JP2020507243A - ネットワークデバイス及び信頼できるサードパーティデバイス - Google Patents

Abstract

第１のネットワークノード１００、２００は、第２のネットワークノードの第１の識別情報と、第１のネットワークノードの機密性を保護するためのローカル鍵材料とから、機密性を保護するための第１の共有鍵２４５を計算することと、第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第２の共有鍵２４６を計算することと、第１の共有鍵を使用して、メッセージを暗号化することと、第２の共有鍵を使用して、メッセージについて第１のメッセージ認証コードを計算することとを行うように設定される。

Description

本発明は、ネットワークノード、信頼できるサードパーティ（第３者）デバイス、電子通信方法、電子的な信頼できるサードパーティ方法、及びコンピュータ可読媒体に関する。

旧来の公開鍵インフラストラクチャでは、信頼できるサードパーティ又は鍵当局とも呼ばれる、単一の信頼の起点（ｒｏｏｔ−ｏｆ−ｔｒｕｓｔ）がある。信頼できるサードパーティは、公開鍵インフラストラクチャに参加するネットワークノードの証明書に署名する。送信側のネットワークノードは、受信側のネットワークノードの証明書上の署名を検証して、その真正性を保証し、証明書中に含まれている公開鍵を使用して、メッセージを暗号化することができる。送信側のノードは、メッセージに署名するために、それ自体の証明書に対応する秘密鍵を使用することができる。受信側のネットワークは、その公開鍵に対応する秘密鍵を有し、その秘密鍵を用いてメッセージを解読する。送信側のノードの証明書、及び特にその証明書中に含まれている公開鍵を使用して、署名が検証され得る。

普及しているにもかかわらず、このシステムにはいくつかの欠点がある。まず第１に、信頼の起点がハッキングされたとき、これはシステム全体を危険にさらす。攻撃者が、信頼の起点のルート鍵材料へのアクセス、この場合には、信頼の起点の秘密鍵へのアクセスを得た場合、攻撃者は、攻撃者自体の証明書を生成することができる。そのような偽造された証明書を用いて署名されたメッセージを受信したネットワークノードは、それを真正のものとして受け入れ、メッセージのコンテンツに応じて行動することになる。過去に、ハッキングされた鍵当局が、たとえば、分散マルウェアに使用されたことがある。

ルート鍵材料へのアクセスをもつ攻撃者は、大きい危害を加えることができるが、正当な法執行機関は、暗号化されたメッセージのコンテンツへのアクセスを得ることができない。すなわち、ハッキングされた信頼の起点は、証明書スプーフィングを許すが、正当な法執行機関が、このシステムを用いて暗号化された傍受されたメッセージのコンテンツを知ることを許さない。

現代のテレコムシステムについて、合法的に傍受されたメッセージのコンテンツを知る能力は、しばしば要件である。たとえば、ＥＴＳＩ ＴＳ１０１ ３３１ Ｖ１．１．１（２００１−０８）、「関係する合法的許可に従って、ネットワーク事業者、アクセスプロバイダ、サービスプロバイダは、１）傍受されているターゲット識別情報に関連する通信のコンテンツ全体が、合法的許可の期間全体中に傍受され得ることを保証するものとする」を考慮する。

旧来の公開鍵インフラストラクチャでは、合法的傍受要件は、公開鍵インフラストラクチャ中のノードの秘密鍵が利用可能であることを確実にすることによって、満たされる。たとえば、信頼の起点は、それが証明書に署名する前に、秘密鍵が信頼の起点に預けられることを必要とする。鍵材料を、それが対応するネットワークノード以外のパーティに与えることに関する問題は、この鍵材料を用いて、制御なしにメッセージをスプーフィングすることが可能であるということである。これにより、法的手続き中に使用するための傍受されたメッセージの価値が低減し、それは不正活動の影響を受けやすくなる。

特許請求の範囲において定義されるようなネットワークノードが提示される。ネットワークノードは、識別情報ベース鍵事前配布方式を使用する。様々なそのような方式が存在し、本発明に適応され得る。識別情報ベース鍵事前配布方式のいくつかの例が、本明細書で提示される。

ネットワークノードは、少なくとも２つの異なる信頼できるサードパーティ、すなわち、機密性のための少なくとも１つの信頼できるサードパーティと完全性のための少なくとも１つの信頼できるサードパーティとから取得されたローカル鍵材料を有する。したがって、合法的傍受当局は、機密性に関係する鍵材料のみへのアクセス、たとえば、機密性のための信頼できる（１つ又は複数の）サードパーティのルート鍵材料へのアクセス、又はこのネットワークノードの機密性のためのローカル鍵材料へのアクセスを与えられ得る。そのような鍵材料を有すると、合法的傍受当局は、通信を傍受し、読み取る能力を得る。しかしながら、合法的傍受当局は、メッセージを変更することが可能でなく、少なくとも、メッセージ上の第１のメッセージ認証コードを破損することなしにメッセージを変更することが可能でない。メッセージが、後の訴訟において関係するようになる場合、傍受されたメッセージは、すべてのパーティによって信頼される受託者、たとえば、公証人において記憶され得、その後に、たとえば、信頼できるサードパーティ自体によって、ネットワークノードから取得されたローカル鍵材料、又は完全性のためのＴＴＰから取得されたローカル（又はルート）鍵材料を使用して、第２のｍａｃが検証され得る。このようにして、抑制と均衡が、システムに自然に組み込まれる。

一実施形態では、第１のネットワークは、さらなる識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第３の鍵を計算する。第３の鍵は、第２のｍａｃを計算するために使用される。さらなる識別情報に対応するローカル鍵材料は、受信側の第２のネットワークノードにとって利用可能でない。したがって、第２のｍａｃは、受信側のネットワークノードによって改ざんされ得ない。これは、システムの否認防止特性を高める。

本発明によるデバイス及び方法の追加の利点が本明細書において提示される。

本発明は、たとえば、合法的傍受を必要とする及び／又は送信側がメッセージを実際に送ったことの証明を必要とする任意の通信媒体、たとえば、ＷｈａｔｓＡｐｐ、ｔｅｌｅｇｒａｍ、５Ｇ電話、患者と医師との間の通信などにおいて適用される。たとえば、ネットワークノードは、スマートフォンなどの電話、モバイルコンピュータ、ラップトップ、テーブル、ノートブック、コンピュータ、スマートカードなどである。たとえば、ネットワークノードは、センサーネットワーク中のセンサーノード、照明ネットワーク中の照明ユニットなどである。

本発明による方法は、コンピュータ上でコンピュータ実施方法として、又は専用ハードウェアで、又はその両方の組合せで実施される。本発明による方法のための実行可能コードが、コンピュータプログラム製品に記憶される。ココンピュータプログラム製品の例は、メモリデバイス、光記憶デバイス、集積回路、サーバ、オンラインソフトウェアなどを含む。好ましくは、コンピュータプログラム製品は、コンピュータプログラム製品がコンピュータ上で実行されるとき、本発明による方法を実施するためのコンピュータ可読媒体に記憶された非一時的プログラムコードを含む。

好ましい実施形態では、コンピュータプログラムは、コンピュータプログラムがコンピュータ上で実行されるとき、本発明による方法のすべてのステップを実施するように適応されたコンピュータプログラムコードを含む。好ましくは、コンピュータプログラムは、コンピュータ可読媒体上で具現される。

本発明の別の態様は、コンピュータプログラムをダウンロードのために利用可能にする方法を提供する。この態様は、コンピュータプログラムが、たとえば、ＡｐｐｌｅのＡｐｐ Ｓｔｏｒｅ、ＧｏｏｇｌｅのＰｌａｙ Ｓｔｏｒｅ、又はＭｉｃｒｏｓｏｆｔのＷｉｎｄｏｗｓ Ｓｔｏｒｅにアップロードされるとき、及びコンピュータプログラムが、そのようなストアからダウンロードするために利用可能であるとき、使用される。

本発明のさらなる詳細、態様、及び実施形態が、図面を参照しながら単に例として説明される。図中の要素は、簡潔及び明快のために示され、必ずしも一定の縮尺で描かれているとは限らない。図において、すでに説明された要素に対応する要素は同じ参照番号を有する。

ネットワークノードの一実施形態の一例を概略的に示す図である。 ネットワークノードの一実施形態の一例を概略的に示す図である。 ネットワークノードの一実施形態の一例を概略的に示す図である。 通信システムの一実施形態の一例を概略的に示す図である。 信頼できるサードパーティデバイスの一実施形態の一例を概略的に示す図である。 信頼できるサードパーティデバイスの一実施形態の一例を概略的に示す図である。 電子通信方法の一実施形態の一例を概略的に示す図である。 完全性のための電子的な信頼できるサードパーティ（ＴＴＰ）方法の一実施形態の一例を概略的に示す図である。 一実施形態による、コンピュータプログラムを含む書込み可能部分を有するコンピュータ可読媒体を概略的に示す図である。 一実施形態による、プロセッサシステムの表現を概略的に示す図である。

本発明は、多くの異なる形態での実施形態が可能であるが、１つ又は複数の特定の実施形態が、図面において示され、本明細書で詳細に説明される。ここで、本開示は、本発明の原理の例と見なされるべきであり、図示及び説明される特定の実施形態に本発明を限定することを意図するものではないことが理解される。

以下では、理解のために、実施形態の要素が、動作において説明される。しかしながら、それぞれの要素が、それらによって実施されるものとして説明される機能を実施するように構成されることは、明らかである。さらに、本発明は実施形態に限定されず、本発明は、本明細書で説明される、又は相互に異なる従属請求項に記載の、あらゆる新規の特徴又は特徴の組合せにある。

本発明は、いわゆる識別情報ベース鍵事前配布方式を使用する。これらの方式は、ローカル識別情報ベース鍵材料を使用して２つのパーティ間の鍵一致を実施するやり方を提供する。以下で、識別情報ベース鍵事前配布方式に関するいくつかの背景が与えられる。

識別情報ベース鍵事前配布方式は、２つのフェーズ、すなわち、鍵事前配布と鍵導出とを有する。２つのアルゴリズム、すなわち、ローカル鍵材料生成アルゴリズムと鍵確立アルゴリズムとが、それぞれ、識別情報ベース鍵事前配布方式の２つのフェーズに関連する。

識別情報ベース鍵事前配布方式は、信頼できるサードパーティにルート鍵材料を与えることによってセットアップされる。信頼できるサードパーティは、デバイスの製造業者であり、たとえば、デバイスを、それらの製造中に、又は何らかの他の信頼できる環境において、プロビジョニングする。代替的に、信頼できるサードパーティは、証明当局デバイス、たとえば、たとえば何らかのオンラインプロトコルを使用して、デバイスをプロビジョニングするデバイスである。

鍵事前配布中に、ローカル鍵材料生成アルゴリズムをルート鍵材料と各ネットワークノードの識別子とに対して適用することによって、ローカル鍵材料が、各ネットワークノードのために生成され、そのネットワークノードに記憶される。鍵導出フェーズ中に、２つのネットワークノードは、鍵確立アルゴリズムをそれらのローカル鍵材料と他方のネットワークノードの識別子とに対して適用することによって、共有鍵を導出することができる。たとえば、第１のノードは、鍵確立アルゴリズムを、第２のネットワークノードの第２の識別子とそれ自体の第１のローカル鍵材料とに対して適用し、第２のノードは、鍵確立アルゴリズムを第１のネットワークノードの第１の識別子とその第２のローカル鍵材料とに対して適用する。鍵確立アルゴリズムの結果は、２つのネットワークノード間で共有される識別情報ベース鍵である。

いくつかの識別情報ベース鍵事前配布方式が存在する。たとえば、識別情報ベース鍵事前配布方式は、Ｏｓｃａｒ Ｇａｒｃｉａ−Ｍｏｒｃｈｏｎ、Ｄｏｍｉｎｇｏ Ｇｏｍｅｚ−Ｐｅｒｅｚ、Ｊａｉｍｅ Ｇｕｔｉｅｒｒｅｚ、Ｒｏｎａｌｄ Ｒｉｅｔｍａｎ、Ｂｅｒｒｙ Ｓｃｈｏｅｎｍａｋｅｒｓ及びＬｕｄｏ Ｔｏｌｈｕｉｚｅｎによる「ＨＩＭＭＯ−Ａ ｌｉｇｈｔｗｅｉｇｈｔ ｃｏｌｌｕｓｉｏｎ−ｒｅｓｉｓｔａｎｔ ｋｅｙ ｐｒｅｄｉｓｔｒｉｂｕｔｉｏｎ ｓｃｈｅｍｅ」に記載されている。Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ，Ｒｅｐｏｒｔ ２０１４／６９８において公開された。ＨＩＭＭＯの改善バージョンが、同じ出願人の、代理人整理番号２０１５ＰＦ００１７２５をもつ、欧州特許庁に出願された欧州特許出願「Ｉｍｐｒｏｖｅｄ ｓｙｓｔｅｍ ｆｏｒ ｋｅｙ ｓｈａｒｉｎｇ」に記載されており、参照により組み込まれる。ＨＩＭＭＯは、いくつかの他の識別情報ベース鍵配布方式のように、処理されない鍵がわずかにはずれることがあるという欠点を有する。これは許容され、すなわち、小さい割合で鍵一致が失敗することが許容される。代替的に、パーティのうちの１つが、共有鍵に達するために必要とされる追加の鍵調停（ｋｅｙ−ｒｅｃｏｎｃｉｌｉａｔｉｏｎ）データ（ヘルパーデータとも呼ばれる）を計算する。鍵調停データは、通常、両方の識別情報へのアクセスを有する第１のネットワークノードによって生成され、たとえば、第１のネットワークノードが、共有鍵を計算するのを開始する前に第２のネットワークノード識別情報を受信した場合、第１のネットワークノードによって生成される。

ＨＩＭＭＯは、ハイディングインフォメーション（ＨＩ）とミキシングモジュラーオペレーション（ＭＭＯ）問題に基づく、識別情報ベース鍵事前配布方式である。すべての既存の攻撃が格子に依拠するので、ＨＩＭＭＯは、軽量であり、より耐量子（ｑｕａｎｔｕｍ−ｓａｆｅ）である。ＨＩＭＭＯでは、ＴＴＰは、何らかの秘密ルート鍵材料、たとえば、二変数関数Ｒ（ｘ，ｙ）を有する。ＴＴＰは、そのルート鍵材料からノードＡのための秘密関数Ｇ＿Ａ（ｘ）を抽出することができ（Ｇ＿Ａ（ｘ）＝Ｒ（Ａ，ｙ）、ここで、この演算は、ＨＩＭＭＯにおいて説明されているように行われる）。Ａ及びＢが、共通鍵を確立することを望むとき、ＡはＧ＿Ａ（ｘ＝Ｂ）を評価し、ＢはＧ＿Ｂ（ｘ＝Ａ）を評価する。

別の使用可能な識別情報ベース鍵事前配布方式が、Ｃａｒｌｏ Ｂｌｕｎｄｏらによる、「Ｐｅｒｆｅｃｔｌｙ−Ｓｅｃｕｒｅ Ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ ｆｏｒ Ｄｙｎａｍｉｃ Ｃｏｎｆｅｒｅｎｃｅｓ」に記載されている。この方式は、鍵一致が失敗しないこと、及び鍵調停データが必要とされないことという利点を有する。一方、Ｂｌｕｎｄｏの方式は、共謀攻撃に対する回復力がほとんどない。

一実施形態では、ルート鍵材料は二変数多項式を含み、ローカル鍵材料は一変数多項式を含む。たとえば、Ｂｌｕｎｄｏ識別情報ベース鍵事前配布方式では、ルート鍵材料は、二変数多項式ｆ（ｘ，ｙ）によって形成される。二変数多項式を一変数多項式ｇ（ｙ）＝ｆ（ＩＤ_１，ｙ）にまとめることによって、識別子ＩＤ_１をもつ第１のノードのためのローカル鍵材料ｇが形成される。ローカル鍵材料ｇと第２のノードの識別子ＩＤ_２とをもつノードが、ｇ（ＩＤ_２）を計算することによって共有鍵を取得する。すべての多項式計算は、法（ｍｏｄｕｌｕｓ）ｍを法として行われる。

いくつかの識別情報ベース鍵事前配布方式は、異なるＴＴＰから受信されたが、互換性があるパラメータ、たとえば、同じ次数、及び法のために生成されたローカル鍵材料が、新しいローカル鍵材料を形成するためにローカルネットワークノードにおいて合成されるという特性を有する。新しいローカル鍵材料は、ただ、あるＴＴＰによって直接生成された鍵材料として使用され得るが、別個のＴＴＰのいずれにもまだ見られていないという利点がある。これは、ＴＴＰがハッキングされた場合、そのような合成された新しいローカル鍵材料をよりセキュアにする。

鍵事前配布方式に関する問題は、それらが対称鍵を生成するということである。したがって、受信側は、対称鍵を用いてメッセージのためのメッセージ認証コードを偽造し、送信側からのメッセージを受信側が受信したと主張することができ、暗号システムは、メッセージがスプーフィングされたことを証明するやり方を有しない。

図１ａ及び図１ｂは、それぞれ、ネットワークノードの一実施形態の一例を概略的に示す。図１ａに示されている第１のネットワークノード２００は、図１ｂに示されている第２のネットワークノード２０１と協働するように構成される。第１のネットワークノード２００は、識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムによって生成されたローカル鍵材料を記憶するように構成された、鍵ストレージ２１０を備える。鍵ストレージ２１０は、２つの異なるタイプのローカル鍵材料、すなわち、各タイプについて少なくとも１つのローカル鍵材料を含む。

第１のタイプのローカル鍵材料は、第１のネットワークノードと他のネットワークノードとの間の通信の機密性を保護するためのローカル鍵材料である。このローカル鍵材料は、機密性のための信頼できるサードパーティ（ＴＴＰ）によって、第１のネットワークノードの第１の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して、以前に生成された。

システムには機密性のための少なくとも１つのＴＴＰがあるが、より多くのＴＴＰがあり得る。図１ａは、機密性のための２つのＴＴＰ、ＴＴＰ２９２及びＴＴＰ２９４を示す。使用される各ＴＴＰについて、ローカル鍵材料が受信される。この場合、鍵ストレージ２１０は、ＴＴＰ２９２及びＴＴＰ２９４に対応する、機密性２１２及び機密性２１４を保護するためのローカル鍵材料を記憶する。機密性のための単一のＴＴＰがあり得、たとえば、ＴＴＰ２９２を除く機密性のためのすべてＴＴＰが、システムから除去されることがある。通信は、そのコンテンツが、関係する鍵材料へのアクセスなしに読み取られ得ない場合、機密性のために保護されている。

第２のタイプのローカル鍵材料は、第１のネットワークノードと他のネットワークノードとの間の通信の完全性を保護するためのローカル鍵材料である。完全性を保護するためのこのローカル鍵材料は、完全性のためのＴＴＰによって、第１のネットワークノードの第２の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して、以前に生成された。

システムには完全性のための少なくとも１つのＴＴＰがあるが、より多くのＴＴＰがあり得る。図１ａは、完全性のための２つのＴＴＰ、ＴＴＰ２９６及びＴＴＰ２９８を示す。使用される各ＴＴＰについて、ローカル鍵材料が受信される。この場合、鍵ストレージ２１０は、ＴＴＰ２９６及びＴＴＰ２９８に対応する、完全性２１６及び完全性２１８を保護するためのローカル鍵材料を記憶する。完全性のための単一のＴＴＰがあり得る。たとえば、ＴＴＰ２９６を除く完全性のためのすべてＴＴＰが、システムから除去されることがある。メッセージは、たとえば、メッセージのコンテンツが、関係する鍵材料へのアクセスなしに未検出で変更され得ない場合、完全性のために保護されている。

機密性のためのＴＴＰと完全性のためのＴＴＰとは、異なるＴＴＰである。これは、それらが、少なくとも異なるルート鍵材料を使用することを意味する。場合によっては、ＴＴＰのパラメータは、ローカル鍵材料がノードによって合成され得るように、同じである。しかしながら、機密性のためのＴＴＰは、完全性のためのＴＴＰのルート鍵材料に対応するローカル鍵材料を生成することができないこと、より詳細には、完全性のためのＴＴＰによって生成されたそのようなローカル鍵材料から取得される共有鍵を生成することができないことが、重要である。概して、この条件は、異なる秘密ルート鍵材料を選定することによって、容易に満たされ得る。たとえば、ＨＩＭＭＯ又はＢｌｕｎｄｏベースシステムが使用される場合、ルート鍵材料は、異なる多項式を含む。一実施形態では、機密性のための（１つ又は複数の）ＴＴＰと完全性のための（１つ又は複数の）ＴＴＰとは、物理的に別個のサーバ上で実施される。機密性のための（１つ又は複数の）ＴＴＰと完全性のための（１つ又は複数の）ＴＴＰとは、異なる管轄、たとえば、異なる国に位置する。異なるＴＴＰは、同じ方式を使用し得るが、異なるルート鍵材料をもつ。鍵材料を合成するために、いくつかの鍵事前配布方式は、ＴＴＰが、同じパラメータ（たとえば、法）を使用するが、異なるルート鍵材料（たとえば、多項式、マトリックスなど）を使用することを必要とする。一般に、同じ第１又は第２の識別情報のためにローカル鍵材料が生成されることも、必要とされる。

上記で参照された第１のネットワークノードの第１の識別情報及び第２の識別情報は、使用される識別情報ベース鍵事前配布方式に好適な識別情報である。一般に、これらの識別情報は秘密でないが、ローカル鍵材料は秘密である。識別情報は、同じであるか、又はシリアル番号、ネットワークアドレス、たとえばＩＰアドレス、ＭＡＣアドレス、リアルネームなどのような識別する情報から取得される。第１の識別情報及び／又は第２の識別情報は、マスタ識別情報から、又は資格証明書から生成される。たとえば、Ｘ．５０９証明書、場合によっては署名なしのＸ．５０９証明書のハッシュが、識別情報として使用されることがある。識別する情報から識別情報を導出することは、ＴＴＰによる暗黙的許可の利点を有する。識別情報を導出することは、鍵導出関数（ＫＤＦ：ｋｅｙ ｄｅｒｉｖａｔｉｏｎ ｆｕｎｃｔｉｏｎ）を使用する。ＫＤＦの一例は、たとえば、ＣＭＬＡ技術仕様、バージョン：Ｖ１．４３−２０１３１２１８からのＣＭＬＡ＿ＫＤＦにおいて与えられるか、又は「ＤＲＭ仕様」、ＯＭＡ−ＴＳ−ＤＲＭ−ＤＲＭ−Ｖ２＿０＿２−２００８０７２３−Ａ、Ｏｐｅｎ Ｍｏｂｉｌｅ Ａｌｌｉａｎｃｅ（商標）、バージョン２．０．２、セクション７．１．２において定義されているＫＤＦ機能などにおいて与えられる。鍵導出関数は、たとえば、連結の後に、Ｖのエントリに適用される。

第１の識別情報及び第２の識別情報は、第１のネットワークノード２００のストレージ（このストレージは別個に示されてない）に記憶される。代替的に、第１の識別情報及び第２の識別情報が導出される情報が、ネットワークノード２００に記憶される。

一実施形態では、第１の識別情報と第２の識別情報とは等しい。事実上、これは、セキュリティに有害な影響を及ぼすように見えないシステムを実装するための簡単なやり方である。

ローカル鍵材料の合成を可能にする識別情報ベース鍵事前配布方式が使用される場合、ネットワークノードが、機密性のための複数のローカル鍵材料又は完全性のための複数のローカル鍵材料を受信し、次いで、ネットワークノードは、複数のローカル鍵材料を合成し、合成鍵材料、たとえば、機密性のための合成ローカル鍵材料及び／又は完全性のための合成ローカル鍵材料を記憶する。しかしながら、合成されていないローカル鍵材料を保ち、必要に応じて後でそれらを合成することにおける利点がある。

第１のネットワークノード２００は、第１のネットワークノードと他のネットワークノードとの間のデジタル通信のために構成された通信インターフェース２２０を備える。たとえば、他のノードは、以下で説明される第２のネットワークノード２０１である。通信インターフェース２２０は、デジタルネットワーク、たとえば、Ｗｉ−Ｆｉ（登録商標）などワイヤレスネットワーク、又はイーサネット（登録商標）などのワイヤードネットワーク、又はそれらの組合せを介して通信するように設定される。たとえば、デジタルネットワークは、センサーネットワーク、又はインターネットなどである。ローカル鍵材料は、その通信インターフェース、たとえば、通信インターフェース２２０を通ってネットワークノードに記憶されるが、アウトオブバウンズ方法、たとえば、メモリデバイス、たとえば、メモリスティックを使用する転送が可能であり、通信インターフェース２２０は、ワイヤレスネットワークインターフェースなどである。

第１のネットワークノード２００は、第２のネットワークノード、たとえば、第２のネットワークノード２０１の第１の識別情報及び第２の識別情報を取得するように設定された、識別情報取得器２４１を備える。また、第２のネットワークノードの第１の識別情報と第２の識別情報とは同じである。第２のネットワークノードの第１の識別情報及び第２の識別情報は、たとえば、ハッシュ関数を適用することによって、第１の識別情報及び第２の識別情報がそこから導出される、識別する情報の形式で取得される。鍵識別情報、第１の識別情報及び／又は第２の識別情報は、他方のノードから受信されるか、ローカルアドレス帳から取り出されるか、又はオンラインアドレス帳などから取り出される。

第１のネットワークノード２００は、通信、たとえばデジタルメッセージを、第２のネットワークノードに送るように構成される。たとえば、通信は、デジタルメッセージ、たとえば、ネットワークメッセージ、プロトコルメッセージ、電子メール、ドキュメントなどである。

第１のネットワークノード２００は、随意の合成器２４３を備える。ストレージ２１０が、機密性のための複数のローカル鍵材料又は完全性のための複数のローカル鍵材料を含む場合、合成器２４３は、機密性のための単一のローカル鍵材料及び完全性のための単一のローカル鍵材料を取得する。

たとえば、合成器２４３は、同じタイプのローカル鍵材料を合成するように構成され、それについて、第２のネットワークノードは、同じＴＴＰから受信された、たとえば同じルート鍵材料から生成された、ローカル鍵材料を有することが知られている。たとえば、第１のネットワークノード２００は、第２のネットワークノード２０１から、それがサポートするＴＴＰを用いたメッセージを受信する。この場合、ローカル鍵材料は、方式に適するように、たとえば、ある法を法として加えることによって合成される。代替的に、合成器２４３は、合成せずに、場合によっては複数のローカル鍵材料のうちの１つ、たとえば、各タイプについて１つのローカル鍵材料を選択する。機密性のための単一のＴＴＰ及び完全性のための単一のＴＴＰのみがシステムにおいて使用される場合、合成器２４３は必要とされない。

第１のネットワークノード２００は、共有鍵ユニット２４４を備える。共有鍵ユニット２４４は、２つの鍵、すなわち、機密性を保護するための第１の共有鍵２４５と、完全性を保護するための第２の共有鍵２４６とを計算するように構成される。

機密性を保護するための第１の共有鍵２４５は、第２のネットワークノードの第１の識別情報と、第１のネットワークノードの機密性を保護するためのローカル鍵材料とから計算される。一実施形態では、機密性を保護するための１つのローカル鍵材料のみ、たとえば、機密性を保護するためのローカル鍵材料２１２が使用される。一実施形態では、たとえば、合成器２４３によって計算された、機密性を保護するための合成ローカル鍵材料が使用される。たとえば、共有鍵ユニット２４４は、鍵確立アルゴリズムを第２のネットワークノードの第１の識別情報と、機密性のためのローカル鍵材料とに適用するように構成される。

完全性を保護するための第２の共有鍵２４６は、第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから計算される。一実施形態では、完全性を保護するための１つのローカル鍵材料のみ、たとえば完全性を保護するためのローカル鍵材料２１６が使用される。一実施形態では、たとえば、合成器２４３によって計算された、完全性を保護するための合成ローカル鍵材料が使用される。たとえば、共有鍵ユニット２４４は、鍵確立アルゴリズムを第２のネットワークノードの第２の識別情報と、機密性のためのローカル鍵材料とに適用するように構成される。

識別情報ベース鍵事前配布システムが、それを必要とする場合、共有鍵ユニット２４４は鍵調停データをも計算する。たとえば、いくつかの事例では、鍵調停データが、共有鍵のいくつかの最下位ビットである（その場合、共有鍵は、秘密の喪失を補償するために、対応してより長く選定される）。図１ａでは、随意の鍵調停データの送信が、共有鍵ユニット１４４から通信インターフェース２２０への破線によって示されている。いくつかの方式、たとえば、Ｂｌｕｎｄｏが、鍵調停データを必要としないことに留意されたい。

第１のネットワークノード２００は、暗号化ユニット２４８を備える。暗号化ユニット２４８は、第１の共有鍵２４５を使用してメッセージを暗号化するように構成される。たとえば、暗号化ユニット２４８は、ブロック暗号、たとえば、ＡＥＳ、トリプルＤＥＳ、Ｂｌｏｗｆｉｓｈなどを適用するように構成され、ブロック暗号は、暗号化のモード、たとえば、暗号ブロック連鎖（ＣＢＣ）、カウンタモード（ＣＴＲ）などのために構成される。

第１のネットワークノード２００は、ｍａｃ生成ユニット２４９を備える。ｍａｃ生成ユニット２４９は、第２の共有鍵を使用して、メッセージについて第１のメッセージ認証コード２４６を計算するように構成される。たとえば、ｍａｃ生成ユニット２４９は、ｍａｃアルゴリズム、たとえば、ＳＨＡ−１、ＳＨＡ−２５６などのハッシュアルゴリズムに基づくＨＭＡＣ、又は、たとえばＡＥＳ、トリプルＤＥＳ、Ｂｌｏｗｆｉｓｈなどに基づく、ブロック暗号ベースｍａｃ、たとえば、ＣＢＣ−ＭＡＣを適用するように構成される。メッセージについてｍａｃが生成され得る、いくつかのやり方がある。たとえば、以下の通りである。
・ ＭＡＣ処理、次いで暗号化：クリアテキストメッセージに対するＭＡＣを計算し、それをメッセージに添付し、次いで、全体を暗号化する。
・ 暗号化及びＭＡＣ処理：クリアテキストメッセージに対するＭＡＣを計算し、クリアテキストを暗号化し、次いで、暗号文メッセージの端部にＭＡＣを添付する。
・ 暗号化、次いでＭＡＣ処理：クリアテキストを暗号化し、暗号文に対するＭＡＣを計算し、それを暗号文に添付する。この場合、初期化ベクトル（ＩＶ）及び暗号化方法識別子が、ＭＡＣ処理されたデータ（ＭＡＣｅｄ ｄａｔａ）中に含まれることに留意されたい。

最後に、暗号化されたメッセージ及び第１のメッセージ認証コードが、通信インターフェース２２０を介して第２のネットワークノードに送られる。第１の鍵及び／又は第２の鍵の正常な生成を保証するために鍵調停データが必要とされる場合、鍵調停データも第２のネットワークノードに送られる。たとえば、暗号化されたメッセージ、第１のメッセージ認証コード、及び場合によっては鍵調停データは、１つのより大きいメッセージ中に含まれ得る。

暗号化及びｍａｃ生成は、異なるＴＴＰから受信されたローカル鍵材料から導出される、異なる鍵を使用することに留意されたい。たとえば、機密性のためのＴＴＰから、機密性のためのＴＴＰのルート鍵材料及び／又は第１のネットワークノードのための機密性のためのＴＴＰによって生成されたローカル鍵材料が取得された場合、傍受されたメッセージが合法的当局によって解読され得る。しかしながら、当局がこのルート鍵材料／ローカル鍵材料へのアクセスを有する場合でも、当局は、これらのメッセージに対するｍａｃをスプーフィングすることができない。これを、同じＴＴＰから取得された鍵材料を使用して機密性と完全性の両方の保護が行われるシステムと、比較する。そのような場合、メッセージを解読することができる誰もが、必然的にそのメッセージのためのＭＡＣコードを生成することも可能である。言い換えれば、そのようなシステムにおける合法的当局は、証拠を偽造する能力を有する。合法的当局がそのような能力をこれまでに使用しなかった場合でも、そのような能力は、メッセージが改ざんされ得たという理由だけで、証拠としてのメッセージの価値を低下させる。

複数のＴＴＰが使用される場合、追加の利点は、すべてのＴＴＰが、鍵材料の要求が合法的であることに同意しなければならないことである。これは、２つ以上のＴＴＰが要求の正当さを検証することになるので、鍵材料のための合法的に正しい要求のみが受け付けられる可能性を高くする。

図１ｂは、図１ａに示されている第１のネットワークノード２００と協働するように構成された、第２のネットワークノード２０１の一実施形態の一例を概略的に示す。図１ａに示されている第１のネットワークノード２００は、メッセージを送るように構成され、図１ｂに示されている第２のネットワークノード２０１は、メッセージを受信するように構成される。図１ａの実施形態と図１ｂの実施形態とは、メッセージを送信すること及び受信することの両方が可能であるネットワークを取得するために組み合わせられる。

第２のネットワークノード２０１は、ネットワークノード２００と同様である。以下で、２つの間の顕著な差のうちのいくつかが説明される。

第１のネットワークノード２００のように、ネットワークノード２０１も鍵ストレージ２６０を備える。鍵ストレージ２６０も、機密性を保護するためのローカル鍵材料と、完全性を保護するためのローカル鍵材料とを記憶する。第２のネットワークノード２０１は、そのローカル鍵材料を異なるＴＴＰから受信していることがあるが、第１のネットワークノードと第２のネットワークノードとが正常に通信するべきである場合、機密性のための少なくとも１つのＴＴＰと完全性のための少なくとも１つのＴＴＰとの重複があるべきである。たとえば、これは、機密性のための単一のＴＴＰと完全性のための単一のＴＴＰとのみが使用される場合に、達成される。

図１ａ及び図１ｂに示されている実施形態では、少なくとも共通のＴＴＰ２９２、及びＴＴＰ２９６が示されている。これが唯一の共通のＴＴＰである場合、対応するローカル鍵材料が使用されるべきである。より多くの共通のＴＴＰがある場合、それらのローカル鍵材料は合成される。

第２のネットワークノード２０１は、第１のネットワークノードの第１の識別情報及び第２の識別情報を取得するように構成された、識別情報取得器２７１を備える。識別情報取得器２７１は、識別情報取得器２４１と同じように動作する。第１のネットワークノード２００の第１の識別情報及び第２の識別情報は、第１のネットワークノード２００の通信、たとえば、暗号化されたメッセージとともに受信される。識別情報取得器２４１及び識別情報取得器２７１はまた、第１の識別情報及び／又は第２の識別情報を、公共データベース、ローカルアドレス帳などで見つける。

第２のネットワークノード２０１は、たとえば、通信インターフェース２２０と同じ又は同様のタイプの、通信インターフェース２６５を備える。通信インターフェース２６５を通して、第１のネットワークノード２００から第１のメッセージ認証コードと、暗号化されたメッセージとが受信される。

第２のネットワークノード２０１は、共通のＴＴＰによって生成されたローカル鍵材料を選択及び／又は合成するための随意の合成器２７３を備える。第２のネットワークノード２０１は、
− 第２のネットワークノードの第１の識別情報と、第１のネットワークノードの機密性を保護するためのローカル鍵材料とから、機密性を保護するための第１の共有鍵２４５を計算することと、
− 第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第２の共有鍵２４６を計算することと
を行うように構成された共有鍵ユニット２７４を備える。

共有鍵ユニット２７４は、第１の鍵及び／又は第２の鍵を計算するために、第１のネットワークノード２００から受信された鍵調停データを使用するように構成される。たとえば、鍵調停データは、たとえば、暗号化されたメッセージ、及び／又は第１のｍａｃとともに、通信インターフェース２６５を介して受信される。これは、インターフェース２６５から共有鍵ユニット２７４への破線で示されている。

第２のネットワークノード２０１は、第１の共有鍵を使用して、暗号化されたメッセージを解読するように構成された、解読ユニット２７８を備える。第２のネットワークノード２０１は、第２の共有鍵を使用して、第１のメッセージ認証コードを検証するように構成された、ｍａｃ検証ユニット２７９を備える。

ｍａｃが正しくないことをｍａｃ検証ユニット２７９が検出した場合、ｍａｃ検証ユニット２７９は、アラームを発し、たとえば、エラーメッセージを第２のネットワークノード２０１のユーザに送り、たとえば、アラームメッセージをさらなるパーティ、たとえば、さらなるサーバなどに送る。

第２のネットワークノード２０１は、メッセージを解読することと、メッセージの完全性を検証することの両方が可能であることに留意されたい。しかしながら、合法的に傍受されたメッセージは、合法的当局に与えられた、鍵材料へのアクセスに応じて、解読されることのみが選択的に可能にされ得る。

したがって、実施形態は以下の利点を有する。
（ａ） 送信側及び受信側の両方が、それらのローカル鍵材料を使用して、メッセージを暗号化及び解読し、ＭＡＣを検証することができる。
（ｂ） 機密性のためのＴＴＰが同意する場合、合法的傍受が可能であるが、完全性のためのＴＴＰが同意しない限り、合法的傍受者によるスプーフィングが可能でない。

図１ｃは、第１のネットワークノード２０２の一実施形態の一例を概略的に示す。ネットワークノード２０２は、ネットワークノード２００に基づくが、さらなる有利な機能を用いて拡張される。第１のネットワークノード２０２は、メッセージを第２のネットワークノードに送るように設定される。受信側のノード、たとえば、第２のネットワークについて、ネットワークノード２０１を使用し得、ネットワークノード２０１は、図１ｃによる一実施形態によって追加された追加の要素、たとえば、第２のｍａｃを無視するように適応される（下記参照）。

図１ａに関して説明された要素に加えて、第１のネットワークノード２０２は、さらなる識別情報取得器２４２を備える。さらなる取得器２４２は、さらなる識別情報を取得するように設定される。さらなる識別情報は、第２のネットワークノードの第１の識別情報及び第２の識別情報とは異なる。重要であることは、第２のネットワークノードが、さらなる識別情報に対応するローカル鍵材料を有しないことである。また、一実施形態では、第１のネットワークノードの第１の識別情報及び第２の識別情報とは異なるさらなる識別情報が、選定される。事実上、好ましくは、ネットワークノードのいずれも、さらなる識別情報に対応するローカル鍵材料へのアクセスを有せず、これは、さらなる識別情報が、共通のネットワークノードによって使用される識別情報とは別様に選定されることを意味する。この場合、共通のネットワークノードは、さらなる識別情報に対応するローカル鍵材料又はルート鍵材料へのアクセスを有しないネットワークである。

たとえば、さらなる識別情報は、それが第２のネットワークノードに知られないように選定され、これは、第２のネットワークノードが、対応する鍵材料をも有しないことを暗示する。しかしながら、異なる利点をもつ、さらなる識別情報を選択するための多くの異なるやり方がある。これらのオプションのうちのいくつかが以下で説明される。

共有鍵ユニット２４４は、さらなる識別情報と、少なくとも、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第３の鍵２４７を計算するように構成される。たとえば、共有鍵ユニット２４４は、第３の鍵２４７を取得するために、鍵確立アルゴリズムをさらなる識別情報と、完全性のためのローカル鍵材料とに適用するように構成される。ｍａｃ生成ユニット２４９は、第３の鍵を使用して、少なくともメッセージについて第２のメッセージ認証コードを計算するように構成される。最終的に、第２のメッセージ認証コードは、たとえば、暗号化されたメッセージと第１のメッセージ認証コードとともに第２のネットワークノードに送られる。代替的に、第２のｍａｃがいつか必要とされた場合、メッセージの真正性が証明され得るように、第２のメッセージ認証コードは、第２のｍａｃを保つと信頼されている信頼できる当局に送られる。信頼できる当局、たとえば、完全性のためのＴＴＰに送信するとき、メッセージを後で見つけることが容易になるように、メッセージ識別子、たとえば、シーケンス番号、タイムスタンプ、メッセージのハッシュ、場合によってはメッセージ自体が含まれる。さらなる識別子も含まれる。

第３の鍵を復元するために、以下を使用する。
Ａ：さらなる識別情報、及び、第１のネットワークノード２０２の完全性を保護するためのローカル鍵材料、又は
Ｂ：完全性を保護するためのローカル鍵材料に対応する第１のネットワークノード２０２の第２の識別情報、及び、第１のネットワークノード２０２の完全性を保護するためのローカル鍵材料を生成した同じ（１つ又は複数の）ＴＴＰによって、さらなる識別情報のために生成されたローカル鍵材料。

第１のネットワークノード２０２は、オプションＡのすべての要素を所有しているので、第３の鍵を計算することができる。第２のネットワークノードは、オプションＡの要素を所有せず（第２のネットワークノードは、第１のネットワークノード２０２の完全性を保護するためのローカル鍵材料へのアクセスを有しない）、また、オプションＢの要素も所有しない（第２のネットワークノードは、さらなる識別情報に対応するローカル鍵材料を有せず、特に、さらなる識別情報は、第２のネットワークノードがローカル鍵材料を有する、識別情報とは異なる）ので、第２のネットワークノードは、第３の鍵を計算することができない。

その結果、第２のｍａｃは、メッセージが改ざんされておらず、第１のネットワークノード２０２によって実際に書かれたという有効な保証を提供する。第３の鍵が対称鍵であるにもかかわらず、受信側のパーティ、第２のネットワークノードは、第３の鍵へのアクセスを有せず、第２のｍａｃをスプーフィングすることが可能でない。このことの副作用は、第２のネットワークノードも、第２のｍａｃを検証することが可能でないということである。とはいえ、これは必ずしも問題ではなく、特に、第２のネットワークノードが第１のｍａｃを検証することができるので、問題ではない。

さらなる識別情報を取得するための１つのオプションは、さらなる識別情報取得器２４２を、さらなる識別情報をランダムに選択するように設定することである。さらなる識別情報がランダムである場合、それが、第２のネットワークノードの第１のネットワーク識別情報及び第２のネットワーク識別情報に等しくないことは、自動的である。一実施形態では、ランダムに割り当てられた識別情報間の衝突の可能性が低くなるように、識別情報のビットサイズが選定される。その場合、ランダムに選定されたさらなる識別情報が、別のノードの識別情報に等しくなる可能性も低い。たとえば、識別情報のビットサイズは、システム中のネットワークノードの数に応じて、及び／又は予想される通信の数に応じて選定される。たとえば、識別情報は、３２ビット、６４ビット、１２８ビット、２５６ビット、又はそれ以上などである。

興味深いことに、ランダムなさらなる識別情報を選定することによって、完全性を保護するための（１つ又は複数の）ＴＴＰによって、対応するローカル鍵材料がまだ生成されていないことも保証される。これは、第２のｍａｃを計算する瞬間において、第１のネットワークノード２０２が、第３の鍵へのアクセスを有する唯一のネットワークノードであることを意味する。完全性を保護するための（１つ又は複数の）ＴＴＰが、さらなる識別情報に対応するローカル鍵材料を計算することを決定するときのみ、他のエンティティが第３の鍵を計算することが可能になる。したがって、このオプションは、第２のｍａｃが正しい場合、第２のｍａｃが第１のネットワークノードによって実際に計算されたという高い保証を与える。さらなる識別情報を完全にランダムに選定する代わりに、さらなる識別情報は、何らかの大きいセットからも選択される。

第１のネットワークノード２０２は、さらなる識別情報を第２のネットワークノードに、又は信頼されたパーティに送るように設定される。このようにして、たとえば訴訟の場合、合法的傍受を検証するために、第３の鍵を計算するために後で必要とされるさらなる識別情報は、最初に、メッセージを傍受することができる傍受者にとって利用可能である。必要であれば、同じことが鍵調停データについても成り立つ。

さらなる識別情報を送ることを回避し、したがってシステムが受けるオーバーヘッドを低減するための様々なやり方がある。たとえば、さらなる識別情報は、固定識別情報であるか、又は許容されるさらなる識別情報の小さいセットから選択される。この場合、さらなる識別情報は、すべての又は多くのネットワークノードに知られていることがある。依然として、ネットワークノードは、さらなる識別情報のために生成されたローカル鍵材料を有しないので、これは問題でない。そのような鍵材料は、（第１のネットワークノードの第２の識別情報とともに）第３の鍵を計算するために必要とされる。

さらなる例として、さらなる識別情報は、たとえば、ハッシュ関数をメッセージに適用すること、又はＫＤＦを適用することなどによって、メッセージ自体から生成される。一実施形態では、さらなる識別情報をメッセージから導出する前に、たとえば、メッセージとランダムなソルト（ｓａｌｔ）との合成にハッシュを適用することによって、そのソルトがメッセージにアタッチされる。これは、さらなる識別情報が、必要に応じてメッセージから計算され、したがって、転送される必要がないという利点を有する。同時に、さらなる識別情報は、対応するローカル鍵材料がすでに生成されている可能性が低くなるように、ランダムな性質を有する。ソルトは、さらなる識別情報よりも小さいビットサイズ、たとえば、３２ビット及び６４ビットなどを有する。より大きい識別情報、たとえば、１２８ビットが可能である。ソルトが使用される場合、ソルトは、第２のｍａｃを受信する任意のパーティ、たとえば、第２のネットワークノードに通信される。

興味深いことに、さらなる識別情報は、第１のネットワークノード２０２の第２の識別情報として選定される。通常は、鍵が他のパーティの識別情報とそれ自体の鍵材料とから導出されることに留意されたい。それ自体の識別情報と鍵材料とから鍵を計算することによって、他のパーティによって再計算され得ない鍵が、他のパーティが第１のネットワークノードのローカル鍵材料へのアクセスを有する場合を除いて、取得される。後者は、共通のネットワークノードについての場合ではない。しかしながら、完全性の保護のための（１つ又は複数の）ＴＴＰは、識別情報のためのローカル鍵材料を計算することが可能であり、したがって、第３の鍵を計算することもできる。

さらなる識別情報が、すでに知られているか、又はメッセージから導出され得る、これらの場合、さらなる識別情報を第２のネットワークノードに送ることは必要とされない。しかしながら、ソルトが使用される場合、ソルトを送ることが必要とされる。

第２のｍａｃはメッセージについて計算されるが、第１のメッセージ認証についての上記のように、これを行うための様々なやり方がある。たとえば、第２のｍａｃは、メッセージの平文（ｐｌａｉｎ ｔｅｘｔ）について、暗号化されたメッセージについて、第１のｍａｃとともにメッセージについて、第１のｍａｃとともに暗号化されたメッセージなどについて、直接計算される。一実施形態では、第２のメッセージ認証コードは、少なくともメッセージと第１のメッセージ認証コードとについて計算される。後者のオプションは、第１のｍａｃが変えられたかどうかを、第１のｍａｃを計算するために使用された鍵を知る必要なしに検証することを可能にする。

一実施形態では、第２のｍａｃは、少なくとも平文メッセージと、場合によっては第１のｍａｃとについて計算される。これは、完全性のためのＴＴＰは、それが平文へのアクセスを有する場合のみ、ｍａｃを検証することができ、したがって、ｍａｃを変更することができるという利点を有する。しかしながら、完全性のためのＴＴＰは、それ自体で平文を取得することができない。完全性のためのＴＴＰは、機密性のためのＴＴＰに依存する。このようにして、２つタイプのＴＴＰは、互いの均衡を保つ。

第３の鍵を計算するためのローカル鍵材料は、第２の共有鍵を計算するためのローカル鍵材料と同じである。同じく第３の鍵のために、複数のＴＴＰのローカル鍵材料が合成される。事実上、第３の鍵について、同じＴＴＰからの鍵材料を第２のネットワークノードが有することを保証する必要さえない。一実施形態では、同じく機密性のためのＴＴＰのローカル鍵材料が、完全性のためのＴＴＰのローカル鍵材料と混合される。たとえば、一実施形態では、合成器２４３は、機密性のためのローカル鍵材料と完全性のためのローカル鍵材料とを合成し、合成ローカル鍵材料を形成するように設定され、第３の鍵が、さらなる識別情報と合成ローカル鍵材料とから導出される。

より多くのローカル鍵材料を合成することは、ローカル鍵材料が使用されたすべてのＴＴＰが、不正行為に参加する必要があるので、不正なＴＴＰがメッセージに対するＭＡＣを改ざんすることがより難しくなるという利点を有する。

いくつかの鍵事前配布方式は、ローカル鍵材料を直接合成するオプションを有しない。合成する場合でも、そのような方式が一実施形態で使用され得るが、この場合、ローカル鍵材料のために別個に第１の中間鍵（ｉｎｔｅｒｍｅｄｉａｔｅ ｋｅｙ）が計算され、それらは次いで、単一の鍵を形成するために合成される。後者の合成は、中間鍵に対する任意の鍵導出アルゴリズム、たとえば、ＫＤＦ、又は直接ＸＯＲ（ｄｉｒｅｃｔ ＸＯＲ）によって行われる。たとえば、一実施形態では、共有鍵ユニット２４４は、最初に、さらなる識別情報と第１のネットワークノードの完全性を保護するためのローカル鍵材料とから中間の第３の鍵を取得し、中間の第３の鍵を第１の鍵と合成することによって、第３の鍵を計算するように設定される。

本発明は、複数の問題に、たとえば、以下の態様のうちの１つ又は複数によって対処する、（ａ）メッセージの本文のために使用されないメッセージについてのＭＡＣのための少なくとも１つの追加のＴＴＰを使用する、及び（ｂ）メッセージ中に、受信側へ宛てられていないが、この追加のＴＴＰによって単独で管理されるさらなる識別情報に宛てられた、送信側による第２のメッセージを含め、このメッセージは同じくメッセージについてのＭＡＣを含む。さらなる識別情報は、第２のｍａｃの宛て先のパーティの識別情報であり得るが、このことは必要ではない。

合法的傍受エンティティは、さらなる識別情報のためのＭＡＣを解読することによって、受信側が、メッセージを受信したことをスプーフィングしたかどうかを検査することができることに留意されたい。合法的傍受エンティティは、この情報を偽造することができない。

さらに、メッセージは、合法的傍受に関する異なるルールを有する複数の管轄をしばしば横断する。本発明の実施形態を使用して、各管轄は、たとえば、適切な管轄のＴＴＰを使用して第２のｍａｃを生成することによって、各管轄が必要とする傍受及び／又は検証能力を得ることができる。たとえば、異なる管轄中のＴＴＰを使用して、複数の第２のｍａｃが生成される。

図２は、通信システム１９５の一実施形態の一例を概略的に示す。

通信システム１９５は複数のネットワークノードを備える。第１のネットワークノード１００と、第２のネットワークノード１５０とが、図２に示されている。より多くのネットワークノード、たとえば、１００個、１０００個、１００００個超などがあり得る。

通信システム１９５は、少なくとも２つのＴＴＰ、すなわち、機密性のための信頼できるサードパーティ１９２と、完全性のための信頼できるサードパーティ１９４とを備える。各種類の２つ以上のＴＴＰがあり得る。

ネットワークノードは、互いと通信する、たとえば、デジタルネットワーク１９０を介して、デジタルメッセージを互いに送るように設定される。ネットワークノードは、デジタルネットワーク１９０を介して他のネットワークノードに通信するように設定された、通信インターフェースを有する。第１のネットワークノード１１０中の通信インターフェース１２０と、第２のネットワークノード１５０中の通信インターフェース１７０とが、図２に示されている。

一実施形態では、ネットワークノードは、異なるＴＴＰから取得されたローカル鍵材料を用いてメッセージの機密性と完全性とを保護するように設定される。ローカル鍵材料は、鍵ストレージに記憶される。鍵ストレージは、不揮発性電子メモリ、磁気又は光ストレージなどである。第１のネットワークノード１１０中の鍵ストレージ１１０と、第２のネットワークノード１５０中の鍵ストレージ１６０とが、図２に示されている。

各ネットワークノードはプロセッサ回路を備える。第１のネットワークノード１１０中のプロセッサ回路１３０と、第２のネットワークノード１５０中のプロセッサ回路１８０とが、図２に示されている。プロセッサ回路は、一実施形態による機密性と完全性とのためのメッセージを保護し、メッセージを解読及び検証するように設定される。たとえば、プロセッサ回路は、図１ａ、図１ｂ及び図１ｃのうちの任意の１つを用いて示されている一実施形態のために設定される。

図３は、完全性を保護するための信頼できるサードパーティデバイス４００の一実施形態の一例を概略的に示す。このＴＴＰデバイス４００は、完全性のための単一のＴＴＰが使用される場合、及びネットワークノードが第３の鍵を取得するために複数のＴＴＰのためのローカル鍵材料を混合しない場合、使用される。ローカル鍵材料が混合される場合、他の手法が可能である。たとえば、ＴＴＰは、たとえば、以下のように計算されたローカル鍵材料をさらなるＴＴＰに提供し、さらなるＴＴＰは、ローカル鍵材料を合成し、第２の鍵又は第３の鍵を計算し、第１のｍａｃ又は第２のｍａｃを検証する。

ＴＴＰ４００は、ルート鍵材料を記憶するように構成された鍵ストレージ４１０を備える。ルート鍵材料は、使用される鍵事前配布方式による。ルート鍵材料と識別情報とから、ローカル鍵材料が計算され得る。

ＴＴＰ４００は、２つの通信インターフェース、すなわち、第１の通信インターフェース４２２と第２の通信インターフェース４２４とを備える。これらは、複数の目的のために単一の通信インターフェースを共有することによって実施され得るが、このことは必要とされない。

第１通信インターフェースと第２の通信インターフェースとは、異なる様式で保護される。たとえば、第１の通信インターフェースは、たとえば、製造環境において使用され、そこでは、ローカル鍵材料についての多数の要求が、少数の要求側、たとえば、モバイルフォン、スマートカードなどの製造業者から行われる。たとえば、この需要に適応するために、第１の通信インターフェースは、デジタルコンピュータネットワークインターフェースであり、そこでは、要求側が、たとえば、従来のＸ．５０９認証システムを使用して、それら自体を認証する。第２の通信インターフェースは、たとえば、法執行機関によって使用される。第２の通信インターフェースは、第１の通信インターフェース、たとえば、保護されたデジタルコンピュータネットワークインターフェースと同様のやり方で行われるが、それは異なることもある。

たとえば、第２の通信インターフェース４２４は、いわゆるアウトオブバンド機構を使用して実施され、その機構は、ＴＴＰ４００への特殊なアクセス、たとえば、ローカルキーボード、ローカルｕｓｂポートなどを通って、たとえば、サーバを通るローカルアクセスを必要とする。第１の通信インターフェースと第２の通信インターフェースの両方が、あるタイプの認証、たとえば、暗号化認証トークン、ドングルなどを必要とする。

第１の通信インターフェース４２２は、第２の識別情報４４２を受信するように構成される。第２の識別情報４４２は、完全性を保護するためのローカル鍵材料が計算されることになる、ネットワークノードの第２の識別情報に対応する。

ＴＴＰ４００は、ローカル鍵材料生成器４３２を備える。ローカル鍵材料生成器４３２は、識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを第２の識別情報と、ルート鍵材料とに適用することによって、完全性を保護するための第１のローカル鍵材料を計算するように設定される。

第１の通信インターフェース４２２及びローカル鍵材料生成器４３２は、ネットワークノードのためのローカル鍵材料を計算するためにＴＴＰ４００において使用される。たとえば、ＴＴＰ４００は、ネットワークノードを製造する際に、及びネットワークノードにローカル鍵材料を提供するために使用される。たとえば、ＴＴＰ４００は、対応するローカル鍵材料とともに識別情報４４２を含むローカル鍵材料についての要求に応答するために、通信インターフェース４２２を使用する。ローカル鍵材料は、識別情報４４２に対応する１つのネットワークノードを除いてすべてのネットワークノードにとって秘密であるので、ＴＴＰ４００とそのインターフェースとを保護するために、適切な注意が払われなければならない。

第２の通信インターフェース４２４は、送信側の第２の識別情報と受信側の第２の識別情報とを受信するように構成される。送信側の第２の識別情報と受信側の第２の識別情報とは、一緒に４４４として示されている。第２の通信インターフェース４２４は、メッセージとメッセージ認証コードとを受信するようにさらに構成される。メッセージとメッセージ認証コードとは、一緒に４４６として示されている。送信側の第２の識別情報４４４は、ネットワークノードの第２の識別情報に対応し、ネットワークノードは、メッセージのための（第１のｍａｃとして上記で言及された）ｍａｃを計算するために、ネットワークノードの以前に生成されたローカル鍵材料と、受信側の第２の識別情報、たとえば、第２のネットワークノードの受信側の第２の識別情報とを使用した。この第１のｍａｃは検証されることになる。ＴＴＰ４００は、第２の共有鍵を使用して、メッセージ認証コードとメッセージ４４６との合成を検証するように構成された、ｍａｃ検証ユニット４３４を備える。

ＴＴＰ４００が進むための少なくとも２つのやり方がある。

第１のオプションでは、ローカル鍵材料生成器４３２は、識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムをルート鍵材料と、送信側の第２の識別情報とに適用することによって、完全性を保護するための第２のローカル鍵材料を計算するように設定される。この場合、送信側のネットワークノードによって使用されたものと同じローカル鍵材料が取得される。ｍａｃ検証ユニット４３４は、完全性を保護するための第２のローカル鍵材料と、受信側の第２の識別情報とから第２の共有鍵を計算するように構成される。

第２のオプションでは、ローカル鍵材料生成器４３２は、識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムをルート鍵材料と、受信側の第２の識別情報とに適用することによって、完全性を保護するための第２のローカル鍵材料を計算するように設定される。ｍａｃ検証ユニット４３４は、完全性を保護するための第２のローカル鍵材料と、送信側の第２の識別情報とから第２の共有鍵を計算するように構成される。

ｍａｃ検証ユニット４３４が、メッセージについてのｍａｃを検証すると、ｍａｃ検証ユニット４３４は、たとえば、ｍａｃが正しかったか又は正しくなかったかを示す適切な応答メッセージを送ることができる。

このＴＴＰ４００は、ｍａｃを検証するために鍵材料が開示される必要がないという利点を有する。同様に、ＴＴＰ４００は、メッセージを送った第１のネットワークノードの第２の識別情報、又は第１の（送信側の）ネットワークノードによって選択されたさらなる識別情報のいずれかから、第２のｍａｃを検証することができる。さらなる識別情報は、たとえば、さらなる識別情報がランダムな識別情報である場合、第２の通信インターフェース４２４を通して受信され得、又は、さらなる識別情報は、ＴＴＰ４００によって知られている、たとえば、ＴＴＰ４００のローカルストレージに記憶されているか、又は、さらなる識別情報はメッセージから計算される。

図４は、完全性を保護するための信頼できるサードパーティデバイス３００の一実施形態の一例を概略的に示す。ＴＴＰ３００は、ＴＴＰ４００と同じやり方で動作する。ＴＴＰ４００は、鍵ストレージ３１０、たとえば、（不揮発性）電子メモリ、たとえば、磁気又は光ストレージなどを備える。ＴＴＰ３００は、第１の通信インターフェース３２２と、第２の通信インターフェース３２４とを備える。通信インターフェースは、ネットワークインターフェース、キーボード、通信ポート、たとえば、ｕｓｂポートなどである。ＴＴＰ３００は、一実施形態、たとえば、図３によって示されている一実施形態に従って設定された、プロセッサ回路３３０を備える。

発明者は、以下の条項も利点であることを了解した。出願人は、本出願の遂行又は本出願から導出されるさらなる適用例の遂行中に、そのような条項、及び／又はそのような条項の組合せ、及び／又は説明からとられる特徴に対して、新しい請求項が構築されることを本明細書によって通知する。

条項１：第１のネットワークノード（１００；２００）であって、第１のネットワークノードは、
− 少なくとも、第１のネットワークノードと他のネットワークノードとの間の通信の完全性を保護するためのローカル鍵材料（２１６、２１８；２１７）を記憶するように構成された鍵ストレージ（１１０；１６０；２１０；２６０）であって、完全性を保護するためのローカル鍵材料が、完全性のための信頼できるサードパーティ（ＴＴＰ）（１９４；２９６、２９８；２９７）によって、第１のネットワークノードの第２の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、鍵ストレージ（１１０；１６０；２１０；２６０）と、
− 第１のネットワークノードと他のネットワークノードとの間のデジタル通信のために構成された通信インターフェース（１２０；１７０；２２０；２６５）と、
− たとえば、第２のネットワークノードの第１の識別情報及び第２の識別情報とは異なる、さらなる識別情報を取得することと、
− さらなる識別情報と、少なくとも、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第３の鍵（２４７）を計算することと、
− 第３の鍵を使用して、少なくともメッセージについて第２のメッセージ認証コードを計算することと、
− 第２のメッセージ認証コードを、たとえば、第２のネットワークノードに送ることと
を行うように設定された、プロセッサ回路（１３０）と
を備える、第１のネットワークノード（１００；２００）。

条項２：プロセッサ回路（１３０）が、
− 第２のネットワークノード（１５０；２０１）の第２の識別情報を取得することと、
− 第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第２の共有鍵（２４６）を計算することと、
− 第２の共有鍵を使用して、メッセージについて第１のメッセージ認証コードを計算することと、
− メッセージと第１のメッセージ認証コードとを第２のネットワークノードに送ることと
を行うように設定された、条項１に記載の第１のネットワークノード。

条項１又は２による第１のネットワークノードは、請求項３乃至７のいずれか一項と組み合わせられる。その上、第１のネットワークノードは、メッセージを暗号化するために、機密性のためのＴＴＰからのローカル鍵材料を用いて拡張され得る。

図５は、第１のネットワークノード１００、２００、２０２など、第１のネットワークノードのための電子通信方法５００の一実施形態の一例を概略的に示す。

本方法は、
− 少なくとも、
− 第１のネットワークノードと他のネットワークノードとの間の通信の機密性を保護するためのローカル鍵材料（２１２、２１４；２１３）であって、通信を保護するためのローカル鍵材料が、機密性のための信頼できるサードパーティ（ＴＴＰ）（１９２；２９２、２９４；２９３）によって、第１のネットワークノードの第１の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料（２１２、２１４；２１３）と、
− 第１のネットワークノードと他のネットワークノードとの間の通信の完全性を保護するためのローカル鍵材料（２１６、２１８；２１７）であって、完全性を保護するためのローカル鍵材料が、完全性のための信頼できるサードパーティ（ＴＴＰ）（１９４；２９６、２９８；２９７）によって、第１のネットワークノードの第２の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料（２１６、２１８；２１７）と
を記憶するステップ５１０
を有する。

方法５００は、
− 第２のネットワークノード（１５０；２０１）の第１の識別情報及び第２の識別情報を取得するステップ５２０と、
− 第２のネットワークノードの第１の識別情報と、第１のネットワークノードの機密性を保護するためのローカル鍵材料とから、機密性を保護するための第１の共有鍵（２４５）を計算するステップ５２５と、
− 第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第２の共有鍵（２４６）を計算するステップ５３０と、
− 第１の共有鍵を使用して、メッセージを暗号化するステップ５３５と、
− 第２の共有鍵を使用して、メッセージについて第１のメッセージ認証コードを計算するステップ５４０と、
− 暗号化されたメッセージと第１のメッセージ認証コードとを第２のネットワークノードに送るステップ５４５と
をさらに有する。

方法５００はまた、又は代わりに、
− 第２のネットワークノードから第１のメッセージ認証コードと暗号化されたメッセージとを受信するステップ５５０と、
− 第２のネットワークノードの第１の識別情報及び第２の識別情報を取得するステップ５５５と、
− 第２のネットワークノードの第１の識別情報と、第１のネットワークノードの機密性を保護するためのローカル鍵材料とから、機密性を保護するための第１の共有鍵（２４５）を計算するステップ５６０と、
− 第２のネットワークノードの第２の識別情報と、第１のネットワークノードの完全性を保護するためのローカル鍵材料とから、完全性を保護するための第２の共有鍵（２４６）を計算するステップ５６５と、
− 第１の共有鍵を使用して、暗号化されたメッセージを解読するステップ５７０と、
− 第２の共有鍵を使用して、第１のメッセージ認証コードを検証するステップ５７５と
を有する。

図６は、完全性のための電子的な信頼できるサードパーティ（ＴＴＰ）方法６００の一実施形態の一例を概略的に示す。方法６００は、
− ルート鍵材料を記憶するステップ６１０と、
− 第２の識別情報を受信するステップ６２０と、
− メッセージと、メッセージ認証コードと、送信側の第２の識別情報と、受信側の第２の識別情報とを受信するステップ６３０と、
− 識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを第２の識別情報と、ルート鍵材料とに適用することによって、完全性を保護するための第１のローカル鍵材料を計算するステップ６４０と、
− 識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムをルート鍵材料と、送信側の第２の識別情報とに適用することによって、完全性を保護するための第２のローカル鍵材料を計算し、完全性を保護するための第２のローカル鍵材料と、受信側の第２の識別情報とから第２の共有鍵を計算するステップ６５０と
を有する。段階６５０の代わりに、本方法はまた、識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムをルート鍵材料と、受信側の第２の識別情報とに適用することによって、完全性を保護するための第２のローカル鍵材料を計算し、完全性を保護するための第２のローカル鍵材料と、送信側の第２の識別情報とから第２の共有鍵を計算するステップ６６０の段階と、
− 第３の鍵を使用して、メッセージについてメッセージ認証コードを検証するステップ６７０と
を有する。

以下で、追加の実施形態が説明される。機密性のためのＴＴＰは、本明細書では本文ＴＴＰ、又はｂＴＴＰとも呼ばれる。完全性のためのＴＴＰは、本明細書ではＭＡＣ ＴＴＰ、又はｍＴＴＰとも呼ばれる。実施形態のうちのいくつかは、以下の態様のうちの１つ又は複数を有する。
− メッセージが単に傍受され得るのか（暗号化／機密性）、スプーフィングされ得るのか（認証）を制御することが可能であるように、メッセージの本文のために使用されないメッセージについてのＭＡＣのための少なくとも１つの追加のＴＴＰを使用する、及び
− メッセージ中に、少なくとも、この追加のＴＴＰによって管理されるサードパーティ識別情報に宛てられたサブメッセージを含める、このメッセージは、メッセージ本文についてのＭＡＣを含む。このサードパーティの鍵材料は、好ましくは、追加のＴＴＰによって追加のＴＴＰ外のパーティに配布されない。オプションとして、それは、送信側によって選択された、たとえば、極めて大きい空間から取られた、ランダムな識別情報でもある。
− メッセージ本文（ｂｏｄｙ‐ｏｆ‐ｔｈｅ‐ｍｅｓｓａｇｅ）ＴＴＰからの鍵材料のみを合法的傍受担当に提供する。
− サードパーティ識別情報に宛てられたサブメッセージを解読することと、ＭＡＣがメッセージの本文に適合することを検査することとによって、メッセージが受信側ではなく送信側によって送られたことを検証する。これは、送信側の鍵材料、又は（ランダムに選択された）サードパーティ識別情報の鍵材料を使用して行われ得る。
− 傍受能力を必要とする管轄間で、及び管轄２中のＢに通信することを希望する管轄１中のパーティＡが、管轄１と管轄２との間で共有されるメッセージ本文ＴＴＰのみを使用するために、ルート鍵材料を複製する。

実施形態のうちのいくつかは、以下の効果のうちの１つ又は複数を提供する。
（ａ）送信側と受信側の両方が、メッセージＴＴＰ及びＭＡＣ ＴＴＰのローカル鍵材料（ＫＭ）を使用して、メッセージとＭＡＣの両方を暗号化及び解読することができる。
（ｂ）関連する鍵材料を提供することにメッセージＴＴＰが同意する場合、合法的傍受は可能であるが、合法的傍受者によるスプーフィングは、合法的傍受者がＭＡＣ ＴＴＰの鍵材料へのアクセスを有しない限り可能でない。
（ｃ）ＴＴＰのルート鍵材料が２つ（又はそれ以上）の管轄間で共有される場合、これらの管轄は、これらのＴＴＰから導出された鍵材料によって完全に保護されたメッセージを傍受することを独立して決定することができる。
（ｄ）ＭＡＣ ＴＴＰ又は選択されたサードパーティからの情報を使用して、サードパーティ識別情報に送られたＭＡＣを解読することによって、受信側がメッセージを受信したことをスプーフィングしたかどうかを検査することができ、受信側は、受信側がそのための適切な鍵を生成することを可能にする、鍵材料を有しない。

以下は、これが実際にどのように使用されるかの第１の例である。
１． 動作フェーズでは、送信側及び受信側が、通常通り通信する。それらは、メッセージの完全性を検証するためにＭＡＣを使用する。
２． パーティＡに対する合法的傍受が必要とされる場合、メッセージＴＴＰは、たとえば、パーティＡのローカル鍵材料、ＫＭ＿Ａを、傍受するパーティに提供する。１つのＴＴＰがそのＫＭ＿Ａを共有することを拒否する限り、傍受は行われ得ず、これは、抑制と均衡が改善されることを自動的に暗示する。ＭＡＣ ＴＴＰは、傍受が行われるために情報を共有する必要がない。
３． Ａによって送られたメッセージが裁判所において証拠として使用される場合、そのメッセージがスプーフィングされなかったことが証明され得る。
ａ． 傍受するパーティは、ＭＡＣ ＴＴＰからの鍵材料へのアクセスを得ないので、傍受するパーティは、Ａから／へのメッセージをスプーフィングすることができず、したがって、傍受するパーティは、メッセージ本文を読み取ること及び書き込こむことができるが、傍受するパーティは、ＭＡＣを検証すること又は有意味に書き込むことができない。
ｂ． また、パーティＢが、ランダムに選択されたサードパーティ識別情報からのＭＡＣ鍵材料を有しないので、パーティＢは、Ａからの受信されたメッセージをスプーフィングすることができない。
ｃ． 裁判所は、たとえば、ＭＡＣ ＴＴＰからローカル鍵材料を取り出すことによっても、メッセージがスプーフィングされなかったことを検証することができる。代替的に、ＭＡＣ ＴＴＰ又は選択されたサードパーティ識別情報は、サードパーティ識別情報に送られたメッセージを解読及び／又は検証することができる。

以下で、より詳細な実施形態が開示される。システムは、以下の４つの異なるタイプのエンティティを備える。
１． クライアントＣ：互いに／からメッセージを送信及び受信するデバイス。
２． 本文信頼できるサードパーティ（Ｂｏｄｙ Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ ｐａｒｔｙ）ｂＴＴＰ：クライアント間のメッセージの本文をセキュアにするために使用される信頼の（１つ又は複数の）ルートとして働く、１つ又は複数のサーバ。
３． ＭＡＣ信頼できるサードパーティ（Ｍａｃ Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ ｐａｒｔｙ）ｍＴＴＰ：パーティ間のＭＡＣをセキュアにするために使用される信頼の（１つ又は複数の）ルートとして働く、１つ又は複数のサーバ。
４． 法執行機関Ｌ：クライアントから／へのメッセージを解読する法的権利を有する、１つ又は複数のパーティ。

随意に、ＴＴＰは、最初に、クライアントに鍵材料を発行するための許可を得るために、Ｌに登録する必要がある。

登録フェーズ中に、クライアントＣ＿ａが、すべての本文信頼できるサードパーティｂＴＴＰｉから本文鍵材料ｂＫＭ＿ａ＿ｉを取り出すことによって、それ自体を設定する。クライアントＣ＿ａは、同様に、すべてのｍＴＴＰｉからＭＡＣ鍵材料ｍＫＭ＿ａ＿ｉを取り出す。この鍵材料を取得することは、参照により本明細書に含まれる、同じ出願人のＥＰ特許出願「Ｓｙｓｔｅｍ ａｎｄ ｍｅｔｈｏｄ ｆｏｒ ｄｉｓｔｒｉｂｕｔｉｏｎ ｏｆ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｋｅｙ ｍａｔｅｒｉａｌ ａｎｄ ｃｅｒｔｉｆｉｃａｔｅ」、ＥＰ１６１６２５９７、出願日２０１６年３月２９日、代理人整理番号２０１６Ｐ００２１２ＥＰ、に記載されているシステムを使用し、たとえば、その請求項１に記載のシステムを使用して、公開鍵又はそのハッシュを要求中に含めることによって、たとえば、鍵材料をセキュアに取り出す。

動作フェーズ中に、以下の段階が実施される。
・ クライアントＣ＿ａが、クライアントＣ＿ｃと通信するために、３つの鍵を算出する。
本文鍵ｂＫ＝すべてのｂＫＭ＿ａ＿ｉ（ｃ）の和。
ＭＡＣ鍵ｍＫ＝すべてのｍＫＭ＿ａ＿ｉ（ｃ）の和＋ｂＫ。＋は、鍵事前配布方式の仕様に従って実施されることに留意されたい。代替的に、鍵材料はまた、異なるやり方で、たとえば、排他的論理和をとること又は鍵導出関数によって合成され得る。
送信側の鍵（ｓｅｎｄｅｒ‐ｋｅｙ）ｓＫ（随意）
サードパーティ識別情報ｔを選ぶ（ランダム又は事前に割り当てられる）
ｓＫ＝すべてのｂＫＭ＿ａ＿ｉ（ｔ）の和＋すべてのｍＫＭ＿ａ＿ｉ（ｔ）の和
・ クライアントＣ＿ａは、ｍＫを用いて本文についてＭＡＣを計算する
・ クライアントＣ＿ａは、ｂＫを用いて、Ｃ＿ｃ及びＣ＿ａへのメッセージの本文を暗号化する。すなわち、ｅｎｃ＿ｂｏｄｙ｜ｍ＿ＭＡＣ（ここで、「｜」は連結を示す）。
・ クライアントＣ＿ａは、ｓＫすなわちｓ＿ＭＡＣを用いて、ｅｎｃ＿ｂｏｄｙ｜ｍ＿ＭＡＣについてＭＡＣを計算する（随意）。オプションとして、ｓＫを計算するために使用されるさらなる識別情報ｔは、ｅｎｃ＿ｂｏｄｙ＋ｍ＿ＭＡＣのハッシュであるように取られ得、追加の情報を送信する必要をなくし、情報を暗黙的にリンクすることに留意されたい。
さらなるオプションは、ＭＡＣ ＴＴＰによって決して渡されないアドレスの範囲から、このｔを選択することである
ｔのための代替オプションは、固定のｔ、又は、クライアントＡがそのＫＭをセキュアに保つと信頼するｔ（たとえば公証人）である
・ クライアントＣ＿ａは、メッセージ［ｅｎｃ＿ｂｏｄｙ，ｍ＿ＭＡＣ，｛ｔ｝，ｓ＿ＭＡＣ］をＣ＿ｂに送る。後者の２つのパラメータは随意である。ここで、｛ｔ｝は、それがｅｎｃ＿ｂｏｄｙ＋ｍ＿ＭＡＣのハッシュとして計算される場合、又はそれがプロトコルにおいて固定である場合、｛ｔ｝が随意のパラメータであることを示す。
・ クライアントＣ＿ｃは、２つの鍵を算出する。
本文鍵ｂＫ＝すべてのｂＫＭ＿ｃ＿ｉ（ａ）の和。
ＭＡＣ鍵ｍＫ＝すべてのｍＫＭ＿ｃ＿ｉ（ａ）の和＋ｂＫ。
必要な場合、調停鍵を使用する
次に、Ｃ＿ｃは、ｂＫを使用してｅｎｃ＿ｂｏｄｙ及びｍ＿ＭＡＣを解読し、ｍＫを使用してｍ＿ＭＡＣを検証することができる。
Ｃ＿ｃは、ｔ、ｓ＿ＭＡＣを無視する。

合法的傍受について、機密性と完全性とを区別する。

合法的傍受（機密性）の場合：この使用事例では、法律は、傍受を許可するが、メッセージの変形は許可しない。
・ Ｌが、Ｃ＿ａからのメッセージを解読する権利を有する場合、Ｌは、すべてのｂＴＴＰｉからｂＫＭ＿ａ＿ｉを取り出す。
代替的に、Ｌが、Ｃ＿ａとＣ＿ｂとの間の通信のみに関心がある場合、Ｌは、ｂＫＭ＿ａ＿ｉから生成された対応する鍵のみを取り出す
・ Ｃ＿ａとＣ＿ｃとの間のメッセージを受信すると、次に、Ｌは１つの鍵を算出する
本文鍵ｂＫ＝すべてのｂＫＭ＿ａ＿ｉ（ｃ）の和。
Ｌは、ｂＫを使用してｅｎｃ＿ｂｏｄｙを解読することができる。

合法的傍受（完全性）：
この使用事例では、法律は、メッセージの傍受及び検証を（及び、場合によっては変更さえ）許可する。
・ Ｌが、Ｃ＿ａからのメッセージを解読及び変更する権利を有する場合、Ｌは、すべてのｂＴＴＰｉからのｂＫＭ＿ａ＿ｉと、すべてのｍＴＴＰｉからのｍＫＭ＿ａ＿ｉとを取り出す。
代替的に、Ｌが、Ｃ＿ａとＣ＿ｂとの間の通信のみに関心がある場合、Ｌは、その通信リンクのための対応する鍵のみを取り出す。これはｓｋを生成することを可能にしないことに留意されたい。
・ Ｃ＿ａとＣ＿ｃとの間のメッセージを受信すると、次に、Ｌは１つの鍵を算出する
本文鍵ｂＫ＝すべてのｂＫＭ＿ａ＿ｉ（ｃ）の和。
ｍａｃ鍵ｍＫ
・ Ｌは、ｂＫを使用してｅｎｃ＿ｂｏｄｙを解読することができる。Ｌはまた、任意のメッセージを作成し、それらを通信リンクに注入することができる。

メッセージソースを検証するために、たとえば、メッセージ［ｅｎｃ＿ｂｏｄｙ，ｍ＿ＭＡＣ，ｔ，ｓ＿ＭＡＣ］がＣ＿ａによってＣ＿ｃに送られたこと（及びその逆でないこと）を証明する。以下が行われる。
・ ｓＫ’＝すべてのｂＫＭ＿ｔ＿ｉ（ａ）の和＋すべてのｍＫＭ＿ｔ＿ｉ（ａ）の和を算出する
・ Ｌは、ｓＫ’と調停データとからｓＫを取得することができる。
・ ｅｎｃ＿ｂｏｄｙ＋ｍ＿ＭＡＣからのｓ＿ＭＡＣ’を検証し、それを、受信されたｓ＿ＭＡＣと比較する。

様々な実施形態では、入力インターフェースは、様々な代替形態から選択される。たとえば、入力インターフェースは、ローカル又はワイドエリアネットワーク、たとえば、インターネットへのネットワークインターフェース、内部又は外部データストレージへのストレージインターフェース、キーボードなどである。

一般に、デバイス２００、２０１、２０２及び４００は、それぞれ、マイクロプロセッサ（図１ａ〜図１ｃ及び図３に個別に図示せず）を備え、それは、デバイスにおいて記憶された適切なソフトウェアを実行し、たとえば、そのソフトウェアは、ダウンロードされ、及び／又は対応するメモリ、たとえば、ＲＡＭなどの揮発性メモリ又はフラッシュなどの不揮発性メモリ（個別に図示せず）に記憶される。代替的に、デバイス２００、２０１、２０２、及び４００は、全体的に又は部分的に、プログラマブル論理で、たとえば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として実装される。デバイスは、全体的に又は部分的に、いわゆる特定用途向け集積回路（ＡＳＩＣ）、すなわち、それらの特定の用途のためにカスタマイズされた集積回路（ＩＣ）として実装される。たとえば、回路は、たとえば、Ｖｅｒｉｌｏｇ、ＶＨＤＬなど、ハードウェア記述言語を使用して、ＣＭＯＳにおいて実装される。

一実施形態では、デバイス２００は、鍵ストレージ回路、通信インターフェース回路、識別情報取得器回路、合成器回路、共有鍵回路、暗号化回路、ｍａｃ生成回路を備える。実施形態は、さらなる識別情報取得器回路をさらに備える。デバイス２０１は、必要に応じて適応されたデバイス２００からの適切な回路、及び解読回路、ｍａｃ検証回路を備える。ＴＴＰ４００は、鍵ストレージ回路、第１の通信インターフェース回路、第２の通信インターフェース回路、ローカル鍵材料生成回路、及びｍａｃ検証ユニット回路を備える。

回路は、本明細書で説明される対応するユニットを実装する。回路は、プロセッサ回路及びストレージ回路であり、プロセッサ回路は、ストレージ回路中に電子的に表された命令を実行する。回路はまた、ＦＰＧＡ、ＡＳＩＣなどである。

当業者に明らかであるように、方法５００及び方法６００を含む、一実施形態による方法を実行する多くの異なるやり方が、可能である。たとえば、ステップの順序が変動され得るか、又はいくつかのステップが並列に実行される。その上、ステップの中間に、他の方法ステップが挿入される。挿入されたステップは、本明細書で説明されるような方法の改良を表すか、又はそのような方法に関係しない。その上、次のステップが開始される前に、所与のステップが完全に終了しないことがある。

本発明による方法は、ソフトウェアを使用して実行され、ソフトウェアは、プロセッサシステムに、方法５００又は方法６００など、一実施形態による方法を実施させるための命令を含む。ソフトウェアは、システムの特定のサブエンティティによってとられるステップのみを含む。ソソフトウェアは、ハードディスク、フロッピー、メモリ、光ディスクなど、好適なストレージ媒体に記憶される。ソフトウェアは、ワイヤに沿って、又はワイヤレス、或いはデータネットワーク、たとえば、インターネットを使用して、信号として送られる。ソフトウェアは、ダウンロードのために及び／又はサーバ上でのリモート使用のために利用可能にされる。本発明による方法は、方法を実施するためにプログラマブル論理、たとえば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を設定するように構成された、ビットストリームを使用して実行される。

本発明は、本発明を実現するために適応されるコンピュータプログラム、特にキャリア上の又はその中のコンピュータプログラムにも拡張されることが諒解されよう。プログラムは、ソースコード、オブジェクトコード、コード中間ソース及び部分的にコンパイルされた形態などのオブジェクトコードの形態、又は本発明による方法の実装形態において使用するのに好適な任意の他の形態である。コンピュータプログラム製品に関係する実施形態は、記載された方法のうちの少なくとも１つの処理ステップの各々に対応するコンピュータ実行可能命令を含む。これらの命令は、サブルーチンに再分割され、及び／或いは静的に又は動的にリンクされる１つ又は複数のファイルに記憶される。コンピュータプログラム製品に関係する別の実施形態は、記載されたシステム及び／又は製品のうちの少なくとも１つの手段の各々に対応するコンピュータ実行可能命令を含む。

図７ａは、コンピュータプログラム１０２０を備える書込み可能部分１０１０を備えるコンピュータ可読媒体１０００を示し、コンピュータプログラム１０２０は、プロセッサシステムに、一実施形態による、通信方法又はＴＴＰ方法を実施させるための命令を含む。コンピュータプログラム１０２０は、物理的マークとして又はコンピュータ可読媒体１０００の磁化によって、コンピュータ可読媒体１０００上で具現される。しかしながら、他の好適な実施形態が、同様に考えられる。さらに、コンピュータ可読媒体１０００は、ここでは光ディスクとして示されているが、コンピュータ可読媒体１０００は、ハードディスク、ソリッドステートメモリ、フラッシュメモリなど、任意の好適なコンピュータ可読媒体であり、記録不可能又は記録可能であることが諒解されよう。コンピュータプログラム１０２０は、プロセッサシステムに前記通信方法又はＴＴＰ方法を実施させるための命令を含む。

図７ｂは、一実施形態による、プロセッサシステム１１４０の概略表現を示す。プロセッサシステムは、１つ又は複数の集積回路１１１０を備える。１つ又は複数の集積回路１１１０のアーキテクチャは、図７ｂに概略的に示されている。回路１１１０は、一実施形態による方法を実行し、及び／或いはそのモジュール又はユニットを実装するために、コンピュータプログラム構成要素を実行するための処理ユニット１１２０、たとえば、ＣＰＵを備える。回路１１１０は、プログラミングコード、データなどを記憶するためのメモリ１１２２を備える。メモリ１１２２の一部は、読取り専用である。回路１１１０は、通信要素１１２６、たとえば、アンテナ、コネクタ、又はその両方などを備える。回路１１１０は、方法において定義された処理の一部又は全部を実施するための専用集積回路１１２４を備える。プロセッサ１１２０、メモリ１１２２、専用ＩＣ１１２４及び通信要素１１２６は、相互接続１１３０、たとえばバスを介して、互いに接続される。プロセッサシステム１１１０は、それぞれ、アンテナ及び／又はコネクタを使用して、接触及び／又は非接触通信のために構成される。

たとえば、一実施形態では、第１のネットワークノード又はＴＴＰデバイスは、プロセッサ回路及びメモリ回路を備え、プロセッサは、メモリ回路に記憶されたソフトウェアを実行するように構成される。たとえば、プロセッサ回路は、Ｉｎｔｅｌ Ｃｏｒｅ ｉ７プロセッサ、ＡＲＭ Ｃｏｒｔｅｘ−Ｒ８などである。メモリ回路は、ＲＯＭ回路、又は不揮発性メモリ、たとえば、フラッシュメモリである。メモリ回路は、揮発性メモリ、たとえば、ＳＲＡＭメモリである。後者の場合、検証デバイスは、ソフトウェアを与えるために構成された、不揮発性ソフトウェアインターフェース、たとえば、ハードドライブ、ネットワークインターフェースなどを備える。

上述の実施形態は本発明を限定するのではなく説明するものであること、及び、当業者であれば、多くの代替実施形態を設計することが可能となることに留意されたい。

特許請求の範囲では、丸括弧間に置かれたいかなる参照符号も、特許請求の範囲を限定するものとして解釈されるべきではない。「備える、含む、有する（ｃｏｍｐｒｉｓｅ）」という動詞及びその活用形の使用は、特許請求の範囲で述べられた要素又はステップ以外の要素又はステップの存在を除外するものではない。要素に先行する冠詞「ａ」又は「ａｎ」は、そのような要素が複数存在することを除外するものではない。本発明は、いくつかの別個の要素を備えるハードウェアによって、また、適切にプログラムされたコンピュータによって実施される。いくつかの手段を列挙するデバイス請求項では、これらの手段のうちのいくつかが、ハードウェアの１つの同じアイテムによって具現される。いくつかの方策が、相互に異なる従属請求項に記載されているという単なる事実は、これらの方策の組合せが有利には使用され得ないことを示しているわけではない。

特許請求の範囲では、丸括弧内の参照は、実施形態の図面中の参照符号、又は実施形態の式を指し、したがって、特許請求の範囲の了解度を増加させる。これらの参照は、特許請求の範囲を限定するものとして解釈されるべきではない。

１００ 第１のネットワークノード
１１０、１６０ 鍵ストレージ
１２０、１７０ 通信インターフェース
１３０、１８０ プロセッサ回路
１５０ 第２のネットワークノード
１９０ デジタルネットワーク
１９２ 機密性のための信頼できるサードパーティ
１９４ 完全性のための信頼できるサードパーティ
１９５ 通信システム
２００、２０２ 第１のネットワークノード
２０１ 第２のネットワークノード
２１０、２６０ 鍵ストレージ
２１２、２１３、２１４ 機密性を保護するためのローカル鍵材料
２１６、２１７、２１８ 完全性を保護するためのローカル鍵材料
２２０、２６５ 通信インターフェース
２４１、２７１ 識別情報取得器
２４２ さらなる識別情報取得器
２４３、２７３ 合成器
２４４、２７４ 共有鍵（ｓｈａｒｅｄ ｋｅｙ）ユニット
２４７ 第３の鍵
２４５ 機密性を保護するための第１の共有鍵
２４６ 完全性を保護するための第２の共有鍵
２４８ 暗号化ユニット
２４９ ｍａｃ生成ユニット
２７８ 解読ユニット
２７９ ｍａｃ検証ユニット
２９２、２９３、２９４ 機密性のための信頼できるサードパーティ
２９６、２９７、２９８ 完全性のための信頼できるサードパーティ
３００ 信頼できるサードパーティデバイス
３１０ 鍵ストレージ
３２２ 第１の通信インターフェース
３２４ 第２の通信インターフェース
３３０ プロセッサ回路
４００ 信頼できるサードパーティデバイス
４１０ 鍵ストレージ
４２２ 第１の通信インターフェース
４２４ 第２の通信インターフェース
４３２ ローカル鍵材料生成器
４３４ ｍａｃ検証ユニット
４４２ 第２の識別情報
４４４ 送信側の第２の識別情報及び受信側の第２の識別情報
４４６ メッセージ及びメッセージ認証コード

Claims (10)

1. 第１のネットワークノードであって、前記第１のネットワークノードは、
   少なくとも、
   前記第１のネットワークノードと他のネットワークノードとの間の通信の機密性を保護するためのローカル鍵材料であって、通信を保護するための前記ローカル鍵材料が、機密性のための信頼できるサードパーティ（ＴＴＰ）によって、前記第１のネットワークノードの第１の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料と、
   前記第１のネットワークノードと前記他のネットワークノードとの間の前記通信の完全性を保護するためのローカル鍵材料であって、完全性を保護するための前記ローカル鍵材料が、完全性のための信頼できるサードパーティ（ＴＴＰ）によって、前記第１のネットワークノードの第２の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料と
   を記憶する鍵ストレージと、
   前記第１のネットワークノードと前記他のネットワークノードとの間のデジタル通信のための通信インターフェースと、
   プロセッサ回路と
   を備え、
   前記プロセッサ回路は、
   第２のネットワークノードの第１の識別情報及び第２の識別情報を取得することと、
   前記第２のネットワークノードの前記第１の識別情報と、前記第１のネットワークノードの機密性を保護するための前記ローカル鍵材料とから、機密性を保護するための第１の共有鍵を計算することと、
   前記第２のネットワークノードの前記第２の識別情報と、前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから、完全性を保護するための第２の共有鍵を計算することと、
   前記第１の共有鍵を使用して、メッセージを暗号化することと、
   前記第２の共有鍵を使用して、前記メッセージについて第１のメッセージ認証コードを計算することと、
   暗号化された前記メッセージと前記第１のメッセージ認証コードとを前記第２のネットワークノードに送ることと
   を行い、
   並びに／又は、前記プロセッサ回路は、
   第２のネットワークノードから第１のメッセージ認証コードと、暗号化されたメッセージとを受信することと、
   前記第２のネットワークノードの第１の識別情報及び第２の識別情報を取得することと、
   前記第２のネットワークノードの前記第１の識別情報と、前記第１のネットワークノードの機密性を保護するための前記ローカル鍵材料とから、機密性を保護するための第１の共有鍵を計算することと、
   前記第２のネットワークノードの前記第２の識別情報と、前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから、完全性を保護するための第２の共有鍵を計算することと、
   前記第１の共有鍵を使用して、暗号化された前記メッセージを解読することと、
   前記第２の共有鍵を使用して、前記第１のメッセージ認証コードを検証することと
   を行う、
   第１のネットワークノード。
2. 前記プロセッサ回路は、
   前記第２のネットワークノードの前記第１の識別情報及び前記第２の識別情報とは異なるさらなる識別情報を取得することと、
   前記さらなる識別情報と、少なくとも、前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから、完全性を保護するための第３の鍵を計算することと、
   前記第３の鍵を使用して、少なくとも前記メッセージについて第２のメッセージ認証コードを計算することと、
   前記第２のメッセージ認証コードを送ることと
   を行う、請求項１に記載の第１のネットワークノード。
3. 前記プロセッサ回路は、前記さらなる識別情報をランダムに選択し、前記プロセッサ回路は、前記さらなる識別情報を前記第２のネットワークノードに送る、請求項２に記載の第１のネットワークノード。
4. 前記プロセッサ回路は、
   固定識別情報として前記さらなる識別情報を取得することと、
   ハッシュ関数を前記メッセージに適用することによって、前記さらなる識別情報を取得することと
   を行い、前記プロセッサ回路は、前記さらなる識別情報を前記第２のネットワークノードに送らない、請求項２に記載の第１のネットワークノード。
5. 前記第２のメッセージ認証コードが、少なくとも前記メッセージと前記第１のメッセージ認証コードとについて計算される、請求項２乃至４のいずれか一項に記載の第１のネットワークノード。
6. 前記プロセッサ回路は、
   機密性のための前記ローカル鍵材料と完全性のための前記ローカル鍵材料とを合成して、合成ローカル鍵材料を形成し、前記第３の鍵が、前記さらなる識別情報と前記合成ローカル鍵材料とから導出される、
   請求項２乃至５のいずれか一項に記載の第１のネットワークノード。
7. 前記プロセッサ回路は、
   最初に、前記さらなる識別情報と前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから中間の第３の鍵を取得し、前記中間の第３の鍵を前記第１の鍵と合成することによって、前記第３の鍵を計算する、
   請求項２乃至５のいずれか一項に記載の第１のネットワークノード。
8. 前記第１の識別情報と前記第２の識別情報とが等しい、請求項１乃至７のいずれか一項に記載の第１のネットワークノード。
9. 第１のネットワークノードのための電子通信方法であって、前記電子通信方法は、
   少なくとも、
   前記第１のネットワークノードと他のネットワークノードとの間の通信の機密性を保護するためのローカル鍵材料であって、通信を保護するための前記ローカル鍵材料が、機密性のための信頼できるサードパーティ（ＴＴＰ）によって、前記第１のネットワークノードの第１の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料と、
   前記第１のネットワークノードと前記他のネットワークノードとの間の前記通信の完全性を保護するためのローカル鍵材料であって、完全性を保護するための前記ローカル鍵材料が、完全性のための信頼できるサードパーティ（ＴＴＰ）によって、前記第１のネットワークノードの第２の識別情報のために識別情報ベース鍵事前配布方式のローカル鍵材料生成アルゴリズムを使用して生成される、ローカル鍵材料と
   を記憶するステップを有し、
   前記電子通信方法は、
   第２のネットワークノードの第１の識別情報及び第２の識別情報を取得するステップと、
   前記第２のネットワークノードの前記第１の識別情報と、前記第１のネットワークノードの機密性を保護するための前記ローカル鍵材料とから、機密性を保護するための第１の共有鍵を計算するステップと、
   前記第２のネットワークノードの前記第２の識別情報と、前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから、完全性を保護するための第２の共有鍵を計算するステップと、
   前記第１の共有鍵を使用して、メッセージを暗号化するステップと、
   前記第２の共有鍵を使用して、前記メッセージについて第１のメッセージ認証コードを計算するステップと、
   暗号化された前記メッセージと前記第１のメッセージ認証コードとを前記第２のネットワークノードに送るステップと
   を有し、
   並びに／又は、前記電子通信方法は、
   第２のネットワークノードから第１のメッセージ認証コードと、暗号化されたメッセージとを受信するステップと、
   前記第２のネットワークノードの第１の識別情報及び第２の識別情報を取得するステップと、
   前記第２のネットワークノードの前記第１の識別情報と、前記第１のネットワークノードの機密性を保護するための前記ローカル鍵材料とから、機密性を保護するための第１の共有鍵を計算するステップと、
   前記第２のネットワークノードの前記第２の識別情報と、前記第１のネットワークノードの完全性を保護するための前記ローカル鍵材料とから、完全性を保護するための第２の共有鍵を計算するステップと、
   前記第１の共有鍵を使用して、前記暗号化されたメッセージを解読するステップと、
   前記第２の共有鍵を使用して、前記第１のメッセージ認証コードを検証するステップと
   を有する、
   電子通信方法。
10. プロセッサシステムに、請求項９に記載の電子通信方法を実施させるための命令を表す一時的又は非一時的データを含む、コンピュータ可読媒体。

Images