WO2006057390A1 - 流通経緯認証システム、流通経緯認証方法 - Google Patents

流通経緯認証システム、流通経緯認証方法 Download PDF

Info

Publication number
WO2006057390A1
WO2006057390A1 PCT/JP2005/021822 JP2005021822W WO2006057390A1 WO 2006057390 A1 WO2006057390 A1 WO 2006057390A1 JP 2005021822 W JP2005021822 W JP 2005021822W WO 2006057390 A1 WO2006057390 A1 WO 2006057390A1
Authority
WO
WIPO (PCT)
Prior art keywords
base
wireless
distribution history
tag
information
Prior art date
Application number
PCT/JP2005/021822
Other languages
English (en)
French (fr)
Inventor
Jun Noda
Daigo Taguchi
Kazue Sako
Isamu Teranishi
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to JP2006547916A priority Critical patent/JP4993076B2/ja
Publication of WO2006057390A1 publication Critical patent/WO2006057390A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Definitions

  • Distribution process authentication system distribution process authentication method
  • the present invention is a system for authenticating the distribution history of products or product packages for general consumers such as factory-produced products and foods.
  • an RF-ID (Radio Frequency-IDentification) tag is used. This is related to the distribution history authentication system and distribution history authentication method of each base such as manufacturing, processing, retail, consumption / use, reuse, disposal, etc. of products with wireless IC tags represented.
  • a product distribution system it may be desired to know how the product was distributed, that is, the distribution process.
  • a product In the event that a product is damaged during distribution, it is necessary to clarify the location of responsibility and to clarify the location of production, especially for the purpose of improving the safety and reliability of products such as food. Need to know the background.
  • One example of a conventional method for knowing such a distribution process is a courier system using a wireless IC tag described in Patent Document 1.
  • an ID unique to a wireless IC tag is stored in a storage area in the wireless IC tag.
  • the wireless IC tag is attached to the product, and the ID is read by a reader / writer installed at the collection store and delivery store, and the read ID is sent to the host computer each time.
  • the distribution process of the delivery items can be managed on the side (hereinafter referred to as the first conventional technology).
  • a wireless IC tag having a writable memory area is attached to a product to manage the distribution process.
  • a non-contact type IC tag management method for meat distribution shown in Patent Document 3.
  • information related to meat to be distributed is encrypted with a secret key and a public key for decrypting the information is written on an IC tag, and recorded on the IC tag at the distribution destination.
  • the information recorded on the IC tag is decrypted with the public key.
  • Non-patent document 1 is known as a document relating to a wireless IC tag.
  • Non-patent document 2 and non-patent document 3 disclose a signature method that improves such a problem and the total value of the data length of the signature text is not proportional to the number of signature devices.
  • the method of Non-Patent Document 2 is based on the difficulty of the RSA problem, and the method of Non-Patent Document 3 relies on the difficulty of the Gap Diffie Hellman problem on a supersingular elliptic curve. Is shown.
  • Patent Document 1 Japanese Patent Laid-Open No. 2001-206514
  • Patent Document 2 JP 2002-49905 A
  • Patent Document 3 Japanese Patent Application Laid-Open No. 2004-43143
  • Non-Patent Document 1 All wireless IC tags, Nikkei Business Publications, pp.197, 2004
  • Non-Patent Literature 2 AnnaLysyanskaya, bilvio icali, Leonid Reyzin, Hovav Snacham.beq uential Aggregate Signatures from Trapdoor Permutations.InAdvances in Cryptolog y-EUROCRYPT 2004, vol. 3027 of LNCS, pp. 74-90.
  • Non-Patent Document 3 D. Boneh, C. Gentry, B. Lynn, and H. Shacham. Aggregate and Verifi ably Encrypted Signatures from Bilinear Maps. In Advances in Cryptolog y——EURO
  • the writable memory area of the main writable wireless IC tag is a finite area of 1 Kbyte at most referring to Non-Patent Document 1, and each There is a problem that it is not possible to record the distribution history information that occurs one after the other through the base. If there is not enough storage space to record, the distribution history information cannot be recorded correctly, and the distribution history cannot be known. Even if the distribution history information to be recorded fits in a finite writable memory area, the write memory area is not used to store only the information necessary to know the distribution history. It is conceivable to store various information depending on the system, and it is desirable to manage the distribution history information with as little capacity as possible.
  • multiple signature scheme is applied to a system for authenticating the distribution history of products, so-called multiple signature scheme is known, and in particular, a wireless IC tag represented by RF-ID is attached.
  • RF-ID wireless IC tag represented by RF-ID
  • the present invention has been made in view of the above problems, and its purpose is to be unable to communicate with a host computer in the distribution process of products for general consumers such as factory-produced products and foods or product cages.
  • a distribution history authentication method that can check distribution history even in an offline environment, and can detect counterfeiting and falsification of distribution history information at the reader / writer of each base in the distribution history and a malicious third party, and The purpose is to provide a distribution history authentication system.
  • Another object of the present invention is to provide a distribution history authentication method and distribution history authentication system capable of easily verifying whether the distribution history of a product is correct.
  • Still another object of the present invention is to provide a distribution history authentication method and distribution history authentication system having scalability in the number of bases traced during distribution history.
  • a first distribution history authentication system of the present invention includes a transmission / reception unit that transmits / receives information to / from a wireless IC tag attached to a product or a package thereof, and a signature generation unit that generates a signature.
  • a reader / writer is installed at each site on the distribution channel of the product, and the reader / writer provided at the first site communicates with the product distributed at its site or the wireless IC tag attached to its package to obtain an initial value or The signed text signed with the private key of the local site is written to the readable / writable memory of the wireless IC tag as distribution history information.
  • the reader / writer provided at the base other than the first base It communicates with the wireless IC tag attached to the product or its package that has been distributed, and is written in the readable / writable memory of the wireless IC tag, and is derived from the distribution history information.
  • Self-respect to information It is characterized in that a signature sentence signed with the private key of the base is derived as new distribution history information, written in a readable / writable memory of the wireless IC tag, and replaced with the original distribution history information.
  • the second distribution history authentication system of the present invention is the first distribution history authentication system according to the first distribution history authentication system, wherein the wireless IC tag unique identification number stored in the read-only memory of the wireless IC tag as the initial value. Is used.
  • the third distribution history authentication system of the present invention is the first distribution history authentication system according to the first or second distribution history authentication system, wherein the reader / writer provided in at least one base other than the first base
  • the public key of each base upstream from the local base is ordered in order from the public key of the local base.
  • a fourth distribution history authentication system of the present invention includes a transmission / reception unit that transmits / receives information to / from a wireless IC tag attached to a product or a package thereof, and a signature generation unit that generates a signature.
  • a reader / writer is installed at each site on the distribution channel of the product, and the reader / writer provided at the first site communicates with the product distributed at its site or the wireless IC tag attached to its package to obtain an initial value or
  • the signed text signed with the private key of the local site is written into the readable / writable memory of the wireless IC tag as the distribution history information and the initial value or the value derived from it as auxiliary information.
  • Reader / writers provided at locations other than the base communicate with the wireless IC tag attached to the product distributed to the base or its knockout, and read / write memory of the wireless IC tag.
  • Information on the distribution history that has been inserted or the strength of the information is derived.
  • the newly-distributed history information is written in the signature text signed with the private key of the local site! /,
  • the original distribution history information or The derived information is derived as auxiliary information and is replaced with the original distribution history information and auxiliary information written in the readable / writable memory of the wireless IC tag.
  • the fifth distribution history authentication system of the present invention is the fourth distribution history authentication system, wherein the reader / writer provided in at least one base other than the first base is distributed to the local base.
  • the distribution history information written in the readable / writable memory of the wireless IC tag attached to the product or its package is verified using the public key of the site one upstream from the local site, and the verification As a result, it is possible to derive auxiliary information that is the same as the auxiliary information written in the readable / writable memory of the wireless IC tag. It has the part.
  • the sixth distribution background authentication system of the present invention is the first distribution background authentication system, wherein the signature creation unit of the reader / writer provided at the i-th base in the order of background is d, RSA Distribute the modulus to n, the initial value u or a value derived from it, or distribute it to your site.
  • Distribution history information written in the readable / writable memory of the wireless ic tag attached to the product or its package, or information derived from ST, (u n)? f (u) u d ⁇
  • the seventh distribution history authentication system of the present invention is the sixth distribution history authentication system, wherein the ST is a hash value of a bit string T obtained by concatenating the public key of the base and all bases upstream from the base.
  • H (T) is a value obtained by exclusive OR between the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag. To do.
  • An eighth distribution history authentication system is the sixth distribution history authentication system, wherein the ST is a bit string T obtained by concatenating the public key and the message of the base and all bases upstream from the base.
  • H (T) 0 u obtained by exclusive OR of hash value H (T) and initial value or bit string u of distribution history information written in the readable / writable memory of the wireless IC tag It is characterized by that.
  • the tenth distribution history authentication system of the present invention is the fourth distribution history authentication system, in which the signature writer of the reader / writer provided at the base in the order of the history is d, RSA Distribute the modulus to n, the initial value u or a value derived from it, or distribute it to your site.
  • the ST is a hash of a bit string T obtained by concatenating the public key of the base and all bases upstream from the base.
  • the value H (T) 0 u is obtained by exclusive ORing the value H (T) with the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag.
  • a twelfth distribution history authentication system is the tenth distribution history authentication system, wherein the ST is a bit string T obtained by concatenating public keys and messages of the base and all bases upstream from the base.
  • H (T) ⁇ u obtained by exclusive ORing the hash value H (T) with the initial value or the bit string u of the distribution history information written in the readable / writable memory of the wireless IC tag. It is characterized by that.
  • a first distribution history authentication method includes a transmission / reception unit that transmits / receives information to / from a product or a wireless IC tag attached to the product and a signature generation unit that generates a signature.
  • a writer is installed at each location on the distribution channel for the product, and the reader / writer at the first location communicates with the product distributed at its location or the wireless IC tag attached to its package to obtain the initial value or
  • the signature text signed with the private key of the local site is written to the readable / writable memory of the wireless IC tag as distribution history information, and the reader / writer power provided at the base other than the first base has been distributed to the local base.
  • the feature is that the signature text signed with the private key of the local site is derived as new distribution history information, written in the readable / writable memory of the wireless IC tag, and replaced with the original distribution history information.
  • the second distribution history authentication method of the present invention is the same as the first distribution history authentication method!
  • the wireless IC tag is stored in the read-only memory of the wireless IC tag as the initial value. It is characterized by using a unique identification number.
  • the third distribution background authentication method of the present invention is the first or second distribution background authentication method, wherein the signature verification unit of the reader / writer provided at at least one base other than the first base is at its own base.
  • the public key of each base upstream from the base is close to the base and the base It is possible to repeat the verification using the public key in order, and to determine that the product has been correctly processed up to its own base by being able to verify back to the point where the initial value is finally obtained. It is characterized by that.
  • a fourth distribution history authentication method of the present invention includes a transmission / reception unit that transmits / receives information to / from a product or a wireless IC tag attached to the package thereof, and a signature generation unit that generates a signature.
  • a writer is installed at each location on the distribution channel for the product, and the reader / writer at the first location communicates with the product distributed at its location or the wireless IC tag attached to its package to obtain the initial value or Write the signature text signed with the private key of the base of the derived value into the readable / writable memory of the wireless IC tag as the distribution history information, the initial value or the value derived from it as auxiliary information, and the base other than the first base Reader lie with Communicates with the wireless IC tag attached to the product distributed at its base or its package, and is written into the readable / writable memory of the wireless IC tag.
  • the signature text signed with the private key of the local site is written as new distribution history information, and the original distribution history information or its derived information is derived as auxiliary information, and the wireless IC tag readable / writable memory It is characterized by replacing the original distribution history information and auxiliary information.
  • the fifth distribution history authentication method of the present invention is the same as the fourth distribution history authentication method, in which the signature verification unit of the reader / writer provided in at least one site other than the first site flows to the local site. Verify the distribution history information written in the readable / writable memory of the wireless IC tag attached to the passed product or its package using the public key of the site one upstream from the site, As a result of the verification, it is possible to derive the auxiliary information that is the same as the auxiliary information written in the readable / writable memory of the wireless IC tag, so that it is determined that the product has been correctly processed by the previous base. It has the stage to do.
  • the sixth distribution background authentication method of the present invention is the same as the first distribution background authentication method!
  • the signature creation capability of the reader / writer provided at the base in the order of history is the secret key of the local base.
  • d RSA module n
  • the seventh distribution history authentication method of the present invention is the sixth distribution history authentication method, wherein the ST is a bit string Ti that concatenates the public key of the base and all bases upstream from the base.
  • the value H (T) 0 u obtained by the exclusive OR of the hash value H (T) and the initial value or the bit string u of the distribution history information written in the readable / writable memory of the wireless IC tag. It is characterized by being.
  • the eighth distribution history authentication method of the present invention is the same as the sixth distribution history authentication method, wherein the ST concatenates the public keys and messages of the base and all bases upstream from the base. Value obtained by exclusive OR of hash value ⁇ ( ⁇ ) of bit sequence T ; and initial value or bit sequence u of distribution history information written in the readable / writable memory of the wireless IC tag ⁇ It is characterized by being u.
  • the ninth distribution background authentication method of the present invention is the seventh or eighth distribution background authentication method, wherein the signature verification function of the reader / writer provided at the base of the grid is the historical order.
  • the tenth distribution history authentication method of the present invention is the same as the fourth distribution history authentication method.
  • RSA modulus n initial value u or value derived from it,
  • Distribution history information u written in the readable / writable memory of the wireless ic tag attached to the product or its package, or information derived from it, ST, (u n)? f (u) u d ⁇ mod
  • An eleventh distribution history authentication method is the tenth distribution history authentication method, wherein the ST is a bit string T obtained by concatenating the public key of the base and all bases upstream from the base.
  • the hash value H (T) and the value H (T) ⁇ u obtained by exclusive OR of the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag.
  • the ST concatenates public keys and messages of the base and all bases upstream from the base.
  • the value H (T) ⁇ u obtained by exclusive ORing the hash value H (T) of the bit string T and the initial value or the bit string u of the distribution history information written in the readable / writable memory of the wireless IC tag. It is characterized by being.
  • the thirteenth distribution history authentication method of the present invention is the eleventh or twelfth distribution history authentication method according to the eleventh distribution history authentication method, wherein the signature verification function of the reader / writer with the history order provided at the grid base.
  • a first reader / writer of the present invention includes a transmission / reception unit that transmits / receives information to / from a wireless IC tag attached to a product or a package thereof, and a signature generation unit that generates a signature. It is a reader / writer provided at a base on the distribution route, communicates with the wireless IC tag attached to the product distributed to the base or its package, and is written in the read / write memory of the wireless IC tag.
  • the distribution history information or the information derived from it is derived as a new distribution history information by signing with the private key of the local site and written in the readable / writable memory of the wireless IC tag. It is characterized by being replaced with information.
  • the second reader / writer of the present invention is the first reader / writer, in which the product that has been distributed to its own site or the wireless IC tag attached to the knocker is written in a readable / writable memory. Repeatedly verify the background information using the public key of each base upstream from the local base in order from the public key of the local base. Signature verification that determines that the product has been correctly processed up to its own base by verifying the value or the identification number unique to the wireless IC tag stored in the read-only memory of the wireless IC tag. It has the part.
  • a third reader / writer of the present invention includes a transmission / reception unit that transmits / receives information to / from a wireless IC tag attached to a product or a package thereof, and a signature generation unit that generates a signature. It is a reader / writer provided at a base on the distribution route, communicates with the wireless IC tag attached to the product distributed to the base or its package, and is written in the read / write memory of the wireless IC tag. Distribution history information or information derived from it, the signature text signed with the private key of the local site is written as new distribution history information! /, The original distribution history information or its derived information as auxiliary information Derived as and written in the readable / writable memory of the wireless IC tag! /, Replaced with the original distribution history information and auxiliary information It is characterized by being.
  • the fourth reader / writer of the present invention is the third reader / writer, the distribution history written in the readable / writable memory of the product distributed to its own base or the wireless IC tag attached to the knocker.
  • the information is verified using the public key of the site one upstream from the local site, and the verification result is the same as the auxiliary information written in the readable / writable memory of the wireless IC tag. It is characterized in that it has a signature verification unit that judges that the information has been derived from the base immediately before the product by deriving information.
  • the signature creating unit sets the private key of the local site to d, the RSA modulus to n, the initial value u or a value derived therefrom or
  • the distribution history information u written in the readable / writable memory of the wireless IC tag attached to the product or its package distributed at its own site or the information derived from it is S
  • the sixth reader / writer of the present invention is the fifth reader / writer, wherein the ST is a hash value H () of a bit string T obtained by concatenating the public key of the base and all bases upstream from the base. T) and a value H (T) 0 u obtained by exclusive OR with the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag. .
  • a seventh reader / writer of the present invention is the fifth reader / writer, wherein the ST is a hash of a bit string T obtained by concatenating public keys and messages of the base and all bases upstream from the base.
  • the value H (T) is obtained by exclusive ORing the value H (T) with the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag.
  • the signature generation unit sets the private key of the local site to d, the RSA modulus to n, the initial value u or a value derived therefrom or
  • the distribution history information u written in the readable / writable memory of the wireless IC tag attached to the product or its package distributed at its own site or the information derived from it is S
  • i-1 is the new auxiliary information v
  • the tenth reader / writer of the present invention is the ninth reader / writer, wherein the ST is a hash value H (T of a bit string T obtained by concatenating the public key of the base and all bases upstream from the base. ) And the initial value or a value H (T) 0 u obtained by exclusive OR with the bit string u of the distribution history information written in the readable / writable memory of the wireless IC tag. .
  • An eleventh reader / writer of the present invention is the ninth reader / writer, wherein the ST is a bit string T in which the public key and the message of the base and all bases upstream from the base are connected.
  • the value H (T) is obtained by exclusive ORing the value H (T) with the initial value or the bit sequence u of the distribution history information written in the readable / writable memory of the wireless IC tag.
  • a thirteenth reader / writer of the present invention has a transmission / reception unit for transmitting / receiving information to / from a wireless IC tag attached to a product or its package, and a signature verification unit for verifying a signature.
  • a reader / writer provided at a base on the distribution channel of the product, wherein the signature verification unit is written in a readable / writable memory of a wireless IC tag attached to the product distributed to the base or the package thereof,
  • For the distribution history information repeat the verification by using the public key of each base upstream from the local base close to the local base, using the public key of the base in order, and finally a predetermined value.
  • the product has gone through the correct process up to its own base by verifying it back to the point where the initial value that is the unique identification number of the wireless IC tag stored in the read-only memory of the wireless IC tag can be obtained. It is characterized by being judged.
  • the fourteenth reader / writer of the present invention is the product that has been distributed to the thirteenth reader / writer, the secret key of the cell base is d, the RSA modulus is n, the initial value is u, and the i-th site is distributed. Or ii 0
  • ⁇ (u) ( U + n ) mod2 k as a mapping in Lameta k-bit (where n is 2 k ) long natural number space is ⁇ (u) and its inverse is ⁇ 1 ,
  • the signature verification unit determines that ⁇ _1 (g ( ⁇ (g (H (T)
  • the fifteenth reader / writer of the present invention is the product that has been distributed to the thirteenth reader / writer, the secret key of the cell base is d, the RSA modulus is n, the initial value is u, and the i-th site is distributed. Or ii 0
  • a sixteenth reader / writer of the present invention has a transmission / reception unit that transmits / receives information to / from a wireless IC tag attached to a product or a package thereof, and a signature verification unit that verifies a signature.
  • the signature verification unit is written in a readable / writable memory of a wireless IC tag attached to a product distributed to the site or its package.
  • the distribution history information is verified using the public key of the site one upstream from the local site, and the verification result is the same as the auxiliary information written in the readable / writable memory of the wireless IC tag. Since the auxiliary information can be derived, it is judged that the information has been correctly developed from the site preceding the product strength S1.
  • the seventeenth reader / writer of the present invention is the product which has been distributed to the sixteenth reader / writer in the sixteenth reader / writer with the secret key of the cell base d, the RSA modulus n, the initial value u, and the i-th base Or ii 0
  • a function defined as gi (u), a bit outside the security parameter (but 2 k ) long natural number space as ⁇ (u) (u + n) mod2 k is defined as ⁇ (u), and its inverse function
  • ⁇ ⁇ h is a hash function
  • the signature verification unit determines that h (H (
  • the eighteenth reader / writer of the present invention is the product which has been distributed to the sixteenth reader / writer in the sixteenth reader / writer, the secret key of the cell base is d, the RSA modulus is n, the initial value is u, and the i-th site is distributed. Or ii 0
  • H (T) ⁇ u, mod n: g (u) is the value obtained by exclusive OR of the hash value ⁇ ( ⁇ ) of the bit string T concatenated with the public key and message of the base of
  • the wireless IC tag of the present invention is a wireless IC tag added to a product or its package to manage the distribution process of the product, and between the reader / writer provided at each site on the product distribution route.
  • a transmitter / receiver that transmits and receives information, a read-only memory that stores an identification number unique to the wireless IC tag, and a readable / writable memory that stores distribution history information.
  • the signature sentence signed with the secret key of the base with respect to the identification number or the value derived from it is written in the readable / writable memory as the distribution history information by the reader / writer included in When distributed to a base other than the base, the distribution history information written in the readable / writable memory or the information derived therefrom is read by the reader / writer provided at the base.
  • a signature sentence signed with the secret key of the base is derived as new distribution history information, written in the readable / writable memory, and the original distribution history information is replaced. It is characterized by that.
  • the wireless IC tag attached to the product or its package is distributed along with the product, and the wireless IC tag can be read and written by the reader / writer provided at each site in the distribution process. Distribution history information in memory is rewritten.
  • an initial value u or a value is determined by a reader / writer provided at the first base.
  • the signature text signed with the private key of the base for the value uniquely derived by the network function etc. is written in the readable / writable memory of the wireless IC tag as the distribution history information u.
  • the signature text signed with the point's private key is derived as new distribution history information U, and the original flow
  • History information Replaced with u can be read / written by the reader / writer at the third site.
  • the signature text signed with the private key of the base for the uniquely derived information is derived as new distribution history information U and replaced with the original distribution history information U.
  • the distribution history information u stored in the readable / writable memory of the wireless IC tag attached to the product that has arrived at the third site is used as the public information of the second site.
  • the verification result matches the initial value.
  • the distribution history information u '( ⁇ u) is stored in the readable / writable memory of the wireless IC tag attached to the product circulated other than the first base. Newly distribute signature text signed with the private key of the second site
  • the verification result does not match the initial value u.
  • the distribution history information stored in the readable / writable memory of the wireless IC tag attached to the product A that is normally distributed is read and added to another product B. If copied to the readable / writable memory of the wireless IC tag, the illegal fraud cannot be prevented, but the wireless IC tag fixed in the wireless IC tag read-only memory is stored as the initial value u.
  • the reader / writer in the base other than the first base is written to the read / write memory of the IC tag, and is written in the read / write memory of the wireless IC tag, and the distribution history information or information derived from it is
  • the signature text signed with the private key is written as new distribution history information! /
  • the original distribution history information or information derived from it is derived as auxiliary information, and written to the readable / writable memory of the wireless IC tag Therefore, according to the method of replacing the original distribution history information and auxiliary information, it is possible to simplify the verification of whether or not the product distributed to a certain base has the correct history.
  • a known signature scheme such as the signature scheme described in Non-Patent Document 2 can be used.
  • the signature method described in Non-Patent Document 2 increases the signature data length by 1 bit each time the signature is repeated.
  • the new signature method proposed in the second embodiment to be described later the size of the distribution history information can be made constant.
  • the distribution process can be confirmed even in an offline environment where communication with the host computer is impossible during the distribution process of products or product packages for general consumers such as factory-produced products and foods. be able to. This can reduce the operation cost.
  • the reason is that the distribution process is managed in the local storage area of the writable wireless IC tag attached to the product. They have the information to manage and can refer to it as necessary to confirm the distribution process.
  • FIG. 1 is a block diagram showing a configuration of a first exemplary embodiment of the present invention.
  • FIG. 2 is an explanatory diagram of distribution history information according to the first embodiment of the present invention.
  • FIG. 3 is a sequence diagram showing an operation when passing through a product card writer with a wireless IC tag in the first embodiment of the present invention.
  • FIG. 4 is a diagram showing functions used for creating and verifying a signature for distribution history information according to the first embodiment of the present invention.
  • FIG. 5 is a flowchart showing a processing example of a signature creation unit of the reader / writer according to the first embodiment of the present invention.
  • FIG. 6 is a flowchart showing a processing example of a signature verification unit of the reader / writer according to the first embodiment of the present invention.
  • FIG. 7 is a flowchart showing another processing example of the signature creation unit of the reader / writer according to the first embodiment of the present invention.
  • FIG. 8 is a flowchart showing another processing example of the signature verification unit of the reader / writer according to the first embodiment of the present invention.
  • FIG. 9 is a block diagram showing a configuration of a second exemplary embodiment of the present invention.
  • FIG. 10 is a diagram showing functions used for creating and verifying a signature for distribution history information in the second exemplary embodiment of the present invention.
  • FIG. 11 is a flowchart showing a processing example of a signature creation unit of a reader / writer according to the second embodiment of the present invention.
  • FIG. 12 is a flowchart showing a processing example of a signature verification unit of a reader / writer according to the second embodiment of the present invention.
  • FIG. 13 is a flowchart showing another processing example of the signature creation unit of the reader / writer according to the second embodiment of the present invention.
  • FIG. 14 is a flowchart showing another processing example of the signature verification unit of the reader / writer according to the second embodiment of the present invention.
  • FIG. 15 is a block diagram showing a configuration of a third exemplary embodiment of the present invention.
  • FIG. 16 is a sequence diagram showing an operation when a product card writer with a wireless IC tag is attached in the third embodiment of the present invention.
  • FIG. 17 is a flowchart showing a processing example of the signature creation unit of the reader / writer according to the third embodiment of the present invention.
  • FIG. 18 is a flowchart showing a processing example of a signature verification unit of a reader / writer according to the third embodiment of the present invention.
  • FIG. 19 is a flowchart showing another example of processing of the signature creation unit of the reader / writer, which works according to the third embodiment of the present invention.
  • FIG. 20 is a flowchart showing another processing example of the signature verification unit of the reader / writer according to the third embodiment of the present invention.
  • FIG. 21 is a block diagram showing a configuration of a fourth exemplary embodiment of the present invention.
  • FIG. 22 is a flowchart showing a processing example of the signature creation unit of the reader / writer according to the fourth embodiment of the present invention.
  • FIG. 23 is a flowchart showing a processing example of a signature verification unit of a reader / writer according to the fourth embodiment of the present invention.
  • FIG. 24 is a flowchart showing another processing example of the signature creation unit of the reader / writer according to the fourth embodiment of the present invention.
  • FIG. 25 is a flowchart showing another processing example of the signature verification unit of the reader / writer according to the fourth embodiment of the present invention. Explanation of symbols
  • the distribution history authentication system is attached to a product to be distributed, and a wireless IC tag (RFID) that follows the distribution route (delivery route) together with the product.
  • Tag) 1 and reader / writers 2-l to 2-n placed at each location in the distribution channel.
  • the products with the wireless IC tag 1 are the first base where the reader / writer 2-1 is placed, the second base where the reader / writer 2-2 is placed, ..., the reader / writer 2 -Process (distribute) in the order of the nth base where n is located.
  • the wireless IC tag 1 includes a ROM unit 11, a RAM unit 12, and a transmission / reception unit 13.
  • the ROM unit 11 is a read-only memory area, and stores a unique ID for distinguishing the wireless IC tag 1 from other wireless IC tags.
  • the RAM unit 12 is a memory area that can be read and written, and the writable memory size is finite.
  • distribution history information u that can be expressed by a size s that fits in the memory size is stored.
  • Distribution history information u with the subscript i indicates that the first step is to go to the base.
  • the initial value of the distribution history information is u, which indicates that no history is available.
  • u is a predetermined value such as 0 or wireless I
  • the ID value unique to the wireless IC tag stored in the ROM part 11 of the C tag 1 is set.
  • the distribution history information ui is the reader / writer 2-1, ..., 2-i's private key sk, ...
  • the signature power calculated sequentially using sk is also constructed.
  • the first reader / writer 2-1 The signature calculated using the private key sk for the initial value u is added to the reader / writer at the next site.
  • the distribution process information is the process of repeating the procedure to the base of the grid.
  • the transmission / reception unit 13 performs amplification, filtering, modulation, and the like processing to exchange information by wireless transmission with the reader / writers 2-1 to 2-n arranged at each site. Specifically, at the time of a read request to the ID of the reader / writer ROM section 11 or the distribution history information of the RAM section 12, the information is read and transmitted to the reader / writer, and the write request from the reader / writer to the RAM section 12 is requested. Sometimes it receives the information to write and writes it to the RAM 11.
  • FIG. 1 shows the internal structure only in the block of the reader / writer 2-1.
  • each reader / writer has a key management unit 21 that manages a public / private key pair in the RSA public key encryption algorithm, and a private key of the reader / writer stored in the key management unit 21.
  • the signature creation unit 22 creates a signature based on the signature
  • the signature verification unit 23 that verifies the signature based on the public key of the reader / writer at each base stored in the key management unit 21, and the wireless IC tag 1 Transmitter / receiver section that transmits and receives information between 24 forces.
  • information to be added to the product (such as attribute information such as time and temperature) is input to the reader / writer, and information on the reader / writer (such as information for notifying the success or failure of historical authentication) It has an external information input unit 25 for outputting.
  • the key management unit 21 holds the public keys of the reader / writers 2-l to 2-n and the secret key of the own reader / writer.
  • the public keys of the reader / writers 2-l to 2-n and the private key of the reader / writer may be issued by a reliable public key issuer 3 outside the system.
  • the procedure for the key management unit 21 to generate a public / private key pair by itself will be described. The same procedure shall be followed when generating a key pair with public key issuer 3. This procedure generates a key for each reader / writer 2 — i to maximize security by using a method based on the RSA public key encryption algorithm.
  • each reader / writer generated in this way is made public by means outside the system, and each reader / writer is made public so that the public key can be obtained by means outside the system.
  • the signature creation unit 22 applies the distribution history information u obtained in the RAM unit 12 of the wireless IC tag 1 obtained through the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • Key management department 21
  • the signature creation process is performed using the private key d and RSA modulus n of the own reader / writer being managed, and the created signature is used as the new distribution history information u, and the wireless IC tag 1 and the transceiver unit 13 of the reader / writer, Distribution history information u stored in the RAM section 12 of the wireless IC tag 1 via 24
  • the signature verification unit 23 applies the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1 obtained via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • Each reader / writer applies the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1 obtained via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • the public key pk, 'pk is used to verify the process of reaching the reader / writer base in reverse order.
  • the transmitting / receiving unit 24 performs processing such as amplification, filtering, and modulation in order to exchange information by wireless transmission between the wireless IC tags 1.
  • the reader / writer power also receives the information transmitted to the reader / writer when a read request is made to the ID of the ROM unit 11 or the distribution history information of the RAM unit 12.
  • information to be written to the RAM unit 12 is transmitted.
  • the reader / writer 2-i sends the wireless IC tag 1 to the RAM unit 12 of the wireless IC tag 1 by the transmission / reception unit 24.
  • the wireless IC tag 1 receives the distribution history information ui-1 stored in the RAM unit 12. If requested, the ID stored in the ROM unit 11 is transmitted to the reader / writer 2-i via the transmitting / receiving unit 13 (S201).
  • the reader / writer 2-i Upon receiving the distribution history information u (S102), the reader / writer 2-i performs the key tube i-1 with the signature verification unit 23.
  • the signatures are sequentially verified against the distribution history information U using i-1 using 1 to pk, and it is verified whether or not the initial value U i-1 0 of the distribution history information can be obtained (S103).
  • the reader / writer 2 -i has been authenticated by the signature verification unit 23 to prove that the reader / writer 2 -i has successfully processed the site where the reader / writer is located.
  • the signature verification unit 23 For the history information u, i-1 held in the key management unit 21 by the signature creation unit 22
  • a signature is generated using the private key 3 of its own reader / writer (S104) , and the generated signature value u is overwritten on the past u as new distribution history information to the wireless IC tag 1 to the transmitter / receiver 24.
  • Reader / writer 2- Provides that have been properly processed up to the location where n is located.
  • distribution history information u of IC tag 1 use public keys 1 ⁇ -pk of reader-writers 2-1 to 2-11 in order. If the signature is verified, the initial value u of the distribution history information can be obtained.
  • the signature creation process in step S104 by the signature creation unit 22 is that the public keys pk, ⁇ , pk of the reader / writers 2-1 to 2 — (1) are all different, and e is greater than n. Large and ((p-l) (q-
  • Equation 1 means that if the condition of Equation 1 is true, it evaluates Equation 2, and if the condition of Equation 1 is false, it evaluates Equation 3.
  • Equation 1 is true, it evaluates Equation 2, and if the condition of Equation 1 is false, it evaluates Equation 3.
  • ” is a concatenation of bit strings
  • "H” is a hash function that outputs a bit string with the same number of bits as n
  • "O” is an exclusive OR for each bit, and is the right operand.
  • Detailed steps for this signature creation process are shown in steps S314 to S319 in FIG.
  • the signature creation process as well as the preceding and following processes will be described in detail with reference to FIG.
  • a signature value is calculated according to the RSA method with a secret key d for a (S317, S318).
  • 1-bit information 0 is appended to s as control information, and the signature value is used.
  • a signature value is calculated for a value obtained by subtracting a by n (S319).
  • 1-bit information 1 is added to s as control information, and the signature value is used.
  • U calculated in this way is replaced with u stored in the RFID RAM (S319).
  • the reader / writer 2-i basically has the power to sign the distribution path information u already written in the wireless ID tag 1 with the private key d of its own reader / writer RSA. in the case of
  • the signature cannot be calculated for a number greater than the RSA modulus n of the reader / writer, if it is greater than u force 3 ⁇ 4, the signature is also subtracted by modulus n. At this time, after i-1 i i
  • pk, u a
  • Figure 6 shows the detailed procedure for this signature verification process.
  • reader / writer 2-i first stores distribution route information u in variable V (S i-1 i
  • i-1 is stored in the loop variable j that manages which base is verifying the signature (S332).
  • the loop variable j is decremented to (S339), and the above process is repeated again from the judgment whether the j force i or more.
  • j is 0, check whether V is equal to the initial value u of the distribution history information.
  • the signature creation processing of the signature creation unit 22 when a message to be written to the wireless IC tag 1 in each reader / writer is input from the external information input unit 25 is illustrated. This will be described with reference to FIG.
  • FIG. 8 shows the procedure of signature verification processing of the signature verification unit 23 when there is a message to be written to the wireless IC tag 1 in each reader / writer.
  • Ding' is handled in the same way as the Ding in FIG. 6, and 0 (1 "[(Ding '10 (0 (1" [(Ding,)) 0 to D (ujj 1) 2 2 i-1 i-1
  • the first effect is that the distribution process can be confirmed even in an offline environment where communication with the host computer is not possible in the distribution process of products or product packages for general consumers such as factory products and foods. It is.
  • the reason is that the local storage area (RAM part 12) of the writable wireless IC tag 1 attached to the product has information to manage the distribution process, This is because the distribution history can be confirmed by referring to it as necessary. This can reduce operational costs.
  • the second effect is that the number of bases traced during the distribution process has scalability.
  • distribution history information can be expressed by (signature size + (number of sites) X I bits).
  • the third effect is that the price of the wireless IC tag 1 can be kept low.
  • the reason is the same as the reason for the second effect, and it is not necessary to mount a large amount of write memory area. This makes it easy to use in large quantities for distribution purposes.
  • the fourth effect is that it is possible to detect counterfeiting and falsification of the distribution history information in each stage of the reader / writer and the malicious third party in the distribution history.
  • the reason is that it is possible to verify using the public key of all the bases in the distribution process to prove the distribution process.
  • an ID unique to the wireless ID tag stored in the ROM part 11 of the wireless ID tag 1 as the initial value u0 if it can be assumed that the data in the ROM part 11 cannot be tampered with, It can also be detected when the distribution history information of the RAM section 12 is illegally copied to the RAM section 12 of another wireless ID tag.
  • each reader / writer 2 — 1 to 2 — n replaces the signature creation unit 22 and the signature verification unit 23.
  • 1 is equipped with a signature generation unit 22A and a signature verification unit 23A, which is different from the flow history authentication system that is powerful in the first embodiment of FIG. 1, and is otherwise the same as the first embodiment. It is.
  • the signature creation unit 22A uses the wireless IC tag 1 and the reader / writer transmission / reception units 13 and 24 to obtain the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1.
  • Key Management Department 21 uses the wireless IC tag 1 and the reader / writer transmission / reception units 13 and 24 to obtain the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1.
  • the signature creation process is performed using the private key d of the reader / writer itself and the RSA modulus n, and the created signature is used as new distribution history information u, and the wireless IC tag 1 and the reader / writer
  • the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1 is exchanged via the transmitting / receiving units 13 and 24.
  • the size of the distribution history information u and u i-1 i i- before and after the replacement does not change.
  • the signature verification unit 23A obtains the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1 obtained via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • Each reader / writer is performed using the private key d of the reader / writer itself and the RSA modulus n, and the created signature is used as new distribution history information u, and the wireless IC tag 1 and the reader / writer
  • step S The operation when the product with the wireless IC tag 1 passes through the reader / writer 2-i is basically performed according to the sequence shown in Fig. 3 as in the first embodiment. However, step S
  • the contents of the signature verification process in 103 and the signature creation process in step S104 are different from those in the first embodiment.
  • the signature creation process in step S104 by the signature creation unit 22A is that the public keys pk,..., Pk of the reader / writers 2-1 to 2 — (1) are all different, and e is greater than n. Large and ((p- l) (q-
  • ⁇ - 1 is the inverse map of the map ⁇ .
  • the derived signature is replaced with the distribution history information u held in the RAM section 12 of the wireless IC tag 1 through the wireless IC tag 1 and the transmission / reception sections 13 and 24 of the reader / writer as new distribution history information u. .
  • pk from the public key of the current site and the public key of the upstream site (S364), and v: H (T) ⁇ u is calculated (S365), and v is smaller than RSA modulus n
  • the reader / writer 2-i basically signs the distribution path information u already written in the wireless ID tag 1 with the private key d of its own reader / writer.
  • the function that maps to the larger modulus n is calculated, and then the signature calculation is performed. Apply the mapping and map to the smaller one by the modulus n.
  • the public key of each base in the history is input as the subject of signature, thereby preventing the public key from being replaced.
  • step S103 by the signature verification unit 23A is performed by the reader / writer 2-i.
  • reader / writer 2-i first performs verification processing in order from reader / writer 2-G-1) of the previous site to reader / writer 2-1 of the first site.
  • i is stored in a loop variable j for managing the signature at which site is verified (S381). If j is 1 or more (YES in S382), the following processing is performed.
  • the signature creation unit 22A performs signature creation processing when a message to be written to the wireless IC tag 1 is input from the external information input unit 25 in each reader / writer. This will be described with reference to FIG.
  • FIG. 14 shows the procedure of the signature verification process of the signature verification unit 23A when there is a message to be written to the wireless IC tag 1 in each reader / writer.
  • T, M
  • pk calculate H "'
  • the first effect is that the distribution process can be confirmed even in an offline environment that cannot communicate with the host computer in the distribution process of products for general consumers such as factory-produced products and foods or product packages. It is.
  • the reason for this is that the local storage area (RAM section 12) of the writable wireless IC tag 1 attached to the product has information for managing the distribution process, and the distribution process is confirmed by referring to this information as necessary. Because it can be done. This can reduce operational costs.
  • the second effect is that the number of bases traced in the course of distribution has scalability.
  • the distribution history information can be expressed by a constant (signature size) that is irrelevant to the number of bases traced during the distribution history.
  • the third effect is that the price of the wireless IC tag 1 can be kept low.
  • the reason is the same as the reason for the second effect, and it is not necessary to mount a large amount of write memory area. This makes it easy to use in large quantities for distribution purposes.
  • the fourth effect is that it is possible to detect counterfeiting and falsification of the distribution history information in each stage of the reader / writer and the malicious third party in the distribution history.
  • the reason is that it is possible to verify using the public key of all the bases in the distribution process to prove the distribution process.
  • wireless IC tag 1 includes RAM unit 12A instead of RAM unit 12, and each reader / writer 2— 1-2-n replaces signature creation unit 22 and signature verification unit 23 with signature creation unit 22B and signature verification unit 23
  • the RAM unit 12B in the wireless IC tag 1 has a finite writable memory size, and a set of distribution history information u and auxiliary information V (u, ⁇ ) that can be expressed by a capacity s' that fits in the memory size. ).
  • the distribution history information u is the same as the distribution history information u in the first embodiment, and represents that the first log also includes the history up to the base.
  • the initial value of the distribution history information u is u indicating that no history has occurred, and u is a predetermined value such as 0 or RO of the wireless IC tag 1
  • the ID value unique to the wireless IC tag stored in the collar 11 is set.
  • the auxiliary information V is information generated by applying a predetermined hash function to the distribution history information u representing the history of the 1st to i-1th locations.
  • This is the same as the initial value of the communication history information u, and is a predetermined value such as 0 or an ID value unique to the wireless IC tag stored in the ROM unit 11 of the wireless IC tag 1.
  • auxiliary information V By adding such auxiliary information V to the distribution history information, it becomes possible to easily verify the distribution history information u as will be described later.
  • the signature creation unit 22B is provided via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer, and the distribution history information u and auxiliary information V stored in the RAM unit 12 of the wireless IC tag 1.
  • I-1 i-1 The distribution history information u is managed by the key management unit 21 and the private key i-1 of its reader / writer
  • the signature creation process is performed to create new distribution history information u, and at the same time, new auxiliary information V is created from distribution history information u and the created u and V i-1 iii Set a new distribution history information ⁇ and auxiliary information V; as a set, and send wireless IC tag 1 and reader / writer
  • the pair of the distribution history information u i-1 and auxiliary information V held in the RAM unit 12B of the wireless IC tag 1 is replaced through the receiving units 13 and 24.
  • the signature verification unit 23B is a means for verifying the distribution history information u stored in the RAM unit 12 of the wireless IC tag 1 obtained via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • the signature verification unit 23 in the first embodiment performs each reader i-1 on the distribution history information u.
  • the signature verification unit 23B of the present embodiment performs simple verification using the auxiliary information V. I-1
  • the reader / writer signed immediately before its own reader / writer is correctly i-1.
  • the signature strength is verified using the public key pk, and the hash value of the verification result is the auxiliary information i-1.
  • the transmitter / receiver 24 sends the wireless IC tag 1 to the RAM unit 12 of the wireless IC tag 1.
  • Stored distribution history information u and auxiliary information V set and distribution history information u and auxiliary information V set initial value u, v i-1 i-1 i-1 i-1 0 0
  • the ROM unit 11 ID is requested (SI 11).
  • the wireless IC tag 1 is stored in the ROM unit 11 as a set of distribution history information u and auxiliary i-1 auxiliary information V stored in the RAM unit 12 and when requested.
  • the data is transmitted to the reader / writer 2-i via the unit 13 (S211).
  • the reader / writer 2-i receives the signature of the distribution history information u and auxiliary information V (S112).
  • a signature U is generated using the private key sk of the local reader / writer, distribution history information U force ii i-1 auxiliary information v is generated (SI 14), and a set of the generated signature value u and auxiliary information V is generated.
  • SI 14 distribution history information
  • a set of the generated signature value u and auxiliary information V is generated.
  • Transmission is performed by the receiver 24 (S115).
  • the wireless IC tag 1 receives the set of u and V by the transmission / reception unit 13 (S212), it overwrites the set of u and v stored in the RAM unit 12 with the received set of u and V. ii i-1 i -1
  • step S114 by the signature creation unit 22B is performed by the reader / writer 2-1-2.
  • v h (u) is calculated.
  • h is a predetermined hash function. 1st real i i-1
  • the reader / writer 2-i has a distribution process stored in the RAM 12 of the RFID.
  • the set of the route information u and auxiliary information v is read (S441), the validity of the owned key is verified and i-1 i-1
  • the signature verification unit 23B verifies whether u is valid (S443).
  • the signature value U is derived in the same manner as in the first embodiment.
  • the hash value V of the signature value U to be signed is extraneous. I i-1 i
  • the difference is that it is written back to the RAM unit 12 as a pair with the signature value u as auxiliary information V.
  • the size to be written back is larger by the output value V of the hash function in this embodiment.
  • FIG. 18 shows the detailed procedure of the certificate processing.
  • the reader / writer 2-i is a stream stored in the RFID RAM section 12.
  • a set of route information u and auxiliary information v is read (S461). I-1 with reader / writer 2—i i-1
  • the signature creation process of the signature creation unit 22B when a message to be written to the wireless IC tag 1 is input from the external information input unit 25 in each reader / writer is performed. This will be described with reference to FIG.
  • pk is calculated (S444'), and T and can be handled in the same way as ⁇ in Fig. 17,
  • the message to be added is entered as the subject of signature along with the public key of each site in the background, so that tampering with the message assigned by each reader / writer can be detected by simply replacing the public key. It becomes possible.
  • FIG. 20 shows the procedure of signature verification processing of the signature verification unit 23B when there is a message to be written to the wireless IC tag 1 in each reader / writer.
  • T, M
  • the first effect is that the distribution process can be confirmed even in an offline environment that cannot communicate with the host computer in the distribution process of products or product packages for general consumers such as factory-produced products and foods. It is.
  • the reason is that the local storage area (RAM part 12B) of the writable wireless IC tag 1 attached to the product has information for managing the distribution process, and the distribution process is confirmed by referring to it as necessary. Because it can be done. This can reduce operational costs.
  • the second effect is that the number of bases traced in the course of distribution has scalability.
  • the third effect is that the price of the wireless IC tag 1 can be kept low.
  • the reason is the same as the reason for the second effect, and it is not necessary to mount a large amount of write memory area. This makes it easy to use in large quantities for distribution purposes.
  • the fourth effect is that if it is possible to assume that the previous base is a reliable base, the reader / writer at each stage of the distribution process and the distribution history information of the malicious third party
  • the signature verification processing required for detection of forgery and tampering can be performed at high speed. The reason is that the signature verification process can be performed at most once using auxiliary information.
  • each of the reader / writers 2-1 to 2-n includes the signature creation unit 22B and the signature verification unit 23B. Instead, it is different from the distribution background authentication system according to the third embodiment in FIG. 15 in that it includes a signature creation unit 22C and a signature verification unit 23C, and the other points are the same as those in the third embodiment. It is.
  • the signature creation unit 22C is obtained via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer.
  • the distribution history information u is managed by the key management unit 21 and the private key of its reader / writer
  • the signature creation process is performed to create new distribution history information u, and at the same time, new auxiliary information V is created from distribution history information u and the created u and V
  • a set of new distribution history information ⁇ and auxiliary information V; is stored in the wireless IC tag 1 RAM unit 12B via the wireless IC tag 1 and the transmitter / receiver units 13 and 24 of the reader / writer.
  • the history information u, u size does not change.
  • the signature verification unit 23C signed the distribution history information u immediately before its reader / writer.
  • the public key pk is used to verify whether the reader / writer has signed correctly. The verification result
  • step S114 by the signature creation unit 22C is performed by the reader / writer 2-1-2.
  • the set of information u and auxiliary information v is a set of distribution history information u and auxiliary information V held in the RAM unit 12 of the wireless IC tag 1 via the wireless IC tag 1 and the transmission / reception units 13 and 24 of the reader / writer. And place Be replaced. Details of the signature creation process are shown in steps S494 to S501 in FIG.
  • the signature verification unit 23C verifies whether u is valid (S492).
  • pk from the public key of the current site and the public key of the upstream site (S494), and then w: H Calculate (T) ⁇ u (S4 i 1 ii i-1
  • RSA signatures cannot be calculated for large numbers, signature calculation is not performed for w, and n is subtracted from that value directly with a modulus of 2 k !, and the value is distributed to reader / writer i.
  • the background information is u (S501). At this time, as in step S500, h (u) is changed by reader / writer 2-i.
  • the reader / writer 2-i basically signs the distribution path information u already written in the wireless ID tag 1 with the private key d of its own reader / writer.
  • the function that maps to the larger modulus n is calculated, and then the signature calculation is performed. Apply the mapping and map to the smaller one by the modulus n.
  • the public key of each site on the background is signed. By inputting as an elephant, it is possible to prevent the public key from being replaced, and when calculating the distribution process information U ;
  • auxiliary information v As auxiliary information v, it is written back into the RAM unit 12 in combination with distribution history information u.
  • T pk
  • FIG. 23 shows the details of the certificate processing.
  • reader / writer i reads a set of distribution route information u and auxiliary information V stored in RFID RAM unit 12 (S511).
  • T pk
  • pk is calculated from the public key of each base located upstream of the base equipped with the reader / writer 2—i (S512).
  • i-1 Subtracts i-1 and sets the value to w "(S518). If it is large (NO in S517), the RSA signature cannot be verified for numbers greater than the modulus, so for w Then, the verification process is not performed, and n is subtracted from the value with a modulus of 2 k directly, and the result is set to w "(S519).
  • h (u) is derived as new i i-1 i-1 additional information V for the distribution history information u of the wireless IC tag 1.
  • FIG. 25 shows the procedure of the signature verification process of the signature verification unit 23C when there is a message to be written to the wireless IC tag 1 in each reader / writer.
  • ⁇ ' ⁇
  • the first effect is that the distribution process can be confirmed even in an offline environment where communication with the host computer is not possible in the distribution process of products or product packages for general consumers such as factory-produced products and foods. It is.
  • the reason is that the local storage area (RAM part 12B) of the writable wireless IC tag 1 attached to the product has information for managing the distribution process, and the distribution process is confirmed by referring to it as necessary. Because it can be done. This can reduce operational costs.
  • the second effect is that the number of bases traced in the course of distribution has scalability.
  • the reason is that the information used for the authentication of the distribution process can be expressed by a constant (signature size) + auxiliary information size that is irrelevant to the number of bases traced during the distribution process.
  • the third effect is that the price of the wireless IC tag 1 can be kept low.
  • the reason is the same as the reason for the second effect, and it is not necessary to mount a large amount of write memory area. This makes it easy to use in large quantities for distribution purposes.
  • the fourth effect is that if it can be assumed that the previous base is a reliable base, the reader / writer at each stage in the distribution history and the distribution history information of the malicious third party
  • the signature verification processing required for detection of forgery and tampering can be performed at high speed. The reason is that the signature verification process can be performed at most once using auxiliary information.
  • the reader / writer in each of the embodiments described above may omit the verification of the signature verification unit before signing. In that case, the signature verification unit may be omitted. it can.
  • a reader / writer that simply verifies whether a product with a wireless IC tag is routed through a normal route and does not make a new signature is also possible. In that case, the signature creation department can be omitted.
  • the reader / writer can realize the functions of the reader / writer with a computer and a program as well as with the hardware.
  • the program is provided by being recorded on a computer-readable recording medium such as a magnetic disk or a semiconductor memory, read by the computer at the time of starting up the computer, etc., and controlling the operation of the computer.
  • the reader / writer functions as a signature creation unit, signature verification unit, and transmission / reception unit.
  • the writable memory capacity mounted on the writable wireless IC tag is sufficient to record at most one signature of several hundred bytes to 1 Kbyte held by the existing writable wireless IC tag. If the memory capacity is sufficient, it is sufficient to store distribution history information, and it is possible to manage the history information without using a high-cost wireless IC tag with a specially large writing capacity. In actual operation, it is necessary to cope with falsification and forgery of information, but with this method, falsification and forgery of written data can be detected, and tamper resistance is wirelessly used to prevent tampering. It is not necessary to prepare for the memory of the IC tag. In addition, since all signature assignment and verification operations are performed on the reader / writer side, no special operation device is required on the wireless IC tag side. Through the above, it is possible to authenticate distribution history at low cost
  • the public key of each store or factory is likely to be shared with each other in advance, but it is highly possible that this can be obtained from the public key management authority (CA) as necessary.
  • CA public key management authority
  • the public key management authority is commonly used in the PKI framework.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

　悪意のある第3者における流通経緯情報の偽造および改竄を検知可能な流通経緯認証システムを提供する。製品に付された無線ICタグ1との間で情報を送受信する送受信部24と署名を作成する署名作成部22と署名を検証する署名検証部23とを有するリーダライタ2－1～2－ｎを製品の流通経路上の各拠点に設ける。最初の拠点のリーダライタ2－1は、自拠点に流通してきた製品に付された無線ICタグ1と交信して、ROM部11に記憶されたIDに対して自拠点の秘密鍵で署名した署名文を流通経緯情報uiとして無線ICタグ1のRAM部12に書き込む。最初の拠点以外のリーダライタは、自拠点に流通してきた製品に付された無線ICタグ1と交信して、RAM部12に書き込まれている流通経緯情報に対して自拠点の秘密鍵で署名した署名文を新たな流通経緯情報として導出し、元の流通経緯情報と置き換える。

Description

明 細 書
流通経緯認証システム、流通経緯認証方法
技術分野
[0001] 本発明は、工場生産品や食品などの一般消費者向けの製品または製品パッケ一 ジの流通経緯を認証するシステムであって、特に、 RF- ID(Radio Frequency-IDentific ation)タグに代表される無線 ICタグを付して行う製品の製造、加工、小売り、消費/利 用、再利用、廃棄等の各拠点の流通経緯認証システム及び流通経緯認証方法に関 する。
背景技術
[0002] 製品流通システムにおいて、製品の流通がどのように行われた力、すなわち流通経 緯を知ることが望まれる場合がある。流通中に製品が破損した場合に、責任の所在を 明確ィ匕することや、生産地を明確にすることで、特に食品などの製品に関する安全性 や信頼性を高める目的などにおいて、これらの流通経緯を知る必要が生じる。このよ うな流通経緯を知る従来の方法の一例に、特許文献 1に示す無線 ICタグを利用した 宅配便システムがある。この従来の宅配便システムは、無線 ICタグ内の記憶領域に、 無線 ICタグ固有の IDが記憶される。この無線 ICタグを製品に付し、集荷店及び配送 店に設置されたリーダライタでその IDが読み出され、読み出された IDがその都度、ホ ストコンピュータに送信され、これにより、ホストコンピュータ側で配送物品の流通経緯 を管理することができる（以下、第 1の従来技術)。
[0003] また、書き込み可能なメモリ領域を有する無線 ICタグを製品に付して流通経緯を管 理する従来の方法の一例に、特許文献 2に示す製品情報管理方法がある。この従来 の製品情報管理方法は、製品に付する無線 ICタグに、流通経緯を証明する情報 (本 明細書ではこのような情報を、流通経緯情報と呼ぶ)を書き込むリーダライタを製品の 製造、流通、小売り、消費/利用、再利用、廃棄の各拠点に備え、拠点を経由する際 に無線 ICタグに対して流通経緯情報を書き込み、この流通経緯情報を必要に応じて 参照することで製品の流通経緯を知る方法である（以下、第 2の従来技術)。
[0004] 書き込み可能なメモリ領域を有する無線 ICタグを製品に付して流通経緯を管理す る従来の他の方法の一例に、特許文献 3に示す食肉流通用非接触型 ICタグ管理方 法がある。この従来技術は、流通させる食肉に関連する情報を秘密鍵によって暗号 化した情報とこれを解読するための公開鍵とを ICタグに書き込んでおき、流通先にお V、て、 ICタグに記録された公開鍵によってその ICタグに記録された情報を解読するよ うにする方法である。
[0005] なお、無線 ICタグに関する文献としては非特許文献 1が公知である。
[0006] 他方、計算機やインターネット環境の普及に伴い、電子的にメッセージを送受信す る機会が増えている。このような場合に、メッセージを送信する途中でメッセージが改 竄されることを防ぐため、メッセージに電子署名を添付することが行われている。電子 署名の方式は各種存在し、複数の署名装置が署名をかさねて行う!/、わゆる多重署名 も公知である。 RSAや DSAといった署名方式はよく知られた署名方式である力 これを 用いて多重署名を作成した場合、全員が署名したことを表すには、全署名装置が個 々に署名文を作成し、それらの署名文を全て保存する必要がある。この為、署名文 のデータ長の合計値が署名装置の台数に比例する。このような問題を改善し、署名 文のデータ長の合計値が署名装置の台数に比例しない署名方式が、非特許文献 2 および非特許文献 3により公知である。非特許文献 2の方式は RSA問題の困難性に 安全性の基礎をおく方式であり、非特許文献 3の方式は supersingularな楕円曲線上 の Gap Diffie Hellman問題という問題の困難性に頼って安全性を示している。
[0007] 特許文献 1：特開 2001— 206514号公報
特許文献 2 :特開 2002— 49905号公報
特許文献 3 :特開 2004— 43143号公報
非特許文献 1 :無線 ICタグのすべて、日経 BP社、 pp.197、 2004
非特干文献 2 :AnnaLysyanskaya, bilvio icali, Leonid Reyzin, Hovav Snacham. beq uential Aggregate Signatures from Trapdoor Permutations. InAdvances in Cryptolog y-EUROCRYPT 2004, vol. 3027 of LNCS, pp. 74-90. Springer- Verlag, 2004. 非特許文献 3 : D. Boneh, C.Gentry, B. Lynn, and H. Shacham. Aggregate and Verifi ably Encrypted Signaturesfrom Bilinear Maps. In Advances in Cryptolog y—― EURO
CRYPT 2003, vol. 2656 o!LNCS, pp. 416—432. Springer— Verlag, 2003. 発明の開示
発明が解決しょうとする課題
[0008] し力しながら、第 1の従来技術では、ホストコンピュータとの間で情報通信が不可能 な拠点では、製品が通過した際にホストコンピュータに情報を送信することができず、 流通経緯情報を記録することができない。また、製品の流通経緯を知ろうとしてもホス トコンピュータ力 通過情報を受信できないので、不可能である。またホストコンビュ ータでデータを集中管理する場合、各拠点が共通に情報通信できるようなホストコン ピュータを運用しなければならないが、製品流通経路中に異業種の店舗等も存在す るような運用環境を想定する場合には、このような運用環境を整えることは困難であ つた。すなわち今までは、ある特定業種で閉じた環境での運用しか実現できていなか つた o
[0009] 一方、第 2の従来技術においても、主要な書き込み型無線 ICタグの有する書き込み 可能メモリ領域は、非特許文献 1を参照すると、高々 1Kバイトの有限領域であり、流通 経緯中の各拠点を経由するたびに次々に発生する流通経緯情報を記録することが できないという問題がある。記憶領域が足りず記録できない場合は、流通経緯情報を 正しく記録することができないため、流通経緯を知ることができなくなる。また、有限の 書き込み可能メモリ領域内に、記録すべき流通経緯情報が収まる場合でも、当該書 き込みメモリ領域は、流通経緯を知るために必要な情報だけを記憶するために使わ れるわけではなぐシステムに応じて様々な情報を記憶することが考えられ、流通経 緯情報はできるだけ小容量で管理できることが望ましい。
[0010] また、ローカルの書き込み領域に流通経緯情報を記録する第 2の従来技術のような 方法の場合、流通経緯情報の書き換え (改竄)や、虚偽のため、流通経緯の真正性 を保障できないという問題が潜在する。特許文献 3を参照すると、このような流通経緯 を記録する際に、公開鍵暗号系の性質、つまり、秘密鍵で暗号化 (署名付与)したデ ータは、対応する公開鍵でしか正しく復号 (署名検証)できな ヽと ヽぅ性質を使用して、 流通過程における第 3者による偽造、改竄を防止することが可能となる。しかし、本方 式は流通経緯中の各拠点のリーダライタ (端末)は、不正を働かないという前提でのみ 機能する。流通経緯中の各拠点のリーダライタが故意に流通経緯情報を偽造、およ び改竄をして不当な利益を得ようとする場合、対応できない。何故なら、秘密鍵で暗 号化する情報がすりかえられると、その情報は正当な秘密鍵で暗号化されているた め、対応する公開鍵での検証はパスしてしまうからである。
[0011] 他方、いわゆる多重署名方式が公知である力 製品の流通経緯を認証するシステ ムに多重署名方式を適用した事例は皆無であり、特に RF-IDに代表される無線 ICタ グを付して行う製品の流通経緯認証システムに多重署名方式を適用した事例は見当 たらない。
[0012] 『発明の目的』
本発明は、上記の問題点に鑑みてなされたものであり、その目的は、工場生産品 や食品などの一般消費者向けの製品または製品ノ^ケージの流通過程において、 ホストコンピュータと通信できな 、オフライン環境でも、流通経緯を確認することがで き、かつ流通経緯中の各拠点のリーダライタや悪意のある第 3者における流通経緯情 報の偽造および改竄も検知可能な流通経緯認証方法および流通経緯認証システム を提供することにある。
[0013] 本発明の別の目的は、製品の流通経緯が正しいかどうかの検証を簡易に行うことの できる流通経緯認証方法および流通経緯認証システムを提供することにある。
[0014] 本発明のさらに別の目的は、流通経緯中にたどる拠点数にスケーラビリティを有す る流通経緯認証方法および流通経緯認証システムを提供することにある。
課題を解決するための手段
[0015] 本発明の第 1の流通経緯認証システムは、製品またはそのパッケージに付された無 線 ICタグとの間で情報を送受信する送受信部と署名を作成する署名作成部とを有す るリーダライタを前記製品の流通経路上の各拠点に備え、最初の拠点に備わるリー ダライタは、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグ と交信して、初期値またはそれから導出した値に対して自拠点の秘密鍵で署名した 署名文を流通経緯情報として無線 ICタグの読み書き可能なメモリに書き込むもので あり、最初の拠点以外の拠点に備わるリーダライタは、自拠点に流通してきた製品ま たはそのパッケージに付された無線 ICタグと交信して、その無線 ICタグの読み書き可 能なメモリに書き込まれて 、る流通経緯情報またはそれから導出した情報に対して自 拠点の秘密鍵で署名した署名文を新たな流通経緯情報として導出し、無線 ICタグの 読み書き可能なメモリに書き込まれて 、た元の流通経緯情報と置き換えるものである ことを特徴とする。
[0016] 本発明の第 2の流通経緯認証システムは、第 1の流通経緯認証システムにおいて、 前記初期値として、無線 ICタグの読み出し専用メモリに記憶されている当該無線 ICタ グ固有の識別番号を使用するものであることを特徴とする。
[0017] 本発明の第 3の流通経緯認証システムは、第 1または第 2の流通経緯認証システム において、最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタは、自拠点に 流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き可能なメモ リに書き込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点の公開鍵を 自拠点に近 ヽ拠点の公開鍵から順番に使用して検証を繰り返して！/ヽき、最終的に前 記初期値が得られるところまで遡って検証できることにより、前記製品が自拠点まで 正しく経緯してきたものと判断する署名検証部を有することを特徴とする。
[0018] 本発明の第 4の流通経緯認証システムは、製品またはそのパッケージに付された無 線 ICタグとの間で情報を送受信する送受信部と署名を作成する署名作成部とを有す るリーダライタを前記製品の流通経路上の各拠点に備え、最初の拠点に備わるリー ダライタは、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグ と交信して、初期値またはそれから導出した値に対して自拠点の秘密鍵で署名した 署名文を流通経緯情報、前記初期値またはそれから導出した値を補助情報として無 線 ICタグの読み書き可能なメモリに書き込むものであり、最初の拠点以外の拠点に備 わるリーダライタは、自拠点に流通してきた製品またはそのノ ッケージに付された無 線 ICタグと交信して、その無線 ICタグの読み書き可能なメモリに書き込まれて 、る流 通経緯情報またはそれ力 導出した情報に対して自拠点の秘密鍵で署名した署名 文を新たな流通経緯情報、書き込まれて!/、た元の流通経緯情報またはそれから導出 した情報を補助情報として導出し、無線 ICタグの読み書き可能なメモリに書き込まれ ていた元の流通経緯情報と補助情報と置き換えるものであることを特徴とする。
[0019] 本発明の第 5の流通経緯認証システムは、第 4の流通経緯認証システムにおいて、 最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタは、自拠点に流通してき た製品またはそのパッケージに付された無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報に対して、自拠点より 1つ上流の拠点の公開鍵を使用して 検証し、その検証結果にお!、て前記無線 ICタグの読み書き可能なメモリに書き込ま れている補助情報と同じ補助情報が導出できることにより、前記製品力 siつ前の拠点 力 正しく経緯してきたものと判断する署名検証部を有することを特徴とする。
[0020] 本発明の第 6の流通経緯認証システムは、第 1の流通経緯認証システムにおいて、 経緯順が i番目の拠点に備わるリーダライタの署名作成部は、自拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通してき
i 0
た製品またはそのパッケージに付された無線 icタグの読み書き可能なメモリに書き込 まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u d}
i-l i i i mod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ _1(f( φ (f(ST)》》を新たな流通経緯情報として導出するものであることを特徴 とする。
[0021] 本発明の第 7の流通経緯認証システムは、第 6の流通経緯認証システムにおいて、 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込ま れている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uで あることを特徴とする。
[0022] 本発明の第 8の流通経緯認証システムは、第 6の流通経緯認証システムにおいて、 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージを 連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能な メモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求められ る値 H(T )〇uであることを特徴とする。
[0023] 本発明の第 9の流通経緯認証システムは、第 7または第 8の流通経緯認証システム において、経緯順が潘目の拠点に備わるリーダライタは、（u〈n)?g(u)=u e} mod n： g(u)=uと定義される関数を g(u)とするとき、 φ
Figure imgf000008_0001
( φ ((g ( i i i 1 1 1 2 2 H(T〇〜T 〇φ— g ( (§ (u )))))· ··》))))))） = uが成立することにより、前記製品
2 i-1 i-1 i-1 i-1 0
が自拠点まで正しく経緯してきたものと判断する署名検証部を有することを特徴とす る。
[0024] 本発明の第 10の流通経緯認証システムは、第 4の流通経緯認証システムにおいて 、経緯順が潘目の拠点に備わるリーダライタの署名作成部は、自拠点の秘密鍵を d 、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通して
i 0
きた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリに書き 込まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u
i-1 i i dlmod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ ュ値 h(u )
i-1を新たな補助情報 V
iとしてそれぞれ導出するものであることを特徴とする。
[0025] 本発明の第 11の流通経緯認証システムは、第 10の流通経緯認証システムにおいて 、前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする。
[0026] 本発明の第 12の流通経緯認証システムは、第 10の流通経緯認証システムにおいて 、前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする。
[0027] 本発明の第 13の流通経緯認証システムは、第 11または第 12の流通経緯認証システ ムにおいて、経緯順が潘目の拠点に備わるリーダライタは、（u〈n)?g(u)=u } mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i-1 i-1
))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた
i-1
ものと判断する署名検証部を有することを特徴とする。 [0028] 本発明の第 1の流通経緯認証方法は、製品またはそのノ ッケージに付された無線 I Cタグとの間で情報を送受信する送受信部と署名を作成する署名作成部とを有するリ 一ダライタを前記製品の流通経路上の各拠点に設け、最初の拠点に備わるリーダラ イタが、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグと交 信して、初期値またはそれから導出した値に対して自拠点の秘密鍵で署名した署名 文を流通経緯情報として無線 ICタグの読み書き可能なメモリに書き込み、最初の拠 点以外の拠点に備わるリーダライタ力 自拠点に流通してきた製品またはそのノッケ ージに付された無線 ICタグと交信して、その無線 ICタグの読み書き可能なメモリに書 き込まれて 、る流通経緯情報またはそれから導出した情報に対して自拠点の秘密鍵 で署名した署名文を新たな流通経緯情報として導出し、無線 ICタグの読み書き可能 なメモリに書き込まれて 、た元の流通経緯情報と置き換えることを特徴とする。
[0029] 本発明の第 2の流通経緯認証方法は、第 1の流通経緯認証方法にお!、て、前記初 期値として、無線 ICタグの読み出し専用メモリに記憶されている当該無線 ICタグ固有 の識別番号を使用することを特徴とする。
[0030] 本発明の第 3の流通経緯認証方法は、第 1または第 2の流通経緯認証方法におい て、最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタの署名検証部が、 自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き 可能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点の 公開鍵を自拠点に近 、拠点の公開鍵から順番に使用して検証を繰り返して 、き、最 終的に前記初期値が得られるところまで遡って検証できることにより、前記製品が自 拠点まで正しく経緯してきたものと判断する段階を有することを特徴とする。
[0031] 本発明の第 4の流通経緯認証方法は、製品またはそのノ ッケージに付された無線 I Cタグとの間で情報を送受信する送受信部と署名を作成する署名作成部とを有するリ 一ダライタを前記製品の流通経路上の各拠点に設け、最初の拠点に備わるリーダラ イタが、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグと交 信して、初期値またはそれから導出した値に対して自拠点の秘密鍵で署名した署名 文を流通経緯情報、前記初期値またはそれから導出した値を補助情報として無線 IC タグの読み書き可能なメモリに書き込み、最初の拠点以外の拠点に備わるリーダライ タが、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグと交信 して、その無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報また はそれから導出した情報に対して自拠点の秘密鍵で署名した署名文を新たな流通 経緯情報、書き込まれて 、た元の流通経緯情報またはそれ力 導出した情報を補助 情報として導出し、無線 ICタグの読み書き可能なメモリに書き込まれて 、た元の流通 経緯情報と補助情報と置き換えることを特徴とする。
[0032] 本発明の第 5の流通経緯認証方法は、第 4の流通経緯認証方法にお 、て、最初の 拠点以外の少なくとも 1つの拠点に備わるリーダライタの署名検証部が、自拠点に流 通してきた製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリ に書き込まれている流通経緯情報に対して、自拠点より 1つ上流の拠点の公開鍵を 使用して検証し、その検証結果にぉ 、て前記無線 ICタグの読み書き可能なメモリに 書き込まれている補助情報と同じ補助情報が導出できることにより、前記製品が 1つ 前の拠点カゝら正しく経緯してきたものと判断する段階を有することを特徴とする。
[0033] 本発明の第 6の流通経緯認証方法は、第 1の流通経緯認証方法にお!、て、経緯順 が潘目の拠点に備わるリーダライタの署名作成部力 自拠点の秘密鍵を d、 RSAモ ジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通してきた製品
i 0
またはそのパッケージに付された無線 icタグの読み書き可能なメモリに書き込まれて いる流通経緯情報 u 若しくはそれから導出した情報を ST、 (u<n)？ f(u)=u d}mod n ： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ Φ (f(ST)》》を新たな流通経緯情報として導出することを特徴とする。
Figure imgf000011_0001
[0034] 本発明の第 7の流通経緯認証方法は、第 6の流通経緯認証方法にお 、て、前記 ST は、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット列 Tiのハツ シュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込まれて 、る 流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uであることを 特徴とする。
[0035] 本発明の第 8の流通経緯認証方法は、第 6の流通経緯認証方法にぉ 、て、前記 ST は、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージを連結し たビット列 T;のハッシュ値 Η(η)と、初期値または無線 ICタグの読み書き可能なメモリに 書き込まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 Η( T )〇uであることを特徴とする。
[0036] 本発明の第 9の流通経緯認証方法は、第 7または第 8の流通経緯認証方法におい て、経緯順が潘目の拠点に備わるリーダライタの署名検証部力
Figure imgf000012_0001
mo (
H(T
Figure imgf000012_0002
が自拠点まで正しく経緯してきたものと判断する段階を有することを特徴とする。
[0037] 本発明の第 10の流通経緯認証方法は、第 4の流通経緯認証方法にぉ 、て、経緯 順が潘目の拠点に備わるリーダライタの署名作成部力 自拠点の秘密鍵を d、 RSA モジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通してきた製
i 0
品またはそのパッケージに付された無線 icタグの読み書き可能なメモリに書き込まれ ている流通経緯情報 u 若しくはそれから導出した情報を ST、 （uく n) ？ f(u)=u d}mod
i-1 i i i n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ ュ値 h(U )
i-1を新たな補助情報 V
iとしてそれぞれ導出することを特徴とする。
[0038] 本発明の第 11の流通経緯認証方法は、第 10の流通経緯認証方法において、前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット列 Tの ノ、ッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込まれて いる流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uであるこ とを特徴とする。
[0039] 本発明の第 12の流通経緯認証方法は、第 10の流通経緯認証方法にお 、て、前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージを連結 したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリ に書き込まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uであることを特徴とする。 [0040] 本発明の第 13の流通経緯認証方法は、第 11または第 12の流通経緯認証方法にお いて、経緯順が潘目の拠点に備わるリーダライタの署名検証部力
Figure imgf000013_0001
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i~l i~l
))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた
i-1
ものと判断する署名検証部を有することを特徴とする。
[0041] 本発明の第 1のリーダライタは、製品またはそのパッケージに付された無線 ICタグと の間で情報を送受信する送受信部と署名を作成する署名作成部とを有し、前記製品 の流通経路上の拠点に設けられるリーダライタであって、自拠点に流通してきた製品 またはそのパッケージに付された無線 ICタグと交信して、その無線 ICタグの読み書き 可能なメモリに書き込まれて 、る流通経緯情報またはそれから導出した情報に対して 自拠点の秘密鍵で署名した署名文を新たな流通経緯情報として導出し、無線 ICタグ の読み書き可能なメモリに書き込まれて 、た元の流通経緯情報と置き換えるものであ ることを特徴とする。
[0042] 本発明の第 2のリーダライタは、第 1のリーダライタにおいて、自拠点に流通してきた 製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリに書き込ま れて 、る流通経緯情報に対して、自拠点より上流の各拠点の公開鍵を自拠点に近 Vヽ拠点の公開鍵から順番に使用して検証を繰り返して!/ヽき、最終的に予め定められ た初期値または前記無線 ICタグの読み出し専用メモリに記憶されている当該無線 IC タグ固有の識別番号が得られるところまで遡って検証できることにより、前記製品が自 拠点まで正しく経緯してきたものと判断する署名検証部を有することを特徴とする。
[0043] 本発明の第 3のリーダライタは、製品またはそのパッケージに付された無線 ICタグと の間で情報を送受信する送受信部と署名を作成する署名作成部とを有し、前記製品 の流通経路上の拠点に設けられるリーダライタであって、自拠点に流通してきた製品 またはそのパッケージに付された無線 ICタグと交信して、その無線 ICタグの読み書き 可能なメモリに書き込まれて 、る流通経緯情報またはそれから導出した情報に対して 自拠点の秘密鍵で署名した署名文を新たな流通経緯情報、書き込まれて!/、た元の 流通経緯情報またはそれ力 導出した情報を補助情報として導出し、無線 ICタグの 読み書き可能なメモリに書き込まれて!/、た元の流通経緯情報と補助情報と置き換え るものであることを特徴とする。
[0044] 本発明の第 4のリーダライタは、第 3のリーダライタにおいて、自拠点に流通してきた 製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリに書き込ま れている流通経緯情報に対して、自拠点より 1つ上流の拠点の公開鍵を使用して検 証し、その検証結果にお!、て前記無線 ICタグの読み書き可能なメモリに書き込まれ ている補助情報と同じ補助情報が導出できることにより、前記製品カ^つ前の拠点か ら正しく経緯してきたものと判断する署名検証部を有することを特徴とする。
[0045] 本発明の第 5のリーダライタは、第 1のリーダライタにおいて、前記署名作成部は、自 拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または
i i 0
自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き 可能なメモリに書き込まれて 、る流通経緯情報 u 若しくはそれ力 導出した情報を S
i-l
Tゝ（uく n )？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ _1(f( φ (f(ST)》》を新たな流通経緯情報として導出するものであることを特徴 とする。
[0046] 本発明の第 6のリーダライタは、第 5のリーダライタにおいて、前記 STは、自拠点およ び自拠点より上流の全ての拠点の公開鍵を連結したビット列 Tのハッシュ値 H(T)と、 初期値または無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 のビット列 uとの排他的論理和により求められる値 H(T)〇uであることを特徴とする。
[0047] 本発明の第 7のリーダライタは、第 5のリーダライタにおいて、前記 STは、自拠点およ び自拠点より上流の全ての拠点の公開鍵およびメッセージを連結したビット列 Tのハ ッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込まれてい る流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uであること を特徴とする。
[0048] 本発明の第 8のリーダライタは、第 6または第 7のリーダライタにおいて、 (u<n)?g(u)= u {el
mod n： g(u)=uと定義される関数を g(u)とするとき、 φ
Figure imgf000014_0001
( φ ((g ( i i i 1 1 1 2 2 H(T〇〜T 〇φ— g ( (§ (u )))))· ··》))))))） = uが成立することにより、前記製品
2 i-1 i-1 i-1 i-1 0
が自拠点まで正しく経緯してきたものと判断する署名検証部を有することを特徴とす る。
[0049] 本発明の第 9のリーダライタは、第 3のリーダライタにおいて、前記署名作成部は、自 拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または
i i 0
自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き 可能なメモリに書き込まれて 、る流通経緯情報 u 若しくはそれ力 導出した情報を S
i-1
Tゝ （uく n ) ？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ
i i i-1
ュ値 h(u )
i-1を新たな補助情報 v
iとしてそれぞれ導出するものであることを特徴とする。
[0050] 本発明の第 10のリーダライタは、第 9のリーダライタにおいて、前記 STは、自拠点お よび自拠点より上流の全ての拠点の公開鍵を連結したビット列 Tのハッシュ値 H(T)と 、初期値または無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情 報のビット列 uとの排他的論理和により求められる値 H(T)〇uであることを特徴とする。
[0051] 本発明の第 11のリーダライタは、第 9のリーダライタにおいて、前記 STは、自拠点お よび自拠点より上流の全ての拠点の公開鍵およびメッセージを連結したビット列 Tの ノ、ッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込まれて いる流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇uであるこ とを特徴とする。
[0052] 本発明の第 12のリーダライタは、第 10または第 11のリーダライタにおいて、 (u<n)?g( u)=u {e }
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i-1 i-1
))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた
i-1
ものと判断する署名検証部を有することを特徴とする。
[0053] 本発明の第 13のリーダライタは、製品またはそのパッケージに付された無線 ICタグ との間で情報を送受信する送受信部と署名を検証する署名検証部とを有し、前記製 品の流通経路上の拠点に設けられるリーダライタであって、前記署名検証部は、自 拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き可 能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点の公 開鍵を自拠点に近 、拠点の公開鍵から順番に使用して検証を繰り返して 、き、最終 的に予め定められた値または前記無線 ICタグの読み出し専用メモリに記憶されてい る当該無線 ICタグ固有の識別番号である初期値が得られるところまで遡って検証で きることにより、前記製品が自拠点まで正しく経緯してきたものと判断するものであるこ とを特徴とする。
[0054] 本発明の第 14のリーダライタは、第 13のリーダライタにおいて、潘目の拠点の秘密 鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流通してきた製品または i i 0
そのパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流 通経緯情報を u 、潘目の拠点およびそれより上流の全ての拠点の公開鍵を連結し
i-1
たビット列 Tのハッシュ値 Η(Τ)と流通経緯情報との排他的論理和により求められる値 を H(T)〇u、 mod n： g(u)=uと定義される関数を g(u)、セキュリティパ
Figure imgf000016_0001
ラメタ kビット (ただし nく 2k)長自然数空間での写像として φ (u)= (U+n)mod2kと定義され る関数を Φ (u)、その逆関数を φ—1とするとき、前記署名検証部は、 φ _1(g ( φ (g (H(T 〇Φ— が成立することに
Figure imgf000016_0002
より、前記製品が自拠点まで正しく経緯してきたものと判断するものであることを特徴 とする。
[0055] 本発明の第 15のリーダライタは、第 13のリーダライタにおいて、潘目の拠点の秘密 鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流通してきた製品または i i 0
そのパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流 通経緯情報を u 、潘目の拠点およびそれより上流の全ての拠点の公開鍵およびメ
i-1
ッセージを連結したビット列 Tのハッシュ値 Η(Τ)と流通経緯情報との排他的論理和に より求められる値を H(T)〇u、 mod n： g(u)=uと定義される関数を g(u
Figure imgf000016_0003
)、セキュリティパラメタ kビット (ただし く 2k)長自然数空間での写像として φ (u)= (u+n)m od2kと定義される関数を φ (ιι)、その逆関数を φ—1とするとき、前記署名検証部は、 φ—1 (Ε ( Φ (Ε (Η(Τ 〇φ— g fe OiCT O—T Ο φ (g (u )))))· ·· ))))))))) = uが 成立することにより、前記製品が自拠点まで正しく経緯してきたものと判断するもので あることを特徴とする。
[0056] 本発明の第 16のリーダライタは、製品またはそのパッケージに付された無線 ICタグ との間で情報を送受信する送受信部と署名を検証する署名検証部とを有し、前記製 品の流通経路上の拠点に設けられるリーダライタであって、前記署名検証部は、自 拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き可 能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より 1つ上流の拠点の 公開鍵を使用して検証し、その検証結果にぉ 、て前記無線 ICタグの読み書き可能な メモリに書き込まれている補助情報と同じ補助情報が導出できることにより、前記製品 力 S1つ前の拠点から正しく経緯してきたものと判断するものであることを特徴とする。
[0057] 本発明の第 17のリーダライタは、第 16のリーダライタにおいて、潘目の拠点の秘密 鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流通してきた製品または i i 0
そのパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流 通経緯情報および補助情報を u および V 、潘目の拠点およびそれより上流の全て
i-1 i-1
の拠点の公開鍵を連結したビット列 Tのハッシュ値 Η(Τ )と流通経緯情報との排他的 論理和により求められる値を H(T)〇u、 mod n： g(u)=uと定義される
Figure imgf000017_0001
関数を gi(u)、セキュリティパラメ外ビット (ただし く 2k)長自然数空間での写像として φ ( u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ ~ hをハッシュ関数とする とき、前記署名検証部は、 h(H( が成立す
Figure imgf000017_0002
ることにより、前記製品カ^つ前の拠点力 正しく経緯してきたものと判断するものであ ることを特徴とする。
[0058] 本発明の第 18のリーダライタは、第 16のリーダライタにおいて、潘目の拠点の秘密 鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流通してきた製品または i i 0
そのパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流 通経緯情報および補助情報を u および V 、潘目の拠点およびそれより上流の全て
i-1 i-1
の拠点の公開鍵およびメッセージを連結したビット列 Tのハッシュ値 Η(Τ)と流通経緯 情報との排他的論理和により求められる値を H(T)〇u、 mod n： g(u
Figure imgf000017_0003
)=uと定義される関数を gi(u)、セキュリティパラメ外ビット (ただし n;く 2k)長自然数空間で の写像として φ (u)= hをハツ シュ関数とするとき、 )))))))) =
Figure imgf000018_0001
v が成立することにより、前記製品が 1つ前の拠点から正しく経緯してきたものと判 i-1
断するものであることを特徴とする。
[0059] 本発明の無線 ICタグは、製品の流通経緯を管理するために製品またはそのパッケ ージに付加される無線 ICタグにおいて、製品の流通経路上の各拠点に備わるリーダ ライタとの間で情報を送受信する送受信部と、自無線 ICタグ固有の識別番号を記憶 する読み出し専用メモリと、流通経緯情報を記憶する読み書き可能なメモリとを備え、 最初の拠点に流通した際にはその拠点に備わるリーダライタによって、前記識別番 号またはそれカゝら導出した値に対してその拠点の秘密鍵で署名された署名文が前 記流通経緯情報として前記読み書き可能なメモリに書き込まれ、最初の拠点以外の 拠点に流通した際にはその拠点に備えるリーダライタによって、前記読み書き可能な メモリに書き込まれている流通経緯情報またはそれから導出した情報に対してその拠 点の秘密鍵で署名された署名文が新たな流通経緯情報として導出されて、前記読 み書き可能なメモリに書き込まれて 、た元の流通経緯情報が置き換えられるものであ ることを特徴とする。
[0060] 『作用』
本発明にあっては、製品またはそのパッケージに付加された無線 ICタグがその製 品に付随して流通し、流通経緯上の各拠点に設けられたリーダライタによって、無線 I Cタグの読み書き可能なメモリ中の流通経緯情報が書き換えられていく。
[0061] 具体的には、最初の拠点に備わるリーダライタにより、初期値 uまたはそれからハツ
0
シュ関数などにより一意に導出した値に対してその拠点の秘密鍵で署名された署名 文が流通経緯情報 uとして無線 ICタグの読み書き可能なメモリに書き込まれ、 2番目
1
の拠点に備わるリーダライタにより、読み書き可能なメモリに書き込まれている流通経 緯情報 uまたはそれからハッシュ関数などにより一意に導出した情報に対してその拠
1
点の秘密鍵で署名された署名文が新たな流通経緯情報 Uとして導出されて元の流
2
通経緯情報 uと置き換えられ、 3番目の拠点に備わるリーダライタにより、読み書き可
1
能なメモリに書き込まれて 、る流通経緯情報 Uまたはそれからハッシュ関数などにより 一意に導出した情報に対してその拠点の秘密鍵で署名された署名文が新たな流通 経緯情報 Uとして導出されて元の流通経緯情報 Uと置き換えられる。
3 2
[0062] 或る拠点に流通してきた製品が正しく経緯してきたかどうかは、その製品またはその ノ ッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経 緯情報に対して、その拠点より上流の各拠点の公開鍵を自拠点に近い拠点の公開 鍵から順番に使用して検証を繰り返していき、最終的に初期値 uが得られるところま
0
で遡って検証できるかどうかによつて判断できる。
[0063] 例えば、 3番目の拠点に流通してきた製品は、 1番目の拠点、 2番目の拠点をその順 に経緯してきたはずである。従って、 3番目の拠点に届いた製品に付加された無線 IC タグの読み書き可能なメモリに記憶されている流通経緯情報 uを、 2番目の拠点の公
2
開鍵で検証し、その検証結果を 1番目の拠点の公開鍵で検証すると、その検証結果 は初期値に一致する。例えば、若し 2番目の拠点において、 1番目の拠点以外力 流 通した製品に付加された無線 ICタグの読み書き可能なメモリに記憶されて 、る流通 経緯情報 u' (≠u )〖こ対して、 2番目の拠点の秘密鍵で署名した署名文を新たな流通
1 1
経緯情報 uとして導出し、元の流通経緯情報 u と置き換えて、 3番目の拠点に流通さ
2 1
せたとすると、流通経緯情報 uを 2番目の拠点の公開鍵で検証し、その検証結果を 1
2
番目の拠点の公開鍵で検証すると、その検証結果は初期値 uに一致しない。
0
[0064] こうして、工場生産品や食品などの一般消費者向けの製品または製品パッケージ の流通過程において、ホストコンピュータと通信できないオフライン環境でも、流通経 緯を確認することができ、かつ流通経緯中の各拠点のリーダライタや悪意のある第 3 者における流通経緯情報の偽造および改竄も検知可能となる。また、初期値 uとして
0
、 0などの数値を使用すると、正規に流通する製品 Aに付加された無線 ICタグの読み 書き可能なメモリに記憶されて ヽる流通経緯情報を読み出して、別の製品 Bに付加さ れた無線 ICタグの読み書き可能なメモリにコピーすると 、つた不正を防止できな 、が 、初期値 uとして、無線 ICタグの読み出し専用メモリに記憶された当該無線 ICタグ固
0
有の識別子を用いることにより、そのような不正な行為を阻止でき、流通経緯情報の 偽造および改竄をより一層困難にすることが可能となる。
[0065] また、或る拠点に流通してきた製品が正しく経緯してきた力どうかを検証するために 、その製品に付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経 緯情報に対して、その拠点より上流の各拠点の公開鍵を全て使って検証を繰り返す 方法は信頼性は高いが、計算量が多い。これに対して、最初の拠点に備わるリーダ ライタが、初期値またはそれから導出した値に対して自拠点の秘密鍵で署名した署 名文を流通経緯情報、前記初期値またはそれから導出した値を補助情報として無線
ICタグの読み書き可能なメモリに書き込み、最初の拠点以外の拠点に備わるリーダラ イタが、無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報または それから導出した情報に対して自拠点の秘密鍵で署名した署名文を新たな流通経 緯情報、書き込まれて!/、た元の流通経緯情報またはそれから導出した情報を補助情 報として導出し、無線 ICタグの読み書き可能なメモリに書き込まれて 、た元の流通経 緯情報と補助情報と置き換えるようにする方法によれば、或る拠点に流通してきた製 品が正しく経緯してきた力どうかの検証を簡易化できる。つまり、その拠点に流通して きた製品に付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経 緯情報に対して、その拠点より 1つ上流の拠点の公開鍵を使用して検証し、その検証 結果において無線 ICタグの読み書き可能なメモリに書き込まれている補助情報と同 じ補助情報が導出できるかどうかによつて、当該製品カ^つ前の拠点から正しく経緯 してきたかどうかを判断できる。ただし、この場合は、 1つ前の拠点が信頼のおける拠 点であることが必要である。
[0066] 本発明における流通経緯情報を生成するための署名方式には、非特許文献 2に記 載される署名方式など、公知の署名方式を利用可能である。ただし、非特許文献 2に 記載される署名方式は、署名を重ねるたびに 1ビットずつ署名データ長が大きくなる。 これに対して、後述する第 2の実施の形態において提案する新規な署名方式によれ ば、流通経緯情報のサイズを一定にすることができる。
発明の効果
[0067] 本発明によれば、工場生産品や食品などの一般消費者向けの製品または製品パ ッケージの流通過程にぉ 、て、ホストコンピュータと通信できな 、オフライン環境でも 、流通経緯を確認することができる。これによつて、運用コストを軽減できる。その理由 は、製品に付する書き込み型無線 ICタグのローカルな記憶領域に流通の経緯を管 理する情報を持ち、それを必要に応じて参照することで流通経緯を確認することがで さるカゝらである。
[0068] また本発明によれば、流通経緯中の各段階のリーダライタや悪意のある第 3者にお ける流通経緯情報の偽造および改竄を検知できる。その理由は、流通経緯を証明す る署名力 流通経緯中の拠点全ての公開鍵を用いて検証することが可能だ力もであ る。
図面の簡単な説明
[0069] [図 1]本発明の第 1の実施の形態の構成を示すブロック図である。
[図 2]本発明の第 1の実施の形態における流通経緯情報の説明図である。
[図 3]本発明の第 1の実施の形態において無線 ICタグが付された製品カ^ーダライタ を経由する際の動作を示すシーケンス図である。
[図 4]本発明の第 1の実施の形態における流通経緯情報に対する署名の作成と検証 に使用する関数を示す図である。
[図 5]本発明の第 1の実施の形態にカゝかるリーダライタの署名作成部の処理例を示す フローチャートである。
[図 6]本発明の第 1の実施の形態にカゝかるリーダライタの署名検証部の処理例を示す フローチャートである。
[図 7]本発明の第 1の実施の形態に力かるリーダライタの署名作成部の別の処理例を 示すフローチャートである。
[図 8]本発明の第 1の実施の形態に力かるリーダライタの署名検証部の別の処理例を 示すフローチャートである。
[図 9]本発明の第 2の実施の形態の構成を示すブロック図である。
[図 10]本発明の第 2の実施の形態における流通経緯情報に対する署名の作成と検 証に使用する関数を示す図である。
[図 11]本発明の第 2の実施の形態にカゝかるリーダライタの署名作成部の処理例を示 すフローチャートである。
[図 12]本発明の第 2の実施の形態にカゝかるリーダライタの署名検証部の処理例を示 すフローチャートである。 [図 13]本発明の第 2の実施の形態に力かるリーダライタの署名作成部の別の処理例 を示すフローチャートである。
[図 14]本発明の第 2の実施の形態に力かるリーダライタの署名検証部の別の処理例 を示すフローチャートである。
[図 15]本発明の第 3の実施の形態の構成を示すブロック図である。
[図 16]本発明の第 3の実施の形態において無線 ICタグが付された製品カ^ーダライタ を経由する際の動作を示すシーケンス図である。
[図 17]本発明の第 3の実施の形態にカゝかるリーダライタの署名作成部の処理例を示 すフローチャートである。
[図 18]本発明の第 3の実施の形態にカゝかるリーダライタの署名検証部の処理例を示 すフローチャートである。
[図 19]本発明の第 3の実施の形態に力かるリーダライタの署名作成部の別の処理例 を示すフローチャートである。
[図 20]本発明の第 3の実施の形態に力かるリーダライタの署名検証部の別の処理例 を示すフローチャートである。
[図 21]本発明の第 4の実施の形態の構成を示すブロック図である。
[図 22]本発明の第 4の実施の形態にカゝかるリーダライタの署名作成部の処理例を示 すフローチャートである。
[図 23]本発明の第 4の実施の形態にカゝかるリーダライタの署名検証部の処理例を示 すフローチャートである。
[図 24]本発明の第 4の実施の形態に力かるリーダライタの署名作成部の別の処理例 を示すフローチャートである。
[図 25]本発明の第 4の実施の形態に力かるリーダライタの署名検証部の別の処理例 を示すフローチャートである。 符号の説明
1…無線 ICタグ
2 ι〜2 n…リーダライタ
3· ··公開鍵発行者 11·••ROM部
12- ••RAM^
13· ··送受信部
21· '鍵管理部
22· ' '·署名作成部
23· ' '·署名検証部
24· ' ··送受信部
25· ' ··外部情報入力部
発明を実施するための最良の形態
[0071] 『第 1の実施の形態』
次に本発明の第 1の実施の形態について、図面を参照して詳細に説明する。
[0072] 図 1を参照すると、本発明の第 1の実施の形態にカゝかる流通経緯認証システムは、 流通する製品に付され、製品とともに流通経路 (配送経路)をたどる無線 ICタグ (RFID タグ） 1と、流通経路中の各拠点に配置されるリーダライタ 2— l〜2—nとから構成され る。ここで、無線 ICタグ 1が付された製品は、リーダライタ 2—1の配置された 1番目の拠 点、リーダライタ 2— 2の配置された 2番目の拠点、 · ··、リーダライタ 2—nの配置された n 番目の拠点の順で経緯 (流通）して 、くものとする。
[0073] 無線 ICタグ 1は、 ROM部 11、 RAM部 12および送受信部 13を備えている。
[0074] ROM部 11は、読み取り専用のメモリ領域であり、当該無線 ICタグ 1を他の無線 ICタ グと区別するための固有の IDを記憶する。
[0075] RAM部 12は、読み取りと書き込みが可能であるメモリ領域であり、書き込み可能なメ モリサイズは有限である。本書き込み可能なメモリ領域には、当該メモリサイズに収ま るサイズ sで表現可能な流通経緯情報 uが記憶される。添え字が iである流通経緯情 報 uは、 1番目カも潘目までの拠点を経緯したことを表す。流通経緯情報の初期値は 、どこも経緯していないことを表す uである。 uには、所定値たとえば 0、または、無線 I
0 0
Cタグ 1の ROM部 11に記憶された当該無線 ICタグ固有の ID値が設定される。
[0076] 図 2を参照すると、流通経緯情報 uiは、リーダライタ 2— 1、 · ··、 2— iの秘密鍵 sk、…
1
、 skを用いて順次計算された署名力も構成される。つまり、最初のリーダライタ 2—1が 初期値 uに対して秘密鍵 skを用いて計算した署名に、次の拠点のリーダライタ 2— 2
0 1
が秘密鍵 skを用いて署名し、更にその署名に対して次の拠点のリーダライタが署名
2
するという手順を潘目の拠点まで繰り返されたものが流通経緯情報 である。
[0077] 送受信部 13は、各拠点においてその拠点に配置されたリーダライタ 2— 1〜2— nと の間で無線伝送により情報の授受を行うべく増幅、フィルタリング、変調等の処理を 行う。具体的には、リーダライタ力 ROM部 11の IDまたは RAM部 12の流通経緯情報 への読み取り要求時に、当該情報を読み取ってリーダライタへ送信し、また、リーダラ イタから RAM部 12への書き込み要求時に、書き込む情報を受信して RAM部 11へ書き 込む。
[0078] リーダラィタ2— 1〜2—11は全て同じ構成でぁり、図 1にはリーダライタ 2—1のブロック にのみ内部構造を図示してある。
[0079] 図 1を参照すると、各リーダライタは、 RSA公開鍵暗号アルゴリズムにおける公開鍵と 秘密鍵のペアを管理する鍵管理部 21と、鍵管理部 21に格納された自リーダライタの 秘密鍵に基づ ヽて署名を作成する署名作成部 22と、鍵管理部 21に格納された各拠 点のリーダライタの公開鍵に基づいて署名を検証する署名検証部 23と、無線 ICタグ 1 との間で情報を送受信する送受信部 24力 構成される。また、リーダライタに製品に 付加する情報（時間、温度などの属性情報など)を入力し、またリーダライタ上の情報 (経由時にぉ 、ての経緯認証の成否などを通知するための情報など）を出力する外 部情報入力部 25を備えて 、てもよ 、。
[0080] 鍵管理部 21は、リーダライタ 2— l〜2—nの公開鍵及び自リーダライタの秘密鍵を保 持する。このリーダライタ 2— l〜2—nの公開鍵及び自リーダライタの秘密鍵は、シス テム外の信頼のおける公開鍵発行者 3から発行されたものでもよい。ここでは、鍵管 理部 21が自ら公開鍵と秘密鍵の鍵ペアを生成する手続きに関して説明する。公開鍵 発行者 3で鍵ペアを生成するときも同様の手続きを踏むものとする。本手続きは、個 々のリーダライタ 2— iごとに、 RSA公開鍵暗号アルゴリズムを基本とする方法で、セキ ユリティを最大化するように鍵生成を行う。素数 p、 qを、積 n=p q(RSAモジュラス)のビ ット長がセキュリティパラメタ kに等しぐかつ p、 qのビット長が同程度になるように選ぶ 。さらに自然数 eで nよりも大きぐかつ ((p-l)(q- 1》と互いに素であるものをランダムに 選ぶ。このように決定するパラメタを用い、リーダライタ 2—iの公開鍵 pk;、秘密鍵 を それぞれ e)、 d=e— 1 mod
((p- 1X^-1))とする。このように生成される各リーダライタの公開鍵は、システム外の手 段で公開され、各リーダライタは公開されて 、る公開鍵をシステム外の手段力 入手 可能とする。
[0081] 署名作成部 22は、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた、 無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u に対して、鍵管理部 21で
i-1
管理している自リーダライタの秘密鍵 dと RSAモジュラス nとを用いて、署名作成処理 を行い、作成した署名を新たな流通経緯情報 uとして、無線 ICタグ 1とリーダライタの 送受信部 13、 24を介して無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u
i-1 と置き換える。
[0082] 署名検証部 23は、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた、 無線 ICタグ 1の RAM部 12に保持している流通経緯情報 u に対して、各リーダライタの
i-1
公開鍵 pk ,' pkを用いて、自リーダライタの拠点に到る経緯を逆順に検証してい
—1 1
き、最終的に Uが得られるところまでさかのぼって検証できれば、 自リーダライタの拠
0
点に到るまでの全てのリーダライタを正しく経緯してきたものと判断する。
[0083] 送受信部 24は、無線 ICタグ 1間で無線伝送により情報の授受を行うべく増幅、フィ ルタリング、変調等の処理を行う。具体的には、リーダライタ力も ROM部 11の IDまたは RAM部 12の流通経緯情報への読み取り要求時に、リーダライタへ送信されてくる当 該情報を受信する。また、リーダライタから RAM部 12への書き込み要求時に RAM部 1 2書き込む情報を送信する。
[0084] 次に、無線 ICタグ 1が付された製品カ^ーダライタ 2— iを経由する際の動作を図 3の シーケンス図を参照して説明する。
[0085] まず、リーダライタ 2-iは、無線 ICタグ 1が付された製品が経由されてきた時、送受 信部 24により無線 ICタグ 1に対して、無線 ICタグ 1の RAM部 12に格納された流通経緯 情報 u および流通経緯情報の初期値 uとして無線 ICタグ固有の IDが使用される場 i-1 0
合は ROM部 11の IDを要求する（S101)。
[0086] 無線 ICタグ 1は、この要求に応じて、 RAM部 12に格納されている流通経緯情報 ui-1 および要求された場合には ROM部 11に格納されている IDを、送受信部 13を介してリ 一ダライタ 2— iに送信する（S201)。
[0087] 流通経緯情報 u を受信した (S102)リーダライタ 2 -iは、署名検証部 23により、鍵管 i-1
理部 21に保持されているリーダライタ 2—1〜2— (i 1)までの公開鍵 pk
1〜pk を用い i-1 て、流通経緯情報 U に対して順に署名を検証していき、流通経緯情報の初期値 U i-1 0 が得られるかどうかを検証する（S103)。
[0088] ここで、 uが得られれば、リーダライタ 2— l
0 〜2— (i— 1)まで正しく経緯してきたものと 判断され、 uが得られない場合、流通経緯中で何か不正があったものと検出される（S
0
106)。
[0089] 検証に成功した場合、リーダライタ 2 -iは、自リーダライタが配置された拠点を正しく 経緯したことを証明するために、正しく経緯してきたことが署名検証部 23により認証で きた流通経緯情報 u に対して、署名作成部 22により、鍵管理部 21に保持されている i-1
自リーダライタの秘密鍵 3 を用いて署名を生成し (S104)、生成された署名値 uを新し い流通経緯情報として過去の u に上書きするために、無線 ICタグ 1に送受信部 24に i-1
より送信する（S105)。無線 ICタグ 1は、送受信部 13により uを受信したら (S202)、受信 した uで RAM部 12に格納されている u を上書きする（S203)。
i i-1
[0090] 以上と同様な動作は、無線 ICタグ 1が付加された製品が次の拠点に配送された場 合にも実施される。リーダライタ 2— nが配置された拠点まで正しく経緯した製品の無 線 ICタグ 1の流通経緯情報 uに対して、リーダラィタ2— 1〜2—11の公開鍵 1^〜pkを 用いて、順に署名を検証していけば、流通経緯情報の初期値 uが得られることになる
0
。これにより、全ての拠点のリーダライタを正しく経緯してきたことを知ることができる。
[0091] 次に署名作成部 22をより詳細に説明する。
[0092] 署名作成部 22によるステップ S104における署名作成処理は、リーダライタ 2— 1〜2 —(ト 1)の公開鍵 pk , · · · , pk が全て異なること、かつ eが、 nよりも大きくかつ ((p - l)(q -
1 i-1 i i i i
1》と互いに素であることを確認し、 T = pkj卜 ' ||pkiを計算した後、 u=a||s(aは kビット長） としたときに (aく n)?E (u)=
((a d) mod n , s||0)： ((a-n) d}
mod n , s|| l)と定義される図 4の関数 Ei(u)を用いて、無線 ICタグ 1の有する流通経緯情 報 u に対して、 E (H(T)Ou )を署名として導出する。ここで、関数 E(u)の定義に使 i-1 i i i-1 i
用する「式 1?式 2 :式 3」なる表記は、式 1の条件が真のとき式 2を評価し、式 1の条件が 偽のとき式 3を評価することを意味し、また、「||」はビット列同士の連結、「H」は nのビッ ト数と同じビット数のビット列を出力するハッシュ関数、「〇」はビット毎の排他的論理 和、 は右の被演算子を指数として左の被演算子をべき乗した値を算出する算術 演算子を表し、以下においても同様の意味で用いる。この署名作成処理の詳しい手 順を図 5のステップ S314〜S319に示す。以下、前後の処理と共に署名作成処理を図 5 を参照して詳しく説明する。
[0093] 図 5を参照すると、リーダライタ 2— iは、 RFIDの RAM部 12に格納されている流通経路 情報 u を読み取ると (S311)、所有している鍵の正当性を検証した後 (S312)、u が正 i-1 i-1 当であるかを署名検証部 23で検証する (S313)。その後、署名作成部 22により、現拠 点の公開鍵及び上流に位置する拠点の公開鍵から T = pk I卜 '||pkを計算した後 (S31 4)、 E (H(T)Ou )をリーダライタ 2— iでの流通経緯情報 uとして導出する (S315〜S31 i i i-1 i
9)。具体的には、まず v=H(T)〇u を計算し (S315)、 vのはじめのセキュリティパラメタ k
i i-1
ビットを a、残りを sとし (S316)、 aが RSAモジュラス nよりも小さいときは、 aに対して秘密鍵 dで RSA方式に準じて署名値を計算する (S317,S318)。このとき sに制御情報として 1ビ ットの情報 0を付けカロえ、署名値とともに とする。また、 aが RSAモジュラス nよりも大き いときは、モジュラスより大きい数に対しては RSA署名を計算できないので、 aを nだけ 減算したものに対して署名値を計算する (S319)。このとき sに制御情報として 1ビットの 情報 1を付けカ卩え、署名値とともに とする。このように計算した u;を RFIDの RAM部に 格納されていた u と置換する (S319)。
i-1
[0094] このように、リーダライタ 2—iは、基本的には、無線 IDタグ 1に既に書き込まれている 流通経路情報 u に対して、自リーダライタの秘密鍵 dで署名を付ける力 RSAの場合
i-1 i
、自リーダライタの RSAモジュラス nより大きい数に対しては署名を計算できないので、 若し u 力 ¾より大きい場合はモジュラス nだけ減算して力も署名を付ける。このとき、後 i-1 i i
の検証を可能にするために、後ろに lbitの制御情報 (モジュラスを超えていた場合は 1 、そうでない場合は 0)を付けておく。また署名を計算する際には、セキュリティ強度を 考慮し、経緯上の各拠点の公開鍵を署名対象として入力することによって、公開鍵の すり替えを防止する。つまり、通常の方法で署名を作成するにはまず自分の公開鍵 ペアを作成してから署名するが、まず署名を偽造して偽造した署名とつじつまが合う ように公開鍵ペアを作成する不正行為が考えられるため、それを防ぐためにハッシュ に公開鍵を入れる。ノ、ッシュに公開鍵が入っていることにより、署名する前に公開鍵 を作ったことが保証される。
[0095] 次に署名検証部 23をより詳細に説明する。
[0096] 署名検証部 23によるステップ S103における署名検証処理は、リーダライタ 2—iにお いて、 = pk I卜 '||pk、 u=a||s||b(aは kビット長、 bは 1ビット長)としたときに、 (b=0)?D(u)= ((ale} mod n , s) : ((a e} mod n) + n , s)と定義される図 4に示す関数 D (u)を用いて、 D (H(T )〇(D (H(T )〇〜D (u 》···)） = uが成立すれば署名の検証に成功したと判断
1 1 2 2 i-1 i-1 0
する。この署名検証処理の詳しい手順を図 6に示す。
[0097] 図 6を参照すると、まずリーダライタ 2— iは、流通経路情報 u を変数 Vに記憶する (S i-1 i
331)。
[0098] 経緯中の拠点のリーダライタ 2-i力 最上流拠点のリーダライタ 2-1までを遡って、順 に検証処理を行う (S332〜S342)。
[0099] まず、どの拠点における署名を検証しているかを管理するループ変数 jに i-1を記憶 する (S332)。
[0100] jが 1以上であるかどうかの判定を行い (S333)、 1以上であれば次のように処理を行う 。リーダライタ 2-jの備えられた拠点の公開鍵及びその上流に位置する拠点の公開鍵 力も Tj = pk I卜 '||pkを計算した後 (S334)、 Vのはじめの kビットを aに、最後の 1ビットを b
1 i i
に、残りのビットを sに記憶し (S335)、 bが 0ならば、 aを公開鍵 eで検証し、検証結果の 末尾に sを加えたものと H(T)の排他的論理和を計算し、それを V として記憶する (S33 j n
6,S337)0
[0101] bが 1ならば、 aを公開鍵 eで検証し、検証結果にモジュラス nを加算した後、末尾に s を加えたものと H(T)の排他的論理和を計算し、それを V として記憶する (S338)。最後 j n
にループ変数 jをデクリメントし (S339)、再度 j力 i以上であるかどうかの判定から上記の 処理を繰り返す。 jが 0のときは、 Vが流通経緯情報の初期値 uと等しいかどうかを確
0 0
かめる (S340)。 [0102] 等しいならば正しい経緯を迪り、かつ途中経緯で不正がな力つたことの検証に成功 したとし、本処理を完了する (S341)。等しくない場合は検証に失敗したとし、本処理を 完了する (S342)。
[0103] このように、リーダライタ 2-iにおける署名検証は、経緯をさかのぼって処理し、最終 的に初期値 uが得られたら正しい経緯をたどってきたと判断する。また署名を検証す
0
る際に経緯上の各拠点の公開鍵を検証対象として入力しているため、公開鍵のすり 替えを検出できる。
[0104] 次に、本実施の形態の変形例として、各リーダライタにおいて無線 ICタグ 1に書き込 むメッセージが外部情報入力部 25から入力された場合の署名作成部 22の署名作成 処理を図 7を参照して説明する。
[0105] 図 7を参照すると、リーダライタ 2-iに無線 ICタグ 1に書き込むメッセージ Mが存在す る場合、署名作成部 22により、 T， = Mj卜 '||M.||pk I卜 '||pkを計算し (S314')、以下、 Τ，； を図 5の Τと同様〖こ扱うこと〖こ り、 Ε
(H(T' i)Ou)を署名として導出する。このように署名を計算する際に、経緯上の各拠 点の公開鍵とともに、付与するメッセージも署名対象として入力することで、公開鍵の すり替えだけでなぐ各リーダライタで付与するメッセージに対する改竄も検知可能と なる。
[0106] 図 8は各リーダライタにおいて無線 ICタグ 1に書き込むメッセージが存在する場合の 署名検証部 23の署名検証処理の手順を示す。 T， = M ||-||M ||pk I卜 -||pkを計算し (S
J 1 J 1 j
334')、以下、丁'を図6の丁と同様に扱ぅことにょり、0 (1"[(丁' 1〇(0 (1"[(丁，）〇〜D (u j j 1 ) 2 2 i-1 i-1
》〜》 = uが成立すれば署名の検証に成功したとする。このように署名を検証する際
0
に、経緯上の各拠点の公開鍵とともに、付与するメッセージも検証対象として入力す ることによって、公開鍵のすり替え、メッセージの改竄を検出できる。
[0107] 次に本実施の形態の効果を説明する。
[0108] 第 1の効果は、工場生産品や食品などの一般消費者向けの製品または製品パッケ ージの流通過程において、ホストコンピュータと通信できないオフライン環境でも、流 通経緯を確認することができることである。その理由は、製品に付する書き込み型無 線 ICタグ 1のローカルな記憶領域 (RAM部 12)に流通の経緯を管理する情報を持ち、 それを必要に応じて参照することで流通経緯を確認することができるからである。これ によって、運用コストを軽減できる。
[0109] 第 2の効果は、流通経緯中にたどる拠点数にスケーラビリティを有することである。
その理由は、（署名サイズ + (拠点数) X Iビット)で、流通経緯情報を表現できるからで ある。
[0110] 第 3の効果は、無線 ICタグ 1の価格を低く抑えられることである。その理由は、第 2の 効果の理由と同等であり、書き込みメモリ領域を多量に実装する必要がないからであ る。これによつて、流通用途に大量に使用することが容易になる。
[0111] 第 4の効果は、流通経緯中の各段階のリーダライタや悪意のある第 3者における流 通経緯情報の偽造および改竄を検知できることにある。その理由は、流通経緯を証 明する署名力 流通経緯中の拠点全ての公開鍵を用いて検証することが可能だから である。特に、初期値 u0に無線 IDタグ 1の ROM部 11に記憶してある当該無線 IDタグ 固有の IDを用いる場合、 ROM部 11のデータが不正に改ざんできないことを前提にで きるのであれば、 RAM部 12の流通経緯情報を不正に他の無線 IDタグの RAM部 12に コピーした場合も検知できる。
[0112] 『第 2の実施の形態』
次に本発明の第 2の実施の形態について、図面を参照して詳細に説明する。
[0113] 図 9を参照すると、本発明の第 2の実施の形態にカゝかる流通経緯認証システムは、 各リーダライタ 2— 1〜2— nが署名作成部 22および署名検証部 23の代わりに署名作 成部 22Aおよび署名検証部 23Aを備えている点で図 1の第 1の実施の形態に力かる流 通経緯認証システムと相違し、その他の点は第 1の実施の形態と同じである。
[0114] 署名作成部 22Aは、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた 、無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u に対して、鍵管理部 21
i-1
で管理して!/、る自リーダライタの秘密鍵 dと RSAモジュラス nとを用いて、署名作成処 理を行い、作成した署名を新たな流通経緯情報 uとして、無線 ICタグ 1とリーダライタ の送受信部 13、 24を介して無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u と置き換える。ただし、本実施の形態の場合、置き換え前後の流通経緯情報 u、 u i-1 i i- のサイズは変わらない。 [0115] 署名検証部 23Aは、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた 、無線 ICタグ 1の RAM部 12に保持している流通経緯情報 u に対して、各リーダライタ
-1
の公開鍵 pk ,"', pkを用いて、自リーダライタの拠点に到る経緯を逆順に検証して
-1 1
いき、最終的に uが得られるところまでさかのぼって検証できれば、自リーダライタの
0
拠点に到るまでの全てのリーダライタを正しく経緯してきたものと判断する。
[0116] 無線 ICタグ 1が付された製品がリーダライタ 2-iを経由する際の動作は、基本的に は第 1の実施の形態と同様に、図 3のシーケンスに沿って行われる。ただし、ステップ S
103における署名検証処理とステップ S104における署名作成処理の中身が第 1の実 施の形態と相違する。
[0117] 次に署名作成部 22Aの詳細を説明する。
[0118] 署名作成部 22Aによるステップ S104における署名作成処理は、リーダライタ 2— 1〜2 —(ト 1)の公開鍵 pk ,· ··, pk が全て異なること、かつ eが、 nよりも大きくかつ ((p- l)(q-
1 —1
1))と互いに素であることを確認し、 T = pk」卜 '||pkを計算した後、（uく n)？ f(u)=u d}m od n
： f(u)=uと定義される図 10の関数 f(u)、および、セキュリティパラメタ kビット (ただし nく 2k) 長自然数空間での写像として φ (u)= (u+n)mod2kと定義される図 10の関数 φ (u)を用 いて、無線 ICタグ 1の有する流通経緯情報 u に対して、 φ _1(ί·( φ (f((H(T)〇u )))))を
—1 i l l l 署名として導出する。ここで、 Φ— 1は、写像 Φの逆写像である。その後、導出した署名 は新たな流通経緯情報 uとして、無線 ICタグ 1とリーダライタの送受信部 13、 24を介し て無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u と置き換えられる。この
-1
署名作成処理の詳しい手順を図 11のステップ S364〜S371に示す。以下、前後の処 理と共に署名作成部 22Aによる署名作成処理を図 11を参照して詳しく説明する。
[0119] 図 11を参照すると、リーダライタ 2— iは、 RFIDの RAM部 12に格納されている流通経 路情報 u を読み取ると (S361)、所有している鍵の正当性を検証した後 (S362)、 u 力 S
-1 -1 正当であるかを署名検証部 23Aで検証する (S363)。その後、署名作成部 22Aにより、 現拠点の公開鍵及び上流に位置する拠点の公開鍵から T = pk I卜 '||pkを計算した 後 (S364)、署名対象として v:=H(T)〇u を計算し (S365)、 vが RSAモジュラス nよりも小
-1
さいときは (S366で YES)、そのまま秘密鍵 dで Vの署名を計算した値に、 2kをモジュラス とする n;の加算を行い、結果を V，とする (S367)。大きいときは (S366で NO)、モジュラス より大き 、数に対しては RSA署名を計算できな 、ので、 Vに対して署名計算を行わず 、その値に対して直接 2kをモジュラスとする nの加算を行い、結果^ V，とする (S368)。
[0120] 次に v'が RSAモジュラス nよりも小さ!/、ときは (S369で YES)、秘密鍵 dで v，の署名を計 算した値から、 2kをモジュラスとする nの減算を行い、その値をリーダライタ 2— iでの流 通経緯情報 uとする (S370)。
[0121] 大きいときは (S369で NO)、モジュラスより大きい数に対しては RSA署名を計算できな いので、 v'に対して署名計算を行わず、その値から直接 2kをモジュラスとする nの減 算を行い、その値をリーダライタ iでの流通経緯情報 uとする (S371)。このように計算し た uを RFIDの RAM部 12に格納されて!、た u と置換する (S372)。
i i-1
[0122] このように、リーダライタ 2—iは、基本的には、無線 IDタグ 1に既に書き込まれている 流通経路情報 u に対して、自リーダライタの秘密鍵 dで署名を付けるが、第 1の実施
i-1 i
の形態と異なり、制御ビットをつける代わりに、モジュラス nを超える数の署名を計算 する際は、モジュラス nだけ大きいほうに写像させる関数を力 4ナた後、署名計算をし、 その後、その逆写像をかけて同じくモジュラス nだけ小さいほうに写像する。また、第 1 の実施の形態と同様に、署名を計算する際に、経緯上の各拠点の公開鍵を署名対 象として入力することによって、公開鍵のすり替えを防止する。
[0123] 次に署名検証部 23Aをより詳細に説明する。
[0124] 署名検証部 23Aによるステップ S103における署名検証処理は、リーダライタ 2—iに おいて、 T
Figure imgf000032_0001
mod n : gi(u)=uと定義される図 10の関数 gi(u)と上記写像 φ (u)とを用いて、 φ ~ § ( φ (g が成立すれば
Figure imgf000032_0002
署名の検証に成功したと判断する。この署名検証処理の詳 、手順を図 12に示す。
[0125] 図 12を参照すると、まずリーダライタ 2—iは、 1つ前の拠点のリーダライタ 2— G-1)か ら最初の拠点のリーダライタ 2—1までを遡って、順に検証処理を行うために、まず、ど の拠点における署名を検証して 、るかを管理するループ変数 jに iを記憶する (S381)。 jが 1以上であれば (S382で YES)、次のように処理を行う。
[0126] リーダライタ jの備えられた拠点の公開鍵及びその上流に位置する拠点の公開鍵か ら τ =
pk || -||pkを計算した後 (S383)、検証対象として RFIDの RAM部 12力も読み込んだ uを
1 i i 用いて v:=H(T)〇uを計算し (S384)、 Vが RSAモジュラス nよりも小さ!/、ときは (S385で YE
j j j
S)、そのまま公開鍵 eで vの署名を検証した値に、 2kをモジュラスとする nの加算を行い 、結果^ v'とする (S386)。大きいときは (S385で NO)、モジュラスより大きい数に対して は RSA署名を検証できないので、 Vに対して検証処理を行わず、その値に対して直接 2kをモジュラスとする nの加算を行い、結果を v'とする (S387)。
[0127] 次に v'が RSAモジュラス nよりも小さいときは (S388で YES)、公開鍵 eで v，の署名を検 証した値から、 2kをモジュラスとする nの減算を行い、その値を Vとする (S389)。大きい ときは (S388で NO)、モジュラスより大き!/、数に対しては RSA署名を検証できな 、ので、 v'に対して検証処理を行わず、その値に対して直接 2kをモジュラスとする nの減算を 行い、結果を Vとする (S390)。
[0128] 最後にループ変数 jをデクリメントし (S391)、再度 jが 1以上であるかどうかの判定から 上記の処理を繰り返す。 jが 0の時は、 Vが流通経緯情報の初期値 uと等しいかどうか
0 0
を確かめる (S392)。等しいならば正しい経緯を迪り、かつ途中経緯で不正がな力つた ことの検証に成功したとし、本処理を完了する (S393)。等しくない場合は検証に失敗 したとし、本処理を完了する (S394)。
[0129] このように、署名検証時も、写像関数でモジュラスだけ大きいほうにずらして検証処 理し、再び逆写像してという処理を、経緯中の拠点をさかのぼって検証し、最終的に 最初の拠点の公開鍵による検証で初期値 uが得られたら正 、経緯をたどってきた
0
と判断する。また署名を検証する際に、経緯上の各拠点の公開鍵を検証対象として 入力することによって、公開鍵のすり替えを検出できる。
[0130] 次に、本実施の形態の変形例として、各リーダライタにおいて無線 ICタグ 1に書き込 むメッセージが外部情報入力部 25から入力された場合の署名作成部 22Aの署名作 成処理を図 13を参照して説明する。
[0131] 図 13を参照すると、リーダライタ 2—iに無線 ICタグ 1に書き込むメッセージ Mが存在 する場合、署名作成部 22Aにより、 T， = M ||-||M ||pk
i 1 i 1 H' llpkを計算し (S314')、以下
i
、 を図 11の T;と同様に扱うことにより、 —！^ ，^ を署名として 導出する。このように署名を計算する際に、経緯上の各拠点の公開鍵とともに、付与 するメッセージも署名対象として入力することで、公開鍵のすり替えだけでなぐ各リ 一ダライタで付与するメッセージに対する改竄も検知可能となる。
[0132] 図 14は各リーダライタにおいて無線 ICタグ 1に書き込むメッセージが存在する場合 の署名検証部 23Aの署名検証処理の手順を示す。 T， = M ||-||M ||pk H"'||pkを計算
j 1 i 1 i し (S334')、以下、 T，を図 12の Tと同様に扱うことにより、 _1(§ ( (§ (Η(Τ' Ο _1(§ (
j j 1 1 1 2
Φ ((g (H(T，〇… Φ _1(G ( Φ (g (u，勝 · · ))))))))) = uが成立すれば署名の検証に成功
2 2 i i i 0
したとする。このように署名を検証する際に、経緯上の各拠点の公開鍵とともに、付与 するメッセージも検証対象として入力することによって、公開鍵のすり替え、メッセ一 ジの改竄を検出できる。
[0133] 次に本実施の形態の効果を説明する。
[0134] 第 1の効果は、工場生産品や食品などの一般消費者向けの製品または製品パッケ ージの流通過程において、ホストコンピュータと通信できないオフライン環境でも、流 通経緯を確認することができることである。その理由は、製品に付する書き込み型無 線 ICタグ 1のローカルな記憶領域 (RAM部 12)に流通の経緯を管理する情報を持ち、 それを必要に応じて参照することで流通経緯を確認することができるからである。これ によって、運用コストを軽減できる。
[0135] 第 2の効果は、流通経緯中にたどる拠点数にスケーラビリティを有することである。
その理由は、流通経緯中にたどる拠点数に無関係な定数 (署名サイ )で、流通経緯 情報を表現できるからである。
[0136] 第 3の効果は、無線 ICタグ 1の価格を低く抑えられることである。その理由は、第 2の 効果の理由と同等であり、書き込みメモリ領域を多量に実装する必要がないからであ る。これによつて、流通用途に大量に使用することが容易になる。
[0137] 第 4の効果は、流通経緯中の各段階のリーダライタや悪意のある第 3者における流 通経緯情報の偽造および改竄を検知できることにある。その理由は、流通経緯を証 明する署名力 流通経緯中の拠点全ての公開鍵を用いて検証することが可能だから である。特に、初期値 u0に無線 IDタグ 1の ROM部 11に記憶してある当該無線 IDタグ 固有の IDを用いる場合、 ROM部 11のデータが不正に改ざんできないことを前提にで きるのであれば、 RAM部 12の流通経緯情報を不正に他の無線 IDタグの RAM部 12に コピーした場合も検知できる。
[0138] 『第 3の実施の形態』
次に本発明の第 3の実施の形態について、図面を参照して詳細に説明する。
[0139] 図 15を参照すると、本発明の第 3の実施の形態にカゝかる流通経緯認証システムは、 無線 ICタグ 1が RAM部 12の代わりに RAM部 12Aを備え、各リーダライタ 2— 1〜2— nが 署名作成部 22および署名検証部 23の代わりに署名作成部 22Bおよび署名検証部 23
Bを備えている点で図 1の第 1の実施の形態に力かる流通経緯認証システムと装置し
、その他の点は第 1の実施の形態と同じである。
[0140] 無線 ICタグ 1における RAM部 12Bは、書き込み可能なメモリサイズが有限であり、当 該メモリサイズに収まる容量 s 'で表現可能な流通経緯情報 uと補助情報 Vの組 (u ,ν) を保持する。
[0141] 流通経緯情報 uは、第 1の実施の形態における流通経緯情報 uと同じであり、 1番目 カも潘目までの拠点を経緯したことを表す。流通経緯情報 uの初期値は、どこも経緯 していないことを表す uであり、 uには、所定値たとえば 0、または、無線 ICタグ 1の RO
0 0
Μ部 11に記憶された当該無線 ICタグ固有の ID値が設定される。
[0142] 補助情報 Vは、 1番目から i-1番目までの拠点を経緯したことを表す流通経緯情報 u に所定のハッシュ関数を適用して生成された情報である。補助情報 Vの初期値は流
1 i
通経緯情報 uの初期値と同じであり、所定値たとえば 0、または、無線 ICタグ 1の ROM 部 11に記憶された当該無線 ICタグ固有の ID値である。このような補助情報 Vを流通経 緯情報 に添えることで、後述するように流通経緯情報 uの簡易な検証が可能になる
[0143] 署名作成部 22Bは、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた 、無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u と補助情報 V の組のう i-1 i-1 ちの流通経緯情報 u に対して、鍵管理部 21で管理して 、る自リーダライタの秘密鍵 i-1
dと RSAモジュラス nとを用いて、署名作成処理を行って新たな流通経緯情報 uを作 成すると同時に、流通経緯情報 u カゝら新たな補助情報 Vを作成し、作成した uと Vの i-1 i i i 組を新たな流通経緯情報 ^と補助情報 V;の組として、無線 ICタグ 1とリーダライタの送 受信部 13、 24を介して無線 ICタグ 1の RAM部 12Bに保持されている流通経緯情報 u i-1 と補助情報 V の組を置き換える。
i-1
[0144] 署名検証部 23Bは、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた 、無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u を検証する手段である i-1
。第 1の実施の形態における署名検証部 23は、流通経緯情報 u に対して、各リーダ i-1
ライタの公開鍵 pk ,"', pkを用いて、自リーダライタの拠点に到る経緯を逆順に検証 i-1 1
していき、最終的に uが得られるところまでさかのぼって検証できれば、自リーダライ
0
タの拠点に到るまでの全てのリーダライタを正しく経緯してきたものと判断した力 本 実施の形態の署名検証部 23Bは、補助情報 V を使って簡易な検証を行う。つまり、 i-1
流通経緯情報 u に対して、自リーダライタの一つ前に署名したリーダライタが正しく i-1
署名した力どうかを、公開鍵 pk を用いて検証し、検証結果のハッシュ値が補助情報 i-1
V と等しければ、 1つ前のリーダライタ力 正しく経緯してものと判断する。
i-1
[0145] 次に、無線 ICタグ 1が付された製品カ^ーダライタ 2— iを経由する際の本実施の形 態の動作を図 16のシーケンス図を参照して説明する。
[0146] まず、リーダライタ 2-iは、無線 ICタグ 1が付された製品が経由されてきた時、送受 信部 24により無線 ICタグ 1に対して、無線 ICタグ 1の RAM部 12に格納された流通経緯 情報 u と補助情報 V の組および流通経緯情報 u と補助情報 V の組の初期値 u ,v i-1 i-1 i-1 i-1 0 0 として無線 ICタグ固有の IDが使用される場合は ROM部 11の IDを要求する（SI 11)。無 線 ICタグ 1は、この要求に応じて、 RAM部 12に格納されている流通経緯情報 u と補 i-1 助情報 V の組および要求された場合には ROM部 11に格納されている IDを、送受信 i-1
部 13を介してリーダライタ 2— iに送信する（S211)。
[0147] 流通経緯情報 u と補助情報 V の組を受信した (S112)リーダライタ 2-iは、署名検 i-1 i-1
証部 23Bにより、自リ一ダライタの 1つ前に署名したリーダライタが正しく署名したかど うかを、鍵管理部 21に保持されているリーダライタ 2— (i 1)の公開鍵 pk を用いて検 i-1
証する。（S113)。つまり、公開鍵 pk を用いて流通経緯情報 u を検証した結果のハ i-1 i-1
ッシュ値が補助情報 v と等しいかどうかを検査する。ここで、 Vが得られれば、 1つ前 i-1 0
のリーダライタ 2— (i—l)から正しく経緯してきたものと判断され、 Vが得られない場合
0
、不正があったものと検出される（S116)。 [0148] 検証に成功した場合、リーダライタ 2 -iは、自リーダライタが配置された拠点を正しく 経緯したことを証明するために、正しく経緯してきたことが署名検証部 23により認証で きた流通経緯情報 u に対して、署名作成部 22Bにより、鍵管理部 21に保持されてい i-1
る自リーダライタの秘密鍵 skを用いて署名 Uを生成すると共に、流通経緯情報 U 力 i i i-1 補助情報 vを生成し (SI 14)、生成された署名値 uと補助情報 Vの組を新しい流通経 緯情報と補助情報の組として過去の u と V に上書きするために、無線 ICタグ 1に送 i-1 i-1
受信部 24により送信する（S115)。無線 ICタグ 1は、送受信部 13により uと Vの組を受信 したら（S212)、受信した uと Vの組で RAM部 12に格納されている u と v の組を上書き i i i-1 i-1
する（S213)。
[0149] 以上と同様な動作は、無線 ICタグ 1が付加された製品が次の拠点に配送された場 合にも実施される。リーダライタ 2— nが配置された拠点まで正しく経緯した製品の無 線 ICタグ 1の流通経緯情報 uに対して、リーダライタ 2— nの公開鍵 pkを用いて署名を 検証すれば、補助情報 Vが得られることになる。これにより、 1つ前の拠点のリーダライ
0
タを正しく経緯してきたことを知ることができる。
[0150] 次に署名作成部 22Bの詳細を説明する。
[0151] 署名作成部 22Bによるステップ S114における署名作成処理は、リーダライタ 2— 1〜2
—(ト 1)の公開鍵 pk , · · · , pk が全て異なること、かつ eが、 nよりも大きくかつ ((p - l)(q -
1 —1 i
1》と互いに素であることを確認し、 T = pk I卜 - ||pkを計算した後、 u=a||s(aは kビット長） としたときに (aく n)?E (u)=
((a d) mod n , s||0)： ((a-n) d}
mod n , s|| l)と定義される図 4の関数 Ei(u)を用いて、無線 ICタグ 1の有する流通経緯情 報 u に対して、 E (H(T)〇u )を新たな署名 uとして導出すると同時に、新たな補助 i-1 i i i-1 i
情報 v=h(u )を計算する。ここで、 hは予め定められたハッシュ関数である。第 1の実 i i-1
施の形態の署名作成部 22との相違点は、新たな補助情報 v=h(u )を計算するとろこ i i-1
である。この署名作成処理の詳しい手順を図 17のステップ S444〜S449に示す。以下 、前後の処理と共に本実施の形態における署名作成処理を図 17を参照して詳しく説 明する。
[0152] 図 17を参照すると、リーダライタ 2— iは、 RFIDの RAM部 12に格納されている流通経 路情報 u と補助情報 v の組を読み取ると (S441)、所有している鍵の正当性を検証し i-1 i-1
た後 (S442)、 u が正当であるかを署名検証部 23Bで検証する (S443)。
i-1
[0153] その後、署名作成部 22Bにより、現拠点の公開鍵及び上流に位置する拠点の公開 鍵から Ti = pk |卜 " Hpkを計算した後 (S444)、 E (H(T)〇u )、 h(u )をリーダライタ 2— i
1 i i i i-1 i-1 での流通経緯情報 u;、補助情報 V;として導出する (S445〜S449)。具体的には、まず w= H(T)〇u を計算し (S445)、 wのはじめのセキュリティパラメタ kビットを a、残りを sとし (S4 i i-1
46)、 aが RSAモジュラス nよりも小さ!/、ときは (S447で YES)、 aに対して秘密鍵 dで署名値 を計算する (S448)。このとき sに制御情報として 1ビットの情報 0を付け加え、署名値とと もに流通経緯情報 とする。またこのとき u のノ、ッシュを計算し、補助情報 Vとする。ま
i i-1 i
た、 aが RSAモジュラス nよりも大きいときは (S447で NO)、モジュラス nより大きい数に対 しては RSA署名を計算できな 、ので、 aを nだけ減算したものに対して署名値を計算 する (S449)。このとき sに制御情報として 1ビットの情報 1を付けカ卩え、署名値とともに流 通経緯情報 とする。またこのとき u のハッシュを計算し、補助情報 Vとする。このよう
i i-1 i
に計算した u，vのペアを RFIDの RAM部 12に格納されていた u ，v と置換する (S450)
i i i-1 i-1
[0154] このように本実施の形態における署名作成処理は、第 1の実施の形態と同様にして 署名値 Uの導出を行うが、その際に署名対象の署名値 U のハッシュ値 Vを余分に計 i i-1 i
算しておき、補助情報 Vとして署名値 uと組にして RAM部 12に書き戻す点が異なる。 本実施の形態の方が第 1の実施の形態に比べて、書き戻すサイズがハッシュ関数の 出力値 V分だけ大きくなる。
[0155] 次に署名検証部 23Bの詳細を説明する。
[0156] 署名検証部 23Bによるステップ S113における署名検証処理は、リーダライタ 2—iに おいて、 T = pk I卜 -||pkゝ u=a||s||b(aは kビット長、 bは 1ビット長)としたときに、 (b=0)?D(u )=
((ale} mod n , s) : ((a e} mod n) + n , s)と定義される図 4に示す関数 D (u)を用いて、 h( H(T )〇D (u 》= v が成立すれば署名の検証に成功したと判断する。この署名検 —1 —1 —1
証処理の詳しい手順を図 18に示す。
[0157] 図 18を参照すると、まずリーダライタ 2— iは、 RFIDの RAM部 12に格納されている流 通経路情報 u と補助情報 v の組を読み取る (S461)。リーダライタ 2— iの備えられた i-1 i-1
拠点の上流に位置する拠点の公開鍵から Τ = pk || - - - ||pk を計算した後 (S462)、 u i 1 i-1 i-1 のはじめの kビットを aに、最後の 1ビットを bに、残りのビットを sに記憶し (S463)、 bが 0な らば (S464で YES)、 aをリーダライタ 2-G-1)の公開鍵で検証し、検証結果の末尾に sを 加えたものと H(T )の排他的論理和を計算し、それ^ w として記憶する (S465)。 bが 1 i-1 i-1
ならば (S464で NO)、 aをリーダライタ 2-G-1)の公開鍵で検証し、検証結果にモジュラス nを加算した後、末尾に sをカ卩えたものと H(T )の排他的論理和を計算し、それを w i i-1 i-1 として記憶する (S466)。
[0158] その後、 w のハッシュ関数 hによるハッシュ値が補助情報 V と等しいかどうかを確
i-1 i-1
かめる (S467)。等しいならば正しい経緯を迪つたことの検証に成功したとし、本処理を 完了する (S468)。等しくない場合は検証に失敗したとし、本処理を完了する (S469)。
[0159] このように流通経緯中の一つ前の署名装置が信用のおけることを仮定できるのであ れば、検証処理を高速化できる。その理由は、第 1の実施の形態と異なり、署名検証 時の公開鍵による演算処理を高々 1度だけで済ますことができるためである。
[0160] 次に、本実施の形態の変形例として、各リーダライタにおいて無線 ICタグ 1に書き込 むメッセージが外部情報入力部 25から入力された場合の署名作成部 22Bの署名作 成処理を図 19を参照して説明する。
[0161] 図 19を参照すると、リーダライタ 2-iに無線 ICタグ 1に書き込むメッセージ Miが存在す る場合、署名作成部 22により、 T， = Mj卜 ' ||M.||pk I卜 '||pkを計算し (S444')、以下、 T， を図 17の Τと同様〖こ扱うこと〖こ り、 Ε
(H(T' )〇u )を新たな流通経緯情報 u、h(u )を補助情報 Vとして導出する。このよう i i-1 i i-1 i
に署名を計算する際に、経緯上の各拠点の公開鍵とともに、付与するメッセージも署 名対象として入力することで、公開鍵のすり替えだけでなぐ各リーダライタで付与す るメッセージに対する改竄も検知可能となる。
[0162] 図 20は各リーダライタにおいて無線 ICタグ 1に書き込むメッセージが存在する場合 の署名検証部 23Bの署名検証処理の手順を示す。 T， = M |卜 · ||Μ ||pk || - ||pk を
i 1 i-1 1 i-1 計算し (S462')、以下、丁 を図 18の T;と同様に扱うことにより、 Ε
(H(T' )〇u )を新たな流通経緯情報 u、h(u )を補助情報 Vとして導出する。このよう i i-1 i i-1 i に署名を検証する際に、経緯上の各拠点の公開鍵とともに、付与するメッセージも検 証対象として入力することによって、公開鍵のすり替え、メッセージの改竄を検出でき る。
[0163] 次に本実施の形態の効果を説明する。
[0164] 第 1の効果は、工場生産品や食品などの一般消費者向けの製品または製品パッケ ージの流通過程において、ホストコンピュータと通信できないオフライン環境でも、流 通経緯を確認することができることである。その理由は、製品に付する書き込み型無 線 ICタグ 1のローカルな記憶領域 (RAM部 12B)に流通の経緯を管理する情報を持ち、 それを必要に応じて参照することで流通経緯を確認することができるからである。これ によって、運用コストを軽減できる。
[0165] 第 2の効果は、流通経緯中にたどる拠点数にスケーラビリティを有することである。
その理由は、（署名サイズ + (拠点数) X Iビット + (補助情報サイ )で、流通経緯の認 証に利用する情報を表現できるからである。
[0166] 第 3の効果は、無線 ICタグ 1の価格を低く抑えられることである。その理由は、第 2の 効果の理由と同等であり、書き込みメモリ領域を多量に実装する必要がないからであ る。これによつて、流通用途に大量に使用することが容易になる。
[0167] 第 4の効果は、一つ前の拠点が信用のおける拠点であることを仮定できるのであれ ば、流通経緯中の各段階のリーダライタや悪意のある第 3者における流通経緯情報 の偽造および改竄の検知に要する署名検証処理を高速ィ匕できることである。その理 由は、署名検証処理を補助情報を利用して高々 1度だけで済ますことが可能だから である。
[0168] 『第 4の実施の形態』
次に本発明の第 4の実施の形態について、図面を参照して詳細に説明する。
[0169] 図 21を参照すると、本発明の第 4の実施の形態にカゝかる流通経緯認証システムは、 各リ一ダライタ 2— 1〜2— nが署名作成部 22Bおよび署名検証部 23Bの代わりに署名 作成部 22Cおよび署名検証部 23Cを備えている点で図 15の第 3の実施の形態にかか る流通経緯認証システムと相違し、その他の点は第 3の実施の形態と同じである。
[0170] 署名作成部 22Cは、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して得られた 、無線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u と補助情報 V の組のう
i-1 i-1 ちの流通経緯情報 u に対して、鍵管理部 21で管理して 、る自リーダライタの秘密鍵
i-1
dと RSAモジュラス nとを用いて、署名作成処理を行って新たな流通経緯情報 uを作 成すると同時に、流通経緯情報 u カゝら新たな補助情報 Vを作成し、作成した uと Vの
i-1 i i i 組を新たな流通経緯情報 ^と補助情報 V;の組として、無線 ICタグ 1とリーダライタの送 受信部 13、 24を介して無線 ICタグ 1の RAM部 12Bに保持されている流通経緯情報 u
i-1 と補助情報 V の組を置き換える。ただし、本実施の形態の場合、置き換え前後の流
i-1
通経緯情報 u、 u のサイズは変わらない。
i i-1
[0171] 署名検証部 23Cは、流通経緯情報 u に対して、自リーダライタの一つ前に署名した
i-1
リーダライタが正しく署名したカゝどうかを、公開鍵 pk を用いて検証する。その検証結
i-1
果のノ、ッシュ値が補助情報 V と等しければ、 1つ前のリーダライタ力も正しく経緯して
i-1
ものと判断する。
[0172] 無線 ICタグ 1が付された製品がリーダライタ 2-iを経由する際の動作は、基本的に は第 3の実施の形態と同様に、図 16のシーケンスに沿って行われる。ただし、ステップ S113における署名検証処理とステップ S114における署名作成処理の中身が第 3の実 施の形態と相違する。
[0173] 次に署名作成部 22Cの詳細を説明する。
[0174] 署名作成部 22Cによるステップ S114における署名作成処理は、リーダライタ 2— 1〜2
—(ト 1)の公開鍵 pk ,· ··, pk が全て異なること、かつ eが、 nよりも大きくかつ ((p- l)(q-
1 —1 i
1))と互いに素であることを確認し、 T = pk I卜 -||pkを計算した後、（uく n)？ f(u)=u d}m od n
： f(u)=uと定義される図 10の関数 f(u)、および、セキュリティパラメタ kビット (ただし nく 2k) 長自然数空間での写像として φ (u)= (u+n)mod2kと定義される図 10の関数 φ (u)を用 いて、無線 ICタグ 1の有する流通経緯情報 u に対して、 φ _1(ί·( φ (f((H(T)〇u )))))を
i-1 i i i i-1 新たな流通経緯情報 uとして導出し、また無線 ICタグ 1の有する流通経緯情報 u に
i i-1 対して、 h(u )を新たな補助情報 Vとして導出する。その後、導出した新たな流通経緯
i-1 i
情報 uと補助情報 vの組は、無線 ICタグ 1とリーダライタの送受信部 13、 24を介して無 線 ICタグ 1の RAM部 12に保持されている流通経緯情報 u と補助情報 V の組と置き 換えられる。この署名作成処理の詳 、手順を図 22のステップ S494〜S501に示す。
[0175] 以下、前後の処理と共に署名作成部 22Cによる署名作成処理を図 22を参照して詳 しく説明する。
[0176] 図 22を参照すると、リーダライタ 2— iは、 RFIDの RAM部 12に格納されている流通経 路情報 u と補助情報 V の組を読み取ると (S491)、所有している鍵の正当性を検証し i-1 i-1
た後 (S492)、 u が正当であるかを署名検証部 23Cで検証する (S492)。
i-1
[0177] その後、署名作成部 22Cにより、現拠点の公開鍵及び上流に位置する拠点の公開 鍵から T = pk I卜 '||pkを計算した後 (S494)、署名対象として w:=H(T)〇u を計算し (S4 i 1 i i i-1
95)、 wが RSAモジュラス nよりも小さいときは (S496で YES)、そのまま秘密鍵 dで wの署 名を計算した値に、 2kをモジュラスとする nの加算を行い、結果を w'とする (S497)。大 き 、ときは (S496で NO)、モジュラスより大き!/、数に対しては RSA署名を計算できな!/ヽ ので、 wに対して署名計算を行わず、その値に対して直接 2kをモジュラスとする nの加 算を行い、結果を w'とする (S498)。
[0178] 次に w'が RSAモジュラス nよりも小さいときは (S499で YES)、秘密鍵 dで w，の署名を計 算した値から、 2kをモジュラスとする nの減算を行い、その値をリーダライタ 2— iでの流 通経緯情報 uとする (S500)。この際、流通経路情報 u にハッシュ関数 hを適用し、 h(u
i i-1 i-
)をリーダライタ 2— iでの補助情報 viとする。大きいときは (S499で NO)、モジュラスより
1
大きい数に対しては RSA署名を計算できないので、 w に対して署名計算を行わず、 その値から直接 2kをモジュラスとする nの減算を行!、、その値をリーダライタ iでの流通 経緯情報 uとする (S501)。この際、ステップ S500と同様に h(u )をリーダライタ 2— iでの
i i-1
補助情報 vとする。このように計算した uと Vを RFIDの RAM部 12に格納されていた u と
i i i i-1 v と置換する (S502)。
i-1
[0179] このように、リーダライタ 2—iは、基本的には、無線 IDタグ 1に既に書き込まれている 流通経路情報 u に対して、自リーダライタの秘密鍵 dで署名を付けるが、第 3の実施
i-1 i
の形態と異なり、制御ビットをつける代わりに、モジュラス nを超える数の署名を計算 する際は、モジュラス nだけ大きいほうに写像させる関数を力 4ナた後、署名計算をし、 その後、その逆写像をかけて同じくモジュラス nだけ小さいほうに写像する。また、第 3 の実施の形態と同様に、署名を計算する際に、経緯上の各拠点の公開鍵を署名対 象として入力することによって、公開鍵のすり替えを防止し、更に流通経緯情報 U;の 導出を行う際に署名対象の流通経緯情報 U のノ、ッシュ値 Vを余分に計算しておき、
i-1 i
補助情報 vとして流通経緯情報 uと組にして RAM部 12に書き戻す。
[0180] 次に署名検証部 23Cを詳細に説明する。
[0181] 署名検証部 23Cによるステップ S113における署名検証処理は、リーダライタ 2—iに おいて、 T = pk ||- --||pk を計算し、01〈 ？§01)= }
i-1 1 i-1 i i i
mod n： g(u)=uと定義される図 10の関数 g(u)と上記写像 φ (u)とを用いて、 h(H(T 〇 i i i i-1 φ 1 (g ( (§ (u )))))) = V が成立すれば署名の検証に成功したとする。この署名検 —1 —1 —1 —1
証処理の詳 、手順を図 23に示す。
[0182] 図 23を参照すると、まずリーダライタ iは、 RFIDの RAM部 12に格納されている流通経 路情報 uと補助情報 Vの組を読み取る (S511)。次に、リーダライタ 2— iの備えられた拠 点の上流に位置する各拠点の公開鍵から T = pk ||- --||pk を計算した後 (S512)、検
—1 1 —1
証対象として w:=H(T )〇u を計算し (S513)、 wが RSAモジュラス n よりも小さいときは
(S514で YES)、そのまま公開鍵 ei-1で wの署名を検証した値に、 2kをモジュラスとする n の加算を行い、結果^ w'とする (S515)。
-1
[0183] 一方、大きいときは (S514で NO)、モジュラスより大きい数に対しては RSA署名を検証 できないので、 wに対して検証処理を行わず、その値に対して直接 2kをモジュラスとす る n の加算を行い、結果を w，とする (S516)。次に w'が RSAモジュラス nよりも小さいと i-1 i きは (S517で YES)、公開鍵 e で w，の署名を検証した値から、 2kをモジュラスとする n
i-1 i-1 の減算を行い、その値を w"とする (S518)。大きいときは (S517で NO)、モジュラスより大 きい数に対しては RSA署名を検証できないので、 w に対して検証処理を行わず、そ の値に対して直接 2kをモジュラスとする n の減算を行い、結果を w"とする (S519)。
i-1
[0184] そして、 W"のハッシュ値が流通経緯情報 v と等しいかどうかを確かめる (S520)。等
i-1
しいならば正しい経緯を迪つたことの検証に成功したとし、本処理を完了する (S521)。 等しくな ヽ場合は検証に失敗したとし、本処理を完了する (S522)。
[0185] このように、署名検証時は、写像関数でモジュラスだけ大きいほうにずらして検証処 理し、再び逆写像する処理を行つて経緯中の 1つ前の拠点の公開鍵による検証で補 助情報 V が得られたら正しい経緯をたどってきたと判断するものであり、署名検証時 の公開鍵による演算処理を高々 1度だけで済ますことが可能なため、検証処理を高 速化できる。また署名を検証する際に、経緯上の各拠点の公開鍵を検証対象として 入力することによって、公開鍵のすり替えを検出できる。
[0186] 次に、本実施の形態の変形例として、各リーダライタにおいて無線 ICタグ 1に書き込 むメッセージが外部情報入力部 25から入力された場合の署名作成部 22Cの署名作 成処理を図 24を参照して説明する。
[0187] 図 24を参照すると、リーダライタ 2—iに無線 ICタグ 1に書き込むメッセージ Mが存在 する場合、署名作成部 22Cにより、 T' = M ||-||M ||pk I卜 '||pkを計算し (S494')、以下、
i
丁 を図 22の T;と同様に扱うことにより、 φ—
Figure imgf000044_0001
情報 uとして導出し、また無線 ICタグ 1の有する流通経緯情報 u に対して、 h(u )を新 i i-1 i-1 たな補助情報 Vとして導出する。このように署名を計算する際に、経緯上の各拠点の 公開鍵とともに、付与するメッセージも署名対象として入力することで、公開鍵のすり 替えだけでなぐ各リーダライタで付与するメッセージに対する改竄も検知可能となる
[0188] 図 25は各リーダライタにおいて無線 ICタグ 1に書き込むメッセージが存在する場合 の署名検証部 23Cの署名検証処理の手順を示す。 Τ' = Μ ||· ··||Μ ||pk ||-||pk を
—1 1 —1 1 —1 計算し (S512')、以下、 T' を図 23の T と同様に扱うことにより、 h(H(T' Ο _1(§ ( (
l—l l—l l—l l—l g (u ))》》 = v が成立すれば署名の検証に成功したとする。このように署名を検証 —1 -1 —1
する際に、経緯上の各拠点の公開鍵とともに、付与するメッセージも検証対象として 入力することによって、公開鍵のすり替え、メッセージの改竄を検出できる。
[0189] 次に本実施の形態の効果を説明する。
[0190] 第 1の効果は、工場生産品や食品などの一般消費者向けの製品または製品パッケ ージの流通過程において、ホストコンピュータと通信できないオフライン環境でも、流 通経緯を確認することができることである。その理由は、製品に付する書き込み型無 線 ICタグ 1のローカルな記憶領域 (RAM部 12B)に流通の経緯を管理する情報を持ち、 それを必要に応じて参照することで流通経緯を確認することができるからである。これ によって、運用コストを軽減できる。
[0191] 第 2の効果は、流通経緯中にたどる拠点数にスケーラビリティを有することである。 その理由は、流通経緯中にたどる拠点数に無関係な定数 (署名サイ )+補助情報サ ィズで、流通経緯の認証に利用する情報を表現できるからである。
[0192] 第 3の効果は、無線 ICタグ 1の価格を低く抑えられることである。その理由は、第 2の 効果の理由と同等であり、書き込みメモリ領域を多量に実装する必要がないからであ る。これによつて、流通用途に大量に使用することが容易になる。
[0193] 第 4の効果は、一つ前の拠点が信用のおける拠点であることを仮定できるのであれ ば、流通経緯中の各段階のリーダライタや悪意のある第 3者における流通経緯情報 の偽造および改竄の検知に要する署名検証処理を高速ィ匕できることである。その理 由は、署名検証処理を補助情報を利用して高々 1度だけで済ますことが可能だから である。
[0194] 『その他の実施の形態』
以上、本発明を幾つかの実施の形態を挙げて説明したが、本発明は以上の実施の 形態にのみ限定されず、その他各種の付加変更が可能である。例えば、前述の各実 施の形態におけるリーダライタは、署名する前に署名対象の検証を行った力 その検 証を省略するようにしても良ぐその場合には署名検証部を省略することができる。ま た、無線 ICタグが付された製品が正 ヽ経路を経由したものであるかを検証するだけ で、新たな署名を行わないリーダライタも考えられる。その場合には署名作成部を省 略できる。さらに、リーダライタは、その有する機能をノヽードウエア的に実現することは 勿論、コンピュータとプログラムとで実現することができる。プログラムは、磁気ディスク や半導体メモリ等のコンピュータ可読記録媒体に記録されて提供され、コンピュータ の立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御する ことにより、そのコンピュータを前述した各実施の形態におけるリーダライタの署名作 成部、署名検証部および送受信部として機能させる。
産業上の利用可能性
[0195] 次に本発明の利用分野について説明する。
[0196] 経済活動における流通業者を考える。すなわち、農林水産物あるいは工業製品の 生産者と、製品を購入して消費/利用する消費者との間に存在する、製品の仕分け、 加工、輸送、保管、販売などに関係する業者である。ここで、流通製品として冷凍マ グロなどの冷凍食品を、流通業者として冷凍コンテナ業者、トラック業者、冷凍庫を備 える倉庫業者、加工者、販売者を考える。これらの流通製品は商品が生産者力 消 費者に届けられるまで、契約にのっとり、流通業者を順に経ていく。このとき、本発明 によって、生産者や個々の流通業者が、彼等と契約関係にある流通業者を正しく経 てきた力どうかを確認することができる。このとき、流通業者間で共通のホストコンビュ ータを必要とせず、各流通業者はホストコンピュータに通信するインフラも必要としな い。また、書き込み型無線 ICタグに実装する書き込み可能なメモリ容量も、既存の書 き込み型無線 ICタグが保持する数百バイト〜 1Kバイト程度の、高々 1つの署名を記 録するのに十分なメモリ容量さえあれば、流通経緯情報を格納するのに十分であり、 特別に書き込み容量を多く実装した高コストな無線 ICタグを利用せずとも、経緯情報 の管理が可能である。また、実運用時には、情報の改竄や偽造に対応しなければな らないが、本方式では、書き込んだデータの改竄や、偽造も検知可能であり、改竄防 止のために耐タンパ性を無線 ICタグのメモリに備えさせることも必要としな 、。また、 署名付与、検証の演算は、全てリーダライタ側で行われるため、無線 ICタグ側に特別 な演算装置を必要としない。以上によって、低コストで流通経緯の認証が実現できる
[0197] また、流通時に、配送中の衝撃や温度などの情報が何らかの手段で取れれば、そ れらをメッセージとして無線 ICタグに書き込んで配送管理をすることも考えられる。流 通経緯情報を付す際に、これらのメッセージ情報を加味して署名を計算しておくこと で、これらの情報の改ざん検知も同時に実現でき、なおかつ経緯が把握できるので、 不良品発見などのトラブルの際に、不具合の内容と無線 ICタグの記録情報力も原因 を推定することがたやすくなり、トラブルの早期解決につながる。
[0198] また、パーソナルコンピュータや車などの工業製品のパーツ修理や、書籍や CDな どのリサイクルを考える。例えば、前者の工業製品のパーツ修理の場合、修理業者と して、本製品の修理を専門に行う店舗や、工場が考えられる。このとき、同じ店舗で 常に修理するのであれば、修理状況を店舗のホストコンピュータで逐次記録しておく ことで、修理履歴を管理することができ、状況が明確になる。しかし、一般に修理する 箇所'内容や、製品の利用者の都合などで、常に同じ店舗に持ち込まれるとは限らな いことがある。別の店舗同士で、ホストサーバを共通に運用している状況は一般に考 えにくぐこの場合、ユーザが自ら修理状況を管理することが必要になる。従来、車な どは整備手帳の存在が考えられ、これがあれば修理時履歴の管理は可能であった が、整備手帳自体を管理する手間があった。また整備手帳のような書類が存在しな い細かい部品などの場合は、ユーザがそれに変わるものを用意して管理する必要が あった。これを各製品に付する無線 ICタグで管理することで、ユーザが意識的に行わ ずとも、製品、さらにはそれらを構成するパーツごとの修理状況の管理が行えるように なる。同様に、書籍や CDのリサイクル時に、中古売買店舗などで売買の履歴を管理 することで、どの程度二次流通が行われたかを知ることができ、商品の販売に活かす ことができる。このとき、利用者側でデータを管理するために考えられうる情報の改竄 や偽造にも本発明では検知可能である。また製品に付する無線 ICタグに高コストなメ モリを搭載する必要もないので運用コストを抑えられる。このとき、各店舗や工場の公 開鍵はお互いに事前に共有されて ヽな 、可能性が高 、が、これは必要に応じて公 開鍵管理局 (CA)力ら得ることができる。一般に公開鍵管理局は PKIのフレームヮー クの中で共通運用されている。
また、どの経緯で製品が流通してきたかが分力もないことがある。このときは、所持 する公開鍵で考えられうる流通経緯に関して全て検証を行 ヽ、検証をパスした経緯 があれば、その経緯をたどってきたとみなしてよい。もちろん、予め経緯を知るための 情報を無線 ICタグに書き込んでおいて、その順に検証してもよい。このとき経緯を知 るための情報としては各リーダライタの製造番号 (ID)などを利用できる。これらの IDに 対応する公開鍵を導出する機構を持つことで、経緯情報の検証を効率ィ匕してもょ ヽ

Claims

請求の範囲
[1] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有するリーダライタを前記製品の流通経路上 の各拠点に備え、最初の拠点に備わるリーダライタは、自拠点に流通してきた製品ま たはそのノ ッケージに付された無線 ICタグと交信して、初期値またはそれ力も導出し た値に対して自拠点の秘密鍵で署名した署名文を流通経緯情報として無線 ICタグの 読み書き可能なメモリに書き込むものであり、最初の拠点以外の拠点に備わるリーダ ライタは、自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグと 交信して、その無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 またはそれ力 導出した情報に対して自拠点の秘密鍵で署名した署名文を新たな流 通経緯情報として導出し、無線 ICタグの読み書き可能なメモリに書き込まれて 、た元 の流通経緯情報と置き換えるものであることを特徴とする流通経緯認証システム。
[2] 前記初期値として、無線 ICタグの読み出し専用メモリに記憶されている当該無線 IC タグ固有の識別番号を使用するものであることを特徴とする請求項 1記載の流通経緯 認証システム。
[3] 最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタは、自拠点に流通して きた製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリに書き 込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点の公開鍵を自拠点に 近い拠点の公開鍵から順番に使用して検証を繰り返していき、最終的に前記初期値 が得られるところまで遡って検証できることにより、前記製品が自拠点まで正しく経緯 してきたものと判断する署名検証部を有することを特徴とする請求項 1記載の流通経 緯認証システム。
[4] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有するリーダライタを前記製品の流通経路上 の各拠点に備え、最初の拠点に備わるリーダライタは、自拠点に流通してきた製品ま たはそのノ ッケージに付された無線 ICタグと交信して、初期値またはそれ力も導出し た値に対して自拠点の秘密鍵で署名した署名文を流通経緯情報、前記初期値また はそれから導出した値を補助情報として無線 ICタグの読み書き可能なメモリに書き込 むものであり、最初の拠点以外の拠点に備わるリーダライタは、自拠点に流通してき た製品またはそのパッケージに付された無線 ICタグと交信して、その無線 ICタグの読 み書き可能なメモリに書き込まれて 、る流通経緯情報またはそれから導出した情報 に対して自拠点の秘密鍵で署名した署名文を新たな流通経緯情報、書き込まれて
V、た元の流通経緯情報またはそれから導出した情報を補助情報として導出し、無線 I Cタグの読み書き可能なメモリに書き込まれて 、た元の流通経緯情報と補助情報と置 き換えるものであることを特徴とする流通経緯認証システム。
[5] 最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタは、自拠点に流通して きた製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリに書き 込まれている流通経緯情報に対して、自拠点より 1つ上流の拠点の公開鍵を使用し て検証し、その検証結果にお!、て前記無線 ICタグの読み書き可能なメモリに書き込 まれている補助情報と同じ補助情報が導出できることにより、前記製品力 S1つ前の拠 点から正しく経緯してきたものと判断する署名検証部を有することを特徴とする請求 項 4記載の流通経緯認証システム。
[6] 経緯順が潘目の拠点に備わるリーダライタの署名作成部は、自拠点の秘密鍵を d 、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通して
i 0
きた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリに書き 込まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u
i-l i i dlmod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ Φ (f(ST)》》を新たな流通経緯情報として導出するものであることを特徴
Figure imgf000049_0001
とする請求項 1記載の流通経緯認証システム。
[7] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 6記載の流通経緯認証システム。
[8] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 T;のハッシュ値 Η(η)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 6記載の流通経緯認証システム。
[9] 経緯順が潘目の拠点に備わるリーダライタは、
Figure imgf000050_0001
mod n : g(u)=uと定義される関数を g(u)とするとき、 _1(g ( (gl(H(T Ο _1(§ ( ((§ i i i 1 1 2 2
(H(T〇〜T Ο _1(§ (g (u 》)))···）)))))))） = uが成立することにより、前記製品
2 i-1 i-1 i-1 i-1 0
が自拠点まで正しく経緯してきたものと判断する署名検証部を有することを特徴とす る請求項 7または 8記載の流通経緯認証システム。
[10] 経緯順が潘目の拠点に備わるリーダライタの署名作成部は、自拠点の秘密鍵を 、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通して
i 0
きた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリに書き 込まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u
i-1 i i dlmod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ ュ値 h(u )
i-1を新たな補助情報 V
iとしてそれぞれ導出するものであることを特徴とする請 求項 4記載の流通経緯認証システム。
[11] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 10記載の流通経緯認証システム。
[12] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 10記載の流通経緯認証システム。
[13] 経緯順が潘目の拠点に備わるリーダライタは、
Figure imgf000050_0002
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i-1 i-1 ))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた i-1
ものと判断する署名検証部を有することを特徴とする請求項 11記載の流通経緯認証 システム。
[14] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有するリーダライタを前記製品の流通経路上 の各拠点に設け、最初の拠点に備わるリーダライタ力 自拠点に流通してきた製品ま たはそのノ ッケージに付された無線 ICタグと交信して、初期値またはそれ力も導出し た値に対して自拠点の秘密鍵で署名した署名文を流通経緯情報として無線 ICタグの 読み書き可能なメモリに書き込み、最初の拠点以外の拠点に備わるリーダライタが、 自拠点に流通してきた製品またはそのパッケージに付された無線 ICタグと交信して、 その無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報またはそ れカゝら導出した情報に対して自拠点の秘密鍵で署名した署名文を新たな流通経緯 情報として導出し、無線 ICタグの読み書き可能なメモリに書き込まれて 、た元の流通 経緯情報と置き換えることを特徴とする流通経緯認証方法。
[15] 前記初期値として、無線 ICタグの読み出し専用メモリに記憶されている当該無線 IC タグ固有の識別番号を使用することを特徴とする請求項 14記載の流通経緯認証方 法。
[16] 最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタの署名検証部が、自 拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き可 能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点の公 開鍵を自拠点に近 、拠点の公開鍵から順番に使用して検証を繰り返して 、き、最終 的に前記初期値が得られるところまで遡って検証できることにより、前記製品が自拠 点まで正しく経緯してきたものと判断する段階を有することを特徴とする請求項 14記 載の流通経緯認証方法。
[17] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有するリーダライタを前記製品の流通経路上 の各拠点に設け、最初の拠点に備わるリーダライタ力 自拠点に流通してきた製品ま たはそのノ ッケージに付された無線 ICタグと交信して、初期値またはそれ力も導出し た値に対して自拠点の秘密鍵で署名した署名文を流通経緯情報、前記初期値また はそれから導出した値を補助情報として無線 ICタグの読み書き可能なメモリに書き込 み、最初の拠点以外の拠点に備わるリーダライタ力 自拠点に流通してきた製品また はそのパッケージに付された無線 ICタグと交信して、その無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報またはそれから導出した情報に対して自拠 点の秘密鍵で署名した署名文を新たな流通経緯情報、書き込まれて ヽた元の流通 経緯情報またはそれ力 導出した情報を補助情報として導出し、無線 ICタグの読み 書き可能なメモリに書き込まれて！/、た元の流通経緯情報と補助情報と置き換えること を特徴とする流通経緯認証方法。
[18] 最初の拠点以外の少なくとも 1つの拠点に備わるリーダライタの署名検証部が、自 拠点に流通してきた製品またはそのパッケージに付された無線 ICタグの読み書き可 能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より 1つ上流の拠点の 公開鍵を使用して検証し、その検証結果にぉ 、て前記無線 ICタグの読み書き可能な メモリに書き込まれている補助情報と同じ補助情報が導出できることにより、前記製品 力 S1つ前の拠点から正しく経緯してきたものと判断する段階を有することを特徴とする 請求項 17記載の流通経緯認証方法。
[19] 経緯順が潘目の拠点に備わるリーダライタの署名作成部力 自拠点の秘密鍵を d 、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通して
i 0
きた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリに書き 込まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u
i-l i i dlmod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ Φ (f(ST)》》を新たな流通経緯情報として導出することを特徴とする請求
Figure imgf000052_0001
項 14記載の流通経緯認証方法。
[20] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 19記載の流通経緯認証方法。
[21] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 19記載の流通経緯認証方法。
[22] 経緯順が i番目の拠点に備わるリーダライタの署名検証部力 (u<n)?gi(u)=u e} mo (
H(T
Figure imgf000053_0001
が自拠点まで正しく経緯してきたものと判断する段階を有することを特徴とする請求 項 20記載の流通経緯認証方法。
[23] 経緯順が潘目の拠点に備わるリーダライタの署名作成部力 自拠点の秘密鍵を d 、 RSAモジュラスを n、初期値 u若しくはそれから導出した値または自拠点に流通して
i 0
きた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリに書き 込まれている流通経緯情報 u 若しくはそれから導出した情報を ST、（uく n)？ f(u)=u
i-1 i i dlmod n
： i;(u)=Uと定義される関数 ¾;(U)、セキュリティパラメ外ビット (ただし く 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ ュ値 h(u )
i-1を新たな補助情報 V
iとしてそれぞれ導出することを特徴とする請求項 17記 載の流通経緯認証方法。
[24] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 23記載の流通経緯認証方法。
[25] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 23記載の流通経緯認証方法。 [26] 経緯順が i番目の拠点に備わるリーダライタの署名検証部力
Figure imgf000054_0001
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i~l i~l
))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた
i-1
ものと判断する署名検証部を有することを特徴とする請求項 24記載の流通経緯認証 方法。
[27] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有し、前記製品の流通経路上の拠点に設けら れるリーダライタであって、自拠点に流通してきた製品またはそのパッケージに付され た無線 ICタグと交信して、その無線 ICタグの読み書き可能なメモリに書き込まれて ヽ る流通経緯情報またはそれから導出した情報に対して自拠点の秘密鍵で署名した 署名文を新たな流通経緯情報として導出し、無線 ICタグの読み書き可能なメモリに書 き込まれていた元の流通経緯情報と置き換えるものであることを特徴とするリーダライ タ。
[28] 自拠点に流通してきた製品またはそのノ ッケージに付された無線 ICタグの読み書 き可能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より上流の各拠点 の公開鍵を自拠点に近 ヽ拠点の公開鍵から順番に使用して検証を繰り返して！/ヽき、 最終的に予め定められた初期値または前記無線 ICタグの読み出し専用メモリに記憶 されている当該無線 ICタグ固有の識別番号が得られるところまで遡って検証できるこ とにより、前記製品が自拠点まで正しく経緯してきたものと判断する署名検証部を有 することを特徴とする請求項 27記載のリーダライタ。
[29] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を作成する署名作成部とを有し、前記製品の流通経路上の拠点に設けら れるリーダライタであって、自拠点に流通してきた製品またはそのパッケージに付され た無線 ICタグと交信して、その無線 ICタグの読み書き可能なメモリに書き込まれて ヽ る流通経緯情報またはそれから導出した情報に対して自拠点の秘密鍵で署名した 署名文を新たな流通経緯情報、書き込まれて!/、た元の流通経緯情報またはそれから 導出した情報を補助情報として導出し、無線 ICタグの読み書き可能なメモリに書き込 まれていた元の流通経緯情報と補助情報と置き換えるものであることを特徴とするリ 一ダライタ。
[30] 自拠点に流通してきた製品またはそのノ ッケージに付された無線 ICタグの読み書 き可能なメモリに書き込まれて 、る流通経緯情報に対して、自拠点より 1つ上流の拠 点の公開鍵を使用して検証し、その検証結果にぉ 、て前記無線 ICタグの読み書き 可能なメモリに書き込まれている補助情報と同じ補助情報が導出できることにより、前 記製品力 1つ前の拠点から正しく経緯してきたものと判断する署名検証部を有するこ とを特徴とする請求項 29記載のリーダライタ。
[31] 前記署名作成部は、自拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくはそ
i i 0
れカも導出した値または自拠点に流通してきた製品またはそのパッケージに付され た無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 u 若しくは
i-1
それから導出した情報を ST、 (u<n)？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ _1(f( φ (f(ST)》》を新たな流通経緯情報として導出するものであることを特徴 とする請求項 27記載のリーダライタ。
[32] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 31記載のリーダライタ。
[33] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 31記載のリーダライタ。 (
Figure imgf000055_0001
が自拠点まで正しく経緯してきたものと判断する署名検証部を有することを特徴とす る請求項 32記載のリーダライタ。 [35] 前記署名作成部は、自拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくはそ
i i 0
れカも導出した値または自拠点に流通してきた製品またはそのパッケージに付され た無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 u 若しくは
i-1
それから導出した情報を ST、 (u<n)？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ
i i i-1
ュ値 h(u )を新たな補助情報 vとしてそれぞれ導出するものであることを特徴とする請 i-1 i
求項 29記載のリーダライタ。
[36] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 35記載のリーダライタ。
[37] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 35記載のリーダライタ。
Figure imgf000056_0001
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i-1 i-1
))))))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた
i-1
ものと判断する署名検証部を有することを特徴とする請求項 36記載のリーダライタ。
[39] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を検証する署名検証部とを有し、前記製品の流通経路上の拠点に設けら れるリーダライタであって、前記署名検証部は、自拠点に流通してきた製品またはそ のパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通 経緯情報に対して、自拠点より上流の各拠点の公開鍵を自拠点に近!、拠点の公開 鍵から順番に使用して検証を繰り返して!/ヽき、最終的に予め定められた値または前 記無線 ICタグの読み出し専用メモリに記憶されている当該無線 ICタグ固有の識別番 号である初期値が得られるところまで遡って検証できることにより、前記製品が自拠点 まで正しく経緯してきたものと判断するものであることを特徴とするリーダライタ。
[40] i番目の拠点の秘密鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流
i i 0
通してきた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリ に書き込まれて 、る流通経緯情報を u 、 i番目の拠点およびそれより上流の全ての
i-1
拠点の公開鍵を連結したビット列 Tのハッシュ値 Η(Τ)と流通経緯情報との排他的論 理和により求められる値を H(T)〇u、 mod n： g (u)=uと定義される関
Figure imgf000057_0001
数を gi(u)、セキュリティパラメタ kビット (ただし niく 2k)長自然数空間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ—1とするとき、前記署名検証部 励…》》》))
Figure imgf000057_0002
) = uが成立することにより、前記製品が自拠点まで正しく経緯してきたものと判断す
0
るものであることを特徴とする請求項 39記載のリーダライタ。
[41] i番目の拠点の秘密鍵を d、 RSAモジュラスを ni、前記初期値を u、 i番目の拠点に流
i 0
通してきた製品またはそのノ ッケージに付された無線 ICタグの読み書き可能なメモリ に書き込まれて 、る流通経緯情報を u 、 i番目の拠点およびそれより上流の全ての
i-1
拠点の公開鍵およびメッセージを連結したビット列 Tのノ、ッシュ値 Η(Τ)と流通経緯情 報との排他的論理和により求められる値を H(Ti)〇u、 mod n： g(u)=
Figure imgf000057_0003
uと定義される関数を gi(u)、セキュリティパラメタ kビット (ただし n;く 2k)長自然数空間での 写像として φ (u)= (u+ni)mod2kと定義される関数を φ (u)、その逆関数を φ—1とするとき 、前記署名検証部は、 φ _1(8 ( (§
Figure imgf000057_0004
(u 》》 · ·）)))))))） = uが成立することにより、前記製品が自拠点まで正しく経緯して i-1 i-1 0
きたものと判断するものであることを特徴とする請求項 39記載のリーダライタ。
[42] 製品またはそのパッケージに付された無線 ICタグとの間で情報を送受信する送受 信部と署名を検証する署名検証部とを有し、前記製品の流通経路上の拠点に設けら れるリーダライタであって、前記署名検証部は、自拠点に流通してきた製品またはそ のパッケージに付された無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通 経緯情報に対して、自拠点より 1つ上流の拠点の公開鍵を使用して検証し、その検証 結果にお 1、て前記無線 ICタグの読み書き可能なメモリに書き込まれて 、る補助情報 と同じ補助情報が導出できることにより、前記製品力 siつ前の拠点力 正しく経緯して きたものと判断するものであることを特徴とするリーダライタ。
[43] i番目の拠点の秘密鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流
i i 0
通してきた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリ に書き込まれている流通経緯情報および補助情報を U および V 、i番目の拠点およ
i-1 i-1
びそれより上流の全ての拠点の公開鍵を連結したビット列 Tのハッシュ値 Η(Τ)と流通 経緯情報との排他的論理和により求められる値を H(T)〇u、 mod n :
Figure imgf000058_0001
g(u)=uと定義される関数を g (u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ ~ h をハッシュ関数とするとき、前記署名検証部は、 h(H ))))) · · · )))
Figure imgf000058_0002
)))))) = v が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきたも i-1
のと判断するものであることを特徴とする請求項 42記載のリーダライタ。
[44] i番目の拠点の秘密鍵を d、 RSAモジュラスを n、前記初期値を u、 i番目の拠点に流
i i 0
通してきた製品またはそのノ ッケージに付された無線 icタグの読み書き可能なメモリ に書き込まれている流通経緯情報および補助情報を U および V 、i番目の拠点およ
i-1 i-1
びそれより上流の全ての拠点の公開鍵およびメッセージを連結したビット列 τのハツ シュ値 Η(Τ)と流通経緯情報との排他的論理和により求められる値を H(T)〇u、（uく ？ g (u)=u e} mod n： g (u)=uと定義される関数を g.(u)、セキュリティパラメタ kビット (ただし nく 2k)長自然数空間での写像として φ Οι)= (u+ni)mod2と定義される関数を φ (u)、その
1 k
逆関数を Φ ( Φ
Figure imgf000058_0003
(g (u )))))· · ·》))))))） = v が成立することにより、前記製品力 iつ前の拠点力 正しく
1—1 1—1 1—1
経緯してきたものと判断するものであることを特徴とする請求項 42記載のリーダライタ
[45] 製品の流通経路上の拠点に設けられるリーダライタを構成するコンピュータを、前 記製品またはそのノ^ケージに付された無線 ICタグとの間で情報を送受信する送受 信手段、自拠点に流通してきた製品またはそのノ^ケージに付された無線 ICタグと 前記送受信手段を通じて交信し、前記無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報またはそれ力 導出した情報に対して記憶手段に記憶され ている自拠点の秘密鍵で署名した署名文を新たな流通経緯情報として導出し、前記 無線 ICタグの読み書き可能なメモリに書き込まれて 、た元の流通経緯情報と置き換 える署名作成手段、として機能させるためのプログラム。
[46] 前記コンピュータをさらに、自拠点に流通してきた製品またはそのパッケージに付さ れた無線 ICタグの読み書き可能なメモリに書き込まれている流通経緯情報に対して、 前記記憶手段に記憶されて!、る自拠点より上流の各拠点の公開鍵を自拠点に近 、 拠点の公開鍵から順番に使用して検証を繰り返していき、最終的に予め定められた 初期値または前記無線 ICタグの読み出し専用メモリに記憶されている当該無線 ICタ グ固有の識別番号が得られるところまで遡って検証できることにより、前記製品が自 拠点まで正しく経緯してきたものと判断する署名検証手段、として機能させるための 請求項 45記載のプログラム。
[47] 製品の流通経路上の拠点に設けられるリーダライタを構成するコンピュータを、前 記製品またはそのノ^ケージに付された無線 ICタグとの間で情報を送受信する送受 信手段、自拠点に流通してきた製品またはそのノ^ケージに付された無線 ICタグと 前記送受信手段を通じて交信し、前記無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報またはそれ力 導出した情報に対して記憶手段に記憶され て 、る自拠点の秘密鍵で署名した署名文を新たな流通経緯情報、書き込まれて 、た 元の流通経緯情報またはそれから導出した情報を補助情報として導出し、前記無線 I Cタグの読み書き可能なメモリに書き込まれて 、た元の流通経緯情報および補助情 報と置き換える署名作成手段、として機能させるためのプログラム。
[48] 前記コンピュータをさらに、自拠点に流通してきた製品またはそのパッケージに付さ れた無線 ICタグの読み書き可能なメモリに書き込まれている流通経緯情報に対して、 前記記憶手段に記憶されて 、る自拠点より 1つ上流の拠点の公開鍵を使用して検証 し、その検証結果にぉ 、て前記無線 ICタグの読み書き可能なメモリに書き込まれて いる補助情報と同じ補助情報が導出できることにより、前記製品力 S1つ前の拠点から 正しく経緯してきたものと判断する署名検証手段、として機能させるための請求項 47 記載のプログラム。
[49] 前記署名作成手段は、自拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくは
i i 0 それから導出した値または自拠点に流通してきた製品またはそのパッケージに付さ れた無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 u 若しく
i-1 はそれから導出した情報を ST、 (u<n)？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ Φ (f(ST)》》を新たな流通経緯情報として導出するものであることを特徴
Figure imgf000060_0001
とする請求項 45記載のプログラム。
[50] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 49記載のプログラム。
[51] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tiのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 49記載のプログラム。
[52] 前記コンピュータをさらに、
Figure imgf000060_0002
mod (
Figure imgf000060_0003
H(T〇〜T 〇φ— ( (§ (u )))))· ··》))))))） = uが成立することにより、前記製品
2 i-1 i-1 i-1 i-1 0
が自拠点まで正しく経緯してきたものと判断する署名検証手段、として機能させること を特徴とする請求項 50記載のプログラム。
[53] 前記署名作成手段は、自拠点の秘密鍵を d、 RSAモジュラスを n、初期値 u若しくは
i i 0 それから導出した値または自拠点に流通してきた製品またはそのパッケージに付さ れた無線 ICタグの読み書き可能なメモリに書き込まれて 、る流通経緯情報 u 若しく
i-1 はそれから導出した情報を ST、 (u<n)？ f(u)=u d}mod n
： f(u)=uと定義される関数 ¾"(u)、セキュリティパラメ外ビット (ただし nく 2k)長自然数空 間での写像として φ (u)= (u+n)mod2kと定義される関数を φ (u)、その逆関数を φ— 1とす るとき、 φ— ^ Φ Ο^Τ)))»を新たな流通経緯情報、流通経緯情報 u またはそのノ、ッシ
i i i-1
ュ値 h(u )を新たな補助情報 vとしてそれぞれ導出するものであることを特徴とする請 i-1 i 求項 47記載のプログラム。
[54] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵を連結したビット 列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能なメモリに書き込 まれている流通経緯情報のビット列 uとの排他的論理和により求められる値 H(T)〇u であることを特徴とする請求項 53記載のプログラム。
[55] 前記 STは、自拠点および自拠点より上流の全ての拠点の公開鍵およびメッセージ を連結したビット列 Tのハッシュ値 H(T)と、初期値または無線 ICタグの読み書き可能 なメモリに書き込まれて 、る流通経緯情報のビット列 uとの排他的論理和により求めら れる値 H(T)〇uであることを特徴とする請求項 53記載のプログラム。
[56] 前記コンピュータをさらに、
Figure imgf000061_0001
mod n : g(u)=uと定義される関数を g(u)とするとき、 h(H(T Ο _1(§ (g (u )))))· ·· i i i i~l i~l i~l i~l
))))))))) = v
i-1が成立することにより、前記製品カ^つ前の拠点力 正しく経緯してきた ものと判断する署名検証手段、として機能させることを特徴とする請求項 54記載のプ ログラム。
[57] 製品の流通経緯を管理するために製品またはそのパッケージに付加される無線 IC タグにおいて、製品の流通経路上の各拠点に備わるリーダライタとの間で情報を送 受信する送受信部と、自無線 ICタグ固有の識別番号を記憶する読み出し専用メモリ と、流通経緯情報を記憶する読み書き可能なメモリとを備え、最初の拠点に流通した 際にはその拠点に備わるリーダライタによって、前記識別番号またはそれから導出し た値に対してその拠点の秘密鍵で署名された署名文が前記流通経緯情報として前 記読み書き可能なメモリに書き込まれ、最初の拠点以外の拠点に流通した際にはそ の拠点に備えるリーダライタによって、前記読み書き可能なメモリに書き込まれている 流通経緯情報またはそれ力 導出した情報に対してその拠点の秘密鍵で署名され た署名文が新たな流通経緯情報として導出されて、前記読み書き可能なメモリに書 き込まれていた元の流通経緯情報が置き換えられるものであることを特徴とする無線 I Cタグ。
PCT/JP2005/021822 2004-11-29 2005-11-28 流通経緯認証システム、流通経緯認証方法 WO2006057390A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006547916A JP4993076B2 (ja) 2004-11-29 2005-11-28 流通経緯認証システム、流通経緯認証方法、リーダライタ、プログラム、無線ｉｃタグ

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-343702 2004-11-29
JP2004343702 2004-11-29

Publications (1)

Publication Number Publication Date
WO2006057390A1 true WO2006057390A1 (ja) 2006-06-01

Family

ID=36498123

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/021822 WO2006057390A1 (ja) 2004-11-29 2005-11-28 流通経緯認証システム、流通経緯認証方法

Country Status (2)

Country Link
JP (1) JP4993076B2 (ja)
WO (1) WO2006057390A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004392A1 (fr) * 2006-07-03 2008-01-10 Nec Personal Products, Ltd. Système de gestion d'article, procédé de gestion d'article, terminal de traitement d'informations et support d'enregistrement d'informations
WO2008110786A2 (en) * 2007-03-14 2008-09-18 British Telecommunications Public Limited Company Verification of movement of items
WO2008110791A2 (en) * 2007-03-14 2008-09-18 British Telecommunications Public Limited Company Verification of movement of items
JP2013118706A (ja) * 2006-09-08 2013-06-13 Certicom Corp 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
JP2018518072A (ja) * 2015-03-04 2018-07-05 上海鴻研物流技▲術▼有限公司 循環物流器具の無線検証方法及び装置
JP2018121125A (ja) * 2017-01-23 2018-08-02 凸版印刷株式会社 無線通信デバイス、および、情報通信システム
CN109615034A (zh) * 2018-11-20 2019-04-12 广州市格利网络技术有限公司 可重复使用的餐饮用具的信息溯源方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09251268A (ja) * 1996-03-15 1997-09-22 Matsushita Electric Ind Co Ltd 多重ディジタル署名方式
JP2004043143A (ja) * 2002-07-12 2004-02-12 Matsushita Electric Ind Co Ltd 食肉流通用非接触型ｉｃタグ管理システムおよび食肉流通用非接触型ｉｃタグ管理方法
JP2005242530A (ja) * 2004-02-25 2005-09-08 Hitachi Ltd 履歴記録システム、履歴記録方法、履歴記録プログラム、及び受領譲渡者用端末

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000250408A (ja) * 1999-03-01 2000-09-14 Ntt Data Corp ファイル認証システム、署名システム及び署名方法、認証システム及び認証方法、及び記録媒体

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09251268A (ja) * 1996-03-15 1997-09-22 Matsushita Electric Ind Co Ltd 多重ディジタル署名方式
JP2004043143A (ja) * 2002-07-12 2004-02-12 Matsushita Electric Ind Co Ltd 食肉流通用非接触型ｉｃタグ管理システムおよび食肉流通用非接触型ｉｃタグ管理方法
JP2005242530A (ja) * 2004-02-25 2005-09-08 Hitachi Ltd 履歴記録システム、履歴記録方法、履歴記録プログラム、及び受領譲渡者用端末

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008004392A1 (fr) * 2006-07-03 2008-01-10 Nec Personal Products, Ltd. Système de gestion d'article, procédé de gestion d'article, terminal de traitement d'informations et support d'enregistrement d'informations
JP2013118706A (ja) * 2006-09-08 2013-06-13 Certicom Corp 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
WO2008110786A2 (en) * 2007-03-14 2008-09-18 British Telecommunications Public Limited Company Verification of movement of items
WO2008110791A2 (en) * 2007-03-14 2008-09-18 British Telecommunications Public Limited Company Verification of movement of items
WO2008110791A3 (en) * 2007-03-14 2009-01-22 British Telecomm Verification of movement of items
WO2008110786A3 (en) * 2007-03-14 2009-02-19 British Telecomm Verification of movement of items
US8310346B2 (en) 2007-03-14 2012-11-13 British Telecommunications Public Limited Company Verification of movement of items
JP2018518072A (ja) * 2015-03-04 2018-07-05 上海鴻研物流技▲術▼有限公司 循環物流器具の無線検証方法及び装置
US10970671B2 (en) 2015-03-04 2021-04-06 Shanghai Hongyan Returnable Transit Packagings Co., Ltd Wireless authentication method and device of recyclable logistics apparatus
JP2018121125A (ja) * 2017-01-23 2018-08-02 凸版印刷株式会社 無線通信デバイス、および、情報通信システム
JP7009743B2 (ja) 2017-01-23 2022-01-26 凸版印刷株式会社 無線通信デバイス、および、情報通信システム
CN109615034A (zh) * 2018-11-20 2019-04-12 广州市格利网络技术有限公司 可重复使用的餐饮用具的信息溯源方法及装置

Also Published As

Publication number Publication date
JPWO2006057390A1 (ja) 2008-08-07
JP4993076B2 (ja) 2012-08-08

Similar Documents

Publication Publication Date Title
CN107274139B (zh) 仓单数据管理方法和计算机可读介质
CN115174089B (zh) 物权电子凭证(edt)的分布式管理方法及其系统
US10387695B2 (en) Authenticating and managing item ownership and authenticity
JP5260523B2 (ja) 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
CN102792633B (zh) 访问控制
WO2017016318A1 (zh) 基于非对称加密算法的可信标签的生成与验证方法及系统
WO2006057390A1 (ja) 流通経緯認証システム、流通経緯認証方法
CN110378755B (zh) 电子发票生成方法、装置、计算机设备和存储介质
US20120308003A1 (en) Authentic barcodes using digital signatures
JP2004029984A (ja) 電子タグ固有番号管理方式およびそのための処理システム
CN111492390A (zh) 用于数字货币的现金等价设备
JP2002316465A (ja) 印刷文書の自動認証
JP2004526389A (ja) 有価ドキュメントを作成および検証する方法およびシステム
US20180357603A1 (en) Systems and methods for delivering retail items
CN108965228B (zh) 具有多重密钥的kyc数据标记的争议救济系统及其方法
CN111740841B (zh) 溯源码的验证方法和装置
Lam et al. Textile and apparel supply chain with distributed ledger technology (DLT)
CN111630544A (zh) 用于在计算机网络中控制产品分销的方法与系统
CN111641631A (zh) 基于区块链仓单平台的仓单验证方法与系统
CN112669141A (zh) 基于区块链智能合约机制的大宗商品的仓单质押方法
US20060265594A1 (en) Documentation of service measures on a motor vehicle
JP4843960B2 (ja) タグ認証システム、認証装置、及び、タグ認証方法
US20050076218A1 (en) Cryptographic electronic gift certificate cross-reference to related applications
CN116057554A (zh) 管理交易数据组的方法、参与者单元、交易登记册和支付系统
Rosati et al. Elliptic curve certificates and signatures for nfc signature records

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KN KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 2006547916

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 05809535

Country of ref document: EP

Kind code of ref document: A1