電子タグの認証

【課題】電子タグの認証を該タグに読取器を介して接続されるホストにより行う方法とシステムを提供する。
【解決手段】タグの側で、第１のディジタル署名を、該タグと前記読取器で共有する少なくともひとつの第１関数を使用して、該タグと前記読取器のみで知られる少なくともひとつの第１秘密キーを考慮して計算し、該第１の署名を前記読取器に送信し、読取器の側で、第２のディジタル署名を、前記第１関数とは異なる読取器とホストで共有する少なくともひとつの第２関数を使用して、前記第１署名を考慮して計算し、該第２署名を前記ホストに送信し、ホストの側で、前記第２署名と、前記第２関数と前記ホストと、前記タグ及び前記読取器から選択される単一の素子により共有される第２秘密キーから計算される確認値との一致をチェックする。

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は離れた素子（例えば任意の製品に付着される電子タグ）により支持される集積回路の認証のシステムに関する。本発明は特に認証のために３つの別の素子、つまり、認証される集積回路、回路に含まれる情報の読取器、及び読取器と通信するホスト、を必要とするシステムに関する。
【０００２】
【従来の技術】
本発明の応用の例は消費材の分配システムの無線周波数タグによるマークに関する。例えばコーヒーマシンの再充填又はプリンタカートリッジである。このとき、製造者により認可されたカートリッジのみが所定のプリンタで使われることを保証するために、認証が行われる。このような応用では、認証対象の集積回路は、電磁トランスポンダのような読取器と無接触で無線で通信できる電子タグの形態のプリンタカートリッジにより支持される。読取器は別の型の接続手段例えばＩ２Ｃ型のような電子インターフェースでホストに接続される。
【０００３】
以後、「応用」はタグが認証されたときにシステム（例えばプリンタ）で実施される全てのタスクを指すものとする。
【０００４】
正しく動作する応用のために、電子タグは事前に認証されてタグを支持する製品（例えばカートリッジ又は再充填）が認可された製品であることを確認する（例えばタグによりマークされた商品が偽物と置換されていないことを確認する）。
【０００５】
ホスト（マイクロコントローラ，離れたところのコンピュータ、又は他の適応電子システム）の機能は応用を制御すること、つまり、検出（例えばプリンタのブロック、又は非認証の場合のコーヒーマシンのブロック）につづく認証プログラム及び適切な動作である。これらの分野で、ホストは好ましくは自動販売機又はプリンタを具備するマイクロコントローラである。しかし、電話線又は専用線で異なる読取器と通信する離れたホストであってもよい。
【０００６】
ホストと読取器の間の通信はアクセス可能な広く普及したプロトコルに基礎をおき、応用コントローラを有する同じホストの異なる読取器の使用を可能とする。しかし、このことは、特にホストが読取器から離れていると（同じ装置の中でわずかに離れているときでも）、セキュリティの点で問題が発生する。応用を正しく実行させるタグの認証の最終決定はホストによる。
【０００７】
従来の認証システムは暗号アルゴリズムを使用して、特別の秘密キーにより電子タグを認証する。例えばＤＥＳ型（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）のアルゴリズムが使用される。
【０００８】
この暗号アルゴリズムの欠点は電子タグが高性能の計算手段、例えばマイクロプロセサを有する必要があることにある。この計算手段によるコストは、タグの寿命が短いので電子タグのコストを最少化しなければならない消費材や再充填に対するこの種のシステムの適応を困難にしている。
【０００９】
【発明が解決しようとする課題】
認証対象の集積回路とその読取器の間で無線周波数伝送を行う特別の場合について以下に記述する。しかし、３つの異なる素子（認証対象の電子タグ、読取器及びホスト）を有し、読取器とホストの間の通信が、タグと読取器の間の通信とは異なる手段で実行されるような任意のシステムに一般に適用可能である。
【００１０】
本発明の目的は、認証対象の装置と、該装置の読取器と、装置の認証に従って応用の実行を制御するホストとを有するシステムにおける電子装置の認証のための新規な方法とシステムを提供することにある。
【００１１】
本発明は、特に、サイズとコストが小さく、マイクロプロセサの不要な電子タグに適応する解決を提供する。
【００１２】
本発明はさらに読取器とホストの間の通信を侵入者からの保護のないリンクで実行して認証を可能とすることを目的とする。
【００１３】
第１の側面によると、全ての電子タグは同じ型のタグのための同じ秘密キーを有する。
【００１４】
第２の側面によると、本発明は秘密キーを各電子タグのレベルで個別化する。
【００１５】
【課題を解決するための手段】
これらの目的を達成するための本発明の特徴は、
電子タグの認証を、読取器を介して該タグと通信するホストにより行う認証方法において、
タグの側で、第１のディジタル署名を、該タグと前記読取器で共有する少なくともひとつの第１関数（ｆ）を使用して、該タグと前記読取器のみで知られる少なくともひとつの第１秘密キーを考慮して計算し、該第１の署名を前記読取器に送信し、
読取器の側で、第２のディジタル署名を、前記第１関数とは異なる読取器とホストで共有する少なくともひとつの第２関数（ｇ）を使用して、前記第１署名を考慮して計算し、該第２署名を前記ホストに送信し、
ホストの側で、前記第２署名と、前記第２関数（ｇ）と前記ホストと、前記タグ及び前記読取器から選択される単一の素子により共有される第２秘密キーから計算される確認値（ＶＡＬ）との一致をチェックする認証方法にある。
【００１６】
本発明の実施例によると、前記第２秘密キーは前記読取器と前記ホストのみで知られ、この第２キーは前記読取器により、前記ホストに送られる第２署名（ＳＩＧＮ）の計算で使用される。
【００１７】
本発明の実施例によると、前記第２秘密キーは前記タグと前記ホストのみで知られ、前記ホストでの最初の使用のときに前記タグに保存される。
【００１８】
本発明の実施例によると、前記読取器と前記ホストのみで知られる第３のキーを使用して、第２署名と確認値の計算をする。
【００１９】
本発明の実施例によると、タグからホストに送るデータを抜き取り、該データを読取器を介してホストに送り、該データホスト側と読取器側に保存し、
ホストの側で、ランダム又は擬似ランダム数を発生して読取器を介してタグに送り、このランダム数をホストと読取器とタグに保存し、
タグの側で、前記数、前記データ及び前記第１秘密キーをオペランドとして前記第１関数（ｆ）の適用により中間署名を計算し、
読取器の側で、前記数、前記データ及び前記第１秘密キーをオペランドとして前記第１関数（ｆ）の適用により中間値を計算する。
【００２０】
本発明の実施例によると、前記第２秘密キーは読取器とホストのみで知られ、該第２秘密キーは、読取器の側で、ホストに送られる第２署名の計算に用いられ、前記中間値は前記第１署名を形成し、読取器の側で、
前記第１署名と前記読取器で計算される前記中間値を比較し、
前記第２署名を、前記数、前記データ、前記第２秘密キー及び前記比較の結果を考慮して計算する。
【００２１】
本発明の実施例によると前記第２署名の計算は、前記比較の結果に従って前記第２関数（ｇ）又は第３関数（ｈ）を使用する。
【００２２】
本発明の実施例によると、前記第２署名の計算は、前記数、前記データ、前記第２秘密キー及び前記比較の結果をオペランドとして前記第２関数（ｇ）を使用して計算する。
【００２３】
本発明の実施例によると、電子タグの側で、前記中間署名と前記第２秘密キー（Ｋ２）のＸＯＲ型の第１の組合せを計算して、前記読取器（３）に送る前記第１署名を得、
読取器の側で、
受信した第１署名と前記中間値のＸＯＲ型の第２の組合せを計算し、
前記第２署名を、前記第２の組合せの結果と前記数（ＡＬＥＡ）と前記データとをオペランドとして前記第２関数（ｇ）を適用して計算する。
【００２４】
本発明の実施例によると、前記第２関数（ｇ）は、読取器とホストに共通の擬似ランダム数の発生の関数である。
【００２５】
本発明の実施例によると、前記擬似ランダム発生関数は、種として、前記データと前記数と、読取器の側ではＸＯＲ型の第２の組合せ、ホストの側では前記第２秘密キーを使用する。
【００２６】
本発明の実施例によると、前記電子タグは電磁トランスポンダである。
【００２７】
本発明は、又、集積回路と、第１秘密キーの保存と第１アルゴリズム関数を実行する手段とを有する電子タグを提供する。
【００２８】
本発明は、又、電子タグ読取器を提供する。
【００２９】
本発明の実施例によると、読取器は前記第２署名を提供することができる擬似ランダム発生器を有する。
【００３０】
本発明はさらに電子タグの認証のためのマイクロコントローラを提供する。
【００３１】
本発明の実施例によると、該マイクロコントローラは前記確認値を提供することができる擬似ランダム発生器を有する。
【００３２】
【発明の実施の形態】
同じ素子と方法ステップは異なる図で同じ符号で示される。明瞭化のために、発明の理解に必要な方法ステップと素子のみが図示され記述される。特に、タグの集積回路と読取器の間の通信及び読取器とホストの間の通信の実際の伝送の実行については詳述はない。本発明は本発明で実行されるデータと情報を運ぶための伝送プロトコルにかかわらず適用することができる。
【００３３】
図１は本発明をその第１の側面に従って適用するシステムのブロック図である。電子タグ１（ＴＡＧ）は例えば電磁トランスポンダのファミリに属し、認証対象の製品（図示なし）に搭載される。電磁トランスポンダ型のタグの場合には、タグは無接触で無線で（無線周波数リンク２）、読取器３（ＲＥＡＤＥＲ）又は無線周波数カップラと通信することができる。該読取器の通常の機能は、電子タグが認証されたときに応用を実行するホスト４と電子タグ１の間の電子インターフェースとして使用されることである。読取器又はカップラ３は、ホスト４と、例えば、有線接続５により通信する。
【００３４】
プリンタのインクカートリッジへの応用の例では、タグ１は集積回路チップで構成され、カートリッジに付着（例えば接着）又はインクカートリッジパッケージの中に含まれる。読取器３はプリンタを装着する無線周波数カップラで、ホスト４で形成されるマイクロプロセサと通信する。ホスト４は、例えば、プリンタ制御回路の中に含まれるか、又は、該プリンタが接続されるコンピュータの中に置かれる。
【００３５】
カートリッジの認証は、プリンタに任意のカートリッジを受け入れさせる結果となる接続５への侵入を防止するために使用される。本発明によると、認証フェーズがタグ１と読取器３の間で設けられ、この認証はホスト４に伝送される。
【００３６】
本発明によると、読取器３からホスト４への認証の伝送は図２で説明する安全な手続きで行われる。
【００３７】
本発明を実施するために、図１と図２に示す第１の側面によると、電子タグ１と読取器３は両者で知られる秘密キーＫＳを具備するか又は集積化している。この第１の側面によると、読取器３はこの型のタグ１（例えばプリンタカートリッジ型）に専用である。
【００３８】
図１に示すように、タグ１と読取器３は、図２で示すような、共通の暗号関数ｆを有する。
【００３９】
読取器３とマイクロコントローラ４の各々は共通のキーＫ１と暗号関数ｇを有する。この実施例では読取器３はさらに非認証符号関数ｈを含む。
【００４０】
本発明の特徴は、読取器３とホスト４の間の通信で、読取器３による認証が正か否かに従って、符号化又は暗号化関数を区別することにある。従って、認証が正であるときはホスト４へ、伝送し、認証がないときは何も伝送しないということ以上のものがある。常に何かが送信されるが、ホスト４は正の認証か否かを解釈する。
【００４１】
図１で関数の相違（ｇとｈ）で示されるものは、図２で説明するように、同じ結果のデータを符号化する関数の区別、又は認証結果に従って２つの異なるデータを符号化する同じ関数として理解されるべきである。
【００４２】
読取器３とホスト４の間の通信はタグ１と読取器３との間と通信と独立である。ホスト４は、読取器とタグが共有するキーＫＳとこれら２つの要素の間の通信で実施される暗号関数ｆの両方を無視する。
【００４３】
図２は本発明の第１側面の実行モードのフローチャートである。図２でフローチャートの方法ステップは、実行がタグで行われるか、読取器で行われるか、ホストで行われるかに従って、３つの列に分かれる。
【００４４】
本発明による認証方法の第１ステップ（ブロック１０，ＧＥＮ（ＤＡＴＡ））は、電子タグ（ＴＡＧ）により、認証のために伝送されるデータメッセージ（ＤＡＴＡ）を発生する。メッセージＤＡＴＡは、例えば、電子タグ（例えばインクカートリッジのシリアル番号、及び／又は型）を搭載する製品の識別子を含む。電子タグによるこの識別子の発生は、例えばそして通常、タグが読取器３のフィールドに入ったときにタグの供給によって行われる。電磁トランスポンダ型のタグの動作は完全に周知である。簡単には、タグの集積回路の供給により（又は読取器による特別の制御信号の受信）、リモートサプライキャリアのバック変調により、メッセージＤＡＴＡの伝送が行われる。
【００４５】
トランスポンダ型に適応するバック変調を有する読取器は、データを受け取ると、送信されたメッセージを保存する（ブロック１１，ＭＥＭ（ＤＡＴＡ））。さらに、読取器はデータをホスト４に送り、ホスト４はそれを保存する（ブロック１２，ＭＥＭ（ＤＡＴＡ））。
【００４６】
上述の伝送は正当な認証を構成せず、電子タグの識別子のホスト（ＨＯＳＴ）への伝送のみである。応用を実行させる前に、ホストはタグが認証製品に属することを確認しなければならない。従って、実際の認証手続きが始まる。
【００４７】
本発明によると、ホストはランダム又は擬似ランダム数ＡＬＥＡを発生し（ブロック１３，ＧＥＮ（ＡＬＥＡ））、保存して、読取器３に送る。読取器３は数ＡＬＥＡを保存し（ブロック１４，ＭＥＭ（ＡＬＥＡ））、それを電子タグ１に送る。
【００４８】
次に、タグ１の集積回路はアルゴリズム関数ｆと、オペランド変数ＡＬＥＡ，ＤＡＴＡ，ＫＳを使用して、第１の署名Ｓｔを計算する（ブロック１５，Ｓｔ＝ｆ（ＡＬＥＡ，ＤＡＴＡ，ＫＳ））。つまり、電子タグは署名Ｓｔを計算し、読取器３に送る。
【００４９】
並行して（又はタグ１から署名Ｓｔを受信した後に）、読取器３は、同じアルゴリズム関数ｆを、データＡＬＥＡ，ＤＡＴＡ，及び読取器が含むＫＳに適用して変数Ｓｒを計算する（ブロック１６，Ｓｒ＝ｆ（ＡＬＥＡ，ＤＡＴＡ，ＫＳ））。従って、タグ１と読取器３に共通の関数ｆとキーＫＳの関数が得られ、読取器によるタグの暗号化された認証が可能となる。
【００５０】
次に読取器３は計算した変数Ｓｒと電子タグから送られた署名Ｓｔとの一致テストを行う（ブロック１７，Ｓｔ＝Ｓｒ？）。
【００５１】
認証方法のこの段階で、本発明は認証結果（Ｙ又はＮ）をクリアに（つまり見えるように）ホストに送っていない。本発明によると、認証が正であるか負であるかが暗号化される。
【００５２】
図示の実施例では、読取器はテスト結果１７に従って異なる第２の署名ＳＩＧＮを計算する。テスト１７がタグ１の認証を確認（Ｙ）すると、アルゴリズム関数ｇを変数ＡＬＥＡ，ＤＡＴＡ，及びＫ１に適用して署名ＳＩＧＮを計算する（ブロック１８，ＳＩＧＮ＝ｇ（ＡＬＥＡ，ＤＡＴＡ，Ｋ１））。負の認証の場合には読取器３は関数ｈを同じ変数に適用して署名ＳＩＧＮを計算する（ブロック１９，ＳＩＧＮ＝ｈ（ＡＬＥＡ，ＤＡＴＡ，Ｋ１））。
【００５３】
このように計算された署名ＳＩＧＮは次に認証を利用するホストに送られる。ホストは、署名ＳＩＧＮの受信の前又は後に、関数ｇをホストが知っている変数ＡＬＥＡ，ＤＡＴＡ，Ｋ１に適用して確認値ＶＡＬを計算する。読取器とマイクロコントローラで知られる秘密キーＫ１と共通の関数ｇの機能がここで明らかとなる。
【００５４】
ホストは読取器から受信した署名ＳＩＧＮを自身で計算した確認値と比較する（ブロック２１，ＳＩＧＮ＝ＶＡＬ？）。このテストの結果のＹ又はＮが電子タグ１を認証するか否かとなる。
【００５５】
次に、この結果が認証に続いて通常の手続きで利用される（ブロック２２，ＡＵＴＨＥＮＴ）。これは本発明の目的ではない。
【００５６】
本発明の長所は、読取器３での正の認証又は負の認証の暗号化により、侵入者がリンク５（図１）を介する通信を傍受する利益を妨げることにある。実際、認証が正であってもなくても、彼は全ての場合のメッセージを観察する。
【００５７】
本発明の別の長所は読取器と電子タグの間での認証がホストと独立なこと、特に、認証結果を利用し応用を制御するマイクロコントローラ４から独立なことにある。
【００５８】
伝送されるデータは上述の認証方法を実施できれば、任意の種類のものでもよい。例えば、データワードＤＡＴＡはタグにリンクする固定データの部分と可変データの部分とから形成される。固定データ部分は、例えば、タグに固有の単一の数である。可変部分は、例えば、実行される応用の数をカウントする減算カウンタの結果である。この実施例は、正常な使用で、同じデータによる複数の認証が存在できないことを保証し、システムの信頼度を向上させる。
【００５９】
ホストが発生するランダム数ＡＬＥＡは、データを種として用いる擬似ランダム数としてもよい。例えば、この擬似ランダム数はデータの一部を種として用いてもよい。例えば、擬似ランダム発生器の出力の現在の状態の値をシステムのスイッチオフの時に保存して、この値を次の使用のための種として用いてもよい。しかし、理想的には、種はアナログ変数、例えば、抵抗の熱雑音から発生する。
【００６０】
図３は本発明の第２の側面による、電子タグと読取器とホストを有するシステムのブロック図である。この図は図１と対応し、図１との相違のみを説明する。
【００６１】
本発明の第２の側面によると、各電子タグ、従って識別対象の各製品に含まれるキーＫＳを個別化する。個別化のためには、例えばそして好ましくは、製品を最初に使用するときにキーを電子タグに書き込む必要がある。
【００６２】
従って、図３の実施例では、電子タグ１と読取器３が、前述の実施例と同様にキーＫＳと関数ｆを共有する。前述の実施例との相違は、読取器３とホスト４が関数ｇのみを共有することである。さらにタグ１とホスト４は第２のキーＫ２を共有する。第２のキーＫ２はホスト４と関連して最初の使用のときに電子タグに書き込まれる。
【００６３】
プリンタカートリッジへの応用の例では、新しいカートリッジを所定のプリンタに装着すると、マイクロコントローラがこのプリンタに関連して、ランダムに発生するキーＫ２をカートリッジの電子タグに提供して、この電子タグに保存される。
【００６４】
この電子タグの各回における認証では、図２で説明した方法のステップ１５の電子タグ側での中間署名Ｓｔの計算までが行われる。
【００６５】
図４は本発明の第２側面による認証方法の残りの部分を示す。タグ１の側で（ＴＡＧ）、初期データは中間署名Ｓｔ（Ｓｔ＝ｆ（ＡＬＥＡ，ＤＡＴＡ，ＫＳ））を形成している。読取器３に関しては対応する中間値Ｓｒ（Ｓｒ＝ｆ（ＡＬＥＡ，ＤＡＴＡ，ＫＳ））を計算している。
【００６６】
この第２の実施例によると、電子タグは、中間署名ＳｔとキーＫ２のＸＯＲ型組合せに対応する第１署名Ｓｔｔを計算する。
【００６７】
【数１】

【００６８】
キーＫ２で暗号化された署名Ｓｔｔは読取器３に送られる。読取器３の側では、第１署名Ｓｔｔと前に計算されている中間値ＳｒのＸＯＲ型組合せを計算する。
【００６９】
【数２】

【００７０】
タグが認証されれば（つまり、タグが正しいキーＫＳとＫ２及び正しい関数ｆを含んでいれば）、組合せＳｒｔはキーＫ２に等しい（Ｓｔ＝Ｓｒ）。読取器３は関数ｇにオペランドＡＬＥＡ，ＤＡＴＡ，Ｓｒｔを適用して、組合せＳｒｔを使用して第２の署名ＳＩＧＮを計算する（ブロック３２，ＳＩＧＮ＝ｇ（ＡＬＥＡ，ＤＡＴＡ，Ｓｒｔ））。署名ＳＩＧＮはホスト４に送られる。
【００７１】
第１の実施例との別の相違点は読取器が負の認証関数を具備しないことである（関数ｈ，図１及び図２）。認証と非認証との区別は、この実施例では、関数ｇの適用で変数Ｓｒｔを考慮することから得られる。図４の実施例で必要なこの変更は、図２の実施例でも、関数ｇのオペランドとしてブロック１７のテストの正又は負の結果を使用することにより実施できる。
【００７２】
図４の実施例に戻って、ホストは電子タグ１の認証を、読取器３から受信した署名ＳＩＧＮを、関数ｇに変数ＡＬＥＡ，ＤＡＴＡ，Ｋ２を適用して計算した（ブロック３３，ＶＡＬ＝ｇ（ＡＬＥＡ，ＤＡＴＡ，Ｋ２））確認値ＶＡＬと比較して（ブロック２１，ＳＩＧＮ＝ＶＡＬ？）チェックする。値ＳＩＧＮとＶＡＬが同じならば、電子タグが読取器３の関数ｆばかりでなく、ホスト４がタグ１の最初の使用の時に書き込んだキーＫ２をも持っていることを意味する。逆の場合には、ホスト４は認証手続きを実行しない。
【００７３】
この実施例の長所は、電子タグ１の側に、製造時にはキーＫ２を保存する必要がないことである。このことは、認証対象の製品を所定の装置による最初の使用の時に個別化することを可能とする。
【００７４】
この実施例の別の長所は、関数ｇが破られたとき、つまり事前の注意にもかかわらず侵入者に発見されてしまったとき、キーＫ２が別の装置では未知であるので、電子タグ１を搭載する製品は、別の装置（特に別のマイクロコントローラ４）で使用可能なことにある。
【００７５】
本発明の第２の側面を実施する際の制限は、組合せ関数の中でのＸＯＲ型関数の使用にある（ブロック３０，３１）。
【００７６】
もちろん、図１及び図２の実施例と、図３及び図４の実施例とを組み合わせることは可能である。この場合、変数ＳＩＧＮ（ブロック３２，図４）とＶＡＬ（ブロック３３，図４）は、読取器とホストのみに知られるキーＫ１の関数となり、このキーは第３のキーと考えることができる。
【００７７】
図５は、読取器とホストの間で関数（ｇ）を符号化つまり暗号化する、好ましい実施例を示す。図５は図１及び図３と比較され、電子タグ１、読取器３及びホスト４のブロックをあわらす。
【００７８】
この実施例によると読取器３とホスト４の各々は擬似ランダム発生器（ＰＳＥＵＤＯＲＡＮＤＧＥＮ）４０、４０’を関数ｇに対応して有する。２つの発生器４０、４０’は同じで、同じ種に対して、両者は同じ出力値を提供する。つまり２つのブロック４０、４０’の擬似ランダム発生の機能は同じである。
【００７９】
本発明によると、発生器４０、４０’は、各々、読取器３の側とホスト４の側で、変数ＳＩＧＮとＶＡＬ、つまり、ホストが読取器で実行される認証を確認することを可能とする値を提供する。
【００８０】
各擬似ランダム発生器では、認証方法で使用する異なる変数の関数である種（β，ブロック４１及び４１’）が使用される。
【００８１】
本発明によると、読取器３の側で、種βは変数ＤＡＴＡ，ＡＬＥＡ，Ｓｒｔ（又は図２の実施例では変数Ｓｒ）を考慮する。ホスト４の側で、種β’は変数ＤＡＴＡ，ＡＬＥＡ，Ｋ２（又は図２の実施例では変数Ｋ１）を考慮する。種βとβ’は、例えば、考慮される変数の連結又はより複雑な関数によって得られる。
【００８２】
本発明によると、従って、２つの擬似ランダム発生器４０と４０’は認証が正しければ同じ種で初期化される。
【００８３】
図４の実施例で、値Ｓｒｔは、負の認証の場合には、Ｋ２とは異なる。
【００８４】
図２の実施例で、読取器３で実施される認証（テスト１７）が正しくないと、発生器４０は初期化発生器４０’とは異なる変数で初期化される。この目的のために、テスト１７の２値の結果（０又は１）が種βに貢献する。ホストの側で正しい認証をあらわすために選択される値（例えば１）は種β’に貢献する。認証が正でも負でも読取器３の関数ｇは同じである。
【００８５】
このことは、全ての場合に、読取器とホストの間で正の認証と負の認証の両方を伝送することにより、認証を効果的にマスクすることを可能にする。
【００８６】
図５の実施例の長所は、簡単で安価で実施でき、侵入者に対する最適のセキュリティを提供することである。
【００８７】
認証の頻度は応用毎に異なる。例えば、プリンタに対しては、各使用毎に（各プリンタ毎に）、各スタート毎に（スイッチオン）、カートリッジ交換の各検出毎に、及び／又は周期的に、認証が行われる。飲物の機械に対しては、従来の方法で検出される製品の充填の後認証が実行される。
【００８８】
もちろん、本発明は当業者に容易な種々の変更、修飾、改良が可能である。特に、擬似ランダム発生関数、より一般的には異なる装置で実行されるアルゴリズム関数の選択は、上述の機能的記述、応用、及び利用可能な従来のアルゴリズム及び発生関数に基づいて当業者に容易である。さらに、使用されるデジタル変数の大きさ（ビット数）は、所望のセキュリティに従って、通常のとおり選択される。
【００８９】
さらに、認証結果の利用は、応用に従って、任意である。
【００９０】
さらに、読取器３及びホスト４の側で、認証プロセスは、マイクロコントローラのソフトウェア又はワイヤード論理により実行することができる。しかし、タグ１の側では、マイクロコントローラによるソフトウェアによる実施を除外しないが、好ましくは、本発明は安価なタグのワイヤード論理に適用される。
【００９１】
最後に、本発明の実施のために集積回路を有する電子タグは認証対象の製品に付加される素子（例えば詰め替え）、又はその中に含まれる（例えば製品のパッケージに含まれる）素子とすることができる。
【００９２】
上述の変更、修飾、改良は本開示の一部であり、本発明の範囲内である。従って、上述の記述は実施例であり、限定を意図しない。本発明は請求の範囲とその均等によってのみ限定される。
【図面の簡単な説明】
【図１】本発明の第１の側面による、電子タグを使用するシステムのブロック図である。
【図２】本発明の第１の側面による、実施例のフローチャートである。
【図３】本発明の第２の側面による、電子タグを使用するシステムのブロック図である。
【図４】本発明の第２の側面による、実施例のフローチャートの一部である。
【図５】本発明により好ましい認証機能を実現するシステムの実施例のブロック図である。
【符号の説明】
１タグ
３読取器
４ホスト

【特許請求の範囲】
【請求項１】
電子タグ（１）の認証を、読取器（３）を介して該タグと通信するホスト（４）により行う認証方法において、
タグ（１）の側で、第１のディジタル署名（Ｓｔ，Ｓｔｔ）を、該タグと前記読取器で共有する少なくともひとつの第１関数（ｆ）を使用して、該タグと前記読取器のみで知られる少なくともひとつの第１秘密キー（ＫＳ）を考慮して計算し、該第１の署名を前記読取器に送信し、
読取器（３）の側で、第２のディジタル署名（ＳＩＧＮ）を、前記第１関数とは異なる読取器とホストで共有する少なくともひとつの第２関数（ｇ）を使用して、前記署名を考慮して計算し、該第２署名を前記ホストに送信し、
ホスト（４）の側で、前記第２署名と、前記第２関数（ｇ）と前記ホストと、前記タグ及び前記読取器から選択される単一の素子により共有される第２秘密キー（Ｋ１，Ｋ２）から計算される確認値（ＶＡＬ）との一致をチェックすることを特徴とする認証方法。
【請求項２】
前記第２秘密キー（Ｋ１）は前記読取器（３）と前記ホスト（４）のみで知られ、この第２キーは前記読取器により、前記ホストに送られる第２署名（ＳＩＧＮ）の計算で使用される請求項１記載の認証方法。
【請求項３】
前記第２秘密キー（Ｋ２）は前記タグ（１）と前記ホスト（４）のみで知られ、前記ホストでの最初の使用のときに前記タグに保存される、請求項１記載の認証方法。
【請求項４】
前記読取器（３）と前記ホスト（４）のみで知られる第３のキー（Ｋ１）を使用して、第２署名（ＳＩＧＮ）と確認値（ＶＡＬ）の計算をする、請求項３記載の認証方法。
【請求項５】
タグ（１）からホスト（４）に送るデータ（ＤＡＴＡ）を抜き取り、該データを読取器（３）を介してホスト（４）に送り、該データホスト側と読取器側に保存し、
ホスト（４）の側で、ランダム又は擬似ランダム数（ＡＬＥＡ）を発生して読取器を介してタグ（１）に送り、このランダム数（ＡＬＥＡ）をホストと読取器とタグに保存し、
タグ（１）の側で、前記数（ＡＬＥＡ）、前記データ（ＤＡＴＡ）及び前記第１秘密キー（ＫＳ）をオペランドとして前記第１関数（ｆ）の適用により中間署名（Ｓｔ）を計算し、
読取器（３）の側で、前記数（ＡＬＥＡ）、前記データ（ＤＡＴＡ）及び前記第１秘密キー（ＫＳ）をオペランドとして前記第１関数（ｆ）の適用により中間値（Ｓｒ）を計算する、請求項１記載の認証方法。
【請求項６】
前記第２秘密キー（Ｋ１）は読取器（３）とホスト（４）のみで知られ、該第２秘密キーは、読取器の側で、ホストに送られる第２署名（ＳＩＧＮ）の計算に用いられ、前記中間値は前記第１署名（Ｓｔ）を形成し、読取器（３）の側で、
前記第１署名（Ｓｔ）と前記読取器で計算される前記中間値（Ｓｒ）を比較し、
前記第２署名（ＳＩＧＮ）を、前記数（ＡＬＥＡ）、前記データ（ＤＡＴＡ）、前記第２秘密キー（Ｋ１）及び前記比較の結果を考慮して計算する、請求項５記載の認証方法。
【請求項７】
前記第２署名（ＳＩＧＮ）の計算は、前記比較の結果に従って前記第２関数（ｇ）又は第３関数（ｈ）を使用する、請求項６記載の認証方法。
【請求項８】
前記第２署名（ＳＩＧＮ）の計算は、前記数（ＡＬＥＡ）、前記データ（ＤＡＴＡ）、前記第２秘密キー（Ｋ１）及び前記比較の結果をオペランドとして前記第２関数（ｇ）を使用して計算する、請求項６記載の認証方法。
【請求項９】
前記第２秘密キー（Ｋ２）は電子タグ（１）とホスト（４）のみで知られ、ホストでの最初の使用のときにタグに保存され、
電子タグ（１）の側で、前記中間署名（Ｓｔ）と前記第２秘密キー（Ｋ２）のＸＯＲ型の第１の組合せ（３０）を計算して、前記読取器（３）に送る前記第１署名（Ｓｔｔ）を得、
読取器（３）の側で、
受信した第１署名（Ｓｔｔ）と前記中間値（Ｓｒ）のＸＯＲ型の第２の組合せ（３１）を計算し、
前記第２署名（ＳＩＧＮ）を、前記第２の組合せの結果と前記数（ＡＬＥＡ）と前記データ（ＤＡＴＡ）とをオペランドとして前記第２関数（ｇ）を適用して計算する、請求項５記載の認証方法。
【請求項１０】
前記第２関数（ｇ）は、読取器（３）とホスト（４）に共通の擬似ランダム数の発生の関数である、請求項９記載の認証方法。
【請求項１１】
前記擬似ランダム発生関数は、種（β，β’）として、前記データ（ＤＡＴＡ）と前記数（ＡＬＥＡ）と、読取器の側ではＸＯＲ型の第２の組合せ（Ｓｒｔ）、ホストの側では前記第２秘密キー（Ｋ２）を使用する、請求項１０記載の認証方法。
【請求項１２】
前記電子タグは電磁トランスポンダである、請求項１記載の認証方法。
【請求項１３】
集積回路と第１秘密キー（ＫＳ）の保存と第１アルゴリズム関数の実行のための手段とを有する電子タグ（１）。
【請求項１４】
請求項１の方法を実行するための手段を有する、電子タグ（１）の読取器（３）。
【請求項１５】
請求項１の方法を実行することができる手段を有する、電子タグ（１）の認証のためのマイクロプロセサ（４）。

【図１】