JP2018523444A - 多用途ロングストリング認証キー - Google Patents

Abstract

保護資源へのアクセスをクライアントデバイスに認証するために多用途ロングストリング認証キーを使用する認証システムが提示される。認証システムは、ロングストリング認証キーの共有知識に基づく。認証キーは、保護資源へのアクセスのためにデジタル署名を引き出すためのプラットフォームとして使用される。１つまたは複数の認証パラメータは、デジタル署名を引き出すかまたはその有効性確認を行うために、認証キーと組み合わせて使用することができる。１つまたは複数の認証パラメータは、キーインデックスパラメータ、キーオフセットパラメータおよびキー長パラメータを含み得る。認証キーから引き出されたデジタル署名は、デジタルハウス、車両のフォブキー、リモートガレージドアオープナ、ホテルの部屋のカードキー、クレジットもしくはデビットカード磁気ストリップもしくはチップ、オンライン金融口座、コンピュータもしくは制御システム、または、ウェブサイト認証など、保護資源への様々なタイプのアクセスを制御するために使用することができる。

Description

歴史を通して、キーは、建物、車両、コンテナ、金庫および同様のものなどの物理的資産への、不完全ではあるが、安価なアクセス制御方法を提供してきた。物理キーは、特有の認証ジオメトリを使用して、１つの特異的に対をなすロックまたは少数の特異的に対をなすロックを操作する。キー認証ジオメトリを生成する現在の方法は、個々のキーソリューションの製作、管理および格納に重点を置く効率要件によって管理されている。しかし、アクセス制御を必要とする私物の大規模な拡散は、意図せぬキー重複に対する懸念を引き起こす。つい最近では、フォブキーの出現により、それらの懸念が多少和らいだ。フォブキーは、内蔵デジタル署名を使用する小型のセキュリティハードウェアデバイスを含む。しかし、デジタル署名を生成する方法論は、それらの前身技術と同じ理由で、すなわち、個々のキーソリューションの製作、管理および格納のための効率的な手段を可能にするために、開発されている。その結果、アクセス制御を必要とする物理的なアイテムの数が増え続けることで、デジタル署名の意図せぬ重複に対する懸念がより多く見られるようになっている。

この開示は、多用途ロングストリング認証キーを使用して認証技法を実装するためのシステムおよび方法について説明する。多用途ロングストリング認証キー（以下、「認証キー」）は、保護資源へのアクセスを認証するための演算的に効率的な方法を提供することができる。認証技法は、認証キーの共有知識に基づく。認証キーは、保護資源へのアクセスのためにクライアントデバイスを認証するデジタル署名を引き出すためのプラットフォームとして使用される。デジタル署名の文字の長さは、認証の必要性、要求されるセキュリティレベル、デバイスサイズおよび／または認証キーのサイズに対応するように設計することができる。認証キーは、長さ数ビットから数テラバイトまたは数ペタバイトまで、サイズが異なり得る。認証キーから引き出されるデジタル署名は、これらに限定されないが、居住用もしくは商業用の建物のためのデジタルアクセスメカニズム、車両のフォブキー、リモートガレージドアオープナ、ホテルの部屋のカードキー、クレジットもしくはデビットカード磁気ストリップもしくはチップ、オンライン金融口座、コンピュータもしくは制御システム、または、ウェブサイト認証など、保護資源への様々なタイプのアクセスを制御するために使用することができる。様々な例では、保護資源は、アクセスを制御することができるいかなる「物理資源」または「デジタル資源」でも構成することができる。

この概要は、詳細な説明において以下でさらに説明される簡略化した形態の色々な概念を紹介するために提供される。この概要は、特許請求される対象物の主要な特徴を識別することを意図せず、対象物の範囲を決定する際に補助として使用することも意図しない。例えば、「技法」という用語は、上記でおよび文書全体を通じて説明される文脈で認められているような、システム、方法、コンピュータ可読命令、モジュール、アルゴリズム、ハードウェア論理および／または動作を指し得る。

詳細な説明は、添付の図を参照して説明する。図中、参照番号の左端の数字は、参照番号が最初に現れる図を識別する。異なる図の同じ参照番号は、同様のまたは同一のアイテムを示す。

多用途ロングストリング認証キーを使用して保護資源へのアクセスを要求するクライアントデバイスの例示的な実装形態を示す。クライアントデバイスは、認証システムを含む保護資源に認証要求を送信する。 多用途ロングストリング認証キーを使用して保護資源へのアクセスを要求するクライアントデバイスの例示的な実装形態を示す。クライアントデバイスは、保護資源から独立した認証システムに認証要求を送信する。 認証キーからデジタル署名を引き出すために使用される認証技法を示す。デジタル署名は、キーインデックスパラメータおよびキー長パラメータを含む認証キーおよび認証パラメータを使用して引き出される。 認証キーからデジタル署名を引き出すために使用される認証技法を示す。デジタル署名は、キーインデックスパラメータ、キー長パラメータおよびキーオフセットパラメータを含む認証キーおよび認証パラメータを使用して引き出される。 保護資源へのアクセスを制御する認証システムの例示的なアーキテクチャを示す。 多用途ロングストリング認証キーを使用して保護資源へのアクセスを要求するクライアントデバイスの例示的なアーキテクチャを示す。 クライアントデバイス識別子、第１のデジタル署名、１つまたは複数の認証パラメータおよび特定のタイプのアクセス要求を含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与えるためのプロセスの例示的なフローを示す。 クライアントデバイス識別子および１つまたは複数の認証パラメータを含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与えるためのプロセスの例示的なフローを示す。さらに、キーインデックステーブルを使用してアクセス特権を決定することについて説明する。 クライアントデバイスおよび特定のタイプのアクセス要求を含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与えるためのプロセスの例示的なフローを示す。

この開示は、保護資源へのアクセスをクライアントデバイスに提供する多用途デジタル認証スキームを提供する。認証スキームは、認証システムとクライアントデバイスとの間のロングストリング認証キーの共有知識に基づく。認証キーは、保護資源へのアクセスのために個々のクライアントデバイスを認証するデジタル署名を引き出すためのプラットフォームとして使用される。いくつかの例では、デジタル署名は、保護資源への制限されたタイプのアクセスと関連付けることができる。他の例では、デジタル署名は、保護資源への無制限のアクセスと関連付けることができる。

認証キーは、ランダム文字のロングストリングを生成することができるいかなる方法でも生成することができる。「ロングストリング」という用語は、本明細書で使用される場合は、デジタル署名と関連付けられた文字の数以上の認証キーの特定の数の文字を説明する。すなわち、非限定的な例として、デジタル署名は、長さ５文字または５ビットで構成することができる。この実例では、対応する「ロングストリング」認証キーは、６文字または６ビットを構成する。本明細書で説明されるように、ロングストリングは、特定の数の文字または特定の数のビットによって定義することができる。いくつかの例では、認証キーは、最初にクライアントデバイスによって引き出され、認証システムと共有される。他の例では、認証キーは、認証システムによって引き出され、クライアントデバイスと共有される。様々な例では、認証キーは、数学的ランダム数字生成器を使用して生成することができる。他の例では、認証キーは、これらに限定されないが、背景放射線、特定の地理的場所（すなわち、交通量の多い通り）からの背景雑音、物理的なベースバンドスペクトル雑音および太陽光波長などの環境データをコード化することによって生成することができる。他の例では、クライアントデバイスの個々のユーザは、特定のデジタル写真の個々の画素、特定の刊行物からの特定のテキスト、または、特定のコンポジションもしくはデジタル記録から抜粋された音声をコード化することによって、認証キーを生成することができる。言い換えれば、認証キーは、ある瞬間、環境条件または個々のユーザに特有の文字のロングストリングをデジタル符号化するいかなる手段によっても生成することができる。

認証キーを生成することに応答して、認証キーは、保護資源へのアクセスを要求するクライアントデバイスと保護資源へのアクセスを制御する認証システムとの間で共有することができる。そうすることにより、認証キーは、１つまたは複数の特有のデジタル署名を引き出すことができる共通のプラットフォームになる。

様々な例では、特定の認証キーは、複数の保護資源に対する特有のデジタル署名を引き出すための共通のプラットフォームとして使用することができる。非限定的な例として、単一の認証キーは、クライアントデバイスと関連付けることができ、認証キーは、これらに限定されないが、商業用または居住用の建物アクセス、車両アクセスおよび運用、ならびに、金融資産へのアクセスなど、広範な保護資源に対するデジタル署名を引き出すために使用することができる。他の例では、特定の認証キーは、１つの保護資源と関連付けることができ、複数の認証キーを使用して、対応する複数の保護資源にアクセスすることができる。

様々な例では、保護資源へのアクセスを求める要求には、クライアントデバイス識別子が付随する。クライアントデバイス識別子は、認証システムによって、クライアントデバイスに対応する認証キーを識別するために使用することができる。いくつかの例では、認証システムには、数百万とはいかないまでも、いくつかのユーザのアクセスを認証するタスクを課すことができる。この実例では、クライアントデバイス識別子は、複数（例えば、数百万）の認証キーから特定の認証キーを効率的に識別することができ、従って、認証プロセスを効率化する。同じクライアントデバイスは複数の認証キーを認証システムと共有できることに留意されたい。従って、延長線上で考えると、同じクライアントデバイスは、複数のクライアントデバイス識別子を有し得る。これは、各認証キーが特定のクライアントデバイスを特定の保護資源と関連付けるためである。クライアントデバイスが複数の保護資源にアクセスする場合は、各保護資源は、それ自体の特有の認証キーを有する可能性が高くなる。従って、クライアントデバイスは、特定の保護資源に対応する特定の認証キーを識別するために、複数のクライアントデバイス識別子を保持している可能性が高い。

様々な例では、保護資源へのアクセスを求める要求は、異なるアクセス特権を行使することを求める要求も含み得る。例えば、１つまたは複数のデジタル署名は、単一の保護資源と関連付けることができ、各デジタル署名は、異なるアクセス特権に対応する。非限定的な例では、金融機関が受信するアクセス要求について考慮する。アクセス要求は、金融機関内で保持される金融資産の残高情報にアクセスすることに関与し得る。あるいは、アクセス要求は、それらの同じ金融資産を使用して金融取引を実行することに関与し得る。この例では、残高情報へのアクセスと金融取引の実行とを別々に提供するために、２つの異なるデジタル署名を金融機関と関連付けることができる。別の例では、保護資源は、ホテルの部屋に対応し得る。この例では、異なるデジタル署名は、ホテル客、客室清掃係、フロントマネージャおよびホテル支配人などの異なるエンティティと関連付けることができる。従って、特定のアクセス特権は、ホテル客、客室清掃係、フロントマネージャおよびホテル支配人の各々と関連付けることができる。例えば、デジタル署名は、特定の勤務時間の間にホテルの部屋へのアクセスを客室清掃係と関連付けることができる。

別の例では、保護資源は、車両に対応し得、異なるデジタル署名は、異なるレベルの車両アクセスと関連付けることができる。例えば、第１のデジタル署名は、日中の車両アクセスを与え、第２のデジタル署名は、無制限の車両アクセスを可能にすることができる。

他の例では、保護資源は、居住用の建物、商業用の建物、または、パワーグリッド変電所などのコンビナートに対応し得る。それに従って、異なるデジタル署名は、保守要員、保安要員および建物の居住者と関連付けることができる。それに従って、各デジタル署名は、異なるレベルのアクセスと関連付けることができる。例えば、保守要員および保安要員には、時間的な建物アクセスを与えることができ、建物の居住者には、無制限のアクセスを与えることができる。

別の例では、保護資源は、航空機または無人航空機（ＵＡＶ）に対応し得、異なるデジタル署名は、航空機またはＵＡＶの制御を行う異なるエンティティに対応し得る。これらのエンティティは、管制塔、連邦航空局（ＦＡＡ）および保守要員を含み得る。それに従って、異なるデジタル署名は、エンティティの各々に対する航空機システムの異なるレベルの制御と関連付けることができる。

さらなる別の例では、保護資源は、ビジネス、政府、または、私的もしくは公的コンピューティングシステムに対応し得る。それに従って、異なるデジタル署名は、従業員、顧客、パートナーなどと関連付けられたアクセス特権と関連付けることができる。

様々な例では、保護資源へのアクセスを求める要求は、１つまたは複数の認証パラメータも含み得る。１つまたは複数の認証パラメータは、認証キーからデジタル署名を引き出すかまたはその有効性確認を行うために使用することができる。１つまたは複数の認証パラメータは、これらに限定されないが、キーインデックスパラメータ、キーオフセットパラメータおよびキー長パラメータを含み得る。１つまたは複数の認証パラメータは、以下の図２でさらに詳細に説明する。

様々な例では、保護資源へのアクセスを求める要求は、情報の異なる組合せを含み得る。非限定的な一例では、アクセス要求は、クライアントデバイス識別子、１つまたは複数の認証パラメータ、デジタル署名および特定のタイプのアクセス要求を含み得る。この例では、認証システムは、クライアントデバイス識別子を使用して、認証システム内に格納された対応する認証キーを識別することができる。次いで、１つまたは複数の認証パラメータを使用して、識別した認証キーからデジタル署名を引き出すことができる。また、認証システムは、引き出したデジタル署名が、要求に付随するデジタル署名と整合するかを検証することもできる。両方のデジタル署名の整合を検証することに応答して、認証システムは、要求されたアクセスのタイプに基づいて、保護資源へのアクセスをクライアントデバイスに与えることができる。この例示的な認証スキームのフローチャートは、図５でさらに詳細に説明する。

別の例では、保護資源へのアクセスを求める要求は、クライアントデバイス識別子および１つまたは複数の認証パラメータを含み得る。この例では、認証システムは、クライアントデバイス識別子を使用して、認証システム内に格納された対応する認証キーを識別することができる。次いで、１つまたは複数の認証パラメータを使用して、識別した認証キーからデジタル署名を引き出すことができる。また、認証システムは、引き出したデジタル署名を、認証システム内に格納されたデジタル署名のインデックステーブルと比較することもできる。そうすることにより、認証システムは、引き出したデジタル署名の真正性確認を行い、デジタル署名と関連付けられた対応するアクセス要求（例えば、車両ドアを開けるまたは車両エンジンを始動させる）を識別することができる。この例示的な認証スキームのフローチャートは、図６でさらに詳細に説明する。

いくつかの例では、認証キーからデジタル署名を引き出すために１つまたは複数の認証パラメータを使用するよりむしろ、認証キー全体がそれ自体でデジタル署名を構成することができる。この実例では、保護資源へのアクセスを求める要求は、クライアントデバイス識別子および認証キーを含むだけでよい。ここでは、認証システムは、クライアントデバイス識別子を使用して、認証システム内に格納された対応する認証キーを識別することができる。次いで、保護資源へのアクセスは、アクセス要求で提供された認証キーと認証システム内に格納された対応する認証キーとの比較に基づく。

いくつかの例では、保護資源へのアクセスを求める要求は、クライアントデバイス識別子および特定のタイプのアクセスを求める要求を含み得る。この例では、認証システムは、クライアントデバイス識別子を使用して、認証システム内に格納された対応する認証キーを識別することができる。また、認証システムは、１つまたは複数の認証パラメータを決定し、１つまたは複数の認証パラメータに基づいてデジタル署名を引き出すこともできる。そうすることにより、認証システムは、１つまたは複数の認証パラメータに基づいてデジタル署名を要求する表示をクライアントデバイスに送信することができる。それに応答して、クライアントデバイスは、引き出したデジタル署名で答えることができ、それに対し、認証システムは、保護資源へのアクセスを与えるかどうかを判断することができる。この例示的な認証スキームのフローは、図７でさらに詳細に説明する。

認証キーおよび１つまたは複数の認証パラメータを使用して認証を実行する技術上の利点は、可能な認証の組合せの数が、デジタル認証を実行する従来のメカニズムより無限に大きいことである。さらに、本明細書で開示される認証プロセスにより、クライアントデバイスまたは認証システムのいずれの当事者も、デジタル署名のセキュリティが含まれているとその当事者が確信した場合は、デジタル署名を変更することができる。例えば、クライアントデバイスと認証システムは両方とも同じ認証キーを共有するため、各当事者が同じ認証パラメータを使用するならば、各当事者は、認証キーから同じデジタル署名を引き出す同じ能力を有する。従って、いずれの当事者も、デジタル署名を変更することを選ぶことができ、新しいデジタル署名に対応する１つまたは複数の認証パラメータを他方の当事者に提供するだけでよい。従って、セキュリティ手段が含まれている状況では、影響を受けた当事者は、他方の当事者がデジタル署名を変更するのを待つ必要はない。

その上、本明細書で開示される認証技法の追加の利点は、認証キーが、クライアントデバイスと認証システムのみで共有される機械可読データとして、ランダムデータ（すなわち、ランダム数字、環境データまたは個人データ）から符号化されることである。そうすることにより、認証キーの重複が演算上実行不可能であるため、保護資源には追加のレベルの保護が提供される。

様々な例では、本明細書で説明される認証技法は、制限なく、居住用もしくは商業用の建物のためのデジタルアクセスメカニズム、車両のフォブキー、リモートガレージドアオープナ、ホテルの部屋のキー、クレジットもしくはデビット金融口座を含む、保護資源に対するアクセス制御を容易にすることができる。他の例は、制御システム、ソフトウェアアプリケーション、ウェブサイトベースのアプリケーション、または、デジタル認証に依存する他の任意のコンピューティングシステムもしくはアプリケーションを含む。

図１Ａは、保護資源１０４へのアクセスを要求するクライアントデバイス１０２の例示的な実装形態を示す。いくつかの例では、保護資源１０４は、これらに限定されないが、車両、建物、ガレージドア、銀行の金融口座およびコンピューティングシステムアプリケーションを含み得る。

示される例では、図１Ａは、保護資源１０４と統合される認証システム１０８を描写する。認証システム１０８は、認証キー格納モジュール１１２、認証パラメータモジュール１１４、デジタル署名処理モジュール１１６、キーインデックステーブル１１８などの１つまたは複数のモジュールを含み得る。認証キー格納モジュール１１２は、関連付けられたクライアント識別子と共に１つまたは複数の認証キーを格納することができる。各認証キーおよび関連付けられたクライアント識別子は、異なるクライアントデバイス１０２に対応し得る。認証パラメータモジュール１１４は、デジタル署名を提供することをクライアントデバイス１０２に求める要求の一部としてクライアントデバイス１０２に送信することができる１つまたは複数の認証パラメータを格納することができる。デジタル署名処理モジュール１１６は、アクセス要求１２０で提供される１つまたは複数の認証パラメータを使用して、格納された認証キーからデジタル署名を引き出すことができる。キーインデックステーブル１１８は、保護資源１０４と関連付けられたアクセス特権と引き出したデジタル署名を相関させるために使用することができる。認証システム１０８の上記で言及されるモジュールは、図３を参照して以下でさらに詳細に説明する。

示される例では、図１Ａは、ラップトップコンピュータ、タブレットコンピュータまたは携帯電話などの多種多様なクライアントデバイス１０２を描写しているが、クライアントデバイス１０２は、特定のタイプのデバイスに限定されない。クライアントデバイス１０２は、コンピュータ可読媒体１２２をさらに含み、コンピュータ可読媒体１２２は、これらに限定されないが、認証キー格納モジュール１２４、認証パラメータモジュール１２６およびデジタル署名処理モジュール１２８を含む１つまたは複数のモジュールを含む。認証キー格納モジュール１２４は、保護資源１０４などの異なる保護資源と関連付けられた１つまたは複数の認証キーを格納することができる。認証パラメータモジュール１２６は、認証システム１０８へのアクセス要求１２０の一部を形成することができる１つまたは複数の認証パラメータを格納することができる。デジタル署名処理モジュール１２８は、１つまたは複数の認証パラメータを使用して、格納された認証キーからデジタル署名を引き出すことができる。クライアントデバイス１０２の上記で言及されるモジュールは、図４を参照して以下でさらに詳細に説明する。

クライアントデバイス１０２および認証システム１０８は、１つまたは複数のネットワーク１１０を介して通信することができる。１つまたは複数のネットワーク１１０は、インターネットなどのパブリックネットワーク、組織および／または個人のイントラネットなどのプライベートネットワーク、あるいは、プライベートネットワークとパブリックネットワークの何らかの組合せを含み得る。ネットワークは、いかなるタイプの有線または無線ネットワークも含み得、これらに限定されないが、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、衛星ネットワーク、ケーブルネットワーク、Ｗｉ−Ｆｉネットワーク、ＷｉＭａｘネットワーク、モバイル通信ネットワーク（例えば、３Ｇ、４Ｇなど）、Bluetooth（登録商標）もしくは近距離無線通信（ＮＦＣ）ネットワーク、または、それらの任意の組合せを含む。

図１Ｂは、保護資源１０４から独立して動作する認証システム１０８を示す。認証システム１０８は、１つまたは複数のネットワーク（１１０）を介してクライアントデバイス１０２および保護資源１０４と通信することができる。この例では、認証システム１０８は、１つまたは複数のネットワーク１１０を介してクライアントデバイス１０２からアクセス要求１２０を受信する。認証システム１０８がアクセス要求１２０の真正性を検証した時点で、認証システム１０８は、クライアントデバイス１０２に認証トークン１３０を送信することができる。次いで、クライアントデバイス１０２は、認証トークン１３０を使用して、保護資源１０４にアクセスすることができる。いくつかの例では、認証トークン１３０は、保護資源１０４の識別子、認証システム１０８の識別子またはクライアントデバイス１０２の識別子などの暗号化データを含み得る。保護資源１０４は、暗号キーでトークンを暗号解読し、提供されるように対応する識別子を検証することによって、認証トークン１３０を認証することができる。

図２Ａおよび２Ｂは、認証キー２０４からデジタル署名２０２を引き出すための１つまたは複数の認証パラメータの使用を示す。認証キー２０４は、ランダム文字のロングストリングを生成することができるいかなる方法によっても生成することができる。前に述べたように、「ロングストリング」は、本明細書で使用される場合は、デジタル署名と関連付けられた文字の数以上の認証キーを定義する特定の数の文字を説明する。認証キー２０４は、これらに限定されないが、ビット、バイト、１６進、ＡＳＣＩＩおよびユニコードなど、いかなるフォーマットでも作成して使用することができる。認証キー２０４の長さは、数ビットおよび数バイトから数テラバイト、数ペタバイトおよびそれ以上まで、異なり得る。非限定的な例として、４バイト認証キー２０４は、４０億の潜在的な組合せを有し、演算的に厄介な様々なデジタル署名の組合せに取り組もうという試みをしらみつぶしに行う。いくつかの例では、認証システムは、２秒以上の時間遅延を引き起こすこともでき、それにより、潜在的な試みの回数が１日あたり４５，０００回未満まで低減される。さらに、認証キー２０４の長さは、設計者のセキュリティ要件およびシステム能力に基づき得る。いくつかの例では、認証キー２０４は、固定サイズのものであり得る。他の例では、認証キー２０４は、認証システムのセキュリティ要件に基づいて可変長のものであり得る。

様々な例では、機械可読データを含む認証キー２０４は、数学的ランダム数字／文字生成器によって英数字コード化することによって生成することができる。他の例では、機械可読データを含む認証キー２０４は、これらに限定されないが、背景放射線、特定の地理的場所（すなわち、交通量の多い通り）からの背景雑音、物理的なベースバンドスペクトル雑音および太陽光波長などの環境データを英数字コード化することによって生成することができる。他の例では、認証キー２０４は、特定のデジタル写真の個々の画素、特定の刊行物からの特定のテキスト、または、特定のコンポジションもしくはデジタル記録から抜粋された音声をコード化することによって生成することができる。言い換えれば、文字の認証キー２０４は、ある瞬間、環境条件または個々のユーザに特有の文字のロングストリングをデジタルコード化するいかなる手段によっても生成することができる。いくつかの例では、認証キー２０４は、クライアントデバイスによって引き出され、認証システムと共有される。他の例では、認証キー２０４は、認証システムによって引き出され、クライアントデバイスと共有される。認証キー２０４は、クライアントデバイスまたは認証システムと関連付けられた１つまたは複数のハードウェアセンサによって引き出すことができる。ハードウェアセンサは、これらに限定されないが、マイクロフォン、全地球測位システム、光センサおよび放射線センサを含み得る。

示される例では、デジタル署名２０２は、１つまたは複数の認証パラメータを使用して認証キー２０４から引き出すことができる。デジタル署名２０２は、１つまたは複数の認証パラメータを使用して、認証キー２０４の機械可読データを処理することによって引き出される。１つまたは複数の認証パラメータは、キー長パラメータ２０６、キーインデックスパラメータ２０８、キーオフセットパラメータ２１０を含み得、より複雑で高度なセキュリティの実装形態が必要であるいくつかの事例では、ランダマイザパラメータ２１２も含み得る。

示される例では、キー長パラメータ２０６は、デジタル署名２０２を組成する文字の数を示す数値を含み得る。例えば、３００のキー長パラメータ２０６は、３００文字のデジタル署名２０２を反映する。キー長パラメータ２０６は、認証キー２０４の文字の長さ以下のいかなる数値も含み得る。いくつかの例では、キー長パラメータ２０６は、デジタル署名２０２の予想される総使用回数によって決定することができる。例えば、車両のフォブキーの一部として実装されるデジタル署名２０２について考える。デジタル署名２０２の設計者は、車両へのアクセスが２０年間で１日あたりおよそ８回と決定することができる。４バイトの文字の長さを有するデジタル署名２０２が車両のフォブキーに割り当てられる場合は、２３３，６００バイト（すなわち、１日あたり４バイト×８回の使用×１年３６５日×２０年）の長さの認証キー２０４が必要とされる。現在の演算技術は、２３３ｋｂの格納要件を十分に満たすことができる。図２Ａでは、示されるキー長パラメータ２０６は６バイトであり、これは、デジタル署名２０２の文字の長さが６文字であり、「１ｊ３ｌｅ０」であることを意味する。

示される例では、キーインデックスパラメータ２０８は、デジタル署名２０２の第１の文字に対応する認証キー２０４内の文字位置を識別する。示される例では、キーインデックスパラメータ２０８は６である。従って、デジタル署名２０２の第１の文字は、認証キー２０４の６番目の文字である。

様々な例では、キーインデックスパラメータ２０８は、既定の時間の後にデジタル署名２０２を変更するために使用することができる。いくつかの例では、キーインデックスパラメータ２０８の変更は、クライアントデバイスと認証システムとの間で共有されるアルゴリズムに基づき得る。非限定的な例として、たった１日の認証のために日常的に変更するデジタル署名について考える。この例では、日々の新しいデジタル署名の決定は、独立パラメータによってキーインデックスパラメータ２０８を修正することによって実装することができる。一例では、独立パラメータは現在の日付であり得る。例えば、２０１５年８月７日の日付は、「８７２０１５」のキーインデックスパラメータ２０８としてコード化することができ、これは、デジタル署名２０２の第１の文字が認証キー２０４の８７２，０１５のインデックス位置に位置することを意味する。他の例では、キーインデックスパラメータ２０８は、整数（すなわち、１〜ｎ）によって決定することも、クライアントデバイスと認証システムとの間で共有されるインデックスキーテーブルにおいてアルゴリズム的に決定することもできる。設計上の必要性に応じて、クライアントデバイスまたは認証システムは、キーインデックスパラメータ２０８を提供することができる。

図２Ｂでは、示される例は、キーオフセットパラメータ２１０を含む。キーオフセットパラメータは、認証キー２０４内のデジタル署名２０２の次の文字を識別する数値を含み得る。示される例では、キーオフセットパラメータ２１０は、「２」に対応する。この例では、デジタル署名２０２における後続の文字は、認証キー２０４内の最後に識別された文字位置から２文字位置分だけオフセットされるものとして識別される。従って、キー長パラメータ２０６およびキーインデックスパラメータ２０８と組み合わせると、図２Ｂのデジタル署名は、「１３ｅ，ｍ０」に対応する。

他の例では、キーオフセットパラメータ２１０は、後続の文字位置を識別する公式によって決定することができる。非限定的な例として、「２ｘ」のキーオフセット公式について考える。式中、ｘは、認証システムによってアクセス要求が受信されたその日の「時刻」である。この例では、午前９時に受信されたアクセス要求は、「１８」（すなわち、２×９）のキーオフセットパラメータ２１０を決定するために使用することができる。いくつかの例では、キーオフセットパラメータ２１０は、整数（すなわち、１〜ｎ）によって決定することも、クライアントデバイスと認証システムとの間で共有されるキーオフセットパラメータ２１０インデックステーブルからアルゴリズム的に決定することもできる。設計上の必要性に応じて、クライアントデバイスまたは認証システムは、キーオフセットパラメータ２１０を提供することができる。

様々な例では、追加のランダマイザパラメータを含めることができる。高度なセキュリティの実装形態の様々な例では、クライアントデバイスは、デジタル署名２０２を認証システムに送信する前に、デジタル署名２０２をシャッフルするためのランダマイザ変数または関数を使用することができる。そうすることにより、認証システムは、相補的ランダマイザ変数または関数を使用してデジタル署名２０２を並べ替えることができる。この例では、クライアントデバイスと認証システムとの間の送信の間に認証プロセスが危険にさらされている場合は、危険にさらす側の当事者は、デジタル署名２０２を判別するために、依然として、ランダマイザ変数または関数を必要とする。

様々な例では、ランダマイザ変数または関数の使用により、銀行によって実行されるものなど、複雑で高度なセキュリティの実装形態に対する追加のセキュリティ手段を提供することができる。この例では、金融資産をデビットまたはクレジット決済する電子マネーによる支払いを送金することを求める要求には、ランダマイザ変数または関数を付随させることができる。同様に、ランダマイザ変数または関数は、発電機を送電網に接続するかまたは接続しないパワーグリッドコントロール変電所や、送電網の遮断器を開くかまたは閉じるパワーグリッドコントロール変電所の文脈において使用することができる。

様々な例では、クライアントデバイスまたは認証システムのいずれか１つは、いずれかの時点でデジタル署名２０２を変更することができる。デジタル署名２０２の変更は、認証パラメータのいずれか１つまたは複数を変更することによって実行することができる。一旦クライアントデバイスまたは認証システムがデジタル署名２０２を変更すると、クライアントデバイスまたは認証システムは、変化させた認証パラメータを伝達するだけでよい。そうすることにより、変更したデジタル署名２０２は、変化させたデジタル署名自体を伝達する必要なく、変化させた認証パラメータを使用して再生することができる。

いくつかの例では、デジタル署名２０２の変更は、認証キー２０４自体を変更することによって実行することもできる。そうすることにより、認証キー２０４の変更を引き起こしたクライアントデバイスまたは認証システムは、変更した認証キー２０４を他方の当事者に伝達することができる。

図３は、保護資源へのアクセスを制御する認証システム３０２の例示的なアーキテクチャを示す。いくつかの例では、認証システム３０２は、保護資源から独立して動作し、１つまたは複数のネットワークを介して保護資源と通信することができる。他の例では、認証システム３０２は、保護資源の一部として含めることができる。

様々な例では、認証システム３０２は、コンピュータ可読媒体３０６に動作可能に接続された１つまたは複数のプロセッサ３０４を含み得る。また、認証システム３０２は、クライアントデバイスなどの他のネットワーク接続デバイスとの通信を可能にする１つまたは複数のインタフェース３０８も含み得る。１つまたは複数のネットワークは、インターネットなどのパブリックネットワーク、組織および／または個人のイントラネットなどのプライベートネットワーク、あるいは、プライベートネットワークとパブリックネットワークの何らかの組合せを含み得る。また、ネットワークは、いかなるタイプの有線および／または無線ネットワークも含み得、これらに限定されないが、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、衛星ネットワーク、ケーブルネットワーク、Ｗｉ−Ｆｉネットワーク、ＷｉＭａｘネットワーク、モバイル通信ネットワーク（例えば、３Ｇ、４Ｇなど）、Bluetooth（登録商標）もしくは近距離無線通信（ＮＦＣ）ネットワーク、または、それらの任意の組合せを含む。

コンピュータ可読媒体３０６は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報の格納のために任意の方法または技術で実装された、揮発性メモリ（ＲＡＭなど）、不揮発性メモリおよび／または取り外し不可能メモリを含み得る。コンピュータ可読媒体に含めることができる格納媒体のいくつかの例は、これらに限定されないが、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、電気的消去型プログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、コンパクトディスク（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）もしくは他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または、所望の情報を格納するために使用でき、コンピューティングデバイスによるアクセスが可能な他の任意の媒体を含む。

コンピュータ可読媒体３０６とは対照的に、通信媒体は、変調データ信号（搬送波など）または他の送信メカニズムにおいて、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータを具体化することができる。本明細書で定義されるように、コンピュータ可読媒体３０６は、通信媒体を含まない。すなわち、コンピュータ可読媒体３０６は、それ自体が単に変調データ信号、搬送波または伝播信号からなる通信媒体を含まない。

いくつかの実施形態では、コンピュータ可読媒体３０６は、認証キー格納モジュール３１０、キーインデックスモジュール３１４およびデジタル署名処理モジュール３１６を含み得る。

様々な例では、認証キー格納モジュール３１０は、多数のクライアントデバイスに対応する認証キーを格納することができる。各認証キーは、クライアントデバイス識別子によって識別することができる。いくつかの例では、クライアントデバイスからアクセス要求を受信することに応答して、認証システム３０２は、アクセス要求に付随するクライアントデバイス識別子を使用して、クライアントデバイスと関連付けられた認証キーを識別することができる。

様々な例では、認証システム３０２は、クライアントデバイスに１つまたは複数の認証パラメータを送信し、引き換えにデジタル署名を要求することによって、アクセス要求を認証することができる。１つまたは複数の認証パラメータは、認証システム３０２内の認証パラメータモジュール３１２内に格納することができる。認証パラメータモジュール３１２は、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、および、ランダマイザ変数または関数などの認証パラメータを格納することができる。この例では、認証システム３０２は、戻されたデジタル署名を処理して、保護資源へのアクセスをクライアントデバイスに与えるかどうかを判断することができる。認証システム３０２とクライアントデバイスは同じ認証キーを共有するため、認証システム３０２は、認証パラメータモジュール３１２から１つまたは複数の認証パラメータをクライアントデバイスに提供するだけでよい。このタイプの認証プロセスの利点は、認証システム３０２が、クライアントデバイスとの相互作用を必要とすることなく、デジタル署名をいつでも変更できることである。

様々な例では、アクセス要求の認証は、キーインデックスモジュール３１４を使用して実行することができる。キーインデックスモジュール３１４は、１つまたは複数のデジタル署名を保護資源と関連付けるキーインデックステーブルを格納することができる。また、キーインデックステーブルは、特定のタイプのアクセスを保護資源と関連付けることもできる。図３で示される例では、デジタル署名「１２ｑ０ｊｒｆｄｈ」は、車両Ｂ（すなわち、保護資源）と関連付けられ、「エンジンを始動させる」に対応するアクセスのタイプを提供する。また、図３は、別の例も示し、その例では、異なるデジタル署名「２０ｄｊｈ４ｈ５」は、同じ車両Ｂと関連付けられるが、アクセスは、「ドアを開ける」のみに制限される。非限定的な例では、認証システムは、アクセス要求と関連付けられたデジタル署名を検証し、次いで、キーインデックステーブルを使用して、関連保護資源および許可されている関連付けられたアクセスタイプを識別することができる。

様々な例では、デジタル署名処理モジュール３１６は、認証キーおよび１つまたは複数の認証パラメータを使用してデジタル署名を引き出すことができる。いくつかの例では、デジタル署名処理モジュール３１６は、引き出したデジタル署名をアクセス要求で受信されたデジタル署名と比較することができる。いくつかの例では、デジタル署名処理モジュール３１６は、引き出したデジタル署名をキーインデックスモジュール３１４内に格納されたデジタル署名と比較することができる。他の例では、デジタル署名処理モジュール３１６は、引き出したデジタル署名をアクセス要求に付随するデジタル署名と比較することと、キーインデックスモジュール３１４内に格納されたデジタル署名と比較することとを組み合わせて実行することができる。

図４は、認証キーを使用して保護資源へのアクセスを要求するクライアントデバイス４０２の例示的なアーキテクチャを示す。様々な例では、クライアントデバイス４０２は、コンピュータ可読媒体４０６に動作可能に接続された１つまたは複数のプロセッサ４０４を含み得る。また、クライアントデバイス４０２は、保護資源または認証システムなどの他のネットワーク接続デバイスとの通信を可能にする１つまたは複数のインタフェース４０８も含み得る。１つまたは複数のネットワークは、インターネットなどのパブリックネットワーク、組織および／または個人のイントラネットなどのプライベートネットワーク、あるいは、プライベートネットワークとパブリックネットワークの何らかの組合せを含み得る。また、ネットワークは、いかなるタイプの有線および／または無線ネットワークも含み得、これらに限定されないが、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、衛星ネットワーク、ケーブルネットワーク、Ｗｉ−Ｆｉネットワーク、ＷｉＭａｘネットワーク、モバイル通信ネットワーク（例えば、３Ｇ、４Ｇなど）、Bluetooth（登録商標）もしくは近距離無線通信（ＮＦＣ）ネットワーク、または、それらの任意の組合せを含む。

コンピュータ可読媒体４０６は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報の格納のために任意の方法または技術で実装された、揮発性メモリ（ＲＡＭなど）、不揮発性メモリおよび／または取り外し不可能メモリを含み得る。コンピュータ可読媒体に含めることができる格納媒体のいくつかの例は、これらに限定されないが、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、電気的消去型プログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、コンパクトディスク（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）もしくは他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または、所望の情報を格納するために使用でき、コンピューティングデバイスによるアクセスが可能な他の任意の媒体を含む。

コンピュータ可読媒体４０６とは対照的に、通信媒体は、変調データ信号（搬送波など）または他の送信メカニズムにおいて、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータを具体化することができる。本明細書で定義されるように、コンピュータ可読媒体は、通信媒体を含まない。すなわち、コンピュータ可読媒体は、それ自体が単に変調データ信号、搬送波または伝播信号からなる通信媒体を含まない。

いくつかの実施形態では、コンピュータ可読媒体４０６は、認証キー格納モジュール４１０、認証パラメータモジュール４１２およびデジタル署名処理モジュール４１４を含み得る。

認証キー格納モジュール４１０は、多数の保護資源に対応する認証キーを格納することができる。各認証キーは、クライアントデバイス４０２に特有のクライアントデバイス識別子によって識別することができる。いくつかの例では、クライアントデバイス識別子と認証キーとの関連付けは、認証キー格納モジュール４１０内で実行される。他の例では、関連付けは、認証システムとの相互通信の一部として実行される。

認証パラメータモジュール４１２は、認証システム３０２の認証パラメータモジュール３１２に対応し得る。認証パラメータモジュール４１２は、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、および、ランダマイザ変数または関数などの認証パラメータを格納することができる。様々な例では、認証システムは、クライアントデバイス４０２の認証パラメータモジュール４１２から送信された１つまたは複数の認証パラメータに基づくデジタル署名を引き出すことによってアクセス要求を認証することができる。

デジタル署名処理モジュール４１４は、認証システム３０２のデジタル署名処理モジュール３１６に対応し得る。いくつかの例では、デジタル署名処理モジュール４１４は、１つまたは複数の認証パラメータを使用してデジタル署名を引き出すことができる。いくつかの例では、１つまたは複数の認証パラメータは、クライアントデバイス４０２の認証パラメータモジュール４１２によって提供される。他の例では、１つまたは複数の認証パラメータは、認証システム３０２の認証パラメータモジュール３１２によって提供される。

図５は、クライアントデバイス識別子、第１のデジタル署名、１つまたは複数の認証パラメータおよび特定のタイプのアクセス要求を含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与える認証システムの例示的なフローを示す。

５０２では、認証システムは、クライアントデバイスからアクセス要求を受信する。アクセス要求は、クライアントデバイス識別子、第１のデジタル署名、１つまたは複数の認証パラメータおよび特定のタイプのアクセスを求める要求を含み得る。この例では、認証システムは、アクセス要求からの１つまたは複数の認証パラメータを使用して、アクセス要求で提供された第１のデジタル署名を引き出し、その有効性確認を行うことができる。さらに、特定のタイプのアクセスは、保護資源へのアクセスにおける時間的な制限または保護資源へのアクセスにおける機能的な制限を含み得る。非限定的な例では、特定のタイプのアクセスを求める要求は、勤務時間の間の商業用の建物へのアクセスに関与し得る。別の非限定的な例では、特定のタイプのアクセスは、金融資産の残高情報へのアクセスまたは金融資産を使用した金融取引の実行に関与し得る。他の例では、特定のタイプのアクセスを求めるアクセス要求は、保護資源への無制限のアクセスを含み得る。

５０４では、認証システムは、クライアントデバイス識別子に対応する共有された認証キーを識別する。様々な例では、認証システムは、数百万とはいかないまでも、いくつかのクライアントデバイスと関連付けられた認証キーを格納することができる。従って、クライアント識別子は、特定のクライアントデバイスと関連付けられた特定の認証キーを効率的に識別することができる。同じクライアントデバイスは複数の認証キーを認証システムと共有できることに留意されたい。従って、延長線上で考えると、同じクライアントデバイスは、複数のクライアントデバイス識別子を有し得、これは、各認証キーが特定のクライアントデバイスを特定の保護資源と関連付けるためである。クライアントデバイスが複数の保護資源にアクセスする場合は、各保護資源は、それ自体の特有の認証キーを有する可能性が高くなる。従って、認証システムは、特定の保護資源に対する特定の共有された認証キーを識別するために、クライアントデバイス識別子を使用する。

５０６では、認証システムは、識別した認証キーおよびアクセス要求で提供された１つまたは複数の認証パラメータを使用して第２のデジタル署名を引き出す。１つまたは複数の認証パラメータは、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、または、ランダマイザ変数もしくは関数を含み得る。

５０８では、認証システムは、アクセス要求で受信した第１のデジタル署名を認証システムが引き出した第２のデジタル署名と比較する。

５１０では、第１のデジタル署名が第２のデジタル署名と整合するかを認証システムが検証することに応答して、認証システムは、アクセス要求に含まれる特定のタイプのアクセスに少なくとも部分的に基づいて、保護資源へのアクセスをクライアントデバイスに与えることができる。いくつかの例では、認証システムは、保護資源の統合部分であり得る。従って、認証システムは、単に保護資源へのアクセスをクライアントデバイスに与えるだけでよい。他の例では、認証システムは、保護資源から独立して動作することができる。ここでは、認証システムは、アクセス要求において識別された特定のタイプのアクセスに対応するデジタルトークンをクライアントデバイスに提供することができる。

５１２では、アクセス要求で提供された第１のデジタル署名が、認証システムが引き出した第２のデジタル署名と整合しないと認証システムが判断した場合は、認証システムは、保護資源へのアクセスが拒否されたことを示す表示をクライアントデバイスに送信することができる。

図６は、クライアントデバイス識別子および１つまたは複数の認証パラメータを含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与える認証システムの例示的なフローを示す。図６は、キーインデックステーブルを使用したアクセス特権の決定についてさらに説明する。

６０２では、認証システムは、クライアントデバイスからアクセス要求を受信する。アクセス要求は、クライアントデバイス識別子および１つまたは複数の認証パラメータを含み得る。この例では、認証システムは、クライアントデバイス識別子を使用して、クライアントデバイスと認証システムとの間で共有される認証キーを識別することができる。さらに、１つまたは複数の認証パラメータは、認証キーと組み合わせて使用する際に、デジタル署名を引き出し、その有効性確認を行うために使用することができる。１つまたは複数の認証パラメータは、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、または、ランダマイザ変数もしくは関数を含み得る。

６０４では、認証システムは、クライアントデバイス識別子に対応する認証キーを識別することができる。いくつかの事例では、同じクライアントデバイスは、複数のクライアントデバイス識別子を有し得、これは、クライアントデバイスが複数の保護資源へのアクセスを要求することができるためである。これらの事例では、各保護資源は、それ自体の特有の認証キーを有する可能性が高くなる。従って、認証システムは、特定の保護資源に対する特定の共有された認証キーを識別するために、クライアントデバイス識別子を使用する。

６０６では、認証システムは、識別した認証キーおよび１つまたは複数の認証パラメータを使用してデジタル署名を引き出す。１つまたは複数の認証パラメータは、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、または、ランダマイザ変数もしくは関数を含み得る。

６０８では、認証システムは、引き出したデジタル署名を認証システムのキーインデックステーブル内に格納されたデジタル署名と比較する。キーインデックステーブルは、保護資源と関連付けられたアクセス特権と引き出したデジタル署名を相関させるために使用することができる。様々な例では、キーインデックステーブルは、１つまたは複数のデジタル署名を保護資源と関連付けることができる。また、キーインデックステーブルは、特定のタイプのアクセスを保護資源と関連付けることもできる。非限定的な例として、図３に示されるように、「２３｜ｅ＜ｓｄｈ」というデジタル署名は、建物Ｃ（すなわち、保護資源）と関連付けられ、「共通エリアへのアクセスのみ」に対応するアクセスを提供する。別の例では、「９０４−ｈｊｆ０３」という異なるデジタル署名は、同じ建物Ｃと関連付けられるが、アクセスは、「午前８時から午前９時までの正面玄関アクセス」に制限される。

６１０では、引き出したデジタル署名がキーインデックステーブル内のデジタル署名と整合するかを認証システムが検証することに応答して、認証システムは、キーインデックステーブルにおいて識別されたアクセスのタイプに基づいてクライアントデバイスに与えることができる。いくつかの例では、認証システムは、保護資源の統合部分であり得る。従って、認証システムは、単に保護資源へのアクセスをクライアントデバイスに与えるだけでよい。他の例では、認証システムは、保護資源から独立して動作することができる。ここでは、認証システムは、キーインデックステーブルにおいて識別された特定のタイプのアクセスに対応するデジタルトークンをクライアントデバイスに提供することができる。

６１２では、引き出したデジタル署名がキーインデックステーブルにリストされるデジタル署名と整合しないと認証システムが判断した場合は、認証システムは、保護資源へのアクセスが拒否されたことを示す表示をクライアントデバイスに送信することができる。

図７は、クライアントデバイスおよび特定のタイプのアクセス要求を含むアクセス要求をクライアントデバイスから受信することに応答して、保護資源へのアクセスを与える認証システムの例示的なフローを示す。

７０２では、認証システムは、クライアントデバイスからアクセス要求を受信する。アクセス要求は、クライアントデバイス識別子および特定のタイプのアクセスを求める要求を含み得る。非限定的な例では、特定のタイプのアクセスを求める要求は、保護資源への制限されたアクセスを含み得る。例えば、特定のタイプのアクセスは、車両をロック解除できることを含むが、車両エンジンを始動できることは含まない。別の非限定的な例では、特定のタイプのアクセスを求める要求は、保護資源への無制限のアクセスを含み得る。

７０４では、認証システムは、クライアントデバイス識別子に対応する共有された認証キーを識別する。いくつかの例では、同じクライアントデバイスは、複数のクライアントデバイス識別子を有し得、これは、クライアントデバイスが複数の保護資源へのアクセスを要求することができるためである。これらの例では、各保護資源は、それ自体の特有の認証キーを有する可能性が高くなる。従って、認証システムは、特定の保護資源に対する特定の共有された認証キーを識別するために、クライアントデバイス識別子を使用する。

７０６では、認証システムは、識別した認証キーおよび１つまたは複数の格納された認証パラメータを使用して第１のデジタル署名を生成することができる。１つまたは複数の認証パラメータは、キーインデックスパラメータ、キーオフセットパラメータ、キー長パラメータ、または、ランダマイザ変数もしくは関数を含み得る。

７０８では、認証システムは、第２のデジタル署名を要求する表示をクライアントデバイスに送信することができる。要求は、第１のデジタル署名を生成するために認証システムによって使用される１つまたは複数の格納された認証パラメータを含み得る。このタイプの認証プロセスの利点は、認証システムが、クライアントデバイスとの相互作用を必要とすることなく、デジタル署名をいつでも変更できることである。例えば、デジタル署名を変更するため、認証システムは、異なる認証パラメータをクライアントデバイスに送信し、異なる認証パラメータに対応するデジタル署名を要求することができる。

７１０では、認証システムは、クライアントデバイスから第２のデジタル署名を受信し、認証システムが引き出した第１のデジタル署名をクライアントデバイスから受信した第２のデジタル署名と比較する。

７１２では、第１のデジタル署名が第２のデジタル署名と整合するかを認証システムが検証することに応答して、認証システムは、アクセス要求に含まれる特定のタイプのアクセスに少なくとも部分的に基づいて、保護資源へのアクセスをクライアントデバイスに与えることができる。いくつかの例では、認証システムは、保護資源の統合部分であり得る。従って、認証システムは、単に保護資源へのアクセスをクライアントデバイスに与えるだけでよい。他の例では、認証システムは、保護資源から独立して動作することができる。ここでは、認証システムは、アクセス要求において識別された特定のタイプのアクセスに対応するデジタルトークンをクライアントデバイスに提供することができる。

７１４では、認証システムが引き出した第１のデジタル署名がクライアントデバイスから受信した第２のデジタル署名と整合しないと認証システムが判断した場合は、認証システムは、保護資源へのアクセスが拒否されたことを示す表示をクライアントデバイスに送信することができる。

［実施例の項］
実施例Ａ、１つまたは複数のプロセッサと、１つまたは複数のプロセッサに結合されたメモリとを含むシステムであって、メモリが、１つまたは複数のモジュールを含み、１つまたは複数のモジュールが、クライアントデバイスから、保護資源へのアクセスを求める要求を受信することであって、要求が、クライアントデバイス識別子および１つまたは複数の認証パラメータを少なくとも含む、受信することと、多数の認証キーからクライアントデバイス識別子に対応する認証キーを識別することと、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することと、第１のデジタル署名が保護資源と関連付けられた第２のデジタル署名と整合するかを検証することと、保護資源へのアクセスをクライアントデバイスに与えることとを行うように１つまたは複数のプロセッサによって実行可能である、システム。

実施例Ｂ、保護資源へのアクセスを求める要求が、保護資源と関連付けられた第２のデジタル署名をさらに含む、実施例Ａのシステム。

実施例Ｃ、１つまたは複数のモジュールが、キーインデックステーブルを使用して、第２のデジタル署名と、第１のデジタル署名と関連付けられた特定のタイプのアクセスとを識別するように１つまたは複数のプロセッサによってさらに実行可能であり、保護資源へのアクセスをクライアントデバイスに与えることが、第１のデジタル署名と関連付けられた特定のタイプのアクセスに少なくとも部分的に基づく、実施例Ａのシステム。

実施例Ｄ、キーインデックステーブルが、個々のデジタル署名を個々の保護資源および特定のタイプのアクセスと関連付ける、実施例Ｃのシステム。

実施例Ｅ、特定のタイプのアクセスが、保護資源へのアクセスの時間的な制限または保護資源へのアクセスの機能的な制限の少なくとも１つを含む、実施例Ｃまたは実施例Ｄのシステム。

実施例Ｆ、１つまたは複数のモジュールが、クライアントデバイスのクライアントデバイス識別子と関連付けるために認証キーを生成することと、クライアントデバイスから保護資源へのアクセスを求める要求を受信する前に、認証キーをクライアントデバイスに送信することとを行うように１つまたは複数のプロセッサによってさらに実行可能である、実施例Ａ〜実施例Ｅのシステム。

実施例Ｇ、認証キーが、特定の地理的場所における環境データの英数字コード化を含み、環境データが、背景放射線、背景雑音、物理的なベースバンドスペクトル雑音または太陽光波長の少なくとも１つを含む、実施例Ａ〜実施例Ｆのシステム。

実施例Ｈ、１つまたは複数の認証パラメータが、第１のデジタル署名の第１の文字に対応する認証キー内の文字位置を識別する数値に対応するキーインデックスパラメータと、認証キー内の現在の文字位置から認証キー内の次の文字位置までのオフセットを識別する数値に対応するキーオフセットパラメータであって、次の文字位置の文字が、第１のデジタル署名の次の文字に対応する、キーオフセットパラメータと、第１のデジタル署名と関連付けられた文字の数を識別する整数に対応するキー長パラメータとを含む、実施例Ａ〜実施例Ｇのシステム。

実施例Ｉ、１つまたは複数の認証パラメータが、キーインデックスパラメータおよびキー長パラメータを含み、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することが、キーインデックスパラメータおよび認証キーに少なくとも部分的に基づいて、第１のデジタル署名の第１の文字を第１の識別文字として識別することと、キー長パラメータおよび認証キーに少なくとも部分的に基づいて、第１の識別文字から始まる多くの連続文字として第１のデジタル署名を決定することとを含む、実施例Ｈのシステム。

実施例Ｊ、１つまたは複数の認証パラメータが、キーインデックスパラメータおよびキー長パラメータを含み、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することが、キーインデックスパラメータおよび認証キーに少なくとも部分的に基づいて、第１のデジタル署名の第１の文字を第１の識別文字として識別することと、第１の識別文字から始まる認証キー内の特定の文字を識別することによって、第１のデジタル署名を決定することであって、特定の文字が、キーオフセットパラメータおよびキー長パラメータに少なくとも部分的に基づく、決定することとを含む、実施例Ｈのシステム。

実施例Ａ〜実施例Ｊはシステムに関して説明しているが、この文書の文脈において、実施例Ａ〜実施例Ｊの内容は、方法、デバイスおよび／またはコンピュータ格納媒体を介して実装することもできることが理解されている。

実施例Ｋ、１つまたは複数のプロセッサの制御の下、クライアントデバイスから保護資源へのアクセスを求める要求を受信することであって、要求が、クライアントデバイス識別子を少なくとも含む、受信することと、多数の認証キーからクライアントデバイス識別子に対応する認証キーを識別することと、認証キーと関連付けるために１つまたは複数の認証パラメータを生成することと、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することと、１つまたは複数の認証パラメータを含む表示をクライアントデバイスに送信することであって、表示が、１つまたは複数の認証パラメータに基づく第２のデジタル署名をさらに要求する、送信することと、クライアントデバイスから第２のデジタル署名を受信することと、第１のデジタル署名が第２のデジタル署名と整合するかを検証することに応答して、保護資源へのアクセスをクライアントデバイスに与えることとを含む、コンピュータ実装方法。

実施例Ｌ、１つまたは複数の認証パラメータが、独立パラメータの数字コード化に少なくとも部分的に基づき、独立パラメータが、現在の日付または現在の時刻の少なくとも１つを含む、実施例Ｋのコンピュータ実装方法。

実施例Ｍ、保護資源へのアクセスを求める要求が、保護資源への特定のタイプのアクセスを求める要求をさらに含み、保護資源へのアクセスをクライアントデバイスに与えることが、アクセスを求める要求に含まれる特定のタイプのアクセスに少なくとも部分的に基づき、特定のタイプのアクセスが、保護資源へのアクセスの時間的な制限または保護資源へのアクセスの機能的な制限の少なくとも１つに対応する、実施例Ｋまたは実施例Ｌのコンピュータ実装方法。

実施例Ｎ、１つまたは複数の認証パラメータが、第１のデジタル署名の第１の文字に対応する認証キー内の文字位置を識別する数値に対応するキーインデックスパラメータと、認証キー内の現在の文字位置から認証キー内の次の文字位置までのオフセットを識別する数値に対応するキーオフセットパラメータであって、次の文字位置の文字が、第１のデジタル署名の次の文字に対応する、キーオフセットパラメータと、第１のデジタル署名と関連付けられた文字の数を識別する整数に対応するキー長パラメータとを含む、実施例Ｋ〜実施例Ｍのコンピュータ実装方法。

実施例Ｏ、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することが、キーインデックスパラメータおよび認証キーに少なくとも部分的に基づいて、第１のデジタル署名の第１の文字を第１の識別文字として識別することと、第１の識別文字から始まる認証キー内の特定の文字を識別することによって、第１のデジタル署名を決定することであって、特定の文字が、キーオフセットパラメータおよびキー長パラメータに少なくとも部分的に基づく、決定することとをさらに含む、実施例Ｎのコンピュータ実装方法。

実施例Ｋ〜実施例Ｏはコンピュータ実装方法に関して説明しているが、この文書の文脈において、実施例Ｋ〜実施例Ｏの内容は、システム、デバイスおよび／またはコンピュータ格納媒体を介して実装することもできることが理解されている。

実施例Ｐ、１つまたは複数のプロセッサの制御の下、クライアントデバイスによって、保護資源と関連付けられた認証システムに、保護資源へのアクセスを求める要求を送信することであって、要求が、クライアントデバイス識別子を少なくとも含む、送信することと、クライアントデバイスによって、認証システムから、１つまたは複数の認証パラメータ、および、保護資源へのアクセスを求める要求に対応するデジタル署名を求める要求を受信することと、クライアントデバイスによって、多数の認証キーから保護資源に対応する認証キーを識別することと、クライアントデバイスによって、認証キーおよび１つまたは複数の認証パラメータに少なくとも部分的に基づいてデジタル署名を決定することと、クライアントデバイスによって、認証システムに、デジタル署名を含む表示を送信することと、認証システムによるデジタル署名の検証に応答して、クライアントデバイスによって、保護資源へのアクセスの付与を受信することとを含む、コンピュータ実装方法。

実施例Ｑ、認証システムが、保護資源から独立しており、クライアントデバイスによって、保護資源へのアクセスの付与を受信することが、クライアントデバイスによって、保護資源へのアクセスを認可する安全なトークンを受信することをさらに含む、実施例Ｐのコンピュータ実装方法。

実施例Ｒ、多数の認証キーの個々のものが、多数の保護資源の個々のものに対応し、クライアントデバイス識別子が、クライアントデバイスを認証キーおよび保護資源と関連付ける、実施例Ｐまたは実施例Ｑのコンピュータ実装方法。

実施例Ｓ、クライアントデバイスによって、クライアントデバイス識別子および保護資源と関連付けるために認証キーを生成することと、保護資源へのアクセスを求める要求を認証システムに送信する前に、認証キーを認証システムに送信することとをさらに含む、実施例Ｐ〜実施例Ｒのコンピュータ実装方法。

実施例Ｔ、認証キーが、クライアントデバイスによる、特定のデジタル写真の個々の画素、特定の刊行物からのテキスト部分、または、特定のデジタル記録から抜粋された音声の少なくとも１つの英数字コード化を含む、実施例Ｐ〜実施例Ｓのコンピュータ実装方法。

実施例Ｐ〜実施例Ｔはコンピュータ実装方法に関して説明しているが、この文書の文脈において、実施例Ｐ〜実施例Ｔの内容は、システム、デバイスおよび／またはコンピュータ格納媒体を介して実装することもできることが理解されている。

［結論］
構造上の特徴および／または方法論的な行為に特有の言語で対象物について説明してきたが、添付の請求項で定義される対象物は必ずしも本明細書で説明される特定の特徴または行為に限定されるとは限らないことを理解されたい。むしろ、特定の特徴および行為は、請求項を実装するための例示的な形態として開示される。

Claims (15)

1. １つまたは複数のプロセッサと、
   前記１つまたは複数のプロセッサに結合されたメモリとを含むシステムであって、
   前記メモリが、１つまたは複数のモジュールを含み、前記１つまたは複数のモジュールが、
   クライアントデバイスから、保護資源へのアクセスを求める要求を受信することであって、前記要求が、クライアントデバイス識別子および１つまたは複数の認証パラメータを少なくとも含む、受信することと、
   多数の認証キーから前記クライアントデバイス識別子に対応する認証キーを識別することと、
   前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することと、
   前記第１のデジタル署名が前記保護資源と関連付けられた第２のデジタル署名と整合するかを検証することと、
   前記保護資源へのアクセスを前記クライアントデバイスに与えることと
   を行うように前記１つまたは複数のプロセッサによって実行可能である、システム。
2. 前記１つまたは複数のモジュールが、キーインデックステーブルを使用して、前記第２のデジタル署名と、前記第１のデジタル署名と関連付けられた特定のタイプのアクセスとを識別するように前記１つまたは複数のプロセッサによってさらに実行可能であり、
   前記保護資源へのアクセスを前記クライアントデバイスに与えることが、前記第１のデジタル署名と関連付けられた前記特定のタイプのアクセスに少なくとも部分的に基づく、請求項１に記載のシステム。
3. 前記１つまたは複数のモジュールが、
   前記クライアントデバイスの前記クライアントデバイス識別子と関連付けるために認証キーを生成することと、
   前記クライアントデバイスから前記保護資源へのアクセスを求める前記要求を受信する前に、前記認証キーを前記クライアントデバイスに送信することと
   を行うように前記１つまたは複数のプロセッサによってさらに実行可能である、請求項１に記載のシステム。
4. 前記認証キーが、特定の地理的場所における環境データの英数字コード化を含み、前記環境データが、背景放射線、背景雑音、物理的なベースバンドスペクトル雑音または太陽光波長の少なくとも１つを含む、請求項１に記載のシステム。
5. 前記１つまたは複数の認証パラメータが、
   前記第１のデジタル署名の第１の文字に対応する前記認証キー内の文字位置を識別する数値に対応するキーインデックスパラメータと、
   前記認証キー内の現在の文字位置から前記認証キー内の次の文字位置までのオフセットを識別する数値に対応するキーオフセットパラメータであって、前記次の文字位置の文字が、前記第１のデジタル署名の次の文字に対応する、キーオフセットパラメータと、
   前記第１のデジタル署名と関連付けられた文字の数を識別する整数に対応するキー長パラメータと
   を含む、請求項１に記載のシステム。
6. 前記１つまたは複数の認証パラメータが、キーインデックスパラメータおよびキー長パラメータを含み、前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて前記第１のデジタル署名を決定することが、
   前記キーインデックスパラメータおよび前記認証キーに少なくとも部分的に基づいて、前記第１のデジタル署名の第１の文字を第１の識別文字として識別することと、
   前記キー長パラメータおよび前記認証キーに少なくとも部分的に基づいて、前記第１の識別文字から始まる多くの連続文字として前記第１のデジタル署名を決定することと
   を含む、請求項５に記載のシステム。
7. 前記１つまたは複数の認証パラメータが、キーインデックスパラメータおよびキー長パラメータを含み、前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて前記第１のデジタル署名を決定することが、
   前記キーインデックスパラメータおよび前記認証キーに少なくとも部分的に基づいて、前記第１のデジタル署名の第１の文字を第１の識別文字として識別することと、
   前記第１の識別文字から始まる前記認証キー内の特定の文字を識別することによって、前記第１のデジタル署名を決定することであって、前記特定の文字が、前記キーオフセットパラメータおよび前記キー長パラメータに少なくとも部分的に基づく、決定することと
   を含む、請求項５に記載のシステム。
8. １つまたは複数のプロセッサの制御の下、
   クライアントデバイスから保護資源へのアクセスを求める要求を受信することであって、前記要求が、クライアントデバイス識別子を少なくとも含む、受信することと、
   多数の認証キーから前記クライアントデバイス識別子に対応する認証キーを識別することと、
   前記認証キーと関連付けるために１つまたは複数の認証パラメータを生成することと、
   前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて第１のデジタル署名を決定することと、
   前記１つまたは複数の認証パラメータを含む表示を前記クライアントデバイスに送信することであって、前記表示が、前記１つまたは複数の認証パラメータに基づく第２のデジタル署名をさらに要求する、送信することと、
   前記クライアントデバイスから前記第２のデジタル署名を受信することと、
   前記第１のデジタル署名が前記第２のデジタル署名と整合するかを検証することに応答して、前記保護資源へのアクセスを前記クライアントデバイスに与えることと
   を含む、コンピュータ実装方法。
9. 前記１つまたは複数の認証パラメータが、独立パラメータの数字コード化に少なくとも部分的に基づき、前記独立パラメータが、現在の日付または現在の時刻の少なくとも１つを含む、請求項８に記載のコンピュータ実装方法。
10. 前記保護資源へのアクセスを求める前記要求が、前記保護資源への特定のタイプのアクセスを求める要求をさらに含み、
    前記保護資源へのアクセスを前記クライアントデバイスに与えることが、アクセスを求める前記要求に含まれる前記特定のタイプのアクセスに少なくとも部分的に基づき、前記特定のタイプのアクセスが、前記保護資源へのアクセスの時間的な制限または前記保護資源へのアクセスの機能的な制限の少なくとも１つに対応する、請求項８に記載のコンピュータ実装方法。
11. 前記１つまたは複数の認証パラメータが、
    前記第１のデジタル署名の第１の文字に対応する前記認証キー内の文字位置を識別する数値に対応するキーインデックスパラメータと、
    前記認証キー内の現在の文字位置から前記認証キー内の次の文字位置までのオフセットを識別する数値に対応するキーオフセットパラメータであって、前記次の文字位置の文字が、前記第１のデジタル署名の次の文字に対応する、キーオフセットパラメータと、
    前記第１のデジタル署名と関連付けられた文字の数を識別する整数に対応するキー長パラメータと
    を含む、請求項８に記載のコンピュータ実装方法。
12. 前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて前記第１のデジタル署名を決定することが、
    前記キーインデックスパラメータおよび前記認証キーに少なくとも部分的に基づいて、前記第１のデジタル署名の第１の文字を第１の識別文字として識別することと、
    前記第１の識別文字から始まる前記認証キー内の特定の文字を識別することによって、前記第１のデジタル署名を決定することであって、前記特定の文字が、前記キーオフセットパラメータおよび前記キー長パラメータに少なくとも部分的に基づく、決定することと
    をさらに含む、請求項１１に記載のコンピュータ実装方法。
13. １つまたは複数のプロセッサの制御の下、
    クライアントデバイスによって、保護資源と関連付けられた認証システムに、前記保護資源へのアクセスを求める要求を送信することであって、前記要求が、クライアントデバイス識別子を少なくとも含む、送信することと、
    前記クライアントデバイスによって、前記認証システムから、１つまたは複数の認証パラメータ、および、前記保護資源へのアクセスを求める前記要求に対応するデジタル署名を求める要求を受信することと、
    前記クライアントデバイスによって、多数の認証キーから前記保護資源に対応する認証キーを識別することと、
    前記クライアントデバイスによって、前記認証キーおよび前記１つまたは複数の認証パラメータに少なくとも部分的に基づいて前記デジタル署名を決定することと、
    前記クライアントデバイスによって、前記認証システムに、前記デジタル署名を含む表示を送信することと、
    前記認証システムによる前記デジタル署名の検証に応答して、前記クライアントデバイスによって、前記保護資源へのアクセスの付与を受信することと
    を含む、コンピュータ実装方法。
14. 前記クライアントデバイスによって、前記クライアントデバイス識別子および前記保護資源と関連付けるために前記認証キーを生成することと、
    前記保護資源へのアクセスを求める前記要求を前記認証システムに送信する前に、前記認証キーを前記認証システムに送信することと
    をさらに含む、請求項１３に記載のコンピュータ実装方法。
15. 前記認証キーが、前記クライアントデバイスによる、特定のデジタル写真の個々の画素、特定の刊行物からのテキスト部分、または、特定のデジタル記録から抜粋された音声の少なくとも１つの英数字コード化を含む、請求項１３に記載のコンピュータ実装方法。