JP5637991B2 - ネットワークにおけるセキュア通信に関する方法、通信デバイス、ネットワーク及びコンピュータプログラム - Google Patents

Description

本発明は、セキュア通信を行うための方法及び通信を安全にするため暗号化システムといった安全な手段を用いる通信デバイスを持つ通信ネットワークに関する。本発明は、携帯型の無線センサ及びアクチュエータネットワーク（ＷＳＮ）、より詳細には、患者の監視に関する医学無線ネットワークにおいて有利な用途を見出す。

これらの感知的な用途により、ネットワーク等は、守秘性、認証性、完全性及び許可性といったセキュリティサービスを具備していなければならない。

従来の通信ネットワークにおいて使用される暗号化システムは一般に、通信を安全にするため、暗号に基づく暗号化方法を実行する。

より詳細には、非常にコスト効率が良くなければならないノードを有する何らかのネットワークにおいては通常、必要なセキュリティサービスを可能にするため、対称暗号が適用される。実際、例えば無線センサネットワークといった同様なネットワークにおいて、ノードは通常、リソースが制限される。即ち、バッテリーパワー、通信帯域幅、処理能力又はメモリに関して、制限を受ける。従って、非対称暗号に基づかれるセキュリティ方法は通常、斯かるノードにおいては非効率的又は実行不可能であると考えられる。

対称暗号における基本的な問題が、鍵配送にある。即ち、あるネットワークに属し、安全に通信しなければならないノード間で、共有される秘密鍵を確立しなければならない。この課題は特に、ＷＳＮにおいて顕著である。なぜなら、それらのサイズは、１０ノードから数万ノードまで変化する可能性があり、その性質も非常に動的だからである。例えば、ネットワークトポロジは先験的には分らないことがある。

ＷＳＮにおいて使用される従来の鍵事前配布方法は、組合せ的な方法である。この方法は、ネットワークのノードを複数のクラスへと分割し、各ノードに対してそのクラスに対応する一組の鍵を割り当てることを有する。上記の説明の意味におけるクラスは、例えば数学的、算術的、又は論理的規則といった所定の規則に基づき集められる要素のセットに対応する。斯かる方法では、通信を可能にするため、同じクラスのノードは、すべて同じ鍵を共有し、異なるクラスからのノードは、少なくとも１つの鍵を共有することが保証される。

しかしながら、これらの方法は、弾力性に欠けるという主要な欠点を示す。なぜなら、悪意ある者がノードを乗っ取ると、その乗っ取られたノードの鍵セットにおけるすべての鍵が、危険にされ、結果的に、そのクラスにおけるすべてのノードの通信、更には同じ鍵を使用する他のクラスにおけるノードの通信でさえ、危険にされることを意味するからである。

更に、例えば病院における患者の監視といったいくつかのＷＳＮ用途でのシナリオは、階層的な態様で構成される異なるセキュリティドメインを必要とする。斯かるネットワークにおいて、センサノードは、それらの許可レベルに基づき、１つ又は複数のセキュリティドメインに属する。既存の階層的な鍵配布方式では、各セキュリティドメインは、鍵配布に関連付けられる。従って、低レベルでのセキュリティドメインの乗っ取り、即ち、多くのノードを有するセキュリティドメインの乗っ取りが、たとえ低レベルでの他のセキュリティドメインの鍵材料を危険にさらすことをもたらさないとしてもなお、高レベルでのセキュリティを破壊することができる。

本発明の目的は、上述の欠点を克服するための鍵配布の概念を用いる方法を提案することである。

本発明の別の目的は、攻撃を受けてもなお好適な弾力性を提供する方法を提案することである。本発明の更に別の目的は、効率的な態様で通信を安全にするための方法を提供することである。

この目的のため、ネットワークにおいて第１のノードから第２のノードへ安全に通信する方法が提案される。上記第１のノードが第１のノード鍵材料を有し、上記第２のノードは第２のノード鍵材料を有する。上記第１のノードの鍵材料及び上記第２のノードの鍵材料がそれぞれ、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を有する。

斯かる方法は、
ａ）上記第２のノードの識別子を決定するステップと、
ｂ）上記第２のノードの上記鍵材料の構成を決定するステップであって、上記鍵材料が、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を含み、上記決定ステップが、事前に配布される鍵材料セットから上記鍵材料の各ｉ番目のルート鍵共有物セグメントを選択するステップを含み、斯かるセットが、少なくともｉと上記第２のノードの識別子とに基づかれる、ステップと、
ｃ）上記共通のルート鍵共有物セグメントを特定するため、上記第１のノード鍵材料及び上記第２のノード鍵材料を比較するステップであって、ｉ番目の共通のルート鍵共有物セグメントが、上記第２のノード鍵材料のすべての上記第ｉ番目のルート鍵共有物セグメントを有するセットと上記第１のノード鍵材料のすべての上記第ｉ番目のルート鍵共有物セグメントを有するセットとの間で共通するルート鍵共有物セグメントを取得することにより決定される、ステップと、
ｄ）上記特定された共通のルート鍵共有物セグメント、上記第２のノードの識別子及び上記セグメント識別子ｉのうちの少なくとも１つに基づき、上記第１のノード及び上記第２のノードの間の共有鍵を計算するステップを有する。

以下の明細書において、２つのノードｎとｍとが鍵セグメントｉとの関係で、ｉとｍとに基づかれる事前に配布された鍵材料セットが、ｉとｎとに基づかれる事前に配布された鍵材料セットと同じであるとき、２つのノードが鍵セグメントｉに関して同じクラスに属すると言われる。

本発明による方法は、鍵セグメント多様化を可能にする。なぜなら、鍵要素ｉに関して同じクラスに属する２つのノードが、他のルート鍵共有物セグメントに関しては異なるクラスに属しそうだからである。

結果として、正確に同じルートセグメントを共有するノードのグループのサイズは、従来の方法と比較してかなり減少される。従って、１つの鍵セグメントに関して同じクラスに属する限定された数のノードを乗っ取っても、全部の鍵ではなく対応する鍵のその特定のセグメントだけが危険にされることになる。こうして、この方法の弾力性が増加される。

ある実施形態において、ステップｄ）が、上記特定されたルート鍵共有物セグメント、上記第１のノードの識別子及び上記第２のノードの識別子から鍵セグメントを計算するステップと、上記計算された鍵セグメントを連結又は結合することにより上記共有鍵を生成するステップとを有する。

共有鍵を生成するために鍵セグメントを連結することは、この方法の計算効率を上昇させることを可能にする。なぜなら、鍵セグメントのビット長は、共有鍵のビット長より短いからである。これは、記憶オーバーヘッド又は計算オーバーヘッドが存在しないことを意味する。これは、ノードにおいて計算能力が制限されるＷＳＮにとって特に重要である。

連結とは別に、考えられる組合せ方法の１つが、ＸＯＲオペレータを用いてセグメントを論理的に結合することである。この場合、鍵セグメントのビット長は、最終的な鍵のビット長と同じである。これは、鍵のサイズより少ない任意数のセグメントを危険にさらしても鍵の強さを減少させないという点で有利である。

ある実施形態では、ノードの鍵材料の決定に使用される上記事前配布された鍵材料セットが、上記ネットワークにおける上記ノードの可変配布に基づき分散され、配布についての可変パラメータによりインデックス化され、かつｉ及び鍵材料が決定される上記ノードの識別子に従属する、１つ又は複数の有限射影平面の要素のセットに対応する。

配布に関して可変パラメータを使用することは、この方法の弾力性を増加させるのに役立つ。なぜなら、共有鍵の計算において可変性の別のソースを加えることが可能になるからである。

更に、有利な実施形態では、可変パラメータの変化規則は最初秘密に保たれる。従ってこの方法は、ノードに関して、１つ又は複数のノードを有する中央化された又は分散されたネットワーク認証局から上記可変パラメータの値を受信するステップを有する。

この受信ステップは、以下のように行われることができる。第１のノードが、ネットワーク認証局にリクエストを送信する。この認証局は、第１のノードが共有鍵を生成することを許されているかどうかを決定し、ポジティブな結果の場合、最終的に、好ましくは安全な方法で、可変パラメータの値を第１のノードに送信する。

可変パラメータの変化規則を秘密に保つことは、事前配備フェーズの間、即ちノードが実際に特定のネットワークに参加する前に、ノードが可変配布に使用されるパラメータの値を具備しないことを意味する。こうして、２つの主な利点が得られる。

−まず、アクセス制御が実行される点があげられる。なぜなら、ノードは最初に、参加したネットワークのネットワーク認証局に報告しなければならないからである。この認証局は、ノードが鍵を生成することを許可されているかどうかを制御する。

−次に、弾力性が増加される点があげられる。これは、配備前に、即ち、ネットワークに参加する前にノードが乗っ取られる場合、攻撃者が、ノードにおける鍵材料を取得することはできるが、秘密の可変パラメータに依存するルート鍵を取得することはできない事実によるものである。

本発明は、第１のノードとしてネットワークに含まれるようデザインされる通信デバイスにも関する。このデバイスは、
−上記第１のノードの鍵材料を格納する格納手段であって、上記第１のノードの鍵材料が、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を含む、格納手段と、
−上記ネットワークの第２のノードの識別子を決定する手段と、
−上記第２のノードの上記鍵材料の構成を決定するよう構成されるコントローラであって、上記鍵材料が、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を含む、コントローラとを有し、
上記コントローラが更に、少なくともｉと上記第２のノードの識別子とに基づかれる事前に配布される鍵材料セットから、上記鍵材料の各第ｉ番目のルート鍵共有物セグメントを選択するセレクタを有し、
−上記コントローラが更に、上記第１のノード鍵材料及び上記第２のノード鍵材料を比較し、上記共通のルート鍵共有物セグメントのインデックスを特定する比較手段であって、所定の第１のノード鍵材料の各ルート鍵共有物の上記第ｉ番目のルート鍵共有物セグメントを含むセットと上記第２のノード鍵材料の各ルート鍵共有物の上記第ｉ番目のルート鍵共有物セグメントを有するセットとの間で共通するルート鍵共有物セグメントを取得することにより、第ｉ番目の共通のルート鍵共有物を決定する取得手段を有する、比較手段を有し、
−上記コントローラが更に、上記特定された共通のルート鍵共有物セグメント、上記第２のノードの上記識別子及び上記セグメント識別子ｉのうちの少なくとも１つに基づき、上記第１のノード及び上記第２のノードの間の共有鍵を計算する計算手段を有する。

本発明は、上述したような少なくとも２つの通信デバイスを有するネットワークにも関する。この場合、一の通信デバイスが上記ネットワークの第１のノードを表し、別の通信デバイスは上記ネットワークの第２のノードを表し、上記第１のノード及び上記第２のノードが、通信を安全にするために共有鍵を使って互いに通信する。

本発明の別の側面によれば、本発明による方法を実行するためのコンピュータプログラムが提供される。

本発明は、階層的な態様で分散される異なるセキュリティドメインを有するいくつかのネットワークにおいて有利な用途を見いだす。斯かるネットワークにおいて、各セキュリティドメインは通常、異なる及び独立した暗号情報にリンクされる。ネットワークを配備するとき、分散されたアクセス制御及び階層的なノード識別だけでなく、ノード間の完全なセキュリティインターオペラビリティを確実にする方法で、鍵材料の配布が実行される。従って、ある実施形態において、本発明による方法は、階層的に分散される複数のセキュリティドメインを有するネットワークの場合に、異なるノードにおける鍵材料共有物の相関及び攻撃下において危険にされるルート鍵の量が最小にされるという態様で、ノードの鍵材料の決定が実行されるというものである。

本発明のある実施形態によるネットワークを表す図である。 本発明のある実施形態による、第１のノードから第２のノードへの通信を安全にする方法のブロック図である。 図２に示される方法の１つのステップの詳細なブロック図である。 階層的な鍵配布の例を表す図である。 鍵セグメント多様化が有る場合と無い場合のシステムにおける利口な攻撃者に対する弾力性を示す図である。

本発明のこれら及び他の態様が、以下の実施形態から明らかとなり、これらの実施形態を参照して説明されることになる。

本発明が、例示を介して、添付の図面を参照して、より詳細に説明されることになる。

本発明は、ネットワークにおける第１のノードから第２のノードへの通信を安全にする方法に関する。本発明はより詳細には、患者モニタリングに使用される無線センサ及びアクチュエータネットワークに関する。例えば、このネットワークは、患者の物理パラメータを感知するセンサノードと、そのパラメータを医療スタッフに提供するレセプタノードと、アクチュエータノードとを有する。

しかしながら、本発明が同様なネットワークに限定されるものではなく、任意の技術的な用途に対して使用される任意のタイプのネットワークでも実行されることができる点に留意されたい。

本発明のある実施形態による方法が、図１及び図２に関連して以下に説明されることになる。

本発明によるネットワークは、少なくとも２つのノードＮ１及びＮ２を有し、それぞれのノードは、識別子ＩＤ１及びＩＤ２をそれぞれ具備する。ある実施形態において、このネットワークは、信用センターノードＴＣも有する。このノードは、ネットワークの構成に使用され、暗号鍵を生成するために必要なすべての鍵材料情報をノードＮ１及びＮ２に提供する。この信用センターノードＴＣは、上述のネットワーク認証局の１つの可能性ある実施形態を表す。

動作フェーズの間、ネットワークの第１のノードＮ１及び第２のノードＮ２間の通信を安全にするため、ノードの各々は、配布された鍵材料情報を使用することにより共有鍵を生成し、他のノードに送られる任意の通信を保護するため、又は、他のノードから受信される任意の通信を復号化するためこの鍵を使用する。図２は、第２のノードとの通信のための共有鍵を生成するのに、第１のノードに必要とされる異なるステップを表す。類似するステップは、第１のノードとの通信のための対応する共有鍵を生成するのに、第２のノードにより実行される。

鍵を生成するため、第１のノード及び第２のノードに対してそれぞれＫＭ^{（ＩＤ１）}及びＫＭ^{（ＩＤ２）}という鍵材料共有物を、あるノードは具備する必要がある。鍵材料共有物は即ち、鍵の確立を可能にする何らかの情報である。鍵材料共有物は通常、ネットワークの構成フェーズの間、信用センターＴＣから受信される。ノードに提供される鍵材料共有物は、ルート鍵材料ＫＭから生成される。このルート材料は、信用センターに対してだけ既知となる暗号情報である。

上記の方法は、特定のノードに適用されることを意図するものではなく、ネットワークの任意のノードにより実行されることができる。

第１のノード及び第２のノード間で通信が確立されるとき、ステップａ）において、第１のノードは、第２のノードの識別子ＩＤ２を第２のノードから受信する。

第２のノードとの通信のための共有鍵を発見するため、ステップｂ）において、第１のノードは、第２のノードの鍵材料共有物の組成を決定する必要がある。

鍵材料共有物は、複数のルート鍵共有物を有する。本発明による方法において、ルート鍵共有物はセグメント化される。これは、ルート鍵共有物が複数のセグメントにより形成されることを意味する。すべてのルート鍵共有物は一般に、同じ数のセグメントを有する点に留意されたい。

従って本発明のある実施形態による方法において、第１のノード及び第２のノード間の共有鍵は、多くの鍵セグメントを含む。

従って、ステップｂ）において、鍵材料の組成を決定することは、ルート鍵共有物の各セグメントを分離して決定することに対応する。

斯かる決定が更に、図３に関連して詳述されることになる。

本発明による方法のある実施形態において、ルート鍵共有物は、複数のセグメントに分けられる鍵要素である。従って、ルート鍵共有物の異なるセグメントを決定することは、第１のノード及び第２のノードの間の最終的な共有鍵を生成するのに更に結合されるレディーメードの鍵セグメントを決定することに対応する。

しかしながら、有利な実施形態において、本発明による方法は、ノードがレディーメードの鍵を共有しないという事実に依存するラムダレジリエントな方法と結合される。代わりに、ノードは、ノード特有の情報を具備し、この特有の情報は、これらのノードが、そのノードの識別子が入力されると別のノードとの共有鍵を計算することを可能にする。ルート鍵共有物と呼ばれるこのノード特有の情報は、ルート鍵から得られる。例として、ルート鍵共有物は、次数λの多項式である。従って、λ＋１の係数を持つ多項式である。

第２のノード鍵材料ＫＭ^{（ＩＤ２）}の組成を決定した後、ステップｃ）において、第１のノードは、自身の鍵材料ＫＭ^{（ＩＤ１）}とこの第２のノード鍵材料ＫＭ^{（ＩＤ２）}とを比較する。この比較は、鍵材料識別子に基づき実行されることもできる。

上述したように、ある実施形態では、構成フェーズの間、各ノードが、自身の鍵材料共有物を具備する。しかしながら、別の実施形態では、第１のノードは、図３に基づきさらに説明されることになる方法に類似する方法を用いて、動作フェーズの間、自身の鍵材料共有物を決定する。更に、ある実施形態において、異なる鍵材料セグメントの相関を最小化するような態様で、ノード鍵材料の決定が行われる。

第１のノード鍵材料ＫＭ^{（ＩＤ１）}と第２のノード鍵材料ＫＭ^{（ＩＤ２）}との比較は、以下のように実行される。各セグメントに対して、第１のノードは、それらが共通してどのルート鍵セグメントを持つかを見つける。これは、１からセグメント数の間に含まれる各セグメントｉに対して、第１のノードが、第１のノード鍵材料の各ルート鍵共有物のｉ番目のセグメントを有するセットと、第２のノード鍵材料の各ルート鍵共有物のｉ番目のセグメントを有するセットとの間の共通要素を見つけることを意味する。

共通のセグメントを特定した後、第１のノードは、ステップｄ）において、第２のノードを用いて共有鍵Ｋを計算する。

本発明の複数の実施形態によれば、この構成は、複数の態様で実行されることができる。

例えば、鍵セグメントｋ_ｉは、最終的な鍵

を得るために単に連結されることができる。この鍵

を構成するのに使用される鍵セグメントの数がｔである場合、鍵セグメントのビット長は、最終的な鍵Ｋのビット長より小さい係数ｔであるので、記憶オーバーヘッド又は計算オーバーヘッドが存在しない。斯かる構成は、この方法の計算効率を上昇させることを可能にする。

別のオプションは、異なる鍵セグメントの数学的、算術的、又は論理的組合せによりＫを構成する、例えば異なる鍵セグメントをＸＯＲ化することにより構成することであり、

となる。

この構成に関して、鍵セグメントのビット長は、必要とされるビット長Ｋと等しくなければならない。攻撃を受ける場合、ｔより少ない任意の数の鍵セグメントを危険にしても、鍵の強度を減少させない点で、ＸＯＲ構成は有利である。

鍵を構成するための他の方法が存在する。例えば、所望のビット長の出力を得て、鍵間の可能性のある代数関係を除去するためハッシュ関数を適用する方法といったものである。

ラムダレジリエントな方法が使用される場合、計算ステップは、組合せステップの前に、第２のノード識別子の入力に対し、共通のルート鍵共有物セグメントを評価することにより共通の鍵セグメントを決定するステップを有する。

次に、図３を参照して、第１のノードの特定のルート鍵共有物セグメントｉの決定が以下説明されることになる。

まず第一に、斯かる決定を実行する間に実行されるいくつかの一般的な概念を説明することになる。こうした概念が、本発明の実施形態のいくつかで使用されるが、すべてにおいて使用されるものではない。

前述されるように、ルート鍵共有物セグメントは、少なくとも第１のノード識別子及びｉに基づき、事前に配布される鍵材料セットから選択される。

本書に説明される実施形態では、本発明による方法は、鍵材料セットを事前に配布するための組合せ的な鍵事前配布方法を実行する。

一般的に、本書において使用される組合せの概念は、ＦＰＰと呼ばれる有限射影平面であり、こうして事前に配布され、ノード鍵材料の決定に使用される鍵材料セットは、ＦＰＰの要素のセットに対応する。

オーダーｎ及びパラメータ

のＦＰＰが、

個のブロックへの

個の異なった要素の構成として規定される。ここで、
・各ブロックは、正確にｎ＋１の要素を含む。
・すべての要素は、正確にｎ＋１のブロックにおいて発生する。
・すべてのブロックのペアは、共通して正確に１つの要素を持つ。

要素のセットは、

により表され、ブロックのセットは

により表わされる。ここで、

が成り立つ。

例として、オーダー２、即ちｎ＝２のＦＰＰは、

というブロックを定める。

前述したように、ＦＰＰの特性の１つは、ブロックのすべてのペアが、共通して正確に１つの要素を持つ事にある。従って、２つのノードが通信したいとき、これらのノードは、対応するＦＰＰブロックの共通の要素に基づき、共有された鍵要素を使用して、共通する秘密鍵に関する合意を行い、安全な態様で通信することができる。

典型的な賢い配布では、ＦＰＰの異なるブロックが、ノードｊの異なるクラスに対応する。ノード識別子ＩＤは、以下の関係

に基づき、ノードクラスにマッピングされることができる。

クラスＣ_ｊからのノードは、ブロックＢ_ｊの要素によりインデックス化される鍵を具備する。例えば、ノード８は、クラスＣ_１に属し、従って、ＫＭ^（８）と表わされるその鍵材料が、鍵のセット

により与えられる。

このノードがノード１４と通信したい場合、これらは共有鍵を発見するためにＦＰＰ特性を使用する。この鍵は、ｋ_４である。なぜなら、このノードは、クラスＣ_０に属し、従って、

が成り立つからである。

この配布は、

の期間を持つ。これは、識別子が

の倍数と異なるすべてのノードが、同じクラスにあることを意味する。この期間を増加させ、従ってこの方法の弾力性を増加させるため、ある実施形態では、鍵材料を事前に配布するのに可変的な配布が使用される。

この可変配布は、決定されるルート鍵共有物セグメントに基づき、パラメータｖによりインデックス化される。その結果、
−あるノードは、ルート鍵共有物の異なるセグメントに対して異なるクラスに属し、及び
−１つのセグメントに対して同じクラスに属する２つのノードは、別のセグメントに対して異なるクラスに属することがある。

有利なことに、可変配布は、以下のように定められる。ノードＩＤには、クラスＣ_ｊｖが割り当てられる。ここで、

が成り立つ。

パラメータｖは、決定されるセグメントに依存する。そして、ｖの異なる値は、ノードの異なる分布を与えるように見える。全体で、

に対して、

の異なる分布が存在する。ｖの特定の値に対して、配布の期間は、

に等しい。ここで、ｇｃｄ（ａ，ｂ）は、ａとｂとの間の最大公約数である。即ち、剰余なしに両方の数を割ることのできる正の最大整数である。

すると、配布の期間は、

に関して最大限となる。この場合、期間は

である。これは、

の素数及びｖ＞０に対して常に成立する。

従って、正確に同じルートセグメントを共有するノードのグループのサイズは、係数

分減少される。それゆえに、クラス当たりの相対的な弾力性は、係数

分増加される。

下記の表１は、ｎ＝２の場合の可変配布においてＩＤ＝２０までの識別子を持つノードに対するクラスＣ_ｊｖをリストする。

ノードＩＤの鍵材料に属する第ｉ番目のルート鍵共有物セグメントの決定が以下詳細に説明されることになる。この例では、パラメータｖは、ｉに依存し、ｖ＝ｉ−１となる。

ＩＤ１として特定される第１のノードは、既に自身の鍵材料ＫＭ^{（ＩＤ１）}を具備しており、このノードは、第２のノード識別子ＩＤ２を、この第２のノードとの通信を確立する観点から受信する。

第１のノードは、上記したように、ｖを決定するための情報も具備し、鍵材料セットを事前に配布するのに使用されるオーダーｎのＦＰＰも具備する。これらの要素は、事前配備若しくは配備フェーズの間又は動作フェーズの間に信用センターノードＴＣによりノードに提供される。

第１のステップ（ＤＥＴ Ｃ_ｊｖ）において、第１のノードは、セグメントｉに関して、第２のノードが属するクラスを決定する。前述したように、以下の関係

を用いて、可変配布が使用される。ここで、

はｘの整数部分を表す。

従って、本書における表記を用いれば、第２のノードは、クラスＣ_ｊｖに属し、

が成り立つ。

その後、パラメータｊ_ｖは、第２のステップ（ＳＥＬＥＣＴ ＫＭ ＳＥＴ）において、ルート鍵共有物セグメントが選択される事前配布された鍵材料セットを決定するために用いられる。

クラスＣ_ｊｖに対応する鍵材料セットは、オーダーｎの有限射影平面のブロックＢ_ｊｖである。

その後、ステップ（ＤＥＴ Ｓ）において、以前決定されたブロックＢ_ｊｖの要素に基づき、ルート鍵共有物の第ｉ番目のセグメントが、決定される。

ブロックＢ_ｊｖの要素の数はｎ＋１である。これは、ノードの鍵材料を形成するルート鍵共有物の数に等しい。

従って、第１のルート鍵共有物の第ｉ番目のセグメントは、ブロックＢ_ｊｖの第１の要素に基づき決定される。

図３を用いて説明される方法は、各ｉに対して実行される。ここで、ｉは１とルート鍵共有物を形成するセグメント数との間の整数である。

例えば、鍵がｔセグメントから成ると仮定しよう。ここで、

であるとする。ノードＩＤに対する鍵材料は、それぞれがｔセグメントを持つｎ＋１ＫＲ共有物からなり、以下のように構築される。ＫＲ共有物の第１のセグメントは、ｖ＝０の分布に基づかれるＩＤに関するＦＰＰブロックに対応する。これは、ブロック

である。こうして、ＫＲ共有物のこれらの第１のセグメントは、

により与えられる。第２のＫＲ共有物セグメントは、ｖ＝１に基づき配布される。従って、これらはブロック

からそれらのインデックスを取る。従って、これらの共有物は、

である。同様に、ＫＲ共有物の第ｌ番目のセグメントは、ｖ＝ｌ−１に基づき配布される。これは、結果として、ノードＩＤの鍵材料が

として構築されることをもたらす。

本発明による方法を用いて、２つのノードの間の共有鍵を決定するための具体例が以下完全に説明されることになる。

この例は、以下のパラメータを使う。
−ノードの識別子は、ＩＤ１＝８及びＩＤ２＝１４である。
−ＦＰＰのオーダーはｎ＝２である。
−ルート鍵共有物のセグメント数はｔ＝３である。そして、
−パラメータｖ及びセグメントｓの間の関係はｖ＝ｓ−１である。

表１でｖ＝０及びＩＤ＝８を持つ行から分かるように、ノード８に対して、第１のセグメントは、ｊ_０＝１を持つブロックＢ_ｊ０に基づき配布される。こうして、ルート鍵共有物の第１のセグメントは、

によりリストされるインデックスを有する。同様に、第２のセグメントは、（ＩＤ＝８に関してｊ_１＝２であるから）

に対応し、第３のセグメントは、（ＩＤ＝８に関してｊ_２＝３であるから）

に対応する。従って、ノード８に対する鍵材料が、

により与えられる。

同様に、それぞれ、ノード１４に対するセグメントは、ブロックＢ_０、Ｂ_２及びＢ_４に対応する。こうして、ノード１４は、鍵材料

を具備する。ノード１４との共有鍵を計算するため、ノード８は、各セグメントに関して、どのルート鍵セグメントを共通して持っているかを見つける。これは、第１のセグメントに関してｋｒ_４，１であり、第３のセグメントに関してｋｒ_１，３であることがわかる。

この場合、第２のセグメントに対して、すべての要素は、ＫＭ^（８）及びＫＭ^（１４）の間で共通である。

本発明の実施形態において、斯かる場合、共通のセグメントは、すべてのノードにより既知の所定のルールに基づき選択される。

本実施例において、第２のセグメントに関して選択された共通要素がｋｒ_１，３であると仮定しよう。

上記したように、有利な実施形態では、本発明による方法は、ラムダレジリエントな方法と結合される。これは、第１のノード及び第２のノードが直接レディーメードの鍵を共有するのではなく、何らかのノード特有の情報を共有することを意味する。従って、この場合、共通のセグメントは、鍵セグメントを直接表すのではなく、鍵セグメントを評価するのに使用される情報を表す。

一般的に、ルート鍵共有物セグメントは、例えば次数ラムダの多変量多項式といったラムダセキュア関数を表す。この場合、二変量多項式が使用される。即ち、任意のｉ及びｊに対して

が成り立つ。

特定の例において、ノード８は、そのＫＲ共有物ｋｒ_４，１ ^（８），ｋｒ_０，２ ^（８）及びｋｒ_１，３ ^（８）の各々をＩＤ＝１４で評価し、結果として生じるｔ個の鍵セグメントをノード８及び１４の間で共有される最終的な鍵へと組み立てる。

以下図４を参照して、可変配布及び鍵セグメント化を備える本発明による方法を階層的な鍵配布を持つシステムに適用することが説明されることになる。

階層的な鍵配布に可変ノード配布を適用することは、異なるレベルにおいて危険にされる鍵材料の量を減らすことを可能にする。

２レベルの単純な階層的な鍵配布方法を考える。第１のレベルには、単一のセキュリティドメインがあり、第２のレベルには、全部でｍ個の異なるセキュリティドメインがある。トリビアルアプローチ（trivial approach）では、第２のレベルで異なるセキュリティドメインに属する２つのノードは、レベル１の任意のクラスから鍵材料を得ることができる。これは、レベル２の特定のセキュリティドメインを危険にすることを目的とする攻撃者が、レベル１の任意のクラスから鍵材料を得ることができることを意味する。従って、攻撃者は、レベル２の特定のセキュリティドメインからのノードを乗っ取るだけで、レベル１の全部のセキュリティドメインを危険にさらすことができる。

可変ノード配布の概念は、可変的な配布態様でノードに鍵材料を割り当てることにより、この課題を最小化することを可能にする。図４は、単一のセグメントに関して、又は、セグメント多様化なしの階層的な鍵配布に関してこれを示す図である。この図では、３レベルを持つ階層的な配布を観察することができる。ここで、レベルｌ＋ｌでセキュリティドメイン（ＳＤ）ｉｎｄｅｘ−ｉに属するノードは、レベルｌのセキュリティドメインＳＤｉｎｄｅｘのｉ番目のＦＰＰブロックから生成される鍵材料を運ぶ。例えば、ＳＤ_１３４に属するノードは、
−レベル１では、ＳＤ_１の３番目のＦＰＰブロックからの、
−レベル２では、ＳＤ_１３の４番目のＦＰＰブロックからの、
−レベル３では、ＳＤ_１３４の任意のＦＰＰブロックからの、鍵材料を運ぶ。

このシステムは、複数の利点を与える。一方では、ノードが属するＳＤをＦＰＰブロック識別子を用いてエンコードすることが可能にされる。こうして、通信オーバーヘッドが減らされる。他方では、この手法は、攻撃者がレベルｌ＋１でＳＤを攻撃するとき、一般的なレベルｌで危険にされる鍵材料の量を、鍵材料のわずかな部分、即ち、

にまで減らす。ここで、ｎはレベルｌのＳＤｉｎｄｅｘにリンクされるＳＤのＦＰＰオーダーである。このソリューションの主な欠点は、レベルｌでのＳＤｉｎｄｅｘが適応することができるレベルｌ＋１でのＳＤｓｉｎｄｅｘ−ｉの数が、

に制限される点にある。

斯かる方法は、鍵セグメント化とセグメント多様化と結合されることもでき、次のようになる。レベルｌでＳＤｉｎｄｅｘ−ｉに属するノードが、クラスｉからのレベルｌでのＳＤｉｎｄｅｘから鍵材料を得る。これは、レベルｌでのＳＤが適応することができるレベルｌ＋１での下位ＳＤの数を係数

分増加させる。更に、レベル１＋１でのＳＤが危険にされる場合、より高いレベルで危険にされる鍵材料の量は、上述したセグメント多様化の概念により再び減らされる。

セグメント多様化の概念を用いて考えられるレベル間配布アルゴリズムは、以下のように設計されることができる。任意のレベルｌでのノードは、セキュリティドメインに割り当てられる異なる可変配布Ｃ_ｊｖに基づき、異なるセキュリティドメインＳＤから鍵材料を得る。それらのすべてのノードは、同じセキュリティドメインにおいて多くのクラス

からレベルｌ−１での鍵材料を得る。レベルｌ−１でのセキュリティドメインにおけるクラスは、層間鍵材料がランダム化されるという態様で、レベル１でのセキュリティドメインにおいて配布される。その結果、レベルｌでの任意のＳＤにおけるノード数の乗っ取りは、レベルｌ−１で危険にされる鍵材料への影響を最小にする。異なる手法が、このために使用されることができる。例えば、そのレベルで可能な

のクラスからのレベルｌ−１でのＮｃクラス（

クラス）が、レベル１でのセキュリティドメインに属するノードに割り当てられることができる。レベルｌ−１での選ばれたＮｃクラス（例えば、

クラス）は、連続的なオーダーとすることができ、即ち

となり、賢い配布がそれに適用されることができる。

ここで、本発明による方法を実行するシステムのパフォーマンスを示すため、鍵セグメント多様化がある場合とない場合とでの、方式の弾力性が分析及び比較されることになる。この分析において、鍵の構成は、鍵セグメントの連結により規定され、公平な比較のため、閾値Ｔには、十分に強い鍵に関して必要とされるエントロピーの量がもたらされる。

ラムダレジリエントな方法が、組合せ的な事前配布概念と結合して使用される場合、この分析が実行される。この分析は、システムが賢い攻撃者により攻撃される状況において実行されるであろう。賢い攻撃者とは即ち、ランダムにノードを危険にするのではなく、より少ないノード数を乗っ取って全体の鍵材料を危険にするため、選択的にノードを選ぶ攻撃者のことである。

最初に、多様化なしのシステムを考える。賢い攻撃者は最初に、同じクラスからλ＋１のノードを選択する。これにより、ｎ＋１の鍵が危険にされる。次に、攻撃者は、他のクラスからλ＋１のノードを繰り返し選択する。その度にｎ個の更なる鍵が危険にされる。なぜなら、このクラスが賢く選択されるからである。ｎ＋１のクラスの後、即ち（λ＋１）（ｎ＋１）のノードが危険にされた後、攻撃者はシステムにおけるすべての鍵を知る。こうして、危険にされたノードＮｃの数の関数として、危険にされた鍵の部分が、

として表わされる。

鍵セグメント多様化がある場合を考えると、鍵が

セグメントから成るとき、

の鍵セグメントが危険にされた後でも、鍵はまだ十分に強い。従って、鍵を破壊するには攻撃者は、少なくともｔ_ｒ＋１セグメントを集める必要がある。ノードの総数が

である場合、賢い攻撃者は、識別子が

に等しいλ＋１ノードを繰り返し危険にすることができる。こうして、すべてのλ＋１ノードで、あらゆるセグメントに関して、完全なＦＰＰブロックが危険にされる。従って、これは、各セグメントに対する別々の賢い攻撃と見られることができる。危険にされる鍵の何分の１は、こうした危険にされるブロックから少なくともｔ_ｒ＋１セグメントを取る鍵の一部により規定され、

が成り立つ。

図５は、賢い攻撃者に対するこのシステムの弾力性を、パラメータλ＝６及びｎ＝２３（Ｒ１）である多様化なしの場合と、パラメータλ＝３及びｎ＝３１（Ｒ２）である多様化ありの場合とで示す。この図において、横軸は、乗っ取られたノード数を表し、縦軸は危険にされたノード割合を表す。ここで、ノードの総数Ｎは、９８６０４９より小さいとみなされる。７４までの乗っ取られたノードで、鍵セグメント多様化がありのシステムは、多様化なしのより好適な性能を示す。

結果として、鍵セグメント多様化を用いることにより、本発明による方法が、ＷＳＮネットワークにおいて実行されるセキュリティシステムの弾力性を増加させることを可能にするように見える。

斯かる方法は、ラムダ・セキュアな鍵配布方式の安全性を改善する重要な特徴として、Ｚｉｇｂｅｅネットワークにおいて特定の用途を見出す。更に一般的にいえば、本発明による方法は、患者モニタリング及び分散された無線制御ネットワークにおいて使用される資源制約された無線ノードにおけるセキュリティを立ち上げるのにも適用されることができる。

本願明細書及びクレームにおいて、ある要素に先行する「ａ」又は「ａｎ」という語は、斯かる要素が複数存在することを除外するものではない。更に、「有する」という語は、列挙される要素又はステップ以外の存在を排除するものではない。

請求項における括弧内の参照符号は、理解を補助するためのものであり、限定を意図するものではない。

本開示を読めば、他の修正が当業者に対して明らかであろう。斯かる修正は、無線通信及び送信機出力制御の分野で既に知られており、本書で上述した特徴の代わりに又はこれに加えて使用されることができる他の特徴を含むことができる。

Claims (14)

1. ネットワークにおいて第１のノードから第２のノードへ安全に通信する方法において、前記第１のノードが第１のノード鍵材料を有し、前記第２のノードは第２のノード鍵材料を有し、前記第１のノードの鍵材料及び前記第２のノードの鍵材料がそれぞれ、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を有しており、前記方法は、前記第１のノードに関して、
   ａ）前記第２のノードの識別子を決定するステップと、
   ｂ）前記第２のノードの前記鍵材料の構成を決定するステップであって、前記決定ステップが、事前に配布される鍵材料セットから前記第２のノード鍵材料の各ｉ番目のルート鍵共有物セグメントを選択するステップを含み、斯かるセットは、少なくともｉと前記第２のノードの識別子とに基づかれる、ステップと、
   ｃ）前記共通のルート鍵共有物セグメントを特定するため、前記第１のノード鍵材料及び前記第２のノード鍵材料を比較するステップであって、ｉ番目の共通のルート鍵共有物セグメントが、前記第２のノード鍵材料の各ルート鍵共有物の第ｉ番目の有限射影平面の要素としてそれぞれ生成された前記第ｉ番目のルート鍵共有物セグメントを有するセットと前記第１のノード鍵材料の各ルート鍵共有物の第ｉ番目の有限射影平面の要素としてそれぞれ生成された前記第ｉ番目のルート鍵共有物セグメントを有するセットとの間で共通するルート鍵共有物セグメントを取得することにより決定される、ステップと、
   ｄ）前記特定された共通のルート鍵共有物セグメント、前記第２のノードの識別子及び前記セグメント識別子ｉのうちの少なくとも１つに基づき、前記第１のノード及び前記第２のノードの間の共有鍵を計算するステップとを有する、方法。
2. ステップａ）の前に実行される初期ステップを有し、前記初期ステップが、前記第１のノードにおいて、前記第１のノード鍵材料の構成を決定するステップを有し、前記決定ステップは、事前に配布される鍵材料セットから前記第１のノード鍵材料の各第ｉ番目のセグメントを選択するステップを有し、斯かるセットが、少なくともｉと前記第１のノードの識別子とに基づかれる、請求項１に記載の方法。
3. ステップａ）の前に実行される初期ステップを有し、前記初期ステップが、前記第１のノードにおいて、前記第１のノード鍵材料の構成を決定するステップを有し、異なる鍵材料セグメントの相関を最小化するような態様で、前記ノード鍵材料の決定が実行される、請求項１に記載の方法。
4. 前記ネットワークが、階層的に分散される異なるセキュリティドメインに組織化され、異なるノードにおける鍵材料共有物の相関及び攻撃下において危険にされるルート鍵の量が最小化されるという態様で、前記ノードの鍵材料の決定が実行される、請求項３に記載の方法。
5. ステップｄ）が、前記特定されたルート鍵セグメント、前記第１のノードの識別子及び前記第２のノードの識別子から鍵セグメントを計算するステップと、前記計算された鍵セグメントを連結又は結合することにより前記共有鍵を生成するステップとを有する、請求項１に記載の方法。
6. ステップｂ）において第ｉ番目のルート鍵共有物セグメントを選択するのに使用されるセグメントの所定のセットが、有限射影平面の要素として生成される要素によりインデックス化される、請求項１に記載の方法。
7. ノード鍵材料の決定に使用される前記事前配布された鍵材料セットが、可変パラメータによりインデックス化され、ｉ及び鍵材料が決定される前記ノードの識別子に従属する、前記ネットワークにおける前記ノードの可変配布に基づき配布される有限射影平面の要素のセットに対応する、請求項４に記載の方法。
8. ノードＩＤが、クラスＣ_ｊｖに割り当てられ、
   

   

   が成り立ち、ｖは、前記可変パラメータであり、ｎは、有限投影平面のオーダーであり、
   

   

   は、ｘの整数部であるような態様で、前記可変配布が規定される、請求項７に記載の方法。
9. 前記可変パラメータが、ｉに依存する、請求項７又は８に記載の方法。
10. ステップｂ）の前に、１つ又は複数のノードを有する中央化された又は分散されたネットワーク認証局から前記可変配布の値を受信するステップを有し、
    前記受信するステップが、
    前記第１のノードに関して、前記ネットワーク認証局にリクエストを送信するステップと、
    前記ネットワーク認証局に関して、前記第１のノードが共有鍵を生成することを許可されているかを決定するステップと、
    前記ノードが共有鍵を生成することを許可されている場合、前記ネットワーク認証局に対して、前記ノードの可変パラメータの値を送信するステップとを有する、請求項５に記載の方法。
11. ルート鍵共有物を得るのに使用されるルート鍵が、ラムダ・セキュア関数である、請求項１に記載の方法。
12. 第１のノードとしてネットワークに含まれるようデザインされる通信デバイスであって、
    前記第１のノードの鍵材料を格納する格納手段であって、前記第１のノードの鍵材料が、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を含む、格納手段と、
    第２のノードの識別子を決定する手段と、
    前記第２のノードの前記鍵材料の構成を決定するよう構成されるコントローラであって、前記第２のノードの前記鍵材料が、ルート鍵共有物セグメントにより形成される複数のルート鍵共有物を含む、コントローラとを有し、
    前記コントローラが更に、ｉと前記第２のノードの識別子とに基づかれる事前に配布される鍵材料セットから、前記鍵材料の各第ｉ番目のルート鍵共有物セグメントを選択する選択手段を含む決定手段を有し、
    前記コントローラが更に、前記第１のノード鍵材料及び前記第２のノード鍵材料を比較し、共通のルート鍵共有物セグメントを特定する比較手段であって、所定の第１のノード鍵材料の各ルート鍵共有物の第ｉ番目の有限射影平面の要素としてそれぞれ生成された前記第ｉ番目のルート鍵共有物セグメントを含むセットと前記第２のノード鍵材料の各ルート鍵共有物の第ｉ番目の有限射影平面の要素としてそれぞれ生成された前記第ｉ番目のルート鍵共有物セグメントを含むセットとの間で共通するルート鍵共有物セグメントを取得することにより、第ｉ番目の共通のルート鍵共有物を決定する取得手段を有する、比較手段を有し、
    前記コントローラが更に、前記特定された共通のルート鍵共有物セグメント、前記第２のノードの識別子及び前記セグメント識別子のうちの少なくとも１つに基づき、前記第１のノード及び前記第２のノードの間の共有鍵を計算する計算手段を有する、通信デバイス。
13. 請求項１２に記載の少なくとも２つの通信デバイスを有するネットワークであって、一の通信デバイスが前記ネットワークの第１のノードを表し、別の通信デバイスは前記ネットワークの第２のノードを表し、前記第１のノード及び前記第２のノードが、請求項１に記載の方法を使用することにより互いに通信する、ネットワーク。
14. 請求項１に記載の方法を実行するためのコンピュータプログラム。

Images