JP2024054260A - 耐量子ｓｉｍカード - Google Patents

Abstract

【課題】移動体通信装置に対してモバイルネットワークまたは統合電気通信網へのアクセスを可能にするように構成される耐量子スマートカードを備えるレガシー移動通信装置を提供する。【解決手段】レガシー移動体通信装置は、耐量子ＳＩＭカードであって、少なくともＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されるとおりのＡＥＳ－２５６およびｅＡＥＳを含む少なくとも２５６ビット暗号化の標準に従ってデータを暗号化し、既存の周波数を介して新無線ネットワークへの接続を可能にするアップグレードされたプロトコルスタックを動的にロードし、少なくともＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されるとおりのＡＥＳ－２５６またはｅＡＥＳを使用して、少なくとも２５６ビット暗号化の標準に従うデータの暗号化をサポートする耐量子ＳＩＭカードを備える。【選択図】図６

Description

本開示は一般に、チップカードデバイスを意味する、ＳＩＭカードに関する。

ＳＩＭカードはモバイル機器と共に使用することが一般に知られている。

ＳＩＭは、ｓｕｂｓｃｒｉｂｅｒ ｉｄｅｎｔｉｔｙ ｍｏｄｕｌｅまたはｓｕｂｓｃｒｉｂｅｒ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｍｏｄｕｌｅ（加入者識別モジュール）を表す。従って、ＳＩＭカードは、それを特定のモバイルネットワークに対して識別する固有の情報を含むことになり、それは、加入者（あなたのような）がそのデバイスの通信機能を使用するのを可能にする。

一部のモバイル機器は、所有者を識別してモバイルネットワークと通信するためにＳＩＭカードを必要とする。以下、簡単にするために、取外し可能ＳＩＭカードを使用する携帯電話に言及するが、埋め込みかどうかにかかわらず、ＳＩＭカードを使用する任意のモバイル機器が、本発明によって同等に見なされると理解されるべきである。

ＳＩＭカードは、単に小さなプラスチック片のように見える。重要な部分は、それが挿入されるモバイル機器によって読み取ることが可能であって、固有の識別番号、電話番号、およびそれが登録されているユーザーに固有の他のデータを含む、小型の集積チップである。

以下、１Ｇは無線セルラー技術の第１世代を指し、２Ｇは第２世代の技術を指す、等である。

２Ｇ電話技術は１９９１年から始まり、ＳＭＳ、画像メッセージ、およびＭＭＳなどのデータサービスと一緒に、通話およびテキストの暗号化を導入した。

１９９８年における３Ｇネットワークの導入は、２Ｇよりも高速なデータ通信速度をもたらした。これは、セキュリティを元のＧＳＭよりも実質的に改善した様々な改良も利用可能にした。

３Ｇ／ＬＴＥユーザーに対する１つの注意事項は、彼女／彼はそれを使用していない可能性があることである。ほとんどの電話は、３Ｇ／４Ｇ接続が利用できないと思われる場合、ＧＳＭに優雅に「フェイルオーバー」するようにプログラムされている。活発な攻撃者は、この特徴を利用してロールバック攻撃を実装する、つまり、３Ｇ／４Ｇ接続を詰まらせ、結果として２Ｇに対して利用可能なＧＳＭ攻撃の全てを復活させる。

これ故に、既存の２Ｇ、３Ｇおよび４Ｇ携帯電話におけるセキュリティを改善する必要があると思われ、これは、携帯電話を使用するユーザーが秘密のネットワーク取引を達成するために不可欠である。

本発明が克服することを目標とする問題の１つは、既存の２Ｇ、３Ｇおよび４Ｇ携帯電話における改善されたセキュリティの提供である。

本発明の一態様によれば、耐量子ＳＩＭカードは、移動体通信装置に対してモバイルネットワークまたは統合電気通信網へのアクセスを可能にするように構成されて、少なくともＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されたＡＥＳ－２５６およびｅＡＥＳを含むリストからの少なくとも２５６ビット暗号化の標準によるデータの暗号化のために構成された暗号化手段；意図したレガシー通信装置内にアップグレードされたプロトコルスタックを動的にロードして、意図したレガシー通信装置によってマスターされた既存の周波数を再使用することにより、意図したレガシー通信装置が新無線ネットワークに接続するのを可能にするように構成された動的ロード手段；ならびに少なくともＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されたＡＥＳ－２５６およびｅＡＥＳを含むリストからの少なくとも２５６ビット暗号化の標準に従ったデータの暗号化に対するサポートをＳＩＭカードが提供するのを可能にする少なくとも１つのハードウェアアクセラレータシステムを備える。

好ましい実施形態では、ｅＡＥＳは、ラウンド関数および鍵スケジュールを含み、ラウンド関数はＡＥＳに基づいており、鍵スケジュールは、ＳＨＡ２＋ＨＫＤＦ、ＳＨＡ３（ｃＳＨＡＫＥ）を少なくとも含むリスト内の組合わせのいずれか１つである。

さらに好ましい実施形態では、組合わせＳＨＡ２＋ＨＫＤＦ、副鍵は、意図したユーザーの鍵に基づき、ユーザーの鍵のＨＫＤＦ拡張、暗号正式名文字列およびラウンド数を使用して計算される。

さらに好ましい実施形態では、ｃＳＨＡＫＥは、ｅＡＥＳの構造において鍵導出機構として使用される。

本発明のいくつかの好ましい実施形態を示す添付の図面を参照した以下の説明の検討から、本発明の前述および他の目的、特徴および利点ならびにそれらを実現する方法はより明らかになり、本発明自体が最も良く理解されるであろう。

本明細書に組み込まれて本明細書の部分を構成する、添付の図面は、本発明の現在好ましい実施形態を例示しており、前述の一般的な説明および以下の詳細な説明と共に、本発明の特徴を説明するのに役立つ。

従来技術から周知のＵＩＣＣベースのＳＩＭカードの例を示しており、本発明を実装するために使用され得る。 従来技術に従った、ＵＩＣＣベースＳＩＭカードと非接触フロントエンド（ＣＬＦ）との間の接続例を示す。 本発明に従った、複数のＭＮＯプロファイルをサポートするＵＩＣＣベースＳＩＭカードの場合に実装されるような、ＮＲ互換性スタックアプリケーションを備えたソフトウェア層の一例を示す。 本発明の実装例に従って達成されたトランザクションを例示する流れ図を含む。 本発明の一例に従ったセキュアな鍵拡張機能のための擬似コードの例示を含む。 鍵スケジュールおよびラウンド関数のそれぞれの実行に関する流れ図を提供し、図５のセキュアな鍵拡張は鍵スケジュールのために使用されること、およびラウンド関数はＡＥＳラウンド関数、ＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準で定義されているので、ここでは情報提供のみを目的として提供される、と等しいことが指摘されており、改善された鍵スケジュールのおかげで、標準の改善されたバージョンを提供するために再使用される標準構成要素である。 鍵スケジュールおよびラウンド関数のそれぞれの実行に関する流れ図を提供し、図５のセキュアな鍵拡張は鍵スケジュールのために使用されること、およびラウンド関数はＡＥＳラウンド関数、ＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準で定義されているので、ここでは情報提供のみを目的として提供される、と等しいことが指摘されており、改善された鍵スケジュールのおかげで、標準の改善されたバージョンを提供するために再使用される標準構成要素である。

ここでは、同一の参照番号が、可能な場合には、図面に共通な同一の要素を指定するために使用される。また、画像は例示目的のために簡略化されており、原寸に比例して示されていない可能性がある。

本発明は、チップカードデバイスを意味する、ＳＩＭカードに関する。ＳＩＭカードは、特許公開で説明されており、その例は、ＤＥ１０１００９００６４８７ Ａ１、ＵＳ５４４２７０４ Ａ、ＵＳ５４９１８２７ＡおよびＵＳ６８５９６５０であり、それらは参照により本明細書に組み込まれる。しかし、用語「ＳＩＭカード」および「ＳＩＭ」は、ＳＩＭと同じかまたは類似のタイプの機能を可能にする任意のタイプのスマートカードを含み得る。ＳＩＭカードは、そのフォームファクタ、または埋め込み／統合本質とは無関係に考慮される。ＳＩＭカードはさらに、モバイルネットワークまたは統合電気通信網にアクセスすることを意図し、最小限のセキュリティとして２５６ビット対称暗号化レベルを備えて、たとえユーザーがデフォルトでかかる暗号化を欠いている２Ｇ、３Ｇまたは４Ｇネットワーク専用を意味するレガシー電話を使用する場合でさえ、電気通信網事業者がかかる暗号化をサポートするためにその事業者の相手方を通信に適合させるという条件で、エンドユーザーが安全に通信するのを可能にするように考慮される。

具体的には、本発明に従ったＳＩＭカードは好ましくは、少なくとも以下の暗号化アルゴリズムをサポートするのを可能にされる：

対応するＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されたＡＥＳ－２５６、および

以下で提供されるアルゴリズムおよび流れ図説明で定義されるｅＡＥＳ、この現在の設計で最大５１２ビットまでの鍵サイズを可能にする（理論上は、最大１０２４ビット鍵がサポートされるが範囲外である）。

ｅＡＥＳはかなり最近の命名なので、ここでその標準化を考慮してＩＳＯに提供された定義を引用する：ｅＡＥＳの目標は、２５６以上の鍵サイズをもつＡＥＳに対する新しい鍵スケジュールで１８０３３を拡張することである。１８０３３は言うまでもＩＳＯ番号である。ｅＡＥＳは、公表文献「ｔｏｗａｒｄｓ ｐｏｓｔ－ｑｕａｎｔｕｍ ｓｙｍｍｅｔｒｉｃ ｃｙｐｔｏｇｒａｐｈｙ，Ｊｏｈｎ Ｇｒｅｇｏｒｙ Ｕｎｄｅｒｈｉｌｌ ａｎｄ Ｓｔｉｅｐａｎ Ａｕｒｅｌｉｅｎ Ｋｏｖａｃ，ａｎｄ Ｘｅｎｉａ Ｂｏｇｏｍｏｌｅｃ」にさらに詳細に記述されており、ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１９／５５３．ｐｄｆにおいてオンラインで入手可能であり、この文書は参照により本明細書に組み込まれる。ｅＡＥS、進化したＡＥＳ、は、修正された鍵スケジュールをＡＥＳにもたらし、それは、暗号学的に安全な鍵導出関数に基づいており、攻撃者は、（ラウンドが）インクリメントされる、全てのラウンド鍵を取得する必要があるので、関連鍵攻撃などの古典的な攻撃を不可能にし、サイドチャネル攻撃をより困難にするのを可能にする。その耐量子フォーカスを所与として、それは２５６ビット以上の鍵を可能にし、ＮＩＳＴ ＩＲ ８１０５が予測したもの（鍵サイズを倍にする）と一致する。提案される新しい最大サイズは５１２である。

スマートカードが使用される事例では、ＳＩＭカードに限定するのとは対照的に、ｅＡＥＳｅはＤＵＫＰＴと共に使用され得る。ＡＮＳＩ Ｘ９．２４－３－２０１７はＤＵＫＰＴ標準に対する参考文献であることに注意すべきである。

具体的には、レガシー装置が本発明に従ったＳＩＭカードを使用する事例は、他の以前のＧＳＭ世代（２Ｇ、３Ｇおよび／または４Ｇ）の周波数を使用する新無線（ＮＲ）ネットワーク（≪５Ｇ≫）に加わり、事業者が、本格的な５Ｇネットワークを配備する代わりに、かかるアップグレードされたレガシーネットワークへの切替えを行うという条件で、ここでサポートされる。同時に、本発明に従ったＳＩＭカードは、通信のセキュリティに関して、そのセキュリティレベルを、今日利用可能な暗号解読ハードウェアに起因して、無しに近い、２Ｇに下げることを目的とする、所謂≪ダウングレード攻撃≫を効果のないものにする。

本発明に従ったＳＩＭカードは従って、現在の相互接続した社会の２つの主な問題を解決する。これは、人々が、銀行サービスへの唯一のアクセスとして自分のモバイル機器に、これが有する全ての安全保障と共に、依存する国々において特に当てはまる。このため、ｅＡＥSアルゴリズムは、その２５６ビット変形において、ネットワーク内でユーザーを識別するために、対応する鍵と同様、完全性保護および暗号化の両方のために、デフォルトで使用されるべきである。

ｅＡＥSアルゴリズムは、耐量子性、すなわち、主要なテクノロジー企業ＩＢＭを含む、主題の専門家によると、弱いＡＥＳの元の鍵スケジュールをアップグレードすることにより、２０２３～２０３３までに市場に出ると想定されるコンピュータに対する耐性を可能にし、それにより、かかるコンピュータによる攻撃への対抗を含め、暗号学的に安全になり、かつ関連鍵攻撃（元のＡＥＳ鍵スケジュールで可能であり、量子コンピュータによってさらに可能にされる）も可能にしない。本発明に従ったＳＩＭカードは、耐量子モバイルおよび収束通信を可能にする。その上、本発明に従ったＳＩＭカードは、その取外し可能バージョンの事例では、それを使用している装置を交換することなく、これを可能にして、５Ｇネットワークへ円滑で環境保護的に移行するのを可能にする。

同様に、通信事業者のインフラの側では、ｅＡＥＳへの切替えは、ＡＥＳを実行するために最適化された既存のハードウェアの再利用を可能にし、従って財務的および環境保護的コスト節約の観点から同様の効果をもたらす。

本明細書で使用される特徴ＳＩＭカード（ｆｅａｔｕｒｅ ＳＩＭ ｃａｒｄ）はレガシーＳＩＭカード技術を含むが、ｅＳＩＭ、ＳｏＣおよびＵＩＣＣの名前の下で当技術分野で周知の技術でもある。ｅＳｉｍは、その名前が示すとおり、埋め込まれたＳＩＭであり、ＳＩＭ ＳｏＣ（システムオンチップ）は従来型のＳＩＭカードの機能をエミュレートする。

以下では、用語ＵＩＣＣに言及し、それは、本発明の目的のためにＳＩＭカードと区別しないで使用され得る。用語ＵＩＣＣは汎用ＩＣカード（Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ）を表す。ＵＩＣＣは、高速無線ネットワーク内で使用されるより最新世代のＳＩＭである。ＵＩＣＣは、ユーザーを彼／彼女の無線事業者に対して識別し、それにより彼らがあなたのプランおよびサービスを知るようにする。それは、ユーザーの連絡先を格納し得、安全で信頼できる音声およびマルチメディアデータ接続、国際ローミングを可能して、新しいアプリケーションおよびサービスをリモートで追加する。ＵＩＣＣは、任意の３Ｇまたは４Ｇ装置と動作する汎用アプリケーション配布プラットフォームとして知られている。２Ｇ装置に対しては、従来型のＳＩＭカードを使用するのが一般的である。

しかし、ＵＩＣＣのＳＩＭカードに対する大きな優位性は、それは複数のアプリケーションをその上に持つことができることである。これらの１つ、ＵＳＩＭアプリケーションは、これらの標準：ユニバーサル移動体通信システム（ＵＭＴＳ）、高速パケットアクセス（ＨＳＰＡ）またはロングタームエボリューション（ＬＴＥ）の１つを使用して、あなた及びあなたの電話プランをあなたの無線サービスプロバイダに対して識別するものである。別のアプリケーション、ＣＤＭＡ ＳＩＭ（ＣＳＩＭ）は、ＧＳＭまたはＵＭＴＳネットワークとは異なる、ＣＤＭＡネットワークに対するアクセスを可能にする。他の可能なアプリケーションは、マルチメディアサービスに対するモバイルアクセスを保護する、ＩＳＩＭ、および支払いなどの非通信用アプリケーションを含む。例えば、多くの加入者は、それぞれ電話サービスおよびマルチメディア用のＵＳＩＭおよびＩＳＩＭアプリケーションを備えたＵＩＣＣを有する。

別の進歩は、ＵＩＣＣは、インターネットプロトコル（ＩＰ）、インターネットおよび新世代の無線ネットワークで使用される同じ標準、を使用して通信できることである。それは複数のＰＩＮコードもサポートでき、それは、第三者が個人情報を悪用するのを防ぐのに貢献できる。

図１は、本発明を実装するために使用され得るＵＩＣＣカードの例を示す。位置Ｃ４およびＣ８における端末内の接触要素は任意選択である。存在して使用されない場合、それらは状態Ｌにプルされるか、または高インピーダンスをＵＩＣＣに提供するかのいずれかである。ＵＩＣＣがマルチアプリケーションＵＩＣＣであると判断されるか、または端末がこれらの接点を使用して任意選択のインタフェースをサポートする場合、これらの接点が使用され得る。接点Ｃ６はプラグイン／ミニ－ＵＩＣＣに対して提供される必要がない。ＵＩＣＣカード（またはいかなるフォームファクタであれＳＩＭカード）はハードウェアアクセラレータをさらに統合して、ＳＨＡ－２、ＨＭＡＣおよびＡＥＳアルゴリズムを、それらをソフトウェアで実装することなく、ＳＨＡ－３（ＣＳＨＡＫＥ）を任意選択のアドオンとして、そのマイクロプロセッサおよび統合メモリ上に備えて、実行するのを可能にし、それは、本発明の範囲を超えており、ＡＲＭコアなどであるが、それに限定されない、業界標準構成要素をその目的で再使用することを意図する。

本発明に従ったＳＩＭカードは、当技術分野で周知のように、使用中のＳＩＭカード技術に対して利用可能なデジタル情報の送信用プロトコルを使用して、レガシー装置内に動的にロードするアプリケーションを埋め込んで、レガシー装置にアップグレードされたプロトコルスタックを提供し（「ＮＲ互換スタックアプリケーション」というラベルの付いた、アップグレードされたプロトコルスタックを含む、ＵＩＣＣシステム内の異なるソフトウェア層の表現例については図３を参照－「ｅＡＥＳ改良されたＩＳＤＲ」に関するメモ；ＩＳＤＲ（発行者セキュリティ領域－ルート）はＧｌｏｂａｌＰｌａｔｆｏｒｍ表現であるが、ここで本発明は［１］のｅＡＥＳアップグレードされた（非標準）バージョンによる［１］内のＡＥＳ暗号の置換を提供し、それは願わくは将来標準化されるであろう。これは一部の利用シナリオにおいて問題を引き起こし得るので、元のＡＥＳに依存する、そのままでの［１］の使用は、本発明は［１］におけるようにＡＥＳ－２５６およびＳＨＡ２（－５１２）もサポートするという事実によってサポートされ、この組合わせは［１］によってサポートされる最強の暗号化プロファイルである。弱いプロファイルではない。参照［１］：ＧｌｏｂａｌＰｌａｔｆｏｒｍ：Ｓｅｃｕｒｅ ｃｈａｎｎｅｌ ｐｒｏｔｏｃｏｌ ’３’－ｃａｒｄ ｓｐｅｃｉｆｉｃａｔｉｏｎ ｖ２．２－ａｍｅｎｄｍｅｎｔ ｄ ｖ１．１．１（２０１４年７月））、事業者がかかる設計を使用することを希望する場合には（事業者はアップグレードされた暗号化と共に既存の３Ｇまたは４Ｇネットワークも使用し得る）、その国で何が使用されていようと、既存の２Ｇ、３Ｇまたは４Ｇ周波数を再使用して新無線（ＮＲ、５Ｇとも呼ばれる）ネットワークに接続する。ＮＲ用語では、それが具体的に行うのは、移動体通信事業者（ＭＮＯ）によって選択された周波数とは無関係に、ベアラ種別ＮＧ－ＲＡＮとの互換性を、ＭＮＯがかかるベアラ種別を使用することを選択すれば、可能にすることである。その目的を達成するために、それは３ＧＰＰ ＴＳ ３１．１１１ ｖｅｒｓｉｏｎ ９．４．０ Ｒｅｌｅａｓｅ ９で説明されているＵＳＩＭ機能による通話（ｃａｌｌ）制御を使用して、通話および／またはＵＳＳＤ操作をＮＲネットワーク上の安全な同等操作によって置き換える。後半部分は、ＭＮＯがＵＳＳＤメッセージに対してＮＲを使用しないことを選択する場合にも当てはまり、例えば、ＵＳＳＤメッセージはｅＡＥＳ暗号化を使用する安全な均等物によって置き換えられ、本発明でも説明される。図３は、複数のＭＮＯプロファイルをサポートするＵＩＣＣベースＳＩＭカードの場合にこれがどのように実装されるべきかを示す。

無線がソフトウェアアップグレードできる、より新しい４Ｇ電話の事例では、これはソフトウェアアップグレードと組み合わすことができ、いくつかの事例では≪真の≫ＮＲネットワークへの接続を可能にする。ＡＥＳアルゴリズムおよびそのｅＡＥＳへのアップグレードが関係する限り、同じ理論が５Ｇ装置に当てはまる（例えば、ソフトウェアアップデートはそれらの装置上でのｅＡＥＳへの切替えを可能にする）。問題のプロトコルスタックは標準であるので、それらは本明細書では詳細に説明されない。

ここで、ＳＩＭカードとレガシー通信装置との間の通信インタフェースの例を説明する。図２は、従来技術に従った、ＵＩＣＣベースＳＩＭカードと非接触フロントエンド（ＣＬＦ）との間の接続例を示す。ＵＩＣＣ内で提供されるＶｃｃ（接点Ｃ１）およびＧｎｄ（接点Ｃ５）は電力供給を提供するために端末によって再使用される。ＵＩＣＣのＳＷＩＯ（接点Ｃ６）はＵＩＣＣとＣＬＦとの間のデータ交換のために使用される。

ＳＩＭカードは、少なくとも１つのハードウェアアクセラレータシステムを含み、それは、ＳＩＭカードがｅＡＥＳアルゴリズムをサポートするするのを可能にする。少なくとも１つのハードウェアアクセラレータは、次：セキュアハッシュアルゴリズ２（ＳＨＡ－２）＋ハッシュベースメッセージ認証コード（ＨＭＡＣ）またはＳＨＡ－３（具体的には、そのＣＳＨＡＫＥ鍵導出関数）の１つ以上に対するサポートを提供する。「グルー（ｇｌｕｅ）」タイプのコンピュータコードは、最適なハードウェアアクセラレーションの恩恵を受けながら、ｅＡＥＳを実行するように構成される。好ましくは、ＳＨＡ－２＋ＨＭＡＣ（ベースの鍵導出関数）が最高レベルの互換性を提供するために使用される。

図４は、本発明に従ったＳＩＭカードを使用して達成されたトランザクションの方法を例示する流れ図を含む。

まず、ボックス［動作（例えば、モバイル支払い）を開始する］で、ＳＩＭカードを収容している通信装置において、例えば、意図されたユーザーによりユーザーインタフェースを通して（図４では両方とも示されていない）、動作が開始される。

次のステップで、開始された動作が、ボックス［ＳＩＭがＵＳＳＤをキャプチャして送信者鍵で暗号化し次いでそれを事業者に送信する］でＵＳＳＤとしてＳＩＭカードに伝えられ、そのボックスでは、それがユーザーの鍵（送信者鍵）を使用して暗号化されて、ユーザーが通信装置と接続されるネットワークを運営する事業者に送信される。ＵＳＳＤは非構造化付加サービスデータを表しており、携帯電話（通信装置）とネットワーク内のアプリケーションプログラムとの間でテキストを送信するために使用されるグローバルシステムフォーモバイル（ＧＳＭ）通信技術である。ＵＳＳＤはショートメッセージサービス（ＳＭＳ）に類似しているが、ＳＭＳとは異なり、ＵＳＳＤトランザクションはセッション中にだけ発生する。本例では、ＵＳＳＤはモバイル支払いを開始するために使用され、それは通信装置から開始されるので「モバイル」である。「事業者（Ｏｐｅｒａｔｏｒ）」という用語は本明細書では、例えば、移動体通信事業者、銀行、清算機関のいずれか１つを指定するとして採用される。従って、それらの意味は事業者という用語と交換可能である。

次のステップで、事業者によって受信された暗号化ＵＳＳＤは、ボックス［事業者がＵＳＳＤに対するメッセージを解読してユーザーＩＤおよび残高をチェックする］で事業者によって処理され、そのボックスで事業者はＵＳＳＤからメッセージを解読して、ユーザーＩＤ、およびそのユーザーＩＤに結び付けられたユーザーに属する口座の残高をチェックし、それによりモバイル支払いがその口座から行われ得るかどうかを判断する。

次のステップで、ユーザーＩＤのチェックが肯定であるか、それとも否定であるかの事実に応じて、ボックス［識別が検証されたか？］で判断が行われる。否定の場合、開始された動作はボックス［拒絶］で拒絶されて、そこで方法は終了する。肯定の場合、方法はボックス［支払い要求か？］に進む。

ボックス［支払い要求か？］から次のステップで、開始された事例を通して支払いが意図されるかどうかが決定／チェックされる。肯定の場合、方法は、ボックス［残高が利用可能か？］でのチェック／判断に進む。否定の場合、方法はボックス［残高を送信者鍵で暗号化して送信者に返す］に進む。

次のステップで、ボックス［残高が利用可能か？］において、口座残高が所望の額の支払いに対してチェックされる。その額が残高によって明らかにされた額よりも大きい場合、方法はボックス［拒絶］に進み、そこで方法は終了する。額が残高に等しいか、または残高より小さい場合、方法はボックス［トランザクションのログおよび適用］に進む。

ボックス［トランザクションのログおよび適用］の次のステップで、トランザクションのロギングの実際に要求された処理、およびトランザクション自体の達成が実行される。

ボックス［トランザクションのログおよび適用］の次のステップで、方法は判断ボックス［ｅＡＥＳ受信者か？］に進む。このボックスでは、トランザクションの受信者がｅＡＥＳ暗号化を使用した安全なメッセージングを通して連絡を取ることができるかどうかを判断する。肯定の場合、方法はボックス［ＵＳＳＤを受信者鍵で暗号化して、受信者に送信する］に進む。否定の場合、方法は、トランザクションに関する受信者への通知をトリガーする、ボックス［受信者はトランザクションを通知される］に進む。

方法が、ボックス［ＵＳＳＤを受信者鍵で暗号化して、受信者に送信する］に向けられた場合、ＵＳＳＤは暗号化メッセージで準備され、方法はボックス［受信者はトランザクションを通知される］に進み、そのボックスで暗号化されたＵＳＳＤはトランザクションの受信者への通知内で使用される。

ボックス［受信者はトランザクションを通知される］から離れた次のステップで、ボックス［暗号化が利用可能か？］における判断は、通知が暗号化され得るか、それとも暗号化されないかをチェックする。肯定の場合、暗号化されたＵＳＳＤは、ボックス［ＳＩＭはＵＳＳＤに対するメッセージを解読する］によって表されるように受信者のＳＩＭで解読される。否定の場合、ボックス［ＵＳＳＤはプレーンテキストで受信される］によって示唆されるように、非暗号化ＵＳＳＤの形における通知がプレーンテキストで受信される。

トランザクションは、適用されてログされた後、受信者のＵＥがｅＡＥＳに対応していない場合、プレーンテキストで受信者に通知され得る。

ここで、ボックス［残高を送信者鍵で暗号化して送信者に返す］に至る方法の分岐に戻ると、これは、開始ユーザーに彼女の利用可能な残高を通知することを意図したステップであり、それにより残高の値が事業者の側で暗号化されて送信者に返送される。

ボックス［ＳＩＭはメッセージをキャプチャして解読する］の次のステップで、以前のステップからの暗号化されたメッセージは、送信者の通信装置のＳＩＭカード内で受信され、そこでそれが解読されて方法は終了する。

本発明はある好ましい実施形態に関連して開示されているが、説明された実施形態に対する多数の修正、改変、および変更、ならびにその均等物が、本発明の領域および範囲から逸脱することなく可能である。それに応じて、本発明は説明された実施形態に限定されず、添付のクレームの意味に従い最も広い合理的解釈を与えられることが意図される。具体的には、本発明は決してＵＩＣＣ ＳＩＭカードフォーマットに限定されず、古典的なＳＩＭカードの事例、またはより新しい埋め込みＳＩＭカードもしくはＳＩＭカードをエミュレートするシステムオンチップさえの事例のいずれにも適用できる。

最新の対称ブロック暗号ベースの暗号化アルゴリズムは、２つの主要部分から成る：鍵への攻撃に対する構造の抵抗力を決定し、ユーザーの鍵からラウンド鍵を構築するのに役立つ、鍵スケジュール、および一定数のラウンドに対して呼ばれるコア暗号化ループ、従って、≪ラウンド関数≫と短縮されることもある。ＡＥＳ標準では、鍵スケジュールは主にＸＯＲ（排他的ＯＲ）二項演算に依存しており、それ故、暗号学的に安全であると見なすことはできない。これは、１２８ビットより高い鍵サイズを使用する場合に、関連鍵攻撃に対して鍵を安全にするための回避策、耐量子性のための必需品、を見つけるために実装に負担をかける。今後は、エレガントで既存のサーバーソフトウェア、とりわけＡＥＳ－ＮＩおよびＳＨＡ－ＮＩ命令を備えたＩｎｔｅｌプロセッサ、と互換性のある、その問題に対するソリューションが提供される。

さて、意図するユーザー／送信者のＳＩＭカード内に実装される暗号化機構まできたが、これはｅＡＥＳを利用し、それは同様にラウンド関数および鍵スケジュールを使用する。

ラウンド関数はＡＥＳ仕様と同一であり、それによりＡＥＳに対する既存のＣＰＵ最適化とのハードウェア互換性を可能にする。メインループ内で処理されるラウンド数はＮｒの値によって決定されて、ＡＥＳ仕様とは異なる（それは代わりに、ＡＥＳに対する基礎となる元のＲｉｊｎｄａｅｌ設計の推奨に基づく）。これは、より大きな安全性を達成するために、コアＡＥＳループは、ＡＥＳ標準におけるよりも多くの回数、実行されることを意味し、正確な回数はＮｒによって定義されている。

セキュアな鍵拡張機能の概要が擬似コードとして図５に例示されている。オクテット鍵サイズｋｓは、３２ビット語での暗号ブロックサイズＮｂ×ラウンドの回数Ｎｒ＋１×各３２ビット語でのオクテット数として計算される。バイトの一時的配列ｔｍｐは、入力暗号鍵および任意選択の配布コード（ｄｉｓｔｒｉｂｕｔｉｏｎ ｃｏｄｅ）ｄｃ配列を入力として使用してＨＫＤＦ Ｅｘｐａｎｄ（または代替としてｃＳＨＡＫＥ）によって生成される。ＨＫＤＦは、ハッシュベースメッセージ認証［１］コード（ＨＭＡＣ）に基づく単純な鍵導出関数（ＫＤＦ）である。ここで辿る主なアプローチは、ＨＫＤＦ拡張であり、この場合ＫＤＦは論理的に鍵をいくつかの追加の擬似ランダム鍵（ＫＤＦの出力）に「拡張する」。それは、ＲＦＣ ５８６９に正式に記述されている。ｃＳＨＡＫＥは、ＦＩＰＳ ２０２に定義されたＳＨＡＫＥ関数のカスタマイズ可能な変形である。ＳＨＡＫＥ（セキュアハッシュアルゴリズムおよびＫＥＣＣＡＫ）は、拡張可能出力関数（またはＸＯＦ）である。それはＳＨＡ－３のようであるが、可変サイズの出力をもつ。ＨＫＤＦまたはｃＳＨＡＫＥのいずれかの使用は、ＸＯＲに基づく元のＡＥＳ鍵スケジュールとは対照的に、鍵スケジュールを暗号学的に安全にする。現在の知識に従って十分に大きい鍵、すなわち、少なくとも２５６ビットの鍵で動作する場合、ラウンド関数自体が耐量子と考えられるので、ＳＨＡ－２ ５１２などのより高いＳＨＡ－２およびＳＨＡ－３プロファイルは耐量子であると考えられ、それにより、構造全体を耐量子にする。オクテットサイズの整数のこの配列は次いで、３２ビット語に変換されてラウンド副鍵配列ｗに追加される。

図６および図７は、鍵スケジュールおよびラウンド関数のそれぞれの実行に関する流れ図を提供する。

図６は、ｅＡＥＳにおけるデフォルトのＨＫＤＦ（ＨＭＡＣ（ＳＨＡ２））鍵スケジュールを説明し、ここでは、図５の擬似コードでさらに詳細に説明されているとおり、入力暗号鍵（ユーザーの鍵）に基づき、副鍵が鍵のＨＫＤＦ拡張、暗号正式名文字列およびラウンド数を使用して計算される。図７に関して、これは、ＳＨＡ２＋ＨＫＤＦを使用する実装例を説明しており、それはＡＥＳラウンド関数の正確な均等物であるので、ラウンド関数をここでさらに詳細に説明しても無駄である。さらなる詳細について、読者はＩＳＯ／ＩＥＣ １８０３３－３：２０１１、または対応するＮＩＳＴ公表文献に付託され、その両方はＦＲＡＮＤ条件下で利用可能である。同じことはＨＫＤＦの詳細にも当てはまり、それはＩＥＴＦ標準として公開されており、従って、インターネット上で自由に利用可能である。最後に、ＳＨＡ－２もＮＩＳＴ標準であるので、それはＮＩＳＴウェブサイト上で利用可能である。

本明細書で既に前述のとおり、任意のスマートカードは、それが、支払いを含め、ＳＩＭと同じタイプの機能を可能にする限り、しかし、ＧＳＭシステムに固有である、ＵＳＳＤメッセージに依存することなく、ＳＩＭカードの代わりに適合されるように含まれるべきであり、従って、ＳＩＭカードの使用をそのようなものとして伴う。

Claims (10)

1. レガシー移動体通信装置であって、
   耐量子ＳＩＭカードであって、
   少なくともＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されるとおりのＡＥＳ－２５６およびｅＡＥＳを含む少なくとも２５６ビット暗号化の標準に従ってデータを暗号化し、
   既存の周波数を介して新無線ネットワークへの接続を可能にするアップグレードされたプロトコルスタックを動的にロードし、
   少なくとも前記ＩＳＯ／ＩＥＣ １８０３３－３：２０１１標準に定義されるとおりのＡＥＳ－２５６またはｅＡＥＳを使用して、前記少なくとも２５６ビット暗号化の標準に従うデータの暗号化をサポートする
   ように構成された、耐量子ＳＩＭカード
   を備える、レガシー移動体通信装置。
2. 前記耐量子ＳＩＭカードのｅＡＥＳは、
   鍵スケジュールであって、前記鍵スケジュールは、ＳＨＡ２＋ＨＫＤＦ副鍵またはＳＨＡ３（ｃＳＨＡＫＥ）副鍵のどちらかを備える、鍵スケジュール
   を備える、請求項１に記載のレガシー移動体通信装置。
3. 前記耐量子ＳＩＭカードのｅＡＥＳは、
   ラウンド関数であって、前記ＳＨＡ２＋ＨＫＤＦ副鍵は、意図されるユーザーの鍵に基づき、前記意図されるユーザーの鍵のＨＫＤＦ拡張、暗号正式名文字列、およびラウンド数を使用して計算される、ラウンド関数
   を備える、請求項２に記載のレガシー移動体通信装置。
4. 前記耐量子ＳＩＭカードのｅＡＥＳは、デフォルトで前記ＳＨＡ２＋ＨＫＤＦ副鍵を計算する、請求項３に記載のレガシー移動体通信装置。
5. 前記暗号正式名文字列は、市場特化型または垂直特化型の個別化を可能にする、請求項３に記載のレガシー移動体通信装置。
6. 前記耐量子ＳＩＭカードのｅＡＥＳは、
   ラウンド関数であって、ＳＨＡ３ハードウェアアクセラレーションが利用可能であるときに、ｃＳＨＡＫＥがＳＨＡ２＋ＨＫＤＦの代替としてｅＡＥＳの構造において鍵導出機構として使用される、ラウンド関数
   を備える、請求項２に記載のレガシー移動体通信装置。
7. 前記耐量子ＳＩＭカードは、
   ＩＳＯ／ＩＥＣ １８０３３－３およびＩＳＯ／ＩＥＣ １８０３３－７に標準化されることになるｅＡＥＳに従って前記データを暗号化するように構成された暗号化手段
   をさらに備える、請求項１に記載のレガシー移動体通信装置。
8. 前記耐量子ＳＩＭカードは、
   前記新無線ネットワークに接続するために前記アップグレードされたプロトコルスタックをロードするように構成された動的ロード手段
   を備える、請求項１に記載のレガシー移動体通信装置。
9. 前記耐量子ＳＩＭカードは、
   前記データの暗号化のサポートを可能にする少なくとも１つのハードウェアアクセラレータ
   を備える、請求項１に記載のレガシー移動体通信装置。
10. 前記少なくとも１つのハードウェアアクセラレータは、ｅＡＥＳの場合において、乱数生成に役立つように動作可能である、請求項９に記載のレガシー移動体通信装置。

Images