JP2022081443A - 通信装置、通信方法、及びプログラム - Google Patents

Abstract

【課題】サイドチャネル攻撃などの脅威から秘密情報を守ることが可能な通信装置、通信方法、及びプログラムを提供する。【解決手段】ホストＨは、デバイスＤとの間で非接触通信が行われるときに秘密情報が記憶されていないかまたは秘密情報の利用回数が所定の利用制限回数以下でない場合、多くの計算量を必要とする高度認証手順を選択して認証を実行する一方、秘密情報が記憶されており、且つ、当該秘密情報の利用回数が所定の利用制限回数以下である場合、より計算量の少ない簡易認証手順を選択して当該秘密情報を用いて認証を実行する。【選択図】図２

Description

本発明は、通信相手との間で多くの計算量を要する高度認証手順と、通信相手との間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置等の技術分野に関する。

年々増え続けているスマートフォンの役割の中でも、ドアを施錠および解錠する鍵としての役割が注目されている。住宅の玄関扉や宅配ロッカーの開閉扉をスマートフォンなどのデバイスで解錠する認証システムでは、錠前（通信装置）とデバイス（通信相手）との間の認証手順において相互認証が行われることで解錠などの処理が実行される。このような相互認証では、一般に、当該相互認証に成功した回数のカウントに用いるカウンタ値が利用されるが、認証成功とならない限り同じ値のカウンタ値を使用して、セッション鍵等の生成を何度も試行できるため、サイドチャネル攻撃によりセッション鍵等が推定されるおそれがあった。特許文献１には、認証に成功する毎にカウントアップされるカウンタ値に基づいて動的に暗号鍵を生成するＩＣカードにおいて、サイドチャネル攻撃に対する耐タンパ性を高めるために、認証処理を開始する前、試行回数カウンタの値を繰り返し回数として所定のダミー処理を繰り返し行う認証遅延処理を実行する技術が開示されている。

特開２０１８－１４８３８７号公報

ところで、スマートフォンがドアの鍵として利用できるようになる前に、ドアに設置される錠前とスマートフォンとで組み合わせを確定する必要があり、これはネットワーク上の不特定多数のコンピュータ同士が認証しあうことと同じ状況である。つまり、ドアの錠前とスマートフォンは、互いに組み合わせられることを事前に知らされない状態から認証しあうことになる。

この状況で利用される認証手順は公開鍵暗号を利用した証明書検証であり、該認証では秘密裏に情報を共有する技術（Diffie-Hellmanなど）も併用され、該技術によって共有された秘密情報は、認証後の秘匿通信を実現する共通鍵暗号の鍵または鍵を生成する入力情報として利用される。

よって、公開鍵暗号を利用して証明書を検証する認証手順は、検証結果を得るまでの計算量が多く、計算機資源も要する高度認証手順と言える。そのため、不特定多数のコンピュータ同士の通信では、毎回の通信開始時に高度認証手順を利用するわけではなく、一度認証に成功した際に生成した秘密情報を記憶しておき、次の通信開始時には該秘密情報を再利用する簡易認証手順も利用できる。該簡易認証手順は、公開鍵暗号よりも計算量、計算機資源が少なくすむ共通鍵暗号にて構成されるが、該秘密情報と該秘密情報を生成した際の認証手順を識別する情報を対にして保持する必要があり、全ての通信相手の秘密情報を個別に記憶することは難しく、一定期間しか保持されていない。

ただし、ドアの錠前とスマートフォンの組み合わせにおいては、認証する相手が限定的であるため、ドアの錠前は秘密情報と該秘密情報を生成した際の認証手順を識別する情報を対にして記憶しておくことが可能である。

しかしながら、秘密情報は、利用し続けるとセキュリティ的に脆弱となり、サイドチャネル攻撃により推測されるおそれがある。一方で、セキュリティを高くし過ぎて利用に制限をかけると、利便性を損なう可能性もある。

そこで、本発明は、以上の点等に鑑みてなされたものであり、通信相手との間で多くの計算量を要する高度認証手順と、高度認証手順において生成された秘密情報を用いて通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能である場合において、サイドチャネル攻撃などの脅威から秘密情報を守ることが可能な通信装置、通信方法、及びプログラムを提供することを目的とする。

さらに、本発明は、秘密情報を適切に制御し、サイドチャネル攻撃などの脅威から秘密情報を守り、かつ、利便性も保つことが可能な通信装置、通信方法、及びプログラムを提供することを目的とする。

上記課題を解決するために、請求項１に記載の発明は、通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段と、前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合、前記簡易認証手順を選択して認証を実行する認証手段と、を備えることを特徴とする。

請求項２に記載の発明は、請求項１に記載の通信装置において、前記秘密情報の利用制限をかけるか否かを設定する設定手段を更に備え、前記認証手段は、前記通信相手との間で通信が行われるときに前記秘密情報の利用制限をかける設定がなされており、且つ、前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合に限り、前記簡易認証手順を選択して認証を実行することを特徴とする。

請求項３に記載の発明は、請求項１または２に記載の通信装置において、前記認証手段は、前記秘密情報が前記記憶手段に記憶されていないか、または前記利用回数が所定の利用制限回数以下でない場合、前記高度認証手順を選択して認証を実行することを特徴とする。

請求項４に記載の発明は、請求項１乃至３の何れか一項に記載の通信装置において、前記利用回数が所定の利用制限回数以下でない場合、前記記憶手段から前記秘密情報を消去する消去手段を更に備えることを特徴とする。

請求項５に記載の発明は、請求項１乃至３の何れか一項に記載の通信装置において、前記秘密情報が前記記憶手段に記憶されてから所定時間が経過したか、または認証エラーが発生した場合、前記記憶手段から前記秘密情報を消去する消去手段を更に備えることを特徴とする。

請求項６に記載の発明は、請求項１乃至５の何れか一項に記載の通信装置において、前記高度認証手順では、署名生成と署名検証による認証、及び公開鍵暗号方式による鍵共有が実行されることを特徴とする。

請求項７に記載の発明は、請求項６に記載の通信装置において、前記簡易認証手順では、乱数と、前記秘密情報とを用いて認証が実行されることを特徴とする。

請求項８に記載の発明は、請求項１に記載の通信装置の通信相手となるデバイスに含まれるコンピュータに、前記高度認証手順において生成された秘密情報を記憶するステップと、前記通信装置からの乱数を含むコマンドを受信するステップと、前記利用回数が所定の利用制限回数以下である場合、前記受信されたコマンドに応じて、前記秘密情報と前記乱数とを用いて認証のための暗号化データを生成するステップと、前記暗号化データを含むレスポンスを前記通信装置へ送信するステップと、を実行させることを特徴とする。

請求項９に記載の発明は、請求項１に記載の通信装置の通信相手となるデバイスに含まれるコンピュータに、前記高度認証手順において生成された秘密情報を記憶するステップと、前記秘密情報の利用制限をかけるか否かを設定する設定ステップと、前記秘密情報の利用制限をかける設定がなされ、且つ、前記利用回数が所定の利用制限回数以下である場合、前記秘密情報と乱数とを用いて認証のための暗号化データを生成するステップと、前記暗号化データを含むレスポンスを前記通信装置へ送信するステップと、を実行させることを特徴とする。

請求項１０に記載の発明は、通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段を備える前記通信装置により実行される通信方法において、前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されているか否かを判定するステップと、前記秘密情報が前記記憶手段に記憶されていると判定された場合、前記利用回数が所定の利用制限回数以下であるか否かを判定するステップと、前記利用回数が所定の利用制限回数以下であると判定された場合、前記簡易認証手順を選択して認証を実行するステップと、を含むことを特徴とする。

請求項１１に記載の発明は、通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段を備える前記通信装置に含まれるコンピュータを、前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合、前記簡易認証手順を選択して認証を実行する認証手段として機能させることを特徴とする。

本発明によれば、サイドチャネル攻撃などの脅威から秘密情報を守ることができる。また、本発明によれば、秘密情報を適切に制御し、サイドチャネル攻撃などの脅威から秘密情報を守り、かつ、利便性も保つことができる。

本実施形態に係る認証システムＳの概要構成例を示す図である。 ホストＨにおける制御部１３の認証手順選択処理の一例を示すフローチャートである。 ホストＨとデバイスＤとの間で実施される高度認証手順の一例を示すシーケンス図である。 ホストＨとデバイスＤとの間で実施される簡易認証手順１の一例を示すシーケンス図である。 デバイスＤにおける制御モジュール２の簡易認証手順実施判定処理の一例を示すフローチャートである。 ホストＨとデバイスＤとの間で実施される簡易認証手順２の一例を示すシーケンス図である。

以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、例えば、住宅の玄関扉の解錠、宅配ロッカーの開閉扉の解錠、または車のドアの解錠などに利用される認証システムに対して本発明を適用した場合の実施の形態である。

［１．認証システムＳの概要構成］
先ず、図１を参照して、本実施形態に係る認証システムＳの概要構成について説明する。図１は、本実施形態に係る認証システムＳの概要構成例を示す図である。図１に示すように、認証システムＳは、デバイスＤ、ホスト（ホストコンピュータ）Ｈを含んで構成される。ここで、ホストＨは、本発明の通信装置の一例であり、ホストＨの通信相手がデバイスＤである。ホストＨとデバイスＤとは、例えばＮＦＣ（Near field communication）技術を用いた非接触通信を行うことが可能になっている。また、ホストＨとデバイスＤとの通信には、Bluetooth（登録商標）、ZigBee、LoRa、UWB（Ultra Wide Band）を用いてもよい。

ホストＨとデバイスＤとは、多くの計算量を要する高度認証手順（以下、「高度認証手順」という）と、より少ない計算量で済む簡易認証手順（以下、「簡易認証手順」という）とが選択可能に実施されるようになっている。高度認証手順では、署名生成と署名検証による認証、及び公開鍵暗号方式による鍵共有が実行される。本実施形態では、一例として、高度認証手順では、ＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）による署名生成と署名検証による認証、及びＥＣＤＨ（Elliptic curve Diffie-Hellman key exchange）による鍵交換が実行されるものとする。

一方、簡易認証手順では、ＥＣＤＨのプロトコルに従った演算（以下、「ＥＣＤＨ演算」という）は行われず、高度認証手順において生成され、ホストＨ及びデバイスＤに記憶された秘密情報と乱数を用いて（換言すると、秘密情報に基づいて）共通鍵暗号方式での相互認証が実行される。ここで、ホストＨがデバイスＤを認証する片側認証であってもよい。また、秘密情報とは、例えば、ホストＨとデバイスＤとが高度認証手順を実施した場合に、ホストＨとデバイスＤとのみが共有することになった情報である。ＥＣＤＨでは、秘密情報は共有秘密（Shared-secret)と呼ばれている。

ところで、秘密情報は、制限なく使い続けられると、サイドチャネル攻撃によって値が推測されるおそれがある。そのため、本実施形態では、秘密情報の利用回数がカウントされるようにし、カウントされた利用回数（つまり、カウント値）が所定の利用制限回数以下にある場合に、簡易認証手順が実施されるようになっている。すなわち、高度認証手順にて１回目の認証がなされた後、設定によって許可された利用制限回数の範囲で、簡易認証手順にて秘密情報を利用する高速な認証がなされる。かかる利用制限回数は、特に限定されないが、例えば５～１０回程度に設定される。

一方で、ホテルの部屋のように利用者が頻繁に変わりつつ利便性を重要視する場合もあれば、住宅の玄関のように利用者はめったに変わることがないが利便性を求めながらも時折、鍵を交換することで長期の安心が得られる場合もある。そのため、本実施形態では、秘密情報の利用制限をかけるか否かを設定可能にすることで、利便性を保つようになっている。すなわち、秘密情報の利用制限をかけない設定がなされている場合、高度認証手順にて１回目の認証がなされた後、特に制限無く簡易認証手順にて秘密情報を利用する高速な認証がなされる。

なお、認証システムＳが住宅の玄関扉や宅配ロッカーの開閉扉の解錠に利用される場合、ホストＨは扉制御装置に適用される。或いは、認証システムＳが車のドアの解錠に利用される場合、ホストＨは車載コンピュータに適用される。一方、認証システムＳが住宅の玄関扉、宅配ロッカーの開閉扉や車のドアの解錠に利用される場合、デバイスＤはユーザにより携帯される携帯端末（例えば、スマートフォン）、ＩＣカード、またはキーホルダーなどに適用される。

デバイスＤは、図１に示すように、通信モジュール１、制御モジュール２、及びＩＣ（Integrated Circuit）モジュール３等を備えて構成される。なお、制御モジュール２とＩＣモジュール３とが一体化されてもよい。通信モジュール１は、例えばＮＦＣ技術を用いた非接触通信を行う非接触ＩＣチップ（例えば、ＣＬＦ（ContactLess Front-end））であり、非接触のフィールド内で、ホストＨに備えられる非接触リーダ／ライダとの間で通信を行う。

制御モジュール２は、図示しないが、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、及びＮＶＭ（Nonvolatile Memory）等を備えて構成され、ＲＯＭまたはＮＶＭに記憶されたプログラム（本発明のプログラムを含む）にしたがって各種処理を実行する。例えば、制御モジュール２は、ホストＨとの間の簡易認証手順と高度認証手順とのそれぞれにおいて、ホストＨからのコマンドに応じて鍵生成などの演算処理を実行し、その処理結果を示すレスポンスをホストＨへ送信する。また、制御モジュール２は、秘密情報の利用回数をカウントするカウンタ機能、秘密情報の利用制限をかけるか否か（つまり、利用制限有無）を設定する制限設定機能、及び所定の条件下で秘密情報を消去する秘密情報消去機能を有する。

ここで、制限設定機能は、例えば、デバイスＤの出荷前に製造者または管理者により使用される設定機器から送信された利用条件設定コマンドに応じて秘密情報の利用制限をかける設定（つまり、利用制限有の設定）を行うとともに利用制限回数を設定する。なお、カウンタ機能によりカウントされたカウント値、制限設定機能により設定された利用制限有無を示すフラグ及び利用制限回数は、例えば制御モジュール２のＮＶＭ、またはＩＣモジュール３に記憶される。

ＩＣモジュール３は、例えば高い耐タンパ性を有するセキュアエレメントである。ＩＣモジュール３は、着脱可能な小型のＩＣカードとしてデバイスＤに搭載されてもよいし、eSIM（Subscriber Identity Module）としてデバイスＤから容易に取り外しや取り換えができないように組み込み基板上に搭載されてもよい。ＩＣモジュール３内のセキュアメモリには、デバイスＤに固有の公開鍵と秘密鍵の鍵ペア、及び高度認証手順において生成された秘密情報などが記憶される。ここで、鍵ペアに含まれる公開鍵、及び当該公開鍵を特定するための鍵ＩＤは、ホストＨとの間で事前に共有される。さらに、セキュアメモリには、デバイスＤに固有のデバイスＩＤが記憶される。デバイスＤに固有のデバイスＩＤは、サーバ等により振分けられた固有値であってもよいし、デバイスＤの公開鍵や秘密鍵がハッシュ化されて得られたハッシュ値であってもよい。

なお、セキュアメモリに記憶された秘密情報の利用回数が所定の利用制限回数を超える場合、秘密情報消去機能によりセキュアメモリから秘密情報が消去されるとよい。また、秘密情報がセキュアメモリに記憶されてから所定時間が経過したか、または認証エラーが発生した場合、秘密情報消去機能によりセキュアメモリから秘密情報が消去されてもよい。また、制御モジュール２またはＩＣモジュール３にインストールされたファームウェアなどのプログラムの更新があった場合、秘密情報消去機能によりセキュアメモリから秘密情報が消去されてもよい。

ホストＨは、図１に示すように、通信部１１、記憶部１２（記憶手段の一例）、及び制御部１３等を備えて構成される。通信部１１は、例えばＮＦＣ技術を用いた非接触通信を行う非接触リーダ／ライダであり、非接触のフィールド内で、デバイスＤに備えられる非接触ＩＣチップとの間で通信を行う。デバイスＤが通信部１１の非接触のフィールドに入ると、ホストＨとデバイスＤとの間で初期応答シーケンスが実施される。初期応答シーケンスにおいて、通信部１１により、ホストＨからリクエストコマンドがデバイスＤへ送信され、デバイスＤからレスポンスが受信されることで、当該デバイスＤが識別され、活性状態に遷移される。その後、ホストＨとデバイスＤとの間で高度認証手順または簡易認証手順が実施される。なお、活性状態に遷移される前に、必要に応じて、ホストＨとデバイスＤとの間でパラメータが交換され通信速度などの通信条件が相互に確認されてもよい。

ところで、通信部１１の非接触のフィールドに複数のデバイスＤが入ると、リクエストコマンドに対して複数のデバイスＤが同時にレスポンスを送信するので、通信部１１は通信相手となるデバイスＤを正しく認識できない状態（コリジョン）が発生する。これを防止する対策としてアンチコリジョンが実施されるが、例えばタイムスロット方式のアンチコリジョンでは、それぞれのデバイスＤが乱数に応じたレスポンス時間帯に、アンチコリジョン用のＩＤを含むレスポンスを送信する。これにより、通信部１１は、それぞれのデバイスＤを認識することが可能となる。なお、ビットコリジョン方式のアンチコリジョンでもアンチコリジョン用のＩＤ（以下、「アンチコリジョン用ＩＤ」という）がデバイスＤからホストＨへ送信される。

記憶部１２は、例えば不揮発性メモリ、ＨＤＤ（Hard Disk Drive）、またはＳＳＤ（Solid State Drive）などにより構成され、オペレーティングシステム及びアプリケーション等の各種プログラム（本発明のプログラムを含む）が記憶される。また、記憶部１２には、ホストＨに固有の公開鍵と秘密鍵の鍵ペアなどが記憶される。ここで、鍵ペアに含まれる公開鍵、及び当該公開鍵を特定するための鍵ＩＤは、デバイスＤとの間で事前に共有される。さらに、記憶部１２には、ホストＨとの間で通信を行ったデバイスＤに固有の識別情報と、高度認証手順において生成された秘密情報とが対応付けられて記憶される。ここで、デバイスＤに固有の識別情報とは、アンチコリジョン用ＩＤであってもよいし、デバイスＤに固有のデバイスＩＤであってもよい。なお、デバイスＤの公開鍵及び鍵ＩＤは、デバイスＤに固有の識別情報に対応付けられて管理されるとよい。

制御部１３（コンピュータの一例）は、ＣＰＵ、ＲＡＭ、及びＲＯＭ等により構成され、例えば記憶部１２に記憶されたプログラムにしたがって、認証処理を行う認証処理部（認証手段の一例）、秘密情報の利用回数をカウントして保持するカウンタ、秘密情報の利用制限をかけるか否かを設定する制限設定部（設定手段の一例）、及び所定の条件下で秘密情報を消去する秘密情報消去部（消去手段の一例）として機能する。

具体的には、デバイスＤとの間で非接触通信が行われるときに当該デバイスＤに固有の識別情報に対応付けられて秘密情報が記憶部１２に記憶されていないか、または当該秘密情報の利用回数が所定の利用制限回数以下でない（つまり、利用制限回数を超える）場合、制御部１３は、高度認証手順を選択してＥＣＤＳＡによる署名生成と署名検証を含む認証処理、及びＥＣＤＨによる鍵交換を行う。ここで、秘密情報の利用回数とは、カウンタによりカウントされたカウント値である。当該カウント値は、例えば記憶部１２に記憶される。なお、ホストＨとデバイスＤとでは攻撃されやすさが異なるため、ホストＨにおいて設定される利用制限回数は、デバイスＤにおいて設定される利用制限回数と異なるように構成されてもよい。

一方、デバイスＤとの間で非接触通信が行われるときに当該デバイスＤに固有の識別情報に対応付けられて秘密情報が記憶されており、且つ、当該秘密情報の利用回数が所定の利用制限回数以下である場合、制御部１３は、簡易認証手順を選択して当該識別情報に対応付けられた秘密情報と乱数を用いて共通鍵暗号による認証処理を実行する。すなわち、制御部１３は、デバイスＤとの間で１回目の通信が行われる場合に高度認証手順を選択して例えば相互認証を実行し、当該高度認証手順において生成された秘密情報を当該デバイスＤに固有の識別情報に対応付けて記憶しておき、当該デバイスＤとの間で２回目以降の通信が行われる場合に簡易認証手順を選択し当該デバイスＤに固有の識別情報に対応付けられた秘密情報と乱数を用いて相互認証を実行する。簡易認証手順は制御部１３が当該デバイスＤのみを認証する片側認証としてもよい。

また、上述したように利便性を保つために、秘密情報の利用制限をかけるか否かが制限設定部により設定されるとよい。例えば、制限設定部は、ホストＨの出荷前に製造者または管理者により使用される設定機器から送信された利用条件設定コマンドに応じて秘密情報の利用制限をかける設定（つまり、利用制限有の設定）を行うとともに利用制限回数を設定する。なお、制限設定部により設定された利用制限有無を示すフラグ及び利用制限回数は、例えば記憶部１２に記憶される。秘密情報の利用制限をかける設定がされる場合、例えば当該フラグが“１”に設定される。一方、秘密情報の利用制限をかけない設定がされる場合、例えば当該フラグが“０”に設定される。

そして、デバイスＤとの間で非接触通信が行われるときに秘密情報の利用制限をかける設定がなされており、且つ、当該秘密情報が記憶部１２に記憶されており、且つ、当該秘密情報の利用回数が所定の利用制限回数以下である場合に限り、制御部１３は、簡易認証手順を選択して当該識別情報に対応付けられた秘密情報と乱数を用いて認証（相互認証または片側認証）を含む認証処理を実行する。一方、当該秘密情報の利用制限をかける設定がなされていない場合において、デバイスＤとの間で通信が行われるときに当該秘密情報が記憶部１２に記憶されている場合、当該秘密情報の利用回数が所定の利用制限回数以下であるか否かに関わらず、制御部１３は、簡易認証手順を選択して当該識別情報に対応付けられた秘密情報を用いて認証（相互認証または片側認証）を含む認証処理を実行する。

なお、記憶部１２に記憶された秘密情報の利用回数が所定の利用制限回数を超える場合、秘密情報消去部により記憶部１２から秘密情報が消去されるとよい。また、秘密情報が記憶部１２に記憶されてから所定時間が経過したか、または認証エラーが発生した場合、秘密情報消去部により記憶部１２から秘密情報が消去されてもよい。また、制御部１３にインストールされたファームウェアなどのプログラムの更新があった場合、秘密情報消去部により記憶部１２から秘密情報が消去されてもよい。

［２．認証システムＳの動作］
次に、図２～図６を参照して、認証システムＳの動作について説明する。図２は、ホストＨにおける制御部１３の認証手順選択処理の一例を示すフローチャートである。図３は、ホストＨとデバイスＤとの間で実施される高度認証手順の一例を示すシーケンス図である。図４は、ホストＨとデバイスＤとの間で実施される簡易認証手順１の一例を示すシーケンス図である。図５は、デバイスＤにおける制御モジュール２の簡易認証手順実施判定処理の一例を示すフローチャートである。図６は、ホストＨとデバイスＤとの間で実施される簡易認証手順２の一例を示すシーケンス図である。

図２に示す処理は、例えば利用者によりデバイスＤが通信部１１（非接触リーダ／ライダ）に翳されることで、デバイスＤがホストＨの通信部１１の非接触のフィールドに入ることにより開始される。図３に示す処理が開始されると、ホストＨの制御部１３は、リクエストコマンドを、通信部１１を介してデバイスＤへ送信する（ステップＳ１）。

なお、複数のデバイスＤが同時にアンチコリジョン用ＩＤを応答する場合がある。この場合、ステップＳ１の処理では、１つだけのアンチコリジョン用ＩＤが読み取れられるまで繰り返される。デバイスＤの制御モジュール２は、ホストＨからのリクエストコマンドを、通信モジュール１を介して受信すると、当該リクエストコマンドに応じて、アンチコリジョン用ＩＤを含むレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ２）。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、通信部１１を介して、アンチコリジョン用ＩＤが含まれるデバイス選択（コマンド）をデバイスＤへ送信する（ステップＳ３）。なお、ホストＨの制御部１３は、ステップＳ２で複数のデバイスＤから送信されたレスポンスを受信すると、コリジョンによりアンチコリジョン用ＩＤの0/1のビットを読み取れないタイミングが発生する場合がある。この場合、ステップＳ３において、ホストＨの制御部１３は、読み取れたビット列からなる識別子が含まれるデバイス選択を全てのデバイスＤに送信する。そして、それぞれのデバイスＤの制御モジュール２は、自身のアンチコリジョン用ＩＤがデバイス選択に含まれる識別子と一致している場合、改めて、アンチコリジョン用ＩＤを含むレスポンスをホストＨへ送信する（一致しなければ応答しない）。これが繰り返されることで、デバイス選択に含まれる識別子が自身のアンチコリジョン用ＩＤと一致するデバイスＤだけが応答し続けることになる。これにより、複数のデバイスＤから１つのデバイスＤが選択される。

次いで、デバイスＤの制御モジュール２は、ホストＨからのデバイス選択を、通信モジュール１を介して受信すると、当該デバイス選択に応じて、通信条件を含むレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ４）。次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、通信部１１を介してSELECTコマンド（Application IDを含む）を、通信部１１を介してデバイスＤへ送信する（ステップＳ５）。

次いで、デバイスＤの制御モジュール２は、ホストＨからのSELECTコマンドを、通信モジュール１を介して受信すると、当該SELECTコマンドに応じてアプリケーションを選択し、当該SELECTコマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ６）。かかるレスポンスには、例えば、SW（Status Word）“9000”及びTLV形式のFCI（File Control Information）が含まれている。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、通信部１１を介して読み出しコマンドをデバイスＤへ送信する（ステップＳ７）。次いで、デバイスＤの制御モジュール２は、ホストＨからの読み出しコマンドを、通信モジュール１を介して受信すると、当該読み出しコマンドに応じて、ＩＣモジュール３からデバイスＩＤ（デバイスＤに固有の識別情報の一例）を読み出し、当該デバイスＩＤを含むレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ８）。

なお、デバイスＤの制御モジュール２は、ステップＳ５でホストＨから送信されたSELECTコマンドに応じてＩＣモジュール３からデバイスＩＤを読み出し、ステップＳ６で当該デバイスＩＤを含むレスポンスをホストＨへ送信してもよい。この場合、ステップＳ７及びステップＳ８の処理は不要になる。また、デバイスＤに固有の識別情報としてアンチコリジョン用ＩＤが用いられる場合もステップＳ７及びステップＳ８の処理は不要になる。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、デバイスＩＤまたはアンチコリジョン用ＩＤを、デバイスＤに固有の識別情報として取得する（ステップＳ９）。

次いで、ホストＨの制御部１３は、ステップＳ９で取得された識別情報に対応付けられて秘密情報が記憶部１２に記憶されているか否かを判定する（ステップＳ１０）。そして、ホストＨの制御部１３は、秘密情報が記憶されていないと判定した場合（ステップＳ１０：ＮＯ）、高度認証手順を選択し、当該高度認証手順を開始する（ステップＳ１１）。一方、ホストＨの制御部１３は、秘密情報が記憶されていると判定した場合（ステップＳ１０：ＹＥＳ）、当該秘密情報を記憶部１２から取得する（ステップＳ１２）。

次いで、ホストＨの制御部１３は、秘密情報の利用制限をかける設定がなされているか（つまり、利用制限があるか）否かを判定する（ステップＳ１３）。そして、ホストＨの制御部１３は、秘密情報の利用制限をかける設定がなされていない（例えば、利用制限有無を示すフラグ＝“０”）と判定した場合（ステップＳ１３：ＮＯ）、簡易認証手順を選択し、ステップＳ１２で取得された秘密情報が用いられる当該簡易認証手順を開始する（ステップＳ１７）。

一方、ホストＨの制御部１３は、秘密情報の利用制限をかける設定がなされている（例えば、利用制限有無を示すフラグ＝“１”）と判定した場合（ステップＳ１３：ＹＥＳ）、当該秘密情報の利用回数を１増加させる（ステップＳ１４）。例えば、カウンタによりカウント値が１増加される。次いで、ホストＨの制御部１３は、秘密情報の利用回数が所定の利用制限回数以下（例えば、カウント値≦利用制限回数）であるか否かを判定する（ステップＳ１５）。

なお、別の例として、カウンタに利用制限回数を設定し、秘密情報が利用される度に、ステップＳ１４でカウンタの値が１ずつ減少するように構成してもよい。この場合のステップＳ１５において、カウンタの値が“０”より大きい場合、秘密情報の利用回数が当該利用制限回数以下であると判定される。

そして、ホストＨの制御部１３は、秘密情報の利用回数が所定の利用制限回数以下でないと判定した場合（ステップＳ１５：ＮＯ）、記憶部１２から秘密情報を消去する（ステップＳ１６）。次いで、ホストＨの制御部１３は、高度認証手順を選択し、当該高度認証手順を開始する（ステップＳ１１）。

一方、ホストＨの制御部１３は、秘密情報の利用回数が所定の利用制限回数以下であると判定した場合（ステップＳ１５：ＹＥＳ）、簡易認証手順を選択し、ステップＳ１２で取得された秘密情報が用いられる当該簡易認証手順を開始する（ステップＳ１７）。

（２．１ 高度認証手順）
高度認証手順では、図３に示すように、ホストＨの制御部１３は、乱数Ｈを生成する（ステップＳ２１）。次いで、ホストＨの制御部１３は、通信部１１を介して認証開始コマンドをデバイスＤへ送信する（ステップＳ２２）。かかる認証開始コマンドには、ホストＨに固有のホストＩＤ、ステップＳ２１で生成された乱数Ｈ、及び高度認証手順用であることを示す情報が含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの認証開始コマンドを、通信モジュール１を介して受信し、高度認証手順用の認証開始コマンドであると判断すると、当該認証開始コマンドからホストＩＤ及び乱数Ｈを取得し、さらに、乱数Ｄを生成する（ステップＳ２３）。次いで、デバイスＤの制御モジュール２は、乱数Ｈと乱数ＤとにデバイスＤの秘密鍵にて署名する（ステップＳ２４）。つまり、ＥＣＤＳＡにより署名Ｄが生成（署名生成）される。次いで、デバイスＤの制御モジュール２は、認証開始コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ２５）。かかるレスポンスには、署名Ｄ及び乱数Ｄが含まれる。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、当該レスポンスから署名Ｄ及び乱数Ｄを取得し、デバイスＤの公開鍵にて署名Ｄを検証する（ステップＳ２６）。つまり、ＥＣＤＳＡにより署名Ｄが検証（署名検証）される。そして、署名Ｄの検証が成功（認証成功）すると、ホストＨの制御部１３は、乱数Ｄと乱数ＨとにホストＨの秘密鍵にて署名する（ステップＳ２７）。つまり、ＥＣＤＳＡにより署名Ｈが生成される。次いで、ホストＨの制御部１３は、通信部１１を介して認証完了コマンドをデバイスＤへ送信する（ステップＳ２８）。かかる認証完了コマンドには、署名Ｈが含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの認証完了コマンドを、通信モジュール１を介して受信すると、当該認証完了コマンドから署名Ｈを取得し、ホストＨの公開鍵にて署名Ｈを検証する（ステップＳ２９）。つまり、ＥＣＤＳＡにより署名Ｈが検証される。そして、署名Ｈの検証が成功（認証成功）すると、相互認証が完了し、デバイスＤの制御モジュール２は、認証完了コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ３０）。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、ホストＨに固有の一時公開鍵Ｈと一時秘密鍵Ｈの一時鍵ペアを生成する（ステップＳ３１）。ここで、一時公開鍵Ｈは、一時的な公開鍵であり、事前に共有されて管理されている公開鍵と区別される。同様に、一時秘密鍵Ｈは、一時的な秘密鍵であり、事前に共有されて管理されている秘密鍵と区別される。一時公開鍵Ｈは、先に生成された一時秘密鍵Ｈ（例えばランダムな数値）とＥＣＤＨのプロトコルに従った楕円曲線上の点に基づくＥＣＤＨ演算により生成される。ＥＣＤＨ演算では、例えば、楕円曲線上の点pのk倍点kpを計算するスカラー倍算を行うことで一時秘密鍵Ｈから一時公開鍵Ｈが生成される。楕円曲線のパラメータは、ホストＨとデバイスＤとの間で既知である。次いで、ホストＨの制御部１３は、通信部１１を介して鍵共有コマンドをデバイスＤへ送信する（ステップＳ３２）。かかる鍵共有コマンドには、一時公開鍵Ｈが含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの鍵共有コマンドを、通信モジュール１を介して受信すると、当該鍵共有コマンドから一時公開鍵Ｈを取得し、さらに、ホストＨと同様、ＥＣＤＨ演算により、デバイスＤに固有の一時公開鍵Ｄと一時秘密鍵Ｄの一時鍵ペアを生成する（ステップＳ３３）。一時公開鍵Ｄは、先に生成された一時秘密鍵Ｄ（例えばランダムな数値）とＥＣＤＨのプロトコルに従った楕円曲線上の点に基づくＥＣＤＨ演算により生成される。次いで、デバイスＤの制御モジュール２は、ＥＣＤＨ演算により、一時公開鍵Ｈと一時公開鍵Ｄから共有秘密（秘密情報の一例）を生成する（ステップＳ３４）。

次いで、デバイスＤの制御モジュール２は、ホストＩＤと、ステップＳ３４で生成された共有秘密を不揮発性メモリに記録する（ステップＳ３５）。次いで、デバイスＤの制御モジュール２は、乱数Ｈ、乱数Ｄ、及びステップＳ３４で生成された共有秘密から、ホストＨとデバイスＤと間のセキュアセッションに用いられるセッション鍵を生成する（ステップＳ３６）。次いで、デバイスＤの制御モジュール２は、鍵交換コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ３７）。かかるレスポンスには、一時公開鍵Ｄが含まれる。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、当該レスポンスから一時公開鍵Ｄを取得し、ＥＣＤＨ演算により、一時公開鍵Ｈと一時公開鍵Ｄから共有秘密を生成する（ステップＳ３８）。ここで生成される共有秘密は、ステップＳ３４で生成された共有秘密と同じ生成方法で生成されるため、両者は一致する。次いで、ホストＨの制御部１３は、デバイスＩＤと、ステップＳ３８で生成された共有秘密とを対応付けてメモリ（例えば、ＲＡＭ、または不揮発性メモリ）に記録する（ステップＳ３９）。例えば、デバイスＩＤ（識別情報の一例）と共有秘密（秘密情報の一例）とが対応付けられてテーブルに登録される。次いで、ホストＨの制御部１３は、乱数Ｈ、乱数Ｄ、及びステップＳ３８で生成された共有秘密からセッション鍵を生成する（ステップＳ４０）。ここで生成されるセッション鍵は、ステップＳ３６で生成されたセッション鍵と同じ生成方法で生成されるため、両者は一致する。

次いで、ホストＨの制御部１３は、ステップＳ４０で生成されたセッション鍵を用いてデバイスＤとの間でセキュアセッションを開始する。こうして、セキュアセッションが開始されると、例えば、当該セッション鍵が利用された暗号路を通じて、ホストＨとデバイスＤとの間で読み出しコマンド及びそのレスポンスの送受信が行われる。これにより、データ交換などが実施される。

（２．２ 簡易認証手順１）
簡易認証手順１では、図４に示すように、ホストＨの制御部１３は、乱数Ｈを生成する（ステップＳ５１）。次いで、ホストＨの制御部１３は、通信部１１を介して認証開始コマンドをデバイスＤへ送信する（ステップＳ５２）。かかる認証開始コマンドには、ホストＨに固有のホストＩＤ、ステップＳ５１で生成された乱数Ｈ、及び簡易認証手順１用であることを示す情報が含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの認証開始コマンドを、通信モジュール１を介して受信し、簡易認証手順１用の認証開始コマンドであると判断すると、簡易認証手順実施判定に係る処理（簡易認証手順実施判定処理）を実行し（ステップＳ５３）、当該判定結果が実施可であればステップＳ５４へ移行し、当該判定結果が実施否であれば、エラー処理が実行される。かかるエラー処理では、例えば、デバイスＤの制御モジュール２は、認証エラーを示すレスポンスをホストＨへ送信し、秘密情報消去機能によりセキュアメモリから秘密情報を消去する。これにより、ホストＨは、例えば、高度認証手順用の認証開始コマンドをデバイスＤへ送信する。

ここで、図５を参照して、簡易認証手順実施判定処理の詳細を説明する。簡易認証手順実施判定処理では、図５に示すように、デバイスＤの制御モジュール２は、秘密情報の利用制限をかける設定がなされているか（つまり、利用制限があるか）否かを判定する（ステップＳ５３１）。そして、デバイスＤの制御モジュール２は、秘密情報の利用制限をかける設定がなされていないと判定した場合（ステップＳ５３１：ＮＯ）、実施可をセットし、図４に示す処理へ戻る。一方、デバイスＤの制御モジュール２は、秘密情報の利用制限をかける設定がなされていると判定した場合（ステップＳ５３１：ＹＥＳ）、当該秘密情報の利用回数を１増加させる（ステップＳ５３２）。例えば、カウンタ機能によりカウント値が１増加される。

次いで、デバイスＤの制御モジュール２は、秘密情報の利用回数が所定の利用制限回数以下（例えば、カウント値≦利用制限回数）であるか否かを判定する（ステップＳ５３３）。なお、別の例として、カウンタに利用制限回数を設定し、秘密情報が利用される度に、ステップＳ５３２でカウンタの値が１ずつ減少するように構成してもよい。この場合のステップＳ５３３において、カウンタの値が“０”より大きい場合、秘密情報の利用回数が当該利用制限回数以下であると判定される。

そして、デバイスＤの制御モジュール２は、秘密情報の利用回数が所定の利用制限回数以下でないと判定した場合（ステップＳ５３３：ＮＯ）、実施否をセットし、図４に示す処理へ戻る。一方、デバイスＤの制御モジュール２は、秘密情報の利用回数が所定の利用制限回数以下であると判定した場合（ステップＳ５３３：ＹＥＳ）、実施可をセットし、図４に示す処理へ戻る。

図４に示す処理に戻り、ステップＳ５４では、デバイスＤの制御モジュール２は、上記認証開始コマンドからホストＩＤ及び乱数Ｈを取得し、さらに、乱数Ｄを生成する。次いで、デバイスＤの制御モジュール２は、ホストＨのホストＩＤに対応付けられて記録された共有秘密を取得し、ＡＥＳ（Advanced Encryption Standard）演算により、乱数Ｈ、乱数Ｄ、及び当該共有秘密からセッション鍵を生成する（ステップＳ５５）。次いで、デバイスＤの制御モジュール２は、当該セッション鍵にて、乱数Ｄ、乱数Ｈ、及び予め申し合わせておいた特定の値を暗号化することにより認証コードＤ（暗号化データの一例）を生成する（ステップＳ５６）。次いで、デバイスＤの制御モジュール２は、認証開始コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ５７）。かかるレスポンスには、認証コードＤ及び乱数Ｄが含まれる。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、当該レスポンスから認証コードＤ及び乱数Ｄを取得し、さらに、デバイスＤのデバイスＩＤに対応付けられて記録された共有秘密を取得し、ＡＥＳ演算により、乱数Ｈ、乱数Ｄ、及び当該共有秘密からセッション鍵を生成する（ステップＳ５８）。次いで、ホストＨの制御部１３は、当該セッション鍵にて認証コードＤを検証する（ステップＳ５９）。かかる検証では、制御部１３は、ＡＥＳ演算により、当該セッション鍵にて認証コードＤを復号し、復号された認証コードＤと、「乱数Ｄ（つまり、上記レスポンスから取得された乱数Ｄ）、乱数Ｈ、及び予め申し合わせておいた特定の値」とが一致するか否かが判断される。そして、認証コードＤの検証が成功（認証成功）すると、ホストＨの制御部１３は、ＡＥＳ演算により、当該セッション鍵にて、乱数Ｄ、乱数Ｈ、及び予め申し合わせておいた特定の値を暗号化することにより認証コードＨを生成する（ステップＳ６０）。次いで、ホストＨの制御部１３は、通信部１１を介して認証完了コマンドをデバイスＤへ送信する（ステップＳ６１）。かかる認証完了コマンドには、認証コードＨが含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの認証完了コマンドを、通信モジュール１を介して受信すると、当該認証完了コマンドから認証コードＨを取得し、セッション鍵にて認証コードＨを検証する（ステップＳ６２）。かかる検証では、制御部１３は、ＡＥＳ演算により、当該セッション鍵にて認証コードＨを復号し、復号された認証コードＨと、「乱数Ｄ、乱数Ｈ、及び予め申し合わせておいた特定の値」とが一致するか否かが判断される。そして、認証コードＨの検証が成功（認証成功）すると、相互認証が完了し、デバイスＤの制御モジュール２は、認証完了コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ６３）。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、ステップＳ５８で生成されたセッション鍵を用いてデバイスＤとの間でセキュアセッションを開始する。

（２．３ 簡易認証手順２）
簡易認証手順２では、図６に示すように、ホストＨの制御部１３は、乱数Ｈを生成する（ステップＳ７１）。次いで、ホストＨの制御部１３は、通信部１１を介して認証開始コマンドをデバイスＤへ送信する（ステップＳ７２）。かかる認証開始コマンドには、ホストＨに固有のホストＩＤ、ステップＳ７１で生成された乱数Ｈ、及び簡易認証手順２用であることを示す情報が含まれる。

次いで、デバイスＤの制御モジュール２は、ホストＨからの認証開始コマンドを、通信モジュール１を介して受信し、簡易認証手順２用の認証開始コマンドであると判断すると、簡易認証手順１と同様、簡易認証手順実施判定に係る処理（例えば、図５に示す簡易認証手順実施判定処理）を実行し（ステップＳ７３）、当該判定結果が実施可であればステップＳ７４へ移行し、当該判定結果が実施否であれば、エラー処理が実行される。

次いで、デバイスＤの制御モジュール２は、上記認証開始コマンドからホストＩＤ及び乱数Ｈを取得し、さらに、乱数Ｄを生成する（ステップＳ７４）。次いで、デバイスＤの制御モジュール２は、ホストＨのホストＩＤに対応付けられて記録された共有秘密を取得し、ＡＥＳ演算により、乱数Ｈ、乱数Ｄ、及び当該共有秘密からセッション鍵を生成する（ステップＳ７５）。次いで、デバイスＤの制御モジュール２は、当該セッション鍵にて、乱数Ｄ、乱数Ｈ、及び予め申し合わせておいた特定の値を暗号化することにより認証コードＤを生成する（ステップＳ７６）。次いで、デバイスＤの制御モジュール２は、認証開始コマンドに対するレスポンスを、通信モジュール１を介してホストＨへ送信する（ステップＳ７７）。かかるレスポンスには、認証コードＤ及び乱数Ｄが含まれる。

次いで、ホストＨの制御部１３は、デバイスＤからのレスポンスを、通信部１１を介して受信すると、当該レスポンスから認証コードＤ及び乱数Ｄを取得し、さらに、デバイスＤのデバイスＩＤに対応付けられて記録された共有秘密を取得し、ＡＥＳ演算により、乱数Ｈ、乱数Ｄ、及び当該共有秘密からセッション鍵を生成する（ステップＳ７８）。次いで、ホストＨの制御部１３は、当該セッション鍵にて認証コードＤを検証する（ステップＳ７９）。そして、認証コードＤの検証が成功（認証成功）すると（つまり、片側認証が完了すると）、ホストＨの制御部１３は、ステップＳ７８で生成されたセッション鍵を用いてデバイスＤとの間でセキュアセッションを開始する。

以上説明したように、上記実施形態によれば、ホストＨは、デバイスＤとの間で非接触通信が行われるときに秘密情報が記憶されていないかまたは秘密情報の利用回数が所定の利用制限回数以下でない場合、高度認証手順を選択して相互認証を実行する一方、秘密情報が記憶されており、且つ、当該秘密情報の利用回数が所定の利用制限回数以下である場合、簡易認証手順を選択して当該秘密情報を用いて認証を実行するように構成したので、サイドチャネル攻撃などの脅威から秘密情報を守ることができる。さらに、ホストＨは、デバイスＤとの間で非接触通信が行われるときに秘密情報の利用制限をかける設定がなされており、且つ、当該秘密情報が記憶されており、且つ、当該秘密情報の利用回数が所定の利用制限回数以下である場合に限り、簡易認証手順を選択して当該秘密情報を用いて認証を実行するように構成したので、秘密情報を適切に制御し、サイドチャネル攻撃などの脅威から秘密情報を守り、かつ、利便性も保つことができる。

なお、上記実施掲載形態では、高度認証手順と、簡易認証手順との２種類の認証処理が存在する認証方式を例にとって説明したが、本発明は、３種類以上の認証処理が存在する認証方式に対しても適用することができる。また、上記実施形態においては、ホストＨとデバイスＤとの間で非接触通信が行われる場合を例にとって説明したが、本発明は、ホストＨとデバイスＤとの間で接触通信が行われる場合においても適用可能である。また、上記実施形態において、図２～図６は、ホストＨの制御部１３及びデバイスＤの制御モジュール２の処理について示したが、デバイスＤの制御モジュール２の処理はＩＣモジュール３により実行されてもよい。

１ 通信モジュール
２ 制御モジュール
３ ＩＣモジュール
１１ 通信部
１２ 記憶部
１３ 制御部
Ｄ デバイス
Ｈ ホスト
Ｓ 認証システム

Claims (11)

1. 通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、
   前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段と、
   前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合、前記簡易認証手順を選択して認証を実行する認証手段と、
   を備えることを特徴とする通信装置。
2. 前記秘密情報の利用制限をかけるか否かを設定する設定手段を更に備え、
   前記認証手段は、前記通信相手との間で通信が行われるときに前記秘密情報の利用制限をかける設定がなされており、且つ、前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合に限り、前記簡易認証手順を選択して認証を実行することを特徴とする請求項１に記載の通信装置。
3. 前記認証手段は、前記秘密情報が前記記憶手段に記憶されていないか、または前記利用回数が所定の利用制限回数以下でない場合、前記高度認証手順を選択して認証を実行することを特徴とする請求項１または２に記載の通信装置。
4. 前記利用回数が所定の利用制限回数以下でない場合、前記記憶手段から前記秘密情報を消去する消去手段を更に備えることを特徴とする請求項１乃至３の何れか一項に記載の通信装置。
5. 前記秘密情報が前記記憶手段に記憶されてから所定時間が経過したか、または認証エラーが発生した場合、前記記憶手段から前記秘密情報を消去する消去手段を更に備えることを特徴とする請求項１乃至３の何れか一項に記載の通信装置。
6. 前記高度認証手順では、署名生成と署名検証による認証、及び公開鍵暗号方式による鍵共有が実行されることを特徴とする請求項１乃至５の何れか一項に記載の通信装置。
7. 前記簡易認証手順では、乱数と、前記秘密情報とを用いて認証が実行されることを特徴とする請求項６に記載の通信装置。
8. 請求項１に記載の通信装置の通信相手となるデバイスに含まれるコンピュータに、
   前記高度認証手順において生成された秘密情報を記憶するステップと、
   前記通信装置からの乱数を含むコマンドを受信するステップと、
   前記利用回数が所定の利用制限回数以下である場合、前記受信されたコマンドに応じて、前記秘密情報と乱数とを用いて認証のための暗号化データを生成するステップと、
   前記暗号化データを含むレスポンスを前記通信装置へ送信するステップと、
   を実行させることを特徴とするプログラム。
9. 請求項１に記載の通信装置の通信相手となるデバイスに含まれるコンピュータに、
   前記高度認証手順において生成された秘密情報を記憶するステップと、
   前記秘密情報の利用制限をかけるか否かを設定する設定ステップと、
   前記秘密情報の利用制限をかける設定がなされ、且つ、前記利用回数が所定の利用制限回数以下である場合、前記秘密情報と乱数とを用いて認証のための暗号化データを生成するステップと、
   前記暗号化データを含むレスポンスを前記通信装置へ送信するステップと、
   を実行させることを特徴とするプログラム。
10. 通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段を備える前記通信装置により実行される通信方法において、
    前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されているか否かを判定するステップと、
    前記秘密情報が前記記憶手段に記憶されていると判定された場合、前記利用回数が所定の利用制限回数以下であるか否かを判定するステップと、
    前記利用回数が所定の利用制限回数以下であると判定された場合、前記簡易認証手順を選択して認証を実行するステップと、
    を含むことを特徴とする通信方法。
11. 通信相手との間で多くの計算量を要する高度認証手順と、前記高度認証手順において生成された秘密情報を用いて前記通信相手の間でより少ない計算量で済む簡易認証手順との何れかを選択可能な通信装置であって、前記秘密情報と当該秘密情報の利用回数を記憶するための記憶手段を備える前記通信装置に含まれるコンピュータを、
    前記通信相手との間で通信が行われるときに前記秘密情報が前記記憶手段に記憶されており、且つ、前記利用回数が所定の利用制限回数以下である場合、前記簡易認証手順を選択して認証を実行する認証手段として機能させることを特徴とするプログラム。

Images