JP2021125265A - 認証方法 - Google Patents

Abstract

【課題】相互認証のための認証方法を提供する。
【解決手段】認証方法１００において、プロトコルの第１部分が、第３のエンティティ（Ｅ３）によって、第２のエンティティ（Ｅ２）にフロントローディングされる。認証プロトコルの欠落部分は、Ｅ３で保持される１０１。Ｅ２にプロトコルの第１部分をフロントローディングした後、Ｅ３が、ローパワーモードに移行する１０２。その後、任意の時点でＥ１がＥ２へ接続し、Ｅ１とＥ３間の相互認証が始動し１０３、第１部分に基づいて相互認証が始まる。Ｅ１がＥ２へ接続した直後、Ｅ２がＥ３にウェイクアップ信号を送信する１０５。Ｅ２は、Ｅ３がハイパワーモードに移行後、かつＥ２とＥ１間のプロトコルのフロントローディングされた第１の部分に基づく相互認証が完了後、相互認証メッセージを再ルーティングする。その後、Ｅ３は、プロトコルの欠落部分に基づいて、Ｅ１との相互認証を継続する。
【選択図】図３−１

Description

本発明は、第１のエンティティおよび第３のエンティティによって使用される認証プロトコルに基づく、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証のための認証方法であって、第２のエンティティが第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送する、認証方法に関する。本発明はさらに、第１のエンティティおよび第３のエンティティによって使用される認証プロトコルに基づく、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証のための認証方法を実行するように構成された装置であって、第２のエンティティが第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送する装置に関する。

認証技術は、当該技術分野では周知である。例えば、認証技術は、デジタル通信における通信当事者の身元を確認するために使用されている。実際のエンドユーザは、デジタル通信において、デジタルＩＤと資格情報とによって表される。デジタル通信の過程では、通信当事者はしばしば、互いの身元を確認するためのプロトコルを実行する。トランスポートレイヤーセキュリティは、ＴＬＳとも称され、当事者の認証を含むセキュリティ通信に利用される周知のプロトコルの一つである。

２つのエンティティ間、すなわちＭＦＤＦＥＶ１タグ（ＭＦＤＦＥＶ１タグ：ＭＩＦＡＲＥ ＤＥＳＦｉｒｅ ＥＶ１タグ）とリーダとの間で実行される周知のプロトコルの別の例を以下に示す。
１．リーダはまず、鍵番号とともにＡＥＳ（Advanced Encryption Standard）認証コマンドを発行する。これにより、ＭＦＤＦＥＶ１タグにどのＡＥＳ鍵を使用するかが伝わる。
２．ＭＦＤＦＥＶ１タグは、コマンドで指定されたＡＥＳ鍵を選択し、１６バイトの乱数Ｂ（ＲｎｄＢ）を生成し、選択されたＡＥＳ鍵でＲｎｄＢを暗号化する。次いで、ＭＦＤＦＥＶ１は、暗号化されたＲｎｄＢを含む暗号化データパケットを送信することにより、認証コマンドに応答する。
３．リーダは応答を受信し、次のプロセスを行う。
（ａ）暗号化されたデータパケットをＡＥＳ鍵で復号する。これにより、リーダ／ライタにＭＦＤＦＥＶ１タグで生成されたＲｎｄＢが与えられる。
（ｂ）１６バイトの乱数Ａ（ＲｎｄＡ）を生成する。
（ｃ）ＲｎｄＢを左に８ビット（１バイト）回転させて、ＲｎｄＢ’を得る。
（ｄ）ＲｎｄＡとＲｎｄＢ’とを連結して新しい３２バイトの値を作成する。
（ｅ）得られた３２バイトの値をＡＥＳ鍵で暗号化する。
（ｆ）暗号化された３２バイト値を含む結果パケットをＭＦＤＦＥＶ１タグに送信する。
４．ＭＦＤＦＥＶ１タグは、暗号化された３２バイトの値を含む結果パケットを受信し、以下の処理を行う。
（ａ）得られたパケットをＡＥＳ鍵で復号する。
（ｂ）３２バイトの値を分割して、ＲｎｄＡとＲｎｄＢ’との別々の１６バイトの値を得る。
（ｃ）生成したＭＦＤＦＥＶ１タグＲｎｄＢを左に８ビット回転させてＲｎｄＢ’を生成する。
（ｄ）受信したＲｎｄＢ’と生成したＲｎｄＢ’とを比較する。一致した場合、パケットは正しく受信されたこととなり、タグにはリーダによって生成されたＲｎｄＡが含まれる。
（ｅ）ＲｎｄＡを左に８ビット（１バイト）回転させて、ＲｎｄＡ’を得る。
（ｆ）１６バイトのＲｎｄＡ’をＡＥＳ鍵で暗号化する。
（ｇ）暗号化された１６バイトのＲｎｄＡ’値を含む結果パケットをリーダに送信する。
５．リーダは、暗号化された１６バイトのＲｎｄＡ’値を含む結果パケットを受信し、以下の処理を行う。
（ａ）応答をＡＥＳ鍵で復号し、ＲｎｄＡ’値を取得する。
（ｂ）生成したＲｎｄＡを左に８ビット回転させてＲｎｄＡ’を生成する。
（ｃ）受信したＲｎｄＡ’と生成したＲｎｄＡ’とを比較する。一致した場合、認証プロセスは成功したとみなされる。
（ｄ）このとき、ＲｎｄＡ，ＲｎｄＡ’，ＲｎｄＢ，ＲｎｄＢ’のバイトを用いて１６バイトのＡＥＳセッション鍵を生成する。

セッション鍵を生成することで認証プロトコルが終了し、認証が完了する。

前述のプロトコルは、ＭＩＦＡＲＥ ＤＥＳＦｉｒｅ（おそらく登録商標）ファミリの製品、ここではＭＩＦＡＲＥ ＤＥＳＦｉｒｅ ＥＶ１タグによって実行される。ＭＩＦＡＲＥ ＤＥＳＦｉｒｅファミリの製品によって実行される、さらなる既知のプロトコルは、例えばＭＩＦＡＲＥ ＤＥＳＦｉｒｅおよびＭＩＦＡＲＥ ＤＥＳＦｉｒｅ ＥＶ２である。

認証プロトコルの実行は、信頼できるコンポーネントを使用して実行する必要がある。したがって、当事者が、ＮＦＣとも称される近距離無線通信のような無線チャネルを介して通信する場合、端末がセキュリティに対応しておりかつ操作に対して充分に保護されているときに限り、第１のエンティティ、例えばＮＦＣデバイスを、第２のエンティティ、例えばリーダを表す端末に依拠して認証することができる。

しかしながら、セキュアかつ充分に保護された端末は高価なデバイスである。したがって、当該技術分野では、認証を、充分に保護された第３のエンティティ、例えば認証装置に再ルーティングすることが知られている。端末は、その後、例えば、ＮＦＣデバイスと認証装置との間でのみメッセージを転送する。これにより、認証プロトコルは、ＮＦＣデバイスおよび充分に保護された認証装置によって実行される。充分に保護された認証装置は、このように、再ルーティングせずに、端末が実行したであろうプロトコルの部分を引き継ぐ。

例えば、自動車部品には、ハードウェアセキュリティモジュール（ＨＳＭ）または同様の要素などの、認証要求を再ルーティングさせることができる信頼性の高いユニットが搭載されていることが多い。この場合、ハードウェアセキュリティモジュールが認証装置として機能する。これにより、高価な端末を回避することで、グローバルアーキテクチャのコストを抑え、さらに、セキュリティ目標を達成しうることになる。

それでもなお、付加的なホッピングによって認証要求が再ルーティングされると、車載通信チャネルが頻繁に緩慢となって応答時間に遅延が生じ、許容不能なパフォーマンスの数値が発生する可能性がある。その意味では、タイミングを最適化するために、認証装置は、アウェイク状態、すなわちＨＰＭとも称されるハイパワーモードに維持され、再ルーティングによって発生する遅延に追いつくために、つねに可能な限り迅速に要求に応答しなければならない。当該アプローチはまた、非効率的なエネルギ消費ならびに認証装置の寿命の低下という問題点も有する。

したがって、上述した問題点の少なくとも１つを克服することが本発明の目的である。

当該目的は、独立請求項の方法および装置によって達成される。従属請求項には、以下に説明するような本発明の基本方式の有利なさらなる開発品および改良品が含まれる。

第１の態様によれば、第１のエンティティおよび第３のエンティティによって使用される認証プロトコルに基づく、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証のための認証方法であって、第２のエンティティが、第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送し、
ａ）第３のエンティティによって、第２のエンティティに認証プロトコルの第１の部分をフロントローディングすること、および第３のエンティティ（Ｅ３，Ｃ）で認証プロトコルの少なくとも欠落部分を保持することであって、フロントローディングされた認証プロトコルの第１の部分が、第１の暗号化数（ｃ１）を含み、第３のエンティティが、認証プロトコルの第１の部分をフロントローディングした後、ＨＰＭとも称されるハイパワーモードからＬＰＭとも称されるローパワーモードへ移行する、ことと、
ｂ）相互認証を始動させることと、
ｃ）認証プロトコルのフロントローディングされた第１の部分に基づく相互認証を開始することであって、開始すること（１０４）が、第１のエンティティ（Ｅ１，Ｄｎ）により、第２の暗号化数（ｃ２）を生成することを含み、第２の暗号化数（ｃ２）が、第１の暗号化数（ｃ１）の内容を含む、ことと、
ｄ）第２のエンティティにより、第３のエンティティにウェイクアップ信号を送信することと、
ｅ）第３のエンティティがローパワーモードからウェイクアップしたときに、第２のエンティティにより、相互認証メッセージを再ルーティングすることであって、当該再ルーティングすること（１０６）が、第２のエンティティ（Ｅ２，Ｔ）から第３のエンティティ（Ｅ３，Ｃ）に第２の暗号化数（ｃ２）を送信することを含む、ことと、
ｆ）第３のエンティティに相互認証メッセージを再ルーティングした後、第３のエンティティによって、認証プロトコルの欠落部分に基づく相互認証を継続することであって、認証プロトコルの欠落部分は、第２の暗号化数（ｃ２）に基づいて第３のエンティティ（Ｅ３，Ｃ）にセッション鍵（Ｓ）を導出させる命令と、第３のエンティティ（Ｅ３，Ｃ）によって生成され送信された第３の暗号化数（ｃ３）に基づいて第１のエンティティ（Ｅ１，Ｄｎ）にセッション鍵（Ｓ）を導出させる命令とを含み、第３の暗号化数（ｃ３）が、第２の暗号化数（ｃ２）の内容を含み、当該継続することが、第１のエンティティ（Ｅ１，Ｄｎ）および第３のエンティティ（Ｅ３，Ｃ）によるそれぞれのセッション鍵（Ｓ）を使用して、第１のエンティティ（Ｅ１，Ｄｎ）と第３のエンティティ（Ｅ３，Ｃ）との間で認証されたメッセージを交換することを含む、ことと、を含む、認証方法である。

認証プロトコルの第１の部分は、第１のエンティティと第３のエンティティとの間の相互認証が開始されることに基づいて、認証プロトコル全体のうちの一部分のみを含むことが理解される。欠落部分は、認証プロトコルの第１の部分を除く、認証プロトコルの全体のうちの残りの部分を表す認証プロトコルの部分である。欠落部分は、第１のエンティティと第３のエンティティとの間の相互認証が完了する認証プロトコルの部分を含むと理解される。ｅ）再ルーティングすることの後、ｆ）において、第３のエンティティが、認証プロトコルの欠落部分に基づいて、第１のエンティティと第３のエンティティとの間の相互認証を継続することがさらに理解される。

認証プロトコルの第１の部分を第２のエンティティにフロントローディングすることにより、第３のエンティティをローパワーモードへ移行可能としつつ、第２のエンティティが第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送するようにして、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証のための認証方法の応答時間を最適化できることが判明している。ローパワーモードでは、第３のエンティティの幾つかの部分を完全にシャットオフすることができる一方、例えばメッセージを受信する他の部分は作動されたままとすることができる。ローパワーモードでは、第３のエンティティは、ハイパワーモードに比べてエネルギ消費量が低いことが理解される。

ｂ）における始動の後、第３のエンティティがローパワーモードにある間、フロントローディングされた第１の部分に基づいて、相互認証を既に開始できることがさらに理解される。さらに、第３のエンティティはローパワーモードに移行することが許容され、かつ第３のエンティティまたは第３のエンティティの少なくとも一部の部分がハイパワーモードでのアウェイク状態の維持を要請されないため、第３のエンティティまたは第３のエンティティの少なくとも一部の部分の寿命が延びる可能性がある。第３のエンティティがローパワーモードからウェイクアップされた場合、ハイパワーモードに移行すると理解される。

本発明のさらなる利点は、周知の認証プロトコル、例えば、トランスポートレイヤーセキュリティとしても知られているＴＬＳ、またはＭＩＦＡＲＥ ＤＥＳＦｉｒｅファミリの製品によって実行されるプロトコルのコスト削減、時間の最適化、および高いエネルギ効率の実現である。さらに、説明される認証方法は、第２のエンティティが第１のエンティティと第２のエンティティとの間で相互認証メッセージを転送する、エンティティ間の任意の既知の相互認証に適用できることが理解される。

説明している相互認証のための認証方法は、それぞれのエンティティ間の通信、すなわち、それぞれのエンティティ間のメッセージの交換、すなわち、それぞれのエンティティ間の相互認証メッセージの交換によって行われることが理解される。

認証プロトコルのフロントローディングされた第１の部分に基づく相互認証は、認証プロトコルの第１の部分が第２のエンティティにフロントローディングされた後、かつ第１のエンティティが第２のエンティティに動作可能に接続された後、任意の時点で始動させうることがさらに理解される。確立された接続は、第１のエンティティまたは第２のエンティティによって検出することができる。このように、ｂ）相互認証を始動させることは、第１のエンティティと第２のエンティティとの間の確立された接続をどちらのエンティティが最初に検出するかに応じて、第１のエンティティまたは第２のエンティティのいずれかによって行うことができる。

したがって、一実施形態では、ｂ）始動させることは、第１のエンティティが第２のエンティティに動作可能に接続されたことを検出したときに、第２のエンティティにより行われる。その後、第２のエンティティは、第１のエンティティに認証要求を送信することにより、相互認証を開始することができる。別の実施形態では、ｂ）始動させることは、第１のエンティティが第２のエンティティへの動作可能な接続を行うときに、第１のエンティティによって行われる。その後、第１のエンティティは、直接に、相互認証を開始することができる。

認証方法の時間効率を向上させることが意図されうる。これは、認証方法の応答時間がさらに短縮されることを意味する。したがって、一実施形態では、第２のエンティティは、第３のエンティティをウェイクアップするために、第１のエンティティが第２のエンティティへの動作可能な接続を行うと直ちに、ｂ）始動させることにおいて、ｄ）ウェイクアップ信号を送信することを実行する。このように、第３のエンティティが認証プロセスの可能な限り早い時点／段階でウェイクアップされることを保証でき、ｅ）において相互認証の可能な限り早い段階で第２のエンティティから第３のエンティティへ相互認証が再ルーティングされうることを有効化できる。

ただし、本方法のエネルギ効率の向上に関しては、ｃ）開始することにおいて、適切な時点でのウェイクアップ信号の送信が有利である場合がある。したがって、別の実施形態では、第２のエンティティは、第３のエンティティをウェイクアップするために、ｃ）認証プロトコルのフロントローディングされた第１の部分に基づいて相互認証を開始する一方、ｄ）ウェイクアップ信号を送信することを実行する。

第３のエンティティは、ローパワーモードからハイパワーモードへの移行後に、再ルーティングの準備が完了したことを第２のエンティティに通知しうることが理解される。第１の部分は、加えて、第３のエンティティによって格納されうることがさらに理解される。このため、例えば、認証プロトコルの第１の部分の第２のエンティティへの送信で不具合が生じた場合、第３のエンティティが迅速に反応することが可能である。認証プロトコルの第１の部分は、セキュアなデータストレージ内に格納することができる。

一実施形態では、ｅ）再ルーティングすることは、第３のエンティティがローパワーモードからウェイクアップして、ローパワーモードからハイパワーモードに移行したとき、かつ第２のエンティティと第１のエンティティとの間の認証プロトコルのフロントローディングされた第１の部分が完了したときに、開始される。かかる実施形態では、ｅ）再ルーティングすることが第２のエンティティによって実行される前に、認証プロトコルの第１の部分の全体が完了することが保証される。本実施形態によれば、第３のエンティティにウェイクアップ信号を送信してから、第３のエンティティがローパワーモードからウェイクアップしてハイパワーモードに移行するまでの時間を最大限に利用することができる。

さらなる一実施形態では、ａ）認証プロトコルの第１の部分をフロントローディングすることは、
ｉ）第３のエンティティにより、認証プロトコルの第１の部分を事前生成することと、
ｉｉ）第３のエンティティにより、第３のエンティティから第２のエンティティへ、認証プロトコルの事前生成された第１の部分を送信することと、
ｉｉｉ）第２のエンティティにより、第３のエンティティから認証プロトコルの事前生成された第１の部分を受信することと、
ｉｖ）第２のエンティティにより、受信した認証プロトコルの第１の部分を格納することと、
を含む。

認証プロトコルの第１の部分は、例えば、第２のエンティティによって、データストレージまたはキャッシュメモリに格納することができる。データストレージは、セキュアなデータストレージであってよい。前述の実施形態では、第３のエンティティは、認証の第１の部分を送信した直後に、ローパワーモードに移行してもよい。

一実施形態では、ａ）フロントローディングすることは、第１の乱数を生成し、第１の乱数を暗号化して第１の暗号化数を生成することを含む。したがって、一実施形態では、認証プロトコルの第１の部分は、暗号化された乱数、すなわち第１の暗号化数を含むことが理解される。乱数は第３のエンティティによって既に暗号化されているため、第２のエンティティに対して高いセキュリティ要件を満たす必要はない。例えば、第２のエンティティにセキュアなデータストレージはもはや必要ない。かかる一実施形態では、第３のエンティティのみが、第１の乱数および／または第１の暗号化数を格納するためのセキュアなデータストレージを含んでもよい。このように、全てのエンティティが高価でセキュアなデータストレージを含む必要がないため、コストを削減することが可能である。

別の実施形態では、乱数を暗号化することは、第１のエンティティと第２のエンティティとの共有秘密鍵を使用することを含む。さらなる一実施形態では、共有秘密鍵は共有対称鍵であり、ここで、共有対称鍵は、第１のエンティティおよび第３のエンティティの事前共有された非対称鍵材料に基づく一方向鍵導出関数を使用して導出される。「事前共有」なる語は、認証プロトコルの第１の部分をフロントローディングする前に共有されることと理解される。非対称鍵材料なる語は、共有対称鍵の導出に、それぞれのエンティティの公開鍵と秘密鍵とが関与していることを意味する。

既知の認証プロトコルの中には、暗号化された乱数を生成するために共有対称鍵を消費／使用するものがある。第１のエンティティおよび第３のエンティティの事前共有された非対称鍵材料に基づいて共有対称鍵を導出することで、共有対称鍵を消費する既知の認証プロトコルを使用すること、および非対称鍵の既知の利点を利用することができる。

一実施形態では、ａ）フロントローディングすることは、乱数を生成し、乱数を対称鍵で暗号化して第１の暗号化数を導出することを含み、ここで、対称鍵は、第１のエンティティおよび第３のエンティティの事前共有された非対称鍵材料に基づく一方向鍵導出関数を使用して導出される。

一実施形態では、ａ）フロントローディングすることは、第３のエンティティにより、認証プロトコルの第１の部分に識別子を追加することを含む。これは、第１のエンティティを識別することができるという利点を有し、複数の第１のエンティティが認証プロセスに参加する場合に特に有利である。認証プロトコルの第１の部分に識別子を追加するために、第３のエンティティは、ａ）フロントローディングすることの前に識別子を受信する。

一実施形態では、認証プロトコルの第１の部分に識別子を追加することは、ｉ）第３のエンティティによって、認証プロトコルの第１の部分を生成する際に、実行される。

第３のエンティティが認証プロトコルの第１の部分に識別子を追加する一実施形態では、認証プロトコルの第１の部分は識別子を含みうることが理解される。識別子は、第１のエンティティの識別のための任意のデータを含みうることがさらに理解される。ただし、好ましい実施形態では、識別子は、それぞれの第１のエンティティに関連付けられた公開鍵、および／またはそれぞれの第１のエンティティに関連付けられたシリアル番号である。

それぞれの第１のエンティティの識別子は、それぞれの第１のエンティティの暗号化された乱数にリンクさせることができる。識別子と暗号化された乱数とをリンクさせることで、特定の第１のエンティティについて暗号化された乱数とそれぞれの識別子とを含むタプルを生成することができる。

複数の第１のエンティティが認証に参加する場合、複数の第１のエンティティの各第１のエンティティについて、認証プロトコルの別個の第１の部分を第２のエンティティにフロントローディングする必要があることが理解される。

認証プロトコルの第１の部分が暗号化された乱数を含む一実施形態では、このように、複数の第１のエンティティの各第１のエンティティについて、暗号化された乱数と識別子とを含むタプルを有することが有利である。これにより、暗号化された乱数をそれぞれの第１のエンティティに代入することが可能である。したがって、別の実施形態では、第１の部分をフロントローディングすることは、複数の第１のエンティティの各第１のエンティティについて、第１の暗号化数と対応する識別子とを含むタプルのリストを事前生成することを含む。このように、複数の第１のエンティティの各第１のエンティティについて、別個のタプルをリスト内で発見することができ、識別子によって、どの第１の暗号化数がどの第１のエンティティに割り当てられているかを確実に識別することができる。

第３のエンティティが認証プロトコルの第１の部分に識別子を追加する一実施形態では、ｂ）始動させることは、第１のエンティティにより、第１のエンティティに関連付けられた識別子を第２のエンティティに送信し、第２のエンティティにより、識別子を発見することができるかどうかを検査することを含んでいてよい。識別子は、例えば、第２のエンティティへの接続を行うそれぞれの第１のエンティティが、認証に参加する第１のエンティティであるか否かを判定するために使用することができる。したがって、例えば、第１のエンティティと第２のエンティティとの間の認証は、第１のエンティティが第２のエンティティに識別子を送信した後にのみ開始されてもよく、第１のエンティティのそれぞれの識別子は、第２のエンティティによって発見される。

タプルまたはタプルのリストが認証プロトコルの第１の部分内に含まれる一実施形態では、第２のエンティティが、識別子が発見できるかどうかを検査することは、識別子を含むタプルが発見できるかどうかを検査することを含みうると理解される。第１のエンティティから識別子を受信した後の第２のエンティティが、認証プロトコルのフロントローディングされた第１の部分内でそれぞれの識別子を発見できない場合、第２のエンティティは、任意の適切な反応を実行しうることがさらに理解される。例えば、第２のエンティティは、不具合が生じたことを示すエラーメッセージを第１のエンティティに送信すること、および／または第１のエンティティと第２のエンティティとの間の通信を停止することを実行してもよい。第２のエンティティが、認証プロトコルの第１の部分内の識別子を発見した場合、一実施形態では、第２のエンティティは、ｃ）認証プロトコルの第１の部分を第１のエンティティに送信することにより、相互認証を開始することができる。

また、識別子は、第３のエンティティにウェイクアップ信号を誤送信することに対する、本方法の堅牢性を強化し、エネルギ効率をさらに最適化するために使用することができる。したがって、第３のエンティティが認証プロトコルの第１の部分に識別子を追加する一実施形態では、認証方法は、ｄ）第２のエンティティによりウェイクアップ信号を送信することにおいて、第１のエンティティに関連付けられた識別子を発見した後に実行される。したがって、第１のエンティティを識別子に基づいて第２のエンティティによって識別できない場合には、第２のエンティティが第３のエンティティにウェイクアップ信号を送信する必要はなく、第３のエンティティがローパワーモードからハイパワーモードに移行する必要はない。

フロントローディングされた認証プロトコルの第１の部分が第２のエンティティによって第１のエンティティに送信される一実施形態では、ｃ）開始することは、第１のエンティティによって認証プロトコルの第１の部分を受信した後に、受信した認証プロトコルの第１の部分に対する応答を準備することを含んでいてよい。識別子が認証プロトコルの第１の部分に追加される一実施形態では、第２のエンティティが、認証の第１の部分に加えて、識別子を第１のエンティティに送信する必要はないことが理解される。

第１の暗号化数を含む一実施形態では、本方法は、第１のエンティティによって第１の暗号化数を受信することと、受信した第１の暗号化数に対する応答を準備することと、を含みうることがさらに理解される。

一実施形態では、応答を準備することは、
‐第１のエンティティにより、第２の乱数を生成することと、
‐第１のエンティティにより、生成された第２の乱数を暗号化することと、
‐第１のエンティティにより、第１の暗号化数を復号して、第１の乱数を導出することと、
‐第１のエンティティにより、第１の乱数に数学的関数を適用して、修正された第１の乱数を受信することと、
‐第１のエンティティにより、第２の乱数と修正された第１の乱数を一緒に暗号化して、第２の暗号化数を生成することと、
‐第１のエンティティにより、第２の暗号化数を第２のエンティティに送信することと、
を含んでいてよい。

エンティティ間の相互認証では、乱数の生成に多大な時間を要することが判明している。したがって、時間効率に関して、一実施形態では、第２の乱数を生成することは、ｃ）相互認証を開始する前に第２の乱数を事前生成し、事前生成された第２の乱数を第１のエンティティのセキュアな領域に格納することを含む。セキュアな領域は、セキュアなデータストレージでありうることが理解される。

本方法のセキュリティを強化するために、フロントローディングされた認証プロトコルの第１の部分が第２のエンティティにより第１のエンティティに送信される一実施形態では、ｃ）開始することは、第２のエンティティにより認証プロトコルの第１の部分を送信した後に、第２のエンティティにより認証プロトコルの第１の部分を削除することを含んでいてよい。認証プロトコルの第１の部分が第１の暗号化数および識別子を含む一実施形態では、認証プロトコルの第１の部分を削除することは、識別子を残し、第１の暗号化数のみを削除することを含みうることが理解される。

一実施形態では、第２のエンティティは、認証プロトコルの第１の部分を削除した後、かつ第３のエンティティがハイパワーモードに移行した後、第３のエンティティに認証プロトコルの新しい第１の部分を要求することを実行する。このように、第１のエンティティと第３のエンティティとの間の次の相互認証は、認証プロトコルの新しい第１の部分に基づいている。認証プロトコルの第１の部分を削除して認証プロトコルの新しい第１の部分を要求することで、認証プロトコルの第１の部分が通信に１回のみ使用されることが保証される。認証プロトコルの新しい第１の部分の要求を受信した後の第３のエンティティは、要求を受信した後の適切な時点で、認証プロトコルの新しい第１の部分を第２のエンティティに送信しうることが理解される。一実施形態では、第３のエンティティは、ｆ）継続することの後に、認証プロトコルの新しい第１の部分を送信することを実行する。一実施形態では、認証プロトコルの新しい第１の部分を送信することは、識別子と新しい第１の暗号化数との更新されたタプルを送信することを含んでもよい。

さらなる一実施形態では、認証プロトコルの新しい第１の部分の要求を受信しない第３のエンティティは、ｆ）継続することの後に、認証プロトコルの新しい第１の部分を送信することを実行する。かかる一実施形態では、第２のエンティティは、認証プロトコルの新しい第１の部分の要求を送信する必要がなく、第３のエンティティは、ｆ）継続することの後に、トリガメッセージなしで、認証プロトコルの新しい第１の部分を送信することを自動的に実行することが理解される。

一実施形態では、ｃ）相互認証を開始することは、
第１のエンティティが、
‐第２のエンティティから送信された第１の暗号化数を受信することと、
‐第１の暗号化数を復号して、第１の乱数を受信することと、
‐第１の乱数に数学的関数を適用して、修正された第１の乱数を導出することと、
‐第２の乱数を生成することと、
‐修正された第１の乱数および第２の乱数を暗号化して、第２の暗号化数を導出することと、
‐第２の暗号化数を第２のエンティティに送信することと、
を含む。

第２の暗号化数は、修正された第１の乱数および第２の乱数の２つの部分を含むことが理解される。

一実施形態では、第２の乱数は、第１のエンティティに関連付けられた秘密鍵および第３のエンティティに関連付けられた公開鍵から導出された共有秘密鍵に基づいて暗号化される。

一実施形態では、共有秘密鍵は共有対称鍵であり、ここで、共有対称鍵は、第１のエンティティに関連付けられた秘密鍵および第３のエンティティに関連付けられた公開鍵に一方向鍵導出関数を適用することによって導出される。第１のエンティティに関連付けられた秘密鍵および第３のエンティティに関連付けられた公開鍵は、共有対称鍵を導出するために鍵導出機能にしたがって使用される非対称鍵材料を表すことが理解される。そのため、既知の非対称鍵の利点を利用することが可能である。

一実施形態では、第２のエンティティは、第２の暗号化数を受信した後、第３のエンティティがハイパワーモードＨＰＭになるまで待機することを実行して、第２の暗号化数を、それぞれの第１のエンティティに関連付けられた識別子とともに第３のエンティティに送信してもよい。第２のエンティティは、例えば第３のエンティティがハイパワーモードに移行したことを示すメッセージを第２のエンティティに送信することによって、第３のエンティティがハイパワーモード（ＨＰＭ）にあることを示すまで、第２の暗号化数と、それぞれの第１のエンティティに関連付けられた識別子とを第３のエンティティに送信するのを待機しうることが理解される。

一実施形態では、ｅ）第２のエンティティにより、第２のエンティティから第３のエンティティへの相互認証を再ルーティングすることは、
‐受信された第２の暗号化数を、第１のエンティティに関連付けられたそれぞれの識別子とともに第３のエンティティに送信することを含む。

ｆ）第３のエンティティにより相互認証を継続することは、第３のエンティティがハイパワーモードに移行した後、かつ第３のエンティティにより、第２のエンティティから第１のエンティティに関連付けられたそれぞれの識別子と共に第２の暗号化数を受信した後に、開始されることが理解される。

一実施形態では、ｆ）第３のエンティティにより、相互認証を継続することは、
‐格納された第１の乱数およびそれぞれの識別子に関連付けられた第１の暗号化数をロックすることと、
‐第２の暗号化数を復号して、第２の乱数および修正された第１の乱数を受信することと、
‐修正された第１の乱数にそれぞれの数学的逆関数を適用して、第１の乱数を導出することと、
‐格納された第１の乱数を、数学的逆関数が適用された第１の乱数と比較することと、
を含む。

ここでいうロックとは、ロックが解除されるまで、格納された第１の乱数およびそれぞれの識別子に関連付けられた格納された第１の暗号化乱数の上書き、削除、または第２のエンティティへの送信を行いえないことを意味する。かかる一実施形態は、説明される認証方法のセキュリティを向上させる。

一実施形態では、第３のエンティティがハイパワーモードに移行した後、かつｆ）第３のエンティティにより認証プロトコルの欠落部分に基づく相互認証が継続されている間、第２のエンティティは、第１のエンティティと第３のエンティティとの間のゲートウェイまたは中間ノードまたはリレーとして機能する。一実施形態における、ｅ）再ルーティングすることの後の第２のエンティティは、受信したメッセージをそれぞれのエンティティとの間で受信して直接に送信することによって、第１のエンティティと第３のエンティティとの間のそれぞれの通信のみを転送しうることが理解される。

一実施形態では、第３のエンティティは、格納された第１の乱数と、数学的逆関数が適用された第１の乱数とを比較した後に、
Ａ）格納された第１の乱数と、数学的逆関数が適用される第１の乱数とが一致しない場合に、通信を中止すること、
および
Ｂ）第３のエンティティによって、格納された第１の乱数が、数学的逆関数が適用される第１の乱数と一致した場合に、認証プロトコルの欠落部分が終了するまで、相互認証を継続すること、
のいずれか１つを選択する。

一実施形態では、Ｂ）第３のエンティティによって、相互認証を継続することは、
‐受信された第２の乱数に数学的関数を適用して、修正された第２の乱数を導出することと、
‐修正された第２の乱数を暗号化して、第３の暗号化数を導出することと、
‐第３の暗号化数を第２のエンティティに送信することと、
‐第１の乱数および第２の乱数に基づいてセッション鍵を生成することと、
を含む。

第３のエンティティが、格納された第１の乱数および識別子に関連付けられた第１の暗号化数をロックすることを実行する一実施形態では、Ｂ）第３のエンティティによって、相互認証を継続することは、
‐受信された第２の乱数に数学的関数を適用して、修正された第２の乱数を導出することと、
‐修正された第２の乱数を暗号化して、第３の暗号化数を導出することと、
‐第３の暗号化数を第２のエンティティに送信することと、
‐第１の乱数および第２の乱数に基づいてセッション鍵を生成することと、
‐格納された第１の乱数およびそれぞれの識別子に関連付けられた第１の暗号化数をロック解除することと、
‐新しい第１の乱数を再生成し、当該乱数を暗号化して新しい第１の暗号化数を受信することと、
‐それぞれの識別子に関連付けられた新しい第１の暗号化数を送信することと、
を含む。

新しい第１の乱数を再生成することは、新しい第１の乱数を生成する前に第１の乱数を削除するか、または新しい第１の乱数によって第１の乱数を上書きすることを含みうることが理解される。それぞれの識別子に関連付けられた新しい第１の暗号化数を送信することは、第２のエンティティ内のタプルを更新することを含みうることがさらに理解される。

一実施形態では、第２のエンティティは、第３の暗号化数を受信した後、第３の暗号化数を第１のエンティティに転送することを実行する。

さらなる一実施形態では、第１のエンティティは、第３の暗号化数を受信した後、
‐受信された第３の暗号化数を復号して、修正された第２の乱数を受信することと、
‐修正された第２の乱数にそれぞれの数学的逆関数を適用して、第２の乱数を導出することと、
‐格納された第２の乱数を、数学的逆関数が適用された第２の乱数と比較することと、
を実行する。

一実施形態では、時間効率を改善するために、第３のエンティティは、第１のエンティティが第３の暗号化数を受信し、かつ第１のエンティティが第３の暗号化数を処理している間（例えば、復号し、それぞれの数学的逆関数を適用し、比較している間）、セッション鍵を生成しうることが理解される。しかしながら、時間効率に関して、一実施形態では、第３のエンティティは、第３の暗号化数を第２のエンティティに送信している間に、既にセッション鍵を生成しうることがさらに理解される。

一実施形態では、第１のエンティティは、格納された第２の乱数と、数学的逆関数が適用された第２の乱数とを比較した後に、
Ａ）格納された第２の乱数と、数学的逆関数が適用される第２の乱数とが一致しない場合に、通信を中止すること、
および
Ｂ）格納された第１の乱数が、数学的逆関数が適用される第１の乱数と一致した場合に、第１の乱数および第２の乱数に基づいて、セッション鍵を生成すること、
のいずれか１つを選択する。

第１のエンティティおよび第３のエンティティがそれぞれのセッション鍵を生成した後に認証が完了することが理解される。双方のエンティティは、このようにして相互認証され、それぞれのセッション鍵に基づいて認証済みメッセージを交換することができる。

本発明の第２の態様は、第１のエンティティおよび第３のエンティティによって使用される認証プロトコルに基づく、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証を実行する方法に関しており、第２のエンティティが、第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送し、本方法は、
ａ）第３のエンティティにより、第２のエンティティに認証プロトコルの第１の部分をフロントローディングすることであって、フロントローディングされた認証プロトコルの第１の部分が、第１の暗号化数（ｃ１）を含む、ことと、
ｂ）第３のエンティティにより、第２のエンティティから、相互認証を継続する指示を受信することと、
ｃ）第３のエンティティにより、認証プロトコルの欠落部分に基づく相互認証を継続することであって、当該継続すること（１０７）が、第２のエンティティ（Ｅ２，Ｔ）から第２の暗号化数（ｃ２）を受信した後に開始され、第２の暗号化数（ｃ２）が、第１の暗号化数（ｃ１）の内容を含み、認証プロトコルの欠落部分は、第２の暗号化数（ｃ２）に基づいて第３のエンティティ（Ｅ３，Ｃ）にセッション鍵Ｓを導出させる命令と、第３のエンティティ（Ｅ３，Ｃ）によって生成され送信された第３の暗号化数（ｃ３）に基づいて第１のエンティティ（Ｅ１，Ｄｎ）にセッション鍵Ｓを導出させる命令とを含み、第３の暗号化数（ｃ３）が第２の暗号化数（ｃ２）の内容を含み、当該継続することが、第１のエンティティ（Ｅ１，Ｄｎ）および第３のエンティティ（Ｅ３，Ｃ）によるそれぞれのセッション鍵Ｓを使用して、第１のエンティティ（Ｅ１，Ｄｎ）と第３のエンティティ（Ｅ３，Ｃ）との間で認証されたメッセージを交換することを含む、ことと、を含む。

本発明の第３の態様は、第１のエンティティおよび第３のエンティティによって使用される認証プロトコルに基づく、第２のエンティティを介した第１のエンティティと第３のエンティティとの間の相互認証を実行する方法に関しており、第２のエンティティが、第１のエンティティと第３のエンティティとの間で相互認証メッセージを転送し、本方法は、
ａ）第２のエンティティにより、認証プロトコルの第１の部分を受信することであって、認証プロトコルの第１の部分が、第１の暗号化数（ｃ１）を含む、ことと、
ｂ）第２のエンティティにより、認証プロトコルのフロントローディングされた第１の部分に基づいて相互認証を開始することであって、第１のエンティティが第２のエンティティへの接続を行うときに、当該開始すること（１０４）が、第１のエンティティ（Ｅ１，Ｄｎ）により第２の暗号化数（ｃ２）を生成することをさらに含み、第２の暗号化数（ｃ２）が、第１の暗号化数（ｃ１）の内容を含む、ことと、
ｃ）第２のエンティティにより、第３のエンティティに相互認証メッセージを再ルーティングすることであって、当該再ルーティングすること（１０６）が、第２のエンティティ（Ｅ２，Ｔ）から第３のエンティティ（Ｅ３，Ｃ）に第２の暗号化数（ｃ２）を送信することを含む、ことと、を含む。

本発明の第４の態様は、本発明による方法を実行するように構成された第２のエンティティおよび／または本発明による方法を実行するように構成された第３のエンティティを含む車両を対象とする。

本発明の第５の態様によれば、データ処理システムは、本発明による認証方法を実行するように構成されたプロセッサを含んでいる。

本発明の第６の態様によれば、コンピュータプログラム製品は、プログラムがコンピュータによって実行される際に、コンピュータに本発明による認証方法を行わせるための命令を含む。

本発明の第７の態様によれば、コンピュータ可読データ記憶媒体は、コンピュータによって実行される際に、コンピュータに本発明に従った認証方法を行わせるための命令を含む。

一実施形態では、第１のエンティティは、デバイス、例えばＮＦＣデバイスとも称される近距離無線通信デバイスによって表されてもよく、方法は、ＮＦＣとも称される近距離無線通信のために提供されることが理解される。一実施形態では、第１のエンティティは、携帯電話機のＮＦＣデバイスであるか、またはＮＦＣデバイスを備えたハードウェアトークン、例えば、鍵もしくはＮＦＣカードに実装されたハードウェアトークンである。ただし、本発明による認証方法は、ＮＦＣデバイスに限定されるものではない。第１のエンティティは、記載されているような認証方法で使用される任意のデバイスでありうることが理解される。

一実施形態では、第２のエンティティは、車両のドア内の端末、すなわちリーダであり、例えばＥＣＵとも称される電子制御ユニットである。

一実施形態では、第３のエンティティは、セキュリティコントローラ、例えば、ハードウェアセキュリティモジュールであり、ＨＳＭとも称される。

本出願は、高いセキュリティ要件を満たさない、あらゆる種類の物理的なアクセス制御システム、例えばドアロック、およびＩｏＴデバイスとも称される、他の、モノのインターネットデバイスに使用することができることが理解される。

本発明のさらなる特徴は、以下の説明および図面に関連する添付の特許請求の範囲から明らかになるであろう。

本発明の第１の実施形態による方法のフローチャートの図である。 本発明の第２の実施形態による認証方法のフローチャートの図である。 図１に示した第１の実施形態による認証方法を実行するシステムをより詳細に概略的に示す図である。 図２に示した第２の実施形態による認証方法を実行するシステムをより詳細に概略的に示す図である。 図３に示された実施形態の代替的な一実施形態を概略的に示す図であり、図１に示された方法の代替的な一実施形態を実行している。 図４に示された実施形態の代替的な一実施形態を概略的に示す図であり、図２に示された方法の代替的な一実施形態を実行している。 本発明によるシステムおよびエンティティを概略的に示す図である。

詳細な説明
本明細書は、本開示の基本方式を例示するものである。したがって、当業者は、本明細書に明示的に記載または示されていないが、本開示の基本方式を具現化する種々の構成を考案することができることが理解されるであろう。

本明細書に引用された全ての例および条件文は、読者が本開示の基本方式および本発明者が技術の発展に貢献した概念を理解するのに役立つための教育目的を意図しており、かかる具体的に引用された例および条件に限定されるものではないと解釈されるべきである。

さらに、本開示の基本方式、態様、および実施形態、ならびにそれらの具体的な例を言及する本明細書の全ての記述は、それらの構造的および機能的な等価物を包含することを意図している。加えて、かかる等価物には、現在知られている等価物だけでなく、将来開発される等価物、すなわち、構造にかかわらず、同じ機能を果たすために開発されたあらゆる要素が含まれることが意図されている。

したがって、当業者であれば、例えば、本明細書に提示される図は、本開示の基本方式を具現化した例示的な回路の概念的な見方を示すものであることを理解するであろう。

図１は、本出願の第１の実施形態による認証方法１００のフローチャートである。

認証方法１００の第１のステップ１０１では、認証プロトコルの第１の部分、すなわちプロトコルの第１の部分が、第３のエンティティＥ３，Ｃによって、第２のエンティティＥ２，Ｔにフロントローディングされる。認証プロトコルの欠落部分は、第３のエンティティＥ３，Ｃで保持されている。

第２のステップ１０２では、第２のエンティティＥ２，Ｔにプロトコルの第１の部分１０１をフロントローディングした後、第３のエンティティＥ３，Ｃが、ローパワーモードＬＰＭに移行する。

プロトコルの第１の部分が第２のエンティティＥ２，Ｔにフロントローディングされた後、任意の時点で行われうる第３のステップ１０３において、第１のエンティティＥ１，Ｄｎが第２のエンティティＥ２，Ｔへの接続を行い、これにより、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の相互認証が始動される。

第４のステップ１０４では、プロトコルのフロントローディングされた第１の部分に基づいて相互認証が開始される。

第５のステップ１０５では、第１のエンティティＥ１，Ｄｎが第２のエンティティＥ２，Ｔへの接続を行った直後に、第２のエンティティＥ２，Ｔが第３のエンティティＥ３，Ｃにウェイクアップ信号を送信する。

第６のステップ１０６において、第２のエンティティＥ２，Ｔは、第３のエンティティＥ３，Ｃがローパワーモードからハイパワーモードに移行した後、かつ第２のエンティティＥ２，Ｔと第１のエンティティＥ１，Ｄｎとの間のプロトコルのフロントローディングされた第１の部分に基づく相互認証が完了した後、相互認証メッセージを再ルーティングする。

第７のステップ１０７では、相互認証メッセージが再ルーティングされた後、第３のエンティティＥ３，Ｃは、プロトコルの欠落部分に基づいて、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の相互認証を継続する。認証プロトコルの欠落部分は、第３のエンティティＥ３，Ｃに対するセッション鍵Ｓを導出する命令と、第１のエンティティＥ１，Ｄｎに対する後述するセッション鍵Ｓを導出する命令と、を含む。

図１によるステップ１０１〜１０７は、図３にさらに詳細に示されている。

図１では、ステップ１０１において、第３のエンティティＥ３，Ｃが、プロトコルの第１の部分を生成し、当該プロトコルの第１の部分を第２のエンティティＥ２，Ｔに送信する。プロトコルの第１の部分を受信した後、第２のエンティティＥ２，Ｔは、当該プロトコルの第１の部分をデータストレージに格納する。

プロトコルの第１の部分は、第３のエンティティＥ３，Ｃによって生成され、ここで、第３のエンティティＥ３，Ｃは、第１の乱数ｒＢを生成し、当該第１の乱数ｒＢを暗号化して第１の暗号化数ｃ１を受信する。乱数ｒＢおよび第１の暗号化数ｃ１は、第３のエンティティＥ３，Ｃによってセキュアなデータストレージに格納されている。

第１の乱数ｒＢを暗号化するために、第３のエンティティＥ３，Ｃは、対称鍵Ｋを使用する。当該対称鍵Ｋは、第３のエンティティＥ３，Ｃの秘密鍵ＰｒＫＣおよび第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎに一方向鍵導出関数ＫＤＦを適用することにより、第３のエンティティＥ３，Ｃによって導出される。第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎは、ステップ１０１でのフロントローディングの前に第３のエンティティＥ３，Ｃによって受信されており、これにより、第３のエンティティＥ３，Ｃに既知となっている。

第３のエンティティＥ３，Ｃが第１の暗号化数ｃ１を格納した後、第３のエンティティＥ３，Ｃは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを第１の暗号化数ｃ１に追加する。第１のエンティティＥ１，Ｄｎの識別子ｉｄｎとして、第１のエンティティＥ１，ＤｎのＰｕＫＤｎが使用される。このようにして、第３のエンティティＥ３，Ｃは、第１のエンティティＥ１，Ｄｎに関連付けられた識別子ｉｄｎと、第１の暗号化数ｃ１とを含むデータのタプルを生成する。

複数の第１のエンティティが相互認証に関与しているので、第３のエンティティＥ３，Ｃは、複数の第１のエンティティ内の各第１のエンティティＥ１，Ｄｎに対して、第１の暗号化数ｃ１と対応する識別子ｉｄｎとを有する異なるタプルを含むタプルのリストを生成する。

タプルのリストが生成された後、当該タプルのリストは、第３のエンティティＥ３，Ｃによって第２のエンティティＥ２，Ｔに送信され、第２のエンティティＥ２，Ｔによって受信された後、第２のエンティティＥ２，Ｔによってデータストレージ内に格納される。このように、プロトコルの第１の部分は、タプルのリストを含む。リストが送信されて格納された後、ステップ１０２で第３のエンティティＥ３，ＣがローパワーモードＬＰＭに移行する。

ステップ１０３で第１のエンティティＥ１，Ｄｎが第２のエンティティＥ２，Ｔへの接続を行い、第２のエンティティＥ２，Ｔが当該接続を検出した直後に、ステップ１０５で第２のエンティティＥ２，Ｔが第３のエンティティＥ３，Ｃにウェイクアップ信号を送信する。このようにして、ステップ１０３で相互認証が始動される。ステップ１０５でウェイクアップ信号を送信した後、ステップ１０３で、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎに認証要求を送信する。認証要求への応答として、第１のエンティティＥ１，Ｄｎは、第１のエンティティＥ１，Ｄｎの識別子ｉｄｎとして機能する第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを第２のエンティティＥ２，Ｔに送信する。

第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎが、格納されたタプルのリスト内に発見されうるか否かを検査する。第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内に発見できず、第１のエンティティＥ１，Ｄｎを識別できない場合、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎにエラーメッセージを送信し、第１のエンティティＥ１，Ｄｎとの通信を停止する。

第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内で発見できる場合、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎとともにタプル内で発見できるそれぞれの第１の暗号化数ｃ１を第１のエンティティＥ１，Ｄｎに送信して、ステップ１０４で、プロトコルの第１の部分に基づく相互認証を開始する。

第１の暗号化数ｃ１を送信した後、第２のエンティティＥ２，Ｔは、第１の暗号化数ｃ１を削除し、適切な時点で新しい第１の暗号化数ｃ１を要求する（以下を参照）。

第１の暗号化数ｃ１を受信した後、第１のエンティティＥ１，Ｄｎは、プロトコルの第１の部分に基づく相互認証のための応答を準備する。応答の準備のために、第１のエンティティＥ１，Ｄｎは、第２の乱数ｒＡを生成し、第１の暗号化数ｃ１を復号して第１の乱数ｒＢを導出する。第２の乱数ｒＡは、第１のエンティティＥ１，Ｄｎによって事前生成され、セキュアなデータストレージに格納されていてよい。さらに、第１のエンティティＥ１，Ｄｎは、導出された第１の乱数ｒＢに数学的関数を適用する。当該数学的関数では、導出された第１の乱数ｒＢのビットが左に８ビット回転され、オーバーフローしたビットがラップアラウンドされる。このようにして、修正された第１の乱数ｒＢ’が導出される。その後、第２の乱数ｒＡおよび修正された第１の乱数ｒＢ’の連結子ｒＡ｜｜ｒＢ’が、第２のエンティティＥ２，Ｔによって暗号化され、第２の暗号化数ｃ２が受信される。

第２の暗号化数ｃ２を受信するために、第２のエンティティＥ２，Ｔは、対称鍵Ｋを用いて、第２の乱数ｒＡおよび修正された第１の乱数ｒＢ’の連結子ｒＡ｜｜ｒＢ’を暗号化する。当該対称鍵Ｋは、第１のエンティティＥ１，Ｄｎの秘密鍵ＰｒＫＤｎおよび第３のエンティティＥ３，Ｃの公開鍵ＰｕＫＣに一方向鍵導出関数（ＫＤＦ）を適用することにより、第１のエンティティＥ１，Ｄｎによって導出される。第３のエンティティＥ３，Ｃの公開鍵ＰｕＫＣは、ステップ１０１のフロントローディングの前に第１のエンティティＥ１，Ｄｎによって受信されており、これにより、第１のエンティティＥ１，Ｄｎに既知となっている。その後、第１のエンティティＥ１，Ｄｎは、第２のエンティティＥ２，Ｔに第２の暗号化数ｃ２を送信する。

第２のエンティティＥ２，Ｔによる第２の暗号化数ｃ２を受信した後、プロトコルのフロントローディングされた第１の部分に基づく相互認証が完了する。その後、第２のエンティティＥ２，Ｔは、第３のエンティティＥ３，Ｃが既にハイパワーモードに移行していない場合には、第３のエンティティＥ３，Ｃがハイパワーモードに移行するのを待機する。

第３のエンティティＥ３，Ｃがハイパワーモードに移行した後、ステップ１０６で、第２のエンティティＥ２，Ｔは、第２の暗号化数ｃ２および第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを含むタプルを第３のエンティティＥ３，Ｃに送信することにより、相互認証メッセージを第３のエンティティＥ３，Ｃに再ルーティングする。

ステップ１０６で再ルーティングした後、ステップ１０７で、第３のエンティティＥ３，Ｃは、認証プロトコルの欠落部分に基づいて、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の相互認証を継続する。ステップ１０６で再ルーティングした後、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間で受信されたメッセージの転送のみを行うことにより、ゲートウェイとして機能する。

第３のエンティティＥ３，Ｃは、第２の暗号化数ｃ２を受信した後、格納された第１の乱数と、受信された第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎに関連付けられており、かつ第１のエンティティＥ１，Ｄｎの識別子ｉｄｎとして機能する、格納された第１の暗号化数ｃ１とをロックする。次に、第３のエンティティＥ３，Ｃは、第２の暗号化数ｃ２を復号して、第２の乱数ｒＡおよび修正された第１の乱数ｒＢ’の連結子ｒＡ｜｜ｒＢ’を導出する。

次に、第３のエンティティＥ３，Ｃは、修正された第１の乱数ｒＢ’に数学的逆関数を適用して、第１のエンティティＥ１，Ｄｎにより数学的関数が適用された第１の乱数ｒＢを導出する。当該数学的逆関数では、修正された第１の乱数ｒＢ’のビットが右に８ビット回転され、オーバーフローしたビットがラップアラウンドされる。その後、第３のエンティティＥ３，Ｃは、第１のエンティティＥ１，Ｄｎにより数学的関数が適用された第１の乱数ｒＢと、格納された第１の乱数ｒＢとを比較する。比較された乱数が一致しない場合、第３のエンティティＥ３，Ｃは、エラーメッセージを送信し、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の通信を中止する。

比較された乱数が一致した場合、第３のエンティティＥ３，Ｃは、受信した第２の乱数ｒＡに数学的関数を適用して修正された第２の乱数ｒＡ’を導出し、修正された第２の乱数を暗号化して第３の暗号化数ｃ３を導出し、当該第３の暗号化数ｃ３を第２のエンティティＥ２，Ｔに送信することにより、相互認証を継続する。第３の暗号化数ｃ３を第２のエンティティＥ２，Ｔに送信しながら、第３のエンティティは、第１の乱数ｒＢおよび第２の乱数ｒＡに基づいてセッション鍵Ｓの生成を実行する。修正は、第１の乱数に適用した場合と同様の修正である。

この段階でゲートウェイとして機能する第２のエンティティＥ２，Ｔは、第３の暗号化数ｃ３を受信した後、第３の暗号化数ｃ３をそれ以上処理することなく、第１のエンティティＥ１，Ｄｎへの第３の暗号化数ｃ３の転送を実行する。

第１のエンティティＥ１，Ｄｎは、第３の暗号化数ｃ３を受信した後、受信した第３の暗号化数ｃ３を復号して修正された第２の乱数ｒＡ’を受信し、修正された第２の乱数ｒＡ’にそれぞれ数学的逆関数を適用して第２の乱数ｒＡを導出し、格納された第２の乱数ｒＡと数学的逆関数が適用された第２の乱数とを比較することを実行する。

比較された乱数が一致しない場合、第１のエンティティＥ１，Ｔは、エラーメッセージを送信し、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の通信を中止する。

比較された乱数が一致した場合、第１のエンティティＥ１，Ｄｎは、第１の乱数および第２の乱数に基づいて、セッション鍵Ｓの生成を実行する。

第１のエンティティＥ１，Ｄｎおよび第３のエンティティＥ３，Ｃがそれぞれのセッション鍵Ｓを生成した後、相互認証が完了する。

第３のエンティティＥ３，Ｃは、セッション鍵Ｓを生成した後、任意の適切な時点で、ロックされて格納された第１の乱数ｒＢと、識別子ｉｄｎ（ここでは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎ）に関連付けられた、ロックされて格納された第１の暗号化数ｃ１とのロック解除を実行することができる。

第２のエンティティＥ２，Ｔが第３の暗号化数ｃ３を受信して第１のエンティティＥ１，Ｄｎに転送した後、第２のエンティティＥ２，Ｔは、第３のエンティティＥ３，Ｃから、それぞれの識別子ｉｄｎに関連付けられた新しい第１の暗号化数ｃ１の要求を実行する。

第３のエンティティＥ３，Ｃは、新しい第１の暗号化数の要求を受信し、格納された乱数ｒＢと第１の暗号化数ｃ１とのロックを解除した後、新しい第１の乱数の再生成および新しい第１の乱数の暗号化を実行して、新しい第１の暗号化数を生成する。ここでの再生成は、ロック解除されて格納された第１の乱数ｒＢと、ロック解除された第１の暗号化数ｃ１とを、それぞれの番号を新しい番号に置き換えることによって上書きすることを含む。このようにして、新しい第１の暗号化数および関連する識別子、ここでは第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを含む更新されたタプルが生成される。

再生成後、第３のエンティティＥ３，Ｃは、第２のエンティティＥ２，Ｔへの更新されたタプルの送信を実行する。更新されたタプルを受信した後の第２のエンティティＥ２，Ｔは、それぞれの第１のエンティティに関連付けられた、格納されたそれぞれの識別子を上書きすることによって、またはそれぞれの第１のエンティティに関連付けられた、格納されたそれぞれの識別子に関連付けられた新しい第１の暗号化数を単に格納することによって、更新されたタプルをデータストレージに格納する。

図２は、本出願の第２の実施形態による認証方法１００のフローチャートである。

図２と図１との相違点は、第１のエンティティＥ１，Ｄｎが、第２のエンティティＥ２，Ｔとの接続を検出した後、かつステップ１０３で相互認証を始動させた後、第１のエンティティＥ１，Ｄｎの識別子ｉｄｎとして機能する第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを第２のエンティティＥ２，Ｔに直接に送信することである。さらに、図２は、ステップ１０３で第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎが格納されたタプルのリスト内に発見されうるか否かが検査された後、ステップ１０５で第２のエンティティＥ２，Ｔがウェイクアップ信号を送信する点で、図１とはさらに異なる。第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内に発見できず、第１のエンティティＥ１，Ｄｎを識別できない場合、第２のエンティティＥ２，Ｔは、第３のエンティティＥ３，Ｃにウェイクアップ信号を送信することなく、単に第１のエンティティＥ１，Ｄｎにエラーメッセージを送信し、第１のエンティティＥ１，Ｄｎとの通信を停止する。

第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内に発見できる場合のみ、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを発見した後、第３のエンティティＥ３，Ｃにウェイクアップ信号を送信する。

図２によるステップ１０１〜１０７は、図４にさらに詳細に示されている。

図３は、図１に示した第１の実施形態による認証方法を実行するシステムの詳細を概略的に示している。当該システムは、第１のエンティティＥ１と、第２のエンティティＥ２と、第３のエンティティＥ３とを含む。第１のエンティティＥ１は、認証対象デバイスＤ_ｎ、例えばＮＦＣデバイスによって表される。デバイスＤ_ｎは、ｎ＝１，２，３，．．．のデバイスを有する複数のデバイスＤ_ｎ内の第１のデバイスである。第２のエンティティＥ２は、端末Ｔ、例えば車両のドア内の受信機で表される。第３のエンティティＥ３は、セキュリティコントローラＣ、例えば車両内のハードウェアセキュリティモジュールＨＳＭによって表される。第２のエンティティＥ２，Ｔおよび第３のエンティティＥ３，Ｃは、いずれも車載ネットワークに実装されている。

第１のエンティティＥ１，Ｄｎは、右側の垂直な点線に沿ってステップを実行する。第２のエンティティＥ２，Ｔは、中央の垂直な点線に沿ってステップを実行し、第３のエンティティＥ３，Ｃは、左側の垂直な点線に沿ってステップを実行する。２つの垂直な点線をそれぞれ結ぶ点線の間の矢印は、それぞれの２つのエンティティの相互作用、すなわち通信を示している。

図４は、図２に示した第２の実施形態による認証方法を実行するシステムの詳細を概略的に示している。ここで、図４は、第２のエンティティＥ２，Ｔとの接続を検出した後のステップ１０３の第１のエンティティＥ１，Ｄｎが、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを第２のエンティティＥ２，Ｔに直接に送信する点で、図３とは異なる。第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎは、第１のエンティティＥ１，Ｄｎの識別子ｉｄｎとして機能する。しかも、図４は、ステップ１０３で第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎが格納されたタプルのリスト内に発見されうるか否かが検査された後、ステップ１０５で第２のエンティティＥ２，Ｔがウェイクアップ信号を送信する点で、図３とはさらに異なる。第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内に発見できず、第１のエンティティＥ１，Ｄｎを識別できない場合、第２のエンティティＥ２，Ｔは、第３のエンティティＥ３，Ｃにウェイクアップ信号を送信することなく、単に第１のエンティティＥ１，Ｄｎにエラーメッセージを送信し、第１のエンティティＥ１，Ｄｎとの通信を停止する。

第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎがタプルのリスト内に発見できる場合のみ、第２のエンティティＥ２，Ｔは、第１のエンティティＥ１，Ｄｎの公開鍵ＰｕＫＤｎを発見した後に、第３のエンティティＥ３，Ｃにウェイクアップ信号を送信する。

図５は、図１に示された方法の代替的な一実施形態を実行する、図３に示された実施形態の代替的な一実施形態を概略的に示している。

ここで、図１で説明した方法と図３との唯一の違いは、図５の第３のエンティティＥ３，Ｃが、格納されている第１の乱数ｒＢをロック解除し、格納されている第１の暗号化数ｃ１をロック解除した後、自動的に、新しい第１の乱数の再生成を実行し、新しい第１の乱数を暗号化して新しい第１の暗号化数を導出し、更新されたタプルを第２のエンティティＥ２，Ｔに送信する点である。この場合、第３のエンティティＥ３，Ｃは、第２のエンティティＥ２，Ｔからの、新しい第１の暗号化数を含む更新されたタプルの送信要求を受信するまで待機しなくてよい。

図６は、図２に示された方法の代替的な一実施形態を実行する、図４に示された実施形態の代替的な一実施形態を概略的に示している。

ここで、図２で説明した方法と図４との唯一の違いは、図６の第３のエンティティＥ３，Ｃが、格納された第１の乱数ｒＢをロック解除し、格納された第１の暗号化数ｃ１をロック解除した後、自動的に、新しい第１の乱数の再生成を実行し、新しい第１の乱数を暗号化して新しい第１の暗号化数を導出し、更新されたタプルを第２のエンティティＥ２，Ｔに送信する点である。この場合、第３のエンティティＥ３，Ｃは、第２のエンティティＥ２，Ｔからの、新しい第１の暗号化数を含む更新されたタプルの送信要求を受信するまで待機しなくてよい。

図７は、本発明によるシステムおよびエンティティを概略的に示している。エンティティの構成は、図３および図４と同様である。すなわち、図３および図４のデバイスＤｎによって表される第１のエンティティＥ１が右側位置に、図３および図４の端末Ｔによって表される第２のエンティティＥ２が中間位置に、図３および図４のセキュリティコントローラＣによって表される第３のエンティティＥ３，Ｃが右側位置に配置されている。

車両３１の車載ネットワーク３０には、第２のエンティティＥ２，Ｔおよび第３のエンティティＥ３，Ｃが導入されている。

第１のエンティティＥ１，Ｄｎは携帯電話機であり、第２のエンティティＥ２，Ｔは車両３１のドア内のＥＣＵ内のリーダであり、第３のエンティティＥ３，Ｃは車載ネットワーク３０内のＨＳＭである。第３のエンティティＥ３，Ｃと第２のエンティティＥ２，Ｔとは、車載ネットワーク３０内の接続を介して、例えば有線で通信することができる。なお、第１のエンティティＥ１，Ｄｎは、車両３１のドアの開放のために使用されてもよい。車両３１のドアを開放するためには、第１のエンティティＥ１，Ｄｎと第３のエンティティＥ３，Ｃとの間の相互認証が必要である。したがって、図１のシステムおよびエンティティは、図３と同じであり、システムおよびエンティティは、図１および図３に示すような認証方法を実行する。

Claims (14)

1. 第１のエンティティ（Ｅ１，Ｄｎ）および第３のエンティティ（Ｅ３，Ｃ）によって使用される認証プロトコルに基づく、第２のエンティティ（Ｅ２，Ｔ）を介した前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間の相互認証のための認証方法（１００）であって、前記第２のエンティティ（Ｅ２，Ｔ）が、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間で相互認証メッセージを転送し、
   ａ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記第２のエンティティ（Ｅ２，Ｔ）に前記認証プロトコルの第１の部分をフロントローディングすること（１０１）、および前記第３のエンティティ（Ｅ３，Ｃ）で前記認証プロトコルの少なくとも欠落部分を保持することであって、前記認証プロトコルのフロントローディングされた前記第１の部分は第１の暗号化数（ｃ１）を含み、前記第３のエンティティ（Ｅ３，Ｃ）が、前記認証プロトコルの前記第１の部分をフロントローディングした後、ハイパワーモードからローパワーモードへ移行すること（１０２）、と、
   ｂ）前記相互認証を始動させること（１０３）と、
   ｃ）前記認証プロトコルのフロントローディングされた前記第１の部分に基づく前記相互認証を開始すること（１０４）であって、該開始すること（１０４）は、前記第１のエンティティ（Ｅ１，Ｄｎ）により、第２の暗号化数（ｃ２）を生成することを含み、前記第２の暗号化数（ｃ２）は、前記第１の暗号化数（ｃ１）の内容を含む、ことと、
   ｄ）前記第２のエンティティ（Ｅ２，Ｔ）により、前記第３のエンティティ（Ｅ３，Ｃ）にウェイクアップ信号を送信すること（１０５）と、
   ｅ）前記第３のエンティティ（Ｅ３，Ｃ）がローパワーモードからウェイクアップしたときに、前記第２のエンティティ（Ｅ２，Ｔ）により、前記相互認証メッセージを再ルーティングすること（１０６）であって、該再ルーティングすること（１０６）は、前記第２のエンティティ（Ｅ２，Ｔ）から前記第３のエンティティ（Ｅ３，Ｃ）に前記第２の暗号化数（ｃ２）を送信することを含む、ことと、
   ｆ）前記第３のエンティティ（Ｅ３，Ｃ）に前記相互認証メッセージを再ルーティングした後、前記第３のエンティティ（Ｅ３，Ｃ）により、前記認証プロトコルの前記欠落部分に基づく前記相互認証を継続すること（１０７）であって、前記認証プロトコルの前記欠落部分は、前記第２の暗号化数（ｃ２）に基づいて前記第３のエンティティ（Ｅ３，Ｃ）にセッション鍵（Ｓ）を導出させる命令と、前記第３のエンティティ（Ｅ３，Ｃ）によって生成され送信された第３の暗号化数（ｃ３）に基づいて前記第１のエンティティ（Ｅ１，Ｄｎ）にセッション鍵（Ｓ）を導出させる命令とを含み、前記第３の暗号化数（ｃ３）は、前記第２の暗号化数（ｃ２）の内容を含み、継続することは、前記第１のエンティティ（Ｅ１，Ｄｎ）および前記第３のエンティティ（Ｅ３，Ｃ）によるそれぞれの前記セッション鍵（Ｓ）を使用して、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間で認証されたメッセージを交換することを含む、ことと、
   を含む、認証方法（１００）。
2. ｅ）再ルーティングすること（１０６）は、前記第３のエンティティ（Ｅ３，Ｃ）がローパワーモードからウェイクアップしたとき、かつ前記第２のエンティティ（Ｅ２，Ｔ）と前記第１のエンティティ（Ｅ１，Ｄｎ）との間の前記認証プロトコルのフロントローディングされた前記第１の部分が完了したときに、開始される、請求項１記載の認証方法（１００）。
3. ａ）前記認証プロトコルの第１の部分をフロントローディングすること（１０１）は、
   ｉ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記認証プロトコルの前記第１の部分を事前生成することと、
   ｉｉ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記第３のエンティティ（Ｅ３，Ｃ）から前記第２のエンティティ（Ｅ２，Ｔ）へ、前記認証プロトコルの事前生成された前記第１の部分を送信することと、
   ｉｉｉ）前記第２のエンティティ（Ｅ２，Ｔ）により、前記第３のエンティティ（Ｅ３，Ｃ）から前記認証プロトコルの事前生成された前記第１の部分を受信することと、
   ｉｖ）前記第２のエンティティ（Ｅ２，Ｔ）により、前記第２のエンティティ（Ｅ２，Ｔ）に、受信した前記認証プロトコルの前記第１の部分を格納することと、
   を含む、請求項１または２記載の認証方法（１００）。
4. ａ）フロントローディングすること（１０１）は、乱数（ｒＢ）を生成し、前記乱数（ｒＢ）を対称鍵（Ｋ）で暗号化して第１の暗号化数（ｃ１）を導出することを含み、前記対称鍵（Ｋ）は、前記第１のエンティティ（Ｅ１，Ｄｎ）および前記第３のエンティティ（Ｅ３，Ｃ）の事前共有された非対称鍵材料に基づく一方向鍵導出関数を使用して導出される、請求項１から３までのいずれか１項記載の認証方法（１００）。
5. ａ）フロントローディングすること（１０１）は、前記第３のエンティティ（Ｅ３，Ｃ）により、前記認証プロトコルの前記第１の部分に識別子（ｉｄｎ）を追加することを含む、請求項１から４までのいずれか１項記載の認証方法（１００）。
6. 前記識別子（ｉｄｎ）は、それぞれの前記第１のエンティティ（Ｅ１，Ｄｎ）に関連付けられた公開鍵（ＰｕＫＤｎ）、および／またはそれぞれの前記第１のエンティティ（Ｅ１，Ｄｎ）に関連付けられたシリアル番号である、請求項５記載の認証方法（１００）。
7. 前記第２のエンティティ（Ｅ２，Ｔ）により、前記第３のエンティティ（Ｅ３，Ｃ）にウェイクアップ信号を送信すること（１０５）は、前記第２のエンティティ（Ｅ２，Ｔ）により、
   ‐ｂ）始動させること（１０３）において、前記第１のエンティティ（Ｅ１，Ｄｎ）が前記第２のエンティティ（Ｅ２，Ｔ）への動作可能な接続を行うと直ちに、
   または
   ‐前記認証プロトコルの前記第１の部分に、第１のデバイスの識別に応じて、前記第１のエンティティ（Ｅ１，Ｄｎ）を識別するための識別子（ｉｄｎ）が追加されている場合に、
   行われる、請求項１から６までのいずれか１項記載の認証方法（１００）。
8. 前記方法は、
   ｃ）開始すること（１０４）において、前記第１のエンティティ（Ｅ１，Ｄｎ）により、第２の暗号化数（ｃ２）を事前生成することと、前記第２の暗号化数（ｃ２）を前記第１のエンティティ（Ｅ１，Ｄｎ）のセキュアな領域に格納することと、
   を含む、請求項１から７までのいずれか１項記載の認証方法（１００）。
9. 第１のエンティティ（Ｅ１，Ｄｎ）および第３のエンティティ（Ｅ３，Ｃ）によって使用される認証プロトコルに基づく、第２のエンティティ（Ｅ２，Ｔ）を介した前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間の相互認証を実行する方法であって、前記第２のエンティティ（Ｅ２，Ｔ）が、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間で相互認証メッセージを転送し、前記方法が、
   ａ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記第２のエンティティ（Ｅ２，Ｔ）に認証プロトコルの第１の部分をフロントローディングすること（１０１）、および前記第３のエンティティ（Ｅ３，Ｃ）で前記認証プロトコルの少なくとも欠落部分を保持することであって、前記認証プロトコルのフロントローディングされた前記第１の部分が、第１の暗号化数（ｃ１）を含む、ことと、
   ｂ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記第２のエンティティ（Ｅ２，Ｔ）から、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第２のエンティティ（Ｅ２，Ｔ）との間の前記相互認証を継続する指示を受信することと、
   ｃ）前記第３のエンティティ（Ｅ３，Ｃ）により、前記認証プロトコルの前記欠落部分に基づく前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第２のエンティティ（Ｅ２，Ｔ）との間の前記相互認証を継続すること（１０７）であって、該継続すること（１０７）は、前記第２のエンティティ（Ｅ２，Ｔ）から第２の暗号化数（ｃ２）を受信した後に開始され、前記第２の暗号化数（ｃ２）は、前記第１の暗号化数（ｃ１）の内容を含み、前記認証プロトコルの前記欠落部分は、前記第２の暗号化数（ｃ２）に基づいて前記第３のエンティティ（Ｅ３，Ｃ）にセッション鍵（Ｓ）を導出させる命令と、前記第３のエンティティ（Ｅ３，Ｃ）によって生成され送信された第３の暗号化数（ｃ３）に基づいて前記第１のエンティティ（Ｅ１，Ｄｎ）にセッション鍵（Ｓ）を導出させる命令とを含み、前記第３の暗号化数（ｃ３）は、前記第２の暗号化数（ｃ２）の内容を含み、継続することは、前記第１のエンティティ（Ｅ１，Ｄｎ）および前記第３のエンティティ（Ｅ３，Ｃ）によるそれぞれの前記セッション鍵（Ｓ）を使用して、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間で認証されたメッセージを交換することを含む、ことと、
   を含む、方法。
10. 第１のエンティティ（Ｅ１，Ｄｎ）および第３のエンティティ（Ｅ３，Ｃ）によって使用される認証プロトコルに基づく、第２のエンティティ（Ｅ２，Ｔ）を介した前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間の相互認証を実行する方法であって、前記第２のエンティティ（Ｅ２，Ｔ）が、前記第１のエンティティ（Ｅ１，Ｄｎ）と前記第３のエンティティ（Ｅ３，Ｃ）との間で相互認証メッセージを転送し、前記方法が、
    ａ）前記第２のエンティティ（Ｅ２，Ｔ）により、認証プロトコルの第１の部分を受信することであって、前記認証プロトコルの前記第１の部分が、第１の暗号化数（ｃ１）を含む、ことと、
    ｂ）前記第２のエンティティ（Ｅ２，Ｔ）により、前記認証プロトコルのフロントローディングされた前記第１の部分に基づいて、前記第２のエンティティ（Ｅ２，Ｔ）と前記第１のエンティティ（Ｅ１，Ｄｎ）との間の前記相互認証を開始すること（１０４）であって、第１のエンティティ（Ｅ１，Ｄｎ）が前記第２のエンティティ（Ｅ２，Ｔ）への接続を行うときに、開始すること（１０４）が、前記第１のエンティティ（Ｅ１，Ｄｎ）によって第２の暗号化数（ｃ２）を生成することをさらに含み、前記第２の暗号化数（ｃ２）が、前記第１の暗号化数（ｃ１）の内容を含む、ことと、
    ｃ）前記第２のエンティティ（Ｅ２，Ｔ）により、前記第３のエンティティ（Ｅ３，Ｃ）に前記相互認証メッセージを再ルーティングすること（１０６）であって、該再ルーティングすること（１０６）が、前記第２のエンティティ（Ｅ２，Ｔ）から前記第３のエンティティ（Ｅ３，Ｃ）に前記第２の暗号化数（ｃ２）を送信することを含む、ことと、
    を含む、方法。
11. 請求項１０記載の方法を実行するように構成された第２のエンティティ（Ｅ２，Ｔ）および／または請求項９記載の方法を実行するように構成された第３のエンティティ（Ｅ３，Ｃ）を含む、車両（３１）。
12. 請求項１から１０までのいずれか１項記載の認証方法（１００）を実行するように構成されたプロセッサを含む、データ処理システム。
13. 前記プログラムがコンピュータによって実行される際に、前記コンピュータに、請求項１から１０までのいずれか１項記載の認証方法（１００）を行わせるための命令を含む、コンピュータプログラム製品。
14. コンピュータによって実行される際に、前記コンピュータに、請求項１から１０までのいずれか１項記載の認証方法（１００）を行わせるための命令を含む、コンピュータ可読データ記憶媒体。

Images