JPH08507416A - クライアントサーバ通信の認証のための方法及び装置 - Google Patents

Abstract

(57)【要約】 本発明は、メッセージパケットの偽造を防止するためのメッセージパケット認証の方法及び装置を提供する。そこで、署名と呼ばれるメッセージダイジェストの一部分を、実際のメッセージがワイヤを介して送信されるときに実際のメッセージに追加する（２０５）。受信局はメッセージから署名を取り除き（２０８）、同じ秘密セッションキーを事前に追加し（２０９）、それ独自のメッセージダイジェストを作成する（２１２）。受信局により作成されたダイジェストの署名を送信局により追加されたダイジェストの署名と比較する（２１３）。一致があれば、認証メッセージを想定する（２１４）。一致がなければ、メッセージを無効と考え、廃棄する（２１６）。

Description

【発明の詳細な説明】 クライアントサーバ通信の認証のための方法及び装置 発明の分野 本発明はネットワーク通信の分野に関する。背景技術 データ、アプリケーション、ファイル、処理パワー、通信並びにプリンタ、変 復調装置、大容量記憶装置などの他の資源の共用を可能にするために、パーソナ ルコンピュータ又はワークステーションをコンピュータネットワークを介して連 係できる。一般に、資源の共用はネットワークサーバの使用によって実行される 。サーバは集中型資源を管理し、データを管理し、及び多くの場合に「クライア ント」と呼ばれる他のＰＣやワークステーションとの資源を共用するのに専用に 用いられる処理装置である。サーバと、ネットワークと、ＰＣ又はワークステー ションとは、一体に組合わされて、クライアント／サーバコンピュータネットワ ークを構成する。クライアント／サーバネットワークモデルの１例を図１に示す 。 図１は、サーバマシン１０２に結合するクライアントマシン１０１を示す。ク ライアントマシン１０１はＰＣ、ワークステーションなどであれば良い。サーバ マシンは、ファイルを記憶する大容量記憶装置を含む専用プロセッサ、ＰＣ、ワ ークステーションなどであれば良い。典型的には、大容量記憶装置はディスクド ライブ又は他の適切な装置である。 クライアントマシン１０１は、クライアントスタブ１０３と通信するクライア ント１０２から構成されている。クライアントスタブ１０３はトランスポートエ ンティティ１０４と通信する。サーバマシン１０５はサーバ１０６と、サーバス タブ１０７と、トランスポートエンティティ１０８とを含む。 クライアントマシン１０１に関して説明すれば、クライアント１０２はサーバ のファイルを利用する局所プロセッサである。クライアントスタブ１０３は、ク ライアントがサーバをアクセスすることを可能にする局所手続きの集合体である 。トランスポートエンティティ１０４はネットワーク、すなわち、「ワイヤ」１ ０９に対するアクセスを実行する。ワイヤ１０９はクライアントとサーバとの間 の通信媒体を表わし、実際のハードワイヤード通信媒体であっても良く、あるい は、 無線接続であっても良い。同様に、サーバスタブ１０７はサーバがクライアント と通信することを可能にする手続きの集合体であり、トランスポートエンティテ ィ１０８はサーバからワイヤ１０９へのアクセスを実行する。 動作中、クライアントとサーバとの通信は（クライアントからの）要求と（サ ーバからの）応答という形態をとる。この通信は遠隔手続き呼出しの形態である 。クライアントは１つの手続きを呼出し且つ結果を獲得するアプリケーションに 類似している。その相違点は、手続きが必ずクライアント１０１と同じマシンに あるとは限らず、むしろサーバマシン１０５にあるということである。 当初、クライアント１０２はクライアントマシンのクライアントスタブ１０３ （クライアント１０２の局所アドレススペースに常駐している）にあるスタブ手 続きを呼び出す。クライアントスタブ１０３はその呼出しからメッセージを構成 し、メッセージをトランスポートエンティティ１０４に提供する。トランスポー トエンティティ１０４はワイヤ１０９を介してメッセージをサーバマシン１０５ へ通信する。サーバにおいては、トランスポートエンティティ１０８はメッセー ジをサーバスタブ１０７に渡す。そこで、サーバスタブはサーバ１０６から適切 なサーバ手続きを呼び出す。サーバ１０６はメッセージに関して演算し、次にそ の手続きと何らかの結果をサーバスタブ１０７に戻す。サーバスタブ１０７は応 答メッセージを構成し、それをトランスポートエンティティ１０８に提供する。 応答メッセージはワイヤ１０９を介してクライアントマシン１０１のトランスポ ートエンティティ１０４へ送信される。トランスポートエンティティは応答メッ セージをクライアントスタブ１０３に提供する。クライアントスタブ１０３は、 サーバによって戻された手続きと何らかの値をクライアント１０２に戻す。 コンピュータネットワークでは、クライアントとユーザが異なる特権のレベル を有する。ユーザの追加、ユーザの削除、パスワードの変更などのいくつかの機 能は最高の特権をもつユーザに限定されている。それらのユーザクライアントは ネットワーク管理責任者であることが多く、それらのユーザは必要に応じてネッ トワークを変更することが可能でなければならない。加えて、大半のユーザに対 して制約が設けられているある種のファイル又はアクティビティもあるだろう。 たとえば、金融データはその金融データを知る又は使用する必要があるユーザに 限定されている場合が多い。一般に、他のユーザはそのデータをアクセスするこ とを許されない。 クライアント／サーバモデルにおいては、メッセージを「パケット」として転 送する。メッセージパケットの１例を図３Ａに示す。メッセージは４バイトの長 さヘッダー（ローハイ）標識３０１から構成されている。長さヘッダー３０１は その後に続くメッセージの長さを識別するもので、次のような情報を含む： CheckSum PacketLength TransportControl HPacketType DestinationNet DestinationNode DestinationSocket SourceNet SourceNode SourceSocket 長さヘッダー３０１の後に要求コード３０２が続く。要求コード３０２はクラ イアントによって要求されている手続きの特定の型である。要求コード３０２の 後にデータ３０３が続く。データ３０３の長さは可変であっても良い。 メッセージパケットの特定の１つの型は「ＮＣＰパケット」と呼ばれるが、そ のＮＣＰはＮｅｔＷａｒｅ Ｃｏｒｅ Ｐｒｏｔｏｃｏｌを表わしている。（Ｎ ｅｔＷａｒｅはユタ州ＰｒｏｖｏのＮｏｖｅｌｌ，Ｃｏｒｐｏｒａｔｉｏｎの商 標である）。ＮｅｔＷａｒｅはネットワークシステム用オペレーティングシステ ムである。ＮＣＰパケットは長さヘッダーの中に次の追加情報を含む： packet type sequence number connection low task connectionｈigh メッセージパケットの標準部分は発信元アドレスと、受信先アドレス及び長さ とを始めとして、他の複数の情報を提供する。ＮＣＰ部分は接続番号と、シーケ ンス番号とを含む。ステーション接続番号は活動中のステーションのテーブルへ の索引をサーバに与える。サーバは活動ステーションテーブルを使用し、そのス テーションのネットワークアドレス及びシーケンス番号を含めた、ステーション のセッションに関する情報を追跡する。 接続番号は一部で機密性検査として使用される。サーバは、要求パケットを受 信するときに、パケットの接続番号をその接続テーブルへの索引として使用する 。要求パケットのネットワークアドレスは、その要求パケットに含まれている接 続番号に対応する接続テーブルエントリに記憶されたネットワークアドレスと一 致していなければならない。これは要求パケットを有効化する１つの方法である 。 シーケンス番号もパケットを有効化するために使用される。シーケンス番号は 、サーバとクライアントの双方によって維持されるバイトである。クライアント が要求パケットを送信するとき、そのクライアントはシーケンス番号を増分する 。同様に、サーバは要求パケットを受信するときに、そのクライアントのシーケ ンス番号（サーバの接続テーブルに記憶されている）を増分する。シーケンス番 号はクライアントによって２５６回目の要求が実行されるたびに（それが１バイ トの長さであるために）循環する。 クライアントのシーケンス番号を増分する前に、サーバは既に受信した要求パ ケットのリストに照らしてシーケンス番号を検査する。この検査は、サーバが重 複する要求パケットをサービスしないことを確認するためのものである。シーケ ンス番号が重複する要求パケットを指示しない場合、サーバはサーバの接続テー ブルに記憶されているシーケンス番号に照らして要求パケットのシーケンス番号 を検査する。それら２つの番号が等しくなければ、サーバはパケットを廃棄する 。 それらの予防措置にもかかわらず、時折、ネットワークアドレス、接続局、そ の局の接続番号及び局のシーケンス番号を検出することによるメッセージパケッ トの偽造の可能性はある。典型的には、メッセージパケットを偽造する目的は、 偽造者の特権レベルを更新できるようにより高い特権をもつユーザ又はクライア ントを「模倣する」ことである。偽造者は、通信媒体からネットワークパケット を捕捉することにより、さらに高い特権をもつ局の接続番号を捕獲できるであろ う。それらは、より高い特権をもつ局からサーバヘ送信されるネットワークパケ ットである。偽造者はプロトコル解析ツールを使用してそれらのパケットを捕獲 しうるだろう。 接続番号を獲得することによって、偽造者は傍受されたメッセージの中と同じ 局接続番号を使用して、メッセージをサーバ受信先アドレスヘ送信することによ りメッセージを偽造しようと試みるであろう。ところが、それだけでは侵入者が メッセージを偽造することを可能にするには不十分である。先に述べた通り、サ ーバはシーケンス番号を検査し、それを既に受信した要求のリストと比較する。 新たな要求のシーケンス番号はそれと関連して、次に続くシーケンス番号を有し ているべきである。有していないのであれば、それは無効の要求であり、サーバ はそのパケットを廃棄する。 侵入者はシーケンス番号を「推測する」ことによりメッセージを偽造しようと 試みるかもしれない。２５６の後にシーケンス番号は「循環する」ので、侵入者 はシーケンス番号を見出す前に２５６回の試行を試みるだけで良い。侵入者はサ ーバからの応答を受信するのではなく、むしろ、サーバからの応答を検出しなけ ればならないか又はサーバへ発行された要求が実行されているか否か（たとえば 、侵入者に関わる特権状態の変化）を検出しなければならない。 ネットワーク侵入者に対して可能な解決方法の１つは、侵入者型アクティビテ ィを検出するために使用されるネットワークを監視するというものである。たと えば、正しいシーケンス番号を提供するための試行錯誤の試みが検出されるよう にネットワークを監視できるであろう。たとえば、シーケンス番号を提供すると きのある回数の許容失敗試行を伴ってウィンドウを定義できるであろう。問題は 、許容再試行のためのウィンドウの大きさに応じて、侵入者がそのウィンドウの 中で無作為に正しいシーケンス番号を得ることもありうるという点である。ウィ ンドウを小さくすれば、正当なユーザが正しいシーケンス番号を与えないときに 正当なトランザクションが中断されてしまうであろう。侵入者のアクセスを単に 検出する代わりに、侵入者のネットワークアクセスを防止する方法及び装置を提 供することが望まれる。 本発明の概要 本発明は、メッセージパケットの偽造を防止するためのメッセージパケット認 証の方法及び装置を提供する。メッセージパケットを作成した後、そのメッセー ジに秘密セッションキーを事前に追加し、変更したメッセージについてメッセー ジダイジェスティングアルゴリズムを実行して、メッセージダイジェストを作成 する。次に、署名で呼ばれるメッセージダイジェストの一部分を、実際のメッセ ージがワイヤを介して送信されるときに実際のメッセージに追加する。受信局は メッセージから署名を取り除き、同じ秘密セッションキーを事前に追加し、それ 独自のメッセージダイジェストを作成する。受信局により作成されたダイジェス トの署名を、送信局により追加されていたダイジェストの署名と比較する。一致 があれば、認証メッセージを想定する。一致がないならば、メッセージを無効と 考え、廃棄する。本発明の１つの利点は、セッションキーが決してワイヤを介し て送信されないことである。受信局（サーバ）は既にキーをもっており、キーを メッセージデータと共に使用して、パケットを受信した時点でメッセージダイジ ェストを再計算する。ＮＣＰセッションの開始中に共用秘密キー（セッションキ ー）を生成する。加えて、送信局と受信局の双方により累積状態情報を維持して おく。この状態情報もメッセージを認証するために使用される。 図面の簡単な説明 図１は、クライアント／サーバモデルのブロック線図である。 図２は、本発明のセッションキーを使用するメッセージセッションの流れ図で ある。 図３Ａ〜図３Ｇは、メッセージセッション中のメッセージ構造の図である。 図４は、メッセージセッション中のクライアント状態の流れ図である。 図５は、メッセージセッション中のサーバ状態の流れ図である。 図６は、セッションキーの生成を示す流れ図である。 図７は、セッションキーを認証する方法の流れ図である。 図８は、本発明を実現しうるコンピュータシステムのブロック線図である。 図９は、本発明のブロック線図である。 発明の詳細な説明 メッセージ認証の方法及び装置を説明する。以下の説明中、本発明をさらに完 全に理解させるために、メッセージ型、メッセージ長さなどの特定の詳細な事項 を数多く挙げる。しかしながら、それらの特定の詳細がなくとも本発明を実施し うることは明白であろう。別の場合には、本発明を無用にわかりにくくしないよ うに周知の特徴を詳細には説明していない。 本発明はメッセージごとに、センダを識別し且つ認証する署名を与える。さら に、本発明はセッションに関する状態情報を追跡し、その累積効果を使用して、 センダを保護し且つ認証するのを助ける。 本発明の署名方式は「メッセージダイジェスティング」として知られている動 作を利用する。メッセージダイジェスティングはデータの保全性を与え且つ誤り を検出するための方式である。使用に際して利用可能なメッセージダイジェステ ィングアルゴリズムはいくつかあり、そのいくつかはＲｉｖｅｓｔ，Ｓｈａｍｉ ｒ及びＡｓｓｏｃｉａｔｅｓ（ＲＳＡ）により提供されている。ＲＳＡメッセー ジダイジェスティングアルゴリズムはＭＤ２，ＭＤ４及びＭＤ５として知られて いる。本発明の好ましい実施例は、メッセージダイジェスティングアルゴリズム ＭＤ４から派生したものを利用する。ＭＤ４アルゴリズムは、本明細書にも参考 として取り入れられているＲＦＣ１３２０「Ｔｈｅ ＭＤ４ Ｍｅｓｓａｇｅ− Ｄｉｇｅｓｔ Ａｌｇｏｒｉｔｈｍ」，Ｒ．Ｒｉｖｅｓｔ，ＭＩＴ Ｌａｂｏｒ ａｔｏｒｙ ｆｏｒ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ ＲＳＡ Ｄ ａｔａ Ｓｅｃｕｒｉｔｙ，Ｉｎｃ．１９９２年４月の中で説明されている。本 発明の好ましい実施例では、ＭＤ４アルゴリズムの中で説明されているパディン グ方式の代わりに、ここで説明するパディング方式を使用する。しかしながら、 本発明はどのような適切なパディング方式と組み合わせても使用可能であろう。 加えて、ＭＤ２ダイジェスティングアルゴリズムやＭＤ５ダイジェスティングア ルゴリズムをダイジェスティングアルゴリズムとして使用しても良い。 ダイジェスティングアルゴリズムの代わりに、本発明の趣旨から逸脱すること なく、他の暗号の上で安全である一方向ハッシングアルゴリズムを使用しても良 い。ハッシュ関数は、値を広い定義域からより小さな範囲にマッピングする数学 的関数である。好ましい実施例では、ハッシュ関数はその関数を定義域内の１組 の値に適用した結果がその範囲にわたって一様に（且つ見かけは無作為に）分布 するようなものである。この方式を使用すると、時間を節約しつつ、依然として 有効なデジタル認証署名の利点を発揮するように、メッセージの暗号化を回避す ることができる。メッセージ署名 メッセージを認証するために署名を作成し且つ利用する方法を図２の流れ図に 示す。ステップ２００では、クライアントによりメッセージを作成する。このメ ッセージは図３Ａに示すようなものである。メッセージは４バイトの長さヘッダ ー（ローハイ）標識３０１から構成されている。長さヘッダー３０１はその後に 続くメッセージの長さを識別し、発信元と受信先の情報を含む。長さヘッダー３ ０１の後に要求コード３０２が続く。要求コード３０２は、クライアントにより 要求されている特定の型の手続きである。要求コード３０２の後にデータ３０３ が続いている。データ３０３の長さは可変であっても良い。 ステップ２０１では、以下に詳細に説明するようにして作成されるセッション キーをメッセージに事前に追加する。図２のステップ２０１のセッションキーの 事前追加を図３Ｂに示す。８バイトのキー３０４は長さ標識３０１の前でメッセ ージに事前追加される。 決定ブロック２０２では、引き数「６４バイトか？」を形成する。引き数が偽 である場合、すなわち、メッセージが６４バイトを有していない場合、システム はステップ２０３へ進み、メッセージの残り部分を零で充填する。これは図３Ｂ のパディング３０５である。好ましい実施例においては、必要に応じてパディン グ３０５（複数の零から構成されている）がメッセージの終わりに追加されるよ うに、メッセージダイジェストアルゴリズムは演算に際して６４バイトを要求す る。要求コードとデータを合わせて６４バイトであり、４バイトの長さは合わせ て６４バイトに対してセッションキーの８ビットの中で指示されている。 ステップ２０３の後、すなわち、決定ブロック２０２における引き数が真であ れば、システムはステップ２０４へ進む。ステップ２０４では、事前追加メッセ ージからメッセージダイジェストを生成するためにメッセージダイジェストアル ゴリズムを実行する。メッセージダイジェストアルゴリズムの実行は図３Ｃの１ ６バイトのメッセージダイジェストを作成する。 ステップ２０５では、ダイジェストの初めの８バイト、すなわち、署名３０６ をメッセージに追加する。これを図３Ｄに示す。８バイトの署名３０６は実際の ＮＣＰデータの終わりに追加される。メッセージをワイヤを介して送信するには パディングは不要である。ステップ２０６では、メッセージをサーバヘ送信する 。ステップ２００〜２０６はクライアントにより実行され、ステップ２０６〜２ １６はサーバにより実行される。 ステップ２０７でサーバはメッセージを受信する。ステップ２０８でサーバは メッセージから署名３０６を取り除く。署名３０６は図３Ｅに示すようにメッセ ージから取り除かれる。 ステップ２０９では、サーバはサーバによって生成、記憶されていたセッショ ンキー（有効ユーザにより生成、記憶されたのと同じセッションキーであるべき である）をメッセージに事前追加する。メッセージにサーバ側セッションキー３ ０４′が事前追加されている図３Ｆに示されている。決定ブロック２１０では、 引き数「６４バイトか？」を形成する。引き数が偽であれば、システムはステッ プ２１１へ進み、図３Ｆのパディング３０５により示すように、メッセージの残 る部分を零によって充填する。 ステップ２１１の後、すなわち、決定ブロック２１０における引き数が真であ る場合には、システムはステップ２１２へ進む。ステップ２１２では、ＭＤ４ア ルゴリズムを実行して、ここではダイジェスト′と呼ばれるサーバメッセージダ イジェストを作成する。この結果、図３Ｇの１６バイトのメッセージダイジェス トが得られる。このメッセージダイジェストの初めの８つのバイト、すなわち、 署名′３０６′も次に取り除き、クライアントによりメッセージと共に送信され ていた署名３０６と比較する。 決定ブロック２１３では、引き数「署名＝署名′か？」を形成する。このステ ップは、クライアントにより生成された署名がサーバにより生成された署名′と 同じであるか否かを判定するためのものである。決定ブロック２１３における引 き数が真であれば、システムはステップ２１４へ進み、有効メッセージが示され る。ステップ２１５では、そのメッセージを実行する。決定ブロック２１３にお ける引き数が偽であれば、システムはステップ２１６へ進む。ステップ２１６で は、無許可メッセージを指示し、そのメッセージを廃棄する。ステップ２１７で は、無許可メッセージが試みられたことを指示するために警報を生成する。 本発明の好ましい実施例はダイジェストの８つのバイトを署名として利用する 。署名としては、本発明の範囲から逸脱することなく、ダイジェストの任意の数 のバイト又はビットを使用して良い。 場合によっては、メッセージパケットは８バイトのメッセージダイジェストを 追加する能力を除外して、データフィールド全体を使用する。典型的なアプリケ ーションにおいては、ブロックサイズ折衝はプロトコルヘッダー情報に対して６ ４バイトを想定する。現実には、大半のプロトコルヘッダーが消費するバイトは ５６バイト未満であるので、８バイトのダイジェスト情報のために常に利用可能 な８つのバイトが残される。８バイトの空きスペースを利用できなければ、８バ イトのスペースを保証できるように人為的により小さくしたブロックサイズを折 衝する。状態追跡 先に説明したメッセージ署名方式に加えて、本発明は状態情報を使用するメッ セージ認証の方法をも提供する。ＭＤ４アルゴリズムは、それが累積的である、 すなわち、メッセージダイジェスト機能を複数の段で実行できるような性質のも のである。 たとえば、メッセージのファイルの１つのブロックをメッセージダイジェスト アルゴリズムに提供して、ダイジェスティングすることができ、ファイルの次の ブロックを読込み、ダイジェスティングを継続して行くことができる。ダイジェ スティングアルゴリズムの実行の出力状態は次のダイジェスティングステップに おける入力状態として使用される。複数の段におけるメッセージダイジェストア ルゴリズムを実行することの正味の効果は、メッセージダイジェストアルゴリズ ムが情報の１ブロック全体を１回のパスで実行するかのようなものである。すな わち、その都度のアルゴリズム実行の終了時の状態を覚えておくことによって、 累積効果が得られる。本発明はこの累積効果と状態情報を利用して、追加レベル の機密保護と認証を与える。 クライアントとサーバは共に状態情報を追跡し且つ記憶する。本発明では、こ の状態情報は最も近い時点で生成されたメッセージダィジェストから構成されて いる。現在メッセージダイジェストと新たなメッセージを使用して、仮メッセー ジダイジェストがクライアント及びサーバによって生成、記憶される。新たなメ ッセージが受信されると、新たなメッセージダイジェストを生成して、仮ダイジ ェストと比較する。他方の相手方が先行状態情報を有していた場合に限って一致 が可能である。正しくない開始状態情報は、侵入者と偽造メッセージを識別する 誤りを伝搬させる。 図４を参照すると、クライアントに関わる状態追跡の流れ図が示されている。 ステップ４０１では、クライアントの現在状態は先の有効メッセージから生成さ れた全１６バイトのメッセージダイジェストである。ステップ４０２では、クラ イアントは新たなメッセージを生成する。ステップ４０３では、現在状態（ダイ ジェスト）を仮状態を作成するための開始点として使用して、クライアントはメ ッセージダイジェスティングアルゴリズムを新たなメッセージに適用する。 ステップ４０４では、メッセージをサーバへ送信する。ステップ４０５では、 クライアントはサーバからの応答を受信する。ステップ４０６では、ステップ４ ０３の仮状態を使用して、その応答を検査する。これは、メッセージからサーバ 側で生成されたダイジェストを取り除き、（開始点として仮状態を使用して）メ ッセージダイジェストアルゴリズムをメッセージに適用し、その結果得られたダ イジェストの初めの８つのバイトをサーバ側で生成されたダイジェストの初めの ８つのバイトと比較することによって実行される。 決定ブロック４０７では、引き数「有効応答か？」を形成する。引き数が偽で あれば、システムはステップ４０８へ進み、無効応答が受信されているために状 態を進ませない。クライアントにより生成される次のメッセージは、ダイジェス ティングアルゴリズムに関わる開始点として既存の現在状態を使用する。決定ブ ロック４０７における引き数が真であれば、システムはステップ４０９へ進み、 状態を進ませる。すなわち、仮状態を現在状態にする。ダイジェスティングアル ゴリズムを次のメッセージに適用するとき、その新たな現在状態は開始点となる 。 場合によっては、クライアントはデータのバーストをサーバヘ送信するかもし れないし、あるいは、クライアントはバースト応答を生成するかもしれない。（ 第１のパケットを除き）パケットバースト中のメッセージの順序は必ずしも固定 していない。ダイジェスティングアルゴリズムが累積的な性質であるため、これ によって状態情報の計算時に問題を引き起こす可能性がある。パケットバースト 応答に対して、サーバは第１の応答パケットについてメッセージダイジェストを 計算し、同じ状態を使用して、バースト中の残る全てのパケットについてメッセ ージダイジェストを計算する。このように、第１のパケットの後のパケットの順 序にかかわらず、状態の保全性を維持できるのである。 バースト要求は同様に処理される。ストリーム中の第１のパケットはダイジェ ストアルゴリズムの状態でくくり出しされる。バースト要求の中の後続パケット は初期状態として第１のパケットと同じ状態を使用する。 状態情報を維持するときのサーバの動作を表わす流れ図を図５に示す。ステッ プ５０１では、サーバはクライアントからのメッセージを受信する。決定ブロッ ク５０２では、引き数「バーストか？」を形成する。引き数が真であれば、シス テムは第１のパケットの状態を使用し、ステップ５０３に戻る。引き数が偽であ れば、システムはステップ５０３へ進み、シーケンス番号を検査する。決定ブロ ック５０４では、引き数「繰返しシーケンス番号か？」を形成する。これは繰返 し要求を識別するためのものである。要求パケットに対して生成されたダイジェ スト出力は常にダイジェスト状態へくくられる。すなわち、繰返し要求が現れた ときには、サーバにより先のダイジェスト状態を維持しなければならないのであ る。決定ブロック５０４における引き数が真であれば、システムはステップ５０ ５へ進み、新たなメッセージに基づき、記憶されていた先行状態を使用して仮状 態を再計算する。 決定ブロック５０６では、引き数「バーストか？」を形成する。引き数が真で あれば、システムは第１のパケットの状態を使用するステップへ進み、ステップ ５０７に戻る。引き数が偽であれば、システムはステップ５０７へ進む。ステッ プ５０７では、仮状態に基づいてメッセージの署名を検査する。決定ブロック５ ０８では、引き数「有効か？」を形成する。引き数が偽であれば、システムはス テップ５０９でメッセージを廃棄し、偽造のおそれのあるメッセージに関して警 報を発生する。決定ブロック５０８における引き数が真であれば、ステップ５１ ０でシステムはメッセージに対し応答する。 決定ブロック５０４における引き数が偽であれば、システムは決定ブロック５ １１へ進む。決定ブロック５１１では、引き数「次に連続するシーケンス番号か ？」を形成する。引き数が偽であれば、システムはステップ５１２へ進み、メッ セージを無効と宣言し、それを廃棄する。言いかえれば、シーケンス番号は不適 切だったのである。決定ブロック５１１における引き数が真であれば、システム はステップ５１３へ進み、維持されていた仮状態に基づいて署名を検査する。 決定ブロック５１４では、引き数「有効か？」を形成する。引き数が偽であれ ば、システムはステップ５０９へ進み、メッセージを廃棄し、且つ警報を生成す る。引き数が真であれば、システムはステップ５１５へ進む。ステップ５１５で は、仮状態を現在状態として再定義する。ステップ５１６では、応答に基づいて 新たな仮状態を作成する。決定ブロック５１７では、引き数「バーストか？」を 形成する。引き数が真であれば、システムは第１のパケットの状態を使用し、ス テップ５１８へ進む。引き数が偽であれば、システムはステップ５１８へ進み、 計算されていた仮状態に基づいてクライアントに応答する。セッションキー クライアントセッションキーを生成する方法を図６に示す。ユーザがネットワ ークを介して通信することを試みるとき、まず、サーバに対してユーザを識別し なければならない。セッションを開始するために、ユーザはクライアントマシン にログオンしようとする。ステップ６０１では、クライアントはサーバマシンか らの呼掛けを要求する。呼掛けは８バイト分の乱数から構成されている。そこで 、クライアントは、ステップ６０２で、ユーザに対してアカウント名とパスワー ドを求める。ユーザがアカウント名とパスワードを入力すると、クライアントマ シンはステップ６０３でそのアカウントと関連するオブジェクトＩＤを確定する 。（オブジェクトＩＤは、各アカウントと関連する数字代理キー、すなわち、索 引である。） ステップ６０４では、クライアントマシンはパスワードとオブジェクトＩＤを 使用して、ここではＤｉｇｅｓｔｌと呼ばれる１６バイトの結果を生成するため にダイジェストアルゴリズムを使用してダイジェストを計算する。ステップ６０ ５では、クライアントマシンはＤｉｇｅｓｔｌと、呼掛けと、オプションとして のテキストストリングとのバッファを構成する。好ましい実施例では、本発明の テキストストリングは「許可ネットウェアクライアント」である。ダイジェスト アルゴリズムの実行に際して６４のバイトを形成するために、必要に応じてバッ ファに０をパディングする。 ステップ６０６では、Ｄｂｕｆｆｅｒと呼ばれるバッファのダイジェストを生 成するために、クライアントマシンはバッファについて第２のダイジェスト（Ｄ ｉｇｅｓｔｌ、呼掛け、０のパディング及びオプションとしてのテキストストリ ング）を実行する。ステップ６０７の後、Ｄｂｕｆｆｅｒの初めの８つのバイト を取り除き、セッションキーとして定義する。本発明の好ましい実施例ではセッ ションキーとして８バイトを使用するが、本発明の範囲から逸脱することなく任 意の数のバイト又はビットを使用して良い。 サーバはユーザのパスワードと、アカウント名と、オブジェクトＩＤをも記憶 している。サーバは呼掛けをも生成しており、その値を記憶する。サーバマシン は同一のステップを使用して、セッションキーを生成することができる。すなわ ち、セッションキーがワイヤを介して送信されることは決してない。それはクラ イアントマシンとサーバマシンにおける機密情報から生成される。加えて、セッ ションキーは１つには呼掛け（乱数）によって決まるので、セッションキーはク ライアント／サーバセッションごとに異なる。 図６には示されていないが、呼掛けに対して応答はステップ６０４の後で生成 される。ワイヤを介してサーバへ送信される応答は、ステップ６０５及び６０６ で使用されるハッシングアルゴリズムとは異なるハッシングアルゴリズムによっ て生成される。ＭＤ４アルゴリズムを使用してステップ６０４を実行する場合に は、呼掛け応答は、たとえば、ＭＤ５アルゴリズムを使用でき、セッションキー はＭＤ４アルゴリズムを使用して生成される。あるいは、ＭＤ４アルゴリズムを 使用して呼掛け応答を生成することができ、ＭＤ５アルゴリズムなどの異なるア ルゴリズムを使用してセッションキーを生成することが可能である。一方のアル ゴリズムの出力から他方のアルゴリズムの出力へのマッピングがない限り、別の どのようなダイジェスティング方式又はハッシング方式でも使用できる。 ＭＤ５アルゴリズムは、本明細書に参考として取り入れられているＲＦＣ１３ ２１，「Ｔｈｅ ＭＤ５ Ｍｅｓｓａｇｅ−Ｄｉｇｅｓｔ Ａｌｇｏｒｉｔｈｍ 」，Ｒ．Ｒｉｖｅｓｔ，ＭＩＴ Ｌａｂｏｒａｔｏｒｙ ｆｏｒ Ｃｏｍｐｕｔ ｅｒ Ｓｃｉｅｎｃｅ ａｎｄ ＲＳＡ Ｄａｔａ Ｓｅｃｕｒｉｔｙ，Ｉｎｃ ．１９９２年４月の中に説明されている。セッションキー認証 図７は、セッションキーを認証する方法の流れ図を示す。ステップ７０１では 、クライアントは図６に関連して説明したようにしてセッションキーを生成する 。ステップ７０２では、図２に関連して説明したようにダイジェストと署名を生 成するためにセッションキーを使用して、クライアントによりサーバへ要求を送 信する。 ステップ７０３では、サーバはクライアントのメッセージから署名を取り除き 、サーバ側に記憶されているアカウント名、パスワード及びオブジェクトＩＤの コピーを使用して、まず、そのＤｉｇｅｓｔ１のバージョン、すなわち、Ｄｉｇ ｅｓｔｌ′を生成し、次にＤｉｇｅｓｔ１′を使用して、セッションキーのサー ババージョン、すなわち、セッションキー′を生成する。ステップ７０４では、 サーバは図２に関連して説明したようにＤｉｇｅｓｔ′を生成する。 決定ブロック７０５においては、引き数「署名＝署名′か？」を形成する。引 き数が偽であれば、システムはステップ７０６へ進み、サーバは否定のａｃｋ（ 応答）をクライアントへ送信し、サーバはその状態を変えない。サーバは新たな セッションに際してその状態を初期設定しない。決定ブロック７０５における引 き数が真であれば、システムはステップ７０７へ進み、サーバは「ＯＫ」の肯定 応答をクライアントへ送信する。ステップ７０８では、サーバはクライアント状 態を初期設定し、サーバが生成したセッションキーを記憶する。ステップ７０９ では、サーバはサーバ状態を初期設定し且つセッションキーを記憶する。クライ アントとサーバの初期状態は、たとえば、ＭＤ４規格で文書化されている初期状 態であるとして定義される。 本発明のクライアント及びサーバは任意の従来通りのコンピュータシステム又 は汎用コンピュータシステムで実現されれば良い。本発明を実現するためのコン ピュータシステムの一実施例の一例を図８に示す。キーボード８１０及びマウス ８１１は両方向システムバス８１８に結合している。キーボードとマウスはコン ピュータシステムにユーザ入力を導入し且つそのユーザ入力をＣＰＵ８１３へ通 信するためのものである。図８のコンピュータシステムはビデオメモリ８１４と 、主メモリ８１５と、大容量記憶装置８１２とをさらに含み、それらは全てキー ボード８１０、マウス８１１及びＣＰＵ８１３と共に両方向システムバス８１８ に結合している。大容量記憶装置８１２は、磁気記憶システム、光学記憶システ ム又は磁気光学記憶システム、あるいは他の何らかの利用可能な大容量記憶技術 などの固定媒体と着脱自在な媒体の双方を含んでいて良い。バス８１８は、たと えば、ビデオメモリ８１４又は主メモリ８１５をアドレス指定するためのアドレ ス線を３２本含んでいても良い。システムバス８１８は、たとえば、ＣＰＵ８１ ３、主メモリ８１５、ビデオメモリ８１４及び大容量記憶装置８１２などの構成 要素の間でデータを転送する３２ビットデータバスをさらに含む。あるいは、別 個のデータ線とアドレス線の代わりに、多重データ／アドレス線を使用しても良 い。 本発明の好ましい実施例では、ＣＰＵ８１３はＩｎｔｅｌによって製造されて いる８０３８６又は８０４８６などの３２ビットマイクロプロセッサである。し かしながら、他の何らかの適切なマイクロプロセッサ又はマイクロコンピュータ を利用しても良い。主メモリ８１５はダイナミックランダムアクセスメモリ（Ｄ ＲＡＭ）から構成されている。ビデオメモリ８１４はデュアルポートビデオラン ダムアクセスメモリである。 ビデオメモリ８１４の一方のポートはビデオ増幅器８１６に結合している。ビ デオ増幅器８１６は陰極線管（ＣＲＴ）ラスタモニタ８１７を駆動するために使 用される。ビデオ増幅器８１６は当該技術では良く知られており、何らかの適切 な手段によって実現されれば良い。この回路はビデオメモリ８１４に記憶されて いる画素データをモニタ８１７により使用するのに適するラスタ信号に変換する 。モニタ８１７は図形画像を表示するのに適する種類のモニタであり、本発明の 好ましい実施例においては、約１０２０×８３２の分解能を有する。本発明では 他の分解能のモニタを利用しても良い。 以上説明したコンピュータシステムは単なる例示を目的としている。本発明は どのような種類のコンピュータシステム、あるいはプログラミング環境又は処理 環境でも実現されうるであろう。 本発明のブロック線図を図９に示す。メッセージ発生器９０１は送信局から受 信局に至るメッセージの供給源である。この例では、送信局はクライアントであ り、受信局はサーバである。メッセージ発生器９０１はメッセージ９０２を提供 する。セッションキー９０４はセッションキー記憶装置９０３に記憶されている 。セッションキー９０４は加算器９０５でメッセージ９０２に事前追加され、そ の結果として追加メッセージ９０６を得る。追加メッセージ９０６はダイジェス タ／バッファブロック９０７に供給されて、そこでダイジェスティングされ、そ の初めの８つのバイトを署名９０８として使用する。署名９０８は加算器９１１ でメッセージ９０２と組合わされ、その結果として署名付きメッセージ９１２を 得る。署名付きメッセージ９１２は送受信機９１３を介して受信局に結合される 。 状態記憶装置９０９は受信局の現在状態と仮状態を記憶しており、それらを線 路９１０を介して必要に応じてダイジェスタ／バッファブロック９０７に供給す る。セッションの初期設定時にセッションキー９０４を生成するために、呼掛け ９２３と局所パスワード９２４もダイジェスタ／バッファブロック９０７に提供 される。 受信後の署名付きメッセージ９１４は減算器９１５で署名９１６及びメッセー ジ９１７という要素に分離される。メッセージ９１７は加算器９１８でセッショ ンキー記憶装置９１９からのセッションキー９２０と組合わされ、その結果とし て追加メッセージ９２１を得る。追加メッセージ９２１はダイジェスタ／バッフ ァ９２２に提供され、そこでダイジェスティングされる。ダイジェストの初めの ８つのバイトは署名９２７を定義する。署名９２７は、受信メッセージ９１４の 署名９１６と共に、比較／認証ブロック９２８に提供される。比較／署名ブロッ クは署名９２７を署名９１６と比較する。署名が一致したとき、有効メッセージ を指示する。署名が一致しない場合には、メッセージは無効であると宣言し、メ ッセージを廃棄する。 ダイジェスタ／バッファ９２２のダイジェスティング動作のための状態情報は 状態記憶装置９２５から線路９２６を介して提供される。呼掛け９２９とパスワ ード９３０も、セッションキーの生成のために、ダイジェスタ／バッファ９２２ に提供される。 図９の要素は処理手段における実行可能な命令として実現可能である。 以上、クライアント／サーバ通信の認証のための方法及び装置を説明した。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，Ｍ Ｃ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ， ＴＤ，ＴＧ)，ＡＴ，ＡＵ，ＢＢ，ＢＧ，ＢＲ，ＢＹ， ＣＡ，ＣＨ，ＣＺ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＧＢ，Ｈ Ｕ，ＪＰ，ＫＰ，ＫＲ，ＫＺ，ＬＫ，ＬＵ，ＭＧ，ＭＮ ，ＭＷ，ＮＬ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ， ＳＤ，ＳＥ，ＳＫ，ＵＡ

Claims (1)

1. 【特許請求の範囲】 １．センダとレシーバとの間で伝送されるメッセージを認証する方法において 、前記センダでメッセージを生成する過程と； 前記メッセージとセッションキーを組合わせて、第１の追加メッセージを作成 する過程と； 前記第１の追加メッセージの第１のダイジェストを計算する過程と； 前記第１のダイジェストの第１の部分を前記メッセージと組合わせて、送信メ ッセージを作成する過程と： 前記送信メッセージを前記レシーバへ送信する過程と； 前記送信メッセージから前記第１のダイジェストの前記第１の部分を取り除き 、その結果として前記メッセージを得る過程と； 前記セッションキーを前記メッセージと組合わせて、第２の追加メッセージを 生成する過程と： 前記追加メッセージの第１のダイジェストを計算する過程と； 前記第１のダイジェストの前記第１の部分と前記第２のダイジェストの第２の 部分とを比較する過程と； 前記第１のダイジェストの前記第１の部分が前記第２のダイジェストの前記第 ２の部分と一致したときに前記メッセージを認証する過程とから成る方法。 ２．前記センダはクライアント／サーバネットワークの中のクライアントであ る請求項１記載の方法。 ３．前記レシーバはクライアント／サーバネットワークの中のサーバである請 求項１記載の方法。 ４．前記第１の追加メッセージの第１のダイジェストを計算する前記過程は、 前記第１の追加メッセージについてダイジェストアルゴリズムを実行することに より実行される請求項１記載の方法。 ５．前記ダイジェストアルゴリズムはＭＤ４ダイジェストアルゴリズムである 請求項４記載の方法。 ６．前記第１のダイジェストを作成するために前記ダイジェストアルゴリズム を実行するときに前記センダの現在状態を初期状態として使用する請求項４記載 の方法。 ７．前記第２のダイジェストを作成するために前記ダイジェストアルゴリズム を実行するときに前記現在状態を初期状態として使用する請求項６記載の方法。 ８．前記現在状態は認証されたメッセージが受信されるときに進む請求項７記 載の方法。 ９．前記現在状態は認証されたメッセージが受信されないときには進まない請 求項８記載の方法。 １０．前記セッションキーは： 乱数列呼掛けを前記センダに対し実行する過程と； 前記センダのユーザからパスワードを要求する過程と： 前記パスワードから第１のパスダイジェストを生成する過程と； 前記第１のパスダイジェストと前記呼掛けをバッファにおいて組合わせる過程 と； 前記バッファのバッファダイジェストを生成する過程と； 前記セッションキーを前記バッファダイジェストの第１の数のバイトとして定 義する過程とにより生成される請求項１記載の方法。 １１．センダとレシーバとの間で伝送されるメッセージを認証する装置におい て、 前記センダでメッセージを生成する手段と； 前記メッセージとセッションキーを組合わせて、第１の追加メッセージを作成 する手段と： 前記第１の追加メッセージの第１のダイジェストを計算する手段と； 前記第１のダイジェストの第１の部分を前記メッセージと組合わせて、送信メ ッセージを作成する手段と； 前記送信メッセージを前記レシーバへ送信する手段と； 前記送信メッセージから前記第１のダイジェストの前記第１の部分を取り除き 、その結果として前記メッセージを得る手段と： 前記セッションキーを前記メッセージと組合わせて、第２の追加メッセージを 生成する手段と； 前記第２の追加メッセージの第２のダイジェストを計算する手段と； 前記第１のダイジェストの前記第１の部分と、前記第２のダイジェストの第２ の部分とを比較する手段と； 前記第１のダイジェストの前記第１の部分が前記第２のダイジェストの前記第 ２の部分と一致したときに前記メッセージを認証する手段とを具備する装置。 １２．前記センダはクライアント／サーバネットワークにおけるクライアント である請求項１１記載の装置。 １３．前記レシーバはクライアント／サーバネットワークにおけるサーバであ る請求項１１記載の装置。 １４．前記第１の追加メッセージの前記第１のダイジェストは、前記第１の追 加メッセージについてダイジェストアルゴリズムを実行することにより計算され る請求項１１記載の装置。 １５．前記グイジェストアルゴリズムはＭＤ４ダイジェストアルゴリズムであ る請求項１４記載の装置。 １６．前記第１のグイジェストを作成するために前記ダイジェストアルゴリズ ムを実行するときに前記センダの現在状態を初期状態として使用する請求項１４ 記載の装置。 １７．前記第２のダイジェストを作成するために前記ダイジェストアルゴリズ ムを実行するときに前記現在状態を初期状態として使用する請求項１６記載の装 置。 １８．前記現在状態は認証されたメッセージが受信されたときに進む請求項１ ７記載の装置。 １９．前記現在状態は認証されたメッセージが受信されないときには進まない 請求項１８記載の装置。 ２０．セッションキーを生成する手段であって： 乱数列呼掛けを前記センダに対し実行する手段と： 前記センダのユーザからパスワードを要求する手段と； 前記パスワードから第１のパスダイジェストを生成する手段と； 前記第１のパスダイジェストと前記呼掛けとをバッファにおいて組合わせる手 段と； 前記バッファのバッファダイジェストを生成する手段と； 前記セッションキーを前記バッファダイジェストの第１の数のバイトとして定 義する手段とを具備する手段をさらに含む請求項１１記載の装置。