全体が比較的容易に破られるかもしれない。

数年間に、暗号コミュニティは、セキュア認証チャネルについて多数のプロトコルを提案してきた。これらのチャネルのいくつかしか、上記特性を充足することが証明されていない。

求められる特性をチャネルに提供するプロトコルはすべて、いくつかの異なる暗号プリミティブ、すなわち、少なくとも１つの非対称プリミティブ（非対称暗号化又はデジタルシグネチャなど）、ハッシュ関数、メッセージ認証コード（ＭＡＣ）、及び上記のいくつかにおける対称暗号化などの他のプリミティブを利用する。これらのプロトコルによる問題点は、それらがリソースをとても消費するものであり、スマートカードなどの携帯セキュリティモジュールなどの限られた計算能力しか有しない装置において実現するには困難であるということである。他の問題点は、多数の暗号プリミティブの使用はプロトコルがセキュアであることを証明することを困難にするということである。

本発明は、要求される特性を有し、特に限られた計算能力しか有しない装置における実現に適したセキュアアクセスチャネルプロトコルを提供する。

本記載を通じて、暗号化は成熟した技術であるため、基本的コンセプトは周知であるということが仮定される。これらのコンセプトは、簡単化のため、本発明の理解に必要となるもの以上は説明されない。

本発明の課題は、要求される特性を有し、特に限られた計算能力しか有しない装置における実現に適したセキュアアクセスチャネルプロトコルを提供することである。

第１の特徴では、本発明は、第１及び第２装置（１１，２１）に共通のセッションキーを計算する方法に関する。第１装置は、パブリックキー（ｇ^ａ）と自らに対応するアイデンティティ（ＩＤ_ａ）とから構成される証明書（Ｃ_ａ）を有し、自らの対応するアイデンティティ（ＩＤ_ａ）と、プライベートキー（ａ）と、パブリックキー（ｇ^ａ）とを知っている。第２装置は、対応する証明書及び知識を有する。第１装置は、第１エフェメラルプライベートキー（ｘ）を選択し、第１エフェメラルパブリックキー（ｇ^ｘ）を計算し、それの証明書（Ｃ_ａ）と第１エフェメラルパブリックキー（ｇ^ｘ）とを第２装置に送信する。第１装置の証明書（Ｃ_ａ）と第１エフェメラルパブリックキー（ｇ^ｘ）とを受信すると、第２装置は、第１装置の証明書（Ｃ_ａ）を検証し、第２エフェメラルプライベートキー（ｙ）を選択し、第２エフェメラルパブリックキー（ｇ^ｙ）を計算し、第１エフェメラルパブリックキー（ｇ^ｘ）と第２エフェメラルプライベートキー（ｙ）とからエフェメラル共有キー（Ｋ_ｅｐｈ）を計算し、第１装置のパブリックキー（ｇ^ａ）と自らのプライベートキー（ｂ）とからパーマネントキー（Ｋ_ｐｅｒｍ）を計算し、第２エフェメラルパブリックキー（ｇ^ｙ）と、エフェメラル共有キー（Ｋ_ｅｐｈ）と、パーマネントキー（Ｋ_ｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤ_ｂ）とから第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））を計算し、それの証明書（Ｃ_ｂ）と、第２エフェメラルパブリックキー（ｇ^ｙ）と、第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））とを第１装置に送信する。第２装置の証明書（Ｃ_ｂ）と、第２エフェメラルパブリックキー（ｇ^ｙ）と、第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））とを第２装置から受信すると、第１装置は、第２装置の証明書（Ｃ_ｂ）を検証し、第２エフェメラルパブリックキー（ｇ^ｙ）と第１エフェメラルプライベートキー（ｘ）とからエフェメラル共有キー（Ｋ_ｅｐｈ）を計算し、第１装置のパブリックキー（ｇ^ｙ）と自らのプライベートキー（ａ）とからパーマネントキー（Ｋ_ｐｅｒｍ）を計算し、第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））を検証し、第１エフェメラルパブリックキー（ｇ^ｘ）と、エフェメラル共有キー（Ｋ_ｅｐｈ）と、パーマネントキー（Ｋ_ｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤ_ａ）とから第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を計算し、第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を第２装置に送信する。第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を受信すると、第２装置は、第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を検証し、エフェメラル共有キー（Ｋ_ｅｐｈ）の関数としてセッションキー（Ｋ_ｓｅｓｓ）を計算する。第１装置はまた、エフェメラル共有キー（Ｋ_ｅｐｈ）の関数としてセッションキー（Ｋ_ｓｅｓｓ）を計算する。

第２の特徴では、本発明は、第２装置（２１）と共にセッションキーの計算に参加する第１装置（１１）に関する。第１装置は、パブリックキー（ｇ^ａ）と自らに対応するアイデンティティ（ＩＤ_ａ）とから構成される証明書を有し、自らに対応するアイデンティティ（ＩＤ_ａ）と、プライベートキー（ａ）と、パブリックキー（ｇ^ａ）とを知っている。第１装置は、エフェメラルプライベートキー（ｘ）を選択し、第１エフェメラルパブリックキー（ｇ^ｘ）を計算し、パブリックキー（ｇ^ｂ）と第２装置のアイデンティティ（ＩＤ_ｂ）とから構成されるそれの証明書（Ｃ_ａ）と、第１エフェメラルパブリックキー（ｇ^ｘ）とを第２装置に送信し、第２装置（Ｃ_ｂ）の証明書と、第２エフェメラルパブリックキー（ｇ^ｙ）と、第２エフェメラルパブリックキー（ｇ^ｙ）、エフェメラル共有キー（Ｋ_ｅｐｈ）、パーマネントキー（Ｋ_ｐｅｒｍ）、及び第２装置に対応するアイデンティティ（ＩＤ_ｂ）とから計算される第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））とを第２装置から受信し、第２装置の証明書（Ｃ_ｂ）を検証し、第２エフェメラルパブリックキー（ｇ^ｙ）とエフェメラルプライベートキー（ｘ）とからエフェメラル共有キー（Ｋ_ｅｐｈ）を計算し、第１装置のパブリックキー（ｇ^ｂ）と自らのプライベートキー（ａ）とからパーマネントキー（Ｋ_ｐｅｒｍ）を計算し、第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））を検証し、第１エフェメラルパブリックキー（ｇ^ｘ）と、エフェメラル共有キー（Ｋ_ｅｐｈ）と、パーマネントキー（Ｋ_ｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤ_ａ）とから第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を計算し、第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を第２装置に送信し、エフェメラル共有キー（Ｋ_ｅｐｈ）の関数としてセッションキー（Ｋ_ｓｅｓｓ）を計算するプロセッサ（１２）を有する。

第３の特徴では、本発明は、第１装置（１１）と共にセッションキーの計算に参加する第２装置（２１）に関する。第２装置は、パブリックキー（ｇ^ｂ）と自らに対応するアイデンティティとから構成される証明書（Ｃ_ｂ）を有し、自らに対応するアイデンティティ（ＩＤ_ｂ）と、プライベートキー（ｂ）と、パブリックキー（ｇ^ｂ）とを知っている。第２装置は、第１装置のパブリックキー（ｇ^ａ）とアイデンティティ（ＩＤ_ａ）とから構成される第１装置の証明書（Ｃ_ａ）と、第１エフェメラルパブリックキー（ｇ^ｘ）とを受信し、エフェメラルプライベートキー（ｙ）を選択し、第２エフェメラルパブリックキー（ｇ^ｙ）を計算し、第１エフェメラルパブリックキー（ｇ^ｘ）とエフェメラルプライベートキー（ｙ）とからエフェメラル共有キー（Ｋ_ｅｐｈ）を計算し、第１装置のパブリックキー（ｇ^ａ）と自らのプライベートキー（ｂ）とからパーマネントキー（Ｋ_ｐｅｒｍ）を計算し、第２エフェメラルパブリックキー（ｇ^ｙ）と、エフェメラル共有キー（Ｋ_ｅｐｈ）と、パーマネントキー（Ｋ_ｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤ_ｂ）とから第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））を計算し、それの証明書（Ｃ_ｂ）と、第２エフェメラルパブリックキー（ｇ^ｙ）と、第１の値（Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ））とを第１装置に送信し、第１装置から、第１エフェメラルパブリックキー（ｇ^ｘ）と、エフェメラル共有キー（Ｋ_ｅｐｈ）と、パーマネントキー（Ｋ_ｐｅｒｍ）と、第１装置に対応するアイデンティティ（ＩＤ_ａ）とから計算される第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を受信し、第２の値（Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ））を検証し、エフェメラル共有キー（Ｋ_ｅｐｈ）の関数としてセッションキー（Ｋ_ｓｅｓｓ）を計算するプロセッサ（２２）を有する。

本発明によると、要求される特性を有し、特に限られた計算能力しか有しない装置における実現に適したセキュアアクセスチャネルプロトコルを提供することができる。

図１は、本発明の実施例によるセッションキー交換を示す。

本方法のスタート前に、第１装置１１は、それのアイデンティティＩＤ_ａと、それ自身のプライベートキーａと、パブリックキーｇ^ａとを知っている。ｇ^ａはｇ^ａｍｏｄｐの略号であり、当該技術において周知であるように、ａは第１装置のプライベートキーであり、ｇは既知の生成器であり、ｐは既知の素数である。第２装置２１は、対応するＩＤ_ｂ、ｂ、ｇ^ｂを知っている。これらの装置の証明書は、パブリックキーとアイデンティティ、すなわち、Ｃ_ａ（ｇ^ａ，ＩＤ_ａ）及びＣ_ｂ（ｇ^ｂ，ＩＤ_ｂ）をそれぞれ有する。装置１１と１２はまた、本方法の各ステップを実行するよう構成されるプロセッサ（ＣＰＵ）１２と２２を有する。

ステップ２５２において、第１装置１１は、好ましくは、第１のエフェメラル（ｅｐｈｅｍｅｒａｌ）プライベートキーｘをランダムに選択し、それがメッセージ２５４によりそれの証明書Ｃ_ａ（ｇ^ａ，ＩＤ_ａ）と共に送信するエフェメラルパブリックキーｇ^ｘを計算する。

メッセージ２５４を受信すると、第２装置２１は、ステップ２５６において、第１装置１１の証明書Ｃ_ａ（ｇ^ａ，ＩＤ_ａ）を検証する。当該検証が不成功である場合、第２装置２１は本方法を放棄する。しかしながら、検証が成功した場合、それは、好ましくはランダムに、第２エフェメラルプライベートキーｙを選択し、第２エフェメラルパブリックキーｇ^ｙと、エフェメラル共有キーＫ_ｅｐｈ＝ｇ^ｘｙと、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫ_ｐｅｒｍ＝ｇ^ａｂとを、ステップ２５８において計算する。

ステップ２６０において、第２装置２１は、第２エフェメラルパブリックキーｇ^ｙ、エフェメラル共有キーＫ_ｅｐｈ、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫ_ｐｅｒｍ及びそれのアイデンティティＩＤ_ｂと、当該分野において既知の多数の関数の１つなどの適切なハッシュ関数を利用して、第１ハッシュ値Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ）を計算する。ハッシュ関数以外の適切な関数がこのためと、本実施例の以下のハッシュ値の計算に利用されてもよい。第２装置２１は、その後、第２エフェメラルパブリックキーｇ^ｙ、それの証明書Ｃ_ｂ（ｇ^ｂ，ＩＤ_ｂ）及び第１ハッシュ値Ｈ（ｇ^ｙ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ｂ）をメッセージ２６２により第１装置１１に送信する。

メッセージ２６２を受信すると、第１装置１１は、ステップ２６４において、第２装置２１の証明書Ｃ_ｂ（ｇ^ｂ，ＩＤ_ｂ）を検証する。当該検証が不成功である場合、第１装置１１は本方法を放棄する。しかしながら、検証が成功した場合、第１装置１１は、ステップ２６６において、エフェメラル共有キーＫ_ｅｐｈとＤｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫ_ｐｅｒｍとを計算する。ステップ２６８において、第１装置１１は、ステップ２６０において使用された第２装置２１と同一のハッシュ関数を利用して、第１ハッシュ値を検証する。第１ハッシュ値が認証されない場合、第１装置１１は本方法を中断するが、第１ハッシュ値が認証された場合、第１装置１１は、ステップ２７０において、第１エフェメラルパブリックキーｇ^ｘ、エフェメラル共有キーＫ_ｅｐｈ、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫ_ｐｅｒｍ及びそれのアイデンティティＩＤ_ａを利用して、第２ハッシュ値Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ）を計算する。第１装置１１は、メッセージ２７２により第２ハッシュ値Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ）を第２装置２１に送信する。

メッセージ２７２を受信すると、第２装置２１は、ステップ２７４において、第１装置１０によりステップ２７０において使用されたものと同一のハッシュ関数を利用して、第２ハッシュ値Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ）を検証する。第２ハッシュ値が認証されない場合、第２装置２１は当該プロトコルを中断し、第２ハッシュ値が認証された場合、第２装置２１は、ステップ２７６において、エフェメラル共有キーＫ_ｅｐｈのハッシュ値を計算することによって、セッションキーＫ_ｓｅｓｓを計算する。その後、それは、第２ハッシュ値Ｈ（ｇ^ｘ，Ｋ_ｅｐｈ，Ｋ_ｐｅｒｍ，ＩＤ_ａ）が認証成功し、セッションキーＫ_ｓｅｓｓが計算されたことを示すため、“ｒｅａｄｙ”メッセージ２７８を第１装置１１に送信する。

第２装置２１から“ｒｅａｄｙ”メッセージ２７８を受信すると、第１装置１１は、ステップ２８０において、第２装置２１によりステップ２７６において使用されたものと同一のハッシュ関数を利用して、エフェメラル共有キーＫ_ｅｐｈのハッシュ値を計算することによって、同一のセッションキーＫ_ｓｅｓｓを計算する。その後、第１装置１１は、それがまたセッションキーＫ_ｓｅｓｓを計算したことを示すため、“ｒｅａｄｙ”メッセージ２８２を第２装置２１に送信する。

この時点において、第１装置１１と第２装置２１は、それらの間で送信された情報をプロテクトするのに利用可能なセッションキーＫ_ｓｅｓｓを所有する。本発明のプロトコルによると、プライベートキーの秘匿性が保証され、認証及びキー確認が相互的なものとなる。さらに、前のセッションキーの漏洩に対するロウバストネスとフォワード秘匿性もまた保証される。ステップ２１２、２２０及び２２６に関して説明された３つのハッシュ関数が、異なっている、同一である、又はそのうちの２つが同一であり、他の１つが異なっていてもよいということを当業者は理解するであろう。

本記載が乱数について言及する場合、これらの数はしばしば実際には擬似ランダムであるということに留意すべきである。

「セキュリティモジュール」という表現は、プロセッサを有し、本発明によるセキュア認証チャネルを確立するのに利用可能な、スマートカード、ＰＣカード（以前はＰＣＭＣＩＡカードとして知られていた）、テレビなどの装置のプリント回路ボードに結合された集積回路など、携帯又は固定的な任意のタイプのセキュリティモジュールを含むものである。

上述した実施例は、特にデジタルテレビセット及びセキュリティモジュールにおける実現に適している。しかしながら、当業者は、本発明が実現可能であり、必要なリソース、すなわち、プロセッサと、好ましくは、必要な情報を格納するメモリとを有する任意のタイプの装置によって利用可能であるということを理解するであろう。他の装置の非限定的な具体例として、ＤＶＤプレーヤー、外部の付属物とやりとりするコンピュータ、ＡＴＭ（ＡｕｔｏｍａｔｉｃＴｅｌｌｅｒＭａｃｈｉｎｅ）、銀行カードなどがあげられる。

１１，１２装置
１２，２２プロセッサ

Claims

ハッシュ値を検証するよう構成される第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２装置の証明書をハッシュ処理することによって前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１ハッシュ値とを受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
前記第２装置のパブリックキーと当該第１装置のプライベートキーとから前記パーマネントキーを計算し、
前記第１ハッシュ値を検証する、
ためのプロセッサを有する第１装置。
前記プロセッサはさらに、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとをハッシュ処理することによって第２ハッシュ値を計算し、
前記第２ハッシュ値を前記第２装置に送信する、請求項１記載の第１装置。
ハッシュ値を検証するよう構成される第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
第１装置から、前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとをハッシュ処理することによって第１ハッシュ値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１ハッシュ値とを前記第１装置に送信し、
前記第１装置から、前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２ハッシュ値を受信し、
前記第２の値を検証する、
ためのプロセッサを有する第２装置。
パブリックキーと第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っている前記第１装置により実行される、ハッシュ値を検証する方法であって、
エフェメラルプライベートキーを選択するステップと、
第１エフェメラルパブリックキーを計算するステップと、
前記証明書と前記第１エフェメラルパブリックキーとを第２装置に送信するステップと、
前記第２装置から、前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティをハッシュ処理することによって計算される第１ハッシュ値とを受信するステップと、
前記第２装置の証明書を検証するステップと、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算するステップと、
前記第２装置のパブリックキーと前記第１装置のプライベートキーとから前記パーマネントキーを計算するステップと、
前記第１ハッシュ値を検証するステップと、
を有する方法。
パブリックキーと第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っている前記第２装置により実行される、ハッシュ値を検証する方法であって、
第１装置から、前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信するステップと、
前記第１装置の証明書を検証するステップと、
エフェメラルプライベートキーを選択するステップと、
第２エフェメラルパブリックキーを計算するステップと、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算するステップと、
前記第１装置のパブリックキーと前記第２装置のプライベートキーとからパーマネントキーを計算するステップと、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第２装置に対応するアイデンティティとをハッシュ処理することによって第１ハッシュ値を計算するステップと、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１ハッシュ値とを前記第１装置に送信するステップと、
前記第１装置から、前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２ハッシュ値を受信するステップと、
前記第２の値を検証するステップと、
を有する方法。