JP4546262B2 - 認証方法 - Google Patents

Description

本発明は、一般的には、通信システムにおけるセキュリティに関するものであり、特に、グループネットワーク内のパスワードに基づく認証に関するものである。

背景
近年では、アドホックネットワークとして知られる動的グループネットワークにおける関心が高まっている、これは、同一の通信手段を使用する２つ以上のノードが存在すれば基本的には形成することができる。ネットワーク内の各ノードは、他のノードに対してパケットを発信するルータとして動作することができる、あるいはブロードキャスト通信のみが存在する。ここで、アドホックネットワークは、集中化制御機構を必要としない、また、固定のインフラストラクチャに依存することなく、とても高速に構成することができ、オンザフライで、別のネットワークとマージし、かつ分離することができる。このようなネットワークの構成の利点は、互換性のある小型で簡易な機器をノードとして使用できることである、これには、パーソナルデジタルアシスタント（ＰＤＡ）、ラップトップ及びセルラー電話が含まれる。無線通信は、通常、少なくともいくつかの機器と相互接続するために使用されるが、このネットワークには、固定及び有線のノードが含まれていても良い。

アドホックネットワークは、ローカルエリアネットワーク（ＬＡＮ）を構成することができ、これには、サーバのリソースを共有するために相互に接続されている同一の構成内のワークステーション、また、パーソナルエリアネットワーク（ＰＡＮ）として広く知られる、個人によって管理されるグループネットワークがある。ＰＡＮは、通常は、小規模の通信範囲に関連付けられていて、かつ所有者の周辺においてネットワーク化パーソナル機器（networked personal devices）を構成する。典型的なＰＡＮノードには、ＰＤＡ、プリンタ、パーソナルコンピュータ、デジタルカメラ、移動電話及びＭＰ３プレーヤがあるが、ネットワークには、例えば、冷蔵庫や掃除機のような家庭電化製品が含まれていても良い。ＰＡＮ内のアドホック通信は、様々な技術を使用することができる。例えば、ブルートゥース技術は、ＰＡＮ内の移動機器間の無線通信に対する適切なものとしてしばしば選択される。

グループネットワーク内で相互接続するパーソナル機器は、いくつかの自明な利点をもたらす。それにもかかわらず、このようなネットワークの本質においては、無許可の侵入者による攻撃にかなりさらされやすいことが存在する。これについての主な理由は、この通信はたいていは無線周波数を使用しているので、盗聴することが容易であるからである。また、ポータブル機器は、当然のことながら盗むのは簡単である。そして、対抗手段がとられていない場合、アドホック性は、ネットワークに悪意に進入する機器の高いリスクを伴う。例えば、悪意の侵入者がグループのメンバーとして扱われ、他のグループのメンバーに指示を送信して、それに記憶されているシークレット情報をアクセスすることが可能である場合の影響は計り知れない。好適に機能するセキュリティソリューションは、将来広く普及することになるＰＡＮのようなグループネットワークに対しては極めて重要である。例えば、盗まれた機器の権限を取り消すことによって、特に、信頼のないグループメンバーを排除するためのセキュアメカニズムが必要とされている。

ＰＡＮでは、通常の日常的なユーザは、グループのマネージャであり、かつユーザの便宜は、より高く優先される。例えば、ユーザ認証及びグループメンバーの取消用のメカニズムのような、ＰＡＮセキュリティメカニズムで最も望まれる特徴は、ユーザフレンドリであり、好ましくは、単純なユーザパスワードに基づいていることである。

機器向けのパスワードに基づく認証のための周知の従来の方法に従えば、パスワードの「ハッシュ値」は、機器に記憶される。パスワードが機器に入力される場合、対応するハッシュ値が決定される。この機器は、このハッシュ値とローカルに記憶されたハッシュ値とを比較する、これは、入力パスワードが正しい場合には一致するものとされる。典型的には、ユーザは、認証が成功したかどうかの指示の類を直ちに取得する。

上述の方法は、グループネットワークに適用することができ、これは、通常、簡単なネットワーク管理を達成するために、すべてのグループメンバーに対して１つの共通のパスワードを使用する。しかしながら、このソリューションは、深刻な欠点を持っている、これは、グループメンバーをハッキングするものに、ローカルに記憶されたハッシュ値を検索し、それを使用して、正規のパスワードを推測して検証することを可能にするからである。パスワードは、例えば、４桁／文字のようなかなり短くなっている傾向にあるので、自動化攻撃であらゆるパスワードを試行することがたいていは実現可能である。これは、従来よりのパスワードに基づくメカニズムの主要な問題を示すものである、即ち、パスワードは、通常は、盗まれた機器に記憶されている情報によって、「リバースエンジニアリング」することができるからである。

従って、従来の電気通信システムの認証メカニズムは満足のいくものからはかけ離れており、グループメンバーのパスワードに基づく認証に対する処理の改善がかなり必要とされている。

要約
本発明の一般的な目的は、グループネットワークに対し、改善されたセキュリティソリューションを提供することである。特別な目的は、グループメンバーのパスワードに基づく認証に対して、改善されたメカニズムを提供することである。別の目的は、グループメンバーの安全な取消を達成することである。

これらの目的は、請求項に従って達成される。

簡単に言えば、例えば、アドホックネットワーク及びＰＡＮのような、グループネットワーク内の機器のパスワードに基づく認証を実行する新規な方法が提案される。各グループメンバーには、認証トークンが提供され、これは、パスワードによって生成されるが、そのパスワードを再生成するために使用することはできず、また、パスワード推測が正しいかを検証するために使用することもできない。これは、例えば、全単射ロッキング関数を使用することによって達成され、これには、共通シークレットとパスワードの一方向関数が入力される。認証は２つの機器を伴い、その第１機器にはパスワードが入力され、第２機器に対して認証が発生する。第１機器は、その機器の識別子、パスワード及び自身が所有する認証トークンに基づいて、第２機器に対するチェックトークンを判定する。このチェックトークンは、第２機器に送信され、そこで、そのチェックトークンは、その第２機器の認証トークンと比較される。これらのトークンが照合する場合、入力パスワードは正しいものであり、認証は成功する。

好ましくは、各機器の認証トークンを除く、処理中に生成されるパスワード及びすべての有意なパラメータは、使用後に消去される。この方法では、１つの機器に含まれる情報は、パスワードの検索を許容するものではない、その結果、高いレベルのセキュリティが得られる。本発明によって提供される別の主要な効果は、認証イベント中に、パスワードは、単一の機器で一時的にさらされるだけで済むことである。

本発明の実施形態は、機器の更新を含み、また、とりわけ、未認証機器の取消、あるいはパスワードの変更に対して使用することができることである。パスワードの変更をすることなく、グループメンバーを除外することも可能であり、このことは、通常、ユーザにとって便利である。本発明の他の実施形態は、更新権の安全な委任を達成し、かつグループメンバー間の相互（双方）認証を達成する。また、認証試行の回数あるいは頻度を制限するポリシーが実現されることが好ましい、これは、特に、認証応答がユーザへ返信される場合である。

本発明の他の構成に従えば、パスワードに基づく認証を行う手段を備える通信システム及び機器と、パスワードに基づく認証に対するコンピュータプログラム製品が提供される。

詳細説明
図面全体を通して、同一の参照番号は、同様のあるいは対応する要素に対して使用される。

図１は、本発明が使用することができるグループネットワークの一例を示している。小規模ネットワーク１００が示されていて、これは、ＰＤＡ１２−１、ラップトップ１２−２及びセルラーフォン１２−３を構成していて、いわゆる無線パーソナルエリアネットワーク（ＷＰＡＮ）を形成している。ＰＡＮ内の他のパーソナル機器には、例えば、プリンタ、ＭＰ３プレーヤ、デジタルカメラ及び様々な家庭電化製品（冷蔵庫、掃除機等）が含まれる。実際には、本発明は、ＰＡＮに限定されるものではなく、アドホック形式で接続されている他のグループを含む、任意の種類にグループネットワークで使用することができる。このようなアドホックネットワークの典型的な特徴は、通信セッション中だけ、あるいは、ネットワークの一部分に近接している場合にのみ、いくつかの機器がネットワークの一部となっていることである。

本発明に従うグループネットワークは、例えば、ＰＩＮコードのような、共通のパスワードを用いる少なくとも２つのノードを含んでいる。このグループは、通常、単一のユーザによって管理されるが、２人以上のユーザ、例えば、同一家庭内の家族がパスワードを共有する場合もあり得る。ノードは、図１のように、無線接続によって相互接続することができる、これは、例えば、ブルートゥースあるいは赤外線技術を使用する、あるいはケーブル接続及び無線／有線ネットワークの組み合わせが一般的である。

図２は本発明に従うグループネットワークの一例の基本構成要素を示している。個別の識別子ＩＤ_i、ｉ＝１、．．．、４を備える４つの機器／ユニット２２を備え、かつユーザ２３によって操作されるネットワークが示されている。各機器には、グループ内のセキュア通信用の同一のグループキーＫ_Gが提供されている、これは、周知の従来の認証技術を使用する。このキーは、主として、最低限のユーザ対話で機器が通信する場合、例えば、互いに自動的に接続することを必要とする場合に使用されることを意図している。Ｋ_Gによって、機器は、同一のグループネットワークに属していることを検証することができる。また、個別のキーペアＫ_ij（不図示）、ｉ＝１、．．．、４及びｊ＝１、．．．、４が存在しても良く、これは、グループの特定の２人のメンバー間のセキュア通信を可能にする。キーＫ_G及びＫ_ijは、典型的には、セットアップ／初期ハンドシェイク処理中に機器にインストールされる。ユーザは、グループネットワークを管理するためのパスワードＰを持っている。つまり、グループのすべての機器は、同一のパスワードＰに関連付けられている。

機器間で「自動的に」発生する認証に加えて、いくつかの場合には、ユーザは、特定機器に対して自身の認証を必要とする。本発明に従うパスワードに基づくユーザ認証を達成するために、グループ内の各機器は、固有の認証トークンＲ_i（図２のｉ＝１、．．．、４）を持っている。典型的には、各認証トークンＲ_iは、対応する機器に記憶され、好ましくは、改竄を防止するように保護されているが、１つ以上のＲ_iが外部に記憶される場合もある、例えば、認証目的のために必要とされる場合に検索されるセキュアサーバに記憶される場合もある。個別の認証トークン単独では、パスワードの検索を許容せず、推量されたパスワードが正常であるかを検証する手段を提供しないように、認証トークンは割り当てられる。好ましくは、認証トークンは、パスワード上の任意の情報を少しでも明らかにするべきではない。Ｒ_iは、パスワードＰの一方向関数であり、かつトークンシークレットＳにも依存していることが好ましい、これは、パスワードＰと、認証トークンＲ_iの両方とはそれぞれ相関しない基本グループキー／シークレットである。各認証トークンＲ_iは、図７及び図８で後述する方法で、同一のトークンシークレットＳとパスワードＰから生成される。本発明の実施形態に従う、Ｒ_i、Ｓ及びＰ間の関係を、以下に簡単に説明する。

認証トークンＲ_i（ｉ＝１、２、．．．、ｎ ｎ個の装置のグループに対し）は、Ｈ_iとトークンシークレットＳのロッキング関数（locking function）Ｅから得られる。

Ｒ_i＝Ｅ（Ｈ_i，Ｓ）
Ｈ_iは、次のように与えられる：
Ｈ_i＝ｆ（ＩＤ_i||Ｐ）
即ち、パスワードＰと、それぞれの機器識別子ＩＤ_iとの一方向関数ｆは、ストリング連結（string concatenation）を示している。

ロッキング関数Ｅは、Ｄ（Ｄ＝Ｅ^-1）で示される逆関数での、第２入力における全単射（bijective）関数であり、これは、トークンシークレットＳが、全体的にアンロックされないことを意味する：
Ｓ＝Ｄ（Ｈ_i，Ｒ_i）
上述の関係は、本発明に従うセキュアパスワードに基づく認証に対して使用することができる。

パスワードに基づく認証
図３は、本発明の実施形態に従うグループメンバーに対する認証を示している。本発明の基本概念は、１つ以上の他のグループメンバーに対する認証を、グループ内の１つの機器を使用することによるものである。図示の例では、ユーザ３３が機器ｊ３２−２に対して処理、例えば、取消指示の送信を実行しようとしていて、この処理に対しては、自身の明示的な認証が検証される必要がある。ユーザは、グループネットワークの別のメンバーである、機器ｉ３２−１を選択し、この機器において、認証を処理し、かつパスワードＰを入力する。機器ｉは、自身の認証トークンＲ_iとパスワードの組合わせを使用して、次のステップに従って、トークンシークレットＳをアンロックする：
ｉ） Ｈ_i＝ｆ（ＩＤ_i||Ｐ）
ｉｉ） Ｓ＝Ｄ（Ｈ_i，Ｒ_i）
その後、機器ｉは、Ｓ及びＰを使用して、機器ｊに対するチェックトークンＭ_jを生成する：
ｉｉｉ） Ｈ_j＝ｆ（ＩＤ_j||Ｐ）
ｉＶ） Ｍ_j＝Ｅ（Ｈ_j，Ｓ）
チェックトークンＭ_jは、認証トークンを示していて、これは、ユーザが正しいパスワードを入力している場合に、機器ｊで利用可能とされるべきである。Ｍ_jは、機器ｊに送信され、好ましくは、キーペアＫ_ijによって保護されていて、これは、機器ｊの実際の認証トークンＲ_jと比較される。Ｍ_jがＲ_jと等しい場合、認証は成功して完了し、ユーザは機器ｊで信用される。一方、Ｍ_jとＲ_jが異なる場合、認証は失敗し、機器ｊは、明示的なユーザ認証を要求する機器ｉからの指示を受けつけない。しかしながら、他のタイプのメッセージを受け入れることは可能である。いくつかの場合、図３中の破線矢印で示されるように、認証応答メッセージ３４を送信することによって、機器ｊ３２−２に、認証比較結果を機器ｉ３２−１に通知させるようにしても良い。

上述の処理は、グループ内のいくつかの機器に対して、あるいはあらゆる他のグループメンバーに対してでさえも、１つの機器ｉを用いる認証に対して使用する場合に有効である。上記のステップｉｉｉとｉｖは、各機器ｊ（ｊ＝１、．．．、ｎ及びｊ≠ｉ）に対して繰り返される。

割当機器ｉにのみ厳格な条件は、パスワードを受信するための入力ユニットあるいはその類、例えば、キーボードを持たなければならないことである。構成動作は、いつでもどこでも行うことができ、これらは、グループに属する任意の機器から起動できることが好ましい。本発明の実施形態では、それゆえ、各グループメンバーは、簡単な入力ユニットで提供され、これは、上述の機器ｉのような認証部として動作することを可能にする。

パスワードＰ及びＳは、使用した後は、できる限り早く消去することが好ましい、これによって、これらは機器ｉで一時的にしかさらされない（expose）。多くの実施形態では、Ｐ、Ｓ及び中間物の類であるＨ_iを含む認証処理に関係するすべてのパラメータは、認証トークンＲ_i以外は、必要とされない限り消去される。

本発明のパスワードに基づく認証は、いくつかの大きな効果をもたらす。認証処理中には、グループ内の１つの機器だけにパスワードをさらすだけで済む。これは、従来の認証に比べて、パスワードの管理及びセキュリティを著しく改善することを意味する、ここで、従来の認証では、パスワードは、各ユニットにさらされるものである。また、単一のグループメンバーの情報、即ち、自身の認証トークンは、パスワードの検索、あるいは強引なサーチを可能としない。これは、単一の盗まれた機器から、その機器内の情報を使用してパスワードを取得することが不可能であることを意味する。ある機器が、パスワードの情報を持つことなく、「偽の（fool）」別の機器として使用することもできない。

認証及び更新
認証の目的は、通常は、例えば、取消情報あるいは新パスワードのような更新情報を、１つ以上のグループメンバーに送信することである。このような場合、更新処理は、図４及び図５で示される方法で認証処理に組み込まれる。

図４は、本発明の実施形態に従う機器ｉ４２−１を用いて、機器ｊ４２−２に対する認証及び更新を示している。上述のように、ユーザ４３は、グループネットワークのパスワードＰを機器ｉに入力する。ユーザがパスワードを変更したい場合、また／あるいはグループから１つ以上の機器を除外したい場合、新規のパスワードＰ’及び取消情報４５の少なくとも一方、例えば、未認証機器のリストも、機器ｉに入力される。トークンシークレットＳは、上述のステップｉ及びｉｉを介して、機器ｉで判定される。しかしながら、この場合、実際の認証及び更新段階の前に、いくつかの付加的な準備が必要とされる。まず、新規のトークンシークレットＳ’が生成される、これは、従来の乱数発生手段によるのが好ましい。次に、Ｓ’及びＰ’は、機器ｉで使用するために、以下の式に従って自身に対する新規の認証トークンＲ_i’を生成する：
ｖ） Ｈ_i’＝ｆ（ＩＤ_i||Ｐ’）
ｖｉ） Ｒ_i’＝Ｅ（Ｈ_i’，Ｓ’）
機器ｉに（あるいは外部に）記憶される認証トークンＲ_iは、新規の認証トークンＲ_i’と置き換えられる。

認証に対するチェックトークンＭ_jは、上述のステップｉｉｉ及びｉｖに従って生成されるが、この時、機器ｊに対する新規の認証トークンＲ_j’は、以下の式によって同様に判定される：
ｖｉｉ） Ｈ_j’＝ｆ（ＩＤ_j||Ｐ’）
ｖｉｉｉ） Ｒ_j’＝Ｅ（Ｈ_j’，Ｓ’）
その後、チェックトークンＭ_jは、機器ｉから機器ｊへ送信される、ここで、上述の方法で、Ｍ_jとＲ_jとの間で認証比較が実行される。認証結果を示すための、図４の機器ｊから送信される認証応答メッセージ４４はオプションである。トークンが一致する、つまり、認証が成功している場合のみ、機器ｊは機器ｉによって更新されることに同意する。このような場合、更新情報は、機器ｊへ正常に送信することができる。キーペアＫ_ijあるいは別のセキュリティメカニズムが、この情報の送信に対しても採用されることが好ましい。

機器ｊに対する更新情報は、新規の認証トークンＲ_j’と、可能であれば、取消情報及び新規のグループキーＫ_G’の少なくとも一方を構成する。取消情報は、保護されていることが好ましく、また、この取消情報には、除外対象の機器を含む取消リスト、あるいはこれと等価な、グループに残る機器のグループ定義リストを含んでいても良い。このようなリストを介して、機器ｊに未認証の機器を無視することを指示することができる。また、このリストは、更新期間中に特に役立たせることができる、これは、いくつかの認証された機器が新規のグループキーＫ_G’でまだ更新されていない場合で、かつ機器が特定のグループキーを所有していることを証明できるという事実が、認証済機器と未認証機器を満足に区別していない場合である。新規のグループキーＫ_G’は、典型的には、更新情報に含まれる、これは、更新が、取消のようなグループ定義指標（measures）に関連している場合である。

上述の処理は、グループ中の未認証メンバー以外で、パスワードＰを変更するために、あるいは同時にパスワード変更及び取消の両方を達成するために、効果的に使用することができる。ユーザがパスワードの変更を希望しない場合は、上述の式では、Ｐ’とＰは等しくなる。本発明が、パスワードを変更することなく機器の取消を可能にするという事実は、別の効果的な特徴を構成する。ユーザは、グループネットワークが再定義される毎に、新規のパスワードを生成し、覚えるという面倒から解放される、これは、グループの管理を簡略化する。

図５は、本発明の実施形態に従うグループネットワークでの認証及び更新を視覚化したものである。図示の例では、グループマネージャ５３は、上述のメカニズムによって、他の機器５２−１、５２−３、５２−４に対する認証及び更新用に、識別子ＩＤ₂を備える機器５２−２を使用する。パスワードＰ、Ｐ’及び取消情報５５は、機器５２−２に入力される、ここで、各機器ｊ（ｊ＝１、３、４）に対してステップｉｉｉ、ｉｖ、ｖｉｉ及びｖｉｉｉを繰り返して、それぞれのチェックトークン及び更新情報を取得する。新規のパスワードＰ’は、また、使用後直ちに消去されることが好ましい新規の認証トークンＲ_i’以外のすべてのパラメータとともに、機器５２−２にのみさらされる、以前のパスワードＰと同様である。

一般的には、更新処理は、上述の方法でグループマネージャによって開始される。グループネットワーク内の１つの機器が、別の機器へリクエストを送信することによって更新するというソリューションは、本発明の範囲にも含まれる。一実施形態では、休止期間後にスイッチが入るユニットは、例えば、少なくとも２つの他のユニットからの適切な更新情報を問い合わせる。

図６は、本発明の実施形態に従う、更新が組み込まれた認証方法の実施形態のフローチャートである。まず、ステップＳ１で、グループネットワーク内のすべてのユニットに、それぞれの認証トークンが提供される。認証トークンの割当には、グループのパスワードＰを使用するが、これは、個別の認証トークンだけではパスワードを再生成できないようすることが達成される。グループメンバーがこの割当段階で認証トークンを受信すると、実際の認証段階を、ユーザによって選択される第１ユニットにパスワードを入力することによって開始することができる。ステップＳ２で、第１ユニットは、第２ユニットに対するチェックトークンを判定する、より詳しくは、どのユニットに対して認証が必要であるかを判定する。チェックトークンは、安全が確保された状態で第２ユニットへ送信される、そこで、このユニットに割当られた認証トークンと比較される（ステップＳ３）。認証を成功する条件は、これらのトークンが完全に照合することである。そうでない場合、認証は失敗し（ステップＳ４）、かつ第２ユニットは第１ユニットのマネージャを信用しない。

一方、トークンが同一であるということは、入力パスワードが正常に検証されていることを意味する。この場合、第２ユニットは、第１ユニットによる更新を受け入れる。ステップＳ５で、第２ユニットに対する新規の認証トークンを含む更新情報は、第１ユニットで生成される。ステップＳ６で、生成された更新情報は、可能であれば、第１ユニットで変更されていない、転送される更新情報とともに第２ユニットに送信される。これは、第２ユニットから送信される認証応答メッセージに応じて開始することができる。選択的には、ステップＳ５と、可能であれば、ステップＳ６は、ステップＳ３の比較よりも前の段階で実行される。ステップＳ５は、例えば、ステップＳ２におけるチェックトークン判定と同時に実行することができる。別の方法としては、認証比較を成功させることは、第１ユニットによって更新されることを受け入れるために、第２ユニットに対して常に必要とする。最終ステップＳ７では、認証トークン以外の認証処理で使用される、パスワードを含むすべてのパラメータは、グループネットワークから消去される。

上述のパスワードに基づく認証に対するメカニズムは、グループネットワーク内で実現されるコンピュータプログラム製品として実現することができる。コンピュータプログラム製品は、例えば、図６のステップを実行するプログラムを構成するソフトウェア実行可能モジュールとすることができる。

以上、本発明の基本原理を説明したが、以下の項は、これらの特徴的な構成及び実施形態に対するものである。

割当認証トークン
実際の認証段階の前に、認証トークンＲ_i（ｉ＝１、２、．．．、ｎ、ｎ個の機器のグループに対し）は、グループ内のすべての機器に割当られなければならない。

初期セットアップ段階では、例えば、新規のグループネットワークが形成される場合、認証トークンＲ_iと、好ましくはグループキーＫ_Gがシステム全体に配信される。図７を参照すると、機器７２−１の１つが、これによって選択され、「割当機器」として動作し、これは、自身の認証トークンを生成するとともに、すべての他の機器７２−２、７２−３に対しての認証トークンも生成する。割当処理は、通常、ユーザ７３がパスワードＰを割当機器７２−１に入力する場合に開始する。この機器は、好ましくは、乱数発生関数を使用して、グループに対するトークンシークレットＳを生成する。他の機器７２−２、７２−３それぞれに対して、機器７２−１は、次のステップ（ｊ＝２、３）に従って認証トークンを計算する：
ｉｘ） Ｈ_j＝ｆ（ＩＤ_j||Ｐ）
ｘ） Ｒ_j＝Ｅ（Ｈ_j，Ｓ）
本実施形態では、認証トークンＲ₂、Ｒ₃は、例えば、ペアーキーＫ_1,2、Ｋ_1,3を使用することによる、セキュア通信を介して対応する機器に送信され、その機器内に改竄が防止されるように記憶される。しかしながら、いくつかの場合、これらのキーＫ_i,jは、初期セットアップは利用できない。また、機器は、傍受を難しくするために初期段階中では、有線、赤外線あるいは短距離無線リンクによって通信されることが好ましい。この初期段階には、上記のキーの確立を含めることができる。選択的には、キーは、手動でユーザ／管理者によって機器に入力される。

既存のグループネットワークに新規の機器を追加する場合、図８に示されるような、同様の割当処理が使用されても良い。ユーザ８３が新規の機器８２−４をグループネットワークに追加したいと想定する。ユーザは、パスワードＰを別の機器８２−２に入力する、ここで、この機器は、既にグループのメンバーであり、かつ認証トークンＲ₂に関連付けられている。この認証トークンＲ₂は、次のステップ（ｉ＝２、ｊ＝４）に従って、機器８２−２で、Ｓをアンロックし、かつＲ₄を計算するために、Ｐ及びＩＤ₂とともに使用される：
ｘｉ） Ｈ_j＝ｆ（ＩＤ_i||Ｐ）
ｘｉｉ） Ｓ＝Ｄ（Ｈ_i，Ｒ_i）
ｘｉｉｉ） Ｈ_j＝ｆ（ＩＤ_j||Ｐ）
ｘｉｖ） Ｒ_j＝Ｅ（Ｈ_j，Ｓ）
Ｒ₄は、キーペアＫ_2,4を使用して、機器８２−２から機器８２−４へ効果的に安全に送信される。ユーザは、新規の機器に対して認証トークンを割り当てるために、任意の適切な機器８２−１、８２−２、８２−３を選択することができることに重視すべきである。特に、この割当機器８２−２は、初期認証トークンの配信を実行する割当機器（図７の７２−１）と同一としてはならない。

ここでも、認証トークン以外の割当処理に関係するパラメータのすべては、使用後に消去されることが好ましい。

ロッキング関数Ｅ
認証トークンＲ_iを判定するために使用されるロッキング関数Ｅは、本発明に従う様々な方法で実現することができる。しかしながら、上述の割当及び認証段階でＳを検索するために、Ｅは第２入力において全単射でなければならない、即ち、逆「アンロッキング」関数Ｄに変更することができなければならない。

本実施形態では、ロッキング関数Ｅは、対称性ブロック暗号関数である、これには、例えば、ＤＥＳ、ＡＥＳ、ブローフィッシュあるいは単純なビット単位のＸＯＲのような従来より周知の関数がある。他の実施形態では、非対称関数、例えば、次のエルガマル（ElGamal）暗号化に基づくことができる：
Ｅ（ｘ，ｙ）＝ｇ^xｙ mod ｐ
Ｄ（ｘ，ｙ）＝ｇ^-xｙ mod ｐ
ここで、Ｐは適切な素数であり、ｇはＺ_p ^*の大サブグループの生成元である。上述の暗号化関数及び一般の暗号技術の詳細な情報は、例えば、エイ．ジェイ． メネゼス、ピー．シー． ヴァン オウルショット及びエス．シー． ヴァンストーン、ＣＲＣ プレスによる「応用暗号技術ハンドブック」（A. J. Menezes, P. C. van Oorschot and S. C. Vanstone, CRC Press）で参照される。

ロッキング関数で利用される基本特性は、取り得るパスワードＰ’に対して、Ｐ’が正しい場合に、認証トークンＲ_iを生成するＳ’が存在するということである。ここで、正確に推定されるパスワードに対する「証拠」としてＲ_iを使用することは不可能である。より詳しくは、候補Ｐ’が与えられると、値Ｓ’＝Ｄ（ｆ（ＩＤ_i||Ｐ’），Ｒ_i）がこの特性を持っていることを容易に検証することができる、これは、Ｅ（ｆ（ＩＤ_i||Ｐ’），Ｓ’）＝Ｒ_iであるからである。

上述の方法を一般化する別の方法は、パスワードに基づくシークレット共有として参照される、新規の補間方法を使用することである。ロッキング関数は、次のようにセットされる。

Ｅ（ｘ，Ｓ）＝ａｘ＋Ｓ （ａ≠０）
これは、傾きａと切片Ｓからなる直線に対応する。ロッキング関数の線形補間としても参照され、この基本概念は、それぞれの機器とユーザ間の線（即ち、Ｅへの）でシークレットを共有することであり、これは、それの判定に対して必要とされる情報の重要な部分をそれぞれが保有している状況である。直線は、２点で個別に判定されるので、シークレット共有は、機器（Ｒ_iを介して）の線上に一点の情報を提供することによって達成することができるのに対し、ユーザパスワードＰは、他の点を取得するために必要とされる。

パスワードに基づくシークレット共有は、次の方法で達成することができる。Ｅ（Ｈ_i，Ｓ）は、各ｉに対して生成され、また、各認証トークンＲ_iが次のように設定される：
Ｒ_i＝｛ｘ，Ｅ（ｘ，Ｓ），Ｅ（Ｈ_i，Ｓ）｝ （ｘ≠Ｈ_i）
ここで、ｘはグループ内のすべてのＲ_iに対して等価な乱数である。この場合、Ｒ_iは、「線」Ｅ上の１点の座標（ｘ，Ｅ（ｘ，Ｓ））の両方を含み、かつ別の１点の１つの座標（Ｅ（Ｈ_i，Ｓ））のみを含んでいる。残りの座標（Ｈ_i）は、機器ｉでパスワードＰを入力することによってのみ決定することができ、これは、次のＰの一方向関数の定義によるからである：
Ｈ_i＝ｆ（ＩＤ_i||Ｐ）
本例では、アンロッキングは、次に定義される解読関数Ｄによる補間を介して達成される：
Ｄ（Ｈ_i，Ｒ_i）＝Ｅ（ｘ，Ｓ）−ｘ・（Ｅ（ｘ，Ｓ）−Ｅ（Ｈ_i，Ｓ））／ｘ−Ｈ_i
上述の式を使用することによって、提供される既知のＰ（及びＨ_i）によって、トークンシークレットＳを検索することができる。

更新権の委任（delegation）
ユーザがある機器で更新の実行を開始し、かつなんらかの理由で、継続できないで、機器の更新が残っている場合に、本発明の実施形態に従えば、委任スキームを適用することが適切である。ユーザは、残っている機器を更新するために、認証されている１つ以上のグループメンバーを選択する。これは、パスワードＰが入力されたオリジナルの更新機器から更新権を受信している中間機器を介して更新が発生することを意味する。

図９は、本発明の実施形態を示していて、ここでは、更新権が、機器ｉ９２−１から２つの中間機器ｑ１ ９２−２とｑ２ ９２−３へ委任される。機器ｉは、上述のステップｉｉｉ、ｉｖ、ｖｉｉ及びｖｉｉｉに従って、未認証機器ｊ９２−４に対して、チェックトークンＭ_jと、新規の認証トークンＲ_j’を生成する。これは、Ｍ_jと、Ｒ_j’からなる更新情報を両方の中間機器ｑ１及びｑ２に送信する。図示の例では、機器ｑ２は、未更新機器ｊと遭遇していて、認証の成功後、この機器へ更新情報を送信する。

残っている機器の高速かつ信頼性のある更新の可能性を向上するために、等価な更新権をいくつかの中間機器に委任することが適切である。最初に特定の未更新機器と通信可能な機器は、その更新を実行する。別の更新認証済の機器が、既に更新済の機器と後に遭遇する状況は、様々な方法で対処することができる。１つのやり方は、更新済の機器が、複数の更新試行を無視することが指示されることである。別のやり方は、更新認証済の機器が、更新が既に完了していて、かつ更なる動作を必要としないと認識することである。この方法を達成する手段は、以下で説明する。複数の更新試行の最終手段は、単にそれらを許可することである。これは、ネットワーク内の不必要な信号送受信（signalling）をもたらすが、通常は、重大な問題は発生しない。

提案の委任スキームでは、更新情報は、オリジナルの更新機器（図９の９２−１）で生成されるが、それの少なくとも一部は、中間機器（群）を介して送信される。その結果、パスワードＰは、１つのグループメンバーにさらされるだけで済む。これは、更なる、本発明の効果的な特徴を構成するものであり、更新権の委任が、更新権を更に委任するための権限の委任を含む実施形態を可能にする。換言すれば、更新は、２つ以上の機器を介して発生することができる、その結果、更新処理に関係するグループメンバーのつながりが得られる。中間機器の数に関係なく、パスワードＰは第１機器に制限され、かつ、この点で、本発明のセキュアなパスワード管理が維持される。

委任が単一の中間機器あるいはいくつかの機器を介在するかに関わらず、本発明の更なる実施形態に従えば、タイムスタンプによって更新権を効果的に達成することができる。タイムスタンプは、中間機器が、更新権に関係する機器の１つに実際に遭遇する時点で、更新情報がまだ有効であるかどうかを判定することを容易にする。好ましくは、タイムスタンプは、生成識別子ＩＤ_Gを構成し、これは、どの更新の生成が、更新情報に属しているかを示すものである。比較のために、グループ内の機器も、ＩＤ_Gパラメータを持っている。更新処理の実行中に、いくつかの機器は、例えば、新規の生成識別子ＩＤ_G’で更新することができ、一方で、他の機器は、以前のＩＤ_Gに関連づけられているままである。機器の生成識別子ＩＤ_Gは通常は厳密に関連付けられ、かつ同時にグループキーＫ_Gとして同時に更新される。

タイムスタンプによって、機器ｊに対する更新情報を持っていて、その機器ｊに遭遇する機器ｑは、機器ｊの現在の生成識別子ＩＤ_Gではなくその後の生成識別子に更新情報が属するかどうかをチェックすることによって、更新がまだ発生しているかを判定することができる。上述の方法で様々な更新イベントを追跡し続けることによって、遅延している更新イベントを認識して、それを無視することができる。

好ましくは、更新権の委任は、上述のように、更新動作を実行するための権利を有するグループメンバーに関係するユーザによる動的選択が介在する。しかしながら、本発明は、失敗したあるいは中断された更新処理に応じて、オリジナルの更新機器が自動的に委任を開始するソリューションについても対象としている。

認証応答メッセージ及び更新ポリシー
本発明の基本原理に従えば、ユーザは、別の機器との検証を行う機器にパスワード入力する。第１機器は認証結果ばかりでなく、ユーザを知らない。いくつかの場合、許諾／拒絶信号が必要とされるので、本発明のいくつかの実施形態に従えば、認証結果を示すために、認証応答メッセージ（図３の３４、図４の４４及び図９の９４）が第１機器に返信される。失敗の場合、エラー監査ログメッセージを生成することも適切である。

認証応答メッセージの利点は、正しいパスワードをユーザが入力したかどうかをユーザに対して確認させることができることである。しかしながら、応答メッセージを送信することも問題をもたらす、これは、盗まれた機器で攻撃者によって試行されるパスワードが正しいか否かを直ちに明らかにすることができるからである。つまり、いくつかの未更新機器へ情報を繰り返し送信することによって、攻撃者に様々なパスワードを試行させることが可能となってしまう。これを回避するために、認証を規制するポリシーが、グループネットワーク内のいくつかのあるいはすべての機器で実現されることが好ましい。これらのポリシーは、例えば、パスワードの試行回数に制限を課している。各機器には、例えば、連続して３回のパスワード試行のみを受け入れるように指示することができる。

パスワードの試行の頻度に注目するポリシーも存在している、これは、ユーザに表示される応答メッセージが、パスワード試行回数の増加に応じて指数関数的に遅延されるようにするものである。攻撃者は、各パスワード試行の結果に対してより長く待機しなければならなくなり、これは、正しいパスワードを発見するために統計的に必要とされる膨大な数の試行をやり遂げることを実質的に不可能にする。このような遅延ポリシーは、パスワードの試行回数の制限と組合わせて用いられることが好ましいが、別々に適用することも可能である。

本発明の実施形態に従えば、ユーザに対するアラーム信号が生成される、これは、パスワードの試行回数が所定数を越える場合である。アラーム信号は、攻撃されたユニットで生成され、かつ好ましくは、１つあるいはいくつかの他のグループメンバーへ送信されるとすぐに、適切な通信経路を確立することができる。アラームメッセージがグループマネージャに到達すると、そのグループマネージャは、適切な措置を行うことができる、これには、例えば、応答時での取消の開始がある。

相互認証
提案の方法の別の効果的な特徴は、これは、双方向認証が可能となるように拡張することができることである、これは、第１機器が第２機器に対して認証されるだけでなく、同時に第２機器が第１機器に対して認証されるものである。この相互認証によって、信頼関係が、グループネットワーク内の機器の組間で確立される。

本発明に従う機器ｉと機器ｊ間の相互認証に対するメカニズムの２つの実装例は、以下のプロトコルＡ及びＢで与えられる。両方のソリューションとも、認証トークンＲ_jを保護する追加のセキュリティ措置を含み、かつ各ユニットで生成される乱数に基づくテンポラリテストシークレットを含んでいる。これは、認証トークンを表現するパラメータ間、即ち、間接認証トークン間での認証比較を実現する。以下の機器ｉと機器ｊ間の通信は、キーペアＫ_i,jによって保護されることが好ましい。

プロトコルＡ
適切な擬似乱数関数としてｆ（Ｒ，Ｚ）を定義、例えば、キーＲと入力ｚを有するＡＥＳを定義、ここで、||はビットストリングの連結を示す。
機器ｉ 機器ｊ
パスワードＰの入力
Ｍ_jの算出
乱数ｘの生成
ｘ −−−−−−→
乱数ｙの生成
ａ’＝ｆ（Ｒ_j，ｘ||ｙ||ＩＤ_i）の設定
ｂ ＝ｆ（Ｒ_j，ｙ||ｘ||ＩＤ_j）の設定
←−−−−−− ｙ，ａ’
ａ＝ｆ（Ｍ_j，ｘ||ｙ||ＩＤ_i）の設定
ａ’＝ａであるかのチェック
等しい場合、ｂ’＝ｆ（Ｍ_j，ｙ||ｘ||ＩＤ_j）の設定
ｂ’ −−−−−−→
ｂ’＝ｂであるかのチェック
等しい場合、相互認証ＯＫ

プロトコルＢ
適切な素数としてｐ、Ｚ_pの生成元としてｇを定義、ここで、||はビットストリングの連結を示す。
機器ｉ 機器ｊ
パスワードＰの入力
Ｍ_jの算出
乱数ｘの生成
ａ＝Ｍ_jｇ^x mod Ｐの設定
ａ −−−−−−→
乱数ｙの生成
Ｚ’＝（ａ／Ｒ_j）^y mod Ｐの設定
ｂ＝Ｒ_jｇ^y mod Ｐの設定
ｃ＝HMAC（Ｚ’ mod ｐ，ａ||ｂ||ＩＤ_j||txt1）の設定
←−−−−−− ｂ，ｃ，txt1
Ｚ＝（ｂ／Ｍ_j）^x mod Ｐの設定
ｃ’＝HMAC（Ｚ mod ｐ，ａ||ｂ||ＩＤ_j||txt1）の算出
ｃ＝ｃ’のチェック
等しい場合、ｄ＝HMAC（Ｚ mod ｐ，ａ||ｂ||ＩＤ_i||txt2）の算出
ｄ，txt2 −−−−−−→
ｄ’＝HMAC（Ｚ’ mod ｐ，ａ||ｂ||ＩＤ_i||txt2）の算出
ｄ＝ｄ’であるかのチェック
等しい場合、相互認証ＯＫ

プロトコルＡでのソリューションは、かなり直接的な効果を持っている。それにもかかわらず、理論的には、ある程度のパスワードセキュリティの低下が生じる、これは、広範囲な推定がパスワードに及ぶからである。実際には、これは、通常は、問題を構成することはなく、また、これに関しては、暗号カプセル化プロトコルＡを使用することができるからである。

プロトコルＢでは、認証トークンは、追加のセキュリティステップを介して秘匿される。この処理は、２つの機器に対する共通のキーｇ^xyの交換に基づいていて、これは各機器ｘ及びｙから乱数によって決定される。キー交換は、パラメータａ及びｂの転送を介して発生する。ｔｘｔ１及びｔｘｔ２は、ａ及びｂを連結させた任意の長さのテキストストリングであり、これは、一方向関数ＨＭＡＣの第２入力パラメータを形成する。ＨＭＡＣについての更なる情報は、ＩＥＴＦ：「ＨＭＡＣ メッセージ認証用のキー付きハッシュング」（ＲＦＣ２１０４）（（HMAC, KeyedHashing for Message Authentication" (RFC 2104)））。

重要操作（critical operation）
いくつかの場合、ユーザ認証が必要とされる重要な操作と、グループネットワーク内の重要な操作でない他の操作とを区別することが妥当な場合がある。この目的のために、本発明の実施形態は、グループ内のいくつかあるいはすべてのユニットでの重要操作を定義するポリシーを実現する。１つの方法には、ユニットからアクセスされるルックアップテーブルを単に使用するものがある。このポリシーは、ユニットあるいは外部のどちらかに記憶される。

重要操作は、グループ内のいくつかの機器の更新、例えば、取消を必要とする操作と、情報更新に関与しないが認証を必要とする操作の両方を含んでいる。後者は、典型的には、高セキュリティが要求されているオブジェクトあるいはサービスをアクセスするために実行される操作に対して待機しており、これには、安全策の開始あるいはサーバからのシークレット情報の検索がある。

本発明は、特定の実施形態を参照して説明されているが、本発明は、開示の特徴と等価のものを含み、かつ当業者に自明な変更及び変形も含むことが重要視されるべきである。つまり、本発明の範囲は、請求項によってのみ制限される。

本発明で使用することができるグループネットワーク例を示す図である。 本発明の実施形態に従うグループネットワークの基本コンポーネントを示す図である。 本発明の実施形態に従うグループメンバーに対する認証を示す図である。 本発明の実施形態に従う認証及び更新を示す図である。 本発明の実施形態に従うグループネットワークの認証及び更新を示す図である。 本発明に従う実施形態の認証方法のフローチャートである。 本発明の実施形態に従うグループネットワークを形成する初期セットアップ処理を示す図である。 本発明の実施形態に従うグループネットワークへの新規のメンバーの追加を示す図である。 本発明の実施形態に従う更新権の委任を示す図である。

Claims (42)

1. 共通のパスワードに関連付けられている、少なくとも２つのユニット（１２、２２、３２、４２、５２、７２、８２、９２）のグループ（１００）を備える通信システムにおける、パスワードに基づく認証のための方法であって、
   それぞれの認証トークンが前記パスワードによって不可逆的に決定されるように、前記パスワードに基づいて、認証トークンを前記グループ内の各ユニットに割り当てるステップと、
   第１ユニット（３２−１、４２−１、５２−２、９２−１）で、第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対するチェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成するステップと、
   前記第２ユニットに対する前記第１ユニットの認証を行うために、該第２ユニットで、前記チェックトークンと、該第２ユニットの前記認証トークンとを比較するステップとを備え、
   前記割り当てるステップは、
   前記グループ内の前記認証トークンの割当を行う割当ユニット（７２−１、８２−２）で、該グループに対して共通で、かつ前記パスワードと無相関なトークンシークレットを生成するステップと、
   前記割当ユニットで、前記トークンシークレットと、該割当ユニットの識別子と前記パスワードとの一方向関数とを入力パラメータとして使用する全単射ロッキング関数を算出することで、前記グループ内の別のユニット（７２−２、７２−３、８２−４）に対して前記認証トークンを生成するステップと
   を備えることを特徴とする方法。
2. 前記認証トークン、前記認証処理で生成される前記パスワード及びすべての有意なパラメータを使用後に、前記認証トークンを除く、前記認証処理で生成される前記パスワード及びすべての有意なパラメータを消去するステップを更に備える
   ことを特徴とする請求項１に記載の方法。
3. 前記第２ユニット（４２−２、５２−１、５２−３、５２−４、９２−４）で、認証の成功に応じて、前記第１ユニット（４２−１、５２−２、９２−１）から安全に送信される更新情報と、前記第１ユニットで生成される前記更新情報の少なくとも一部を受信するステップを備える
   ことを特徴とする請求項１に記載の方法。
4. 前記更新情報は、未認証グループメンバーの取消に関連付けられている
   ことを特徴とする請求項３に記載の方法。
5. 前記更新情報は、パスワード変更に関連している
   ことを特徴とする請求項３に記載の方法。
6. 前記更新情報は、新規の認証トークン、新規のグループキー、グループ定義リスト及び取消リスト（４５、５５、９５）、それらの組合わせを含むグループから選択される
   ことを特徴とする請求項３に記載の方法。
7. 第３中間ユニット（９２−２、９２−３）への更新権の委任と、前記第２ユニット（９２−４）に対する前記更新情報の少なくとも一部を前記第３中間ユニットへの送信と
   を備えることを特徴とする請求項３に記載の方法。
8. 前記更新情報は、前記第３中間ユニット（９２−２、９２−３）が前記第２ユニット（９２−４）へ遭遇する場合に該更新情報がいまだなお有効であるかを判定するためのタイムスタンプに伴っている
   ことを特徴とする請求項７に記載の方法。
9. 前記更新権の委任は、更新権を更に委任するための権限の委任を備える
   ことを特徴とする請求項７に記載の方法。
10. 前記トークンシークレットを生成するステップは、初期セットアップ処理の一部として、前記トークンシークレットの生成を含んでいる
    ことを特徴とする請求項１に記載の方法。
11. 前記チェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成するステップは、
    前記第１ユニット（３２−１、４２−１、５２−２、９２−１）で、前記第１ユニットの前記認証トークンを使用する前記トークンシークレットと前記パスワードを検索するステップと、
    前記第１ユニットで、前記トークンシークレットと前記パスワードに基づいて、前記第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対する前記チェックトークンを生成するステップと
    を備えることを特徴とする請求項１に記載の方法。
12. 前記ロッキング関数は、対称暗号関数である
    ことを特徴とする請求項１に記載の方法。
13. 前記ロッキング関数は、パスワードに基づくシークレット共有を介して実現される
    ことを特徴とする請求項１に記載の方法。
14. 認証試行の回数及び頻度の少なくとも一方を制限するためのポリシーを、前記グループ内の前記ユニットの少なくとも１つに備える
    ことを特徴とする請求項１に記載の方法。
15. 認証試行の回数が所定値を越える場合に、アラーム信号を生成するステップを更に備える
    ことを特徴とする請求項１に記載の方法。
16. 前記第２ユニット（３２−２、４２−２、９２−４）から、前記比較するステップの結果を示す認証応答メッセージ（３４、４４、９４）を送信するステップを更に備える
    ことを特徴とする請求項１に記載の方法。
17. 前記第１ユニット（３２−１、４２−１、５２−２、９２−１）に対して前記第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）の認証を行い、これによって、前記第１ユニット及び前記第２ユニットが相互に認証される
    ことを特徴とする請求項１に記載の方法。
18. 前記第１ユニット及び前記第２ユニットでそれぞれ乱数を生成するステップと、
    前記乱数に基づいて、前記第１ユニット及び前記第２ユニットでテンポラリテストシークレットを生成するステップと、
    相互認証目的のために、前記第１ユニット及び前記第２ユニット間で前記テンポラリテストシークレットを交換するステップと
    を備えることを特徴とする請求項１７に記載の方法。
19. 認証が必要とされる重要操作は、前記ユニット（１２、２２、３２、４２、５２、７２、８２、９２）の少なくとも１つのポリシー内でリストされる
    ことを特徴とする請求項１に記載の方法。
20. 所定時間期間停止した後に起動されるユニット（４２−２、５２−１、５２−３、５２−４、９２−４）は、少なくとも２つの他のユニットから適切な更新情報をリクエストする
    ことを特徴とする請求項３に記載の方法。
21. 前記ユニットのグループ（１００）は、パーソナルエリアネットワーク（ＰＡＮ）を構成する
    ことを特徴とする請求項１に記載の方法。
22. 前記認証トークンは、前記ユニット（１２、２２、３２、４２、５２、７２、８２、９２）それぞれで改竄を防止するように記憶されている
    ことを特徴とする請求項１に記載の方法。
23. 共通のパスワードに関連付けられている、少なくとも２つのユニット（１２、２２、３２、４２、５２、７２、８２、９２）のグループ（１００）と、パスワードに基づく認証を行う手段を含む通信システムであって、
    それぞれの認証トークンが前記パスワードによって不可逆的に決定されるように、前記パスワードに基づいて、認証トークンを前記グループ内の各ユニットに割り当てる手段と、
    第１ユニット（３２−１、４２−１、５２−２、９２−１）で、第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対するチェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成する手段と、
    前記第２ユニットに対する前記第１ユニットの認証を行うために、該第２ユニットで、前記チェックトークンと、該第２ユニットの前記認証トークンとを比較する手段とを備え、
    前記割り当てる手段は、
    前記グループ内の前記認証トークンの割当を行う割当ユニット（７２−１、８２−２）で、該グループに対して共通で、かつ前記パスワードと無相関なトークンシークレットを生成する手段と、
    前記割当ユニットで、前記トークンシークレットと、該割当ユニットの識別子と前記パスワードとの一方向関数とを入力パラメータとして使用する全単射ロッキング関数を算出することで、前記グループ内の別のユニット（７２−２、７２−３、８２−４）に対して前記認証トークンを生成する手段と
    を備えることを特徴とする通信システム。
24. 前記認証トークン、前記認証処理で生成される前記パスワード及びすべての有意なパラメータを使用後に、前記認証トークンを除く、前記認証処理で生成される前記パスワード及び前記パラメータを消去する手段を更に備える
    ことを特徴とする請求項２３に記載の通信システム。
25. 前記第１ユニット（４２−１、５２−２、９２−１）から前記第２ユニット（４２−２、５２−１、５２−３、５２−４、９２−４）へ更新情報を送信する手段と、
    認証の成功に応じて、前記第１ユニットからの更新情報を、前記第２ユニットで受信する手段と
    を更に備えることを特徴とする請求項２３に記載の通信システム。
26. 前記更新情報は、未認証グループメンバーの取消に関連付けられている
    ことを特徴とする請求項２５に記載の通信システム。
27. 前記更新情報は、パスワード変更に関連している
    ことを特徴とする請求項２５に記載の通信システム。
28. 前記更新情報は、新規の認証トークン、新規のグループキー、グループ定義リスト及び取消リスト（４５、５５、９５）、それらの組合わせを含むグループから選択される
    ことを特徴とする請求項２５に記載の通信システム。
29. 第３中間ユニット（９２−２、９２−３）への更新権を委任する手段と、前記第２ユニット（９２−４）に対する前記更新情報の少なくとも一部を前記第３中間ユニットへ送信する手段と
    を備えることを特徴とする請求項２５に記載の通信システム。
30. 前記チェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成する手段は、
    前記第１ユニット（３２−１、４２−１、５２−２、９２−１）で、前記第１ユニットの前記認証トークンを使用する前記トークンシークレットと前記パスワードを検索する手段と、
    前記第１ユニットで、前記トークンシークレットと前記パスワードに基づいて、前記第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対する前記チェックトークンを生成する手段と
    を備えることを特徴とする請求項２３に記載の通信システム。
31. 認証試行の回数及び頻度の少なくとも一方を制限するためのポリシーを、前記グループ内の前記ユニットの少なくとも１つに備える
    ことを特徴とする請求項２３に記載の通信システム。
32. 認証試行の回数が所定値を越える場合に、アラーム信号を生成する手段を更に備える
    ことを特徴とする請求項２３に記載の通信システム。
33. 前記第２ユニット（３４−２、４２−２、９２−４）から、認証応答メッセージ（３４、４４、９４）を送信する手段を更に備える
    ことを特徴とする請求項２３に記載の通信システム。
34. 前記グループ内の２つのユニット（１２、２２、３２、４２、５２、７２、８２、９２）間で相互認証を行う手段を更に備える
    ことを特徴とする請求項２３に記載の通信システム。
35. 認証が必要とされる重要操作を定義するポリシーを備える
    ことを特徴とする請求項２３に記載の通信システム。
36. パーソナルエリアネットワーク（ＰＡＮ）である
    ことを特徴とする請求項２３に記載の通信システム。
37. 共通のパスワードに関連付けられている、少なくとも２つの機器のグループ（１００）に属し、かつパスワードに基づく認証を行う手段を備える機器（１２、２２、３２、４２、５２、７２、８２、９２）であって、
    パスワードを受信する手段と、
    それぞれの認証トークンが前記パスワードによって不可逆的に決定されるように、前記パスワードに基づいて、認証トークンを前記グループ内の他の機器（７２−２、７２−３、８２−４）に割り当てる手段と、
    前記グループ内の第２機器（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対するチェックトークンを、前記パスワードと、前記第１機器（３２−１、４２−１、５２−２、９２−１）の前記認証トークンを使用して生成する手段と、
    前記第２機器に対する認証のために、前記第２機器へ前記チェックトークンを送信する手段とを備え、
    前記割り当てる手段は、
    前記グループに対して共通で、かつ前記パスワードと無相関なトークンシークレットを生成する手段と、
    前記トークンシークレットと、当該機器の識別子と前記パスワードの一方向関数とを入力パラメータとして使用する全単射ロッキング関数を算出することで、前記グループ内の別の機器（７２−２、７２−３、８２−４）に対して前記認証トークンを生成する手段と
    を備えることを特徴とする機器。
38. 前記認証トークン、前記認証処理で生成される前記パスワード及びすべての有意なパラメータを使用後に、前記認証トークンを除く、前記認証処理で生成される前記パスワード及び前記パラメータを消去する手段を更に備える
    ことを特徴とする請求項３７に記載の機器。
39. 前記第２機器（４２−２、５２−１、５２−３、５２−４、９２−４）に対する更新情報を生成する手段と、
    前記第２機器へ前記更新情報を安全に送信する手段と
    を更に備えることを特徴とする請求項３７に記載の機器。
40. 中間機器（９２−２、９２−３）へ更新権を委任する手段と、前記第２機器（９２−４）に対する前記更新情報を前記中間機器へ送信する手段と
    を備えることを特徴とする請求項３９に記載の機器。
41. 前記チェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成する手段は、
    前記第１機器（３２−１、４２−１、５２−２、９２−１）の前記認証トークンを使用する前記トークンシークレットと前記パスワードを検索する手段と、
    前記トークンシークレットと前記パスワードに基づいて、前記第２機器（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対する前記チェックトークンを生成する手段と
    を備えることを特徴とする請求項３７に記載の機器。
42. 共通のパスワードに関連付けられている、少なくとも２つのユニット（１２、２２、３２、４２、５２、７２、８２、９２）のグループ（１００）を備える通信システムにおいて、パスワードに基づく認証をコンピュータに機能させるためのコンピュータプログラムであって、
    前記コンピュータを、
    それぞれの認証トークンが前記パスワードによって不可逆的に決定されるように、前記パスワードに基づいて、認証トークンを前記グループ内の各ユニットに割り当てる手段と、
    第１ユニット（３２−１、４２−１、５２−２、９２−１）で、第２ユニット（３２−２、４２−２、５２−１、５２−３、５２−４、９２−４）に対するチェックトークンを、前記パスワードと、前記第１ユニットの前記認証トークンを使用して生成する手段と、
    前記第２ユニットに対する前記第１ユニットの認証を行うために、前記第２ユニットで、前記チェックトークンと、該第２ユニットの前記認証トークンとを比較する手段として機能させ、
    前記割り当てる手段は、
    前記グループ内の前記認証トークンの割当を行う割当ユニット（７２−１、８２−２）で、該グループに対して共通で、かつ前記パスワードと無相関なトークンシークレットを生成する手段と、
    前記割当ユニットで、前記トークンシークレットと、該割当ユニットの識別子と前記パスワードとの一方向関数とを入力パラメータとして使用する全単射ロッキング関数を算出することで、前記グループ内の別のユニット（７２−２、７２−３、８２−４）に対して前記認証トークンを生成する手段と
    を備えることを特徴とするプログラム。

Images