JP2013522942A - 信号の単方向伝送を保護して行う方法 - Google Patents

Abstract

単方向通信接続による本発明の信号伝送方法は、非対称暗号化方法によって保護される。この保護を行うためには、送信器によって送信過程時にカウンタ値が増分される。次に、前記送信器により、前記カウンタ値と受信器によって実行可能な制御コマンドとに基づいてチャレンジが求められ、この求められたチャレンジに基づいてレスポンスが求められる。このチャレンジおよびレスポンスは、送信器から受信器へ伝送される。受信器は、受信したチャレンジにおいて使用されたカウンタ値が、その前に送信器から伝送されて記憶されたカウンタ値より大きいか否かを検査する。このチャレンジに基づいて、受信されたレスポンスが検査される。チャレンジおよびレスポンスの検査が成功したら、該チャレンジで伝送された制御コマンドが実行される。

Description

本発明は、非対称暗号方式を用いて信号の単方向伝送を保護して行うための方法、送信器および受信器に関する。

信号の単方向伝送はたとえば、制御コマンドを送信するための遠隔操作にて使用される。というのも、このような場合には通常、応答メッセージは不要であるからだ。たとえばこのような遠隔操作には、車のロックおよびロック解除を行うための無線キー、無線ガレージドア開扉装置、または家庭用電気機器分野における遠隔操作がある。さらに、たとえば無線センサの状態情報、たとえば温度情報または振動情報等は、単方向伝送される。このような単方向伝送は省エネルギーである。というのも、単独のメッセージが送信されるだけであり、予め接続を確立しなくてもよいからである。さらに、通常は受信部を設ける必要がないので、相応のシステムの製造が低コストになる。

しかし単方向伝送の場合でも、大抵の用途では、信号の伝送を保護して改ざん防止する必要がある。単方向伝送の保護に関しては、いわゆるキーロック（Keeloq）プロトコルが公知である。このプロトコルでは、送信される信号を暗号化するために対称鍵を使用する。対称暗号化方式では、送信器が鍵を使用してメッセージを暗号化し、受信器が鍵を使用してこの暗号化されたメッセージを復号化できるようにするためには、送信器と受信器とが同じ鍵を有さなければならない。それゆえ、受信器側が新規の送信器を把握するためには、適切な手法で、送信器と受信器との間で特定の対称鍵を取り決めなければならない。実際には、受信器側において製造者によりシステムの対称鍵が記憶される手法が使用される。このような手法では、受信器が、たとえばシリアルナンバー等である送信器固有の情報に基づいて、送信器固有の鍵を計算することができる。こうするためには、送信器は学習段階において、たとえば該送信器のシリアルナンバーを受信器へ伝送し、該受信器はこれに応答して、システム鍵を使用して該送信器固有の鍵を求める。送信器側では、送信器固有の鍵がすでに製造者によって記憶されているので、上述の学習段階が終了した後は、送信器と受信器とは、メッセージを暗号化ないしは復号化するための同じ鍵を有することとなる。

しかし、このような手法において問題となるのは、各受信器にシステム鍵が記憶されていることである。受信器側にのみ存在する攻撃者が、このシステム鍵を読み出し、これを把握することにより、任意の送信器の鍵を複製することができる。

別の手法では、送信器と受信器との間で対称鍵を取り決めるために、学習段階において送信器鍵を暗号化せずに伝送する。しかしこの手法でも、攻撃者が学習段階を改ざんして送信器鍵を傍受する危険性がある。

この手法を除いて、いずれの手法においても、ユーザによって開始される学習段階を実施しなければならない。このことはユーザにとって手間の増加に繋がるので、さらに上述の学習段階が必要とされることにより、上述の両手法は誤りに対してより脆弱となり、かつユーザフレンドリーでなくなる。

A. Menezes，P. van Oorschot，S. Vanstone による刊行物"Handbook of Applied Cryptography"，CRC Press，１９９７年、第３８５〜４３５頁と、J. Clark，J. Jacob による刊行物"A Survey of Authentication Protocol Literature: Version 1.0"、１９９７年１１月１７日とに、送信器と受信器との間の単方向の認証について開示されている。この認証では、タイムスタンプと受信器識別子とデジタル署名とが伝送される。このデジタル署名は、タイムスタンプと受信器識別子とを使用して形成されるものである。前記受信器は、タイムスタンプの正否を検査し、かつ、送信器の公開鍵を使用して署名の正否を検査することができる。

ＵＳ７２７８５８２Ｂ１に、チップカードの形態のハードウェアセキュリティモジュールが開示されている。

本発明の基礎となる課題は、従来公知の手法よりも高セキュリティでありかつユーザフレンドリーである単方向信号伝送方法を提供することである。

前記課題は、請求項１に記載の方法と、請求項９に記載の構成を有する送信器と、請求項１１に記載の構成を有する受信器とによって解決される。本発明の有利な実施形態は従属請求項に記載されている。

単方向通信接続による本発明の信号伝送方法は、非対称暗号化方式をベースとしている。この信号伝送方法では、送信器によって送信過程時にカウンタ値が増分される。次に、前記送信器により、前記カウンタ値と受信器によって実行可能な制御コマンドとに基づいてチャレンジが求められ、この求められたチャレンジに基づいてレスポンスが求められる。このチャレンジおよびレスポンスは、送信器から受信器へ伝送される。本発明では送信器によって、チャレンジと、該チャレンジに対応するレスポンスとの双方が求められる。このようにして、通常は双方向通信接続のために構築される非対称暗号化手法を使用することができる。このカウンタはたとえば、１６ビットカウンタ、３２ビットカウンタまたは６４ビットカウンタである。前記レスポンスは、たとえばＲＳＡ，ＥＣＣ‐ＤＳＡ等であるＥＣＣ（Elliptic Curve Cryptography）、または、非対称的なプライベート鍵を使用するディフィ・ヘルマン等である非対称暗号化手法を使用して求められる。カウンタ値の増分とはとりわけ、値を１増分することを指すが、たとえばカウントダウンを行う別の計算システム（すなわち、カウンタ値を値１だけ低減させる）をベースとすることもできる。このことに相応して、増分の値を変更したり（たとえば＋２，＋５，＋７）、または減分の値を変更したり（たとえば−２，−５，−７）することもできる。また、次のカウンタ値を決定するために、たとえば或る値（たとえば２，３，５，７）との乗算等である別の算術演算を行うこともできる。別の実施形態では、前記カウンタ値として乱数が使用され、カウンタの増分時には新たな乱数が計算される（たとえば擬似乱数列発生器によって）。

本発明の一実施形態では、伝送誤りが発生しても制御コマンドが確実に伝送されるように、前記チャレンジを含むメッセージを複数回伝送する。その際には、１メッセージごとにカウンタ値を増分させるか、または、繰り返し伝送する際には、その度にカウンタ値が変化しないように維持することができる。受信器は、この同じカウンタ値を有するメッセージを特定の頻度で受信している間、この同じカウンタ値を受け入れる。一実施形態では、受信器はカウンタ基準値を記憶する。受信器はメッセージを受信すると、このメッセージの受信時に使用されたカウンタ値が、記憶されているカウンタ基準値より増分しているか否かを検査する。カウンタ値が１回増分している場合、または択一的に複数回増分している場合だけ、メッセージに符号化された制御コマンドが実行される。その際には、カウンタ基準値を、メッセージにて使用されたカウンタ値にセットする。このカウンタ値を有する制御メッセージが特定の期間にわたって受信されない場合、このカウンタ値は無効になる。さらに、このカウンタ値で同じ制御コマンドが伝送されたか否かを、受信器によって検査することもできる。その際には、カウンタ値が同じである場合、メッセージに符号化された制御コマンドは有利には１回だけ実行される。

本発明の別の実施形態では、受信器は初期化のために、送信器の識別情報を記憶する。この識別情報は少なくとも、受信器のシリアルナンバーを含む。送信器の識別情報は、たとえばシリアルインタフェース等である管理用インタフェースを介して伝送することができる。有利には受信器は、受信した識別情報を用いて、送信器の公開鍵を求めることができる。受信器はこの公開鍵に基づいて、送信器から受信したレスポンスを確実に検証することができる。したがって、受信器は有利には、送信器のメッセージを確実に検査するために、秘密鍵の素材を必要としない。またこのことにより、攻撃者が送信器の識別情報または公開鍵を特定しても、送信器のメッセージを複製することができなくなる。送信器のメッセージを複製するためには、送信器の公開鍵に対応する、該送信器のプライベート鍵が必要であるからだ。

本発明の別の実施形態では、送信器は、求めたレスポンスに基づいてインテグリティ鍵を導出し、チャレンジのインテグリティを保護するために、該チャレンジから、該インテグリティ鍵を用いて暗号チェックサムを求める。このことは、単方向伝送時にチャレンジのインテグリティも保証されるという有利な効果を奏する。前記暗号チェックサムは、チャレンジの全部または一部を用いて計算することができる。

上述のように保護および伝送された信号を検査するための本発明の方法では、伝送されたチャレンジと、これに対応するレスポンスとを、受信器が受信する。受信されたチャレンジにおいて使用されたカウンタ値が、その前に送信器から伝送されて記憶されたカウンタ値より大きいか否かを検査する。このチャレンジに基づいて、受信されたレスポンスが検査される。チャレンジおよびレスポンスの検査が成功したら、該チャレンジで伝送された制御コマンドが実行される。

本発明の送信器は、単方向通信接続方式を使用して行われる信号の伝送を非対称暗号方式によって保護して実施する、本発明の方法を実施するための手段を有する。

一実施形態では送信器は、暗号演算を効率的および確実に実行するためのセキュリティモジュールを有する。前記セキュリティモジュールは、ソフトウェア技術による攻撃や物理的攻撃、またはサイドチャネル攻撃から保護するための手段を有する。

本発明の受信器は、非対称暗号方式によって保護されて単方向伝送された信号を検査するための方法を実施するのに適した手段を有する。

以下、本発明の本質をなす特徴を説明するにあたり、添付の図面を参照して、本発明の方法の有利な実施形態と、本発明の送信器および受信器の有利な実施形態とを説明する。

信号の単方向伝送を保護して行うための本発明の方法のフローチャートである。 信号の単方向伝送を保護して行う本発明の方法のセキュリティモジュールを用いた実施形態のフローチャートである。 信号の単方向伝送を保護して行うための本発明の方法の伝送されるチャレンジをさらにインテグリティ保護する、別の実施形態のフローチャートである。

図１に、信号の伝送を保護して行うための本発明の方法をフローチャートで示す。この信号伝送は、送信器１０１から受信器１０２へ一方向でのみ、すなわち単方向でのみ行われる。

前記送信器１０１は第１のステップ１０３においてチャレンジを求める。このチャレンジは、カウンタ値および制御コマンドを含む。各送信過程ごとにカウンタ値を増分させ、攻撃者が傍受したメッセージを送信するリプレイアタックを防止するためにこのカウンタ値を使用する。この制御コマンドは、たとえばテレビ受像機の遠隔操作の場合、機器をスイッチオンまたはスイッチオフするためのコマンド、または、音量を変化させるためのコマンド等である。無線センサの場合、前記制御コマンドはたとえば、温度または圧力等であるセンサ値である。

次のステップ１０４において、送信器のカウンタ値を増分させる。次に送信器１０１は、求めたチャレンジに基づいてレスポンス１０５を求める。次に、このようにして求められたチャレンジとレスポンスとを送信器１０１から受信器１０２へ伝送する１０６。

ここで、受信器１０２は最初のステップ１０７において、受け取ったレスポンスが、受け取ったチャレンジに対応するか否かを検査する。次のステップにおいて送信器１０２は、受け取ったチャレンジが有効であるか否かを検査する１０８。この検査時にはたとえば、チャレンジに含まれる送信器のカウンタ値が、該送信器によって受け取られたカウンタ値より大きいか否かを検査する。レスポンスの検査およびチャレンジの検査の双方が成功した場合、受信器１０２に記憶されている、送信器１０１の基準情報が適合される１０９。こうするためにはたとえば、当該送信器に対して記憶されたカウンタ値を増分させる。最後に、チャレンジに含まれる制御コマンドを実行する１１０。

しかし、レスポンスの検査またはチャレンジの検査が失敗した場合、当該送信器の基準情報は適合されず、これに対応する制御コマンドは実行されない。

もちろん、当業者の知識に基づいて、図中のステップを別の順序で実施したり、または、該ステップのうち少なくとも一部を並行して実施することができる。

非対称暗号化方法による保護は、プライベート鍵と公開鍵とを使用することに基づいている。非対称暗号化方法では、プライベート秘密鍵は検査対象のみが有するのに対し、公開鍵は原則的に、すべての人が入手することができる。すなわち、ここで説明する方法の保護は、プライベート鍵を知っているだけで、チャレンジからレスポンスを特定することが可能であることに基づいている。しかし、プライベート鍵を把握しているのは送信側だけである。それに対して公開鍵では、レスポンスがチャレンジに対応しているか否か、ひいては送信側がプライベート鍵を知っていたか否かを検査することだけはできるが、公開鍵では、チャレンジに基づいて、該チャレンジに対応するレスポンスを特定することができないので、受信側が有する公開鍵を攻撃者が特定した場合でも、全く問題がない。

本発明の別の実施形態では、伝送誤りが発生しても受信器が制御コマンドを確実に識別できるように、前記チャレンジを含むメッセージを複数回伝送する。その際には、１メッセージごとにカウンタ値を増分させるか、または、メッセージの送信を繰り返し行っても、カウンタ値を変化させない。

カウンタ値が変化していない同一のメッセージが繰り返し送信される場合には、受信器は、同じカウンタ値を有するメッセージを所定の設定可能な回数で受信する限り、この変化していないカウンタ値を受け入れる。このカウンタ値を有する制御メッセージが、設定可能な期間にわたって受信されない場合、このカウンタ値は無効になる。さらに、このカウンタ値で同じ制御コマンドが伝送されたか否かを検査することもできる。

受信器が送信器について把握するためには、学習段階において、送信器の識別情報を受信器へ伝送する。送信器の識別情報はたとえば、シリアルナンバー、公開鍵を含むデジタル証明書、または、公開鍵自体である。

学習時には、管理用インタフェースを介して、たとえばシリアルインタフェースを有するパーソナルコンピュータを介して、送信器の識別情報を入力することができる。自動的な学習手法では、受信器は学習モードに移行され、この期間中に、制御コマンドを伝送する送信器の識別情報を記憶する。学習モードを開始するためにはたとえば、受信器に設けられた専用のキーまたは機械的な鍵スイッチが使用される。

送信器の識別情報は受信器によって直ちに記憶されるか、または、たとえばデジタル証明書の有効性検査を行った後に初めて記憶される。

図２に、セキュリティモジュールを使用して信号の伝送を保護して行うための本発明の方法をフローチャートで示す。この信号伝送は、送信器２０１から受信器２０２へ一方向でのみ、すなわち単方向でのみ行われる。

説明を繰り返すのを避けるため、以下、図２の同じステップについては、これに対応する図１の記載内容を参照されたい。図２において図１と同じステップには、目印のために、図１と同一の符号を付している。

図１に示された方法との相違点として、図２に示された方法では、送信器においてレスポンスを求めるためにセキュリティモジュール２０３を使用する。このセキュリティモジュール２０３は、暗号演算を効率的かつ高セキュリティで実施するように構成されており、ソフトウェア技術による攻撃および物理的攻撃またはサイドチャネル攻撃の双方から保護するための手段を有する。

こうするためには、カウンタ値１０４を増分させ、その後に、求められたチャレンジをセキュリティモジュール２０３へ供給する。次に送信器２０１のセキュリティモジュール２０３は、求めたチャレンジに基づいてレスポンス２０５を求める。このようにして求められたレスポンスは、セキュリティモジュール２０３によって送信器に供給される２０６。最後に、このようにして求められたチャレンジとレスポンスとを送信器２０１から受信器２０２へ伝送する１０６。本方法のその後の残りの流れは、図１にて開示されている方法の流れに相当する。また、適切なカウンタ値でセキュリティモジュールを初期設定し、セキュリティモジュールにおいて直接、増分を行うことも可能である。このことの利点は、カウンタ値を改ざんすることができなくなることである。

図３に、伝送されるチャレンジのインテグリティ保護がさらに行われる、信号の伝送を保護して行うための本発明の方法をフローチャートで示す。この信号伝送は、送信器３０１から受信器３０２へ一方向でのみ、すなわち単方向でのみ行われる。

説明を繰り返すのを避けるため、以下、図３の同じステップについては、これに対応する図１の記載内容を参照されたい。図３において図１と同じステップには、目印のために、図１と同一の符号を付している。本発明の方法のこの実施形態では、レスポンス値を使用してチャレンジを保護して伝送する。こうするためには、レスポンス値から対称鍵を導出するか、またはレスポンス値をそのまま直接、対称鍵として使用する３０３。この対称鍵の導出は、たとえばハッシュ関数によって行うことができる。この求められた対称鍵を使用して、カウンタ値および制御コマンドを含む暗号チェックサムを計算する３０４。ハッシュ関数の例として、ＭＤ６，ＳＨＡ‐１，ＳＨＡ‐２５６がある。たとえばＨＭＡＣ‐ＭＤ５関数，ＨＭＡＣ‐ＳＨＡ１関数，ＨＭＡＣ２５６関数またはＡＥＳ‐ＣＢＣ‐ＭＡＣ関数を用いて、前記チェックサムを計算することができる。

このチャレンジおよびチェックサムは、送信器によって受信器へ伝送される３０５。受信器はチェックサムとともにチャレンジを記憶し、対応するレスポンス有効受信期間の時間を求める３０６。送信器３０１は時間測定を開始し３０７、前記有効時間内に前記レスポンスを受信器へ送信する３０８。したがってこの実施例では、セキュリティを向上させるために、まずはチャレンジとチェックサムとを送信し、それから遅れて後の時点で初めてレスポンスを送信する。

ここで、受信器３０２は最初のステップ３０９において、受け取ったレスポンスが有効であるか否かを検査する。この検査時にはたとえば、チャレンジに含まれる送信器のカウンタ値が、その前に該送信器によって受け取られたカウンタ値より大きいか否かを検査する。さらに、受信器３０２の方では、受け取ったレスポンスに基づいて対称鍵を求める。その後、受信器は前記対称鍵に基づいて、受け取ったチャレンジが、受け取ったチェックサムに対応するか否かを検査する。

その後に受信器は、受け取ったレスポンスがチャレンジに対応するか否かを検査する３１０。最後に、受信器はさらに、前記レスポンスを前記有効期間中に受信したか否かも検査する。この方法のその後の残りの流れもまた、図１にて開示されている方法の流れに相当する。

もちろん、当業者の知識に基づいて、図中の方法のステップを別の順序で実施したり、または、該ステップのうち少なくとも一部を並行して実施することができる。

ここで開示した本発明の適用例は、たとえば医療機器用のブルートゥースフットスイッチ、ガレージ開扉装置、建物エントランスまたは車両乗入口用の無線キー、屋内配電網の制御部（たとえばブラインドスイッチまたは照明スイッチ等）である。

Claims (11)

1. 単方向通信接続による信号の伝送を非対称暗号方式によって保護して行う方法であって、
   送信器（１０１，２０１，３０１）が、
   ・送信過程時にカウンタ値を増分させるステップと、
   ・前記カウンタ値と、受信器によって実行可能な制御コマンドとに基づいて、チャレンジ（Ｃ）を求めるステップと、
   ・求められた前記チャレンジ（Ｃ）に基づいてレスポンス（Ｒ）を求めるステップと、
   ・前記チャレンジ（Ｃ）と前記レスポンス（Ｒ）とを前記受信器（１０２，２０２，３０２）へ伝送するステップと
   を行うことを特徴とする、方法。
2. 伝送誤りを検出するために前記チャレンジ（Ｃ）を繰り返し伝送する、
   請求項１記載の方法。
3. 前記伝送を繰り返し行っている間、前記チャレンジ（Ｃ）を送信する毎に前記カウンタ値を増分させる、
   請求項２記載の方法。
4. 前記伝送を繰り返し行っている間、前記カウンタ値を変更しないままにする、
   請求項２記載の方法。
5. 受信器（１０２，２０２，３０２）は初期設定のために送信器（１０１，２０１，３０１）の識別情報を記憶し、
   前記識別情報は少なくとも、前記送信器（１０１，２０１，３０１）のシリアルナンバーを含む、
   請求項１記載の方法。
6. 前記識別情報は、前記送信器（１０１，２０１，３０１）のデジタル証明書または公開鍵を含む、
   請求項５記載の方法。
7. 求められた前記レスポンス（Ｒ）に基づいてインテグリティ鍵を導出し、
   前記チャレンジ（Ｃ）のインテグリティを保護するために、前記インテグリティ鍵を使用して、該チャレンジ（Ｃ）を用いて暗号チェックサム（ＭＡＣ）を求める、
   請求項１記載の方法。
8. 請求項１から７までのいずれか１項記載の方法により伝送された信号を検査する方法であって、
   受信器（１０２，２０２，３０２）が、
   ・送信器（１０１，２０１，３０１）によって伝送されたチャレンジ（Ｃ）と、対応するレスポンス（Ｒ）とを受信するステップと、
   ・受信した前記チャレンジ（Ｃ）を検査して、送信した送信器（１０１，２０１，３０１）によってすでに記憶されたカウンタ値より、該チャレンジ（Ｃ）にて使用されたカウンタ値が大きいか否かを判別するステップと、
   ・検査された前記チャレンジ（Ｃ）に基づき、受信された前記レスポンス（Ｒ）を検査するステップと、
   ・前記チャレンジ（Ｃ）および前記レスポンス（Ｒ）の検査が成功した後に、該チャレンジ（Ｃ）にて使用されている制御コマンドを実行するステップと
   を行うことを特徴とする、方法。
9. 請求項１から７までのいずれか１項記載の方法を実施するために適した手段を有する、送信器。
10. 前記送信器（１０１，２０１，３０１）に、暗号演算を高効率および高セキュリティで実行するためのセキュリティモジュール（２０３）が設けられており、
    前記セキュリティモジュール（１０１，２０１，３０１）は、ソフトウェア技術による攻撃および物理的攻撃に対して、またはサイドチャネル攻撃に対して保護を行うための手段を有する、
    請求項９記載の送信器。
11. 請求項８記載の方法を実施するために適した手段を有する、受信器。

Images