JP2021141460A - 被認証装置、認証システムおよび認証方法 - Google Patents

Abstract

【課題】被認証装置の複製を従来よりも困難にすること。【解決手段】被認証装置は、認証装置から識別情報、パスワードおよびチャレンジを受信して、パスワード認証を実行する。パスワード認証が成功すると、被認証装置は、識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得する。被認証装置は、パスワード認証に成功したパスワードを用いて、暗号化された認証演算コードから実行可能な認証演算コードを復号する。被認証装置は、認証演算コードにチャレンジを適用して認証演算コードを実行することでレスポンスを生成する。【選択図】 図３

Description

本発明は被認証装置、認証システムおよび認証方法に関する。

設計上で想定されていない部品が画像形成装置などの電子機器に接続されると、電子機器が故障したり、想定外の事象が発生したりする。特許文献１によればバッテリパックが正規品かどうかを識別するために、ＩＤ（識別情報）を認証することが記載されている。

特開２００３−１６２９８６号公報

特許文献１では、認証装置と被認証装置が共通の暗号鍵を保持している。認証装置と被認証装置のどちらか一方に対するデータ解析が成功すると、認証装置による認証を成功させることが可能な被認証装置が製造可能になってしまう。そこで、本発明は、被認証装置の複製を従来よりも困難にすることを目的とする。

本発明は、たとえば、
認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段と、
前記パスワードをハッシュ化するハッシュ演算手段と、
前記識別情報に対応した比較情報を読み出し、前記ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行するパスワード認証手段と、
前記パスワード認証が成功すると、前記チャレンジに基づきレスポンスを生成する生成手段と、
前記レスポンスを前記認証装置に送信する送信手段と、
を有し、
前記生成手段は、
前記識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得し、前記パスワード認証に成功した前記パスワードを用いて前記暗号化された認証演算コードから実行可能な認証演算コードを復号し、当該認証演算コードに前記チャレンジを適用して当該認証演算コードを実行することで前記レスポンスを生成することを特徴とする被認証装置を提供する。

本発明によれば被認証装置の複製が従来よりも困難になる。

画像形成装置を説明する図。 認証システムを説明する図。 認証システムを説明する図。 認証シーケンスを説明する図 レスポンスの生成処理を示すフローチャート。 メモリデータマップを説明する図。 レスポンスの生成処理を示すフローチャート。 メモリデータマップを説明する図。 レスポンスの生成処理を示すフローチャート。 メモリデータマップを説明する図。 マイコンの機能を説明する図。 マイコンの機能を説明する図。 マイコンの機能を説明する図。 マイコンの機能を説明する図。

以下、添付図面を参照して実施形態が詳しく説明される。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一または同様の構成に同一の参照番号が付され、重複した説明は省略される。

＜実施例１＞
［画像形成装置（認証システム）］
図１Ａは画像形成装置１００及びオプション給紙装置３００、オプション排紙装置４００の概略の構成を示している。画像形成装置１００は電子写真プロセスにしたがってシートに画像を形成するプリンタ、複写機または複合機などである。シート積載部１１のシートを給紙部１２によって供給し、シートを搬送ローラ１３、１４によって搬送する。搬送されたシートは転写ローラ２０と感光ドラム１９によって形成された転写ニップ部に搬送されて感光ドラム１９に形成されたトナー像がシートに転写される。感光ドラム１９は、その表面を帯電ローラ１７によって一様に帯電し、その後、露光部２１から光が照射されて静電潜像が形成される。そして形成された静電潜像を現像ローラによってトナーで現像してトナー像が形成される。シートに転写された画像が定着器２００によって定着された後、搬送ローラ２６と排出ローラ２７によって搬送された画像形成装置１００の外に排出される。ここでプロセスカートリッジ１０２は感光ドラム１９、帯電ローラ１７、現像ローラ１６、およびクリーナー１８を一体化して構成され、画像形成装置１００に対して着脱可能な交換部品である。また、定着器２００も画像形成装置１００に対して着脱可能な交換部品である。

オプション給紙装置３００はシートの積載量を増やすために設けられた装置であり、画像形成装置１００に対して着脱可能である。オプション排紙装置４００は、画像が形成されたシートを振り分けて排出するための装置であり、画像形成装置に対して着脱可能である。

図１Ｂは、図１Ａで説明した構成において、プロセスカートリッジ１０２に認証チップを設けた構成を示している。コントローラ１０１は、制御装置１０５、認証チップ１０６および通信回路１０４を有している。制御装置１０５は、画像形成装置１００の全体を統括的に制御するコントローラである。認証チップ１０６は、被認証チップ１０３を認証する半導体集積回路である。通信回路１０４はプロセスカートリッジ１０２と通信するための通信回路である。プロセスカートリッジ１０２は、画像形成装置１００の本体から着脱可能な交換部品であり、感光ドラム、感光ドラムを感光ドラムにトナーを供給するための現像部である。プロセスカートリッジ１０２は被認証チップ１０３を有している。被認証チップ１０３は耐タンパチップである。制御装置１０５は、装着センサ２０９を用いてプロセスカートリッジ１０２が装着されたことを検知すると、認証チップ１０６に認証を指示する。制御装置１０５は、認証チップ１０６により生成されたチャレンジを、通信回路１０４を介して被認証チップ１０３に送信する。制御装置１０５は、通信回路１０４を介して被認証チップ１０３から受信したレスポンスを認証チップ１０６に転送する。制御装置１０５は、認証チップ１０６から認証結果を受け取る。被認証チップ１０３は、画像形成装置１００の消耗品や交換部品（定着器２００）、オプションデバイス（オプション給紙装置３００やオプション排紙装置４００など）に組み込まれてもよい。

図２はコントローラ１０１と被認証チップ１０３との内部構成を示している。認証チップ１０６は入出力回路２０１ａ、マイコン２０２ａ、揮発性メモリ２０３ａ、暗号回路２０６ａおよび不揮発性メモリ２０５ａを有している。入出力回路２０１ａは、制御装置１０５から出力されたコマンドなどを受信し、マイコン２０２ａへ転送する通信回路として機能する。さらに、入出力回路２０１ａはマイコン２０２ａからのレスポンスデータを制御装置１０５へ転送する。そのため、入出力回路２０１ａは入力回路（受信回路）と出力回路（送信回路）を有している。マイコン２０２ａは制御装置１０５から受信されたコマンドに従って内部処理を実施するためのプロセッサ回路である。不揮発性メモリ２０５ａには認証チップ１０６の制御を行うプログラムが書き込まれている。揮発性メモリ２０３ａはマイコン２０２ａがデータ処理を実施する際に一時的にデータを保存するメモリである。暗号回路２０６ａは、マイコン２０２ａの指令に従い、認証処理のための暗号計算を実行する回路である。

入出力回路２０１ｂはプロセスカートリッジ１０２が画像形成装置１００の本体に装着されたときに通信回路１０４と電気的に接続される回路である。入出力回路２０１ｂは、制御装置１０５から送信されたコマンドやチャレンジを、通信回路１０４を経由して受信し、マイコン２０２ｂに出力する。入出力回路２０１ｂは、マイコン２０２ｂから出力されたレスポンスを、通信回路１０４を経由して受信し、マイコン２０２ａに出力する。そのため、入出力回路２０１ｂは入力回路（受信回路）と出力回路（送信回路）を有している。マイコン２０２ｂは制御装置１０５からのコマンドに従って内部処理を実施するためのプロセッサ回路である。不揮発性メモリ２０５ｂには被認証チップ１０３を制御するためのプログラムおよびテーブルなどが書き込まれている。揮発性メモリ２０３ｂはマイコン２０２ｂがデータ処理を実施する際に一時的にデータを保存するためのメモリである。暗号回路２０６ｂはマイコン２０２ｂの指令に従い、認証処理のための暗号計算を実行する回路である。

認証処理の起点は制御装置１０５である。制御装置１０５は認証処理に必要な様々なコマンドを認証チップ１０６および被認証チップ１０３へ出力する。認証チップ１０６および被認証チップ１０３はそれぞれコマンドに従った処理を実行し、コマンドに対するレスポンスとして実行結果を制御装置１０５へ返答する。制御装置１０５は必須ではなく、認証チップ１０６および被認証チップ１０３が直接的に通信してもよい。

［認証シーケンス］
図３は被認証チップ１０３、制御装置１０５および認証チップ１０６が実行する認証シーケンスを示している。制御装置１０５は、装着センサ２０９を用いてプロセスカートリッジ１０２が装着されたことを検知すると、認証シーケンスを開始する。

Ｓｑ１で制御装置１０５は被認証チップ１０３の識別情報ＩＤｍを制御装置１０５に送信するよう被認証チップ１０３に対して要求する。被認証チップ１０３はこの要求を受信する。識別情報ＩＤｍは不揮発性メモリ２０５ｂに記憶されている。ｍはインデックスであり、０以上の整数である。ＩＤｍの長さは、たとえば、１６バイト以上である。識別情報ＩＤｍは被認証チップ１０３が保有する識別データであるが、固有の情報でなくてもよい。すなわち、同一の識別情報ＩＤｍが、複数の異なる被認証チップに記憶されていてもよい。

Ｓｑ２で被認証チップ１０３は識別情報ＩＤｍを不揮発性メモリ２０５ｂから読み出して、制御装置１０５に返信する。制御装置１０５は識別情報ＩＤｍを受信する。

Ｓｑ３で制御装置１０５は識別情報ＩＤｍを認証チップ１０６に転送する。認証チップ１０６は識別情報ＩＤｍを受信する。

Ｓｑ４で制御装置１０５は認証チップ１０６の識別情報ＩＤｎを制御装置１０５に送信するよう認証チップ１０６に対して要求する。認証チップ１０６はこの要求を受信する。ｎはインデックスであり、０以上の整数である。ＩＤｎの長さは、たとえば、１６バイト以上である。識別情報ＩＤｎは認証チップ１０６が保有する識別データであるが、固有の情報でなくてもよい。すなわち、同一の識別情報ＩＤｎが複数の異なる認証チップに記憶されていてもよい。

Ｓｑ５で認証チップ１０６は識別情報ＩＤｎを不揮発性メモリ２０５ａから読み出して制御装置１０５に識別情報ＩＤｎを返信する。制御装置１０５は識別情報ＩＤｎを受信する。

Ｓｑ６で制御装置１０５は識別情報ＩＤｎを被認証チップ１０３に転送する。被認証チップ１０３は識別情報ＩＤｎを受信する。Ｓｑ１からＳｑ６まで実行されると、被認証チップ１０３と認証チップ１０６は、互いに相手の識別情報を取得する。ＩＤｎとＩＤｍは有限個の数の識別情報であり、それらの長さは１６バイト程度必要である。ＩＤｎとＩＤｍは容易に推測されないように、にランダムに決定されてもよい。

Ｓｑ７で制御装置１０５は認証チップ１０６に対して１６バイトのパスワードＰｗｄと１６バイトのチャレンジＣｄａｔａを要求する。パスワードＰｗｄおよびチャレンジＣｄａｔａは認証情報と呼ばれてもよい。認証チップ１０６は、パスワードＰｗｄとチャレンジＣｄａｔａを、たとえば、以下の手順で演算する。

Ｐｗｄ＝ＳＨＡ２５６（ＩＤｍ｜｜Ｍｐｗｄ）・・・・・（１）
ＳＨＡ２５６は暗号学的ハッシュ関数である。ＳＨＡ２５６の詳細は、たとえば、ＮＩＳＴ＿ＦＩＰＳ＿ＰＵＢ １８０−４に記載されている。ハッシュ関数は一方向性関数の一例である。一方向性関数は、出力データから入力データを復元できないように、入力データから出力データを生成する関数の総称である。Ｍｐｗｄは認証チップ１０６が保有するマスターパスワードであり、不揮発性メモリ２０５に記憶されている。｜｜は連結演算子であり、二つのデータ列を一つのデータ列に連結することを意味する。ＳＨＡ２５６は３２バイトのデータを出力する関数である。認証チップ１０６は、この３２バイトのデータのうち上位の１６バイトを切り出してＰｗｄを生成する。つまり、上位の１６バイトがＰｗｄとなる。（１）式によって識別情報ＩＤｍごとに異なるパスワードＰｗｄが生成される。マスターパスワードＭｐｗｄは識別情報ＩＤｎごとに異なるものとする。結果として、パスワードＰｗｄは、被認証チップ１０３の識別情報ＩＤｍと認証チップ１０６の識別情報ＩＤｎとに紐づけられる。なお、パスワードＰｗｄはマスターパスワードＭｐｗｄからは生成した派生情報と呼ばれてもよい。（１）式におけるＳＨＡ２５６の演算は、暗号回路２０６ａの支援を受けながらマイコン２０２が不揮発性メモリ２０５に格納された演算プログラムを実行することによって、実行される。ＳＨＡ２５６の演算に伴い発生する計算途中のデータと計算結果のデータは、揮発性メモリ２０３ａに一時的に記憶される。被認証チップ１０３においても、（１）式に従って前もって計算されたパスワードが、被認証チップ１０３の不揮発性メモリ２０５ｂに書き込まれていてもよい。Ｐｗｄは、（１）式の代わりに、テーブルを用いて決定されてもよい。たとえば、不揮発性メモリ２０５ａが識別情報ＩＤ（ＩＤｍ）とパスワード（Ｐｗｄ）とを紐づけるパスワードテーブルを記憶していてもよい。マイコン２０２ａは、パスワードテーブルを参照することでＩＤｍに対応するＰｗｄを取得してもよい。

認証チップ１０６は、チャレンジＣｄａｔａをランダムに生成する。たとえば、マイコン２０２ａは、暗号回路２０６ａに実装されている疑似乱数発生器を用いてチャレンジＣｄａｔａをランダムに生成してもよい。なお、チャレンジＣｄａｔａは揮発性メモリ２０３ａに記憶され、レスポンスを確認する際に使用される。

Ｓｑ８で認証チップ１０６はパスワードＰｗｄとチャレンジＣｄａｔａを制御装置１０５に送信する。制御装置１０５は認証チップ１０６からパスワードＰｗｄとチャレンジＣｄａｔａを受信する。

Ｓｑ９で制御装置１０５はパスワードＰｗｄとチャレンジＣｄａｔａを被認証チップ１０３に転送する。被認証チップ１０３は制御装置１０５からパスワードＰｗｄとチャレンジＣｄａｔａを受信する。

Ｓｑ１０で被認証チップ１０３はパスワードＰｗｄとチャレンジＣｄａｔａに基づきレスポンスＲｄａｔａを生成して、制御装置１０５に送信する。制御装置１０５は被認証チップ１０３からレスポンスＲｄａｔａを受信する。

Ｓｑ１１で制御装置１０５はレスポンスＲｄａｔａを認証チップ１０６に転送する。認証チップ１０６は制御装置１０５からレスポンスＲｄａｔａを受信し、レスポンスＲｄａｔａを用いて認証演算を実行して認証結果を生成する。

Ｓｑ１２で認証チップ１０６は認証結果を制御装置１０５に送信する。制御装置１０５は認証チップ１０６から認証結果を受信する。

［レスポンスの生成］
図４は被認証チップ１０３のマイコン２０２ｂが実行するパスワード認証とレスポンスの生成を示している。

Ｓ４０１でマイコン２０２ｂはパスワードＰｗｄをハッシュ化し、ハッシュ化されたパスワードＨｐａｓｓを生成する。このハッシュ化は（２）式にしたがって実行されてもよい。

Ｈｐａｓｓ＝Ｈ（Ｐｗｄ）＝ＳＨＡ２５６（Ｐｗｄ）・・・・・（２）
ここでＨは暗号学的ハッシュ関数である。（２）式でもＳＨＡ２５６が採用されている。（２）式のＳＨＡ２５６は、暗号回路２０６ｂの支援を受けながらマイコン２０２ｂが不揮発性メモリ２０５ｂに格納された演算プログラムにより実現されてもよい。ＳＨＡ２５６の演算途中のデータと演算結果のデータは揮発性メモリ２０３ｂで一時的に記憶される。

Ｓ４０２でマイコン２０２ｂは認証チップ１０６の識別情報ＩＤｎに対応する比較用パスワード（ハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ））を読み出す。たとえば、マイコン２０２ｂは識別情報ＩＤｎに対応するＨｐａｓｓ’（ＩＤｎ）を、不揮発性メモリ２０５ｂに記憶されているテーブルから検索して読み出してもよい。マイコン２０２ｂは、Ｈｐａｓｓ’（ＩＤｎ）を揮発性メモリ２０３ｂに一時的に記憶する。

Ｓ４０３で、マイコン２０２ｂは二つのパスワードが一致したかどうかを判定する。つまり、マイコン２０２ｂはＨｐａｓｓとＨｐａｓｓ’（ＩＤｎ）とを比較する。Ｈｐａｓｓ’（ＩＤｎ）は、（１）式と（２）式とが満たされるように予め決定されている。つまり、（３）式が成り立つように、Ｈｐａｓｓ’（ＩＤｎ）は計算されて、不揮発性メモリ２０５ｂのテーブルに記憶されている。

Ｈｐａｓｓ’（ＩＤｎ）＝ＳＨＡ２５６（ＳＨＡ２５６（ＩＤｍ｜｜Ｍｐｗｄ） ）・・・・・（３）
二つのパスワードが一致しなければ、マイコン２０２ｂはＳ４１０に進む。Ｓ４１０でマイコン２０２ｂはエラービットＥｒｒを０から１に変更する。エラービットＥｒｒのデフォルト値は０である。エラービットＥｒｒは、レスポンスＲｄａｔａとともにレスポンスデータを形成する。つまり、エラービットＥｒｒは、レスポンスデータを構成する複数のフィールドのうちの一つのフィールドに格納される。その後、Ｓ４０７でマイコン２０２ｂはエラービットＥｒｒとレスポンスＲｄａｔａを連結してレスポンスデータを生成して制御装置１０５へ送信する。一方、Ｓ４０３で二つのパスワードが一致すれば、マイコン２０２ｂはＳ４０４に進む。

Ｓ４０４でマイコン２０２ｂは識別情報ＩＤｎに紐づけされている暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）を不揮発性メモリ２０５ｂのテーブルから検索し読み出す。暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）は、実行可能なプログラムコードである認証演算コードＡｕｔｈ（ＩＤｎ）を暗号化することで予め生成されている。マイコン２０２ｂはＥｎｃＡｕｔｈ（ＩＤｎ）を揮発性メモリ２０３ｂに一時的に記憶する。

Ｓ４０５でマイコン２０２ｂは暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）から認証演算コードＡｕｔｈ（ＩＤｎ）を復号する。たとえば、マイコン２０２ｂは復号化関数Ｄｅｃ（）を不揮発性メモリ２０５ｂから読み出し、復号化関数Ｄｅｃ（）に基づき認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）から認証演算コードＡｕｔｈ（ＩＤｎ）を復号してもよい。復号化関数Ｄｅｃ（）は、ＮＩＳＴ＿ＦＩＰＳ＿ＰＵＢ １９７に記載されているようなＡＥＳアルゴリズムをベースとした復号化関数であってもよい。マイコン２０２ｂは、復号化関数Ｄｅｃ（）を揮発性メモリ２０３ｂに一時的に記憶する。マイコン２０２ｂは、（４）式にしたがって認証演算コードＡｕｔｈ（ＩＤｎ）を求める。

Ａｕｔｈ（ＩＤｎ）＝Ｄｅｃ（Ｐｗｄ，ＥｎｃＡｕｔｈ（ＩＤｎ））＝ＣＢＣ＿ＡＥＳ＿Ｄｅｃ（Ｐｗｄ，ＥｎｃＡｕｔｈ（ＩＤｎ））・・・・・（４）
ここで、ＣＢＣ＿ＡＥＳ＿Ｄｅｃは、ＮＩＳＴ ＳＰ ８００−３８Ａに記載されているＣＢＣブロックモードの復号化関数であってもよい。ここでは復号化関数の原始関数としてＡＥＳが用いられている。ＣＢＣ＿ＡＥＳ＿Ｄｅｃの入力ペイロードは復号鍵Ｐｗｄである。ＣＢＣ＿ＡＥＳ＿Ｄｅｃの出力メッセージコードはＥｎｃＡｕｔｈ（ＩＤｎ）である。

長いメッセージを暗号化または復号化するためにＡＥＳが単体で利用されると、統計解析手法に対して脆弱となる。復号化関数としてＣＢＣブロックモードのＡＥＳが利用されると、統計解析手法に対して頑強となる。

マイコン２０２ｂは、暗号回路２０６ｂの支援を受けながら不揮発性メモリ２０５ｂに格納された演算プログラムを実行することで、（４）式を演算する。マイコン２０２ｂは、認証演算コードＡｕｔｈ（ＩＤｎ）を揮発性メモリ２０３ｂに一時的に記憶する。

（４）式ではＣＢＣモードの復号化関数が採用されているが、暗号化関数と復号化関数は双対的であって互いに逆変換可能である。そのため、復号化関数は暗号化関数に置換可能である。重要なのは、Ａｕｔｈ（ＩＤｎ）がマイコン２０２ｂによって実行可能なプログラムコードであることである。

認証演算コードＡｕｔｈ（ＩＤｎ）の例として、ＮＩＳＴ ＳＰ ８００−３８Ｂに記載されているメッセージ認証コードＣＭＡＣがある。ＣＭＡＣは暗号化関数ＡＥＳをメッセージ認証で利用するために考案された認証アルゴリズムである。ＣＭＡＣの入力パラメータは暗号鍵ＫとメッセージＭである。ＣＭＡＣは暗号鍵ＫとメッセージＭに対応するメッセージ認証コードを生成する。したがって、認証演算コードＡｕｔｈ（ＩＤｎ）は（５）式で表現されるプログラムコードである。

Ａｕｔｈ（ｉｎｐｕｔ）＝ＣＭＡＣ（Ｋ＝Ｋｎ，Ｍ＝ｉｎｐｕｔ）・・・・・（５）
ここで、Ｋｎは生成された認証演算コードＡｕｔｈ（ｉｎｐｕｔ）（つまり、Ａｕｔｈ（ＩＤｎ））に予め組み込まれている鍵である。鍵Ｋｎは識別情報ＩＤｎに対応している。様々なＩＤｎに対応した鍵Ｋｎがセットされた（５）式に相当する認証演算コードＡｕｔｈ（ＩＤｎ）が予め用意される。さらに、Ａｕｔｈ（ＩＤｎ）は、（４）式で定められる復号化関数の逆関数（すなわち暗号化関数）で暗号化される。暗号されたＡｕｔｈ（ＩＤｎ）が、ＥｎｃＡｕｔｈ（ＩＤｎ）として不揮発性メモリ２０５ｂに記憶される。そのため、（４）式と（５）式が成立する。ＥｎｃＡｕｔｈ（ＩＤｎ）の数は、識別情報ＩＤｎの数に一致する。つまり、市場に存在するすべての識別情報ＩＤｎに対応したＥｎｃＡｕｔｈ（ＩＤｎ）が不揮発性メモリ２０５ｂに記憶される。（５）式は、認証演算コードＡｕｔｈ（ＩＤｎ）が認証鍵Ｋｎを内包したメッセージ認証コードＣＭＡＣであることを示している。

（５）式の例としてＣＭＡＣが採用されたが、これは一例に過ぎない。ＣＭＡＣに代えてＨＭＡＣが採用さてもよい。ＨＭＡＣはＮＩＳＴ＿ＦＩＰＳ＿ＰＵＢ １９８−１に記載されているＳＨＡ２５６のような暗号学的ハッシュ関数を利用したメッセージ認証アルゴリズムである。この場合、（５）式は（６）式に置換される。

Ａｕｔｈ（ｉｎｐｕｔ）＝ＨＭＡＣ（Ｋ＝Ｋｎ｜｜Ｍ＝ｉｎｐｕｔ）・・・・・（６）
ここで、Ｋｎは認証演算コードＡｕｔｈ（ＩＤｎ）に予め組み込まれる鍵であり、識別情報ＩＤｎに対応している。（５）式と同様に、（６）式に相当する複数の認証演算コードＡｕｔｈ（ＩＤｎ）が予め用意される。認証演算コードＡｕｔｈ（ＩＤｎ）は、（４）式で定められる復号化関数の逆関数（すなわち暗号化関数）で暗号化される。これにより、暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）が生成され、不揮発性メモリ２０５ｂに記憶される。（６）式は、認証演算コードＡｕｔｈ（ＩＤｎ）が認証鍵Ｋｎを内包したメッセージ認証コードＨＭＡＣであることを示している。

Ｓ４０６でマイコン２０２ｂは認証演算コードＡｕｔｈ（ＩＤｎ）とチャレンジＣｄａｔａを用いてレスポンスＲｄａｔａを生成する。この生成には、たとえば（７）式が使用されてもよい。

Ｒｄａｔａ＝Ａｕｔｈ（Ｃｄａｔａ）・・・・・（７）
Ｓ４０８でマイコン２０２ｂはエラービットＥｒｒとレスポンスＲｄａｔａとを制御装置１０５に送信する。たとえば、マイコン２０２ｂはレスポンスＲｄａｔａとエラービットＥｒｒを連結して、レスポンスデータＥｒｒ｜｜Ｒｄａｔａを生成して制御装置１０５に送信する。Ｓ４０３で二つのパスワードが一致した場合、エラービットＥｒｒは０である。

［メモリデータマップ］
図５は被認証チップ１０３の不揮発性メモリ２０５ｂのメモリデータマップを示す。図５が示すように、インデックスｎごとに、認証チップ１０６の識別情報ＩＤｎ、ハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ）、暗号化認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）が一つのセットを形成している。マイコン２０２ｂは、受信された識別情報ＩＤｎに対応するハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ）と暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）を不揮発性メモリ２０５ｂから読み出すことができる。

不揮発性メモリ２０５ｂには、被認証チップ１０３に割り当てられた識別情報ＩＤｍと、ハッシュ関数であるＳＨＡ２５６（）、復号化関数であるＣＢＣ＿ＡＥＳ（）およびその他のプログラムも記憶されている。その他のプログラムは、上述されたプログラムコードを含む。

［認証チップでの認証処理］
Ｓｑ１１に関して説明されたように、認証チップ１０６のマイコン２０２ａは、被認証チップ１０３が生成した認証演算結果をレスポンスデータとして受信する。マイコン２０２ａは、チャレンジＣｄａｔａをペイロードとして認証演算コードＡｕｔｈ（ＩＤｎ）に入力して、認証演算コードＡｕｔｈ（Ｃｄａｔａ）を実行する。マイコン２０２ａは、実行結果（認証結果）を、揮発性メモリ２０３ａに一時的に記憶する。認証演算コードＡｕｔｈ（ＩＤｎ）は、（５）式で表現されたものと同じものであり、平文で不揮発性メモリ２０５ａに記憶されている。認証演算コードＡｕｔｈ（ＩＤｎ）は識別情報ＩＤｎに対応している。つまり、被認証チップ１０３で実行される認証演算コードＡｕｔｈ（ＩＤｎ）と認証チップ１０６で実行される認証演算コードＡｕｔｈ（ＩＤｎ）は同一である。したがって、同一のペイロードが入力されれば、被認証チップ１０３で取得される認証結果（例：Ｒｄａｔａ）と認証チップ１０６で取得される認証結果（例：Ａｕｔｈ（Ｃｄａｔａ））は同一となる。

マイコン２０２ａは、レスポンスデータからエラービットＥｒｒを分離して、エラービットＥｒｒが０であるか１であるかを判定する。つまり、パスワード認証が成功したかどうかが確認される。つまり、パスワード認証が成功した場合、マイコン２０２ａは、レスポンスＲｄａｔａと、Ａｕｔｈ（Ｃｄａｔａ）との比較を実行する。パスワード認証が失敗した場合、マイコン２０２ａは、レスポンスＲｄａｔａと、Ａｕｔｈ（Ｃｄａｔａ）との比較を実行しない。マイコン２０２は比較結果を認証結果として制御装置１０５に送信する。レスポンスＲｄａｔａと、Ａｕｔｈ（Ｃｄａｔａ）とが不一致であれば、制御装置１０５は、プロセスカートリッジ１０２が正規品ではないことを示す通知を出力する。この通知は制御装置１０５に接続された表示装置などに表示されてもよい。

マイコン２０２ａも（５）式で表現される認証演算コードＡｕｔｈ（ＩＤｎ）を使用するが、これは一例に過ぎない。マイコン２０２ｂが（６）式を採用するようにプログラムされている場合、マイコン２０２ａも（６）式を採用するようにプログラムされる。重要なのは、被認証チップ１０３が実行する認証演算コードと認証チップ１０６で実行する認証演算コードとが一致していることである。認証演算コードＡｕｔｈ（ＩＤｎ）が識別情報ＩＤｎに紐づいているため、次のように認証演算コードが切り替えられてもよい。たとえば、ＩＤｎ＝０ｘ…００の場合、マイコン２０２は（５）式の認証演算コードを選択する。ＩＤｎ＝０ｘ…０１の場合、マイコン２０２は（６）式の認証演算コードを利用する。

［実施例１の特徴］
Ａ： 被認証チップ１０３は識別情報ＩＤｎごとに異なる複数の暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）を備えている。識別情報ＩＤｍと識別情報ＩＤｎとに紐づけられた正しいパスワードＰｗｄが被認証チップ１０３に入力されない限り、暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）が得られない、したがって、正しい認証演算コードＡｕｔｈ（ＩＤｎ）も得られない。

Ｂ： 被認証チップ１０３は、暗号学的ハッシュ関数でハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ）を不揮発性メモリ２０５ｂに保持している。したがって、ハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ）が攻撃されて暴露されても、パスワードＰｗｄは暴露されない。

Ｃ： 認証チップ１０６に記憶されるマスターパスワードＭｐｗｄは、識別情報ＩＤｎに紐づいている。したがって、あるコントローラ１０１に保持されている識別情報ＩＤｘが暴露されたとしても、異なる識別情報ＩＤｙをもつ他のコントローラ１０１のマスターパスワードＭｐｗｄは暴露されない。

Ｄ： 認証チップ１０６は平文の認証演算コードＡｕｔｈ（）を有している。認証演算コードＡｕｔｈ（ＩＤｍ）は識別情報ＩＤｍに紐づけられている。そのため、識別情報ＩＤｍが異なれば、認証演算コードＡｕｔｈ（ＩＤｍ）も異なる。識別情報ＩＤｘを割り当てられたコントローラ１０１に設けられた認証演算コードＡｕｔｈ（）が暴露されても、異なる識別情報ＩＤｙをもつ他のコントローラ１０１の認証演算コードＡｕｔｈ（）は暴露されない。

識別情報ＩＤｎと識別情報ＩＤｍとの組み合わせは多数する。そのため、あるコントローラ１０１とあるプロセスカートリッジ１０２の組み合わせで取り交わされるパスワードＰｗｄが暴露されても、他の組み合わせについてパスワードＰｗｄは暴露されない。また、すべてのコントローラ１０１についてそれぞれの認証演算コードを入手することは困難である。したがって、コントローラ１０１ごとのパスワードの秘匿性と認証演算コードの秘匿性は十分に確保される。

このように実施例１では攻撃者による認証解析がとても困難になる。被認証チップ１０３にハードウエアの破壊を伴う攻撃が行われ、不揮発性メモリ２０５ｂに保管されたパスワードと暗号化された認証演算コードが読み出されても、暗号化された認証演算コードを復号することは困難である。被認証チップ１０３の不揮発性メモリ２０５ｂの記憶内容を完全にコピーしたとしても、マイコン２０２ｂの動作を完全にコピーするまたはエミュレートすることは困難である。これを実現するには、ハードウエアを含めたすべてをコピーすることは、莫大な労力と費用を有するため、現実的ではない。また、マイコン２０２を汎用のマイクロコントローラで複製することも困難である。これは、マイコン２０２の演算命令形態と汎用のマイクロコントローラの演算命令形態が異なるからである。

ＩＤｎ、ＩＤｍ、Ｐｗｄの各長さは１６バイトと仮定されている。これは全数探索を事実上困難にするために有効である。しかし、安全性の許容度に依存して、ＩＤｎ、ＩＤｍ、Ｐｗｄの長さは短くされてもよいし、長くされてもよい。

（４）式でＡＥＳの一暗号ブロックモードであるＣＢＣ＿ＡＥＳが利用されているがこれも一例に過ぎない。ＮＩＳＴ ＳＰ ８００−３８Ａに記載されているような、他のブロックモードであるＣＦＢ＿ＡＥＳ、ＯＦＢ＿ＡＥＳ、ＣＴＲ＿ＡＥＳなどが利用されてもよい。

ここではＡＥＳをベースとした共通鍵方式のブロック暗号化が例示されている。代替え案として、共通鍵方式のストリーム暗号技術が採用されてもよい。この場合、共通鍵に応じた疑似乱数ビットストリームが生成され、ビットストリームとメッセージとの排他的論理和が演算されることで、ストリーム暗号が生成される。疑似乱数ビットストリームは色々な手法で生成可能である。一例として暗号学的ハッシュ関数が使用されてもよい。たとえば、暗号パスワードＰｗｄとカウンタＣＴＲ＋とを連結することで、ＳＨＡ２５６（）のペイロードＰｗｄ｜｜ＣＴＲ＋が生成される。この演算結果は、ＳＨＡ２５６（Ｐｗｄ｜｜ＣＴＲ＋）と表記される。この演算はカウンタＣＴＲ＋を増加しながら、繰り返し実行される。その実行結果は、Ｒｅｐｅａｔ＿ＳＨＡ２５６（Ｐｗｄ｜｜ＣＴＲ＋）と表記される。さらに、Ｒｅｐｅａｔ＿ＳＨＡ２５６（Ｐｗｄ｜｜ＣＴＲ＋）とメッセージであるＥｎｃＡｕｔｈ（ＩＤｎ）との排他的論理和．ｘｏｒ．が演算される。（８）式は（４）式の代替である。

Ａｕｔｈ（）＝Ｒｅｐｅａｔ＿ＳＨＡ２５６（Ｐｗｄ｜｜ＣＴＲ＋）．ｘｏｒ．ＥｎｃＡｕｔｈ（ＩＤｎ）・・・・・（８）
ここで、．ｘｏｒ．は排他的論理和を示す演算子である。

認証演算コードについて（５）式と（６）式が例示された。（５）式ではメッセージ認証コードＣＭＡＣが使用されている。ＣＭＡＣのベースとなる共通鍵ブロック暗号としては、ＡＥＳが標準的であるが、他のブロック暗号技術が採用されてもよい。たとえば、日本のＣＲＹＰＴＲＥＣは軽量暗号ガイドラインを提示している（https://www.cryptrec.go.jp/report/cryptrec-gl-2003-2016jp.pdf）。プログラムデータ量が小さいブロック暗号技術（例：ＳＩＭＯＮ、ＳＰＥＣＫ、ＭＩＤＯＲＩなど）が採用されてもよい。これにより、認証演算コードＡｕｔｈ（）のプログラムデータ量が削減される。

＜実施例２＞
実施例１では暗号化された認証演算コードＥｎｃＡｕｔｈ（）から認証演算コードＡｕｔｈ（）が復号され、認証演算コードＡｕｔｈ（）にチャレンジＣｄａｔａが入力されている。暗号化された認証演算コードＥｎｃＡｕｔｈ（）は識別情報ＩＤｎごとに予め用意されていた。

実施例２では、認証演算コードＡｕｔｈ（）は複数の識別情報ＩＤｎに対して共通に用意される。その一方で、認証演算コードＡｕｔｈ（）に入力されるデータを生成するプログラムコード（結合演算コードＣｏｎｃ（））が暗号化されている。結合演算コードＣｏｎｃ（）を認証演算コードＡｕｔｈ（）の一部で考えれば、認証演算コードＡｕｔｈ（）の一部が暗号化されることを意味する。この結合演算コードＣｏｎｃ（）は識別情報ＩＤｎごとに異なる。暗号化された結合演算コードＥｎｃＣｏｎｃ（）が復号されて、平文の結合演算コードＣｏｎｃ（）が生成される。チャレンジＣｄａｔａが結合演算コードＣｏｎｃ（）で処理されて、認証演算コードＡｕｔｈ（）に入力される。実施例２において実施例１と共通する事項の説明は省略される。

図６は実施例２の処理を示している。図６が図４と異なる点は、Ｓ４０４〜Ｓ４０６がＳ６０４〜Ｓ６０６に置換されている点である。ここでは結合演算コードＣｏｎｃ（）が新たに定義される。結合演算コードＣｏｎｃ（）は、一義に決まる関数であって、二つのデータ列の分割、連結または排他的論理和を行うプログラムコードである。

Ｓ４０４でマイコン２０２ｂは識別情報ＩＤｎに対応する暗号化された結合演算コードＥｎｃＣｏｎｃ（ＩＤｎ）を不揮発性メモリ２０５ｂのテーブルから検索して読み出す。マイコン２０２ｂは、ＥｎｃＣｏｎｃ（ＩＤｎ）を揮発性メモリ２０３ｂに一時的に記憶する。

Ｓ４０５でマイコン２０２ｂは暗号化された結合演算コードＥｎｃＣｏｎｃ（ＩＤｎ）を復号する。まず、マイコン２０２ｂは不揮発性メモリ２０５ｂから復号化関数Ｄｅｃ（）を読み出す。Ｄｅｃ（）は実施例１で説明されたものと同じものであってもよい。復号化関数Ｄｅｃ（）は揮発性メモリ２０３ｂに一時的に記憶される。マイコン２０２ｂは（９）式にしたがって平文の結合演算コードＣｏｎｃ（）を求める。

Ｃｏｎｃ（）＝Ｄｅｃ（Ｐｗｄ， ＥｎｃＣｏｎｃ（ＩＤｎ））＝ＣＢＣ＿ＡＥＳ＿Ｄｅｃ（Ｐｗｄ， ＥｎｃＣｏｎｃ（ＩＤｎ））・・・・・（９）
ＣＢＣ＿ＡＥＳ＿Ｄｅｃとその代替案はすでに実施例１で説明されたものである。マイコン２０２ｂは、暗号回路２０６ｂの支援を受けながら不揮発性メモリ２０５ｂに格納された演算プログラムを実行することで、結合演算コードＣｏｎｃ（）を取得する。結合演算コードＣｏｎｃ（）はマイコン２０２ｂにより実行可能なプログラムコードである。結合演算コードＣｏｎｃ（）は揮発性メモリ２０３ｂに一時的に記憶される。（９）式は、ＣＢＣモードの復号化関数を示している。しかし、暗号化関数と復号化関数は双対的で互いに逆変換可能である。そのため、復号化関数は暗号化関数に置換されてもよい。

結合演算コードＣｏｎｃ（）は、自ら保有する鍵Ｋｎと、メッセージｉｎｐｕｔを用いて、演算を実行する。鍵Ｋｎとメッセージｉｎｐｕｔはそれぞれ１６バイトのデータ列である。このとき、Ｃｏｎｃ（）は（１０）式で表現される。

Ｃｏｎｃ（ｉｎｐｕｔ）＝Ｋｎ｜｜ｉｎｐｕｔ・・・・・（１０）
ここで、鍵Ｋｎは、結合演算コードＣｏｎｃ（）に予め組み込まれた鍵情報であり、識別情報ＩＤｎに対応している。ＩＤｎに対応した鍵Ｋｎがセットされた（１０）式に相当する結合演算コードＣｏｎｃ（）が予め用意される。結合演算コードＣｏｎｃ（）は、（９）式で定められる復号化関数の逆関数（すなわち暗号化関数）で暗号化され、暗号された結合演算コードＥｎｃＣｏｎｃ（ＩＤｎ）になる。識別情報ＩＤｎごとの暗号された結合演算コードＥｎｃＣｏｎｃ（ＩＤｎ）は不揮発性メモリ２０５ｂに記憶される。これが、（９）式と（１０）式が成立する理由となる。Ｃｏｎｃ（ＩＤｎ）の数と識別情報ＩＤの数は一致している。

図７は不揮発性メモリ２０５ｂのメモリデータマップを示している。図７では、暗号化された認証演算コードＥｎｃＡｕｔｈ（ＩＤｎ）に代わりに、暗号化された結合演算コードＥｎｃＣｏｎｃ（ＩＤｎ）が記憶されている。さらに、共通かつ平文の認証演算コードＡｕｔｈ（）も記憶されている。

Ｓ６０６でマイコン２０２ｂは、結合演算コードＣｏｎｃ（）、チャレンジＣｄａｔａおよび認証演算コードＡｕｔｈ（）を用いてレスポンスＲｄａｔａを生成する。マイコン２０２ｂは不揮発性メモリ２０５ｂから認証演算コードＡｕｔｈ（）を読み出す。たとえば、マイコン２０２ｂは、（１１）式を用いてレスポンスＲｄａｔａを生成する。

Ｒｄａｔａ＝Ａｕｔｈ（Ｃｏｎｃ（Ｃｄａｔａ））＝ＨＭＡＣ（Ｃｏｎｃ（Ｃｄａｔａ））・・・・・（１１）
ＨＭＡＣとその代替案であるＣＭＡＣはすでに実施例１で説明された。実施例１では、認証演算コードＡｕｔｈ（）にＣｄａｔａが直接的に入力されていた。実施例２では、認証演算コードＡｕｔｈ（）にＣｏｎｃ（Ｃｄａｔａ）が入力される。

［実施例２の特徴］
実施例１は識別情報ＩＤｎに対応した暗号化された認証演算コードから認証演算コードを復号し、認証演算コードを実行する。実施例２は、識別情報ＩＤｎに対応した暗号化された結合演算コードから結合演算コードが復号し、結合演算コードにより認証演算コードへの入力を生成する。つまり、認証演算コードは暗号化されていない。一般に、共通鍵暗号を利用する認証関数のプログラムコードは数Ｋバイトのプログラム容量になる。実施例１では、識別情報ＩＤｎと同数の暗号化された認証演算コードを不揮発性メモリ２０５ｂが記憶しなければならない。不揮発性メモリ２０５ｂの記憶容量は有限であるため、記憶可能な識別情報ＩＤｎの数が制限される。実施例２では、識別情報ＩＤｎごとに結合演算コードが用意されるが、認証演算コードは一つのみである。結合演算コードのプログラムサイズは、認証演算コードのプログラムサイズと比較して小さい。たとえば、単なるデータ連結についてのプログラムサイズは数十バイト程度である）。よって、実施例２は、記憶可能な識別情報ＩＤｎの数を増やすことができる。このように認証演算に使用される認証関数のうち、一部分のみを識別情報ＩＤｎに暗号化することで、不揮発性メモリ２０５ｂの記憶領域を有効に活用することが可能となる。

（１０）式は二つのデータ列の連結（ｃｏｎｃａｔｅｎａｔｉｏｎ）を採用しているが、これは一例に過ぎない。（１２）式が示すように、二つのデータ列の排他的論理和が採用されてもよい。

Ｃｏｎｃ（ｉｎｐｕｔ）＝Ｋｎ．ｘｏｒ．ｉｎｐｕｔ・・・・・（１２）
この場合、Ｃｏｎｃ（ｉｎｐｕｔ）が出力するデータの長さは、（１０）式と比較して、半分（１６バイト）である。

結合演算コードＣｏｎｃ（）としてもう少し複雑な構造が採用されてもよい。

Ｃｏｎｃ（ｉｎｐｕｔ）＝Ｋｎ＿ｌ．ｘｏｒ．ｉｎｐｕｔ＿ｌ｜｜ Ｋｎ＿ｕ．ｘｏｒ．ｉｎｐｕｔ＿ｕ・・・・・（１３）
ここで、Ｋｎ＿ｌとＫｎ＿ｕはそれぞれ鍵Ｋｎの下位８バイトと上位８バイトである。ｉｎｐｕｔ＿ｌとｉｎｐｕｔ＿ｕはそれぞれｉｎｐｕｔの下位８バイトと上位８バイトである。このように入力される複数のデータをそれぞれ複数に分割し、この分割により生成された複数のサブデータを組み合わせて、連結または排他的論理和を適用するようなＣｏｎｃ（）が採用されてもよい。重要なのは、様々な式により情報が前処理されてから認証演算コードＡｕｔｈ（）に入力されるため、入力される情報の量は削減されないことである。結合演算コードＣｏｎｃ（）が暗号化されていれば認証演算コードＡｕｔｈ（）は平文でも十分である。そのため、認証演算コードによる認証演算結果（レスポンス）を推測することは極めて困難になる。

＜実施例３＞
実施例１、２で、被認証チップ１０３は、認証チップ１０６のパスワードを、暗号学的ハッシュ関数でハッシュ化して比較用データと比較することでパスワードを認証している。つまり、ハッシュ化によってパスワードが保護されている。実施例３は、別の方法でパスワードを保護する。実施例３においても実施例１または実施例２と共通する事項の説明は省略される。

図８は実施例３の処理を示している。図４と比較してＳ４０１、Ｓ４０２、Ｓ４０３がＳ８０１、Ｓ８０２、Ｓ８０３に置換されている。図６に示されたＳ４０１、Ｓ４０２、Ｓ４０３もＳ８０１、Ｓ８０２、Ｓ８０３に置換されてもよい。

Ｓ８０１でマイコン２０２ｂは識別情報ＩＤｎに対応する暗号化されたＥｎｃｄａｔａ（ＩＤｎ）を不揮発性メモリ２０５ｂから読み出す。暗号化されたＥｎｃｄａｔａ（ＩＤｎ）は１６バイトのデータである。

Ｓ８０２でマイコン２０２ｂは認証チップ１０６から受信されたパスワードＰｗｄと、暗号化されたＥｎｃｄａｔａ（ＩＤｎ）とを用いてデータを復号する。パスワードＰｗｄは復号鍵として（１４）式に代入される。

Ｄｅｃｄａｔａ＝Ｄｅｃ（Ｐｗｄ， ＥｎＣｄａｔａ（ＩＤｎ））＝ＡＥＳ＿Ｄｅｃ（（Ｐｗｄ， Ｅｎｃｄａｔａ（ＩＤｎ）） ・・・・・（１４）
ここで、ＡＥＳ＿ＤｅｃはＮＩＳＴ＿ＦＩＰＳ＿ＰＵＢ １９７に記載されたＡＥＳを利用した復号化関数である。復号鍵としてパスワードＰｗｄが採用され、入力データとして、暗号化されたＥｎｃｄａｔａ（ＩＤｎ）が採用されている。

Ｓ８０３でマイコン２０２ｂは、復号されたデータＤｅｃｄａｔａと識別情報ＩＤｎとが一致するかどうかを判定する。一致していれば、マイコン２０２ｂはＳ４０４に進む。一致していなければ、マイコン２０２ｂはＳ４１０に進む。

不揮発性メモリ２０５ｂに記憶されているＥｎｃｄａｔａ（ＩＤｎ）は、（１４）式で求められるＤｅｃｄａｔａが識別情報ＩＤｎと一致するように、予め生成される。すなわち、識別情報ＩＤｎをパスワードＰｗｄでＡＥＳ暗号化（つまりＡＥＳ＿Ｄｅｃの逆関数で暗号化）して得られるものが、Ｅｎｃｄａｔａ（ＩＤｎ）である。受信されたパスワードＰｗｄが正しい場合、Ｅｎｃｄａｔａ（ＩＤｎ）が正しく復号される。このように、不揮発性メモリ２０５ｂに記憶されている暗号化されたデータＥｎｃｄａｔａ（ＩＤｎ）は、パスワードＰｗｄで識別情報ＩＤｎを暗号化することで生成されたデータである。暗号化されたデータＥｎｃｄａｔａ（ＩＤｎ）が何らかの理由で暴露されたとしてもＤｅｃｄａｔａは不明のままである。パスワードＰｗｄが判明しない限り、Ｄｅｃｄａｔａは安全である。よって、実施例３は、実施例１と同様にセキュアなパスワード認証を実現できる。

図９は実施例３において不揮発性メモリ２０５ｂに記憶されるメモリデータマップを示している。図５で示された実施例１のハッシュ化されたパスワードＨｐａｓｓ’（ＩＤｎ）に代えて、暗号化されたデータＥｎｃｄａｔａ（ＩＤｎ）が記憶されている。

（１４）式はＡＥＳの復号化関数を採用している。暗号化関数と復号化関数は双対的で互いに逆変換可能である。そのため、復号化関数が暗号化関数に置換されてもよい。

＜実施例４＞
図１０は実施例１のマイコン２０２ｂに搭載されたＣＰＵよって実現される機能を示している。ＣＰＵはプロセッサ回路の一例である。図１０に示された機能の一部またはすべてがＡＳＩＣまたはＦＰＧＡなどのハードウエア回路により実現されてもよい。ＡＳＩＣは特定用途集積回路の略称である。ＦＰＧＡはフィールドプログラマブルゲートアレイの略称である。

パスワード認証部１０００は、識別情報ＩＤｎに対応した比較情報を読み出し、ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行する。具体的には、取得部１００１は識別情報ＩＤｎに対応した比較情報であるＨｐａｓｓ’（ＩＤｎ）を不揮発性メモリ２０５ｂから取得して、比較部１００３に入力する。演算部１００２はパスワードＰｗｄに基づきハッシュ化されたパスワードであるＨｐａｓｓ（ＩＤｎ）を生成して、比較部１００３に入力する。比較部１００３は、Ｈｐａｓｓ’（ＩＤｎ）とＨｐａｓｓ（ＩＤｎ）を比較してパスワード認証を実行し、実行結果であるエラービットＥｒｒを連結部１００４に渡す。

レスポンス生成部１０１０は、パスワード認証部１０００によるパスワード認証が成功すると、チャレンジＣｄａｔａに基づきレスポンスＲｄａｔａを生成する。取得部１０１１は、識別情報ＩＤｎに対応する暗号化された認証演算コードＥｎｃＡｕｔｈ（）を不揮発性メモリ２０５ｂから取得して、復号部１０１２に渡す。復号部１０１２は、パスワードＰｗｄを用いて、暗号化された認証演算コードＥｎｃＡｕｔｈ（）から認証演算コードＡｕｔｈ（）を復号して、実行部１０１３に渡す。実行部１０１３は、認証演算コードＥｎｃＡｕｔｈ（）に引数としてチャレンジＣｄａｔａを設定し、認証演算コードＥｎｃＡｕｔｈ（）を実行する。これによりレスポンスＲｄａｔａが生成される。実行部１０１３は、レスポンスＲｄａｔａを連結部１００４に渡す。連結部１００４は、エラービットＥｒｒとレスポンスＲｄａｔａとを連結してレスポンスデータを生成して、入出力回路２０１ｂの出力回路に出力する。入出力回路２０１ｂの出力回路はレスポンスデータを送信する。

図１１は認証チップ１０６のマイコン２０２ａに搭載されたＣＰＵよって実現される機能を示している。ＣＰＵはプロセッサ回路の一例である。図１１に示された機能の一部またはすべてがＡＳＩＣまたはＦＰＧＡなどのハードウエア回路により実現されてもよい。

パスワード生成部１１０１は、被認証チップ１０３の認証情報ＩＤｍと、不揮発性メモリ２０５ａから取得されたマスターパスワードとに基づきパスワードＰｗｄを生成する。チャレンジ生成部１１０２は、乱数発生器を内蔵しており、乱数発生器を用いてチャレンジＣｄａｔａを生成する。チャレンジ生成部１１０２は、入出力回路２０１ａに設けられた出力回路を通じてチャレンジＣｄａｔａを送信する。また、チャレンジ生成部１１０２は、不揮発性メモリ２０５ａを介してチャレンジＣｄａｔａを実行部１１０３に渡す。実行部１１０３は、引数としてＣｄａｔａを認証演算コードＡｕｔｈ（）にセットして、認証演算コードＡｕｔｈ（）を実行し、認証データＡｕｔｈ（Ｃｄａｔａ）を生成して、判定部１１０５に渡す。

分離部１１０４は、入出力回路２０１ａに設けられた入力回路により受信されたレスポンスデータであるＥｒｒ｜｜ＲｄａｔａをエラービットＥｒｒとレスポンスＲｄａｔａとに分離する。判定部１１０５は、認証データＡｕｔｈ（Ｃｄａｔａ）とレスポンスＲｄａｔａを比較することで、被認証チップ１０３を認証する。判定部１１０５は、エラービットＥｒｒが１であるか、または、認証データＡｕｔｈ（Ｃｄａｔａ）とレスポンスＲｄａｔａとが不一致であれば、認証失敗と判定する。判定部１１０５は、エラービットＥｒｒが０であり、かつ、認証データＡｕｔｈ（Ｃｄａｔａ）とレスポンスＲｄａｔａとが一致すれば、認証成功と判定する。

図１２は実施例２のマイコン２０２ｂに搭載されたＣＰＵよって実現される機能を示している。パスワード認証部１０００は変更されていないため、その説明は省略される。図１２ではレスポンス生成部１０１０がレスポンス生成部１２１０に置換されている。レスポンス生成部１２１０は以下で説明される機能を有している。

取得部１２０１は、識別情報ＩＤｎに対応する暗号化された結合演算コードＥｎｃＣｏｎｃ（）を不揮発性メモリ２０５ｂから取得して、復号部１２０２に渡す。復号部１２０２は、パスワードＰｗｄを用いて、暗号化された結合演算コードＥｎｃＣｏｎｃ（）から結合演算コードＣｏｎｃ（）を復号し、実行部１０２３に渡す。復号部１２０２の復号アルゴリズムは実施例２で説明されたとおりである。

実行部１２０３は、前処理として、引数としてチャレンジＣｄａｔａをセットして結合演算コードＣｏｎｃ（）を実行し、Ｃｏｎｃ（Ｃｄａｔａ）を生成する。実行部１２０３は、前処理により生成されたＣｏｎｃ（Ｃｄａｔａ）を引数としてセットし、認証演算コードＡｕｔｈ（）を実行し、レスポンスＲｄａｔａを生成する。実行部１２０３は認証演算コードＡｕｔｈ（）を不揮発性メモリ２０５ｂから取得する。

図１３は実施例３のマイコン２０２ｂに搭載されたＣＰＵよって実現される機能を示している。パスワード認証部１０００がパスワード認証部１３００に置換されている。図１３ではレスポンス生成部１０１０は変更されていない。しかし、レスポンス生成部１０１０はレスポンス生成部１２１０に置換されてもよい。

図１３が示すように取得部１３０１は、識別情報ＩＤｎに対応する暗号データであるＥｎｃｄａｔａ（ＩＤｎ）を不揮発性メモリ２０５ｂから取得して、復号部１３０２に渡す。復号部１３０２は、パスワードＰｗｄを復号鍵として使用して、Ｅｎｃｄａｔａ（ＩＤｎ）から平文データＤｅｃｄａｔａ（ＩＤｎ）を復号し、比較部１３０３に渡す。比較部１３０３は、識別情報ＩＤｎと平文データＤｅｃｄａｔａ（ＩＤｎ）とが一致するかどうかを判定する。比較部１３０３は、判定結果を示すエラービットＥｒｒを連結部１００４に出力する。

＜実施例から導き出される技術思想＞
［観点１、２０、２１］
入出力回路２０１ｂに搭載された入力回路は認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段として機能する。マイコン２０２ｂおよび演算部１００２はパスワードをハッシュ化するハッシュ演算手段として機能する。マイコン２０２ｂおよび比較部１００３は識別情報に対応した比較情報を読み出し、ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行するパスワード認証手段として機能する。マイコン２０２ｂおよびレスポンス生成部１０１０は、パスワード認証が成功すると、チャレンジに基づきレスポンスを生成する生成手段として機能する。入出力回路２０１ｂに設けられた出力回路は、レスポンスを認証装置に送信する送信手段として機能する。

マイコン２０２ｂ（レスポンス生成部１０１０）は識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得する。マイコン２０２ｂ（レスポンス生成部１０１０）はパスワード認証に成功したパスワードを用いて、暗号化された認証演算コードから実行可能な認証演算コードを復号する。さらに、マイコン２０２ｂ（レスポンス生成部１０１０）は、当該認証演算コードにチャレンジを適用して当該認証演算コードを実行することでレスポンスを生成する。よって、被認証装置の複製が従来よりも困難になる。

［観点２］
図５が例示するように、不揮発性メモリ２０５ｂは、認証装置に割り当てられている識別情報と、予めパスワードをハッシュ化することで生成された比較情報と、暗号化された認証演算コードとを一組とした、複数の組を記憶した記憶手段として機能する。パスワード認証手段（例：パスワード認証部１０００）は、認証装置から受信された識別情報に対応した比較情報を記憶手段から読み出すように構成されていてもよい。レスポンス生成部１０１０は、認証装置から受信された識別情報に対応した暗号化された認証演算コードを記憶手段から読み出すように構成されていてもよい。

［観点３］
レスポンス生成部１０１０は、パスワードと暗号化された認証演算コードとを入力とし、認証演算コードを出力とする復号関数（例：Ｄｅｃ（））を使用して、認証演算コードを復号してもよい。これにより、プロセッサによって実行可能なプログラムコードが復号されてもよい。

［観点４、５］
復号関数は、たとえば、パスワードを共通鍵とする共通鍵暗号アルゴリズム（例：ＡＥＳなど）を実行する関数（例：ＣＢＣ＿ＡＥＳ＿Ｄｅｃ（））であってもよい。復号関数は、共通鍵暗号アルゴリズムを原始関数としたブロック暗号を実行する関数であってもよい。このようなブロック暗号手法としては、暗号ブロック連鎖モード（ＣＢＣモード）、暗号フィードバックモード（ＣＦＢモード）、出力フィードバックモード（ＣＯＢモード）またはカウンタモード（ＣＴＲモード）などがある。また、復号関数は、パスワードとカウンタと連結して用いる暗号学的ハッシュ関数を繰り返し演算することで得られたデータ列と、暗号化された認証演算コードとの排他的論理和を求めることで、認証演算コードを生成する関数であってもよい。これは（８）式により例示されている。

［観点７、８］
（５）式および（６）式が例示するように、認証演算コードは、予め保有する鍵にチャレンジを作用させてレスポンスを生成するようにプログラミングされたプログラムコードであってもよい。また、認証演算コードは、暗号化をベースとしてメッセージ認証コード（ＣＭＡＣ）を生成するアルゴリズムを使用して、チャレンジをレスポンスに変換してもよい。認証演算コードは、ハッシュ関数をベースとしてメッセージ認証コード（ＨＭＡＣ）を生成するアルゴリズムを使用して、チャレンジをレスポンスに変換してもよい。

［観点９、１０］
送信手段（例：入出力回路２０１ｂの出力回路）は、被認証装置に割り当てられた識別情報を認証装置に対して送信するように構成されていてもよい。（１）式が例示するように、認証装置から受信されるパスワードは、被認証装置に割り当てられた識別情報と認証装置が保持しているマスターパスワードに基づいて求められたパスワードであってもよい。たとえば、認証装置から受信されるパスワードは、被認証装置に割り当てられた識別情報と認証装置が保持しているマスターパスワードとを連結して得られたデータ列を暗号学的ハッシュ関数に入力することを求められたパスワードであってもよい。

［観点１１］
マイコン２０２ｂ（レスポンス生成部１２１０）は、パスワード認証が成功すると、実行可能なプログラムコードである認証演算コードにチャレンジを作用させて認証演算コードを実行することでレスポンスを生成してもよい。レスポンス生成部１２１０は、識別情報に対応して記憶されているプログラムコードであって暗号化された前処理演算コード（例：ＥｎｃＣｏｎｃ（））を取得する。前処理演算コードは、チャレンジに前処理を施し、前処理されたチャレンジを認証演算コードに渡すプログラムコードである。レスポンス生成部１２１０は、パスワード認証に成功したパスワードを用いて、暗号化された前処理演算コードから実行可能な前処理演算コード（例：Ｃｏｎｃ（））を復号する。レスポンス生成部１２１０は、当該前処理演算コードにチャレンジを適用して当該前処理演算コードを実行することで前処理データ（例：Ｃｏｎｃ（Ｃｄａｔａ））を生成する。レスポンス生成部１２１０は、当該前処理データを認証演算コードに作用させて認証演算コードを実行することでレスポンスを生成する。このように、認証演算コードの全体が暗号されている必要はなく、認証演算コードの一部となりうる前処理演算コード（結合演算コード）が暗号化されていてもよい。これにより、被認証装置の複製が従来よりも困難になる。

［観点１２］
図７が示すように、不揮発性メモリ２０５ｂは、認証装置に割り当てられている識別情報と、予めパスワードをハッシュ化することで生成された比較情報と、暗号化された前処理演算コードとを一組とした、複数の組を記憶した記憶手段の一例である。レスポンス生成部１２１０は、認証装置から受信された識別情報に対応した暗号化された前処理演算コードを記憶手段から読み出すように構成されていてもよい。

［観点１３］
レスポンス生成部１２１０は、パスワードと暗号化された前処理演算コードとを入力とし、前処理演算コードを出力とする復号関数を使用して、前処理演算コードを復号してもよい。

［観点１４］
実施例２で例示されたように、前処理演算コードは、予め保持されている鍵とチャレンジとを連結するプログラムコードであってもよい。前処理演算コードは、予め保持されている鍵とチャレンジとの排他的論理和を演算するプログラムコードであってもよい。前処理演算コードは、予め保持されている鍵の一部とチャレンジの一部との排他的論理和と、予め保持されている鍵の残りの一部とチャレンジの残りの一部との排他的論理和とを連結するプログラムコードであってもよい。

［観点１５］
実施例３で例示されたように、マイコン２０２ｂ（パスワード認証部１３００）は、識別情報に対応した暗号データを読み出し、暗号データにパスワードを復号鍵として作用させて暗号データから平文データを復号する復号手段として機能する。パスワード認証部１３００の比較部１３０３は、平文データと識別情報とを比較することでパスワード認証を実行するパスワード認証手段として機能する。

［観点１６］
図９が示すように、不揮発性メモリ２０５ｂは、認証装置に割り当てられている識別情報と、暗号データと、暗号化された認証演算コードとを一組とした、複数の組を記憶した記憶手段の一例である。復号手段（例：取得部１３０１）は、認証装置から受信された識別情報に対応した暗号データを記憶手段から読み出すように構成されていてもよい。レスポンス生成部１０１０は、認証装置から受信された識別情報に対応した暗号化された前処理演算コードを記憶手段から読み出すように構成されていてもよい。

［観点１７］
復号部１３０２は、パスワードと暗号データとを入力とし、平文データを出力とする復号関数を使用して、平文データを復号してもよい。

［観点１８］
図１３ではパスワード認証部１３００とレスポンス生成部１０１０とが組み合わされている。しかし、パスワード認証部１３００と、図１２で説明されたレスポンス生成部１２１０とが組み合わされてもよい。

［観点１９］
認証装置は画像形成装置１００であってってもよい。被認証装置は画像形成装置１００から着脱可能な交換部品または消耗品（例：プロセスカートリッジ１０２）であってもよい。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項が添付される。

１０３：被認証チップ、１０６：認証チップ、２０１：入出力回路、２０２：マイコン（ＣＰＵ）

Claims (21)

1. 認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段と、
   前記パスワードをハッシュ化するハッシュ演算手段と、
   前記識別情報に対応した比較情報を読み出し、前記ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行するパスワード認証手段と、
   前記パスワード認証が成功すると、前記チャレンジに基づきレスポンスを生成する生成手段と、
   前記レスポンスを前記認証装置に送信する送信手段と、
   を有し、
   前記生成手段は、
   前記識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得し、前記パスワード認証に成功した前記パスワードを用いて前記暗号化された認証演算コードから実行可能な認証演算コードを復号し、当該認証演算コードに前記チャレンジを適用して当該認証演算コードを実行することで前記レスポンスを生成することを特徴とする被認証装置。
2. 前記認証装置に割り当てられている識別情報と、予めパスワードをハッシュ化することで生成された比較情報と、前記暗号化された認証演算コードとを一組とした、複数の組を記憶した記憶手段をさらに有し、
   前記パスワード認証手段は、前記認証装置から受信された前記識別情報に対応した比較情報を前記記憶手段から読み出すように構成されており、
   前記生成手段は、前記認証装置から受信された前記識別情報に対応した前記暗号化された認証演算コードを前記記憶手段から読み出すように構成されていることを特徴とする請求項１に記載の被認証装置。
3. 前記生成手段は、前記パスワードと前記暗号化された認証演算コードとを入力とし、前記認証演算コードを出力とする復号関数を使用して、前記認証演算コードを復号することを特徴とする請求項１または２に記載の被認証装置。
4. 前記復号関数は、前記パスワードを共通鍵とする共通鍵暗号アルゴリズムを実行する関数であることを特徴とする請求項３に記載の被認証装置。
5. 前記復号関数は、前記共通鍵暗号アルゴリズムを原始関数とした、暗号ブロック連鎖モード、暗号フィードバックモード、出力フィードバックモードまたはカウンタモードに基づくブロック暗号を実行する関数であることを特徴とする請求項４に記載の被認証装置。
6. 前記復号関数は、前記パスワードとカウンタと連結して用いる暗号学的ハッシュ関数を繰り返し演算することで得られたデータ列と、前記暗号化された認証演算コードとの排他的論理和を求めることで、前記認証演算コードを生成する関数であることを特徴とする請求項３に記載の被認証装置。
7. 前記認証演算コードは、予め保有する鍵に前記チャレンジを作用させて前記レスポンスを生成するプログラムコードであることを特徴とする請求項１ないし６のいずれか一項に記載の被認証装置。
8. 前記認証演算コードは、暗号化をベースとしてメッセージ認証コード（ＣＭＡＣ）を生成するアルゴリズム、または、ハッシュ関数をベースとしてメッセージ認証コード（ＨＭＡＣ）を生成するアルゴリズムを使用して、前記チャレンジを前記レスポンスに変換することを特徴とする請求項７に記載の被認証装置。
9. 前記送信手段は、前記被認証装置に割り当てられた識別情報を前記認証装置に対して送信するように構成されており、
   前記認証装置から受信されるパスワードは、前記被認証装置に割り当てられた識別情報と前記認証装置が保持しているマスターパスワードに基づいて求められたパスワードであることを特徴とする請求項１ないし８のいずれか一項に記載の被認証装置。
10. 前記認証装置から受信されるパスワードは、前記被認証装置に割り当てられた識別情報と前記認証装置が保持しているマスターパスワードとを連結して得られたデータ列を暗号学的ハッシュ関数に入力することを求められたパスワードであることを特徴とする請求項９に記載の被認証装置。
11. 認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段と、
    前記パスワードをハッシュ化するハッシュ演算手段と、
    前記識別情報に対応した比較情報を読み出し、前記ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行するパスワード認証手段と、
    前記パスワード認証が成功すると、実行可能なプログラムコードである認証演算コードに前記チャレンジを作用させて前記認証演算コードを実行することでレスポンスを生成する生成手段と、
    前記レスポンスを前記認証装置に送信する送信手段と、
    を有し、
    前記生成手段は、
    前記識別情報に対応して記憶されているプログラムコードであって暗号化された前処理演算コードを取得し、前記パスワード認証に成功した前記パスワードを用いて前記暗号化された前処理演算コードから実行可能な前処理演算コードを復号し、当該前処理演算コードに前記チャレンジを適用して当該前処理演算コードを実行することで前処理データを生成し、当該前処理データを前記認証演算コードに作用させて前記認証演算コードを実行することで前記レスポンスを生成することを特徴とする被認証装置。
12. 前記認証装置に割り当てられている識別情報と、予めパスワードをハッシュ化することで生成された比較情報と、前記暗号化された前処理演算コードとを一組とした、複数の組を記憶した記憶手段をさらに有し、
    前記パスワード認証手段は、前記認証装置から受信された前記識別情報に対応した比較情報を前記記憶手段から読み出すように構成されており、
    前記生成手段は、前記認証装置から受信された前記識別情報に対応した前記暗号化された前処理演算コードを前記記憶手段から読み出すように構成されていることを特徴とする請求項１１に記載の被認証装置。
13. 前記生成手段は、前記パスワードと前記暗号化された前処理演算コードとを入力とし、前記前処理演算コードを出力とする復号関数を使用して、前記前処理演算コードを復号することを特徴とする請求項１１または１２に記載の被認証装置。
14. 前記前処理演算コードは、
    予め保持されている鍵と前記チャレンジとを連結するか、
    前記予め保持されている鍵と前記チャレンジとの排他的論理和を演算するか、
    前記予め保持されている鍵の一部と前記チャレンジの一部との排他的論理和と、前記予め保持されている鍵の残りの一部と前記チャレンジの残りの一部との排他的論理和とを連結するプログラムコードであることを特徴とする請求項１１ないし１３のいずれか一項に記載の被認証装置。
15. 認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段と、
    前記識別情報に対応した暗号データを読み出し、前記暗号データに前記パスワードを復号鍵として作用させて前記暗号データから平文データを復号する復号手段と、
    前記平文データと前記識別情報とを比較することでパスワード認証を実行するパスワード認証手段と、
    前記パスワード認証が成功すると、前記チャレンジに基づきレスポンスを生成する生成手段と、
    前記レスポンスを前記認証装置に送信する送信手段と、
    を有し、
    前記生成手段は、
    前記識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得し、前記パスワード認証に成功した前記パスワードを用いて前記暗号化された認証演算コードから実行可能な認証演算コードを復号し、当該認証演算コードに前記チャレンジを適用して当該認証演算コードを実行することで前記レスポンスを生成することを特徴とする被認証装置。
16. 前記認証装置に割り当てられている識別情報と、前記暗号データと、前記暗号化された認証演算コードとを一組とした、複数の組を記憶した記憶手段をさらに有し、
    前記復号手段は、前記認証装置から受信された前記識別情報に対応した前記暗号データを前記記憶手段から読み出すように構成されており、
    前記生成手段は、前記認証装置から受信された前記識別情報に対応した前記暗号化された前処理演算コードを前記記憶手段から読み出すように構成されていることを特徴とする請求項１５に記載の被認証装置。
17. 前記復号手段は、前記パスワードと前記暗号データとを入力とし、前記平文データを出力とする復号関数を使用して、前記平文データを復号することを特徴とする請求項１５または１６に記載の被認証装置。
18. 認証装置から識別情報、パスワードおよびチャレンジを受信する受信手段と、
    前記識別情報に対応した暗号データを読み出し、前記暗号データに前記パスワードを復号鍵として作用させて前記暗号データから平文データを復号する復号手段と、
    前記平文データと前記識別情報とを比較することでパスワード認証を実行するパスワード認証手段と、
    前記パスワード認証が成功すると、前記チャレンジに基づきレスポンスを生成する生成手段と、
    前記レスポンスを前記認証装置に送信する送信手段と、
    を有し、
    前記生成手段は、
    前記識別情報に対応して記憶されているプログラムコードであって暗号化された前処理演算コードを取得し、前記パスワード認証に成功した前記パスワードを用いて前記暗号化された前処理演算コードから実行可能な前処理演算コードを復号し、当該前処理演算コードに前記チャレンジを適用して当該前処理演算コードを実行することで前処理データを生成し、当該前処理データを、実行可能なプログラムコードである認証演算コードに作用させて前記認証演算コードを実行することで前記レスポンスを生成することを特徴とする被認証装置。
19. 前記認証装置は画像形成装置であって、前記被認証装置は前記画像形成装置から着脱可能な交換部品または消耗品であることを特徴とする請求項１ないし１８のいずれか一項に記載の被認証装置。
20. 認証装置と被認証装置とを有する認証システムであって、
    前記認証装置は、前記認証装置に割り当てられた識別情報、パスワードおよびチャレンジを前記被認証装置に送信し、前記被認証装置から前記チャレンジに対応したレスポンスを受信して、当該レスポンスを用いて前記被認証装置を認証するように構成されており、
    前記被認証装置は、請求項１ないし１６のいずれか一項に記載された被認証装置であることを特徴とする認証システム。
21. 認証装置が、前記認証装置の識別情報、パスワードおよびチャレンジを被認証装置に送信する工程と、
    前記被認証装置が、前記認証装置から前記識別情報、前記パスワードおよび前記チャレンジを受信する工程と、
    前記被認証装置が、前記パスワードをハッシュ化する工程と、
    前記被認証装置が、前記識別情報に対応した比較情報を読み出し、前記ハッシュ化されたパスワードと当該比較情報とを比較することでパスワード認証を実行する工程と、
    前記被認証装置が、前記パスワード認証が成功すると、前記識別情報に対応して記憶されているプログラムコードであって暗号化された認証演算コードを取得する工程と、
    前記被認証装置が、前記パスワード認証に成功した前記パスワードを用いて、前記暗号化された認証演算コードから実行可能な認証演算コードを復号する工程と、
    前記被認証装置が、当該認証演算コードに前記チャレンジを適用して当該認証演算コードを実行することでレスポンスを生成する工程と、
    前記被認証装置が、前記レスポンスを前記認証装置に送信する工程と、
    前記認証装置が、前記レスポンスを受信する工程と、
    前記認証装置が、前記レスポンスを用いて前記被認証装置を認証する工程と
    を有する認証方法。

Images