JPH09190555A - キー管理システムにおけるメータの作成方法 - Google Patents
キー管理システムにおけるメータの作成方法Info
- Publication number
- JPH09190555A JPH09190555A JP11407296A JP11407296A JPH09190555A JP H09190555 A JPH09190555 A JP H09190555A JP 11407296 A JP11407296 A JP 11407296A JP 11407296 A JP11407296 A JP 11407296A JP H09190555 A JPH09190555 A JP H09190555A
- Authority
- JP
- Japan
- Prior art keywords
- key
- master key
- box
- area
- token
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000004519 manufacturing process Methods 0.000 title claims description 23
- 238000000034 method Methods 0.000 claims description 143
- 238000012360 testing method Methods 0.000 claims description 22
- 238000012795 verification Methods 0.000 abstract description 39
- 238000009826 distribution Methods 0.000 abstract description 33
- 238000003860 storage Methods 0.000 abstract description 7
- 238000010899 nucleation Methods 0.000 abstract description 3
- 230000008569 process Effects 0.000 description 119
- 238000007726 management method Methods 0.000 description 110
- 229910001369 Brass Inorganic materials 0.000 description 84
- 239000010951 brass Substances 0.000 description 84
- 229910000831 Steel Inorganic materials 0.000 description 46
- 239000010959 steel Substances 0.000 description 46
- 238000010586 diagram Methods 0.000 description 23
- 230000004044 response Effects 0.000 description 15
- 238000004891 communication Methods 0.000 description 11
- 230000006870 function Effects 0.000 description 11
- 238000009434 installation Methods 0.000 description 11
- 239000000463 material Substances 0.000 description 10
- 238000007639 printing Methods 0.000 description 9
- 230000009471 action Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 5
- 238000000926 separation method Methods 0.000 description 5
- ATJFFYVFTNAWJD-UHFFFAOYSA-N Tin Chemical compound [Sn] ATJFFYVFTNAWJD-UHFFFAOYSA-N 0.000 description 4
- 238000001514 detection method Methods 0.000 description 4
- 230000008859 change Effects 0.000 description 3
- 238000012423 maintenance Methods 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 3
- 238000010200 validation analysis Methods 0.000 description 3
- 238000005516 engineering process Methods 0.000 description 2
- 230000007774 longterm Effects 0.000 description 2
- 230000015654 memory Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 241001470502 Auzakia danava Species 0.000 description 1
- 230000004913 activation Effects 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 238000013481 data capture Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000009432 framing Methods 0.000 description 1
- 238000010348 incorporation Methods 0.000 description 1
- 238000011900 installation process Methods 0.000 description 1
- 230000007787 long-term memory Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/38—Payment protocols; Details thereof
- G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
- G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00016—Relations between apparatus, e.g. franking machine at customer or apparatus at post office, in a franking system
- G07B17/00024—Physical or organizational aspects of franking systems
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
- G07B17/00435—Details specific to central, non-customer apparatus, e.g. servers at post office or vendor
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00185—Details internally of apparatus in a franking system, e.g. franking machine at customer or apparatus at post office
- G07B17/00362—Calculation or computing within apparatus, e.g. calculation of postage value
- G07B2017/00427—Special accounting procedures, e.g. storing special information
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00741—Cryptography or similar special procedures in a franking system using specific cryptographic algorithms or functions
- G07B2017/0075—Symmetric, secret-key algorithms, e.g. DES, RC2, RC4, IDEA, Skipjack, CAST, AES
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00741—Cryptography or similar special procedures in a franking system using specific cryptographic algorithms or functions
- G07B2017/00758—Asymmetric, public-key algorithms, e.g. RSA, Elgamal
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00741—Cryptography or similar special procedures in a franking system using specific cryptographic algorithms or functions
- G07B2017/00758—Asymmetric, public-key algorithms, e.g. RSA, Elgamal
- G07B2017/00766—Digital signature, e.g. DSA, DSS, ECDSA, ESIGN
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/0079—Time-dependency
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/0079—Time-dependency
- G07B2017/00798—Time-dependency using timestamps, i.e. recording time in message
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/0079—Time-dependency
- G07B2017/00806—Limited validity time
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00822—Cryptography or similar special procedures in a franking system including unique details
- G07B2017/0083—Postal data, e.g. postage, address, sender, machine ID, vendor
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00846—Key management
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00846—Key management
- G07B2017/00854—Key generation
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00846—Key management
- G07B2017/0087—Key distribution
- G07B2017/00887—Key distribution using look-up tables, also called master tables with pointers
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00846—Key management
- G07B2017/00895—Key verification, e.g. by using trusted party
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00919—Random number generator
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00951—Error handling, e.g. EDC (Error Detection Codes)
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
- G07B17/00—Franking apparatus
- G07B17/00733—Cryptography or similar special procedures in a franking system
- G07B2017/00959—Cryptographic modules, e.g. a PC encryption board
- G07B2017/00967—PSD [Postal Security Device] as defined by the USPS [US Postal Service]
Abstract
(57)【要約】
【課題】ディジタル郵便メーターのようなトランズアク
ション証明装置を作成する方法を提供する。 【解決手段】本発明はキー管理システム（ＫＭＳ）の論
理的安全領域においてマスター・キー（ｍｋ）を生成
し；ディジタル郵便メーターにｍｋを設け；ｍｋを設け
たことを検証し；ＫＭＳにおける論理的安全サブ領域に
ｍｋを登録するステップを有する。前記ｍｋを生成する
ステップは、領域を生成し；少なくとも１つのサブ領域
を生成し；ＫＭＳの安全ボックスに領域を取付け；その
領域にｍｋとテスト・トークンを生成し；そして領域ア
ーカイブにｍｋを記録するステップを有する。前記ｍｋ
を取付けるステップおよび前記ｍｋを登録するステップ
は、更に関連ステップを有す。これらのステップは、デ
ィジタル郵便メーターに割り当てられた各領域に対して
繰り返される。
ション証明装置を作成する方法を提供する。 【解決手段】本発明はキー管理システム（ＫＭＳ）の論
理的安全領域においてマスター・キー（ｍｋ）を生成
し；ディジタル郵便メーターにｍｋを設け；ｍｋを設け
たことを検証し；ＫＭＳにおける論理的安全サブ領域に
ｍｋを登録するステップを有する。前記ｍｋを生成する
ステップは、領域を生成し；少なくとも１つのサブ領域
を生成し；ＫＭＳの安全ボックスに領域を取付け；その
領域にｍｋとテスト・トークンを生成し；そして領域ア
ーカイブにｍｋを記録するステップを有する。前記ｍｋ
を取付けるステップおよび前記ｍｋを登録するステップ
は、更に関連ステップを有す。これらのステップは、デ
ィジタル郵便メーターに割り当てられた各領域に対して
繰り返される。
Description
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、一般に暗号のキー
管理システムに関し、特に、郵便料金メーターに割当て
られた暗号キーのキー管理システムに関する。
管理システムに関し、特に、郵便料金メーターに割当て
られた暗号キーのキー管理システムに関する。
【０００２】
【発明の背景】ディジタル印刷技術は、郵便物宛て名印
刷機がディジタルの、即ちビットマップのアドレス可能
な印刷を便利な方法で行うことを可能にする。郵便料金
の支払いを証明する目的に対して、このよう技術を用い
ることが必要であることがわかっている。ディジタル印
刷技術の技術的進歩は、各郵便物に対して独自の郵便料
金の証印を印刷することを可能にした。例えば、コンピ
ュータ駆動の印刷機は郵便物お表面上の必要な位置に郵
便料金の証印を印刷する。証印は、例えば、郵便物、郵
便料金の値、日付、個数および／または郵便コードに直
接関係する情報を含むために、証印は独特なものであ
る。郵便局の展望から、あるゆる適当なコンピュータと
印刷機が画像の多重コピーを生成するために用いること
ができるので、ディジタル印刷および走査技術が、証印
を有する郵便の価格を偽造することをかなり容易にする
ことは、評価されるであろう。郵便物を確認するため
に、それは、郵便物に印刷された郵便料金の額を計算し
て、例えば、郵便物に印刷された値が正しいかどうかを
知るために、無料配達の値が暗号化から決定されるよう
に、暗号化された数を無料配達の一部として含むことが
知られていることを保証することである。例えば、Ecke
rtにあたえられた米国特許 4,649,266号と同様にEdelma
nn他に与えられた米国特許第 4,757,537号および 4,77
5,246号を参照さたい。Sansone 他に与えられた米国特
許 4,725,718号とFougere 他に与えられた米国特許第
4,743,747号に記載された暗号化の更なる一部として宛
て名を含むことによって、郵便物を証明することも公知
である。
刷機がディジタルの、即ちビットマップのアドレス可能
な印刷を便利な方法で行うことを可能にする。郵便料金
の支払いを証明する目的に対して、このよう技術を用い
ることが必要であることがわかっている。ディジタル印
刷技術の技術的進歩は、各郵便物に対して独自の郵便料
金の証印を印刷することを可能にした。例えば、コンピ
ュータ駆動の印刷機は郵便物お表面上の必要な位置に郵
便料金の証印を印刷する。証印は、例えば、郵便物、郵
便料金の値、日付、個数および／または郵便コードに直
接関係する情報を含むために、証印は独特なものであ
る。郵便局の展望から、あるゆる適当なコンピュータと
印刷機が画像の多重コピーを生成するために用いること
ができるので、ディジタル印刷および走査技術が、証印
を有する郵便の価格を偽造することをかなり容易にする
ことは、評価されるであろう。郵便物を確認するため
に、それは、郵便物に印刷された郵便料金の額を計算し
て、例えば、郵便物に印刷された値が正しいかどうかを
知るために、無料配達の値が暗号化から決定されるよう
に、暗号化された数を無料配達の一部として含むことが
知られていることを保証することである。例えば、Ecke
rtにあたえられた米国特許 4,649,266号と同様にEdelma
nn他に与えられた米国特許第 4,757,537号および 4,77
5,246号を参照さたい。Sansone 他に与えられた米国特
許 4,725,718号とFougere 他に与えられた米国特許第
4,743,747号に記載された暗号化の更なる一部として宛
て名を含むことによって、郵便物を証明することも公知
である。
【０００３】Pastorに与えられた米国特許第 5,170,044
号は、ピクセル (画素) のバイナリー配列(binary arra
y)を含む証印の形態で、バイナリーデータの表示のため
の方法および装置を開示している。実際のピクセルの配
列は、郵便物の提供者を同定するため、および他の暗号
化された平面のテキスト情報をカバーするために、走査
される。Pastorに与えられた米国特許第 5,142,577号
は、メッセージを符号化し、複号化された郵便の情報を
郵便物の平面のテキスト情報と比較するために、DES 複
号化にたいするいろいろな変更を開示している。Pastor
他に与えられた米国特許第 5,390,251号は、コードを生
成し、各郵便物上にコードを印刷するための各メーター
に配置された装置を含む郵便料金メーターの潜在的に大
きいユーザー数からの郵便物に証印の印刷の有効性を制
御するためのシステムを開示している。コードは、証印
および郵便物の郵便料金の合法性に独自に確定的な他の
情報を印刷する装置を表す暗号化コードである。ディジ
タル・メーターは、２つの“ディジタル・トークン”の
ある封筒上の郵便情報をサインすることによって、郵便
料金の支払いの証明を与える。第１のディジタル・トー
クンは、郵便サービスに対して証明を与え、第２のディ
ジタル・トークンは、本発明の譲受け人のような売り主
に対して証明を与える。ディジタルトークンは、例え
ば、郵便料金の値、個数、提出日および始めの郵便局を
含む証印を暗号化した結果のトランケーション(truncat
ion)である。
号は、ピクセル (画素) のバイナリー配列(binary arra
y)を含む証印の形態で、バイナリーデータの表示のため
の方法および装置を開示している。実際のピクセルの配
列は、郵便物の提供者を同定するため、および他の暗号
化された平面のテキスト情報をカバーするために、走査
される。Pastorに与えられた米国特許第 5,142,577号
は、メッセージを符号化し、複号化された郵便の情報を
郵便物の平面のテキスト情報と比較するために、DES 複
号化にたいするいろいろな変更を開示している。Pastor
他に与えられた米国特許第 5,390,251号は、コードを生
成し、各郵便物上にコードを印刷するための各メーター
に配置された装置を含む郵便料金メーターの潜在的に大
きいユーザー数からの郵便物に証印の印刷の有効性を制
御するためのシステムを開示している。コードは、証印
および郵便物の郵便料金の合法性に独自に確定的な他の
情報を印刷する装置を表す暗号化コードである。ディジ
タル・メーターは、２つの“ディジタル・トークン”の
ある封筒上の郵便情報をサインすることによって、郵便
料金の支払いの証明を与える。第１のディジタル・トー
クンは、郵便サービスに対して証明を与え、第２のディ
ジタル・トークンは、本発明の譲受け人のような売り主
に対して証明を与える。ディジタルトークンは、例え
ば、郵便料金の値、個数、提出日および始めの郵便局を
含む証印を暗号化した結果のトランケーション(truncat
ion)である。
【０００４】郵便料金の支払いの証明をするために暗号
化の手段を採用するディジタル・メーターの新しいクラ
スが開発されている。暗号化は、暗号キーを用いて行わ
れる。各々のディジタル・メーターにおいて、独立した
キーがディジタル・トークンを生成するために用いられ
る。安全性の理由のために、いろいろなメーターにおけ
るキーも独立である。メーターおよび郵便物についての
情報は結合され、売主および郵便のマスター・キーある
いはそこから引き出されるキーで暗号化される。その結
果生じた情報の部分は、ディジタル・トークンとして郵
便物に印刷される。情報とトークンは、同じ方法におけ
る情報を処理し、その結果生じたディジタル・トークン
を郵便物に印刷されたディジタル・トークンと比較する
装置によって検証される。キー管理システムは、安全
な、信頼できる方法で、暗号化キーをディジタル・メー
ターに分配する必要がある。キー管理システムは、証印
と複製された証印の詐欺的に生成されたものを検出する
ために、証印とディジタル・トークンを検証するための
手段を持たねばならない。キー管理システムは、行き先
国へメーターを割り当てること、即ち、インベントリー
された一般的なメーターを作成することなく、メーター
を作成するための能力を有していることが必要である。
しかしながら、一般的なメーターを作成することは、分
野におけるキーを設けるために必要であるか、或いは領
域間のキーを翻訳するために必要であるかを示唆する問
題を発生する。何れか一方は、重要な安全性とキーの完
全性のスレット(threat)を示す。キー管理システムはこ
の様な問題を避ける手段を含む。
化の手段を採用するディジタル・メーターの新しいクラ
スが開発されている。暗号化は、暗号キーを用いて行わ
れる。各々のディジタル・メーターにおいて、独立した
キーがディジタル・トークンを生成するために用いられ
る。安全性の理由のために、いろいろなメーターにおけ
るキーも独立である。メーターおよび郵便物についての
情報は結合され、売主および郵便のマスター・キーある
いはそこから引き出されるキーで暗号化される。その結
果生じた情報の部分は、ディジタル・トークンとして郵
便物に印刷される。情報とトークンは、同じ方法におけ
る情報を処理し、その結果生じたディジタル・トークン
を郵便物に印刷されたディジタル・トークンと比較する
装置によって検証される。キー管理システムは、安全
な、信頼できる方法で、暗号化キーをディジタル・メー
ターに分配する必要がある。キー管理システムは、証印
と複製された証印の詐欺的に生成されたものを検出する
ために、証印とディジタル・トークンを検証するための
手段を持たねばならない。キー管理システムは、行き先
国へメーターを割り当てること、即ち、インベントリー
された一般的なメーターを作成することなく、メーター
を作成するための能力を有していることが必要である。
しかしながら、一般的なメーターを作成することは、分
野におけるキーを設けるために必要であるか、或いは領
域間のキーを翻訳するために必要であるかを示唆する問
題を発生する。何れか一方は、重要な安全性とキーの完
全性のスレット(threat)を示す。キー管理システムはこ
の様な問題を避ける手段を含む。
【０００５】
【本発明の概要】本発明は、ディジタル郵便料金メータ
ーのような、トランズアクション(transaction) 証明装
置を作成する方法を提供する。幾つかのメーターは行き
先国を知ることなく作成される。これは、分野において
キーを設ける必要性か、あるいは領域間のキーを翻訳す
る必要性を示唆する問題を生じる。何れか一方は、重要
な安全性とキーの完全性のスレット(threat)を示す。本
発明において、この問題は、地球領域(Earthe domain)
と呼ばれる分離領域を作ることによって避けられる。本
発明において、一般的なメーターに関する前述の問題
は、地球領域と呼ばれる分離領域の作成によって避けら
れることが判った。本発明は、行き先国が作成時に判ら
ないとき、ディジタル・メーター・キーを安全に管理す
る能力を提供する。本発明によると、メーター・キーが
作成され、メーターが作られる郵便領域のもとでディジ
タル・メーターに設けられる。メーターのための証印の
連続番号が登録されると、即ち現実的になると、郵便の
国が知られる。その国の検証ボックスはその登録を検証
し、メーター・キーは、蓄えられ、好ましくは、証印の
連続番号によってインデックスされる。各々の国の検証
ボックスは、その国に特定の秘密のキーで暗号化された
その国に対してメーター・キーを蓄える。
ーのような、トランズアクション(transaction) 証明装
置を作成する方法を提供する。幾つかのメーターは行き
先国を知ることなく作成される。これは、分野において
キーを設ける必要性か、あるいは領域間のキーを翻訳す
る必要性を示唆する問題を生じる。何れか一方は、重要
な安全性とキーの完全性のスレット(threat)を示す。本
発明において、この問題は、地球領域(Earthe domain)
と呼ばれる分離領域を作ることによって避けられる。本
発明において、一般的なメーターに関する前述の問題
は、地球領域と呼ばれる分離領域の作成によって避けら
れることが判った。本発明は、行き先国が作成時に判ら
ないとき、ディジタル・メーター・キーを安全に管理す
る能力を提供する。本発明によると、メーター・キーが
作成され、メーターが作られる郵便領域のもとでディジ
タル・メーターに設けられる。メーターのための証印の
連続番号が登録されると、即ち現実的になると、郵便の
国が知られる。その国の検証ボックスはその登録を検証
し、メーター・キーは、蓄えられ、好ましくは、証印の
連続番号によってインデックスされる。各々の国の検証
ボックスは、その国に特定の秘密のキーで暗号化された
その国に対してメーター・キーを蓄える。
【０００６】本発明によると、作成プロセス中に、その
国に対して明らかに初期化されていないあらゆる国の受
信メーターは、地球領域メーターを受ける。その国に対
する安全な検証ボックスは、その国に対するデータベー
ス暗号キーで、地球領域検証プロセスとして活性化され
る。もし、ある国がその国の郵便の領域に対して明らか
に作成されたメーターと、そのアース郵便領域にの下で
作成されたメーターを有しているなら、その国に対する
検証ボックスは、その国自身の領域で、およびにおい
て、地球領域の国のサブ領域で動作することができなけ
ればならない。本発明は、キー管理システムの論理的な
安全領域においてマスター・キーを生成するステップ、
ディジタル郵便料金メーターにマスター・キーを設ける
ステップ、およびキー管理システムの論理的な安全サブ
領域にマスター・キーを登録するステップを有してい
る。マスター・キーを生成するステップは、更に領域を
生成するステップ、少なくとも１つのサブ領域を生成す
るステップ、キー管理システムの安全ボックスに領域を
設けるステップ、領域内にマスター・キーとテスト・ト
ークンを生成するステップ、および領域のアーカイブに
マスター・キーを登録するステップを有する。マスター
・キーを設けるステップは、更にディジタル・メーター
にマスター・キーを設けるステップ、およびマスター・
キーを唯一の装置の識別子と関連ずけるステップを有す
る。キー管理システムにおける論理的な安全サブ領域に
マスター・キーを登録するステップは、更にディジタル
・メーターにサブ領域を割り当てるステップ、ディジタ
ル・メーターに郵便の識別子を設けるステップ、唯一の
装置の識別子に郵便の識別子を関連するステップ、郵便
の識別子と唯一の装置の識別子に基づくディジタルメー
ターに登録トークンを生成するステップ、アーカイブに
記録されたマスター・キーを用いて登録トークンを生成
するステップ、登録トークンが同一であることを検証す
るステップ、およびサブ領域にマスター・キーを記録す
るステップを有する。これらのステップはディジタル・
郵便料金メーターに割り当てられた各領域に対して繰り
返される。
国に対して明らかに初期化されていないあらゆる国の受
信メーターは、地球領域メーターを受ける。その国に対
する安全な検証ボックスは、その国に対するデータベー
ス暗号キーで、地球領域検証プロセスとして活性化され
る。もし、ある国がその国の郵便の領域に対して明らか
に作成されたメーターと、そのアース郵便領域にの下で
作成されたメーターを有しているなら、その国に対する
検証ボックスは、その国自身の領域で、およびにおい
て、地球領域の国のサブ領域で動作することができなけ
ればならない。本発明は、キー管理システムの論理的な
安全領域においてマスター・キーを生成するステップ、
ディジタル郵便料金メーターにマスター・キーを設ける
ステップ、およびキー管理システムの論理的な安全サブ
領域にマスター・キーを登録するステップを有してい
る。マスター・キーを生成するステップは、更に領域を
生成するステップ、少なくとも１つのサブ領域を生成す
るステップ、キー管理システムの安全ボックスに領域を
設けるステップ、領域内にマスター・キーとテスト・ト
ークンを生成するステップ、および領域のアーカイブに
マスター・キーを登録するステップを有する。マスター
・キーを設けるステップは、更にディジタル・メーター
にマスター・キーを設けるステップ、およびマスター・
キーを唯一の装置の識別子と関連ずけるステップを有す
る。キー管理システムにおける論理的な安全サブ領域に
マスター・キーを登録するステップは、更にディジタル
・メーターにサブ領域を割り当てるステップ、ディジタ
ル・メーターに郵便の識別子を設けるステップ、唯一の
装置の識別子に郵便の識別子を関連するステップ、郵便
の識別子と唯一の装置の識別子に基づくディジタルメー
ターに登録トークンを生成するステップ、アーカイブに
記録されたマスター・キーを用いて登録トークンを生成
するステップ、登録トークンが同一であることを検証す
るステップ、およびサブ領域にマスター・キーを記録す
るステップを有する。これらのステップはディジタル・
郵便料金メーターに割り当てられた各領域に対して繰り
返される。
【０００７】キー管理システムは、情報の完全性の証拠
を作成するために、暗号手段を採用する情報トランズア
クション・システムによって用いられた暗号キーを生成
し、分配し、管理する手段を有する。このシステムは、
互いに作動的に結合された、複数の機能的に個別の安全
ボックスを有する。安全ボックスの各々は、キーの生
成、キーの組み込み、キーの検証、あるいはトークンの
有効性のための機能を果たす。安全ボックスに作動的に
結合されたコンピュータは、システム制御を与え、安全
ボックス間の通信を容易にする。複数の分離した論理的
な安全領域は、キーの生成、キーの組み込み、キーの検
証、およびキー管理機能を用いて、領域内のトランズア
クション証明装置によって生成されたトークンの有効性
を与える。安全性の領域の各々にそれぞれ対応する複数
の領域アーカイブは、各々の領域に対するキー状態の記
録およびマスター・キーを安全に、且つ確実に記録す
る。キー管理システムは、トランズアクション証明装置
にマスター・キーを組み込み、トークンを有効にする。
これらの安全ボックスは、マスター・キーを生成し、暗
号化し、暗号化するためのキー生成ボックス；暗号化さ
れたマスター・キーを受信し、検証し、復号化するた
め、およびトランズアクション証明装置にますたー・キ
ーを組み込むためのキー組み込みボックス；トランズア
クション証明装置のマスター・キーの組み込みを検証す
るための検証ボックス、トークンを検証するための検証
ボックス、および領域キーを生成し、領域の各々に対す
る安全ボックス間に領域キーを分配するための少なくと
も１つの作成ボックスを有している。
を作成するために、暗号手段を採用する情報トランズア
クション・システムによって用いられた暗号キーを生成
し、分配し、管理する手段を有する。このシステムは、
互いに作動的に結合された、複数の機能的に個別の安全
ボックスを有する。安全ボックスの各々は、キーの生
成、キーの組み込み、キーの検証、あるいはトークンの
有効性のための機能を果たす。安全ボックスに作動的に
結合されたコンピュータは、システム制御を与え、安全
ボックス間の通信を容易にする。複数の分離した論理的
な安全領域は、キーの生成、キーの組み込み、キーの検
証、およびキー管理機能を用いて、領域内のトランズア
クション証明装置によって生成されたトークンの有効性
を与える。安全性の領域の各々にそれぞれ対応する複数
の領域アーカイブは、各々の領域に対するキー状態の記
録およびマスター・キーを安全に、且つ確実に記録す
る。キー管理システムは、トランズアクション証明装置
にマスター・キーを組み込み、トークンを有効にする。
これらの安全ボックスは、マスター・キーを生成し、暗
号化し、暗号化するためのキー生成ボックス；暗号化さ
れたマスター・キーを受信し、検証し、復号化するた
め、およびトランズアクション証明装置にますたー・キ
ーを組み込むためのキー組み込みボックス；トランズア
クション証明装置のマスター・キーの組み込みを検証す
るための検証ボックス、トークンを検証するための検証
ボックス、および領域キーを生成し、領域の各々に対す
る安全ボックス間に領域キーを分配するための少なくと
も１つの作成ボックスを有している。
【０００８】本発明の好適な実施の形態によると、キー
管理システムは、ベンダーキー、USPSキーおよび他国の
郵便キーのような、暗号キーを生成し、多重領域に対す
るディジタルメーターに分配する。領域は、データの論
理的な分離および唯一の領域の証明および秘密のキーに
よって実施される機能である。キー管理システムは、キ
ーが領域内で生成され、それらがシステムによって、１
メーターのみに組み込まれるという保証を領域に与え
る。キー管理システムは、多重領域に対する暗号キーを
安全に分配し、維持する。更に、キー管理システムは、
全ての領域に対するキー管理が同一であるように構成さ
れる。キー管理システムは以下の安全性の要件をサポー
トする：（１）メーター・キーは、常に秘密である；
（２）証印情報を検証する能力は、システムの寿命の間
続く；（３）メーターのマスター・キーの状態は、常に
正確に維持されなければならない；（４）領域の分離
は、証印を発生し、検証するために維持されなければな
らない；そして（５）キーは、設けられるか、あるいは
一度だけ設けられるようにされる。
管理システムは、ベンダーキー、USPSキーおよび他国の
郵便キーのような、暗号キーを生成し、多重領域に対す
るディジタルメーターに分配する。領域は、データの論
理的な分離および唯一の領域の証明および秘密のキーに
よって実施される機能である。キー管理システムは、キ
ーが領域内で生成され、それらがシステムによって、１
メーターのみに組み込まれるという保証を領域に与え
る。キー管理システムは、多重領域に対する暗号キーを
安全に分配し、維持する。更に、キー管理システムは、
全ての領域に対するキー管理が同一であるように構成さ
れる。キー管理システムは以下の安全性の要件をサポー
トする：（１）メーター・キーは、常に秘密である；
（２）証印情報を検証する能力は、システムの寿命の間
続く；（３）メーターのマスター・キーの状態は、常に
正確に維持されなければならない；（４）領域の分離
は、証印を発生し、検証するために維持されなければな
らない；そして（５）キーは、設けられるか、あるいは
一度だけ設けられるようにされる。
【０００９】
【実施の形態】本発明の記載において、図面が参照さ
れ、キー管理システムとも呼ばれるキー管理と有効シス
テムのいろいろな特徴が判る。システムの概要 図１を参照すると、キー管理システムのブロック図はキ
ー管理システム要素の位置および情報フローの概要を提
供する。包括的に符号１０で示されるキー管理システム
は、ベンダー(vendor)設備１２と１４および郵便設備１
６と１８を有している。ベンダーはキー管理システムを
管理する実体(entity)である。キー管理システム１０
は、複数の機能的に専門化された安全ボックス、コンピ
ュータおよび通信ラインを有する。本発明によると、キ
ー管理システムは、ディジタル・メーターの製品の新し
い生成に対して、作成および動作上の支持を与える。デ
ィジタル・メーターとディジタル・メーター製品への言
及は、ディジタル・メーター製品の新しい生成である。
本発明は、暗号キーの生成と分配、および同様に他の応
用のための暗号データの検証を管理するのに適している
ことに留意されたい。本発明によると、ベンダーと郵便
のマスター・キーが、キー管理システム１０の要素によ
って、メーターに生成され、保管され、設けられる。郵
便のトークン・キーが引き出され、分配され、キー管理
システム１０の要素によって、遠隔検証のために用いら
れる。ベンダーと郵便のトークンはキー管理システム１
０の要素によって検証される。
れ、キー管理システムとも呼ばれるキー管理と有効シス
テムのいろいろな特徴が判る。システムの概要 図１を参照すると、キー管理システムのブロック図はキ
ー管理システム要素の位置および情報フローの概要を提
供する。包括的に符号１０で示されるキー管理システム
は、ベンダー(vendor)設備１２と１４および郵便設備１
６と１８を有している。ベンダーはキー管理システムを
管理する実体(entity)である。キー管理システム１０
は、複数の機能的に専門化された安全ボックス、コンピ
ュータおよび通信ラインを有する。本発明によると、キ
ー管理システムは、ディジタル・メーターの製品の新し
い生成に対して、作成および動作上の支持を与える。デ
ィジタル・メーターとディジタル・メーター製品への言
及は、ディジタル・メーター製品の新しい生成である。
本発明は、暗号キーの生成と分配、および同様に他の応
用のための暗号データの検証を管理するのに適している
ことに留意されたい。本発明によると、ベンダーと郵便
のマスター・キーが、キー管理システム１０の要素によ
って、メーターに生成され、保管され、設けられる。郵
便のトークン・キーが引き出され、分配され、キー管理
システム１０の要素によって、遠隔検証のために用いら
れる。ベンダーと郵便のトークンはキー管理システム１
０の要素によって検証される。
【００１０】キー管理システム１０は、ディジタル・メ
ーター製品における暗号キーを設けることおよび長期間
の維持をサポートする。マスター・キーの生成は、オー
ク・ボックス(Oak Boxes) とも呼ばれるマスターキー生
成ボックス２０と２２、ＫＭＣとも呼ばれる設けられた
キー管理システムのコンピュータ(Key Management Syst
em computer)２４、および保存サーバー２５によって、
サポートされる。マスター・キーの分配は、ＫＤＣとも
呼ばれるキー分配コンピュータ(Key Distribution Comp
uter) ３０によってサポートされる。マスター・キーの
取付けは、スチール・ボックス(Steel Box) とも呼ばれ
るマスター・キー取付けボックス(Master Key Installa
tion Box) ３２、および取り付けられたパラメータライ
ゼーション、シーディングおよび登録（Parameterizati
on, Seeding And Resistration(PRS))コンピュータ３４
によってサポートされる。印刷されたディジタル・トー
クンの集中化された検証は、ブラス・ボックス(Brass B
oxes) とも呼ばれるトークン検証ボックス２１と４０、
および取付けられたそれぞれのキー管理システムのコン
ピュータ２４と４２によって、サポートされる。キーア
ーカイブ(Key Archives)２５と４５は、キー状態メッセ
ージとキーを安全に且つ確実に記録する。
ーター製品における暗号キーを設けることおよび長期間
の維持をサポートする。マスター・キーの生成は、オー
ク・ボックス(Oak Boxes) とも呼ばれるマスターキー生
成ボックス２０と２２、ＫＭＣとも呼ばれる設けられた
キー管理システムのコンピュータ(Key Management Syst
em computer)２４、および保存サーバー２５によって、
サポートされる。マスター・キーの分配は、ＫＤＣとも
呼ばれるキー分配コンピュータ(Key Distribution Comp
uter) ３０によってサポートされる。マスター・キーの
取付けは、スチール・ボックス(Steel Box) とも呼ばれ
るマスター・キー取付けボックス(Master Key Installa
tion Box) ３２、および取り付けられたパラメータライ
ゼーション、シーディングおよび登録（Parameterizati
on, Seeding And Resistration(PRS))コンピュータ３４
によってサポートされる。印刷されたディジタル・トー
クンの集中化された検証は、ブラス・ボックス(Brass B
oxes) とも呼ばれるトークン検証ボックス２１と４０、
および取付けられたそれぞれのキー管理システムのコン
ピュータ２４と４２によって、サポートされる。キーア
ーカイブ(Key Archives)２５と４５は、キー状態メッセ
ージとキーを安全に且つ確実に記録する。
【００１１】安全領域 図２を参照すると、キー管理システム１０は、個々の論
理的安全領域：１つのベンダー領域５０と郵便局のため
の１以上の領域を有している。おのおのの領域は、キー
発生、キー分配、キー取付け、およびトークン検証サー
ビスのフルセットを与える。各領域は、ベンダーおよび
郵便設備のような、種々の設備を有することができる。
多重の論理的安全領域は、各安全ボックス内に存在する
ことができる。このような多重の領域の分離は、マスタ
ー・キー・データベースにおいて領域メッセージの暗号
化によって達成される。データベースの暗号キーは、各
々の領域に対して異なっている。安全ボックス内で、領
域の分離は、限定されたプロセスによってそのボックス
において可能にされる。しかし、安全領域は、ディジタ
ル・メーターの内部で、１か所においてのみオバーラッ
プしている。ディジタル・メーターは、支払いトークン
の２つの証明を計算し、１つはベンダーのマスター・キ
ーを用い、他は郵便のマスター・キーを用いる。いずれ
かのディジタル・トークンの検証における失敗は、詐欺
の充分な証明である。図３を参照すると、ベンダーのデ
ータ・センター１２は、キー管理システムの要素に対し
て、物理的な、情報アクセス制御を与える。ベンダーの
データ・センター１２は、ベンダーのマスター・キー生
成ボックスとして機能する、少なくとも１つのオーク・
ボックス２０、ベンダーのトークン検証ボックスとして
機能する、少なくとも１つのブラス・ボックス２１、お
よび作成ボックス２３を収容する。安全性に対して、各
々のボックスは唯一のＩＤを有する。追加の安全性に対
しては、生成、検証および作成機能は、互いに物理的に
分離されている。即ち、オーク・ボックス、ブラス・ボ
ックスおよびスチール・ボックスは分離したボックスで
ある。２以上の機能ボックスが、もし必要なら、１つの
物理的なボックスに収容するとができることに留意さる
べきである。
理的安全領域：１つのベンダー領域５０と郵便局のため
の１以上の領域を有している。おのおのの領域は、キー
発生、キー分配、キー取付け、およびトークン検証サー
ビスのフルセットを与える。各領域は、ベンダーおよび
郵便設備のような、種々の設備を有することができる。
多重の論理的安全領域は、各安全ボックス内に存在する
ことができる。このような多重の領域の分離は、マスタ
ー・キー・データベースにおいて領域メッセージの暗号
化によって達成される。データベースの暗号キーは、各
々の領域に対して異なっている。安全ボックス内で、領
域の分離は、限定されたプロセスによってそのボックス
において可能にされる。しかし、安全領域は、ディジタ
ル・メーターの内部で、１か所においてのみオバーラッ
プしている。ディジタル・メーターは、支払いトークン
の２つの証明を計算し、１つはベンダーのマスター・キ
ーを用い、他は郵便のマスター・キーを用いる。いずれ
かのディジタル・トークンの検証における失敗は、詐欺
の充分な証明である。図３を参照すると、ベンダーのデ
ータ・センター１２は、キー管理システムの要素に対し
て、物理的な、情報アクセス制御を与える。ベンダーの
データ・センター１２は、ベンダーのマスター・キー生
成ボックスとして機能する、少なくとも１つのオーク・
ボックス２０、ベンダーのトークン検証ボックスとして
機能する、少なくとも１つのブラス・ボックス２１、お
よび作成ボックス２３を収容する。安全性に対して、各
々のボックスは唯一のＩＤを有する。追加の安全性に対
しては、生成、検証および作成機能は、互いに物理的に
分離されている。即ち、オーク・ボックス、ブラス・ボ
ックスおよびスチール・ボックスは分離したボックスで
ある。２以上の機能ボックスが、もし必要なら、１つの
物理的なボックスに収容するとができることに留意さる
べきである。
【００１２】ベンダーのＫＭＳコンピュータ２４は、安
全なオーク、ブラスおよび作成ボックス、およびそれら
間のメッセージを管理する。それは、安全なボックス通
信、ベンダーのキー保管サービス、郵便のキー保管サー
ビス、およびベンダーの作成設備１４と郵便のデータ・
センター１６との通信をサポートする。図４を参照する
と、ベンダーの作成設備１４は、キー管理システム要素
に対する物理的な、情報アクセス制御を与える。ベンダ
ーの作成設備１４は、ベンダーのキー分配コンピュータ
３０、マスター・キー取付けボックスとして機能する少
なくとも１つの安全スチールボックス３２、および対応
するＰＳＲコンピュータ３４を収容する。ベンダーのキ
ー分配およびＰＳＲコンピュータ３０と３４はキー管理
システムコンピュータ２４、他の安全ボックスおよびオ
ンライン・ディジタル・メーター３６との通信をサポー
トする。ＰＳＲコンピュータ３０は対応するスチール・
ボックス３２とディジタル・メータ３６の初期化を管理
する。図５を参照すると、郵便のデータ・センター１６
は、キー管理システム１０の要素に対する物理的な、情
報アクセス制御を与えることができる。郵便のデータ・
センター１６は、郵便のマスター・キー生成ボックスと
して機能する郵便のオーク・ボックス２２および郵便の
トークン検証ボックスとして機能する郵便のブッス・ボ
ックス４０を収容する。郵便のキー管理システム・コン
ピュータ４２は安全ボックス通信、郵便のキー保管サー
ビス、および郵便設備１８とベンダーのデータ・センタ
ー１２との通信をサポートすることができる。
全なオーク、ブラスおよび作成ボックス、およびそれら
間のメッセージを管理する。それは、安全なボックス通
信、ベンダーのキー保管サービス、郵便のキー保管サー
ビス、およびベンダーの作成設備１４と郵便のデータ・
センター１６との通信をサポートする。図４を参照する
と、ベンダーの作成設備１４は、キー管理システム要素
に対する物理的な、情報アクセス制御を与える。ベンダ
ーの作成設備１４は、ベンダーのキー分配コンピュータ
３０、マスター・キー取付けボックスとして機能する少
なくとも１つの安全スチールボックス３２、および対応
するＰＳＲコンピュータ３４を収容する。ベンダーのキ
ー分配およびＰＳＲコンピュータ３０と３４はキー管理
システムコンピュータ２４、他の安全ボックスおよびオ
ンライン・ディジタル・メーター３６との通信をサポー
トする。ＰＳＲコンピュータ３０は対応するスチール・
ボックス３２とディジタル・メータ３６の初期化を管理
する。図５を参照すると、郵便のデータ・センター１６
は、キー管理システム１０の要素に対する物理的な、情
報アクセス制御を与えることができる。郵便のデータ・
センター１６は、郵便のマスター・キー生成ボックスと
して機能する郵便のオーク・ボックス２２および郵便の
トークン検証ボックスとして機能する郵便のブッス・ボ
ックス４０を収容する。郵便のキー管理システム・コン
ピュータ４２は安全ボックス通信、郵便のキー保管サー
ビス、および郵便設備１８とベンダーのデータ・センタ
ー１２との通信をサポートすることができる。
【００１３】図６を参照すると、追加の論理的安全領域
が、キー管理システム要素における全ての他の安全領域
を設けることおよびメンテナンスをサポートするように
要求される。これは、安全領域の生成およびキー管理シ
ステム要素における安全領域の据え付けに対して責任を
もつキー管理システムの監督領域(Key Management Syst
em Administration Domain) ６０と呼ばれる。アース安
全領域(Earth Security Domain) における国の特定サブ
領域を設けることは、アース安全領域の責任である。安
全領域内の製品コード・パラメータを設けることは、影
響を受けた安全領域の責任である。これは以下に説明さ
れる。 機能的な特徴 以下のパラグラフは、キー管理システム１０における全
ての動作とメッセージの概要を示す。キー管理システム
１０は、ディジタル・メーターの製品の作成および動作
をサポートするために、幾つかの必要な機能を与える。
ディジタル・メーターの製品に用いられる全ての暗号キ
ーに対し、生成、分配および長期間の記憶に対して責任
を有している。また、このような暗号キーを用いるディ
ジタル・メーターの製品によって生成されるディジタル
・トークンの検証に対しても責任を有している。
が、キー管理システム要素における全ての他の安全領域
を設けることおよびメンテナンスをサポートするように
要求される。これは、安全領域の生成およびキー管理シ
ステム要素における安全領域の据え付けに対して責任を
もつキー管理システムの監督領域(Key Management Syst
em Administration Domain) ６０と呼ばれる。アース安
全領域(Earth Security Domain) における国の特定サブ
領域を設けることは、アース安全領域の責任である。安
全領域内の製品コード・パラメータを設けることは、影
響を受けた安全領域の責任である。これは以下に説明さ
れる。 機能的な特徴 以下のパラグラフは、キー管理システム１０における全
ての動作とメッセージの概要を示す。キー管理システム
１０は、ディジタル・メーターの製品の作成および動作
をサポートするために、幾つかの必要な機能を与える。
ディジタル・メーターの製品に用いられる全ての暗号キ
ーに対し、生成、分配および長期間の記憶に対して責任
を有している。また、このような暗号キーを用いるディ
ジタル・メーターの製品によって生成されるディジタル
・トークンの検証に対しても責任を有している。
【００１４】２以上の安全領域は、キー管理システム１
０によって行われる。ベンダーの安全領域５０は、キー
の生成、分配、保管および検証サービスを有している。
郵便の安全領域５２は同様なサービスを行う。これらの
領域は、一つの点において、図２に示された、ベンダー
と郵便のマスター・キーの双方を含むディジタル・メー
ターをオーバラップする。即ち、同時に利用できるベン
ダーと郵便のマスター・キーはメーターにのみある。キーの特徴 キーの生成 図７を参照すると、キー管理プロセスのフロー図が示さ
れている。ディジタル・メーター３６は、分配前にベン
ダーの作成設備に物理的に位置されるが、ベンダーのマ
スター・キーと郵便のマスター・キーを受ける。キー管
理システムの安全ボックス作成プロセスと領域マスター
・キー生成プロセスは、キー管理システム１０とディジ
タル・メーター３６に対して暗号キーを与える。ディジ
タル・メーターのための領域マスター・キーは、領域オ
ーク・プロセス７０によって生成される。領域マスター
・キーが生成され、保管され、且つ導入されるに従っ
て、領域マスター・キーを暗号化するために用いられる
領域キーは、作成ボックス２３により生成される。安全
な、非決定論的キーを与えるために、２つの乱数発生器
処理が行われる。各々のオーク・ボックスと作成ボック
スは、ハードウエアの乱数発生器を含む。ソフトウエア
の疑似乱数発生器も含まれる。これら２つの処理の出力
は、ハードウエアとソフトウエアが受入れ可能な限界内
で動作していることを検証するために、個々にテストさ
れる。２つの発生器の出力は、排他的ＯＲ動作を介して
結合される。従って、もしハードウエアの乱数発生器が
失敗するなら、疑似乱数発生器は、ハードウエアの発生
器が直されるまで、受入れ可能なキーイング材料(keyin
g material) を与える。
０によって行われる。ベンダーの安全領域５０は、キー
の生成、分配、保管および検証サービスを有している。
郵便の安全領域５２は同様なサービスを行う。これらの
領域は、一つの点において、図２に示された、ベンダー
と郵便のマスター・キーの双方を含むディジタル・メー
ターをオーバラップする。即ち、同時に利用できるベン
ダーと郵便のマスター・キーはメーターにのみある。キーの特徴 キーの生成 図７を参照すると、キー管理プロセスのフロー図が示さ
れている。ディジタル・メーター３６は、分配前にベン
ダーの作成設備に物理的に位置されるが、ベンダーのマ
スター・キーと郵便のマスター・キーを受ける。キー管
理システムの安全ボックス作成プロセスと領域マスター
・キー生成プロセスは、キー管理システム１０とディジ
タル・メーター３６に対して暗号キーを与える。ディジ
タル・メーターのための領域マスター・キーは、領域オ
ーク・プロセス７０によって生成される。領域マスター
・キーが生成され、保管され、且つ導入されるに従っ
て、領域マスター・キーを暗号化するために用いられる
領域キーは、作成ボックス２３により生成される。安全
な、非決定論的キーを与えるために、２つの乱数発生器
処理が行われる。各々のオーク・ボックスと作成ボック
スは、ハードウエアの乱数発生器を含む。ソフトウエア
の疑似乱数発生器も含まれる。これら２つの処理の出力
は、ハードウエアとソフトウエアが受入れ可能な限界内
で動作していることを検証するために、個々にテストさ
れる。２つの発生器の出力は、排他的ＯＲ動作を介して
結合される。従って、もしハードウエアの乱数発生器が
失敗するなら、疑似乱数発生器は、ハードウエアの発生
器が直されるまで、受入れ可能なキーイング材料(keyin
g material) を与える。
【００１５】他のＫＭＳ安全ボックスは、キーイング材
料を生成するために制限された要求を有している。特
に、開始の秘密性キーが、初期化プロセスの間、ブラス
およびスチール・ボックス２１と３２によって生成され
る。初期化プロセス中に制限された要求および信頼され
た権威の存在のために、ソフトウエア疑似乱数発生器の
みが用いられる。マスター・キーのアイデンティフィケーション キー管理システム１０は、マスター・キーが一度だけあ
らゆるディジタル・メーター３６で試みられ、あるいは
設けられるという安全要求を強く主張しなければならな
い。例えば、キー管理システム１０は、２以上のスチー
ル・ボックス３２がシステムにおいて用いれると、領域
マスター・キーは２回設けられないことを保証しなけれ
ばならない。この要求は、領域の特定の単調なシークエ
ンス・カウンターからなる、領域マスター・キーのアイ
デンティフィケーション数の使用をとおして満たされ
る。領域のオーク・プロセスと領域のスチール・プロセ
スは、特定の領域ＩＤに対して受取られた最後の領域マ
スター・キーのアイデンティフィケーション数を追跡す
る。新しく発生したキー或いはインストール・キー・メ
ッセージを受け取ると、領域オーク・プロセス或いは領
域スチール・プロセスは、領域マスター・キーのアイデ
ンティフィケーション数が前のメッセージに含まれるそ
れより大きいことを検証する。
料を生成するために制限された要求を有している。特
に、開始の秘密性キーが、初期化プロセスの間、ブラス
およびスチール・ボックス２１と３２によって生成され
る。初期化プロセス中に制限された要求および信頼され
た権威の存在のために、ソフトウエア疑似乱数発生器の
みが用いられる。マスター・キーのアイデンティフィケーション キー管理システム１０は、マスター・キーが一度だけあ
らゆるディジタル・メーター３６で試みられ、あるいは
設けられるという安全要求を強く主張しなければならな
い。例えば、キー管理システム１０は、２以上のスチー
ル・ボックス３２がシステムにおいて用いれると、領域
マスター・キーは２回設けられないことを保証しなけれ
ばならない。この要求は、領域の特定の単調なシークエ
ンス・カウンターからなる、領域マスター・キーのアイ
デンティフィケーション数の使用をとおして満たされ
る。領域のオーク・プロセスと領域のスチール・プロセ
スは、特定の領域ＩＤに対して受取られた最後の領域マ
スター・キーのアイデンティフィケーション数を追跡す
る。新しく発生したキー或いはインストール・キー・メ
ッセージを受け取ると、領域オーク・プロセス或いは領
域スチール・プロセスは、領域マスター・キーのアイデ
ンティフィケーション数が前のメッセージに含まれるそ
れより大きいことを検証する。
【００１６】キー管理システム１０が要求キー命令（Re
quest Key command)を受取ると、スチールＩＤが必要と
される。スチールＩＤは、分配マスター・キー(Distrib
uteMaster Key) の記録に含まれ、領域スチール・プロ
セス７６によってチェックされなければならない。もし
メッセージにおけるスチールＩＤがスチール・ボックス
のためのスチールＩＤとマッチしないなら、そのメッセ
ージは拒否される。スチールＩＤは、メッセージ記号を
解読することなく、メッセージ内で変更されることはで
きない。領域マスター・キーのアイデンティフィケーシ
ョン数、スチールＩＤおよびメッセージ記号の組み合わ
せは、一時の設置要求を満足する。図８を参照すると、
キー分配コンピュータ３０は、記号８０においてキーを
要求する。記号８２において、キー管理システムのコン
ピュータ２４は領域アーカイブ７４からの新しく自動的
に増大するキーＩＤを発生する。記号８４において、領
域オーク・プロセス７０は、オーク・ボックス・キーＩ
Ｄが最後に見られた値に対して新しいかどうかを決定す
る。もし新しくなければ、オーク・ボックスのエラー条
件が記号８６において開始される。キーＩＤが新しけれ
ば、記号８８で、オーク・ボックス２０はキーを発生
し、暗号化し、そのキーＩＤを取付け、且つ符号化し
て、メッセージをスチール・ボックス３２に送る。記号
９０において、領域のスチール・プロセス７６は、スチ
ールＩＤが正しいかどうかを決定する。記号９２におい
て、領域のスチール・プロセス７６は、キーＩＤが最後
に見られた値に対して新しいかどうかを決定する。メッ
セージの記号化テストが失敗するか、スチールＩＤが正
しくないか、あるいはキーＩＤが新しくないなら、スチ
ール・ボックスのエラーが発生する。もしエラーが発生
しないなら、記号９８においてスチール・ボックス３２
はキーをメーター３６にインストールする。
quest Key command)を受取ると、スチールＩＤが必要と
される。スチールＩＤは、分配マスター・キー(Distrib
uteMaster Key) の記録に含まれ、領域スチール・プロ
セス７６によってチェックされなければならない。もし
メッセージにおけるスチールＩＤがスチール・ボックス
のためのスチールＩＤとマッチしないなら、そのメッセ
ージは拒否される。スチールＩＤは、メッセージ記号を
解読することなく、メッセージ内で変更されることはで
きない。領域マスター・キーのアイデンティフィケーシ
ョン数、スチールＩＤおよびメッセージ記号の組み合わ
せは、一時の設置要求を満足する。図８を参照すると、
キー分配コンピュータ３０は、記号８０においてキーを
要求する。記号８２において、キー管理システムのコン
ピュータ２４は領域アーカイブ７４からの新しく自動的
に増大するキーＩＤを発生する。記号８４において、領
域オーク・プロセス７０は、オーク・ボックス・キーＩ
Ｄが最後に見られた値に対して新しいかどうかを決定す
る。もし新しくなければ、オーク・ボックスのエラー条
件が記号８６において開始される。キーＩＤが新しけれ
ば、記号８８で、オーク・ボックス２０はキーを発生
し、暗号化し、そのキーＩＤを取付け、且つ符号化し
て、メッセージをスチール・ボックス３２に送る。記号
９０において、領域のスチール・プロセス７６は、スチ
ールＩＤが正しいかどうかを決定する。記号９２におい
て、領域のスチール・プロセス７６は、キーＩＤが最後
に見られた値に対して新しいかどうかを決定する。メッ
セージの記号化テストが失敗するか、スチールＩＤが正
しくないか、あるいはキーＩＤが新しくないなら、スチ
ール・ボックスのエラーが発生する。もしエラーが発生
しないなら、記号９８においてスチール・ボックス３２
はキーをメーター３６にインストールする。
【００１７】作成ボックスおよび領域のキー 図９−１２を参照すると、キー管理システム１０内の安
全ボックスは領域の形状情報とキーイング材料で初期化
される。これは領域の生成および領域のキー１１０に対
して責任を有する作成ボックス２３の使用を介して達成
される。領域が作られると、唯一の領域ＩＤが必要とさ
れる。領域が作成ボックス２３に確立された後、他の安
全ボックスは領域情報で初期化することができる。全て
の領域のキー１１０は作成ボックス２３によって生成さ
れる。領域のキー１１０は、領域のキーセット１０３に
よって暗号化された、秘密性、権威および動作キーから
なる。領域のキー１１０はいろいろな安全ボックス間で
シェアされる。各々の安全ボックスは、キーイング材料
に対する特定の要求を有している。各作成ボックス２３
は、３つのシャミールの秘密シェア(Shamir secret sha
res)１０２に入り込まれる動作の組み合わせ１０１を要
求する。個々のシェアは取りはずし可能な媒体に書き込
まれ、権限をもたされた者に分配される。各作成ボック
ス２３は、秘密性に対するＲＳＡのキー対と証明に対す
るＲＳＡのキー対から成る領域キーのセット１０３を必
要とする。秘密性と証明のキーは３つのシャミールの秘
密シェア１０４に入り込まれる。個々のシェアは取りは
ずし可能な媒体に書き込まれ、権限をもたされた者に分
配される。ＲＳＡキー対は、Communications of the AM
C, Vol. 21, No. 2, February 1978, pp. 120-127 にお
いて、R. L. Rivest, A. Shamir and L. Adelmanにより
"A Method For Obtaining Digital Signatures And Pu
blic-Key Cryptosystems" に記載されている。シャミー
ル秘密シェアは、Communications of the AMC, Vol. 2
2, No. 11, Nov. 1979, pp. 612-613において、 A. Sha
mirにより"How To Share A Secret" に記載されてい
る。
全ボックスは領域の形状情報とキーイング材料で初期化
される。これは領域の生成および領域のキー１１０に対
して責任を有する作成ボックス２３の使用を介して達成
される。領域が作られると、唯一の領域ＩＤが必要とさ
れる。領域が作成ボックス２３に確立された後、他の安
全ボックスは領域情報で初期化することができる。全て
の領域のキー１１０は作成ボックス２３によって生成さ
れる。領域のキー１１０は、領域のキーセット１０３に
よって暗号化された、秘密性、権威および動作キーから
なる。領域のキー１１０はいろいろな安全ボックス間で
シェアされる。各々の安全ボックスは、キーイング材料
に対する特定の要求を有している。各作成ボックス２３
は、３つのシャミールの秘密シェア(Shamir secret sha
res)１０２に入り込まれる動作の組み合わせ１０１を要
求する。個々のシェアは取りはずし可能な媒体に書き込
まれ、権限をもたされた者に分配される。各作成ボック
ス２３は、秘密性に対するＲＳＡのキー対と証明に対す
るＲＳＡのキー対から成る領域キーのセット１０３を必
要とする。秘密性と証明のキーは３つのシャミールの秘
密シェア１０４に入り込まれる。個々のシェアは取りは
ずし可能な媒体に書き込まれ、権限をもたされた者に分
配される。ＲＳＡキー対は、Communications of the AM
C, Vol. 21, No. 2, February 1978, pp. 120-127 にお
いて、R. L. Rivest, A. Shamir and L. Adelmanにより
"A Method For Obtaining Digital Signatures And Pu
blic-Key Cryptosystems" に記載されている。シャミー
ル秘密シェアは、Communications of the AMC, Vol. 2
2, No. 11, Nov. 1979, pp. 612-613において、 A. Sha
mirにより"How To Share A Secret" に記載されてい
る。
【００１８】好適な実施例において、各々のオーク・ボ
ックス２０は、２つのシャミールの秘密シェア１０６
（図１０）に入り込まれる動作の組み合わせ１０５を必
要とする。個々のシェア１０６は、取りはずしできるメ
ディアに書き込まれ、権限をもたされた者に分配され
る。全てのシェア１０６は、オーク・ボックス２０が動
作する前に、オーク・ボックス２０に入れられなければ
ならない。最後に入ったシェア１０６は、オーク・ボッ
クスがイネーブルされるようにオーク・ボックスに維持
されなければならない。最後に入ったシェア１０６が除
かれると、オーク・ボックスはディスエーブルされる。
各領域のオーク・プロセス７０は、証明のためにＲＳＡ
キー対を要求する。個人的な証明のキー（P'OA) は領域
のオーク・プロセス７０と作成ボックス２３により知ら
れるのみである。公的な証明キー（POA)は、対応する領
域のスチール・プロセス７６と領域のブラス・プロセス
７２によって知られる。領域のオーク・プロセス７０
は、個人的な秘密性のキーを必要としない。好適な実施
の形態において、ベンダーの作成設備における各スチー
ル・ボックス３２は、２つのシャミールの秘密シェア１
２０（図１１）に入り込まれる動作の組み合わせ１１９
を必要とする。個々のシェア１２０は、取りはずし可能
な媒体に書き込まれ、権限を与えられたもの、例えば監
督者やオペレータに分配される。監督者やオペレータの
集合は、スチール・ボックス３２が動作する前に、スチ
ール・ボックス３２に入れられなければならない。最後
に入れられたシェア１０６、例えばオペレータのシェア
は、スチール・ボックスがイネーブルされるようにスチ
ール・ボックスに維持されなければならない。オペレー
タのシェアが除かれると、スチール・ボックス３２はデ
ィスエーブルされる。
ックス２０は、２つのシャミールの秘密シェア１０６
（図１０）に入り込まれる動作の組み合わせ１０５を必
要とする。個々のシェア１０６は、取りはずしできるメ
ディアに書き込まれ、権限をもたされた者に分配され
る。全てのシェア１０６は、オーク・ボックス２０が動
作する前に、オーク・ボックス２０に入れられなければ
ならない。最後に入ったシェア１０６は、オーク・ボッ
クスがイネーブルされるようにオーク・ボックスに維持
されなければならない。最後に入ったシェア１０６が除
かれると、オーク・ボックスはディスエーブルされる。
各領域のオーク・プロセス７０は、証明のためにＲＳＡ
キー対を要求する。個人的な証明のキー（P'OA) は領域
のオーク・プロセス７０と作成ボックス２３により知ら
れるのみである。公的な証明キー（POA)は、対応する領
域のスチール・プロセス７６と領域のブラス・プロセス
７２によって知られる。領域のオーク・プロセス７０
は、個人的な秘密性のキーを必要としない。好適な実施
の形態において、ベンダーの作成設備における各スチー
ル・ボックス３２は、２つのシャミールの秘密シェア１
２０（図１１）に入り込まれる動作の組み合わせ１１９
を必要とする。個々のシェア１２０は、取りはずし可能
な媒体に書き込まれ、権限を与えられたもの、例えば監
督者やオペレータに分配される。監督者やオペレータの
集合は、スチール・ボックス３２が動作する前に、スチ
ール・ボックス３２に入れられなければならない。最後
に入れられたシェア１０６、例えばオペレータのシェア
は、スチール・ボックスがイネーブルされるようにスチ
ール・ボックスに維持されなければならない。オペレー
タのシェアが除かれると、スチール・ボックス３２はデ
ィスエーブルされる。
【００１９】各々の領域のスチール・プロセス７６は、
証明のためにＲＳＡキー対を必要とする。個人的な証明
キーは、領域のスチール・プロセス７６によって知られ
るのみである。公的な証明キーは領域のブラス・プロセ
ス７２によって知られるのみである。各々の領域のスチ
ール・プロセス７６は秘密性のためにＲＳＡキー対を必
要とする。個人的な秘密性（P'sc) キーは領域のスチー
ル・プロセス７６によって知られるのみである。公的な
秘密性（Psc)キーは領域のオーク・プロセス７０によっ
て知られる。本発明の好適な実施の形態において、各々
のブラス・ボックス２１は、２つのシャミールの秘密シ
ェア１２２（図１２）に入りこまれる動作の組み合わせ
１２１を必要とする。個々のシェア１２２は取りはずし
可能な媒体に書き込まれ、権限を与えられたものに分配
される。全てのシェア１２２は、ブラス・ボックス２１
が動作する前に、ブラス・ボックス２１に入れられなけ
ればならない。最後に入れられたシェア１２２は、ブラ
ス・ボックス２１がイネーブルされるように、ブラス・
ボックス２１に維持されなければならない。最後に入れ
られたシェア１２２が除かれると、ブラス・ボックス２
１はディスエーブルされる。
証明のためにＲＳＡキー対を必要とする。個人的な証明
キーは、領域のスチール・プロセス７６によって知られ
るのみである。公的な証明キーは領域のブラス・プロセ
ス７２によって知られるのみである。各々の領域のスチ
ール・プロセス７６は秘密性のためにＲＳＡキー対を必
要とする。個人的な秘密性（P'sc) キーは領域のスチー
ル・プロセス７６によって知られるのみである。公的な
秘密性（Psc)キーは領域のオーク・プロセス７０によっ
て知られる。本発明の好適な実施の形態において、各々
のブラス・ボックス２１は、２つのシャミールの秘密シ
ェア１２２（図１２）に入りこまれる動作の組み合わせ
１２１を必要とする。個々のシェア１２２は取りはずし
可能な媒体に書き込まれ、権限を与えられたものに分配
される。全てのシェア１２２は、ブラス・ボックス２１
が動作する前に、ブラス・ボックス２１に入れられなけ
ればならない。最後に入れられたシェア１２２は、ブラ
ス・ボックス２１がイネーブルされるように、ブラス・
ボックス２１に維持されなければならない。最後に入れ
られたシェア１２２が除かれると、ブラス・ボックス２
１はディスエーブルされる。
【００２０】各々の領域のブラス・プロセス７２は、証
明のためにＲＳＡキー対を必要とする。個人的な、およ
び公的な証明キー（P'BAとPBA)は、領域のブラス・プロ
セスによって知られるのみである。各々の領域のブラス
・プロセスは、秘密性のためにＲＳＡキー対を必要とす
る。個人的な秘密性キー(P'BC)は、領域のブラス・プロ
セス７２によって知られるのみである。公的な秘密性
（PBC)キーは、領域のオーク・プロセス７０によって知
られる。各々の領域のブラス・プロセス７２は、領域の
ブラス・プロセス７２によって知られるのみである、秘
密性のためのＤＥＳキーのセットを必要とする。各々の
領域のブラス・プロセス７２は、領域のブラス・プロセ
ス７２によって知られるのみである、証明のためのＤＥ
Ｓキーのセットを必要とする。安全ボックスを動作する
ために必要な、選択されたシェアの数は、キー管理シス
テムのために具現化される安全戦略に基づかれること
は、この分野の当業者によって理解されるであろう。ディジタル・メーターの要件 製品のコード・ナンバーと関連して、作成シーケンス・
ナンバーは、ベンダーの作成プロセス内にディジタル・
メーター３６を独自に定義する。作成シーケンス・ナン
バーの割当ての好適な方法は、以下のとおりである。独
自の製品コード・ナンバーと作成シーケンス・ナンバー
の対をそれぞれが含むアイデンティフィケーション・ラ
ベルの供給は、製造ラインにストックされる。１つのア
イデンティフィケーション・ラベルは、各々のディジタ
ル・メーター３６に適用される。これらのナンバーはＰ
ＳＲコンピュータ３４に入れられ、キー取付けプロセス
前にディジタル・メーター３６にダウンロードされる。
メーターは、製造中にキーが取付けられるように、安全
に形成される。テスト・パターンは、テスト・トークン
のセットを発生するために用いられ、製造におけるマス
ター・キー取付けプロセスをチェックする。このテスト
・パターンは、２つの予めフォーマット化された６４ビ
ットのバイナリー値から成る。これらはターゲット領域
マスター・キーと特定の位置で暗号化され、生じた暗号
文からのトークンの数が発生される。
明のためにＲＳＡキー対を必要とする。個人的な、およ
び公的な証明キー（P'BAとPBA)は、領域のブラス・プロ
セスによって知られるのみである。各々の領域のブラス
・プロセスは、秘密性のためにＲＳＡキー対を必要とす
る。個人的な秘密性キー(P'BC)は、領域のブラス・プロ
セス７２によって知られるのみである。公的な秘密性
（PBC)キーは、領域のオーク・プロセス７０によって知
られる。各々の領域のブラス・プロセス７２は、領域の
ブラス・プロセス７２によって知られるのみである、秘
密性のためのＤＥＳキーのセットを必要とする。各々の
領域のブラス・プロセス７２は、領域のブラス・プロセ
ス７２によって知られるのみである、証明のためのＤＥ
Ｓキーのセットを必要とする。安全ボックスを動作する
ために必要な、選択されたシェアの数は、キー管理シス
テムのために具現化される安全戦略に基づかれること
は、この分野の当業者によって理解されるであろう。ディジタル・メーターの要件 製品のコード・ナンバーと関連して、作成シーケンス・
ナンバーは、ベンダーの作成プロセス内にディジタル・
メーター３６を独自に定義する。作成シーケンス・ナン
バーの割当ての好適な方法は、以下のとおりである。独
自の製品コード・ナンバーと作成シーケンス・ナンバー
の対をそれぞれが含むアイデンティフィケーション・ラ
ベルの供給は、製造ラインにストックされる。１つのア
イデンティフィケーション・ラベルは、各々のディジタ
ル・メーター３６に適用される。これらのナンバーはＰ
ＳＲコンピュータ３４に入れられ、キー取付けプロセス
前にディジタル・メーター３６にダウンロードされる。
メーターは、製造中にキーが取付けられるように、安全
に形成される。テスト・パターンは、テスト・トークン
のセットを発生するために用いられ、製造におけるマス
ター・キー取付けプロセスをチェックする。このテスト
・パターンは、２つの予めフォーマット化された６４ビ
ットのバイナリー値から成る。これらはターゲット領域
マスター・キーと特定の位置で暗号化され、生じた暗号
文からのトークンの数が発生される。
【００２１】テスト・パターンは、ソフトウエアを動作
する領域のオーク・プロセスと領域のブラス・プロセス
に含まれる。全てのディジタル・メーターは、取付けの
チェック手続きの間に同じテスト情報を用いる。テスト
・パターンはキー管理システム１０とターゲット・ディ
ジタルメーター間にシェアされた情報のセットである。
テスト・パターンは、特定のディジタルメーターのため
にＲＯＭに記憶することができる。地球領域ディジタルメーター 地球領域のディジタルメーターは、それらが製造設備を
残すときは、国の特定情報を持っていない。これは、デ
ィジタルメーターが地域ベースにストックされ、最後の
時には国が特定されることが可能なようになされる。地
球領域のディジタル・メーターに対する製品コード・ナ
ンバーは、予め決められた数に続く２文字製品コードの
プリフィックス（a two letter product code prefix)
である。国の擬人化の前に、証印の一連番号は、ヌルス
トリング(a null string) である。製品コード番号と証
印の連続番号値は、領域マスター・キーを活性化するた
めに、キーの登録時に定義されなけれはならない。
する領域のオーク・プロセスと領域のブラス・プロセス
に含まれる。全てのディジタル・メーターは、取付けの
チェック手続きの間に同じテスト情報を用いる。テスト
・パターンはキー管理システム１０とターゲット・ディ
ジタルメーター間にシェアされた情報のセットである。
テスト・パターンは、特定のディジタルメーターのため
にＲＯＭに記憶することができる。地球領域ディジタルメーター 地球領域のディジタルメーターは、それらが製造設備を
残すときは、国の特定情報を持っていない。これは、デ
ィジタルメーターが地域ベースにストックされ、最後の
時には国が特定されることが可能なようになされる。地
球領域のディジタル・メーターに対する製品コード・ナ
ンバーは、予め決められた数に続く２文字製品コードの
プリフィックス（a two letter product code prefix)
である。国の擬人化の前に、証印の一連番号は、ヌルス
トリング(a null string) である。製品コード番号と証
印の連続番号値は、領域マスター・キーを活性化するた
めに、キーの登録時に定義されなけれはならない。
【００２２】図１３を参照すると、地球領域ディジタル
メーターのためのプロセス・フロー図が得られる。地球
領域ディジタルメーターのための地球領域マスター・キ
ーが地球領域のオーク・プロセス１７０によって生成さ
れる。地球領域マスター・キーのコピーは、地球領域ア
ーカイブ１７４に格納される。地球領域マスター・キー
は、地球領域のディジタル・メーター１３６に設けら
れ、地球領域のスチール・プロセス１７６によってチェ
ックされる。地球領域マスター・キーの取付けは、地球
領域のブラス・プロセス１７２によって検証される。地
球領域マスター・キーの記録は、地球領域のブラス・プ
ロセス１７２によって現状を取り付けるために更新され
る。地球領域のブラス・プロセス１７２はキーの登録に
は関係しない。権限を与えられたものは、地球領域のデ
ィジタルメーター１３６を、ディジタルメーターの製品
コード番号と証印の連続番号をセットすることによっ
て、国の特定安全領域に割り当てる。ディジタルメータ
ー２３６が国の特定安全領域に一旦割り当てられると、
それは地球領域に戻ることができない。ディジタル的に
サインされたキー登録の記録は、製品コード番号、証印
の連続番号および製造の連続番号を含むディジタルメー
ターによって生成される。ディジタル的にサインされた
キー登録の記録は、キー管理システムのコンピュータ２
４に戻される。
メーターのためのプロセス・フロー図が得られる。地球
領域ディジタルメーターのための地球領域マスター・キ
ーが地球領域のオーク・プロセス１７０によって生成さ
れる。地球領域マスター・キーのコピーは、地球領域ア
ーカイブ１７４に格納される。地球領域マスター・キー
は、地球領域のディジタル・メーター１３６に設けら
れ、地球領域のスチール・プロセス１７６によってチェ
ックされる。地球領域マスター・キーの取付けは、地球
領域のブラス・プロセス１７２によって検証される。地
球領域マスター・キーの記録は、地球領域のブラス・プ
ロセス１７２によって現状を取り付けるために更新され
る。地球領域のブラス・プロセス１７２はキーの登録に
は関係しない。権限を与えられたものは、地球領域のデ
ィジタルメーター１３６を、ディジタルメーターの製品
コード番号と証印の連続番号をセットすることによっ
て、国の特定安全領域に割り当てる。ディジタルメータ
ー２３６が国の特定安全領域に一旦割り当てられると、
それは地球領域に戻ることができない。ディジタル的に
サインされたキー登録の記録は、製品コード番号、証印
の連続番号および製造の連続番号を含むディジタルメー
ターによって生成される。ディジタル的にサインされた
キー登録の記録は、キー管理システムのコンピュータ２
４に戻される。
【００２３】キー管理システムのコンピュータ２４は、
地球領域アーカイブら地球領域マスター・キーの記録を
検索する。地球領域マスター・キーの記録とキー登録の
記録は、国の特定領域のブラス・プロセス２７２に送ら
れる。それらの記録は検証される。もし問題が見つから
なければ、領域マスター・キーは、国の特定秘密キーで
暗号化される。領域マスター・キーの記録は、国の特定
安全領域の個人キーによって、完全と証明のためにサイ
ンされる。領域マスター・キーの記録は、国の特定領域
アーカイブ２７４に送られる。システム要件 領域アーカイブ 領域アーカイブ７４は、長期間の記憶と領域マスター・
キーの検索をサポートする。これはオーク・ボックス２
０、領域のアーカイブ７４およびブラス・ボックス２１
間の幾つかのトランケーション(trancations) で達成さ
れる。ディジタル・メーターは、製造、分配および顧客
の場所を通過するので、領域マスター・キーの現状は更
新される。あらゆる現状の変化は、領域マスター・キー
の寿命に対してキー・アクティビティ（key activity)
の完全なヒストリーを与えて、領域アーカイブの記録に
記入される。
地球領域アーカイブら地球領域マスター・キーの記録を
検索する。地球領域マスター・キーの記録とキー登録の
記録は、国の特定領域のブラス・プロセス２７２に送ら
れる。それらの記録は検証される。もし問題が見つから
なければ、領域マスター・キーは、国の特定秘密キーで
暗号化される。領域マスター・キーの記録は、国の特定
安全領域の個人キーによって、完全と証明のためにサイ
ンされる。領域マスター・キーの記録は、国の特定領域
アーカイブ２７４に送られる。システム要件 領域アーカイブ 領域アーカイブ７４は、長期間の記憶と領域マスター・
キーの検索をサポートする。これはオーク・ボックス２
０、領域のアーカイブ７４およびブラス・ボックス２１
間の幾つかのトランケーション(trancations) で達成さ
れる。ディジタル・メーターは、製造、分配および顧客
の場所を通過するので、領域マスター・キーの現状は更
新される。あらゆる現状の変化は、領域マスター・キー
の寿命に対してキー・アクティビティ（key activity)
の完全なヒストリーを与えて、領域アーカイブの記録に
記入される。
【００２４】図１４と図１５を参照すると、有効なマス
ター・キーの現状の変化を示すプロセス・フロー図が示
されている。オーク・ボックス２０がキー生成プロセス
を完成させた後、領域マスター・キーおよび情報の暗号
化されたコピーが記号１８０で示す"New"(新規) にセッ
トされる。領域のアーカイブ７４は、データベースを割
当て、情報を書き込む。スチール・ボックス３２とブラ
ス・ボックス２１がキーの取付けプロセスを完成した
後、領域マスター・キーの記録は更新される。もしプロ
セスが成功したならば、領域マスター・キーの現状は、
記号１８２の“Installed"にセットすることができる。
もしキーの分配あるいは設置プロセス中に、あらゆる失
敗がおきるなら、領域マスター・キーの現状は、記号１
８４の"Bad"(悪い) にセットすることができる。これら
の失敗が失われたメッセージ、メッセージ・エラー、領
域マスター・キーをディジタルメーターのメモリに書き
込むエラー、テスト・トークンのチェックにおけるエラ
ー等を含む。ディジタルメーターが特定の郵便領域に対
して証印の連続番号を割り当てられると、ベンダーと郵
便領域マスター・キーの記録は更新される。マスター・
キーの現状は、記号１８６の"Active" (活動的な) にセ
ットされ、検証サービスがそのディジタルメーターに対
して許可される。ディジタルメーターがサービスから取
られると、ベンダーと郵便領域マスター・キーの記録は
更新される。マスター・キーの現状は、記号１８８の"O
bsolete" (旧式の) にセットされる。
ター・キーの現状の変化を示すプロセス・フロー図が示
されている。オーク・ボックス２０がキー生成プロセス
を完成させた後、領域マスター・キーおよび情報の暗号
化されたコピーが記号１８０で示す"New"(新規) にセッ
トされる。領域のアーカイブ７４は、データベースを割
当て、情報を書き込む。スチール・ボックス３２とブラ
ス・ボックス２１がキーの取付けプロセスを完成した
後、領域マスター・キーの記録は更新される。もしプロ
セスが成功したならば、領域マスター・キーの現状は、
記号１８２の“Installed"にセットすることができる。
もしキーの分配あるいは設置プロセス中に、あらゆる失
敗がおきるなら、領域マスター・キーの現状は、記号１
８４の"Bad"(悪い) にセットすることができる。これら
の失敗が失われたメッセージ、メッセージ・エラー、領
域マスター・キーをディジタルメーターのメモリに書き
込むエラー、テスト・トークンのチェックにおけるエラ
ー等を含む。ディジタルメーターが特定の郵便領域に対
して証印の連続番号を割り当てられると、ベンダーと郵
便領域マスター・キーの記録は更新される。マスター・
キーの現状は、記号１８６の"Active" (活動的な) にセ
ットされ、検証サービスがそのディジタルメーターに対
して許可される。ディジタルメーターがサービスから取
られると、ベンダーと郵便領域マスター・キーの記録は
更新される。マスター・キーの現状は、記号１８８の"O
bsolete" (旧式の) にセットされる。
【００２５】キー管理システムのアドレス キー管理システム１０は、物理的な安全ボックスと論理
的な安全領域から成る。これらの要素間を流れるメッセ
ージは、プロセスとオーディター(auditors)がメッセー
ジの関係者を同定することを可能にするために、充分な
情報を含んでいなければならない。論理的な安全領域は
アドレス・オブジェクト(address object)と呼ばれる領
域ＩＤによって決定される。このアドレスは、キー管理
システム１０内の特別な領域の場合を定義する。有効な
領域ＩＤs の例は、ベンダーの安全領域に対するＶＥ、
合衆国の郵便サービスの安全領域の場合に対するＵＳＰ
Ｓ、および英国の王室郵便の安全領域の場合に対するＵ
ＫＲＭである。安全領域は、いろいろな安全ボックスに
および、いろいろなアーカイブにおよぶ。多重の安全領
域は、１つの安全ボックスの物理的な境界内で共存する
ことができる。１つの領域のみが、与えられた時間に安
全ボックス内でアクティブである。領域間で転送可能な
データはない。論理的な安全ボックスの目的は、アドレ
ス・オブジェクトと呼ばれる安全ボックス型によって決
定される。このアドレスは、メッセージのトランズアク
ションに関係する安全ボックス機能を独自に定義する。
オーク・ボックス２０はマスター・キーの発生器であ
る。スチール・ボックス３２はマスター・キーの取付け
ボックスである。ブラス・ボックス２１はトークン検証
ボックスである。ティン・ボックス(Tin Box) ４４は遠
隔トークンの検証ボックスである。
的な安全領域から成る。これらの要素間を流れるメッセ
ージは、プロセスとオーディター(auditors)がメッセー
ジの関係者を同定することを可能にするために、充分な
情報を含んでいなければならない。論理的な安全領域は
アドレス・オブジェクト(address object)と呼ばれる領
域ＩＤによって決定される。このアドレスは、キー管理
システム１０内の特別な領域の場合を定義する。有効な
領域ＩＤs の例は、ベンダーの安全領域に対するＶＥ、
合衆国の郵便サービスの安全領域の場合に対するＵＳＰ
Ｓ、および英国の王室郵便の安全領域の場合に対するＵ
ＫＲＭである。安全領域は、いろいろな安全ボックスに
および、いろいろなアーカイブにおよぶ。多重の安全領
域は、１つの安全ボックスの物理的な境界内で共存する
ことができる。１つの領域のみが、与えられた時間に安
全ボックス内でアクティブである。領域間で転送可能な
データはない。論理的な安全ボックスの目的は、アドレ
ス・オブジェクトと呼ばれる安全ボックス型によって決
定される。このアドレスは、メッセージのトランズアク
ションに関係する安全ボックス機能を独自に定義する。
オーク・ボックス２０はマスター・キーの発生器であ
る。スチール・ボックス３２はマスター・キーの取付け
ボックスである。ブラス・ボックス２１はトークン検証
ボックスである。ティン・ボックス(Tin Box) ４４は遠
隔トークンの検証ボックスである。
【００２６】物理的な安全ボックスのアイデンティフィ
ケーションは、アドレス・オブジェクトと呼ばれる安全
ボックスＩＤによって決定される。このアドレスはキー
管理システム１０内のそのボックスの場合を独自に定義
する。それは、安全ボックス型および数字のアイデンテ
ィファイヤからなる。ＫＭＳの形状データ キー管理システム１０の各要素は、動作しているソフト
ウエアがキー管理システムのサービス・メッセージに対
する有効性および処理要求を決定することを可能にする
幾つかの形状テーブルを維持する。命令テーブルは、ど
んなキー管理システムのサービス・メッセージおよび命
令が、システムの要素によって予期されるかを確認する
ために用いられる。ＫＭＳシステムの命令テーブルは、
システム・レベル上で受け入れられる全ての命令を定義
する。システム・レベルのテーブルのサブセットは、オ
ーク・ボックス２０、ブラス・ボックス２１、スチール
・ボックス３２、作成ボックス２３、ＫＭＳコンピュー
タ２４、キー分配コンピュータ３０およびＰＳＲコンピ
ュータ３４を有するシステムの要素によって格納され
る。ローカル命令テーブルに含まれない、受信されたメ
ッセージは拒絶される。
ケーションは、アドレス・オブジェクトと呼ばれる安全
ボックスＩＤによって決定される。このアドレスはキー
管理システム１０内のそのボックスの場合を独自に定義
する。それは、安全ボックス型および数字のアイデンテ
ィファイヤからなる。ＫＭＳの形状データ キー管理システム１０の各要素は、動作しているソフト
ウエアがキー管理システムのサービス・メッセージに対
する有効性および処理要求を決定することを可能にする
幾つかの形状テーブルを維持する。命令テーブルは、ど
んなキー管理システムのサービス・メッセージおよび命
令が、システムの要素によって予期されるかを確認する
ために用いられる。ＫＭＳシステムの命令テーブルは、
システム・レベル上で受け入れられる全ての命令を定義
する。システム・レベルのテーブルのサブセットは、オ
ーク・ボックス２０、ブラス・ボックス２１、スチール
・ボックス３２、作成ボックス２３、ＫＭＳコンピュー
タ２４、キー分配コンピュータ３０およびＰＳＲコンピ
ュータ３４を有するシステムの要素によって格納され
る。ローカル命令テーブルに含まれない、受信されたメ
ッセージは拒絶される。
【００２７】形状テーブルは、どんなキー管理システム
の領域ＩＤｓがシステムの要素によって認識されるかを
確認するために用いられる。ＫＭＳシステムの形状テー
ブルは、システム・レベル上に受入れられる全ての領域
ＩＤｓを定義する。システム・レベルのテーブルのサブ
セットは、オーク・ボックス２０、ブラス・ボックス２
１、スチール・ボックス３２、作成ボックス２３、ＫＭ
Ｓコンピュータ２４、キー分配コンピュータ３０および
ＰＳＲコンピュータ３４を有するシステムの要素によっ
て格納される。ローカル形状テーブルに含まれない、領
域ＩＤｓに対する受信されたメッセージは拒絶される。
記録テーブルは、どんなキー管理システムの記録がシス
テムの要素によって認識されるかを確認するために用い
られる。ＫＭＳシステムの記録テーブルは、システム・
レベル上で認識される全ての情報記録を定義する。シス
テム・レベルのテーブルのサブセットは、オーク・ボッ
クス２０、ブラス・ボックス２１、スチール・ボックス
３２、作成ボックス２３、ＫＭＳコンピュータ２４、キ
ー分配コンピュータ３０およびＰＳＲコンピュータ３４
を有するシステムの要素によって格納される。ローカル
記録テーブルに含まれない情報を有する受信されたメッ
セージは拒絶される。
の領域ＩＤｓがシステムの要素によって認識されるかを
確認するために用いられる。ＫＭＳシステムの形状テー
ブルは、システム・レベル上に受入れられる全ての領域
ＩＤｓを定義する。システム・レベルのテーブルのサブ
セットは、オーク・ボックス２０、ブラス・ボックス２
１、スチール・ボックス３２、作成ボックス２３、ＫＭ
Ｓコンピュータ２４、キー分配コンピュータ３０および
ＰＳＲコンピュータ３４を有するシステムの要素によっ
て格納される。ローカル形状テーブルに含まれない、領
域ＩＤｓに対する受信されたメッセージは拒絶される。
記録テーブルは、どんなキー管理システムの記録がシス
テムの要素によって認識されるかを確認するために用い
られる。ＫＭＳシステムの記録テーブルは、システム・
レベル上で認識される全ての情報記録を定義する。シス
テム・レベルのテーブルのサブセットは、オーク・ボッ
クス２０、ブラス・ボックス２１、スチール・ボックス
３２、作成ボックス２３、ＫＭＳコンピュータ２４、キ
ー分配コンピュータ３０およびＰＳＲコンピュータ３４
を有するシステムの要素によって格納される。ローカル
記録テーブルに含まれない情報を有する受信されたメッ
セージは拒絶される。
【００２８】情報フロー 領域のオーク・プロセス７０は、領域マスター・キーを
領域のアーカイブ７４に渡す。図１６を参照すると、領
域マスター・キー（Ｋdm) は、それが領域のアーカイブ
７４に格納されるまえに、領域のブラス・プロセス・パ
ブリックキー（Ｐbc）で暗号化される。従って、領域の
オーク・プロセス７０は、領域のアーカイブ７４から領
域マスター・キー（Ｋdm) を解読することはできない。
領域のオーク・プロセス７０は、領域マスター・キーが
領域のアーカイブ７４に格納される前に、領域マスター
・キーの記録を領域のオーク・プロセスの個人的なキー
（Ｐoa）で記号化する。従って、領域のブラス・プロセ
ス７２は、領域マスター・キーの記録が領域のオーク・
プロセス７０によって作られることを信頼することがで
きる。領域のオーク・プロセス７０は、領域マスター・
キー（Ｋdm) を領域のスチール・プロセス７６に渡す。
図１７を参照すると、領域マスター・キー（Ｋdm) は、
それが領域のスチール・プロセス７６に送られる前に、
領域のスチール・プロセスの公的なキーＰ(sc)で暗号化
される。従って、領域のオーク・プロセス７０は、分配
マスター・キーの記録から領域マスター・キー（Ｋdm)
を解読することはできない。領域のオーク・プロセス７
０は、分配マスター・キーの記録を、それが領域のスチ
ール・プロセス７６に送られる前に、領域のオーク・プ
ロセスの個人的なキーＰ'(oa) で記号化する。従って、
領域のスチール・プロセス７６は、分配のマスター・キ
ーの記録が領域のオーク・プロセス７０によって作られ
ることを委ねることができる。
領域のアーカイブ７４に渡す。図１６を参照すると、領
域マスター・キー（Ｋdm) は、それが領域のアーカイブ
７４に格納されるまえに、領域のブラス・プロセス・パ
ブリックキー（Ｐbc）で暗号化される。従って、領域の
オーク・プロセス７０は、領域のアーカイブ７４から領
域マスター・キー（Ｋdm) を解読することはできない。
領域のオーク・プロセス７０は、領域マスター・キーが
領域のアーカイブ７４に格納される前に、領域マスター
・キーの記録を領域のオーク・プロセスの個人的なキー
（Ｐoa）で記号化する。従って、領域のブラス・プロセ
ス７２は、領域マスター・キーの記録が領域のオーク・
プロセス７０によって作られることを信頼することがで
きる。領域のオーク・プロセス７０は、領域マスター・
キー（Ｋdm) を領域のスチール・プロセス７６に渡す。
図１７を参照すると、領域マスター・キー（Ｋdm) は、
それが領域のスチール・プロセス７６に送られる前に、
領域のスチール・プロセスの公的なキーＰ(sc)で暗号化
される。従って、領域のオーク・プロセス７０は、分配
マスター・キーの記録から領域マスター・キー（Ｋdm)
を解読することはできない。領域のオーク・プロセス７
０は、分配マスター・キーの記録を、それが領域のスチ
ール・プロセス７６に送られる前に、領域のオーク・プ
ロセスの個人的なキーＰ'(oa) で記号化する。従って、
領域のスチール・プロセス７６は、分配のマスター・キ
ーの記録が領域のオーク・プロセス７０によって作られ
ることを委ねることができる。
【００２９】図１８を参照すると、キー・フレッシュネ
ス検出のためのプロセス・フローが示されている。キー
は、取付けられるか、あるいは、領域マスター・キー・
フレッシュネスを確実にするために一度だけ取付けられ
るようにされる。領域のアーカイブは、単調に連続した
キーＩＤｓ（ＫＩＤ）を全ての領域マスター・キーに割
り当てる。分離したキーＩＤインデックスは、各々の領
域のＩＤのために維持される。領域のオーク・プロセス
７０と領域のスチール・プロセス７６は、キーＩＤの値
を追跡し、それらを生成キー・メッセージ(Generate Ke
y message)および分配マスター・キー記録(Distribute
Master Key record)において受け取ったキーＩＤの値と
比較する。従って、領域のオーク・プロセス７０と領域
のスチール・プロセス７６は、何時生成キー・メッセー
ジおよび分配マスター・キー記録が再生されたかを検出
することができる。図１９を参照すると、領域のスチー
ル・プロセス７６は、それがＫＭＳコンピュータ２４に
送られる前に、領域のスチール・プロセスの個人的なキ
ーＰ(sa)でマスター・キー取付け記録を符号化する。そ
うすることによって、領域のブラス・プロセス７２は、
マスター・キー取付け記録が領域のスチール・プロセス
７６によって作られることを信頼することができる。
ス検出のためのプロセス・フローが示されている。キー
は、取付けられるか、あるいは、領域マスター・キー・
フレッシュネスを確実にするために一度だけ取付けられ
るようにされる。領域のアーカイブは、単調に連続した
キーＩＤｓ（ＫＩＤ）を全ての領域マスター・キーに割
り当てる。分離したキーＩＤインデックスは、各々の領
域のＩＤのために維持される。領域のオーク・プロセス
７０と領域のスチール・プロセス７６は、キーＩＤの値
を追跡し、それらを生成キー・メッセージ(Generate Ke
y message)および分配マスター・キー記録(Distribute
Master Key record)において受け取ったキーＩＤの値と
比較する。従って、領域のオーク・プロセス７０と領域
のスチール・プロセス７６は、何時生成キー・メッセー
ジおよび分配マスター・キー記録が再生されたかを検出
することができる。図１９を参照すると、領域のスチー
ル・プロセス７６は、それがＫＭＳコンピュータ２４に
送られる前に、領域のスチール・プロセスの個人的なキ
ーＰ(sa)でマスター・キー取付け記録を符号化する。そ
うすることによって、領域のブラス・プロセス７２は、
マスター・キー取付け記録が領域のスチール・プロセス
７６によって作られることを信頼することができる。
【００３０】キー登録の時に、デジタル・メーターは、
ベンダーのマスター・キーＫ( VM)と郵便のマスター・
キーＫ( PM) の両方でキー登録の記録を符号化する。従
って、郵便およびベンダーの領域ブラス・プロセス７２
は、領域のアーカイブ記録における領域マスター・キー
を領域のブラス・プロセスの秘密ＤＥＳキーで暗号化す
る。その結果、領域のブラス・プロセス７２は、他の領
域のブラス・プロセスがキーイングの資料を読み取らな
いかもしれないことを信頼することができる。領域のブ
ラス・プロセス７２は領域マスター・キーの記録を領域
のブラス・プロセスの秘密ＤＥＳキーで、それを領域の
アーカイブ７４に送る前に、符号化する。従って、領域
のブラス・プロセス７２は、領域マスター・キーの記録
が領域のブラス・プロセス７２によって変更されただけ
であることを信頼することができる。ブロス・プロセス
のメッセージに対するメーターの例は図２０に示され
る。追跡記録 キー管理システム１０は、領域マスター・キーの寿命に
おける時間イベントの追跡記録を維持する。これらのイ
ベントは、何時アクションがキー管理システムによって
取られたかを示す。リスト化された時間イベントは、成
功した領域マスター・キーの使用のために増加していな
ければならない。前のイベントに先立つ時間イベントを
伴うシステムのメッセージは拒否されるであろう。キー
管理システムのキー登録時間に先立つ日付を伴って受け
た検証要求は拒否されるであろう。
ベンダーのマスター・キーＫ( VM)と郵便のマスター・
キーＫ( PM) の両方でキー登録の記録を符号化する。従
って、郵便およびベンダーの領域ブラス・プロセス７２
は、領域のアーカイブ記録における領域マスター・キー
を領域のブラス・プロセスの秘密ＤＥＳキーで暗号化す
る。その結果、領域のブラス・プロセス７２は、他の領
域のブラス・プロセスがキーイングの資料を読み取らな
いかもしれないことを信頼することができる。領域のブ
ラス・プロセス７２は領域マスター・キーの記録を領域
のブラス・プロセスの秘密ＤＥＳキーで、それを領域の
アーカイブ７４に送る前に、符号化する。従って、領域
のブラス・プロセス７２は、領域マスター・キーの記録
が領域のブラス・プロセス７２によって変更されただけ
であることを信頼することができる。ブロス・プロセス
のメッセージに対するメーターの例は図２０に示され
る。追跡記録 キー管理システム１０は、領域マスター・キーの寿命に
おける時間イベントの追跡記録を維持する。これらのイ
ベントは、何時アクションがキー管理システムによって
取られたかを示す。リスト化された時間イベントは、成
功した領域マスター・キーの使用のために増加していな
ければならない。前のイベントに先立つ時間イベントを
伴うシステムのメッセージは拒否されるであろう。キー
管理システムのキー登録時間に先立つ日付を伴って受け
た検証要求は拒否されるであろう。
【００３１】本発明の好適な実施の形態において、ＫＭ
Ｓコンピュータ２４は、要求キー命令がキー分配コンピ
ュータ３０から受け取られる時であるＫＭＳ要求時間を
記録する。ＰＳＲコンピュータ３４は、取付けキー命令
がスチール・ボックス３２に分配される時であるＰＳＲ
取付け時間を記録する。ＫＭＳコンピュータ２４は、取
付けキー検証命令がキー分配コンピュータ３０から受け
取られた時であるＫＭＳ取付け時間を記録する。ディジ
タル・メーター３６はレジスター証印命令が通信ポート
或いはユーザー・インターフェースから受け取られた時
であるメーター登録日付を記録する。ＫＭＳコンピュー
タ２４は、レジスター証印検証命令がディジタル・メー
ターから受け取られた時であるＫＭＳキー登録時間を記
録する。他の実施の形態においては、オーク・ボックス
２０は、発生キー命令がＫＭＳコンピュータ２４から受
け取られたローカル時間を記録する。スチール・ボック
ス３２は、取付けキー命令が受け取られたローカル時間
を記録する。ブラス・ボックス２１は、キー検証要求が
キー管理システムのコンピュータ２４から受け取られた
ローカル時間を記録する。エラーの取扱い キー管理システム１０は、キー管理システムのサービス
・メッセージに対するエラー検出のセットと報告メカニ
ズムを与える。問題は、メッセージが用意され、通信ラ
イン上に送られ、受信され、且つ受信パーティーによっ
て処理される時に発生する。システムにおいてエラーが
発生すると、命令源が通知され、エントリーがシステム
・エラー・ログに作られる。
Ｓコンピュータ２４は、要求キー命令がキー分配コンピ
ュータ３０から受け取られる時であるＫＭＳ要求時間を
記録する。ＰＳＲコンピュータ３４は、取付けキー命令
がスチール・ボックス３２に分配される時であるＰＳＲ
取付け時間を記録する。ＫＭＳコンピュータ２４は、取
付けキー検証命令がキー分配コンピュータ３０から受け
取られた時であるＫＭＳ取付け時間を記録する。ディジ
タル・メーター３６はレジスター証印命令が通信ポート
或いはユーザー・インターフェースから受け取られた時
であるメーター登録日付を記録する。ＫＭＳコンピュー
タ２４は、レジスター証印検証命令がディジタル・メー
ターから受け取られた時であるＫＭＳキー登録時間を記
録する。他の実施の形態においては、オーク・ボックス
２０は、発生キー命令がＫＭＳコンピュータ２４から受
け取られたローカル時間を記録する。スチール・ボック
ス３２は、取付けキー命令が受け取られたローカル時間
を記録する。ブラス・ボックス２１は、キー検証要求が
キー管理システムのコンピュータ２４から受け取られた
ローカル時間を記録する。エラーの取扱い キー管理システム１０は、キー管理システムのサービス
・メッセージに対するエラー検出のセットと報告メカニ
ズムを与える。問題は、メッセージが用意され、通信ラ
イン上に送られ、受信され、且つ受信パーティーによっ
て処理される時に発生する。システムにおいてエラーが
発生すると、命令源が通知され、エントリーがシステム
・エラー・ログに作られる。
【００３２】図２１を参照すると、エラー取扱いの概括
を示すブロック図が示されている。システムにおけるエ
ラーは３つの異なるレベルで検出される。エラーの取扱
いの第１のレベルはＰＢ２３２プロトコール内で実現さ
れる。このプロトコールはＳＴＸとＥＴＸの制御文字の
使用によって、メッセージのフレーミングに対して与え
る。メッセージの識別は、予め定義されたクラス・コー
ドの使用によって与えられる。メッセージの完全性は、
エラー検出コードの使用によって与えられる。もし、受
け取ったメッセージがこれらのメカニズムに従うなら、
レシーバーは正の肯定応答制御文字(a positive Acknow
ledgement control character)を送る。もし、そうでな
いなら、レシーバーは否定応答制御文字(a Non-Acknowl
edgementcontrol character) を送る。送り要素はメッ
セージの送信を再び試みようとするか、他の正しいアク
ションを取る。ＰＢ２３２のエラー取扱いメカニズムは
従来の形式である。エラー取扱いの第２のレベルは、キ
ー管理システム１０の命令取扱プロセスによって具現化
される。これらは、受け取った命令を命令テーブルにお
いて定義された予期された命令のセットと比較する。命
令フィールドが検証される。予期されたパラメータの数
がチェックされる。個々のパラメータのシンタックスが
チェックされる。もし、命令の中にエラーが見つかった
ら、命令エラー・メッセージが命令源に戻される。
を示すブロック図が示されている。システムにおけるエ
ラーは３つの異なるレベルで検出される。エラーの取扱
いの第１のレベルはＰＢ２３２プロトコール内で実現さ
れる。このプロトコールはＳＴＸとＥＴＸの制御文字の
使用によって、メッセージのフレーミングに対して与え
る。メッセージの識別は、予め定義されたクラス・コー
ドの使用によって与えられる。メッセージの完全性は、
エラー検出コードの使用によって与えられる。もし、受
け取ったメッセージがこれらのメカニズムに従うなら、
レシーバーは正の肯定応答制御文字(a positive Acknow
ledgement control character)を送る。もし、そうでな
いなら、レシーバーは否定応答制御文字(a Non-Acknowl
edgementcontrol character) を送る。送り要素はメッ
セージの送信を再び試みようとするか、他の正しいアク
ションを取る。ＰＢ２３２のエラー取扱いメカニズムは
従来の形式である。エラー取扱いの第２のレベルは、キ
ー管理システム１０の命令取扱プロセスによって具現化
される。これらは、受け取った命令を命令テーブルにお
いて定義された予期された命令のセットと比較する。命
令フィールドが検証される。予期されたパラメータの数
がチェックされる。個々のパラメータのシンタックスが
チェックされる。もし、命令の中にエラーが見つかった
ら、命令エラー・メッセージが命令源に戻される。
【００３３】エラー取扱いの第３のレベルは、キー管理
システム１０の命令取扱プロセスによって具現化され
る。これらは、命令におけるパラメータを構成テーブル
に定義された予期されたパラメータのセットに対して比
較する。個々のパラメータは、構成テーブルに対してチ
ェックされる。いろいろなパラメータの関連が構成テー
ブルに対してチェックされる。ハードウエア資源とデー
タベース記録の利用可能性がチェックされる。メッセー
ジ要素の記号と暗号化されたメッセージ要素の有効性が
チェックされる。もし、命令に、あるいは命令の処理中
にエラーが見つかったら、命令応答メッセージが応答コ
ードと共に戻される。もし、応答の中にエラーが見つか
ったら、命令応答エラー・メッセージが応答コードと共
に戻される。初期化プロセス 以下のパラグラフは図２２と図２３に示されたキー管理
システム１０の安全ボックス初期化プロセスを概要を示
す。前述のように、本発明の好適な実施の形態に、４つ
のキー管理システムの安全ボックス型がある。作成ボッ
クス２３は、キー管理システムと 安全ボックスの初期
化に対して責任がある。オーク・ボックス２０は、領域
マスター・キーの発生に対して責任がある。スチール・
ボックス３２は、領域マスター・キーの取付けに対して
責任がある。ブラス・ボックス２１は領域マスター・キ
ーの登録およびトークン検証に対して責任がある。他の
実施の形態にでは、ティン・ボックスは遠隔トークン検
証ボックスである。
システム１０の命令取扱プロセスによって具現化され
る。これらは、命令におけるパラメータを構成テーブル
に定義された予期されたパラメータのセットに対して比
較する。個々のパラメータは、構成テーブルに対してチ
ェックされる。いろいろなパラメータの関連が構成テー
ブルに対してチェックされる。ハードウエア資源とデー
タベース記録の利用可能性がチェックされる。メッセー
ジ要素の記号と暗号化されたメッセージ要素の有効性が
チェックされる。もし、命令に、あるいは命令の処理中
にエラーが見つかったら、命令応答メッセージが応答コ
ードと共に戻される。もし、応答の中にエラーが見つか
ったら、命令応答エラー・メッセージが応答コードと共
に戻される。初期化プロセス 以下のパラグラフは図２２と図２３に示されたキー管理
システム１０の安全ボックス初期化プロセスを概要を示
す。前述のように、本発明の好適な実施の形態に、４つ
のキー管理システムの安全ボックス型がある。作成ボッ
クス２３は、キー管理システムと 安全ボックスの初期
化に対して責任がある。オーク・ボックス２０は、領域
マスター・キーの発生に対して責任がある。スチール・
ボックス３２は、領域マスター・キーの取付けに対して
責任がある。ブラス・ボックス２１は領域マスター・キ
ーの登録およびトークン検証に対して責任がある。他の
実施の形態にでは、ティン・ボックスは遠隔トークン検
証ボックスである。
【００３４】図２２を参照すると、第１の作成ボックス
２３は初期化されなけばならない。作成ボックスの動作
ソフトウエアはロードされ、テストされる。安全ボック
スＩＤはＭ００００００００に初期化される。作成ボッ
クス２３がターンオンすると、安全ボックスＩＤが問い
合わされる。もし、それがＭ００００００００にセット
されていると、作成ボックス２３はＫＭＳコンピュータ
２４からのセット第１安全ボックスＩＤメッセージを待
つ。ＫＭＳコンピュータ２４は、第１の作成ボックス２
３を命令して、安全ボックスをＭ００００００００にセ
ットするようにする。第１の作成ボックス２３はメッセ
ージを受取り、チェックする。もし、エラーが見つから
なければ、第１の作成ボックス２３は動作コンビネーシ
ョン１０１と動作シェア・キー１０２の集合を生成す
る。動作シェア・キー１０２は、取外し可能な媒体に書
き込まれる。次に、第１の作成ボックス２３は、２つの
ＲＳＡキーの対、即ち領域キー・セットの秘密性のため
のものと領域キー・セットの認証のためのものを生成す
る。これらのキーは、領域シェアに入れられ、取外し可
能な媒体に書き込まれる。これらのキーは、それらがＫ
ＭＳコンピュータ２４に送られ、アーカイブに、あるい
は取外し可能な媒体に書き込まれる前に、領域キー・セ
ットを暗号化し、記号化するために用いられる。第１の
作成ボックス２３は安全ボックスの認証キーのセットを
生成する。ＲＳＡキーの対は、各ボックス型、即ち、作
成、オーク、スチールおよびブラスのために生成され
る。各ボックス型のパブリックキーは取外し可能な媒体
に書き込まれる。キーはソフトウエア技術によって安全
ボックスの動作ソフトウエアに書き込まれなければなら
ない。全ての動作シェアと認証キーが首尾よく書き込ま
れた後に、安全ボックスＩＤはＭ００００００００にセ
ットされるであろう。
２３は初期化されなけばならない。作成ボックスの動作
ソフトウエアはロードされ、テストされる。安全ボック
スＩＤはＭ００００００００に初期化される。作成ボッ
クス２３がターンオンすると、安全ボックスＩＤが問い
合わされる。もし、それがＭ００００００００にセット
されていると、作成ボックス２３はＫＭＳコンピュータ
２４からのセット第１安全ボックスＩＤメッセージを待
つ。ＫＭＳコンピュータ２４は、第１の作成ボックス２
３を命令して、安全ボックスをＭ００００００００にセ
ットするようにする。第１の作成ボックス２３はメッセ
ージを受取り、チェックする。もし、エラーが見つから
なければ、第１の作成ボックス２３は動作コンビネーシ
ョン１０１と動作シェア・キー１０２の集合を生成す
る。動作シェア・キー１０２は、取外し可能な媒体に書
き込まれる。次に、第１の作成ボックス２３は、２つの
ＲＳＡキーの対、即ち領域キー・セットの秘密性のため
のものと領域キー・セットの認証のためのものを生成す
る。これらのキーは、領域シェアに入れられ、取外し可
能な媒体に書き込まれる。これらのキーは、それらがＫ
ＭＳコンピュータ２４に送られ、アーカイブに、あるい
は取外し可能な媒体に書き込まれる前に、領域キー・セ
ットを暗号化し、記号化するために用いられる。第１の
作成ボックス２３は安全ボックスの認証キーのセットを
生成する。ＲＳＡキーの対は、各ボックス型、即ち、作
成、オーク、スチールおよびブラスのために生成され
る。各ボックス型のパブリックキーは取外し可能な媒体
に書き込まれる。キーはソフトウエア技術によって安全
ボックスの動作ソフトウエアに書き込まれなければなら
ない。全ての動作シェアと認証キーが首尾よく書き込ま
れた後に、安全ボックスＩＤはＭ００００００００にセ
ットされるであろう。
【００３５】ＫＭＳコンピュータ２４は作成ボックスを
領域を作るたように要求する。作成ボックス２３は内部
メモリに領域ＩＤを確立し、領域キー・セット１０３の
秘密キーで暗号化され、領域キー・セット１０３の認証
キーで符号化される、要求された領域キー１１０を生成
する。。暗号化され、記号化された領域キーは、アーカ
イブおよび／または取外し可能な媒体に書き込まれる。
追加の作成ボックス２３は、ソース作成ボックスによっ
て初期化される。ソース作成ボックスはすでに初期化さ
れているあらゆる作成ボックスである。作成ボックスの
動作ソフトウエアは、各々の追加の作成ボックス２３に
ロードされ、テストされる。安全ボックスＩＤはＭ００
００００００にセットされる。作成ボックス２３がまず
ターンオンすると、それは安全ボックスＩＤを問い合わ
せる。もし、それがＭ００００００００であるなら、作
成ボックス２３はソース作成ボックスからのセット安全
ボックスＩＤのメッセージを待つ。ＫＭＳコンピュータ
２４はソース作成ボックス２３を命令して、各々の追加
の作成ボックス２３を初期化する。ソース作成ボックス
は、次の作成安全ボックスＩＤを割当て、作成ボックス
・プライベート・スタートアップ認証キーでメッセージ
(the ManufacturingBox Private Startup Authenticati
on Key)を記号化し、それを作成ボックス２３に送る。
作成ボックス２３は安全ボックスＩＤを記憶し、作成ボ
ックス・スタートアップ秘密キーを生成する。安全ボッ
クスＩＤとパブリック・スタートアップ秘密キーはソー
ス作成ボックスに送り戻され、作成ボックス・プライベ
ート・スタートアップ認証キーで記号化される。ＫＭＳ
コンピュータ２４はソース作成ボックスを命令して、作
成ボックスのために領域作成プロセスを作る。要求され
た領域キーの要素は、スタートアップ秘密キーを用いて
作成ボックスに渡される。
領域を作るたように要求する。作成ボックス２３は内部
メモリに領域ＩＤを確立し、領域キー・セット１０３の
秘密キーで暗号化され、領域キー・セット１０３の認証
キーで符号化される、要求された領域キー１１０を生成
する。。暗号化され、記号化された領域キーは、アーカ
イブおよび／または取外し可能な媒体に書き込まれる。
追加の作成ボックス２３は、ソース作成ボックスによっ
て初期化される。ソース作成ボックスはすでに初期化さ
れているあらゆる作成ボックスである。作成ボックスの
動作ソフトウエアは、各々の追加の作成ボックス２３に
ロードされ、テストされる。安全ボックスＩＤはＭ００
００００００にセットされる。作成ボックス２３がまず
ターンオンすると、それは安全ボックスＩＤを問い合わ
せる。もし、それがＭ００００００００であるなら、作
成ボックス２３はソース作成ボックスからのセット安全
ボックスＩＤのメッセージを待つ。ＫＭＳコンピュータ
２４はソース作成ボックス２３を命令して、各々の追加
の作成ボックス２３を初期化する。ソース作成ボックス
は、次の作成安全ボックスＩＤを割当て、作成ボックス
・プライベート・スタートアップ認証キーでメッセージ
(the ManufacturingBox Private Startup Authenticati
on Key)を記号化し、それを作成ボックス２３に送る。
作成ボックス２３は安全ボックスＩＤを記憶し、作成ボ
ックス・スタートアップ秘密キーを生成する。安全ボッ
クスＩＤとパブリック・スタートアップ秘密キーはソー
ス作成ボックスに送り戻され、作成ボックス・プライベ
ート・スタートアップ認証キーで記号化される。ＫＭＳ
コンピュータ２４はソース作成ボックスを命令して、作
成ボックスのために領域作成プロセスを作る。要求され
た領域キーの要素は、スタートアップ秘密キーを用いて
作成ボックスに渡される。
【００３６】領域は作成ボックス２３に追加される如何
なる時にも、他の初期化された作成ボックスは、この追
加領域を反映するために更新されなければならない。好
適な実施の形態では、全ての初期化された作成ボックス
は、同一のキーデータで構成される。オーク・ボックス
の初期化に対して、オーク・ボックスの動作ソフトウエ
アがロードされ、テストされる。安全ボックスＩＤはＯ
００００００００にセットされる。オークボックス２０
がまずターンオンすると、それは安全ボックスＩＤを問
い合わせる。もし、それがＯ００００００００であるな
ら、オーク・ボックス２０は作成ボックス２３からのセ
ット安全ボックスＩＤメッセージを待つ。ＫＭＳコンピ
ュータ２４は作成ボックス２３を命令してオーク・ボッ
クス２０を初期化する。作成ボックス２３は、次のオー
ク安全ボックスＩＤを割り当てて、プライベート・オー
ク・ボックス・スタートアップ認証キーでメッセージを
記号化し、それをオーク・ボックス２０に送る。オーク
・ボックス２０は安全ボックスＩＤを記憶し、オーク・
ボックス・スタートアップ秘密キーを生成する。安全ボ
ックスＩＤとパブリック・スタートアップ・秘密キーは
作成ボックスに送り戻され、オーク・ボックス・パブリ
ック・スタートアップ認証キーで記号化される。ＫＭＳ
コンピュータ２４は作成ボックス２３を命令して、オー
ク・ボックス２０のための領域オーク・プロセスを作
る。要求された領域キー要素はスタートアップ秘密キー
を用いてオーク・ボックス２０に渡される。このプロセ
スは、オーク・ボックス２０が１つの領域に対して領域
オーク・プロセス７０を具現化することを可能にする。
このプロセスは、特定のオーク・ボックスに対して要求
された全ての領域に対して繰り返される。
なる時にも、他の初期化された作成ボックスは、この追
加領域を反映するために更新されなければならない。好
適な実施の形態では、全ての初期化された作成ボックス
は、同一のキーデータで構成される。オーク・ボックス
の初期化に対して、オーク・ボックスの動作ソフトウエ
アがロードされ、テストされる。安全ボックスＩＤはＯ
００００００００にセットされる。オークボックス２０
がまずターンオンすると、それは安全ボックスＩＤを問
い合わせる。もし、それがＯ００００００００であるな
ら、オーク・ボックス２０は作成ボックス２３からのセ
ット安全ボックスＩＤメッセージを待つ。ＫＭＳコンピ
ュータ２４は作成ボックス２３を命令してオーク・ボッ
クス２０を初期化する。作成ボックス２３は、次のオー
ク安全ボックスＩＤを割り当てて、プライベート・オー
ク・ボックス・スタートアップ認証キーでメッセージを
記号化し、それをオーク・ボックス２０に送る。オーク
・ボックス２０は安全ボックスＩＤを記憶し、オーク・
ボックス・スタートアップ秘密キーを生成する。安全ボ
ックスＩＤとパブリック・スタートアップ・秘密キーは
作成ボックスに送り戻され、オーク・ボックス・パブリ
ック・スタートアップ認証キーで記号化される。ＫＭＳ
コンピュータ２４は作成ボックス２３を命令して、オー
ク・ボックス２０のための領域オーク・プロセスを作
る。要求された領域キー要素はスタートアップ秘密キー
を用いてオーク・ボックス２０に渡される。このプロセ
スは、オーク・ボックス２０が１つの領域に対して領域
オーク・プロセス７０を具現化することを可能にする。
このプロセスは、特定のオーク・ボックスに対して要求
された全ての領域に対して繰り返される。
【００３７】スチール・ボックスの初期化に対して、ス
チール・ボックスの動作ソフトウエアがロードされ、テ
ストされる。スチール・ボックスＩＤはＳ００００００
００にセットされる。スチール・ボックス３２がまずタ
ーンオンすると、それは安全ボックスＩＤを問い合わせ
る。もし、それがＳ００００００００であるなら、スチ
ール・ボックス３２は作成ボックス２３からのセット安
全ボックスＩＤのメッセージを待つ。ＫＭＳコンピュー
タ２４は作成ボックス２３を命令して、スチール・ボッ
クス３２を初期化する。作成ボックス２３は次のスチー
ル安全ボックスＩＤを割当て、スチール・ボックス・プ
ライベート・スタートアップ認証キーでメッセージを記
号化し、それをスチール・ボックス３２へ送る。スチー
ル・ボックス３２は安全ボックスＩＤを記憶し、スチー
ル・ボックス・スタートアップ秘密キーを生成する。安
全ボックスＩＤとパブリック・スタートアップ秘密キー
は、スチール・ボックス・パブリック・スタートアップ
認証キーで記号化される。ＫＭＳコンピュータ２４は作
成ボックス２３を命令して、スチール・ボックス３２の
ための領域スチール・プロセス７６を作る。要求された
領域キーの要素はスタートアップ秘密キーを用いてスチ
ール・ボックス３２に渡される。このプロセスはスチー
ル・ボックス３２が１つの領域に対して領域スチール・
プロセス７６を具現化することを可能にする。このプロ
セスは特定のスチール・ボックスに対して要求された全
ての領域に対して繰り返される。
チール・ボックスの動作ソフトウエアがロードされ、テ
ストされる。スチール・ボックスＩＤはＳ００００００
００にセットされる。スチール・ボックス３２がまずタ
ーンオンすると、それは安全ボックスＩＤを問い合わせ
る。もし、それがＳ００００００００であるなら、スチ
ール・ボックス３２は作成ボックス２３からのセット安
全ボックスＩＤのメッセージを待つ。ＫＭＳコンピュー
タ２４は作成ボックス２３を命令して、スチール・ボッ
クス３２を初期化する。作成ボックス２３は次のスチー
ル安全ボックスＩＤを割当て、スチール・ボックス・プ
ライベート・スタートアップ認証キーでメッセージを記
号化し、それをスチール・ボックス３２へ送る。スチー
ル・ボックス３２は安全ボックスＩＤを記憶し、スチー
ル・ボックス・スタートアップ秘密キーを生成する。安
全ボックスＩＤとパブリック・スタートアップ秘密キー
は、スチール・ボックス・パブリック・スタートアップ
認証キーで記号化される。ＫＭＳコンピュータ２４は作
成ボックス２３を命令して、スチール・ボックス３２の
ための領域スチール・プロセス７６を作る。要求された
領域キーの要素はスタートアップ秘密キーを用いてスチ
ール・ボックス３２に渡される。このプロセスはスチー
ル・ボックス３２が１つの領域に対して領域スチール・
プロセス７６を具現化することを可能にする。このプロ
セスは特定のスチール・ボックスに対して要求された全
ての領域に対して繰り返される。
【００３８】ブラス・ボックスの初期化に対して、ブラ
ス・ボックスの動作ソフトウエアがロードされ、テスト
される。ブラス・ボックスＩＤはＢ００００００００に
セットされる。ブラズ・ボックス２１がまずターンオン
すると、それは安全ボックスＩＤを問い合わせる。も
し、それがＢ００００００００であるなら、ブラス・ボ
ックス２１は作成ボックス２３からのセット安全ボック
スＩＤのメッセージを待つ。ＫＭＳコンピュータ２４は
作成ボックス２３を命令して、ブラス・ボックス２１を
初期化する。作成ボックス２３は次のブラス安全ボック
スＩＤを割当て、ブラス・ボックス・プライベート・ス
タートアップ認証キーでメッセージを記号化し、それを
ブラス・ボックス２１へ送る。ブラス・ボックス２１は
安全ボックスＩＤを記憶し、ブラス・ボックス・スター
トアップ秘密キーを生成する。安全ボックスＩＤとパブ
リック・スタートアップ秘密キーは、ブラス・ボックス
・パブリック・スタートアップ認証キーで記号化され
る。ＫＭＳコンピュータ２４は作成ボックス２３を命令
して、ブラス・ボックス２１のための領域ブラス・プロ
セスを作る。要求された領域キーの要素はスタートアッ
プ秘密キーを用いてブラス・ボックス２１に渡される。
このプロセスはブラス・ボックス２１が１つの領域に対
して領域ブラス・プロセスを具現化することを可能にす
る。このプロセスは特定のブラス・ボックスに対して要
求された全ての領域に対して繰り返される。
ス・ボックスの動作ソフトウエアがロードされ、テスト
される。ブラス・ボックスＩＤはＢ００００００００に
セットされる。ブラズ・ボックス２１がまずターンオン
すると、それは安全ボックスＩＤを問い合わせる。も
し、それがＢ００００００００であるなら、ブラス・ボ
ックス２１は作成ボックス２３からのセット安全ボック
スＩＤのメッセージを待つ。ＫＭＳコンピュータ２４は
作成ボックス２３を命令して、ブラス・ボックス２１を
初期化する。作成ボックス２３は次のブラス安全ボック
スＩＤを割当て、ブラス・ボックス・プライベート・ス
タートアップ認証キーでメッセージを記号化し、それを
ブラス・ボックス２１へ送る。ブラス・ボックス２１は
安全ボックスＩＤを記憶し、ブラス・ボックス・スター
トアップ秘密キーを生成する。安全ボックスＩＤとパブ
リック・スタートアップ秘密キーは、ブラス・ボックス
・パブリック・スタートアップ認証キーで記号化され
る。ＫＭＳコンピュータ２４は作成ボックス２３を命令
して、ブラス・ボックス２１のための領域ブラス・プロ
セスを作る。要求された領域キーの要素はスタートアッ
プ秘密キーを用いてブラス・ボックス２１に渡される。
このプロセスはブラス・ボックス２１が１つの領域に対
して領域ブラス・プロセスを具現化することを可能にす
る。このプロセスは特定のブラス・ボックスに対して要
求された全ての領域に対して繰り返される。
【００３９】生成、取付けおよび登録プロセス 図２４−図２７を参照すると、キー管理システム１０の
領域マスター・キー取付けプロセスの概要が示されてい
る。ベンダーとあらゆる郵便の領域間に差異は存在しな
い。領域マスター・キーの全セットをディジタルメータ
ー３６に首尾よく取り付けるために、動作のセットはベ
ンダー領域に対してランされ、動作の他のセットは選択
された郵便領域に対してセットされる。図２４、図２９
および図３０を参照すると、領域マスター・キー要求
は、作成プロセスの作成中に、キー分配コンピュータ３
０から来る。符号３００で、要求はキー分配コンピュー
タ３０からメッセージＭ１０におけるＫＭＳコンピュー
タ２４へスチール・ボックス３２の識別番号をともなっ
て送られる。ＫＭＳコンピュータ２４は領域に対して唯
一のキーＩＤを生成する領域アーカイブから符号３０２
でキーＩＤを要求する。符号３０４で、領域アーカイブ
７４はメッセージＭ１０’においてＭＫＳコンピュータ
２４へキーＩＤ応答を送る。ＫＭＳコンピュータ２４は
追跡記録のためのローカル時間を記録し、符号３０６
で、オーク・ボックス２０へ発生キーのメッセージＭＩ
１における情報を送る。オーク・ボックス２０は要求を
チェックして、領域の有効性、領域に対するスチール・
ボックスＩＤの有効性、およびキーＩＤがこの領域に対
して処理した最後のものより大きいかどうかをきめる。
もし、チェックのいずれもが誤りであることを証明する
なら、オーク・ボックス２０は誤りのメッセージをＫＭ
Ｓコンピュータ２４に戻す。もし、そのチェックが正し
ければ、オーク・ボックス２４は領域マスター・キーと
テスト・トークンのセットを生成する。符号３０８で、
オーク・ボックス２０は領域マスター・キーの記録をメ
ッセージＭＩ２におけるＫＭＳコンピュータに渡す。符
号３１０で、ＫＭＳコンピュータ２４は、領域マスター
・キー記録をメッセージＭＩ３における領域アーカイブ
７４に送る。領域アーカイブ７４はデータベースに領域
マスター・キー記録を記憶し、応答が符号３１２におけ
るＫＭＳコンピュータに送られる。符号３１４で、ＫＭ
Ｓコンピュータ２４は、符号３１６でＫＭＳコンピュー
タ２４へ発生応答メッセージを送るオーク・ボックス２
０へ応答を送る。符号３１８で、ＭＫＳコンピュータ２
４は取付けキー記録を要求応答メッセージＭＩ４におけ
るキー分配コンピュータ３０へ送る。
領域マスター・キー取付けプロセスの概要が示されてい
る。ベンダーとあらゆる郵便の領域間に差異は存在しな
い。領域マスター・キーの全セットをディジタルメータ
ー３６に首尾よく取り付けるために、動作のセットはベ
ンダー領域に対してランされ、動作の他のセットは選択
された郵便領域に対してセットされる。図２４、図２９
および図３０を参照すると、領域マスター・キー要求
は、作成プロセスの作成中に、キー分配コンピュータ３
０から来る。符号３００で、要求はキー分配コンピュー
タ３０からメッセージＭ１０におけるＫＭＳコンピュー
タ２４へスチール・ボックス３２の識別番号をともなっ
て送られる。ＫＭＳコンピュータ２４は領域に対して唯
一のキーＩＤを生成する領域アーカイブから符号３０２
でキーＩＤを要求する。符号３０４で、領域アーカイブ
７４はメッセージＭ１０’においてＭＫＳコンピュータ
２４へキーＩＤ応答を送る。ＫＭＳコンピュータ２４は
追跡記録のためのローカル時間を記録し、符号３０６
で、オーク・ボックス２０へ発生キーのメッセージＭＩ
１における情報を送る。オーク・ボックス２０は要求を
チェックして、領域の有効性、領域に対するスチール・
ボックスＩＤの有効性、およびキーＩＤがこの領域に対
して処理した最後のものより大きいかどうかをきめる。
もし、チェックのいずれもが誤りであることを証明する
なら、オーク・ボックス２０は誤りのメッセージをＫＭ
Ｓコンピュータ２４に戻す。もし、そのチェックが正し
ければ、オーク・ボックス２４は領域マスター・キーと
テスト・トークンのセットを生成する。符号３０８で、
オーク・ボックス２０は領域マスター・キーの記録をメ
ッセージＭＩ２におけるＫＭＳコンピュータに渡す。符
号３１０で、ＫＭＳコンピュータ２４は、領域マスター
・キー記録をメッセージＭＩ３における領域アーカイブ
７４に送る。領域アーカイブ７４はデータベースに領域
マスター・キー記録を記憶し、応答が符号３１２におけ
るＫＭＳコンピュータに送られる。符号３１４で、ＫＭ
Ｓコンピュータ２４は、符号３１６でＫＭＳコンピュー
タ２４へ発生応答メッセージを送るオーク・ボックス２
０へ応答を送る。符号３１８で、ＭＫＳコンピュータ２
４は取付けキー記録を要求応答メッセージＭＩ４におけ
るキー分配コンピュータ３０へ送る。
【００４０】図２５を参照すると、ディジタル・メータ
ー３６が作成ライン上いあると、ＰＳＲコンピュータ３
４は符号３３０でキー分配コンピュータ３０からの取付
け領域キーの記録を要求する。符号３３０で、キー分配
コンピュータ３０は取付け領域キーの記録を、符号３３
４のスチール・ボックス３２へさらに送られるメッセー
ジＭＩ４’におけるＰＳＲコンピュータへ送る。スチー
ル・ボックス３２は情報のためのディジタル・メーター
３６を問い合わせ、符号３３６で、メッセージＭＩ５の
領域マスター・キーをディジタル・メーター３６に送
る。ディジタル・メーターがキーをインストールし、チ
ェックして、メーター・テスト・トークンのセットのた
めに、ディジタル・メーターを問い合わせるスチール・
ボックス３２にステータスを戻す。符号３３８で、メー
ター・テスト・トークンは、メッセージＭＩ６におい
て、オーク・ボックス２０から受け取ったものに対して
メーター・テスト・トークンをチェックするスチール・
ボックス３２に戻される。従って、スチール・ボックス
３２は、オーク・ボックス２４によって生成された領域
マスター・キーがディジタル・メーター３６に取付けら
れたキーと同じであることをチェックする。符号３４０
で、スチール・ボックス３２は取付けステータスとメッ
セージＭＩ７における情報をＰＳＲコンピュータおよび
キー分配コンピュータ３０を介してキー管理コンピュー
タ２４に送る。キー管理コンピュータ２４は領域アーカ
イブからの領域マスター・キー記録を検索し、ローカル
時間のスタンプを調べ、符号３４２で、メッセージＭＩ
８におけるブラス・ボックス２１に情報を送る。ブラス
・ボックス２１は、領域アーカイブ７４からの領域マス
ター・キーの記録からのテスト・トークンを生成する。
これらは、メーター・テストのトークンと比較される。
これは、領域アーカイブの領域マスター・キーがディジ
タル・メーターに取付けられたキーと同じであることを
チェックする。もし、それらがチェックアウトするな
ら、領域マスター・キー記録は更新され、符号３４４で
キー管理コンピュータ２４にメッセージＭＩ９において
送られる。キー管理コンピュータ２４はメッセージＭＩ
９において領域マスター・キー記録を領域アーカイブ７
４に送り、もし、成功するなら、符号３４６でブラス・
ボックス２１へ応答を戻す。ブラス・ボックス２１は応
答をチェックし、符号３４８でＫＭＳコンピュータ２４
へ、およびメッセージＭＩ１０におけるキー分配コンピ
ュータ３０へ成功あるいは失敗の検証を戻す。
ー３６が作成ライン上いあると、ＰＳＲコンピュータ３
４は符号３３０でキー分配コンピュータ３０からの取付
け領域キーの記録を要求する。符号３３０で、キー分配
コンピュータ３０は取付け領域キーの記録を、符号３３
４のスチール・ボックス３２へさらに送られるメッセー
ジＭＩ４’におけるＰＳＲコンピュータへ送る。スチー
ル・ボックス３２は情報のためのディジタル・メーター
３６を問い合わせ、符号３３６で、メッセージＭＩ５の
領域マスター・キーをディジタル・メーター３６に送
る。ディジタル・メーターがキーをインストールし、チ
ェックして、メーター・テスト・トークンのセットのた
めに、ディジタル・メーターを問い合わせるスチール・
ボックス３２にステータスを戻す。符号３３８で、メー
ター・テスト・トークンは、メッセージＭＩ６におい
て、オーク・ボックス２０から受け取ったものに対して
メーター・テスト・トークンをチェックするスチール・
ボックス３２に戻される。従って、スチール・ボックス
３２は、オーク・ボックス２４によって生成された領域
マスター・キーがディジタル・メーター３６に取付けら
れたキーと同じであることをチェックする。符号３４０
で、スチール・ボックス３２は取付けステータスとメッ
セージＭＩ７における情報をＰＳＲコンピュータおよび
キー分配コンピュータ３０を介してキー管理コンピュー
タ２４に送る。キー管理コンピュータ２４は領域アーカ
イブからの領域マスター・キー記録を検索し、ローカル
時間のスタンプを調べ、符号３４２で、メッセージＭＩ
８におけるブラス・ボックス２１に情報を送る。ブラス
・ボックス２１は、領域アーカイブ７４からの領域マス
ター・キーの記録からのテスト・トークンを生成する。
これらは、メーター・テストのトークンと比較される。
これは、領域アーカイブの領域マスター・キーがディジ
タル・メーターに取付けられたキーと同じであることを
チェックする。もし、それらがチェックアウトするな
ら、領域マスター・キー記録は更新され、符号３４４で
キー管理コンピュータ２４にメッセージＭＩ９において
送られる。キー管理コンピュータ２４はメッセージＭＩ
９において領域マスター・キー記録を領域アーカイブ７
４に送り、もし、成功するなら、符号３４６でブラス・
ボックス２１へ応答を戻す。ブラス・ボックス２１は応
答をチェックし、符号３４８でＫＭＳコンピュータ２４
へ、およびメッセージＭＩ１０におけるキー分配コンピ
ュータ３０へ成功あるいは失敗の検証を戻す。
【００４１】キー登録は登録の国と証印をプロダクト・
コード番号とキーを関連づけることから成っている。キ
ーは、国のサブ領域に特有の秘密キーを用いて、取付け
領域の国のサブ領域に記憶される。本質的な失敗は、そ
の国のサブ領域に特有のブラス・プロセスがキーを安全
に且つ確実に取付けるために、取付け領域に頼ることで
ある。キーは、決して１つの取付け領域から他の取付け
領域へ転送しない。図２６−図３１を参照すると、ディ
ジタル・メーターが特定の安全領域に対して用意される
と、証印の連続番号および／またはプロダクト・コード
番号はメッセージＭＲ１においてディジタル・メーター
に入れられる。ＰＳＲコンピュータ３４は符号３６０で
ディジタル・メーター３６からの登録トークンを要求す
る。ディジタル・メーターは２つのディジタル・トーク
ンを生成し、それらを符号３６２でＰＳＲコンピュータ
を戻す。ＰＲＳコンピュータはそれらのトークンを他の
メーター情報と結合して、その結果生じる記録を符号３
６４でキー分配コンピュータ３０を介してキー管理コン
ピュータ２４へ送る。符号３６６で、キー管理システム
のコンピュータ２４は領域アーカイブからの領域マスタ
ー・キー記録を検索し、情報をメッセージＭＲ２におけ
るブラス・ボックス２１へ送る。ブラス・ボックス２１
は領域アーカイブ７４からの漁期マスター・キー記録か
らの登録トークンを生成する。これらは、メーター登録
のトークンと比較される。これは、証印の連続番号、プ
ロダクト・コード番号および作成連続番号がディジタル
・メーターによって正確に報告されたことをチェックす
る。もし、それらがクアウトするなら、領域マスター・
キー記録は更新され、符号３６８でキー管理コンピュー
タ２４に送られる。キー管理コンピュータ２４は領域マ
スター・キー記録をメッセージＭＲ３における領域アー
カイブ７４に送り、もし、成功するなら、符号３７０で
ブラス・ボックス２１へ応答を戻す。ブラス・ボックス
２１は応答をチェックし、符号３７２でキー管理システ
ムのコンピュータ２４へ、およびメッセージＭＲ４にお
ける成功あるいは失敗の検証を戻す。
コード番号とキーを関連づけることから成っている。キ
ーは、国のサブ領域に特有の秘密キーを用いて、取付け
領域の国のサブ領域に記憶される。本質的な失敗は、そ
の国のサブ領域に特有のブラス・プロセスがキーを安全
に且つ確実に取付けるために、取付け領域に頼ることで
ある。キーは、決して１つの取付け領域から他の取付け
領域へ転送しない。図２６−図３１を参照すると、ディ
ジタル・メーターが特定の安全領域に対して用意される
と、証印の連続番号および／またはプロダクト・コード
番号はメッセージＭＲ１においてディジタル・メーター
に入れられる。ＰＳＲコンピュータ３４は符号３６０で
ディジタル・メーター３６からの登録トークンを要求す
る。ディジタル・メーターは２つのディジタル・トーク
ンを生成し、それらを符号３６２でＰＳＲコンピュータ
を戻す。ＰＲＳコンピュータはそれらのトークンを他の
メーター情報と結合して、その結果生じる記録を符号３
６４でキー分配コンピュータ３０を介してキー管理コン
ピュータ２４へ送る。符号３６６で、キー管理システム
のコンピュータ２４は領域アーカイブからの領域マスタ
ー・キー記録を検索し、情報をメッセージＭＲ２におけ
るブラス・ボックス２１へ送る。ブラス・ボックス２１
は領域アーカイブ７４からの漁期マスター・キー記録か
らの登録トークンを生成する。これらは、メーター登録
のトークンと比較される。これは、証印の連続番号、プ
ロダクト・コード番号および作成連続番号がディジタル
・メーターによって正確に報告されたことをチェックす
る。もし、それらがクアウトするなら、領域マスター・
キー記録は更新され、符号３６８でキー管理コンピュー
タ２４に送られる。キー管理コンピュータ２４は領域マ
スター・キー記録をメッセージＭＲ３における領域アー
カイブ７４に送り、もし、成功するなら、符号３７０で
ブラス・ボックス２１へ応答を戻す。ブラス・ボックス
２１は応答をチェックし、符号３７２でキー管理システ
ムのコンピュータ２４へ、およびメッセージＭＲ４にお
ける成功あるいは失敗の検証を戻す。
【００４２】あらゆる領域は少なくとも１つのサブ領域
を有しており、そのサブ領域は、キーを証印番号に登録
するための、およびそのサブ領域内で印章の検証を行う
ための役割を有している。特に、地球領域は幾つかの国
のサブ領域を有している。１つの国が地球領域のサブ領
域にメーターを、およびそれ自身の郵便の領域の唯一の
サブ領域にメーターを持つことが可能である。図３２に
示された例においては、国３は唯一の郵便の領域と地球
領域の郵便のサブ領域の両方を有している。しかし、国
Ａは、その国の唯一の郵便領域内に取り付けられたキー
を有するメーターのみを有している。図２７を参照する
と、もし、ディジタル・メーターがサービスの範囲外に
あると、情報は記録され、ＫＭＳコンピュータ２４へ送
られる。キー管理システムのコンピュータ２４は領域ア
ーカイブからの領域マスター・キー記録を検索し、ロー
カル時間のスタンプを調べ、情報を符号３８０でブラス
・ボックス２１に送る。領域マスター・キーの記録は更
新され、符号３８２でキー管理コンピュータ２４に送
る。キー管理のコンピュータは領域マスター・キー記録
を領域アーカイブに送り、もし、成功するなら、応答を
符号３８４でブラス・ボックス２１へ戻す。ブラス・ボ
ックス２１は応答をチェックし、符号３８６でキー管理
コンピュータ２４へ成功あるいは失敗の検証を戻す。
を有しており、そのサブ領域は、キーを証印番号に登録
するための、およびそのサブ領域内で印章の検証を行う
ための役割を有している。特に、地球領域は幾つかの国
のサブ領域を有している。１つの国が地球領域のサブ領
域にメーターを、およびそれ自身の郵便の領域の唯一の
サブ領域にメーターを持つことが可能である。図３２に
示された例においては、国３は唯一の郵便の領域と地球
領域の郵便のサブ領域の両方を有している。しかし、国
Ａは、その国の唯一の郵便領域内に取り付けられたキー
を有するメーターのみを有している。図２７を参照する
と、もし、ディジタル・メーターがサービスの範囲外に
あると、情報は記録され、ＫＭＳコンピュータ２４へ送
られる。キー管理システムのコンピュータ２４は領域ア
ーカイブからの領域マスター・キー記録を検索し、ロー
カル時間のスタンプを調べ、情報を符号３８０でブラス
・ボックス２１に送る。領域マスター・キーの記録は更
新され、符号３８２でキー管理コンピュータ２４に送
る。キー管理のコンピュータは領域マスター・キー記録
を領域アーカイブに送り、もし、成功するなら、応答を
符号３８４でブラス・ボックス２１へ戻す。ブラス・ボ
ックス２１は応答をチェックし、符号３８６でキー管理
コンピュータ２４へ成功あるいは失敗の検証を戻す。
【００４３】トークンの生成 各々のメーターは領域マスター・キーを用いて、各領域
に対して、ここで、トークン・キーと呼ばれる一時的キ
ーを発生する。そしてそれは郵便物のデータからのトー
クンを生成するために用いられる。キー管理システム
は、ここでティン・ボックス(Tin Box) と呼ばれる分配
器のトークン検証ボックス４４（図１）を有する郵便の
検証場所を認定するために、郵便の一時的キーを分配す
る。郵便の一時的キーは、証印のローカルな検証のため
に、ティン・ボックス４４によって用いられる。この配
置の下に、郵便局は、多くの場所にマスター・キーのデ
ータベースを配置することなく証印のローカル検証を得
ることができるので、キー管理システムは高レベルの安
全性を提供する。検証プロセス 以下の記述はキー管理システム１０の検証プロセスの概
要を示す。ベンダーとあらゆる郵便領域間に差異はな
い。各々は独立して同じ方法で動作する。両方のトーク
ンを首尾よく検証するために、動作のセットはベンダー
領域に対してランされ、動作の他のセットは選択された
郵便領域に対してランされる。トークン検証要求はメー
ル設備１８に配置されるデータ捕獲システム(data capt
ure system) １９から来る。要求は物理的な郵便物上に
印刷された情報のＡＳＣＩＩテキスト表現を含む。図２
８を参照すると、符号４００で、要求はベンダーあるい
は郵便のデータセンターにあるキー管理システムのコン
ピュータ２４に送られる。キー管理システムのコンピュ
ータ２４はディジット(digits)をチェックし、もし、必
要なら修正する。キー管理システムのコンピュータ２４
は領域アーカイブからの領域マスター・キー記録を検索
し、符号４０２でブラス・ボックス２１へ情報を送る。
ブラス・ボックス２１はその要求をチェックし、領域マ
スター・キーがアクティブであることを検証する。ブラ
ス・ボックス２１は領域アーカイブおよび郵便物情報か
らの領域マスター・キーを用いて、選択された領域のト
ークンを再計算する。計算されたトークンは、それらが
マッチしているかどうかをみるために、郵便物のトーク
ンと比較される。良し／悪しの比較結果が符号４０４で
ＫＭＳコンピュータ２４に送られる。追加の検証が他の
領域トークンを検証するために必要であることを強調す
るために、第２の例が図２８に示されている。本発明の
以上の記載は、郵便局はベンダーが郵便のマスター・キ
ーを生成し、それらをディジタル・メーターに取り付け
る権限をあたえる好適な実施の形態である。キーは、郵
便のトークンの有効性のために用いられるように郵便デ
ータセンターに送られる。キー管理システムは機能、安
全ボックスおよびデータベースのいろいろな分配のため
の能力を有する。例えば、他の実施の形態において、郵
便局は、ベンダーおよび他の関係者が郵便キーの発生、
維持、トークンの有効性そしてキーをベンダーに伝達す
るの機能を有する郵便のデータセンターを維持し、動作
することを任せる。この実施の形態において、郵便のブ
ラス・ボックス４０と郵便のキーアーカイブ４２は、ベ
ンダーあるいは他の関係者の場所に物理的に位置され
る。他の実施の形態においては、郵便局はそのデータセ
ンターを管理し、郵便のオーク・ボックス２２は郵便の
データセンター１６に物理的に位置される。
に対して、ここで、トークン・キーと呼ばれる一時的キ
ーを発生する。そしてそれは郵便物のデータからのトー
クンを生成するために用いられる。キー管理システム
は、ここでティン・ボックス(Tin Box) と呼ばれる分配
器のトークン検証ボックス４４（図１）を有する郵便の
検証場所を認定するために、郵便の一時的キーを分配す
る。郵便の一時的キーは、証印のローカルな検証のため
に、ティン・ボックス４４によって用いられる。この配
置の下に、郵便局は、多くの場所にマスター・キーのデ
ータベースを配置することなく証印のローカル検証を得
ることができるので、キー管理システムは高レベルの安
全性を提供する。検証プロセス 以下の記述はキー管理システム１０の検証プロセスの概
要を示す。ベンダーとあらゆる郵便領域間に差異はな
い。各々は独立して同じ方法で動作する。両方のトーク
ンを首尾よく検証するために、動作のセットはベンダー
領域に対してランされ、動作の他のセットは選択された
郵便領域に対してランされる。トークン検証要求はメー
ル設備１８に配置されるデータ捕獲システム(data capt
ure system) １９から来る。要求は物理的な郵便物上に
印刷された情報のＡＳＣＩＩテキスト表現を含む。図２
８を参照すると、符号４００で、要求はベンダーあるい
は郵便のデータセンターにあるキー管理システムのコン
ピュータ２４に送られる。キー管理システムのコンピュ
ータ２４はディジット(digits)をチェックし、もし、必
要なら修正する。キー管理システムのコンピュータ２４
は領域アーカイブからの領域マスター・キー記録を検索
し、符号４０２でブラス・ボックス２１へ情報を送る。
ブラス・ボックス２１はその要求をチェックし、領域マ
スター・キーがアクティブであることを検証する。ブラ
ス・ボックス２１は領域アーカイブおよび郵便物情報か
らの領域マスター・キーを用いて、選択された領域のト
ークンを再計算する。計算されたトークンは、それらが
マッチしているかどうかをみるために、郵便物のトーク
ンと比較される。良し／悪しの比較結果が符号４０４で
ＫＭＳコンピュータ２４に送られる。追加の検証が他の
領域トークンを検証するために必要であることを強調す
るために、第２の例が図２８に示されている。本発明の
以上の記載は、郵便局はベンダーが郵便のマスター・キ
ーを生成し、それらをディジタル・メーターに取り付け
る権限をあたえる好適な実施の形態である。キーは、郵
便のトークンの有効性のために用いられるように郵便デ
ータセンターに送られる。キー管理システムは機能、安
全ボックスおよびデータベースのいろいろな分配のため
の能力を有する。例えば、他の実施の形態において、郵
便局は、ベンダーおよび他の関係者が郵便キーの発生、
維持、トークンの有効性そしてキーをベンダーに伝達す
るの機能を有する郵便のデータセンターを維持し、動作
することを任せる。この実施の形態において、郵便のブ
ラス・ボックス４０と郵便のキーアーカイブ４２は、ベ
ンダーあるいは他の関係者の場所に物理的に位置され
る。他の実施の形態においては、郵便局はそのデータセ
ンターを管理し、郵便のオーク・ボックス２２は郵便の
データセンター１６に物理的に位置される。
【００４４】他の代替実施形態（図示されず）において
は、キー管理システムの機能、即ち領域オーク・プロセ
ス、領域スチール・プロセス或いは領域ブラス・プロセ
スのあらゆる組み合わせが安全ボックスのいずれかに統
合されることができる。従って、キー管理システムはい
ろいろな領域、即ち、郵便局が同じ論理的なキー管理シ
ステムのいろいろな物理的態様を実現できる本質的な柔
軟性を有していることが理解されるであろう。本キー管
理システムは、システムの高いレベルでの完全性と安全
性を維持つつ、このような柔軟性を提供するものであ
る。本発明は、更に多くのベンダー多くの郵便局をサポ
ートすることができることが理解されるであろう。本発
明は、ディジタル郵便メーターの証明に関する実施の形
態に対して述べられた。この分野の通常の知識を有する
者は、一般に、本発明が、一時的なトランズアクショ
ン、項目のトランズアクションおよび情報のトランズア
クションのようなトランズアクションの証明に対するキ
ー管理システムとして用いるのに適していることを理解
するであろう。ここで用いられるように、用語“ディジ
タル郵便メーター”は、安全な印刷手段に結合されてい
るディジタル郵便メーターの従来の形式、および安全で
ない印刷手段に結合されているディジタル郵便メーター
の他の形式に該当し、あるいは従来のディジタル郵便メ
ーターと異なる他のの構成を有している。
は、キー管理システムの機能、即ち領域オーク・プロセ
ス、領域スチール・プロセス或いは領域ブラス・プロセ
スのあらゆる組み合わせが安全ボックスのいずれかに統
合されることができる。従って、キー管理システムはい
ろいろな領域、即ち、郵便局が同じ論理的なキー管理シ
ステムのいろいろな物理的態様を実現できる本質的な柔
軟性を有していることが理解されるであろう。本キー管
理システムは、システムの高いレベルでの完全性と安全
性を維持つつ、このような柔軟性を提供するものであ
る。本発明は、更に多くのベンダー多くの郵便局をサポ
ートすることができることが理解されるであろう。本発
明は、ディジタル郵便メーターの証明に関する実施の形
態に対して述べられた。この分野の通常の知識を有する
者は、一般に、本発明が、一時的なトランズアクショ
ン、項目のトランズアクションおよび情報のトランズア
クションのようなトランズアクションの証明に対するキ
ー管理システムとして用いるのに適していることを理解
するであろう。ここで用いられるように、用語“ディジ
タル郵便メーター”は、安全な印刷手段に結合されてい
るディジタル郵便メーターの従来の形式、および安全で
ない印刷手段に結合されているディジタル郵便メーター
の他の形式に該当し、あるいは従来のディジタル郵便メ
ーターと異なる他のの構成を有している。
【００４５】本発明は、単一の実施の形態に関して開示
され、述べられたが、上述のように変更および変形がな
されることは明らかであろう。従って、特許請求の範囲
は、本発明の真の精神および範囲内にある各々の変更お
よび変形を含むことが意図されている。
され、述べられたが、上述のように変更および変形がな
されることは明らかであろう。従って、特許請求の範囲
は、本発明の真の精神および範囲内にある各々の変更お
よび変形を含むことが意図されている。
【図１】本発明による暗号キーの管理および有効性のシ
ステムのブロック図である。
ステムのブロック図である。
【図２】図１のキー管理および有効性のシステムにおけ
る安全領域の関係を示すブロック図。
る安全領域の関係を示すブロック図。
【図３】図１のキー管理および有効性のシステムにおけ
るベンダーのデータセンターのブロック図。
るベンダーのデータセンターのブロック図。
【図４】図１のキー管理および有効性のシステムにおけ
るベンダーの作成設備のブロック図。
るベンダーの作成設備のブロック図。
【図５】図１のキー管理および有効性のシステムにおけ
る郵便のデータセンターのブロック図。
る郵便のデータセンターのブロック図。
【図６】図１のキー管理および有効性のシステムにおけ
る作成ボックスの管理上の領域を示すブロック図。
る作成ボックスの管理上の領域を示すブロック図。
【図７】キー管理プロセスのフロー図。
【図８】キーの識別のためのフロー図。
【図９】作成ボックスのためのキー材料のブロック図。
【図１０】オーク・ボックスのためのキー材料のブロッ
ク図。
ク図。
【図１１】スチール・ボックスのためのキー材料のブロ
ック図。
ック図。
【図１２】ブラス・ボックスのためのキー材料のブロッ
ク図。
ク図。
【図１３】地球領域のディジタル・メーター・プロセス
のフロー図。
のフロー図。
【図１４】有効なマスター・キー状態の変化のフロー
図。
図。
【図１５】有効なマスター・キー状態の変化のブロック
図。
図。
【図１６】オーク・ボックスからブラス・ボックスへの
メッセージ。
メッセージ。
【図１７】オーク・ボックスからスチール・ボックスへ
のメッセージ。
のメッセージ。
【図１８】キーのフレッシュネスの検出のための論理
図。
図。
【図１９】スチール・ボックスからブラス・ボックスへ
のメッセージ。
のメッセージ。
【図２０】メーターからブラス・ボックスへのメッセー
ジ。
ジ。
【図２１】エラー取扱いのブロック図。
【図２２】第１の作成ボックスの初期化のフロー図。
【図２３】一般的なボックスの初期化のフロー図。
【図２４】キー要求の処理のフロー図。
【図２５】キー取付けの処理のフロー図。
【図２６】キー登録の処理のフロー図。
【図２７】旧式キーの処理のフロー図。
【図２８】検証処理のフロー図。
【図２９】キー取付けメッセージのフローを示すブロッ
ク図。
ク図。
【図３０】図２９のキー取付けメッセージのテーブル。
【図３１】キー登録メッセージのテーブル。
【図３２】領域およびサブ領域の関係を示すブロック
図。
図。
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/08 Ｈ０４Ｌ 9/00 ６０１Ｂ (72)発明者 ウォルター ジェイ ベイカー アメリカ合衆国 コネチカット州 06497 ストラットフォード ノース エイブラ ム ストリート 378 (72)発明者 フェリクス バトー アメリカ合衆国 コネチカット州 06612 イーストン バローズ ロード 89 (72)発明者 ロバート エイ コーデリー アメリカ合衆国 コネチカット州 06811 ダンバリー ジャネット ストリート 11−１−２ (72)発明者 フランク エム ディッポリト アメリカ合衆国 コネチカット州 06811 ダービー コモドアー コモンズ 47 (72)発明者 ケヴィン ディー ハンター アメリカ合衆国 コネチカット州 06497 ストラットフォード アリンデール ド ライヴ 440 (72)発明者 キャスリン ヴィー ロートン アメリカ合衆国 コネチカット州 06405 ブランフォード ロック パステュア ロード 47 (72)発明者 ディヴィッド ケィ リー アメリカ合衆国 コネチカット州 06468 モンロー アルパイン ロード 12 (72)発明者 ルイス ジェイ ログリッチ アメリカ合衆国 コネチカット州 06907 スタムフォード ホープ ストリート 555 (72)発明者 スティーヴン ジェイ パウリー アメリカ合衆国 コネチカット州 06776 ニュー ミルフォード サリー レーン 10 (72)発明者 リーオン エイ ピンツォフ アメリカ合衆国 コネチカット州 06107 ウェスト ハートフォード マウンテン ロード 365 (72)発明者 イアン エイ シーヴェイヤー アメリカ合衆国 コネチカット州 06468 モンロー ヴェルヴェット ストリート 168
Claims (15)
- 【請求項１】取扱証明装置を作成する方法であって、 （ａ）キー管理システムの論理的安全領域に、マスター
・キーを生成するステップ、 （ｂ）取扱証明装置に前記マスター・キーを設けるステ
ップ、 （ｃ）前記マスター・キーを設けたことを検証するステ
ップ、および （ｄ）前記キー管理システムにおける論理的安全サブ領
域に前記マスター・キーを登録するステップを有する方
法。 - 【請求項２】前記マスター・キーを生成するステップ
は、更に、 領域を生成するステップ、 少なくとも１つのサブ領域を生成するステップ、 前記キー管理システムの安全ボックスに前記領域を設け
るステップ、 前記領域内にマスター・キーとテスト・トークンを生成
するステップ、および前記領域アーカイブにマスター・
キーを記録するステップ、を有する請求項１に記載の方
法。 - 【請求項３】前記マスター・キーを設けるステップは、
更に、 取扱証明装置にマスター・キーを設けるステップ、およ
び前記マスター・キーを物理的装置の識別子に関連させ
るステップを有する請求項１に記載の方法。 - 【請求項４】前記マスター・キイーを検証するステップ
は、更に、 取扱証明装置にトークンを生成するステップ、 前記テスト・トークンおよびトークンを生成した取扱証
明装置が同一であることを検証するステップ、 前記アーカイブにマスター・キーからのトークンを生成
するステップ、およびトークンを生成した前記取扱証明
装置およびトークンを生成した前記アーカイブが同一で
あることを検証するステップを有する請求項１に記載の
方法。 - 【請求項５】前記キー管理システムにおける論理的安全
サブ領域に前記マスター・キーを登録するステップは、
更に、 サブ領域を前記取扱証明装置に割当てるステップ、 論理的装置の識別子を前記取扱証明装置に設けるステッ
プ、 前記論理的装置の識別子を前記物理的装置の識別子に関
連付けるステップ、 前記論理的装置の識別子と前記物理的装置の識別子に基
づいて、前記取扱証明装置に登録トークンを生成するス
テップ、 アーカイブに記録されたマスター・キーを用いて、登録
トークンを生成するステップ、 前記登録トークンが同一であることを検証するステッ
プ、および前記マスター・キーを前記サブ領域に記録す
るステップを有する請求項１に記載の方法。 - 【請求項６】更に、前記取扱証明装置に割当てられた各
領域に対し、ステップ（ａ）〜（ｄ）を繰り返すステッ
プを有する請求項１に記載の方法。 - 【請求項７】キー管理システムにおいて取扱証明装置を
作成する方法であって、 領域を生成するステップ、 少なくとも１つのサブ領域を生成するステップ、 前記キー管理システムの安全ボックスに前記領域を設け
るステップ、 前記領域内にマスター・キーとテスト・トークンを生成
するステップ、 前記領域アーカイブに前記マスター・キーを記録するス
テップ、 前記マスター・キーを取扱証明装置に設け、前記マスタ
ー・キーを物理的装置の識別子と関連付けるステップ、 前記取扱証明装置にトークンを生成するステップ、 前記テスト・トークンとトークンを生成した前記取扱証
明装置が同一であることを検証するステップ、 前記アーカイブにマスター・キーからのトークンを生成
するステップ、 トークンを生成した前記取扱証明装置とトークンを生成
した前記アーカイブが同一であることを検証するステッ
プ、 サブ領域を前記取扱証明装置に割当てるステップ、 論理的装置の識別子を前記取扱証明装置に設けるステッ
プ、 前記論理的装置の識別子を前記物理的装置の識別子に関
連付けるステップ、 前記論理的装置の識別子と前記物理的装置の識別子に基
づいて、前記取扱証明装置に登録トークンを生成するス
テップ、 前記アーカイブに記録されたマスター・キーを用いて、
登録トークンを生成するステップ、 前記登録トークンが同一であることを検証するステッ
プ、およびサブ領域にマスター・キーを登録するステッ
プを有する方法。 - 【請求項８】前記取扱証明装置は、ディジタル郵便料金
メーターであることを特徴とする請求項１に記載の方
法。 - 【請求項９】前記取扱証明装置は、ディジタル郵便料金
メーターであることを特徴とする請求項１に記載の方
法。 - 【請求項１０】ディジタル郵便料金メーターを作成する
方法であって、 （ａ）キー管理システムの論理的安全領域に、マスター
・キーを生成するステップ、 （ｂ）ディジタル郵便料金メーターに前記マスター・キ
ーを設けるステップ、 （ｃ）前記マスター・キーを設けたことを検証するステ
ップ、および （ｄ）前記キー管理システムにおける論理的安全サブ領
域に前記マスター・キーを登録するステップを有する方
法。 - 【請求項１１】前記マスター・キーを生成するステップ
は、更に、 領域を生成するステップ、 少なくとも１つのサブ領域を生成するステップ、 前記キー管理システムの安全ボックスに前記領域を設け
るステップ、 前記領域内にマスター・キーとテスト・トークンを生成
するステップ、および前記領域のアーカイブにマスター
・キーを記録するステップ、 を有する請求項１０に記載の方法。 - 【請求項１２】前記マスター・キーを設けるステップ
は、更に、 ディジタル・メーターにマスター・キーを設けるステッ
プ、および前記マスター・キーを物理的装置の識別子に
関連させるステップを有する請求項１０に記載の方法。 - 【請求項１３】前記マスター・キイーを検証するステッ
プは、更に、 ディジタル・メーターにトークンを生成するステップ、 前記テスト・トークンおよびトークンを生成した前記メ
ーターが同一であることを検証するステップ、 前記アーカイブにマスター・キーからのトークンを生成
するステップ、およびトークンを生成した前記メーター
およびトークンを生成した前記アーカイブが同一である
ことを検証するステップを有する請求項１０に記載の方
法。 - 【請求項１４】前記キー管理システムにおける論理的安
全サブ領域に前記マスター・キーを登録するステップ
は、更に、 サブ領域を前記メーターに割当てるステップ、 郵便の識別子を前記ディジタルメーターに設けるステッ
プ、 前記郵便の識別子を唯一の装置の識別子に関連付けるス
テップ、 前記郵便の識別子と前記唯一の装置の識別子に基づい
て、前記ディジタル・メーターに登録トークンを生成す
るステップ、 アーカイブに記録されたマスター・キーを用いて、登録
トークンを生成するステップ、 前記登録トークンが同一であることを検証するステッ
プ、および前記マスター・キーを前記サブ領域に記録す
るステップを有する請求項１０に記載の方法。 - 【請求項１５】更に、前記取扱証明装置に割当てられた
各領域に対し、ステップ（ａ）〜（ｄ）を繰り返すステ
ップを有する請求項１０に記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US08/415,824 US5680456A (en) | 1995-03-31 | 1995-03-31 | Method of manufacturing generic meters in a key management system |
| US08/415824 | 1995-03-31 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH09190555A true JPH09190555A (ja) | 1997-07-22 |
Family
ID=23647355
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP11407296A Pending JPH09190555A (ja) | 1995-03-31 | 1996-04-01 | キー管理システムにおけるメータの作成方法 |
Country Status (7)
| Country | Link |
|---|---|
| US (1) | US5680456A (ja) |
| EP (1) | EP0735721B1 (ja) |
| JP (1) | JPH09190555A (ja) |
| CN (1) | CN1128522C (ja) |
| BR (1) | BR9601233A (ja) |
| CA (1) | CA2172861C (ja) |
| DE (1) | DE69636631T2 (ja) |
Families Citing this family (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5982896A (en) * | 1996-12-23 | 1999-11-09 | Pitney Bowes Inc. | System and method of verifying cryptographic postage evidencing using a fixed key set |
| US6064989A (en) * | 1997-05-29 | 2000-05-16 | Pitney Bowes Inc. | Synchronization of cryptographic keys between two modules of a distributed system |
| US6029137A (en) * | 1997-05-29 | 2000-02-22 | Pitney Bowes Inc. | Updating domains in a postage evidencing system |
| US6233565B1 (en) | 1998-02-13 | 2001-05-15 | Saranac Software, Inc. | Methods and apparatus for internet based financial transactions with evidence of payment |
| US6144950A (en) * | 1998-02-27 | 2000-11-07 | Pitney Bowes Inc. | Postage printing system including prevention of tampering with print data sent from a postage meter to a printer |
| US6343361B1 (en) * | 1998-11-13 | 2002-01-29 | Tsunami Security, Inc. | Dynamic challenge-response authentication and verification of identity of party sending or receiving electronic communication |
| US6704867B1 (en) | 1999-03-30 | 2004-03-09 | Bitney Bowes, Inc. | Method for publishing certification information representative of selectable subsets of rights and apparatus and portable data storage media used to practice said method |
| US6738899B1 (en) | 1999-03-30 | 2004-05-18 | Pitney Bowes Inc. | Method for publishing certification information certified by a plurality of authorities and apparatus and portable data storage media used to practice said method |
| US6847951B1 (en) * | 1999-03-30 | 2005-01-25 | Pitney Bowes Inc. | Method for certifying public keys used to sign postal indicia and indicia so signed |
| US6711680B1 (en) * | 1999-12-09 | 2004-03-23 | Pitney Bowes Inc. | Method of limiting key usage in a postage metering system that produces cryptographically secured indicium |
| US6473743B1 (en) * | 1999-12-28 | 2002-10-29 | Pitney Bowes Inc. | Postage meter having delayed generation of cryptographic security parameters |
| PT1348279E (pt) * | 2000-11-28 | 2005-06-30 | Nagravision Sa | Certificacao das transaccoes |
| US6867707B1 (en) * | 2002-04-24 | 2005-03-15 | Elster Electricity, Llc | Automated on-site meter registration confirmation using a portable, wireless computing device |
| US20040086141A1 (en) * | 2002-08-26 | 2004-05-06 | Robinson Arthur E. | Wearable buddy audio system |
| US7319989B2 (en) * | 2003-03-04 | 2008-01-15 | Pitney Bowes Inc. | Method and system for protection against replay of an indicium message in a closed system meter |
| US20040177049A1 (en) * | 2003-03-04 | 2004-09-09 | Pitney Bowes Incorporated | Method and system for protection against parallel printing of an indicium message in a closed system meter |
| US8670564B1 (en) | 2006-08-14 | 2014-03-11 | Key Holdings, LLC | Data encryption system and method |
| DE102007052458A1 (de) | 2007-11-02 | 2009-05-07 | Francotyp-Postalia Gmbh | Frankierverfahren und Postversandsystem mit zentraler Portoerhebung |
| US11132685B1 (en) | 2020-04-15 | 2021-09-28 | Capital One Services, Llc | Systems and methods for automated identity verification |
| CN115396396A (zh) * | 2022-08-24 | 2022-11-25 | 珠海安士佳电子有限公司 | 一种安防设备唯一标识智能分配系统 |
Family Cites Families (33)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4238853A (en) * | 1977-12-05 | 1980-12-09 | International Business Machines Corporation | Cryptographic communication security for single domain networks |
| US4227253A (en) * | 1977-12-05 | 1980-10-07 | International Business Machines Corporation | Cryptographic communication security for multiple domain networks |
| US4281216A (en) * | 1979-04-02 | 1981-07-28 | Motorola Inc. | Key management for encryption/decryption systems |
| US4578531A (en) * | 1982-06-09 | 1986-03-25 | At&T Bell Laboratories | Encryption system key distribution method and apparatus |
| US4590470A (en) * | 1983-07-11 | 1986-05-20 | At&T Bell Laboratories | User authentication system employing encryption functions |
| US4972472A (en) * | 1985-03-15 | 1990-11-20 | Tandem Computers Incorporated | Method and apparatus for changing the master key in a cryptographic system |
| US4731840A (en) * | 1985-05-06 | 1988-03-15 | The United States Of America As Represented By The United States Department Of Energy | Method for encryption and transmission of digital keying data |
| US4916738A (en) * | 1986-11-05 | 1990-04-10 | International Business Machines Corp. | Remote access terminal security |
| GB8704920D0 (en) * | 1987-03-03 | 1987-04-08 | Hewlett Packard Co | Secure messaging system |
| US4850017A (en) * | 1987-05-29 | 1989-07-18 | International Business Machines Corp. | Controlled use of cryptographic keys via generating station established control values |
| US4873645A (en) * | 1987-12-18 | 1989-10-10 | Pitney Bowes, Inc. | Secure postage dispensing system |
| US4888801A (en) * | 1988-05-02 | 1989-12-19 | Motorola, Inc. | Hierarchical key management system |
| US4888802A (en) * | 1988-06-17 | 1989-12-19 | Ncr Corporation | System and method for providing for secure encryptor key management |
| US4935961A (en) * | 1988-07-27 | 1990-06-19 | Gargiulo Joseph L | Method and apparatus for the generation and synchronization of cryptographic keys |
| US5016277A (en) * | 1988-12-09 | 1991-05-14 | The Exchange System Limited Partnership | Encryption key entry method in a microcomputer-based encryption system |
| US4965804A (en) * | 1989-02-03 | 1990-10-23 | Racal Data Communications Inc. | Key management for encrypted packet based networks |
| US5048087A (en) * | 1989-02-03 | 1991-09-10 | Racal Data Communications Inc. | Key management for encrypted packet based networks |
| DE69014361T2 (de) * | 1989-03-23 | 1995-04-27 | Neopost Ind | Verfahren zur Erhöhung der Sicherheit einer elektronischen Frankiermaschine mit Fernaufwertung. |
| US4956863A (en) * | 1989-04-17 | 1990-09-11 | Trw Inc. | Cryptographic method and apparatus for public key exchange with authentication |
| US5148481A (en) * | 1989-10-06 | 1992-09-15 | International Business Machines Corporation | Transaction system security method and apparatus |
| US5029206A (en) * | 1989-12-27 | 1991-07-02 | Motorola, Inc. | Uniform interface for cryptographic services |
| US5173938A (en) * | 1990-09-27 | 1992-12-22 | Motorola, Inc. | Key management system |
| US5247576A (en) * | 1991-02-27 | 1993-09-21 | Motorola, Inc. | Key variable identification method |
| US5214698A (en) * | 1991-03-20 | 1993-05-25 | International Business Machines Corporation | Method and apparatus for validating entry of cryptographic keys |
| US5200999A (en) * | 1991-09-27 | 1993-04-06 | International Business Machines Corporation | Public key cryptosystem key management based on control vectors |
| US5241599A (en) * | 1991-10-02 | 1993-08-31 | At&T Bell Laboratories | Cryptographic protocol for secure communications |
| US5179591A (en) * | 1991-10-16 | 1993-01-12 | Motorola, Inc. | Method for algorithm independent cryptographic key management |
| US5265164A (en) * | 1991-10-31 | 1993-11-23 | International Business Machines Corporation | Cryptographic facility environment backup/restore and replication in a public key cryptosystem |
| US5245658A (en) * | 1992-01-06 | 1993-09-14 | George Bush | Domain-based encryption |
| JPH05281906A (ja) * | 1992-04-02 | 1993-10-29 | Fujitsu Ltd | 暗号鍵共有方式 |
| US5237611A (en) * | 1992-07-23 | 1993-08-17 | Crest Industries, Inc. | Encryption/decryption apparatus with non-accessible table of keys |
| US5341426A (en) * | 1992-12-15 | 1994-08-23 | Motorola, Inc. | Cryptographic key management apparatus and method |
| US5390251A (en) * | 1993-10-08 | 1995-02-14 | Pitney Bowes Inc. | Mail processing system including data center verification for mailpieces |
-
1995
- 1995-03-31 US US08/415,824 patent/US5680456A/en not_active Expired - Lifetime
-
1996
- 1996-03-28 CA CA002172861A patent/CA2172861C/en not_active Expired - Fee Related
- 1996-03-31 CN CN96110338.8A patent/CN1128522C/zh not_active Expired - Lifetime
- 1996-04-01 BR BR9601233A patent/BR9601233A/pt not_active Application Discontinuation
- 1996-04-01 DE DE69636631T patent/DE69636631T2/de not_active Expired - Lifetime
- 1996-04-01 JP JP11407296A patent/JPH09190555A/ja active Pending
- 1996-04-01 EP EP96105234A patent/EP0735721B1/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| BR9601233A (pt) | 1998-01-06 |
| CN1128522C (zh) | 2003-11-19 |
| EP0735721B1 (en) | 2006-10-18 |
| US5680456A (en) | 1997-10-21 |
| DE69636631T2 (de) | 2007-08-23 |
| CA2172861C (en) | 2000-05-16 |
| EP0735721A3 (en) | 1999-10-06 |
| CA2172861A1 (en) | 1996-10-01 |
| EP0735721A2 (en) | 1996-10-02 |
| MX9601258A (es) | 1997-09-30 |
| DE69636631D1 (de) | 2006-11-30 |
| CN1148765A (zh) | 1997-04-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3881055B2 (ja) | トランズアクション情報の完全性の証明を検証する方法 | |
| EP0735722B1 (en) | Cryptographic key management and validation system | |
| CA2173018C (en) | Method of manufacturing secure boxes in a key management system | |
| JPH09190555A (ja) | キー管理システムにおけるメータの作成方法 | |
| US6058193A (en) | System and method of verifying cryptographic postage evidencing using a fixed key set | |
| JP4117912B2 (ja) | 安全なデジタル署名デバイスを有する仮想郵便料金メーター | |
| US6466921B1 (en) | Virtual postage meter with secure digital signature device | |
| US6567794B1 (en) | Method for access control in a virtual postage metering system | |
| US6073125A (en) | Token key distribution system controlled acceptance mail payment and evidencing system | |
| MXPA96001257A (en) | A method of verification of symbols designators in an administration system | |
| MXPA96001258A (en) | A manufacturing method of generic subscribers in a cla administration system | |
| MXPA96001259A (es) | Un sistema de administracion y validacion de claves criptograficas | |
| MXPA99001576A (en) | Virtual postage meter with secure digital signature device | |
| CA2221670A1 (en) | Method for verifying the expected postage security device in a host system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060213 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20060511 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20060516 |
|
| A524 | Written submission of copy of amendment under article 19 pct |
Free format text: JAPANESE INTERMEDIATE CODE: A524 Effective date: 20060814 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060904 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070104 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070213 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20070216 |
|
| A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20070330 |