JP7164218B2 - 通信システムにおける端末識別情報保護方法 - Google Patents

Description

本出願は、「通信システムにおける端末識別情報保護方法（Ｔｅｒｍｉｎａｌ Ｉｄｅｎｔｉｔｙ Ｐｒｏｔｅｃｔｉｏｎ Ｍｅｔｈｏｄ ｉｎ Ａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ）」という名称の２０１８年８月２８日提出のオーストラリア仮特許出願第２０１７９０３４６９号による利益を主張し、その内容の全体を参照により本明細書に援用する。

本開示は、通信システムに関する。特定の形態では、本開示は、衛星通信システムの端末を安全に識別する方法に関する。

多くの通信システムでは、端末には、全てのメッセージに含まれる固有の端末識別子（または端末ＩＤ）が割り当てられる。しかしながら、この端末ＩＤは一般的に数十ビットを消費し、一部の衛星通信または低電力通信システムでは、できるだけパケットを短くすることが望ましい。更に、端末識別子は暗号化されずに伝送される場合がほとんどである。これによって、送信端末が有効な端末またはシステムユーザであるか（したがって、メッセージを本物であるとして受理し、処理すべきか）を、受信側が決定することが可能になる。いくつかのシステムでは、メッセージ本文は暗号化され、端末ＩＤを平文で伝送することによって、受信側が、メッセージの残りの部分を認証し復号する、適正な端末キーを選択することが可能になる。しかしながら、この方策の１つの課題は、端末識別子を暗号化せずに伝送することによって、相手方が端末を識別し、場合によっては追跡できることである。

相手方の識別および追跡を軽減することができる１つの方策は、一組の識別子（即ち、識別子のプール）を端末または一組の端末に割り振り、（受信側には分かっている）この組から端末識別子を端末に選択させるものである。しかしながら、これによって相手方は端末を追跡しにくくなるが、特に、プールが小さく、相手方が拡張ベースで送信を監視してプールを決定することができる場合、課題がなくなるわけではない。別の方策は、公開／秘密キー暗号化を使用して「共有秘密」キーを導き出すものである。しかしながら、これには一般に、メッセージ本文で追加データを伝送する必要がある。更に別の方策は、端末が、一組の端末ＩＤおよび／または将来使用されるであろうキー・ペアを暗号化し送信するものである。しかしながら、かかる方策は、あたかもメッセージが失われ、それによって将来のキーの組が失われるような、同期の問題につながる。これは特に、メッセージ確認応答が不可能な（または提供されない）一方向通信チャネルの場合の問題である。更に、キーのプールを周期的に再伝送することによって更なる帯域幅が消費される。

発明が解決しようする課題

したがって、衛星通信システムの端末を識別する改善された方法を提供すること、または少なくとも、既存のシステムに対する有用な代替物を提供することが必要とされている。

第１の態様によれば、通信システムにおいて端末から受信したメッセージから端末ＩＤを決定する方法が提供され、方法は、
複数のアクセス・ノードと、複数のアクセス・ノードに動作可能に接続された認証ブローカーと、複数の端末とを含む通信システムのアクセス・ノードによって、固有の端末識別子（ＩＤ）を有する端末から送信されるメッセージと、端末キーとを受信するステップであって、受信メッセージが、少なくともメッセージ認証コード（ＭＡＣ）と、ｎビット・ハッシュと、暗号化されたメッセージ・テキストとを含み、少なくとも端末キーおよびノンスがＭＡＣを生成するのに使用され、端末ＩＤまたは端末キーのどちらも送信メッセージには含まれない、ステップと、
少なくとも受信したメッセージ認証コード（ＭＡＣ）およびｎビット・ハッシュを認証ブローカーに提供するステップであって、認証ブローカーが、通信システムの複数の端末に対する全ての（端末ＩＤ、端末キーの）ペアの組を格納する、ステップと、
端末キーの組を少なくとも２つのパーティションにパーティション分割し、ｎビット・ハッシュを使用して受信メッセージを送信した端末の端末キーを含む探索パーティションを識別するステップと、
ＭＡＣを認証する端末キーに関して探索パーティションを探索するステップと、
ＭＡＣを認証する端末キーを使用して端末ＩＤを識別するステップとを含む。

１つの形態では、ノンスは受信メッセージに含まれず、端末および認証ブローカーには分かっている既定のパーティション分割関数が、少なくともノンスおよび端末キーからｎビット・ハッシュを生成するのに使用され、方法は、ノンスを取得するステップを更に含み、ノンスは、認証ブローカーには分かっているかもしくは認証ブローカーによって推定可能なシステム情報、または端末および認証ブローカーの両方には分かっているかもしくは端末および認証ブローカーの両方によって推定可能な共通情報を使用して取得される。

更なる形態では、端末キーの組をパーティション分割するステップは、取得したノンスと端末キーとを既定のパーティション分割関数への入力として使用することによって、各端末に対してｎビットのテスト値を生成するステップと、同じｎビット・ハッシュを有する端末をグループ化するステップとを含み、探索パーティションを識別するステップは、ｎビットのテスト値が受信したｎビット・ハッシュと合致する端末を含むパーティションを選択するステップを含む。更なる形態では、既定の関数は、

（ノンス）であり、式中、Ｋは対応する端末キーである。

更なる形態では、ノンスは、端末の履歴の空間的、時間的、または空間時間的送信パターンを分析することによって取得される。更なる形態では、方法は、受信したものの送信元であった地理的領域を推定するステップを更に含み、ノンスを選択するステップは、既定の時間窓にわたってシステムの各端末に関して最後に分かっていた位置を使用して実施され、探索パーティションは、最後に分かっていた位置が推定された地理的領域内であった端末を含む。別の形態では、ノンスを取得するステップは、システムの送信端末のタイミングまたは周波数パターンを使用して実施され、探索パーティションは、受信した送信の時間に基づいて識別される。

１つの形態では、ノンス値は、メッセージの送信時間に関して決定された時間におけるカウンタの現在値を決定することによって取得され、カウンタは、受信側および送信側には分かっている衛星軌道のパラメータに基づいて、予め定められた基準時間および増分ポイントに関して計数される。更なる形態では、カウンタは、メッセージの送信時における複数の衛星のうちの衛星に関する軌道カウントであり、基準時間は基準エポックであり、増分ポイントは予め定められた軌道基準ポイントである。更なる形態では、軌道カウントは、衛星通信ネットワークの衛星に対するエフェメリス・データから決定される。更なる形態では、複数のアクセス・ノードは複数の衛星アクセス・ノードを含み、カウンタの基準である衛星は複数の衛星アクセス・ノードの１つである。

１つの形態では、パーティションの数は２つであり、パーティション分割および探索は、
端末に関して、既定のパーティション分割関数を端末キーおよびノンスに適用することによって取得されるｎビットのテスト値を計算するステップと、
端末に関して、ｎビットのテスト値が受信したｎビット・ハッシュと合致するかを決定し、ｎビットのテスト値が受信したｎビット・ハッシュと合致する場合、端末キーおよびノンスがＭＡＣの認証に成功するかを決定するステップとによって、全ての端末キーの組を通して反復することによって同時に実施される。

１つの形態では、ノンスは受信メッセージに含まれ、端末および認証ブローカーには分かっている既定のパーティション分割関数は、端末ＩＤからｎビットを選択するのにノンスを使用することによって、ｎビット・ハッシュを生成するのに使用され、端末キーの組をパーティション分割するステップは、受信したノンスおよび端末識別子を既定のパーティション分割関数への入力として使用することによって、各端末に関してｎビットのテスト値を生成するステップと、同じｎビット・ハッシュを有する端末をグループ化するステップとを含み、探索パーティションを識別するステップは、ｎビットのテスト値が受信したｎビット・ハッシュと合致する端末を含むパーティションを選択するステップを含む。更なる形態では、ノンスは、端末によって擬似乱数ソースから生成される。

更なる形態では、既定のパーティション分割関数は、
端末識別子をｍ個のｎビットの重なり合わない部分へとパーティション分割するステップと、
２^ｋ≧ｍの要件に依存する、ノンスの既定のｋビット部分の値ｊモジュロｍを計算し、Ｌビットの端末識別子のｊモジュロｍのｎビット部分を選択するステップとによって、ｎビットのテスト値をノンスおよび端末識別子から生成する。

更なる形態では、ノンスの既定のｋビット部分はノンスの最初または最後のｋビット部分である。

更なる形態では、パーティション分割は、端末の履歴の空間的、時間的、または空間時間的送信パターンを分析することに基づく。

１つの形態では、ノンスは受信メッセージに含まれ、端末キーの組をパーティション分割するステップは、メッセージを受信する前にｍ回のパーティション分割を生成するステップを含み、ｍ回のパーティション分割のうちｊ番目のパーティション分割は、
各端末識別子のｊ番目のｎビット部分を選択し、それらの端末識別子の同じｊ番目のｎビット部分を含む端末をグループ化して、各ｊ＝１，…，ｍに対して２^ｎ個のパーティションを形成するステップと、
メッセージを受信する際に、２^ｋ≧ｍの要件に依存する、ノンスの既定のｋビット部分の値ｊモジュロｍを計算するステップによって取得され、探索パーティションを識別するステップは、ｍ回のパーティション分割のうちｊ番目のパーティション分割において、それらの端末識別子のｎビット部分が受信したｎビット・ハッシュと合致する端末キーで構成されるパーティションを選択するステップを含む。

１つの形態では、ノンスは１６ビットのノンス値であり、ｎは７である。１つの形態では、ＭＡＣは３０ビットである。

１つの形態では、少なくとも２つのパーティションはそれぞれ関連するパーティション・キーを有し、ｎビット・ハッシュは、探索パーティションに関するパーティション・キーから生成されるパーティション・メッセージ認証コード（ｐＭＡＣ）であり、探索パーティションを識別するステップは、受信したｐＭＡＣを認証するパーティション・キーに関してパーティション・キーの組を探索するステップを含む。

１つの形態では、少なくとも２つのパーティションは、複数の階層状パーティション層を形成するようにツリー状にグループ化された複数のパーティションであり、各パーティションは関連するパーティション・キーを有し、ｎビット・ハッシュは、根ノードから探索パーティションを含む葉ノードまでツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コード（ｐＭＡＣ）の順序付き組み合わせであり、探索パーティションを識別するステップは、順序付き組み合わせから決定された層と関連付けられた受信したｐＭＡＣを認証するパーティション・キーに関して、ツリーの各層におけるパーティション・キーの組を探索することによって、ツリーを横断するステップを含み、葉ノード層と関連付けられた受信したｐＭＡＣをパーティション・キーが認証する葉ノードは、探索パーティションである。

１つの形態では、少なくとも２つのパーティションは、複数の階層状パーティション層を形成するようにツリー状にグループ化された複数のパーティションであり、葉ノード・パーティションを除く各パーティションは関連するパーティション・キーを有し、葉ノード・パーティションがそれぞれ単一の端末キーを含み、ｎビット・ハッシュは、根ノードから葉ノードまでツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コード（ｐＭＡＣ）の順序付き組み合わせであり、探索パーティションを識別するステップは、葉ノードの組が取得されるまで、順序付き組み合わせから決定された層と関連付けられた受信したｐＭＡＣを認証するパーティション・キーに関して、ツリーの各層におけるパーティション・キーの組を探索することによって、ツリーを横断するステップを含み、探索パーティションが、端末キーが端末のＭＡＣを認証する葉ノード・パーティションである。

更なる形態では、順序付き組み合わせは、根ノードから葉ノードまでツリーを横断することによって取得される順序であり、ｎビット・ハッシュは、探索経路における各ｐＭＡＣの探索パーティションに対する連結である。

１つの形態では、端末識別子は１２８ビットであり、端末キーは１２８または２５６ビットである。１つの形態では、パーティションの数は１００超過である。

更なる形態では、複数の既定のパーティション分割関数は端末キーの組をパーティション分割するのに使用され、メッセージは、複数の既定のパーティション分割関数からどの既定のパーティション分割関数が端末キーの組をパーティション分割するのに使用されるかを決定するのに、認証ブローカーによって使用される、少なくとも１ビットの標識フィールドを更に含む。

１つの形態では、通信システムは衛星通信システムであり、複数のアクセス・ノードは複数の衛星アクセス・ノードを含む。

第２の態様によれば、複数の端末と、複数のアクセス・ノードと、認証ブローカーとを含む通信システムのアクセス・ノードに送信する端末によって、認証済みメッセージを生成する方法であって、各端末が固有の端末識別子（ＩＤ）と端末キーとを格納し、認証ブローカーが、複数の端末それぞれに対する（端末ＩＤ、端末キーの）ペアの組を格納する、方法が提供され、方法は、
ノンス値を生成するステップと、
暗号化されたメッセージ・テキストを取得するのに、端末によって格納された端末キーおよびノンス値を使用して、送信のためのメッセージを暗号化するか、または送信のための暗号化されたメッセージ・テキストを取得するステップと、
端末によって、少なくとも端末キーおよびノンスからｎビットを生成するか、またはｎビットを端末ＩＤから選択することによってｎビットのテスト値を生成する、既定のパーティション分割関数を使用して、ｎビット・ハッシュを生成するステップであって、あるいはｎビットが、端末キーを含むパーティションと関連付けられたパーティション・キーから生成される１つまたは複数のパーティション・メッセージ認証コード（ｐＭＡＣ）を含む、ステップと、
少なくともノンスおよび端末キーを使用して、メッセージ認証コード（ＭＡＣ）を生成するステップと、
複数のアクセス・ノードのうちのアクセス・ノードに、端末によって、少なくともｎビット・ハッシュと、ＭＡＣと、暗号化されたメッセージ・テキストとを含むメッセージを送信するステップとを含む。

１つの形態では、ノンス値は、端末および認証ブローカーの両方には分かっているかもしくは端末および認証ブローカーの両方によって推定可能な共通情報を使用して決定され、ノンスは送信されず、既定のパーティション分割関数は、少なくとも端末キーおよびノンスからｎビット・ハッシュを生成する。更なる形態では、ノンスは、メッセージの送信時間に関して決定された時間におけるカウンタの現在値を決定することによって取得され、カウンタは、受信側および送信側には分かっている衛星軌道のパラメータに基づき、予め定められた基準時間および増分ポイントに関して計数され、ノンスは送信されない。１つの形態では、カウンタは、メッセージの送信時における衛星に関する軌道カウントであり、基準時間は基準エポックであり、増分ポイントは予め定められた軌道基準ポイントである。１つの形態では、ｎビット端末ハッシュは、

（ノンス）を使用して取得され、式中、Ｋは対応する端末キーである。１つの形態では、ｎビット端末ハッシュは、ＣＳＰＲＮＧからの出力ハッシュのうち最初または最後の７ビットである。

１つの形態では、ノンスは擬似乱数ソースから生成され、メッセージで送信され、既定のパーティション分割関数は、端末ＩＤからｎビットを選択することによって、ｎビット端末ハッシュを生成する。更なる形態では、ｎビット端末ハッシュを生成するステップは、
ノンスの既定のｋビット部分を選択するステップと、
２^ｋ≧ｍに依存する、端末識別子をｍ個のｎビットの重なり合わない部分へとパーティション分割するステップと、
ノンス値のｋビット部分の値ｊモジュロｍを計算するステップと、
端末識別子のｊ番目のｎビット部分をｎビット端末ハッシュとして選択するステップとを含む。

１つの形態では、パーティション関数は更に、複数のパーティションを複数の階層状パーティション層を含むツリーへとグループ化し、パーティション・キーは各パーティションと関連付けられ、ｎビット・ハッシュは、根ノードから端末キーを含む葉ノード・パーティションまでツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コード（ｐＭＡＣ）の順序付き組み合わせである。

１つの形態では、ノンスは暗号化されたメッセージ・テキストから生成され、ＭＡＣは、暗号化されたメッセージ・テキストおよびｎビット・ハッシュに署名するのに使用される。１つの形態では、ＭＡＣは３０ビットであり、ｎは７である。

上述の方法では、アクセス・ノードは衛星アクセス・ノードであってもよく、通信システムは衛星通信システムであってもよい。更なる態様によれば、プロセッサと、第１の態様の方法を実現するようにプロセッサを構成する命令を含むメモリとを備える、認証ブローカー装置、アンテナと、通信ハードウェアと、プロセッサと、第２の態様の方法を実現するようにプロセッサを構成する命令を含むメモリとを備える、端末装置、ならびに複数の端末と、複数の衛星であってもよい複数のアクセス・ノードと、認証ブローカー装置とを備える、通信システムが提供される。更なる態様によれば、固有の端末識別子を生成し、ネットワークの端末を登録する方法が提供される。

本開示の実施形態について添付図面を参照して記載する。

一実施形態による通信システムを示す概略図である。

一実施形態による端末キーのグループ化を示す概略図である。

一実施形態によるメッセージの第１のフレーム構造を示す概略図である。

一実施形態によるメッセージの第２のフレーム構造を示す概略図である。

一実施形態による登録メッセージのフレーム構造を示す概略図である。

一実施形態によるノンス値の決定を示す概略図である。

一実施形態によるｎビット端末ハッシュの決定を示す概略図である。

一実施形態によるノンスおよびｎビット端末ハッシュの決定を示す概略図である。

ＥＡＸ－ＡＥＳ暗号化スキームを使用する暗号化のアルゴリズムを示す図である。

ＥＡＸ－ＡＥＳ暗号化スキームを使用する復号のアルゴリズムを示す図である。

ＥＡＸ－ＡＥＳ暗号化スキームを使用するメッセージＭの暗号化を示す概略図である。

一実施形態による署名付きメッセージを生成する方法を示すフローチャートである。

一実施形態による端末ＩＤを決定する方法を示すフローチャートである。

別の実施形態による端末ＩＤを決定する方法を示すフローチャートである。

別の実施形態による端末ＩＤを決定する方法を示すフローチャートである。

一実施形態によるパーティションの階層状グループ化を示す概略図である。

以下の説明では、図面全体を通して類似の参照符号は類似のまたは対応する部分を指定する。

次に図１を参照すると、一実施形態による通信システムが示されている。この通信システムでは、端末によって伝送されるメッセージ・パケットに、端末キーを使用して端末によってデジタル署名して、メッセージの真正性を受信側でチェックすることを可能にしている（即ち、受信側は、受信メッセージが、システムが知っているかまたは登録している端末によって伝送されたことを検証する）。それに加えて、安全性を改善するため、送信メッセージにおいて端末識別子が省略される（即ち、含まれない）。これによって、受信側において、端末キーの完全な組を探索してメッセージを認証する端末キーを識別しなければならないので、潜在的な計算の負担が生じる。したがって、受信側を支援するため、全ての可能な端末キーの組がパーティション分割され、どのパーティションが送信を行った端末の端末キーを含むかを受信側が決定するのを可能にする方法が提供される。そのため、受信側は、受信メッセージを認証するキーを見つけるのに、このパーティションのみを探索すればよいので、認証ステップにおける計算コスト（または負担）が低減される。通信システムのこの特徴および他の特徴については、以下に考察する。

図１に示される通信システムは、同等に通信ネットワークと呼ばれることがある。いくつかの実施形態では、通信システムは衛星通信システムである。このシステムまたはネットワークは、パブリッシャー・サブスクライバー・モデルを使用し、以下のシステム（またはネットワーク）エンティティを備える。
端末１０：端末内の通信モジュールは、アクセス・ノードに対するコア・ネットワーク接続性を提供する。端末１０には、デバイス１２およびセンサ１４の両方が取り付けられてもよい。これらは、物理的に取り付けられるかもしくは統合されてもよく、またはローカル有線もしくはローカル無線リンクを通じて端末に動作可能に接続されてもよい。
デバイス１２：これらのエンティティは、認証ブローカーを介して、登録しているデータを受信する。
センサ１４：これらのエンティティは、他のネットワーク・ノードを意識せずにデータを発行する。センサはまた、一時的制御データを受信し、ＡＣｋメッセージを発行するなどを行うことができてもよい。
アクセス・ノード２０：複数のアクセス・ノードは、複数の端末との無線通信を提供する。いくつかの実施形態では、アクセス・ノードは衛星アクセス・ノードである。他の実施形態では、アクセス・ノードは、大部分は衛星アクセス・ノードであってそれといくつかの地上基地局との組み合わせである。他の実施形態では、アクセス・ノードは、衛星、空中、および地上アクセス・ノードの組み合わせである。いくつかの実施形態では、アクセス・ノードは地上アクセス・ノードである。アクセス・ノードはコア・ネットワーク２に対するアクセスを提供する。
アクセス・ゲートウェイ３０：これらは、アクセス・ノードと認証ブローカーとの間のゲートウェイとして作用する。ゲートウェイは、アクセス・ノード２０（例えば、衛星に搭載）と組み合わされてもよい。
認証ブローカー４０：パブリッシャーとサブスクライバーとの間のブローカー。ブローカーは、受信メッセージが登録された端末からのものであると認証し、端末ＩＤを決定する。
アプリケーション・ゲートウェイ５０：多数のインターフェースを実現する、アプリケーション６０とブローカー４０との間のデータ・ゲートウェイ。これは、クラウド・ベースのインターフェースであってもよい。インターフェースは、顧客制御のエンドポイント、または顧客アクセス可能なエンドポイントへ転送する、メッセージ・キュー・テレメトリ・トランスポート（ＭＱＴＴ）インターフェースを含む。
アプリケーション６０：顧客アプリケーション。これらは、例えばクラウド・ベースのアプリケーション・ゲートウェイへの、有線および無線リンクを通じて、アプリケーション・ゲートウェイと通信する。

ネットワークは、複数の端末１０と、衛星アクセス・ノードなどの複数のアクセス・ノード２０とを備える。コア・ネットワーク２は、アクセス・ノード（衛星および地上）と、アクセス・ゲートウェイ３０と、認証ブローカー４０と、アプリケーション・ゲートウェイ５０とを備える。ブローカー４０は、アプリケーション・ゲートウェイ５０を介してアプリケーション６０とデータ６２を交換し、アプリケーション６０によって情報６４を直接制御することができる。コア・ネットワーク２の構成要素は、通信リンクを通じて分配され、通信してもよい。一部の構成要素はクラウド・ベースであってもよい。システムは、特に、アクセス・ノードの大部分が衛星アクセス・ノードである衛星通信システムに適合されているが、様々な実施形態は、衛星アクセス・ノード、空中アクセス・ノード、および地上アクセス・ノード（移動地上アクセス・ノードを含む）の様々な組み合わせによるもの、または完全に空中もしくは完全に地上のアクセス・ノードを含む３つの様々な組み合わせによるものを含む、他の通信システムで使用されてもよいことが理解されるであろう。

上述したように、端末の識別情報を保護するため、端末は送信メッセージに端末識別子を含まず、メッセージは、端末キーおよびノンス値を使用して生成されるメッセージ認証コード（ＭＡＣ）で署名され、出力ＭＡＣは送信メッセージに含まれる。次に、ＭＡＣは、受信側（および特に、認証ブローカー）によって、メッセージが登録端末または既知の端末によって伝送されたものであると検証するのに使用される。これには、受信側または認証ブローカーが、ＭＡＣを生成するのに使用される端末キーおよびノンスの両方を分かっていることが必要である。システムは、全ての端末キーの組をパーティション分割する方法と、受信メッセージを伝送した端末の端末キーを含む探索パーティションを決定する補完的な方法とを実現する。このキー空間のパーティション分割によって、全ての可能な端末キーを用いて受信メッセージの認証を試行して、限定された探索の実施を可能にし、それによって方法の計算効率を高めるための計算コストが低減される。探索を行うパーティションは、本明細書では、探索パーティションと呼ばれることがある。また、送信を行った端末の端末キーを含むパーティションであることに基づいて、ソース・パーティションと呼ばれる場合もある。探索（もしくはソース）パーティションの決定は受信側で実施され、アクセス・ノード２０自体などの受信側で実施されてもよく、または受信側／アクセス・ノード、もしくは受信側／アクセス・ノードの下流側の他の何らかのモジュールに動作可能に接続された、認証ブローカー４０によって実施されてもよい。後述するように、このプロセスにおいて認証ブローカー（または他の受信側エンティティ）を支援するため、パーティション識別コード（またはフィールド）がメッセージに含まれる。便宜上、このパーティション識別コードをｎビット・ハッシュと呼ぶこととし、暗号学的ハッシュ関数または他の何らかの関数もしくは方法によって生成されてもよい。パーティション識別コード（またはｎビット・ハッシュ）は、一般的に、メッセージ・フレームの単一フィールドであるが、複数のフィールドにわたって拡散できることが理解されるであろう。ｎビット・ハッシュを生成するのに使用される方法は、ノンスが送信メッセージに含まれるか否かに応じて決まる。受信側では、ｎビット・ハッシュは、受信メッセージに対する探索パーティションを決定するのに使用され、ｎビット・ハッシュを生成するのに使用される方法は、（例えば、パーティションの事前計算を可能にするため）全ての端末の組をパーティション分割するのにも使用されてもよい。一実施形態では、ｎビット・ハッシュは、端末キーおよびノンス値の関数（ならびに任意に、端末ＩＤなどの他の情報）から取得され、ノンスはメッセージには含まれない。代わりに、ノンスは、受信側には分かっているかもしくはそれによって誘導可能／推定可能なシステム情報を使用して、または送信側および受信側の両方には分かっているかもしくはそれら両方によって誘導可能／推定可能な共通情報を使用して決定され、あるいはメッセージは、探索パーティションを識別する際に受信側を支援する情報を含んでもよい。他の実施形態では、ノンスは、端末によって生成されるとともにメッセージに含まれ、ｎビット・ハッシュは、送信側および受信側の両方には分かっている方法にしたがって、端末ＩＤから生成される。例えば、端末ＩＤはｍ個の部分に分割されてもよく、（端末および認証ブローカーの両方によって分かっている）ノンスの既定の部分は、端末ＩＤのｍ個の部分のうちどれをｎビット・ハッシュとして使用するかを決定するのに使用される。ノンスが取得されると、次に、認証ブローカーは、探索端末をパーティション分割し、ｎビット・ハッシュを使用して探索パーティションを決定することができる。一般的に、端末キーはまた、（暗号文と呼ばれる）メッセージで伝送されるメッセージ・テキストを暗号化するのに使用され、したがって、端末キーを識別することによって、受信した暗号文を復号して元のメッセージ・テキストを回復できるようにすることが可能になる。しかしながら、他の実施形態では、メッセージ・テキストは端末キーとは異なるキーを使用して暗号化することができ、その場合、メッセージが既知の端末によって伝送されたことの認証が成功すると、メッセージ・テキストを暗号化するのに使用されるキーがわかっている（したがって、暗号文を復号することができる）、下流側のシステムまたはエンド・ユーザ・エンティティまたはアプリケーションに暗号文を渡すことができる。

図２は、一実施形態による端末キーのパーティション分割（またはグループ化）を示す概略図である。システムは複数の端末を備え、各端末１０は、固有の端末識別子（ＩＤ）１２によって識別されるとともに、メッセージにデジタル署名し、また任意にメッセージを暗号化するのに使用される、関連する端末キーＫ １４を有する。端末キーおよびノンスは、メッセージを認証するのに使用することができる、メッセージ認証コード（ＭＡＣ）を生成するのに使用される。この実施形態では、端末キーはまた、メッセージ・テキストを暗号化して暗号文を生成するのに使用され、暗号文およびＭＡＣは送信されるメッセージに含まれる。受信側は、候補のキーをテストして、ＭＡＣを認証するかを決定する。いくつかの実施形態では、メッセージの暗号化および認証に、端末ＩＤが端末キーとともに使用される。例えば、ＥＡＸ認証方法が使用される実施形態では、端末ＩＤを入力ヘッダとして使用することができる。したがってこの場合、端末ＩＤおよび端末キーの両方が、テキストを暗号化し、ＭＡＣを生成するのに使用され、したがって、受信メッセージの認証および復号に必要である。しかしながら、端末キーは端末ＩＤとペアにされるので、一方を識別することによって両方の識別が可能になる。したがって、便宜上、概して端末キーの識別または使用について言及するが、これは、既知のペアリングによる端末キーおよび端末ＩＤの識別または使用と等価であることが理解されるべきである。

いくつかの実施形態では、ＭＡＣの認証（または検証）は二値の結果（真／偽）を返す。同じ端末キーがＭＡＣの生成とメッセージ・テキストの暗号化に使用された場合、ＭＡＣを認証するこの端末キーが暗号文を復号するのに使用される。いくつかの実施形態では、認証および復号は同じ操作の一部として実施される（候補のキーがＭＡＣを有効にしない場合、復号されたテキストが返されないか、または任意の「復号された」テキストが、元のメッセージ・テキストに戻る真の復号ではないものとして破棄される）。メッセージ・テキストが、ＭＡＣを生成するのに使用される端末キーとは異なるキーを用いて暗号化された場合、受信した暗号文は、メッセージ・テキストを暗号化するのに使用されるキーが分かっているエンティティによる復号のため、下流側のエンティティに渡される。この実施形態では、端末ＩＤはＬビット列であり、端末キーはＸビット長である。一般的に、ＬおよびＸは２の累乗であり、同じ長さであっても（または異なっても）よい。例えば、Ｌは１２８ビットであってもよく、Ｘは１２８ビットまたは２５６ビットであってもよい。しかしながら、システム内の一意性に対応できる限り、他の適切な長さが使用されてもよい。これらは、一般的に、端末メーカーによって作成され割り当てられる（しかしながら、ネットワーク・コントローラがこの機能を実施することができる）。これらはともに、端末１０によって格納される（端末ＩＤ、端末キーの）ペアを形成する。端末はネットワークに登録されるので、認証ブローカー４０は、ネットワークで登録された端末に対する全ての（端末ＩＤ、端末キーの）ペア２００のデータベース２４２を格納する（またはそれに動作可能に接続される）。あるいは、認証ブローカーは、ネットワークには分かっている情報から、全ての（端末キー、端末ＩＤの）ペアの組を計算または決定することができてもよい。全ての端末キーのこの組は、メッセージ署名を認証して、受信メッセージの真正性および整合性を検証し、（端末ＩＤ、端末キーの）ペアを介して、メッセージを送信した端末を識別するのに使用される。認証ブローカーは更に、本明細書に記載される方法の実施形態を実現するように構成することができる、１つまたは複数のプロセッサ２４４を備える。いくつかの実施形態では、このタスク、または認証ブローカーの全ての機能性は、例えば衛星に搭載された、または受信側装置の下流側にある、アクセス・ノード内で直接実施される。

図７Ａは、一実施形態による署名付きメッセージを生成する（送信側）方法７００のフローチャート、図７Ｂは、それに対応する、一実施形態による端末ＩＤを決定する（受信側）方法７１０のフローチャートである。方法７００は広く、ノンス値の生成７０１を含む。これは、端末には分かっている情報を使用して生成されてもよく、または暗号学的ハッシュ関数などの擬似乱数ソースから生成されてもよい。ステップ７０２で、ｎビット端末ハッシュが生成される。ノンスがどのように生成されるかに応じて、これは、ノンスおよび端末キーの暗号学的ハッシュ関数を、また任意に端末ＩＤ（例えば、ＥＡＸ方法もしくは変形例のＯＭＡＣ^３ _Ｋ（ノンス）関数を使用する）を使用して生成されてもよく、または端末ＩＣの選択されたビットから生成されてもよい。任意のステップ７０３で、メッセージ・テキストも、暗号文と呼ばれる暗号化されたメッセージ・テキストを取得するのに、ノンスおよび端末キーを使用して暗号化されてもよい。ステップ７０４で、メッセージ認証コード（ＭＡＣ）は、ノンスおよび端末キーを使用して生成されてもよく、ステップ７０５で、メッセージが構成され送信され、メッセージは少なくともｎビット端末ハッシュ、暗号文、およびＭＡＣを含む。ヘッダなどの追加情報が含まれてもよいが、端末識別子は省略される。方法に応じて、ノンスが含まれるか、または送信メッセージから除外されてもよい。メッセージを暗号化するステップおよびＭＡＣを生成するステップは、別個にまたはともに実施されてもよい。いくつかの実施形態では、ＭＡＣは暗号文の暗号に基づいて生成され、ｎビット端末ハッシュは認証されない。他の実施形態では、ＭＡＣは、ｎビット・ハッシュおよび暗号文の両方を認証するのに使用することができるように生成される。例えば、暗号化ステップ７０３は、ｎビット端末ハッシュおよびメッセージの連結を暗号化し、暗号文およびｎビット端末ハッシュの両方に署名しそれらを認証するのに使用することができる、ＭＡＣを生成することができる。一実施形態では、ＭＡＣのｚ個の最上位ビットのみがメッセージに含まれる。

図７Ｂは、メッセージを認証し、受信メッセージを送信した端末の端末ＩＤを識別する、対応する受信側方法を示している。衛星アクセス・ノードなどの受信側は、ｎビット端末ハッシュ、ＭＡＣ、および暗号文を含む送信メッセージを受信する（７１１）。次に、メッセージから、または端末によって使用されるノンスを独立して決定することによって、ノンスが取得される（７１２）。次に、受信側（または一般的に、受信側の、もしくは受信側に接続された認証ブローカー）は、ｎビット・ハッシュを使用してＭＡＣを認証する端末キーを含む、探索パーティションを決定し（７１３）、ステップ７１６で、このキーの探索パーティションを探索する。これは、一般的に、探索パーティションの各端末キーをテストして、ＭＡＣを認証するかを決定することを伴う。ＭＡＣを認証する端末キーが見出された場合、ステップ７１７で、（端末キー、端末ＩＤの）ペアリングが分かっていることを用いて、端末ＩＤを識別することができる。一実施形態では、探索パーティションの全ての端末キーがテストされ、ステップ７１７は、単一のキーが見出された場合のみ実施される。メッセージを認証する複数のキーが見出された場合、メッセージは破棄される。任意のステップ７１８で、対応する暗号化ステップ７０３が実施されたものと仮定して、暗号文が端末キーおよびノンスを使用して復号される。ステップ７１７および７１８の認証および復号は、同時に、または別個の動作として実施されてもよい。次に、復号メッセージ（またはステップ７１８が実施されない場合、暗号文）を、更なる処理のため、別のシステム・エンティティに提供することができる（例えば、ゲートウェイ、および最終的にはアプリケーション６０）。

図７Ｃは、図７Ｂに示される方法の変形例を示している。この実施形態では、ｎビット・ハッシュを使用して探索パーティションを決定するステップ７１３は、最初に、各端末のｎビット・テスト値を計算することによって端末をパーティション分割し、次に同じｎビット・テスト値を共有する端末をグループ化して、複数のパーティション７１４を形成することによって実施される。このパーティション分割は、メッセージを受信する前に行われてもよい（事前パーティション分割）。例えば、ｎビット・テスト値は、ノンス、端末キー、および端末ＩＤの暗号学的ハッシュ関数から取得されてもよく、したがって、受信側が、使用されるであろうノンス値を分かっている場合、メッセージの到着前に端末をパーティション分割することができる。ステップ７１５で、探索パーティションは、ｎビット・テスト値が受信メッセージ７１１のｎビット端末ハッシュと合致する、パーティション含有端末として選択される。この端末キーの事前パーティション分割は図２に示されている。全ての端末キー（もしくは端末ＩＤ、キーのペア）の組２００は、複数のパーティション２２０にパーティション分割され（２１０）、各パーティション２２２は、本明細書に記載するようなパーティション分割方法を使用する、端末キーの重なり合わないグループまたはサブセットを含む。各パーティション２２２は、数値的パーティション指数２２１でラベル付けされてもよい。マッピング関数であってもよく、またはマッピング関係が端末１０および認証ブローカー４０の両方に、もしくは認証ブローカー４０のみに分かっていてもよい、既定のパーティション分割関数２１０は、少なくとも端末キーおよび／または端末ＩＤを使用して、端末をパーティション分割する。パーティションのサイズとも呼ばれる、パーティションにおけるキーの数は、必ずしも同一でなくてもよい。

いくつかの実施形態では、パーティション分割関数２１０は、全ての端末キーの組２００を２つのパーティションへとパーティション分割する。これは、受信メッセージを送信した端末の端末キーを含む（もしくは含むことが予期される）探索パーティション２２４と、他の全ての端末を含む第２のパーティションとに分割されるものであってもよい。端末を探索パーティション２２４および第２の（候補ではない）パーティションへと分割することは、何らかの基準もしくは確率閾値に基づいてメッセージを送信した可能性があると決定された、端末の探索パーティションへの明確な包含に基づいていてもよく、あるいは分割は、やはり何らかの基準もしくは確率閾値に基づいて、メッセージを送信したことが予期されない端末に基づいた、第２のパーティションへの端末の明確な排除に基づいていてもよい。例えば、全ての端末のセットを通るループ（もしくは他の反復的探索）を実施することができ、各端末は、候補の端末であるか、またその場合は探索パーティションに追加されるかを決定するためにテストされる。ループが完成すると、認証キーが見出されるまで、探索パーティションの端末を通して探索が実施される。探索は、単一の認証キーが見出されることを確保する、完全な探索であってもよい（即ち、探索パーティションの全てのキーがテストされる）。他の実施形態では、パーティション分割は、二段階テストの方策を使用することによる、全ての端末の組を通る反復またはルーピングの間、暗黙に実施される。全ての端末の組を通して反復（例えば、ループ）が行われ、第１の候補のテストは、端末が送信端末（即ち、候補の端末）である可能性があるかを決定する。このテストに合格した場合のみ、計算的により高価な認証テストがこの候補の端末に対して実施される。あるいは、第１の候補のテストは、端末が確実に送信端末ではないかを決定することができ、その場合、第２の認証テストを飛ばし、次の端末がテストされる（即ち、この方策はブルーム・フィルタ法に類似している）。この方策は、第１の候補の試験段階の計算コスト（即ち、時間および／または資源）が第２の認証テスト段階よりも少ない場合に有効である。

図７Ｄは、全ての端末の組を通した探索の間に、パーティション分割および認証テストが暗黙に（即ち、同時にもしくはオンザフライで）行われる、図７Ｂの方法の変形例である、端末ＩＤ ７２０を識別する方法を示している。ステップ７２１および７２２はステップ７１１および７１２と同一であり、ステップ７２３で、全ての端末の組における次の端末を選択することによって、全ての端末の組を通るループが実施される。選択された各端末に関して、端末７２４のｎビット・テスト値が計算され、ステップ７２５で、これが受信したｎビット端末ハッシュと比較される。それらが合致しない場合、ループは反復してステップ７２３に戻り、次の端末が選択される。しかしながら、ｎビット・テスト値が受信したｎビット端末ハッシュと合致する場合（はい）、認証テストが実施され、端末キーが受信メッセージのＭＡＣを認証するかが決定される（７２６）。テストが不合格の場合（キーがＭＡＣを認証しない）、ループは反復してステップ７２３に戻り、次の端末が選択される。ＭＡＣを認証するキーが識別されると（はい）、探索を停止する（ループを出る）ことができ、従来のように、認証キー（例えば、データベース２４２から）とペアリングされるかまたは関連付けられた端末ＩＤを検索することによって、端末ＩＤが識別される（７２７）。次に、暗号文を復号するか、別のシステム・エンティティ（例えば、ゲートウェイ、および最終的にはアプリケーション６０）に提供して更なる処理を行うことができる。任意に、第１の認証キーが見出された後に探索を終了するのではなく、認証端末キーはステップ７２８で格納され、全ての可能性がある端末キーがテストされるまで、残りの端末を通して探索が継続される（即ち、ステップ７２３に戻る）。次に、ステップ７２９で、ＭＡＣを認証した１つの端末キーのみが見出されるかを決定する、テストが実施される。１つのキーのみが見出された場合（はい）、メッセージが検証され、端末ＩＤがステップ７２７で見出される。しかしながら、複数の認証キーが見出された場合（ステップ７２９のいいえ）、メッセージは破棄される（７３０）。

他の実施形態では、明確なパーティションの数は２よりもはるかに大きく、数百または数千のパーティションがあることを含む。やはり、パーティションのサイズは同一でなくてもよいが、いくつかの実施形態では、全てのパーティションが類似または同一のサイズであってもよい。好ましくは、パーティション分割方法は、認証段階の間に効率的なキー探索を実施できるように、探索パーティションのサイズが合計のキー・プールのサイズよりもはるかに小さいことを確保するように選ばれる。例えば、パーティションがほぼ同じサイズの場合、また全ての端末キーが事前パーティション分割されることを仮定すると、効率向上はパーティションの数にほぼ等しい（例えば、１００個の等しいサイズのパーティションは、探索の必要がある端末キーの数が１００分の１になることを表し、したがって探索効率が１００倍に増大する）。多くの例では、明確なパーティションの数は、二値ラベル付けおよび計算処理を容易にするため、２の累乗かまたは２の累乗よりもわずかに少ない。例えば、図２に示される実施形態では、２^ｎ個のパーティション（またはグループもしくはサブセット）があり、既定のマッピング関数２２０は各端末を２^ｎ個のパーティションの１つに割り振る。例えば、この場合、８個のパーティション（ｎ＝３）があり、送信端末１０（ＩＤ^＊，Ｋ^＊）は、この場合は４番目のパーティション（二進表現１００）である、ｐ番目のパーティション２２４にマッピングされるかまたは割り振られる。このｐ番目のパーティション２２４は、探索パーティションであり、送信端末２２６のキーを含む縮小された組の端末キーを含む。このグループ２２４のキー探索が実施され、各キーは、受信メッセージのＭＡＣを認証し暗号文を復号することを確かめるためにテスト（即ち、使用）される。ＭＡＣを認証するキーＫ^＊が識別されると、探索を停止することができ、端末ＩＤ ＩＤ^＊は、キーとペアリングされた（または関連付けられた）端末ＩＤ（例えば、データベース２４２のペア２２６）を検索することによって識別される。あるいは、探索パーティションの全ての端末キーがテストされて、キーＫ^＊がＭＡＣを認証する探索パーティションの唯一のキーであることが確保される。

いくつかの実施形態では、ノンスの取得は、認証ブローカーには分かっているかもしくはそれによって推定可能（または誘導可能もしくは決定可能）なシステム情報を使用して、または送信側および認証ブローカーの両方には分かっているかもしくはそれら両方によって誘導可能もしくは推定可能な共通情報を使用して実施される。例えば、いくつかの実施形態では、ノンスは省略されるが、端末および認証ブローカーによって別個に決定され、既定のパーティション分割関数は、ノンスおよび端末キーを使用してｎビット・ハッシュを生成する。例えば、ｎビットはＯＭＡＣ^３ _Ｋ（ノンス）によって取得されてもよい。認証ブローカーは、ノンスを決定し、既定のパーティション分割関数を全ての端末キーに適用して、それらをパーティション分割することができる。次に、探索パーティションがメッセージのｎビット・ハッシュに基づいて識別される。システム情報は、空間的、時間的、または空間時間的など、端末の履歴送信パターンであってもよい。この場合、探索パーティションは、送信元の時間もしくは地理的領域、および／または送信側位置などの送信パラメータ、または送信側がいつもしくはどの程度の頻度で送信を行えるかなどの構成パラメータなど、受信した送信のパラメータに基づいて識別される。これらのパラメータは、端末の履歴送信パターンをパーティション分割し、任意の所与の送信における詳細によって、探索パーティションを複数のパーティションから識別することが可能になる。上述したように、認証ブローカーは、（端末ＩＤ、端末キーの）ペアのデータベース２４２を格納する。この情報は、認証ブローカーによってデータベース２４２に格納されてもよく、または別のエンティティによって格納され、認証ブローカーがパーティション分割に利用するのが可能にされてもよい。この後者の例を包含するため、認証ブローカーの広範な解釈を使用してかかるエンティティを包含し、即ち、認証ブローカーは分散されたエンティティであってもよく、物理的資源またはデータベースを他のシステム・エンティティと共有してもよい。いくつかの実施形態では、認証ブローカー・データベース２４２は、何らかの時間フレームにおける最後の送信の記録、または最後のＮ個の送信、あるいは端末がいつまたはどの程度の頻度で送信（もしくは再送信）を行えるかに対する任意の制限など、各端末の何らかの構成パラメータなど、端末送信に関する追加情報を格納するように構成される。次に、この情報を認証ブローカーによって使用して、端末をパーティション分割することができる。これらの実施形態は、暗黙のパーティションおよび探索、即ち、全ての端末の組を通る反復ならびにパーティションおよび探索テストの実施を使用して実現されてもよく、パーティションの数は、２つ超過、一般的には数百、数千、または更には１００，０００など、２つをはるかに超過してもよい。サイズは、端末の数に応じて、ならびに全ての端末キーを探索しなければならない場合を上回る効率を達成するのに使用される、正確なパーティション分割基準に応じて決まる。

一実施形態では、履歴の空間的または空間時間的パターンは、例えば地理的関連情報に基づいて、端末をパーティション分割するのに使用される。例えば、端末キーは、何らかの時間窓にわたる端末の最後に分かっていた地理的位置に基づいて、パーティション分割されてもよい。例えば、これは、最近の送信（即ち、時間窓が現在時間までである）、または先週の、もしくは昨日の終わり（０：００ＵＴＣ）など、何らかの基準時間ポイントまでの最近の送信であってもよい。受信したものの送信元である地理的領域の推定値が利用可能な場合、探索パーティションは、最後に分かっていた位置が推定された地理的領域内にあった端末を含むパーティションである。この実施形態では、システムの地理的な合計設置面積は、各パーティションが明確な（重なり合わない）地理的領域をカバーする、複数の地理的パーティションにパーティション分割される。システムの地理的な合計設置面積は、地球全体、あるいは通信システムに対応している、地球のある領域または国もしくは国のグループであってもよい。端末は、何らかの時間フレーム（最近の２４時間もしくは週における最近の送信）にわたる各端末の最後に分かっていた位置に基づいて、またはカットオフ（もしくは閾値）時間ポイント（０：００ＵＴＣ）までの端末からの最後の送信に基づいて、これらの地理的パーティションに割り振られる。次に、受信側は、送信の地理的位置と、どのパーティションが地理的領域を含むかを決定し、そのパーティションに割り振られた端末のキー探索を実施する。いくつかの実施形態では、地理的パーティションの次元（または境界もしくはサイズ）は、見込まれる端末の分布の推定値、および／または衛星設置面積のサイズ、または位置推定における誤差に基づく。好ましくは、地理的パーティションはそれぞれ類似の数の端末を含む。

別の変形例では、端末を既定の地理的パーティションに事前に割り振るのではなく、パーティション分割は、送信時間に送信側を含むことが予期された領域の受信した送信時間および次元（境界）に基づいて行われてもよい。この方法では、送信時間と、送信側を含むことが予期された領域による推定値とが記録される。上述したように、これは、送信時間における衛星設置面積、または受信信号の信号処理に基づいた設置面積（例えば、到達角度に基づいた推定値）、または推定位置に対する誤差制限によって規定される領域の推定値であってもよい。次に、全ての端末の組は、例えば、時間フレーム内もしくはカットオフ時間ポイントまでの各端末の最後に分かっていた位置に基づいて、領域内にあることが予期される端末、ならびに領域内にない端末（即ち、探索パーティションおよび第２のもしくは他のパーティション）へとパーティション分割される。次に、領域内（即ち、探索パーティション内）にあることが予期される端末に対して、端末キー探索が実施される。

別の実施形態では、パーティション分割は、時間的、または空間時間的パターンなど、端末の履歴送信パターンに基づいて実施することができる。例えば、端末は、送信の頻度に基づいてパーティション分割することができるので、頻度に基づいたパーティション分割によって、最も高頻度で送信する端末が最初に探索され、次にそれよりも低い頻度で送信する端末が探索されることが確保される。別の実施形態では、端末がいつ送信してもよいかの制限が付与されてもよい。例えば、一部の端末は、週のうち特定の日のみに送信を行うように構成されてもよく、したがって、この既知の情報に基づいて端末をパーティション分割することができる。別の実施形態では、端末は、例えば、衛星パスもしくは日ごとに１回、または何らかの整数のパスもしくは日ごとに１回（５パスごとに１回、もしくは５日ごとに１回）のみ送信を行って、送信を離隔させるように構成されてもよい。この場合、端末は、それらがいつ最後の送信を行ったかに基づいてパーティション分割することができる。したがって、端末は、潜在的に送信を行うことができるもの、および以前の送信の時間に基づいて除外された端末を含むパーティションに、パーティション分割することができる。他の実施形態では、端末は、送信の確率が時間に伴って増加する、確率閾値を使用してもよい。例えば、端末は、送信の確率をゼロに設定し、次に送信の可能性ｐを時間に伴って増加することによって、２４時間の間は再送信しないようにされてもよい。例えば、ｐ＝０．０１×ｔ－０．２４であり、式中、ｔは端末による最後の送信からの時間（ｈｏｕｒ）単位の時間である。端末によって使用される送信関数の確率、および最後の送信からの時間を知ることによって、送信時間（または、送信時の時間（ｈｏｕｒ））の現在の送信確率に基づいて、端末の組をパーティション分割することができる。例えば、パーティションは確率範囲（例えば、＝１，０．９～１、０．８～０．９など）に対応することができ、探索順序は最も高確率のパーティションから最も低確率のものへと進行する。

追加の時間的データは空間的データと組み合わせることができる。例えば、端末の最後に分かっていた位置を、端末がいつ送信できるかに対する制限と組み合わせて使用して、位置および最後の送信時間に基づいて、端末を送信できたものと送信から除外されたものとにパーティション分割することができる。あるいは、パーティションは、可能性の順序で（即ち、地理的領域において、送信確率が高いものを最初に）探索することができる。他の実施形態では、端末はまた、配置のうち特定の衛星のみに送信するように制限することができ、または、例えば特定の衛星に送信するか否かの決定を行うのに確率閾値を使用することによって、特定の衛星に優先的に送信するように構成することができる。したがって、端末は、どの衛星が送信を受信したか、また端末が受信側衛星に送信することができた可能性に基づいて、パーティション分割することができる。

別の実施形態では、システムは、端末の組の送信パターンを学習するのに、人工知能または機械学習システムを使用してもよい。例えば、第三者の端末メーカーが、１日２件のメッセージのみを伝送するように限定された端末を製造するライセンスを取得してもよい。第三者の端末メーカーは、毎日同じ時間に、または特定の時間窓の間のみ、２件のメッセージを常に伝送するように端末を構成することができる。第三者の端末メーカーは、端末がいつ送信するように構成されているかに関して認証ブローカー（またはネットワーク管理者）に通知する必要がないことがあり、その代わりに、認証ブローカー（または受信側システム）が、ＡＩまたは機械学習システムを代わりに使用して、時間に伴う端末からの送信について研究し、送信パターン（即ち、特定の時間フレームの間にどの端末が常に送信を行うか）を決定することができる。次に、これらの学習した送信パターンを、端末をパーティション分割するための基礎として使用することができる。

上述したように、いくつかの実施形態では、メッセージは、パーティション識別コードなど、受信側が探索パーティションを識別するのを支援する情報を含む。パーティション識別コードは、平文もしくは二値識別子、または探索パーティションを識別するのに利用することができるｎビット・ハッシュであることができる。パーティション識別コードは、受信メッセージの単一のフィールドであるか、または受信メッセージのいくつかのフィールドを組み合わせることによって形成されてもよい。一実施形態では、パーティション分割は、既定の地理的パーティションを使用して、地理的位置に基づいてもよい。この実施形態では、端末は、その概算位置を決定し、パーティション識別コードとしての概算位置を送信する。これは、センサ（ＧＰＳ受信機など）を使用して、または近くのエンティティの位置を使用してもよい。位置が高精度まで分かっている場合、概算位置まで切り捨てるかまたは丸められてもよい。概算位置を使用することによって、必要なメッセージ・サイズ（即ち、メッセージに含まれるべきビット数）が低減され、また、端末の正確な位置の特定が回避される（窃盗または損傷の可能性が低減される）。例えば、概算位置は、１ｋｍ、１０ｋｍ、または更には１００ｋｍまで正確であってもよい。精度は、システム・パラメータと予期される端末の分布および密度とに基づいて決定されてもよい。あるいは、地理的パーティションが固定であって端末には分かっている場合、端末は、自身が含まれている地理的パーティションを識別し、この地理的パーティションのパーティション識別子を送信することができ、受信側がそれを使用することができる。これらの実施形態は、端末が固定であるか、またはそれらの最後の送信から１つもしくは２つ以上の地理的パーティションを移動していないという過程に基づく。端末が実際は予期される以上に移動していた場合、または端末がその位置を決定できない場合、端末は、大きい移動または未知の位置を示す特別なパーティション識別コードを送信して、この送信に対して完全な端末キー探索が必要であることを受信側（もしくは認証ブローカー）に信号伝送することができる。

いくつかの実施形態では、端末および認証ブローカー（または他の受信側コア・ネットワーク・エンティティ）の両方が独立して、送信に含まれないが端末および受信側が独立して決定することができる、ノンス値を決定する。例えば、ノンス値は、受信側の衛星の識別子および現在の軌道番号に基づくことができる。別の実施形態では、少量の追加の非識別データがメッセージに含まれ、パーティションを識別するか、あるいは各メッセージを認証するのに探索されるべき端末キーの数を低減するのに使用される。追加データのサイズは、計算の複雑性を制御するように調整されてもよい。それに加えて、メーカーが、固有の（端末ＩＤ、端末キーの）ペアを生成し、それらの端末に関してネットワークで安全に登録するのを可能にする、方法が記載される。

以下、端末および受信側の両方がノンスを決定する送信メッセージから端末ＩＤを決定する方法の実施形態について、図２～７Ｄを参照して記載する。この実施形態では、メッセージは、探索パーティションを識別し、探索する端末キー空間を低減するのに使用される７ビット・ハッシュなど、ｎビット端末ハッシュの形態の情報を含む。既定のパーティション分割関数２１０は、端末ハッシュおよびノンスに基づいて、または端末ＩＤの選択されたビットから、ｎビット・テスト値ｐを取得するのを可能にする既定のマッピング関数である。（全ての端末の組における）端末は、ｎビット値に基づいて２^ｎ個のグループ（またはサブセット）に分割される。つまり、各パーティション２２２は同じｎビット値の端末で構成され、この値はパーティション・ラベル２２１として使用される。送信前に、端末は、既定のパーティション分割関数（またはマッピング関係）を使用してｎビット端末ハッシュを計算し、暗号化されたメッセージ・テキスト（暗号文）およびメッセージ認証コード（ＭＡＣ）とともに、送信に（例えば、端末ハッシュ・フィールド３０１もしくは３３１に）含まれる。したがって、ｎビット端末ハッシュはパーティション識別コードとして作用する。

衛星またはアクセス・ノードは、送信メッセージを受信し、合致するｎビット・テスト値ｐを有するパーティション（もしくはグループ）２２４を選択し、それによって端末キーの探索空間を低減する（即ち、パーティションが等しいサイズの場合、合計探索空間の１／２^ｎ）。このグループ２２４のキー探索が実施され、各キーは、ＭＡＣを認証するかを判断するのに使用（もしくはテスト）される。ＭＡＣを認証するキー２２６が識別されると、探索を停止することができ、端末ＩＤは、キーと関連付けられるかまたはペアリングされた端末ＩＤ（例えば、データベース２４２からのもの）を検索することによって識別される。あるいは、探索は、探索パーティションの全てのキーがテストされて、単一のキーのみがＭＡＣを認証することを確保するまで継続される。１つを超えるキーがＭＡＣを認証する場合、メッセージを破棄することができる。

いくつかの実施形態では、ＡＥＳ－ＥＡＸは、基礎となる暗号化／認証スキームとして使用される（Ｂｅｌｌａｒｅ Ｍ．， Ｒｏｇａｗａｙ Ｐ．， Ｗａｇｎｅｒ Ｄ． （２００４） Ｔｈｅ ＥＡＸ Ｍｏｄｅ ｏｆ Ｏｐｅｒａｔｉｏｎ． Ｉｎ： Ｒｏｙ Ｂ．， Ｍｅｉｅｒ Ｗ． （ｅｄｓ） Ｆａｓｔ Ｓｏｆｔｗａｒｅ Ｅｎｃｒｙｐｔｉｏｎ． ＦＳＥ ２００４． Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， ｖｏｌ ３０１７． Ｓｐｒｉｎｇｅｒ， Ｂｅｒｌｉｎ， Ｈｅｉｄｅｌｂｅｒｇ。完全版はｈｔｔｐ：／／ｗｗｗ．ｃｓ．ｕｃｄａｖｉｓ．ｅｄｕ／～ｒｏｇａｗａｙ／ｐａｐｅｒｓ／ｅａｘ．ｈｔｍｌで入手可能）。ＡＥＳ－ＥＡＸは、暗号化にＡＥＳ－ＣＴＲを使用するとともに、認証にＣＭＡＣ（ＡＥＳブロック暗号に構築される）を使用する。図６Ａおよび６Ｂは、ＥＡＸ－ＡＥＳ暗号化スキームを使用する暗号化および復号のアルゴリズムであり、図６Ｃは、ＥＡＸ－ＡＥＳ暗号化スキームにしたがってノンスＮおよびメッセージ・ヘッダＨを使用する、メッセージＭの暗号化の概略図である。これによって、暗号文ＣＴ（＝Ｃ｜｜Ｔ）と呼ばれる暗号化されたメッセージ・テキストおよびメッセージ認証コードＭＡＣが生成される。これらの図では、ＯＭＡＣは同一キーＭＡＣアルゴリズムまたは関数を指し、ＣＴＲは逆モードの暗号化アルゴリズムまたは関数を指す。図６Ｃに示されるように、ＡＥＳ－ＥＡＸは、メッセージ・ヘッダＨを入力とし、暗号化および認証方法で使用される暗号化されたヘッダを生成する。一実施形態では、端末ＩＤはメッセージ・ヘッダとして使用され、したがってメッセージの暗号化および認証に使用されている間、端末ＩＤは送信されない。またこの場合、端末ＩＤを受信側で検証および復号の一部として使用することができる。しかしながら、端末キーおよび端末ＩＤがペアリングされるので、一方が分かれば他方が分かること（即ち、両方が分かること）が示唆される。しかしながら、ＥＡＸ２、ＧＣＭ、またはＣＣＭを含む、使用されてもよい多数の代替スキームがある。

つまり、方法は、端末から送信されたメッセージを受信する衛星（またはアクセス・ノード）を含む。受信メッセージは、ｎビット端末ハッシュ、メッセージ認証コード（ＭＡＣ）、および暗号化されたメッセージ・テキストを含む。メッセージに含まれるＭＡＣは、暗号化／認証スキームによって生成されるＭＡＣのｚ個の最上位ビットであってもよい。一実施形態では、ＭＡＣはＥＡＸ ＭＡＣの３０個の最上位ビットである。端末キーＫ（または端末キーおよび端末ＩＤ）は、メッセージ・テキストを暗号化し、ＭＡＣを生成するのに使用されるが、端末ＩＤまたは端末キーのどちらも送信メッセージには含まれない。メッセージ、または少なくとも受信したｎビット端末ハッシュ、メッセージ認証コード（ＭＡＣ）、および暗号化されたメッセージ・テキストは、認証ブローカーに提供される。ノンス値が取得され、認証ブローカー（または関連するネットワーク構成要素）は、（例えば、構成されたプロセッサ２４４を使用して）端末のｎビット・テスト値を計算するように構成される。この値は、既定のパーティション分割関数またはマッピング関係を端末識別子（ＩＤ）に適用することによって取得される。所与の端末に関して、ブローカーは次に、ｎビット・テスト値が受信したｎビット端末ハッシュに合致するかを決定する。ｎビット・テスト値が受信したｎビット端末ハッシュに合致する場合、ブローカーは、端末キーおよびノンスがＭＡＣの認証に成功するかを決定（もしくはチェック）することができる。端末キーがＭＡＣの認証に成功する場合、暗号化されたメッセージ・テキストを復号することができる（端末キーを使用して暗号化された場合）。次に、端末ＩＤおよび復号されたメッセージ・テキスト（または暗号文）を、認証ブローカーの上流側のシステム・エンティティに提供することができる。計算および決定ステップは、受信したＭＡＣの認証に成功する端末キーを有する端末が見出されるまで、複数の端末それぞれに対して実施される。

これらのテストおよび有効な動作は反復して実施することができ（即ち、合致する端末がそれぞれ識別されると、それがＭＡＣを有効にするかを判断するテストが行われる）、または別個のステップとして実施することができる。つまり、計算ステップは、最初にシステムの端末それぞれに対して実施されるので、２^ｎ個の（テスト）グループが形成される。これらが取得されると、決定ステップは、受信されたｎビット端末ハッシュに合致するｎビットのテスト値を有するグループを選択することと、受信したＭＡＣの認証に成功する端末キーが見出されるまで、グループ内の各端末に対する各キーをテストすることとを含む。

以下、メッセージを暗号化するのに使用されるノンス値が送信メッセージに含まれるか省略される（含まれない）かに基づいて異なる、２つの方法について記載する。端末および認証ブローカーの両方によってノンスを独立して決定する（もしくは取得する）ことができる実施形態では、ｎビット・ハッシュは、暗号学的ハッシュ関数などの既定のパーティション分割関数２１０を使用して、端末キーおよびノンス（また、場合によっては端末ＩＤ）から決定される。認証ブローカーが決定できないようなやり方で、ノンスが擬似乱数ソースから生成されるかまたは端末によって生成され、ノンスがメッセージに含まれる実施形態では、ｎビット端末ハッシュは、端末および認証ブローカーの両方に分かっている既定のパーティション分割関数２１０にしたがって、端末識別子の選択されたビットから取得される。単一ビットの標識フィールド（３０２、３１２）を使用して、２つの方法を区別することができ、したがってどのパーティション分割方法を認証ブローカーが使用すべきかを区別することができる。例えば、標識フィールドは、方法Ａの場合は「０」に、方法Ｂの場合は「１」に（またはその逆に）設定することができる。複数のパーティション分割方法が使用される場合、標識フィールドを（必要に応じて）広くすることができる。標識フィールドを含むシステムでは、メッセージ・ブローカーは、この標識フィールドの値を使用して、端末キーをパーティション分割するのに、複数の既定のパーティション分割方法からどの既定のパーティション分割方法を使用すべきか（即ち、どの認証方法を使用するか）を決定することができる。この標識ビットは、方法のうち単一のもののみを用いるシステムにおいて、省略するか、またはパケットから除去することができる（既定のマッピング関数も端末およびブローカーの両方に分かるため）。

１つの方法では、ノンスは、（例えば、量子化された時間スタンプまたは軌道番号を使用して）端末および受信側によって別個に決定され、送信メッセージから省略される。一実施形態では、ノンスは、メッセージの送信時間に関して決定される時間におけるカウンタの現在値を決定することによって取得される。カウンタは、予め定められた基準時間（即ち、ゼロ時間）、ならびに端末およびブローカーによって独立して決定することができる、増分期間またはイベントに関して計数される。例えば、端末は現在値を格納することができ、この値は、一般的には送信時間の直前である、メッセージ・パケットの組立て時に検索することができる。別の実施形態では、カウンタの値は送信の予期される時間に決定することができる。あるいは、規則的な基準時間に（例えば、１０分ごとに）計算することができる。

一実施形態では、カウンタは、メッセージの送信の推定時間に計算される、送信側１０が送信する衛星（即ち、受信側衛星）の衛星軌道のパラメータに基づき、基準時間は基準エポックであり、増分ポイントは予め定められた軌道基準ポイントである。別の実施形態では、パラメータの値を決定するのに、送信側が送信する衛星の衛星軌道のパラメータを使用するのではなく、システムにおける他のある衛星を何らかのスキームにしたがって使用することができる。例えば、２４の衛星がある場合、送信時におけるＵＴＣ時間に対応する衛星ＩＤを、カウンタ値を決定するのに軌道パラメータが使用される衛星として使用することができる。一実施形態では、軌道パラメータは軌道カウントであり、衛星通信ネットワークの衛星に関するエフェメリス・データから決定することができる。これは、時間ｔに端末２０からの送信を受信する低軌道で地球４０４を周回する衛星２０の衛星軌道４０２の概略図である、図４Ａに示されている。基準ポイント４１０、この場合は衛星が赤道の上を通る各時間が、カウンタ３０６を増分するのに使用される（この場合、カウンタは１００１＝９番目の軌道である）。衛星の発射などのエポック時間が設定されてもよい。他の基準ポイントは地上局、または緯度もしくは経度の線である。この方法は、軌道のエフェメリス・データが端末に対して発行され、端末がネットワーク時間と同期された時間基準を有する場合に使用することができる。例えば、衛星は、端末によって格納されてもよいエフェメリス・データをブロードキャストしてもよい。多くの場合、同期は比較的大まかであることができる。この実施形態では、ノンスは、衛星ＩＤとカウンタ（軌道番号）３０６との連結である。ダウンリンクが利用可能な場合、衛星は、送信端末によって使用されるノンスを選択しブロードキャストすることができる。

ノンスが送信されないこの実施形態では、既定のパーティション分割関数（またはマッピング関係）は、ノンス１２の既定のハッシュ関数４２２と少なくとも端末キーとを計算することと、次に、端末ハッシュ３０１としてのノンス４２４の既定のハッシュにおける既定のｎビット部分４２６を選択することとを含む。既定のハッシュ関数は、好ましくは、既定のｎビット部分４２６をそこから選択することができる出力ハッシュ４２４を取得するのに使用される、暗号学的に安全な擬似乱数発生器（ＣＳＰＲＮＧ）である。一実施形態では、既定のハッシュ関数は、

（ノンス）であり、式中、Ｋは対応する端末キーである。一実施形態では、既定のｎビット部分は出力ハッシュの最初または最後の７ビットである。図４Ｂに示される実施形態では、７ビットの端末ハッシュ３０１は値１００１０１１を有する。この実施形態では、ＭＡＣはＥＡＸ ＭＡＣの３０個の最上位ビットによって与えられ、暗号文はＥＡＸによって生成されるＡＥＳ－ＣＴＲ暗号化ブロックであり、ノンスは、（Ｎｏｒａｄ ＩＤ｜｜Ｏｒｂｉｔ ＃）を使用して送信側および受信側によって推論され、端末ハッシュは、ＯＭＡＣ^３ _Ｋ（ノンス）などのＣＳＰＲＮＧを介して生成される一時的な端末ハッシュの最後の７ビットである。反射攻撃は同じ軌道内で実施することができ、それによって単に冗長性が加わる（これは良いことである）。この実施形態は、端末ＩＤを完全に隠されたままに保ち、１メッセージ当たりのヘッダ・オーバーヘッドを低減する短いメッセージを使用することができる。この実施形態では、ｎビット端末ハッシュはパーティション識別コードとして作用する。

別の実施形態では、ノンス３１４は送信メッセージに含まれるので（図３Ｂを参照）、受信側が利用可能である。ノンスは、端末によって擬似乱数ソースから生成されてもよい。一実施形態では、ノンスは、暗号化されたカウンタ、もしくは前の送信からのＭＡＣの破棄されたビットから生成されるか、あるいは現在のメッセージの暗号文もしくはＭＡＣから、カウンタから、または暗号学的に安全な擬似乱数発生器（ＣＳＰＲＮＧ）から生成される。この実施形態は図５に示されている。この実施形態では、端末のパーティション分割は、受信したノンスおよび端末識別子を規定のパーティション分割関数への入力として使用することによって、各端末のｎビット・テスト値を計算することと、同じｎビット・ハッシュを有する端末をグループ化して、同じテスト値を有する端末が同じパーティションに配置されるようにすることとを含む。探索パーティションの識別は、ｎビット・テスト値が受信したｎビット・ハッシュと合致する端末を含むパーティションを選択することを含む。既定のパーティション分割関数は、
Ｌビットの端末識別子１２をｍ個のｎビットの重なり合わない部分５０２へとパーティション分割するステップと、
２^ｋ≧ｍの要件に依存する、ノンス値３１４の既定のｋビット部分５０６の値ｊモジュロｍを計算し、Ｌビットの端末識別子のｊモジュロｍのｎビット部分を選択するステップとによって、ｎビット・テスト値をノンスおよび端末識別子から生成する。
次に、端末を、この同じｎビット・テスト値（即ち、Ｌビットの端末識別子１２のｊモジュロｍのｎビット部分）を共有する端末を含むパーティションに割り振ることができる。次に、ｎビット・テスト値が受信したｎビット端末ハッシュ３１１と合致する端末を含むパーティションを選択することによって、探索パーティションを識別することができる。次に、探索パーティションの端末をテストして、それらがメッセージを認証するかを判断することができる。全ての端末の組を通して反復することによって、パーティション分割および探索が同時に実施される場合、ｎビット・テスト値が上述のように計算され、方法は、
ｎビット・テスト値（端末識別子のｊ番目のｎビット部分）が受信したｎビット端末ハッシュ３１１と合致するかを決定することによって進行する。合致している場合、キーおよびノンスをテストして、それらがＭＡＣを認証するかが判断される。

重なり合わない部分は隣接していなくても規則的に離間していなくてもよい。この場合、端末およびブローカーはそれぞれ、各部分の位置（例えば、開始ビット）を格納する必要がある。ノンス３１４の最後のｋビット５０６は値ｊを有する。２^ｋ≧ｍの要件によって、全ての可能な部分を使用することができることが確保され、モジュロｍを値ｊに適用すること（ｊ％ｍ）によって、値が０からｍの範囲に返されることが確保される。ｍが２の倍数である場合、モジュロ・ステップを省略することができる。この実施形態では、ノンス値の既定のｋビット部分はノンスの最後のｋビット部分であるが、最初のｋビット部分であるか、またはノンス値における位置が分かっているものとして他の部分であることができる。一実施形態では、ノンスは１６ビットのノンス値であり、ｎは最後の７ビットである。図５に示されるように、値ｊ（またはｊ％ｍ）は５番目の部分であり、値１００＝４を有する。端末識別子におけるこのｎビット幅のｊ番目の部分は、０～２^ｎ－１の値の範囲を有する。したがって、チェックする識別子の部分が分かると（即ち、ｊ番目の部分）、全ての端末の組を、２^ｎ個のパーティションまたはグループ５１０に分割することができ、各パーティション（グループ）は、同じｊ番目の部分の値を有するが異なるキーをそれぞれ有する端末で形成される。この場合、端末識別子のｊ番目のｎビット部分５０８は、受信したｎビット端末ハッシュ３１１に合致する値ｐ（１００＝値４）を有する。次に、このｐ番目のグループ５１４は、ＭＡＣメッセージを認証する端末キー５１６に関して探索を行うことができ、したがってメッセージを伝送する端末の端末識別子を決定することができる。しかしながら、現在のメッセージの暗号化されたメッセージ（暗号文）が、ｎビット・ハッシュに関して端末ＩＤから選択するビットを決定するのに使用される場合、ＭＡＣを使用して、（例えば、暗号化されたメッセージおよびｎビット・ハッシュの連結からＭＡＣを計算することによって）暗号化されたメッセージおよびｎビット・ハッシュの両方に署名することができる。

別の実施形態では、事前パーティション分割ステップは、メッセージが受信される前に実施することができる。この実施形態では、ｍ回のパーティション分割が実施される。ｍ回のパーティション分割のうちｊ番目のパーティション分割は、各端末識別子のｊ番目のｎビット部分を選択し、それらの端末識別子において同じｊ番目のｎビット部分を有する端末をグループ化して、２^ｎ個のパーティションを形成することによって取得される。これは、ｊ＝１，…，ｍに対して実施される。次に、メッセージを受信すると、ノンスの既定のｋビット部分の値ｊモジュロｍ（やはり、２^ｋ≧ｍの要件に依存する）を計算することができる。端末識別子のｎビット部分が受信したｎビット・ハッシュと合致する端末キーで構成される、ｍ回のパーティション分割のうちｊ番目のパーティション分割におけるパーティションであるものとして、探索パーティションを識別することができる。

この実施形態では、既定のパーティション分割関数は、送信されたノンスの一部分を使用して端末識別子の一部分を選択し、この部分の値は、端末によってメッセージのｎビット端末ハッシュとして使用される。つまり、関数は、端末識別子のどのビットがｎビット・ハッシュを生成するのに使用されるかを決定するのに、ノンスのどのビットが使用されるかを定義する。それに加えて、端末識別子のこの部分の値は、全ての端末の組を２^ｎ個の探索グループに分割するのに使用される。したがって、この実施形態によって、探索空間を低減して、完全な端末ＩＤを送信することなく、送信端末の識別を可能にすることができる。端末識別子の小さい部分が送信されるが、所与の端末を用いて繰り返される場合であっても、送信されたノンスを端末ハッシュと、即ち端末（ＩＤ、キー）のペアと関連付ける明確なやり方はない。したがって、この実施形態では、ノンスを含むｎビット端末ハッシュはパーティション識別コードとして作用する。ノンスがメッセージに含まれ、ｎビット・ハッシュが（何らかのマッピング関数２１０を使用して）端末ＩＤのｎ個の選択されたビットである、これらの実施形態では、端末はやはり、履歴の空間的（例えば、地理的）、時間的、もしくは空間時間的パターン、または衛星の軌道カウント／パラメータを使用するなど、上述したパーティション分割方法を使用してパーティション分割されてもよい。

メッセージを認証する許容可能な計算コストを取得するのに、ハッシュの正確なサイズ（ビット数）が選択される。ノンスのサイズは、所与の端末キーに関してノンス衝突率（即ち、複数の端末キーが同じメッセージを認証する可能性）を増加させることによって低減することができ、例えば、１１ビットで、１日当たりメッセージ４件の送信率で１．４年分の固有のノンスが得られる。ＭＡＣのサイズによって、メッセージを偽装し、またＰＨＹエラーを検出する能力が決定されるが、性能は誕生日問題によって制限される。上述した実施形態では、ＭＡＣは３０ビットのＭＡＣである。ブローカー内において、複数のキーが所与のメッセージを「認証」できることがあり得るので、認証衝突が起こり得ることが注目される。本明細書に記載されるように、いくつかの実施形態では、キーを認証するための探索は、探索パーティションの全てのキーに対して実施され、複数の端末キーに対する認証を行う受信パケットは拒絶されて、パケット損失率が効率的に押し上げられる。また、無用な（例えば、ランダム・ノイズ）パケットが所与のキーによって「認証される」ことがある、偽認証が起こり得る可能性もある。偽装されるかまたは誤ってデコードされたパケットが、所与の端末キーに対する認証を行うことがある。このイベントの可能性は、ＭＡＣサイズを増加させることによって低減される。したがって、ＭＡＣのサイズは、偽認証の確率を最小限に抑えるように選ぶことができる。偽装の場合、敵意をもった当事者が有効なＭＡＣを有し、偶然同じＭＡＣを有するメッセージを生成する。通常、これは「誕生日攻撃」として分析される。やはり、より大きいＭＡＣは偽装が成功する確率を低減し、システム要件にしたがってＭＡＣの長さを選ぶことができる。

上述の実施形態は、暗号化スキーム（例えば、高度暗号化規格（ＡＥＳ））を使用して、端末のデータおよび識別情報の両方を隠す。したがって、特定の端末暗号化キーの知識がなければ、その端末からの送信を識別するには、暗号化プロトコルを破る（即ち、ＡＥＳを破る）必要がある。しかしながら、上述の方法は計算の複雑性を増す可能性がある。例えば、端末の識別情報を隠そうとしない実現例と比べて、より多数のビットを端末識別に費やすのが必要なことがある。また、いくつかの実施形態では、メッセージの復号には、認証が達成されるまで、パーティション内の全ての端末のキーを用いて復号する必要がある。これは、端末の数がおよそ百万を超えて増加するので、計算上法外になる可能性がある。例えば、業界標準のＯｐｅｎＳＳＬライブラリを実装した２．５０ＧＨｚで稼働するインテル・コアｉ７－６５００Ｕ ＣＰＵは、１件のメッセージを約１マイクロ秒で、即ち１日約１０^１１件のメッセージを復号することができる。Ｔ個の端末がある場合、メッセージ１件当たり平均Ｔ／２回の復号を試行する必要がある。各端末が１日平均１０件のメッセージを送信する場合、１日当たり平均で５Ｔ^２回の復号が試行される。計算の複雑性は、端末の数に伴って２次関数的に増大することが観察される。Ｔ＝１０^６個の端末がある場合、約５Ｔ^２／Ｄ≒５０台の中級のラップトップが必要である。アマゾン・ウェブ・サービス（ＡＷＳ）を使用すると、これには年間約２５、０００ドルかかる。１０億台の端末（Ｔ＝１０^９）がある場合、システムは５Ｔ^２／Ｄ≒５０×１０^６台の中級のラップトップを必要とし、年間約２５０億ドルかかる。

したがって、計算の複雑性を低減するとともに安全性を向上することができる、更なる方法について記載する。この方策では、共有暗号化キーの組を使用して端末をパーティション分割することによって、計算の複雑性が低減される。この方策では、端末の組は、上述したようにＰ個のパーティションにパーティション分割され、各パーティションに暗号化キーが割り当てられる。つまり、各端末はここで、従来のようなそれ自体の固有のキーと、端末が属するパーティションのキーとの２つのキーを有する。ここで、端末は２つのキーを用いて暗号化を行い、つまり、
１．最初に、およそτ_２ビットのＭＡＣを生成するそれらの固有のキーを用いて暗号化を行い、
２．およそτ_１ビットの別のＭＡＣ（パーティションＭＡＣまたはｐＭＡＣと呼ばれる）を生成する、それらのパーティション・キーを用いて暗号化を行う。

２つのＭＡＣは連結されるので、ＭＡＣビットの合計数はτ＝τ_１＋τ_２である。更に、２回の暗号化は実際には不要であり、固有のキーのみを用いて暗号化を行うことによって、ある程度の計算を削減できることに注目する。必要なのは、ＭＡＣビットτ_１を生成することのみであり、パーティション・キーを用いた暗号化は実際には行わない。

このように２つのキーを使用することがなぜ役立つのかを知るため、受信側がメッセージを復号し認証するのに何を行うのかを見てみる。受信側は、
１．各パーティション・キーおよびＭＡＣの最初のτ_１ビットを用いた認証を試行し、
２．認証を行わなかったパーティション内の端末を破棄し、
３．ＭＡＣの残りのτ_２ビットを使用して、残り全ての端末の固有のキーを用いた認証を試行し、
４．単一の端末キーが認証を行う場合、その端末は送信側であったと考えられる。

計算の削減は、認証を行わなかったパーティションが破棄されるステップ２に見られる。この方策の利点は、パーティション分割がＭＡＣを使用して暗号学的に行われることである。攻撃者は、どのパーティションが送信元であるかを決定するために、暗号を破る（即ち、ＡＥＳを破る）か、またはパーティション・キーを取得する必要がある。

この方策は、（例えば、図２に示されるような）パーティションの単一の層が使用される単純な事例について記載したものである。このシステムでは、全てのパーティション・キーの組が認証ブローカー４０には分かっており、各端末は、それが属するパーティションのパーティション・キーを分かっている。この実施形態では、ｎビット・ハッシュは、探索パーティション（即ち、端末キーを含むパーティション）に関するパーティション・キーから生成されたパーティション・メッセージ認証コード（ｐＭＡＣ）である。探索パーティションの識別は、受信したｐＭＡＣを認証するパーティション・キーに関してパーティション・キーの組を探索することを含む。したがって、メッセージは、従来のように端末のＭＡＣを送信することと、ｐＭＡＣを（ｎビット・ハッシュとして）送信することとを含む。したがって、これによって計算の複雑性が低減されるとともに、ｎビット・ハッシュが暗号学的関数から取得されるｐＭＡＣなので、より一層安全なシステムが提供される。

上述の実施形態は、パーティションの層を使用することによって計算の複雑性を更に低減するように、更に拡張することができる。概念的には、各パーティションに関して、端末キーの小さい組を含む小さいパーティションに至るまで、更に数回パーティション分割などをする。いくつかの実施形態では、単一の固有の端末キーをそれぞれ含むパーティションの組に至るまで、パーティション分割を継続することができる。ここで、各端末は、ｄ－１個のパーティション・キーと１個の固有の端末キーとの、ｄ個のキーの関連するリストを有する。そうすると、ｎビット・ハッシュを形成するように連結された（または、何らかの既知のやり方で順序付けられた）ｄ－１個のタグ・ビットτ_１、τ_２、…、τ_ｄ－１（例えば、ｄ－１個のｐＭＡＣ）が存在することになる。概念的には、ｎビット・ハッシュおよびＭＡＣフィールドを組み合わせることができるので、ＭＡＣはｄ－１個のｐＭＡＣに端末ＭＡＣを加えたものである。

したがって、この実施形態では、パーティションは、ツリー構造などの階層状パーティション層にグループ化される。つまり、各パーティションは関連するパーティション・キーを有し、ｎビット・ハッシュは、根ノードから葉ノードまでツリーを横断する探索経路の各層において、各パーティション・キーから生成された各パーティション・メッセージ認証コード（ｐＭＡＣ）の順序付き組み合わせである。したがって、葉ノードは探索パーティション（即ち、端末キーを含むパーティション）である。探索パーティションを識別することは、順序付き組み合わせから決定された層と関連付けられた受信ｐＭＡＣを認証する、パーティション・キーのツリーの各層においてパーティション・キーの組を探索することによって、ツリーを横断することを含む。パーティション・キーが葉ノード層と関連付けられた受信ｐＭＡＣを認証する葉ノードは、探索パーティションである。更なる変形例では、葉ノード・パーティションを除く各パーティションは関連するパーティション・キーを有し、葉ノード・パーティションはそれぞれ単一の端末キーを含む。この実施形態では、探索パーティションを識別することは、葉ノードの組が取得されるまで、順序付き組み合わせから決定された層と関連付けられた受信ｐＭＡＣを認証する、パーティション・キーのツリーの各層においてパーティション・キーの組を探索することによって、ツリーを横断することを含む。したがって、探索パーティションは、その端末キーが端末のＭＡＣを認証する葉ノード・パーティションである。これらの実施形態では、ｐＭＡＣビットτ_１、…τ_ｄ－１は、ｎビット・ハッシュを形成するパーティション・キーと対応する（また、各ｐＭＡＣがｐビットの場合、ｎ＝ｐ（ｄ－１）である）。順序付き組み合わせは、根ノードから葉ノードまでツリーを横断することによって取得される順序であってもよく、ｎビット・ハッシュは、探索経路における各ｐＭＡＣの探索パーティションに対する連結である。端末側の方法は図７Ｂに概要が示されており、ステップ７１３は、ツリーを横断して探索パーティションを見出すことを含む。

図８は、ツリー構造８４０におけるパーティションの階層状グループ化を示す概略図である。この実施形態では、ツリーは３つのレベル８４１、８４２、８４３を有する。このツリーは、各ノードが２つの子を有する二値ツリーであるが、他の実施形態では、各ノードは２つを超える子（または更には単一の子）を有することができることに注目する。この実施形態では、ツリーは二値ツリーであり、第１のレベル８４１に根ノード８００と２つのノード８０１および８０２を、第２のレベル８４２に４つのノード８１１、８１２、８２１、および８２２を、第３のレベル８４３に８つの葉ノード８３１、８３２、８３３、８３４、８３５、８３６、８３７、および８３８を有する。第３のレベル８４３の各葉ノードは、（図２に示されるパーティション２２２の単一層に対応する）複数の端末キーを含むパーティション２２２を含む。ノードはそれぞれ、組｛［Ｋ_１，Ｋ_２］，［Ｋ_１１，Ｋ_１２，Ｋ_２１，Ｋ_２２］，［Ｋ_１１１，Ｋ_１１２，Ｋ_１２１，Ｋ_１２２，Ｋ_２１１，Ｋ_２１２，Ｋ_２２１，Ｋ_２２２］｝を形成する、関連するパーティション・キー８５４を有する。この組は、認証ブローカー４０には分かっており、データベース２４２に格納されるか、またはデータベース２４２もしくは同様の記憶エンティティに格納された情報から誘導可能である。一実施形態では、認証ブローカーはマスター・キーを格納し、キーの組は、マスター・キーをシードとして使用する暗号学的に安全な擬似乱数発生器から取得される。ｎビット・ハッシュ８５０は、根ノードから探索パーティション２２４（即ち、端末キー２２６を含むパーティション）である葉ノード８３５までの経路８４４に沿って、各層のパーティション・キー８５１、８５２、８５３を連結することによって形成される。したがって、ｎビット・ハッシュ８５０は、（ＭＡＣ（Ｋ_２）、ＭＡＣ（Ｋ_２１）、ＭＡＣ（Ｋ_２１１））である。ｐＭＡＣが連結され、各ｐＭＡＣがｐビットであるこの実施形態では、次に、探索は、最初のｐビット８５１をｎビット・ハッシュから取ることによって第１のｐＭＡＣを取得し、第１のレベルのパーティション・キー［Ｋ_１，Ｋ_２］のうちどれがｐＭＡＣを認証するか（この場合、Ｋ_２）を決定することによって実施される。次に、次のｐビット８５２をｎビット・ハッシュから取り、第２のレベルのパーティション・キー［Ｋ_１１，Ｋ_１２，Ｋ_２１，Ｋ_２２］のうちどれが第２のｐＭＡＣを認証するか（この場合、Ｋ_２１）を決定することによって、第２のレベルのｐＭＡＣを取得する。更に、これは二値ツリーなので、実際は、右側のブランチ［Ｋ_２１，Ｋ_２２］をテストするだけでよい。次に、最後のｐビット８５３をｎビット・ハッシュから取得し、第３のレベル（葉ノード）のパーティション・キー［Ｋ_１１１，Ｋ_１１２，Ｋ_１２１，Ｋ_１２２，Ｋ_２１１，Ｋ_２１２，Ｋ_２２１，Ｋ_２２２］のうちどれが第３のｐＭＡＣを認証するか（この場合、Ｋ_２１１）を決定することによって、第３のレベルのｐＭＡＣを取得する。更に、これは二値ツリーなので、実際は、ブランチの２つのキー［Ｋ_２１１，Ｋ_２１２］をテストするだけでよい。このように、探索パーティション２２４を見出しており、ＭＡＣを認証する端末キー２２６に関してこれを探索することができる。

ツリーによって、キーの組を通して確率的探索を行うことができるようになるので、予期される数の復号の試行は、０（ｌｏｇＴ）、０（ｌｏｇ^２Ｔ）、または０（Ｔ^α）のいずれかの順序を有し、ここで、ツリーがどのように構築されるか、また端末認証および識別に割り振られるビット数に応じて、α＜１である。結果として、単位時間ごと、例えば１日ごとに実施される復号の試行数は、端末の数とともに、０（ＴｌｏｇＴ）、０（Ｔｌｏｇ^２Ｔ）、または０（Ｔ^α＋１）のように増加させることができる。端末の観点から、メッセージを暗号化するため、端末はここで、異なるキーごとに認証暗号化方式（例えば、ＡＥＳ）の０（ｌｏｇＴ）の反復を実施しなければならない。結果として、これには、０（ｌｏｇＴ）キーが各端末によって格納される必要がある。しかしながら、実際の実施形態では、これは重要ではない。例えば、一実施形態では、各端末は２０個のキーを格納し、各キーは１６ビット長なので、２０個のキーを格納するのに必要なメモリは３２０ビットである。それに加えて、一般的に、認証に必要なビット数はより多い。ビット数は構築されるツリーに応じて決まる。一般的に、計算動作がより少数になるツリーは、より多数のビットを必要とする。

計算の複雑性は形式的に評価することができる。１つの葉が各端末に対応する、Ｔ個の葉を有するツリーを構築する。このツリーの各エッジに暗号化キーを割り当てる。各端末は、葉をツリーの根ノードに接続する経路に沿ったキーを備える。単純にするため、これらの経路長は全て同じであり、すなわち全ての端末が同じ深さｄの葉にあり、したがって各端末が正確にｄ個のキーに割り当てられるものと仮定する。二値ツリーが使用される単純な例では、

を有する。
Ｋ_１，ｔ，Ｋ_２，ｔ，…，Ｋ_ｄ，ｔ
を、根ノードに接続されたエッジに、即ちツリーの深さ１においてＫ_１，ｔ、深さ２においてＫ_２，ｔなどが割り当てられた、ｔ番目の端末に割り当てられたｄ個のキーとする。端末は、メッセージＭを暗号化して、再帰によって定義される暗号文Ｃ_０とする。
Ｃ_ｋ－１＝ｅａｘ（Ｋ_ｋ，ｔ，τ_ｋ，Ｃ_ｋ）， ｋ＝１，…，ｄ
式中、Ｃ_ｄ＝Ｍであり、τ_１，…，τ_ｄは、深さに依存するタグ・ビットのシーケンスである。このシーケンスはどの端末でも同じである。暗号化は、結果として、それぞれ異なるキーを用いて、また潜在的に異なる数のタグ・ビットを用いて、認証暗号化方式をｄ回適用することになることを観察する。認証に使用されるタグ・ビットの合計数は、τ_１＋τ_２＋…＋τ_ｄである。最も単純な例では、τ_１＝τ_２＝…＝τ_ｄが選ばれるが、以下ではこれを前提としない。

次に、復号のプロセスについて記載する。Ｋ_１を、ツリーの根ノードに接続されたキーの組、つまり深さ１のエッジに割り当てられたキーの組とする。深さｌのキーｋの場合、Ａ（ｋ）によって、その祖先キーの組を、つまり深さｌ＋１にあるｋに対してノードを介して接続されたキーを示す。暗号文Ｃに対する候補の復号メッセージの組は、ｄｅｃｒｙｐｔ（Ｃ，Ｋ_１，１）によって与えられ、ｄｅｃｒｙｐｔは、再帰によって定義される集合値函数である。
ｄｅｃｒｙｐｔ（ｃ，Ｋ，ｌ）＝∪_ｋ∈Ｋｄｅｃｒｙｐｔ（ｄｅａｘ（ｋ，τ_ｌ，ｃ），Ａ（ｋ），ｌ＋１） （１）
また、ｄｅｃｒｙｐｔ（ＩＮＶＡＬＩＤ，Ｋ，ｌ）＝φであり、φは空集合である。実際上、この関数は、キーのツリーを通る深さ優先探索として実現することができる。和集合内部に現れるキーｋがツリーの葉に接続され、対応する祖先の組Ａ（ｋ）が空であるポイントｌ＝ｄまで、再帰が反復することが観察される。したがって、
ｌ＞ｄのとき、ｄｅｃｒｙｐｔ（ｃ，Ｋ，ｌ）＝φ （２）
となる。

次に、この深さ優先探索の計算の複雑性について分析する。分析を単純にするため、以下のように仮定する。
１．グラフは平衡しており、つまり、祖先の数｜Ａ（ｋ）｜はｄ未満の段階の全てのキーｋに関して同じである。以下、祖先の数はＡによって示す。分析を拡張して、段階｜Ａ（ｋ）｜が定数未満で境界をつけられる、より一般的な事例において、複雑性に境界をつけるようにするのが簡単である。
２．計算の複雑性は、ｄｅａｘ関数によって支配されるので、ｄｅａｘ関数の呼出し数を計数するのに十分であり、つまり復号の試行回数を計数するのに十分である。
３．ｃがキーｋに関して有効な暗号文ではない場合、ｄｅａｘ（ｋ，τ，ｃ）は、不正確な認証を行う確率２^－τを有し、そうでない場合は確率１－２^－τのＩＮＶＡＬＩＤを返す。

これらの仮定のうち最後のものは、各キーｋに関して、確率

の１および確率

のゼロに等しい確率変数Ｖ_ｋの定義を促し、式中、ｌはキーの深さである。これらの確率変数は独立している、したがって例えば、キーの全てのサブセットＳに関して、期待値

であることを前提とする。これらの仮定下で、またランダム入力暗号文ｃ、即ち必ずしも有効でない暗号文に関して、ｄｅｃｒｙｐｔ（ｃ，Ｋ，ｌ）によって必要とされるｄｅａｘの呼出し数を、（２）の結果としてのｌ＞ｄに対してｌ≦ｄおよびＬ（Ｋ，ｌ）＝０の場合、再帰的に定義された確率変数
Ｌ（Ｋ，ｌ）＝Σ_ｋ∈Ｋ（１＋Ｖ_ｋＬ（Ａ（Ｋ），ｌ＋１））
として表現することができる。関心があるのは、ｄｅａｘ呼出しの予期される数である。

祖先の数は、Ａ＝｜Ｋ｜＝｜Ａ（Ｋ）｜なので、以下の通りである。

Ｌ（Ａ（Ｋ），ｌ＋１）はキーｋに関与せず、したがってＬ（Ａ（Ｋ），ｌ＋１）はＶ_ｋとは独立しており、

であることが観察される。

予期される値は、組Ｋのサイズのみに応じて、即ち祖先Ａの一定の数のみに応じて決まり、したがってＫに対する依存は略すことができる。これを念頭に置くと、次式となる。

ここで、ｄｅａｘの呼出しの予期される数は、再帰

（ｌ＜＝ｄの場合）
およびＤ_ｌ＝０（ｌ＞ｄの場合）として表現することができる。

次に、タグ・ビットが全て等しい、つまり、
τ＝τ_１＝τ_２＝…＝τ_ｄ
である、特別な場合について検討する。

この場合、再帰は、解

（ｂ＝２^－τＡ≠１のとき）
およびＤ_ｌ＝Ａ（ｄ＋１－ｌ）（ｂ＝１の場合）を用いて、Ａを掛けた等比数列として識別することができる。そのため、関数ｄｅｃｒｙｐｔ（ｃ，Ｋ_１，１）を計算するのに必要なｄｅａｘの呼出しの予期される数は、

（ｂ≠１の場合）
およびＤ_ｌ＝Ａｄ（ｂ＝１の場合）である。

上記式は、ランダムな暗号文入力の場合における呼出しの数をモデル化している。有効な暗号文入力の場合、１つの経路にあるキーの全てが認証を行う。有効な認証はそれぞれ、（１）によるｄｅｃｒｙｐｔの別の呼出しとなり、結果として各ｌ＝１，２，…，ｄに対しておよそＤ_ｌ ｄｅａｘの呼出しが追加される。そのため、有効な暗号文入力に関する呼出しＤの予期される数は、合計

（ｂ≠１の場合）
として、また

（ｂ＝１のとき）
として概算することができる。

次に、ｄｅａｘの呼出しの数が端末の数Ｔにどのように関連するかについて検討する。ツリーの深さは、次式によって端末の数に関連する。

τ＞ｌｏｇ_２Ａであることによってｂ＝２^－τＡ＜１である場合、ｄｅａｘの呼出しの数は、（３）の項Ａｄ／（ｂ－１）に支配されるので、
Ｄ＝０（ｌｏｇＴ）， τ＞ｌｏｇ_２Ａ
である。

τ＜ｌｏｇ_２Ａであることによってｂ＝２^－τＡ＞１である場合、呼出しの数は、（３）の項Ａ（ｂ^ｄ＋１－ｂ）／（ｂ－１）^２によって支配されるので、

τ＜ｌｏｇ_２Ａ
であり、式中、

である。

この場合、α＜１であることが観察される。最後に、ｂ＝２^－τＡ＝１である例について検討する。これは、例えば、二値ツリーＡ＝２を使用する実際の設定では、また各タグτ＝τ_１＝…＝τ_ｄ＝１に単一のビットが使用される場合に生じる。この場合、ｄｅａｘの予想される呼出し数は、
Ｄ≒ｄ^２－ｄ＝０（ｌｏｇ^２Ｔ）， τ＝ｌｏｇ_２Ａ
である。

したがって、要約するため、一実施形態では、方法は、端末キーおよびノンスを使用して生成されるメッセージ認証コード（ＭＡＣ）と、ｎビット・ハッシュと、暗号化されたメッセージ・テキストとを少なくとも含む、端末から送信されたメッセージを受信するステップを含む。いくつかの実施形態では、ノンスは送信にも含まれてもよい。認証ブローカー（または他のエンティティ）は、端末キーを２つ以上のパーティションへとどのようにパーティション分割するかを決定し、受信メッセージを送信した端末のキーを含む探索パーティションを識別することができる。いくつかの実施形態では、ノンスは端末および認証によって決定され、伝送はされず、ｎビット・ハッシュは、端末、および少なくともノンスと端末キーとを入力として使用する認証ブローカーの両方に分かっている、既定のパーティション分割関数を使用して取得される。ノンスがメッセージに含まれる（例えば、擬似乱数ソースを使用して端末によって生成される場合）実施形態では、次に、端末および認証ブローカーの両方に分かっている既定のパーティション分割関数を使用して、端末キーのｎビットからｎビット・ハッシュが選択される。いくつかの例では、ｎビット端末ハッシュおよび既定のパーティション分割またはマッピング関数が使用され、それによって端末が、メッセージを伝送した端末の端末キーを含む探索パーティションを含む、２^ｎ個のパーティション（もしくはグループ）にパーティション分割またはグループ化される。探索パーティションが識別されると、認証ブローカーは、ＭＡＣを認証するとともに暗号化されたメッセージ・テキストを復号する端末キーに関して、決定された探索パーティション（グループ）を探索することができ、端末キーと関連付けられた端末ＩＤと、復号されたメッセージ・テキストとを、更なる処理のためにシステム・エンティティに提供する。例えば、履歴の空間的（例えば、地理的）、時間的、もしくは空間時間的パターン、または少なくとも認証ブローカーが端末をパーティション分割するのに使用することができる他のパラメータを使用して、様々なパーティション分割方法が使用されてもよい。いくつかの実施形態では、パーティションは、ツリー構造など、ツリーの各ノードがパーティション・キーを有するパーティションの階層状の層へとグループ化する。これによって、計算の複雑性を低減し、改善された安全性を提供することができ、これはｎビット・ハッシュが暗号関数（パーティション層のキーのＭＡＣ）から取得することができることによるものである。

同様に、端末によって認証済みメッセージを生成する方法を説明することができる。認証ブローカーが、システムまたは共通の既知の情報を使用して端末キーをどのようにパーティション分割するかを決定できる場合、端末が、端末キーまたは端末識別子を含まずに送信するため、メッセージを暗号化しデジタル署名する。方法は、ノンス値を生成するステップを含む。端末は、既定のパーティション分割関数を使用してｎビット・ハッシュを生成する。これは、少なくともノンスおよび端末キー（また、任意に端末ＩＤ）を使用してもよく、またはビットを端末ＩＤから選択してもよい。暗号化されたメッセージ・テキストも、端末キーおよびノンスを使用して生成することができる。メッセージ認証コード（ＭＡＣ）も、ノンス値および端末キーを使用して生成することができる。最後に、端末は、少なくともＭＡＣフィールド、ｎビット端末ハッシュ、および暗号文を含むメッセージを衛星に送信する。いくつかの実施形態では、ノンスは、認証ブローカーによって推定できない場合に含まれる。一実施形態では、ｎビット・ハッシュは、ツリーの探索経路におけるパーティション・キーのＭＡＣの順序付けから形成されて、端末キーを含むパーティションにつながる。つまり、パーティション関数は更に、複数のパーティションを複数の階層状パーティション層を含むツリーへとグループ化する（また、パーティション・キーは各パーティションと関連付けられる）。ｎビット・ハッシュは、根ノードから端末キーを含む葉ノード・パーティションまでツリーを横断する探索経路における、各層の各パーティション・キーから生成される、各パーティション・メッセージ認証コード（ｐＭＡＣ）の順序付き組み合わせである。

次に、端末ＩＤおよび端末キーを生成し、端末（およびその（ＩＤ、キー）のペア）をネットワークで登録する、方法の一実施形態について記載する。この実施形態では、端末ＩＤ １２は１２８ビットであり、端末キーは１２８または２５６ビットであり、これらは端末のメーカーによって作成され割り当てられる。端末のメーカーには、ネットワーク・コントローラによって、ベンダーＩＤ（例えば、３２ビット値）およびベンダー・キー（例えば、２５６ビット値）が割り当てられる。

所与のベンダーＩＤは、１２８または２５６ビットの端末キーを生成することのみに使用されることがあるが、端末ＩＤおよび端末キーは両方とも、製造時に端末にはインストールされない。これらは、（ベンダーＩＤに対して）固有の３２ビットの端末インデックス（例えば、カウンタ）を割り当てることによって生成される。端末ＩＤは、次のように生成される。
ＨＭＡＣ（Ｖｅｎｄｏｒ Ｋｅｙ，“Ｔｅｒｍ ＩＤ”｜｜Ｖｅｎｄｏｒ ＩＤ，Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘ）
１２８ビットの端末キーは、次のように生成される。
ＨＭＡＣ（Ｖｅｎｄｏｒ Ｋｅｙ，“Ｔｅｒｍ Ｋｅｙ０”｜｜Ｖｅｎｄｏｒ ＩＤ，Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘ）
あるいは、２５６ビットの端末キーは、次のように生成される。
ＨＭＡＣ（Ｖｅｎｄｏｒ Ｋｅｙ，“Ｔｅｒｍ Ｋｅｙ１”｜｜Ｖｅｎｄｏｒ ＩＤ，Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘ）｜｜
ＨＭＡＣ（Ｖｅｎｄｏｒ Ｋｅｙ，“Ｔｅｒｍ Ｋｅｙ２”｜｜Ｖｅｎｄｏｒ ＩＤ，Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘ）
式中、
｜｜は連結オペレータであり、
“Ｔｅｒｍ ＩＤ”、“Ｔｅｒｍ Ｋｅｙ０”、“Ｔｅｒｍ Ｋｅｙ１”、“Ｔｅｒｍ Ｋｅｙ２”はストリングであり、
ＨＭＡＣ（ｋｅｙ，ｉｖ，ｖａｌｕｅ）はＲＦＣ４８６８によって定義される。

ベンダーＩＤおよび端末インデックスは、端末を通信ネットワークで登録することのみに使用され、秘密ではない。空中で、またはスキャンされたＱＲコード（登録商標）を介して登録する場合、ベンダーＩＤおよび端末インデックスは平文で伝送されるが、端末キーを使用してデジタル署名される。追加の“Ｖｅｎｄｏｒ ＩＤ Ｍａｓｋ”は、所与のベンダーＩＤに対して利用可能な端末インデックスの範囲を制御するのに使用されてもよい。これは、ＩＰｖ４サブネット・マスクと同じ方式で働く。ベンダーＩＤマスクは、登録メッセージに必ずしも含まれなくてもよい。

単一の端末ＩＤ／端末キー値（例えば、０）は、デバイス登録のために取っておかれる。追加のペアの数、例えば１～２＾１６－１は、匿名データの、例えば温度の送信のために取っておかれてもよいが、かかる匿名データは認証することができない。

端末は、パケットを受信できるようになる前にネットワークで「登録」しなければならない（つまり、認証ブローカー４０は、登録された端末からではないメッセージを拒否し破棄する）。認証のプロセスは、探索される端末ＩＤ／キーのペアの組に、端末および特に（端末ＩＤ、端末キーの）ペアを追加する。例えば、それらは認証ブローカー４０によって使用されるデータベース２４２に追加される。

図３Ｃは、一実施形態による登録メッセージのフレーム構造３２０を示す概略図である。これは、ベンダーＩＤ ３２１（この場合、３２ビット）と、端末インデックス３２２（この場合、３２ビット）と、ＣＭＡＣ ３２３（この場合、１２８ビット）とを含む。ベンダーＩＤおよび端末インデックスは上述したようなものであり、ＣＭＡＣは、端末キーを使用してＶｅｎｄｏｒ ＩＤ｜｜Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘにデジタル署名する。サーバ（または受信）側、ベンダー・キー、およびベンダーＩＤは、端末ＩＤおよび端末キーを生成するのに使用される。メッセージが認証されると、端末ＩＤ／キーが端末探索空間に追加される。

登録はまた、ＱＲコード（登録商標）を介して実施されてもよい。登録ペイロードは、ＱＲコード（登録商標）（または他の類似の技術）として直接符号化される。登録アプリケーションは、次に、メッセージを追加のメタデータと関連付ける。

無線登録の場合、平文のＶｅｎｄｏｒ ＩＤ｜｜Ｔｅｒｍｉｎａｌ Ｉｎｄｅｘは、追加のメタデータと連結されてもよい。任意の追加のメタデータは、暗号化されたメタデータが署名されることを含めて、端末キーおよびメッセージ全体を介して暗号化されるべきである。追加情報は、顧客ＩＤなどを含んでもよい。追加のメタデータが含まれる場合、平文のノンスも攻撃の再生を防ぐのに必要なことがある。

システムは、複数の端末と複数のアクセス・ノードとを備える衛星通信システム、特に複数の衛星アクセス・ノードを特徴づける通信システムで使用されてもよい。１つのかかる通信システムは、例えば、ＷＯ２０１４／０４３７６０およびＷＯ２０１６／０９０４１１に記載されている、Ｍｙｒｉｏｔａによって開発されたグローバル・センサ・ネットワークである。このシステムは、多数の分散された一般的には低出力の端末（例えば、バッテリー式端末）に対応する、効率的な通信方法およびアーキテクチャを開発することによって、遠隔のモノのインターネットを可能にするように設計されている。本明細書に記載する方法は、かかるシステムで使用するのに特に適している。しかしながら、様々な実施形態が、衛星アクセス・ノード、空中アクセス・ノード、および地上アクセス・ノード（移動地上アクセス・ノードを含む）の様々な組み合わせによるもの、または完全に空中もしくは完全に地上のアクセス・ノードを含む３つの様々な組み合わせによるものを含む、他の通信システムで使用されてもよいことが理解されるであろう。

（メッセージの真正性および有効性を有効にする元の役割に加えて）パケットに適用されたデジタル署名を使用して送信が端末識別子を省略する、通信ネットワーク内の送信端末を固有に識別する、方法の実施形態について記載してきた。全ての端末キーの組は、２つ以上のパーティションにパーティション分割され、送信を伝送した端末の端末キーを含む探索パーティションが識別される。システム全体のキー空間のパーティション分割によって、全ての可能な端末キーを用いて受信メッセージの認証を試行することの計算コストが低減されて、探索パーティションにあるキーのみの限定された探索を実施することが可能になる。探索は、受信側には分かっているかもしくはそれによって誘導可能／推定可能なシステム情報を使用して、または送信側および受信側の両方には分かっているかもしくはそれら両方によって誘導可能／推定可能なシステム情報を使用して行われ、あるいはメッセージは、探索パーティションを識別する際に受信側を支援する情報を含んでもよい。いくつかの実施形態では、ノンス値が使用され、独立して誘導することができ（即ち、メッセージで送信されず）、端末および認証ブローカー（またはコア・ネットワーク・エンティティ）の両方によって使用され、他の実施形態では、ノンスが送信され、パーティション分割またはマッピング関数とともに使用されて、端末を識別することが可能になる。ノンスを省略することによって、より小さいヘッダを使用することが可能になり、絶対的な端末の匿名性が提供されるが、衛星軌道パラメータ（例えば、タイミング参照および最新のエフェメリス・データへのアクセス）など、ノンスを計算する何らかの方法を知っている必要がある。ノンスを含めることによってこれらの要件が排除されるが、端末ＩＤが部分的にのみ難読化され、何らかの追加のヘッダ情報を要する。端末ハッシュおよびノンスを含めることは、パーティション識別コードとして作用する。いくつかの実施形態では、パーティションは、例えば、各ノードにパーティション・キーが割り当てられるツリー構造など、階層状にグループ化される。次に、ｎビット・ハッシュを、例えば連結によって、パーティション・キーＭＡＣを順序付けることによって形成することができる。これには、ｎビット・ハッシュが暗号学的関数（即ち、パーティション・キーのＭＡＣ）から取得されるので、安全性がより高くなるという利点がある。標準的な安全性の目的に加えて、これらの方法は、端末と基地局との間で送信する必要があるオーバーヘッドを最小限に抑えて、実際のデータのための余地をより大きく残すように設計される。メッセージの生成ならびに端末の登録に関する関連方法も提供される。

当業者であれば、情報および信号は、様々な科学技術および技術のいずれかを使用して表されてもよいことを理解するであろう。例えば、上述の説明全体を通して参照されることがあるデータ、命令、コマンド、情報、信号、ビット、記号、およびチップは、電圧、電流、電磁波、磁界もしくは磁性粒子、光学場もしくは光学粒子、またはそれらの任意の組み合わせによって表されてもよい。

当業者であれば更に、本明細書に開示する実施形態と関連して記載される様々な例証の論理ブロック、モジュール、回路、およびアルゴリズム・ステップが、電子ハードウェア、コンピュータ・ソフトウェアもしくは命令、または両方の組み合わせとして実現されてもよいことを認識するであろう。ハードウェアおよびソフトウェアのこの交換可能性を明確に例示するため、様々な例示の構成要素、ブロック、モジュール、回路、およびステップについて、概して、それらの機能性の観点で上記に記載してきた。かかる機能性がハードウェアまたはソフトウェアのどちらとして実現されるかは、システム全体に付与される特定の用途および設計上の制約に応じて決まる。当業者は、記載する機能性を、特定の用途それぞれに対して様々な形で実現してもよいが、かかる実現の決定は、本発明の範囲からの逸脱を生ずるものと解釈すべきでない。

本明細書に開示される実施形態と関連して記載される方法またはアルゴリズムのステップは、ハードウェアの形で、プロセッサによって実行されるソフトウェア・モジュールの形で、またはそれら２つの組み合わせの形で直接具体化されてもよい。ハードウェア実装の場合、処理は、１つ以上の特定用途向け集積回路（ＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）、デジタル信号処理装置（ＤＳＰＤ）、プログラマブル論理デバイス（ＰＬＤ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、プロセッサ、コントローラ、マイクロコントローラ、マイクロプロセッサ、本明細書に記載する機能を実施するように設計された他の電子ユニット、またはそれらの組み合わせの中で実現されてもよい。ソフトウェア・モジュールは、コンピュータ・プログラム、コンピュータ・コード、または命令としても知られ、多数のソース・コードもしくはオブジェクト・コード・セグメントまたは命令を含んでもよく、ＲＡＭメモリ、フラッシュ・メモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、レジスタ、ハード・ディスク、リムーバブル・ディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ブルーレイ・ディスク、またはコンピュータ可読媒体の他の任意の形態など、任意のコンピュータ可読媒体に常駐してもよい。いくつかの態様では、コンピュータ可読媒体は、非一時的なコンピュータ可読媒体（例えば、有形媒体）を含んでもよい。それに加えて、他の態様の場合、コンピュータ可読媒体は、一時的なコンピュータ可読媒体（例えば、信号）を含んでもよい。上述のものの組み合わせも、コンピュータ可読媒体の範囲内に含まれるべきである。別の態様では、コンピュータ可読媒体はプロセッサと一体であってもよい。プロセッサおよびコンピュータ可読媒体は、ＡＳＩＣまたは関連デバイスに常駐してもよい。ソフトウェア・コードはメモリ・ユニットに格納されてもよく、プロセッサはそれらを実行するように構成されてもよい。メモリ・ユニットは、プロセッサ内またはプロセッサ外に実装されてもよく、プロセッサ外の場合、当該分野で知られているような様々な手段を介してプロセッサに通信可能に連結することができる。

更に、本明細書に記載する方法および技術を実施するためのモジュールおよび／または他の適切な手段を、コンピュータデバイスによってダウンロードおよび／または別の方法で取得できることが認識されるべきである。例えば、かかるデバイスをサーバに連結して、本明細書に記載する方法を実施する手段の転送を容易にすることができる。あるいは、本明細書に記載する様々な方法を、記憶手段（例えば、ＲＡＭ、ＲＯＭ、コンパクトディスク（ＣＤ）もしくはフロッピーディスクなどの物理的記憶媒体など）を介して提供することができ、それにより、コンピューティング・デバイスは、記憶手段をデバイスに連結または提供する際に、様々な方法を取得することができる。更に、本明細書に記載する方法および技術を提供するための他の任意の適切な技術を利用することができる。

１つの形態では、本発明は、本明細書に提示する方法または動作を実施するコンピュータ・プログラム製品を含んでもよい。例えば、かかるコンピュータ・プログラム製品は、命令が格納（および／または符号化）されたコンピュータ（もしくはプロセッサ）可読媒体を含んでもよく、命令は、本明細書に記載する動作を実施するのに１つ以上のプロセッサによって実行可能である。

本明細書に開示する方法は、記載される方法を達成するための１つ以上のステップまたはアクションを含む。方法のステップおよび／またはアクションは、請求の範囲から逸脱することなく互いに交換されてもよい。換言すれば、ステップまたはアクションの特定の順序が指定されない限り、特定のステップおよび／またはアクションの順序および／または使用は、請求の範囲から逸脱することなく修正されてもよい。

本明細書で使用するとき、「決定する」という用語は多種多様なアクションを包含する。例えば、「決定する」は、計算、演算、処理、導出、調査、検索（例えば、テーブル、データベース、もしくは別のデータ構造の検索）、確認などを含んでもよい。また、「決定する」は、受信（例えば、情報を受信すること）、評価（例えば、メモリ内のデータを評価すること）などを含んでもよい。また、「決定する」は、解決、選択、選出、確立などを含んでもよい。

システムの態様は、１つもしくは複数のプロセッサおよびメモリと、任意に入力デバイス（例えば、キーボード、マウスなど）および出力デバイス（例えば、ディスプレイ）とを備える、コンピューティング・デバイスまたは装置を使用して実現されたコンピュータであってもよい。これらは、例えば、受信および送信装置の代わりに専門の計算を実施するため、受信および送信装置に統合されるか、または受信および送信装置と通信していてもよい。メモリは、本明細書に記載する方法の態様またはステップをプロセッサに実行させる命令を含んでもよい。プロセッサおよびメモリは、サーバ、デスクトップ・コンピュータ、ラップトップ・コンピュータもしくはタブレットなどのポータブル・コンピューティング・デバイスなど、標準的なコンピューティング・デバイスに含まれてもよく、またはカスタマイズされたデバイスもしくはシステムに含まれてもよい。コンピューティング・デバイスは、一体型のコンピューティングもしくはプログラマブル・デバイス、または有線もしくは無線接続を介して動作可能に（もしくは機能的に）接続された、いくつかの構成要素を備える分散型のデバイスであってもよい。１つまたは複数のプロセッサは、入出力インターフェースと、演算論理装置（ＡＬＵ）と、入出力インターフェースを通して入出力デバイスと通信している制御装置およびプログラム・カウンタ要素とを備える、中央処理装置（ＣＰＵ）を備えてもよい。入出力インターフェースは、規定の通信プロトコル（例えば、Ｂｌｕｅｔｏｏｔｈ、Ｚｉｇｂｅｅ、ＩＥＥＥ ８０２．１５、ＩＥＥＥ ８０２．１１、ＴＣＰ／ＩＰ、ＵＤＰなど）を使用して、別のデバイスにおける等価の通信モジュールと通信する、ネットワークインターフェースおよび／または通信モジュールを備えてもよい。グラフィック処理装置（ＧＰＵ）も含まれてもよい。表示装置は、平面ディスプレイ（例えば、ＬＣＤ、ＬＥＤ、プラズマ、タッチ・スクリーンなど）、プロジェクタ、ＣＲＴなどを含んでもよい。コンピューティング・デバイスは、単一のＣＰＵ（コア）もしくは複数のＣＰＵ（マルチ・コア）、または複数のプロセッサを備えてもよい。コンピューティング・デバイスは、パラレル・プロセッサ、ベクトル・プロセッサを使用するか、または分散型コンピューティング・デバイスであってもよい。メモリは、プロセッサに動作可能に連結され、ＲＡＭおよびＲＯＭコンポーネントを備えてもよく、デバイス内またはデバイス外に提供されてもよい。メモリは、オペレーティング・システムおよび追加のソフトウェア・モジュールまたは命令を格納するのに使用されてもよい。プロセッサは、メモリに格納されたソフトウェア・モジュールまたは命令をロードし実行するように構成されてもよい。

明細書および以下の請求の範囲全体を通して、文脈によって別様が求められない限り、「備える」および「含む」という単語、ならびに「備えている」および「含んでいる」などの変形例は、提示される整数または整数群を含むが、他のあらゆる整数または整数群を除外しないことを示唆するものと理解される。

本明細書における任意の従来技術の参照は、かかる従来技術が共通の一般的知識の一部を形成することを何らかの形で提案することの承認ではなく、またそのように解釈されるべきではない。

本開示は、その使用が記載する特定の１つまたは複数の適用例に制限されないことが、当業者には認識されるであろう。本開示は、本明細書に記載もしくは図示される特定の要素および／または特徴に関して、その好ましい実施形態に制限されない。本開示は、開示される１つまたは複数の実施形態に限定されず、以下の請求の範囲によって記述され定義されるような範囲から逸脱することなく、多数の再配置、修正、および置換が可能であることが認識されるであろう。

Claims (42)

1. 通信システムにおいて端末から受信したメッセージから端末識別子を決定する方法であって、
   複数のアクセス・ノードと、該複数のアクセス・ノードに動作可能に接続された認証ブローカーと、複数の端末とを含む通信システムのアクセス・ノードによって、端末キーと固有の端末識別子を有する端末から送信されるメッセージを受信するステップでてあって、該アクセス・ノードによって受信された該メッセージが、少なくともメッセージ認証コードと、ｎビット・ハッシュと、暗号化されたメッセージ・テキストとを含み、少なくとも該端末キーおよびノンスが該メッセージ認証コードを生成するのに使用され、該端末識別子または該端末キーのどちらも該端末から送信されたメッセージには含まれない、ステップと、
   少なくとも該受信したメッセージ認証コードおよび該ｎビット・ハッシュを該認証ブローカーに提供するステップであって、該認証ブローカーが、該通信システムの該複数の端末に対する全ての端末識別子と端末キーのペアの組を格納する、ステップと、
   該端末キーの組を少なくとも２つのパーティションにパーティション分割し、該ｎビット・ハッシュを使用して該アクセス・ノードによって受信された該メッセージを送信した該端末の該端末キーを含む探索パーティションを識別するステップと、
   該メッセージ認証コードを認証する該端末キーに関して該探索パーティションを探索するステップと、
   該メッセージ認証コードを認証する該端末キーを使用して該端末識別子を識別するステップと、を含む、方法。
2. 前記ノンスが前記アクセス・ノードによって受信された前記メッセージに含まれず、前記端末および前記認証ブローカーには分かっている既定のパーティション分割関数が、少なくとも前記ノンスおよび端末キーからｎビット・ハッシュを生成するのに使用され、前記方法が、前記ノンスを取得するステップを更に含み、前記ノンスが、前記認証ブローカーには分かっているかもしくは前記認証ブローカーによって推定可能なシステム情報、または前記端末および前記認証ブローカーの両方には分かっているかもしくは前記端末および前記認証ブローカーの両方によって推定可能な共通情報を使用して取得される、請求項１に記載の方法。
3. 前記端末キーの組をパーティション分割する前記ステップが、前記取得したノンスと前記端末キーとを前記既定のパーティション分割関数への入力として使用することによって、各端末に対してｎビットのテスト値を生成するステップと、同じｎビット・ハッシュを有する端末をグループ化するステップとを含み、前記探索パーティションを識別する前記ステップが、ｎビットのテスト値が前記受信したｎビット・ハッシュと合致する端末を含む前記パーティションを選択するステップを含む、請求項２に記載の方法。
4. 前記規定の関数が、
   

   

   
   （ノンス）であり、式中、Ｋは対応する端末キーである、請求項３に記載の方法。
5. 前記ノンスが、端末の履歴の空間的、時間的、または空間時間的送信パターンを分析することによって取得される、請求項２から４のいずれか一項に記載の方法。
6. 受信の送信元であった地理的領域を推定するステップを更に含み、前記ノンスを取得するステップが、既定の時間窓にわたって前記システムの各端末に関して最後に分かっていた位置を使用して実施され、前記探索パーティションが、最後に分かっていた位置が該推定された地理的領域内であった前記端末を含む、請求項５に記載の方法。
7. 前記ノンスを取得する前記ステップが、前記通信システムにおける前記端末からの送信のタイミングまたは周波数パターンを使用して実施され、前記探索パーティションが、前記受信した送信の時間に基づいて識別される、請求項５に記載の方法。
8. 前記ノンス値が、前記端末から送信された前記メッセージの送信時間に関して決定された時間におけるカウンタの現在値を決定することによって取得され、該カウンタが、予め定められた基準時間および増分ポイントに関して計数される、請求項２から４のいずれか一項に記載の方法。
9. 前記カウンタが、受信側および送信側には分かっている衛星軌道のパラメータに基づいて、前記端末から送信された前記メッセージの送信の推定時間で計算され、前記基準時間が基準エポックであり、前記増分ポイントが予め定められた軌道基準ポイントである、請求項８に記載の方法。
10. 前記パラメータが軌道カウントであり、衛星通信ネットワークの衛星に対するエフェメリス・データから決定される、請求項９に記載の方法。
11. 前記複数のアクセス・ノードが複数の衛星アクセス・ノードを含み、前記カウンタの基準である前記衛星が該複数の衛星アクセス・ノードの１つである、請求項９または１０に記載の方法。
12. パーティションの数が２つであり、前記パーティション分割および探索が、
    端末に関して、前記既定のパーティション分割関数を前記端末キーおよび前記ノンスに適用することによって取得されるｎビットのテスト値を計算するステップと、
    端末に関して、該ｎビットのテスト値が受信した前記ｎビット・ハッシュと合致するかを決定し、該ｎビットのテスト値が受信した前記ｎビット・ハッシュと合致する場合、前記端末キーおよび前記ノンスが前記メッセージ認証コードの認証に成功するかを決定するステップとによって、全ての前記端末キーの組を通して反復することによって同時に実施される、請求項２に記載の方法。
13. 前記ノンスが前記アクセス・ノードによって受信された前記メッセージに含まれ、前記端末および前記認証ブローカーには分かっている既定のパーティション分割関数が、前記端末識別子からｎビットを選択するのに前記ノンスを使用することによって、ｎビット・ハッシュを生成するのに使用され、前記端末キーの組をパーティション分割する前記ステップが、受信した前記ノンスおよび前記端末識別子を該既定のパーティション分割関数への入力として使用することによって、各端末に関してｎビットのテスト値を生成するステップと、同じｎビット・ハッシュを有する端末をグループ化するステップとを含み、前記探索パーティションを識別するステップが、ｎビットのテスト値が受信した前記ｎビット・ハッシュと合致する端末を含む前記パーティションを選択するステップを含む、請求項１に記載の方法。
14. 前記ノンスが、前記端末によって擬似乱数ソースから生成される、請求項１３に記載の方法。
15. 前記既定のパーティション分割関数が、
    前記端末識別子をｍ個のｎビットの重なり合わない部分へとパーティション分割するステップと、
    ２ｋ≧ｍの要件に依存する、前記ノンスの既定のｋビット部分の値ｊモジュロｍを計算し、Ｌビットの端末識別子のｊモジュロｍのｎビット部分を選択するステップとによって、ｎビットのテスト値を前記ノンスおよび前記端末識別子から生成する、請求項１３または１４に記載の方法。
16. 前記ノンスの前記既定のｋビット部分が前記ノンスの最初または最後のｋビット部分である、請求項１５に記載の方法。
17. 前記パーティション分割が、端末の履歴の空間的、時間的、または空間時間的送信パターンを分析することに基づく、請求項１から１６のいずれか一項に記載の方法。
18. 前記ノンスが前記アクセス・ノードによって受信された前記メッセージに含まれ、前記端末キーの組をパーティション分割するステップが、メッセージを受信する前にｍ回のパーティション分割を生成するステップを含み、該ｍ回のパーティション分割のうちｊ番目のパーティション分割が、
    各端末識別子のｊ番目のｎビット部分を選択し、端末識別子の同じｊ番目のｎビット部分を含む端末をグループ化して、各ｊ＝１，…，ｍに対して２ｎ個のパーティションを形成するステップと、
    メッセージを受信する際に、２ｋ≧ｍの要件に依存する、前記ノンスの既定のｋビット部分の値ｊモジュロｍを計算するステップによって取得され、前記探索パーティションを識別するステップが、該ｍ回のパーティション分割のうち該ｊ番目のパーティション分割において、前記端末識別子の該ｎビット部分が受信した前記ｎビット・ハッシュと合致する端末キーで構成される前記パーティションを選択するステップを含む、請求項１に記載の方法。
19. 前記少なくとも２つのパーティションがそれぞれ関連するパーティション・キーを有し、前記ｎビット・ハッシュが、前記探索パーティションに関するパーティション・キーから生成されるパーティション・メッセージ認証コードを含み、前記探索パーティションを識別するステップが、受信した該パーティション・メッセージ認証コードを認証する該パーティション・キーに関してパーティション・キーの組を探索するステップを含む、請求項１から１８のいずれか一項に記載の方法。
20. 前記少なくとも２つのパーティションが、複数の階層状パーティション層を形成するようにツリー状にグループ化された複数のパーティションであり、各パーティションが関連するパーティション・キーを有し、前記ｎビット・ハッシュが、根ノードから前記探索パーティションを含む葉ノードまでツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コードの順序付き組み合わせであり、前記探索パーティションを識別するステップが、該順序付き組み合わせから決定された該層と関連付けられた受信した前記パーティション・メッセージ認証コードを認証する該パーティション・キーに関して、該ツリーの各層における前記パーティション・キーの組を探索することによって、該ツリーを横断するステップを含み、葉ノード層と関連付けられた受信した前記パーティション・メッセージ認証コードをパーティション・キーが認証する該葉ノードが、前記探索パーティションである、請求項１９に記載の方法。
21. 前記少なくとも２つのパーティションが、複数の階層状パーティション層を形成するようにツリー状にグループ化された複数のパーティションであり、葉ノード・パーティションを除く各パーティションが関連するパーティション・キーを有し、葉ノード・パーティションがそれぞれ単一の端末キーを含み、前記ｎビット・ハッシュが、根ノードから葉ノードまでツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コードの順序付き組み合わせであり、前記探索パーティションを識別するステップが、葉ノードの組が取得されるまで、該順序付き組み合わせから決定された該層と関連付けられた受信した該パーティション・メッセージ認証コードを認証する該パーティション・キーに関して、該ツリーの各層における前記パーティション・キーの組を探索することによって、該ツリーを横断するステップを含み、前記探索パーティションが、該端末キーが前記端末の前記メッセージ認証コードを認証する該葉ノード・パーティションである、請求項１９に記載の方法。
22. 前記順序付き組み合わせが、前記根ノードから前記葉ノードまで前記ツリーを横断することによって取得される順序であり、前記ｎビット・ハッシュが、前記探索経路における各パーティション・メッセージ認証コードの前記探索パーティションに対する連結である、請求項２０または２１に記載の方法。
23. 前記端末識別子が１２８ビットであり、前記端末キーが１２８または２５６ビットである、請求項１から２２のいずれか一項に記載の方法。
24. パーティションの数が１００超過である、請求項１から１１および１３から２３のいずれか一項に記載の方法。
25. 複数の既定のパーティション分割関数が前記端末キーの組をパーティション分割するのに使用され、前記端末から送信された前記メッセージが、該複数の既定のパーティション分割関数からどの既定のパーティション分割関数が前記端末キーの組をパーティション分割するのに使用されるかを決定するのに、前記認証ブローカーによって使用される、少なくとも１ビットの標識フィールドを更に含む、請求項１から２４のいずれか一項に記載の方法。
26. 前記通信システムが衛星通信システムであり、前記複数のアクセス・ノードが複数の衛星アクセス・ノードを含む、請求項１から２５のいずれか一項に記載の方法。
27. 複数の端末と、複数のアクセス・ノードと、認証ブローカーとを含み、各端末が固有の端末識別子と端末キーとを格納し、該認証ブローカーが該複数の端末それぞれに対する端末識別子と端末キーのペアの組を格納する、衛星通信システムのアクセス・ノードに送信する端末によって、認証済みメッセージを生成する方法であって、
    ノンス値を生成するステップと、
    暗号化されたメッセージ・テキストを取得するのに、該端末によって格納された端末キーおよび該ノンス値を使用して、送信のためのメッセージを暗号化するか、または送信のための暗号化されたメッセージ・テキストを取得するステップと、
    該端末によって、少なくとも該端末キーおよびノンスからｎビット・ハッシュを生成するか、またはｎビットを該端末識別子から選択することによってｎビットのテスト値を生成する、既定のパーティション分割関数を使用して、ｎビット・ハッシュを生成するステップであって、あるいは該ｎビット・ハッシュが、該端末キーを含むパーティションと関連付けられたパーティション・キーから生成される１つまたは複数のパーティション・メッセージ認証コードを含む、ステップと、
    少なくとも該ノンスおよび該端末キーを使用して、メッセージ認証コードを生成するステップと、
    該複数のアクセス・ノードのうちのアクセス・ノードに、該端末によって、少なくとも該ｎビット・ハッシュと、該メッセージ認証コードと、該暗号化されたメッセージ・テキストとを含むメッセージを送信するステップと
    を含む、方法。
28. 前記ノンス値が、前記端末および前記認証ブローカーの両方には分かっているかもしくは前記端末および前記認証ブローカーの両方によって推定可能な共通情報を使用して決定され、前記ノンスが送信されず、既定のパーティション分割関数が、前記少なくとも前記端末キーおよび前記ノンスから前記ｎビット・ハッシュを生成する、請求項２７に記載の方法。
29. 前記ノンス値が、前記メッセージの送信時間に関して決定された時間におけるカウンタの現在値を決定することによって取得され、該カウンタが、受信側および送信側には分かっている衛星軌道のパラメータに基づき、予め定められた基準時間および増分ポイントに関して計数される、請求項２８に記載の方法。
30. 前記カウンタが、前記メッセージの送信時における衛星に関する軌道カウントであり、前記基準時間が基準エポックであり、前記増分ポイントが予め定められた軌道基準ポイントである、請求項２９に記載の方法。
31. 前記複数のアクセス・ノードが複数の衛星アクセス・ノードを含み、前記カウンタの基準である前記衛星が該複数の衛星アクセス・ノードの１つである、請求項３０に記載の方法。
32. ｎビット端末ハッシュが、
    

    

    
    （ノンス）を使用して取得され、式中、Ｋは対応する端末キーである、請求項２８から３２のいずれか一項に記載の方法。
33. 前記ノンスが擬似乱数ソースから生成され、前記メッセージで送信され、前記既定のパーティション分割関数が、前記端末識別子からｎビットを選択することによって、前記ｎビット端末ハッシュを生成する、請求項３２に記載の方法。
34. 前記ｎビット端末ハッシュを生成するステップが、
    前記ノンスの既定のｋビット部分を選択するステップと、
    ２ｋ≧ｍに依存する、前記端末識別子をｍ個のｎビットの重なり合わない部分へとパーティション分割するステップと、
    前記ノンス値の該ｋビット部分の値ｊモジュロｍを計算するステップと、
    前記端末識別子のｊ番目のｎビット部分を前記ｎビット端末ハッシュとして選択するステップと
    を含む、請求項３３に記載の方法。
35. パーティション関数が更に、複数のパーティションを複数の階層状パーティション層を含むツリーへとグループ化し、パーティション・キーが各パーティションと関連付けられ、前記ｎビット・ハッシュが、根ノードから前記端末キーを含む葉ノード・パーティションまで該ツリーを横断する探索経路の各層における、各パーティション・キーから生成される各パーティション・メッセージ認証コードの順序付き組み合わせである、請求項２４に記載の方法。
36. 前記通信システムが衛星通信システムであり、前記複数のアクセス・ノードが複数の衛星アクセス・ノードを含む、請求項２７から３５のいずれか一項に記載の方法。
37. プロセッサと、請求項１から２６のいずれか一項に記載の方法を実現するように該プロセッサを構成する命令を含むメモリとを備える、認証ブローカー装置。
38. アンテナと、通信ハードウェアと、プロセッサと、請求項２７から３５のいずれか一項に記載の方法を実現するように該プロセッサを構成する命令を含むメモリとを備える、端末装置。
39. 請求項３８に記載の複数の端末と、
    複数のアクセス・ノードと、
    請求項３７に記載の認証ブローカー装置とを備える、通信システム。
40. 前記複数のアクセス・ノードが複数の衛星アクセス・ノードを含む、請求項３９に記載のシステム。
41. 請求項１から２６のいずれか一項に記載の方法をプロセッサに実施させる命令を含む、コンピュータ可読媒体。
42. 請求項２７から３６のいずれか一項に記載の方法をプロセッサに実施させる命令を含む、コンピュータ可読媒体。

Images