JP3890510B2 - 無線周波数識別システムにおける暗号学的な認証を行なう方法 - Google Patents

Description

本発明は、無線周波数識別システムにおける暗号学的な認証を行なう方法に関する。
人間、動物及び物体を識別する際、最近、（定置の又は持運び可能な）リーダ又はベース局とも称する読取り装置が識別すべき物体に結合されたトランスポンダに交番磁界を介してエネルギーを供給し、それについてトランスポンダが、ここに記憶されたデータの送信によって応答するシステムが優れているとわかった。利用された周波数範囲に基づいて、無線周波数識別システム、省略してＲＦＩＤとも称する。
ＲＦＩＤ−トランスポンダは、一般にアンテナコイル及び集積回路からなり、この集積回路は、例えば電圧供給、クロック発生、実行制御、及び識別のために必要なデータの記憶を行なうような必要なあらゆる電子的回路ブロックを含んでいる。アンテナコイルに対して並列に接続された容量は、同様にしばしば集積回路の構成部分である。しかしこれは、個別構成要素によって形成してもよい。
ＲＦＩＤ読取り装置は、送信コイルと容量を含む振動回路からなり、この振動回路は、一般に固定の周波数（例えば１２５ｋＨｚ）を有する信号によりドライバ段から制御される。さらに読取り装置は、吸収変調によってトランスポンダから送信されるデータを認識し、かつデータ又は命令を例えばフィールドの変調によってトランスポンダに送信するために、電子回路ブロックを含んでいる。
読取り装置とトランスポンダは、データ−又はエネルギー伝送の際に、緩い連結の変圧器を形成している。それ故にエネルギー伝送量は、比較的わずかである。
エネルギー及びデータの非接触伝送のための達成できる到達距離は、次のような境界条件によって影響を受ける：
・送信エネルギー（法的な規定によって制限される）
・コイルの寸法
・環境の妨害レベル
・共振周波数の一致
・変調ストローク
・整流器を介した電圧損失
・利用された伝送方法
例えば運び去り禁止の形の適用において、点火錠の回りに配置された小さな送信コイルによってきわめて不都合な伝送条件が生じる。これに関してシステムを最小の損失になるように最適化することが有効である。その際、次のことが決定的である：
・ベース局とトランスポンダの同じ共振周波数
・時間的に最適化された伝送プロトコル
・エネルギー伝送の際の最小の損失
・ベース局へのデータ伝送（読取り）の際の最大の変調ストローク
・トランスポンダへの最適なデータ伝送（送信）
ヨーロッパ特許出願公開第０６８３２９３号明細書によれば、無線周波数識別システムにおける認証を行なう方法が公知であり、ここでは暗号学的な認証を行なうために、チャレンジ−及びレスポンス−プロトコルが利用される。
自動車のスタートの際、利用者は、点火キーを回転してから機関のスタートまでに１５０ｍｓより長い期間を時間遅れと知覚する。その結果、全伝送プロトコルは、このきわめて短い期間内に行なわなければならないことになる。その際、多くの点に注意することが有効である。一方において一回のデータ伝送が正しい結果を提供するようにし、他方においてアルゴリズムによる認証のような追加的な機能は、できるだけ短い時間内に行なうようにする。
本発明の課題は、できるだけ短い時間内に行なわれる、無線周波数識別システムにおける暗号学的な認証を行なう方法を提供することにある。
この課題は、請求の範囲第１及び４項の特徴を有する無線周波数識別システムにおける暗号学的な認証を行なう方法によって解決される。本発明の有利な構成は、請求の範囲従属請求項の特徴にしたがって行なわれる。
識別すべき物体に結合されたトランスポンダに問合わせ信号の交番磁界を介してエネルギーを供給するベース局を有する無線周波数識別システムにおける暗号学的な認証を行なう方法は、次の方法ステップを有する。
ベース局とトランスポンダの間の大体においてすべての通信に対して、ベース局は、問合わせ信号を発生する。トランスポンダは、ベース局から送信された問合わせ信号の受信の際に、そのメモリ内にファイルされた識別番号によって応答する。それについてベース局は、トランスポンダの識別番号に対応するキービット列によって、ここから発生された第１のビット列を暗号化し、かつこのようにして得られた第２のビット列をトランスポンダに送信する。
第２のビット列の受信の際に、トランスポンダは、第２のビット列から監視ビット列を発生し、かつ第２のビット列を完全に受信した後に、これをベース局に送信する。この監視ビット列は、第２のビット列の正しい受信をチェックするために使われる。暗号学的な認証のために、トランスポンダは、第２のビット列から再構成された第１のビット列を、トランスポンダに対応するキービット列によって暗号化し、かつこのようにして得られた第３のビット列をベース局に送信する。
まだトランスポンダが第２のビット列を第３のビット列に暗号化している間に、ベース局は、監視ビット列によって、第２のビット列の伝送の際に誤りが生じたかどうかをチェックし、場合によってはトランスポンダにおける継続中の暗号化を中断する。それにより正しい結果を予期することができないので、継続中の認証を中断することができる。認証方法の新たな経過のスタートの際に時間が得られる。
そうでない場合、ベース局は、受信された第３のビット列の有効性をテストする。
認証のための期間のそれ以上の短縮は、トランスポンダが、ベース局に送信する前に、第３のビット列の長さを半分にすることによって達成される。
方法の１つの構成において、ベース局は、方法の初めに即座に、ここから発生される第１のビット列をここに及びトランスポンダに対応するキービット列によって暗号化し、かつこのようにして得られた第２のビット列を、まずトランスポンダの識別番号の受信を評価する代わりに、即座にトランスポンダに送信する。それにより認証のための期間のそれ以上の短縮が達成される。
【図面の簡単な説明】
図１は、トランスポンダ側において無線周波数識別システムにおける暗号学的な認証を行なう方法のフローチャートを示し；
図２は、自動車のための運び去り禁止における方法の経過を示し；
図３は、ベース局とトランスポンダの間の通信の際の種々の信号経過を示し；
図４は、暗号学的な認証によるＲＦＩＤシステムの詳細なフローチャートを示している。
次に本発明による方法を、実施例により図面によって説明する。暗号学的な認証の基本方式を詳細に説明するために、ＴＥＭＩＣにより例えば運び去り禁止のようなとくに高度の安全性の要求に対して開発されかつ最適化された方法、ＴＩＭＥ（ＴＥＭＩＣ Ｉｍｍｏｂｉｌｉｚｅｒ Ｅｎｃｒｙｐｔｉｏｎ）を取扱い、この方法は、次のような特徴を有する：
・確実かつ迅速な認証（＜１００ｍｓ）
・用途について最適化された高度に安全なアルゴリズム
・無類の暗号の顧客に固有の発生
それによりデータ伝送の際にも本来の暗号化の際にも、きわめて短い認証時間に関連して高度の安全性が達成される。図１は、ＴＥＭＩＣにより最小の期間に最適化された認証の経過を示している。このことは、とくに第１にアルゴリズムの計算のために必要なわずかな期間（暗号化時間３０ｍｓ）、第２に特別な方法による８バイトから４バイトへ応答の短縮、及び第３に誤りの場合を認識した際に経過をいつでも中断できる可能性にある。
ＲＦＩＤシステムの初期設定の際、トランスポンダとベース局に、クリプトアルゴリズムの機能を決めかつとくに発生される１２０ビットの長さのすべての暗号学的なキー、いわゆるクリプトキーが伝送される。このキーは、全システムにおいて無類である。別のどのＲＦＩＤシステムも、すなわち別のどのベース局もかつ別のどのトランスポンダも、このキーを持たない。
動作中にトランスポンダは、ベース局と同期化した後に（セットアップ）、固定の長さ（アプリケーションに関係なく例えば６４ビット）の一義的に決まるビット列（ストリング）を、いわゆるＩＤ−コード又は省略してＩＤを、ベース局に送信する。このＩＤは、通常キー識別のために利用される。このことは、種々のトランスポンダ（異なったクリプトキーを有する）を１つのベース局と共同作業させようとするときに必要である。
利用される認証プロトコルにおいて、“既知のプレーンテキスト”−及び“選ばれたプレーンテキスト”−アタックが無効であるという特徴を有する、図２に示すようなチャレンジ−及びレスポンス−プロトコルが問題になっている。
ベース局は、６４ビットの乱数Ｚの形の第１のビット列を発生し、かつこれを、クリプトキーから発生される３２ビットの部分キーによって暗号化する。得られた６４ビットのランダム結果−いわゆるチャレンジ−の形の第２のビット列は、トランスポンダに送信される。同じ部分キーを有するトランスポンダだけが、ランダム値を再構成することができる。したがってプロトコルの傍観者は、乱数Ｚを取出すことができない。トランスポンダとベース局は、とくに開発されたアルゴリズムＡＵＴ６４を利用して、１２０ビット−クリプト−キーによりチャレンジを暗号化する。６４ビットの暗号化結果から、それぞれ１つの３２ビット−記号列の形の第３のビット列が発生される。トランスポンダは、この記号列−いわゆる応答−をベース局に送信する。送信された応答と発生されたストリングが一致した際に、ベース局は、トランスポンダの認証を受け入れる。
利用されたアルゴリズムＡＵＴ６４は、ビットオリエンテッドのブロック暗号であり、このブロック暗号は、１２０ビットクリプトキーを利用して６４ビットから出力ストリングを発生する。６４ビット入力ストリング（ここでは乱数Ｚ）は、暗号化−２４の循環において−によって６４ビットの出力ストリング（ここでは暗号化結果）に移行する。それぞれの循環において、クリプトキーから発生された別のキーが利用される。この処置様式によって、高度の安全性が達成される。統計的な解析は、印象深い様式でこのことを確認した。このことは、大体においてそれぞれの循環において異なって（キー制御されて）選択される非直線暗号化によって基礎付けられている。
キー発生：１２０ビット−クリプト−キーの発生のためにＴＥＭＩＣは、とりわけデータ暗号化規格（ＤＥＳ）を乱数発生器として利用するプログラムを利用する。それにより利用者だけがクリプトキーに関する知識を有することが保証される。
ＡＵＴ６４のために利用される１２０ビット−クリプト−キーは、ファミリー−キー（２４ビット）、ユーザ−キー（６４ビット）及びランダム−キー（３２ビット）の成分からなる。ユーザ−キーは、製造者によってシリアル−キーを利用して発生される。
ランダム−キー：ランダム−キーは、ＤＥＳによって発生される。所属の５６ビット−ＤＥＳ−キー及びＤＥＳ−入力は、利用者によって決められるので、ＴＥＭＩＣは、ＤＥＳ−出力に関する、したがって発生されるランダム−キーに関する情報を持たない。
ファミリー−キー：それぞれのキーは、特殊プログラムによって発生され、その際とくに、異なった利用者が２４ビットの長さの異なったグループのファミリー−キーを受取ることが保証される。その際、それぞれの利用者に、利用者が１６の数の範囲から選択することができるように、１２ビットが割当てられる。このことが、ＴＥＭＩＣが後に使用されるキー関して有する唯一の知識である。
ユーザ−キー：その際、特殊な方法によって一度の６４ビット−乱数が発生され、すなわちそれぞれのユーザ−キーは、一度だけ発生される。繰返しは、２０．９＊１０＊１２発生されたユーザ−キーの後に初めて行なわれる。
伝送プロトコルの要約：
・初めにすべてのＩＤ−コード（識別）の送信を持つ必要はなく、チャレンジは、すでに電源−オン−リセットの後に送信され → ２０ｍｓの節約。
・アルゴリズムの計算（暗号化、チャレンジの暗号化）の間に、ベース局にチェック和が送信される。それによりチャレンジが正しく伝送されたかどうかがテストされる。これが正しくない場合、暗号化は、ギャップの送信により即座に中断することができ、かつ新しいチャレンジを送信することができる。したがって必然的に誤った、したがって無効の応答を持つ必要はない。
・暗号化の結果は、入力（チャレンジ）のように８バイトからなる。この６４ビットは、例えばＸＯＲ−関数によって論理結合されるので、４バイトだけを結果（応答）としてベース局に返送すればよい → 時間が半分になる（この例において２０ｍｓから１０ｍｓ）。
高度の安全性アルゴリズム：
・乱数、すなわちＡＵＴ６４−アルゴリズムのための入力は、直接伝送されるのではなく、まず暗号化される（結果＝チャレンジ） → 選ばれたプレーンテキストアタックは不可能。
・アルゴリズムＡＵＴ６４は、２４回通過し、かつその際、それぞれの循環において変化し、すなわち非直線暗号化は、それぞれの循環において異なって（キー制御されて）選択される → アルゴリズムは“破壊”困難。
キー−発生：
部分キー−ユーザ−キー−は、特殊な方法によって唯一のものであるように発生される。繰返しは、２０．９＊１０＊１２の発生されたユーザ−キーの後に初めて行なわれる。
利用者だけがランダム−キーの発生に影響を及ぼし、ＴＥＭＩＣもその他の者も、これに関する情報を持たない。
・ファミリー−キーにおいて、ＴＥＭＩＣは、部分範囲をそれぞれの利用者に任せる。この利用者、例えば自動車製造業者は、１６の数の範囲から選択することができ、したがってそれぞれの自動車系列（例えばそれぞれのＶＷゴルフ）に所定のファミリー−キー−部分キーを割当てることができる → それぞれの利用者は、キーにアクセスするアルゴリズムも異なるようにするため（例えばＶＷとオペルは、異なったキーを有する）、所定の部分キー範囲を受取る。
ここに記載した方法におけるデータ伝送は、３つの範囲に分割することができる：
・読取りモード＝トランスポンダからベース局へのデータ伝送
・送信モード ＝ベース局からトランスポンダへのデータ伝送
・書込みモード＝それに続くプログラミングを含むベース局からトランスポンダへのデータ伝送
データの完全性を、すなわち操作のない、したがって不変のデータ伝送を、個々のモードにおいて保証するために、種々の可能性が適用される。
読取りモードにおいて、データ（コード）は、トランスポンダのＥＥＰＲＯＭから読み出され、かつベース局に送信される。その際、第１の８ビットは、顧客固有のヘッダをなしており、このヘッダは、ＴＥＭＩＣによってプログラミングされ、かつ操作を防止する。別のビットは、顧客によって任意にプログラミング可能であり、かつ通常チェック和とともに継続的な番号を含んでいるので、コードの誤りを含んだ伝送を認識することができる。
利点：ヘッダとチェック和がテストされる。
送信モードは、スターと値（チャレンジ）の伝送の際に、認証のために利用される。その際、トランスポンダは、フィールドのすき間の間に伝送されたビット及びフィールドクロックの正しい数をチェックする。続いてこれは、正しい伝送を検証するために、伝送された“１”の数から形成されたチェック和をベース局（図５）に送信する。チェック和が正しくないとき、認証プロセスを中断し、かつ改めてスターとする可能性が存在する。
利点：フィールドのすき間におけるビット数及びクロック数、及びチェック和の送信がテストされる。
ＴＥＭＩＣ−記述方法は、読取り装置から発生されるＲＦ−フィールドのオン／オフ−キーイングに基づいている。
情報は、２つのフィールドすき間の間のフィールドクロックの数に含まれている（図３）。２つのポーズの間に到達したカウンタ状態のデコードにより、送信されたビットが認識される。データ情報に加えて、制御信号を伝送することも可能である。そのために別のカウンタ状態が定義される。読取り動作から書込み動作への移行は、フィールドすき間によって開始され、それからチップカードは、“送信モード”に切換えられ、かつ後続のデータが受取られる。データ伝送は、有効性及びデータビットの数についてチェックされる。送信モードは、遅くとも６４のフィールドクロックの後に、ポーズが認識されないとき、終了される。
書込モードの際、データは、まずベース局からトランスポンダに伝送され、かつ続いてＥＥＰＲＯＭ内にプログラミングされる。送信モードにおけるように、ここでもデータビットの正しい伝送がテストされる。書込むべきメモリ範囲が、相応するロックビットをセットすることによって、操作を防止されている場合、このことは、ＩＤＩＣによって記録され、かつプログラミングは阻止される（図４）。書込まれた論理チェックがすべて肯定的な結果になったとき、プログラミングのために必要なほぼ１６Ｖの高いプログラミング電圧が、内部で発生され、かつアナログ的に測定される。このチェックは、全プログラミング過程の間にも行なわれる。誤りの場合、ＩＤＩＣは、プログラミングを即座に中断し、かつ読取りモードに入り、その際、これは、ＩＤ−コードを伝送する。この特別な特性は、ベース局によって記録される。正しい経過の際、同様にプログラミングされたブロックは、検証のためにベース局に返送される。
利点：プログラミングの前に、チェックが行なわれる。
・データの伝送は、正しくなければならず、すなわちフィールドすき間の間に伝送されるビット数及びクロックは、合っていなければならない。
・パスワード保護を設定する必要はない。
・ロックビットを設定する必要はない。
・ＨＶ−電圧は、十分に大きくなければならない（ＥＥＰＲＯＭのプログラミングのためにほぼ１６Ｖが必要）。このことは、プログラミングの前及びその間にテストされる。
誤りの場合、ＩＣは、即座に、すなわち早期に読取り−モードに入り、かつデータを送信する。このことは、ベース局から認識することができる。
記憶されたデータを保護するため、複数の機構が装備されている：
・ロック機能
・パスワード−保護
・ＵＶ−保護
種々のメモリ範囲は、ロックビットのセットによって分離して操作を防止することができる。このロック機能は、解消できない。
パスワード保護が活性化すると、所定のデータは、正しいパスワードの送信後にしかメモリ内にプログラミングすることができず、又はメモリから読み出すことができない。例えばトランスポンダを引渡す前にそれぞれの顧客にわかっているパスワードだけしかプログラミングされないので、権限を持たない利用者は、メモリにアクセスすることができない。
侵入者が、ＥＥＰＲＯＭの消去によって、例えばＵＶ−照射によって、パスワード−保護又はロック機能を回避しようと試みた場合、ＵＶ−保護が有効になる。これは、一度完全に消去されたメモリのプログラミングを阻止する。

Claims (3)

1. ・ベース局が、問合わせ信号を発生し；
   ・トランスポンダが、ベース局から送信された問合わせ信号の受信の際に、そのメモリ内にファイルされた識別番号によって応答し；
   ・ベース局が、トランスポンダの識別番号に対応するキービット列によって、ここから発生された第１のビット列を暗号化し、かつこのようにして得られた第２のビット列をトランスポンダに送信し；
   ・トランスポンダが、第２のビット列から監視ビット列を発生し、かつトランスポンダに対応するキービット列によってこれを暗号化し、かつこのようにして得られた第３のビット列をベース局に送信し；
   ・ベース局が、受信された第３のビット列の有効性をテストする
   方法ステップを有する：識別すべき物体に結合されたトランスポンダに問合わせ信号の交番磁界を介してエネルギーを供給するベース局を有する無線周波数識別システムにおける暗号学的な認証を行なう方法において、
   ・第２のビット列の受信の際、トランスポンダが、第２のビット列から監視ビット列を発生し、かつ第２のビット列を完全に受信した後に、これをベース局に送信し；
   ・まだトランスポンダが第２のビット列を第３のビット列に暗号化している間に、ベース局が、監視ビット列によって、第２のビット列の伝送の際に誤りが生じたかどうかをチェックし、かつ場合によってはトランスポンダにおける継続中の暗号化を中断する
   ことを特徴とする、識別すべき物体に結合されたトランスポンダに問合わせ信号の交番磁界を介してエネルギーを供給するベース局を有する無線周波数識別システムにおける暗号学的な認証を行なう方法。
2. トランスポンダが、ベース局に送信する前に、第３のビット列の長さを半分にすることを特徴とする、請求項１に記載の暗号学的な認証を行なう方法。
3. ベース局が、方法の初めに即座に、ここから発生される第１のビット列をここに及びトランスポンダに対応するキービット列によって暗号化し、かつこのようにして得られた第２のビット列を、トランスポンダの識別番号の受信を評価する代わりに、トランスポンダに送信することを特徴とする、請求項１又は２に記載の暗号学的な認証を行なう方法。

Images