JP2003513480A - エンティティの真正性および／またはメッセージの完全性を証明するための方法 - Google Patents

Abstract

(57)【要約】 証明は、以下のパラメータによって確立される。つまり、ｍ＞１であるｍ組の秘密値Ｑ_iおよび公開値Ｇ_iと、ｆ＞２であるｆ個の第１因数ｐ_jの積から作られる公開係数ｎと、以下のタイプの関係によって互いにリンクされる公開指数ｖとにより、Ｇ_i．Ｑ_i ^v＝１ｍｏｄ ｎまたはＧ_i＝Ｑ_i ^vｍｏｄ ｎである。前記指数ｖは、ｖ＝２^kであり、ここで、ｋ＞１は、機密保護パラメータである。公開値Ｇ_iは、２つの等式、ｘ２＝ｇ_iｍｏｄ ｎおよびｘ²＝−ｇ_iｍｏｄ ｎが、モジュロｎの整数環のｘについて解を有さず、等式ｘ^v＝ｇ_i ²ｍｏｄ ｎが、モジュロｎの整数環のｘについて解を有するようなｆ個の第１因数ｐ_jより低い基数ｇ_iの平方ｇ_i ²である。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、エンティティの真正性(authenticity)、および／またはメッセージ
の完全性(integrity)および／または真正性を証明するように設計される方法、
システムおよびデバイスに関する。

【０００２】

【従来の技術】

その発明者がLouis GuillouおよびJean−Jacques Quisquaterである欧州特
許第０３１１４７０Ｂ１公報がこのような方法を説明する。これ以降、彼らの研
究は用語「ＧＱ特許」または「ＧＱ方法」によって参照されるものとする。これ
以降、表現「ＧＱ２」、あるいは「ＧＱ２発明」または「ＧＱ２技術」は、本発
明を説明するために使用されるものとする。

【０００３】 ＧＱ方法に従って、「信頼される当局（trusted authority）」として知られ
ているエンティティが、「証人（witness）」と呼ばれているそれぞれのエンテ
ィティにアイデンティティを割り当てる。顧客イズ化プロセスにおいて、信頼さ
れる当局は、証人にアイデンティティ(identity)およびシグナチャ(signature)
を与える。それ以降、証人は以下を宣言する。つまり「ここに私のアイデンティ
ティがある。私はそのＲＳＡシグナチャを知っている。」証人は、このシグナチ
ャを明らかにせずに、自分が自分のアイデンティティのＲＳＡシグナチャを知っ
ていることを証明する。ＲＳＡ公開識別鍵（RSA Public identification key）
は、信頼される当局によって配布されるが、「コントローラ(controller)」とし
て知られているエンティティが、その知識を得ずに、ＲＳＡシグナチャが宣言さ
れたアイデンティティに一致することを確認する。ＧＱ方法を使用する機構は、
「知識の移管(transfer of knowledge)」を行わずに実行する。ＧＱ方法に従っ
て、証人は、信頼される当局が大多数のアイデンティティに署名をするＲＳＡ秘
密鍵を知らない。

【０００４】

【発明が解決しようとする課題】

ここに前述されるＧＱ技術は、ＲＳＡ技術を利用する。しかしながら、ＲＳＡ
技術は、真に係数ｎの因数分解に依存する一方で、この依存は、いわゆるＲＳＡ
技術を実行するデジタル署名の多様な規格に対する倍増的に増加する攻撃に見ら
れるように同等ではなく、実際にはそれはかなり異なっている。

【０００５】

【課題を解決するための手段】

ＧＱ２技術の目標は２つの部分を有する。つまり、第１に、ＲＳＡ技術の性能
特徴を改善すること、第２にＲＳＡ技術に固有の問題を回避することである。Ｇ
Ｑ２秘密鍵を知っていることは、係数ｎの因数分解を知っていることに等価であ
る。三つ組のＧＱ２に対する攻撃は、係数ｎの因数分解につながる。このときに
は等価である。ＧＱ２技術を用いると、署名をする、あるいは自己認証するエン
ティティにとっての、および監査するエンティティにとっての作業量は削減され
る。機密保護と性能の両方の点での因数分解の問題をさらにうまく使用すること
により、ＧＱ２技術はＲＳＡ技術の欠点を回避する。

【０００６】 ＧＱ方法は、５１２ビット以上を備える数のモジュロ計算を実行する。これら
の計算は、約２¹⁶＋１乗まで累乗されたのと実質的に同じ大きさを有する数に関
する。現在では、特にバンクカードの分野における既存のマイクロエレクトロニ
クスインフラストラクチャは、演算コプロセッサを使用しないでモノリシックな
自己プログラム可能マイクロプロセッサを利用する。ＧＱ方法などの方法に関係
する複数の演算アプリケーションに関する作業量は、一定の場合では、顧客が購
入物を支払うためにバンクカードを使用するには不利であることが判明する計算
時間につながっている。ここでは、支払カードの安全を高めることを求めて、銀
行当局が、特に解決が困難である問題を引き起こしたことを想起することができ
る。実際、２つの明らかに矛盾する問題が解決されなければならない。つまり、
一方では、各カードのますます冗長かつ明瞭なキーを使用することにより安全性
を高めつつ、他方では、作業量がユーザにとっての過剰な計算時間につながるこ
とを妨げるのである。この問題は、既存のインフラストラクチャおよび既存のマ
イクロプロセッサ構成要素を考慮に入れることも必要となるため、特に激しくな
る。

【０００７】 ＧＱ２技術は、安全性を高めつつ、この問題に対する解決策を提供する。

【０００８】 （方法） さらに特に、本発明は、コントローラエンティティに対し、あるエンティティ
の真正性、および／または、このエンティティに関連付けられたメッセージＭの
完全性とを証明するように設計された方法に関する。

【０００９】 この証明は、以下のパラメータまたはこれらのパラメータのすべてまたは一部
によって確立される。ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される公開
係数ｎと、 公開指数ｖとである。 前記係数、前記指数および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関連付けられ、 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは１より大きい機密保護パラメータである。

【００１０】 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。 前記方法は、以下のステップにおいて、証人と呼ばれるエンティティを実行す
る。前記証人エンティティは、ｆ個の素因数ｐ_iおよび／または素因数のチャイ
ニーズ剰余の、および公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ
、および／または秘密値Ｑ_iのおよび公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ _i,j ≡Ｑ_iｍｏｄ ｐ_j）を有する。

【００１１】 証人は、モジュロｎの整数環のコミットメントＲを計算する。各コミットメン
トを、 ・次のタイプの演算を実行すること Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは０＜ｒ＜ｎとなるようにランダム値であり、 ・または、 ・・以下のタイプの演算を実行し、 Ｒ_i(ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iと関連付けられたラン
ダム値であり、各ｒ_iは、ランダム値｛ｒ₁，ｒ₂，…ｒ_f｝の集合体に属し、 ・・そして、チャイニーズ剰余法を適用すること のどちらかによって計算する。

【００１２】 証人は、1以上のチャレンジｄを受け取る。各チャレンジｄは、これ以降初歩
チャレンジと呼ばれるｍ個の整数ｄ_iを備える。証人は、各チャレンジｄに基づ
き、応答Ｄを、 ・以下のタイプの演算を実行すること Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、 ・・以下のタイプの演算を実行し Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用すること のどちらかによって計算する。 該方法は、コミットメントＲがあるため、チャレンジｄがあるのと同じくらい
多くの応答Ｄがあり、数Ｒ，ｄ，Ｄの各群は｛Ｒ，ｄ，Ｄ｝と参照される三つ組
を形成する。

【００１３】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従った方法は、デモンストレータとし
て知られているエンティティの真正性をコントローラとして知られているエンテ
ィティに対し証明するように設計される。前記デモンストレータエンティティは
、証人を備える。前記デモンストレータエンティティおよびコントローラエンテ
ィティは、以下のステップを実行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されたプロセスを適用することに
よって各コミットメントＲを計算する。デモンストレータは、コントローラに、
各コミットメントＲのすべてまたは一部を送信する。 ・ステップ２のチャレンジｄという行為 コントローラは、各コミットメントＲのすべてまたは一部を受け取った後、そ
の数がコミットメントＲの数に等しいチャレンジｄを作成し、チャレンジｄをデ
モンストレータに送信する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによって、チャレンジｄか
ら応答Ｄを計算する。 ・ステップ４のチェック行為 証人は、コントローラに各応答Ｄを送信する。 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータが各コミットメントＲの一部を送信した場合には、ｍ個の公
開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各チャレンジｄおよび各
応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミッ
トメントＲ’が次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラは、各再構築されたコミットメントＲ’が、それに送信された各
コミットメントＲのすべてまたは一部を再現することを確認する。 （第２の場合：デモンストレータが各コミットメントＲの全体性を送信） デモンストレータが各コミットメントＲの全体性を送信した場合、ｍ個の公開
値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各コミットメントＲが、次
のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００１４】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることができる第２代替実施態様では、本発明
の方法は、コントローラエンティティとして知られているエンティティに対し、
デモンストレータエンティティと呼ばれているエンティティに関連付けられたメ
ッセージＭの完全性の証拠を提供するように設計される。前記デモンストレータ
エンティティは、証人を含む。前記デモンストレータエンティティおよびコント
ローラエンティティは、以下のステップを実行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されたプロセスを適用することに
より、各コミットメントＲを計算する。 ・ステップ２のチャレンジｄという行為 証人は、その引数がメッセージＭおよび各コミットメントＲのすべてまたは一
部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算する。デ
モンストレータは、トークンＴをコントローラに送信する。コントローラは、ト
ークンＴを受け取った後に、コミットメントＲに数で等しいチャレンジｄを作成
し、チャレンジｄをデモンストレータに送信する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによりチャレンジｄから応
答Ｄを計算する。 ・ステップ４のチェック行為 証人は、各応答Ｄをコントローラに送信する。ｍ個の公開値Ｇ₁，Ｇ₂，．．．
，Ｇ_mを有するコントローラは、各チャレンジｄおよび各応答Ｄから再構築され
たコミットメントＲ’を計算し、この再構築されたコミットメントＲ’が、次の
タイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 そして、コントローラは、その引数がメッセージＭおよび再構築されたＲ’の
すべてまたは一部であるハッシュ関数ｈを適用し、トークンＴ’を再構築する。
そして、コントローラは、トークンＴ’が送信されたトークンＴと同一であるこ
とを確認する。

【００１５】 （メッセージのデジタル署名およびその真正性の証明） 前記２つと組み合わせることができる第３代替実施態様においては、本発明１
に従った方法が、署名するエンティティとして知られているエンティティによっ
てメッセージＭのデジタル署名を作成するように設計される。前記署名エンティ
ティは証人を含む。

【００１６】 （署名動作） 前記署名エンティティは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名済みのメッセージを得るために、署名動作を実行する。 前記署名エンティティは、以下のステップを実行することにより署名動作を実
行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されるプロセスを適用することに
よって各コミットメントＲを計算する。 ・ステップ２のチャレンジｄという行為 署名関係者は、その引数がメッセージＭおよび各コミットメントＲであるハッ
シュ関数ｈを適用し、バイナリトレインを得る。このバイナリトレインから、署
名関係者は、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによりチャレンジｄから応
答Ｄを計算する。

【００１７】 （チェック動作） メッセージＭの真正性を証明するため、コントローラと呼ばれるエンティティ
が、署名済みのメッセージをチェックする。証明済みのメッセージを有する前記
コントローラエンティティは、以下のように進むことによってチェック動作を実
行する。 ・コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、
コントローラは、コミットメントＲ、チャレンジｄおよび応答Ｄが、以下のタイ
プの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、コントローラは、メッセージＭ、チャレンジｄおよびコミットメント
Ｒがハッシュ関数を満たすことを確認する。 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） ・コントローラがチャレンジｄおよび応答Ｄを有する場合 コントローラがチャレンジｄおよび応答Ｄを有する場合には、コントローラは
、各チャレンジｄおよび各応答Ｄに基づき、コミットメントＲ'を再構築し、以
下のタイプの関係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または以下のタイプの関係性： Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 そして、コントローラは、メッセージＭおよびチャレンジｄがハッシュ関数を
満たすことを確認する。 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） ・コントローラが、コミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲおよび応答Ｄを有する場合には、コントロ
ーラは、ハッシュ関数を適用し、ｄ'を再構築する。 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） そして、コントローラ装置が、コミットメントＲ、チャレンジｄ'よび応答Ｄ
が、以下のタイプの関係性である Ｒ≡Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性である Ｒ≡Ｄ^v／Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．ｍｏｄ ｎ を満たすことを確認する。

【００１８】 （システム） 本発明は、コントローラサーバに対して、エンティティの真正性、および／ま
たは、このエンティティに関連付けられたメッセージＭの完全性を証明するよう
に設計されるシステムにも関する。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべｔま
たは一部によって確立される。ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される
公開係数ｎと、 公開指数ｖとである。 前記係数、前記指数および前記値は、以下のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によってリンクされる。 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
ｇ_i ²である。基数ｇ_iは、２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。

【００１９】 前記システムは、特に、例えば、マイクロプセッサベースのバンクカードの形
を取るノマッドオブジェクトに含まれる証人装置を含む。証人装置は、ｆ個の素
因数ｐ_iおよび／または素因数のチャイニーズ剰余の、および／または公開係数
ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、および／または秘密値Ｑ_iおよ
び公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ_i,j≡Ｑ_iｍｏｄｐ_j）を含むメモリ
ゾーンを含む。また、証人装置は、 証人装置のこれ以降ランダム値生成手段と呼ばれるランダム値生成手段と、 これ以降証人装置のコミットメントＲの計算用手段と呼ばれる計算手段、 を含む。 計算手段は、モジュロｎの整数環でコミットメントＲを計算する。各コミット
メントを、 ・以下のタイプの演算を実行することによって、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
は０＜ｒ＜ｎである。 ・または、以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iに関連付けられたランダム
値であり、各ｒ_iはランダム値｛ｒ₁，ｒ₂，…ｒ_f｝の集合体に属し、そしてチャ
イニーズ剰余法を適用することのどちらかによって、 計算する。

【００２０】 証人装置は、 証人装置のチャレンジｄの受信用装置と呼ばれる1以上のチャレンジｄを受け
取るための受信手段であって、各チャレンジｄが、初歩チャレンジと呼ばれるｍ
個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行することによって、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄｐ_i そして、チャイニーズ剰余法を適用することのどちらかによって、 応答Ｄの各チャレンジｄに基づき、計算用の証人装置の応答Ｄの計算用手段
と呼ばれる計算手段と を含む。 証人装置は、1以上のコミットメントＲおよび1以上の応答Ｄを送信するための
送信手段も含む。コミットメントＲがあるので、チャレンジｄと同じくらい多く
の応答Ｄがあり、Ｒ，ｄ，Ｄの各群が｛Ｒ，ｄ，Ｄ｝と参照される三つ組を形成
する。

【００２１】 （エンティティの真正性の証明の場合） 第１実施態様では、デモンストレータと呼ばれているエンティティの真正性を
コントローラと呼ばれているエンティティに証明するように、本発明に従ったシ
ステムを設計する。 前記システムは、それがデモンストレータエンティティと関連付けられたデモ
ンストレータ装置を含んでいる。前記デモンストレータ装置は、相互接続手段に
よってデモンストレータ装置と相互接続される。それは、特に、例えば、マイク
ロプロセッサベースのバンクカード内のマイクロプロセッサの形式などのノマッ
ドオブジェクトの論理マイクロ回路の形を取る。 前記システムは、コントローラエンティティに関連付けられたコントローラ装
置も含む。前記コントローラ装置は、特に、端末または遠隔サーバの形を取る。
前記コントローラ装置は、特にデータ処理通信網を通して、デモンストレータ装
置へのその電気的、電磁的、光学的、または音響的な接続のための接続手段を含
む。

【００２２】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、ここに前記に
明記されたプロセスを適用することによって、各コミットメントＲを計算する。
証人装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通してデ
モンストレータ装置に送信するために、証人装置の送信手段と呼ばれる送信の手
段を有する。デモンストレータ装置は、各コミットメントＲのすべてまたは一部
を接続手段を通してコントローラ装置に送信するために、デモンストレータの送
信手段と呼ばれる送信手段も有する。 ・ステップ２のチャレンジｄという行為 コントローラ装置は、コミットメントＲのすべてまたは一部を受け取った後、
コミットメントＲの数に数で等しいチャレンジｄの生成のためのチャレンジ生成
手段を含む。コントローラ装置は、接続手段を通してデモンストレータにチャレ
ンジｄを送信するために、コントローラの送信手段として知られている送信手段
も有する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
タ装置から着信する各チャレンジｄを受信する。証人装置の応答Ｄの計算手段は
、ここに前記に明記されたプロセスを適用することによってチャレンジｄから応
答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄをコントローラに送信する。コント
ローラは、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００２３】 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータの送信手段が、各コミットメントＲの一部を送信した場合に
は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
は、各チャレンジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計算
し、この再構築されたコミットメントＲ’が、以下のタイプの関係 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置の比較手段は、それぞれの再構築されたコミットメントＲ’
を受信された各コミットメントＲのすべてまたは一部と比較する。

【００２４】 （第２の場合：デモンストレータが、各コミットメントＲの全体性を送信） デモンストレータの送信手段が各コミットメントＲの全体性を送信した場合に
は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
および比較手段が、各コミットメントＲが次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００２５】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることができる第２代替実施態様においては、
本発明に従ったシステムは、コントローラとして知られているエンティティに対
し、デモンストレータとして知られているエンティティに関連付けられたメッセ
ージＭの完全性の証明を与えるように設計される。前記システムは、それがデモ
ンストレータエンティティに関連付けられたデモンストレータ装置を含んでいる
。前記デモンストレータ装置は相互接続手段によって証人装置と相互接続される
。前記デモンストレータ装置は、特に、マイクロプロセッサベースのバンクカー
ド内のマイクロプロセッサの形などのノマッドオブジェクト内の論理マイクロ回
路の形を取りうる。前記システムは、コントローラエンティティに関連付けられ
たコントローラ装置も含む。前記コントローラ装置は、特に、端末または遠隔サ
ーバの形を取る。前記コントローラ装置は、特にデータ処理通信網を通して、デ
モンストレータ装置へのその電気的、電磁的、光学的、または音響的な接続のた
めの接続手段を含む。

【００２６】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。証人
装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲのす
べてまたは一部を送信するために、証人装置の送信手段と呼ばれる送信手段を有
する。 ・ステップ２のチャレンジｄという行為 デモンストレータ装置は、デモンストレータの計算手段と呼ばれる計算手段を
含み、その引数がメッセージＭおよびコミットメントＲのすべてまたは一部であ
るハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算する。デモンス
トレータ装置は、接続手段を通してコントローラ装置へ各トークンＴを送信する
ために、デモンストレータ装置の送信手段として知られる送信手段も含む。コン
トローラ装置は、トークンＴを受信した後、コミットメントＲの数に数で等しい
チャレンジｄの生成のためのチャレンジ生成手段も有する。コントローラ装置は
、接続手段を通してデモンストレータにチャレンジｄを送信するために、これ以
降、コントローラの送信手段と呼ばれる送信手段も有する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
タ装置から着信する各チャレンジｄを受信する。証人装置の応答Ｄの計算手段は
、ここに前記に明記されたプロセスを適用することによって、チャレンジｄから
応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、コントローラに各応答Ｄを送信する。コント
ローラ装置は、第１に、各チャレンジｄおよび各応答Ｄから再構築されたコミッ
トメントＲ’を計算するために、第２に、引数として、メッセージＭおよび各再
構築されたコミットメントＲ’のすべてまたは一部を有するハッシュ関数ｈを適
用することによって、トークンＴ’を計算するために、ｍ個の公開値Ｇ₁，Ｇ₂
，．．．，Ｇ_mを有する、これ以降、コントローラ装置の計算手段と呼ばれる計
算手段も備え、この再構築されたコミットメントＲ’が、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置は、計算されたトークンＴ’を受信されたトークンＴと比較
するために、これ以降、コントローラ装置の比較手段として知られる比較手段も
有する。

【００２７】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらかまたは両方と組み合わせることができる第３
代替実施態様においては、本発明に従ったシステムは、署名エンティティと呼ば
れているエンティティによって、これ以降、署名済みのメッセージとして知られ
ているメッセージＭのデジタル署名を証明するように設計される。署名済みメッ
セージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【００２８】 （署名動作） 前記システムは、それが署名エンティティと関連付けられた署名デバイスを含
んでいる。前記署名デバイスは、相互接続手段によって証人装置と相互接続され
る。それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイ
クロプロセッサの形などのノマッドオブジェクト内の論理マイクロ回路の形を取
りうる。

【００２９】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。証人
装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲのす
べてまたは一部を送信するために、これ以降、証人装置の送信手段と呼ばれる送
信手段を有する。 ・ステップ２のチャレンジｄという行為 署名デバイスは、これ以降、署名デバイスの計算手段と呼ばれる計算手段を含
み、その引数がメッセージＭおよびコミットメントＲのすべてまたは一部である
ハッシュ関数ｈを適用し、バイナリトレインを計算し、このバイナリトレインか
ら、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通して署名デバイスか
ら着信する各チャレンジｄを受信する。証人装置の応答Ｄを計算するための手段
は、ここに前記に明記されたプロセスを適用することによって、チャレンジｄか
ら応答Ｄを計算する。 証人装置は、相互接続手段を通して署名デバイスに応答Ｄを送信するために、
これ以降、証人装置の送信の手段と呼ばれる送信手段を含む。

【００３０】 （チェック動作） メッセージＭの真正性を証明するために、コントローラとして知られているエ
ンティティは、署名済みメッセージをチェックする。 システムは、コントローラエンティティと関連付けられたコントローラ装置を
含む。前記コントローラ装置は、特に、端末または遠隔サーバの形を取る。前記
コントローラ装置は、特に、データ処理通信網を通して署名デバイスへのその電
気的、電磁的、光学的、または音響の接続のための接続手段を含む。

【００３１】 署名エンティティと関連付けられた署名デバイスは、接続手段を通した署名済
みメッセージの、コントローラ装置への送信のための、署名デバイスの送信手段
として知られている送信手段を含む。このようにして、コントローラ装置は、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名済みのメッセージを有する。

【００３２】 コントローラ装置は、 −これ以降、コントローラ装置の計算手段と呼ばれる計算手段と、 −これ以降、コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００３３】 ・コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
は、コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャレ
ンジｄおよび応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、コントローラ装置の計算手段および比較手段は、メッセージＭ、チャ
レンジｄおよびコミットメントＲが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認する。

【００３４】 ・コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合 コントローラがチャレンジｄおよび応答Ｄを有する場合には、コントローラは
、各チャレンジｄおよび各応答Ｄに基づき次のタイプの関係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすコミットメントＲ'を再構築する。 そして、コントローラが、メッセージＭおよびチャレンジｄが以下のハッシュ
関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすことを確認する。

【００３５】 ・コントローラがコミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲおよび応答Ｄを有する場合には、コントロ
ーラ装置の計算手段は、ハッシュ関数を適用し ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるようにｄ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、コミットメントＲ、
チャレンジｄ'および応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００３６】 （端末装置） 本発明は、エンティティに関連付けられた端末装置にも関する。端末装置は、
特に、例えば、マイクロプロセッサベースのバンクカード内のマイクロプロセッ
サの形など、ノマッドオブジェクトの形を取る。端末装置は、コントローラサー
バに対し、あるエンティティの真正性、および／または、このエンティティに関
連付けられたメッセージＭの完全性を証明するように設計される。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべてま
たは一部によって確立される。 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）によって構成される公開
係数ｎと、 公開指数ｖとであり、 前記係数、前記指数、および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎまたはＧ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関係付けられる。 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
ｇ_i ²である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘの中で解くことができる。 前記端末装置は、ｆ個の素因数ｐ_iおよび／または素因数のチャイニーズ剰余
の、および／または公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、
および／または秘密値Ｑ_iの、および公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ _i,j ≡Ｑ_iｍｏｄｐ_j）を含むメモリゾーンを備える証人装置を含む。

【００３７】 証人装置は、 証人装置のランダム値生成手段と呼ばれるランダム値生成手段と、 モジュロｎの整数環のコミットメントＲを計算するために、これ以降、証人
装置のコミットメントＲを計算するために、これ以降、証人装置のコミットメン
トＲのための計算手段と呼ばれる計算手段と を含む。各コミットメントが、 ・以下のタイプの演算を実行することによって、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
は０＜ｒ＜ｎとなる。 ・または、以下のタイプの演算を実行することによって、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように、素数ｐ_iと関連付けられたランダ
ム値であって、各ｒ_iは、ランダム値生成手段によって生じるランダム｛ｒ₁，ｒ ₂ ，…ｒ_f｝の集合体に属し、そして、チャイニーズ剰余を適用することのどちら
かによって、計算される。

【００３８】 証人装置は、 1以上のチャレンジｄを受信するために、これ以降、証人装置のチャレンジ
ｄの受信のための主だと呼ばれる受信手段であって、各チャレンジｄが、これ以
降初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行すること、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用すること のどちらかによって、 応答Ｄの各チャレンジｄに基づく、計算のための証人装置の応答Ｄの計算のた
めの手段と呼ばれる計算手段と も含む。 前記証人装置は、1以上のコミットメントＲおよび1以上の応答Ｄを送信するた
めに送信手段も含む。コミットメントＲがあるため、チャレンジｄと同じくらい
多くの応答Ｄがある。数Ｒ，ｄ，Ｄの各群は、｛Ｒ，ｄ，Ｄ｝と参照される三つ
組を形成する。

【００３９】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従った端末装置は、デモンストレータ
と呼ばれているエンティティの真正性をコントローラと呼ばれているエンティテ
ィに証明するように設計される。 前記端末装置は、それがデモンストレータエンティティに関連付けられたデモ
ンストレータ装置を含んでいる。前記デモンストレータ装置は、相互接続手段に
よってデモンストレータ装置と相互接続している。それは、特に、例えば、マイ
クロプロセッサベースのバンクカード内のマイクロプロセッサという形などのノ
マッドオブジェクト内の論理マイクロ回路という形を取りうる。 前記デモンストレータ装置は、特にデータ処理通信網を通して、コントローラ
エンティティに関連付けられたコントローラ装置へのその電気的、電磁的、光学
的または音響の接続のための接続手段も含む。

【００４０】 前記コントローラ装置は、特に端末または遠隔サーバの形を取る。 前記コントローラ装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。 証人装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通して
デモンストレータ装置に送信するために、これ以降、証人装置の送信手段と呼ば
れる送信手段を有する。デモンストレータ装置は、各コミットメントＲのすべて
または一部をコントローラ装置に送信するために、これ以降、デモンストレータ
の送信手段と呼ばれる送信手段も有する。 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為 証人装置のチャレンジｄの受信手段は、コントローラ装置とデモンストレータ
装置の間の接続手段を通して、およびデモンストレータ装置と証人装置の間の相
互接続手段を通して、コントローラ装置から着信する各チャレンジｄを受信する
。証人装置の応答Ｄの計算手段は、ここに前記に明記されるプロセスを適用する
ことにより、チャレンジｄから応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄをチェックを実行するコントローラ
に送信する。

【００４１】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることのできる第２代替実施態様においては、
本発明に従った端末装置は、コントローラとして知られるエンティティに対し、
デモンストレータとして知られるエンティティに関連付けられたメッセージＭの
完全性の証明を与えるように設計される。前記端末装置は、それがデモンストレ
ータエンティティに関連付けられたデモンストレータ装置を含んでいる。前記デ
モンストレータ装置は、相互接続手段によって証人装置と相互接続されている。
それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイクロ
プロセッサの形などの、ノマッドオブジェクト内の論理マイクロ回路の形を取り
うる。前記デモンストレータ装置は、特に、データ処理通信網を通したコントロ
ーラエンティティに関連付けられたコントローラ装置へのその電気的、電磁的、
光学的または音響の接続のための接続手段を含む。前記コントローラ装置は、特
に、端末または遠隔サーバの形を取る。

【００４２】 前記端末装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって、各コミットメントＲを計算する。証
人装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲの
すべてまたは一部を送信するために、これ以降、証人装置の送信手段と呼ばれる
送信の手段を有する。 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為 デモンストレータ装置は、これ以降、デモンストレータの計算手段と呼ばれる
計算手段を含み、その引数が、メッセージＭおよび各コミットメントＲのすべて
または一部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算
する。デモンストレータ装置は、コントローラ装置に、接続手段を通して、各ト
ークンＴを送信するために、これ以降、デモンストレータ装置の送信手段として
知られている送信手段も有する。 前記コントローラは、トークンＴを受信した後、コミットメントＲの数に等し
い数のチャレンジｄを作成する。 証人装置のチャレンジｄの受信手段は、コントローラ装置とデモンストレータ
装置の間の接続手段を通して、およびデモンストレータ装置と証人装置の間の相
互接続手段を通して、コントローラ装置から着信する各チャレンジｄを受信する
。証人装置の応答Ｄの計算の手段は、ここに前記に明記されたプロセスを適用す
ることによって、チャレンジｄから応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄを、チェックを実行するコントロー
ラ装置に送信する。

【００４３】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらかまたは両方と組み合わせることのできる第３
代替実施態様においては、本発明に従った端末装置が、署名エンティティと呼ば
れるエンティティによる、これ以降、署名済みメッセージとして知られるメッセ
ージＭのデジタル署名を作成するように設計される。署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。 前記端末装置は、それが署名エンティティと関連付けられた署名デバイスを含
んでいる。前記署名デバイスは、相互接続手段によって証人装置と相互接続され
る。それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイ
クロプロセッサの形などの、ノマッドオブジェクト内の論理マイクロ回路の形を
取りうる。前記デモンストレータ装置は、データ処理通信網を通したコントロー
ラエンティティと関連付けられたコントローラ装置への、その電気的、電磁的、
光学的、または音響の接続のための接続手段を含む。前記コントローラ装置は、
特に、端末または遠隔サーバの形を取る。

【００４４】 （署名動作） 前記端末装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、ここに前記に
明記されたプロセスを適用することによって、各コミットメントＲを計算する。
証人装置は、相互接続手段を通して署名デバイスに各コミットメントＲのすべて
または一部を送信するために、これ以降、証人装置の送信手段と呼ばれる送信の
手段を有する。 ・ステップ２のチャレンジｄという行為 署名デバイスは、これ以降、署名デバイスの計算手段と呼ばれる計算手段を含
み、その引数がメッセージＭおよび各コミットメントＲのすべてまたは一部であ
るハッシュ関数ｈを適用し、バイナリトレインを計算し、このバイナリトレイン
から、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信のための手段は、相互接続手段を通して署名デ
バイスから着信する各チャレンジｄを受信する。証人装置の応答Ｄを計算するた
めの手段は、ここに前記に明記されたプロセスを適用することによって、チャレ
ンジｄから応答Ｄを計算する。証人装置は、相互接続手段を通して、署名デバイ
スに応答Ｄを送信するために、これ以降、証人装置の送信の手段と呼ばれる送信
手段を含む。

【００４５】 （コントローラ装置） 本発明は、コントローラ装置にも関する。コントローラ装置は、特に、コント
ローラエンティティに関連付けられた端末または遠隔サーバの形を取る。コント
ローラ装置は、エンティティの真正性、および／または、このエンティティに関
連付けられたメッセージＭの完全性をチェックするように設計される。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべてま
たは一部によって確立される。 ｍ組の公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）と、 コントローラ装置にとって、および関連付けられたコントローラエンティテ
ィにとって未知である前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積に
よって構成される公開係数ｎと、 公開指数ｖと 前記係数、前記指数、および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関連付けられ、ここで、Ｑ_iは、公開値Ｇ_Iに関連付けられたコントロ
ーラ装置にとって未知の秘密値を指定する。 指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、 等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。

【００４６】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従ったコントローラ装置は、デモンス
トレータと呼ばれるエンティティおよびコントローラと呼ばれるエンティティの
真正性を証明するように設計される。 前記コントローラ装置は、デモンストレータエンティティと関連付けられたデ
モンストレータ装置への、特にデータ処理通信網を通した、その電気的、電磁的
、光学的、または音響の接続のための接続手段を含む。 前記コントローラ装置は、以下のステップを実行するために使用される。 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
う行為 前記コントローラ装置は、接続手段を通して、デモンストレータ装置から着信
するコミットメントＲのすべてまたは一部の受信のための手段も有する。 コントローラ装置は、各コミットメントＲのすべてまたは一部を受信した後、
コミットメントＲの数に等しい数のチャレンジｄの生成のためのチャレンジ生成
手段を有し、各チャレンジｄは、初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備
える。 コントローラ装置は、接続手段を通してデモンストレータにチャレンジｄを送
信するために、コントローラの送信手段と呼ばれる送信手段も有する。 ・ステップ３および４の応答Ｄという行為およびチェック行為 コントローラ装置は、 接続手段を通して、デモンストレータ装置から着信する応答Ｄの受信のため
の手段と、 これ以降、コントローラ装置の計算手段と呼ばれる計算手段と、 これ以降、コントローラ装置の比較手段と呼ばれる比較手段と を含む。 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータの受信手段が各コミットメントＲの一部を受信すると、ｍ個
の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段が、各チ
ャレンジｄおよび各応答Ｄから、再構築されたコミットメントＲ’を計算し、 この再構築されたコミットメントは、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置の比較手段は、受信された各コミットメントＲのすべてまた
は一部と、各再構築されたコミットメントＲ’を比較する。 （第２の場合：デモンストレータが各コミットメントＲの全体性を送信） デモンストレータの送信手段が、各コミットメントＲの全体性を送信した場合
には、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手
段および比較手段が、各コミットメントＲが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００４７】 （メッセージの完全性の証明の場合） 第１代替実施態様と結び付けることができる第２代替実施態様においては、本
発明に従ったコントローラ装置が、コントローラとして知られるエンティティに
対し、デモンストレータとして知られているエンティティと関連付けられたメッ
セージＭの完全性の証明を与えるように設計される。 前記コントローラ装置は、特にデータ処理通信網を通した、デモンストレータ
エンティティと関連付けられたデモンストレータ装置へのその電気的、電磁的、
光学的、または音響の接続のための接続手段を含む。 前記システムは、以下のステップを実行するために使用される。 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
う行為 前記コントローラ装置は、接続手段を通してデモンストレータ装置から着信す
るトークンＴの受信のための手段も有する。コントローラ装置は、トークンＴを
受信した後、コミットメントＲの数に数で等しいチャレンジｄの生成のためのチ
ャレンジ生成手段を有し、各チャレンジｄは、呼び出された初歩チャレンジの後
にここにｍ個の整数ｄ_iを備える。コントローラ装置は、接続手段を通してデモ
ンストレータへチャレンジｄを送信するために、これ以降、コントローラの送信
手段と呼ばれる送信手段も有する。 ・ステップ３および４の応答Ｄという行為およびチェック行為 コントローラ装置は、接続手段を通してデモンストレータ装置から着信する応
答Ｄの受信のための手段も含む。前記コントローラ装置は、第１に、各チャレン
ジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計算するために、お
よび第２に、メッセージＭおよび各再構築されたコミットメントＲ’のすべてお
よび一部として有するハッシュ関数ｈを適用することによってトークンＴ’を計
算するために、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する、これ以降、コン
トローラ装置の計算手段と呼ばれる計算手段も含み、この再構築されたコミット
メントＲ’は、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置は、計算されたトークンＴ’を受信されたトークンＴと比較
するために、これ以降、コントローラ装置の比較手段と呼ばれる比較手段も有す
る。

【００４８】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらか、または両方と組み合わせることのできる第
３代替実施態様のいては、本発明に従ったコントローラ装置は、コントローラと
呼ばれるエンティティによって署名済みのメッセージをチェックすることによっ
て、メッセージＭの真正性を証明するように設計される。 ハッシュ関数ｈ（メッセージ，Ｒ）を有する署名エンティティに関連付けられ
た署名デバイスによって送信される署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【００４９】 （チェック動作） 前記コントローラ装置は、署名エンティティに関連付けられた署名デバイスへ
の、特にデータ処理通網を通した、その電気的、電磁的、光学的または音響の接
続のための接続手段を備える。前記コントローラ装置は、接続手段を通して、署
名済みメッセージを、署名されたデバイスから受信する。 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。 ・コントローラ装置が、コミットメントＲ、チャレンジｄ、応答Ｄを有する場
合 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合、コン
トローラ装置の計算手段および比較手段は、コミットメントＲ、チャレンジｄお
よび応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、監査デバイスの計算手段および比較手段は、メッセージＭ、チャレン
ジｄおよびコミットメントＲが、ハッシュ関数 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認する。 ・コントローラ装置がチャレンジｄおよび応答Ｄを有する場合 コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合には、コントロ
ーラの計算手段は、各チャレンジｄおよび各応答Ｄに基づいて、次のタイプの関
係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすコミットメントＲ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、メッセージＭおよび
チャレンジｄが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすのを確認する。 ・コントローラ装置がコミットメントＲおよび応答Ｄを有する場合 コントローラ装置が、コミットメントＲおよび応答Ｄを有する場合、コントロ
ーラ装置の計算手段は、ハッシュ関数を適用し、 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるように、ｄ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、コミットメントＲ、
チャレンジｄ'および応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．ｍｏｄ ｎ を満たすのを確認する。

【００５０】 （説明） ＧＱ技術の目標を想起することができる。つまり、それはメッセージのデジタ
ル署名だけではなくエンティティおよび関連付けられたメッセージの動的認証で
ある。

【００５１】 ＧＱ技術の標準バージョンは、ＲＳＡ技術を利用する。しかしながら、ＲＳＡ
技術は、真に因数分解に依存するが、この依存は、ＲＳＡ技術を実行しているデ
ジタル署名の多様な規格に対するいわゆる倍数的に増加する攻撃に見られるよう
に、同等ではなく、実際にはかなりそれと異なっている。

【００５２】 ＧＱ２技術という文脈では、本発明のこの部分は、さらに明確には動的認証お
よびデジタル署名という文脈でのＧＱ２鍵の集合の使用に関する。ＧＱ２技術は
ＲＳＡ技術を使用しない。目標は２つの部分を有する。つまり、第１に、ＲＳＡ
技術に関して性能を改善し、第２にＲＳＡ技術に固有の問題を妨げることである
。ＧＱ２秘密鍵は、係数ｎの因数分解である。ＧＱ２三つ組に対する攻撃は、係
数ｎの因数分解に相当する。このときには同等がある。ＧＱ２技術を使用すると
、署名をするエンティティまたは認証されるエンティティ、およびチェックを行
うエンティティの両方にとっての作業量が削減される。機密保護およぎ性能とい
う点での、因数分解の問題の改善された使用を通して、ＧＱ２技術はＲＳＡ技術
に匹敵する。

【００５３】 ＧＱ２技術は、１より大きい1以上の小さな整数、例えば、基数と呼ばれ、ｇ_i と参照されるｍ個の小さい整数（ｍ≧１）を使用する。基数はｍ＞１でｇ_iから
ｇ_mで固定されるため、公開検鍵＜ｖ，ｎ＞が、以下のように選択される。公開
認証指数ｖは２^kであり、ここで、ｋは１（ｋ≧２）を上回る小さい整数である
。公開係数ｎは、基数より大きい少なくとも２つの素因数、例えばｐ_jによって
ｐ₁…ｐ_fから参照されるｆ個の素因数（ｆ≧２）の積である。ｆ個の素因数は、
公開係数ｎが、ｇ₁からｇ_mｍ個の基数のそれぞれに関して以下の特性を有するよ
うに選択される。 第１に、等式（数１）および（数２）は、モジュロｎの整数環のｘについて解
くことができない。つまり、ｇ_iおよび−ｇ_iは２つの非平方剰余（ｍｏｄ ｎ）
である。

【数１】

【数２】 第２に、等式（数３）は、モジュロｎの整数環のｘについて解くことができる
。

【数３】

【００５４】 公開認証鍵＜ｖ，ｎ＞は、ｍ≧１でｇ₁からｇ_mの基数に従って固定されている
ため、各基数ｇ_iが公開値Ｇ_iと秘密値Ｑ_Iを備える値ＧＱ２の組を決定する。ｍ
組の参照されたＧ₁Ｑ₁からＧ_mＱ_mを指定する。公開値Ｇ_iは、基数ｇ_Iの平方であ
る。つまり、Ｇ_i＝ｇ_i ²を指定する。秘密値Ｑ_iは、等式（数３）に対する解の１
つであるか、さもなければこのような解の逆数（ｍｏｄ ｎ）である。

【００５５】 ちょうど係数ｎがｆ個の素数に分解されるように、モジュロｎの整数環はＣＧ
（ｐ₁）からＣＧ（ｐ_f）というｆ個のガロア体（Galois field）に分解される。
ここにＣＧ（ｐ_j）での等式（数１）、（数２）、および（数３）の投射がある
。

【数４】

【数５】

【数６】

【００５６】 各秘密値Ｑ_iは、素因数あたり１個づつｆ個の秘密構成要素によって一意に表
すことができる。Ｑ_i,j≡Ｑ_i（ｍｏｄ ｐ_j）．各秘密構成要素Ｑ_i,jは等式（数
６）に対する解であるか、またはさもなければこのような解の逆数（ｍｏｄ ｐ_j ）である。各等式（数６）に対するすべての考えられる解が計算された後に、チ
ャイニーズ剰余技法が、等式（数３）に対するすべての考えられる解を得るため
にＱ_i,1からＱ_i,f：Ｑ_iというｆ個の構成要素＝チャイニーズ剰余（Ｑ_i,1，Ｑ_{i, 2} ，…Ｑ_i,f）に基づき、秘密値Ｑ_iごとにすべての考えられる値をセットアップ
する。

【００５７】 以下は、チャイニーズ剰余技法である。０＜ａ＜ｂとなるように相互に素数ａ
とｂである２つの正の整数、および０からａ−１のＸ_aおよび０からｂ−１のＸ_b という２つの構成要素があるとする。Ｘ_a≡Ｘ（ｍｏｄ ａ）およびＸ_b≡Ｘ（ｍ
ｏｄ ｂ）となるように、Ｘ＝チャイニーズ剰余（Ｘ_a，Ｘ_b）、つまり０からａ
．ｂ−１の一意のＸを決定することが必要とされる。以下は、チャイニーズ剰余
パラメータである。つまり、(≡｛ｂ（ｍｏｄ ａ）｝−¹（ｍｏｄ ａ）。以下は
チャイニーズ剰余演算である。つまり、( ≡ Ｘ_b（ｍｏｄ ａ）、( ＝ Ｘ_a−(、
(が負である場合には、(を(＋ａと、(≡(．(（ｍｏｄ ａ）と、Ｘ＝(．ｂ＋Ｘ_b
とに置換する。

【００５８】 素因数が最小のｐ₁から大きい方のｐ_fへと昇順で並べられるとき、チャイニー
ズ剰余パラメータは以下となることがある（それらのｆ−１がある、つまり素因
数より１少ない）。第１チャイニーズ剰余パラメータは、(≡｛ｐ₂（ｍｏｄ ｐ₁ ）｝−¹（ｍｏｄ ｐ₁）である。第２チャイニーズ剰余パラメータは(≡｛ｐ₁．
ｐ₂（ｍｏｄ ｐ₃）｝−¹（ｍｏｄ ｐ₃）である。ｉ番目のチャイニーズ剰余パラ
メータは、((｛ｐ₁．ｐ₂．…ｐ_i−₁（ｍｏｄ ｐ_i）｝−¹（ｍｏｄ ｐ_i）である
。等々。最後に、ｆ−１個のチャイニーズ剰余演算で第１結果（ｍｏｄ ｐ₂にｐ ₁ をかける）が第１パラメータで得られてから、第２結果（ｍｏｄｐ₁．ｐ₂にｐ₃ をかける）が第２パラメータで得られ、結果（ｍｏｄ ｐ₁．…ｐ_f(₁にｐ_fをかけ
る）、すなわち（ｍｏｄ ｎ）が得られまで等々である。

【００５９】 秘密鍵ＧＱ２の多様な性質を表す、秘密鍵ＧＱ２のいくつかの考えられる描写
がある。多様な描写は同等であることが判明する。つまり、それらはすべて、真
の秘密ＧＱ２件である係数ｎの因数分解の知識に相当する。描写が真に署名エン
ティティまたは自己認証エンティティの動きに影響を及ぼすのであれば、それは
コントローラエンティティの動きには影響を及ぼさない。 ここに、ＧＱ２秘密鍵の考えられる３つの主要な描写がある。 １）ＧＱ技術での標準表記は、ｍ個の秘密値Ｑ_iと公開認証鍵＜ｖ，ｎ＞の記
憶から成り立つ。ＧＱ２においては、この描写には、以下の２つが匹敵する。２
）作業量という点での最適表記は、公開指数ｖ、ｆ個の素因数ｐ_j、ｍ．ｆ個の
秘密構成要素Ｑ_ijおよびチャイニーズ剰余のｆ−１個のパラメータを記憶するこ
とにある。３）秘密鍵サイズという点での最適表記は、公開指数ｖ、ｍ個の基数
ｇ_iおよびｆ個の素因数ｐ_jを記憶すること、そして、ｍ個の秘密値Ｑ_iおよび係
数ｎをセットアップして、第１描写に戻るか、またはさもなければｍ．ｆ個の秘
密構成要素Ｑ_i,jおよびチャイニーズ剰余のｆ−１個のパラメータをセットアッ
プして第２描写に戻るかのどちらかによって各使用を開始することにある。

【００６０】 署名または自己認証エンティティは、すべて同じ基数を使用できる。それ以外
に示されていない限り、ｇ₁からｇ_mのｍ個の基数は、有利なことにｍ個の第１素
数となることがある。

【００６１】 動的認証機構またはデジタル署名機構の機密保護は係数の分解の知識に同等で
あるため、ＧＱ２技術は同じ係数を使用する２つのエンティティを単に区別する
ために使用することはできない。一般的に、それ自体を認証するまたは署名する
各エンティティは専用のＧＱ２係数を有する。しかしながら、４つの素因数でＧ
Ｑ２係数を指定することは可能であり、その内の２つはあるエンティティによっ
て知られており、他の２つは別のエンティティによって知られている。

【００６２】 ここでは、ｋ＝６がｖ＝６４を示し、ｍ＝３が３つの基数、ｇ₁＝３，ｇ₂＝５
および、ｇ₃＝７を示し、ｆ＝３、つまり２つが３（ｍｏｄ ４）に一致し、１つ
が５（ｍｏｄ ８）に一致する３つの素因数を含む係数であるＧＱ２鍵の第１集
合がある。ｇ＝２が、５（ｍｏｄ ８）に一致する素因数と相容れないことを注
意しなければならない。 ｐ₁＝０３ＣＤ２Ｆ４Ｆ２１Ｅ０ＥＡＤ６０２６６Ｄ５ＣＦＣＥＢＢ６９５４６
８３４９３Ｅ２Ｅ８３３ ｐ₂＝０５８３Ｂ０９７Ｅ８Ｄ８Ｄ７７７ＢＡＢ３８７４Ｆ２Ｅ７６６５９ＢＢ
６１４Ｆ９８５ＥＣ１Ｂ ｐ₃＝０Ｃ３６３ＣＤ９３Ｄ６Ｂ３ＦＥＣ７８ＥＥ１３Ｄ７ＢＥ９Ｄ８４３５４
Ｂ８ＦＤＤ６ＤＡ１ＦＤ ｎ＝ｐ₁．ｐ₂．ｐ₃＝ＦＦＦＦ８１ＣＥＡ１４９ＤＣＦ２Ｆ７２ＥＢ４４９Ｃ５
７２４７４２ＦＥ２Ａ３６３０Ｄ９ ０２ＣＣ００ＥＡＦＥＥ１Ｂ９５７Ｆ３ＢＤＣ４９ＢＥ９ＣＢＤ４Ｄ９４４６７
Ｂ７２ＡＦ２８ＣＦＢＢ２６１４４ ＣＤＦ４ＢＢＤＢＡ３Ｃ９７５７８Ｅ２９ＣＣ９ＢＢＥＥ８ＦＢ６ＤＤＤＤ Ｑ_1,1＝０２７９Ｃ６０Ｄ２１６６９６ＣＤ６Ｆ７５２６Ｅ２３５１２ＤＡＥ０
９０ＣＦＦ８７９ＦＤＤＥ Ｑ_2,1＝７Ｃ９７７ＦＣ３８Ｆ８４１３Ａ２８４Ｅ９ＣＥ４ＥＤＥＦ４ＡＥＦ３
５ＢＦ７７９３Ｂ８９ Ｑ_3,1＝６ＦＢ３Ｂ９ＣＯ５Ａ０３Ｄ７ＣＡＤＡ９Ａ３４２５５７１ＥＦ５ＥＣ
Ｃ５４Ｄ７Ａ７Ｂ６Ｆ Ｑ_1,2＝０３８８ＥＣ６ＡＡ１Ｅ８７６１３Ｄ８３２Ｅ２Ｂ８０Ｅ５ＡＥ８Ｃ１
ＤＦ２Ｅ７４ＢＦＦ５０２ Ｑ_2,2＝０４７９２ＣＥ７０２８４Ｄ１６Ｅ９Ａ１５８Ｃ６８８Ａ７Ｂ３ＦＥＡ
Ｆ９Ｃ４００５６４６９Ｅ Ｑ_3,2＝ＦＤＣ４Ａ８Ｅ５３Ｅ１８５Ａ４ＢＡ７９３Ｅ９３ＢＥＥ５Ｃ６３６Ｄ
Ａ７３１ＢＤＣＡ４Ｅ Ｑ_1,3＝０７ＢＣ１ＡＢ０４８Ａ２ＥＡＦＤＡＢ５９ＢＤ４０ＣＣＦ２Ｆ６５７
ＡＤ８Ａ６Ｂ５７３ＢＤＥ Ｑ_2,3＝０ＡＥ８５５１Ｅ１１６Ａ３ＡＣ０８９５６６ＤＦＤＢ３ＡＥ００３Ｃ
Ｆ１７４ＦＣ４Ｅ４８７７ Ｑ_3,3＝０１６８２Ｄ４９００４１９１３Ａ４ＥＡ５Ｂ８０Ｄ１６Ｂ６８５Ｅ４
Ａ６ＤＤ８８０７０５０１ Ｑ₁＝Ｄ７Ｅ１ＣＡＦ２８１９２ＣＥＤ６５４９ＦＦ４５７７０８Ｄ５０Ａ７４
８１５７２ＤＤ５Ｆ２Ｃ３３５Ｄ８ Ｃ６９Ｅ２２５２１Ｂ５１０Ｂ６４４５４ＦＢ７Ａ１９ＡＥＣ８Ｄ０６９８５５
５８Ｅ７６４Ｃ６９９１Ｂ０５ＦＣ２Ａ Ｃ７４Ｄ９７４３４３５ＡＢ４Ｄ７ＣＦ０ＦＦ６５５７ Ｑ₂＝ＣＢ１ＥＤ６Ｂ１ＤＤ６４９Ｂ８９Ｂ９６３８ＤＣ３３８７６Ｃ９８ＡＣ
７ＡＦ６８９Ｅ９Ｄ１３５９Ｅ４ ＤＢ１７５６３Ｂ９Ｂ３ＤＣ５８２Ｄ５２７１９４９Ｆ３ＤＢＡ５Ａ７０Ｃ１０
８Ｆ５６１Ａ２７４４０５Ａ５ＣＢ８ ８２２８８２７３ＡＤＥ６７３５３Ａ５ＢＣ３１６Ｃ０９３ Ｑ₃＝０９ＡＡ６Ｆ４９３０Ｅ５１Ａ７０ＣＣＤＦＡ７７４４２Ｂ１０７７０Ｄ
Ｄ１ＣＤ７７４９０Ｅ３３９８Ａ ＡＤ９ＤＣ５０２４９Ｃ３４３１２９１５Ｅ５５９１７Ａ１ＥＤ４Ｄ８３ＡＡ３
Ｄ６０７Ｅ３ＥＢ５Ｃ８Ｂ１９７ ６９７２３８５３７ＦＥ７Ａ０１９５Ｃ５Ｅ８３７３ＥＢ７４Ｄ

【００６３】 以下は、ｋ＝９、すなわちｖ＝５１２、ｍ＝２、すなわち２つの基数、ｇ₁＝
２とｇ₂＝３、およびｆ＝３が３（ｍｏｄ ４）に一致する３つの素因数を含む係
数を示すＧＱ２鍵の第２集合である。 ｐ₁＝０３８５２１０３Ｅ４０ＣＤ４Ｆ０６ＦＡ７ＢＡＡ９ＣＣ８Ｄ５ＢＣＥ９
６Ｅ３９８４５７０ＣＢ ｐ₂＝０６２ＡＣ９ＥＣ４２ＡＡ３Ｅ６８８ＤＣ２ＢＣ８７１Ｃ８３１５ＣＢ９
３９０８９Ｂ６１ＤＤ７ ｐ₃＝０ＢＣＡＤＥＣ２１９Ｆ１ＤＦＢＢ８ＡＢ５ＦＥ８０８Ａ０ＦＦＣＢ５３
４５８２８４ＥＤ８Ｅ３ ｎ＝ｐ₁．ｐ₂．ｐ₃＝ＦＦＦＦ５４０１ＥＣＤ９Ｅ５３７Ｆ１６７Ａ８０Ｃ０Ａ
９１１１９８６Ｆ７Ａ８ＥＢＡ４Ｄ ６６９８ＡＤ６８ＦＦ６７０ＤＥ５Ｄ９Ｄ７７ＤＦＦ００７１６ＤＣ７５３９Ｆ
７ＣＢＢＣＦ９６９Ｅ７３Ａ０Ｃ４９ ７６１Ｂ２７６Ａ８Ｅ６Ｂ６９７７Ａ２１Ｄ５１６６９Ｄ０３９Ｆ１Ｄ７ Ｑ_1,1＝０２６０ＢＣ７２４３Ｃ２２４５０Ｄ５６６Ｂ５Ｃ６ＥＦ７４ＡＡ２９
Ｆ２Ｂ９２７ＡＦ６８Ｅ１ Ｑ_2,1＝０３２６Ｃ１２ＦＣ７９９１ＥＣＤＣ９ＢＢ８Ｄ７Ｃ１Ｃ４５０１ＢＥ
１ＢＡＥ９４８５３００Ｅ Ｑ_1,2＝０２Ｄ０Ｂ４ＣＣ９５Ａ２ＤＤ４３５Ｄ０Ｅ２２ＢＦＢＢ２９Ｃ５９４
１８３０６Ｆ６ＣＤ００Ａ Ｑ_2,2＝Ｏ４５ＥＣＢ８８１３８７５８２Ｅ７Ｃ５５６８８７７８４Ｄ２６７１
ＣＡ１１８Ｅ２２ＦＣＦ２ Ｑ_1,3＝Ｂ０Ｃ２Ｂ１Ｆ８０８Ｄ２４Ｆ６３７６Ｅ３Ａ５３４ＥＢ５５５ＥＦ５
４Ｅ６ＡＥＦ５９８２ Ｑ_2,3＝０ＡＢ９Ｆ８１ＤＦ４６２Ｆ５８Ａ５２Ｄ９３７Ｅ６Ｄ８１Ｆ４８ＦＦ
Ａ４Ａ８７Ａ９９３５ＡＢ Ｑ₁＝２７Ｆ７Ｂ９ＦＣ８２Ｃ１９ＡＣＡＥ４７Ｆ３ＦＥ９５６０Ｃ３５３６Ａ
７Ｅ９０Ｆ８Ｃ３Ｃ５１Ｅ１３Ｃ ３５Ｆ３２ＦＤ８Ｃ６８２３ＤＦ７５３６８５ＤＤ６３５５５Ｄ２１４６ＦＣＤ
Ｂ９Ｂ２８ＤＡ３６７３２７ＤＤ６ ＥＤＤＡ０９２Ｄ０ＣＦ１０８Ｄ０ＡＢ７０８４０５ＤＡ４６ Ｑ₂＝２３０Ｄ０Ｂ９５９５Ｅ５ＡＤ３８８Ｆ１Ｆ４４７Ａ６９９１８９０５Ｅ
ＢＦＢ０５９１０５８２Ｅ５ＢＡ６４ ９Ｃ９４Ｂ０Ｂ２６６１Ｅ４９ＤＦ３Ｃ９Ｂ４２ＦＥＦ１Ｆ３７Ａ７９０９Ｂ１
Ｃ２ＤＤ５４１１３ＡＣＦ８７Ｃ６ Ｆ１１Ｆ１９８７４ＤＥ７ＤＣ５Ｄ１ＤＦ２Ａ９２５２Ｄ

【００６４】 （動的認証） 動的認証機構は、コントローラとして知られているエンティティに対し、考え
られる関連付けられたメッセージＭの真正性だけではなく、デモンストレータと
して知られているエンティティの真正性も証明し、その結果、コントローラは、
それが真にデモンストレータであり、場合によっては唯一のデモンストレータで
ある旨、およびデモンストレータが真に同じメッセージＭを話している旨を確信
できる。関連付けられたメッセージＭはオプションである。つまり、それは空で
ある可能性がある。

【００６５】 動的認証機構は、４つの行動のシーケンスである。つまり、コミットメントと
いう行為と、チャレンジという行為と、応答という行為と、チェックという行為
とである。デモンストレータは、コミットメントおよび応答という行為を達成す
る。コントローラは、チャレンジおよび管理という行為を達成する。

【００６６】 デモンストレータの中では、デモンストレータの最も要注意なパラメータおよ
び機能、つまりコミットメントおよび応答の作成を隔離するために、証人を隔離
することが可能である。証人はパラメータｋおよび秘密鍵ＧＱ２、つまりここに
前記に参照された３つの描写の内の１つに従った係数ｎの因数分解を有する。つ
まり、・ｆ個の素因数およびｍ個の基数と、・ｍ．ｆ個の秘密構成要素と、ｆ個
の素因数およびチャイニーズ剰余のｆ−１個のパラメータと、・ｍ個の秘密値お
よび係数ｎとである。

【００６７】 証人は、例えば、・デモンストレータ全体を形成するＰＣに接続されているチ
ップカード、または再び、・ＰＣ内で特別に保護されているプログラム、または
再び、・スマートカード内で特別に保護されているプログラムなどの部分的な実
施態様に対応することができる。そして、このようにして隔離された証人は、署
名関係者内でここに以下に定義される証人に類似している。機構の実行のたびに
、証人は、1以上のコミットメントＲを作成してから、チャレンジｄと同じくら
い多くの応答Ｄを作成する。各集合(Ｒ，ｄ，Ｄ(は、ＧＱ２三つ組である。

【００６８】 証人を備えることとは別に、デモンストレータは、必要な場合、ハッシュ関数
およびメッセージＭも有する。

【００６９】 コントローラは、係数ｎおよびパラメータｋとｍを有する。必要な場合には、
それは同じハッシュ関数およびメッセージＭ’も有する。コントローラは、任意
のチャレンジｄおよび任意の応答ＤからコミットメントＲ’を再構築することが
できる。パラメータｋおよびｍがコントローラに知らせる。逆に表示できない場
合には、ｇ₁からｇ_mのｍ個の基数がｍ個の第１素因数である。各チャレンジｄは
、基数ごとに１つ、ｄ₁からｄ_mと参照されるｍ個の初歩チャレンジを有さなけれ
ばならない。ｄ₁からｄ_mと参照されるこの初歩チャレンジは、０から２^k-1−１
（ｖ／２からｖ−１の値は使用されていない）という値を取りうる。典タイプ的
には、各チャレンジは、ｍかけるｋ−１ビットで（ｍかけるｋビットではなく）
で符号化される。例えば、ｋ＝６およびｍ＝３ならびに基数３，５、および７で
は、各チャレンジが２バイトで１５ビットを送信させる。ｋ＝９，ｍ＝２および
基数２と３では、各チャレンジは２バイトで１６ビットを送信させる。（ｋ−１
）．ｍ個の考えられるチャレンジも可能であるとき、値（ｋ−１）．ｍが、各Ｇ
Ｑ２三つ組によって提供される機密保護を決定する。つまり、定義により、係数
ｎの因数分解を知らない詐称者は、まさに２^(k-1).mに１回の成功の確率を有す
る。（ｋ−１）．ｍが１５から２０に等しいとき、動的認証に妥当に備えるため
には１つの三つ組で十分である。任意の機密保護レベルを達成するには、三つ組
を平行して作成することができる。また、連続して作成する、つまり機構の実行
を繰り返すことも可能である。

【００７０】 １）コミットメントという行為は、以下の動作を備える。 証人がＱ₁からＱ_mのｍ個の秘密値、および係数ｎを有するとき、それは1以上
のランダム値ｒ（０＜ｒ＜ｎ）をランダムにかつ秘密裏に引き出す。それからｋ
回の連続二乗（ｍｏｄｎ）演算により、それは各ランダム値ｒをコミットメント
Ｒに変換する。 Ｒ≡ｒ(（ｍｏｄ ｎ） ここに、ｋ＝６での鍵の第１集合の例がある。 ｒ＝Ｂ８ＡＤ４２６Ｃ１Ａ１０１６５Ｅ９４Ｂ８９４ＡＣ２４３７Ｃ１Ｂ１７９
７ＥＦ５６２ＣＦＡ５３Ａ４ＡＦ８ ４３１３１ＦＦ１Ｃ８９ＣＦＤＡ１３１２０７１９４７１０ＥＦ９Ｃ０１０Ｅ８
Ｆ０９Ｃ６０Ｄ９８１５１２１９８１２６０ ９１９９６７Ｃ３Ｅ２ＦＢ４Ｂ４５６６０８８Ｅ Ｒ＝ＦＦＤＤ７３６Ｂ６６６Ｆ４１ＦＢ７７１７７６Ｄ９Ｄ５０ＤＢ７ＣＤＦ０
３Ｆ３Ｄ９７６４７１Ｂ２５Ｃ５６ Ｄ３ＡＦ０７ＢＥ６９２ＣＢ１ＦＥ４ＥＥ７０ＦＡ７７０３２ＢＥＣＤ８４１１
Ｂ８１３Ｂ４Ｃ２１２１０Ｃ６Ｂ０４ ４９ＣＣ４２９２Ｅ５ＤＤ２ＢＤＢ００８２８ＡＦ１８

【００７１】 証人が、ｐ₁からｐ_fまでｆ個の素因数、およびｍ．ｆ個の秘密構成要素Ｑ_ijを
有するとき、それはランダムに、および秘密裏に、ｆ個のランダム値の1以上の
集合体を引き出す。各集合体は、素因数ｐ_i（０＜ｒ_i＜ｐ_i）ごとに１つのラン
ダム値ｒ_iを有する。それから、（ｍｏｄｐ_i）を二乗するｋ回の連続演算によっ
て、それは各ランダム値ｒ_iをコミットメントＲ_iの構成要素に変換する。 Ｒ_i≡ｒ_i(（ｍｏｄ ｐ_i） ここに、ｋ＝９での鍵の第２集合の例がある。 ｒ₁＝Ｂ０４１８ＥＡＢＥＢＡＤＦ０５５３Ａ２８９０３Ｆ７４４７２ＣＤ４９
ＤＤ８Ｃ８２Ｄ８６ Ｒ₁＝０２２Ｂ３６５Ｆ０ＢＥＡ８Ｅ１５７Ｅ９４Ａ９ＤＥＢ０５１２８２７Ｆ
ＦＤ５１４９８８０Ｆ１ ｒ₂＝７５Ａ８ＤＡ８ＦＥ０Ｅ６０ＢＤ５５Ｄ２８Ａ２１８Ｅ３１３４７７３２
３３９Ｆ１Ｄ６６７ Ｒ₂＝０５７^E４３Ａ２４２Ｃ４８５ＦＣ２０ＤＥＥＦ２９１Ｃ７７４ＣＦ１Ｂ３
０Ｆ０１６３ＤＥＣ２ ｒ₃＝０Ｄ７４Ｄ２ＢＤＡ５３０２ＣＦ８ＢＥ２Ｆ６Ｄ４０６２４９Ｄ１４８Ｃ
６９６０Ａ７Ｄ２７ Ｒ₃＝０６^E１４Ｃ８ＦＣ４ＤＤ３１２ＢＡ３Ｂ４７５Ｆ１Ｆ４０ＣＦ０１ＡＣＥ
２Ａ８８Ｄ５ＢＢ３Ｃ

【００７２】 ｆ個のコミットメント構成要素の集合体ごとに、証人は、チャイニーズ剰余の
儀容に従ってコミットメントをセットアップする。ランダム値の集合体と同じく
らい多くのコミットメントがある。 Ｒ＝チャイニーズ剰余（Ｒ₁，Ｒ₂，．．．，Ｒ_j） Ｒ＝２８ＡＡ７Ｆ１２２５９ＢＦＢＡ８１３６８ＥＢ４９Ｃ９３ＥＥＡＢ３Ｆ３
ＥＣ６ＢＦ７３Ｂ０ＥＢＤ７ Ｄ３ＦＣ８３９５ＣＦＡ１ＡＤ７ＦＣ０Ｆ９ＤＡＣ１６９Ａ４Ｆ６Ｆ１Ｃ４６Ｆ
Ｂ４Ｃ３４５８Ｄ１Ｅ３７Ｃ９ ９１２３Ｂ５６４４６Ｆ６Ｃ９２８７３６Ｂ１７Ｂ４ＢＡ４Ａ５２９

【００７３】 両方の場合で、デモンストレータは、コントローラに各コミットメントＲのす
べてまたは一部、あるいは各コミットメントＲをハッシュ化することによって得
られる少なくとも１つのハッシュコードＨおよび１つのメッセージＭを送信する
。

【００７４】 ２）チャレンジという行為は、ランダムに、それぞれが、ｍ個の初歩チャレン
ジｄ₁(ｄ₂(…(ｄ_mから成り立つ1以上のチャレンジｄを引き出すことにある。各
初歩チャレンジｄ_iは、０からｖ／２−１の値の１つを取る。 ｄ＝ｄ₁(ｄ₂(．．．(ｄ_m ここに、ｋ＝６およびｍ＝３である鍵の第１集合の例がある。 ｄ₁＝１０１１０＝２２＝’１６’；ｄ₂＝００１１１＝７；ｄ₃＝０００１ ０＝２ ｄ＝０(’ｄ₁(’ｄ₂(’ｄ₃＝０１０１１０００１１１０００１０＝５８ Ｅ２ ここに、ｋ＝９およびｍ＝２である鍵の第２集合の例がある。 ｄ＝ｄ₁(’ｄ₂＝５８Ｅ２、すなわち、小数点表記８８および２２６である コントローラは、デモンストレータに各チャレンジｄを送信する。

【００７５】 ３）応答という行為は、以下の演算を有する。 証人は、Ｑ₁からＱ_mのｍ個の秘密値および係数ｎを有するとき、それはコミッ
トメントという行為の各ランダム値ｒおよび初歩チャレンジに従った秘密値を使
用して、1以上の応答Ｄを計算する。 Ｘ≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ≡ｒ．Ｘ（ｍｏｄ ｎ） ここに、鍵の第１集合の例がある。 Ｄ＝ＦＦ２５７４２２ＥＣＤ３Ｃ７Ａ０３７０６Ｂ９Ａ７Ｂ２８ＥＥ３ＦＣ３Ａ
４Ｅ９７４ＡＥＤＣＤＦ３８６ ５ＥＥＦ３８７６０Ｂ８５９ＦＤＢ５３３３Ｅ９０４ＢＢＤＤ３７Ｂ０９７Ａ９
８９Ｆ６９０８５ＦＥ８ＥＦ６４８０ Ａ２Ｃ６Ａ２９０２７３４７９ＦＥＣ９１７１９９０Ａ１７

【００７６】 証人は、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密構成要素Ｑ_i,jを有
するとき、それはコミットメントという行為のランダム値の各集合体を使用して
ｆ個の応答構成要素を計算する。応答構成要素の各集合体は、素因数ごとに１つ
の構成要素を備える Ｘ_i≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm，_i（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ₁） ここに鍵の第２集合の例がある。 Ｄ₁＝ｒ₁．Ｑ_1.1 ^d1．Ｑ_2.1 ^d2（ｍｏｄ ｐ₁）＝ Ｏ２６６０ＡＤＦ３Ｃ７３Ｂ６ＤＣ１５Ｅ１９６１５２３２２ＤＤＥ８ＥＢ５Ｂ
３５７７５Ｅ３８ Ｄ₂＝ｒ₂．Ｑ_1.2 ^d1．Ｑ_2.2 ^d2（ｍｏｄ ｐ₂）＝ ０４Ｃ１５０２８Ｅ５ＦＤ１１７５７２４３７６Ｃ１１ＢＥ７７０５２２０５Ｆ
７Ｃ６２ＡＥ３Ｂ Ｄ₃＝ｒ₃．Ｑ_1.3 ^d1．Ｑ_2.3 ^d2（ｍｏｄ ｐ₃）＝ ０９０３Ｄ２０Ｄ０Ｃ３０６Ｃ８ＥＤＡ９Ｄ８ＦＢ５Ｂ３ＢＥＢ５５Ｅ０６１Ａ
Ｂ３９ＣＣＦ５２

【００７７】 応答構成要素の集合体ごとに、証人は、チャイニーズ剰余技法に従った応答を
作成する。チャレンジと同じくらい多くの応答がある。 Ｄ＝チャイニーズ剰余（Ｄ₁，Ｄ₂，．．．，Ｄ_f） Ｄ＝８５Ｃ３Ｂ００２９６４２６Ｅ９７８９７Ｆ７３Ｃ７ＤＣ６３４１ＦＢ８Ｆ
ＦＥ６Ｅ８７９ＡＥ１２ＥＦ１Ｆ３６ ４ＣＢＢ５５ＢＣ４４ＤＥＣ４３７２０８ＣＦ５３０Ｆ８４０２ＢＤ９Ｃ５１１
Ｆ５ＦＢ３Ｂ３Ａ３０９２５７Ａ００ １９５Ａ７３０５Ｃ６ＦＦ３３２３Ｆ７２ＤＣ１ＡＢ 両方の場合で、デモンストレータは各応答Ｄをコントローラに送信する。

【００７８】 ４）チェック行為は、各三つ組(Ｒ，ｄ，Ｄ(が、非零値に関して以下のタイプ
の等式を検証することを確認することにあるか、

【数７】 または、さもなければ、各コミットメントをセットアップすることにある。何も
ゼロであってはならない。

【数８】

【００７９】 必要な場合、コントローラは、それぞれの再確立されたコミットメントＲ’お
よびメッセージＭ’をハッシュ化する際にハッシュコードＨ’を計算する。動的
認証は、コントローラが、このようにして、それがコミットメントの最初の行為
の最後に受信したもの、つまり各コミットメントＲのすべてまたは一部、あるい
はさもなければハッシュコードＨを検索するときに成功する。

【００８０】 例えば、初歩動作のシーケンスが、応答ＤをコミットメントＲ’に変換する。
シーケンスは、ｋ−１回の除算によって、あるいは基数による乗算（ｍｏｄ ｎ
）によって分離されるｋ個の平方（ｍｏｄ ｎ）を有する。ｉ番目の平方とｉ＋
１番目の平方の間で実行されるｉ番目の除算または乗算の場合には、初歩チャレ
ンジｄ_iのｉ番目のビットはｇ_iを使用する必要があることを示し、初歩チャレン
ジｄ₂のｉ番目のビットは、ｇ₂を使用するのが必要かどうかを示し、初歩チャレ
ンジｄ_mのｉ番目のビットまで、ｇ_mを使用することが必要であるかどうかを示す
。 ここに、鍵の第１集合の例がある。

【表１】

【表２】

【表３】

【表４】 私達は、コミットメントＲを発見する。認証は無事に終了した。

【００８１】 （デジタル署名） デジタル署名機構によって、署名関係者と呼ばれるエンティティは、署名済み
のメッセージを作成し、コントローラと呼ばれるエンティティは署名済みのメッ
セージを確認することができるようになる。メッセージＭは、任意のバイナリシ
ーケンスである。それは空である場合がある。メッセージＭは、それにシグナチ
ャ付録を追加することによって署名される。このシグナチャ付録は、対応する応
答だけではなく、1以上のコミットメントおよび／またはチャレンジも備える。

【００８２】 コントローラは同じハッシュ関数、パラメータｋとｍ、および係数ｎを有する
。パラメータｋおよびｍは、コントローラに対し情報を提供する。第１に、ｄ₁
からｄ_mの各初歩チャレンジは、０から２_k-1−１（ｖ／２からｖ−１という値は
使用されない）の値を取らなければならない。第２に、各チャレンジｄは、ｄ₁
からｄ_mと参照されるｍ個の初歩チャレンジ、つまり基数と同じくらい多くの初
歩チャレンジを含まなければならない。さらに、逆に表示することができないと
、ｇ₁からｇ_mのｍ個の基数はｍ個の第１素数である。（ｋ−１）．ｍが１５から
２０に等しいので、平行して作成された４個の三つ組ＧＱ２で署名することが可
能である。（ｋ−１）．ｍが６０以上に等しい場合、単一の三つ組ＧＱ２で署名
することが可能である。例えばｋ＝９およびｍ＝８の場合には、単一の三つ組Ｇ
Ｑ２で十分である。各チャレンジは８バイトであり、基数は２、３、５、７、１
１、１３、１７および１９である。

【００８３】 署名動作は、３つの行為、つまりコミットメントという行為と、チャレンジと
いう行為と、応答という行為とのシーケンスである。それぞれの行為から、コミ
ットメントＲ（≠０）、ｄ₁，ｄ₂，．．．，ｄ_mと参照されるｍ個の初歩チャレ
ンジから成り立つチャレンジｄ、および応答Ｄ（≠０）をそれぞれ含む1以上の
ＧＱ２三つ組が生じる。

【００８４】 署名関係者は、ハッシュ関数、パラメータｋおよびＧＱ２秘密鍵、つまりここ
に前記に参照された３つの描写の内の１つに従った係数ｎの因数分解を有する。
署名関係者内で、デモンストレータにとって最も要注意である関数およびパラメ
ータを隔離するために、コミットメントおよび応答という行為を実行する証人を
隔離することが可能である。コミットメントおよび応答を計算するために、証人
はパラメータｋおよびＧＱ２秘密鍵、つまりここに前記に参照された３つの描写
の内の１つに従った係数ｎの因数分解を有する。このようにして隔離された証人
は、デモンストレータ内で定義された証人に類似する。それは、ある特定の実施
態様、例えば、・署名関係者全体を形成するＰＣに接続されているチップカード
、または再び、・ＰＣ内で特に保護されているプログラム、または再び、・チッ
プカード内で特に保護されているプログラムに対応することができる。

【００８５】 １）コミットメントという行為は、以下の演算を含む。 証人がＱ₁からＱ_mというｍ個の秘密値、および係数ｎを有するとき、それはラ
ンダムにおよび秘密裏に1以上のランダム値ｒ（０＜ｒ＜ｎ）を引き出す。それ
から、ｋ回の無事終了した二乗（ｍｏｄ ｎ）演算によって、それは各ランダム
値ｒをコミットメントＲに変換する。 Ｒ≡ｒ(（ｍｏｄ ｎ）

【００８６】 証人がｐ₁からｐ_fのｆ個の素因数およびｍ．ｆ個の秘密構成要素Ｑ_ijを有する
とき、それは、秘密裏にかつランダムにｆ個ののランダム値の1以上の集合体を
引き出す。各集合体は、素因数ｐ_i（０＜ｒ_i＜ｐ_i）ごとに１つのランダム値を
有する。それから、ｋ回の無事終了した二乗（ｍｏｄｐ_i）演算によって、それ
は各ランダム値ｒ_iをコミットメントＲ_iの構成要素に変換する。 Ｒ_i≡ｒ_i(（ｍｏｄ ｐ_i）

【００８７】 ｆ個のコミットメント構成要素ごとに、証人は、チャイニーズ剰余技法にした
がってコミットメントをセットアップする。ランダム値の集合体と同じくらい多
くのコミットメントがある。 Ｒ＝チャイニーズ剰余（Ｒ₁，Ｒ₂，．．．，Ｒ_f）

【００８８】 ２）チャレンジという行為は、すべてのコミットメントＲおよび署名関係者が
、それぞれがｍ個の初歩チャレンジを含む1以上のチャレンジを形成するハッシ
ュコードを得るためにＭと署名されるメッセージをハッシュ化することにある。
各初歩チャレンジは、例えば、ｋ＝９およびｍ＝８で０からｖ／２−１から任意
の値を取る。各チャレンジは８バイトを有する。コミットメントと同じくらい多
くのチャレンジがある。 ｄ＝ｄ₁(ｄ₂(．．．(ｄ_m，結果ハッシュ（Ｍ，Ｒ）から抽出

【００８９】 ３）応答という行為は、以下の動作を含む。 証人は、Ｑ₁からＱ_mのｍ個の秘密値および係数ｎを有するとき、それは、コミ
ットメントという行為の各ランダム値ｒおよび初歩チャレンジに従った秘密値を
使用して、1以上の応答Ｄを計算する。 Ｘ．/≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ/≡ｒ．/Ｘ．/（ｍｏｄ ｎ）

【００９０】 証人は、ｐ₁からｐ_fのｆ個の素因数、およびｍ．ｆ個の秘密構成要素Ｑ_ijを有
するとき、それはコミットメントという行為のランダム値の書く集合体を使用す
る際にｆ個の応答構成要素を計算する。応答構成要素の各集合体は、素因数ごと
に１つの構成要素を含む。 Ｘ_i≡Ｑ₁ ^d1，_i．Ｑ₂ ^d2，_i…Ｑ_m ^dm，_i（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ_i）

【００９１】 応答構成要素の集合体ごとに、証人は、チャイニーズ剰余技法に従って応答を
セットアップする。チャレンジと同じくらい多くの応答がある。 Ｄ＝チャイニーズ剰余（Ｄ₁，Ｄ₂，．．．，Ｄ_f）

【００９２】 署名関係者はそれに以下を含むシグナチャ付録を追加する際に、メッセージＭ
に署名する。 各ＧＱ２三つ組、つまり各コミットメントＲ、各チャレンジｄおよび各応答
Ｄと、 または、さもなければ、各コミットメントＲおよび各対応する応答Ｄか、 または、さもなければ、各チャレンジｄおよび各対応する応答Ｄ

【００９３】 検証動作の実行は、シグナチャ付録の内容に依存する。３つの考えられる場合
がある。

【００９４】 付録が1以上の三つ組を含む場合には、チェック動作は、年代順配列が重要で
はない２つの独立したプロセスを有する。コントローラは、以下の２つの条件が
満たされる場合および満たされる場合にだけ署名済みのメッセージを受け入れる
。

【００９５】 第１に、各三つ組は、一貫（以下のタイプに関する適切な関係性が検証されな
ければならない）し、許容（非零値で比較が実行されなければならない）できな
ければならない。

【数９】

【００９６】 例えば、応答Ｄは、初歩動作のシーケンスによって変換される。つまり、基数
によるｋ−１回の乗算または除算演算によって分離されるｋ個の平方済み（ｍｏ
ｄ ｎ）。ｉ番目の平方とｉ＋１番目の平方の間で実行されるｉ番目の乗算また
は除算の場合には、初歩チャレンジｄ₁のｉ番目のビットは、ｇ₁を使用すること
が必要であるかどうかを示し、初歩チャレンジｄ₂のｉ番目のビットは、ｇ₂を使
用するのが必要かどうかを示し、初歩チャレンジｄ_mのｉ番目のビットまで、ｇ_m を使用することが必要であるかどうかを示す。このようにして、シグナチャ付録
に存在する各コミットメントＲを検索することが必要である。

【００９７】 さらに、1以上の三つ組は、メッセージＭにリンクされなければならない。す
べてのコミットメントＲおよびメッセージＭをハッシュ化することによって、各
チャレンジｄが回復されなければならないハッシュコードが得られる。 ｄ＝ｄ₁/ｄ₂/．．．/ｄ_m,結果ハッシュ（Ｍ，Ｒ）から抽出されるものと同一

【００９８】 付録にチャレンジがない場合には、チェック動作が、すべてのコミットメント
ＲおよびメッセージＭをハッシュ化することによって、1以上のチャレンジｄ’
の再構築で開始する。 Ｄ’＝ａf₁/ｄ’₂/．．．/ｄ’_m，結果ハッシュ（Ｍ，Ｒ）から抽出

【００９９】 そして、コントローラは、各三つ組が一貫（以下のタイプの適切な関係性が検
証される）し、許容（非零値で比較が実行される）できる場合に、および場合に
だけ署名済みメッセージを受け入れる。

【数１０】

【０１００】 付録がコミットメントを備えない場合には、チェック動作は、以下の２つの公
式の一方、つまり適切である公式に従って、1以上のコミットメントＲ’を再構
築することによって開始する。確立し直されたコミットメントはゼロであっては
ならない。

【数１１】

【０１０１】 そして、コントローラは、各チャレンジｄを再構成するために、すべてのコミ
ットメントＲ’およびメッセージＭをハッシュ化しなければならない。 ｄ＝ｄ₁/ｄ₂/．．．/ｄ_m，結果ハッシュ（Ｍ，Ｒ）から抽出されたものと同一

【０１０２】 コントローラは、各再構築されたチャレンジが付録内の対応するチャレンジに
同一である場合および場合にだけ署名済みのメッセージを受け入れる。

【０１０３】 本出願においては、それぞれ、エンティティの真正性、および／またはメッセ
ージの完全性および／または真正性を証明するように設計される本発明に従って
方法、システムおよびデバイスを実行するために使用される秘密値と公開値Ｑと
Ｇの組がある。

【０１０４】 その発明者がLouis GuillouおよびJean-Jacques Quisquaterであるフランス
テレコム、ＴＤＦ、およびMath RiZK社によって本出願と同日に提出された係属
出願において、ＧＱ２鍵の集合、つまり指数ｖが２^kに等しいときに、それぞれ
係数ｎおよび公開値と秘密値ＧとＱの組を生成するための方法が説明されている
。これらを引用することにより本明細書の一部をなすものとする。

【手続補正書】

【提出日】平成１３年１１月１２日（２００１．１１．１２）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【発明の名称】 エンティティの真正性および／またはメッセージの完全性を証
明するための方法

【特許請求の範囲】

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】 本発明は、エンティティの真正性(authenticity)、および／またはメッセージ
の完全性(integrity)および／または真正性を証明するように設計される方法、
システムおよびデバイスに関する。

【０００２】

【従来の技術】 その発明者がLouis GuillouおよびJean−Jacques Quisquaterである欧州特
許第０３１１４７０Ｂ１公報がこのような方法を説明する。これ以降、彼らの研
究は用語「ＧＱ特許」または「ＧＱ方法」によって参照されるものとする。これ
以降、表現「ＧＱ２」、あるいは「ＧＱ２発明」または「ＧＱ２技術」は、本発
明を説明するために使用されるものとする。

【０００３】 ＧＱ方法に従って、「信頼される当局（trusted authority）」として知られ
ているエンティティが、「証人（witness）」と呼ばれているそれぞれのエンテ
ィティにアイデンティティを割り当てる。顧客イズ化プロセスにおいて、信頼さ
れる当局は、証人にアイデンティティ(identity)およびシグナチャ(signature)
を与える。それ以降、証人は以下を宣言する。つまり「ここに私のアイデンティ
ティがある。私はそのＲＳＡシグナチャを知っている。」証人は、このシグナチ
ャを明らかにせずに、自分が自分のアイデンティティのＲＳＡシグナチャを知っ
ていることを証明する。ＲＳＡ公開識別鍵（RSA Public identification key）
は、信頼される当局によって配布されるが、「コントローラ(controller)」とし
て知られているエンティティが、その知識を得ずに、ＲＳＡシグナチャが宣言さ
れたアイデンティティに一致することを確認する。ＧＱ方法を使用する機構は、
「知識の移管(transfer of knowledge)」を行わずに実行する。ＧＱ方法に従っ
て、証人は、信頼される当局が大多数のアイデンティティに署名をするＲＳＡ秘
密鍵を知らない。

【０００４】

【発明が解決しようとする課題】 ここに前述されるＧＱ技術は、ＲＳＡ技術を利用する。しかしながら、ＲＳＡ
技術は、真に係数ｎの因数分解に依存する一方で、この依存は、いわゆるＲＳＡ
技術を実行するデジタル署名の多様な規格に対する倍増的に増加する攻撃に見ら
れるように同等ではなく、実際にはそれはかなり異なっている。

【０００５】

【課題を解決するための手段】 ＧＱ２技術の目標は２つの部分を有する。つまり、第１に、ＲＳＡ技術の性能
特徴を改善すること、第２にＲＳＡ技術に固有の問題を回避することである。Ｇ
Ｑ２秘密鍵を知っていることは、係数ｎの因数分解を知っていることに等価であ
る。三つ組のＧＱ２に対する攻撃は、係数ｎの因数分解につながる。このときに
は等価である。ＧＱ２技術を用いると、署名をする、あるいは自己認証するエン
ティティにとっての、および監査するエンティティにとっての作業量は削減され
る。機密保護と性能の両方の点での因数分解の問題をさらにうまく使用すること
により、ＧＱ２技術はＲＳＡ技術の欠点を回避する。

【０００６】 ＧＱ方法は、５１２ビット以上を備える数のモジュロ計算を実行する。これら
の計算は、約２¹⁶＋１乗まで累乗されたのと実質的に同じ大きさを有する数に関
する。現在では、特にバンクカードの分野における既存のマイクロエレクトロニ
クスインフラストラクチャは、演算コプロセッサを使用しないでモノリシックな
自己プログラム可能マイクロプロセッサを利用する。ＧＱ方法などの方法に関係
する複数の演算アプリケーションに関する作業量は、一定の場合では、顧客が購
入物を支払うためにバンクカードを使用するには不利であることが判明する計算
時間につながっている。ここでは、支払カードの安全を高めることを求めて、銀
行当局が、特に解決が困難である問題を引き起こしたことを想起することができ
る。実際、２つの明らかに矛盾する問題が解決されなければならない。つまり、
一方では、各カードのますます冗長かつ明瞭なキーを使用することにより安全性
を高めつつ、他方では、作業量がユーザにとっての過剰な計算時間につながるこ
とを妨げるのである。この問題は、既存のインフラストラクチャおよび既存のマ
イクロプロセッサ構成要素を考慮に入れることも必要となるため、特に激しくな
る。

【０００７】 ＧＱ２技術は、安全性を高めつつ、この問題に対する解決策を提供する。

【０００８】 （方法） さらに特に、本発明は、コントローラエンティティに対し、あるエンティティ
の真正性、および／または、このエンティティに関連付けられたメッセージＭの
完全性とを証明するように設計された方法に関する。

【０００９】 この証明は、以下のパラメータまたはこれらのパラメータのすべてまたは一部
によって確立される。ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される公開
係数ｎと、 公開指数ｖとである。 前記係数、前記指数および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関連付けられ、 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは１より大きい機密保護パラメータである。

【００１０】 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。 前記方法は、以下のステップにおいて、証人と呼ばれるエンティティを実行す
る。前記証人エンティティは、ｆ個の素因数ｐ_iおよび／または素因数のチャイ
ニーズ剰余の、および公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ
、および／または秘密値Ｑ_iのおよび公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ _i,j ≡Ｑ_iｍｏｄ ｐ_j）を有する。

【００１１】 証人は、モジュロｎの整数環のコミットメントＲを計算する。各コミットメン
トを、 ・次のタイプの演算を実行すること Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは０＜ｒ＜ｎとなるようにランダム値であり、 ・または、 ・・以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iと関連付けられたラン
ダム値であり、各ｒ_iは、ランダム値｛ｒ₁，ｒ₂，…ｒ_f｝の集合体に属し、 ・・そして、チャイニーズ剰余法を適用すること のどちらかによって計算する。

【００１２】 証人は、1以上のチャレンジｄを受け取る。各チャレンジｄは、これ以降初歩
チャレンジと呼ばれるｍ個の整数ｄ_iを備える。証人は、各チャレンジｄに基づ
き、応答Ｄを、 ・以下のタイプの演算を実行すること Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、 ・・以下のタイプの演算を実行し Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用すること のどちらかによって計算する。 該方法は、コミットメントＲがあるため、チャレンジｄがあるのと同じくらい
多くの応答Ｄがあり、数Ｒ，ｄ，Ｄの各群は｛Ｒ，ｄ，Ｄ｝と参照される三つ組
を形成する。

【００１３】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従った方法は、デモンストレータとし
て知られているエンティティの真正性をコントローラとして知られているエンテ
ィティに対し証明するように設計される。前記デモンストレータエンティティは
、証人を備える。前記デモンストレータエンティティおよびコントローラエンテ
ィティは、以下のステップを実行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されたプロセスを適用することに
よって各コミットメントＲを計算する。デモンストレータは、コントローラに、
各コミットメントＲのすべてまたは一部を送信する。 ・ステップ２のチャレンジｄという行為 コントローラは、各コミットメントＲのすべてまたは一部を受け取った後、そ
の数がコミットメントＲの数に等しいチャレンジｄを作成し、チャレンジｄをデ
モンストレータに送信する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによって、チャレンジｄか
ら応答Ｄを計算する。 ・ステップ４のチェック行為 証人は、コントローラに各応答Ｄを送信する。 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータが各コミットメントＲの一部を送信した場合には、ｍ個の公
開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各チャレンジｄおよび各
応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミッ
トメントＲ’が次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラは、各再構築されたコミットメントＲ’が、それに送信された各
コミットメントＲのすべてまたは一部を再現することを確認する。 （第２の場合：デモンストレータが各コミットメントＲの全体性を送信） デモンストレータが各コミットメントＲの全体性を送信した場合、ｍ個の公開
値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各コミットメントＲが、次
のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００１４】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることができる第２代替実施態様では、本発明
の方法は、コントローラエンティティとして知られているエンティティに対し、
デモンストレータエンティティと呼ばれているエンティティに関連付けられたメ
ッセージＭの完全性の証拠を提供するように設計される。前記デモンストレータ
エンティティは、証人を含む。前記デモンストレータエンティティおよびコント
ローラエンティティは、以下のステップを実行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されたプロセスを適用することに
より、各コミットメントＲを計算する。 ・ステップ２のチャレンジｄという行為 証人は、その引数がメッセージＭおよび各コミットメントＲのすべてまたは一
部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算する。デ
モンストレータは、トークンＴをコントローラに送信する。コントローラは、ト
ークンＴを受け取った後に、コミットメントＲに数で等しいチャレンジｄを作成
し、チャレンジｄをデモンストレータに送信する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによりチャレンジｄから応
答Ｄを計算する。 ・ステップ４のチェック行為 証人は、各応答Ｄをコントローラに送信する。ｍ個の公開値Ｇ₁，Ｇ₂，．．．
，Ｇ_mを有するコントローラは、各チャレンジｄおよび各応答Ｄから再構築され
たコミットメントＲ’を計算し、この再構築されたコミットメントＲ’が、次の
タイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 そして、コントローラは、その引数がメッセージＭおよび再構築されたＲ’の
すべてまたは一部であるハッシュ関数ｈを適用し、トークンＴ’を再構築する。
そして、コントローラは、トークンＴ’が送信されたトークンＴと同一であるこ
とを確認する。

【００１５】 （メッセージのデジタル署名およびその真正性の証明） 前記２つと組み合わせることができる第３代替実施態様においては、本発明１
に従った方法が、署名するエンティティとして知られているエンティティによっ
てメッセージＭのデジタル署名を作成するように設計される。前記署名エンティ
ティは証人を含む。

【００１６】 （署名動作） 前記署名エンティティは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名済みのメッセージを得るために、署名動作を実行する。 前記署名エンティティは、以下のステップを実行することにより署名動作を実
行する。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人は、ここに前記に明記されるプロセスを適用することに
よって各コミットメントＲを計算する。 ・ステップ２のチャレンジｄという行為 署名関係者は、その引数がメッセージＭおよび各コミットメントＲであるハッ
シュ関数ｈを適用し、バイナリトレインを得る。このバイナリトレインから、署
名関係者は、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人は、前記に明記されたプロセスを適用することによりチャレンジｄから応
答Ｄを計算する。

【００１７】 （チェック動作） メッセージＭの真正性を証明するため、コントローラと呼ばれるエンティティ
が、署名済みのメッセージをチェックする。証明済みのメッセージを有する前記
コントローラエンティティは、以下のように進むことによってチェック動作を実
行する。 ・コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、
コントローラは、コミットメントＲ、チャレンジｄおよび応答Ｄが、以下のタイ
プの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、コントローラは、メッセージＭ、チャレンジｄおよびコミットメント
Ｒがハッシュ関数を満たすことを確認する。 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） ・コントローラがチャレンジｄおよび応答Ｄを有する場合 コントローラがチャレンジｄおよび応答Ｄを有する場合には、コントローラは
、各チャレンジｄおよび各応答Ｄに基づき、コミットメントＲ'を再構築し、以
下のタイプの関係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または以下のタイプの関係性： Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 そして、コントローラは、メッセージＭおよびチャレンジｄがハッシュ関数を
満たすことを確認する。 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） ・コントローラが、コミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲおよび応答Ｄを有する場合には、コントロ
ーラは、ハッシュ関数を適用し、ｄ'を再構築する。 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） そして、コントローラ装置が、コミットメントＲ、チャレンジｄ'よび応答Ｄ
が、以下のタイプの関係性である Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係性である Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ を満たすことを確認する。

【００１８】 （システム） 本発明は、コントローラサーバに対して、エンティティの真正性、および／ま
たは、このエンティティに関連付けられたメッセージＭの完全性を証明するよう
に設計されるシステムにも関する。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべｔま
たは一部によって確立される。ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される
公開係数ｎと、 公開指数ｖとである。 前記係数、前記指数および前記値は、以下のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によってリンクされる。 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
ｇ_i ²である。基数ｇ_iは、２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。

【００１９】 前記システムは、特に、例えば、マイクロプセッサベースのバンクカードの形
を取るノマッドオブジェクトに含まれる証人装置を含む。証人装置は、ｆ個の素
因数ｐ_iおよび／または素因数のチャイニーズ剰余の、および／または公開係数
ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、および／または秘密値Ｑ_iおよ
び公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ_i,j≡Ｑ_iｍｏｄｐ_j）を含むメモリ
ゾーンを含む。また、証人装置は、 証人装置のこれ以降ランダム値生成手段と呼ばれるランダム値生成手段と、 これ以降証人装置のコミットメントＲの計算用手段と呼ばれる計算手段、 を含む。 計算手段は、モジュロｎの整数環でコミットメントＲを計算する。各コミット
メントを、 ・以下のタイプの演算を実行することによって、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
は０＜ｒ＜ｎである。 ・または、以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iに関連付けられたランダム
値であり、各ｒ_iはランダム値｛ｒ₁，ｒ₂，…ｒ_f｝の集合体に属し、そしてチャ
イニーズ剰余法を適用することのどちらかによって、 計算する。

【００２０】 証人装置は、 証人装置のチャレンジｄの受信用装置と呼ばれる1以上のチャレンジｄを受け
取るための受信手段であって、各チャレンジｄが、初歩チャレンジと呼ばれるｍ
個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行することによって、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄｐ_i そして、チャイニーズ剰余法を適用することのどちらかによって、 応答Ｄの各チャレンジｄに基づき、計算用の証人装置の応答Ｄの計算用手段
と呼ばれる計算手段と を含む。 証人装置は、1以上のコミットメントＲおよび1以上の応答Ｄを送信するための
送信手段も含む。コミットメントＲがあるので、チャレンジｄと同じくらい多く
の応答Ｄがあり、Ｒ，ｄ，Ｄの各群が｛Ｒ，ｄ，Ｄ｝と参照される三つ組を形成
する。

【００２１】 （エンティティの真正性の証明の場合） 第１実施態様では、デモンストレータと呼ばれているエンティティの真正性を
コントローラと呼ばれているエンティティに証明するように、本発明に従ったシ
ステムを設計する。 前記システムは、それがデモンストレータエンティティと関連付けられたデモ
ンストレータ装置を含んでいる。前記デモンストレータ装置は、相互接続手段に
よってデモンストレータ装置と相互接続される。それは、特に、例えば、マイク
ロプロセッサベースのバンクカード内のマイクロプロセッサの形式などのノマッ
ドオブジェクトの論理マイクロ回路の形を取る。 前記システムは、コントローラエンティティに関連付けられたコントローラ装
置も含む。前記コントローラ装置は、特に、端末または遠隔サーバの形を取る。
前記コントローラ装置は、特にデータ処理通信網を通して、デモンストレータ装
置へのその電気的、電磁的、光学的、または音響的な接続のための接続手段を含
む。

【００２２】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、ここに前記に
明記されたプロセスを適用することによって、各コミットメントＲを計算する。
証人装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通してデ
モンストレータ装置に送信するために、証人装置の送信手段と呼ばれる送信の手
段を有する。デモンストレータ装置は、各コミットメントＲのすべてまたは一部
を接続手段を通してコントローラ装置に送信するために、デモンストレータの送
信手段と呼ばれる送信手段も有する。 ・ステップ２のチャレンジｄという行為 コントローラ装置は、コミットメントＲのすべてまたは一部を受け取った後、
コミットメントＲの数に数で等しいチャレンジｄの生成のためのチャレンジ生成
手段を含む。コントローラ装置は、接続手段を通してデモンストレータにチャレ
ンジｄを送信するために、コントローラの送信手段として知られている送信手段
も有する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
タ装置から着信する各チャレンジｄを受信する。証人装置の応答Ｄの計算手段は
、ここに前記に明記されたプロセスを適用することによってチャレンジｄから応
答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄをコントローラに送信する。コント
ローラは、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００２３】 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータの送信手段が、各コミットメントＲの一部を送信した場合に
は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
は、各チャレンジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計算
し、この再構築されたコミットメントＲ’が、以下のタイプの関係 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置の比較手段は、それぞれの再構築されたコミットメントＲ’
を受信された各コミットメントＲのすべてまたは一部と比較する。

【００２４】 （第２の場合：デモンストレータが、各コミットメントＲの全体性を送信） デモンストレータの送信手段が各コミットメントＲの全体性を送信した場合に
は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
および比較手段が、各コミットメントＲが次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００２５】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることができる第２代替実施態様においては、
本発明に従ったシステムは、コントローラとして知られているエンティティに対
し、デモンストレータとして知られているエンティティに関連付けられたメッセ
ージＭの完全性の証明を与えるように設計される。前記システムは、それがデモ
ンストレータエンティティに関連付けられたデモンストレータ装置を含んでいる
。前記デモンストレータ装置は相互接続手段によって証人装置と相互接続される
。前記デモンストレータ装置は、特に、マイクロプロセッサベースのバンクカー
ド内のマイクロプロセッサの形などのノマッドオブジェクト内の論理マイクロ回
路の形を取りうる。前記システムは、コントローラエンティティに関連付けられ
たコントローラ装置も含む。前記コントローラ装置は、特に、端末または遠隔サ
ーバの形を取る。前記コントローラ装置は、特にデータ処理通信網を通して、デ
モンストレータ装置へのその電気的、電磁的、光学的、または音響的な接続のた
めの接続手段を含む。

【００２６】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。証人
装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲのす
べてまたは一部を送信するために、証人装置の送信手段と呼ばれる送信手段を有
する。 ・ステップ２のチャレンジｄという行為 デモンストレータ装置は、デモンストレータの計算手段と呼ばれる計算手段を
含み、その引数がメッセージＭおよびコミットメントＲのすべてまたは一部であ
るハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算する。デモンス
トレータ装置は、接続手段を通してコントローラ装置へ各トークンＴを送信する
ために、デモンストレータ装置の送信手段として知られる送信手段も含む。コン
トローラ装置は、トークンＴを受信した後、コミットメントＲの数に数で等しい
チャレンジｄの生成のためのチャレンジ生成手段も有する。コントローラ装置は
、接続手段を通してデモンストレータにチャレンジｄを送信するために、これ以
降、コントローラの送信手段と呼ばれる送信手段も有する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
タ装置から着信する各チャレンジｄを受信する。証人装置の応答Ｄの計算手段は
、ここに前記に明記されたプロセスを適用することによって、チャレンジｄから
応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、コントローラに各応答Ｄを送信する。コント
ローラ装置は、第１に、各チャレンジｄおよび各応答Ｄから再構築されたコミッ
トメントＲ’を計算するために、第２に、引数として、メッセージＭおよび各再
構築されたコミットメントＲ’のすべてまたは一部を有するハッシュ関数ｈを適
用することによって、トークンＴ’を計算するために、ｍ個の公開値Ｇ₁，Ｇ₂，
．．．，Ｇ_mを有する、これ以降、コントローラ装置の計算手段と呼ばれる計算
手段も備え、この再構築されたコミットメントＲ’が、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置は、計算されたトークンＴ’を受信されたトークンＴと比較
するために、これ以降、コントローラ装置の比較手段として知られる比較手段も
有する。

【００２７】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらかまたは両方と組み合わせることができる第３
代替実施態様においては、本発明に従ったシステムは、署名エンティティと呼ば
れているエンティティによって、これ以降、署名済みのメッセージとして知られ
ているメッセージＭのデジタル署名を証明するように設計される。署名済みメッ
セージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【００２８】 （署名動作） 前記システムは、それが署名エンティティと関連付けられた署名デバイスを含
んでいる。前記署名デバイスは、相互接続手段によって証人装置と相互接続され
る。それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイ
クロプロセッサの形などのノマッドオブジェクト内の論理マイクロ回路の形を取
りうる。

【００２９】 前記システムは、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。証人
装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲのす
べてまたは一部を送信するために、これ以降、証人装置の送信手段と呼ばれる送
信手段を有する。 ・ステップ２のチャレンジｄという行為 署名デバイスは、これ以降、署名デバイスの計算手段と呼ばれる計算手段を含
み、その引数がメッセージＭおよびコミットメントＲのすべてまたは一部である
ハッシュ関数ｈを適用し、バイナリトレインを計算し、このバイナリトレインか
ら、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信手段は、相互接続手段を通して署名デバイスか
ら着信する各チャレンジｄを受信する。証人装置の応答Ｄを計算するための手段
は、ここに前記に明記されたプロセスを適用することによって、チャレンジｄか
ら応答Ｄを計算する。 証人装置は、相互接続手段を通して署名デバイスに応答Ｄを送信するために、
これ以降、証人装置の送信の手段と呼ばれる送信手段を含む。

【００３０】 （チェック動作） メッセージＭの真正性を証明するために、コントローラとして知られているエ
ンティティは、署名済みメッセージをチェックする。 システムは、コントローラエンティティと関連付けられたコントローラ装置を
含む。前記コントローラ装置は、特に、端末または遠隔サーバの形を取る。前記
コントローラ装置は、特に、データ処理通信網を通して署名デバイスへのその電
気的、電磁的、光学的、または音響の接続のための接続手段を含む。

【００３１】 署名エンティティと関連付けられた署名デバイスは、接続手段を通した署名済
みメッセージの、コントローラ装置への送信のための、署名デバイスの送信手段
として知られている送信手段を含む。このようにして、コントローラ装置は、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名済みのメッセージを有する。

【００３２】 コントローラ装置は、 −これ以降、コントローラ装置の計算手段と呼ばれる計算手段と、 −これ以降、コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００３３】 ・コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
は、コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャレ
ンジｄおよび応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、コントローラ装置の計算手段および比較手段は、メッセージＭ、チャ
レンジｄおよびコミットメントＲが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認する。

【００３４】 ・コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合 コントローラがチャレンジｄおよび応答Ｄを有する場合には、コントローラは
、各チャレンジｄおよび各応答Ｄに基づき次のタイプの関係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすコミットメントＲ'を再構築する。 そして、コントローラが、メッセージＭおよびチャレンジｄが以下のハッシュ
関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすことを確認する。

【００３５】 ・コントローラがコミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲおよび応答Ｄを有する場合には、コントロ
ーラ装置の計算手段は、ハッシュ関数を適用し ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるようにｄ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、コミットメントＲ、
チャレンジｄ'および応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００３６】 （端末装置） 本発明は、エンティティに関連付けられた端末装置にも関する。端末装置は、
特に、例えば、マイクロプロセッサベースのバンクカード内のマイクロプロセッ
サの形など、ノマッドオブジェクトの形を取る。端末装置は、コントローラサー
バに対し、あるエンティティの真正性、および／または、このエンティティに関
連付けられたメッセージＭの完全性を証明するように設計される。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべてま
たは一部によって確立される。 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）によって構成される公開
係数ｎと、 公開指数ｖとであり、 前記係数、前記指数、および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎまたはＧ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関係付けられる。 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
ｇ_i ²である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘの中で解くことができる。 前記端末装置は、ｆ個の素因数ｐ_iおよび／または素因数のチャイニーズ剰余
の、および／または公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、
および／または秘密値Ｑ_iの、および公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ _i,j ≡Ｑ_iｍｏｄｐ_j）を含むメモリゾーンを備える証人装置を含む。

【００３７】 証人装置は、 証人装置のランダム値生成手段と呼ばれるランダム値生成手段と、 モジュロｎの整数環のコミットメントＲを計算するために、これ以降、証人
装置のコミットメントＲを計算するために、これ以降、証人装置のコミットメン
トＲのための計算手段と呼ばれる計算手段と を含む。各コミットメントが、 ・以下のタイプの演算を実行することによって、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
は０＜ｒ＜ｎとなる。 ・または、以下のタイプの演算を実行することによって、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように、素数ｐ_iと関連付けられたランダ
ム値であって、各ｒ_iは、ランダム値生成手段によって生じるランダム｛ｒ₁，ｒ ₂ ，…ｒ_f｝の集合体に属し、そして、チャイニーズ剰余を適用することのどちら
かによって、計算される。

【００３８】 証人装置は、 1以上のチャレンジｄを受信するために、これ以降、証人装置のチャレンジ
ｄの受信のための主だと呼ばれる受信手段であって、各チャレンジｄが、これ以
降初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行すること、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用すること のどちらかによって、 応答Ｄの各チャレンジｄに基づく、計算のための証人装置の応答Ｄの計算のた
めの手段と呼ばれる計算手段と も含む。 前記証人装置は、1以上のコミットメントＲおよび1以上の応答Ｄを送信するた
めに送信手段も含む。コミットメントＲがあるため、チャレンジｄと同じくらい
多くの応答Ｄがある。数Ｒ，ｄ，Ｄの各群は、｛Ｒ，ｄ，Ｄ｝と参照される三つ
組を形成する。

【００３９】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従った端末装置は、デモンストレータ
と呼ばれているエンティティの真正性をコントローラと呼ばれているエンティテ
ィに証明するように設計される。 前記端末装置は、それがデモンストレータエンティティに関連付けられたデモ
ンストレータ装置を含んでいる。前記デモンストレータ装置は、相互接続手段に
よってデモンストレータ装置と相互接続している。それは、特に、例えば、マイ
クロプロセッサベースのバンクカード内のマイクロプロセッサという形などのノ
マッドオブジェクト内の論理マイクロ回路という形を取りうる。 前記デモンストレータ装置は、特にデータ処理通信網を通して、コントローラ
エンティティに関連付けられたコントローラ装置へのその電気的、電磁的、光学
的または音響の接続のための接続手段も含む。

【００４０】 前記コントローラ装置は、特に端末または遠隔サーバの形を取る。 前記コントローラ装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって各コミットメントＲを計算する。 証人装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通して
デモンストレータ装置に送信するために、これ以降、証人装置の送信手段と呼ば
れる送信手段を有する。デモンストレータ装置は、各コミットメントＲのすべて
または一部をコントローラ装置に送信するために、これ以降、デモンストレータ
の送信手段と呼ばれる送信手段も有する。 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為 証人装置のチャレンジｄの受信手段は、コントローラ装置とデモンストレータ
装置の間の接続手段を通して、およびデモンストレータ装置と証人装置の間の相
互接続手段を通して、コントローラ装置から着信する各チャレンジｄを受信する
。証人装置の応答Ｄの計算手段は、ここに前記に明記されるプロセスを適用する
ことにより、チャレンジｄから応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄをチェックを実行するコントローラ
に送信する。

【００４１】 （メッセージの完全性の証明の場合） 第１代替実施態様と組み合わせることのできる第２代替実施態様においては、
本発明に従った端末装置は、コントローラとして知られるエンティティに対し、
デモンストレータとして知られるエンティティに関連付けられたメッセージＭの
完全性の証明を与えるように設計される。前記端末装置は、それがデモンストレ
ータエンティティに関連付けられたデモンストレータ装置を含んでいる。前記デ
モンストレータ装置は、相互接続手段によって証人装置と相互接続されている。
それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイクロ
プロセッサの形などの、ノマッドオブジェクト内の論理マイクロ回路の形を取り
うる。前記デモンストレータ装置は、特に、データ処理通信網を通したコントロ
ーラエンティティに関連付けられたコントローラ装置へのその電気的、電磁的、
光学的または音響の接続のための接続手段を含む。前記コントローラ装置は、特
に、端末または遠隔サーバの形を取る。

【００４２】 前記端末装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算手段が、ここに前記に明
記されたプロセスを適用することによって、各コミットメントＲを計算する。証
人装置は、相互接続手段を通してデモンストレータ装置に各コミットメントＲの
すべてまたは一部を送信するために、これ以降、証人装置の送信手段と呼ばれる
送信の手段を有する。 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為 デモンストレータ装置は、これ以降、デモンストレータの計算手段と呼ばれる
計算手段を含み、その引数が、メッセージＭおよび各コミットメントＲのすべて
または一部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算
する。デモンストレータ装置は、コントローラ装置に、接続手段を通して、各ト
ークンＴを送信するために、これ以降、デモンストレータ装置の送信手段として
知られている送信手段も有する。 前記コントローラは、トークンＴを受信した後、コミットメントＲの数に等し
い数のチャレンジｄを作成する。 証人装置のチャレンジｄの受信手段は、コントローラ装置とデモンストレータ
装置の間の接続手段を通して、およびデモンストレータ装置と証人装置の間の相
互接続手段を通して、コントローラ装置から着信する各チャレンジｄを受信する
。証人装置の応答Ｄの計算の手段は、ここに前記に明記されたプロセスを適用す
ることによって、チャレンジｄから応答Ｄを計算する。 ・ステップ４のチェックという行為 デモンストレータの送信手段は、各応答Ｄを、チェックを実行するコントロー
ラ装置に送信する。

【００４３】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらかまたは両方と組み合わせることのできる第３
代替実施態様においては、本発明に従った端末装置が、署名エンティティと呼ば
れるエンティティによる、これ以降、署名済みメッセージとして知られるメッセ
ージＭのデジタル署名を作成するように設計される。署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。 前記端末装置は、それが署名エンティティと関連付けられた署名デバイスを含
んでいる。前記署名デバイスは、相互接続手段によって証人装置と相互接続され
る。それは、特に、例えば、マイクロプロセッサベースのバンクカード内のマイ
クロプロセッサの形などの、ノマッドオブジェクト内の論理マイクロ回路の形を
取りうる。前記デモンストレータ装置は、データ処理通信網を通したコントロー
ラエンティティと関連付けられたコントローラ装置への、その電気的、電磁的、
光学的、または音響の接続のための接続手段を含む。前記コントローラ装置は、
特に、端末または遠隔サーバの形を取る。

【００４４】 （署名動作） 前記端末装置は、以下のステップを実行するために使用される。 ・ステップ１のコミットメントＲという行為 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、ここに前記に
明記されたプロセスを適用することによって、各コミットメントＲを計算する。
証人装置は、相互接続手段を通して署名デバイスに各コミットメントＲのすべて
または一部を送信するために、これ以降、証人装置の送信手段と呼ばれる送信の
手段を有する。 ・ステップ２のチャレンジｄという行為 署名デバイスは、これ以降、署名デバイスの計算手段と呼ばれる計算手段を含
み、その引数がメッセージＭおよび各コミットメントＲのすべてまたは一部であ
るハッシュ関数ｈを適用し、バイナリトレインを計算し、このバイナリトレイン
から、その数がコミットメントＲの数に等しいチャレンジｄを抽出する。 ・ステップ３の応答Ｄという行為 証人装置のチャレンジｄの受信のための手段は、相互接続手段を通して署名デ
バイスから着信する各チャレンジｄを受信する。証人装置の応答Ｄを計算するた
めの手段は、ここに前記に明記されたプロセスを適用することによって、チャレ
ンジｄから応答Ｄを計算する。証人装置は、相互接続手段を通して、署名デバイ
スに応答Ｄを送信するために、これ以降、証人装置の送信の手段と呼ばれる送信
手段を含む。

【００４５】 （コントローラ装置） 本発明は、コントローラ装置にも関する。コントローラ装置は、特に、コント
ローラエンティティに関連付けられた端末または遠隔サーバの形を取る。コント
ローラ装置は、エンティティの真正性、および／または、このエンティティに関
連付けられたメッセージＭの完全性をチェックするように設計される。 この証明は、以下のパラメータまたはこれらのパラメータの派生物のすべてま
たは一部によって確立される。 ｍ組の公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）と、 コントローラ装置にとって、および関連付けられたコントローラエンティテ
ィにとって未知である前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積に
よって構成される公開係数ｎと、 公開指数ｖと 前記係数、前記指数、および前記値は、次のタイプの関係 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関連付けられ、ここで、Ｑ_iは、公開値Ｇ_Iに関連付けられたコントロ
ーラ装置にとって未知の秘密値を指定する。 指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータである。 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² である。基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、 等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる。

【００４６】 （エンティティの真正性の証明の場合） 第１代替実施態様においては、本発明に従ったコントローラ装置は、デモンス
トレータと呼ばれるエンティティおよびコントローラと呼ばれるエンティティの
真正性を証明するように設計される。 前記コントローラ装置は、デモンストレータエンティティと関連付けられたデ
モンストレータ装置への、特にデータ処理通信網を通した、その電気的、電磁的
、光学的、または音響の接続のための接続手段を含む。 前記コントローラ装置は、以下のステップを実行するために使用される。 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
う行為 前記コントローラ装置は、接続手段を通して、デモンストレータ装置から着信
するコミットメントＲのすべてまたは一部の受信のための手段も有する。 コントローラ装置は、各コミットメントＲのすべてまたは一部を受信した後、
コミットメントＲの数に等しい数のチャレンジｄの生成のためのチャレンジ生成
手段を有し、各チャレンジｄは、初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備
える。 コントローラ装置は、接続手段を通してデモンストレータにチャレンジｄを送
信するために、コントローラの送信手段と呼ばれる送信手段も有する。 ・ステップ３および４の応答Ｄという行為およびチェック行為 コントローラ装置は、 接続手段を通して、デモンストレータ装置から着信する応答Ｄの受信のため
の手段と、 これ以降、コントローラ装置の計算手段と呼ばれる計算手段と、 これ以降、コントローラ装置の比較手段と呼ばれる比較手段と を含む。 （第１の場合：デモンストレータが各コミットメントＲの一部を送信） デモンストレータの受信手段が各コミットメントＲの一部を受信すると、ｍ個
の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段が、各チ
ャレンジｄおよび各応答Ｄから、再構築されたコミットメントＲ’を計算し、こ
の再構築されたコミットメントは、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置の比較手段は、受信された各コミットメントＲのすべてまた
は一部と、各再構築されたコミットメントＲ’を比較する。 （第２の場合：デモンストレータが各コミットメントＲの全体性を送信） デモンストレータの送信手段が、各コミットメントＲの全体性を送信した場合
には、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手
段および比較手段が、各コミットメントＲが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。

【００４７】 （メッセージの完全性の証明の場合） 第１代替実施態様と結び付けることができる第２代替実施態様においては、本
発明に従ったコントローラ装置が、コントローラとして知られるエンティティに
対し、デモンストレータとして知られているエンティティと関連付けられたメッ
セージＭの完全性の証明を与えるように設計される。 前記コントローラ装置は、特にデータ処理通信網を通した、デモンストレータ
エンティティと関連付けられたデモンストレータ装置へのその電気的、電磁的、
光学的、または音響の接続のための接続手段を含む。 前記システムは、以下のステップを実行するために使用される。 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
う行為 前記コントローラ装置は、接続手段を通してデモンストレータ装置から着信す
るトークンＴの受信のための手段も有する。コントローラ装置は、トークンＴを
受信した後、コミットメントＲの数に数で等しいチャレンジｄの生成のためのチ
ャレンジ生成手段を有し、各チャレンジｄは、呼び出された初歩チャレンジの後
にここにｍ個の整数ｄ_iを備える。コントローラ装置は、接続手段を通してデモ
ンストレータへチャレンジｄを送信するために、これ以降、コントローラの送信
手段と呼ばれる送信手段も有する。 ・ステップ３および４の応答Ｄという行為およびチェック行為 コントローラ装置は、接続手段を通してデモンストレータ装置から着信する応
答Ｄの受信のための手段も含む。前記コントローラ装置は、第１に、各チャレン
ジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計算するために、お
よび第２に、メッセージＭおよび各再構築されたコミットメントＲ’のすべてお
よび一部として有するハッシュ関数ｈを適用することによってトークンＴ’を計
算するために、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する、これ以降、コン
トローラ装置の計算手段と呼ばれる計算手段も含み、この再構築されたコミット
メントＲ’は、次のタイプの関係性 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす。 コントローラ装置は、計算されたトークンＴ’を受信されたトークンＴと比較
するために、これ以降、コントローラ装置の比較手段と呼ばれる比較手段も有す
る。

【００４８】 （メッセージのデジタル署名およびその真正性の証明） 第１の２つの実施態様のどちらか、または両方と組み合わせることのできる第
３代替実施態様のいては、本発明に従ったコントローラ装置は、コントローラと
呼ばれるエンティティによって署名済みのメッセージをチェックすることによっ
て、メッセージＭの真正性を証明するように設計される。 ハッシュ関数ｈ（メッセージ，Ｒ）を有する署名エンティティに関連付けられ
た署名デバイスによって送信される署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【００４９】 （チェック動作） 前記コントローラ装置は、署名エンティティに関連付けられた署名デバイスへ
の、特にデータ処理通網を通した、その電気的、電磁的、光学的または音響の接
続のための接続手段を備える。前記コントローラ装置は、接続手段を通して、署
名済みメッセージを、署名されたデバイスから受信する。 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。 ・コントローラ装置が、コミットメントＲ、チャレンジｄ、応答Ｄを有する場
合 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合、コン
トローラ装置の計算手段および比較手段は、コミットメントＲ、チャレンジｄお
よび応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを確認する。 そして、監査デバイスの計算手段および比較手段は、メッセージＭ、チャレン
ジｄおよびコミットメントＲが、ハッシュ関数 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認する。 ・コントローラ装置がチャレンジｄおよび応答Ｄを有する場合 コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合には、コントロ
ーラの計算手段は、各チャレンジｄおよび各応答Ｄに基づいて、次のタイプの関
係性 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすコミットメントＲ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、メッセージＭおよび
チャレンジｄが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすのを確認する。 ・コントローラ装置がコミットメントＲおよび応答Ｄを有する場合 コントローラ装置が、コミットメントＲおよび応答Ｄを有する場合、コントロ
ーラ装置の計算手段は、ハッシュ関数を適用し、 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるように、ｄ'を計算する。 そして、コントローラ装置の計算手段および比較手段は、コミットメントＲ、
チャレンジｄ'および応答Ｄが、次のタイプの関係性 Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係性 Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ を満たすのを確認する。

【００５０】 （説明） ＧＱ技術の目標を想起することができる。つまり、それはメッセージのデジタ
ル署名だけではなくエンティティおよび関連付けられたメッセージの動的認証で
ある。

【００５１】 ＧＱ技術の標準バージョンは、ＲＳＡ技術を利用する。しかしながら、ＲＳＡ
技術は、真に因数分解に依存するが、この依存は、ＲＳＡ技術を実行しているデ
ジタル署名の多様な規格に対するいわゆる倍数的に増加する攻撃に見られるよう
に、同等ではなく、実際にはかなりそれと異なっている。

【００５２】 ＧＱ２技術という文脈では、本発明のこの部分は、さらに明確には動的認証お
よびデジタル署名という文脈でのＧＱ２鍵の集合の使用に関する。ＧＱ２技術は
ＲＳＡ技術を使用しない。目標は２つの部分を有する。つまり、第１に、ＲＳＡ
技術に関して性能を改善し、第２にＲＳＡ技術に固有の問題を妨げることである
。ＧＱ２秘密鍵は、係数ｎの因数分解である。ＧＱ２三つ組に対する攻撃は、係
数ｎの因数分解に相当する。このときには同等がある。ＧＱ２技術を使用すると
、署名をするエンティティまたは認証されるエンティティ、およびチェックを行
うエンティティの両方にとっての作業量が削減される。機密保護およぎ性能とい
う点での、因数分解の問題の改善された使用を通して、ＧＱ２技術はＲＳＡ技術
に匹敵する。

【００５３】 ＧＱ２技術は、１より大きい1以上の小さな整数、例えば、基数と呼ばれ、ｇ_i と参照されるｍ個の小さい整数（ｍ≧１）を使用する。基数はｍ＞１でｇ_iから
ｇ_mで固定されるため、公開検鍵＜ｖ，ｎ＞が、以下のように選択される。公開
認証指数ｖは２^kであり、ここで、ｋは１（ｋ≧２）を上回る小さい整数である
。公開係数ｎは、基数より大きい少なくとも２つの素因数、例えばｐ_jによって
ｐ₁…ｐ_fから参照されるｆ個の素因数（ｆ≧２）の積である。ｆ個の素因数は、
公開係数ｎが、ｇ₁からｇ_mｍ個の基数のそれぞれに関して以下の特性を有するよ
うに選択される。 第１に、等式（数１）および（数２）は、モジュロｎの整数環のｘについて解
くことができない。つまり、ｇ_iおよび？ｇ_iは２つの非平方剰余（ｍｏｄ ｎ）
である。

【数１】

【数２】 第２に、等式（数３）は、モジュロｎの整数環のｘについて解くことができる
。

【数３】

【００５４】 公開認証鍵＜ｖ，ｎ＞は、ｍ≧１でｇ₁からｇ_mの基数に従って固定されている
ため、各基数ｇ_iが公開値Ｇ_iと秘密値Ｑ_Iを備える値ＧＱ２の組を決定する。ｍ
組の参照されたＧ₁Ｑ₁からＧ_mＱ_mを指定する。公開値Ｇ_iは、基数ｇ_Iの平方であ
る。つまり、Ｇ_i＝ｇ_i ²を指定する。秘密値Ｑ_iは、等式（数３）に対する解の１
つであるか、さもなければこのような解の逆数（ｍｏｄ ｎ）である。

【００５５】 ちょうど係数ｎがｆ個の素数に分解されるように、モジュロｎの整数環はＣＧ
（ｐ₁）からＣＧ（ｐ_f）というｆ個のガロア体（Galois field）に分解される。
ここにＣＧ（ｐ_j）での等式（数１）、（数２）、および（数３）の投射がある
。

【数４】

【数５】

【数６】

【００５６】 各秘密値Ｑ_iは、素因数あたり１個づつｆ個の秘密構成要素によって一意に表
すことができる。Ｑ_i,j≡Ｑ_i（ｍｏｄ ｐ_j）．各秘密構成要素Ｑ_i,jは等式（数
６）に対する解であるか、またはさもなければこのような解の逆数（ｍｏｄ ｐ_j ）である。各等式（数６）に対するすべての考えられる解が計算された後に、チ
ャイニーズ剰余技法が、等式（数３）に対するすべての考えられる解を得るため
にＱ_i,1からＱ_i,f：Ｑ_iというｆ個の構成要素＝チャイニーズ剰余（Ｑ_i,1，Ｑ_{i, 2} ，…Ｑ_i,f）に基づき、秘密値Ｑ_iごとにすべての考えられる値をセットアップ
する。

【００５７】 以下は、チャイニーズ剰余技法である。０＜ａ＜ｂとなるように相互に素数ａ
とｂである２つの正の整数、および０からａ−１のＸ_aおよび０からｂ−１のＸ_b という２つの構成要素があるとする。Ｘ_a≡Ｘ（ｍｏｄ ａ）およびＸ_b≡Ｘ（ｍ
ｏｄ ｂ）となるように、Ｘ＝チャイニーズ剰余（Ｘ_a，Ｘ_b）、つまり０からａ
．ｂ−１の一意のＸを決定することが必要とされる。以下は、チャイニーズ剰余
パラメータである。つまり、α≡｛ｂ（ｍｏｄ ａ）｝^-1（ｍｏｄ ａ）。以下は
チャイニーズ剰余演算である。つまり、ε≡ Ｘ_b（ｍｏｄ ａ）、δ＝ Ｘ_a-ε、
δが負である場合には、δをδ＋ａと、γ≡α．δ（ｍｏｄ ａ）と、Ｘ＝γ．
ｂ＋Ｘ_bとに置換する。

【００５８】 素因数が最小のｐ₁から大きい方のｐ_fへと昇順で並べられるとき、チャイニー
ズ剰余パラメータは以下となることがある（それらのｆ−１がある、つまり素因
数より１少ない）。第１チャイニーズ剰余パラメータは、α≡｛ｐ₂（ｍｏｄ ｐ ₁ ）｝^-1（ｍｏｄ ｐ₁）である。第２チャイニーズ剰余パラメータはβ≡｛ｐ₁．
ｐ₂（ｍｏｄ ｐ₃）｝^-1（ｍｏｄ ｐ₃）である。ｉ番目のチャイニーズ剰余パラ
メータは、λ≡｛ｐ₁．ｐ₂．…ｐ_i-1（ｍｏｄ ｐ_i）｝^-1（ｍｏｄ ｐ_i）である
。等々。最後に、ｆ−１個のチャイニーズ剰余演算で第１結果（ｍｏｄ ｐ₂にｐ ₁ をかける）が第１パラメータで得られてから、第２結果（ｍｏｄｐ₁．ｐ₂にｐ₃ をかける）が第２パラメータで得られ、結果（ｍｏｄ ｐ₁．…ｐ_f-1にｐ_fをかけ
る）、すなわち（ｍｏｄ ｎ）が得られまで等々である。

【００５９】 秘密鍵ＧＱ２の多様な性質を表す、秘密鍵ＧＱ２のいくつかの考えられる描写
がある。多様な描写は同等であることが判明する。つまり、それらはすべて、真
の秘密ＧＱ２件である係数ｎの因数分解の知識に相当する。描写が真に署名エン
ティティまたは自己認証エンティティの動きに影響を及ぼすのであれば、それは
コントローラエンティティの動きには影響を及ぼさない。 ここに、ＧＱ２秘密鍵の考えられる３つの主要な描写がある。 １）ＧＱ技術での標準表記は、ｍ個の秘密値Ｑ_iと公開認証鍵＜ｖ，ｎ＞の記
憶から成り立つ。ＧＱ２においては、この描写には、以下の２つが匹敵する。２
）作業量という点での最適表記は、公開指数ｖ、ｆ個の素因数ｐ_j、ｍ．ｆ個の
秘密構成要素Ｑ_ijおよびチャイニーズ剰余のｆ−１個のパラメータを記憶するこ
とにある。３）秘密鍵サイズという点での最適表記は、公開指数ｖ、ｍ個の基数
ｇ_iおよびｆ個の素因数ｐ_jを記憶すること、そして、ｍ個の秘密値Ｑ_iおよび係
数ｎをセットアップして、第１描写に戻るか、またはさもなければｍ．ｆ個の秘
密構成要素Ｑ_i,jおよびチャイニーズ剰余のｆ−１個のパラメータをセットアッ
プして第２描写に戻るかのどちらかによって各使用を開始することにある。

【００６０】 署名または自己認証エンティティは、すべて同じ基数を使用できる。それ以外
に示されていない限り、ｇ₁からｇ_mのｍ個の基数は、有利なことにｍ個の第１素
数となることがある。

【００６１】 動的認証機構またはデジタル署名機構の機密保護は係数の分解の知識に同等で
あるため、ＧＱ２技術は同じ係数を使用する２つのエンティティを単に区別する
ために使用することはできない。一般的に、それ自体を認証するまたは署名する
各エンティティは専用のＧＱ２係数を有する。しかしながら、４つの素因数でＧ
Ｑ２係数を指定することは可能であり、その内の２つはあるエンティティによっ
て知られており、他の２つは別のエンティティによって知られている。

【００６２】 ここでは、ｋ＝６がｖ＝６４を示し、ｍ＝３が３つの基数、ｇ₁＝３，ｇ₂＝５
および、ｇ₃＝７を示し、ｆ＝３、つまり２つが３（ｍｏｄ ４）に一致し、１つ
が５（ｍｏｄ ８）に一致する３つの素因数を含む係数であるＧＱ２鍵の第１集
合がある。ｇ＝２が、５（ｍｏｄ ８）に一致する素因数と相容れないことを注
意しなければならない。 ｐ₁＝０３ＣＤ２Ｆ４Ｆ２１Ｅ０ＥＡＤ６０２６６Ｄ５ＣＦＣＥＢＢ６９５４６
８３４９３Ｅ２Ｅ８３３ ｐ₂＝０５８３Ｂ０９７Ｅ８Ｄ８Ｄ７７７ＢＡＢ３８７４Ｆ２Ｅ７６６５９ＢＢ
６１４Ｆ９８５ＥＣ１Ｂ ｐ₃＝０Ｃ３６３ＣＤ９３Ｄ６Ｂ３ＦＥＣ７８ＥＥ１３Ｄ７ＢＥ９Ｄ８４３５４
Ｂ８ＦＤＤ６ＤＡ１ＦＤ ｎ＝ｐ₁．ｐ₂．ｐ₃＝ＦＦＦＦ８１ＣＥＡ１４９ＤＣＦ２Ｆ７２ＥＢ４４９Ｃ５
７２４７４２ＦＥ２Ａ３６３０Ｄ９ ０２ＣＣ００ＥＡＦＥＥ１Ｂ９５７Ｆ３ＢＤＣ４９ＢＥ９ＣＢＤ４Ｄ９４４６７
Ｂ７２ＡＦ２８ＣＦＢＢ２６１４４ ＣＤＦ４ＢＢＤＢＡ３Ｃ９７５７８Ｅ２９ＣＣ９ＢＢＥＥ８ＦＢ６ＤＤＤＤ Ｑ_1,1＝０２７９Ｃ６０Ｄ２１６６９６ＣＤ６Ｆ７５２６Ｅ２３５１２ＤＡＥ０
９０ＣＦＦ８７９ＦＤＤＥ Ｑ_2,1＝７Ｃ９７７ＦＣ３８Ｆ８４１３Ａ２８４Ｅ９ＣＥ４ＥＤＥＦ４ＡＥＦ３
５ＢＦ７７９３Ｂ８９ Ｑ_3,1＝６ＦＢ３Ｂ９ＣＯ５Ａ０３Ｄ７ＣＡＤＡ９Ａ３４２５５７１ＥＦ５ＥＣ
Ｃ５４Ｄ７Ａ７Ｂ６Ｆ Ｑ_1,2＝０３８８ＥＣ６ＡＡ１Ｅ８７６１３Ｄ８３２Ｅ２Ｂ８０Ｅ５ＡＥ８Ｃ１
ＤＦ２Ｅ７４ＢＦＦ５０２ Ｑ_2,2＝０４７９２ＣＥ７０２８４Ｄ１６Ｅ９Ａ１５８Ｃ６８８Ａ７Ｂ３ＦＥＡ
Ｆ９Ｃ４００５６４６９Ｅ Ｑ_3,2＝ＦＤＣ４Ａ８Ｅ５３Ｅ１８５Ａ４ＢＡ７９３Ｅ９３ＢＥＥ５Ｃ６３６Ｄ
Ａ７３１ＢＤＣＡ４Ｅ Ｑ_1,3＝０７ＢＣ１ＡＢ０４８Ａ２ＥＡＦＤＡＢ５９ＢＤ４０ＣＣＦ２Ｆ６５７
ＡＤ８Ａ６Ｂ５７３ＢＤＥ Ｑ_2,3＝０ＡＥ８５５１Ｅ１１６Ａ３ＡＣ０８９５６６ＤＦＤＢ３ＡＥ００３Ｃ
Ｆ１７４ＦＣ４Ｅ４８７７ Ｑ_3,3＝０１６８２Ｄ４９００４１９１３Ａ４ＥＡ５Ｂ８０Ｄ１６Ｂ６８５Ｅ４
Ａ６ＤＤ８８０７０５０１ Ｑ₁＝Ｄ７Ｅ１ＣＡＦ２８１９２ＣＥＤ６５４９ＦＦ４５７７０８Ｄ５０Ａ７４
８１５７２ＤＤ５Ｆ２Ｃ３３５Ｄ８ Ｃ６９Ｅ２２５２１Ｂ５１０Ｂ６４４５４ＦＢ７Ａ１９ＡＥＣ８Ｄ０６９８５５
５８Ｅ７６４Ｃ６９９１Ｂ０５ＦＣ２Ａ Ｃ７４Ｄ９７４３４３５ＡＢ４Ｄ７ＣＦ０ＦＦ６５５７ Ｑ₂＝ＣＢ１ＥＤ６Ｂ１ＤＤ６４９Ｂ８９Ｂ９６３８ＤＣ３３８７６Ｃ９８ＡＣ
７ＡＦ６８９Ｅ９Ｄ１３５９Ｅ４ ＤＢ１７５６３Ｂ９Ｂ３ＤＣ５８２Ｄ５２７１９４９Ｆ３ＤＢＡ５Ａ７０Ｃ１０
８Ｆ５６１Ａ２７４４０５Ａ５ＣＢ８ ８２２８８２７３ＡＤＥ６７３５３Ａ５ＢＣ３１６Ｃ０９３ Ｑ₃＝０９ＡＡ６Ｆ４９３０Ｅ５１Ａ７０ＣＣＤＦＡ７７４４２Ｂ１０７７０Ｄ
Ｄ１ＣＤ７７４９０Ｅ３３９８Ａ ＡＤ９ＤＣ５０２４９Ｃ３４３１２９１５Ｅ５５９１７Ａ１ＥＤ４Ｄ８３ＡＡ３
Ｄ６０７Ｅ３ＥＢ５Ｃ８Ｂ１９７ ６９７２３８５３７ＦＥ７Ａ０１９５Ｃ５Ｅ８３７３ＥＢ７４Ｄ

【００６３】 以下は、ｋ＝９、すなわちｖ＝５１２、ｍ＝２、すなわち２つの基数、ｇ₁＝
２とｇ₂＝３、およびｆ＝３が３（ｍｏｄ ４）に一致する３つの素因数を含む係
数を示すＧＱ２鍵の第２集合である。 ｐ₁＝０３８５２１０３Ｅ４０ＣＤ４Ｆ０６ＦＡ７ＢＡＡ９ＣＣ８Ｄ５ＢＣＥ９
６Ｅ３９８４５７０ＣＢ ｐ₂＝０６２ＡＣ９ＥＣ４２ＡＡ３Ｅ６８８ＤＣ２ＢＣ８７１Ｃ８３１５ＣＢ９
３９０８９Ｂ６１ＤＤ７ ｐ₃＝０ＢＣＡＤＥＣ２１９Ｆ１ＤＦＢＢ８ＡＢ５ＦＥ８０８Ａ０ＦＦＣＢ５３
４５８２８４ＥＤ８Ｅ３ ｎ＝ｐ₁．ｐ₂．ｐ₃＝ＦＦＦＦ５４０１ＥＣＤ９Ｅ５３７Ｆ１６７Ａ８０Ｃ０Ａ
９１１１９８６Ｆ７Ａ８ＥＢＡ４Ｄ ６６９８ＡＤ６８ＦＦ６７０ＤＥ５Ｄ９Ｄ７７ＤＦＦ００７１６ＤＣ７５３９Ｆ
７ＣＢＢＣＦ９６９Ｅ７３Ａ０Ｃ４９ ７６１Ｂ２７６Ａ８Ｅ６Ｂ６９７７Ａ２１Ｄ５１６６９Ｄ０３９Ｆ１Ｄ７ Ｑ_1,1＝０２６０ＢＣ７２４３Ｃ２２４５０Ｄ５６６Ｂ５Ｃ６ＥＦ７４ＡＡ２９
Ｆ２Ｂ９２７ＡＦ６８Ｅ１ Ｑ_2,1＝０３２６Ｃ１２ＦＣ７９９１ＥＣＤＣ９ＢＢ８Ｄ７Ｃ１Ｃ４５０１ＢＥ
１ＢＡＥ９４８５３００Ｅ Ｑ_1,2＝０２Ｄ０Ｂ４ＣＣ９５Ａ２ＤＤ４３５Ｄ０Ｅ２２ＢＦＢＢ２９Ｃ５９４
１８３０６Ｆ６ＣＤ００Ａ Ｑ_2,2＝Ｏ４５ＥＣＢ８８１３８７５８２Ｅ７Ｃ５５６８８７７８４Ｄ２６７１
ＣＡ１１８Ｅ２２ＦＣＦ２ Ｑ_1,3＝Ｂ０Ｃ２Ｂ１Ｆ８０８Ｄ２４Ｆ６３７６Ｅ３Ａ５３４ＥＢ５５５ＥＦ５
４Ｅ６ＡＥＦ５９８２ Ｑ_2,3＝０ＡＢ９Ｆ８１ＤＦ４６２Ｆ５８Ａ５２Ｄ９３７Ｅ６Ｄ８１Ｆ４８ＦＦ
Ａ４Ａ８７Ａ９９３５ＡＢ Ｑ₁＝２７Ｆ７Ｂ９ＦＣ８２Ｃ１９ＡＣＡＥ４７Ｆ３ＦＥ９５６０Ｃ３５３６Ａ
７Ｅ９０Ｆ８Ｃ３Ｃ５１Ｅ１３Ｃ ３５Ｆ３２ＦＤ８Ｃ６８２３ＤＦ７５３６８５ＤＤ６３５５５Ｄ２１４６ＦＣＤ
Ｂ９Ｂ２８ＤＡ３６７３２７ＤＤ６ ＥＤＤＡ０９２Ｄ０ＣＦ１０８Ｄ０ＡＢ７０８４０５ＤＡ４６ Ｑ₂＝２３０Ｄ０Ｂ９５９５Ｅ５ＡＤ３８８Ｆ１Ｆ４４７Ａ６９９１８９０５Ｅ
ＢＦＢ０５９１０５８２Ｅ５ＢＡ６４ ９Ｃ９４Ｂ０Ｂ２６６１Ｅ４９ＤＦ３Ｃ９Ｂ４２ＦＥＦ１Ｆ３７Ａ７９０９Ｂ１
Ｃ２ＤＤ５４１１３ＡＣＦ８７Ｃ６ Ｆ１１Ｆ１９８７４ＤＥ７ＤＣ５Ｄ１ＤＦ２Ａ９２５２Ｄ

【００６４】 （動的認証） 動的認証機構は、コントローラとして知られているエンティティに対し、考え
られる関連付けられたメッセージＭの真正性だけではなく、デモンストレータと
して知られているエンティティの真正性も証明し、その結果、コントローラは、
それが真にデモンストレータであり、場合によっては唯一のデモンストレータで
ある旨、およびデモンストレータが真に同じメッセージＭを話している旨を確信
できる。関連付けられたメッセージＭはオプションである。つまり、それは空で
ある可能性がある。

【００６５】 動的認証機構は、４つの行動のシーケンスである。つまり、コミットメントと
いう行為と、チャレンジという行為と、応答という行為と、チェックという行為
とである。デモンストレータは、コミットメントおよび応答という行為を達成す
る。コントローラは、チャレンジおよび管理という行為を達成する。

【００６６】 デモンストレータの中では、デモンストレータの最も要注意なパラメータおよ
び機能、つまりコミットメントおよび応答の作成を隔離するために、証人を隔離
することが可能である。証人はパラメータｋおよび秘密鍵ＧＱ２、つまりここに
前記に参照された３つの描写の内の１つに従った係数ｎの因数分解を有する。つ
まり、・ｆ個の素因数およびｍ個の基数と、・ｍ．ｆ個の秘密構成要素と、ｆ個
の素因数およびチャイニーズ剰余のｆ−１個のパラメータと、・ｍ個の秘密値お
よび係数ｎとである。

【００６７】 証人は、例えば、・デモンストレータ全体を形成するＰＣに接続されているチ
ップカード、または再び、・ＰＣ内で特別に保護されているプログラム、または
再び、・スマートカード内で特別に保護されているプログラムなどの部分的な実
施態様に対応することができる。そして、このようにして隔離された証人は、署
名関係者内でここに以下に定義される証人に類似している。機構の実行のたびに
、証人は、1以上のコミットメントＲを作成してから、チャレンジｄと同じくら
い多くの応答Ｄを作成する。各集合｛Ｒ，ｄ，Ｄ｝は、ＧＱ２三つ組である。

【００６８】 証人を備えることとは別に、デモンストレータは、必要な場合、ハッシュ関数
およびメッセージＭも有する。

【００６９】 コントローラは、係数ｎおよびパラメータｋとｍを有する。必要な場合には、
それは同じハッシュ関数およびメッセージＭ’も有する。コントローラは、任意
のチャレンジｄおよび任意の応答ＤからコミットメントＲ’を再構築することが
できる。パラメータｋおよびｍがコントローラに知らせる。逆に表示できない場
合には、ｇ₁からｇ_mのｍ個の基数がｍ個の第１素因数である。各チャレンジｄは
、基数ごとに１つ、ｄ₁からｄ_mと参照されるｍ個の初歩チャレンジを有さなけれ
ばならない。ｄ₁からｄ_mと参照されるこの初歩チャレンジは、０から２^k-1−１
（ｖ／２からｖ−１の値は使用されていない）という値を取りうる。典タイプ的
には、各チャレンジは、ｍかけるｋ−１ビットで（ｍかけるｋビットではなく）
で符号化される。例えば、ｋ＝６およびｍ＝３ならびに基数３，５、および７で
は、各チャレンジが２バイトで１５ビットを送信させる。ｋ＝９，ｍ＝２および
基数２と３では、各チャレンジは２バイトで１６ビットを送信させる。（ｋ−１
）．ｍ個の考えられるチャレンジも可能であるとき、値（ｋ−１）．ｍが、各Ｇ
Ｑ２三つ組によって提供される機密保護を決定する。つまり、定義により、係数
ｎの因数分解を知らない詐称者は、まさに２^(k-1).mに１回の成功の確率を有す
る。（ｋ−１）．ｍが１５から２０に等しいとき、動的認証に妥当に備えるため
には１つの三つ組で十分である。任意の機密保護レベルを達成するには、三つ組
を平行して作成することができる。また、連続して作成する、つまり機構の実行
を繰り返すことも可能である。

【００７０】 １）コミットメントという行為は、以下の動作を備える。 証人がＱ₁からＱ_mのｍ個の秘密値、および係数ｎを有するとき、それは1以上
のランダム値ｒ（０＜ｒ＜ｎ）をランダムにかつ秘密裏に引き出す。それからｋ
回の連続二乗（ｍｏｄｎ）演算により、それは各ランダム値ｒをコミットメント
Ｒに変換する。 Ｒ≡ｒ^v（ｍｏｄ ｎ） ここに、ｋ＝６での鍵の第１集合の例がある。 ｒ＝Ｂ８ＡＤ４２６Ｃ１Ａ１０１６５Ｅ９４Ｂ８９４ＡＣ２４３７Ｃ１Ｂ１７９
７ＥＦ５６２ＣＦＡ５３Ａ４ＡＦ８ ４３１３１ＦＦ１Ｃ８９ＣＦＤＡ１３１２０７１９４７１０ＥＦ９Ｃ０１０Ｅ８
Ｆ０９Ｃ６０Ｄ９８１５１２１９８１２６０ ９１９９６７Ｃ３Ｅ２ＦＢ４Ｂ４５６６０８８Ｅ Ｒ＝ＦＦＤＤ７３６Ｂ６６６Ｆ４１ＦＢ７７１７７６Ｄ９Ｄ５０ＤＢ７ＣＤＦ０
３Ｆ３Ｄ９７６４７１Ｂ２５Ｃ５６ Ｄ３ＡＦ０７ＢＥ６９２ＣＢ１ＦＥ４ＥＥ７０ＦＡ７７０３２ＢＥＣＤ８４１１
Ｂ８１３Ｂ４Ｃ２１２１０Ｃ６Ｂ０４ ４９ＣＣ４２９２Ｅ５ＤＤ２ＢＤＢ００８２８ＡＦ１８

【００７１】 証人が、ｐ₁からｐ_fまでｆ個の素因数、およびｍ．ｆ個の秘密構成要素Ｑ_ijを
有するとき、それはランダムに、および秘密裏に、ｆ個のランダム値の1以上の
集合体を引き出す。各集合体は、素因数ｐ_i（０＜ｒ_i＜ｐ_i）ごとに１つのラン
ダム値ｒ_iを有する。それから、（ｍｏｄｐ_i）を二乗するｋ回の連続演算によっ
て、それは各ランダム値ｒ_iをコミットメントＲ_iの構成要素に変換する。 Ｒ_i≡ｒ_i ^v（ｍｏｄ ｐ_i） ここに、ｋ＝９での鍵の第２集合の例がある。 ｒ₁＝Ｂ０４１８ＥＡＢＥＢＡＤＦ０５５３Ａ２８９０３Ｆ７４４７２ＣＤ４９
ＤＤ８Ｃ８２Ｄ８６ Ｒ₁＝０２２Ｂ３６５Ｆ０ＢＥＡ８Ｅ１５７Ｅ９４Ａ９ＤＥＢ０５１２８２７Ｆ
ＦＤ５１４９８８０Ｆ１ ｒ₂＝７５Ａ８ＤＡ８ＦＥ０Ｅ６０ＢＤ５５Ｄ２８Ａ２１８Ｅ３１３４７７３２
３３９Ｆ１Ｄ６６７ Ｒ₂＝０５７^E４３Ａ２４２Ｃ４８５ＦＣ２０ＤＥＥＦ２９１Ｃ７７４ＣＦ１Ｂ３
０Ｆ０１６３ＤＥＣ２ ｒ₃＝０Ｄ７４Ｄ２ＢＤＡ５３０２ＣＦ８ＢＥ２Ｆ６Ｄ４０６２４９Ｄ１４８Ｃ
６９６０Ａ７Ｄ２７ Ｒ₃＝０６^E１４Ｃ８ＦＣ４ＤＤ３１２ＢＡ３Ｂ４７５Ｆ１Ｆ４０ＣＦ０１ＡＣＥ
２Ａ８８Ｄ５ＢＢ３Ｃ

【００７２】 ｆ個のコミットメント構成要素の集合体ごとに、証人は、チャイニーズ剰余の
儀容に従ってコミットメントをセットアップする。ランダム値の集合体と同じく
らい多くのコミットメントがある。 Ｒ＝チャイニーズ剰余（Ｒ₁，Ｒ₂，．．．，Ｒ_j） Ｒ＝２８ＡＡ７Ｆ１２２５９ＢＦＢＡ８１３６８ＥＢ４９Ｃ９３ＥＥＡＢ３Ｆ３
ＥＣ６ＢＦ７３Ｂ０ＥＢＤ７ Ｄ３ＦＣ８３９５ＣＦＡ１ＡＤ７ＦＣ０Ｆ９ＤＡＣ１６９Ａ４Ｆ６Ｆ１Ｃ４６Ｆ
Ｂ４Ｃ３４５８Ｄ１Ｅ３７Ｃ９ ９１２３Ｂ５６４４６Ｆ６Ｃ９２８７３６Ｂ１７Ｂ４ＢＡ４Ａ５２９

【００７３】 両方の場合で、デモンストレータは、コントローラに各コミットメントＲのす
べてまたは一部、あるいは各コミットメントＲをハッシュ化することによって得
られる少なくとも１つのハッシュコードＨおよび１つのメッセージＭを送信する
。

【００７４】 ２）チャレンジという行為は、ランダムに、それぞれが、ｍ個の初歩チャレン
ジｄ₁｜ｄ₂｜…｜ｄ_mから成り立つ1以上のチャレンジｄを引き出すことにある。
各初歩チャレンジｄ_iは、０からｖ／２−１の値の１つを取る。 ｄ＝ｄ₁｜ｄ₂｜．．．｜ｄ_m ここに、ｋ＝６およびｍ＝３である鍵の第１集合の例がある。 ｄ₁＝１０１１０＝２２＝’１６’；ｄ₂＝００１１１＝７；ｄ₃＝０００１ ０＝２ ｄ＝０｜｜ｄ₁｜｜ｄ₂｜｜ｄ₃＝０１０１１０００１１１０００１０＝５８Ｅ
２ ここに、ｋ＝９およびｍ＝２である鍵の第２集合の例がある。 ｄ＝ｄ₁｜｜ｄ₂＝５８Ｅ２、すなわち、小数点表記８８および２２６である コントローラは、デモンストレータに各チャレンジｄを送信する。

【００７５】 ３）応答という行為は、以下の演算を有する。 証人は、Ｑ₁からＱ_mのｍ個の秘密値および係数ｎを有するとき、それはコミッ
トメントという行為の各ランダム値ｒおよび初歩チャレンジに従った秘密値を使
用して、1以上の応答Ｄを計算する。 Ｘ≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ≡ｒ．Ｘ（ｍｏｄ ｎ） ここに、鍵の第１集合の例がある。 Ｄ＝ＦＦ２５７４２２ＥＣＤ３Ｃ７Ａ０３７０６Ｂ９Ａ７Ｂ２８ＥＥ３ＦＣ３Ａ
４Ｅ９７４ＡＥＤＣＤＦ３８６ ５ＥＥＦ３８７６０Ｂ８５９ＦＤＢ５３３３Ｅ９０４ＢＢＤＤ３７Ｂ０９７Ａ９
８９Ｆ６９０８５ＦＥ８ＥＦ６４８０ Ａ２Ｃ６Ａ２９０２７３４７９ＦＥＣ９１７１９９０Ａ１７

【００７６】 証人は、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密構成要素Ｑ_i,jを有
するとき、それはコミットメントという行為のランダム値の各集合体を使用して
ｆ個の応答構成要素を計算する。応答構成要素の各集合体は、素因数ごとに１つ
の構成要素を備える Ｘ_i≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm，_i（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ₁） ここに鍵の第２集合の例がある。 Ｄ₁＝ｒ₁．Ｑ_1.1 ^d1．Ｑ_2.1 ^d2（ｍｏｄ ｐ₁）＝ Ｏ２６６０ＡＤＦ３Ｃ７３Ｂ６ＤＣ１５Ｅ１９６１５２３２２ＤＤＥ８ＥＢ５Ｂ
３５７７５Ｅ３８ Ｄ₂＝ｒ₂．Ｑ_1.2 ^d1．Ｑ_2.2 ^d2（ｍｏｄ ｐ₂）＝ ０４Ｃ１５０２８Ｅ５ＦＤ１１７５７２４３７６Ｃ１１ＢＥ７７０５２２０５Ｆ
７Ｃ６２ＡＥ３Ｂ Ｄ₃＝ｒ₃．Ｑ_1.3 ^d1．Ｑ_2.3 ^d2（ｍｏｄ ｐ₃）＝ ０９０３Ｄ２０Ｄ０Ｃ３０６Ｃ８ＥＤＡ９Ｄ８ＦＢ５Ｂ３ＢＥＢ５５Ｅ０６１Ａ
Ｂ３９ＣＣＦ５２

【００７７】 応答構成要素の集合体ごとに、証人は、チャイニーズ剰余技法に従った応答を
作成する。チャレンジと同じくらい多くの応答がある。 Ｄ＝チャイニーズ剰余（Ｄ₁，Ｄ₂，．．．，Ｄ_f） Ｄ＝８５Ｃ３Ｂ００２９６４２６Ｅ９７８９７Ｆ７３Ｃ７ＤＣ６３４１ＦＢ８Ｆ
ＦＥ６Ｅ８７９ＡＥ１２ＥＦ１Ｆ３６ ４ＣＢＢ５５ＢＣ４４ＤＥＣ４３７２０８ＣＦ５３０Ｆ８４０２ＢＤ９Ｃ５１１
Ｆ５ＦＢ３Ｂ３Ａ３０９２５７Ａ００ １９５Ａ７３０５Ｃ６ＦＦ３３２３Ｆ７２ＤＣ１ＡＢ 両方の場合で、デモンストレータは各応答Ｄをコントローラに送信する。

【００７８】 ４）チェック行為は、各三つ組｛Ｒ，ｄ，Ｄ｝が、非零値に関して以下のタイ
プの等式を検証することを確認することにあるか、

【数７】 または、さもなければ、各コミットメントをセットアップすることにある。何も
ゼロであってはならない。

【数８】

【００７９】 必要な場合、コントローラは、それぞれの再確立されたコミットメントＲ’お
よびメッセージＭ’をハッシュ化する際にハッシュコードＨ’を計算する。動的
認証は、コントローラが、このようにして、それがコミットメントの最初の行為
の最後に受信したもの、つまり各コミットメントＲのすべてまたは一部、あるい
はさもなければハッシュコードＨを検索するときに成功する。

【００８０】 例えば、初歩動作のシーケンスが、応答ＤをコミットメントＲ’に変換する。
シーケンスは、ｋ−１回の除算によって、あるいは基数による乗算（ｍｏｄ ｎ
）によって分離されるｋ個の平方（ｍｏｄ ｎ）を有する。ｉ番目の平方とｉ＋
１番目の平方の間で実行されるｉ番目の除算または乗算の場合には、初歩チャレ
ンジｄ_iのｉ番目のビットはｇ_iを使用する必要があることを示し、初歩チャレン
ジｄ₂のｉ番目のビットは、ｇ₂を使用するのが必要かどうかを示し、初歩チャレ
ンジｄ_mのｉ番目のビットまで、ｇ_mを使用することが必要であるかどうかを示す
。 ここに、鍵の第１集合の例がある。

【表１】

【表２】

【表３】

【表４】 私達は、コミットメントＲを発見する。認証は無事に終了した。

【００８１】 （デジタル署名） デジタル署名機構によって、署名関係者と呼ばれるエンティティは、署名済み
のメッセージを作成し、コントローラと呼ばれるエンティティは署名済みのメッ
セージを確認することができるようになる。メッセージＭは、任意のバイナリシ
ーケンスである。それは空である場合がある。メッセージＭは、それにシグナチ
ャ付録を追加することによって署名される。このシグナチャ付録は、対応する応
答だけではなく、1以上のコミットメントおよび／またはチャレンジも備える。

【００８２】 コントローラは同じハッシュ関数、パラメータｋとｍ、および係数ｎを有する
。パラメータｋおよびｍは、コントローラに対し情報を提供する。第１に、ｄ₁
からｄ_mの各初歩チャレンジは、０から２_k-1−１（ｖ／２からｖ−１という値は
使用されない）の値を取らなければならない。第２に、各チャレンジｄは、ｄ₁
からｄ_mと参照されるｍ個の初歩チャレンジ、つまり基数と同じくらい多くの初
歩チャレンジを含まなければならない。さらに、逆に表示することができないと
、ｇ₁からｇ_mのｍ個の基数はｍ個の第１素数である。（ｋ−１）．ｍが１５から
２０に等しいので、平行して作成された４個の三つ組ＧＱ２で署名することが可
能である。（ｋ−１）．ｍが６０以上に等しい場合、単一の三つ組ＧＱ２で署名
することが可能である。例えばｋ＝９およびｍ＝８の場合には、単一の三つ組Ｇ
Ｑ２で十分である。各チャレンジは８バイトであり、基数は２、３、５、７、１
１、１３、１７および１９である。

【００８３】 署名動作は、３つの行為、つまりコミットメントという行為と、チャレンジと
いう行為と、応答という行為とのシーケンスである。それぞれの行為から、コミ
ットメントＲ（≠０）、ｄ₁，ｄ₂，．．．，ｄ_mと参照されるｍ個の初歩チャレ
ンジから成り立つチャレンジｄ、および応答Ｄ（≠０）をそれぞれ含む1以上の
ＧＱ２三つ組が生じる。

【００８４】 署名関係者は、ハッシュ関数、パラメータｋおよびＧＱ２秘密鍵、つまりここ
に前記に参照された３つの描写の内の１つに従った係数ｎの因数分解を有する。
署名関係者内で、デモンストレータにとって最も要注意である関数およびパラメ
ータを隔離するために、コミットメントおよび応答という行為を実行する証人を
隔離することが可能である。コミットメントおよび応答を計算するために、証人
はパラメータｋおよびＧＱ２秘密鍵、つまりここに前記に参照された３つの描写
の内の１つに従った係数ｎの因数分解を有する。このようにして隔離された証人
は、デモンストレータ内で定義された証人に類似する。それは、ある特定の実施
態様、例えば、・署名関係者全体を形成するＰＣに接続されているチップカード
、または再び、・ＰＣ内で特に保護されているプログラム、または再び、・チッ
プカード内で特に保護されているプログラムに対応することができる。

【００８５】 １）コミットメントという行為は、以下の演算を含む。 証人がＱ₁からＱ_mというｍ個の秘密値、および係数ｎを有するとき、それはラ
ンダムにおよび秘密裏に1以上のランダム値ｒ（０＜ｒ＜ｎ）を引き出す。それ
から、ｋ回の無事終了した二乗（ｍｏｄ ｎ）演算によって、それは各ランダム
値ｒをコミットメントＲに変換する。 Ｒ≡ｒ^v（ｍｏｄ ｎ）

【００８６】 証人がｐ₁からｐ_fのｆ個の素因数およびｍ．ｆ個の秘密構成要素Ｑ_ijを有する
とき、それは、秘密裏にかつランダムにｆ個ののランダム値の1以上の集合体を
引き出す。各集合体は、素因数ｐ_i（０＜ｒ_i＜ｐ_i）ごとに１つのランダム値を
有する。それから、ｋ回の無事終了した二乗（ｍｏｄｐ_i）演算によって、それ
は各ランダム値ｒ_iをコミットメントＲ_iの構成要素に変換する。 Ｒ_i≡ｒ_i ^v（ｍｏｄ ｐ_i）

【００８７】 ｆ個のコミットメント構成要素ごとに、証人は、チャイニーズ剰余技法にした
がってコミットメントをセットアップする。ランダム値の集合体と同じくらい多
くのコミットメントがある。 Ｒ＝チャイニーズ剰余（Ｒ₁，Ｒ₂，．．．，Ｒ_f）

【００８８】 ２）チャレンジという行為は、すべてのコミットメントＲおよび署名関係者が
、それぞれがｍ個の初歩チャレンジを含む1以上のチャレンジを形成するハッシ
ュコードを得るためにＭと署名されるメッセージをハッシュ化することにある。
各初歩チャレンジは、例えば、ｋ＝９およびｍ＝８で０からｖ／２−１から任意
の値を取る。各チャレンジは８バイトを有する。コミットメントと同じくらい多
くのチャレンジがある。 ｄ＝ｄ₁/ｄ₂/．．．/ｄ_m，結果ハッシュ（Ｍ，Ｒ）から抽出

【００８９】 ３）応答という行為は、以下の動作を含む。 証人は、Ｑ₁からＱ_mのｍ個の秘密値および係数ｎを有するとき、それは、コミ
ットメントという行為の各ランダム値ｒおよび初歩チャレンジに従った秘密値を
使用して、1以上の応答Ｄを計算する。 Ｘ．/≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ/≡ｒ．/Ｘ．/（ｍｏｄ ｎ）

【００９０】 証人は、ｐ₁からｐ_fのｆ個の素因数、およびｍ．ｆ個の秘密構成要素Ｑ_ijを有
するとき、それはコミットメントという行為のランダム値の書く集合体を使用す
る際にｆ個の応答構成要素を計算する。応答構成要素の各集合体は、素因数ごと
に１つの構成要素を含む。 Ｘ_i≡Ｑ₁ ^d1，_i．Ｑ₂ ^d2，_i…Ｑ_m ^dm，_i（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ_i）

【００９１】 応答構成要素の集合体ごとに、証人は、チャイニーズ剰余技法に従って応答を
セットアップする。チャレンジと同じくらい多くの応答がある。 Ｄ＝チャイニーズ剰余（Ｄ₁，Ｄ₂，．．．，Ｄ_f）

【００９２】 署名関係者はそれに以下を含むシグナチャ付録を追加する際に、メッセージＭ
に署名する。 各ＧＱ２三つ組、つまり各コミットメントＲ、各チャレンジｄおよび各応答
Ｄと、 または、さもなければ、各コミットメントＲおよび各対応する応答Ｄか、 または、さもなければ、各チャレンジｄおよび各対応する応答Ｄ

【００９３】 検証動作の実行は、シグナチャ付録の内容に依存する。３つの考えられる場合
がある。

【００９４】 付録が1以上の三つ組を含む場合には、チェック動作は、年代順配列が重要で
はない２つの独立したプロセスを有する。コントローラは、以下の２つの条件が
満たされる場合および満たされる場合にだけ署名済みのメッセージを受け入れる
。

【００９５】 第１に、各三つ組は、一貫（以下のタイプに関する適切な関係性が検証されな
ければならない）し、許容（非零値で比較が実行されなければならない）できな
ければならない。

【数９】

【００９６】 例えば、応答Ｄは、初歩動作のシーケンスによって変換される。つまり、基数
によるｋ−１回の乗算または除算演算によって分離されるｋ個の平方済み（ｍｏ
ｄ ｎ）。ｉ番目の平方とｉ＋１番目の平方の間で実行されるｉ番目の乗算また
は除算の場合には、初歩チャレンジｄ₁のｉ番目のビットは、ｇ₁を使用すること
が必要であるかどうかを示し、初歩チャレンジｄ₂のｉ番目のビットは、ｇ₂を使
用するのが必要かどうかを示し、初歩チャレンジｄ_mのｉ番目のビットまで、ｇ_m を使用することが必要であるかどうかを示す。このようにして、シグナチャ付録
に存在する各コミットメントＲを検索することが必要である。

【００９７】 さらに、1以上の三つ組は、メッセージＭにリンクされなければならない。す
べてのコミットメントＲおよびメッセージＭをハッシュ化することによって、各
チャレンジｄが回復されなければならないハッシュコードが得られる。 ｄ＝ｄ₁/ｄ₂/．．．/ｄ_m,結果ハッシュ（Ｍ，Ｒ）から抽出されるものと同一

【００９８】 付録にチャレンジがない場合には、チェック動作が、すべてのコミットメント
ＲおよびメッセージＭをハッシュ化することによって、1以上のチャレンジｄ’
の再構築で開始する。 Ｄ’＝ｄ’₁/ｄ’₂/．．．/ｄ’_m，結果ハッシュ（Ｍ，Ｒ）から抽出

【００９９】 そして、コントローラは、各三つ組が一貫（以下のタイプの適切な関係性が検
証される）し、許容（非零値で比較が実行される）できる場合に、および場合に
だけ署名済みメッセージを受け入れる。

【数１０】

【０１００】 付録がコミットメントを備えない場合には、チェック動作は、以下の２つの公
式の一方、つまり適切である公式に従って、1以上のコミットメントＲ’を再構
築することによって開始する。確立し直されたコミットメントはゼロであっては
ならない。

【数１１】

【０１０１】 そして、コントローラは、各チャレンジｄを再構成するために、すべてのコミ
ットメントＲ’およびメッセージＭをハッシュ化しなければならない。 ｄ＝ｄ₁/ｄ₂/．．．/ｄ_m，結果ハッシュ（Ｍ，Ｒ）から抽出されたものと同一

【０１０２】 コントローラは、各再構築されたチャレンジが付録内の対応するチャレンジに
同一である場合および場合にだけ署名済みのメッセージを受け入れる。

【０１０３】 本出願においては、それぞれ、エンティティの真正性、および／またはメッセ
ージの完全性および／または真正性を証明するように設計される本発明に従って
方法、システムおよびデバイスを実行するために使用される秘密値と公開値Ｑと
Ｇの組がある。

【０１０４】 その発明者がLouis GuillouおよびJean-Jacques Quisquaterであるフランス
テレコム、ＴＤＦ、およびMath RiZK社によって本出願と同日に提出された係属
出願において、ＧＱ２鍵の集合、つまり指数ｖが２^kに等しいときに、それぞれ
係数ｎおよび公開値と秘密値ＧとＱの組を生成するための方法が説明されている
。これらを引用することにより本明細書の一部をなすものとする。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号 ９９／１２４６５ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６７ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６８ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｒ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ，ＦＩ ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ， ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，Ｋ Ｚ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ， ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，Ｓ Ｋ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ギユ，ルイ フランス国、35230 ブルバル、リュ・ド ゥ・リズ 16 (72)発明者 キスクワテル，ジャン‐ジャック ベルギー国、1640 ロード・サン・ジェネ ス、アヴニュ・デ・カナール ３ Ｆターム(参考） 5J104 AA07 AA08 AA21 EA32 JA23 JA27 KA05 KA08 LA03 NA02 NA17

Claims (18)

【特許請求の範囲】
1. 【請求項１】 コントローラエンティティに対し、エンティティの真正性、
   および／または、このエンティティに関連付けられたメッセージＭの完全性と を、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
   と、 ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される公開
   係数ｎと、 公開指数ｖと のパラメータまたはこれらのパラメータのすべてまたは一部によって証明するよ
   うに設計された方法であって、 前記係数、前記指数および前記値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のタイプに関係によって関連付けられ、 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは１より大きい機密保護パラメータであり、 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² であり、基数ｇ_iは、 ２つの等式ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎが、モジュロｎの
   整数環のｘについて解くことができず、 等式ｘ^v≡ｇ_i ²ｍｏｄ ｎが、モジュロｎの整数環のｘについて解くことができ
   、 前記方法が、以下のステップにおいて、ｆ個の素因数ｐ_iおよび／または素因
   数のチャイニーズ剰余の、および公開係数ｎおよび／またはｍ個の秘密値Ｑ_iの
   パラメータ、および／または秘密値Ｑ_iのおよび公開指数ｖのｆ．ｍ個の構成要
   素Ｑ_i,j（Ｑ_i,j≡Ｑ_iｍｏｄｐ_j）を有する証人と呼ばれるエンティティを実行し
   、 証人は、モジュロｎの整数環のコミットメントＲを計算し、各コミットメン
   トを、 ・以下のタイプの演算を実行すること、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは０＜ｒ＜ｎとなるようにランダム値であり、 ・または、 ・・以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iと関連付けられたラ
   ンダム値であり、各ｒ_iは、ランダム値｛ｒ₁，ｒ₂，…ｒ_f｝，の集合体に属し、 ・・そして、チャイニーズ剰余法を適用すること のどちらかによって計算し、 証人は、１以上のチャレンジｄを受け取り、各チャレンジｄは、これ以降、
   初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備え、証人は、各チャレンジｄに基
   づき、応答Ｄを、 ・以下のタイプの演算を実行すること、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、 ・・以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i ・・そして、チャイニーズ剰余法を適用すること のどちらかによって計算し、 前記方法が、コミットメントＲがあり、チャレンジｄがあるのと同じくらい多
   くの応答Ｄがあり、数Ｒ，ｄ，Ｄの各群が｛Ｒ，ｄ，Ｄ｝と参照される三つ組を
   形成する方法。
2. 【請求項２】 デモンストレータエンティティが証人を備え、 前記デモンストレータエンティティおよびコントローラエンティティは、以下
   のステップである ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人は、請求項１に記載されたプロセスを適用することに
   よって各コミットメントＲを計算し、 デモンストレータは、コントローラに、各コミットメントＲのすべてまたは
   一部を送信し、 ・ステップ２のチャレンジｄという行為において、 コントローラは、各コミットメントＲのすべてまたは一部を受け取った後、
   その数がコミットメントＲの数に等しいチャレンジｄを作成し、チャレンジｄを
   デモンストレータに送信し、 ・ステップ３の応答Ｄという行為において、 証人は、請求項１記載されたプロセスを適用することによって、チャレンジ
   ｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 証人は、コントローラに各応答Ｄを送信し、 を実行し、 デモンストレータが各コミットメントＲの一部を送信した場合において、 デモンストレータが各コミットメントＲの一部を送信した場合には、ｍ個の公
   開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各チャレンジｄおよび各
   応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミ ットメントＲ’が、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たし、 コントローラは、各再構築されたコミットメントＲ’が、それに送信された各
   コミットメントＲのすべてまたは一部を再現することを確認し、 デモンストレータが各コミットメントＲの全体性を送信した場合において、 デモンストレータが各コミットメントＲの全体性を送信した場合には、ｍ個の
   公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各コミットメントＲが
   、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすことを確認し、 デモンストレータとして知られているエンティティの真正性をコントローラと
   して知られているエンティティに対し証明するように設計される請求項１に記載
   される方法。
3. 【請求項３】 前記デモンストレータエンティティは、証人を備え、前記デ
   モンストレータエンティティおよびコントローラエンティティは、以下のステッ
   プを実行し、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人は、請求項１に記載されるプロセスを適用することに
   より、各コミットメントＲを計算し、 ・ステップ２のチャレンジｄという行為において、 証人は、その引数がメッセージＭおよび各コミットメントＲのすべてまたは
   一部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算し、 デモンストレータはトークンＴをコントローラに送信し、 コントローラは、トークンＴを受け取った後に、コミットメントＲに数で等
   しいチャレンジｄを作成し、チャレンジｄをデモンストレータに送信し、 ・ステップ３の応答Ｄという行為において、 証人は、請求項１に記載されるプロセスを適用することによりチャレンジｄ
   から応答Ｄを計算し、 ・ステップ４のチェック行為において、 証人は、各応答Ｄをコントローラに送信し、 ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラは、各チャレン
   ジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計算し、この再構 築されたコミットメントＲ’が、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たし、 そして、コントローラは、その引数がメッセージＭおよび再構築されたＲ’
   のすべてまたは一部であるハッシュ関数ｈを適用して、トークンＴ’を再構築し
   、 そして、コントローラは、トークンＴ’が送信されたトークンＴと同一であ
   ることを確認し、 コントローラエンティティとして知られているエンティティに対し、デモンス
   トレータエンティティと呼ばれているエンティティに関連付けられたメッセージ
   Ｍの完全性の証拠を提供するように設計される請求項１に記載の方法。
4. 【請求項４】 署名エンティティが証人を含み、 署名動作において、 前記署名エンティティは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと、 を含む署名済みのメッセージを得るために、署名動作を実行し、 前記署名エンティティは、以下のステップを実行することにより署名動作を実
   行し、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人は、請求項１に記載されるプロセスを適用することに
   よって各コミットメントＲを計算し、 ・ステップ２のチャレンジｄという行為において、 署名関係者は、バイナリトレインを得るために、その引数がメッセージＭお
   よび各コミットメントＲであるハッシュ関数ｈを適用し、 このバイナリトレインから、署名関係者は、その数がコミットメントＲの数
   に等しいチャレンジｄを抽出し、 ・ステップ３の応答Ｄという行為において、 証人は、請求項１に記載されたプロセスを適用することによりチャレンジｄ
   から応答Ｄを計算する 署名するエンティティとして知られているエンティティによってメッセージＭ
   のデジタル署名を作成するように設計される請求項１に記載の方法。
5. 【請求項５】 チェック動作において、 署名済みのメッセージを有する前記コントローラエンティティは、以下のよ
   うに進むことによってチェック動作を実行し、 ・コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合にお
   いて、 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、 ・・コントローラは、コミットメントＲ、チャレンジｄおよび応答Ｄが、以下
   のタイプの関係性である Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄｎ または、以下のタイプの関係性である Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄｎ を満たすことを確認し、 ・・コントローラは、メッセージＭ、チャレンジｄおよびコミットメントＲが
   ハッシュ関数を満たすことを確認し、 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） ・コントローラがチャレンジｄおよび応答Ｄを有する場合において、 コントローラがチャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラは、各チャレンジｄおよび各応答Ｄに基づき、コミットメン
   トＲ'を再構築し、 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄｎ のタイプの関係、または、 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄｎ のタイプの関係を満たし、 ・・コントローラは、メッセージＭおよびチャレンジｄがハッシュ関数を満た
   すことを確認し、 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） ・コントローラが、コミットメントＲおよび応答Ｄを有する場合において、 コントローラが、コミットメントＲおよび応答Ｄを有する場合には、 ・・コントローラは、ハッシュ関数を適用し、ｄ'を再構築し、 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） ・・コントローラ装置が、コミットメントＲ、チャレンジｄ'よび応答Ｄが、 Ｒ≡Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．Ｄ^vｍｏｄｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．ｍｏｄｎ のタイプの関係を満たすことを確認し、 コントローラと呼ばれるエンティティを通して、署名済みのメッセージをチェ
   ックすることによって、メッセージＭの真正性を証明するように設計される請求
   項４に記載の方法。
6. 【請求項６】 コントローラサーバに、エンティティの真正性、および／ま
   たは、このエンティティに関連付けられたメッセージＭの完全性を、以下のパラ
   メータまたはこれらのパラメータの派生物のすべてまたは一部によって証明する
   ように設計されるシステムであって、ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
   と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積によって構成される
   公開係数ｎと、 公開指数ｖとであり、 前記係数、前記指数および前記値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． のタイプの関係によってリンクされ、 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータであり、 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
   ｇ_i ²であり、基数ｇ_iは、 ２つの等式ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎが、モジュロｎ
   の整数環のｘについて解くことができず、 等式ｘ^v≡ｇ_i ²ｍｏｄ ｎが、モジュロｎの整数環のｘについて解くことができ
   、 前記システムは、特に、例えば、マイクロプセッサベースのバンクカードの形
   を取るノマッドオブジェクトに含まれる証人装置を備え、 証人装置は、 ｆ個の素因数ｐ_iおよび／または素因数のチャイニーズ剰余の、および／ま
   たは公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、および／または
   秘密値Ｑ_iの、および公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ_i,j≡Ｑ_iｍｏｄ
   ｐ_j）を含むメモリゾーンを備え、 また、証人装置は、 証人装置のランダム値生成手段と呼ばれるランダム値生成手段と、 モジュロｎの整数環でコミットメントＲを計算するために、これ以降証人装
   置のコミットメントＲの計算用手段と呼ばれる計算手段と を含み、各コミットメントを、 ・以下のタイプの演算を実行することによって、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
   は０＜ｒ＜ｎであり、 ・または、以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iに関連付けられたランダム
   値であり、各ｒ_iはランダム値｛ｒ₁，ｒ₂，…ｒ_f｝の集合体に属し、そして、チ
   ャイニーズ剰余法を適用することのどちらかによって計算し、 前記証人装置は、 証人装置のチャレンジｄの受信用装置と呼ばれる1以上のチャレンジｄを受け
   取るための受信手段であって、各チャレンジｄが、これ以降初歩チャレンジと呼
   ばれるｍ個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行することによって、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行することによって、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄｐ_i そして、チャイニーズ剰余法を適用することにより、 応答Ｄの各チャレンジｄに基づき、計算用の証人装置の応答Ｄの計算用手段と
   呼ばれる計算手段と、 １以上のコミットメントＲおよび１以上の応答Ｄを送信するための送信手段と を含んでなり、 コミットメントＲがあるので、チャレンジｄと同じくらい多くの応答Ｄがあり
   、Ｒ，ｄ，Ｄの各群が｛Ｒ，ｄ，Ｄ｝と参照される三つ組を形成するシステム。
7. 【請求項７】 前記システムは、それが デモンストレータエンティティと関連付けられたデモンストレータ装置であ
   って、相互接続手段によって証人装置と相互接続され、例えば、マイクロプロセ
   ッサベースのバンクカード内のマイクロプロセッサの形式といったノマッドオブ
   ジェクトの論理マイクロ回路の形を特に取るデモンストレータ装置と、 コントローラエンティティに関連付けられたコントローラ装置であって、前
   記コントローラ装置は、特に、端末または遠隔サーバの形を取り、特にデータ処
   理通信網を通して、デモンストレータ装置へのその電気的、電磁的、光学的、ま
   たは音響的な接続のための接続手段を備える前記コントローラ装置と を含み、 前記システムが、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、請求項１に記
   載されるプロセスを適用することによって、各コミットメントＲを計算し、証人
   装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通してデモン
   ストレータ装置に送信するために、証人装置の送信手段と呼ばれる送信の手段も
   有し、 デモンストレータ装置は、各コミットメントＲのすべてまたは一部を接続手段
   を通してコントローラ装置に送信するために、デモンストレータの送信手段と呼
   ばれる送信手段も有し、 ・ステップ２のチャレンジｄという行為において、 コントローラ装置は、コミットメントＲのすべてまたは一部を受け取った後、
   コミットメントＲの数に数で等しいチャレンジｄの生成のためのチャレンジ生成
   手段を含み、 コントローラ装置は、接続手段を通してデモンストレータにチャレンジｄを送
   信するために、コントローラの送信手段として知られている送信手段も有し、 ・ステップ３の応答Ｄという行為において、 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
   タ装置から着信する各チャレンジｄを受信し、 証人装置の応答Ｄの計算手段は、ここに前記に明記されたプロセスを適用する
   ことによってチャレンジｄから応答Ｄを計算し、 ・ステップ４のチェックという行為において、 デモンストレータの送信手段は、各応答Ｄをコントローラに送信し、 コントローラは、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と も含み、 デモンストレータが各コミットメントＲの一部を送信した場合において、 デモンストレータの送信手段が、各コミットメントＲの一部を送信した場合に
   は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
   は、各チャレンジｄおよび各応答Ｄから再構築されたコミットメントＲ’を計 算し、この再構築されたコミットメントＲ’が、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たし、 コントローラ装置の比較手段は、それぞれの再構築されたコミットメントＲ’
   を受信された各コミットメントＲのすべてまたは一部と比較し、 デモンストレータが、各コミットメントＲの全体性を送信した場合において、 デモンストレータの送信手段が各コミットメントＲの全体性を送信した場合に
   は、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段
   および比較手段が、各コミットメントＲが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすことを確認する、 ことからなる、各ステップを実行することができる、デモンストレータと呼ば
   れているエンティティの真正性を、コントローラと呼ばれているエンティティに
   対して証明するように設計される請求項６に記載のシステム。
8. 【請求項８】 前記システムは、 デモンストレータエンティティに関連付けられたデモンストレータ装置であ
   って、相互接続手段によって証人装置と相互接続され、おそらく特に、マイクロ
   プロセッサベースのバンクカード内のマイクロプロセッサの形などのノマッドオ
   ブジェクト内の論理マイクロ回路の形を取る前記デモンストレータ装置と、 コントローラエンティティに関連付けられたコントローラ装置であって、前
   記コントローラ装置は、特に、端末または遠隔サーバの形を取り、特にデータ処
   理通信網を通して、デモンストレータ装置へのその電気的、電磁的、光学的、ま
   たは音響的な接続のための接続手段を備える前記コントローラ装置と を含み、 前記システムが、以下のステップである ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算手段が、請求項１に記載
   されたプロセスを適用することによって各コミットメントＲを計算し、 証人装置は、相互接続手段を通してデモンストレータ装置に各コミットメント
   Ｒのすべてまたは一部を送信するために、証人装置の送信手段と呼ばれる送信手
   段を有し、 ・ステップ２のチャレンジｄという行為において、 デモンストレータ装置は、デモンストレータの計算手段と呼ばれる計算手段を
   含み、その引数がメッセージＭおよびコミットメントＲのすべてまたは一部であ
   るハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算し、 デモンストレータ装置は、接続手段を通してコントローラ装置へ各トークンＴ
   を送信するために、デモンストレータ装置の送信手段として知られる送信手段も
   有し、 コントローラ装置は、トークンＴを受信した後、コミットメントＲの数に数で
   等しいチャレンジｄの生成のためのチャレンジ生成手段も有し、 コントローラ装置は、接続手段を通してデモンストレータにチャレンジｄを送
   信するために、コントローラの送信手段と呼ばれる送信手段も有し、 ・ステップ３の応答Ｄという行為において、 証人装置のチャレンジｄの受信手段は、相互接続手段を通してデモンストレー
   タ装置から着信する各チャレンジｄを受信し、 証人装置の応答Ｄの計算手段は、請求項１に記載されたプロセスを適用するこ
   とによって、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェックという行為において、 デモンストレータの送信手段は、コントローラに各応答Ｄを送信する、 という各ステップを実行することができ、 ここで、コントローラ装置は、第１に、各チャレンジｄおよび各応答Ｄから再
   構築されたコミットメントＲ’を計算するために、第２に、引数として、メッセ
   ージＭおよび各再構築されたコミットメントＲ’のすべてまたは一部を有するハ
   ッシュ関数ｈを適用することによって、トークンＴ’を計算するために、ｍ個の
   公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有し、コントローラ装置の計算手段と呼ばれる
   計算手段も備え、この再構築されたコミットメントＲ’が、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たし、 コントローラ装置は、計算されたトークンＴ’を受信されたトークンＴと比較
   するために、コントローラ装置の比較手段として知られる比較手段も有し、 を実行できるようにする、コントローラとして知られているエンティティに対し
   、デモンストレータとして知られているエンティティに関連付けられたメッセー
   ジＭの完全性の証明を与えるように設計される請求項６に記載されるシステム。
9. 【請求項９】 署名エンティティと呼ばれるエンティティにより、これ以降
   、署名済みメッセージとして知られるメッセージＭのデジタル署名を作成するよ
   うに設計される請求項６に記載されるシステムであって、 前記署名済みメッセージが、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含んでなり、 署名動作において、 前記システムは、それが署名エンティティと関連付けられた署名デバイスを含
   み、相互接続手段によって証人装置と相互接続され、おそらく、特に、例えば、
   マイクロプロセッサベースのバンクカード内のマイクロプロセッサの形などのノ
   マッドオブジェクト内の論理マイクロ回路の形を取り、 前記システムは、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算手段が、請求項１に記載
   されたプロセスを適用することによって各コミットメントＲを計算し、 証人装置は、相互接続手段を通してデモンストレータ装置に各コミットメント
   Ｒのすべてまたは一部を送信するために、証人装置の送信手段と呼ばれる送信手
   段を有し、 ・ステップ２のチャレンジｄという行為において、 署名デバイスは、署名デバイスの計算手段と呼ばれる計算手段を備え、その引
   数がメッセージＭおよびコミットメントＲのすべてまたは一部であるハッシュ関
   数ｈを適用し、バイナリトレインを計算し、このバイナリトレインから、その数
   がコミットメントＲの数に等しいチャレンジｄを抽出し、 ・ステップ３の応答Ｄという行為において、 証人装置のチャレンジｄの受信手段は、相互接続手段を通して署名デバイスか
   ら着信する各チャレンジｄを受信し、 証人装置の応答Ｄを計算するための手段は、請求項１に記載されたプロセスを
   適用することによって、チャレンジｄから応答Ｄを計算し、 証人装置は、相互接続手段を通して署名デバイスに応答Ｄを送信するために、
   証人装置の送信の手段と呼ばれる送信手段を含む という各ステップの実行を可能にするシステム。
10. 【請求項１０】 チェック動作において、 前記システムは、それがコントローラエンティティと関連付けられたコントロ
    ーラ装置を含み、前記コントローラ装置は、特に、端末または遠隔サーバの形を
    取り、前記コントローラ装置は、特に、データ処理通信網を通して署名デバイス
    へのその電気的、電磁的、光学的、または音響の接続のための接続手段を含み、 署名エンティティと関連付けられた署名デバイスは、接続手段を通した署名済
    みメッセージの、コントローラ装置への送信のための、署名デバイスの送信手段
    として知られている送信手段を含み、このようにして、コントローラ装置は、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名済みのメッセージを有し、 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含み、 ・コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合
    において、 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
    は、 ・・コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャ
    レンジｄおよび応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすことを確認し、 ・・コントローラ装置の計算手段および比較手段は、メッセージＭ、チャレン
    ジｄおよびコミットメントＲが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認し、 ・コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合において、 コントローラがチャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラの計算手段は、各チャレンジｄおよび各応答Ｄに基づき、 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすコミットメントＲ'を計算し、 ・・コントローラ装置の計算手段および比較手段が、メッセージＭおよびチャ
    レンジｄがハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすことを確認し、 ・コントローラ装置がコミットメントＲおよび応答Ｄを有する場合において、 コントローラ装置が、コミットメントＲおよび応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、ハッシュ関数を適用し ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるようにｄ'を計算し、 ・・コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャ
    レンジｄ'および応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすのを確認する コントローラと呼ばれるエンティティによって署名済みメッセージをチェック
    することにより、メッセージＭの真正性を証明するように設計された請求項９に
    記載されるシステム。
11. 【請求項１１】 エンティティに関連付けられ、例えば、マイクロプロセッ
    サのバンクカード内のマイクロプロセッサの形など、特にノマッドオブジェクト
    の形を取り、コントローラサーバに対し、エンティティの真正性、および／また
    は、このエンティティに関連付けられたメッセージＭの完全性を、以下のパラメ
    ータまたはこれらのパラメータの派生物のすべてまたは一部によって証明するよ
    うに設計される端末装置であって、ここで、パラメータは、 ｍ組の秘密値Ｑ₁，Ｑ₂，…Ｑ_mおよび公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）
    と、 前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）によって構成される公開
    係数ｎと、 公開指数ｖとであり、 前記係数、前記指数、および前記値は、以下のタイプの関係である Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． によって関係付けられ、 前記指数ｖは、 ｖ＝２^k であり、ここで、ｋは、１より大きい機密保護パラメータであり、 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f．より小さい基数ｇ_iの平方
    ｇ_i ²であり、基数ｇ_iは、 ２つの等式である ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、 等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができ、 前記端末装置が、 ｆ個の素因数ｐ_iおよび／または素因数のチャイニーズ剰余の、および／ま
    たは公開係数ｎおよび／またはｍ個の秘密値Ｑ_iのパラメータ、および／または
    秘密値Ｑ_iの、および公開指数ｖのｆ．ｍ個の構成要素Ｑ_i,j（Ｑ_i,j≡Ｑ_iｍｏｄ
    ｐ_j）を含むメモリゾーンを備える証人装置を含み、 前記証人装置は、 証人装置のランダム値生成手段と呼ばれるランダム値生成手段と、 モジュロｎの整数環のコミットメントＲを計算するために、これ以降、証人
    装置のコミットメントＲのための計算手段と呼ばれる計算手段と を含み、各コミットメントを、 ・以下のタイプの演算を実行すること、 Ｒ≡ｒ^vｍｏｄ ｎ ここで、ｒは、ランダム値生成手段によって作成されるランダム値であり、ｒ
    は０＜ｒ＜ｎとなるほどであり ・または、以下のタイプの演算を実行し、 Ｒ_i≡ｒ_i ^vｍｏｄｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iとなるように素数ｐ_iと関連付けられたランダム
    値であって、各ｒ_iは、ランダム値生成手段によって生じるランダム｛ｒ₁，ｒ₂
    ，…ｒ_f｝の集合体に属し、それからチャイニーズ剰余を適用すること のどちらかによって、計算し、 証人装置は、 1以上のチャレンジｄを受信するために、これ以降、証人装置のチャレンジ
    ｄの受信のための手段と呼ばれる受信手段であって、各チャレンジｄが、これ以
    降初歩チャレンジと呼ばれるｍ個の整数ｄ_iを備える受信手段と、 ・以下のタイプの演算を実行することによって、 Ｄ≡ｒ．Ｑ₁ ^d1．Ｑ₂ ^d2．…Ｑ_m ^dmｍｏｄ ｎ ・または、以下のタイプの演算を実行し、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用することによって、 応答Ｄの各チャレンジｄに基づく、これ以降、計算のための証人装置の応答
    Ｄの計算のための手段と呼ばれる計算手段と、 1以上のコミットメントＲおよび1以上の応答Ｄを送信するために送信手段と を含む、 コミットメントＲがあるため、チャレンジｄと同じくらい多くの応答Ｄがあり
    、 数Ｒ，ｄ，Ｄの各群が、｛Ｒ，ｄ，Ｄ｝と参照される三つ組を形成する端末
    装置。
12. 【請求項１２】 前記端末装置は、それがデモンストレータエンティティに
    関連付けられたデモンストレータ装置を含んでおり、前記デモンストレータ装置
    は、相互接続手段によってデモンストレータ装置と相互接続し、特に、例えば、
    マイクロプロセッサベースのバンクカード内のマイクロプロセッサという形など
    のノマッドオブジェクト内の論理マイクロ回路という形を取ることができ、 前記デモンストレータ装置は、特にデータ処理通信網を通して、コントローラ
    エンティティに関連付けられたコントローラ装置へのその電気的、電磁的、光学
    的または音響の接続のための接続手段も含み、 前記コントローラ装置は、特に端末または遠隔サーバの形を取り、 前記コントローラ装置は、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算手段が、請求項１に記載
    されたプロセスを適用することによって各コミットメントＲを計算し、 証人装置は、各コミットメントＲのすべてまたは一部を相互接続手段を通して
    デモンストレータ装置に送信するために、これ以降、証人装置の送信手段と呼ば
    れる送信手段を有し、 デモンストレータ装置は、各コミットメントＲのすべてまたは一部を接続手段
    を通してコントローラ装置に送信するために、これ以降、デモンストレータの送
    信手段と呼ばれる、送信手段も有し、 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為にお
    いて、 証人装置のチャレンジｄの受信手段は、コントローラ装置とデモンストレータ
    装置の間の接続手段を通して、および、デモンストレータ装置と証人装置の間の
    相互接続手段を通して、コントローラ装置から着信する各チャレンジｄを受信し
    、 証人装置の応答Ｄの計算手段は、請求項１に記載されるプロセスを適用するこ
    とにより、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェックという行為において、 デモンストレータの送信手段は、各応答Ｄをチェックを実行するコントローラ
    に送信する という各ステップを実行することを可能にする、デモンストレータと呼ばれてい
    るエンティティの真正性をコントローラと呼ばれているエンティティに証明する
    ように設計される請求項１１に記載される端末装置。
13. 【請求項１３】 前記端末装置は、それがデモンストレータエンティティに
    関連付けられたデモンストレータ装置を含んでおり、前記デモンストレータ装置
    は、相互接続手段によって証人装置と相互接続し、例えば、マイクロプロセッサ
    ベースのバンクカード内のマイクロプロセッサの形などの、ノマッドオブジェク
    ト内の論理マイクロ回路の形を特に取ることができ、 前記デモンストレータ装置は、特に、データ処理通信網を通したコントローラ
    エンティティに関連付けられたコントローラ装置へのその電気的、電磁的、光学
    的または音響の接続のための接続手段を含み、 前記コントローラ装置は、特に、端末または遠隔サーバの形を取り、 前記端末装置は、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算手段が、請求項１に記載
    されるプロセスを適用することによって、各コミットメントＲを計算し、 証人装置は、相互接続手段を通してデモンストレータ装置に各コミットメント
    Ｒのすべてまたは一部を送信するために、これ以降、証人装置の送信手段と呼ば
    れる送信の手段を有し、 ・ステップ２および３のチャレンジｄという行為および応答Ｄという行為にお
    いて、 デモンストレータ装置は、これ以降、デモンストレータの計算手段と呼ばれる
    計算手段を含み、その引数が、メッセージＭおよび各コミットメントＲのすべて
    または一部であるハッシュ関数ｈを適用し、少なくとも１つのトークンＴを計算
    し、 デモンストレータ装置は、コントローラ装置に、接続手段を通して、各トーク
    ンＴを送信するために、これ以降、デモンストレータ装置の送信手段として知ら
    れている送信手段も有し、 （前記コントローラは、トークンＴを受信した後、コミットメントＲの数に等
    しい数のチャレンジｄを作成する。） 証人装置のチャレンジｄの受信手段は、それぞれ、コントローラ装置とデモン
    ストレータ装置の間の接続手段を通して、およびデモンストレータ装置と証人装
    置の間の相互接続手段を通して、コントローラ装置から着信する各チャレンジｄ
    を受信し、 証人装置の応答Ｄの計算の手段は、請求項１に記載されるプロセスを適用する
    ことによって、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェックという行為において、 デモンストレータの送信手段は、各応答Ｄを、チェックを実行するコントロー
    ラ装置に送信する という各ステップを実行するために使用され、 コントローラとして知られるエンティティに対し、デモンストレータとして知
    られるエンティティに関連付けられたメッセージＭの完全性の証明を与えるよう
    に設計される請求項１１に記載される端末装置。
14. 【請求項１４】 前記署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 前記端末装置は、それが署名エンティティと関連付けられた署名デバイスを含
    んでおり、前記署名デバイスは、相互接続手段によって証人装置と相互接続され
    、おそらく、特に、マイクロプロセッサベースのバンクカード内のマイクロプロ
    セッサの形などの、ノマッドオブジェクト内の論理マイクロ回路の形を取り、 前記デモンストレータ装置は、データ処理通信網を通したコントローラエンテ
    ィティと関連付けられたコントローラ装置への、その電気的、電磁的、光学的、
    または音響の接続のための接続手段を含み、 前記コントローラ装置は、特に、端末または遠隔サーバの形を取り、 署名動作において、 前記端末装置を、 ・ステップ１のコミットメントＲという行為において、 各呼び出しでは、証人装置のコミットメントＲの計算の手段が、請求項１に記
    載されるプロセスを適用することによって、各コミットメントＲを計算し、 証人装置は、相互接続手段を通して署名デバイスに各コミットメントＲのすべ
    てまたは一部を送信するために、これ以降、証人装置の送信手段と呼ばれる送信
    の手段を有し、 ・ステップ２のチャレンジｄという行為において、 署名デバイスは、これ以降、署名デバイスの計算手段と呼ばれる計算手段を備
    え、その引数がメッセージＭおよび各コミットメントＲのすべてまたは一部であ
    るハッシュ関数ｈを適用し、バイナリトレインを計算し、このバイナリトレイン
    から、その数がコミットメントＲの数に等しいチャレンジｄを抽出し、 ・ステップ３の応答Ｄという行為において、 証人装置のチャレンジｄの受信のための手段は、相互接続手段を通して署名デ
    バイスから着信する各チャレンジｄを受信し、 証人装置の応答Ｄを計算するための手段は、請求項１に記載されるプロセスを
    適用することによって、チャレンジｄから応答Ｄを計算する、 という各ステップを実行するために使用し、ここで、 証人装置は、相互接続手段を通して、署名デバイスに応答Ｄを送信するために
    、 これ以降、証人装置の送信の手段と呼ばれる送信手段を含み、 署名エンティティと呼ばれるエンティティによる、これ以降、署名済みメッセ
    ージとして知られるメッセージＭのデジタル署名を作成するように設計される請
    求項１１に記載される端末装置。
15. 【請求項１５】 特に、コントローラエンティティに関連付けられた端末ま
    たは遠隔サーバの形を取り、 エンティティの真正性、および／または、 このエンティティに関連付けられたメッセージＭの完全性 を、以下のパラメータまたはこれらのパラメータの派生物のすべてまたは一部
    である ｍ組の公開値Ｇ₁，Ｇ₂，…Ｇ_m（ｍは１以上）と、 コントローラ装置にとって、および関連付けられたコントローラエンティテ
    ィにとって未知である前記ｆ個の素因数ｐ₁，ｐ₂，…ｐ_f（ｆは２以上）の積に
    よって構成される公開係数ｎと、 公開指数ｖと によってチェックするように設計されるコントローラ装置であって、 前記係数、前記指数、および前記値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ． のタイプの関係によって関連付けられ、 ここで、Ｑ_iは、公開値Ｇ_Iに関連付けられたコントローラ装置にとって未知の
    秘密値を指定し、 指数ｖは、 ｖ＝２^k であり、 ここで、ｋは、１より大きい機密保護パラメータであり、 前記公開値Ｇ_iは、ｆ個の素因数ｐ₁，ｐ₂，…ｐ_fより小さい基数ｇ_iの平方ｇ_i ² であり、基数ｇ_iは、 ２つの等式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、 等式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる コントローラ装置。
16. 【請求項１６】 前記コントローラ装置は、デモンストレータエンティティ
    と関連付けられたデモンストレータ装置への、特にデータ処理通信網を通した、
    その電気的、電磁的、光学的、または音響の接続のための接続手段を含み、 前記コントローラ装置を、 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
    う行為において、 前記コントローラ装置は、接続手段を通して、デモンストレータ装置から着信
    するコミットメントＲのすべてまたは一部の受信のための手段も有し、 コントローラ装置は、各コミットメントＲのすべてまたは一部を受信した後、
    コミットメントＲの数に等しい数のチャレンジｄの生成のためのチャレンジ生成
    手段を有し、各チャレンジｄは、これ以降、初歩チャレンジと呼ばれるｍ個の整
    数ｄ_iを含み、 コントローラ装置は、接続手段を通してデモンストレータにチャレンジｄを送
    信するために、これ以降、コントローラの送信手段と呼ばれる送信手段も有し、 ・ステップ３および４の応答Ｄという行為およびチェック行為において、 前記コントローラ装置は、 接続手段を通して、デモンストレータ装置から着信する応答Ｄの受信のため
    の手段と、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含み、 デモンストレータが各コミットメントＲの一部を送信した場合において、 デモンストレータの受信手段が各コミットメントＲの一部を受信すると、ｍ個
    の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手段が、各チ
    ャレンジｄおよび各応答Ｄから、再構築されたコミットメントＲ’を計算し、 この再構築されたコミットメントＲ’は、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄｎ のタイプの関係を満たし、 コントローラ装置の比較手段は、受信された各コミットメントＲのすべてまた
    は一部と、各再構築されたコミットメントＲ’を比較し、 デモンストレータが各コミットメントＲの全体性を送信した場合において、 デモンストレータの送信手段が、各コミットメントＲの全体性を送信した場合
    には、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有するコントローラ装置の計算手
    段および比較手段が、各コミットメントＲが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄｎ のタイプの関係を満たすことを確認する という各ステップを実行するために使用する、デモンストレータと呼ばれるエン
    ティティの真正性を、コントローラと呼ばれるエンティティに対し証明するよう
    に設計される請求項１５に記載されるコントローラ装置。
17. 【請求項１７】 前記コントローラ装置は、特にデータ処理通信網を通した
    、デモンストレータエンティティと関連付けられたデモンストレータ装置へのそ
    の電気的、電磁的、光学的、または音響の接続のための接続手段を含み、 前記システムは、 ・ステップ１および２のコミットメントＲという行為およびチャレンジｄとい
    う行為において、 前記コントローラ装置は、接続手段を通してデモンストレータ装置から着信す
    るトークンＴの受信のための手段も有し、 コントローラ装置は、トークンＴを受信した後、コミットメントＲの数に数で
    等しいチャレンジｄの生成のためのチャレンジ生成手段を有し、各チャレンジｄ
    は、呼び出された初歩チャレンジの後にここにｍ個の整数ｄ_iを含み、 コントローラ装置は、接続手段を通してデモンストレータへチャレンジｄを送
    信するために、コントローラの送信手段と呼ばれる送信手段も有し、 ・ステップ３および４の応答Ｄという行為およびチェック行為において、 コントローラ装置は、 接続手段を通してデモンストレータ装置から着信する応答Ｄの受信のための
    手段と、 第１に、各チャレンジｄおよび各応答Ｄから再構築されたコミットメントＲ
    ’を計算するために、および第２に、メッセージＭおよび各再構築されたコミッ
    トメントＲ’のすべておよび一部として有するハッシュ関数ｈを適用することに
    よってトークンＴを計算するために、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有
    する、コントローラ装置の計算手段と呼ばれる計算手段を含み、この再構築され
    たコミットメントＲ’は、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たし、 計算されたトークンＴ’を受信されたトークンＴと比較するために、これ以
    降、コントローラ装置の比較手段と呼ばれる比較手段と を含む という各ステップの実行を可能にする、コントローラとして知られるエンティテ
    ィに対し、デモンストレータとして知られているエンティティと関連付けられた
    メッセージＭの完全性の証明を与えるように設計される請求項１５に記載される
    コントローラ装置コントローラ装置。
18. 【請求項１８】 ハッシュ関数ｈ（メッセージ，Ｒ）を有する署名エンティ
    ティに関連付けられた署名デバイスによって送信される署名済みメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 チェック動作において、 前記コントローラ装置は、署名エンティティに関連付けられた署名デバイスへ
    の、特にデータ処理通網を通した、その電気的、電磁的、光学的または音響の接
    続のための接続手段を含み、 前記コントローラ装置は、接続手段を通して、署名済みメッセージを、署名さ
    れたデバイスから受信し、 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含み、 ・コントローラ装置が、コミットメントＲ、チャレンジｄ、応答Ｄを有する場
    合において、 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、 ・・コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャ
    レンジｄおよび応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすことを確認し、 ・・監査デバイスの計算手段および比較手段は、メッセージＭ、チャレンジｄ
    およびコミットメントＲが、ハッシュ関数 ｄ’＝ｈ（ｍｅｓｓａｇｅ，Ｒ） を満たすことを確認し、 ・コントローラ装置がチャレンジｄおよび応答Ｄを有する場合において、 コントローラ装置が、チャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラの計算手段は、各チャレンジｄおよび各応答Ｄに基づいて、 Ｒ'≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ'≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係を満たすコミットメントＲ'を計算し、 ・・コントローラ装置の計算手段および比較手段は、メッセージＭおよびチャ
    レンジｄが、ハッシュ関数 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ'） を満たすのを確認し、 ・コントローラ装置がコミットメントＲおよび応答Ｄを有する場合において、 コントローラ装置が、コミットメントＲおよび応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、ハッシュ関数を適用し、 ｄ＝ｈ（ｍｅｓｓａｇｅ，Ｒ） となるように、ｄ'を計算し、 ・・コントローラ装置の計算手段および比較手段は、コミットメントＲ、チャ
    レンジｄ'および応答Ｄが、 Ｒ≡Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．Ｄ^vｍｏｄ ｎ のタイプの関係、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d’¹．Ｇ₂ ^d’²．．．．Ｇ_m ^d’^m．ｍｏｄ ｎ のタイプの関係を満たすのを確認し、 コントローラと呼ばれるエンティティによって署名済みのメッセージをチェッ
    クすることによって、メッセージＭの真正性を証明するように設計される請求項
    １５に記載されるコントローラ装置。