JP2012044675A5

JP2012044675A5 -

Info

Publication number: JP2012044675A5
Application number: JP2011194915A
Authority: JP
Filing date: 2011-09-07
Publication date: 2015-02-26

Description

通信システムにおける伝送を暗号化するための方法および装置

本発明は、概ね、ワイヤレス通信の分野、とくにワイヤレス通信システムにおいて安全な伝送を供給する方法および装置に関する。

今日の通信システムは、種々のアプリケーションを支援することが要求されている。１つのこのような通信システムは“デュアルモード広帯域拡散スペクトラムセルラシステムのためのTIA/EIA/IS-95の移動局−基地局互換性規格（TIA/EIA/IS-95 Mobile Station - Base Station Compatibility Standard for Dual-Mode Wideband Spread Spectrum Cellular System）”（以下ではIS-95規格と呼ばれる）、または“cdma2000拡散スペクトラムシステムのためのTIA/ELA/IS-2000規格（TIA/ELA/IS-2000 Standard for cdma2000 Spread Spectrum Systems）”（以下ではIS-2000規格と呼ばれる）と適合しているコード分割多重アクセス（code system division multiple access, CDMA）システムである。別のＣＤＭＡ規格にはＷ−ＣＤＭＡ規格があり、Ｗ−ＣＤＭＡは第３世代パートナーシッププロジェクト（3rd Generation Partnership Project, “3GPP” ,Document Nos. 3G TS 25.211、3G TS 25.212、3G TS 25.213、3G TS 25.214）において具現されている。ＣＤＭＡシステムは、地上リンク上でのユーザ間の音声およびデータ通信を可能にしている。多重アクセス通信システムにおけるＣＤＭＡ技術の使用は米合衆国特許第4,901,307号（“SPREAD SPECTRUM MULTIPLE ACCESS COMMUNICATION SYSTEM USING SATELLITE OR TERRESTRIAL REPEATERS”）および米合衆国特許第5,103,459号（“SYSTEM AND METHOD FOR GENERATING WAVEFORMS IN A CDMA CELLULAR TELEPHONE SYSTEM”）において記載されており、両文献の特許権は本発明の譲受人に譲渡されており、ここでは参考文献として取り入れる。通信システムの他の例には、時分割多重アクセス（time division multiple access, TDMA）システムおよび周波数分割多重アクセス（frequency division multiple access, FDMA）システムがある。

本明細書では、基地局とは、遠隔局が通信するハードウエアを指している。セルは、この用語が使用される文脈に依存して、ハードウエアまたは地理的適用領域を指している。セクタは、セルの区画である。ＣＤＭＡシステムのセクタはセルに属しているので、セルに関して記載した教示は容易にセクタに拡張される。

ＣＤＭＡシステムでは、ユーザ間の通信は基地局（ベースステーション）を介して実行される。遠隔局上の第１のユーザは、リバースリンク上で基地局へデータを伝送することによって第２の遠隔局上の第２のユーザと通信する。基地局ではデータを受信し、データを別の基地局へルート設定することができる。データは同じ基地局、すなわち第２の基地局のフォワードリンク上で第２の遠隔局へ伝送される。フォワードリンクは基地局から遠隔局への伝送を指し、リバース（逆）リンクは遠隔局から基地局への伝送を指す。ＩＳ−９５およびＩＳ−２０００のＦＤＤのモードシステムでは、フォワードリンクとリバースリンクとは別々の周波数を割当てられている。

ワイヤレス通信の分野において、オーバーザエア伝送（over-the-air transmissions）のセキュリティは通信システムにおける次第に重要な観点になってきた。セキュリティは、暗号化プロトコルによって当事者間の私的な通信を公開するのを防ぐか、または詐欺などの違法行為を行う（rogue）移動局が、支払いが通信サービスプロバイダへ納められていないサービスへアクセスするのを防ぐか、あるいはこの両者を行うことによって維持されることが多い。暗号化は、ランダムプロセスによってデータを操作して、意図された受信者以外の誰もデータを理解できないようにするプロセスである。復号は、単に元のデータを回復するプロセスである。一般的に業界で使用されている暗号化アルゴリズムの1つのタイプは、向上したセルラメッセージ暗号化アルゴリズム（Enhanced Cellular Message Encryption Algorithm, ECMEA）、すなわちブロック暗号である。現在のコード−ブレーカ（code-breaker）および“ハッカー”が高度化したために、より強力で、より安全な暗号化プロセスを生成して、ワイヤレス通信サービスのユーザおよびサービスプロバイダを保護することが現在必要とされている。

伝送を暗号化するための斬新で向上した方法および装置を提供しており、伝送トラヒックを暗号化する方法は：変数値を生成することと；変数値、暗号化キー、および伝送トラヒックを暗号化アルゴリズムへ入力することとを含む。

１つの態様では、認証変数を送信端部から受信端部へ送るための方法であって：送信端部において暗号同期値（crypto-sync value）を生成することと；送信端部において暗号同期値および暗号化キーから第１の認証署名を生成することと；暗号同期値および第１の認証署名を受信端部へ送ることと；受信端部において暗号同期値および暗号化キーから第２の認証署名を生成することと；第１の認証署名と第２の認証署名とが整合するときは、受信端部において暗号同期値をインクリメントすることと；第１の認証署名と第２の認証署名とが整合しないときは、暗号化キーの交換を要求することとを含む方法を提供する。

別の態様では、送信端部および受信端部において暗号化アルゴリズムの暗号同期値を同期化する方法であって：暗号化されたメッセージフレームを受信端部へ送ることと；暗号化されたメッセージフレームと関係する現在の暗号同期値を受信端部において確認することと；現在の暗号同期値が確認されたときに、送信端部と受信端部とにおいて現在の暗号同期値をインクリメントすることと；現在の暗号同期値が確認されないときは、受信端部から送信端部へ不履行メッセージを送ることとを含む方法を提供する。

別の態様では、少なくとも２つのトラヒックタイプを含む伝送トラヒックを暗号化するためのシステムであって：各々が、少なくとも２つのトラヒックタイプの少なくとも１つと関係している少なくとも２つの暗号化要素と；少なくとも２つの暗号化要素に接続されていて、複数のシーケンス番号を生成するための少なくとも１つのシーケンス番号生成器とを含むシステムが提供される。

本発明の特徴、目的、および長所は、同じ参照符号で全体的に対応して識別させている図面と関連して採り入れられるときに、以下で示した詳細な記述からより明らかになるであろう。

例示的なＣＤＭＡシステムのブロックダイヤグラム。暗号化方式のアーキテクチャのブロックダイヤグラム。伝送フレーム構造のサンプルを示す図。暗号化されていないデータユニットを暗号化されたデータユニットへ変換するプロセスのブロックダイヤグラム。パケットデータトラヒックのための伝送フレーム構造を示す図。移動局から基地局へ送られる例示的な伝送信号のフローチャート。ＬＭＳと基地局との間の正常な暗号同期交換のフローチャート。試行された再生攻撃のフローチャート。登録に失敗したときの暗号化キーの交換のフローチャート。例示的な通信システムのための伝送フレームを示す図。基地局が復号の失敗を検出した伝送信号のフローチャート。移動局が復号の失敗を検出した伝送信号のフローチャート。

詳細な説明

以下に記載した例示的な実施形態は、ＣＤＭＡのオーバーザエアのインターフェイスを採用するように構成されたワイヤレス電話通信システムに属する。それにも関わらず、当業者は、伝送を暗号化する方法および装置は、当業者に知られている幅広い範囲の技術を採用する種々の通信システムの何れかに属することが分かるであろう。

例示的なＣＤＭＡシステム
図１に示したように、ＣＤＭＡワイヤレス電話システムは、概ね複数の移動加入者ユニット10、複数の基地局12、基地局制御装置（base station controller, BSC）14、および移動スイッチングセンタ（mobile switching center, MSC）16を含んでいる。ＭＳＣ16は、従来の公衆交換電話ネットワーク（public switch telephone network, PSTN）18とインターフェイスするように構成されている。ＭＳＣ16はＢＳＣ14ともインターフェイスするように構成されている。ＢＳＣ14は迂回中継ライン（backhaul line）を介して基地局12へ接続されている。迂回中継ラインは、例えばＥ１／Ｔ１、ＡＴＭ、ＩＰ、フレーム中継、ＨＤＳＬ、ＡＤＳＬ、またはｘＤＳＬを含むいくつかの既知のインターフェイスを支援するように構成されている。システム内には２以上のＢＳＣ14があってもよいことが分かる。各基地局12は少なくとも１つのセクタ（図示されていない）を含み、各セクタは全方向性アンテナか、または基地局12から半径方向に離れていく特定の方向を指すアンテナを含むことが好都合である。その代わりに、各セクタはダイバーシチ受信用の２つのアンテナを含んでもよい。各基地局12は、複数の周波数割当てを支援するように設計されていることが好都合である。セクタおよび周波数割当ての共通部分は、ＣＤＭＡチャンネルと呼ばれている。基地局12は基地局トランシーバサブシステム（base station transceiver subsystem, BTS）としても知られている。その代わりに“基地局”は、業界ではＢＳＣ14およびＢＴＳ12を一括して指すのに使用されることもある。ＢＴＳ12は“セルサイト”12を示すこともある。その代わりに、所与のＢＴＳ12の個々のセクタはセルサイトと呼ばれることもある。移動加入者局10は一般的にセルラまたはＰＣＳ電話10である。システムはＩＳ−９５規格にしたがって使用するために構成されていることが好都合である。

セルラ電話システムの通常の動作中に、基地局12は移動局10の組からリバースリンク信号の組を受信する。移動局10は電話呼または他の通信を行っている。所与の基地局12によって受信された各リバースリンク信号は、その基地局12内で処理される。生成されたデータはＢＳＣ14へ送られる。ＢＳＣ14は呼資源割当ておよび移動管理機能を用意して、例えば基地局12間のソフトなハンドオフの全体的な調整（orchestration）をする。ＢＳＣ14はさらに受信したデータをＭＳＣ16へルート設定し、ＭＳＣ16はＰＳＴＮ18とインターフェイスするための追加のルート設定サービスを提供する。同様に、ＰＳＴＮ18はＭＳＣ16とインターフェイスし、ＭＳＣ16はＢＳＣ14とインターフェイスし、代わってＢＳＣ14は基地局12を制御して、フォワードリンク信号の組を移動局10の組へ送る。当業者は、代わりの実施形態では加入者局10は固定局であってもよいことが分かるであろう。

アーキテクチャ
図２は、音声トラヒック、データトラヒック、およびシステムサービスを暗号化するのに使用できる暗号化方式の例示的なアーキテクチャであって、送信端部および受信端部の両者において構成できるアーキテクチャを示している。暗号化方式の構造は、所望であれば、上述の３つのトラヒックタイプの各々を個々の層において最大の効率で効果的に暗号化できるようにする。この技術においてよく知られているように、レイヤリング（layering）は、適切に規定されたカプセル化されたデータユニットにおける通信プロトコルを、別な具合にデカップルされた処理エンティティ、すなわち層間において編成するための方法である。図２に示した例示的な実施形態では、３つのプロトコル層L1 220、L2 210、およびL3 200を使用し、L1 220では基地局と移動局との間で無線信号の送受信を行い、L2 210ではシグナリングメッセージの正しい送受信を行い、L3では通信システムへの制御メッセージングを行う。

層L3 200では、音声トラヒック201、パケットデータトラヒック203、およびシステムサービス205は、上述の規格にしたがって構成されたデータユニットを介して伝達される。しかしながら、このレベルでは暗号化はシステムサービス205を保持しているデータユニットに対して行われるが、暗号化はパケットデータトラヒック203または音声トラヒック201に対しては行われない。この実施形態では、パケットデータトラヒック203および音声トラヒック201の暗号化はより低い層によって実行される。

ENC SEQ生成器202は、暗号同期値を構成するのに使用されるシーケンス番号を供給する。この実施形態の1つの態様では、シーケンス番号の４つの最下位のビットを使用して、暗号同期値を構成する。暗号同期値は、暗号化キーと一緒に暗号化アルゴリズムへ入力される変数である。暗号化アルゴリズムは、暗号化されていないデータを暗号化するマスクを生成する。暗号同期と暗号化キーとは、暗号化キーが半永久的な共有の秘密である一方で、暗号同期値がリンク中に伝送されるデータユニットに関係して変化して、再生攻撃（replay attack）から保護することが異なる。この実施形態では、暗号同期値は、生成されたシーケンス番号、システム時間、または他の指定された識別子の何れかに依存することによって変化する。この実施形態の技術的範囲を変えることなく、暗号同期値に対して使用されるビット数を変更できることに注意すべきである。

暗号同期値は、L3シグナリング要素207およびテレサービス要素205とからデータと一緒に暗号化要素204へ入力される。テレサービスには、ショートデータバースト伝送サービス（Short Data Burst Transmission Service, SDBTS）、ショートメッセージングサービス(Short Messaging Service,SMS)、ポジションロケーションサービス(Position Location Service, Pos. Loc.)、などのようなシステムサービスを含んでもよい。図２では、個々の暗号化要素204は各システムサービスの出力を処理するように割り当てられている。この構造の長所は、各サービスがサービス要件にしたがって必要とされる暗号化のレベルを判断できることである。しかしながら、暗号化要素が多数のシステムサービスによって共有されるように代わりの実施形態を構成してもよい。この実施形態では、暗号化要素204の出力はマルチプレクサ／デマルチプレクサ要素206において一緒に多重化される。代わりの実施形態ではさらに、パケットデータ要素203からのデータトラヒックのフレームはレベルL3 200において暗号化される。

レベルL2 210では、マルチプレクサ／デマルチプレクサ要素からの出力はシグナリングLAC 212を通る。レベルL1 220では、パケットデータ要素203からのメッセージフレームは無線リンクプロトコル（Radio Link Protocol, RLP）層225を通り、暗号化はＲＬＰシーケンス番号で構成された暗号同期に基いて行われる。この実施形態では、ＲＬＰ層225は層L2 210に属しており、伝送エラーが発生するとき、パケットデータトラヒックを再び送る責務を負う。音声要素201からの音声トラヒックのフレームは、暗号化要素221において個々に暗号化され、ENC SEQ生成器要素202からのシーケンス番号ではなく、各音声フレームに対する暗号同期の一部分としてシステム時間を効果的に利用する。

暗号化要素221、ＲＬＰ層225、およびシグナリングＬＡＣ212の出力はＭＵＸおよびＱｏＳサブレイヤ227において一緒に多重化される。

この特定のアーキテクチャの長所は非常に多い。第１に、各テレサービスおよびレベルL3上のＬ3シグナリング要素は、それぞれの接続された暗号化要素の各々によって実行される暗号化セキュリティのレベルを特定することができる。

第２に、各トラヒックタイプはシステム資源を利用して、各トラヒックフレームに対して暗号同期を構成することが好都合である。例えば、音声トラヒックフレームは、ENC SEQを保持するための余分の空間をもつ必要はない。しかしながら、システム時間はフレーム毎に変化し、かつシステム時間は送信端部と受信端部の両者において暗に分かっているので、システム時間を代わりに使用することができる。システム時間はパケットデータトラヒックおよびテレサービスを暗号化するために使用すべきではない。暗号同期を構成するためにシステム時間を使用するとき、伝送においてシステム時間を使用するために、暗号化されるデータを伝送前に暗号化しなければならない。したがって、暗号化されるフレームはバッファされない。ＲＬＰのシーケンス番号またはENC SEQ番号が使用されるときは、伝送フレームを暗号化して、伝送前に一時的にバッファに記憶することができる。さらに加えて、ＬＡＣ層のリセットは、同じ暗号化マスクを使用して異なる暗号化されていないテキストの暗号化を生成すると、暗号化プロセスのセキュリティを損うので、メッセージシーケンス番号MSG SEQではなく、ENC SEQ値を使用することが好都合である。

第３に、ＬＡＣよりも高いレベルに暗号化要素を置いて、効率の問題を解決する。暗号化(encryption)／復号（decryption）が物理層で行われたとき、ＡＲＱフィールドは肯定応答（acknowledgement, ACK）が送られる前に暗号化および復号される必要がある。ＡＲＱはAutomatic Retransmission reQuest（自動再送信要求）の頭字語であり、送られた肯定応答および否定応答によって送られたデータを検査する方法である。物理層で暗号化／復号が行われるときに発生する別の問題は、受信機において伝送エラーを判断するのに使用される巡回冗長検査（cyclic redundancy check, CRC）ビットが、暗号化されていないデータに基づいてコンピュータ処理されることである。

シグナリングメッセージの暗号化
図３の（Ａ）、（Ｂ）、（Ｃ）、および（Ｄ）は、例示的な実施形態において伝送フレームを構成するための代わりの構造である。伝送フレーム300は、次のフィールド：すなわちメッセージ長フィールド301、メッセージタイプフィールド302、種々のＡＲＱフィールドを全体的に表わすリンクアクセス制御フィールド303、メッセージ識別フィールド304、メッセージフィールド305、コード化シーケンス番号フィールド306、暗号化識別フィールド307、およびメッセージＣＲＣフィールド308で構成されている。１つの実施形態では、暗号化は、伝送フレームの特定のフィールドのみの上で行われる。図３の（Ａ）および（Ｂ）では、ＬＡＣフィールド303が暗号化される。しかしながら、ＬＡＣフィールド303の暗号化は、アクセスプローブが移動局から基地局へ送られるが、基地局がＡＣＫを使ってアクセスプローブを停止すべきであると判断するときに問題となる。とくに、移動局は、基地局からのメッセージフレームのＬＡＣフィールドを復号できないときは、最大数のプローブが送られるまでアクセスプローブを送ることを停止しない。

図３（Ａ）および（Ｄ）では、メッセージＣＲＣフィールド308が暗号化される。しかしながら、ＣＲＣビットを暗号化すると、メッセージ長フィールド301の妥当性検査ができなくなる。したがって図３（Ｃ）は、例示的な実施形態で使用される好ましい伝送フレームである。

暗号化マスクの生成
図４は、例示的な実施形態においてデータを暗号化するのに使用されるパラメータを示しており、データユニットはパケットデータトラヒックを保持している。暗号同期400は暗号シーケンス番号401、サービス参照識別番号（service reference identification number）402、さもなければsr id 、伝送方向に対するビット値403を含む。sr idは、sr idに相当するデータサービスを判断する。暗号同期400および暗号キー410は、既に記載したように、ＥＣＭＥＡのような暗号化アルゴリズム420へ入力される。この実施形態の技術的範囲に影響を与えずに、この実施形態において他の暗号化方式を使用できることに注意すべきである。データユニットは暗号化アルゴリズム420を経て、暗号テキストへ暗号化される。

一般的に、個々の暗号同期値は、暗号化される各データユニットごとに判断される。したがって、各暗号同期値は、クリアテキストが同じであっても暗号テキストが異なることになる。

既に記載したように、ＲＬＰ層における暗号化は拡張されたシーケンス番号、sr id、およびチャンネル方向を使用することによって達成される。これらの３つの変数は、パケットデータトラヒックで使用するための暗号同期を含む。いくつかの例では、パケットデータトラヒックは、ショートデータバースト（short data burst, SDB）を示すフレーム内にカプセル化され、カプセル化されたフレームは共通のチャンネル上を送られる。図５は、カプセル化されたＲＬＰフレームの例を示しており、ここでＡＲＱフィールドが暗号化される。フレーム500では、データバーストメッセージ505のペイロードは３つのフィールド：すなわちsr idフィールド506、シーケンス番号フィールド507、および暗号化されたＲＬＰフレーム508を含む。

図６は、プロトコル層における要素間のサンプル交換のフローチャートを示している。移動局600では、ショートデータバースト（ＳＤＢ）は暗号化されて、基地局650へ送られる。ＲＬＰ要素610はＤＣＲ602からデータ表示およびデータを受信する。ＲＬＰ610はサービスデータユニット（service data unit, SDU）をシーケンス番号、データ、およびsr idと共に、層Ｌ３内のテレサービスの一部であるＳＤＢＴＳ要素612へ送る。ＳＤＢＴＳ612は、ＲＬＰ610およびＥＩＤコマンドからの情報を含む別のＳＤＵを暗号化要素614へ送る。暗号化要素614は、メッセージフレーム情報および暗号化された情報を先の要素からL2/MUX要素616へ送る。L2/MUX要素616は、基地局650へオーバーザエアで送るためのメッセージフレーム620を形成する。基地局650は肯定応答621を移動局600へ送る。基地局650では、メッセージフレームからの情報は、メッセージフレームのコンテンツを生成した対応する要素にしたがって処理される。したがって、L2/MUX要素622は、L2/MUX要素616によって加えられる情報を処理し、暗号化要素624は暗号化要素614によって加えられる情報を処理し、ＳＤＢＴＳ要素626はＳＤＢＴＳ要素612によって加えられる情報を処理し、ＲＬＰ要素628はＲＬＰ要素610によって加えられる情報を処理し、データはＤＣＲ630へ伝達される。

暗号同期の同期化
上述の実施形態では、暗号プロセスのセキュリティは安全な暗号同期を使用することによって達成され、データユニットを暗号化するのに使用される暗号同期は、他のデータユニットを暗号化するのに使用される暗号同期とは異なる。したがって、基地局および移動局は同じ暗号同期を使用して、同じデータを適切なときにコード化およびデコードできなければならない。移動局および基地局によって生成された暗号同期の同期性を維持するために、オーバーザエア伝送を行わなければならない。しかしながら、オーバーザエア伝送は、詐欺行為を行う移動局（rogue mobile stations, RSM）による攻撃に対して無防備である。提案されたセキュリティ方式では、移動局が合法の加入者であることを証明するまで、基地局は移動局によって提案された暗号同期の値を受諾するのを拒否する。暗号同期の値の受諾を拒否して“再生攻撃”を妨げ、このときＲＭＳは基地局に同じ暗号化マスクを２つの異なるプレーンテキストに適用させて、暗号化のセキュリティを損う。例えばＥが暗号テキストであると仮定すると、Ｐはプレーンテキストであり、Ｍは暗号化マスクである。暗号同期がプレーンテキストＰおよびプレーンテキストＰ'と同じであるとき、モジュラ２の加算を使用すると、Ｅ＝Ｍ＋ＰおよびＥ'＝Ｍ'＋Ｐ'である。したがって、Ｅ＋Ｅ'＝Ｐ＋Ｐ'である。ＲＭＳが暗号化マスクＭを知らなくても、プレーンテキストＰおよびプレーンテキストＰ'を判断することができる。したがって攻撃の特定の例では、ＲＭＳは反復される登録メッセージを基地局へ送って、基地局に同じ暗号同期を使わせる。

１つの実施形態では、暗号同期の最上位のビットの同期化は合法の移動局（legitimate mobile station, LMS）と基地局との間で維持される一方で、暗号化の強さを保護する。例示的な実施形態では、ＬＭＳは、暗号同期の最上位のビットと登録プロセス中の認証署名とを含む認証変数を伝送する。その代わりに以下では暗号同期の最上位のビットをCS hと呼ぶことにする。基地局の範囲に入る移動局の登録プロセスの例は、米合衆国特許第5, 289,527号（“Mobile Communication Device Registration Method”）に記載されており、ここでは参考文献として採り入れる。

図７は、ＬＭＳ700と基地局710との間の暗号同期の正常な交換を示している。ＬＭＳ700は登録メッセージ720を基地局710へ送り、登録メッセージはCS hと認証署名とを保持するフィールドを含む。１つの実施形態では、認証署名は、安全なハッシュ関数（secure hash function）において暗号同期CS hおよび暗号化キー(Ks)とを使用することによってコンピュータ処理される。以下では、暗号同期署名または認証署名は f（CS h, Ks）と示される。

上述の例では、ＲＭＳは有効な認証署名をCS hについてコンピュータ処理できないので、基地局710はＲＭＳによる上述の攻撃から保護される。

代わりの実施形態では、基地局とＬＭＳとの間の通信のセキュリティは、合法のＬＭＳから登録メッセージを記録したＲＭＳから保護される。ＲＭＳが基地局に命令して、ＬＭＳで使用することを意図されたのと同じCS hを使用するのを防ぐために、移動局からの登録メッセージが基地局へアップロードされる度ごとに、基地局は暗号同期の最下位のビットをインクリメントするように設定できる。以下では暗号同期の最下位のビットはCS lと呼ぶことにする。したがって暗号同期は、変数CS lと連結されたCS hを含む。この実施形態では、基地局は暗号プロセスにおいて同一の暗号同期を繰返し使用するのを妨げられる。これらの例では、基地局はＬＭＳと関係するCS lに対する先の値をもたず、基地局はCS lをランダムに生成するか、またはCS lをゼロに等しく設定することができる。

図８は、記録された再生攻撃の例を示している。ＬＭＳ700は合法の登録メッセージ720を基地局710へ送る。ＲＭＳ730は登録メッセージ720を記録し、コピーされた登録メッセージ740を基地局710へ送る。暗号同期の最下位のビットがインクリメントされているので、基地局710はＬＭＳと同じ暗号同期値を使用しないことになる。

基地局が移動局によって送られた認証署名と同じ認証署名を生成できないとき、システムは、基地局によって保持されている暗号化キーが、移動局によって保持されている暗号化キーと同じでないと判断する。したがってキー交換を行わなければならない。

図９は、登録を失敗したときの、すなわち不履行となるときの暗号化キーの交換を示している。ＬＭＳ700は、暗号同期変数CS hと認証署名 f（CS h, Ks）とを含む登録メッセージ720を基地局710へ送る。基地局710の暗号化キーはＬＭＳ700の暗号化キーと異なるので、基地局710は認証署名 f（CS h, Ks）を再生できない。基地局710はキー交換段階を開始して、基地局710およびＬＭＳ700が同じ暗号化キーをもつようにする。当業者にはキー交換のセキュリティは知られている。しかしながら、暗号同期の確認は、この技術では対処されなかった問題である。既に記載したように、暗号同期は、暗号化されていないデータ流内で暗号化される各データユニットに対して変化する変数である。データユニットを暗号化するのに使用する同じ暗号同期値が、復号端部において使用される暗号同期値と同じであることを保証する確認方法がなければならない。これは、登録プロセスの始めに単一のキーを交換するキー交換方法によって対処される問題ではない。したがって安全なキー交換の方法は、安全な暗号同期交換の確認のニーズには不十分である。

１つの実施形態では、巡回冗長検査（Cyclic Redundancy Check, CRC）ビットを斬新で非自明に（nonobvious）使用して、同じデータユニットのために基地局と移動局との両者によって生成された暗号同期が同じであることを確認することができる。この実施形態では、暗号化ＣＲＣは、CRC encとも呼ばれ、暗号化されたデータユニット内に含まれている。暗号ＣＲＣは、暗号化されていないデータユニットが暗号化されて、暗号化されていないデータユニットへ添付される前にコンピュータ処理される。暗号化されていないデータユニットが、関係する暗号同期CS hおよび暗号化キーKsで暗号化されるとき、暗号化ＣＲＣも同じ暗号同期CS hおよび暗号化キーKsによって暗号化される。暗号化されたテキストが生成された後で、ＭＳＧＣＲＣと呼ばれる伝送エラー検出ＣＲＣが、伝送に必要な分類されたフィールドと一緒に暗号化されたデータユニットへ添付される。ＭＳＧＣＲＣが受信端部における検査を通過すると、CRC encも受信端部において検査される。CRC encが検査を通過しないときは、CS hの不整合が発生したと判断される。正しい認証署名 f（CS h, Ks）がコンピュータ処理されたときに、登録プロセス中における暗号化キーKsの妥当性は既に確認されていることに注意すべきである。

図１０は、cdma2000のようなシステムにおけるメッセージ伝送のためのフレーム構造を示している。フレーム800は１つの局から別の局へデータトラヒックを移送するために必要な種々のフィールドから構成されている。CRC enc 812は暗号化されていないプロトコルデータユニットL3 PDU 810上でコンピュータ処理されるＣＲＣである。CRC enc 812およびL3 PDU 810が暗号化されて、暗号化されたフィールド805を形成する。フィールドCS L 806は、暗号同期がコンピュータ処理されるシーケンス番号を示すために含まれている。EIDビット807は０または１に設定されて、暗号化されたメッセージの存在を示す。MSG CRCフィールド808は全メッセージフレーム800上でコンピュータ処理される。

受信端部においてコンピュータ処理されるCRC encに基いて、暗号同期CS hが送信端部の暗号同期と非同期であると判断されると、回復手続きを実行しなければならない。図１１および１２は、エラー回復手続きを示す２つのメッセージのフローチャートである。図１１では、基地局が復号の失敗を検出する。図１２では、移動局が復号の失敗を検出する。

図１１では、ＬＭＳ900は暗号化されたメッセージ920を基地局910へ送る。暗号化されたメッセージ920のＣＲＣビットが通過して、伝送エラーがないか、または回復可能な量の伝送エラーがあることを示す。しかしながら、基地局910はエンコーダＣＲＣ、すなわちCRC encをデコードできない。基地局910は“Cannot Decrypt（復号不能）”メッセージ930をＬＭＳ900へ送る。したがってＬＭＳ900は、暗号同期CS h、認証署名 f(CS h, Ks)、およびフック交換パラメータを含む登録メッセージ940を送る。この時点で、ＬＭＳ900および基地局910の両者は同じ暗号同期CS hをもつ。次にＬＭＳ900は暗号化されたメッセージ950を再び伝送する。

図１２では、基地局910は暗号化されたメッセージ920をＬＭＳ900へ送る。暗号化されたメッセージのＣＲＣビットが通過して、伝送エラーがないか、または回復可能な量の伝送エラーが存在することを示す。しかしながら、ＬＭＳ900はエンコーダＣＲＣ、すなわちCRC encをデコードできない。ＬＭＳ900は、暗号同期CS h、認証署名 f(CS h, Ks)、およびフック交換パラメータを含む登録メッセージ940を送る。この時点で、ＬＭＳ900および基地局910の両者は同じ暗号同期CS hをもつ。次に基地局910は暗号化されたメッセージ950を再び伝送する。

したがって、図１１および１２に示した両方の方法では、受信端部において復号段階を通過しなかったメッセージフレームは、回復できないエラーをもつメッセージエラーが伝送されたかのように再び伝送される。

CS hフィールドはフォワードリンクおよびリバースリンクの両者に対して暗号同期の最上位のビットを初期化することに注意すべきである。フォワードおよびリバースリンクの両者は同じCS hを使用するが、伝送方向は暗号化キー生成アルゴリズムへ入力される変数であり、すなわち‘０’はフォワードリンクメッセージを示し、‘１’はリバースリンクメッセージを示すので、異なる暗号化の結果が求められる。１つの実施形態では、暗号同期値は、初期化後に別々にインクリメントすることができる。

移動局によって行われる暗号同期値の選択も重要である。暗号化のセキュリティを維持するために、暗号同期は、オーバーザエア伝送中に反復されない。１つの実施形態では、移動局は暗号同期値を、現在のフォワードリンク暗号同期値ＣＳｈ_ｆｗｄの最上位のビットと、現在のリバースリンク暗号同期値ＣＳｈ_ｒｅｖの最上位ビットとの間の最大値に加えられる１に等しい値に設定する。したがってＣＳｈ＝１＋ｍａｘ（ＣＳｈ_ｆｗｄ，ＣＳｈ_ｒｅｖ）である。

伝送を暗号化するための斬新で改良された方法および装置を記載した。当業者は、データ、命令、コマンド、情報、信号、ビット、符号、および上述で全体的に参照したチップは、電圧、電流、電磁波、磁界または磁粒粉（magnetic field or particles）、光場または粒子、あるいはその組合せによって表わされることが好都合である。さらに当業者には、ここで記載した実施形態と関連して記載した種々の例示的な論理ブロック、モジュール、回路、およびアルゴリズム段階は、電子ハードウエア、コンピュータソフトウエア、またはこの両者の組合せとして構成されることが分かるであろう。種々の例示的な構成要素、ブロック、モジュール、回路、および段階は、それらの機能に関して概ね記載した。機能が実行されても、実行されなくても、ハードウエアまたはソフトウエアは、全体的なシステムに加えられる特定のアプリケーションおよび設計の制約に依存する。当業者には、これらの環境のもとにおけるハードウエアおよびソフトウエアの相互交換性、および各特定のアプリケーションについて記載した機能をどのように最適に実行するかが分かる。例えば、ここで開示した実施形態に関係して記載した種々の例示的な論理ブロック、モジュール、回路、およびアルゴリズム段階は、ディジタル信号プロセッサ（digital signal processor, DSP）、特定用途向け集積回路（application specific integrated circuit, ASIC）、書替え可能ゲートアレイ（field programmable gate array, FPGA）または他のプログラマブル論理デバイス、個別のゲートまたはトランジスタ論理、レジスタおよびＦＩＦＯのような個別のハードウエア構成要素、１組のファームウエア命令、従来のプログラマブルソフトウエアモジュールおよびプロセッサ、またはここに記載した機能を実行するように設計されたものの組み合わせを実行するプロセッサと共に構成または実行することができる。プロセッサはマイクロプロセッサであることが好都合であるが、その代わりに、プロセッサは従来のプロセッサ、制御装置、マイクロコントローラ、または状態機械であってもよい。ソフトウエアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、取り外し可能ディスク、ＣＤ−ＲＯＭ、またはこの技術において知られている他の形態の記憶媒体に含まれている。例示的なプロセッサは記憶媒体に接続されて、記憶媒体から情報を読み取り、記憶媒体へ書込むことが好都合である。その代わりに、記憶媒体はプロセッサと一体構成であってもよい。プロセッサおよび記憶媒体はＡＳＩＣに含まれていてもよい。ＡＳＩＣは電話装置に含まれていてもよい。その代わりに、プロセッサおよび記憶媒体が電話装置に含まれていてもよい。プロセッサは、ＤＳＰとマイクロプロセッサとの組み合わせ、またはＤＳＰコア、などと関連する２つのマイクロプロセッサとして構成されてもよい。

本発明の好ましい実施形態を示して記載した。しかしながらこの技術において普通の技能をもつ者は、本発明の意図および技術的範囲を逸脱せずに、ここに記載した実施形態に対して多数の変更を行うことができる。したがって、本発明は特許請求項にしたがうことを除いて制限されない。
以下に本件出願当初の特許請求の範囲に記載された発明を付記する。
［１］伝送トラヒックを暗号化する方法であって：変数値を生成することと；変数値、暗号化キー、および伝送トラヒックを暗号化アルゴリズムへ入力することとを含む方法。
［２］認証変数を送信端部から受信端部へ送るための方法であって：送信端部において暗号同期値を生成することと；送信端部において暗号同期値および暗号化キーから第１の認証署名を生成することと；暗号同期値および第１の認証署名を受信端部へ送ることと；受信端部において暗号同期値および暗号化キーから第２の認証署名を生成することと；第１の認証署名と第２の認証署名とが整合するときに、受信端部において暗号同期値をインクリメントすることと；第１の認証署名と第２の認証署名とが整合しないときは、暗号化キーの交換を要求することとを含む方法。
［３］送信端部において暗号同期値を生成する段階が、シーケンス番号値、データユニット識別番号、および方向性ビットを使用することを含む［２］記載の方法。
［４］送信端部において暗号同期値を生成する段階が、システム時間の値および方向性ビットを使用することを含む［２］記載の方法。
［５］第１の認証署名を生成する段階が、暗号同期値および暗号化キーをハッシュ関数において使用することを含む［２］記載の方法。
［６］第２の認証署名を生成する段階が、暗号同期値および暗号化キーをハッシュ関数において使用することを含む［５］記載の方法。
［７］送信端部および受信端部において暗号化アルゴリズムの暗号同期値を同期化する方法であって：暗号化されたメッセージフレームを受信端部へ送ることと；暗号化されたメッセージフレームと関係する現在の暗号同期値を受信端部において確認することと；現在の暗号同期値が確認されたときに、送信端部と受信端部とにおいて現在の暗号同期値をインクリメントすることと；現在の暗号同期値が確認されないときは、受信端部から送信端部へ不履行メッセージを送ることとを含む方法。
［８］現在の暗号同期値を確認する段階が：伝送エラーを判断するための複数の伝送巡回冗長検査（cyclic redundancy check, CRC）ビットをデコードすることと；受信端部によって生成された現在の暗号同期値が、送信端部によって生成された暗号同期値に整合するか否かを判断するための複数のコード化ＣＲＣビットをデコードすることとを含む［７］記載の方法。
［９］メッセージフレームを生成する方法であって：データフィールド内に複数のコード化ＣＲＣビットを含むことと；データフィールドを暗号化するために暗号同期を使用して、データフィールドを暗号化することと；複数の伝送ＣＲＣビットをデータフィールドへ添付することとを含む方法。
［１０］シーケンス番号情報を暗号化されたデータフィールドへ添付することと；データフィールドが暗号化されるか否かを示す暗号化ビットを暗号化されたデータフィールドへ添付することとを含む［９］記載の方法。
［１１］少なくとも２つのトラヒックタイプを含む伝送トラヒックを暗号化するためのシステムであって：各々が、少なくとも２つのトラヒックタイプの少なくとも１つと関係している少なくとも２つの暗号化要素と；少なくとも２つの暗号化要素に接続されていて、複数のシーケンス番号を生成するための少なくとも１つのシーケンス番号生成器とを含むシステム。
［１２］ワイヤレス通信システムにおいてトラヒックタイプにしたがってトラヒックを別個に暗号化する装置であって；プロセッサ；および、プロセッサに接続され、かつプロセッサによって実行可能な命令の組を含んでいる記憶素子を備え、該命令の組は：送信端部において暗号同期値を生成することと；送信端部において暗号同期値および暗号化キーから第1の認証署名を生成することと；暗号同期値と第１の認証署名とを受信端部へ送ることと；受信端部において暗号同期値および暗号化キーから第２の認証署名を生成することと；第1の認証署名と第２の認証署名とが整合するときは、受信端部において暗号同期値をインクリメントすることと；第1の認証署名と第２の認証署名とが整合しないときは、暗号化キーの交換を要求することとから構成されている命令の組を含む記憶素子から成る装置。
［１３］トラヒックタイプにしたがってワイヤレス通信システムにおいてトラヒックを別個に暗号化する装置であって；プロセッサ；および、プロセッサに接続され、かつプロセッサによって実行可能な命令の組を含んでいる記憶素子を備え、該命令の組は：暗号化されたメッセージフレームを受信端部へ伝送することと；受信端部において暗号化されたメッセージフレームと関係する現在の暗号同期値を確認することと；現在の暗号同期値が確認されたときは、送信端部および受信端部において現在の暗号同期値をインクリメントすることと；現在の暗号同期値が確認されないときは、受信端部から送信端部へ不履行メッセージを送ることとから構成されている命令の組を含む記憶素子から成る装置。
［１４］送信端部から受信端部へ認証変数を送る装置であって：送信端部において暗号同期値を生成する手段と；送信端部において暗号同期値および暗号化キーから第１の認証署名を生成する手段と；暗号同期値および第１の認証署名を受信端部へ送る手段と；受信端部において暗号同期値および暗号化キーから第２の認証署名を生成する手段と；第１の認証署名と第２の認証署名とが整合するときは、受信端部において暗号同期値をインクリメントする手段とを備え；第1の認証署名と第２の認証署名とが整合しないときは、暗号化キー交換を要求することとを含む装置。
［１５］送信端部および受信端部において暗号化アルゴリズムの暗号同期値を同期化するための装置であって：暗号化されたメッセージフレームを受信端部へ送る手段と；受信端部において暗号化されたメッセージフレームと関係する現在の暗号同期値を確認する手段と；現在の暗号同期値が確認されたときは、送信端部および受信端部において現在の暗号同期値をインクリメントする手段と；現在の暗号同期値が確認されないときは、受信端部から送信端部へ不履行メッセージを送る手段とを含む装置。