JP2024503701A - 暗号鍵の保護 - Google Patents

暗号鍵の保護 Download PDF

Info

Publication number
JP2024503701A
JP2024503701A JP2023543052A JP2023543052A JP2024503701A JP 2024503701 A JP2024503701 A JP 2024503701A JP 2023543052 A JP2023543052 A JP 2023543052A JP 2023543052 A JP2023543052 A JP 2023543052A JP 2024503701 A JP2024503701 A JP 2024503701A
Authority
JP
Japan
Prior art keywords
security device
psk
key
digital signature
input
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2023543052A
Other languages
English (en)
Inventor
シルヴィオ ミカリ，
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Publication of JP2024503701A publication Critical patent/JP2024503701A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/73—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information by creating or determining hardware identification, e.g. serial numbers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/86—Secure or tamper-resistant housings
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/588—Random number generators, i.e. based on natural stochastic processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3278—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response using physically unclonable functions [PUF]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Mathematical Physics (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

セキュリティデバイスは、入力信号に応答して、カバーデバイスの微細構造に応じて変化する同一のランダムに出力信号を一貫性をもって提供し、前記カバーデバイスの微細構造が変化すると前記ランダム出力信号が変化するカバーデバイスと、前記ランダム出力信号に基づいて秘密鍵を生成する鍵生成コンポーネントと、前記秘密鍵を使用して前記セキュリティデバイスによって受信されたメッセージのデジタル署名を作製するデジタル署名コンポーネントと、を含む。前記カバーデバイスが、前記鍵生成コンポーネント及び前記デジタル署名コンポーネントの少なくとも一部を取り囲んで、それらへのアクセスを防止し、前記コンポーネントのいずれかにアクセスすると、前記カバーデバイスの微細構造が変化し、前記ランダム出力信号が変化する。前記セキュリティデバイスはオブジェクトに取り付けられていてもよく、前記セキュリティデバイスを前記オブジェクトから取り外すと、前記カバーデバイスの微細構造が変化してもよい。

Description

本出願は、偽造防止の技術分野に関し、特に、暗号鍵の不適切な開示を防止するための暗号鍵を保護する技術分野に関する。
発明の背景：
デジタルの世界では、多くの場合、セキュリティは一部の鍵の機密性の維持に依存している。例えば、デジタル署名スキームは、鍵生成器Ｇ、署名アルゴリズムＳ、及び検証アルゴリズムＶの３つの高速アルゴリズムで構成されている。入力としてランダムなストリングｒが与えられると、ユーザｘは、Ｇを使用して「公開」鍵ＰＫｘと「秘密」署名鍵ＳＫｘとのペアの鍵（すなわち、ストリング）を作製する。公開鍵は、対応する秘密鍵を「漏らす」ことはしない。すなわち、ＰＫｘの知識が与えられても、ｘのほかに、天文学的な時間よりも短い時間内にＳＫｘを計算できるものはいない。ユーザｘは、ＳＫｘを使用してメッセージにデジタル署名する。可能な限りメッセージ（バイナリー・ストリング）ｍのそれぞれについて、ｍに対するｘによるデジタル署名であるストリングＳＩＧｘ（ｍ）を作製するため、ｘは入力ｍ及びＳＫｘに対してアルゴリズムＳを実行する。
場合によっては、ｍはＳＩＧｘ（ｍ）から取り出すことができる場合がある。ＳＩＧｘ（ｍ）からｍを取り出すことができないときは、メッセージｍに対するパーティーｘによるデジタル署名を定義し直して前記ペア（ｍ，ＳＩＧｘ（ｍ））を構成することができる。ＰＫｘを知っていれば、そのＰＫｘを使って、ｘが作製した署名を検証することができる。特に、（ａ）ユーザｘの公開鍵ＰＫｘ、（ｂ）メッセージｍ、及び（ｃ）メッセージｍに対するｘの真偽不確定のデジタル署名ｓ、の入力に対して、検証アルゴリズムＶは、次の特性を満たすようにＹＥＳ又はＮＯのいずれかを出力する。
１．真正の署名は常に検証される：ｓ＝ＳＩＧｘ（ｍ）のときであれば、Ｖ（ＰＫｘ，ｍ，ｓ）＝ＹＥＳ；
２．デジタル署名を偽造することはかなり難しい：ＳＫｘの知識がなく、ｘがｍに署名していない場合、Ｖ（ＰＫｘ，ｍ，ｓ）＝ＹＥＳのようにストリングｓを見つけ出すには天文学的な長さの時間を要する。
他人のだれかが本人に代わってメッセージに署名することを防止するには、ユーザｘは、ｘ自身が署名した鍵ＳＫｘを秘密のままにしておく必要があり（それゆえの用語「秘密鍵」）、そして、ｘ自身が署名したメッセージを誰でも検証できるようにするために、ｘは自身の検証鍵ＰＫｘを公にしておく必要がある（それゆえの用語「公開鍵」）。言うまでもなく、適切に設計されたデジタル署名スキームでは、公開鍵ＰＫｘは、対応する秘密鍵ＳＫｘを漏らさないだけでなく、両方の鍵を作製するために鍵生成器Ｇによって使用されるランダム入力ｒも漏らさない。それ以外の場合は、ｒを検出した後、誰でも入力ｒに対して鍵生成アルゴリズムを再度実行して、ＳＫｘとＰＫｘを出力して学習することができる。
多くの状況において、鍵ＳＫの機密性は、潜在的な敵対者から離れた所有者（例えば、自宅）の管理下にある署名計算ハードウェアデバイス（例えば、コンピュータチップ）にＳＫを格納することによって提供されてもよい。ただし、署名計算ハードウェアデバイスを安全な環境に保管できない場合もある。例えば、場合によっては、署名計算ハードウェアデバイスが、全国に輸送される製品に取り付けられていることがある。従って、署名計算ハードウェアデバイスが、署名計算ハードウェアデバイスに含まれる秘密鍵ＳＫを読み取ろうとする悪意のあるユーザの手に渡る可能性がある。
この問題に対処する１つの方法は、いわゆる「改ざん防止チップ」にＳＫを保存することである。しかしながら、ほとんどの改ざん防止チップは完全に改ざん防止性があるわけではなく、単に改ざん耐性があるだけである。改ざん防止チップは、プロセス中にＳＫを破壊することなく、侵入者が内部に保存されている秘密鍵にアクセスすることを防ぐ外層で囲まれていてもよい。実際には、このような層は確実ではなく、ＳＫの読み取りコストが高くなるだけである。適切な装置を使用すると、悪意のあるユーザがプローブを挿入し、ＳＫを破壊せずにＳＫを読み取る可能性がある。
従って、悪意のあるユーザ又は他の権限のないエンティティによって秘密鍵が特定されることを防ぐメカニズムを提供することが望ましい。
発明の概要：
本書に記載されたシステムによれば、セキュリティデバイスは、入力信号に応答して、カバーデバイスの微細構造に応じて変化する同一のランダム出力信号を一貫性をもって提供し、前記カバーデバイスの微細構造が変化すると前記ランダム出力信号が変化するカバーデバイスと、前記ランダム出力信号に基づいて秘密鍵を生成する鍵生成コンポーネントと、前記秘密鍵を使用して前記セキュリティデバイスによって受信されたメッセージのデジタル署名を作製し、前記カバーデバイスが、前記鍵生成コンポーネント及び前記デジタル署名コンポーネントの少なくとも一部を取り囲んで、それらへのアクセスを防止し、前記コンポーネントのいずれかにアクセスすると、前記カバーデバイスの微細構造が変化し、前記ランダム出力信号が変化するデジタル署名コンポーネントと、を含む。前記セキュリティデバイスは、前記セキュリティデバイスの通常の使用下で前記カバーデバイスの微細構造が変化するのを防ぐために、前記セキュリティデバイスの１つ又は複数の外面上に配置された保護層を更に含んでもよい。前記保護層は、前記セキュリティデバイスをオブジェクトに取り付けるために使用してもよく、前記セキュリティデバイスを前記オブジェクトから取り外すと、前記カバーデバイスの微細構造が変化する。前記セキュリティデバイスはオブジェクトに取り付けられてもよく、前記セキュリティデバイスを前記オブジェクトから取り外すと、前記カバーデバイスの微細構造が変化してもよい。エンティティは、前記カバーデバイスへの入力信号、及び／又は、前記オブジェクトに関する情報を指定する追加情報とともに、前記秘密鍵に対応する公開鍵にデジタル署名してもよい。前記オブジェクトは、紙幣、消費者アイテム、製造されたコンポーネント、医薬品、栄養製品、及び／又は、内容物が入ったパケットであってもよい。追加のセキュリティデバイスが前記オブジェクトに取り付けられていてもよい。エンティティは、何らかの情報とともに前記秘密鍵に対応する公開鍵にデジタル署名してもよく、前記エンティティのデジタル署名と前記セキュリティデバイスは所定の金銭的価値を構成してもよい。前記秘密鍵は、前記メッセージに署名するのに十分な期間だけ存在してもよい。前記入力信号はエンティティによって認証されてもよい。前記セキュリティデバイスは、前記セキュリティデバイスの周囲に配置されたファラデーケージを含んでもよい。前記鍵生成コンポーネントは、前記秘密鍵に対応する公開鍵を生成してもよい。前記セキュリティデバイスは前記公開鍵を出力してもよい。前記入力信号は、前記セキュリティデバイスに格納されている複数のチャレンジ値のうちの１つであってもよい。前記入力信号の１つは、前記セキュリティデバイスの内部カウンタに従って選択されてもよい。前記セキュリティデバイスは、前記カバーデバイスと前記鍵生成コンポーネントとの間に配置された変換コンポーネントを含んでもよい。前記変換コンポーネントは、暗号化ハッシュ関数又は恒等関数を使用して、前記乱数値信号を変換してもよい。前記セキュリティデバイスは、メッセージにデジタル署名するときに無関係な計算を実行してもよい。
更に本書に記載されたシステムによれば、メッセージへのデジタル署名には、入力信号に応答して、カバーデバイスの微細構造に応じて変化する同一のランダム出力信号を一貫性をもって提供し、前記カバーデバイスの微細構造が変化すると前記ランダム出力信号が変化するカバーデバイスを有するセキュリティデバイスと、前記ランダム出力信号に基づいて秘密鍵を生成する鍵生成コンポーネントも有する前記セキュリティデバイスと、前記秘密鍵を使用して前記セキュリティデバイスによって受信されたメッセージのデジタル署名を作製し、前記カバーデバイスが、前記鍵生成コンポーネント及び前記デジタル署名コンポーネントの少なくとも一部を取り囲んで、それらへのアクセスを防止し、前記コンポーネントのいずれかにアクセスすると、前記カバーデバイスの微細構造が変化し、前記ランダム出力信号が変化するデジタル署名コンポーネントとに前記メッセージを提供することと、チャレンジ値を前記セキュリティデバイスに提供することと、前記セキュリティデバイスからデジタル署名を取得することと、を含む。
本書に記載されたシステムは、例えば、米国特許第１０，６０７，２３４号や米国特許第１０，８０３，３７４号で教示されているＰＵＶやＰＵＦのユーザに対して改良したものである。なぜなら、これらの特許はどちらも、悪意のあるユーザやその他の権限のないエンティティによって秘密鍵が特定されることを防ぐ方法を教示していないからである。例えば、米国特許第１０，８０３，３７４号の図１０に示されているものと同様に、秘密鍵を含むハードウェアの一部の周りにＰＵＶを単純に巻き付けるだけでは、秘密鍵をＰＵＶに安全に結び付けるものは何もないため、悪意のあるユーザは単にＰＵＶを削除するだけで、たとえそれによってＰＵＶの入出力動作が劇的に変化したとしても、秘密鍵にアクセスするおそれがある。これに対処する１つの方法は、固定入力ＣをＰＵＶに提供し、秘密鍵を使用してメッセージとともにＰＵＶの出力Ｄ（Ｃ）に署名し、ＳＩＧｘ（Ｍ，Ｄ（Ｃ））を作製することである。このようにして、ＰＵＶは秘密鍵によって作製された署名に関連付けられる。しかし、悪意のあるユーザがＰＵＶを破壊して秘密鍵を学習することができる可能性があるため、これも失敗する。入力Ｃは署名されるすべてのメッセージで同じであるため、以前の署名からＤ（Ｃ）を学習した後、悪意のあるユーザは、学習した秘密鍵を使用して署名ＳＩＧｘ（Ｍ´，Ｄ（Ｃ））を計算するだけで、任意のメッセージＭ´にデジタル署名できる。この問題は、Ｃを定数ではなく予測不可能な数にすることで解決できる可能性がある。例えば、ＣはメッセージＭの一方向ハッシュ、すなわちＨ（Ｍ）であるため、ＰＵＶの出力はＤ（Ｈ（Ｍ））となり、署名はＳＩＧｘ（Ｍ，Ｄ（Ｈ（Ｍ）））になる。ただし、このアプローチの問題は、ユーザには、Ｄ（Ｈ（Ｍ））と、例えば乱数を区別する方法がないことである。従って、悪意のあるユーザは、秘密を学習するために最初にＤを破壊し、次に、鍵秘密鍵を使用して署名アルゴリズムＳを新しいＰＵＶでラップし、破壊された本物のデバイスと全く同じように見えるが、異なる出力Ｄ´（Ｃ）を提供するデバイスを取得する。新しいメッセージＭ＊が入力されると、新しいデバイスはデジタル署名ＳＩＧｘ（Ｍ＊，Ｈ（Ｄ´（Ｍ＊））を作製するが、Ｄ´（Ｍ＊）が間違った値であることを検出する方法がないため（すなわち、Ｄ（Ｍ＊）であるはず）、Ｈ（Ｄ´（Ｍ＊）が間違った値であり、Ｈ（Ｄ（Ｍ＊）であるべきであることを検出する方法はない。
本書に記載されたシステムの実施形態は、以下に簡単に説明された図面の図に従って、より詳細に説明される。
図１は、本書に記載されたシステムの一実施形態に係るアービター回路の概略図である。
図２は、本書に記載されたシステムの一実施形態に係る物理的にクローンを作製できない値（ＰＵＶ）を提供するデバイスを示す概略図である。
図３Ａは、本書に記載されたシステムの一実施形態に係る物理的にクローンを作製できない関数（ＰＵＦ）を提供するデバイスの二次元図式化を示す概略図である。
図３Ｂは、本書に記載されたシステムの一実施形態に係る物理的にクローンを作製できない関数（ＰＵＦ）を提供するデバイスの二次元図式化を示す概略図である。
図４は、本書に記載されたシステムの一実施形態に係る保護されたアービター回路によって実装されるＷｅａｋ ＰＵＶの概略図である。
図５Ａは、本書に記載されたシステムの一実施形態に係る、点線で示される保護層を有するＷｅａｋ ＰＵＶの概略図である。
図５Ｂは、本書に記載されたシステムの一実施形態に係る、点線で示される保護層を有するＷｅａｋ ＰＵＶの概略図である。
図６Ａは、本書に記載されたシステムの一実施形態に係る、Ｗｅａｋ ＰＵＶ入出力機能を提供するカバーで構築された物理的セキュアキー（ＰＳＫ）デバイスを示す概略図である。
図６Ｂは、本書に記載されたシステムの一実施形態に係る、Ｗｅａｋ ＰＵＶ入出力機能を提供するカバーで構築された物理的セキュアキー（ＰＳＫ）デバイスを示す概略図である。
図７は、本書に記載されたシステムの一実施形態に係る、２つの保護層の間にファラデーケージを備えたＰＳＫデバイスを示す概略図である。
図８は、本書に記載されたシステムの一実施形態に係る、ＰＳＫデバイス及びその上に印刷された英数字列を有する紙幣を示している。
図９は、本書に記載されたシステムの一実施形態に係る、ＰＳＫデバイス及びＱＲコードを備えたワインボトルを示している。
図１０は、本書に記載されたシステムの一実施形態に係る、ＰＳＫデバイス及びＱＲコードを備えた医薬品を収容するボトルを示している。
図１１は、本書に記載されたシステムの一実施形態に係る、ＰＳＫデバイス及びＱＲコードを備えた密封パッケージを示している。
図１２は、本書に記載されたシステムの一実施形態に係る、ＰＳＫデバイスが取り付けられた高価な消費者アイテムを示している。
様々な実施形態の詳細な説明：
本書に記載のシステムは、入力信号に応答して、カバーデバイスの微細構造に従って変化する同一の乱数値信号を一貫性をもって提供するカバーデバイスを使用する。カバーデバイスは、デジタルメッセージに署名するシステムのコンポーネントを取り囲むため、コンポーネントのいずれかに不正にアクセスするとカバーデバイスの微細構造が変化し、最終的には許可された秘密鍵の生成が妨げられ、許可された秘密鍵を使用してメッセージに署名することを防止する。
アービター回路：
図１は、いくつかのマルチプレクサ１０２及びラッチ１０４を含むアービター回路１００を示している。回路１００は、各入力Ｘに対して同じレイアウト長を有する２つの異なる遅延パスを生成し、どちらのパスが速いかに基づいて出力Ｄ（Ｘ）を作製する。出力Ｄ（Ｘ）は単一ビットでもよいが、Ｄ（Ｘ）が十分に長いストリングになるようにアービター回路を増強してもよい。ラッチ１０４の分解能は、回路（微細構造）が変更されない限り、同じ入力Ｘが与えられた場合に同じ出力Ｄ（Ｘ）が得られることを保証するのに十分に細かいものとしてもよい（実行環境は大きく変わらない）。実際、回路１００の出力は、回路１００の微細構造に依存する可能性があるため、所与の出力Ｘごとに、Ｄ（Ｘ）は乱数値であり、回路の最小の変更でさえ、Ｄ（Ｘ）は異なる（実際にはランダム）出力になる。実際、同じレイアウトを持つ２つのアービター回路の同じ入力上の出力は、アービター回路の微細構造が異なるため、大きく異なってもよい。
アービター回路は個々の入力ごとにユニークな乱数値を一貫性をもって出力するが、アービター回路の入出力関数Ｄ（Ｘ）はランダム関数ではない。実際、Ｄ（Ｘ）は十分な数の入出力ペアが与えられた場合に推論できるが、ランダム関数の場合は当てはまらない。個別にランダムであるが容易に推論できる関数の極端な例として、そのように定義された関数ｆを考える。ｒをランダムな整数とし、任意のｘに対してｆ（０）＝ｒ及びｆ（ｘ）＝ｒ＋ｘを設定する。すると、与えられた入力に対して、ｆはランダムな出力を作製する。しかしながら、単一の入出力ペア（ｉ，ｆ（ｉ））が与えられると、任意の入力ｘにおけるｆの値を容易に計算することができる。実際、ｆ（ｘ）＝ｆ（ｉ）－ｉ＋ｘとなる。
ＰＵＶｓ：
米国特許第１０，６０７，２３４Ｂ２号（以下、「'２３４特許」という）は、参照により本明細書に組み込まれるが、ＰＵＶを構築及び使用する方法を示している。文字通り、ＰＵＶは、デバイスのペアをＹＥＳとＮＯにマッピングする関連検証アルゴリズムＡを備えた物理デバイスである。本質的に、回路ＤがＰＵＶであるとすると、
１．個々のランダム性。回路Ｄは、選択された単一の入力に応答して一貫性をもって単一の乱数値を作製するものであり、
２．クローン作製不可能性。次のような２つのデバイスＤ１とＤ２を作製するのは困難である。
（ａ）Ａ（Ｄ１）＝Ａ（Ｄ２）＝ＹＥＳであって、
（ｂ）Ｄ１とＤ２は、選択された同一の入力ｃに対して同一の値を作製する。
例えば、物理的にクローンを作製できない値（ＰＵＶ）Ｄ２００を提供するデバイスを示す概略図である図２を参照されたい。
'２３４特許は、アービター回路などの電気回路の微細構造を適切に利用してＰＵＶを構築する方法も示している。この例では、検証アルゴリズムＡは基本的に、２つのデバイスが実際に同じレイアウトのアービター回路で構成されていることを検証する。
ＰＵＦｓ：
米国特許第１０，８０３，３７４Ｂ２号（以下、「'３７４特許」という）は、参照により本明細書に組み込まれるが、物理的にクローン作製不可能な関数（ＰＵＦ）の構築及び使用を教示している。基本的に、ＰＵＦはデバイスＲであり、その入出力関数は実際にはランダム関数である。入力ｘに対する出力Ｒ（ｘ）はランダムであるだけでなく、ｘとは異なる入力ｘｌ，．．．，ｘｎに対する出力Ｒ（ｘｌ），．．．，Ｒ（ｘｎ）が与えられると予測できない。
'３７４特許は、（ａ）暗号ハッシュＨ用の回路をカバーするＰＵＶ Ｄを含み、（ｂ）入力ｘでＨ（Ｄ（ｘ））を出力するデバイスＲを構築することによってＰＵＦを構築することを教示している。このようなデバイスＲは、保護層で覆われていてもよい。
例えば、ＰＵＦ３００、３００´の異なる二次元図式を説明する図３Ａ及び図３Ｂを参照されたい。
１ ＰＳＫデバイス
本書に記載されたシステムは、たとえ対応するＰＳＫデバイスがあらゆる種類の物理的攻撃にさらされたとしても、暗号化スキームの秘密鍵ＳＫの機密性を維持することを可能にする物理的セキュアキー（ＰＳＫ）デバイスを提供する。場合によっては、ＰＳＫデバイスは、'２３４特許及び'３７４特許（前述）に記載されているものよりもはるかに単純なデバイスから構成されてもよいが、その方法は大きく異なる。
１．１ Ｗｅａｋ ＰＵＶｓ
Ｗｅａｋ ＰＵＶは、次の２つのプロパティを満たす物理デバイスＤである。
１．個々のランダム性。任意の単一の入力Ｃに対して、Ｄは一貫性をもってユニークな乱数値出力Ｄ（Ｃ）を生成する。
２．ブラインドクローン作製不可能性。Ｄによって生成された入出力ペアがなければ、Ｄ（Ｃ）＝Ｄ′（Ｃ）となるような別のデバイスＤ′と入力Ｃを見つけるのは困難である。
Ｗｅａｋ ＰＵＶのブラインドクローン作製不可能性プロパティでは、検証アルゴリズムＡを使用する必要がないことに留意されたい。これは、Ｄの出力を確認する前に、Ｄの複製が困難でなければならないためである。以下で説明するように、そのような要件がないことは非常に有益である。
図４を参照すると、Ｗｅａｋ ＰＵＶは、保護されたアービター回路４００によって実装されるように示されている。保護されたアービター回路４００は、アービター回路４００が通常の使用による消耗によってアービター回路４００の微細構造が変化するのを防ぐ保護層４０２によって囲まれていることを除いて、上述のアービター回路１００と同様である。保護層４０２は不透明であってもよい。
プロパティ１は、図１のアービター回路１００のような通常の（保護されていない）アービター回路に対してすでに成立しているので、上述のＷｅａｋ ＰＵＶのプロパティ１が成立することに留意されたい。プロパティ２に関しては、アービター回路４０２が任意の入力に対して作製する出力はランダムであり、アービター回路４０２によって生成される入出力ペアが与えられないため、Ｄ′（ｃ）＝Ｄ（ｃ）を保証して、最初の保護されたアービター回路Ｄ、２番目の保護されたアービター回路Ｄ′、及び入力ｃを見つけることは基本的に不可能である。Ｄと同じ回路レイアウトを持つ別のアービター回路Ｄ′（保護されているかどうかに関係なく）を製造することが可能である。実際、そのようなＤ′は、Ｄに任意の入力ｃを与え、対応する出力Ｄ（ｃ）を観察しなくても製造することができる。しかしながら、Ｄ′の微細構造は必然的にＤの微細構造とは異なり、その結果、入出力関数Ｄ′（Ｘ）はＤの関数とは全く異なるものとなる。従って、どの入力ｃについても、Ｄ（ｃ）＝Ｄ′（ｃ）となることは統計的に不可能である。
図５Ａ及び図５Ｂは、点線で示される保護層を有するＷｅａｋ ＰＵＶの概略図である。保護層は、例えば、塗布後に硬化し非導電性となる特殊な接着剤によって実現できる。アービター回路に保護層を塗布すると、アービター回路の微細構造が変化する可能性があることに留意されたい。しかしながら、保護されたアービター回路の入出力機能は、保護層の塗布後に生じる入出力機能であるとみなされるため、これは問題にならない。アービター回路の保護層は、アービター回路の輪郭に沿ってもよいし、アービター回路の外面の周囲にのみ塗布されてもよい。保護されたアービター回路はＷｅａｋ ＰＵＶの一例にすぎず、Ｗｅａｋ ＰＵＶｓを保護することは必須ではないことに留意されたい。本書に記載のシステムは、保護されているＷｅａｋ ＰＵＶｓと保護されていないＷｅａｋ ＰＵＶｓに適用される。
ＰＵＶｓとＷｅａｋ ＰＵＶｓの比較：
個々のランダム性プロパティはＰＵＶｓとＷｅａｋ ＰＵＶｓで同じであるが、ＰＵＶｓのクローン作製不可能性プロパティは、Ｗｅａｋ ＰＵＶｓが享受するブラインドクローン作製不可能性よりもはるかに強いことに留意されたい。これについては、以下で詳しく説明する。
ＰＵＶｓの場合、クローン作製不可能性プロパティでは、（ａ）指定された検証アルゴリズムＡに対してＡ（Ｄ１，Ｄ２）＝ＹＥＳ、及び（ｂ）Ｄ１（ｃ）＝Ｄ２（ｃ）となるような２つのデバイスＤ１及びＤ２と入力ｃを考え出すことが困難でなければならない。クローン作製不可能性の要件は非常に強力である。特に、クローン作製不可能性プロパティは、Ｄ１を作成し、Ｄ１をしばらく使用し、その後Ｄ２を作成し、Ｄ１とＤ２の両方が同じ出力を作製する入力ｃを見つける悪意のあるユーザの場合にも当てはまる。これは、本書の他の箇所でより詳細に記載された検証アルゴリズムＡの重要な役割を強調している。
アービター回路ベースのＰＵＶｓの例について考える。アービター回路Ｄ１の入出力関数Ｄ１（ｘ）が容易に推測できることを思い出して下さい。従って、Ｄ１に十分な数の入力を供給し、対応するＤ１の出力を観察した後、悪意のあるユーザは、Ｄ１と同一の入出力関数を持つデバイスＤ′を構築する可能性がある。すなわち、すべてのｘに対してＤ′（ｘ）＝Ｄ１（ｘ）となる。しかしながら、必然的に、そのように構成されたデバイスＤ′は、同じレイアウトのＤ１を有するアービター回路ではない。従って、適切な検証アルゴリズムＡは、このようなデバイスのペア（Ｄ１，Ｄ′）を簡単に拒否する。すなわち、Ａ（Ｄ１，Ｄ′）＝ＮＯとなる。
ただし、検証アルゴリズムＡは、次のより洗練されたシナリオを処理できる必要があることに留意されたい。すなわち、悪意のあるユーザは次のようなことを行う。
（１）アービター回路Ｄ１を取得して実験し、Ｄ１（ｘ）の入出力関数を推測する。
（２）Ｄ′（ｘ）＝Ｄ１（ｘ）となるような（非アービター）デバイスＤ′を製造する。これは、目立ちにくいように、可能な限り小型化されている。
（３）Ｄ１と同じレイアウトＬでアービター回路Ｄ２を構築する（Ｄ２の微細構造はＤ１の微細構造とは必然的に異なるため、Ｄ２（ｘ）はＤ１（ｘ）とは必然的に異なることに留意されたい）。
（４）Ｄ２がどの入力に対しても出力を作製しないように、Ｄ２の配線をいくつか切断する。
（５）機能する小型デバイスＤ′を機能不全のデバイスＤ２に隠してデバイスＤ＊を構築し、Ｄ＊の入出力関数がＤの入出力関数になるようにする。
クローン作製不可能性プロパティを保持するには、検証アルゴリズムがこのデバイスのペア（Ｄ１，Ｄ＊）も拒否する必要がある。'２３４特許の一実施形態では、アルゴリズムＡは、２つのデバイスＤ１及びＤ２が本当に同じレイアウトの２つのアービター回路から構成されているかどうかを検証する。すなわち、Ｄ１とＤ２が一般的に同じレイアウトＬを持つことを検証するだけでは十分ではないが、まさにこのレイアウトＬがそれらの入出力関数を引き起こすことを検証する（特に、ＡはＬに切断がないことを確認する必要がある）。実際、後者の検証のみが、Ａが特定のペア（Ｄ１，Ｄ＊）を拒否できるようになる。これにより、'２３４特許の（通常の）ＰＵＶのアービター回路の実装にいくつかの重大な制約が課せられる。
検証アルゴリズムＡがアービター回路Ｄ１のレイアウトＬを検査（及び比較）し、Ｄ１が実際にＬを使用してＤ１の入出力関数を実装していることを確認できるようにするには、Ｌを公にしておく必要があることに留意されたい。Ｌがわずかに変更されただけで、Ｄ１が全く異なる予測不可能な方法で動作するため、公にすることにより、このようなアービター回路は脆弱なデバイスになる可能性がある。従って、この脆弱性により、通常の使用による消耗によってレイアウトＬが変化する可能性のある用途は除外される。
Ｗｅａｋ ＰＵＶの場合、ブラインドクローン作製不可能性プロパティは非常に穏やかであり、追加の検証アルゴリズムＡの存在又は使用を必要としない。これはいくつかの理由から主な利点である。例えば、検証アルゴリズムＡに依存すると、多くの用途でＰＵＶｓのコストが高くなる可能性がある。また、Ａが動作できることを確認すると、ＰＵＶｓがより壊れやすくなったり、多くの設定で適用できなくなったりする可能性がある。
以下に、基本、認可、拡張の３種類のＰＳＫデバイスを構築する方法を示し、次のセクションでは、偽造不可能な貨幣、製品の認証などの様々な用途にＰＳＫデバイスを使用する方法を示す。
１．２ 基本的な物理的セキュアキー
構造と機能：
図６Ａを参照すると、物理的セキュアキー（ＰＳＫ）デバイス６００は、Ｗｅａｋ ＰＵＶ６０２によって作製される少なくとも出力Ｄ（Ｃ）をカバーするＷｅａｋ ＰＵＶ６０２、変換関数Ｆを実装するハードウェアを含むオプションの変換コンポーネント、鍵生成アルゴリズムを実装するハードウェアを含む鍵生成コンポーネントＧ、及びデジタル署名スキームのデジタル署名アルゴリズムＳを実装するハードウェアを含むデジタル署名コンポーネントを用いて構築される。ハードウェアは、Ｆ、Ｇ、及びＳを実装する従来の回路、及び／又は、処理デバイスであってもよい。本書におけるＦ、Ｇ、及びＳへの言及は、それぞれに対応するコンポーネント／ハードウェアを含むものと理解されたい。Ｗｅａｋ ＰＵＶ６０２は、Ｗｅａｋ ＰＵＶ出力の計算中に生成される一部の値へのアクセスを防止し、Ｗｅａｋ ＰＵＶの入出力関数を変更することなくＦ、Ｇ及びＳへのアクセスを防止するカバーを提供する。Ｗｅａｋ ＰＵＶ６０２はまた、通常の使用下で、誤って「引っかき傷」を付けること、又はより一般的には、Ｗｅａｋ ＰＵＶの入出力関数、及び／又は、Ｇ及びＳの入出力関数が変更されることを防ぐ保護層６０４で覆われていてもよい。このように、通常の使用では、Ｗｅａｋ ＰＵＶは、同じ入力が与えられるたびに同じ出力を作製し続ける。Ｆを提供する変換コンポーネントはオプションであり、Ｗｅａｋ ＰＵＶ６０２からの出力Ｄ（Ｃ）を鍵生成コンポーネントＧの入力に接続する点線６０６によって示されている。
入力Ｃが与えられると、Ｗｅａｋ ＰＵＶは常に与えられた乱数値Ｄ（Ｃ）を作製することを思い出して下さい。また、鍵生成アルゴリズムＧは、ランダムな入力が与えられると、公開鍵とそれに対応する秘密鍵を作製するアルゴリズムであることを思い出して下さい。最後に、署名アルゴリズムＳが秘密署名鍵とメッセージという２つの入力を受け取ることを思い出して下さい。
ＰＳＫデバイス６００は、チャレンジＣ（例えば、固定値）及びメッセージＭの２つの入力を受信してもよく、これらは以下のように使用される。
・チャレンジＣは、Ｗｅａｋ ＰＵＶへの入力として与えられ、乱数出力Ｄ（Ｃ）を作製する。この出力は保存されないが、暗号化ハッシュ関数、恒等関数、又は変換された信号を提供するその他の関数を使用してＤ（Ｃ）を変換する変換コンポーネントに提供される。上述したように、乱数値出力Ｄ（Ｃ）は鍵生成コンポーネントに直接提供されてもよい。
・変換された信号（又は、Ｗｅａｋ ＰＵＶの出力）は、鍵生成アルゴリズムＧを提供するハードウェアへの入力として与えられ、その結果、検証鍵ＰＫと、ＰＫに対応する秘密署名鍵ＳＫが作製される。鍵ＰＫはＰＳＫデバイスの外部に直接出力されてもよいが、ＳＫは署名アルゴリズムＳを実装するハードウェアへの最初の入力として与えられる。
・メッセージＭは、署名アルゴリズムＳを実装するハードウェアへの２番目の入力として与えられる。従って、Ｓは公開鍵ＰＫに対するＭの署名ＳＩＧ（Ｍ）を作製する。署名はＰＳＫデバイスから出力されてもよい。
ランダムな入力ｒに基づいて、一致する鍵ＰＫ及びＳＫを生成する鍵生成アルゴリズムＧには、第１のアルゴリズムＧ１が入力ｒで秘密鍵ＳＫを生成し、第２のアルゴリズムＧ２が入力ＳＫで一致する公開鍵ＰＫを生成する場合が含まれることに留意されたい（このケースは、実際にデジタル署名方式の一実施形態であってもよい、ハッシュベースのデジタル署名方式の鍵生成アルゴリズムで発生する）。この場合、公開鍵ＰＫはある時（例えば、初期プロセス中）にのみ生成及び出力され、その他の時（例えば、ＰＳＫデバイスが入力メッセージの署名のみを出力するとき）には生成されなくてもよい。実際、これらの他の時には、秘密鍵ＳＫがＧ１によって署名アルゴリズムＳに直接供給される一方で、アルゴリズムＧ２はバイパスされてもよい。同様に、アルゴリズムＧには、第１のアルゴリズムＧ１′がランダムな入力ｒに対して、公開鍵ＰＫ及びいくつかの追加情報ＡＩを作製し、第２のアルゴリズムＧ２′が入力ＡＩ（又は、ＡＩ及びＰＫ）に対して、一致する秘密鍵ＳＫを出力するケースが含まれる。従って、この場合も、ＰＳＫデバイス６００は、ある時のみＰＫを作製及び出力し、その他の時には入力メッセージの署名のみを作製及び出力してもよい。
ＰＳＫデバイス６００は、例えば、ユーザがユーザのメッセージに署名するために使用してもよい。すなわち、ユーザは、ＰＳＫデバイス６００を使用して公開鍵ＰＫを生成し、それを自分のものとして公にすることができる。ユーザは、最も安全な方法で必要なメッセージに署名するために、ＰＳＫデバイスをユーザの自宅に保管してもよい。例えば、ＰＳＫデバイスはユーザのコンピュータに接続されている。実際、多くのＰＫＩアプリケーションでは、秘密鍵の保護が主な問題である。ＰＳＫデバイスは、ＣＡがユーザ証明書にデジタル署名するＸ．５０９証明書システム（又は同様のもの）でＣＡによって使用されてもよい。
基本的なセキュリティ分析：
次に、ＰＳＫデバイス６００のセキュリティを分析しましょう。まず、ＰＳＫデバイス６００が使用されていないときは、鍵ＳＫは存在すらせず、これがＳＫを秘密に保つ最良の方法である。ＰＳＫデバイス６００が入力Ｃ及びＭで使用される場合、鍵ＳＫは署名アルゴリズムＳによる入力として使用されるためだけに存在し、ＰＳＫデバイス６００が使用されなくなるとすぐに消滅する。悪意のあるユーザがＰＳＫデバイス６００の使用中にＳＫにアクセスするためにＰＳＫデバイス６００にプローブを挿入した場合、悪意のあるユーザの行為によりＷｅａｋ ＰＵＶ６０２の微細構造が変更され、そのため、入力Ｃに対して、変更されたＷｅａｋ ＰＵＶが全く異なる出力を生成し、その結果、ＳＫとは全く異なる鍵ＳＫ′が生成される。従って、悪意のあるユーザが何を読んでも、ＳＫの学習に関して実際には役に立たない。同様に、Ｄ（Ｃ）の値も一時的であり、Ｗｅａｋ ＰＵＶ６０２自体によって完全に覆われた空間内に短時間存在するように呼び出されるため、悪意のあるユーザは乱数値Ｄ（Ｃ）を学習することができない。
変形：
公開鍵ＰＫの異なる処理：
ＰＳＫデバイス６００の鍵生成アルゴリズムＧによって生成された公開鍵ＰＫは、鍵生成アルゴリズムＧによって直接外部に出力される必要はない。例えば、いかなる制限も意図しないが、ＰＫは、生成されると、ＰＳＫデバイス６００内の何らかの長期メモリに記憶され、公開鍵が必要なときはいつでもそこから直接外部に出力することができる。
電力：
ＰＳＫデバイス６００は、外部から供給される電力、又はバッテリーなどの内部電力を介して動作してもよい。外部電力は継続的に供給されてもよく、使用時のみ供給されてもよい。特に、電力は、ＰＳＫデバイス６００に入力Ｃ及びＭを提供するまさにデバイスによって、おそらく非接触方式で供給されてもよい。
可変的なチャレンジ：
チャレンジＣは、全てのＰＳＫデバイスに対して同じ固定値である必要はない。異なるＰＳＫデバイスは、鍵生成アルゴリズムへのランダム入力を生成するために異なるチャレンジを使用してもよい。この場合、特定のチャレンジＣは特定のＰＳＫデバイスに明確に関連付けられていてもよい。例えば、ＣをＰＳＫデバイスの保護層で利用できるようにしたり、ＣをＰＳＫデバイスの長期メモリに保存してＰＳＫデバイスがアクティブ化されたときに出力したりしてもよい。チャレンジＣは認証されることが好ましい。例えば、Ｃは、最終的にＣから生成される公開鍵ＰＫとともにデジタル署名された追加情報Ｉを使用して指定されてもよい。このようにして、例えば、ＰＫに対するメッセージＭにデジタル署名するためにＰＳＫデバイスを使用する必要がある人は、ＰＳＫデバイスが対応する秘密鍵ＳＫを内部で生成できるようにするには、どのチャレンジＣをＰＳＫデバイスに入力すればよいかを知っている。
複数の秘密鍵：
ＰＳＫデバイス６００は、単一の秘密鍵ＳＫを保管するものとして上述された。次に、ＰＳＫデバイス６００は、ＳＫ１、ＳＫ２などの異なる鍵を保護できることを示しましょう。基本的に、ＳＫ１は、ＰＳＫデバイス６００のＷｅａｋ ＰＵＶにチャレンジＣ１を与えることによって作製される。このようにして、Ｗｅａｋ ＰＵＶは乱数値Ｄ（Ｃ１）を作製し、これが（おそらく関数Ｆによって変換された後）鍵生成器Ｇのハードウェアに供給され、公開鍵ＰＫ１と対応する秘密鍵ＳＫ１が作製される。同様に、ＳＫ２は、Ｗｅａｋ ＰＵＶにチャレンジＣ２を与えることによって作製される。このようにして、乱数値Ｄ（Ｃ２）が鍵生成器Ｇのハードウェアに供給され、ＰＫ２やＳＫ２などが作製される。チャレンジＣ１、Ｃ２などは、１つ又は複数のエンティティによって、個別に又は一緒に（おそらく認証された方法で）利用可能にされてもよい。
また、ＰＳＫデバイス６００は、デジタル署名方式の秘密鍵だけでなく、あらゆる種類の秘密鍵を扱うことができることにも留意されたい。例えば、公開鍵暗号方式の復号化鍵などであるが、これに限定されるものではない。
異なる入出力手段：
説明を簡単にするために、ＰＳＫデバイス６００が２つの別個の外部入力、すなわちチャレンジ（ＰＳＫデバイス６００のＷｅａｋ ＰＵＶに直接供給される）及びメッセージ（署名アルゴリズムＳのハードウェアに２つの入力のうちの１つとして直接供給される）を有するように説明した。これには制限がない。例えば、チャレンジとメッセージの両方をＰＳＫデバイスの内部に指定するために使用される単一の外部入力を持つＰＳＫデバイスを実装できる。チャレンジとメッセージはそれぞれＷｅａｋ ＰＵＶとＳに供給される。
同様に、ＰＳＫデバイスには単一の外部出力があってもよく、そこを通じて公開鍵ＰＫと署名されたメッセージの両方が送信される。
メッセージＭに署名するには、ＰＳＫデバイスはチャレンジＣとメッセージＭの両方を入力として受信する必要がある。しかしながら、公開鍵ＰＫだけを計算するには、ＰＳＫデバイスはチャレンジＣを受信するだけでもよい。ＰＳＫデバイスは実際には、チャレンジ入力のみを受信したときに動作するように構築されていてもよい。あるいは、ＰＳＫデバイスは両方の入力を受信した場合にのみ動作し、ＰＫと署名されたメッセージのみを出力してもよい。ユーザがＰＫのみを知りたい場合は、ＰＳＫデバイスに入力Ｃと任意のメッセージｘを提供するだけでもよく、出力署名を無視してもよい。
図６Ｂを参照すると、ＰＳＫデバイス６００′の代替的実施形態は、チャレンジＣを内部入力として受信するＷｅａｋ ＰＵＶ６０２′を示している。場合によっては、チャレンジＣは、ＰＳＫデバイス６００′の内部で生成、及び／又は、格納されてもよく、従ってＰＳＫデバイス６００′への内部入力として提供されてもよい。本書の他の箇所で説明されたＰＳＫデバイス６００と同様に、Ｗｅａｋ ＰＵＶ６０２′は、少なくとも、Ｗｅａｋ ＰＵＶ６０２′によって作製される出力Ｄ（Ｃ）、変換関数Ｆを実装するハードウェアを含むオプションの変換コンポーネント、鍵生成アルゴリズムＧを実装するハードウェアを含む鍵生成コンポーネント、及びデジタル署名方式のデジタル署名アルゴリズムＳを実装するハードウェアを含むデジタル署名コンポーネントをカバーする。
１．３ 認可されたＰＳＫデバイス
ＰＳＫデバイスはエンティティＥによって認可されてもよい。このようなエンティティＥは、ＰＳＫデバイスを何らかの情報Ｉに安全に関連付ける。認可されたＰＳＫデバイスは、他の当事者によって安全に使用されてもよい。一実施形態では、認可されたＰＳＫデバイスは次のように動作する。
ＰＳＫデバイスによって生成された公開鍵をＰＫとする。より正確には、ＰＳＫデバイスにチャレンジＣが与えられたときに、ＰＳＫデバイスの鍵生成器によって最終的に生成される秘密鍵に対応する公開鍵をＰＫとする。
認可エンティティＥは、既知の公開検証鍵ＰＫＥを持ち、対応する署名鍵ＳＫＥを密かに所有している。エンティティＥは、デジタル署名ＳＩＧＥ（ＰＫ，Ｉ）を作製し、利用可能にする。ここで、Ｉは任意の種類の情報（例えば、時間情報、ＰＫに対応する秘密鍵ＳＫを作製するためにＰＳＫデバイスに与えられるチャレンジＣ、又は情報なし）である。署名ＳＩＧＥ（ＰＫ，Ｉ）は、ＰＫに対するデジタル署名を生成できるＰＳＫデバイスに関する情報Ｉの信頼性をＥが保証することを意味する。Ｉが空（から）の情報の場合、ＳＩＧＥ（ＰＩ）は公開鍵ＰＫ自体のみを保証する。
ＰＳＫデバイスを認可するためにＥが署名する必要がある公開ＰＫをＥが学習するために、さまざまな方法が使用されてもよい。例えば、Ｅ自体がＰＳＫデバイスを製造し、ＰＳＫデバイスに特定のチャレンジＣを提供し、ＰＳＫデバイスにＰＫを出力させてもよい。あるいは、Ｅは、Ｅが信頼するエンティティからＰＫを受け取ってもよい。
ＥがＳＩＧＥ（ＰＫ，Ｉ）を利用できるようにするために、さまざまな方法が使用されてもよい。例えば、Ｅは、ＳＩＧＥ（ＰＫ，Ｉ）を、例えばバーコード形式で、ＰＳＫデバイス自体に又は個別に（例えば、ＰＳＫデバイスが取り付けられているオブジェクト上に）印刷してもよい（又は誰かにＳＩＧＥ（ＰＫ，Ｉ）を印刷させてもよい）。あるいは、ＰＳＫデバイスは、ＳＩＧＥ（ＰＫ，Ｉ）を（例えば、初期フェーズ中に）受信し、ＳＩＧＥ（ＰＫ，Ｉ）を不揮発性メモリに格納し、後で（例えば、ＰＫに対するメッセージにデジタル署名する時に）ＳＩＧＥ（ＰＫ，Ｉ）を出力してもよい。
セキュリティ分析：
デジタル署名ＳＩＧＥ（ＰＫ，Ｉ）は情報ＩをあるＰＳＫデバイスの公開鍵ＰＫに安全に結び付けるが、署名はＰＳＫデバイスに安全に結び付ける必要がないことに留意されたい。最悪の場合、署名がＰＳＫデバイスから分離されると、ユーザは署名を検証するためにどの公開鍵ＰＫを使用する必要があるかわからないため、ＰＳＫデバイスによって作製された署名を検証できない場合がある。実際、たとえ悪意のあるユーザが別の物理的セキュアキーＰＳＫデバイス′に接続してＳＩＧＥ（ＰＫ，Ｉ）を利用できるようにした場合であっても、ＥがＰＳＫデバイス′の公開鍵に関連する情報Ｉを保証していると誰も騙されることはない。実際、ＰＫの秘密鍵ＳＫを再構築できるのはＰＳＫデバイスだけである。従って、ＰＳＫデバイス′も他の誰も、ＰＫに関するデジタル署名を偽造することはできない。
変形：
異なるエンティティＥ１，Ｅ２，．．．は、Ｅ１がＩ１で認証し、Ｅ２がＩ２で認証するなどのように、それぞれ異なる情報Ｉを用いて、ＰＳＫデバイスの同じ公開鍵ＰＫを認証してもよいことに留意されたい。
あるいは、異なるエンティティが、異なるチャレンジで同じＰＳＫデバイスによって作製された異なる公開鍵を認証してもよい。例えば、エンティティＥｊは署名ＳＩＧＥｊ（ＰＫｊ，Ｉｆ）を作製してもよく、公開鍵ＰＫｊはチャレンジＣｊでＰＳＫデバイスによって作製される。
１．４ 強化されたＰＳＫデバイス
本書の他の箇所で説明したように、基本的なＰＳＫデバイスは侵入攻撃に対して安全である。しかしながら、一般に「サイドチャネル攻撃」、「物理的に観測可能な攻撃」、又は「鍵の漏洩」と呼ばれる別のクラスの攻撃が依然として可能である。これらの攻撃は、同じ秘密鍵ＳＫが複数回使用された場合に発生する可能性がある（例えば、特にメッセージが悪意のあるユーザによって選択された可能性がある場合に、複数のメッセージにデジタル署名するため）。例えば、ＰＳＫデバイスが外部電源にリンクされており、ＰＳＫデバイスがＳＫを使用して大量のメッセージにデジタル署名するときに、悪意のあるユーザがＰＳＫデバイスによって消費される電力を正確かつタイムリーに測定できる場合、秘密鍵ＳＫが発見される可能性がある。別の攻撃では、ＳＫでメッセージにデジタル署名する際に、ＰＳＫデバイスから発せられる電磁放射を正確かつタイムリーに測定することでＳＫを発見する可能性がある。
ＰＳＫデバイスが自宅や安全な環境に保管されていない場合は常に、ＰＳＫデバイスをこれらの非侵入型攻撃から保護することが重要である。このような場合、実際には、ＰＳＫデバイスは悪意のあるユーザの手に渡る可能性があり、その悪意のあるユーザはＰＳＫデバイスに同じ秘密鍵ＳＫを使用して非常に多くのメッセージにデジタル署名させ、悪意のあるユーザがＰＳＫデバイスによる計算中に何かを測定できるようにすることができる。
強化されたＰＳＫデバイスは、このような非侵入型攻撃に対しても耐性のあるＰＳＫデバイスであって、追加の物理メカニズムが追加された基本的なＰＳＫデバイスから構築できる。例えば、悪意のあるユーザが、同じ秘密鍵ＳＫを使用したデジタル署名の計算中の正確な時点で基本的なＰＳＫデバイスによって吸収される電力を正確に測定することを防ぐために、ＰＳＫデバイスは内部電源（例えば、バッテリー）で動作する可能性がある。あるいは、ＰＳＫデバイスは外部から供給される電力に依存して動作し続けてもよいが、ＰＳＫデバイスは、公開秘密鍵ペアの生成又はメッセージへのデジタル署名に使用されるときに、他のあらゆる種類の（無関係な）計算も実行するように構成してもよい。これは、ＳＫを含む計算に使用される電力が他のあらゆる種類の計算に使用される電力によってマスクされるため、悪意のあるユーザがＰＳＫデバイスによって吸収される電力からＳＫを推測することを困難にするためである。
図７を参照すると、概略図は、２つの保護層７０４、７０６の間にファラデーケージ７０２を備えたＰＳＫデバイス７００を示し、ＳＫで複数のメッセージに署名する際に、ＰＳＫデバイスから発せられる電磁放射を正確かつタイムリーに測定することによって、悪意のあるユーザがＳＫを学習するのを防止する。ファラデーケージ７０２は、ＰＳＫデバイス７００のＷｅａｋ ＰＵＶが通常の使用によって変化しないことを保証してもよいが、ファラデーケージ７０２の除去は、ＰＳＫデバイス７００のＷｅａｋ ＰＵＶの微細構造の変化をもたらす。
強化されたＰＳＫデバイス：
上記の物理的方法に加えて（又はその代わりに）、強化されたＰＳＫデバイスは、基本的なＰＳＫデバイスに既存の物理的側面を活用してもよい。基本的に、非常に多くのメッセージにデジタル署名する基本的なＰＳＫデバイスの機能を維持しながら、同じ秘密鍵ＳＫが何度も使用されるのを防いでもよい。前述の非侵入型攻撃が成功するには、同じ秘密鍵ＳＫを十分な回数使用してメッセージに署名する必要があることに留意されたい。従って、同じ秘密鍵ＳＫの再利用を禁止すると、そのような攻撃を阻止できる可能性がある。
全体的なアプローチは次のとおりである。
・ＰＳＫデバイスは、異なる公開秘密鍵のペア（ＰＫ１，ＳＫ１），（ＰＫ２，ＳＫ２），．．．を使用する。
・メッセージが公開鍵ＰＫｉのいずれかに関連して署名されている場合、メッセージはＰＳＫデバイスによって署名されていると見なされる。
・各鍵のペア（従って各秘密鍵ＰＫｉ）は、悪意のあるユーザがＳＫｉを再構築できないようにするのに十分に低い数の限られた数のメッセージのみに署名するために使用される。
一般性を失うことなく、強化されたＰＳＫデバイスを使用することが可能である。（１）各公開鍵ＰＫｉに関連して最大１つのメッセージにデジタル署名する。（２）そのようなＰＫｉが１００万個あるため、最大１００万個のメッセージに署名できる（１００万メッセージはほとんどのアプリケーションには十分であり、実際、ここで明示的に説明するアプリケーションには十分であることに留意されたい）。
ＰＳＫデバイスには、初期化フェーズとそれに続く使用フェーズ（その間、ＰＳＫデバイスは異なる動作をする）と、場合によっては認証フェーズという２つの異なるフェーズがあってもよい。
初期化フェーズ：
初期化フェーズでは、ＰＳＫデバイスは、さまざまな方法で選択された一連の異なるチャレンジＣ１，Ｃ２，．．．，Ｃ１Ｍを使用する。
例えば、異なるチャレンジは標準で一般に知られていてもよく、すべてのＰＳＫデバイスで使用されてもよく、異なるチャレンジは異なるＰＳＫデバイスに対して異なる方法で選択されてもよい。異なるチャレンジは、独立して（例えばランダムに）選択されてもよく、何らかの組織的な方法で選択されてもよい。例えば、Ｃ１はバイナリー・ストリング０．．．０、Ｃ２はバイナリー・ストリング０．．．０１、Ｃ３はバイナリー・ストリング０．．．０１０などであってもよく、又は、Ｈは暗号化ハッシュ関数であるＣ１＝Ｈ（Ｃ，１）、Ｃ２＝Ｈ（Ｃ，２）などであってもよい。又は、単一のチャレンジＣの入力時にＰＳＫデバイスによって内部的に（例えば疑似乱数）異なるチャレンジが選択されてもよい。
初期化フェーズでは、各チャレンジＣｉが外部入力又は内部入力としてＰＳＫデバイスに与えられ、ＰＳＫデバイスは対応する秘密鍵ＳＫｉを使用して公開鍵ＰＫｉを生成する。鍵ＰＫｉは外部に出力されるが、ＳＫｉは保存も出力もされず、単に生成され無視される（実際、初期化フェーズ中、ＰＳＫデバイスの鍵生成器Ｇのハードウェアは、ＳＫｉではなくＰＫｉを作製するように、異なる機能を実行してもよく、一方、使用フェーズでは、ＰＳＫデバイスの鍵生成器Ｇのハードウェアが両方を作製してもよく、ＳＫｉのみを作製してもよい）。
認証フェーズ：
認証フェーズ中、デジタル署名方式の公開検証鍵ＰＫＥ（対応する秘密署名鍵とともに）を所有する適切なエンティティＥは、ＰＳＫデバイスによって作製された公開鍵ＰＫｉに、個別に又は一緒に、場合によっては時間情報や、情報が全くない場合を含む任意のタイプの情報などの追加情報とともに、デジタル署名してもよい。例えば、Ｅは以下を作製してもよい。
・各ＰＫｉの署名ＰＫＥ（ＰＫｉ，Ｉｉ）。ここでＩｉは、時間情報、値ｉ自体に関する情報、チャレンジＣｉに関する情報、又は情報がない場合を含むその他の情報など、有用と思われる任意の情報である。
・単一の集合署名：例えば、ＳＩＧＥ（ＰＫ１，ＰＫ２，．．．，ＰＫ１Ｍ，Ｉ）又はＳＩＧＥ（Ｈ（ＰＫ１，．．．，ＰＫ１Ｍ），Ｉ）。ここで、Ｉは役立つと思われる情報、又は情報無しである。又は、ＳＩＧＥ（Ｈ（（ＰＫ１，Ｉ１），．．．，（ＰＫ１Ｍ，Ｉ１Ｍ）））。ここで、Ｈは暗号関数、特にマークルハッシュ関数である。
Ｅの署名はＰＳＫデバイスと一緒に利用可能になるか、又はＰＳＫデバイス内に格納されるため、使用フェーズ中にＰＳＫデバイス自体が署名を利用可能にすることができる。
使用フェーズ：
使用フェーズでは、ＰＳＫデバイスは不揮発性メモリに実装されたカウンタ（又は同様のもの）を利用する。カウンタはライトワンスメモリで実装されてもよい（概念的には、このようなカウンタは１００万個の正方形を持つ紙のリボンと考えてもよい。カウンタのカウントが増える毎に、次の正方形がパンチされる。これは簡単に実行できるが、元に戻すことはできない。従って、「ライトワンス」メモリという用語が生まれた。最初の「穴の開いていない」正方形が正方形番号ｉである場合、カウンタの値はｉである。電子回路では、四角い紙に穴を開けることは、例えばヒューズを燃やすなどの他の手段に置き換えられる）。
ユーザがＰＳＫデバイスにメッセージに署名させたい場合、ユーザは、（ａ）カウンタの現在値ｉを読み取り、（ｂ）ＰＳＫデバイスにメッセージにデジタル署名させるために使用する必要があるチャレンジＣｉをユーザが学習できるようにする情報を出力する、ことによって応答するＰＳＫデバイスをアクティブにする。一連の認証されたチャレンジがＰＳＫデバイスの外部で利用できる場合、ＰＳＫデバイスは単にｉ又はＣｉを出力してもよいことに留意されたい。認証されたチャレンジがＰＳＫデバイス内に保存されている場合、ＰＳＫデバイスは認証されたＣｉを取得して出力することができる。等々。
デジタル署名を取得するには、ユーザはＰＳＫデバイスにチャレンジＣｉと署名を希望するメッセージＭとを入力する。これに応じて、ＰＳＫデバイスは次のことを行ってもよい。
１．Ｗｅａｋ ＰＵＶの出力Ｄ（Ｃｉ）を計算する。
２．Ｆ（Ｄ（Ｃｉ））（変換コンポーネントが使用されている場合）を計算し、ＰＫｉとＳＫｉを計算するために、鍵生成器ＧのＰＳＫデバイスのハードウェアへの入力としてＦ（Ｄ（Ｃｉ））（変換コンポーネントが使用されない場合はＤ（Ｃｉ））を供給する。
３．署名アルゴリズムＳのハードウェアに入力Ｍ及びＳＫｉを供給し、Ｍ、ＳＩＧｉ（Ｍ）のデジタル署名を計算する。
４．ＰＫｉ及びＳＩＧｉ（Ｍ）を外部に出力する。おそらく値ｉ自体を使用する。
５．カウンタの値を増やす（例えば、１ずつ）。
ＰＳＫデバイスが認証された公開鍵ＰＫｉを利用可能にする責任も負っている場合、ＰＳＫデバイスは、ＰＫｉに関するＥの関連する保存されたデジタル署名と、場合によってはＥによって認証された対応する関連情報も出力する。例えば、ＰＳＫデバイスがアクティブ化されると、ＰＳＫデバイスはデジタル署名ＳＩＧＥ（ＰＫｉ，Ｉｉ）を出力してもよく、ＩｉにはチャレンジＣｉが含まれていてもよい。
署名の検証：
このように作製されたＰＳＫデバイスの署名ＳＩＧｉ（Ｍ）を検証するには、ユーザは次の操作を行う。
・まず、ＳＩＧｉ（Ｍ）が公開ＰＫｉに対して実際にＭの有効なデジタル署名であることを検証する。
・次に、Ｅによって作製され利用可能になったＰＫｉのデジタル署名を検証する。例えば、ユーザは、Ｅの公開鍵ＰＫＥに対するデジタル署名ＳＩＧＥ（ＰＫｉ，Ｉｉ）を検証してもよい。
セキュリティ分析：
ユーザは、ＳＩＧｉ（Ｍ）がＰＳＫデバイスによって作製されたｉ番目の署名であるかどうかを確認する必要がないことに留意されたい。実際、ＰＳＫデバイスは別の人によって使用されている可能性があり、ＰＳＫデバイスが以前にどれだけのメッセージに署名したかを確認することはできない（特に、ＰＳＫデバイスがＰＳＫデバイスのカウンタの現在値を指定していない場合）。同じ秘密鍵の使用を避けるために、同じ公開鍵に関連してメッセージが署名されないように強制するのはＰＳＫデバイスである。
また、現在のカウンタ値は、ＰＳＫデバイスのＷｅａｋ ＰＵＶの微細構造を変更することなく、悪意のあるユーザが簡単に読み取りや再設定できない内部メモリセルに保存されていることにも留意されたい。さらに、ＰＳＫデバイスが秘密鍵ＳＫｉを再構築してｉ番目のメッセージにデジタル署名するとすぐに、ＰＳＫデバイスはカウンタ値をｉからｉ＋１に増加もさせる。従って、悪意のあるユーザは、ＰＳＫデバイスに各ＳＫｉに対するデジタル署名をどんどん計算させて、（ファラデーケージが存在しない場合に）ＳＫｉで複数のメッセージに署名する際に、ＰＳＫデバイスが発する電磁放射からＳＫｉを再構築できるようにすることはできない。さらに、ライトワンスメモリを介してカウンタを実装することで、カウンタ値が巻き戻される可能性が防止される。
デジタル署名ＳＩＧＥ（ＰＫｉ，Ｉｉ）などを介して公開鍵ＰＨｉを学習した後、悪意のあるユーザは、外側からオリジナルのＰＳＫデバイスに似た偽のＰＳＫデバイスを任意の数だけ製造し、同じ署名ＳＩＧＥ（ＰＫｉ，Ｉｉ）を利用できるようにする可能性がある。それにもかかわらず、悪意のあるユーザは、オリジナルのＰＳＫデバイスによって署名されたｉ番目のメッセージのデジタル署名を作成することはできない。実際、悪意のあるユーザは、オリジナルのＰＳＫデバイスによって一時的に再構築されて使用される秘密署名鍵を学習することができないため、オリジナルのＰＳＫデバイスによって署名されていないメッセージの署名を偽造することはできない。
もちろん、悪意のあるユーザは、悪意のあるユーザの任意の公開鍵ＰＫｉ′に対する任意のメッセージＭに完全に署名できる新しいＰＳＫ′を製造することができる。しかしながら、悪意のあるユーザはＥの秘密署名鍵を知らないため、ＰＫｉ′のＥの署名（いくつかの追加情報Ｉｉ′とともに）を偽造することはできない。したがって、ＰＳＫ′がＥによって認可されていると誰も騙されてはならない。
２ ＰＳＫデバイスのアプリケーション
偽造不可能な紙幣：
基本的に、偽造不可能な紙幣は、適切なエンティティＥ（例えば、中央銀行又はその代理を務める別のエンティティ）によって認可されたＰＳＫデバイス（信頼できる施設によって製造されることが好ましい）である。例えば、１００ドル相当の紙幣を作成するには、適切なエンティティが署名ＳＩＧＥ（ＰＫ，Ｉ）を作成して利用可能にする。ここで、ＰＫはチャレンジＣ（例えば、標準値）でＰＳＫデバイスによって生成された公開鍵であり、Ｉは１００ドルの値と、場合によってはシリアル番号、発行日、ＰＳＫデバイスが金銭的価値を失う有効期限日、チャレンジＣ（Ｃの値が標準でない場合）などの追加情報を示す。
図８を参照すると、ＰＳＫデバイス８０２及び英数字列８０４が印刷された紙幣８００が示されている。ＰＳＫデバイス８０２は小さくて紛失しやすいため、紙幣８００を発行したエンティティＥは、目視検査を使用して紙幣８００の正当性を確認できるようにするために、従来の１００ドル紙幣の外観と感触を有する紙幣８００などの便利な媒体に（必ずしも安全ではないが）ＰＳＫデバイス８０２を取り付けてもよい。この場合、ＳＩＧＥ（ＰＫ，Ｉ）を簡単に利用できるようにする可能な方法は、それを、ＰＳＫデバイス８０２を搭載する同じ媒体上に、例えば何らかのバーコード形式で、又は図８に示す英数字列８０４として、印刷することである。
ユーザは、次の方法で紙幣８００とその金銭的価値を確認することができる。
・公開鍵ＰＫＥに対するデジタル署名ＳＩＧＥ（ＰＫ，Ｉ）を確認する。
・Ｉが金銭的価値として１００ドルを指定していること（及びＩに含まれるその他の情報が適切であること）を確認する。
・ＰＫに対するＭのデジタル署名を取得するために、ＰＳＫデバイス８０２にチャレンジＣ及び何らかのメッセージＭ（好ましくは、その機会にランダムに選択されたストリング）を提供する。
・ＰＳＫデバイス８０２が、紙幣８００を発行したエンティティによって認証された公開鍵ＰＫに対するＭのデジタル署名を実際に出力することを確認する。
これまでに使用されたことのないメッセージＭを選択することが検証者の利益になることに留意されたい。実際、すべてのユーザがデジタル署名する標準メッセージＳＭをＰＳＫデバイス８０２に提示した場合、悪意のあるユーザは次のような行為を行う可能性がある。
（ａ）紙幣８００を発行したエンティティＥのデジタル署名ＳＩＧＥ（ＰＫ，Ｉ）をコピーする。
（ｂ）オリジナルのＰＳＫデバイスによって生成された、公開鍵ＰＫ，ｓｉｇに対するＳＭのデジタル署名を取得する。
（ｃ）入力ＳＭにｓｉｇを出力する秘密のないデバイスＰＳＫデバイス′を製造する。
（ｄ）ＳＩＧＥ（ＰＫ）をＰＳＫデバイス′と一緒に利用できるようにする。
そうすることで、悪意のあるユーザは本質的に、検証ユーザをだまして、偽のＰＳＫデバイス′が有効な１００ドル紙幣であると信じ込ませる。対照的に、Ｍがこれまでに署名されたことがない場合（例えば、それがランダムで十分に長いため）、偽のＰＳＫデバイス′は、ＰＫに対するＭのデジタル署名を作製するために必要な秘密鍵ＳＫを知らないため、上記の攻撃は惨めに失敗する。
紙幣８００を発行したエンティティがすべての紙幣に対して同じチャレンジＣを使用することにより、紙幣検証者がどのチャレンジを使用すべきかを知ることが確実に容易になる。しかしながら、紙幣８００を発行したエンティティは、各ＰＳＫデバイスの各公開鍵ＰＫごとに異なるチャレンジＣを使用し、Ｃを利用可能にすることができる（例えば、ＳＩＧＥ（ＰＫ、Ｉ）のＩにおいて）。
また、ＰＳＫデバイスの故障により紙幣の金銭的価値が失われる可能性を防ぐために、複数のＰＳＫデバイスを１枚の紙幣にしっかりと取り付けることができることにも留意されたい。ＰＳＫデバイスの少なくとも１つ（又は一部のサブセット）が動作する限り、紙幣は本物とみなされ、その価値が保持される。悪意のあるユーザが動作中のＰＳＫデバイスを偽造紙幣に移そうとするいかなる試みも、動作中のＰＳＫデバイスの微細構造を変更し、及び／又は、オリジナルの紙幣の紙を非常に目に見える形で変更するため、悪意のあるユーザは阻止される。
オブジェクトの認証：
公開検証鍵ＰＫＥを持つエンティティＥは、オブジェクト（広義の）に関する情報Ａを次のように認証してもよい。
・公開鍵ＰＫを持つＰＳＫデバイスをオブジェクトにしっかりと取り付け（例えば、特殊な接着剤を使用して）、
・デジタル署名ＳＩＧＥ（ＰＫ，Ｉ）を作製し、利用可能にする。情報Ｉには、Ｅがオブジェクトについて認証したい情報と、場合によっては追加データが含まれる。例えば、Ｉは、ＰＳＫデバイスにＰＫに対応する秘密署名鍵を内部で作製させるために、ＰＳＫデバイスに入力として与えなければならないチャレンジＣを指定してもよい。
ＰＳＫデバイスは、ＰＳＫデバイスをオブジェクトから取り外そうとすると、ＰＳＫデバイスが壊れたり、ＰＳＫデバイスのＷｅａｋ ＰＵＶの微細構造が変化したりするような方法で、オブジェクトにしっかりと取り付けられている。そのため、ＰＳＫデバイス又は他の誰にとっても、ＰＫに対応する秘密鍵ＳＫを再構築する方法はもうない。
ＰＳＫデバイスをオブジェクトにしっかりと取り付けるとＰＳＫデバイスのＷｅａｋ ＰＵＶの微細構造が変化する場合、Ｗｅａｋ ＰＵＶの入出力関数はしっかりと取り付けられた後に決定されてもよいことに留意されたい。同様に、公開鍵ＰＫ及び対応する秘密鍵ＳＫは、しっかりと取り付けが行われた後に、Ｗｅａｋ ＰＵＶを介してＰＳＫデバイスによって内部的に導出されてもよい。
エンティティＥ（すなわち、生産者、製造者、販売者など）によって認証されたオブジェクトに関するそのように認証された情報Ａを確認するには、ユーザは次の順序で行ってもよい。
・公開鍵ＰＫＥに対するデジタル署名ＳＩＧＥ（ＰＫ，Ｉ）を確認する。
・Ｉが情報Ａを指定していることを確認する。
・ＰＳＫデバイスにチャレンジＣとメッセージＭ（例えば、その機会にランダムに選択されたストリング）を提供する。
・Ｅによって認証された公開鍵ＰＫに対するＰＳＫデバイスによって作製されたＭのデジタル署名を確認する。
上述した偽造不可能な紙幣と同様に、これまでに使用されたことのないメッセージＭを選択することが検証者の利益になる。実際、すべてのユーザがＰＳＫデバイスに標準メッセージＳＭにデジタル署名するよう要求した場合、悪意のあるユーザは次のような行為を行う可能性がある。
（ａ）Ｅのデジタル署名ＳＩＧＥ（ＰＫ，Ｉ）をコピーする。
（ｂ）オリジナルのＰＳＫデバイスによって作製された、公開鍵ＰＫ、ｓｉｇに対するＳＭのデジタル署名を取得する（例えば、非偽造品を購入することによって、又は購入前に非偽造品の信頼性を確認するように依頼することによって）。
（ｃ）入力ＳＭで常にｓｉｇを出力する秘密のないデバイスＰＳＫデバイス′を製造する。
（ｄ）ＳＩＧＥ（ＰＫ）をＰＳＫデバイス′と一緒に利用できるようにする。
（ｅ）ＰＳＫデバイス′を偽造品に取り付ける（必ずしもしっかりと取り付ける必要はない）。
上記ステップを実行することにより、悪意のあるユーザは本質的に検証者をだまして、エンティティＥが偽造品の情報Ａを認証したと信じ込ませる。対照的に、Ｍがこれまでに署名されたことがない場合（実際には、Ｍがランダムに選択され、十分に長い場合に当てはまる）、偽のデバイスＰＳＫデバイス′は、本物のＰＳＫデバイスの公開鍵ＰＫに対するデジタル署名を作製するために必要な秘密鍵ＳＫを知らないため、この攻撃は惨めに失敗する。
検証者は、ＰＳＫデバイスがオブジェクトにしっかりと取り付けられていることを確認する必要がないことに留意されたい。ただし、ＰＳＫデバイスをオブジェクトにしっかりと取り付けることがＥの利益になる。
また、一部のＰＳＫデバイスが故障する可能性を防ぐために、複数のＰＳＫデバイスを１つのオブジェクトにしっかりと取り付けることができることにも留意されたい。ＰＳＫデバイスの少なくとも１つ（又は一部のサブセット）が動作する限り、オブジェクトは本物とみなされ、オブジェクトに関する認証された情報も本物とみなされる。単一のオブジェクトを認証するために複数のＰＳＫデバイスを使用すると、偽のオブジェクトを認証するために追加のＰＳＫデバイスを使用できなくなり、システムの回復力が高まることに注目されたい。実際、動作中のＰＳＫデバイスを本物のオブジェクトから切り離して、動作中のＰＳＫデバイス（おそらくいくつかの偽のＰＳＫデバイスと一緒に）を偽のオブジェクト上に配置しても、偽のオブジェクトは認証されない。これは、動作中のＰＳＫデバイスを切り離す行為によって、切り離された動作中のＰＳＫデバイスの微細構造が変更されるためである。
図９を参照すると、オブジェクト認証システムは、食品、この場合はワインボトル９００に使用されていることが示されている。ワインの生産者（又はワインの生産者の代理を務めるエンティティ）は、ＰＳＫデバイス９０２の機能を変更することなくワインボトル９００を開けることができないように、ＰＳＫデバイス９０２をワインボトル９００にしっかりと取り付ける（すなわち、本書の他の箇所に記載されているように、ＰＳＫデバイス９０２のＷｅａｋ ＰＵＶを損傷又は変更することなく）。ワインボトル９００は、ＱＲコード９０４（又は平文で印刷された情報を含む、情報を伝達するための同様の機構）を有するラベルも含む。ＱＲコード９０４は、生産年、収穫日、ブドウの組成などを特定する情報（その他重要と思われる情報）を提供してもよい。場合によっては、ＱＲコード９０４は、ＰＳＫデバイス９０２を使用して検証されてもよい情報を含むメッセージのデジタル署名も含んでもよい。場合によっては、ＱＲコード９０４は、ＰＳＫデバイス９０２を検証するために使用されるチャレンジも含んでもよいが、チャレンジは、本書の他の箇所に記載されているように、他のソースから取得されてもよい。
図１０を参照すると、オブジェクト認証システムは、医薬品が入ったボトル１０００に使用されていることが示されている。製薬会社（又は製薬会社の代理を務めるエンティティ）は、ＰＳＫデバイス１００２の機能を変更することなく（すなわち、本書の他の箇所に記載されているように、ＰＳＫデバイス１００２のＷｅａｋ ＰＵＶを損傷、及び／又は、変更することなく）ボトル１３００を開けることができないように、ＰＳＫデバイス１００２をボトル１０００にしっかりと取り付ける。ボトル１０００は、ＱＲコード１００４（又は同様のもの）を有するラベルも含む。ＱＲコード１００４は、薬剤の組成、有効期限、起こり得る副作用、及び認証が重要と考えられるその他の情報を指定する情報を提供してもよい。場合によっては、ＱＲコード１００４は、ＰＳＫデバイス１００２を使用して検証されてもよい情報を含むメッセージのデジタル署名も含んでもよい。場合によっては、ＱＲコード１００４は、ＰＳＫデバイス１００２を検証するために使用されるチャレンジも含んでもよいが、チャレンジは、本書の他の箇所に記載されているように、他のソースから取得されてもよい。
図１１を参照すると、密封されたパッケージ１１００上で使用されるオブジェクト認証システムが示されている。パッケージを封印したエンティティ（又はパッケージを封印したエンティティの代理を務めるエンティティ）は、ＰＳＫデバイス１１０２の機能を変更することなく（すなわち、本書の他の箇所に記載されているように、ＰＳＫデバイス１１０２のＷｅａｋ ＰＵＶを損傷、及び／又は、変更することなく）パッケージ１１００を開けることができないように、ＰＳＫデバイス１１０２をパッケージ１１００にしっかりと取り付ける。パッケージ１１００は、パッケージ１１００の内容物、パッケージが封印された日付、及び認証されることが重要であると考えられるその他の情報を特定する情報を提供してもよいＱＲコード１１０４（又は類似のもの）を有するラベルも含む。場合によっては、ＱＲコード１１０４は、ＰＳＫデバイス１１０２を使用して検証されてもよい情報を含むメッセージのデジタル署名も含んでもよい。場合によっては、ＱＲコード１１０４は、ＰＳＫデバイス１１０２を検証するために使用されるチャレンジも含んでもよいが、チャレンジは、本書の他の箇所に記載されているように、他のソースから取得されてもよい。
図１２を参照すると、オブジェクト認証システムは、ルイ・ヴィトンによって製造された女性用ハンドバッグなどの消費者アイテム１２００に使用されていることが示されている。製造者（又は製造者の代理を務めるエンティティ）は、ＰＳＫデバイス１２０２の機能を変更すること（すなわち、本書の他の箇所に記載されているように、ＰＳＫデバイス１２０２のＷｅａｋ ＰＵＶを損傷、及び／又は、変更すること）、及び／又は、消費者アイテム１２００を損傷することなしに、ＰＳＫデバイス１２０２を取り外したり交換したりすることはできないように、ＰＳＫデバイス１２０２を消費者アイテム１２００にしっかりと取り付ける。ＰＳＫデバイス１２０２には、保証情報、製造者の名前、製造部数、及び／又は、有用／重要と思われる他の情報を含む情報が印刷されているか、又はそれに関連付けられていてもよい。場合によっては、情報には、ＰＳＫデバイス１２０２を使用して検証されてもよい情報を含むメッセージのデジタル署名も含まれてもよい。場合によっては、情報は、ＰＳＫデバイス１２０２を検証するために使用されるチャレンジも含まれてもよいが、チャレンジは、本書の他の箇所に記載されているように、他のソースから取得されてもよい。ＰＳＫデバイス１２０２を取り付ける製造業者又は製造業者の代理を務めるエンティティの代わりに、政府関係者又は政府関係者の代理を務めるエンティティが、ＰＳＫデバイス１２０２を特定の国で生産された製品（例えば、「イタリア製」）に取り付けることができ、適切と思われる他の情報をＰＳＫデバイス１２０２に関連付けてもよいことにも留意されたい。
一般に、オブジェクト認証システムは、機械又はシステムの製造されたコンポーネントなど、認証が維持される任意のアイテムと関連して使用されてもよい。例えば、航空機の部品は安全性が保証される特定の基準に従って製造されるが、部品のコストも増加する。場合によっては、偽造部品が疑いを持たない受取人に不正に販売され、航空機の故障や人命の損失などの悲惨な結果をもたらす。
図８～図１２の例では、悪意のあるユーザは、偽のオブジェクトを作成して、顧客が本物のオブジェクトを扱っていること、又は認証された情報が偽のオブジェクトに適用されることを他人（顧客など）に信じ込ませることはできない。たとえ悪意のあるユーザが、公開鍵ＰＫに対してメッセージにデジタル署名できるＰＳＫデバイス′を購入又は製造し、ＰＳＫデバイス′を偽のオブジェクトに取り付けたとしても、製造者／生産者（又は製造者／生産者の代理のエンティティ）のデジタル署名はＰＫ、対応する本物のＰＳＫデバイスの公開鍵に関連しているため、悪意のあるユーザは製造者／生産者（又は製造者／生産者の代理のエンティティ）のデジタル署名を偽造することはできない。従って、悪意のあるユーザは、製造者／生産者（又は製造者／生産者の代理のエンティティ）が偽のオブジェクトに関する情報Ａを保証していると誰かを信じ込ませることはできない。
悪意のあるユーザは、ＰＳＫデバイスを本物のオブジェクトから切り離して、そのＰＳＫデバイスを偽のオブジェクトに取り付けたり、オリジナルのオブジェクトに対して製造者／生産者（又は製造者／生産者の代理のエンティティ）によって作製されたのと同じデジタル署名ＳＩＧＥ（ＰＫ，Ｉ）を利用可能にしたりするおそれがあることに留意されたい。ただし、本物のオブジェクトから取り外された後は、ＰＳＫデバイスのＷｅａｋ ＰＵＶの微細構造は変更されているため、本書の他の箇所に記載されているように、ＳＩＧＥ（ＰＫ，Ｉ）で指定された公開鍵ＰＫに対応する秘密鍵ＳＫを生成するために使用できなくなる。
本書において検討された様々な実施形態は、本書に記載されているシステムに関連した適当な組み合わせで互いに組み合わせてもよい。更に、ある例において、該当する場合、フローチャート、フロー図、及び／又は、記載されたフロー処理におけるステップの順序は変更してもよい。次いで、スクリーンレイアウト内に記載されたスクリーンの要素及びエリアは、本書に提示している図から変えてもよい。更に、本書に記載したシステムの様々な態様は、上述の特徴を有して上述の機能を実行する、ソフトウェア、ハードウェア、ソフトウェアとハードウェアの組み合わせ、及び／又は、他のコンピュータ実装のモジュール又はデバイスを用いて実装してもよい。
本書に記載したシステムのソフトウェアの実装は、コンピュータ読取可能な媒体に記憶される実行可能なコードを含んでもよい。前記コンピュータ読取可能な媒体は、非一時的なものであってもよく、また、コンピュータハードドライブ、ＲＯＭ、ＲＡＭ、フラッシュメモリ、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、フラッシュドライブ、ＳＤカード及び／又は例えばユニバーサルシリアルバス（ＵＳＢ）インターフェースを有する他のドライブなどの可搬性コンピュータ記憶メディア、及び／又は、実行可能なコードを記憶してプロセッサで実行可能な有形の又は一時的でない他の適当なコンピュータ読取可能な媒体又はコンピュータメモリであってもよい。本書に記載したシステムは、適当なオペレーティングシステムに関連して使用してもよい。
本発明の他の実施形態は、本書で開示する本発明の明細書又は実施を検討することにより当業者には明らかであろう。本明細書及び例は単なる例示的なものと見なされ、本発明の真の範囲及び趣旨は以下の請求項によって示されることが意図される。

Claims (19)

  1. セキュリティデバイスであって、
    入力信号に応答して、カバーデバイスの微細構造に応じて変化する同一のランダム出力信号を一貫性をもって提供し、前記カバーデバイスの微細構造が変化すると前記ランダム出力信号が変化する前記カバーデバイスと、
    前記ランダム出力信号に基づいて秘密鍵を生成する鍵生成コンポーネントと、
    前記秘密鍵を使用して前記セキュリティデバイスによって受信されたメッセージのデジタル署名を作製し、前記カバーデバイスが、前記鍵生成コンポーネント及び前記デジタル署名コンポーネントの少なくとも一部を取り囲んで、それらへのアクセスを防止し、前記コンポーネントのいずれかにアクセスすると、前記カバーデバイスの微細構造が変化し、前記ランダム出力信号が変化するデジタル署名コンポーネントとを備える、セキュリティデバイス。
  2. 請求項１に記載のセキュリティデバイスにおいて、
    前記セキュリティデバイスの通常の使用下で前記カバーデバイスの微細構造が変化するのを防ぐために、前記セキュリティデバイスの１つ又は複数の外面上に配置された保護層を更に備える、セキュリティデバイス。
  3. 請求項２に記載のセキュリティデバイスにおいて、
    前記保護層は、前記セキュリティデバイスをオブジェクトに取り付けるために使用され、前記セキュリティデバイスを前記オブジェクトから取り外すと、前記カバーデバイスの微細構造が変化する、セキュリティデバイス。
  4. 請求項１に記載のセキュリティデバイスにおいて、
    前記セキュリティデバイスはオブジェクトに取り付けられており、前記セキュリティデバイスを前記オブジェクトから取り外すと、前記カバーデバイスの微細構造が変化する、セキュリティデバイス。
  5. 請求項４に記載のセキュリティデバイスにおいて、
    エンティティは、前記カバーデバイスへの入力信号及び前記オブジェクトに関する情報の少なくとも１つを指定する追加情報とともに、前記秘密鍵に対応する公開鍵にデジタル署名する、セキュリティデバイス。
  6. 請求項４に記載のセキュリティデバイスにおいて、
    前記オブジェクトは、紙幣、消費者アイテム、製造されたコンポーネント、医薬品、食品、及び内容物が入ったパケットのうちの少なくとも１つである、セキュリティデバイス。
  7. 請求項６に記載のセキュリティデバイスにおいて、
    追加のセキュリティデバイスが前記オブジェクトに取り付けられている、セキュリティデバイス。
  8. 請求項１に記載のセキュリティデバイスにおいて、
    エンティティは、何らかの情報とともに前記秘密鍵に対応する公開鍵にデジタル署名し、前記エンティティのデジタル署名と前記セキュリティデバイスは所定の金銭的価値を構成する、セキュリティデバイス。
  9. 請求項１に記載のセキュリティデバイスにおいて、
    前記秘密鍵は、前記メッセージに署名するのに十分な期間だけ存在する、セキュリティデバイス。
  10. 請求項１に記載のセキュリティデバイスにおいて、
    前記入力信号はエンティティによって認証される、セキュリティデバイス。
  11. 請求項１に記載のセキュリティデバイスにおいて、
    前記セキュリティデバイスの周りに配置されたファラデーケージを更に備える、セキュリティデバイス。
  12. 請求項１に記載のセキュリティデバイスにおいて、
    前記鍵生成コンポーネントは、前記秘密鍵に対応する公開鍵も生成する、セキュリティデバイス。
  13. 請求項１２に記載のセキュリティデバイスにおいて、
    前記セキュリティデバイスは前記公開鍵を出力する、セキュリティデバイス。
  14. 請求項１に記載のセキュリティデバイスにおいて、
    前記入力信号は、前記セキュリティデバイスに格納されている複数のチャレンジ値のうちの１つである、セキュリティデバイス。
  15. 請求項１４に記載のセキュリティデバイスにおいて、
    前記入力信号の１つは、前記セキュリティデバイスの内部カウンタに従って選択される、セキュリティデバイス。
  16. 請求項１に記載のセキュリティデバイスにおいて、
    変換コンポーネントが、前記カバーデバイスと前記鍵生成コンポーネントとの間に配置される、セキュリティデバイス。
  17. 請求項１６に記載のセキュリティデバイスにおいて、
    前記変換コンポーネントは、暗号化ハッシュ関数又は恒等関数のいずれかを使用して、前記乱数値信号を変換する、セキュリティデバイス。
  18. 請求項１に記載のセキュリティデバイスにおいて、
    前記セキュリティデバイスは、メッセージにデジタル署名するときに無関係な計算を実行する、セキュリティデバイス。
  19. メッセージにデジタル署名する方法であって、
    請求項１乃至１８のいずれかに記載のセキュリティデバイスに前記メッセージを提供することと、
    前記セキュリティデバイスにチャレンジ値を提供することと、
    前記セキュリティデバイスからデジタル署名を取得することと、
    を含む、方法。
JP2023543052A 2021-01-19 2021-01-19 暗号鍵の保護 Pending JP2024503701A (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2021/013870 WO2022159072A1 (en) 2021-01-19 2021-01-19 Securing cryptographic keys

Publications (1)

Publication Number Publication Date
JP2024503701A true JP2024503701A (ja) 2024-01-26

Family

ID=74661455

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2023543052A Pending JP2024503701A (ja) 2021-01-19 2021-01-19 暗号鍵の保護

Country Status (5)

Country Link
US (1) US20240089120A1 (ja)
EP (1) EP4281955A1 (ja)
JP (1) JP2024503701A (ja)
CN (1) CN117203688A (ja)
WO (1) WO2022159072A1 (ja)

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
MA40917A (fr) 2014-11-03 2017-09-12 Micali Silvio Prévention de la contrefaçon
CA3031291A1 (en) 2016-08-08 2018-02-15 Silvio Micali Counterfeit prevention
US10523443B1 (en) * 2016-08-24 2019-12-31 Bruce Kleinman Devices, methods, and systems for cryptographic authentication and provenance of physical assets
US20200195447A1 (en) * 2018-12-13 2020-06-18 Ictk Holdings Co., Ltd. Communication method of client device, issuing device and server

Also Published As

Publication number Publication date
EP4281955A1 (en) 2023-11-29
US20240089120A1 (en) 2024-03-14
CN117203688A (zh) 2023-12-08
WO2022159072A1 (en) 2022-07-28

Similar Documents

Publication Publication Date Title
Islam et al. Enabling IC traceability via blockchain pegged to embedded PUF
JP5739876B2 (ja) 一意識別子、一意識別子を提供するための方法、および一意識別子の使用
JP5149909B2 (ja) Ｒｆｉｄ装置とのデータ・アクセス制御
KR101851121B1 (ko) 엔드 대 엔드 암호화 체계를 이용한 제품 인증
JP5139415B2 (ja) 物品情報の取得方法及び装置
TW201945970A (zh) 用於自動物件辨識及鑑認之方法及系統
US20090282259A1 (en) Noisy low-power puf authentication without database
EP2075734A1 (en) Anonymous biometric tokens
US10803374B2 (en) Counterfeit prevention
EP3329635B1 (en) Counterfeit prevention
US10607234B2 (en) Counterfeit prevention
US11270184B2 (en) Counterfeit prevention
US11741332B2 (en) Securing cryptographic keys
JP2024503701A (ja) 暗号鍵の保護
Pierson et al. Authentication without secrets
TW543314B (en) Security module of electronic ticket credit adding system for transportation providing distributed security management architecture
Balinsky et al. Anti-counterfeiting using memory spots
Idrissa et al. Secure protocols for serverless remote product authentication
Wang Formal Security Analysis of Australian E-passport Implementation
EVANGELISTA Security Target SOMA-c003 Electronic Passport Basic

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230802

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20240109