JP2012533218A

JP2012533218A - 効率的鍵管理システムおよび方法

Info

Publication number: JP2012533218A
Application number: JP2012519565A
Authority: JP
Inventors: コレスニコフ，ブラジーミル; グルバーニ，ビジヤイ
Original assignee: アルカテル−ルーセント
Priority date: 2009-07-07
Filing date: 2010-06-23
Publication date: 2012-12-20
Also published as: KR101367038B1; WO2011005569A2; EP2452477B1; CN102474509A; WO2011005569A3; KR20120027485A; US20110010549A1; US9106628B2; EP2452477A2; CN102474509B

Abstract

少なくとも１つのプロキシサーバを介する少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスへのコスト効率のよい、安全な鍵交換を提供するシステムが、提供される。本システムは、少なくとも１つのプロキシサーバを介する少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスへの第１の鍵交換メッセージを含む。インターネットのメディアストリームを介する少なくとも１つの第２のデバイスから少なくとも１つの第１のデバイスへの第２の鍵交換メッセージが、セッション鍵の計算を完了するために必要とされる。通信システムを安全にする方法もまた説明される。本方法は、加入者を識別するための経路指定デバイスを提供するステップと、マスタ鍵交換セッションを提供するステップとを含み、マスタ鍵交換セッションは、加入者を見つけるための鍵ｋおよびその加入者への問合せに答えるためのナンスｒの両方を含む。

Description

本発明は、概して、効率的鍵管理システムおよび方法に関し、特に、セッション開始プロトコル（ＳＩＰ）での使用に適した鍵管理システムに関する。

電話運用の初期に使用された、電話共同加入線の時代が終って久しい。共同加入線は生活を面白くした。自宅内の電話の多数のユーザは、他者の会話を選択的に傍受することができた。共同加入線の活動の例は、共有通信の予測できない、望ましくない特性により、映画、小説、コメディのスキットで広く提示された。電話業界は切磋琢磨して、私設電話回線などの電話使用に重要な改良をもたらした。通信におけるプライバシは、消費者の高く評価される関心事となった。通信が電話回線を越えてインターネットの仮想世界に広がったため、全く新しいセットの複雑な問題が、費用効率の高い形で私設通信を促進することを試みて、導入された。

インターネットなどのネットワーク環境を介する私設通信は、達成するのが困難であることがある。現在の取組みは、たとえばセッション開始プロトコル（ＳＩＰ）を使用して、フォーキング、目標変更、要求反復などのそのプロトコルの望ましい態様を提供し、意図しない相手との鍵の交換、音声クリッピングなどの望ましくない態様を減らしながら、効果的に鍵を交換することを含む。

ＳＩＰは、１９９９年にインターネットエンジニアリングタスクフォース（ＩＥＴＦ）標準として発行され、２００２年６月にさらに改正された、インターネットのためのランデブプロトコルである。ＳＩＰは、数字の識別子を使用する代わりに、よく知られている電子メールのような識別子を使用してユーザを表す。ＳＩＰは、テキストベースの要求応答プロトコルである。ＳＩＰ環境は、ユーザエージェント、プロキシサーバ、転送サーバ、およびレジストラを含む。ＳＩＰユーザエージェントは、コンピュータ、インターネット電話、パーソナルデジタルアシスタント（ＰＤＡ）、または、インターネット接続を介するメディアの送受信のための任意の他の適切な電子デバイスなどの適切な電子デバイス上で実行されるときにランデブプロトコルを可能にする、ソフトウェアプログラムを提供する。

２つのタイプのＳＩＰユーザエージェントが提供される。第１のタイプは、たとえばマルチメディアセッションを開始する要求などの要求を発信する、ユーザエージェントクライアント（ＵＡＣ）である。第２のタイプは、ＵＡＣからの要求を受け入れ、それに基づいて動く、ユーザエージェントサーバ（ＵＡＳ）である。通常は、ＵＡＳはレジストラに登録することになる。登録された後は、ＵＡＳの現在のＩＰアドレスは、電子メール様の識別子に連結される。電子メール様の識別子は、ＵＡＳを識別するために使用される。ＳＩＰプロキシサーバは、ＵＡＳの電子メール様の識別子を使用して、要求をＵＡＣから特定のＵＡＳに経路指定する。

ＳＩＰプロキシサーバは、経路指定、認証およびフォーキング（ＳＩＰにおいて探索木を作成すること）などのＳＩＰセッションのための重要サービスを提供する媒介である。たとえば、セッションを確立する要求またはＩＮＶＩＴＥは、プロキシサーバを介して下流のＵＡＳに経路指定される。下流のＵＡＳは、厳密に１つの最終応答が後に続くＩＮＶＩＴＥに１つまたは複数の仮応答を送信する。その応答は、その要求と同じプロキシチェーンを介して逆の順序でＵＡＳからＵＡＣに横断する。セッションは、ＵＡＣがＵＡＳから最終応答を受信し、ＡＣＫとして知られる新しい要求を送出するときに、確立される。ＡＣＫおよび任意のその後の要求は、プロキシサーバのポリシに応じて、ＵＡＣからＵＡＳに、または逆に、直接流れることができる。あるプロキシは、以下に論じるように、すべてのその後の要求が、たとえば図１に図示するようにしてそれらを介して流れるように、そのセッション内に留まることを選択することができる。しかし、ＵＡＣおよびＵＡＳの間のメディアは、図１に示すように、１つまたは複数のＳＩＰプロキシサーバを介して経路指定されることなく、直接流れる。換言すれば、異なるプロトコルをもつ異なるメディアストリームは、ランデブが確立された後にＵＡＣおよびＵＡＳの間での交換に使用されるのに対して、ＳＩＰプロトコルは、初期ランデブを確立するために使用される。それらのプロトコルは異なるため、システム全体にセキュリティを提供することは努力を要する。

システムのセキュリティ課題に対処しようとする知られている鍵配布プロトコルは、たとえば、ＺＲＴＰおよびＤＴＬＳ−ＳＲＴＰを含む。ＤＴＬＳ−ＳＲＴＰは、アタッカに対する合理的に強いセキュリティを提供し、財務的およびコンピュータ的の両方でコストのかかる、即ちいくつかの公開鍵動作が必要とされる、公開鍵インフラストラクチャ（ＰＫＩ）を使用する。ＺＲＴＰは、妥当なセキュリティをもつ複合鍵配布プロトコルである。しかし、それは実装するのに費用がかかり、微妙な脆弱性ももつ。

公衆のおよび私設の、知られているキーイングプロトコルは、ＳＩＰセッションについて、コストおよび複雑性などの固有の欠点をもつ。

少なくとも１つのプロキシサーバを介する少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスへのコスト効率のよい安全な鍵交換を提供するシステムが、提供される。本システムは、少なくとも１つのプロキシサーバを介する少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスへの第１の鍵交換メッセージを含む。インターネットのメディアストリームを介する少なくとも１つの第２のデバイスから少なくとも１つの第１のデバイスへの第２の鍵交換メッセージは、セッション鍵の計算を完了することを求められる。通信システムを安全にする方法もまた説明される。本方法は、加入者を識別するための経路指定デバイスを提供するステップと、マスタ鍵交換セッションを提供するステップとを含み、マスタ鍵交換セッションは、加入者を見つけるための鍵ｋおよびその加入者への問合せに答えるためのナンスｒの両方を含む。

本発明の例示的な実装の特徴が、本説明、特許請求の範囲、および以下のような添付の図面から明らかとなろう。

ＳＩＰを使用するセッションセットアップ１００の背景を示す図である。図１のＳＩＰを使用するセッションセットアップ１００などのランデブプロトコルでの使用のために構成された有利な鍵管理システムの例示的な構成２００を示す図である。本発明の原理にしたがって構築されるシステムの例示的な構成３００を示すブロック図である。本発明の原理にしたがって構築されるシステムのもう１つの例示的な構成４００を示す図である。

図１は、ＳＩＰを使用するセッションセットアップ１００の背景図である。セッションセットアップ１００は、ＳＩＰランデブプロトコル使用のために構成および構築されるすべてのキーイングプロトコルについて同じである。セットアップ１００は、ＵＡＣ１１０、ＵＡＳ１２０、プロキシＰ１１３０、Ｐ２１４０、およびメディアストリーム（ＲＴＰ）１５０を含む。いくつかのプロキシは、Ｐ２がＵＡＣからＡＣＫ要求を受信する場合、たとえば図１のＰ２１４０によって示されるように、すべてのその後の要求がそれらを介して流れるように、セッション内に留まることを選択することができる。しかし、ＵＡＣおよびＵＡＳの間のメディアは、図１に示すように、１つまたは複数のＳＩＰプロキシサーバを介して経路指定されることなく、直接ＲＴＰ１５０に沿って流れる。ＲＴＰはセキュリティ問題をもたらす。結果として、安全なＲＴＰすなわちＳＰＴＲが、ＲＴＰトラフィックに機密性、メッセージ認証、およびリプレイ保護を提供するために、開発された。ＳＩＰ内のＳＲＴＰの広範な使用は、無効なキーイングプロトコルにより妨げられた。換言すれば、さまざまなキーイングプロトコルは、重要なＳＩＰ機能を保ちながら、セキュリティコンテキスト、即ち暗号鍵およびパラメータ、を取り決めることができなかった。

図２に示すように、コスト効率のよいキーイングシステムまたはプロトコルを提供する、図１のＳＩＰを使用するセッションセットアップ１００などのランデブプロトコルでの使用のために構成された、有利な鍵管理システムの例示的な構成２００が、提供される。本システムは、シグナリング層２１０およびメディア層２２０を用いる。イニシエータＡまたはアリスは、第１の端末２３０を操作し、ランダム鍵ｋ２４０を選択して、シグナリング層を介して、ここではＳＩＰフレームワークを介して、Ｂまたはボブに送信する。ランダム鍵ｋ２４０は、セッション鍵ではない。その代わりに、ボブは、ランダム鍵ｋ２４０を受信し、次にランダムナンスｒ２５０を選ぶ。ボブは次に、ランダムナンスｒを第２の端末２６０を介して普通テキストで、メディアストリームまたは層２２０とともに、アリスに返信する。セッション鍵またはｓｋ２７０は、ｋ２４０およびｒ２５０から導出される。換言すれば、セッション鍵、ｓｋ２７０は、シグナリング層２１０およびメディア層２２０の間で分けられる。ｓｋ２７０は、メディアを直ちに暗号化するために使用される。Ｓｋ２７０は、ｒ２５０上でｋ２４０で評価されるＰＲＰＦである。Ｓｋ２７０は、ｓｋ＝Ｆ_ｋ（ｒ）によって定義され、但し、Ｆは確定可能な範囲および領域をもつ擬似ランダム関数である。たとえば、ＦがＡＥＳ関数になるように選択される場合、ｋおよびｒの領域はｋ，ｒ∈｛０，１｝^１２８でもよい。本明細書に記載の鍵管理システムによれば、Ｆｋはランダム入力に適用されるときにランダム出力を作り出す順列であるので、敵対者はｒを観測することができるがｋは観測することができず、同じ長さのランダムストリングとｓｋを区別することができないことになるため、合理的に高いレベルのセキュリティが、単純で、コスト効率のよい形で達成される。同様に、ＳＩＰプロキシは、ｋを観測することができるが、ｒを観測するためにメディアストリームにアクセスすることができない。したがって、アクティブな敵対者でも限られたシナリオの中でしか成功しない。

さらに、本明細書に記載のシステムは、ＰＫＩの複雑さおよびコストなしに、層を追加することによって、ＰＫＩインフラストラクチャを用いる必要をなくす。本システムは、最小限のコストでプライバシを守るための優れたセキュリティレベルを提供し、ＳＩＰサーバへの信頼仮定を低減し、フォーキングによるセッション鍵を共用する第２の端末２６０のインスタンスを防ぐ。本明細書に記載のシステムおよび方法は、ＤＴＬＳ−ＳＲＰＴなどの他のキーイングプロトコルの１００分の１のコストで妥当なセキュリティを実現する。

したがって、複数層を組み込んでその層内の問合せを介してランダムセッション鍵を作り出す鍵管理システムおよび方法は、本明細書に記載の原理にしたがって、単純な、コスト効率のよい、非常に安全な鍵管理システムを提供する。さらに、本システムは、ＳＩＰでの使用に適している。ランダムｒはボブがｋを使用する度に生成されることになるため、フォーキングが同じｋと通信するボブの異なるインスタンス内で生じないという点で、追加の利点がこのインタラクティブ鍵管理システムで実現される。さらに、アリスおよびボブは、将来のセッションでより効率的で安全な鍵交換を確立するために、長期ＰＳＫを確立することができる。

もう１つの例示的なシステム３００の一般的な構成および機能が、ここで、図３を参照して説明される。例示的なシステム３００のこれらの要素は、好ましくは相互接続され、好ましくは、本明細書で指摘された例外および改良をもつ、知られているネットワークで機能する。システム３００は、第１の端末３１０を含む。ユーザＡは、第１の端末３１０を用いて、シグナリング層を介して第２の端末３３０に、およびＢについてＡによって知られている経路指定識別子をもつ他の代替端末３３０ａ、３３０ｂ、３３０ｃ、．．．３３０ｎに、選択された鍵ｋ３２０を送信する。Ｂは、セッション鍵ｓｋ３５０を作り出すために、３３０ｎでｒ３４０を生成すること、およびｋ３２０とともにメディア層を介して第１の端末３１０にｒ３４０を送信することによって、デバイス３３０ｎを使用して、Ａに応答することができる。この実施形態において、それが、ビデオ機能、またはＢ３３０デバイスがもちえないことが望まれる任意の他の機能などの、Ａとのセッションに望まれる動作特性をもつため、Ｂは、たとえば、代替端末３３０ｎなどの代替デバイスを選択することができる。或いは、Ｂ３３０デバイスが失われているまたは壊れていることがあり、その場合Ｂは必要によりセッションを円滑に進めるためにＢｎを選択することができる。

図４に示すさらにもう１つの例示的な実施形態では、Ａは、セッション鍵ｓｋがセッション鍵ｓｋについてのＣからの経路指定識別子情報を見ることによって届くときに、Ｂが彼の通信を代替端末Ｃに転送したかを判定することができる。具体的には、本発明の原理にしたがって構築されるシステムのもう１つの例示的な構成４００は、第１の端末４１０ａまたは４１０ｂを含む。具体的には、鍵ｋ４２０は、Ｂに対して経路指定識別子が使用される場合には第１の端末４１０ａによって、Ｂに対して長期ＰＳＫが使用される場合には４１０ｂによって、生成される。ｋ４２０は次に、Ｂを探すために、第１のプロキシサーバＰ１４３０に転送される。Ｐ１４３０は、Ｂを直接見つけるか、またはＰ２４４０などの少なくとも１つの追加のプロキシサーバに問合せを継続して転送することができる。Ｂは彼の経路指定識別子をＣに転送したため、ｋ４２０はＣ４５０に転送される。Ｃはここでｒ４６０を生成し、ｒ４６０をｋ４２０とともにメディア層に沿ってＡに送信してｓｋ４７０を形成する。ｓｋ４７０は、ＡにＢが彼の経路指定識別子をＣ４５０に目標変更したことを通知するために使用されることができる、ｒとともに送信される経路指定識別子情報を含むことができる。この情報は、本システムのためのさらにもう１つのセキュリティ層を提供する。

通信システムを安全にする例示的な一方法は、加入者を識別するための経路指定デバイスを提供するステップと、マスタ鍵交換セッションを提供するステップとを含むことができ、マスタ鍵交換セッションは、加入者を見つけるための鍵ｋおよびその加入者への問合せに答えるためのナンスｒの両方を含む。

本方法はさらに、鍵ｋがＳＩＰネットワークを介して送信されるということで定義されうる。

本方法はさらになお、ナンスｒがメディアチャネルを介して加入者によって送信されるということで定義されることができる。本方法のメディアチャネルは、インターネットメディアチャネルでもよい。本方法によれば、本システムはｓｋ＝Ｆ_ｋ（ｒ）によってさらに定義され、但し、Ｆは擬似ランダム関数である。Ｆはまた、ｋおよびｒの領域がｋ，ｒ∈｛０，１｝^１２８によって定義される、ＡＥＳ関数でもよい。安全なセッション鍵をもつ例示的なシステムは、ＳＩＰフレームワークを介してランダム鍵ｋを送信するための第１のデバイスと、ランダム鍵ｋを受信するための第２のデバイスとを含むことができ、第２のデバイスは、ランダムナンスｒを選択し、そのランダムナンスｒを普通テキストでメディア層を介して第１のデバイスに送信する。

安全なセッション鍵を生成するためのさらにもう１つのシステムは、シグナリング鍵パケットを生成するための第１の通信デバイスと、メディア鍵パケットを生成するための第２の通信デバイスとを含むことができ、シグナリング鍵パケットはシグナリング層を介して第２の通信デバイスに送信され、メディア鍵パケットはメディア層を介して第１の通信デバイスに送信される。

本願は、さまざまな電子および光技術を使用して実装されうる、効率的鍵管理システムおよび方法に関し：アナログ電子システム、デジタル電子システム、マイクロプロセッサおよび他の要素プロセッサ、ならびに、かかるシステムおよび要素プロセッサと連動して方法、プロセス、またはポリシを実装するためのソフトウェアおよび他の方法で実施されるステップ、命令などの群を含むがこれらに限定されない。電気通信技術では、情報または信号を運搬するための設備、構造、または方法を実装するために、さまざまな信号導線、バス、データ経路、データ構造、チャネル、バッファ、メッセージパッシングインタフェースおよび他の通信経路が使用され得、しばしば機能的に同等であることが、理解されよう。したがって、特に断りのない限り、信号または情報を運搬するための装置またはデータ構造への参照は概して、すべての機能的に同等な装置およびデータ構造を参照するものである。

しかし、本願の教示は、本発明の趣旨を逸脱することなく、他のタイプの無線ネットワークに適用されうる（おそらくは当業者の知識の範囲内の修正で）ことが、当業者には理解されよう。

具体的には、最小限のコストでの鍵交換の新しいシステムおよび方法が、本発明の趣旨を逸脱することなく、さまざまな通信環境で提供されることができる。たとえば、ステップは異なる順序で実行されることができ、或いは、ステップが追加される、削除される、または修正されることができる。さらに、シグナリングおよびメディア層は、本明細書に記載の原理を逸脱することなく、内部加入者ネットワークに連結されることができる。

本明細書に記載の実施形態は例示的である。したがって、それらの実施形態は特定の技術に関して説明されているが、他の同等の技術が、本発明の趣旨を保ちながらシステムを実装するために、使用されることができる。

本明細書に記載の方法は、プログラムされたプロセッサで実行されるときに新しいキーイングプロトコルを実現する命令を保存するコンピュータ可読の記憶媒体を含みうる。

本発明の例示的な実装が本明細書において図示され詳細に説明されてあるが、さまざまな修正、追加、置換えなどが本発明の趣旨を逸脱することなく行われることができ、したがって、これらは、以下の特許請求の範囲で定義されるような本発明の範囲内にあると見なされることが、当関連業者には明らかとなろう。

Claims

ＳＩＰにおける効率的鍵交換システムであって、
信号を送信するように構成および構築された第１の端末と、
信号を受信するように構成および構築された第２の端末と、
信号を受信し、第１の端末にランダムナンスｒを送信するように構成および構築された代替端末と、
第１の端末からシグナリング層を介して第２の端末に選択的に送信される第１の鍵交換ｋと、
第２の端末が第１の鍵交換ｋを受信したときに、代替端末からメディア層を介して第１の端末に選択的に送信されるランダムナンスｒと
を備える、システム。
ｋおよびｒから導出されたセッション鍵がｓｋ＝Ｆ_ｋ（ｒ）によってさらに定義され、但し、Ｆが擬似ランダム関数である、請求項１に記載の効率的鍵交換。
第１の端末および第２の端末が長期ＰＳＫを交換し、その後のＳＩＰセッションにおいて実証可能な方法で安全なおよび効率的な鍵交換を実行する、請求項１に記載の効率的鍵交換。
第１の端末がランダムナンスｒを受信するときに鍵導出が完了する、請求項１に記載の効率的鍵交換。
少なくとも１つのプロキシサーバを介して少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスにコスト効率のよい、安全な鍵交換を提供するシステムであって、
少なくとも１つのプロキシサーバを介する少なくとも１つの第１のデバイスから少なくとも１つの第２のデバイスへの第１の鍵交換と、
インターネットのメディアストリームを介する少なくとも１つの第２のデバイスから少なくとも１つの第１のデバイスへの第２の鍵交換と
を備える、システム。
システムを動作させる方法であって、
第１のおよび第２のインターネットデバイスの経路指定識別子を提供するステップと、
ランダム鍵を生成するステップと、
第２のインターネットデバイスの経路指定識別子を使用して、プロキシサーバを介して第１のインターネットデバイスから第２のインターネットデバイスにランダム鍵を送信するステップと、
第２のインターネットデバイスを使用して、第２の鍵を生成するステップと、
インターネットのメディア層を使用して、第２のインターネットデバイスから第１のインターネットデバイスに第２の鍵を送信するステップと
を含む、方法。
システムが効率的鍵交換を生成し、ランダム鍵がさらに鍵ｋによって定義され、第２の鍵がさらにナンスｒによって定義され、セッション鍵がさらにｓｋ＝Ｆ_ｋ（ｒ）によって定義され、但しＦが擬似ランダム関数である、請求項６に記載の方法。
ナンスｒが普通テキストを使用して第２のインターネットデバイスから第１のインターネットデバイスに送信される、請求項７に記載の方法。
通信ネットワーク内の鍵交換システムであって、
第１の電子デバイスからの問合せの少なくとも１人の関係者を識別し、通知するためのシグナリング層鍵ｋ、および、第１の電子デバイスにデータを送信するためのメディア層ナンスｒを含む、鍵セッションと、
メディア層ナンスｒについてのデータを生成するように構成および構築された第２の電子デバイスと
を備える、システム。
ＰＳＫが第１の電子デバイス内に保存され、第１の電子デバイスが、繰返しコールが起動されるときに目標変更が生じたかを判定する、請求項９に記載のシステム。