JP2012527190A - 対称暗号化システムにおいてデバイスを安全に識別し認証するためのシステムおよび方法 - Google Patents

Abstract

本発明は、対称暗号化システムにおいてデバイスを安全に識別し認証するためのシステムおよび方法を説明する。ＲＦＩＤタグは、暗号化状態変数および対称鍵を使用して指標を生成することができる。ＲＦＩＤリーダは、タグから暗号化状態変数を受信した後に、鍵データベースにおいて全数鍵探索を実行することによりタグを識別することができる。データベース内の各鍵は、タグによって実行されたのと同様の暗号化処理を実行するために、鍵および暗号化状態変数を使用することにより試験されることが可能である。次いで、その結果が、タグが識別されたかどうかを判定するために、受信されたタグ指標と比較される。ロータベースの暗号化方式は、低コストの鍵探索を提供し、同時に、クローニング攻撃、追跡攻撃、改ざん攻撃およびリプレイ攻撃に対する耐性を提供する。

Description

説明される諸実施形態は、一般に、対称暗号化システムにおいてデバイスを安全に識別し認証するためのシステムおよび方法に関し、より具体的には、低コストで高効率の鍵探索を使用して安全な識別方法を提供することに関する。

通信チャネルに関する安全な認証は、システム・セキュリティの重要な側面である。通信チャネルがセキュリティ保護されていないときは、敵対者は通信を傍受したり、相手になりすましたりすることができる可能性がある。通信を傍受するとか、通信を変更するとか、または通信に言葉を差し挟むとかする敵対者からのリプレイ攻撃、クローニング攻撃、および他の攻撃に耐えることができるロバストな認証プロトコルが開発されなければならない。

低リソースのデバイス間の通信をセキュリティ保護することは、これらのデバイス、特に受動ＲＦＩＤタグに課された電力、メモリ、およびサイズの極端な制限のためにとりわけ難しい。これらの制約は、デバイスが、攻撃に耐えるのに十分に安全であり、デバイス、とりわけ受動ＵＨＦ ＲＦＩＤタグなどの極端な制約を有するデバイスの制限および制約に適合するのに十分に効率のよい軽量暗号方式を利用しなければならないことを意味する。たいていのセキュリティ提案は、不当に利用されやすく実用的でないか、または、最も制約されたデバイスには大き過ぎるサイズ、時間、または計算能力を必要とすることが分かっている。さらに、これらの提案は、通常、ＥＰＣグローバル第２世代規格などの確立されたＲＦＩＤ規格に、それらの規格を修正することなく、組み込まれることは不可能である。

安全な通信は、通常、通信プロセスの初めに実行されるべき２つの基本的な機能、すなわち１または複数の通信当事者の識別と、それらの当事者が当の本人であるという認証とを必要とする。低リソースの無線デバイスにおける識別は、従来、人間がプロセスに関与するように手動で行われるか、あるいは識別の通知時のセキュリティなしに行われる。この場合、認証は、通常、識別ステップの後にチャレンジ−応答プロトコルを使用することにより行われる。

セキュリティなしに識別を行うことは、セキュリティ・リスクおよびプライバシ・リスクを引き起こす。例えば、個人によって担持されているＲＦＩＤタグがその識別情報をブロードキャストした場合は、個人の位置が追跡される可能性がある。識別情報上にセキュリティがない場合は、デバイスをクローニングすることも、またはリプレイ攻撃をすることもより容易である。

識別ステップをまだ実行していないチャレンジ−応答認証プロトコルは、通常、通信当事者を識別するために、データベース内の鍵の数に最悪の場合は直線的に比例する大きな鍵探索を必要とする。二分木探索プロトコルは、探索のコストが鍵の数に対数的に比例するという点で鍵探索問題に対処する。しかし、二分木探索手法は、０（Ｌｏｇ Ｎ）鍵を記憶するべきタグを必要とし、また通信の０（Ｌｏｇ Ｎ）ラウンドをも必要とする。さらに、少数のタグ内の鍵を危うくすることは、システム全体のセキュリティを破壊する可能性がある。

タグを識別するために必要とされるのはしばしば簡単なテーブル・ルックアップだけなので、同期手法は高価な鍵探索のコストを回避する。不利な面は、不正手段、またはハードウェア、通信、あるいは他の障害によってタグおよびリーダが非同期されるようになるようなことがあった場合は、システムは、全数鍵探索に後退しなければならない。

たいていの暗号化方式は、複数のワード上で動作し計算集約的であるブロック暗号を使用する。ブロック暗号では、ブロック全体が受信されるのを受信機が待った後でなければアルゴリズムは開始することができず、暗号化および認証プロセスはさらに遅延することになる。

第１の態様では、いくつかの実施形態が、対称暗号化システムにおいて、それぞれのデバイスが暗号化状態変数を有する第１のデバイスと第２のデバイスとの間の通信を安全に識別し認証するシステムおよび方法を提供する。第２のデバイスは、第１のデバイスから暗号化状態変数を受信する。第２のデバイスは、第２のデバイスの鍵データベース内の鍵ごとに、暗号化状態変数および暗号化鍵を使用して指標を生成し、次いで、指標を生成するために使用された暗号化鍵によって第１のデバイスを識別するために、生成された指標を第１のデバイスから受信された指標と比較する。他の態様では、いくつかの実施形態が、第１のデバイスを識別するのを支援するために、受信された暗号化状態変数が第２のデバイスの鍵データベース内の暗号化鍵に関係するかどうかを判定する。

他の態様では、システムおよび方法のいくつかの実施形態が、第１のデバイスの応答の妥当性を確認するために、第１のデバイスにチャレンジ・コマンドを提供することができる。第２のデバイスは、チャレンジ・コマンドを生成し、次いで、暗号化状態変数を使用して、そのコマンドを暗号化する。第２の指標は、暗号化状態変数の現在の状態を暗号化することにより生成されることが可能である。次いで、チャレンジ・コマンドおよび第２の指標が第１のデバイスに送信される。いくつかの実施形態では、第１のデバイスがチャレンジ・コマンドを受信し、そのチャレンジ・コマンドを暗号化する。受信された第２の指標が暗号化状態変数を使用して第１のデバイスにおいて生成された指標に一致する場合は、第１のデバイスは第２のデバイスの妥当性を確認する。次に、第２のデバイスによって生成された指標が第１のデバイスによって送信された第３の指標に一致する場合は、第１のデバイスは、第１のデバイスの妥当性を確認するために第２のデバイスによって使用されることが可能である第３の指標を生成することができる。

他の態様では、いくつかの実施形態が、対称暗号化システムにおいて通信を安全に認証するためのシステムを提供する。暗号化状態変数を有する第１のデバイスは、暗号化状態変数および指標を送信するための送信機を備える。暗号化状態変数を有する第２のデバイスは、暗号化状態変数を受信するための受信機と、暗号化鍵を記憶するための鍵データベースと、受信された暗号化状態変数および鍵データベースからの暗号化鍵を使用して指標を生成するための暗号化ロジックと、使用される暗号化鍵によって第１のデバイスを識別するために、生成された指標値を受信された指標値と比較するための処理ロジックとを備える。他の態様では、システムのいくつかの実施形態において、第２のデバイスの処理ロジックが、受信された暗号化状態変数が鍵データベース内の暗号化鍵に関係するかどうかを判定することができる。他の態様では、第１のデバイスが、クエリに応答して初期化ベクトルを生成し、暗号化状態変数を初期化するための初期化ロジックと、暗号化状態変数を使用して指標値を生成するための暗号化ロジックとからさらに構成されることが可能である。

他の態様では、いくつかの実施形態が、第１に、第１のデバイスから第２のデバイスに安全な識別を提供し、第２に、第１のデバイスと第２のデバイスとの間の安全な認証を提供することにより、対称暗号化システムにおいて第１のデバイスと第２のデバイスとの間の通信を安全に識別し認証するためのシステムおよび方法を提供する。安全な識別は、第１のデバイスの暗号化状態変数を使用して指標を生成することと、暗号化状態変数および指標を第２のデバイスに送信することと、第２のデバイスにおいて、鍵データベース内の暗号化鍵ごとに、暗号化鍵および受信された暗号化状態変数を使用して生成された指標を第１のデバイスから受信された指標と比較することとにより、提供されることが可能である。他の態様では、システムおよび方法が、知られているＲＦＩＤ規格の一部として安全な識別情報を提供することにより、ＥＰＣグローバル第２世代規格などのＲＦＩＤ規格の中に組み込まれることが可能である。

次に、本明細書で説明される様々な実施形態のより良い理解のために、およびそれらがどのように実施されることが可能であるかをより明確に示すために、例としてのみ、少なくとも１つの例示的実施形態を示す添付の図面が参照される。
第１のデバイスと第２のデバイスとの間の安全な通信および認証を提供するためのシステムの一実施形態を示す図である。 同期実施形態のプロトコル図である。 同期実施形態のプロセス流れ図である。 非同期実施形態のプロトコル図である。 非同期実施形態のプロセス流れ図である。 安全でない識別プロトコルの一実行形態を示す図である。 一般的なＲＦＩＤプロトコルの中に組み込まれた一実施形態を示す図である。

第１に、図１を参照すると、通信チャネル１３０を介しての第１のデバイス１１０と第２のデバイス１２０との間の安全な通信および認証を提供するためのシステム１００が示されている。第１のデバイス１１０および第２のデバイス１２０は、通信チャネル１３０を介して通信するための送信機１１１、１２１、および受信機１１２、１２２を有する。いくつかの実施形態では、第１のデバイスはＲＦＩＤタグでよく、第２のデバイスはＲＦＩＤタグ・リーダでよい。

通信チャネルは、有線でも無線でもよく、インターネットまたは携帯電話網など他のネットワークを介しての通信チャネルを含んでもよい。デバイスは、通信チャネルを介して通信することができるいかなるタイプのデバイスでもよい。本説明全体にわたってＲＦＩＤタグおよびリーダの例が使用されるが、一方、本明細書に記載の教示は、いかなる数の通信装置およびネットワーク、例えば携帯電話、インターネット装置、ブルートゥース（登録商標）デバイスまたはＷｉＦｉデバイスにも適用されることが可能である。

第１のデバイス１１０は、暗号化状態変数１１４を使用して暗号化アルゴリズムを実行する暗号化ロジック１１３を含む。第１のデバイス１１０はまた、暗号化ロジック１１３によって実行される対称暗号化アルゴリズムにおいて使用される暗号化鍵１１５を有する。暗号化ロジックは、平文を暗号化するときに対称暗号化鍵１１５および暗号化状態変数１１４を使用する。第１のデバイス１１０と通信するために、他方のデバイスは、暗号化鍵１１５と暗号化状態変数１１４の状態とを知らなければならない。暗号化ロジック１１３は、マイクロプロセッサによって実行されるソフトウェア・モジュールとして実装されてもよく、ＦＰＧＡもしくはＡＳＩＣ内のロジック回路として実装されてもよい。

いくつかの実施形態では、暗号化アルゴリズムは、ロータベースの暗号化アルゴリズムでよく、暗号化状態変数１１４は、ロータの状態または動きに影響を与える任意の他の変数と共にロータ設定値でもよい。暗号化ロジックによって実行される暗号化アルゴリズムは、データ依存および／または誤り伝搬の特性を有してよい。対称鍵および暗号化状態変数を使用するいかなる暗号化アルゴリズムでも使用されることが可能である。暗号化状態変数という用語は、暗号化ロジックの状態を示すために使用され、必ずしもそれらの値がメモリまたは他のレジスタに記憶されていることを意味するわけではない。ブロック暗号または任意の置換がロータの代替として使用されることが可能である。

ロータベースの暗号化方式は、より少ないゲートを有するハードウェアで実行されることが可能であり、フルスケールのブロック暗号より計算的に速い。ロータベースの暗号化方式はまた、縮小されたブロック暗号を利用する。これらの特徴は、ＲＦＩＤタグなど非常に制約されたデバイスにおいてロータベースの暗号化を好ましくするが、本明細書で説明される安全な識別および認証のシステムおよび方法は、ロータベースの暗号化アルゴリズムの使用に限定されない。

第１のデバイス１１０はまた、第１のデバイス１１０がクエリされたときに一意の応答を生成するために使用される初期化ロジック１１６を含んでよい。この一意の応答は、追跡攻撃またはリプレイ攻撃に対する防御手段を提供する。初期化ロジック１１６は、初期化ベクトル１１７を生成するために、線形帰還シフト・レジスタ（ＬＦＳＲ）、カウンタ、乱数生成器、または他の何らかの固定値、変化値もしくはランダム値生成器を使用することができる。いくつかの実施形態では、初期化ベクトル１１７が、暗号化状態変数をランダム化するために使用される初期化ルーチンにおいて使用されることが可能である。例えば、ロータベースの暗号化方式では、初期化ベクトルが初期ロータ設定値として使用されてもよく、または、初期化ベクトルのワード長が初期ロータ設定値を満たすには短すぎる場合は、初期化ベクトルは、初期ロータ設定値のための正しいワード長を取得するためにゼロでパディングされるかまたは２倍にされてもよい。初期化ルーチンはまた、ロータ設定値をランダム化するために、初期ロータ設定値またはそれらの組合せを暗号化することによりロータをサイクルさせることができる。この初期化ルーチンは、第２のデバイス１２０によって繰り返されることが可能であるべきである。

初期化ロジック１１６はまた、初期化ベクトルを生成するために、クエリ・デバイスから受信されるセッションＩＤなどの識別子を使用することができる。ＲＦＩＤタグの実施形態では、初期化ロジックは、リーダからのコマンドに応答するためにタグの電源が入れられたときにまたは通常のタグの動作手順の下でクロックされるＬＦＳＲとして実装されることが可能である。受動ＲＦＩＤタグでは、次いで、クロックされたＬＦＳＲ状態がＲＦＩＤタグ上の不揮発性メモリに記憶され、別のクエリの受信時にＬＦＳＲにリロードされることが可能である。

第１のデバイス１１０はまた、デバイスの動作を制御するために使用される処理ロジック１１８を含む。これは、初期化ロジックを制御することと、暗号化ロジックを制御することと、通信を制御することと、方法に関して後ほど説明される認証システムを実行するための他の機能とを含んでよい。処理ロジック１１８は、マイクロプロセッサによって実行されるソフトウェア・モジュールとして実装されてもよく、またはＦＰＧＡもしくはＡＳＩＣ内のロジック回路として実装されてもよい。

第２のデバイス１２０は、第１のデバイスと同じ暗号化アルゴリズムを使用する暗号化ロジック１２３を含む。第２のデバイス１２０は、第１のデバイス１１０から暗号化状態変数１１４を受信し、それを第２のデバイス１２０の中に暗号化状態変数１２４として記憶する。いくつかの実施形態では、第１のデバイス１１０はまた、暗号化鍵１１５または２つのデバイス間で共有される他の秘密鍵を使用して暗号化状態変数１１４を暗号化することができる。例えば、暗号化鍵または秘密鍵は、鍵および暗号化状態変数１１４とのモジュロ２またはモジュロ２^ｎ加算を実行することにより暗号化状態変数１１４を分かりにくくするために使用されることが可能である。

第２のデバイス１２０は、すべての知られているデバイスのための対称鍵のすべてを記憶する鍵データベース１２９への安全なアクセスを有する。例えば、ＲＦＩＤ実施形態では、ＲＦＩＤタグ・リーダが、システムの中のすべての知られているＲＦＩＤタグによって使用される暗号化鍵を保持する安全な鍵データベースへのアクセスを有する。鍵データベース１２９は、鍵データベース１２９の中のデータが攻撃者に見えないように第２のデバイス１２０の中に配置されるかまたは第２のデバイス１２０に安全に接続されることが可能である。

鍵データベース１２９は、すべての知られているデバイスのための対称鍵を含み、また、デバイスごとに暗号化状態変数に関係付けられた値をも含むことができる。暗号化状態変数１１４を暗号化するために秘密鍵が使用される場合は、この鍵も鍵データベース１２９に記憶されることが可能である。第２のデバイス１２０が暗号化状態変数を回復した後に、鍵データベース１２９は、回復された暗号化状態変数を使用して探索されることが可能であり、２つのデバイスが同期されている場合は一致が発見される。鍵データベース１２９は、より速い探索を可能にするために、暗号化状態変数によって、または暗号化状態変数のハッシュを使用して、ソートされることが可能である。

第２のデバイス１２０はまた、デバイスの動作を制御するために使用される処理ロジック１２８を含んでよい。これは、暗号化ロジックを制御することと、通信を制御することと、方法に関して後ほど説明される識別および認証システムを実行するための他の機能とを含んでよい。処理ロジック１２８は、マイクロプロセッサによって実行されるソフトウェア・モジュールとして実装されてもよく、またはＦＰＧＡもしくはＡＳＩＣにロジック回路として実装されてもよい。

次に、図２を参照すると、同期された相互認証および識別方法のためのプロトコル図２００が示されている。図２に示されている実施形態は、ＲＦＩＤタグ２０２およびＲＦＩＤリーダ２０４を使用する認証方法を示す。ＲＦＩＤリーダ２０４は、ＲＦＩＤタグ２０２にクエリ２０６を送信することから方法を開始する。クエリ２０６はまた、ＲＦＩＤタグ２０２の初期化ルーチンにおいて使用されることが可能であるセッション識別子など一意の識別子を伴ってよい。

クエリ２０６を受信するとすぐ、ＲＦＩＤタグ２０２は、初期化ステップ２０８を開始する。初期化ステップ２０８は、線形帰還シフト・レジスタ（ＬＦＳＲ）またはカウンタから初期化ベクトル（ＩＶ）を生成することにより、各クエリに対する一意の応答を作成する。このステップは、ＲＦＩＤタグ２０２がクエリ２０６に対する一意の応答を有する可能性を高くする。ＲＦＩＤ実施形態では、これは、初期化ベクトルを生成するために、ＲＦＩＤタグの電源を入れるときに不揮発性メモリからの値をカウンタまたはＬＦＳＲにロードし、ＬＦＳＲまたはカウンタをクロックすることを必要とする可能性がある。次いで、このクロックされた値は、次にＲＦＩＤタグがクエリされたときに使用されるように不揮発性メモリに記憶される。

初期化ステップ２０８はまた、暗号化アルゴリズムによって使用される任意の暗号化状態変数のための初期値を設定する。図２に示されている実施形態では、ロータベースの暗号化アルゴリズムが使用され、この場合、アルゴリズムによって使用される初期ロータ設定値（ＩＲＳ）は、初期化ベクトル（ＩＶ）に従って構成される。ＩＶは、ＩＲＳをさらにランダム化するために、初期化ロジック１１６に関して上記で説明されたように、一意で且つ予測不可能な状態に到達するために、さらなる初期化ルーチンを通ることができる。

暗号化状態変数が開始された後は、デバイスを識別する指標値のセットを生成するために暗号化アルゴリズムが使用されることが可能である。図２に示されている実施形態では、これらの指標値は、ＲＳ１＋ＲＳ３の和を暗号化することにより生成される暗号文ＣＴ_０、ＣＴ_１およびＣＴ_２として表され、この場合、ＲＳ１およびＲＳ３は、暗号化アルゴリズムのロータ設定値１および３である。同様に、ブロック暗号手法では、状態変数は、暗号文を生成するために暗号化アルゴリズムに対する入力として何らかのやり方で使用されることが可能である。

インデックスｊ＋Ｘが、初期化後の暗号化アルゴリズムのＸ番目の繰り返しを示し、繰り返しごとにロータ設定値変更を反映するために使用される。暗号化状態変数またはロータ設定値などの内部変数を使用することにより、同じ暗号化状態変数および対称暗号化鍵が使用された場合は、受信機は指標値を生成するために暗号化プロセスを繰り返すことができる。セッション識別子がタグに送信される諸実施形態では、識別子はまた、指標値を生成するために使用されてよい。例えば、図２では、ＣＴ_０はロータ設定値およびセッションＩＤ（ＳＳＩＤ）を使用して生成される。

指標値が生成された後に、ＲＦＩＤタグ２０２は、ステップ２１０に示されているように、暗号化状態変数および指標値をＲＦＩＤリーダ２０４に送信する。暗号化状態変数、または図２に示されている実施形態における初期ロータ設定値は、タグとリーダとの間で共有される秘密鍵Ｋを使用して分かりにくくされることが可能である。鍵Ｋは、暗号化アルゴリズムを駆動する暗号化鍵とは別の鍵である。

ＲＦＩＤリーダ２０４は、暗号化状態変数を受信した直後に、かつタグ指標を受信する前に、認証方法を開始することができる。リーダおよびタグが同期されている場合は、暗号化状態変数に関係付けられた値は鍵データベースの中にある。暗号化状態変数に関係付けられた値は、ステップ２１２に示されているような初期ロータ設定値でよいか、または、他の諸実施形態は、初期化ベクトル、指標値を生成するために使用される初期ロータ設定値のサブセット、暗号化された初期ロータ設定値、および指標値自体の組合せのうちのいずれか１つを使用することができる。ステップ２１２において、リーダは、ＩＲＳが鍵データベースの構成要素であるかどうかを判定する。ＲＦＩＤタグが識別された場合は、暗号化アルゴリズムは、暗号化状態変数および識別されたＲＦＩＤタグ２０２のための対称暗号化鍵を使用するように構成される。

タグが識別されても、追加のセキュリティとして、リーダは、リーダによって受信されたタグ指標が同じであることを検証するためにタグによって実行されるステップと同様にタグ指標を生成することができる。このステップを実行することはまた、タグとリーダとの間で暗号化状態変数を同期させるために必要であり得る。代替として、同期された暗号化状態変数は、データベースに記憶されてもよい。

タグおよびリーダが同期されていない場合は、暗号化状態変数は鍵データベースの中になく、リーダはデータベース内のすべての鍵の全数探索を実行しなければならない。データベース内の鍵ごとに、リーダは受信された暗号化状態変数を回復し、次いで、タグがステップ２０８において使用したのと同じやり方で指標値を生成するために暗号化状態変数を使用する。生成された指標値がリーダによって受信されたものに一致する場合は、鍵は識別された。鍵探索プロセスは、図３に示されているプロセスの流れに関してさらに詳細に説明される。

タグが識別された後に、タグは、クエリに対するタグの応答が決して前のブロードキャストのリプレイではなかったことを確かめるために、チャレンジされるべきである。ステップ２１２において、リーダ２０４がランダム・チャレンジ・コマンドを生成し、次いでコマンドを暗号化する。暗号化アルゴリズムがデータ依存の特性を有する場合は、暗号化状態変数を暗号化することによりチャレンジ・コマンドの派生が生成されることが可能である。その結果は、チャレンジ・コマンドのハッシュとみなされてよい。図２に示されている実施形態では、ＣＭＤ_０およびＣＭＤ_１から成るチャレンジ・コマンドが暗号化され、ロータ設定値を進める。これらのロータ設定値は、前のロータ設定値およびチャレンジ・コマンドに関係付けられる。次いで、ロータ設定値の和が指標値ＣＴ_５’およびＣＴ_６’を生成するために暗号化される。

ステップ２１４において、チャレンジ・コマンドおよび指標値がタグ２０２に送信される。チャレンジ・コマンドおよび指標値を受信するとすぐ、タグ２０２は、リーダ２０４がステップ２１２において実行したのと同じ処理をチャレンジ・コマンドに対して実行する。これらのステップは、図２に示されている実施形態ではステップ２１６において実行される。暗号化された暗号化状態変数がタグ２０２から受信された指標値に等しい場合は、タグ２０２はリーダ２０４を認証する。リーダ２０４が受け入れられた場合は、リーダは、ＣＴ_７およびＣＴ_８として示されている別の指標値を生成し、ＣＴ_９として示されている初期化ベクトルを暗号化することができる。次いで、指標値および暗号化された初期化ベクトルが、ステップ２１８においてリーダ２０４に送信される。

ステップ２２０において、リーダ２０４は、指標値を生成するためにステップ２１６におけるタグ２０２と同様の処理を実行する。ステップ２２０は、タグ２０２からの応答を予期してステップ２１２の直後にリーダによって実行されることが可能である。受信された指標値がリーダ２０４によって生成されたものに一致する場合は、タグは認証されることが可能である。タグ２０２およびリーダ２０４を同期させるために、リーダ２０４は、受信された初期化ベクトルを復号し、この値を鍵データベースに記憶することができる。図２に示されているように、データベース更新機能（ＵＰＤＡＴＥ ＤＡＴＡＢＡＳＥ ｆｕｎｃｔｉｏｎ）には、受信されたＬＦＳＲ値がパラメータとして渡される。いくつかの実施形態では、データベース更新機能は、次にクエリされたときにタグによって使用される暗号化変数を生成するために、受信された初期化ベクトルを使用することができる。さらに、この機能は、タグが後でクエリされるのと同じやり方で暗号化変数を暗号化し、より速いルックアップを可能にするために、暗号化された暗号化変数を鍵データベースに記憶することができる。上記で説明されたように、データベースに記憶されることが可能である暗号化状態変数に関連付けられたいくつかの可能な値があり、初期化ベクトルおよびＬＦＳＲは例としてのみ提供される。

ステップ２２０が完了した後は、タグ２０２は、チャレンジ・コマンドのほか、任意のコマンドを受け入れられる状態にあるはずである。攻撃者による不所望のコマンドの挿入を防止するために、タグ２０２は、それが受信するいかなるコマンドをも認証するべきである。これは、リーダによってタグ２０２に送信された各コマンドを暗号化することにより実現されることが可能である。図２に示されているＲＦＩＤ実施形態では、タグ２０２は、暗号化機能しか有しないように電力およびサイズの制限によって限定されることが可能である。この実施形態では、リーダは、次いで暗号化関数である逆演算を使用してタグ２０２によって回復されることが可能であるコマンドを攻撃者から分かりにくくするために復号関数を実行することができる。他の実施形態では、セッション識別子が、受信タグによって追加認証のためのコマンドと共に送信されることが可能である。セッション識別子は、タグが暗号化処理によってセッション識別子を回復することができるように、同様に復号されることが可能である。コマンド認証のための他のオプションは、タグがコマンドを受信したときにパディングされたビットが受け入れられたパディング・フォーマットに一致することをタグが確認することができるように、追加認証のためにコマンドをエクストラ・ビットでパディングすることを含む。

ステップ２２２は、復号されたコマンドおよびセッション識別子がタグ２０２に送信されることを示す。次いでステップ２２４において、タグ２０２はコマンドおよびセッション識別子を回復するためにコマンドおよびセッション識別子に対して暗号化処理を実行する。コマンドが有効である場合は、コマンドはタグ２０２によって実行されることが可能である。

次に、図３を参照すると、同期実施形態のプロセスの流れ３００が示されている。ステップ３０２においてＲＦＩＤリーダがクエリおよびセッション識別子をＲＦＩＤタグに送信することができる。次いでステップ３０４においてタグがＬＦＳＲまたはカウンタから初期化ベクトル（ＩＶ）を生成する。次に、ステップ３０６において、ＬＦＳＲまたはカウンタの状態がＥＥＰＲＯＭなどの不揮発性メモリに記憶されることが可能である。次いで、初期化ベクトルが暗号化状態変数をランダム化するために初期化ルーチンを通る。例えば、ステップ３０８において、初期ロータ設定値（ＩＲＳ）が、初期化ベクトル（ＩＶ）をＩＮＩＴ機能に渡すことにより、構成される。

次に、ステップ３１０において、リーダがタグを識別するために使用することができるタグ指標が生成される。タグ指標は、暗号化アルゴリズムおよび暗号化変数を使用して生成される。図３に示されている実施形態では、ロータ設定値１（ＲＳ１）およびロータ設定値３（ＲＳ３）は、初期ロータ設定値のサブセットであり、タグ指標、ＣＴ_０、ＣＴ_１、およびＣＴ_２として使用される暗号文を生成するためにセッション識別子と共に暗号化される。

ステップ３１２において、タグは、通信リンクを介して送信された暗号化状態変数を分かりにくくするために、暗号化アルゴリズムを駆動する暗号化鍵とは別の鍵でよい秘密鍵Ｋを使用することができる。演算は、鍵との暗号化状態変数のモジュロ２またはモジュロ２^ｎ加算でよい。例えば、図３は、鍵ＫでＸＯＲされるＩＲＳを示す。

リーダは、タグから暗号化状態変数を受信するとすぐ、一致があるかどうかを判定するために鍵データベースを探索し始めることができる。一致が発見された場合は、リーダおよびタグは同期されており、リーダ暗号化アルゴリズムは受信された暗号化状態変数および鍵データベースからの対称暗号化鍵を使用するように構成されている。タグおよびリーダが同期されていない場合は、リーダは、タグを識別するためにデータベース内のすべての鍵の全数探索を実行しなければならない。プロセスは、ステップ３４０において反復変数ｉをゼロに設定することから開始する。プロセスのステップ３４２は、ｉがＮより小さい間は鍵データベースを探索し続け、ここでＮは鍵データベース内の鍵の総数である。

鍵探索プロセスの第１のステップは、暗号化状態変数を回復することである。図３に示されている実施形態では、ステップ３４４において、受信されたＩＲＳがＫ_ｉでＸＯＲされ、ここでＫ_ｉは鍵データベース内のｉ番目のタグエントリのための秘密鍵を表す。次いで、回復されたＩＲＳおよびＫ_ｉは、暗号化アルゴリズムで使用されることが可能である。

ステップ３４６において、リーダは、データベースから正しい鍵エントリが選択されたかどうかを判定するためにタグによって使用されたのと同じ変数に対して同じ暗号化アルゴリズムを実行する。リーダによって生成されたタグ指標が、図３においてＣＴ_０’＝ＣＴ_０として示されているリーダによって受信されたタグ指標に等しい場合は、正しい鍵が選択された可能性がある。さらに、ステップ３４８およびステップ３５０において、それぞれＣＴ_１’＝ＣＴ_１およびＣＴ_２’＝ＣＴ_２と判定した場合は、プロセスは正しい鍵を選択した可能性がある。連続する比較はそれぞれ候補鍵を除去することができる。正しい鍵が発見された後は、タグは、データベース内の正しい鍵に関連付けられたデータを使用して識別されることが可能である。これらのステップは、各タグ指標が受信されしだい各タグ指標に対して連続して実行されることが可能であり、鍵探索がその実行に応じてタグ指標の受信と同時に進むことができるようにすることができる。

いくつかの実施形態は、ロータベースの暗号化を使用するように構成されることが可能である。ロータベースの暗号化は、１２８ビット以上のブロック上で動作する典型的なブロック暗号とは対照的に、通常、１６ビット・ブロックなどのより小さいブロック上で動作する。ロータベースの暗号化アルゴリズムを使用することは、リーダが潜在的な鍵の一致を典型的なブロック暗号より効率よく且つより速く除去することができるようにする。

比較ステップのいずれかが失敗した場合は、ステップ３４３において反復変数がインクリメントされることが可能であり、データベース内の次の鍵が試験されることが可能である。データベース内のほとんどの候補鍵は、比較試験を通らない。したがって、データベース内の候補鍵を除去するためのコストは、通常、小さいブロックに対して実行される単一の暗号化処理だけである。

ステップ３５２において、リーダは、ランダム・チャレンジ・コマンドを生成し、次いでこのランダム・チャレンジ・コマンドは暗号化される。次いで、リーダは、受信されたロータ設定値および識別されたタグに関係する鍵データベースからの暗号化鍵を使用して、指標ＣＴ_５’およびＣＴ_６’を生成する。次いで、ステップ３５４において、暗号化されていないチャレンジ・コマンドおよび指標がタグに送信される。リーダは、チャレンジ・コマンドを生成し暗号化した直後に、ステップ３５６に示されているように、指標ＣＴ_７’およびＣＴ_８’を生成し始めることができる。

タグは、チャレンジ・コマンドを受信すると、そのコマンドを暗号化し、ステップ３５８においてＣＴ_５およびＣＴ_６として示されているタグ指標を生成し始めることができる。ステップ３５８において生成されたタグ指標は、プロセスのステップ３６０において、リーダから受信されたタグ指標と比較される。ＣＴ_５＝ＣＴ_５’およびＣＴ_６＝ＣＴ_６’の場合は、タグはリーダの妥当性を確認し、そうでない場合は、タグはリーダとの通信を終了する。

次いで、タグは、暗号化状態変数および初期化ベクトルの状態に関係付けられたタグ指標を有するチャレンジ・コマンドに応答する。例えば、ステップ３６２において、タグ指標ＣＴ_７およびＣＴ_８がＲＳ１およびＲＳ３を暗号化することにより生成され、ＣＴ_９がＬＦＳＲを暗号化することにより生成される。次いで、ステップ３６４において、タグ指標および初期化ベクトルがリーダに送信される。

リーダは、タグ指標を受信するとすぐ、ステップ３５６からの前に生成されたタグ指標が受信されたタグ指標に一致するかどうか比較する。タグ指標が一致する場合は、リーダはタグを真正であるとして受け入れる。次いで、受信された初期化ベクトルがステップ３６８において復号され、ステップ３７０において示されているように、リーダおよびタグを同期させるために、データベースを更新するために使用されることが可能である。

タグおよびリーダの両方が認証されたので、タグは、チャレンジ・コマンド以外のコマンドをいつでも受け入れることができる。敵対者からの不所望のいかなる挿入をも防止するために、タグは受信するいかなるコマンドをも認証することができる。図３に示されている実施形態では、タグは暗号化機能を有するだけであり、したがって、リーダは、コマンド（ＣＭＤ）に対して復号関数を実行することができ、いくつかの実施形態では、ステップ３７２において示されているように、より大きいセキュリティのためにセッション識別子（ＳＳＩＤ）を復号することもできる。これは、攻撃者に対してコマンドをエンコードするまたは暗号化する効果を有する。次いで、ステップ３７４において、復号されたコマンドおよびセッション識別子がタグに送信されることが可能である。

次いで、タグは、ステップ３７６に示されているコマンドおよびセッション識別子を回復するために、受信されたタグ指標に対して暗号化処理を実行することができる。次に、ステップ３７８において、タグは、コマンドが有効であり、正しいセッション識別子が使用されたかどうかを判定し、そうであれば、ステップ３８０においてコマンドが実行される。

次に、図４を参照すると、非対称相互認証および識別方法のためのプロトコル図４００が示されている。この実施形態では、タグ４０２は、初期化ベクトルの状態を記憶するために利用可能な不揮発性メモリを有しなくてよい。タグは前のセッションの状態を保存することができないので、リーダはタグと同期することができず、リーダはセッションごとに鍵データベースの全数鍵探索を実行する。図４の要素は、図２の番号付け方式を保持し、この場合、非同期プロトコルおよび同期プロトコルは同様である。

追跡攻撃を防止するために、タグ４０２は、クエリ４０６に対する一意の応答を生成するべきである。タグ４０２は、ランダム応答を生成するためのいかなる数の方法でも使用することができ、例えば、図４において、６４ビット乱数（ＲＮ６４）がオンボード擬似乱数生成器から出力されることが可能である。次いで、乱数は初期化ベクトルとして使用されることが可能である。次いで、ステップ４０９における暗号化アルゴリズムの初期化および指標値の生成が、図２示されている実施形態におけるステップ２０８と同様に進む。

次いで、タグ４０２は、ステップ４１１において、暗号化状態変数およびタグ指標をリーダに送信することができる。暗号化状態変数は、ロータ設定値自体でもよく、または、タグによって使用されるのと同様の初期化ルーチンを辿ることにより暗号化状態変数がそこから得られることが可能である初期化ベクトルでもよい。

リーダは、暗号化状態変数およびタグ指標を受信するとすぐ、タグを識別するために全数鍵探索を実行しなければならない。ステップ４１３において、リーダは、受信されたデータを使用して暗号化状態変数を初期化し、タグおよびリーダが同期されていないときは、図２の実施形態のステップ２１２と同様に各鍵を試験し始める。プロトコルの残余は、ステップ４１７、４１９および４２１を除いて、図２に示されている実施形態のものと同様である。これらのステップは、タグがランダム応答を生成し、リーダと同期されていないので、もはや鍵データベース内の初期化ベクトルまたは暗号化状態変数を送信し記憶することを必要としない。

次に、図５を参照すると、非同期実施形態のプロセスの流れ５００が示されている。プロセスの流れ５００は、鍵データベースおよび初期化ベクトルを扱うステップを除いて図３に示されている同期手法のためのプロセスの流れと同様である。図５の要素は、図３の番号付け方式を保持し、この場合、非同期プロトコルおよび同期プロトコルは同様である。非同期手法のプロセスの流れ５００では、初期化ベクトルは、ステップ５０５において擬似乱数生成器から生成される。リーダは、初期化ベクトルおよびタグ指標を受信するとすぐ、ステップ５４０から５５０までにおいて、鍵データベースの全数探索を実行しなければならない。

次に、図６を参照すると、安全でない識別プロトコルの実行形態が示されている。
プロトコル６００は、ＲＦＩＤタグのためにＥＣＰグローバル第２世代規格において使用されるものと同様である。プロトコル６００は、ステップ６１０においてリーダ６０４がクエリをタグ６０２に送信することから開始する。次いで、タグ６０２は、タグ６０２によって生成される１６ビット乱数を用いて応答することができ、これはステップ６１２において示されており、この場合、ＲＮ１６は１６ビット乱数である。次に、ステップ６１４において、リーダ６０４は、タグからの同じ１６ビット乱数を用いて確認応答コマンドを出すことによりタグを確認応答する。次いで、タグ６０２は、ステップ６１６に示されているように、タグ６０２を識別する電子製品コード（ＥＰＣ）または他の情報を用いて応答することができる。ＥＰＣグローバル第２世代規格では、この識別情報は平文で送信される。攻撃者は、この識別情報を傍受してこの情報を特定のタグの位置を追跡するために使用するか、またはこの情報をタグのクローンを作成するために使用することができる。ステップ６１８において、タグはオープン状態にあり、いくつかのコマンドに応答することができる。

次に、図７を参照すると、一般的なＲＦＩＤプロトコルの中に組み込まれた一実施形態が示されている。図１〜４に関して上記で説明された相互認証および識別方法は、プロトコル７００に示されているように、ＥＰＣグローバル第２世代規格に組み込まれることが可能である。前述の方法は、第２世代規格から他の通信をインターリーブすることができ、また、規格のコマンドを使用してプロトコルの一部を実行することもできる。

図７に示されているプロトコルでは、リーダ７０４は、タグ７０２にステップ７１１に示されているクエリ・コマンドを送信することからプロトコルを開始する。クエリ・コマンドはまた、リーダ識別情報またはセッション識別情報などのデータを含むことができる。第２世代規格の図６におけるステップ６１２および６１４と同様に、タグ７０２は、１６ビット乱数を用いて応答し、リーダ７０４は１６ビット乱数を返すことにより確認応答する。タグは、１６ビット乱数を生成するために、初期化ベクトルを生成するために使用されるのと同じＬＦＳＲまたはＰＲＮＧを使用することができる。

タグ７０２は、１６ビット乱数を送信した後に、次いで、上記で説明されたように、暗号化状態変数を初期化し、タグ指標を生成することができる。タグ指標の生成は、セッション識別子またはリーダ識別子などのクエリ・コマンドと共にリーダによって送信された情報を使用することができる。クエリ・コマンドに応答して生成された１６ビット乱数はまた、タグ指標の生成中に使用されることが可能である。

次に、タグ７０２は、平文で識別情報を送信するのではなく、生成されたタグ指標と共に、ステップ７１７におけるＩＲＳなど、ロータ設定値、またはロータ設定値がそこから得られることが可能である値を送信することができる。ＥＰＣグローバル第２世代規格は、プロトコル制御およびこの目的のために使用されることが可能である拡張プロトコル・ワードを提供する。次いで、リーダ７０４は、この情報を使用して、タグ７０２を識別するために上記の方法によって鍵ルックアップを実行する。タグの識別は、攻撃者がタグの識別を知ることもタグを追跡することもできないようにするやり方で実行される。

次に、ステップ７１９において、リーダおよびタグは、前述の方法によって相互認証を実行することができる。

本発明は、本明細書では、例としてのみ説明されてきた。添付の特許請求の範囲によってのみ限定される本発明の趣旨および範囲から逸脱することなく、これらの例示的実施形態に対して様々な変更および変形が行われてよい。

Claims (34)

1. 対称暗号化システムにおいて、それぞれが暗号化状態変数を有するデバイスを安全に識別し、第１のデバイスと第２のデバイスとの間の通信を認証する方法であって、
   前記第２のデバイスにおいて前記第１のデバイスから暗号化状態変数を受信することと、
   前記第２のデバイスの鍵データベース内の暗号化鍵ごとに、前記受信された暗号化状態変数を使用して指標を生成することと、
   使用される前記暗号化鍵によって前記第１のデバイスを識別するために、前記生成された指標を前記第１のデバイスから受信された指標と比較することと
   を備える方法。
2. 前記第２のデバイスにおいて、前記受信された暗号化状態変数が前記第２のデバイスの前記鍵データベース内の暗号化鍵に関係するかどうかを判定することをさらに備える、請求項１に記載の方法。
3. クエリに応答して前記第１のデバイスにおいて初期化ベクトルを生成することと、
   前記初期化ベクトルを使用して前記第１のデバイスの前記暗号化状態変数を初期化することと、
   前記第１のデバイスの前記暗号化状態変数を使用して前記指標を生成することと
   をさらに備える、請求項２に記載の方法。
4. 前記初期化ベクトルが、ＬＦＳＲ、カウンタまたは乱数生成器のうちのいずれか１つから生成される、請求項３に記載の方法。
5. 前記クエリが前記初期化ベクトルを生成するために使用される識別子を含む、請求項３に記載の方法。
6. 前記クエリが前記指標を生成するために使用される識別子を含む、請求項３に記載の方法。
7. 前記第２のデバイスにおいてチャレンジ・コマンドを生成することと、
   前記暗号化状態変数を使用して前記チャレンジ・コマンドを暗号化することと、
   前記第２のデバイスの前記暗号化状態変数を使用することにより前記第２のデバイスにおいて第２の指標を生成することと、
   前記チャレンジ・コマンドおよび前記第２の指標を前記第１のデバイスに送信することと
   をさらに備える、請求項３に記載の方法。
8. 前記第１のデバイスにおいて前記チャレンジ・コマンドおよび前記第２の指標を受信することと、
   前記第１のデバイスにおいて前記チャレンジ・コマンドを暗号化することと、
   前記受信された第２の指標が、前記第１のデバイスの前記暗号化状態変数を使用して前記第１のデバイスにおいて生成された指標に一致する場合は、前記第２のデバイスの妥当性を確認することと
   をさらに備える、請求項７に記載の方法。
9. 前記第１のデバイスの前記暗号化状態変数を使用して前記第１のデバイスにおいて第３の指標を生成することと、
   前記第１のデバイスの前記初期化ベクトルを暗号化することと
   前記第３の指標および初期化ベクトルを前記第２のデバイスに送信することと
   をさらに備える、請求項８に記載の方法。
10. 前記第２のデバイスの前記暗号化状態変数を使用して前記第２のデバイスにおいて指標値の第３のセットを生成することと、
    前記受信された第３の指標が前記第２のデバイスの前記暗号化状態変数を使用して前記第２のデバイスにおいて生成された指標に一致する場合は、前記第１のデバイスの妥当性を確認することと
    をさらに備える、請求項９に記載の方法。
11. 前記受信された初期化ベクトルを前記第２のデバイスの前記鍵データベースに記憶することをさらに備える、請求項１０に記載の方法。
12. 前記暗号化状態変数が暗号化されたデータに関係付けられる、請求項１０に記載の方法。
13. 前記暗号化状態変数がロータベースの暗号化方式のロータ設定値である、請求項１２に記載の方法。
14. 前記第１のデバイスがＲＦＩＤタグであり、前記第２のデバイスがＲＦＩＤリーダである、請求項１０に記載の方法。
15. 対称暗号化システムにおいて通信を安全に認証するためのシステムであって、
    暗号化状態変数を有し、
    暗号化状態変数および指標を送信するための送信機
    を備える第１のデバイスと、
    暗号化状態変数を有し、
    前記第１のデバイスから暗号化状態変数を受信するための受信機と、
    暗号化鍵を記憶するための鍵データベースと、
    前記受信された暗号化状態変数および前記鍵データベースからの暗号化鍵を使用して指標を生成するための暗号化ロジックと、
    使用される前記暗号化鍵によって前記第１のデバイスを識別するために、生成された指標値を受信された指標値と比較するための処理ロジックと
    を備える第２のデバイスと
    を備えるシステム。
16. 前記処理ロジックが、受信された暗号化状態変数が前記鍵データベースの中にあるかどうかを判定する、請求項１５に記載のシステム。
17. 前記第１のデバイスが、
    クエリに応答して初期化ベクトルを生成し、前記暗号化状態変数を初期化するための初期化ロジックと、
    前記暗号化状態変数を使用して指標値を生成するための暗号化ロジックと
    をさらに備える、請求項１５に記載のシステム。
18. 前記初期化ロジックが、ＬＦＳＲ、カウンタまたは乱数生成器のうちのいずれか１つから成る、請求項１７に記載のシステム。
19. 前記クエリが、前記初期化ベクトルを生成するために使用される識別子を含む、請求項１７に記載のシステム。
20. 前記クエリが、前記識別子を生成するために使用される識別子を含む、請求項１７に記載のシステム。
21. 前記第２のデバイスが、
    前記処理ロジックによって生成されたランダム・チャレンジ・コマンドと、前記第２のデバイスの前記暗号化状態変数を暗号化することにより前記暗号化ロジックによって生成された第２の指標とを送信するための送信機
    をさらに備える、請求項１７に記載のシステム。
22. 前記第１のデバイスが、
    前記チャレンジ・コマンド、前記クエリおよび前記第２の指標を受信するための受信機と、
    前記受信された第２の指標が前記暗号化状態変数を使用して生成された指標に一致する場合に、前記第２のデバイスの妥当性を確認するための処理ロジックと
    をさらに備える、請求項２１に記載のシステム。
23. 前記第１のデバイスの前記送信機が前記暗号化状態変数を使用して前記暗号化ロジックによって生成された第３の指標を送信し、前記送信機が前記暗号化ロジックによって暗号化された前記初期化ベクトルを送信する、請求項２２に記載のシステム。
24. 受信された第３の指標が前記暗号化状態変数を使用して生成された指標に一致する場合は、前記第２のデバイスの前記処理ロジックが前記第１のデバイスの妥当性を確認する、請求項２３に記載のシステム。
25. 前記第２のデバイスの前記鍵データベースが前記第１のデバイスに関係付けられた前記受信された初期化ベクトルを記憶する、請求項２４に記載のシステム。
26. 前記暗号化状態変数が暗号化されたデータに関係付けられる、請求項２４に記載のシステム。
27. 前記暗号化状態変数がロータベースの暗号化方式のロータ設定値である、請求項２６に記載のシステム。
28. 前記第１のデバイスがＲＦＩＤタグであり、前記第２のデバイスがＲＦＩＤリーダである、請求項２４に記載のシステム。
29. 対称暗号化システムにおいて第１のデバイスと第２のデバイスとの間の通信を安全に識別し認証するための方法であって、
    第１に、前記第１のデバイスから前記第２のデバイスに安全な識別を提供することと、
    第２に、前記第１のデバイスと前記第２のデバイスとの間の安全な認証を提供することと
    を備える方法。
30. 安全な識別を提供する前記ステップが、
    前記第１のデバイスの暗号化状態変数を使用して指標を生成することと、
    前記暗号化状態変数および前記指標を前記第２のデバイスに送信することと、
    前記第２のデバイスにおいて、鍵データベース内の暗号化鍵ごとに、前記暗号化鍵を使用して生成された指標および前記受信された暗号化状態変数を前記第１のデバイスから受信された前記指標と比較することと
    を備える、請求項２９に記載の方法。
31. 前記第１のデバイスおよび第２デバイスがＲＦＩＤデバイスである、請求項３０に記載の方法。
32. 安全な識別を提供する前記ステップおよび安全な認証を提供する前記ステップがＲＦＩＤ規格に組み込まれる、請求項３１に記載の方法。
33. 前記ＲＦＩＤ規格がＥＰＣグローバル第２世代規格である、請求項３２に記載の方法。
34. 安全な識別を提供する前記ステップがＥＰＣグローバル第２世代規格の認証ステップとして提供される、請求項３３に記載の方法。

Images