JP2014153743A - 乱数生成システム、乱数生成方法及び制御装置 - Google Patents

Abstract

【課題】組み込み機器において、乱数生成器を用いるような追加のコストを生ずることなく、第三者に推測されにくい乱数を生成することのできる乱数生成システムを提供することを目的とする。
【解決手段】受信した情報に秘密鍵を用いた処理を実行する認証装置を有する乱数生成システムであって、擬似乱数を生成する第一の生成部と、前記擬似乱数を前記認証装置に送信する送信部と、前記認証装置から前記処理により生成されたデータを受信する受信部と、前記データを用いて乱数を生成する第二の生成部と、を有する、乱数生成システムを提供する。
【選択図】図２

Description

本発明は、乱数生成システム、乱数生成方法及び制御装置に関する。

近年、セキュリティ意識の高まりから、装置の内部で、暗号鍵を生成するための乱数を生成する必要が生じている。一般的に、乱数は、例えば、外部温度などをセンシングし、デジタル化することで生成される真性乱数と、コンピュータのメモリ内で、確定的な計算によって生成される擬似乱数の、二つに分類される。

一般的に、真性乱数は、専用のハードウェア（乱数生成器）を用いて生成される。一方で、擬似乱数は、コンピュータ内に格納された種（シード）を用いて、乱数の値を生成する。擬似乱数は、同一の種からは同一パターンの擬似乱数が生成される、という特徴を有する。従来、真性乱数及び擬似乱数を生成するための様々な方法が存在する（特許文献１、２）。

特表２００５−５２９３６４号公報 特開２００５−００３７４５号公報

装置の内部で、安全に、暗号鍵を生成するためには、乱数の生成手順が、第三者に知られないことが重要である。そこで、乱数生成器を用いることにより、第三者に予測不可能な真性乱数を生成することができる。しかしながら、コスト削減要求の強い装置において、専用の乱数生成器を設けることは、現実的ではない。一方で、擬似乱数を用いる場合には、ソフトウェアの解析により、乱数の生成手順が第三者に知られてしまうおそれがあった。

本発明は、このような問題に鑑みてなされたものであり、乱数生成器を用いるような追加のコストを生ずることなく、第三者に推測されにくい乱数を生成することのできる乱数生成システムを提供することを目的とする。

上述した課題を解決し目的を達成するため、本発明の一実施形態における乱数生成システムは、
受信した情報に秘密鍵を用いた処理を実行する認証装置を有する乱数生成システムであって、
擬似乱数を生成する第一の生成部と、
前記擬似乱数を前記認証装置に送信する送信部と、
前記認証装置から前記処理により生成されたデータを受信する受信部と、
前記データを用いて乱数を生成する第二の生成部と、
を有する。

また、本発明の一実施形態における乱数生成方法は、
受信した情報に秘密鍵を用いた処理を実行する認証装置を用いて乱数を生成する乱数生成方法であって、
擬似乱数を生成する第一の生成段階と、
前記擬似乱数を前記認証装置に送信する送信段階と、
前記認証装置から前記処理が実行されたデータを受信する受信段階と、
前記データを用いて乱数を生成する第二の生成段階と、
を有する。

また、本発明の一実施形態における制御装置は、
受信した情報に秘密鍵を用いた処理を実行する認証装置と通信する制御装置であって、
擬似乱数を生成する第一の生成部と、
前記擬似乱数を前記認証装置に送信する送信部と、
前記認証装置から前記処理が実行されたデータを受信する受信部と、
前記データを用いて乱数を生成する第二の生成部と、
を有する。

本発明によれば、乱数生成器を用いるような追加のコストを生ずることなく、第三者に推測されにくい乱数を生成することのできる乱数生成システムを提供できる。

本発明の一実施形態における乱数生成システムの構成例を表す図。 本発明の一実施形態における乱数生成システムの機能ブロック図。 本発明の一実施形態における制御装置の処理内容を表すフローチャート。 本発明の一実施形態における制御装置の処理内容を表すフローチャート。 本発明の一実施形態における乱数生成システムの動作を表すシーケンス図。 本発明の一実施形態における乱数生成システムの機能ブロック図。 認証装置を用いた認証手続き（従来技術）を説明する図。 認証装置及びコンパニオンデバイスを用いた認証手続き（従来技術）を説明する図。

以下、本発明の実施形態を図面に基づいて説明する。

１．概要
２．ハードウェア構成
３．機能構成
４．動作例
５．変形例

≪ １． 概要 ≫
始めに、図１に示される、本発明の一実施形態における乱数生成システム１の概要を説明する。乱数生成システム１は、ＣＰＵ１１を有する制御装置１０と、セキュリティチップ２１を有する認証装置２０とを有するシステムである。乱数生成システム１は、例えば、コスト削減要求の強い、組み込み機器である（但し、これに限られない）。認証装置２０は、一般に、システムに組み込まれた他の周辺装置や部品等が、模倣品でないかどうかを検証するために用いられる。

ここで、認証装置２０を用いた、従来の認証方法を説明する。従来の認証方法では、認証装置２０を用いて、図７、図８に示されるような手順により、認証を行う。例えば、図７の例では、認証装置は、固有の演算手段と、公開鍵暗号方式に用いられる秘密鍵と、認証に用いる乱数生成手段とを内部的に有する。認証装置２０は、対タンパ性を有し、演算手段、秘密鍵、及び乱数生成手段は、外部から読み取ることが困難である。

図７の制御装置は、自ら生成した擬似乱数を、チャレンジデータとして、認証装置２０に送信する。認証装置２０は、チャレンジデータと、秘密鍵（及び、認証装置が生成した乱数）とから、レスポンスデータを生成し、制御装置に送信する。制御装置は、チャレンジデータと、予め取得していた、認証装置２０の秘密鍵に対応する公開鍵を使って、レスポンスデータを検証する。そして、制御装置は、「秘密鍵」及び「公開鍵」が正しい対であることがわかると、認証が正しく行われたと判断する。

このような従来の認証方法をシステムに実装し、認証の成否によって、システムを構成するプログラムの実行可否を決定することにより、正規の認証デバイスがない環境（模造品等）において、システムを動作させないようにすることができる。

また、図示しないが、従来より存在する、公開鍵暗号を用いない認証装置の例として、ハッシュ関数を用いるものがある。このような認証装置は、内部に格納された秘密鍵を用いて、制御装置側から入力されたチャレンジデータに、ハッシュ処理を施す。そして、認証装置は、ハッシュ処理されたチャレンジデータを、レスポンスデータとして、制御装置に送信する。

ハッシュを用いる従来の認証装置の発展形として、図８に示すように、コンパニオンデバイスを用いるものがある。図８の例では、制御装置が、チャレンジデータを、認証装置２０及びコンパニオンデバイスの両方に送信する。そして、制御装置は、ハッシュ処理された、それぞれのレスポンスデータを受け取り、両者を比較することで、検証を行うことができる。正しい認証デバイスとコンパニオンデバイスが存在する場合にのみ、レスポンスデータが一致する。

本発明の一実施形態における乱数生成システム１は、上記のような認証方法により生成されたレスポンスデータを、乱数として利用する。すなわち、制御装置１０は、生成した一以上の擬似乱数を、認証装置２０に秘密鍵を用いて処理させ、一以上のレスポンスデータを取得する。制御装置１０は、一以上のレスポンスデータに、所定の処理（例えば、後述する、連結処理及びハッシュ処理）を施すことにより、所定の長さの乱数を生成する。レスポンスデータは、耐タンパ性を有する認証装置２０の秘密鍵によって生成されるため、第三者からは予測が困難である。また、複数のレスポンスデータを用いることにより、第三者は、解析がより困難となる。さらに、詳しくは後述するが、ダミーのチャレンジデータ及びレスポンスデータを送受信することにより、制御装置１０と認証装置２０との通信内容の外部からの観測による、解析も困難とする。

≪ ２． ハードウェア構成 ≫
引き続き、図１を用いて、本発明の一実施形態における乱数生成システム１のハードウェア構成の詳細を説明する。図１で例示される乱数生成システム１は、制御装置１０と、認証装置２０と、周辺装置３０とを有する。

制御装置１０は、ＣＰＵ１１及びメモリ１２を有し、乱数生成システム１の動作を制御する。図１では、例として、ＣＰＵ１１及びメモリ１２が、別個に設けられている。しかしながら、例えば、メモリ１２は、ＣＰＵ１１に組み込まれて提供されても良いし、後述する周辺装置３０として、外部で提供されても良い。

認証装置２０は、秘密鍵等を格納する、セキュリティチップ２１を有する。認証装置２０は、制御装置１０から送信されたチャレンジデータに対して、秘密鍵を用いた処理を施し、レスポンスデータを返送する。認証装置２０は、上述したように、対タンパ性を備え、第三者からの物理的又は論理的なデータの読出しが困難な構造を有している。

周辺装置３０は、例えば、メモリ、グラフィックスボード又はネットワークカードのような周辺機器である。周辺装置３０は、乱数生成システム１の利用目的に応じて構成される、任意の要素である。

上記構成により、本発明の一実施形態における乱数生成システム１は、認証装置２０の提供する認証機能を利用して、第三者に推測されにくい乱数を生成することができる。

≪ ３． 機能構成 ≫
次に、図２を用いて、本発明の一実施形態における乱数生成システム１の機能ブロックを説明する。図２には、乱数生成システム１が備える様々な要素のうち、本実施形態の説明に特に関連する要素が示されている。図２における乱数生成システム１の制御装置１０は、種記憶部１０１と、擬似乱数初期化部１０２と、擬似乱数生成部１０３と、乱数生成部１０４とを有する。また、乱数生成システム１の認証装置２０は、演算部２０１と、秘密鍵記憶部２０２とを有する。

種記憶部１０１は、擬似乱数を生成するための種（シード）を格納する。

擬似乱数初期化部１０２は、種記憶部１０１に記憶された種を、後述する、擬似乱数生成部１０３に渡す。

擬似乱数生成部１０３は、擬似乱数初期化部１０２から受け取った種を用いて、擬似乱数を生成する。擬似乱数は、メルセンヌ・ツイスタや、カオスを用いる方法等のように、既知のアルゴリズムを用いて生成される。擬似乱数生成部１０３は、生成した擬似乱数を、乱数生成部１０４に渡す。

ここで、擬似乱数生成部１０３は、複数の擬似乱数を生成し、その擬似乱数を、乱数生成部１０４に渡してもよい。擬似乱数生成部１０３は、生成された擬似乱数を、種として用いることにより、新たな擬似乱数を生成することができる。

乱数生成部１０４は、チャレンジ送信部１０５と、レスポンス受信部１０６と、連結部１０７と、ハッシュ処理部１０８とを有する。

チャレンジ送信部１０５は、擬似乱数生成部１０３が生成した擬似乱数を、チャレンジデータとして、認証装置２０の演算部２０１に送信する。チャレンジ送信部１０５は、例えば、複数のチャレンジデータを、複数のタスク、スレッド又はプロセス（以下、タスクとする）により、並列に送信するよう構成されてもよい。

レスポンス受信部１０６は、認証装置２０の演算部２０１から、チャレンジデータに対応するレスポンスデータを受信する。レスポンス受信部１０６は、チャレンジ送信部１０５と同様に、複数のタスクにより、レスポンスデータを並列に受信するよう構成されてもよい。

連結部１０７は、設定により予め定められた数のレスポンスデータを、連結する。連結部１０７は、例えば、以下の三つのレスポンスデータを受け取ったものとする。
−第一のレスポンスデータ：００００００００
−第二のレスポンスデータ：１１１１１１１１
−第三のレスポンスデータ：００００１１１１
このとき、連結部１０７は、上記の三つのレスポンスデータを、以下のように連結する。
−連結されたレスポンスデータ：００００００００１１１１１１１１００００１１１１
ここでは、連結部１０７は、レスポンスデータを末尾に順に付加する方法により、連結処理を行う。連結部１０７は、任意のポリシに従って、連結処理を行うことができる。

ここで、連結部１０７は、レスポンス受信部１０６が受信したレスポンスデータの全てを連結しなくてもよい。例えば、連結部１０７は、特定のタスクで受信されたレスポンスデータのみを用いて、連結処理を行ってもよい。このとき、連結処理されなかったレスポンスデータは、乱数の生成には用いられないこととなる。これらのレスポンスデータ（及び対応するチャレンジデータ）は、ダミーのデータとして作用し、制御装置１０と認証装置２０との間の通信路の解析を試みた第三者が、乱数の生成に用いられるデータを特定することを困難にする。

また、連結部１０７は、一定の確率で取捨選択したレスポンスデータのみを用いて、連結処理を行ってもよい。連結部１０７は、任意のポリシに従って、レスポンスデータを取捨選択することができる。

ハッシュ処理部１０８は、レスポンス受信部１０６が受信したレスポンスデータ、又は、連結部１０７が連結したレスポンスデータに、ハッシュ処理を施す。ハッシュ処理部１０８は、例えば、ＭＤ５（Message Digest Algorithm 5）やＳＨＡ−１（Secure Hash Algorithm 1）のような、既知のアルゴリズムを用いて、ハッシュ処理を実行することができる。

乱数生成部１０４は、レスポンス受信部１０６が受信したレスポンスデータ、連結部１０７が連結したレスポンスデータ、又は、ハッシュ処理部１０８がハッシュを施したデータを、乱数として出力する。特に、連結部１０７が連結したレスポンスデータを乱数として出力することで、第三者に推測されにくい乱数を生成することができる。さらに、任意に連結されたレスポンスデータに対してハッシュ処理が施されたデータを乱数と出力することで、より予測が困難な乱数を生成することができる。

演算部２０１は、制御装置１０のチャレンジ送信部１０５から受信したチャレンジデータを、秘密鍵を用いて暗号化又はハッシュ処理する。そして、演算部２０１は、暗号化されたデータを、レスポンスデータとして、レスポンス受信部１０６に返送する。演算部２０１は、例えば、ＲＳＡ暗号方式を用いることができる。

秘密鍵記憶部２０２は、演算部２０１の演算処理に対応した秘密鍵を記憶する。

以上のように、本発明の一実施形態における乱数生成システム１は、既存の認証装置２０を利用することにより、新たなハードウェアの乱数生成器を設けることなく、予測困難な乱数を生成することができる。

≪ ４． 動作例 ≫
次に、図３を用いて、乱数生成システム１の制御装置１０の処理フローを説明する。図３のフローチャートは、複数のタスクを用いて並列に取得した、所定の数のレスポンスデータを用いて、乱数を生成する処理のステップを表す。

ステップＳ１０１において、乱数生成部１０４は、上述した、ダミーのデータを送受信するタスクを生成する。ダミーのデータを送受信するタスクの処理フローは、後に図４を用いて説明する。以下のステップＳ１０２−Ｓ１０４の説明は、乱数生成に用いられるチャレンジデータ及びレスポンスデータに関するものである。

ステップＳ１０２において、擬似乱数生成部１０３は、擬似乱数を生成する。

ステップＳ１０３において、チャレンジ送信部１０５は、ステップＳ１０２で生成した擬似乱数を、チャレンジデータとして、認証装置２０の演算部２０１に送信する。

ステップＳ１０４において、レスポンス受信部１０６は、ステップＳ１０３で送信したチャレンジデータに対応する、レスポンスデータを、認証装置２０の演算部２０１から受信する。

ステップＳ１０５において、設定により、予め定められた数のレスポンスデータを受信している場合には、ステップＳ１０６に進み、そうでない場合には、ステップＳ１０２に戻る。

ステップＳ１０６において、連結部１０７は、ステップＳ１０４で受信した、予め定められた数のレスポンスデータを連結する。

ステップＳ１０７において、ハッシュ処理部１０８は、ステップＳ１０６で連結されたレスポンスデータにハッシュ処理を施す。

ステップＳ１０８において、乱数生成部１０４は、ダミーのデータを送受信するタスクを終了させる。

次に、図４を用いて、ダミーのデータを送受信するタスクの処理フローを説明する。当該タスクによる処理は、乱数生成部１０４の機能の一部として実行され得る。

ステップＳ２０１において、チャレンジ送信部１０５は、擬似乱数生成部１０３の生成した擬似乱数を、チャレンジデータとして、認証装置２０の演算部２０１に送信する。ここで、擬似乱数は、図３のステップＳ１０２で生成された擬似乱数とは異なる擬似乱数を用いることが望ましい。

ステップＳ２０２において、レスポンス受信部１０６は、ステップＳ２０１で送信したチャレンジデータに対応する、レスポンスデータを、認証装置２０の演算部２０１から受信する。

ステップＳ２０３において、当該タスクは、タスクの終了指示を受け取ると、処理を終了し、そうでない場合には、ステップＳ２０１に戻る。

図５は、乱数生成部１０４により生成された複数のタスクが、（ダミーのデータを含む）チャレンジデータ及びレスポンスデータを送受信する動作を表すシーケンス図である。図５において、「タスク１」は、乱数生成に用いるチャレンジデータ及びレスポンスデータを送受信する処理を行う。また、「タスク２」−「タスクＮ」は、ダミーのデータを送受信するタスクであり、「タスク１」の処理又は他の親となるタスクによって生成されたものとする。

ステップＳ３０１は、図３のステップＳ１０３に対応し、「タスク１」のチャレンジ送信部１０５が、チャレンジデータを送信する処理を表す。

ステップＳ３０２、Ｓ３０３は、図４のステップＳ２０１に対応し、「タスク２」、「タスク３」のチャレンジ送信部１０５が、ダミーのチャレンジデータを送信する処理を表す。

ステップＳ３０４は、図４のステップＳ２０２に対応し、「タスク２」のチャレンジ受信部１０６が、ダミーのレスポンスデータを受信する処理を表す。

ステップＳ３０５は、図３のステップＳ１０４に対応し、「タスク１」のチャレンジ受信部１０６が、チャレンジデータを受信する処理を表す。

ステップＳ３０６は、図４のステップＳ２０１に対応し、「タスクＮ」のチャレンジ送信部１０５が、ダミーのチャレンジデータを送信する処理を表す。

ステップＳ３０７、Ｓ３０８は、図４のステップＳ２０２に対応し、「タスク３」、「タスクＮ」のチャレンジ受信部１０６が、ダミーのレスポンスデータを受信する処理を表す。

このように、各タスクの動作順序は、タスクに設定された優先度が同じであれば、一般に、不定となる。乱数生成部１０４は、この性質を利用し、「タスク１」−「タスクＮ」の各タスクの動作順序が、（みかけ上）ランダムに実行されるようにする。これにより、第三者は、制御装置１０と認証装置２０との間の通信路を観察することにより、乱数の生成規則を推測することがより困難となる。

ステップＳ３１１−Ｓ３１８においても、ステップＳ３０１−Ｓ３０８と同様に、チャレンジデータの送信及びレスポンスデータの受信が、非同期に、各タスクによって実行される。図より、ステップＳ３１１−Ｓ３１８における各タスクの動作順序は、ステップＳ３０１−Ｓ３０８における動作順序と異なることがわかる。

以後、必要に応じて、ステップＳ３０１−Ｓ３０８又はステップＳ３１１−Ｓ３１８と同様の処理が繰り返し実行される（但し、タスクの実行順序は不定）。

以上の処理により、本発明の一実施形態における乱数生成システム１は、制御装置１０と認証装置２０との間の通信路を観察する第三者が、乱数の生成に用いたレスポンスデータを容易に特定できないようにする。

なお、図５は、「タスク１」が、ダミーのデータを生成する子タスクを生成し、かつ、乱数生成に用いるレスポンスデータを取得する、親タスクとなる例を示した。しかしながら、親タスクは、チャレンジデータ及びレスポンスデータを送受信しないように、構成されても良い。この場合には、例えば、親タスクが、特定の子タスクで生成されたレスポンスデータを取得し、連結処理又はハッシュ処理を用いて、乱数を生成してもよい。

≪ ５． 変形例 ≫
図６は、本発明の変形例における乱数生成システム１Ａの機能ブロック図を示す。図６の乱数生成システム１Ａでは、図２で示した乱数生成システム１と異なり、認証装置２０Ａに、乱数生成部２０３が追加されている。一方で、図６の制御装置１０Ａは、既に説明した制御装置１０と異なり、種記憶部１０１が削除されている。これは、後述するように、同一のチャレンジデータに対しても、異なるレスポンスデータが生成されることになり、記憶された種を用いる必要がなくなるためである。

制御装置１０Ａの乱数生成部２０３は、乱数（真性乱数又は擬似乱数）を生成することができる。認証装置２０Ａの演算部２０１は、秘密鍵による暗号化又はハッシュ処理において、この乱数を加味して、レスポンスデータを生成する。このような認証装置２０Ａを用いることにより、乱数生成部１０Ａのチャレンジ送信部１０５から、同一のチャレンジデータが送信された場合でも、異なるレスポンスデータが生成されることとなる。制御装置１０Ａは、このように取得したレスポンスデータを、一時的な鍵の生成等の用途に用いることができる。また、毎回異なるレスポンスデータが生成されることにより、乱数生成部１０４が生成する乱数の規則性を推測することがより困難になる。

１、１Ａ 乱数生成システム
１０、１０Ａ 制御装置
２０、２０Ａ 認証装置
３０ 周辺装置
１０１ 種記憶部
１０２ 擬似乱数初期化部
１０３ 擬似乱数生成部
１０４ 乱数生成部
１０５ チャレンジ送信部
１０６ レスポンス受信部
１０７ 連結部
１０８ ハッシュ処理部
２０１ 演算部
２０２ 秘密鍵記憶部

Claims (7)

1. 受信した情報に秘密鍵を用いた処理を実行する認証装置を有する乱数生成システムであって、
   擬似乱数を生成する第一の生成部と、
   前記擬似乱数を前記認証装置に送信する送信部と、
   前記認証装置から前記処理により生成されたデータを受信する受信部と、
   前記データを用いて乱数を生成する第二の生成部と、
   を有する、乱数生成システム。
2. 前記第二の生成部は、
   前記受信部が受信した複数の前記データを連結する連結部
   を含み、
   前記連結部により連結されたデータを乱数として生成する、
   請求項１に記載の乱数生成システム。
3. 前記第二の生成部は、
   ハッシュ処理を施すハッシュ処理部
   をさらに含み、
   前記連結部により連結された前記データに、前記ハッシュ処理を施したデータを乱数として生成する、
   請求項２に記載の乱数生成システム。
4. 前記第二の生成部は、前記受信部が受信した複数の前記データのうち、予め定められた数のデータを用いて乱数を生成する、
   請求項１ないし３の何れか一項に記載の乱数生成システム。
5. 複数の前記データは、複数のタスクにより、並列に受信される、
   請求項４に記載の乱数生成システム。
6. 受信した情報に秘密鍵を用いた処理を実行する認証装置を用いて乱数を生成する乱数生成方法であって、
   擬似乱数を生成する第一の生成段階と、
   前記擬似乱数を前記認証装置に送信する送信段階と、
   前記認証装置から前記処理が実行されたデータを受信する受信段階と、
   前記データを用いて乱数を生成する第二の生成段階と、
   を有する、乱数生成方法。
7. 受信した情報に秘密鍵を用いた処理を実行する認証装置と通信する制御装置であって、
   擬似乱数を生成する第一の生成部と、
   前記擬似乱数を前記認証装置に送信する送信部と、
   前記認証装置から前記処理が実行されたデータを受信する受信部と、
   前記データを用いて乱数を生成する第二の生成部と、
   を有する、制御装置。

Images