JP5009932B2 - 低リソース試験器の認証方法及びシステム - Google Patents

Description

本発明は、デジタルシステムでのセキュリティに関し、特にデジタルシステムで試験器（prover）を認証することに関する。

消費者製品管理のためにRFID（Radio Frequency Identification）を使用することは、（タグが今日使用されているバーコードに置き換わった場合）製品の製造から消費者への販売時点まで、製品管理のコストを減少させつつ、効率を増加させる見込みがある。EPC Global, 2003a, Version 1.0 Specifications for RFID Tags（Electronic Product Code (EPC) Globalと呼ばれる）という世界標準が既に規定されている。このイニシアチブは、基本的に全ての消費者製品を対象とすることになっている。従って、安価な製品にRFIDタグを有することを経済的に実現可能にするために、これらのタグは低コストでなければならず、処理能力、記憶及び通信機能に制限があることを意味する。

低コストの電力のないRFIDタグは、タグが電力を受けるRFIDリーダにより照会されたときに、基本的にタグ毎の固有の識別子（EPC）で応答することにより動作する。１つ１つの消費者製品アイテムのこの固有の識別子は、製品を識別し、更に小売業者によりアクセス可能なデータベースの完全な製品記録を示すために、例えば小売業者のリーダにより使用可能である。一般的に、これらの用途は、リーダの範囲内に入り得る非常に大量のタグ付き製品を含む。この場合、システムを柔軟且つ実用的に保持するために、リーダは、識別子がリーダで事前登録される必要なく、これらの製品／タグのいずれかを識別する必要があることがある。

消費者にとっても、固有の製品識別情報の多数の可能な用途（例えば、食品の料理指示を自動的に設定するスマートオーブン）が存在するため、消費者への販売の後にタグの機能を保持することは興味深い。しかし、単純な応答動作（如何なるリーダの要求に対してもEPCを発すること）と共に、これらのタグの遍在する側面はまた、消費者にプライバシーの問題をもたらす。リーダを運ぶ未許可の人は、移動中の人により運ばれる製品の識別子を知り、その人が何を運んでいるか又は身につけているかを知ることができる可能性がある。更に、しばしば一緒に運んでいるタグの固有の組み合わせにより、人の追跡も可能になり得る。

これらのプライバシーの問題を解決する試みが提案されている。Ari Juelsによる“Minimalist Cryptography for Low-Cost RFID Tags”という題で、この特許出願時にhttp://www.rsasecurity.com/rsalabs/node.asp?id=2033のURLで入手可能な文献では、これらの問題を解決する試みが提案されている。この文献は、タグの負荷を計算からメモリ要件に移行するリーダを用いたタグのプライベート認証についてセキュリティ方式を提案している。この方式では、タグは、リーダにより照会されたときに循環する複数の偽名（pseudonym）を有する。タグとリーダとの間で相互認証を実現するために、これらは事前に全てのタグの偽名のリストを共有し、偽名毎に、相互認証を実現するために双方により交換される２つの更なる秘密値を共有する。全ての値が平文で送信されるため、相互認証の後に、タグの全ての値（すなわち、偽名及び秘密値）を更新する機構が、リーダについて記載されている。この方式は、（識別だけでなく）タグのクローニング（cloning）を回避するタグ認証を提供するが、欠点を有する。かなり影響の大きい１つの欠点は、リーダでのタグの事前登録が必要になるという事実にある。更に、１つより多くのリーダとのタグの相互作用は扱われないため、リーダがタグを更新すると、他のリーダが新しく更新されたタグの値を知るための提案された機構が存在しない。更に、この方式は、タグとリーダとの間の通信コストに非常に要求が厳しい。

前述のことを鑑みて、本発明の目的は、前述の問題に対処することであり、特に、リーダによる低電力タグのプライベート認証を提供することである。プライベート認証では、如何なるタグも、事前登録を必要とせずに、１つ以上のリーダによりプライベートに認証され得る。

一般的に、前記の目的は、独立項により実現される。

本発明の第１の態様は、試験器（prover）と検証器（verifier）とを有する無線認証（Radio Frequency Identification）システムで試験器の認証を可能にする方法であり、試験器が試験器識別子と親識別子とを検証器に送信するステップと、検証器が検証器識別子を試験器に送信するステップと、試験器が試験器多項式を用いて第１の共通の秘密を計算するステップであり、試験器多項式の未知数は少なくとも検証器識別子の関数を使用して計算された結果により置換されるステップと、検証器が第１の検証器多項式を用いて第１の共通の秘密を計算するステップであり、第１の検証器多項式の第１の未知数は試験器識別子により置換され、第１の検証器多項式の第２の未知数は親識別子により置換されるステップと、試験器が少なくとも第１の共通の秘密に関して第１の核心（core）の秘密を変調することにより、第１のメッセージを生成するステップと、試験器が第１のメッセージを検証器に送信するステップと、検証器が第１の共通の秘密で第１のメッセージを復調することにより、第１の核心の秘密の第１の候補を生成するステップとを有し、これにより、第１の核心の秘密の候補が認証に使用される。このことにより、検証器及び試験器は、核心の秘密を変調するために使用される共通の秘密を独立して生成することが可能になる。この共通の秘密により、検証器での試験器の事前登録が不要になる。更に、多項式を使用した計算は、あまり処理能力を必要としない。

試験器が第１の共通の秘密を計算するステップは、試験器多項式を用いて第１の共通の秘密を計算することを有してもよく、試験器多項式の未知数は、少なくとも検証器識別子とパラメータの第１の値との関数を使用して計算された結果により置換され、検証器が第１の共通の秘密を計算するステップは、第１の検証器多項式を用いて第１の共通の秘密を計算することを有してもよく、第２の検証器多項式の第１の未知数は試験器識別子により置換され、第２の検証器多項式の第２の未知数は親識別子により置換され、第１の検証器多項式はパラメータの第１の値に関連し、この方法は、試験器が試験器多項式を用いて第２の共通の秘密を計算するステップであり、試験器多項式の未知数は少なくとも検証器識別子とパラメータの第２の値との関数を使用して計算された結果により置換されるステップと、検証器が第２の検証器多項式を用いて第２の共通の秘密を計算するステップであり、第２の検証器多項式の第１の未知数は試験器識別子により置換され、第２の検証器多項式の第２の未知数は親識別子により置換され、第２の検証器多項式はパラメータの第２の値に関連するステップとを更に有してもよい。

少なくとも検証器識別子とパラメータの値との関数は、検証器識別子とパラメータの値との和でもよい。関数として加算を使用することは、この状況に適切であり、あまり処理能力を必要としない。

試験器多項式は、第１の未知数が試験器識別子により置換され、第２の未知数が親識別子により置換されたマスター多項式から導かれてもよく、検証器多項式は、第３の未知数が検証器識別子とパラメータの第１の値との和により置換され、第１の検証器多項式がパラメータの第２の値に関連するマスター多項式から導かれ、マスター多項式は少なくとも３つの未知数を有する。これにより、マスター多項式は秘密に保持され、必要な検証器及び試験器多項式を生成してもよい。

第２の核心の秘密は、この方法の次の実行のために、試験器識別子になるように設定されてもよい。

マスター多項式は、ネットワークマスター多項式から導かれてもよく、ネットワークマスター多項式は少なくとも４つの未知数を有する。これにより、多項式の階層が生成され、展開を簡単にする。

この方法は、試験器が第２の共通の秘密で第１の核心の秘密を変調することにより、第２のメッセージを生成するステップと、試験器が第２のメッセージを検証器に送信するステップと、検証器が第２の共通の秘密で第２のメッセージを復調することにより、第１の核心の秘密の第２の候補を生成するステップと、検証器が第１の核心の秘密が第１の核心の秘密の第１の候補であることを条件付で認証するステップであり、検証器の条件は第１の核心の秘密の第１の候補の値が第１の核心の秘密の第２の候補の値と等しいことを少なくとも有するステップとを更に有してもよい。このことにより、第１の核心の秘密の認証が可能になる。

この方法は、検証器が第２の核心の秘密を生成するステップと、検証器が共通の秘密で第２の核心の秘密を変調することにより、第３のメッセージを生成するステップと、検証器が計算秘密を生成するステップと、検証器が共通の秘密で計算秘密を変調することにより、第４のメッセージを生成するステップと、検証器が共通の秘密で第２の核心の秘密と計算秘密とを変調することにより、第５のメッセージを生成するステップと、検証器が第３、第４及び第５のメッセージを試験器に送信するステップと、試験器が第３のメッセージが変調された共通の秘密に対応する共通の秘密で第３の変調メッセージを復調することにより、候補の第２の核心の秘密を生成するステップと、試験器が第４のメッセージが変調された共通の秘密に対応する共通の秘密で第４の変調メッセージを復調することにより、候補の計算秘密を生成するステップと、試験器が第５のメッセージが変調された共通の秘密に対応する共通の秘密で第５の変調メッセージを復調することにより、認証項目を生成するステップと、試験器が候補の第２の核心の秘密として第２の核心の秘密を条件付で認証し、候補の計算秘密として計算秘密を条件付で認証するステップであり、試験器の条件は、認証項目が第５の変調秘密と等しいことを少なくとも有するステップとを更に有してもよい。検証器による特定の秘密の更新は、次の認証のセキュリティを増加させる。

計算秘密は、次の共通の秘密を計算するときに試験器により使用される試験器多項式の新しい係数を有してもよい。

検証器が計算秘密を生成するステップは、第１の検証器多項式の未知数を第２の核心の秘密で置換することにより、試験器多項式の係数を生成することを有してもよい。

第２の核心の秘密は、この方法の次の実行のために、試験器識別子になるように設定されてもよい。

この方法は、試験器が試験器識別子を送信するステップの前に、検証器が第１のパラメータと第２のパラメータとを選択するステップと、検証器が第１のパラメータと第２のパラメータとを試験器に送信するステップとを更に有してもよく、試験器が第１の共通の秘密を計算するステップは、第１のパラメータを使用することを有し、試験器が第２の共通の秘密を計算するステップは、第２のパラメータを使用することを有し、第１の検証器多項式は第１のパラメータに関連し、第２の検証器多項式は第２のパラメータに関連する。このことは、リプレイ攻撃（replay attack）に対するセキュリティを提供する。

この方法は、検証器が第４のメッセージを生成するステップの前に、試験器及び検証器が第３の共通の秘密と第４の共通の秘密とを定めるステップを更に有してもよく、検証器が第３のメッセージを生成するステップにおいて、共通の秘密は第３の共通の秘密であり、検証器が第４のメッセージを生成するステップにおいて、共通の秘密は第３の共通の秘密であり、検証器が第５のメッセージを生成するステップにおいて、共通の秘密は第４の共通の秘密であり、試験器が候補の第２の核心の秘密を生成するステップにおいて、共通の秘密は第３の共通の秘密であり、試験器が候補の計算秘密を生成するステップにおいて、共通の秘密は第３の共通の秘密であり、試験器が認証項目を生成するステップにおいて、共通の秘密は第４の共通の秘密である。

第３の共通の秘密は、パラメータの第３の値に関連してもよく、第４の秘密は、パラメータの第４の値に関連する。

検証器が第２の核心の秘密を生成するステップは、第２の核心の秘密を乱数に設定することを有してもよい。

第１の核心の秘密は、電子製品コード（Electronic Product Code）である。

各変調動作は、排他的論理和演算を実行することを有してもよく、各復調動作は、排他的論理和演算を実行することを有してもよい。

本発明の第２の態様は、試験器と検証器とを有し、試験器の認証を可能にする無線認証システムであり、試験器が試験器識別子と親識別子とを検証器に送信する手段を有し、検証器が検証器識別子を試験器に送信する手段を有し、試験器が試験器多項式を用いて第１の共通の秘密を計算する手段であり、試験器多項式の未知数は少なくとも検証器識別子の関数を使用して計算された結果により置換される手段を有し、検証器が第１の検証器多項式を用いて第１の共通の秘密を計算する手段であり、第１の検証器多項式の第１の未知数は試験器識別子により置換され、第１の検証器多項式の第２の未知数は親識別子により置換される手段を有し、試験器が少なくとも第１の共通の秘密に関して第１の核心の秘密を変調することにより、第１のメッセージを生成する手段を有し、試験器が第１のメッセージを検証器に送信する手段を有し、検証器が第１の共通の秘密で第１のメッセージを復調することにより、第１の核心の秘密の第１の候補を生成する手段を有する。

本発明の第３の態様は、第２の態様によるシステムの一部を形成するように構成された無線認証試験器である。

本発明の第４の態様は、第２の態様によるシステムの一部を形成するように構成された無線認証検証器である。

RFIDシステムにおいて、試験器は典型的にはタグに対応し、検証器は典型的にはリーダに対応する点に留意すべきである。

本発明の他の目的、特徴及び利点は、以下の詳細な説明、特許請求の範囲及び図面から明らかになる。

一般的に、請求項で使用される全ての用語は、ここに明記されない限り、当該技術分野の通常の意味に従って解釈されるべきである。単数（要素、装置、構成要素、手段、ステップ等）への全ての言及は、明記されない限り、要素、装置、構成要素、手段、ステップ等の少なくとも１つのインスタンスを参照するものとして広く解釈されるべきである。ここに開示された如何なる方法のステップも、明記されない限り、開示された正確な順序で実行される必要はない。

本発明の実施例について、図面を参照して詳細に説明する。

以下に記載する実施例はRFIDに関するが、本発明はRFIDシステムに限定されない点に留意すべきである。

図１は、本発明の実施例が適用され得る環境を示している。第１のリーダ111は、タグと通信することができる限られた範囲131を有する。現在では、それぞれ無線リンク122及び123でリーダ111と通信することができる第１のタグ101及び第２のタグ102が存在し、第３のタグ103は離れた位置にあり、従って、この時点でリーダ111と通信しなくてもよい。しかし、第３のタグ103は第２のリーダ112の範囲132内にあり、無線リンク124で第２のリーダ112と通信してもよい。各タグは、タグが通信することができるリーダにより検出可能な電子製品コード（EPC：Electronic Product Code）（図示せず）を有する。以下に更に詳細に説明するように、タグ毎及びリーダ毎に多項式と識別子とを有する方法が存在し、リーダがかなりのセキュリティでタグのEPCを読み取ることを可能にし、EPCの信憑性を確保する。信頼できる第三者機関（TTP：Trusted Third Party）121は、多項式及び識別子（図示せず）をタグ及びリーダに分配する。

本発明の実施例による方法の詳細な説明が以下に続く。

プライベート認証の提案される対策は、多項式を用いた共有の秘密の生成を用いて、Blomの方式に基づく。この方式の利点は、(i)プロトコルの開始前に相互の秘密を定める必要なく、(ii)それぞれの関係者でこれらの秘密の全てを格納する必要なく、各試験器及び各検証器が固有の秘密を共有することができる点にある。タグとリーダとの間での共有の秘密で、値がこれらの関係者の間で安全に交換され得る。更に、この方式は、リーダでのタグの事前登録が存在しないという要件を満たす。

システムのエンティティは、低電力RFIDタグ101、102、103と、RFIDリーダ111、112と、信頼できる第三者機関（TTP）121とを有する。これらのエンティティの動作及びこれらの間の相互作用について、以下に説明する。

TTP121は、３つの変数の多項式Q(x,y₁,y₂)（“マスター”多項式と呼ばれる）を選択する。変数xの多項式の次数は(n-1)であるが、変数y₁及びy₂では(m-1)である。従って、全体の多項式は、n×m×mに等しい自由度を有する。値n及びmは、mが比較的小さく、nが比較的大きくなるように選択される。この理由は、以下に明らかになる。更に、Q(x,y₁,y₂)は、変数y₁及びy₂で対称的であるように選択される。すなわち、全ての(x,y₁,y₂)についてQ(x,y₁,y₂)=Q(x,y₂,y₁)である。これらの制約で、多項式はランダムに選択される。

TTP121は、システムの各リーダR111、112に以下を分配する。
(i)多項式システムでのリーダの識別子である乱数ID_R
(ii)リーダ111、112により秘密に保持されるn×mの係数を有する、２つの変数x及びy₁のQ_R ^(p)(x,y₁)=Q(x,y₁,y₂=ID_R+p)（ただしp=0,1,2,3）の形式の４つの多項式
システムの何らかの２つのリーダRi及びRjについて、全てのi、j及びpでID_R ⁽ⁱ⁾≠ID_R ^(j)+pが保持されなければならない。

更に、TTP121は、システムに入ったときに各タグT101に以下を分配する。
a)乱数ID_T（多項式システムのタグの識別子）及びS（“親”リーダのIDを模倣する乱数、以下参照）
b)タグ101により秘密に保持されるmの係数を有する、１つの変数y₁の多項式Q_T(y₁)=Q(x=ID_T,y₁,y₂=S)
代替として、値をタグT101に分配するときに、TTP121はまた、タグ101に以下を送信する（タグ101により信頼された）信頼できるリーダTRの形式でもよい。
(i)（前述の）乱数ID_T及びID_TR（多項式システムの信頼できるリーダの識別子）
(ii)前述の多項式Q_T(y₁)=Q(x=ID_T,y₁,y₂=ID_TR)
信頼できるリーダTRは、タグの“親”と呼ばれる。

mは比較的小さく、nは比較的大きいため、タグは、非常に大きい多項式を格納する必要はない（mの係数）。他方、リーダ111、112は、n×mの係数を格納しなければならない。ここで、格納の負荷は、（十分にリソースのある）リーダ111、112に移行する。

乱数（例えば識別子）及び多項式の係数の送信は、システムのこの初期設定で安全なチャネルで行われるべきである。更に、何らかの新しいエンティティ（タグ又はリーダ）は、如何なる時点にシステムに入ってもよい。何らかの時点にシステムに入ると、（リーダ及びタグについて）初期設定で前述と同じ手順が実行される。

タグ101がその固有の（EPC）識別子をリーダR111にプライベートに送信するために、図２に示すプロトコルが実行される。このプロトコルでは、タグ101とリーダ111との間で共有の秘密の確立は、タグ101とリーダ111がまず相互にこれらの多項式識別子を公開することにより実現される。以下に説明するように、これらの共有の秘密で、２つの関係者は相互に認証することができ、タグ101はその固有のEPC識別子を安全に送信することができる。しかし、この処理で、観測者は、そのタグの多項式識別子ID_Tを知ることができる。タグ101がID_T及び異なる認証セッションの連結可能性を介して追跡されることを回避するために、所定の認証セッションでタグ101に照会しているリーダ111は、セッションの終了時にタグ101を“リフレッシュ”する。これは、リーダ111が新しい識別子と新しい多項式係数とを生成し、これらを安全にタグ101に送信し、タグ101がこれらの値を更新することを意味する。次に、このリーダ111はタグの新しい親になる。全体のプロトコルについて以下に詳細に説明する。（信頼できるリーダTRを含む）前記の代替の設定が使用され、簡単にするために、タグ101がシステムに入った後に最初に認証されることを仮定する（すなわち、その親は信頼できるリーダTRである）。この仮定は、この対策の一般性を損なわない。

図２は、本発明の第１の実施例のプロトコルを示すシーケンス図であり、タグ101とリーダ111とを有する。

第１のステップ210において、リーダ111は、タグ101のタグ識別子ID_Tとその親の識別子ID_TRとを送信する要求をタグ101に送信することにより、通信を開始する。更に、リーダ111は、その識別子ID_Rをタグ101に送信する。

ステップ212において、ステップ210でリーダ111により照会された後に、タグ101は、その識別子ID_Tとその現在の親の識別子ID_TRとをリーダ111に送信する。

次にステップ214において、タグ101は、p=0,1,2,3について値K_T ^(p)=Q_T(ID_R+p)=Q(x=ID_T,y₁=ID_R+p,y₂=ID_TR)を計算する。これに対応して、ステップ216において、リーダ111は、p=0,1,2,3について値K_R ^(p)=Q_R ^(p)(ID_T,ID_TR)=Q(x=ID_T,y₁=ID_TR,y₂=ID_R+p)を計算する。多項式の対称性を鑑みて、タグ及びリーダの多項式が前述のように生成されることを仮定して、K_T ^(p)=K_R ^(p)が当てはまる。この場合、タグ101及びリーダ111は、p=0,1,2,3について共有の秘密K_T ^(p)=K_R ^(p)≡K^(p)を確立することができる。

ステップ218において、双方で秘密を生成した後に、タグ101は、計算されたK_T ⁽⁰⁾及び計算されたK_T ⁽¹⁾とそのEPC識別子を排他的論理和し、２つの結果の値X⁽⁰⁾及びX⁽¹⁾をリーダ111に送信する。これは２つの異なる秘密の値（又は鍵）K_T ⁽⁰⁾及びK_T ⁽¹⁾でタグ101により行われる。従って、ステップ220において、リーダ111は、(i)その計算された秘密K_R ⁽⁰⁾とX⁽⁰⁾を排他的論理和することにより、X⁽⁰⁾からタグのEPC識別子を回復し、(ii)その計算された秘密K_R ⁽¹⁾とX⁽¹⁾を排他的論理和することにより、X⁽¹⁾からEPC識別子を検査することができる。２つの値が一致しない場合、リーダ111は中止する。これらが一致する場合、（リーダ111と同じ鍵を生成することができるため）タグ101はリーダ111により認証され、正確なEPC識別子がリーダ111により取得される。

次に、リーダ111はタグ101を更新するように進む。ステップ222において、乱数ID_T ^new（タグの新しい多項式識別子としての役目をする）を選択し、ステップ224において、係数c_i(i=0,1,...,m-1)で新しい多項式Q_R(X=ID_T ^new,y₁)=Q(x=ID_T ^new,y₁,y₂=ID_R)を計算する。次にステップ226において、リーダ111は、その計算されたK_R ⁽²⁾とID_T ^new及びそれぞれの新しい係数c_iを排他的論理和し、値X⁽²⁾及びX^(2,i)を作る。（リーダ111について以前に行ったように）タグ101がこれらの値を検査することを可能にするために、リーダ111は、その計算されたK_R ⁽³⁾と新しい識別子ID_T ^new及びチェックサム値

を更に排他的論理和し、値X⁽³⁾を作る。ここで、

は排他的論理和演算を示す点に留意すべきである。全てのこれらの(m+2)の値がタグ101に送信される。

次にステップ228において、タグ101は、その計算された秘密K_T ⁽²⁾とX⁽²⁾及びX^(2,i)のそれぞれを排他的論理和することにより、X⁽²⁾及びX^(2,i)からID_T ^new’と新しい係数c_i’とを回復することができる。更に、ステップ230において、タグ101は、チェックサム値

を計算することによりこれらの値を検査することができる。タグ101は、これとその計算された秘密K_T ⁽³⁾とを使用し、

を計算する。X⁽³⁾’≠X⁽³⁾である場合、タグ101は中止する。これらの値が一致する場合、（タグ101と同じ鍵を生成することができるため）リーダ111はタグ101により認証され、正確な新しい識別子ID_T ^new及び正確な新しい係数がタグ101により取得される。

ステップ232において、タグ101は、最終的に新しい値でその多項式と識別子とを上書きする。新しい値は、この方法が始まる次回に使用される。

一実施例では、必要に応じて、更なる動作のために、タグ101とリーダ111との間で共有される秘密が更に存在してもよい。すなわち、pは3より大きい値であると仮定してもよい。より明示的には、p=0,1,2,...,Pであり、P>3である。このことについて、以下に更に詳細に説明する。

前述の方式では、TTP121は、３つの変数の（マスター）多項式を有する。３つの変数のマスター多項式はリーダに提供される２つの変数の多項式に低減される。次に、２つの変数の多項式は、タグに提供される１つの変数の多項式に低減される。階層は上方に拡張されてもよい。すなわち、４つ、５つ等の変数の多項式で、より多くのTTPが元のTTP121の上位に導入されてもよい。４つ、５つなどの多項式は、階層の下方の各レベルで次数で低減される。このことにより、様々なレベルのシステムの構成が可能になり、各TTPは、管理するエンティティ（すなわち、他のTTP、リーダ及びタグ）に責任を持つ。

任意選択で、リーダに通信履歴を格納させることも可能である。この履歴は、何らかの異常を後戻りするために使用されてもよい。

包括的なシステムのセキュリティはマスター多項式のセキュリティに依存するため、このことについて、以下に説明する更なる実施例で更に説明する。

マスター多項式Q(x,y₁,y₂)はn×m×mの係数を有するが、最後の２つの変数で対称的であるため、nm(m+1)/2の自由度（m×ｍのサイズのnの対称行列について有するものと同じ自由度）を有する。

K=Q(V₁,V₂,V₃)について、値V₁,V₂及びV₃と共に秘密Kを知ることは、多項式Q(x,y₁,y₂)の係数で１つの式を与える。タグに格納された１つの多項式Q_T(y₁)を知ることは、Qの係数でmの式と等価なものを与える。リーダに格納された１つの多項式Q_R ^(p)(x,y₁)を知ることは、Qの係数でm×nの式を与える。このことは、マスター多項式を知るために、n(m+1)/2のタグを“破る（break）”（秘密を不正に知ることを意味する）必要があることを意味する。

従って、リーダが(P+1)の多項式を有する場合（図２ではP=3である点に留意すべきである）、マスター多項式を取得するために、(m+1)/(2(P+1))のリーダを破る必要がある。

前述のように、値n及びmは、mが比較的小さく、nが比較的大きいように選択される。このことは、リーダはタグよりかなり破られにくいという仮定で、アタッカーがマスター多項式を取得するために、リーダの数よりかなり多数のタグ（タグの数/リーダの数=n(P+1)）が破られる必要があることを意味する。

正当なタグTと正当なリーダRとの間の通信を傍受するアタッカーは、通信を記録し、後に、タグに対してリーダを扮装するために又はリーダに対してタグを扮装するためにそれを再生（replay）する可能性がある。これらの２つの場合について以下に検討する。

悪意のあるリーダが正当なタグを読み取ることを試みるときに、値の単純の再生は、（値はプロトコルの終了時に更新されているため）タグの多項式識別子は記録されたプロトコルで送信された値と同じではないため、リーダの助けにならない。リーダは正確な秘密K_R ⁽⁰⁾及びK_R ⁽¹⁾を計算することができないため、タグのEPCを取得することができない。更に、リーダが偽の値でタグを更新しようとすると、タグはID_T ^newの値との不一致を検出し、プロトコルを中止する。

悪意のあるタグが有効なタグを扮することにより正当なリーダをだますことを試みるとき、タグは、正当なリーダRのみと完全なプロトコルを再生しなければならない。この場合、リーダはタグTのEPCを取得し、タグの値を更新するように進む。従って、タグは、正当なEPCでリーダをだますことができる。この攻撃を回避するために、システムは、図３に示す以下に説明する方法で拡張可能である。この実施例によるプロトコルについて、詳細に説明する。

システム設定中に、TTP121は、(P+1)個の多項式（P>3）をシステムの各リーダ111(R)111に分配する。前述のように、これらの多項式は、Q_R ^(p)(x,y₁)=Q(x,y₁,y₂=ID_R+p)であるが、この場合、p=0,1,2,3,...Pである。タグは、前述のように１つの多項式のみを受信する。次に、タグ認証プロトコルの開始時に、ステップ310において、リーダ111がその識別子ID_Rをタグ101に送信するときに、リーダ111はまた、集合{0,1,2,3,...,P}からランダムに選択された２つの異なる値（例えばp₀及びp₁）も送信する。図２と共に説明したプロトコルと同様に、タグ101は、ID_TとID_TRとをリーダ111に送信する。ステップ314において、値p₀及びp₁は、秘密K_T ^(p0)=Q_T(ID_R+p₀)及びK_T ^(p1)=Q_T(ID_R+p₁)を計算し、ステップ318において、これらの秘密をそのEPCと排他的論理和してX^(p0)及びX^(p1)を生成するために使用し、これらの値をリーダ111に送信するようにタグ101に指示する。その間、ステップ316において、リーダ111は、対応する共有の秘密を計算する。

このように、値X^(p0)及びX^(p1)は、アタッカーにより記録された値（例えば（図２に示すように、記録されたプロトコルでp₀=0且つp₁=1であることを仮定して）X⁽⁰⁾及びX⁽¹⁾）と同じになるP(P+1)/2のうち1の可能性のみを有する。悪意のあるタグがX^(p0)及びX^(p1)を生成することができない場合、リーダ111は、ステップ320においてEPC値を検査するときにそれを検出することができ、プロトコルを中止する。

ID_T ^newと新しい係数c_iとを送信／検査するために使用される他の２つの秘密（すなわち、K_R ^(p2)/K_T ^(p2)及びK_R ^(p3)/K_T ^(p3)）は、p、p₂及びp₃の値でリーダ及びタグにより生成される。これらの値は、事前にリーダ及びタグにより合意される。例えば、これらは、残りの集合S={0,1,2,3,...,P}-{p₀,p₁}の中の最小の２つの値として、常にリーダ及びタグにより選択されてもよい。重要な値はp₀及びp₁であり、これらの選択により、リーダは、（前述のように、P(P+1)/2の失敗のうち1の可能性で）タグが正当であるか否かを決定することが可能になる点に留意すべきである。

図２に関して説明したプロトコルと同様に、ステップ322において、リーダ111は、ID_T ^newを生成し、ステップ324において、新しいタグ多項式のc_iの新しいを計算する。ステップ326において、値X^(P2)、X^(P2,i)はK_R ^(P2)とID_T ^new及び各係数c_iを排他的論理和することにより計算され、X^(P3)はリーダ111がその計算されたK_R ^(P3)と新しい識別子ID_T ^new及びチェックサム値

を更に排他的論理和し、値X^(P3)を作ることにより計算される。X^(P2)、X^(P2,i)及びX^(P3)はタグ101に送信される。

ステップ328において、タグ101は、その計算された秘密K_T ^(P2)とX^(P2)及びX^(P2,i)のそれぞれを排他的論理和することにより、X^(P2)及びX^(P2,i)からID_T ^new’と新しい係数c_i’とを回復することができる。更に、ステップ330において、タグ101は、チェックサム値

を計算することによりこれらの値を検査することができる。タグ101は、これとその計算された秘密K_T ^(P3)とを使用し、

を計算する。X^(P3)’≠X^(P3)である場合、タグ101は中止する。これらの値が一致する場合、（タグ101と同じ鍵を生成することができるため）リーダ111はタグ101により認証され、正確な新しい識別子ID_T ^new及び正確な新しい係数がタグ101により取得される。

ステップ332において、タグ101は、最終的に新しい値でその多項式と識別子とを上書きする。新しい値は、この方法が始まる次回に使用される。

前述では、Pの値は、２つのセキュリティの要件の間のトレードオフとして調整されなければならない。すなわち、Pの値は、前述の攻撃を扮する可能性を低減するほど十分に大きくするべきであるが、マスター多項式を取得するためにアタッカーに破られなければならないリーダの数(m+1)(2(P+1))が相当に大きくなるように(m-1)/2より相当に小さくするべきである。

(i)タグのEPC識別子を秘匿すること、及び(ii)相互認証の成功の後の（多項式方式の）タグの識別子及びタグの多項式の更新により、プライバシーが実現されることを考えて、提案された方式のコストは、タグとリーダとの間の通信の増加である。しかし、タグの多項式はmの係数を有し、mは比較的小さいように選択されるため、（タグの必要な記憶空間と共に）通信負荷は減少する。

前記の実施例はRFIDに関するが、本発明はRFIDシステムに限定されない点に留意すべきである。

本発明について、主に数個の実施例を参照して説明した。しかし、当業者に容易にわかるように、前述の実施例以外の実施例も同様に、特許請求の範囲に記載の本発明の範囲内で可能である。

本発明の実施例が適用され得る環境 本発明の第１の実施例のプロトコルを示すシーケンス図 本発明の第２の実施例のプロトコルを示すシーケンス図

Claims (15)

1. 試験器と検証器とを有するシステムで前記試験器の認証を可能にする方法であって：
   前記試験器が試験器識別子と親識別子とを前記検証器に送信するステップと、
   前記検証器が検証器識別子を前記試験器に送信するステップと、
   前記試験器が試験器多項式を用いて第１の共通の秘密を計算するステップであり、前記試験器多項式の未知数は少なくとも前記検証器識別子とパラメータの第１の値との関数を使用して計算された結果により置換されるステップと、
   前記試験器が前記試験器多項式を用いて第２の共通の秘密を計算するステップであり、前記試験器多項式の未知数は少なくとも前記検証器識別子とパラメータの第２の値との関数を使用して計算された結果により置換されるステップと、
   前記検証器が前記パラメータの前記第１の値に関連する第１の検証器多項式を用いて前記第１の共通の秘密を計算するステップであり、前記第１の検証器多項式の第１の未知数は前記試験器識別子により置換され、前記第１の検証器多項式の第２の未知数は前記親識別子により置換されるステップと、
   前記検証器が前記パラメータの前記第２の値に関連する第２の検証器多項式を用いて第２の共通の秘密を計算するステップであり、前記第２の検証器多項式の第１の未知数は前記試験器識別子により置換され、前記第２の検証器多項式の第２の未知数は前記親識別子により置換されるステップと、
   前記試験器が少なくとも前記第１の共通の秘密に関して第１の核心の秘密を変調することにより、第１のメッセージを生成するステップと、
   前記試験器が前記第２の共通の秘密で前記第１の核心の秘密を変調することにより、第２のメッセージを生成するステップと、
   前記試験器が前記第１のメッセージを前記検証器に送信するステップと、
   前記試験器が前記第２のメッセージを前記検証器に送信するステップと、
   前記検証器が前記第１の共通の秘密で前記第１のメッセージを復調することにより、前記第１の核心の秘密の第１の候補を生成するステップと、
   前記検証器が前記第２の共通の秘密で前記第２のメッセージを復調することにより、前記第１の核心の秘密の第２の候補を生成するステップと、
   前記検証器が前記第１の核心の秘密が前記第１の核心の秘密の前記第１の候補であることを条件付で認証するステップであり、前記検証器の条件は前記第１の核心の秘密の前記第１の候補の値が前記第１の核心の秘密の前記第２の候補の値と等しいことを少なくとも有するステップと
   を有する方法。
2. 少なくとも前記検証器識別子とパラメータの値との前記関数は、前記検証器識別子と前記パラメータの前記値との和である、請求項１に記載の方法。
3. 前記試験器多項式は、第１の未知数が前記試験器識別子により置換され、第２の未知数が親識別子により置換されたマスター多項式から導かれ、
   前記検証器多項式は、第３の未知数が前記検証器識別子と前記パラメータの前記第１の値との和により置換され、前記第１の検証器多項式が前記パラメータの第２の値に関連するマスター多項式から導かれ、
   前記マスター多項式は少なくとも３つの未知数を有する、請求項１又は２に記載の方法。
4. 前記マスター多項式は、ネットワークマスター多項式から導かれ、
   前記ネットワークマスター多項式は少なくとも４つの未知数を有する、請求項３に記載の方法。
5. 前記検証器が第２の核心の秘密を生成するステップと、
   前記検証器が共通の秘密で前記第２の核心の秘密を変調することにより、第３のメッセージを生成するステップと、
   前記検証器が計算秘密を生成するステップと、
   前記検証器が共通の秘密で前記計算秘密を変調することにより、第４のメッセージを生成するステップと、
   前記検証器が共通の秘密で前記第２の核心の秘密と前記計算秘密とを変調することにより、第５のメッセージを生成するステップと、
   前記検証器が前記第３、前記第４及び前記第５のメッセージを前記試験器に送信するステップと、
   前記試験器が前記第３のメッセージが変調された前記共通の秘密に対応する共通の秘密で前記第３の変調メッセージを復調することにより、候補の第２の核心の秘密を生成するステップと、
   前記試験器が前記第４のメッセージが変調された前記共通の秘密に対応する共通の秘密で前記第４の変調メッセージを復調することにより、候補の計算秘密を生成するステップと、
   前記試験器が前記第５のメッセージが変調された前記共通の秘密に対応する共通の秘密で前記第５の変調メッセージを復調することにより、認証項目を生成するステップと、
   前記試験器が前記候補の第２の核心の秘密として前記第２の核心の秘密を条件付で認証し、前記候補の計算秘密として前記計算秘密を条件付で認証するステップであり、前記試験器の条件は、前記認証項目が前記第５の変調秘密と等しいことを少なくとも有するステップと
   を更に有する、請求項１ないし４のうちいずれか１項に記載の方法。
6. 前記計算秘密は、次の共通の秘密を計算するときに前記試験器により使用される前記試験器多項式の新しい係数を有する、請求項５に記載の方法。
7. 前記検証器が計算秘密を生成するステップは、前記第１の検証器多項式の未知数を前記第２の核心の秘密で置換することにより、前記試験器多項式の係数を生成することを有する、請求項６に記載の方法。
8. 前記第２の核心の秘密は、前記方法の次の実行のために、前記試験器識別子になるように設定される、請求項５ないし７のうちいずれか１項に記載の方法。
9. 前記試験器が試験器識別子を送信するステップの前に、
   前記検証器が第１のパラメータと第２のパラメータとを選択するステップと、
   前記検証器が前記第１のパラメータと前記第２のパラメータとを前記試験器に送信するステップと
   を更に有し、
   前記試験器が前記第１の共通の秘密を計算するステップは、前記第１のパラメータを使用することを有し、
   前記試験器が第２の共通の秘密を計算するステップは、前記第２のパラメータを使用することを有し、
   前記第１の検証器多項式は前記第１のパラメータに関連し、
   前記第２の検証器多項式は前記第２のパラメータに関連する、請求項１ないし８のうちいずれか１項に記載の方法。
10. 前記検証器が第４のメッセージを生成するステップの前に、
    前記試験器及び前記検証器が第３の共通の秘密と第４の共通の秘密とを定めるステップを更に有し、
    前記検証器が第３のメッセージを生成するステップにおいて、前記共通の秘密は前記第３の共通の秘密であり、
    前記検証器が第４のメッセージを生成するステップにおいて、前記共通の秘密は前記第３の共通の秘密であり、
    前記検証器が第５のメッセージを生成するステップにおいて、前記共通の秘密は前記第４の共通の秘密であり、
    前記試験器が候補の第２の核心の秘密を生成するステップにおいて、前記共通の秘密は前記第３の共通の秘密であり、
    前記試験器が候補の計算秘密を生成するステップにおいて、前記共通の秘密は前記第３の共通の秘密であり、
    前記試験器が認証項目を生成するステップにおいて、前記共通の秘密は前記第４の共通の秘密である、請求項５ないし９のうちいずれか１項に記載の方法。
11. 前記第３の共通の秘密は、前記パラメータの第３の値に関連し、
    前記第４の秘密は、前記パラメータの第４の値に関連する、請求項１０に記載の方法。
12. 試験器と検証器とを有し、前記試験器の認証を可能にするシステムであって、
    前記試験器が試験器識別子と親識別子とを前記検証器に送信する手段を有し、
    前記検証器が検証器識別子を前記試験器に送信する手段を有し、
    前記試験器が試験器多項式を用いて第１の共通の秘密を計算する手段であり、前記試験器多項式の未知数は少なくとも前記検証器識別子とパラメータの第１の値との関数を使用して計算された結果により置換される手段を有し、
    前記試験器が前記試験器多項式を用いて第２の共通の秘密を計算する手段であり、前記試験器多項式の未知数は少なくとも前記検証器識別子とパラメータの第２の値との関数を使用して計算された結果により置換される手段を有し、
    前記検証器が前記パラメータの前記第１の値に関連する第１の検証器多項式を用いて前記第１の共通の秘密を計算する手段であり、前記第１の検証器多項式の第１の未知数は前記試験器識別子により置換され、前記第１の検証器多項式の第２の未知数は前記親識別子により置換される手段を有し、
    前記検証器が前記パラメータの前記第２の値に関連する第２の検証器多項式を用いて第２の共通の秘密を計算する手段であり、前記第２の検証器多項式の第１の未知数は前記試験器識別子により置換され、前記第２の検証器多項式の第２の未知数は前記親識別子により置換される手段を有し、
    前記試験器が少なくとも前記第１の共通の秘密に関して第１の核心の秘密を変調することにより、第１のメッセージを生成する手段を有し、
    前記試験器が前記第２の共通の秘密で前記第１の核心の秘密を変調することにより、第２のメッセージを生成する手段を有し、
    前記試験器が前記第１のメッセージを前記検証器に送信する手段を有し、
    前記試験器が前記第２のメッセージを前記検証器に送信する手段を有し、
    前記検証器が前記第１の共通の秘密で前記第１のメッセージを復調することにより、前記第１の核心の秘密の第１の候補を生成する手段を有し、
    前記検証器が前記第２の共通の秘密で前記第２のメッセージを復調することにより、前記第１の核心の秘密の第２の候補を生成する手段を有し、
    前記検証器が前記第１の核心の秘密が前記第１の核心の秘密の前記第１の候補であることを条件付で認証する手段であり、前記検証器の条件は前記第１の核心の秘密の前記第１の候補の値が前記第１の核心の秘密の前記第２の候補の値と等しいことを少なくとも有する手段を有するシステム。
13. 前記システムは、無線認証システムである、請求項１２に記載のシステム。
14. 請求項１２に記載のシステムの一部を形成するように構成された試験器。
15. 請求項１２に記載のシステムの一部を形成するように構成された検証器。

Images