不正操作に対し保護された暗号鍵生成方法および暗号鍵生成システム
本発明は、無線インタフェース（３）を介して互いに通信を行う複数の短距離無線装置（２−１，２−２）の設けられた短距離無線システム（１）に関する。短距離無線システム（１）の短距離無線装置（２−１，２−２）間で暗号化共通鍵（Ｓ）を生成する際、２つの短距離無線装置のうち少なくとも一方の短距離無線装置により、無線インタフェース（３）を介した暗号化共通鍵生成中に生成期間内で、アクティブな攻撃者の可能性があるさらに別の短距離無線装置（９）が、２つの短距離無線装置（２−１，２−２）のうち一方の短距離無線装置（２−１，２−２）と通信を行っているか否かについて監視する。この種の疑わしい通信形態が識別されると、暗号化共通鍵（Ｓ）の生成が必要に応じて中止される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線インタフェースを介した２つのノード間における暗号化共通鍵の不正操作保護された生成方法および生成システムに関する。
【０００２】
Bluetooth, WLAN, ZigBeeまたはWiMaxといった短距離無線システムにおいては、各端末機器が無線インタフェースを介して相互に通信を行う。無線インタフェースを介して伝送される情報を第３者によるマニピュレーションすなわち不正操作あるいはリスニングから保護するため、短距離無線システムの各ノード間もしくは端末機器間において情報が暗号化されて伝送される。このために必要とされるのは、端末機器もしくはノードが１つの暗号化共通鍵を生成することである。
【０００３】
短距離無線システムの場合、エンドユーザが暗号鍵自体を生成しなければならず、この場合、エンドユーザはネットワークプロバイダによっても支援されない。暗号化鍵のコンフィギュレーションあるいは生成は個人エンドユーザには煩雑であるし、誤りが生じやすい。多くのエンドユーザは、たとえば「１２３４」といった簡単で覚えやすい鍵もしくはパスワードを生成する傾向にあり、このような鍵もしくはパスワードは第３者によって比較的簡単に見つけ出されてしまう。
【０００４】
暗号化共通鍵の生成においては慣用のセキュリティプロトコルが知られており、これによればプロトコルシーケンスに関与するアクティブな関与者にのみ既知であり部外者であるパッシブなすなわちリスニングするだけの攻撃者には既知でない秘密鍵が生成される。２つの公知のセキュリティプロトコルは、鍵取り決めのためのDiffie Hellmanによるセキュリティプロトコルと、SSL/TLS (Secure Source Layer/Transport Layer Security)セキュリティプロトコルの匿名の認証可能ではないバリエーションである。
【０００５】
Diffie Hellmanによる鍵取り決めによって、安全ではないチャネルを介した秘密鍵の取り決めが可能となる。この場合、２つの公開された値つまりモジュロ値ｍすなわち大きな素数と整数ｇが関与者Ａ，Ｂに既知である。
【０００６】
鍵の取り決めにあたり関与者Ａは最初に大きいランダムな数ａを定め、ついでＸ＝ｇa mod ｍを計算する。他方の関与者Ｂは大きいランダムな数ｂを定め、Ｙ＝ｇb mod ｍを計算する。
【０００７】
一方の関与者Ａが計算された値Ｘを他方の関与者Ｂへ送信した後、他方の関与者Ｂは値Ｗ１＝Ｘb mod ｍを計算する。
【０００８】
関与者Ｂは計算された値Ｙを関与者Ａへ送信する。ついで関与者Ａは値Ｗ２＝Ｙa ・mod ｍを計算する。関与者Ａ，Ｂの双方により計算された値Ｗ１，Ｗ２はｇdb mod ｍである。計算された値Ｗ１，Ｗ２は、双方の関与者Ａ，Ｂの共通の秘密鍵を成す。このようにして取り決められた鍵Ｓは、関与者Ａ，Ｂの知識がなければ第３者によっても生成することはできない。関与者Ａ，Ｂにより実行されたべき乗の逆変換のためには極端に多くの計算ステップが必要となり、したがってそのためには長い時間がかかる。この特性ゆえに、取り決められた共通の鍵Ｗ１＝Ｗ２＝Ｓの秘匿性保持が保証される。
【０００９】
このようにして取り決められた暗号化共通鍵Ｓはパッシブな第３者の攻撃に対し安全であり、つまり第３者によるリスニングに対し安全である。ただし、共通鍵Ｓのこのような生成はアクティブな攻撃者（中間者Man in the middle）に対しては安全ではなく、このようなアクティブな攻撃者は、鍵の取り決めが認証されずに進行しているときに関与者双方間の通信を不正に操作する。つまりこのような場合、「作り出された」メッセージが表向きの送信者ではなく、権限のない第３者から発せられる可能性がある。メッセージの受信者はその違いに気づくことができない。
【００１０】
図１には、慣用の鍵取り決めプロトコルにより２つのノードＫ１，Ｋ２間で暗号化共通鍵Ｓを生成しているときに、第３者のノードによってアクティブな攻撃が行われる様子を示す図である。攻撃者Ａはたとえば、セキュリティプロトコルに従い交換されるメッセージのシーケンスもしくは順序に対し、セキュリティプロトコル実行後に第１のノードＫ１と攻撃者Ａとのセキュリティ関係および第２のノードＫ２と攻撃者Ａとの別のセキュリティ関係が確立されて、攻撃者Ａが両方のノードＫ１，Ｋ２に気づかれることなくこれらのノードＫ１，Ｋ２双方間の通信にリンクされるよう試みる（中間者Man in the middle）。
【００１１】
したがって本発明の課題は、無線インタフェースを介した２つのノード間における暗号化共通鍵を不正操作に対し保護しながら生成する方法および生成する装置において、認証を行わない鍵取り決めプロトコルを利用してもアクティブな攻撃者に対し有効な保護が得られるようにすることである。
【００１２】
本発明によればこの課題は、請求項１記載の特徴を備えた方法および請求項１２記載の特徴を備えたシステムによって解決される。
【００１３】
本発明は、無線インタフェースを介した２つのノード間における暗号化共通鍵を不正操作に対し保護して生成する方法に関する。この場合、暗号化共通鍵の生成中、２つのノードのうち少なくとも一方のノードが生成期間において、第３のノードが２つのノードのうち一方のノードと無線インタフェースを介して通信を行っているか否かを監視する。
【００１４】
本発明による方法によれば、場合によっては存在するアクティブな攻撃者（中間者Man in the middle）を識別するために無線監視機能が設けられている。アクティブな攻撃者は両方のノードと通信を行わなければならず、コンフィギュレーションすべき両方のノード間の空間的な間隔は僅かであり、攻撃者と双方のノードとの通信が無線チャネルを介して行われるので、アクティブな攻撃者は、本発明に従って設けられた無線監視機能によりアクティブな攻撃者が第３のノードとして関与していると識別されることなく、双方のノード間の通信を不正操作することはできない。
【００１５】
したがって本発明による方法によれば、アクティブな攻撃に対し安全な暗号化共通鍵を生成する際、暗号化セキュリティ方法が暗号化ではない無線監視方法と組み合わせられる。
【００１６】
本発明による方法の第１の実施形態によれば、第３のノードが無線インタフェースを介して２つのノードのうち一方のノードと通信していることを監視を行うノードが識別したとき、このノードは他方のノードとの暗号化共通鍵生成を中止する。
【００１７】
本発明による方法における１つの択一的な実施形態によれば、第３のノードが無線インタフェースを介して２つのノードのうち一方のノードと通信している場合、監視を行うノードは他方のノードとの暗号化共通鍵生成を中止するが、その際、生成された暗号化共通鍵は安全でない暗号化共通鍵として記憶される。
【００１８】
本発明による方法の第１の実施形態によれば、監視を行うノードは無線インタフェースにおける１つまたは複数の無線チャネルを監視する。
【００１９】
本発明による方法のさらに別の実施形態によれば、２つのノードは所定の鍵取り決めプロトコルに従い、まえもって定められた鍵取り決めプロトコルメッセージを無線インタフェースの少なくとも１つの無線チャネルを介して交換することにより、暗号化共通鍵を生成する。
【００２０】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、鍵取り決めメッセージが第３のノードにより無線インタフェースを介して２つのノードのうち一方のノードに送信されたか否かについて監視する。
【００２１】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、エラー警告メッセージが他方のノードから送信されたか否かについて監視する。
【００２２】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、暗号化共通鍵生成中に生成期間内で無線チャネル品質が低下したか否かを監視する。
【００２３】
本発明による方法の１つの有利な実施形態によれば、監視を行うノードはこれらに加えて、生成期間前後の保護期間中に第３のノードが２つのノードのうち一方のノードと無線インタフェースを介して通信を行っているのか否かを監視する。
【００２４】
本発明による方法の１つの有利な実施形態によれば、ノードは短距離無線装置により形成される。
【００２５】
本発明はさらに、無線インタフェースを介して互いに通信を行う複数の短距離無線装置が設けられている短距離無線システムに関する。この場合、短距離無線システムの２つの短距離無線装置間で暗号化共通鍵を生成するとき、無線インタフェースを介してこの暗号化共通鍵の生成中に生成期間内で、さらに別の短距離無線装置が２つの短距離無線装置のうち一方の短距離無線装置と無線インタフェースを介して通信しているか否かを監視する。
【００２６】
本発明はさらに短距離無線装置に関する。この場合、無線インタフェースを介して他方の短距離無線装置とともに暗号化共通鍵を生成する際、不正操作を識別するため無線インタフェースを、暗号化共通鍵の生成中、第３の短距離無線装置が２つの短距離無線装置のうち一方の短距離無線装置と無線インタフェースを介して通信しているか否かについて監視する。
【００２７】
以下では、本発明の本質をなす特徴を説明するために、添付の図面を参照しながら本発明による方法および本発明による短距離無線システムの有利な実施形態について説明する。
【００２８】
図１は、本発明の基礎を成す問題点を説明するための図である。
【００２９】
図２は、本発明による短距離無線システムを無線監視機能を備えた２つの短距離無線装置とともに示すブロック図である。
【００３０】
図３は、本発明による短距離無線システムにおいて用いられる無線監視機能を備えた短距離無線装置の有利な実施形態を示すブロック図である。
【００３１】
図４は、第３者によるアクティブな攻撃がない場合の本発明による暗号化共通鍵生成方法について説明する信号ダイアグラムである。
【００３２】
図５は、第３者によるアクティブな攻撃が行われたときの本発明による暗号化共通鍵生成方法について説明する信号ダイアグラムである。
【００３３】
図２からわかるように、本発明による短距離無線システム１は少なくとも２つの短距離無線装置もしくはノード２−１，２−２を有している。短距離無線装置２−１，２−２は、送受信アンテナ５−１，５−２により無線インタフェース３を介して相互に通信を行う。これら２つの短距離無線装置ないしはノードのうち少なくとも一方は、無線監視機能もしくはウォッチドッグ機能（ＷＤ）を有している。短距離無線システム１における短距離無線装置２−１，２−２双方間で暗号化共通鍵を生成する際、無線監視ユニット４を含む短距離無線装置２−２は、さらに別の短距離無線装置がこれら２つの短距離無線装置２−１，２−２の一方と無線インタフェース３を介して通信を行っているか否かについて、無線インタフェース３を介した暗号化共通鍵生成を所定の生成期間内に監視する。
【００３４】
図３には、本発明による短距離無線システム１に使用される短距離無線装置ないしはノード２の有利な実施形態に関するブロック図が示されている。ノード２は無線監視ユニット４を有しており、これは無線インタフェース３を介して伝送される無線信号を監視する。ノード２は、無線信号を送信および受信するための送受信アンテナ５を有している。送受信アンテナ５は、一方ではノード２の無線監視ユニット４と接続され得おり、他方では無線通信ユニット６と接続されている。無線通信ユニット６には、無線信号を送信および受信するための送受信装置が含まれている。１つの実施形態によれば、無線監視ユニット４を無線通信ユニット６の一部分として実現することもできる。１つの択一的な実施形態によれば、無線監視ユニット４は固有の別個の送受信アンテナを有している。短距離無線装置２は有利にはさらに制御ユニット７を有しており、このユニットにおいて本発明による方法に従いプログラムが実行される。短距離無線装置２には、メッセージ暗号化に用いられる生成された暗号化鍵を格納するための記憶装置８が設けられている。
【００３５】
図２からわかるように、本発明による短距離無線システム１の短距離無線装置２もしくはノード２すべてに必ずしも無線監視ユニット４が含まれていなくてもよく、本発明による暗号化共通鍵を取り決めたい２つのノードのうち少なくとも一方だけに含まれていればよい。暗号化共通鍵を生成するために監視を行うノード２−２の無線監視ユニット４が、第３ノードが無線インタフェース３を介して２つのノード２−１，２−２の一方と通信していることを識別した場合、本発明による方法の第１の実施形態によれば、監視を行うノード２−２の制御ユニット７により生成プロセスが中止される。１つの択一的な実施形態によれば、第３のノードが識別されたとき、監視を行うノード２−２によって暗号化共通鍵の生成が中止されるのではなく、生成された暗号化鍵が両方のノード２−１，２−２の鍵記憶装置８双方にそれぞれ、「安全ではない」とマークされて格納される。監視を行うノード２−２の無線監視ユニット４が、無線インタフェース３を介した第３のノードと２つのノード２−１，２−２の一方との通信を識別した場合、１つの有利な実施形態によれば、監視を行うノード２−２がエラーメッセージを発生し、無線インタフェース３を介してこのメッセージを送信する。本発明による方法によれば、所定の鍵取り決めプロトコルに従い無線インタフェース３を介してノード２−１，２−２双方間で暗号化共通鍵の生成が行われる。この鍵取り決めプロトコルによれば、まえもって定められた鍵取り決めメッセージが無線インタフェース３のうち少なくとも１つの無線チャネルを介してノード２−１，２−２間で交換される。この鍵取り決めプロトコルはたとえばDiffie-Hellman鍵取り決めプロトコルまたはSSL/DLS鍵取り決めプロトコルである。これら２つの鍵取り決めプロトコルは認証を行わない鍵取り決めプロトコルであり、つまりメッセージ受信側ノードは、このメッセージがいずれの送信側からのものであるか、安全に確定することはできない。
【００３６】
保護機能を高めるため本発明による方法によれば、認証を行わない鍵取り決めプロトコルに続いて、ＰＩＮ番号を用いた認証を行うことができる。１つの択一的な実施形態によれば、ユーザは暗号化共通鍵取り決め後、保護機能を高めるために、双方の短距離無線装置において生成された暗号化鍵もしくはそのハッシュ値の比較を行い、あるいは一方の短距離無線装置により示された暗号化鍵が他方のノードもしくは短距離無線装置に入力される。本発明による方法によれば無線監視機能によって、２つの短距離無線装置間における暗号化共通鍵生成におけるセキュリティが向上する。認証を行わない鍵取り決めプロトコルを使用した場合、本発明による方法によれば、ユーザによるＰＩＮ番号ないしはパスワードの入力ないしは生成された共通鍵のチェックをまったく省くことができる。とはいえ択一的に、攻撃に対する短距離無線装置間の通信セキュリティを向上させる目的で、無線監視機能に加えて鍵取り決めにあたり認証を行うことも可能である。
【００３７】
本発明による方法の第１の実施形態によれば、監視を行うノード２−２は無線インタフェースの１つの無線チャネルだけを監視する。この場合、ノード間における暗号化共通鍵生成は、まえもって設定されている１つの無線チャネルにおいて行われる。これにより得られる利点は、無線監視を実現するための回路技術的な複雑さが僅かなことである。それというのも、まえもって定められた無線チャネルにおける無線送信だけが監視されるからである。
【００３８】
択一的な実施形態によれば、無線監視ユニットは無線インタフェース３における複数の無線チャネルを監視する。
【００３９】
この場合、無線チャネルは任意の無線チャネルであり、たとえばＦＤＭ（Frequency Division Multiplexing周波数分割多重）無線チャネル、ＴＤＭ（Time Division Multiplexing時分割多重）無線チャネル、あるいはＣＤＭ（Code Division Multiplexing符号分割多重）無線チャネルなどである。無線監視ユニット４は、２つのノード２−１，２−２の一方と第３のノードとの間で何らかの１つの疑わしい通信が行われているのか否かを監視する。この目的で、監視を行うノード２−２の無線監視ユニット４は、鍵取り決めメッセージが第３のノードにより２つのノードのうち一方のノードに無線インタフェース３を介して送信されたか否かを監視する。
【００４０】
これに加えて無線監視ユニット４は、発せられたエラー警告メッセージが送信されたのか否かも監視する。
【００４１】
さらに無線監視ユニット４は暗号化鍵の生成中、まえもって定められた生成期間において無線チャネルの品質が低下したのか否かを監視することができる。生成手順を行っている間にチャネル品質が以前に観測されていたチャネル品質に比べて著しく低下したことは、無線インタフェースを介して別の通信が行われている徴候である。チャネル品質の低下は殊に、パケット損失確率の上昇に現れる。本発明による方法の１つの実現可能な実施形態によれば、伝送チャネルの障害たとえばデータパケット損失の発生が監視を行うノード２−２により観測されたとき、２つのノード間の暗号化共通鍵生成が中止される。
【００４２】
さらに無線監視ユニット４は、他のノードが同じ無線チャネルにおいてアクティブ状態にあるか否かを監視することができ、このことはそのノードのアドレスたとえばＭＡＣアドレスによって識別できる。さらに無線監視ユニット４は、固有のネットワーク名（WLAN-SSID）が複数のアクセスポイントすなわち同じまたは異なる無線チャネルにおいて指定されているのか否かを監視することができる。つまり、同じネットワーク名をもつノードが攻撃者により作成されてしまった可能性がある。
【００４３】
無線監視ユニット４が上述の疑わしい通信形態のうちの１つを検出した場合、第３者によるアクティブな攻撃が行われている可能性がある。これら上述の疑わしい通信形態は有利には別個に観測され、少なくとも１つの疑わしい通信形態が発生した場合、本発明の１つの実現可能な実施形態によれば、暗号化共通鍵の生成が中止される。１つの択一的な実施形態によれば、種々の疑わしい通信形態が別個に監視され、ついでそれらが発生したときに重み付けられて加算される。このようにして形成された重み付けされた合計値が決められた閾値を超えた場合、本発明による方法の１つの実施形態によれば暗号化共通鍵の生成が中止される。
【００４４】
本発明による方法のさらに別の実施形態によれば、監視を行うノードはこれらに加えて、生成期間前後の保護期間中に第３のノードが２つのノードのうち一方のノードと無線インタフェース３を介して通信を行っているのか否かを監視する。本来の生成期間の前後でも監視を行うことによって、ユーザが生成フェーズとして利用する期間すなわち生成の開始からその終了までの期間が保護される。これにより、相前後して短期間のうちに、すなわちユーザがほとんどあるいはまったく知覚できずに、２つあるいはそれどころかもっと多くの別個の生成プロセスが行われてしまうことが回避される。このようにして、攻撃者が攻撃者ノードを最初に一方のノード２−１とリンクし、あとでこれとは無関係に他方のノード２−２とリンクすることが回避される。したがって、攻撃を容易に識別できるようたとえば１〜５秒の範囲で生成期間前後の保護期間を選定するのが有利である。
【００４５】
保護期間を実現するため本発明による方法の１つの有利な実施形態によれば、先行の保護期間中または後続の保護期間中に疑わしい通信が発生したのか否かを監視する目的で、タイマ装置またはカウンタ装置が設けられている。タイマもしくはカウンタをノードの制御ユニット７に設けるのが有利である。
【００４６】
疑わしい通信が無線監視ユニット４により識別されると、タイマがスタートする。これは、短距離無線装置もしくはノード２が現在、リンク動作モードにあるか否かには依存することなく。これにより、暗号化共通鍵が生成される本来のリンク手順の前に、無線チャネルの監視が行われる。このようにすれば、リンク手順が始められるとき、タイマにより設定された先行のタイムインターバル中に上述のような疑わしい通信形態が観測されたか否かを問い合わせることができる。１つの有利な実施形態によれば、暗号化共通鍵を生成するための生成プロセス終了後にも１つまたは複数の無線チャネルが無線監視ユニット４により監視される。この場合、無線監視機能は鍵生成後、所定の期間にわたりアクティブであり、疑わしい通信形態を通報する。このようにすることで、暗号化共通鍵を生成するための生成期間前後の所定の期間を含む期間全体にわたり、無線チャネルの監視が行われるようになる。
【００４７】
１つの有利な実施形態によれば、これはリンク手順中の遅延により達成される。リンク手順開始時に無線チャネルの所定の期間にわたり、疑わしい通信形態が発生したか否かについて監視される。これによりリンクに必要とされる期間はたしかに長くなるけれども、リンクフェーズ以外で監視機能をアクティブにする必要はない。
【００４８】
疑わしい通信形態が発生した場合、第１の実施形態によれば鍵生成が完全に中止され、つまり暗号化共通鍵は生成されない。１つの択一的な実施形態によれば、疑わしい通信形態が発生した場合、暗号化鍵が生成されるけれども、信頼性が僅かなものとして鍵記憶装置８に格納される。ついで比較またはＰＩＮ番号を用いた付加的な認証によって、ユーザにより明示的な確認が行われる。
【００４９】
ノード２−１，２−２は到達距離が比較的短い短距離無線装置によって形成される。１つの有利な実施形態によれば、短距離無線装置はWLAN無線機器、Bluetooth無線機器、ZigBee無線機器あるいはWiMax無線機器である。また、ノード２−１，２−２もしくは無線装置を移動端末機器または固定局とすることができる。
【００５０】
図４には、第３者によるアクティブな攻撃を伴わない場合に２つのノード２−１，２−２間で共通鍵Ｓを生成する信号ダイアグラムが示されている。
【００５１】
短距離無線装置２−１すなわちノードＫ１は、セットアップスタートメッセージを第２の短距離無線装置２−１すなわちノードＫ２に送信する。ついでこのメッセージがセットアップスタートＯＫメッセージとして第２のノードにより承認される。これに続いて第１の短距離無線装置２−１は第２のノード２−２へ値ｇxを送信する。ここでｇは整数であり、ｘは第１のノード２−１により算出された乱数を表す。第２のノード２−２は逆に第１のノード２−１へ値ｑyを伝送する。ここでｇは２つのノード双方に既知の整数を表し、ｙは第２のノード２−２により算出された乱数値である。次に、双方のノード２−１，２−２は共通鍵Ｓ＝Ｙx mod ｍないしはＳ＝Ｘy mod ｍを計算する。その後、個々のノードの鍵記憶装置８に暗号化共通鍵Ｓがそれぞれ格納される。実現可能な１つの実施形態によれば、暗号化鍵から導出された疑似乱数鍵が鍵記憶装置８に格納され、これはたとえば僅かなビット長を有するものである。
【００５２】
有利にはこれに続いて、両方のノード２−１，２−２が同じ共通鍵を求めたのか否かについて、チェックもしくは検証が行われる。その際、所定の期間待機するのが有利であり、この期間中、疑わしい通信が発生してはならない。この目的で、監視を行うノード２−２の無線監視ユニット４内に設けられたタイマが用いられる。待機時間経過後、チェックもしくは検証が終了する。
【００５３】
図４に示したプロセスに関して数多くの変形が可能である。たとえば１つの実施形態によれば、スタートメッセージを用いずに暗号化共通鍵生成をただちに行うことができる。さらに、待機時間がメッセージ「セットアップ２」後にすでに始まるようにしてもよいし、あるいは鍵Ｋの算出および格納後に始まるようにしてもよい。さらに別の実施形態によれば、付加的な監視待機時間として、メッセージ「セットアップ検証ＯＫ」の送信後にはじめて開始される期間が監視される。１つの択一的な実施形態によれば、生成された共通鍵の検証がまったく省かれる。
【００５４】
予期せぬ偶発的な通信を監視するための期間を、広い範囲内で変えることができる。この期間は、ユーザが鍵生成に利用する期間中、２つの機器だけがアクティブであるように選定される。タイマ値を約１〜５秒の範囲で設定するのが有利である。
【００５５】
図５には、第３のノード９によるアクティブな攻撃が行われたときの信号ダイアグラムが示されている。この場合、ノード２−２自体は、攻撃を行うノードがノード２−１がであるのか図５に示した第３のノード９であるのかを区別することはできない。ただし監視を行うノード２−２の無線監視ユニット４は、１つよりも多いノードが無線インタフェース３を介して通信を行っていることもしくはアクティブであることを識別している。鍵取り決めプロトコルメッセージの交換は図４と同様に始まるが、セットアップはノード２−１とノード２−２との間ではなく、ノード２−１と攻撃を行うノード９との間で行われる。しかしながら攻撃を行うノード９がアクティブになると、すなわちセットアップスタートメッセージがノード２−２へ送信されるとただちに、監視を行うノードの無線監視ユニット４はそのことを識別し、疑わしい通信であることを通報する。これに基づき、監視を行うノード２−２の制御ユニット７により暗号化鍵生成が中止される。監視を行うノード２−２は、攻撃を行うノード９自体がやはり暗号化共通鍵生成モードに移ったときに初めて、ノード２−１と攻撃を行うノード９との間の疑わしい通信をエラーとして識別する。そうでなければ、ノード２−１とノード９との間の通信は、双方のノード２−１とノード９の間における望ましい鍵生成もしくはセキュリティ関係確立となるかもしれない。ここで示した実施例の場合、監視を行うノード２−２は、メッセージ「セットアップスタート（Ａ，Ｋ２）の受信により鍵生成モードに移る。択一的に、ユーザの介在によってノード２−２をセットアップモードもしくは鍵生成モードに移すことも可能である。
【００５６】
監視を行うノード２−２の制御ユニット７により共通鍵の生成が中止されると、監視を行うノード２−２はそのアンテナ５−２を介してセットラップエラーメッセージを他のノードすなわち存在する識別されたすべてのノードへ、マルチキャスト送信もしくはブロードキャスト送信として送信する。ノード２−１が監視を行っているノード２−２からセットアップエラーメッセージを受け取ると、ノード２−１も共通鍵生成プロセスを中止する。実現可能な１つの実施形態によれば、生成プロセス中止がたとえばエラーＬＥＤの点滅によりユーザに指示される。
【００５７】
図５に示されているダイアグラムにはタイマ値も示されており、これにより監視されている疑わしい通信がすでにどのくらい続いたのかが測定される。図５に示されている実施例の場合、疑わしい通信「セットアップ（Ｋ１，Ａ）」の観測により、カウンタもしくはタイマがスタートし、たとえば１〜５秒内でカウントダウンされる。タイマ経過前に監視を行うノード２−２により鍵を生成する試みによって、エラーメッセージ「セットアップエラー」が生じる。この場合、たとえば５分前といったさらに遡った疑わしい通信によっても中止には至らない。
【００５８】
１つの有利な実施形態によれば、無線監視ユニット４の無線監視機能は本来のセットアップの前後においてもすでにアクティブ状態である。この期間内に疑わしい無線信号が識別されると、ノードにおける生成があとから消去され、もしくはすでに最初からエラーメッセージ「セットアップエラー」によって拒絶される。１つの択一的な実施形態によれば、生成開始とともに無線監視機能がはじめてアクティブになり、および／または生成終了とともに再び非アクティブ状態になる。したがってこの実施形態の場合には、本来の生成の前もしくは後に時間的なセキュリティバッファが設けられていない。ただし択一的に、対応する待ち時間もしくは遅延時間を生成プロセス中に設けることができる。
【００５９】
短時間のセキュリティバッファを設けることで、ある程度の付加的な保護を達成することができる。このケースでは、無線監視は本来の生成中のみアクティブであり、無線監視のための生成プロセス中の待ち時間はやはり設けられていない。このケースでは、たとえば１秒の何分の１ぐらいしか続かないようなごく短い生成期間内でアクティブな攻撃が行われた場合に、その攻撃が識別される。
【００６０】
本発明による方法によって、安全でないもしくは認証されていない暗号生成方法の場合であっても、アクティブな攻撃に対する安全性が著しく改善される。
【図面の簡単な説明】
【００６１】
【図１】本発明の基礎を成す問題点を説明するための図
【図２】本発明による短距離無線システムを無線監視機能を備えた２つの短距離無線装置とともに示すブロック図
【図３】本発明による短距離無線システムにおいて用いられる無線監視機能を備えた短距離無線装置の有利な実施形態を示すブロック図
【図４】第３者によるアクティブな攻撃がない場合の本発明による暗号化共通鍵生成方法について説明する信号ダイアグラム
【図５】第３者によるアクティブな攻撃が行われたときの本発明による暗号化共通鍵生成方法について説明する信号ダイアグラム
【技術分野】
【０００１】
本発明は、無線インタフェースを介した２つのノード間における暗号化共通鍵の不正操作保護された生成方法および生成システムに関する。
【０００２】
Bluetooth, WLAN, ZigBeeまたはWiMaxといった短距離無線システムにおいては、各端末機器が無線インタフェースを介して相互に通信を行う。無線インタフェースを介して伝送される情報を第３者によるマニピュレーションすなわち不正操作あるいはリスニングから保護するため、短距離無線システムの各ノード間もしくは端末機器間において情報が暗号化されて伝送される。このために必要とされるのは、端末機器もしくはノードが１つの暗号化共通鍵を生成することである。
【０００３】
短距離無線システムの場合、エンドユーザが暗号鍵自体を生成しなければならず、この場合、エンドユーザはネットワークプロバイダによっても支援されない。暗号化鍵のコンフィギュレーションあるいは生成は個人エンドユーザには煩雑であるし、誤りが生じやすい。多くのエンドユーザは、たとえば「１２３４」といった簡単で覚えやすい鍵もしくはパスワードを生成する傾向にあり、このような鍵もしくはパスワードは第３者によって比較的簡単に見つけ出されてしまう。
【０００４】
暗号化共通鍵の生成においては慣用のセキュリティプロトコルが知られており、これによればプロトコルシーケンスに関与するアクティブな関与者にのみ既知であり部外者であるパッシブなすなわちリスニングするだけの攻撃者には既知でない秘密鍵が生成される。２つの公知のセキュリティプロトコルは、鍵取り決めのためのDiffie Hellmanによるセキュリティプロトコルと、SSL/TLS (Secure Source Layer/Transport Layer Security)セキュリティプロトコルの匿名の認証可能ではないバリエーションである。
【０００５】
Diffie Hellmanによる鍵取り決めによって、安全ではないチャネルを介した秘密鍵の取り決めが可能となる。この場合、２つの公開された値つまりモジュロ値ｍすなわち大きな素数と整数ｇが関与者Ａ，Ｂに既知である。
【０００６】
鍵の取り決めにあたり関与者Ａは最初に大きいランダムな数ａを定め、ついでＸ＝ｇa mod ｍを計算する。他方の関与者Ｂは大きいランダムな数ｂを定め、Ｙ＝ｇb mod ｍを計算する。
【０００７】
一方の関与者Ａが計算された値Ｘを他方の関与者Ｂへ送信した後、他方の関与者Ｂは値Ｗ１＝Ｘb mod ｍを計算する。
【０００８】
関与者Ｂは計算された値Ｙを関与者Ａへ送信する。ついで関与者Ａは値Ｗ２＝Ｙa ・mod ｍを計算する。関与者Ａ，Ｂの双方により計算された値Ｗ１，Ｗ２はｇdb mod ｍである。計算された値Ｗ１，Ｗ２は、双方の関与者Ａ，Ｂの共通の秘密鍵を成す。このようにして取り決められた鍵Ｓは、関与者Ａ，Ｂの知識がなければ第３者によっても生成することはできない。関与者Ａ，Ｂにより実行されたべき乗の逆変換のためには極端に多くの計算ステップが必要となり、したがってそのためには長い時間がかかる。この特性ゆえに、取り決められた共通の鍵Ｗ１＝Ｗ２＝Ｓの秘匿性保持が保証される。
【０００９】
このようにして取り決められた暗号化共通鍵Ｓはパッシブな第３者の攻撃に対し安全であり、つまり第３者によるリスニングに対し安全である。ただし、共通鍵Ｓのこのような生成はアクティブな攻撃者（中間者Man in the middle）に対しては安全ではなく、このようなアクティブな攻撃者は、鍵の取り決めが認証されずに進行しているときに関与者双方間の通信を不正に操作する。つまりこのような場合、「作り出された」メッセージが表向きの送信者ではなく、権限のない第３者から発せられる可能性がある。メッセージの受信者はその違いに気づくことができない。
【００１０】
図１には、慣用の鍵取り決めプロトコルにより２つのノードＫ１，Ｋ２間で暗号化共通鍵Ｓを生成しているときに、第３者のノードによってアクティブな攻撃が行われる様子を示す図である。攻撃者Ａはたとえば、セキュリティプロトコルに従い交換されるメッセージのシーケンスもしくは順序に対し、セキュリティプロトコル実行後に第１のノードＫ１と攻撃者Ａとのセキュリティ関係および第２のノードＫ２と攻撃者Ａとの別のセキュリティ関係が確立されて、攻撃者Ａが両方のノードＫ１，Ｋ２に気づかれることなくこれらのノードＫ１，Ｋ２双方間の通信にリンクされるよう試みる（中間者Man in the middle）。
【００１１】
したがって本発明の課題は、無線インタフェースを介した２つのノード間における暗号化共通鍵を不正操作に対し保護しながら生成する方法および生成する装置において、認証を行わない鍵取り決めプロトコルを利用してもアクティブな攻撃者に対し有効な保護が得られるようにすることである。
【００１２】
本発明によればこの課題は、請求項１記載の特徴を備えた方法および請求項１２記載の特徴を備えたシステムによって解決される。
【００１３】
本発明は、無線インタフェースを介した２つのノード間における暗号化共通鍵を不正操作に対し保護して生成する方法に関する。この場合、暗号化共通鍵の生成中、２つのノードのうち少なくとも一方のノードが生成期間において、第３のノードが２つのノードのうち一方のノードと無線インタフェースを介して通信を行っているか否かを監視する。
【００１４】
本発明による方法によれば、場合によっては存在するアクティブな攻撃者（中間者Man in the middle）を識別するために無線監視機能が設けられている。アクティブな攻撃者は両方のノードと通信を行わなければならず、コンフィギュレーションすべき両方のノード間の空間的な間隔は僅かであり、攻撃者と双方のノードとの通信が無線チャネルを介して行われるので、アクティブな攻撃者は、本発明に従って設けられた無線監視機能によりアクティブな攻撃者が第３のノードとして関与していると識別されることなく、双方のノード間の通信を不正操作することはできない。
【００１５】
したがって本発明による方法によれば、アクティブな攻撃に対し安全な暗号化共通鍵を生成する際、暗号化セキュリティ方法が暗号化ではない無線監視方法と組み合わせられる。
【００１６】
本発明による方法の第１の実施形態によれば、第３のノードが無線インタフェースを介して２つのノードのうち一方のノードと通信していることを監視を行うノードが識別したとき、このノードは他方のノードとの暗号化共通鍵生成を中止する。
【００１７】
本発明による方法における１つの択一的な実施形態によれば、第３のノードが無線インタフェースを介して２つのノードのうち一方のノードと通信している場合、監視を行うノードは他方のノードとの暗号化共通鍵生成を中止するが、その際、生成された暗号化共通鍵は安全でない暗号化共通鍵として記憶される。
【００１８】
本発明による方法の第１の実施形態によれば、監視を行うノードは無線インタフェースにおける１つまたは複数の無線チャネルを監視する。
【００１９】
本発明による方法のさらに別の実施形態によれば、２つのノードは所定の鍵取り決めプロトコルに従い、まえもって定められた鍵取り決めプロトコルメッセージを無線インタフェースの少なくとも１つの無線チャネルを介して交換することにより、暗号化共通鍵を生成する。
【００２０】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、鍵取り決めメッセージが第３のノードにより無線インタフェースを介して２つのノードのうち一方のノードに送信されたか否かについて監視する。
【００２１】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、エラー警告メッセージが他方のノードから送信されたか否かについて監視する。
【００２２】
本発明による方法の１つの有利な実施形態によれば監視を行うノードは、暗号化共通鍵生成中に生成期間内で無線チャネル品質が低下したか否かを監視する。
【００２３】
本発明による方法の１つの有利な実施形態によれば、監視を行うノードはこれらに加えて、生成期間前後の保護期間中に第３のノードが２つのノードのうち一方のノードと無線インタフェースを介して通信を行っているのか否かを監視する。
【００２４】
本発明による方法の１つの有利な実施形態によれば、ノードは短距離無線装置により形成される。
【００２５】
本発明はさらに、無線インタフェースを介して互いに通信を行う複数の短距離無線装置が設けられている短距離無線システムに関する。この場合、短距離無線システムの２つの短距離無線装置間で暗号化共通鍵を生成するとき、無線インタフェースを介してこの暗号化共通鍵の生成中に生成期間内で、さらに別の短距離無線装置が２つの短距離無線装置のうち一方の短距離無線装置と無線インタフェースを介して通信しているか否かを監視する。
【００２６】
本発明はさらに短距離無線装置に関する。この場合、無線インタフェースを介して他方の短距離無線装置とともに暗号化共通鍵を生成する際、不正操作を識別するため無線インタフェースを、暗号化共通鍵の生成中、第３の短距離無線装置が２つの短距離無線装置のうち一方の短距離無線装置と無線インタフェースを介して通信しているか否かについて監視する。
【００２７】
以下では、本発明の本質をなす特徴を説明するために、添付の図面を参照しながら本発明による方法および本発明による短距離無線システムの有利な実施形態について説明する。
【００２８】
図１は、本発明の基礎を成す問題点を説明するための図である。
【００２９】
図２は、本発明による短距離無線システムを無線監視機能を備えた２つの短距離無線装置とともに示すブロック図である。
【００３０】
図３は、本発明による短距離無線システムにおいて用いられる無線監視機能を備えた短距離無線装置の有利な実施形態を示すブロック図である。
【００３１】
図４は、第３者によるアクティブな攻撃がない場合の本発明による暗号化共通鍵生成方法について説明する信号ダイアグラムである。
【００３２】
図５は、第３者によるアクティブな攻撃が行われたときの本発明による暗号化共通鍵生成方法について説明する信号ダイアグラムである。
【００３３】
図２からわかるように、本発明による短距離無線システム１は少なくとも２つの短距離無線装置もしくはノード２−１，２−２を有している。短距離無線装置２−１，２−２は、送受信アンテナ５−１，５−２により無線インタフェース３を介して相互に通信を行う。これら２つの短距離無線装置ないしはノードのうち少なくとも一方は、無線監視機能もしくはウォッチドッグ機能（ＷＤ）を有している。短距離無線システム１における短距離無線装置２−１，２−２双方間で暗号化共通鍵を生成する際、無線監視ユニット４を含む短距離無線装置２−２は、さらに別の短距離無線装置がこれら２つの短距離無線装置２−１，２−２の一方と無線インタフェース３を介して通信を行っているか否かについて、無線インタフェース３を介した暗号化共通鍵生成を所定の生成期間内に監視する。
【００３４】
図３には、本発明による短距離無線システム１に使用される短距離無線装置ないしはノード２の有利な実施形態に関するブロック図が示されている。ノード２は無線監視ユニット４を有しており、これは無線インタフェース３を介して伝送される無線信号を監視する。ノード２は、無線信号を送信および受信するための送受信アンテナ５を有している。送受信アンテナ５は、一方ではノード２の無線監視ユニット４と接続され得おり、他方では無線通信ユニット６と接続されている。無線通信ユニット６には、無線信号を送信および受信するための送受信装置が含まれている。１つの実施形態によれば、無線監視ユニット４を無線通信ユニット６の一部分として実現することもできる。１つの択一的な実施形態によれば、無線監視ユニット４は固有の別個の送受信アンテナを有している。短距離無線装置２は有利にはさらに制御ユニット７を有しており、このユニットにおいて本発明による方法に従いプログラムが実行される。短距離無線装置２には、メッセージ暗号化に用いられる生成された暗号化鍵を格納するための記憶装置８が設けられている。
【００３５】
図２からわかるように、本発明による短距離無線システム１の短距離無線装置２もしくはノード２すべてに必ずしも無線監視ユニット４が含まれていなくてもよく、本発明による暗号化共通鍵を取り決めたい２つのノードのうち少なくとも一方だけに含まれていればよい。暗号化共通鍵を生成するために監視を行うノード２−２の無線監視ユニット４が、第３ノードが無線インタフェース３を介して２つのノード２−１，２−２の一方と通信していることを識別した場合、本発明による方法の第１の実施形態によれば、監視を行うノード２−２の制御ユニット７により生成プロセスが中止される。１つの択一的な実施形態によれば、第３のノードが識別されたとき、監視を行うノード２−２によって暗号化共通鍵の生成が中止されるのではなく、生成された暗号化鍵が両方のノード２−１，２−２の鍵記憶装置８双方にそれぞれ、「安全ではない」とマークされて格納される。監視を行うノード２−２の無線監視ユニット４が、無線インタフェース３を介した第３のノードと２つのノード２−１，２−２の一方との通信を識別した場合、１つの有利な実施形態によれば、監視を行うノード２−２がエラーメッセージを発生し、無線インタフェース３を介してこのメッセージを送信する。本発明による方法によれば、所定の鍵取り決めプロトコルに従い無線インタフェース３を介してノード２−１，２−２双方間で暗号化共通鍵の生成が行われる。この鍵取り決めプロトコルによれば、まえもって定められた鍵取り決めメッセージが無線インタフェース３のうち少なくとも１つの無線チャネルを介してノード２−１，２−２間で交換される。この鍵取り決めプロトコルはたとえばDiffie-Hellman鍵取り決めプロトコルまたはSSL/DLS鍵取り決めプロトコルである。これら２つの鍵取り決めプロトコルは認証を行わない鍵取り決めプロトコルであり、つまりメッセージ受信側ノードは、このメッセージがいずれの送信側からのものであるか、安全に確定することはできない。
【００３６】
保護機能を高めるため本発明による方法によれば、認証を行わない鍵取り決めプロトコルに続いて、ＰＩＮ番号を用いた認証を行うことができる。１つの択一的な実施形態によれば、ユーザは暗号化共通鍵取り決め後、保護機能を高めるために、双方の短距離無線装置において生成された暗号化鍵もしくはそのハッシュ値の比較を行い、あるいは一方の短距離無線装置により示された暗号化鍵が他方のノードもしくは短距離無線装置に入力される。本発明による方法によれば無線監視機能によって、２つの短距離無線装置間における暗号化共通鍵生成におけるセキュリティが向上する。認証を行わない鍵取り決めプロトコルを使用した場合、本発明による方法によれば、ユーザによるＰＩＮ番号ないしはパスワードの入力ないしは生成された共通鍵のチェックをまったく省くことができる。とはいえ択一的に、攻撃に対する短距離無線装置間の通信セキュリティを向上させる目的で、無線監視機能に加えて鍵取り決めにあたり認証を行うことも可能である。
【００３７】
本発明による方法の第１の実施形態によれば、監視を行うノード２−２は無線インタフェースの１つの無線チャネルだけを監視する。この場合、ノード間における暗号化共通鍵生成は、まえもって設定されている１つの無線チャネルにおいて行われる。これにより得られる利点は、無線監視を実現するための回路技術的な複雑さが僅かなことである。それというのも、まえもって定められた無線チャネルにおける無線送信だけが監視されるからである。
【００３８】
択一的な実施形態によれば、無線監視ユニットは無線インタフェース３における複数の無線チャネルを監視する。
【００３９】
この場合、無線チャネルは任意の無線チャネルであり、たとえばＦＤＭ（Frequency Division Multiplexing周波数分割多重）無線チャネル、ＴＤＭ（Time Division Multiplexing時分割多重）無線チャネル、あるいはＣＤＭ（Code Division Multiplexing符号分割多重）無線チャネルなどである。無線監視ユニット４は、２つのノード２−１，２−２の一方と第３のノードとの間で何らかの１つの疑わしい通信が行われているのか否かを監視する。この目的で、監視を行うノード２−２の無線監視ユニット４は、鍵取り決めメッセージが第３のノードにより２つのノードのうち一方のノードに無線インタフェース３を介して送信されたか否かを監視する。
【００４０】
これに加えて無線監視ユニット４は、発せられたエラー警告メッセージが送信されたのか否かも監視する。
【００４１】
さらに無線監視ユニット４は暗号化鍵の生成中、まえもって定められた生成期間において無線チャネルの品質が低下したのか否かを監視することができる。生成手順を行っている間にチャネル品質が以前に観測されていたチャネル品質に比べて著しく低下したことは、無線インタフェースを介して別の通信が行われている徴候である。チャネル品質の低下は殊に、パケット損失確率の上昇に現れる。本発明による方法の１つの実現可能な実施形態によれば、伝送チャネルの障害たとえばデータパケット損失の発生が監視を行うノード２−２により観測されたとき、２つのノード間の暗号化共通鍵生成が中止される。
【００４２】
さらに無線監視ユニット４は、他のノードが同じ無線チャネルにおいてアクティブ状態にあるか否かを監視することができ、このことはそのノードのアドレスたとえばＭＡＣアドレスによって識別できる。さらに無線監視ユニット４は、固有のネットワーク名（WLAN-SSID）が複数のアクセスポイントすなわち同じまたは異なる無線チャネルにおいて指定されているのか否かを監視することができる。つまり、同じネットワーク名をもつノードが攻撃者により作成されてしまった可能性がある。
【００４３】
無線監視ユニット４が上述の疑わしい通信形態のうちの１つを検出した場合、第３者によるアクティブな攻撃が行われている可能性がある。これら上述の疑わしい通信形態は有利には別個に観測され、少なくとも１つの疑わしい通信形態が発生した場合、本発明の１つの実現可能な実施形態によれば、暗号化共通鍵の生成が中止される。１つの択一的な実施形態によれば、種々の疑わしい通信形態が別個に監視され、ついでそれらが発生したときに重み付けられて加算される。このようにして形成された重み付けされた合計値が決められた閾値を超えた場合、本発明による方法の１つの実施形態によれば暗号化共通鍵の生成が中止される。
【００４４】
本発明による方法のさらに別の実施形態によれば、監視を行うノードはこれらに加えて、生成期間前後の保護期間中に第３のノードが２つのノードのうち一方のノードと無線インタフェース３を介して通信を行っているのか否かを監視する。本来の生成期間の前後でも監視を行うことによって、ユーザが生成フェーズとして利用する期間すなわち生成の開始からその終了までの期間が保護される。これにより、相前後して短期間のうちに、すなわちユーザがほとんどあるいはまったく知覚できずに、２つあるいはそれどころかもっと多くの別個の生成プロセスが行われてしまうことが回避される。このようにして、攻撃者が攻撃者ノードを最初に一方のノード２−１とリンクし、あとでこれとは無関係に他方のノード２−２とリンクすることが回避される。したがって、攻撃を容易に識別できるようたとえば１〜５秒の範囲で生成期間前後の保護期間を選定するのが有利である。
【００４５】
保護期間を実現するため本発明による方法の１つの有利な実施形態によれば、先行の保護期間中または後続の保護期間中に疑わしい通信が発生したのか否かを監視する目的で、タイマ装置またはカウンタ装置が設けられている。タイマもしくはカウンタをノードの制御ユニット７に設けるのが有利である。
【００４６】
疑わしい通信が無線監視ユニット４により識別されると、タイマがスタートする。これは、短距離無線装置もしくはノード２が現在、リンク動作モードにあるか否かには依存することなく。これにより、暗号化共通鍵が生成される本来のリンク手順の前に、無線チャネルの監視が行われる。このようにすれば、リンク手順が始められるとき、タイマにより設定された先行のタイムインターバル中に上述のような疑わしい通信形態が観測されたか否かを問い合わせることができる。１つの有利な実施形態によれば、暗号化共通鍵を生成するための生成プロセス終了後にも１つまたは複数の無線チャネルが無線監視ユニット４により監視される。この場合、無線監視機能は鍵生成後、所定の期間にわたりアクティブであり、疑わしい通信形態を通報する。このようにすることで、暗号化共通鍵を生成するための生成期間前後の所定の期間を含む期間全体にわたり、無線チャネルの監視が行われるようになる。
【００４７】
１つの有利な実施形態によれば、これはリンク手順中の遅延により達成される。リンク手順開始時に無線チャネルの所定の期間にわたり、疑わしい通信形態が発生したか否かについて監視される。これによりリンクに必要とされる期間はたしかに長くなるけれども、リンクフェーズ以外で監視機能をアクティブにする必要はない。
【００４８】
疑わしい通信形態が発生した場合、第１の実施形態によれば鍵生成が完全に中止され、つまり暗号化共通鍵は生成されない。１つの択一的な実施形態によれば、疑わしい通信形態が発生した場合、暗号化鍵が生成されるけれども、信頼性が僅かなものとして鍵記憶装置８に格納される。ついで比較またはＰＩＮ番号を用いた付加的な認証によって、ユーザにより明示的な確認が行われる。
【００４９】
ノード２−１，２−２は到達距離が比較的短い短距離無線装置によって形成される。１つの有利な実施形態によれば、短距離無線装置はWLAN無線機器、Bluetooth無線機器、ZigBee無線機器あるいはWiMax無線機器である。また、ノード２−１，２−２もしくは無線装置を移動端末機器または固定局とすることができる。
【００５０】
図４には、第３者によるアクティブな攻撃を伴わない場合に２つのノード２−１，２−２間で共通鍵Ｓを生成する信号ダイアグラムが示されている。
【００５１】
短距離無線装置２−１すなわちノードＫ１は、セットアップスタートメッセージを第２の短距離無線装置２−１すなわちノードＫ２に送信する。ついでこのメッセージがセットアップスタートＯＫメッセージとして第２のノードにより承認される。これに続いて第１の短距離無線装置２−１は第２のノード２−２へ値ｇxを送信する。ここでｇは整数であり、ｘは第１のノード２−１により算出された乱数を表す。第２のノード２−２は逆に第１のノード２−１へ値ｑyを伝送する。ここでｇは２つのノード双方に既知の整数を表し、ｙは第２のノード２−２により算出された乱数値である。次に、双方のノード２−１，２−２は共通鍵Ｓ＝Ｙx mod ｍないしはＳ＝Ｘy mod ｍを計算する。その後、個々のノードの鍵記憶装置８に暗号化共通鍵Ｓがそれぞれ格納される。実現可能な１つの実施形態によれば、暗号化鍵から導出された疑似乱数鍵が鍵記憶装置８に格納され、これはたとえば僅かなビット長を有するものである。
【００５２】
有利にはこれに続いて、両方のノード２−１，２−２が同じ共通鍵を求めたのか否かについて、チェックもしくは検証が行われる。その際、所定の期間待機するのが有利であり、この期間中、疑わしい通信が発生してはならない。この目的で、監視を行うノード２−２の無線監視ユニット４内に設けられたタイマが用いられる。待機時間経過後、チェックもしくは検証が終了する。
【００５３】
図４に示したプロセスに関して数多くの変形が可能である。たとえば１つの実施形態によれば、スタートメッセージを用いずに暗号化共通鍵生成をただちに行うことができる。さらに、待機時間がメッセージ「セットアップ２」後にすでに始まるようにしてもよいし、あるいは鍵Ｋの算出および格納後に始まるようにしてもよい。さらに別の実施形態によれば、付加的な監視待機時間として、メッセージ「セットアップ検証ＯＫ」の送信後にはじめて開始される期間が監視される。１つの択一的な実施形態によれば、生成された共通鍵の検証がまったく省かれる。
【００５４】
予期せぬ偶発的な通信を監視するための期間を、広い範囲内で変えることができる。この期間は、ユーザが鍵生成に利用する期間中、２つの機器だけがアクティブであるように選定される。タイマ値を約１〜５秒の範囲で設定するのが有利である。
【００５５】
図５には、第３のノード９によるアクティブな攻撃が行われたときの信号ダイアグラムが示されている。この場合、ノード２−２自体は、攻撃を行うノードがノード２−１がであるのか図５に示した第３のノード９であるのかを区別することはできない。ただし監視を行うノード２−２の無線監視ユニット４は、１つよりも多いノードが無線インタフェース３を介して通信を行っていることもしくはアクティブであることを識別している。鍵取り決めプロトコルメッセージの交換は図４と同様に始まるが、セットアップはノード２−１とノード２−２との間ではなく、ノード２−１と攻撃を行うノード９との間で行われる。しかしながら攻撃を行うノード９がアクティブになると、すなわちセットアップスタートメッセージがノード２−２へ送信されるとただちに、監視を行うノードの無線監視ユニット４はそのことを識別し、疑わしい通信であることを通報する。これに基づき、監視を行うノード２−２の制御ユニット７により暗号化鍵生成が中止される。監視を行うノード２−２は、攻撃を行うノード９自体がやはり暗号化共通鍵生成モードに移ったときに初めて、ノード２−１と攻撃を行うノード９との間の疑わしい通信をエラーとして識別する。そうでなければ、ノード２−１とノード９との間の通信は、双方のノード２−１とノード９の間における望ましい鍵生成もしくはセキュリティ関係確立となるかもしれない。ここで示した実施例の場合、監視を行うノード２−２は、メッセージ「セットアップスタート（Ａ，Ｋ２）の受信により鍵生成モードに移る。択一的に、ユーザの介在によってノード２−２をセットアップモードもしくは鍵生成モードに移すことも可能である。
【００５６】
監視を行うノード２−２の制御ユニット７により共通鍵の生成が中止されると、監視を行うノード２−２はそのアンテナ５−２を介してセットラップエラーメッセージを他のノードすなわち存在する識別されたすべてのノードへ、マルチキャスト送信もしくはブロードキャスト送信として送信する。ノード２−１が監視を行っているノード２−２からセットアップエラーメッセージを受け取ると、ノード２−１も共通鍵生成プロセスを中止する。実現可能な１つの実施形態によれば、生成プロセス中止がたとえばエラーＬＥＤの点滅によりユーザに指示される。
【００５７】
図５に示されているダイアグラムにはタイマ値も示されており、これにより監視されている疑わしい通信がすでにどのくらい続いたのかが測定される。図５に示されている実施例の場合、疑わしい通信「セットアップ（Ｋ１，Ａ）」の観測により、カウンタもしくはタイマがスタートし、たとえば１〜５秒内でカウントダウンされる。タイマ経過前に監視を行うノード２−２により鍵を生成する試みによって、エラーメッセージ「セットアップエラー」が生じる。この場合、たとえば５分前といったさらに遡った疑わしい通信によっても中止には至らない。
【００５８】
１つの有利な実施形態によれば、無線監視ユニット４の無線監視機能は本来のセットアップの前後においてもすでにアクティブ状態である。この期間内に疑わしい無線信号が識別されると、ノードにおける生成があとから消去され、もしくはすでに最初からエラーメッセージ「セットアップエラー」によって拒絶される。１つの択一的な実施形態によれば、生成開始とともに無線監視機能がはじめてアクティブになり、および／または生成終了とともに再び非アクティブ状態になる。したがってこの実施形態の場合には、本来の生成の前もしくは後に時間的なセキュリティバッファが設けられていない。ただし択一的に、対応する待ち時間もしくは遅延時間を生成プロセス中に設けることができる。
【００５９】
短時間のセキュリティバッファを設けることで、ある程度の付加的な保護を達成することができる。このケースでは、無線監視は本来の生成中のみアクティブであり、無線監視のための生成プロセス中の待ち時間はやはり設けられていない。このケースでは、たとえば１秒の何分の１ぐらいしか続かないようなごく短い生成期間内でアクティブな攻撃が行われた場合に、その攻撃が識別される。
【００６０】
本発明による方法によって、安全でないもしくは認証されていない暗号生成方法の場合であっても、アクティブな攻撃に対する安全性が著しく改善される。
【図面の簡単な説明】
【００６１】
【図１】本発明の基礎を成す問題点を説明するための図
【図２】本発明による短距離無線システムを無線監視機能を備えた２つの短距離無線装置とともに示すブロック図
【図３】本発明による短距離無線システムにおいて用いられる無線監視機能を備えた短距離無線装置の有利な実施形態を示すブロック図
【図４】第３者によるアクティブな攻撃がない場合の本発明による暗号化共通鍵生成方法について説明する信号ダイアグラム
【図５】第３者によるアクティブな攻撃が行われたときの本発明による暗号化共通鍵生成方法について説明する信号ダイアグラム
【特許請求の範囲】
【請求項１】
無線インタフェース（３）を介した２つのノード（２−１，２−２）間における暗号化共通鍵の不正操作保護された生成方法において、
前記暗号化共通鍵（Ｓ）の生成中、前記２つのノード（２−１，２−２）のうち少なくとも一方のノードが生成期間において、第３のノード（９）が前記２つのノード（２−１，２−２）のうち一方のノードと前記無線インタフェース（３）を介して通信を行っているか否かを監視することを特徴とする、
暗号化共通鍵の不正操作保護された生成方法。
【請求項２】
請求項１記載の方法において、
監視を行うノード（２−２）が、第３のノード（９）が無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信していることを識別すると、該監視を行うノード（２−２）は他方のノード（２−１）との暗号化共通鍵（Ｓ）の生成を中止することを特徴とする方法。
【請求項３】
請求項１記載の方法において、
第３のノード（９）が無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信しているならば、、監視を行うノード（２−）は他方のノード（２−１）との暗号化共通鍵（Ｓ）の生成を中止し、生成された暗号化共通鍵（Ｓ）を安全でない暗号化共通鍵（Ｓ）として記憶することを特徴とする方法。
【請求項４】
請求項２または３記載の方法において、
第３のノード（９）が前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと生成期間内で通信しているならば、前記監視を行うノード（２−２）は付加的にエラー警告メッセージを送信することを特徴とする方法。
【請求項５】
請求項１記載の方法において、
前記監視を行うノード（２−２）は前記無線インタフェース（３）における１つまたは複数の無線チャネルを監視することを特徴とする方法。
【請求項６】
請求項１記載の方法において、
前記２つのノード（２−１，２−２）は鍵取り決めプロトコルに従い、前記無線インタフェース（３）における少なくとも１つの無線チャネルを介してまえもって定められた鍵取り決めメッセージを交換することにより、暗号化共通鍵を生成することを特徴とする方法。
【請求項７】
請求項６記載の方法において、
前記監視を行うノード（２−２）は、前記鍵取り決めメッセージが第３のノード（９）により前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードに送信されたか否かについて監視することを特徴とする方法。
【請求項８】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、エラー警告メッセージが他方のノード（９）から送信されたか否かを監視することを特徴とする方法。
【請求項９】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、暗号化共通鍵生成中に生成期間内で無線チャネル品質が低下したか否かを監視することを特徴とする方法。
【請求項１０】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、第３のノード（９）が前記生成期間の前および後ろの保護期間中、前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信しているか否かを付加的に監視することを特徴とする方法。
【請求項１１】
請求項１記載の方法において、
前記ノード（２−１，２−２）は短距離無線装置（２）により形成されることを特徴とする方法。
【請求項１２】
無線インタフェース（３）を介して互いに通信を行う複数の短距離無線装置（２）が設けられている短距離無線システム（１）において、
該短距離無線システム（１）の２つの短距離無線装置（２−１，２−２）間で暗号化共通鍵（Ｓ）を生成するとき、前記無線インタフェース（３）を介した該暗号化共通鍵（Ｓ）の生成中に生成期間内で、さらに別の短距離無線装置（９）が前記２つの短距離無線装置（２−１，２−２）のうち一方の短距離無線装置と無線インタフェース（３）を介して通信しているか否かを監視することを特徴とする、
短距離無線システム。
【請求項１３】
短距離無線装置（２）において、
無線インタフェース（３）を介して他方の短距離無線装置（２）とともに暗号化共通鍵（Ｓ）を生成するとき、不正操作を識別するため前記無線インタフェース（３）を、前記暗号化共通鍵（Ｓ）の生成中、第３の短距離無線装置（９）が２つの短距離無線装置（２−１，２−２）のうち一方の短距離無線装置と前記無線インタフェース（３）を介して通信しているか否かについて監視することを特徴とする、
短距離無線装置。
【請求項１】
無線インタフェース（３）を介した２つのノード（２−１，２−２）間における暗号化共通鍵の不正操作保護された生成方法において、
前記暗号化共通鍵（Ｓ）の生成中、前記２つのノード（２−１，２−２）のうち少なくとも一方のノードが生成期間において、第３のノード（９）が前記２つのノード（２−１，２−２）のうち一方のノードと前記無線インタフェース（３）を介して通信を行っているか否かを監視することを特徴とする、
暗号化共通鍵の不正操作保護された生成方法。
【請求項２】
請求項１記載の方法において、
監視を行うノード（２−２）が、第３のノード（９）が無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信していることを識別すると、該監視を行うノード（２−２）は他方のノード（２−１）との暗号化共通鍵（Ｓ）の生成を中止することを特徴とする方法。
【請求項３】
請求項１記載の方法において、
第３のノード（９）が無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信しているならば、、監視を行うノード（２−）は他方のノード（２−１）との暗号化共通鍵（Ｓ）の生成を中止し、生成された暗号化共通鍵（Ｓ）を安全でない暗号化共通鍵（Ｓ）として記憶することを特徴とする方法。
【請求項４】
請求項２または３記載の方法において、
第３のノード（９）が前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと生成期間内で通信しているならば、前記監視を行うノード（２−２）は付加的にエラー警告メッセージを送信することを特徴とする方法。
【請求項５】
請求項１記載の方法において、
前記監視を行うノード（２−２）は前記無線インタフェース（３）における１つまたは複数の無線チャネルを監視することを特徴とする方法。
【請求項６】
請求項１記載の方法において、
前記２つのノード（２−１，２−２）は鍵取り決めプロトコルに従い、前記無線インタフェース（３）における少なくとも１つの無線チャネルを介してまえもって定められた鍵取り決めメッセージを交換することにより、暗号化共通鍵を生成することを特徴とする方法。
【請求項７】
請求項６記載の方法において、
前記監視を行うノード（２−２）は、前記鍵取り決めメッセージが第３のノード（９）により前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードに送信されたか否かについて監視することを特徴とする方法。
【請求項８】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、エラー警告メッセージが他方のノード（９）から送信されたか否かを監視することを特徴とする方法。
【請求項９】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、暗号化共通鍵生成中に生成期間内で無線チャネル品質が低下したか否かを監視することを特徴とする方法。
【請求項１０】
請求項１記載の方法において、
前記監視を行うノード（２−２）は、第３のノード（９）が前記生成期間の前および後ろの保護期間中、前記無線インタフェース（３）を介して前記２つのノード（２−１，２−２）のうち一方のノードと通信しているか否かを付加的に監視することを特徴とする方法。
【請求項１１】
請求項１記載の方法において、
前記ノード（２−１，２−２）は短距離無線装置（２）により形成されることを特徴とする方法。
【請求項１２】
無線インタフェース（３）を介して互いに通信を行う複数の短距離無線装置（２）が設けられている短距離無線システム（１）において、
該短距離無線システム（１）の２つの短距離無線装置（２−１，２−２）間で暗号化共通鍵（Ｓ）を生成するとき、前記無線インタフェース（３）を介した該暗号化共通鍵（Ｓ）の生成中に生成期間内で、さらに別の短距離無線装置（９）が前記２つの短距離無線装置（２−１，２−２）のうち一方の短距離無線装置と無線インタフェース（３）を介して通信しているか否かを監視することを特徴とする、
短距離無線システム。
【請求項１３】
短距離無線装置（２）において、
無線インタフェース（３）を介して他方の短距離無線装置（２）とともに暗号化共通鍵（Ｓ）を生成するとき、不正操作を識別するため前記無線インタフェース（３）を、前記暗号化共通鍵（Ｓ）の生成中、第３の短距離無線装置（９）が２つの短距離無線装置（２−１，２−２）のうち一方の短距離無線装置と前記無線インタフェース（３）を介して通信しているか否かについて監視することを特徴とする、
短距離無線装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公表番号】特表２００９−５３４９６４（Ｐ２００９−５３４９６４Ａ）
【公表日】平成２１年９月２４日（２００９．９．２４）
【国際特許分類】
【出願番号】特願２００９−５０７００５（Ｐ２００９−５０７００５）
【出願日】平成１９年２月８日（２００７．２．８）
【国際出願番号】ＰＣＴ／ＥＰ２００７／０５１１９１
【国際公開番号】ＷＯ２００７／１２４９６５
【国際公開日】平成１９年１１月８日（２００７．１１．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
２．ＺＩＧＢＥＥ
【出願人】（３９００３９４１３）シーメンス アクチエンゲゼルシヤフト (2,104)
【氏名又は名称原語表記】Ｓｉｅｍｅｎｓ Ａｋｔｉｅｎｇｅｓｅｌｌｓｃｈａｆｔ
【住所又は居所原語表記】Ｗｉｔｔｅｌｓｂａｃｈｅｒｐｌａｔｚ ２， Ｄ−８０３３３ Ｍｕｅｎｃｈｅｎ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
【公表日】平成２１年９月２４日（２００９．９．２４）
【国際特許分類】
【出願日】平成１９年２月８日（２００７．２．８）
【国際出願番号】ＰＣＴ／ＥＰ２００７／０５１１９１
【国際公開番号】ＷＯ２００７／１２４９６５
【国際公開日】平成１９年１１月８日（２００７．１１．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
２．ＺＩＧＢＥＥ
【出願人】（３９００３９４１３）シーメンス アクチエンゲゼルシヤフト (2,104)
【氏名又は名称原語表記】Ｓｉｅｍｅｎｓ Ａｋｔｉｅｎｇｅｓｅｌｌｓｃｈａｆｔ
【住所又は居所原語表記】Ｗｉｔｔｅｌｓｂａｃｈｅｒｐｌａｔｚ ２， Ｄ−８０３３３ Ｍｕｅｎｃｈｅｎ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
[ Back to top ]