JP5468137B2 - オンライン第三者装置を導入するエンティティ双方向認証方法 - Google Patents
オンライン第三者装置を導入するエンティティ双方向認証方法 Download PDFInfo
- Publication number
- JP5468137B2 JP5468137B2 JP2012525850A JP2012525850A JP5468137B2 JP 5468137 B2 JP5468137 B2 JP 5468137B2 JP 2012525850 A JP2012525850 A JP 2012525850A JP 2012525850 A JP2012525850 A JP 2012525850A JP 5468137 B2 JP5468137 B2 JP 5468137B2
- Authority
- JP
- Japan
- Prior art keywords
- entity
- entity device
- message
- party
- verification
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims description 24
- 238000012795 verification Methods 0.000 claims description 42
- 238000004891 communication Methods 0.000 description 5
- 238000010586 diagram Methods 0.000 description 2
- 230000001010 compromised effect Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
- H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Computer And Data Communications (AREA)
- Storage Device Security (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
Description
【０００１】
本出願は２００９年８月２８日に、中国特許局に提出した、出願番号が２００９１００２３７３４．０で、発明の名称が「オンライン第三者装置を導入するエンティティ双方向認証方法」である中国特許出願の優先権を要求し、その開示の全ての内容は引用することにより本申請に組み込まれている。
【技術分野】
【０００２】
本発明はエンティティ認証方法に関し、特にオンライン第三者装置を導入するエンティティ双方向認証方法に関する。
【背景技術】
【０００３】
非対称暗号化技術を採用するエンティティ認証方法は、片方向認証と双方向認証の２種に分けられる。認証の一意性又は適時性は時変パラメータにより識別される。時変パラメータとして良く使用されるのはタイムスタンプ、順次番号とランダム数などがある。タイムスタンプ又は順次番号が時変パラメータとして採用される場合、片方向認証には一回のみのメッセージ交換が必要で、双方向認証には二回のメッセージ交換が必要である。ランダム数が時変パラメータとして採用される場合、片方向認証には二回のメッセージ交換が必要であるが、双方向認証は三回又は四回のメッセージ交換(即ち、二回のメッセージ交換を平行的に行って認証すること)が必要である。
【０００４】
上記いずれの認証メカニズムを採用しても、検証者は、認証に先立ち、または認証時には、請求者の有効な公開鍵を所有しなくてはならないことである。そうでないと、認証プロセスが損われるたり、完遂できなかったりする。ここで三回のメッセージ交換による双方向認証の方法を例として説明する。
【０００５】
図１に示すように、トークンＴｏｋｅｎＡＢ＝ＲA||ＲB||Ｂ||Ｔｅｘｔ３||ｓＳA(ＲA||ＲB||Ｂ||Ｔｅｘｔ２)、ＴｏｋｅｎＢＡ＝ＲB||ＲA||Ａ||Ｔｅｘｔ５||ｓＳB(ＲB||ＲA||Ａ||Ｔｅｘｔ４)。
ここで、Ｘはエンティティの識別子であり、当該認証システムにはＡとＢの２つの認証エンティティがあり、ＣｅｒｔxはエンティティＸの証明書を表し、ｓＳXはエンティティＸの署名を表し、ＲXはエンティティＸによって発生されるランダム数を表し、Ｔｅｘｔはオプショナルテテキストフィールドである。
【０００６】
以下は三回のメッセージ交換による二方向認証メカニズムの動作プロセスを記述する。
【０００７】
ステップ１：エンティティ装置Ｂがエンティティ装置Ａにランダム数ＲBとオプショナルテキストＴｅｘｔ１を送信し、
ステップ２：エンティティ装置Ａがエンティティ装置ＢにトークンＴｏｋｅｎＡＢとオプショナル項目証明書ＣｅｒｔAを送信し、
ステップ３：エンティティ装置Ｂがエンティティ装置Ａから送信されるメッセージを受信した後、以下のステップを実行し、
ステップ３．１：エンティティ装置Ａの証明書を検証するか、又は他の方式でエンティティ装置Ａの有効な公開鍵を所有することを確保し、
ステップ３．２：エンティティ装置Ａの公開鍵を取得した後、ステップ２におけるＴｏｋｅｎＡＢの署名を検証し、識別子Ｂの正確性を確認し、又、ステップ１において送信されたランダム数ＲBがＴｏｋｅｎＡＢにおけるランダム数ＲBと一致するか否かを確認し、エンティティ装置Ｂがエンティティ装置Ａに対する検証を完成し、
ステップ４：エンティティ装置Ｂがエンティティ装置ＡにトークンＴｏｋｅｎＢＡとオプショナル項目証明書ＣｅｒｔBを送信し、
ステップ５：エンティティ装置Ａがエンティティ装置Ｂから送信された、ＴｏｋｅｎＢＡを含むメッセージを受信した後、以下のステップを実行し、
ステップ５．１：エンティティ装置Ｂの証明書を検証するか、又は他の方式でエンティティ装置Ｂの有効な公開鍵を所有することを確保し、
ステップ５．２：エンティティ装置Ｂの公開鍵を取得した後、ステップ４におけるＴｏｋｅｎＢＡの署名を検証し、識別子Ａの正確性を確認し、又、ステップ２において送信されたランダム数ＲAがＴｏｋｅｎＢＡにおけるランダム数ＲAと一致するか否か、及びステップ１において受信されたランダム数ＲBがＴｏｋｅｎＢＡにおけるランダム数ＲBと一致するか否かを確認し、エンティティ装置Ａがエンティティ装置Ｂに対する検証を完成する。
【０００８】
上記の内容からわかるように、三回のメッセージ交換による認証を成し遂ける前提条件は、エンティティ装置ＡとＢが互いに相手側の有効な公開鍵を有することである。しかし、如何にして相手側の公開鍵及びその有効性情報を取得できるかについて、プロトコルには言及されていない。当該前提条件は現在の多くの応用環境では満足できない。例えば、通信ネットワークでは通常、エンティティ認証メカニズムによりユーザーアクセス制御の機能を実現し、認証メカニズムが成功する前、ユーザーからネットワークへのアクセスが禁止される。そのため、ユーザーアイデンティティが認証される前、ユーザーは証明書機関にアクセスして対向側エンティティ―ネットワークアクセスポイントの公開鍵の有効性を取得しにくく、又は取得できないのである。
【０００９】
現在の通信ネットワーク、特に無線通信ネットワークでは、正当なユーザーのみの正当なネットワークへのアクセスを確保するため、通常、ユーザーとネットワークアクセスポイントの間の相互認証を完成する必要がある。しかし、ネットワークエンティティは、認証の前に対向側通信エンティティの有効な公開鍵を知らず認証プロセスで対向側エンティティの公開鍵の検証を完成できれば、従来のエンティティ認証メカニズムは更に向上されると共に、実際の実施において良い実行可能性と使用の容易性を得ることもできる。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は背景技術における上述技術問題点を解決するため、オンライン第三者装置を導入するエンティティ双方向認証方法を提案した。
【００１１】
本発明にかかるオンライン第三者装置を導入するエンティティに方向認証方法は、ステップ１〜ステップ８を備える。
【００１２】
ステップ１：エンティティ装置Ｂがエンティティ装置Ａに、ランダム数ＲB、アイデンティティ標識ＩBとオプショナルテキストＴｅｘｔ１が含まれるメッセージ1を送信する。
ステップ２：エンティティ装置Ａがメッセージ1を受信した後、信頼できる第三者ＴＰ装置に、ランダム数Ｒ'AとＲB、アイデンティティ標識ＩAとＩB及びオプショナルテキストＴｅｘｔ２が含まれるメッセージ２を送信する。
ステップ３：信頼できる第三者ＴＰ装置がメッセージ２を受信した後、アイデンティティ標識ＩAとＩBによりエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する
ステップ４：信頼できる第三者ＴＰ装置がエンティティ装置Ａとエンティティ装置Ｂの正当性を確認した後、エンティティ装置Ａに、エンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５が含まれるメッセージ３、或いはエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ１とＴｏｋｅｎＴＡ２及びオプショナルテキストＴｅｘｔ５が含まれるメッセージ３を返答する。
ステップ５：エンティティ装置Ａがメッセージ３を受信した後、エンティティ装置Ｂに、トークンＴｏｋｅｎＡＢとアイデンティティ標識ＩAが含まれるメッセージ４を送信する。
ステップ６：エンティティ装置Ｂがメッセージ４を受信した後、検証を行い、
ステップ７：エンティティ装置Ｂがエンティティ装置Ａに、トークンＴｏｋｅｎＢＡが含まれるメッセージ５を送信する。
ステップ８：エンティティ装置Ａがメッセージ５を受信した後、検証を行う。
【００１３】
ステップ６は具体的に、以下のステップ６．１〜ステップ６．３を備える。
【００１４】
ステップ６．１：ＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２における信頼できる第三者ＴＰ装置の署名を検証し、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数ＲBと一致するか否かを確認し、検証に成功した場合、ステップ６．２を実行する。
ステップ６．２：エンティティ装置Ａの検証結果ＲeｓAを取得し、エンティティ装置Ａが正当且つ有効である場合、ステップ６．３を実行し、逆の場合、検証を終了するか或いはステップ７を実行する。
ステップ６．３：エンティティ装置Ａの公開鍵を取得し、ＴｏｋｅｎＡＢにおけるエンティティ装置Ａの署名を検証し、エンティティ装置Ｂの識別子がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるエンティティ識別子（Ｂ）と一致するか否か、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるランダム数ＲBと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ｂがエンティティ装置Ａに対する認証を完成し、ステップ７を実行する。
【００１５】
ステップ８は具体的に、以下のステップ８．１〜ステップ８．３を備える。
【００１６】
ステップ８．１：メッセージ３に含まれるＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名を検証し、メッセージ２に含まれる、エンティティ装置Ａから発生されたランダム数Ｒ’AがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ’Aと一致するか否かを確認し、検証に成功した場合、ステップ８．２を実行する。
ステップ８．２：エンティティ装置Ｂの検証結果ＲeｓBを取得し、エンティティ装置Ｂが正当且つ有効である場合、ステップ８．３を実行し、逆の場合、検証を終了する。
ステップ８．３：エンティティ装置Ｂの公開鍵を取得し、ＴｏｋｅｎＢＡにおけるエンティティ装置Ｂの署名を検証し、エンティティ装置Ａの識別子がＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるエンティティ識別子（Ａ）と一致するか否か、メッセージ４に含まれる、エンティティ装置Ａから発生されたランダム数ＲAがＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるランダム数ＲAと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ａがエンティティ装置Ｂに対する認証を完成する。
【００１７】
上述ステップ３においてエンティティ装置Ａとエンティティ装置Ｂの正当性を確認するプロセスには、メッセージ２においてエンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの識別子Ａである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ａの有効な公開鍵ＰｕｂｌｉｃＫｅｙAを検索し、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの証明書ＣｅｒｔA である場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔAの有効性ＶａｌｉｄAを確認し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの識別子Ｂである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ｂの有効な公開鍵ＰｕｂｌｉｃＫｅｙBを検索し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの証明書ＣｅｒｔBである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔBの有効性ＶａｌｉｄBを確認する。
【００１８】
上述ステップ４におけるメッセージ３がエンティティ検証結果ＲeｓAとＲeｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含む場合、前記ステップ８．１が上述ステップ５に繰り上げられ、即ち、エンティティ装置Ａがメッセージ３を受信した後、ステップ８．１を実行してから、エンティティ装置Ｂに、メッセージ４を送信することとなる。
【００１９】
上述ランダム数ＲA、Ｒ'AとＲBはタイムスタンプ又は順次番号である。
【００２０】
上述トークンフィールドは
又は
である。
【発明の効果】
【００２１】
本発明は三つのエンティティによるアーキテクチャを採用し、認証エンティティは認証される前、予め対向側認証エンティティの有効な公開鍵を知る必要がない。その代わりに、信頼できる第三者の公開鍵又は証明書を取得する必要があり、又、信頼できる第三者から自身に対して発行される自身のユーザー証明書を取得するか、或いは自分の公開鍵を信頼できる第三者に渡して保管させる必要がある。認証プロトコルが実行する際、認証エンティティの公開鍵及びその有効性は信頼できる第三者により検索されて検証され、自動的に必要な対向側に伝送される。本発明は従来の認証メカニズムに比較して、公開鍵のオンライン検索と認証メカニズムを開示し、公開鍵に対する集中管理を実現し、プロトコルの動作条件を簡易にし、応用と実施が容易になる。
【図面の簡単な説明】
【００２２】
【図１】従来技術において、三回のメッセージ交換による認証メカニズムの認証イメージを示す図である。
【図２】本発明に係る方法のイメージを示す図である。
【発明を実施するための形態】
【００２３】
本発明に係る方法は三つのエンティティに関し、即ち、２つの認証エンティティ装置ＡとＢ、及び１つの信頼できる第三者ＴＰ装置（Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ Ｐａｒｔｙ）に関する。信頼できる第三者ＴＰ装置は認証エンティティ装置ＡとＢに信頼される第三者であり、エンティティ装置Ａとエンティティ装置Ｂに認証サービスを提供する。信頼できる第三者ＴＰ装置によりエンティティ装置ＡとＢの相互対等認証を実施するシステムを三要素ピア認証ＴｅＰＡ( Ｔｒｉ−ｅｌｅｍｅｎｔ Ｐｅｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）システムと称する。
【００２４】
記述の簡潔のため、符号は以下のように定義される。
【００２５】
Ｖａｌｉｄxは証明書Ｃｅｒｔxの有効性を表示し、ＰｕｂｌｉｃＫｅｙxはエンティティＸ(ＸはＡ又はＢを表す）の公開鍵を表示する。ＩxはエンティティＸのアイデンティティ標識であり、証明書Ｃｅｒｔx又はエンティティの識別子Ｘで表示し、ＲｅｓxはエンティティＸの検証結果を表示し、証明書Ｒｅｓxと証明書Ｒｅｓxの有効性Ｖａｌｉｄxより構成されるか、或いはエンティティＸ及びエンティティＸの公開鍵ＰｕｃｂｌｉｃＫｅｙxより構成され、Ｔｏｋｅｎはトークンフィールドである。
【００２６】
図２に示すように、本発明の各トークンフィールドは以下の２つの形式で表示される。
【００２７】
エンティティ装置Ａとエンティティ装置Ｂの間の双方向認証プロせスは具体的に、ステップ１〜ステップ８を備える。
ステップ１：エンティティ装置Ｂがエンティティ装置Ａに、ランダム数ＲB、アイデンティティ標識ＩBとオプショナルテキストＴｅｘｔ１を含むメッセージ1を送信する。
ステップ２：エンティティ装置Ａがメッセージ1を受信した後、信頼できる第三者ＴＰ装置に、ランダム数Ｒ'AとＲB、アイデンティティ標識ＩAとＩB及びオプショナルテキストＴｅｘｔ２を含むメッセージ２を送信する。
ステップ３：信頼できる第三者ＴＰ装置がメッセージ２を受信した後、アイデンティティ標識ＩAとＩBによりエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する。
【００２８】
信頼できる第三者ＴＰ装置が以下の方式でエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する。
【００２９】
メッセージ２において、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの識別子Ａである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ａの有効な公開鍵ＰｕｂｌｉｃＫｅｙAを検索し、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの証明書ＣｅｒｔAである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔAの有効性ＶａｌｉｄAを確認し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの識別子Ｂである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ｂの有効な公開鍵ＰｕｂｌｉｃＫｅｙBを検索し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの証明書ＣｅｒｔBである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔBの有効性ＶａｌｉｄBを確認する。
【００３０】
ステップ４：信頼できる第三者ＴＰ装置がエンティティ装置Ａとエンティティ装置Ｂの正当性を確認した後、エンティティ装置Ａにエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含むメッセージ３、或いはエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ１とＴｏｋｅｎＴＡ２及びオプショナルテキストＴｅｘｔ５を含むメッセージ３を返答する。
ステップ５：エンティティ装置Ａがメッセージ３を受信した後、エンティティ装置Ｂに対してトークンＴｏｋｅｎＡＢとアイデンティティ標識ＩAを含むメッセージ４を送信する。
ステップ６：エンティティ装置Ｂがメッセージ４を受信した後、検証を行う。具体的に、三つのステップに分ける実行する。
ステップ６．１：ＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２における信頼できる第三者ＴＰ装置の署名を検証し、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数ＲBと一致するか否かを確認し、検証に成功した場合、ステップ６．２を実行する。
ステップ６．２：エンティティ装置Ａの検証結果ＲeｓAを取得し、エンティティ装置Ａが正当且つ有効である場合、ステップ６．３を実行し、逆の場合、検証を終了するか或いはステップ７を実行する。
ステップ６．３：エンティティ装置Ａの公開鍵を取得し、ＴｏｋｅｎＡＢにおけるエンティティ装置Ａの署名を検証し、エンティティ装置Ｂの識別子がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるエンティティ識別子（Ｂ）と一致するか否か、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲＢがＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるランダム数ＲBと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ｂがエンティティ装置Ａに対する認証を完成し、ステップ７を実行する。
ステップ７：エンティティ装置Ｂがエンティティ装置Ａに対してトークンＴｏｋｅｎＢＡを含むメッセージ５を送信する。
ステップ８：エンティティ装置Ａがメッセージ５を受信した後、検証を行う。具体的に、三つのステップに分けて実行する。
ステップ８．１：メッセージ３に含まれるＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名を検証し、又、メッセージ２に含まれる、エンティティ装置Ａから発生されたランダム数Ｒ’AがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ’Aと一致するか否かを確認し、検証に成功した場合、ステップ８．２を実行する。
ステップ８．２：エンティティ装置Ｂの検証結果ＲeｓBを取得し、エンティティ装置Ｂが正当且つ有効である場合、ステップ８．３を実行し、逆の場合、検証を終了する。
ステップ８．３：エンティティ装置Ｂの公開鍵を取得し、ＴｏｋｅｎＢＡにおけるエンティティ装置Ｂの署名を検証し、エンティティ装置Ａの識別子がＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるエンティティ識別子（Ａ）と一致するか否か、メッセージ４に含まれる、エンティティ装置Ａから発生されたランダム数ＲAがＴｏｋｅｎＡＢ内のエンティティ装置Ｂの署名データに含まれるランダム数ＲAと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ａがエンティティ装置Ｂに対する認証を完成する。
【００３１】
そのうち、ステップ４において、メッセージ３がエンティティ検証結果ＲeｓAとＲeｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含む場合、上述ステップ８．１が上述ステップ５に繰り上げされ、即ち、エンティティ装置Ａがメッセージ３を受信した後、ステップ８．１を実行してから、エンティティ装置Ｂに対してメッセージ４を送信することとなる。
【００３２】
ランダム数Ｒ'A、ＲAとＲBはタイムスタンプ又は順次番号で置き換えても良い。
【００３３】
このような認証システムが実際に応用されるの場合、通常、エンティティ装置Ｂは通信ユーザーの端末装置に位置しており、エンティティ装置Ａはネットワークアクセスポイント側に位置する。上述の実施形態におけるエンティティ装置Ａとエンティティ装置Ｂの間の双方向認証方法は、ユーザーとネットワークアクセスポイントの間の双方向の正当性を認証することを実現でき、正当なユーザーを正当なネットワークへアクセスさせることを確保する。
本出願は２００９年８月２８日に、中国特許局に提出した、出願番号が２００９１００２３７３４．０で、発明の名称が「オンライン第三者装置を導入するエンティティ双方向認証方法」である中国特許出願の優先権を要求し、その開示の全ての内容は引用することにより本申請に組み込まれている。
【技術分野】
【０００２】
本発明はエンティティ認証方法に関し、特にオンライン第三者装置を導入するエンティティ双方向認証方法に関する。
【背景技術】
【０００３】
非対称暗号化技術を採用するエンティティ認証方法は、片方向認証と双方向認証の２種に分けられる。認証の一意性又は適時性は時変パラメータにより識別される。時変パラメータとして良く使用されるのはタイムスタンプ、順次番号とランダム数などがある。タイムスタンプ又は順次番号が時変パラメータとして採用される場合、片方向認証には一回のみのメッセージ交換が必要で、双方向認証には二回のメッセージ交換が必要である。ランダム数が時変パラメータとして採用される場合、片方向認証には二回のメッセージ交換が必要であるが、双方向認証は三回又は四回のメッセージ交換(即ち、二回のメッセージ交換を平行的に行って認証すること)が必要である。
【０００４】
上記いずれの認証メカニズムを採用しても、検証者は、認証に先立ち、または認証時には、請求者の有効な公開鍵を所有しなくてはならないことである。そうでないと、認証プロセスが損われるたり、完遂できなかったりする。ここで三回のメッセージ交換による双方向認証の方法を例として説明する。
【０００５】
図１に示すように、トークンＴｏｋｅｎＡＢ＝ＲA||ＲB||Ｂ||Ｔｅｘｔ３||ｓＳA(ＲA||ＲB||Ｂ||Ｔｅｘｔ２)、ＴｏｋｅｎＢＡ＝ＲB||ＲA||Ａ||Ｔｅｘｔ５||ｓＳB(ＲB||ＲA||Ａ||Ｔｅｘｔ４)。
ここで、Ｘはエンティティの識別子であり、当該認証システムにはＡとＢの２つの認証エンティティがあり、ＣｅｒｔxはエンティティＸの証明書を表し、ｓＳXはエンティティＸの署名を表し、ＲXはエンティティＸによって発生されるランダム数を表し、Ｔｅｘｔはオプショナルテテキストフィールドである。
【０００６】
以下は三回のメッセージ交換による二方向認証メカニズムの動作プロセスを記述する。
【０００７】
ステップ１：エンティティ装置Ｂがエンティティ装置Ａにランダム数ＲBとオプショナルテキストＴｅｘｔ１を送信し、
ステップ２：エンティティ装置Ａがエンティティ装置ＢにトークンＴｏｋｅｎＡＢとオプショナル項目証明書ＣｅｒｔAを送信し、
ステップ３：エンティティ装置Ｂがエンティティ装置Ａから送信されるメッセージを受信した後、以下のステップを実行し、
ステップ３．１：エンティティ装置Ａの証明書を検証するか、又は他の方式でエンティティ装置Ａの有効な公開鍵を所有することを確保し、
ステップ３．２：エンティティ装置Ａの公開鍵を取得した後、ステップ２におけるＴｏｋｅｎＡＢの署名を検証し、識別子Ｂの正確性を確認し、又、ステップ１において送信されたランダム数ＲBがＴｏｋｅｎＡＢにおけるランダム数ＲBと一致するか否かを確認し、エンティティ装置Ｂがエンティティ装置Ａに対する検証を完成し、
ステップ４：エンティティ装置Ｂがエンティティ装置ＡにトークンＴｏｋｅｎＢＡとオプショナル項目証明書ＣｅｒｔBを送信し、
ステップ５：エンティティ装置Ａがエンティティ装置Ｂから送信された、ＴｏｋｅｎＢＡを含むメッセージを受信した後、以下のステップを実行し、
ステップ５．１：エンティティ装置Ｂの証明書を検証するか、又は他の方式でエンティティ装置Ｂの有効な公開鍵を所有することを確保し、
ステップ５．２：エンティティ装置Ｂの公開鍵を取得した後、ステップ４におけるＴｏｋｅｎＢＡの署名を検証し、識別子Ａの正確性を確認し、又、ステップ２において送信されたランダム数ＲAがＴｏｋｅｎＢＡにおけるランダム数ＲAと一致するか否か、及びステップ１において受信されたランダム数ＲBがＴｏｋｅｎＢＡにおけるランダム数ＲBと一致するか否かを確認し、エンティティ装置Ａがエンティティ装置Ｂに対する検証を完成する。
【０００８】
上記の内容からわかるように、三回のメッセージ交換による認証を成し遂ける前提条件は、エンティティ装置ＡとＢが互いに相手側の有効な公開鍵を有することである。しかし、如何にして相手側の公開鍵及びその有効性情報を取得できるかについて、プロトコルには言及されていない。当該前提条件は現在の多くの応用環境では満足できない。例えば、通信ネットワークでは通常、エンティティ認証メカニズムによりユーザーアクセス制御の機能を実現し、認証メカニズムが成功する前、ユーザーからネットワークへのアクセスが禁止される。そのため、ユーザーアイデンティティが認証される前、ユーザーは証明書機関にアクセスして対向側エンティティ―ネットワークアクセスポイントの公開鍵の有効性を取得しにくく、又は取得できないのである。
【０００９】
現在の通信ネットワーク、特に無線通信ネットワークでは、正当なユーザーのみの正当なネットワークへのアクセスを確保するため、通常、ユーザーとネットワークアクセスポイントの間の相互認証を完成する必要がある。しかし、ネットワークエンティティは、認証の前に対向側通信エンティティの有効な公開鍵を知らず認証プロセスで対向側エンティティの公開鍵の検証を完成できれば、従来のエンティティ認証メカニズムは更に向上されると共に、実際の実施において良い実行可能性と使用の容易性を得ることもできる。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は背景技術における上述技術問題点を解決するため、オンライン第三者装置を導入するエンティティ双方向認証方法を提案した。
【００１１】
本発明にかかるオンライン第三者装置を導入するエンティティに方向認証方法は、ステップ１〜ステップ８を備える。
【００１２】
ステップ１：エンティティ装置Ｂがエンティティ装置Ａに、ランダム数ＲB、アイデンティティ標識ＩBとオプショナルテキストＴｅｘｔ１が含まれるメッセージ1を送信する。
ステップ２：エンティティ装置Ａがメッセージ1を受信した後、信頼できる第三者ＴＰ装置に、ランダム数Ｒ'AとＲB、アイデンティティ標識ＩAとＩB及びオプショナルテキストＴｅｘｔ２が含まれるメッセージ２を送信する。
ステップ３：信頼できる第三者ＴＰ装置がメッセージ２を受信した後、アイデンティティ標識ＩAとＩBによりエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する
ステップ４：信頼できる第三者ＴＰ装置がエンティティ装置Ａとエンティティ装置Ｂの正当性を確認した後、エンティティ装置Ａに、エンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５が含まれるメッセージ３、或いはエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ１とＴｏｋｅｎＴＡ２及びオプショナルテキストＴｅｘｔ５が含まれるメッセージ３を返答する。
ステップ５：エンティティ装置Ａがメッセージ３を受信した後、エンティティ装置Ｂに、トークンＴｏｋｅｎＡＢとアイデンティティ標識ＩAが含まれるメッセージ４を送信する。
ステップ６：エンティティ装置Ｂがメッセージ４を受信した後、検証を行い、
ステップ７：エンティティ装置Ｂがエンティティ装置Ａに、トークンＴｏｋｅｎＢＡが含まれるメッセージ５を送信する。
ステップ８：エンティティ装置Ａがメッセージ５を受信した後、検証を行う。
【００１３】
ステップ６は具体的に、以下のステップ６．１〜ステップ６．３を備える。
【００１４】
ステップ６．１：ＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２における信頼できる第三者ＴＰ装置の署名を検証し、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数ＲBと一致するか否かを確認し、検証に成功した場合、ステップ６．２を実行する。
ステップ６．２：エンティティ装置Ａの検証結果ＲeｓAを取得し、エンティティ装置Ａが正当且つ有効である場合、ステップ６．３を実行し、逆の場合、検証を終了するか或いはステップ７を実行する。
ステップ６．３：エンティティ装置Ａの公開鍵を取得し、ＴｏｋｅｎＡＢにおけるエンティティ装置Ａの署名を検証し、エンティティ装置Ｂの識別子がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるエンティティ識別子（Ｂ）と一致するか否か、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるランダム数ＲBと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ｂがエンティティ装置Ａに対する認証を完成し、ステップ７を実行する。
【００１５】
ステップ８は具体的に、以下のステップ８．１〜ステップ８．３を備える。
【００１６】
ステップ８．１：メッセージ３に含まれるＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名を検証し、メッセージ２に含まれる、エンティティ装置Ａから発生されたランダム数Ｒ’AがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ’Aと一致するか否かを確認し、検証に成功した場合、ステップ８．２を実行する。
ステップ８．２：エンティティ装置Ｂの検証結果ＲeｓBを取得し、エンティティ装置Ｂが正当且つ有効である場合、ステップ８．３を実行し、逆の場合、検証を終了する。
ステップ８．３：エンティティ装置Ｂの公開鍵を取得し、ＴｏｋｅｎＢＡにおけるエンティティ装置Ｂの署名を検証し、エンティティ装置Ａの識別子がＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるエンティティ識別子（Ａ）と一致するか否か、メッセージ４に含まれる、エンティティ装置Ａから発生されたランダム数ＲAがＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるランダム数ＲAと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ａがエンティティ装置Ｂに対する認証を完成する。
【００１７】
上述ステップ３においてエンティティ装置Ａとエンティティ装置Ｂの正当性を確認するプロセスには、メッセージ２においてエンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの識別子Ａである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ａの有効な公開鍵ＰｕｂｌｉｃＫｅｙAを検索し、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの証明書ＣｅｒｔA である場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔAの有効性ＶａｌｉｄAを確認し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの識別子Ｂである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ｂの有効な公開鍵ＰｕｂｌｉｃＫｅｙBを検索し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの証明書ＣｅｒｔBである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔBの有効性ＶａｌｉｄBを確認する。
【００１８】
上述ステップ４におけるメッセージ３がエンティティ検証結果ＲeｓAとＲeｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含む場合、前記ステップ８．１が上述ステップ５に繰り上げられ、即ち、エンティティ装置Ａがメッセージ３を受信した後、ステップ８．１を実行してから、エンティティ装置Ｂに、メッセージ４を送信することとなる。
【００１９】
上述ランダム数ＲA、Ｒ'AとＲBはタイムスタンプ又は順次番号である。
【００２０】
上述トークンフィールドは
又は
である。
【発明の効果】
【００２１】
本発明は三つのエンティティによるアーキテクチャを採用し、認証エンティティは認証される前、予め対向側認証エンティティの有効な公開鍵を知る必要がない。その代わりに、信頼できる第三者の公開鍵又は証明書を取得する必要があり、又、信頼できる第三者から自身に対して発行される自身のユーザー証明書を取得するか、或いは自分の公開鍵を信頼できる第三者に渡して保管させる必要がある。認証プロトコルが実行する際、認証エンティティの公開鍵及びその有効性は信頼できる第三者により検索されて検証され、自動的に必要な対向側に伝送される。本発明は従来の認証メカニズムに比較して、公開鍵のオンライン検索と認証メカニズムを開示し、公開鍵に対する集中管理を実現し、プロトコルの動作条件を簡易にし、応用と実施が容易になる。
【図面の簡単な説明】
【００２２】
【図１】従来技術において、三回のメッセージ交換による認証メカニズムの認証イメージを示す図である。
【図２】本発明に係る方法のイメージを示す図である。
【発明を実施するための形態】
【００２３】
本発明に係る方法は三つのエンティティに関し、即ち、２つの認証エンティティ装置ＡとＢ、及び１つの信頼できる第三者ＴＰ装置（Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ Ｐａｒｔｙ）に関する。信頼できる第三者ＴＰ装置は認証エンティティ装置ＡとＢに信頼される第三者であり、エンティティ装置Ａとエンティティ装置Ｂに認証サービスを提供する。信頼できる第三者ＴＰ装置によりエンティティ装置ＡとＢの相互対等認証を実施するシステムを三要素ピア認証ＴｅＰＡ( Ｔｒｉ−ｅｌｅｍｅｎｔ Ｐｅｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）システムと称する。
【００２４】
記述の簡潔のため、符号は以下のように定義される。
【００２５】
Ｖａｌｉｄxは証明書Ｃｅｒｔxの有効性を表示し、ＰｕｂｌｉｃＫｅｙxはエンティティＸ(ＸはＡ又はＢを表す）の公開鍵を表示する。ＩxはエンティティＸのアイデンティティ標識であり、証明書Ｃｅｒｔx又はエンティティの識別子Ｘで表示し、ＲｅｓxはエンティティＸの検証結果を表示し、証明書Ｒｅｓxと証明書Ｒｅｓxの有効性Ｖａｌｉｄxより構成されるか、或いはエンティティＸ及びエンティティＸの公開鍵ＰｕｃｂｌｉｃＫｅｙxより構成され、Ｔｏｋｅｎはトークンフィールドである。
【００２６】
図２に示すように、本発明の各トークンフィールドは以下の２つの形式で表示される。
【００２７】
エンティティ装置Ａとエンティティ装置Ｂの間の双方向認証プロせスは具体的に、ステップ１〜ステップ８を備える。
ステップ１：エンティティ装置Ｂがエンティティ装置Ａに、ランダム数ＲB、アイデンティティ標識ＩBとオプショナルテキストＴｅｘｔ１を含むメッセージ1を送信する。
ステップ２：エンティティ装置Ａがメッセージ1を受信した後、信頼できる第三者ＴＰ装置に、ランダム数Ｒ'AとＲB、アイデンティティ標識ＩAとＩB及びオプショナルテキストＴｅｘｔ２を含むメッセージ２を送信する。
ステップ３：信頼できる第三者ＴＰ装置がメッセージ２を受信した後、アイデンティティ標識ＩAとＩBによりエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する。
【００２８】
信頼できる第三者ＴＰ装置が以下の方式でエンティティ装置Ａとエンティティ装置Ｂの正当性を検証する。
【００２９】
メッセージ２において、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの識別子Ａである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ａの有効な公開鍵ＰｕｂｌｉｃＫｅｙAを検索し、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの証明書ＣｅｒｔAである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔAの有効性ＶａｌｉｄAを確認し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの識別子Ｂである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ｂの有効な公開鍵ＰｕｂｌｉｃＫｅｙBを検索し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの証明書ＣｅｒｔBである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔBの有効性ＶａｌｉｄBを確認する。
【００３０】
ステップ４：信頼できる第三者ＴＰ装置がエンティティ装置Ａとエンティティ装置Ｂの正当性を確認した後、エンティティ装置Ａにエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含むメッセージ３、或いはエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ１とＴｏｋｅｎＴＡ２及びオプショナルテキストＴｅｘｔ５を含むメッセージ３を返答する。
ステップ５：エンティティ装置Ａがメッセージ３を受信した後、エンティティ装置Ｂに対してトークンＴｏｋｅｎＡＢとアイデンティティ標識ＩAを含むメッセージ４を送信する。
ステップ６：エンティティ装置Ｂがメッセージ４を受信した後、検証を行う。具体的に、三つのステップに分ける実行する。
ステップ６．１：ＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２における信頼できる第三者ＴＰ装置の署名を検証し、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲBがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数ＲBと一致するか否かを確認し、検証に成功した場合、ステップ６．２を実行する。
ステップ６．２：エンティティ装置Ａの検証結果ＲeｓAを取得し、エンティティ装置Ａが正当且つ有効である場合、ステップ６．３を実行し、逆の場合、検証を終了するか或いはステップ７を実行する。
ステップ６．３：エンティティ装置Ａの公開鍵を取得し、ＴｏｋｅｎＡＢにおけるエンティティ装置Ａの署名を検証し、エンティティ装置Ｂの識別子がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるエンティティ識別子（Ｂ）と一致するか否か、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数ＲＢがＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるランダム数ＲBと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ｂがエンティティ装置Ａに対する認証を完成し、ステップ７を実行する。
ステップ７：エンティティ装置Ｂがエンティティ装置Ａに対してトークンＴｏｋｅｎＢＡを含むメッセージ５を送信する。
ステップ８：エンティティ装置Ａがメッセージ５を受信した後、検証を行う。具体的に、三つのステップに分けて実行する。
ステップ８．１：メッセージ３に含まれるＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名を検証し、又、メッセージ２に含まれる、エンティティ装置Ａから発生されたランダム数Ｒ’AがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ’Aと一致するか否かを確認し、検証に成功した場合、ステップ８．２を実行する。
ステップ８．２：エンティティ装置Ｂの検証結果ＲeｓBを取得し、エンティティ装置Ｂが正当且つ有効である場合、ステップ８．３を実行し、逆の場合、検証を終了する。
ステップ８．３：エンティティ装置Ｂの公開鍵を取得し、ＴｏｋｅｎＢＡにおけるエンティティ装置Ｂの署名を検証し、エンティティ装置Ａの識別子がＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるエンティティ識別子（Ａ）と一致するか否か、メッセージ４に含まれる、エンティティ装置Ａから発生されたランダム数ＲAがＴｏｋｅｎＡＢ内のエンティティ装置Ｂの署名データに含まれるランダム数ＲAと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ａがエンティティ装置Ｂに対する認証を完成する。
【００３１】
そのうち、ステップ４において、メッセージ３がエンティティ検証結果ＲeｓAとＲeｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含む場合、上述ステップ８．１が上述ステップ５に繰り上げされ、即ち、エンティティ装置Ａがメッセージ３を受信した後、ステップ８．１を実行してから、エンティティ装置Ｂに対してメッセージ４を送信することとなる。
【００３２】
ランダム数Ｒ'A、ＲAとＲBはタイムスタンプ又は順次番号で置き換えても良い。
【００３３】
このような認証システムが実際に応用されるの場合、通常、エンティティ装置Ｂは通信ユーザーの端末装置に位置しており、エンティティ装置Ａはネットワークアクセスポイント側に位置する。上述の実施形態におけるエンティティ装置Ａとエンティティ装置Ｂの間の双方向認証方法は、ユーザーとネットワークアクセスポイントの間の双方向の正当性を認証することを実現でき、正当なユーザーを正当なネットワークへアクセスさせることを確保する。
Claims (6)
- エンティティ装置Ｂがエンティティ装置Ａに、ランダム数ＲBと、アイデンティティ標識ＩBとオプショナルテキストＴｅｘｔ１とを含むメッセージ1を送信するステップ１と、
エンティティ装置Ａがメッセージ1を受信した後、信頼できる第三者ＴＰ装置に、ランダム数Ｒ'AとＲB、アイデンティティ標識ＩAとＩB及びオプショナルテキストＴｅｘｔ２を含むメッセージ２を送信するステップ２と、
信頼できる第三者ＴＰ装置がメッセージ２を受信した後、アイデンティティ標識ＩAとＩBによりエンティティ装置Ａとエンティティ装置Ｂの正当性を検証するステップ３と、
信頼できる第三者ＴＰ装置がエンティティ装置Ａとエンティティ装置Ｂの正当性を確認した後、エンティティ装置Ａにエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含むメッセージ３、或いはエンティティ検証結果ＲｅｓAとＲｅｓB、トークンＴｏｋｅｎＴＡ１とＴｏｋｅｎＴＡ２及びオプショナルテキストＴｅｘｔ５を含むメッセージ３を返答するステップ４と、
エンティティ装置Ａがメッセージ３を受信した後、エンティティ装置ＢにトークンＴｏｋｅｎＡＢとアイデンティティ標識ＩAを含むメッセージ４を送信するステップ５と、
エンティティ装置Ｂがメッセージ４を受信した後、検証を行うステップ６と、
エンティティ装置Ｂがエンティティ装置ＡにトークンＴｏｋｅｎＢＡを含むメッセージ５を送信するステップ７と、
エンティティ装置Ａがメッセージ５を受信した後、検証を行うステップ８とを含み、前記ステップ６は、
ＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２における信頼できる第三者ＴＰ装置の署名を検証し、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数Ｒ B がＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ２内における信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ B と一致するか否かを確認し、検証に成功した場合、ステップ６．２を実行するステップ６．１と、
エンティティ装置Ａの検証結果Ｒeｓ A を取得し、エンティティ装置Ａが正当且つ有効である場合、ステップ６．３を実行し、逆の場合、検証を終了するか或いはステップ７を実行するステップ６．２と、
エンティティ装置Ａの公開鍵を取得し、ＴｏｋｅｎＡＢにおけるエンティティ装置Ａの署名を検証し、エンティティ装置Ｂの識別子がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるエンティティ識別子（Ｂ）と一致するか否か、メッセージ1に含まれる、エンティティ装置Ｂから発生されたランダム数Ｒ B がＴｏｋｅｎＡＢ内のエンティティ装置Ａの署名データに含まれるランダム数Ｒ B と一致するか否かを検証し、検証に成功した場合、エンティティ装置Ｂがエンティティ装置Ａに対する認証を完成し、ステップ７を実行するステップ６．３とを含むことを特徴とするオンライン第三者装置を導入するエンティティ双方向認証方法。 - 前記ステップ８は、
メッセージ３に含まれるＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名を検証し、メッセージ２に含まれる、エンティティ装置Ａから発生されたランダム数Ｒ’AがＴｏｋｅｎＴＡ又はＴｏｋｅｎＴＡ１内の信頼できる第三者ＴＰ装置の署名データに含まれるランダム数Ｒ’Aと一致するか否かを確認し、検証に成功した場合、ステップ８．２を実行するステップ８．１と、
エンティティ装置Ｂの検証結果ＲeｓBを取得し、エンティティ装置Ｂが正当且つ有効である場合、ステップ８．３を実行し、逆の場合、検証を終了するステップ８．２と、
エンティティ装置Ｂの公開鍵を取得し、トークン（Ｔｏｋｅｎ）ＢＡにおけるエンティティ装置Ｂの署名を検証し、エンティティ装置Ａの識別子がＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるエンティティ識別子（Ａ）と一致するか否か、メッセージ４に含まれる、エンティティ装置Ａから発生されたランダム数ＲAがＴｏｋｅｎＢＡ内のエンティティ装置Ｂの署名データに含まれるランダム数ＲAと一致するか否かを検証し、検証に成功した場合、エンティティ装置Ａがエンティティ装置Ｂに対する認証を完成するステップ８．３と
を含むことを特徴とする請求項１記載のオンライン第三者装置を導入するエンティティ双方向認証方法。 - ステップ３におけるエンティティ装置Ａとエンティティ装置Ｂの正当性を確認する過程は、メッセージ２においてエンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの識別子Ａである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ａの有効な公開鍵ＰｕｂｌｉｃＫｅｙAを検索し、エンティティ装置Ａのアイデンティティ標識ＩAがエンティティ装置Ａの証明書ＣｅｒｔA である場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔAの有効性ＶａｌｉｄAを確認し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの識別子Ｂである場合、信頼できる第三者ＴＰ装置はエンティティ装置Ｂの有効な公開鍵ＰｕｂｌｉｃＫｅｙBを検索し、エンティティ装置Ｂのアイデンティティ標識ＩBがエンティティ装置Ｂの証明書ＣｅｒｔBである場合、信頼できる第三者ＴＰ装置は証明書ＣｅｒｔBの有効性ＶａｌｉｄBを確認する
ことを特徴とする請求項２記載のオンライン第三者装置を導入するエンティティ双方向認証方法。 - 前記ステップ４において、メッセージ３がエンティティ検証結果ＲeｓAとＲeｓB、トークンＴｏｋｅｎＴＡ及びオプショナルテキストＴｅｘｔ５を含む場合、前記ステップ８．１が前記ステップ５に繰り上げられて実行され、エンティティ装置Ａがメッセージ３を受信した後、ステップ８．１を先に実行してから、エンティティ装置Ｂにメッセージ４を送信する
ことを特徴とする請求項３記載のオンライン第三者装置を導入するエンティティ双方向認証方法。 - 前記ランダム数ＲA、Ｒ'A及びＲBはタイムスタンプ又は順次番号であることを特徴とする請求項４記載のオンライン第三者装置を導入するエンティティ双方向認証方法。
- 前記トークンフィールドは、
又は
であることを特徴とする請求項１〜５の何れかに記載のオンライン第三者装置を導入するエンティティ双方向認証方法。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN200910023734.0 | 2009-08-28 | ||
| CN2009100237340A CN101640593B (zh) | 2009-08-28 | 2009-08-28 | 一种引入在线第三方的实体双向鉴别方法 |
| PCT/CN2009/076179 WO2011022918A1 (zh) | 2009-08-28 | 2009-12-29 | 一种引入在线第三方的实体双向鉴别方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2013503512A JP2013503512A (ja) | 2013-01-31 |
| JP5468137B2 true JP5468137B2 (ja) | 2014-04-09 |
Family
ID=41615402
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2012525850A Active JP5468137B2 (ja) | 2009-08-28 | 2009-12-29 | オンライン第三者装置を導入するエンティティ双方向認証方法 |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US8732464B2 (ja) |
| EP (1) | EP2472770A4 (ja) |
| JP (1) | JP5468137B2 (ja) |
| KR (1) | KR101471827B1 (ja) |
| CN (1) | CN101640593B (ja) |
| WO (1) | WO2011022918A1 (ja) |
Families Citing this family (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100553193C (zh) * | 2007-10-23 | 2009-10-21 | 西安西电捷通无线网络通信有限公司 | 一种基于可信第三方的实体双向鉴别方法及其系统 |
| CN101674182B (zh) | 2009-09-30 | 2011-07-06 | 西安西电捷通无线网络通信股份有限公司 | 引入在线可信第三方的实体公钥获取、证书验证及鉴别的方法及系统 |
| CN101984577B (zh) | 2010-11-12 | 2013-05-01 | 西安西电捷通无线网络通信股份有限公司 | 匿名实体鉴别方法及系统 |
| CN101997688B (zh) * | 2010-11-12 | 2013-02-06 | 西安西电捷通无线网络通信股份有限公司 | 一种匿名实体鉴别方法及系统 |
| CN103312670A (zh) | 2012-03-12 | 2013-09-18 | 西安西电捷通无线网络通信股份有限公司 | 一种认证方法及系统 |
| CN103312499B (zh) * | 2012-03-12 | 2018-07-03 | 西安西电捷通无线网络通信股份有限公司 | 一种身份认证方法及系统 |
| CN104125063B (zh) | 2013-04-28 | 2016-10-12 | 腾讯科技（深圳）有限公司 | 授权认证方法、设备及系统 |
| CN106572065B (zh) * | 2015-10-10 | 2019-11-22 | 西安西电捷通无线网络通信股份有限公司 | 一种多ttp参与的实体身份有效性验证方法及装置 |
| CN106572063B (zh) * | 2015-10-10 | 2019-10-29 | 西安西电捷通无线网络通信股份有限公司 | 一种多ttp参与的实体身份有效性验证方法及装置 |
| CN106571920B (zh) * | 2015-10-10 | 2019-09-27 | 西安西电捷通无线网络通信股份有限公司 | 一种多ttp参与的实体身份有效性验证方法及装置 |
| CN106572064B (zh) * | 2015-10-10 | 2019-10-29 | 西安西电捷通无线网络通信股份有限公司 | 一种多ttp参与的实体身份有效性验证方法及装置 |
| CN106572066B (zh) * | 2015-10-10 | 2019-11-22 | 西安西电捷通无线网络通信股份有限公司 | 一种实体身份有效性验证方法及其装置 |
| JP2019053493A (ja) * | 2017-09-14 | 2019-04-04 | 株式会社日本総合研究所 | クレジットカード、使用可能化方法、およびプログラム |
| KR20230049967A (ko) * | 2021-10-07 | 2023-04-14 | 한국전자통신연구원 | 무선 분산 통신 시스템에서 신뢰 필드를 이용한 패킷의 무결성 검사 방법 및 장치 |
| CN114615046B (zh) * | 2022-03-07 | 2024-04-30 | 中国大唐集团科学技术研究总院有限公司 | 一种基于国密证书的管理员双因子认证方法 |
Family Cites Families (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08297638A (ja) * | 1995-04-26 | 1996-11-12 | Nippon Telegr & Teleph Corp <Ntt> | 利用者認証方式 |
| JPH08335208A (ja) * | 1995-06-08 | 1996-12-17 | Nippon Telegr & Teleph Corp <Ntt> | 代理認証方法及びシステム |
| JPH10210023A (ja) * | 1997-01-27 | 1998-08-07 | Oki Electric Ind Co Ltd | 認証方法、暗号鍵共有方法および通信システム |
| US6826690B1 (en) * | 1999-11-08 | 2004-11-30 | International Business Machines Corporation | Using device certificates for automated authentication of communicating devices |
| AU2001284754B2 (en) * | 2000-08-08 | 2008-01-10 | Wachovia Corporation | Internet third-party authentication using electronic tickets |
| JP4714482B2 (ja) * | 2005-02-28 | 2011-06-29 | 株式会社日立製作所 | 暗号通信システムおよび方法 |
| CN100495963C (zh) * | 2006-09-23 | 2009-06-03 | 西安西电捷通无线网络通信有限公司 | 一种公钥证书状态的获取及验证方法 |
| CN100488305C (zh) * | 2006-09-23 | 2009-05-13 | 西安西电捷通无线网络通信有限公司 | 一种网络接入鉴别与授权方法以及授权密钥更新方法 |
| CN100553193C (zh) * | 2007-10-23 | 2009-10-21 | 西安西电捷通无线网络通信有限公司 | 一种基于可信第三方的实体双向鉴别方法及其系统 |
| CN101222328B (zh) * | 2007-12-14 | 2010-11-03 | 西安西电捷通无线网络通信股份有限公司 | 一种实体双向鉴别方法 |
| CN101247223B (zh) * | 2008-03-06 | 2010-06-09 | 西安西电捷通无线网络通信有限公司 | 一种基于可信第三方的实体双向鉴别方法 |
| CN101286840B (zh) * | 2008-05-29 | 2014-07-30 | 西安西电捷通无线网络通信股份有限公司 | 一种利用公钥密码技术的密钥分配方法及其系统 |
| CN101364875B (zh) | 2008-09-12 | 2010-08-11 | 西安西电捷通无线网络通信有限公司 | 一种实现实体的公钥获取、证书验证及双向鉴别的方法 |
| CN101364876B (zh) | 2008-09-12 | 2011-07-06 | 西安西电捷通无线网络通信股份有限公司 | 一种实现实体的公钥获取、证书验证及鉴别的方法 |
-
2009
- 2009-08-28 CN CN2009100237340A patent/CN101640593B/zh active Active
- 2009-12-29 US US13/392,899 patent/US8732464B2/en active Active
- 2009-12-29 KR KR1020127007947A patent/KR101471827B1/ko active IP Right Grant
- 2009-12-29 JP JP2012525850A patent/JP5468137B2/ja active Active
- 2009-12-29 EP EP09848650.9A patent/EP2472770A4/en not_active Ceased
- 2009-12-29 WO PCT/CN2009/076179 patent/WO2011022918A1/zh active Application Filing
Also Published As
| Publication number | Publication date |
|---|---|
| US20120159169A1 (en) | 2012-06-21 |
| EP2472770A4 (en) | 2017-07-26 |
| CN101640593A (zh) | 2010-02-03 |
| WO2011022918A1 (zh) | 2011-03-03 |
| JP2013503512A (ja) | 2013-01-31 |
| US8732464B2 (en) | 2014-05-20 |
| KR20120052404A (ko) | 2012-05-23 |
| KR101471827B1 (ko) | 2014-12-11 |
| EP2472770A1 (en) | 2012-07-04 |
| CN101640593B (zh) | 2011-11-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5468137B2 (ja) | オンライン第三者装置を導入するエンティティ双方向認証方法 | |
| US8417955B2 (en) | Entity bidirectional authentication method and system | |
| JP5468138B2 (ja) | オンライン第三者装置を導入するエンティティ認証方法 | |
| RU2458481C2 (ru) | Способ и система двусторонней идентификации объекта на основе доверенной третьей стороны | |
| JP5425314B2 (ja) | オンライン信頼できる第三者を導入したエンティティの公開鍵の取得、証明書の検証及び認証の方法及びシステム | |
| KR101483818B1 (ko) | 신뢰성 있는 제 3자를 기반으로 한 양방향 엔티티 인증 방법 | |
| CN101364876B (zh) | 一种实现实体的公钥获取、证书验证及鉴别的方法 | |
| CN101364875B (zh) | 一种实现实体的公钥获取、证书验证及双向鉴别的方法 | |
| CN102984127A (zh) | 一种以用户为中心的移动互联网身份管理及认证方法 | |
| US11777743B2 (en) | Method for securely providing a personalized electronic identity on a terminal | |
| US9398024B2 (en) | System and method for reliably authenticating an appliance | |
| WO2011026296A1 (zh) | 引入在线可信第三方的实体鉴别方法 | |
| JP2013175040A (ja) | 認証権限移譲システム、情報端末、トークン発行局、サービス提供装置、認証権限移譲方法、及びプログラム | |
| JP2009118110A (ja) | 認証システムのメタデータプロビジョニング方法、システム、そのプログラムおよび記録媒体 | |
| JP6122399B2 (ja) | クライアント証明書による端末認証方法、端末認証システム及びプログラム | |
| CN116455662A (zh) | 验证用户身份的方法、系统、装置、存储介质及电子设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130903 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20131203 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140107 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140128 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5468137 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |