JP5138858B2 - データ伝送のセキュリティを確保する方法、通信システム及び通信装置 - Google Patents

Description

本発明は、狭範囲（短距離）無線通信において第１と第２の通信装置間でのデータ伝送のセキュリティを確保する方法に関し、その場合、上記各通信装置は、データ伝送の接続設定のために、通信装置間で少なくとも２つのキーを交換するキー交換ステージを実行し、次いで、前記交換済みのキーに基づいて、上記通信装置内で少なくとも１つの暗号化キーが取得される。本発明はまた、少なくとも第１と第２の通信装置を備えた通信システムと、前記第１と第２の通信装置間での狭範囲無線データ伝送の接続設定を行う手段と、データ伝送の接続時にデータ伝送のセキュリティを確保する手段とにも関し、上記通信システムは、通信装置間で少なくとも２つのキーを交換するキー交換ステージを実行する手段と、通信装置において、上記交換済みのキーに基づいて少なくとも１つの暗号化キーを取得する手段とを有する。さらに、本発明は、通信装置と別の通信装置間での狭範囲無線データ伝送の接続設定を行う手段と、データ伝送の接続時にデータ伝送のセキュリティを確保する手段とを少なくとも備えた通信装置に関し、上記通信装置は、各通信装置間で少なくとも２つのキーを交換するために、別の通信装置とキー交換ステージを実行する手段と、上記交換済みのキーに基づいて少なくとも１つの暗号化キーを取得する手段とを有する。

本明細書において、狭範囲無線データ伝送の接続というコンセプトは、相互に比較的近接した位置に在る２つ以上のデバイスが無線で相互交信を行うことができるような接続を主として意味するものである。通信時に、例えば、無線通信、赤外線通信、誘導通信またはその類いの通信を利用することが可能である。例えば、低電力の無線送信機と無線受信機とを用いるブルートゥース（登録商標）技術が狭範囲無線通信を目的として開発されている。このようなデバイスは相互に交信を行うことができ、それによってアドホック通信システムが形成される。狭範囲通信技術の利用により、例えば、周辺機器とコンピュータとの無線接続が可能となる。さらに、例えば、無線通信装置と携帯用コンピュータとの結合が可能であり、その場合、コンピュータから、インターネットデータネットワークのような別の通信ネットワークと無線接続を行うことが可能である。このようにして、ユーザが携帯用コンピュータによりデータネットワークとの接続設定を行うとき、自分のユーザ識別子とパスワードとを入力しなければならない状況が生じる場合がある。かくして、狭範囲無線接続に伴う、携帯用コンピュータと、該コンピュータと接続される無線通信装置との間で暗号化を行うことなく伝送されるユーザ識別子とパスワードとが盗聴されるリスクが存在する。

上記状況で言及できる狭範囲データ伝送の接続に関連して生じ得る別の実施領域には、無線ローカルエリアネットワーク（ＷＬＡＮ）と、無線支払い端末システムと、無線作動ロックとが含まれる。無線ローカルエリアネットワークによって、例えば、小さなオフィス用のファシリティで、ケーブル配線を行う必要なく、数台のコンピュータを配備したローカルエリアネットワークの実現が可能となる。無線支払い端末システムでは、ユーザは、例えば、狭範囲通信手段を含む無線通信装置によって請求書の支払いを行うことが可能となる。かくして、請求書の支払いを目的として無線通信装置と支払い端末間での狭範囲データ伝送の接続設定が行われる。同様に、無線作動ロックにおいて、ユーザは、ロックと無線交信を行うキーを持ち、当該キーがこの特定のロック機能の制御用として意図されたものであることが保証される。このようなキーは独立のキーとして実現してもよいし、無線通信装置のような別のデバイスと関連して実現してもよい。

このような通信システムでは、通信処理に対する当該デバイスのアクセス権限が本当に与えられていることを通信時の様々な通信相手がどのように確認しうるかが厄介な問題となる。これは、特に、異なるデバイス間で機密情報の転送を行うような状況では重要な問題となる。例えば、前述の支払い端末の実施形態では、支払い取引で使用されるデバイスが実際に、当該口座の保有者が、あるいは、当該口座の保有者によりアクセス権限が与えられた人が使用しているデバイスであることを支払い端末が保証する必要がある。また、ロックの実施形態では、ロックが開かれる前に、ロックはキーの真正性を確認する必要がある。このような実施形態では、通信相手の検証を目的として、盗聴者や中間に介在するパーティのような外部の侵入者からできるだけ強固にデバイス間の通信を保護する必要がある。これらの安全性の態様を考慮して、例えば、前記ブルートゥース（登録商標）システム用の様々な暗号化メカニズムが開発されている。これらの利用技法には、例えば、公開キーと秘密キーとから成るキーの対（ＰＫＩ、公開キーインフラストラクチャ）などが含まれる。このような実施構成では、ユーザは、暗号化せずに自分の通信相手へ送信できる公開キーと、いずれの段階でも通信システムへ転送する必要がなく、ユーザが隠して保持していなければならない秘密キーとを持つ。このようにして、前記公開キーで情報を暗号化することにより暗号化情報をユーザへ伝送することが可能となる。ユーザは自分の秘密キーを使って情報の解読を行うことができる。

上記種類の非対称暗号化システムの１つの欠点として、このシステムが相対的に低速であり、多量の情報の暗号化によりデータ伝送が著しく減速されるという点が挙げられる。通信システムでは、双方の通信相手が同一の秘密キー（共有化キー、共有された秘密キー）を共有する左右対称の暗号化法も利用される。この実施形態での問題点として、例えば、秘密キーが部外者によって見つけ出されることのないように、どのようにしてこの秘密キーを別のデバイスへ伝送できるかという問題がある。場合によってはユーザ自身がこの秘密キーを異なるデバイスへ入力することも可能である。ブルートゥースシステムに準拠するデバイスでは、この秘密キーを利用して、無線通信で使用するリンクキーの演算を行い、このリンクキーによって、伝送すべき実際の情報の暗号化が行われる。リンクキー用として定められる最大長は１２８ビットであり、その場合、秘密キーの長さは少なくとも３２文字であることが望ましい。３２文字を含むようなストリング（ｓｔｒｉｎｇ）の入力は面倒であり、特に、接続設定が可能になる前に、間違わずに少なくとも２回連続してストリングを入力しなければならない場合、エラーが生じる蓋然性が高い。

暗号化キーの交換（ＥＫＥ）方法が米国特許第５，２４１，５９９号に開示されている。この方法では、通信時に使用する暗号化キーが、短い暗号化キーを用いてまず暗号化され、その後、暗号化されていない通信チャネルを介して、１つのデバイスから別のデバイスへ暗号化された形式で暗号化キーを伝送することができる。狭範囲システムでは、ユーザが双方のデバイスへ前記の短い暗号化キーを入力するような方法で、上記方法を適用することができる。その後、双方のデバイスが、短い暗号化キーで暗号化された上記デバイスの暗号化キーを相手デバイスへ伝送する。このようなシステムには、例えば、ユーザがこの短い暗号化キーを変更する頻度などに暗号化効率が左右されるという欠点がある。さらに、ユーザが選択したこのような短い暗号化キーは、比較的簡単に推測される可能性があるため、この方法を適用する場合、部外者によってこの短い暗号化キーが見つけ出される可能性がある。

公知のいわゆるDiffie-Hellman法が存在するが、この方法は大きな素数を法（ｍｏｄｕｌｏ）とするべき累乗に基づくものである。これに基づいて、Diffie-Hellman法によって実施される暗号化を破ろうとする際の難しさは、大きな素数を法とする離散的対数を計算する難しさに直接比例するものと今日考えられている。Diffie-Hellman法は、キー交換時に特に一般的に用いられる公開キーに基づくアルゴリズムである。十分な長さのキーと適切なＤＨ作成装置を使用すれば、この方法は安全であると考えられている。Diffie-Hellman法では、第１の通信相手は、第１の秘密ナンバーに基づいて第１のキーナンバーを確定し、この第１のキーナンバーは第２の通信相手へ伝送される。これに対応して、第２の通信相手は第２の秘密ナンバーに基づいて第２のキーナンバーを確定し、この第２のキーナンバーは第１の通信相手へ伝送される。その後第１の通信相手は、第１の秘密ナンバーと、受け取った第２のキーナンバーとに基づいて第３のキーナンバーを作成し、第２の通信相手は、第２の秘密ナンバーと受け取った第１のキーナンバーとに基づいて第４のキーナンバーを作成する。これら第３と第４のキーナンバーは同一であり、関係する通信相手間で伝送されることはない。第３と第４のキーナンバーはその後、通信相手間で伝送する情報の暗号化と解読に使用することができる。しかし、この構成では、第三者が第１のキーナンバーや第２のキーナンバーを変更できる可能性がある。これは、例えば、第１と第２の通信相手の間に第三者が入り込むような方法（ＭＩＭ、Man In the Middle）で行われ、第１の通信相手はこの第三者を第２の通信相手と誤認し、同様にして第２の通信相手は第１の通信相手を第三者であると誤認する。かくして、実際には、データは第三者を介して第１と第２の通信相手との間で伝送され、第１の通信相手による伝送メッセージと第２の通信相手による伝送メッセージの双方のメッセージが第三者により検知され、第三者が双方のメッセージを変更することが可能となる。本明細書で参照するDiffie-Hellman法については米国特許第４，２００，７７０号に詳細な記載がある。

Diffie-Hellman法に対する改善が提案されており、この提案によって狭範囲無線通信方法における異なる通信相手の検証を行うことが可能となっている。この方法は、文献、F. Stajano、R. Andersonの「復活用ダックリング（Resurrecting Duckling）：アドホック無線ネットワークのためのセキュリティ問題」（１９９９年、ＡＴ＆Ｔソフトウェアシンポジウム）に開示されている。この文献に開示されている方法は、双方の通信相手が、上述のアクションの結果取得した第３と第４の暗号化ナンバーが同一であることのチェックを行うという事実に基づく方法である。例えば、双方の通信相手のデバイスに演算された暗号化ナンバーを表示し、各デバイスのユーザがこれらのナンバーを相互に比較するような方法で、これを行うことが可能である。しかし、十分に強固な暗号化（少なくとも１２８ビットの暗号化キー）を達成するためには、暗号化ナンバーは少なくとも３２文字から成るストリングである必要がある。比較的長いこのようなストリングは比較し難く、エラーを生ずる確率が高い。

データ伝送のセキュリティを確保する改良された方法と、通信システムと、通信装置とを提供することが本発明の目的である。本発明は、短い一意のランダムなストリング（ｓｔｒｉｎｇ）を選択し、このストリングに基づいて、双方のデバイスでチェックコードを演算し、一方のデバイスまたは双方のデバイスのいずれかでこの演算されたチェックコードを示すという着想に基づくものである。双方のデバイスにより演算されたチェックコードを示せば、コードを互いに比較することが可能となる。一方のデバイスだけがチェックコードを示した場合、そのチェックコードは相手方デバイスへ入力され、相手方デバイスで、この入力されたチェックコードは相手方デバイスで演算されたチェックコードと比較される。さらに正確に述べれば、本発明による方法は、前記キー交換ステージで、少なくとも第１および第２のチェックストリングを作成して、各前記チェックストリングは前記キー交換ステージで取得された各キーに少なくとも基づくことと、及び、前記チェックストリングの一致性を比較することにより、確立された接続のセキュリティを確保することを主たる特徴とするものである。本発明による通信システムは、データ伝送の接続時にデータ伝送のセキュリティを確保する手段が、少なくとも前記キー交換ステージで取得された各キーに基づいて、少なくとも第１と第２のチェックストリングを形成する手段と、前記チェックストリングの一致性を比較する手段とを備えることを主たる特徴とするものである。本発明による通信装置は、データ伝送の接続時にデータ伝送のセキュリティを確保する手段が、少なくとも前記キー交換ステージで取得した各キーに基づいて、少なくとも１つのチェックストリングを作成する手段と、前記チェックストリングの一致性の比較に用いる手段とを備えることを主たる特徴とするものである。

本発明は従来技術の解決方法と比較して顕著な利点を示すものである。本発明による方法を適用するとき、検証時に、長い複雑な暗号化キーやチェックナンバーを使わずに通信に関与している通信相手の検証が可能となる。ユーザ自身が、接続設定の開始時に識別ナンバーを何も入力する必要がなく、接続設定は、例えば、この目的のためにデバイス内に形成されたメニューから第２のデバイスを選択することにより正常に開始される。本発明による方法では、１回限りのチェックストリングを用いるので、このチェックストリングの推測は簡単ではなく、また一方で、同じチェックストリングは、次回の認証実施時には使用されないので、後でそのチェックストリングを検出しても部外者にはまったく役に立たない。このようにして、従来技術の解決方法が用いられている場合よりもさらに強固な通信システムのセキュリティが得られる。

以下、添付図面を参照して本発明についてさらに詳細に説明する。

以下、図１に図示の簡略図を参照して、及び、図４に基づく通信システムを一例として用いて、本発明の好ましい実施形態に基づく方法についてさらに詳細に説明する。この通信システムには第１の通信装置２と第２の通信装置３とが含まれている。第１の通信装置２は例えば携帯用コンピュータ（ラップトップ型ＰＣ）などである。第２の通信装置３は、例えばユーザの車内に設置された移動電話のような無線通信装置などである。しかし、これらの通信装置２、３が非制限的な実施例にすぎないものであること、及び、本発明と関連して用いられる通信装置２、３が本明細書に記載のものとは異なるものであってもよいことは明らかである。第１の通信装置２と第２の通信装置３は、低電力無線受信機（ＬＰＲＦ、低電力ＲＦ）、赤外線送受信機、などのようなローカルな通信手段４ａ、４ｂを備えている。このローカルな通信手段４ａ、４ｂによって、各通信装置は無線で相互の交信を行うことが可能となる。さらに、通信装置２、３には、マイクロプロセッサなどとメモリ６ａ、６ｂを好適に備えた制御ブロック５ａ、５ｂが設けられる。好ましい実施形態によるシステムは、少なくとも第１の通信装置２（３）内に、情報を示すディスプレイ７ａ（７ｂ）を備え、少なくとも第２の通信装置３は第２の通信装置３へ情報を入力する入力手段８ｂを備えている。入力手段８ｂは好適にはキーボードであるが、オーディオ制御に基づくデータ入力手段のような別の種類の入力手段をこの状況で適用可能であることは言うまでもない。第１の通信装置２は入力手段８ａを備えるものであってもよい。但し、本発明の好ましい実施形態によるこの方法ではこれらは必要ではない。通信装置２、３は、イヤホン、スピーカおよび／またはマイクなどのようなオーディオ手段１０ａ、１０ｂを備えるものであってもよい。図４によるシステムでは、第２の通信装置３にはまたブロック９が示す移動局機能が設けられる。

第１の通信装置と第２の通信装置間でのデータ伝送の接続設定を目的とする状況では、本発明のこの好ましい実施形態による方法で以下のステップがとられる。通信装置２、３は、データ伝送の接続設定を行うことができる別の可能な通信装置が近傍に存在するかどうかの検知をしようとする。本明細書では、本段階はページングステージと呼ばれ、例えば以下の方法で実現可能である。少なくとも１つの通信装置２、３により、ページングメッセージまたはその類似メッセージが間隔をおいて伝送され、ローカルな通信手段４の受信機によって可能な応答メッセージの受信が行われる。かくして、通信装置２、３のいずれかが、ページングメッセージを伝送する状況で、このページングメッセージを受信した通信装置２、３は、ページングメッセージを伝送した通信装置２、３へ応答メッセージの伝送を行う。おそらく近傍で検知された別の通信装置のリストを通信装置のユーザに示すことが可能である。このようにして、ユーザは、このリストから１以上の通信装置を選択することができ、この通信装置に対してデータ伝送の接続設定が行われる。しかし、データ伝送の接続設定時に本発明によるこの方法を適用する場合、ユーザが識別番号やその類いの番号の入力を行う必要はない。このページングステージと関連して、通信装置２、３は、データ伝送の接続設定に関与する他方の通信相手へ自分のアドレスを伝送することが可能であり、その場合、通信装置２、３を個別化するこれらのアドレスがその後の通信時に使用される。ページングステージ後、双方の通信装置２、３は双方向型のキー交換ステージを実行して（図１の矢印１０２）、双方のデバイスにおいて同じ秘密キーＫが作成される。例えばDiffie-Hellmanキー交換プロトコルなどを用いてキー交換ステージが実行される（図１の矢印１０２）。かくして、第１の通信装置では、パラメータａ、ｑが選択され、第１の秘密ナンバーＸ１が作成され、次いで、第１のキーナンバーＹ１が式Ｙ１＝ａ^X1 ｍｏｄ ｑによって好適に演算される。第１の通信装置２は、第２の通信装置３へ数値ａ、ｑ、Ｙ１を伝送する。第２の通信装置３は第２の秘密ナンバーＸ２を作成し、式Ｙ２＝ａ^X2 ｍｏｄ ｑによって第２のキーナンバーを演算し、次いで第１の通信装置２へ第２のキーナンバーＹ２を伝送する。このキー交換ステージ後、共有暗号化キーＫが双方の通信装置２、３で演算される。第１の通信装置２は、パラメータｑと、第２のキーナンバーＹ２と、第１の秘密ナンバーＸ１とを利用して、Ｋ１＝（Ｙ２）^X1 ｍｏｄ ｑの演算を行う。これに対応して、第２の通信装置３はパラメータｑと、第１のキーナンバーＹ１と、第２の秘密ナンバーＸ２とを利用して、Ｋ２＝（Ｙ１）^X2 ｍｏｄ ｑを演算する。障害なくデータ伝送が行われ、部外者がデータ伝送処理に影響を与えなかった場合、Ｋ１＝Ｋ２が真とされ、この時点から、双方の通信装置２、３は同じ共有暗号化キーＫ（＝Ｋ１＝Ｋ２）を認知し、データ伝送の接続を介して伝送すべき情報の暗号化用として、並びに、通信相手が相互の真正性をチェックした後の解読用としてこの暗号化キーＫの使用が可能となる。

キー交換プロトコルにより作成された暗号化キーが、アプリケーションで共有暗号化キーＫ用として予約された最大長よりも長かった場合、例えば、暗号化キーをその所定部分を選択するか、又は適切な長さに切断することなどにより、キー交換プロトコルで作成した暗号化キーから実際の共有暗号化キーＫを形成することが可能となる。例えば、現在のブルートゥース（登録商標）技術に基づくシステムでは、共有暗号化キーＫとして最大長１２８ビットの長さを持つ暗号化キーの使用が可能である。

本説明で前述したように、キー交換処理時に第三者が介在する可能性があるため、第１の通信装置２と第２の通信装置３との間の通信が影響を受ける可能性があり、それによって、伝送されたキーナンバーＹ１、Ｙ２が変えられる機会が生じる。かくして、キー交換ステージが信頼できる方法で行われたかどうかを見つけ出すことを目的として次のチェックステージの実行が可能である。本発明のこの好ましい実施形態では、第１の通信装置２により、例えば６文字長などの比較的短い一意のランダムなストリングＰ（図１のブロック１０３）が選択される。この選択は、例えば制御ブロックのアプリケーションソフトウェアで提供されるランダムなストリング作成装置を用いて上記ストリングの作成を行うようなそれ自体公知の方法で行うことができる。ランダムなストリングＰの選択以外に、第１の通信装置２が作成したランダムなストリングＰと共有暗号化キーＫとに基づいて第１のチェックストリングｃ１（ブロック１０４）が第１の通信装置２により演算される。このチェックストリングの長さは、好ましくはランダムなストリングの長さと同じ、すなわち本例の状況では６文字であることが望ましい。第１の通信装置２は、第１の通信装置２が選択したランダムなストリングＰと、第１の通信装置２が演算した第１のチェックストリングｃ１とをディスプレイ７ａ（ブロック１０５）に表示し、このランダムなストリングＰとチェックストリングｃ１とは第２の通信装置３のユーザ（矢印１０６）へ報告される。第２の通信装置のユーザは、入力手段８ｂを用いて第１の通信装置２により提示されたストリング（本例では１２文字）を第２の通信装置３へ入力する（ブロック１０７）。その後、第２の通信装置３でチェックステージが実行される。これによって、ランダムなストリングＰと、ユーザが入力した共有暗号化キーＫとに基づいて、第２の通信装置は第２のチェックストリングｃ２（ブロック１０８）の演算を行う。その後第２の通信装置３はユーザが入力したストリングｃ１と、演算された第２のチェックストリングｃ２との比較を行う（ブロック１０９）。第２の通信装置３は、好ましくは、少なくともチェックストリングｃ１、ｃ２が一致しなかった場合、例えば信号によっておよび／またはディスプレイ７ｂにこのチェックの結果を示す（ブロック１１０）ことが望ましい。このようにして、ユーザはその状況に気がつき、データ伝送処理の開始を控えることが可能となる。これらのストリングが同一であれば、共有暗号化キーＫの信頼性が高い、すなわち高い確率でそのキーが双方のデバイスで同一のものであると想定することができ、データ伝送の暗号化時にこのキーを使用することが可能となり、通信装置２、３間でのデータ伝送の接続を使用することが可能となる。

通信装置２、３間のデータ伝送の接続設定を介して伝送されるべき情報はこのようにして共有暗号化キーＫにより送信用通信装置で暗号化され、対応する共有暗号化キーＫを用いて受信用通信装置での解読の実行が可能となる。

ブルートゥース技術に基づくシステムでは、２つの通信装置２、３が初めて相互に交信する段階時にだけ通信相手に対する前述の認証を実行する必要がある。かくして、本発明による比較的短いチェックストリングの使用と比較は、一般に少なくとも３２文字長の従来技術のストリングなどと比較するとかなり簡単である。いくつかの実際の実施形態では２回以上のチェックを行うことが必要な場合もある。このようにして、ずっと短いチェックストリングによって十分なセキュリティを得ることが可能となる。例えば、８文字でも十分な文字数とすることができる。かくして、ランダムなストリングＰの長さは４文字となる。好ましくは、ランダムなストリングの長さは４乃至８の１６進数すなわち６乃至１０桁の１０進数とすることが望ましい。その場合、対応するチェックストリングは８乃至１６の１６進数すなわち１２乃至２０桁の１０進数の長さとなる。

第１のチェックストリングｃ１と第２のチェックストリングｃ２の演算時に、例えば、いわゆるハッシュ関数などの同じ演算機能が使用される。このようなハッシュ関数により入力ｍに対する変換が行われ、ハッシュ値ｈと呼ばれる固定長のストリングが返される。かくして、数学的にはｈ＝Ｈ（ｍ）となる。本実施形態では、使用される入力値は、第１の通信装置ではＫ１であり、第２の通信装置ではＫ２である共有暗号化キーと、ランダムなストリングＰである。かくして、第１の通信装置は算術演算ｃ１＝Ｈ（Ｋ１，Ｐ）を実行し、第２の通信装置は同じ算術演算ｃ２＝Ｈ（Ｋ２，Ｐ）を実行する。ハッシュ関数の１つの特徴として、この関数が一方向関数であること、すなわち、その演算結果に基づいて、演算時に使用した入力値を確定することが実際問題として非常に難しく、不可能でさえあると考えられることが挙げられる。ハッシュ関数の代わりに、ブロック暗号化法などのような別の方法の利用も可能であることは言うまでもない。

次に、図２に示す簡略図を参照して本発明の第２の好ましい実施形態による処理方法について説明する。この方法は、本説明で前述した好ましい実施形態とは、主として以下の点で異なるものである。すなわち、第２の好ましい実施形態によるこの方法では、双方の通信装置２、３のディスプレイ７ａ、７ｂと第２の通信装置３の入力手段８ｂとが利用される。

第１の通信装置２と第２の通信装置間でのデータ伝送の接続設定を目的とする状況では、以下のステップが本発明の第２の好ましい実施形態による方法でとられる。本説明で前に示したように、データ伝送装置２、３によりキー交換ステージ（ブロック２０２）が実行される。

この第２の好ましい実施形態では、チェックステージは以下の方法で行われる。第１の通信装置２は比較的短いランダムなストリングＰを選択し（ブロック２０３）、第１の通信装置２が選択したこのランダムなストリングＰをディスプレイ７ａに表示する（ブロック２０４）。ランダムなストリングＰが第２の通信装置３のユーザに対して報告される（矢印２０５）。第２の通信装置のユーザは、第１の通信装置２が第２の通信装置３に対して示すランダムなストリングＰ（本例では６文字）を入力手段８ｂによって入力する（ブロック２０６）。その後、第２の通信装置３は、ユーザが入力したランダムなストリングＰと秘密キーＫ２とに基づいて第２のチェックストリングｃ２を演算し（ブロック２０８）、ディスプレイ７ｂにこの第２のチェックストリングｃ２を示す（ブロック２１０）。第１の通信装置２は、ユーザが入力したランダムなストリングＰと秘密キーＫ１とに基づいて第１のチェックストリングｃ１を演算し（ブロック２０７）、ディスプレイ７ａにこの第１のチェックストリングｃ１を示す（ブロック２０９）。その後、第１の通信装置２のユーザと第２の通信装置のユーザとは、各通信装置の演算と、各通信装置により示されるチェックストリングｃ１、ｃ２を比較する。チェックストリングｃ１、ｃ２が互いに一致すれば、第２の通信装置３のユーザは、各チェックストリングが一致している旨を入力手段８で示す（ブロック２１１）。この結果、共有暗号化キーＫは信頼性の高いものとされ、データ伝送の暗号化時における共有暗号化キーＫの使用が可能となり、通信装置２、３間でのデータ伝送の接続を利用することが可能となる。

図３は本発明の第３の好ましい実施形態による方法を示す。本実施形態でも、通信装置２、３間で実行される或る好適なキー交換プロトコルを用いて通信装置２、３において秘密キーＫ１、Ｋ２が作成される（ブロック３０２）。その後、双方の通信装置２、３は、キー交換ステージが実行された旨を好適にはディスプレイ７ａ、７ｂに示し（ブロック３０３）、通信装置２、３のユーザは互いにその旨を通知し合う（ブロック３０４）（当該ユーザが異なっている場合）。この段階で、第１の通信装置２のユーザは、好ましくは、キー交換ステージが実行された旨を入力手段８ａによって第１の通信装置２に通知する（ブロック３０５）ことが望ましい。その後第１の通信装置２は、第１のランダムなストリングＰを選択し（ブロック３０６）、ローカルな通信手段４ａによってこのストリングＰを第２の通信装置３へ伝送する（ブロック３０７）。さらに、第１の通信装置は、本明細書に上述したように第１のチェックナンバーｃ１を演算する（ブロック３０８）。第２の通信装置３も本明細書に前述した方法で第２のチェックナンバーｃ２を演算する（ブロック３０９）。この演算後、第１の通信装置２は、第１のチェックナンバーｃ１とランダムなストリングＰをディスプレイ７ａに表示する（ブロック３１０）。これに対応して、第２の通信装置３は第２のチェックナンバーｃ２とランダムなストリングＰとをディスプレイ７ｂに表示する（ブロック３１１）。次いでユーザは、通信装置２、３が表示した各値を比較し、通信相手の認証の実行が成功したかどうかを知ることができる（ブロック３１２）。表示されたこれらの値が一致していれば、第１の通信装置２のユーザは、接続設定が可能である旨を入力手段８ａによって示す（ブロック３１３）。入力手段８ａとしては、例えば１つのキーなどでも十分であるが、入力手段８ａとして、キーボード、オーディオ制御手段、ポインタデバイスや対応するデバイスの使用も可能である。

本発明のさらに別の好ましい実施形態による方法では、双方の通信装置２、３により双方向型のキー交換ステージが実行され、双方のデバイスで同一の秘密キーＹ１、Ｙ２が作成される。例えば、Diffie-Hellmanキー交換プロトコルなどを用いてキー交換ステージが実行される。かくして、第１の通信装置で、パラメータａ、ｑが選択され、第１の秘密ナンバーＸ１が作成され、次いで、第１のキーナンバーＹ１が式Ｙ１＝ａ^X1 ｍｏｄ ｑによって好適に演算される。第１の通信装置２は第２の通信装置３へ数値ａ、ｑ、Ｙ１を伝送する。第２の通信装置３は、第２の秘密ナンバーＸ２を作成し、式Ｙ２＝ａ^X2 ｍｏｄ ｑによって第２のキーナンバーを演算し、第２のキーナンバーＹ２を第１の通信装置２へ伝送する。このキー交換ステージ後、第１の通信装置２が作成したランダムなストリングＰと、第１のキーナンバーＹ１と、第２のキーナンバーＹ２とに基づいて、第１の通信装置２は第１のチェックストリングｃ１を演算する。第１の通信装置２は、第１の通信装置２が選択したランダムなストリングＰと、第１の通信装置２が演算した第１のチェックストリングｃ１とをディスプレイ７ａに表示し、ランダムなストリングＰとチェックストリングｃ１とが第２の通信装置３のユーザへ報告される。第２の通信装置３のユーザは、第１の通信装置２が提示したストリングを入力手段８ｂによって第２の通信装置３へ入力する。その後チェックステージが第２の通信装置３で実行される。かくして、第２の通信装置は、ランダムなストリングＰと第１のキーナンバーＹ１と第２のキーナンバーＹ２とに基づいて第２のチェックストリングｃ２を演算する。その後、第２の通信装置３は、演算された第２のチェックストリングｃ２とユーザが入力したストリングｃ１との比較を行う。第２の通信装置３は、例えば、好ましくは、少なくともチェックストリングｃ１、ｃ２が一致しなかった場合、信号によっておよび／またはディスプレイ７ｂにチェックの結果を表示することが望ましい。このようにして、ユーザはその状況に気がつき、データ伝送処理の開始を控えることが可能となる。これらのストリングが同一であれば、第１のキーナンバーＹ１と第２のキーナンバーＹ２の信頼性が高いこと、すなわち高い確率で双方のデバイスにおいてこれらのキーが同一のものであることを想定することができる。

上述のすべての好ましい実施形態で、第１の通信装置２のユーザと第２の通信装置３のユーザとは異なる人物であってもよいし、同じ人物が双方の通信装置２、３を操作していてもよい。ユーザが２人の異なる人物の場合、チェックサムｃ１、ｃ２の口頭での報告が可能であるし、部外者ではなく、当事者が実際に情報を伝送した旨をユーザが確認できる別の信頼性の高い方法によってチェックサムｃ１、ｃ２の報告を行うことも可能である。

本発明による方法は、特に、非対称暗号化に基づく方法によってキー交換を行うようなシステムにおいて適用可能であり、その場合、受動的盗聴の防止は可能であるが、第三者による介在が生じる可能性がある。さらに、通信装置２、３の検証が可能でなければならない。すなわち、主として、ユーザが双方の通信装置２、３を参照できる狭範囲（短距離）用システムの使用が可能である。かくして、本発明は、特に一時的狭範囲（短距離）用データ伝送の接続時に、例えば、ユーザが無線データ処理装置などによって無線ローカルエリアネットワークにログインするときなどに、データ処理装置と周辺機器との無線結合を行う場合などに好適である。

本発明が、如上の実施形態だけに限定されるものではなく、添付の特許請求の範囲内で改変が可能であることは言うまでもない。

本発明の好ましい実施形態による方法を示す簡略図である。 本発明の第２の好ましい実施形態による方法を示す簡略図である。 本発明の第３の好ましい実施形態による方法を示す簡略図である。 本発明の好ましい実施形態による通信システムを示す簡略図である。

Claims (15)

1. 第１の制御ブロックと第１の通信ブロックとを備える第１の装置と、第２の制御ブロックと第２の通信ブロックとを備える第２の装置とを備え、以前に導出されたキー、すなわち、前記第１の装置における第１の暗号化キーおよび前記第２の装置における第２の暗号化キーが同じであることをチェックするシステムであって、
   前記第１の装置が表示手段を備え、前記第２の装置が入力手段を備えており、
   前記第１の通信ブロックと前記第２の通信ブロックとが前記第１の装置と前記第２の装置との間の接続を確立するように構成され、
   前記第１の制御ブロックが、ランダム・ストリングを生成し、
   前記ランダム・ストリングと前記第１の暗号化キーとに少なくとも部分的に基づいて、第１のチェック・ストリングを計算し、
   第１のチェック・ストリングを前記表示手段を介して表示するように構成され、
   前記第２の制御ブロックが、前記ランダム・ストリングを前記第１の装置から受信し、
   前記第２の制御ブロックが、前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、第２のチェック・ストリングを計算し、
   前記入力手段を介して入力された前記第１のチェック・ストリング及び、前記第２のチェック・ストリングが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するように構成された、システム。
2. 前記システムは、ユーザが前記第１のチェック・ストリングを前記表示手段を介して読み取ることを可能とし、また、前記システムは、前記ユーザが前記第１のチェック・ストリングを前記入力手段を介して前記第２の装置に入力することを可能とする、請求項１に記載のシステム。
3. 第１の装置における以前に導出された第１の暗号化キーおよび第２の装置における第２の暗号化キーが同じであることをチェックする方法であって、
   前記第１の装置は表示手段を備え、前記第２の装置は入力手段を備えており、
   ランダム・ストリングを生成するステップと、
   前記ランダム・ストリングと前記第１の暗号化キーとに少なくとも部分的に基づいて、第１のチェック・ストリングを計算するステップと、
   前記第１のチェック・ストリングを前記表示手段を介して表示するステップと、を含む方法であり、
   前記ランダム・ストリングは、前記第２の装置が第２のチェック・ストリングを、前記第１の装置から受信した前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、計算することを可能とするものであり、
   前記第２の装置に前記入力手段を介して入力された前記第１のチェック・ストリングは、前記第１のチェック・ストリングと前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するためのものである、方法。
4. 以前に導出されたキー、すなわち、第１の装置における第１の暗号化キーおよび第２の装置における第２の暗号化キーが同じであることをチェックする方法であって、
   前記第２の装置が入力手段を備えており、
   前記第２の装置が、ランダム・ストリングを前記第１の装置から受信するステップと、
   前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、第２のチェック・ストリングを計算するステップと、
   前記第２の装置に前記入力手段を介して入力された第１のチェック・ストリングと、前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するステップと、を含む方法。
5. 以前に導出されたキー、すなわち、第１の装置における第１の暗号化キーおよび第２の装置における第２の暗号化キーが同じであることをチェックする方法であって、
   前記第１の装置が入力手段を備え、前記第２の装置が表示手段を備えており、
   前記第２の装置が前記第１の装置からランダム・ストリングを受信するステップと、
   前記第２の装置が、前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、第２のチェック・ストリングを計算するステップと、
   前記第２の装置が前記表示手段を介して前記第２のチェック・ストリングを表示するステップと、を含む方法であり、
   前記ランダム・ストリングは、前記第１の装置が第１のチェック・ストリングを、前記ランダム・ストリングと前記第１の暗号化キーとに少なくとも部分的に基づいて、計算することを可能とするものであり、
   前記第２のチェック・ストリングは、前記第１の装置が、前記第１のチェック・ストリングと、前記入力手段を介して入力された前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するためのものである、方法。
6. 第１の暗号化キーと、
   ランダム・ストリングを生成し、前記ランダム・ストリングと前記第１の暗号化キーとに少なくとも部分的に基づいて、第１のチェック・ストリングを計算するように構成された制御ブロックと、
   前記第１のチェック・ストリングを表示するディスプレイと、を備える装置であって、
   前記ランダム・ストリングは、第２の装置が第２のチェック・ストリングを、前記装置から受信した前記ランダム・ストリングと、第２の暗号化キーとに少なくとも部分的に基づいて、計算することを可能とするものであり、
   前記制御ブロックが、前記第１のチェック・ストリングと、前記装置が備える入力手段を介して入力された前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するように構成される、装置。
7. 前記制御ブロックが、前記第１の暗号化キーを導出するように構成される、請求項６に記載の装置。
8. 前記第１のチェック・ストリングを送信するように構成された通信ブロックを更に備える請求項６に記載の装置。
9. ランダム・ストリングを第１の装置から受信するように構成される装置であって、
   入力手段と、
   第２の暗号化キーと、
   通信ブロックと、
   前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、第２のチェック・ストリングを計算し、
   前記ランダム・ストリングと前記第１の装置の第１の暗号化キーとに少なくとも部分的に基づいて前記第１の装置において計算され、前記装置に前記入力手段を介して入力された第１のチェック・ストリングと、前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、前記第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するように構成された制御ブロックと、
   を備える装置。
10. 前記制御ブロックが、前記第２の暗号化キーを導出するように構成される、請求項９に記載の装置。
11. 表示手段と、入力手段と、
    第２の暗号化キーと、
    ランダム・ストリングを受信するように構成された通信ブロックと、
    前記ランダム・ストリングと前記第２の暗号化キーとに少なくとも部分的に基づいて、第２のチェック・ストリングを計算し、前記第２のチェック・ストリングを前記表示手段を介して表示するように構成された制御ブロックと、
    を備える装置であって、
    前記第２のチェック・ストリングは、前記入力手段を介して入力された第１のチェック・ストリングと前記第２のチェック・ストリングとが同じであるか否かをチェックすることにより、第１の暗号化キーと前記第２の暗号化キーとが同じであることを確認するためのものである、装置。
12. 前記制御ブロックが、前記チェックを実行するように構成される、請求項９ないし１１のいずれか１項に記載の装置。
13. 少なくとも、前記第１のチェック・ストリングと前記第２のチェック・ストリングとが互いに対応しないときに、前記チェックの結果を示すディスプレイを備える、請求項９ないし１１のいずれか１項に記載の装置。
14. 前記ランダム・ストリングと前記第２のチェック・ストリングとを表示するディスプレイを備える、請求項６、９、１１のいずれか１項に記載の装置。
15. チェック結果を入力するための入力モジュールを備える、請求項６、９、１１のいずれか１項に記載の装置。

Images