JP2693348B2

JP2693348B2 - 暗号化システム

Info

Publication number: JP2693348B2
Application number: JP4267808A
Authority: JP
Inventors: アレクサンダーリーズサードジェームス
Original assignee: AT&T Corp
Current assignee: AT&T Corp
Priority date: 1991-09-13
Filing date: 1992-09-11
Publication date: 1997-12-24
Anticipated expiration: 2012-12-24
Also published as: FI924090A; FI108590B; FI924090A0; DE69230423D1; EP0532228B1; EP0532228A3; JPH06188877A; DE69230423T2; EP0532228A2; US5159634A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、暗号化方法に関し、セ
ルラ電話における通信のプライバシー確保のための暗号
システムに関する。

【０００２】

【従来の技術】従来の電話においては、各電話端末（フ
ァックス、モデム等）は、ローカルセントラルオフィス
（端局）の交換機の１つのポートに、物理的に接続され
る。接続は、与えられた電話線あるいは電話線の指定の
チャネルを介して行われる。電話線の接続はサービス提
供者（通常は通信事業者）によって行われ、従ってサー
ビス提供者は、チャネル上の通話が特定の加入者による
ものであることを確信できる。一方、無線電話での加入
者の認証は不確かなものである。

【０００３】米国における現在のセルラ電話方式では、
加入者がセルラ電話で発呼を行うと、課金のためそのセ
ルラ電話がサービス提供者に発呼者の身元を通知する。
この情報は暗号化されていない。第三者がその時点で盗
聴すると、加入者の身元情報が得られてしまう。この情
報には、加入者の電話番号および加入者の装置のシリア
ル番号（ＥＳＮ）が含まれている。従って、盗聴者はセ
ルラ電話をプログラムして正式な加入者になりすまし、
サービスを受けることが可能となる。あるいは、他人の
通話中に割り込んで、より強い送信電力で送信を行い、
サービス提供者にある制御コードを送って接続に侵入す
ることもできる。サービス提供者は、接続時および／あ
るいは通話中の発信者の身元の確認機構を持たないた
め、このような侵害は基本的に避けられない。

【０００４】盗聴者が身元情報を知ろうとすれば、セル
内の全セルラ周波数帯を、自動的に走査する装置を用い
ることができる。従って、セルラ電話サービスの侵害を
阻止できない。また、音声信号を暗号化していないた
め、会話の内容を盗聴することができる。つまり、セル
ラ電話システムにおいて効果的な保護手段が必要とされ
ており、利用者の認証およびプライバシー保護のため
に、暗号化の利用が必要とされる。

【０００５】

【発明が解決しようとする課題】いくつかの標準的な暗
号化方法は、セルラ電話等の一般的な認証問題の解決に
用いることができるが、実際上の問題もある。まず、プ
ライベートキー（秘密鍵）暗号アルゴリズムに基づい
た、従来の要求／応答プロトコルを用いることができ
る。この方法では、加入者の移動ステーションに秘密キ
ーが割り当てられ、このキーはホームシステムにも登録
されている。サービス提供システムが加入者を認証する
場合には、ホームシステムに対して、その加入者の場合
に使用する要求ストリングおよび応答ストリングを申請
する。ホームシステムはランダムな要求ストリングを作
成し、加入者のキーと要求ストリングに対して一方向性
関数を適用して、対応する応答ストリングを得る。これ
らの要求ストリングおよび応答ストリングはサービス提
供システムに送られ、サービス提供システムは移動ステ
ーションへその要求ストリングを送る。移動ステーショ
ンは、その要求ストリングと、記憶している秘密キーと
から計算した応答ストリングを返す。サービス提供シス
テムは、ホームシステムおよび移動ステーションからの
応答ストリングを比較し、一致した場合に認証されたと
見なす。

【０００６】この方法の問題点は、サービス提供システ
ムが、発呼時の認証の際に、十分早くホームシステムに
接続することができず、ホームシステムのデータベース
ソフトウェアが加入者の秘密キーを調べ、要求／応答ペ
アを構成することを短期間に行うことができない点であ
る。ネットワークあるいはソフトウェアの数秒の遅延
は、加入者が発信する際に、受話器を持ち上げてからダ
イヤルトーンが聞こえるまでのデッドタイムを増し、さ
らに（セルラ提供者の現在用いている制御ネットワーク
および交換装置では）遅延時間が増す。現状では、その
ような遅延は許容されない。

【０００７】パブリックキー（公開鍵）暗号システム
は、認証問題を解決するもう一つの標準的な方法であ
る。一般的に、各移動ステーションはサービス提供者の
パブリックキーによって、“パブリックキー証書”が与
えられる。これは、その移動ステーションがサービス提
供者の合法的な利用者であることを示すものである。さ
らに、各移動局に秘密データ（プライベートキー）が与
えられる。移動局は、証書と同時にプライベートキーを
用いて第三者に対し合法的な利用者であることを示す。

【０００８】例として、サービス提供システムはＲＳＡ
キーペア（Ｆ，Ｇ）を、Ｆをプライベート、Ｇをパブリ
ックとして有する。サービス提供システムは各移動局
に、そのＲＳＡキーの独自のペア（Ｄ，Ｅ）を、Ｆ
（Ｅ）（サービス提供システムのプライベートキーＦを
用いて移動局のパブリックキーＥを暗号化したもの）と
ともに与える。移動局は、サービス提供システムに、
（Ｅ，Ｆ（Ｅ））を送ることによってその身元を提示す
る。サービス提供システムでは、Ｆ（Ｅ）にＧを適用し
てＥを得る。サービス提供システムは要求Ｘを生成し、
移動局のパブリックキーＥを用いて暗号化してＥ（Ｘ）
を得て、それを移動局へ送る。移動局は、Ｅ（Ｘ）にプ
ライベートキーＤを用いてＸを得て、解読した状態でそ
れを応答としてサービス提供システムへ返送する。

【０００９】この問題について、処理あるいはデータ伝
送量を減少させる改良例もあるが、セルラ電話で現在用
いられているハードウェアにおいて、数秒以下で効率的
に実行できる、パブリックキー認証方法は存在しない。
認証時には、サービス提供システムとホームシステム間
でのネットワークの接続性は必要とされないが、従来方
法での時間的な制限が問題となるように、パブリックキ
ー方法でも同様の制約が生じる。

【００１０】

【課題を解決するための手段】本発明では、可変長の平
文メッセージに対して、８ビットマイクロコンピュータ
によって簡単に暗号化および解読を行うことが可能であ
る。本発明は、比較的安全な、自己転換、対称鍵暗号シ
ステムで、３段階から構成される。第１段階は、平文メ
ッセージの自動鍵暗号化である。第２段階は、自己転換
暗号化で、暗号鍵は第１段階で暗号化されたメッセージ
の一部から導出される。第３段階は、第２の自動鍵解読
で、第１段階の自動鍵暗号化に対応する。

【００１１】

【実施例】移動セルラ電話システムは、多数の移動電
話、少数のセルラ無線提供者（各提供者が複数の基地局
を有する）、複数の交換ネットワーク提供者（通信事業
者）から構成される。セルラ無線提供者と通信事業者
は、セルラおよび非セルラ両方の電話加入者とのセルラ
電話加入者による通話を可能にするように組み合せられ
る。図１に概略の構成を示すように、通信事業者Ｉおよ
びＩＩは、交換機１０−１４を有する交換ネットワーク
を形成して結合される。固定局ユニット２０および２１
は交換機１０に接続され、移動局ユニット２２および２
３は不特定位置にあり、基地局３０−４０は交換機１０
−１４に接続される。基地局３０−３４は提供者１、基
地局３５および３６は提供者２、基地局３７は提供者
４、基地局３８−４０は提供者３にそれぞれ属する。本
発明の目的では、基地局とは複数の送信器を有するセル
と同じ意味である。セルの集合体は、図１の基地局３
０、３１および３２のように、地理上のセルラサービス
エリア（ＣＧＳＡ）を形成する。

【００１２】各移動局ユニットは、そのユニット固有の
シリアル番号（ＥＳＮ）を有する。ＥＳＮ番号はユニッ
トの製造時に、製造者によって割り当てられ（例えば、
ＲＯＭ内に）、アクセスはできるが変更はできない。

【００１３】利用者がその移動電話ユニットのサービス
アカウントを申請すると、サービス提供者は利用者に、
電話番号（ＭＩＮ１指定）、エリアコード（ＭＩＮ２指
定）、“秘密キー”（Ａキー）を割り当てる。ＭＩＮ１
およびＭＩＮ２指定は提供者のＣＧＳＡに関連し、図１
の構成の全基地局は、特定のＭＩＮ２およびＭＩＮ１ペ
アの属するＣＧＳＡを識別することができる。Ａキー
は、利用者装置および提供者のＣＧＳＡプロセッサ（図
１には示さず）だけが知っている。ＣＧＳＡプロセッサ
は、ユニットのＥＳＮ、Ａキー、ＭＩＮ１およびＭＩＮ
２指定の他、サービス提供者の必要な情報を保持してい
る。

【００１４】ＭＩＮ１指定、ＭＩＮ２指定およびＡキー
がインストールされ、ＣＧＳＡプロセッサが、移動局ユ
ニットに特定のランダムシーケンス（ＲＡＮＤＳＳＤ）
を送信し、“共有秘密データ”（ＳＳＤ）の作成を指示
することによって、利用者のユニットが初期化される。
ＣＧＳＡは、ＲＡＮＤＳＳＤと、ＳＳＤフィールド作成
指令とを、移動局ユニットの存在するセルの基地局を通
して送信する。ＳＳＤフィールドの作成は図２に示され
るプロトコルに従う。

【００１５】図１の構成では、各基地局は、あらかじめ
割り当てられたいくつかの周波数チャネル（ブロードキ
ャストバンド）を用いて、そのセル内のすべてのユニッ
トに情報を送信する。さらに、各移動局ユニットに対し
て、相互に確認した、（一時的に）割り当てられたチャ
ネルによって、双方向通信を確保する。基地局と移動局
ユニットで、通信チャネルの確認を行う方法は、本発明
には重要でないため、ここでは詳しく述べない。例とし
ては、移動局ユニットが全チャネルをスキャンし空きチ
ャネルを選択する方法が考えられる。その後基地局へ、
そのＭＩＮ２およびＭＩＮ１指定を送信し（平文で、あ
るいは、パブリックキーによって暗号化して）、基地局
に認証プロセスを開始させる。認証された通信が確立さ
れると、基地局は移動局を他のチャネルへスイッチして
も良い。

【００１６】本発明による移動電話システムでの呼接続
の確立と保持方法では、認証プロセスは会話中に多数回
行われる。従って、認証プロセスは比較的安全で簡単に
行うことができなければならない。設計を簡単にし導入
費用を抑えるために、移動局ユニットおよび基地局の両
方で同じプロセスを用いるべきである。

【００１７】多くの認証プロセスは、このプロセスを行
うために、ハッシュ関数あるいは一方向性関数を用い
る。ハッシュ関数は、“秘密キー”を署名に変換する、
多対一のマッピングを実行する。以下に、簡単で、速
く、効果的で、柔軟性のあるハッシュ関数の一例を示
す。これは、本発明の認証プロセスに好都合であるが、
他のハッシュ関数を用いることもできる。

【００１８】［ジャンブルプロセス］ジャンブルプロセスでは、ｄ個の“秘密”データワード
ｂ（ｉ）（ｉ＝０，１，...，ｄ−１）からなるブロッ
クに対する署名を、ｋワードのキーｘ（ｊ）（ｊ＝０，
１，...，ｋ−１）によって生成する。ここで、ｄ，
ｉ，ｊ，およびｋは整数である。“署名”の生成プロセ
スは、１回に１つのデータワードに対して実行される。
この説明のために、ジャンブルプロセスが作用するワー
ドは８ビット長（０〜２５５の範囲を与える）であると
するが、他のワードサイズでも実行できる。“秘密”デ
ータブロック長は、次の鋸歯状波関数に組み込まれる。ｓ_d（ｔ）＝ｔ（０≦ｔ≦ｄ−１）ｓ_d（ｔ）＝２ｄ−２−ｔ（ｄ≦ｔ≦２ｄ−３）ｓ_d（ｔ）＝ｓ_d（ｔ＋２ｄ−２）（すべてのｔに対して）この関数は、ｚ＝０およびｉ＝０から開始され、０≦ｉ
≦６ｄ−５の範囲で１ずつ増加する整数ｉに対する以下
のプロセスで用いられる。（ａ）ｂ（ｓ_d（ｉ））を、ｂ（ｓ_d（ｉ））＝ｂ（ｓ_d（ｉ））＋ｘ（ｉ_k）＋ＳＢＯＸ（ｚ）ｍｏｄ２５６によって更新する。ここで、ｉ_k＝ｉｍｏｄｋＳＢＯＸ（ｚ）＝ｙ＋［ｙ／２０４８］ｍｏｄ２５６ｙ＝（ｚ（＋）１６）（ｚ＋１１１）（ｚ）である。［ｙ／２０４８］はｙを２０４８で割った整数
部を示し、（＋）はビットごとの排他的ＯＲ演算子であ
る。（ｂ）ｚを、ｚ＝ｚ＋ｂ（ｓ_d（ｉ））ｍｏｄ２５６によって更新する。

【００１９】上記のプロセスでは、データとキーの間に
明確な区別は無いことが分かる。従って、認証に用いら
れるどの符号列も、上記のプロセスでキーとして用いら
れる部分を有することができる。逆に、キーと結合され
たデータワードは、“認証”符号列と考えられる。各ワ
ードｂ（ｉ）（０≦ｉ≦ｄ−１）は１回に１つそれぞれ
ハッシングされ、ハッシングを“その場で”に行うこと
ができる。ハッシングプロセス自体には、追加のバッフ
ァは必要とされない。

【００２０】上述のプロセスで必要とされる操作は、シ
フト（２０４８による割り算）、切捨て（［］関数およ
びｍｏｄ２５６関数）、加算、乗算、およびビットごと
の排他的ＯＲ演算であるため、基本的な従来のプロセッ
サで簡単に実行できる。

【００２１】図２のＳＳＤフィールドの初期化プロセス
に戻って、ＲＡＮＤＳＳＤシーケンスと、新規のＳＳＤ
フィールドの作成指示（図２の矢印１００）が移動ステ
ーションで受信されると、図３に従って新規のＳＳＤフ
ィールドが作成される。移動局ユニットは、ＥＳＮ指
定、Ａキー、ＲＡＮＤＳＳＤシーケンスを結合して認証
符号列（認証ストリング）を形成する。認証符号列はジ
ャンブルブロック１０１（前述）へ導かれ、ジャンブル
ブロック１０１はＳＳＤフィールドを出力する。ＳＳＤ
フィールドは２つのサブフィールドから構成される：認
証手順に用いられるＳＳＤ−Ａサブフィールド、および
音声プライバシー手順およびある信号メッセージの暗号
化（後述）に用いられるＳＳＤ−Ｂサブフィールドであ
る。注意すべき点は、上記のようにして形成されたＳＳ
Ｄフィールドを再分割することによって、または、最初
にＳＳＤフィールドを拡張することによって、さらに多
くのＳＳＤサブフィールドを作成することも可能である
ことである。ＳＳＤフィールド内のビット数を増大させ
るには、より多くのデータビットから開始するだけでよ
い。以下に述べるように、これは通常困難ではない。

【００２２】ホームＣＧＳＡプロセッサは、受信された
ＭＩＮ２およびＭＩＮ１指定に対応する移動局ユニット
のＥＳＮおよびＡキーを知っている。また、送信したＲ
ＡＮＤＳＳＤシーケンスも知っている。従って、ホーム
ＣＧＳＡプロセッサは、移動局ユニットのＳＳＤフィー
ルド生成プロセスと同じことを行うことができる。ＲＡ
ＮＤＳＳＤ信号を、ＥＳＮ指定およびＡキーと連結し、
前述のジャンブルプロセスによって、ＣＧＳＡプロセッ
サは新規のＳＳＤフィールドを生成し、それをＳＳＤ−
ＡおよびＳＳＤ−Ｂのサブフィールドに分割する。しか
し、ホームプロセッサで生成されたＳＳＤフィールドは
検証されねばならない。

【００２３】図２のように、ＳＳＤフィールドの検証は
移動局ユニットによって開始される。移動局ユニットは
ブロック１０２においてランダム要求シーケンス（ＲＡ
ＮＤＢＳシーケンス）を生成し、サーバ基地局（移動局
ユニットが位置するエリアをサービスする基地局）を通
じてホームＣＧＳＡプロセッサへそれを送信する。図４
のように、ホームＣＧＳＡプロセッサは、ＲＡＮＤＢＳ
シーケンス、移動局ユニットのＥＳＮ、ＭＩＮ１指定、
新規作成したＳＳＤ−Ａを結合し、ジャンブルプロセス
で用いられる認証符号列を形成する。次に、ジャンブル
プロセスは、移動局へ送られるハッシングされた認証信
号ＡＵＴＨＢＳを生成する。移動局もまた、ＲＡＮＤＢ
Ｓシーケンス、ＥＳＮ指定、ＭＩＮ１指定、新規作成し
たＳＳＤ−Ａを結合し、ジャンブルプロセスで用いられ
る認証符号列を形成する。移動局は、そのジャンブルプ
ロセスの結果と、ホームＣＧＳＡプロセッサからのハッ
シングされた認証信号（ＡＵＴＨＢＳ）とを比較する。
比較ステップ（ブロック１０４）で一致すると、移動局
は、ＳＳＤフィールドのアップデートに成功したことを
示す確認メッセージを、ホームＣＧＳＡプロセッサへ送
る。一致しない場合には、その比較結果を移動局が送信
する。

【００２４】移動局が初期化されても、ＳＳＤフィール
ドは、ホームＣＧＳＡプロセッサが新規のＳＳＤフィー
ルドを生成することを指示するまで、そのまま保持され
る。新規のＳＳＤフィールドの作成は例えば、ＳＳＤフ
ィールドが傍受されたことが認められる場合に生じる。
そのような場合、ホームＣＧＳＡプロセッサは移動局に
もう一つのＲＡＮＤＳＳＤシーケンスを送り、新規のＳ
ＳＤフィールドを生成するように指示する。

【００２５】前述のように、セルラ電話では各基地局か
ら、そのセル内のすべての移動局ユニットのために、種
々の情報信号が送信される。図１の構成では、基地局か
ら送信される信号の一つは、ランダムあるいは疑似ラン
ダムシーケンス（ＲＡＮＤシーケンス）である。ＲＡＮ
Ｄシーケンスは、移動局ユニットで生成および送信され
た信号をランダム化する、種々の認証プロセスに用いら
れる。ＲＡＮＤシーケンスは、記録／再生による攻撃を
防ぐために定期的に変更されねばならない。ＲＡＮＤ信
号の変更周期の設定方法として、予想される平均通話時
間より短く設定する方法がある。従って、通常移動局で
は、連続する通話に対して異なったＲＡＮＤ信号を用い
ることになる。

【００２６】本発明では、移動局ユニットがセルに入る
とすぐに、認証されるように基地局ユニットに登録し、
移動局からの発呼と、基地局から移動局への発呼が行え
るようにする。移動局がサーバ基地局に登録されると、
サーバ基地局へ、ＭＩＮ１およびＭＩＮ２指定ならびに
ＥＳＮシーケンスを送信する。認証プロセスは登録の際
に行われ、そのプロセスを図５に示す。図５のように、
移動局はＲＡＮＤシーケンスを受信し、ＥＳＮシーケン
ス、ＭＩＮ１指定、ＳＳＤ−Ａサブフィールドを結合
し、ジャンブルプロセスで用いられる認証符号列を形成
する。ジャンブルプロセスの出力の、分割された認証符
号列は、ＥＳＮシーケンスとともにサーバ基地局へ送ら
れる。

【００２７】ある実施例では、移動局ユニットによって
使用されるＲＡＮＤシーケンスの全部または一部もまた
（ＥＳＮシーケンスならびにＭＩＮ１およびＭＩＮ２指
定とともに）サーバ基地局に送られる。その理由は、ハ
ッシュ認証ストリングが基地局に到達するときまでにＲ
ＡＮＤ値が変化する可能性があるためである。

【００２８】サーバ基地局は、ＲＡＮＤシーケンスを生
成したためそれを知っている。基地局はまた、移動局ユ
ニットを識別するための、ＥＳＮ、ＭＩＮ２およびＭＩ
Ｎ１指定をも知っている。しかし、最初の登録時には、
サーバ基地局は移動局ユニットのＳＳＤフィールドを知
らない。しかし、移動局ユニットのホームＣＧＳＡプロ
セッサを知っている（ＭＩＮ１およびＭＩＮ２指定か
ら）ため、認証プロセスは以下のようになる。サーバ基
地局は、ホームＣＧＳＡプロセッサに、ＭＩＮ１指定、
ＥＳＮシーケンス、移動局ユニットが送信したハッシュ
認証符号列、ハッシュ認証符号列を生成するために移動
局ユニットが用いたＲＡＮＤシーケンスを送信する。移
動局ユニットのＭＩＮ１指定およびＥＳＮシーケンスか
ら、ホームＣＧＳＡプロセッサは、移動局ユニットのＳ
ＳＤ−Ａサブフィールドを知り、前述のように認証符号
列を生成し、ジャンブルプロセスへ導く。ホームＣＧＳ
Ａプロセッサによって生成されたハッシュ認証符号列
が、移動局ユニットによって生成され、サーバ基地局か
ら送られたハッシュ認証符号列と一致する場合には、検
証は成功したと見なされる。この場合、ホームＣＧＳＡ
プロセッサは、サーバ基地局にユニットのＳＳＤフィー
ルドを与える。ＥＳＮ指定およびＳＳＤフィールドの安
全を確保するために、基地局とＣＧＳＡプロセッサ間の
通信は暗号形式で行われる。

【００２９】移動局ユニットが（上記のプロセスによっ
て）サーバ基地局に「登録」されると、サーバ基地局は
移動局ユニットのＥＳＮおよびＳＳＤフィールドを所有
し、そのセルでの以後の認証プロセスは、次の１つの場
合を除いてホームＣＧＳＡプロセッサの参照なしにサー
バ基地局で実行可能である。何らかの理由で、ＳＳＤフ
ィールドを変更したい場合には、通信はホームＣＧＳＡ
プロセッサと移動局ユニットの間で有効であり、サーバ
基地局はこの通信のための通路としてのみ作用する。す
なわち、・ホームＣＧＳＡプロセッサはＲＡＮＤＳＳＤシーケ
ンスを作成し、そのＲＡＮＤＳＳＤシーケンスに基づい
てＳＳＤフィールドを変更する。・ホームＣＧＳＡプロセッサはサーバ基地局にＲＡＮ
ＤＳＳＤシーケンスおよび新たに作成したＳＳＤフィー
ルドを提供する。・サーバ基地局は、移動局ユニットに対し、ＳＳＤフ
ィールドを変更するよう指示し、移動局ユニットにＲＡ
ＮＤＳＳＤシーケンスを提供する。・移動局ユニットはＳＳＤフィールドを変更し、サー
バ基地局に要求ストリングを送る。・サーバ基地局は（上記の）ＡＵＴＨＢＳストリング
を作成し、それを移動局ユニットに送る。・移動局ユニットはＡＵＴＨＢＳストリングを確認
し、サーバ基地局に対し、移動局ユニットおよびサーバ
基地局の両方が同一のＳＳＤフィールドを有することを
通知する。

【００３０】図６に示すように、サーバ基地局によって
登録された後、移動局ユニットは通話を開始することが
できる。通話開始シーケンスは、信号ＲＡＮＤ、ＥＳ
Ｎ、ＳＳＤ−Ａおよび少なくともいくつかの被呼者識別
（電話）番号（図７のＭＩＮ３）を連結したものであ
る。連結された信号は、サーバ基地局が確認可能なハッ
シュ認証シーケンスを生成するためにジャンブルプロセ
スに送られる。もちろん、サーバ基地局での確認を可能
にするためには、被呼者識別情報（および、以前のよう
に、おそらくＲＡＮＤ信号の一部）は基地局が受信可能
な方法（例えば平文）で送信されなければならない。認
証シーケンスが確認されると、基地局は呼を処理し被呼
者への接続を形成することが可能となる。

【００３１】移動局ユニットが「被呼者」である場合に
移動局ユニットに接続するためのプロトコルは図５の登
録プロトコルに従う。すなわち、サーバ基地局は、被呼
移動局に対し、ＲＡＮＤシーケンス、ＥＳＮ指定、ＭＩ
Ｎ１指定およびＳＳＤ−Ａサブフィールドから作成され
た認証シーケンスを送信するよう要求する。認証が実行
されると、基地局と被呼者移動局ユニットの間には、被
呼者移動局ユニットが発呼移動局ユニット（または固定
局ユニット）との間でデータを送受信するためのパスが
設定される。

【００３２】上記のすべての認証は、認証されるパケッ
トすなわちストリング自体に関してのみ（確認されると
いう意味で）有効であることに注意すべきである。その
他の場合にセキュリティを強化するためには、３つの異
なる付加的なセキュリティ手段が使用可能である。それ
らは、音声暗号化、臨時の再認証、および制御メッセー
ジ暗号化である。

【００３３】［音声暗号化］音声信号は、最初にそれをディジタル形式に変換するこ
とによって暗号化される。これはさまざまな従来の方法
で実現可能であり、圧縮や誤り訂正符号を加えることも
できる。ディジタル信号のビットはＫビットからなる連
続するグループに分割され、各グループが暗号化され
る。特に、移動局ユニットおよび基地局の両方におい
て、ＲＡＮＤシーケンス、ＥＳＮおよびＭＩＮ１指定、
ならびにＳＳＤ−Ｂサブフィールドは連結されジャンブ
ルプロセスに送られる。ジャンブルプロセスは２Ｋビッ
トを生成し、これらのビットはそれぞれＫビットからな
るグループＡおよびＢに分割される。移動局ユニットで
は、グループＡが出力音声を暗号化するために使用さ
れ、グループＢが入力音声を解読するために使用され
る。逆に、基地局では、グループＡが入力音声を解読す
るために使用され、グループＢが出力音声を暗号化する
ために使用される。図７はこの音声暗号化および解読プ
ロセスを示す。

【００３４】［再認証］基地局の希望により、基地局によってアクティブである
と信じられている移動局ユニットが、実際に、アクティ
ブであると認定された移動局ユニットであることを確認
するために、再認証プロセスが開始される。これは、基
地局が、移動局ユニットに対し、図８に従ってハッシュ
認証ストリングの送信を要求することによって実現され
る。このような各要求とともに、基地局は特殊な（ＲＡ
ＮＤＵ）シーケンスを送信する。移動局ユニットは、Ｒ
ＡＮＤＵシーケンス、移動局ユニットのエリアコードＭ
ＩＮ２指定、ＥＳＮ指定、ＭＩＮ１指定およびＳＳＤ−
Ａ指定を連結することによって認証ストリングを作成す
る。連結されたストリングはジャンブルプロセスに送ら
れ、生じたハッシュ認証ストリングが基地局に送られ
る。基地局は、この時点で、ハッシュ認証ストリングが
正当であることを確認することができる。

【００３５】［制御メッセージ暗号化システム］第３のセキュリティ手段は、制御メッセージのプライバ
シー（秘密性）の保証を取り扱う。設定された通話の間
に、制御メッセージの送信を要求するさまざまな状況が
生じることがある。ある場合は、制御メッセージは発呼
移動局または基地局に重大な悪影響を与えることがあ
る。このため、対話の進行中に送信されるある種の制御
メッセージを（十分に）暗号化することが所望される。
あるいは、選択されたメッセージ種の選択されたフィー
ルドを暗号化することも可能である。これは、クレジッ
トカード番号のような「データ」制御メッセージや、通
話再定義制御メッセージを含む。これは制御メッセージ
暗号化システムによって実現される。

【００３６】制御メッセージ暗号化システム（ＣＭＣ）
は以下の性質を有する対称鍵暗号化システムである。（１）比較的安全である。（２）８ビットコンピュータ上で効率的に動作する。（３）自己反転的である（すなわちインボリュー
ト）。

【００３７】ＣＭＣの暗号鍵は、次のようにして「秘
密」（例えば、ＳＳＤ−Ｂサブフィールド）から導出さ
れる、２５６バイトの配列ＴＢＯＸ［ｚ］である。１．０≦ｚ＜２５６の範囲の各ｚに対し、ＴＢＯＸ
［ｚ］＝ｚとおく。２．配列ＴＢＯＸ［ｚ］および秘密（ＳＳＤ−Ｂ）を
ジャンブルプロセスに送る。これは、本質的に、（図７では２５６バイトではなく２
Ｋビットであることを除いては）図７の要素３０１、３
０２および３０３で示されたものである。

【００３８】鍵が導出されると、ＣＭＣが、制御メッセ
ージを暗号化および解読するために使用可能となる。あ
るいは、鍵が使用されるたびごとに、鍵を「その場で」
導出することも可能である。ＣＭＣは複数バイトの可変
長メッセージを暗号化する能力を有する。ＣＭＣの作用
は自己反転的、逆数的あるいはインボリュートである。
すなわち、平文を生じるために暗号文に対してなされる
操作と、暗号文を生じるために平文に対してなされる操
作が、完全に同一である。インボリュート関数は、それ
自身の逆関数である（例、ｘ＝１／ｘ’，ｘ＝Ｔ（Ｔ
（ｘ’）））。従って、ＣＭＣ操作を２度実行すると、
バッファの内容は不変のままである。

【００３９】以下の説明では、暗号化プロセス（および
解読プロセス）に対し、平文（または暗号文）はデータ
バッファ内に存在し、ＣＭＣは、そのデータバッファの
内容に対し、データバッファの最終内容が暗号文（また
は平文）を構成するように作用する、と仮定する。これ
は、図９の要素５０２および５０４が１つの同一のレジ
スタでよいことを意味する。

【００４０】ＣＭＣは３つの連続する段階からなり、そ
れぞれデータバッファ内の各バイト列を変更する。全体
としてのＣＭＣおよびＣＭＣの第２段階はインボリュー
トである。データバッファの長さがｄバイトであり、各
バイトをｂ（ｉ）で表すとき、０≦ｉ＜ｄの範囲のｉに
対し、Ｉ．ＣＭＣの第１段階は次の通りである。１．変数ｚを０に初期化する。２．０≦ｉ＜ｄの範囲の連続する整数値ｉに対し、ａ．変数ｑを、ｑ＝ｚ（＋）（ｉの下位バイト）とす
る。ただし、（＋）はビットごとの排他的ＯＲ演算子で
ある。ｂ．変数ｋを、ｋ＝ＴＢＯＸ［ｑ］とする。ｃ．ｂ（ｉ）を、ｂ（ｉ）＝ｂ（ｉ）＋ｋｍｏｄ
２５６と更新する。ｄ．ｚを、ｚ＝ｂ（ｉ）＋ｚｍｏｄ２５６と更
新する。ＩＩ．ＣＭＣの第２段階はインボリュートで、次の通
りである。１．０≦ｉ＜（ｄ−１）／２の範囲のすべての整数値
ｉに対し、ｂ（ｉ）＝ｂ（ｉ）＃（ｂ（ｄ−１−ｉ）Ｏ
Ｒ１）とする。ただし、（＋）はビットごとのＯＲ
演算子である。ＩＩＩ．ＣＭＣの最終段階は、第１段階の逆である解
読である。１．変数ｚを０に初期化する。２．０≦ｉ＜ｄの範囲の連続する整数値ｉに対し、ａ．変数ｑを、ｑ＝ｚ（＋）（ｉの下位バイト）とす
る。ｂ．変数ｋを、ｋ＝ＴＢＯＸ［ｑ］とする。ｃ．ｚを、ｚ＝ｂ（ｉ）＋ｚｍｏｄ２５６と更
新する。ｄ．ｂ（ｉ）を、ｂ（ｉ）＝ｂ（ｉ）−ｋｍｏｄ
２５６と更新する。選択された制御メッセージおよびデータメッセージを暗
号化および解読するために使用されるこれら３段階のプ
ロセスを図９に示す。１つの所望される実施例では、第
１段階および第３段階はそれぞれ自動鍵暗号化および解
読である。自動鍵システムは、システムの出力が以後の
システムの出力に影響を与えるように使用されるような
時変システムである。暗号および自動鍵システムに関す
るこれ以上のことは、W. Diffie and M. E. Hellman, "
Privacy and Authentication: AnIntroduction to Cryp
tography"（プライバシーと認証：暗号入門）, Proc. o
fthe I.E.E.E., Vol.67, No.3（１９７９年３月）を参
照。

【００４１】［移動局ユニット機器］図１０は、移動局ユニットハードウェアのブロック図で
ある。これは、セルラ電話のキーパッド、受話器および
装置の電源制御スイッチ（図示せず）を含む制御ブロッ
ク２００を有する。制御ブロック２００はプロセッサ２
１０に接続される。プロセッサ２１０は、音声信号をデ
ィジタル表現に変換すること、誤り訂正符号を組み込む
こと、出力ディジタル音声信号を暗号化すること、入力
音声信号を解読すること、さまざまな制御メッセージを
形成および暗号化（さらに解読）すること、などのよう
な、移動局ユニットの動作を制御する。ブロック２１０
は、信号の送受信に関連する回路の集合からなるブロッ
ク２２０に結合される。ブロック２００〜２２０は、市
販の移動電話装置によって現在実行されている機能を実
行する（市販の装置は暗号化および解読は実行しない
が）、基本的には従来のブロックである。これまで説明
した認証および暗号化プロセスを実現するため、図１０
の装置は、プロセッサ２１０に結合したいくつかのレジ
スタからなるブロック２４０と、同じくプロセッサ２１
０に結合した「個性」モジュール２３０をも含む。モジ
ュール２３０は、移動電話装置の物理的構造の一部でも
よいし、ソケットインタフェースを通じて移動電話装置
に結合した取り外し可能（かつはめ込み可能）なモジュ
ールでもよい。これは、電磁パスすなわち接続を通じて
プロセッサ２１０に結合してもよい。モジュール２３０
は、例えば、「スマートカード」である。

【００４２】モジュール２３０はジャンブルプロセッサ
２３１およびプロセッサ２３１に付随するいくつかのレ
ジスタからなる。あるいは、他の所望される実施例で
は、Ａキーのみがモジュール２３０内に存在する。Ａキ
ー、ならびにＭＩＮ１およびＭＩＮ２指定を、ブロック
２４０のレジスタではなく、モジュール２３０のレジス
タに組み込む（そして保持する）ことからいくつかの利
益が生じる。生成されたＳＳＤフィールドをモジュール
２３０のレジスタに格納することも有益である。さら
に、プロセッサ２３１のプロセスを実行するために必要
な作業レジスタをモジュール２３０のレジスタに含める
ことも有益である。これらの要素をモジュール２３０に
含めることにより、ユーザは、モジュールを携帯してそ
れを異なる移動局ユニット（例えば「拡張」移動局ユニ
ット）で使用するとともに、重要な情報がモジュール外
に格納されることがないようにすることができる。もち
ろん、移動局ユニットは、モジュール２３０が装置の統
合的かつ永続的部分であるように生産することも可能で
ある。このような実施例では、ジャンブルプロセッサ２
３１はプロセッサ２１０内に合併することができる。ブ
ロック２４０は、装置のＥＳＮ指定および受信されるさ
まざまなＲＡＮＤシーケンスを格納する。

【００４３】本発明は、セルラ電話における加入者の認
証に関するものであるが、ポータブルハンドセットを用
いるパーソナル通信ネットワークも包含し、本発明の原
理は、通信の安全性が十分に確保されない場合や、偽装
者が問題となる場合にも有効である。例えば、コンピュ
ータネットワークも含まれる。

【００４４】

【発明の効果】以上に述べたように、本発明では、セル
ラ電話システムにおける暗号システムにおいて、可変長
の平文メッセージを、８ビットマイクロコンピュータに
よって簡単に暗号化および解読を行うことが可能な、比
較的安全な、自己反転的、対称鍵暗号システムを提供す
ることができる。

【図面の簡単な説明】

【図１】固定および移動電話の両方のサービスのために
相互接続された、ネットワーク提供者およびセルラ無線
提供者の構成を示す図である。

【図２】共有秘密データフィールドの作成と同一性の検
証を行うプロセスを示す図である。

【図３】共有秘密データを作成するために連結されハッ
シュされた要素を示す図である。

【図４】確認シーケンスを作成するために連結されハッ
シュされた要素を示す図である。

【図５】移動局ユニットが発信する際に、登録シーケン
スを作成するために連結されハッシュされた要素を示す
図である。

【図６】発呼シーケンスを作成するために連結されハッ
シュされた要素を示す図である。

【図７】移動局ユニットでの音声の暗号化および解読プ
ロセスを示す図である。

【図８】再認証シーケンスを作成するために連結されハ
ッシュされた要素を示す図である。

【図９】選択された制御メッセージおよびデータメッセ
ージの暗号化および解読のための３段階のプロセスを示
す図である。

【図１０】移動局ユニットのハードウェアのブロック図
である。

【符号の説明】

１０−１４交換機２０−２１固定局２２−２３移動局３０−４０基地局１０１ジャンブルブロック２００制御ブロック２１０プロセッサ２２０送受信ブロック２３０モジュール２３１プロセッサ２４０レジスタブロック

Claims

(57)【特許請求の範囲】

【請求項１】通信システムにおいて、メッセージを表
すメッセージ信号の集合を変換する暗号化方法におい
て、暗号化プロセス（５０５）およびキー信号の集合（５０
３）によって前記メッセージ信号の集合を暗号化して第
１の中間信号の集合を形成する暗号化ステップと、インボリュート変換（５０７）に従って前記第１中間信
号の集合を変更して第２の中間信号の集合を形成する変
更ステップと、前記暗号化プロセスの逆である解読プロセス（５１１）
によって前記第２中間信号の集合を解読して出力信号の
集合を形成する解読ステップとを有し、前記変更ステップは、前記第１中間信号の集合の第１の
部分集合に基づいた非キー変換によって、前記第１の中
間信号の集合の第２の部分集合を修正するステップから
なり、前記第２の中間信号の集合は、該第１の部分集合
と、修正した該第２の部分集合とからなることを特徴と
する暗号化方法。
【請求項２】前記暗号化ステップおよび前記解読ステ
ップは、自動鍵暗号を用いることを特徴とする請求項１
の方法。
【請求項３】ソース信号の集合から、前記キー信号の
集合を導出する導出ステップをさらに有することを特徴
とする請求項１の方法。
【請求項４】前記導出ステップは、前記ソース信号の
集合により初期設定信号の集合をハッシュして前記キー
信号の集合を形成するハッシュステップからなることを
特徴とする請求項３の方法。
【請求項５】前記キー信号の集合の要素の数と前記初
期設定信号の集合の要素の数は等しいことを特徴とする
請求項４の方法。
【請求項６】前記導出ステップは、前記ハッシュステ
ップで用いることのできる前記初期設定信号の集合を作
成するステップを有することを特徴とする請求項５の方
法。
【請求項７】メッセージ信号の集合の要素の個数をＤ
として、前記暗号化ステップは、信号ｚを所定の値に設定するステップと、０≦ｉ＜Ｄの範囲の相異なる整数値信号ｉに対し、前記信号ｉおよびｚのそれぞれの値に基づいて信号ｑを
設定するステップと、前記キー信号の配列のｑ番目の要素をＴ［ｑ］として、
信号ｋを、前記信号ｑおよびＴ［ｑ］のそれぞれの値に
基づいて設定するステップと、前記第１の中間信号の配列のｉ番目の要素を、前記メッ
セージ信号の配列のｉ番目の要素および前記信号ｋのそ
れぞれの値に基づいて生成するステップと、前記信号ｚの値を、前記第１の中間信号の配列のｉ番目
の要素および前記信号ｚのそれぞれの値に基づいて更新
するステップとからなることを特徴とする請求項１の方
法。
【請求項８】メッセージ信号の集合の要素の個数をＤ
として、前記暗号化ステップは、ｎビット信号ｚを所定の値に設定するステップと、０≦ｉ＜Ｄの範囲の連続する整数値をとるインデックス
ｉに対し、ビットごとの排他的論理和演算子を＃で表し、ｉｍｏ
ｄ２ⁿをｍとして、ｎビット信号ｑをｚ＃ｍに設定す
るステップと、前記キー信号の配列のｑ番目のｎビット要素をＴ［ｑ］
として、ｎビット信号ｋをＴ［ｑ］に設定するステップ
と、前記メッセージ信号の配列のｉ番目のｎビット要素とｎ
ビット信号ｋを、２ⁿを法として加算することによっ
て、前記第１の中間信号の配列のｉ番目のｎビット要素
を生成するステップと、前記第１の中間信号の配列のｉ番目のｎビット要素とｎ
ビット信号ｚを、２ⁿを法として加算することによっ
て、前記ｎビット信号ｚの値を更新するステップとから
なることを特徴とする請求項１の方法。
【請求項９】前記ｎは８であることを特徴とする請求
項８の方法。
【請求項１０】メッセージ信号の集合の要素の個数を
Ｄとし、前記第１の中間信号の集合のｉ番目の要素をｂ
（ｉ）とし、ｑはｂ（ｘ）に基づき、ｘはＤおよびｉの
値に基づき、ビットごとの排他的論理和演算子を＃で表
して、前記変更ステップは、０≦ｉ＜（Ｄ−１）／２の
範囲で、ｂ（ｉ）＃ｑに等しい前記第２の中間信号の集
合のｉ番目の要素を生成するステップからなることを特
徴とする請求項１の方法。
【請求項１１】メッセージ信号の集合の要素の個数を
Ｄとして、前記解読ステップは、信号ｚを所定の値に設定するステップと、０≦ｉ＜Ｄの範囲の相異なる整数値信号ｉに対し、信号ｉおよびｚのそれぞれの値に基づいて信号ｑを設定
するステップと、前記キー信号の配列のｑ番目の要素をＴ［ｑ］として、
信号ｋを、前記信号ｑおよびＴ［ｑ］のそれぞれの値に
基づいて設定するステップと、前記信号ｚの値を、前記第２の中間信号の配列のｉ番目
の要素および前記信号ｚのそれぞれの値に基づいて更新
するステップと、前記出力信号の配列のｉ番目の要素を、前記第２の中間
信号の配列のｉ番目の要素および前記信号ｋのそれぞれ
の値に基づいて生成するステップとからなることを特徴
とする請求項１の方法。
【請求項１２】メッセージ信号の集合の要素の個数を
Ｄとして、前記解読ステップは、ｎビット信号ｚを所定の値に設定するステップと、０≦ｉ＜Ｄの範囲の連続する整数値をとるインデックス
ｉに対し、ビットごとの排他的論理和演算子を＃で表し、ｉｍｏ
ｄ２ⁿをｍとして、ｎビット信号ｑをｚ＃ｍに設定す
るステップと、前記キー信号の配列のｑ番目のｎビット要素をＴ［ｑ］
として、ｎビット信号ｋをＴ［ｑ］に設定するステップ
と、前記第２の中間信号の集合のｉ番目のｎビット要素と前
記信号ｚを、２ⁿを法として加算することによって、前
記ｎビット信号ｚの値を更新するステップと、前記第２の中間信号の集合のｉ番目の要素からｎビット
信号ｋを、２ⁿを法として減算することによって、前記
出力信号の集合のｉ番目のｎビット要素を生成するステ
ップとからなることを特徴とする請求項１の方法。
【請求項１３】前記ｎは８であることを特徴とする請
求項１２の方法。
【請求項１４】前記メッセージ信号の集合は、セルラ
電話システムにおけるメッセージを表すことを特徴とす
る請求項１の方法。
【請求項１５】前記メッセージ信号の集合は、音声を
表すことを特徴とする請求項１の方法。
【請求項１６】前記メッセージ信号の集合は、非音声
データを表すことを特徴とする請求項１の方法。
【請求項１７】前記メッセージ信号の集合は、無線通
信システムにおけるメッセージを表すことを特徴とする
請求項１の方法。
【請求項１８】メッセージを表すメッセージ信号の集
合を変換するための暗号化システムにおいて、暗号化プロセスおよびキー信号の集合（５０３）によっ
て前記メッセージ信号の集合を暗号化して第１の中間信
号の集合を形成する暗号化手段（２１０）と、インボリュート変換によって前記第１の中間信号の集合
を変更して第２の中間信号の集合を形成する変更手段
（２１０）と、前記暗号化プロセスの逆である解読プロセスによって前
記第２の中間信号を解読して出力信号の集合を形成する
解読手段（２１０）とを有し、前記変更手段は、前記第１中間信号の集合の第１の部分
集合に基づいた非キー変換によって、前記第１の中間信
号の集合の第２の部分集合を修正する手段からなり、前
記第２の中間信号の集合は、該第１の部分集合と、修正
した該第２の部分集合とからなることを特徴とする暗号
化システム。
【請求項１９】前記暗号化手段および前記解読手段
は、自動鍵暗号を用いることを特徴とする請求項１８の
暗号化システム。
【請求項２０】メッセージ信号の集合の要素の個数を
Ｄとして、前記暗号化手段は、信号ｚを所定の値に設定する手段と、０≦ｉ＜Ｄの範囲の相異なる整数値に信号ｉを設定する
手段と、前記信号ｉおよびｚのそれぞれの値に基づいて信号ｑを
設定する手段と、前記キー信号の配列のｑ番目の要素をＫ［ｑ］として、
信号ｋを、前記信号ｑおよびＫ［ｑ］のそれぞれの値に
基づいて設定する手段と、前記第１の中間信号の集合のｉ番目の要素を、前記メッ
セージ信号の集合のｉ番目の要素および前記信号ｋのそ
れぞれの値に基づいて生成する手段と、前記信号ｚの値を、前記第１の中間信号の集合のｉ番目
の要素および前記信号ｚのそれぞれの値に基づいて更新
する手段とからなることを特徴とする請求項１８の暗号
化システム。
【請求項２１】メッセージ信号の集合の要素の個数を
Ｄとし、前記第１の中間信号の集合のｉ番目の要素をｂ
（ｉ）とし、ｑはｂ（ｘ）に基づき、ｘはＤおよびｉの
値に基づき、ビットごとの排他的論理和演算子を＃で表
して、前記変更手段は、０≦ｉ＜（Ｄ−１）／２の範囲
で、ｂ（ｉ）＃ｑに等しい前記第２の中間信号の集合の
ｉ番目の要素を生成することを特徴とする請求項１８の
暗号化システム。
【請求項２２】メッセージ信号の集合の要素の個数を
Ｄとして、前記解読手段は、信号ｚを所定の値に設定する手段と、０≦ｉ＜Ｄの範囲の相異なる整数に信号ｉを設定する手
段と、前記信号ｉおよびｚのそれぞれの値に基づいて信号ｑを
設定する手段と、前記キー信号の配列のｑ番目の要素をＫ［ｑ］として、
信号ｋを、前記信号ｑおよびＫ［ｑ］のそれぞれの値に
基づいて設定する手段と、前記信号ｚの値を、前記第２の中間信号の集合のｉ番目
の要素および前記信号ｚのそれぞれの値に基づいて更新
する手段と、前記出力信号の集合のｉ番目の要素を、前記第２の中間
信号の集合のｉ番目の要素および前記信号ｋのそれぞれ
の値に基づいて生成する手段とからなることを特徴とす
る請求項１８の暗号化システム。