JP5368903B2 - プロトコルの安全性を検証する検証装置、検証方法および検証プログラム - Google Patents

Description

本発明は、認証や鍵共有等のセキュリティ機能を有する認証または鍵交換のプロトコルの安全性を検証する検証装置、検証方法および検証プログラムに関する。

従来、プロトコル設計者の有するセキュリティや暗号技術の見識に基づき、経験的に安全な認証または鍵交換のプロトコルが提案されてきた。しかしながら、提案された認証または鍵交換のプロトコルの仕様が公開された後に、セキュリティ上の脆弱性が指摘される場合があった。標準化された認証または鍵交換のプロトコルが製品等を通じて広く普及した後に脆弱性が発見されると、製品等の改修に関わるコストが大きな問題となる。

特に、致命的な脆弱性が発見された場合には、経済的な損害を回避するため、ソフトウェアのパッチの充当やハードウェアのチップや部品の交換等、早急に対処する必要が生じる。したがって、提案された認証または鍵交換のプロトコルや関連製品が普及するほど、社会的な影響は非常に大きくなり、場合によってはシステム全体が破綻してしまう可能性もある。

そこで、「汎用結合可能安全性」と呼ばれる概念を利用した、認証または鍵交換のプロトコルの安全性を検証するための装置、方法およびプログラムが提案されている（例えば、特許文献１、特許文献２参照）。ここで、「汎用結合可能安全性」とは、ある認証または鍵交換のプロトコルがそのセキュリティ機能に関する理想機能を安全に実現するならば、この認証または鍵交換のプロトコルは安全であることを意味している。例えば、ある鍵交換プロトコルが鍵交換理想機能を安全に実現するならば、この鍵交換プロトコルは安全であることが示されたことになる。

特開２００７−２８４４７号公報 特開２００８−３５１１７号公報

上記の「汎用結合可能安全性」は、現在最も強力な安全性であると言われており、理想機能はセキュリティ機能に要求される全ての安全性を網羅する。そのため、ある認証または鍵交換のプロトコルがその理想機能を安全に実現するとき、この認証または鍵交換のプロトコルはセキュリティ機能に要求される全ての安全性を満足することになる。

ところが、プロトコルの安全性と効率性とはトレードオフの関係にあるため、認証または鍵交換のプロトコルの安全性を高くするほど効率性は低くなる。そのため、認証または鍵交換のプロトコルの効率性を重要視するときには、許容される限度まで安全性を低くしてよい。しかしながら、上記の先行技術では、認証または鍵交換のプロトコルの厳密な安全性を検証することはできても、安全性のレベルに応じた検証を行うことができない。

そこで、本発明は、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる検証装置、検証方法および検証プログラムを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１） 認証または鍵交換のプロトコルの安全性を検証する検証装置であって、
前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部と、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定部と、
前記種類設定部により種類が設定された暗号プリミティブの役割を設定する役割設定部と、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定部と、
要求に応じて検証対象の安全性を選択する安全性選択部と、
前記安全性選択部により選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定部により設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定部と、
前記検証項目判定部により前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定部と、を備える検証装置。

（２） 前記フレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）と表現され、
関数ｇの役割は、前記認証のプロトコルにおける認証の対象となる第１の暗号プリミティブ、前記鍵交換のプロトコルにおける鍵生成対象となる第２の暗号プリミティブ、フロー上に現れる第３の暗号プリミティブ、または前記第１から第３の暗号プリミティブおよび前記第１から第３の暗号プリミティブの引数に含まれる第４の暗号プリミティブのいずれでもない第５の暗号プリミティブのいずれかであり、
関数ｆの役割は、関数ｇの役割が前記第１から第３の暗号プリミティブのいずれかである場合には、前記第４の暗号プリミティブであり、関数ｇの役割が前記第５の暗号プリミティブである場合には、前記第１から第３の暗号プリミティブのいずれかであり、
引数Ａ、ＢおよびＣは、暗号プリミティブの関数値またはデータ値であることを特徴とする（１）に記載の検証装置。

（３） 前記フレームワークの関数に設定される前記第１から第４の暗号プリミティブの種類は、共通鍵暗号、パスワードを用いた暗号化、公開鍵暗号、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族、ディジタル署名、ハッシュ関数またはメッセージ認証コードのいずれかであり、
当該関数の引数は、一般データ、ＩＤデータ、テンポラリデータ、長期鍵、パスワード、関数固定値または関数テンポラリ値と、公開状態または秘密状態と、の組合せを示す要素値であることを特徴とする（２）に記載の検証装置。

（４） 前記認証または鍵交換のプロトコルにおける検証項目は、関数ｇおよび関数ｆの種類と、引数Ａ、引数Ｂおよび引数Ｃのそれぞれに設定される要素値と、の組合せであることを特徴とする（３）に記載の検証装置。

（５） コンピュータが認証または鍵交換のプロトコルの安全性を検証する検証方法であって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を含む検証方法。

（６） コンピュータに認証または鍵交換のプロトコルの安全性を検証させる検証プログラムであって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を実行させる検証プログラム。

本発明によれば、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる。

本発明の実施形態に係る各攻撃に関係するデータと、フレームワーク内の関数の組合せと、を示した図である。 本発明の実施形態に係るＭＣ−ＲＫＣＩの検証項目を示す図である。 本発明の実施形態に係るＳＳ−ＲＵＫＳの検証項目を示す図である。 本発明の実施形態に係るＳＳ−ＳＦＳの検証項目を示す図である。 本発明の実施形態に係るＳＳ−ＷＢＳの検証項目を示す図である。 本発明の実施形態に係るＲＵＯＤＡの検証項目を示す図である。 本発明の実施形態に係る検証装置の構成を示す図である。 本発明の実施形態に係る検証方法の流れを示すフローチャートである。

以下、本発明の実施形態の一例について説明する。

＜セキュリティモデル＞
まず、認証または鍵交換のプロトコルの安全性レベルに関するセキュリティモデルを示す。本実施形態では、計算量理論に基づいて認証または鍵交換のプロトコルの安全性を証明する「証明可能安全性」と呼ばれる概念を用いる。「認証または鍵交換のプロトコルが証明可能安全性を有する」とは、認証または鍵交換のプロトコルの安全性が、ある暗号プリミティブの安全性に帰着することを計算量理論的に証明可能であることを示している。すなわち、ある認証または鍵交換のプロトコルを破ることができる攻撃者は、ある暗号プリミティブを多項式時間で破るマシンを構成可能であることを証明することにより、この暗号プリミティブが破られなければ、認証または鍵交換のプロトコルも破られないことを証明する。

上記の証明可能安全性において、認証プロトコルではｍａｔｃｈｉｎｇ ｃｏｎｖｅｒｓａｔｉｏｎ、鍵交換プロトコルではｓｅｍａｎｔｉｃ ｓｅｃｕｒｉｔｙという安全性の概念がある。それぞれの概念に対し、認証または鍵交換のプロトコルに要求される以下のような安全性要件が存在する。なお、括弧内は各安全性を示す略記号である。

・ｍａｔｃｈｉｎｇ ｃｏｎｖｅｒｓａｔｉｏｎ（ＭＣ）
この安全性は、認証プロトコルにおいて、攻撃者が一方のパーティから受信したメッセージをそのままもう一方のパーティへ送ること以外に何もできないことを示す。すなわち、攻撃者はメッセージの改ざんや新規メッセージの送付、メッセージの遮断、メッセージの順番の入れ替え等の不正を行うことができないことを示す。

（ａ）鍵漏洩なりすまし攻撃に対する安全性（ＭＣ−ＲＫＣＩ）
攻撃者が共通鍵暗号の共通鍵やパスワード、公開鍵暗号の秘密鍵等のあるパーティの長期鍵を得ることができたとしても、そのパーティ以外のパーティになりすますことはできないことを示す。

・ｓｅｍａｎｔｉｃ ｓｅｃｕｒｉｔｙ（ＳＳ）
この安全性は、鍵交換プロトコルにおいて、攻撃者はセッション鍵に関するどんな情報も得ることができないことを示す。すなわち、攻撃者はセッション鍵と乱数を多項式時間で区別することができないことを示す。

（ｂ）未知鍵共有攻撃に対する安全性（ＳＳ−ＲＵＫＳ）
あるパーティが正しいと思っているパーティとは別のパーティとセッション鍵を共有することができないことを示す。

（ｃ）ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ（ＳＳ−ＳＦＳ）
攻撃者が共通鍵暗号の共通鍵やパスワード、公開鍵暗号の秘密鍵等のパーティの長期鍵と内部状態を得ることができたとしても、それ以前に共有されたセッション鍵を得ることはできないことを示す。

（ｄ）ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ（ＳＳ−ＷＢＳ）
攻撃者がパーティの内部状態を得ることができたとしても、そのセッション以降に共有されたセッション鍵を得ることはできないことを示す。

・共通の安全性要件
この安全性は、認証および鍵交換のプロトコルに共通の安全性要件である。

（ｅ）検出不可能なオンライン辞書攻撃に対する安全性（ＲＵＯＤＡ）
パスワードを登録してあるパーティに対して、攻撃者がパスワードを問い合わせていることを検出することができることを示す。

ただし、長期鍵を使用しない認証または鍵交換のプロトコルの場合、（ａ）ＭＣ−ＲＫＣＩおよび（ｃ）ＳＳ−ＳＦＳの安全性は要求されない。特に、パスワードを使用しない認証または鍵交換のプロトコルの場合、（ｅ）ＲＵＯＤＡの安全性は要求されない。

ここで、認証または鍵交換のプロトコルにおいて使用されている暗号プリミティブの種類は以下の目的を有する関数である。なお、括弧内は各暗号プリミティブの種類を示す略記号である。
・共通鍵暗号（ＳＫＥ）：事前共有鍵を用いた暗号化目的の関数
・パスワードを用いた暗号化（ＥＰＷ）：事前共有パスワードを用いた暗号化目的の関数
・公開鍵暗号（ＰＫＥ）：公開鍵を用いた暗号化目的の関数
・Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族（ＤＨ）：Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ法を用いた鍵交換目的の関数
・ディジタル署名（ＳＩＧ）：署名鍵を用いて署名を生成する目的の関数
・ハッシュ関数（ＨＦ）：事前共有鍵を用いずにダイジェストを生成する目的の関数
・メッセージ認証コード（ＭＡＣ）：事前共有鍵を用いてダイジェストを生成する目的の関数

これらの種類は、暗号プリミティブの関数が担っている目的により分類される。例えば、事前共有鍵を用いてダイジェストを生成しているハッシュ関数は、メッセージ認証コードの目的を担っているため、ＭＡＣに分類される。

また、上記の暗号プリミティブの種類に設定される役割は以下の通りである。なお、括弧内は各役割を示す略記号である。
・認証プロトコルにおける認証対象となる暗号プリミティブ（ＰＡＧ）
・鍵交換プロトコルにおける鍵生成対象となる暗号プリミティブ（ＰＫＧ）
・フロー上に現れる暗号プリミティブ（ＰＡＦ）
・ＰＡＧ、ＰＫＧまたはＰＡＦの引数に含まれる暗号プリミティブ（ＰＡＯ）
・ＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯのいずれでもない暗号プリミティブ（ＰＮＡ）

これらの役割に対して使用されるフレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）である。ここで、関数ｆとｇは、上述の役割（ＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯ、ＰＮＡ）のいずれかを表し、引数ＡとＢとＣは、暗号プリミティブの関数値またはデータ値を表す。なお、検証に無関係の引数（Ａ、ＢまたはＣ）は無視することとする。

このフレームワークにおいて、関数ｆとｇの組合せは、ｇがＰＮＡであり、かつｆがＰＡＧ、ＰＫＧ、ＰＡＦのいずれかであるか、または、ｇがＰＡＧ、ＰＫＧ、ＰＡＦのいずれかであり、かつｆがＰＡＯであるか、のどちらかである。なお、ｇがＰＮＡであるとは、関数ｇおよび引数Ｃが存在しないことと同義である。すなわち、フレームワークは、ｆ（Ａ，Ｂ）であってもよい。

図１は、本実施形態に係る各攻撃に関係するデータと、フレームワーク内の関数の組合せと、を示した図である。
例えば、ＭＣ−ＲＫＣＩの場合には、全フローおよび一方のパーティの長期鍵を対象とし、フレームワークの関数ｇとｆはＰＮＡとＰＡＧ、またはＰＡＧとＰＡＯの組合せである。また、ｓｅｍａｎｔｉｃ ｓｅｃｕｒｉｔｙ（ＳＳ）の安全性の場合には、フレームワークの関数ｇとｆはＰＮＡとＰＫＧ、またはＰＫＧとＰＡＯの組合せである。なお、本実施形態に係る各攻撃に関係するデータとして、全フローの他、ＳＳ−ＳＦＳでは長期鍵と内部状態も対象とし、ＳＳ−ＷＢＳでは内部状態も対象とする。また、ＲＵＯＤＡの場合には、全フローを対象とし、フレームワークの関数ｇとｆはＰＮＡとＰＡＦ、またはＰＡＦとＰＡＯの組合せである。

ここで、フレームワークの引数Ａ、ＢまたはＣとなる暗号プリミティブの関数値またはデータ値に設定される要素、すなわち種類と状態は以下の通りである。なお、括弧内は種類または状態を示す略記号である。
［データ値の種類］
・一般データ（ＧＤ）
・ＩＤデータ（ＩＤ）
・テンポラリデータ（ＴＤ）
・長期鍵（ＬＬＫ）
・パスワード（ＰＷ）
［関数値の種類］
・固定値（ＦＶ）
・テンポラリ値（ＴＶ）
［データ値または関数値の状態］
・公開状態（ＰＳ）
・秘密状態（ＳＳ）

＜検証項目＞
次に、認証または鍵交換のプロトコルの安全性に対する検証項目について説明する。本実施形態では、２パーティ（２ユーザ間、サーバおよびクライアント間等）での認証または鍵交換のプロトコルを対象とし、以下の３点を前提とする。

・認証または鍵交換のプロトコルにおいて、秘密鍵やパスワード等の長期鍵を使用している場合、共有すべきパーティは予め同じ長期鍵を何らかの安全な手順で共有しておくこととし、その手順に脆弱性はないとする。
・認証または鍵交換のプロトコルにおいて、公開鍵を使用している場合、各パーティは認証局等の第三者機関との間で公開鍵証明書の正当性を確認することができることとし、その手順に脆弱性はないとする。
・暗号プリミティブは危殆化していないとする。なお、認証または鍵交換のプロトコルにおいて、危殆化した暗号プリミティブが使用されている場合、検証装置１はこのプロトコルを安全でないと判定する。

図２〜図６の表において、認証または鍵交換のプロトコルの安全性を、レベルすなわち安全性の種類に応じて検証する検証項目を示す。

なお、表の枠内に複数の記号が表記されている場合は、これらのいずれか１つであってよいことを示している。また、図中の「−−−」は、検証に関係する関数または引数が存在しないことを示している。また、引数ＡおよびＢは入れ替わっていてもよい。

ＭＣ−ＲＫＣＩの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図２に示す組合せのいずれかと一致することである。

ＳＳ−ＲＵＫＳの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図３に示す組合せのいずれかと一致することである。

ＳＳ−ＳＦＳの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図４に示す組合せのいずれかと一致することである。

ＳＳ−ＷＢＳの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図５に示す組合せのいずれかと一致することである。

ＲＵＯＤＡの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図６に示す組合せのいずれかと一致することである。

＜検証装置の構成＞
図７は、本実施形態に係る認証または鍵交換のプロトコルの安全性を検証する検証装置１の構成を示す図である。
検証装置１は、制御部１０と、記憶部２０と、入力部３０と、表示部４０と、を備える。

制御部１０は、検証装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、上述のハードウェアと協働し、本発明に係る各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。

記憶部２０は、ハードウェア群を検証装置１として機能させるための各種プログラムや、本発明の機能を制御部１０に実行させるプログラム、データベース等を記憶する。具体的には、記憶部２０は、上述の暗号プリミティブの種類および役割、ならびに暗号プリミティブの関数値またはデータ値の種類と状態、さらには、上述の各安全性とその検証項目とを記憶している。なお、記憶部２０に記憶される検証項目は、上述の安全性の全部または一部であってよい。また、記憶部２０は、ハードディスク、光ディスクドライブ、あるいは半導体メモリ等、様々な記憶装置のいずれかにより構成されてよい。

入力部３０は、検証装置１に対するユーザ（検証装置１の管理者）からの指示入力を受け付けるインタフェース装置である。入力部３０は、例えばキーボードやマウス等により構成される。

表示部４０は、ユーザ（検証装置１の管理者）にデータの入力を受け付ける画面を表示したり、検証装置１による処理結果の画面を表示したりするものである。表示部４０は、ブラウン管表示装置（ＣＲＴ）、液晶表示装置（ＬＣＤ）等のディスプレイ装置であってよい。

なお、本発明でいうコンピュータとは、制御装置や記憶装置等を備えた情報処理装置である。検証装置１は、制御部１０や記憶部２０等を備えた情報処理装置であり、この情報処理装置は、本発明のコンピュータの概念に含まれる。

また、制御部１０は、プロトコル受付部１０１と、暗号プリミティブおよびデータ列挙部１０２と、種類設定部１０３と、役割設定部１０４と、要素設定部１０５と、安全性選択部１０６と、検証項目判定部１０７と、安全性判定部１０８と、を備える。

プロトコル受付部１０１は、入力部３０からの指示入力に基づいて、安全性の検証対象である認証または鍵交換のプロトコルの仕様データの入力を受け付ける。

暗号プリミティブおよびデータ列挙部１０２は、プロトコル受付部１０１により受け付けたプロトコルの仕様データから、このプロトコルにおいて使用されている暗号プリミティブとデータを全て列挙する。

種類設定部１０３は、暗号プリミティブおよびデータ列挙部１０２により列挙された暗号プリミティブの目的としての種類を、上述のＳＫＥ、ＥＰＷ、ＰＫＥ、ＤＨ、ＳＩＧ、ＨＦ、ＭＡＣの中から選択して設定する。

役割設定部１０４は、種類設定部１０３により種類が選択された暗号プリミティブの役割を、上述のＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯ、ＰＮＡの中から選択して設定する。

要素設定部１０５は、暗号プリミティブおよびデータ列挙部１０２により列挙された暗号プリミティブとデータの値について、プロトコルの仕様に従い、種類を上述のＧＤ、ＩＤ、ＴＤ、ＬＬＫ、ＰＷ、ＦＶ、ＴＶの中から選択し、また状態を上述のＰＳ、ＳＳの中から選択して設定する。

ここで、これら暗号プリミティブの関数値およびデータ値の種類と状態とは、プロトコルのフローの順に設定される。なお、状態はセッション中での以前のフローに応じて更新されていく。また、公開状態（ＰＳ）と秘密状態（ＳＳ）では、公開状態（ＰＳ）が優先されることとする。

安全性選択部１０６は、プロトコル受付部１０１により受け付けた検証対象のプロトコルに対して要求されている安全性を選択する。具体的には、入力部３０を介して、上述の（ａ）ＭＣ−ＲＫＣＩ、（ｂ）ＳＳ−ＲＵＫＳ、（ｃ）ＳＳ−ＳＦＳ、（ｄ）ＳＳ−ＷＢＳ、（ｅ）ＲＵＯＤＡの中から選択入力を受け付ける。なお、選択される安全性は複数であってよく、プロトコルを運用する上で必要とされる最低限の安全性が選択されることが好ましい。

例えば、認証プロトコルにおいて、ＭＣ−ＲＫＣＩの場合は全フローに加えて一方の長期鍵が得られなければ攻撃を受けないのに比べて、ＲＵＯＤＡの場合は全フローさえ得られれば攻撃を受ける可能性があるので、ＲＵＯＤＡを優先して安全性を選択すべきである。また、鍵交換プロトコルにおいて、ＲＵＯＤＡやＳＳ−ＲＵＫＳに比べて、ＳＳ−ＷＢＳ、さらにＳＳ−ＳＦＳは、より多くのデータが得られなければ攻撃を受けない。したがって、ＳＳ−ＳＦＳよりＳＳ−ＷＢＳ、さらにＳＳ−ＷＢＳよりＳＳ−ＲＵＫＳおよびＲＵＯＤＡを優先して安全性を選択すべきである。

検証項目判定部１０７は、種類設定部１０３、役割設定部１０４および要素設定部１０５により設定された情報を用いて、安全性選択部１０６により選択された各安全性に対する上述の検証項目を記憶部２０から読み出し検証する。

また、検証項目判定部１０７は、プロトコルにおいて要求されているセキュリティパラメータ（例えば、鍵のサイズ等）を設定する。対応する暗号プリミティブの関数値やデータ値のサイズが設定されたセキュリティパラメータを満足しているか否かを確認し、満足していないサイズが１つでもある場合、安全性判定部１０８によりプロトコルは安全ではないと判定される。

安全性判定部１０８は、安全性選択部１０６により選択された全ての安全性に関して、検証項目判定部１０７により検証項目を満足していると判定された場合に、プロトコルが安全であると判定する。一方、安全性判定部１０８は、検証項目を満足していない安全性が１つでもある場合には、プロトコルは安全ではないと判定する。

＜処理フロー＞
図８は、本実施形態に係る検証装置１の制御部１０にて実行される検証方法の流れを示すフローチャートである。

ステップＳ１では、制御部１０は、受け付けた認証または鍵交換のプロトコルにおいて使用されている暗号プリミティブとデータを全て列挙する。

ステップＳ２（種類設定ステップ）では、制御部１０は、ステップＳ１で列挙された暗号プリミティブの目的としての種類を、記憶部２０に記憶されている情報と比較することにより判断して設定する。

ステップＳ３（役割設定ステップ）では、制御部１０は、ステップＳ２で種類が設定された暗号プリミティブの役割を、記憶部２０に記憶されている情報と比較することにより判断して設定する。

ステップＳ４（要素設定ステップ）では、制御部１０は、ステップＳ１で列挙された暗号プリミティブとデータの値について、プロトコルの仕様に従い、記憶部２０に記憶されている情報と比較することにより種類と状態とを判断して設定する。

ステップＳ５（安全性選択ステップ）では、制御部１０は、受け付けた認証または鍵交換のプロトコルに対して要求されている安全性を、記憶部２０に記憶されている所定の種類の中から選択する。

ステップＳ６（検証項目判定ステップ）では、制御部１０は、ステップＳ２、ステップＳ３およびステップＳ４で設定された各情報を用いて、ステップＳ５で選択された各安全性に対する検証項目を記憶部２０から読み出し検証する。そして、制御部１０は、ステップＳ５で選択された全ての安全性に関して検証項目を満足しているか否かを判定する。この判定がＹＥＳの場合はステップＳ７に移り、判定がＮＯの場合はステップＳ８に移る。

ステップＳ７（安全性判定ステップ）では、制御部１０は、検証対象である認証または鍵交換のプロトコルが要求されている安全性を全て満たしているため、このプロトコルは安全であると判定する。

ステップＳ８（安全性判定ステップ）では、制御部１０は、検証対象のプロトコルが要求されている安全性のいずれかを満たしていないため、このプロトコルは安全ではないと判定する。

なお、本処理は、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムがコンピュータにインストールされる。また、当該プログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

以上のように、本実施形態によれば、認証または鍵交換のプロトコルについて、要求されている安全性を選択して、それぞれの安全性を検証することができる。すなわち、本実施形態によれば、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。

１ 検証装置
１０ 制御部
２０ 記憶部
３０ 入力部
４０ 表示部
１０１ プロトコル受付部
１０２ 暗号プリミティブおよびデータ列挙部
１０３ 種類設定部
１０４ 役割設定部
１０５ 要素設定部
１０６ 安全性選択部
１０７ 検証項目判定部
１０８ 安全性判定部

Claims (6)

1. 認証または鍵交換のプロトコルの安全性を検証する検証装置であって、
   前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部と、
   前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定部と、
   前記種類設定部により種類が設定された暗号プリミティブの役割を設定する役割設定部と、
   前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定部と、
   要求に応じて検証対象の安全性を選択する安全性選択部と、
   前記安全性選択部により選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定部により設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定部と、
   前記検証項目判定部により前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定部と、を備える検証装置。
2. 前記フレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）と表現され、
   関数ｇの役割は、前記認証のプロトコルにおける認証の対象となる第１の暗号プリミティブ、前記鍵交換のプロトコルにおける鍵生成対象となる第２の暗号プリミティブ、フロー上に現れる第３の暗号プリミティブ、または前記第１から第３の暗号プリミティブおよび前記第１から第３の暗号プリミティブの引数に含まれる第４の暗号プリミティブのいずれでもない第５の暗号プリミティブのいずれかであり、
   関数ｆの役割は、関数ｇの役割が前記第１から第３の暗号プリミティブのいずれかである場合には、前記第４の暗号プリミティブであり、関数ｇの役割が前記第５の暗号プリミティブである場合には、前記第１から第３の暗号プリミティブのいずれかであり、
   引数Ａ、ＢおよびＣは、暗号プリミティブの関数値またはデータ値であることを特徴とする請求項１に記載の検証装置。
3. 前記フレームワークの関数に設定される前記第１から第４の暗号プリミティブの種類は、共通鍵暗号、パスワードを用いた暗号化、公開鍵暗号、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族、ディジタル署名、ハッシュ関数またはメッセージ認証コードのいずれかであり、
   当該関数の引数は、一般データ、ＩＤデータ、テンポラリデータ、長期鍵、パスワード、関数固定値または関数テンポラリ値と、公開状態または秘密状態と、の組合せを示す要素値であることを特徴とする請求項２に記載の検証装置。
4. 前記認証または鍵交換のプロトコルにおける検証項目は、関数ｇおよび関数ｆの種類と、引数Ａ、引数Ｂおよび引数Ｃのそれぞれに設定される要素値と、の組合せであることを特徴とする請求項３に記載の検証装置。
5. コンピュータが認証または鍵交換のプロトコルの安全性を検証する検証方法であって、
   当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部を備え、
   前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
   前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
   前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
   要求に応じて検証対象の安全性を選択する安全性選択ステップと、
   前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
   前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を前記コンピュータが実行する検証方法。
6. コンピュータに認証または鍵交換のプロトコルの安全性を検証させるための検証プログラムであって、
   当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおける鍵漏洩なりすまし攻撃に対する安全性および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける未知鍵共有攻撃に対する安全性、強前方秘匿性（ｓｔｒｏｎｇ ｆｏｒｗａｒｄ ｓｅｃｒｅｃｙ）、弱後方秘匿性（ｗｅａｋ ｂａｃｋｗａｒｄ ｓｅｃｒｅｃｙ）および検出不可能なオンライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、の少なくとも一部を記憶する記憶部を備え、
   前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
   前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
   前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
   要求に応じて検証対象の安全性を選択する安全性選択ステップと、
   前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
   前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、をコンピュータに実行させるための検証プログラム。

Images