JP7136903B2

JP7136903B2 - デジタル認証書を管理するための暗号化方法及びそのシステム

Info

Publication number: JP7136903B2
Application number: JP2020542713A
Authority: JP
Inventors: アー．シンプリシオジュニオールマルコス; ロペスコミネッティエドゥアルド; カップウェイドパティルハーシュ; エー．リカルディニフェルナンデスジェフェルソン; ビニシウスエミ．シルバマルコス
Original assignee: LG Electronics Inc
Current assignee: LG Electronics Inc
Priority date: 2017-10-22
Filing date: 2018-10-19
Publication date: 2022-09-13
Anticipated expiration: 2038-10-19
Also published as: US20200119930A1; JP2022125256A; CN111684760B; EP3701669B1; EP4254248A2; CN111684760A; US20210250184A1; US11018877B2; US20190123915A1; US11930123B2; WO2019079770A1; EP3701669A4; EP4254248A3; US10536279B2; JP2021500832A; EP3701669A1

Description

発明者：ＭａｒｃｏｓＡ．ＳｉｍｐｌｉｃｉｏＪｒ．，ＥｄｕａｒｄｏＬｏｐｅｓＣｏｍｉｎｅｔｔｉ，ＨａｒｓｈＫｕｐｗａｄｅＰａｔｉｌ，ＪｅｆｆｅｒｓｏｎＥ．ＲｉｃａｒｄｉｎｉＦｅｒｎａｎｄｅｚ，ＭａｒｃｏｓＶｉｎｉｃｉｕｓＭ．Ｓｉｌｖａ
［関連出願の相互参照］

本出願は、この明細書に参照のために組み込まれ、２０１７年１０月２２日に出願された米国特許仮出願６２／５７５,５１４“車両通信の保安”及び２０１８年１０月１９日に出願された米国特許出願１６／１６５,８７１に基づいて優先権を主張する。
［著作権案内］

この特許書類開示の一部には、著作権保護の対象となる資料が含まれている。著作権所有者は、特許庁の出願ファイル又は記録に記載されているように、特許書類又は特許開示のいかなる者によるファクシミリ複製にも異議がないが、その他の点では全ての著作権を留保する。

本発明は、歩行者、スマートフォン、トラフィック信号及びその他の基盤施設だけではなく、自動車、トラック、汽車及び可能なその他の車両のうち、交通関連通信を含む保安通信に関する。

最近、モノインターネット(ＩｏＴ)として知られた物理的客体に内装されたデジタル技術が急増している。このようなトレンドは、車両対車両(Ｖ２Ｖ)、車両対インフラ(Ｖ２Ｉ)及び車両対歩行者(Ｖ２Ｐ)、総合して車両対事物(Ｖ２Ｘ)通信と呼ばれる相互作用モデルに対する探求に関心が増加した自動車産業にも至っている。Ｖ２Ｘは交通安全、効率及び人間対機械の相互作用を向上させることを目標とするいくつかの適用を可能にする。例えば、Ｖ２Ｘによって、車両は運転者に適当な速度を維持しながら、他の車両との安全距離を維持するようにする情報(例えば、速度、方向及び制動状態)を交換したり、通信したりすることができる。

実際にアメリカ交通局では、自動車、バス、トラック、汽車、道路及びその他のインフラ、そして人々のスマートフォン及びその他の装置が互いに‘対話’できるようにする技術をテストして評価するための“接続車両”プログラムに着手している。高速道路上で自動車は、例えば、近距離無線信号を互いに通信するように使用して、道路上の全ての車両は近所に他の車両があることを知ることができる。運転者はカーブの向こうの見えないところの交差路近所の自動車又は近づく自動車がある時、だれかが道路上の事物を避けるために彼らの車線に方向を変更して赤信号に走行するような危険な状況に関する案内及び警報を受けることができる。ｈｔｔｐｓ：／／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｃｖ＿ｂａｓｉｃｓ／ｃｖ＿ｂａｓｉｃｓ＿ｗｈａｔ.ｈｔｍのアメリカ交通局。“接続した車両は道路及び高速道路上で事故による死亡者及び重傷者の数を急に減少させることができる。また接続した車両は交通オプションを増加させ、走行時間を減少させることができる。トラフィックマネージャーは進和した通信データによって、トラフィックの流れを容易に統制して、増加する混雑を防止又は減少させることができる。これにより、燃料の消耗、燃料の排出を減らして、環境にも重要な影響を及ぼすことができる”

Ｖ２Ｘ技術及び接続した車両は増加した安全、トラフィック流れ、効率などの約束を提供する一方、かかる技術の大規模展開は若干の挑戦、特に、保安及びプライバシー関連問題の処理を必要とする。特に、Ｖ２Ｘ構造では、(１)車両間交換メッセージが合法的であり、ユーザーの不正行為を禁止していることを保証し、(２)正直なユーザーの匿名性を維持するため、他の車両やシステム自体によってその動きを簡単に追跡できないことが期待される。

このセクションでは、発明のいくつかの特徴を要約する。他の特徴については、後続のセクションで説明する。この発明は、参照のためにこのセクションに含まれた添付の請求範囲によって定義される。

本発明のいくつかの実施例は、高い保安力を提供しながら、証明書発行過程の処理及び帯域幅コストを削減する証明書管理技術を提供する。

この出願のシステム及び方法が動作する環境を表す図である。例示の環境への使用のためのコンピューティングデバイスを示すブロック図である。例示の環境において車両及びその他の装置のうち、通信の表現を示す図である。メッセージ認証のためのデジタル認証書を例示する図である。メッセージ認証のためのデジタル認証書を例示する図である。メッセージ認証のためのデジタル認証書を例示する図である。デジタル認証書の管理に適合するコンピューターシステムを示すブロック図である。デジタル認証書を生成するための従来技術の過程を示すフローチャートである。デジタル認証書を生成するための従来技術の過程を示すフローチャートである。デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。従来技術に関連する本発明のいくつかの実施例の推定費用を示す図である。デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。従来技術及び本発明のいくつかの実施例によるデジタル認証書の生成のための方法を示す比較表である。従来技術及び本発明のいくつかの実施例によるデジタル認証書の生成のための方法を示す比較表である。

観点、実施形態、具現又は出願を説明する本明細書及び添付の図面は、請求範囲が保護する発明を定義するものであり、制限して解釈してはいけない。様々な機械的、構成的、構造的、電気的及び動作的の変化は、本説明及び請求の範囲の思想及び範囲から逸脱しない範囲内で変更することができる。いくつの場合、周知の回路、構造又は技術は当業者に知られているので、詳しい説明及び図示を省略する。２つ以上の図において、類似する図面番号は同一又は類似する構成要素を示す。

この明細書には、本出願と一致するいくつかの実施例を説明する具体的な事項が提示されている。実施例に関する完全な理解のために、多い具体的な事項が提示されている。いくつかの実施例が具体的な事項の一部又は全部なしに実施可能であることは、当該技術分野における通常の知識を有する者にとって明らかである。ここに開示する特定の実施例は制限的に解釈してはいけず、例示的なものとして考えなければならない。当該技術分野における通常の知識を有する者であれば、ここに具体的に説明していないが、本発明の範囲及び思想内における他の構成要素を認識することができる。また、不要な繰り返しを避けるために、実施例に関連して説明された一つ以上の特徴は、特に言及しない限り又は一つ以上の特徴が非機能的な実施例を形成する場合、他の実施例と併合することができる。
例示の環境

図１は本出願のシステム及び方法が動作できる環境を示す。図１は車両１１０Ｖ(自動車、トラック、可能な他のタイプ、例えば、汽車又は自転車)、歩行者１１０Ｐ、路辺の装備１１０Ｌ(例えば、近距離通信及び遠距離通信のためのハブ(ｈｕｂ)又はゲートウェイに従うトラフィック信号)のような様々なエンティティ又はオブジェクトとの複雑な交差点を示す。オブジェクト又はエンティティ１１０(１１０Ｖ、１１０Ｌ、１１０Ｐなど)は各々、スマートフォン、自動車情報装置又はその他のコンピューティングデバイスのような装備を運んだり含んだりする。各々のコンピューティングデバイスを用いて、オブジェクト又はエンティティ１１０は、情報、座標などを共有するために通信する(例えば、無線で)。各々の車両１１０Ｖは、例えば、自分の位置、速度、加速度、路線、方向、天気情報などをブロードキャストすることができる。かかるブロードキャストにより交通渋滞、事故、滑らかな道路条件に関するアドバンス情報を得て、各車両は他の車両がどこにあるかを把握することができる。これに対応して、かかる情報の車両受信器は、彼らの運転者に運行を中断したり、減速したり、路線を変更したり、又は迂回の助言を提供するために警報を発することができる。トラフィック信号は、車両及び／又はその他のオブジェクト１１０によりブロードキャストされるトラフィック条件に基づいて自動に調整できる。

図２は図１の環境において、例えば、通信及び調整などのために車両又はその他のエンティティ及びオブジェクトにより使用されるコンピューティングデバイス１５０の実施例を示す。図２に示すように、コンピューティングデバイス１５０は、コンピューター貯蔵庫(メモリ)１５０Ｓに接続する一つ以上のコンピュータープロセッサ１５０Ｐと、無線通信のための無線通信装備１５０Ｗとを含む。コンピューティングデバイス１５０の動作は、コンピューティングデバイス１５０Ｐにおいて、一つ以上の中央処理装置、マルチ－コアプロセッサ、マイクロプロセッサ、マイクロコントローラ、デジタル信号処理器、フィールドプログラム可能なゲートアレイ(ＦＰＧＡｓ)、アプリケーション特定の集積回路(ＡＳＩＣｓ)、グラフィックプロセシングユニット(ＧＰＵｓ)、テンソル(ｔｅｎｓｏｒ)プロセシングユニット(ＴＰＵｓ)、及び／又はその他の具現可能なプロセッサ１５０Ｐにより制御される。

メモリ１５０Ｓは、コンピューティングデバイス１５０及びコンピューティングデバイス１５０の動作時に使用される一つ以上のデータ構造により実行されたソフトウェアを貯蔵するために使用される。メモリ１５０Ｓは、一つ以上の機械読み取りメディアタイプを含む。機械読み取りメディアのいくつの共通様式は、フロッピーディスク、フレキシブルディスク、ハードディスク、マグネチックディスク、その他のマグネチックミディアム、ＣＤ－ＲＯＭ、その他の光学ミディアム、パンチカード、ペーパーテープ、ホールのパターンからなるその他の物理的媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＦＬＡＳＨ－ＥＰＲＯＭ、その他のメモリチップ又はカートリッジ、及び／又はプロセッサ又はコンピューターが読み取るように順応されたその他のミディアムを含む。

プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、適合する物理的配置で設けられる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、同じボード上、同じパッケージ(例えば、パッケージ内のシステム)、同じチップ(例えば、チップ上システム(ｓｙｓｔｅｍ－ｏｎ－ｃｈｉｐ)、及び／又はその他に具現されることができる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、分散した、仮想化された、及び／又はコンテナーに輸送されたコンピューティングリソースを含む。これらの実施例と一致して、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、一つ以上のデータセンター及び／又はグラウトコンピューティングの設備に位置することができる。いくつかの例示において、メモリ１５０Ｓは、コンピューティングデバイス１５０が単独で又は環境内の他のコンピューティングデバイスに連関して、この明細書でさらに説明される方法のいずれかを行うようにする、一つ以上のプロセッサ(例えば、プロセッサ１５０Ｐ)により実行される時、実行可能なコードを含む、一時的ではない、実存する機械読み取りメディアを含む。

コンピューティングデバイス又は装備１５０は、歩行者、車両の運転者、乗客、トラフィックマネージャー及びその他の人による使用のためのユーザインターフェース１５０ｉ、例えば、スマートフォン内のユーザインターフェース１５０i、自動車情報装置又はその他の装置の自動車情報装置を含む。

図３はＶ２Ｘ又は接続した車両技術により相互作用するエンティティ又はオブジェクト１１０又はこれらのコンピューティングデバイス１５０(オブジェクト１１０、ユーザ１１０、装備１５０は、混同がない時に相互作用して使用できる)のための通信技法の例を示す。場面３０８において、車両１１０Ｖは凍りついた路面に直面する。

車両１１０Ｖは、車両１１０Ｖ内又は車両１１０Ｖの周辺における急な制動、空回り、潜在的衝突などの条件をセンシングするための加速度計、制動モニタ、オブジェクト探知機、ＬＩＤＡＲなどの一つ以上のセンサーを含むか又は合体することができる。かかるセンサを用いて、車両１１０Ｖは、例えば、場面３０８において、凍り付いた路面を探知することができる。これらのセンサは、コンピューティングデバイス又は装備１５０(図２)に情報を提供して自動にブレーキを適用し、ステアリングを調整してユーザが反応すべき場合にディスプレイ１５０ｉによりユーザに知らせることによりアクションを取ることができる。コンピューティングデバイス１５０は、これらのセンサにより提供された情報に関する診断又は分析を行うオン・ボード診断モジュール１６８を備える。

車両１１０Ｖ上において、複数の装備部品が基本安全メッセージ(ＢＳＭ)及び／又はその他のメッセージを相互又は他の車両と交換しながら通信する。ＢＳＭメッセージは、参照のために含まれた、Ｗｈｙｔｅｅｔａｌ.，“Ｖ２Ｖ通信のための保安資格マネジメントシステム”、ＩＥＥＥＶｅｈｉｃｕｌａｒＮｅｔｗｏｒｋｉｎｇＣｏｎｆｅｒｅｎｃｅ、２０１３、ｐｐ.１－８、及びＣＡＭＰ、“保安資格マネジメントシステム概念の検証を具現－ＳＣＭＳソフトウェアリリース１．１を支援するＥＥ要件及びスペック”車両安全通信コンソーシアム、Ｔｅｃｈ. Ｒｅｐ.，２０１６年５月(利用可能な資料：ｈｔｔｐｓ：Ｆ／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｐｉｌｏｔｓ／ｐｄｆ／ＳＣＭＳ_ＰＯＣ＿ＥＥ＿Ｒｅｑｕｉｒｅｍｅｎｔｓ.ｐｄｆ)に詳しく記載されている。

車両又はその他のオブジェクト１１０は、例えば、ＧＰＳ衛星１１７０又はセルラー三角測量を用いて、その位置を得ることができる。また車両１１０Ｖは、いくつかの実施例において、モバイルフォンのようなダイレクト近距離通信(ＤＳＲＣ)無線及び非－ＤＳＲＣ無線装備を含む通信装備１５０Ｗを含む。従って、車両はセルラーシステム又は路辺の装備(ＲＳＥ)１１０ＲＳＥにより直接、即ち、中間ネットワークスイッチを介さず、通信することができる。ＲＳＥは他のネットワーク、例えば、インターネットにゲートウェイのように作用することができる。この通信装備１５０Ｗを用いて、車両１１０はＶ２Ｘ及び接続した車両環境において、他の車両、エンティティ、オブジェクト１１０とＢＳＭメッセージ及びその他の情報を通信することができる。従って、車両１１０Ｖ／１６０は、場面３０８において、他のパートに凍り付いた路面の環境を知らせることができる。これと同様に、他の車両１１０は場面１０２０に位置することができ、該当場面において他の車両に冬の保持動作を警告することができる。

トラフィックマネジメントシステム１１０Ｌは、例えば、道路又は路辺、高速道路、横断歩道などに位置する停止信号、横断歩道信号などの装備を備えて、車両、人又はその他のオブジェクト及びエンティティの交通を管理し、制御することができる。トラフィックマネジメントシステム１１０Ｌは、コンピューティングデバイス１５０、センサ、ユーザインターフェース、通信装備などを含み、車両１１０Ｖと同一又は類似する装備を含む。

コンピューターシステム３１６は、Ｖ２Ｘ又は接続された車両の技術環境において、車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０に送信されるか、又は車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０から受信された情報に対して、これら各々のコンピューティングデバイス１５０と共に処理し、集合させ、発生させ又は作動させる。図示したものは走行情報システム３１８である。コンピューターシステム３１６は、例えば、一つ以上のサーバーに具現されるか又は併合される。かかるコンピューターシステム３１６は、例えば、位置及びマップ情報、走行指示、トラフィック警報及び警告、路辺のサービス(例えば、ガソリンスタンド、食堂、ホテルなど)に関する情報を提供又は支持する。かかるコンピューターシステム３１６は、例えば、トラフィック信号上でシグナリングを調整し、トラフィックを変更し、警報又は警告をポスティングしてオブジェクトを管理するために、環境において様々な車両、エンティティ及びオブジェクト１１０から情報を受信し、情報を処理して、環境により情報又は指示を通信する。

接続された車両又はＶ２Ｘ技術環境において、かかる通信能力は潜在的にエラー及び乱用に弱い。悪意のあるユーザ１１０(例えば、車両運営者又はトラフィックマネージャー)及び／又は欠陥のある装備１５０が偽り又は不正確な情報を他の車両に送信して、トラフィックに悪い影響を及ぼすことができる。かかる否定行為から保護するために、例えば、公開キーインフラ(ＰＫＩ)を用いて通信を認証する必要がある。ＰＫＩにおいて、各車両１１０Ｖ又はその他の装備は、個人キー(例えば、メッセージを署名するための)及び公開キーで備えられる。公開キーは公共に分散されるが、個人キーは秘密が保障される。

図４、図５Ａ及び図５Ｂは、接続車両又はＶ２Ｘ技術環境において、メッセージ認証のために使用できるデジタル認証書の例を示す。図４を参照すると、デジタル認証書１６０が示されている。

デジタル認証書１６０は多数のフィールド又はパラメータを有する。いくつかの実施例において、かかるフィールド又はパラメータは、認証書の有効期間１６５、署名スキームの識別及びその他の認証書ＩＤ１６１、ユーザＩＤ１６２(例えば、車両ＩＤ番号又はユーザＥメールアドレス)、車両(又はユーザ)の公開キー１６４及び可能な他のパラメータ(メタデータとも呼ばれる)を含む。また認証書１６０は、署名自体を除いた認証書の全分野に対して認証機関(ＣＡ)により形成された署名を含む。ＣＡは、例えば、コンピューター３１６上に存在するか、又はコンピューター３１６で具現される。

デジタル認証書１６０は、公開キー１６４を認証するために車両１１０Ｖに発行される。車両１１０Ｖは、車両の認証書１６０を車両により送信された各メッセージに付着する。メッセージ１７０は、メッセージボディー又はコンテンツ１７１及び個人キーを用いて車両により生成されたデジタル署名１７２を含む。メッセージ受信者は、ＣＡの公開キーを使用して署名１６６を確認し、公開キー１６４を含む認証書１６０を認証する。その後、受信者はメッセージ署名１７２を確認するために、公開キー１５４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６６及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。

車両が否定行為をすると(悪意のある又は故障により)、車両の認証書１６０が撤回される。例えば、ＣＡは有効期間１６５の満了後、新しい認証書を発行しない。有効期間１６５はメッセージ受信者が満了した認証書を検出するために使用することができる。

かかるスキームの不利益は、潜在的にユーザのプライバシーを含む、車両の送信が遮断されると、車両は認証書ＩＤ１６１又は車両により送信されたユーザＩＤ１６２をトラッキングして追跡される。ユーザのプライバシーを保護するために、ユーザにはＩＤ１６１及び１６２の代わりに、ランダムに見えるストリング(“仮名”)からなる多数の仮名認証書１６０ｐ(図５Ａ)が発行される。その後、車両はメッセージ送信に認証書１６０の代わりに仮名認証書を使用する。車両はトラッキングを避けるために、他のメッセージに対する他の仮名認証書を自動に使用することができる。

図５Ａはメッセージ１７０を伴う仮名認証書１６０ｐを示す。この認証書は仮名の認証機関(ＰＣＡ)により生成される。仮名１６４はＵで示され、認証書ＩＤ及び公開キーの役割を果たす。認証書１６０ｐは図４の認証書１６０と同様に、有効期間１６５、署名スキームの識別、ＰＣＡ署名１６７及びその他のパラメータを含む。仮名認証書１６０ｐは後述するように、認証書撤回のために使用された連鎖値(ｌｖ)(ｌｉｎｋａｇｅ値)を含む。

車両は、車両の仮名認証書１６０ｐのうちの一つを車両により送信された各メッセージ１７０に付着する。メッセージ受信者は、ＰＣＡ署名を確認するためにＰＣＡの公開キーを使用し、メッセージ署名１７２を確認するために仮名１６４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６７及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。かかる仮名認証書は保安資格管理システム(ＳＣＭＳ)で使用され、Ｗｈｙｔｅｅｔａｌ.に提案されており、その後にＣＡＭＰに拡張される。

“暗示的な認証書”と呼ばれる変異(図５Ｂ)において、公開キーＵの代わりに、仮名フィールド１６４はＶで示され、ＰＣＡの公開キーを有する誰かが認証書の公開キーＵを誘導するように許容する“資格(ｃｒｅｄｅｎｔｉａｌ)”データ(又は“公開キー復元”データ)である(Ｕは認証書１６０ｐに貯蔵される)。例えば、この明細書に参照のために含まれた“Ｃｅｒｔｉｃｏｍ. Ｓｅｃ４Ｖ１．０：ＥｌｌｉｐｔｉｃｃｕｒｖｅＱｕ－Ｖａｎｓｔｏｎｅ、暗示的な認証書スキーム(ＥＣＱＶ)。技術リポート、Ｃｅｒｔｉｃｏｍリサーチ、２０１３．ｈｔｔｐ:／／ｗｗｗ.ｓｅｃｇ.ｏｒｇ／ｓｅｃ４－１．０.ｐｄｆ”、(“Ｃｅｒｔｉｃｏｍ” ｂｅｌｏｗ)を参照。

メッセージ受信者は、メッセージ署名１７２を確認する必要がある時、まず仮名１６４(Ｖ)及びＰＣＡ公開キーからユーザの公開キーＵを再構成した後、署名を確認するために、ユーザの公開キーＵを使用する。かかる過程ではＰＣＡ公開キーを使用するので、認証書１６０ｐを処理したユーザからのものであり、メッセージ１７０を認証するだけではなく、ＰＣＡ２１０により認証されたものとして認証書１６０ｐを確認することができる。従って、特にＰＣＡの署名１６７が不要であり、省略されて認証書のサイズを減少させる。Ｃｅｒｔｉｃｏｍを参照。

保安資格管理システム(ＳＣＭＳ)
保安資格管理システム(ＳＣＭＳ)は、Ｖ２Ｘのための様々な仮名基盤の保安解決策のうち、最も優れた解決策である。実際、アメリカでＳＣＭＳはＶ２Ｘ－Ｖ２Ｖ及びＶ２Ｉ通信を保護するための先頭の車両公開－キーインフラ(ＶＰＫＩ)候補デザインの一つである。ＳＣＭＳは与えられた任意の認証書管理エンティティがエンティティそれ自体によってデバイス１１０，１５０をトラッキングすることを防止しながら、その他のシステムエンティティと衝突せず、取り消し可能なプライバシーを処理することができる。これにより、ＳＣＭＳでは、システムのエンティティが“ｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ”として考慮できる、即ち、この文書に参照として含まれた、Ｋｈｏｄａｅｉｅｔａｌ.，“知能型交通に対するキー：車両通信システムにおける身元及び資格管理”、ＩＥＥＥＶｅｈｉｃｕｌａｒＴｅｃｈｎｏｌｏｇｙＭａｇａｚｉｎｅ、ｖｏｌ.１０、ｎｏ．４、ｐｐ．６３－６９、Ｄｅｃ２０１５に説明されているように、エンティティが正確なプロトコルに従うが、感知できない方式で行われば、車両を追跡できる脅威モデルをエレガントにアドレスしながら、Ｖ２Ｘの保安要求をコピーすることができる。

便宜上、表IはＶ２Ｘ、接続車両及び／又はＳＣＭＳを含む関連環境について、この出願で採択した一般表記及びシンボルのリストを含む。

ｓｔｒ_１||ｓｔｒ_２はビットストリングｓｔｒ_１及びｓｔｒ_２の連結を示すために使用される。ｅｎｃ(キー、ｓｔｒ)はビットストリングｓｔｒのキーへの暗号化を示し、この暗号化は２００１年１１月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ(ＮａｔｉｏｎａｌＩｎｓｔｉｔｕｔｅｏｆＳｔａｎｄａｒｄｓ及びＴｅｃｈｎｏｌｏｇｙ)、進化した暗号化標準(ＡＥＳ)、ＦＩＰＳＩ９７(ＦｅｄｅｒａｌＩｎｆｏｒｍａｔｉｏｎＰｒｏｃｅｓｓｉｎｇＳｔａｎｄａｒｄ)に詳しく説明されているように、ＡＥＳのような標準ブロック暗号を用いて行われることができる。利用可能な資料：ｈｔｔｐ：／／ｃｓｒｃ.ｎｉｓｔ.ｇｏｖ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｆｉｐｓ／ｆｉｐｓ１９７／ｆｉｐｓ－Ｌ９７.ｐｄｆ。これと同様に、ｈａｓｈ(ｓｔｒ)はｓｔｒのハッシュ(ｈａｓｈ)を示し、この文書に参考のために含まれた、２０１５年８月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ、ＦＩＰＳ１８０－４－ＳｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ(ＳＨＳ)、ＤＯＩ：Ｌ０．６０２８／ＮＩＳＴ.ＦｌＰＳ.１８０－４、及び２０１５年８月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ、ＦＩＰＳ２０２－ＳＨＡ－３Ｓｔａｎｄａｒｄ：Ｐｅｒｍｕｔａｔｉｏｎ－ＢａｓｅｄＨａｓｈ及びＥｘｔｅｎｄａｂｌｅ－ＯｕｔｐｕｔＦｕｎｃｔｉｏｎｓ、ＤＯＩ：１０．６０２８／ＮＩＳＴ.ＦｌＰＳ.２０２に詳しく説明されているように、ＳＨＡ－２又はＳＨＡ－３のような標準ハッシュ機能を利用する。

与えられたストリングｓｔｒのバイト(ｂｙｔｅｓ)長さは|ｓｔｒ|で示す。“Ｇ_Ｅ”で示した楕円形の曲線グループ(さらに表記された)の生成ポイントをＧで示す。

ＳＣＭＳにおいて、各々のデバイス１１０，１５０は２つのタイプの認証書を受信する、長い有効期間Ｔを有し、システムにおいて有効なデバイスを識別する登録認証書１６０、及び多数の仮名認証書１６０ｐ。各々の仮名認証書はσ≧１の仮名認証書が同時に有効な方式で短い有効期間(例えば、数日)を有する。プライバシーを保護するために、特定の車両が車両通信に使用する仮名認証書を頻繁に変更するので、近所の車両又は路辺の装置によるトラッキングを避けることができる。実際に、一つの車両がシステムにより利点を得ることを目標とするプラトーン(ｐｌａｔｏｏｎ)として姿勢を取る“ｓｙｂｉｌ－ｌｉｋｅ”攻撃を避けるために、σの値を小さい数に制限することが有用である。(この攻撃は、参考のために含まれた、２００２年１月、Ｓｐｒｉｎｇｅｒ、Ｐｒｏｃｅｅｄｉｎｇｓｏｆ１ｓｔＩｎｔｅｒｎａｔｉｏｎａｌＷｏｒｋｓｈｏｐｏｎＰｅｅｒ－ｔｏ－Ｐｅｅｒｓｙｓｔｅｍｓ(ＩＰＴＰＳ)。Ｄｏｕｃｅｕｒ、“ＴｈｅＳｙｂｉｌ攻撃”に詳しく説明されている。利用可能な資料：ｈｔｔｐｓ：／／ｗｗｗ.ｍｉｃｒｏｓｏｆｔ.ｃｏｍ／ｅｎ－ｕｓ／ｒｅｓｅａｒｃｈ／ｐｕｂｌｉｃａｔｉｏｎ／ｔｈｅ－ｓｙｂｉｌ－攻撃／)(参考のために含まれた、Ｍｏａｌｌａｅｔａｌ.，“ＲｉｓｋａｎａｌｙｓｉｓｓｔｕｄｙｏｆＩＴＳｃｏｍｍｕｎｉｃａｔｉｏｎａｒｃｈｉｔｅｃｔｕｒｅ,”３ｒｄＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ及びＴｈｅＮｅｔｗｏｒｋｏｆｔｈｅＦｕｔｕｒｅ、２０１２、ｐｐ．２０３６－２０４０を参照)。例えば、このようなフェイクプラトーンは結局、混雑な道路に高い優先権を付与するためにプログラムされた信号灯から優先権を与える処理を受信する。
ＳＣＭＳ構造の例

図６はＳＣＭＳの例示的なコンピューターシステム構造の環境を示す。ＳＣＭＳは車両所有者の否定行為があった場合、多数の仮名認証書を容易に撤回するメカニズムを提供しながら、多数の仮名認証書を車両に効率的な方式で分配するように設計されている。

ＳＣＭＳにおいて、登録機関(ＲＡ)２２０は、仮名認証書集団１６０ｐを車両又はオブジェクト１１０／１５０に提供する。バタフライ・キーの拡張過程において、車両から受信された単一の要求から集団(ｂａｔｃｈ)が生成される。ＰＡ２２０は、車両の登録認証書１６０により車両要請を有効化する。登録認証書に加えて、各要求は、仮名認証書の提供過程の間に車両により生成された一部の公開キーを含む(１６４は除く)。かかる公開キーは、以下の図７に示すように、７１０で示される。またＰＡ２２０は、仮名認証機関(ＰＣＡ)２１０に公開キーを個々に送る前に、他のユーザに属する公開キー１７０を混ぜる。このようにＰＣＡ２１０は、要請グループを同じオブジェクト１１０／デバイス１５０にリンクすることができない。ＰＣＡ２１０は有効な認証書１６０ｐを交互に生成し、有効な認証書をデバイスにフォーワーディングするためのＲＡに伝達する前に、暗号化して符号化する。認証書１６０ｐが暗号化されるので、ＲＡは仮名認証書１６０ｐをデバイス１１０／１５０にリンクすることができない。ＰＣＡとＲＡが衝突しないと、これらは認証書１６０ｐをその所有者１１０／１５０にリンクすることができない。

連結機関(ｌｉｎｋａｇｅａｕｔｈｏｒｉｔｙ、ＬＡ)２３０又はより正確には２３０.１及び２３０.２で示される連結機関ＬＡ_１及びＬＡ_２は、仮名認証書１６０ｐに追加された連鎖値(図５Ａ及び図５Ｂにおいてｌｖ２３４)を生成するように結合されたランダムのビットストリングを生成して、仮名認証書を効率的に撤回することができる。連鎖値(ｌｖ)は仮名認証書によって異なるが、与えられた登録認証書１６０のために一緒にリンクされる。この明細書に参照のために含まれた、２０１７年９月２１日に出願されたアメリカ出願１６／１３６,６２１を参照。またこの明細書に参照のために含まれた、２０１８年ＭａｒｃｏｓＡ.ＳｉｍｐｌｉｃｉｏＪｒ. ｅｔａｌ.，“車両ネットワークにおいて仮名認証書を臨時連結又は撤回するためのプライバシー保存方法”を参照。

否定行為機関(ＭＡ)２５０は否定行為デバイスの認証書１６０ｐを得、同じデバイスの認証書１６０を全て撤回するように認証書の連鎖値２３４、ＲＡ及びＰＣＡから得たデータを使用する。

いくつかの実施例において、ＰＡ２２０、ＰＣＡ２１０、ＬＡｓ２３０及びＭＡ２５０は各々、一つ以上のコンピューティングデバイス(例えば、コンピューティングデバイス１５０又はコンピューターシステム３１６)と共に具現されるか、又は一つ以上のコンピューティングデバイスを含む。
ＳＣＭＳのバタフライ・キー拡張

ＳＭＣＳにおいて、仮名認証書の提供過程は、スモールサイズの要請メッセージを有する(短期)認証書１６０ｐの大規模集団を任意に得るためにデバイスの効率的なメカニズムを提供する。かかる過程は図７に示されている。まず要請デバイス１１０／１５０は２対の“キャタピラー”個人／公開キー７１０を生成する。

個人キーs及びeはランダムである。楕円形のカーブ暗号法を用いてキーが生成される。キー(s,S)は仮名１６４(図５Ａ、図５Ｂ)の生成に関し、上述したように、認証書１６４が署名確認によりメッセージ認証のために使用されるので、“署名キー”とも呼ばれる。キー(e,E)は、後述するように、ＲＡから仮名を隠すために行われた仮名認証書の暗号化に関する；これらのキーは“暗号化キー”とも呼ばれる。

段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。ＲＡに送られた要請は７１０で示された公開キャタピラー・キーS及びEを含む。キー７１０に加えて、要請は

で示された２つの適合する仮名機能(ＰＲＦ)７１４を定義するデータを含む。(いくつかの実施例において、機能定義データはかかる機能のシード(ｓｅｅｄｓ)である；機能の出力はシードから演算できる。又は、非効率的ではあるが、機能定義データはＰＲＦ用の演算アルゴリズムの説明を含めてＰＲＦの全体説明を含むことができる。

ＲＡは複数の装置１１０から上記要請を受信し、各々のデバイスに対するβ仮名認証書１６０ｐを以下のように生成する。各々の要請に対して、該当キーS及びEは段階８１４において公開コクーン・キー７１８を生成するＲＡにより使用される。より具体的には、段階８１４において、キーSは

公開コクーン署名キーの生成に使用される：

全てのiに対して

が成立するように。同様に、同じ段階８１４において、ＲＡは

公開コクーン暗号化キーを生成するためにキーEを使用する：

コクーン・キー７１８の対、即ち、複数のデバイス１１０からの

はＲＡにより混ぜられ(段階８１８)、及び該当仮名認証書１６０ｐの生成のために、ＰＣＡ２１０に個々に又は集団で送られる。各コクーン・キーの対は有効期間１６５及び連鎖値(ｌｖ)２３４の演算に必要なデータのようなメタデータにより伴われる。図４、図５Ａ及び図５Ｂを参照。

各々のコクーン・キーの対

において、ＰＣＡは図７の方法を用いて明示的な仮名認証書１６０ｐ(図５Ａ)を生成するか、又は図８に示したように、暗示的な認証手順(図５Ｂ及びＣｅｒｔｉｃｏｍ)に関与する。明示的又は暗示的な認証書１６０ｐはＰＣＡにより暗号化されて、ＲＡ(図７、図８における段階９００)に送られる。ＲＡは仮名認証書を“アン－シャッフル”(“ｕｎ－ｓｈｕｆｆｌｅｓ”)して、各々の仮名認証書を該当(関連する)デバイス１１０に送る。各々のデバイスのβ仮名認証書は該当デバイスに集団で送られる。

明示的な過程のために(図５Ａ、図７)、上記ＰＣＡは段階８２２において任意の値r_iを演算し、以下の式(Ｅｑ．１)によって認証書の共用署名キー(仮名)１６４を生成する：

段階８２６において、ＰＣＡは、(１)U_iとメタデータを結合して、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合して；(２)署名１６７(図５Ａ)を形成するように前記結合をデジタル方式で署名してcert_iで示された認証書１６０ｐを形成する。

その後、ＰＣＡは該当コクーン・キー

を用いて値

と共に認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値r_i)はＰＣＡ個人署名キーを用いてＰＣＡにより再度署名される(段階８３４)。この署名は７３０で示される。

この結果、暗号化されて署名されたパッケージがＲＡに送られる(段階９００)。ＲＡは上記結果を要請するデバイス１１０に伝達される。

要請するデバイス１１０のみが該当値を復号する：

(段階８３４を参照)要請するデバイス１１０のみがコクーン・キー

に該当する個人キーを知っているためである。かかる個人キーは以下の式(Ｅｑ．２)により与えられる：

従って、デバイス１１０が上記仮名U_i(認証書１６０ｐの部分として)を知ることができ、該当個人署名キーを演算することができる：

またデバイス１１０は以下の式をチェックして署名キーu_i、U_i を確認することができる：

なお、デバイス１１０は、後述するように、ＲＡによる中間者攻撃(Ｍａｎ－ｉｎ－ｔｈｅ－Ｍｉｄｄｌｅａｔｔａｃｋ)を防止するために、ＰＣＡ署名７３０を確認する。

暗示的な認証書１６０ｐにおいて、上記過程は以下の通りである(図８を参照)。コクーン・キーの生成(段階８１０、段階８１４、段階８１８)は、明示的な認証書と同様である。また段階８２２において、ＰＣＡは任意の値r_iを演算して資格証明１６４を演算する：

その後、段階８２６において、ＰＣＡはcert_iとも示された暗示的な認証書１６０ｐを生成する：

即ち、

ここで、“ｍｅｔａ”はメタデータである(有効期間１６５などを含む)。

段階８２６において、ＰＣＡは以下のような署名sig_iを得るために、この認証書を署名する：

ここで、

であり、u_ＰＣＡはＰＣＡの個人署名キーである。

認証書生成の残りの段階は図７の通りである。より具体的には、ＰＣＡは該当コクーン・キー

を用いてsig_iの署名値と共に、認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値sig_i)はＰＣＡの個人署名キーを用いてＰＣＡにより署名される(段階８３４)。この署名は７３０で示される。段階９００において、上記結果(暗号化された構造及び署名７３０)はＰＡ２２０を介して上記要請するデバイス１１０に送られる。

デバイス１１０はＰＣＡ署名７３０を確認し、パッケージcert_i||sig_iを復号して以下を演算する：

その後、デバイス１１０は自分の個人署名キーを以下のようにセットする：

反面、該当共用署名キーは以下のような形式である：

デバイス１１０は以下の式を確認することにより、公開キーU_iの有効性を確認することができる。

ここで、U_ＰＣＡはu_ＰＣＡに該当するＰＣＡの共用署名キーである。

どの認証書モデルが採択されても、図７及び図８の段階８３４において、暗号化されたＰＣＡ応答はＰＣＡ自分の個人署名キーu_ＰＣＡを用いて署名し、“ｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ”ＲＡの中間者攻撃(ＭｉｔＭ)への参与を防止することを目標とする。即ち、かかる署名７３０無しに、ＲＡによる中間者攻撃が以下のように行われる：(１)

の代わりに、ＲＡは段階８１８において任意の値zに対するフェイクコクーン暗号化キー

をＰＣＡに送り；(２)段階９００において、ＲＡはzを用いてＰＣＡの応答を復号して仮名

(図７)又はV_i(図８)を把握し；(３)ＲＡは正確な

を有する認証書を再暗号化して、その結果をデバイスに送り、普段の通りプロトコルに進行する。しかし、ＰＣＡが署名７３０を生成し、デバイス１１０がＲＡの応答として署名７３０を確認すると、ＲＡは段階(３)で生成された再暗号化された認証書のための有効な署名７３０を提供できないので、上記の攻撃は失敗する。

採択された認証書(明示的又は暗示的)のタイプに関係なく、ユーザのプライバシーはＲＡとＰＣＡが衝突しない限り、この過程で保護される。結局、ＲＡにより行われた公開コクーン・キーのシャッフリング(段階８１８)は、キー７１８が同じデバイスに属するか否かをＰＣＡが知ることを防止する。キー７１８が同じデバイスに属さない場合、r_iを用いてＰＣＡによりランダムに抽出されたU_i又はV_i の値を知らないので、公開キーU_i(図７)又はV_i(図８)のＲＡのためのデバイスへの不連携性が得られる。

非常に効率的ではあるが、特にデバイス１１０の観点では、上記過程はより最適化されることができる。より具体的には、いくつかの実施例において、元々のＳＭＣＳ認証書提供プロトコルは、この明細書に説明されているように、処理費用及び帯域幅使用の観点で向上される。
統合されたバタフライ・キーの拡張の過程

図７及び図８において、バタフライ・キーの拡張(段階８１４)は、仮名認証の提供過程でＲＡにより２回行われる：署名キー

のために１回、そして暗号化キー

のために１回。この結果、デバイス１１０は段階８１０において、該当コクーン・キー

の演算のために、該当疑似乱数

だけではなく、２つのキャタピラー・キー(S及びE)をＲＡに送る必要がある。またＰＣＡはＲＡによる操作を避けるために、認証書を暗号化するだけではなく(段階８３０)、その結果、暗号化されたパッケージを署名する(段階８３４)。かかるエキストラ署名は、多数の場所で追加オーバーヘッドに繋がる：ＰＣＡ上で、エキストラ署名７３０の演算及び送信により；ＲＡ上で、エキストラ署名７３０の受信及び再送信により；そしてデバイス１１０の終端で、認証書の署名自体の確認以外に署名の受信及び確認により((Ｅｑ．4)又は(Ｅｑ．１０))。

本発明のいくつかの実施例によれば、キャタピラー・キーの生成及び使用が統合された方式で行われ、保安又は機能性の損失無しにより良好な効率が得られる。
明示的な認証書過程の例示

本発明の一実施例が図９Ａ及び図９Ｂに示されている。まず、(段階９０４)、要請するデバイス１１０は単一のキャタピラー個人／公開キーの対７１０のみを生成する：

。ＳＣＭＳでのように、個人キーx がランダムに生成される。公開キーXは認証書１６０ｐを暗号化するためのＰＣＡにより使用され、ＰＣＡによりランダムに抽出された後、後述するように、認証書に同封される公開キー又は仮名１６４を生成するＰＣＡにより使用される(段階８２４)。

段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。デバイスによりＲＡに送られたデバイス要請は、固有のＩＤ(“デバイス要請ＩＤ”)、固有のデバイスＩＤ、共用の統合されたキャタピラー・キーX,及び簡単にfで示された適合する疑似乱数関数(ＰＲＦ)７１４を定義するデータを含む。この関数fはＳＣＭＳにおいてf_s又はf_eと同一である。各々のデバイス要請の写しが上記デバイスによりメモリに貯蔵される。

段階８１４において、ＲＡは各々のデバイスのための

公開の統合されたコクーン署名キーを生成する(ＳＣＭＳと同様に)：

段階８１８において、ＲＡは複数のデバイスのためのコクーン・キーを混ぜ、各コクーン・キー

のために、ＲＡは仮名認証書１６０ｐのための(“ＲＡ要請”)をＰＣＡ２１０に送る。複数のデバイス１１０からの要請を集団でＰＣＡに送ることができるが、これは不要である。

各々のＲＡ要請において、ＲＡは固有の要請ＩＤ(“ＲＡ要請ＩＤ”)を生成し、ＲＡ要請ＩＤ、コクーン・キーインデックスi(式(Ｅｑ．１１)を参照)、及び関連するデバイス要請を含むデータ構造(“ＲＡ要請データ構造”)を生成する。ＲＡ要請ＩＤは要請によってＰＣＡに提供される。デバイスＩＤはＰＣＡに提供されず、ＰＣＡはこの要請をデバイスに連関させることができない。ＰＣＡは複数の要請が同一又は異なるデバイスに連関するか否かを決定することができない。

各々のコクーン・キー

において、ＰＣＡは明示的又は暗示的な仮名認証書１６０ｐを生成することができる。図９Ａ及び図９Ｂは明示的な認証書のための過程を示す。いずれの場合でも、明示的又は暗示的な認証書１６０ｐは今後ＰＣＡに暗号化されてＲＡに送られる(段階９００)。各々の暗号化された仮名認証書は要請ＩＤにより伴われて、ＲＡが仮名認証書を“アン－シャッフル”(“ｕｎ－ｓｈｕｆｆｌｅ”)、即ち、各暗号化されたパッケージをデバイスに連関させて、暗号化されたパッケージを関連するデバイスに送る。選択的には、各々のデバイスのβ仮名認証書が集団でデバイスに送られることができる。

明示的な認証書において、段階８２２において、ＰＣＡは任意の値r_iを生成し、認証書の公開署名キー(仮名)１６４をコクーン・キー

のランダム関数、即ち、

及びr_iの関数として生成する。例えば、以下の式(Ｅｑ．１２)、式(Ｅｑ．１２’)のうちのいずれか一つが使用される：

また、(段階８２４)、ＰＣＡは公開コクーン暗号化キー

を生成する。いくつかの実施例において、

は

のようにセットされる。即ち、

に対する他の表現を使用できる。例えば：

残りの段階は図７と同様の場合と、そうでない場合があるが、ＰＣＡ署名７３０の生成は省略できる。より具体的には、いくつかの実施例において、段階８２６において、ＰＣＡは(１)U_iとメタデータを結合し、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合し；(２)署名１６７(図５Ａ)を形成するように、前記結合をデジタル方式で署名して、certiで示された認証書１６０ｐを形成する(図５Ａ)。

段階８３０において、ＰＣＡは認証書１６０ｐ及び値

を含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー

を使用する。例示的な暗号化スキームはＥＣＩＥＳであり；この明細書に参照のために含まれたＩＥＥＥを参照、ＩＥＥＥＳｔａｎｄａｒｄＳｐｅｃｉｆｉｃａｔｉｏｎｓｆｏｒ公開－キーＣｒｙｐｔｏｇｒａｐｈｙ - Ａｍｅｎｄｍｅｎｔ１：ＡｄｄｉｔｉｏｎａｌＴｅｃｈｎｉｑｕｅｓ、ＩＥＥＥｃｏｍｐｕｔｅｒＳｏｃｉｅｔｙ、２００４。またその他の暗号化スキームを使用できる。

その結果、暗号化されたパッケージが段階８１８でＰＣＡにより受信されたＲＡ要請と共にＲＡに送られる(段階９００)。上述したように、署名７３０は省略される。ＲＡはパッケージを復号できない。

ＲＡはＰＣＡから受信したデータをアンーシャッフルする(“ｕｎ－ｓｈｕｆｆｌｅｓ”)。この動作を行うために、ＲＡは各暗号化されたパッケージを伴うＲＡ要請ＩＤをＲＡのメモリに貯蔵されたＲＡ要請ＩＤにマッチさせる(段階８１８)。ＲＡは各装置１１０に対する暗号化されたパッケージを各々のデバイスに伝達する(段階９１０)。各暗号化されたパッケージによって、ＲＡは関連するコクーン・キーを定義する該当i値をデバイスに送る；式(Ｅｑ．１１)を参照。ＲＡはＲＡ要請に関連するデバイス要請からi値を得る。

段階９１４において、各認証書１６０ｐに対して、関連するデバイス１１０は暗号化(コクーン)キー

に該当する復号キー

を演算する。

が

のようにセットされていると、(式(Ｅｑ.１３)：

式(Ｅｑ．１３’)の場合：

式(Ｅｑ．１３’)で使用されたものと同じハッシュ関数“ｈａｓｈ”を利用して、

デバイス１１０はパッケージを復号化するために、復号化キー

を使用して認証書１６０ｐ及び該当r_iを復元する。式(Ｅｑ．１３)及び式(Ｅｑ．１４)の場合、暗号化公開キーは以下の通りであるので、かかる復号化キーが作用する：

式(Ｅｑ．１３’)、式(Ｅｑ．１４’)の場合、暗号化公開キーが以下の通りであるので、復号化が作用する：

段階９１８において、デバイスはＰＣＡ’ｓ共用署名キーU_ＰＣＡを用いてＰＣＡ署名１６７を確認する。

段階９２２において、デバイスはU_iに該当する自分の個人署名キーu_iを演算する。U_iが式(Ｅｑ．１２)のように演算されると、個人署名キーが以下のように生成される：

式(Ｅｑ．１２’)が使用されると、個人署名キーが以下のように使用される：

(Ｅｑ．１２)を参照。段階９２４において、デバイスは以下を確認する。

上記のうちのいずれか一つをチェックするか、又は確認に失敗すると、デバイスは認証書１６０ｐ及び／又は集団における全ての認証書を拒絶することができる。またデバイスは保持及び／又は故障又は不正直なＲＡやＰＣＡ上での保安動作をトリガーするために、エラーに対して適切な機関(例えば、飛行機関２５０)に知らせることができる。

保安分析：かかる過程は署名７３０の演算を含まないが、この過程はＲＡにより相変わらず中間者攻撃を防止する。公開キーU_iを有効化する時、ＲＡによる操作が装置により探知可能であるように、ＰＣＡは

から暗号化キー

を演算するためである(段階８２４、式(Ｅｑ．１３)又は式(Ｅｑ．１３’))(段階９２２、段階９２４)。特に、ＰＣＡが式(Ｅｑ．１３)を使用する例を仮定し、悪意のあるＲＡがｚの任意値に対する以下の式により

の正確な値に代える：

この場合、段階８３０において、ＰＣＡはＲＡが復号化キー

によりＰＣＡの応答を復号するように許容する

(段階８２４、式(Ｅｑ．１３))に認証書を暗号化することにより、デバイスの最終公開キー

(段階８２２で生成)を把握する。しかし、認証書が変更されると、ＲＡはＰＣＡ署名１６７を偽造することができないので、ＲＡが認証書１６０ｐ、特に、仮名U_i ^*を変更すると、デバイスは段階９１８において不正確な署名１６７を探知することができない。従って、認証書を再暗号化する前に、ＲＡはU_i ^*をマッチする値

を探す必要がある。例えば、式(Ｅｑ．１２)の場合、値

は以下を満たさなければならない：

従って、

はＲＡ－対－デバイス応答において、ＰＣＡにより提供された元々の

に代えることができる。そうではないと、デバイスは段階９２４において、提供された値

Ｅｑ．１６、即ち、以下を満たさないことに注目する。

この確認に失敗し、該当キーはデバイスにより有効ではないと識別されて攻撃を妨害する。この場合、悪意のあるＲＡに対して、

はポイント

に対する楕円曲線の離散対数の問題(ＥＣＤＬＰ)解決に相応する以下の式のようにセットされる必要があることを意味する：

実際に、

はＲＡに知られており、zはＲＡにより自由に選択でき、

は攻撃により把握されるので、かかる問題は、ＥＣＤＬＰの場合である車両により提供されたＸ値により与えられたｘを探すことに減少される。従って、ＥＣＤＬＰの計算硬度を推定して、攻撃それ自体は暗号化により担保される楕円曲線に対して計算的に不可能である。

ＲＡは有効な

を探す代わりに(又はそれに加えて)、

を操作することにより式(Ｅｑ．１８)を満たすことを選好するが、提案したスキームでは不可能である：結局、

はＰＣＡにより署名されて完全無欠(ｉｎｔｅｇｒｉｔｙ)の違反を末端デバイスにより探知することができる。

性能分析：ＳＣＭＳの保安特性保護以外に、かかる統合されたバタフライ・キーの拡張は、元々の過程に比較してオーバーヘッドを減少させる：

デバイス１１０：ＲＡに送られた要請は、図７及び図８に示すように、２つのキー及び関数よりは単一のコクーン公開キー(X)及び疑似乱数関数(f)を含むので、処理及び帯域幅の費用はかかるプロセスドラップの半分だけ関与する。また段階９００で受信された認証書パッケージはＰＣＡ署名７３０を省略するので、より少ない。最終的に、受信された認証書を有効化する処理費用を署名７３０の確認除去により容易に減らすことができる。ＲＡによる中間者攻撃を避けるための

を有効化させることは、式(Ｅｑ．１６)の署名７３０の確認に通常に関与することよりは少ない単一の楕円曲線(ＥＣ)の掛け算を取るためである。

ＲＡ：署名キーのためのバタフライ・キーの拡張を行ってプロセシングオーバーヘッドを半分に誘導する。補助的なメタデータを無視し、２つよりは単一のコクーン・キーと疑似乱数関数を含むＰＣＡに要請をフォーワーディングする時(段階８１８)、帯域幅の使用が類似して減少する。最終的には、ＰＣＡによる応答(段階９００)は暗号化されたパッケージ上で署名７３０の不在によりもっと小さい。

ＰＣＡ：各認証書の発行には、２つではなく１つの署名(１６７)(署名７３０が省略されるので)が含まれるので、処理費用が低くなる。インバウンド及びアウトバウンドの帯域幅も節約でき、ＲＡの要請が少なくなるので

、ＰＣＡの応答も少なくなる(署名７３０の省略により)。

名数(ｃｏｎｃｒｅｔｅｎｕｍｂｅｒｓ)を提供するために、図１０は推薦されたアルゴリズム(署名の生成／確認のためのＥＣＤＳＡ及び非対称暗号化／復号化のためのＥＣＩＥＳ)を仮定して、ＣＡＭＰに説明されたように提案された手順の推定費用と元々のＳＣＭＳとを比較する表を示す。２つのアルゴリズムは１２８－ｂｉｔ保安レベルを提供するように構成される。完成のために、車両による集団確認の処理費用を測定する時、ＥＣＤＳＡのための２つの異なるセッティングを考慮する：即ち、ＥＣＤＳＡの確認過程が基本的に生成器Ｇによる一つの固定ポイントＥＣ掛け算及びＰＣＡの署名キーＵ_ＰＣＡによる一つのランダムポイント掛け算を取る標準具現(“ＲＰ”と表記)；またＵ_ＰＣＡが固定ポイントを考慮する最適の具現(“ＦＰ”と表記)(即ち、この動作は前置計算によりもっと速くなる)。性能費用はＩｎｔｅｌｉ５４５７０プロセッサ上で実行されるＲＥＬＩＣ暗号ライブラリ(ｃｒｙｐｔｏｇｒａｐｈｙｌｉｂｒａｒｙ)を用いて周期的に測定される。ＲＥＬＩＣは、この明細書に参照のために含まれた、

、“ＲＥＬＩＣｉＳａｎＥｆｆｉｃｉｅｎｔＬＩｂｒａｒｙｆｏｒＣｒｙｐｔｏｇｒａｐｈｙ,”ｈｔｔｐｓ:／／ｇｉｔｈｕｂ.ｃｏｍ／ｒｅｌｉｃ－ｔｏｏｌｋｉｔ／ｒｅｌｉｃに説明されている。帯域幅の費用はバイト単位で測定されて、バタフライ・キーの拡張過程(例えば、事前リンク値、認証書が連関される時間周期など)とは厳密に関連のない最終メタデータを無視する。
暗示的な認証書過程の例

この発明は図９Ａ、図９Ｂの実施例に限られない。例えば、暗示的な認証書が使用される。図１１Ａ、図１１Ｂは暗示的な認証書スキームを示す。段階９０４、段階８１０、段階８１４及び段階８１８は図９Ａ、図９Ｂと同様である。段階８２２において、ＰＣＡは任意の値r_iを演算し、ｃｒｅｄｅｎｔｉａｌ１６４を演算する：

段階８２４において、ＰＣＡは明示的な認証書に対する過程と同じ過程を用いて、例えば、式(Ｅｑ.１３)又は式(Ｅｑ.１３’)によって公開のコクーン暗号化キー

を生成する。

段階８２６において、ＰＣＡはcert_iで示される暗示的な認証書１６０ｐを以下のように生成する：

即ち、

段階８２６において、ＰＣＡはかかる認証書に署名して以下のように署名sig_iを得る：

ここで、

段階８３０において、ＰＣＡは認証書１６０ｐ及び署名sig_iを含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー

を使用する。例示的な暗号化スキームはＥＣＩＥＳであるが、その他のスキームも使用できる。

段階９００及び段階９１０において、暗号化されたパッケージが図９Ａ、図９Ｂのように同じ過程及びデータ構造(ＲＡ要請データ構造を含む)を用いてＲＡ２２０を介して要請デバイス１１０に送られる。ＲＡはパッケージを復号できない。

段階９１４において、デバイス１１０は暗号化されたパッケージ及び該当値iを受信し、式(Ｅｑ.１４)又は式(Ｅｑ.１４’)のように、個人キー

を演算し、かかるキーを使用してＰＣＡの応答パッケージcert_i|| sig_iを復号して、以下のように演算する：

段階９２２において、デバイスは自分の個人署名キーを以下のようにセットし：

段階９２３において、該当共用の署名キーを以下のように演算する：

ここで、U_ＰＣＡはＰＣＡの公開の署名キーである。

図１２はＳＣＭＳアルゴリズム及び上述した実施例の一部からなる表を示す。ＳＣＭＳ明示的な認証書の生成は１２１０で示される。ＳＣＭＳ暗示的な認証書の生成は１２１４で示される。本発明のいくつかの実施例による明示的な認証書の生成は１２３０で示される。本発明のいくつかの実施例による暗示的な認証書の生成は１２３４で示される。以下の表記が使用される:

“ｐｋｇ”はＰＣＡにより行われた暗号化段階８３０の出力を示す。“ｒｅｓ”は同じ出力を示すが、署名を形成するためにＰＣＡにより出力される；即ち、“ｒｅｓ”はＳＣＭＳにおいて段階８３４の出力である；

最後のコラムにおいて、“Ｖｅｒ”はデバイス１１０により行われた署名確認を示す；

Ｕ_p及びu_pは各々ＰＣＡの公開キー及び個人キーである。

発明のいくつかの実施例の他の特徴が、この明細書に参照のために含まれた、ＭａｒｃｏｓＡ. ＳｉｍｐｌｉｃｉｏＪｒ. ｅｔ. ａｌ.，“統合されたバタフライ効果：車両通信のための効率的な保安資格管理システム”、２０１８、ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ：Ｒｅｐｏｒｔ２０１８／０８９、ｈｔｔｐｓ:／／ｅｐｒｉｎｔ.ｉａｃｒ.ｏｒｇ／２０１８／０８９.ｐｄｆに説明されている。
保安及び性能

提案されたスキームの全般的な保安は、元々のＳＣＭＳバタフライ・キーの拡張と同じ原理に基づく。即ち、キャタピラー及びコクーン署名キーの生成及び利用はＰＣＡに基づき、ＲＡはＳＣＭＳと同じである。従って、デバイスの個人キャタピラー・キーx(s又はe)がプロトコルの全体実行時に楕円曲線の離散対数の問題(ＥＣＤＬＰ、以下の定義１に提供される)により保護されるという事実に基づくＳＣＭＳに対する保安論争は有効である。従って、ＲＡとＰＣＡが衝突しても、ＲＡとＰＣＡもキャタピラー・キーから由来する署名又は復号化個人キーを復元することができない。ＲＡとＰＣＡが衝突しない限り、認証書の間の不連携性も同様に保護される：ＲＡにより行われたシャッフリング(ｓｈｕｆｆｌｉｎｇ)(段階８１８)は、同じ車両１１０を対象とする認証書要請(ＲＡ要請)間の関係をＰＣＡから隠す；一方、ＰＣＡの暗号化された応答により、復号化キーの所有者１１０以外がcert_iを分からないようになる。

定義１．楕円曲線離散対数の問題(ＥＣＤＬＰ)。Eを有限フィールドKに対する楕円曲線とする。Qが＜Ｐ＞内にいるように(即ち、Pを含む最小規模のサブグループ)与えられたＥ(Ｋ)にポイントＰ、Ｑを仮定する。Ｑ＝Ｋ・Ｐになるようにｋを決定する(この明細書に参照のために含まれた、ＫｒｉｓｔｉｎＥ．Ｌａｕｔｅｒ及びＫａｔｈｅｒｉｎｅＥ．Ｓｔａｎｇｅ、“楕円の可分性シーケンスに対する楕円曲線の離散対数の問題と等価のハード問題”、ＩｎｔｅｒｎａｔｉｏｎａｌＷｏｒｋｓｈｏｐｏｎＳｅｌｅｃｔｅｄＡｒｅａｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ、ｐａｇｅｓ３０９－３２７、Ｓｐｒｉｎｇｅｒ、２００８を参照)。

統合されたキー接近は、ＳＣＭＳに対する２つの変更を導入する：(１)コクーン暗号化キーが演算される方式を変更し、(２)暗号化されたパッケージ上でＰＣＡの署名７３０を除去する。第１の変更は、通信の機密性に影響を与える可能性があるので、ＲＡはcert_iを分かる。一方、応答としてＰＣＡにより作成された最終署名は、ＲＡによる中間者攻撃に対するシステムの保安を確保することを目標とするので、この観点では、第２の変更は脆弱性があり得る。しかし、ＥＣＤＬＰの硬度を推定して統合されたキー接近が相変わらず仮名認証書の内容を保護し、中間者攻撃を防止することに注目する。より詳しくは、

に暗号化されたＰＣＡの応答を復号する問題がＥＣＤＬＰの場合に減少されることに注目する。

明示的又は暗示的に公開キーＵ_i を有効化する時、ＲＡによる操作がデバイスによって探知されるようにＰＣＡの応答が処理されることを注目する場合に対する中間者攻撃に同じ演算硬度が適用される。

仮名認証書の機密性
ＳＣＭＳにおいて、応答パッケージを公開暗号化キー

に暗号化する目的は、ＲＡが応答パッケージのコンテンツを知ることを防止するためである。これは該当個人キー

がＲＡに知られていない

を用いて簡単に達成できる。提案された統合接近は、暗号化

及び署名

の個人キーがＳＣＭＳで保護された状態で保存する必要があるという観測に基づき、暗号化

及び署名

の個人キーが単一の情報に結合される場合に相変わらず実行可能である。実際に、

を暗号化キーとして直接使用する保安は、以下の整理１から分かることができる。

整理１．ＲＡによる盗聴に対して統合されたバタフライ・キー拡張の保安：ＲＡはｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ保安モデルに従うと仮定し、正確な

をＰＣＡに送る。この場合、ＲＡは多項式時間に楕円曲線の離散対数の問題(ＥＣＤＬＰ)の場合を解決できないと、多項式時間にＰＣＡの暗号化された応答ｐｋｇのコンテンツを復元することができない。

証拠．証拠は複雑ではない(ｓｔｒａｉｇｈｔｆｏｒｗａｒｄ)：暗号化が安全なアルゴリズムで行われると、

を知らないまま、復号化を許容する多項式時間アルゴリズム及びｐｋｇからこのようなキーの復元を許容する多項式時間アルゴリズムが存在しない。従って、スキームの機密性違反はＸ又は

から

の復元を必要とする。結局、ｐｋｇ以外に、復号化キー

との関係を運ぶＲＡにより保有された情報が存在する。しかし、f(i)がＲＡにより知られた

であるので、かかるタスクはＸからx探し、即ち、Ｘに対するＥＣＤＬＰ解決と等価である。
暗示的モデルにおいてＲＡによる中間者(ＭｉｔＭ)攻撃に対する保安

すぐ得られた保安結果は、ＲＡが統合されたキー拡張プロトコルに従うことを仮定して、ＰＣＡに正確な

を提供する。しかし、ＲＡはかかるキーを任意値ｚに対して

に代替することを選好することができる。この場合、ＰＣＡはｐｋｇを

に暗号化し、その結果は該当個人キーzを用いてＲＡにより復号化されるので、この過程の機密性が消える。従って、以前に仮定された“ｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ”シナリオを補完する中間者シナリオの保安を考慮する必要がある。ＲＡは(否定)行為に対する制約がなく、選択が、(１)ＲＡが若干の利点を得、特にｐｋｇの機密性又は完全無欠を違反する能力が得られ、(２)否定行為が車両１１０により探知されないので、車両が該当認証書を安全に使用できることを信じる限り、ＲＡは

を自由に選択することができる。かかるシナリオからして、整理２を体系的に示すことができる。

整理２.暗示的モデルにおいて、中間者攻撃に対する統合されたバタフライ・キー拡張の保安：ＰＣＡに送られた暗示的な認証書のための要請において、ＲＡが

を任意値

に代替すると仮定する。ランダムオラクルモデルにおいて、ＥＣＤＬＰの硬度を仮定すると、ＲＡは要請する車両に関する知識無しに、ＰＣＡの応答ｐｋｇの完全無欠又は機密性を違反することができない。

証拠.ｐｋｇコンテンツの完全無欠がＰＣＡ署名の不足にもかかわらず保護されることに注目する。実際に、ＲＡが多少ｐｋｇの機密性を違反しても、(署名された)暗示的な認証書cert_iを得ることができる。しかし、cert_iは暗示的認証モデル(Ｃｅｒｔｉｃｏｍ、セクション３.４)では機密として処理されず、かかるモデルはＥＣＤＬＰの硬度を仮定するランダムオラクルモデルにおいて、cert_iの完全無欠を保障する。従って、暗示的認証、その自体はcert_iの変更が直接(即ち、ｐｋｇ復号化後)又は間接(即ち、暗号文のみを変更することにより)に車両により探知できることを予め保障する。

しかし、統合されたキー拡張の機密性を提供することは、暗示的な認証書の保安特性に直接依存できないので、さらに努力が必要である。再度、還元注意者的な接近によれば、ｐｋｇの機密性違反はＥＣＤＬＰの場合の解決を必要とする。

悪意のあるＲＡは任意値zに対して

の正確な値を

に代替する。ＲＡにより選択されたzの実際値に原則的にいかなる制約も加えられないので、かかる仮定は一般性を失わず、行われることができる。ＲＡ要請の受信によって、ＰＣＡは否定行為を探知できないので、結局、暗示的な認証書cert_i を

に暗号化する。その結果、ＲＡはzを復号化キーとして用いてＰＣＡの応答を復号することができ、システムの機密性を違反してしまう。かかる攻撃により、ＲＡは該当署名

だけではなく、車両の暗示的な認証書

を知ることができる。

しかし、

に対して、結果的なsig_i ^* が車両により予測された実際の

に対する有効な署名ではないので、ＲＡによるかかる否定行為は車両により探知される。より正確には、車両が

を演算した後、

ではないと、暗示的確認

に失敗する：

と仮定すれば

従って、車両の確認を迂回できるように、ＲＡはいかなるzも選択することができない。その代わりに、

が成立する。f(i)がＲＡにより知られても、かかる特性を有するzの演算を許容するx 値を探すことは、Xに対するＥＣＤＬＰ解決と等価である。
明示的モデルにおいてＲＡによる中間者攻撃に対する保安

明示的な認証書に対する保安論争は、整理３に要約するように、暗示的モデルのための直前セクションに提示された論争と類似する。

整理３.暗示的モデルにおいて、中間者攻撃に対する統合されたバタフライ・キー拡張の保安：ＰＣＡに送られた明示的な認証書のための要請において、ＲＡが

を任意値

に代替すると仮定する。ＥＣＤＬＰの硬度を仮定すると、ＲＡは要請する車両に関する知識無しに、ＰＣＡの応答ｐｋｇの完全無欠又は機密性を違反することができない。

証拠．再度、ＰＣＡ’ｓ暗号化された応答ｐｋｇに同封された明示的な認証書cert_iが車両による探知を避けながら変更できないことを見せることは容易である。結局、cert_i自体はＰＣＡによりデジタル方式で署名され、変更は安全なアルゴリズムが自分の演算のために採択されたと仮定する署名を無効化する。従って、ｐｋｇの機密性がＲＡにより多少違反されても、それは(署名されない)値r_iが変更されるように許容することができるが、(署名された)cert_iの変更は許容されない。しかし、間接的には、cert_iの非柔軟性は車両によりr_iの可能な変更が探知可能であることを保障する。これはcert_iから得られたU_iの値が

を演算して、

であるか否かをチェックする時、車両により確認されるためである。x及びf(i)が車両により知られ(即ち、ＲＡにより操作できず)、U_iが認証書で固定されるので、

への転換は

に繋がる。従って、ｐｋｇのコンテンツのいずれも車両による探知なしには変更できない。

また車両により行われた最終確認は、統合されたキー拡張の機密性を保障し、かかる問題が減少可能なＥＣＤＬＰの硬度を推定する。これを証明するために、悪意のあるＲＡはランダムに選択された値zに対して

を

に代替することを、一般性を失わず、再度仮定することができる。この場合、ＲＡはＰＣＡ'ｓ応答を復号するためにzを使用し、(１)認証書に同封されたデバイスの最終共用キー

と、(２)r_i自体の値を知ることができる。

探知を避けるために、ＲＡは

が受信されたU_i ^*の演算に使用されなかったことを車両が分からないように、ＰＣＡの応答を再暗号化する必要がある。これは、元々のr_iを車両で行われた確認過程を通過するr_i ^*、即ち、

を満足するr_i ^*に代替することを必要とする。そうではないと、かかる最終確認を行う車両が受信されたU_i ^*を有効でないものと識別して、攻撃を妨害する。しかし、残念ながら、ＲＡにおいて、これはr_i ^*が

にセットされることを意味し、かかるr_i ^* を探すことは、ポイント

に対するＥＣＤＬＰを解決することと同等である。同様に、f(i)がＲＡにより知られるので、zはＲＡにより自由に選択され、r_iは攻撃により分かることができ、この問題は車両により提供されたX値により与えられたxを探すことに減少される。それにもかかわらず、これは相変わらず証拠の結論をつけるＥＣＤＬＰの場合である。
追加保安の観点

更なる注目事項として、元々のＳＣＭＳデザインは暗号化及び署名のための同一の(又は連関性のある)共用／個人キーの対を用いることを避けるための好ましい実行であると考慮されるので、最もあり得る２つのキャタピラー・キーの採用を提案する。かかる推薦の主要理由は、一方の過程で発見された可能な脆弱性(例、具現エラー)が他方に対するキーを流出することができるためである。この明細書に参照のために含まれた、

、“ＵｎｉｖｅｒｓａｌｐａｄｄｉｎｇｓｃｈｅｍｓｆｏｒＲＳＡ”、ＩｎＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２２ＮｄＡｎｎｕａｌＩｎｔｅｒｎａｔｉｏｎａｌＣｒｙｐｔｏｌｏｇｙＣｏｎｆｅｒｅｎｃｅｏｎＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ、ＣＲＹＰＴＯ ’０２、ｐａｇｅｓ２２６－２４１、Ｌｏｎｄｏｎ、ＵＫ、２００２、Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇを参照。従って、攻撃者が、(１)車両が一方の過程のためのオラクルとして動作し、(２)使用された個人キーを復元する方式で攻撃者が車両と相互作用する場合、(３)他方の過程のための個人キーを流出する。

最初には、上記説明された戦略は暗号化(ＰＣＡによる)及びデジタル署名(車両による)を生成するために使用されるキー

を生成することにより、かかる一般的な規則を違反していると思われる。しかし、これは提案されたスキームの場合ではない。

に該当する個人キー

は実際にデータのどの部分を署名するために、全く使用されない。その代わりに、車両は

を明示的モデルにおいて署名キーとして使用し、暗示的モデルにおいて

を使用し、ここで、

は車両及びＰＣＡにより知られた秘密値である。

が成立する限り、暗号化及び署名過程の間の予測可能な相関関係がＰＣＡ自体を除いた全てのエンティティ(ランダムに生成されたキーから予測されるように)の観点から除去される。特に、かかる接近はＳＣＭＳの根拠であるバタフライ・キー拡張過程の後に考えられた同じラインに従う：他の署名コクーン・キーが同一の秘密情報(キャタピラー・キー)から生成されるが、かかる相関関係は車両及びシステムエンティティ(個の場合、ＲＡ)のみによって知られる。従って、提案された変更は元々のＳＣＭＳプロトコルの自然な開発として思われることができる。

最終的には、練習として、どの種類の具現欠陥が結果的なシステムの保安を危険にするために必要であることを考慮することが有用である。署名キーu_iが多少折衝される場合であっても、折衝されたＵ_iに関連する

を知っている唯一のエンティティであることができるので、かかる欠陥の結果として

を復旧することはＰＣＡのみによって実現可能である。しかし、ＰＣＡは

キー対に保護された平文(ｐｌａｉｎｔｅｘｔ)をすでに知っているので、なにも得られない：結局、ＰＣＡは最初に平文を暗号化した唯一のものである。従って、ＵＢＫ過程に対する有用な攻撃に繋がる唯一の具現は暗号化キー

の折衝をいう。かかる攻撃は

を運ぶＰＣＡの応答をキャプチャーすることを必要とし、署名キーu_iが復元されることができ、メッセージが署名キーに偽造できる。しかし、これは再度ＲＡ又はＰＣＡにより実現できるが、外部エンティティにより実現不可能である。ＳＣＭＳにおいて、ＰＣＡ－ＲＡ及びＲＡ－車両通信は常に安全な(例、ＴＬＳ－基盤)チャネルを用いて保護され、ＲＡ及びＰＣＡがＰＣＡの応答として接続する唯一のエンティティである(車両事態を除外)。一方、ＲＡ及びＰＣＡは自体的に(衝突無しに)有効な認証書を生成し、該当メッセージを署名するので、かかる攻撃に関与することにより得られることが(あっても)多くない。
性能分析

ＳＣＭＳの保安特性を保護することを除いて、かかる統合されたバタフライ・キーの拡張によれば、元々の過程に比較して減少したオーバーヘッドが得られる：

車両：ＲＡに送られた要請は、２つよりは単一のコクーン公開キー及び単一のＰＲＦを含むので、処理及び帯域幅の費用はかかるプロセスドラップの半分だけ関与する。受信された集団は認証書を含む各暗号化されたパッケージが署名されていないので(認証書自体のみを署名)より少ない。最終的には、暗号化されたパッケージ上でＰＣＡ署名の確認が除去されるので、受信された認証書を有効化する処理費用がＳＣＭＳよりは少ない。これは、特に確認手順がシグナリングメッセージより普通高価であるＥＣＤＳＡのようなデジタル署名スキームで興味深い。この明細書に参照のために含まれた、ＤａｎｉｅｌＪ. Ｂｅｒｎｓｔｅｉｎ、ＮｉｅｌｓＤｕｉｆ、ＴａｎｊａＬａｎｇｅ、ＰｅｔｅｒＳｃｈｗａｂｅ、ａｎｄＢｏ－ＹｉｎＹａｎｇ、“Ｈｉｇｈ－ｓｐｅｅｄｈｉｇｈ－ｓｅｃｕｒｉｔｙｓｉｇｎａｔｕｒｅｓ”、ＩｎＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄｓｙｓｔｅｍｓ - ＣＨＥＳ２０１１、ｐａｇｅｓ１２４-１４２、Ｂｅｒｌｉｎ、Ｈｅｉｄｅｌｂｅｒｇ、２０１１、ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇを参照。

ＲＡ：署名キーのためのバタフライ・キーの拡張を行ってプロセシングオーバーヘッドを半分に誘導する。補助的なメタデータを無視し、２つよりは単一のコクーン・キーと疑似乱数関数を含むＰＣＡに要請をフォーワーディングする時、帯域幅の使用が類似して減少する。最終的には、ＰＣＡによる応答は暗号化されたパッケージ上で署名の不在によりもっと小さい。

ＰＣＡ：発行された各(暗示的又は明示的)認証書が２つの代わりに単一の署名を取ることから処理費用を節約できる。インバウンド及びアウトバウンドの帯域幅も節約でき、ＲＡの要請がもっと少なくなるので

、ＰＣＡの応答も少なくなる(少なくなった署名が送られる)。

名数(ｃｏｎｃｒｅｔｅｎｕｍｂｅｒｓ)を提供するために、図１３の表は推薦されたアルゴリズム(署名の生成／確認のためのＥＣＤＳＡ及び非対称暗号化／復号化のためのＥＣＩＥＳ)を仮定して、ＣＡＭＰに説明されたように提案された手順の推定費用と元々のＳＣＭＳとを比較する。２つのアルゴリズムは１２８－ｂｉｔ保安レベルを提供するように構成される。特に、図１３は要請及び応答を含むβ認証書を発行する時、元々のＳＣＭＳと提案された解決策との間の処理(グレイバックグラウンドで示された周期的に)及び通信(バイト単位で)の比較を示す。

帯域幅の費用はバイト単位で測定され、バタフライ・キー拡張の過程(例、事前リンク値、認証書が連関される時間周期など)に関連のない最終メタデータを無視する。Ｉｎｔｅｌｉ５４５７０プロセッサ上で実行されるＲＥＬＩＣ暗号ライブラリバージョン０.４.１(Ａｒａｎｈａｅｔａｌ.を参照)を用いて、処理費用が周期的に測定される。完成のために、車両による集団確認の処理費用を測定する時、ＥＣＤＳＡのための２つの他のセットを考慮する：即ち、確認過程が基本的に生成器Ｇによる一つの固定ポイントＥＣ掛け算及びＰＣＡの署名キーＵによる一つのランダムポイント掛け算を取る標準具現；そしてＵが固定ポイントとして考慮される最適の具現。より正確には、ＲＥＬＩＣはｗ＝８の固定したｃｏｍｂ方法を用いて固定されたポイントＥＣ掛け算に対する前置計算に依存する。ランダム－ポイント掛け算のために、ＲＥＬＩＣはＭｏｎｔｇｏｍｅｒｙｌａｄｄｅｒ方法を用いるようにセットされて同時性動作を提供する。その結果、固定ポイント掛け算はランダムポイントパートよりも約８倍速くなる。実際に、Ｕによる掛け算が集団ごとに複数回行われるので、この最適のバージョンの採用は興味深いものであり、基本となる事前計算費用を分割償還することができる。それにもかかわらず、例えば、複数のＰＣＡが接続されるので、一つのＰＣＡの撤回は全体集団を有効化しないことをＲＡの政策が指示するので、又は向上したプライバシーのために実際の配置は集団ごとにＵの多重値を含むことができる。

図１３に示したように、提案された統合バタフライ・キー拡張過程の帯域幅及び処理の利得は５０％に達するが、最悪の場合、ＳＣＭＳの元々の接近だけ最小限に効率的である。かかる利得は標準化ＣＡＭＰのために提案された接近である暗示的認証モデルにおいてより重要であることに注目することは興味深い。

結論.データ認証及びユーザプライバシーは、運転者又はシステム自体により知能型交通システムの乱用を防止するために必須である。しかし、これらは収容可能な解決策が制限された連結性及び処理パワーのような車両側での制約を処理する必要があるので、特に挑戦的なタスク(ｔａｓｋ)である。幸いにも、ＳＣＭＳの仮名認証書の提供及び撤回の過程は、性能及び拡張性イシューを考慮しながら、かかる要求過程をアドレスすることができる。

かかる過程を最適化することができる。即ち、本発明のいくつかの実施例は、２つの車両に備えられたキーが単一のキーにより代替される新規の統合バタフライ・キーの拡張を提供する。このようなエキストラキーを車両の要請に含める要求を除去することに加えて、この接近では、応答で生成された各仮名認証書から一つの署名を削除する(これにより、仮名認証書の生成、送信及び確認のための該当費用)。その結果、ＳＣＭＳの仮名認証書の提供プロトコルと比較する時、５０％高い処理及び帯域幅の節約(下流及び上流)が得られる。これは、車両ごとに備えられた認証書の数が数千(Ｗｈｙｔｅｅｔａｌ.を参照)から数万の範囲(この明細書に参照のために含まれた、ＶｉｒｅｎｄｒａＫｕｍａｒ、ＪｏｎａｔｈａｎＰｅｔｉｔ、ａｎｄＷｉｌｌｉａｍＷｈｙｔｅ、“Ｂｉｎａｒｙｈａｓｈｔｒｅｅｂａｓｅｄｃｅｒｔｉｆｉｃａｔｅａｃｃｅｓｓｍａｎａｇｅｍｅｎｔｆｏｒｃｏｎｎｅｃｔｅｄｖｅｈｉｃｌｅｓ”、ＩｎＰｒｏｃ. ｏｆｔｈｅ１０ｔｈＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎｓｅｃｕｒｉｔｙａｎｄｐｒｉｖａｃｙｉｎＷｉｒｅｌｅｓｓａｎｄＭｏｂｉｌｅＮｅｔｗｏｒｋｓ、ＷｉＳｅｃ’１７、ｐａｇｅｓ１４５－１５５、ＮｅｗＹｏｒｋ、ＮＹ、ＵＳＡ、２０１７、ＡＣＭを参照)になると予想されることを考慮する時、特に意味がある。上記利得は車両の方でもっと注目する必要があり、車両はシステムにおいて正確に最も資源－限定的なエンティティである。最終的には、提案されたスキームは暗示的又は明示的な認証書のために作用し、２つの場合において、相変わらずシステムの保安、柔軟性及び拡張性を保護する。

いくつかの実施例の利点は、最新の技術で特定された非効率性を避けながら、小さい情報から多数の仮名認証書を発行するための効率的な接近である。特に、ＳＣＭＳで採択された元々の"バタフライ・キー拡張"過程に比較する時、帯域幅及び演算節約が提供される。

いくつかの実施例において、疑似乱数関数f、f_s、f-_e がＳＣＭＳでのように存在することができる。特に、(Ｗｈｙｔｅｅｔａｌ.及びＣＡＭＰを参照)、対又は整数

が与えられた状態で、関数

はＮＩＳＴ曲線ＮＩＳＴｐ２５６(この明細書に参照のために含まれた、ＮａｔｉｏｎａｌＩｎｓｔｉｔｕｔｅｏｆＳｔａｎｄａｒｄｓ及びＴｅｃｈｎｏｌｏｇｙ．(１９９９、Ｊｕｌｙ) Ｒｅｃｏｍｍｅｎｄｅｄｅｌｌｉｐｔｉｃｃｕｒｖｅｓｆｏｒｆｅｄｅｒａｌｇｏｖｅｒｎｍｅｎｔｕｓｅ．利用可能な資料：ｈｔｔｐ：／／ｃｓｒｃ.ｎｉｓｔ.ｇｏｖ／ｇｒｏｕｐＳ／ＳＴ／ｔｏｏｌｋｉｔ／ｄｏｃｕｍｅｎｔｓ／ｄｓｓ／ＮＩＳＴＲｅＣｕｒ.ｄｏｃを参照)のように定義でき、特に：

、ｗｈｅｒｅ：
１)

は

、のビッグエンディアン整数の表現である、
２)x＋１、x＋２及びx＋３
は毎時間１ほどxを簡単に増分して得られる、例えば、
x＝０１・・・００であると、x＋１＝０１...０１、x＋２＝０１・・・１０、x＋３＝０１...１１である、
３)ＡＥＳに対する１２８ｂｉｔ入力x(シード)が時間周期から由来する。

暗号化キーのための拡張関数xが
x＝１３^２||i||j||０^３２
から由来することを除いて、上記のように定義できる。

上記定義において、f_kが可逆的である必要はないので、ＡＥＳがＤａｖｉｅｓ－Ｍｅｙｅｒモードで使用される。Ｄａｖｉｅｓ－Ｍｅｙｅｒモードは“－－.ＴＳ１０２８６７ｖ１.１.１、知能型交通システム(ＩＴＳ)に説明される；保安；この明細書に参照のために含まれたＩＥＥＥ１６０９.２に対してマッピングする段階３”。

ＡＥＳはf_kの出力が無視できるほどのバイアスで均一に分布されることを保障するために、３回適用される。

バタフライ・キー拡張の過程において、２つの整数(i,j)のうちの一つは所定の常数値に維持され、他の一つは０からβまで可変する。

その他の疑似乱数関数が使用される。疑似乱数関数(ＰＲＦ)は効率的なアルゴリズムがＰＲＦファミリーからランダムに選択された関数とランダムオラクル(出力がランダムに完全に固定した関数)の間で(相当な利点を有し)区別されないようにする。また非－疑似乱数関数が使用される。

本発明は特定の代数群に限定されない。安全なグループが適切である。いくつかの実施例がＳＣＭＳと同じ楕円曲線グループを使用する。ＮＩＳＴ－承認された楕円曲線が適切である。かかる楕円曲線はｈｔｔｐｓ：／／ｎｖｌｐｕｂｓ.ｎｉｓｔ.ｇｏｖ／ｎｉｓｔｐｕｂｓ／ＦＩＰＳ／ＮＩＳＴ.ＦＩＰＳ.１８６－４.ｐｄｆに説明されている。

本発明による方法は、段階の特定の手順に制限されない。例えば、図９Ａ及び図９Ｂにおいて、段階８２４は段階８２２の前に行われることができ、又は２つの段階が同時に行われることもできる。他の変更も可能である。

上記方法以外に、本発明では、発明の方法のうちの一部又は全部を行うように構成された演算及び通信エンティティ及びエンティティの一部を含む。例えば、図２に示すように、エンティティは貯蔵庫１５０Ｓに貯蔵されたコンピューター命令を実行する一つ以上のコンピュータープロセッサを含む。本発明では、上記方法のうちの一部又は全部を行うように貯蔵庫１５０Ｓ又は上述した要請ＩＤのような適切なデータ又はその一部からなり、及び／又はコンピュータープロセッサに対するコンピューター命令からなるその他のコンピューター読み取り可能な媒体を含む。本発明はデータ構造及び命令、そして送信(ネットワーク又は他のものによる)又はかかるデータ及び／又は命令を含む。

本発明はＰＣＡ、ＲＡ及び他の部分を行う特定のタイプのコンピューターシステムに制限されない。デバイス１１０は車両に設けられたデバイスに制限されない。

本発明はデジタル値の演算を行って、互いに通信するように動作可能なエンティティによる動作を含む。エンティティは例えば、ＲＡ又はＰＣＡ又はＭＡである。各エンティティは別途の装置、例えば、各エンティティに対する別途のプロセッサ１５０P及び別途の貯蔵庫１５０Ｓからなる図２に示すように、例えば、コンピューターにより具現されることができる。貯蔵庫１５０Ｓはプロセッサ１５０Ｐにより実行されたデータ及びコンピューター命令を保有する。他のエンティティが他の地理的領域に位置することができる。しかし、他のエンティティが同じコンピューター、例えば、クラウドコンピューター上で具現されることができる。各々のエンティティは他のエンティティのデータに接近しない。

例示的な実施形態が示され、説明されたが、上記開示では、広範囲の修正、変更及び置換が考慮され、場合によっては、実施形態のいくつかの特徴は、他の特徴の該当使用なしに採用され得る。当業者は、多くの変形、代替及び修正を認識するであろう。従って、本出願の範囲は、添付の特許請求の範囲によってのみ制限されるべきであり、特許請求の範囲は本明細書に開示される実施形態の範囲と一致する方法で広く解釈されることが適切である。

Claims

デジタル値の演算を行い、互いに通信するように動作可能なエンティティによりデジタル認証書を提供する方法において、前記デジタル認証書は認証動作においてデバイスにより使用され、夫々のデバイスは前記エンティティの一つであり、夫々のデジタル認証書は関連するデバイスによる使用のための前記デジタル認証書の公開キーデータを含み、前記方法は、
デジタル認証書を生成するための複数の要請を第１エンティティが受信する段階であって、前記第１エンティティは、前記デバイスが前記複数の要請をシャフリングすることに基づき、前記デジタル認証書が何れのデバイスと関連するかを通知されず、前記デジタル認証書は前記デジタル認証書に関連する個人復号化キーを用いて前記関連するデバイスにより復元可能である前記デジタル認証書から暗号化されたパッケージにおいて関連するデバイスに送信され、前記複数の要請は署名と暗号化の両方のための一つの統合されたコクーンキーを含む、段階を含み、
前記方法はさらに、前記第１エンティティが以下の動作を行うことを含み、
前記一つの統合されたコクーンキーを利用して、署名のためのバタフライキーと暗号化のためのバタフライキーの両方を生成する段階と、
前記署名のためのバタフライキーから、前記デジタル認証書の公開キーデータを生成し、前記デジタル認証書の公開キーデータを含む前記デジタル認証書を含む関連するパッケージを生成する段階と、
前記関連する暗号化パッケージを生成するために、前記暗号化のためのバタフライキーを用いて、前記関連するパッケージを暗号化する段階と、
伝達のための前記関連する暗号化パッケージを前記関連するデバイスに送信する段階を含む、デジタル認証書を提供する方法。
各要請は前記デジタル認証書を生成するためのものであり、前記第１エンティティは任意の異なる認証書が同じデバイス又は異なるデバイスに連関するか否かに関係なく、夫々のデジタル認証書が何れのデバイスと関連するかを通知されず、夫々のデジタル認証書は前記デジタル認証書に関連する個人復号化キーを用いて前記関連するデバイスにより復元可能な前記デジタル認証書から関連する暗号化されたパッケージにおいて関連するデバイスに送信される、請求項１に記載のデジタル認証書を提供する方法。
夫々のデジタル認証書に対して、前記関連するデバイスによる確認動作を行う段階をさらに含む、請求項２に記載のデジタル認証書を提供する方法。
前記暗号化されたパッケージは前記第１エンティティにより署名されていない、請求項２に記載のデジタル認証書を提供する方法。
前記第１エンティティは第２エンティティから前記要請を受信し、前記暗号化されたパッケージを前記関連するデバイスへの伝達のために前記第２エンティティに送信する、請求項２に記載のデジタル認証書を提供する方法。
夫々のデジタル認証書に対して、前記デジタル認証書の公開キーデータは、前記第２エンティティに知られていない値を用いて生成される、請求項５に記載のデジタル認証書を提供する方法。
夫々のデジタル認証書に対して、前記デジタル認証書の公開キーデータは、前記第１エンティティにより生成されたランダム値を用いて生成され、前記ランダム値は前記関連するパッケージの一部である、請求項２に記載のデジタル認証書を提供する方法。
第１エンティティに関連するシステムにおいて、前記第１エンティティはデジタル値の演算を行い、互いに通信するように動作可能な複数のエンティティの一つであり、前記システムは、
機械実行可能なコードを貯蔵する機械読み取り可能な媒体を含むメモリと、
前記メモリに結合され、前記機械実行可能なコードを実行するように構成された一つ以上のプロセッサと、を含み、
前記一つ以上のプロセッサは、
前記第１エンティティが、デジタル認証書を生成するための複数の要請を受信し、前記第１エンティティは、デバイスが前記複数の要請をシャフリングすることに基づき、任意の他の認証書が同じデバイス又は他のデバイスに連関するか否かに関係なく、それぞれのデジタル認証書が何れのデバイスと関連するかを通知されず、夫々のデジタル認証書は前記デジタル認証書に関連する個人復号化キーを用いて、前記関連するデバイスにより復元可能である前記デジタル認証書から暗号化されたパッケージの関連するデバイスに送信され、前記複数の要請は夫々のデジタル認証書に対して、署名と暗号化の両方のための一つの統合されたコクーンキーを含む、段階と、
前記一つの統合されたコクーンキーを利用して、署名のためのバタフライキーと暗号化のためのバタフライキーの両方を生成する段階と、
前記署名のためのバタフライキーから、前記デジタル認証書の公開キーデータを生成し、前記デジタル認証書の公開キーデータを含む前記デジタル認証書を含む関連するパッケージを生成する段階と、
前記関連する暗号化パッケージを生成するために、前記暗号化のためのバタフライキーを用いて、前記関連するパッケージを暗号化する段階と、
伝達のための前記関連する暗号化パッケージを前記関連するデバイスに送信する段階を実行する、システム。
前記暗号化されたパッケージは前記第１エンティティにより署名されていない、請求項８に記載のシステム。
前記一つ以上のプロセッサは、第２エンティティから前記要請を受信し、前記暗号化されたパッケージを前記関連するデバイスへの伝達のために前記第２エンティティに送信する、請求項８に記載のシステム。
夫々のデジタル認証書に対して、前記デジタル認証書の公開キーデータは、前記第２エンティティに知られていない値を用いて生成される、請求項１０に記載のシステム。
夫々のデジタル認証書に対して、前記デジタル認証書の公開キーデータは、前記第１エンティティにより生成されたランダム値を用いて生成され、前記ランダム値は前記関連するパッケージの一部である、請求項１０に記載のシステム。