JP2002500842A

JP2002500842A - 自働回復及び自働認証可能暗号システム

Info

Publication number: JP2002500842A
Application number: JP50076699A
Authority: JP
Inventors: ルーカスヤング，アダム; モードチェイユング，マーセル
Original assignee: ルーカスヤング，アダム; モードチェイユング，マーセル
Priority date: 1997-05-28
Filing date: 1998-05-21
Publication date: 2002-01-08
Also published as: AU737037B2; AU8656498A; NZ501273A; NO995811L; EP0997017A2; WO1998054864A3; IL132961A0; WO1998054864A2; CA2290952A1; CN1262007A; KR20010013155A; NO995811D0; BR9809664A; PL338018A1; CN1241353C; CZ9904106A3

Abstract

(57)【要約】通信オーバヘッドが無く、暗号改ざん防止ハードウェアの実装を必要としない（即ち，ソフトウェアで実装することが出来）、公に検証が可能で、シャドウ公開鍵システムを可能にするようなしきい値以下では使用できない寄託暗号システム（図１）に係る方法が提供される。シャドウ公開鍵システムとは、変換態様で公に表明される非寄託の公開鍵システムである。本暗号システムは，通常の公開鍵証明システムに於いて公開鍵自体を提出する必要のあるものと比べて，自らの鍵を生成するユーザと，及び認証機関又は寄託利用（１１，１２，１３）との間の追加的プロトコルの対話が無いので，通信オーバヘッドがない。

Description

【発明の詳細な説明】自働回復及び自働認証可能暗号システム技術分野本発明の技術分野は暗号技術であって、本発明は、暗号システムに関し、とりわけ暗号化鍵と、それを用いて暗号化されたデータとの寄託（エスクロー）と回復（リカバリー）に関する。この寄託及び回復過程は、権能を有する法執行機関、政府、ユーザ、及び組織等のエンティティが許可時や要求時に暗号化データを解読するのを確実なものにする。本発明はソフトウェアで実装される暗号システムに関するが、ハードウェアで実装される暗号システムにも適用可能である。背景技術公開鍵暗号（以下、適宜ＰＫＣと称する）は、会ったこともない当事者同志の間の機密通信を可能にする。ＰＫＣの概念は文献（Ｗ．Ｄｉｆｆｉｅ，Ｍ．Ｈｅｌｌｍａｎ，“Ｎｅｗｄｉｒｅｃｔｉｏｎｓｉｎｃｒｙｐｔｏｇｒａｐｈｙ”ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＩｎｆｏｒｍａｔｉｏｎＴｈｅｏｒｙ２２号６４４−６５４頁，１９７６）に公表された。安全でない通信路上でこの様な機密通信が行なわれ得る。ＰＫＣに於いて各ユーザは公開鍵（ｐｕｂｌｉｃＫｅｙ）Ｅと秘密鍵（ｐｒｉｖａｔｅｋｅｙ）Ｄを所有し、公開鍵Ｅは、登録機関がユーザの正当性（身元等）を証明した後、鍵配付センター（認証機関ＣＡとも呼ばれる）から公に入手できる様になっている。尚、登録機関は認証機関の一部である。秘密鍵Ｄはユーザによって秘密に保持され、公開鍵Ｅはメッセージを暗号化するのに使用され、秘密鍵Ｄのみがメッセージを復号するのに使用され、公開鍵Ｄを秘密鍵Ｅから導くことは計算量的に不可能である。ＰＫＣ方式を使用する為に、当事者Ａは鍵配付センターから当事者Ｂの公開鍵Ｅを入手する。当事者Ａはメッセージを公開鍵Ｅで暗号化して、その結果生成物を当事者Ｂに送信する。他方、当事者Ｂは秘密鍵を用いて復号することによってメッセージを復元する。鍵配付センターは、当事者双方から信用されており、求めに応じて正しい公開鍵を提供している。離散対数の計算の困難性に基づくＰＫＣは文献（Ｔ．ＥｌＧａｍａｌ“ＡＰｕｂｌｉｃ−ｋｅｙＣｒｙｐｔｏｓｙｓｔｅｍａｎｄａＳｉｇｎａｔｕｒｅＳｃｈｅｍｅＢａｓｅｄｏｎＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｓ”ＣＲＹＰＴＯ’８４，１０−１８頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ１９８５）で公表された。ＰＫＣ方式は使用に関して大変便利で、安全でない通信路上をユーザが機密通信を行うことを可能にし、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）の様な対称鍵暗号を取り入れて使用することもできる。しかし、ＰＫＣは欠点を有する。即ち、法執行機関に対して必要な復号鍵を提出すべき旨の法規定がないので、犯罪者が犯罪行為の過程でＰＫＣを利用でき、結果的に傍受不能な通信として悪用されることが有り得る。それ由、機密通信を順法的市民に対してのみに許すことが望ましい。この問題に対する一般的解決策は、信用できる寄託（エスコー）機関つまり、信用機関（ｔｒｕｓｔｅｅ）にユーザをして自らの秘密鍵の表象（ｒｅｐｒｅｓｅｎｔａｔｉｏｎ）を提出させることである。裁判所から許可された合法な傍受の場合には、当該割り当て鍵（ｓｈａｒｅ）が寄託から取り出される。或いは、鍵の寄託は、組織内で失われた秘密鍵又はファイルシステムの鍵を回復する方策を提供する。以下に鍵寄託システムを検討し、公開鍵暗号方式単独よりも多くのことが必要とされていることを示す。Ｍｉｃａｌｉの米国特許５，２７６，７３７と５，３１５，６５８（１９９４）は、順法的市民や法執行機関の要求を満たすと共に、Ｐ．Ｆｅｌｄｍａｎ，２８ｔｈａｎｎｕａｌＦＯＣＳに基づく公平な公開鍵暗号（ＦＰＫＣ）方式を開示する。（Ｓ．Ｍｉｃａｌｉの文献“ＦａｉｒＰｕｂｌｉｃ−ＫｅｙＣｒｙｐｔｏｓｙｓｔｅｍ”ＣＲＹＰＴＯ’９２，１１３− １３８頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ１９９２をも参照）。Ｍｉｃａｌｉの好ましい実施例には、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ公開鍵暗号方式、及びＲＳＡの公開鍵暗号方式をＦＰＫＣ方式に転用する方法が開示され、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎのそれに適用したＦＰＫＣ方式の好適実施例では各ユーザは、公開鍵を登録する為に５つの中央の信用機関（「信用できる第三者」としても知られている）にそれぞれ割当て鍵を提出する。それ由、この解決策は、限られた信用機関の利用を必要とし、この為極めて中央集極化される為、拡張性が無い。本発明に於いては、秘密鍵が立証可能に自働的に寄託されるように、ユーザは鍵ペアーを作成する。従って、信用できる第三者は何ら必要としない。寄託された情報は、多数の分散された認証機関の一つに送られ得る。Ｍｉｃａｌｉの構成では，各信用機関は、それぞれの割当て鍵を検証する。割当て鍵が有効であれば、データベースに保存される。その後、各信用機関は受理した値に署名を加えて、鍵管理センターに提供する。５つの信用機関は夫々の割当て鍵機密データベースを保守管理する責任を有す。他方、本発明の実施例では、鍵情報は一つの認証機関によって検証され、正しい形態を有するならば、鍵は署名を受け、直ちに公開鍵データベースの中に置かれる。ここでは、一つの機密データベースのみを必要とされるに過ぎない。ユーザの鍵を管理するのに認証機関だけが必要とされるので、起り得る通信オーバヘッド量が最小限にされる。これに対し、ＦＰＫＣ方式では、鍵が適切に寄託されたことを信用機関のみが検証できる。検証は、それがなければ回復不可能な鍵をユーザが容易に生成し得るので、必要とされる。本発明では誰もが寄託されたことを検証できる。このことは、例えば自分の鍵が適宜に寄託されたことを認証機関が保証しようとしないと市民が疑う場合にとりわけ有益である。ＲＳＡに適用されたＦＰＫＣ方式は、その内部にシャドウ（ｓｈａｄｏｗ）公開鍵暗号システムが埋め込まれるので、法執行機関の要求に沿わないことが明らかになった（Ｊ．Ｋｉｌｉａｎ，Ｆ．Ｌｅｉｇｈｔｏｎ”ＦａｉｒＣｒｙｐｔｏｓｙｓｔｅｍＲｅｖｉｓｉｔｅｄ”，ＣＲＹＰＴＯ’９５，２０８−２２１頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９５），シャドウ公開鍵暗号システムとは陰謀に係わるユーザによる傍受不能な通信を許容する鍵寄託システムに内蔵され得るシステムのことである。ＲＳＡに係るＦＰＫＣ方式の欠点は、寄託機関に提供されたのと同一の秘密鍵を犯罪者が使用すると仮定していることに存する。シャドウ暗号システムは、ＰＫＣの公開鍵中に存在するしきい値以下（ｓｕｂｌｉｍｉｎａｌ）の経路として従来から知られるものを利用している。これらの経路は、シャドウＰＫＣの公開鍵を表示するのに使用される。上掲のＫｉｌｉａｎとＬｅｉｇｈｔｏｎの文献は、ＰＫＣをフェイルセーフ鍵寄託（ＦＫＥ）システムに転用する方法を開示し、具体的にはＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ及びＤＳＳの様な離散対数に基づくＰＫＣに対してＦＫＥシステムを構築する方法が開示されている。それらの高価なプロトコルに於いてユーザと信用機関はユーザの公開鍵と秘密鍵を生成するプロトコルに参加する。その際、信用機関は最終的な公開鍵の中にしきい値以下の情報が含まれていないと確信する。又、ユーザは鍵が適切に寄託されていることを確信する。このＦＫＥシステムは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎに係るＦＰＫＣ方式と類似するが、但しプロトコルの追加通信オーバヘッドが存在する。この為、ＦＫＥシステムはＤｉｆｆｉｅ−Ｈｅｌｌｍａｎに係るＦＰＫＣ方式と同じ不効率性を被る。シャドウＰＫＣシステムの脅威に関連して、本発明は、有限体に於いて法指数演算内に意味の有るいくつかのビットを目立つことなく内蔵する方法は知られていない事実に存在する。それ故、シャドウ暗号システムを離散対数に基づくＰＫＣに活用することは縁遠いように思われる。ＤｅＳａｎｔｉｓら提案する寄託方式に於いては、信用機関は、犯罪活動の疑いのある当事者の鍵を明らかにすると言うよりもむしろセッションのメッセージのみを明らかにすることが出来る。これは、公平暗号システムの概念を洗練したものである。ユーザの恒久的な公開鍵と言うよりもむしろユーザのセッション鍵を明らかにする方法を唱える他の技術は、Ｗａｌｋｅｒや５Ｗｉｎｓｔｏｎ（ＴＩＳ）及びＩＢＭの“ＳｅｃｕｒｅＷａｙ”に見られる。これらの鍵リカバリー技術では、セッション初期化に於いて、一団の信用機関の鍵に関してユーザが認識していて、その鍵を使用することが求められる。これらの技術は、どの通信セッションでも使用される新しいプロトコルの拡張を必要とし、更に公開鍵インフラ（基盤）に必要とされる以上の多くの鍵をユーザが保管することを必要とするので、どのユーザにも過度の負担を与えることになる。ＥｌＧａｍａｌ暗号法に根拠を置く“鍵寄託案に代わる詐欺探知可能方策が文献（Ｅ．Ｖｅｈｅｕｌ，Ｈ．ｖａｎＴｉｌｂｏｒｇ，“ＢｉｎｄｉｎｇＥｌＧａｍａｌ：ＡＦｒａｕｄ−ＤｅｔｅｃｔａｂｌｅＡｌｔｅｒｍａｔｉｖｅｔｏＫｅｙ−ＥｓｃｒｏｗＰｒｏｐｏｓａｌｓ”，Ｅｕｒｏｃｙｐｔ’９７，１１９−１３３頁Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９７）に記載されている。この方策は、ユーザが暗号化情報を、（暗号化情報が一団の信用機関により回復され得る旨の）短いプルーフ（証明）と共に送信するのを可能にする。この為、この方策は、信用できる第三者機関に依存しない利点を有するが、既存の公開鍵インフラ（ＰＫＩ）を必要とする。そこには、ＥｌＧａｍａｌ法連係アプローチに於ける欠点が横たわる。即ち、公開鍵インフラが寄託を受けなければ、ユーザＡはユーザＢの公開鍵を用いてメッセージを暗号化でき、その後ＥｌＧａｍａｌ連係方策を用いて最終的暗文メッセージを送信する。この場合、プルーフは、信用機関が当該暗文を回復できることを単に示すのに役立つに過ぎず、それ由犯罪行為の疑いのあるユーザの通信を法執行機関がモニターするのを妨げる。悪用された場合には詐欺行為を探知できない。この様な悪用は、ユーザＢの秘密鍵が寄託されていないので起こり得る。ＥｌＧａｍａｌ法連係スキームを悪用するソフトウェアは、容易に配付でき、法執行機関の大規模な試みを著しく阻害する。本発明は、公開鍵寄託インフラを確立する方法を開示するもので、上記の欠点を被ることがない。ＥｌＧａｍａｌ連係方策法に於ける様に、本発明は、非対話型ゼロ知識証明の一般的技術を採用する。但し、本発明のプルーフは新しい技術を内包する。この種プルーフの作成方法は、文献（Ａ．Ｆｉａｔ，Ａ．Ｓｈａｍｉｒ，“ＨｏｗｔｏＰｒｏｖｅＹｏｕｒｓｅｌｆ：ＰｒａｃｔｉｃａｌＳｏｌｕｔｉｏｎｓｔｏＩｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄＳｉｇｎａｔｕｒｅＰｒｏｂｌｅｍｓ”，ＣＲＹＰＴＯ ’８６１８６−１９４頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８７）に開示された。鍵寄託スキームの全体像は文献（Ｄ．Ｄｅｎｎｉｎｇ，Ｄ．Ｂｒａｎｓｔａｄ，“ＡＴａｘｏｎｏｍｙｆｏｒＫｅｙＥｓｃｒｏｗＥｎｃｒｙｐｔｉｏｎＳｙｓｔｅｍｓ，”ＣｏｍｍｕｎｉｃａｔｉｏｎｓｏｆｔｈｅＡＣＭ，ｖ．３９，ｎ．３，１９９６）に表されている。文献（Ｎ．Ｊｅｆｆｅｒｉｅｓ，Ｃ．Ｍｉｔｃｈｅｌｌ，Ｍ．Ｗａｌｋｅｒ，“ＡＰｒｏｐｏｓｅｄＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＴｒｕｓｔｅｄＴｈｉｒｄＰａｒｔｙＳｅｒｖｉｃｅｓ”，Ｃｒｙｐｔｏｇｒａｐｈｙ：ＰｏｌｉｃｙａｎｄＡｌｇｏｒｉｔｈｍｓ，ＬＮＣＳ１０２９，Ｓｐｒｉｎｇｅｒ，１９９６）及び文献（Ｒ．Ａｎｄｅｒｓｏｎ，“ＴｈｅＧＣＨＱＰｒｏｔｏｃｏｌａｎｄＩｔｓＰｒｏｂｌｅｍｓ”，Ｅｕｒｏｃｒｙｐｔ ’９７１３４−１４８頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９７）に於いては、関係ユーザの信用できる第三者機関が各セッション鍵の設定段階に係わっている場合に於ける信用できる第三者機関の寄託アプローチが記載されている。今迄に知られる総ての鍵寄託解決策は、以下に示す不都合の幾つか又は大部分遭遇する：（ａ）改ざん防止の実装を必要とするか、さもなければハードウェアの実装を必要とする。これは実装コストを上昇させ、目的達成が遅くなる。（ｂ）機密扱いの或いは排他的独占なアルゴリズムの使用を必要とする。これは、当該装置の機密性又は操作に懐疑的なユーザに受け入れ難い虞れがある。（ｃ）ソフトウェアで実装されているので、変更を受ける。この結果として操作の不手際に陥ったり、多分に通信の傍受を不能にする。しかし、このことは、ソフトウェア解決策の固有の問題である（この場合に求め得ることは、もしユーザが機密性の達成の為のみにソフトウェアプログラムを採用する場合に、せいぜい平文または鍵を復元できることである）。（ｄ）鍵生成及び／又は一般的用法に於いて過度のプロトコルの対話を必要とする。加えて、この対話は、小さい一団の集極化されたエンティティに対し行われ、この為通信量及び通信の遅滞が潜在的ボトルネックになる。ユーザには、信用機関の鍵を所有して、各セッション初期化にそれを使用することが求められる。更に、総ての通信プロトコルの改良を必要とする。（ｅ）信用できる過多の第三者機関（ＴＴＰ）がシステム操作に関与することが必要とされる。余りにも多くの当事者に信用を拡めることは、セキュリティの侵害の危険を増大し、拡張性を狭める。（ｆ）ＴＴＰの数だけの暗号鍵の生成を必要とする。不正な又は信用失墜したＴＴＰがユーザ鍵を改ざんしたり公開することによりユーザのセキュリティを危険に陥れる虞れがある。（ｇ）秘密鍵や秘密割当て鍵のデータベースをユーザに代わって保守管理することが必要とされる。（ｈ）シャドウの公開鍵インフラを確立するのに使用できるが、寄託システムの目的を尽く無に帰す。自働回復及び自働認証可能暗号システム上記不都合により必要とされるものは以下に示す利点を備える新しい仕組みである：（ａ）安全性を喪失せずにソースコードの形態で配付することが出来る鍵寄託システムであって、それ由適切な作動を確実ならしめる為に公に吟味し得るシステムを提供する鍵寄託システム。加えて、本鍵寄託システムは、ソフトウェアで利用できるので、大規模かつ迅速に、コスト効率良く実装され得る。つまり、当システムを早期に配付できる。（ｂ）本発明の改良の可能性によりソフトウェア解決手段を受入れられないと考えられる場合、改ざん防止ハードウェアに直接に実装することが可能である。しかし、このことは：（ａ）の利点（例えば早期の配付）に逆影響を与える。（ｃ）本寄託システムは寄託機関、認証機関及びユーザの間に於ける理論的に起こり得る通信プロトコルの対話の量を最小限しか要しない。鍵の登録の為には、メッセージは多数の認証機関のうち一つに送信する必要があるに過ぎない。この仕組みは、鍵登録に基づき寄託システムと呼ばれている。比較の為、ＦＰＫＣ方式の好適実施例では５つのメッセージがユーザから信用機関に送られ、その後６つ以上のメッセージが鍵管理センターに送られる。（ｄ）本寄託システムを実装するのに、僅か一つだけの機密データベースを必要とするに過ぎない。このデータベースは、認証を受ける必要があるに過ぎず、シャドウ暗号システムの確立を防止する為に秘密に保てることが出来る。ユーザの秘密鍵は、例え当該データベースが露見しても暴かれることがない。この点はＦＰＫＣと対称的である（即ちＦＰＫＣでは幾つかのデータベースの管理を必要とし、データベースが危うくされたら、ユーザ鍵も危なくなる）。新しい本システムの上記利点は、通常の公開鍵方式に於ける如くユーザ鍵の確定及び検証に於いて検証機関にのみ依拠していることになる。（ｅ）本寄託システムは、ユーザの秘密鍵が何人によっても検証されるのを可能にする。この検証は、ユーザの対応公開鍵、証明書及び公開パラメータを前提として、秘密鍵が寄託機関によって回復され得ることを、確かなものとする。比較上、ＦＰＫＣ方式では信用機関のみがこの様な検証を行う。新しい本システムの上記利点は、普遍的検証可能性と呼ばれる。（ｆ）本寄託システムは、シャドウ公開鍵に対する抵抗性を有するように構成され得る。他方、ＦＰＫＣはシャドウ公開鍵に対する抵抗性を有さないことが明らかにされている、つまり別のＰＫＣスキームを表示させる為に誤用され得る。本発明は、充分に万能的であって、上記（ａ）又は（ｂ）の何れか（即ち、ソフトウェア又はハードウェアでの実装）を選択できる。何れの場合も上記利点（ｃ）乃至（ｆ）の利点を充足できる。発明の開示後記されるべきことを含めて上記した目的や特徴の為に、本発明は暗号技術に於いて新しいパラダイムを導入する。本発明は、ユーザ作成の秘密鍵が、寄託機関の公開鍵を用いた暗号内にされたものの中に超過オーバヘッドなしに含まれていることを、検証する方法を提供する。更にこの様な検証は、寄託機関の公開鍵を所有している何人によっても行うことが可能である。本発明は、初動過程と、信号を別々に処理する３つの基本的機能から成る。基本的機能とは鍵生成、鍵検証、及び鍵リカバリー（回復）である。好適実施例の初動過程では、関係者は一組のイニシャル公開パラメータにつき了承しあっており、そしてオーソリティ（機関）が寄託公開鍵と対応秘密鍵を作成する。イニシャルパラメータと寄託公開鍵は本システムの公開パラメータである。本システムの寄託機関、認証機関（ＣＡ）及びユーザの総ては公開パラメータにアクセスする。鍵生成過程に於いて、本方法は、ユーザの公開／秘密鍵ペアを生成すると共に、寄託公開鍵を用いてユーザ秘密鍵の暗示的に暗号化したものを含む情報のストリングである回復可能性証明書を生成する。ユーザの公開鍵と、回復可能性証明書とを含む信号情報が何れかのエンティティに伝送され得る。検証過程に於いてユーザはその信号を検証者に伝送する。検証過程は入力信号を取り入れて、処理して、真（ｔｒｕｅ）又は偽（ｆａｌｓｅ）を出力する。真の場合は、ユーザの秘密鍵は、回復可能性証明書から、寄託機関によって回復できることを意味する。偽の場合は、秘密鍵は回復できないことを意味する。本発明は公開鍵が寄託されることのない様に又公開鍵が検証過程を及第して真の結果を得る様にユーザが公開鍵及び回復可能性証明書を生成することが困難であるように、構成されている。好適実施例に於いてユーザは認証機関（ＣＡ）の登録機関に対し自分の公開鍵を証明する（その後ＣＡは、検証の及第後、ユーザの公開鍵に署名を加える）。公開鍵を含むストリングに関するＣＡの署名と共に公開鍵は、認証公開鍵になる。詳しくは、ＣＡは、ユーザの公開鍵及び回復可能性証明書を受取った際に、対応秘密鍵が回復できるかどうか検証する。回復可能ならば（即ち、検証過程で真が出力されれば）、公開鍵はＣＡによって認証され、かつ／又は公の利用に供せられる。ユーザは、自分の公開鍵を保持すること、典型的ＰＫＩに於ける如く（他のユーザの公開鍵を含む）公開鍵データベースにアクセスすることが求められるに過ぎない。回復過程に於いて、寄託機関は、ユーザの回復可能性証明書を使用するこの証明はＣＡから入力信号として得られる。寄託機関がその回復可能性証明書を処理し、又対応公開鍵を用いて暗号化されたユーザの対応秘密鍵やデータは最終的出力信号である。本発明は、ハードウェアとソフトウェアの両方で実装し得るので、基礎的技術面で頑強性がある。ソフトウェアで実装される場合、所望通り機能するか、又ユーザのセキュリティを危うくしないか確認する為の吟味を容易に行うことが出来る。ソフトウェア実装は、ソースコードの形態でディスケット又はコンピュータ通信ネットワークを介して普及し得るので、本発明の速やかな普及を可能にする。又、本発明は理論上有り得る通信を免れる。唯一の通信は、ソフトウェア自体（又はハードウェア装置自体）を普及される行為と、（ユーザの公開鍵、回復可能性証明書及び追加情報の）一度だけの転送である。信号は迅速に処理でき、信号自体は若干量の情報からになる。本発明は、寄託を受けない典型的なＰＫＩに於いて使用される通信プロトコル（例えば、セッション鍵の確立、鍵配付や機密メッセージの伝送など）に於ける変更を必要としない。この為、本発明は典型的なＰＫＩと両立できる。それ由、本発明は、暗号鍵の寄託及び回復の非常に効率的な方法を提供する。添付図面の図１乃至７を参照して本発明を説明することとする。図面の簡単な説明図１は、ｍ個の寄託機関で以って用いられた本発明の方法の初動過程を示すデータの流れの模式図である；図２は、本発明を用いて公開／秘密鍵ペアと回復可能性証明書を生成する過程に於ける各基本的ステップを示す流れ図である；図３は、秘密鍵の回復可能性を検証する過程に於けるデータの流れの模式図である；図４は、本発明を用いて鍵を登録する過程に於けるデータの流れの模式図である；図５は、寄託機関による秘密鍵の回復の過程に於けるデータの流れの模式図である；図６は、包括的な公開鍵システムとその主要構成要素及び動作を示す；図７は、本発明の採用による寄託可能公開鍵システムと、その構成要素及び動作を示す。発明を実施するための最良の形態〔第１実施例〕以下に本発明の好ましい第１実施例を説明する。この実施例の変更態様は後ほど説明することにする。前以って言及しておくと、選ばれたハッシュアルゴリズムはＳＨＡ（Ｓｃｈｎｅｉｅｒ２ｎｄｅｄｉｔｉｏｎ４４２−４４５頁）である。但し、いずれの暗号ハッシュアルゴリズムも然るべく適用できる。実施例に於けるパラメータはそれぞれの群から無作為均等に選ばれた。別の実施例では、値を選び取るのに別の確立分布が用いられる。図１に示す実施例のシステム初動は、本暗号システム初期化する。実施例では関係当事者は、大きな素数ｒにつきｑ＝２ｒ＋１と、ｐ＝２ｑ＋１に於けるｑ，ｐも素数であることを互いに了承している。この関係を満たすｒの値は、例として小さい値であるが５と１１がある。以下は１６進数で表した１０２４ビット長のｒの値である：ｆｄ９０ｅ３３ａｆ０３０６ｃ８ｂ１ａ９５５１ｂａ０ｅ５３６０２３ｂ４ｄ２９６５ｄ３ａａ８１３５８７ｃｃｆ１ａｅｂ１ｂａ２ｄａ８２４８９ｂ８９４５ｅ８８９９ｂｃ５４６ｄｆｄｅｄ２４ｃ８６１７４２ｄ２５７８７６４ａ９ｅ７０ｂ８８ａ１ｆｅ９９５３４６９ｃ７ｂ５ｂ８９ｂ１ｂ１５ｂ１ｆ３ｄ７７５９４７ａ８５ｅ７０９ｆｅ９７０５４７２２ｃ７８ｅ３１ｂａ２０２３７９ｅ１ｅ１６３６２ｂａａ４ａ６６ｃ６ｄａ０ａ５８ｂ６５４２２３ｆｄｃ４８４４９６３４７８４４１ａｆｂｂｆａｄ７８７９８６４ｆｅ１ｄ５ｄｆ０ａ４ｃ４ｂ６４６５９１１０２４ビット長のｒは暗号システムで使用するには充分に大きな値である。ｒ，ｑ，ｐの値は、単にある素数を見つけるのと同程度に容易に見つけられるものでないが、見つけるのに手に負えないほどでない。必要とされるのは例えば多重精度（ｍｕｌｔｉｐｒｅｃｉｓｉｏｎ）ライブラリー関数を用いて実装可能な効率性の高いアルゴリズムである。この種アルゴリズムにはＫａｒａｔｓｕｂａ掛算法、Ｍｏｎｇｏｍｅｒｙ通分法、足し算連鎖法、及びＲａｂｉｎ−Ｍｉｌｌｅｒの確率的素数性（ｐｒｉｍａｌｉｔｙ）テスト（Ｊ．Ｌａｃｙ，Ｄ．Ｍｉｔｃｈｅｌｌ，Ｗ．Ｓｃｈｅｌｌ，“ＣｒｙｐｔｏＬｉｂ：ＣｒｙｐｔｏｇｒａｐｈｙｉｎＳｏｆｔｗａｒｅ，”ＡＴ＆ＴＢｅｌｌＬａｂｏｒａｔｏｒｉｅｓ，ｃｒｙｐｔｏｌｉｂ＠ｒｅｓｅａｒｃｈ．ａｔｔ．ｃｏｍ）がある。以下の方法は、ｒ，ｑ，ｐに対する大きな値を効率良く見つけるのに使用することができる。但し、ｒｍｏｄ３は２（即ち、ｒｍｏｄ３＝２）でなければならないものとする。このとき、ｒが素数でなければ、ｒｍｏｄ３は０であり得ず、ｑが３で割り切れれば、ｒｍｏｄ３は１である。更に、ｒｍｏｄ５は、１又は４（即ち、ｒｍｏｄ５＝１又はｒｍｏｄ５＝４）でなければならないものとする。このとき、ｒが５で割り切れれは、ｒｍｏｄ５は２であり得ず、ｑが５で割り切れればｒｍｏｄ５は２であり得ず、ｐが５で割り切れれば、３であり得ない。この方法を「試行剰余演算（ｔｒｉａｌｒｅｍａｉｎｄｅｒｉｎｇ）」と呼ぶことにする。試行剰余演算を実行することにより、試行割算法、及び確率的素数性テストを行う前に、ｒ，ｑ，ｐに対する値を速やかに算出できる。例えば２５１までの試行剰余演算を一旦実行し終えたら、ｒ，ｑ，ｐにつき試行割算法を実行する。ｒ，ｑ，ｐが算出されないときは、ｒ，ｑ，ｐ，ｒ，ｑ・・・の順に代わる代わるＲａｂｉｎ− Ｍｉｌｌｅｒの確率的素数性テストを実行する。予め定められた小さい潜在的合成証明（ｓｍａｌｌｐｏｔｅｎｔｉａｌｗｉｔｎｅｓｓｏｆｃｏｍｐｏｓｉｔｅｎｅｓｓ）を用いて素数性テストを実行した。ｒ，ｑ，ｐの何れかが合成数であると判断されたときは、ｒをｒ＋２×３×５×・・・×２５１に等しいｒを定め、先ず試行割算法を次に潜在的証明の同一集合を繰り返す。斯くして、ｒに関する先行条件が確認されているので、再度、試行剰余演算を実行する必要がない。一旦ｒ，ｑ，ｐが見い出されれば、強い乱数生成器を用いて見つけられる潜在的証明を使用して追加の素数性テストを実行する。これらのテストにｒ，ｑ，ｐが及第したならば、それらは素数であると推定され、システムパラメータとして宣言される。関係当事者が或る値ｇと奇数値ｇｌとを互いに了承しているか、ＣＡはそれらの値を選ぶ。値ｇは、集合｛１，２，３，・・・，ｐ−１｝内の要素を生成する。他方奇数値ｇ１は２ｇ以下で、２ｇと互いに素な値の外総てを生成する。但し、２ｇは一つの乗法群で、生成器を具備する。ｇとｓは実施例では奇数である。値ｒ，ｑ，ｐ，ｑ及びｇ１は、システムのイニシャルパラメータであって、機密性を損なうことなく公の便に供されている。これらの値は当該機関自身、かつ／又は他の者によって選び出すことができる。一旦ｇ１とｑが特定されれば、ｍ個（ｍ≧１）の寄託機関は、（寄託公開鍵とも呼ばれる）寄託機関公開鍵（Ｙ，ｇ１，２ｑ）と、寄託機関秘密鍵（ｚ＿１，ｚ＿２，・・・，ｚ＿ｍ）とを一括的に計算し始める。その際、一つの寄託機関ｉ（１乃至ｍの間の一つ）は、｛１，２，・・・，２ｒ−１｝から無作為に一つの値ｚ＿ｉを選び出し、その後、２ｑを法とするｇ１のその値ｚ＿ｉの累乗であるＹ＿ｉ（、即ちＹ−ｉ＝ｇ１^(z_i) ｍｏｄ２ｑ）を定める。その後、少なくとも一つの寄託機関が（ｍ−１）個の他の寄託機関からＹ＿ｉの情報の総てを受け取る。実施例では寄託機関ｉ（２乃至ｍの間の一つ）が寄託機関１にＹ＿ｉを送信する。Ｙ＿ｉの送信は、図１のステップ１１により示されている。Ｙは、２ｑを法とするＹ＿ｉの積であると、少なくとも機関の一つによって計算される。実施例ではＹは寄託機関１によって計算される。次に寄託機関１は、（ｇ１／Ｙ）が２ｑ以下で、２ｑと互いに素な値の総ての生成元であることを検証する。生成器でなければ、ステップ１２が実行される。ステップ１２では、他のｍ−１個の機関は、Ｚに対する新しい値を選び出したことが伝えられ、これにより手続がステップ１１の最初から再開される。実施例では、寄託機関１がもう一度ｚ＿１を選び出す。他の実施例では、少なくとも１個かｍ以下の個数の寄託機関がｚに対する新しい値を生成する。本過程は、（ｇ１／Ｙ）が２ｑ以下で２ｑと互いに素な値の総ての生成元である迄、必要なだけ何度も継続される。その後Ｙは、一つ又はそれ以上の寄託機関によって公開されるか、ユーザ及びＣＡの利用に供される。図２は、ユーザのシステムがどの様にして公開／秘密鍵ペア及び回復可能性証明書を生成するのかの過程を示す。（寄託機関によってユーザの利用に供される）信号Ｙを得たならば、ユーザのシステムはユーザの為にＥｌｇａｍａｌ暗号鍵（ｙ，ｇ，ｐ）の生成を始める。信号Ｙはアプリオリに本発明に含められてもよい。本発明は｛１，２，・・・，２ｒ−１｝からの値ｋを無作為に選び出すことによって進められる。このことは図２のステップ２００４で表される。ステップ２００５に於いて、本発明はＣ＝（ｇ１のｋ乗，つまりｇ１^k）ｍｏｄ２ｑを計算する。ステップ２００６に於いて、（(ｇ１／Ｙ)の４乗，つまり(ｇ１／Ｙ)⁴ ）ｍｏｄ２ｑであるユーザの秘密鍵ｘが計算される。次いで、ユーザシステムはステップ２００７に進み、ユーザの秘密鍵がＣ内で適切に暗号化されたことを検証する為に利害関係者によって使用され得る証明書を計算する。この証明書には値ｖが含まれ、この値はｐを法とするｇのｗ乗（つまりｇ^wｍｏｄｐ）からシステムによって計算される（但し、ｗは２ｑを法とする（１／Ｙ）のｋ乗である、つまりｗ＝（１／Ｙ）^k ｍｏｄ２ｑ）。公開鍵パラメータは、ｖ^c ｍｏｄｐを計算することによって、ｇとｖから回復され得るシステムは、いわゆる３つの非対話型（ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ）ゼロ知識証明も処理し、それらを証明書に含める。各非対話型証明に於ける反復数をｎとする。実施例ではｎを４０と定めている。第１の証明は、ユーザがＣに於けるｋを知っていることを自ら証明できるように構成されている。第２の証明は、ユーザがｖに於けるｋを知っていることを自ら証明できるように構成されている。最後の証明は、ｐを法とするｖのＣ乗（つまりｖ^c ｍｏｄｐ）に於けるｋをユーザが知っていることを自ら証明できるように構成されている。「ユーザが値ｘを知っている」との表現は、システムが自らのステートに値ｘを有することを、意味する。より詳しくは、非対話型証明を確立する為にシステムは次の如く進行する。システムは、｛１，２，・・・，２ｒ-1｝から無作為に値ｅ＿1,1，ｅ＿1,2,・・・，ｅ＿1,n，ｅ＿2,1,ｅ＿2,3,・・・，ｅ＿2,n，及びｅ＿3,1,ｅ＿3,2,ｅ＿3, 3,・・・，ｅ＿3,ｎを選び出す。１乃至ｎに亘るｉに関し、当システムは、２ｑを法とするｇ１の（ｅ＿1,ｉ）乗である（つまり、ｇＩ^{e 1,i} ｍｏｄ２ｑ）であるＩ＿1,ｉを定める。１乃至ｎに亘るｉに関し、本発明は、ｐを法とするｖのｄ＿ｉ乗である（つまり、ｉ＝ｖ^d_i ｍｏｄｐ）であるＩ＿2,ｉを定める。但し、ｄ＿ｉは２ｑを法とするＹの−ｅ＿2,ｉ乗である（つまり、ｄ＿ｉ＝Ｙ^(-ez ^,i) ｍｏｄ２ｑ）。１乃至ｎのｉに関し、本発明は、ｐを法とするｙのｔ＿ｉ乗である（つまり、ｉ＝ｙ^t-iｍｏｄｐ）であるＩ＿3,ｉを定める。但し、ｔ＿ｉは２ｑを法とする（ｇ１／Ｙ）のｅ＿3,ｉ乗である（つまり、ｔ＿ｉ＝（ｇ１／Ｙ）^(e-3,i) ｍｏｄ２ｑ）。その後、本発明は、１乃至ｎに亘るｉに関しタプル（Ｉ＿1,ｉ，Ｉ＿2,ｉ，Ｉ＿3,i)を共に連結することによって形成される集合のＳＨＡハッシュである、値ｒｎｄを計算する。但し、ｒｎｄは、適宜強さの暗号ハッシュ関数を用いる、Ｉの値の総ての関数である。他の実施例では、ハッシュ関数は１６０ビットと相違する効果的範囲の大きさを有することが出来る。ハッシュ関数のもっと大きな範囲はｎに対する意味の有るより大きな値を可能にする。当システムは、ｒｎｄの対応３ｎの最小ビットの各々である当該ビットサイズの値ｂ＿1,1，ｂ＿1,2，・・・，ｂ＿1,n，ｂ＿2,1，ｂ＿2,2 ，・・・，ｂ＿2,n，ｂ＿3,1，ｂ＿3,2,・・・，ｂ＿３，ｎの各々を定める。ｂに対する値はチャレンジ（質疑）ビットであって、それらを見つける方法はＦｉａｔ−ＳｈａｍｉｒＨｅｕｒｉｓｔｉｃ法として知られている。その後、当システムは、それらのチャレンジビットに対するレスポンス（応答）の計算に進む。１乃至３のｉと、１乃至ｎのｊとに関して、本発明は、２ｒを法とするｅ＿ｉ，ｊ＋（ｂ＿ｉ，ｊ）ｋ（つまり、ｅ＿ｉ，ｊ＋（ｂ＿ｉ，ｊ）ｋｍｏｄ２ｒ）であるｚ＿ｉ，ｊを定める。以上で図２のステップ２００７の説明を尽くした。システムはステップ２００８に進む。ステップ２００８に於いて、本発明は、１乃至ｎに亘るｉに関し、パラメータＣ，ｖ，ｙ（Ｉ＿1,ｉ，Ｉ＿2,ｉ，Ｉ＿3, ｉ），及び(ｚ＿1,ｉ，ｚ＿2,ｉ，ｚ＿3,ｉ)を出力する。別の実施例では、値ｋは本発明によってユーザに対して出力される。その後、ユーザは、自分の秘密鍵が寄託機関によって回得され得ることを後ほど対話的に証明するオプションを有する。このことは後で詳しく説明する。値ｂを証明書の一部とすることもできるか、ｂに対する値はＩに対する値からのみ導かれ得るので、必ずしもそうしなくとも良い。今までの実施例の説明によって、ＣＡ及びオーソリティによって使用される為にシステムがどの様に初動させられるか、又公開／秘密鍵ペアと回復可能性証明書を生成する為にシステムがユーザ（潜在的受信者）によってどの様に使用されるかを明らかにした。回復可能性証明書は、提出された者に対して、公に特定される属性を生成鍵が有することを示すストリングである。以下に、ｘがＣから回復され得ることを検証者に対して証明する為に、本発明がユーザにとってどの様に使用されるか説明する。この過程は図３に示される。検証者は、ＣＡ、寄託機関、或いはシステムの一部である他のもので在り得る。図３の検証過程は次の通りである。ステップ３００９に於いて、ユーザは、上記した如く本発明を用いる公開／秘密鍵ペア，ｘの暗号，及び証明書を生成する。ステップ３０１０に於いて、ユーザは検証者に対して、それらのパラメータを含む信号を伝送する。ステップ３０１１に於いて、検証者はこの信号を用いて、ユーザの秘密鍵が寄託機関によって回復され得るかどうか検証する。その際に、検証者は、ユーザの公開鍵、暗号Ｃ、対応証明書、及び寄託公開鍵Ｙを用いる。ユーザの信号が処理される態様をここで詳細に説明する。検証システムは、公開鍵かつ／又は証明書が無効ならば、０を出力し、又無効でなければ１を出力する。本発明は、２次的処理を用いて、検証者に対して０が戻された場合公開鍵が無効であることを示す様にしてもよい。同様に、検証システムは、及第する有効性について検証者に通知する様にしてもよい。検証を遂行する為に、検証システムは、最初にｙ＝（ｖのＣ乗、つまりｖ^c）ｍｏｄｐであることを検証する。もしｙがｖ^c ｍｏｄｐに等しくなければ、検証システムは０の値を戻す。その後、検証システムは、ユーザの証明書内に含まれる３つの非対話型ゼロ知識証明を検証する。本発明は、証明書生成過程で遂行された（この過程は図２に関連して説明した）のと同じ態様で、１乃至ｎに亘るｉに関して（ｂ＿1,ｉ，ｂ＿2,ｉ，ｂ＿3,ｉ）を計算する。第１の非対話型証明に関して、検証システムは、１乃至ｎに亘るｉに関してｂ＿1,ｉ＝０ならば、ｇ１のｚ＿1,ｉ乗はＩ＿1,ｉｍｏｄ２ｑに等しい（つまり、ｇ１^{(z 1,i)}＝Ｉ＿Ｉ，ｉｍｏｄ２ｑ）ことを調べる。もしこれらの等式の何れかが成立しなければ、検証システムは０の値を戻す。以上で第１の非対話型証明の説明を尽くした。第２の非対話型証明に関し、検証システムは、１乃至ｎに亘るｉに関してｂ＿ 2,ｉ＝１ならば、ｇのｗ＿ｉ乗はＩ＿2,ｉｍｏｄｐに等しい（つまり、ｇ^w ⁱ ＝Ｉ＿2,ｉｍｏｄｐ）ことを調べる。ここでｗ＿ｉは、２ｑを法とする１／Ｙの２乗である（つまり、ｗ＿１＝（１／Ｙ）^{z 2}ｍｏｄ２ｑ）。又、検証システムは、１乃至ｎのｉに関し、ｂ＿2,ｉ＝０であるならば、ｖのｖ＿ｉ乗は、Ｉ＿2,ｉｍｏｄｐに等しい（つまり、ｖ^{v i}＝Ｉ＿2,ｉｍｏｄｐ）ことも検証する。ここでｖ＿ｉは、２ｑを法とする（１／Ｙ）のｚ＿2,ｉ乗である（つまり、ｖ＿ｉ＝（１／Ｙ）^{z 2,i} ｍｏｄ２ｑ）。もしこれらの等式の何れかが成立しなければ、検証システムは０の値を戻す。以上で第２の非対話型証明の説明を尽くした。第３の非対話型証明に関し、本発明は、１乃至ｎに亘るｉに関してｂ＿3,ｉ＝１ならば、ｇのｗ＿ｉ乗はＩ＿3,ｉｍｏｄｐに等しい（つまり、ｇ^{w i}＝Ｉ＿3,i ｍｏｄｐ）ことを調べる。ここでｗ＿ｉは、２ｑを法とする１／Ｙのｚ＿３乗である（つまり、ｗ＿ｉ＝（１／Ｙ）^{z 3,i} ｍｏｄ２ｑ）。又、検証システムは、１乃至ｎに亘るｉに関しｂ＿3,ｉ＝０であるならば、ｖのｖ＿ｉ乗は、Ｉ＿3,ｉｍｏｄｐに等しい（つまり、ｖ^{v i}＝Ｉ＿3,ｉｍｏｄｐ）ことも調べる。ここでｖ＿ｉは、２ｑを法とする（１／Ｙ）のｚ＿3,ｉ乗である（つまり、ｖ＿ｉ＝（１／Ｙ）^{z 3,i} ｍｏｄ２ｑ）。もしこれらの等式の何れかが成立しなければ、検証システムは０の値を戻す。検証の総てにパスしたならば、値１が検討システムによって出力される。図４に於いて、ユーザは自分の公開鍵をＣＡに対し証明する。この過程のステップ４０１２に於いて、ユーザは自分の公開鍵及び回復可能性証明書を、既に説明した如く生成する。この信号をユーザはＣＡに伝送する。これは図４のステップ４０１３に対応する。ステップ４０１４に於いて、ＣＡは検証者として振る舞い、ユーザの秘密鍵が寄託機関によって回復され得ることを検証する。ここまでステップ４０１２乃至４０１４は、図３の鍵検証過程に於けるステップ３００９乃至３０１１と同じである。しかし、ＣＡは、更に要求に応じて、他の者の利用に供せられる検証過程を及第する鍵を生成し、かつ／又はその鍵を証明することになる。もしユーザの公開鍵が検証過程を損なった場合は、証明の試みは無視されるか、ユーザに対して証明の試みの失敗が通知される。本発明が使用される環境の要求に応じて、公開鍵の登録の為に、又ユーザが秘密鍵の一部を明らかにせずに知っていることを証明する為に、ユーザは正確な情報の提出が求められる。その種の情報はパスワード、社会保険証番号、過去に使用された秘密鍵などであったりする。ＣＡが信用できるエンティティである場合には、ＣＡは単純にユーザの公開鍵にデジタル署名して、そのＣＡの署名と共に、要求に応じて利用に供される鍵を作成することができる。もしＣＡが信用できなければ、証明書は公開ファイルに保存されるべきで、その証明書を回復可能性証明書と一緒に寄託機関に提供すべきである。寄託機関が代わって回復可能性を保証する。以上で公開鍵証明過程の説明を尽くした。最後に説明する過程は秘密鍵回復過程である。この過程は図５に示される。この過程に於いて本発明は、Ｃに基づくユーザの秘密鍵を回復する為にｎ個の寄託機関によって使用される。全部でｍ個の寄託機関は、図５のステップ５０１５に示す如く、Ｃを入手する。他の実施例では、ＣＡは、一つ又はそれ以上の寄託機関に対してＣかつ／又はパラメータを伝送する。それ由、寄託機関は既にＣを所有している。この時、寄託機関ｉは２ｑを法とするＣのｚ＿ｉ乗（つまり、ｔ＿ｉ＝Ｃ^{z i}ｍｏｄ２ｑ）であるｔ＿ｉを計算する。但し、ｚ＿ｉはｉ番目の寄託機関の秘密鍵である。１乃至ｍに亘るｉに対し成される。その後、寄託機関２乃至ｍは、ステップ５０１６に示されている如く、寄託機関１に対してｔに対するそれぞれの値を送信する。その後、寄託機関１は、ｔ＿ｉに対する複数の値の積である２ｑを法とするＹのｋ乗（つまりＹ^k ｍｏｄ２ｑ）を計算する（ｉは１乃至ｍの範囲）。その後、寄託機関１は、ｘ＝（Ｃ／（Ｙのｋ乗、つまりＹ^k ）ｍｏｄ２ｑ）を計算することによって、ユーザの秘密鍵を入手する。本技術分野に於ける別の方法として、ｘが機関の間に別々に表象されるように、ｘを計算する方法がある。この方法もｘ自体を明らかにすることなしにｘに対応する公開鍵を用いて暗号化されたメッセージを機関が復号することを可能にする。以上に説明したものは自働回復及び自働認証可能な（ＡＲＣ）暗号システムである。この暗号システムのユーザは、機密通信の為の典型的なＰＫＩ（公開鍵インフラ）と同じ様に、公開鍵システムを採用する。これを図６及び７に図式して示す。図６は、ＰＫＩ環境に於ける典型的公開鍵暗号システムである。ユーザが従うべきステップを次に示す。 (1)ユーザは先ずＣＡの情報とアドレスを読む。 (2)ユーザは公開／秘密鍵ペアを生成し、公開鍵をＣＡに送る。ＣＡに於ける機関の登録はユーザの同一性を検証し、ユーザを公開鍵の所有者として特定する（公開鍵に関する）ＣＡの証明書と一緒に、公開鍵を公開する。 (3)そのユーザに対してメッセージを送ろうとする別のユーザに関しては、ＣＡのデータベースから公開鍵が読み取られ、証明書が検証される。 (4)その後、新しい公開鍵を用いてメッセージが暗号化されて、送信される。図７は、自働回復及び自働認証可能（ＡＲＣ）暗号システムを図式して示す。追加的動作は次の通りである。（O）オーソリティ（機関）は寄託公開鍵を生成し、それをＣＡに提供する。ステップ１と２は、プルーフが公開鍵と一緒に送られる点を除き、類似する。ステップ３と４はシステムの動作であって、同じである。ステップ５と６は鍵が寄託から回復された場合を示す。 (5)寄託機関がＣＡから情報を得る。 (6)寄託機関がユーザの秘密鍵を回復する。第１実施例の変更態様では、それ自体を明らかにすることなしに、ｘに対応する公開鍵を用いて暗号化された秘密鍵又はメッセージを、機関の充分に大きなサブセットが回復することができる。これは、独立してｔに対する適当な値を受取ることによって他の機関により行われる。機関の一部又は総てが全く信用できないか利用不能な場合に頑強性を加えることになる。又、ユーザのパラメータが検証過程を用いて最初に検証され得る様に、公開鍵と暗号文と一緒に回復可能性証明書が送られるように機関は、要求することができる。以上で秘密鍵の回復過程を説明し尽くした。以下は、本発明の第１実施例の幾つかの変更態様である。一つの変更態様は、フォーム(Ｙ，ｇ，２(ｑのｔ乗、つまりｑ^t))のオーソリティ公開鍵の使用を含む。但し、フォームのｔは１より大きい整数である。ここではｔが１であるように決めたが、原始根に基づき他の値も使用でき、動作する。別の変更態様は、公開パラメータの一部として２つ又はそれ以上の大きな素数の積を使用する。明らかに、使用した法指数演算の正確な構成は、本発明の範囲から脱することなしに意味を有するように変化させることができる。別の変更態様として３つのゼロ知識証明に関し、対話型のものを使用することができる。この場合、鍵生成中のシステムはユーザに対してｋを出力することが求められる。その値ｋは対話型プロトコル間で使用され、その結果として検証者は、ユーザの秘密鍵が寄託機関によって回復されたと、確信することができる。但し、ｋの出力によって結果的にシャドウ公開鍵暗号システムになる虞れがある。これは、((g1，C，2q)，k)か２ｑを法とする有効なＥｌＧａｍａｌ公開／秘密鍵ペアである事実から来る。更に別の変更態様では、ＣＡ又は他の信用されたエンティティがユーザの公開鍵を見えなくする更なる処理を行う。ＣＡは、ｋｓ・ｔを選択する。ｇ’＝（ｇのｋ乗、つまりｇ^k）ｍｏｄｐは生成器であって、ユーザに対して（ｇ’（ｙのｋ乗、つまりｙ^k）ｍｏｄｐ）を送る。ｇ’は、ユーザのＥｌＧａｍａｌ生成器で、ｙ’＝（ｙのｋ乗、つまりｙ^k）ｍｏｄｐはユーザの最終鍵(ｇ',ｙ ’ ,ｐ')の一部である。これによってユーザがｙに於けしきい値以下チャンネルを利用することを防ぐ。別の変更態様では、ユーザは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎの鍵交換の為に使用される自らの公開鍵を公開する。例えば、次の方法が使用できる。ａをユーザＡの秘密鍵とし、又、ｂをユーザＢの公開鍵とする。ｙ＿ａ＝（ｇのａ乗、つまりｇ^a）ｍｏｄｐをユーザＡの公開鍵とし、又、ｙ＿ｂ＝（ｇのｂ乗、つまりｇ^b）ｍｏｄｐをユーザＢの公開鍵とする。この場合、ランダムセッション鍵を確定する為に、ユーザＢはランダムストリングｓを選ぶ。その後、ユーザＡはユーザＢに対してｍ＝（ｙ＿ｂのａ乗、つまり（ｙ＿ｂ）^a）ｓｍｏｄｐを送る。ユーザＢは、ｍ/(ｙ＿ａのｂ乗、つまり（ｙ＿ａ）^b）ｍｏｄｐを計算することにより、ｓを回復する。ユーザＡとＢは、公知の公開関数を用いて（例えば一方向ハッシュ関数を適用して）ｓからセッション鍵を導く。その後、セッション鍵を寄託から取り出すごとが求められたときには、信用機関は、ｓ延いてはセッション鍵を回復する為に、ａ又はｂを使用することができる。以下に本発明の第２実施例を説明する。選ばれたハッシング・アルゴリズムはＳＨＡ（Ｓｃｈｎｅｉｅｒ２ｎｄｅｄｉｔｉｏｎ，４４２−４４５頁）であるが、何れの暗号ハッシング・アルゴリズムも然るべく適用できる。便宜上ハッシュ結果の最小の意味の有るビットを用いたが、サブセット・ビットも使用可能である。本実施例に於けるパラメータはそれぞれの群又はドメインから無作為均等に選ばれた。別の実施例では、値を選び出すのに別の確率分布が用いられる。乱数生成器や疑似乱数生成器に基づくその種の選出は本技術分野で利用可能である。図１に示す本実施例のシステムの初動は本暗号システムを初期化する。実施例では、１≦ｉ≦ｍとして寄託機関ｉは秘密割当て鍵（ｐｒｉｖａｔｅｓｈａｒｅ）Ｄ＿ｉ，及び対応公開割当て鍵（ｐｕｂｌｉｃｓｈａｒｅ）Ｅ＿ｉを生成する。複数の秘密分割鍵Ｄ＿ｉは、共有秘密鍵Ｄ（ｓｈａｒｅｄｐｒｉｖａｔｅｋｅｙ）を形成する。寄託機関２乃至ｍは自らのＥ＿ｉを寄託機関１に送る。これはステップ１１により示されている。寄託機関１は総ての公開割当て鍵Ｅ＿ｉを結合して、共有公開鍵Ｅを計算する。Ｅに対する値は、ステップ１３で示す如く寄託機関１から公開提供される。各寄託機関ｉは、Ｄ＿ｉを秘密に保持する。具体的な例として、寄託機関は強い素数ｐと、（｛１，２，・・・，ｐ−１｝を生成する）値ｇとを生成可能である。割当て鍵Ｄ＿ｉは｛１，２，・・・，ｐ−１｝及びＥ＿ｉ＝（ｇのＤ＿ｉ乗、つまりｇ^{D i}）ｍｏｄｐ）から無作為均等に選び出され得る。Ｅはｐを法とするＥ＿ｉの値の総ての積である。鍵の結合生成の変更態様、及び単一の寄託機関に対する実装も可能である。図２と類似する過程は、ユーザのシステムが公開／秘密鍵ペアと、回復可能性証明書を生成する。寄託機関によってユーザの利用の便に供される公開鍵Ｅを入手し（出来る限り検討され）たならば、ユーザのシステムはユーザの為にＥＩＧａｍａｌ公開鍵（ｙ，ｇ，ｐ）の生成を開始する（Ｔ．ＥｌＧａｍａｌ，“ＡＰｕｂｌｉｃ−ＫｅｙＣｒｙｐｔｏｓｙｓｔｅｍａｎｄａＳｉｇｎａｔｕｒｅＳｃｈｅｍｅＢａｓｅｄｏｎＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｓ”，ＣＲＹＰＴＯ’８４，１０−１８頁，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８５）。ユーザのシステムは｛１，２，・・・，ｐ−１｝から無作為均等に秘密鍵Ｘを選び出して、ｇ^x ｍｏｄｐであるＹ（つまりＹ＝ｇ^x ｍｏｄｐ）を計算する。この鍵生成プロセスはステップ２００６に対応する。その後、システムはステップ２００７に進んで、（利害関係者、とりわけＣＡによって使用され得る）証明書を計算する。その証明書により、ユーザの秘密鍵ｘが回復可能性証明書Ｐから回復され得ることを検証する。いま、乱数ｓを用いて公開鍵Ｅによるメッセージａの暗号をＥＮＣ（ａ，ｓ，Ｅ）とする。このＥＮＣは、意味論的に安全な確率公開鍵暗号であって、確率暗号中には乱数の為のストリングが用いられている。例えば、ＥＮＣはＥｌＧａｍａｌ暗号であってもよいし、最適非対称暗号であってもよい（Ｂｅｌｌａｒｅ−Ｒｏｇａｗａｙ，“ＯｐｔｉｍａｌＡｓｙｍｍｅｔｒｉｃＥｎｃｒｙｐｔｉｏｎ”，Ｅｕｒｏｃｒｙｐｔ’９４）。いま、共有形態で実行される対応公開鍵の復号関数をＤＥＣとすると、ＤＥＣ（ＥＮＣ（ａ，ｓ，Ｅ），Ｄ＿1,Ｄ＿2,・・・，Ｄ＿ｍ）＝ａ。Ｐは以下のアルゴリズムに従って形成される。１．Ｐ＝（）２．ｉ＝１乃至Ｍに関して演算する３．ｒ＿ｉを無作為にドメイン｛１，２，・・・，ｐ−１｝から選び出す４．ＥＮＣでの使用の為に２つのランダム・ストリングｓ＿ｉ1,とｓ＿ｉ,2を選び出す５．Ｑ＿ｉ＝（ｇのｒ＿ｉ乗）ｍｏｄｐ６．Ｃ＿ｉ，１＝ＥＮＣ（ｒ＿ｉ，ｓ＿ｉ，１，Ｅ）７．Ｃ＿ｉ，２＝ＥＮＣ（ｒ＿ｉ−ｘｍｏｄｐ−１，ｓ＿ｉ，２，Ｅ）８．（Ｑ＿ｉ，Ｃ＿ｉ，１，Ｃ＿ｉ,2）をＰの末に加える９．ｖａｌ＝Ｈ（Ｐ）１０．Ｍの最小の有意義なｖａｌのビットであるｂ＿1,ｂ＿2,・・・，ｂ＿Ｍを定める１１．ｉ＝１乃至Ｍに関して演算する１２．ｗ＿ｉ＝ｒ＿ｉ−（ｂ＿ｉ）ｘ１３．Ｚ＿ｉ＝((ｗ＿ｉ)，（ｓ＿ｉ，ｊ）。但し、ｊ＝１＋ｂ＿ｉ１４．Ｚ＿ｉをＰの末に加える斯くして、ｐ=((Ｑ＿1,Ｃ＿1,1,Ｃ＿1,2)，・・・,（Ｑ＿Ｍ，Ｃ＿Ｍ,1，Ｃ＿ M,2)，Ｚ＿1,・・・，Ｚ＿Ｍ)。Ｈは、適当な公開一方向にハッシュ関数（例えば、ＳＨＡ）である。それ由、ｂ＿ｉはＰから回復され得る。ｂに対する値はチャレンジ・ビットであって、その値を見つけたり、使用する方法はＦｉａｔ−ＳｈａｍｉｒＨｅｕｒｉｓｔｉｃと同じである。ユーザのシステムはステップ２００８に於いて（ｙ，ｘ，ｐ）を出力する。尚、ユーザは、自分の秘密鍵ｘが寄託機関によって回復され得ることを対話的に証明するオプションを有している。このことは、後ほど詳細に説明する。Ｍは安全性の大きな充分なパラメータ（例えば、Ｍ＝５０）である。今までの実施例の説明にによって、ＣＡ及びオーソリティによって使用される為にシステムがどの様に初動させられるか、又公開／秘密鍵ペアと回復可能性証明書を生成する為にシステムがユーザ（潜在的受信者）によってどの様に使用されるかを明らかにした。回復可能性証明書は、生成公開鍵に対応する秘密鍵が寄託機関によって、回復され得ることをＰを用いて提出された者に対して示すストリングである。以下に、ｘがＰから回復され得ることを検証者に対して証明する為に、本発明がユーザにとってどの様に使用されるか説明する。この過程は図３に示される。検証者は、ＣＡ、寄託機関、或いはシステムパラメータを知る他のもので在り得る。図３の検証過程は次の通りである。ステップ３００９に於いて、ユーザは、上記した如く本発明を用いる公開／秘密鍵ペア，及び証明書を生成する。ステップ３０１０に於いて、ユーザは検証者に対して、それらのパラメータを含む信号を伝送する。ステップ３０１１に於いて、検証者はこの信号を用いて、ユーザの秘密鍵が寄託機関によって回復され得るかどうか検証する。この過程に於いて、検証システムは、ｙ，対応証明書Ｐ，及び寄託公開鍵Ｅを用いる。検証システムは、先ずｙ＜ｐであることを調べる。検証システムは、Ｐ中の値の総てが正しい集合内に在るか調べる。又、検証システムは、総てのｉとｊに対する値Ｃ＿ｉ，ｊが何らの反復を含んでいないことも調べる。検証システムは、総てのｉに対するＱ＿ｉの何れも反復していないことを調べる。これらの検証の何れかが失敗した場合、偽（ｆａｌｓｅ）を戻す。その後、検証システムは、証明書生成過程に於けるのと同様にｂ＿1,ｂ＿2,・・・，ｂ＿Ｍを計算する。１乃至Ｍのｉに関して、検証システムは次のことを検証する。１．ＥＮＣ（ｗ＿ｉ，ｓ＿ｉ，ｊ，Ｅ）＝Ｃ＿ｉ，ｊ_o但し、ｊ＝１＋ｂ＿ｉ２．（Ｑ＿ｉ／ｙのｂ＿ｉ乗、つまりｙ^{b i})）ｍｏｄｐ＝（ｇのｗ＿ｉ乗、つまりｇ^{w i} ｍｏｄｐ検証システムは、総ての検証が及第し、かつ上記１と２が１≦ｉ≦Ｍに対し満たされる限り、真（ｔｒｕｅ）を戻す。本発明は、２次的処理を用いて、検証者に対して偽（ｆａｌｓｅ）が戻された場合公開鍵が無効であることを示す様にしてもよい。同様に、検証システムは、及第の有効性について検証者に通知する（検証システムが真（ｔｒｕｅ）を戻す）様にしてもよい。図４に於いて、ユーザは自分の公開鍵をＣＡに対し証明する。この過程のステップ４０１２に於いて、ユーザは自分の公開鍵及び回復可能性証明書を、既に説明した如く生成する。この信号をユーザはＣＡに伝送する。これは図４のステップ４０１３に対応する。ステップ４０１４５に於いて、ＣＡは検証者として振る舞い、ユーザの秘密鍵が寄託機関によって回復され得ることを検証する。ここまでステップ４０１２乃至４０１４は、図３の鍵検証過程に於けるステップ３００９乃至３０１１と同じである。しかし、ＣＡは、更に要求に応じて他の者の利用に供せられる検証過程を及第する鍵を生成し、かつ／又はその鍵を証明することになる。もしユーザの公開鍵が検証過程を損なった場合は、証明の試みは無視されるか、ユーザに対して証明の試みの失敗が通知される。本発明が使用される環境の要求に応じて、公開鍵の登録の為に、又ユーザが秘密鍵の一部を明らかにせずに知っていることを証明する為に、ユーザは正確な情報の提出が求められる。その種の情報はパスワード、社会保険証番号、過去に使用された秘密鍵などであったりする。ＣＡが信用できるエンティティである場合には、ＣＡは単純にユーザの公開鍵にデジタル署名して、そのＣＡの署名と共に、要求に応じて利用に供される鍵を作成することができる。もしＣＡが信用できなければ（これはＰＫ１に於ける典型的な仮定でない）、証明書は公開ファイルに保存されるべきで、その証明書を回復可能性証明書と一緒に寄託機関に提供すべきである。寄託機関が代わって回復可能性を保証する。以上で公開鍵証明過程の説明を尽くした。尚、ＣＡは、完全性の為の認証情報と共に、おそらくＣＡ自身の鍵を用いた暗号化形態での回復可能性証明書を保持している。最後に説明する過程は秘密回復過程である。この過程は図５に示される。この過程に於いて本発明はＰに基づくユーザの秘密鍵を回復する為にｍ個の寄託機関によって使用される。全部でｍ個の寄託機関は、図５のステップ５０１５に示す如く、Ｐを入手する。他の実施例では、ＣＡは、一つ又はそれ以上の寄託機関に対してｙとＰかつ／又はパラメータを伝送する。それ由、寄託機関は既にｙとＰを所有している。この時、寄託機関は、Ｐを復号するのに自分の割当て鍵Ｄ＿１，Ｄ＿2,・・・，Ｄ＿ｍのサブセットを用いて、（例えばＤＥＣを用いて）未開封（ｕｎｏｐｅｎｅｄ）なＣ＿ｉ，ｊの総てを開ける。これは寄託機関ｉをしてユーザの秘密鍵のｉ番目の割当鍵を回復させることによって達成される。本過程に於いて、寄託機関ｉは未開封なＣ＿ｉ，ｊに対するＭ値をＰから抜き出し、それらの値をＤ＿ｉを用いて復号する。最終的な値は、図５のステップ５０１６で示される如く他の寄託機関からの値と一緒にされる。その後一緒にしたものは、未開封な値Ｃ＿ｉ，ｊの総てをＰから復号する為に、機関によって使用される。従って、総てのＣ＿ｉ，ｊに対応する平文の総ては寄託機関に知られる。本技術分野に於いては、未開封なＣ＿ｉ，ｊに対応する平文を回復する為の別の方法が存在し、その結果、未開封な平文は、機関の間で別々に表象される。ｐ−１を法として各々差し引かれたときに、ｙ＝（ｇのｘ乗、つまりｇ^x）ｍｏｄｐに於ける指数ｘに等しい一対の値に関して、各ペアＣ＿ｉ，１とＣ＿ｉ，２の平文を、寄託機関は調べる。又、（ｇのｘ乗、つまりｇ^x）ｍｏｄｐの量は、正しさを確認する為に、公開のｙと照合され得る。一旦その種のペアが見い出されれば、ユーザの秘密鍵は見い出される。以下に本発明の第３実施例を説明する。この実施例では、本システムのユーザは混成公開鍵（ｃｏｍｐｏｓｉｔｅｐｕｂｌｉｃｋｅｙｓ）を生成する。ユーザのシステムは、係属中の米国特許出願０８／９２０，５０４（ＹｏｕｎｇとＹｕｎｇ名義）に記載されているのと同様に、ｎとｓを生成する。但し、ｎは２つ（好ましくは強い）素数ｐとｑの積であって、ｓは（ｎの上位オーダ・ビット（ｕｐｐｅｒｏｒｄｅｒｂｉｔｓ）を導く為に、公開の一方向関数との関連で使用され得る）ストリングである。ｅとｄをそれぞれ公開指数と秘密指数（例えば，ＲＳＡに関する如く）を示すものとする。以下にＰがどのように形成されるかを示す。１．Ｐ＝（）２．ｍを法としてストリングｔ＿０を無作為に選び出す３．ｔ＿０をＰの末に加える４．ｉ＝１乃至Ｍに関して演算する５．ａ＿ｉ,1を集合｛１，２，・・・，(ｐ−１)(ｑ−１)−１｝から無作為に選び出す６．ａ＿ｉ,2＝ｄ−ａ＿ｉ,1 ｍｏｄ(ｐ−１)(ｑ−１)を計算する７．２つのランダムストリングｓ＿ｉ,1とｓ＿ｉ,2をＥＮＣで使用させる為に選び出す８．ｔ＿ｉ＝Ｈ（ｔ＿(ｉ＿ｉ)）９．ｖ＿ｉ,1（ｔ＿ｉのａ＿ｉ,1乗）ｍｏｄｎ１０．ｖ＿ｉ,2＝（ｔ＿ｉのａ＿ｉ,2乗）ｍｏｄｎ１１．Ｑ＿ｉ＝（ｔ＿ｉ，ｖ＿ｉ1，ｖ＿ｉ,2) １２．Ｃ＿ｉ＝ＥＮＣ（ａ＿ｉ，1,ｓ＿ｉ,1，Ｅ）１３．Ｃ＿ｉ,2＝ＥＮＣ（ａ＿ｉ，2,ｓ＿ｉ,2，Ｅ）１４．（Ｑ＿ｉ，Ｃ＿ｉ,1，Ｃ＿ｉ,2）をＰの末に加える１５．ｖａｌ＝Ｈ（Ｐ）１６．Ｍの最小の有意義なｖａｌのビットであるｂ＿1,ｂ＿2,・・・，ｂ＿Ｍを定める。但し、ｂ＿ｉは｛０，１｝に属す１７．ｉ＝１乃至Ｍに関して演算する。１８．Ｚ＿ｉ＝（ａ＿ｉ，ｊ，ｓ＿ｉ，ｊ），但しｊ＝１＋ｂ＿ｉ１９．Ｚ＿ｉをＰの末に加える２０．ｓをＰの末に加える斯くして、Ｐ＝(ｔ＿０,(Ｑ＿１，Ｃ＿1,1,Ｃ＿1,2)，・・・，(Ｑ＿Ｍ，Ｃ＿Ｍ，1,Ｃ＿Ｍ,2),Ｚ＿1，・・・，Ｚ＿Ｍ，ｓ）。上に表われたＨは、適度なサイズのｔ＿ｉを生成する為に、ＳＨＡに、又は幾つかのＳＨＡ応用例を連結したものに基づかせることが出来る。ほぼｔ＿ｉはｎ以下で、ｎと互いに素な要素の集合に属する。検証システムは従来と若干相違する。検証システムは、最初にｎが値の正しい集合からｎが選び出されたかどうか調べる。ｎのｋ／２上位オーダ・ビットに対応する整数をｕと措定する。検証システムは、係属米国特許出願０８／９２０，５０４に記載されている様に、Ｈ（ｓ）＝ｕ又はＨ（ｓ）＝ｕ＋１の何れかを確認する。検証機関は、Ｐに於ける値の総てを正しい集合内に存在しているか調べる。例えは、検証機関はｔ＿ｉがＨの範囲内に入るか，又ａ＿ｉ，ｊ＜ｎ（又はｎの或る関数）であるか調べる（但し，ｊは１又は２）。又、検証システムは、１乃至Ｍに亘るｉに関しｔ＿ｉ＝Ｈ(ｔ＿(ｉ＿１))であるか調べる。検証システムは、ｉの各々に対しタプル（ｔｕｐｌｅ）Ｑ＿ｉの要素が反復を含んでいないか、又総てのｉに対するペアＺ＿ｉに於ける要素が反復を含んでいないか調べる。これらの検証の何れかに失敗した場合には，偽（ｆａｌｓｅ）が戻される。その後，検証システムは、証明書生成プロセスに於けるのと同様にｂ＿1,ｂ＿2, ・・・，ｂ＿Ｍを計算する。Ｉ乃至Ｍのｉに関して検証システムは以下のことを検証する。１．((ｖ−ｉ,1掛けるｖ＿ｉ,2)のｅ乗ｍｏｄｎ＝ｔ＿ｉ２．（ｔ＿ｉのａ＿ｉ，ｊ乗）ｍｏｄｎ＝ｖ＿ｉ，ｊ_o但し、ｊ＝１＋ｂ＿ｉ検証システムは，総ての検証が及第し、かつ１≦ｉ≦Ｍに関し両判断基準とも満たされる限り真（ｔｒｕｅ）を戻す。寄託機関は、ユーザの秘密鍵を次の如く回復する。１乃至Ｍに亘るｉに関して、寄託機関はＣ＿ｉ,1とＣ＿ｉ,2に対応する平文の全体であるｗ＿ｉを計算する。もし(ｔ＿ｉのｅ（ｗ＿ｉ）乗）ｍｏｄｎ＝ｔ＿ｉであるような一つの値ｗ＿ｉが見つけ出された場合にはｗ＿ｉはｅに対応する有効なＲＳＡ公開鍵を構成する。尚，ＲＳＡ関数は準同形関数（ｈｏｍｏｎｏｒｐｈｉｃｆｕｎｃｔｉｏｎ）であり、上記の本実施例はＲＳＡと同様な準同形関数に対して適用できる。一つの値が寄託機関によって回復され得ることを示す為の「証明技術」は、何れの準同形関数に対して一般化し得ることにつき，上記実施例から明白であることを記しておく。本発明の一応用例は，各寄託機関が自らのＣＡとユーザを有するマルチ寄託機関システムである。２つの異なる寄託機関の一方のユーザと他方のユーザと機密通信を行う際に，当の両寄託機関は双務取決め介してユーザのメッセージ又は鍵を回復して交換することができる。以上のことは多数の国に亘る国際的規模にも適用できる。鍵寄託システムのもう一つの応用例は回復可能鍵を備えた安全ファイルシステム又はファイル保存システムである。この様なシステムは上記した実施例、とりわけ上の段落に基づき実装され得る。例えは、ユーザＡはファイルの所有者で、ユーザＢはファイルサーバで、信用機関はファイル回復エージェントであり得る。ファイルの一例はパスワードであり得る。この場合、ファイル回復エージェントはパスワード回復エージェントである。上記した本暗号システムの第１実施例の説明は暗号技術に於ける整数論を新たに利用している。そこでは，相互間に直接的四則関係をもつ３つの素数に基づく暗号システムをどの様に形成するかが示されている。ｒ，ｑ，ｐは、素数で、ｑ＝２ｒ＋１かつｐ＝２ｑ＋１のの関係を有す。３つ又はそれ以上の素数の使用することにより，上記のものと類似する性質を有する様々な暗号システムを作り出すことができる。別の関係式はｐ＝２ｑ＋１かつｑ＝２ｒｓ＋１も可能だ（そこでもｐ，ｑ，ｒ，ｓは総て素数で、ｒは１６０ビット長である。）。別の例は，ｐ＝２ｑ＋１，ｑ＝２ｒ＋１かつｒ＝２ｓ＋１（ここでのｐ，ｑ，ｒ，ｓは総て素数である）。又，整数論のもう一つの新式の使用は、暗号化指数演算を行うことである。その演算とは例えば法指数演算である。例えは、第１実施例のステップ２００７に於ける第２のゼロ知識証明は、ｖ＝ｇ^w ｍｏｄｐ（但し、ｗ＝Ｙ^-k ｍｏｄ２ｑ）の場合、ｖに於けるｋの知識を証明することを含む。法指数演算に於いて３つ又はそれ以上のドメインを使用すると、暗号システムに対し柔軟性及び頑強性を増す。この事実を本発明の趣旨に沿って応用することは、本技術分野の知識をもつ者にとって容易に行える。本発明の一応用例として，階層構造的公開鍵寄託システムがある。これはツリー型データ構造の形態をとる。ツリーのルート部に在る寄託機関は、ルート部から延びるノード部に存在するエンティティ総ての通信の復号が可能である。繰返り、所定ノード部ｉ在る寄託機関は、そのノード部ｉをサブツリーのルートとして枝分かれする子ノード部に存在するエンティティ総ての通信を復号することができる。いつでも、サブツリーを作って寄託機関を増設できる。のサイズを適度に等級化することによって、ツリーのノード部に複数の寄託機関を配設することができる。必要なことは、最小のモジュールで始まり、最大のモジュールで終わるルートの責任を果たすことである。同様に、等級の決まった所定のツリーよりむしろ、ユーザは寄託エージェントのサブセットに決めることができ、本発明のもう一つの応用例は，電子メール認証システムである。そのシステムにユーザ登録される際に、ユーザは、ＣＡに対して自働回復可能暗号公開鍵、及び回復可能性証明書を登録する。又、署名公開鍵も登録する。証明書付きメールを送るには、次のことが行われる。送り手は次のものを含むパケットを送信する。即ち、パケットは、自分の自働回認証公開鍵，受取人の名前，証明書付き電子メールのメッセージを示すヘッダー，自分の認証済み公開鍵及びこれについてのＣＡの証明書，及び他の情報が含む。パケットは，送り手の署名秘密鍵を用いて署名される。パケット及び付加された署名との両方が受取人に送られる。受取人は戻し受取りパケットを形成する。この受取りパケットは、固定長の戻し受取りヘッダー，受取りメッセージ（又はそれのハッシュ），及び追加情報から成り、受取人の秘密署名鍵を用いて署名され、元の送り手に返送される。元の送り手は、戻し受取りパケット上の署名を検証する。この署名が有効ならば、元の送り手は、受取人の認証済み公開鍵を用いて暗号化した電子メール鍵を受取人に送る。電子メールのメッセージは、元の送り手の秘密署名鍵を用いた署名と一緒に送られる。受取人は、暗号化電子メール鍵に関する署名を検証する。この署名が有効なら、受取人は、自分の秘密復合鍵を用いて電子メール鍵を復号する。その後、受取人は、元の送り手の認証済み公開鍵を用いて、復号結果を暗号化する。この暗号結果と、元の送り手により送られた暗号文とが一致した場合には、電子メール鍵は本物と見做される。この鍵は、元の送り手により送られた実際のメッセージに復号して解読するのに使用される。受取人が最初のパケットを受取った後、或る理由で受取人が元の送り手と接触できないときは、受取人は寄託機関に対して戻し受取りと最初のパケットとを送る。それらのパケットと戻し受取りが本物で、かつパケットが正しい受取人名を含んでいるならば、寄託機関は、電子メール鍵を回復する。寄託機関は戻し受取りとパケットを保持する。もしチェックを及第したならば、電子メール鍵は受取人に送られる。以上は、自働回復可能鍵と署名鍵とに基づく電子メール認証システムの構成である。このシステムに於けるユーザ登録は、ＣＡを備える典型的公開鍵システムに於けるユーザ登録と同じである。又、上記した電子メール認証システムを当事者間の契約の署名に対して採用する方法は本技術分野で知られている。上記応用例は、その様なことに使用できる。斯くして、新しい改良鍵寄託システム、その変更態様及び応用例が説明された。好ましい実施例は、本発明の原理及ひ原型の具体例を表す多くの個々の実施例の単なる一部を示したものであることを理解すべきである。明らかに、数多くの他の構成は、本技術分野に於ける知識を有する者にとって案出できるが、本発明の範囲に属する。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号０８／９２０，５０４ (32)優先日平成９年８月29日(1997．8．29) (33)優先権主張国米国（ＵＳ） (31)優先権主張番号０８／９３２，６３９ (32)優先日平成９年９月17日(1997．9．17) (33)優先権主張国米国（ＵＳ） (31)優先権主張番号０８／９５９，３５１ (32)優先日平成９年10月28日(1997．10．28) (33)優先権主張国米国（ＵＳ） (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＵ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＣＡ，ＣＮ，ＣＵ，ＣＺ，ＥＥ，ＧＥ，ＧＷ，ＨＵ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＰ，ＫＲ，ＬＣ，ＬＫ，ＬＲ，ＬＴ，ＬＶ，ＭＧ，ＭＫ，ＭＮ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＲＯ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＲ，ＴＴ，ＵＡ，ＵＺ，ＶＮ，ＹＵ (72)発明者ユング，マーセルモードチェイアメリカ合衆国，10025 ニューヨーク州, ニューヨーク，ウェスト 112スストリート 605，アパートメント４エッチ

Claims

【特許請求の範囲】１．暗号化鍵の生成，検証，使用及び回復の為に使用され得る暗号システムを構成し，少なくとも４つのエンティティ（エージェント，機関たるオーソリティ，登録パーティ，及び他のパーティ）が関係し、以下のステップから成る方法であって，（１）前記エンティティをして、一組のシステムパラメータを確立させるステップ，（２）前記エージェントをして，エージェント・パラメータを生成させ，更に該エージェント・パラメータの少なくとも一つを公にさせるステップ，（３）前記オーソリティをして、一組のオーソリティ・パラメータを生成させ、該オーソリティ・パラメータの少なくとも一つを提供させるステップ，（４）前記登録パーティをして、前記エージェント・パラメータの少なくとも一つと前記オーソリティ・パラメータとを使用する特定公開プロシージャを採用することによって、登録パーティ公開鍵と登録パーティ秘密鍵を生成させるステップ，（５）前記登録パーティをして，前記登録パーティ秘密鍵が前記特定公開プロシージャの採用によって生成されたことを認証する有効性プルーフを生成させるステップ，（６）前記登録パーティをして，前記登録パーティ公開鍵と、前記有効性プルーフとを、前記オーソリティに対して送信させるステップ，（７）前記オーソリティをして，前記登録公開鍵の正しさを，前記有効性プルーフと共に検証させるステップ，（８）ステップ（７）に於ける検証が成功すれば，前記オーソリティをして，登録パーティ公開鍵提供過程を行わしめ，その際登録パーティを登録済パーティとさせるステップ，（９）前記他のパーティをして，前記公開過程後の登録済パーティの公開鍵を入手させて，利用させるステップ，から成る上記方法。２．前記暗号システムは、前記エージェントの少なくとも一つ及び前記オーソリティをして、前記登録済パーティ公開鍵を用いて暗号化された平文データを回復させる追加ステップを含む請求項１の方法。３．前記暗号システムは，前記エージェントの少なくとも一つ及び前記オーソリティをして、前記登録済パーティ秘密鍵を回復させる追加ステップを更に含む。４．請求項１のテスップ（２）に於いて生成された前記エージェント・パラメータは公開／秘密鍵ペアであって，該公開鍵のみが提供されて成る請求項１の方法。５．請求項１のステップ（３）に於いて生成された前記オーソリティ・パラメータは公開／秘密鍵ペアを含み、そのうち公開鍵のみが提供されて成る請求項１の方法。６．前記有効性プルーフは，少なくとも一つの非対話型ゼロ知識証明ストリングから成り、前記有効性プルーフは少なくとも又前記オーソリティは、少なくとも一つの前記非対話型ゼロ知識証明ストリングを検証することによって、前記有効性証明を検証することから成る請求項１の方法。７．請求項１のステップ（６）と（７）に於ける前記有効性プルーフの生成送信及び検証はゼロ知識非対話型証明プロトコルの実行を含み、そこでは前記登録ユーザは証明者であって、前記オーソリティは検証者であることから成る請求項１の方法。８．前記公開鍵提供過程は，前記登録パーティに代わって公開鍵証明書を生成することを含み、該証明書には，前記登録パーティ公開鍵に関する前記オーソリティのデジタル署名と、前記オーソリティ秘密鍵を用いて成る他の情報とか含まれ、又前記公開鍵証明書は、前記オーソリティにより提供された少なくとも一つのパラメータを用いて検証可能であって成る請求項１の方法。９．前記公開鍵提供過程は、前記登録パーティに代わって公開鍵証明書を生成することを含み、該証明書には、前記登録パーティ公開鍵の変更に関する前記オーソリティのデジタル署名と、前記オーソリティ秘密鍵を用いて成る他の情報とか含まれ、又前記公開鍵証明書は、前記オーソリティにより提供された少なくとも一つのパラメータを用いて検証可能であって成る請求項１の方法。１０．前記公開鍵提供過程は、前記登録パーティ公開鍵を、或るファイルに於ける有効鍵として印すことを含んで成る請求項１の方法。１１．前記登録パーティ公開鍵の使用は、公開鍵による暗号化，公開鍵による復号，デジタル署名，デジタル署名検証，鍵交換及び同一性確認のうち、少なくとも一つの実行を含んで成る請求項１の方法。１２．請求２の追加テステップは、政府又は政府グループ内のエージェンシに代わってエージェントに対し与えられる適切な認証であることから成る請求項２の方法。１３．平文データの回復の目的とするところは、一般人のプライバシーを保護しながら犯罪活動の疑いのある登録済パーティの通信をモニターすることから成る請求項２の方法。１４．エージェンシが登録済パーティの通信をモニターできない場合、登録済パーティめの活動を違法として特徴付ける追加ステップを含んで成る請求項２の方法。１５．請求項１の少なくとも一つのステップに於いて、エージェンシ，登録済パーティ及びオーソリティのうち少なくとも一つの機能性はハードウェアで実装されて成る請求項１の方法。１６．前記登録パーティ公開鍵の使用は、ファイルの暗号化の為である請求項１の方法。１７．前記他のパーティには前記登録済パーティが含まれて成る請求項１の方法。１８．請求項２の追加テスップは，２つのパーティであるユーザ１とユーザ２との間で送信された平文情報の回復であり、この際次の２つのステップ、即ち（１）ユーザ１の秘密鍵，又はその秘密鍵に対応する公開鍵を用いて暗号化された情報を前記エージェンシの第一のサブセットが回復すること，（２）ユーザ２の秘密鍵、又はその秘密鍵に対応する公開鍵を用いて暗号化された情報を前記エージェンシの別のサブセットが回復すること，のうち少なくとも一つが生じることから成る請求項２の方法。１９．請求項２の追加ステップは、前記登録済パーティの組織内に於ける適切な過程の後に行われて成る請求項２の方法。２０．請求項１の方法は暗号鍵の生成，使用，検証及び回復の為に使用することができ、前記の一組のシステム・パラメータは少なくとも３つのドメインＦ１，Ｆ２及びＦ３を含み、Ｆ１はＦ２の指数ドメインで，Ｆ２はＦ３の指数ドメインの関係から成る請求項１の方法。２１．請求項１の方法は暗号鍵の生成，使用，検証及び回復の為に使用することができ、前記の一組のシステム・パラメータは、ｒ，ｐ，ｑに基づく少なくとも３つのドメインを含み、ｐ，ｒ，ｑは素数であって、ｐ＝２ｑ＋１＝４ｒ＋３の関係を満たすことから成る請求項１の方法。２２．前記登録パーティの鍵をｋとすると、ｙ＝（ｇのｘ乗）ｍｏｄｐが成立し、但し、ｇは素数ｐを法とする生成器で、ｘは前記登録パーティ秘密鍵であることから成る請求項１の方法。２３．前記登録パーティ公開鍵は数ｎに基づき、前記登録パーティのみがｎの素数への因数分解を知って成る請求項１の方法。２４．前記登録パーティの鍵は、準同形関数であることから成る請求項１の方法。２５．前記登録パーティ公開鍵は、ＲＳＡに基づく鍵であることから成る請求項１の方法。２６．前記登録パーティ公開鍵はＥｌＧａｍａ１に基づく特定ドメインに係る鍵であることから成る請求項１の方法。２７．前記有効性プルーフは、前記エージェントから提供されたパラメータを用いた暗号を含んで成る請求項１の方法。２８．前記有効性証明は、落し戸付き一方向関数による暗号を採用してなる請求項１の方法。。２９．前記有効性証明は次のことを主張する、即ちエージェンシは、前記登録パーティ公開鍵を用いて暗号化された、前記登録パーティの秘密鍵と情報とを回復することができることを、主張することから成る請求項１の方法。３０．請求項１のステップ（６）に於いて，登録一般ユーザは最初に前記登録パーティ公開鍵を送信し、いくらか遅れて前記有効性プルーフを送信することから成る請求項１の方法。３１．前記登録パーティをして，テスップ（４）の公開／秘密鍵ペアと相違する、署名鍵を構成する公開／秘密鍵を生成させ；又前記オーソリティをして，前記署名鍵の公開鍵を検証させる追加ステップを含む請求項１の方法。３２．前記暗号システムの使用は配信の保証を伴う電子メールの為であることか成る請求項１の方法。３３．前記エージェンシにより提供されたパラメータと、登録パラメータにより生成された前記公開鍵とは、相違する鍵ドメインからのものであることから成る請求項１の方法。３４．エージェンシは多数要素として構成され；請求項１のテスップ（５）に於ける前記登録パーティは，登録パーティ公開鍵を用いて暗号化された前記登録パーティの平文データが部分集合のエージェンシによって回復可能であることを内容とする有効性プルーフを生成することから成る請求項１の方法。３５．エージェンシは階層構成に組織される多数要素として構成され、エージェンシの各構成要素は、階層構成のサブ階層構成に於ける鍵を用いて暗号化される平文データを回復することができることから成る請求項２の方法。３６．請求項１のステップ（５）に於ける前記登録パーティは、登録パーティ公開鍵を用いて暗号化された前記登録パーティの平文データが部分集合のエージェンシによって回復可能である旨を主張する有効性プルーフを、生成することから成る請求項３５の方法。