JP6166397B2 - セキュアな信頼された時刻技法のための方法および装置 - Google Patents

Description

この方法および装置は、無線通信に関するものである。

様々なビジネスケースにおいて特定のイベントの実時間を記録するために、信頼できるローカル時刻が必要である。例えば、「オフライン」シナリオでの特定の消費データを記録する場合、その消費の日付を確実に（セキュアに）するために、信頼できる内部クロックが必要である。適用分野は、エネルギー生産（例えば分散型プラント）、同期ソフトウェアにおけるアプリケーションから、ＤＲＭ（デジタル著作権管理;digital rights management）の使用事例にまで及ぶ。その共通点は、物理的または経済的な外部性が原因で、外部の時刻標準機関を必ずしも利用できるとは限らないことである。

ＴＣ（信頼できるコンピューティング；Trusted Computing)は、時刻に関係するカウンタ値を他の当事者（party）に伝達し、それらのカウンタ値を信頼されたプラットフォームの内部で保護するために、ＴＰＭ（信頼されたプラットフォームモジュール；Trusted Platform Module)の手段を提供する。しかし、これらの限られた機能（capability）を拡張してセキュアな時間調整を可能にし、精度ステートメント（accuracy statement）を提供することが有用である。

信頼されたプラットフォームの機能を使用して、信頼された時刻ステートメントを得る目標を考慮すると、ＴＣＧの仕様にはいくつかの欠点がある。ここで、信頼された時刻ステートメントは、以前のある時点におけるプラットフォームのティック・カウンタ値（tick counter value）が、定義済みの証明可能な精度を有するある実時間値（real time value）に一致することを外部の検証者が信頼することを可能にする。

第１に、特定のプラットフォームＰにおいて、信頼に対する関連付けがない。すなわち、ティック・スタンプ単独では、そのスタンプがどのプラットフォームから、どの状態で生成されたのかを示さない。そのティック・スタンプは、プラットフォームが、その内部にハードウェアＴＰＭを備える信頼されたプラットフォームであったかどうかさえ示さない。ティック・スタンプのデータ構造は、特にＴＰＭのソフトウェアエミュレーションを使用して誰でも偽造することができる。したがって、信頼できるティック・スタンピングの方法を有することが望ましい。

第２に、ＴＩＲは、非常に正確な場合も正確でない場合もあり、ＴＰＭの寿命にわたって精度を失うかもしれない、ＴＰＭのインスタンスにプレインストールされる工場値である。このＴＩＲは、ＴＣＶから実時間値を計算するために極めて重要なので、任意の時点における実ＴＩＲを評価するための信頼できる方法が望ましい。

第３に、ＴＣＧの仕様によって定義される精度ステートメントは、ＴＣＶに関してある一時点しか固定(fix)しない。精度を向上すること、すなわちアサーション（assertion）の信頼性を維持しながら、一定のＴＣＶ間隔と実時間クロック値との関係の制限をより強化することが望ましい。

第４に、分散システムにおける時刻同期は、精度を得るために多くの時刻源（time source）を使用する場合がある。それらの方法を含むために、信頼できる時刻ステートメントを拡張することが望ましい。

最後に、ＴＣＶは、ＴＰＭの仕様に照らして予測できないイベント時にリセットする必要があるので、ＴＣＶの有用性は大幅に限られる。アクティブなティック・カウンタ・セッションはＴＳＮによって一意の状態にされるが、ティック・カウンタ・セッション間でＴＣＶの関連をＲＴＣ値にブリッジすることが望ましい。ＴＣＶの、例えばＤＲＭ（デジタル著作権管理；Digital Rights Management）との関連での実使用事例も望ましい。

無線通信において時刻値を保護するための方法および装置を使用する。この装置は、ＴＰＭを備える。ＴＰＭは、時刻標準機関（ＴＡ；time authority）とメッセージの交換を行い、この装置のＴＰＭのティック・カウンタからのティック・スタンプを、ＴＡによって提供される実時間クロック値に合わせる（align）。この装置は、タイムスタンプ要求を送信し、その要求に応答してタイムスタンプを受信する。この装置は、ティック・スタンプを生成して送信し、それに応答して代替精度ステートメントを受信する。

第２の実施形態では、この装置はタイムスタンプを受信し、送信用に２つの連続したティック・スタンプを生成する。この実施形態では、２つのティック・スタンプを送信することに応答して、この装置は修正されたタイムスタンプを受信する。その修正されたタイムスタンプを受信すると、この装置はその修正されたタイムスタンプをティック・スタンプする。

第３の実施形態では、ＡＩＫ（証明識別鍵；attestation identity key）からＣＳＫ（証明済み署名鍵；certified signing key）を生成することによって、精度ステートメントを保護することができる。この実施形態では、精度ステートメントおよびＴＴＳ（信頼できる時刻ステートメント；trusted time statement）を生成する。ＡＩＫ信用証明、ＣＳＫの一部分、精度ステートメント、または署名データを明らかにすることができる。

より詳細な理解は、添付図面とともに例として示す、以下の説明から得ることができる。

信頼できるローカル時刻を確立するように構成されるＷＴＲＵ（無線送受信ユニット）の一例の図である。 信頼できるローカル時刻を確立するように構成されるＷＴＲＵの一例の別の図である。 代替精度ステートメントを生成することを明示する方法の一例の流れ図である。 代替精度ステートメントを生成することを明示する方法の一例の別の流れ図である。 代替精度を生成することの改変形態を明示する方法の一例の流れ図である。 信頼できるＴＩＲ測定を明示する方法の一例の図である。 精度ステートメントを保護するための方法を明示する方法の一例の図である。 遠隔証明プロセスの一例の流れ図である。 メタセッションを明示する方法の一例の図である。 ＤＲＭにおいて、信頼できるコンピューティング技術を使用することに関する流れ図および方法の一例である。

以下言及する際、用語「ＷＴＲＵ（無線送受信ユニット）」は、ＵＥ（ユーザ装置）、移動局、固定／モバイル加入者ユニット、ページャ、携帯電話、ＰＤＡ（携帯情報端末）、コンピュータ、または無線環境で動作可能な他の任意のタイプのユーザデバイスを含むが、これだけに限定されない。以下言及する際、用語「基地局」は、Ｎｏｄｅ−Ｂ、サイトコントローラ、ＡＰ（アクセスポイント）、または無線環境で動作可能な他の任意のタイプのインターフェイスデバイスを含むが、これだけに限定されない。以下言及する際、用語「ＳＩＭ」は、ＳＩＭ ＩＣＣ、ＵＳＩＭ、ＵＩＣＣ（汎用集積回路カード）、ＲＵＩＭ（リムーバブルユーザ識別モジュール）、またはＷＴＲＵの識別情報を含む他の任意のリムーバブルメディアを含む。簡単にするため、以下、ＴＰＭまたはそのモバイル変形体のＭＴＭを同義的に言及する。

定義上、ティック・スタンプとは、ＴＰＭによってもたらされる時刻ステートメントであるのに対し、タイムスタンプとは、外部のＴＡ（時刻標準機関）によってもたらされる時刻ステートメントである。ＴＡは、時刻ステートメントの一定の精度を保証するために使用することができる。ティック・スタンプは、ティック・カウンタがリセットされた時刻に関連した既知の時間単位数とすることができるのに対し、タイムスタンプは実際の実時間値である。

ＴＰＭ、またはＴＰＭのモバイル変形体のＭＴＭ（モバイルの信頼されたモジュール；Mobile Trusted Module）は、安全に保護された読出し専用のＴＣＶ（ティック・カウンタ値；Tick Counter Value）を提供し、そのティック・カウンタ値は、ＴＰＭを備えるデバイスが新たな起動サイクルを開始することなどの特定のイベント時にゼロで初期化される。このＴＣＶは、できるだけ長く有効であり続ける。以前のＴＣＶが（例えば電源異常が原因で）失われたために、または新たなＴＣＶ始点を余儀なくさせるサービスプロバイダとの新たな契約により、新たなＴＣＶが必要な場合には、ＴＰＭの乱数発生器により、新たな一意のＴＳＮ（ティック・セッション・ノンス；Tick Session Nonce）値を生成する。外部エンティティと通信する際、一定のＴＳＮ値を使用するこの期間をティック・セッションと呼ぶ。このティック・セッションは、デバイスによって発行される時刻ステートメントに関する一意のセキュリティ・コンテキストを提供する。ＴＣＧの設計の根底にある前提は、ティック・セッションごとに、他のセキュアな時間スケールに対して少なくとも１つの外部接続が提供されることである。このことは、ティック・カウンタが十分正確であるという条件で、必要なだけの数のタイムスタンプをＴＰＭに適用させるための要件を満たすのに十分である。

ＴＣＧの標準によって提供されるセキュアタイム機能の全体の時間機能は、以下の機能的構成要素と、データ構造と、コマンドと、に依存する。タイミング・ティック（Timing Ticks）は、あらかじめ定義されたＴＩＲ（ティック・インクリメント率；Tick Increment Rate、ミリ秒単位）によりティック・カウンタ値（ＴＣＶ）を維持しインクリメントするための、任意のプラットフォーム上のＴＰＭの強制的機能（mandatory capability）を包含する。この仕様は、ＴＰＭ内にティック・カウンタを実装するために必要な機構についての要件、または、ＴＰＭがプラットフォーム上のパワーサイクルにわたり、もしくは様々なパワーモードにおいてティック・カウンタをインクリメントする能力についての要件を設けない。ただし、各ティック・セッションの開始時に、ＴＣＶは０に設定する必要がある。ＴＰＭが、ＴＩＲに従ってＴＣＶをインクリメントする能力を失う場合、そのＴＰＭは新たなティック・セッションを開始する必要がある。これが起こる場合、そのティック・セッションは実装形態に従って決定され、プラットフォームに固有である。特に、このティック・セッションは、必ずしもＴＰＭの初期化サイクルと同一とは限らない。

ＴＣＧの仕様は、ＴＰＭがティックカウントの改ざん（tampering）を発見する場合、明示的プロセスを要求することに留意すべきである。この場合、ＴＰＭはこの改ざんを攻撃として処理し、あたかもセルフテストが失敗したかのように、それ以上のＴＰＭ処理をシャットダウンしなければならない。

ＴＳＮは、個々の新たなティック・セッションの開始時にＴＰＭの内部乱数発生器によって生成され、各ティック・セッションの終了時にすべてゼロに強制される。

ＣＵＲＲＥＮＴ＿ＴＩＣＫＳ ＴＰＭ構造は、１つの構造の中にＴＣＶと、ＴＳＮと、ＴＩＲとを含む特性を有する。タイミング・ティックの機能で動作するすべてのＴＰＭコマンドにおいては、この構造のみが使用される。これは、そのようなすべての動作においてティック・セッションの識別が維持されることを保証する。さらに、これは、ＴＣＶ（差）とＴＩＲとを掛けることにより実時間への関連付けを可能にし、精度（例えば、ずれ）を評価する基礎となる。ＴＰＭ構造の定義上、ＣＵＲＲＥＮＴ＿ＴＩＣＫＳは操作に対してセキュアである。ただし、ＴＰＭの外部でデータが使用される場合には、ティック・セッションおよびＴＩＲへの、これらの関連性を維持することはＣＵＲＲＥＮＴ＿ＴＩＣＫＳデータ構造の責任である。

ＴＰＭ＿ＧｅｔＴｉｃｋｓコマンドは、ＣＵＲＲＥＮＴ＿ＴＩＣＫＳ構造をデータ構造として返す。このコマンドは公開されており、認証を必要としないことに留意されたい。

ＴＰＭ＿ＴｉｃｋＳｔａｍｐＢｌｏｂコマンドは、データブロブ（data blob）についてのティック・スタンプを作成するために使用される。このコマンドは、例えば使用される署名鍵がロードされた認証セッション内でこのコマンドを呼び出すことによりその実行に関して認証を必要とする署名操作（signing operation）である。実際に署名されるデータは、このコマンドの鍵処理入力パラメータに含まれる署名方式によって決まる。

次いでこの操作は、（大括弧内でさらに使用するための略称を伴う）以下のデータについてデジタル署名を作成する。特定の「固定」（fixed）データフィールド内に、ＴＰＭ＿ＳＩＧＮ＿ＩＮＦＯデータ構造によって具体化される署名情報、ＡＳＣＩＩストリング「ＴＳＴＰ」が挿入され、この署名がティック・スタンプであることを示す。［Ｄ（ｂｌｏｂ）］は、ティック・スタンプされるブロブのハッシュ値（タイプＴＰＭ＿ＤＩＧＥＳＴのｄｉｇｅｓｔＴｏＳｔａｍｐ）である。このダイジェストを生成するのは、発呼者（caller）の責任である。外部ノンス（Ｎｅ）は、リプレイ攻撃を防ぐために使用する、外部から提供される２０バイトの値である。発呼者は、この外部ノンスのために任意の値を挿入することができる。ＣＵＲＲＥＮＴ＿ＴＩＣＫＳ内のデータ、すなわちＴＣＶと、ＴＳＮと、ＴＩＲとを使用することもできる。

以下、表記ＴＳ［Ｋｅｙ］（Ｄ（ｂｌｏｂ），Ｎｅ，ＴＣＶ，ＴＳＮ，ＴＩＲ）を使用するが、ときとして混乱が生じる可能性がなく、議論の進め方の中で一部のパラメータが何の役割も果たさない場合に、ＴＳ（Ｄ，ＴＣＶ）、ＴＳ［Ｋｅｙ］（ＴＣＶ，ＴＳＮ）等の短縮した変形体で使用する。エンティティの複数のインスタンスが使用される場合には、ＴＣＶ＿１、ＴＳＮ＿ａ、Ｄ（ｂｌｏｂ）＿１やＤ＿１、ＴＳ＿１，．．．，ＴＳ＿ｎ等の添え字表記を使用する。現実の物理的時刻は、ｔ＿１，．．．，ｔ＿ｎとして示す。ある実時間におけるティック・カウンタの値は、ＴＣＶ（ｔ）として記す。

以下、ＴＰＭ＿ＴｉｃｋＳｔａｍｐＢｌｏｂコマンドおよびＴＰＭ＿ＧｅｔＴｉｃｋｓコマンドを単に呼び出し、実行することに関連する時間的誤差は無視する。つまり、実時間ｔにおいていずれかのコマンドを呼び出すとき、そのコマンドはＴＳ（ＴＣＶ（ｔ））、ＴＣＶ（ｔ）をそれぞれ返す。このことは、ＴＩＲ対ＴＣＶ取出し遅延（fetching delay）の比率、すなわち、コマンドが現在のＴＣＶを取得することができる待ち時間に依拠する、一定の確度でのみ真実であることに留意されたい。これは、プラットフォーム上でのＴＣＶと実時間との内的関連付けが区分的に１対１であり、ＴＣＶが一定値を有する期間にわたり、次式のようにＴ（ＴＣＶ）として表すことができることを意味する。
｜Ｔ（ＴＣＶ）｜＝ＴＩＲであれば、Ｔ（ＴＣＶ）：＝［ｔ：ＴＣＶ（ｔ）＝ＴＣＶ］ 等式１

一定のＴＣＶの間隔は、ＴＣＶの様々な値に対して別々（disjointed）であり、ＴＣＶ＿１＜＝ＴＣＶ＿２のときに限り、一定のＴＣＶの１組の間隔についての完全な順序付けを引き起こす場合にＴ（ＴＣＶ＿１）＜＝Ｔ（ＴＣＶ＿２）を定めることができる。実時間を一定のＴＣＶの間隔に関係させるステートメントは、Ｔ（ＴＣＶ）内のあるｓに関し、ｓ＜＝ｔのときかつそのときに限り、Ｔ（ＴＣＶ）＜＝ｔによって定義される。つまり、Ｔ（ＴＣＶ）＜＝ｔは、ｔが間隔Ｔ（ＴＣＶ）の右または中にあることを意味する。

ＴＣＧの仕様は、標準ではない情報を提供するコメントにおいて、ＴＣＶを実時間に関連付けるための１つの方法を提供する。その方法は、ＴＳｔａｍｐ（ｄａｔａ，ｔ）で示す任意のデータのタイム・スタンピングを実行することができる外部の時刻標準機関（ＴＡ）を呼び出す。この仕様は以下の事項を規定する。まず、プラットフォームＰが、ある任意の知られているデータについて、時間ｔ＿１においてＴＳ（ＴＣＶ（ｔ１））を生成する。このティック・スタンプは、直ちにＴＡに送信される。次に、そのＴＡが、時間ｔ＿ａにおいて、タイムスタンプＴＳｔａｍｐ（ＴＳ（ＴＣＶ（ｔ＿１）），ｔ＿ａ）を生成し、それをＰに送り返す。次いで、ＰはそのタイムスタンプをＴＡから受信し、ＡＳ（ＴＣＶ（Ｔ＿１），ｔ＿ａ，ＴＣＶ（ｔ＿２））：＝ＴＳ（ＴＳｔａｍｐ（ＴＳ（ＴＣＶ（ｔ＿１）），ｔ＿ａ），ＴＣＶ（ｔ＿２））を直ちに生成する。これは、以下の時間的結合関係を外部の検証者に証明するために使用することができる署名されたアサーションである。
Ｔ＿１＜＝ｔ＿ａ＜＝Ｔ＿２、ただし、Ｔ＿１／２：＝Ｔ（ＴＣＶ（ｔ＿１／２））である。 等式２

この例では、時間ｔ＿ａについての精度ステートメントを示すために表記ＡＳ（ｔ＿ａ）を導入する。この精度ステートメントは、デバイス上に記憶され、タイムスタンプをテストする当事者や他のプラットフォームなど、このステートメントを必要とする任意の場所に配信されることができる。Ｔ＿１とＴ＿２との差は、プラットフォームからＴＡへの往復時間（round trip time）に等しく、後の実時間に対する実際のＴＣＶの最大時間差を推定するために使用することができる。この差は、次式に示すよりも大きくはない。
ｄ（Ｔ＿１，Ｔ＿２）：＝｛ｓｕｐ｜ｔ＿１−ｔ＿２｜；ただし、ｔ＿１／２はＴ＿１／２の中にある｝ 等式３

ＴＰＭのプラットフォーム証明書と、（ＴＡからの証明書を含む）他のすべての証明書との組み合わせで、このデバイスは、自らの時刻が信頼された情報源から生じること、ならびに、ＡＳおよびプラットフォーム固有のクロックのずれに基づいて実時間に対する最大差が何かを論証することができる。プラットフォームは、ティック・スタンプと、ＴＡからのタイムスタンプと、信頼されたコンピューティングの他の方法とを使用し、ＲＴＣ（実時間クロック；Real Time Clock）値、および特定のＴ（ＴＣＶ）に対するそれらの値の関係についての信頼できるアサーションを行うことができる。これらのアサーションは、ＴＴＳ（信頼された時刻ステートメント：trusted time statement）と呼ぶ。

図１は、信頼できるローカル時刻を確立するように構成されるＷＴＲＵ１００の図の一例である。このＷＴＲＵ１００は、拡張ＳＩＭ ＩＣＣ１０５と、プラットフォーム・プロセッサ１０８と、アプリケーション・プロセッサおよびＳＷ１１０と、通信プロセッサ１１５と、データ用外部メモリ１２０と、を含む。アプリケーション・プロセッサ１１０は、ＤＲＭ（デジタル著作権管理）エージェント（図示せず）を含むことができる。

拡張ＳＩＭ ＩＣＣ１０５は、汎用ＳＩＭ ＩＣＣの一般的に知られている機能を実行するように構成されるＳＩＭ機能ブロック１２５を含む。さらに、この拡張ＳＩＭ ＩＣＣ１０５は、ＳＴＣ（セキュア・タイム・コンポーネント；secure time component）１３０を含む。ＳＴＣ１３０は、時刻報告及び同期コントローラ１３５と、ＲＴＣ１４０と、改ざん検出及び電源障害ユニット１４５と、を含む。この拡張ＳＩＭ ＩＣＣ１０５には、ＴＰＭユニット１５０も含まれる。

拡張ＳＩＭ ＩＣＣ１０５上に位置する既存ＳＩＭ機能ブロック１２５は、電話機を識別するために使用するマスタ・シークレットを保持し、このＷＴＲＵとネットワークとの間にセキュアなチャネルを確立することを支援するための認証サービスを提供するように構成される。このデバイスの中にルート識別がセキュアに保持され、ＳＩＭのセキュアなまたは信頼できる領域の外部には決して漏らされない。この既存ＳＩＭブロック１２５は、３ＧＰＰ ＡＫＡ（認証および鍵合意；Authentication and Key Agreement）関連手順に必要な機能およびアルゴリズムも実行する。

時刻報告及び同期コントローラ１３５と、ＲＴＣ１４０と、改ざん検出及び電源障害ユニット１４５とは、拡張ＳＩＭ ＩＣＣ１０５上に位置するＳＴＣ１３０を構成する。このＳＴＣ１３０は、特定のイベントまたはデータエントリの時刻についての確実な記録を、要求側エンティティに対する出力として、時刻証明書または時刻関連データの署名の形で提供するように構成される。

時刻報告及び同期コントローラ１３５は、ＲＴＣ１４０と改ざん検出及び電源障害ユニット１４５との機能を制御するように構成される。さらに、この時刻報告及び同期コントローラ１３５は、既存ＳＩＭ機能ブロック１２５と、外部時刻標準機関１６５と、プラットフォーム・プロセッサ１０８とに結合することができる。時刻報告及び同期コントローラ１３５を既存ＳＩＭ機能ブロック１２５に結合する場合、ＳＩＭブロック１２５は、電話帳用のデータベースなどの自らのデータベース内のセキュアな時刻測定を利用できるようになる。

ＲＴＣ１４０は水晶発振器を含むことができる。ただし、ＲＴＣ１４０内で、他の正確な時間管理デバイスを使用することができることを当業者なら理解されよう。拡張ＳＩＭ ＩＣＣ１０５は、ＲＴＣの水晶振動子を物理的に除去することが拡張ＳＩＭ ＩＣＣ１０５を動作不能にするように構成することができる。この特徴は、改ざん検出及び電源障害ユニット１４５にも導入することができる。

改ざん検出及び電源障害ユニット１４５は、電源異常が発生した場合に、ＳＴＣ１３０のセキュアな性質を維持する手段を提供するように構成される。このユニットは、ＴＰＭおよびＲＴＣに電源を供給するための電源接続を含むことができる。このユニット１４５は、改ざんを検出する場合にアラームをトリガするための改ざん検出回路も含むことができる。このユニットの改ざん検出部は、ハードウェアレベルおよびソフトウェアレベルの改ざんを防ぐための改ざん防止機能を含むこともできる。このユニット１４５の電源異常部は、電源異常が発生した場合に、ＲＴＣコンテンツを不揮発性メモリに保存するのに必要な長さの期間にわたる保有を可能にするための十分なエネルギーを蓄積するように構成されるコンデンサまたは他の短期エネルギー蓄積コンポーネントを含むこともでき、またはこの拡張ＳＩＭは、自らの専用の、かつ取り除けないように機械的に固定されたバックアップバッテリを備えることができる。

ＴＰＭ１５０も拡張ＳＩＭ ＩＣＣ１０５上に位置し、既存ＳＩＭ機能ブロック１２５およびＳＴＣ１３０の両方に結合される。ＴＰＭ１５０およびＳＴＣ１３０の両方を拡張ＳＩＭ ＩＣＣ１０５上に配置することにより、ＳＩＭ ＩＣＣ１０５は、ＳＴＣ１３０によって作成される時刻情報に関する信頼のコアルート(core root of trust）を保護及び提供し、信頼性測定機能を提供するように構成される。ＴＰＭ１５０があることは、ＲＴＣ１４０と、関連する時刻報告及び再同期コントローラ１３５と、によって作成される時刻記録が、保護メモリに記憶されることを保証することもできる。この保護メモリは、ＴＰＭ自体の中の不揮発性メモリ内にあるか、またはＴＰＭの外部にあるが、ＴＰＭによる暗号化を用いて保護されるメモリ内に位置することができる。時刻記録のこうした保護は、電源異常の場合にも適用できる。電源異常ユニット１４５が、ＴＰＭ１５０に電源異常を警告すると、ＴＰＭ１５０は、電源異常ユニット１４５内のエネルギー蓄積デバイスの電源が切れる前に、時刻報告及び再同期コントローラ１３５から最後の記憶可能時刻記録を取得する。

本発明の構成に関し、いくつかの機能が考えられる。例えば、本発明の拡張ＳＩＭ ＩＣＣ１０５は、直接的にまたは認証手順を介して、現時刻の測定を外部の要求側アプリケーションに提供することができる。この現時刻は、同期を行うために、外部ネットワークに対してデバイスを認証する際に、または、外部ネットワークが現時刻をセキュアに提供するのに有用である。

この拡張ＳＩＭ ＩＣＣ１０５は、暗号を使用して時刻情報を保護し、デジタル署名を用いて時刻情報をデバイスに結合することもできる。あるいは、この拡張ＳＩＭ ＩＣＣ１０５は、時刻情報をデバイスに結合するために暗号化鍵を使用する暗号化により、時刻情報を保護し、結合することができる。この拡張ＳＩＭ ＩＣＣ１０５が制御するセキュアタイム情報の記憶域は、拡張ＳＩＭ ＩＣＣ１０５の内部に、またはＳＩＭ ＩＣＣ１０５の外部だが電話機の外部メモリ１２０の内部に、あるいはその両方にあってよい。

この拡張ＳＩＭ ＩＣＣ１０５を使用して、ＳＩＭ機能ブロック１２５が実行する既存のアプリケーションを向上させるための機構を提供することができる。例えば、電話帳アプリケーション／データ、同期、モバイルペイメントもしくはチケット発行アプリケーション／関連データ、認証および鍵管理機能、またはモバイル通信プロトコルスタックに関係するデータに、セキュアタイムスタンプを提供することは有益である。さらに、この拡張ＳＩＭ ＩＣＣ１０５には、本出願で後に論じるＤＲＭについての多くの実用的用途があり得る。

オプションで、ＷＴＲＵ１００は、拡張ＳＩＭ ＩＣＣ１０５上にはない第２のＲＴＣ１５５を含むことができる。この第２のＲＴＣ１５５は、オプションの時刻報告及び同期制御ＳＷ１５７を含むことができるプラットフォーム・プロセッサ１０８に接続する。この第２のＲＴＣ１５５とオプションの報告及び同期制御ＳＷ１５７との組合せは、ＷＴＲＵ１００上にオプションのＳＴＣ機能を作り出す。さらに、プラットフォーム上の第２のＲＴＣ１５５は、拡張ＳＩＭ ＩＣＣ１０５内でより厳重に保護される第１のＳＴＣ１３０が必要とし得るのと同程度の安全性の高さを必要としない場合があるアプリケーションについて使用することができる。安全性が低くて済むそのようなアプリケーションの例は、ＯＳ用のティック・カウンタ、または略式のカレンダもしくはストップウォッチアプリケーションに関する使用とすることができる。

オプションで、ＷＴＲＵ１００は、拡張ＳＩＭ ＩＣＣ１０５上にはない第２のＴＰＭユニット１６０も含むことができる。この第２のＴＰＭユニット１６０は、追加のセキュリティ機能を提供するために、拡張ＳＩＭ ＩＣＣ１０５に接続する。例えば、ＳＩＭ ＩＣＣ１０５は取り出すことができるので、各デバイス（ＳＩＭ ＩＣＣおよびプラットフォーム）上のＴＰＭが、そのデバイスの信頼のルートとしての役割を果たすことができる。したがって、第２のＴＰＭ１６０は、ＳＩＭ ＩＣＣ１０５内のスレーブＴＰＭ１５０を使用して自らの機能を検証し、さらにプラットフォームとＳＩＭ ＩＣＣ１０５との間の通信チャネル（インターフェイス）を結合するための相互認証を行うことができる。

図２は、信頼できるローカル時刻を確立するように構成されるＷＴＲＵ２００の図の別の例である。このＷＴＲＵ２００は、汎用ＳＩＭ ＩＣＣ２０５と、プラットフォーム・プロセッサ２０８と、アプリケーション・プロセッサ及びＳＷ２１０と、通信プロセッサ２１５と、データ用外部メモリ２２０と、ＲＴＣ２２５と、ＴＰＭ２３０とを含む。アプリケーション・プロセッサ２１０は、ＤＲＭエージェント（図示せず）を含むことができる。

ＲＴＣ２２５とＴＰＭ２３０とが、ＳＩＭ ＩＣＣ２０５上ではなくＷＴＲＵプラットフォーム上に配置されるので、図１のＷＴＲＵは図２のＷＴＲＵと区別される。このＲＴＣ２２５は、外部時刻標準機関２３３およびプラットフォーム・プロセッサ２０８に結合することができる。プラットフォーム・プロセッサ２０８は、ＲＴＣ２２５を制御するための時刻報告及び同期制御ソフトウェア２３５を含む。したがって、このプラットフォーム・プロセッサ２０８とＲＴＣ２２５とは合わせて、ＷＴＲＵ２００用のＳＴＣとしての機能を果たす。

このＲＴＣおよびＴＰＭを、ＳＩＭ ＩＣＣ２０５上ではなくＷＴＲＵプラットフォーム上に配置することにより、ＷＴＲＵ２００は、汎用ＳＩＭ ＩＣＣと互換性があるようになる。この実施形態は、図１の拡張ＳＩＭ ＩＣＣ１０５についての説明の中で記載したセキュア・タイム・コンポーネントの機能を引き続き提供する。例えば、ＷＴＲＵプラットフォーム上のＴＰＭ２３０は、ＲＴＣ２２５と、時刻報告及び再同期アプリケーションと、作成される時刻記録出力のセキュリティとを保護し、向上させるための手順を実行することができる。代替的実施形態では、このＷＴＲＵ２００を、ＳＩＭ ＩＣＣ１０５なしで動作するように構成することができる。そのような実施形態の一例は、非３ＧＰＰ携帯電話のＷＴＲＵである。

オプションで、ＷＴＲＵ２００は、ＳＩＭ ＩＣＣ上にオプションのＳＴＣ２４０を含むことにより、拡張ＳＩＭ ＩＣＣとともに使用するように構成することができる。このＳＩＭ ＩＣＣ２０５上のオプションのＳＴＣ２４０は、時刻報告及び再同期コントローラ２４５と、ＲＴＣ２５０と、改ざん検出及び電源障害ユニット２５５とを含むことができる。ＳＩＭ ＩＣＣ２０５上にＳＴＣ２４０を含むことは、ＳＩＭ ＩＣＣアプリケーション用のよりセキュアな時刻源を提供する。

オプションで、ＷＴＲＵ２００は、ＳＩＭ ＩＣＣ２０５上にオプションのＴＰＭ２６０を含むことにより、拡張ＳＩＭ ＩＣＣ２０５とともに使用するように構成することができる。このオプションのＴＰＭ２６０は、ＳＩＭ ＩＣＣアプリケーションにさらなる信頼およびセキュリティを与えるだけでなく、ＳＩＭ ＩＣＣ２０５上に記憶されるデータに関してさらなる保護を行うことができる。

他のいくつかの組合せおよび構成も可能であり、さらなる利点を提供し得ることを当業者なら理解されよう。例えば、ＳＩＭ ＩＣＣは、ＳＴＣを備え、ＴＰＭまたは改ざん検出ユニットなしで構成することもできる。ＳＩＭ ＩＣＣ上にＳＴＣを組み込む他の任意の実施形態も、本発明の範囲内とみなす。

別の実施形態（不図示）では、ＳＴＣがＳＩＭ ＩＣＣ上に配置され、ＴＰＭがＷＴＲＵプラットフォーム上に配置されるように、図１のＷＴＲＵ１００と図２のＷＴＲＵ２００とを組み合わせることができる。ＷＴＲＵプラットフォーム上のＴＰＭは、ＳＩＭ ＩＣＣ内のＳＴＣ、およびそのＳＴＣが作成する任意のデータのセキュリティを保護し、向上させるために使用することができる。

さらに別の実施形態（不図示）では、ＳＴＣがＷＴＲＵプラットフォーム上に配置され、ＴＰＭがＳＩＭ ＩＣＣ上に配置されるように、図１のＷＴＲＵ１００と図２のＷＴＲＵ２００とを組み合わせることができる。これらの追加の実施形態の両方で、ＷＴＲＵは、図１および図２の説明の中で記載したのと同じセキュアアプリケーションおよび操作を実行するように構成される。ＳＴＣをＳＩＭ ＩＣＣ上に備えることは、ＲＴＣ自体に対する物理的攻撃の点で、より高いレベルのセキュリティを提供できることに留意すべきである。さらに、ＳＩＭ上にＴＰＭがなければ、共有鍵、もしくは公開鍵／秘密鍵の対、または安全なチャネルのセットアップを支援するためにＳＩＭ ＩＣＣ内の秘密を共有するネットワークに備えるようにＳＩＭ機能を拡張しない限り、ＳＩＭとプラットフォームとの間のチャネルを保護することも、プラットフォームとＳＩＭ ＩＣＣとの間の相互認証を行うこともできない。

ＴＣＧの仕様は、内部のＴＰＭティック・カウンタ値を外部の信頼できる時刻源、すなわち実時間クロック源に結合するための１つの基本プロセスについて記載する。これは、以下でより詳細に説明する。ＴＣＧの仕様は、この基本的機構以上の任意の概念は含まない。

まれに接続される疎結合のデバイスは、これらの機能実装を使用して、信頼できる時刻ステートメント（ＴＴＳ）を第三者に提供するために十分なデータを収集するということを示すことができる。外部時刻を結合することは、タイムスタンプを作成したずっと後にさえ生じることができる。特に、デバイスのほとんどが決して実時間を知る必要がない方法でこの結合を行うことができる。これらの方法の背後にある共通の考えは、ティック・カウンタ値と実時間クロック値との間の関係を得るための、プラットフォーム上またはデバイス内のＴＰＭの内部ティック・カウンタと他のエンティティとの間の協働である。そのようなステートメントは、署名されたティック・カウンタ値（ティック・スタンプ）とタイムスタンプとを組み合わせ、適宜使用することによって実施される。

典型的な精度ステートメント（ＡＳ）、すなわちＴＰＭ ＡＳは、信頼およびセキュリティの観点からは十分に満足のいくものではない。検証者は、期間Ｔ＿１とｔ＿ａとの間、およびｔ＿ａとＴ＿２との間のそれぞれの実時間距離に関するＡＳによってなされるアサーションを評価し、信頼するために、それらの期間の間、ＴＰＭティック・カウンタが精度に関して適切に機能していることを信頼する必要がある。実時間クロック値に対するＴ（ＴＣＶ（ｔ））の結合を強化するための１つの方法は、Ｔ（ＴＣＶ（ｔ））を２つのタイムスタンプの間に入れることである。この例では、上述した精度ステートメントに代わるものとして、ＴＡからのタイムスタンプでＰのＴＳ（ＴＣＶ）を包み、意味的に異なるＴＴＳをもたらすことができる。

図３は、代替精度ステートメントを生成すること（３００）を明示する流れ図の一例である。ある最初の時点において、プラットフォームＰが、ある任意の知られているデータＤについてのタイムスタンプをＴＡに要求する（３１０）。ｔ＿ａにおいて、ＴＡがＴＳｔａｍｐ（Ｄ，ｔ＿ａ）を生成し（３２０）、それを直ちにＰに送り返す（３３０）。Ｐは、時刻ｔ≧ｔ＿ａにおいてそのタイムスタンプをＴＡから受信し、ＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶ（ｔ））を生成し（３４０）、それを直ちにＴＡに送り返す（３５０）。ＴＡは、その構造ＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶ（ｔ））を受信し、ｔ＿ｂにおいて、ＳＡ（ｔ＿ａ，ＴＣＶ（ｔ），ｔ＿ｂ）：＝ＴＳｔａｍｐ（ＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶ（ｔ）），ｔ＿ｂ）を生成し（３６０）、この構造を直ちにＰに送り返す（３７０）。

この代替精度ステートメントＳＡ（ｔ＿ａ，ＴＣＶ（ｔ），ｔ＿ｂ）は、次式の関係をアサートする信頼できる時刻ステートメントである。
ｔ＿ａ≦Ｔ≦ｔ＿ｂ、ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ））である。 等式４

そのような代替精度ステートメントは、ＴＰＭのティック・スタンピングが生じた真の時刻の推定範囲を証明するために外部ＴＡが使用することができる。

図４は、代替精度ステートメントを生成すること（４００）に関する別の改変形態を示す。ある最初の時点ｔ＿ａにおいて、ＴＡは、Ｐが所定の間隔Ｉ４１５にわたり２つの連続したティック・スタンプを発行するための命令を含むデータＤ（Ｉ）のタイムスタンプを発行する（４１０）。したがって、ＴＳｔａｍｐ（Ｄ（Ｉ），ｔ＿ａ）が得られる。このタイムスタンプを発行した後、ＴＡはこれを直ちにプラットフォームＰに送信する。ＴＳｔａｍｐ（Ｄ（Ｉ），ｔ＿ａ）を受信すると、Ｐは、Ｄ（Ｉ）｜｜ｔ＿ａをティック・スタンプすることにより、第１のティック・スタンプＴＳ１を生成する（４２０）。したがって、Ｐは次式のティック・スタンプを得る。
ＴＳ１：＝ＴＳ（Ｄ（Ｉ），ｔ＿ａ），ＴＣＶ（ｔ１）） 等式５

この例では、ｔ１は、このティック・スタンピングが行われるときの実時間であることに留意されたい。Ｐは、これを直ちにＴＡに送信する（４３０）。Ｐは間隔Ｉ４１５を待ち、次いで第２のティック・スタンプ、すなわち
ＴＳ２：＝ＴＳ（Ｄ（Ｉ），ｔ＿ａ｜｜ＴＳ１，ＴＣＶ（ｔ２）） 等式６
を生成する（４４０）。ただしｔ２は（Ｐにおける）ｔ＝ｔ１＋Ｉのローカル推定である。この場合もやはり、Ｐはこのティック・スタンプを直ちにＴＡに送信する（４５０）。ティック・スタンプＴＳ１およびＴＳ２の両方を受信すると、ＴＡは、以下をタイムスタンプする（４６０）。
ＳＡ’（ｔ＿ａ，Ｄ（Ｉ），ｔ＿ｂ）：＝ＴＳｔａｍｐ（ＴＳ２｜｜ＴＳ１，ｔ＿ｂ） 等式７

この代替精度ステートメントＳＡ’は、次式の関係をアサートする信頼された時刻ステートメントである。
ｔ＿ａ＜＝ｔ１＜ｔ１＋Ｉ＜＝ｔ＿ｂ 等式８

ただし、ｔ１：＝Ｔ（ＴＣＶ（ｔ１））、およびｔ２：＝Ｔ（ＴＣＶ（ｔ１＋Ｉ））である。

こうしたステートメントＳＡ’は、ＴＰＭのＴＩＲを推定するために使用することができる。

ＳＡ（ｔ＿ａ，ｔ＿ｂ）、またはＳＡ’を生成するための複合型システムの実装において、注目に値する改変形態がある。何よりもまず、２つの時刻標準機関が同一である必要がない。Ｐは、第１のタイムスタンプをＴＡから取得し、第２のタイムスタンプを別の時刻標準機関ＴＡ’から取得することができる。

図５は、ＴＡおよび／またはＴＡ’が、タイム・スタンピング機能と組み合わせられた、プラットフォームの内部エンティティ、すなわち実時間クロック（ＲＴＣ）である場合の第２の主要な改変形態を示す流れ図５００の一例である。この改変形態は、以下のようにプラットフォームの信頼されたコンピューティング機能を使用する簡潔な方法で実現することができる。各起動サイクルの開始時に、信頼されたプラットフォームＰが、特定のプログラム、ＩＴＡ（内部時刻エージェント；Internal Time Agent）を始動する（５１０）。このプラットフォームは、ＴＣＧモバイルフォンワーキンググループの仕様の安全起動機能を使用し、信頼でき、障害が起きていない状態でＩＴＡが始動され、適切に構成されることを強制する。あるいは、このプラットフォームが、起動時におけるロード済みプログラムの測定しかサポートしない場合には、ＩＴＡの存在および信頼性は、遠隔証明により少なくとも外部の検証者に証明することができる。多くの専用のＩＴＡインスタンスは、Ｐ上に共存することができる。

このＩＴＡは、以下のように、精度ステートメントを生成する際にＴＡに取って代わることができる。このＩＴＡとＲＴＣとの間には、ＩＴＡが真正の実時間値をいつでも取り出すことができる（５２０）、安全なチャネルがある。ＩＴＡは、このＲＴＣ値をＴＰＭの暗号機能を使用して、例えばＴＰＭ＿ＳｅａｌコマンドおよびＴＰＭ＿ＵｎＳｅａｌコマンドを使用して、それらのＲＴＣ値を暗号化することにより、保護することができる（５３０）。ＩＴＡは、ＴＰＭのソフトウェア暗号ライブラリまたは署名機能、例えばＴＰＭ＿ｓｉｇｎコマンドを使用して、これらのＲＴＣ値からタイムスタンプを生成する（５４０）。ＩＴＡが使用する署名鍵は、例えば特定のＩＴＡインスタンスに関連する固有鍵とすることができる。別のオプションは、ＩＴＡが、ＰのＡＩＫ（証明識別鍵）に結合されるＣＳＫ（証明済み署名鍵）を使用することであり、これは、ＣＳＫを証明する証明書がＡＩＫによって署名されることを意味する。これは、以下に記載する方法をそのまま真似て行うことができる。特定の信頼されたプラットフォームＰの中にＩＴＡが存在することを証明する利点があり、ＩＴＡが存在し、かつＩＴＡの機能に障害が起きていない信頼されたプラットフォームＰの状態は、遠隔証明のＴＣ機能により、外部エンティティが検証することができる。

ＲＴＣとＴＣＶとの結合をより強化し、ＴＣＧの仕様をその趣旨で拡張することが一部の場合に望ましいことがある。ＲＴＣおよびＩＴＡが、ＴＰＭの内部ティック・カウンタと同等の、またはそれどころかより高いセキュリティレベルを有する（例えば、どちらも特別に保護されたハードウェアによって実装される）と仮定する。すると、このＲＴＣは上記のように内部時刻標準機関として使用することができるだけでなく、ティック・カウンタに能動的に影響を及ぼすためにも使用することができる。例えば、このＲＴＣとティック・カウンタとは、同じクロック源によって駆動される場合がある。このＲＴＣは、ＩＴＡを介してまたは直接ティック・カウンタをリセットし、または、ずれを検出する場合は補正値を提供することもできる。これは、ＴＰＭ＿ＴｉｃｋＳｔａｍｐＢｌｏｂ出力の精度についての信頼性を潜在的に高める。ある者がＲＴＣ（またはその出力）を保護する場合、より信頼できるそのＲＴＣ（またはその出力）を使用するＴＰＭのティック・スタンピングもまた、より信頼できるようになることにより、（ＲＴＣの出力およびＴＰＭのティック・スタンピングを使用して時刻値をアサートする）ＩＴＡに対する信頼を改善することができる。

ＴＰＭ＿ＳＩＧＮ＿ＩＮＦＯデータ構造内の未使用領域に、ＲＴＣからの追加情報を組み込めることにも留意されたい。あるいは、強化されたＴＰＭ＿ＳＩＧＮ＿ＩＮＦＯデータ構造を規定し、ＴＣＧが義務付けるセッション値（ＴＣＶおよびＴＳＮ）だけでなく、日時の絶対的指示を提供することができる。

大抵の場合、ＴＡはＰよりも高精度の時刻ステートメントを作成するように装備が整っているため、署名の遅延を補償するようにＴＡを構成することができる。ＴＡの単純なモデルは、自らの時刻源からＵＴＣ時刻を取り出すために必要な時間ｄ＿ｔと、タイムスタンプを生成するために必要な時間Ｄ＿ｔとの両方が、例えば継続的測定によりまたは定義済み機能パラメータとして、高い精度で知られていると仮定する。Ｐ上の時間に関連するＴＰＭ操作の場合のように、ＴＡに関してもｄ＿ｔ＝０と仮定する。以下の方法をｄ＿ｔ＞０に一般化することは簡単である。以下では、ＳＡ（ｔ，ｔ’）によって示す署名遅延補償済み精度ステートメントについて記載する。

ＳＡ（ｔ＿ａ，ｔ＿ｂ）によって示す署名遅延補償済み精度ステートメントを生成する際にＤ＿ｔを補償するため、ＴＡが第１のタイムスタンプ内にＤ＿ｔを含めるように（３２０）、図３に示す方法を修正することができる。（Ｄ＿ｔ，可変要素ａ）というある代替策では、ＴＡが、時刻ｔ＝ｔ＿ａにおいて、Ｄ’によって示す署名遅延補償済みデータパッケージ用のタイムスタンプＴＳ（Ｄ’，ｔ＿ａ）を生成し（ただしＤ’＝Ｄ＿ｔ、またはＤ’＝Ｄ｜｜Ｄ＿ｔである）、そのタイムスタンプを信頼できる時刻ステートメントＳＡ（ｔ＿ａ，Ｄ’，ｔ＿ｂ）内に含める。ここでは、Ｄ＿ｔは、ＴＡがこのデータ用のタイムスタンプを生成するための、緻密に知られている（または推定された）持続時間を示す。したがって、Ｄ’＝Ｄ＿ｔの場合、ＴＡは、タイムスタンプを生成するために必要な遅延をタイム・スタンピングしているに過ぎず、Ｄ’＝Ｄ｜｜Ｄ＿ｔの場合、ＴＡはその遅延だけでなく、自らが最初にタイムスタンプしたデータＤ自体もタイム・スタンピングする（３２０）。（Ｄ＿ｔ，可変要素ｂ）という第２の代替策では、ＴＡは、ｔ＿ａにＤ＿ｔを加え、時刻ｔ＿ａにおいてタイムスタンプＴＳ（Ｄ，ｔ＿ａ＋Ｄ＿ｔ）を生成し、そのタイムスタンプを、信頼できる時刻ステートメントＳＡ（ｔ＿ａ＋Ｄ＿ｔ，Ｄ，ｔ＿ｂ）内に含め、それを直ちにＰに送り返す。結果として生じる（可変要素ａからの）信頼できる時刻ステートメントＳＡ（ｔ＿ａ，Ｄ’＝Ｄ＿ｔ，ｔ＿ｂ）、または（可変要素ｂからの）ＳＡ（ｔ＿ａ＋Ｄ＿ｔ，Ｄ，ｔ＿ｂ）では次式が成立する。
ｔ＿ａ＋Ｄ＿ｔ≦Ｔ≦ｔ＿ｂ、ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ）） 等式９

ＳＡ（ｔ＿ａ，Ｄ，ｔ＿ｂ）では、ｔ＿ａ≦Ｔ≦ｔ＿ｂ（ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ）））しか得られないため、この時刻ステートメントは、ＳＡ（ｔ＿ａ，Ｄ，ｔ＿ｂ）しか使用しない場合よりも緊密な時間的結合をもたらす。

この方法は、ＳＡの代わりにＴＣＧが定義する精度ステートメントＡＳに適用する場合には、ティック値の精度を検証可能な場合にのみ、信頼できるより緊密な時間的結合を達成するが、それは通常は可能ではないことに留意されたい。つまり、ＴＣＧが定義する精度ステートメントＡＳを使用することは、外部のＴＣＶに関するアサーションを一切加えることなく、２つのティック値の中間にあるタイムスタンプによって示されるＲＴＣ値をシフトするだけである。このことは、ＴＣＧの精度ステートメントＡＳの欠点を改めて際立たせる。

ティック・インクリメント率は、プラットフォーム内のＴＰＭの工場パラメータである。このティック・インクリメント率の初期値が、実用目的に関して十分信頼できかつ厳密でも、特定のＴＰＭの実ＴＩＲを決定するそうしたハードウェアのプロパティが長い期間を経るうちに変化することがあるので、この初期値は時間とともに変化する可能性がある。ここでは、Ｐ内のＴＰＭの実ＴＩＲを任意精度で測定する方法を示す。

図６は、信頼できるＴＩＲ測定を明示する図６００の一例である。Ｐは、２つの精度ステートメントＳ＿１：＝ＳＡ（ｔ＿ａ，ＴＣＶ（ｔ＿１），ｔ＿ｂ）、およびＳ＿２：＝ＳＡ（ｔ＿ｃ，ＴＣＶ（ｔ＿２），ｔ＿ｄ）を生成する（６１０）。このステートメントから、ＰがＳ＿１およびＳ＿２を送る相手の外部検証者が、次式のように、Ｓ＿１とＳ＿２とによって囲まれる期間内のＴＩＲの平均値として、実ＴＩＲの現在の推定値を計算する（６２０）。
ｔ’＿１：＝（ｔ＿ｂ−ｔ＿ａ）／２、およびｔ’＿２：＝（ｔ＿ｄ−ｔ＿ｃ）／２ 等式１０
ｃＴＩＲ（Ｓ＿１，Ｓ＿２）：＝（ｔ’＿２−ｔ’＿１）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１）） 等式１１

関与する精度ステートメントが、ｔ＿１、ｔ＿２それぞれの前後の、一定のＴＣＶの時間間隔の境界をもたらすとき、ｃＴＩＲも同様に上限および下限に従う。これらの境界は次式の通りである。
（ｔ＿ｃ−ｔ＿ｂ）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１））≦ｃＴＩＲ≦（ｔ＿ｄ−ｔ＿ａ）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１）） 等式１２

ＴＩＲを測定するためにタイプＳＡの精度ステートメントを２つ使用することは、この方法がｃＴＩＲの上限および下限を同時に提供することを必然的に伴う。これは、対立する利害のバランスを取る必要がある多くのビジネスシナリオにおいて使用することができる。例えば、ＤＲＭのシナリオでは、権利保有者は、１個のメディアの許容消費期間を制限することに関心があるのに対し、消費者はこの期間を延ばすことに関心がある。精度は、関与する第１のティック・カウンタ値と第２のティック・カウンタ値との差に伴って高まる。ｃＴＩＲおよびこの境界はどちらも、Ｓ＿１およびＳ＿２を保有する者なら誰でも計算することができる。このＳ＿１およびＳ＿２を保有する者は、外部検証者またはＰ内のＩＴＡとすることができる。この例では、次いで後者がｃＴＩＲを外部エンティティに伝達し、ＴＰＭのＴＩＲの誤差を訂正する（６３０）。この場合もやはり、ＴＩＲ測定における時刻標準機関のそれぞれは独立に選択することができる。特に、それらの時刻標準機関の一部は内部ＲＴＣの値に関係することができる。ｃＴＩＲの推定についての精度をさらに高めるために、上述した遅延を補償するための方法を使用することができる。

いっそう多くの時刻アサーションを使用することによって、ティックだけでなく、（通信往復時間および署名生成時間が変わる場合がある）精度ステートメント生成の標本空間がより大きくなり、したがって統計誤差がより小さくなるので、境界の精度を絶えず改善できることに留意されたい。十分に長い時間間隔にわたって分散する時刻アサーションを使用し、ＴＩＲのずれ率についての推定を得ることができる。このずれ率は、ＴＩＲの一次導関数として表すこともできる。

あるデバイス上の時間調整デバイスまたは技術の経年劣化は、徐々に増加する実ＴＩＲの工場値からのずれによって立証することができ、その経年劣化作用による偏差は貴重な情報をもたらすことができる。したがって、ｃＴＩＲ、およびｃＴＩＲをもたらす精度ステートメントに関連する測定を様々な状況で使用し、Ｐの状態、機能パラメータ、または信頼性に関する評価を導き出すことができる。特に重要な例を以下に論じる。

改ざんの検出では、デバイスまたはデバイスのＴＰＭもしくはＭＴＭに対するアクティブなサイドチャネル攻撃は、その攻撃の多くがデバイスの内部プロセスの時間調整に影響するのでｃＴＩＲの偏差を引き起こすことがある。この攻撃を検出するための１つの方法は、測定したｃＴＩＲの統計的分散を調べることである。この統計的分散が、特定の設定値（これは適切に機能しているデバイスのサンプル上で実験的に決定することができる）よりも大きい場合、その統計的分散は、デバイス（プラットフォームＰ）、ＴＰＭ、またはティック・カウンタに対する攻撃として解釈することができる。

機能不良の検出では、ｃＴＩＲが、ある期間にわたり一貫してかつ著しく低くまたは高い可能性があり、経年劣化が生じることによって引き起こされる標準偏差を上回る可能性がある。この状況は、デバイスのティック・カウンタまたはデバイス自体の機能不良の痕跡として、外部のオブザーバが解釈することができる。

異常動作状態の検出：ｃＴＩＲが、ある期間にわたりランダムにかつ著しく低くまたは高く、かつ、経年劣化、電圧変動、もしくは温度変化等によって引き起こされる標準偏差が許容するより大きい場合には、この状況もやはり、異常動作状態またはティック・カウンタもしくはデバイスの改ざんの痕跡として、外部のオブザーバが解釈することができる。

上述した検出方法は、当分野で大量に導入される信頼できるデバイスに組み込むことができ、そのようなデバイスは、上述した方法以外に異常を検出するための他の機能（強化型センサなど）を備えなくてよい。予期される適用分野は、長期間にわたり無人でまたは人間によるサービスを受けずに導入されるＭ２Ｍ（機械対機械；machine-to-machine）システムにＴＰＭを組み込むことであり得る。

これまで記載してきた信頼された時刻ステートメントは、単独ではＰの信頼性および／または識別に関するアサーションを行わない。後者は、ティック・スタンプを署名するためにＰが使用する署名鍵に明らかに依拠する。このことは、その署名鍵を頼りにする精度ステートメントならびにティック・スタンプにとって、後にセキュリティ上重要な意味をもつ。つまり、ＴＡは、それ自体ではステートメントを要求するプラットフォームの状態が分からず、さらに悪いことに、ティック・スタンプ操作ならびにティック・カウンタ自体がエミュレートできるので、ＴＡは、ＴＰＭと通信するのかさえ全く分からない。したがって、さらなる保護なしでは、精度ステートメントは、ＴＣＶ操作、ティック・スタンプの偽造、中間者攻撃等を含むあらゆる種類の攻撃を受けやすい。図７は、これらの問題の一部を克服することができる方法の一例を示す。

図７は、精度ステートメントを保護するための方法を明示する図７００の一例である。Ｐは、ＡＩＫ（証明識別鍵）を生成し、ＴＣＧが定義するプロトコルに従って要求したそのＡＩＫに関するＰＣＡ（プライバシＣＡ；Privacy CA）からのＡＩＫ信用証明を保持すると仮定する。精度ステートメントは、以下の方法でプラットフォーム識別に結合される。Ｐは、ＡＩＫから証明済み署名鍵ＣＳＫを生成することができる（７１０）。次いで、ＰおよびＴＡは、精度ステートメントＡＳ（）およびＳＡ（）をそれぞれ生成することができ、Ｐによるティック・スタンピングの各インスタンスは、どちらでも任意のプロトコルでティック・スタンプが呼び出される各時刻ｔ＊において、署名鍵としてＣＳＫ、すなわちＴＳ［ＣＳＫ］（ＴＣＶ（ｔ＊））を使用するように指定される（７２０）。

上記で使用するＣＳＫは、この単一操作専用とし、精度ステートメントを生成した後に破棄することができ、またはこのＣＳＫは、さらなる操作、特に、後のティック・スタンピングで使用することができる。信頼されたプラットフォームＰが、データブロブＤを保持することを後の時点ｔにおいて検証者Ｖに証明するために、Ｐは、ＴＴＳ（ｔ）：＝ＴＳ［ＣＳＫ］（Ｄ，ＴＣＶ（ｔ））を生成することができる（７３０）。ただし、ＣＳＫは、ＡＩＫによって証明された新たな鍵か、または精度ステートメントを生成する際に使用した元の鍵である。Ｐは、Ｖに対して、ＡＩＫ信用証明と、ＣＳＫの公開部分と、精度ステートメントまたはその中に署名されたデータと、ＴＴＳ（ｔ）と、Ｄと、ＴＣＶ（ｔ）とを明らかにすることができる（７４０）。次いでＶは、ＴＣＧが全般的に規定されるセキュリティ要件、特にタイミング・ティックに関して規定されるセキュリティ要件を満たすアクティブなＴＰＭを備える信頼されたプラットフォームによってこの精度ステートメントが生成されたことを確認することができ（７５０）、または信頼された時刻ステートメントＴＴＳ（ｔ）が、同じプラットフォームによって生成されたことを確認することができる（７６０）。

同様に、精度ステートメントだけでなく、他の任意の信頼された時刻ステートメントもＣＳＫを使用することができる。特に、ＴＰＭによるすべてのティック・スタンプ操作は、ＣＳＫを使用して、特定のＴＣＶのあるデータを保持することを示すＴＴＳを生成することができる。

ＰＣＡは、ＴＡの役割を果たし、ＡＩＫ証明プロセスとＴＴＳ生成プロセスとを統合することにより、精度ステートメントを提供することができる。このプラットフォームＰとＰＣＡとの間のＡＩＫを証明するプロセスは、以下のように増強する。

Ｐは、ＡＩＫの証明をＰＣＡに要求するとき、上述した方法に従い、精度ステートメントＳＡの要求も発行する。ＰＣＡおよびＰは、ＳＡを生成するための上記のプロトコルを実行する。署名データＤは、証明が要求されるＡＩＫの公開部分またはそのＡＩＫに連結されるものとして指定される。このプロトコルでは、問題のＡＩＫはＰＣＡが証明した後に使用するために活動化されるのみなので、Ｐのティック・スタンプは問題のＡＩＫに関するＣＳＫによって署名することはできないことに留意されたい。したがって、Ｐによって、ティック・スタンプのために別の署名鍵が使用される必要があり、このＳＡ生成プロトコルの中間者攻撃を軽減することはＰＣＡおよびＰの責任である。これは、ＡＩＫ証明プロセス中に、暗号化およびノンスを使用することによって確実にされる。暗号化およびノンスを使用した後にのみ、ＰＣＡはＡＩＫの証明に移る。

このＴＴＳは、単独でＡＩＫ証明要求を受信したことの意味をもつ。生成済みＴＴＳおよびＡＩＫ証明書の意味は、一緒に検証者に提示される場合には、Ｐが特定の時刻にＡＩＫの証明を要求した信頼されたプラットフォームであり、そのＡＩＫ証明要求の時刻がＳＡ、すなわち上記で生成されるＴＴＳに対するものと同じ検証可能ステートメント、の内の２つのＴＣＶが示す２つの時刻値の範囲内にあることである。

このＴＴＳは、基準点によりＰの特定のＡＩＫに結合される。したがって、Ｐが後の時点で発行するその後のすべてのティック・スタンプ、または、Ｐが生成する別の精度ステートメントは、上述したようにＡＩＫに関するＣＳＫを使用して、時間の点で、およびＴＣＶとのその信頼関係の点で、この基準点に結合することができる。この種のアサーションの１つの使用事例は、不正なプラットフォームのＡＩＫ信用証明の取り消し、無効化である。

上記で述べた追加の署名鍵を必要とすることの問題は、以下の方法でＰＣＡがＡＩＫの証明を行うまでＴＴＳの生成を遅らせる場合に回避することができる。Ｐは、ＡＩＫの証明をＰＣＡに要求するとき、上述した方法に従い、精度ステートメントＳＡの要求も発行する。ＰＣＡはＡＩＫの証明を実行し、証明書を生成する。ＰＣＡは、署名データとしてＡＩＫの公開部分またはＡＩＫ証明書全体を含むＳＡ生成プロトコルの第１のタイムスタンプを生成する。ＰＣＡは、ＡＩＫ証明書およびこの第１のタイムスタンプをＰに送信し、オプションでタイマを始動する。ＰとＰＣＡとがＳＡ生成プロセスを完了し、その中でＰはＡＩＫに関するＣＳＫを使用する。オプションで、ＰＣＡは、タイマの値が特定の規定値より大きくない場合にのみ、最後のタイムスタンプを発行することにより生成されるＴＴＳの新鮮さを強化することができ、その結果、ＴＴＳ内に示されるＴＣＶは、ＡＩＫを証明した後の限られた時間しか存在しない。

ＴＣＧは、プラットフォームが、アクティブなＴＰＭを含むだけでなく、厳密に決定された信頼できる状態にあることも検証者に証明するために、遠隔証明の概念を導入した。この概念の主な問題は、プラットフォームの状態は時間とともに通常は変化することである。

この遠隔証明プロセスは、この遠隔証明プロセスが起こる時刻に関するステートメントを含むように拡張することができる。図８は、遠隔証明プロセスの一例の流れ図８００である。検証者から証明要求を受信し（８１０）、証明クライアントとＴＰＭとの間に認証セッションを確立した後、ティック・スタンプＴＳ＿Ａを生成する（８２０）。この認証セッションを確立することは、後の遠隔証明で使用するＡＩＫに関するＣＳＫを使用して行うことができる。次いでＰは、ＴＰＭ＿Ｑｕｏｔｅコマンドを使用し、ＡＩＫでＰＣＲ（プラットフォーム構成レジスタ；platform configuration registers）を署名することにより（８３０）、遠隔証明に移る。

さらなる拡張策として、署名されたＰＣＲによって示されるＰの状態と、ＳＭＬ（記憶測定ログ；Stored Measurement Log）との間の時間距離を測定するために、ＡＰ（証明パッケージ；attestation package）を検証者に送信する（８５０）直前に、第２のティック・スタンプＴＳ＿Ｂを生成することができる（８４０）。この方法の利点は、ＳＭＬが特定の細分性でイベントを実際上記憶することであり、すなわち、プラットフォームの状態についての、物理的変化はもちろん、すべての情報的変化がＳＭＬに記録されるとは限らない。このＳＭＬの深さは、Ｐの実装形態、特に、信頼されたペレーティングシステムに依存する。したがって、ＰＣＲ値を署名することとＳＭＬを取り出すこととの間に生じる、ＳＭＬに記憶されないイベントがあり得る。この可能性は、ＴＳ＿ＢとＴＳ＿Ａとの差によって示される時間差を使用して評価することができる。

様々な代替策を実施することができ、例えば、証明クライアントはＴＡにタイムスタンプを要求し、上述した方法のいずれかにより精度ステートメントを生成することができる。証明クライアントは内部ＩＴＡの機能を果たしもしくは内部ＩＴＡと協働し、ＲＴＣ値に基づく単なるティック・スタンプの代わりに精度ステートメントを生成することができる。ティック・スタンプは、修正された証明パッケージデータ構造に統合されることができる。また。プラットフォームのＳＭＬ（記憶測定ログ）をティック・スタンプによって拡張することができる。

たった今説明した方法により遠隔証明に組み込まれる時刻ステートメントは、検証者が信頼できるプラットフォームの状態についての膨大なデータベースを保つ負担を部分的に軽減するために使用することができる。例えば、ＰＣＡは、（例えば、特定のマルウェアがある時点において、ある状態でプラットフォームに影響を与えている情報を使用して）不正なプラットフォームのリストを保持することができ、検証者は、ＡＰ、ＴＳ＿Ａ、ＴＳ＿ＢをＰＣＡに提出して、証明時にＰの信頼性についての情報（「セカンドオピニオン」）を得ることができる。

この時刻ステートメントは、Ｐの状態を介して、さらに以前の証明と比較することができる場合に、なおいっそう有用である。これに関して、後の証明は同じ識別、すなわちＡＩＫを使用して実行しなければならない（もっとも、これはプラットフォームの識別を保護すると考えられているＡＩＫの発足の背後にある趣旨にやや反するが）。次いで検証者は、そのプラットフォームの状態が、証明間でそのうち望まれないように変わったかどうかを評価することができる。

ＴＰＭのカウンタをリセットするごとに、時刻ステートメントを外部エンティティに伝達するための、明確に定義されたセキュリティ・コンテキスト得るためにノンスが必要である。このティック・セッション・ノンス、ＴＳＮは、このリセット操作にタイムスタンプを関連付けるために後に使用する。このノンスは、このデバイスおよび各リセット操作について一意でなければならず、そのため、ＴＰＭ内の乱数発生器によって生成される。実際のＴＳＮは、ＴＰＭ＿ＧｅｔＴｉｃｋｓコマンドを発行することによって得ることができる。このＴＳＮ値は、その結果生じるＣＵＲＲＥＮＴ＿ＴＩＣＫＳデータ構造に含まれる。

現在のＴＣＧの仕様は、ＴＰＭがプラットフォーム上のパワーサイクルにわたり、または様々なパワーモードにおいて、ティック・カウンタをインクリメントする能力を保つための機能についての要件を設けず、これはセッションが失われることをもたらす。再起動サイクルおよび様々なパワーモードにも有効なセッションを確立するために、ｍＴＳＮ（メタＴＳＮ；meta TSN）を使用して様々なＴＳＮセッションに及ぶことができるセッションを提供する、メタセッションの概念が必要である。

図９は、メタセッションを明示する方法の一例の図９００である。ｍＴＳＮは、外部の時刻プロバイダもしくはＴＡ（時刻標準機関）が生成し、またはＴＰＭの乱数発生器が内部的に生成することができる。第１の事例では、ＴＡが、プラットフォームの初期化プロセス中のある時点においてデバイスからｍＴＳＮ要求を受信し（９１０）、例えばオペレーティングシステムを起動することでｍＴＳＮを生成し（９２０）、そのｍＴＳＮを記憶し（９３０）、そのｍＴＳＮを安全に（ＴＰＭによってシールして）デバイスに伝達する（９４０）。第２の事例では、デバイスがｍＴＳＮを生成し、それをプラットフォーム証明に結合し、その結合済みｍＴＳＮをＴＡに送信して、ｍＴＳＮが、障害が起きていないプラットフォーム上の、通電し変更されていないＴＰＭによって生成されたことをアサートする。次いで、このｍＴＳＮを、ＴＰＭ＿ＴｉｃｋＳｔａｍｐＢｌｏｂコマンド用のノンスとして使用する。その結果、発行される各スタンプは、そのスタンプを特定のメタセッションに割り当てるｍＴＳＮを含む。

いずれの事例においても、このデバイスは、セッション初期化サイクル中のある時点において、ｍＴＳＮの要求をＴＡに送信し、またはこのデバイス自体が生成したｍＴＳＮをＴＡに送信しなければならないことに留意されたい。

ｍＴＳＮを使用することはハードウェア手段によって保護されず、ＴＣで定義する信頼できる操作環境を必要とする。この操作環境は、ある明確に定義されたシステム全体の状態にｍＴＳＮをシールすることを可能にする証明操作によって検証される。静的なｍＴＳＮを使用する代わりに、次のスタンプ操作用のノンスとして最後のＴＳＮを使用することは理にかなってもいる。最後のＴＳＮを使用することは、結果としてセッションを連鎖的に結合することになる。この連鎖の完全性を証明するには、オフライン証明データを少なくとも最初のスタンプに追加する必要がある。これは、システム状態の検証を遅らせる効果がある。

ＴＡ（時刻プロバイダ）およびオペレータが発行する署名を広範に使用することにより、ＴＡまたはオペレータにおけるノンスデータベースの必要性をなくし、または減らすことができる。この方式は、ネットワーク側との通信を１組の最小限のトランザクションにまで減らすので、柔軟性の点で大きな利益をもたらす。デバイス側では、このノンスはクッキーに対する等価物（セッション値）であり、通信で使用することができる様々な異なる時刻サービス、およびことによると基準枠（reference frame）を可能にする。

単一セッション間のギャップを埋め、セッションに変化がないことを証明するための別の手法は、プラットフォーム設計に、信頼できるとみなすことができるＲＴＣ（実時間クロック）を含めることである。この信頼されたＲＴＣは、上記に示したｍＴＳＮの方式に従ってその署名が含められる署名日を提供する。これは、少なくとも最初のノンスを用いて行う必要がある。信頼できるＲＴＣを実装するには、保護された暗号機能および一意の識別を確立することが必要である。

一部の使用事例では、最後の報告で報告されるＴＣＶおよびＴＩＲを使用することにより、将来のＴＣＶを予測する必要がある。元のセッションが、例えば電源切断が原因で終了する場合には、このイベントを橋渡しし、前のＴＣＶ値を後続のセッションにマップすることが必要である。これは、ＴＣＶを特定の時点に結合する受信済み日時スタンプとともに、元のセッションのＡＳを使用することによって行う。その後の各セッションもＡＳを受け取る。２つのＡＳ、日時情報およびＴＩＲを使用することにより、その後のセッション内のイベントのＴＣＶに相関する経過時間を計算することができる。さらに、このシステムのログおよび対話プロファイルを分析することにより、「セッション外」持続時間（例えば電源異常持続時間）を推定することが可能である。この基本方式は、前に示したｍＴＳＮ概念の概念と組み合わせることもできる。

信頼されたコンピューティング技術の１つの応用例は、ＤＲＭで使用することである。ＤＲＭシナリオでは、精度ステートメントを２つの段階で使用することができる。以下の例では、ＯＭＡ（オープン・モバイル・アライアンス；Open Mobile Alliance）の用語法を使用する。全般的なシナリオは、デバイスがＤＲＭエージェント、すなわち特定の権利保有者が設定する権利に従いコンテンツに関してアクセス制御を働かせるエンティティを備えると仮定する。

図１０は、ＤＲＭにおいて、信頼できるコンピューティング技術を使用することに関する流れ図および方法の一例１０００である。この例では、ＲＩ（権利発行者；Rights Issuer）は、ＯＭＡ ＤＲＭ ｖ２．０標準で定義されるＲＯＡＰ（権利オブジェクト取得プロトコル；Rights Object Acquisition Protocol）の実行中に、ＡＳおよびティック・スタンプをＤＲＭデバイスに要求することができる（１０１０）。このＡＳは、ＲＩがその完全性を検査できるようにする（１０２０）ために、プラットフォーム上で証明ステートメントに結合することができる。このようにして、ＲＩは、このＤＲＭエージェントがアクティブであり、障害が起きておらず、正確かつ改ざんされていない時刻にアクセスできるという保証を得る。次いで、これらすべての検査が成功する場合にのみ、ＲＯ（権利オブジェクト；rights object）を送る（１０３０）。次いでＲＩは、使用権についての時間制限を、そのＲＯの中にＴＳＮおよびＴＣＶに関して直接コーディングすることができる（１０４０）。権利を取得するためのこの初期設定段階でＲＯを受信すると、ＤＲＭエージェントは、そのデバイス上のＩＴＡと協働し、またはそのデバイス上のＩＴＡと統合することさえできる（１０５０）。次いで、そのＤＲＭエージェントはＴＰＭからティック・スタンプを取得し（１０６０）、ＴＳＮおよびＴＣＶとＲＯ内に表される制限とを比較し、そのコンテンツに対してアクセス制御を適宜働かせることができる。

第２の例では、ＲＯ内の時間制限が標準時刻形式、例えばＵＴＣ値を使用し、それらの時間制限をＴＣＶに関連付けることはＤＲＭエージェントの役割である。ＤＲＭエージェントは、起動時に生成されたＡＳを使用して、（ＡＳおよびＭＴＭ不揮発性メモリ内のＴＳＮを比較することにより）ＴＣＶが正確な外部時刻に結合されており、ティック・カウンタの同一セッションに属することを確実にすることができる。この場合もやはり、ＤＲＭエージェントはコンテンツに対するアクセス制御の基礎を置くための、有効な時間対ＴＣＶの関連を有する。このＡＳとコンテンツがアクセスされる時間との間の期間が長い場合、ＴＣＶに著しいずれが発生する可能性があり、このずれを訂正するために上記の方法を使用することができる。

ＤＲＭのシナリオでは、ＴＣＶの有効性を、一意のＴＳＮによって表される単一ティック・セッションに限定することが有用である場合がある。特定のＴＳＮ値に権利を結合することができ、ティック・カウンタがリセットされ、ＴＳＮが更新されている場合には、ＤＲＭエージェントは保護コンテンツへのアクセスを許可しない。あるエンティティ、例えばＭＴＭ、ＤＲＭエージェント、またはＩＴＡが（この仕様によってまたはＴＣＧ標準に規定される機能の拡張によって義務付けられるように、ティック・カウンタ無効化し、リセットを強制する任意の手段により）ティック・カウンタをリセットすることができる場合には、これを使用してコンテンツへのアクセス権を任意のＴＳＮセッション、所望の時間、またはＴＣＶにおいて無効化することができる。その一方で、単一のＴＳＮセッションを超えてアクセス権を維持することを望む場合、ＲＩ、ＤＲＭエージェントおよび／またはＩＴＡは、セッションをブリッジし、ＴＣＶおよびＴＳＮの有効性の制限を更新するための方法を使用することができる。

信頼された携帯電話が、外部エンティティから外部ＲＩＭ証明書を受信し、その証明書を内部ＲＩＭ証明書に変換し、それを内部プラットフォームの証明目的で保持し、使用することはよくある。多くの場合、この外部証明書は、日時による有効性情報を有する。しかし、現在のＴＣＧ ＭＰＷＧ（モバイルフォンワーキンググループ；Mobile Phone Working Group）仕様は、日時のための明確なフィールドを含まない。ＭＰＷＧによるこの決定の背景には、証明書の有効性を検査するために信頼できる時刻情報を手元に有する能力を、ＴＰＭもプラットフォームも備えることが予期されなかったことがある。携帯電話用の内部ＲＩＭ＿Ｃｅｒｔｉｆｉｃａｔｅは、有効性を検査する目的で、単調カウンタしか現在は使用しない。このことは、ＲＩＭ＿Ｃｅｒｔｉｆｉｃａｔｅｓに対して行うことができる有効性検査の種類を明らかに制限する。

しかし、例えば本明細書の前の節に記載した方法によって提供されるセキュアな時刻源がある場合、ＲＩＭ証明書の有効性は、現実の日時によって表される有効期間と突き合わせて検査することができる。

代替的実施形態では、信頼された携帯電話の内部ＲＩＭ（リファレンス完全性メトリック；reference integrity metric）証明書を、安全かつ信頼できるＩＴＡ（内部時刻エージェント）を含むシステムにおいて、より安全にすることができる。このＩＴＡは、セキュアなＲＴＣによって提供される実時間情報を安全に処理する。こうした機能を備える電話機では、内部ＲＩＭ＿Ｃｅｒｔｉｆｉｃａｔｅ構造の中の単調カウンタフィールドを、ＩＴＡが提供する日時フィールドで置換しまたは補足することができる。同様に、ＴＳＮ値および／またはＴＣＶ値のセッションブリッジングがＩＴＡおよび電話機のＴＰＭから利用可能である場合、そのＴＳＮおよび／またはＴＣＶのセッション値の連鎖記録を、内部ＲＩＭ証明書上の適切な場所に含めることもできる。ハッシュ拡張を使用することは、検証者が検証できる方法でＴＳＮおよび／またはＴＣＶのセッション値の履歴を捕捉する、オプションである場合がある。

こうした補足情報をＴＳＮ／ＴＣＶについての日付／時刻情報またはセッションブリッジ情報として含めるための可能なフィールドに関し、現在のＲＩＭ＿Ｃｅｒｔｉｆｉｃａｔｅフォーマットで利用可能な拡張ダイジェストフィールド（extensionDigest field）（６４バイト）を使用することができる。このフィールドは、プロプラエタリデータフィールド（proprietary data field）または補助データフィールドのダイジェスト用であり、この日時データを挿入するための場所を提供できることに留意されたい。

諸特徴および要素を上記に特定の組合せにより説明したが、各特徴または要素を、他の特徴および要素なしに単独で、または他の特徴および要素を伴うもしくは伴わない様々な組合せで使用することができる。本明細書で提供する方法または流れ図は、汎用コンピュータまたはプロセッサによって実行するためにコンピュータ可読記憶媒体中に実施されるコンピュータプログラム、ソフトウェアまたはファームウェアで実施することができる。コンピュータ可読記憶媒体の例には、ＲＯＭ（読出し専用メモリ）、ＲＡＭ（ランダムアクセスメモリ）、レジスタ、キャッシュメモリ、半導体記憶装置、内蔵ハードディスクやリムーバブルディスクなどの磁気媒体、光磁気媒体、およびＣＤ−ＲＯＭディスクやＤＶＤ（デジタル多機能ディスク）などの光学媒体が含まれる。

適切なプロセッサには、例えば汎用プロセッサ、専用プロセッサ、従来型プロセッサ、ＤＳＰ（デジタル信号プロセッサ）、複数のマイクロプロセッサ、ＤＳＰコアに関連する１個または複数個のマイクロプロセッサ、コントローラ、マイクロコントローラ、特定用途向けＩＣ（ＡＳＩＣ:Application Specific Integrated Circuits）、書替え可能ゲートアレイ（ＦＰＧＡ：Field Programmable Gate Array）回路、他の任意のタイプの集積回路（ＩＣ）および／または状態機械が含まれる。

＜実施形態＞
１．無線通信において時刻値を保護するための方法であって、
タイムスタンプ要求を送信するステップと、
そのタイムスタンプ要求に応答してタイムスタンプを受信するステップと、
ティック・スタンプを生成するステップと、
そのティック・スタンプを送信するステップと、
代替精度ステートメントを受信するステップと
を含むことを特徴とする方法。
２．受信する代替精度ステートメントは、信頼された時刻ステートメントであることを特徴とする実施形態１に記載の方法。
３．無線通信において時刻値を保護するための方法であって、
第１のタイムスタンプを受信するステップと、
連続して送信するために２つのティック・スタンプを生成するステップと、
修正されたタイムスタンプを受信するステップと、
その修正されたタイムスタンプをティック・スタンプするステップと
を含むことを特徴とする方法。
４．２つのタイムスタンプは、所定の間隔にわたって連続して送信されることを特徴とする実施形態３に記載の方法。
５．第１のタイムスタンプは、データを含むことを特徴とする実施形態３または４に記載の方法。
６．そのデータは、その２つのティック・スタンプを生成するための命令を含むことを特徴とする実施形態３〜５のいずれか１つに記載の方法。
７．第１のタイムスタンプおよび修正されたタイムスタンプは、別の時刻標準機関から受信されることを特徴とする実施形態３〜６のいずれか１つに記載の方法。
８．その別の時刻標準機関のうちの少なくとも１つは、内部時刻エージェントであることを特徴とする実施形態３〜７のいずれか１つに記載の方法。
９．実時間クロック値を取り出すステップと、
その実時間クロック値を保護するステップと、
その実時間クロック値からタイムスタンプを生成するステップと
をさらに含むことを特徴とする実施形態３〜８のいずれか１つに記載の方法。
１０．ＴＰＭ（信頼された処理モジュール）を使用してローカルクロックを保護するステップ
をさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１１．信頼されたコンピューティング方法に基づくことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１２．ＴＰＭは、外部クロックにセキュアに結合されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
１３．初期時刻を提供する時刻源が提供する監査データに対し、少なくとも１つのＡＳ（精度ステートメント）を使用するステップ
をさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１４．トラストセンタを運用するコストを減らすために、Ｘ．５０９証明書の応用例においてＯＣＳＰ（オンライン証明書状態プロトコル；online certificate status protocol）レスポンダを省くステップ
をさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１５．セキュアな時刻源を使用して証明書を検査するステップをさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１６．信頼できる時刻ステートメントを、他のエンティティと協働するデバイスによって確立する実現性に基づく、モバイルデバイス用の複数の使用シナリオを可能にするステップ
をさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
１７．ＡＳ（精度ステートメント）は、実時間に対する、ハードウェアによって保護されるデバイス側カウンタ値間の信頼できる結合を提供することを特徴とする上記の実施形態のいずれか１つに記載の方法。
１８．ＡＳは、信頼されたコンピューティング方法によって確立、保護され、かつ、導き出される時刻ステートメントの十分な柔軟性およびスケーリングの信頼性を提供することを特徴とする実施形態１７に記載の方法。
１９．外部時刻は、タイムスタンプが作成された後、ＴＰＭに結合されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
２０．プラットフォーム上のＴＰＭの内部ティック・カウンタと他のエンティティとの間で協働し、ティック・カウンタ値と実時間クロック値との間の関係を得ることを特徴とする上記の実施形態のいずれか１つに記載の方法。
２１．署名されたティック・カウンタ値とタイムスタンプとを併せて使用することを特徴とする実施形態２０に記載の方法。
２２．エンティティの複数のインスタンスを使用する場合、現実の物理的時刻をｔ＿１，．．．，ｔ＿ｎとして示すように、ＴＣＶ（ティック・カウンタ値）ＴＣＶ＿１、ＴＳＮ（ティック・セッション・ノンス）ＴＳＮ＿ａ、Ｄ（ｂｌｏｂ）＿１やＤ＿１、ＴＳ＿１，．．．，ＴＳ＿ｎなどの添え字表記を使用し、ある実時間におけるティック・カウンタの値はＴＣＶ（ｔ）として記すことを特徴とする上記の実施形態のいずれか１つに記載の方法。
２３．ＡＳが信頼およびセキュリティに関して十分に満足のいくものではない場合、検証者は、Ｔ＿１とｔ＿ａとの間、およびｔ＿ａとＴ＿２との間それぞれの期間内に、ＴＰＭティック・カウンタが精度に関して適切に機能していることを信頼してそれらの期間の間の実時間距離を評価する必要があることを特徴とする実施形態２１または２２に記載の方法。
２４．Ｔ（ＴＣＶ（ｔ））を実時間クロック値により強く結合するために、その値を２つのタイムスタンプの間に入れることを特徴とする実施形態２２または２３に記載の方法。
２５．ＴＡからのタイムスタンプでＴＳ（ＴＣＶ）を包み、別のＴＴＳ（信頼されたタイムスタンプ）をもたらすことを特徴とする実施形態２２〜２４のいずれか１つに記載の方法。
２６．ある最初の時点において、プラットフォーム（Ｐ）は、ある知られているデータＤについてのタイムスタンプをＴＡに要求することを特徴とする実施形態２２〜２５のいずれか１つに記載の方法。
２７．ｔ＿ａにおいて、ＴＡ（時刻標準機関）はＴＳｔａｍｐ（Ｄ，ｔ＿ａ）を作成し、それを直ちにＰに送り返すことを特徴とする実施形態２２〜２６のいずれか１つに記載の方法。
２８．Ｐは、時刻ｔ＞＝ｔ＿ａにおいてそのタイムスタンプをＴＡから受信し、ＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶ（ｔ））を作成し、それを直ちにＴＡに送り返すことを特徴とする実施形態２２〜２７のいずれか１つに記載の方法。
２９．ＴＡは、そのＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶを受信し、ｔ＿ｂにおいて、ＳＡ（ｔ＿ａ，ＴＣＶ（ｔ），ｔ＿ｂ）：＝ＴＳｔａｍｐ（ＴＳ（ＴＳｔａｍｐ（ｔ＿ａ），ＴＣＶ（ｔ）），ｔ＿ｂ）を作成し、この構造を直ちにＰに送り返すことを特徴とする実施形態２２〜２８のいずれか１つに記載の方法。
３０．ｔ＿ａ＜＝Ｔ＜＝ｔ＿ｂ、ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ））であることを特徴とする実施形態２２〜２９のいずれか１つに記載の方法。
３１．時刻ｔ＿ａにおいて、ＴＡは、Ｐが所定の間隔（Ｉ）にわたり２つの連続したティック・スタンプを発行するための命令を含む、データ（Ｄ）のタイムスタンプを発行することを特徴とする実施形態２２〜３０のいずれか１つに記載の方法。
３２．ＴＡはＴＳｔａｍｐ（Ｄ（Ｉ），ｔ＿ａ）を取得し、このタイムスタンプを発行した後、ＴＡはこのタイムスタンプを直ちにプラットフォームＰに送信することを特徴とする実施形態２２〜３１のいずれか１つに記載の方法。
３３．ＴＳｔａｍｐ（Ｄ（Ｉ），ｔ＿ａ）を受信すると、Ｐは、Ｄ（Ｉ）｜｜ｔ＿ａをティック・スタンプすることを特徴とする実施形態２２〜３２のいずれか１つに記載の方法。
３４．Ｐは、ＴＳ１：＝ＴＳ（Ｄ（Ｉ），ｔ＿ａ），ＴＣＶ（ｔ１））を得ることを特徴とする実施形態２２〜３３のいずれか１つに記載の方法。
３５．ｔ１は、このティック・スタンピングが行われるときの実時間であり、Ｐは、そのティック・スタンプを直ちにＴＡに送信することを特徴とする実施形態２２〜３４のいずれか１つに記載の方法。
３６．Ｐは間隔Ｉを待ち、次いで第２のティック・スタンプをティック・スタンプし、そのためＴＳ２：＝ＴＳ（Ｄ（（Ｉ），ｔ＿ａ）｜｜ＴＳ１，ＴＣＶ（ｔ２））が生じ、ただしｔ２は（Ｐにおける）ｔ＝ｔ１＋Ｉのローカル推定であり、Ｐはこのティック・スタンプを直ちにＴＡに送信することを特徴とする実施形態２２〜３５のいずれか１つに記載の方法。
３７．ＴＡは、ティック・スタンプＴＳ１およびＴＳ２の両方を受信すると、ＳＡ’（ｔ＿ａ，Ｄ（Ｉ），ｔ＿ｂ）：＝ＴＳｔａｍｐ（ＴＳ２｜｜ＴＳ１，ｔ＿ｂ）をタイムスタンプすることを特徴とする実施形態２２〜３６のいずれか１つに記載の方法。
３８．代替精度ステートメント（ＳＡ’）は、関係ｔ＿ａ＜＝ｔ１＜ｔ１＋Ｉ＜＝ｔ＿ｂをアサートする信頼できる時刻ステートメントであり、ただし、ｔ１：＝Ｔ（ＴＣＶ（ｔ１））、およびｔ２：＝Ｔ（ＴＣＶ（ｔ１＋Ｉ））であることを特徴とする実施形態２２〜３７のいずれか１つに記載の方法。
３９．起動サイクルの開始時に、信頼されたプラットフォーム（Ｐ）の方法は、
ＩＴＡ（内部時刻エージェント）を始動するステップと、
ＴＣＧモバイルフォンワーキンググループの仕様の安全起動機能を使用し、信頼でき、障害が起きていない状態でＩＴＡが始動され、適切に構成されることを強制するステップと
を含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
４０．このプラットフォームが、起動時におけるロード済みプログラムの測定しかサポートしない場合、ＩＴＡの信頼性を、遠隔証明により外部の検証者に証明することを特徴とする実施形態３９に記載の方法。
４１．専用のＩＴＡインスタンスは、Ｐ上に共存することを特徴とする実施形態３９または４０のいずれか１つに記載の方法。
４２．ＩＴＡは、精度ステートメントを作成する際にＴＡに取って代わることを特徴とする実施形態３９〜４１のいずれか１つに記載の方法。
４３．ＩＴＡとＲＴＣとの間には、ＩＴＡが真正の実時間値を任意のときに取り出す、安全なチャネルがあることを特徴とする実施形態３９〜４２のいずれか１つに記載の方法。
４４．ＩＴＡは、ＴＰＭの暗号機能を使用して、ＲＴＣ値を保護することを特徴とする実施形態３９〜４３のいずれか１つに記載の方法。
４５．ＩＴＡは、ＴＰＭのソフトウェア暗号ライブラリまたは署名機能を使用して、ＲＴＣ値からタイムスタンプを作成することを特徴とする実施形態３９〜４５のいずれか１つに記載の方法。
４６．ＣＳＫ（証明済み署名鍵）を証明する証明書がＡＩＫ（証明識別鍵）によって署名されるように、ＩＴＡは、ＰのＡＩＫに結合されるＣＳＫを使用することを特徴とする実施形態３９〜４６のいずれか１つに記載の方法。
４７．ＲＴＣとティック・カウンタとは、同じクロック源によって駆動されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
４８．ＴＰＭ＿ＳＩＧＮ＿ＩＮＦＯデータ構造内の未使用領域に、ＲＴＣからの追加情報を組み込むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
４９．強化されたＴＰＭ＿ＳＩＧＮ＿ＩＮＦＯデータ構造を規定し、日時の絶対的指示を提供することを特徴とする上記の実施形態のいずれか１つに記載の方法。
５０．自らの時刻源からＵＴＣ（協定世界時；universal time clock）時刻を取り出すために必要な時間ｄ＿ｔと、タイムスタンプを作成するために必要な時間Ｄ＿ｔとが、高い精度で知られていることを特徴とする上記の実施形態のいずれか１つに記載の方法。
５１．Ｐ上の時間に関連するＴＰＭ操作は、ｄ＿ｔ＝０と仮定することを特徴とする実施形態５０に記載の方法。
５２．署名遅延補償済み精度ステートメントを、ＳＡ（ｔ，ｔ’）によって示すことを特徴とする実施形態５０または５１のいずれか１つに記載の方法。
５３．ＳＡ（ｔ＿ａ，ｔ＿ｂ）によって示す、署名遅延補償済み精度ステートメントを作成する際にＤ＿ｔを補償するため、ＴＡは、ＳＡが時刻ｔ＿ａにおいて（Ｄ＿ｔ，可変要素ａ）に修正されるように、第１のタイムスタンプ内にＤ＿ｔを含め、ＴＡは、Ｄ’＝Ｄ＿ｔ、またはＤ’＝Ｄ｜｜Ｄ＿ｔであるＴＳｔａｍｐ（Ｄ’，ｔ＿ａ）を作成し、そのＴｓｔａｍｐ（Ｄ’，ｔ＿ａ）およびＤ＿ｔを直ちにＰに送り返すことを特徴とする実施形態５０〜５２のいずれか１つに記載の方法。
５４．ＴＡは、ｔ＿ａにＤ＿ｔを加え、時刻ｔ＿ａにおいて（Ｄ＿ｔ，可変要素ｂ）を作成し、ＴＡは、ＴＳｔａｍｐ（Ｄ，ｔ＿ａ＋Ｄ＿ｔ）を作成し、そのタイムスタンプを直ちにＰに送り返すことを特徴とする実施形態５０〜５３のいずれか１つに記載の方法。
５５．ＳＡ（ｔ＿ａ，Ｄ’＝Ｄ＿ｔ，ｔ＿ｂ）（可変要素２ａ）、またはＳＡ（ｔ＿ａ＋Ｄ＿ｔ，Ｄ，ｔ＿ｂ）（可変要素２ｂ）として表す信頼できる時刻ステートメントは、ｔ＿ａ＋Ｄ＿ｔ＜＝Ｔ＜＝ｔ＿ｂ、ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ））であり、ＳＡ（ｔ＿ａ，Ｄ，ｔ＿ｂ）では、ｔ＿ａ＜＝Ｔ＜＝ｔ＿ｂ、ただし、Ｔ：＝Ｔ（ＴＣＶ（ｔ））、しか得られないので、この時刻ステートメントは、ＳＡ（ｔ＿ａ，Ｄ，ｔ＿ｂ）よりも厳密な時間的結合をもたらすことを特徴とする実施形態５４に記載の方法。
５６．ティック・インクリメント率は、プラットフォーム内のＴＰＭの工場パラメータであることを特徴とする上記の実施形態のいずれか１つに記載の方法。
５７．Ｐは、２つの精度ステートメントＳ＿１：＝ＳＡ（ｔ＿ａ，ＴＣＶ（ｔ＿１），ｔ＿ｂ）、およびＳ＿２：＝ＳＡ（ｔ＿ｃ，ＴＣＶ（ｔ＿２），ｔ＿ｄ）を作成することを特徴とする上記の実施形態のいずれか１つに記載の方法。
５８．ＰがＳ＿１およびＳ＿２を送る相手の外部検証者は、Ｓ＿１とＳ＿２とによって囲まれる期間内のＴＩＲの平均値として、実ＴＩＲの現在の推定値を計算することを特徴とする実施形態５６または５７のいずれか１つに記載の方法。
５９．ｔ’＿１：＝（ｔ＿ｂ−ｔ＿ａ）／２、およびｔ’＿２：＝（ｔ＿ｄ−ｔ＿ｃ）／２、およびｃＴＩＲ（Ｓ＿１，Ｓ＿２）：＝（ｔ’＿２−ｔ’＿１）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１））であることを特徴とする実施形態５６〜５８のいずれか１つに記載の方法。
６０．関与する精度ステートメントが、ｔ＿１、ｔ＿２それぞれの前後の、一定のＴＣＶの時間間隔の境界をもたらすとき、ｃＴＩＲは上限および下限に従うことを特徴とする実施形態５６〜５９のいずれか１つに記載の方法。
６１．その境界のうちの少なくとも１つは、（ｔ＿ｃ−ｔ＿ｂ）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１））＜＝ｃＴＩＲ＜＝（ｔ＿ｄ−ｔ＿ａ）／（ＴＣＶ（ｔ＿２）−ＴＣＶ（ｔ＿１））によって表されることを特徴とする実施形態６０に記載の方法。
６２．精度は、関与する第１のティック・カウンタ値と第２のティック・カウンタ値との差に伴って高まり、ｃＴＩＲおよび境界はどちらも、Ｓ＿１およびＳ＿２を保有するエンティティによって計算されることを特徴とする実施形態５６〜６１のいずれか１つに記載の方法。
６３．ＴＩＲ測定における時刻標準機関のそれぞれは、独立に選択されることを特徴とする実施形態５６〜６２のいずれか１つに記載の方法。
６４．追加の時刻アサーションを使用することにより、境界の精度を絶えず改善し、長い時間間隔にわたって分散する時刻アサーションを使用し、ＴＩＲのずれ率についての推定を得ることを特徴とする実施形態５６〜６３のいずれか１つに記載の方法。
６５．ｃＴＩＲ、およびｃＴＩＲをもたらす精度ステートメントに関連する測定を様々な状況で使用し、Ｐの状態、機能パラメータ、または信頼性に関する評価を導き出すことを特徴とする実施形態５６〜６４のいずれか１つに記載の方法。
６６．測定したｃＴＩＲの統計的分散が、特定の設定値よりも大きい場合、その統計的分散は、デバイス（プラットフォームＰ）、ＴＰＭ、またはティック・カウンタに対する攻撃として解釈することを特徴とする実施形態５６〜６５のいずれか１つに記載の方法。
６７．ｃＴＩＲが、ある期間にわたり一貫してかつ著しく低くまたは高く、時間デバイスの経年劣化によって引き起こされる標準偏差を上回る場合、この状況は、デバイスのティック・カウンタの機能不良を明らかにするものとして、外部のオブザーバが解釈することを特徴とする実施形態５６〜６６のいずれか１つに記載の方法。
６８．ｃＴＩＲが、ある期間にわたりランダムにかつ著しく低くまたは高く、経年劣化、電圧変動、もしくは温度変化等によって引き起こされる標準偏差を上回る場合、この状況は、異常動作状態またはティック・カウンタもしくはデバイスの改ざんを明らかにするものとして解釈されることを特徴とする実施形態５６〜６７のいずれか１つに記載の方法。
６９．複数の予期される適用分野は、組込みシステムにおけるＴＰＭであることを特徴とする実施形態５６〜６８のいずれか１つに記載の方法。
７０．ＴＡは、ステートメントを要求するプラットフォームの状態、またはそのプラットフォームがＴＰＭと通信するのか、分からないことを特徴とする上記の実施形態のいずれか１つに記載の方法。
７１．Ｐは、ＡＩＫ（証明識別鍵）を作成し、ＴＣＧが定義するプロトコルに従って自らが要求した、そのＡＩＫに関するＰＣＡ（プライバシＣＡ）からのＡＩＫ信用証明を保持することを特徴とする実施形態７０に記載の方法。
７２．精度ステートメントは、プラットフォーム識別に結合されることを特徴とする実施形態７０または７１に記載の方法。
７３．Ｐは、ＡＩＫから証明済み署名鍵ＣＳＫを作成することを特徴とする実施形態７０〜７２のいずれか１つに記載の方法。
７４．ＰおよびＴＡは、精度ステートメントＡＳ（）、ＳＡをそれぞれ確立し、Ｐによるティック・スタンピングの各インスタンスは、署名鍵としてＣＳＫを使用するように指定されることを特徴とする実施形態７０〜７３のいずれか１つに記載の方法。
７５．信頼されたプラットフォームＰが、データブロブＤを保持することを後の時点ｔにおいて検証者Ｖに証明するために、この方法は、
Ｐが、ＴＴＳ（ｔ）：＝ＴＳ［ＣＳＫ］（Ｄ，ＴＣＶ（ｔ））を作成するステップであって、ＣＳＫは、ＡＩＫによって証明される新たな鍵か、または精度ステートメントを作成する際に使用した元の鍵である、ＴＴＳ（ｔ）：＝ＴＳ［ＣＳＫ］（Ｄ，ＴＣＶ（ｔ））を作成するステップと、
ＰがＶに、ＡＩＫ信用証明、ＣＳＫの公開部分、精度ステートメントおよびその中に署名されたデータ、ＴＴＳ（ｔ）、Ｄ、ならびにＴＣＶ（ｔ）を明らかにするステップと
をさらに含むことを特徴とする実施形態７０〜７４のいずれか１つに記載の方法。
７６．Ｖは、その精度ステートメントが、アクティブなＴＰＭを備える信頼されたプラットフォームによって作成されたことを確認することを特徴とする実施形態７０〜７５のいずれか１つに記載の方法。
７７．Ｖは、信頼できる時刻ステートメントＴＴＳ（ｔ）が、同じプラットフォームによって作成されたことを確認することを特徴とする実施形態７０〜７６のいずれか１つに記載の方法。
７８．ＴＰＭによるすべてのティック・スタンプ操作は、ＣＳＫを使用して、特定のＴＣＶのあるデータを保持することを示すＴＴＳを作成することを特徴とする上記の実施形態のいずれか１つに記載の方法。
７９．ＰＣＡは、ＴＡの役割を果たし、ＡＩＫ証明プロセスとＴＴＳ作成プロセスとを統合することにより、精度ステートメントを提供することを特徴とする上記の実施形態のいずれか１つに記載の方法。
８０．プラットフォームＰとプライバシＣＡ ＰＣＡとの間のＡＩＫを証明するステップであって、ＰはＡＩＫの証明をＰＣＡに要求し、精度ステートメントＳＡを得るための要求を発行する、ＡＩＫを証明するステップ
をさらに含むことを特徴とする実施形態７９に記載の方法。
８１．プラットフォームＰとプライバシＣＡ ＰＣＡとの間のＡＩＫを証明するステップは、
ＰＣＡおよびＰが、ＳＡを作成するためのプロトコルを実行するステップであって、署名データＤは、証明が要求されるＡＩＫの公開部分またはそのＡＩＫに連結されるものとして指定される、ＳＡを作成するためのプロトコルを実行するステップ
をさらに含むことを特徴とする実施形態７９または８０に記載の方法。
８２．プラットフォームＰとプライバシＣＡ ＰＣＡとの間のＡＩＫを証明するステップは、
ＰＣＡがＡＩＫの証明に移るステップ
をさらに含むことを特徴とする実施形態７９〜８１のいずれかに記載の方法。
８３．ＴＴＳは、ＡＩＫ証明要求を受信したことの意味をもつことを特徴とする上記の実施形態のいずれか１つに記載の方法。
８４．一緒に検証者に提示される場合、生成済みＴＴＳおよびＡＩＫ証明書の意味は、Ｐが、特定の時刻にＡＩＫの証明を要求した信頼されたプラットフォームであり、そのＡＩＫ証明要求の時刻が、ＳＡ内の２つのＴＣＶが示す２つの時刻値の範囲内にあることであることを特徴とする上記の実施形態のいずれか１つに記載の方法。
８５．ＴＴＳは、Ｐの特定のＡＩＫに結合されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
８６．ＰＣＡがＡＩＫの証明を実行し、証明書を作成するステップと、
署名データとしてＡＩＫの公開部分またはＡＩＫ証明書全体を含む、ＳＡ作成プロトコルの第１のタイムスタンプを作成するステップと、
ＡＩＫ証明書およびこの第１のタイムスタンプをＰに送信し、オプションでタイマを始動するステップと、
ＰおよびＰＣＡがＳＡ作成プロセスを完了するステップであって、Ｐは問題のＡＩＫに関するＣＳＫを使用する、完了するステップと
をさらに含むことを特徴とする上記の実施形態のいずれか１つに記載の方法。
８７．ＰＣＡは、タイマの値が特定の規定値より大きくない場合にのみ、最後のタイムスタンプを発行することにより作成されるＴＴＳの新鮮さを強化し、これにより、ＴＴＳ内に示されるＴＣＶは、ＡＩＫを証明した後の限られた時間しか存在しないことを特徴とする実施形態８６に記載の方法。
８８．ＴＰＭが変化する時刻に関するステートメントを含むように、遠隔証明プロセスを拡張することを特徴とする上記の実施形態のいずれか１つに記載の方法。
８９．検証者から証明要求を受信し、証明クライアントとＴＰＭとの間に認証セッションを確立した後、ティック・スタンプＴＳ＿Ａを作成することを特徴とする上記の実施形態のいずれか１つに記載の方法。
９０．認証セッションを確立することは、後の遠隔証明で使用するＡＩＫに関するＣＳＫを使用してもたらされることを特徴とする実施形態８９に記載の方法。
９１．Ｐは、ＴＰＭ＿Ｑｕｏｔｅコマンドを使用し、ＡＩＫでＰＣＲに署名することにより、遠隔証明に移ることを特徴とする実施形態９０に記載の方法。
９２．ＡＰ（証明パッケージ）を検証者に送信する直前に、第２のティック・スタンプＴＳ＿Ｂを作成することを特徴とする実施形態８８〜９１のいずれか１つに記載の方法。
９３．証明クライアントはＴＡにタイムスタンプを要求し、上述した方法のいずれかにより精度ステートメントを作成することを特徴とする実施形態８８〜９２のいずれか１つに記載の方法。
９４．証明クライアントは内部ＩＴＡの機能を果たし、ＲＴＣに基づく単なるティック・スタンプの代わりに精度ステートメントを作成することを特徴とする実施形態８８〜９３のいずれか１つに記載の方法。
９５．修正された証明パッケージデータ構造にティック・スタンプを統合することを特徴とする上記の実施形態のいずれか１つに記載の方法。
９６．プラットフォームのＳＭＬ（記憶測定ログ）をティック・スタンプによって拡張することを特徴とする上記の実施形態のいずれか１つに記載の方法。
９７．遠隔証明に導入される時刻ステートメントは、検証者が信頼できるプラットフォームの状態についての膨大なデータベースを保つ負担を部分的に軽減するために使用することを特徴とする上記の実施形態のいずれか１つに記載の方法。
９８．時刻ステートメントは、さらに以前のＰの状態による証明と比較されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
９９．ＴＰＭのカウンタをリセットするごとに、外部エンティティに時刻ステートメントを伝達するための、明確に定義されたセキュリティ・コンテキスト得るためにノンスが必要であることを特徴とする上記の実施形態のいずれか１つに記載の方法。
１００．このリセット操作にタイムスタンプを関連させるために、ＴＳＮ（ティック・セッション・ノンス）を後に使用することを特徴とする実施形態９９に記載の方法。
１０１．このノンスは、このデバイスおよび各リセット操作について一意であり、そのため、ＴＰＭ内の乱数発生器によって作成されることを特徴とする実施形態９９または１００に記載の方法。
１０２．実際のＴＳＮは、ＴＰＭ＿ＧｅｔＴｉｃｋｓコマンドを発行することによって得られ、ＴＳＮ値は、その結果生じるＣＵＲＲＥＮＴ＿ＴＩＣＫＳデータ構造に含まれることを特徴とする実施形態９９〜１０１のいずれか１つに記載の方法。
１０３．再起動サイクルおよび様々なパワーモードにも有効なセッションを確立するために、ｍＴＳＮ（メタＴＳＮ）を使用して様々なＴＳＮセッションに及ぶことができるセッションを提供する、メタセッションが必要であることを特徴とする実施形態９９〜１０２のいずれか１つに記載の方法。
１０４．ｍＴＳＮは、外部の時刻プロバイダもしくはＴＡ（時刻標準機関）が生成し、またはＴＰＭの乱数発生器が内部的に生成することを特徴とする実施形態９９〜１０３のいずれか１つに記載の方法。
１０５．ＴＡは、プラットフォームの初期化プロセス中のある時点においてデバイスからｍＴＳＮ要求を受信することを特徴とする実施形態９９〜１０４のいずれか１つに記載の方法。
１０６．ＴＡ（時刻プロバイダ）およびオペレータが発行する署名を広範に使用することにより、ＴＡにおけるノンスデータベースの必要性を減らすことを特徴とする実施形態９９〜１０５のいずれか１つに記載の方法。
１０７．プラットフォーム設計に、ＲＴＣ（実時間クロック）を含めることを特徴とする上記の実施形態のいずれか１つに記載の方法。
１０８．この方法は、ＤＲＭ（デジタル著作権管理）デバイスによって実行されることを特徴とする上記の実施形態のいずれか１つに記載の方法。
１０９．ＲＩ（権利発行者）は、ＲＯＡＰ（権利オブジェクトアクセスプロトコル）の実行中に、ＡＳおよびティック・スタンプをＤＲＭデバイスに要求することを特徴とする実施形態１０８に記載の方法。
１１０．ＡＳは、プラットフォーム上で証明ステートメントに結合されることを特徴とする実施形態１０８または１０９のいずれか１つに記載の方法。
１１１．ＲＩは、ＤＲＭエージェントがアクティブであり、障害が起きておらず、正確かつ改ざんされていない時刻にアクセスできるという保証を得ることを特徴とする実施形態１０８〜１１０のいずれか１つに記載の方法。
１１２．すべての検査が成功する場合にのみ、権利オブジェクトを送ることを特徴とする実施形態１０８〜１１１のいずれか１つに記載の方法。
１１３．ＲＩは、使用権についての時間制限を、ＲＯ（権利オブジェクト）の中にＴＳＮおよびＴＣＶに関して直接コーディングすることを特徴とする実施形態１０８〜１１２のいずれか１つに記載の方法。
１１４．権利を取得するためのこの初期設定段階でＲＯを受信すると、ＤＲＭエージェントは、デバイス上のＩＴＡと協働し、または統合されることを特徴とする実施形態１０８〜１１３のいずれか１つに記載の方法。
１１５．ＤＲＭエージェントはＴＰＭからティック・スタンプを取得し、ＴＳＮおよびＴＣＶとＲＯ内に表される制限とを比較し、コンテンツに対するアクセス制御を適宜働かせることを特徴とする実施形態１０８〜１１４のいずれか１つに記載の方法。
１１６．ＲＯ内の時間制限は標準時刻形式を使用し、それらの時間制限をＴＣＶに関連させることはＤＲＭエージェントの役割であることを特徴とする実施形態１０８〜１１５のいずれか１つに記載の方法。
１１７．ＴＣＶの有効性を単一のティック・セッションに限定することは、一意のＴＳＮによって表されることを特徴とする実施形態１０８〜１１６のいずれか１つに記載の方法。
１１８．特定のＴＳＮ値に権利を結合し、ティック・カウンタがリセットされ、ＴＳＮが更新されている場合、ＤＲＭエージェントは保護コンテンツへのアクセスを許可しないことを特徴とする実施形態１０８〜１１７のいずれか１つに記載の方法。
１１９．信頼できる時刻ステートメントをＲＩＭ証明書に使用することを特徴とする実施形態１０８〜１１８のいずれか１つに記載の方法。
１２０．ＲＩＭ証明書の有効性は、現実の日時によって表される有効期間と突き合わせて検査することを特徴とする実施形態１１９に記載の方法。
１２１．信頼できるモバイルの内部ＲＩＭ証明書は、信頼できるＩＴＡ（内部時刻エージェント）を使用することを特徴とする実施形態１１９または１２０に記載の方法。
１２２．ハッシュ拡張を使用して、検証者によって検証される方法でＴＳＮおよび／またはＴＣＶのセッション値の履歴を捕捉することを特徴とする実施形態１１９〜１２１のいずれか１つに記載の方法。
１２３．上記の実施形態のうちの任意の方法を使用するように構成されることを特徴とするＷＴＲＵ（無線送受信ユニット）。
１２４．タイムスタンプ要求を送信し、
そのタイムスタンプ要求に応答してタイムスタンプを受信し、
ティック・スタンプを生成し、
そのティック・スタンプを送信し、
代替精度ステートメントを受信する
ように構成されるＴＰＭ（信頼されたプラットフォームモジュール）
を備えることを特徴とするＷＴＲＵ（無線送受信ユニット）。
１２５．第１のタイムスタンプを受信し、
連続して送信するために２つのティック・スタンプを生成し、
修正されたタイムスタンプを受信し、
その修正されたタイムスタンプをティック・スタンプする
ように構成されるＴＰＭ（信頼されたプラットフォームモジュール）
を備えることを特徴とするＷＴＲＵ（無線送受信ユニット）。
１２６．ＴＰＭは、所定の間隔にわたって２つのティック・スタンプを連続して送信するように構成されることを特徴とする実施形態１２４または１２５に記載のＷＴＲＵ。
１２７．ＴＰＭは、データを含む第１のタイムスタンプを受信するように構成されることを特徴とする実施形態１２４〜１２６のいずれかに記載のＷＴＲＵ。
１２８．ＴＰＭは、第１のタイムスタンプ内で受信したデータに基づいて、２つのティック・スタンプを生成するように構成されることを特徴とする実施形態１２４〜１２７のいずれかに記載のＷＴＲＵ。
１２９．ＴＰＭは、第１のタイムスタンプおよび修正されたタイムスタンプを、別の時刻標準機関から受信するように構成されることを特徴とする実施形態１２４〜１２８のいずれかに記載のＷＴＲＵ。
１３０．ＴＰＭは、内部時刻エージェントをさらに備えることを特徴とする実施形態１２４〜１２９のいずれかに記載のＷＴＲＵ。
１３１．内部時刻エージェントは、
実時間クロック値を取り出し、
その実時間クロック値を保護し、
その実時間クロック値に基づいてタイムスタンプを生成する
ように構成されることを特徴とする実施形態１３０に記載のＷＴＲＵ。
１３２．無線通信において精度ステートメントを保護するための方法であって、
ＡＩＫ（証明識別鍵）からＣＳＫ（証明済み署名鍵）を生成するステップと、
精度ステートメントを生成するステップと、
ＴＴＳ（信頼できる時刻ステートメント）を生成するステップと、
ＡＩＫ信用証明、ＣＳＫの一部分、精度ステートメント、または署名データを明らかにするステップと
を含むことを特徴とする方法。
１３３．実施形態１３２に記載の方法を使用するように構成されることを特徴とする無線送受信ユニット。

ソフトウェアに関連するプロセッサを、ＷＴＲＵ（無線送受信ユニット）、ＵＥ（ユーザ装置）、ターミナル、基地局、ＲＮＣ（無線ネットワークコントローラ）または任意のホストコンピュータで使用する無線周波数トランシーバを実装するために使用することができる。ＷＴＲＵは、カメラ、ビデオカメラモジュール、テレビ電話、スピーカホン、振動装置、スピーカ、マイクロホン、テレビトランシーバ、ハンズフリーヘッドセット、キーボード、Ｂｌｕｅｔｏｏｔｈ（登録商標）モジュール、ＦＭ（周波数変調）無線ユニット、ＬＣＤ（液晶ディスプレイ）ディスプレイユニット、ＯＬＥＤ（有機発光ダイオード）ディスプレイユニット、デジタル音楽プレイヤ、メディアプレイヤ、ビデオゲーム機モジュール、インターネットブラウザ、および／または任意のＷＬＡＮ（無線ＬＡＮ）もしくはＵＷＢ（超広帯域）モジュールなど、ハードウェアおよび／またはソフトウェアによって実装されるモジュールと組み合わせて使用することができる。

Claims (10)

1. 無線送受信ユニット（ＷＴＲＵ）であって、
   実時間クロックを含むセキュアタイムコンポーネントと、
   信頼されたプラットフォームモジュール（ＴＰＭ）であって、
   データＤについてのタイムスタンプを、時刻標準機関（ＴＡ）に要求し、
   第１の時刻ｔ＿ａにおいて前記ＴＡにより生成された、データＤについてのタイムスタンプを前記ＴＡから受信し、
   前記受信したタイムスタンプおよび前記ＴＰＭのティックカウンタ値（ＴＣＶ）（ｔ）に基づいてティックスタンプを生成し、
   前記ティックスタンプを前記ＴＡに送信し、
   第２の時刻ｔ＿ｂにおいて前記ＴＡにより生成され、およびｔ＿ａ≦Ｔ≦ｔ＿ｂ、ここでＴ：＝Ｔ（ＴＣＶ（ｔ））である、の関係をアサートしている信頼された時刻ステートメントを表している、精度ステートメント（ＡＳ）（ｔ＿ａ、ＴＣＶ（ｔ）、ｔ＿ｂ）を前記ＴＡから受信する
   ように構成されたＴＰＭと
   を備えたことを特徴とするＷＴＲＵ。
2. 前記実時間クロックは、水晶発振器を含むことを特徴とする請求項１に記載のＷＴＲＵ。
3. 前記水晶発振器の除去は、前記ＷＴＲＵを無効にすることを特徴とする請求項２に記載のＷＴＲＵ。
4. 前記ＴＡは、前記ＷＴＲＵの内部にあることを特徴とする請求項１に記載のＷＴＲＵ。
5. 前記ＴＡは、実時間クロックを含むことを特徴とする請求項１に記載のＷＴＲＵ。
6. 無線通信システムにおいて時刻標準機関（ＴＡ）として動作しているデバイスであって、前記デバイスは、実時間クロックを含み、および、
   無線送受信ユニット（ＷＴＲＵ）からの要求に応答して、データＤについてのタイムスタンプを第１の時刻ｔ＿ａにおいて生成し、
   前記タイムスタンプを前記ＷＴＲＵに送信し、
   前記ＷＴＲＵに送信した前記タイムスタンプ、および前記ＷＴＲＵの信頼されたプラットフォームモジュール（ＴＰＭ）のティックカウンタ値（ＴＣＶ）（ｔ）に基づいて前記ＷＴＲＵによって生成されたティックスタンプを前記ＷＴＲＵから受信し、
   第２の時刻ｔ＿ｂにおいて生成され、およびｔ＿ａ≦Ｔ≦ｔ＿ｂ、ここでＴ：＝Ｔ（ＴＣＶ（ｔ））である、の関係をアサートしている信頼された時刻ステートメントを表している、精度ステートメント（ＡＳ）（ｔ＿ａ、ＴＣＶ（ｔ）、ｔ＿ｂ）を、前記ＷＴＲＵに送信する
   ように構成されたことを特徴とするデバイス。
7. 前記デバイスは、前記ＷＴＲＵの前記ＴＰＭによるティック・スタンピングが生じた時の真の時刻の推定範囲を証明するために、前記精度ステートメントを使用するようにさらに構成されたことを特徴とする請求項６に記載のデバイス。
8. 無線送受信ユニット（ＷＴＲＵ）および時刻標準機関（ＴＡ）を含む無線通信システムにおいて時刻値を保護する方法であって、前記方法は、前記ＷＴＲＵの信頼されたプラットフォームモジュール（ＴＰＭ）で、
   データＤについてのタイムスタンプを、前記時刻標準機関（ＴＡ）に要求するステップと、
   第１の時刻ｔ＿ａにおいて前記ＴＡにより生成された、データＤについてのタイムスタンプを前記ＴＡから受信するステップと、
   前記受信したタイムスタンプおよび前記ＴＰＭのティックカウンタ値（ＴＣＶ）（ｔ）に基づいてティックスタンプを生成するステップと、
   前記ティックスタンプを前記ＴＡに送信するステップと、
   第２の時刻ｔ＿ｂにおいて前記ＴＡにより生成され、およびｔ＿ａ≦Ｔ≦ｔ＿ｂ、ここでＴ：＝Ｔ（ＴＣＶ（ｔ））である、の関係をアサートしている信頼された時刻ステートメントを表している、精度ステートメント（ＡＳ）（ｔ＿ａ、ＴＣＶ（ｔ）、ｔ＿ｂ）を前記ＴＡから受信するステップと
   を備えたことを特徴とする方法。
9. 無線送受信ユニット（ＷＴＲＵ）および時刻標準機関（ＴＡ）を含む無線通信システムにおいて時刻値を保護する方法であって、前記方法は、前記ＴＡで、
   無線送受信ユニット（ＷＴＲＵ）からの要求に応答して、データＤについてのタイムスタンプを第１の時刻ｔ＿ａにおいて生成ステップと、
   前記タイムスタンプを前記ＷＴＲＵに送信ステップと、
   前記ＷＴＲＵに送信した前記タイムスタンプ、および前記ＷＴＲＵの信頼されたプラットフォームモジュール（ＴＰＭ）のティックカウンタ値（ＴＣＶ）（ｔ）に基づいて前記ＷＴＲＵによって生成されたティックスタンプを前記ＷＴＲＵから受信するステップと、
   第２の時刻ｔ＿ｂにおいて生成され、およびｔ＿ａ≦Ｔ≦ｔ＿ｂ、ここでＴ：＝Ｔ（ＴＣＶ（ｔ））である、の関係をアサートしている信頼された時刻ステートメントを表している、精度ステートメント（ＡＳ）（ｔ＿ａ、ＴＣＶ（ｔ）、ｔ＿ｂ）を、前記ＷＴＲＵに送信するステップと
   を備えたことを特徴とする方法。
10. 前記ＷＴＲＵの前記ＴＰＭによるティック・スタンピングが生じた時の真の時刻の推定範囲を証明するために、前記精度ステートメントを使用するステップをさらに備えたことを特徴とする請求項９に記載の方法。

Images