JPH11313056A

JPH11313056A - 機器認証及び暗号通信システム

Info

Publication number: JPH11313056A
Application number: JP11047162A
Authority: JP
Inventors: Makoto Tatebayashi; 誠館林
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1998-02-25
Filing date: 1999-02-24
Publication date: 1999-11-09

Abstract

(57)【要約】【課題】ユーザ側機器とシステム側機器の間での機器
認証及び暗号通信に関して、システム側機器への不正な
侵入や解析に対しても高度の安全性を保つシステムを提
供する。【解決手段】管理センタ１１００は、ユーザ側機器
（車載機１２００）が記憶する個別秘密情報に対して回
復型署名変換を行って鍵カプセルデータを作成してユー
ザ側機器に配布し、所定鍵をシステム側機器（路側機１
３００）に配布する。ユーザ側機器は、前記鍵カプセル
データをシステム側機器に送信し、システム側機器は、
前記検証鍵を用いて署名検証変換により前記鍵カプセル
データから前記個別秘密情報を復元する。ユーザ側機器
とシステム側機器とが、共有した個別秘密情報を鍵とし
て用い秘密鍵暗号アルゴリズムに基づき、データを暗号
化して送信、又はデータを受信して復号することにより
両者間で機器認証及び暗号通信を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数のユーザ側機
器のいずれかとシステム側機器の間で、互いに相手側機
器の正当性を確認し、秘密にデータを送受信する機器認
証及び暗号通信システムに関する。

【０００２】

【従来の技術】一般に、価値のあるデータの通信におい
ては、セキュリティの確保が重要な課題となる。即ち、
価値のあるデータを通信相手に伝送する場合には、通信
相手の機器が正当なものであることを確認することが必
要であり、また、そのデータは、通信路上で第三者によ
り不正に盗用又は改ざんされることから守られなければ
ならない。

【０００３】このようなセキュリティの確保が重視され
るデータ通信システムの典型例として、無線通信を用い
た高速道路の料金自動収受システムを挙げることができ
る。＜高速道路料金自動収受システム＞以下、通常考えられ
る高速道路料金自動収受システムについて説明する。こ
の高速道路料金自動収受システムは、高速道路の利用料
金の支払いを、車に備えられる車載機と、高速道路の各
入口又は出口の料金所ゲートに備えられる路側機との間
の無線通信により行うものである。

【０００４】車載機には着脱可能なＩＣカードが備えら
れる。このＩＣカードはプリペイドカードの機能を持ち
当初所定の金額を示す残額情報が記録されている。高速
道路の入り口のゲート（以下「入路ゲート」という。）
においては、車載機は路側機に対して車載機ＩＤを無線
で送信し、路側機は車載機に対しては、ゲートＩＤ、入
路時刻等を含む入路情報を無線で送信する。車載機は路
側機から入路情報を受信すると、この入路情報をＩＣカ
ードに記録する。

【０００５】一方、出口のゲート（以下「出路ゲート」
という。）においては、車載機は路側機に対して入路情
報と残額情報を無線で送信し、路側機は受信した入路情
報に基づいて高速道路の利用料金を計算して、受信した
前記残額情報からその利用料金を差引いて残額情報を更
新して、更新後の残額情報を車載機に対して無線で送信
する。

【０００６】なお、高速道路料金自動収受システム中に
存在する車載機の数は数百万台、路側機の数は数千台で
あることが想定される。また、車載機と路側機との間の
無線通信が可能な範囲は数十メートル程度であり、入路
ゲート及び出路ゲートにおいて車載機を搭載した車は料
金支払い等のために停止する必要はない。従って、入出
路ゲート付近における交通の混雑は軽減される。

【０００７】このような高速道路料金自動収受システム
が首尾良く運用されるためには、誤まりのない高速な無
線通信が実現されることは当然であるが、それ以外にも
次のようなセキュリティ面での課題が解決されることが
必要となる。まず、路側機は、車載機が正当なものであ
ることを認証しなければならない。偽の車載機による通
信に対してはこれが偽物であることを直ちに判定し、ゲ
ートを封鎖する、或いは車両番号を記録すると共に運転
者の写真を撮る等の対抗措置がとられなければならな
い。

【０００８】これと逆に、車載機は、路側機が正当なも
のであることを認証する必要もある。偽の路側機が車載
機との通信を行うことにより、ＩＣカード内に記録され
ている入路情報を書き換え、本来あるべき区間よりも短
い区間の料金を支払う等の不正に利益を得るような試み
を防止する必要があるからである。また、車載機と路側
機の間の無線通信の内容が第三者に傍受され、その内容
が不正に利用されることがあってはならない。

【０００９】＜秘密情報等の共有による通信セキュリテ
ィ確保＞上述したセキュリティ面での課題は、一般に知
られている機器認証及び暗号通信の技術を用いて、車載
機と路側機との間でのデータの無線伝送を行うことで解
決できる。例えば、車載機と路側機の間で、ある秘密鍵
暗号アルゴリズムとある秘密情報とが共有されていれば
よい。通常この秘密情報は、暗号鍵又は復号鍵と呼ばれ
る。車載機と路側機の間で秘密鍵暗号アルゴリズムと秘
密情報とが共有されていれば、これを用いて、相互に機
器認証を行うことや、データ送信の際にはデータを暗号
化して送信し、データ受信の際には受信したデータを復
号すること等が可能となるからである。

【００１０】なお、このような秘密鍵暗号アルゴリズム
に基づく暗号化及び復号は、公開鍵暗号アルゴリズムと
比べて小さな計算能力しか必要とせず、結果的に高速な
処理が可能となるため、車の停止を要しないで自動的に
料金収受を行う高速道路料金自動収受システムにおいて
秘密鍵暗号アルゴリズムに基づく暗号通信を行うことは
有効である。

【００１１】但し、上述した高速道路料金自動収受シス
テムにおいてはシステム中に車載機が複数存在するの
で、各車載機には車載機毎に異なる秘密情報をもたせる
必要がある。なぜなら、もし、ある車載機Ａの秘密情報
と車載機Ｂの秘密情報とが同じであるとすれば、万一、
車載機Ａの内容が悪意ある第三者により解析され偽物の
車載機Ａ’ができた場合に、この偽物Ａ’の不正利用を
排除するためにネガティブリストを用いて車載機Ａ’の
不正利用を防止しようとすると、同時に正当な車載機Ｂ
の利用まで排除されてしまうからである。

【００１２】

【発明が解決しようとする課題】ここで、各車載機毎に
異なる秘密情報を、車載機と共有するために路側機がど
のようにしてその秘密情報を獲得するかが問題となる。
例えば、路側機に全ての車載機のＩＤと秘密情報とを対
応づけた情報を予め記憶させておく方法が考えられる。
しかし、この方法には、システム中に存在する数千台の
路側機の記憶内容を更新する場合の負担が非常に大きい
上に、万一、１つの路側機が悪意ある第三者により解析
された場合に、全ての車載機の秘密情報がすべて暴露さ
れてしまうという欠点がある。

【００１３】また、別の方法として、車載機の秘密情報
は車載機のＩＤからある秘密関数ｆにより導き出される
ものであり車載機にはその関数値ｆ（ＩＤ）が記録さ
れ、路側機にその秘密関数ｆが備えられ、路側機は車載
機のＩＤの通知を受けてこれから車載機の秘密情報を導
き出すという方法が考えられる。しかし、この方法に
も、万一、１つの路側機が悪意ある第三者により解析さ
れた場合に、秘密関数ｆが暴露され、この結果として全
ての車載機の秘密情報が暴露されてしまうという欠点が
ある。

【００１４】なお、このような問題は、高速道路料金自
動収受システム以外であっても、複数のユーザ側装置の
いずれかと複数のシステム側装置のいずれかとの間でセ
キュリティを確保した通信を行うために、そのユーザ側
機器とそのシステム側機器の間で秘密情報を共有する必
要のあるシステムにおいては、同様に問題となる。そこ
で、本発明は、上述の問題点に鑑みてなされたものであ
り、ユーザ側機器とシステム側機器の間での機器認証及
び暗号通信に関して、システム側機器への不正な侵入及
び解析に対しても高度の安全性を保ち得る通信セキュリ
ティ機能を有する機器認証及び暗号通信システムを提供
することを第１の目的とする。また、このような機器認
証及び暗号通信を秘密鍵暗号アルゴリズムに基づく暗号
化又は復号を利用する場合において、その暗号化又は復
号のための鍵を、システム側機器への不正な侵入及び解
析に対する安全性が保てるように配送する鍵配送方法を
提供することを第２の目的とする。

【００１５】

【課題を解決するための手段】上記第１の目的を達成す
るために本発明に係る機器認証及び暗号通信システム
は、機器認証及び暗号通信を行う機器認証及び暗号通信
システムであって、各ユーザ側機器毎に異なる個別秘密
情報それぞれに対して、所定の変換を行うことにより鍵
カプセルデータを作成して、各鍵カプセルデータを該当
ユーザ側機器に配布し、前記各鍵カプセルデータから前
記各個別秘密情報を復元するために用いる１つの所定鍵
をシステム側機器に配布する管理装置と、各ユーザ側機
器は、前記個別秘密情報を記憶しており、機器認証及び
暗号通信を行うに際して、前記管理装置により配布され
た前記鍵カプセルデータをシステム側機器に送信する複
数のユーザ側機器と、前記ユーザ側機器から前記鍵カプ
セルデータを受信すると、前記管理装置により配布され
た前記所定鍵を用いて当該鍵カプセルデータから前記個
別秘密情報を復元するシステム側機器とを備え、前記ユ
ーザ側機器は前記記憶している個別秘密情報を鍵として
用い、前記システム側機器は前記復元した個別秘密情報
を鍵として用いて、秘密鍵暗号アルゴリズムに基づく暗
号化又は復号を行うことにより、前記機器認証及び暗号
通信を行うことを特徴とする。

【００１６】上記構成により、システム側機器は、ユー
ザ側機器から送られる鍵カプセルデータからユーザ側機
器毎に異なるものである個別秘密情報を復元するので、
全てのユーザ側機器について、個別秘密情報とユーザ側
機器のＩＤ等と対応づけて記憶していなくても、ユーザ
側機器との間で機器の正当性の認証と暗号通信とを行う
ことができる。従って、システム側機器には全てのユー
ザ側機器についての個別秘密情報を記憶しないようにす
ることができるため、この場合、悪意ある者がシステム
側機器に不正に侵入し解析を行ったとしても、その者は
全てのユーザ側機器についての個別秘密情報を入手する
ことはできない。

【００１７】また、上記第２の目的を達成するために本
発明に係る鍵配送方法は、機器認証及び暗号通信用の鍵
である個別秘密情報を記憶する複数のユーザ側機器のい
ずれかから、システム側機器に対して前記個別秘密情報
を配送する鍵配送方法であって、各ユーザ側機器につい
ての前記個別秘密情報に対して回復型署名変換を行うこ
とにより鍵カプセルデータを作成して、該当ユーザ側機
器に配布する鍵カプセルデータ作成及び配布ステップ
と、前記回復型署名変換に対応する署名検証変換に用い
る検証鍵を前記システム側機器に配布する検証鍵配布ス
テップと、前記ユーザ側機器によりなされ、前記鍵カプ
セルデータ作成及び配布ステップにより配布された前記
鍵カプセルデータを前記システム側機器に送信する鍵カ
プセルデータ送信ステップと、前記鍵カプセルデータ送
信ステップにより送信された鍵カプセルデータを受信
し、前記検証鍵配布ステップにより配布された前記検証
鍵を用いて当該鍵カプセルデータから前記個別秘密情報
を復元する鍵復元ステップとを含むことを特徴とする。

【００１８】上記処理構成により、システム側機器が全
てのユーザ側機器について、個別秘密情報とユーザ側機
器のＩＤ等と対応づけて記憶していなくても、ユーザ側
機器との間で機器の正当性の認証と暗号通信とを行うこ
とができ、また、システム側機器への不正な侵入及び解
析により不正に回復型署名についての署名検証変換用の
検証鍵を得ることはできたとしても、その検証鍵からは
回復型署名変換に用いる署名鍵が導き出せないので、悪
意ある者による鍵カプセルデータの偽造が不可能とな
る。

【００１９】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図を用いて説明する。＜構成＞図１は、本発明の実施の形態に係る高速道路料
金自動収受システム１０００の主要部分の機能構成図で
ある。

【００２０】高速道路料金自動収受システム１０００
は、高速道路の利用料金の支払いを、車に備えられる車
載機と、高速道路の各入口又は出口の料金所ゲートに備
えられる路側機との間の無線通信により行うシステムで
あり、１つの管理センタ１１００と数百万台の車載機と
数千台の路側機とを備える。車載機と路側機との間の距
離が数十メートル以内である限り車載機を搭載した車が
移動中であっても無線通信が可能である。なお、同図
は、１台の車載機１２００と、１台の路側機１３００
と、管理センタ１１００の関係に着目して示したもので
ある。

【００２１】＜管理センタ＞管理センタ１１００は、シ
ステム内の全機器の正当性についての管理をするセンタ
であり、ＣＰＵ、メモリ等を備えたコンピュータで構成
され、車載機１２００及び路側機１３００との間で、秘
密通信路１００１及び１００２を介して秘密にデータ通
信を行うことができる。ここで、秘密通信路１００１及
び１００２は、これを通るデータが悪意ある第三者に盗
聴されたり改ざんされたりすることがないような高度の
セキュリティ機能を有する通信路である。

【００２２】管理センタ１１００は機能的には、署名鍵
格納部１１０１と、検証鍵格納部１１０２と、回復型署
名変換部１１０３と、鍵カプセルデータ格納部１１０４
とを備え、各機能は前記メモリにより、又は前記メモリ
に格納された制御用プログラムが前記ＣＰＵに実行され
ることにより実現されるものである。ここで、署名鍵格
納部１１０１は、回復型署名アルゴリズムによりディジ
タル署名を行う際に用いる署名鍵Ｓｃを格納しているメ
モリ領域であり、検証鍵格納部１１０２は、前記署名鍵
に対応し、ディジタル署名を検証するための検証鍵Ｖｃ
を格納しているメモリ領域である。

【００２３】回復型署名変換部１１０３は、秘密通信路
１００１を介して車載機１２００により送信された車載
機個別秘密情報Ｋｉを受け取り、この車載機個別秘密情
報Ｋｉに対して署名鍵Ｓｃを用いて回復型署名変換を行
うことにより鍵カプセルデータＣｉを作成するものであ
る。なお、回復型署名変換については後述する。また、
鍵カプセルデータ格納部１１０４は、回復型署名変換部
１１０３により作成された鍵カプセルデータＣｉを格納
するメモリ領域である。

【００２４】この他に管理センタ１１００は、車載機か
らの車載機個別秘密情報Ｋｉの受信、鍵カプセルデータ
格納部１１０４に格納された鍵カプセルデータＣｉの車
載機への送信、及び検証鍵格納部１１０２に格納されて
いる検証鍵Ｖｃの路側機への送信の制御を行う通信制御
機能をも有する。＜車載機＞車載機１２００は、車に搭載され、高速道路
の入路ゲート又は出路ゲートに設置された路側機１３０
０等と公開通信路１００３を介して無線で通信すること
により高速道路の利用料金を自動的に支払うもので、メ
モリ及びＣＰＵ等からなる機器であり、着脱可能なＩＣ
カードを備える。このＩＣカードは、プリペイドカード
の機能を持ち当初所定の金額を示す残額情報が記録され
ている。また、公開通信路１００３は、これを通るデー
タが悪意ある第三者に盗聴されたり改ざんされたりする
危険性が高い通信路である。

【００２５】車載機１２００は機能的には、個別秘密情
報格納部１２０１と、鍵カプセルデータ保存部１２０２
と、復号データ格納部１２０３と、比較部１２０４と、
乱数発生部１２０５と、平文データ格納部１２０６と、
復号部１２１０と、暗号部１２２０とを備え、各機能は
前記メモリにより、又は前記メモリに格納された制御用
プログラムが前記ＣＰＵに実行されることにより実現さ
れるものである。

【００２６】ここで、個別秘密情報格納部１２０１は、
数百台の車載機毎に異なる車載機個別秘密情報Ｋｉを予
め格納しているメモリ領域である。この車載機個別秘密
情報Ｋｉは、車載機と路側機との間で残額情報等の通信
データをやり取りする際にその通信データを暗号化する
鍵として用いられる。鍵カプセルデータ保存部１２０２
は、管理センタ１１００から秘密通信路１００１を介し
て入手した鍵カプセルデータＣｉを格納するメモリ領域
である。

【００２７】復号部１２１０は、個別秘密情報格納部１
２０１に格納されている車載機個別秘密情報Ｋｉを用い
て路側機１３００から送られた暗号化されているデータ
を所定の秘密鍵暗号アルゴリズムによって復号し、復号
により得られるデータの格納のためのメモリ領域である
復号データ格納部１２０３に格納するものである。乱数
発生部１２０５は、チャレンジレスポンス手順により機
器認証を行うために乱数データを発生するものである。
なお、機器認証のためのチャレンジレスポンス手順につ
いては後述する。

【００２８】比較部１２０４は、路側機１３００から送
られる機器認証のための応答データと乱数発生部１２０
５により発生された乱数データとを比較するものであ
る。平文データ格納部１２０６は、車載機１２００が備
えるＩＣカードから読み出した残額情報や車載機のＩＤ
等、路側機１３００に対して送信すべき平文データを格
納するメモリ領域である。

【００２９】また、暗号部１２２０は、乱数発生部１２
０５が発生した乱数データ又は平文データ格納部１２０
６に格納されている平文データに対して、個別秘密情報
格納部１２０１に格納されている車載機個別秘密情報Ｋ
ｉを用いて、復号部１２１０と同一の秘密鍵暗号アルゴ
リズムによって暗号化を施すものである。この他、車載
機１２００は、個別秘密情報格納部１２０１に格納され
ている車載機個別秘密情報Ｋｉの管理センタ１１００へ
の送信、管理センタ１１００からの鍵カプセルデータＣ
ｉの受信や、鍵カプセルデータＣｉ、暗号化した乱数デ
ータ又は暗号化した平文データ、チャレンジレスポンス
手順により復号データ格納部１２０３に格納されたデー
タの応答データとしての路側機１３００への送信や、路
側機１３００からの応答データの受信の制御を行う通信
制御機能をも有する。

【００３０】＜路側機＞路側機１３００は、高速道路の
入路ゲート又は出路ゲートに設置される路側機であり、
車載機１２００等と公開通信路１００３を介して無線で
通信することにより高速道路の利用料金を自動的に収受
するもので、メモリ及びＣＰＵ等からなる機器である。

【００３１】路側機１３００は機能的には、検証鍵保存
部１３０１と、回復型署名検証変換部１３０２と、回復
データ格納部１３０３と、平文データ格納部１３０４
と、乱数発生部１３０５と、比較部１３０６と、復号デ
ータ格納部１３０７と、暗号部１３１０と、復号部１３
２０とを備え、各機能は前記メモリにより、又は前記メ
モリに格納された制御用プログラムが前記ＣＰＵに実行
されることにより実現されるものである。

【００３２】ここで、検証鍵保存部１３０１は、管理セ
ンタ１１００から秘密通信路１００２を介して入手した
検証鍵Ｖｃを秘密性を保持したまま格納するメモリ領域
である。回復型署名検証変換部１３０２は、車載機１２
００から公開通信路１００３を介して送られる鍵カプセ
ルデータＣｉに対して、検証鍵保存部１３０１に格納さ
れている検証鍵Ｖｃを用いて、回復型署名検証変換を行
うことにより、車載機個別秘密情報を算出して、メモリ
領域である回復データ格納部１３０３に格納するもので
ある。なお、回復型署名検証変換は、管理センタ１１０
０においてなされる回復型署名変換に対応するものであ
る。

【００３３】平文データ格納部１３０４は、車載機１２
００に対して送信すべき、更新後の残額情報等の平文デ
ータを格納するメモリ領域である。乱数発生部１３０５
は、チャレンジレスポンス手順により機器認証を行うた
めに乱数データを発生するものである。比較部１３０６
は、車載機１２００から送られる機器認証のための応答
データと乱数発生部１３０５により発生された乱数デー
タとを比較するものである。

【００３４】暗号部１３１０は、車載機１２００と同一
の秘密鍵暗号アルゴリズムにより、平文データ格納部１
３０４に格納されている平文データ、又は乱数発生部１
３０５により発生された乱数データに対して、回復デー
タ格納部１３０３に格納されている車載機個別秘密情報
を用いて暗号化を施すものである。また、復号部１３２
０は、回復データ格納部１３０３に格納されている車載
機個別秘密情報を用いて暗号部１３１０と同一の秘密鍵
暗号アルゴリズムにより、車載機１２００から送られる
データを復号し、メモリ領域である復号データ格納部１
３０７に格納するものである。＜回復型署名変換について＞上述した回復型署名変換
は、例えば楕円曲線上のＮＲ署名アルゴリズムによりな
される。ここで、楕円曲線上のＮＲ署名アルゴリズムと
は米国電気電子技術者協会（ＩＥＥＥ）の１３６３作業
部会で標準化が進められているディジタル署名方式の一
つであり、署名文は、被署名文に対して署名鍵を用いて
署名変換したものであり、署名文に対して検証鍵を用い
て検証変換を行うと元の被署名文が再現されるという特
徴をもつ。

【００３５】＜楕円曲線上のＮＲ署名変換＞以下、楕円
曲線上のＮＲ署名変換について説明する。楕円曲線と
は、（ｘ，ｙ）平面において、次の数１を満足する点
（ｘ，ｙ）の集合である。［数１］ｙ²＝ｘ³＋ａｘ＋ｂ数１において、ａ、ｂ、ｘ、ｙはＧＦ（ｐ）の元であ
り、ａ、ｂは定数であり、ここでｐは大きな素数であ
る。以下、小文字で示す数は、ｐ未満の正数を表す。ま
た、大文字は楕円曲線上の点のｘｙ座標を表す。

【００３６】この楕円曲線上の点であって位数が大きな
素因数を含む数となる一つの点をベース点Ｑとして選
ぶ。ここで位数ｎとはＱのｎ倍の点がＧ自身となるよう
な最少の正数である。復号鍵ｓはｎ以下である正数であ
る。これに対応する暗号鍵ＰはＱのｓ倍点の座標であ
る。署名対象である被署名文をｍとする。

【００３７】署名鍵：ｄ検証鍵：Ｑ及びＰ（＝ｓＱ）ここで、署名鍵ｄから、検証鍵Ｐは容易に計算できる
が、逆に検証鍵ＰとＱから署名鍵ｄを計算するのは、前
記位数ｎが大きいとき非常に困難になるという、いわゆ
る「楕円曲線上の離散対数問題の困難さ」がこの署名方
法の安全性の根拠となっている。楕円曲線の離散対数問
題に準拠するこの署名方法によれば、同じ安全性を確保
するのにＲＳＡ暗号よりも少ないビット数しか必要とし
ない。なお、これらの署名方法については、「現代暗
号」（岡本龍明、山本博資著、産業図書刊、１９９７
年）に詳しく説明されている。

【００３８】ここで、ｐの具体的な値としては、例えば
１６０ビット程度の大きさの数が選ばれる。また、ここ
で説明した署名鍵ｄと、検証鍵Ｑ及びＰとは、それぞれ
上述した管理センタ１１００の署名鍵格納部１１０１に
格納される署名鍵Ｓｃと、検証鍵格納部１１０２に格納
される検証鍵Ｖｃとに相当する。

【００３９】＜署名変換＞署名変換は次のように行う。ｓｔｅｐ１乱数ｋを発生。ｓｔｅｐ２Ｗ＝ｋＱを計算。Ｗのｘ座標をＷｘとす
る。ｓｔｅｐ３ｃ１＝ＷｘＥＸＯＲｍここで、ＥＸＯＲは、ビット毎の排他的論理和を示す演
算子とする。ｓｔｅｐ４ｃ２＝ｋ−ｄ・ｃ１（ｍｏｄｎ）ｓｔｅｐ５（ｃ１、ｃ２）を被署名文ｍに対する署名
とする。

【００４０】＜署名検証変換＞署名検証変換は次のよう
に行う。ｓｔｅｐ６（ｃ１、ｃ２）を受信ｓｔｅｐ７Ｗ＝ｃ１Ｐ＋ｃ２Ｑを計算ｓｔｅｐ８ｃ１ＥＸＯＲＷｘにより、被署名文ｍ
が再現される。

【００４１】なお、上記ステップ８の結果がｍになるこ
とは、Ｗ＝ｃ１Ｐ＋（ｋ−ｄ・ｃ１）Ｑ＝ｃ１Ｐ＋ｋＱ−ｃ１・（ｄＱ）＝ｋＱであることから確認できる。＜動作＞以下、上述した構成を備える高速道路料金自動
収受システム１０００の動作について説明する。

【００４２】＜概要＞高速道路の入路ゲートにおいて
は、車載機は路側機に対して車載機ＩＤを無線で送信
し、路側機は車載機に対しては、ゲートＩＤ、入路時刻
等を含む入路情報を無線で送信する。車載機は路側機か
ら入路情報を受信すると、この入路情報をＩＣカードに
記録する。

【００４３】一方、出路ゲートにおいては、車載機は路
側機に対して入路情報と残額情報を無線で送信し、路側
機は受信した入路情報に基づいて高速道路の利用料金を
計算して、受信した前記残額情報からその利用料金を差
引いて残額情報を更新して、更新後の残額情報を車載機
に対して無線で送信する。ここでは、管理センタ１１０
０と、１台の車載機１２００と、１台の路側機１３００
との関係に着目して説明する。

【００４４】＜検証鍵の配布＞管理センタ１１００は、
検証鍵格納部１１０２に格納された検証鍵Ｖｃを路側機
１３００に秘密通信路１００２を介して送信する。これ
を受けて路側機１３００はその検証鍵Ｖｃを検証鍵保存
部１３０１に保存する。＜鍵カプセルデータの作成及び配布＞図２は、管理セン
タ１１００による鍵カプセルデータの作成及び配布動作
を示す図である。

【００４５】車載機１２００は、個別秘密情報格納部１
２０１に予め格納されている車載機個別秘密情報Ｋｉを
秘密通信路１００１を介して管理センタ１１００に送信
する（ステップＳ２００１）。管理センタ１１００は、
車載機１２００から車載機個別秘密情報Ｋｉを受信し
（ステップＳ２００２）、回復型署名変換部１１０３に
よりその車載機個別秘密情報Ｋｉに対して署名鍵格納部
１１０１に格納されている署名鍵Ｓｃを用いて上述した
ＮＲ署名変換を行い、鍵カプセルデータＣｉを作成し鍵
カプセルデータ格納部１１０４に格納する（ステップＳ
２００３）。ここで、鍵カプセルデータＣｉは、上述の
ＮＲ署名変換の説明中の（ｃ１、ｃ２）に相当する。

【００４６】鍵カプセルデータＣｉを作成した管理セン
タ１１００は、鍵カプセルデータ格納部１１０４に格納
されている鍵カプセルデータＣｉを秘密通信路１００１
を介して車載機１２００に送信する（ステップＳ２００
４）。車載機１２００は、管理センタ１１００から送信
された鍵カプセルデータＣｉを受信して鍵カプセルデー
タ保存部１２０２に保存する（ステップＳ２００５）。

【００４７】以下、上述した検証鍵の配布と鍵カプセル
データの作成及び配布の完了した状態を初期状態とし
て、ここでは、路側機１３００が入路ゲートに設置され
ているとし、車載機１２００が入路ゲートに到達したこ
ととして両者間で機器認証及び暗号通信がなされる手順
を説明する。なお、初期状態に至るまでの間は、特に高
度のセキュリティ管理がなされ、不正な路側機が検証鍵
Ｖｃを入手することは不可能であるものとする。

【００４８】＜秘密情報の共有化、機器認証及び暗号通
信の手順＞図３は、車載機１２００と路側機１３００と
による秘密情報の共有化、機器認証及び暗号通信の動作
手順を示す図である。＜秘密情報の共有化＞車載機１２００は、鍵カプセルデ
ータ保存部１２０２に保存している鍵カプセルデータＣ
ｉを、公開通信路１００３を介して路側機１３００に対
して送信する（ステップＳ３００１）。

【００４９】これに対して路側機１３００は、鍵カプセ
ルデータＣｉを受信し（ステップＳ３００２）、その鍵
カプセルデータＣｉに対して、検証鍵保存部１３０１に
格納されている検証鍵Ｖｃを用いて上述した回復型署名
の検証変換を行うことにより、車載機個別秘密情報Ｋ
ｉ’を取り出し回復データ格納部１３０３に格納する。
回復データ格納部１３０３に格納された車載機個別秘密
情報Ｋｉ’は、車載機が正当な鍵カプセルデータを送信
した場合には、車載機１２００内の個別秘密情報格納部
１２０１に格納されている車載機個別秘密情報Ｋｉと同
じ値となる。即ち、これ以後の機器認証及び暗号通信の
ために用いられるべき秘密情報が、車載機１２００と路
側機１３００との間で共有化されたことになる。

【００５０】＜機器認証＞車載機個別秘密情報を得た
後、路側機１３００は、乱数発生部１３０５により乱数
Ｒ１を発生し、暗号部１３１０によりこの乱数Ｒ１に対
して回復データ格納部１３０３に格納されている車載機
個別秘密情報Ｋｉ’を鍵として用いて暗号化し、この暗
号化の結果として生じたデータ（以下「暗号化乱数Ｅ
１」という。）を、公開通信路１００３を介して車載機
１２００に送信する（ステップＳ３００４）。

【００５１】これに対応して車載機１２００は、暗号化
乱数Ｅ１を受信し、復号部１２１０により暗号化乱数Ｅ
１を入力暗号文としてこれに対して個別秘密情報格納部
１２０１に格納されている車載機個別秘密情報Ｋｉを復
号鍵として用いて復号し、この復号の結果として生じた
データ（以下「応答データＤ１」という。）を復号デー
タ格納部１２０３に格納し、この応答データＤ１を公開
通信路１００３を介して路側機１３００に送信する（ス
テップＳ３００５）。

【００５２】これに対応して応答データＤ１を受信した
路側機１３００は、比較部１３０６により、応答データ
Ｄ１と、ステップＳ３００４において乱数発生部１３０
５に生成された乱数Ｒ１とを比較する（ステップＳ３０
０６）。この比較により両者が一致するならば、路側機
１３００は車載機１２００が正当な機器であると判断で
きる。即ち、一致すれば、以後の機器認証及び暗号通信
の処理は続行されるが、一致しなければ、車載機１２０
０が不正なものとみなされるため、図３に示す処理は中
止され、例えば、車載機１２００を搭載する車の撮影
等、不正に対する対抗措置がなされる。

【００５３】なお、車載機１２００の正当性が確認でき
たことからは、回復データ格納部１３０３に格納されて
いる車載機個別秘密情報Ｋｉ’と車載機１２００内の個
別秘密情報格納部１２０１に格納されている車載機秘密
情報Ｋｉと同値であること、及び、暗号部１３１０の暗
号化アルゴリズムと復号部１２１０の復号アルゴリズム
とが呼応するものであることが推定できる。

【００５４】このように、ステップＳ３００４〜Ｓ３０
０６により路側機１３００は車載機１２００の正当性を
認証するのであるが、これに続いて、逆に車載機１２０
０から路側機１３００の正当性を以下に示す手順で認証
する（ステップＳ３００７〜ステップＳ３００９）。車
載機１２００は、乱数発生部１２０５により乱数Ｒ２を
発生し、暗号部１２２０によりこの乱数Ｒ２に対して個
別秘密情報格納部１２０１に格納されている車載機個別
秘密情報Ｋｉを暗号鍵として用いて暗号化し、この暗号
化の結果として生じたデータ（以下「暗号化乱数Ｅ２」
という。）を、公開通信路１００３を介して路側機１３
００に送信する（ステップＳ３００７）。

【００５５】これに対応して路側機１３００は、暗号化
乱数Ｅ２を受信し、復号部１３２０により暗号化乱数Ｅ
２を入力暗号文としてこれに対して回復データ格納部１
３０３に格納されている車載機個別秘密情報Ｋｉ’を復
号鍵として用いて復号し、この復号の結果として生じた
データ（以下「応答データＤ２」という。）を復号デー
タ格納部１３０７に格納し、この応答データＤ２を公開
通信路１００３を介して車載機１２００に送信する（ス
テップＳ３００８）。

【００５６】これに対応して応答データＤ２を受信した
車載機１２００は、比較部１２０４により、応答データ
Ｄ２と、ステップＳ３００７において乱数発生部１２０
５に生成された乱数Ｒ２とを比較する（ステップＳ３０
０９）。この比較により両者が一致するならば、車載機
１２００は路側機１３００が正当な機器であると判断で
きる。即ち、一致すれば、以後の暗号通信の処理は続行
されるが、一致しなければ、路側機１３００が不正なも
のとみなされるため、図３に示す処理は中止される。

【００５７】ここで説明した手順、即ち、機器認証のた
めに暗号化乱数Ｅ１と応答データＤ１とを送信し合う手
順、及び機器認証のために暗号化乱数Ｅ２と応答データ
Ｄ２とを送信し合う手順が、いわゆるチャレンジレスポ
ンス手順である。＜暗号通信＞機器認証が成功した後には、車載機１２０
０は、車載機ＩＤを平文データ格納部１２０６に格納
し、暗号部１２２０により、平文データ格納部１２０６
に格納されているその車載機ＩＤを平文として、これに
対して個別秘密情報格納部１２０１に格納されている車
載機個別秘密情報Ｋｉを暗号鍵として用いて暗号化し、
その結果として生じた暗号文ｍ１を公開通信路１００３
を介して路側機１３００に送信する（ステップＳ３０１
０）。

【００５８】これに対応して路側機１３００は、暗号文
ｍ１を受信し、復号部１３２０によりこの暗号文ｍ１に
対して回復データ格納部１３０３に格納されている車載
機個別秘密情報Ｋｉ’を復号鍵として用いて復号し、復
号結果を復号データ格納部１３０７に格納する（ステッ
プＳ３０１１）。これにより、路側機１３００は、車載
機１２００の車載機ＩＤを得ることができる。

【００５９】また、路側機１３００は、入路情報を平文
データ格納部１３０４に格納し、暗号部１３１０によ
り、平文データ格納部１３０４に格納されているその入
路情報を平文として、これに対して回復データ格納部１
３０３に格納されている車載機個別秘密情報Ｋｉ’を暗
号鍵として用いて暗号化し、その結果として生じた暗号
文ｍ２を公開通信路１００３を介して車載機１２００に
送信する（ステップＳ３０１２）。

【００６０】これに対応して車載機１２００は、暗号文
ｍ２を受信し、復号部１２１０によりこの暗号文ｍ２に
対応して個別秘密情報格納部１２０１に格納されている
車載機個別情報Ｋｉを復号鍵として用いて復号し、復号
結果を復号データ格納部１２０３に格納する（ステップ
Ｓ３０１３）。これにより、車載機１２００は、入路情
報を得ることができる。

【００６１】なお、ここでは、入路ゲートにおける車載
機１２００と路側機１３００と間でのデータの送受信に
ついて説明したが、出路ゲートにおいても図３に示す手
順と同様の手順により、車載機１２００とある路側機と
の間でデータが送受信される。＜考察＞上述した高速道路料金自動収受システム１００
０によれば、次のような効果が得られる。

【００６２】第１に、路側機は、各車載機についての個
別の秘密情報である車載機個別秘密情報を、車載機から
送信される鍵カプセルデータから復元することができる
ので、全ての車載機について、車載機ＩＤと車載機個別
秘密情報とを対応づけて予め記憶しておく必要がなく、
これにより路側機が不正に侵入された場合に対する安全
性が高まっている。

【００６３】第２に、路側機側が車載機個別秘密情報を
復元するためには、正当な路側機しか知らない秘密デー
タ、即ち検証鍵Ｖｃを必要とするので、このことから車
載機は、路側機が正当な機器か否かを認証することがで
き、この結果として、不正な路側機を用いた不正行為が
防止できる。第３に、鍵カプセルデータを作成するのに
回復型署名変換を用いるので、路側機が不正に侵入され
解析されて、管理センタの検証鍵Ｖｃが知得されたとし
ても、検証鍵Ｖｃからは、管理センタの署名鍵Ｓｃが導
き出せないため、鍵カプセルデータの偽造は行えない。

【００６４】第４に、楕円曲線上の離散対数問題に準拠
する回復型署名方法を用いるので、ＲＳＡ暗号を用いる
場合と比較して、安全性を保ったままでデータ量を削減
できる。＜補足＞以上、本発明に係る機器認証及び暗号通信シス
テムについて、実施形態である高速道路料金自動収受シ
ステム１０００を例に挙げて説明したが、本発明はこの
ような実施形態に限られないことは勿論である。即ち、（１）本発明に係る機器認証及び暗号通信システムは、
例えば携帯電話システム等、複数のユーザ側機器と、１
又は複数のシステム側機器との間で機器認証と暗号通信
とを要するシステムにおいて広く適用できるものであ
る。本実施の形態に示した高速道路料金自動収受システ
ム１０００における車載機はユーザ側機器に相当し、路
側機はシステム側機器に相当する。

【００６５】例えば、このユーザ側機器は、数十メガバ
イトの記憶容量をもち機器認証及び暗号通信のための制
御回路を内蔵する半導体メモリであるメモリカードであ
り、システム側機器は、そのメモリカードから暗号化を
施されて送られるデータを読み出し復号して利用するパ
ーソナルコンピュータ等の機器であることとすることが
できる。これによれば、メモリカードが個別秘密情報を
保有し、これを暗号鍵として用いて暗号化してデータを
出力することとなるが、この場合の暗号化は、公開鍵暗
号アルゴリズムと比較してアルゴリズムの単純な秘密鍵
暗号アルゴリズムにより行われるため、小型で計算能力
が低いメモリカードによっても、実使用に耐える速度で
のデータの暗号化等が可能となる。また、各メモリカー
ドについて、メモリカード毎に異なる個別秘密情報に対
する鍵カプセルデータを、管理システムが予め各メモリ
カード内に記録しておけば、たとえパーソナルコンピュ
ータ等の機器が不正に侵入され解析されたとしても、メ
モリカード内の鍵カプセルデータを偽造することが不可
能となる。（２）本実施の形態において示した高速道路料金自動収
受システム１０００では、車載機と路側機とは無線で通
信されることとしたが、本発明は、ユーザ側機器とシス
テム側機器とのデータ通信が無線でなされることに限定
されない。

【００６６】また、本実施の形態において、管理センタ
と、ユーザ側機器又はシステム側機器との間でのデータ
通信は安全な秘密通信路により行われることとしたが、
この秘密通信路は、必ずしも電気的な通信路である必要
はない。例えば物理的に安全な装置を介することによ
り、データのやり取りがなされることとしてもよい。ま
た、本実施の形態において、車載機毎に異なる車載機個
別秘密情報を予め格納していることとしたが、本発明に
係る機器認証及び暗号通信システムにおいては、予め管
理センにより、ユーザ側機器毎に異なるように個別秘密
情報が作成されて、その個別秘密情報に対応する鍵カプ
セルデータと共に各ユーザ側機器に配布されていること
としてもよい。（３）本実施の形態においては、鍵カプセルデータを作
成するのに回復型署名を用いること、即ち、管理センタ
は秘密鍵である署名鍵を用いて個別秘密情報に対して回
復型署名を行うことにより鍵カプセルデータを作成し、
システム側機器は、公開鍵である検証鍵を用いて鍵カプ
セルデータから個別秘密情報を復元することとしたが、
前記回復型署名の代わりに公開鍵暗号を用いることとし
ても、システム側機器が、個々のユーザ側機器の個別秘
密情報をそのユーザ側機器の識別番号等と対応づけて記
憶しておく必要がないという上記考察に示した第１の効
果は得られる。公開鍵暗号を用いる場合は、管理センタ
は、ユーザ側機器の個別秘密情報に対して公開鍵を用い
て公開鍵暗号変換を行い鍵カプセルデータを作成してユ
ーザ側機器に配布し、また、その公開鍵に対応する秘密
鍵をシステム側機器に配布しておき、システム側機器
は、管理センタから配布された秘密鍵を用いて、ユーザ
側機器から送信される鍵カプセルデータから公開鍵復号
変換により個別秘密情報を取り出すことになる。

【００６７】また、本実施の形態においては、楕円曲線
上の離散対数問題に基づく回復型署名を用いることとし
たが、これを他の回復型署名に代えても、上記考察に示
した第３の効果は得られる。（４）本実施の形態においては、車載機と路側機とが相
互に機器認証を行うこととしたが、一方の機器について
の機器認証のみを行い、他方についての機器認証は行わ
ないこととしてもよい。

【００６８】また、本実施の形態においては、車載機か
ら路側機に対して暗号文ｍ１が送られ、逆に路側機から
車載機に対して暗号文ｍ２が送られることとしたが、送
信順序はこれに限定されず、また、暗号文の送信が必ず
しも双方向に行われなければならないことはない。ま
た、本発明は、本実施の形態において説明したチャレン
ジレスポンス手順の一例に限定されることはなく、ユー
ザ側機器とシステム側機器との間で、共有した個別秘密
情報を鍵として用いて暗号化又は復号を行うことによっ
て機器認証を行うものであればよい。例えば、ユーザ側
機器とシステム側機器のうち一方を機器A、他方を機器B
とすると、機器Aが乱数を機器Bに送信し、機器Bは受け
取った乱数に対して個別秘密情報を鍵として用いて暗号
化を行い、暗号化により生成されるデータを機器Aに返
信し、機器Aは先に送信した乱数に対して個別秘密情報
を鍵として用いて暗号化を行い、この暗号化の結果とし
て生成されるデータと、機器Bから送られたデータとが
一致するかどうかを判断することにより機器認証を行う
こととしてもよい。（５）本実施の形態に示した高速道路料金自動収受シス
テム１０００の管理センタ、車載機又は路側機による動
作手順（図２、図３に示した手順等）を、汎用のコンピ
ュータ又はプログラム実行機能を有する家電機器に実行
させるためのコンピュータプログラムを、記録媒体に記
録し又は各種通信路等を介して、流通させ頒布すること
もできる。かかる記録媒体には、ＩＣカード、光ディス
ク、フレキシブルディスク、ＲＯＭ等がある。流通、頒
布されたコンピュータプログラムは、プログラム実行機
能を有する家電機器やパーソナルコンピュータ等にイン
ストール等されることにより利用に供され、家電機器や
パーソナルコンピュータは、当該コンピュータプログラ
ムを実行して、本実施の形態に示したような機器認証及
び暗号通信に関する諸機能を実現する。

【００６９】

【発明の効果】以上の説明から明らかなように本発明に
係る機器認証及び暗号通信システムは、機器認証及び暗
号通信を行う機器認証及び暗号通信システムであって、
各ユーザ側機器毎に異なる個別秘密情報それぞれに対し
て、所定の変換を行うことにより鍵カプセルデータを作
成して、各鍵カプセルデータを該当ユーザ側機器に配布
し、前記各鍵カプセルデータから前記各個別秘密情報を
復元するために用いる１つの所定鍵をシステム側機器に
配布する管理装置と、各ユーザ側機器は、前記個別秘密
情報を記憶しており、機器認証及び暗号通信を行うに際
して、前記管理装置により配布された前記鍵カプセルデ
ータをシステム側機器に送信する複数のユーザ側機器
と、前記ユーザ側機器から前記鍵カプセルデータを受信
すると、前記管理装置により配布された前記所定鍵を用
いて当該鍵カプセルデータから前記個別秘密情報を復元
するシステム側機器とを備え、前記ユーザ側機器は前記
記憶している個別秘密情報を鍵として用い、前記システ
ム側機器は前記復元した個別秘密情報を鍵として用い
て、秘密鍵暗号アルゴリズムに基づく暗号化又は復号を
行うことにより、前記機器認証及び暗号通信を行うこと
を特徴とする。

【００７０】これにより、システム側機器は、ユーザ側
機器から送られる鍵カプセルデータからユーザ側機器毎
に異なるものである個別秘密情報を復元するので、全て
のユーザ側機器について、個別秘密情報とユーザ側機器
のＩＤ等と対応づけて記憶していなくても、ユーザ側機
器との間で機器の正当性の認証と暗号通信とを行うこと
ができる。従って、システム側機器には全てのユーザ側
機器についての個別秘密情報を記憶しないようにするこ
とができるため、この場合、悪意ある者がシステム側機
器に不正に侵入し解析を行ったとしても、その者は全て
のユーザ側機器についての個別秘密情報を入手すること
はできない。

【００７１】ここで、前記管理装置は、回復型署名変換
方法における署名鍵とこれに対応する検証鍵とを予め記
憶しており、前記所定の変換は、前記署名鍵を用いてな
される回復型署名変換であり、前記所定鍵は、前記検証
鍵であり、前記システム側機器は、前記所定鍵を用いて
前記回復型署名変換に対応する回復型署名検証変換を行
うことにより当該鍵カプセルデータから前記個別秘密情
報を復元することとすることもできる。

【００７２】これにより、鍵カプセルデータは回復型署
名変換により作成されるため、システム側機器への不正
な侵入及び解析により、その回復型署名についての署名
検証変換用の検証鍵を得ることはできたとしても、その
検証鍵からは回復型署名変換に用いる署名鍵が導き出せ
ないので、悪意ある者による鍵カプセルデータの偽造が
不可能となる。

【００７３】また、前記機器認証は、前記ユーザ側機器
及び前記システム側機器のうちの一方である第１機器が
乱数データを前記秘密鍵暗号アルゴリズムに基づき暗号
化して、他方の第２機器に送信し、これを受信した第２
機器が暗号化された乱数データを前記秘密鍵暗号アルゴ
リズムに基づき復号して応答データを作成し第１機器に
返信し、前記応答データを受信した第１機器が当該応答
データと前記乱数データとを比較することにより行われ
ることとすることもできる。

【００７４】これにより、システム側機器が鍵カプセル
データから復元した個別秘密情報をユーザ側機器と共有
することによって、その個別秘密情報を共通の秘密鍵と
して秘密鍵暗号アルゴリズムに基づいてチャレンジレス
ポンス手順によりユーザ側機器又はシステム側機器の正
当性の認証を行うので、認証が成功すれば、個別秘密情
報が正しく共有されていることが確認できる。また、上
記したように悪意ある者による鍵カプセルデータの偽造
が不可能であることを前提とすれば、このチャレンジレ
スポンス手順によりユーザ側機器の正当性の認証を行う
場合における認証の確かさは高いものとなる。

【００７５】また、前記回復型署名変換及び前記回復型
署名検証変換は、楕円曲線理論に基づくものであること
とすることもできる。これにより、システムの安全性を
低下させることはなく、個別秘密情報を共有化するため
にユーザ側機器からシステム側機器に送信される鍵カプ
セルデータのデータ量を縮小化することができる。

【００７６】また、前記ユーザ側機器は、車に備えられ
る車載機であり、前記システム側機器は、道路に設けら
れた路側機であり、前記ユーザ側機器と前記システム側
機器との間でのデータ送受信は、前記ユーザ側機器が前
記システム側機器の付近を通過する際に行われることと
することもできる。これにより、車載機が搭載された複
数の車について、そのいずれかが道路に設置された路側
機の付近を通過する際に、車載機と路側機との間で、セ
キュリティを確保しつつ秘密鍵を共有することが可能と
なる。従って、車載機と路側機との間で、秘密鍵暗号ア
ルゴリズムによる暗号化又は復号を用いる機器認証や暗
号通信を行うことができるため、公開鍵暗号アルゴリズ
ムを用いる場合よりも比較的高速に機器認証及び暗号通
信が行え、この結果、路側機が設置された箇所の付近に
おける車の渋滞を防止することができる。

【００７７】また、前記ユーザ側機器と前記システム側
機器との間での機器認証は、相互に相手側機器を認証す
るものであり、前記ユーザ側機器と前記システム側機器
との間での暗号通信は、双方向に行われることとするこ
ともできる。これにより、ユーザ側機器は鍵カプセルデ
ータを管理センタから受け取った正当な機器であり、シ
ステム側機器は検証鍵を管理センタから受け取った正当
な機器であることが相互に認証でき、また、公開された
通信路を介して安全にデータ通信を送受信することがで
きる。

【００７８】また、前記管理装置は、複数の前記個別秘
密情報を該当ユーザ側機器に配布し、前記ユーザ側機器
が記憶している前記個別秘密情報は、前記管理装置から
配布されたものであることとすることもできる。これに
より、管理センタは、個別秘密情報をユーザ側機器に配
布する前に、その個別秘密情報に対して回復型署名変換
を行うことにより鍵カプセルデータが作成できるため、
ユーザ側機器から個別秘密情報を受信するための手段を
備える必要がなく、簡易な構成で実現できる。

【００７９】また、前記管理装置は、公開鍵暗号方法に
おける公開鍵とこれに対応する秘密鍵とを予め記憶して
おり、前記所定の変換は、前記公開鍵を用いてなされる
公開鍵暗号変換であり、前記所定鍵は、前記秘密鍵であ
り、前記システム側機器は、前記所定鍵を用いて前記公
開鍵暗号変換に対応する復号変換を行うことにより当該
鍵カプセルデータから前記個別秘密情報を復元すること
とすることもできる。

【００８０】これにより、システム側機器は、管理セン
タから配布された秘密鍵を用いて個別秘密情報を復元す
ることができるため、全てのユーザ側機器についての個
別秘密情報を予め記憶しておく必要がない。全ての個別
秘密情報を予め記憶しなければ、システム側機器が不正
に侵入され解析された場合においても、全てのユーザ側
機器の個別秘密情報が暴露されることがないのでシステ
ムの安全性が高まる。

【００８１】また、本発明に係る鍵配送方法は、機器認
証及び暗号通信用の鍵である個別秘密情報を記憶する複
数のユーザ側機器のいずれかから、システム側機器に対
して前記個別秘密情報を配送する鍵配送方法であって、
各ユーザ側機器についての前記個別秘密情報に対して回
復型署名変換を行うことにより鍵カプセルデータを作成
して、該当ユーザ側機器に配布する鍵カプセルデータ作
成及び配布ステップと、前記回復型署名変換に対応する
署名検証変換に用いる検証鍵を前記システム側機器に配
布する検証鍵配布ステップと、前記ユーザ側機器により
なされ、前記鍵カプセルデータ作成及び配布ステップに
より配布された前記鍵カプセルデータを前記システム側
機器に送信する鍵カプセルデータ送信ステップと、前記
鍵カプセルデータ送信ステップにより送信された鍵カプ
セルデータを受信し、前記検証鍵配布ステップにより配
布された前記検証鍵を用いて当該鍵カプセルデータから
前記個別秘密情報を復元する鍵復元ステップとを含むこ
とを特徴とする。

【００８２】これにより、システム側機器が全てのユー
ザ側機器について、個別秘密情報とユーザ側機器のＩＤ
等と対応づけて記憶していなくても、ユーザ側機器との
間で機器の正当性の認証と暗号通信とを行うことがで
き、また、システム側機器への不正な侵入及び解析によ
り不正に回復型署名についての署名検証変換用の検証鍵
を得ることはできたとしても、その検証鍵からは回復型
署名変換に用いる署名鍵が導き出せないので、悪意ある
者による鍵カプセルデータの偽造が不可能となる。

【図面の簡単な説明】

【図１】本発明の実施の形態に係る高速道路料金自動収
受システム１０００の主要部分の機能構成図である。

【図２】高速道路料金自動収受システム１０００におけ
る管理センタ１１００による鍵カプセルデータの作成及
び配布動作を示す図である。

【図３】高速道路料金自動収受システム１０００におけ
る車載機１２００と路側機１３００とによる秘密情報の
共有化、機器認証及び暗号通信の動作手順を示す図であ
る。

【符号の説明】

１０００高速道路料金自動収受システム１００１、１００２秘密通信路１００３公開通信路１１００管理センタ１１０１署名鍵格納部１１０２検証鍵格納部１１０３回復型署名変換部１１０４鍵カプセルデータ格納部１２００車載機１２０１個別秘密情報格納部１２０２鍵カプセルデータ保存部１２０３復号データ格納部１２０４比較部１２０５乱数発生部１２０６平文データ格納部１２１０復号部１２２０暗号部１３００路側機１３０１検証鍵保存部１３０２回復型署名検証変換部１３０３回復データ格納部１３０４平文データ格納部１３０５乱数発生部１３０６比較部１３０７復号データ格納部１３１０暗号部１３２０復号部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号ＦＩＨ０４Ｌ 9/00 ６７５Ｄ

Claims

【特許請求の範囲】

【請求項１】機器認証及び暗号通信を行う機器認証及
び暗号通信システムであって、各ユーザ側機器毎に異なる個別秘密情報それぞれに対し
て、所定の変換を行うことにより鍵カプセルデータを作
成して、各鍵カプセルデータを該当ユーザ側機器に配布
し、前記各鍵カプセルデータから前記各個別秘密情報を
復元するために用いる１つの所定鍵をシステム側機器に
配布する管理装置と、各ユーザ側機器は、前記個別秘密情報を記憶しており、
機器認証及び暗号通信を行うに際して、前記管理装置に
より配布された前記鍵カプセルデータをシステム側機器
に送信する複数のユーザ側機器と、前記ユーザ側機器から前記鍵カプセルデータを受信する
と、前記管理装置により配布された前記所定鍵を用いて
当該鍵カプセルデータから前記個別秘密情報を復元する
システム側機器とを備え、前記ユーザ側機器は前記記憶している個別秘密情報を鍵
として用い、前記システム側機器は前記復元した個別秘
密情報を鍵として用いて、秘密鍵暗号アルゴリズムに基
づく暗号化又は復号を行うことにより、前記機器認証及
び暗号通信を行うことを特徴とする機器認証及び暗号通
信システム。
【請求項２】前記管理装置は、回復型署名変換方法に
おける署名鍵とこれに対応する検証鍵とを予め記憶して
おり、前記所定の変換は、前記署名鍵を用いてなされる回復型
署名変換であり、前記所定鍵は、前記検証鍵であり、前記システム側機器は、前記所定鍵を用いて前記回復型
署名変換に対応する回復型署名検証変換を行うことによ
り当該鍵カプセルデータから前記個別秘密情報を復元す
ることを特徴とする請求項１記載の機器認証及び暗号通
信システム。
【請求項３】前記機器認証は、前記ユーザ側機器及び
前記システム側機器のうちの一方である第１機器が乱数
データを前記秘密鍵暗号アルゴリズムに基づき暗号化し
て、他方の第２機器に送信し、これを受信した第２機器
が暗号化された乱数データを前記秘密鍵暗号アルゴリズ
ムに基づき復号して応答データを作成し第１機器に返信
し、前記応答データを受信した第１機器が当該応答デー
タと前記乱数データとを比較することにより行われるこ
とを特徴とする請求項２記載の機器認証及び暗号通信シ
ステム。
【請求項４】前記回復型署名変換及び前記回復型署名
検証変換は、楕円曲線理論に基づくものであることを特
徴とする請求項３記載の機器認証及び暗号通信システ
ム。
【請求項５】前記ユーザ側機器は、車に備えられる車
載機であり、前記システム側機器は、道路に設けられた路側機であ
り、前記ユーザ側機器と前記システム側機器との間でのデー
タ送受信は、前記ユーザ側機器が前記システム側機器の
付近を通過する際に行われることを特徴とする請求項４
記載の機器認証及び暗号通信システム。
【請求項６】前記ユーザ側機器と前記システム側機器
との間での機器認証は、相互に相手側機器を認証するも
のであり、前記ユーザ側機器と前記システム側機器との間での暗号
通信は、双方向に行われることを特徴とする請求項５記
載の機器認証及び暗号通信システム。
【請求項７】前記管理装置は、複数の前記個別秘密情
報を該当ユーザ側機器に配布し、前記ユーザ側機器が記憶している前記個別秘密情報は、
前記管理装置から配布されたものであることを特徴とす
る請求項４記載の機器認証及び暗号通信システム。
【請求項８】前記管理装置は、公開鍵暗号方法におけ
る公開鍵とこれに対応する秘密鍵とを予め記憶してお
り、前記所定の変換は、前記公開鍵を用いてなされる公開鍵
暗号変換であり、前記所定鍵は、前記秘密鍵であり、前記システム側機器は、前記所定鍵を用いて前記公開鍵
暗号変換に対応する復号変換を行うことにより当該鍵カ
プセルデータから前記個別秘密情報を復元することを特
徴とする請求項１記載の機器認証及び暗号通信システ
ム。
【請求項９】前記ユーザ側機器は、車に備えられる車
載機であり、前記システム側機器は、道路に設けられた路側機であ
り、前記ユーザ側機器と前記システム側機器との間でのデー
タ送受信は、前記ユーザ側機器が前記システム側機器の
付近を通過する際に行われることを特徴とする請求項８
記載の機器認証及び暗号通信システム。
【請求項１０】機器認証及び暗号通信用の鍵である個
別秘密情報を記憶する複数のユーザ側機器のいずれかか
ら、システム側機器に対して前記個別秘密情報を配送す
る鍵配送方法であって、各ユーザ側機器についての前記個別秘密情報に対して回
復型署名変換を行うことにより鍵カプセルデータを作成
して、該当ユーザ側機器に配布する鍵カプセルデータ作
成及び配布ステップと、前記回復型署名変換に対応する署名検証変換に用いる検
証鍵を前記システム側機器に配布する検証鍵配布ステッ
プと、前記ユーザ側機器によりなされ、前記鍵カプセルデータ
作成及び配布ステップにより配布された前記鍵カプセル
データを前記システム側機器に送信する鍵カプセルデー
タ送信ステップと、前記鍵カプセルデータ送信ステップにより送信された鍵
カプセルデータを受信し、前記検証鍵配布ステップによ
り配布された前記検証鍵を用いて当該鍵カプセルデータ
から前記個別秘密情報を復元する鍵復元ステップとを含
むことを特徴とする鍵配送方法。