JP2003519447A - エンティティの真正性および／またはメッセージの完全性および／または真正性を証明するための方法、システム、および装置 - Google Patents

Abstract

(57)【要約】 証明は、Ｇ_i.Ｑ_i ^V＝１ ｍｏｄ ｎまたはＧ_i＝Ｑ_i ^V ｍｏｄ ｎのタイプの関係式によって結び付けられた、以下のパラメータである秘密値Ｑ₁および公開値Ｐ_i、ｍ＞１のｍ個の対と、ｆ個の素因数Ｐ_i，ｆ＞２の積によって構成される公開係数ｎと、公開指数ｖとを用いて行なわれる。

Description

【発明の詳細な説明】

【０００１】 本発明は、エンティティ（entity）の真正性および／またはメッセージの完全
性および／または真正性を証明するための方法、システムおよび装置に関するも
のである。

【０００２】 発明者がLouis GuillouおよびJean-Jacques Quisquaterである欧州特許０３
１１４７０Ｂ１号公報は、そのような方法について述べている。以下、その方法
を「ＧＱ特許」または「ＧＱ方法」という言葉で表わす。続いて、本発明を場合
によっては「ＧＱ２」、「ＧＱ２発明」または「ＧＱ２技術」と呼ぶものとする
。

【０００３】 ＧＱ方法によれば、「信頼される当局（trusted authority）」と呼ばれるエ
ンティティは、「証人（witness）」と呼ばれる各エンティティにアイデンティ
ティ(identity)を割当て、そのＲＳＡ署名を計算する。個別化プロセスの間、信
頼される当局は、証人にアイデンティティと署名を与える。続いて、証人は、「
ここに私のアイデンティティがある。私はそのＲＳＡ署名を知っている。」と表
明する。証人は、それを明らかにはしないが、そのアイデンティティのＲＳＡ署
名を知っていることを証明する。信頼される当局によって付与されるＲＳＡ公開
認証鍵（RSA public identification key）によって、「コントローラ(controll
er)」と呼ばれるエンティティは、その内容を知ることなく、ＲＳＡ署名が表明
されたアイデンティティに対応することを認証する。ＧＱ方法を使用するメカニ
ズムは、「知識の移送なく(without transfer of knowledge)」実行される。Ｇ
Ｑ方法によれば、証人は、信頼される当局が多数のアイデンティティに署名する
のに用いるＲＳＡ秘密鍵を知らない。

【０００４】 ＧＱ方法は、５１２ビットまたはそれ以上の数のモジュロ計算を利用する。こ
れらの計算は、およそ２¹⁶＋１のオーダーの累乗と実質的に同じサイズの数に関
するものである。ところで、特にバンクカードの分野における既存のマイクロエ
レクトロニクスのインフラストラクチャは、演算コプロセッサを持たないモノリ
シックの自動プログラミング可能なマイクロプロセッサを使用する。ＧＱ方法の
ような方法によって組み込まれた多様な算術演算に結びついた作業量は、特定の
場合には、購入代金を支払うためにバンクカードを使用する消費者によって不利
益となるような計算時間を引き起こす。ここでは、支払い用カードの機密保護を
増大させようとしながら、銀行当局は、とりわけ解決が難しい問題を抱えている
ことが想起される。というのも、一見矛盾した２つの問題、すなわち、作業量が
ユーザにとって途方もない演算時間となることを防ぎながらも、各カードに対し
て区別され、ますます長くなる鍵を使用しながら機密保護を増大させるという問
題を扱わなければならない。この問題は、さらに現在のインフラストラクチャと
、既存のマイクロプロセッサコンポーネントを考慮に入れる必要があることから
も、特別に困難なものとなる。

【０００５】 上述のＧＱ技術は、ＲＳＡ技術に頼っている。しかし、ＲＳＡ技術が、まさし
く係数ｎの因数分解に依存しているとしても、その依存は、ＲＳＡ技術を利用す
るデジタル署名のさまざまな規格に対する「乗法的アタック（攻撃）」と呼ばれ
るものに見られるように等価ではなく、むしろ全く反対のものである。

【０００６】 ＧＱ２技術の目的は二つある。一方では、ＲＳＡ技術に対する性能を改善する
ことであり、他方では、ＲＳＡ技術に固有の問題を防ぐことである。秘密鍵ＧＱ
２の知識は、係数ｎの因数分解の知識と等価である。３組からなるＧＱ２に対す
るアタックは、係数ｎの因数分解に帰着する。この場合には等価である。ＧＱ２
技術によれば、サインするまたは自己認証するエンティティについても、コント
ローラ・エンティティについても作業量は小さくなる。機密保護と同様に性能に
おいても因数分解の問題を最良に解決することによって、ＧＱ２技術は、ＲＳＡ
技術が有する欠点を防ぐことができる。

【０００７】 （方法） ＧＱ系列に適用されるチャイニーズ剰余法（Chinese remainders method、ま
たは孫氏剰余法ともいわれる。） とりわけ、本発明は、コントローラ・エンティティに対して、エンティティの
真正性および／または、そのエンティティに結びついたメッセージＭの完全性（
integrity）を証明するための方法に関するものである。

【０００８】 この証明は、以下のパラメータの全体またはその一部、またはそれらの導関数
を用いて行なわれる。すなわち、パラメータとは、 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_m（ｍは１以上）のｍ個の
対と、 ｆ個の素因数Ｐ₁、Ｐ₂、…Ｐ_r（ｆは２以上）の積によって構成される公開係
数ｎと、 公開指数ｖとである。

【０００９】 前記係数、前記指数および前記の値は、以下のタイプの関係式によって結び付
けられる。 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ 前記の方法は、以下に規定したステップにしたがって、ｆ個の素因数ｐ_iおよ
び／または素因数のチャイニーズ剰余のパラメータおよび／または公開係数ｎお
よび／またはｍ個の秘密値Ｑ_iおよび／または秘密値と公開指数ｖのｆ．ｍ個の
成分Ｑ_i.j（Ｑ_i.j＝Ｑ_iｍｏｄ ｐ_i）を有する証人と呼ばれるエンティティを利
用する。

【００１０】 証人は、モジュロｎを法とする整数環においてコミットメントＲを演算する。 各コミットメントは、以下のタイプの演算を行うことによって、さらにチャイ
ニーズ剰余法を適用することによって計算される。 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に結びついたランダム値であり、各
ｒ_iは、ランダム値｛ｒ_i、ｒ₂、…ｒ_f｝の集まりに属する。

【００１１】 このようにして、ｐ_iの各々についてのコミットメントＲ_iの各々を計算するた
めに行なわれるモジュロ算術演算（arithmetic operations modulo）の数ｐ_iは
、演算がモジュロｎで行なわれる場合に対して小さくなる。

【００１２】 証人は、1以上のチャレンジｄを受取る。各チャレンジｄは、以下、基本的チ
ャレンジと呼ぶｍ個の整数ｄ_iを有する。証人は、以下のタイプの演算を行うこ
とによって、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i そして、チャイニーズ剰余法を適用することによって、各チャレンジｄから応
答Ｄを計算する。

【００１３】 このようにして、ｐ_iの各々について各応答Ｄ_iを計算するために行なわれるモ
ジュロｐ_i算術演算の数は、演算がモジュロｎで行なわれる場合よりも小さくな
る。

【００１４】 この方法は、チャレンジｄやコミットメントＲと同じ数だけ応答Ｄが存在し、
各グループの数Ｒ、ｄ、Ｄは、｛Ｒ、ｄ、Ｄ｝と記される３項のセットを構成す
る。

【００１５】 （エンティティの真正性の証明の場合） 第一の実施形態においては、本発明による方法は、コントローラと呼ばれるエ
ンティティに対して、デモンストレータと呼ばれるエンティティの真正性を証明
するためのものである。前記のデモンストレータ・エンティティは、証人を含む
。前記のデモンストレータおよびコントローラ・エンティティは、以下のステッ
プを実行する。

【００１６】 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人は、以上に特定したプロセスを適用することによって
、各コミットメントＲを計算する。デモンストレータは、コントローラに対して
、各コミットメントＲの全体または一部を伝達する。

【００１７】 ・ステップ２のチャレンジ行為ｄにおいて コントローラは、各コミットメントＲの全体または一部を受取った後に、コミ
ットメントＲと同じ数のチャレンジｄを生じ、デモンストレータにチャレンジｄ
を伝達する。

【００１８】 ・ステップ３の応答行為Ｄにおいて 証人は、以上に特定したプロセスを適用することによって、チャレンジｄから
応答Ｄを計算する。

【００１９】 ・ステップ４のチェック行為において デモンストレータはコントローラに対して各応答Ｄを伝達する。

【００２０】 （第一の場合：デモンストレータが、各コミットメントＲの一部を伝達した場
合） デモンストレータが、各コミットメントＲの一部を伝達した場合には、コント
ローラは、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各チャレンジ
ｄおよび各応答Ｄから、以下のタイプの関係式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす再構築されたコミットメントＲ’を計算する。 コントローラは、再構築された各コミットメントＲ’が、自らに伝達された各コ
ミットメントＲの全体または一部を再生することを認証する。

【００２１】 （第二の場合：デモンストレータが、各コミットメントＲの完全性を伝達した
場合） デモンストレータが、各コミットメントＲの完全性を伝達した場合には、コン
トローラは、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各コミット
メントＲが、以下のタイプの関係式 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式を Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たすことを認証する。

【００２２】 （メッセージの完全性の証明の場合） 第一の実施形態と組み合わせることができる第二の変形実施形態においては、
本発明による方法は、コントローラと呼ばれるエンティティに、デモンストレー
タと呼ばれるエンティティに結びついたメッセージＭの完全性を証明するための
ものである。前記のデモンストレータ・エンティティは証人を含む。

【００２３】 前記のデモンストレータおよびコントローラ・エンティティは、以下のステッ
プを実行する。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人は、以上に特定したプロセスを適用することによって
各コミットメントＲを計算する。

【００２４】 ・ステップ２のチャレンジ行為ｄにおいて デモンストレータは、少なくとも１つのトークンＴを計算するために、引数と
してメッセージＭと各コミットメントの全体または一部を有するハッシュ関数ｈ
を適用する。デモンストレータは、コントローラにトークンＴを伝達する。コン
トローラは、トークンＴを受取った後に、コミットメントＲと同数のチャレンジ
ｄを生じ、チャレンジｄをデモンストレータに伝達する。

【００２５】 ・ステップ３の応答行為Ｄにおいて 証人は、以上に特定したプロセスを適用することによって、チャレンジｄから
応答Ｄを計算する。

【００２６】 ・ステップ４のチェック行為において デモンストレータは、コントローラに対して各応答Ｄを伝達する。コントロー
ラは、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各チャレンジｄお
よび各応答Ｄから、以下のタイプの関係式を、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式を、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たす再構築されたコミットメントＲ’を計算する。

【００２７】 そして、コントローラは、トークンＴ’を再構築するために、引数としてメッ
セージＭと再構築された各コミットメントＲ’の全体または一部を有するハッシ
ュ関数ｈを適用する。さらに、コントローラは、トークンＴ’が、伝達されたト
ークンＴと同じであることを認証する。

【００２８】 （メッセージのデジタル署名およびその真正性の証明） 署名オペレーション 変形実施形態の両方またはいずれかと組み合わせることができる第三の変形実
施形態においては、本発明による方法は、署名エンティティと呼ばれるエンティ
ティによってメッセージＭのデジタル署名を発生するためのものである。前記の
署名エンティティは証人を含む。

【００２９】 前記の署名エンティティは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄとを 含む署名されたメッセージを得るために、署名オペレーションを実行する。

【００３０】 前記の署名エンティティは、以下のステップを実施しながら署名オペレーショ
ンを実行する。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人は、以上に特定したプロセスを適用することによって
各コミットメントＲを計算する。

【００３１】 ・ステップ２のチャレンジ行為ｄにおいて 署名は、バイナリトレインを得るために、引数として、メッセージＭと各コミ
ットメントを有するハッシュ関数を適用する。署名は、このバイナリトレインか
ら、コミットメントＲと同じ数のチャレンジｄを抽出する。

【００３２】 ・ステップ３の応答行為Ｄにおいて 証人は、以上に特定されたプロセスを適用することによって、チャレンジｄか
ら応答Ｄを計算する。

【００３３】 （チェックオペレーション） メッセージＭの真正性のために、コントローラと呼ばれるエンティティが、署
名されたメッセージをチェックする。署名されたメッセージを自由に使用した前
記のコントローラ・エンティティは、以下に説明するように、チェックオペレー
ションを実行する。

【００３４】 ・コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、
コントローラは、コミットメントＲ、チャレンジｄ、応答Ｄが、以下のタイプの
関係式を、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式を Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを認証する。 そして、コントローラは、メッセージＭ，チャレンジｄ、コミットメントＲが
、ハッシュ関数を満たすことを認証する。 ｄ = h(Ｍ，Ｒ)

【００３５】 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合 コントローラが、チャレンジｄおよび応答Ｄを有する場合には、コントローラ
は、各チャレンジｄおよび各応答Ｄから、以下の関係式を、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下の関係式を Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たすコミットメントＲ’を再構築する。 そして、コントローラは、メッセージＭおよびチャレンジｄが、ハッシュ関数
を満たすことを認証する。 ｄ = h(Ｍ，Ｒ’)

【００３６】 ・コントローラがコミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲと応答Ｄを有する場合には、コントローラ
はハッシュ関数を適用し、ｄ’を再構築する。 ｄ’ = h(Ｍ，Ｒ) そして、コントローラは、コミットメントＲ、チャレンジｄ’、応答Ｄが、以
下のタイプの関係式 Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ を満たすことを認証する。

【００３７】 （最初に秘密値Ｑが選択され、秘密値Ｑから公開値Ｇが推論される場合） 場合によっては、秘密値Ｑと公開値Ｇの対の発生を容易にするために、最初に
秘密値Ｑを選択し、その秘密値Ｑから公開値Ｇが推論される。とりわけその場合
、本発明による方法は、秘密値Ｑ₁の成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fが、前記の素因
数ｐ_jの各々について１つの成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）の割合で、ラ
ンダムに引出された数である。前記の秘密値Ｑ₁は、チャイニーズ剰余法によっ
て、前記成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fから計算することができる。前記の公開値
Ｇ₁は、以下のタイプの演算を行うことによって、 Ｇ_{i, j}≡Ｑ_{i, j} ^v ｍｏｄ ｐ_j さらに、以下のようなＧ₁を確立するためのチャイニーズ剰余法を適用すること
によって、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ 計算される。 このようにして、ｐ_iの各々についてのＧ_i,jの各々を計算するために実行され
るモジュロｐ_i算術演算数は、演算がモジュロｎで実行される場合に比べると小
さくなる。 その場合、有利にも、本発明による方法は、認証の公開指数ｖが素数であるよ
うなものである。機密保護は、秘密値Ｑ_iの知識と等価である。

【００３８】 （最初に公開値Ｇを選択し、その公開値Ｇから秘密値Ｑが推論される場合） その場合、好ましくは、前記の指数ｖは、以下のようになる。 ｖ＝２^k ここで、ｋは１より大きな機密保護パラメータである。 前記の公開値Ｇ_iは、ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fより小さな基数ｇ_iの平方
ｇ_i ²である。基数ｇ_iは、以下の２つの方程式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、さらに、方程式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができるようなものである。

【００３９】 （システム） 本発明はまた、コントローラ・サーバに対して、エンティティの真正性および
／または、このエンティティに結びついたメッセージＭの完全性を証明するため
のシステムに関するものである。

【００４０】 この証明は、以下のパラメータ全体または一部、あるいはそれらの導関数を用
いて行なわれる。 秘密値Ｑ₁、Ｑ₂、…Ｑ_mと公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上であ
る）と、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
上である）と、 公開指数ｖとであり、 前記係数、前記指数および前記の値は、以下のタイプの関係式によって結び付け
られる。 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ

【００４１】 前記システムは、たとえばマイクロプロセッサ用のバンクカードの形状を有す
る、特にノマッドオブジェクトの中に含まれる証人装置を有する。証人装置は、
ｆ個の素因数ｐ_fおよび／または素因数のチャイニーズ剰余のパラメータおよび
／または公開係数ｎおよび／またはｍ個の秘密値Ｑ_iおよび／または秘密値Ｑ_iお
よび公開指数ｖのｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）を含むメモリ
ゾーンを有する。証人装置はまた、以下の 証人装置のランダム値発生手段と呼ばれる、ランダム値発生手段と、 モジュロｎの（ｎを法とする）整数環の中でコミットメントＲを計算するため
の証人装置のコミットメントＲ計算手段とを有し、 各コミットメントは、以下のタイプの演算 Ｒ_i ≡ｒ_i ^v ｍｏｄ ｐ_i を行い、そして、チャイニーズ剰余法を適用することによって、計算される。 ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に結びつくランダムな値であり、
各ｒ_iは、ランダム値発生手段によって発生したランダムな値｛ｒ₁、ｒ₂、…ｒ_f ｝の集まりに属する。 このように、ｐ_iの各々のためにのコミットメントＲ_iの各々を計算するために
実行されるモジュロｐ_i算術演算の数は、演算がモジュロｎで行われる場合に比
べると小さくなる。

【００４２】 証人装置はまた、以下を有する。 1以上のチャレンジｄを受取るために、以下、証人装置のチャレンジｄの受取
り手段と呼ばれる受取り手段であって、各チャレンジｄは、以下、基本的チャレ
ンジｄと呼ばれるｍ個の整数ｄ_iを含み、 次のタイプ Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i の演算を行い、そして、チャイニーズ剰余法を適用することによって、各チャレ
ンジｄから応答Ｄを計算するために、証人装置の応答Ｄの計算手段と呼ばれる計
算手段と を含む。 このようにして、ｐ_iの各々のための応答Ｄ_iの各々を計算するために実行され
るモジュロｄ_i算術演算数は、モジュロｎで演算が行われる場合に比べて小さく
なる。

【００４３】 前記の証人装置はまた、1以上のコミットメントＲおよび1以上の応答Ｄを伝達
するための伝達手段を有する。チャレンジｄやコミットメントＲと同じ数の応答
Ｄが存在する。各グループの数Ｒ、ｄ、Ｄは、｛Ｒ、ｄ、Ｄ｝と記される３つ組
を構成する。

【００４４】 （エンティティの真正性の証明の場合） 第一の変形実施形態においては、本発明によるシステムは、コントローラと呼
ばれるエンティティに対して、デモンストレータと呼ばれるエンティティの真正
性を証明するためのものである。

【００４５】 前記システムは、デモンストレータ・エンティティに結びついたデモンストレ
ータ装置を含んでいる。前記のデモンストレータ装置は、相互接続手段によって
証人装置に相互接続される。それは、たとえば、マイクロプロセッサタイプバン
クカード内でマイクロプロセッサの形を有するノマッドオブジェクト内で論理マ
イクロ回路の形を有することができる。

【００４６】 前記のシステムはまた、コントローラ・エンティティに結びついたコントロー
ラ装置を含む。前記のコントローラ装置は、特に、遠隔サーバまたは端末の形を
有する。前記のコントローラ装置は、特に、電気的に、電磁気的に、光学的にま
たは音声として、情報処理通信網を介して、デモンストレータ装置に接続するた
めの接続手段を含む。

【００４７】 前記システムは以下のステップを実行することを可能にする。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、以上に特定し
たプロセスを適用することによって、各コミットメントＲを計算する。証人装置
は、相互接続手段を介して、デモンストレータ装置に、各コミットメントＲの全
体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれる伝達手段
を有する。デモンストレータ装置はまた、接続手段を介して、コントローラ装置
に各コミットメントＲの全体または一部を伝達するために、以下、デモンストレ
ータ装置の伝達手段と呼ばれる伝達手段を有する。

【００４８】 ・ステップ２のチャレンジ行為ｄにおいて コントローラ装置は、各コミットメントＲの全体または一部を受取った後に、
コミットメントＲと同じ数のチャレンジｄを生じるために、チャレンジの発生手
段を有する。コントローラ装置はまた、接続手段を介して、デモンストレータに
チャレンジｄを伝達するために、以下、コントローラの伝達手段と呼ばれる、伝
達手段を有する。

【００４９】 ・ステップ３の応答行為Ｄにおいて 証人装置のチャレンジｄの受取り手段は、相互接続手段を介して、デモンスト
レータ装置から生じる各チャレンジｄを受取る。証人装置の応答Ｄの計算手段は
、以上に特定したプロセスを適用することによって、チャレンジｄから応答Ｄを
計算する。

【００５０】 ・ステップ４のチェック行為において デモンストレータの伝達手段は、コントローラに各応答Ｄを伝達する。コント
ローラ装置はまた、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００５１】 （デモンストレータが各コミットメントＲの一部を伝達した場合） デモンストレータの伝達手段が、各コミットメントＲの一部を伝達した場合に
は、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有するコントローラ装置の計算手段が、各
チャレンジｄおよび各応答Ｄから、以下のタイプの関係式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす再構築されたコミットメントＲ’を計算する。 コントローラ装置の比較手段は、再構築された各コミットメントＲ’と、受取
られた各コミットメントＲの全体または一部とを比較する。

【００５２】 デモンストレータが各コミットメントＲの完全性を伝達した場合 デモンストレータの伝達手段が、各コミットメントＲの完全性を伝達した場合
には、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する、コントローラの計算手段および
比較手段が、各コミットメントＲが次のタイプの関係式を、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、次のタイプの関係式を Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たすことを認証する。

【００５３】 （メッセージの完全性の証明の場合） 第一の変形形態と組み合わせることができる第二の変形実施形態においては、
本発明によるシステムは、コントローラと呼ばれるエンティティに対して、デモ
ンストレータと呼ばれるエンティティに関連したメッセージＭの完全性を証明す
るためのものである。前記のシステムは、デモンストレータ・エンティティに結
びついたデモンストレータ装置を有するようなものである。前記のデモンストレ
ータ装置は、相互接続手段によって証人装置に相互接続される。それは、たとえ
ばマイクロプロセッサ型バンクカード内でマイクロプロセッサの形を有するノマ
ッドオブジェクトの中で論理マイクロ回路の形を含むことができる。前記のシス
テムはまた、コントローラ・エンティティに関連したコントローラ装置を含む。
前記のコントローラ装置は特に、遠隔サーバまたは端末の形を有する。前記のコ
ントローラ装置は、特に、情報処理通信網を介して、電気的、電磁的、光学的に
、または音声として、デモンストレータ装置に接続するための接続手段を有する
。前記のシステムは以下のステップを実行する。

【００５４】 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、以上に特定し
たプロセスを適用することによって、各コミットメントＲを計算する。証人装置
は、相互接続手段を介して、デモンストレータ装置に対して各コミットメントＲ
の全体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれる伝達
手段を有する。

【００５５】 ・ステップ２のチャレンジ行為ｄにおいて デモンストレータ装置は、少なくとも１つのトークンＴを計算するために、引
数としてメッセージＭと各コミットメントＲの全体または一部とを有するハッシ
ュ関数を適用する、以下、デモンストレータ装置の計算手段と呼ばれる計算手段
を含む。デモンストレータ装置はまた、接続手段を介して、コントローラ装置に
対して、各トークンＴを伝達するために、以下、デモンストレータの伝達手段と
呼ばれる伝達手段を有する。コントローラ装置はまた、トークンＴを受取った後
に、コミットメントＲと同じ数のチャレンジｄを生じるためのチャレンジ発生手
段を有する。コントローラ装置はまた、接続手段を介して、デモンストレータに
チャレンジｄを伝達するために、以下、コントローラ装置の伝達手段と呼ばれる
伝達手段を有する。

【００５６】 ・ステップ３の応答行為Ｄにおいて 証人装置のチャレンジｄの受取り手段は、相互接続手段を介して、デモンスト
レータ装置から生じる各チャレンジｄを受取る。証人装置の応答Ｄの計算手段は
、以上に特定したプロセスを適用することによって、チャレンジｄから応答Ｄを
計算する。

【００５７】 ・ステップ４のチェック行為において デモンストレータの伝達手段は、コントローラに対して各応答Ｄを伝達する。
コントローラ装置はまた、まず、各チャレンジｄおよび各応答Ｄから、以下のタ
イプの関係式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす再構築されたコミットメントＲ’を計算し、 そして、次に、引数としてメッセージＭと再構築された各コミットメントＲ’
の全体または一部を有するハッシュ関数ｈを適用しながら、トークンＴ’を計算
するために、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する、以下、コントローラ装置
の計算手段と呼ばれる計算手段を有する。

【００５８】 コントローラ装置はまた、トークンＴ’を受取られたトークンＴと比較するた
めに、以下、コントローラ装置の比較手段と呼ばれる、比較手段を有する。

【００５９】 （メッセージのデジタル署名およびその真正性の証明） [署名オペレーション] 他の２つの変形形態のいずれかまたは両方と組み合わせることができる第三の
実施変形形態においては、本発明によるシステムは、署名エンティティと呼ばれ
るエンティティによって、以下、署名されたメッセージと呼ばれる、メッセージ
Ｍのデジタル署名を生じるためのものである。 署名されたメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【００６０】 前記システムは、署名エンティティに結びつく署名装置を有するようなもので
ある。前記署名装置は、相互接続手段によって証人装置に相互接続され、特に、
たとえば、マイクロプロセッサ型バンクカード内でマイクロプロセッサの形状を
有するノマッドオブジェクトの中で論理マイクロ回路の形状を有することができ
る。

【００６１】 前記システムは以下のステップを実行することができる。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、以上に特定さ
れたプロセスを適用することによって、各コミットメントＲを計算する。 証人装置は、相互接続手段を介して、各コミットメントＲの全体または一部を
署名装置に伝達するために、以下、証人装置の伝達手段と呼ばれる伝達手段を有
する。

【００６２】 ・ステップ２のチャレンジ行為ｄにおいて 署名装置は、バイナリトレインを計算し、そのトレインから、コミットメント
Ｒと同じ数のチャレンジｄを抽出するために、引数としてメッセージＭと各コミ
ットメントＲの全体または一部を有するハッシュ関数ｈを適用する、以下、署名
装置の計算手段と呼ばれる計算手段を有する。

【００６３】 ・ステップ３の応答行為Ｄにおいて 証人装置のチャレンジｄの受取り手段は、相互接続手段を介して、署名装置か
ら生じる各チャレンジｄを受取る。証人装置の応答Ｄの計算手段は、以上に特定
したプロセスを適用しながら、チャレンジｄから応答Ｄを計算する。証人装置は
、相互接続手段を介して、署名装置に応答Ｄを伝達するために、以下、証人装置
の伝達手段と呼ばれる伝達装置を有する。

【００６４】 （チェックオペレーション） コントローラと呼ばれるエンティティによって、メッセージＭの真正性を証明
するために、署名されたメッセージがコントロールされる。 システムは、コントローラ・エンティティに結びついたコントローラ装置を有
する。前記のコントローラ装置は、特に端末または遠隔サーバの形を有すること
ができる。前記のコントローラ装置は、情報処理通信網を介して、デモンストレ
ータ装置に、電気的、電磁的、光学的に、または音声として、接続するための接
続手段を有する。署名エンティティに結びついた前記署名装置は、接続手段を通
して、署名されたメッセージをコントローラ装置に伝達するために、以下、署名
装置の伝達手段と呼ばれる、伝達手段を有する。このようにして、署名されたメ
ッセージを有するコントローラ装置は、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【００６５】 ・コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
は、コントローラ装置の計算および比較手段は、コミットメントＲ、チャレンジ
ｄ、応答Ｄが、以下のタイプの関係式を、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式を Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たすことを認証する。 そして、コントローラ装置の計算および比較手段は、メッセージＭ、チャレン
ジｄ、コミットメントＲが、以下のハッシュ関数 ｄ = ｈ（Ｍ,Ｒ） を満たすことを認証する。

【００６６】 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合 コントローラ装置がチャレンジｄおよび応答Ｄを有する場合には、コントロー
ラ装置の計算手段は、各チャレンジｄおよび各応答Ｄから、以下のタイプの関係
式を、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式を Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ 満たすコミットメントＲ’を計算する。 そして、コントローラ装置の計算および比較手段は、メッセージＭとチャレン
ジｄが、以下のハッシュ関数を満たすことを認証する。 ｄ = ｈ（Ｍ,Ｒ’）

【００６７】 ・コントローラがコミットメントＲと応答Ｄを有する場合 コントローラ装置がコミットメントＲと応答Ｄを有する場合には、コントロー
ラ装置の計算手段は、ハッシュ関数を適用し、以下の ｄ’= ｈ（Ｍ,Ｒ） ようなｄ’を計算する。 そして、コントローラ装置の計算および比較手段は、コミットメントＲ、チャ
レンジｄ’、応答Ｄが、以下のタイプの関係式 Ｒ’≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ または以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ を満たすことを認証する。

【００６８】 （最初に秘密値Ｑが選択され、秘密値Ｑから公開値Ｇが推論される場合） 場合によっては、秘密値Ｑと公開値Ｇの対の発生を容易にするために、最初に
秘密値Ｑを選択し、その秘密値Ｑから公開値Ｇが推論される。とりわけその場合
には、本発明による方法は、秘密値Ｑ₁の成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fが、前記の
素因数ｐ_iの各々について１つの成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）の割合で
、ランダムに引出された数である。前記の秘密値Ｑ₁は、チャイニーズ剰余法に
よって、前記成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fから計算することができる。前記の公
開値Ｇ_iは、以下のタイプの演算を行うことによって、 Ｇ_{i, j}≡Ｑ_{i, j} ^v ｍｏｄ ｐ_j さらに、以下の Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ ようなＧ_iを確立するためのチャイニーズ剰余法を適用することによって、 計算される。

【００６９】 このようにして、ｐ_iの各々についてのＧ_i,jの各々を計算するために実行され
るモジュロｐ_i算術演算数は、演算がｎモジュロで実行される場合に比べると小
さくなる。 その場合、有利にも、本発明による方法は、認証の公開指数ｖが素数であるよ
うなものである。機密保護は、秘密値Ｑ_iの知識と等価であることが証明される
。

【００７０】 （最初に公開値Ｇを選択し、その公開値Ｇから秘密値Ｑが推論される場合） その場合、好ましくは、前記の指数ｖは、以下のようになる。 ｖ＝２^k ここで、ｋは１より大きな機密保護パラメータである。前記の公開値Ｇ_iは、
ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fより小さな基数ｇ_iの平方ｇ_i ²である。基数ｇ_iは
、以下の２つの方程式、 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、以下の方程式が ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの（ｎを法として）整数環のｘについて解くことができるような
ものである。

【００７１】 （端末装置） ＧＱ系列に適用されるチャイニーズ剰余法 本発明はまた、エンティティに結びついた端末装置に関するものである。端末
装置は、たとえばマイクロプロセッサ型バンクカードの形でノマッドオブジェク
トの形を有する。端末装置は、コントローラ装置に対して、 エンティティの真正性および／または、 そのエンティティに結びついたメッセージＭの完全性 を証明するためのものである。

【００７２】 この証明は、以下のパラメータのすべてまたは一部、あるいはその導関数によ
って確立される。 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上
である）と、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
上である）と、 公開指数ｖとであり、 前記係数、前記指数および前記の値は、以下のタイプの関係式 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ によって結び付けられる。

【００７３】 前記端末装置は、証人装置を有し、その証人装置は、ｆ個の素因数ｐ_iおよび
／または素因数のチャイニーズ剰余および／または公開係数ｎのパラメータおよ
び／またはｍ個の秘密値Ｑ_iおよび／または秘密値Ｑ_iおよび公開指数ｖのｆ．ｍ
個の成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）を含むメモリゾーンを有する。証人装
置はまた、 証人装置のランダム値発生手段と呼ばれるランダム値発生手段と、 証人装置のコミットメントＲの計算手段と呼ばれる計算手段と を有し、 これら計算手段は、モジュロｎの整数環の中でコミットメントＲを計算すること
を可能にする。各コミットメントは、以下のタイプの演算 Ｒ_i ≡ｒ_i ^v ｍｏｄ ｐ_i を行い、そして、チャイニーズ剰余法を適用することによって、計算される。 ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に結びつくランダムな値であり、各
ｒ_iは、ランダム値発生手段によって発生したランダムな値｛ｒ₁、ｒ₂、…ｒ_f｝
の集まりに属する。

【００７４】 証人装置はまた、 1以上のチャレンジｄを受取るために、以下、証人装置のチャレンジｄの受取
り手段と呼ばれる受取り手段、各チャレンジｄは、以下、基本的チャレンジｄと
呼ばれる、ｍ個の整数ｄ_iを有する。 次のタイプの演算 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i を行い、そして、チャイニーズ剰余法を適用することによって、各チャレンジｄ
から応答Ｄを計算するために、証人装置の応答Ｄの計算手段と呼ばれる計算手段
と を含む。

【００７５】 このようにして、ｐ_iの各々について応答Ｄ_iの各々を計算するために実行され
るモジュロｐ_i算術演算数は、モジュロｎで演算が行われる場合に比べて小さく
なる。

【００７６】 証人装置はまた、1以上のコミットメントＲおよび1以上の応答Ｄを伝達するた
めの伝達手段を有する。チャレンジｄやコミットメントＲと同じ数の応答Ｄが存
在する。各グループの数Ｒ、ｄ、Ｄは、｛Ｒ、ｄ、Ｄ｝と記される３つ組を構成
する。

【００７７】 （エンティティの真正性の証明の場合） 第一の変形実施形態においては、本発明による端末装置は、コントローラと呼
ばれるエンティティに対して、デモンストレータと呼ばれるエンティティの真正
性を証明するためのものである。

【００７８】 前記端末装置は、デモンストレータ・エンティティに結びついたデモンストレ
ータ装置を有するようなものである。前記のデモンストレータ装置は、相互接続
手段によって証人装置に相互接続される。それは、たとえば、マイクロプロセッ
サ型バンクカード内でマイクロプロセッサの形を有するノマッドオブジェクトの
中で論理マイクロ回路の形を有することができる。

【００７９】 前記デモンストレータ装置はまた、情報処理通信網を介して、特に、電気的に
、電磁気的に、光学的に、または音声として、コントローラ・エンティティに結
びついたコントローラ装置に、接続するための接続手段を有する。前記コントロ
ーラ装置は、特に端末または遠隔サーバの形を有する。

【００８０】 前記端末装置は、以下のステップを実行することを可能にする。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、以上に特定し
たプロセスを適用することによって、各コミットメントＲを計算する。 証人装置は、相互接続手段を介して、デモンストレータ装置に、各コミットメ
ントＲの全体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれ
る、伝達手段を有する。デモンストレータ装置はまた、接続手段を介して、コン
トローラ装置に各コミットメントＲの全体または一部を伝達するために、以下、
デモンストレータ装置の伝達手段と呼ばれる伝達手段を有する。

【００８１】 ・ステップ２および３のチャレンジ行為ｄおよび応答行為Ｄ 証人装置のチャレンジｄの受取り装置は、コントローラ装置とデモンストレー
タ装置との間の接続手段を介して、さらにデモンストレータ装置と証人装置との
間の相互接続手段を介して、コントローラ装置から生じた各チャレンジｄを受取
る。証人装置の応答Ｄの計算手段は、以上に特定したプロセスを適用しながら、
チャレンジｄから応答Ｄを計算する。

【００８２】 ・ステップ４のチェック行為において デモンストレータの伝達装置は、チェックを行うコントローラ装置に各応答Ｄ
を伝達する。

【００８３】 （メッセージの完全性の証明の場合） 他の変形形態と組み合わせることができる第二の変形実施形態においては、本
発明による端末装置は、コントローラと呼ばれるエンティティに対して、デモン
ストレータと呼ばれるエンティティに結びついたメッセージＭの完全性を証明す
るためのものである。端末装置は、デモンストレータ・エンティティに結びつい
たデモンストレータ装置を有するようなものである。前記のデモンストレータ装
置は、相互接続手段によって証人装置に相互接続される。それは、たとえばマイ
クロプロセッサ型バンクカード内でマイクロプロセッサの形を有するノマッドオ
ブジェクトの中で論理マイクロ回路の形を有することができる。前記のデモンス
トレータ装置は、特に、情報処理通信網を介して、電気的、電磁的、光学的に、
または音声として、コントローラ・エンティティに結びついたコントローラ装置
に接続するための接続手段を有する。前記のコントローラ装置は特に、遠隔サー
バまたは端末の形を有する。

【００８４】 前記の端末装置は以下のステップを実行することができる。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、上記に特定し
たプロセスを適用することによって、各コミットメントＲを計算する。証人装置
は、相互接続手段を介して、デモンストレータ装置に対して各コミットメントＲ
の全体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれる伝達
手段を有する。

【００８５】 ・ステップ２および３のチャレンジ行為ｄおよび応答行為 デモンストレータ装置は、少なくとも１つのトークンＴを計算するために、引
数としてメッセージＭと各コミットメントＲの全体または一部を有するハッシュ
関数を適用する、以下、デモンストレータ装置の計算手段と呼ばれる計算手段を
有する。デモンストレータ装置はまた、接続手段を介して、コントローラ装置に
対して、各トークンＴを伝達するために、以下、デモンストレータの伝達手段と
呼ばれる伝達手段を有する。

【００８６】 前記のコントローラ装置はまた、トークンＴを受取った後に、コミットメント
Ｒと同じ数のチャレンジｄを発生する。 証人装置のチャレンジｄの受取り手段は、デモンストレータ装置と証人装置と
の間の相互接続手段を介して、デモンストレータ装置から生じる各チャレンジを
受取る。証人装置の応答Ｄの計算手段は、上記に特定したプロセスを適用するこ
とによって、チャレンジｄから応答Ｄを計算する。

【００８７】 ・ステップ４のチェック行為において デモンストレータの伝達装置は、チェックを行うコントローラ装置に各応答Ｄ
を伝達する。

【００８８】 （メッセージのデジタル署名およびその真正性の証明） 署名オペレーション 他の変形形態と組み合わせることができる第三の実施変形形態においては、本
発明による端末装置は、署名エンティティと呼ばれるエンティティによって、以
下、署名されたメッセージと呼ばれるメッセージＭのデジタル署名を生じるため
のものである。 署名されたメッセージは、 メッセージＭと、 チャレンジｄおよびまたはコミットメントＲと、 応答Ｄと を含む。

【００８９】 前記の端末装置は、署名エンティティに結びつく署名装置を有するようなもの
である。前記署名装置は、相互接続手段によって証人装置に相互接続される。特
に、たとえば、マイクロプロセッサ型バンクカード内のマイクロプロセッサの形
状を有するノマッドオブジェクトの中で論理マイクロ回路の形状を有することが
できる。前記の署名装置は、特に、情報処理通信網を介して、電気的、電磁的、
光学的にまたは音声として、コントローラ・エンティティに結びついたコントロ
ーラ装置に接続するための接続手段を有する。前記のコントローラ装置は特に、
遠隔サーバまたは端末の形を有する。

【００９０】 前記の端末装置は、以下のステップを実行することができる。 ・ステップ１のコミットメント行為Ｒにおいて 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、以上に特定さ
れたプロセスを適用することによって、各コミットメントＲを計算する。証人装
置は、相互接続手段を介して、各コミットメントＲの全体または一部を署名装置
に伝達するために、以下、証人装置の伝達手段と呼ばれる伝達手段を有する。

【００９１】 ・ステップ２のチャレンジ行為ｄにおいて 署名装置は、バイナリトレインを計算し、そのトレインから、コミットメント
Ｒと同じ数のチャレンジｄを抽出するために、引数としてメッセージＭと各コミ
ットメントＲの全体または一部を有するハッシュ関数ｈを適用する、以下、署名
装置の計算手段と呼ばれる計算手段を有する。

【００９２】 ・ステップ３の応答行為Ｄにおいて チャレンジｄの受取り手段は、相互接続手段を介して、署名装置から生じる各
チャレンジｄを受取る。証人装置の応答Ｄの計算手段は、以上に特定したプロセ
スを適用しながら、チャレンジｄから応答Ｄを計算する。証人装置は、相互接続
手段を介して、署名装置に応答Ｄを伝達するために、以下、証人装置の伝達手段
と呼ばれる伝達装置を有する。

【００９３】 （コントローラ装置） ＧＱ系列全体に適用されるチャイニーズ剰余法 本発明はまた、コントローラ装置に関するものである。コントローラ装置は、
特に、コントローラ・エンティティに結びついた端末または遠隔サーバの形を有
することができる。コントローラ装置は、コントローラ・サーバに対して、エン
ティティの真正性および／または、そのエンティティに結びついたメッセージＭ
の完全性を証明するためのものである。

【００９４】 この証明は、以下のパラメータ全体または一部、あるいはその導関数を用いて
行なわれる。 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上
である）と、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
上である）と、 公開指数ｖとである。

【００９５】 前記係数、前記指数、前記の値は、以下のタイプの関係式によって結び付けら
れる。 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ ここにおいて、Ｑ₁は、公開値Ｇ_iに結びついた、コントローラ装置の未知の秘
密値を示している。

【００９６】 （エンティティの真正性の証明の場合） 他の実施形態と組み合わせることができる、第一の変形実施形態においては、
本発明によるコントローラ装置は、コントローラと呼ばれるエンティティに対し
て、デモンストレータと呼ばれるエンティティの真正性を証明するためのもので
ある。

【００９７】 前記のコントローラ装置は、情報処理通信網を介して、特に、電気的に、電磁
気的に、光学的にまたは音声として、デモンストレータ・エンティティに結びつ
いたデモンストレータ装置に接続するための接続手段を有する。

【００９８】 前記コントローラ装置は以下のステップを実行することを可能にする。 ・ステップ１および２のコミットメント行為Ｒおよびチャレンジ行為 前記のコントローラ装置はまた、接続手段を介して、デモンストレータ装置か
ら生じるコミットメントＲの全体または一部の受取り手段を有する。 コントローラ装置は、各コミットメントＲの全体または一部を受取った後に、
コミットメントＲと同じ数のチャレンジｄを生じるための発生手段を有し、各チ
ャレンジｄは、基本的チャレンジｄと呼ばれる、ｍ個の整数ｄ_iを有する。 コントローラ装置はまた、接続手段を介して、デモンストレータにチャレンジ
ｄを伝達するために、以下、コントローラ装置の伝達手段と呼ばれる伝達手段を
有する。

【００９９】 ・ステップ３および４の応答行為およびチェック行為 コントローラ装置はまた、 接続手段を介して、デモンストレータ装置から発生する応答Ｄを受取る手段と
、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【０１００】 （第一の場合：デモンストレータが、各コミットメントＲの一部を伝達した場
合） コントローラ装置の受取り手段が、各コミットメントＲの一部を受取った場合
には、コントローラ装置の計算手段は、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する
ことによって、各チャレンジｄおよび各応答Ｄから、以下のタイプの関係式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす再構築されたコミットメントＲ’を計算する。 コントローラ装置の比較手段は、受取った各コミットメントＲの全体または一
部と再構築された各コミットメントＲ’を比較する。

【０１０１】 （第二の場合：デモンストレータが、各コミットメントＲの完全性を伝達した
場合） コントローラ装置の受取り手段が、各コミットメントＲの完全性を受取った場
合には、コントローラ装置の計算手段および比較手段は、ｍ個の公開値Ｇ₁、Ｇ₂ 、…Ｇ_mを有することによって、各コミットメントＲが、以下のタイプの関係式 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを認証する。

【０１０２】 （メッセージの完全性の証明の場合） 他の実施形態と組み合わせることができる第二の変形実施形態においては、本
発明によるコントローラ装置は、デモンストレータと呼ばれるエンティティに結
びついたメッセージＭの完全性を証明するためのものである。 前記のコントローラ装置は、特に情報処理通信網を介して、デモンストレータ
・エンティティに結びついたデモンストレータ装置に、電気的、電磁的、光学的
にまたは音声として、接続するための接続手段を有する。

【０１０３】 前記のコントローラ装置は、以下のステップを実行することができる。 ・ステップ１および２のコミットメント行為Ｒおよびチャレンジ行為 前記のコントローラ装置はまた、接続手段を介して、デモンストレータ装置か
ら発生するトークンＴの受取り手段を有する。コントローラ装置はまた、トーク
ンＴを受取った後に、コミットメントＲと同じ数のチャレンジを発生するための
チャレンジ発生手段を有し、各チャレンジｄは、以下、基本的チャレンジｄと呼
ばれる、ｍ個の整数を有する。コントローラ装置はまた、接続手段を介して、デ
モンストレータにチャレンジｄを伝達するために、以下、コントローラ装置の伝
達手段と呼ばれる、伝達手段を有する。

【０１０４】 ・ステップ３および４の応答行為Ｄおよびチェック行為 コントローラ装置は、接続手段を介して、デモンストレータ装置から発生する
応答Ｄの受取り手段を有する。コントローラ装置はまた、ｍ個の公開値Ｇ₁、Ｇ₂ 、…Ｇ_mを自由に使用し、まず、各チャレンジｄおよび各応答Ｄから、以下のタ
イプの関係式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たす再構築されたコミットメントＲ’を計算し、 そして、次に、引数としてメッセージＭと再構築された各コミットメントＲ’と
を有するハッシュ関数ｈを適用することによって、トークンＴ’を計算するため
の、以下、コントローラ装置の計算手段と呼ばれる計算手段を有する。 コントローラ装置はまた、トークンＴ’と受取ったトークンＴとを比較するた
めに、以下、コントローラ装置の比較手段と呼ばれる比較手段を有する。

【０１０５】 （メッセージのデジタル署名およびその真正性の証明） 他の変形形態と組み合わせることができる第三の実施変形形態においては、本
発明によるコントローラ装置は、以下、コントローラ・エンティティと呼ばれる
エンティティによって、署名されたメッセージをチェックすることによって、メ
ッセージＭの真正性を証明するためのものである。

【０１０６】 ハッシュ関数ｈ（Ｍ、Ｒ）を有する、署名エンティティに結びついた署名装置
によって発生した署名されたメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む。

【０１０７】 前記コントローラ装置は、電気的、電磁的、光学的にまたは音声として、特に
情報処理通信網を介して、署名エンティティに結びつく署名装置に接続するため
の接続手段を有する。前記コントローラ装置は、接続手段を介して、署名装置の
署名されたメッセージを受取る。 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む。

【０１０８】 ・コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
は、コントローラ装置の計算および比較手段は、コミットメントＲ、チャレンジ
ｄ、応答Ｄが、以下のタイプの関係式 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすことを認証する。 そして、コントローラ装置の計算および比較手段は、メッセージＭ、チャレン
ジｄ、コミットメントＲが、以下のハッシュ関数を満たすことを認証する。 ｄ = ｈ（Ｍ,Ｒ）

【０１０９】 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合 コントローラ装置がチャレンジｄおよび応答Ｄを有する場合には、コントロー
ラ装置の計算手段は、各チャレンジｄおよび各応答Ｄから、以下のタイプの関係
式 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ または、以下のタイプの関係式 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ を満たすコミットメントＲ’を計算する。 そして、コントローラ装置の計算および比較手段は、メッセージＭとチャレン
ジｄが、以下のハッシュ関数 ｄ = ｈ（Ｍ,Ｒ’） を満たすことを認証する。

【０１１０】 ・コントローラがコミットメントＲと応答Ｄを有する場合 コントローラ装置が、コミットメントＲと応答Ｄを有する場合には、コントロ
ーラ装置の計算手段は、ハッシュ関数を適用し、以下の ｄ’ = ｈ（Ｍ,Ｒ） ようなｄ’を計算する。 そして、コントローラ装置の計算および比較手段は、コミットメントＲ、チャ
レンジｄ’、応答Ｄが、以下のタイプの関係式 Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ または以下のタイプの関係式 Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ を満たすことを認証する。 [公開指数ｖ＝２^kの場合の変形実施形態の詳細な説明]

【０１１１】 （説明） ＧＱ技術の目的を思い起そう。エンティティと、結びついたメッセージとの動
的な真正性、そしてメッセージのデジタル署名である。 従来のＣＱ技術は、ＲＳＡ技術に頼っている。しかし、ＲＳＡ技術は、まさし
く係数ｎの因数分解に依存しているとしても、その依存は等価のものではなく、
それどころか、ＲＳＡ技術を利用するデジタル署名のさまざまな規格に対する「
乗法」と呼ばれるアプローチが示しているように、正反対である。

【０１１２】 ＧＱ２技術の枠組みにおいては、発明のこの部分は、より厳密には、動的な真
正性とデジタル署名の枠組みの中でＧＱ２の鍵の集合の使用に関するものである
。ＧＱ２技術はＲＳＡ技術に頼らない。その目的は二つある。一つは、ＲＳＡ技
術に対して性能を改善することであり、二つめは、ＲＳＡ技術に固有の問題を防
ぐことである。秘密鍵ＧＱ２は、係数ｎの因数分解である。ＧＱ２の３つ組のレ
ベルにおけるあらゆるアプローチは、係数ｎの因数分解に帰着し、この場合には
等価である。ＧＱ２技術では、チェックするエンティティについてと同様に、サ
インするまたは認証されるエンティティについても、作業量が小さくなる。機密
保護においても性能においても、因数分解の問題をできるだけ解決することによ
って、ＧＱ２技術はＲＳＡ技術と競えるものである。

【０１１３】 ＧＱ２技術は、１より大きい1以上の小さな整数、すなわちｇ_iで記される≪基
数≫と呼ばれるｍ個の小さな整数（ｍ≧１）を使用する。基数は、ｍ≧１の場合
には、ｇ₁からｇ_mと定められ、認証用の公開鍵<ｖ、ｎ>は、以下のように選択さ
れる。認証用の公開指数ｖは２^kであり、ここで、ｋは、１より大きい整数であ
る（ｋ≧２）。公開係数ｎは、基数より大きな少なくとも２つの素因数の積、す
なわち、ｐ_jと記されるｆ個の素因数ｐ₁…ｐ_f（ｆ≧２）の積である。ｆ個の素
因数は、公開係数ｎが、ｇ₁からｇ_mのｍ個の基数の各々に対して、以下の特性を
有するように選択される。 一方では、方程式（数１）および（数２）が、モジュロｎの整数環の中でｘに
ついて解を持たない、すなわち、ｇ_iおよびｇ_iが２つの非平方剰余である（ｍｏ
ｄ ｎ）。

【数１】

【数２】

【数３】 他方、方程式（数３）は、モジュロｎの（ｎを法とする）整数環の中でｘにお
いて解をもつ。

【０１１４】 認証用の公開鍵<ｖ、ｎ>は、ｍ≧１の場合、基数 ｇ₁からｇ_mにしたがって定
められることから、各基数ｇ_iは、公開鍵Ｇ_iと秘密鍵Ｑ_iを有する値の対を決定
する。すなわち、Ｇ_iＱ_iからＧ_mＱ_mと記されたｍ個の対である。公開値Ｇ_iは、
基数ｇ_iの平方である。すなわち、Ｇ_i= ｇ_i ²となる。秘密値Ｑ_iは、方程式（数
３）の解の一つ、あるはまたそのような解の逆数（ｍｏｄ ｎ）である。

【０１１５】 係数ｎが、ｆ個の素因数に分解されるのと同様に、ｎを法とする整数環は、Ｃ
Ｇ（ｐ₁）からＣＧ（ｐ_f）までのｆ個のガロア体（Galois field）に分解される
。以下は、ＣＧ（ｐ_j）における方程式（数１）、（数２）、（数３）の射影で
ある。

【数４】

【数５】

【数６】

【０１１６】 各秘密値Ｑ_iは、素因数ごとに一つの割合のｆ個の秘密成分によって表わすこ
とができる。すなわちＱ_ij ＝Ｑ_i（ｍｏｄ ｐ_j）となる。各秘密成分Ｑ_ijは、
方程式（数６）の解であるか、またはそのような解の逆数（ｍｏｄ ｐ_j）であ
る。各方程式（数６）に可能なあらゆる解が計算された後には、チャイニーズ剰
余技術によって、Ｑ_iからＱ_ifのｆ個の成分から、各秘密値Ｑ_iについて可能なあ
らゆる価をつくりだすことができる。すなわち、方程式（数３）に可能なあらゆ
る解を得ることができるようにＱ_i＝チャイニーズ剰余（Ｑ_i,1、Ｑ_i,2…Ｑ_i,f）
となる。

【０１１７】 チャイニーズ剰余の技術（Chinese remainders technique）は、以下の通りで
ある。すなわち、０＜ａ＜ｂとなるようなａとｂとの間の２つの正の素整数を考
え、２つの成分を、０からａ−１までのＸ_aと、０からｂ−１までのＸ_bとする。
ここで、Ｘ＝チャイニーズ剰余（Ｘ_a、Ｘ_b）が問題となる。すなわち、Ｘ_a＝Ｘ
（ｍｏｄ ａ）およびＸ_b＝Ｘ（ｍｏｄ ｂ）となるような、０からａ．ｂ−１
までの単一数Ｘである。チャイニーズ剰余のパラメータは，以下のようになる。
α＝｛ｂ（ｍｏｄ ａ）｝―¹（ｍｏｄ ａ）。さらに，チャイニーズ剰余の演
算は以下のようになる。ε＝ Ｘ_b（ｍｏｄ ａ）；δ＝Ｘ_a−ε。ここでδが負
である場合には、δはδ＋ａに置き換えられ、γ＝ａ．δ（ｍｏｄ ａ）、Ｘ＝
γ．ｂ＋Ｘ_bとなる。

【０１１８】 素因数が、最小のｐ₁から最大のｐ_fに向けて増加する順に並んでいる場合には
、チャイニーズ剰余のパラメータは以下のようになることができる（ｆ−１個、
すなわち、素因数より１つ少ないパラメータが存在する）。チャイニーズ剰余の
第一のパラメータは、α＝｛ ｐ₂（ｍｏｄ ｐ₁）｝^-1（ｍｏｄ ｐ₁）となる
。チャイニーズ剰余の第２のパラメータは、β＝｛ ｐ₁・ｐ₂（ｍｏｄ ｐ₁・ｐ₂ ）｝^-1（ｍｏｄ ｐ₃）となる。また、チャイニーズ剰余のｉ番めのパラメータ
は、λ＝｛ ｐ₁・ｐ₂…ｐ_i#1（ｍｏｄｐ_i）｝^-1（ｍｏｄ ｐ_i）となる。以下、
同じように続いていく。次に、チャイニーズ剰余のｆ―１個の演算においては、
第一のパラメータによって第一の結果（ｍｏｄ ｐ₂× ｐ₁）が得られ、次に第
二のパラメータによって第二の結果（ｍｏｄ ｐ₁・ｐ₂× ｐ₃）が得られ、以下
、結果（ｐ₁… ｐ_f#1× ｐ_f）まで、すなわち、（ｍｏｄ ｎ）まで、同じよ
うに続いていく。

【０１１９】 秘密鍵ＧＱ２の複数の可能な写像が存在するが、それは、秘密鍵ＧＱ２の同質
異像を意味する。さまざまな写像が等価であることが明らかである。それらはす
べて、真の秘密鍵ＧＱ２である係数ｎの因数分解の知識に帰着するからである。
写像が、サインする、または認証されるエンティティの行動をきちんと表してい
るものであるとしても、チェックするエンティティの行動を表しているわけでは
ない。

【０１２０】 ここに、秘密鍵ＧＱ２の考えられる３つの主要な写像が存在する。 １）ＧＱ技術による従来の写像は、ｍ個の秘密鍵Ｑ_iと認証用の公開鍵〈ｖ、
ｎ〉とを保存することからなる。技術ＧＱ２においては、この写像は、以下の２
つと競争する。２）作業量という意味における最適写像は、公開指数ｖと、素因
数ｐ_jと、ｍ．ｆ個の秘密成分Ｑ_i.jと、ｆ−１個のチャイニーズ剰余のパラメー
タとを保存することからなる。３）秘密鍵のサイズという意味における最適写像
は、公開指数ｖと、ｍ個の基数ｇ_iと、ｆ個の素因数ｐ_jとを保存し、第一の写像
に帰着するためのｍ個の秘密値Ｑ_iと係数ｎ、あるいはまた、第二の写像に帰着
するためのｍ．ｆ個の秘密成分Ｑ_i.jとｆ−１個のチャイニーズ剰余のパラメー
タを確立することによって各使用を開始することからなる。

【０１２１】 サインするまたは認証されるエンティティは、すべて、同じ基数を使用するこ
とができる。そうして、反対の記載がない限り、ｇ₁からｇ_mのｍ個の基数は、有
利にも、ｍ個の最初の素数とすることができる。

【０１２２】 動的な認証またはデジタル署名のメカニズムの機密保護が、係数の分解の知識
と等価であることから、ＧＱ２技術は、同一係数を使用する２つのエンティティ
を単純に区別することができない。一般に、認証されるまたはサインする各エン
ティティは、その固有の係数ＧＱ２を有する。ただし、２つの素因数はあるエン
ティティによって知られ、残りの２つの素因数は他のエンティティによって知ら
れているような４つの素因数を有する係数ＧＱ２を特定することができる。

【０１２３】 ｋ＝６、つまりｖ＝６４で、ｍ＝３、つまり３つの基数ｇ₁＝３、ｇ₂＝５、ｇ ₃ ＝７で、ｆ＝３、つまり３つの素因数：３に合同な２つの数（ｍｏｄ ４）と
、５に合同な１つの数（ｍｏｄ ８）を有する係数をもつような、第一の鍵の集
合ＧＱ２は、以下の通りである。ここで、ｇ＝２は、５に合同な素因数（ｍｏｄ
８）とは両立しない点に留意しよう。

【表１】 ｋ＝９、つまりｖ＝５１２で、ｍ＝２、つまり２つの基数ｇ₁＝２およびｇ₂＝
３で、ｆ＝３、つまり３つの素因数３に合同な３の数（ｍｏｄ ４）を有する係
数をもつような第二の鍵の集合ＧＱ２は、以下の通りである。

【表２】

【０１２４】 （動的な認証） 動的な認証メカニズムは、コントローラと呼ばれるエンティティに、デモンス
トレータと呼ばれる他のエンティティの真正性と、場合によっては結びついたメ
ッセージＭの真正性を証明し、その結果、コントローラが、デモンストレータが
問題になっており、場合によっては、コントローラとデモンストレータが同じメ
ッセージＭについて話していることを確認するためのものである。関連メッセー
ジＭは選択でき、そのことは空である場合もあることを意味する。

【０１２５】 動的な認証メカニズムは、４つの行為であるコミットメント行為と、チャレン
ジ行為と、応答行為と、チェック行為とのシーケンスである。デモンストレータ
は、コミットメント行為と応答行為を果たす。コントローラはチャレンジ行為と
チェック行為を行う。

【０１２６】 デモンストレータの内部では、デモンストレータの最も敏感なパラメータおよ
び関数、すなわち、コミットメントおよび応答の発生を隔離できるように、証人
を隔離することができる。証人は、パラメータｋと秘密鍵ＧＱ２を、すなわち、
以下のように表わされる３つの写像のいずれか１つにしたがった係数ｎの素因数
分解を自由に使用することができる。つまり、・ｆ個の素因数およびｍ個の基数
か、・ｍ．ｆ個の秘密成分か、ｆ個の素因数およびｆ−１個のチャイニーズ剰余
のパラメータか、・秘密値と係数ｎかである。

【０１２７】 証人は、独自の実施形態、たとえば、・ともにデモンストレータを形成するＰ
Ｃに接続されたチップカード、あるいはまた・ＰＣ内部で特別に保護されたプロ
グラム、あるいはまた・チップカード内部で特別に保護されたプログラムに対応
することができる。このように隔離された証人は、署名者の内部で、以下に定義
された証人に類似している。メカニズムを実行するたびに、証人は、1以上のコ
ミットメントＲ、さらに同数の応答Ｄと同数のチャレンジｄを発生する。各集合
｛Ｒ，ｄ、Ｄ｝は３つ組ＧＱ２を構成する。

【０１２８】 証人を有するのに加えて、デモンストレータはまた、場合によっては、ハッシ
ュ関数とメッセージＭを有する。

【０１２９】 コントローラは、係数ｎとパラメータｋおよびｍを有する。場合によっては、
コントローラはまた、同一ハッシュ関数とメッセージＭ’を有する。コントロー
ラは、何らかのチャレンジｄと何らかの応答Ｄから、コミットメントＲ’を再構
築することができる。パラメータｋおよびｍは、コントローラに情報を与える。
反対の記載がない限り、ｇ₁からｇ_mのｍ個の基数は、ｍ個の最初の素数である。
各チャレンジｄは、基数ごとに１つずつ、ｄ₁からｄ_mを記されたｍ個の基本的チ
ャレンジをもたなければならない。各基本的チャレンジｄ₁からｄ_mは、０から２ ^k-1 −１の値をとらなければならない（ｖ／２からｖ−１の値は使用されない）
。通常、各チャレンジは、（ｍ×ｋビットではなくて）ｍ×ｋ−１ビットによっ
て符号化される。たとえば、ｋ＝６およびｍ＝３、さらに基数３、５、７とする
と、各チャレンジは、２つのオクテットに伝達された１５ビットを有する；また
ｋ＝９、ｍ＝２、さらに基数２および３とすると、各チャレンジは２つのオクテ
ットに伝達された１６ビットを有する。（ｋ−１）．ｍ個の可能なチャレンジが
また推定される場合には、値（ｋ−１）．ｍは、各３つ組みＧＱ２によってもた
らされる機密保護を決定する。定義上、係数ｎの因数分解を知らない詐称者は、
正しく２^(k―^1).mにおいて成功のチャンスを有する。（ｋ−１）．ｍが、１５か
ら２０となる場合には、３つ組みは、当然のこととして動的な真正性を確保する
のに十分である。何らかの機密保護レベルに達するために、平行な３つ組を発生
することができる。さらに、それをシーケンスで発生させる、すなわち、メカニ
ズムの実行を繰り返すことができる。

【０１３０】 １）コミットメント行為は、以下の演算を含む。 証人が、Ｑ_iからＱ_mのｍ個の秘密値と係数ｎを有すると、ランダムに、秘密値
に、１以上のランダム値ｒ（０＜ｒ＜ｎ＞を引出す。次に、平方での連続するｋ
個の累乗（ｍｏｄ ｎ）によって、各ランダム値ｒを各コミットメントＲに変え
る。 Ｒ≡ｒ(（ｍｏｄ ｎ） 以下は、ｋ＝６の場合の第一の鍵の集合の一例である。

【表３】 証人が、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ifを有すると
きには、ランダムに、秘密値に、１以上のｆ個のランダム値の集まりを引出す。
各集まりは、素因数ｐ_iごとに１つのランダム値ｒ_i（０＜ｒ_i＜ｐ_i）を有する。
次に、平方での連続するｋ個の累乗（ｍｏｄ ｐ_i）によって、各ランダム値ｒ_i を各コミットメントＲ_iに変える。 Ｒ_i≡ｒ_i(（ｍｏｄ ｎ_i） 以下は、ｋ＝９の場合の第二の鍵の集合による一例である。

【表４】 ｆ個のコミットメント成分の各集まりのために、証人は、チャイニーズ剰余技
術によってコミットメントを確立する。ランダム値の集まりと同数のコミットメ
ントが存在する。 Ｒ＝チャイニーズ剰余（Ｒ₁、Ｒ₂、…Ｒ_f）となる。

【表５】 いずれの場合にも、デモンストレータはコントローラに対して、各コミットメ
ントＲの全体または一部、あるいはまた、各コミットメントＲおよびメッセージ
Ｍをハッシュすることによって得られるハッシュコードＨを伝達する。

【０１３１】 ２）チャレンジ行為は、各々が、ｍ個の基本的チャレンジｄ₁ｄ₂…ｄ_mで構成
される1以上のｄをランダムに引出すことからなる。各基本的チャレンジｄ_iは、
０からｖ／２−１の値のいずれかをとる。 ｄ＝ｄ₁,ｄ₂,．．．,ｄ_m 以下は、ｋ＝６およびｍ＝３の場合の第一の鍵の集合についての一例である。

【表６】 以下は、ｋ＝９およびｍ＝２の場合の第二の鍵の集合についての一例である。

【表７】 コントローラは、デモンストレータに各チャレンジｄを伝達する。

【０１３２】 ３）応答行為は以下の演算を含む。 証人は、Ｑ₁からＱ_mのｍ個の秘密値と係数ｎを有すると、コミットメント行為
の各ランダム値ｒを使用することによって１以上の応答Ｄと、基本的チャレンジ
による秘密値を計算する。 Ｘ≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ≡ｒ．Ｘ（ｍｏｄ ｎ） 以下は、第一の鍵の集合のための一例である。

【表８】 証人が、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ijを有すると
、コミットメント行為の各ランダム値の集まりを使用することによって、ｆ個の
応答成分の1以上の集まりを計算する。各応答成分の集まりは、素因数ごとに１
つの成分を有する。 Ｘ_i≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm，_i（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ₁） 以下は、第二の鍵の集合の一例である。

【表９】 応答成分の各集まりについて、証人は、チャイニーズ剰余の技術に応じて応答
を確立する。チャレンジと同数の応答が存在する。 Ｄ＝チャイニーズ剰余（Ｄ₁、Ｄ₂、…Ｄ_f）となる。

【表１０】 いずれの場合にも、デモンストレータは、コントローラに対して各応答Ｄを伝達
する。

【０１３３】 ４）チェック行為は、各３つ組｛Ｒ，ｄ，Ｄ｝が、ゼロでない値についての以
下のタイプの方程式を認証することをチェックすることからなる。

【数７】 あるいはまた、各コミットメントを再構築することからなる。どれもゼロにな
ってはいけない。

【数８】 そして、場合によっては、コントローラは、再構築された各コミットメントＲ
’とメッセージＭ’をハッシュすることによって、ハッシュコードＨ’を計算す
る。このようにして、コントローラが、コミットメント行為の結果として受取っ
たもの、すなわち各コミットメントＲの全体または一部、あるいはまたハッシュ
コードＨを再び見つける場合には、動的な認証は成功する。

【０１３４】 たとえば、基本演算のシーケンスは、応答ＤをコミットメントＲ’に変換する
。シーケンスは、基数による乗法またはｋ−１の除法（ｍｏｄ ｎ）によって分
離されたｋ個の平方（ｍｏｄ ｎ）を含む。ｉ番めの平方とｉ＋１番めの平方と
の間で行なわれるｉ番めの除法または乗法にとっては、基本的チャレンジｄ₁の
ｉ番めのビットが、ｇ₁を使用しなければならないかどうかを示し、基本的チャ
レンジｄ₂のｉ番めのビットがｇ₂を使用しなければならないかどうかを示し、ｇ _m を使用しなければならないかどうかを示す基本的チャレンジのｉ番目のビット
ｄ_mまで続けられる。 以下は、第一の鍵の集合のための一例である。

【表１１】 ヘキサにおける指数＝ＦＤＤ７３６Ｂ６６６Ｆ４１ＦＢ７７１７７６Ｄ９Ｄ５
０ＤＢ７ＣＤＦ０３Ｆ３Ｄ９７６４７１Ｂ２５Ｃ５６Ｄ３ＡＦ０７ＢＥ６９２Ｃ
Ｂ１ＦＥ４ＥＥ７０ＦＡ７７０３２ＢＥＣＤ８４１１Ｂ８１３Ｂ４Ｃ２１２１０
Ｃ６Ｂ０４４９ＣＣ４２９２Ｅ５ＤＤ２ＢＤＢ００８２８ＡＦ１８の場合には、
３⁴⁴．５¹⁴．７⁴．Ｄ⁶⁴（ｍｏｄ ｎ）、すなわち、３^2C．５^E．７⁴．Ｄ⁴⁰（ｍ
ｏｄ ｎ）となる。 まさしくコミットメントＲが見つけられる。認証は成功した。

【０１３５】 以下は、第二の鍵の集合のための一例である。

【表１２】

【表１３】 まさしくコミットメントＲが見つけられる。認証は成功した。

【０１３６】 （デジタル署名） デジタル署名によって、署名と呼ばれるエンティティは、署名されたメッセー
ジを発生し、コントローラと呼ばれるエンティティが、署名されたメッセージを
認証する。メッセージＭは、何らかのバイナリシーケンスである。空である場合
もある。メッセージＭは、それ自体のなかに、1以上のコミットメントおよび／
またはチャレンジを有する署名の付属物、さらには対応する応答を付加すること
によって署名される。

【０１３７】 コントローラは同じハッシュ関数、パラメータｋおよびｍ、係数ｎを有する。
パラメータｋおよびｍは、コントローラに情報を与える。一方では、ｄ₁からｄ_m の各基本的チャレンジは、０から２^k―¹−１の値をとらなければならない（ｖ／
２からｖ−１の値は使用されない）。他方、各チャレンジｄは、基数と同じ数だ
け、ｄ₁からｄ_m と記されたｍ個の基本的チャレンジを有していなければならな
い。さらに、反対の記載がない限り、ｇ₁からｇ_mのｍ個の基数は、ｍ個の最初の
素数である。（ｋ−１）．ｍが１５から２０であるとすると、平行に発生する４
つの３つ組ＧＱ２によって署名することができる。（ｋ−１）．ｍが６０以上で
あるとすると、ただ一つの３つ組ＧＱ２によってサインすることができる。たと
えば、ｋ＝９およびｍ＝８の場合には、ただ一つの３つ組ＧＱ２だけで十分であ
る。各チャレンジは８つのオクテットを含み、基数は２、３、５、７、１１、１
３、１７、１９である。 署名演算は、コミットメント行為と、チャレンジ行為と、応答行為との３つの
行為のシーケンスである。各行為は、各々、コミットメントＲ（≠０）、ｄ₁、
ｄ₂、…ｄ_mによって記される、ｍ個の基本的チャレンジで構成されたチャレンジ
ｄおよび応答Ｄ（≠０）を含む1以上の３つ組を発生する。

【０１３８】 署名者は、ハッシュ関数、パラメータｋおよび秘密鍵ＧＱ２、すなわち上記に
特定した３つの写像のいずれかによる係数ｎの因数分解を有する。署名者の内部
では、デモンストレータの最も敏感なパラメータおよび関数を隔離できるように
、コミットメントおよび応答行為を実行する証人を隔離することができる。コミ
ットメントと応答を計算するために、証人は、パラメータｋと秘密鍵ＧＱ２、す
なわち、上述の３つの写像のいずれか１つにしたがって係数ｎの素因数分解を有
する。このようにして隔離された証人は、デモンストレータ内部に規定された証
人と類似している。それは、たとえば以下のような独自の実施形態に対応するこ
とができる。・ともにデモンストレータを形成するＰＣに接続されたチップカー
ド、あるいはまた・ＰＣ内部で特別に保護されたプログラム、あるいはまた・チ
ップカード内部で特別に保護されたプログラムである。

【０１３９】 １）コミットメント行為は以下の演算を含む。 証人が、Ｑ₁からＱ_mのｍ個の秘密値と係数ｎを有すると、ランダムに、秘密に
、１以上のランダム値ｒ（０＜ｒ＜ｎ）を引出す。次に、平方での連続するｋ個
の累乗（ｍｏｄ ｎ）によって、各ランダム値ｒを各コミットメントＲに変える
。 Ｒ≡ｒ(（ｍｏｄ ｎ） 証人は、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ijを有する場
合には、ランダムに、秘密に、１以上のｆ個のランダム値の集まりを引出す。各
集まりは、素因数ｐ_iごとに一つのランダム値ｒ_i（０＜ｒ_i＜ｐ_i）を有する。次
に、平方での連続するｋ個の累乗（ｍｏｄ ｐ_i）によって、各ランダム値ｒ_iを
各コミットメントＲ_iに変える。 Ｒ_i≡ｒ_i(（ｍｏｄ ｐ_i） ｆ個のコミットメント成分の各集まりのために、証人は、チャイニーズ剰余技
術によってコミットメントを確立する。ランダム値の集まりと同数のコミットメ
ントが存在する。 Ｒ＝チャイニーズ剰余（Ｒ₁、Ｒ₂、…Ｒ_f）となる。

【０１４０】 ２）チャレンジ行為は、あらゆるコミットメントＲとメッセージをハッシュし
、ハッシュコードを得るためにＭを署名することからなり、そのハッシュコード
から、署名は、各々がｍ個の基本的チャレンジを有する1以上のチャレンジを形
成する。各基本的チャレンジは、０からｖ／２−１の値をとる。たとえば、ｋ＝
９およびｍ＝８である場合、各チャレンジは、８つのオクテットを含む。コミッ
トメントと同じ数のチャレンジが存在する。 ハッシュの結果から抽出されたｄ＝ｄ₁、ｄ₂、…ｄ_m（Ｍ，Ｒ）

【０１４１】 ３）応答行為は以下の演算を含む。 証人は、Ｑ₁からＱ_mのｍ個の秘密値と係数ｎを有すると、コミットメント行為
の各ランダム値ｒを使用することによって１以上の応答Ｄと、基本的チャレンジ
による秘密値を計算する。 Ｘ≡Ｑ₁ ^d1．Ｑ₂ ^d2…Ｑ_m ^dm（ｍｏｄ ｎ） Ｄ≡ｒ．Ｘ_i（ｍｏｄ ｎ）

【０１４２】 証人が、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ijを有すると
、コミットメント行為の各ランダム値の収集を使用することによって、ｆ個の応
答成分の1以上の集まりを計算する。応答成分の各集まりは、素因数ごとに１つ
の成分を有する。 Ｘ_i≡Ｑ_1,i ^d1．Ｑ_2,i ^d2…Ｑ_m,i ^dm（ｍｏｄ ｐ_i） Ｄ_i≡ｒ_i．Ｘ_i（ｍｏｄ ｐ_i） 応答成分の各集まりについて、証人は、チャイニーズ剰余の技術によって応答
を確立する。チャレンジと同数の応答が存在する。 Ｄ＝チャイニーズ剰余（Ｄ₁、Ｄ₂、…Ｄ_f）となる。

【０１４３】 署名者は、 各３つ組ＧＱ２、すなわち各コミットメントＲ、各チャレンジｄおよび各応答
Ｄと、 あるいはまた、各コミットメントＲと対応する各応答Ｄか、 あるいはまた、各チャレンジｄと対応する各応答Ｄか を含む署名の付録をそれ自体に付加することによって、メッセージＭにサインす
る。

【０１４４】 認証演算の展開は、署名の付録の内容によって異なる。以下の３つの場合が区
別される。

【０１４５】 付録が1以上の３つ組を有する場合、チェックオペレーションは、時系列が無
関係である、独立した２つのプロセスを有する。コントローラは、以下の２つの
条件が満たされる場合には、また、満たされる場合にのみ、署名されたメッセー
ジを承認する。

【０１４６】 一方、各３つ組は一貫性があり（以下のタイプの適切な関係式が認証されなけ
ればならない）、受取り可能でなければならない（比較は、ゼロでない値におい
てなされなければならない）。

【数９】

【０１４７】 たとえば、基数によるｋ−１の乗法または除法（ｍｏｄ ｎ）によって分離さ
れるｋ個の平方（ｍｏｄ ｎ）といった、基本的演算のシーケンスによって応答
Ｄが変換される。ｉ番めの平方とｉ＋１番めの平方との間で行なわれるｉ番めの
除法または乗法にとっては、基本的チャレンジｄ₁のｉ番めのビットがｇ₁を使用
しなければならないかどうかを示し、基本的チャレンジｄ₂のｉ番めのビットが
ｇ₂を使用しなければならないかどうかを示し、それが、ｇ_mを使用しなければな
らないかどうかを示すｉ番めの基本ビットｄ_mまで続けられる。このようにして
、署名の付録の中に存在する各コミットメントＲを見つける必要がある。

【０１４８】 他方、1以上の３つ組が、メッセージＭに結び付けられなければならない。あ
らゆるコミットメントＲおよびメッセージＭをハッシュしながら、ハッシュコー
ドが得られ、そこから各チャレンジｄを見つけなければならない。 ハッシュの結果（Ｍ、Ｒ）から抽出された結果と同じｄ＝ｄ₁ｄ₂……ｄ_m

【０１４９】 付録がチャレンジを含まない場合、チェックオペレーションは、あらゆるコミ
ットメントＲとメッセージＭとをハッシュしながら、1以上のチャレンジｄ’の
再構築から始められる。 ハッシュ（Ｍ、Ｒ）の結果から抽出されたｄ＝ｄ'₁ｄ'₂……ｄ_m そして、コントローラは、各３つ組が、一貫性を持ち（以下のタイプの適切な
関係が認証される）、受取り可能である場合に（比較はゼロでない値について行
われる）、またその場合にのみ、署名されるメッセージを受理する。

【数１０】

【０１５０】 付録がコミットメントを含まない場合には、チェックオペレーションは、適切
な再構築である、以下の２つの式のいずれかによる1以上のコミットメントＲ’
の再構築によって始められる。再構築されたいかなるコミットメントもゼロであ
ってはならない。

【数１１】

【０１５１】 そして、各チャレンジｄを再構築することができるように、あらゆるコミット
メントＲ’およびメッセージＭをハッシュしなければならない。 ハッシュの結果（Ｍ、Ｒ’）から抽出された結果と同じｄ＝ｄ₁ｄ₂……ｄ_m コントローラは、再構築された各チャレンジが、付録に記された対応するチャ
レンジと同じ場合に、またその場合にのみメッセージを承認する。

【０１５２】 本出願においては、エンティティの真正性および／またはメッセージの完全性
および／または真正性を証明するための本発明による方法、システム、装置を実
施することができる秘密値Ｑと公開値Ｇの対が存在することがわかった。

【０１５３】 フランス・テレコムと、ＴＤＦと、ＭａｔｈＲｉＺＫ社とによって本出願と同
じ日に登録され、発明者としてLouis GuillouまたはJean-Jacques Quisquater
を有する係続中の出願には、指数ｖが２^kとなる場合に、ＧＱ２の鍵の集合、す
なわち係数ｎと公開値Ｇおよび秘密値Ｑを生じるための方法について記載されて
いる。 これを引用することにより本明細書の一部をなすものとする。

【手続補正書】

【提出日】平成１３年１１月９日（２００１．１１．９）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】請求項５

【補正方法】変更

【補正の内容】

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】０１１４

【補正方法】変更

【補正の内容】

【０１１４】 認証用の公開鍵<ｖ、ｎ>は、ｍ≧１の場合、基数 ｇ₁からｇ_mにしたがって定
められることから、各基数ｇ_iは、公開鍵Ｇ_iと秘密鍵Ｑ_iを有する値の対を決定
する。すなわち、Ｇ_iＱ_iからＧ_mＱ_mと記されたｍ個の対である。公開値Ｇ_iは、
基数ｇ_iの平方である。すなわち、Ｇ_i＝ｇ_i ²となる。秘密値Ｑ_iは、方程式（数
３）の解の一つ、あるはまたそのような解の逆数（ｍｏｄ ｎ）である。

【手続補正３】

【補正対象書類名】明細書

【補正対象項目名】０１１７

【補正方法】変更

【補正の内容】

【０１１７】 チャイニーズ剰余の技術（Chinese remainders technique）は、以下の通りで
ある。すなわち、０＜ａ＜ｂとなるようなａとｂとの間の２つの正の素整数を考
え、２つの成分を、０からａ−１までのＸ_aと、０からｂ−１までのＸ_bとする。
ここで、Ｘ＝チャイニーズ剰余（Ｘ_a、Ｘ_b）が問題となる。すなわち、Ｘ_a＝Ｘ
（ｍｏｄ ａ）およびＸ_b＝Ｘ（ｍｏｄ ｂ）となるような、０からａ．ｂ−１
までの単一数Ｘである。チャイニーズ剰余のパラメータは，以下のようになる。
α＝｛ｂ（ｍｏｄ ａ）｝^-1（ｍｏｄ ａ）。さらに，チャイニーズ剰余の演算
は以下のようになる。ε＝ Ｘ_b（ｍｏｄ ａ）；δ＝Ｘ_a−ε。ここでδが負で
ある場合には、δはδ＋ａに置き換えられ、γ＝ａ．δ（ｍｏｄ ａ）、Ｘ＝γ
．ｂ＋Ｘ_bとなる。

【手続補正４】

【補正対象書類名】明細書

【補正対象項目名】０１１８

【補正方法】変更

【補正の内容】

【０１１８】 素因数が、最小のｐ₁から最大のｐ_fに向けて増加する順に並んでいる場合には
、チャイニーズ剰余のパラメータは以下のようになることができる（ｆ−１個、
すなわち、素因数より１つ少ないパラメータが存在する）。チャイニーズ剰余の
第一のパラメータは、α＝｛ｐ₂（ｍｏｄ ｐ₁）｝^-1（ｍｏｄ ｐ₁）となる。
チャイニーズ剰余の第２のパラメータは、β＝｛ｐ₁・ｐ₂（ｍｏｄ ｐ1・ｐ₂）｝ ^-1 （ｍｏｄ ｐ₃）となる。また、チャイニーズ剰余のｉ番めのパラメータは、
λ＝｛ｐ1・ｐ₂…ｐ_i-1（ｍｏｄｐ_i）｝^-1（ｍｏｄ ｐ_i）となる。以下、同じよ
うに続いていく。次に、チャイニーズ剰余のｆ−１個の演算においては、第一の
パラメータによって第一の結果（ｍｏｄ ｐ₂×ｐ₁）が得られ、次に第二のパラ
メータによって第二の結果（ｍｏｄ ｐ1・ｐ₂×ｐ₃）が得られ、以下、結果（ｐ ₁ … ｐ_f-1× ｐ_f）まで、すなわち、（ｍｏｄ ｎ）まで、同じように続いて
いく。

【手続補正５】

【補正対象書類名】明細書

【補正対象項目名】０１２９

【補正方法】変更

【補正の内容】

【０１２９】 コントローラは、係数ｎとパラメータｋおよびｍを有する。場合によっては、
コントローラはまた、同一ハッシュ関数とメッセージＭ’を有する。コントロー
ラは、何らかのチャレンジｄと何らかの応答Ｄから、コミットメントＲ’を再構
築することができる。パラメータｋおよびｍは、コントローラに情報を与える。
反対の記載がない限り、ｇ₁からｇ_mのｍ個の基数は、ｍ個の最初の素数である。
各チャレンジｄは、基数ごとに１つずつ、ｄ₁からｄ_mを記されたｍ個の基本的チ
ャレンジをもたなければならない。各基本的チャレンジｄ₁からｄ_mは、０から２ ^k-1 −１の値をとらなければならない（ｖ／２からｖ−１の値は使用されない）
。通常、各チャレンジは、（ｍ×ｋビットではなくて）ｍ×ｋ−１ビットによっ
て符号化される。たとえば、ｋ＝６およびｍ＝３、さらに基数３、５、７とする
と、各チャレンジは、２つのオクテットに伝達された１５ビットを有する；また
ｋ＝９、ｍ＝２、さらに基数２および３とすると、各チャレンジは２つのオクテ
ットに伝達された１６ビットを有する。（ｋ−１）．ｍ個の可能なチャレンジが
また推定される場合には、値（ｋ−１）．ｍは、各３つ組みＧＱ２によってもた
らされる機密保護を決定する。定義上、係数ｎの因数分解を知らない詐称者は、
正しく２^(k-1).mにおいて成功のチャンスを有する。（ｋ−１）．ｍが、１５か
ら２０となる場合には、３つ組みは、当然のこととして動的な真正性を確保する
のに十分である。何らかの機密保護レベルに達するために、平行な３つ組を発生
することができる。さらに、それをシーケンスで発生させる、すなわち、メカニ
ズムの実行を繰り返すことができる。

【手続補正６】

【補正対象書類名】明細書

【補正対象項目名】０１３０

【補正方法】変更

【補正の内容】

【０１３０】 １）コミットメント行為は、以下の演算を含む。 証人が、Ｑ_iからＱ_mのｍ個の秘密値と係数ｎを有すると、ランダムに、秘密値
に、１以上のランダム値ｒ（０＜ｒ＜ｎ）を引出す。次に、平方での連続するｋ
個の累乗（ｍｏｄ ｎ）によって、各ランダム値ｒを各コミットメントＲに変え
る。 Ｒ≡ｒ^v（ｍｏｄ ｎ） 以下は、ｋ＝６の場合の第一の鍵の集合の一例である。

【表３】 証人が、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ifを有すると
きには、ランダムに、秘密値に、１以上のｆ個のランダム値の集まりを引出す。
各集まりは、素因数ｐ_iごとに１つのランダム値ｒ_i（０＜ｒ_i＜ｐ_i）を有する。
次に、平方での連続するｋ個の累乗（ｍｏｄ ｐ_i）によって、各ランダム値ｒ_i を各コミットメントＲ_iに変える。 Ｒ_i≡ｒ_i ^v（ｍｏｄ ｎ_i） 以下は、ｋ＝９の場合の第二の鍵の集合による一例である。

【表４】 ｆ個のコミットメント成分の各集まりのために、証人は、チャイニーズ剰余技
術によってコミットメントを確立する。ランダム値の集まりと同数のコミットメ
ントが存在する。 Ｒ＝チャイニーズ剰余（Ｒ₁、Ｒ₂、…Ｒ_f）となる。

【表５】 いずれの場合にも、デモンストレータはコントローラに対して、各コミットメ
ントＲの全体または一部、あるいはまた、各コミットメントＲおよびメッセージ
Ｍをハッシュすることによって得られるハッシュコードＨを伝達する。

【手続補正７】

【補正対象書類名】明細書

【補正対象項目名】０１３７

【補正方法】変更

【補正の内容】

【０１３７】 コントローラは同じハッシュ関数、パラメータｋおよびｍ、係数ｎを有する。
パラメータｋおよびｍは、コントローラに情報を与える。一方では、ｄ₁からｄ_m の各基本的チャレンジは、０から２^k-1−１の値をとらなければならない（ｖ／
２からｖ−１の値は使用されない）。他方、各チャレンジｄは、基数と同じ数だ
け、ｄ₁からｄ_m と記されたｍ個の基本的チャレンジを有していなければならな
い。さらに、反対の記載がない限り、ｇ₁からｇ_mのｍ個の基数は、ｍ個の最初の
素数である。（ｋ−１）．ｍが１５から２０であるとすると、平行に発生する４
つの３つ組ＧＱ２によって署名することができる。（ｋ−１）．ｍが６０以上で
あるとすると、ただ一つの３つ組ＧＱ２によってサインすることができる。たと
えば、ｋ＝９およびｍ＝８の場合には、ただ一つの３つ組ＧＱ２だけで十分であ
る。各チャレンジは８つのオクテットを含み、基数は２、３、５、７、１１、１
３、１７、１９である。 署名演算は、コミットメント行為と、チャレンジ行為と、応答行為との３つの
行為のシーケンスである。各行為は、各々、コミットメントＲ（≠０）、ｄ₁、
ｄ₂、…ｄ_mによって記される、ｍ個の基本的チャレンジで構成されたチャレンジ
ｄおよび応答Ｄ（≠０）を含む1以上の３つ組を発生する。

【手続補正８】

【補正対象書類名】明細書

【補正対象項目名】０１３９

【補正方法】変更

【補正の内容】

【０１３９】 １）コミットメント行為は以下の演算を含む。 証人が、Ｑ₁からＱ_mのｍ個の秘密値と係数ｎを有すると、ランダムに、秘密に
、１以上のランダム値ｒ（０＜ｒ＜ｎ）を引出す。次に、平方での連続するｋ個
の累乗（ｍｏｄ ｎ）によって、各ランダム値ｒを各コミットメントＲに変える
。 Ｒ≡ｒ^v（ｍｏｄ ｎ） 証人は、ｐ_iからｐ_fのｆ個の素因数およびｍ．ｆ個の秘密成分Ｑ_ijを有する場
合には、ランダムに、秘密に、１以上のｆ個のランダム値の集まりを引出す。各
集まりは、素因数ｐ_iごとに一つのランダム値ｒ_i（０＜ｒ_i＜ｐ_i）を有する。次
に、平方での連続するｋ個の累乗（ｍｏｄ ｐ_i）によって、各ランダム値ｒ_iを
各コミットメントＲ_iに変える。 Ｒ_i≡ｒ_i ^v（ｍｏｄ ｐ_i） ｆ個のコミットメント成分の各集まりのために、証人は、チャイニーズ剰余技
術によってコミットメントを確立する。ランダム値の集まりと同数のコミットメ
ントが存在する。 Ｒ＝チャイニーズ剰余（Ｒ₁、Ｒ₂、…Ｒ_f）となる。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号 ９９／１２４６５ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６７ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６８ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｒ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ，ＦＩ ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ， ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，Ｋ Ｚ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ， ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，Ｓ Ｋ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ギユ，ルイ フランス国、35230 ブルバル、リュ・ド ゥ・リズ 16 (72)発明者 キスクワテル，ジャン‐ジャック ベルギー国、1640 ロード・サン・ジェネ ス、アヴニュ・デ・カナール ３ Ｆターム(参考） 5J104 AA07 AA08 AA09 AA16 EA05 EA32 JA21 JA23 JA27 KA01 KA05 KA08 LA03 LA06 NA02 NA12 NA17

Claims (24)

【特許請求の範囲】
1. 【請求項１】 コントローラ・エンティティに対して、あるエンティティの
   真正性、および／または、そのエンティティに結びついたメッセージＭの完全性
   を証明するための方法であって、 この証明は、 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_m（ｍは１以上）のｍ個の
   対と、 ｆ個の素因数Ｐ₁、Ｐ₂、…Ｐ_r（ｆは２以上）の積によって構成される公開係
   数ｎと、 公開指数ｖと いったパラメータの全体またはその一部、またはそれらの導関数を用いて行なわ
   れ、 前記係数と前記指数と前記の値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のタイプの関係式によって関連付けられ、 前記の方法は、以下のステップにしたがって、ｆ個の素因数ｐ_iおよび／また
   は該素因数のチャイニーズ剰余のパラメータおよび／または公開係数ｎおよび／
   またはｍ個の秘密値Ｑ_iおよび／または秘密値Ｑ_iと公開指数ｖのｆ．ｍ個の成分
   Ｑ_i.j（Ｑ_i.j＝Ｑ_iｍｏｄ ｐ_i）を有する、証人と呼ばれるエンティティを利用
   し、 該証人は、モジュロｎの整数環においてコミットメントＲを計算し、各コミッ
   トメントを、 Ｒ_i≡ｒ_i ^vｍｏｄ ｐ_i のタイプの演算を行うことによって、さらにチャイニーズ剰余法を適用すること
   によって計算し、 ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に関連したランダム値であり、各
   ｒ_iは、ランダムな値｛ｒ_i、ｒ₂、…ｒ_f｝の集まりに属し、 証人は、１以上のチャレンジｄを受取り、各チャレンジｄは、以下、基本的チ
   ャレンジと呼ばれるｍ個の整数ｄ_iを含み、また、証人は、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i のタイプの演算を行うことによって、さらに、チャイニーズ剰余法を適用するこ
   とによって、各チャレンジｄから応答Ｄを計算し、 チャレンジｄやコミットメントＲと同じ数だけ応答Ｄが存在し、各グループの
   数Ｒ、ｄ、Ｄが、｛Ｒ、ｄ、Ｄ｝と記される３つ組を構成するような方法。
2. 【請求項２】 コントローラと呼ばれるエンティティに対して、デモンスト
   レータと呼ばれるエンティティの真正性を証明するための方法であって、前記の
   デモンストレータ・エンティティは、証人を含み、 前記のデモンストレータおよびコントローラ・エンティティは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人が、請求項１に特定したプロセスを適用することによ
   って、各コミットメントＲを計算し、 デモンストレータが、コントローラに対して、各コミットメントＲの全体また
   は一部を伝達し、 ・ステップ２のチャレンジ行為ｄにおいて、 コントローラが、各コミットメントＲの全体または一部を受取った後に、コミ
   ットメントＲと同じ数のチャレンジｄを生じ、デモンストレータにチャレンジｄ
   を伝達し、 ・ステップ３の応答行為Ｄにおいて、 証人が、請求項１に記載の特定されたプロセスを適用することによって、チャレ
   ンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータが、コントローラに対して各応答Ｄを伝達する といったステップを実行し、 デモンストレータが、各コミットメントＲの一部を伝達した場合、 デモンストレータが、各コミットメントＲの一部を伝達した場合には、コント
   ローラは、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各チャレンジ
   ｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 コントローラが、再構成された各コミットメントＲ’が、自らに伝達された各
   コミットメントＲの全体または一部を再生することを認証し、 デモンストレータが、各コミットメントＲの完全性を伝達した場合 デモンストレータが、各コミットメントＲの完全性を伝達した場合には、コント
   ローラは、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各コミットメ
   ントＲが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する請求項１に記載の方法。
3. 【請求項３】 コントローラと呼ばれるエンティティに対して、デモンスト
   レータと呼ばれるエンティティに関連したメッセージＭの完全性を証明するため
   の方法であって、前記のデモンストレータ・エンティティは、証人を含み、 前記のデモンストレータおよびコントローラ・エンティティは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人が、請求項１に記載の特定されたプロセスを適用する
   ことによって各コミットメントＲを計算し、 ・ステップ２のチャレンジ行為ｄにおいて、 デモンストレータが、少なくとも１つのトークンＴを計算するために、引数と
   してメッセージＭと各コミットメントの全体または一部とを有するハッシュ関数
   ｈを適用し、 デモンストレータが、コントローラにトークンＴを伝達し、 コントローラが、トークンＴを受取った後に、コミットメントＲと同数のチャ
   レンジｄを生じ、チャレンジｄをデモンストレータに伝達し、 ・ステップ３の応答行為Ｄにおいて、 証人が、請求項１に記載の特定されたプロセスを適用することによって、チャ
   レンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータが、コントローラに対して各応答Ｄを伝達し、 コントローラが、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有することによって、各チ
   ャレンジｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 そして、コントローラが、トークンＴ’を再構築するために、引数としてメッ
   セージＭと再構築された各コミットメントＲ’の全体または一部とを有するハッ
   シュ関数ｈを適用し、 −さらに、コントローラが、トークンＴ’は伝達されたトークンＴと同じである
   ことを認証する といったステップを実行する請求項１に記載の方法。
4. 【請求項４】 署名エンティティと呼ばれるエンティティによってメッセー
   ジＭのデジタル署名を発生するための方法であって、前記の署名エンティティが
   証人を含み、 前記の署名エンティティは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含む署名されたメッセージを得るために、署名オペレーションを実行し、 前記の署名エンティティは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人が、請求項１に記載の特定されたプロセスを適用する
   ことによって各コミットメントＲを計算し、 ・ステップ２のチャレンジ行為ｄにおいて、 署名が、バイナリトレインを得るために、引数として、メッセージＭと各コミ
   ットメントとを有するハッシュ関数を適用し、 署名が、このバイナリトレインから、コミットメントＲと同じ数のチャレンジ
   ｄを抽出し、 ・ステップ３の応答行為Ｄにおいて、 証人が、請求項１に記載の特定されたプロセスを適用することによって、チャ
   レンジｄから応答Ｄを計算する といったステップを含んでいる請求項１に記載の方法。
5. 【請求項５】 コントローラと呼ばれるエンティティによって、署名された
   メッセージをチェックすることによって、メッセージＭの真正性を証明するため
   の方法であって、 署名されたメッセージを有する前記のコントローラ・エンティティは、 ・コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合にお
   いて、 コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合には、
   ・・コントローラは、コミットメントＲ、チャレンジｄ、応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証し、 ・コントローラは、メッセージＭ，チャレンジｄ、コミットメントＲが、 ｄ＝ｈ（Ｍ，Ｒ） といったハッシュ関数を満たすことを認証し、 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合において、 コントローラが、チャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラは、各チャレンジｄおよび各応答Ｄから Ｒ’(Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすコミットメントＲ’を再構築し、 ・・コントローラは、メッセージＭおよびチャレンジｄが、 ｄ = h(Ｍ，Ｒ’) といったハッシュ関数を満たすことを認証し、 ・コントローラがコミットメントＲおよび応答Ｄを有する場合 コントローラが、コミットメントＲと応答Ｄを有する場合には、 ・・コントローラは、 ｄ’ = h(Ｍ，Ｒ) といったハッシュ関数を適用し、ｄ’を再構築し、 ・・コントローラは、コミットメントＲ、チャレンジｄ’、応答Ｄが、 Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する といったようにチェックオペレーションを実行する請求項４に記載の方法。
6. 【請求項６】 秘密値Ｑ₁の成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fが、前記の素因数ｐ _j の各々について１つの成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）の割合で、ランダ
   ムに引出された数であり、前記の秘密値Ｑ₁は、チャイニーズ剰余法によって、
   前記成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fから計算することができ、 前記の公開値Ｇ₁は、 Ｇ_{i, j}≡Ｑ_{i, j} ^v ｍｏｄ ｐ_j のタイプの演算を行うことによって、さらに、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のようなＧ₁を確立するためのチャイニーズ剰余法を適用することによって計算
   される請求項１から５のいずれか一項に記載の方法。
7. 【請求項７】 認証用の公開指数ｖが素数であることを特徴とする請求項６
   に記載の方法。
8. 【請求項８】 前記の指数ｖは、 ｖ＝２^k のようになり、 ここで、ｋは１より大きな機密保護パラメータであり、 前記の公開値Ｇ_iは、ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fより小さな基数ｇ_iの平方
   ｇ_i ²であり、基数ｇ_iは、 ２つの方程式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、さらに、方程式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができる請求項１から５のいずれ
   か一項に記載の方法。
9. 【請求項９】 コントローラ・サーバに対して、エンティティの真正性およ
   び／または、このエンティティに結びついたメッセージＭの完全性を証明するた
   めのシステムであって、 その証明は、 秘密値Ｑ₁、Ｑ₂、…Ｑ_mと公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上であ
   る）、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
   上である）と、 公開指数ｖと いったパラメータ全体または一部、またはそれらの導関数を用いて行なわれ、 前記係数と前記指数と前記の値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のタイプの関係式によって関連付けられ、 前記システムは、たとえばマイクロプロセッサ用のバンクカードの形状を有す
   る、特にノマッドオブジェクトの中に含まれる証人装置を有し、 証人装置は、ｆ個の素因数ｐ_fおよび／または素因数のチャイニーズ剰余法の
   パラメータおよび／または公開係数ｎおよび／またはｍ個の秘密値Ｑ_iおよび／
   または秘密値Ｑ_iおよび公開指数ｖのｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ
   ｐ_j）を含むメモリゾーンを有し、 証人装置はまた、 証人装置のランダム値発生手段と呼ばれるランダム値発生手段と、 モジュロｎの整数環の中でコミットメントＲを計算するための、証人装置のコ
   ミットメントＲ計算手段とを有し、各コミットメントは、 Ｒ_i ≡ｒ_i ^v ｍｏｄ ｐ_i のタイプの演算を行い、 そして、チャイニーズ剰余法を適用することによって、計算され、 ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に関連したランダムな値であり、各
   ｒ_iは、ランダム値発生手段によって発生したランダムな値｛ｒ₁、ｒ₂、…ｒ_f｝
   の集まりに属し、 証人装置はまた、 1以上のチャレンジｄを受取るために、以下、証人装置のチャレンジｄの受取
   り手段と呼ばれる受取り手段であって、各チャレンジｄは、以下、基本的チャレ
   ンジｄと呼ばれるｍ個の整数ｄ_iを有する手段と、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i のタイプの演算を行い、そして、チャイニーズ剰余法を適用することによって、
   各チャレンジｄから応答Ｄを計算するために、証人装置の応答Ｄの計算手段と呼
   ばれる計算手段と、 1以上のコミットメントＲおよび1以上の応答Ｄを伝達するための伝達手段とを
   含み、 チャレンジｄやコミットメントＲと同じ数の応答Ｄが存在し、各グループの数
   Ｒ、ｄ、Ｄは、｛Ｒ、ｄ、Ｄ｝と記される３つ組を構成するシステム。
10. 【請求項１０】 コントローラと呼ばれるエンティティに対して、デモンス
    トレータと呼ばれるエンティティの真正性を証明するためのシステムであって、 前記システムは、 デモンストレータ・エンティティに結びついたデモンストレータ装置を含み、
    前記のデモンストレータ装置は、相互接続手段によって証人装置に相互接続され
    、特に、マイクロプロセッサ型バンクカード内でマイクロプロセッサの形を有す
    るノマッドオブジェクトの中で論理マイクロ回路の形を含むことができ、 コントローラ・エンティティに結びついたコントローラ装置を有し、前記のコ
    ントローラ装置は、特に、遠隔サーバまたは端末の形を有し、前記のコントロー
    ラ装置は、特に、電気的に、電磁気的に、光学的にまたは音声として、情報処理
    通信網を介して、デモンストレータ装置に接続するための接続手段を含み、 前記システムは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、請求項９に記
    載の特定されたプロセスを適用することによって、各コミットメントＲを計算し
    、 証人装置が、相互接続手段を介して、デモンストレータ装置に、各コミットメ
    ントＲの全体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれ
    る伝達手段を有し、 デモンストレータ装置がまた、接続手段を介して、コントローラ装置に各コミ
    ットメントＲの全体または一部を伝達するために、以下、デモンストレータ装置
    の伝達手段と呼ばれる伝達手段を有し、 ・ステップ２のチャレンジ行為ｄにおいて、 コントローラ装置が、各コミットメントＲの全体または一部を受取った後に、
    コミットメントＲと同じ数のチャレンジｄを生じるために、チャレンジの発生手
    段を有し、 コントローラ装置がまた、接続手段を介して、デモンストレータにチャレンジ
    ｄを伝達するために、以下、コントローラの伝達手段と呼ばれる伝達手段を有し
    、 ・ステップ３の応答行為Ｄにおいて、 証人装置のチャレンジｄの受取り手段が、相互接続手段を介して、デモンスト
    レータ装置から生じる各チャレンジｄを受取り、 証人装置の応答Ｄの計算手段が、請求項９に記載の特定されたプロセスを適用
    することによって、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータの伝達手段が、コントローラに各応答Ｄを伝達し、 コントローラ装置はまた、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含む といったステップを実行することができ、 デモンストレータが各コミットメントＲの一部を伝達した場合において デモンストレータの伝達手段が、各コミットメントＲの一部を伝達した場合に
    は、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有するコントローラ装置の計算手段が、各
    チャレンジｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 コントローラ装置の比較手段が、再構築された各コミットメントＲ’と、受取
    られた各コミットメントＲの全体または一部とを比較し、 デモンストレータが各コミットメントＲの完全性を伝達した場合において、 デモンストレータの伝達手段が、各コミットメントＲの完全性を伝達した場合
    には、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する、コントローラの計算手段および
    比較手段は、各コミットメントＲが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する請求項９に記載のシステム。
11. 【請求項１１】 コントローラと呼ばれるエンティティに対して、デモンス
    トレータと呼ばれるエンティティに結びついたメッセージＭの完全性を証明する
    ためのシステムであって、 前記のシステムは、 デモンストレータ・エンティティに関連したデモンストレータ装置を含み、前
    記のデモンストレータ装置は、相互接続手段によって証人装置に相互接続され、
    たとえばマイクロプロセッサ型バンクカード内でマイクロプロセッサの形を有す
    るノマッドオブジェクトの中で論理マイクロ回路の形を含むことができ、 コントローラ・エンティティに結びついたコントローラ装置を含み、前記のコ
    ントローラ装置は特に、遠隔サーバまたは端末の形を有し、前記のコントローラ
    装置は、特に、情報処理通信網を介して、電気的、電磁的、光学的に、または音
    声として、デモンストレータ装置に接続するための接続手段を有し、 前記のシステムは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、請求項９に記
    載の特定されたプロセスを適用することによって、各コミットメントＲを計算し
    、 証人装置が、相互接続手段を介して、デモンストレータ装置に対して、各コミ
    ットメントＲの全体または一部を伝達するために、以下、証人装置の伝達手段と
    呼ばれる伝達手段を有し、 ・ステップ２のチャレンジ行為ｄにおいて、 デモンストレータ装置が、少なくとも１つのトークンＴを計算するために、引
    数としてメッセージＭと各コミットメントＲの全体または一部とを有するハッシ
    ュ関数を適用する、以下、デモンストレータ装置の計算手段と呼ばれる計算手段
    を含み、 デモンストレータ装置はまた、接続手段を介して、コントローラ装置に対して
    、各トークンＴを伝達するために、以下、デモンストレータの伝達手段と呼ばれ
    る伝達手段を有し、 コントローラ装置はまた、トークンＴを受取った後に、コミットメントＲと同
    じ数のチャレンジｄを生じるためのチャレンジ発生手段を有し、 コントローラ装置はまた、接続手段を介して、デモンストレータにチャレンジ
    ｄを伝達するために、以下、コントローラ装置の伝達手段と呼ばれる伝達手段を
    有し、 ・ステップ３の応答行為Ｄにおいて、 証人装置のチャレンジｄの受取り手段が、相互接続手段を介して、デモンスト
    レータ装置から生じる各チャレンジｄを受取り、 証人装置の応答Ｄの計算手段は、請求項９に記載の特定されたプロセスを適用
    することによって、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータの伝達手段は、コントローラに対して各応答Ｄを伝達し、 コントローラ装置はまた、一方では、各チャレンジｄおよび各応答Ｄから、ま
    ず Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 そして、次に、引数としてメッセージＭと再構築された各コミットメントＲ’
    の全体または一部を有するハッシュ関数ｈを適用しながら、トークンＴ’を計算
    するために、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する、以下、コントローラ装置
    の計算手段と呼ばれる計算手段を有し、 コントローラ装置はまた、トークンＴ’を受取られたトークンＴと比較するた
    めに、以下、コントローラ装置の比較手段と呼ばれる比較手段を有する といったステップを実行することができる請求項９に記載のシステム。
12. 【請求項１２】 署名エンティティと呼ばれるエンティティによって、以下
    、署名されたメッセージと呼ばれるメッセージＭのデジタル署名を生じるための
    システムであって、 署名されたメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 前記システムは、署名エンティティに関連した署名装置を含んでおり、前記署
    名装置は、相互接続手段によって証人装置に相互接続され、特に、たとえば、マ
    イクロプロセッサ型バンクカード内でマイクロプロセッサの形状を有するノマッ
    ドオブジェクトの中で論理マイクロ回路の形状を有することができ、 前記システムは、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、請求項９に記
    載の特定されたプロセスを適用することによって、各コミットメントＲを計算し
    、 証人装置が、相互接続手段を介して、各コミットメントＲの全体または一部を
    署名装置に伝達するために、以下、証人装置の伝達手段と呼ばれる伝達手段を有
    し、 ・ステップ２のチャレンジ行為ｄにおいて、 署名装置は、バイナリトレインを計算し、そのトレインから、コミットメント
    Ｒと同じ数のチャレンジｄを抽出するために、引数としてメッセージＭと各コミ
    ットメントＲの全体または一部とを有するハッシュ関数ｈを適用する、以下、署
    名装置の計算手段と呼ばれる計算手段を有し、 ・ステップ３の応答行為Ｄにおいて、 証人装置のチャレンジｄの受取り手段は、相互接続手段を介して、署名装置か
    ら生じる各チャレンジｄを受取り、 証人装置の応答Ｄの計算手段は、請求項９に記載の特定されたプロセスを適用
    しながら、チャレンジｄから応答Ｄを計算し、 証人装置は、相互接続手段を介して、署名装置に応答Ｄを伝達するために、以
    下、証人装置の伝達手段と呼ばれる伝達装置を有する といったステップを実行することができる請求項９に記載のシステム。
13. 【請求項１３】 コントローラと呼ばれるエンティティによって、署名され
    たメッセージをチェックすることによって、メッセージＭの真正性を証明するた
    めのシステムであって、 前記システムは、コントローラ・エンティティに結びついたコントローラ装置
    を有し、前記のコントローラ装置は、特に端末または遠隔サーバの形を有するこ
    とができ、前記のコントローラ装置は、情報処理通信網を介して、デモンストレ
    ータ装置に、電気的、電磁的、光学的に、または音声として、接続するための接
    続手段を有し、 署名エンティティに結びついた前記署名装置は、接続手段を通して、署名され
    たメッセージをコントローラ装置に伝達するために、以下、署名装置の伝達手段
    と呼ばれる伝達手段を有し、このようにして、署名されたメッセージを有するコ
    ントローラ装置は、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含み、 コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合にお
    いて、 コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
    は、 ・・コントローラ装置の計算および比較手段は、コミットメントＲ、チャレンジ
    ｄ、応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証し、 ・・コントローラ装置の計算および比較手段は、メッセージＭ、チャレンジｄ、
    コミットメントＲが、 ｄ = ｈ（Ｍ,Ｒ） といったハッシュ関数を満たすことを認証し、 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合において、 コントローラ装置がチャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、各チャレンジｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすコミットメントＲ’を計算し、 ・・コントローラ装置の計算および比較手段は、メッセージＭとチャレンジｄが
    、 ｄ = ｈ（Ｍ,Ｒ’） といったハッシュ関数を満たすことを認証し、 ・コントローラがコミットメントＲと応答Ｄを有する場合において コントローラ装置がコミットメントＲと応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、ハッシュ関数を適用し、 ｄ’= ｈ（Ｍ,Ｒ） のようなｄ’を計算し、 ・・コントローラ装置の計算および比較手段は、コミットメントＲ、チャレンジ
    ｄ’、応答Ｄが、 Ｒ’≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する請求項１１に記載のシステム。
14. 【請求項１４】 秘密値Ｑ₁の成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fが、前記の素因数
    ｐ_iの各々について１つの成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）の割合で、ラン
    ダムに引出された数となるようなシステムであって、前記の秘密値Ｑ₁は、チャ
    イニーズ剰余法によって、前記成分Ｑ_i,1、Ｑ_i,1、…Ｑ_i,fから計算することが
    でき、 前記の公開値Ｇ_iは、 Ｇ_{i, j}≡Ｑ_{i, j} ^v ｍｏｄ ｐ_j のタイプの演算を行うことによって、さらに、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i(Ｑ_i ^vｍｏｄ ｎ のようなＧ_iを確立するためのチャイニーズ剰余法を適用することによって、 計算される請求項９から１３のいずれか一項に記載のシステム。
15. 【請求項１５】 認証用公開指数ｖが素数であるような請求項１４に記載の
    システム。
16. 【請求項１６】 前記の指数ｖが、 ｖ＝２^kとなるようなものであり、 ここで、ｋは１より大きな機密保護パラメータであり、 前記の公開値Ｇ_iは、ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fより小さな基数ｇ_iの平方
    ｇ_i ²であり、基数ｇ_iは、 ２つの方程式 ｘ²≡ｇ_iｍｏｄ ｎ および ｘ²≡−ｇ_iｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができず、 方程式 ｘ^v≡ｇ_i ²ｍｏｄ ｎ が、モジュロｎの整数環のｘについて解くことができるようなものである請求項
    ９から１３のいずれか一項に記載のシステム。
17. 【請求項１７】 エンティティに結びついた端末装置であって、特に、たと
    えばマイクロプロセッサ型バンクカードの形でノマッドオブジェクトの形を有し
    、コントローラ装置に対して、エンティティの真正性および／または、そのエン
    ティティに結びついたメッセージＭの完全性を証明するためのものであり、 その証明は、 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上
    である）と、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
    上である）と、 公開指数ｖと いったパラメータのすべてまたは一部、あるいはその導関数２を用いて行なわれ
    、前記係数、前記指数および前記の値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のタイプの関係式によって結び付けられ、 前記端末装置は、ｆ個の素因数ｐ_fおよび／または素因数のチャイニーズ剰余
    および／または公開係数ｎのパラメータおよび／またはｍ個の秘密値Ｑ_iおよび
    ／または秘密値Ｑ_iおよび公開指数ｖのｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j＝Ｑ₁ｍｏｄ ｐ_j）を含むメモリゾーンを有する証人装置を有し、 証人装置はまた、 証人装置のランダム値発生手段と呼ばれるランダム値発生手段と、 モジュロｎの整数環においてコミットメントＲを計算するための、以下、証人
    装置のコミットメントＲの計算手段と呼ばれる計算手段とを有し、 各コミットメントは、 Ｒ_i ≡ｒ_i ^v ｍｏｄ ｐ_i のタイプの演算を行い、そして、チャイニーズ剰余法を適用することによって、
    計算され、 ここで、ｒ_iは、０＜ｒ_i＜ｐ_iのような素数に結びつくランダムな値であり、各
    ｒ_iは、ランダム値発生手段によって発生したランダムな値｛ｒ₁、ｒ₂、…ｒ_f｝
    の集まりに属し、 証人装置はまた、 1以上のチャレンジｄを受取るために、以下、証人装置のチャレンジｄの受取
    り手段と呼ばれる受取り手段であって、各チャレンジｄは、以下、基本的チャレ
    ンジｄと呼ばれるｍ個の整数ｄ_iを有する受取り手段と、 Ｄ_i≡ｒ_i．Ｑ_i,1 ^d1．Ｑ_i,2 ^d2．…Ｑ_i,m ^dmｍｏｄ ｐ_i のタイプの演算を行い、そして、チャイニーズ剰余法を適用することによって、
    各チャレンジｄから応答Ｄを計算するために、証人装置の応答Ｄの計算手段と呼
    ばれる計算手段と、 1以上のコミットメントＲおよび1以上の応答Ｄを伝達するための伝達手段とを
    有し、 チャレンジｄやコミットメントＲと同じ数の応答Ｄが存在し、各グループの数Ｒ
    、ｄ、Ｄは、｛Ｒ、ｄ、Ｄ｝と記される３つ組を構成する端末装置。
18. 【請求項１８】 コントローラと呼ばれるエンティティに対して、デモンス
    トレータと呼ばれるエンティティの真正性を証明するための端末装置であって、 前記端末装置は、デモンストレータ・エンティティに関連したデモンストレー
    タ装置を含んでおり、前記のデモンストレータ装置は、相互接続手段によって証
    人装置に相互接続され、たとえば、マイクロプロセッサ型バンクカード内でマイ
    クロプロセッサの形を有するノマッドオブジェクトの中で論理マイクロ回路の形
    を有することができ、 前記デモンストレータ装置は、情報処理通信網を介して、特に、電気的に、電
    磁気的に、光学的に、または音声として、コントローラ・エンティティに関連し
    たコントローラ装置に、接続するための接続手段を有し、前記コントローラ装置
    は、特に端末または遠隔サーバの形を有し、 前記端末装置は、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、請求項１７に
    記載の特定されたプロセスを適用することによって、各コミットメントＲを計算
    し、 証人装置が、相互接続手段を介して、デモンストレータ装置に、各コミットメ
    ントＲの全体または一部を伝達するために、以下、証人装置の伝達手段と呼ばれ
    る伝達手段を有し、 デモンストレータ装置はまた、接続手段を介して、コントローラ装置に各コミ
    ットメントＲの全体または一部を伝達するために、以下、デモンストレータ装置
    の伝達手段と呼ばれる伝達手段を有し、 ・ステップ２および３のチャレンジ行為ｄおよび応答行為Ｄにおいて、 証人装置のチャレンジｄの受取り装置は、コントローラ装置とデモンストレー
    タ装置との間の接続手段を介して、さらにデモンストレータ装置と証人装置との
    間の相互接続手段を介して、コントローラ装置から生じた各チャレンジｄを受取
    り、 証人装置の応答Ｄの計算手段は、請求項１７に特定されたプロセスを適用しな
    がら、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータの伝達装置は、チェックを行うコントローラ装置に各応答Ｄ
    を伝達する といったステップを実行することができる請求項１７に記載の端末装置。
19. 【請求項１９】 コントローラと呼ばれるエンティティに対して、デモンス
    トレータと呼ばれるエンティティに結びついたメッセージＭの完全性を証明する
    端末装置であって、 前記端末装置は、デモンストレータ・エンティティに関連したデモンストレー
    タ装置を含んでおり、前記のデモンストレータ装置は、相互接続手段によって証
    人装置に相互接続され、特に、たとえばマイクロプロセッサ型バンクカード内で
    マイクロプロセッサの形を有するノマッドオブジェクトの中で論理マイクロ回路
    の形を有することができ、 前記のデモンストレータ装置は、特に、情報処理通信網を介して、電気的、電
    磁的、光学的に、または音声として、コントローラ・エンティティに関連したコ
    ントローラ装置に接続するための接続手段を有し、前記のコントローラ装置は特
    に、遠隔サーバまたは端末の形を有し、 前記の端末装置は、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段が、請求項１７に
    記載の特定されたプロセスを適用することによって、各コミットメントＲを計算
    し、 証人装置が、相互接続手段を介して、デモンストレータ装置に対して各コミッ
    トメントＲの全体または一部を伝達するために、以下、証人装置の伝達手段と呼
    ばれる伝達手段を有し、 ・ステップ２および３のチャレンジ行為ｄおよび応答行為において、 デモンストレータ装置が、少なくとも１つのトークンＴを計算するために、引
    数としてメッセージＭと各コミットメントＲの全体または一部とを有するハッシ
    ュ関数を適用する、以下、デモンストレータ装置の計算手段と呼ばれる計算手段
    を有し、 デモンストレータ装置がまた、接続手段を介して、コントローラ装置に対して
    、各トークンＴを伝達するために、以下、デモンストレータの伝達手段と呼ばれ
    る伝達手段を有し、 証人装置のチャレンジｄの受取り手段が、相互接続手段を介して、デモンスト
    レータ装置から生じる各チャレンジｄを受取り、 証人装置の応答Ｄの計算手段が、請求項１７に記載の特定されたプロセスを適
    用することによって、チャレンジｄから応答Ｄを計算し、 ・ステップ４のチェック行為において、 デモンストレータの伝達装置が、チェックを行うコントローラ装置に各応答Ｄ
    を伝達する といったステップを実行することができる請求項１７に記載の端末装置。
20. 【請求項２０】 署名エンティティと呼ばれるエンティティによって、以下
    、署名されたメッセージと呼ばれるメッセージＭのデジタル署名を生じるための
    端末装置であって、 署名されたメッセージは、 メッセージＭと、 チャレンジｄおよびまたはコミットメントＲと、 応答Ｄと を含み、 前記の端末装置は、署名エンティティに結びついた署名装置を含んでおり、前
    記署名装置は、相互接続手段によって証人装置に相互接続され、特に、たとえば
    、マイクロプロセッサ型バンクカード内のマイクロプロセッサの形状を有するノ
    マッドオブジェクトの中で論理マイクロ回路の形状を有することができ、 前記の署名装置は、特に、情報処理通信網を介して、電気的、電磁的、光学的
    に、または、音声として、コントローラ・エンティティに結びついたコントロー
    ラ装置に接続するための接続手段を有し、前記のコントローラ装置は特に、遠隔
    サーバまたは端末の形を有し、 前記の端末装置は、 ・ステップ１のコミットメント行為Ｒにおいて、 呼び出しのたびに、証人装置のコミットメントＲの計算手段は、請求項１７に
    記載の特定されたプロセスを適用することによって、各コミットメントＲを計算
    し、 証人装置は、相互接続手段を介して、各コミットメントＲの全体または一部を
    署名装置に伝達するために、以下、証人装置の伝達手段と呼ばれる伝達手段を有
    し、 ・ステップ２のチャレンジ行為ｄにおいて、 署名装置は、バイナリトレインを計算し、そのトレインから、コミットメント
    Ｒと同じ数のチャレンジｄを抽出するために、引数としてメッセージＭと各コミ
    ットメントＲの全体または一部とを有するハッシュ関数ｈを適用する、以下、署
    名装置の計算手段と呼ばれる計算手段を有し、 ・ステップ３の応答行為Ｄにおいて、 チャレンジｄの受取り手段は、相互接続手段を介して、署名装置から生じる各
    チャレンジｄを受取り、 証人装置の応答Ｄの計算手段は、請求項９に記載の特定されたプロセスを適用
    しながら、チャレンジｄから応答Ｄを計算し、 証人装置は、相互接続手段を介して、署名装置に応答Ｄを伝達するために、以
    下、証人装置の伝達手段と呼ばれる伝達装置を有する といったステップを実行することができる請求項１７に記載の端末装置。
21. 【請求項２１】 コントローラ・エンティティに結びついた、端末または遠
    隔サーバの形を有するコントローラ装置であって、コントローラ・サーバに対し
    て、 エンティティの真正性および／または、 そのエンティティに結びついたメッセージＭの完全性 を証明するためのものであり、 その証明は、 秘密値Ｑ₁、Ｑ₂、…Ｑ_mおよび公開値Ｇ₁、Ｇ₂、…Ｇ_mのｍ個の対（ｍは１以上
    である）と、 ｆ個の素因数ｐ₁、ｐ₂、…ｐ_fの積によって構成される公開係数ｎ（ｆは２以
    上である）と、 −公開指数ｖと いったパラメータ全体または一部、あるいはその導関数を用いて行なわれ、 前記係数と前記指数と前記の値は、 Ｇ_i．Ｑ_i ^v≡１．ｍｏｄ ｎ または Ｇ_i≡Ｑ_i ^vｍｏｄ ｎ のタイプの関係式によって関連付けられ、 ここで、Ｑ₁は、公開値Ｇ_iに結びついたコントローラ装置の未知の秘密値を示
    しているコントローラ装置。
22. 【請求項２２】 コントローラと呼ばれるエンティティに対して、デモンス
    トレータと呼ばれるエンティティの真正性を証明するためのコントローラ装置で
    あって、 前記のコントローラ装置は、特に、情報処理通信網を介して、電気的に、電磁
    気的に、光学的にまたは音声として、デモンストレータ・エンティティに関連し
    たデモンストレータ装置に接続するための接続手段を有し、 前記コントローラ装置は、 ・ステップ１および２のコミットメント行為Ｒおよびチャレンジ行為において、 前記のコントローラ装置がまた、接続手段を介して、デモンストレータ装置か
    ら生じるコミットメントＲの全体または一部の受取り手段を有し、 コントローラ装置が、各コミットメントＲの全体または一部を受取った後に、
    コミットメントＲと同じ数のチャレンジｄを生じるための発生手段を有し、各チ
    ャレンジｄは、以下、基本的チャレンジｄと呼ばれるｍ個の整数ｄ_iを有し、 コントローラ装置がまた、接続手段を介して、デモンストレータにチャレンジ
    ｄを伝達するために、以下、コントローラ装置の伝達手段と呼ばれる伝達手段を
    有し、 ・ステップ３および４の応答行為およびチェック行為において、 コントローラ装置がまた、 接続手段を介して、デモンストレータ装置から生じる応答Ｄを受取る手段と、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段とを含む といったステップを実行することができ、 デモンストレータが、各コミットメントＲの一部を伝達した場合において、 コントローラ装置の受取り手段が、各コミットメントＲの一部を受取った場合
    には、コントローラ装置の計算手段は、ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有する
    ことによって、各チャレンジｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 コントローラ装置の比較手段は、受取った各コミットメントＲの全体または一
    部と再構築された各コミットメントＲ’を比較し、 デモンストレータが、各コミットメントＲの完全性を伝達した場合において コントローラ装置の受取り手段が、各コミットメントＲの完全性を受取った場
    合には、コントローラ装置の計算手段および比較手段は、ｍ個の公開値Ｇ₁、Ｇ₂ 、…Ｇ_mを有することによって、各コミットメントＲが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する請求項２１に記載のコントローラ装置
    。
23. 【請求項２３】 デモンストレータと呼ばれるエンティティに結びついたメ
    ッセージＭの完全性を証明するためのコントローラ装置であって、 前記のコントローラ装置は、特に情報処理通信網を介して、デモンストレータ
    ・エンティティに結びついたデモンストレータ装置に、電気的、電磁的、光学的
    にまたは音声として、接続するための接続手段を有し、 前記のコントローラ装置は、 ・ステップ１および２のコミットメント行為Ｒおよびチャレンジ行為において、 前記のコントローラ装置はまた、接続手段を介して、デモンストレータ装置か
    ら発生するトークンＴの受取り手段を有し、 コントローラ装置はまた、トークンＴを受取った後に、コミットメントＲと同
    じ数のチャレンジを生じるためのチャレンジ発生手段を有し、各チャレンジｄは
    、以下、基本的チャレンジｄと呼ばれるｍ個の整数を有し、 コントローラ装置はまた、接続手段を介して、デモンストレータにチャレンジ
    ｄを伝達するために、以下、コントローラ装置の伝達手段と呼ばれる伝達手段を
    有し、 ・ステップ３および４の応答行為Ｄおよびチェック行為において、 コントローラ装置は、接続手段を介して、デモンストレータ装置から発生する
    応答Ｄの受取り手段を有し、 コントローラ装置はまた、 ｍ個の公開値Ｇ₁、Ｇ₂、…Ｇ_mを有し、まず、各チャレンジｄおよび各応答Ｄ
    から、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たす再構築されたコミットメントＲ’を計算し、 そして、次に、引数としてメッセージＭと再構築された各コミットメントＲ’と
    を有するハッシュ関数ｈを適用することによって、トークンＴ’を計算するため
    の、以下、コントローラ装置の計算手段と呼ばれる計算手段を有し、 コントローラ装置はまた、トークンＴ’と受取ったトークンＴとを比較するた
    めに、以下、コントローラ装置の比較手段と呼ばれる比較手段を含む といったステップを実行することができる請求項２２に記載のコントローラ装置
    。
24. 【請求項２４】 コントローラと呼ばれるエンティティによって、署名され
    たメッセージをチェックすることによって、メッセージＭの真正性を証明するた
    めのコントローラ装置であって、 ハッシュ関数ｈ（Ｍ、Ｒ）を有し、署名エンティティに関連した署名装置によ
    って発生した署名されたメッセージは、 メッセージＭと、 チャレンジｄおよび／またはコミットメントＲと、 応答Ｄと を含み、 前記コントローラ装置は、特に情報処理通信網を介して、電気的、電磁的、光
    学的にまたは音声として、署名エンティティに関連した署名装置に接続するため
    の接続手段を含み、 前記コントローラ装置は、接続手段を介して、署名装置の署名されたメッセー
    ジを受取っており、 コントローラ装置は、 コントローラ装置の計算手段と呼ばれる計算手段と、 コントローラ装置の比較手段と呼ばれる比較手段と を含み、 ・コントローラが、コミットメントＲ、チャレンジｄ、応答Ｄを有する場合にお
    いて コントローラ装置がコミットメントＲ、チャレンジｄ、応答Ｄを有する場合に
    は、 ・・コントローラ装置の計算および比較手段は、コミットメントＲ、チャレンジ
    ｄ、応答Ｄが、 Ｒ≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証し、 ・・コントローラ装置の計算および比較手段は、メッセージＭ、チャレンジｄ、
    コミットメントＲが、 ｄ = ｈ（Ｍ,Ｒ） といったハッシュ関数を満たすことを認証し、 ・コントローラが、チャレンジｄおよび応答Ｄを有する場合において コントローラ装置がチャレンジｄおよび応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、各チャレンジｄおよび各応答Ｄから、 Ｒ’≡Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ’≡Ｄ^v／Ｇ₁ ^d1．Ｇ₂ ^d2．．．．Ｇ_m ^dm．ｍｏｄ ｎ のタイプの関係式を満たすコミットメントＲ’を計算し、 ・・コントローラ装置の計算および比較手段は、メッセージＭとチャレンジｄが
    、 ｄ = ｈ（Ｍ,Ｒ’） といったハッシュ関数を満たすことを認証し、 コントローラがコミットメントＲと応答Ｄを有する場合において コントローラ装置が、コミットメントＲと応答Ｄを有する場合には、 ・・コントローラ装置の計算手段は、ハッシュ関数を適用し、 ｄ’ = ｈ（Ｍ,Ｒ） のようなｄ’を計算し、 ・・コントローラ装置の計算および比較手段は、コミットメントＲ、チャレン
    ジｄ’、応答Ｄが、 Ｒ≡Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．Ｄ^vｍｏｄ ｎ のタイプの関係式を、または、 Ｒ≡Ｄ^v／Ｇ₁ ^d'1．Ｇ₂ ^d'2．．．．Ｇ_m ^d'm．ｍｏｄ ｎ のタイプの関係式を満たすことを認証する請求項１７に記載のコントローラ装置
    。