JP2006109455A - 少人数グループ用プライベートネットワークのための最小限コンフィギュレーション - Google Patents

Abstract

【課題】 信頼性の高いセキュアトランザクションを実行する方法と装置を提供する。
【解決手段】 本発明の方法において、電話による会話などの通信チャネルがユーザ（Ａ，Ｂ）間で確立される。トランザクションの認証識別子が、通信チャネル（２２）を使用してユーザ（Ａ，Ｂ）間で通信される。認証識別子が、トランザクションの基準識別子として第１の装置（１２）で記憶（Ａ３）される。信頼性の高い通信網（Ａ１０）を介して２つの装置（１２，２）間でセキュア通信路が開設される。セキュア通信路は、ユーザ（Ａ，Ｂ）の通信チャネルに対して異なる。セキュア通信路を介して第２の装置（２）から第１の装置（１２）に認証識別子が送信される。セキュア通信路を介して受信した認証識別子は、第１の装置（１２）で基準識別子と比較（Ａ１２）される。比較に基づいて、セキュア通信路（Ａ１５）を介してセキュアトランザクションが実行される。
【選択図】 図２

Description

本発明は信頼性の高い通信網間の第１と第２の装置の各々のユーザ間がそれらの間でセキュアトランザクションが実行できるようにする方法とシステムに関する。特に、セキュア通信網やグループに新規加入者を追加するなどのセキュアトランザクションを２人の人が開始する便利で安全な方法を提供する。

社会通信網は人間の生活において重要な部分である。電話やインターネットなどの現代の技術により、人間の社会通信網を構築維持することは、常時即時通信と組み合わせて、広範囲の人間と努力を要さずアクセス可能な活動を容易にしてきた。ところが、人間の多くの異なる通信網を管理することと、必要なときに、十分なプライバシとセキュリティを保障する増大する複雑性のため、このことは困難に導く。

特に、電子メールを使用したウェブ、チャットルーム、コミュニティサイト、ピアツゥピア（Ｐ２Ｐ）システム、その他のソフトウェア、およびメッセージングとインターネットサービスを介した携帯電話などの少人数のグループの人々が、アドホックグループを形成することは今や一般的である。上記のグループには、一回限りのトランザクションから、メンバ名簿の変更がある生涯に及ぶ長い永続的なセッションにまで及んでいる。これらは、非常に限られた中央管理により全て管理することができ、電子メールやＰ２Ｐの場合においては、中央管理は必要ない。しかしながら、慣れていないユーザにとっては非常に困難で理解できないことが多く（部分的に）、現在のセキュリティインフラストラクチャを使用しているので、セキュリティを厳重にし、プライバシを保護することは有利な点とはなり得ない。様々なセキュリティインフラストラクチャに予め定められた電子身分証明書を有することをセキュリティシステムがユーザに要求することが多い。

同時に、インターネットに接続しているが、上記のグループ形成システムを要求する標準的なソフトウェア構成を有していないますます多くの装置が存在する。テレビ、デジタルセットトップボックス、および個人マルチメディアプレーヤなどの装置は、ウェブブラウザ、電子メールクライアント、および安全にアクセスしインフラストラクチャにアドレッシングするクライアントを有していないだろう。

コンピュータネットワークは、通信経路により相互接続されたコンピュータ、装置、またはコンピュータノードのグループである。コンピュータネットワークは、一般にいかなる種類のデータも伝送することができ、数々のアプリケーションをサポートしている。ノードのサブセットを相互接続し、ノード間でデータを転送をする実際のネットワークの設備を利用するコンピュータネットワーク内の仮想通信網が１つのアプリケーションである。例えば、通信網の加入者にだけ知られている共用秘密鍵を使用し通信網を介して送信されるデータを暗号化することで、実際の「公衆」通信網に対してセキュアにできる。上記の通信網以外の人は、データ復号することができず、仮想通信網へアクセスすることができない。

ネットワークセキュリティは、プライバシ／機密性、完全性、および認証といった幾つかの問題に対処する。プライバシや機密性とは、送信中に未認証第三者が情報を盗み見ることができないことを意味する。また、完全性とは、送信中に未認証第三者が情報を変更できないことを意味する。さらに、認証とは、話す人が存在することを認証する動作である（特に、電子身分証明書が発行される人により使用される電子身分証明書を認証をする動作）。

概して、通信網に対して、対称と非対称の２種類の基本的な暗号化システムが存在し、この２つのシステムとも鍵に依存している（もちろん、多くの復号システムが存在する）。暗号化システムの中心的課題は、セキュア通信網をどのように開始または構築するかということである。例えば、セキュア通信網自身が確立される前に、秘密鍵（上記）を安全に交換する必要がある。鍵交換や鍵配布問題には２つの局面がある。鍵自体を交換する必要があり（時によって安全に）、鍵を交換する人が互いに認証する必要がある。

対称暗号化での鍵交換は、口頭（例えば、電話または物理的な接触により）、物理的な転送（例えば、フロッピー（登録商標）ディスク）、郵便、電子メール、または最終的な暗号化されたチャネルと異なる別のチャネル（通信経路）を使用し、盗み聞きされない何らかのその他の配信方法などのアウトオブバンドトランザクションを要求する。ほとんどの場合において、この方法の単純性と利便性は、認証の機密性と信頼性に反比例している。最も安全で信頼性の高い方法は、物理的な接触にあり、これは、つまり企業ＶＰＮ（仮想専用通信網）への加入により承認可能であるかも知れないが、インターネット上のセキュアチャットルームへ加入することは不便であるか不可能である。確かに、電子メールは便利であるが安全ではない。強力な鍵は非常に長くなるのが常であり（少なくとも、１２８ビット）、数回交換できなければならないかも知れず（例えば、グループメンバが辞めたときに、新しい鍵に切り換えるために）、呼び出し自身が便利であったとしても電話も受け入れ難い。よって、対称鍵交換は小さなアドホックグループには適していない。

セキュアチャネルを最初に確立するために、非対称システムを用いて対称鍵交換も行うことができる。非対称システムにおいて、１対の一方の鍵で暗号化された情報は他方の鍵によってのみ復号できる。このため、他人の公開鍵により秘密を暗号化して、１人の人が他人に秘密を送信し、こうすることで、他人の公開鍵によってのみ復号できる。他人が鍵を秘密にしておいた場合には、その他人の鍵だけが秘密にアクセスすることができる。

上記は非対称システムのほんの一例であり、多くのその他の構成が可能である。それらの全てにおける主要な困難は鍵の配布にあり、このことは、認証ということに帰着する。上記の例において、公開鍵が他の人に属し、他の人として偽る他の誰でもないことを確認する必要がある。認証問題を解決するために多くの複雑なシステムが登場してきている。要するに、公開鍵インフラストラクチャ（ＰＫＩ）は、中央局と呼ばれる信頼性の高い第三者に依存しており、公開鍵に署名をして、公開鍵証明書を発行する。セキュアソケット層（ＩＥＴＦインターネット案「ＳＳＬ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ３．０」）とトランスポート層セキュリティ（ＩＥＴＦ ＲＦＣ２２４６，「Ｔｈｅ ＴＬＳ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ １．０」）は、インターネットを介するセキュアトランザクションにＰＫＩを使用している。Ｐｒｅｔｔｙ Ｇｏｏｄ Ｐｒｉｖａｃｙ（ＰＧＰ社）においては、お互いの鍵に署名する他人との関係通信網を介して信頼性を確立する。（例えば、ＡがＢを信頼し、ＢがＣを信頼する場合、ＡがＣを信頼する）。これらのシステムの詳細は、本発明の開示範囲を超えている。

ＰＫＩは信頼に足る中央局を必要とするので、小さなアドホックグループに対してＰＫＩは単独でも適切ではない。各個人は第三者から発行された公開鍵証明書を取得する必要があり、信頼性があるとの評判を得るために全てのアプリケーションに綿密に調べなければならない。小さなグループの所有者が、彼自身の認証局を制定したとしても、彼の身分と信頼性を保障する権威のある認証局が必要であろう。これには、公開鍵認証を制定するのに、ユーザ間でかなりの量の通信が含まれる。信頼の最初の関係（すなわち、他の人の鍵への署名）が、追加インフラストラクチャを必要とする対面接触（信頼性が高い）によりまたは信頼性の高い電子メールにより確立する必要があるので、明らかな要求があっても、小さなグループにはＰＧＰも不適切である
ＰＫＩとＰＧＰは単独でも不適切であるが、小さなアドホックグループのサービスに対するアウトオブバンド通信とそれらを組み合わせる方法が存在する。中央集約的なインフラストラクチャの必要性を無くすために、アドホックグループのＰ２Ｐ認証が設計された。従来のＰ２Ｐセキュリティには幾つかのソリューションが存在するが、これらのソリューションは全てクライアント装置やユーザに利用可能でないか、単純でなくユーザによって便利かも知れないソフトウェアまたはインフラストラクチャのいずれかに依存している。

グルーブワークスペースはＰ２Ｐオンライン共同ツールである（Ｕｄｅｌｌ，Ａｓｔｈａｇｉｒｉ，Ｔｕｖｅｌｌ，２００１，Ｓｅｃｕｒｉｔｙ，Ｉｎ Ｏｒａｍ，ｅｄｉｔｏｒ，「Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ；Ｈａｒｎｅｓｓｉｎｇ ｔｈｅ Ｐｏｗｅｒ ｏｆ Ｄｉｓｒｕｐｔｉｖｅ Ｔｅｃｈｎｏｌｏｇｉｅｓ」）。新しいグループを形成するには、グループの所有者がグループを形成して、直接グループメンバの加入を誘う。加入を誘う人がソフトウェアをインストールしている場合には、グループシステムにより、またはインストールしていない場合には、電子メールのいずれかによりグループへの加入申し込みを送信できる。双方の場合において、この加入申し込みは所有者の電子身分証明書と所有者の公開鍵により署名された公開鍵が含まれる。その後、加入を誘われた人が所有者を認証する必要がある。このことは、ＰＫＩまたはグループ所有者に電話をして、所有者の公開鍵の加入を誘われた人の「指紋」と所有者の指紋を比較して行うことができる。指紋は公開鍵の短いハッシュ（１６桁の文字列）である。このシナリオにおいて、加入を誘われた人の音声によってグループ所有者を認証するので、加入を誘われた人がアウトオブバンド通話を使用する。加入を確認するために、加入を誘う人はその加入の誘いに応答するようソフトウェアに指令する。加入の誘いは交互的である。同じ指紋／電話技術を使用して所有者が加入の誘いを認証できる加入の誘いに応答する。電子メールと音声通話の組み合わせは、ユーザにとって複雑であり、電子メールインフラストラクチャを必要とすることは明らかである。

米国特許出願第２００３／００５６０９３号では、グループの秘密鍵（加入を誘われた人のグループ証明書と呼ばれる）を使用して加入を誘われた公開鍵を暗号化することで、所有者またはグループのメンバが加入の誘いを生成する。この加入の誘いは電子メールやその他の電子配信システムにより送信される。すると、秘密鍵により署名された接続メッセージを送信して加入の誘いに応答する。彼の秘密鍵により暗号化された彼のグループ証明書により応答して加入を承認する。最後に、承認メッセージから加入を誘われた人は所有者の身分を認証できる。ところが、このシナリオには２つの問題がある。つまり１）所有者は加入を誘われた人の公開鍵を取得する必要があり、２）所有者と加入を誘われた人の認証がなされないことである。前者の問題を解決するために、従来の接触によってか、ディレクトリサービスによってか、または電子メール（または、その他のメッセージングシステム）によって公開鍵を取得できる。通話によりアウトオブバンド通信ができる短い対称通過フェーズにより公開鍵を暗号化できる。上記の通過フェーズと通話またはＰＫＩなどの方法を含む任意の認証方法を使用して後者の問題を解決できる。要するに、完全なセキュリティのために、電子メールと通話に加えて、予め設定されたセキュリティインフラストラクチャが必要である。

米国特許出願第２００３／００７００７０号は、一般的なＰ２Ｐアーキテクチャを提案しており、ここで、１）異なるＰＫＩ（グループ認証局または実際の第三者認証局を使用して）範囲、２）ＰＧＰライクなメカニズム、または３）例えば、フロッピー（登録商標）ディスクなどによる証明書の物理的な交換により信頼性（認証のために）が得られる。全ての場合において、予め設定されたセキュリティインフラストラクチャに参加するユーザまたは物理的な接触に認証が依存している。

なお他のシステムは、グループ形成の中央集約的なアーキテクチャを使用し、グループ活動のためにＰ２Ｐアーキテクチャに切り換える。米国特許出願第２００４／０００６７０８号は、グループ所有者が、中央サーバに誰がグループに加入できるか示すメンバリストを登録するＰ２Ｐ ＶＰＮを形成する方法を記載している。このサービスはグループへの識別子を生成する。メンバがグループに加入するよう要求したとき（所有者からのある手段が受信したグループ識別子を使用して）、彼の認証が承認され、彼に対して仮想ホストがサーバ上に生成される。彼とホストの間でトンネル（セキュアチャネル）が設定される。中央サーバ内で相互接続するトンネルを介して全てのセキュアな通信が成される。米国特許第２００４／００４４８９１号は、中央サーバがグループメンバに共用グループ鍵を配布することを除き、同様の方法を記載している。グループメンバは、鍵を使用してグループトラフィックを暗号化し、グループメンバ間で直接送信される。これらのメンバの双方は、全てのグループメンバの便利でない事前登録に依存しており、その認証方法は明らかでない。

従って、公衆通信網内の小さなセキュアアドホックグループの単純で便利な形成と構成を提供する方法への必要性が存在する。この方法はクライアント装置の標準的なソフトウェアも、事前設定されたセキュリティ／アドレッシングインフラストラクチャに参加するユーザも必要としない。

本発明の第１の局面によれば、信頼性の高い通信網の第１と第２の装置の各々のユーザが、第１と第２の装置の間でセキュアトランザクションを実行できるようにする方法であって、ユーザ間で通信チャネルを確立するステップと、通信チャネルを使用して、ユーザ間でトランザクションの認証識別子を通信するステップと、トランザクションのトランザクション基準識別子として、第１の装置で認証識別子を記憶するステップと、信頼性の高い通信網を介して２つの装置の間でユーザの通信チャネルに対して異なるセキュア通信路を開設するステップと、セキュア通信路を介して第２の装置から第１の装置へ認証識別子を送信するステップと、セキュア通信路を介して受信した認証識別子と基準識別子とを第１の装置において比較するステップと、比較に基づき、セキュア通信路を介してセキュアトランザクションを実行するステップとを包含する方法を提供する。

上記の方法は、比較の結果、認証と基準識別子が一致する場合にのみ、セキュアトランザクションを実行するステップを含む。

上記の方法は、比較の結果、認証と基準識別子間が一致しない場合に、セキュア通信路を閉じるステップを含む。

上記の方法は、通信網において第１の装置を示す第１の装置識別子を第１のユーザから第２のユーザに通信するステップと、第２のセキュア通信路を開始するために、第１の装置識別子を第２の装置で使用するステップとをさらに包含する。

第１の装置識別子がユーザ間で通信チャネルを使用して通信される。

認証識別子が通信チャネルを使用して第１のユーザから第２のユーザに送信され、送信するステップで使用される第２の装置へ認証識別子を入力するステップをさらに包含する。第１の装置で認証識別子を生成するステップをさらに包含する。

本方法は、第１の装置識別子と認証識別子とを含む単一のトランザクションコードを第１のユーザから第２のユーザに通信するステップをことを包含する。第１の装置識別子を認証識別子に付加してトランザクションコードが生成される。

通信チャネルを使用して第２のユーザから第１のユーザに認証識別子を通信し、記憶ステップで使用される第１の装置に認証識別子を入力するステップをさらに包含する。第２の装置で認証識別子を生成するするステップをさらに包含する。通信網において第２の装置を示す第２の装置識別子を認証識別子として使用され得る。

本方法は、認証識別子として使用するランダム番号を生成するステップを包含する。

通信チャネルが第１と第２のユーザにより信頼される通信チャネルである。

通信チャネルが、ユーザ間の通話、ユーザ間の物理的接触、ユーザ間の直接音声通信、ユーザ間の装置読み出し可能記憶媒体の転送、電子メール、およびショートメッセージサービスのうちの１つ以上である。

本方法は、所定の時間期間後、基準識別子を廃棄するステップをさらに包含する。

本方法は、最初の使用後、基準識別子を廃棄するステップをさらに包含する。

第１の装置と第２の装置の少なくとも１つがマルチユーザ装置である。

識別子の少なくとも１つが、数字、文字列、名前、ＩＰアドレス、およびドメイン名のうちの１つ以上を有する。

通信ステップで使用される認証識別子をユーザの装置を使用してユーザの１人に表示するステップをさらに包含する。ユーザの装置の画面に認証識別子を表示するステップを包含する。

本方法は、通信ステップのユーザの１人により受信した認証識別子をユーザの装置に入力するステップをさらに包含する。ユーザの装置のキーパッドを使用して認証識別子を入力するステップを包含する。

認証識別子がトランザクションを一意に識別する。

通信網が装置のピアツゥピア通信網である。ピアツゥピア通信網において、装置は、例えば、通信網のクライアント／サーバタイプと比較して、機能の点において、実質的に等しい。

同一または異なる通信チャネルを使用してユーザ間に、トランザクションの追加認証識別子を通信をするステップと、トランザクションの追加基準識別子として追加認証識別子を第２の装置に記憶するステップと、セキュア通信路を介して第１の装置から第２の装置に追加認証識別子を送信するステップと、セキュア通信路を介して受信した追加認証識別子と追加基準識別子を第２の装置で比較するステップと、比較に基づき、セキュア通信路を介してセキュアトランザクションを実行するステップとを包含する。

本発明の第２の局面によれば、本発明の第１の局面による方法を使用する複数の部材を備えるグループを維持する方法であって、セキュアトランザクションを実行するステップが、グループのメンバとして第１と第２のユーザの一方の他方の追加または除去に関連し、第１と第２のユーザの他方が、グループの指定したコオーディネータである、方法を提供する。

本発明の第３の局面によれば、本発明の第３の局面による方法を包含する信頼性の高い通信網を構築する方法を提供する。

本発明の第４の局面によれば、第１の装置のユーザが信頼性の高い通信網の第２の装置のユーザとセキュアトランザクションを実行できるようにする信頼性の高い通信網の該第１の装置により使用される方法であって、ユーザ間で確立された通信チャネルを使用して第２の装置のユーザと通信する第１の装置のユーザにトランザクションの認証識別子を表示するステップか、ユーザ間で確立された通信チャネルを使用して第２の装置のユーザから第１の装置のユーザに通信したトランザクションの認証識別子を入力するステップと、トランザクションの基準識別子として認証識別子を記憶をするステップと、信頼性の高い通信網を介して２つの装置間に、ユーザ間の通信チャネルに対して異なるセキュア通信路を開設するステップと、セキュア通信路を介して第２の装置から認証識別子を受信するステップと、セキュア通信路を介して受信した認証識別子と基準識別子を比較するステップと、比較に基づきセキュア接続を介してセキュアトランザクションを実行するステップとを包含する方法を提供する。

本発明の第５の局面によれば、第２の装置のユーザが、信頼性の高い通信網の第１の装置のユーザとセキュアトランザクションを実行できるようにするための信頼性の高い通信網の第２の装置により使用される方法であって、ユーザ間で確立された通信チャネルを使用して第１の装置のユーザに対する通信のために第２の装置のユーザにトランザクションの認証識別子を表示するステップか、ユーザ間で確立された通信チャネルを使用して第１の装置のユーザから第２の装置のユーザに通信されたトランザクションの基準識別子として第１の装置に記憶される認証識別子を入力するステップと、信頼性の高い通信網を介して２つの装置間に、ユーザ間の通信チャネルに対して異なるセキュア通信路を開設するステップと、基準識別子と比較に、第１の装置によって使用されるために、セキュア通信路を介して第１の装置に認証識別子を送信するステップと、比較に基づきセキュア通信路を介してセキュアトランザクションを実行するステップとを包含する方法を提供する。

本発明の第６の局面によれば、信頼性の高い通信網の第１および第２の装置の各々のユーザが、それらの間でセキュア通信路を実行できるようにするシステムであって、ユーザ間で通信チャネル（２２）を確立する手段と、通信チャネル（２２）を使用してユーザ間でトランザクションの認証識別子を通信する手段と、トランザクションの基準識別子として認証識別子を第１の装置に記憶する手段と、信頼性の高い通信網を介して２つの装置間に、ユーザ間で通信チャネル（２２）が異なるセキュア通信路を開設する手段と、セキュア通信路を介して第２の装置から第１の装置へ認証識別子を送信する手段と、セキュア通信路を介して受信した認証識別子と基準識別子を第１の装置で比較する手段と、比較に基づきセキュア通信路を介してセキュアトランザクションを実行する手段と備えるシステムを提供する。

本発明の第７の局面によれば、装置のユーザが信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするための信頼性の高い通信網で使用する装置であって、ユーザ間で確立された通信チャネルを使用して他の装置のユーザに対する通信装置のユーザに対してトランザクションの認証識別子を表示する手段か、ユーザ間で確立された通信チャネルを使用して他の装置のユーザから装置のユーザに通信したトランザクションの証識別子を入力する手段と、トランザクションの基準識別子として認証識別子を記憶する手段と、信頼性の高い通信網を介して２つの装置間に、ユーザ間で通信チャネルに対して異なるセキュア通信路を開設する手段と、セキュア通信路を介して他の装置から認証識別子を受信する手段と、セキュア通信路を介して受信した認証識別子と基準識別子を比較する手段と、比較に基づきセキュア通信路を介してセキュアトランザクションを実行する手段とを備える装置を提供する。

本発明の第８の局面によれば、装置のユーザが信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするための信頼性の高い通信網で使用される装置であって、ユーザ間で確立された通信チャネルを使用して他の装置のユーザに送信する装置のユーザにトランザクションの認証識別子として他の装置記憶されたトランザクションの認証識別子を表示するか、ユーザ間で確立された通信チャネルを使用して他の装置のユーザから装置のユーザに送信されたトランザクションの認証識別子を入力する手段と、信頼性の高い通信網を介して２つの装置間に、ユーザ間で通信チャネルに対して異なるセキュア通信路を開設する手段と、基準識別子と比較する際に、他の装置により使用されるために、セキュア通信路を介して他の装置に認証識別子を送信する手段と、比較に基づきセキュアトランザクションを実行する手段とを備える装置を提供する。

本発明の第９の局面によれば、装置にロードされたとき、本発明の第７と第８の局面による装置にするオペレーティングプログラムを提供する。

本発明の第１０の局面によれば、装置上で実行するとき、本発明の第４と第５の局面による方法を実行させるオペレーティングプログラムを提供する。

オペレーティングプログラムは、搬送媒体で搬送され得る。搬送媒体が伝送媒体であり得る。搬送媒体が記憶媒体であり得る。

本発明の実施形態により、通信網間のセキュアトランザクションを開始する機能をユーザが有し、第三者からの承認を必要とすることなく、または第三者の実質的なリソースを必要とすることなく、それらの装置がセキュアグループを形成できるようにする。ユーザがトランザクションを開始することは簡単で便利であり、最適なユーザ経験を提供する。予め設定されたアドレッシング（例えば、電子メール通信）にユーザが参加する必要もなく、セキュリティインフラストラクチャも必要ない。このプロセスは安全であり、秘密性、完全性、および認証を有し、これによりマルチユーザネットワーク装置が、本発明の一実施形態で安全に使用できるようにする。十分なコンピューテォングパワーとユーザインタフェースを備える任意の種類の通信装置をユーザが使用可能である。

本発明は、さらに以下の手段を提供する。

（項目１）
信頼性の高い通信網の第１と第２の装置（１２，２）の各々のユーザ（Ａ，Ｂ）が、該第１と第２の装置の間でセキュアトランザクションを実行できるようにする方法であって、
該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）を確立するステップと、
該通信チャネル（２２）を使用して、該ユーザ（Ａ，Ｂ）間でトランザクションの認証識別子を通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）するステップと、
該トランザクションのトランザクション基準識別子として、該第１の装置で該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）するステップと、
該信頼性の高い通信網を介して該２つの装置（１２，２）の間で該ユーザ（Ａ，Ｂ）の通信チャネルに対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
該セキュア通信路を介して該第２の装置から該第１の装置へ該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
該セキュア通信路を介して受信した該認証識別子と該基準識別子とを該第１の装置で比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）するステップと、
該比較に基づき該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
を包含する方法。

（項目２）
上記比較の結果、上記認証と上記基準識別子が一致する場合にのみ、上記セキュアトランザクションを実行するステップを含む、項目１に記載の方法。

（項目３）
上記比較の結果、上記認証と上記基準識別子間が一致しない場合に、上記セキュア通信路を閉じる（Ａ１６；Ｂ１６；Ｃ２６）ステップを含む、項目１または２に記載の方法。

（項目４）
上記通信網において上記第１の装置を示す上記第１の装置識別子を上記第１のユーザから上記第２のユーザに通信するステップと、
第２のセキュア通信路を開始するために、上記第１の装置識別子を上記第２の装置で使用（Ａ９；Ｂ９；Ｃ１５）するステップと
をさらに包含する項目１，２，または３に記載の方法。

（項目５）
上記第１の装置識別子が上記ユーザ（Ａ，Ｂ）間で上記通信チャネル（２２）を使用して通信される、項目４に記載の方法。

（項目６）
上記認証識別子が上記通信チャネル（２２）を使用して上記第１のユーザから上記第２のユーザに送信され（Ａ６；Ｂ６）、
上記送信するステップ（Ａ１１；Ｂ１１）で使用される上記第２の装置へ上記認証識別子を入力（Ａ８；Ｂ８）するステップをさらに包含する、項目１から５のいずれか１項に記載の方法。

（項目７）
上記第１の装置において上記認証識別子を生成（Ａ２；Ｂ２）するステップをさらに包含する、項目６に記載の方法。

（項目８）
項目４に従属しているとき、上記第１の装置識別子と上記認証識別子を含む単一のトランザクションコードを上記第１のユーザから上記第２のユーザに通信する（Ａ６；Ｂ６）するステップをさらに含む、項目６または７に記載の方法。

（項目９）
上記第１の装置識別子を上記認証識別子に付加して上記トランザクションコードが生成される、項目８に記載の方法。

（項目１０）
項目４に従属しているとき、上記第１の装置識別子が上記認証識別子として使用される、項目６に記載の方法。

（項目１１）
上記通信チャネル（２２）を使用して上記第２のユーザから上記第１のユーザに上記認証識別子を送信（Ｃ１２；Ｃ６）し、上記記憶ステップ（Ｃ１４；Ｃ９）での使用のために、上記第１の装置に上記認証識別子を入力（Ｃ１３，Ｃ８）するステップをさらに包含する、項目１から５に記載の方法。

（項目１２）
上記第２の装置において上記認証識別子を生成する（Ｃ１０；Ｃ２）するステップをさらに包含する、請求１１に記載の方法。

（項目１３）
上記通信網において上記第２の装置を示す第２の装置識別子を上記認証識別子として使用する、項目１１に記載の方法。

（項目１４）
上記認証識別子として使用するランダム番号を生成するステップを包含する、項目７または１２に記載の方法。

（項目１５）
上記通信チャネルが上記第１と第２のユーザによって信頼される通信チャネルである、項目１から１４のいずれか１項に記載の方法。

（項目１６）
上記通信チャネルが、ユーザ間の通話、ユーザ間の物理的接触、ユーザ間の直接音声通信、ユーザ間の装置読み出し可能記憶媒体の転送、電子メール、およびショートメッセージサービスのうちの１つ以上である、上記いずれか１項に記載の方法。

（項目１７）
所定の時間期間の後に、上記基準識別子を廃棄するステップをさらに包含する、項目１から１６のいずれか１項に記載の方法。

（項目１８）
最初の使用後、上記基準識別子を廃棄する、項目１から１５のいずれか１項に記載の方法。

（項目１９）
上記第１の装置と第２の装置のうちの少なくとも１つがマルチユーザ装置である、項目１から１７のいずれか１項に記載の方法。

（項目２０）
上記識別子の少なくとも１つが、数字、文字列、名前、ＩＰアドレス、およびドメイン名の１つ以上を有する、項目１から１９のいずれか１項に記載の方法。

（項目２１）
上記通信ステップ（Ａ６；Ｂ６；Ｃ１２；Ｃ６）で使用される上記認証識別子を上記ユーザの装置を、使用して該ユーザの１人に表示（Ｃ１１；Ｃ５）するステップをさらに包含する、項目１から２０のいずれか１項に記載の方法。

（項目２２）
上記ユーザの装置の画面に上記認証識別子を表示するステップを包含する、項目２１に記載の方法。

（項目２３）
上記通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）ステップにおいて上記ユーザの１人によって受信された上記認証識別子を、上記ユーザの装置に入力（Ａ８；Ｂ８；Ｃ１３；Ｃ８）するステップをさらに包含する、項目１から２２のいずれか１項に記載の方法。

（項目２４）
上記ユーザの装置のキーパッドを使用して上記認証識別子を入力するステップを包含する、項目２３に記載の方法。

（項目２５）
上記認証識別子が上記トランザクションを一意に識別する、項目１から２３のいずれか１項に記載の方法。

（項目２６）
上記通信網が、装置のピアツゥピア通信網である、項目１から２５のいずれか１項に記載の方法。

（項目２７）
同一または異なる通信チャネルを使用してユーザ間に、上記トランザクションの追加認証識別子を通信をするステップと、
上記トランザクションの追加基準識別子として該追加認証識別子を第２の装置に記憶するステップと、
上記セキュア通信路を介して上記第１の装置から上記第２の装置に上記追加認証識別子を送信するステップと、
該セキュア通信路を介して受信した該追加認証識別子と該追加基準識別子とを該第２の装置において比較するステップと、
該比較に基づき、該セキュア通信路を介して上記セキュアトランザクションを実行するステップと
を包含する、項目１から２６のいずれか１項に記載の方法。

（項目２８）
項目１から２７のいずれか１項に記載の方法を使用して複数のメンバを有するグループを維持する方法であって、
セキュアトランザクション（Ａ１５；Ｂ１５；Ｃ２５）を実行するステップが、該グループメンバとして上記第１と第２のユーザ（Ａ，Ｂ）のうちの１つを追加または除去に関連し、該第１と第２のユーザ（Ａ，Ｂ）のうちの他方が、該グループの指定したコーディネータである、方法。

（項目２９）
項目１から２７のいずれか１項に記載された方法を包含する、信頼性の高い通信網を構築する方法。

（項目３０）
第１の装置のユーザが、信頼性の高い通信網の第２の装置のユーザとセキュアトランザクションを実行できるようにするための、信頼性の高い通信網の該第１の装置によって使用される方法であって、
ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第２の装置のユーザと通信（Ａ６，Ｂ６）する該第１の装置のユーザにトランザクションの認証識別子を表示（Ａ５，Ｂ５）するステップか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第２の装置のユーザから該第１の装置のユーザに通信（Ｃ１２；Ｃ６）した該トランザクションの認証識別子を入力（Ｃ１３；Ｃ８）するステップと、
該トランザクションの基準識別子として該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）をするステップと、
該信頼性の高い通信網を介して該２つの装置（１２；２）間に、該ユーザ（Ａ，Ｂ）間の通信チャネル（２０）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
該セキュア通信路を介して該第２の装置から該認証識別子とを受信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
該セキュア通信路を介して受信した該認証識別子と該基準識別子を比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）するステップと、
該比較に基づき、該セキュア接続を介してセキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
を包含する方法。

（項目３１）
第２の装置のユーザが、信頼性の高い通信網の第１の装置のユーザとセキュアトランザクションを実行できるようにするために、信頼性の高い通信網の第２の装置によって使用される方法であって、
該ユーザ（Ａ，Ｂ）間で確立された通信チャネルを使用して、該第１の装置のユーザに対する通信（Ｃ１２；Ｃ６）のために、該第２の装置のユーザに該トランザクションの認証識別子を表示（Ｃ１１；Ｃ５）するステップか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第１の装置のユーザから該第２の装置のユーザに通信（Ａ６，Ｂ６）された該トランザクションの基準識別子として該第１の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）される認証識別子を入力（Ａ８，Ｂ８）するステップと、
該信頼性の高い通信網を介して２つの装置（１２，２）間に、該ユーザ（Ａ，Ｂ）間の該通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
該基準識別子との比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）に、該第１の装置によって使用されるために、上記セキュア通信路を介して、上記第１の装置に該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
該比較に基づき、該セキュア通信路を介してセキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
を包含する、方法。

（項目３２）
信頼性の高い通信網の第１および第２の装置（１２，２）の各々のユーザ（Ａ，Ｂ）が、それらの間でセキュアトランザクションを実行できるようにするシステムであって、
該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）を確立する手段と、
該通信チャネル（２２）を使用して該ユーザ（Ａ，Ｂ）間でトランザクションの認証識別子を通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）する手段と、
該トランザクションの基準識別子として認証識別子を該第１の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）する手段と、
該信頼性の高い通信網を介して該２つの装置間に、該ユーザ（Ａ．Ｂ）間で通信チャネル（２２）が異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２６Ａ；２８Ａ；２６Ｂ；２８Ｂ；２６Ｃ；２８Ｃ）と、
該セキュア通信路を介して該第２の装置から該第１の装置へ該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２２）する手段（３０Ａ，３０Ｂ，３０Ｃ）と、
該セキュア通信路を介して受信した該認証識別子と該基準識別子とを該第１の装置において比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する手段（３４Ａ；３４Ｂ；３４Ｃ；３５Ｃ）と、
該比較に基づき、該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３６Ａ；３８Ａ；３６Ｂ；３８Ｂ；３６Ｃ；３８Ｃ）と、
を備える、システム。

（項目３３）
装置のユーザが、信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするために、該信頼性の高い通信網で使用する装置であって、
該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、他の装置のユーザに対する通信（Ａ６，Ｂ６）のための装置のユーザに対してトランザクションの認証識別子を表示（Ａ５；Ｂ５）する手段（２０Ａ；２０Ｂ；２５Ｃ；２４Ｃ）か、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該他の装置のユーザから該装置のユーザに通信（Ｃ１２；Ｃ６）したトランザクションのための認証識別子を入力（Ｃ１３；Ｃ８）する手段（２０Ａ；２０Ｂ；２５Ｃ；２４Ｃ）と、
該トランザクションの基準識別子として該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）する手段と、
該信頼性の高い通信網を介して、２つの装置（１２，２）間に、ユーザ間で通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２８Ａ；２８Ｂ；２８Ｃ）と、
該セキュア通信路を介して、該他の装置から該認証識別子を受信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）する手段（３２Ａ；３２Ｂ；３２Ｃ）と、
該セキュア通信路を介して受信した該認証識別子と該基準識別子とを比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する手段（３４Ａ；３４Ｂ；３４Ｃ；３５Ｃ）と、
該比較に基づき、該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３６Ａ；３８Ａ；３６Ｂ；３８Ｂ；３６Ｃ；３８Ｃ）と、
を備える、装置。

（項目３４）
装置のユーザが、信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするために、該信頼性の高い通信網で使用される装置であって、
ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して他の装置のユーザに通信（Ｃ１２；Ｃ６）するための該装置のユーザに対して、トランザクションの認証識別子を表示（Ｃ１１；Ｃ５）するか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、他の装置のユーザから装置のユーザに通信（Ａ６，Ｂ６）されたトランザクションのための該認証識別子を入力（Ａ８；Ｂ８）する手段（２１Ｃ；２０Ｃ；２４Ａ；２４Ｂ）と、該認証識別子は、該トランザクションの認証識別子として該他の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）されており、
該信頼性の高い通信網を介して、２つの装置（１２；２）間に、該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２６Ａ；２６Ｂ；２６Ｃ）と、
該基準識別子との比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する際に、該他の装置によって使用されるために、該セキュア通信路を介して他の装置に該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）する手段（３０Ａ；３０Ｂ；３０Ｃ）と、
該比較に基づき、セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３８Ａ；３８Ｂ；３８Ｃ）と
を備える、装置。

（項目３５）
装置にロードされたとき、該装置を項目３３または３４の装置にするオペレーティングプログラム。

（項目３６）
装置上で実行するとき、該装置に項目３０または３１の方法を実行させるオペレーティングプログラム。

（項目３７）
搬送媒体で搬送される、項目３５または３６に記載のオペレーティングプログラム。

（項目３８）
該搬送媒体が伝送媒体である、項目３７に記載のオペレーティングプログラム。

（項目３９）
上記搬送媒体が記憶媒体である、項目３７に記載のオペレーティングプログラム。

（概要）
信頼性の高い通信網の第１と第２の装置（１２，２）の各々のユーザ（Ａ，Ｂ）が、それらの間でセキュアトランザクションを実行できる方法を提供する。電話による会話などの通信チャネルがユーザ（Ａ，Ｂ）間で確立される。トランザクションの認証識別子が、通信チャネル（２２）を使用してユーザ（Ａ，Ｂ）間で通信される。認証識別子が、トランザクションの基準識別子として第１の装置（１２）で記憶（Ａ３）される。信頼性の高い通信網（Ａ１０）を介して２つの装置（１２，２）間でセキュア通信路が開設される。なお、セキュア通信路はユーザ（Ａ，Ｂ）の通信チャネルに対して異なる。セキュア通信路を介して第２の装置（２）から第１の装置（１２）に認証識別子が送信される。セキュア通信路を介して受信した認証識別子は、第１の装置（１２）で基準識別子と比較（Ａ１２）される。比較に基づいて、セキュア通信路（Ａ１５）を介してセキュアトランザクションが実行される

図１は、４つの通信網装置２，４，６，８と識別子解決サービス１０を備える信頼性の高い装置通信網１を示す。本発明の一実施形態は、上記のような予め確立された装置の信頼性の高い通信網１に基づいている。少なくとも所定のセキュリティレベルにまで達する完全なセキュリティ（機密性、完全性、および認証）を有する他の装置に装置がメッセージを送信できる場合、このコンテキストにおいて通信網は信頼性が高いと考えられる。信頼性の高い通信網とは、装置および／またはユーザが提供するセキュリティレベルが信頼できることを意味している。本発明の一実施形態の基礎を構成する信頼性の高い装置通信網は、人々の間の通信を安全にすることも含む上述したセキュリィティとアドレッシングインフラストラクチャと異なることに留意されたい。

信頼性の高い通信網１の装置２，４，６，８は、各々一意の識別子（ＩＤ）を有している。識別子が信頼性の高い通信網で一意である限り、識別子は数字、名前、インターネットのＩＰアドレス、ドメイン名、または何らかの他の文字列であり得る。ユーザの介入なく装置の製造者により装置の信頼性の高い通信網を設定できる。装置識別子解決サービス１０の目的は、以下に追記するように、一意の装置識別子を信頼性の高い通信網１の実際のアドレスに解決（ｒｅｓｏｌｖｅ）することであり、識別子を実際のアドレスに解決する任意の手段が許されている。

通信網を確立する方法は重要ではないが、装置の信頼性の高い通信網を設定できる１つの方法を以下に示す。製造された各々の装置には、数字列から構成される一意の識別子が割り当てられる。例えば、１，０００，０００個の装置の製造を予定している場合には、６桁の識別子で十分であろう。ＰＫＩのために、この識別子としては、装置の電子身分証明書が検討されている。各々の装置に対して公開／秘密鍵対が生成される。生成された公開鍵は装置に記憶される。公開鍵と装置識別子が認証局により署名される（製造者や第三者により運営可能である）。結果として得られた公開鍵証明書も装置に記憶される。認証局の公開鍵証明書（おそらく、Ｖｅｒｉｓｉｇｎなどの権威のある認証局が署名）が各装置に記録される。この例において、装置は不正な干渉に耐性でなければならない。例えば、暗号化ソフトウェアに加えて、上記の鍵と識別子の全ては、装置や信頼性の高い装置通信網により不正に干渉される危険性を無くすために装置のスマートチップに記憶できる。

各々の装置には公衆通信網に接続する機能が与えられている。例えば、インターネットが目標通信網である場合には、各々の装置にはＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、インターネットを支配するプロトコルセット）を使用する機能が与えられている。信頼性の高い通信網を実現するには、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ、ＴＣＰを介したプロコトル層）を使用する機能も各装置に与えられている。双方向認証によりＳＳＬを使用してお互いの間で完全に安全な接続を装置が開設できる。ＳＳＬは機密性、完全性、および認証を保障する。

ＩＰアドレスの装置識別子の解決にもあるメカニズムが必要である。装置のＩＰアドレスは、時間の経過に伴い変化するかも知れないが、装置識別子は一定である。識別子解決の実際の手段は重要ではない。例えば、図１の通信網１において、中央識別子解決サービス１０は、装置識別子をＩＰアドレスに変換するのに使用される。その代替として、Ｐ２Ｐ解決方式も使用可能であり、その場合、信頼性の高い通信網の他の装置が分散解決サービスを提供する。

例えば、以下のようなサービスを提供して、装置製造者または第三者により解決サービス１０を提供できる。新しい装置が通信網に接続したとき、または装置のＩＰアドレスが変更されたとき、解決サービスに装置が接続して（信頼性の高い装置通信網を介して、信頼性の高い装置でサービスが実行される）、その識別子と現在のＩＰアドレスの解決サービスに通知する。サービスがこの情報をテーブルに格納する。第１の装置の識別子に与えられた第１の装置のＩＰアドレスを第２の装置が必要とするとき、解決サービスに接続して、第１の装置の識別子のＩＰアドレスを要求する。このサービスはテーブルを参照して、そこに格納されたＩＰアドレスを返す。次いで、この情報を第２の装置に記憶（キャッシュ）して、解決サービスに連続的に接続する必要性を軽減する。

本発明の一実施形態は、上述したように、上記のセキュア通信網を使用してセキュアトランザクションを開始する方法を提供する。図２から１０を参照して以下に記載する実施形態がコンテキストに示されている。ここで、セキュアトランザクションは、グループメンバまたはユーザ（例えば、グループの新規メンバの追加）の構成と管理を可能にする１つであるが、開始されたセキュアトランザクションの種類は、これに限定することを意図していないことを理解するだろう。

本発明の３つの特定の実施形態を説明する。第１の実施形態を図２から４を参照して説明し、第２の実施形態を図５から７を参照して説明し、第３の実施形態を図８から１０を参照して説明する。

第１から第３の実施形態の各々において、既存グループＧ（図４，７，１０参照）は、Ｍ１からＭ５の５つのメンバを有しており、そのうち、メンバＭ１は装置４を使用し、メンバＭ２とＭ３は装置６を使用し、メンバＭ４とＭ５は装置８を使用する。１人の人がグループ所有者Ｂとして指定されており、このグループ所有者Ｂは装置２を使用している。各実施形態において、状況が説明されており、そこでは、装置１２を使用する新規ユーザＡがグループＧに加入し、セキュアトランザクションが、各々の場合において、装置２と１２の間で実行され、新規ユーザＡをグループＧに加入できるようにする。以下に記載にするように、関連する第三者と装置の間で情報が交換された後、セキュアトランザクションが開始される。

図２から４を参照して第１の実施形態を説明する。第１の実施形態において、新規ユーザＡがグループ登録を開始し、処理に加入する。図２は、新規ユーザＡ，所有者Ｂ，およびそれらの各々の装置１２，２間を渡されるメッセージシーケンスを示すメッセージ交換図である。図３は、特に新規ユーザの装置１２と所有者の装置２の処理の流れを示す図２に示す処理の別の図を示すフローチャートである。図４は、様々な第三者と装置およびそれらの通信方法を示す概略図である。

ステップＡ１で、新規ユーザＡがユーザの装置１２への加入要求を発する。ユーザのユーザ名とパスワードを使用する際に、装置１２がユーザＡにログし、新しいユーザ名とパスワードを生成することを要求し、その結果、装置１２にユーザ名テーブルが局所的に格納される。所定のグループ形成ポリシに従って、グループ内のユーザを識別するユーザ識別子にユーザ名が関連している。

ステップＡ２で、ユーザＡの装置１２が認証識別子を生成する。この実施形態において、認証識別子は４ビットのランダム番号であり、図４に示す図式的例は、数字「１２３４」である。

ステップＡ３で、認証識別子「１２３４」が、後で使用する基準識別子「１２３４」としてユーザＡの装置１２に記憶される。基準識別子「１２３４」はユーザ名に関連しており、装置１２のテーブルに格納される。タイムスタンプも基準識別子「１２３４」に関連しており、テーブルに格納される。

ステップＡ４で、ユーザＡの装置１２が、ユーザＡの装置識別子「５５５５５５」と認証識別子「１２３４」を含むトランザクションコードを生成する。この実施形態において、認証識別子「１２３４」を装置識別子「５５５５５５」に付加して、トランザクションコードを生成すると、１０桁のトランザクションコード「５５５５５５１２３４」になる。

ステップＡ５で、ユーザＡの装置１２の表示部２０Ａが、グループＧの所有者Ｂを呼び出すことをユーザＡに指示する適切なメッセージと一緒に、例えばディスプレイを使用して、ユーザＡにトランザクションコード「５５５５５５１２３４」を送るか表示するように動作する。グループＧの所有者ＢにユーザＡが加入することを希望し、このように所有者Ｂにトランザクションコード「５５５５５５１２３４」を送信する。

ステップＡ６で、通信チャネル２２として、音声通話を使用してユーザＡが所有者Ｂにトランザクションコード「５５５５５５１２３４」を送信し、どのグループに加入することを希望するのか示し、所有管理者は１グループ以上でなければならない。

ステップＡ７で、トランザクションコード「５５５５５５１２３４」を受信したグループ所有者Ｂが、装置２で登録セッションを開始する。１つ以上のグループを所有者が所有している場合には、新規ユーザＡに事前に同意したグループを選択する。所有者Ｂのユーザ名とパスワードを装置２に要求して、認証された所有者であることを保障する。

ステップＡ８で、入力部２４Ａを使用して、所有者Ｂが装置２にトランザクションコードを入力する。この実施形態において、数字キーパッドが入力部２４Ａとして使用されている。

ステップＡ９で、所有者Ｂの装置２が、トランザクションコード「５５５５５５１２３４」から装置識別子「５５５５５５」と認証識別子「１２３４」を抽出する。上述した解決サービス１０を装置２が参照して、識別子「５５５５５５」をユーザＡの装置１２のＩＰアドレスに解決する。

ステップＡ１０で、所有者Ｂの装置が部位２６Ａを使用し、双方向認証によりＳＳＬを使用して装置１２の部位２８Ａを介したユーザＡの装置１２とのセキュア通信路を開設する。公開鍵証明書と証明局の公開鍵証明書を使用して装置２，１２がお互いに認証する。もしいずれかの認証が失敗した場合には、接続を閉じて、登録セッションを中断する。

ステップＡ１１で、所定の登録プロトコルの第１のステップにおいて、所有者Ｂの装置２が部位３０Ａを使用して、セキュア通信路を介してユーザの装置に認証識別子「１２３４」を送信する。上記の登録プロトコルにおいて、「ｉｎｖｉｔｅ＜ｖｅｒｉｆｉｃａｔｉｏｎ ｉｄｅｎｔｉｆｉｅｒ＞」形式を有することができる。部位３２Ａを使用し、セキュア通信路を介して、ユーザＡの装置１２で認証識別子「１２３４」が受信される。

ステップＡ１２で、この実施形態において記憶された基準識別子「１２３４」を含む記憶された基準識別子テーブルをユーザＡの装置１２が参照し、比較部３４Ａを使用して、受信した認証識別子「１２３４」と記憶された基準識別子の各々と比較する。受信した認証識別子「１２３４」と記憶された認証識別子「１２３４」の１つの一致を検証する。また、テーブルに予め格納されたタイムスタンプからの経過時間が、予想閾値以下であるかも検証する。この閾値以上である場合には、基準閾値が廃棄される。

ステップＡ１３で、これらの要件が両方とも満たされたか否かについてと、この決定に基づき、後述するステップＡ１４とＡ１５が実行されるか否かについて判断がなされる。認証が失敗した場合には、ステップＡ１６に従ってユーザＡの装置１２が接続を閉じ、登録セッションを中断する。いかなる場合でも、基準識別子「１２３４」は削除されてしまうので、再び使用することはできない。

一方、両方の認証が成功した場合には、ユーザＡの装置１２が所有者Ｂの装置２に応答して、ステップＡ１４に処理が進み、所定の登録プロトコルの第２ステップとして、登録を承認することを示す。上記の登録プロトコルにおいて、メッセージは「ａｃｃｅｐｔｅｄ」形式を有することができる。

ステップＡ１５で、２つの装置１２，２が各々の部位３６Ａ，３８Ａを使用して、新規ユーザをグループに加入するために、グループ形成ポリシで規定されたプロトコルを使用してセキュアトランザクションを実行する。使用した特定のグループ加入セッションは重要ではなく、採用した特定のポリシに依存する。上記の実施形態において、ユーザＡの装置１２は、所有者Ｂの装置にユーザ識別子（および、おそらくユーザ名（上述したステップＡ１を参照する）と他のユーザ特定情報を送信する。その代わりに、グループ内において一意であることを保障するために、セッション中にユーザ識別子を生成することができる。所有者Ｂの装置２は、ユーザＡの装置１２にグループ識別子を送信する。所有者Ｂの装置２も、グループメンバの現在の名簿（例えば、ユーザ識別子リスト）をユーザＡの装置１２に送信し得る。全てのこの情報は、各々の装置２，１２のテーブルに格納される。ユーザＡはグループＧに加入する。グループ加入セッションは後日に延期することもできる。

最後に、ステップＡ１６で，接続が閉じる。グルームメンバはここでグループポリシにより規定された何らかの手段により情報を送信して交換できる。

ステップＡ１，Ａ１５で示唆された別のグループポリシも使用可能であり、これにより装置からの、より大きな独立性、より大きな柔軟性、およびより厳重なセキュリティを可能にする。

第１の実施形態において。認証識別子が１方向にアウトオブバンド送信（通信チャネル２２を使用して）され、反対方向にインバンド送信（セキュア通信路を使用して）される。このコンテキストで「アウトオブバンド」は、セキュアトランザクションが実行されるセキュア通信路（インバンドチャネル）への別の通信チャネルを使用することを意味する。そのため、本発明の一実施形態において、認証識別子が２つの別のチャネルを介して送信され、そのうちの１つがセキュア通信路であり、セキュアトランザクションがセキュア通信路を介して行われる前に認証される。

どのような暗号化もそれに関連するセキュリティ技術も必要としないので、アウトオブバンドチャネルは技術的意味において安全にする必要はない。しかしながら、双方のユーザによりセキュリティレベルが信頼されていれば、人間の感覚では安全であり得る。セキュリティは極めて低く、例えば、電話は盗み聞きされることもあるが、このセキュリティレベルは、ユーザとグループ形成ポリシにとっては十分であるかも知れない。技術的な意味ではないが、ユーザを互いに認識可能にすることが好ましい。例えば、このことは重要ではないが、お互いの音声により認識できることが好ましい。アウトオブバンド通信チャネルの他の例は、ユーザ間のある種の物理的接触（物理メッセージを交換）、直接音声通信、ユーザ間の装置読み出し可能記憶装置の転送、電子メール、およびショートメッセージサービスを含む。前回のセキュアトランザクションで既にに上述したことを設定した場合には、アウトオブバンドチャネルとして装置間のセキュア通信路もユーザが使用することができる。

第１の実施形態において、アウトオブバンド認証識別子と同じ方向にアウトオブバンド装置識別子が送信される。一般に、他の実施形態の場合、装置がセキュア通信路を開始するか否かは、他の装置の装置識別子を学習しなければならない。装置識別子の通信は、基準識別子の通信と同じチャネルである必要はなく、基準識別子の通信と同時に行う必要もないことが理解されるであろう。アウトオブバンド通信は、緩いまたは厳重なセキュリティを有するが、類似しており、他の識別子と通信をするために使用できる。

図５から図７を参照して第２の実施形態を説明する。第２の実施形態は第１の実施形態に類似しているが、グループＧへの加入ユーザＡの加入を誘ってグループ登録や加入手続きを開始するのがグループ所有者Ｂである点において、主として異なる。図５は、新規ユーザＡ、所有者Ｂ、およびそれらの各々の装置１２，２間を通過するメッセージシーケンスを示すメッセージ交換図である。図６は、新規ユーザの装置１２と所有者の装置２の処理の流れを示す図５に示す処理の別の図を示すフローチャートである。図７は、様々な第三者と装置およびそれらの通信方法を示す概略図である。同一参照符号は、同一構成要素と方法ステップを示す。

第１と第２の実施形態が非常に類似しているので、第２の実施形態の処理を詳細に説明する必要はなく、図５から図７に示すステップの要約を述べるだけで十分である。方法ステップまたは密接に関連する部品を示す第１と第２の実施形態間の対応は、当業者に容易に明らかであり、類似の参照符号（例えば、Ａ１／Ｂ１と３０Ａ／３０Ｂ）で示す。

Ｂ１ 所有者Ｂが所有者Ｂの装置２に加入要求を開始する。

Ｂ２ 所有者Ｂの装置２が認証識別子を生成する。

Ｂ３ 所有者Ｂの装置２が認証識別子を後で使用する基準識別子として装置２に記憶する。

Ｂ４ 所有者Ｂの装置２が所有者Ｂの装置識別子と認証識別子から構成されるトランザクションコードを生成する。

Ｂ５ 所有者Ｂの装置２のトランザクションコードを所有者Ｂに送信する。

Ｂ６ 所有者Ｂがアウトオブバンドチャネル２２によってトランザクションコードを新規ユーザＡに送信する。

Ｂ７ ユーザＡがユーザＡの装置１２での登録セッションを開始する。

Ｂ８ ユーザＡが受信したトランザクションコードをユーザＡの装置１２に入力する。

Ｂ９ ユーザＡの装置１２がトランザクションコードの装置識別子を所有者Ｂの装置２のアドレスに解決する。

Ｂ１０ ユーザＡの装置１２が所有者Ｂの装置２への接続を開設する（信頼性の高い装置通信網により）。

Ｂ１１ ユーザＡの装置１２が認証識別子を所有者Ｂの装置２に送信する。

Ｂ１２ 所有者Ｂの装置２が記憶された基準識別子に対して認証識別子を認証する。

Ｂ１３ 認証されない場合には、所有者Ｂの装置２が接続を閉じる。

Ｂ１４ 認証された場合には、所有者Ｂの装置２が装置２からの基準識別子を削除して、ユーザＡの装置１２に応答して登録を承認する。

Ｂ１５ グループ形成ポリシに従ってユーザＡの所有者Ｂのグループに加入させるために、ユーザＡの装置と所有者Ｂの装置が、セキュア通信路を介してセキュアトランザクションを開始する。

Ｂ１６ セキュア通信路を閉じる。

第２の実施形態において、第１の実施形態と同様に、１方向に認証識別子がアウトオブバンド送信され（通信チャネル２２を使用して）、反対方向にインバンド送信（セキュア通信路を使用して）される。また、第１の実施形態と同様に、アウトオブバンド認証識別子と同じ方向に装置識別子をアウトオブバンド送信する。

図８から１０を参照して第３の実施形態を説明する。第３の実施形態において、第１の実施形態に関して、新規ユーザＡがグループ登録または加入手続きを開始する。図８は、新規ユーザＡ，所有者Ｂ、およびそれらの各々の装置１２、２の間で転送されるメッセージシーケンスを示すメッセージ交換図を示す。図９は、特に新規ユーザの装置１２と所有者の装置２の処理の流れを示す図８に示す手続きの別の図を示すフローチャートである。図１０は、各種構成要素と装置およびそれら通信方法を示す概略図である。

第３の実施形態は、第１の実施形態と多くの類似点を有しているため、第３の実施形態の手続きを詳細に説明する必要はなく、以下に示すような図８から１０に示すステップの簡単な要約を示すだけで十分である。第１と第３の実施形態の主要な差異と類似点を以下に示す。

Ｃ１ ユーザＡがユーザＡの装置１２で加入要求を開始する。

Ｃ２ ユーザＡの装置１２が認証識別子「１２３４」を生成する。

Ｃ３ ユーザＡの装置１２が後で使用するために装置１２に認証識別子を記憶する。

Ｃ４ ユーザＡの装置１２がユーザＡの装置識別子と認証識別子から構成されるトランザクションコード「５５５５５５１２３４」を生成する。

Ｃ５ ユーザＡの装置１２が部位２０Ｃ（例えば、ディスプレイ）を使用してトランザクションコード「５５５５５５１２３４」をユーザＡに送信するまたは表示する。

Ｃ６ ユーザＡがアウトオブバンドチャネル２２によりトランザクションコード「５５５５５５１２３４」を所有者Ｂに送信する。

Ｃ７ 所有者Ｂが所有者Ｂの装置２で登録セッションを開始する。

Ｃ８ 所有者Ｂが部位２４Ｃ（例えば、キーパッド）を使用して所有者Ｂの装置２で受信したトランザクションコード「５５５５５５１２３４」を入力する。

Ｃ９ 所有者Ｂの装置２がトランザクションコードから抽出した基準識別子として使用される認証ＩＤ「１２３４」を記憶する。

Ｃ１０ 所有者Ｂの装置２が認証識別子「６７８９」をさらに生成し、後で使用するためにそれを記憶する。

Ｃ１１ 所有者Ｂの装置２が部位２１Ｃ（例えば、ディスプレイ）を使用して追加認証識別子「６７８９」を所有者Ｂに表示する。

Ｃ１２ 所有者Ｂがアウトオブバンドチャネル２２により追加認証識別子「６７８９」をユーザＡに送信する。

Ｃ１３ ユーザＡが部位２５Ｃ（例えば、キーパッド）を使用してユーザＡの装置１２で追加認証識別子「６７８９」を入力する。

Ｃ１４ 後で使用するために基準識別子として追加認証識別子「６７８９」を装置１２に記憶する。

Ｃ１５ 所有者Ｂの装置２がユーザＡの装置１２識別子をユーザＡの装置１２のアドレスに解決する。

Ｃ１６ 所有者Ｂの装置２が部位２６Ｃと２８Ｃを使用してユーザＡの装置１２へのセキュア通信路を開設する（信頼性の高い装置通信網により）。

Ｃ１７ 所有者Ｂの装置２が部位３０Ｃと３２Ｃを使用しセキュア通信路を介してユーザＡの装置に追加認証識別子「６７８９」を送信する。

Ｃ１８ ユーザＡの装置１２が部位３４Ｃを使用し予め記憶された追加基準識別子（ステップＣ１４で）に対して追加認証識別子を認証する。

Ｃ１９ 認証されない場合には、ユーザＡの装置１２が接続を閉じる。

Ｃ２０ 認証された場合には、ユーザＡの装置１２が装置１２から追加認証識別子を削除し、所有者Ｂの装置２に応答して登録を承認する。

Ｃ２１ ユーザＡの装置１２がセキュア通信路を介して所有者Ｂの装置２に認証識別子「１２３４」を送信する。

Ｃ２２ 所有者Ｂの装置２が部位３５Ｃを使用し、予め記憶した基準識別子（ステップ９Ｃで）に対して認証識別子を認証する。

Ｃ２３ 認証されない場合には、接続を閉じる。

Ｃ２４ 認証された場合には、所有者Ｂの装置２が装置２から基準識別子を削除し、ユーザＡの装置１２に応答して登録を承認する。

Ｃ２５ ユーザＡの装置１２と所有者Ｂの装置２が、グループ形成ポリシに従いユーザＡを所有者Ｂのグループに加入させるためにセキュア通信路を介してセキュアトランザクションを実行する。

Ｃ２６ セキュア通信路を閉じる。

第１と第２の実施形態と異なり第３の実施形態は、実行すべき２つの認証を要求する（ステップＣ２２とＣ１８で）。第１の認証は、ステップＣ２１の同じ認証識別子の同じ方向のインバンド通信に結合したステップＣ６の（ステップＣ４で生成されたトランザクションコードの一部として）認証識別子のアウトオブバンド通信に依存している。第２または追加認証は、ステップＣ１７の認証識別子（ステップＣ１０で生成）の同じ方向のインバンド通信に結合したステップＣ１２の追加認証識別子のアウトオブバンド通信に依存している。

よって、第３の実施形態において、第１と第２の実施形態と異なり、認証識別子と追加認証識別子は同じ方向にアウトオブバンド（通信チャネル２２を使用して）とインバンド（セキュア通信路を使用して）送信される。装置識別子が第１のアウトオブバンド認証識別子と同じ方向のアウトオブバンド送信される。

第３の実施形態は、余分なセキュリティを提供するが、第３の実施形態のような２つの認証を行うことは重要でない。多数の認証が独立に行われる。反対方向の認証型（第１と第２の実施形態に記載したように）または多数の認証の何らかのその他の組み合わせと同じ方向の認証型（第３の実施形態に記載したように）に結合することが可能である。

上述したように、本発明の一実施形態において、ユーザの双方が信頼するアウトオブバンドチャネル（つまり、セキュアトランザクションが行われるチャネル以外のチャネル）によりトランザクションコードを交換できる。最も簡単で便利なチャネルは音声通話であり、これは簡単な認証を提供する、
しかしながら、その他の任意のチャネルも許されている。これには、物理的接触、取り外し可能記憶装置（ディスク、メモリカードなど）、電子メール、郵便、ＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｅ Ｓｅｒｖｉｃｅ）、その他のセキュアグループ、またはその他の任意のメッセージ配送システムといったものを含まれるが、これらに限定されない。

一意の装置識別子と認証識別子からの何らかの手段によりトランザクションコードを形成できる。このうちの１つの方法が一方を他方に付加するものである。別の方法が２つの識別子の可逆可能機能を使用することである（受取人がそれを復号できる）。他の方法は当業者に容易に明らかである。認証識別子と装置識別子を含むトランザクションコードを使用することは重要でなく、情報のこれら２つの項目を個別に送信できるが、必ずしも同時である必要はないことことが理解されるであろう。

認証識別子とトランザクションコードは、アウトオブバンドチャネルを介して送信できる任意の文字列またはビット列であり得、１０進の短かい文字列が好ましい。ランダムに生成された数字として認証識別子を上記に記載したが、このことは重要ではない。例えば、装置ユーザによっても選択することができる。

認証識別子がトランザクションを一意に識別するか、またはある空間か時間領域を少なくとも一意に識別しなければならないのが好ましいので、多数のトランザクションが開始される場合でも、１つのトランザクションの認証識別子は別のトランザクションの認証識別子と混乱しないだろう。上記の認証識別子は、トランザクションを（ａ）識別し、（ｂ）確実にするために使用できる。ランダムに生成された認証識別子の場合、十分に大きな数字プールからランダムに数字が選択されると、一意性の承認レベルに十分であるか、さもなければ、任意の時間に１回以上数字を必要としないように構成できる。

ところが、多数のトランザクションが行われないか、別のトランザクションが開始される前に、認証識別子と対応する記憶された基準識別子が廃棄されることが知られている場合には、一意の認証識別子を必要としない。例えば、２つの認証を要求する（各方向に１つ）第３の実施形態において、基本的な追加認証識別子が、２つの装置の装置識別子であり、装置識別子を含む全体的な認証識別子を効果的に形成する。これは、２つの装置間に存在するとして一意にトランザクションを識別するであろう、同じ２つの装置間の多数の同時トランザクションを識別しないだろうが、十分かも知れない。同様に、複数の装置の１つの装置識別子を基準識別子としてのみ使用することは十分かも知れず、それらの装置が多数のトランザクションが同時に開始されない場合には十分であろう。そのため、本発明を実施する方法で認証識別子を使用することにより、それを確認しない場合、トランザクションを保障する方法を少なくとも提供する。

上述したように、認証識別子および／または関連する基準識別子は、所定の時間期間後消滅する。所定の使用回数後、例えば、１回の使用後、認証識別子および／または関連する基準識別子も廃棄されるか、さもなければマークされて再び使用できなくなる。

ユーザに要求される唯一の動作が、他のユーザに電話をして、短いメッセージを交換することであるので、本発明を実施する方法は、簡単でユーザにとって便利である。信頼性の高い通信網以外のインフラストラクチャを必要とせず、予め設定した基準識別子をユーザが要求しない。（ａ）２人のユーザが要求された信頼性レベルに同意した信頼性の高いアウトオブバンド通信に依存しており、（ｂ）全ての後続するトランザクションが信頼性の高いセキュア通信網を介して実行されるので、本発明を実施するシステムは安全である。

幾つかの試み（ａｔｔａｃｋ）が可能である。ある試みでは、第三者がアウトオブバンド通信を盗聴してトランザクションコードを取得し、それを自分の装置に入力することである。それとは異なり、そのような事態が発生した場合には、第三者は彼と一緒にセキュアトランザクションをユーザＡに開始させるか（第１の実施形態）、所有者Ｂとセキュアトランザクションを彼自身に開始させるか（第２の実施形態）、または何もしないか（第３の実施形態）のいずれかを行うことができる。グループに加入するコンテキストにおいて、第２の実施形態に付随する問題は、最も深刻であるため、第１と第３の実施形態が実際上好ましい。

第２の試みでは、第三者が所有者であると偽って、偽りの認証識別子をセキュア通信路を介して新規ユーザの装置に送信して、新規ユーザとトランザクションを開始しようとすることである（新規ユーザとアウトオブバンド通信を予め実行することなく）。特に認証識別子を十分大きなプールから選択した場合など、この試みはとても成功しそうにない。同じ装置が偽りの識別子と一緒に接続要求の送信を継続をする場合、受信装置によりブラックリストに記載されることになる。

第３の試みでは、信頼性の高い装置通信網（つまり、公衆通信網で）以外の装置を有する第三者が、信頼性の高い通信網の装置に接続しようとするか、さもなければ通信に干渉する。セキュアネットワークが想定されるので、上記の試みは失敗に帰すでああろう。

上述したように、本発明の一実施形態は、特定のグループ形成ポリシ、提供されるセキュリティレベル、グループネットワークのトポロジ、グループで情報を送信する方法、またはグループポリシに関連する何らかのその他のグループ関連動作に限定されない。例えば、グループは共用鍵を用いて、全てのグループメッセージを暗号化し、ブロードキャスト技術を用いて全てのグループメンバにメッセージを送ることができる。または、グループメンバはメッセージを暗号化して、それを対で送信することができる。あるいは、グループメンバは、メッセージの一部または全てでセキュリティを選択しない可能性がある。その他の方式は当業者に容易に明らかであろう。

本発明の一実施形態は、適切な装置を使用して一群の人により使用することができるか、何らかの目的のためにそれ自身の間で安全な専用通信網を設定することができる。この設定は簡単で便利であるが、予め設定された電子身分証明書を人に要求しない。

例えば、様々な家庭の間にＶＰＮ（仮想専用通信網）を家族が設定できる。このシナリオにおいて、テレビ、セットトップボックス、ＤＶＤプレーヤ／レコーダ、個人マルチメディアプレーヤ、デジタビデオレコーダ（ＤＶＲまたはＰＶＲ）、またはその他の何らかの家庭用機器やコンシューマ電子機器にこのシステムを搭載できる。家族がＶＰＮを設定し、文字、音声、または映像により厳重なセキュリティで互いに通信する。または写真、家庭用ビデオ、物語などのマルチメディアを安全に共用できる。

別の応用において、移動インターネット（電話、ＰＤＡ，およびラップトップなどの移動機）のユーザが、セキュアトランザクションを簡単に実行するか、通信と共用にセキュアグループを設定できる。

ビジネス応用においては、ビジネスユーザが、セキュアグループを簡単に設定して協力できる。ＰＣ，ラップトップ、ＰＤＡ、映写機、またはその他のＩ／Ｏ機器といったビジネス関連機器にこのシステムを搭載できる。

上述したように、グループが保持を可能にすることに加えて、本発明を実施する方法は、信頼性のある通信網の構成にも安全に使用できる。一例を挙げると、データベース、メモリ、記憶装置、装置、およびプロセッサなどのネットワーク資源を利用またはアクセスするユーザの権利を追加変更したり、支払い機構を設定したり、またはニュース供給、配信サービス、または通信サービスなどのサービスの設定がある。

ユーザ装置１２と所有者の装置２の一部また全ての上記の機能は、ソフトウェアかハードウェア、またはその組み合わせで実施可能であることが理解されるであろう。この目的のためのオペレーティングプログラムは、装置読み出し可能媒体に記録することができるが、例えば、インターネットウェブサイトから提供された配信可能データ信号などの信号で実施可能である。添付したクレームは、それ自身によってか、搬送物の記録としてか、信号としてか、または何らかの別の形式によるオペレーティングプログラムを網羅するものと解釈される。

本発明の一実施形態の基礎を構成する信頼性の高い装置通信網を示す。 本発明の第１の実施形態において、新規ユーザ、グループ所有者、およびそれらの各々の装置間で渡されるメッセージシーケンスを示すメッセージ交換図である。 新規ユーザの装置と所有者の装置により実行される処理の一部を示す図２に示す処理の別の図を示すフローチャートである。 第１の実施形態の様々な第三者と装置間の通信を示す概略図である。 本発明の第２の実施形態で新規ユーザ、グループ所有者、およびそれらの各々の装置間で渡されるメッセージシーケンスを示すメッセージ交換図である。 新規ユーザの装置と所有者の装置により実行される処理の一部を示す図５に示す処理の別の図を示すフローチャートである。 第２の実施形態の様々な第三者と装置間の通信を示す概略図である。 本発明の第３の実施形態で新規ユーザ、グループ所有者、およびそれらの各々の装置間で渡されるメッセージシーケンスを示すメッセージ交換図である。 新規ユーザの装置と所有者の装置により実行される処理の一部を示す図８に示す処理の別の図を示すフローチャートである。 第３の実施形態の様々な第三者と装置間の通信を示す概略図である。

符号の説明

２ 第２（所有者）の装置
４，６，８ 通信網装置
１２ 第１（新規ユーザ）の装置
１０ 装置識別サービス
２２ 通信チャネル
Ａ 新規ユーザ
Ｂ 所有者
ＭＡ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５ メンバ

Claims (39)

1. 信頼性の高い通信網の第１と第２の装置（１２，２）の各々のユーザ（Ａ，Ｂ）が、該第１と第２の装置の間でセキュアトランザクションを実行できるようにする方法であって、
   該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）を確立するステップと、
   該通信チャネル（２２）を使用して、該ユーザ（Ａ，Ｂ）間でトランザクションの認証識別子を通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）するステップと、
   該トランザクションのトランザクション基準識別子として、該第１の装置で該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）するステップと、
   該信頼性の高い通信網を介して該２つの装置（１２，２）の間で該ユーザ（Ａ，Ｂ）の通信チャネルに対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
   該セキュア通信路を介して該第２の装置から該第１の装置へ該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
   該セキュア通信路を介して受信した該認証識別子と該基準識別子とを該第１の装置で比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）するステップと、
   該比較に基づき該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
   を包含する方法。
2. 前記比較の結果、前記認証と前記基準識別子が一致する場合にのみ、前記セキュアトランザクションを実行するステップを含む、請求項１に記載の方法。
3. 前記比較の結果、前記認証と前記基準識別子間が一致しない場合に、前記セキュア通信路を閉じる（Ａ１６；Ｂ１６；Ｃ２６）ステップを含む、請求項１または２に記載の方法。
4. 前記通信網において前記第１の装置を示す前記第１の装置識別子を前記第１のユーザから前記第２のユーザに通信するステップと、
   第２のセキュア通信路を開始するために、前記第１の装置識別子を前記第２の装置で使用（Ａ９；Ｂ９；Ｃ１５）するステップと
   をさらに包含する請求項１，２，または３に記載の方法。
5. 前記第１の装置識別子が前記ユーザ（Ａ，Ｂ）間で前記通信チャネル（２２）を使用して通信される、請求項４に記載の方法。
6. 前記認証識別子が前記通信チャネル（２２）を使用して前記第１のユーザから前記第２のユーザに送信され（Ａ６；Ｂ６）、
   前記送信するステップ（Ａ１１；Ｂ１１）で使用される前記第２の装置へ前記認証識別子を入力（Ａ８；Ｂ８）するステップをさらに包含する、請求項１から５のいずれか１項に記載の方法。
7. 前記第１の装置において前記認証識別子を生成（Ａ２；Ｂ２）するステップをさらに包含する、請求項６に記載の方法。
8. 請求項４に従属しているとき、前記第１の装置識別子と前記認証識別子を含む単一のトランザクションコードを前記第１のユーザから前記第２のユーザに通信する（Ａ６；Ｂ６）するステップをさらに含む、請求項６または７に記載の方法。
9. 前記第１の装置識別子を前記認証識別子に付加して前記トランザクションコードが生成される、請求項８に記載の方法。
10. 請求項４に従属しているとき、前記第１の装置識別子が前記認証識別子として使用される、請求項６に記載の方法。
11. 前記通信チャネル（２２）を使用して前記第２のユーザから前記第１のユーザに前記認証識別子を送信（Ｃ１２；Ｃ６）し、前記記憶ステップ（Ｃ１４；Ｃ９）での使用のために、前記第１の装置に前記認証識別子を入力（Ｃ１３，Ｃ８）するステップをさらに包含する、請求項１から５に記載の方法。
12. 前記第２の装置において前記認証識別子を生成する（Ｃ１０；Ｃ２）するステップをさらに包含する、請求１１に記載の方法。
13. 前記通信網において前記第２の装置を示す第２の装置識別子を前記認証識別子として使用する、請求項１１に記載の方法。
14. 前記認証識別子として使用するランダム番号を生成するステップを包含する、請求項７または１２に記載の方法。
15. 前記通信チャネルが前記第１と第２のユーザによって信頼される通信チャネルである、請求項１から１４のいずれか１項に記載の方法。
16. 前記通信チャネルが、ユーザ間の通話、ユーザ間の物理的接触、ユーザ間の直接音声通信、ユーザ間の装置読み出し可能記憶媒体の転送、電子メール、およびショートメッセージサービスのうちの１つ以上である、上記いずれか１項に記載の方法。
17. 所定の時間期間の後に、前記基準識別子を廃棄するステップをさらに包含する、請求項１から１６のいずれか１項に記載の方法。
18. 最初の使用後、前記基準識別子を廃棄する、請求項１から１５のいずれか１項に記載の方法。
19. 前記第１の装置と第２の装置のうちの少なくとも１つがマルチユーザ装置である、請求項１から１７のいずれか１項に記載の方法。
20. 前記識別子の少なくとも１つが、数字、文字列、名前、ＩＰアドレス、およびドメイン名の１つ以上を有する、請求項１から１９のいずれか１項に記載の方法。
21. 前記通信ステップ（Ａ６；Ｂ６；Ｃ１２；Ｃ６）で使用される前記認証識別子を前記ユーザの装置を、使用して該ユーザの１人に表示（Ｃ１１；Ｃ５）するステップをさらに包含する、請求項１から２０のいずれか１項に記載の方法。
22. 前記ユーザの装置の画面に前記認証識別子を表示するステップを包含する、請求項２１に記載の方法。
23. 前記通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）ステップにおいて前記ユーザの１人によって受信された前記認証識別子を、前記ユーザの装置に入力（Ａ８；Ｂ８；Ｃ１３；Ｃ８）するステップをさらに包含する、請求項１から２２のいずれか１項に記載の方法。
24. 前記ユーザの装置のキーパッドを使用して前記認証識別子を入力するステップを包含する、請求項２３に記載の方法。
25. 前記認証識別子が前記トランザクションを一意に識別する、請求項１から２３のいずれか１項に記載の方法。
26. 前記通信網が、装置のピアツゥピア通信網である、請求項１から２５のいずれか１項に記載の方法。
27. 同一または異なる通信チャネルを使用してユーザ間に、前記トランザクションの追加認証識別子を通信をするステップと、
    前記トランザクションの追加基準識別子として該追加認証識別子を第２の装置に記憶するステップと、
    前記セキュア通信路を介して前記第１の装置から前記第２の装置に前記追加認証識別子を送信するステップと、
    該セキュア通信路を介して受信した該追加認証識別子と該追加基準識別子とを該第２の装置において比較するステップと、
    該比較に基づき、該セキュア通信路を介して前記セキュアトランザクションを実行するステップと
    を包含する、請求項１から２６のいずれか１項に記載の方法。
28. 請求項１から２７のいずれか１項に記載の方法を使用して複数のメンバを有するグループを維持する方法であって、
    セキュアトランザクション（Ａ１５；Ｂ１５；Ｃ２５）を実行するステップが、該グループメンバとして前記第１と第２のユーザ（Ａ，Ｂ）のうちの１つを追加または除去に関連し、該第１と第２のユーザ（Ａ，Ｂ）のうちの他方が、該グループの指定したコーディネータである、方法。
29. 請求項１から２７のいずれか１項に記載された方法を包含する、信頼性の高い通信網を構築する方法。
30. 第１の装置のユーザが、信頼性の高い通信網の第２の装置のユーザとセキュアトランザクションを実行できるようにするための、信頼性の高い通信網の該第１の装置によって使用される方法であって、
    ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第２の装置のユーザと通信（Ａ６，Ｂ６）する該第１の装置のユーザにトランザクションの認証識別子を表示（Ａ５，Ｂ５）するステップか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第２の装置のユーザから該第１の装置のユーザに通信（Ｃ１２；Ｃ６）した該トランザクションの認証識別子を入力（Ｃ１３；Ｃ８）するステップと、
    該トランザクションの基準識別子として該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）をするステップと、
    該信頼性の高い通信網を介して該２つの装置（１２；２）間に、該ユーザ（Ａ，Ｂ）間の通信チャネル（２０）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
    該セキュア通信路を介して該第２の装置から該認証識別子とを受信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
    該セキュア通信路を介して受信した該認証識別子と該基準識別子を比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）するステップと、
    該比較に基づき、該セキュア接続を介してセキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
    を包含する方法。
31. 第２の装置のユーザが、信頼性の高い通信網の第１の装置のユーザとセキュアトランザクションを実行できるようにするために、信頼性の高い通信網の第２の装置によって使用される方法であって、
    該ユーザ（Ａ，Ｂ）間で確立された通信チャネルを使用して、該第１の装置のユーザに対する通信（Ｃ１２；Ｃ６）のために、該第２の装置のユーザに該トランザクションの認証識別子を表示（Ｃ１１；Ｃ５）するステップか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該第１の装置のユーザから該第２の装置のユーザに通信（Ａ６，Ｂ６）された該トランザクションの基準識別子として該第１の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）される認証識別子を入力（Ａ８，Ｂ８）するステップと、
    該信頼性の高い通信網を介して２つの装置（１２，２）間に、該ユーザ（Ａ，Ｂ）間の該通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）するステップと、
    該基準識別子との比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）に、該第１の装置によって使用されるために、前記セキュア通信路を介して、前記第１の装置に該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）するステップと、
    該比較に基づき、該セキュア通信路を介してセキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）するステップと
    を包含する、方法。
32. 信頼性の高い通信網の第１および第２の装置（１２，２）の各々のユーザ（Ａ，Ｂ）が、それらの間でセキュアトランザクションを実行できるようにするシステムであって、
    該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）を確立する手段と、
    該通信チャネル（２２）を使用して該ユーザ（Ａ，Ｂ）間でトランザクションの認証識別子を通信（Ａ６；Ｂ６；Ｃ１２；Ｃ６）する手段と、
    該トランザクションの基準識別子として認証識別子を該第１の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）する手段と、
    該信頼性の高い通信網を介して該２つの装置間に、該ユーザ（Ａ．Ｂ）間で通信チャネル（２２）が異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２６Ａ；２８Ａ；２６Ｂ；２８Ｂ；２６Ｃ；２８Ｃ）と、
    該セキュア通信路を介して該第２の装置から該第１の装置へ該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２２）する手段（３０Ａ，３０Ｂ，３０Ｃ）と、
    該セキュア通信路を介して受信した該認証識別子と該基準識別子とを該第１の装置において比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する手段（３４Ａ；３４Ｂ；３４Ｃ；３５Ｃ）と、
    該比較に基づき、該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３６Ａ；３８Ａ；３６Ｂ；３８Ｂ；３６Ｃ；３８Ｃ）と、
    を備える、システム。
33. 装置のユーザが、信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするために、該信頼性の高い通信網で使用する装置であって、
    該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、他の装置のユーザに対する通信（Ａ６，Ｂ６）のための装置のユーザに対してトランザクションの認証識別子を表示（Ａ５；Ｂ５）する手段（２０Ａ；２０Ｂ；２５Ｃ；２４Ｃ）か、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、該他の装置のユーザから該装置のユーザに通信（Ｃ１２；Ｃ６）したトランザクションのための認証識別子を入力（Ｃ１３；Ｃ８）する手段（２０Ａ；２０Ｂ；２５Ｃ；２４Ｃ）と、
    該トランザクションの基準識別子として該認証識別子を記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）する手段と、
    該信頼性の高い通信網を介して、２つの装置（１２，２）間に、ユーザ間で通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２８Ａ；２８Ｂ；２８Ｃ）と、
    該セキュア通信路を介して、該他の装置から該認証識別子を受信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）する手段（３２Ａ；３２Ｂ；３２Ｃ）と、
    該セキュア通信路を介して受信した該認証識別子と該基準識別子とを比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する手段（３４Ａ；３４Ｂ；３４Ｃ；３５Ｃ）と、
    該比較に基づき、該セキュア通信路を介して該セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３６Ａ；３８Ａ；３６Ｂ；３８Ｂ；３６Ｃ；３８Ｃ）と、
    を備える、装置。
34. 装置のユーザが、信頼性の高い通信網の他の装置のユーザとセキュアトランザクションを実行できるようにするために、該信頼性の高い通信網で使用される装置であって、
    ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して他の装置のユーザに通信（Ｃ１２；Ｃ６）するための該装置のユーザに対して、トランザクションの認証識別子を表示（Ｃ１１；Ｃ５）するか、あるいは該ユーザ（Ａ，Ｂ）間で確立された通信チャネル（２２）を使用して、他の装置のユーザから装置のユーザに通信（Ａ６，Ｂ６）されたトランザクションのための該認証識別子を入力（Ａ８；Ｂ８）する手段（２１Ｃ；２０Ｃ；２４Ａ；２４Ｂ）と、該認証識別子は、該トランザクションの認証識別子として該他の装置に記憶（Ａ３；Ｂ３；Ｃ１４；Ｃ９）されており、
    該信頼性の高い通信網を介して、２つの装置（１２；２）間に、該ユーザ（Ａ，Ｂ）間で通信チャネル（２２）に対して異なるセキュア通信路を開設（Ａ１０；Ｂ１０；Ｃ１６）する手段（２６Ａ；２６Ｂ；２６Ｃ）と、
    該基準識別子との比較（Ａ１２；Ｂ１２；Ｃ１８；Ｃ２２）する際に、該他の装置によって使用されるために、該セキュア通信路を介して他の装置に該認証識別子を送信（Ａ１１；Ｂ１１；Ｃ１７；Ｃ２１）する手段（３０Ａ；３０Ｂ；３０Ｃ）と、
    該比較に基づき、セキュアトランザクションを実行（Ａ１５；Ｂ１５；Ｃ２５）する手段（３８Ａ；３８Ｂ；３８Ｃ）と
    を備える、装置。
35. 装置にロードされたとき、該装置を請求項３３または３４の装置にするオペレーティングプログラム。
36. 装置上で実行するとき、該装置に請求項３０または３１の方法を実行させるオペレーティングプログラム。
37. 搬送媒体で搬送される、請求項３５または３６に記載のオペレーティングプログラム。
38. 該搬送媒体が伝送媒体である、請求項３７に記載のオペレーティングプログラム。
39. 前記搬送媒体が記憶媒体である、請求項３７に記載のオペレーティングプログラム。

Images