JP2024087491A - 被認証装置、認証システム及び認証方法 - Google Patents

Abstract

【課題】悪意ある攻撃に対する耐性を向上させた認証方式を提供すること。
【解決手段】被認証装置は、異なる鍵識別子の値により識別されるＭ個の元鍵からなる元鍵集合を予め記憶するメモリを備える。認証システムは、当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに、前記認証識別子の真正性の検証に使用される電子署名値を予め記憶する。前記認証システムは、前記被認証装置へ前記認証識別子及び前記電子署名値を送信する。前記被認証装置は、前記電子署名値を用いた前記認証識別子の検証が成功した場合に、前記第１鍵ＩＤ値により識別される前記第１元鍵を前記メモリから読出し、前記第１元鍵と前記認証識別子とに基づいて前記第１認証鍵と同じ第２認証鍵を導出する。
【選択図】図６

Description

本開示は、被認証装置、認証システム及び認証方法に関する。

従来、交換可能な部品を接続した状態で利用される多くの電子機器が知られている。例えば、画像形成装置は、トナー若しくはインクを収容したカートリッジ、プロセスカートリッジ、搬送ローラ、又は定着ユニットといった、様々な交換可能部品と共に動作し得る。電子機器に設計において想定されていない交換可能部品が接続されると、電子機器の故障、動作不良、又は出力品質の低下といった不具合が生じかねない。そのため、電子機器のいくつかは、本体に接続された交換可能部品が正規の部品であるかを認証する仕組みを有する。

特許文献１は、チャレンジレスポンス型の認証方式の一例を開示している。特許文献１の認証方式では、画像形成装置の認証チップはｎ個の第１識別子でそれぞれ識別されるｎ個の認証鍵を記憶する認証鍵テーブルを有し、カートリッジの被認証チップはｍ個の第２識別子でそれぞれ識別されるｍ個の元鍵を記憶する元鍵テーブルを有する。被認証チップは、認証チップから受信される第１識別子の値と自装置に固有の第２識別子の値との組合せに対応する元鍵に基づいて認証鍵を生成する。認証チップは、自装置に固有の第１識別子の値と被認証チップから受信される第２識別子の値との組合せに対応する認証鍵を認証鍵テーブルから選択する。それにより、認証チップと被認証チップとの間で、認証鍵そのものを通信することなく同一の認証鍵が共有され、その認証鍵を用いたチャレンジレスポンス認証が行われる。認証鍵の共有のためにチップ間で交換される第１識別子の値は個別の画像形成装置に固有であるため、その値が攻撃者に知られたとしても、攻撃者は知得した情報を他の画像形成装置のために使用することができない。同様に、チップ間で交換される第２識別子の値が攻撃者に知られたとしても、攻撃者は知得した情報を他のカートリッジのために使用することができない。

ところで、被認証チップの多くは、大規模集積回路（ＬＳＩ）チップとして実装される。特許文献１の元鍵テーブルのような秘匿すべきデータは、ＬＳＩチップ上の耐タンパ性を有するメモリに格納され、それにより外部からの情報の読取り及び改竄から保護される。しかし、非特許文献１は、ＬＳＩチップ上のメモリに格納された情報を漏洩させることのできる、マイクロプロービング攻撃という攻撃手法を紹介している。マイクロプロービング攻撃は、集束イオンビーム（ＦＩＢ）装置によってＬＳＩチップ上の配線を加工し、狙いをつけた配線上のノードを流れる信号を探知して解析する、というものである。

特開２０２０－７２３４８号公報

Sergei Skorobogatov, "How microprobing can attack encrypted memory", AHSA2017 Workshop, Vienna, Austria, August 30th to September 1st, 2017

特許文献１の認証方式では、被認証チップは、認証チップからの制御コマンドに従って、指定された第１識別子の値に対応する元鍵を元鍵テーブルから読出す。この元鍵の読出しのためのメモリアクセスが数多く繰り返されほど、元鍵のデータがＬＳＩチップ上の配線を流れる回数が増えるため、非特許文献１に記載されているマイクロプロービング攻撃によって元鍵が漏洩する可能性が高まる。そのため、認証の成否に関わらず、被認証チップにおける元鍵の読出しのためのメモリアクセスが抑制されることが望ましい。

本発明は、上述した点に鑑み、悪意ある攻撃に対する耐性を向上させた認証方式を提供しようとするものである。

ある観点によれば、被認証装置であって、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶する記憶手段と、前記被認証装置を認証する認証システムへ通信可能に接続される接続手段と、前記接続手段を介する前記認証システムとの通信を制御する制御手段と、を備え、前記認証システムは、当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに前記認証識別子の真正性の検証に使用される電子署名値、を予め記憶し、前記制御手段は、前記認証システムから、前記認証識別子及び前記電子署名値を受信し、受信した前記認証識別子の真正性を前記電子署名値を用いて検証し、前記認証識別子の前記検証が成功した場合に、前記認証識別子に基づいて導出される前記第１鍵ＩＤ値により識別される前記第１元鍵を前記記憶手段から読出し、読出した前記第１元鍵と前記認証識別子とに基づいて、前記第１認証鍵と同じ第２認証鍵を導出し、前記認証システムから、チャレンジデータを受信し、受信した前記チャレンジデータと導出した前記第２認証鍵とに基づいて、レスポンスデータを生成し、生成した前記レスポンスデータを、前記認証システムへ送信する、被認証装置が提供される。対応する認証システム及び認証方法もまた提供される。

本発明によれば、悪意ある攻撃に対する耐性を向上させた認証方式が提供される。

一実施形態においてプロセスカートリッジが画像形成装置へ接続されている様子を示すブロック図。 第１実施例に係る認証チップの構成の一例を示すブロック図。 第１実施例に係る被認証チップの構成の一例を示すブロック図。 第１実施例に係る認証チップ及び被認証チップのメモリに格納されるデータを生成するためのデータ生成処理の流れの一例を示すフローチャート。 第１実施例に係る鍵記憶テーブルの構成について説明するための説明図。 第１実施例に係る認証処理の全体的な流れの一例を示すシーケンス図。 図６に示した認証鍵取得処理の詳細な流れの一例を示すフローチャート。 第２実施例に係る認証チップの構成の一例を示すブロック図。 第２実施例に係る被認証チップの構成の一例を示すブロック図。 元鍵マトリクスからの元鍵テーブル及び認証鍵テーブルの生成について説明するための説明図。 第２実施例に係る認証チップ及び被認証チップのメモリに格納されるデータを生成するためのデータ生成処理の流れの一例を示すフローチャート。 第２実施例に係る認証処理の全体的な流れの一例を示すシーケンス図。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜１．基本的な構成＞
以下に説明する実施形態では、画像形成装置へ接続されるプロセスカートリッジを、画像形成装置に搭載される認証チップが認証するものとする。したがって、画像形成装置を認証システム、プロセスカートリッジを被認証装置と称することがある。プロセスカートリッジは、画像形成装置にとっての交換可能部品の一例である。但し、本開示に係る技術は、画像形成装置及びプロセスカートリッジの組合せには限定されず、様々な電子機器と交換可能部品との組合せに適用可能である。

図１は、プロセスカートリッジ２００が画像形成装置１００へ接続されている様子を示している。画像形成装置１００は、例えば、プリンタ、コピー機又は複合機であってよく、電子写真プロセスに従ってシートに画像を形成する。プロセスカートリッジ２００は、電子写真プロセスに関与する交換可能部品である。例えば、ユーザは、画像形成装置１００の筐体に配設されるカバー（図示せず）を開けて、画像形成装置１００に対しプロセスカートリッジ２００を着脱することができる。プロセスカートリッジ２００は、例えば、感光体、及び当該感光体の表面にトナー像を形成するための１つ以上の部材を含む。画像形成装置１００は、エンジンコントローラ１０１を備える。エンジンコントローラ１０１は、例えば、シートの搬送、プロセスカートリッジ２００によるトナー像の形成、シートへのトナー像の転写、及びシート上のトナー像の定着といった、画像形成装置１００における全体的な画像形成動作を制御する。

画像形成装置１００に非正規のプロセスカートリッジが接続されると、装置の故障、動作不良、又は印刷品質の低下といった不具合が生じる虞がある。そこで、画像形成装置１００は、装置に装着されたプロセスカートリッジが正規品であるかを認証するための仕組みを有する。画像形成装置１００に装着されたプロセスカートリッジ２００の機能は、認証が成功した場合にのみ有効化される。この認証の仕組みに関連する構成要素として、エンジンコントローラ１０１は、接続インタフェース（Ｉ／Ｆ）１０３、センサ１０５、制御装置１０７、及び認証チップ１１０を備える。プロセスカートリッジ２００は、被認証チップ２１０を備える。典型的には、認証チップ１１０及び被認証チップ２１０は、耐タンパ性を有する。

接続Ｉ／Ｆ１０３は、被認証チップ２１０へ通信可能に接続される接続手段である。接続Ｉ／Ｆ１０３と被認証チップ２１０との間の接続は、電気的な接点を介する有線接続であってもよく、又はアンテナを介する無線接続であってもよい。センサ１０５は、画像形成装置１００へプロセスカートリッジが装着されているか否かを検知するための検知手段である。制御装置１０７は、画像形成装置１００の動作を統括的に制御するコントローラである。認証チップ１１０は、被認証チップ２１０から接続Ｉ／Ｆ１０３を介して受信される認証データに基づいて、プロセスカートリッジ２００が正規品であるかを認証する機能を有する集積回路（ＩＣ）チップである。被認証チップ２１０は、プロセスカートリッジ２００の認証データを予め記憶しているメモリを内蔵するＩＣチップである。認証チップ１１０及び被認証チップ２１０は、共にＬＳＩであってよい。

本実施形態において、被認証チップ２１０のメモリは、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶している。画像形成装置１００へプロセスカートリッジが装着されたことをセンサ１０５が検知すると、制御装置１０７は、認証処理を開始する。その認証処理において、認証チップ１１０は、画像形成装置１００に固有の後述する認証識別子を被認証チップ２１０へ送信する。被認証チップ２１０は、受信した認証識別子に基づいて導出される第１鍵ＩＤ値により識別される第１元鍵をメモリから読出し、読出した第１元鍵と上記認証識別子とに基づいて、認証に使用すべき認証鍵を導出する。認証チップ１１０は、チャレンジデータを生成し、接続Ｉ／Ｆ１０３を介して被認証チップ２１０へチャレンジデータを送信する。被認証チップ２１０は、認証チップ１１０から受信されるチャレンジデータと導出した上記認証鍵とに基づいて、レスポンスデータを生成し、生成したレスポンスデータを認証チップ１１０へ返送する。認証チップ１１０は、被認証チップ２１０へ送信したチャレンジデータと、上記認証識別子に対応する認証鍵とに基づいて検証用データを生成する。そして、認証チップ１１０は、被認証チップ２１０から受信されるレスポンスデータを上記検証用データと比較することによりプロセスカートリッジ２００が正規品であるかを認証し、認証の結果を制御装置１０７へ出力する。

上述した認証処理では、被認証チップにおいてメモリから元鍵が読出されるが、その読出し回数が多くなるとチップ上の配線を流れる元鍵のデータがマイクロプロービング攻撃によって解析され、元鍵が漏洩する可能性が高まる。そこで、次節以降で説明する仕組みによって、被認証チップにおける元鍵の読出しのためのメモリアクセスの回数を抑制することとする。

＜２．第１実施例＞
＜２－１．認証チップの構成例＞
図２は、第１実施例に係る認証チップ１１０の構成の一例を示すブロック図である。図２を参照すると、認証チップ１１０は、内部バス１１１、入出力回路１１２、制御回路１１３、揮発性メモリ１１４、不揮発性メモリ１１５、暗号処理回路１２１、及び乱数生成回路１２２を含む。

内部バス１１１は、制御回路１１３、揮発性メモリ１１４、不揮発性メモリ１１５、暗号処理回路１２１、及び乱数生成回路１２２を相互に接続する信号線である。入出力回路１１２は、制御装置１０７と認証チップ１１０の制御回路１１３との間でデータを中継する。制御回路１１３は、被認証装置との通信を制御する制御手段である。制御回路１１３は、例えば中央演算装置（ＣＰＵ）、マイクロコントローラ又はマイクロプロセッサであってよく、制御装置１０７から入力されるコマンドに従って様々な処理を行う。揮発性メモリ１１４は、例えばランダムアクセスメモリ（ＲＡＭ）であってよく、演算のための一時的な記憶領域を制御回路１１３に提供する。不揮発性メモリ１１５は、例えば半導体メモリ又はハードディスクを含み得る記憶手段である。

本実施例において、不揮発性メモリ１１５は、制御回路１１３により実行される１つ以上のコンピュータプログラム１１６、制御パラメータ（図示せず）、認証識別子（Ｉ_ｊ）１１７、第１認証鍵（Ａ_ｊ）１１８、及び電子署名値（σ_ｊ）１１９を記憶する。認証識別子１１７は、被認証チップ２１０に記憶されているＭ個の元鍵のうちの１つを識別する鍵ＩＤ値に関連する、認証チップ１１０に固有の識別子である。以下の説明では、Ｍ個の元鍵のうち認証識別子１１７を用いて特定される元鍵を第１元鍵、第１元鍵を識別する鍵ＩＤ値を第１鍵ＩＤ値と称することがある。第１認証鍵１１８は、認証識別子１１７と第１元鍵とに基づいて予め導出された認証鍵である。電子署名値１１９は、認証識別子１１７の真正性の検証に使用される、予め生成された電子署名値である。本実施例では、電子署名として、公開鍵暗号方式に基づくデジタル署名が利用されるものとする。

暗号処理回路１２１は、ハッシュ関数の演算又は共通鍵暗号方式での暗号化を含み得る暗号関連の処理を実行する演算手段である。乱数生成回路１２２は、制御回路１１３から入力されるコマンドに従って、乱数値を生成する生成手段である。乱数生成回路１２２は、例えば上述したチャレンジデータを生成するために利用される。本実施例において、制御回路１１３は、暗号処理回路１２１及び乱数生成回路１２２と連携して、被認証チップ２１０を認証するためのチャレンジレスポンス型の認証処理を行う認証部１３１として機能する。認証処理の流れについて、後に詳しく説明する。

＜２－２．被認証チップの構成例＞
図３は、第１実施例に係る被認証チップ２１０の構成の一例を示すブロック図である。図３を参照すると、被認証チップ２１０は、内部バス２１１、接続Ｉ／Ｆ２１２、制御回路２１３、揮発性メモリ２１４、不揮発性メモリ２１５、暗号処理回路２２１、及び署名検証回路２２２を含む。

内部バス２１１は、制御回路２１３、揮発性メモリ２１４、不揮発性メモリ２１５、暗号処理回路２２１、及び署名検証回路２２２を相互に接続する信号線である。接続Ｉ／Ｆ２１２は、認証システムへ通信可能に接続される接続手段である。制御回路２１３は、接続Ｉ／Ｆ２１２を介する認証システムとの通信を制御する制御手段である。制御回路２１３は、例えばＣＰＵ、マイクロコントローラ又はマイクロプロセッサであってよい。揮発性メモリ２１４は、例えばＲＡＭであってよく、演算のための一時的な記憶領域を制御回路２１３に提供する。不揮発性メモリ２１５は、例えば耐タンパ性を有する半導体メモリを含む記憶手段である。不揮発性メモリ２１５は、制御回路２１３により実行される１つ以上のコンピュータプログラム２１６、制御パラメータ（図示せず）、及びプロセスカートリッジ２００の認証に使用される認証データを記憶する。

本実施例において、不揮発性メモリ２１５に記憶される認証データは、元鍵テーブル２１７、公開鍵（ｐｋ）２１８、及び鍵記憶テーブル２４０を含む。元鍵テーブル２１７は、上述したＭ個の元鍵からなる元鍵集合が格納されるテーブルである。公開鍵２１８は、認証チップ１１０から受信される認証識別子について、公開鍵暗号方式での真正性の検証に使用される。鍵記憶テーブル２４０は、元鍵テーブル２１７から読出される元鍵に基づいて導出された認証鍵を将来の再利用に向けて保持しておくためのテーブルである。

暗号処理回路２２１は、ハッシュ関数の演算又は共通鍵暗号方式での暗号化を含み得る暗号関連の処理を実行する演算手段である。署名検証回路２２２は、データの真正性の検証のための電子署名を用いた署名検証を実行する検証手段である。例えば、署名検証回路２２２は、認証チップ１１０から認証識別子１１７と共に受信される電子署名値１１９を用いて、認証識別子１１７の真正性を検証する。本実施例において、制御回路２１３は、読出制御部２３１及び応答部２３２として機能する。読出制御部２３１は、不揮発性メモリ２１５からの認証データの読出しを制御する。応答部２３２は、認証チップ１１０から受信される制御コマンドに対して、チャレンジレスポンス型の認証のための応答を行う。読出制御部２３１及び応答部２３２の機能について、後に詳しく説明する。

なお、図２及び図３で制御回路とは別個に示した回路（例えば、乱数生成回路、暗号処理回路、及び署名検証回路）の各々は、独立した回路として実装される代わりに、制御回路により実行されるソフトウェアモジュールとして実装されてもよい。また、制御回路の機能として説明したモジュール（例えば、認証部、読出制御部及び応答部）の各々が制御回路とは別個の独立した回路として実装されてもよい。また、図２及び図３には、それぞれ１つの不揮発性メモリを示しているが、図示したメモリの各々は、実際には複数のメモリ回路の集合であってもよい。例えば、被認証チップ２１０の鍵記憶テーブル２４０は、元鍵テーブル２１７を含むメモリ回路とは別個のメモリ回路に含まれてもよい。

＜２－３．認証データの生成とメモリへの格納＞
画像形成装置１００及びプロセスカートリッジ２００の製造者は、製造段階で上述した認証データを生成し、認証チップ１１０及び被認証チップ２１０のメモリにそれぞれ必要な部分を格納する。本項では、そうした製造段階の処理について説明する。

図４は、認証チップ１１０の不揮発性メモリ１１５及び被認証チップ２１０の不揮発性メモリ２１５に格納されるデータを生成するためのデータ生成処理の流れの一例を示すフローチャートである。図４のデータ生成処理は、画像形成装置１００及びプロセスカートリッジ２００とは異なる装置（例えば、汎用コンピュータ）において実行されてよい。なお、以下の説明では、処理ステップを'Ｓ'と略記する。

図４を参照すると、まず、データの生成に先立って、Ｓ１１で、公開鍵暗号のための公開鍵ｐｋ及び秘密鍵ｓｋのペアが準備される。ここで準備される鍵ペアは、例えば、秘密鍵ｓｋを用いて生成される電子署名値が公開鍵ｐｋを用いて検証可能であることが担保されている限り、画像形成装置の個体ごとに相違してもよく、又は正規の製造者が製造する複数の画像形成装置にわたって共通的であってもよい。

次いで、Ｓ１３で、Ｍ個の元鍵Ｋ_１，...，Ｋ_Ｍが生成される。Ｍ個の元鍵Ｋ_１，...，Ｋ_Ｍは、所定の長さを有する、互いに異なる乱数値であってよい。各元鍵Ｋ_ｍ（ｍ∈１，...，Ｍ）のインデックスｍを、鍵ＩＤと称することがある。次いで、Ｓ１５で、生成されたＭ個の元鍵Ｋ_１，...，Ｋ_Ｍが、被認証チップ２１０の不揮発性メモリ２１５の元鍵テーブル２１７に格納される。これらＭ個の元鍵Ｋ_１，...，Ｋ_Ｍからなる元鍵集合は、同じ画像形成装置１００において使用される可能性のある複数のプロセスカートリッジにわたって共通であってよい。また、Ｓ１７で、公開鍵ｐｋが不揮発性メモリ２１５に格納される。さらに、Ｓ１９で、被認証チップ２１０の不揮発性メモリ２１５内に、空の鍵記憶テーブル２４０が生成される。なお、複数のプロセスカートリッジが製造される場合には、上述したＳ１５～Ｓ１９が複数回反復され得る。

次いで、Ｓ２１で、画像形成装置１００（又は認証チップ１１０）に固有の秘密値ｑが生成される。秘密値ｑは、所定の長さを有する乱数値であってよい。次いで、Ｓ２３で、鍵ＩＤ値ｍのレンジ［１，Ｍ］の中から、第１鍵ＩＤ値ｊがランダムに選択される（ｊ∈１，...，Ｍ）。次いで、Ｓ２５で、秘密値ｑ及び第１鍵ＩＤ値ｊに基づいて、認証識別子Ｉ_ｊが生成される。例えば、認証識別子Ｉ_ｊは、次の式（１）のように、秘密値ｑと第１鍵ＩＤ値ｊとを連結することにより生成されてもよい：

Ｉ_ｊ ＝ ｑ||ｊ （１）

ここで、演算子||は、当該演算子の前後の値を連結する演算を表す。即ち、秘密値ｑが相違すれば、対応する認証識別子Ｉ_ｊの値も相違することになる。式（１）によれば、第１鍵ＩＤ値ｊは、認証識別子Ｉ_ｊの一部に含まれる。したがって、認証識別子Ｉ_ｊの一部（例えば、下位の数ビット）を切り出すことで、認証識別子Ｉ_ｊから第１鍵ＩＤ値ｊを抽出することが可能である。なお、認証識別子Ｉ_ｊから第１鍵ＩＤ値ｊを導出することが可能である限り、認証識別子Ｉ_ｊは式（１）とは異なる関係式を用いて生成されてもよい。

次いで、Ｓ２７で、Ｍ個の元鍵Ｋ_１，...，Ｋ_Ｍのうち第１鍵ＩＤ値ｊにより識別される第１元鍵Ｋ_ｊ、及び認証識別子Ｉ_ｊに基づいて、第１認証鍵Ａ_ｊが導出される。例えば、第１認証鍵Ａ_ｊは、次の式（２）のように、第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとを連結することにより生成した入力データ（ペイロードともいう）をハッシュ関数へ入力することにより生成されてもよい：

Ａ_ｊ ＝ ＭＳＢ_Ｌ（ｈ１（Ｋ_ｊ||Ｉ_ｊ）） （２）

ここで、関数ｈ１は、一方向性の暗号学的ハッシュ関数である。暗号学的ハッシュ関数の一例として、ＮＩＳＴ（National Institute of Standards and Technology）によりＦＩＰＳ ＰＵＢ １８０－４として定義されたＳＨＡ２５６を利用することができる。関数ＭＳＢ_Ｌは、上位Ｌビットを切り出す（残りのビットを切り捨てる）関数であり、例えばＬ＝１２８であってよい。式（２）が採用される場合、第１元鍵Ｋ_ｊ及び認証識別子Ｉ_ｊから決定論的に第１認証鍵Ａ_ｊを導出することができ、一方で第１認証鍵Ａ_ｊから第１元鍵Ｋ_ｊを推測することは困難である。

代替的に、第１認証鍵Ａ_ｊは、次の式（３）のように、第１元鍵Ｋ_ｊを共通鍵として用いて認証識別子Ｉ_ｊを暗号化することにより生成されてもよい：

Ａ_ｊ ＝ Ｅｎｃ_Ｘ（Ｋ_ｊ，Ｉ_ｊ||ｃ）） （３）

ここで、Ｅｎｃ_Ｘは、共通鍵暗号方式Ｘでの暗号化処理を表す関数である。例えば、共通鍵暗号方式Ｘとして、ＮＩＳＴによりＦＩＰＳ ＰＵＢ １９７として定義されたブロック暗号の一種であるＡＥＳ（Advanced Encryption Standard）を利用することができ、ブロック長は例えば１２８ビットであってよい。関数Ｅｎｃ_Ｘの１番目の引数が共通鍵、２番目の引数が暗号化の対象（平文ともいう）である。式（３）の例では、関数Ｅｎｃ_Ｘの２番目の引数のサイズをブロック長に合わせるために、認証識別子Ｉ_ｊに所定のビット列ｃが連結される。式（３）が採用される場合にも、第１元鍵Ｋ_ｊ及び認証識別子Ｉ_ｊから決定論的に第１認証鍵Ａ_ｊを導出することができ、一方で、第１認証鍵Ａ_ｊから第１元鍵Ｋ_ｊを推測することは困難である。

次いで、Ｓ２９で、次の式（４）のように、秘密鍵ｓｋを用いて、認証識別子Ｉ_ｊの電子署名値σ_ｊが生成される：

σ_ｊ＝Ｓｉｇｎ（ｓｋ，Ｉ_ｊ） （４）

式（４）の関数Ｓｉｇｎは、デジタル署名アルゴリズムを表す。ここで利用されるデジタル署名アルゴリズムは、例えば、ＮＩＳＴによりＦＩＰＳ ＰＵＢ １８６－４として定義されたアルゴリズムであってよい。関数Ｓｉｇｎの１番目の引数は秘密鍵ｓｋであり、２番目の引数は認証識別子Ｉ_ｊである。

次いで、Ｓ３１で、認証識別子Ｉ_ｊ、第１認証鍵Ａ_ｊ、及び電子署名値σ_ｊが認証チップ１１０の不揮発性メモリ１１５に格納される。なお、複数の画像形成装置が製造される場合には、上述したＳ２１～Ｓ３１が複数回反復され、各反復において選択される鍵ＩＤ値は互いに相違し得る。そして、図４のデータ生成処理は終了する。

＜２－４．鍵記憶テーブルの構成＞
図５は、本実施例に係る鍵記憶テーブル２４０の構成について説明するための説明図である。図５を参照すると、鍵記憶テーブル２４０は、ＩＤ２４１及び認証鍵２４２という２つのデータ項目を有する。ＩＤ２４１は、鍵記憶テーブル２４０の各レコードを識別するための識別子である。図５の例では、ＩＤ２４１の値として、認証識別子が使用される。他の例では、ＩＤ２４１の値として、認証識別子に基づいて導出され得る第１鍵ＩＤ値が使用されてもよい。即ち、鍵記憶テーブル２４０は、被認証チップ２１０において導出される認証鍵（第２認証鍵）の鍵値を、対応する識別子に関連付けて記憶するように構成される。プロセスカートリッジ２００（又は被認証チップ２１０）が製造された当初は、鍵記憶テーブル２４０は空であり、但し最大でＡ_ＭＡＸまでの識別子及び認証鍵のペアを記憶できる記憶領域を有する。プロセスカートリッジ２００が画像形成装置１００へ装着され、認証チップ１１０から認証識別子Ｉ_ｊが受信されると、被認証チップ２１０の読出制御部２３１は、受信した認証識別子Ｉ_ｊに対応する第１元鍵Ｋ_ｊを元鍵テーブル２１７から読出す。また、読出制御部２３１は、読出した第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとに基づいて、例えば式（２）又は式（３）に従って、認証チップ１１０側で保持している第１認証鍵と同じ第２認証鍵Ａ_ｊを導出する。そして、読出制御部２３１は、導出した第２認証鍵Ａ_ｊを対応する識別子に関連付けて鍵記憶テーブル２４０に格納する。図５の例において、鍵記憶テーブル２４０の１番目のレコードは、認証識別子Ｉ_ｊと第２認証鍵Ａ_ｊとのペアを示している。

プロセスカートリッジ２００が画像形成装置１００から一旦取り外された後、再び画像形成装置１００へ装着されたものとする。プロセスカートリッジ２００の装着が検知されると、認証チップ１１０から被認証チップ２１０へ認証識別子Ｉ_ｊが送信される。被認証チップ２１０の読出制御部２３１は、認証チップ１１０から受信した認証識別子Ｉ_ｊに対応する第１元鍵Ｋ_ｊを元鍵テーブル２１７から過去に読出したことがあるかを判定する。例えば、読出制御部２３１は、受信した認証識別子Ｉ_ｊが鍵記憶テーブル２４０に記憶されているかをチェックし、認証識別子Ｉ_ｊが鍵記憶テーブル２４０に記憶されている場合に、第１元鍵Ｋ_ｊを過去に読出したことがあると判定し得る。この場合、読出制御部２３１は、元鍵テーブル２１７へアクセスすることなく、第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとに基づいて過去に導出された第２認証鍵Ａ_ｊを、鍵記憶テーブル２４０から取得する。画像形成装置１００へのプロセスカートリッジ２００の初回の装着時には、認証識別子Ｉ_ｊは鍵記憶テーブル２４０に記憶されていないため、読出制御部２３１は、第１元鍵Ｋ_ｊを過去に読出したことがないと判定し得る。この場合、読出制御部２３１は、上述したように、元鍵テーブル２１７から読出した第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとに基づいて、第２認証鍵Ａ_ｊを導出する。応答部２３２は、このように読出制御部２３１により導出され又は取得された第２認証鍵Ａ_ｊを用いて、認証チップ１１０からの認証要求に応答する。

本実施例において、鍵記憶テーブル２４０は、最大でＡ_ＭＡＸ個までの認証鍵を記憶することが可能とされる。読出制御部２３１は、認証チップ１１０から受信した認証識別子Ｉ_ｊに対応する第１元鍵Ｋ_ｊを過去に読出したことがないと判定される場合において、鍵記憶テーブル２４０に記憶されている認証鍵の個数が最大個数Ａ_ＭＡＸに等しいか否かをチェックする。鍵記憶テーブル２４０に記憶されている認証鍵の個数が最大個数Ａ_ＭＡＸに等しい場合、応答部２３２は、認証チップ１１０からの認証要求を拒否し、エラーメッセージを認証チップ１１０へ返送してもよい。

なお、最大個数Ａ_ＭＡＸの値は、事前の設計段階で、１つのプロセスカートリッジ２００が現実的なユースケースでどの程度の数の異なる画像形成装置に装着され使用される可能性があるかを考慮して決定され得る。

＜２－５．カートリッジの認証＞
図６は、本実施例に係る認証処理の全体的な流れの一例を示すシーケンス図である。認証処理には、主に画像形成装置１００の認証チップ１１０及びプロセスカートリッジ２００の被認証チップ２１０が関与する。認証チップ１１０と被認証チップ２１０との間の通信経路にはエンジンコントローラ１０１の接続Ｉ／Ｆ１０３が介在するが、接続Ｉ／Ｆ１０３は図中では省略されている。

認証処理は、例えば、センサ１０５が画像形成装置１００へのプロセスカートリッジ２００の装着を検知したことをトリガとして、制御装置１０７が認証チップ１１０へ認証開始を指示する制御コマンドを送信することで開始され得る。なお、認証開始のトリガは、プロセスカートリッジ２００の装着の検知ではなく、例えば、画像形成装置１００のユーザインタフェースを介して認証開始を求めるユーザ操作が検知されたことであってもよい。

まず、Ｓ１１１で、認証チップ１１０の認証部１３１は、認証チップ１１０に固有の認証識別子Ｉ_ｊを不揮発性メモリ３１５から読出して被認証チップ２１０へ送信する。また、Ｓ１１３で、認証部１３１は、電子署名値σ_ｊを不揮発性メモリ３１５から読出して被認証チップ２１０へ送信し、被認証チップ２１０に認証識別子Ｉ_ｊの真正性の検証を行わせる。

また、Ｓ１１５で、認証部１３１は、乱数生成回路１２２に、チャレンジデータとしての乱数値Ｄ_Ｃを生成させる。Ｓ１１７で、認証部１３１は、乱数生成回路１２２により生成されたチャレンジデータＤ_Ｃを含む認証要求を被認証チップ２１０へ送信する。次いで、Ｓ１１９で、認証部１３１は、被認証チップ２１０へ送信したチャレンジデータＤ_Ｃと、不揮発性メモリ１１５に記憶されている第１認証鍵Ａ_ｊとに基づき、例えば後述する式（６）又は式（７）に従って、検証用データＤ_Ｖを生成する。

Ｓ１２１で、被認証チップ２１０の応答部２３２は、署名検証回路２２２に、認証チップ１１０から受信した認証識別子Ｉ_ｊの真正性を電子署名値σ_ｊを用いて検証させる。ここでの署名検証は、次の式（５）のように表現され得る：

ｒｅｓ＝Ｖｅｒｉｆｙ（ｐｋ，Ｉ_ｊ，σ_ｊ） （５）

式（５）の関数Ｖｅｒｉｆｙは、式（４）で利用したデジタル署名アルゴリズムに対応するデジタル署名検証アルゴリズムを表す。関数Ｖｅｒｉｆｙの１番目の引数は不揮発性メモリ２１５により記憶されている公開鍵ｐｋであり、２番目の引数は認証識別子Ｉ_ｊであり、３番目の引数は署名値σ_ｊである。関数Ｖｅｒｉｆｙの出力ｒｅｓは、署名検証結果、即ち検証が成功したか又は失敗したかを、論理値（"真"又は"偽"）で示す。Ｓ１１１で受信される認証識別子Ｉ_ｊが真正であれば、公開鍵暗号の仕組みによって、署名検証結果ｒｅｓは"真"を示す。Ｓ１１１で受信される認証識別子Ｉ_ｊが不正であり又は電子署名値σ_ｊが不正であれば、署名検証結果ｒｅｓは"偽"を示す。

署名検証結果ｒｅｓが"偽"を示す場合、認証処理はＳ１２９へ進み、応答部２３２は、署名検証の失敗を示すエラーメッセージを認証チップ１１０へ送信する。この場合、読出制御部２３１が不揮発性メモリ２１５の元鍵テーブル２１７にアクセスすることなく、認証処理は終了する。一方、署名検証結果ｒｅｓが"真"を示す場合、認証処理はＳ１２３へ進む。

認証識別子Ｉ_ｊが真正であることが成功裏に検証されると、Ｓ１２３で、読出制御部２３１は、認証鍵取得処理を実行して、第２認証鍵Ａ_ｊを取得する。第２認証鍵Ａ_ｊは、認証チップ１１０が予め記憶している第１認証鍵Ａ_ｊと同じ鍵である。

図７は、読出制御部２３１により実行される認証鍵取得処理の詳細な流れの一例を示すフローチャートである。図７を参照すると、まず、Ｓ２０１で、読出制御部２３１は、認証チップ１１０から受信した認証識別子Ｉ_ｊのレコードが鍵記憶テーブル２４０に存在するかを判定する。認証識別子Ｉ_ｊのレコードが鍵記憶テーブル２４０に存在しない場合、処理はＳ２０３へ進む。一方、認証識別子Ｉ_ｊのレコードが鍵記憶テーブル２４０に存在する場合、処理はＳ２１３へ進む。

Ｓ２０３で、読出制御部２３１は、鍵記憶テーブル２４０に空きがあるか、即ち、鍵記憶テーブル２４０に記憶されている認証鍵の個数が最大個数Ａ_ＭＡＸに未到達であるかを判定する。鍵記憶テーブル２４０に空きがある場合、処理はＳ２０５へ進む。一方、鍵記憶テーブル２４０に空きがない場合、処理はＳ２１５へ進む。

処理がＳ２０５へ進んだ場合、読出制御部２３１は認証識別子Ｉ_ｊに対応する第１元鍵Ｋ_ｊを過去に読出したことがないと判定したことになる。そこで、Ｓ２０５で、読出制御部２３１は、認証識別子Ｉ_ｊから第１鍵ＩＤ値ｊを導出する。例えば、読出制御部２３１は、認証識別子Ｉ_ｊの下位の所定数のビットを抽出することにより、第１鍵ＩＤ値ｊを導出してもよい。次いで、Ｓ２０７で、読出制御部２３１は、不揮発性メモリ２１５の元鍵テーブル２１７へアクセスし、第１鍵ＩＤ値ｊで識別される第１元鍵Ｋ_ｊを読出す。次いで、Ｓ２０９で、読出制御部２３１は、読出した第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとに基づいて、第２認証鍵Ａ_ｊを導出する。例えば、読出制御部２３１は、上述した式（２）に従って、第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとを連結することにより生成した入力データを暗号学的ハッシュ関数へ入力することにより、第２認証鍵Ａ_ｊを導出してもよい。代替的に、読出制御部２３１は、上述した式（３）に従って、第１元鍵Ｋ_ｊを共通鍵として用いて認証識別子Ｉ_ｊを暗号化することにより、第２認証鍵Ａ_ｊを導出してもよい。次いで、Ｓ２１１で、読出制御部２３１は、導出した第２認証鍵Ａ_ｊと認証識別子Ｉ_ｊとのペアを鍵記憶テーブル２４０に記憶させる。

処理がＳ２１３へ進んだ場合、読出制御部２３１は認証識別子Ｉ_ｊに対応する第１元鍵Ｋ_ｊを過去に読出したことがあると判定したことになる。そこで、Ｓ２１３で、読出制御部２３１は、第１元鍵Ｋ_ｊと認証識別子Ｉ_ｊとに基づいて過去に導出された第２認証鍵Ａ_ｊを鍵記憶テーブル２４０から取得する。例えば、読出制御部２３１は、鍵記憶テーブル２４０において認証識別子Ｉ_ｊ（又は第１鍵ＩＤ値ｊ）をルックアップすることにより、対応するレコードを迅速に発見して、当該レコードが示す第２認証鍵Ａ_ｊを取得することができる。

処理がＳ２１５へ進んだ場合、鍵記憶テーブル２４０に記憶されている認証鍵の個数が最大個数Ａ_ＭＡＸに等しく、鍵記憶テーブル２４０に新たな認証鍵を追加的に記憶させることができない。そこで、Ｓ２１５で、読出制御部２３１は、メモリアクセス回数の上限到達を示すエラーメッセージを認証チップ１１０へ送信する。この場合、第１元鍵Ｋ_ｊに基づく認証は拒否されることになる。

図６へ戻り、Ｓ１２５で、応答部２３２は、暗号処理回路２２１に、認証チップ１１０から受信したチャレンジデータＤ_Ｃと上述した認証鍵取得処理の結果として取得され又は導出された第２認証鍵Ａ_ｊとに基づいて、レスポンスデータを生成させる。例えば、レスポンスデータＤ_Ｒは、次の式（６）のように、第２認証鍵Ａ_ｊとチャレンジデータＤ_Ｃとを連結することにより生成した入力データをハッシュ関数へ入力することにより生成されてもよい：

Ｄ_Ｒ ＝ ＭＳＢ_Ｌ（ｈ１（Ａ_ｊ||Ｄ_Ｃ）） （６）

上述したように、関数ｈ１は一方向性の暗号学的ハッシュ関数であってよく、関数ＭＳＢ_Ｌは引数の上位Ｌビットを切り出す関数であってよい。代替的に、レスポンスデータＤ_Ｒは、次の式（７）のように、第２認証鍵Ａ_ｊを共通鍵として用いてチャレンジデータＤ_Ｃを暗号化することにより生成されてもよい：

Ｄ_Ｒ ＝ Ｅｎｃ_Ｘ（Ａ_ｊ，Ｄ_Ｃ） （７）

上述したように、Ｅｎｃ_Ｘは、共通鍵暗号方式Ｘでの暗号化処理を表す関数であり、例えば、共通鍵暗号方式Ｘとしてブロック長１２８ビットのＡＥＳが利用されてもよい。認証チップ１１０におけるＳ１１９での検証用データの生成も、ここでのレスポンスデータの生成と同様に行われ得る。そして、Ｓ１２７で、応答部２３２は、生成したレスポンスデータＤ_Ｒを認証チップ１１０へ返送する。

被認証チップ２１０からレスポンスデータＤ_Ｒを受信した認証チップ１１０の認証部１３１は、Ｓ１３１で、レスポンスデータＤ_Ｒが、Ｓ１１９で生成した検証用データＤ_Ｖに一致しているかを判定する。レスポンスデータＤ_Ｒが検証用データＤ_Ｖに一致している場合には、認証部１３１は、プロセスカートリッジ２００の認証は成功であると判定する。レスポンスデータＤ_Ｒが検証用データＤ_Ｖに一致していない場合には、認証部１３１は、プロセスカートリッジ２００の認証は不成功であると判定する。認証部１３１は、Ｓ１３１で判定した認証の結果を制御装置１０７へ報告する。

Ｓ１３３で、制御装置１０７は、認証チップ１１０から報告された認証の結果に応じて、プロセスカートリッジ２００の接続を受け入れ又は拒否する。制御装置１０７は、認証が不成功であった場合に、プロセスカートリッジ２００が正規品ではないことをユーザへ警告してもよい。ここでの警告は、例えば、画像形成装置１００ディスプレイへの警告メッセージの表示、警告灯の点灯、又は警報音の出力など、任意の手法で行われてよい。

認証が成功であった場合には、制御装置１０７は、プロセスカートリッジ２００の接続を受入れ、プロセスカートリッジ２００を用いた画像形成を有効化する。例えば、制御装置１０７は、プロセスカートリッジ２００のメモリが保持し得るさらなる制御パラメータ（例えば、画像形成条件に関連するパラメータ）を読出して、その後の画像形成動作のために利用してもよい。

なお、図６の認証処理に含まれる処理ステップは、図示した順序とは異なる順序で行われてもよい。例えば、認証識別子Ｉ_ｊ及び電子署名値σ_ｊは、どちらが先に被認証チップ２１０へ送信されてもよく、同時に送信されてもよい。また、認証チップ１１０は、被認証チップ２１０により認証識別子Ｉ_ｊの真正性が検証された後に、チャレンジデータＤ_Ｃを被認証チップ２１０へ送信してもよい。また、認証チップ１１０による検証用データＤ_Ｖの生成は、被認証チップ２１０へのチャレンジデータＤ_Ｃの送信の前又は被認証チップ２１０からのレスポンスデータＤ_Ｒの受信の後など、任意のタイミングで行われてよい。

本節では、被認証チップ２１０の暗号処理回路２２１が第２認証鍵Ａ_ｊの導出及びレスポンスデータＤ_Ｒの生成のための演算を行う例を説明した。このように共通的な回路が双方の演算を行うようにすることで、回路規模の増大を防ぎ、装置の製造コストを抑制することができる。但し、第２認証鍵Ａ_ｊの導出及びレスポンスデータＤ_Ｒの生成は、別個の回路により異なるアルゴリズムに従って行われてもよい。例えば、第２認証鍵Ａ_ｊの導出及びレスポンスデータＤ_Ｒの生成のうちの一方が暗号学的ハッシュ関数（例えば、ＳＨＡ２５６）を利用して行われ、他方が共通鍵暗号方式での暗号化処理（ブロック長１２８ビットのＡＥＳ）として行われてもよい。

また、本節では、認証識別子Ｉ_ｊが式（１）のように秘密値ｑと第１鍵ＩＤ値ｊとを連結することにより生成される例を説明した。しかしながら、認証識別子Ｉ_ｊを生成する手法は、かかる例には限定されない。一例として、認証識別子Ｉ_ｊは、次の式（８）のような演算を通じて生成されてもよい：

Ｉ_ｊ ＝ ｑ＊Ｍ＋ｊ－１ （８）

ここで、Ｍは元鍵テーブル２１７のサイズ（元鍵テーブル２１７に含まれる元鍵の個数）を表す。この場合、図７のＳ２０５において認証識別子Ｉ_ｊから第１鍵ＩＤ値を導出する演算は、次の式（９）のような剰余演算となる：

ｊ＝ １＋（Ｉ_ｊ ｍｏｄ Ｍ） （９）

ここで、ｍｏｄは剰余演算子である。他の例として、秘密値ｑの生成が省略され、認証識別子Ｉ_ｊが単に第１鍵ＩＤ値ｊと等しい値とされてもよい（Ｉ_ｊ＝ｊ）。

＜２－６．第１実施例のまとめ＞
上述した第１実施例では、被認証装置は、異なる鍵ＩＤの値によりそれぞれ識別されるＭ個の元鍵からなる元鍵集合をメモリに予め記憶している。一方、認証システムは、上記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する認証識別子と上記第１元鍵とに基づいて導出された第１認証鍵をメモリに予め記憶している。被認証装置は、認証システムから受信される上記認証識別子に基づく上記第１鍵ＩＤ値により識別される上記第１元鍵をメモリから読出して、上記第１元鍵と上記認証識別子とに基づいて上記第１認証鍵と同じ第２認証鍵を導出する。それにより、認証システムと被認証装置との間で共通する認証鍵を秘密裏に共有して、チャレンジレスポンス型の認証を行うことができる。仮に攻撃者が認証システムに搭載されている認証チップを攻撃して上記第１認証鍵を入手することができたとしても、上記第１認証鍵は他の認証システム（例えば、他の画像形成装置）においては役に立たない。これは、１つの認証システムに搭載されている認証チップの解析が、他の認証システムによる認証を不正に通過できる非正規の被認証装置を製造する目的にとって無益であることを意味する。

また、上述した第１実施例では、被認証装置は、認証システムから受信される電子署名値を用いた上記認証識別子の真正性の検証が成功した場合にのみ、上記認証識別子に基づいて導出される上記第１鍵ＩＤ値により識別される上記第１元鍵をメモリから読出す。したがって、真正性が担保されていない認証識別子が認証システムから受信されたとしても元鍵を読出すためのメモリアクセスは行われず、元鍵のデータがチップ上の配線を流れる回数が低減される。そのため、マイクロプロービング攻撃等の悪意ある攻撃に対する耐性が向上する。

また、上述した第１実施例では、被認証装置は、認証システムから受信される上記認証識別子に対応する上記第１元鍵をメモリから過去に読出したことがあると判定される場合には、過去に導出済みの上記第２認証鍵を鍵記憶テーブルから取得して使用する。したがって、同じ元鍵のデータがチップ上の配線を何度も流れることがないため、チップ上の配線を流れるデータの統計的な解析が困難となる。これにより、マイクロプロービング攻撃等の悪意ある攻撃に対する耐性は一層向上する。仮に鍵記憶テーブルに登録されている認証鍵が漏洩したとしても、その認証鍵は特定の認証システムについてのみ有効であり、且つ漏洩した認証鍵から元鍵を推測することは困難である。したがって、鍵記憶テーブルに対する攻撃は、被認証装置を模造しようとする不正な目的のためには有益でない。

なお、第１実施例において、電子署名値を用いた認証識別子の真正性の検証、及び鍵記憶テーブルに記憶される第２認証鍵の再利用のうちの一方が省略されてもよい。

上述した仕組みに対し、チップ上の配線を流れるデータの解析を通じて、認証を不正に通過する被認証装置の模造品を製造するためには、攻撃者は、多くの正規の認証チップを入手して認証を繰り返して統計的に有意なデータを収集することを強いられる。しかし、上記元鍵集合のサイズＭを十分に大きくすることで、解析に要するデータの規模は膨大となり、解析は現実的には不可能となる。また、上記鍵記憶テーブルに記憶される認証鍵の最大個数に制限を設けることで、解析用のデータの収集を一層困難にし、元鍵集合を秘匿性をさらに強固にすることができる。

＜３．第２実施例＞
＜３－１．認証チップの構成例＞
図８は、第２実施例に係る認証チップ１１０の構成の一例を示すブロック図である。図８を参照すると、認証チップ１１０は、内部バス１１１、入出力回路１１２、制御回路３１３、揮発性メモリ１１４、不揮発性メモリ３１５、暗号処理回路１２１、及び乱数生成回路１２２を含む。

制御回路３１３は、被認証装置との通信を制御する制御手段である。制御回路３１３は、例えば中央演算装置、マイクロコントローラ又はマイクロプロセッサであってよく、制御装置１０７から入力されるコマンドに従って様々な処理を行う。不揮発性メモリ３１５は、例えば半導体メモリ又はハードディスクを含み得る記憶手段である。

本実施例において、不揮発性メモリ３１５は、制御回路３１３により実行される１つ以上のコンピュータプログラム１１６、制御パラメータ（図示せず）、認証識別子（Ｉ_ｊ）１１７、認証鍵テーブル３１８、及び電子署名値（σ_ｊ）１１９を記憶する。認証鍵テーブル３１８は、Ｎ個（Ｎは２以上の整数）の認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊからなる認証鍵集合が格納されるテーブルである。認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊは、認証識別子１１７と、２つの鍵ＩＤで各々が識別される元鍵を含む後述する元鍵マトリクスにおいて、第１鍵ＩＤが認証識別子１１７に関連する第１鍵ＩＤ値ｊに等しいＮ個の元鍵とに基づいてそれぞれ導出された認証鍵である。

本実施例において、制御回路３１３は、暗号処理回路１２１及び乱数生成回路１２２と連携して、被認証チップ２１０を認証するためのチャレンジレスポンス型の認証処理を行う認証部３３１として機能する。認証処理の流れについて、後に詳しく説明する。

＜３－２．被認証チップの構成例＞
図９は、第２実施例に係る被認証チップ２１０の構成の一例を示すブロック図である。図９を参照すると、被認証チップ２１０は、内部バス２１１、接続Ｉ／Ｆ２１２、制御回路４１３、揮発性メモリ２１４、不揮発性メモリ４１５、暗号処理回路２２１、及び署名検証回路２２２を含む。

制御回路４１３は、接続Ｉ／Ｆ２１２を介する認証システムとの通信を制御する制御手段である。制御回路４１３は、例えばＣＰＵ、マイクロコントローラ又はマイクロプロセッサであってよい。不揮発性メモリ４１５は、例えば耐タンパ性を有する半導体メモリを含む記憶手段である。不揮発性メモリ４１５は、制御回路４１３により実行される１つ以上のコンピュータプログラム２１６、制御パラメータ（図示せず）、及びプロセスカートリッジ２００の認証に使用される認証データを記憶する。

本実施例において、不揮発性メモリ４１５に記憶される認証データは、元鍵テーブル４１７、公開鍵（ｐｋ）２１８、第２鍵ＩＤ値（ｉ）４１９、及び鍵記憶テーブル２４０を含む。元鍵テーブル４１７は、Ｍ個（Ｍは２以上の整数）の元鍵Ｋ_ｉ－１，...，Ｋ_ｉ－Ｍからなる元鍵集合が格納されるテーブルである。元鍵Ｋ_ｉ－１，...，Ｋ_ｉ－Ｍは、２つの鍵ＩＤで各々が識別される元鍵を含む後述する元鍵マトリクスにおいて、第２鍵ＩＤが第２鍵ＩＤ値２１９に等しい元鍵である。第２鍵ＩＤ値４１９は、元鍵マトリクスの第２鍵ＩＤのレンジ［１，Ｎ］の中から予めランダムに選択される値ｉを示す。

制御回路４１３は、読出制御部２３１及び応答部４３２として機能する。応答部４３２は、認証チップ１１０から受信される制御コマンドに対して、チャレンジレスポンス型の認証のための応答を行う。応答部４３２の機能について、第１実施例に係る応答部２３２との相違点を中心に、後に詳しく説明する。

なお、本実施例においても、図８及び図９で制御回路とは別個に示した回路の各々は、独立した回路として実装される代わりに、制御回路により実行されるソフトウェアモジュールとして実装されてもよい。また、制御回路の機能として説明したモジュールの各々が制御回路とは別個の独立した回路として実装されてもよい。また、図示したメモリの各々は、実際には複数のメモリ回路の集合であってもよい。

＜３－３．認証データの生成とメモリへの格納＞
画像形成装置１００及びプロセスカートリッジ２００の製造者は、製造段階で上述した認証データを生成し、認証チップ１１０及び被認証チップ２１０のメモリに、それぞれ必要な部分を格納する。そうした製造段階の処理について説明する前に、本実施例における元鍵マトリクスと、認証チップ１１０の認証鍵テーブル３１８の認証鍵集合及び被認証チップ２１０の元鍵テーブル４１７の元鍵集合との間の関係について説明する。

図１０は、元鍵マトリクスからの元鍵テーブル及び認証鍵テーブルの生成について説明するための説明図である。図１０に示した元鍵マトリクス５００は、第１鍵ＩＤ及び第２鍵ＩＤで各々の元鍵が識別される、２次元的な元鍵の配列である。元鍵マトリクス５００の各元鍵は、第１鍵ＩＤのＭ個の候補値のうちの１つと、第２鍵ＩＤのＮ個の候補値のうちの１つとの組合せにより識別される。よって、元鍵マトリクス５００は、合計でＭ×Ｎ個の元鍵を含む。換言すると、元鍵マトリクス５００は、各々がＭ個の元鍵を含むＮ個の元鍵集合からなる。画像形成装置１００及びプロセスカートリッジ２００の製造段階で、Ｍ×Ｎ個の乱数値を生成することにより、このような元鍵マトリクス５００が準備される。そして、プロセスカートリッジ２００の被認証チップ２１０が製造される際に、当該チップのために選択された固有の第２鍵ＩＤ値ｉで識別されるＭ個の元鍵Ｋ_ｉ－１，...，Ｋ_ｉ－Ｍが元鍵マトリクス５００から抽出され、元鍵テーブル４１７に格納される。一方、画像形成装置１００の認証チップ１１０が製造される際には、当該チップのために選択された固有の第１鍵ＩＤ値ｊで識別されるＮ個の元鍵Ｋ_１－ｊ，...，Ｋ_Ｎ－ｊが元鍵マトリクス５００から抽出される。そして、第１鍵ＩＤ値ｊに関連する認証識別子Ｉ_ｊを用いて、Ｎ個の元鍵Ｋ_１－ｊ，...，Ｋ_Ｎ－ｊがそれぞれ認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊへ変換され、Ｎ個の認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊが認証鍵テーブル３１８に格納される。ここでの各元鍵の認証鍵への変換は、第１実施例に関連して上で説明した任意の手法（例えば、式（２）又は式（３））で行われてよい。

図１１は、認証チップ１１０の不揮発性メモリ３１５及び被認証チップ２１０の不揮発性メモリ４１５に格納されるデータを生成するためのデータ生成処理の流れの一例を示すフローチャートである。図１１のデータ生成処理は、画像形成装置１００及びプロセスカートリッジ２００とは異なる装置において実行されてよい。

図１１を参照すると、まず、データの生成に先立って、Ｓ１１で、公開鍵暗号のための公開鍵ｐｋ及び秘密鍵ｓｋのペアが準備される。ここで準備される鍵ペアは、例えば、画像形成装置の個体ごとに相違してもよく、又は正規の製造者が製造する複数の画像形成装置にわたって共通的であってもよい。

次いで、Ｓ１２で、Ｍ×Ｎの二次元配列である元鍵マトリクス５００が生成される。元鍵マトリクス５００の要素である元鍵Ｋ_１－１，...，Ｋ_Ｎ－Ｍの各々は、所定の長さを有する、互いに異なる乱数値であってよい。次いで、Ｓ１４で、１つの被認証チップ２１０のための第２鍵ＩＤ値ｉが、第２鍵ＩＤ値のレンジの中から選択される（ｉ∈１，...，Ｎ）。次いで、Ｓ１６で、第２鍵ＩＤが第２鍵ＩＤ値ｉに等しいＭ個の元鍵Ｋ_ｉ－１，...，Ｋ_ｉ－Ｍが元鍵マトリクス５００から抽出され、被認証チップ２１０の不揮発性メモリ４１５の元鍵テーブル４１７に格納される。また、Ｓ１８で、公開鍵ｐｋ及び第２鍵ＩＤ値ｉが不揮発性メモリ４１５に格納される。さらに、Ｓ１９で、被認証チップ２１０の不揮発性メモリ４１５内に、空の鍵記憶テーブル２４０が生成される。なお、複数のプロセスカートリッジが製造される場合には、上述したＳ１４～Ｓ１９が複数回反復され、各反復において選択される第２鍵ＩＤ値は互いに相違し得る。

次いで、Ｓ２１で、画像形成装置１００（又は認証チップ１１０）に固有の秘密値ｑが生成される。秘密値ｑは、所定の長さを有する乱数値であってよい。次いで、Ｓ２３で、１つの認証チップ１１０のための第１鍵ＩＤ値ｊが、第１鍵ＩＤ値のレンジの中から選択される（ｊ∈１，...，Ｍ）。次いで、Ｓ２５で、秘密値ｑ及び第１鍵ＩＤ値ｊに基づいて、認証識別子Ｉ_ｊが生成される。

次いで、Ｓ２８で、元鍵マトリクス５００のうちで第１鍵ＩＤが第１鍵ＩＤ値ｊに等しいＮ個の元鍵Ｋ_１－ｊ，...，Ｋ_Ｎ－ｊと、認証識別子Ｉ_ｊとに基づいて、Ｎ個の認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊが導出される。例えば、各認証鍵Ａ_ｊは、上述した式（２）のように一方向性の暗号学的ハッシュ関数を用いて生成されてもよく、又は上述した式（３）のように共通鍵暗号方式での暗号化処理を通じて生成されてもよい。

次いで、Ｓ２９で、上述した式（４）のように、秘密鍵ｓｋを用いて、認証識別子Ｉｊの電子署名値σｊが生成される。次いで、Ｓ３２で、認証識別子Ｉ_ｊ、Ｎ個の認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊ、及び電子署名値σ_ｊが認証チップ１１０の不揮発性メモリ３１５に格納される。なお、複数の画像形成装置が製造される場合には、上述したＳ２１～Ｓ３２が複数回反復され、各反復において選択される第１鍵ＩＤ値は互いに相違し得る。そして、図１１のデータ生成処理は終了する。

＜３－４．カートリッジの認証＞
図１２は、本実施例に係る認証処理の全体的な流れの一例を示すシーケンス図である。認証処理には、主に画像形成装置１００の認証チップ１１０及びプロセスカートリッジ２００の被認証チップ２１０が関与する。認証チップ１１０と被認証チップ２１０との間の通信経路にはエンジンコントローラ１０１の接続Ｉ／Ｆ１０３が介在するが、接続Ｉ／Ｆ１０３は図中では省略されている。

まず、Ｓ３１１で、被認証チップ２１０の応答部４３２は、認証チップ１１０からの要求に応じて、不揮発性メモリ４１５に予め記憶されている第２鍵ＩＤ値ｉを認証チップ１１０へ送信する。次いで、Ｓ３１１で、認証チップ１１０の認証部３３１は、認証チップ１１０に固有の認証識別子Ｉ_ｊを被認証チップ２１０へ送信する。また、Ｓ３１３で、認証部３３１は、電子署名値σ_ｊを被認証チップ２１０へ送信する。

また、Ｓ３１５で、認証部３３１は、乱数生成回路１２２に、チャレンジデータとしての乱数値Ｄ_Ｃを生成させる。Ｓ３１７で、認証部３３１は、乱数生成回路１２２により生成されたチャレンジデータＤ_Ｃを含む認証要求を被認証チップ２１０へ送信する。

次いで、Ｓ３１８で、認証部３３１は、認証鍵テーブル３１８に記憶されているＮ個の認証鍵Ａ_１－ｊ，...，Ａ_Ｎ－ｊのうち、被認証チップ２１０から受信した第２鍵ＩＤ値ｉにより識別される第１認証鍵Ａ_ｉ－ｊを選択する。次いで、Ｓ３１９で、認証部３３１は、被認証チップ２１０へ送信したチャレンジデータＤ_Ｃと、Ｓ３１８で選択した第１認証鍵Ａ_ｉ－ｊとに基づいて、検証用データＤ_Ｖを生成する。

Ｓ３２１で、被認証チップ２１０の応答部４３２は、署名検証回路２２２に、認証チップ１１０から受信した認証識別子Ｉ_ｊの真正性を電子署名値σ_ｊを用いて検証させる。ここでの署名検証は、上述した式（５）のように表現され得る。

Ｓ３２１で署名検証に失敗した場合、認証処理はＳ３２９へ進み、応答部４３２は、署名検証の失敗を示すエラーメッセージを認証チップ１１０へ送信する。この場合、読出制御部２３１が不揮発性メモリ４１５の元鍵テーブル４１７にアクセスすることなく、認証処理は終了する。一方、署名検証に成功した場合、認証処理はＳ３２３へ進む。

Ｓ３２３で、読出制御部２３１は、第１実施例と同様に、図７を用いて説明した認証鍵取得処理を実行する。その結果、元鍵テーブル４１７に記憶されているＭ個の元鍵Ｋ_ｉ－１，...，Ｋ_ｉ－Ｍのうちの第１元鍵Ｋ_ｉ－ｊに対応する第２認証鍵Ａ_ｉ－ｊが、新たに導出され又は（過去に導出済みである場合には）鍵記憶テーブル２４０から取得される。第２認証鍵Ａ_ｉ－ｊは、認証チップ１１０においてＳ３１８で選択される第１認証鍵Ａ_ｉ－ｊと同じ鍵である。

次いで、Ｓ３２５で、応答部４３２は、暗号処理回路２２１に、認証チップ１１０から受信したチャレンジデータＤ_Ｃと上述した第２認証鍵Ａ_ｉ－ｊとに基づいて、レスポンスデータを生成させる。例えば、レスポンスデータＤ_Ｒは、上述した式（６）又は式（７）に従って生成されてよい。そして、Ｓ３２７で、応答部４３２は、生成したレスポンスデータＤ_Ｒを認証チップ１１０へ返送する。

被認証チップ２１０からレスポンスデータＤ_Ｒを受信した認証チップ１１０の認証部３３１は、Ｓ３３１で、レスポンスデータＤ_Ｒが、Ｓ３１９で生成した検証用データＤ_Ｖに一致しているかを判定する。レスポンスデータＤ_Ｒが検証用データＤ_Ｖに一致している場合には、認証部３３１は、プロセスカートリッジ２００の認証は成功であると判定する。レスポンスデータＤ_Ｒが検証用データＤ_Ｖに一致していない場合には、認証部３３１は、プロセスカートリッジ２００の認証は不成功であると判定する。認証部３３１は、Ｓ３３１で判定した認証の結果を制御装置１０７へ報告する。

Ｓ３３３で、制御装置１０７は、認証チップ１１０から報告された認証の結果に応じて、プロセスカートリッジ２００の接続を受け入れ又は拒否する。ここで制御装置１０７により実行される認証成功時及び認証不成功時の処理は、図６のＳ１３３に関連して説明した処理と同様であってよい。

図６の認証処理と同様に、図１２の認証処理に含まれる処理ステップもまた、図示した順序とは異なる順序で行われてもよい。例えば、被認証チップ２１０から認証チップ１１０への第２鍵ＩＤ値ｉの送信と、認証チップ１１０から被認証チップ２１０への認証識別子Ｉ_ｊ及び電子署名値σ_ｊの送信は、どちらが先に行われてもよい。

本実施例においても、第１及び第２認証鍵の導出と、レスポンスデータの生成とは、同一のアルゴリズムに従って（例えば、同一の回路で）行われてもよく、又は別個のアルゴリズムに従って（例えば、別個の回路で）行われてもよい。

＜３－５．第２実施例のまとめ＞
上述した第２実施例では、被認証装置は、Ｎ×Ｍの元鍵マトリクスのうちで第２鍵ＩＤが当該被認証装置に固有の第２鍵ＩＤ値に等しいＭ個の元鍵からなる元鍵集合と、上記第２鍵ＩＤ値とを、メモリに予め記憶している。認証システムは、同じ元鍵マトリクスのうちで第１鍵ＩＤが当該認証システムに固有の第１鍵ＩＤ値に等しいＮ個の元鍵に基づいてそれぞれ導出された認証鍵集合と、上記第１鍵ＩＤに関連する認証識別子とを、メモリに予め記憶している。認証装置は、被認証装置から受信される上記第２鍵ＩＤ値により識別される第１認証鍵をメモリから読出す。被認証装置は、認証システムから受信される上記認証識別子に基づく上記第１鍵ＩＤ値により識別される第１元鍵をメモリから読出して、上記第１元鍵と上記認証識別子とに基づいて上記第１認証鍵と同じ第２認証鍵を導出する。それにより、認証システムと被認証装置との間で共通する認証鍵を秘密裏に共有して、チャレンジレスポンス型の認証を行うことができる。仮に攻撃者が被認証装置の被認証チップを攻撃して元鍵テーブルを解析することを試みようとしたとき、異なる被認証チップには元鍵マトリクスに由来する異なる元鍵集合が記憶されているため、複数の被認証チップを一貫性のある解析に利用することができない。それにより、攻撃者が被認証チップの解析を通じて認証を不正に通過することのできる非正規の被認証装置を製造することが、一層困難となる。

また、第２実施例においても、被認証装置は、認証システムから受信される電子署名値を用いた上記認証識別子の真正性の検証が成功した場合にのみ、上記認証識別子に基づいて導出される上記第１鍵ＩＤ値により識別される上記第１元鍵をメモリから読出す。したがって、真正性が担保されていない認証識別子が認証システムから受信されたとしても元鍵を読出すためのメモリアクセスは行われず、元鍵のデータがチップ上の配線を流れる回数が低減される。そのため、マイクロプロービング攻撃等の悪意ある攻撃に対する耐性が向上する。

また、第２実施例においても、被認証装置は、認証システムから受信される上記認証識別子に対応する上記第１元鍵をメモリから過去に読出したことがあると判定される場合には、過去に導出済みの上記第２認証鍵を鍵記憶テーブルから取得して使用する。したがって、同じ元鍵のデータがチップ上の配線を何度も流れることがないため、チップ上の配線を流れるデータの統計的な解析が困難となる。これにより、マイクロプロービング攻撃等の悪意ある攻撃に対する耐性は一層向上する。仮に鍵記憶テーブルに登録されている認証鍵が漏洩したとしても、その認証鍵は特定の認証システムについてのみ有効であり、且つ漏洩した認証鍵から元鍵を推測することは困難である。したがって、鍵記憶テーブルに対する攻撃は、被認証装置を模造しようとする不正な目的のためには有益でない。

第２実施例においても、電子署名値を用いた認証識別子の真正性の検証、及び鍵記憶テーブルに記憶される第２認証鍵の再利用のうちの一方が省略されてもよい。

＜４．その他の実施形態＞
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本明細書の開示は、少なくとも以下の被認証装置、認証システム及び認証方法を含む。
（項目１）
被認証装置であって、
異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶する記憶手段と、
前記被認証装置を認証する認証システムへ通信可能に接続される接続手段と、
前記接続手段を介する前記認証システムとの通信を制御する制御手段と、
を備え、
前記認証システムは、
当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
前記認証識別子の真正性の検証に使用される電子署名値、
を予め記憶し、
前記制御手段は、
前記認証システムから、前記認証識別子及び前記電子署名値を受信し、
受信した前記認証識別子の真正性を前記電子署名値を用いて検証し、
前記認証識別子の前記検証が成功した場合に、前記認証識別子に基づいて導出される前記第１鍵ＩＤ値により識別される前記第１元鍵を前記記憶手段から読出し、
読出した前記第１元鍵と前記認証識別子とに基づいて、前記第１認証鍵と同じ第２認証鍵を導出し、
前記認証システムから、チャレンジデータを受信し、
受信した前記チャレンジデータと導出した前記第２認証鍵とに基づいて、レスポンスデータを生成し、
生成した前記レスポンスデータを、前記認証システムへ送信する、
被認証装置。
（項目２）
前記被認証装置の前記認証は、前記認証システムにおいて、前記被認証装置から受信される前記レスポンスデータが、前記認証システムにおいて前記チャレンジデータと前記第１認証鍵とに基づいて生成される検証用データに一致した場合に、成功であると判定される、項目１に記載の被認証装置。
（項目３）
前記制御手段は、前記第１元鍵と前記認証識別子とを連結することにより生成した入力データを暗号学的ハッシュ関数へ入力することにより、前記第２認証鍵を導出する、項目１又は２に記載の被認証装置。
（項目４）
前記制御手段は、前記第１元鍵を共通鍵として用いて前記認証識別子を暗号化することにより、前記第２認証鍵を導出する、項目１又は２に記載の被認証装置。
（項目５）
前記第１鍵ＩＤ値は、前記認証識別子の一部に含まれ、
前記制御手段は、前記認証識別子から前記第１鍵ＩＤ値を抽出することにより、前記第１鍵ＩＤ値を導出する、
項目１～４のいずれか１項に記載の被認証装置。
（項目６）
前記認証システムは、前記第１認証鍵を含むＮ個（Ｎは２以上の整数）の認証鍵からなる認証鍵集合を予め記憶し、
前記認証鍵集合の前記Ｎ個の認証鍵は、
前記認証識別子と、
各々がＭ個の元鍵を含むＮ個の元鍵集合からなる元鍵マトリクスであって、各元鍵が第１鍵ＩＤのＭ個の候補値のうちの１つと第２鍵ＩＤのＮ個の候補値のうちの１つとの組合せにより識別される前記元鍵マトリクスにおいて、前記第１鍵ＩＤが前記第１鍵ＩＤ値に等しいＮ個の元鍵と、
に基づいてそれぞれ導出された認証鍵であり、
前記記憶手段に予め記憶されている前記元鍵集合の前記Ｍ個の元鍵は、前記元鍵マトリクスにおいて、前記第２鍵ＩＤが前記被認証装置に固有の第２鍵ＩＤ値に等しい元鍵であり、
前記第１元鍵は、前記元鍵マトリクスにおいて、前記第１鍵ＩＤ値及び前記第２鍵ＩＤ値の組合せにより識別される元鍵に等しく、
前記制御手段は、前記第２鍵ＩＤ値を前記認証システムへ送信して、前記認証システムに、前記レスポンスデータの検証のために前記第１元鍵に対応する前記第１認証鍵を前記認証鍵集合から選択させる、
項目１～５のいずれか１項に記載の被認証装置。
（項目７）
被認証装置を認証する認証システムであって、
前記被認証装置は、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶し、
前記認証システムは、
前記被認証装置へ通信可能に接続される接続手段と、
前記接続手段を介する前記被認証装置との通信を制御する制御手段と、
記憶手段であって、
前記認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
前記認証識別子の真正性の検証に使用される電子署名値、
を予め記憶する前記記憶手段と、
を備え、
前記制御手段は、
前記被認証装置へ、前記認証識別子及び前記電子署名値を送信して、前記被認証装置に、前記電子署名値を用いて前記認証識別子の真正性を検証させ、
チャレンジデータを生成して前記被認証装置へ送信し、
前記被認証装置において前記認証識別子の前記検証が成功したことに応じて、前記チャレンジデータと、前記認証識別子に関連する前記第１鍵ＩＤ値により識別される前記第１元鍵及び前記認証識別子に基づく第２認証鍵とを用いて生成されるレスポンスデータを、前記被認証装置から受信し、
前記チャレンジデータと前記第１認証鍵とに基づいて、検証用データを生成し、
受信した前記レスポンスデータを前記検証用データと比較することにより、前記被認証装置を認証する、
認証システム。
（項目８）
前記第１認証鍵は、前記第１元鍵と前記認証識別子とを連結することにより生成された入力データを暗号学的ハッシュ関数へ入力することにより予め導出された鍵である、項目７に記載の認証システム。
（項目９）
前記第１認証鍵は、前記第１元鍵を共通鍵として用いて前記認証識別子を暗号化することにより予め導出された鍵である、項目７に記載の認証システム。
（項目１０）
前記第１鍵ＩＤ値は、前記認証識別子の一部に含まれる、項目７～９のいずれか１項に記載の認証システム。
（項目１１）
前記記憶手段は、前記第１認証鍵を含むＮ個（Ｎは２以上の整数）の認証鍵からなる認証鍵集合を予め記憶し、
前記認証鍵集合の前記Ｎ個の認証鍵は、
前記認証識別子と、
各々がＭ個の元鍵を含むＮ個の元鍵集合からなる元鍵マトリクスであって、各元鍵が第１鍵ＩＤのＭ個の候補値のうちの１つと第２鍵ＩＤのＮ個の候補値のうちの１つとの組合せにより識別される前記元鍵マトリクスにおいて、前記第１鍵ＩＤが前記第１鍵ＩＤ値に等しいＮ個の元鍵と、
に基づいてそれぞれ導出された認証鍵であり、
前記被認証装置により予め記憶される前記元鍵集合の前記Ｍ個の元鍵は、前記元鍵マトリクスにおいて、前記第２鍵ＩＤが前記被認証装置に固有の第２鍵ＩＤ値に等しい元鍵であり、
前記第１元鍵は、前記元鍵マトリクスにおいて、前記第１鍵ＩＤ値及び前記第２鍵ＩＤ値の組合せにより識別される元鍵に等しく、
前記制御手段は、
前記第２鍵ＩＤ値を前記認証システムから受信し、
受信した前記第２鍵ＩＤ値を用いて、前記第１元鍵に対応する前記第１認証鍵を前記認証鍵集合から選択し、
前記レスポンスデータを、前記チャレンジデータと選択した前記第１認証鍵とに基づいて生成される前記検証用データと比較する、
項目７～１０のいずれか１項に記載の認証システム。
（項目１２）
認証システムへ通信可能に接続される被認証装置を認証するための認証方法であって、
前記被認証装置は、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶する記憶手段を備え、
前記認証システムは、
当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
前記認証識別子の真正性の検証に使用される電子署名値、
を予め記憶し、
前記認証方法は、
前記認証システムから前記被認証装置へ、前記認証識別子及び前記電子署名値を送信することと、
前記被認証装置において、前記認証識別子の真正性を前記電子署名値を用いて検証することと、
前記認証識別子の前記検証が成功した場合に、前記被認証装置において、前記認証識別子に基づいて導出される前記第１鍵ＩＤ値により識別される前記第１元鍵を前記記憶手段から読出すことと、
前記被認証装置において、読出した前記第１元鍵と前記認証識別子とに基づいて、前記第１認証鍵と同じ第２認証鍵を導出することと、
前記認証システムから前記被認証装置へ、チャレンジデータを送信することと、
前記被認証装置において、前記チャレンジデータと導出した前記第２認証鍵とに基づいて、レスポンスデータを生成することと、
前記被認証装置から前記認証システムへ、前記レスポンスデータを送信することと、
前記認証システムにおいて、前記チャレンジデータと前記第１認証鍵とに基づいて、検証用データを生成することと、
前記認証システムにおいて、前記被認証装置から受信した前記レスポンスデータを前記検証用データと比較することにより、前記被認証装置を認証することと、
を含む、認証方法。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１００：画像形成装置（認証システム）、１０１：エンジンコントローラ、１０３：接続Ｉ／Ｆ（接続手段）、１１０：認証チップ、１１３，３１３：制御回路（制御手段）、１１５，３１５：不揮発性メモリ（記憶手段）、１１７：認証識別子、１１８：第１認証鍵、１１９：電子署名値、３１８：認証鍵テーブル、２００：プロセスカートリッジ（被認証装置）、２１０：被認証チップ、２１２：接続Ｉ／Ｆ（接続手段）、２１３，４１３：制御回路（制御手段）、２１５，４１５：不揮発性メモリ（記憶手段）、２１７，４１７：元鍵テーブル（第１記憶手段）、２１８：公開鍵、２１９：第２鍵ＩＤ値、２４０：鍵記憶テーブル（第２記憶手段）、５００：元鍵マトリクス

Claims (12)

1. 被認証装置であって、
   異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶する記憶手段と、
   前記被認証装置を認証する認証システムへ通信可能に接続される接続手段と、
   前記接続手段を介する前記認証システムとの通信を制御する制御手段と、
   を備え、
   前記認証システムは、
   当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
   前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
   前記認証識別子の真正性の検証に使用される電子署名値、
   を予め記憶し、
   前記制御手段は、
   前記認証システムから、前記認証識別子及び前記電子署名値を受信し、
   受信した前記認証識別子の真正性を前記電子署名値を用いて検証し、
   前記認証識別子の前記検証が成功した場合に、前記認証識別子に基づいて導出される前記第１鍵ＩＤ値により識別される前記第１元鍵を前記記憶手段から読出し、
   読出した前記第１元鍵と前記認証識別子とに基づいて、前記第１認証鍵と同じ第２認証鍵を導出し、
   前記認証システムから、チャレンジデータを受信し、
   受信した前記チャレンジデータと導出した前記第２認証鍵とに基づいて、レスポンスデータを生成し、
   生成した前記レスポンスデータを、前記認証システムへ送信する、
   被認証装置。
2. 前記被認証装置の前記認証は、前記認証システムにおいて、前記被認証装置から受信される前記レスポンスデータが、前記認証システムにおいて前記チャレンジデータと前記第１認証鍵とに基づいて生成される検証用データに一致した場合に、成功であると判定される、請求項１に記載の被認証装置。
3. 前記制御手段は、前記第１元鍵と前記認証識別子とを連結することにより生成した入力データを暗号学的ハッシュ関数へ入力することにより、前記第２認証鍵を導出する、請求項１に記載の被認証装置。
4. 前記制御手段は、前記第１元鍵を共通鍵として用いて前記認証識別子を暗号化することにより、前記第２認証鍵を導出する、請求項１に記載の被認証装置。
5. 前記第１鍵ＩＤ値は、前記認証識別子の一部に含まれ、
   前記制御手段は、前記認証識別子から前記第１鍵ＩＤ値を抽出することにより、前記第１鍵ＩＤ値を導出する、
   請求項１に記載の被認証装置。
6. 前記認証システムは、前記第１認証鍵を含むＮ個（Ｎは２以上の整数）の認証鍵からなる認証鍵集合を予め記憶し、
   前記認証鍵集合の前記Ｎ個の認証鍵は、
   前記認証識別子と、
   各々がＭ個の元鍵を含むＮ個の元鍵集合からなる元鍵マトリクスであって、各元鍵が第１鍵ＩＤのＭ個の候補値のうちの１つと第２鍵ＩＤのＮ個の候補値のうちの１つとの組合せにより識別される前記元鍵マトリクスにおいて、前記第１鍵ＩＤが前記第１鍵ＩＤ値に等しいＮ個の元鍵と、
   に基づいてそれぞれ導出された認証鍵であり、
   前記記憶手段に予め記憶されている前記元鍵集合の前記Ｍ個の元鍵は、前記元鍵マトリクスにおいて、前記第２鍵ＩＤが前記被認証装置に固有の第２鍵ＩＤ値に等しい元鍵であり、
   前記第１元鍵は、前記元鍵マトリクスにおいて、前記第１鍵ＩＤ値及び前記第２鍵ＩＤ値の組合せにより識別される元鍵に等しく、
   前記制御手段は、前記第２鍵ＩＤ値を前記認証システムへ送信して、前記認証システムに、前記レスポンスデータの検証のために前記第１元鍵に対応する前記第１認証鍵を前記認証鍵集合から選択させる、
   請求項１～５のいずれか１項に記載の被認証装置。
7. 被認証装置を認証する認証システムであって、
   前記被認証装置は、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶し、
   前記認証システムは、
   前記被認証装置へ通信可能に接続される接続手段と、
   前記接続手段を介する前記被認証装置との通信を制御する制御手段と、
   記憶手段であって、
   前記認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
   前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
   前記認証識別子の真正性の検証に使用される電子署名値、
   を予め記憶する前記記憶手段と、
   を備え、
   前記制御手段は、
   前記被認証装置へ、前記認証識別子及び前記電子署名値を送信して、前記被認証装置に、前記電子署名値を用いて前記認証識別子の真正性を検証させ、
   チャレンジデータを生成して前記被認証装置へ送信し、
   前記被認証装置において前記認証識別子の前記検証が成功したことに応じて、前記チャレンジデータと、前記認証識別子に関連する前記第１鍵ＩＤ値により識別される前記第１元鍵及び前記認証識別子に基づく第２認証鍵とを用いて生成されるレスポンスデータを、前記被認証装置から受信し、
   前記チャレンジデータと前記第１認証鍵とに基づいて、検証用データを生成し、
   受信した前記レスポンスデータを前記検証用データと比較することにより、前記被認証装置を認証する、
   認証システム。
8. 前記第１認証鍵は、前記第１元鍵と前記認証識別子とを連結することにより生成された入力データを暗号学的ハッシュ関数へ入力することにより予め導出された鍵である、請求項７に記載の認証システム。
9. 前記第１認証鍵は、前記第１元鍵を共通鍵として用いて前記認証識別子を暗号化することにより予め導出された鍵である、請求項７に記載の認証システム。
10. 前記第１鍵ＩＤ値は、前記認証識別子の一部に含まれる、請求項７に記載の認証システム。
11. 前記記憶手段は、前記第１認証鍵を含むＮ個（Ｎは２以上の整数）の認証鍵からなる認証鍵集合を予め記憶し、
    前記認証鍵集合の前記Ｎ個の認証鍵は、
    前記認証識別子と、
    各々がＭ個の元鍵を含むＮ個の元鍵集合からなる元鍵マトリクスであって、各元鍵が第１鍵ＩＤのＭ個の候補値のうちの１つと第２鍵ＩＤのＮ個の候補値のうちの１つとの組合せにより識別される前記元鍵マトリクスにおいて、前記第１鍵ＩＤが前記第１鍵ＩＤ値に等しいＮ個の元鍵と、
    に基づいてそれぞれ導出された認証鍵であり、
    前記被認証装置により予め記憶される前記元鍵集合の前記Ｍ個の元鍵は、前記元鍵マトリクスにおいて、前記第２鍵ＩＤが前記被認証装置に固有の第２鍵ＩＤ値に等しい元鍵であり、
    前記第１元鍵は、前記元鍵マトリクスにおいて、前記第１鍵ＩＤ値及び前記第２鍵ＩＤ値の組合せにより識別される元鍵に等しく、
    前記制御手段は、
    前記第２鍵ＩＤ値を前記認証システムから受信し、
    受信した前記第２鍵ＩＤ値を用いて、前記第１元鍵に対応する前記第１認証鍵を前記認証鍵集合から選択し、
    前記レスポンスデータを、前記チャレンジデータと選択した前記第１認証鍵とに基づいて生成される前記検証用データと比較する、
    請求項７～１０のいずれか１項に記載の認証システム。
12. 認証システムへ通信可能に接続される被認証装置を認証するための認証方法であって、
    前記被認証装置は、異なる鍵識別子（鍵ＩＤ）の値によりそれぞれ識別されるＭ個（Ｍは２以上の整数）の元鍵からなる元鍵集合を予め記憶する記憶手段を備え、
    前記認証システムは、
    当該認証システムに固有の認証識別子であって前記Ｍ個の元鍵のうちの第１元鍵を識別する第１鍵ＩＤ値に関連する前記認証識別子、
    前記認証識別子及び前記第１元鍵に基づいて導出された第１認証鍵、並びに
    前記認証識別子の真正性の検証に使用される電子署名値、
    を予め記憶し、
    前記認証方法は、
    前記認証システムから前記被認証装置へ、前記認証識別子及び前記電子署名値を送信することと、
    前記被認証装置において、前記認証識別子の真正性を前記電子署名値を用いて検証することと、
    前記認証識別子の前記検証が成功した場合に、前記被認証装置において、前記認証識別子に基づいて導出される前記第１鍵ＩＤ値により識別される前記第１元鍵を前記記憶手段から読出すことと、
    前記被認証装置において、読出した前記第１元鍵と前記認証識別子とに基づいて、前記第１認証鍵と同じ第２認証鍵を導出することと、
    前記認証システムから前記被認証装置へ、チャレンジデータを送信することと、
    前記被認証装置において、前記チャレンジデータと導出した前記第２認証鍵とに基づいて、レスポンスデータを生成することと、
    前記被認証装置から前記認証システムへ、前記レスポンスデータを送信することと、
    前記認証システムにおいて、前記チャレンジデータと前記第１認証鍵とに基づいて、検証用データを生成することと、
    前記認証システムにおいて、前記被認証装置から受信した前記レスポンスデータを前記検証用データと比較することにより、前記被認証装置を認証することと、
    を含む、認証方法。

Images