JP6557078B2 - 電子キー及び電子キーシステム - Google Patents

Description

本発明は、無線により電子キーＩＤを照合可能な電子キー及び電子キーシステムに関する。

従来、多くの車両には、車両からの通信を契機に電子キーから電子キーＩＤを車両に無線送信してＩＤ照合（スマート照合）を行う電子キーシステムが搭載されている（特許文献１等参照）。この種の電子キーシステムにおいては、電子キーＩＤの正否の確認の他に、車両及び電子キーの間でチャレンジレスポンス認証が成立するか否かも確認する。そして、電子キーＩＤ照合及びチャレンジレスポンス認証がともに成立すれば、車両ドアの施解錠が許可又は実行されたり、エンジン始動操作が許可されたりする。

特開２００５−２６２９１５号公報

チャレンジレスポンス認証で使用する暗号鍵を第三者に不正に解読されないようにするために、セキュリティ性を向上させたいニーズがあった。
本発明の目的は、暗号鍵の不正解読に対するセキュリティ性を確保することができる電子キー及び電子キーシステムを提供することにある。

前記問題点を解決する電子キーは、通信マスタとの間で電子キーＩＤを照合するにあたり、暗号鍵を使用した認証も行うことにより、ＩＤ照合を実行する構成において、当該電子キーに発生する動きを検出するモーション検出部と、前記モーション検出部において動きを検出したときのみ、前記認証の演算を許可する演算許可部とを備えた。

本構成によれば、電子キーに動きがあったときのみ、正規の暗号鍵を使用した認証を許可するので、例えば電子キーを動かないように冶具等に固定して暗号鍵の不正解読が試みられるサイドチャネル攻撃を受けたとしても、電子キーでは正規の暗号鍵を使用した認証が実行されない。これにより、サイドチャネル攻撃下において、暗号鍵が不正に解読されるおそれがない。よって、暗号鍵の不正解読に対するセキュリティ性を確保することが可能となる。

前記電子キーにおいて、前記認証は、乱数であるチャレンジコードを前記暗号鍵によって暗号化してレスポンスコードを求める処理を、前記通信マスタ及び電子キーの双方で行い、両者のレスポンスコードを確認するチャレンジレスポンス認証であることが好ましい。この構成によれば、チャレンジレスポンス認証に係る暗号鍵において、不正解読に対するセキュリティ性を確保することが可能となる。

前記電子キーにおいて、暗号鍵と平文とを関数に通して暗号文を演算し、さらに当該暗号文を平文として別の暗号鍵とともに関数に通す処理を、複数回繰り返すことによって演算結果を得て、当該演算結果の正否を確認する前記認証のプログラムと、前記演算が許可されなかったとき、偽暗号鍵を生成して、当該偽暗号鍵により前記認証を実行させる偽暗号鍵生成部とを備えることが好ましい。この構成によれば、演算を許可しない状況下では、偽暗号鍵が使用されるので、仮にサイドチャネル攻撃を受けて暗号鍵が不正に読み出されても、それは間違った暗号鍵であるので問題はない。よって、この点で、暗号鍵の不正解読に対するセキュリティ性が高いといえる。

前記電子キーにおいて、前記偽暗号鍵生成部は、認証の演算途中で前記電子キーに動きが発生しなくなったことを確認すると、前記偽暗号鍵を生成して、当該偽暗号鍵により前記演算を継続させることが好ましい。この構成によれば、暗号の演算途中に電子キーの動きの停止を検出した場合でも、偽暗号鍵で演算を継続させることにより、正規の暗号鍵の不正読み取りを防止することが可能となる。

前記問題点を解決する電子キーシステムは、通信マスタと電子キーとが無線により電子キーＩＤを照合するにあたり、暗号鍵を使用した認証も行うことにより、ＩＤ照合を実行する構成において、前記電子キーは、当該電子キーに発生する動きを検出するモーション検出部と、前記モーション検出部において動きを検出したときのみ、前記認証の演算を許可する演算許可部とを備えた。

本発明によれば、暗号鍵の不正解読に対するセキュリティ性を確保することができる。

第１実施形態の電子キー及び電子キーシステムの構成図。 電子キーシステムの通信ロジックの概要を示す説明図。 暗号演算の可否を設定するときに実行されるフローチャート。 サイドチャネル攻撃における電流・電磁波測定系の例示図。 第２実施形態の電子キーの構成図。 チャレンジレスポンス認証のロジック図。

（第１実施形態）
以下、電子キー及び電子キーシステムの第１実施形態を図１〜図４に従って説明する。
図１に示すように、車両１は、電子キー２と無線によるＩＤ照合を行う電子キーシステム３を備える。電子キーシステム３は、車両１からの通信を契機に狭域無線（通信距離が数ｍ）によってＩＤ照合を実行するキー操作フリーシステムである。なお、以降は、キー操作フリーシステムによるＩＤ照合を「スマート照合」と記し、その通信を「スマート通信」と記す。

車両１は、ＩＤ照合（スマート照合）を行う照合ＥＣＵ（Electronic Control Unit）４と、車載電装品の電源を管理するボディＥＣＵ５と、エンジン７を制御するエンジンＥＣＵ６とを備える。これらＥＣＵは、車内の通信線８を通じて接続されている。通信線８は、例えばＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）がある。照合ＥＣＵ４のメモリ９には、車両１に登録された電子キー２の電子キーＩＤ及び暗号鍵Ｋ１の組が書き込み保存されている。暗号鍵Ｋ１は、車両１及び電子キー２の間で行われる認証時に使用される。ボディＥＣＵ５は、車両ドアの施解錠を切り替えるドアロック機構１０の作動を制御する。

通信マスタ１１（本例は照合ＥＣＵ４）のメモリ９には、ＩＤ照合（スマート照合）のときに車両１及び電子キー２の間で実行される認証のプログラムＰ１が書き込み保存されている。本例の認証は、乱数であるチャレンジコードを暗号鍵Ｋ１によって暗号化してレスポンスコードを求める処理を、照合ＥＣＵ４と電子キー２との双方で行い、両者のレスポンスコードを確認するチャレンジレスポンス認証である。

車両１は、室外に電波を送信する室外送信機１２と、室内に電波を送信する室内送信機１３と、車両１において電波を受信する電波受信機１４とを備える。室外送信機１２及び室内送信機１３は、例えばＬＦ（Low Frequency）帯の電波を送信する。電波受信機１４は、例えばＵＨＦ（Ultra High Frequency）帯の電波を受信する。このように、本例の電子キーシステム３は、車両１からの電波がＬＦ帯であり、電子キー２からの電波がＬＦ電波よりも遠くまで届くＵＨＦ帯のＬＦ−ＵＨＦの双方向通信となっている。

車両１は、車両電源を切り替えるときに操作するエンジンスイッチ１５を備える。エンジンスイッチ１５は、例えばプッシュモーメンタリ式のスイッチからなる。車両電源は、エンジンスイッチ１５を操作することにより、ＩＧオフ、ＡＣＣオン、ＩＧオン、エンジンスタートのいずれかの状態に遷移可能となっている。

電子キー２は、電子キー２の動作を制御するキー制御部１８と、電子キー２において電波を受信する受信部１９と、電子キー２において電波を送信する送信部２０とを備える。キー制御部１８のメモリ２１には、それぞれの電子キー２が固有に持つ電子キーＩＤ及び暗号鍵Ｋ２の組が書き込み保存されている。また、キー制御部１８のメモリ２１には、車両１側と同様の認証（チャレンジレスポンス認証）のプログラムＰ２が書き込み保存されている。受信部１９は、例えばＬＦ電波を受信する。送信部２０は、例えばＵＨＦ電波を送信する。

電子キー２（電子キーシステム３）は、電子キー２に発生する動き（モーション）を基に通信相手２４（本例は車両１）と通信をさせてよいか否かを判定するモーション判定機能を備える。本例のモーション判定機能は、通信マスタ１１（本例は照合ＥＣＵ４）からの通信を契機に電子キー２から電子キーＩＤを通信マスタ１１に送信させてＩＤ照合を行う過程で実行される。照合ＥＣＵ４は、ＩＤ照合における各種照合（認証も含む）に加え、モーション判定も成立すること（電子キー２に動きがあること）を条件に、ＩＤ照合を成立として処理する。

電子キー２は、電子キー２に発生する動きを検出するモーション検出部２５を備える。モーション検出部２５は、電子キー２に発生する動きに応じた検出信号Ｓacをキー制御部１８に出力する。モーション検出部２５は、例えばＸ軸、Ｙ軸、Ｚ軸の３軸方向の動きを検出することにより、電子キー２に発生する動きを監視する。３軸検出型のモーション検出部２５は、例えば加速度センサや角速度センサであることが好ましい。

電子キー２は、モーション検出部２５の検出信号Ｓacを基に認証の実行可否を決める演算許可部２６を備える。演算許可部２６は、キー制御部１８に設けられる。演算許可部２６は、例えばモーション検出部２５から入力する検出信号Ｓacを基に、電子キー２において動き（例えば振動等）を検出したときのみ、ＩＤ照合（本例はスマート照合）における認証（本例はチャレンジレスポンス認証）の演算を許可する。

次に、図２〜図４を用いて、電子キー２（電子キーシステム３）が備える通信相手正否判定機能の動作を説明する。
図２に示すように、電子キー２を所持した正規ユーザが車両１に近づいた場合を想定する。車両１（照合ＥＣＵ４）は、室外送信機１２（室内送信機１３）により形成されたＬＦ電波の通信エリアＥａに電子キー２に進入したか否かを確認するために、電子キー２を起動させるウェイク信号Ｓwkを室外送信機１２（室内送信機１３）から定期送信する。なお、ウェイク信号Ｓwkは、あるユーザ操作を契機に送信が開始されてもよい。ユーザ操作には、例えば車外ドアハンドルに設けられたロックボタンやタッチセンサが操作されたこととしてもよい。ロックボタンは、車両ドアを施錠するときに操作されるものであり、タッチセンサは、車両ドアを解錠するときに車外ドアハンドルがタッチされたことを検出するものである。

電子キー２は、車両１から送信されたウェイク信号Ｓwkを受信すると、ウェイク信号Ｓwkの受信を契機に起動する。電子キー２は、起動すると、アック信号Ｓackを車両１にＵＨＦ送信する。

照合ＥＣＵ４は、ウェイク信号Ｓwkを送信してから一定時間内に電子キー２からアック信号Ｓackを受信することができると、チャレンジレスポンス認証を実行するために、チャレンジ信号Ｓchを室外送信機１２（室内送信機１３）からＬＦ送信する。チャレンジ信号Ｓchは、送信の度に値が毎回変わるチャレンジコード（乱数）を含むことが好ましい。

電子キー２は、チャレンジ信号Ｓchを受信すると、自身のメモリ２１に登録されている暗号鍵Ｋ２及びプログラムＰ２を用いて、レスポンスコードを演算する。具体的には、車両１から受信したチャレンジコードを平文として、これを暗号鍵Ｋ２とともに関数（アルゴリズム）に通すことにより、レスポンスコードを演算する。電子キー２は、レスポンスコードの演算が済むと、レスポンス信号Ｓreを車両１にＵＨＦ送信する。レスポンス信号Ｓreは、例えばチャレンジレスポンス認証の演算結果であるレスポンスコードと、電子キー２に登録された電子キーＩＤとを含むことが好ましい。

照合ＥＣＵ４は、チャレンジコードを電子キー２に送信するにあたって、自らも自身の暗号鍵Ｋ１及びプログラムＰ１を用いて同様にレスポンスコードを演算する。照合ＥＣＵ４は、電子キー２からレスポンス信号Ｓreを受信すると、これに含まれるレスポンスコードと、自らが演算したレスポンスコードとを比較することにより、チャレンジレスポンス認証を実行する。また、照合ＥＣＵ４は、レスポンス信号Ｓreに含まれる電子キーＩＤの正否を確認することにより、電子キーＩＤ照合を行う。

図３に、電子キー２におけるチャレンジレスポンス認証の演算可否を決める判定ロジックを図示する。なお、図３に示すフローチャートは、電子キー２においてチャレンジ信号Ｓchを受信したときに開始される。

ステップ１０１において、演算許可部２６は、モーション検出部２５から入力する検出信号Ｓacを基に、電子キー２に動きがあるか否かを判定する。このとき、演算許可部２６は、電子キー２に動きがあることを確認すると、チャレンジレスポンス認証の実施を許可する。従って、電子キー２に動きが生じていれば、ステップ１０２に移行して、チャレンジレスポンス認証を継続する。一方、演算許可部２６は、電子キー２に動きがないことを確認すると、チャレンジレスポンス認証の実施を許可しない。従って、電子キー２に動きがないときには、処理が強制終了される。

ステップ１０２において、キー制御部１８は、車両１から受信したチャレンジコードに対するレスポンスコードの演算を実行する。
ステップ１０３において、キー制御部１８は、ステップ１０２において演算したレスポンスコードを含むレスポンス信号Ｓreを車両１に送信する。これにより、チャレンジレスポンス認証の正否が車両１において確認される。

図２の例の場合、正規ユーザが電子キー２を所持して動きを伴いながら車両１に近づくので、チャレンジレスポンス認証が実行される。また、正規ユーザが所持する電子キー２であるので、チャレンジレスポンス認証及び電子キーＩＤ照合の両方が成立する。照合ＥＣＵ４は、これら照合（認証）が成立することを確認すると、スマート照合を成立として処理する。照合ＥＣＵ４は、室外送信機１２から送信されたウェイク信号Ｓwkを電子キー２が受信することを契機とするスマート照合が成立することを確認すると、室外スマート照合を成立とし、ボディＥＣＵ５による車両ドアの施解錠作動を許可又は実行する。また、照合ＥＣＵ４は、室内送信機１３から送信されたウェイク信号Ｓwkを電子キー２が受信することを契機とするスマート照合が成立することを確認すると、室内スマート照合を成立とし、運転席のエンジンスイッチ１５の操作による車両電源の遷移を許可する。

図４に、サイドチャネル攻撃における電流・電磁波測定系の具体例を図示する。ところで、消費電流を対象とするサイドチャネル攻撃としては、例えば暗号処理を何度も実行させて多数の消費電流を取得し、それらを統計的に解析する手法が知られている。この場合、取得数に応じて解読成功率が増減する。この対策としては、例えば消費電流が測定されていることを検出する検出回路を電子キー２に設け、測定検出時には暗号処理を実行しない対策が知られている。しかし、この対策は、電磁波を対象とするサイドチャネル攻撃に効果がない。このため、電磁波測定の検出回路を設けることで対策をとることも想定されるが、様々な電磁環境下で動作する機器に対する適用は難しい現状がある。

図４に示すような統計的なサイドチャネル攻撃は、電流や電磁波の大きさの微少な変動を解析する手法である。この攻撃手法の場合、測定プローブ（一種のアンテナ）３１が僅かに動くだけで測定値が変化してしまうので、測定時には電子キー２と測定プローブ３１との位置関係を固定する必要がある。すなわち、電子キー２が固定治具３２に固定された状態で、サイドチャネル攻撃が実施されるはずである。

これを踏まえ、統計的なサイドチャネル攻撃を受けているときには、電子キー２には動きが発生していないはずである。すなわち、電子キー２の動きの判定において、電子キー２に動きが発生しておらず、チャレンジレスポンス認証の実施が許可されない。これにより、スマート通信が途中で強制終了される。すなわち、サイドチャネル攻撃を受けているときには、電子キー２が認証動作（暗号通信）を行わないので、チャレンジレスポンス認証の暗号鍵Ｋ２の不正解読が実施されないことになる。よって、暗号鍵Ｋ２の不正解読に対するセキュリティ性が確保される。

本実施形態の構成によれば、以下に記載の効果を得ることができる。
（１）電子キー２にモーション検出部２５を設けて電子キー２に発生する動き（振動）を監視し、電子キー２に動きがあったときにのみ、正規の暗号鍵Ｋ２を使用した認証の実施を許可する。このため、例えば電子キー２を動かないように固定治具３２に固定して暗号鍵Ｋ２の不正解読が試みられるサイドチャネル攻撃を受けたとしても、電子キー２に動きが発生していないことをもって、電子キー２では正規の暗号鍵Ｋ２を使用した認証が実行されない。これにより、サイドチャネル攻撃下において、正規の暗号鍵Ｋ２が不正に解読されるおそれがない。よって、暗号鍵Ｋ２の不正解読に対するセキュリティ性を確保することができる。

（２）車両１及び電子キー２の間で実施される認証は、チャレンジレスポンス認証である。よって、チャレンジレスポンス認証に係る暗号鍵Ｋ２において、不正解読に対するセキュリティ性を確保することができる。

（３）サイドチャネル攻撃に対する対策をとるにあたり、チャレンジレスポンス認証を実施しないという簡素な処理によって対応することができる。
（第２実施形態）
次に、第２実施形態を図５及び図６に従って説明する。なお、本例は、暗号処理途中で電子キー２において動き（振動）を検出した場合に、偽の暗号鍵を用いて暗号処理を継続する実施例である。よって、第１実施形態と同一部分には同じ符号を付して詳しい説明を省略し、異なる部分についてのみ詳述する。

図５に示すように、電子キー２（電子キーシステム３）は、演算許可部２６の判定により演算が許可されなかったときに偽暗号鍵Ｋｄを生成する偽暗号鍵生成部３５を備える。偽暗号鍵生成部３５は、キー制御部１８に設けられる。本例の偽暗号鍵生成部３５は、演算許可部２６がチャレンジレスポンス認証の演算を許可しなかったとき、偽暗号鍵Ｋｄを生成し、この偽暗号鍵Ｋｄにより認証を継続させることにより、ＩＤ照合の不正成立に対してセキュリティを確保する。

図６に示すように、本例のチャレンジレスポンス認証の演算は、平文であるチャレンジコードを正規の暗号鍵Ｋ２で演算して暗号文を求め、この暗号文を再度、平文として、別の正規の暗号鍵Ｋ２で演算する一連の処理を複数回、繰り返す方式をとっている。具体的には、例えばチャレンジコードと暗号鍵Ｋ２−０とを関数Ｆ０に通して暗号文を求め、この暗号文と別の暗号鍵Ｋ２−１とを関数Ｆ１に通して暗号文を求め、この一連の処理を複数回（同図の場合は１０回）繰り返す。そして、演算結果として最終的に得られた暗号文をレスポンスコードとして車両１に返信する。

本例の場合、例えば３回目の暗号演算時に電子キー２において動き（振動）がなくなったと検出されたとき、偽暗号鍵Ｋｄを生成して、これにより暗号処理を継続させる。具体的には、３回目の暗号演算時に電子キー２が動かなくなったとき、偽暗号鍵生成部３５は、３回目演算時の正規の暗号鍵Ｋ２−２に対応する偽暗号鍵「Ｋｄ−２」を生成し、この偽暗号鍵Ｋｄ−２によって暗号処理を継続させる。そして、この処理を暗号処理が終了するまで繰り返す。これにより、演算されるレスポンスコードが正規の値をとらなくなるので、チャレンジレスポンス認証を不正に成立させずに済む。

本実施形態の構成によれば、第１実施形態に記載の（１）〜（３）に加え、以下の効果を得ることができる。
（４）電子キー２に動きがなく暗号演算が許可されなかったときには、偽暗号鍵Ｋｄを使用した認証が実施される。このため、仮にサイドチャネル攻撃によって暗号鍵Ｋ２が不正に読み出されても、それは間違った暗号鍵Ｋ２であるので問題はない。よって、この点で、暗号鍵Ｋ２の不正解読に対するセキュリティ性が高いといえる。

（５）暗号演算の途中で電子キー２に動きが発生しなくなったことが確認されると、偽暗号鍵生成部３５によって偽暗号鍵Ｋｄが生成されて、偽暗号鍵Ｋｄにより演算が継続される。よって、暗号演算の途中で電子キー２の動きの停止を検出した場合でも、偽暗号鍵Ｋｄで演算を継続させることにより、正規の暗号鍵Ｋ２の不正読み取りを防止することができる。

なお、実施形態はこれまでに述べた構成に限らず、以下の態様に変更してもよい。
・各実施形態において、電子キー２に動きがあったという判定は、例えば所定時間前の状態も含むこととする。すなわち、電子キー２に動きがあってから所定時間の間、暗号演算を許可する猶予を持たせ、この猶予時間の間は仮に電子キー２に動きがなくても、暗号演算を許可することとしてもよい。

・第２実施形態において、電子キー２に動きがなく暗号演算が不可とされたとき、最初から偽暗号鍵Ｋｄを用いた演算を実施させることにより、暗号鍵Ｋ２の不正読み出しに対する対策としてもよい。

・第２実施形態において、偽暗号鍵Ｋｄは、繰り返す演算ごとに値が変わるものに限らず、各繰り返し演算において固定された値としてもよい。
・各実施形態において、電子キーシステム３で使用する通信形式や周波数は、実施形態以外の他の態様に変更可能である。

・各実施形態において、電子キーシステム３は、キー操作フリーシステムに限定されず、車両１及び電子キー２の間の双方向通信を通じたＩＤ照合のシステムであればよい。
・各実施形態において、認証は、チャレンジレスポンス認証に限定されず、暗号鍵Ｋ２を使用した暗号処理であればよい。

・各実施形態において、電子キー２は、例えば高機能携帯電話等の種々の端末としてもよい。
・各実施形態において、電子キー２は、車両用に限定されず、例えば住宅ドア用のキーなど、他の用途に変更可能である。

・各実施形態において、通信マスタ１１や通信相手２４は、種々の装置や機器に変更可能である。

１…通信相手の一例である車両、２…電子キー、３…電子キーシステム、４…通信マスタの一例である照合ＥＣＵ、２５…モーション検出部、２６…演算許可部、３５…偽暗号鍵生成部、Ｋ１，Ｋ２…暗号鍵、Ｋｄ…偽暗号鍵、Ｓac…モーション検出部の検出信号、Ｐ１，Ｐ２…認証のプログラム。

Claims (5)

1. 通信マスタとの間で電子キーＩＤを照合するにあたり、暗号鍵を使用した認証も行うことにより、ＩＤ照合を実行する電子キーにおいて、
   当該電子キーに発生する動きを検出するモーション検出部と、
   前記モーション検出部において動きを検出したときのみ、前記認証の演算を許可する演算許可部と、
   前記演算許可部により演算が許可されなかったとき、偽暗号鍵を生成して、当該偽暗号鍵により前記認証を実行させる偽暗号鍵生成部と
   を備えたことを特徴とする電子キー。
2. 前記認証は、乱数であるチャレンジコードを前記暗号鍵によって暗号化してレスポンスコードを求める処理を、前記通信マスタ及び電子キーの双方で行い、両者のレスポンスコードを確認するチャレンジレスポンス認証である
   請求項１に記載の電子キー。
3. 暗号鍵と平文とを関数に通して暗号文を演算し、さらに当該暗号文を平文として別の暗号鍵とともに関数に通す処理を、複数回繰り返すことによって演算結果を得て、当該演算結果の正否を確認する前記認証のプログラムを備える請求項１又は２に記載の電子キー。
4. 前記偽暗号鍵生成部は、認証の演算途中で前記電子キーに動きが発生しなくなったことを確認すると、前記偽暗号鍵を生成して、当該偽暗号鍵により前記演算を継続させる請求項１ないし３のいずれか一項に記載の電子キー。
5. 通信マスタと電子キーとが無線により電子キーＩＤを照合するにあたり、暗号鍵を使用した認証も行うことにより、ＩＤ照合を実行する電子キーシステムにおいて、
   前記電子キーは、
   当該電子キーに発生する動きを検出するモーション検出部と、
   前記モーション検出部において動きを検出したときのみ、前記認証の演算を許可する演算許可部と、
   前記演算許可部により演算が許可されなかったとき、偽暗号鍵を生成して、当該偽暗号鍵により前記認証を実行させる偽暗号鍵生成部と
   を備えたことを特徴とする電子キーシステム。