認証方法および認証のための通信システム
本発明は、通信システムの加入者間での、楕円曲線に基づく非対称暗号生成アルゴリズムを使用する認証方法に関するものであり、以下のステップを有する。・第１の加入者と少なくとも１つの第２の加入者に公開鍵を生成するステップ、前記第１の加入者ないし第２の加入者はそれぞれの加入者だけに既知の秘密鍵を有しており、・第１の加入者から送信された問い合わせを、その中に含まれており、前記第１の加入者に所属する第１の証明書の有効性に関して認証するステップ、・前記問い合わせに所属する、第２の加入者の応答を計算するステップ、・前記計算された応答と、前記第２の加入者に所属する第２の証明書を、公開鍵を使用してランダム暗号化するステップ、・前記第２の加入者から送信された応答を復号し、その中に含まれる第２の証明書の有効性に関して認証するステップ。本発明は、両側認証のための通信システムに関する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証方法および認証のための通信システムに関する。
【０００２】
本発明は、認証のための無線通信におけるトランスポンダ技術の分野に関連するものである。基本的に任意の通信システムに適用することができるが、本発明ならびに本発明の基礎となる問題を以下では、いわゆるＲＦＩＤ通信システムおよびその適用に基づいて説明する。ＲＦＩＤとは"Radio Frequency Identification"に対する略語である。このRFID技術の一般的背景に関しては、Klaus Finkenzeller著, Hansa-Verlag出版, 第3版, 2002を参照されたい。
【背景技術】
【０００３】
現在公知のＲＦＩＤシステムでは、典型的には、基地局（または読出し局またはリーダー）から送信された電磁信号がパッシブトランスポンダ（またはタグ）により受信され、このパッシブトランスポンダは受信した電磁信号からトランスポンダで必要なエネルギを獲得する。ＵＨＦまたはマイクロ波ベースの多くのＲＦＩＤシステムでは、単方向のエネルギ伝達の他に典型的には双方向データ通信が、いわゆるチャレンジ／レスポンス方式をベースにして行われる。ここで基地局は絶え間なく問い合わせ信号（データリクエスト、チャレンジ）を送信し、この問い合わせ信号は、相応のトランスポンダが基地局の作用領域内に存在する場合だけ応答される。この場合、基地局の直接的環境内に存在するトランスポンダは応答信号（レスポンス）を以て応答する。完全で有効なコマンドを受信して初めて、トランスポンダと基地局との間のデータ通信が行われる。トランスポンダは、基地局と同期して、または非同期で動作することができる。このようなＲＦＩＤトランスポンダは対象物、例えば物品、文書等の識別に使用される。
【０００４】
従来の有線データ通信とは異なり、この形式のデータ通信では、基地局と相応のトランスポンダとの間のデータ通信がほぼ自立的にバックグランドで行われ、ユーザが存在している必要はまったくない。すなわち、認証されたトランスポンダが所属の基地局の作用領域内に存在すると直ちにデータ通信が開始される。データ担体、例えばディスケット、ＵＳＢメモリ等の読出しの際には、このデータ担体はユーザにより相応の読出し機器に意図的に接触されなければならず、有線接続のデータ通信の場合、データ通信もユーザにより同様に意図的に開始されなければならない。このことはＲＦＩＤベースのデータ通信には当てはまらない。
【０００５】
このことは、例えばロジスティクス領域、百貨店等での識別の場合には確かに有利である。しかしＲＦＩＤベースのデータ通信技術は、多くの適用の際に注意しなければならない重大な欠点も有する。
【０００６】
このような問題は、ＲＦＩＤトランスポンダに含まれるデータが、とくにこのデータが保安上重要なデータである場合に不正に読み出されることに関係する。この理由から、ＲＦＩＤベースのデータ通信システムは典型的にはセキュリティ機構も有している。このセキュリティ機構はデータ通信を、基地局からのセキュリティコードを送信信号に変調することにより保安する。このセキュリティコードは、データ通信で許可されたトランスポンダだけがデコードし、評価することができる。評価が上手くいくと、データ通信で許可された、すなわち認証されたトランスポンダは応答信号を送信する。この応答信号も同様にセキュリティコードを含んでおり、基地局に返信され、基地局で再び評価することができる。したがってこのセキュリティコードによって、トランスポンダでも基地局でも両側で認証が行われ、これにより不当な使用者（またはハッカー）が気付かれずにデータ通信に入り込み、保安上重要なデータを取り出すことが回避される。
【０００７】
このような認証は、コストをかければ任意に構成することができる。とりわけＲＦＩＤベースのデータ通信での重要な周辺条件は、できるだけ簡単かつ迅速に基地局とトランスポンダとの間のデータ通信が行われることである。そのためには一方では、トランスポンダがわずかなリソース、すなわち小さなエネルギリソースと、小さなメモリリソースおよびコンピュータリソースしか有しておらず、認証の際にできるだけ小さいデータ量を評価し、認証されることが重要である。他方では、この認証はできるだけ迅速に実行されるべきである。なぜならＲＦＩＤベースのとくに動的なデータ通信システムでは、認証すべきトランスポンダがわずかな時間しか、それぞれの基地局の作用領域内に存在しないことが非常に頻繁だからである。この短い時間内に、データ通信接続が確立され、認証され、引き続きデータ交換が行われなければならない。
【０００８】
産業分野、またはプライベート分野で将来期待される、ＲＦＩＤベースデータ通信システムの大量適用では、ユーザのデータ保護のために、ＲＦＩＤベースのデータを無許可で盗み見することに対抗する、単純ではあるが効率的な手段がますます必要となる。ここでは以下の３つの保護カテゴリー、すなわち盗聴セキュリティが区別される。
【０００９】
１． プライベートデータの保護（データプライバシー）：
プライベートデータ保護を保障する際には、不当なユーザが基地局とトランスポンダとの間のデータ通信を盗聴することにより、または択一的にトランスポンダにアクティブに応答することにより、トランスポンダのＩＤを推測できてしまわないようにしなければならない。そうでないとこの不当なユーザが、トランスポンダに記憶されていて保安上重要であり、取扱注意のデータを入手してしまうことになる。このような取扱注意のデータは、例えばユーザ固有の情報を含んでいることがある。
【００１０】
２． 位置的なプライベートエリア保護（ロケーションプライバシー）：
位置的なプライベートエリアを保障するためには、不当なユーザが２つの異なる時点で基地局とトランスポンダとの間のデータ通信を盗聴することによって、またはトランスポンダにアクティブに応答することによって、トランスポンダに関する位置情報を入手することを阻止しなければならない。とりわけ不当なユーザがそこから、それが同じトランスポンダであるか、または違うトランスポンダであるかを推測できないことを保障しなければならない。なぜならそうでないと、個々のトランスポンダの運動プロフィールを推定でき（トラッキング）、ひいてはトランスポンダのユーザを特定できてしまうからである。ここでも保安上重要な、取扱注意の情報を保護しなければならない。
【００１１】
３． フォワードセキュアの保障：
最後に、不当なユーザが、例えば過去に記録された基地局とトランスポンダとの間のデータ通信をそれぞれ特定のトランスポンダに割り当てることができてはならない。このことはたとえ不当なユーザが後の時点で、この特定のトランスポンダの秘密データを探り出したとしても可能であってはならない。
【００１２】
前記の保護、ないしは相応のセキュリティを保障するために、トランスポンダから基地局へ返信される応答信号が、複数の問い合わせの際に不当なユーザには異なっておりランダムに現れるようにしなければならない。このためには種々のアプローチがあり、できるだけ高いセキュリティを保障しなければならない。そのうちのいくつかを、以下に簡単にまとめる。
【００１３】
［非特許文献１］には、ＲＦＩＤタグのプライバシー保護のための手段が記載されている。この解決手段では、一義的な識別コード（ＩＤ）が存在し、この識別コードは一時的なランダム識別数ＭＥＴＡ−ＩＤにより置換される。トランスポンダは引き続き、このＭＥＴＡ−ＩＤを含む問い合わせに応答する。このとき、システムに所属していて、権限のある基地局だけがそこからトランスポンダの実際のＩＤを導出することができる。ここでは確かにデータプライバシー保護は得られるが、２つの異なる時点でのトラッキングないしは盗聴に対しては保護されず、したがって不所望なことには運動プロフィールが識別できてしまう。
［非特許文献２］は、識別コード（ＩＤ）が各送信の際にランダム化される方法を開示する。ここでランダム化は、いわゆるハッシュ関数を用いて行われる。しかしこのハッシュ関数は、トランスポンダ上で実現するためには比較的大きなハードウエアコスト、ひいては計算コストを必要とする。さらにここでの欠点は、この方法はフォワードセキュアを提供しないことである。
【００１４】
ＡＥＳに基づくハードウエア実現ベースの方法が［非特許文献３］に記載されている。この方法は、ＩＳＯ規格 ９７９８によるいわゆる３パス相互認証プロトコルの変形である。このプロトコルはトラッキングに対する保護を提供するが、フォワードセキュアは提供しない。
【００１５】
［非特許文献４］には、ハッシュ関数に基づく方法が記載されている。ここでは未必情報Ｓ１がトランスポンダ上で、リーダーの各問い合わせ後に、Ｓｉ＋１＝Ｈａｓｈ （Ｓｉ） に更新される。この手段によって、フォワードセキュアが保障される。なぜなら目下の状態Ｓｉを知っても、以前の状態Ｓｋ（ただし、ｋ＞ｉ）を推測することはできないからである。しかしこのために必要なハードウエアコストおよび必要なコストが大きいため、この方法は実際上、トランスポンダにはほとんど適さない。
【００１６】
基地局とトランスポンダとの間のデータ通信を保安するために、デ―タ通信は暗号データの交換によって行われる。これまで公知の方法、例えば上の［非特許文献ｌ］，［非特許文献２］，［非特許文献３］，［非特許文献４］に記載された方法のほとんどすべてが対称暗号方式に基づく。このようなシステムでは、それぞれのトランスポンダが１つの秘密鍵を有し、この秘密鍵は基地局にファイルされているか、または少なくとも基地局がこの秘密鍵にセキュアアクセスできるよう、中央の保安されたデータバンクにファイルされている。
【００１７】
対称暗号方式の他に、いわゆる非対称暗号方式も存在する。この非対称暗号方式は、個人鍵および公開鍵に基づいている。ここで公開鍵は、あらかじめ定めたアルゴリズムを用いて個人鍵から生成される。この暗号方式で重要なのは反転である。すなわち有限の時間内で利用可能な計算能力により、公開鍵から個人鍵を決定できないようにすることである。
【００１８】
ここで有利であることが判明しているのは、楕円曲線に基づく暗号鍵生成アルゴリズムを使用することである。なぜならこのアルゴリズムにより、高いセキュリティが小さい鍵で得られるからである。このような楕円曲線に基づく暗号鍵生成方法は非常に効率的である。これはこの方法では、公知の暗号生成方法とは異なり、準指数関数所要時間での攻撃方法が知られていないためである。このことは言い替えると、楕円曲線に基づく方法では使用されるセキュリティパラメータのビット当たりの保安利得が比較的に高く、したがって実際の使用に対しては長さの格段に短い鍵を使用することができることを意味する。このように、楕円曲線に基づいた暗号生成方法は他の暗号生成方法よりも効率的であり、同程度のセキュリティレベルを達成する場合でも、システムパラメータの伝送に必要な帯域幅が小さい。
【００１９】
このように暗号生成方法は、データを暗号化する際に期待されるセキュリティと計算コストとの妥協である。ＤＥ １０１ ６１ １３８ Ａ１には、ｙ座標を使用せずにｘ座標だけで点のスカラー倍数を決定できることが記載されている。相応の計算規則が任意の体に対して同様にこの刊行物に記載されている。これによって点算術、例えばスカラー乗算に対するモンゴメリー関数を格段に効率的に実現することができ、点加算当たりの体の乗算回数を少なくし、また点を表すためおよび中間結果に対するレジスタの数を少なくすることができる。
【先行技術文献】
【非特許文献】
【００２０】
【非特許文献１】Daniel Engels, Ronald Rivest, Sanjay Sarma, Stephen Weis, "Security and privacy aspects of low-cost radio frequency identification Systems", International Conference on Security in Pervasive Computing, March 2003.
【非特許文献２】Daniel Engels, Sanjay Sarma, Stephen Weis, "RFID Systems and security and privacy implications", Cryptographic Hardware and Embedded Systems - CHES, August 2003.
【非特許文献３】Martin Feldhofer, Sandra Dominikus, Johannes Wolkerstor-fer, "Strong Authentication for RFID Systems Using the AES Algorithm", Workshop on Cryptographic Hardware Embedded Systems -CHES, August 2004.
【非特許文献４】Miyako Ohkubo, Koutarou Suzuki, Shingo Kinoshita, "Cryptographic Approach to Privacy-Friendly Tags", RFID Privacy Workshop, November 2003.
【発明の概要】
【発明が解決しようとする課題】
【００２１】
この背景から本発明の課題は、一方ではできるだけ高いセキュリティを保障し、他方ではそのためにできるだけ低いハードウエアコストしか必要としない、通信システムでの認証方法および認証装置を提供することである。
【課題を解決するための手段】
【００２２】
本発明によればこの課題は、請求項１記載の特徴を備えた認証方法および／または請求項１９記載の特徴を備えた通信システムによって解決される。ここでは次のようにする。
【００２３】
本発明は、通信システムの加入者間での、楕円曲線に基づく非対称暗号方式を使用する認証方法であって、以下のステップを有する。
・第１の加入者と少なくとも１つの第２の加入者に公開鍵を提供するステップ、
ただし前記第１の加入者ないし第２の加入者はそれぞれの加入者だけに既知の秘密鍵を有している、
・第１の加入者から送信された問い合わせを、その中に含まれており、前記第１の加入者に所属する第１の証明書の有効性に関して認証するステップ、
・前記問い合わせに所属する、第２の加入者の応答を計算するステップ、
・前記計算された応答と、前記第２の加入者に所属する第２の証明書を、公開鍵を使用してランダム暗号化するステップ、
・前記第２の加入者から送信された応答を復号し、その中に含まれる第２の証明書の有効性に関して認証するステップ。
【００２４】
本発明の認証方法による、楕円曲線に基づく非対称暗号方式を使用した両側認証のための通信システム。
【発明の効果】
【００２５】
本発明の基礎となる技術思想は、チャレンジ／レスポンス法による新規の両側認証プロトコルを提供することであり、ここでは基地局とトランスポンダが相互に認証する。この認証は、楕円曲線をベースにする非対称暗号生成に基づく。したがってこの認証方法では、トランスポンダから基地局に返信されたデータが非対称にランダム暗号化される。そのことの利点は、正しい個人鍵、すなわち認可された個人鍵を有する基地局だけが、トランスポンダから返信された応答を解読するように、すなわち「理解」するように構成されることである。他のすべての基地局、すなわち認可されない基地局またはユーザには、トランスポンダから返信された応答はランダムに映る。このようにしてトランスポンダのプライベートエリアの保護が保障される。
【００２６】
本発明の認証方法は、データ通信用の新規の拡張された保安プロトコルに基づく。この新規の保安プロトコルは、楕円曲線のためのいわゆるローコスト計算に基づく。
【００２７】
したがって本発明によれば、プライベートデータ（データプライバシー）と位置的プライベートエリア（ロケーションプライバシー、トラッキング）を保護するための効率的で新規の識別プロトコルが作成され、このプロトコルは最大限のフォワードセキュアも含む。さらにそのために必要な装置も記載される。本発明の方法は、指数２の有限体による楕円曲線に基づく現代の非対称暗号方式をベースにするものであり、その計算は非常に安価なハードウエアモジュールで実現可能であり、したがってとりわけＲＦＩＤベース適用に適するという利点を有すＵｒ。
【００２８】
他の対称認証方法に対して本発明の認証方法は、基地局の側には、トランスポンダのための個人鍵、秘密鍵を探すために、中央バックエンドデータバンクへのセキュアアクセスが必要ないという利点を有する。このことは、実現のためのハードウエアコストをさらに低減する。
【００２９】
対称解決手段と比較して、いわゆるマスターキーにより到達することのできる基地局が存在するという危険性もない。このようなことがあると、秘密全体が突破されたり、不当なユーザが自分で有効なトランスポンダを作製できたりする。本発明の公開鍵解決手段では、正しい鍵を備える基地局だけがデータを相応のトランスポンダから取り出せる。
【００３０】
本発明により非常に効率的に、不当なユーザがリーダーまたはトランスポンダにある秘密鍵に、例えば中央バンクを介して到達できるということが阻止される。そして基地局をシミュレートできることも阻止される。このようなことができると、不当なユーザはデータ通信システムに所属するトランスポンダを同定することができたり、そのプライベートエリア（ローカルプライバシーおよびデータプライバシー）を確定できたりする。
【００３１】
本発明の認証方法のさらに重要な利点は、非常に簡単に、種々の基地局によるトランスポンダへの種々のアクセス権限を、いわゆる証明書に符号化できることである。このことはそれぞれの証明書に、基地局が例えば読出し権限だけを有するか、または付加的に相応のトランスポンダへの書込み権限も有するのかという情報が含まれていることを意味する。
【００３２】
本発明の認証方法では、両側認証プロトコルが使用される。このプロトコルでは、第１の加入者、例えば基地局と第２の加入者、例えばトランスポンダが相互に認証する。本発明の方法は、楕円曲線に基づく非対称暗号方式を使用する。この暗号化方法は他の方法に対して、認証のために必要なビット量が他の方法に対して格段に小さいという利点を有し、そのためバンド幅が比較的に小さい。
【００３３】
このことは、トランスポンダに使用されるアンテナ受信器とも関連して格段に有利である。
【００３４】
本発明の有利な実施形態および発展形態は従属請求項ならびに図面を参照する説明より明らかになる。
【００３５】
本発明を以下、図面に示した実施例に基づいて詳しく説明する。
【図面の簡単な説明】
【００３６】
【図１】楕円曲線の例を示す図である。
【図２】楕円曲線を使用した加算の例を示す図である。
【図３】本発明の通信システムの構造を示すブロック回路図である。
【図４】本発明の認証方法の基本を示すブロック回路図である。
【図５】楕円曲線に基づく本発明の認証方法を説明するフローチャートである。
【発明を実施するための形態】
【００３７】
図中、同じ要素ないしは同じ機能の要素には特にことわりがないかぎり同じ参照符号を付してある。
【００３８】
本発明の認証方法は新規の保安プロトコルを有し、このプロトコルは楕円曲線のための計算に基づく。したがって本発明の認証方法を説明する前に、まず楕円曲線の重要な特性について図１ａと１ｂに基づき説明する。
【００３９】
有限体（ガロア域）ＧＦ（２ｄ）上の楕円曲線は三次方程式のゼロ位置量
ｙ２ ＋ ｘｙ ＝ ｘ３ ＋ ａｘ２ ＋ ｂ． （１）
であり、ここでｘとｙは変数、係数ａとｂ、ｂ≠０はガロア域ＧＦ（２ｄ）中の係数を表す。
【００４０】
図１ａと１ｂには、例として２つの楕円が実数上に示されている。
【００４１】
無限に離れた点を中立要素として追加すれば、このゼロ位置集合は加算群を形成し、その群規則は少なくとも楕円曲線で実体を介して幾何学的に解釈することができる。このような加算群は数集合と足し算（群演算）からなる。さらにこの群には中立要素が存在する。この中立要素は、数集合の数を足し算する際にその値を変化しない（例えばゼロ）。さらに数集合の各値に対して逆要素が存在する。したがって相応する値をこの逆要素と加算すると中立要素が得られる。ここで重要なのは、代数幾何学からの２つの結果である（図２参照）。
【００４２】
各直線は楕円曲線と、必ずしも相互に異なっていない３つの点で交差する。必ずしも異なっていない各２つの点について第３の点を計算することができ、したがって３つの点の和が中立要素である。ＰとＱ（ただしＰ≠−Ｑ）が２つの点であり、ｇがこれらの点Ｐ、Ｑを通る直線であれば、この直線は楕円曲線と第３の点Ｒで交差する。ＲのＸ軸での対称によってＳ＝Ｐ＋Ｑが得られる。Ｐ＝−Ｑの場合に対して、ｇの勾配は無限であり、第３の交点Ｒは無限に離れた点である。
【００４３】
ベクトル空間でのスカラー乗算の定義と同じように、楕円曲線でのスカラー乗算が定義される。Ｐは楕円曲線の点であり、ｋは自然数とする。スカラー乗算ｋ＊Ｐは、Ｐそれ自体をｋ回加算することに相当する。このスカラー乗算ｋ＊Ｐは、楕円曲線に基づいた暗号生成システムの主要なブロックを形成する。頑強な暗号生成楕円曲線では、スカラー乗算が一方向関数となる。すなわちスカラー乗算は多項式時間で計算できるが、指数関数的時間でしか反転できない。したがってスカラーを効率的アルゴリズムで復元することは困難であると考えられる。この一方向関数は、楕円関数に基づく暗号認証方法の基礎を形成する。
【００４４】
楕円曲線ベースでのこのようなスカラー乗算を実現するための公知の方法は、いわゆるモンゴメリー関数である。モンゴメリー関数は、点Ｐのスカラー倍のｘ座標の計算に、Ｐのｘ座標だけと、もっぱらガロア域ＧＦ（２ｄ）での加算と乗算だけが使用されるようにして実現される。ここでは面倒な反転は必要ない。
【００４５】
モンゴメリー関数の正確なアルゴリズムは、次式により呼び出される
（Ｘｋｐ， Ｚｋｐ） ← ＭｏｎＭｕｌ （ｋ，Ｘｐ），
次のとおりである。
【００４６】
インプットパラメータ：
二進表現でのスカラーｋ＝（ｋｎ−１，．．．．，ｋ０）
点Ｐのｘ座標。
【００４７】
アウトプットパラメータ：
点ｋ＊Ｐの座標（Ｘ，Ｚ）、したがってＸ／Ｚはアフィンｘ座標である。
【００４８】
モンゴメリー関数のアルゴリズムの方法ステップ（プログラム言語Ｃ＋＋）：
【数１】
【００４９】
上記の加算および乗算は、ガロア域ＧＦ（２ｄ）で比較的小さいハードウエアコストにより実行できる。ここで相応のトランスポンダおよび基地局は、この計算処理を実行するために簡単で安価な計算機構しか必要としない。この計算機構の主構成部分であるシフトレジスタを帰還結合することによって、乗算をｄクロックで実行することができ、このとき加算は１つのクロックで実現することができる。
【００５０】
上記のモンゴメリーアルゴリズムは、スカラー乗算の効率的計算に用いられ、シフトレジスタにより実現することができる。
【００５１】
以下に説明する本発明の両側認証方法は、このモンゴメリーアルゴリズムに基づくものである。本発明の認証方法のプロトコルは、トランスポンダがまず基地局に対して公知のチャレンジ／レスポンス法によって認証する片側認証の拡張である。さらに本発明の認証方法は、トランスポンダのプライベートエリアとフォワードセキュアに対して最大のセキュリティを提供する。
【００５２】
本発明の両側認証方法を説明する前に、以下では図３のブロック回路図に基づいて本発明の通信システムの基本構造をまず詳細に説明する。
【００５３】
図３には、参照符合１により通信システム、例えばＲＦＩＤ通信システムが示されている。ＲＦＩＤ通信システム１は、第１の加入者（基地局２）と、トランスポンダ３を含む。基地局２と第２の加入者（トランスポンダ３）は無線通信区間４を介して双方向通信接続している。通信システム１は例えばマスタ−スレーブ通信システムとして構成することもできる。この場合、基地局２はマスタとして、トランスポンダ３はそれぞれスレーブとして機能する。
【００５４】
基地局２は制御装置５、送受信装置６、ならびに送受信アンテナ７を有する。同じようにトランスポンダも制御装置８、送受信装置９、ならびに送受信アンテナ１０を有する。
【００５５】
送受信アンテナ７，１０は、誘導性コイルアンテナまたはダイポールアンテナとして構成することができる。
【００５６】
それぞれの制御装置５，８では、データ通信フローが制御される。典型的には制御装置は計算装置（計算機構、ＣＰＵ等）を含んでおり、この計算装置でとりわけ認証のための計算処理が実行される。
【００５７】
データ通信の制御は、それぞれ基地局側の制御装置５とトランスポンダ側の制御装置８により行われる。基地局２の制御装置５は、アンテナ７を介して高周波搬送信号１１をトランスポンダ３のアンテナ１０に送信するように構成されている。同じように、トランスポンダ３の制御装置８と送受信装置９は、送信された搬送信号１１に対して相応する応答信号１２を基地局２へ返信するように構成されている。制御装置５，８はプログラム制御される装置、例えばマイクロコントローラまたはマイクロプロセッサとして構成することができる。または固定配線された論理回路、例えばＦＰＧＡまたはＰＬＤに実現することもできる。
【００５８】
メモリ１８，１９は典型的にはＲＡＭであり、例えば計算結果がファイルされている。付加的にまたは択一的に、このメモリ１８，１９はＥＥＰＲＯＭを有することができ、このＥＥＰＲＯＭには、システムパラメータ、種々の通信加入者のパラメータ、例えば加入者固有の個人鍵、公開鍵、加入者固有の証明書等がファイルされている。
【００５９】
基地局２はさらに評価装置１４を有する。この評価装置１４は基地局２の受信経路に配置されており、送受信装置６の受信器に後置して配置されている。同じようにトランスポンダ３も評価装置１５を、トランスポンダ３の受信経路２３に有する。それぞれの評価装置１４，１５では、データ通信の受信データが評価される。とりわけそこでは、まず受信データの復調そして復号が行われる。
【００６０】
本発明によれば、基地局２とトランスポンダ３の両者が認証モジュール１６，１７を有し、この認証モジュールはそれぞれの送受信装置６，９と基地局２ないしトランスポンダ３の制御装置５，８との間に配置されている。この認証モジュール１６，１７はここでは別個のモジュールとして構成されている。しかし有利には認証モジュール１６、１７はそれぞれの制御装置５，８の構成部分である。
【００６１】
認証モジュール１６，１７はさらにメモリ１８，１９を有する。このメモリには認証に必要なデータ、またはバッファしなければならないデータ、鍵等がファイルされている。
【００６２】
本発明の認証方法（または認証プロトコル）の基本原理を以下、図４の概略図に基づいて説明する。
【００６３】
図４は、通信システム１の基地局２とトランスポンダ３を概略的に示す。そこにはこの装置２，３内の認証モジュール１６，１７だけが認証方法の説明のために示されている。基地局側の記憶装置１８には、証明書Ｚと基地局２の基地局側秘密鍵がファイルされており、トランスポンダ３の記憶装置１９には、前記とは異なる証明書Ｚ′とトランスポンダ側の秘密鍵がファイルされていることを前提とする。
【００６４】
本発明の認証方法では以下のことが行われる：
・認証方法の開始時に、基地局側の認証モジュール１６が問い合せＣ（Ｃ＝Challenge）を形成する。
・認証モジュール１６はこの問い合わせＣを、記憶されている基地局側証明書Ｚとともに問い合わせ信号１１として送信する。この基地局２の直接的環境内に存在する１つまたは複数のトランスポンダ３が、証明書Ｚと問い合わせＣを備えるこの問い合わせ信号１１を受信し、この問い合わせ信号１１はそれぞれのトランスポンダ３で公知のように復調され、復号される。
・引き続きトランスポンダ３の認証モジュール１７が、このようにして受信された証明書Ｚをその有効性について検査する。
・続いて認証モジュール１７は、この問い合わせＣに適合する応答Ｒ（Ｒ＝Response）を計算する。
・続いて認証モジュール１７は応答信号として、この応答Ｒならびにトランスポンダ３のメモリ１９にファイルされているトランスポンダ固有の証明書Ｚ′を基地局２に返信する。ここで重要なことは、トランスポンダ３から返信されたデータ、すなわち応答Ｒと証明書Ｚ′が認証モジュール１７によって前もって非対称にランダム暗号化されており、したがってこの非対称にランダム暗号化されたデータＡ ＝ ｆ（Ｒ， Ｚ′）が基地局２に送信されることである。ここで暗号生成（Enc）は、例えば基地局２から送信された証明書Ｚに含まれている基地局２の公開鍵（PublicKeyReader）を用いて行われる。
・基地局２およびそこの認証モジュール１６で、この非対称にランダム暗号化されたデータＡ ＝ ｆ（Ｒ， Ｚ′）を含む受信応答信号１２が個人鍵（PrivateKeyReader）によって解読され、したがって認証モジュール１６にも同様に応答Ｒとこの証明書Ｚ′が存在するようになる。
・認証モジュール１６は解読された証明書Ｚ′ならびに応答Ｒを検査する。これらデータＲ、Ｚ′の検査が肯定であれば、トランスポンダ３は基地局２に対して認証され、これに続いて本来のデータ通信を基地局２とトランスポンダ３との間で行うことができる。
【００６５】
この両側認証プロトコルを実現するためには、基地局が問い合わせＣを、トランスポンダ３にファイルされている秘密鍵（証明書Ｚ′）に依存しないで形成することが重要である。そうでないと、トランスポンダ３が基地局２に前もって自分のＩＤまたは公開鍵を通知できるようにするため、付加的な通信ステップが必要となろう。本発明のプロトコルにより認証方法全体が短くなる。
【００６６】
さらに重要なのは、問い合わせＣと応答Ｒの形成ならびに相応の証明書Ｚ、Ｚ′が、認証プロトコルを楕円曲線に基づガロア域ＧＦ（２ｄ）上で実行できるようにあらかじめ設定されていることである。従来公知の両側非対称認証方法との相違は、それぞれ問いかけられたトランスポンダ３のプライベートエリアの保護が付加的に得られることである。
【００６７】
上に図４に基づいて説明した認証プロトコルは以下の特性を有する。
【００６８】
認証性：
トランスポンダ３は基地局２に対して、有効な証明書Ｚ′を、基地局２から送信された問い合わせＣに対する有効な応答Ｒとともにこの基地局２に返信することによって認証される。証明書Ｚ′からの公開鍵ｘＴに所属する秘密鍵ζＴについてトランスポンダが知っていれば、トランスポンダ３はこのような有効な応答Ｒを単に計算して返信することができる。
【００６９】
トランスポンダのプライバシー保護：
トランスポンダ３に相応する通信システム１に所属する基地局２だけが、すなわち有効な証明書Ｚを送信し、証明書Ｚ内の公開鍵ｘＲと同時に適合する秘密鍵ζＲを有する基地局２だけが、ここではトランスポンダ３から返信されたデータＡを解読することができ、これを解釈することができる。他のすべての基地局２には、トランスポンダ３のデータはランダムである。このようにしてそれぞれのトランスポンダ３のデータ保護（データプライバシー）が得られる。
【００７０】
付加的に基地局２からトランスポンダ３への各問い合わせＣの際に新たなランダム鍵Ｋが選択される。したがってトランスポンダ３から返信されたデータＡは、基地局２の各問い合わせの際に、繰り返し同じ問い合わせが行われたにしても異なっている。この場合不当なユーザは、その度に異なる問い合わせデータと応答データを識別しなければならないことになり、したがってこの問い合わせデータと、異なる時点で１つの同じトランスポンダ３から基地局に送信される相応する応答データとを結び付けることはできないであろう。このことにより不所望のいわゆるトラッキング（ロケーションプライバシー）に対する最大のセキュリティが可能である。
【００７１】
フォワードセキュア：
認証プロトコルが再度実行される際（インスタンス）に、トランスポンダ３は鍵Ｋを新たにランダムに選択し、自分の証明書Ｚ′、ならびにトランスポンダ側の秘密鍵ζＴに依存する相応の応答Ｒをこれにより暗号化するから、不当なユーザはこの認証プロトコルの記録されたインスタンスをそれぞれのトランスポンダ３に前もって割り当てることはできない。このために不当なユーザはそれぞれの鍵Ｋを知らなければならない。しかしこの鍵は認証プロトコルの各インスタンス後にトランスポンダ３により破棄され、トランスポンダ３自体には記憶されない。不当なユーザが例えばトランスポンダ３を分解して分析することにより知ることのできる唯一の秘密は秘密鍵ζＴである。しかしこの秘密鍵ζＴは、鍵Ｋには何の影響も及ぼさない。不当なユーザがこの秘密鍵ζＴを知ることになれば、トランスポンダの認証が不可能となる。したがって、基地局２とのデータ通信をこのトランスポンダ３は継続することができなくなる。これは認証方法全体のさらなる保護である。
【００７２】
したがい全体として、認証に関しても、フォワードセキュアおよびデータ保護（プライバシー保護）に関してもデータ通信の最大のセキュリティが比較的小さな手段で可能である。
【００７３】
以下、楕円曲線に基づく本発明の認証方法の例を、図５のフローチャートで説明する。
【００７４】
認証のためには、通信システム１、基地局２およびトランスポンダ３に対して次のパラメータが設定される。
【００７５】
システムパラメータとして、すなわち通信システム全体と認証全体に適用されるパラメータとして、次のパラメータが設定される。
・適切な楕円曲線が設定される。
・ｘｐは、原点Ｐのアフィンｘ座標である。
・ｘｓは、署名認証のための公開鍵である。
【００７６】
基地局２だけに対して次のパラメータが適用される。
・ζＲは、基地局側の秘密鍵である。
・ｘＲ、ｒＲ、ｓＲは証明書Ｚを表し、ここでｘＲは公開鍵（点Ｒ＝ζＲ＊Ｐのアフィンｘ座標）を、ｒＲ、ｓＲは公開鍵ｘＳにより検証することのできるｘＲのＥＣＧＤＳＡ署名を表す。
【００７７】
トランスポンダ３に対してだけ次のパラメータが設けられる。
・ζＴは、トランスポンダ側の秘密鍵である。
・ｘＴ、ｒＴ、ｓＴは証明書Ｚ′を表し、ここでｘＴは公開鍵（点Ｔ＝ζＴ＊Ｐのアフィンｘ座標）を、ｒＴ、ｓＴは公開鍵ｘＳにより検証することのできるｘＴの署名を表す。
【００７８】
図５に示された例としての認証方法は次のように実行される。
【００７９】
図５に示された本発明の認証プロトコルのステップ１）から４）で基地局は問い合わせＣ＝ｘｉを形成する。この問い合わせｘｉは、ランダムなスカラーに対する点Ｐ１＝ｒ１＊Ｐのｘ座標である。基地局２はこの問い合せｘｉ、ならびに基地局２の公開鍵ｘＲおよび署名成分ｒＲ、ｓＲからなる基地局３の証明書Ｚ＝［ｘＲ、ｒＲ、ｓＲ］をトランスポンダ３に送信する。
【００８０】
ステップ５）では署名検査が行われる。署名検査では、トランスポンダ３が基地局２の証明書Ｚの有効性を検査する。鍵ｘＲは基地局３により、証明書Ｚが有効であれば真正であると見なされる。署名検査は例えば「ローコスト証明アルゴリズム」により実行することができる。これについては例えばドイツ特許願ＤＥ １０１ ６１ １３７ Ａ１に記載されている。この刊行物を、署名検査方法に関して本願の内容に取り入れる。
【００８１】
この署名検査では、３つのスカラー乗算（ＸＡ， ＺＡ） ← ＭｏｎＭｕｌ（ｒＲ， ｒＲ） ， （ＸＢ， ＺＢ） ← ＭｏｎＭｕｌ ｓＲ， ｘｓ） ， （Ｘｃ， Ｚｃ） ← ＭｏｎＭｕｌ （ｘＲ， ｘＰ）が実行される。次式が成立するときだけ
【数２】
証明書Ｚは有効として検証される。したがってこの式（２）は、ガロア域ＧＦ（２ｄ）における非常に簡単な１１の乗算により評価することができる。
【００８２】
証明書Ｚが有効と見なされない場合に対しては、トランスポンダ３が証明書Ｚを送信する基地局２を、真正ではない、すなわち無効であるとして拒絶する。これらの場合にはさらなるデータ通信は行われない。
【００８３】
ステップ６）では応答計算が行われる。ここでトランスポンダ３は問い合わせｘ１に対して相応の応答を計算する。この応答は、点Ｐ２ ＝ ζＴ＊Ｐ１ ＝ ζＴ＊（ｒ１＊Ｐ）の投影ｘ座標を表す。
【００８４】
続いてステップ７）から１０）でトランスポンダ３ではランダム化された鍵が形成される。トランスポンダ３は対称鍵Ｋ＝Ｘ３を形成し、この鍵は点Ｐ３＝ｒ２＊Ｒ＝ｒ２＊（ζＲ＊Ｐ）の投影ｘ座標を表す。ここでｒ２はランダムなスカラーである。点Ｐ４の投影ｘ座標（Ｘ４， Ｚ４）および成分Ｚ３は、基地局２が対称鍵Ｋを計算するために用いられる。
【００８５】
ステップ１１）および１２）では、トランスポンダ３が応答（Ｘ２， Ｚ２）を自分の証明書Ｚ′とともに暗号化する。ここで証明書Ｚ′は、トランスポンダ３の公開鍵ＸＴと署名成分ｒＴおよびｓＴからなる。ステップ１１）ではまずデータ（ｘ２， Ｚ２）と証明書Ｚ′が順次配置される。ステップ１２）では本来の暗号生成が行われる。ここでは任意の、詳細に説明しない暗号生成方法を使用することができる。
【００８６】
暗号化された応答情報Ｃ′を得るために、例えば対称暗号法が使用される。対称暗号生成のための装置はリニアシフトレジスタに基づくことができ、このリニアシフトレジスタはトランスポンダ３のＧＦ（２ｄ）計算部にすでに組み込まれている。わずかな付加的ハードウエアコストにより、このシフトレジスタで暗号化を行うことができる。
【００８７】
ステップ１１）と１２）の変形では、トランスポンダ３が鍵Ｋ＝ｘ３＝Ｘ３／Ｚ３とｘ４＝Ｘ４／Ｚ４を計算し、Ｚ３， Ｘ４， Ｚ４の代わりに値ｘ４だけを伝送する。ただしこれは、ＧＦ（２ｄ）のトランスポンダ３上で反転でき、ｄビット長の値の伝送が反転よりも長く掛かる場合である。
【００８８】
続いてステップ１３）で、暗号化された応答情報Ｃ′がデータ（Ｘ４，Ｚ４）、Ｚ３とともに基地局２に返信される。この応答情報Ｃ′は使用データを含んでいるが、データ（Ｘ４，Ｚ４）、Ｚ３はランダム化されたメッセージに所属する付加的成分である。
【００８９】
ステップ１４）から１６）では、基地局２で対称鍵ＫがデータＺ３，Ｘ４，Ｚ４から計算される。ここで重要なことは、秘密鍵ζＲを知る基地局２だけが、Ｚ３，Ｘ４，Ｚ４からそれぞれの対称鍵Ｋを得ることができることである。
【００９０】
上記の変形実施例では、基地局が鍵をＫ＝Ｘ５／Ｚ５により計算する。
【００９１】
ステップ１７）で基地局２は、トランスポンダ３の応答（Ｘ２，Ｚ２）と証明書ｘＴ，ｒＴ，ＳＴを解読する。例えばここでは、Ｅｌ−Ｇａｍａｌ暗号／解読法を使用することができる。この方法はいわゆる公開鍵方式であり、ランダム化して暗号化および解読するように構成されている。
【００９２】
基地局２はトランスポンダ３の証明書Ｚ′をステップ１８）で検査する。証明書Ｚ′が有効でなければ、基地局２はトランスポンダ３を真正ではないとして拒絶する。
【００９３】
変形実施例では、トランスポンダ３と基地局２が異なる署名方法ないしは異なる公開鍵をそれぞれの証明書に対して有することができる。
【００９４】
ステップ１９）〜２０）で、基地局２はトランスポンダ３の応答を検査する。基地局２は点Ｐ６＝ｒ１＊Ｔ＝ｒ１＊（ζＴ＊Ｐ）の投影ｘ座標を計算し、このとき（Ｘ２，Ｚ２）と（Ｘ６，Ｚ６）が同じ点の投影座標であり得るかを検査する。これはちょうど、Ｘ６Ｚ２＝Ｘ２Ｚ６が成り立つ場合である。この応答が正しければ、トランスポンダ３は真正である。この応答が間違っていれば、基地局２はトランスポンダ３を真正ではないとして拒絶する。
【００９５】
この有利なプロトコルによって、非常に簡単ではあっても非常に安全な認証、最大のプライバシー保護（データおよびロケーションプライバシー）が得られ、加えて最大のフォワードセキュアが提供される。
【００９６】
トランスポンダを基地局に対して、トランスポンダについての付加的なプライバシー保護を備えるとともに安全に認証する本発明の方法は、公開鍵暗号方式に基づくものであり、これによりこれまでの対称性解決手段に対して格段の利点を有する。すなわち、基地局側には、トランスポンダのための鍵を中央バックエンドデータバンクで探すために、この中央バックエンドデータバンクへのセキュアアクセスが存在しなくても良いという格段の利点を有する。したがって基地局は、システム全体で統一された秘密鍵を有する必要がない。公知の対称性解決手段では、基地局を「拐かし」、そのマスターキーを入手できたとすると、システム全体が突破され、自分で「有効な」トランスポンダを作製できることとなる。このようなことは本発明では生じ得ない。公開鍵解決手段の場合、基地局は、「有効な」トランスポンダを作製するために不当なユーザが使用することのできる鍵を有していない。
【００９７】
この非対称性変形実施例のさらに重要な利点は、種々異なる正当な基地局によるトランスポンダへの種々異なるアクセス権限を、証明書に符号化できることである。すなわち証明書には、基地局が例えば読出し権限だけを有するのか、またはトランスポンダへの書込み権限も有するのかという情報を含むことができる。
【００９８】
変形実施例として、全ての基地局が同等の権限を有している場合、各基地局に同じ秘密鍵を設け、相応してトランスポンダにはこれに所属の公開鍵を設けることができる。このことは、トランスポンダへの読出し証明書を検査する必要がない場合に有利である。これによりトランスポンダが遂行しなければならない計算コストが約半分になる。
【００９９】
上記においては本発明を有利な実施例に基づき説明したが、本発明はそれらに実施例に制限されるものではなく、種々様々に変更することができる。
【０１００】
本発明はＲＦＩＤシステムだけに制限されるものではなく、例えば個別部品識別（アイテム識別）に拡張することができる。しばしばこのような部品は一義的に識別する必要はない。ここでは、例えばエラーのある部品の存在を排除することができれば十分であることがしばしばである。これは通常、一義的識別とは称さない。この関連でトランスポンダが動作するとき、トランスポンダはセンサの機能を示す。したがって本発明は明らかに、データ担体ないしはセンサのデータを読出しおよび書込みするための通信が行われるセンサに係るものである。
【０１０１】
本発明はまた、必ずしもＲＦＩＤシステムではなく、また必ずしも無線に構成されていない任意のデータ通信システムにも関連するものである。
【０１０２】
図３と４では、分かりやすくするためにＲＦＩＤシステムの構造、とりわけトランスポンダと基地局の構造は意図的に大きく簡略化して図示されている。基地局と相応のトランスポンダは、基地局とトランスポンダとの間のデータ通信に必要な機能ユニット、例えばデモジュレータ、モジュレータ、エネルギ供給部、同期装置、デコーダ等も同様に含んでいることは自明である。
【０１０３】
図３と４では、制御装置、評価装置、および認証モジュールをそれぞれ区別した。これらの装置は、例えば制御装置の構成部分とすることも、またはこれとは別個に構成できることも自明である。同様に基地局もトランスポンダも、ただ１つの送受信装置と、所属の送受信アンテナを有することができることを述べておく。基地局および／またはトランスポンダが別個の送受信装置と、とりわけ送信アンテナとこれとは別個の受信アンテナを有することができることももちろん自明である。
【０１０４】
前記のデータ通信システムとデータ通信方法は、「Reader-talks-first」方式に基づいて記載された。もちろん、基地局がまずトランスポンダの問い合わせを待機する「Ｔag-talks-first」方式ももちろん考えられる。しかし後者の方式では応答時間が長くなる。したがって例えばＲＦＩＤで使用されるような現在の「ロングレンジ」データ通信システムでは「Reader-talks-first」方式を使用するのが有利である。
【０１０５】
図５に基づいて説明した本発明の認証方法は単なる例として理解すべきである。もちろん、そこでの個々の方法ステップおよび適用される算術演算は本発明の枠内で、例えば機能的に同じ方法ステップまたは択一的方法ステップによって変更または変形することができる。
【図１Ａ】
【図１Ｂ】
【技術分野】
【０００１】
本発明は、認証方法および認証のための通信システムに関する。
【０００２】
本発明は、認証のための無線通信におけるトランスポンダ技術の分野に関連するものである。基本的に任意の通信システムに適用することができるが、本発明ならびに本発明の基礎となる問題を以下では、いわゆるＲＦＩＤ通信システムおよびその適用に基づいて説明する。ＲＦＩＤとは"Radio Frequency Identification"に対する略語である。このRFID技術の一般的背景に関しては、Klaus Finkenzeller著, Hansa-Verlag出版, 第3版, 2002を参照されたい。
【背景技術】
【０００３】
現在公知のＲＦＩＤシステムでは、典型的には、基地局（または読出し局またはリーダー）から送信された電磁信号がパッシブトランスポンダ（またはタグ）により受信され、このパッシブトランスポンダは受信した電磁信号からトランスポンダで必要なエネルギを獲得する。ＵＨＦまたはマイクロ波ベースの多くのＲＦＩＤシステムでは、単方向のエネルギ伝達の他に典型的には双方向データ通信が、いわゆるチャレンジ／レスポンス方式をベースにして行われる。ここで基地局は絶え間なく問い合わせ信号（データリクエスト、チャレンジ）を送信し、この問い合わせ信号は、相応のトランスポンダが基地局の作用領域内に存在する場合だけ応答される。この場合、基地局の直接的環境内に存在するトランスポンダは応答信号（レスポンス）を以て応答する。完全で有効なコマンドを受信して初めて、トランスポンダと基地局との間のデータ通信が行われる。トランスポンダは、基地局と同期して、または非同期で動作することができる。このようなＲＦＩＤトランスポンダは対象物、例えば物品、文書等の識別に使用される。
【０００４】
従来の有線データ通信とは異なり、この形式のデータ通信では、基地局と相応のトランスポンダとの間のデータ通信がほぼ自立的にバックグランドで行われ、ユーザが存在している必要はまったくない。すなわち、認証されたトランスポンダが所属の基地局の作用領域内に存在すると直ちにデータ通信が開始される。データ担体、例えばディスケット、ＵＳＢメモリ等の読出しの際には、このデータ担体はユーザにより相応の読出し機器に意図的に接触されなければならず、有線接続のデータ通信の場合、データ通信もユーザにより同様に意図的に開始されなければならない。このことはＲＦＩＤベースのデータ通信には当てはまらない。
【０００５】
このことは、例えばロジスティクス領域、百貨店等での識別の場合には確かに有利である。しかしＲＦＩＤベースのデータ通信技術は、多くの適用の際に注意しなければならない重大な欠点も有する。
【０００６】
このような問題は、ＲＦＩＤトランスポンダに含まれるデータが、とくにこのデータが保安上重要なデータである場合に不正に読み出されることに関係する。この理由から、ＲＦＩＤベースのデータ通信システムは典型的にはセキュリティ機構も有している。このセキュリティ機構はデータ通信を、基地局からのセキュリティコードを送信信号に変調することにより保安する。このセキュリティコードは、データ通信で許可されたトランスポンダだけがデコードし、評価することができる。評価が上手くいくと、データ通信で許可された、すなわち認証されたトランスポンダは応答信号を送信する。この応答信号も同様にセキュリティコードを含んでおり、基地局に返信され、基地局で再び評価することができる。したがってこのセキュリティコードによって、トランスポンダでも基地局でも両側で認証が行われ、これにより不当な使用者（またはハッカー）が気付かれずにデータ通信に入り込み、保安上重要なデータを取り出すことが回避される。
【０００７】
このような認証は、コストをかければ任意に構成することができる。とりわけＲＦＩＤベースのデータ通信での重要な周辺条件は、できるだけ簡単かつ迅速に基地局とトランスポンダとの間のデータ通信が行われることである。そのためには一方では、トランスポンダがわずかなリソース、すなわち小さなエネルギリソースと、小さなメモリリソースおよびコンピュータリソースしか有しておらず、認証の際にできるだけ小さいデータ量を評価し、認証されることが重要である。他方では、この認証はできるだけ迅速に実行されるべきである。なぜならＲＦＩＤベースのとくに動的なデータ通信システムでは、認証すべきトランスポンダがわずかな時間しか、それぞれの基地局の作用領域内に存在しないことが非常に頻繁だからである。この短い時間内に、データ通信接続が確立され、認証され、引き続きデータ交換が行われなければならない。
【０００８】
産業分野、またはプライベート分野で将来期待される、ＲＦＩＤベースデータ通信システムの大量適用では、ユーザのデータ保護のために、ＲＦＩＤベースのデータを無許可で盗み見することに対抗する、単純ではあるが効率的な手段がますます必要となる。ここでは以下の３つの保護カテゴリー、すなわち盗聴セキュリティが区別される。
【０００９】
１． プライベートデータの保護（データプライバシー）：
プライベートデータ保護を保障する際には、不当なユーザが基地局とトランスポンダとの間のデータ通信を盗聴することにより、または択一的にトランスポンダにアクティブに応答することにより、トランスポンダのＩＤを推測できてしまわないようにしなければならない。そうでないとこの不当なユーザが、トランスポンダに記憶されていて保安上重要であり、取扱注意のデータを入手してしまうことになる。このような取扱注意のデータは、例えばユーザ固有の情報を含んでいることがある。
【００１０】
２． 位置的なプライベートエリア保護（ロケーションプライバシー）：
位置的なプライベートエリアを保障するためには、不当なユーザが２つの異なる時点で基地局とトランスポンダとの間のデータ通信を盗聴することによって、またはトランスポンダにアクティブに応答することによって、トランスポンダに関する位置情報を入手することを阻止しなければならない。とりわけ不当なユーザがそこから、それが同じトランスポンダであるか、または違うトランスポンダであるかを推測できないことを保障しなければならない。なぜならそうでないと、個々のトランスポンダの運動プロフィールを推定でき（トラッキング）、ひいてはトランスポンダのユーザを特定できてしまうからである。ここでも保安上重要な、取扱注意の情報を保護しなければならない。
【００１１】
３． フォワードセキュアの保障：
最後に、不当なユーザが、例えば過去に記録された基地局とトランスポンダとの間のデータ通信をそれぞれ特定のトランスポンダに割り当てることができてはならない。このことはたとえ不当なユーザが後の時点で、この特定のトランスポンダの秘密データを探り出したとしても可能であってはならない。
【００１２】
前記の保護、ないしは相応のセキュリティを保障するために、トランスポンダから基地局へ返信される応答信号が、複数の問い合わせの際に不当なユーザには異なっておりランダムに現れるようにしなければならない。このためには種々のアプローチがあり、できるだけ高いセキュリティを保障しなければならない。そのうちのいくつかを、以下に簡単にまとめる。
【００１３】
［非特許文献１］には、ＲＦＩＤタグのプライバシー保護のための手段が記載されている。この解決手段では、一義的な識別コード（ＩＤ）が存在し、この識別コードは一時的なランダム識別数ＭＥＴＡ−ＩＤにより置換される。トランスポンダは引き続き、このＭＥＴＡ−ＩＤを含む問い合わせに応答する。このとき、システムに所属していて、権限のある基地局だけがそこからトランスポンダの実際のＩＤを導出することができる。ここでは確かにデータプライバシー保護は得られるが、２つの異なる時点でのトラッキングないしは盗聴に対しては保護されず、したがって不所望なことには運動プロフィールが識別できてしまう。
［非特許文献２］は、識別コード（ＩＤ）が各送信の際にランダム化される方法を開示する。ここでランダム化は、いわゆるハッシュ関数を用いて行われる。しかしこのハッシュ関数は、トランスポンダ上で実現するためには比較的大きなハードウエアコスト、ひいては計算コストを必要とする。さらにここでの欠点は、この方法はフォワードセキュアを提供しないことである。
【００１４】
ＡＥＳに基づくハードウエア実現ベースの方法が［非特許文献３］に記載されている。この方法は、ＩＳＯ規格 ９７９８によるいわゆる３パス相互認証プロトコルの変形である。このプロトコルはトラッキングに対する保護を提供するが、フォワードセキュアは提供しない。
【００１５】
［非特許文献４］には、ハッシュ関数に基づく方法が記載されている。ここでは未必情報Ｓ１がトランスポンダ上で、リーダーの各問い合わせ後に、Ｓｉ＋１＝Ｈａｓｈ （Ｓｉ） に更新される。この手段によって、フォワードセキュアが保障される。なぜなら目下の状態Ｓｉを知っても、以前の状態Ｓｋ（ただし、ｋ＞ｉ）を推測することはできないからである。しかしこのために必要なハードウエアコストおよび必要なコストが大きいため、この方法は実際上、トランスポンダにはほとんど適さない。
【００１６】
基地局とトランスポンダとの間のデータ通信を保安するために、デ―タ通信は暗号データの交換によって行われる。これまで公知の方法、例えば上の［非特許文献ｌ］，［非特許文献２］，［非特許文献３］，［非特許文献４］に記載された方法のほとんどすべてが対称暗号方式に基づく。このようなシステムでは、それぞれのトランスポンダが１つの秘密鍵を有し、この秘密鍵は基地局にファイルされているか、または少なくとも基地局がこの秘密鍵にセキュアアクセスできるよう、中央の保安されたデータバンクにファイルされている。
【００１７】
対称暗号方式の他に、いわゆる非対称暗号方式も存在する。この非対称暗号方式は、個人鍵および公開鍵に基づいている。ここで公開鍵は、あらかじめ定めたアルゴリズムを用いて個人鍵から生成される。この暗号方式で重要なのは反転である。すなわち有限の時間内で利用可能な計算能力により、公開鍵から個人鍵を決定できないようにすることである。
【００１８】
ここで有利であることが判明しているのは、楕円曲線に基づく暗号鍵生成アルゴリズムを使用することである。なぜならこのアルゴリズムにより、高いセキュリティが小さい鍵で得られるからである。このような楕円曲線に基づく暗号鍵生成方法は非常に効率的である。これはこの方法では、公知の暗号生成方法とは異なり、準指数関数所要時間での攻撃方法が知られていないためである。このことは言い替えると、楕円曲線に基づく方法では使用されるセキュリティパラメータのビット当たりの保安利得が比較的に高く、したがって実際の使用に対しては長さの格段に短い鍵を使用することができることを意味する。このように、楕円曲線に基づいた暗号生成方法は他の暗号生成方法よりも効率的であり、同程度のセキュリティレベルを達成する場合でも、システムパラメータの伝送に必要な帯域幅が小さい。
【００１９】
このように暗号生成方法は、データを暗号化する際に期待されるセキュリティと計算コストとの妥協である。ＤＥ １０１ ６１ １３８ Ａ１には、ｙ座標を使用せずにｘ座標だけで点のスカラー倍数を決定できることが記載されている。相応の計算規則が任意の体に対して同様にこの刊行物に記載されている。これによって点算術、例えばスカラー乗算に対するモンゴメリー関数を格段に効率的に実現することができ、点加算当たりの体の乗算回数を少なくし、また点を表すためおよび中間結果に対するレジスタの数を少なくすることができる。
【先行技術文献】
【非特許文献】
【００２０】
【非特許文献１】Daniel Engels, Ronald Rivest, Sanjay Sarma, Stephen Weis, "Security and privacy aspects of low-cost radio frequency identification Systems", International Conference on Security in Pervasive Computing, March 2003.
【非特許文献２】Daniel Engels, Sanjay Sarma, Stephen Weis, "RFID Systems and security and privacy implications", Cryptographic Hardware and Embedded Systems - CHES, August 2003.
【非特許文献３】Martin Feldhofer, Sandra Dominikus, Johannes Wolkerstor-fer, "Strong Authentication for RFID Systems Using the AES Algorithm", Workshop on Cryptographic Hardware Embedded Systems -CHES, August 2004.
【非特許文献４】Miyako Ohkubo, Koutarou Suzuki, Shingo Kinoshita, "Cryptographic Approach to Privacy-Friendly Tags", RFID Privacy Workshop, November 2003.
【発明の概要】
【発明が解決しようとする課題】
【００２１】
この背景から本発明の課題は、一方ではできるだけ高いセキュリティを保障し、他方ではそのためにできるだけ低いハードウエアコストしか必要としない、通信システムでの認証方法および認証装置を提供することである。
【課題を解決するための手段】
【００２２】
本発明によればこの課題は、請求項１記載の特徴を備えた認証方法および／または請求項１９記載の特徴を備えた通信システムによって解決される。ここでは次のようにする。
【００２３】
本発明は、通信システムの加入者間での、楕円曲線に基づく非対称暗号方式を使用する認証方法であって、以下のステップを有する。
・第１の加入者と少なくとも１つの第２の加入者に公開鍵を提供するステップ、
ただし前記第１の加入者ないし第２の加入者はそれぞれの加入者だけに既知の秘密鍵を有している、
・第１の加入者から送信された問い合わせを、その中に含まれており、前記第１の加入者に所属する第１の証明書の有効性に関して認証するステップ、
・前記問い合わせに所属する、第２の加入者の応答を計算するステップ、
・前記計算された応答と、前記第２の加入者に所属する第２の証明書を、公開鍵を使用してランダム暗号化するステップ、
・前記第２の加入者から送信された応答を復号し、その中に含まれる第２の証明書の有効性に関して認証するステップ。
【００２４】
本発明の認証方法による、楕円曲線に基づく非対称暗号方式を使用した両側認証のための通信システム。
【発明の効果】
【００２５】
本発明の基礎となる技術思想は、チャレンジ／レスポンス法による新規の両側認証プロトコルを提供することであり、ここでは基地局とトランスポンダが相互に認証する。この認証は、楕円曲線をベースにする非対称暗号生成に基づく。したがってこの認証方法では、トランスポンダから基地局に返信されたデータが非対称にランダム暗号化される。そのことの利点は、正しい個人鍵、すなわち認可された個人鍵を有する基地局だけが、トランスポンダから返信された応答を解読するように、すなわち「理解」するように構成されることである。他のすべての基地局、すなわち認可されない基地局またはユーザには、トランスポンダから返信された応答はランダムに映る。このようにしてトランスポンダのプライベートエリアの保護が保障される。
【００２６】
本発明の認証方法は、データ通信用の新規の拡張された保安プロトコルに基づく。この新規の保安プロトコルは、楕円曲線のためのいわゆるローコスト計算に基づく。
【００２７】
したがって本発明によれば、プライベートデータ（データプライバシー）と位置的プライベートエリア（ロケーションプライバシー、トラッキング）を保護するための効率的で新規の識別プロトコルが作成され、このプロトコルは最大限のフォワードセキュアも含む。さらにそのために必要な装置も記載される。本発明の方法は、指数２の有限体による楕円曲線に基づく現代の非対称暗号方式をベースにするものであり、その計算は非常に安価なハードウエアモジュールで実現可能であり、したがってとりわけＲＦＩＤベース適用に適するという利点を有すＵｒ。
【００２８】
他の対称認証方法に対して本発明の認証方法は、基地局の側には、トランスポンダのための個人鍵、秘密鍵を探すために、中央バックエンドデータバンクへのセキュアアクセスが必要ないという利点を有する。このことは、実現のためのハードウエアコストをさらに低減する。
【００２９】
対称解決手段と比較して、いわゆるマスターキーにより到達することのできる基地局が存在するという危険性もない。このようなことがあると、秘密全体が突破されたり、不当なユーザが自分で有効なトランスポンダを作製できたりする。本発明の公開鍵解決手段では、正しい鍵を備える基地局だけがデータを相応のトランスポンダから取り出せる。
【００３０】
本発明により非常に効率的に、不当なユーザがリーダーまたはトランスポンダにある秘密鍵に、例えば中央バンクを介して到達できるということが阻止される。そして基地局をシミュレートできることも阻止される。このようなことができると、不当なユーザはデータ通信システムに所属するトランスポンダを同定することができたり、そのプライベートエリア（ローカルプライバシーおよびデータプライバシー）を確定できたりする。
【００３１】
本発明の認証方法のさらに重要な利点は、非常に簡単に、種々の基地局によるトランスポンダへの種々のアクセス権限を、いわゆる証明書に符号化できることである。このことはそれぞれの証明書に、基地局が例えば読出し権限だけを有するか、または付加的に相応のトランスポンダへの書込み権限も有するのかという情報が含まれていることを意味する。
【００３２】
本発明の認証方法では、両側認証プロトコルが使用される。このプロトコルでは、第１の加入者、例えば基地局と第２の加入者、例えばトランスポンダが相互に認証する。本発明の方法は、楕円曲線に基づく非対称暗号方式を使用する。この暗号化方法は他の方法に対して、認証のために必要なビット量が他の方法に対して格段に小さいという利点を有し、そのためバンド幅が比較的に小さい。
【００３３】
このことは、トランスポンダに使用されるアンテナ受信器とも関連して格段に有利である。
【００３４】
本発明の有利な実施形態および発展形態は従属請求項ならびに図面を参照する説明より明らかになる。
【００３５】
本発明を以下、図面に示した実施例に基づいて詳しく説明する。
【図面の簡単な説明】
【００３６】
【図１】楕円曲線の例を示す図である。
【図２】楕円曲線を使用した加算の例を示す図である。
【図３】本発明の通信システムの構造を示すブロック回路図である。
【図４】本発明の認証方法の基本を示すブロック回路図である。
【図５】楕円曲線に基づく本発明の認証方法を説明するフローチャートである。
【発明を実施するための形態】
【００３７】
図中、同じ要素ないしは同じ機能の要素には特にことわりがないかぎり同じ参照符号を付してある。
【００３８】
本発明の認証方法は新規の保安プロトコルを有し、このプロトコルは楕円曲線のための計算に基づく。したがって本発明の認証方法を説明する前に、まず楕円曲線の重要な特性について図１ａと１ｂに基づき説明する。
【００３９】
有限体（ガロア域）ＧＦ（２ｄ）上の楕円曲線は三次方程式のゼロ位置量
ｙ２ ＋ ｘｙ ＝ ｘ３ ＋ ａｘ２ ＋ ｂ． （１）
であり、ここでｘとｙは変数、係数ａとｂ、ｂ≠０はガロア域ＧＦ（２ｄ）中の係数を表す。
【００４０】
図１ａと１ｂには、例として２つの楕円が実数上に示されている。
【００４１】
無限に離れた点を中立要素として追加すれば、このゼロ位置集合は加算群を形成し、その群規則は少なくとも楕円曲線で実体を介して幾何学的に解釈することができる。このような加算群は数集合と足し算（群演算）からなる。さらにこの群には中立要素が存在する。この中立要素は、数集合の数を足し算する際にその値を変化しない（例えばゼロ）。さらに数集合の各値に対して逆要素が存在する。したがって相応する値をこの逆要素と加算すると中立要素が得られる。ここで重要なのは、代数幾何学からの２つの結果である（図２参照）。
【００４２】
各直線は楕円曲線と、必ずしも相互に異なっていない３つの点で交差する。必ずしも異なっていない各２つの点について第３の点を計算することができ、したがって３つの点の和が中立要素である。ＰとＱ（ただしＰ≠−Ｑ）が２つの点であり、ｇがこれらの点Ｐ、Ｑを通る直線であれば、この直線は楕円曲線と第３の点Ｒで交差する。ＲのＸ軸での対称によってＳ＝Ｐ＋Ｑが得られる。Ｐ＝−Ｑの場合に対して、ｇの勾配は無限であり、第３の交点Ｒは無限に離れた点である。
【００４３】
ベクトル空間でのスカラー乗算の定義と同じように、楕円曲線でのスカラー乗算が定義される。Ｐは楕円曲線の点であり、ｋは自然数とする。スカラー乗算ｋ＊Ｐは、Ｐそれ自体をｋ回加算することに相当する。このスカラー乗算ｋ＊Ｐは、楕円曲線に基づいた暗号生成システムの主要なブロックを形成する。頑強な暗号生成楕円曲線では、スカラー乗算が一方向関数となる。すなわちスカラー乗算は多項式時間で計算できるが、指数関数的時間でしか反転できない。したがってスカラーを効率的アルゴリズムで復元することは困難であると考えられる。この一方向関数は、楕円関数に基づく暗号認証方法の基礎を形成する。
【００４４】
楕円曲線ベースでのこのようなスカラー乗算を実現するための公知の方法は、いわゆるモンゴメリー関数である。モンゴメリー関数は、点Ｐのスカラー倍のｘ座標の計算に、Ｐのｘ座標だけと、もっぱらガロア域ＧＦ（２ｄ）での加算と乗算だけが使用されるようにして実現される。ここでは面倒な反転は必要ない。
【００４５】
モンゴメリー関数の正確なアルゴリズムは、次式により呼び出される
（Ｘｋｐ， Ｚｋｐ） ← ＭｏｎＭｕｌ （ｋ，Ｘｐ），
次のとおりである。
【００４６】
インプットパラメータ：
二進表現でのスカラーｋ＝（ｋｎ−１，．．．．，ｋ０）
点Ｐのｘ座標。
【００４７】
アウトプットパラメータ：
点ｋ＊Ｐの座標（Ｘ，Ｚ）、したがってＸ／Ｚはアフィンｘ座標である。
【００４８】
モンゴメリー関数のアルゴリズムの方法ステップ（プログラム言語Ｃ＋＋）：
【数１】
【００４９】
上記の加算および乗算は、ガロア域ＧＦ（２ｄ）で比較的小さいハードウエアコストにより実行できる。ここで相応のトランスポンダおよび基地局は、この計算処理を実行するために簡単で安価な計算機構しか必要としない。この計算機構の主構成部分であるシフトレジスタを帰還結合することによって、乗算をｄクロックで実行することができ、このとき加算は１つのクロックで実現することができる。
【００５０】
上記のモンゴメリーアルゴリズムは、スカラー乗算の効率的計算に用いられ、シフトレジスタにより実現することができる。
【００５１】
以下に説明する本発明の両側認証方法は、このモンゴメリーアルゴリズムに基づくものである。本発明の認証方法のプロトコルは、トランスポンダがまず基地局に対して公知のチャレンジ／レスポンス法によって認証する片側認証の拡張である。さらに本発明の認証方法は、トランスポンダのプライベートエリアとフォワードセキュアに対して最大のセキュリティを提供する。
【００５２】
本発明の両側認証方法を説明する前に、以下では図３のブロック回路図に基づいて本発明の通信システムの基本構造をまず詳細に説明する。
【００５３】
図３には、参照符合１により通信システム、例えばＲＦＩＤ通信システムが示されている。ＲＦＩＤ通信システム１は、第１の加入者（基地局２）と、トランスポンダ３を含む。基地局２と第２の加入者（トランスポンダ３）は無線通信区間４を介して双方向通信接続している。通信システム１は例えばマスタ−スレーブ通信システムとして構成することもできる。この場合、基地局２はマスタとして、トランスポンダ３はそれぞれスレーブとして機能する。
【００５４】
基地局２は制御装置５、送受信装置６、ならびに送受信アンテナ７を有する。同じようにトランスポンダも制御装置８、送受信装置９、ならびに送受信アンテナ１０を有する。
【００５５】
送受信アンテナ７，１０は、誘導性コイルアンテナまたはダイポールアンテナとして構成することができる。
【００５６】
それぞれの制御装置５，８では、データ通信フローが制御される。典型的には制御装置は計算装置（計算機構、ＣＰＵ等）を含んでおり、この計算装置でとりわけ認証のための計算処理が実行される。
【００５７】
データ通信の制御は、それぞれ基地局側の制御装置５とトランスポンダ側の制御装置８により行われる。基地局２の制御装置５は、アンテナ７を介して高周波搬送信号１１をトランスポンダ３のアンテナ１０に送信するように構成されている。同じように、トランスポンダ３の制御装置８と送受信装置９は、送信された搬送信号１１に対して相応する応答信号１２を基地局２へ返信するように構成されている。制御装置５，８はプログラム制御される装置、例えばマイクロコントローラまたはマイクロプロセッサとして構成することができる。または固定配線された論理回路、例えばＦＰＧＡまたはＰＬＤに実現することもできる。
【００５８】
メモリ１８，１９は典型的にはＲＡＭであり、例えば計算結果がファイルされている。付加的にまたは択一的に、このメモリ１８，１９はＥＥＰＲＯＭを有することができ、このＥＥＰＲＯＭには、システムパラメータ、種々の通信加入者のパラメータ、例えば加入者固有の個人鍵、公開鍵、加入者固有の証明書等がファイルされている。
【００５９】
基地局２はさらに評価装置１４を有する。この評価装置１４は基地局２の受信経路に配置されており、送受信装置６の受信器に後置して配置されている。同じようにトランスポンダ３も評価装置１５を、トランスポンダ３の受信経路２３に有する。それぞれの評価装置１４，１５では、データ通信の受信データが評価される。とりわけそこでは、まず受信データの復調そして復号が行われる。
【００６０】
本発明によれば、基地局２とトランスポンダ３の両者が認証モジュール１６，１７を有し、この認証モジュールはそれぞれの送受信装置６，９と基地局２ないしトランスポンダ３の制御装置５，８との間に配置されている。この認証モジュール１６，１７はここでは別個のモジュールとして構成されている。しかし有利には認証モジュール１６、１７はそれぞれの制御装置５，８の構成部分である。
【００６１】
認証モジュール１６，１７はさらにメモリ１８，１９を有する。このメモリには認証に必要なデータ、またはバッファしなければならないデータ、鍵等がファイルされている。
【００６２】
本発明の認証方法（または認証プロトコル）の基本原理を以下、図４の概略図に基づいて説明する。
【００６３】
図４は、通信システム１の基地局２とトランスポンダ３を概略的に示す。そこにはこの装置２，３内の認証モジュール１６，１７だけが認証方法の説明のために示されている。基地局側の記憶装置１８には、証明書Ｚと基地局２の基地局側秘密鍵がファイルされており、トランスポンダ３の記憶装置１９には、前記とは異なる証明書Ｚ′とトランスポンダ側の秘密鍵がファイルされていることを前提とする。
【００６４】
本発明の認証方法では以下のことが行われる：
・認証方法の開始時に、基地局側の認証モジュール１６が問い合せＣ（Ｃ＝Challenge）を形成する。
・認証モジュール１６はこの問い合わせＣを、記憶されている基地局側証明書Ｚとともに問い合わせ信号１１として送信する。この基地局２の直接的環境内に存在する１つまたは複数のトランスポンダ３が、証明書Ｚと問い合わせＣを備えるこの問い合わせ信号１１を受信し、この問い合わせ信号１１はそれぞれのトランスポンダ３で公知のように復調され、復号される。
・引き続きトランスポンダ３の認証モジュール１７が、このようにして受信された証明書Ｚをその有効性について検査する。
・続いて認証モジュール１７は、この問い合わせＣに適合する応答Ｒ（Ｒ＝Response）を計算する。
・続いて認証モジュール１７は応答信号として、この応答Ｒならびにトランスポンダ３のメモリ１９にファイルされているトランスポンダ固有の証明書Ｚ′を基地局２に返信する。ここで重要なことは、トランスポンダ３から返信されたデータ、すなわち応答Ｒと証明書Ｚ′が認証モジュール１７によって前もって非対称にランダム暗号化されており、したがってこの非対称にランダム暗号化されたデータＡ ＝ ｆ（Ｒ， Ｚ′）が基地局２に送信されることである。ここで暗号生成（Enc）は、例えば基地局２から送信された証明書Ｚに含まれている基地局２の公開鍵（PublicKeyReader）を用いて行われる。
・基地局２およびそこの認証モジュール１６で、この非対称にランダム暗号化されたデータＡ ＝ ｆ（Ｒ， Ｚ′）を含む受信応答信号１２が個人鍵（PrivateKeyReader）によって解読され、したがって認証モジュール１６にも同様に応答Ｒとこの証明書Ｚ′が存在するようになる。
・認証モジュール１６は解読された証明書Ｚ′ならびに応答Ｒを検査する。これらデータＲ、Ｚ′の検査が肯定であれば、トランスポンダ３は基地局２に対して認証され、これに続いて本来のデータ通信を基地局２とトランスポンダ３との間で行うことができる。
【００６５】
この両側認証プロトコルを実現するためには、基地局が問い合わせＣを、トランスポンダ３にファイルされている秘密鍵（証明書Ｚ′）に依存しないで形成することが重要である。そうでないと、トランスポンダ３が基地局２に前もって自分のＩＤまたは公開鍵を通知できるようにするため、付加的な通信ステップが必要となろう。本発明のプロトコルにより認証方法全体が短くなる。
【００６６】
さらに重要なのは、問い合わせＣと応答Ｒの形成ならびに相応の証明書Ｚ、Ｚ′が、認証プロトコルを楕円曲線に基づガロア域ＧＦ（２ｄ）上で実行できるようにあらかじめ設定されていることである。従来公知の両側非対称認証方法との相違は、それぞれ問いかけられたトランスポンダ３のプライベートエリアの保護が付加的に得られることである。
【００６７】
上に図４に基づいて説明した認証プロトコルは以下の特性を有する。
【００６８】
認証性：
トランスポンダ３は基地局２に対して、有効な証明書Ｚ′を、基地局２から送信された問い合わせＣに対する有効な応答Ｒとともにこの基地局２に返信することによって認証される。証明書Ｚ′からの公開鍵ｘＴに所属する秘密鍵ζＴについてトランスポンダが知っていれば、トランスポンダ３はこのような有効な応答Ｒを単に計算して返信することができる。
【００６９】
トランスポンダのプライバシー保護：
トランスポンダ３に相応する通信システム１に所属する基地局２だけが、すなわち有効な証明書Ｚを送信し、証明書Ｚ内の公開鍵ｘＲと同時に適合する秘密鍵ζＲを有する基地局２だけが、ここではトランスポンダ３から返信されたデータＡを解読することができ、これを解釈することができる。他のすべての基地局２には、トランスポンダ３のデータはランダムである。このようにしてそれぞれのトランスポンダ３のデータ保護（データプライバシー）が得られる。
【００７０】
付加的に基地局２からトランスポンダ３への各問い合わせＣの際に新たなランダム鍵Ｋが選択される。したがってトランスポンダ３から返信されたデータＡは、基地局２の各問い合わせの際に、繰り返し同じ問い合わせが行われたにしても異なっている。この場合不当なユーザは、その度に異なる問い合わせデータと応答データを識別しなければならないことになり、したがってこの問い合わせデータと、異なる時点で１つの同じトランスポンダ３から基地局に送信される相応する応答データとを結び付けることはできないであろう。このことにより不所望のいわゆるトラッキング（ロケーションプライバシー）に対する最大のセキュリティが可能である。
【００７１】
フォワードセキュア：
認証プロトコルが再度実行される際（インスタンス）に、トランスポンダ３は鍵Ｋを新たにランダムに選択し、自分の証明書Ｚ′、ならびにトランスポンダ側の秘密鍵ζＴに依存する相応の応答Ｒをこれにより暗号化するから、不当なユーザはこの認証プロトコルの記録されたインスタンスをそれぞれのトランスポンダ３に前もって割り当てることはできない。このために不当なユーザはそれぞれの鍵Ｋを知らなければならない。しかしこの鍵は認証プロトコルの各インスタンス後にトランスポンダ３により破棄され、トランスポンダ３自体には記憶されない。不当なユーザが例えばトランスポンダ３を分解して分析することにより知ることのできる唯一の秘密は秘密鍵ζＴである。しかしこの秘密鍵ζＴは、鍵Ｋには何の影響も及ぼさない。不当なユーザがこの秘密鍵ζＴを知ることになれば、トランスポンダの認証が不可能となる。したがって、基地局２とのデータ通信をこのトランスポンダ３は継続することができなくなる。これは認証方法全体のさらなる保護である。
【００７２】
したがい全体として、認証に関しても、フォワードセキュアおよびデータ保護（プライバシー保護）に関してもデータ通信の最大のセキュリティが比較的小さな手段で可能である。
【００７３】
以下、楕円曲線に基づく本発明の認証方法の例を、図５のフローチャートで説明する。
【００７４】
認証のためには、通信システム１、基地局２およびトランスポンダ３に対して次のパラメータが設定される。
【００７５】
システムパラメータとして、すなわち通信システム全体と認証全体に適用されるパラメータとして、次のパラメータが設定される。
・適切な楕円曲線が設定される。
・ｘｐは、原点Ｐのアフィンｘ座標である。
・ｘｓは、署名認証のための公開鍵である。
【００７６】
基地局２だけに対して次のパラメータが適用される。
・ζＲは、基地局側の秘密鍵である。
・ｘＲ、ｒＲ、ｓＲは証明書Ｚを表し、ここでｘＲは公開鍵（点Ｒ＝ζＲ＊Ｐのアフィンｘ座標）を、ｒＲ、ｓＲは公開鍵ｘＳにより検証することのできるｘＲのＥＣＧＤＳＡ署名を表す。
【００７７】
トランスポンダ３に対してだけ次のパラメータが設けられる。
・ζＴは、トランスポンダ側の秘密鍵である。
・ｘＴ、ｒＴ、ｓＴは証明書Ｚ′を表し、ここでｘＴは公開鍵（点Ｔ＝ζＴ＊Ｐのアフィンｘ座標）を、ｒＴ、ｓＴは公開鍵ｘＳにより検証することのできるｘＴの署名を表す。
【００７８】
図５に示された例としての認証方法は次のように実行される。
【００７９】
図５に示された本発明の認証プロトコルのステップ１）から４）で基地局は問い合わせＣ＝ｘｉを形成する。この問い合わせｘｉは、ランダムなスカラーに対する点Ｐ１＝ｒ１＊Ｐのｘ座標である。基地局２はこの問い合せｘｉ、ならびに基地局２の公開鍵ｘＲおよび署名成分ｒＲ、ｓＲからなる基地局３の証明書Ｚ＝［ｘＲ、ｒＲ、ｓＲ］をトランスポンダ３に送信する。
【００８０】
ステップ５）では署名検査が行われる。署名検査では、トランスポンダ３が基地局２の証明書Ｚの有効性を検査する。鍵ｘＲは基地局３により、証明書Ｚが有効であれば真正であると見なされる。署名検査は例えば「ローコスト証明アルゴリズム」により実行することができる。これについては例えばドイツ特許願ＤＥ １０１ ６１ １３７ Ａ１に記載されている。この刊行物を、署名検査方法に関して本願の内容に取り入れる。
【００８１】
この署名検査では、３つのスカラー乗算（ＸＡ， ＺＡ） ← ＭｏｎＭｕｌ（ｒＲ， ｒＲ） ， （ＸＢ， ＺＢ） ← ＭｏｎＭｕｌ ｓＲ， ｘｓ） ， （Ｘｃ， Ｚｃ） ← ＭｏｎＭｕｌ （ｘＲ， ｘＰ）が実行される。次式が成立するときだけ
【数２】
証明書Ｚは有効として検証される。したがってこの式（２）は、ガロア域ＧＦ（２ｄ）における非常に簡単な１１の乗算により評価することができる。
【００８２】
証明書Ｚが有効と見なされない場合に対しては、トランスポンダ３が証明書Ｚを送信する基地局２を、真正ではない、すなわち無効であるとして拒絶する。これらの場合にはさらなるデータ通信は行われない。
【００８３】
ステップ６）では応答計算が行われる。ここでトランスポンダ３は問い合わせｘ１に対して相応の応答を計算する。この応答は、点Ｐ２ ＝ ζＴ＊Ｐ１ ＝ ζＴ＊（ｒ１＊Ｐ）の投影ｘ座標を表す。
【００８４】
続いてステップ７）から１０）でトランスポンダ３ではランダム化された鍵が形成される。トランスポンダ３は対称鍵Ｋ＝Ｘ３を形成し、この鍵は点Ｐ３＝ｒ２＊Ｒ＝ｒ２＊（ζＲ＊Ｐ）の投影ｘ座標を表す。ここでｒ２はランダムなスカラーである。点Ｐ４の投影ｘ座標（Ｘ４， Ｚ４）および成分Ｚ３は、基地局２が対称鍵Ｋを計算するために用いられる。
【００８５】
ステップ１１）および１２）では、トランスポンダ３が応答（Ｘ２， Ｚ２）を自分の証明書Ｚ′とともに暗号化する。ここで証明書Ｚ′は、トランスポンダ３の公開鍵ＸＴと署名成分ｒＴおよびｓＴからなる。ステップ１１）ではまずデータ（ｘ２， Ｚ２）と証明書Ｚ′が順次配置される。ステップ１２）では本来の暗号生成が行われる。ここでは任意の、詳細に説明しない暗号生成方法を使用することができる。
【００８６】
暗号化された応答情報Ｃ′を得るために、例えば対称暗号法が使用される。対称暗号生成のための装置はリニアシフトレジスタに基づくことができ、このリニアシフトレジスタはトランスポンダ３のＧＦ（２ｄ）計算部にすでに組み込まれている。わずかな付加的ハードウエアコストにより、このシフトレジスタで暗号化を行うことができる。
【００８７】
ステップ１１）と１２）の変形では、トランスポンダ３が鍵Ｋ＝ｘ３＝Ｘ３／Ｚ３とｘ４＝Ｘ４／Ｚ４を計算し、Ｚ３， Ｘ４， Ｚ４の代わりに値ｘ４だけを伝送する。ただしこれは、ＧＦ（２ｄ）のトランスポンダ３上で反転でき、ｄビット長の値の伝送が反転よりも長く掛かる場合である。
【００８８】
続いてステップ１３）で、暗号化された応答情報Ｃ′がデータ（Ｘ４，Ｚ４）、Ｚ３とともに基地局２に返信される。この応答情報Ｃ′は使用データを含んでいるが、データ（Ｘ４，Ｚ４）、Ｚ３はランダム化されたメッセージに所属する付加的成分である。
【００８９】
ステップ１４）から１６）では、基地局２で対称鍵ＫがデータＺ３，Ｘ４，Ｚ４から計算される。ここで重要なことは、秘密鍵ζＲを知る基地局２だけが、Ｚ３，Ｘ４，Ｚ４からそれぞれの対称鍵Ｋを得ることができることである。
【００９０】
上記の変形実施例では、基地局が鍵をＫ＝Ｘ５／Ｚ５により計算する。
【００９１】
ステップ１７）で基地局２は、トランスポンダ３の応答（Ｘ２，Ｚ２）と証明書ｘＴ，ｒＴ，ＳＴを解読する。例えばここでは、Ｅｌ−Ｇａｍａｌ暗号／解読法を使用することができる。この方法はいわゆる公開鍵方式であり、ランダム化して暗号化および解読するように構成されている。
【００９２】
基地局２はトランスポンダ３の証明書Ｚ′をステップ１８）で検査する。証明書Ｚ′が有効でなければ、基地局２はトランスポンダ３を真正ではないとして拒絶する。
【００９３】
変形実施例では、トランスポンダ３と基地局２が異なる署名方法ないしは異なる公開鍵をそれぞれの証明書に対して有することができる。
【００９４】
ステップ１９）〜２０）で、基地局２はトランスポンダ３の応答を検査する。基地局２は点Ｐ６＝ｒ１＊Ｔ＝ｒ１＊（ζＴ＊Ｐ）の投影ｘ座標を計算し、このとき（Ｘ２，Ｚ２）と（Ｘ６，Ｚ６）が同じ点の投影座標であり得るかを検査する。これはちょうど、Ｘ６Ｚ２＝Ｘ２Ｚ６が成り立つ場合である。この応答が正しければ、トランスポンダ３は真正である。この応答が間違っていれば、基地局２はトランスポンダ３を真正ではないとして拒絶する。
【００９５】
この有利なプロトコルによって、非常に簡単ではあっても非常に安全な認証、最大のプライバシー保護（データおよびロケーションプライバシー）が得られ、加えて最大のフォワードセキュアが提供される。
【００９６】
トランスポンダを基地局に対して、トランスポンダについての付加的なプライバシー保護を備えるとともに安全に認証する本発明の方法は、公開鍵暗号方式に基づくものであり、これによりこれまでの対称性解決手段に対して格段の利点を有する。すなわち、基地局側には、トランスポンダのための鍵を中央バックエンドデータバンクで探すために、この中央バックエンドデータバンクへのセキュアアクセスが存在しなくても良いという格段の利点を有する。したがって基地局は、システム全体で統一された秘密鍵を有する必要がない。公知の対称性解決手段では、基地局を「拐かし」、そのマスターキーを入手できたとすると、システム全体が突破され、自分で「有効な」トランスポンダを作製できることとなる。このようなことは本発明では生じ得ない。公開鍵解決手段の場合、基地局は、「有効な」トランスポンダを作製するために不当なユーザが使用することのできる鍵を有していない。
【００９７】
この非対称性変形実施例のさらに重要な利点は、種々異なる正当な基地局によるトランスポンダへの種々異なるアクセス権限を、証明書に符号化できることである。すなわち証明書には、基地局が例えば読出し権限だけを有するのか、またはトランスポンダへの書込み権限も有するのかという情報を含むことができる。
【００９８】
変形実施例として、全ての基地局が同等の権限を有している場合、各基地局に同じ秘密鍵を設け、相応してトランスポンダにはこれに所属の公開鍵を設けることができる。このことは、トランスポンダへの読出し証明書を検査する必要がない場合に有利である。これによりトランスポンダが遂行しなければならない計算コストが約半分になる。
【００９９】
上記においては本発明を有利な実施例に基づき説明したが、本発明はそれらに実施例に制限されるものではなく、種々様々に変更することができる。
【０１００】
本発明はＲＦＩＤシステムだけに制限されるものではなく、例えば個別部品識別（アイテム識別）に拡張することができる。しばしばこのような部品は一義的に識別する必要はない。ここでは、例えばエラーのある部品の存在を排除することができれば十分であることがしばしばである。これは通常、一義的識別とは称さない。この関連でトランスポンダが動作するとき、トランスポンダはセンサの機能を示す。したがって本発明は明らかに、データ担体ないしはセンサのデータを読出しおよび書込みするための通信が行われるセンサに係るものである。
【０１０１】
本発明はまた、必ずしもＲＦＩＤシステムではなく、また必ずしも無線に構成されていない任意のデータ通信システムにも関連するものである。
【０１０２】
図３と４では、分かりやすくするためにＲＦＩＤシステムの構造、とりわけトランスポンダと基地局の構造は意図的に大きく簡略化して図示されている。基地局と相応のトランスポンダは、基地局とトランスポンダとの間のデータ通信に必要な機能ユニット、例えばデモジュレータ、モジュレータ、エネルギ供給部、同期装置、デコーダ等も同様に含んでいることは自明である。
【０１０３】
図３と４では、制御装置、評価装置、および認証モジュールをそれぞれ区別した。これらの装置は、例えば制御装置の構成部分とすることも、またはこれとは別個に構成できることも自明である。同様に基地局もトランスポンダも、ただ１つの送受信装置と、所属の送受信アンテナを有することができることを述べておく。基地局および／またはトランスポンダが別個の送受信装置と、とりわけ送信アンテナとこれとは別個の受信アンテナを有することができることももちろん自明である。
【０１０４】
前記のデータ通信システムとデータ通信方法は、「Reader-talks-first」方式に基づいて記載された。もちろん、基地局がまずトランスポンダの問い合わせを待機する「Ｔag-talks-first」方式ももちろん考えられる。しかし後者の方式では応答時間が長くなる。したがって例えばＲＦＩＤで使用されるような現在の「ロングレンジ」データ通信システムでは「Reader-talks-first」方式を使用するのが有利である。
【０１０５】
図５に基づいて説明した本発明の認証方法は単なる例として理解すべきである。もちろん、そこでの個々の方法ステップおよび適用される算術演算は本発明の枠内で、例えば機能的に同じ方法ステップまたは択一的方法ステップによって変更または変形することができる。
【図１Ａ】
【図１Ｂ】
【特許請求の範囲】
【請求項１】
通信システム（１）の加入者間（２，３）での、楕円曲線に基づく非対称暗号方式を使用する認証方法であって、以下のステップを有する：
（ａ）第１の加入者（２）と少なくとも１つの第２の加入者（３）に公開鍵を提供するステップ、
ただし前記第１の加入者ないし第２の加入者はそれぞれの加入者（２，３）だけが知る秘密鍵を有しており、
（ｂ）第１の加入者（２）から送信された問い合わせを、その中に含まれており、前記第１の加入者（２）に所属する第１の証明書の有効性に関して認証するステップ、
（ｃ）前記問い合わせに所属する、第２の加入者（３）の応答を計算するステップ、
（ｄ）前記計算された応答と、前記第２の加入者（３）に所属する第２の証明書を、公開鍵を使用してランダム暗号化するステップ、
（ｅ）前記第２の加入者（３）から送信された応答を復号し、その中に含まれる第２の証明書の有効性に関して認証するステップ、
ことを特徴とする認証方法。
【請求項２】
請求項１記載の方法において、
それぞれの加入者（２，３）に所属する秘密鍵は、これに所属の公開鍵を有する、ことを特徴とする方法。
【請求項３】
請求項２記載の方法において、
前記公開鍵は第１の証明書に含まれており、第２の加入者（３）によって第１の加入者（２）の前記第１の証明書から求められる、ことを特徴とする方法。
【請求項４】
請求項１から３までのいずれか一項記載の方法において、
データ通信はチャレンジ／レスポンス法に基づいて行われ、該チャンレンジ／レスポンス法では、
第１の加入者が問い合わせを第２の加入者に送信し、該問い合わせはその中に含まれる第１の証明書の他に問い合わせ情報（チャレンジ）も含んでおり、
第２の加入者が応答を第１の加入者に返信し、該応答はその中に含まれる第２の証明書の他に応答情報（レスポンス）も含んでいる、ことを特徴とする方法。
【請求項５】
請求項４記載の方法において、
前記ステップ（ｅ）で、送信された応答をその中に含まれる応答情報に関して検査する、ことを特徴とする方法。
【請求項６】
請求項１から５までのいずれか一項記載の方法において、
前記第１の加入者（２）の問い合わせは、前記第２の加入者（３）の第２の証明書には依存しない、ことを特徴とする方法。
【請求項７】
請求項１から６までのいずれか一項記載の方法において、
通信システム（１）のシステムパラメータとして、暗号生成方法に適した楕円曲線、原点のアフィンｘ座標、および署名検査のための公開鍵を生成する、ことを特徴とする方法。
【請求項８】
請求項１から７までのいずれか一項記載の方法において、
第１の加入者（２）のパラメータとして、第１の加入者だけに既知の第１の鍵と、第１の加入者（２）の第１の証明書を生成する、ことを特徴とする方法。
【請求項９】
請求項１から８までのいずれか一項記載の方法において、
第２の加入者（３）のパラメータとして、第２の加入者だけに既知の第２の鍵と、第２の加入者（３）の第２の証明書を生成する、ことを特徴とする方法。
【請求項１０】
請求項１から９までのいずれか一項記載の方法において、
前記ステップ（ｅ）で署名検査を実行し、
該署名検査では第１の証明書の有効性を、公開鍵を使用して検査する、ことを特徴とする方法。
【請求項１１】
請求項１から１０までのいずれか一項記載の方法において、
前記ステップ（ｄ）で、対称鍵をランダムに生成し、
ランダム暗号化を、対称鍵暗号生成法を使用して行う、ことを特徴とする方法。
【請求項１２】
請求項１から１１までのいずれか一項記載の方法において、
前記ステップ（ｄ）で、計算された応答と第２の証明書を、ランダム暗号化の前に連鎖によって順次配置する、ことを特徴とする方法。
【請求項１３】
請求項１１記載の方法において、
前記ステップ（ｅ）で第１の加入者（２）は対称鍵を、第２の加入者（３）から送信された情報に基づき第１の鍵を使用して計算する、ことを特徴とする方法。
【請求項１４】
請求項１３記載の方法において、
前記ステップ（ｅ）で第１の加入者（２）は、計算された応答および第２の加入者（３）の第２の証明書を、計算された対称鍵を使用して解読する、ことを特徴とする方法。
【請求項１５】
請求項１３または１４項記載の方法において、
前記ステップ（ｅ）で、第２の加入者（３）の第２の証明書および計算された応答を、それらの真正に関して検査する、ことを特徴とする方法。
【請求項１６】
請求項１から１５までのいずれか一項記載の方法において、
暗号生成アルゴリズムは、適切な楕円曲線上でのスカラー乗算に基づいて実現される、ことを特徴とする方法。
【請求項１７】
請求項１６記載の方法において、
スカラー乗算はモンゴメリーアルゴリズムによって実現される、ことを特徴とする方法。
【請求項１８】
請求項１６または１７項記載の方法において、
スカラー乗算はシフトレジスタによって実行され、
該シフトレジスタはクロック毎に乗算ステップおよび／または加算ステップを実行する、ことを特徴とする方法。
【請求項１９】
請求項１から１８までのいずれか一項記載の認証方法による、楕円曲線に基づく非対称暗号生成アルゴリズムを使用した両側認証のための通信システム（１）。
【請求項２０】
請求項１９記載のシステムにおいて、
第１の加入者（２）と少なくとも１つの第２の加入者（３）が設けられており、
前記第１と第２の加入者は相互にデータ通信接続（４）しており、
前記第１と第２の加入者（２，３）は、両側認証のためにそれぞれ認証モジュール（１６，１８）を有する、ことを特徴とするシステム。
【請求項２１】
請求項２０記載のシステムにおいて、
それぞれの加入者（２，３）の認証モジュール（１６，１７）は計算装置を有し、
該計算装置は、それぞれの認証モジュール（１６，１７）内での計算、検査および認証のために設けられている、ことを特徴とするシステム。
【請求項２２】
請求項２０または２１項記載のシステムにおいて、
それぞれの加入者（２，３）の認証モジュール（１７，１８）は暗号化／解読装置を有し、
該暗号化／解読装置は、それぞれの暗号化および／または解読のために設けられている、ことを特徴とするシステム。
【請求項２３】
請求項１９から２２までのいずれか一項記載のシステムにおいて、
各加入者（２，３）はメモリ（１８，１９）を有し、
該メモリには、システムパラメータならびに当該加入者（２，３）に所属するそれぞれのパラメータがファイルされている、ことを特徴とするシステム。
【請求項２４】
請求項１９から２３までのいずれか一項記載のシステムにおいて、
前記第１と第２の加入者（２，３）は、通信システム（１）、とりわけＲＦＩＤシステムとして構成された通信システム（１）の通信加入者である、ことを特徴とするシステム。
【請求項２５】
請求項１９から２４までのいずれか一項記載のシステムにおいて、
前記第１の加入者（２）は基地局（２）であり、前記第２の加入者（３）はトランスポンダ（３）、とりわけパッシブまたはセミパッシブ型のトランスポンダ（３）である、ことを特徴とするシステム。
【請求項１】
通信システム（１）の加入者間（２，３）での、楕円曲線に基づく非対称暗号方式を使用する認証方法であって、以下のステップを有する：
（ａ）第１の加入者（２）と少なくとも１つの第２の加入者（３）に公開鍵を提供するステップ、
ただし前記第１の加入者ないし第２の加入者はそれぞれの加入者（２，３）だけが知る秘密鍵を有しており、
（ｂ）第１の加入者（２）から送信された問い合わせを、その中に含まれており、前記第１の加入者（２）に所属する第１の証明書の有効性に関して認証するステップ、
（ｃ）前記問い合わせに所属する、第２の加入者（３）の応答を計算するステップ、
（ｄ）前記計算された応答と、前記第２の加入者（３）に所属する第２の証明書を、公開鍵を使用してランダム暗号化するステップ、
（ｅ）前記第２の加入者（３）から送信された応答を復号し、その中に含まれる第２の証明書の有効性に関して認証するステップ、
ことを特徴とする認証方法。
【請求項２】
請求項１記載の方法において、
それぞれの加入者（２，３）に所属する秘密鍵は、これに所属の公開鍵を有する、ことを特徴とする方法。
【請求項３】
請求項２記載の方法において、
前記公開鍵は第１の証明書に含まれており、第２の加入者（３）によって第１の加入者（２）の前記第１の証明書から求められる、ことを特徴とする方法。
【請求項４】
請求項１から３までのいずれか一項記載の方法において、
データ通信はチャレンジ／レスポンス法に基づいて行われ、該チャンレンジ／レスポンス法では、
第１の加入者が問い合わせを第２の加入者に送信し、該問い合わせはその中に含まれる第１の証明書の他に問い合わせ情報（チャレンジ）も含んでおり、
第２の加入者が応答を第１の加入者に返信し、該応答はその中に含まれる第２の証明書の他に応答情報（レスポンス）も含んでいる、ことを特徴とする方法。
【請求項５】
請求項４記載の方法において、
前記ステップ（ｅ）で、送信された応答をその中に含まれる応答情報に関して検査する、ことを特徴とする方法。
【請求項６】
請求項１から５までのいずれか一項記載の方法において、
前記第１の加入者（２）の問い合わせは、前記第２の加入者（３）の第２の証明書には依存しない、ことを特徴とする方法。
【請求項７】
請求項１から６までのいずれか一項記載の方法において、
通信システム（１）のシステムパラメータとして、暗号生成方法に適した楕円曲線、原点のアフィンｘ座標、および署名検査のための公開鍵を生成する、ことを特徴とする方法。
【請求項８】
請求項１から７までのいずれか一項記載の方法において、
第１の加入者（２）のパラメータとして、第１の加入者だけに既知の第１の鍵と、第１の加入者（２）の第１の証明書を生成する、ことを特徴とする方法。
【請求項９】
請求項１から８までのいずれか一項記載の方法において、
第２の加入者（３）のパラメータとして、第２の加入者だけに既知の第２の鍵と、第２の加入者（３）の第２の証明書を生成する、ことを特徴とする方法。
【請求項１０】
請求項１から９までのいずれか一項記載の方法において、
前記ステップ（ｅ）で署名検査を実行し、
該署名検査では第１の証明書の有効性を、公開鍵を使用して検査する、ことを特徴とする方法。
【請求項１１】
請求項１から１０までのいずれか一項記載の方法において、
前記ステップ（ｄ）で、対称鍵をランダムに生成し、
ランダム暗号化を、対称鍵暗号生成法を使用して行う、ことを特徴とする方法。
【請求項１２】
請求項１から１１までのいずれか一項記載の方法において、
前記ステップ（ｄ）で、計算された応答と第２の証明書を、ランダム暗号化の前に連鎖によって順次配置する、ことを特徴とする方法。
【請求項１３】
請求項１１記載の方法において、
前記ステップ（ｅ）で第１の加入者（２）は対称鍵を、第２の加入者（３）から送信された情報に基づき第１の鍵を使用して計算する、ことを特徴とする方法。
【請求項１４】
請求項１３記載の方法において、
前記ステップ（ｅ）で第１の加入者（２）は、計算された応答および第２の加入者（３）の第２の証明書を、計算された対称鍵を使用して解読する、ことを特徴とする方法。
【請求項１５】
請求項１３または１４項記載の方法において、
前記ステップ（ｅ）で、第２の加入者（３）の第２の証明書および計算された応答を、それらの真正に関して検査する、ことを特徴とする方法。
【請求項１６】
請求項１から１５までのいずれか一項記載の方法において、
暗号生成アルゴリズムは、適切な楕円曲線上でのスカラー乗算に基づいて実現される、ことを特徴とする方法。
【請求項１７】
請求項１６記載の方法において、
スカラー乗算はモンゴメリーアルゴリズムによって実現される、ことを特徴とする方法。
【請求項１８】
請求項１６または１７項記載の方法において、
スカラー乗算はシフトレジスタによって実行され、
該シフトレジスタはクロック毎に乗算ステップおよび／または加算ステップを実行する、ことを特徴とする方法。
【請求項１９】
請求項１から１８までのいずれか一項記載の認証方法による、楕円曲線に基づく非対称暗号生成アルゴリズムを使用した両側認証のための通信システム（１）。
【請求項２０】
請求項１９記載のシステムにおいて、
第１の加入者（２）と少なくとも１つの第２の加入者（３）が設けられており、
前記第１と第２の加入者は相互にデータ通信接続（４）しており、
前記第１と第２の加入者（２，３）は、両側認証のためにそれぞれ認証モジュール（１６，１８）を有する、ことを特徴とするシステム。
【請求項２１】
請求項２０記載のシステムにおいて、
それぞれの加入者（２，３）の認証モジュール（１６，１７）は計算装置を有し、
該計算装置は、それぞれの認証モジュール（１６，１７）内での計算、検査および認証のために設けられている、ことを特徴とするシステム。
【請求項２２】
請求項２０または２１項記載のシステムにおいて、
それぞれの加入者（２，３）の認証モジュール（１７，１８）は暗号化／解読装置を有し、
該暗号化／解読装置は、それぞれの暗号化および／または解読のために設けられている、ことを特徴とするシステム。
【請求項２３】
請求項１９から２２までのいずれか一項記載のシステムにおいて、
各加入者（２，３）はメモリ（１８，１９）を有し、
該メモリには、システムパラメータならびに当該加入者（２，３）に所属するそれぞれのパラメータがファイルされている、ことを特徴とするシステム。
【請求項２４】
請求項１９から２３までのいずれか一項記載のシステムにおいて、
前記第１と第２の加入者（２，３）は、通信システム（１）、とりわけＲＦＩＤシステムとして構成された通信システム（１）の通信加入者である、ことを特徴とするシステム。
【請求項２５】
請求項１９から２４までのいずれか一項記載のシステムにおいて、
前記第１の加入者（２）は基地局（２）であり、前記第２の加入者（３）はトランスポンダ（３）、とりわけパッシブまたはセミパッシブ型のトランスポンダ（３）である、ことを特徴とするシステム。
【図２】
【図３】
【図４】
【図５】
【図３】
【図４】
【図５】
【公表番号】特表２０１０−５０５３１５（Ｐ２０１０−５０５３１５Ａ）
【公表日】平成２２年２月１８日（２０１０．２．１８）
【国際特許分類】
【出願番号】特願２００９−５２９６９７（Ｐ２００９−５２９６９７）
【出願日】平成１９年９月２６日（２００７．９．２６）
【国際出願番号】ＰＣＴ／ＥＰ２００７／０６０２２１
【国際公開番号】ＷＯ２００８／０３７７４２
【国際公開日】平成２０年４月３日（２００８．４．３）
【出願人】（３９００３９４１３）シーメンス アクチエンゲゼルシヤフト (2,104)
【氏名又は名称原語表記】Ｓｉｅｍｅｎｓ Ａｋｔｉｅｎｇｅｓｅｌｌｓｃｈａｆｔ
【住所又は居所原語表記】Ｗｉｔｔｅｌｓｂａｃｈｅｒｐｌａｔｚ ２， Ｄ−８０３３３ Ｍｕｅｎｃｈｅｎ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
【公表日】平成２２年２月１８日（２０１０．２．１８）
【国際特許分類】
【出願日】平成１９年９月２６日（２００７．９．２６）
【国際出願番号】ＰＣＴ／ＥＰ２００７／０６０２２１
【国際公開番号】ＷＯ２００８／０３７７４２
【国際公開日】平成２０年４月３日（２００８．４．３）
【出願人】（３９００３９４１３）シーメンス アクチエンゲゼルシヤフト (2,104)
【氏名又は名称原語表記】Ｓｉｅｍｅｎｓ Ａｋｔｉｅｎｇｅｓｅｌｌｓｃｈａｆｔ
【住所又は居所原語表記】Ｗｉｔｔｅｌｓｂａｃｈｅｒｐｌａｔｚ ２， Ｄ−８０３３３ Ｍｕｅｎｃｈｅｎ， Ｇｅｒｍａｎｙ
【Ｆターム（参考）】
[ Back to top ]