JP6985412B2 - 通信デバイスの評判レベルを管理するための方法 - Google Patents

Description

本発明は、通信デバイスの評判レベルを管理するための方法に関する。本発明は、モノのインターネットおよびビークルツーエブリシング（ｖｅｈｉｃｌｅ−ｔｏ−ｅｖｅｒｙｔｈｉｎｇ）（Ｖ２Ｘ）技術に適用可能である。

国際電気通信連合（ＩＴＵ）は、ＩＴＵ−Ｔ Ｙ．２０６０勧告においてモノのインターネット（ＩｏＴ）を、「既存および開発中の相互運用可能な情報技術および通信技術に基づいて、（物理的および仮想の）モノを互いに接続することによって、高度なサービスを可能にする情報社会のためのグローバルインフラストラクチャ」と定義する。モノのインターネットは、デバイス間の直接の通信を可能にする技術を参照するマシンツーマシン（Ｍ２Ｍ）通信を含む様々な技術を統合する。さらに、Ｍ２Ｍ通信は、ビークルツーエブリシング（Ｖ２Ｘ）通信のコンテキストにおいて、すなわち、或る車両に組み込まれた第１の無線通信デバイスと、第２の車両、インフラストラクチャ、または歩行者などの別の物体上に実装された第２の無線通信デバイスとの間で使用されることが可能である。

ＩｏＴデバイスの数は、急速に増大しており、自動車に組み込まれた無線通信デバイスなどのデバイスは、膨大な量のデータを管理しなければならない。自律的車両などのいくつかのシナリオにおいて、重大な決定が、他のデバイスから受信されたデータに基づいて、ほとんど即時に行われなければならない。セキュリティの点で、この情報が信頼できること、例えば、適切な評判レベルを有するデバイスであることが、非常に重要である。

大量のＩｏＴデバイスを有するＩｏＴネットワークにおいて、これらのデバイス間の通信は、大量のデータを含むことがあり得る。ＩｏＴデバイスは、受信されたデータの信頼のレベルを評価し、いずれのデータが考慮に入れられなければならないか、およびいずれのデータが破棄されるべきかを決定する必要がある。

ＩｏＴデバイスからのすべてのデータを、他のＩｏＴデバイスに向けてルーティングするために受信する集中化された評判システムは、大量のデータ、デバイスおよびレイテンシ制約に起因して、このコンテキスト、ならびにいくつかのＩｏＴ相互作用が近接内のみであるのに対して、長距離通信機構において適切でない可能性がある。

ＩＴＵ−Ｔ Ｙ．２０６０勧告

本発明は、第１の通信デバイスの評判レベルを管理するための方法に関し、前記評判レベルが、前記第１の通信デバイスに組み込まれた第１のセキュアなエンクレーブに格納され、方法は：
− 第２の通信デバイスにより、第１の通信デバイスから情報メッセージを受信するステップと；
− 情報メッセージが、第２の通信デバイスに組み込まれたセンサから獲得されたデータと整合していることを検証するステップと；
− 第２の通信デバイスにより、第１の通信デバイスのセキュアなエンクレーブのために、情報メッセージが整合しているかどうかを示すフィードバックメッセージを生成するステップと；
− フィードバックメッセージを第１の通信デバイス（１００、２００）に、第１のセキュアなエンクレーブがこのフィードバックメッセージにしたがってその評判レベルを更新するように、送信するステップと
を含む。

或る実施形態によれば、第１の通信デバイスの評判レベルは、第２の通信デバイスによって情報メッセージと一緒に受信され、受信された評判レベルが事前定義された閾値より大きい場合、情報メッセージは、第２の通信デバイスによって信頼できる情報とみなされる。

例として、情報メッセージは、第１のセキュアなエンクレーブによってセキュリティ鍵を使用して生成された署名と一緒に受信され、前記第１のセキュアなエンクレーブが、セキュリティ鍵を格納し、方法は、第２の通信デバイスにより、第１の通信デバイスを前記情報メッセージの発信者として認証するためにセキュリティ署名を検証するステップを含む。

本発明の態様によれば、フィードバックメッセージは、情報メッセージが、第２の通信デバイスに組み込まれたセンサから獲得されたデータと整合している場合、肯定的であり、またはそうでない場合、否定的である、のいずれかである。

例えば、第１の通信デバイスの評判レベルは、肯定的なフィードバックメッセージを受信したとき、増加される。

一実施形態において、第１の通信デバイスの評判レベルは、否定的なフィードバックメッセージを受信したとき、低減される。

また、本発明は、第１の通信デバイスの評判レベルを格納する第１のセキュアなエンクレーブを備える前記第１の通信デバイスにも関し、第１の通信デバイスは：
− 第２の通信デバイスに情報メッセージを送信し；
− 第２の通信デバイスによって生成され、第２の通信デバイスに組み込まれたセンサから獲得された少なくとも１つのローカルデータとの情報メッセージの整合性の、前記第２の通信デバイスによって行われた検証の結果を表すフィードバックメッセージを受信し；
− 第１のセキュアなエンクレーブにより、受信されたフィードバックメッセージにしたがって評判レベルを更新する
ように構成される。

例として、第１の通信デバイスは、その評判レベルが事前定義された閾値より大きい場合に限って、第２の通信デバイスによって考慮に入れられるべき、情報メッセージに関する前記評判レベルと一緒に前記情報メッセージを送信するように構成される。

本発明の或る態様によれば、送信された最新のＮ個の連続する情報メッセージに対応する、長さＮのスライディングウィンドウが、これらＮ個の情報メッセージに対応するフィードバックメッセージだけが前記第１の通信デバイスの評判レベルを更新するために考慮に入れられるように使用される。

本発明の別の態様によれば、最大限Ｍ個のフィードバックメッセージが、所与の情報メッセージに関して考慮に入れられる。

また、本発明は：
− 第１の通信デバイスの評判レベルを格納する第１のセキュアなエンクレーブを備える前記第１の通信デバイスから情報メッセージを受信し；
− 情報メッセージが、第２の通信デバイスに組み込まれたセンサから獲得された少なくとも１つのローカルデータと整合していることを検証し；
− 情報メッセージが整合しているかどうかを示すフィードバックメッセージを生成し、前記フィードバックメッセージを、第１の通信デバイスの第１のセキュアなエンクレーブが評判レベルを更新するように、第１の通信デバイスに送信する
ように構成された第２の通信デバイスにも関する。

本発明の或る態様によれば、第２の通信デバイスは、第１の通信デバイスが第２の通信デバイスを認証することができるように、フィードバックメッセージと一緒に送信されるべきセキュリティ署名を生成するように構成された第２のセキュアなエンクレーブを備える。

また、本発明は、少なくとも、上で説明された、第１の通信デバイスと、上で説明された第２の通信デバイスとを備える通信システムにも関する。

また、本発明は、プログラムがコンピュータによって実行されたとき、コンピュータに上で説明された方法のステップを遂行させる命令を備えるコンピュータプログラム製品にも関する。

本発明のさらなる特徴および利点は、以下の図面と併せて、指針的な、限定的でない例として与えられる、本発明の好ましい一実施形態の詳細な説明を読んだ後、より明確に理解されよう。

それらの評判レベルをそれぞれ監視する能力を有する２つの通信デバイスを概略で示す図である。 第１の通信デバイスの評判レベルが、第２の通信デバイスから受信されたフィードバックのお陰でどのように更新されることが可能であるかを示すシーケンス図の例である。 所与の通信デバイスのセキュアなエンクレーブに保持される評判レベルが、車車間通信のコンテキストにおけるセキュリティを増加させるために、どのように使用されることが可能であるかを示す図である。 不規則に振る舞う通信デバイスから来るフィードバックメッセージがどのように扱われることが可能であるかを示す表である。 リプレイ攻撃に対して防御するために通信デバイスによって使用されることが可能な機構の例を示す図である。 リプレイ攻撃に対して防御するために通信デバイスによって使用されることが可能な機構の例を示す図である。 複数の車両が同一のエンティティによって制御されるときに、評判レベル更新システムの偽造を回避するために第三者が使用される例を提供する図である。

この説明において、セキュアなエンクレーブは、データを格納するように、およびデータの完全性および機密性を保護するように適合され、少なくとも１つのハードウェアおよび／またはソフトウェア構成要素のセットを備えるセキュアな領域を参照する。このセキュアなエンクレーブは、例えば、信頼できる実行環境（ＴＥＥ）の形態で、またはセキュアな要素としてプロセッサ内に実装されることが可能である。

セキュアな要素は、コンピューティング処理のために、メモリと、マイクロプロセッサと、オペレーティングシステムとを備える小型デバイスである。そのようなセキュアな要素は、異なるタイプの複数のメモリを備えてよい。それらは、それらの要素が収容するデータに対するアクセスを制御すること、および他のマシンによるデータの使用を許可すること、またはしないことができるゆえに、「セキュアな」と呼ばれる。また、セキュアな要素は、暗号構成要素に基づく計算サービスを提供してもよい。一般に、セキュアな要素は、限られた計算リソースを有し、ホストマシンに接続されることが意図される。セキュアな要素は、リムーバブルであっても、ホストデバイスに固定されていてもよい。スマートカードは、ポータブルなセキュアな要素である。

この説明において、ＩｏＴデバイスという表現は、通信能力を有し、オプションとして、データキャプチャ、感知、データ格納、感知、および／またはデータ処理の能力を有する機器を参照する。ＩｏＴデバイスは、例えば、１つのＩｏＴデバイスから別のＩｏＴデバイスへのデータの伝送、またはＵＭＴＳ／ＨＳＤＰＡ、ＣＤＭＡ／ＥＶＤＯ、ＬＴＥ、５Ｇ、ＬｏＲａ、もしくは他のネットワークを通じたマシン間のデータの交換を可能にする、マシンタイプ通信（ＭＴＣ）モジュールとも呼ばれる無線通信モジュールを備える。本発明は、ＩｏＴデバイスに、しかしより一般的には、それら自身の評判レベルセキュアに保持する通信デバイスに適用される。例として、通信デバイスは、接続された車両であることが可能である。

本説明において、所与の通信デバイスの評判レベルは、他の通信デバイスとのデータ交換に関して、その通信デバイスが提供する信頼のレベルを表す情報に対応する。例として、事前定義された閾値を下回る評判レベルに関連付けられた第１の通信デバイスによって送信されるデータは、第２の通信デバイスによって信頼できるとみなされず、破棄されること、もしくは無視されることが可能である。

センサは、ハードウェアおよび／またはソフトウェアから構成され、物理的世界から情報をキャプチャし、このキャプチャされた情報を表すデータを提供するように設計された構成要素を参照する。

図１は、それらの評判レベルをそれぞれ監視する能力を有する２つの通信デバイスを概略で示す。

２つの通信デバイス１００、１１０は、非常に単純化された様態で表される。それらはともに、アプリケーション１０１、１１１と、セキュアなエンクレーブ１０２、１１２とを備える。

各通信デバイスのアプリケーション１０１、１１１、およびセキュアなエンクレーブ１０２、１１２は、それらが、適切なインターフェース１０５、１１５を通じてデータを交換すること１３０が可能であるように構成される。例として、アプリケーションは、中央処理装置（ＣＰＵ）内に実装され、セキュアなエンクレーブは、中央処理装置とインターフェースされるセキュアな要素である。しかし、他の構成が、説明される技術を実装するために使用されることが可能であることが、当業者には容易に考慮されよう。例えば、単一のプロセッサが、アプリケーションとセキュアなエンクレーブの両方を実装することが可能である。その場合、セキュアなエンクレーブは、例えば、プロセッサの信頼できる実行環境において実装される。

本発明によれば、各デバイスは、それ自身の評判レベル１０３、１１３を、それ自身のセキュアなエンクレーブ１０２、１１２のなかに保持する。次に、評判レベルは、例えば、１つの通信デバイスから別の通信デバイスにデータを転送する１３０時点で、送信される。

さらに、１つまたはいくつかの電子証明書１０４、１１４が、各通信デバイス１００、１１０のセキュアなエンクレーブに格納されることが可能である。例えば、電子証明書、およびその関連付けられた秘密鍵が、所与の通信デバイスの製造工程のパーソナライズ化フェーズにプロビジョニングされることが可能である。

通信デバイスの評判レベルは、それらのセキュアなエンクレーブによって格納され、更新される。セキュアなエンクレーブによって処理され、格納されるものは、デバイスのいずれのユーザによってもアクセス可能でない。このことは、通信デバイスがそれ自身の評判レベルを、他の通信デバイスによって提供されるフィードバックメッセージを使用して保持することを、許可されていない第三者、特にデバイスのユーザが、このプロセスに干渉することをまったく可能とせずに、可能にする技術を提供する本発明の１つの目標である。

本発明の重要な態様は、通信デバイス１１０が別の通信デバイス１００から情報メッセージを受信したとき、それが、ローカルデータ、すなわち、通信デバイス１１０によってローカルで獲得されたデータを使用して情報メッセージの整合性を確認することである。好ましい実施形態によれば、ローカルデータは、通信デバイス１１０に組み込まれた、もしくはデバイス１１０とインターフェースされた少なくとも１つのセンサによって提供されるデータ、またはこの少なくとも１つのセンサによって提供されるデータから獲得される測定に対応する。

本発明によれば、整合性検証の結果は、通信デバイス１１０によって通信デバイス１００に送信される、フィードバックを収容するメッセージを生成する基礎として使用される。このフィードバックメッセージは、通信デバイス１００によって、それ自身の評判レベルを更新するために、例えば、評判レベルを増加させるために、または低減させるために使用される。フィードバックメッセージは、２つのタイプ：受信された情報メッセージがローカルデータと整合しているときの「肯定的なフィードバック」、または整合性検証が失敗したときの「否定的なフィードバック」であることが可能である。別の実施形態によれば、フィードバックメッセージは、例えば、１が「非常に肯定的な」フィードバック、４が「非常に否定的な」フィードバックに対応する、１から４までのスケールに対応する２つ以上のレベルの整合性を備えることが可能である。

図２は、第１の通信デバイスの評判レベルが、第２の通信デバイスから受信されたフィードバックのお陰でどのように更新されることが可能であるかを示すシーケンス図の例である。

この例において、４つの機能構成要素の間の相互作用について説明される。含まれる機能構成要素は：
− 第１の通信デバイス２００のセキュアなエンクレーブ２０２およびアプリケーション２０１、ならびに
− 第２の通信デバイス２１０のセキュアなエンクレーブ２１２およびアプリケーション２１１
である。

始めに、第１の通信デバイス２００が、情報メッセージが周囲のデバイスに送信されなければならないことを識別する。この例によれば、第１および第２の通信デバイス２００、２１０は、接続された２つの車両であり、第２の通信デバイス２１０に送信されるべき情報メッセージは、第１の通信デバイス２００が急にブレーキをかけたことである。本発明は、他のタイプの通信デバイス、および他のタイプの情報メッセージ、例えば、方向を変更している船または飛行機にも適用可能であることに留意されたい。

次に、アプリケーション２０１が、セキュアなエンクレーブ２０２に送信されるべき情報メッセージを送る２２０。署名が、セキュアなエンクレーブによって、電子証明書の秘密鍵を使用して生成される。次に、送信されるべき情報メッセージが、新たに生成された署名と一緒にアプリケーション２０１に戻される２２１。

本発明の一態様によれば、セキュアなエンクレーブに現在格納されている評判レベルは、情報メッセージおよび署名と一緒にアプリケーション２１０に送られることが可能である。その場合、署名は、情報メッセージおよび評判レベルを入力として取り込んで生成されることが可能である。

次に、アプリケーション２０１が、情報メッセージ、署名、および、オプションとして、第１の通信デバイス２００の評判レベルを第２の通信デバイス２１０のアプリケーション２１１に送信する２２２。また、電子証明書の公開鍵が送信されることも可能である。

この段階で、アプリケーション２１１が、受信された情報が認証されたソースから来ていることを確認する。その目的で、それは、受信された署名を、その目的で受信されている公開鍵を使用して検証する。

次に、アプリケーションは、受信された情報メッセージのローカルデータとの整合性を検証する２２３。本発明の或る実施形態によれば、この検証のために使用されるデータは、通信デバイス２１０に関連付けられた少なくとも１つのセンサから来る。例として、接続された自動車は、一般に１つまたはいくつかのセンサを組み込む。このまたはそれらのセンサは、説明の目的でここに提供される、この非限定的なリスト：ビデオカメラ、衛星ナビゲーション受信機、温度センサ、速度センサ、加速度計、赤外線近接センサ、暗視カメラのなかから選択されることが可能である。

或る例によれば、第２の接続された自動車２１０によって受信された情報メッセージが、第１の接続された自動車が急にブレーキをかけたことを示す。第２の接続された自動車２１０は、第１の接続された自動車が実際に強くブレーキをかけたかどうかを評価するために、第１の接続された自動車が現れる、組み込まれたビデオカメラによってキャプチャされた画像を使用することが可能である。

この整合性検証２２３の結果は、フィードバックメッセージをセキュアに生成することを担当する第２の通信デバイス２１０のセキュアなエンクレーブ２１２に送信される２２４。その目的で、セキュアなエンクレーブ２１０は、通信デバイスの製造中にプロビジョニングされている電子証明書に関連付けられた秘密鍵を使用することが可能である。

例えば、フィードバックメッセージは、受信された情報メッセージがローカル情報と整合していること、または整合していないことを示すバイナリデータである。このフィードバックメッセージは、セキュアなエンクレーブ２１２に関連付けられた電子証明書の秘密鍵を使用してフィードバックメッセージ上で生成された電子署名と一緒に送信されること２２５、２２６が可能である。

ひとたびフィードバックメッセージが、第１の通信デバイス２００のアプリケーション２０１によって受信されると、それは、次に、セキュアなエンクレーブ２０２に送信され２２７、第２の通信デバイス２１０のセキュアなエンクレーブ２１２に関連付けられた電子証明書に関連付けられた公開鍵を使用して、認証されることが可能である。ひとたび認証されると、フィードバックメッセージは、セキュアなエンクレーブ２０２によって第１の通信デバイス２００の評判レベルを更新する２２８ために使用される。

或る例によれば、評判レベルｒ＿ｌは、異なるＮ個の値をとることが可能な整数変数である。

フィードバックメッセージが、整合性が肯定的に検証されたことを示す場合、ｒ＿ｌは、以下のとおり更新されることが可能である：
ｒ＿ｌ＝ｒ＿ｌ＋ＩｎｃＳｔｅｐ
ここで、ＩｎｃＳｔｅｐは、ｒ＿ｌを増加させるために使用される正の整数パラメータである。

フィードバックメッセージが、情報メッセージが、第２の通信デバイス２１０によって獲得されたローカルデータと整合していなかったことを示す場合、ｒ＿ｌは、以下のとおり更新されることが可能である：
ｒ＿ｌ＝ｒ＿ｌ−ＤｅｃＳｔｅｐ
ここで、ＤｅｃＳｔｅｐは、ｒ＿ｌを低減させるために使用される正の整数パラメータである。

評判レベルは、第１の通信デバイスのいずれのユーザにもアクセス可能でない第１の通信デバイスのセキュアなエンクレーブによって更新される。

同様に、フィードバックメッセージが、第２の通信デバイス２１０から情報メッセージを受信したときに第１の通信デバイス２００のセキュアなエンクレーブ２０２によって生成される。すると、セキュアなエンクレーブ２１２が、第２の通信デバイス２１０の評判レベルを更新することが可能である。

この機構は、各通信デバイスが、それ自身の評判レベルを自律的に保持することを可能にする。セキュアなエンクレーブは、改ざんを回避する必要なセキュリティを提供する。したがって、本発明は、ピアデバイスが、それらのピアから受信されたフィードバックメッセージを考慮に入れて、それら自身の評判レベルを保持することを可能にする。もはや信頼できない通信デバイスは、その評判レベルが低減されることを経験する。有利なこととして、通信デバイスが旧型である、または欠陥があるゆえにそれが悪意のある人によって変更されているゆえに、誤った情報メッセージを生成する通信デバイスは、その評判レベルが大幅に低減されることを経験する。すると、その他の通信デバイスは、それが信頼できないとみなし、これらの情報メッセージを無視することを決定することが可能である。

さらに、否定的なフィードバックを受信する通信デバイスの所有者は、何かがうまくいっていないこと、例えば、そのセンサのうちの１つが正しく動いていないことのアラートによる情報であってよい。その目的で、否定的なフィードバックの理由を示すアラートメッセージが、フィードバックメッセージと一緒に送信されることが可能である。それは、例えば、情報メッセージの整合性を検証する時点で生成される。

図３は、所与の通信デバイスのセキュアなエンクレーブに保持される評判レベルが、車車間通信のコンテキストにおけるセキュリティを増加させるために、どのように使用されることが可能であるかを示す。

この例によれば、２つの通信デバイスが含まれる。第１の通信デバイスは、接続された自動車３００であり、第２の通信デバイスは、接続されたトラック３０１である。この例において、評判レベルは、１と３０の間に含まれる整数として定義される。接続自動車３００の評判レベルｒ＿ｌ１は、２０に設定され、接続されたトラック３０１の評判レベルｒ＿ｌ２は、３０に設定される。

何らかの時点で、接続された自動車が急にブレーキをかける。その結果、接続された自動車３００において実装されるアプリケーションが、周囲の通信デバイスにこのイベントについて通知するために情報メッセージを生成する。この例によれば、情報メッセージは、デバイスにおいて保持される評判レベルｒ＿ｌ１と一緒に送信される。

ひとたび受信されると、ついで、接続されたトラック３０１に組み込まれたアプリケーションが、受信されたものの内容を解析する。特に、それは、送信者の評判レベルを確認する。或る実施形態によれば、受信された評判レベルｒ＿ｌ１は、受信された情報メッセージが接続側トラック３０１によって考慮されるべきか、または破棄されるべきかを決定する３１１ために使用される。その目的で使用されることが可能な基準の例が、受信された評判レベルを所定の閾値と比較することである。この閾値が１５に設定される場合、および受信されたｒ＿ｌ１値が２０に等しいためこの閾値より大きいとき、送信者は、十分に信頼できるとみなされ、したがって、情報メッセージは、接続されたトラックによって考慮にいれることが可能である。

さらに、図２のお陰で説明されるとおり、受信された情報メッセージの整合性が確認されることが可能である。次に、フィードバックメッセージ３１２が、接続された自動車３００がｒ＿ｌ１を更新するように生成され、接続された自動車３００に送信されることが可能である。例として、情報メッセージは整合しているというフィードバックメッセージの場合、ｒ＿ｌ１値が増加されて２１に設定されることが可能である。反対に、フィードバックメッセージが、送信された情報メッセージの整合性が肯定的に確認されることが可能でなかったことを示す場合、ｒ＿ｌ１値は低減されて１９に設定されることが可能である。

ひとたび情報メッセージの送信者が、その送信された評判レベルに基づいて、十分に信頼できると識別された後、および送信された情報の整合性が成功裏に検証された場合、情報メッセージは、接続されたトラック３０１によって使用されることが可能である。

受信された情報のタイプに依存して、受信された情報の、第２の通信デバイス３０１によってローカルに獲得されたデータとの整合性を検証することが、必ずしも可能であるとは限らないことがあり得る。その場合、いくつかの代替が考慮されることが可能である。第１の代替は、送信された情報の整合性が受信者によって確認されることが可能でないことを示すフィードバックメッセージを生成することである。言い換えると、フィードバックは、中立である（肯定的でも、否定的でもない）として解釈される。別の代替は、この情報メッセージに関してフィードバックメッセージを全く送らないことである。

整合性が検証されることが可能でない場合、この場合、接続されたトラック３０１である、情報メッセージの受信者は、例えば、受信された情報メッセージの整合性が検証されることが可能である場合に使用される閾値より高い事前定義された閾値を使用して、情報メッセージの内容を考慮に入れることを決定することが可能である。

本発明の態様によれば、１つの通信デバイスが、複数の評判レベルに関連付けられることが可能である。その場合、各評判レベルは、サブシステムまたはトピックに関連付けられることが可能である。例えば、所与の接続された自動車に関して、１つの評判レベルが、ブレーキをかけることに関連付けられ、別の評判レベルが、方向の変化に関連付けられる。

図４は、不規則に振る舞う通信デバイスから来るフィードバックメッセージがどのように扱われることが可能であるかを示す表である。

デバイスが、例えば、発展する動作条件に起因して、ときとして正しく、ときとして誤って振舞っているとき、受信されるフィードバックメッセージの内容は、大幅に変化することがあり得る。この通信デバイスの信頼性を表す評判レベルを保持することに関してこのことを考慮に入れるために、フィードバックのカウンタが導入されることが可能である。フィードバックのこのカウンタは、信頼のレベルを計算するために使用される。

図４において、デバイス１は、予期されるフィードバックの１００パーセントを受信している、すなわち、各メッセージにつき１つのフィードバックが受信される。その結果、結果、その信頼のレベルは、１００パーセントである。

デバイス２は、予期されるフィードバックの７５パーセントを受信しており、その結果、その評判の信頼のレベルは、７５パーセントに等しい。

図５Ａおよび図５Ｂは、リプレイ攻撃に対して防御するために通信デバイスによって使用されることが可能な機構の例を示す。

この例によれば、カウンタは、情報メッセージが送信されるたびに所与の通信デバイスによってインクリメントされる。好ましくは、カウンタは、通信デバイスのセキュアなエンクレーブによって保持され、インクリメントされる。

次に、長さＮのアンチリプレイウインドウが定義される。この検証ウインドウは、Ｎ個の連続する情報メッセージに対応する。例えば、カウンタは、情報メッセージが送信されるたびにインクリメントされる。検証ウインドウは、通信デバイスによって送信されたＮ個の情報メッセージに対応するカウンタのインデックスによって、フィードバックメッセージが予期されるＮ個の連続するメッセージを識別する。

図５Ａおよび図５Ｂで提供される例によれば、アンチリプレイウインドウの長さは、５に等しい。カウンタ値「１５４−１５８」に関連付けられたフィードバックメッセージが、Ｎ個の送信された情報メッセージの各々につき１つだけのフィードバックが考慮に入れられるという様態で監視される。代替として、事前定義された最大限Ｍ個のフィードバックメッセージが、各送信された情報メッセージに関して考慮に入れられることが可能である。

例として、カウンタのインデックスは、その関連付けられた情報メッセージと一緒に送信される。次に、評判レベルを更新するために必要な情報と、整合性が検証された情報メッセージのインデックスとを有するフィードバックメッセージが提供される。

次に、アンチリプレイ機構が、以下のとおり適用されることが可能である。

インデックス「１５０」とともに受信されるフィードバックメッセージが受信されたとき、それは、インデックス値がアンチリプレイウインドウの外にあるので、拒否される（考慮に入れられない）。

インデックス「１５９」とともに受信されるフィードバックメッセージが受信されたとき、それは、インデックス値がアンチリプレイウインドウの外にあるので、拒否される。

インデックス「１５６」とともに受信されるフィードバックメッセージが受信されたとき、それは、同一のインデックスに関してフィードバックが既に受信されているので、拒否される。

インデックス「１５４」とともに受信されるフィードバックメッセージが受信された場合、それは、受諾され、通信デバイスの評判レベルに影響を与える。

新たな情報メッセージが送信されたとき、カウンタは、「１５９」にインクリメントされ、ウインドウは、「１５５−１５９」というインデックスが付けられた情報メッセージに対応する。

図６は、複数の車両が同一のエンティティによって制御されるときに、評判レベル更新システムの偽造を回避するために第三者が使用される例を提供する。

本発明のこの実施形態によれば、同一のエンティティによって制御される異なる通信デバイスが、人為的に生成されたフィードバックメッセージによってそれらの評判レベルを操作するのを回避するように設計された機構が提供される。この例によれば、４つのセキュアなエンクレーブ５１１−５１４をそれぞれ組み込む４つの通信デバイス５０１−５０４が、それらのフィードバックメッセージ５２０、５３０、５３３、５３６、５３７を別の通信デバイス５００に提供している。通信デバイス５００のセキュアなエンクレーブ５１０は、その評判レベルを保持する責任を負う。

フィードバックメッセージは、その発信者の識別子、例えば、セキュアなエンクレーブ５１１−５１４に格納された秘密鍵を使用して生成された署名に関連付けられる。

この例において、外部の信頼できる機関５４０が、カウンタを保持する一方で、通信デバイスは、カウンタ閾値を格納する。この閾値は、通信デバイス５００がその評判レベルを増加させることができる前に、同一の情報メッセージに関して受信される肯定的なフィードバックの数を定義する。

通信デバイス５００が、フィードバックメッセージを受信したとき、それは、そのフィードバックメッセージを、所与の情報メッセージに関してカウンタをインクリメントする責任を負う信頼できる機関５４０に転送する。この例によれば、自動車５０１は、その発信者の識別子に関連付けられた肯定的なフィードバックメッセージ５２０を、通信デバイス５００に送信し、次に、それは、外部の信頼できる機関５４０に送信される５２１。信頼できる機関は、同一の情報メッセージに関して３つの肯定的なフィードバックを既に受信しており、５２１が、通信デバイス５０１から受信された第１番目である。その結果、外部の信頼できる機関は、この情報メッセージに関して保持されるカウンタを３から４にインクリメントする。次に、メッセージが、通信デバイス５００に返送される５２２。

同一の機構が、通信デバイス５０２が、通信デバイス５００に、同一の情報メッセージに関する肯定的なフィードバックメッセージ５３０を提供するときに適用される。それは、外部の信頼できる機関５４０に送信され５３１、カウンタが、５にインクリメントされ、次に、その値が、通信デバイス５００に送信される５３２。

この例において、同一の情報メッセージに関して第２の肯定的なフィードバックが、５０２によって送られる５３３。第２の肯定的なフィードバックは、外部の信頼できる機関５４０に送信される５３４が、その場合、カウンタは、同一の情報メッセージに関して肯定的なフィードバックが５０２から既に受信されているので、インクリメントされない。次に、５に等しいままであるカウンタ値が、通信デバイス５００に送信される５３５。

また、通信デバイス５０３も、通信デバイス５００に、同一の情報メッセージに関する肯定的なフィードバックメッセージ５３６を提供する。それは、外部の信頼できる機関５４０に送信され５３７、カウンタが、６にインクリメントされ、その値が、通信デバイス５００に送られる５３８。この段階で、５００によって格納された閾値に達し、このことが、通信デバイス５００の評判レベルの更新をトリガする。

今や、この情報メッセージに関する閾値に達したので、他の通信デバイス５０４から受信された５３７他の肯定的なフィードバックは、外部の信頼できる機関５４０にもはや送信されない。

Claims (14)

1. 第１の通信デバイス（１００、２００）の評判レベルを管理するための方法であって、前記評判レベル（１０３）が、前記第１の通信デバイス（１００、２００）に組み込まれた第１のセキュアなエンクレーブ（１０２、２０２）に格納され、方法は、
   第２の通信デバイス（１１０、２１０）により、第１の通信デバイス（１００、２００）から情報メッセージを受信するステップ（２２２）と、
   情報メッセージが、第２の通信デバイス（１１０、２１０）に組み込まれたセンサから獲得されたデータと整合していることを、第２の通信デバイス（１１０、２１０）により検証するステップ（２２３）と、
   第２の通信デバイス（１１０、２１０）により、第１の通信デバイス（１００、２００）の第１のセキュアなエンクレーブ（１０２、２０２）のために、情報メッセージが整合しているかどうかを示すフィードバックメッセージを生成するステップと、
   フィードバックメッセージを第１の通信デバイス（１００、２００）に、第１のセキュアなエンクレーブがこのフィードバックメッセージにしたがってその評判レベルを更新するように、第２の通信デバイス（１１０、２１０）により送信するステップと
   を備える、方法。
2. 第１の通信デバイス（１００、２００）の評判レベルが、第２の通信デバイス（１１０、２１０）によって情報メッセージと一緒に受信され、受信された評判レベルが事前定義された閾値より大きい場合、情報メッセージが、第２の通信デバイス（１１０、２１０）によって信頼できる情報とみなされる、請求項１に記載の方法。
3. 情報メッセージが、第１のセキュアなエンクレーブ（１０２、２０２）によってセキュリティ鍵を使用して生成された署名と一緒に受信され、前記第１のセキュアなエンクレーブ（１０２、２０２）が、セキュリティ鍵を格納し、方法が、第２の通信デバイス（１１０、２１０）により、第１の通信デバイス（１００、２００）を前記情報メッセージの発信者として認証するためにセキュリティ署名を検証するステップを含む、請求項１または２に記載の方法。
4. フィードバックメッセージが、情報メッセージが、第２の通信デバイスに組み込まれたセンサから獲得されたデータと整合している場合、肯定的であり、またはそうでない場合、否定的である、のいずれかである、請求項１から３のいずれか一項に記載の方法。
5. 第１の通信デバイスの評判レベルが、肯定的なフィードバックメッセージを受信したとき、増加される、請求項４に記載の方法。
6. 第１の通信デバイスの評判レベルが、否定的なフィードバックメッセージを受信したとき、低減される、請求項４に記載の方法。
7. 第１の通信デバイス（１００、２００）の評価レベル（１０３）を格納する第１のセキュアなエンクレーブ（１０２、２０２）を備える、前記第１の通信デバイスであって、
   第２の通信デバイス（１１０、２１０）に情報メッセージを送信し、
   第２の通信デバイス（１１０、２１０）によって生成され、第２の通信デバイス（１１０、２１０）に組み込まれたセンサから獲得されたデータとの情報メッセージの整合性の、前記第２の通信デバイス（１１０、２１０）によって行われた検証の結果を表すフィードバックメッセージを受信し、
   第１のセキュアなエンクレーブにより、受信されたフィードバックメッセージにしたがって評判レベル（１０３）を更新する
   ように構成された、第１の通信デバイス。
8. その評判レベルが事前定義された閾値より大きい場合に限って、第２の通信デバイス（１１０、２１０）によって考慮に入れられるべき、情報メッセージに関する前記評判レベルと一緒に前記情報メッセージを送信するように構成される、請求項７に記載の第１の通信デバイス。
9. 送信された最新のＮ個の連続する情報メッセージに対応する、長さＮのスライディングウィンドウが、これらＮ個の情報メッセージに対応するフィードバックメッセージだけが前記第１の通信デバイスの評判レベルを更新するために考慮に入れられるように使用される、請求項７または８に記載の第１の通信デバイス。
10. 最大限Ｍ個のフィードバックメッセージが、所与の情報メッセージに関して考慮に入れられる、請求項９に記載の第１の通信デバイス。
11. 第２の通信デバイス（１１０、２１０）であって、
    第１の通信デバイス（１００、２００）の評判レベル（１０３）を格納する第１のセキュアなエンクレーブ（１０２、２０２）を備える前記第１の通信デバイス（１００、２００）から情報メッセージを受信し、
    情報メッセージが、第２の通信デバイス（１１０、２１０）に組み込まれたセンサから獲得された少なくとも１つのローカルデータと整合していることを検証し、
    情報メッセージが整合しているかどうかを示すフィードバックメッセージを生成し、前記フィードバックメッセージを、第１の通信デバイス（１００、２００）の第１のセキュアなエンクレーブ（１０２、２０２）が評判レベルを更新するように、第１の通信デバイス（１００、２００）に送信する
    ように構成された第２の通信デバイス。
12. 第１の通信デバイス（１００、２００）が第２の通信デバイス（１１０、２１０）を認証することができるように、フィードバックメッセージ（１１２、２１２）と一緒に送信されるべきセキュリティ署名を生成するように構成された第２のセキュアなエンクレーブ（１１２、２１２）を備える、請求項１１に記載の第２の通信デバイス（１１０、２１０）。
13. 少なくとも、請求項７から１０のいずれか一項に記載の第１の通信デバイスと、請求項１１または１２に記載の第２の通信デバイスとを備える、通信システム。
14. コンピュータプログラムが請求項１１または１２に記載の第２の通信デバイスによって実行されたとき、コンピュータに、請求項１から６のいずれか一項に記載の方法のステップを遂行させる命令を備える、コンピュータプログラム。

Images