JP5492856B2 - パーティ間の通信におけるプライバシーを確保する方法及び装置 - Google Patents

Description

発明の分野
本発明は、パーティ（party：加入者あるいは関係者）間の通信におけるプライバシーを確保する方法及び装置に関するものであり、特に、パーティの移動の追跡を防止する方法及び装置に関するものである。

発明の背景
ユーザ端末及びユーザの少なくとも一方が移動する通信システムにおいて、ユーザ及び機器の無認可の追跡を防止することは、プライバシー及びおそらくは法律上の理由から重要である。追跡を防止する際の主な試みは、長期間あるいは相関が容易な情報（例えば、識別子、データあるいはその他の値）の使用を防止することである。この情報とは、明示的に「識別子」を構成する、あるいはユーザを識別可能にするものであり、また、同一のエンティティがある場所（「場所」は、地理的なもの、即ち、物理的、あるいは論理的、例えば、ネットワークアドレスであり得る）から別の場所へ移動するそのエンティティを追跡可能にすることである。以下で使用される「識別子」という用語は、取り得るものすべてを含むものである。ここで、「場所」は、物理的（地理的）あるいは論理的（例えば、ネットワークアドレス）の両方であり得る。いくつかの電気通信メカニズムは、これを考慮することで、周期的に及び不規則に、あるいはそのいずれかで変更される識別子を使用することができる。ＧＳＭ（登録商標）では、一時ＩＭＳＩ（国際移動体加入者識別子）いわゆるＴＩＭＳＩを、実際のＩＭＳＩを隠蔽するために使用される。しかしながら、一般的には、このような技術は、それらがプロトコルスタック全体を通して実施されない限り有用ではない。例えば、無線ＬＡＮ認証メカニズムは、「匿名」［ＥＡＰ−ＳＩＭ、ＩＥＴＦ、draft-haverinen-pppext-eap-sim-14.txt、及びＥＡＰ−ＡＫＡ、ＩＥＴＦ、draft-arkko-pppext-eap-aka-14.txt］を採用することができる、あるいは他との認証交換を完全に隠蔽することができる［ＰＥＡＰ、ＩＥＴＦ、draft-josefsson-pppext-eap-tls-eap-10.txt］。これは、固定リンクレイヤ識別子（例えば、ＭＡＣアドレス）が下位レイヤで使用される限り、その値はあまり問題でない。

この問題は、様々な形式で存在する。特に明確な例には、クリアテキストによる人間が読取可能なユーザ識別子、例えば、ＮＡＩ［ＩＥＴＦ ＲＦＣ２４８６］の送信がある。同様の問題が、不変ではあるが「無意味な」識別子、例えば、ＩＰアドレス［ＰＲＩＶＡＣＹＡＤＤＲ；ＩＥＴＦ ＲＦＣ３０４１］の送信についても顕在する。あまり知られていない問題としては、実際の「識別子」とは完全に独立しているデータでさえ、ユーザを追跡するために使用できることである。例えば、ＩＰｓｅｃ ＳＩＰ［ＩＰＳＥＣ，ＩＥＴＦ ＲＦＣ２４０１］は、ＩＰアドレスが同一にならないとしてもＳＰＩ値が変更されていない場合は、ある場所にあるノードが、その後、別の場所に存在するノードと同一ノードであることを示すことができる。この場合で、例えば、３２ビットＳＰＩを用いると、ＳＰＩが同一である場合で、同一ユーザとならない可能性は４０億分の１である（ＩＰアドレスは、ＮＡＴ−ＴあるいはＭＯＢＩＫＥが使用される場合に変更できる）。これは、特に、ＩＫＥ ＳＰＩに対し問題があり、つまりは、処理中に以前のＳＰＩを明らかにすることなく、ＩＫＥ ＳＰＩを効率的に再ネゴシエートする可能性はない。ＩＰｓｅｃ ＳＰＩに対しては、このことはあまり問題ではなく、部外者に対しては変更を隠蔽しながら、ＳＰＩはＩＫＥ ＳＡの保護範囲で再ネゴシエートすることができる。それにもかかわらず、この問題は、プライバシー強化対策が時には予想外の要素によって無効化されることが残存している。

同一の問題が、ある認証メカニズムで生じる。認証処理に対しては、２つの一般的な技術として、パブリックキー暗号化の使用と、いわゆるハッシュチェインの使用がある。パブリックキーに付随する問題は、キーがアイデンティティと結び付けられていないとしても、キーはユーザの「痕跡」を残してしまう。これは、だれもがパブリックキーを使用して信頼性を検証することができるからである。同様に、ハッシュチェインは、ハッシュを適用することによって順方向に容易にリンク可能である。

パケット毎に変化するデータですら、ユーザを追跡するために使用することができる。例えば、ＴＣＰあるいはＩＰｓｅｃシーケンス番号は、他の適切な識別子が存在しない場合ですら、機器の識別に対して十分なことがいくつかの場合であり得る。シーケンス番号空間が十分に大きく、かつ十分な度合でノードに配信される限り、ある場所でシーケンス番号Ｎで存在し、その直後、別の場所でシーケンス番号Ｎ＋１（あるいはそれに近いもの）で存在するノードは、同一ノードである可能性がある。

これらの問題を取り扱う既存の技術は、以下のものを含んでいる。：
例えば、ＴＬＳあるいはＩＰｓｅｃのような、保護化トンネルあるいはトンネル群内で、識別子と他の通信を隠蔽することである。このソリューションの欠点は、他の識別子が「トンネル」外でも依然として頻繁に可視状態にあることである。

ＧＳＭ（登録商標）及びいくつかのＥＡＰ方法で実行されるような、「匿名」を使用することである。この技術では、識別子は、サービスへのログインに対して使用され、そのサービスは、クライアントが解読でき、かつ次回のサービスへのログイン用の識別子として使用することができる暗号化トークンを返信する。このスキームの欠点は、必要なシグナリング量を増やすことになる、新規の匿名が返信されなければならないことである。どのような場合でも、このソリューションは、すべての状況で実現可能とはならない可能性がある。例えば、この方法におけるシーケンス番号の保護は、ＡＣＫが存在するＴＣＰでは可能であるが、ＩＰｓｅｃでは困難となる。それは、新規のパケットの送信が必要とされる前には、返信方向ではトラフィックは存在しないが可能性があるからである。どのような場合でも、次のパケットを送信できる前には、新規の匿名を待機することは効率的でない。

シーケンス番号（及びそれによるリンク可用性）を削除することは、これらが過去にどこで使用されているかを考慮することができる。しかしながら、従来技術を用いると、このことは、普遍的な実行可能なオプションではなく、ＩＰのような信頼性のないデータ転送メカニズムを少なくとも使用する場合は、送信機／受信機の同期問題が発生することになる。

パブリックキーとハッシュチェインに対しては、プライバシーを改善するための利用可能な方法は、新規のパブリックキー／ハッシュチェインを頻繁に生成することである。しかしながら、これは、計算コストが極めて高くなる。

この問題をまとめると、例えば、セキュリティ処理のような、データパケットの処理のメタデータの記述は、プライバシーを攻撃するために使用される可能性がある。

発明の要約
本発明の目的は、上述の問題を解消するあるいは少なくとも軽減することである。この目的及び他の目的は、疑似ランダムシーケンスから選択される値を使用して、値を示すことによって達成される。この値とは、それ自体がユーザ識別子ではなく、そして、通信あるいは連続する通信において相対的に長く存在する、あるいはサードパーティによって予測できる方法で変化する。

本発明の第１の構成に従えば、キーｋを共有する第１パーティと少なくとも１つの第２パーティ間で通信される順序付けされたメッセージＭ［ｘ（１），Ｄ（１）］、Ｍ［ｘ（２），Ｄ（２）］等のシーケンスにおいて、メッセージ処理のメタデータｘ（ｉ）記述を隠蔽することによってプライバシーを改善する方法が提供される。ここで、Ｄ（ｉ）は、ペイロードデータを示している。この方法は、
前記第１パーティと前記第２パーティとは、少なくともｘ（ｉ）をｙ（ｉ）にマッピングするマッピングＦ_kである、共有キーｋに依存する疑似ランダムマッピングに合意し、
前記第１パーティは、各メッセージＭ［ｘ（ｉ），Ｄ（ｉ）］内で、ｘ（ｉ）をｙ（ｉ）に置換することによって、前記メッセージ群を変更し、
前記第１パーティは、前記変更したメッセージ群をそれらの本来の順序を維持しながら送信し、
メッセージＭ（ｙ（ｍ），Ｄ）の受信において、前記第２パーティは、マッピングＧ_kを使用して、受信した値の位置ｍと本来の値ｘ（ｍ）を取得する。

本発明の一実施形態では、本方法は、受け入れる値のウィンドウ［Ｎ_i，Ｎ_i+t］を利用する第２パーティを備える。ここで、前記ウィンドウのサイズｔは予め定義されており、また、前記マッピングＧ_kは、前記マッピングＦ_kを、前記ウィンドウ内の少なくとも１つのＮ_m値に適用し、その結果と前記ｙ（ｍ）を比較することによって計算される。

好ましくは、前記Ｇ_kは、前記Ｆ_kの逆関数であり、前記本来の値ｘ（ｍ）を取得することは、Ｇ_k（ｙ（ｉ））を計算することによって実行される。

シーケンス内での位置と本来の値ｘ間には、ｉ→ｘ（ｒ（ｉ））となるような既知の関係ｒが存在しても良い。一実施形態では、前記ｒ（ｉ）＝ｉである。

各パーティは、カウンタあるいは合意された演算関数ｒを使用して、疑似ランダムシーケンスの値を生成することができる関数に対する入力値を生成し、カウンタ値あるいは関数ｒ（ｉ）は、Ｆ_k：｛ｒ（ｉ），ｘ（ｉ）｝→ｙ（ｉ）に従って前記疑似ランダムシーケンス内の対応する値を生成する。

本発明の一実施形態では、前記メタデータｘ（ｉ）は、単調増加シーケンスである。

本発明の一実施形態では、前記メタデータｘ（ｉ）は、メッセージＭ（ｉ）のセキュリティ処理を記述する。

本発明の第２の構成に従えば、通信ネットワークを介して、第１パーティと１つ以上の第２パーティ間の通信におけるプライバシーを確保する方法が提供される。この方法は、
前記第１パーティ及び前記第２パーティのそれぞれで利用可能な値の同一の疑似ランダムシーケンスを作成し、前記シーケンスあるいは前記値と、前記第１パーティによって送信されるメッセージを受信するパーティによって使用される値との間でのマッピングを保持して、前記メッセージあるいはその内容を処理し、
前記第１パーティと前記第２パーティとの間で送信されるメッセージにおいて、前記シーケンスにマッピングされる前記値の位置における、該シーケンスからの値を使用し、
受信側のパーティにおいて、代入値に基づいて置換される値を識別し、それに従って前記メッセージを処理し、
前記シーケンスから使用される値は、メッセージ単位あるいは定期的に変更される。

本発明の一実施形態では、シーケンスにマッピングされる値は、データを識別するデータである「メタデータ」として見なされても良い。この値は相対的に長く存在する、あるいはサードパーティによって予測できる方法で変化しても良い。本発明の実施形態は、パーティ間で送信されるメッセージを「スヌープする（snooping）」可能性のあるサードパーティから、実際の値あるいは値群を隠蔽する。

シーケンスにマッピングされる値は、パーティあるいは通信に動的に割り当てられる値であっても良い。この値は、パーティあるいは通信セッションに一時的に割り当てられても良い。

マッピングされる値は、予測可能な方法、即ち、サードパーティが異なる値を同一パーティに関連付けることができる方法で、変化しても良い。

シーケンスにマッピングされる値は、以下の内の１つであっても良い。

ＩＫＥあるいはＩＰＳｅｃ ＳＰＩ
ＭＡＣ（メディアアクセスコントロール）アドレス
ＩＰアドレス
ＩＰｖ６アドレスのインタフェース識別部分
ポート番号
暗号キー（例えば、同一キーを２回使用することは、場合によっては、利用可能な関係を生成することができる）
ハッシュチェイン（ハッシュチェイン内の連続値が強力にリンク可能であるが、ｎｅｗ＿ｖａｌｕｅ＝ＰＲＦ（ｈ（ｏｌｄ＿ｖａｌｕｅ｜Ｐ））を使用することは、外部へのそのようなリンクを削除することになる。このような場合と同一の結果をもたらす別の公式は、ｎｅｗ＿ｖａｌｕｅ＝ＰＲＦ（ｏｌｄ＿ｖａｌｕｅ｜Ｐ）となる。

シーケンス番号、ここで、識別子Ｎ_iは、シーケンス番号ｉに対応し、ウィンドウ処理は、シーケンス番号がこれまでに処理される方法と同一の方法で実行されることになる。

好ましくは、前記第１パーティ及び前記第２パーティのそれぞれで利用可能な値の同一の疑似ランダムシーケンスを作成することは、前記パーティへ、共有シークレットと、疑似ランダムシーケンスを生成することができる関数を提供する。各パーティは、関数への入力として、共有シークレットと、対応するシーケンスの値（例えば、等差数列あるいは既知の有限状態マシーンの連続出力、ＬＦＳＲあるいはその類）を使用することによって、疑似ランダムシーケンスを生成する。疑似ランダムシーケンスの値は、１つずつ、即ち、必要とされるときに生成されても良いし、あるいは値のセットが将来使用するために生成されても良い。

本発明の別の実施形態では、疑似ランダム値のシーケンスは、サードパーティによって生成されて良く、また、サードパーティによって第１及び第２パーティの少なくとも一方に提供されても良い。

疑似ランダムシーケンスの値は、所定順序で送信側パーティによって使用されることが好ましい、あるいはシーケンスの制限された範囲から値が選択されることが好ましい。この範囲の１つ以上の値を使用した後にシフトすることができる。受信側パーティは、使用されるべき識別子の順序、及び識別子が選択されるウィンドウの少なくとも一方の知識を有している。

各パーティは、カウンタあるいは合意された演算関数を使用して、疑似ランダムシーケンスの値を生成することができる関数に対する入力値を生成し、カウンタ値あるいは関数結果は、前記疑似ランダムシーケンス内の対応する値を生成する。カウンタ値あるいは結果は、疑似ランダム出力の生成の前に、予測可能な方法で変更される、例えば、関数によって乗算されるあるいは除算される。カウンタは、任意の適切な方法でカウントを行うことができる。

好ましくは、前記関数は、疑似ランダム関数である。しかしながら、ブロック暗号関数を含む適切な疑似乱数シーケンスを生成することができる他の関数であっても良く、また、代替として使用されても良い。

前記関数の出力は、第１パーティに対する識別子として直接使用されても良い。選択的には、この出力は、識別子を生成するために更に処理されても良い。

このシーケンスの値は、第２パーティとの連続通信で自身を識別するために、第１パーティによって順番に使用されても良い。選択的には、この値は、例えば、ある所定範囲内では、順不同で使用されても良い。

好ましくは、この方法は、第２パーティで、第１パーティの値を受け入れ可能なウィンドウを定義する。このウィンドウは、カウンタ値の範囲に対応する。ウィンドウの下端は、既に受信した値に基づいて定義されても良く、そうすることで、ウィンドウは、先行する全ての値の受信に続くシーケンスの次の値に移動する。

第１パーティから第２パーティへの通信を行う直前に、また、第２パーティでの受信を完了する前に、値は、必要とされるときに、第１及び第２パーティで生成されても良い。（２つのパーティで、カウンタの同時のインクリメントは必要とされない。）選択的には、パーティ群の少なくとも一方は、将来使用するための識別子のセットを予め生成しても良い。

本発明の実施形態では、この方法は、ＩＰｖ６に従う暗号によって生成されるアドレス（ＣＧＡ）を生成するために使用される。より詳しくは、ＣＧＡアドレスのインタフェース識別子部分は、カウンタ値を、インタフェース識別子生成処理への入力として使用することによって生成される。

シーケンス内の値群の１つの値は、所定の要素に基づく使用を考慮する次の値とともに、例えば、送信側が新規の位置へ移動する場合あるいは送信側が次の値を使用するパケットを受信機から受信する場合には、１回限りではなく数回使用されても良い。

この値は、受信側でパケットを逆多重化するために、例えば、パケットを一時的に順序付けること、及びパケットを正しい宛先に転送することの少なくとも一方を行うために使用することができる。

本発明は、ＳＰＩ番号及び、ＩＰＳｅｃあるいはＩＫＥにおける他の識別子を隠蔽／置換するために利用することができる。

本発明は、ＷＬＡＮ、ＧＳＭ（登録商標）のようなネットワークアクセスメカニズム、あるいはＥＡＰのような認証方法で利用することができる。

本発明のいくつかの実装では、ＮＡＴのようなサードパーティには、値のシーケンスを生成するために必要な情報が提供されても良い。このサードパーティは、合法的に捕捉（傍受：intercept）するためのあるいは他の目的のための通信ノード以外のパーティと、そのシーケンスを共有することができる。

本発明の第３の構成に従えば、移動端末あるいはネットワークノードを操作する方法が提供される。この方法は、
前記移動端末あるいはネットワークノードで利用可能な値の疑似ランダムシーケンスを作成し、前記シーケンスあるいは前記値と、前記移動端末あるいはネットワークノードによって送信されるメッセージを受信するパーティによって使用される値との間でのマッピングを保持して、前記メッセージあるいはその内容を処理し、
前記移動端末あるいはネットワークノードと第２パーティとの間で送信される、順序付けされたメッセージのシーケンスのメッセージそれぞれにおいて、前記疑似ランダムシーケンスにマッピングされる前記値の位置における、該疑似ランダムシーケンスからの値を使用する。

本発明の第４の構成に従えば、移動端末あるいはネットワークノードを操作する方法が提供される。この方法は、
前記移動端末あるいはネットワークノードで利用可能な値の疑似ランダムシーケンスを作成し、前記シーケンスあるいは前記値と、前記移動端末あるいはネットワークノードによって送信されるメッセージを受信するパーティによって使用される値との間でのマッピングを保持して、前記メッセージあるいはその内容を処理し、
前記移動端末あるいはネットワークノードで受信される順序付けされたメッセージのシーケンスのメッセージそれぞれにおいて、前記メッセージに含まれるシーケンスの値を、前記マッピングされた値にマッピングし、かつ前記マッピングされた値を使用して、前記メッセージあるいはその内容を処理する。

本発明の第５の構成に従えば、パーティ間の安全な通信時に使用するためのパブリックキーのシーケンスを生成する方法が提供される。この方法は、
第１パブリックキーを第１パーティと第２パーティへ提供し、
前記第１パーティと前記第２パーティ間での共有シークレットに合意し、
前記シーケンスの値が事実上疑似ランダムとなるように、前記第１パーティと前記第２パーティに、前記第１パブリックキーと前記共有シークレットを使用して更なるパブリックキーのシーケンスを生成する手段を提供し、
前記シーケンスのパブリックキーを使用して、前記パーティ間の通信を安全にする。

このようなパブリックキーのシーケンスの例としては、「ベース」キーｙ＝ｇ＾ｘ（離散的対数に基づくスキーム）であるとすると、連続するキー群は、ｙに、疑似ランダムシーケンスから取得される値を累乗することによって取得される。

安全な通信処理で介在する様々なパーティを示す図である。 安全な通信処理におけるステップ群を示すフロー図である。 サードパーティを含む安全な通信処理に介在する様々なパーティを示す図である。 合法的な捕捉が必要とされる安全な通信処理に介在する様々なパーティを示す図である。 ＩＰＳｅｃを使用する安全な通信処理におけるステップ群を示すフロー図である。

実施形態の詳細説明
本発明は、汎用通信システムを参照して示される。この汎用通信システムでは、２つのパーティが、通信ネットワークを介して他方と通信しようとしている。このパーティ群は、ユーザ端末あるいはネットワークベースのデバイス、あるいはそれらの組み合わせであっても良い。通信は、複数の多重通信を含んでいて、各通信では、通信が処理されるべき方法の「メタデータ」記述あるいは指示を含んでいる。このようなデータは、セキュリティ処理に関連していても良く、また、通信間の一時的な関係及び通信と物理あるいは論理エンティティ間の空間的な関係の少なくとも一方を導出するために使用することができる。例示の一時的な関係は、シーケンス番号から判定することができる。一方で、例示の空間的な関係は、ユーザを識別するアイデンティティ、通信を送信しているネットワークエンティティ、あるいは例えば、ポート番号のような論理エンティティから判定することができる。

パーティ群（あるいは「ピア（peers：同位装置）」）は、使用される値の特定シーケンスについて合意する。これを行うための最も簡単な方法は、装置が次の値を導出するために使用することになる共通疑似ランダム関数に合意することである。これは、パケット単位でのシグナリングを必要としない。装置は、それらが受け入れる値のウィンドウを使用する。このようにして、パケットの損失が、同期を破壊することはない。

より詳しくは、装置は、それらの接続セットアップの一部として、いくつかのシークレットパラメータＰに合意する。例えば、ＩＫＥでは、Ｐは、ＩＫＥ ＳＡの確立から生成されるマスターキーに基づいて導出することができる。このことは、通信の両端の装置が、このスキームをサポートする限り、既存のプロトコルを越える通信を必ずしも必要としない。例えば、Ｐは、ｈ（「プライバシー」｜マスターキー）に設定することができる。図１及び図２を参照されたい。

次のステップは、例えば、疑似ランダム関数（ＰＲＦ）のようなシーケンス生成関数を使用して、いくつかの乱数的な値を導出する。この関数への入力は、シークレットパラメータＰである。例えば、第１の値はＰＲＦ（「１」｜Ｐ）とすることでき、第２の値はＰＲＦ（「２」｜Ｐ）とすることができ、以降、同様にすることができる。ここで、「ｎ」は、自然数ｎを値「ｎ」＝ｒ（ｎ）へマッピングすることを示している。Ｐ自身が変数パラメータ、例えば、シーケンス番号である場合、付加されるシーケンス番号「１」、「２」等は、必須にはならない。選択的には、次の関数
ｖａｌｕｅ＿ｉ＝Ｆ（Ｐ，ａｎｃｈｏｒ＿ＩＤ「ｊ」）
を使用しても良い。ここで、Ｆは、可逆の１：１関数（ここで、ＰＲＦは通常そうではない）、例えば、ブロック暗号であり、ｊは、シーケンス番号である。ａｎｃｈｏｒ＿ＩＤは、例えば、実際のユーザ名のような「実際」のアイデンティティとすることができる。このような状況の配下にあるモチベーションは、正規の信用のあるユーザ（Ｐを共有）は単純かつ有効な方法を用いて、「過去（backwards）」に戻って、ａｎｃｈｏｒ＿ＩＤを検出することである。本実施形態では、受信機は、値＿ｉからｊを効果的に再構築することができる。このことは、受信機は、受信したメッセージの本来の順序（及びその他の内容）を容易に判定することができることを意味している。Ｆが１：１でない場合（おそらくは、より一般的な場合）、受信機は、依然として（より高い可能性で）、次で説明するように、本来の順序を再構築することができる。

送信側の装置は、シーケンス内の各値を使用する。受信側の装置は、値のウィンドウを使用する。これは、Ｎ_iまでのすべての値が存在する限り、値Ｎ_i+1，Ｎ_i+2，．．．，Ｎ_i+32を受け入れる。これらの値は、問題となっている用途が許容する場合あるいは必要とする場合でさえも、そのウィンドウ内では順不同で使用される可能性がある。例えば、ＩＰｓｅｃでは、このことが必要とされる。別の用途では、すべての値がシーケンス内で使用され、かつスキップされる値がないことを下位レイヤ（例えば、ＴＣＰ）が予め保証することができる。

受け入れるシーケンス値のウィンドウは、受信する値のシーケンス内の位置を判定するために使用される。マッピング関数は、置き換えられている本来の値を取得するために使用される。このマッピング関数が選択されることが好ましく、そうすることで、ウィンドウ内の位置と本来の値の間に既知の関係が存在する場合には、１：１となる（つまり、一意的な可逆性となる）。この位置は、本来の値を直接判定する必要はない。しかしながら、位置が一旦判定されると、「位置」のマッピングは、逆マッピングを実行するよりも先に適用されても良い。例えば、ｖ（ＰＲＦ（ｊ｜Ｐ）の形式である）の受信では、最初は、受信機はｊを知らない。しかしながら、上述のウィンドウ内のすべてのＮ_iに対するＰＲＦ（Ｎ_i｜Ｐ）を評価することによって、受信機は、以下の
ＰＲＦ（Ｎ_i｜Ｐ）＝ｖ
を満足するＮ_iとしての、正しいｊを検出する可能性が非常に高くなる。

唯一の問題は、ウインドウ内で、同一の値をマッピングしている２つの異なるＮ_i、Ｎ_kが存在する場合である。但し、ＰＲＦがｔビットのサイズの出力を生成し、かつウィンドウはサイズｗであると想定すると、このような衝突の可能性は、約Ｗ２^-tであると予想される。ｗ＝ｔ＝３２に対しては、この可能性は約１０億分の１であると言える。更なる例としては、データセッションが１秒当たり５０パケットで動作すると想定する。このようなデータセッションは、１回の衝突エラーを経験する前には約１月近く続けることが可能となる。

ここで、このスキームは、デバイスあるいはユーザのアイデンティティに関連する情報を明らかにすることができる、任意のタイプの値あるいは他のメタデータに対して使用することができることに注意されたい。例えば、
ＭＡＣ（メディアアクセス制御）アドレス
ＩＰアドレス
ＩＰｖ６アドレスのインタフェース識別子部分
ポート番号
ＩＫＥあるいはＩＰＳｅｃ ＳＰＩ
暗号キー（例えば、同一キーを２回使用することは、場合によっては、利用可能な関係を生成することができる）
ハッシュチェイン（ハッシュチェイン内の連続値が強力にリンク可能であるが、ｎｅｗ＿ｖａｌｕｅ＝ＰＲＦ（ｈ（ｏｌｄ＿ｖａｌｕｅ｜Ｐ））を使用することは、外部へのそのようなリンクを削除することになる。このような場合と同一の結果をもたらす別の公式は、ｎｅｗ＿ｖａｌｕｅ＝ＰＲＦ（ｏｌｄ＿ｖａｌｕｅ｜Ｐ）となる。

シーケンス番号、ここで、識別子Ｎ_iは、シーケンス番号ｉに対応し、ウィンドウ処理は、シーケンス番号がこれまでに処理される方法と同一の方法で実行されることになる。

本発明の実施形態では、値／メタデータは、受信側で受信パケットを逆多重化するために使用される。例えば、正しい受信処理にパケットを通すために、ＩＰアドレスとＴＣＰ／ＵＤＰポート番号は受信機でパケットを逆多重化するために使用される。同様に、パケットを暗号処理用の正しいセキュリティアソシエーション（関係）に向けるために、ＩＰＳｅｃ ＳＰＩはパケットを逆多重化するために使用される。本実施形態を実現する提案の方法は、識別子を保持する変数を、事前に計算された、生成された値のショートリスト（a short pre-computed list of generated values）に置き換えることである。ハッシュテーブルが逆多重化のために使用される場合、その生成される値のすべてがハッシュテーブルに挿入される。

本発明の別の実施形態では、値は、いくつかの暗号的な意味を有している。例えば、ＩＰｖ６では、いわゆる暗号によって生成されるアドレス（ＣＧＡ）は、パブリック暗号キーといくつかの他のパラメータのハッシュとして生成されている、インタフェース識別子部分を有している。シーケンスカウンタを他のパラメータに含ませ、かつ１つの安定したものに代えて、インタフェース識別子の生成されたシーケンスを使用することによって、本発明をＣＧＡに適用することができる。

本発明の別の実施形態では、生成されたシーケンスは、他の通信パーティと、それに加えて、最初の送信機と最後の受信機へ通信される。例えば、このシーケンスは、そのシーケンスを生成するために必要とされるパラメータを安全に他の通信パーティに送信することによって、ＩＰネットワークアドレストランスレータ（ＮＡＴ）群あるいは他の仲介装置に明らかにすることができる（図３参照）。

本発明の別の実施形態では、シーケンスはサードパーティによって生成される、あるいはサードパーティに明らかにされる。そうすることで、このサードパーティは、後に、そのシーケンスを他のものに明らかにすることができる。このことは、例えば、合法的な捕捉を実行するために有用であり得る。例えば、オペレータによって制御されるノードは、値のシーケンスと、２つの通信ノードに対する共有シークレットを生成し、かつ自身の加入者が確立している場合に確立しているセキュリティアソシエーションを使用して、２つのノードへ安全にこの共有シークレットを通信することができる。合法的な捕捉が必要とされる場合、オペレータのノードは、パケットストリームをキャプチャすることができるノードへ、値のシーケンスを明らかにすることができ、かつ法的捕捉操作を実行したい政府機関へ、共有シークレットのシーケンスを明らかにすることができる（図４参照）。

本発明は、極めてプライベートな通信を提供するために使用することができる。取り得る用途には、ホストアイデンティティプロトコル（ＨＩＰ）におけるものがある、あるいは４Ｇリンクレイヤプロトコル及びＷＬＡＮプロトコルに対するものがある。

上述のように、本発明の特定用途には、ＩＰ及びそれの上位レイヤプロトコル（例えば、ＴＣＰあるいはＵＤＰ）へセキュリティを提供することが意図されているＩＰＳｅｃにおけるものがある。ＩＰＳｅｃは、キー及びセキュリティサービスをトラフィックに関連付けるために、セキュリティアソシエーション（ＳＡ）データベースを使用する。セキュリティパラメータインデックス（ＳＰＩ）と呼ばれるインデックスは、ＩＰＳｅｃプロトコルヘッダに含められ、また、ＳＡデータベース内の特定のＳＡを指示している。ＳＰＩは、通常は、長期間使用のために、特定ユーザあるいは端末に割り当てられることになる。ＳＰＩは、クリアテキストでＩＰＳｅｃヘッダに含まれなければならないので、このＳＰＩは、ユーザの移動を追跡する悪意のあるサードパーティによって利用され得る脆弱性をもたらすことになる。ＳＰＩを疑似ランダム値のシーケンスにマッピングし、ＩＰＳｅｃヘッダ内のＳＰＩを変更シーケンス値に置換することによって、この脆弱性は解消される。

典型的には、新規のシーケンス値は各メッセージに対して選択される。ＳＡは、通信パーティ間の各方向で確立され、このメカニズムは、各ＳＡに対して別々に適用されることが理解されるであろう。図５は、この処理を示すフロー図である。

ＩＰＳｅｃヘッダもシーケンス番号を含んでいて、これも、脆弱性をもたらす可能性があるので、このシーケンス番号も疑似ランダムシーケンスにマッピングしても良い。

本発明の範囲から逸脱することなく、上述の実施形態を様々に変形することができることは当業者には明らかであろう。

Claims (14)

1. 通信ネットワークを介して、第１の端末と１つ以上の第２の端末間の通信におけるプライバシーを確保する方法であって、
   前記第１の端末及び前記第２の端末のそれぞれで利用可能な複数の値からなる同一の疑似ランダムシーケンスを作成し、前記第１の端末によって送信されるメッセージあるいはその内容を処理するために、前記疑似ランダムシーケンスを構成する前記複数の値の内の第１の値と、前記第１の端末によって送信されるメッセージを受信する前記第２の端末によって使用される第２の値との間でのマッピングを保持し、
   前記第１の端末と前記第２の端末との間で送信するメッセージにおいては、前記マッピングによって前記疑似ランダムシーケンスの前記第１の値にマッピングされている前記第２の値の代わりに、該疑似ランダムシーケンスの前記第１の値を使用し、
   前記第２の端末において、前記マッピングを規定するマッピング関数への代入値に基づいて、前記第１の値に置換されている前記第２の値を識別し、その識別した第２の値に従って前記メッセージを処理し、
   前記疑似ランダムシーケンスから使用される前記第１の値を、メッセージ単位あるいは定期的に変更し、
   前記第１の値は、前記第１の端末の識別子として使用可能である、あるいは、前記第１の値は、前記識別子を生成するために更に処理されるように使用可能である
   ことを特徴とする方法。
2. 前記第２の端末は、通信に含まれるシーケンスの値が、連続的な疑似ランダム値のウィンドウ内に存在するかを検証することによって、前記第１の端末を認証する
   ことを特徴とする請求項１に記載の方法。
3. 前記第１の端末及び前記第２の端末のそれぞれで利用可能な値の同一の疑似ランダムシーケンスを作成することは、前記第１の端末及び前記第２の端末のそれぞれにおいて、前記疑似ランダムシーケンスを生成することができる関数への入力として共有シークレットを使用する
   ことを特徴とする請求項１または２に記載の方法。
4. 前記疑似ランダムシーケンスは、ハッシュチェイン内で連続する値のシーケンスである
   ことを特徴とする請求項１乃至３のいずれか１項に記載の方法。
5. 前記第１の値に置換されている前記第２の値は、端末の永久的な識別子ではなく、端末に動的に及び一時的にの少なくとも一方で割り当てられる
   ことを特徴とする請求項１乃至４のいずれか１項に記載の方法。
6. 前記第１の値に置換されている前記第２の値は、サードパーティの端末によって予測可能な方法でメッセージ間で変化する値である
   ことを特徴とする請求項１乃至５のいずれか１項に記載の方法。
7. 前記第１の値に置換されている前記第２の値は、ＩＫＥあるいはＩＰＳｅｃセキュリティパラメータインデックスである
   ことを特徴とする請求項１乃至６のいずれか１項に記載の方法。
8. 前記第１の値に置換されている前記第２の値は、以下の
   ＭＡＣ（メディアアクセスコントロール）アドレス
   ＩＰアドレス
   ＩＰｖ６アドレスのインタフェース識別部分
   ポート番号
   暗号キー
   ハッシュチェイン
   シーケンス番号
   の内の１つである
   ことを特徴とする請求項１乃至６のいずれか１項に記載の方法。
9. サードパーティの端末で前記疑似ランダムシーケンスを生成し、かつ前記疑似ランダムシーケンスを前記第１の端末及び前記第２の端末の少なくとも一方に提供する
   ことを特徴とする請求項１に記載の方法。
10. 前記第１の端末及び前記第２の端末の各端末は、カウンタあるいは合意された演算関数を使用して、前記疑似ランダムシーケンスの値を生成することができる関数に対する入力値を生成し、カウンタ値あるいは関数結果は、前記疑似ランダムシーケンス内の対応する値を生成する
    ことを特徴とする請求項１乃至７のいずれか１項に記載の方法。
11. 前記第２の端末それぞれにおいて、前記第１の端末で受け入れ可能な値のウィンドウを定義し、前記ウィンドウは、前記カウンタ値の範囲に対応する
    ことを特徴とする請求項１０に記載の方法。
12. 前記第１の値に置換される前記第２の値は、受信側でパケットを逆多重化するために使用される値である
    ことを特徴とする請求項１乃至１１いずれか１項に記載の方法。
13. 移動端末あるいはネットワークノードを操作する方法であって、
    前記移動端末あるいは前記ネットワークノードで利用可能な複数の値からなる疑似ランダムシーケンスを作成し、前記移動端末あるいは前記ネットワークノードによって送信されるメッセージあるいはその内容を処理するために、前記疑似ランダムシーケンスを構成する前記複数の値の内の第１の値と、前記移動端末あるいは前記ネットワークノードによって送信されるメッセージを受信する第２の端末によって使用される第２の値との間でのマッピングを保持し、
    前記移動端末あるいは前記ネットワークノードと第２の端末との間で送信される、順序付けされたメッセージのシーケンスのメッセージそれぞれにおいて、前記マッピングによって前記疑似ランダムシーケンスの第１の値にマッピングされている前記第２の値の代わりに、該疑似ランダムシーケンスの前記第１の値を使用し、
    前記疑似ランダムシーケンスから使用される前記第１の値は、メッセージ単位あるいは定期的に変更され、
    前記第１の値は、前記移動端末あるいは前記ネットワークノードの識別子として使用可能である、あるいは、前記第１の値は、前記識別子を生成するために更に処理されるように使用可能である
    ことを特徴とする方法。
14. 移動端末あるいはネットワークノードを操作する方法であって、
    前記移動端末あるいは前記ネットワークノードで利用可能な複数の値からなる疑似ランダムシーケンスを作成し、前記移動端末あるいはネットワークノードによって送信されるメッセージあるいはその内容を処理するために、前記疑似ランダムシーケンスを構成する前記複数の値の内の第１の値と、前記移動端末あるいは前記ネットワークノードによって送信されるメッセージを受信する第２の端末によって使用される第２の値との間でのマッピングを保持し、
    前記第２の端末からの、前記移動端末あるいは前記ネットワークノードで受信される順序付けされたメッセージのシーケンスのメッセージそれぞれに対し、前記メッセージに含まれる前記疑似ランダムシーケンスの前記第１の値を、前記マッピングによってマッピングされている前記第２の値に置換し、かつ前記置換された第２の値を使用して、前記メッセージあるいはその内容を処理し、
    前記疑似ランダムシーケンスから使用される前記第１の値は、メッセージ単位あるいは定期的に変更され、
    前記第１の値は、前記移動端末あるいは前記ネットワークノードの識別子として使用可能である、あるいは、前記第１の値は、前記識別子を生成するために更に処理されるように使用可能である
    ことを特徴とする方法。

Images