ワイヤレス通信システム用の共有鍵の生成方法
【課題】ノイズに対するロバスト性があり、かつ、モバイル端末に適用が容易な送信チャンネルの特性から秘密鍵を生成する方法を提供する。
【解決手段】第１端末と第２端末とを隔てる送信チャンネルのインパルス応答に基づいて鍵が生成される。第１端末による推定結果を表わす第１メッセージが第２端末に対して送信される。第１メッセージはチャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされている。第２端末が第１メッセージを復号化するため、第２端末によるインパルス応答の推定結果を表わす第２メッセージの少なくとも一部に対して第１メッセージを結合する。第１メッセージの復号化に成功した場合、第２端末が復号化された第１メッセージから秘密鍵が生成される。
【解決手段】第１端末と第２端末とを隔てる送信チャンネルのインパルス応答に基づいて鍵が生成される。第１端末による推定結果を表わす第１メッセージが第２端末に対して送信される。第１メッセージはチャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされている。第２端末が第１メッセージを復号化するため、第２端末によるインパルス応答の推定結果を表わす第２メッセージの少なくとも一部に対して第１メッセージを結合する。第１メッセージの復号化に成功した場合、第２端末が復号化された第１メッセージから秘密鍵が生成される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的にはワイヤレス通信分野に関する。本発明は、具体的には秘密鍵によりワイヤレス通信のセキュリティ分野に関する。
【背景技術】
【０００２】
ワイヤレスネットワークにおける通信のセキュリティは長年にわたり研究対象とされてきた。
【０００３】
第１のセキュリティ技術によれば、ＲＳＡアルゴリズム又は楕円曲線暗号アルゴリズム等の公開鍵暗号方式を用いて通信が暗号化される。しかし、当該技術は、暗号が潜在的攻撃に耐えうるように、長大な公開鍵が好感される必要がある。さらに、用いられるアルゴリズムが複雑であり、多くの場合にはモバイル端末が有する計算能力を超える計算能力を利用する。
【０００４】
第２のセキュリティ技術によれば、ＤＥＳアルゴリズム等の秘密鍵暗号方式を用いて通信が暗号化される。秘密鍵は送信主体（アリス（Ａｌｉｃｅ）と呼ばれる。）と受信主体（ボブ（Ｂｏｂ）と呼ばれる。）との間で共有され、潜在的な傍受主体（イブ（Ｅｖｅ）と呼ばれる。）により盗用されない必要がある。しかし、当該技術は、ボブとアリスとの間で秘密鍵に関する事前の合意が必要であり、実用上は常に達成可能なことではない。さらに、秘密鍵自体が安全に送信されるために、当該秘密鍵が定常的に更新される必要がある。
【０００５】
近年、ボブの端末とアリスの端末との間でワイヤレス送信チャンネルの特性を用いて、チャンネルの双方向性及び高い空間的脱相関度の利点を活用することが提案されている。具体的には、ノイズが無視されれば、ボブ及びアリスの間の送信チャンネルのインパルス応答は、アリス及びボブの間の送信チャンネルのインパルス応答と理論的には同一である。その結果、イブの端末がボブの端末から半波長を超えて離れている場合、アリス及びイブの間の送信チャンネルの特性は、アリス及びボブの間の送信チャンネルの特性との相関関係はない。このため、イブはアリス及びイブの間のチャンネルを単に盗聴することにより秘密鍵を取得することはできない。そして、アリス及びボブの間の送信チャンネルは、特に一方又は他方の主体が移動した場合、その特性の時間変化にしたがう。送信チャンネルを通じた付加的なやり取りをすることなく、秘密鍵が頻繁に更新されうる。
【０００６】
送信チャンネルの特性から秘密鍵を生成する技術が提案されている（非特許文献１参照）。
【０００７】
秘密鍵を生成する当該技術における主要な困難性の１つは、生成鍵に関するボブとアリスとの間の合意の潜在的な欠如にある。
【０００８】
第１に、正当な２つの主体間の送信チャンネルは、これに影響するノイズのために厳密には同一ではない。
【０００９】
第２に、通信がＴＤＤ（Time Division Duplex）方式である場合、送信チャンネルの特性が、ボブによるチャンネルの測定時点とアリスによる測定時点との間で微小ながら変化する。同様に、送信チャンネルがＦＤＤ（Frequency Division Duplex）方式である場合、アリス及びボブの間の送信チャンネルの周波数特性は、反対のチャンネルの周波数特性と一致しない。
【００１０】
前述のノイズ並びに時間シフト及び周波数シフトのうち少なくとも１つに由来するチャンネルの非対称性により、ボブにより生成される鍵はアリスにより生成される鍵と必ずしも一致しない。
【００１１】
正当な主体間での生成鍵に関する合意に到達するための多数の手段、特に、ファジー抽出器により後継されているリミッタ処理前のノイズを低減させるためにローパスフィルタを用いた場合における手段が提案されている（非特許文献２参照）。
【００１２】
一致する推定結果及びその後に共有鍵を取得するため、送信チャンネルの推定結果を低次ビットから始めて高次ビットに向かって円滑に補正する手法が提案されている（非特許文献３参照）。
【先行技術文献】
【非特許文献】
【００１３】
【非特許文献１】“High rate uncorrelated bit extraction for shared secret key generation from channel measurements”, N. Patwari et al., IEEE Trans. on Mobile Computing, 2010, vol.9, no.1, pp.17-30 (2010).
【非特許文献２】“Robust key generation from signal envelopes in wireless networks”, B. Azimi-Sadjadi et al., Proceedings of ACM Conference on Computer and Communications Security 2007, pp.401-410 (2007).
【非特許文献３】“Reliability based sliced error correction in secret key agreement from fading channel”, S. Takayuki et al., 2010 IEEE Wireless Communications and Networking Conference (2010).
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかし、共有秘密鍵に関する合意を達成するための当該手法は、実用が複雑であり、かつ、合意に実際に到達する前にチャンネルのいずれか一方の側で繰り返されるべきチャンネル推定結果を頻繁に要求することは煩雑である。
【００１５】
そこで、本発明は、先行技術における不利を伴わず、特にノイズに対する濾バスト性があり、かつ、モバイル端末に適用が容易な送信チャンネルの特性から秘密鍵を生成する方法を提供することを課題とする。
【００１６】
さらに、本発明は、ＷｉＭａｘ及び３Ｇ ＬＴＥ（Long Term Evolution）において採用されているＨＡＲＱ ｔｙｐｅＩＩ（Hybrid Automatic ReQuest）プロトコルの利点を活かして秘密鍵の生成方法を提供することを課題とする。
【課題を解決するための手段】
【００１７】
本発明の秘密鍵生成方法は、ワイヤレス送信チャンネルにより接続され、前記チャンネルの第１推定結果を生成する第１端末と、前記チャンネルの第２推定結果を生成する第２端末とにより共有される秘密鍵の生成方法であって、
（ａ）前記第１推定結果を表わす第１メッセージであって、チャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされた第１メッセージが前記第１端末から前記第２端末に対して送信され、
（ｂ）前記第２推定結果を表わす第２メッセージであって、前記チャンネル暗号を用いて事前に暗号化された第２メッセージが前記第２端末により格納され、
（ｃ）前記第１メッセージを復号化するために前記第２メッセージが前記第１メッセージと結合され、
（ｄ）前記第１メッセージの復号化に成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする。
【００１８】
本発明の第１態様の方法において、前記第１メッセージの復号化が成功した場合、前記第２端末が承認通知を前記第１端末に対して送信し、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定する。
【００１９】
前記第１端末が前記第１メッセージを演算処理することにより前記秘密鍵を決定し、前記第２端末が復号化された前記第１メッセージに同一の演算処理を施すことにより前記秘密鍵を取得することが好ましい。
【００２０】
前記第１メッセージの復号化が失敗した場合、前記インパルス応答に対する前記第２推定結果が、前記第１推定結果に比較して１サンプル分だけシフトされ、当該シフトされた前記第２推定結果を用いて前記過程（ｂ）（ｃ）及び（ｄ）が繰り返される。
【００２１】
前記第１メッセージが復号化されるまで、又は前記シフトが所定の最大値に到達するまで、前記インパルス応答に対する前記第２推定結果の前記シフト、並びに過程（ｂ）（ｃ）及び（ｄ）が繰り返される。
【００２２】
前記第１メッセージが復号化されることなく前記シフトが前記最大値に到達した場合、前記第２端末が前記第１端末に対して冗長増進の送信要求を送信する。
【００２３】
前記冗長増進が前記第１パンクチャリングパターンにしたがってパンクチャリングされたビットにより構成されている。
【００２４】
この場合、
（ｃ’）前記第２端末が前記第２メッセージの少なくとも一部と、前記冗長増進により事前に完成された前記第１メッセージとを結合し、当該結合に基づいて前記第１メッセージを復号化し、（ｄ）前記第１メッセージの復号化が成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００２５】
前記冗長増進により完成された前記第１メッセージが未だ復号化されていない場合、前記第１端末が前記冗長増進を前記第２端末に対して送信することが好ましい。
【００２６】
新しい前記冗長増進が前記第１メッセージを復号化可能である場合、前記冗長増進が前記第１端末から送信されず、前記第１端末が前記第２端末に当該状況を通知し、前記第１端末及び前記第２端末が、それぞれ前記送信チャンネルのインパルス応答に対する前記第１推定結果及び前記第２推定結果を生成する。
【００２７】
本発明の第２態様の方法によれば、前記チャンネル暗号を用いて事前に暗号化された前記第２メッセージが、復号化不可能な程度に高速で第２パンクチャリングパターンにしたがってパンクチャリングされ、当該パンクチャリングされた前記第２メッセージが前記第１端末に対して送信される。
【００２８】
この場合、前記第１端末が前記第２メッセージを復号化するため、前記第１メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第２メッセージの復号化が成功した場合、前記第１端末が、当該復号化され、前記第２端末から承認通知を受信していない前記第２メッセージに基づいて前記秘密鍵を決定し、前記第２端末に対して承認メッセージを送信し、
前記第２端末から承認メッセージを受信している場合、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００２９】
対称的な態様にしたがって、前記第２端末が前記第１メッセージを復号化するため、前記第２メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第１メッセージの復号化が成功した場合、前記第２端末が当該復号化され、かつ、前記第１端末から承認通知を受信していない前記第１メッセージに基づいて前記秘密鍵を決定し、前記第１端末に対して承認メッセージを送信し、
前記第１端末から承認メッセージを受信している場合、前記第２端末が前記第２メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００３０】
前記第１端末及び前記第２端末のそれぞれによるチャンネル暗号化、パンクチャリング及び送信前に前記第１メッセージ及び前記第２メッセージのそれぞれに対してＣＲＣ（巡回冗長検査）が計算かつ連結され、受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて計算されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定される。
【００３１】
代替的に、チャンネル暗号化及びパンクチャリング前に前記第１メッセージ及び前記第２メッセージのそれぞれを用いてＣＲＣ（巡回冗長検査）が計算され、送信前にパンクチャリングされたメッセージに対して連結され、受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて実施されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定される。
【図面の簡単な説明】
【００３２】
【図１】本発明の第１実施形態としての秘密鍵生成方法の説明図。
【図２】本発明の第２実施形態としての秘密鍵生成方法の説明図。
【図３】図１及び図２において受信されたメッセージの復号化失敗の前提に関する説明図。
【図４】秘密鍵の生成方法の送信端末への適用例に関する説明図。
【図５】秘密鍵の生成方法の受信端末への適用例に関する説明図。
【発明を実施するための形態】
【００３３】
少なくとも第１端末及び第２端末を含むワイヤレス通信について考察する。「端末」とは、固定通信機器又はモバイル通信機器を意味する。ワイヤレス通信システムは移動通信用であってもなくてもよい。当該システムは携帯電話ネットワーク、アドホックネットワーク、センサーネットワーク、通信媒体ネットワークなどであってもよい。端末は広義にはユーザ端末、ベースステーション、センサ、通信媒体等の通信機器を意味する。
【００３４】
第１端末及び第２端末の間の通信は、すべての場合においてワイヤレス送信チャンネルが用いられる。チャンネルは一般に時間及び周波数のうち一方又は両方により選択される。すなわち、チャンネルのインパルス応答は時間的、周波数的、又は時間的かつ周波数的なフェージングを有する。例えば、一方又は他方のチャンネルがモバイル端末である場合、チャンネルはレイリーフェージングを有するチャンネルである。
【００３５】
第１端末及び第２端末の間の通信は一方向通信又は双方向通信である。双方向通信の場合、一方向の通信は、逆方向の通信により用いられる通信資源（通信時間間隔、周波数、サブキャリアインターバル、オーソゴナルコード）とは異なる通信資源を有する。例えば、ＴＤＤ通信における通信時間間隔（ＴＴＩ）は２つの方向間で異なる。ＦＤＤ通信では２つの方向間で通信周波数が異なる。
【００３６】
異なる通信資源の利用の結果、送信チャンネルの特性は通信方向に応じて相違する。２つの通信時間間隔はチャンネルの同期時間より短い、又は２つの通信周波数が近接するため、実際には当該特性の相対的相違は微小である。
【００３７】
図１はワイヤレス通信システムを構成する第１端末及び第２端末により共有される秘密鍵の生成方法を示している。
【００３８】
ＳＴＥＰ１１０において、第１端末が周知の手法により送信チャンネルのインパルス応答を測定する。その実現のため、第２端末がパイロットシンボルシーケンスを送信する。パイロットシンボルシーケンスは、所定の通信時間間隔以内に又は連続する複数の通信時間間隔を超えて通信される。インパルス応答は、厳密な意味でのインパルス応答、又は、第１端末により受信されるシーケンス、すなわち、第２端末により送信されたパイロットシンボルシーケンスとインパルス応答との畳み込みを意味する。送信チャンネルのインパルス応答はサンプルシーケンスの形態である。
【００３９】
ＳＴＥＰ１２０において、第１端末はインパルス応答を演算処理し、当該応答を表わすメッセージ（以下「第１メッセージ」という。）を抽出する。演算処理は特にノイズを低減させるためのローパスフィルタ、自動ゲイン制御（ＡＧＣ）、量子化、情報圧縮、フーリエ変換等を含む。
【００４０】
ＳＴＥＰ１３０において、第１端末は取得された第１メッセージをエラー補正コード又はＥＣＣを用いて暗号化する。好ましくは第１メッセージが巡回冗長検査又はＣＲＣ等のエラー検出コードを用いて暗号化される。ＥＣＣ暗号化はＣＲＣコードに結合される元のメッセージに関連する。これに代えて、ＥＣＣはＣＲＣを含まない第１メッセージに関連し、ＣＲＣはＥＣＣ暗号化により取得されたメッセージに対して結合される。
【００４１】
ＥＣＣ暗号化は、例えばリード−ソロモンコーディング、低密度パリティコード若しくはＬＤＰＣ、暗号化又はターボコーディングであってもよい。
【００４２】
ＳＴＥＰ１４０において、前記のように暗号化された第１メッセージが、受信時に復号化されえない程度に十分に高速のパンクチャリングパターンを用いてパンクチャリングされる。例えば、暗号化がシステマティック型であれば、システマティックビットはすべてパンクチャリングされる。好ましくは、システマティックビットの一部であるが、ＥＣＣコードの補正許容量を超える程度に多数のシステマティックビットがパンクチャリングされる。通信を傍受するスパイ端末（イブ）による元のメッセージを再構築することが不可能になる。
【００４３】
ＳＴＥＰ１４１において、第１端末により第１メッセージが変調かつ送信される。受信後、第２端末により当該第１メッセージが復調かつデパンクチャリングされる。デパンクチャリングは、欠落した複数のビットを消去されたものとして処理する、すなわち、当該複数のビットに対して明白なデータ欠如を示す適当な値を付与することを含む（実用上はゼロＬＬＲ）。
【００４４】
同様に、ＳＴＥＰ１１５において、第２端末が送信チャンネルのインパルス応答の推定結果を生成し（第１端末により送信されたパイロットシンボルシーケンスが用いられる。チャンネルのインパルス応答はＳＴＥＰ１１０と同様に複数のサンプルのシーケンスの形態である。）。第２端末がＳＴＥＰ１２５において演算処理を実行し、ＳＴＥＰ１３５において（好ましくはＥＣＣ暗号化に先立つＣＲＣ暗号化により）当該演算処理結果に基づいて当該応答、誤差補正暗号又はＥＣＣを表わす第２メッセージを抽出する。
【００４５】
第２端末により実行されるＳＴＥＰ１１５、１２５及び１３５のそれぞれは、第１端末により実行されるＳＴＥＰ１１０、１２０及び１３０のそれぞれと同一である。特に、ＥＣＣ暗号化及び（必要に応じて）ＣＲＣ暗号化は、ＳＴＥＰ１３０において用いられているものと同一である。ＳＴＥＰ１３０においてＣＲＣ暗号化がＥＣＣ暗号化より先に実行される場合、ＳＴＥＰ１３５において同一のＣＲＣ暗号化がＥＣＣ暗号化より先に実行される。これとは逆に、ＳＴＥＰ１３０においてＣＲＣ暗号化がＥＣＣ暗号化より後に実行される場合、ＳＴＥＰ１３５において同一のＣＲＣ暗号化がＥＣＣ暗号化より後に実行される。変形例として、パンクチャリングが実行されるＳＴＥＰ１４５が含まれていてもよい。この場合、ＳＴＥＰ１４５において用いられるパンクチャリングパターンは、ＳＴＥＰ１４０において用いられるパンクチャリングパターンとは区別されていることが好ましい。
【００４６】
前記のように生成された第２メッセージは第２端末に格納される。ＳＴＥＰ１５５において、第２端末が第２メッセージの少なくとも一部を、第１端末から受信された第１メッセージと結合させる。
【００４７】
第１メッセージは、一般的には対数尤度比（ＬＬＲｓ）の形態の複数のソフトビットにより構成されている。第２メッセージも複数のソフトビットにより構成されているが、第１メッセージとは異なり、第２メッセージが決定論的である場合（送信チャンネルを通じた伝播が皆無の場合）、正及び負のソフトビットが不変であってもよい。
【００４８】
第２メッセージは「尤度（Probabilistic）」の値により暗号化される場合がある。例えば、ビットが所定の閾値の交差を表わす場合、ソフト値は元値と閾値との比を表わす。このため、ＳＴＥＰ１２５における計算がインパルス応答のリミッタ処理（フェードの測定）を包含する場合、第２メッセージのソフト値は、応答の（予め正規化された）振幅と該当閾値との比として計算される。これとは逆に、第２メッセージ（及び第１メッセージ）の２つの単語がフェードの現在状態を表わす場合、不変のソフト値が用いられる。
【００４９】
第１メッセージは第２メッセージの少なくとも一部と次のように結合される。第１メッセージ及び第２メッセージの両方においてビットがパンクチャリングされている場合、結合の結果としての当該ビットはデリーションである（ＬＬＲ＝０により表わされる）。第１メッセージにおいてビットがパンクチャリングされている一方、第２メッセージにおいてビットがパンクチャリングされていない場合、第１メッセージの当該ビットが第２メッセージの相当するビットに置換される。同等の方法で、第１メッセージにおいてパンクチャリングされた値（パンクチャリングされたビットがデリーションと均等であるため、ＬＬＲが０である）が第２メッセージの相当する値に付加される。そして、両方のメッセージに当該ビットが含まれる場合、第１メッセージのソフト値が第２メッセージのソフト値に加えられる。
【００５０】
第２メッセージが少なくとも部分的に第１メッセージに対して結合された後、ＳＴＥＰ１６５において、第１メッセージを復号するための第１の試行が実行される。
【００５１】
この時点で、第２メッセージの唯一の機能は第１メッセージの復号化の補助であり、その逆はない。すなわち、第２メッセージに存在する情報は、パンクチャリングによって第１メッセージに欠如している情報の補完を可能とするだけである。
【００５２】
ＳＴＥＰ１６５における復号化が失敗した場合（すなわち、ＥＣＣコードがメッセージに影響するエラーを訂正することができない場合）、又は判定ＳＴＥＰ１７５に表わされているように、複合化されたメッセージに基づいて計算されるＣＲＣが残留エラーの存在を示している場合、アルゴリズムはＳＴＥＰ１７６の処理に続く。その一方、復号化が成功した場合、ＳＴＥＰ１８５において、ＣＲＣの計算による可能な確認通知（confirmation）とともに、承認通知（acknowledgement）が第１端末に送信され、ＳＴＥＰ１９５において秘密鍵が計算される。
【００５３】
ＳＴＥＰ１６５において複合化された第１メッセージに基づいて秘密鍵が取得される。これは複合化メッセージと単純に同一であってもよく、又は当該メッセージのサブサンプリングの結果であってもよい。これに代えて、秘密鍵から冗長度を消滅させるための計算、換言すると情報圧縮アルゴリズムを用いる当該手法により秘密鍵が抽出されてもよい。例えば、自己適応型フィルタを用いて複合化された第１メッセージがフィルタリングされた結果物として秘密鍵が取得されてもよい。
【００５４】
同時に、第１端末が複合化承認通知を受信した場合、ＳＴＥＰ１９０において、第１端末がＳＴＥＰ１９５において複合化された第１メッセージに対して適用されるのと同一の計算にしたがって、（ＳＴＥＰ１２０において取得された）元の第１メッセージに基づいて秘密鍵を生成する。生成された秘密鍵は両端末に共通となり、３ＤＥＳ又はＲＣ４等の対称暗号作成アルゴリズムを用いて通信を暗号化するために用いられうる。
【００５５】
要求される場合、秘密鍵は同一の生成方法を用いて更新される。送信チャンネルの特性は、２つの端末の相対移動又は環境変化のために一般的に時間変化し、新たな鍵は直前の鍵とは無関係になる。
【００５６】
図２は本発明の秘密鍵の生成方法の第２実施形態を示している。
【００５７】
第１実施形態と異なり、秘密鍵を決定するために第２端末により第２メッセージが第１端末に対して送信される。
【００５８】
第１端末により実行されるＳＴＥＰ２１０，２２０，２４０及び２４１のそれぞれの処理は、図１に示されているＳＴＥＰ１１０，１２０，１４０及び１４１のそれぞれの処理と同一なので説明を省略する。同様に、ＳＴＥＰ２１５，２２５，２３５，２４５，２５５，２６５，２７５〜２７６，２８５及び２９５のそれぞれの処理は、ＳＴＥＰ１１５，１２５，１３５，１４５，１５５, １６５，１７５〜１７６，１８５及び１９５のそれぞれの処理と同一である。
【００５９】
第２実施形態において、ＳＴＥＰ２９５において取得された秘密鍵は「第１秘密鍵」という。
【００６０】
パンクチャリングが実行されるＳＴＥＰ１４５は任意ではなく、パンクチャリングパターンは、パンクチャリングされた第２メッセージがレシーバにより復号化されえない程度に十分に高いパンクチャリング速度を有する。このため、第２端末及び第１端末の間の通信を傍受する第３端末が元の第２メッセージを取得することができない。第２メッセージをパンクチャリングするために用いられるパンクチャリングパターンは、第１メッセージをパンクチャリングするために用いられるパンクチャリングパターンとは区別されていることが好ましい。
【００６１】
パンクチャリング後、第２メッセージが第２端末により変調かつ送信チャンネルを通じて送信される。当該メッセージは、前述のように第１端末により受信され、復調かつデパンクチャリングされる。
【００６２】
ＳＴＥＰ２２０において取得された第１メッセージは、ＳＴＥＰ２５０において少なくとも部分的にデパンクチャリングされた第２メッセージに対して結合される。当該結合はＳＴＥＰ２５５において実行される結合と対称的に実行される。特に、第２メッセージにおける欠落情報は第１メッセージに包含されている情報により補完される。
【００６３】
結合後、ＳＴＥＰ２６０において、第１の試行が実行される。ＳＴＥＰ２７０において、ＥＣＣコードの訂正無効、又は復号化メッセージにおける残留エラーのため、（残留エラーが存在する場合にはＣＲＣによる）復号化が失敗したことが検知された場合、ＳＴＥＰ２７１の処理が実行される。
【００６４】
一方、復号化が成功した場合、ＳＴＥＰ２８０において、ＣＲＣの計算による可能な確認通知とともに、承認通知が第２端末に対して送信され、ＳＴＥＰ２９０において秘密鍵が計算される。
【００６５】
第１秘密鍵及び第２秘密鍵の計算の対比により共有秘密鍵が取得される。具体的には、他方の端末から最初に承認通知を受信した一方の端末が受信メッセージ（第１又は第２メッセージ）の複合化を阻止し、ＳＴＥＰ１９０において説明されたように元のメッセージに基づいて連結秘密鍵を局所的に生成する。
【００６６】
例えば、第１メッセージの復号化が第２メッセージの複合化よりも速い場合、ＳＴＥＰ２８５において送信された承認通知は、第１端末における第２メッセージの複合化処理を阻止する。第１端末は、図左側の破線矢印により表わされているように（ＳＴＥＰ２２０において取得された）元の第１メッセージに基づいて共有鍵を生成する。
【００６７】
対称的な形態で、第２メッセージの復号化が第１メッセージの複合化よりも速い場合、ＳＴＥＰ２８０において送信された承認通知は、第２端末における第１メッセージの複合化処理を阻止する。第２端末は、図右側の破線矢印により表わされているように（ＳＴＥＰ２２５において取得された）元の第２メッセージに基づいて共有鍵を生成する。
【００６８】
したがって、第１メッセージ又は第２メッセージの復号化が成功すると直ちに共有秘密鍵が取得される。これにより、２つの端末間の通信は、前述のように対称暗号作成アルゴリズムにより暗号化されうる。
【００６９】
第１又は第２メッセージを傍受するスパイ端末（イブ）は、当該傍受メッセージを複合化することは不可能である。
【００７０】
第１端末及び第２端末とスパイ端末との間の通信チャンネルの応答は、第１端末と第２端末との間の通信チャンネルの応答とは異なる。このため、傍受メッセージを複合化するために通信チャンネルのインパルス応答の測定結果に基づいて当該傍受メッセージにおける情報抽出が試みられたとしても、当該複合化は失敗に帰することになる。
【００７１】
ＳＴＥＰ１７５又は２７５において第１メッセージの復号化が失敗した場合、又はＳＴＥＰ２７０において第２メッセージの復号化が失敗した場合、図３に示されている処理が実行される。
【００７２】
図３は、図１（ＳＴＥＰ１７６参照）又は図２（ＳＴＥＰ２７１又は２７６）におけるメッセージの復号化失敗時における秘密鍵の生成方法の手順を示している。
【００７３】
ここで、第１実施形態において、ＳＴＥＰ１７５における第１メッセージの復号化が失敗したと仮定する。第２実施形態において、ＳＴＥＰ２７５における第１メッセージの復号化が失敗した場合、又はＳＴＥＰ２７０における第２メッセージの復号化が失敗した場合、同様の処理が実行されることは明らかである。
【００７４】
まず、エラー個数がＥＣＣコードの訂正許容量を超えた場合、又は復号化メッセージに基づいて計算されたＣＲＣがエラーの存在を示している場合、当該エラーの原因が、ＳＴＥＰ１１０において推定されたインパルス応答に対する、ＳＴＥＰ１１５において推定されたインパルス応答のシフトにあるか否かが判定される。実際に、２つの接続方向の間のタイムラグ（ＴＤＤ）又は周波数シフト（ＦＤＤ）が、通信チャンネルのインパルス応答の２〜３のサンプルのシフトを生じさせる場合がある。
【００７５】
ＳＴＥＰ１１０及び１１５の間の２つの推定インパルス応答に許容される最大シフトがｓと表わされる場合、第１インパルス応答に対する第２インパルス応答のｓ＝１，‥，Ｓ個のサンプルの遷移が第１メッセージを訂正することが可能であるか否かが判定される。
【００７６】
当該処理を実行するため、ＳＴＥＰ３１０においてシフトがｓ＝１個のサンプルに初期化され、ＳＴＥＰ３２０において第２インパルス応答がｓ個のサンプル分だけ遷移される。ＳＴＥＰ３３０において、このように遷移されたインパルス応答が用いられてＳＴＥＰ１２５〜１５５の処理が再実行される。
【００７７】
ＳＴＥＰ３４０において、新たな復号化が試行される。ＳＴＥＰ３５０において、復号化が成功した場合、ＳＴＥＰ１８５（図１参照）の処理が実行される。換言すると、複合化の承認通知が第１端末に送信され、ＳＴＥＰ１９５において、秘密鍵が計算される。一方、復号化が再び失敗した場合、ＳＴＥＰ３６０においてｓ＝Ｓであるか否かが判定される。
【００７８】
ｓ＝Ｓではない場合、ＳＴＥＰ３６５においてシフト量が増進された上で、ＳＴＥＰ３２０に戻り新たな遷移が実行され、ＳＴＥＰ３３０及び３４０において当該遷移されたインパルス応答を用いた新たな復号化が試行される。
【００７９】
一方、復号化が未成功であるもののｓ＝Ｓである場合、第２端末がシフト量を０（ｓ＝０）にリセットし、ＳＴＥＰ３７０において第１端末に対して新たな冗長増進の送信要求を送信する。当該冗長増進は、ＳＴＥＰ１４０において削除された複数のビットにより構成されている。当業者であれば、端末がＨＡＲＱ ｔｙｐｅＩＩプロトコルにしたがって動作する場合、継続的な冗長増進の遷移が当該端末の実質的な変更を必要としないことを理解するはずである。
【００８０】
前記要求に応じる前に、第１端末は、送信された第１メッセージ及び要求冗長増進による訂正が、元の第１メッセージの復号化をなおも阻止するか否かについて判定する。当該判定結果が否定的である場合、第１端末は当該増進を送信し、必要に応じてその旨を第２端末に通知する。
【００８１】
ＳＴＥＰ１５５に戻り、第２メッセージの少なくとも一部が、冗長増進が実行された第１メッセージに対して結合される。復号化が再び失敗した場合、復号化が成功するまで、又は再びｓ＝ＳとなるまでＳＴＥＰ１１５において測定されたインパルス応答が継続的にシフトされる。再びｓ＝Ｓになった場合、第２端末は冗長増進の新たな送信要求を送信し、ＳＴＥＰ１５５において生成された第１メッセージに関する新たな結合が継続的な冗長増進により実行される。
【００８２】
第１端末の立場からすると、要求が受信されるたびに新たな冗長増進が送信されるが、継続的な増進によりパンクチャリングかつ処理された第１メッセージが複合化されないままである。これは、パンクチャリングされた当該メッセージ及び継続的な冗長増進を傍受する第３端末が秘密鍵を生成することが不可能であるものと理解される。新たな増進の送信により第１メッセージが復号化された場合（第２メッセージにより供給されるような付加的情報が含まれない）、新たな増進は送信されず、秘密鍵の生成方法が最初から再開され、ＳＴＥＰ１１０において第１端末により通信チャンネルのインパルス応答が推定され、ＳＴＥＰ１１５において第２端末により通信チャンネルのインパルス応答が推定される。
【００８３】
図４は、本実施形態において送信端末の役割を担う第１端末における秘密鍵の生成方法の実施例を示している。
【００８４】
第１端末は送信チャンネルのインパルス応答推定モジュール４１０を備えている。前述のように、インパルス応答は畳み込まれなくてもよく、換言するとパイロットシンボルシーケンスに対するチャンネルの応答を表わしている。
【００８５】
計算モジュール４２０はインパルス応答を、これを表わすメッセージに変換する。
【００８６】
メッセージは、モジュール４３０において当該メッセージに対して適用されるエラーチェックコード（ＣＲＣ）を有し、ＣＲＣは公知の方法により当該メッセージに対して連結される。
【００８７】
メッセージ及び適用可能であればこれに連結されたＣＲＣは、暗号化モジュール４４０においてエラー訂正コード（ＥＣＣ）を用いて暗号化される。暗号化されたメッセージはパンクチャリングモジュール４５０によりパンクチャリングされる。パンクチャリングされたビットはメモリ４５５に格納され、要求に応じてパケット（冗長増進）の形で送信される。
【００８８】
そして、パンクチャリングされたメッセージが、送信チャンネルを通じて送信される前にシンボルＱ−エリアモジュレータ４６０により変調される。
【００８９】
第１端末は、計算モジュール４２０から供給されるメッセージに基づいて秘密鍵を決定する計算モジュール４７０を備えている。
【００９０】
図５は、本実施形態において受信端末の役割を担う第２端末における秘密鍵の生成方法の実施例を示している。
【００９１】
第１端末はインパルス応答推定モジュール５１０と、計算モジュール５２０と、ＣＲＣ計算モジュール５３０と、ＥＣＣ暗号化モジュール５４０と、パンクチャリングモジュール５５０とを備えている。モジュール５１０〜５４０は、モジュール４１０〜４４０と同一である一方、モジュール５５０により用いられるパンクチャリングパターンはモジュール４５０により用いられるパンクチャリングパターンと異なっている。さらに、遷移モジュール５１５が推定モジュール５１０と計算モジュール５２０との間に配置されている。遷移モジュール５１５は、ｓ個の推定されたインパルス応答を遷移する。新たな推定のたびにシフト値ｓは０にリセットされる。
【００９２】
第２メッセージを構成するビットシーケンスはモジュール５５５に格納されている。第２メッセージはモジュール５６０において、受信機５６５により第１端末から受信された第１メッセージに少なくとも部分的に結合される。結合モジュールは例えばＬＬＲｓの加算処理を実行する。
【００９３】
そして、結合の結果、取得されるメッセージはモジュール５７０において当該メッセージに対してＥＣＣ複合化を実行させ、モジュール５８０において当該メッセージに対してＣＲＣ計算を実行させる。メッセージが暗号化可能であり、かつ、ＣＲＣが連結先と同一である場合、計算モジュール５９０は、複合化されたメッセージに基づいて秘密鍵を決定する。その一方、メッセージが暗号化不可能であり、又は計算されたＣＲＣが誤っている場合、モジュール５１５に対して入力されるシフト値が増進される。
【００９４】
続いて、モジュール５２０が遷移されたインパルス応答を用いる。増進されたシフト値が最大シフトＳを超えている場合、冗長増進の送信要求が第１端末に対して送信される。モジュール５６０により、冗長増進が第２メッセージの該当部分に結合される。
【００９５】
当業者であれば、本発明の秘密鍵の生成方法が、タイプＩＩのＨＡＲＱ（ＩＲ−ＨＡＲＱ）通信プロトコルにしたがうワイヤレス端末に標準的に装備されているモジュールを利用することを理解するであろう。したがって、本手法は、既存端末において過度の負担を伴うことなく採用されうる。
【技術分野】
【０００１】
本発明は、一般的にはワイヤレス通信分野に関する。本発明は、具体的には秘密鍵によりワイヤレス通信のセキュリティ分野に関する。
【背景技術】
【０００２】
ワイヤレスネットワークにおける通信のセキュリティは長年にわたり研究対象とされてきた。
【０００３】
第１のセキュリティ技術によれば、ＲＳＡアルゴリズム又は楕円曲線暗号アルゴリズム等の公開鍵暗号方式を用いて通信が暗号化される。しかし、当該技術は、暗号が潜在的攻撃に耐えうるように、長大な公開鍵が好感される必要がある。さらに、用いられるアルゴリズムが複雑であり、多くの場合にはモバイル端末が有する計算能力を超える計算能力を利用する。
【０００４】
第２のセキュリティ技術によれば、ＤＥＳアルゴリズム等の秘密鍵暗号方式を用いて通信が暗号化される。秘密鍵は送信主体（アリス（Ａｌｉｃｅ）と呼ばれる。）と受信主体（ボブ（Ｂｏｂ）と呼ばれる。）との間で共有され、潜在的な傍受主体（イブ（Ｅｖｅ）と呼ばれる。）により盗用されない必要がある。しかし、当該技術は、ボブとアリスとの間で秘密鍵に関する事前の合意が必要であり、実用上は常に達成可能なことではない。さらに、秘密鍵自体が安全に送信されるために、当該秘密鍵が定常的に更新される必要がある。
【０００５】
近年、ボブの端末とアリスの端末との間でワイヤレス送信チャンネルの特性を用いて、チャンネルの双方向性及び高い空間的脱相関度の利点を活用することが提案されている。具体的には、ノイズが無視されれば、ボブ及びアリスの間の送信チャンネルのインパルス応答は、アリス及びボブの間の送信チャンネルのインパルス応答と理論的には同一である。その結果、イブの端末がボブの端末から半波長を超えて離れている場合、アリス及びイブの間の送信チャンネルの特性は、アリス及びボブの間の送信チャンネルの特性との相関関係はない。このため、イブはアリス及びイブの間のチャンネルを単に盗聴することにより秘密鍵を取得することはできない。そして、アリス及びボブの間の送信チャンネルは、特に一方又は他方の主体が移動した場合、その特性の時間変化にしたがう。送信チャンネルを通じた付加的なやり取りをすることなく、秘密鍵が頻繁に更新されうる。
【０００６】
送信チャンネルの特性から秘密鍵を生成する技術が提案されている（非特許文献１参照）。
【０００７】
秘密鍵を生成する当該技術における主要な困難性の１つは、生成鍵に関するボブとアリスとの間の合意の潜在的な欠如にある。
【０００８】
第１に、正当な２つの主体間の送信チャンネルは、これに影響するノイズのために厳密には同一ではない。
【０００９】
第２に、通信がＴＤＤ（Time Division Duplex）方式である場合、送信チャンネルの特性が、ボブによるチャンネルの測定時点とアリスによる測定時点との間で微小ながら変化する。同様に、送信チャンネルがＦＤＤ（Frequency Division Duplex）方式である場合、アリス及びボブの間の送信チャンネルの周波数特性は、反対のチャンネルの周波数特性と一致しない。
【００１０】
前述のノイズ並びに時間シフト及び周波数シフトのうち少なくとも１つに由来するチャンネルの非対称性により、ボブにより生成される鍵はアリスにより生成される鍵と必ずしも一致しない。
【００１１】
正当な主体間での生成鍵に関する合意に到達するための多数の手段、特に、ファジー抽出器により後継されているリミッタ処理前のノイズを低減させるためにローパスフィルタを用いた場合における手段が提案されている（非特許文献２参照）。
【００１２】
一致する推定結果及びその後に共有鍵を取得するため、送信チャンネルの推定結果を低次ビットから始めて高次ビットに向かって円滑に補正する手法が提案されている（非特許文献３参照）。
【先行技術文献】
【非特許文献】
【００１３】
【非特許文献１】“High rate uncorrelated bit extraction for shared secret key generation from channel measurements”, N. Patwari et al., IEEE Trans. on Mobile Computing, 2010, vol.9, no.1, pp.17-30 (2010).
【非特許文献２】“Robust key generation from signal envelopes in wireless networks”, B. Azimi-Sadjadi et al., Proceedings of ACM Conference on Computer and Communications Security 2007, pp.401-410 (2007).
【非特許文献３】“Reliability based sliced error correction in secret key agreement from fading channel”, S. Takayuki et al., 2010 IEEE Wireless Communications and Networking Conference (2010).
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかし、共有秘密鍵に関する合意を達成するための当該手法は、実用が複雑であり、かつ、合意に実際に到達する前にチャンネルのいずれか一方の側で繰り返されるべきチャンネル推定結果を頻繁に要求することは煩雑である。
【００１５】
そこで、本発明は、先行技術における不利を伴わず、特にノイズに対する濾バスト性があり、かつ、モバイル端末に適用が容易な送信チャンネルの特性から秘密鍵を生成する方法を提供することを課題とする。
【００１６】
さらに、本発明は、ＷｉＭａｘ及び３Ｇ ＬＴＥ（Long Term Evolution）において採用されているＨＡＲＱ ｔｙｐｅＩＩ（Hybrid Automatic ReQuest）プロトコルの利点を活かして秘密鍵の生成方法を提供することを課題とする。
【課題を解決するための手段】
【００１７】
本発明の秘密鍵生成方法は、ワイヤレス送信チャンネルにより接続され、前記チャンネルの第１推定結果を生成する第１端末と、前記チャンネルの第２推定結果を生成する第２端末とにより共有される秘密鍵の生成方法であって、
（ａ）前記第１推定結果を表わす第１メッセージであって、チャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされた第１メッセージが前記第１端末から前記第２端末に対して送信され、
（ｂ）前記第２推定結果を表わす第２メッセージであって、前記チャンネル暗号を用いて事前に暗号化された第２メッセージが前記第２端末により格納され、
（ｃ）前記第１メッセージを復号化するために前記第２メッセージが前記第１メッセージと結合され、
（ｄ）前記第１メッセージの復号化に成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする。
【００１８】
本発明の第１態様の方法において、前記第１メッセージの復号化が成功した場合、前記第２端末が承認通知を前記第１端末に対して送信し、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定する。
【００１９】
前記第１端末が前記第１メッセージを演算処理することにより前記秘密鍵を決定し、前記第２端末が復号化された前記第１メッセージに同一の演算処理を施すことにより前記秘密鍵を取得することが好ましい。
【００２０】
前記第１メッセージの復号化が失敗した場合、前記インパルス応答に対する前記第２推定結果が、前記第１推定結果に比較して１サンプル分だけシフトされ、当該シフトされた前記第２推定結果を用いて前記過程（ｂ）（ｃ）及び（ｄ）が繰り返される。
【００２１】
前記第１メッセージが復号化されるまで、又は前記シフトが所定の最大値に到達するまで、前記インパルス応答に対する前記第２推定結果の前記シフト、並びに過程（ｂ）（ｃ）及び（ｄ）が繰り返される。
【００２２】
前記第１メッセージが復号化されることなく前記シフトが前記最大値に到達した場合、前記第２端末が前記第１端末に対して冗長増進の送信要求を送信する。
【００２３】
前記冗長増進が前記第１パンクチャリングパターンにしたがってパンクチャリングされたビットにより構成されている。
【００２４】
この場合、
（ｃ’）前記第２端末が前記第２メッセージの少なくとも一部と、前記冗長増進により事前に完成された前記第１メッセージとを結合し、当該結合に基づいて前記第１メッセージを復号化し、（ｄ）前記第１メッセージの復号化が成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００２５】
前記冗長増進により完成された前記第１メッセージが未だ復号化されていない場合、前記第１端末が前記冗長増進を前記第２端末に対して送信することが好ましい。
【００２６】
新しい前記冗長増進が前記第１メッセージを復号化可能である場合、前記冗長増進が前記第１端末から送信されず、前記第１端末が前記第２端末に当該状況を通知し、前記第１端末及び前記第２端末が、それぞれ前記送信チャンネルのインパルス応答に対する前記第１推定結果及び前記第２推定結果を生成する。
【００２７】
本発明の第２態様の方法によれば、前記チャンネル暗号を用いて事前に暗号化された前記第２メッセージが、復号化不可能な程度に高速で第２パンクチャリングパターンにしたがってパンクチャリングされ、当該パンクチャリングされた前記第２メッセージが前記第１端末に対して送信される。
【００２８】
この場合、前記第１端末が前記第２メッセージを復号化するため、前記第１メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第２メッセージの復号化が成功した場合、前記第１端末が、当該復号化され、前記第２端末から承認通知を受信していない前記第２メッセージに基づいて前記秘密鍵を決定し、前記第２端末に対して承認メッセージを送信し、
前記第２端末から承認メッセージを受信している場合、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００２９】
対称的な態様にしたがって、前記第２端末が前記第１メッセージを復号化するため、前記第２メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第１メッセージの復号化が成功した場合、前記第２端末が当該復号化され、かつ、前記第１端末から承認通知を受信していない前記第１メッセージに基づいて前記秘密鍵を決定し、前記第１端末に対して承認メッセージを送信し、
前記第１端末から承認メッセージを受信している場合、前記第２端末が前記第２メッセージに基づいて前記秘密鍵を決定することが好ましい。
【００３０】
前記第１端末及び前記第２端末のそれぞれによるチャンネル暗号化、パンクチャリング及び送信前に前記第１メッセージ及び前記第２メッセージのそれぞれに対してＣＲＣ（巡回冗長検査）が計算かつ連結され、受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて計算されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定される。
【００３１】
代替的に、チャンネル暗号化及びパンクチャリング前に前記第１メッセージ及び前記第２メッセージのそれぞれを用いてＣＲＣ（巡回冗長検査）が計算され、送信前にパンクチャリングされたメッセージに対して連結され、受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて実施されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定される。
【図面の簡単な説明】
【００３２】
【図１】本発明の第１実施形態としての秘密鍵生成方法の説明図。
【図２】本発明の第２実施形態としての秘密鍵生成方法の説明図。
【図３】図１及び図２において受信されたメッセージの復号化失敗の前提に関する説明図。
【図４】秘密鍵の生成方法の送信端末への適用例に関する説明図。
【図５】秘密鍵の生成方法の受信端末への適用例に関する説明図。
【発明を実施するための形態】
【００３３】
少なくとも第１端末及び第２端末を含むワイヤレス通信について考察する。「端末」とは、固定通信機器又はモバイル通信機器を意味する。ワイヤレス通信システムは移動通信用であってもなくてもよい。当該システムは携帯電話ネットワーク、アドホックネットワーク、センサーネットワーク、通信媒体ネットワークなどであってもよい。端末は広義にはユーザ端末、ベースステーション、センサ、通信媒体等の通信機器を意味する。
【００３４】
第１端末及び第２端末の間の通信は、すべての場合においてワイヤレス送信チャンネルが用いられる。チャンネルは一般に時間及び周波数のうち一方又は両方により選択される。すなわち、チャンネルのインパルス応答は時間的、周波数的、又は時間的かつ周波数的なフェージングを有する。例えば、一方又は他方のチャンネルがモバイル端末である場合、チャンネルはレイリーフェージングを有するチャンネルである。
【００３５】
第１端末及び第２端末の間の通信は一方向通信又は双方向通信である。双方向通信の場合、一方向の通信は、逆方向の通信により用いられる通信資源（通信時間間隔、周波数、サブキャリアインターバル、オーソゴナルコード）とは異なる通信資源を有する。例えば、ＴＤＤ通信における通信時間間隔（ＴＴＩ）は２つの方向間で異なる。ＦＤＤ通信では２つの方向間で通信周波数が異なる。
【００３６】
異なる通信資源の利用の結果、送信チャンネルの特性は通信方向に応じて相違する。２つの通信時間間隔はチャンネルの同期時間より短い、又は２つの通信周波数が近接するため、実際には当該特性の相対的相違は微小である。
【００３７】
図１はワイヤレス通信システムを構成する第１端末及び第２端末により共有される秘密鍵の生成方法を示している。
【００３８】
ＳＴＥＰ１１０において、第１端末が周知の手法により送信チャンネルのインパルス応答を測定する。その実現のため、第２端末がパイロットシンボルシーケンスを送信する。パイロットシンボルシーケンスは、所定の通信時間間隔以内に又は連続する複数の通信時間間隔を超えて通信される。インパルス応答は、厳密な意味でのインパルス応答、又は、第１端末により受信されるシーケンス、すなわち、第２端末により送信されたパイロットシンボルシーケンスとインパルス応答との畳み込みを意味する。送信チャンネルのインパルス応答はサンプルシーケンスの形態である。
【００３９】
ＳＴＥＰ１２０において、第１端末はインパルス応答を演算処理し、当該応答を表わすメッセージ（以下「第１メッセージ」という。）を抽出する。演算処理は特にノイズを低減させるためのローパスフィルタ、自動ゲイン制御（ＡＧＣ）、量子化、情報圧縮、フーリエ変換等を含む。
【００４０】
ＳＴＥＰ１３０において、第１端末は取得された第１メッセージをエラー補正コード又はＥＣＣを用いて暗号化する。好ましくは第１メッセージが巡回冗長検査又はＣＲＣ等のエラー検出コードを用いて暗号化される。ＥＣＣ暗号化はＣＲＣコードに結合される元のメッセージに関連する。これに代えて、ＥＣＣはＣＲＣを含まない第１メッセージに関連し、ＣＲＣはＥＣＣ暗号化により取得されたメッセージに対して結合される。
【００４１】
ＥＣＣ暗号化は、例えばリード−ソロモンコーディング、低密度パリティコード若しくはＬＤＰＣ、暗号化又はターボコーディングであってもよい。
【００４２】
ＳＴＥＰ１４０において、前記のように暗号化された第１メッセージが、受信時に復号化されえない程度に十分に高速のパンクチャリングパターンを用いてパンクチャリングされる。例えば、暗号化がシステマティック型であれば、システマティックビットはすべてパンクチャリングされる。好ましくは、システマティックビットの一部であるが、ＥＣＣコードの補正許容量を超える程度に多数のシステマティックビットがパンクチャリングされる。通信を傍受するスパイ端末（イブ）による元のメッセージを再構築することが不可能になる。
【００４３】
ＳＴＥＰ１４１において、第１端末により第１メッセージが変調かつ送信される。受信後、第２端末により当該第１メッセージが復調かつデパンクチャリングされる。デパンクチャリングは、欠落した複数のビットを消去されたものとして処理する、すなわち、当該複数のビットに対して明白なデータ欠如を示す適当な値を付与することを含む（実用上はゼロＬＬＲ）。
【００４４】
同様に、ＳＴＥＰ１１５において、第２端末が送信チャンネルのインパルス応答の推定結果を生成し（第１端末により送信されたパイロットシンボルシーケンスが用いられる。チャンネルのインパルス応答はＳＴＥＰ１１０と同様に複数のサンプルのシーケンスの形態である。）。第２端末がＳＴＥＰ１２５において演算処理を実行し、ＳＴＥＰ１３５において（好ましくはＥＣＣ暗号化に先立つＣＲＣ暗号化により）当該演算処理結果に基づいて当該応答、誤差補正暗号又はＥＣＣを表わす第２メッセージを抽出する。
【００４５】
第２端末により実行されるＳＴＥＰ１１５、１２５及び１３５のそれぞれは、第１端末により実行されるＳＴＥＰ１１０、１２０及び１３０のそれぞれと同一である。特に、ＥＣＣ暗号化及び（必要に応じて）ＣＲＣ暗号化は、ＳＴＥＰ１３０において用いられているものと同一である。ＳＴＥＰ１３０においてＣＲＣ暗号化がＥＣＣ暗号化より先に実行される場合、ＳＴＥＰ１３５において同一のＣＲＣ暗号化がＥＣＣ暗号化より先に実行される。これとは逆に、ＳＴＥＰ１３０においてＣＲＣ暗号化がＥＣＣ暗号化より後に実行される場合、ＳＴＥＰ１３５において同一のＣＲＣ暗号化がＥＣＣ暗号化より後に実行される。変形例として、パンクチャリングが実行されるＳＴＥＰ１４５が含まれていてもよい。この場合、ＳＴＥＰ１４５において用いられるパンクチャリングパターンは、ＳＴＥＰ１４０において用いられるパンクチャリングパターンとは区別されていることが好ましい。
【００４６】
前記のように生成された第２メッセージは第２端末に格納される。ＳＴＥＰ１５５において、第２端末が第２メッセージの少なくとも一部を、第１端末から受信された第１メッセージと結合させる。
【００４７】
第１メッセージは、一般的には対数尤度比（ＬＬＲｓ）の形態の複数のソフトビットにより構成されている。第２メッセージも複数のソフトビットにより構成されているが、第１メッセージとは異なり、第２メッセージが決定論的である場合（送信チャンネルを通じた伝播が皆無の場合）、正及び負のソフトビットが不変であってもよい。
【００４８】
第２メッセージは「尤度（Probabilistic）」の値により暗号化される場合がある。例えば、ビットが所定の閾値の交差を表わす場合、ソフト値は元値と閾値との比を表わす。このため、ＳＴＥＰ１２５における計算がインパルス応答のリミッタ処理（フェードの測定）を包含する場合、第２メッセージのソフト値は、応答の（予め正規化された）振幅と該当閾値との比として計算される。これとは逆に、第２メッセージ（及び第１メッセージ）の２つの単語がフェードの現在状態を表わす場合、不変のソフト値が用いられる。
【００４９】
第１メッセージは第２メッセージの少なくとも一部と次のように結合される。第１メッセージ及び第２メッセージの両方においてビットがパンクチャリングされている場合、結合の結果としての当該ビットはデリーションである（ＬＬＲ＝０により表わされる）。第１メッセージにおいてビットがパンクチャリングされている一方、第２メッセージにおいてビットがパンクチャリングされていない場合、第１メッセージの当該ビットが第２メッセージの相当するビットに置換される。同等の方法で、第１メッセージにおいてパンクチャリングされた値（パンクチャリングされたビットがデリーションと均等であるため、ＬＬＲが０である）が第２メッセージの相当する値に付加される。そして、両方のメッセージに当該ビットが含まれる場合、第１メッセージのソフト値が第２メッセージのソフト値に加えられる。
【００５０】
第２メッセージが少なくとも部分的に第１メッセージに対して結合された後、ＳＴＥＰ１６５において、第１メッセージを復号するための第１の試行が実行される。
【００５１】
この時点で、第２メッセージの唯一の機能は第１メッセージの復号化の補助であり、その逆はない。すなわち、第２メッセージに存在する情報は、パンクチャリングによって第１メッセージに欠如している情報の補完を可能とするだけである。
【００５２】
ＳＴＥＰ１６５における復号化が失敗した場合（すなわち、ＥＣＣコードがメッセージに影響するエラーを訂正することができない場合）、又は判定ＳＴＥＰ１７５に表わされているように、複合化されたメッセージに基づいて計算されるＣＲＣが残留エラーの存在を示している場合、アルゴリズムはＳＴＥＰ１７６の処理に続く。その一方、復号化が成功した場合、ＳＴＥＰ１８５において、ＣＲＣの計算による可能な確認通知（confirmation）とともに、承認通知（acknowledgement）が第１端末に送信され、ＳＴＥＰ１９５において秘密鍵が計算される。
【００５３】
ＳＴＥＰ１６５において複合化された第１メッセージに基づいて秘密鍵が取得される。これは複合化メッセージと単純に同一であってもよく、又は当該メッセージのサブサンプリングの結果であってもよい。これに代えて、秘密鍵から冗長度を消滅させるための計算、換言すると情報圧縮アルゴリズムを用いる当該手法により秘密鍵が抽出されてもよい。例えば、自己適応型フィルタを用いて複合化された第１メッセージがフィルタリングされた結果物として秘密鍵が取得されてもよい。
【００５４】
同時に、第１端末が複合化承認通知を受信した場合、ＳＴＥＰ１９０において、第１端末がＳＴＥＰ１９５において複合化された第１メッセージに対して適用されるのと同一の計算にしたがって、（ＳＴＥＰ１２０において取得された）元の第１メッセージに基づいて秘密鍵を生成する。生成された秘密鍵は両端末に共通となり、３ＤＥＳ又はＲＣ４等の対称暗号作成アルゴリズムを用いて通信を暗号化するために用いられうる。
【００５５】
要求される場合、秘密鍵は同一の生成方法を用いて更新される。送信チャンネルの特性は、２つの端末の相対移動又は環境変化のために一般的に時間変化し、新たな鍵は直前の鍵とは無関係になる。
【００５６】
図２は本発明の秘密鍵の生成方法の第２実施形態を示している。
【００５７】
第１実施形態と異なり、秘密鍵を決定するために第２端末により第２メッセージが第１端末に対して送信される。
【００５８】
第１端末により実行されるＳＴＥＰ２１０，２２０，２４０及び２４１のそれぞれの処理は、図１に示されているＳＴＥＰ１１０，１２０，１４０及び１４１のそれぞれの処理と同一なので説明を省略する。同様に、ＳＴＥＰ２１５，２２５，２３５，２４５，２５５，２６５，２７５〜２７６，２８５及び２９５のそれぞれの処理は、ＳＴＥＰ１１５，１２５，１３５，１４５，１５５, １６５，１７５〜１７６，１８５及び１９５のそれぞれの処理と同一である。
【００５９】
第２実施形態において、ＳＴＥＰ２９５において取得された秘密鍵は「第１秘密鍵」という。
【００６０】
パンクチャリングが実行されるＳＴＥＰ１４５は任意ではなく、パンクチャリングパターンは、パンクチャリングされた第２メッセージがレシーバにより復号化されえない程度に十分に高いパンクチャリング速度を有する。このため、第２端末及び第１端末の間の通信を傍受する第３端末が元の第２メッセージを取得することができない。第２メッセージをパンクチャリングするために用いられるパンクチャリングパターンは、第１メッセージをパンクチャリングするために用いられるパンクチャリングパターンとは区別されていることが好ましい。
【００６１】
パンクチャリング後、第２メッセージが第２端末により変調かつ送信チャンネルを通じて送信される。当該メッセージは、前述のように第１端末により受信され、復調かつデパンクチャリングされる。
【００６２】
ＳＴＥＰ２２０において取得された第１メッセージは、ＳＴＥＰ２５０において少なくとも部分的にデパンクチャリングされた第２メッセージに対して結合される。当該結合はＳＴＥＰ２５５において実行される結合と対称的に実行される。特に、第２メッセージにおける欠落情報は第１メッセージに包含されている情報により補完される。
【００６３】
結合後、ＳＴＥＰ２６０において、第１の試行が実行される。ＳＴＥＰ２７０において、ＥＣＣコードの訂正無効、又は復号化メッセージにおける残留エラーのため、（残留エラーが存在する場合にはＣＲＣによる）復号化が失敗したことが検知された場合、ＳＴＥＰ２７１の処理が実行される。
【００６４】
一方、復号化が成功した場合、ＳＴＥＰ２８０において、ＣＲＣの計算による可能な確認通知とともに、承認通知が第２端末に対して送信され、ＳＴＥＰ２９０において秘密鍵が計算される。
【００６５】
第１秘密鍵及び第２秘密鍵の計算の対比により共有秘密鍵が取得される。具体的には、他方の端末から最初に承認通知を受信した一方の端末が受信メッセージ（第１又は第２メッセージ）の複合化を阻止し、ＳＴＥＰ１９０において説明されたように元のメッセージに基づいて連結秘密鍵を局所的に生成する。
【００６６】
例えば、第１メッセージの復号化が第２メッセージの複合化よりも速い場合、ＳＴＥＰ２８５において送信された承認通知は、第１端末における第２メッセージの複合化処理を阻止する。第１端末は、図左側の破線矢印により表わされているように（ＳＴＥＰ２２０において取得された）元の第１メッセージに基づいて共有鍵を生成する。
【００６７】
対称的な形態で、第２メッセージの復号化が第１メッセージの複合化よりも速い場合、ＳＴＥＰ２８０において送信された承認通知は、第２端末における第１メッセージの複合化処理を阻止する。第２端末は、図右側の破線矢印により表わされているように（ＳＴＥＰ２２５において取得された）元の第２メッセージに基づいて共有鍵を生成する。
【００６８】
したがって、第１メッセージ又は第２メッセージの復号化が成功すると直ちに共有秘密鍵が取得される。これにより、２つの端末間の通信は、前述のように対称暗号作成アルゴリズムにより暗号化されうる。
【００６９】
第１又は第２メッセージを傍受するスパイ端末（イブ）は、当該傍受メッセージを複合化することは不可能である。
【００７０】
第１端末及び第２端末とスパイ端末との間の通信チャンネルの応答は、第１端末と第２端末との間の通信チャンネルの応答とは異なる。このため、傍受メッセージを複合化するために通信チャンネルのインパルス応答の測定結果に基づいて当該傍受メッセージにおける情報抽出が試みられたとしても、当該複合化は失敗に帰することになる。
【００７１】
ＳＴＥＰ１７５又は２７５において第１メッセージの復号化が失敗した場合、又はＳＴＥＰ２７０において第２メッセージの復号化が失敗した場合、図３に示されている処理が実行される。
【００７２】
図３は、図１（ＳＴＥＰ１７６参照）又は図２（ＳＴＥＰ２７１又は２７６）におけるメッセージの復号化失敗時における秘密鍵の生成方法の手順を示している。
【００７３】
ここで、第１実施形態において、ＳＴＥＰ１７５における第１メッセージの復号化が失敗したと仮定する。第２実施形態において、ＳＴＥＰ２７５における第１メッセージの復号化が失敗した場合、又はＳＴＥＰ２７０における第２メッセージの復号化が失敗した場合、同様の処理が実行されることは明らかである。
【００７４】
まず、エラー個数がＥＣＣコードの訂正許容量を超えた場合、又は復号化メッセージに基づいて計算されたＣＲＣがエラーの存在を示している場合、当該エラーの原因が、ＳＴＥＰ１１０において推定されたインパルス応答に対する、ＳＴＥＰ１１５において推定されたインパルス応答のシフトにあるか否かが判定される。実際に、２つの接続方向の間のタイムラグ（ＴＤＤ）又は周波数シフト（ＦＤＤ）が、通信チャンネルのインパルス応答の２〜３のサンプルのシフトを生じさせる場合がある。
【００７５】
ＳＴＥＰ１１０及び１１５の間の２つの推定インパルス応答に許容される最大シフトがｓと表わされる場合、第１インパルス応答に対する第２インパルス応答のｓ＝１，‥，Ｓ個のサンプルの遷移が第１メッセージを訂正することが可能であるか否かが判定される。
【００７６】
当該処理を実行するため、ＳＴＥＰ３１０においてシフトがｓ＝１個のサンプルに初期化され、ＳＴＥＰ３２０において第２インパルス応答がｓ個のサンプル分だけ遷移される。ＳＴＥＰ３３０において、このように遷移されたインパルス応答が用いられてＳＴＥＰ１２５〜１５５の処理が再実行される。
【００７７】
ＳＴＥＰ３４０において、新たな復号化が試行される。ＳＴＥＰ３５０において、復号化が成功した場合、ＳＴＥＰ１８５（図１参照）の処理が実行される。換言すると、複合化の承認通知が第１端末に送信され、ＳＴＥＰ１９５において、秘密鍵が計算される。一方、復号化が再び失敗した場合、ＳＴＥＰ３６０においてｓ＝Ｓであるか否かが判定される。
【００７８】
ｓ＝Ｓではない場合、ＳＴＥＰ３６５においてシフト量が増進された上で、ＳＴＥＰ３２０に戻り新たな遷移が実行され、ＳＴＥＰ３３０及び３４０において当該遷移されたインパルス応答を用いた新たな復号化が試行される。
【００７９】
一方、復号化が未成功であるもののｓ＝Ｓである場合、第２端末がシフト量を０（ｓ＝０）にリセットし、ＳＴＥＰ３７０において第１端末に対して新たな冗長増進の送信要求を送信する。当該冗長増進は、ＳＴＥＰ１４０において削除された複数のビットにより構成されている。当業者であれば、端末がＨＡＲＱ ｔｙｐｅＩＩプロトコルにしたがって動作する場合、継続的な冗長増進の遷移が当該端末の実質的な変更を必要としないことを理解するはずである。
【００８０】
前記要求に応じる前に、第１端末は、送信された第１メッセージ及び要求冗長増進による訂正が、元の第１メッセージの復号化をなおも阻止するか否かについて判定する。当該判定結果が否定的である場合、第１端末は当該増進を送信し、必要に応じてその旨を第２端末に通知する。
【００８１】
ＳＴＥＰ１５５に戻り、第２メッセージの少なくとも一部が、冗長増進が実行された第１メッセージに対して結合される。復号化が再び失敗した場合、復号化が成功するまで、又は再びｓ＝ＳとなるまでＳＴＥＰ１１５において測定されたインパルス応答が継続的にシフトされる。再びｓ＝Ｓになった場合、第２端末は冗長増進の新たな送信要求を送信し、ＳＴＥＰ１５５において生成された第１メッセージに関する新たな結合が継続的な冗長増進により実行される。
【００８２】
第１端末の立場からすると、要求が受信されるたびに新たな冗長増進が送信されるが、継続的な増進によりパンクチャリングかつ処理された第１メッセージが複合化されないままである。これは、パンクチャリングされた当該メッセージ及び継続的な冗長増進を傍受する第３端末が秘密鍵を生成することが不可能であるものと理解される。新たな増進の送信により第１メッセージが復号化された場合（第２メッセージにより供給されるような付加的情報が含まれない）、新たな増進は送信されず、秘密鍵の生成方法が最初から再開され、ＳＴＥＰ１１０において第１端末により通信チャンネルのインパルス応答が推定され、ＳＴＥＰ１１５において第２端末により通信チャンネルのインパルス応答が推定される。
【００８３】
図４は、本実施形態において送信端末の役割を担う第１端末における秘密鍵の生成方法の実施例を示している。
【００８４】
第１端末は送信チャンネルのインパルス応答推定モジュール４１０を備えている。前述のように、インパルス応答は畳み込まれなくてもよく、換言するとパイロットシンボルシーケンスに対するチャンネルの応答を表わしている。
【００８５】
計算モジュール４２０はインパルス応答を、これを表わすメッセージに変換する。
【００８６】
メッセージは、モジュール４３０において当該メッセージに対して適用されるエラーチェックコード（ＣＲＣ）を有し、ＣＲＣは公知の方法により当該メッセージに対して連結される。
【００８７】
メッセージ及び適用可能であればこれに連結されたＣＲＣは、暗号化モジュール４４０においてエラー訂正コード（ＥＣＣ）を用いて暗号化される。暗号化されたメッセージはパンクチャリングモジュール４５０によりパンクチャリングされる。パンクチャリングされたビットはメモリ４５５に格納され、要求に応じてパケット（冗長増進）の形で送信される。
【００８８】
そして、パンクチャリングされたメッセージが、送信チャンネルを通じて送信される前にシンボルＱ−エリアモジュレータ４６０により変調される。
【００８９】
第１端末は、計算モジュール４２０から供給されるメッセージに基づいて秘密鍵を決定する計算モジュール４７０を備えている。
【００９０】
図５は、本実施形態において受信端末の役割を担う第２端末における秘密鍵の生成方法の実施例を示している。
【００９１】
第１端末はインパルス応答推定モジュール５１０と、計算モジュール５２０と、ＣＲＣ計算モジュール５３０と、ＥＣＣ暗号化モジュール５４０と、パンクチャリングモジュール５５０とを備えている。モジュール５１０〜５４０は、モジュール４１０〜４４０と同一である一方、モジュール５５０により用いられるパンクチャリングパターンはモジュール４５０により用いられるパンクチャリングパターンと異なっている。さらに、遷移モジュール５１５が推定モジュール５１０と計算モジュール５２０との間に配置されている。遷移モジュール５１５は、ｓ個の推定されたインパルス応答を遷移する。新たな推定のたびにシフト値ｓは０にリセットされる。
【００９２】
第２メッセージを構成するビットシーケンスはモジュール５５５に格納されている。第２メッセージはモジュール５６０において、受信機５６５により第１端末から受信された第１メッセージに少なくとも部分的に結合される。結合モジュールは例えばＬＬＲｓの加算処理を実行する。
【００９３】
そして、結合の結果、取得されるメッセージはモジュール５７０において当該メッセージに対してＥＣＣ複合化を実行させ、モジュール５８０において当該メッセージに対してＣＲＣ計算を実行させる。メッセージが暗号化可能であり、かつ、ＣＲＣが連結先と同一である場合、計算モジュール５９０は、複合化されたメッセージに基づいて秘密鍵を決定する。その一方、メッセージが暗号化不可能であり、又は計算されたＣＲＣが誤っている場合、モジュール５１５に対して入力されるシフト値が増進される。
【００９４】
続いて、モジュール５２０が遷移されたインパルス応答を用いる。増進されたシフト値が最大シフトＳを超えている場合、冗長増進の送信要求が第１端末に対して送信される。モジュール５６０により、冗長増進が第２メッセージの該当部分に結合される。
【００９５】
当業者であれば、本発明の秘密鍵の生成方法が、タイプＩＩのＨＡＲＱ（ＩＲ−ＨＡＲＱ）通信プロトコルにしたがうワイヤレス端末に標準的に装備されているモジュールを利用することを理解するであろう。したがって、本手法は、既存端末において過度の負担を伴うことなく採用されうる。
【特許請求の範囲】
【請求項１】
ワイヤレス送信チャンネルにより接続され、前記チャンネルの第１推定結果を生成する第１端末と、前記チャンネルの第２推定結果を生成する第２端末とにより共有される秘密鍵の生成方法であって、
（ａ）前記第１推定結果を表わす第１メッセージであって、チャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされた第１メッセージが前記第１端末から前記第２端末に対して送信され、
（ｂ）前記第２推定結果を表わす第２メッセージであって、前記チャンネル暗号を用いて事前に暗号化された第２メッセージが前記第２端末により格納され、
（ｃ）前記第１メッセージを復号化するために前記第２メッセージが前記第１メッセージと結合され、
（ｄ）前記第１メッセージの復号化に成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項２】
請求項１記載の方法において、
前記第１メッセージの復号化が成功した場合、前記第２端末が承認通知を前記第１端末に対して送信し、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項３】
請求項２記載の方法において、
前記第１端末が前記第１メッセージに演算処理を施すことにより前記秘密鍵を決定し、前記第２端末が復号化された前記第１メッセージに同一の演算処理を施すことにより前記秘密鍵を取得することを特徴とする方法。
【請求項４】
請求項１記載の方法において、
インパルス応答に対する前記第１推定結果及び前記第２推定結果がサンプルシーケンスの形態であり、前記第１メッセージの復号化が失敗した場合、前記インパルス応答に対する前記第２推定結果が、前記第１推定結果に比較して１サンプル分だけシフトされ、当該シフトされた前記第２推定結果を用いて前記過程（ｂ）（ｃ）及び（ｄ）が繰り返されることを特徴とする方法。
【請求項５】
請求項４記載の方法において、
前記第１メッセージが復号化されるまで、又は前記シフトが所定の最大値に到達するまで、前記インパルス応答に対する前記第２推定結果の前記シフト、並びに過程（ｂ）（ｃ）及び（ｄ）が繰り返されることを特徴とする方法。
【請求項６】
請求項５記載の方法において、
前記第１メッセージが復号化されることなく前記シフトが前記最大値に到達した場合、前記第２端末が前記第１端末に対して冗長増進の送信要求を送信することを特徴とする方法。
【請求項７】
請求項６記載の方法において、
前記冗長増進が前記第１パンクチャリングパターンにしたがってパンクチャリングされたビットにより構成されていることを特徴とする方法。
【請求項８】
請求項７記載の方法において、
（ｃ’）前記第２端末が前記第２メッセージの少なくとも一部と、前記冗長増進により事前に完成された前記第１メッセージとを結合し、当該結合に基づいて前記第１メッセージを復号化し、
（ｄ）前記第１メッセージの復号化が成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項９】
請求項８記載の方法において、
前記冗長増進により完成された前記第１メッセージが未だ復号化されていない場合、前記第１端末が前記冗長増進を前記第２端末に対して送信することを特徴とする方法。
【請求項１０】
請求項９記載の方法において、
新しい前記冗長増進が前記第１メッセージを復号化可能である場合、
前記冗長増進が前記第１端末から送信されず、前記第１端末が前記第２端末に当該状況を通知し、
前記第１端末及び前記第２端末が、それぞれ前記送信チャンネルのインパルス応答に対する前記第１推定結果及び前記第２推定結果を生成することを特徴とする方法。
【請求項１１】
請求項１記載の方法において、
前記チャンネル暗号を用いて事前に暗号化された前記第２メッセージが、復号化不可能な程度に高速で第２パンクチャリングパターンにしたがってパンクチャリングされ、当該パンクチャリングされた前記第２メッセージが前記第１端末に対して送信されることを特徴とする方法。
【請求項１２】
請求項１１記載の方法において、
前記第１端末が前記第２メッセージを復号化するため、前記第１メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第２メッセージの復号化が成功した場合、前記第１端末が、当該復号化され、前記第２端末から承認通知を受信していない前記第２メッセージに基づいて前記秘密鍵を決定し、前記第２端末に対して承認メッセージを送信し、
前記第２端末から承認メッセージを受信している場合、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項１３】
請求項１１又は１２記載の方法において、
前記第２端末が前記第１メッセージを復号化するため、前記第２メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第１メッセージの復号化が成功した場合、前記第２端末が当該復号化され、かつ、前記第１端末から承認通知を受信していない前記第１メッセージに基づいて前記秘密鍵を決定し、前記第１端末に対して承認メッセージを送信し、
前記第１端末から承認メッセージを受信している場合、前記第２端末が前記第２メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項１４】
請求項１１〜１３のうちいずれか１つに記載の方法において、
前記第１端末及び前記第２端末のそれぞれによるチャンネル暗号化、パンクチャリング及び送信前に前記第１メッセージ及び前記第２メッセージのそれぞれに対してＣＲＣ（巡回冗長検査）が計算かつ連結され、
受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて計算されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定されることを特徴とする方法。
【請求項１５】
請求項１１〜１３のうちいずれか１つに記載の方法において、
チャンネル暗号化及びパンクチャリング前に前記第１メッセージ及び前記第２メッセージのそれぞれを用いてＣＲＣ（巡回冗長検査）が計算され、
送信前にパンクチャリングされたメッセージに対して連結され、
受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて実施されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定されることを特徴とする方法。
【請求項１】
ワイヤレス送信チャンネルにより接続され、前記チャンネルの第１推定結果を生成する第１端末と、前記チャンネルの第２推定結果を生成する第２端末とにより共有される秘密鍵の生成方法であって、
（ａ）前記第１推定結果を表わす第１メッセージであって、チャンネル暗号を用いて事前に暗号化され、かつ、復号化不可能な程度に高速で第１パンクチャリングパターンにしたがってパンクチャリングされた第１メッセージが前記第１端末から前記第２端末に対して送信され、
（ｂ）前記第２推定結果を表わす第２メッセージであって、前記チャンネル暗号を用いて事前に暗号化された第２メッセージが前記第２端末により格納され、
（ｃ）前記第１メッセージを復号化するために前記第２メッセージが前記第１メッセージと結合され、
（ｄ）前記第１メッセージの復号化に成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項２】
請求項１記載の方法において、
前記第１メッセージの復号化が成功した場合、前記第２端末が承認通知を前記第１端末に対して送信し、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項３】
請求項２記載の方法において、
前記第１端末が前記第１メッセージに演算処理を施すことにより前記秘密鍵を決定し、前記第２端末が復号化された前記第１メッセージに同一の演算処理を施すことにより前記秘密鍵を取得することを特徴とする方法。
【請求項４】
請求項１記載の方法において、
インパルス応答に対する前記第１推定結果及び前記第２推定結果がサンプルシーケンスの形態であり、前記第１メッセージの復号化が失敗した場合、前記インパルス応答に対する前記第２推定結果が、前記第１推定結果に比較して１サンプル分だけシフトされ、当該シフトされた前記第２推定結果を用いて前記過程（ｂ）（ｃ）及び（ｄ）が繰り返されることを特徴とする方法。
【請求項５】
請求項４記載の方法において、
前記第１メッセージが復号化されるまで、又は前記シフトが所定の最大値に到達するまで、前記インパルス応答に対する前記第２推定結果の前記シフト、並びに過程（ｂ）（ｃ）及び（ｄ）が繰り返されることを特徴とする方法。
【請求項６】
請求項５記載の方法において、
前記第１メッセージが復号化されることなく前記シフトが前記最大値に到達した場合、前記第２端末が前記第１端末に対して冗長増進の送信要求を送信することを特徴とする方法。
【請求項７】
請求項６記載の方法において、
前記冗長増進が前記第１パンクチャリングパターンにしたがってパンクチャリングされたビットにより構成されていることを特徴とする方法。
【請求項８】
請求項７記載の方法において、
（ｃ’）前記第２端末が前記第２メッセージの少なくとも一部と、前記冗長増進により事前に完成された前記第１メッセージとを結合し、当該結合に基づいて前記第１メッセージを復号化し、
（ｄ）前記第１メッセージの復号化が成功した場合、前記第２端末が復号化された前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項９】
請求項８記載の方法において、
前記冗長増進により完成された前記第１メッセージが未だ復号化されていない場合、前記第１端末が前記冗長増進を前記第２端末に対して送信することを特徴とする方法。
【請求項１０】
請求項９記載の方法において、
新しい前記冗長増進が前記第１メッセージを復号化可能である場合、
前記冗長増進が前記第１端末から送信されず、前記第１端末が前記第２端末に当該状況を通知し、
前記第１端末及び前記第２端末が、それぞれ前記送信チャンネルのインパルス応答に対する前記第１推定結果及び前記第２推定結果を生成することを特徴とする方法。
【請求項１１】
請求項１記載の方法において、
前記チャンネル暗号を用いて事前に暗号化された前記第２メッセージが、復号化不可能な程度に高速で第２パンクチャリングパターンにしたがってパンクチャリングされ、当該パンクチャリングされた前記第２メッセージが前記第１端末に対して送信されることを特徴とする方法。
【請求項１２】
請求項１１記載の方法において、
前記第１端末が前記第２メッセージを復号化するため、前記第１メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第２メッセージの復号化が成功した場合、前記第１端末が、当該復号化され、前記第２端末から承認通知を受信していない前記第２メッセージに基づいて前記秘密鍵を決定し、前記第２端末に対して承認メッセージを送信し、
前記第２端末から承認メッセージを受信している場合、前記第１端末が前記第１メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項１３】
請求項１１又は１２記載の方法において、
前記第２端末が前記第１メッセージを復号化するため、前記第２メッセージの少なくとも一部と前記第１メッセージとを結合し、
前記第１メッセージの復号化が成功した場合、前記第２端末が当該復号化され、かつ、前記第１端末から承認通知を受信していない前記第１メッセージに基づいて前記秘密鍵を決定し、前記第１端末に対して承認メッセージを送信し、
前記第１端末から承認メッセージを受信している場合、前記第２端末が前記第２メッセージに基づいて前記秘密鍵を決定することを特徴とする方法。
【請求項１４】
請求項１１〜１３のうちいずれか１つに記載の方法において、
前記第１端末及び前記第２端末のそれぞれによるチャンネル暗号化、パンクチャリング及び送信前に前記第１メッセージ及び前記第２メッセージのそれぞれに対してＣＲＣ（巡回冗長検査）が計算かつ連結され、
受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて計算されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定されることを特徴とする方法。
【請求項１５】
請求項１１〜１３のうちいずれか１つに記載の方法において、
チャンネル暗号化及びパンクチャリング前に前記第１メッセージ及び前記第２メッセージのそれぞれを用いてＣＲＣ（巡回冗長検査）が計算され、
送信前にパンクチャリングされたメッセージに対して連結され、
受信された前記第１メッセージ及び前記第２メッセージのそれぞれを用いて実施されたＣＲＣと、連結されたＣＲＣとが対比されることにより、前記第１端末及び前記第２端末のそれぞれによる前記第１メッセージ及び前記第２メッセージのそれぞれの復号化の成否が判定されることを特徴とする方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１２−２５７２４８（Ｐ２０１２−２５７２４８Ａ）
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願番号】特願２０１２−１２９０３８（Ｐ２０１２−１２９０３８）
【出願日】平成２４年６月６日（２０１２．６．６）
【出願人】（５１０２２５２９２）コミサリア ア レネルジー アトミック エ オ ゼネルジー アルテルナティブ (97)
【氏名又は名称原語表記】ＣＯＭＭＩＳＳＡＲＩＡＴ Ａ Ｌ’ＥＮＥＲＧＩＥ ＡＴＯＭＩＱＵＥ ＥＴ ＡＵＸ ＥＮＥＲＧＩＥＳ ＡＬＴＥＲＮＡＴＩＶＥＳ
【住所又は居所原語表記】Ｂａｔｉｍｅｎｔ Ｌｅ Ｐｏｎａｎｔ Ｄ，２５ ｒｕｅ Ｌｅｂｌａｎｃ，Ｆ−７５０１５ Ｐａｒｉｓ， ＦＲＡＮＣＥ
【Ｆターム（参考）】
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願日】平成２４年６月６日（２０１２．６．６）
【出願人】（５１０２２５２９２）コミサリア ア レネルジー アトミック エ オ ゼネルジー アルテルナティブ (97)
【氏名又は名称原語表記】ＣＯＭＭＩＳＳＡＲＩＡＴ Ａ Ｌ’ＥＮＥＲＧＩＥ ＡＴＯＭＩＱＵＥ ＥＴ ＡＵＸ ＥＮＥＲＧＩＥＳ ＡＬＴＥＲＮＡＴＩＶＥＳ
【住所又は居所原語表記】Ｂａｔｉｍｅｎｔ Ｌｅ Ｐｏｎａｎｔ Ｄ，２５ ｒｕｅ Ｌｅｂｌａｎｃ，Ｆ−７５０１５ Ｐａｒｉｓ， ＦＲＡＮＣＥ
【Ｆターム（参考）】
[ Back to top ]