JP2024063965A

JP2024063965A - サーバー、認証システム、および認証制御方法

Info

Publication number: JP2024063965A
Application number: JP2022172184A
Authority: JP
Inventors: 律也藤江
Original assignee: Individual
Current assignee: Individual
Priority date: 2022-10-27
Filing date: 2022-10-27
Publication date: 2024-05-14

Abstract

【課題】デバイスにおける処理負荷を減らすことができるサーバー、認証システム、および認証制御方法を提供する。【解決手段】サーバーは、算出部および送信部を備える。前記算出部は、第１の乱数および第２の乱数を使用することにより第１の認証子および第２の認証子を算出し、前記第２の認証子から第３の認証子を算出する。前記送信部は、デジタルキーを有し前記第１の認証子および前記第２の認証子を使用することにより車両制御装置を認証するデバイスに前記第１の認証子および前記第２の認証子を送信し、前記第１の認証子および前記第３の認証子を使用することにより前記デバイスを認証する前記車両制御装置に前記第１の認証子および前記第３の認証子を送信する。【選択図】図２

Description

本発明は、サーバー、認証システム、および認証制御方法に関する。

デジタルキーがインストールされたデバイスを使用することにより、車両の扉の施錠およびエンジンの始動などを行う技術が開発されている。デジタルキーは、Car Connectivity Consortium (CCC) 規格に準拠している。そのデバイスが車両と紐づいていることを保証するために、車両とデバイスとの間で事前にペアリングを行う必要がある。

非特許文献１には、ペアリングを行う方法が開示されている。車両およびデバイスは、複数の暗号関数および鍵導出関数を使用することにより算出された値を互いに共有かつ検証することにより相互認証を実行する。

図８は、非特許文献１に開示されたペアリングの手順を示す。サーバー９１０、デバイス９２０、および車両９３０は、図８に示す手順に従って互いに通信を実行する。

サーバー９１０は乱数Ａおよび乱数Ｂを生成する（ステップＳ９００）。サーバー９１０は、乱数Ａおよび乱数Ｂを使用することにより認証子（verifier）Ａおよび認証子Ｂを算出する（ステップＳ９０１）。また、サーバー９１０は、認証子Ｂを使用することにより認証子Ｃを算出する（ステップＳ９０２）。

サーバー９１０は、乱数Ａをデバイス９２０に送信し（ステップＳ９０３）、乱数Ｂと認証子Ａと認証子Ｃとを車両９３０に送信する（ステップＳ９０４）。車両９３０は乱数Ｂをデバイス９２０に送信する（ステップＳ９０５）。

デバイス９２０は、乱数Ａおよび乱数Ｂを使用することにより認証子Ａおよび認証子Ｂを算出する（ステップＳ９０６）。また、デバイス９２０は、認証子Ａおよび認証子Ｂを使用することにより形跡（evidence）Ａおよび形跡Ｂを算出する（ステップＳ９０７）。一方、車両９３０は、認証子Ａおよび認証子Ｃを使用することにより形跡Ａおよび形跡Ｂを算出する（ステップＳ９０８）。

車両９３０は形跡Ａをデバイス９２０に送信し（ステップＳ９０９）、デバイス９２０は形跡Ｂを車両９３０に送信する（ステップＳ９１０）。デバイス９２０は、ステップＳ９０７において算出された形跡Ａと、車両９３０から受信された形跡Ａとが一致するか否かを検証することにより車両９３０を認証する（ステップＳ９１１）。車両９３０は、ステップＳ９０８において算出された形跡Ｂと、デバイス９２０から受信された形跡Ｂとが一致するか否かを検証することによりデバイス９２０を認証する（ステップＳ９１２）。上記の処理が完了したとき、車両９３０とデバイス９２０との間の相互認証が完了する。つまり、車両９３０とデバイス９２０とのペアリングが完了する。

ＣＣＣ規格は、ステップＳ９０１およびステップＳ９０６における認証子の算出にＳｃｒｙｐｔアルゴリズムを使用することを定めている。Ｓｃｒｙｐｔアルゴリズムは、ブルートフォースアタック（総当たり攻撃）を防ぐ目的で開発されたアルゴリズムである。

Digital Key Release 3 Technical Specification Version 1.0.0、Car Connectivity Consortium、２０２１年５月１９日、Ｐ８０（Ｆｉｇｕｒｅ６－２），Ｐ８４（Ｆｉｇｕｒｅ６－４），Ｐ２８３－２８７

従来技術では、乱数から認証子を算出するアルゴリズムとしてＳｃｒｙｐｔアルゴリズムが使用されている。Ｓｃｒｙｐｔアルゴリズムの計算量は多いため、高速なプロセッサおよび大容量のメモリを使用することが想定される。しかしながら、カード状のデバイスが使用される場合、プロセッサの能力およびメモリの容量が限られており、認証子を算出するために非常に長い時間を要する。

本発明は、上記の課題に鑑みてなされたものであって、デバイスにおける処理負荷を減らすことができるサーバー、認証システム、および認証制御方法を提供することを目的とする。

本発明は、第１の乱数および第２の乱数を使用することにより第１の認証子および第２の認証子を算出し、前記第２の認証子から第３の認証子を算出する算出部と、デジタルキーを有し前記第１の認証子および前記第２の認証子を使用することにより車両制御装置を認証するデバイスに前記第１の認証子および前記第２の認証子を送信し、前記第１の認証子および前記第３の認証子を使用することにより前記デバイスを認証する前記車両制御装置に前記第１の認証子および前記第３の認証子を送信する送信部と、を備えるサーバーである。

本発明は、算出部が第１の乱数および第２の乱数を使用することにより第１の認証子および第２の認証子を算出し、前記第２の認証子から第３の認証子を算出するステップと、送信部が、デジタルキーを有し前記第１の認証子および前記第２の認証子を使用することにより車両制御装置を認証するデバイスに前記第１の認証子および前記第２の認証子を送信するステップと、前記送信部が、前記第１の認証子および前記第３の認証子を使用することにより前記デバイスを認証する前記車両制御装置に前記第１の認証子および前記第３の認証子を送信するステップと、を備える認証制御方法である。

本発明によれば、サーバー、認証システム、および認証制御方法は、デバイスにおける処理負荷を減らすことができる。

本発明の第１の実施形態による認証システムの構成を示すブロック図である。本発明の第１の実施形態によるサーバーの構成の例を示すブロック図である。本発明の第１の実施形態によるデバイスの構成の例を示すブロック図である。本発明の第１の実施形態による車両制御装置の構成の例を示すブロック図である。本発明の第１の実施形態による認証システムの動作の例を示す図である。本発明の第２の実施形態による認証システムの動作の例を示す図である。本発明の第３の実施形態による認証システムの動作の例を示す図である。従来技術におけるペアリングの手順を示す図である。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
本発明の第１の実施形態を説明する。図１は、第１の実施形態による認証システム１の構成を示す。認証システム１は、サーバー１０、デバイス２０、および車両制御装置３０を有する。

サーバー１０は、車両の製造会社によって管理されるコンピュータである。サーバー１０は、デバイス２０および車両制御装置３０と通信を実行する。デバイス２０は、例えばＩＣカードであり、サーバー１０および車両制御装置３０と通信を実行する。車両制御装置３０は、車両に設けられており、サーバー１０およびデバイス２０と通信を実行する。

図２は、サーバー１０の構成の例を示す。サーバー１０は、乱数生成部１００、認証子算出部１０１、送信部１０２、受信部１０３、認証部１０４、および記憶部１０５を有する。

乱数生成部１００は、乱数を生成し、生成された乱数を認証子算出部１０１に出力する。認証子算出部１０１は、乱数生成部１００から出力された乱数を使用することにより認証子を算出し、算出された認証子を記憶部１０５に格納する。

送信部１０２は、認証子算出部１０１によって算出された認証子をデバイス２０および車両制御装置３０に送信する。また、送信部１０２は、デバイス２０がサーバー１０を認証するために必要なサーバー認証情報をデバイス２０に送信する。送信部１０２は、デバイス２０と通信を実行する第１の送信部と、車両制御装置３０と通信を実行する第２の送信部とを有してもよい。受信部１０３は、サーバー１０がデバイス２０を認証するために必要なデバイス認証情報をデバイス２０から受信し、受信されたデバイス認証情報を認証部１０４に出力する。

認証部１０４は、検証部１０４０および認証情報生成部１０４１を有する。検証部１０４０は、受信部１０３によって受信されたデバイス認証情報を検証することによりデバイス２０を認証する。検証部１０４０は、デバイス２０の認証結果を示す情報などを送信部１０２に出力する。認証情報生成部１０４１は、サーバー認証情報を生成し、生成されたサーバー認証情報を送信部１０２に出力する。

記憶部１０５は、認証部１０４の処理に必要な情報を記憶する。また、記憶部１０５は、車両の制御に必要なデジタルキーを記憶する。

乱数生成部１００、認証子算出部１０１、および認証部１０４の少なくとも１つは、ＣＰＵ（Central Processing Unit）のようなプロセッサが、コンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより実現されてもよい。乱数生成部１００、認証子算出部１０１、および認証部１０４の少なくとも１つは、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）のようなハードウェア（回路）によって実現されてもよい。乱数生成部１００、認証子算出部１０１、および認証部１０４の少なくとも１つは、ソフトウェアおよびハードウェアの組み合わせによって実現されてもよい。

図３は、デバイス２０の構成の例を示す。デバイス２０は、認証部２００、送信部２０１、受信部２０２、および記憶部２０３を有する。

認証部２００は、デバイス認証情報を生成し、生成されたデバイス認証情報を送信部２０１に出力する。認証部２００は、受信部２０２によってサーバー１０から受信されたサーバー認証情報を検証することによりサーバー１０を認証する。認証部２００は、受信部２０２によってサーバー１０から受信された認証子を使用することにより形跡を算出し、算出された形跡を送信部２０１に出力する。認証部２００は、認証部２００によって算出された形跡と、受信部２０２によって車両制御装置３０から受信された形跡とを検証することにより車両制御装置３０を認証する。認証部２００は、プロセッサが、コンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより実現されてもよい。認証部２００は、ハードウェア（回路）によって実現されてもよく、あるいはソフトウェアおよびハードウェアの組み合わせによって実現されてもよい。

送信部２０１は、認証部２００によって生成されたデバイス認証情報をサーバー１０に送信する。また、送信部２０１は、認証部２００によって算出された形跡を車両制御装置３０に送信する。送信部２０１は、サーバー１０と通信を実行する第１の送信部と、車両制御装置３０と通信を実行する第２の送信部とを有してもよい。

受信部２０２は、サーバー認証情報および認証子をサーバー１０から受信し、受信されたサーバー認証情報および認証子を認証部２００に出力する。また、受信部２０２は、車両制御装置３０によって算出された形跡を車両制御装置３０から受信し、受信された形跡を認証部２００に出力する。記憶部２０３は、認証部２００の処理に必要な情報を記憶する。

デバイス２０と車両制御装置３０との通信として、非接触通信が使用されてもよい。非接触通信として、近距離無線通信（ＮＦＣ）または超広帯域（ＵＷＢ）通信などが使用されてもよい。

図４は、車両制御装置３０の構成の例を示す。車両制御装置３０は、認証部３００、送信部３０１、受信部３０２、および記憶部３０３を有する。

認証部３００は、受信部３０２によってサーバー１０から受信された認証子を使用することにより形跡を算出し、算出された形跡を送信部３０１に出力する。認証部３００は、認証部３００によって算出された形跡と、受信部３０２によってデバイス２０から受信された形跡とを検証することによりデバイス２０を認証する。認証部３００は、プロセッサが、コンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより実現されてもよい。認証部３００は、ハードウェア（回路）によって実現されてもよく、あるいはソフトウェアおよびハードウェアの組み合わせによって実現されてもよい。

送信部３０１は、認証部３００によって算出された形跡をデバイス２０に送信する。受信部３０２は、サーバー１０によって算出された認証子をサーバー１０から受信し、受信された認証子を認証部３００に出力する。また、受信部３０２は、デバイス２０によって算出された形跡をデバイス２０から受信し、受信された形跡を認証部３００に出力する。受信部３０２は、サーバー１０と通信を実行する第１の受信部と、デバイス２０と通信を実行する第２の受信部とを有してもよい。記憶部３０３は、認証部３００の処理に必要な情報を記憶する。

図５を使用することにより、認証システム１の動作を説明する。図５は、認証システム１の動作の例を示す。

サーバー１０の乱数生成部１００は、互いに異なる乱数Ａおよび乱数Ｂを生成する（ステップＳ１００）。認証子算出部１０１は、乱数Ａおよび乱数Ｂを使用することにより認証子Ａおよび認証子Ａと異なる認証子Ｂを算出する（ステップＳ１０１）。例えば、認証子Ａは乱数Ａおよび乱数Ｂから算出された値の上位ビットおよび下位ビットの一方であり、認証子Ｂは上位ビットおよび下位ビットの他方である。また、認証子算出部１０１は、認証子Ｂを使用することにより認証子Ｂと異なる認証子Ｃを算出する（ステップＳ１０２）。認証子算出部１０１によって算出された認証子Ａ、認証子Ｂ、および認証子Ｃは記憶部１０５に記憶される。ステップＳ１０１が実行される前にステップＳ１０２が実行されてもよい。

デバイス２０の認証部２００は、デバイス認証情報を生成し、生成されたデバイス認証情報を送信部２０１に出力する。送信部２０１は、デバイス認証情報をサーバー１０に送信する。サーバー１０の受信部１０３は、デバイス認証情報をデバイス２０から受信し、受信されたデバイス認証情報を認証部１０４に出力する（ステップＳ１０３）。

認証部１０４の検証部１０４０は、デバイス認証情報を検証することによりデバイス２０を認証する（ステップＳ１０４）。デバイス２０の認証に失敗した場合、図５に示す処理が終了する。

デバイス２０の認証に成功した場合、認証情報生成部１０４１は、サーバー認証情報を生成し、生成されたサーバー認証情報を送信部１０２に出力する。送信部１０２は、サーバー認証情報をデバイス２０に送信する。デバイス２０の受信部２０２は、サーバー認証情報をサーバー１０から受信し、受信されたサーバー認証情報を認証部２００に出力する（ステップＳ１０５）。

認証部２００は、サーバー認証情報を検証することによりサーバー１０を認証する（ステップＳ１０６）。サーバー１０の認証に失敗した場合、図５に示す処理が終了する。サーバー１０の認証に成功した場合、サーバー１０とデバイス２０との間の相互認証が完了する。

サーバー１０とデバイス２０との間の相互認証において、サーバー１０およびデバイス２０の各々に予め記憶されている情報が使用されてもよい。サーバー１０とデバイス２０との間の相互認証において、新たに生成された乱数などが使用されてもよい。

ステップＳ１０２が実行された後、サーバー１０がサーバー認証情報をデバイス２０に送信し、デバイス２０がサーバー認証情報を検証してもよい。サーバー１０の検証に成功した場合、デバイス２０はデバイス認証情報をサーバー１０に送信し、サーバー１０はデバイス認証情報を検証してもよい。

サーバー１０とデバイス２０との間の相互認証が完了した後、サーバー１０の認証部１０４は、認証子Ａおよび認証子Ｂを記憶部１０５から読み出し、認証子Ａおよび認証子Ｂを送信部１０２に出力する。送信部１０２は、認証子Ａおよび認証子Ｂをデバイス２０に送信する。デバイス２０の受信部２０２は、認証子Ａおよび認証子Ｂをサーバー１０から受信し、受信された認証子Ａおよび認証子Ｂを認証部２００に出力する（ステップＳ１０７）。送信部１０２は、ＨＴＴＰリクエストがデバイス２０から受信されたときにＨＴＴＰリクエストに対する応答として認証子Ａおよび認証子Ｂをデバイス２０に送信してもよい。

認証部２００は、認証子Ａおよび認証子Ｂを使用することにより形跡Ａおよび形跡Ａとは異なる形跡Ｂを算出する（ステップＳ１０８）。例えば、形跡Ａは認証子Ａおよび認証子Ｂから算出された値の上位ビットおよび下位ビットの一方であり、形跡Ｂは上位ビットおよび下位ビットの他方である。

サーバー１０の認証部１０４は、認証子Ａおよび認証子Ｃを記憶部１０５から読み出し、認証子Ａおよび認証子Ｃを送信部１０２に出力する。送信部１０２は、認証子Ａおよび認証子Ｃを車両制御装置３０に送信する。車両制御装置３０の受信部３０２は、認証子Ａおよび認証子Ｃをサーバー１０から受信し、受信された認証子Ａおよび認証子Ｃを認証部３００に出力する（ステップＳ１０９）。ステップＳ１０７が実行される前にステップＳ１０９が実行されてもよい。

ステップＳ１０２が実行された後、かつステップＳ１０６が実行される前にステップＳ１０９が実行されてもよい。つまり、サーバー１０とデバイス２０との間の相互認証が完了する前にステップＳ１０９が実行されてもよい。

認証部３００は、認証子Ａおよび認証子Ｃを使用することにより形跡Ａおよび形跡Ａとは異なる形跡Ｂを算出する（ステップＳ１１０）。例えば、形跡Ａは認証子Ａおよび認証子Ｃから算出された値の上位ビットおよび下位ビットの一方であり、形跡Ｂは上位ビットおよび下位ビットの他方である。

車両制御装置３０の認証部３００は、形跡Ａを送信部３０１に出力する。送信部３０１は、形跡Ａをデバイス２０に送信する。デバイス２０の受信部２０２は、形跡Ａを車両制御装置３０から受信し、受信された形跡Ａを認証部２００に出力する（ステップＳ１１１）。

デバイス２０の認証部２００は、形跡Ｂを送信部２０１に出力する。送信部２０１は、形跡Ｂを車両制御装置３０に送信する。車両制御装置３０の受信部３０２は、形跡Ｂをデバイス２０から受信し、受信された形跡Ｂを認証部３００に出力する（ステップＳ１１２）。ステップＳ１１１が実行される前にステップＳ１１２が実行されてもよい。

車両制御装置３０の認証部３００は、ステップＳ１１０において算出された形跡Ｂと、デバイス２０から受信された形跡Ｂとが一致するか否かを検証することによりデバイス２０を認証する（ステップＳ１１３）。２つの形跡Ｂが異なる場合、デバイス２０の認証に失敗する。２つの形跡Ｂが一致する場合、デバイス２０の認証に成功する。

デバイス２０の認証部２００は、ステップＳ１０８において算出された形跡Ａと、車両制御装置３０から受信された形跡Ａとが一致するか否かを検証することにより車両制御装置３０を認証する（ステップＳ１１４）。２つの形跡Ａが異なる場合、車両制御装置３０の認証に失敗する。２つの形跡Ａが一致する場合、車両制御装置３０の認証に成功する。

デバイス２０の認証に成功し、かつ車両制御装置３０の認証に成功した場合、車両制御装置３０とデバイス２０との間の相互認証が完了する。つまり、車両制御装置３０とデバイス２０とのペアリングが完了する。デバイス２０は、デジタルキーを使用して車両制御装置３０を制御することにより、車両の扉の施錠およびエンジンの始動などを行う。

上記のように、サーバー１０の認証子算出部１０１（算出部）は、乱数Ａ（第１の乱数）および乱数Ｂ（第２の乱数）を使用することにより認証子Ａ（第１の認証子）および認証子Ｂ（第２の認証子）を算出し、認証子Ｂから認証子Ｃ（第３の認証子）を算出する。サーバー１０の送信部１０２は、認証子Ａおよび認証子Ｂをデバイス２０に送信し、認証子Ａおよび認証子Ｃを車両制御装置３０に送信する。デバイス２０は、デジタルキーを有し、認証子Ａおよび認証子Ｂを使用することにより車両制御装置３０を認証する。車両制御装置３０は、認証子Ａおよび認証子Ｃを使用することによりデバイス２０を認証する。

サーバー１０の送信部１０２が認証子Ａおよび認証子Ｂをデバイス２０に送信するため、デバイス２０は乱数Ａおよび乱数Ｂを使用することにより認証子Ａおよび認証子Ｂを算出する必要はない。そのため、認証システム１は、デバイス２０における処理負荷を減らすことができる。

上記のように、サーバー１０の認証部１０４は、デバイス２０から送信されたデバイス認証情報を使用することによりデバイス２０を認証する。サーバー１０の送信部１０２は、デバイス２０がサーバー１０を認証するために必要なサーバー認証情報をデバイス２０に送信する。認証部１０４がデバイス２０を認証し、かつデバイス２０がサーバー１０を認証した後、送信部１０２は認証子Ａおよび認証子Ｂをデバイス２０に送信する。

サーバー１０がデバイス２０に情報を送信する場合、従来技術では、電子メールまたはショートメッセージサービス（ＳＭＳ）を利用することにより送信されるＵＲＬ内にその情報を挿入する方法が提案されている。この方法では、第三者がデバイス２０になりすましてそのＵＲＬを取得し、認証子が第三者に流出する可能性がある。第１の実施形態では、サーバー１０およびデバイス２０が互いに認証した後にサーバー１０が認証子Ａおよび認証子Ｂをデバイス２０に送信するため、認証システム１は第三者への認証子Ａおよび認証子Ｂの流出を回避することができる。

（第２の実施形態）
本発明の第２の実施形態を説明する。第２の実施形態において、サーバー１０とデバイス２０との間の相互認証は、証明書の電子署名の検証を含む。

デバイス２０の記憶部２０３は、デバイスＯＥＭ（Original Equipment Manufacture）の公開鍵（デバイス公開鍵）およびデバイス公開鍵と対応する秘密鍵（デバイス秘密鍵）を予め記憶する。車両制御装置３０の記憶部３０３は、車両ＯＥＭの公開鍵（車両公開鍵）および車両公開鍵と対応する秘密鍵（車両秘密鍵）を予め記憶する。サーバー１０の記憶部１０５は、車両秘密鍵によって暗号化された電子署名を含む車両証明書を予め記憶する。

図６を使用することにより、第２の実施形態による認証システム１の動作を説明する。図６は、認証システム１の動作の例を示す。図５に示す処理と同じ処理の説明を省略する。

サーバー１０は、ステップＳ１００からステップＳ１０２を予め実行し、認証子Ａと認証子Ｂと認証子Ｃとを算出する。

デバイス２０の認証部２００は、デバイス公開鍵を記憶部２０３から読み出し、デバイス公開鍵を送信部２０１に出力する。送信部２０１は、デバイス公開鍵をサーバー１０に送信する。サーバー１０の受信部１０３は、デバイス公開鍵をデバイス２０から受信し、受信されたデバイス公開鍵を認証部１０４に出力する（ステップＳ１２０）。デバイス２０は、デバイス公開鍵を車両制御装置３０に送信し、車両制御装置３０はデバイス公開鍵をサーバー１０に送信してもよい。

車両制御装置３０の認証部３００は、車両公開鍵を記憶部３０３から読み出し、車両公開鍵を送信部３０１に出力する。送信部３０１は、車両公開鍵をデバイス２０に送信する。デバイス２０の受信部２０２は、車両公開鍵を車両制御装置３０から受信し、受信された車両公開鍵を認証部３００に出力する（ステップＳ１２１）。ステップＳ１２０が実行される前にステップＳ１２１が実行されてもよい。

デバイス２０の認証部２００は、デバイス秘密鍵を記憶部２０３から読み出し、デバイス秘密鍵によって暗号化された電子署名を含むインスタンスＣＡ証明書（デバイス証明書）を生成する。認証部２００は、デバイス証明書を含む署名検証要求を生成し、生成された署名検証要求を送信部２０１に出力する。例えば、署名検証要求はＨＴＴＰリクエストであり、デバイス証明書はＨＴＴＰリクエストのＢｏｄｙに格納される。送信部２０１は、署名検証要求をサーバー１０に送信する。サーバー１０の受信部１０３は、署名検証要求をデバイス２０から受信し、受信された署名検証要求を認証部１０４に出力する（ステップＳ１２２）。

認証部１０４の検証部１０４０は、受信部２０２によって受信されたデバイス公開鍵を使用することにより、署名検証要求に含まれるデバイス証明書の電子署名を復号し、電子署名を検証する。これにより、検証部１０４０は電子署名の有効性を確認し、デバイス２０を認証する（ステップＳ１２３）。

電子署名が有効でない場合、デバイス２０の認証に失敗する。電子署名が有効である場合、デバイス２０の認証に成功する。検証部１０４０は、署名検証応答を生成し、生成された署名検証応答を送信部１０２に出力する。デバイス２０の認証に失敗した場合、署名検証応答は、認証に失敗したことを示す情報を含む。デバイス２０の認証に成功した場合、署名検証応答は車両証明書を含む。送信部１０２は、署名検証応答をデバイス２０に送信する。デバイス２０の受信部２０２は、署名検証応答をサーバー１０から受信し、受信された署名検証応答を認証部２００に出力する（ステップＳ１２４）。

認証に失敗したことを示す情報を署名検証応答が含む場合、図６に示す処理が終了する。署名検証応答が車両証明書を含む場合、認証部２００は、受信部２０２によって受信された車両公開鍵を使用することにより、車両証明書の電子署名を復号し、電子署名を検証する。これにより、認証部２００は電子署名の有効性を確認し、サーバー１０を認証する（ステップＳ１２５）。

電子署名が有効でない場合、サーバー１０の認証に失敗する。電子署名が有効である場合、サーバー１０の認証に成功する。

車両証明書は、車両秘密鍵によって暗号化された電子署名を含む。車両秘密鍵は、車両制御装置３０が所持する車両公開鍵と対応する。車両秘密鍵によって署名された有効な電子署名を含む車両証明書をサーバー１０が所持していることが確認できた場合、デバイス２０はサーバー１０が正当であると判断し、サーバー１０の認証に成功する。サーバー１０の認証に成功した場合、サーバー１０とデバイス２０との間の相互認証が完了する。サーバー１０の認証に失敗した場合、図６に示す処理が終了する。

サーバー１０とデバイス２０との間の相互認証が完了したとき、サーバー１０の認証部１０４およびデバイス２０の認証部２００は共通鍵を生成する。共通鍵を生成するためのアルゴリズムとして、証明書をメッセージとするハッシュまたは鍵導出関数などが使用される。共通鍵を生成するためにどのようなアルゴリズムが使用されてもよい。

デバイス２０の認証部２００は、共通鍵で暗号化された認証子要求を生成し、生成された認証子要求を送信部２０１に出力する。送信部２０１は、認証子要求をサーバー１０に送信する。サーバー１０の受信部１０３は、認証子要求をデバイス２０から受信し、受信された認証子要求を認証部１０４に出力する（ステップＳ１２６）。

認証部１０４の認証情報生成部１０４１は、認証子要求を共通鍵で復号し、デバイス２０が認証子を要求していることを認識する。認証情報生成部１０４１は、認証子Ａおよび認証子Ｂを記憶部１０５から読み出し、認証子Ａおよび認証子Ｂを含む認証子応答を生成する。認証子応答は、共通鍵で暗号化されている。認証情報生成部１０４１は認証子応答を送信部１０２に出力し、送信部１０２は認証子応答をデバイス２０に送信する。デバイス２０の受信部２０２は、認証子応答をサーバー１０から受信し、受信された認証子応答を認証部２００に出力する（ステップＳ１２７）。

認証部２００は、認証子応答を共通鍵で復号し、認証子応答に含まれる認証子Ａおよび認証子Ｂを取得する。認証部２００は、認証子Ａおよび認証子Ｂを使用することにより形跡Ａおよび形跡Ａとは異なる形跡Ｂを算出する（ステップＳ１０８）。また、図５に示す動作と同様に、ステップＳ１０９からステップＳ１１４が実行される。

上記のように、サーバー１０の受信部１０３は、デバイス２０が所持するデバイス秘密鍵（第１の秘密鍵）によって暗号化された電子署名をデバイス２０から受信する。サーバー１０の認証部１０４は、デバイス秘密鍵と対応するデバイス公開鍵を使用して電子署名を検証することによりデバイス２０を認証する。サーバー１０の送信部１０２は、デバイス２０がサーバー１０を認証するために必要な情報として、サーバーが所持する車両秘密鍵（第２の秘密鍵）によって暗号化された電子署名をデバイス２０に送信する。

第２の実施形態において、サーバー１０およびデバイス２０が互いに認証した後にサーバー１０が認証子Ａおよび認証子Ｂをデバイス２０に送信する。そのため、第１の実施形態と同様に、認証システム１は第三者への認証子Ａおよび認証子Ｂの流出を回避することができる。

（第３の実施形態）
本発明の第３の実施形態を説明する。第３の実施形態において、サーバー１０とデバイス２０との間の相互認証は、認証コードの検証を含む。

サーバー１０の記憶部１０５は、公開鍵（車両公開鍵）および車両公開鍵と対応する秘密鍵（車両秘密鍵）を予め記憶する。サーバー１０は、真正性が保証された外部認証局（CA: Certificate Authority）を持つ。デバイス２０の記憶部２０３は、外部ＣＡによって生成された公開鍵（外部ＣＡ公開鍵）および外部ＣＡ公開鍵と対応する秘密鍵（外部ＣＡ秘密鍵）を予め記憶する。また、サーバー１０は外部ＣＡ公開鍵をデバイス２０から予め受信し、外部ＣＡ公開鍵を記憶部１０５に記憶させる。デバイス２０は車両公開鍵をサーバー１０から予め受信し、車両公開鍵を記憶部２０３に記憶させる。

図７を使用することにより、第３の実施形態による認証システム１の動作を説明する。図７は、認証システム１の動作の例を示す。図５に示す処理と同じ処理の説明を省略する。

デバイス２０の認証部２００は、認証コードを生成する（ステップＳ１３０）。認証コードは、乱数から生成されたデバイス２０のＰＩＮ（Personal Identification Number）であってもよい。あるいは、認証コードは、ユーザーによって入力されたパスワードなどであってもよい。

認証部２００は、生成された認証コードを送信部２０１に出力し、送信部２０１は認証コードをサーバー１０に送信する。サーバー１０の受信部１０３は、認証コードをデバイス２０から受信し、受信された認証コードを認証部１０４に出力する（ステップＳ１３１）。

認証部１０４の検証部１０４０は、車両秘密鍵を記憶部１０５から読み出し、認証コードを車両秘密鍵で暗号化する（ステップＳ１３２）。認証コードを暗号化するためのアルゴリズムは、どのようなアルゴリズムであってもよい。暗号化された認証コード（暗号化認証コード）は、デバイス２０が所持する車両公開鍵で復号可能である。

検証部１０４０は、暗号化認証コードを送信部１０２に出力し、送信部１０２は暗号化認証コードをデバイス２０に送信する。デバイス２０の受信部２０２は、暗号化認証コードをサーバー１０から受信し、受信された暗号化認証コードを認証部２００に出力する（ステップＳ１３３）。

認証部２００は、車両公開鍵を記憶部２０３から読み出し、暗号化認証コードを車両公開鍵で復号することにより認証コードを取得する。認証部２００は、ステップＳ１３０において生成された認証コードと、暗号化認証コードを復号することによって取得された認証コードとが一致するか否かを検証することによりサーバー１０を認証する（ステップＳ１３４）。２つの認証コードが異なる場合、サーバー１０の認証に失敗する。２つの認証コードが一致する場合、サーバー１０の認証に成功する。

サーバー１０の認証に失敗した場合、図７に示す処理が終了する。サーバー１０の認証に成功した場合、認証部２００は、ステップＳ１３０において生成された認証コードを外部ＣＡ秘密鍵で暗号化する（ステップＳ１３５）。認証コードを暗号化するためのアルゴリズムは、どのようなアルゴリズムであってもよい。暗号化された認証コード（暗号化認証コード）は、サーバー１０が所持する外部ＣＡ公開鍵で復号可能である。

認証部２００は、暗号化認証コードを送信部２０１に出力し、送信部２０１は暗号化認証コードをサーバー１０に送信する。サーバー１０の受信部１０３は、暗号化認証コードをデバイス２０から受信し、受信された暗号化認証コードを認証部１０４に出力する（ステップＳ１３６）。

認証部１０４の検証部１０４０は、外部ＣＡ公開鍵を記憶部１０５から読み出し、暗号化認証コードを外部ＣＡ公開鍵で復号することにより認証コードを取得する。検証部１０４０は、ステップＳ１３１において受信された認証コードと、ステップＳ１３６において受信された暗号化認証コードを復号することによって取得された認証コードとが一致するか否かを検証することによりサーバー１０を認証する（ステップＳ１３７）。２つの認証コードが異なる場合、デバイス２０の認証に失敗する。２つの認証コードが一致する場合、デバイス２０の認証に成功する。

デバイス２０の認証に成功した場合、サーバー１０とデバイス２０との間の相互認証が完了する。デバイス２０の認証に失敗した場合、図７に示す処理が終了する。サーバー１０とデバイス２０との間の相互認証が完了した後、図５に示す動作と同様に、ステップＳ１０７からステップＳ１１４が実行される。

上記のように、サーバー１０の受信部１０３は、認証コードをデバイス２０から受信する。サーバー１０の認証部１０４は、サーバー１０が所持する車両秘密鍵（第１の秘密鍵）を使用することにより認証コードを暗号化する。サーバー１０の送信部１０２は、デバイス２０がサーバー１０を認証するために必要な情報として、認証部１０４によって暗号化された認証コードをデバイス２０に送信する。受信部１０３は、デバイス２０によって暗号化された認証コードをデバイス２０から受信する。認証部１０４は、デバイス２０が所持する外部ＣＡ秘密鍵（第２の秘密鍵）を使用することによって暗号化された認証コードを外部ＣＡ秘密鍵と対応する外部ＣＡ公開鍵で復号し、復号結果を検証することによりデバイス２０を認証する。

第３の実施形態において、サーバー１０およびデバイス２０が互いに認証した後にサーバー１０が認証子Ａおよび認証子Ｂをデバイス２０に送信する。そのため、第１の実施形態と同様に、認証システム１は第三者への認証子Ａおよび認証子Ｂの流出を回避することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１認証システム、１０サーバー、２０デバイス、３０車両制御装置、１００乱数生成部、１０１認証子算出部、１０２，２０１，３０１送信部、１０３，２０２，３０２受信部、１０４，２００，３００認証部、１０５，２０３，３０３記憶部、１０４０検証部、１０４１認証情報生成部

Claims

第１の乱数および第２の乱数を使用することにより第１の認証子および第２の認証子を算出し、前記第２の認証子から第３の認証子を算出する算出部と、
デジタルキーを有し前記第１の認証子および前記第２の認証子を使用することにより車両制御装置を認証するデバイスに前記第１の認証子および前記第２の認証子を送信し、前記第１の認証子および前記第３の認証子を使用することにより前記デバイスを認証する前記車両制御装置に前記第１の認証子および前記第３の認証子を送信する送信部と、
を備えるサーバー。
前記デバイスから送信された情報を使用することにより前記デバイスを認証する認証部を備え、
前記送信部は、前記デバイスが前記サーバーを認証するために必要な情報を前記デバイスに送信し、
前記認証部が前記デバイスを認証し、かつ前記デバイスが前記サーバーを認証した後、前記送信部は前記第１の認証子および前記第２の認証子を前記デバイスに送信する
請求項１に記載のサーバー。
前記デバイスが所持する第１の秘密鍵によって暗号化された電子署名を前記デバイスから受信する受信部を備え、
前記認証部は、前記第１の秘密鍵と対応する公開鍵を使用して前記電子署名を検証することにより前記デバイスを認証し、
前記送信部は、前記デバイスが前記サーバーを認証するために必要な前記情報として、前記サーバーが所持する第２の秘密鍵によって暗号化された電子署名を前記デバイスに送信する
請求項２に記載のサーバー。
認証コードを前記デバイスから受信する受信部を備え、
前記認証部は、前記サーバーが所持する第１の秘密鍵を使用することにより前記認証コードを暗号化し、
前記送信部は、前記デバイスが前記サーバーを認証するために必要な前記情報として、前記認証部によって暗号化された前記認証コードを前記デバイスに送信し、
前記受信部は、前記デバイスが所持する第２の秘密鍵を使用することによって暗号化された前記認証コードを前記デバイスから受信し、
前記認証部は、前記第２の秘密鍵を使用することによって暗号化された前記認証コードを前記第２の秘密鍵と対応する公開鍵で復号し、復号結果を検証することにより前記デバイスを認証する
請求項２に記載のサーバー。
サーバーと、
デジタルキーを有し第１の認証子および第２の認証子を使用することにより車両制御装置を認証するデバイスと、
前記第１の認証子および第３の認証子を使用することにより前記デバイスを認証する車両制御装置と、
を備える認証システムであって、
前記サーバーは、
第１の乱数、第２の乱数を使用することにより前記第１の認証子、前記第２の認証子をそれぞれ算出し、前記第２の認証子から第３の認証子を算出する算出部と、
前記第１の認証子および前記第２の認証子を前記デバイスに送信し、前記第１の認証子および前記第３の認証子を前記車両制御装置に送信する送信部と、
を有する認証システム。
算出部が第１の乱数および第２の乱数を使用することにより第１の認証子および第２の認証子を算出し、前記第２の認証子から第３の認証子を算出するステップと、
送信部が、デジタルキーを有し前記第１の認証子および前記第２の認証子を使用することにより車両制御装置を認証するデバイスに前記第１の認証子および前記第２の認証子を送信するステップと、
前記送信部が、前記第１の認証子および前記第３の認証子を使用することにより前記デバイスを認証する前記車両制御装置に前記第１の認証子および前記第３の認証子を送信するステップと、
を備える認証制御方法。