JP2009033740A

JP2009033740A - 匿名フレキシブル認証による分散型許可のための方法および装置

Info

Publication number: JP2009033740A
Application number: JP2008168143A
Authority: JP
Inventors: Ke Zeng; カゼン
Original assignee: NEC China Co Ltd
Current assignee: NEC China Co Ltd
Priority date: 2007-06-27
Filing date: 2008-06-27
Publication date: 2009-02-12
Also published as: CN101335622B; EP2012248A2; CN101335622A; US20090037990A1; EP2012248A3; US8327423B2

Abstract

【課題】匿名フレキシブル認証による分散型許可のための方法および装置が提供される。
【解決手段】偽名機関は、ルート偽名をユーザに発行する。ユーザは、ルート偽名から大量の派生偽名を生成することができる。ユーザは、派生偽名を使用することによって、リソースプロテクタからリソース認証情報を取得することができる。ユーザは、１組のリソース認証情報を選択し、この１組のリソース認証情報からフレキシブル認証情報を生成し、フレキシブル認証情報および派生偽名を使用して、１組のリソース認証情報に対応するリソースへのアクセスを、リソースプロテクタに要求することができる。リソースごとの取り消しリストは、システムにおいて維持することができ、したがって、任意のユーザのリソース認証情報のうちの任意の１つを、そのユーザの他のリソース認証情報に影響を及ぼすことなく、取り消すことができる。
【選択図】図１

Description

本発明は、一般にコンピュータ通信ネットワークセキュリティに関し、より詳細には、プライバシを保護する機能を備える分散型許可のための通信方法、システム、および装置に関する。

様々なアプリケーションが導入され始めたコンピュータ通信ネットワークの普及に伴い、許可ベースのアプリケーションにおける消費者のプライバシの保護は、もはや後回しにすることができない問題である。

認証とは、ユーザが本人であることを確認する事であり、許可とは、ユーザの識別に基づいて、ユーザが様々なサービスにアクセスすることができるようにする事である。従って、論理的に許可より先に認証が行われる。アクセス制御リスト（ＡＣＬ）など、現在の業界の慣行は、ユーザの認証情報をローカルデータベースから取り出し、そのユーザの認証情報が、リソースに関連する所与のアクセス制御ポリシーを満たしていることをチェックすることによって、許可を行う。ユーザの一意の識別をリソースプロテクタに開示することは、ユーザの認証情報を取り出すために必要であるため、こうした慣行は、ユーザのプライバシを犠牲にして、安全な許可を達成する。

図１６に示されているように、許可システムは、機関の種類として、偽名機関（ＰＡ）、ユーザ、リソースホルダー（ＲＨ）、およびリソースプロテクタ（ＲＰ）を有する。ＰＡは、例えば、ネットワークに結合されており、システムにおける偽名の使用を管理するサーバなどである。ＲＨは、例えば、コンテンツデータ、計算リソースなどを有するワークステーション、またはネットワークに結合されている、いくつかのサービスなどを提供するサーバである。ＲＰは、例えば、ネットワークに結合されており、リソースへのアクセスを制御するログインサーバなどである。ユーザは、例えば、パーソナルコンピュータ（ＰＣ）や端末がネットワークに結合されている状態で、偽名を使用することにより、リソースにアクセスすることができる。

ＰＡは、偽名をユーザに付与し、不審なユーザをトレースし、不正を働くユーザを取り消すことができる信頼できる第三者機関としての役割を果たす。

ＲＨは、いくつかのリソースを管理し、アクセス権、すなわち認証情報をユーザに付与する。

ＲＰは、リソースを保護し、ユーザの認証情報を検証する。ユーザは、異なるＲＨによって発行された認証情報をＲＰに対して証明することができ、これは、許可システムの一般的な慣行であることに留意されたい。例えば、あるユーザは、会社Ａ（第１のＲＨからの認証情報を備える）および会社Ｂ（第２のＲＨからの認証情報を備える）のゴールドカスタマーである場合、会社Ｃのリソースに対するゴールドメンバーのアクセス権が（第３のＲＨのＲＰによって）与えられる。

以下の特徴のいずれかを有する高プライバシ許可システムを実現することが望ましい。

（１）リンク不能な匿名性。ユーザとＲＨとの間の複数の対話の後、ＲＨがユーザの識別を確認することは難しい。さらに、ユーザとＲＰとの間の複数の対話の後、ＲＰがユーザの識別を確認することは難しい。

（２）拡張性。ユーザは、匿名で、認証情報をＲＰに対して証明し、第三者機関のオンラインの関与無しにＲＰに確信させる。特に、これによって、ＲＨは、ユーザとＲＰとの間の対話ごとに認証情報を再発行しない。

（３）きめの細かい匿名性。全認証情報をＲＰに対して常に証明する代わりに、ユーザは、認証情報の任意の部分を選択してＲＰに証明することができる。

（4）きめの細かい取り消し可能性。認証情報の取り消しは、ユーザごと、および権利ごとに行うことができる。ユーザの任意のアクセス権、すなわち、ユーザの任意の認証情報は、ユーザの他の認証情報に影響を与えること無く、取り消すことができる。

（５）一定した高価な計算。きめの細かい匿名性が達成されたとき、高価な暗号計算の量は、証明するために選択された認証情報の数に依存しない。例えば、スカラ乗法、モジュラ冪法、および組み合わせ評価は、一般に高価であると考えられる。さらに、きめの細かい取り消し可能性が達成されたとき、高価な暗号計算の量は、取り消しを検証する際に選択される認証情報の数に依存しない。

（６）拡大性。許可システムが新しいＲＨに対応するよう拡大する場合、または既存のＲＨが新しいリソースを管理するよう拡大する場合、ユーザがすでに保持している認証情報を変更する必要はない。特に、発行された任意の認証情報の再発行は、回避すべきである。

これは、最初に、Ｄ．Ｃｈａｕｍ，Ｊ．Ｈ．Ｅｖｅｒｔｓｔ，ＡＳｅｃｕｒｅａｎｄＰｒｉｖａｃｙ−ｐｒｏｔｅｃｔｉｎｇＰｒｏｔｏｃｏｌｆｏｒＴｒａｎｓｍｉｔｔｉｎｇＰｅｒｓｏｎａｌＩｎｆｏｒｍａｔｉｏｎＢｅｔｗｅｅｎＯｒｇａｎｉｚａｔｉｏｎｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’８６，ＬＮＣＳｖｏｌ．２６３，ｐｐ．１１８−１６７，１９８６で紹介されており、認証情報をリソースホルダーに要求し、リソースプロテクタに対して認証情報を匿名で証明する複数のユーザに関するシナリオである。この論文およびその後のものでは、「組織」という用語は、リソースホルダーとリソースプロテクタの論理的な組み合わせを表すために使用されている。

Ｃｈａｕｍらによって提案された方式は、信頼できる第三者機関をすべての対話に関与させることに基づく。Ｃｈｅｎ（Ｌ．Ｃｈｅｎ，ＡｃｃｅｓｓｗｉｔｈＰｓｅｕｄｏｎｙｍｓ，ＩｎＰｒｏｃ．ｏｆＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｒｙｐｔｏｇｒａｐｈｙ：ＰｏｌｉｃｙａｎｄＡｌｇｏｒｉｔｈｍｓ，ＬＮＣＳｖｏｌ．１０２９，ｐｐ．２３２−２４３，１９９５参照）およびＬｙｓｙａｎｓｋａｙａら（Ａ．Ｌｙｓｙａｎｓｋａｙａ，Ｒ．Ｒｉｖｅｓｔ，Ａ．Ｓａｈａｉ，Ｓ．Ｗｏｌｆ，ＰｓｅｕｄｏｎｙｍＳｙｓｔｅｍｓ．ＩｎＰｒｏｃ．ｏｆＳｅｌｅｃｔｅｄＡｒｅａｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ，ＬＮＣＳｖｏｌ．１７５８，ｐｐ．１８４−１９９，１９９９参照）によって提案された後の方式も、すべての対話に関与する信頼できる第三者機関に依存する。リンク不能とするために、リソースホルダーに、ユーザとリソースプロテクタとの間の対話ごとに認証情報を再発行させることは、不可避である。したがって、これらの匿名認証情報方式は、拡張可能ではない。

さらに、Ｃａｍｅｎｉｓｃｈらも、２つの匿名認証情報方式（Ｊ．Ｃａｍｅｎｉｓｃｈ，Ａ．Ｌｙｓｙａｎｓｋａｙａ，ＡｎＥｆｆｉｃｉｅｎｔＳｙｓｔｅｍｆｏｒＮｏｎ−ＴｒａｎｓｆｅｒａｂｌｅＡｎｏｎｙｍｏｕｓＣｒｅｄｅｎｔｉａｌｓｗｉｔｈＯｐｔｉｏｎａｌＡｎｏｎｙｍｉｔｙＲｅｖｏｃａｔｉｏｎ，ＩｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＥｕｒｏＣｒｙｐｔｏ ’０１，ＬＮＣＳｖｏｌ．２０４５，ｐｐ．９３−１１８，２００１，ａｎｄＪ．Ｃａｍｅｎｉｓｃｈ，Ａ．Ｌｙｓｙａｎｓｋａｙａ．ＳｉｇｎａｔｕｒｅＳｃｈｅｍｅｓａｎｄＡｎｏｎｙｍｏｕｓＣｒｅｄｅｎｔｉａｌｓｆｒｏｍＢｉｌｉｎｅａｒＭａｐｓ，ＩｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．５６−７２，２００４参照）を提案しており、これらは、リンク不能な匿名性および拡張性を達成する。

しかし、上述した従来の方式では、リソースホルダーが管理することができるリソースは、リソースホルダーの公開鍵内のいくつかのパラメータによって決定される。パラメータへのどんな変更も、すでに発行されている認証情報のリフレッシュを必ずもたらす。したがって、拡大性は達成されない。

また、従来の方式では、ユーザの認証情報は、ＲＨによって共に結合されており、ユーザは、全認証情報をＲＰに対して証明しなければならない、または高価な暗号計算の量は、証明された認証情報の数に対して比例する。したがって、きめの細かい匿名性、および一定した高価な計算は、達成されない。

さらに、従来の方式では、図１７に示されているように、ユーザの１つのアクセス権を取り消す唯一の方法は、ユーザの全アクセス権を取り消すこと、すなわち、ユーザのすべての認証情報を無効にし、次いで新しい認証情報をユーザに発行することである。したがって、きめの細かい取り消し可能性は達成されない。
Ｄ．Ｃｈａｕｍ，Ｊ．Ｈ．Ｅｖｅｒｔｓｔ，ＡＳｅｃｕｒｅａｎｄＰｒｉｖａｃｙ−ｐｒｏｔｅｃｔｉｎｇＰｒｏｔｏｃｏｌｆｏｒＴｒａｎｓｍｉｔｔｉｎｇＰｅｒｓｏｎａｌＩｎｆｏｒｍａｔｉｏｎＢｅｔｗｅｅｎＯｒｇａｎｉｚａｔｉｏｎｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’８６，ＬＮＣＳｖｏｌ．２６３，ｐｐ．１１８−１６７，１９８６Ｌ．Ｃｈｅｎ，ＡｃｃｅｓｓｗｉｔｈＰｓｅｕｄｏｎｙｍｓ，ＩｎＰｒｏｃ．ｏｆＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｒｙｐｔｏｇｒａｐｈｙ：ＰｏｌｉｃｙａｎｄＡｌｇｏｒｉｔｈｍｓ，ＬＮＣＳｖｏｌ．１０２９，ｐｐ．２３２−２４３，１９９５Ａ．Ｌｙｓｙａｎｓｋａｙａ，Ｒ．Ｒｉｖｅｓｔ，Ａ．Ｓａｈａｉ，Ｓ．Ｗｏｌｆ，ＰｓｅｕｄｏｎｙｍＳｙｓｔｅｍｓ．ＩｎＰｒｏｃ．ｏｆＳｅｌｅｃｔｅｄＡｒｅａｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ，ＬＮＣＳｖｏｌ．１７５８，ｐｐ．１８４−１９９，１９９９Ｊ．Ｃａｍｅｎｉｓｃｈ，Ａ．Ｌｙｓｙａｎｓｋａｙａ，ＡｎＥｆｆｉｃｉｅｎｔＳｙｓｔｅｍｆｏｒＮｏｎ−ＴｒａｎｓｆｅｒａｂｌｅＡｎｏｎｙｍｏｕｓＣｒｅｄｅｎｔｉａｌｓｗｉｔｈＯｐｔｉｏｎａｌＡｎｏｎｙｍｉｔｙＲｅｖｏｃａｔｉｏｎ，ＩｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＥｕｒｏＣｒｙｐｔｏ ’０１，ＬＮＣＳｖｏｌ．２０４５，ｐｐ．９３−１１８，２００１Ｊ．Ｃａｍｅｎｉｓｃｈ，Ａ．Ｌｙｓｙａｎｓｋａｙａ．ＳｉｇｎａｔｕｒｅＳｃｈｅｍｅｓａｎｄＡｎｏｎｙｍｏｕｓＣｒｅｄｅｎｔｉａｌｓｆｒｏｍＢｉｌｉｎｅａｒＭａｐｓ，ＩｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．５６−７２，２００４Ｄ．Ｂｏｎｅｈ，Ｍ．Ｆｒａｎｋｌｉｎ，Ｉｄｅｎｔｉｔｙ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌＰａｉｒｉｎｇ，Ｐｒｏｃ．Ｃｒｙｐｔｏ ’０１，ＬＮＣＳ，ｖｏｌ．２１３９，ｐｐ．２１３−２２９，２００１Ｓ．Ｇａｌｂｒａｉｔｈ，Ｋ．Ｈａｒｒｉｓｏｎ，Ｄ．Ｓｏｌｄｅｒａ，ＩｍｐｌｅｍｅｎｔｉｎｇｔｈｅＴａｔｅｐａｉｒｉｎｇ，Ｐｒｏｃ．ｏｆｔｈｅ５ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＳｙｍｐｏｓｉｕｍｏｎＡｌｇｏｒｉｔｈｍｉｃＮｕｍｂｅｒＴｈｅｏｒｙ，ＬＮＣＳ２３６９，３２４−３３７，２００２Ａ．Ｍｉｙａｊｉ，Ｍ．Ｎａｋａｂａｙａｓｈｉ，Ｓ．Ｔａｋａｎｏ，ＮｅｗＥｘｐｌｉｃｉｔＣｏｎｄｉｔｉｏｎｓｏｆＥｌｌｉｐｔｉｃＣｕｒｖｅｓｆｏｒＦＲ−ｒｅｄｕｃｔｉｏｎ，ＩＥＩＣＥＴｒａｎｓ．Ｆｕｎｄａｍｅｎｔａｌｓ，Ｅ８４−Ａ（５）：１２３４−１２４３，２００１Ｓ．Ｇｏｌｄｗａｓｓｅｒ，Ｓ．Ｍｉｃａｌｉ，Ｃ，Ｒａｃｋｏｆｆ，ＴｈｅｋｎｏｗｌｅｄｇｅＣｏｍｐｌｅｘｉｔｙｏｆＩｎｔｅｒａｃｔｉｖｅＰｒｏｏｆＳｙｓｔｅｍｓ，１７ｔｈＡＣＭＳｙｍｐｏｓｉｕｍｏｎＴｈｅｏｒｙｏｆＣｏｍｐｕｔａｔｉｏｎ，ｐｐ．２９１−３０４，１９８５Ａ．Ｆｉａｔ，Ａ．Ｓｈａｍｉｒ，ＨｏｗＴｏＰｒｏｖｅＹｏｕｒｓｅｌｆ：ＰｒａｃｔｉｃａｌＳｏｌｕｔｉｏｎｓｔｏＩｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄＳｉｇｎａｔｕｒｅＰｒｏｂｌｅｍｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’８６，ｐｐ．１８６−１９４，１９８６Ｄ．Ｃｈａｕｍ，ＤｅｍｏｎｓｔｒａｔｉｎｇＰｏｓｓｅｓｓｉｏｎｏｆａＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｗｉｔｈｏｕｔＲｅｖｅａｌｉｎｇＩｔ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’８６，ｐｐ．２００−２１２，１９８７Ｄ．Ｃｈａｕｍ，Ｊ．Ｈ．Ｅｖｅｒｔｓｅ，Ｊ．ｖａｎｄｅＧｒａａｆ，ＡｎＩｍｐｒｏｖｅｄＰｒｏｔｏｃｏｌｆｏｒＤｅｍｏｎｓｔｒａｔｉｎｇＰｏｓｓｅｓｓｉｏｎｏｆＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｓａｎｄＳｏｍｅＧｅｎｅｒａｌｉｚａｔｉｏｎｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ− ＥＵＲＯＣＲＹＰＴＯ ’８７，ｐｐ．１２７−１４１，１９８７Ｄ．Ｃｈａｕｍ，Ｔ．Ｐ．Ｐｅｄｅｒｓｅｎ，ＷａｌｌｅｔＤａｔａｂａｓｅｓｗｉｔｈＯｂｓｅｒｖｅｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’９２，ｐｐ．８９−１０５，１９９３Ｋ．Ｓａｋｏ，Ｊ．Ｋｉｌｉａｎ，Ｒｅｃｅｉｐｔ−ＦｒｅｅＭｉｘ−ＴｙｐｅＶｏｔｉｎｇＳｃｈｅｍｅ ― ＡＰｒａｃｔｉｃａｌＳｏｌｕｔｉｏｎｔｏｔｈｅＩｍｐｌｅｍｅｎｔａｔｉｏｎｏｆａＶｏｔｉｎｇＢｏｏｔｈ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’９８，ｐｐ．３９３−４０３，１９９８ＫｅＺｅｎｇ，ＰｓｅｕｄｏｎｙｍｏｕｓＰＫＩｆｏｒＵｂｉｑｕｉｔｏｕｓＣｏｍｐｕｔｉｎｇ，ＬＮＣＳ４０４３，ｐｐ．２０７−２２２，ＥｕｒｏＰＫＩ ’０６，２００６Ｄ．Ｂｏｎｅｈ，Ｘ．Ｂｏｙｅｎ，Ｈ．Ｓｈａｃｈａｍ，ＳｈｏｒｔＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．４１−５５，２００４Ａ．Ｍｅｎｅｚｅｓ，Ｐ．ｖａｎＯｏｒｓｃｈｏｔ，Ｓ．Ｖａｎｓｔｏｎｅ，ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，ＣＲＣＰｒｅｓｓ，１９９６

上記の問題を鑑みて、本発明がなされた。

本発明の一態様によれば、ルート偽名を発行するステップと、１つ以上のリソース認証情報を取得するステップと、ル―ト偽名から第１の派生偽名を生成するステップと、前記１つ以上のリソース認証情報から１組のリソース認証情報を選択するステップと、１組のリソース認証情報からフレキシブル認証情報を生成するステップと、第１の派生偽名およびフレキシブル認証情報を使用することによって、アクセス要求を行うステップと、第１の派生偽名およびフレキシブル認証情報を検証した後、アクセス要求を承諾するステップとを含む、通信システムのための方法が提供される。

システムパラメータをセットアップするように構成されているシステムパラメータセットアップ手段と、ユーザ識別検証を行うように構成されている識別検証手段と、ユーザ偽名鍵をユーザに割り当てるように構成されているユーザ偽名鍵割当手段と、ユーザ偽名鍵に基づいて、ユ―ザに発行されるべきルート偽名を生成するように構成されているルート偽名生成手段とを備える、通信システムにおいて偽名を管理するための装置が提供される。

本発明の別の態様によれば、ユーザ端末からのユーザの要求が受信されると、ユーザ識別を検証するステップと、ユーザ識別が検証をパスした場合、ユーザ偽名鍵をユーザに割り当てるステップと、ユーザ偽名鍵に基づいてルート偽名を生成するステップとを含む、通信システムにおいて偽名を管理するための方法が提供される。

本発明の別の態様によれば、リソースごとにリソース秘密鍵およびリソース公開鍵を生成するように構成されているリソース鍵生成手段と、ユーザの派生偽名を検証するように構成されている偽名検証手段と、ユーザの派生偽名に基づいて、ユーザのユーザ端末に送信されるべきリソースの認証情報を生成するように構成されている、認証情報生成手段とを備える通信システムにおいて、１つ以上のリソースの認証情報を管理するための装置が提供される。

本発明の別の態様によれば、リソースごとにリソース秘密鍵およびリソース公開鍵を生成するステップと、ユーザ端末からのユーザの要求が受信されると、ユーザの派生偽名を検証するステップと、検証がパスした場合、派生偽名に基づいて、ユーザ端末に送信されるべきリソースの認証情報を生成するステップとを含む、通信システムにおいて、１つ以上のリソースの認証情報を管理するための方法が提供される。

本発明の別の態様によれば、ルート偽名を取得するように構成されているルート偽名取得手段と、１つ以上のリソース認証情報を取得するように構成されているリソース認証情報取得手段と、ルート偽名から第１の派生偽名を生成するように構成されている派生偽名生成手段と、選択された１組のリソース認証情報からフレキシブル認証情報を生成するように構成されているフレキシブル認証情報生成手段とを備え、ユーザ端末が、第１の派生偽名およびフレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを取得する、通信システムにおけるユーザ端末が提供される。

本発明の別の態様によれば、ルート偽名を取得するステップと、１つ以上のリソース認証情報を取得するステップと、ルート偽名から第１の派生偽名を生成し、選択された１組のリソース認証情報からフレキシブル認証情報を生成するステップと、第１の派生偽名およびフレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを取得するステップとを含む、通信システムにおけるユーザ端末のための方法が提供される。

本発明の別の態様によれば、ユーザの派生偽名を検証するように構成されている偽名検証手段と、ユーザのフレキシブル認証情報を検証するように構成されているフレキシブル認証情報検証手段と、偽名検証手段およびフレキシブル認証情報検証手段の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるように構成されている許可手段とを備える、通信システムにおける１つ以上のリソースへのアクセスを管理するための装置が提供される。

本発明の別の態様によれば、ユーザの派生偽名を検証するステップと、ユーザのフレキシブル認証情報を検証するステップと、派生偽名およびフレキシブル認証情報の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるステップとを含む、通信システムにおける１つ以上のリソースへのアクセスを管理するための方法。

また、本発明は、本発明による方法をプロセッサに実行させる命令を記録した機械可読媒体を有する製品も提供する。

本発明の解決策によれば、ユーザは、許可された後、ユーザがその認証情報をリソースプロテクタに対して何度証明しようと、匿名のままでいることができ、さらにリソースホルダーに連絡する必要はない。同時に、ＰＡの公開鍵が決定され、発行された後、ＰＡが対応することができるＲＨの数は、可変である。また、リソースホルダーの公開鍵が決定され、発行された後、リソースホルダーが管理することができるリソースの数は、固定されず、発行された認証情報の変更は必要ない。

さらに、ユーザは、リソースプロテクタに対して、そのユーザの全組のアクセス権の任意の部分を選択的に証明することができる。また、ユーザがアクセス権の任意の部分を証明するための計算コストは、証明される権利の数に依存しない（１つのみの権利を証明するためのものと同じである）。

さらに、偽名機関は、ユーザの他の権利を変更することなく、ユーザのリソース認証情報のうちの任意の１つを取り消すことができる。また、偽名機関は、リソースホルダーの関与無しに、取り消しを行うことができ、言い換えれば、きめの細かい取り消しは、リソースホルダーの秘密鍵を必要とすることなく達成される。任意の数のリソース認証情報が取り消されるかどうかを検証するために必要な高価な計算の量は、一定しており、すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じである。

以下の詳細な説明および図面から、本発明の他の特徴および利点が明らかになる。本発明は、図面または任意の特定の実施形態に示されている例に決して限定されないことに留意されたい。

図１は、本発明による解決策の一般的概念を概略的に示す。図１に示されるように、偽名機関ＰＡは、ルート偽名をユーザに発行し、ユーザは、ユーザ自身によってルート偽名から計算された派生偽名を使用することによって、リソースホルダーＲＨからリソース認証情報を取得する。ユーザは、１つ以上のリソースにアクセスしたいとき、ユーザが有するすべてのリソース認証情報から、アクセスすることが望まれるリソースに対応する１組のリソース認証情報を選択し、この組のリソース認証情報によって特別な認証情報を生成する。こうした認証情報を、ユーザによって選択された任意のリソース認証情報に基づいて生成することができ、以下、フレキシブル認証情報と呼ぶ。その後、ユーザは、生成されたフレキシブル認証情報、およびルート偽名から計算された派生偽名をリソースプロテクタＲＰに対して証明し、リソースプロテクタＲＰによって検証された後、所望のリソースへのアクセス権を得る。

本発明の解決策によれば、ユーザは、ルート偽名から、互いに異なる多数の派生偽名を生成することができる。また、リソースプロテクタとの各対話において、ユーザは、偽名機関への複数回の要求の必要無く、異なる派生偽名を使用することができる。

図２は、本発明の解決策による認証情報の使用および取り消しを示す概要図である。図２に示されるように、ユーザは、リソース認証情報の一部を選択し、そこからフレキシブル認証情報を生成し、そのフレキシブル認証情報を、検証のためにリソースプロテクタに送信することができ、これは、すべてのリソース認証情報がリソースプロテクタに対して証明される従来の方式とは異なる。さらに、こうしたフレキシブル認証情報により、検証は、単にユーザとリソースプロテクタとの間で行われ、偽名機関またはリソースホルダーは関与しない。さらに、本発明による偽名機関ＰＡは、ユーザのリソース認証情報を取り消すことができる。さらに、偽名機関ＰＡは、きめの細かい取り消しを実現するために、取り消しリストを維持することができる。すなわち、ユーザの１つ以上のリソース認証情報のみが取り消され、他のリソース認証情報は影響を受けない。

以下、図面を参照して、本発明の実施形態例について説明する。実施形態は、単に、例示の目的で記載されているにすぎず、本発明は、記載された任意の特定の実施形態に限定されないことに留意されたい。

（第１の実施形態）

以下の説明では、一例として従来の乗法群表記法が使用される。しかし、楕円曲線設定値にしばしば使用される加法表記法も同様に使用できることを当業者であれば理解されよう。

および

および追加群

は、

となるような有限巡回群であるとし、この場合、ｐは、何らかの大きい素数である。双線形マップ

（Ｄ．Ｂｏｎｅｈ，Ｍ．Ｆｒａｎｋｌｉｎ，Ｉｄｅｎｔｉｔｙ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌＰａｉｒｉｎｇ，Ｐｒｏｃ．Ｃｒｙｐｔｏ ’０１，ＬＮＣＳ，ｖｏｌ．２１３９，ｐｐ．２１３−２２９，２００１；Ｓ．Ｇａｌｂｒａｉｔｈ，Ｋ．Ｈａｒｒｉｓｏｎ，Ｄ．Ｓｏｌｄｅｒａ，ＩｍｐｌｅｍｅｎｔｉｎｇｔｈｅＴａｔｅｐａｉｒｉｎｇ，Ｐｒｏｃ．ｏｆｔｈｅ５ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＳｙｍｐｏｓｉｕｍｏｎＡｌｇｏｒｉｔｈｍｉｃＮｕｍｂｅｒＴｈｅｏｒｙ，ＬＮＣＳ２３６９，３２４−３３７，２００２；ａｎｄＡ．Ｍｉｙａｊｉ，Ｍ．Ｎａｋａｂａｙａｓｈｉ，Ｓ．Ｔａｋａｎｏ，ＮｅｗＥｘｐｌｉｃｉｔＣｏｎｄｉｔｉｏｎｓｏｆＥｌｌｉｐｔｉｃＣｕｒｖｅｓｆｏｒＦＲ−ｒｅｄｕｃｔｉｏｎ，ＩＥＩＣＥＴｒａｎｓ．Ｆｕｎｄａｍｅｎｔａｌｓ，Ｅ８４−Ａ（５）：１２３４−１２４３，２００１参照）は、以下を満たす関数である。

ｉ．双線形：すべての

、およびすべての

について、ｅ（ｈ_１ ^ａ，ｈ_２ ^ｂ）＝ｅ（ｈ_１，ｈ_２）^ａｂが成り立つ。
ｉｉ．非縮退性：Ｉが

の識別である場合、ｅ（ｈ_１，ｈ_２）≠Ｉとなるような

である。
ｉｉｉ．計算可能性：ｅを計算する効率のよいアルゴリズムが存在する。

セットアップアルゴリズムＳｅｔｕｐ（・）は、入力セキュリティパラメータｌ^ｋにおいて、双線形マップの上記の設定値を出力し、以下のように定義される。

この場合、ｌ^ｋは、システムのセキュリティ長さがｋビットとして選択されていることを意味する。

および

は、同じ素数位数ｐのものであるため、双線形特性および非縮退特性に従って、ｅ（ｇ_１，ｇ_２）＝ｇであることがわかることは容易である。

（システム構成）

本発明による通信システムは、偽名機関ＰＡ、リソースホルダーＲＨ、リソースプロテクタＲＰ、およびリソースへのアクセスを望んでいるユーザを含み、これらは、互いに通信することができる。

図３は、本発明の第１の実施形態による偽名機関ＰＡ３００の構成の一例を示す。図３に示されるように、ＰＡ３００は、主に、システムパラメータをセットアップするためのシステムパラメータセットアップ手段３１０、ユーザ識別検証を行うための識別検証手段３２０、ユーザ偽名鍵をユーザに割り当てるためのユーザ偽名鍵割当手段３３０、ユーザのルート偽名を生成するためのルート偽名生成手段３４０、ＰＡの操作に必要なデータを格納するための格納手段３５０、およびシステムにおける他の装置と通信するための通信手段３６０を備え、これらは互いに結合されている。

図４は、本発明の第１の実施形態によるリソースホルダーＲＨ４００の構成の一例を示す。図４に示されるように、ＲＨ４００は、主に、リソースごとにリソース秘密鍵およびリソース公開鍵を選択するためのリソース鍵生成手段４１０、ユーザの派生偽名を検証するための偽名検証手段４２０、ユーザの派生偽名に基づいてユーザのリソースの認証情報を生成するための認証情報生成手段４３０、ＲＨの操作に必要なデータを格納するための格納手段４４０、およびシステムにおける他の装置と通信するための通信手段４５０を備え、これらは互いに結合されている。

図５は、本発明の第１の実施形態によるユーザ端末５００の構成の一例を示す。図５に示されるように、ユーザ端末５００は、主に、ルート偽名を取得するためのルート偽名取得手段５１０、ルート偽名から派生偽名を生成するための派生偽名生成手段５２０、リソース認証情報を取得するためのリソース認証情報取得手段５３０、選択されたリソース認証情報からフレキシブル認証情報を生成するためのフレキシブル認証情報生成手段５４０、ユーザ端末５００の操作に必要なデータを格納するための格納手段５５０、およびシステムにおける他の装置と通信するための通信手段５６０を備え、これらは互いに結合されている。

図６は、本発明の第１の実施形態によるリソースプロテクタＲＰ６００の構成の一例を示す。図６に示されているように、リソースプロテクタＲＰ６００は、主に、ユーザの偽名を検証するための偽名検証手段６１０、ユーザのフレキシブル認証情報を検証するためのフレキシブル認証情報検証手段６２０、リソースにアクセスする権限をユーザに与えるための許可手段６３０、リソースプロテクタＲＰ６００の操作に必要なデータを格納するための格納手段６４０、およびシステムにおける他の装置と通信するための通信手段６５０を備え、これらは互いに結合されている。

以下、本発明の第１の実施形態による手順の一例について詳述する。

（偽名機関のセットアップ）

許可システムが起動すると、ＰＡは、それが望むセキュリティ強度を決定し、基本的な代数を選択し、その秘密鍵を生成し、公開鍵を発行する必要がある。図７は、ＰＡがセットアップする特定の手順を示す。

図７に示されるように、ステップＳ７０１で、ＰＡのシステムパラメータセットアップ手段３１０は、それが望むセキュリティ長に従って安全なパラメータｌ^ｋを決定し、セットアップアルゴリズム

を呼び出す。

ステップＳ７０２で、システムパラメータセットアップ手段３１０は、整数

をＰＡの秘密鍵として無作為に選択し、

を計算する。

ステップＳ７０３で、ＰＡは、通信手段３６０を介してその公開鍵

を発行する。

（リソースホルダーのセットアップ）

本発明の第１の実施形態によるリソースホルダーがセットアップする特定の手順を図８に示す。図８に示されるように、ＰＡ公開鍵ＰＫ^ＰＡを取得した後、リソースＲ_ｉ ^ｊ（ｊ＝１，２，…，ｎ_ｉ）を管理するリソースホルダーＲＨ_ｉは、以下のステップを行う。

ステップＳ８０１で、ＲＨ_ｉのリソース鍵生成手段４１０は、Ｒ_ｉ ^ｊごとに整数

をＲ_ｉ ^ｊのリソース秘密鍵として選択し、リソースｊ＝１，２，…，ｎ_ｉごとにリソース公開鍵

を計算する。

ステップＳ８０２で、リソース鍵生成手段４１０は、Ｂ_ｉ ^ｊの組ごとに知識証明の署名も生成し、

Σ_i ^j＝SKP{(x_j) : B_i ^j＝g₂ ^xj},
j=1, 2, …, n_i

それによってＲＨ_ｉは、

の知識を証明することができる。

ここで、表記ＳＫＰは、いわゆる知識証明技術を示す（参照により本明細書に組み込む、Ｓ．Ｇｏｌｄｗａｓｓｅｒ，Ｓ．Ｍｉｃａｌｉ，Ｃ，Ｒａｃｋｏｆｆ，ＴｈｅｋｎｏｗｌｅｄｇｅＣｏｍｐｌｅｘｉｔｙｏｆＩｎｔｅｒａｃｔｉｖｅＰｒｏｏｆＳｙｓｔｅｍｓ，１７ｔｈＡＣＭＳｙｍｐｏｓｉｕｍｏｎＴｈｅｏｒｙｏｆＣｏｍｐｕｔａｔｉｏｎ，ｐｐ．２９１−３０４，１９８５を参照）。ゼロ知識における離散対数の知識を証明するために、多くの方法が提案されている（知識証明の計算および実装の特定の例を漸進的に記載しており、参照により本明細書に組み込まれる、Ａ．Ｆｉａｔ，Ａ．Ｓｈａｍｉｒ，ＨｏｗＴｏＰｒｏｖｅＹｏｕｒｓｅｌｆ：ＰｒａｃｔｉｃａｌＳｏｌｕｔｉｏｎｓｔｏＩｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄＳｉｇｎａｔｕｒｅＰｒｏｂｌｅｍｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’８６，ｐｐ．１８６−１９４，１９８６；Ｄ．Ｃｈａｕｍ，ＤｅｍｏｎｓｔｒａｔｉｎｇＰｏｓｓｅｓｓｉｏｎｏｆａＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｗｉｔｈｏｕｔＲｅｖｅａｌｉｎｇＩｔ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’８６，ｐｐ．２００−２１２，１９８７；Ｄ．Ｃｈａｕｍ，Ｊ．Ｈ．Ｅｖｅｒｔｓｅ，Ｊ．ｖａｎｄｅＧｒａａｆ，ＡｎＩｍｐｒｏｖｅｄＰｒｏｔｏｃｏｌｆｏｒＤｅｍｏｎｓｔｒａｔｉｎｇＰｏｓｓｅｓｓｉｏｎｏｆＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍｓａｎｄＳｏｍｅＧｅｎｅｒａｌｉｚａｔｉｏｎｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ− ＥＵＲＯＣＲＹＰＴＯ ’８７，ｐｐ．１２７−１４１，１９８７；Ｄ．Ｃｈａｕｍ，Ｔ．Ｐ．Ｐｅｄｅｒｓｅｎ，ＷａｌｌｅｔＤａｔａｂａｓｅｓｗｉｔｈＯｂｓｅｒｖｅｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’９２，ｐｐ．８９−１０５，１９９３；Ｋ．Ｓａｋｏ，Ｊ．Ｋｉｌｉａｎ，Ｒｅｃｅｉｐｔ−ＦｒｅｅＭｉｘ−ＴｙｐｅＶｏｔｉｎｇＳｃｈｅｍｅ ― ＡＰｒａｃｔｉｃａｌＳｏｌｕｔｉｏｎｔｏｔｈｅＩｍｐｌｅｍｅｎｔａｔｉｏｎｏｆａＶｏｔｉｎｇＢｏｏｔｈ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ ’９８，ｐｐ．３９３−４０３，１９９８；ａｎｄＫｅＺｅｎｇ，ＰｓｅｕｄｏｎｙｍｏｕｓＰＫＩｆｏｒＵｂｉｑｕｉｔｏｕｓＣｏｍｐｕｔｉｎｇ，ＬＮＣＳ４０４３，ｐｐ．２０７−２２２，ＥｕｒｏＰＫＩ ’０６，２００６参照）。例えば、ＳＫＰ｛（ｘ_ｊ）：Ｂ_ｉ ^ｊ＝ｇ_２ ^ｘｊ｝は、リソースホルダーＲＨ_ｉが、計算においてｘ_ｊの情報を明らかにすること無く、Ｂ_ｉ ^ｊ＝ｇ_２ ^ｘｊとなるようなｘ_ｊを知っていることを証明することができることを示す。

知識証明を行う従来の様々な方法を、本発明の実施形態に使用することができる。これらは、当分野では知られているため、その詳細は、ここでは説明しない。対話型および非対話型の知識証明を本発明の実施形態に使用することができることは、当業者には明らかである。非対話バージョンの知識証明は、ユーザ装置とサービス装置との間の往復の通信を減らすことができ、したがって、ネットワーク稼働率と時間消費に関して有利である。しかし、ユ―ザ装置とサービス装置は、反射攻撃を防ぐために、同じ時間起点を共有することが必要となり得る。対話型および非対話型の変形体の利点および欠点は、当業者にはよく知られている。

ここで図８に戻る。ステップＳ８０３で、ＲＨ_ｉは、通信手段４３０を介してその公開鍵ＰＫ_ｉ ^ＲＨ＝｛（Ｂ_ｉ ^ｊ，Σ_ｉ ^ｊ）｝、ｊ＝１，２，…，ｎ_ｉを発行する。式中、Ｂ_ｉ ^ｊは、リソースＲ_ｉ ^ｊの公開鍵である。あるいは、ＲＨ_ｉは、｛（Ｂ_ｉ ^ｊ，Σ_ｉ ^ｊ）｝、ｊ＝１，２，…，ｎ_ｉをＰＡに送信し、ＰＫ_ｉ ^ＲＨをＲＨ_ｉ自体によって発行する代わりに、ＰＡに発行させてもよい。知られているように、Σ_ｉ ^ｊは、リソースホルダーＲＨ_ｉがシステムに対する攻撃に対するような方法でＲ_ｉ ^ｊを生成することを示す。

実際は、偽名機関が、リソースホルダーによって管理されるリソースに、リソースホルダーの代わりに、リソース秘密鍵を割り当てることも可能である。さらに、リソース秘密鍵およびリソース公開鍵の知識証明の署名は、偽名機関によって計算され、発行されてもよい。本発明の代替実施形態において、偽名機関は、さらに、リソース秘密鍵を割り当て、リソース公開鍵を計算し、かつ／またはリソース秘密鍵の知識証明の署名を生成するためのリソース鍵生成手段（図示せず）を備えていてもよい。

（偽名の発行）

図９は、本発明の第１の実施形態によるルート偽名を発行する特定の手順を示す。図９に示されるように、ＰＡ公開鍵ＰＫ^ＰＡが与えられると、検証可能な識別Ｕを有するユーザは、ＰＡから偽名を取得するために、ＰＡとの次の対話を行う。

ステップＳ９０１で、ユーザ端末のルート偽名取得手段５１０は、ＰＡにルート偽名を要求し、ユーザの検証可能な識別Ｕは、通信手段５６０によってＰＡに送信される。

ステップＳ９０２で、ＰＡの識別検証手段３２０は、ルート偽名をそのユーザに発行するかどうかを決定するために、ユーザの識別Ｕを検証する。ユーザが検証をパスしない場合、ＰＡは、ルート偽名をユーザに発行せず、プロセスは、障害処理のためにステップＳ９０３に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。

ユーザに偽名が発行される資格があることが決定されると、ＰＡのユーザ偽名鍵割当手段３３０は、ステップＳ９０４で、Ｕのために格納するユーザ偽名鍵ｚについて、そのデータベース（例えば格納手段３５０に格納されていてもよい）をチェックする。一致するユーザ偽名鍵が見つかった場合、プロセスはステップＳ９０６に進む。そうでない場合、プロセスはステップＳ９０５に進み、ＰＡのユーザ偽名鍵割当手段３３０は、そのユーザの偽名鍵としてＵのために

Ｕを選択する。

ステップＳ９０６で、ＰＡのルート偽名生成手段３４０は、ユーザのルート偽名として、

を計算する。

ステップＳ９０７で、ＰＡは、格納手段３５０内のデータベースに（Ｕ，ｚ）を格納し、ユーザ偽名鍵ｚ、およびルート偽名ｔを、通信手段３６０によってユーザに送信する。

ＰＡによって送信されたユーザ偽名鍵ｚおよびルート偽名ｔを受信した後、ユーザ端末のルート偽名取得手段５１０は、ｅ（ｔ，Ａ・ｇ_２ ^ｚ）＝ｅ（ｇ_１，ｇ_２）であるかどうかをチェックする。検証が失敗すると、プロセスはステップＳ９０１に進んで、再度要求を行う。あるいは、ユーザは、データの再送を要求するための通知をＰＡに送信する。

検証が成功すると、ユーザは、ユーザ偽名鍵ｚおよびルート偽名ｔを格納手段５５０に格納する。

ＰＡがユーザの識別を検証し、ユーザの検証可能な識別Ｕと実際のユーザとの間の関連を確実にするための既知の様々な方法があることに留意されたい。ＰＡがこれをどのように達成するかは、本発明に直接関連していないため、その詳細な説明は、ここでは省略する。

（認証情報の発行）

認証情報の発行の手順は、概念上、２つの段階に解釈することができる。第１の段階は、偽名検証を行うことであり、第２の段階は、認証情報を発行することである。図１０は、本発明の第１の実施形態による認証情報の発行の特定の手順を示す。図１０に示されるように、ＰＡ公開鍵ＰＫ^ＰＡ、およびリソースＲ_ｉ ^ｊの公開鍵Ｂ_ｉ ^ｊが与えられると、ユーザ偽名鍵ｚおよびルート偽名ｔを所有するユーザは、リソースＲ_ｉ ^ｊに対するアクセス権を取得するために、リソースＲ_ｉ ^ｊを管理するリソースホルダーＲＨ_ｉとの次の対話を行う。

ステップＳ１００１で、ユーザ端末の派生偽名生成手段５２０は、

を選択し、派生偽名Ｔ＝ｔ^tを計算する。

ステップＳ１００２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x₁, x₂)
: e(T, A)＝e(g₁, g₂)^x1 ・ (e(t^―1, g₂)^t)^x2}

ステップＳ１００３で、ユーザ端末のリソース認証情報取得手段５３０は、リソースＲ_ｉ ^ｊの認証情報をリソースホルダーＲＨ_ｉに要求し、派生偽名Ｔ、および知識証明の署名が、通信手段５６０を介してリソースホルダーＲＨ_ｉに送信される。

ステップＡ１００４で、Σを受信した後、ＲＨ_ｉは、Σの妥当性をチェックする。Σが無効である場合、ＲＨ_ｉは、ユーザに認証情報を発行せず、プロセスは、障害処理のためにステップＳ１００５に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。

Σが有効である場合、ステップＳ１００６で、ＲＨ_ｉの認証情報生成手段４３０は、認証情報ｖ_ｉｊ’＝Ｔ^ｂｉｊを計算し、認証情報ｖ_ｉｊ’は、ユーザに送信される。

ＲＨ_ｉから認証情報ｖ_ｉｊ’を受信した後、ユーザ端末のリソース認証情報取得手段５３０は、リソース認証情報v_ij＝v_ij'^1/tを計算する。

次いで、ステップＳ１００８で、ユーザ端末のリソース認証情報取得手段５３０は、ｅ（ｔ，Ｂ^ｊ）＝ｅ（ｖ_ｉｊ，ｇ_２）であるかどうかをチェックする。検証が失敗すると、プロセスはステップＳ１００１に戻って、再度要求を行う。そうでない場合、ユーザは、データの再送を要求するための通知をＲＨ_ｉに送信する。

検証が成功すると、ユーザは、ステップＳ１００９で、リソースＲ_ｉ ^ｊのリソース認証情報としてｖ_ｉｊを格納手段５５０に格納する。

ユーザがリソースＲ_ｉ ^ｊの認証情報を要求することを一例として挙げることによって、認証情報発行手順について上述したが、リソースホルダーが複数のリソースを管理する場合、ユーザが、上記の手順を複数回行うことによって、複数のリソース認証情報を取得する、または手順を一度行うことによって、複数のリソース認証情報の要求、および取得を同時に行うことができることが考えられる。

当然、ユーザが、ルート偽名ｔを直接使用することによって、リソースホルダーからリソース認証情報を取得することも可能である。この場合、上記の派生偽名Ｔは、ルート偽名ｔと置き換えられ、ＲＨ_ｉは、ｔ^ｂｉｊをユーザに送信し、ユーザは、リソース認証情報として直接ｔ^ｂｉｊを格納する。

（許可）

論理的に、許可より先に認証が行われる。そのため、許可の手順は、２つの段階に分けられる。第１の段階は、ユーザの偽名を検証することであり、第２の段階は、ユーザの偽名に関連するユーザの認証情報を検証することである。

図１１は、本発明の第１の実施形態による特定の許可手順を示す。

ＰＡ公開鍵ＰＫ^ＰＡ、リソースホルダーの公開鍵｛ＰＫ_ｉ ^ＲＨ｝が与えられ、ユーザがユーザ偽名鍵ｚ、ルート偽名ｔおよび１組の認証情報Λ＝｛ｖ_ｉｊ｝を有している場合、ユーザは、１組の公開鍵Ｂ＝｛Ｂ_ｉ ^ｊ｝を有するリソースＲ＝｛Ｒ_ｉ ^ｊ｝にアクセスすることができる。図１１を参照して後述する手順は、ユーザが、そのユーザによって選択されたリソースのサブセット

に対するアクセス権を有していることをどのようにリソースプロテクタＲＰに確信させるかを示している。

に対応する１組の公開鍵

に基づいて、ユーザが行わなければならないことは、ユーザが、リソース＊に対するアクセス権を表す認証情報のサブセット

を保持していることを証明することである。一般性を損なうことなく、

は、

と書かれ、

は、

と書かれる。ユーザの機密としての認証情報のサブセットは、

である。

ステップＳ１１０１で、ユーザ端末の派生偽名生成手段５２０は、

を選択し、派生偽名T＝t^tを計算する。許可手順において、上記の認証情報発行手順で使用された派生偽名と異なる派生偽名を使用することが好ましいことに留意されたい。これは、異なるtを選択することによって行うことができる。説明を簡潔にするために、同じ表記Ｔが様々な派生偽名に使用されている。しかし、認証情報発行手順および許可手順で使用される派生偽名は、その都度異なり得ることを理解されたい。

ステップＳ１１０２で、ユーザ端末のフレキシブル認証情報生成手段５４０は、アクセスされるリソースに対応するリソース認証情報のサブセット

を選択する。例えば、ユーザのコマンド（例えば、追加の入力方法からのユーザ入力）に従って、フレキシブル認証情報生成手段５４０によって、アクセスされる１つ以上のリソースを決定することができる。あるいは、ユーザ端末は、さらに、アクセスすることが望まれるリソースを選択するための、フレキシブル認証情報生成手段５４０に結合されている追加のリソース選択手段（図示せず）を備えていてもよい。

ステップＳ１１０３で、ユーザ端末のフレキシブル認証情報生成手段５４０は、認証情報の選択されたサブセットに従ってフレキシブル認証情報

を計算する。

ステップＳ１１０４で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x₁, x₂)
: e(T, A)＝e(g₁, g₂)^x1 ・ (e(t^―1, g₂)^t)^x2}

次いで、ステップＳ１１０５で、ユーザは、リソース

へのアクセスの許可を要求し、フレキシブル認証情報Ｖ、派生偽名Ｔ、および知識証明の署名ΣをリソースプロテクタＲＰに送信する。

Σおよびフレキシブル認証情報Ｖを受信すると、ＲＰの偽名検証手段６１０は、ステップＳ１１０６で、Σの妥当性をチェックする。Σが無効である場合、ＲＰは、ユーザを拒否し、プロセスは、障害処理のためにステップＳ１１０７に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。

Σが有効である場合、ＲＰのフレキシブル認証情報検証手段６２０は、ステップＳ１１０８で、

であるかどうかをチェックする。式が適用されない場合、プロセスは、障害処理のためにステップＳ１１０７に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。

式が適用される場合、ＲＰは、ユーザがＲのサブセットであるリソース

に対するアクセス権を有していることを確信している。次いで、ステップＳ１１０９で、ＲＰの許可手段６３０によって、ユーザは、リソース

にアクセスすることができる。

当然、ユーザは、ルート偽名およびフレキシブル認証情報を使用することによってＲＰとの対話を行うことができる。当業者であれば、対応する手順を容易に理解することができ、その詳細な説明は、ここでは省略する。

本発明によれば、ユーザが、認証情報のすべてを証明する必要がある従来の方式とは異なり、認証情報の検証の際に、リソースプロテクタに対して証明するための認証情報の任意の部分を自由に選択できることは明らかである。

の一括検証のため、高価な暗号計算の量、特に、加法有限巡回群におけるスカラ乗法、乗法有限巡回群におけるモジュラ冪法、および組み合わせ評価の量は、認証情報のどの部分が証明されるかにかかわらず、常に同じである。

上述した実施形態では、ＰＡのトレース機能には言及していない。しかし、本発明の匿名フレキシブル認証方式によれば、ＰＡは、トレース機能および取り消し機能を備えていてもよい。以下、本発明のトレース機能および取り消し機能を備える追加の実施形態について説明する。

（第２の実施形態）

以下、本発明によるトレース機能を備える第２の実施形態について説明する。

上述したように、認証情報発行手順および許可手順の第１の段階は、ユーザの偽名を検証している。偽名発行および偽名検証に対する２〜３の変更によって、ＰＡにトレース機能が提供される。実際には、トレースおよび取り消しを、追加のトレース機関または取り消し機関に割り当てることができることに留意されたい。これは、本発明の主旨には影響を及ぼさない。

当業者は、様々な解決策を設計することができる。例えば、Ｄ．Ｂｏｎｅｈ，Ｘ．Ｂｏｙｅｎ，Ｈ．Ｓｈａｃｈａｍ，ＳｈｏｒｔＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．４１−５５，２００４またはＫ．Ｚｅｎｇ，ＰｓｅｕｄｏｎｙｍｏｕｓＰＫＩｆｏｒＵｂｉｑｕｉｔｏｕｓＣｏｍｐｕｔｉｎｇ，ｉｎＰｒｏｃ．ｏｆ３ｒｄＥｕｒｏｐｅａｎＰＫＩＷｏｒｋｓｈｏｐ：ｔｈｅｏｒｙａｎｄｐｒａｃｔｉｃｅ（ＥｕｒｏＰＫＩ ’０６），ＬＮＣＳｖｏｌ．４０４３，ｐｐ．２０７−２２２，２００６に記載されている標準的なやり方が適用可能である。上述した文書を、参照により本明細書に組み込む。

さらに、こうした変更は、取り消し機能を備えるＰＡに権限を与えることもできる。しかし、取り消し機能は、従来の方式による変更によって細粒化されないことに留意されたい。言い換えれば、ＰＡは、ユーザの偽名およびそのユーザのすべての認証情報を同時に取り消すことしかできない。

Ｋ．Ｚｅｎｇ，ＰｓｅｕｄｏｎｙｍｏｕｓＰＫＩｆｏｒＵｂｉｑｕｉｔｏｕｓＣｏｍｐｕｔｉｎｇ，ｉｎＰｒｏｃ．ｏｆ３ｒｄＥｕｒｏｐｅａｎＰＫＩＷｏｒｋｓｈｏｐ：ｔｈｅｏｒｙａｎｄｐｒａｃｔｉｃｅ（ＥｕｒｏＰＫＩ ’０６），ＬＮＣＳｖｏｌ．４０４３，ｐｐ．２０７−２２２，２００６に提案されている方法を一例として挙げることによって、以下、本発明のトレース機能を備える一実施形態について説明する。この実施形態の構成は、第１の実施形態にいくつかの変更を加えたものと似ている。簡潔にするために、以下では、この実施形態と上記の第１の実施形態との間の差のみを説明し、同じ参照符号は、類似の部分を示す。ここでの説明は、参照の目的にすぎないことに留意されたい。上述したように、当業者は、本発明の匿名フレキシブル認証方式に基づいて、ＰＡのトレース機能を実現するために、他の方法を使用してもよい。

以下、本発明の第１の実施形態に加えられた変更の例について説明する。

偽名発行中、ユーザは、トレースのために、ユーザの公開鍵（ｈ，ｈ^ｘｕ）および

を計算し、ＰＡに送信する必要がある。ここでは、ｈは、ＰＡ公開鍵ＰＫ^ＰＡの追加のパラメータであり、ｘ_ｕは、ユーザの秘密鍵である。この計算は、ユーザ端末のルート偽名取得手段５１０、またはユーザの秘密鍵および公開鍵を取得または生成することができる追加の手段によって行うことができる。ユーザの公開鍵および秘密鍵を取得し、使用する方法は、当分野では知られており、その詳細な説明は、ここでは省略する。ユーザは、上述した図９に示されているステップＳ９０１で、ユーザの公開鍵ｈおよびｈ^ｘｕをユーザの識別に含めることによって、それをＰＡに送信することができる。

さらに、上述した図９に示されているステップＳ９０６で、ＰＡのルート偽名生成手段３４０は、

の代わりに、（

を計算する。式中、ｔ＝ｔ_ｇ・ｔ_ｈは、ユーザのルート偽名とみなされ、ｈ_１は、ＰＡ公開鍵ＰＫＰＡの追加のパラメータ、ｘ_ｕは、ユーザの秘密鍵である。また、ステップＳ９０７で、ＰＡは、ユーザに（ｔ_ｇ，ｔ_ｈ）を送信（またはｔ_ｇおよびｔ＝ｔ_ｇ・ｔ_ｈを送信）し、ユーザの識別に対応するｙ’を格納する。

次いで、ステップＳ９０９で、ユーザは、ルート偽名ｔ＝ｔ_ｇ・ｔ_ｈだけではなく、取り消しパラメータθ＝ｔ_ｇも格納し、この場合、取り消しパラメータθは、きめの粗い取り消しのためのものである。

認証情報発行手順および許可手順の偽名検証のため、ユーザ端末の派生偽名生成手段５２０は、整数

を選択し、派生偽名Ｔ＝ｔ^ｒを計算する。さらに、ユーザは、トレースパラメータＴ_ｙ＝Ｔ^ｘｕも計算し、偽名取り消しパラメータに従って派生偽名Ｔと共に使用される偽名取り消し検証パラメータΘ＝θ^ｒを生成する（計算は、例えば、上述した図１０に示されるステップＳ１００１、および図１１に示されるステップＳ１１０１、並びに上述した図１０に示されるステップＳ１００３、および図１１に示されるステップＳ１１０５におけるユーザ端末の派生偽名生成手段５２０によって行われ、また、ユーザはＴ_ｙおよびΘをＲＨまたはＲＰに送信する）。認証情報発行手順および許可手順の間、ユーザは、異なる派生偽名を生成するために、異なるｒを選択してもよいことに留意されたい。

さらに、例えば、上述した図１０に示されるステップＳ１００２および図１１に示されるステップＳ１１０２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x₁, x₂,
x₃) : e(T, A)＝v₁ ^x1 ・ (v₂ ^r)^x2 ・ v₃ ^x3 ∧ 1＝(T⁻¹)^x3 ・ T_y ^x1∧e(Θ, A)＝v₄ ^x1 ・ (v₅ ^r)^x2}

この場合、
v₁＝e(g₁ ・ h₁, g₂), v₂＝e((t_g ・ t_h)⁻¹, g₂), v₃＝e(h, g₂), v₄＝e(g₁, g₂), v₅＝e(θ⁻¹, g₂)

である。

したがって、派生偽名を使用したユーザの実際の識別をトレースする必要がある場合、ＰＡは、データベースに格納されているすべてのｙ’について、ｅ（Ｔ，ｙ’）＝ｅ（Ｔ_ｙ，ｇ_２）かどうかをチェックし、ユーザ偽名鍵およびユーザの識別を見つける。したがって、こうしたわずかな変更により、ＰＡに、任意のユーザの実際の識別およびユーザ偽名鍵をトレースする機能が提供される。こうした場合、ＰＡは、トレースを行うためのトレース手段（図示せず）を備え得る。

認証情報発行段階で、リソースプロテクタＲＨ_ｉは、Ｔ＝（ｔ_ｇ・ｔ_ｈ）ｒを使用して、認証情報をユーザに発行し、ユーザのリソース認証情報は、ｖ_ｉｊ＝（ｔ_ｇ・ｔ_ｈ）^ｂｊとなることに留意されたい。後でｔ_ｇおよびｔ_ｈを変更することは、すべてのユーザの偽名Ｔを無効にし、したがって、すべてのｖ_ｉｊを無効にする、すなわち、ユーザのすべての認証情報を無効にする。そこで、きめの粗い取り消しのために、偽名取り消しパラメータθおよび関連する知識証明の署名が追加される。したがって、ＰＡは、偽名取り消しパラメータθの上述した方法によってユーザの派生偽名を取り消すための偽名取り消し手段を備え得る。例えば、取り消し手段は、偽名取り消しパラメータθを無効にすることによって、ユーザのルート偽名、およびそのルート偽名から生成された任意の派生偽名を無効にすることができる。当業者は、取り消し機構を容易に設計することができる。例えば、Ｄ．Ｂｏｎｅｈ，Ｘ．Ｂｏｙｅｎ，Ｈ．Ｓｈａｃｈａｍ，ＳｈｏｒｔＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．４１−５５，２００４の機構は、偽名取り消しパラメータθに適用される。当然、匿名のユーザの実際の識別をトレースする唯一の目的に関して、偽名取り消しパラメータθは必要ない。

ユーザのルート偽名、およびルート偽名から生成された派生偽名が取り消された後、ユーザは、もはや偽名検証手順をパスすることができない。必然的に、ユーザのルート偽名および派生偽名に関連する全認証情報が取り消される。したがって、上記の実施形態によって実現される取り消しは、細粒化されない。

ユーザの秘密鍵ｘ_ｕに基づくトレースの一例については上述した。しかし、ＰＡのトレース機能を達成するために、他のパラメータおよび取り消しアルゴリズムも本発明に使用できることを、当業者であれば理解されよう。例えば、既知のまたは追加で設計されたパラメータ（ユーザに一意のパラメータ）は、こうしたパラメータがそのユーザに一意である限り、使用することができ、認証情報機関は、ユーザの派生偽名および派生偽名と共に使用される情報から、こうしたパラメータを再構築することができ、他の機関にとって、こうしたパラメータは計算できない。

例えば、Ｄ．Ｂｏｎｅｈ，Ｘ．Ｂｏｙｅｎ，Ｈ．Ｓｈａｃｈａｍ，ＳｈｏｒｔＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ，ｉｎＰｒｏｃ．ｏｆＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ − Ｃｒｙｐｔｏ ’０４，ＬＮＣＳｖｏｌ．３１５２，ｐｐ．４１−５５，２００４で提案されている別のトレース機構では、トレース機能を実現するために、ユーザ偽名鍵ｚを本発明に使用することができる。以下、ユーザ偽名鍵ｚに基づくトレースを実現する手順の一例について、簡単に説明する。

第１に、ＰＡは、追加の公開鍵（ｕ，ｖ，ｈ）を発行する。ＰＡは、ｈ＝ｕ^ｘ＝ｖ^ｖとなるような秘密鍵（ｘ，ｙ）を保持し、この場合、ｕ、ｖ、およびｈはすべて、群

の要素である。

認証情報発行手順および許可手順における偽名検証のために、ユーザは、

から整数αおよびβを選択し、上記の例のＴｙの代わりに、トレースパラメータＴ_１＝ｕ^α、Ｔ_２＝ｖ^β、およびＴ_３＝ｇ_１ ^ｚｈ^α＋βを計算する。対応する知識証明（知識証明の署名の計算）において、ユーザは、Ｔ_１、Ｔ_２、およびＴ_３をリソースホルダーまたはリソースプロテクタに送信し、底ｕ、ｖ、ｈ、およびｇ_１に関して、それぞれα、β、α＋β和ｚの知識を提供する。

例えば、上述した図１０に示されるステップＳ１００２および図１１に示されるステップＳ１１０２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x₁, x₂,
x₃, x₄, x₅) : e(T,
A)＝v₁ ^x1 ・ (v₂ ^r)^x2 ・ v₃ ^x3 ∧ T₁＝u^x4 ∧ T₂＝v^x5 ∧ T₃＝g₁
^x2 h^x4+x5∧e(Θ, A)＝v₄ ^x1 ・ (v₅ ^r)^x2}

この場合、
v₁＝e(g₁ ・ h₁, g₂), v₂＝e((t_g ・ t_h)⁻¹, g₂), v₃＝e(h, g₂), v₄＝e(g₁, g₂), v₅＝e(θ⁻¹, g₂)

である。

ユーザの有効な知識証明が与えられると、ＰＡは、ｇ_１ ^ｚ＝Ｔ_３／（Ｔ_１ ^ｘＴ_２ ^ｙ）を計算することによって、Ｔ_１、Ｔ_２、およびＴ_３からｇ_１ ^ｚを解読することができる。ｚは、ユーザごとに別個であるため、ｇ_１ ^ｚは、ユーザを一意に識別し、したがって、トレースが実現される。

当業者には理解されるように、トレース機能は、必ずしもユーザ秘密鍵ｘ_ｕまたはユーザ偽名鍵ｚに基づくわけではない。トレースを実現するために、当分野で知られている他の任意の適切なパラメータおよびアルゴリズム、または追加で設計されたパラメータおよびアルゴリズムを使用することができる。したがって、本発明の意図および範囲下で、当業者は、本発明の意図および範囲から逸脱することなく、上述した実施形態に様々な変形、変更、または改良を行うことができる。

本発明の代替実施形態では、ユーザの認証情報のうちの任意のものを取り消すことができ、ユーザの他の認証情報の妥当性を確保することができるきめの細かい方法を提供する。以下、こうした実施形態の一例について説明する。

（第２の実施形態）

本発明のきめの細かい取り消し機能、すなわちユーザごと、または権利ごとの取り消しが提供される実施形態の一例が提供される。

ユーザ

は、ユーザ偽名鍵

およびリソースＲ_ｉ ^ｊに対するアクセス権を有すると仮定する。場合により、リソースＲ_ｉ ^ｊに関するユーザのリソース認証情報は、ユーザの不正行為または他の理由のために取り消されるものとする。本発明のこの実施形態によれば、ＰＡは、きめの粗い取り消しによってユーザのすべての認証情報を取り消す代わりに、リソースＲ_ｉ ^ｊのみに関する、ユーザ

によって所有されているリソース認証情報を取り消すことができる。一般に、ユーザごと、および権利ごとの取り消しの前に、ＰＡは、ユーザ

の実際の識別、およびそのユーザのユーザ偽名鍵

を開示するために、トレースを行う必要がある。例えば、トレースを行うために、上記の第２の実施形態に記載した方法を使用することができる。

以下、きめの細かい取り消し機能が提供される第３の実施形態について、簡単に説明する。

本発明の第３の実施形態によるきめの細かい取り消しの方式は、単に、取り消しおよび更新についての対応する部分を、上記の第１の実施形態におけるＰＡ、ＲＨ、ユーザ端末、およびＲＰに追加することによって実施することができる。図１２〜１５は、本発明の第３の実施形態によるＰＡ、ＲＨ、ユーザ端末、およびＲＰの構成の例を示している。

特に、図１２に示されるように、本発明の第３の実施形態によるＰＡ１２００は、図３に示されているものに加えて、ユーザのうちの１人のリソース認証情報のうちの任意の１つを取り消すための取り消し手段１２０１を備える。図１３に示されるように、本発明の第３の実施形態によるＲＨ１３００は、図４に示されているものに加えて、取り消しリストを初期化または維持するための取り消しリスト手段１３０１を備える。図１４に示されるように、本発明の第３の実施形態によるユーザ端末１４００は、図５に示されているものに加えて、認証情報取り消しパラメータを更新するための取り消しパラメータ更新手段１４０１を備える。図１５に示されるように、本発明の第３の実施形態によるＲＰ１５００は、図６に示されているものに加えて、最新の取り消しリストを取得するための取り消しリスト取得手段１５０１を備える。

以下、本発明の第３の実施形態の手順の例について詳しく説明する。

リソースホルダーのセットアップ手順において、リソースホルダーＲＨ_ｉは、リソースＲ_ｉ ^ｊごとに秘密鍵

および公開鍵

を生成し、その後、その取り消しリスト手段１３０１は、Ｒ_ｉ ^ｊごとに取り消しリストＲＬ_ｉ ^ｊ＝｛（ｇ_１ｉ ^ｊ，△）｝を初期化する。この場合、

であり、△は、現在取り消しがない、すなわち、タプル（ｇ_１ｉ ^ｊ，△）がＲＬ_ｉ ^ｊ（ｊ＝１，２，…，ｎ_ｉ）の最初の行であることを示す。

次いで、上述した図８のステップＳ８０２で、リソース鍵生成手段４１０は、以下のように、Ｂ_ｉ ^ｊおよびｇ_１ｉ ^ｊの組ごとに、知識証明の署名を生成する。
Σ_i ^j＝SKP{(x_j) : B_i ^j＝g₂ ^xj∧g_1i ^j＝g₁ ^xj}，j=1, 2, …, n_i

また、上述した図８のステップＳ８０３で、ＲＨ_ｉは、その公開鍵ＰＫ_ｉ ^ＲＨ＝｛（Ｂ_ｉ ^ｊ，ＲＬ_ｉ ^ｊ，Σ_ｉ ^ｊ）｝、ｊ＝１，２，…，ｎ_ｉを発行する。また、それ自体によってＰＫ_ｉ ^ＲＨを発行する代わりに、ＲＨ_ｉは、｛（Ｂ_ｉ ^ｊ，ＲＬ_ｉ ^ｊ，Σ_ｉ ^ｊ）｝をＰＡに送信し、代わりにＰＡにそれを発行させてもよい。

実際に、ＰＡがＲ_ｉ ^ｊごとに初期取り消しリストを生成することも可能である。例えば、本発明の代替実施形態において、ＰＡがリソースホルダーからリソース秘密鍵および公開鍵を取得する場合、またはＰＡがリソース秘密鍵および公開鍵を生成する場合、リソースの初期取り消しリストは、例えば、ＰＡの取り消し手段１２０１によって生成されてもよい。

認証情報発行手順中、ユーザは、上述した図１０のステップＳ１００９のｖ_ｉｊに加えて、ｗ_ｉｊ＝ｖ_ｉｊも格納し、この場合、ｗ_ｉｊは、ユーザごとおよび権利ごとの取り消しの目的で追加される認証情報取り消しパラメータであって、初期値としてユーザ端末の取り消しパラメータ更新手段１４０１によって生成され得る。

以下、ＰＡによってリソースＲ_ｉ ^ｊに関するユーザ

のリソース認証情報を取り消す手順について説明する。

まず、ＰＡの取り消し手段１２０１は、リソースＲ_ｉ ^ｊに関連する取り消しリストＲＬ_ｉ ^ｊの最後（最新）の行からｇ_１ｉ ^ｊを取り出す。

次いで、取り消し手段１２０１は、

を計算する。

次いで、取り消し手段１２０１は、新しい行

を取り消しリストＲＬ_ｉ ^ｊに追加し、通信手段３４０によって更新された取り消しリストを発行する。

ユーザ偽名鍵ｚおよび認証情報（ｖ_ｉｊ，ｗ_ｉｊ）を有する別のユーザＵについて考察する。すなわち、ユーザＵは、リソースＲ_ｉ ^ｊにアクセスする権限が与えられている。リソースＲ_ｉ ^ｊに関するユーザＵのアクセス権は取り消されないため、ユーザＵは、リソースＲ_ｉ ^ｊについての更新された取り消しリストが発行されるたびに、すなわち、新しい行が追加されるたびに、リソースＲ_ｉ ^ｊについてのその認証情報取り消しパラメータｗ_ｉｊを

に更新することができる。

であることを検証するのは容易である。

取り消しリストに新しい行が追加されるたびに、ユーザＵは、それに対応して、関連の認証情報取り消しパラメータを更新することができることに留意されたい。あるいは、ユーザＵは、定期的に、またはリソースの取り消しリストおよび最後の行における取り消し履歴（前の行）に従って、それが必要があるときのみ、更新を行うことができる。

許可システムによって、ＰＡが

をＲ_ｉ ^ｊのリソースホルダーに送信し、リソースホルダーにＲＬ_ｉ ^ｊを更新するよう頼むことも可能であることに留意されたい。こうした状況において、リソースホルダーの取り消しリスト手段は、取り消しリストの更新を行う。しかし、本発明のきめの細かい取り消しによれば、取り消しは、決してリソースホルダーの任意の機密鍵を使用しない。したがって、リソースホルダーの同意または関与無しに、ＰＡ単独できめの細かい取り消しを行うことができる。

以下、本発明の第３の実施形態による許可手順について説明する。

許可手順中、リソースプロテクタＲＰは、特に、リソース

に対するユーザのアクセス権が取り消されるかどうかについて知りたがっていると仮定する。次いで、ユーザＵの取り消しパラメータ更新手段１４０１およびリソース保護ＲＰの取り消しリスト取得手段１５０１は、Ｒ_ｉ ^ｊに関連する取り消しリストＲＬの最終行からｇ_１ ^ｋを取り出す。また、図１１を参照して上述した許可手順におけるステップＳ１１０３で、ユーザＵのフレキシブル認証情報生成手段５４０は、認証情報の選択されたサブセットによるフレキシブル

認証情報に加えて、リソースＲ_ｋの認証情報取り消しパラメータによる認証情報取り消し検証パラメータＷ＝ｗ_ｋ ^Ｔを計算する。

次いで、図１１を参照して上述したステップＳ１１０４で、ユーザＵは、以下のように、知識証明の署名を計算する。

ここで、有効なΣは、ユーザＵがリソース

に対するアクセス権を有することを証明するだけではなく、リソース

に関するそのユーザのリソース認証情報が取り消されないことをＲＰに確信させる。一方、リソースＲ_ｋのリソース認証情報が取り消されるユーザは、その認証情報取り消しパラメータを有効に更新することができないため、有効な知識証明の署名を生成することができず、したがって、許可手順をパスすることができない。

ＲＰが取り消されるリソース認証情報がさらにあるかどうか（例えば、

だけでなく

も）について知りたがっている場合、ユーザＵの取り消しパラメータ更新手段１４０１は、さらに、リソースＲ_ｍの認証情報取り消しパラメータｗ_ｍを更新し、リソースプロテクタＲＰの取り消しリスト取得手段１５０１は、さらに、リソースＲ_ｍに関連する取り消しリストＲＬの最終行からｇ_１ ^ｍを取り出す。さらに、図１１を参照して上述した許可手順におけるステップＳ１１０３で、ユーザＵのフレキシブル認証情報生成手段５４０は、認証情報取り消し検証パラメータＷ＝（ｗ_ｋｗ_ｍ）^Ｔを計算する。次いで、図１１を参照して上述したステップＳ１１４０で、ユーザＵは、以下のように知識証明の署名を計算する。

当然、単一の知識証明によって、より多くの認証情報を、取り消されるかどうかについて同様に検証してもよい。高価な計算の必要な量は、本発明のきめの細かい取り消し機能に従って、取り消されるかどうかについて特に検証されるべきリソース認証情報の数に依存しない（すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じ）ことは、容易にわかる。

本発明によるきめの細かい取り消し機能については上述した。当然、ＰＡによってトレースおよび取り消しを行う代わりに、システム内に追加のトレース機関および取り消し機関を設定して、本発明の上述した方法によりトレースおよび取り消しを行うことも可能である。

さらに、ＰＡまたは追加の取り消し機関は、本発明に従って、きめの細かい取り消し機能およびきめの粗い取り消し機能（例えば、上記の第２の実施形態における偽名取り消しパラメータθを使用した取り消し）の両方を有することもでき、したがって、きめの細かい取り消しときめの粗い取り消しを選択的に行うことができる。当業者であれば、上記の説明を鑑みて、きめの粗い取り消しおよび関連する知識証明のパラメータを、きめの細かい取り消し機能を備える上記の方式に容易に組み込むことができるため、そのアルゴリズムの特定の説明は、ここでは省略する。本発明の代替実施形態によれば、きめの細かい取り消しおよびきめの粗い取り消しは、ＰＡの取り消し手段１２０１によって行うことができる。

本発明が以下の影響を及ぼすことが上記の説明からわかる。

ユーザは、許可された後、ユーザがその認証情報をＲＰに対して何度証明しようと、匿名のままでいることができ、さらにＲＨおよび／またはＰＡに連絡する必要はない。同時に、ＰＡの公開鍵が決定され、発行された後、ＰＡが対応することができるＲＨの数は、可変である。また、ＲＨの公開鍵が決定され、発行された後、ＲＨが管理することができるリソースの数は、固定されず、発行された認証情報の変更は必要ない。

ユーザは、そのユーザのすべてのアクセス権のうちの任意の１つ以上をＲＰに対して選択的に証明することができると同時に、ユーザがアクセス権の任意の部分を証明するための計算コストは、証明される権利の数に依存しない（１つのみの権利を証明するためのものと同じである）。

ＰＡは、ユーザの他の権利を変更することなく、ユーザのリソース認証情報のうちの任意の１つを取り消すことができる。また、ＰＡは、ＲＨの関与無しに、ユーザのアクセス権を取り消すことができ、言い換えれば、きめの細かい取り消しは、ＲＨの秘密鍵を必要とすることなく達成される。さらに、任意の数のリソース認証情報が取り消されるかどうかを検証するために必要な高価な計算の量は、一定しており、すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じである。

本発明による特定の実施形態について、図面を参照して上述した。しかし、本発明は、図面に示される特定の構成およびプロセスに限定されない。

例えば、安全を保証するために、上記の様々な対話に様々な対策を採用することができる。例えば、上記の認証情報発行手順における知識証明の署名を適用するステップでは、時変パラメータを使用して、反射攻撃およびインターリーブ攻撃を抑制して、一意性および適時性の保証を提供し、いくつかの選択文書攻撃を防ぐことができる（参照により本明細書に組み込まれる、Ａ．Ｍｅｎｅｚｅｓ，Ｐ．ｖａｎＯｏｒｓｃｈｏｔ，Ｓ．Ｖａｎｓｔｏｎｅ，ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，ＣＲＣＰｒｅｓｓ，１９９６参照）。こうした時変パラメータには、例えば、タイムスタンプや乱数チャレンジなどがある。簡潔にするために、これら既知の方法の詳細な説明は、ここでは省略する。

上記の実施形態では、一例として従来の乗法群表記法が使用される。しかし、楕円曲線設定値に使用される加法表記法も同様に使用できることを当業者であれば理解されよう。例えば、加法表記法が使用されるとき、上述したフレキシブル認証情報は、

と計算される。

上記の実施形態には、例として、いくつかの特定のステップが記載され、示されている。しかし、本発明の方法のプロセスは、記載されている特定のステップに限定されず、当業者は、本発明の意図を学んだ後、様々な変更、修正、追加を加えることができる。例えば、上記の第１の実施形態におけるステップＳ１１０１〜Ｓ１１−３において、ユーザは、派生偽名Ｔを生成した後、フレキシブル認証情報Ｖを生成する。しかし、ユーザは、tを選択し、最初にフレキシブル認証情報Ｖを生成し、次いで派生偽名Ｔを生成する。

本発明によるＰＡ、ＲＨ、ユーザ端末、およびＲＰは、例えば、パーソナルコンピュータ、サーバ、携帯電話、携帯端末、ラップトップコンピュータなどのモバイル機器、または上記の様々な装置におけるソフトウェアモジュールのハードウェアなど、ネットワークにおけるまたはネットワークに結合される様々な装置として実装され得る。

ＰＡ、ＲＨ、ユーザ端末、およびＲＰの構成の例として、いくつかの手段およびモジュールが、図面に互いに結合されているものとして示されているが、各装置に含まれる部分は、記載された手段およびモジュールに限定されず、その特定の構成は、修正または変更されてもよい。例えば、別々に示されているいくつかの手段が共に結合されてもよく、または１つの手段がその機能に従っていくつかの手段に分割されてもよい。例えば、示されている格納手段がいくつかの構成要素として実装されてもよく、そのそれぞれは、その手段のデータを格納する手段に組み込まれる。

さらに、例示の手段およびモジュールは、それぞれ特定の機能を有するものとして示されているが、手段およびモジュールの機能的な分割は、示されている例に限定されるのではなく、任意に修正し、交換し、結合することができる。例えば、上述した偽名取り消し検証パラメータおよび認証情報取り消し検証パラメータは、ユーザ端末の派生偽名生成手段およびフレキシブル認証情報生成手段によってそれぞれ生成されるが、代わりに、様々な取り消しパラメータの計算が、取り消しパラメータ更新手段および追加手段によって行われてもよい。さらに、上述した関連の手段によって知識証明の署名を生成する代わりに、各装置は、さらに、関連の知識証明を行うための個別の知識証明手段を含んでいてもよい。

さらに、ＰＡ、ＲＨ，ユーザ端末、およびＲＰのそれぞれは、他のパーティの機能を同時に有することができる。例えば、ＲＨおよびＲＰを、同じサーバに同時に実装することができる。

さらに、特定の装置として実装されている場合、ＰＡ、ＲＨ、ユーザ端末およびＲＰは、さらに、例えば、情報をオペレータに表示するための表示装置、オペレータから入力を受信するための入力装置、各手段の操作を制御するためのコントローラなど、特定の装置に必要な他の手段を備えていてもよい。これらの構成要素は、当分野では知られているため、その詳細な説明は省略する。当業者であれば、上述した装置にそれらを追加することを容易に思い付くであろう。

本発明の要素は、ハードウェア、ソフトウェア、ファームウェア、またはその組み合わせに実装することができ、システム、サブシステム、構成要素、またはそのサブ構成要素において使用することができる。ソフトウェアに実装するとき、本発明の要素は、必要なタスクを行うために使用されるプログラムまたはコードセグメントである。プログラムまたはコードセグメントは、機械可読媒体に格納したり、搬送波に組み込まれたデータ信号によって、送信媒体または通信リンクを介して送信したりすることができる。「機械可読媒体」は、情報を格納したり転送したりすることができる任意の媒体を含み得る。機械可読媒体の例には、電子回路、半導体メモリ装置、ＲＯＭ、フラッシュメモリ、消去可能ＲＯＭ（ＥＲＯＭ）、フロッピーディスク、ＣＤ−ＲＯＭ、光ディスク、ハードディスク、光ファイバ媒体、無線周波数（ＲＦ）リンクなどがある。コードセグメントは、インターネット、イントラネットなどのコンピュータネットワークを介してダウンロードすることができる。

本発明は、その意図または本質的な特徴から逸脱することなく、他の特定の形に組み込むことができる。例えば、特徴が本発明の基本的な意図から逸脱しない限り、特定の実施形態に記載されたアルゴリズムを変更することができる。したがって、本実施形態は、あらゆる点で、限定ではなく例示とみなされるものとし、本発明の範囲は、上記の説明ではなく、添付の特許請求の範囲によって示され、したがって、特許請求の範囲の同等物の主旨および範囲に含まれるすべての変更は、本発明に包含されるものとする。

本発明は、本発明の好ましい実施形態の以下の詳細な説明と、類似の参照符号が類似の部分を指す添付の図面とを併せ読めば、よりよく理解できる。

本発明による解決策の一般的概念を概略的に示す図である。本発明による認証情報の使用および取り消しを示す概要図である。本発明の第１の実施形態によるＰＡの構成の一例を示すブロック図である。本発明の第１の実施形態によるＲＨの構成の一例を示すブロック図である。本発明の第１の実施形態によるユーザ端末の構成の一例を示すブロック図である。本発明の第１の実施形態によるＲＰの構成の一例を示すブロック図である。本発明の第１の実施形態によるＰＡのセットアップ手順を示すフローチャートである。本発明の第１の実施形態によるＲＨのセットアップ手順を示すフローチャートである。本発明の第１の実施形態によるルート偽名を発行する手順を示すフローチャートである。本発明の第１の実施形態による認証情報を発行する手順を示すフローチャートである。本発明の第１の実施形態による許可の手順を示すフローチャートである。本発明の第３の実施形態によるＰＡの構成の一例を示すブロック図である。本発明の第３の実施形態によるＲＨの構成の一例を示すブロック図である。本発明の第３の実施形態によるユーザ端末の構成の一例を示すブロック図である。本発明の第３の実施形態によるＲＰの構成の一例を示すブロック図である。従来の許可システムを示す図である。許可および取り消しの従来の方式を示す図である。

符号の説明

３１０：システムパラメータセットアップ手段
３２０：識別検証手段
３３０：ユーザ偽名鍵割当手段
３４０：ルート偽名生成手段
３５０：格納手段
３６０：通信手段
４１０：リソース鍵生成手段
４２０：偽名検証手段
４３０：認証情報生成手段
４４０：格納手段
４５０：通信手段
５１０：ルート偽名取得手段
５２０：派生偽名生成手段
５３０：リソース認証情報取得手段
５４０：フレキシブル認証情報生成手段
５５０：格納手段
５６０：通信手段
６１０：偽名検証手段
６２０：フレキシブル認証情報検証手段
６３０：許可手段
６４０：格納手段
６５０：通信手段
１２０１：取り消し手段
１３０１：取り消しリスト手段
１４０１：取り消しパラメータ更新手段
１５０１：取り消しリスト取得手段

Claims

通信システムのための方法であって、
ルート偽名を発行するステップと、
１つ以上のリソース認証情報を取得するステップと、
前記ル―ト偽名から第１の派生偽名を生成するステップと、
前記１つ以上のリソース認証情報から１組のリソース認証情報を選択するステップと、
１組の前記リソース認証情報からフレキシブル認証情報を生成するステップと、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、アクセス要求を行うステップと、
前記第１の派生偽名および前記フレキシブル認証情報を検証した後、アクセス要求を承諾するステップと
を含むことを特徴とする方法。
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するステップをさらに含むことを特徴とする請求項１に記載の方法。
前記ルート偽名を発行するステップが、
ユーザ偽名鍵を割り当てて保存するステップと、
前記ユーザ偽名鍵に基づいて前記ルート偽名を生成するステップを含むことを特徴とする請求項１に記載の方法。
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名を用いてリソース認証情報を要求するステップと、

（t はルート偽名、b_i ^j はリソースのリソース秘密鍵）を計算するステップと、
リソース毎のリソース認証情報としてv_ij
を格納するステップとを含むことを特徴とする請求項１に記載の方法。
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名から第２の派生偽名を生成するステップと、
前記第２の派生偽名を用いてリソース認証情報を取得するステップとを含むことを特徴とする請求項１に記載の方法。
前記第２の派生偽名が、

（t はルート偽名、

は整数）として計算され、
前記第２の派生偽名を用いてリソース認証情報を取得するステップが、
認証情報

（b_i ^j はリソースのリソース秘密鍵）を計算し、

をリソース認証情報として格納するステップとを含むことを特徴とする請求項５に記載の方法。
前記第１の派生偽名が、

（t はルート偽名、

は整数）によって計算され、
前記フレキシブル認証情報が、

或いは

（ｖ_φ１組の認証情報、

）
として計算されることを特徴とする請求項１に記載の方法。
ユーザに一意のパラメータからトレースパラメータを生成するステップを含み、
前記トレースパラメータが、前記ルート偽名又はトレースのために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項１に記載の方法。
ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを発行するステップと、
前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成するステップを含むことを特徴とする請求項１に記載の方法。
前記リソース毎に初期の取り消しリストを生成するステップと、
前記リソース認証情報が取り消された場合に、前記リソース認証情報に対応するリソースの取り消しリストを更新するステップと、
更新された取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新するステップと、
認証情報取り消し検証パラメータを生成するステップとを含み、
前記第１の派生偽名を検証するステップが、リソース毎の前記取り消しリストに基づいて認証情報取り消し検証パラメータを検証するステップを含むことを特徴とする請求項１に記載の方法。
通信システムにおいて偽名を管理するための装置であって、
システムパラメータをセットアップするように構成されているシステムパラメータセットアップ手段と、
ユーザ識別検証を行うように構成されている識別検証手段と、
ユーザ偽名鍵をユーザに割り当てるように構成されているユーザ偽名鍵割当手段と、
ユーザ偽名鍵に基づいて、ユ―ザに発行されるべきルート偽名を生成するように構成されているルート偽名生成手段と
を備えることを特徴とする装置。
リソース秘密鍵とリソース公開鍵の少なくとも１つを生成するリソース鍵生成手段を備えることを特徴とする請求項１１に記載の装置。
ユーザに一意のパラメータを用いて派生偽名を利用するユーザの識別をトレースするトレース手段を備えることを特徴とする請求項１１に記載の装置。
前記ユーザに一意のパラメータが、ユーザ偽名鍵又はユーザ秘密鍵であることを特徴とする請求項１３に記載の装置。
ユーザの偽名取り消しパラメータを無効化することにより、ユーザのルート偽名及びルート偽名から生成された派生匿名を取り消す取り消し手段を備えることを特徴とする請求項１１に記載の装置。
リソース毎にユーザのリソース認証情報を取り消すために、リソース毎に取り消しリストを更新する更新手段を備えることを特徴とする請求項１１に記載の装置。
通信システムにおいて偽名を管理するための方法であって、
ユーザ端末からのユーザの要求が受信されると、ユーザ識別を検証するステップと、
ユーザ識別が検証をパスした場合、ユーザ偽名鍵をユーザに割り当てるステップと、
ユーザ偽名鍵に基づいてルート偽名を生成するステップと
を含むことを特徴とする方法。
リソース秘密鍵とリソース公開鍵の少なくとも一方を生成するステップをさらに含むことを特徴とする請求項１７に記載の方法。
ユーザに一意のパラメータを用いて派生偽名を利用するユーザの識別をトレースするステップを含むことを特徴とする請求項１７に記載の方法。
前記ユーザに一意のパラメータが、ユーザ偽名鍵又はユーザ秘密鍵であることを特徴とする請求項１９に記載の方法。
ユーザの偽名取り消しパラメータを無効化することにより、ユーザのルート偽名及びルート偽名から生成された派生匿名を取り消すステップを含むことを特徴とする請求項１７に記載の方法。
リソース毎にユーザのリソース認証情報を取り消すために、リソース毎に取り消しリストを更新するステップを含むことを特徴とする請求項１７に記載の方法。
通信システムにおいて、１つ以上のリソースの認証情報を管理するための装置であって、
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するリソース鍵生成手段と、
ユーザの派生偽名を検証する偽名検証手段と、
ユーザの前記派生偽名に基づいて、ユーザのユーザ端末に送信するリソースの認証情報を生成する認証情報生成手段とを備えることを特徴とする装置。
リソース毎に初期の取り消しリストを生成し又は受信する取り消しリスト手段を備えることを特徴とする請求項２３に記載の装置。
前記偽名検証手段は、ユーザの偽名取り消し検証パラメータを検証することを特徴とする請求項２３に記載の装置。
前記認証情報生成手段が、認証情報

（Tはユーザの派生偽名、 b_i ^j はリソースのリソース秘密鍵）を計算することを特徴とする請求項請求項２３に記載の装置。
通信システムにおいて、１つ以上のリソースの認証情報を管理するための方法であって、
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するステップと、
ユーザ端末からのユーザの要求を受信した場合に、ユーザの派生偽名を検証するステップと、
検証がパスした場合、前記派生偽名に基づいて、ユーザ端末に送信するリソースの認証情報を生成するステップと
を含むことを特徴とする方法。
リソース毎に初期の取り消しリストを生成し又は受信するステップを含むことを特徴とする請求項２７に記載の方法。
ユーザの偽名取り消し検証パラメータを検証するステップを含むことを特徴とする請求項２７に記載の方法。
前記認証情報が、

（Tはユーザの派生偽名、 b_i ^j はリソースのリソース秘密鍵）として計算されることを特徴とする請求項請求項２７に記載の方法。
通信システムにおけるユーザ端末であって、
ルート偽名を取得するルート偽名取得手段と、
１つ以上のリソース認証情報を取得するリソース認証情報取得手段と、
前記ルート偽名から第１の派生偽名を生成する派生偽名生成手段と、
選択された１組のリソース認証情報からフレキシブル認証情報を生成するフレキシブル認証情報生成手段とを備え、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを得ることを特徴とするユーザ端末。
リソース毎の取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新する取り消しパラメータ更新手段を備え、
前記フレキシブル認証情報生成手段は、前記認証情報取り消しパラメータから認証情報取り消し検証パラメータを生成することを特徴とする請求項３１に記載のユーザ端末。
前記リソース認証情報取得手段は、前記ルート偽名を用いてリソース認証情報を取得することを特徴とする請求項３１に記載のユーザ端末。
前記派生偽名生成手段は、前記ルート偽名から第２の派生偽名を生成し、
前記リソース認証情報取得手段は、前記第２の派生偽名を用いてリソース認証情報を取得することを特徴とする請求項３１に記載のユーザ端末。
前記派生偽名生成手段は、
前記第２の派生偽名を、

（t はルート偽名、

は整数）として計算し、
前記リソース認証情報取得手段は、
認証情報v_ij
を取得し、

をリソース認証情報として格納する
ことを特徴とする請求項３４に記載のユーザ端末。
前記派生偽名生成手段は、
前記第１の派生偽名として、T'＝t^t'（t はルート偽名、t'
は整数）を計算し、
前記フレキシブル認証情報生成手段は、
前記フレキシブル認証情報を、

或いは

,（ｖ_φ１組の認証情報、

）
として計算することを特徴とする請求項３１に記載のユーザ端末。
前記派生偽名生成手段は、ユーザに一意のパラメータからトレースパラメータを生成し、
前記トレースパラメータが、前記ルート偽名又はトレースのために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項３１に記載のユーザ端末。
前記ルート偽名取得手段は、ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを取得し、
前記派生偽名生成手段は、前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成することを特徴とする請求項３１に記載のユーザ端末。
通信システムにおけるユーザ端末による方法であって、
ルート偽名を取得するステップと、
１つ以上のリソース認証情報を取得するステップと、
前記ルート偽名から第１の派生偽名を生成し、選択された１組のリソース認証情報からフレキシブル認証情報を生成するステップと、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを得るステップと
を含むことを特徴とする方法。
リソース毎の取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新するステップと、
前記認証情報取り消しパラメータから認証情報取り消し検証パラメータを生成するステップをさらに含むことを特徴とする請求項３９に記載の方法。
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名を用いてリソース認証情報を取得するステップを含むことを特徴とする請求項３９に記載の方法。
前記１つ以上のリソース認証情報を取得するステップが、前記ルート偽名から第２の派生偽名を生成し、前記第２の派生偽名を用いてリソース認証情報を取得することを特徴とする請求項３９に記載の方法。
前記第２の派生偽名が、

（t はルート偽名、

は整数）として計算され、
前記１つ以上のリソース認証情報を取得するステップが、
認証情報v_ij
を取得し、

をリソース認証情報として格納するステップとを含むことを特徴とする請求項４２に記載の方法。
前記第１の派生偽名を生成するステップは、
前記第１の派生偽名として、

（t はルート偽名、

は整数）を計算し、
前記フレキシブル認証情報を、

或いは

,（ｖ_φ１組の認証情報、

）
として計算することを特徴とする請求項３９に記載の方法。
ユーザに一意のパラメータからトレースパラメータを生成するステップを含み、
前記トレースパラメータが、前記ルート偽名又はユーザの識別をトレースするために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項３９に記載の方法。
ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを取得するステップと、
前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成するステップを含むことを特徴とする請求項３９に記載の方法。
通信システムにおける１つ以上のリソースへのアクセスを管理するための装置であって、
ユーザの派生偽名を検証する偽名検証手段と、
ユーザのフレキシブル認証情報を検証するフレキシブル認証情報検証手段と、
前記偽名検証手段および前記フレキシブル認証情報検証手段の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与える許可手段と
を備えることを特徴とする装置。
リソース毎の取り消しリストを取得する取り消しリスト取得手段を備えることを特徴とする請求項４７に記載の装置。
前記偽名検証手段が、前記取り消しリストのパラメータに基づいてユーザの認証情報取り消し検証パラメータを検証することを特徴とする請求項４８に記載の装置。
前記偽名検証手段が、ユーザの偽名取り消し検証パラメータを検証することを特徴とする請求項４７に記載の装置。
通信システムにおける１つ以上のリソースへのアクセスを管理するための方法であって、
ユーザの派生偽名を検証するステップと、
ユーザのフレキシブル認証情報を検証するステップと、
前記派生偽名および前記フレキシブル認証情報の検証結果に基づいて、前記フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるステップと
を含むことを特徴とする方法。
リソース毎の取り消しリストを取得するステップを含むことを特徴とする請求項５１に記載の方法。
前記派生偽名を検証するステップが、前記取り消しリストのパラメータに基づいてユーザの認証情報取り消し検証パラメータを検証するステップを含むことを特徴とする請求項５２に記載の方法。
前記派生偽名を検証するステップが、ユーザの偽名取り消し検証パラメータを検証するステップを含むことを特徴とする請求項５２に記載の方法。