JP7074863B2

JP7074863B2 - デジタル認証書の撤回のための活性化コードを用いた暗号化方法及びそのシステム

Info

Publication number: JP7074863B2
Application number: JP2020538122A
Authority: JP
Inventors: アー．シンプリシオ，ジュニオールマルコス; ロペスコミネッティエドゥアルド; クプウェーデパティルハーシュ; エー．リカルディーニジェファーソン; ビニシウスエミ．シウバマルコス
Original assignee: LG Electronics Inc
Current assignee: LG Electronics Inc
Priority date: 2018-01-11
Filing date: 2019-01-10
Publication date: 2022-05-24
Anticipated expiration: 2039-01-10
Also published as: CN111684763A; CN111684763B; US11895250B2; EP3738272A1; WO2019140112A1; US20220158853A1; EP3738272A4; US20190215165A1; US11190363B2; JP2021510481A

Description

［関連出願の相互参照］
本出願は、この明細書に参照のために組み込まれ、２０１８年１月１１日に出願された米国特許仮出願６２／６１６,４１８“仮名認証書のための活性化コードの効率的な生成及び分布”及び２０１８年２月５日に出願された米国特許仮出願６２／６２６,６７２“活性化コードを用いた仮名認証書の効率的かつ安全な撤回のための方法”に基づいて優先権を主張する。
［著作権案内］

この特許書類開示の一部には、著作権保護の対象となる資料が含まれている。著作権所有者は、特許庁の出願ファイル又は記録に記載されているように、特許書類又は特許開示のいかなる者によるファクシミリ複製にも異議がないが、その他の点では全ての著作権を留保する。

本発明は、歩行者、スマートフォン、トラフィック信号及びその他の基盤施設だけではなく、自動車、トラック、汽車及び可能なその他の車両のうち、交通関連通信を含む保安通信に関する。

最近、モノインターネット(ＩｏＴ)として知られた物理的客体に内装されたデジタル技術が急増している。このようなトレンドは、車両対車両(Ｖ２Ｖ)、車両対インフラ(Ｖ２Ｉ)及び車両対歩行者(Ｖ２Ｐ)、総合して車両対事物(Ｖ２Ｘ)通信と呼ばれる相互作用モデルに対する探求に関心が増加した自動車産業にも至っている。Ｖ２Ｘは交通安全、効率及び人間対機械の相互作用を向上させることを目標とするいくつかの適用を可能にする。例えば、Ｖ２Ｘによって、車両は運転者に適当な速度を維持しながら、他の車両との安全距離を維持するようにする情報(例えば、速度、方向及び制動状態)を交換したり、通信したりすることができる。

実際に米国交通局では、自動車、バス、トラック、汽車、道路及びその他のインフラ、そして人々のスマートフォン及びその他の装置が互いに‘対話’できるようにする技術をテストして評価するための“接続車両”プログラムに着手している。高速道路上で自動車は、例えば、近距離無線信号を互いに通信するように使用して、道路上の全ての車両は近所に他の車両があることを知ることができる。運転者はカーブの向こうの見えないところの交差路近所の自動車又は近づく自動車がある時、だれかが道路上の事物を避けるために彼らの車線に方向を変更して赤信号に走行するような危険な状況に関する案内及び警報を受けることができる。ｈｔｔｐｓ：／／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｃｖ＿ｂａｓｉｃｓ／ｃｖ＿ｂａｓｉｃｓ＿ｗｈａｔ.ｈｔｍの米国交通局。“接続した車両は道路及び高速道路上で事故による死亡者及び重傷者の数を急に減少させることができる。また接続した車両は交通オプションを増加させ、走行時間を減少させることができる。トラフィックマネージャーは進和した通信データによって、トラフィックの流れを容易に統制して、増加する混雑を防止又は減少させることができる。これにより、燃料の消耗、燃料の排出を減らして、環境にも重要な影響を及ぼすことができる”

Ｖ２Ｘ技術及び接続した車両は増加した安全、トラフィック流れ、効率などの約束を提供する一方、かかる技術の大規模展開は若干の挑戦、特に、保安及びプライバシー関連問題の処理を必要とする。特に、Ｖ２Ｘ構造では、(１)車両間交換メッセージが合法的であり、ユーザーの不正行為を禁止していることを保証し、(２)正直なユーザーの匿名性を維持するため、他の車両やシステム自体によってその動きを簡単に追跡できないことが期待される。

車両間で交換するメッセージが合法的であることを保障するために、車両は個人キーを用いて各メッセージをデジタル方式で署名することができる。メッセージ受信者は送信される車両の共用キーを用いて署名を確認する。共用キーは所定の共用キーが委任された車両に属することを認証するデジタル認証書により認証される。認証書は認証機関(ＣＡｓ)と呼ばれる信頼性のあるコンピューターエンティティにより配分される。各認証書はＣＡにより署名され、メッセージ受信者がＣＡ署名を確認することにより認証書の認証確認を許容する。

車両が否定行為をすると、車両の認証書は撤回される。従って、信頼性のあるエンティティは、撤回された認証書を識別する認証書撤回リスト(ＣＲＬ)を周期的に配分する。ＣＲＬサイズは撤回された認証書又は撤回された車両の数に直接比例し、特に一つの車両に異なる有効期間に該当する複数の認証書がある場合があるので、大きくなる可能性がある。悪意のあるユーザにより、同じ有効期間に該当する多数の認証書が車両の追跡を難しくすることができ、これによりＣＲＬサイズをさらに増加する。

ＣＲＬサイズを減らすために、認証書の撤回には活性化コードを使用できる。車両が認証書を受信する時、活性化コードがないと、車両は認証書を復号化することができない。しかし、各認証書のための活性化コードは認証書の有効期間の直前に車両に提供される。例えば、この明細書に参照として含まれた、Ｅ.Ｖｅｒｈｅｕｌ,"ＡｃｔｉｖａｔｅｌａｔｅｒｃｅｒｔｉｆｉｃａｔｅｓｆｏｒＶ２Ｘ－ｃｏｍｂｉｎｉｎｇＩＴＳｅｆｆｉｃｉｅｎｃｙｗｉｔｈｐｒｉｖａｃｙ," ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ、Ｒｅｐｏｒｔ２０１６／１１５８、２０１６、ｈｔｔｐ：／／ｅｐｒｉｎｔ.ｉａｃｒ.ｏｒｇ／２０１６／１１５８;及び米国、ニューヨークの無線及びモバイルネットワークの保安及びプライバシーに関する１０番目のＡＣＭ会議のＰｒｏｃでＶ. Ｋｕｍａｒ、Ｊ. Ｐｅｔｉｔ及びＷ. Ｗｈｙｔｅ、“Ｂｉｎａｒｙｈａｓｈｔｒｅｅｂａｓｅｄｃｅｒｔｉｆｉｃａｔｅａｃｃｅｓｓｍａｎａｇｅｍｅｎｔｆｏｒｃｏｎｎｅｃｔｅｄｖｅｈｉｃｌｅｓ,” ｓｅｒ. ＷｉＳｅｃ'１７.ｐ１４５～１５５を参照。認証書の生成過程の効率を上げるために、認証書が各々の有効期間の前にできる限り早くバッチ(ｂａｔｃｈ)で生成されるが、認証書が撤回されると、活性化コードが発行されないようにＣＲＬに含まれない。従って、ＣＲＬサイズが減少する。

認証書の提供及び活性化の際には、演算費用及びネットワーク帯域幅を減少させることが好ましい。また認証書の使用は、不正又は“正直であるが好奇心が強い(ｈｏｎｅｓｔｂｕｔｃｕｒｉｏｕｓ)”認証書管理エンティティが共謀したとしても、システムと容易に妥協できないことを保障する必要があるため、複雑である。認証書管理エンティティにより提示された保安リスクを減少させることが好ましい。

このセクションでは発明のいくつかの特徴を要約する。他の特徴については、後続するセクションで説明する。この発明は、参照のためにこのセクションに含まれた添付の請求範囲により定義される。

本発明のいくつかの実施例は、活性化コードを用いる認証書管理技術を提供する。既存の認証書管理システムの一部は、本発明のいくつかの実施例による活性化コード技術を使用するように改造でき、追加の演算費用及び帯域幅の活用を最小限に抑えることができる。また、一部の認証書管理エンティティが共謀した場合にもユーザのプライバシー(匿名性)は保護される。

本発明は添付の特許請求の範囲により定義された場合を除いて、上述した特徴に限定されない。

この出願のシステム及び方法が動作する環境を表す図である。例示の環境への使用のためのコンピューティングデバイスを示すブロック図である。例示の環境において車両及びその他の装置のうち、通信の表現を示す図である。メッセージ認証のためのデジタル認証書を例示する図である。メッセージ認証のためのデジタル認証書を例示する図である。メッセージ認証のためのデジタル認証書を例示する図である。デジタル認証書の管理に適合するコンピューターシステムを示すブロック図である。デジタル認証書を生成するための従来技術の過程を示すフローチャートである。デジタル認証書を生成するための従来技術の過程を示すフローチャートである。本発明のいくつかの実施例において使用されたハッシュツリー(Ｈａｓｈｔｒｅｅ)を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。本発明のいくつかの実施例において使用されたデジタル認証書の管理を示す図である。

観点、実施形態、具現又は出願を説明する本明細書及び添付の図面は、請求範囲が保護する発明を定義するものであり、制限して解釈してはいけない。様々な機械的、構成的、構造的、電気的及び動作的な変化は、本説明及び請求の範囲の思想及び範囲から逸脱しない範囲内で変更することができる。いくつの場合、周知の回路、構造又は技術は当業者に知られているので、詳しい説明及び図示を省略する。２つ以上の図において、類似する図面番号は同一又は類似する構成要素を示す。

この明細書には、本出願と一致するいくつかの実施例を説明する具体的な事項が提示されている。実施例に関する完全な理解のために、多くの具体的な事項が提示されている。いくつかの実施例が具体的な事項の一部又は全部なしに実施可能であることは、当該技術分野における通常の知識を有する者にとって明らかである。ここに開示する特定の実施例は制限的に解釈してはならず、例示的なものとして考えなければならない。当該技術分野における通常の知識を有する者であれば、ここに具体的に説明していないが、本発明の範囲及び思想内における他の構成要素を認識することができる。また、不要な繰り返しを避けるために、実施例に関連して説明された一つ以上の特徴は、特に言及しない限り又は一つ以上の特徴が非機能的な実施例を形成する場合、他の実施例と併合することができる。
例示の環境

図１は本出願のシステム及び方法が動作できる環境を示す。図１は車両１１０Ｖ(自動車、トラック、可能な他のタイプ、例えば、汽車又は自転車)、歩行者１１０Ｐ、路辺の装備１１０Ｌ(例えば、近距離通信及び遠距離通信のためのハブ(ｈｕｂ)又はゲートウェイに従うトラフィック信号)のような様々なエンティティ又はオブジェクトとの複雑な交差点を示す。オブジェクト又はエンティティ１１０(１１０Ｖ、１１０Ｌ、１１０Ｐなど)は各々、スマートフォン、自動車情報装置又はその他のコンピューティングデバイスのような装備を運んだり含んだりする。各々のコンピューティングデバイスを用いて、オブジェクト又はエンティティ１１０は、情報、座標などを共有するために通信する(例えば、無線で)。各々の車両１１０Ｖは、例えば、自分の位置、速度、加速度、路線、方向、天気情報などをブロードキャストすることができる。かかるブロードキャストにより交通渋滞、事故、滑らかな道路条件に関するアドバンス情報を得て、各車両は他の車両がどこにあるかを把握することができる。これに対応して、かかる情報の車両受信器は、彼らの運転者に運行を中断したり、減速したり、路線を変更したり、又は迂回の助言を提供するために警報を発することができる。トラフィック信号は、車両及び／又はその他のオブジェクト１１０によりブロードキャストされるトラフィック条件に基づいて自動に調整できる。

図２は図１の環境において、例えば、通信及び調整などのために車両又はその他のエンティティ及びオブジェクトにより使用されるコンピューティングデバイス１５０の実施例を示す。図２に示すように、コンピューティングデバイス１５０は、コンピューター貯蔵庫(メモリ)１５０Ｓに接続する一つ以上のコンピュータープロセッサ１５０Ｐと、無線通信のための無線通信装備１５０Ｗとを含む。コンピューティングデバイス１５０の動作は、コンピューティングデバイス１５０Ｐにおいて、一つ以上の中央処理装置、マルチ－コアプロセッサ、マイクロプロセッサ、マイクロコントローラ、デジタル信号処理器、フィールドプログラム可能なゲートアレイ(ＦＰＧＡｓ)、アプリケーション特定の集積回路(ＡＳＩＣｓ)、グラフィックプロセシングユニット(ＧＰＵｓ)、テンソル(ｔｅｎｓｏｒ)プロセシングユニット(ＴＰＵｓ)、及び／又はその他の具現可能なプロセッサ１５０Ｐにより制御される。

メモリ１５０Ｓは、コンピューティングデバイス１５０及びコンピューティングデバイス１５０の動作時に使用される一つ以上のデータ構造により実行されたソフトウェアを貯蔵するために使用される。メモリ１５０Ｓは、一つ以上の機械読み取りメディアタイプを含む。機械読み取りメディアのいくつの共通様式は、フロッピーディスク、フレキシブルディスク、ハードディスク、マグネチックディスク、その他のマグネチックミディアム、ＣＤ－ＲＯＭ、その他の光学ミディアム、パンチカード、ペーパーテープ、ホールのパターンからなるその他の物理的媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＦＬＡＳＨ－ＥＰＲＯＭ、その他のメモリチップ又はカートリッジ、及び／又はプロセッサ又はコンピューターが読み取るように順応されたその他のミディアムを含む。

プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、適合する物理的配置で設けられる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、同じボード上、同じパッケージ(例えば、パッケージ内のシステム)、同じチップ(例えば、チップ上システム(ｓｙｓｔｅｍ－ｏｎ－ｃｈｉｐ)、及び／又はその他に具現されることができる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、分散した、仮想化された、及び／又はコンテナーに輸送されたコンピューティングリソースを含む。これらの実施例と一致して、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、一つ以上のデータセンター及び／又はグラウトコンピューティングの設備に位置することができる。いくつかの例示において、メモリ１５０Ｓは、コンピューティングデバイス１５０が単独で又は環境内の他のコンピューティングデバイスに連関して、この明細書でさらに説明される方法のいずれかを行うようにする、一つ以上のプロセッサ(例えば、プロセッサ１５０Ｐ)により実行される時、実行可能なコードを含む、一時的ではない、実存する機械読み取りメディアを含む。

コンピューティングデバイス又は装備１５０は、歩行者、車両の運転者、乗客、トラフィックマネージャー及びその他の人による使用のためのユーザインターフェース１５０ｉ、例えば、スマートフォン内のユーザインターフェース１５０i、自動車情報装置又はその他の装置の自動車情報装置を含む。

図３はＶ２Ｘ又は接続した車両技術により相互作用するエンティティ又はオブジェクト１１０又はこれらのコンピューティングデバイス１５０(オブジェクト１１０、ユーザ１１０、装備１５０は、混同がない時に相互作用して使用できる)のための通信技法の例を示す。場面３０８において、車両１１０Ｖは凍りついた路面に直面する。

車両１１０Ｖは、車両１１０Ｖ内又は車両１１０Ｖの周辺における急な制動、空回り、潜在的衝突などの条件をセンシングするための加速度計、制動モニタ、オブジェクト探知機、ＬＩＤＡＲなどの一つ以上のセンサーからなる搭載機材(ＯｎＢｏａｒｄＥｑｕｉｐｍｅｎｔ(ＯＢＥ))３０４を含む。かかるセンサを用いて、車両１１０Ｖは、例えば、場面３０８において、凍り付いた路面を探知することができる。これらのセンサは、コンピューティングデバイス又は装備１５０(図２)に情報を提供して自動にブレーキを適用し、ステアリングを調整してユーザが反応すべき場合にディスプレイ１５０ｉによりユーザに知らせることによりアクションを取ることができる。コンピューティングデバイス１５０は、これらのセンサにより提供された情報に関する診断又は分析を行うオン・ボード診断モジュール１６８を備える。

車両１１０Ｖ上において、複数の装備部品が基本安全メッセージ(ＢＳＭ)及び／又はその他のメッセージを相互又は他の車両と交換しながら通信する。ＢＳＭメッセージは、参照のために含まれた、Ｗｈｙｔｅｅｔａｌ.，“Ｖ２Ｖ通信のための保安資格マネジメントシステム”、ＩＥＥＥＶｅｈｉｃｕｌａｒＮｅｔｗｏｒｋｉｎｇＣｏｎｆｅｒｅｎｃｅ、２０１３、ｐｐ.１－８、及びＣＡＭＰ、“保安資格マネジメントシステム概念の検証を具現－ＳＣＭＳソフトウェアリリース１．１を支援するＥＥ要件及びスペック”車両安全通信コンソーシアム、Ｔｅｃｈ. Ｒｅｐ.，２０１６年５月(利用可能な資料：ｈｔｔｐｓ：Ｆ／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｐｉｌｏｔｓ／ｐｄｆ／ＳＣＭＳ_ＰＯＣ＿ＥＥ＿Ｒｅｑｕｉｒｅｍｅｎｔｓ.ｐｄｆ)に詳しく記載されている。

車両又はその他のオブジェクト１１０は、例えば、ＧＰＳ衛星１１７０又はセルラー三角測量を用いて、その位置を得ることができる。また車両１１０Ｖは、いくつかの実施例において、モバイルフォンのようなダイレクト近距離通信(ＤＳＲＣ)無線及び非－ＤＳＲＣ無線装備を含む通信装備１５０Ｗを含む。従って、車両はセルラーシステム又は路辺の装備(ＲＳＥ)１１０ＲＳＥにより直接、即ち、中間ネットワークスイッチを介さず、通信することができる。ＲＳＥは他のネットワーク、例えば、インターネットにゲートウェイのように作用することができる。この通信装備１５０Ｗを用いて、車両１１０はＶ２Ｘ及び接続した車両環境において、他の車両、エンティティ、オブジェクト１１０とＢＳＭメッセージ及びその他の情報を通信することができる。従って、車両１１０Ｖ／１６０は、場面３０８において、他のパートに凍り付いた路面の環境を知らせることができる。これと同様に、他の車両１１０は場面１０２０に位置することができ、該当場面において他の車両に冬の保持動作を警告することができる。

トラフィックマネジメントシステム１１０Ｌは、例えば、道路又は路辺、高速道路、横断歩道などに位置する停止信号、横断歩道信号などの装備を備えて、車両、人又はその他のオブジェクト及びエンティティの交通を管理し、制御することができる。トラフィックマネジメントシステム１１０Ｌは、コンピューティングデバイス１５０、センサ、ユーザインターフェース、通信装備などを含み、車両１１０Ｖと同一又は類似する装備を含む。

コンピューターシステム３１６は、Ｖ２Ｘ又は接続された車両の技術環境において、車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０に送信されるか、又は車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０から受信された情報に対して、これら各々のコンピューティングデバイス１５０と共に処理し、集合させ、発生させ又は作動させる。図示したものは走行情報システム３１８である。コンピューターシステム３１６は、例えば、一つ以上のサーバーに具現されるか又は併合される。かかるコンピューターシステム３１６は、例えば、位置及びマップ情報、走行指示、トラフィック警報及び警告、路辺のサービス(例えば、ガソリンスタンド、食堂、ホテルなど)に関する情報を提供又は支持する。かかるコンピューターシステム３１６は、例えば、トラフィック信号上でシグナリングを調整し、トラフィックを変更し、警報又は警告をポスティングしてオブジェクトを管理するために、環境において様々な車両、エンティティ及びオブジェクト１１０から情報を受信し、情報を処理して、環境により情報又は指示を通信する。

接続された車両又はＶ２Ｘ技術環境において、かかる通信能力は潜在的にエラー及び乱用に弱い。悪意のあるユーザ１１０(例えば、車両運営者又はトラフィックマネージャー)及び／又は欠陥のある装備１５０が偽り又は不正確な情報を他の車両に送信して、トラフィックに悪い影響を及ぼすことができる。かかる否定行為から保護するために、例えば、共用キーインフラ(ＰＫＩ)を用いて通信を認証する必要がある。各車両１１０Ｖ又はその他の装備は、個人キー(例えば、メッセージを署名するための)及び共用キー(署名確認のための)で備えられる。共用キーは公共に分散されるが、個人キーは秘密が保障される。

図４、図５Ａ及び図５Ｂは、接続車両又はＶ２Ｘ技術環境において、メッセージ認証のために使用できるデジタル認証書の例を示す。図４を参照すると、デジタル認証書１６０が示されている。

デジタル認証書１６０は多数のフィールド又はパラメータを有する。いくつかの実施例において、かかるフィールド又はパラメータは、認証書の有効期間１６５、署名スキームの識別及びその他の認証書ＩＤ１６１、ユーザＩＤ１６２(例えば、車両ＩＤ番号又はユーザＥメールアドレス)、車両(又はユーザ)の共用キー１６４及び可能な他のパラメータ(メタデータとも呼ばれる)を含む。また認証書１６０は、署名自体を除いた認証書の全分野に対して認証機関(ＣＡ)により形成された署名を含む。ＣＡは、例えば、コンピューター３１６上に存在するか、又はコンピューター３１６で具現される。

デジタル認証書１６０は、共用キー１６４を認証するために車両１１０Ｖに発行される。車両１１０Ｖは、車両の認証書１６０を車両により送信された各メッセージに付着する。メッセージ１７０は、メッセージボディー又はコンテンツ１７１及び個人キーを用いて車両により生成されたデジタル署名１７２を含む。メッセージ受信者は、ＣＡの共用キーを使用して署名１６６を確認し、共用キー１６４を含む認証書１６０を認証する。その後、受信者はメッセージ署名１７２を確認するために、共用キー１５４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６６及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。

車両が否定行為をすると(悪意又は故障により)、車両の認証書１６０が撤回される。例えば、ＣＡは有効期間１６５の満了後、新しい認証書を発行しない。有効期間１６５はメッセージ受信者が満了した認証書を検出するために使用することができる。

かかるスキームの不利益は、潜在的にユーザのプライバシーを含む。車両の送信が遮断されると、車両は認証書ＩＤ１６１又は車両により送信されたユーザＩＤ１６２をトラッキングして追跡される。ユーザのプライバシーを保護するために、ユーザにはＩＤ１６１及び１６２の代わりに、ランダムに見えるストリング(“仮名”)からなる多数の仮名認証書１６０ｐ(図５Ａ)が発行される。その後、車両はメッセージ送信に認証書１６０の代わりに仮名認証書を使用する。車両はトラッキングを避けるために、他のメッセージに対する他の仮名認証書を自動に使用することができる。

図５Ａはメッセージ１７０を伴う仮名認証書１６０ｐを示す。この認証書は仮名の認証機関(ＰＣＡ)により生成される。仮名１６４はＵで示され、認証書ＩＤ及び共用キーの役割を果たす。認証書１６０ｐは図４の認証書１６０と同様に、有効期間１６５、署名スキームの識別、ＰＣＡ署名１６７及びその他のパラメータを含む。仮名認証書１６０ｐは後述するように、認証書撤回のために使用された連鎖値(ｌｖ)(ｌｉｎｋａｇｅ値)を含む。

車両は、車両の仮名認証書１６０ｐのうちの一つを車両により送信された各メッセージ１７０に付着する。メッセージ受信者は、ＰＣＡ署名を確認するためにＰＣＡの共用キーを使用し、メッセージ署名１７２を確認するために仮名１６４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６７及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。かかる仮名認証書は保安資格管理システム(ＳＣＭＳ)で使用され、Ｗｈｙｔｅｅｔａｌ.に提案されており、その後にＣＡＭＰに拡張される。

“暗示的な認証書”と呼ばれる変異(図５Ｂ)において、共用キーＵの代わりに、仮名フィールド１６４はＶで示され、ＰＣＡの共用キーを有する誰かが認証書の共用キーＵを誘導するように許容する“資格(ｃｒｅｄｅｎｔｉａｌ)”データ(又は“共用キー復元”データ)である(Ｕは認証書１６０ｐに貯蔵される)。例えば、この明細書に参照のために含まれた“Ｃｅｒｔｉｃｏｍ. Ｓｅｃ４Ｖ１．０：ＥｌｌｉｐｔｉｃｃｕｒｖｅＱｕ－Ｖａｎｓｔｏｎｅ、暗示的な認証書スキーム(ＥＣＱＶ)。技術リポート、Ｃｅｒｔｉｃｏｍリサーチ、２０１３．ｈｔｔｐ:／／ｗｗｗ.ｓｅｃｇ.ｏｒｇ／ｓｅｃ４－１．０.ｐｄｆ”、(“Ｃｅｒｔｉｃｏｍ” ｂｅｌｏｗ)を参照。

メッセージ受信者は、メッセージ署名１７２を確認する必要がある時、まず仮名１６４(Ｖ)及びＰＣＡ共用キーからユーザの共用キーＵを再構成した後、署名を確認するために、ユーザの共用キーＵを使用する。かかる過程ではＰＣＡ共用キーを使用するので、認証書１６０ｐを処理したユーザからのものであり、メッセージ１７０を認証するだけではなく、ＰＣＡ２１０により認証されたものとして認証書１６０ｐを確認することができる。従って、特にＰＣＡの署名１６７が不要であり、省略されて認証書のサイズを減少させる。Ｃｅｒｔｉｃｏｍを参照。
認証書撤回

上述したように、(悪意又は故障により)車両が否定行為をすると、車両の認証書が撤回される。撤回された仮名の認証書リスト(“認証書撤回リスト”又はＣＲＬ)を車両メッセージの潜在的な受信者に配分することにより撤回が行われる。撤回された車両の数が多いと、ＣＲＬも増加する。大きいＣＲＬは多いメモリ、ネットワーク帯域幅及び所定の認証書がＣＲＬに存在するか否かを決定する探索時間を占める。また潜在的な受信者装置は、電源が遮断されたか又はネットワークカバレッジ領域外にある場合には、接続が難しい。従って、ＣＲＬサイズは小さいことが好ましい。

効率及び信頼性のために、大きいバッチ(ｂａｔｃｈｅｓ)に仮名認証書を生成し、認証書の有効期間１６５前に予め認証書を車両に配分することが好ましい。しかし、かかる政策は、車両が否定行為をすると、ＣＲＬが車両に発行されるが、有効ではない車両の認証書も含むので、潜在的にＣＲＬサイズを増加させる。これは、認証書を“適切な時(ｊｕｓｔｉｎｔｉｍｅ)”、即ち、認証書の有効期間１６５の直前に配分すると、避けることができる。

ＣＲＬサイズを制限するさらに他の方法は、上記引用した資料Ｅ.Ｖｅｒｈｅｕｌに説明された“先発行、後活性化のスキーム(ＩｓｓｕｅＦｉｒｓｔＡｃｔｉｖａｔｅＬａｔｅｒ(ＩＦＡＬ) ｓｃｈｅｍｅ”である。ＩＦＡＬにおいては、仮名認証書の大きいバッチ(ｂａｔｃｈｅｓ)が生成されて車両に予め提供されるが、活性化コードが活性化される前には認証書を使用できない。活性化コードは少ないが、適切な時、即ち、認証書の有効期間１６５の直前に車両に提供される。各々の認証書有効期間１６５のために別々の活性化コードが生成され、同じ有効期間を有する全ての認証書について有効である。“正直な”(否定行為をしない)デバイス110のみ活性化コードを受信する。

かかる接近では、車両が活性化コードを得るために、Ｖ２Ｘインフラに周期的に接続するが、活性化コードが非常に少ないので、かかる過程が認証書の該当有効期間の直前に認証書の小規模バッチ(ｂａｔｃｈｅｓ)の適切な時の伝達よりは多少煩わしい。しかし、活性化コードが該当活性化期間の間に認証書について使用されることができるので、活性化コードは撤回された認証書所有者は獲得できないように、安全な通信チャネルを介して配分する必要がある。

仮名認証書インフラにおいて、さらに他の問題は、仮名認証書を発行する認証機関(ＣＡ)が潜在的に存在するということである。他のエンティティと共謀しなくても、ＩＦＡＬにおいてＣＡは仮名認証書を該当デバイスに(ＣＡに提供された該当デバイスの登録認証書に)リンクすることができる。従って、ユーザのプライバシーは連結情報を削除しようとするＣＡの意志に依存する。

上述した問題の一部をアドレスする１つの技術は、Ｋｕｍａｒｅｔａｌ.に開示されたバイナリハッシュツリー基盤の認証書接続管理(ＢｉｎａｒｙＨａｓｈＴｒｅｅｂａｓｅｄＣｅｒｔｉｆｉｃａｔｅＡｃｃｅｓｓＭａｎａｇｅｍｅｎｔ(ＢＣＡＭ))である。ＩＦＡＬのように、ＢＣＡＭスキームは、デバイス特定値(ＤＳＶｓ)と呼ばれる永久データを適切な時に配分して、車両に予め配分された証明書を活性化させる。しかし、ＩＦＡＬとは異なって、ＢＣＡＭのＤＳＶは認証書の有効期間１６５だけではなく、連関する車両のＩＤに依存する。任意の車両に対するＤＳＶは任意の他の車両に対する認証書を活性化することができないので、正直な車両のＤＳＶは不安定なチャネルを介して放送し、任意のデバイスでキャッシュして、その後の分配を容易にすることができる。また、各車両に対する別々のＤＳＶ生成は、演算及びネットワーク費用を増加させる一方、ＤＳＶがハッシュツリーを用いて圧縮されることができる。

ＢＣＡＭはＳＣＭＳ構造と相互作用するように設計され、不正なＣＡ又は任意の他の非共謀システムエンティティから正直なユーザのプライバシーを保護するＳＣＭＳ能力を継承している。

特に、ＢＣＡＭのＤＳＶは認証書接続マネージャー(ＣＡＭ)によりブロードキャストされる少量の情報である。所定の車両に発行された認証書の各バッチ(ｂａｔｃｈ)はＣＡＭにより暗号化され、復号化キーは車両のＩＤからＣＡＭにより生成されたＤＳＶから車両により演算される。また、正直な車両のＤＳＶはバイナリハッシュツリーを用いて圧縮される。全ての車両が正直であれば、ＣＡＭはツリーのルートのみをブロードキャストして全ての車両が該当仮名認証書を復号するようにすることができる。

各々の有効期間の間に別途のツリーが生成される。所定の有効期間の間に否定行為車両を撤回するために、ＣＡＭは否定行為車両のＤＳＶ演算を許容するツリーノードを送信しない。

ＢＣＡＭは非常に効果的な撤回過程を生成するが、また追加共謀ポイントを生成する。ＣＡＭは(暗号化された)認証書のどのバッチ(ｂａｔｃｈ)が同じ車両に属するかを把握し、ＣＡＭはＣＡ(“仮名ＣＡ”又は“ＰＣＡ”)と共謀して認証書が車両により使用される時、認証書を共にリンクすることができる。また認証書の発行過程において、ＰＣＡは認証書を暗号化して認証書をさらに他のＳＣＭＳエンティティ(登録機関又はＲＡ)から隠し、ＣＡＭは認証書を再び暗号化してＤＳＶ無しに認証書の活性化を防止する。かかる二重暗号化は演算費用及びネットワーク帯域幅の活用を増加させる(ＰＣＡにおいて、一つの暗号化対比認証書を二重に暗号化する送信数の増加により)。

本発明によるいくつかの実施例において、２回の暗号化は１回に代替される。特に、ＣＡＭは認証書を暗号化しないが、ＣＡＭ－生成されたＤＳＶはＰＣＡにより行われた暗号化過程に含まれる。また、ＰＣＡはＤＳＶを知らない。却って、暗号化過程ではＤＳＶから生成されてＰＣＡに提供された暗号化コードを使用する。ＰＣＡは活性化コードからＤＳＶを復旧できず、所定の車両のための活性化コードを互いにリンクすることができない。反面、同じ車両に属する(暗号化された又はフレイン)認証書がＣＡＭに知られていないため、活性化コードがＣＡＭに知られていない。かかるスキームは、ＰＣＡ及びＣＡＭが共謀してもＰＣＡ及びＣＡＭが仮名認証書を車両にリンクするか又は互いにリンクすることを難しくする。

いくつかの実施例は例示する適切なＳＣＭＳ特徴を説明する。しかし、本発明はＳＣＭＳに制限されない。
保安資格管理システム(ＳＣＭＳ)

保安資格管理システム(ＳＣＭＳ)は、Ｖ２Ｘのための様々な仮名基盤の保安解決策のうち、最も優れた解決策である。実際、米国でＳＣＭＳはＶ２Ｘ－Ｖ２Ｖ及びＶ２Ｉ通信を保護するための先頭の車両共用－キーインフラ(ＶＰＫＩ)候補デザインの一つである。ＳＣＭＳは所定の任意の認証書管理エンティティがエンティティそれ自体によってデバイス１１０，１５０をトラッキングすることを防止しながら、その他のシステムエンティティと衝突せず、取り消し可能なプライバシーを処理することができる。これにより、ＳＣＭＳでは、システムのエンティティが“ｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ”として考慮できる、即ち、この文書に参照として含まれた、Ｋｈｏｄａｅｉｅｔａｌ.，“知能型交通に対するキー：車両通信システムにおける身元及び資格管理”、ＩＥＥＥＶｅｈｉｃｕｌａｒＴｅｃｈｎｏｌｏｇｙＭａｇａｚｉｎｅ、ｖｏｌ.１０、ｎｏ．４、ｐｐ．６３－６９、Ｄｅｃ２０１５に説明されているように、エンティティが正確なプロトコルに従うが、感知できない方式で行われば、車両を追跡できる脅威モデルをエレガントにアドレスしながら、Ｖ２Ｘの保安要求をコピーすることができる。これは、(Ａ)仮名認証書の大きいバッチ(ｂａｔｃｈｅｓ)を得るための車両に対する効率的なプライバシー保護方法と、(Ｂ)否定行為の場合、ユーザのプライバシーを撤回する補助過程とを結合して達成され、同一のユーザに属する多数の認証書を容易にリンクすることができる。

下記の説明は以下のように構成される。本発明の表記を導入して説明する。その後、仮名認証書(所謂、“バタフライ・キー拡張”)の集団を生成して伝達する手順に集中されるＳＣＭＳの概要を提供する。この論議は殆どＷ. Ｗｈｙｔｅ、Ａ. Ｗｅｉｍｅｒｓｋｉｒｃｈｅｔａｌ.に開示された情報に基づく。それにもかかわらず、いくつかの実施例はＣＡＭＰに適切であり、適切な時にＣＡＭＰにより変形される。

その後、活性化コードに基づく認証書撤回を説明し、認証書撤回に関するいくつかの実施例がＳＣＭＳにどのように統合されるかについて説明する。

次に、暗号化及び署名のためのバタフライ・キーの生成を統合して仮名提供手順を改善する本発明の発明者により定義されたｅＳＣＭと呼ばれるさらに他のシステムについて説明する。ｅＳＣＭＳはこの明細書に参照として含まれた２０１８年１０月１９日に出願された米国特許出願１６／１６５,８７１に説明されている。その後、認証書撤回に関するいくつかの実施例がどのようにｅＳＣＭＳに統合されるかについて説明する。
一般表記

便宜上、以下の‘シンボル’表は、Ｖ２Ｘ、接続車両及び／又はＳＣＭＳを含む関連環境について、この出願で採択した一般表記及びシンボルのリストを含む。

ｓｔｒ_１||ｓｔｒ_２はビットストリングｓｔｒ_１及びｓｔｒ_２の連結を示すために使用される。ｅｎｃ(キー、ｓｔｒ)はビットストリングｓｔｒのキーへの暗号化を示し、この暗号化は２００１年１１月、米国、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、米国商務省のＮＩＳＴ(ＮａｔｉｏｎａｌＩｎｓｔｉｔｕｔｅｏｆＳｔａｎｄａｒｄｓ及びＴｅｃｈｎｏｌｏｇｙ)、進化した暗号化標準(ＡＥＳ)、ＦＩＰＳＩ９７(ＦｅｄｅｒａｌＩｎｆｏｒｍａｔｉｏｎＰｒｏｃｅｓｓｉｎｇＳｔａｎｄａｒｄ)に詳しく説明されているように、ＡＥＳのような標準ブロック暗号を用いて行われることができる。利用可能な資料：ｈｔｔｐ：／／ｃｓｒｃ.ｎｉｓｔ.ｇｏｖ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｆｉｐｓ／ｆｉｐｓ１９７／ｆｉｐｓ－Ｌ９７.ｐｄｆ。これと同様に、ｈａｓｈ(ｓｔｒ)はｓｔｒのハッシュ(ｈａｓｈ)を示し、この文書に参考のために含まれた、２０１５年８月、米国、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、米国商務省のＮＩＳＴ、ＦＩＰＳ１８０－４－ＳｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ(ＳＨＳ)、ＤＯＩ：Ｌ０．６０２８／ＮＩＳＴ.ＦｌＰＳ.１８０－４、及び２０１５年８月、米国、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、米国商務省のＮＩＳＴ、ＦＩＰＳ２０２－ＳＨＡ－３Ｓｔａｎｄａｒｄ：Ｐｅｒｍｕｔａｔｉｏｎ－ＢａｓｅｄＨａｓｈ及びＥｘｔｅｎｄａｂｌｅ－ＯｕｔｐｕｔＦｕｎｃｔｉｏｎｓ、ＤＯＩ：１０．６０２８／ＮＩＳＴ.ＦｌＰＳ.２０２に詳しく説明されているように、ＳＨＡ－２又はＳＨＡ－３のような標準ハッシュ機能を利用する。

所定のストリングｓｔｒのバイト(ｂｙｔｅｓ)長さは|ｓｔｒ|で示す。“Ｇ_Ｅ”で示した楕円形の曲線グループ(さらに表記された)の生成ポイントをＧで示す。

ＳＣＭＳにおいて、各々のデバイス１１０，１５０は２つのタイプの認証書を受信する。長い有効期間Ｔを有し、システムにおいて有効なデバイスを識別する登録認証書１６０、及び多数の仮名認証書１６０ｐ。各々の仮名認証書はσ≧１の仮名認証書が同時に有効な方式で短い有効期間(例えば、数日)を有する。プライバシーを保護するために、特定の車両が車両通信に使用する仮名認証書を頻繁に変更するので、近所の車両又は路辺の装置によるトラッキングを避けることができる。実際に、一つの車両がシステムにより利点を得ることを目標とするプラトーン(ｐｌａｔｏｏｎ)として姿勢を取る“ｓｙｂｉｌ－ｌｉｋｅ”攻撃を避けるために、σの値を小さい数に制限することが有用である。(この攻撃は、参考のために含まれた、２００２年１月、Ｓｐｒｉｎｇｅｒ、Ｐｒｏｃｅｅｄｉｎｇｓｏｆ１ｓｔＩｎｔｅｒｎａｔｉｏｎａｌＷｏｒｋｓｈｏｐｏｎＰｅｅｒ－ｔｏ－Ｐｅｅｒｓｙｓｔｅｍｓ(ＩＰＴＰＳ)。Ｄｏｕｃｅｕｒ、“ＴｈｅＳｙｂｉｌ攻撃”に詳しく説明されている。利用可能な資料：ｈｔｔｐｓ：／／ｗｗｗ.ｍｉｃｒｏｓｏｆｔ.ｃｏｍ／ｅｎ－ｕｓ／ｒｅｓｅａｒｃｈ／ｐｕｂｌｉｃａｔｉｏｎ／ｔｈｅ－ｓｙｂｉｌ－攻撃／)(参考のために含まれた、Ｍｏａｌｌａｅｔａｌ.，“ＲｉｓｋａｎａｌｙｓｉｓｓｔｕｄｙｏｆＩＴＳｃｏｍｍｕｎｉｃａｔｉｏｎａｒｃｈｉｔｅｃｔｕｒｅ,”３ｒｄＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ及びＴｈｅＮｅｔｗｏｒｋｏｆｔｈｅＦｕｔｕｒｅ、２０１２、ｐｐ．２０３６－２０４０を参照)。例えば、このようなフェイクプラトーンは結局、混雑な道路に高い優先権を付与するためにプログラムされた信号灯から優先権を与える処理を受信する。
ＳＣＭＳ構造の例

図６はＳＣＭＳの例示的なコンピューターシステム構造の環境を示す。ＳＣＭＳは車両所有者の否定行為があった場合、多数の仮名認証書を容易に撤回するメカニズムを提供しながら、多数の仮名認証書を車両に効率的な方式で分配するように設計されている。

ＳＣＭＳにおいて、登録機関(ＲＡ)２２０は、仮名認証書集団１６０ｐを車両又はオブジェクト１１０／１５０に提供する。バタフライ・キーの拡張過程において、車両から受信された単一の要求から集団(ｂａｔｃｈ)が生成される。ＰＡ２２０は、車両の登録認証書１６０により車両要請を有効化する。登録認証書に加えて、各要求は、仮名認証書の提供過程の間に車両により生成された一部の共用キーを含む(１６４は除く)。かかる共用キーは、以下の図７に示すように、７１０で示される。またＰＡ２２０は、仮名認証機関(ＰＣＡ)２１０に共用キーを個々に送る前に、他のユーザに属する共用キー１７０を混ぜる。このようにＰＣＡ２１０は、要請グループを同じオブジェクト１１０／デバイス１５０にリンクすることができない。ＰＣＡ２１０は有効な認証書１６０ｐを交互に生成し、有効な認証書をデバイスにフォーワーディングするためのＲＡに伝達する前に、暗号化して符号化する。認証書１６０ｐが暗号化されるので、ＲＡは仮名認証書１６０ｐをデバイス１１０／１５０にリンクすることができない。ＰＣＡとＲＡが衝突しないと、これらは認証書１６０ｐをその所有者１１０／１５０にリンクすることができない。

連結機関(ｌｉｎｋａｇｅａｕｔｈｏｒｉｔｙ、ＬＡ)２３０又はより正確には２３０.１及び２３０.２で示される連結機関ＬＡ_１及びＬＡ_２は、仮名認証書１６０ｐに追加された連鎖値(図５Ａ及び図５Ｂにおいてｌｖ２３４)を生成するように結合されたランダムのビットストリングを生成して、仮名認証書を効率的に撤回することができる。連鎖値(ｌｖ)は仮名認証書によって異なるが、所定の登録認証書１６０のために一緒にリンクされる。この明細書に参照のために含まれた、２０１７年９月２１日に出願された米国出願６２／５６１,６６７を参照、この明細書に参照のために含まれた、２０１８年９月２０日に出願された米国出願１６／１３６,６２１を参照。またこの明細書に参照のために含まれた、２０１８年、ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１８/１８５.ｐｄｆ、ＭａｒｃｏｓＡ.ＳｉｍｐｌｉｃｉｏＪｒ. ｅｔａｌ.，“車両ネットワークにおいて仮名認証書を臨時連結又は撤回するためのプライバシー保存方法”を参照。

否定行為機関(ＭＡ)２５０は否定行為デバイスの認証書１６０ｐを得、同じデバイスの認証書１６０を全て撤回するように認証書の連鎖値２３４、ＲＡ及びＰＣＡから得たデータを使用する。

いくつかの実施例において、ＰＡ２２０、ＰＣＡ２１０、ＬＡｓ２３０及びＭＡ２５０は各々、一つ以上のコンピューティングデバイス(例えば、コンピューティングデバイス１５０又はコンピューターシステム３１６)と共に具現されるか、又は一つ以上のコンピューティングデバイスを含む。
ＳＣＭＳのバタフライ・キー拡張

ＳＭＣＳにおいて、仮名認証書の提供過程は、スモールサイズの要請メッセージを有する(短期)認証書１６０ｐの大規模集団を任意に得るためにデバイスの効率的なメカニズムを提供する。かかる過程は図７に示されている。まず要請デバイス１１０／１５０は２対の“キャタピラー”個人／共用キー７１０を生成する。

個人キーs及びeはランダムである。楕円形のカーブ暗号法を用いてキーが生成される。キー(s,S)は仮名１６４(図５Ａ、図５Ｂ)の生成に関し、上述したように、認証書１６４が署名確認によりメッセージ認証のために使用されるので、“署名キー”とも呼ばれる。キー(e,E)は、後述するように、ＲＡから仮名を隠すために行われた仮名認証書の暗号化に関する。これらのキーは“暗号化キー”とも呼ばれる。

段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。ＲＡに送られた要請は７１０で示された共用キャタピラー・キーS及びEを含む。キー７１０に加えて、要請は

で示された２つの適合する仮名機能(ＰＲＦ)７１４を定義するデータを含む。(いくつかの実施例において、機能定義データはかかる機能のシード(ｓｅｅｄｓ)である。機能の出力はシードから演算できる。又は、非効率的ではあるが、機能定義データはＰＲＦ用の演算アルゴリズムの説明を含めてＰＲＦの全体説明を含むことができる。

ＲＡは複数のデバイス110から上記要請を受信し、各々のデバイスに対するβ仮名認証書１６０ｐを以下のように生成する。各々の要請に対して、該当キーS及びEは段階８１４において共用コクーン・キー７１８を生成するＲＡにより使用される。より具体的には、段階８１４において、キーSはβ共用コクーン署名キーの生成に使用される。

全てのiに対して

が成立するように。同様に、同じ段階８１４において、ＲＡはβ共用コクーン暗号化キーを生成するためにキーEを使用する。

コクーン・キー７１８の対、即ち、複数のデバイス１１０からの

はＲＡにより混ぜられ(段階８１８)、及び該当仮名認証書１６０ｐの生成のために、ＰＣＡ２１０に個々に又は集団で送られる。各コクーン・キーの対は有効期間１６５及び連鎖値(ｌｖ)２３４の演算に必要なデータのようなメタデータにより伴われる。図４、図５Ａ及び図５Ｂを参照。

各々のコクーン・キーの対

において、ＰＣＡは図７の方法を用いて明示的な仮名認証書１６０ｐ(図５Ａ)を生成するか、又は図８に示したように、暗示的な認証手順(図５Ｂ及びＣｅｒｔｉｃｏｍ)に関与する。明示的又は暗示的な認証書１６０ｐはＰＣＡにより暗号化されて、ＲＡ(図７、図８における段階９００)に送られる。ＲＡは仮名認証書を“アン－シャッフル”(“ｕｎ－ｓｈｕｆｆｌｅｓ”)して、各々の仮名認証書を該当(関連する)デバイス１１０に送る。各々のデバイスのβ仮名認証書は該当デバイスに集団で送られる。

明示的な過程のために(図５Ａ、図７)、上記ＰＣＡは段階８２２において任意の値r_iを演算し、以下の式(Ｅｑ．１)によって認証書の共用署名キー(仮名)１６４を生成する。

段階８２６において、ＰＣＡは、(１)U_iとメタデータを結合して、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合して、(２)署名１６７(図５Ａ)を形成するように前記結合をデジタル方式で署名してcert_iで示された認証書１６０ｐを形成する。

その後、ＰＣＡは該当コクーン・キー

を用いて値

と共に認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値r_i)はＰＣＡ個人署名キーを用いてＰＣＡにより再度署名される(段階８３４)。この署名は７３０で示される。

この結果、暗号化されて署名されたパッケージがＲＡに送られる(段階９００)。ＲＡは上記結果を要請するデバイス１１０に伝達される。

要請するデバイス１１０のみが該当値を復号する。

(段階８３４を参照)要請するデバイス１１０のみがコクーン・キー

に該当する個人キーを知っているためである。かかる個人キーは以下の式(Ｅｑ．２)により与えられる。

従って、デバイス１１０が上記仮名U_i(認証書１６０ｐの部分として)を知ることができ、該当個人署名キーを演算することができる。

またデバイス１１０は以下の式をチェックして署名キーu_i、U_i を確認することができる。
U_i＝u_i・G (Ｅｑ．４)

なお、デバイス１１０は、後述するように、ＲＡによる中間者攻撃(Ｍａｎ－ｉｎ－ｔｈｅ－Ｍｉｄｄｌｅａｔｔａｃｋ)を防止するために、ＰＣＡ署名７３０を確認する。

暗示的な認証書１６０ｐにおいて、上記過程は以下の通りである(図８を参照)。コクーン・キーの生成(段階８１０、段階８１４、段階８１８)は、明示的な認証書と同様である。また段階８２２において、ＰＣＡは任意の値r_iを演算して資格証明１６４を演算する。

その後、段階８２６において、ＰＣＡはcert_iとも示された暗示的な認証書１６０ｐを生成する。
cert_i＝(V_i,meta)
即ち、
cert_i＝V_i || meta
ここで、“ｍｅｔａ”はメタデータである(有効期間１６５などを含む)。

段階８２６において、ＰＣＡは以下のような署名sig_iを得るために、この認証書を署名する。
sig_i＝h_i ・ r_i＋u_ＰＣＡ (Ｅｑ．６)
ここで、h_i＝Hash(cert_i)であり、u_ＰＣＡはＰＣＡの個人署名キーである。

認証書生成の残りの段階は図７の通りである。より具体的には、ＰＣＡは該当コクーン・キー

を用いてsig_iの署名値と共に、認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値sig_i)はＰＣＡの個人署名キーを用いてＰＣＡにより署名される(段階８３４)。この署名は７３０で示される。段階９００において、上記結果(暗号化された構造及び署名７３０)はＰＡ２２０を介して上記要請するデバイス１１０に送られる。

デバイス１１０はＰＣＡ署名７３０を確認し、パッケージcert_i||sig_iを復号して以下を演算する。
H_i＝Hash(cert_i) (Ｅｑ．７)

その後、デバイス１１０は自分の個人署名キーを以下のようにセットする。
u_i＝h_i・(s+f_s(i))+sig_i(Ｅｑ．８)
反面、該当共用署名キーは以下のような形式である。
U_i＝u_i ・ G (Ｅｑ．９)

デバイス１１０は以下の式を確認することにより、共用キーU_iの有効性を確認することができる。
U_i＝h_i ・ V_i＋U_ＰＣＡ(Ｅｑ．１０)
ここで、U_ＰＣＡはu_ＰＣＡに該当するＰＣＡの共用署名キーである。

どの認証書モデルが採択されても、図７及び図８の段階８３４において、暗号化されたＰＣＡ応答はＰＣＡ自分の個人署名キーu_ＰＣＡを用いて署名し、“ｈｏｎｅｓｔ－ｂｕｔ－ｃｕｒｉｏｕｓ”ＲＡの中間者攻撃(ＭｉｔＭ)への参与を防止することを目標とする。即ち、かかる署名７３０無しに、ＲＡによる中間者攻撃が以下のように行われる。(１)

の代わりに、ＲＡは段階８１８において任意の値zに対するフェイクコクーン暗号化キー

をＰＣＡに送り、(２)段階９００において、ＲＡはzを用いてＰＣＡの応答を復号して仮名

(図７)又はV_i (図８)を把握し、(３)ＲＡは正確な

を有する認証書を再暗号化して、その結果をデバイスに送り、普段の通りプロトコルに進行する。しかし、ＰＣＡが署名７３０を生成し、デバイス１１０がＲＡの応答として署名７３０を確認すると、ＲＡは段階(３)で生成された再暗号化された認証書のための有効な署名７３０を提供できないので、上記の攻撃は失敗する。

採択された認証書(明示的又は暗示的)のタイプに関係なく、ユーザのプライバシーはＲＡとＰＣＡが衝突しない限り、この過程で保護される。結局、ＲＡにより行われた共用コクーン・キーのシャッフリング(段階８１８)は、キー７１８が同じデバイスに属するか否かをＰＣＡが知ることを防止する。キー７１８が同じデバイスに属さない場合、r_iを用いてＰＣＡによりランダムに抽出されたU_i又はV_i の値を知らないので、共用キーU_i(図７)又はV_i(図８)のＲＡのためのデバイスへの不連携性が得られる。
いくつかの認証書活性過程についての実施例の説明

ＳＣＭＳ及びその他のＣＲＬ基盤の認証書撤回システムにおいて、認証書が所定のＣＲＬに含まれるか否かをチェックする値がＣＲＬに含まれたデバイスの数と線形的に増加する。従って、ＣＲＬエントリーの数を少なくすることは、ＣＲＬを配分する時、帯域幅をセーブするだけではなく、認証書の撤回状態のより迅速かつエネルギー効率の高い確認を可能にするという点で有益である。ＳＣＭＳはＣＲＬを縮小するための連結機関基盤のメカニズムを用い、これはいくつかの認証書を同一のエントリー(ｌｖ２３４)に連関させる。しかし、かかるメカニズムは、ＣＲＬにおけるエントリーの寿命を延長させる。つまり、ＣＲＬに置かれた連結シードは上記シードに連関する全ての認証書が満了した後、ＣＲＬから安全に除去される。結局、デバイス撤回イベントが低周波数で発生しても、該当エントリーが認証書バッチ(ｂａｔｃｈｅｓ)の期間と比較される期間の間にＣＲＬに残っているので、実際にＣＲＬは大きく増加する。

バタフライ・キー誘導に連関する性能ゲインを維持しながら、ＣＲＬの増加を避けるために、活性化コードスキームを提案し、活性化コードスキームのいくつかの実施例は、以下に説明するように、ＳＣＭＳと使用可能である。この活性化コードは、予め得られた仮名認証書が使用できない(例えば、復号できない)ビットストリング(ｂｉｔｓｔｒｉｎｇ)である。各々の活性化コードは一定の活性化期間に該当し、１つ以上の認証書有効期間１６５を経る。活性化コードは該当有効期間１６５の開始前に撤回されなかった車両に周期的に公開されるデバイス特定の値(ＤＳＶｓ)から車両(又は他のタイプのデバイス)により誘導され、認証書の活性化を時期適切に許容する。各々のＤＳＶは特定の車両及び活性化期間に該当する。撤回された車両はそれらのＤＳＶを受信せず、少なくともそれらの撤回状態が除去されるまでそれらの認証書のための活性化コードを得ることが防止される。その結果、活性化できない撤回された認証書の識別子(仮名又は資格証明１６４及び／又は連鎖値２３４)がＣＲＬに残っている必要がないので、ＣＲＬサイズが減少する。例えば、認証書は一週間有効であるが、活性化期間は４週間にセットされて、認証書が実際に要求される前に１週間公開されることができる。この場合、撤回された車両からの認証書の識別子は、それらの車両が新しいＤＳＶを受信しないため、最長４週間ＣＲＬに残しておく必要がある。

提案されたスキームのいくつかの実施例では、以下に論議するように、性能及び保安の観点でＩＦＡＬ及びＢＣＡＭ解決策の主要短所について開示する。
活性化コードの生成:バイナリーハッシュツリー

本発明のいくつかの実施例では、以下に説明するように、バイナリーハッシュツリー８４０(図９)を使用する。ツリーの使用は選択的である。

ＢＣＡＭと同様に、このシステムのいくつかの実施例は、図９に示した１つ以上の認証書接続マネージャー(ＣＡＭ)を含み、各々はできる限り異なる識別子ｃａｍ＿ｉｄを含む。ＣＡＭｓ８３８はデバイス特定値(ＤＳＶｓ)を生成して配分する責任を有するエンティティである。ＣＡＭは１つ以上のコンピューターシステム３１６上で実施される。ＤＳＶを生成して配分するために、ＣＡＭ８３８は自分の貯蔵所１５０Ｓ(図２)に各時間周期tの間、即ち、各有効期間１６５の間にバイナリーハッシュツリーtree^t(図９におけるツリー８４０)を生成する。いくつかの実施例では、ただ１つのツリー８４０が多数の有効期間の間に同一の活性化周期で生成される。活性化期間は１つ以上の有効期間で構成される。活性化期間は

の有効期間にまたがると、

が成立する。

ツリーノード８４４はnode^t(depth,count)で示され、ここで、

及び

はツリーにおいてノードの位置を示す。ビットにおいて、ツリーの高さは車両の識別子(ＶＩＤ)とマッチされる。その結果、システムにおいて、一つの車両１１０を示すために、各リーフnode^t(depth、count)がＤＳＶとして使用される。ＶＩＤ＝ｃｏｕｎｔからなるリーフ。Ｋｕｍａｒｅｔａｌ.において、例えば、提案されたＶＩＤ長さは１兆以上の車両をカバーできる４０ビットである。本発明はビット長さにより制限されない。

ハッシュツリーは車両への配分のためのＤＳＶの圧縮を許容する。サブツリーの全てのリーフはサブツリーのルートを配分することにより配分され、これによりサブツリーの全てのリーフが正直な車両に該当する場合、サブツリーのツートのみが配分される。各々のルートは自分の(depth,count)パラメータを有し、車両がルートからリーフ値を演算することができる。

後述するように、ＣＡＭとＰＣＡの間で起こり得る共謀に対してシステムを強化するために、擬似乱数関数ＰＲＦを用いて、該当ＤＳＶから車両が活性化コードを演算することができる。

一実施例において、ノード８４４は所望の保安レベルによって大きくなったり小さくなったりするが、１２８ビット長さと推定される。ツリー８４０は以下の方式で形成される。まず、ツリーのルートnode^t(０,０)は各活性化期間の間にユニークな任意のビットストリングにセットされる。全ての他のノード８４４はノード特定の接尾辞である“保安ストリング”Iと結合した自分の親ノードから演算される。より詳しくは、以下の式が成立する。

ここで、保安ストリングIは以下のように定義される。

活性化期間が多数の有効期間１６５を経ると、tは活性化期間によりカバーされる第１有効期間１６５としてセットされる。かかる接近はシステムに十分な柔軟性を提供して、保安ストリングの繰り返しを起こさず、活性化期間の長さを増加又は減少させる。別に論議するように、かかる非－繰り返し保安ストリングは、この文書に参考として含まれた暗号学(ＣＲＹＰＴＯ’９８)の発展に関する１８番目の年間国際暗号学会議のＰｒｏｃ.でＷ. Ａｉｅｌｌｏ、Ｓ. Ｌｏｄｈａ,及びＲ. Ｏｓｔｒｏｖｓｋｙの“早いデジタル身分撤回(拡張抄録)”(ロンドン、英国:ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ、１９９８、ｐ１３７～１５２)に説明された誕生日攻撃のような誕生日攻撃を挫折させるときに有用である。

以下の表は

に誘導される保安ストリングを構成するフィールドのために提案された長さを示す。かかる長さは、時間周期が１週間であると、３０００００年以上を意味する２^２４時間周期の間に４０ビット長さのＶＩＤを支持するために十分である。同時に、ハッシュ関数の入力が自分のブロックサイズに適合する限り、活性化ツリー８４０の演算に認知可能な影響を与える可能性は殆どない。例えば、ＳＨＡ－２５６は５１２ビットのブロック上で動作し、少なくとも６５ビットを自分の入力メッセージ(パディングのためのビット‘１’、及び６４ビット長さの指示子)に添付する;２０１５年８月、米国、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、米国総務省のＮＩＳＴ、ＦＩＰＳ１８０-４－ＳｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ(ＳＨＳ)、ＤＯＩ:Ｌ０．６０２８／ＮＩＳＴ.ＦｌＰＳ.１８０－４を参照。従って、基本圧縮関数への１回のコール(ｃａｌｌ)は、３１９ビット又はもっと小さい保安ストリングと結合する時にも１２８ビットノード値の処理のために十分である。

式(Ｅｑ．１１)、(Ｅｑ．１２)及び他のツリーに関連する詳細事項は選択的であり、本発明を制限することではない。
活性化コードを認証書発行過程に統合

ＣＡＭ８３８により生成されたバイナリーハッシュツリー８４０は、仮名認証書の発行過程に用いられる。図７に示された明示的な認証書発行過程に基づいて、その一例が図１０Ａ及び図１０Ｂに示されている。図１０Ａは後述することを除いては、図７と同一である。

所定のＩＤを有する車両(又は他のエンティティ)がＲＡから仮名認証書バッチ(ｂａｔｃｈ)を要請する時、車両(自分のデバイス１１０により)は、図７(図１０Ｂにおいて段階９０４を参照)での値(S、E、f_s、f_e)だけではなく、車両及びＲＡ(図１０Ｂにおいて段階８１０)の間のみで共有される追加ＰＲＦf_aを提供する。実際に、f_aはf_sと同じシードから誘導され、更なる通信オーバーヘッドを避けることができ;そのための普通の接近は他の接尾辞を有する車両－提供されたシードをハッシュすることであり、その結果を各ＰＲＦに対する実際のシードとして用いることである。

段階８１４において、図７に示したように、ＲＡはコクーン・キー

を生成する。

段階８１６において、ＲＡはバッチ(ｂａｔｃｈ)にカバーされる各時間周期tの間に該当リーフ値

についてＣＡＭに質疑して、

が成立する。ＣＡＭに対する一つの要請は多数の期間tが一つの活性化期間の一部であれば、多数の期間に対して十分である。ＲＡの質疑は時間周期t及びＶＩＤを特定する。ＣＡＭは

を返す。

段階８１７において、ＲＡは時間周期tに有効なσ共用キーの各々に対する活性化コードを演算して、

が成立する。その後、段階８１８において、活性化コード

がＲＡによりＰＣＡに送信される要請

に含まれる。活性化コードを生成するために

を用いることにより、ＲＡは活性化コードが同一のリーフから演算されているにもかかわらず、それらがＰＣＡによって関連しないと見なされることを保証する。従って、かかる過程は、仮名認証書要請が同一の車両で発生する時にも仮名認証書の要請間の不連携性を維持する。

段階８２２及び段階８２６において、ＰＣＡによる認証書生成は、図７と同様である(他の実施例において、認証書の生成は図８と同一であるか、又は異なるタイプである)。

認証書の暗号化は活性化コードを含む。詳しくは、段階８２８において、ＰＣＡは暗号化キーを以下のように演算する。

ここで、F は適切な関数であり、code_t,i は段階８１８においてＲＡにより提供された活性化コードである(ＰＣＡはt とi値を必然的に知らない)。関数F はハッシュ関数である。

その後、仮名認証書の発行は通常とおり続行される。段階８３０において、ＰＣＡは認証書を暗号化し、段階８２２で生成されたr_i値はキー

に暗号化される。段階８３４において、ＰＣＡは暗号化された値を署名し、段階９００において、ＰＣＡは上記結果をＲＡに送る。ＲＡは暗号化されたデータをアンシャッフルし、その結果、データを段階９１０で該当値(t,i)と共に該当車両／デバイス１１０に伝達する。各々のデバイスは、所望の場合、ＣＭＳでのようにＰＣＡ署名７３０を確認することができる。

ＳＣＭＳ又はｅＳＣＭＳ(ｅＳＣＭＳについては後述する)と比較する時、かかるプロセスの総オーバーヘッドは最小である。即ち、追加情報が認証書に挿入される必要がある。従って、かかるプロセスの追加処理費用は、基本的に(１)式Ｅｑ．１５ごとに

を演算する時にハッシュ関数への入力として追加される小さいデータ、及び(２)

を伝達するためのＲＡ－ｔｏ－ＰＣＡ要請に所要される一部の追加帯域幅を言及する。

かかる過程の結果、

から生成された認証書は、車両が該当

を得ると、復号される。結局、復号化キーは以下のように演算される。

従って、識別子ＶＩＤ_rを有する車両が自分の認証書を活性化できないように、車両が自分の

を妨害しないようにすれば十分である。従って、その車両の認証書のＣＲＬエントリーは、一つの活性化期間よりも長くＣＲＬに留まる必要はない。
認証書活性化

段階９１１においては、図１０Ｂに示すように、所定の各有効期間t(期間１６５)前のある期間中にＣＡＭ８３８は有効な車両(又は他のデバイス)のリーフノードインデックス(depth,count)を決定し、リーフノード値(ＤＳＶｓ)が式Ｅｑ．１１及びＥｑ．１２により車両により演算される最小限のノードインデックス(depth,count)のセットを決定する。最小限のセットは、例えば、ＢＣＡＭでのように決定され、最小限のセットで各々のノードインデックスはサブツリーのルートであり、それらのリーフは正直な車両のみに該当する。

その後、ＣＡＭは関連t周期に該当するツリー８４０から最小セット値 node^t(depth,count)を配分する。かかる値は撤回されていない車両のみに配分されるか、又は全ての車両にブロードキャストされる。各node^t値には上記値t及び(depth,count)パラメータが含まれる。

段階９１２において、各撤回されていないデバイス１１０は段階９１１においてＣＡＭにより配分された値から自分のリーフnode^t 値(ＤＳＶ)を演算する。かかる演算は式Ｅｑ．１１及びＥｑ．１２により行われる。

また、段階９１２において、各撤回されていないデバイス１１０は各暗号化された認証書１６０ｐに対して式Ｅｑ．１３ごとに該当活性化コード及び式Ｅｑ．１６ごとに復号化キーを決定する。段階９１４において、デバイスは認証書を復号するために、復号化キーを利用する。

残りの段階は段階８２６で形成されたＰＣＡ署名の確認及びデバイスの署名キーを決定することを含み、ＳＣＭＳのように行われる。かかる段階は図１０Ｂには示されていない。

いくつかの実施例は、図８に示すような暗示的な認証書スキームと同じ活性化技術を用いる。段階８１８及び段階８２８による段階９０４は図１０Ｂと同様である。認証書生成段階８２２乃至８２６、及び段階８３４乃至９００は、図８と同様である。段階９１０乃至９１４は図１０Ｂと同様である。いくつかの実施例において、活性化コードは明示的な認証書と同一又は類似する暗示的な認証書に対する利点を提供する。
統合されたバタフライ・キーの拡張の過程(ｅＳＣＭＳ)

ｅＳＣＭＳ(図１１Ａ及び図１１Ｂ)において、キャタピラー・キー７１０の生成及び使用が統合された方式で行われ、保安及び機能性の損失無しに、より良好な効率が得られる。特に、いくつかの実施例においてデバイス１１０は、図１１Ａ及び図１１Ｂにおいて、２つのキーの対(e,E)及び(s,S)の代わりに、ただ１つのキャタピラー・キーの対(x,X)を生成する。かかるキャタピラー・キーの対(x,X)は、(e,E)及び(s,S)のうちのいずれか１つと同じサイズを有し、暗号化及び署名キーを生成するために使用される。明示的及び暗示的な認証書モデルはｅＳＣＭＳと交換可能である。
ｅＳＣＭＳにおいて明示的な認証書過程の例示

１つのｅＳＣＭＳ明示的認証書スキームが、図１１Ａ及び図１１Ｂに示されている。段階９０４において、要請するデバイス１１０は単一のキャタピラー個人／共用キーの対７１０のみを生成する(x、X＝x ・ G)。個人キーx がランダムに生成される。共用キーXは後述するように、認証書１６０ｐを暗号化し、共用キー又は認証書に対する仮名１６４を生成するためのＰＣＡにより使用される(段階８２４)。

段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。デバイスによりＲＡに送られたデバイスの要請は、固有のＩＤ(“デバイスの要請ＩＤ”)、固有のデバイスＩＤ(例えば、ＶＩＤ)、共用の統合されたキャタピラー・キーＸ,及び簡単にfで示された適合する疑似乱数関数(ＰＲＦ)７１４を定義するデータを含む。この関数fはＳＣＭＳにおいてf_s又はf_eと同一である。各デバイスの要請の写しが上記デバイスによりメモリに貯蔵される。

段階８１４において、ＲＡは各々のデバイスのためのβ共用の統合されたコクーン署名キーを生成する(ＳＣＭＳと同様に)。

段階８１８において、ＲＡは複数のデバイスのためのコクーン・キーを混ぜ、各コクーン・キー

のために、ＲＡは仮名認証書１６０ｐのための(“ＲＡ要請”)をＰＣＡ２１０に送る。複数のデバイス１１０のためのＲＡ要請が集団でＰＣＡに送ることができるが、これは不要である。

各々のＲＡ要請において、ＲＡは固有の要請ＩＤ(“ＲＡ要請ＩＤ”)を生成し、ＲＡ要請ＩＤ、コクーン・キーインデックスi(式(Ｅｑ．１７)を参照)、及び関連するデバイスの要請を含むデータ構造(“ＲＡ要請データ構造”)を生成する。ＲＡ要請ＩＤは要請によってＰＣＡに提供される。例えば、認証書有効期間１６５及び連鎖値(ｌｖ)２３４のようなメタデータが提供される。デバイスＩＤはＰＣＡに提供されず、ＰＣＡはこのＲＡ要請をデバイスに連関させることができない。ＰＣＡは複数の要請が同一又は異なるデバイスに連関するか否かを決定することができない。

各々のコクーン・キー

において、ＰＣＡは明示的又は暗示的な仮名認証書１６０ｐを生成することができる。図１１Ａ及び図１１Ｂは明示的な認証書のための過程を示す。いずれの場合でも、明示的又は暗示的な認証書１６０ｐは今後ＰＣＡに暗号化されてＲＡに送られる(段階９００)。各々の暗号化された仮名認証書は要請ＩＤにより伴われて、ＲＡが仮名認証書を“アン－シャッフル”(“ｕｎ－ｓｈｕｆｆｌｅ”)、即ち、各暗号化されたパッケージをデバイスに連関させて、暗号化されたパッケージを関連するデバイスに送る。選択的には、各々のデバイスのβ仮名認証書が集団でデバイスに送られることができる。

明示的な認証書において、段階８２２において、ＰＣＡは任意の値r_iを生成し、認証書の共用署名キー(仮名)１６４をコクーン・キー

のランダム関数、即ち、

及びr_iの関数として生成する。例えば、以下の式(Ｅｑ．１８)、式(Ｅｑ．１８’)のうちのいずれか一つが使用される。

また、(段階８２４)、ＰＣＡは共用コクーン暗号化キー

を生成する。いくつかの実施例において、

は

のようにセットされる。即ち、

に対する他の表現を使用できる。例えば:

残りの段階は図７と同様の場合と、そうでない場合があるが、ＰＣＡ署名７３０の生成は省略できる。より具体的には、いくつかの実施例において、段階８２６において、ＰＣＡは(１)U_iとメタデータを結合し、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合し、(２)署名１６７(図５Ａ)を形成するように、前記結合をデジタル方式で署名して、certiで示された認証書１６０ｐを形成する(図５Ａ)。

段階８３０において、ＰＣＡは認証書１６０ｐ及び値

を含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー

を使用する。例示的な暗号化スキームはＥＣＩＥＳであり、この明細書に参照のために含まれたＩＥＥＥを参照、ＩＥＥＥＳｔａｎｄａｒｄＳｐｅｃｉｆｉｃａｔｉｏｎｓｆｏｒ共用－キーＣｒｙｐｔｏｇｒａｐｈｙ - Ａｍｅｎｄｍｅｎｔ１：ＡｄｄｉｔｉｏｎａｌＴｅｃｈｎｉｑｕｅｓ、ＩＥＥＥｃｏｍｐｕｔｅｒＳｏｃｉｅｔｙ、２００４。またその他の暗号化スキームを使用できる。

その結果、暗号化されたパッケージが段階８１８でＰＣＡにより受信されたＲＡ要請と共にＲＡに送られる(段階９００)。上述したように、署名７３０は省略される。ＲＡはパッケージを復号できない。

ＲＡはＰＣＡから受信したデータをアンーシャッフルする(“ｕｎ－ｓｈｕｆｆｌｅｓ”)。この動作を行うために、ＲＡは各暗号化されたパッケージを伴うＲＡ要請ＩＤをＲＡのメモリに貯蔵されたＲＡ要請ＩＤにマッチさせる(段階８１８)。ＲＡは各デバイス110に対する暗号化されたパッケージを各々のデバイスに伝達する(段階９１０)。各暗号化されたパッケージによって、ＲＡは関連するコクーン・キーを定義する該当i値をデバイスに送る。式(Ｅｑ．１１)を参照。ＲＡはＲＡ要請に関連するデバイスの要請からi値を得る。

段階９１４において、各認証書１６０ｐに対して、関連するデバイス１１０は暗号化(コクーン)キー

に該当する復号キー

を演算する。

が

のようにセットされていると、(式(Ｅｑ.１９):

式(Ｅｑ．１９’)の場合:

式(Ｅｑ．１９’)で使用されたものと同じハッシュ関数“ｈａｓｈ”を利用して、

デバイス１１０はパッケージを復号化するために、復号化キー

を使用して認証書１６０ｐ及び該当r_iを復元する。式(Ｅｑ．１９)及び式(Ｅｑ．２０)の場合、暗号化共用キーは以下の通りであるので、かかる復号化キーが作用する。

式(Ｅｑ．１９’)、式(Ｅｑ．２０’)の場合、暗号化共用キーが以下の通りであるので、復号化が作用する。

段階９１８において、デバイスはＰＣＡ'ｓ共用署名キーU_ＰＣＡを用いてＰＣＡ署名１６７を確認する。

段階９２２において、デバイスはU_iに該当する自分の個人署名キーu_iを演算する。U_i が式(Ｅｑ．１８)のように演算されると、個人署名キーが以下のように生成される。

式(Ｅｑ．１８’)が使用されると、個人署名キーが以下のように使用される。

(Ｅｑ．１８)を参照。段階９２４において、デバイスは以下を確認する。

上記のうちのいずれか一つをチェックするか、又は確認に失敗すると、デバイスは認証書１６０ｐ及び／又は集団における全ての認証書を拒絶することができる。またデバイスは保持及び／又は故障又は不正直なＲＡやＰＣＡ上での保安動作をトリガーするために、エラーに対して適切な機関(例えば、飛行機関２５０)に知らせることができる。
ｅＳＣＭＳにおいて暗示的な認証書過程の例

図１２Ａ、図１２Ｂは暗示的な認証書スキームを示す。段階９０４、段階８１０、段階８１４及び段階８１８は図１１Ａ、図１１Ｂと同様である。段階８２２において、ＰＣＡは任意の値 r_iを演算し、ｃｒｅｄｅｎｔｉａｌ１６４を演算する。

段階８２４において、ＰＣＡは明示的な認証書に対する過程と同じ過程を用いて、例えば、式(Ｅｑ.１９)又は式(Ｅｑ.１９’)によって共用のコクーン暗号化キー

を生成する。

段階８２６において、ＰＣＡはcert_iで示される暗示的な認証書１６０ｐを以下のように生成する。
cert_i＝(V_i,meta)
即ち、
cert_i＝V_i || meta
ここで、“ｍｅｔａ”はメタデータである(有効期間１６５などを含む)。

段階８２６において、ＰＣＡはかかる認証書に署名して以下のように署名sig_iを得る。
sig_i＝h_i ・ r_i＋u_ＰＣＡ
ここで、h_i＝Hash(cert_i)。

段階８３０において、ＰＣＡは認証書１６０ｐ及び署名sig_iを含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー

を使用する。例示的な暗号化スキームはＥＣＩＥＳであるが、その他のスキームも使用できる。

段階９００及び段階９１０において、暗号化されたパッケージが図１１Ａ、図１１Ｂのように同じ過程及びデータ構造(ＲＡ要請データ構造を含む)を用いて、ＰＣＡ(署名７３０は省略される)によりできる限り署名されず、ＲＡ２２０を介して要請デバイス１１０に送られる。ＲＡはパッケージを復号できない。

段階９１４において、デバイス１１０は暗号化されたパッケージ及び該当値iを受信し、式(Ｅｑ.２０)又は式(Ｅｑ.２０’)のように、個人キー

を演算し、かかるキーを使用してＰＣＡの応答パッケージcert_i|| sig_iを復号して、以下のように演算する。
h_i＝Hash(cert_i)

段階９２２において、デバイスは自分の個人署名キーを以下のようにセットし、
u_i＝h_i ・ (x＋f(i))＋sig_i
段階９２３において、該当共用の署名キーを以下のように演算する。
U_i＝u_i ・ G

デバイス１１０は以下の式を確認することにより、共用キーU_iの有効性を確認することができる。
U_i＝h_i ・ V_i＋U_ＰＣＡ
ここで、U_ＰＣＡはＰＣＡの共用の署名キーである。

発明のいくつかの実施例の他の特徴が、この明細書に参照のために含まれた、ＭａｒｃｏｓＡ. ＳｉｍｐｌｉｃｉｏＪｒ. ｅｔ. ａｌ.，“統合されたバタフライ効果：車両通信のための効率的な保安資格管理システム”、２０１８、ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ：Ｒｅｐｏｒｔ２０１８／０８９、ｈｔｔｐｓ:／／ｅｐｒｉｎｔ.ｉａｃｒ.ｏｒｇ／２０１８／０８９.ｐｄｆに説明されている。
活性化コードをeＳＣＭＳ認証書発行過程に統合

ｅＳＣＭＳにおいて、活性化コードの使用はＳＣＭＳと同様である。特に、各々のＣＡＭ８３８は各々の活性化期間又は有効期間１６５の間に、図９、式(Ｅｑ．１１)及び(Ｅｑ．１２)のようにツリー８４０を生成する。図９に関連して、前記ＳＣＭＳ論議はｅＳＣＭＳに適用される。

認証書発行過程に関する一実施例は、図１３Ａ、図１３Ｂに示されている。これらは明示的な認証書過程を示すが、類似する過程が暗示的な認証書を発行する時に使用される。段階９０４－ｘ及びＸの生成－は図１１Ｂ又は図１２Ｂの通りである。また段階８１０は図１１Ｂ又は図１２Ｂと同様であるが、さらにデバイス１１０は図１０Ｂと同様の関数 f_aの定義を生成してＲＡに送る。

段階８１４(コクーン・キーの生成)は、図１１Ｂ又は図１２Ｂの通りである。段階８１６、段階８１７(活性化コードの生成)は図１０Ｂの通りである。段階８１８は図１１Ｂ又は図１２Ｂと同様であるが、さらにＲＡは該当活性化コードcode_t,iをＰＣＡに送る。

図１３Ｂの段階１０１０は図１１Ａ、図１１Ｂ(明示的な認証書)又は図１２Ａ、図１２Ｂ(暗示的な認証書)の段階８２２、８２４、８２６に該当する。詳しくは段階１０１０において、ＰＣＡは認証書１６０ｐ及びコクーン・キー

を生成する。

段階８２８において、ＰＣＡは活性化コードを使用して共用暗号化キー

を図１０Ａ、図１０Ｂのように生成する。

段階１０２０において、ＰＣＡは図１１Ａ、図１１Ｂ又は図１２Ａ、図１２Ｂの段階８３０のように暗号化を行うが、暗号化キーは

である。また段階１０２０において、ＰＣＡは図１０Ａ、図１０Ｂ又は図１１Ａ、図１１Ｂ又は１２Ａ、図１２Ｂの段階９００のように暗号化された値をＲＡに送る。

段階９１０－暗号化されたデータのアンシャアンシャッフル(ｕｎ－ｓｈｕｆｆｌｉｎｇ)及びＲＡからデバイス１１０に暗号化されたデータの伝達－は、図１０Ａ、図１０Ｂ又は図１１Ａ、図１１Ｂ又は図１２Ａ、図１２Ｂの通りである。

認証書活性化の段階９１１、９１２は図１０Ｂの通りである。連続する認証書の使用は図１１Ｂ又は１２Ｂにおける段階９１４乃至段階９２４の通りである。いくつかのｅＳＣＭＳ実施例において、活性化コードはＳＣＭＳと同じ利点を提供する。

本発明は上述した実施例に制限されない。いくつかの実施例では、エンティティ(ＲＡ、ＰＣＡ、ＣＡＭのような、以下において括弧内の例示は、本発明を制限しない)によるデジタル認証書の管理方法を含む。エンティティはデジタル値の演算を行い、互いに通信するように動作可能である(例えば、図２のようなコンピューターシステム、可能に配分されるコンピューターシステム)。デジタル認証書は認証動作においてデバイス(例えば、１１０)により使用され、各デバイスはエンティティのうちの一つである。デジタル認証書は仮名認証書であるか、そうではない(１６０ｐのように)。各デジタル認証書は連関する活性化コード

により活性化される。前記方法は、

第１エンティティにより(例えば、ＲＡ)、１つ以上のデバイスから１つ以上のデバイス要請を受信する段階を含み、各デバイスの要請は連関するデバイス(例えば、段階８１０を注目)に対する１つ以上のデジタル認証書を要請し、

各デバイスの要請について、

第１エンティティにより、連関するデバイス(例えば、ＶＩＤ又は一部の他の情報)に関する情報を用いて、デバイスに連関する第１活性化データ(例えば、ｎｏｄｅ^t(ＩＶＩＤＩ、ＶＩＤ))を得る動作を行い、

第１エンティティにより、１つ以上の認証書生成要請を生成する動作、各認証書生成要請は第１活性化データから生成された連関する認証書活性データ(例えば、ｃｏｄｅ_t,c:式Ｅｑ.１３及び段階８１７を参照)を含み、

第１エンティティにより、各認証書生成要請(例えば、段階８１８)を認証機関(ＣＡ、認証書が仮名認証書であると、できれば、ＰＣＡ)に送る動作を行い、ＣＡは認証書生成要請を連関するデバイスにリンクできず、前記(ａ)及び(ｂ)のうちのいずれか１つは事実であり、

ＣＡは認証書生成要請の認証書活性化データを連関する第１活性化データにリンクできず、

前記１つ以上の認証書生成要請は複数の認証書生成要請であり、ＣＡは他の認証書生成要請で認証書活性化データを互いにリンクできない。

かかる条件は、例えば、上述したf_a ＰＲＦを用いて満たされる。

いくつかの実施例において、(ａ)は各デバイスの要請について事実である。

いくつかの実施例において、(ｂ)は各デバイスの要請について事実である。

いくつかの実施例は、デジタル値の演算を行い、互いに通信するように動作可能なエンティティによるデジタル認証書の管理方法を提供し、デジタル認証書は認証動作においてデバイスにより使用され、各デバイスはエンティティのうちの１つであり、各デジタル認証書は連関する活性化コードにより活性化され、前記方法は、

第１エンティティ(例えば、ＲＡ)により、１つ以上のデバイスから１つ以上のデバイスの要請を受信する段階を含み、各デバイスの要請は共用キーデータに該当する連関するデバイスの個人キーデータ(例えば、x、e、s)ではない、連関するデバイスの共用キーデータ(例えば、X、E、S)を含み、

各デバイスの要請について、

第１エンティティにより、連関するデバイスに関する情報を用いて、デバイスに連関する第１活性化データ(例えば、ｎｏｄｅ^t(|ＶＩＤ|,ＶＩＤ))を得る動作を行い、

デバイスの共用キーデータから、複数の第１共用キーデータ(例えば、段階８１８においてコクーン・キー)を生成する動作、各第１共用キーデータは生成される連関するデジタル認証書を暗号化するために使用され、

第１エンティティにより、生成される各デジタル認証書について、連関する第１共用キーデータ及び連関する認証書活性化データを含む認証書生成要請を生成する動作、前記連関する認証書活性化データは第１活性化データ及び認証書生成要請に連関するパラメータ値に適用された擬似乱数関数(例えば、f_a又はf_a と一部異なる動作との結合)の出力であり、

第１エンティティにより、デバイスに関する情報、第１活性化データ及び連関するパラメータ値のうちのいずれかを認証機関(ＣＡ)に提供せず、各認証書生成要請をＣＡに送る動作を行う。

この方法は、各認証書生成要請について、ＣＡにより、活性化データ(例えば、認証書活性化データ及び活性化コードは同じ値code_t,cである)に連関する活性化コードを用いて暗号化されたパッケージから復元可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージ(例えば、段階８２２乃至段階８３０)を生成する段階をさらに含む。

いくつかの実施例において、デジタル暗号化されたパッケージを生成する段階は、

ＣＡによりデジタルパッケージを生成する段階と、

認証書生成要請において第１共用キーデータ及び認証書活性化データに従属するものであって、暗号化キーを生成する段階と、

暗号化キーにデジタルパッケージを暗号化する段階を含む。

いくつかの実施例において、この方法は、各認証書生成要請について、

連関するデバイスにより、暗号化されたパッケージ及び連関するパラメータ値を受信する段階と、

連関するデバイスにより、活性化コードを得る段階と、

連関するデバイスにより、デバイスの個人キーデータ、連関するパラメータ値及び活性化コードから復号化キーを生成する段階と、

復号化キーに暗号化されたパッケージを復号する段階をさらに含む。例えば、段階９１２を参照。

いくつかの実施例において、前記第２エンティティ及びＣＡは一緒に第１活性化データに連関する認証書活性化データにリンクできない。例えば、いくつかの実施例において、ＰＲＦf_ａ‘を使用しているため、ＰＣＡとＣＡＭが共存しても、ｎｏｄｅ’を活性化コードｃｏｄｅ,_,,にリンクできない。

いくつかの実施例において、第１活性化データは第１エンティティからデバイスに関する情報を受信する第２エンティティに対する応答として第２エンティティにより第１エンティティに提供される。いくつかの実施例において、第２エンティティ及びＣＡは一緒に第１活性化データを連関する認証書活性化データにリンクできない。

いくつかの実施例において、この方法は、複数回繰り返されて他の有効期間を有する認証書を生成し、第１活性化データは有効期間のうちの少なくとも２つのための少なくとも１つのデバイスに対して異なる。

いくつかの実施例は、

ＣＡにより、各暗号化されたパッケージを第１エンティティに送る段階(例えば、段階９００において)、

第１エンティティにより、各暗号化されたパッケージを連関するデバイスに伝達する段階をさらに含み、第１エンティティは暗号化されたパッケージを復号できない。

いくつかの実施例は少なくとも１つのデバイスについて、

前記デバイスにより、暗号化されたパッケージを受信する段階と、

前記デバイスにより、連関する活性化コードを得る段階と、

前記デバイスにより、活性化コードを用いて連関するデジタル認証書を復元する段階をさらに含む。

いくつかの実施例において、各認証書について、連関する活性化コードは連関する認証書活性化データと同一である。

いくつかの実施例において、上記デバイスにより、連関する活性化コードを得る段階は、

デバイスにより、連関する第１活性化データを受信する段階及び

デバイスにより、擬似乱数関数を用いて連関する第１活性化データから連関する活性化コードを生成する段階を含む。

いくつかの実施例において、連関するデジタル認証書を復元する段階は、デバイスにより行われ、活性化コードに加えて、個人キー(例えば、e又はx)は第１エンティティに使用できず、第２エンティティに使用できず、ＣＡに使用できない。

いくつかの実施例は以下の項目により定義される。

項目１はデジタル値の演算を行い、互いに通信するように動作可能なエンティティによるデジタル認証書の管理方法を定義し、デジタル認証書は認証動作においてデバイスにより使用され、各デバイスはエンティティの１つであり、各デジタル認証書は連関する活性化コードにより活性化され、この方法は、

第１エンティティにより、１つ以上のデバイスから１つ以上のデバイスの要請を受信する段階を含み、各デバイスの要請は連関するデバイスに対する１つ以上のデジタル認証書を要請し、

各デバイスの要請について、

第１エンティティにより、連関するデバイスに関する情報を用いて、デバイスに連関する第１活性化データを得る動作を行い、

第１エンティティにより、１つ以上の認証書生成要請を発生する動作、各認証書生成要請は第１活性化データから生成された連関する認証書活性データを含み、

第１エンティティにより、各認証書生成要請を認証機関(ＣＡ)に送る動作を行い、ＣＡは認証書生成要請を連関するデバイスにリンクできず、(ａ)及び(ｂ)のうちのいずれか１つは事実であり、

前記１つ以上の認証書生成要請は、複数の認証書生成要請であり、ＣＡは他の認証書生成要請で認証書活性化データを互いにリンクできない。

ＣＡは各認証書生成要請から、認証書活性化データと連関する活性化コードを用いて暗号化されたパッケージから復元可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージを生成するように動作可能である。

２．項目１の方法において、(ａ)は各デバイスの要請について事実である。

３．項目１の方法において、(ｂ)は各デバイスの要請について事実である。

４．デジタル値の演算を行い、互いに通信するように動作可能なエンティティによるデジタル認証書の管理方法において、デジタル認証書は認証動作においてデバイスにより使用され、各デバイスはエンティティのうちの１つであり、各デジタル認証書は連関する活性化コードにより活性化され、この方法は、

第１エンティティにより、１つ以上のデバイスから１つ以上のデバイスの要請を受信する段階を含み、各デバイスの要請は連関するデバイスに対する１つ以上のデジタル認証書を要請し、各デバイスの要請は共用キーデータに該当する連関するデバイスの個人キーデータではない連関するデバイスの共用キーデータを含み、

各デバイスの要請について、

デバイスの共用キーデータから、複数の第１共用キーデータを生成する動作、各第１共用キーデータは生成される連関するデジタル認証書を暗号化するために使用され、

第１エンティティにより、生成される各デジタル認証書について、連関する第１共用キーデータ及び連関する認証書活性化データを含む認証書生成要請を生成する動作、前記連関する認証書活性化データは第１活性化データ及び認証書生成要請に連関するパラメータ値に適用された擬似乱数関数の出力であり、

第１エンティティにより、デバイスに関する情報、第１活性化データ及び連関するパラメータ値のうちのいずれかを認証機関(ＣＡ)に提供せず、各認証書生成要請をＣＡに送る動作を行い、

ＣＡは各認証書生成要請から、認証書活性化データに連関する活性化コードを用いて暗号化されたパッケージから復元可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージを生成するように動作可能である。

５．項目１乃至項目４のうちのいずれか１項の方法は、各認証書生成要請について、ＣＡにより、第１活性化データに連関する活性化コードを用いて暗号化されたパッケージから復元可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージを生成する段階をさらに含み、

デジタル暗号化されたパッケージを生成する段階は、

デジタルパッケージを生成する段階と、

認証書生成要請において、第１共用キーデータ及び認証書活性化データに従属する暗号化キーを生成する段階と、

６．項目５の方法は各認証書生成要請について、

連関するデバイスにより、活性化コードを得る段階と、

復号化キーに暗号化されたパッケージを復号する段階をさらに含む。

７．項目１乃至項目６のうちのいずれか１項の方法において、第１エンティティからデバイスに関する情報を受信する第２エンティティに対する応答として第２エンティティにより第１活性化データが第１エンティティに提供される。

８．項目７の方法において、第２エンティティ及びＣＡは一緒に第１活性化データを連関する認証書活性化データにリンクできない。

９．項目１乃至項目８のうちのいずれか１項の方法において、この方法は、複数回繰り返されて異なる有効期間を有する認証書を生成し、第１活性化データは少なくとも２つの有効期間の少なくとも１つのデバイスで異なる。

１０．項目１乃至項目９のうちのいずれか１項の方法は、

ＣＡにより、各暗号化されたパッケージを第１エンティティに送る段階と、

第１エンティティにより、各暗号化されたパッケージを連関するデバイスに伝達する段階を含み、第１エンティティは暗号化されたパッケージを復号できない。

１１．項目１乃至項目９のうちのいずれか１項の方法は、少なくとも１つのデバイスについて、

前記デバイスにより、活性化コードを用いて連関するデジタル認証書を復元する段階を含む。

１２．項目１乃至項目１１のうちのいずれか１項の方法において、各認証書について、連関する活性化コードは連関する認証書活性化データと同一である。

１３．項目１乃至項目１２のうちのいずれか１項の方法において、デバイスにより、連関する活性化コードを得る段階は、

１４．項目１１、１２又は１３の方法において、

第１活性化データは第１エンティティからデバイスに関する情報を受信する第２エンティティに対する応答として第２エンティティにより第１エンティティに提供され、

連関するデジタル認証書を復元する段階は、デバイスにより行われ、活性化コードに加えて、個人キーは第１エンティティに使用できず、第２エンティティに使用できず、ＣＡに使用できない。

１５．デジタル値の演算を行い、他のエンティティと無線通信するように動作可能な第１デバイスにおいて、第１デバイスは、項目１乃至項目１４のうちのいずれか１項による方法において、デバイスとして実行するように構成される第１デバイス。

１６．１つ以上のコンピュータープロセッサが項目１４の第１デバイスとして動作するように動作可能なコンピューターを含むコンピューター読み取り可能な媒体。

１７．デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書管理エンティティにおいて、デジタル認証書管理エンティティは項目１乃至項目１４のうちのいずれか１項による方法において、第１エンティティとして実行するように構成されるデジタル認証書管理エンティティ。

１８．デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書管理エンティティにおいて、デジタル認証書管理エンティティは項目７乃至項目１４のうちのいずれか１項による方法において、第１エンティティに第１活性化データを提供する第２エンティティとして実行するように構成されるデジタル認証書管理エンティティ。

１９．デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書管理エンティティにおいて、デジタル認証書管理エンティティは項目１乃至項目１４のうちのいずれか１項による方法において、認証機関として実行するように構成されるデジタル認証書管理エンティティ。

２０．１つ以上のコンピュータープロセッサが項目１７乃至項目１９のうちのいずれか１項のデジタル認証書管理エンティティとして動作するように動作可能なコンピューター命令を含むコンピューター読み取り可能な媒体。

他の実施例は添付する特許請求の範囲により定義されたように、本発明の範囲内にある。
別添
ＢＣＡＭのハッシュツリーに対する誕生日攻撃

ＢＣＡＭのバイナリハッシュツリーの構造は、各ブランチに対する一定の接尾辞を使用して、反復ハッシングによってk－ビットノードが演算されるようになっている。より詳しくは、任意のルートnode^t(０,０)から始まって、tree^tの各ノードnode^t(depth、count)は自分の親から以下のように演算される。

、ここで、上記ノードが左側(各々。右側)の子であると、

が成立し、

は適切なパディング長さである。例えば、

であり、使用されたハッシュ関数がＳＨＡ－２５６である時、

の採択はツリーのうちの任意のノードを演算する時にのみ基本圧縮関数を呼び出す。

識別子

を有する車両が撤回されると仮定する。この場合、リーフ

は全ての未来値tに対してＣＡＭによりブロードキャストされたメッセージから演算されてはいけない。これは、ルートとリーフの間の経路において、全てのノードの設定された

が秘密であることを意味する。これを達成するために、ＣＡＭは

においてノードの子のみをブロードキャストする。例えば、セクションＩＩＩ－Ａ２に言及したように、

の撤回はセットの公開をもたらす。

ツリーが安全なハッシュ関数を形成する限り、セット

におけるノードを演算するために、

において任意のノードを使用することは簡単ではない。実際に、それはセット

においてノードの予備イメージを見つけることに該当する。

ＢＣＡＭの活性化ツリーの保安を克服すために、以下のような攻撃戦略が使用され、撤回された車両のための活性化コードを復旧することができる。まず、攻撃者は任意のｋ－ビット長さ

を選択し、

の間で任意に選択される。その後、

の値は

ハッシュが行われるまでフォーム

のハッシュチェーンのためのアンカーとして使用される。単純化のために、上記過程中に衝突はないと仮定する。即ち、全ての

について

を仮定する。それにもかかわらず、衝突がある度に、攻撃者が単純に(１)現チェーンをセーブすることができ、(２)以前に演算された

から区別される新しいアンカーを選択することができ、(３)かかるアンカーから新しくチェーンを始まることができるので、かかる単純化は普遍性を損失せず発生する。実際に、多数のチェーンを形成するために複数のアンカーを選択することは、ハッシュの並列処理を容易にするので利点がある。この方法で

個の異なるハッシュが利用可能である限り、攻撃を進行できる。

誕生日パラドックスにより、ＣＡＭにより公開された２^m ノードを集める攻撃者は

であると、前記ノードのうちの少なくとも１つと

個の予め演算された

の一部の間のマッチを見つける確率が高い。

の間にマッチが発生することを仮定する。この場合、

はパディング

を有する

のための有効な予備－イメージである。従って、攻撃者がb＝０を選択し、

が左側の子(ｃｈｉｌｄ)である時、

が実際の予備－イメージよりは第２の予備－イメージではないと、

は

の親(ｐａｒｅｎｔ)と容易にマッチされる。また、

の親が左側の子であると、自分の親も

などと容易にマッチする。

であり、

が右側の子である場合も、同様である。その結果、かかる衝突は撤回されたセット

に属するノードへの接近を攻撃者に提供する５０％の機会を有する。撤回が自分のノードに依存する全ての認証書を活性化できる。

かかる攻撃シナリオを考慮して、撤回されたデバイス数の増加はシステム保安に関連して２つの否定的な効果を有する。まず、セット

から１つのノードの復旧は多数の撤回されたデバイスの活性化コードへの接近を容易に提供する。ツリーの所定の位置でノードが常に同じ数のリーフの演算を許容するためである(深度が低いほど、この数値が高くなる)。撤回されたデバイス数が増加する時、該当活性化コードが復元されることを防止するために隠したノードによりカバーされるリーフの数も増加する。また、有用な衝突をもたらすＣＡＭにより公開されたノードの数も増加する。即ち、ｍ値が大きくなる。

前記空間が時空間を用いるので、可能な防御戦略は十分に大きいｋパラメータを採択することである。例えば、ＢＣＡＭの発明者は攻撃者が

ハッシュを演算して衝突が実際に発生する前にＣＡＭから

ノードを集めることを意味するｋ＝２５６を提案する(ｃｆ．[１６]、Ｓｅｃｔｉｏｎ４.１.３)。従って、実際には、ここで説明する攻撃は、ＢＣＡＭに実際の保安脅威をもたらすものではない。それにもかかわらず、かかるイシューに対するより効果的な防御戦略があり、これは各ノード演算のための他の接尾辞を使用するために、ハッシュ基盤の署名[２０]の脈絡でＬｅｉｇｈｔｏｎ及びＭｉｃａｌｉ[１９]により本来論議されている。かかる戦略は

の間の衝突が他の接尾辞で演算されると役に立たないという観測から発生する。結局、この場合、

が

の親(ｐａｒｅｎｔ)とマッチしない。即ち、上記ノードの実際の予備－イメージよりは第２予備－イメージが必然的である。また攻撃者は所定の接尾辞に対する

の値１以上を集めることができない。結果として、かかる接尾辞に対する衝突の高い確率を得るために、攻撃者は

エントリーを有する表を作成する。言い換えれば、かかる接近はノード自分が１２８ビット長さである時、１２８ビットの保安レベルを有するシステムに案内する。

Claims

デジタル値の演算を行い、他のエンティティと通信するように動作可能な第１エンティティによるデジタル認証書の管理方法において、前記デジタル認証書は認証動作において複数のデバイスにより使用され、各デジタル認証書は、前記デジタル認証書と連関する活性化コードにより活性化される、前記管理方法は、
前記第１エンティティにより、前記複数のデバイスの１つ以上から１つ以上のデバイス要請を受信する段階を含み、各デバイス要請は前記連関するデバイスに対する１つ以上のデジタル認証書を要請し、
各デバイスの要請に対して、
前記第１エンティティにより、前記連関するデバイスに関する情報を用いて、前記活性化コードを生成し、分配するための責任(responsible)を有する第２エンティティから前記デバイスに連関する第１活性化データを得る動作と、
前記第１エンティティにより、複数の認証書生成要請を生成し、混ぜる動作であって、各認証書生成要請は第１公開鍵と、前記第１活性化データから生成された連関する認証書活性化データを含む、動作と、
前記第１エンティティにより、各認証書生成要請を認証機関(ＣＡ)に送る動作であって、前記第１エンティティの混ぜることに基づいて、前記ＣＡは前記認証書生成要請を前記連関するデバイスにリンクできず、それにより、前記ＣＡは前記認証書生成要請の前記認証書活性化データを前記連関する第１活性化データにリンクできない、動作を実行し、
前記ＣＡは各認証書生成要請から、前記認証書活性化データと連関する活性化コードを用いて暗号化されたパッケージから復号可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージを生成するように動作可能である、デジタル認証書の管理方法。
各認証書生成要請に対して、前記ＣＡにより、前記第１活性化データと連関する活性化コードを用いて前記暗号化されたパッケージから復元可能な連関するデジタル認証書を含むデジタルパッケージの暗号化であるデジタル暗号化されたパッケージを生成する段階をさらに含み、
前記デジタル暗号化されたパッケージを生成する段階は、
前記デジタルパッケージを生成する段階と、
前記認証書生成要請の前記第１公開鍵データ及び認証書活性化データに従属する、暗号化鍵を生成する段階と、
前記暗号化鍵に基づいて前記デジタルパッケージを暗号化する段階を含む、請求項１に記載のデジタル認証書の管理方法。
各認証書生成要請に対して、
前記連関するデバイスにより、前記暗号化されたパッケージ及び前記連関するパラメータ値を受信する段階と、
前記連関するデバイスにより、前記活性化コードを得る段階と、
前記連関するデバイスにより、前記デバイスの個人鍵データ、前記連関するパラメータ値及び前記活性化コードから復号化鍵を生成する段階と、
前記連関するデバイスにより、前記復号化鍵に基づいて前記暗号化されたパッケージを復号する段階をさらに含む、請求項２に記載のデジタル認証書の管理方法。
前記第１エンティティから前記デバイスに関する情報を受信する第２エンティティに対する応答として前記第２エンティティにより前記第１活性化データが前記第１エンティティに提供される、請求項１に記載のデジタル認証書の管理方法。
前記第２エンティティ及び前記ＣＡは共に前記第１活性化データを連関する認証書活性化データにリンクできない、請求項４に記載のデジタル認証書の管理方法。
前記管理方法は異なる有効期間を有する複数の認証書を生成するために複数回繰り返され、前記第１活性化データは前記有効期間の少なくとも２つに対する少なくとも１つのデバイスに対して異なる、請求項１に記載のデジタル認証書の管理方法。
前記ＣＡにより、各暗号化されたパッケージを前記第１エンティティに送る段階と、
前記第１エンティティにより、各暗号化されたパッケージを前記連関するデバイスに伝達する段階を含み、前記第１エンティティはいずれの暗号化されたパッケージも復号できない、請求項１に記載のデジタル認証書の管理方法。
少なくとも１つのデバイスに対して、
前記デバイスにより、暗号化されたパッケージを受信する段階と、
前記デバイスにより、前記連関する活性化コードを得る段階と、
前記デバイスにより、前記活性化コードを用いて前記連関するデジタル認証書を復元する段階をさらに含む、請求項１に記載のデジタル認証書の管理方法。
各認証書について、前記連関する活性化コードは前記連関する認証書活性化データと同一である、請求項１に記載のデジタル認証書の管理方法。
前記デバイスにより、前記連関する活性化コードを得る段階は、
前記デバイスにより、前記連関する第１活性化データを受信する段階と、
前記デバイスにより、擬似乱数関数を用いて前記連関する第１活性化データから前記連関する活性化コードを生成する段階を含む、請求項８に記載のデジタル認証書の管理方法。
前記第１活性化データは前記第１エンティティから前記デバイスに関する情報を受信する前記第２エンティティに対する応答として、前記第２エンティティにより前記第１エンティティに提供され、
前記連関するデジタル認証書を復元する段階は、前記デバイスを利用して行われ、前記活性化コードに加えて、個人鍵は前記第１エンティティに使用できず、前記第２エンティティに使用できず、前記ＣＡに使用できない、請求項８に記載のデジタル認証書の管理方法。
デジタル値の演算を行い、他のエンティティと無線通信するように動作可能な第１デバイスであって、請求項１乃至請求項１１のうちのいずれか１項による方法において、デバイスとして実行するように構成される、第１デバイス。
１つ以上のコンピュータープロセッサが請求項１２に記載の第１デバイスとして動作するように動作可能なコンピューター命令(computer instructions)を含む、コンピューター読み取り可能な媒体。
デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書の管理エンティティにおいて、
前記デジタル認証書の管理エンティティは、請求項１乃至請求項１１のうちのいずれか１項による方法において、前記第１エンティティとして動作するように構成される、デジタル認証書の管理エンティティ。
デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書の管理エンティティにおいて、
前記デジタル認証書の管理エンティティは、請求項１乃至請求項１１のうちのいずれか１項による方法において、前記第１エンティティに前記第１活性化データを提供する前記第２エンティティとして動作するように構成される、デジタル認証書の管理エンティティ。
デジタル値の演算を行い、他のエンティティと通信するように動作可能なデジタル認証書の管理エンティティにおいて、
前記デジタル認証書の管理エンティティは、請求項１乃至請求項１１のうちのいずれか１項による方法において、認証機関として動作するように構成される、デジタル認証書の管理エンティティ。
１つ以上のコンピュータープロセッサが請求項１４乃至請求項１６のうちのいずれか１項の前記デジタル認証書の管理エンティティとして動作するように動作可能なコンピューター命令を含む、コンピューター読み取り可能な媒体。