JP3690474B2 - Rights certificate realization method and apparatus - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は個人のプライバシの保護と不正利用防止を両立した権利証明書を実現する方法、その装置に関する。
【０００２】
【従来の技術】
実社会においても計算機の世界においても、個人が、確かにその主張する権利を持つ存在であるかを確認する認証作業は、多くの場面において実施されている。最近では、Ｗｅｂサイトにおいても、簡単なパスワードや公開鍵を用いた認証が頻繁に用いられるようになった。
【０００３】
これらの認証の目的を考えてみると、その内容は場合によって大きく異なる。例えば、銀行のＡＴＭでは各人で異なる預金を確実に処理するため、また個人のブライバシを侵害しないためにも、端末の前にいるユーザの名前を確実に知る必要がある。これに対して、ニュースなど一般的情報を提供するＷｅｂサイトや、商品に対するユーザサポートを行う場面においては、ユーザの名前を知る事ではなく、ユーザがその権利を持っているかどうかを確認することが必要とされる。
【０００４】
だが、上記の二番目のような場面においても、現在の多くの場合、個人識別子を利用し、この識別子に対応したユーザの持つ権限として、資源管理を実施している。この手法は、本来の目的に対する実現手段の不自然さに加えて、ユーザのプライバシの保護上の問題や、サービス提供者側におけるデータベースの管理負荷など様々な欠点を持つ。
【０００５】
プライバシの問題は特に切実で重要である。例えば、各サービスごとに中央集権的なサーバが準備されていた場合、もちろんそのサーバの管理する範囲内でのプライバシは、サーバ管理者に対しては無いに等しい。だが、問題はそれだけに留まらない。各々別々のサービスを提供する複数のサーバの管理者が結託した場合、個人が各サーバに提供した自分に関する全ての情報と、それらサーバに対する行動履歴の全てが、管理者達に把握されてしまうことも十分に起こり得る。これは是が非でも避けなければならない事態である。また、個人情報の漏洩と追跡不能性が問題となる。
【０００６】
このような問題を解決する一つの手法は、権利の確認に証明書を利用する方法である。権利が確認された人のみにあらかじめ証明書を配布しておくことによって、名前など個人識別情報とは関係なく権利の確認を実施することができる。だがこの場合、証明書に個人識別情報が含まれていなければ、証明書のコピーなど不正利用に対する防御が難しい。またこれに対して、証明書に短時間の有効期限を設けることや、既存の電子現金で利用されている技術を用いて証明書の再利用を禁止することで不正利用を防止すると、認証の手段としては、利便性が著しく損なわれることになる。
【０００７】
この発明で使用する世界のモデルを図９に示す。図中にあるように、以下の三つの要素を仮定する。
証明書発行者装置（ＣＰ）
証明書を発行する実体。特定ユーザに対して、そのユーザがある権利を持っている、あるいはある特徴を持っていることを保証する証明書を発行する。
資源管理者装置（ＲＭ）
資源（情報）を管理する実体。自分の管理する資源に対して、ユーザから提示された複数の証明書をもとに、そのユーザの取れる行動の範囲を決定し管理する。
ユーザ装置（Ｕ）
証明書発行者装置ＣＰによって発行された証明書を管理する。また、資源を利用したいときには、証明書を適当に選択し、資源管理者装置ＲＭに提示する。この明細書ではユーザの持つ証明書とその入れ物をプロファイルと呼ぶ。
【０００８】
上記のモデルでは、一つの証明書を複数の資源管理者装置ＲＭで共用することを前提としている。従来のような資源ごとにＩＤとパスワードを設定する手法は、図中中段右側に示すような、ＣＰとＲＭがペアになった場合に対応する。
【０００９】
【発明が解決しようとする課題】
この発明は以下に示す要求を満す権利証明書の実現方法を提供しようとするものであって、これらを満たす権利証明書の実現方法はユーザのプライバシを最大限に保証し、かつ証明書の不正利用を防止できると考えられる。
（１）不必要な個人情報漏洩の防止
資源利用時において、資源管理者装置ＲＭの資源の利用が許可されるために最低限必要な情報しか漏洩しない。最低限とは、管理者装置ＲＭが指定した情報以外を含まないことである。
（２）行動の追跡不能性
任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託しても、ユーザの行動履歴の全貌は把握できない。また行動が把握される可能性のある範囲は、ユーザ自身が決定する。
（３）証明書再利用性
証明書は何度でも使用することができる。
（４）証明書不正利用不可
証明書は正規のユーザ以外は利用できない。
（５）汎用情報の証明
証明書発行者装置ＣＰは任意の内容の任意個数の情報を証明できる。
【００１０】
【課題を解決するための手段】
この発明によればユーザごとに個別のブラックボックスを用い、ブラックボックスは記憶機能と計算機能とをもち、誰にも秘密（ユーザ自身にも）の複数秘密鍵ｄ_B ^k （ｋ＞０）とこれらのそれぞれに対応する複数の公開鍵ｅ_B ^k が記憶され、ユーザ装置より証明書発行者の公開鍵ｅ_CPをそのユーザのブラックボックスへ送り、ブラックボックスはその公開鍵の１つｅ_B ⁱ に対し、公開鍵ｅ_CPを用いてブラインド署名前処理を行い、その処理結果Ｚ₁ とこれに用いた乱数ｒをユーザ装置へ返す。
【００１１】
ユーザ装置はＺ₁ を証明書発行者装置へ送り、証明書発行者装置は秘密鍵ｄ_CPでＺ₁ に対し署名処理を行い、その結果Ｚ₂ をユーザ装置へ返す。
ユーザ装置はＺ₂ に対し、ｅ_CP，ｒを用いてブラインド署名後処理を行い、署名Ｃ_j を得、Ｃ_j が検証式を満すか調べ、満せばＣ_j ，ｅ_B ⁱ を証明書とする。
秘密鍵ｄ_B ^y 、つまりブラックボックス自体の正当性を確認できるように次のようにする。つまりユーザ装置はｅ_CPをブラックボックスに送る際に、適当な証明書Ｃ_y を選び、これと対応した公開鍵ｅ_B ^y を示す情報もブラックボックスに送り、ブラックボックスはＺ₁ の署名をｅ_B ^y と対をなす秘密鍵ｄ_B ^y で行う。ユーザ装置は証明書発行者装置へＺ₁ とその署名Ｚ₁ ^By、更にＣ_y ，ｅ_B ^y も送り、Ｚ₁ の有効性をＺ₁ ^Byを用いて調べ、かつＣ_y ，ｅ_B ^y が検証式を満すかを調べ、これらに合格することをＺ₂ 生成の条件とする。
【００１２】
このようにして発行された証明書を提示利用する場合は、ユーザ装置より利用したい証明書Ｃ_j 、その公開鍵ｅ_B ⁱ を資源管理者装置へ送り、資源管理者装置はＣ_j とｅ_B ⁱ が検証式を満すかを証明書発行者装置の公開鍵ｅ_CPにより調べ、検証式を満せば、ブラックボックスがｅ_B ⁱ と対応する秘密鍵ｄ_B ⁱ をもっているかを、ユーザ装置を仲立ちとして既存の公開鍵方式の認証手順により検証し、この検証に成功すれば証明書発行者装置が証明書Ｃ_j の内容をユーザ装置に対し保証していると認める。
作用
（１）あらかじめ権利が確認された証明書を利用するので、名前など個人識別情報とは関係なく権利の確認が実施でき、不必要な個人情報が漏洩しない。
【００１３】
（２）権利証明書の発行にあってはブラインド署名の技術を用いることで、証明書発行者装置ＣＰは自分の署名した証明書Ｃを知ることができず、権利証明書の利用にあっては公開鍵ｅ_B ⁱ は権利証明書ごとにユーザが任意に定めることができることから、資源管理者装置ＲＭはユーザが意図した範囲でしかユーザと権利証明書Ｃとの関係を見出すことができないでいた。その結果、任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託してもユーザの行動履歴の全貌は把握できない。
【００１４】
（３）この権利証明書は、匿名性を保ったまま再利用可能な設計となっている。
（４）また、権利証明書の利用にあっては秘密鍵ｄ_B ⁱ が必要で、ｄ_B ⁱ は正規のユーザ認証手段を備えたユーザプロファイルに内蔵されているため、権利証明書は正規のユーザ以外利用できない。
【００１５】
（５）証明書発行者装置ＣＰは、保証する内容一個一個に対応する署名鍵を用意したり、保証する内容から生成した情報と共通の署名鍵との両方で署名を行ったりすることで、任意の内容の任意個数の情報を証明できる。
【００１６】
【発明の実施の形態】
この発明では使用する世界のモデルは図９に示したように証明書発行者装置ＣＰと資源管理者装置ＲＭとユーザ装置Ｕとで構成される。
更にこの発明ではユーザ（装置）ごとに個別のブラックボックスＢを利用する。
【００１７】
ユーザのプロファイルの構成を図１に示す。プロファイルは、誰にも秘密の情報を秘めたブラックボックスＢと、各証明書発行者装置ＣＰより発行された証明書Ｃｅｒｔ．とで構成される。ブラックボックスＢは記憶機能と計算機能とを持ち例えばスマートカードのようなＩＣカードで構成することもでき、またユーザ装置と対応であるがこれと分離された機関に設けられてもよい。プロファイル以外のデータは、ディスクなどの外部記憶媒体等でバックアップ、保持することができる。
【００１８】
ブラックボックスＢは関数として定義できるので、証明書発行時及び証明書利用時の通信は、図２に示すようにモデル化できる。図中の矢印は、二つの実体の間で通信が起こることを示している。通信路は、ブラックボッスクＢとユーザ装置間、ユーザ装置とサーバ装置（ＣＰあるいはＲＭ）間の二つが考えられるが、これらの安全性は同程度で、盗聴が可能であると仮定する。
【００１９】
この発明では、証明書発行手順（プロトコル）の健全性等を実現するためにデジタルブラインド署名の技術を用いる。ここではブラインド署名を次のように定義する。Ｕ，Ｘを適当な有限集合としたとき、公開鍵（署名検証鍵）をｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ∈Ｕとし、ｆ_d ^-1：Ｘ→Ｘを鍵ｄによる署名生成関数、ｆ_e ：Ｘ→Ｘを鍵ｅによる署名検証関数とする。ｆ_e はｄを知らない限り一方向性を持つ。このとき、デジタル署名系｛Ｕ，Ｘ，ｆ.,ｆ^-1. ｝では、ｘ∈Ｘに関して以下の関係が成立する。通常ｆ_d ^-1. は署名者が、ｆ_e は署名検証者が計算する。
【００２０】
【数１０】

有限集合Ｒにおいて、ｒ∈Ｒをブラインドの為の指数とし、ブラインド関数をＢｌ_e,r ：Ｘ→Ｘ、ブラインド解凍関数Ｂｌ_e,r ^-1：Ｘ→Ｘとする。ここでＢｌ_e,r （ｘ）からはｘとｒが判別できないとする。また、ｆｂ_d ^-1：Ｘ→Ｘをｆ_d ^-1に対応するブラインド署名関数とする。このとき、ブラインド署名可能な署名系｛Ｕ，Ｘ，ｆ.,ｆ^-1.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _. ｝は、式（１）に加えて次の関係を満たす。
【００２１】
【数１１】

ブラインド署名の概念は、Ｃｈａｕｍによって示された。一般に、Ｂｌ_e,r.とＢｌ_e,r ^-1 _. は署名発行依頼者、ｆｂ_d ^-1は署名者が計算する。ｆ_e.は署名検証者が計算する。この署名法では、署名者が、署名するデータの内容ｘを確認できないので、ブラインドと呼ばれている。
【００２２】
ブラックボックスＢ、ユーザ装置Ｕ、証明書発行者装置ＣＰ、資源管理者装置ＲＭの四者における、証明書発行プロトコル及び証明書提示プロトコルを以下に示すが、このプロトコルは以下の特徴を持つ。
・各々のユーザ装置Ｕは固有のブラックボックスＢを所持する。
・ブラックボックスＢは誰にも秘密の複数の情報（秘密鍵）ｄ_B ^k （ｋ＞０）と、これら各々に対応する複数の公開情報（公開鍵）ｅ_B ^k を持つ。
【００２３】
・証明書Ｃは、各々特定のｅ_B ^k に対応する形で発行される。証明書Ｃを使用するためには、その秘密鍵ｄ_B ^k が必要である。
従って、証明書Ｃを利用できるのはブラックボックスＢを持つユーザ装置Ｕだけである。
・証明書発行者装置ＣＰは証明書Ｃを発行する際、ブラインド署名の技術を用いて署名を行う。証明書発行者装置ＣＰは自分の署名した証明書Ｃに対応する公開鍵ｅ_B ^k （即ち、ブラックボックスＢ、ユーザ装置Ｕ）を知ることができない。
【００２４】
・証明書発行者装置ＣＰや資源管理者装置ＲＭとユーザ装置Ｕが結託しても、ブラックボックスＢの持つ秘密情報ｄ_B ^k を引き出すことはできない。
・ユーザ装置Ｕは常にブラックボックスＢの動作を監視でき、証明書発行者装置ＣＰや資源管理者装置ＲＭとブラックボックスＢとの不正な情報交換を阻止できる。
【００２５】
・ブラックボックスＢに要求される機能は単純で非常に簡単である。
このプロトコルでは、同一証明書Ｃを複数の資源管理者装置ＲＭに対して提示して利用した場合や、同一鍵ｅ_B ^k と関連する形で発行された複数の証明書を利用する場合には、これらが利用される範囲内において、ユーザ装置の行動履歴及び個人情報が把握される可能性がある。しかし、これはユーザ装置自身が適度に異なった証明書、及び鍵を用いることによって解決容易な事項である。ここで、ブラックボックスＢに対するユーザ装置Ｕの認証は、既存の個人認証の技術を用いることを仮定しているので、この明細書では特に述べない。つまりブラックボックスＢはパスワードや指紋認識や虹彩認識などによる正規ユーザの認証機能をもっている。
【００２６】
以下に挙げるプロトコルは、上記の事項を基盤とするが、これに加えてブラックボックスＢ自身の正当性を確認するための処理が加わっていることに注意すること。
尚、権利の確認処理が終了した後は、既存のＳＳＬ等のセキュア通信の技術を用いて、ユーザ装置Ｕは資源管理者装置ＲＭの資源を利用することができる。
実施例１
始めは基本として、証明書の内容が、あらかじめ証明書発行者装置ＣＰが決定した任意個の種類しかない場合についてのプロトコルを述べる。実施例２でこのプロトコルの拡張として、内容及び個数を動的に自由に変更可能なプロトコルを述べる。
初期状態
ブラックボックスＢは鍵のペア（ｅ_B ⁰ ，ｄ_B ⁰ ）と、これに対応してブラックボックスＢの正当性を保証する証明書Ｃ₀ を持つ。ユーザ装置ＵはＣ₀ とｅ_B ⁰ を知っている。証明書発行者装置ＣＰは、自分の保証する内容の各々に対して、それぞれ鍵のペア（ｅ_CP ^k ，ｄ_CP ^k ）を決定し、各ｅ_CP ^k を公開している。
証明書発行
ブラックボッスクＢがｊ番目の証明書Ｃ_j を獲得するプロトコルを以下に示す。ここで、サフィックスｙはブラックボックスＢ自身の正当性を証明するために必要なデータに付けられている。またブラックボックスＢは、ｉ番目の鍵ペアをＣ_j に対応する鍵として利用している。
【００２７】
以下、関数ｇ_B はＸ→Ｘとなる一方向性関数である。また処理の流れを図３に、ブラックボックスＢの機能構成を図４に、ユーザ装置Ｕの機能構成を図５に、証明書発行者装置ＣＰの機能構成を図６にそれぞれ示す。
（１）ユーザはユーザ装置Ｕの入力操作部１１を操作して、メモリ１２内の、既存の『Ｂは正当である』ことを保証する証明書から適当な証明書Ｃ_y を選ぶ。また、発行して欲しい証明書と対応した証明書発行者装置ＣＰの公開鍵ｅ_CP ^l を選び、証明書Ｃ_y に対応したブラックボックスＢの公開鍵ｅ_B ^y （あるいはｙの値）とｅ_CP ^l をブラックボックスＢに送る。ユーザは今回の発行において新しい鍵を用いるのかを決定する。鍵を再利用する場合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ （あるいはｉの値）もブラックボックスＢに送る。
【００２８】
（２）ブラックボックスＢは、ｅ_CP ^l ，ｅ_B ^y を受信すると、鍵生成部３１から鍵のペア（ｅ_B ⁱ ，ｄ_B ⁱ ）（ｉ＞０）を取出し、また乱数生成部３２から乱数ｒを生成し、一方向性関数器３３にｅ_B ⁱ を入力してｇ_B （ｅ_B ⁱ ）を計算し、またｅ_CP ^l ，ｒ、ｇ_B （ｅ_B ⁱ ）をブラインド関数器３４に入力して式（３）の値Ｚ₁ を計算する。（１）でユーザ装置Ｕがｅ_B ⁱ を送付しなかった場合、鍵ペア（ｅ_B ⁱ ，ｄ_B ⁱ ）はブラックボックスＢの鍵生成部３１によって新しく作成される。ブラックボックスＢは鍵ｄ_B ⁱ をメモリ３６に格納し、誰にも公開しない。
【００２９】
【数１２】

ブラックボックスＢは、ｅ_B ^y に対応する秘密鍵ｄ_B ^y を用いてＺ₁ の署名情報Ｚ₁ ^Byを署名器３５で計算し、Ｚ₁ ，Ｚ₁ ^By，ｅ_B ⁱ ，ｒをユーザ装置Ｕに送る。ただし、Ｚ₁ ^Byの生成に用いる署名法は、ブラインド署名に対応しない通常の方法でよい。
（３）ユーザ装置Ｕは、Ｚ₁ ，Ｚ₁ ^By，ｅ_B ⁱ ，ｒを受信すると、必要に応じて証明書の発行を受ける為に必要な情報Ｍ_U を作成する。通常、Ｍ_U の内容は、発行される証明書の内容に対応して、証明書発行者装置ＣＰがあらかじめ指定している。ユーザ装置Ｕは、Ｚ₁ とＺ₁ ^By、Ｍ_U ，Ｃ_y ，ｅ_B ^y を証明書発行者装置ＣＰに送る。この時ｅ_CP ^l を同時に送るか、ＵとＣＰとの間にはＵがどのｅ_CP ^l を選んだかの通知が予めなされている。
【００３０】
（４）証明書発行者装置ＣＰはＺ₁ ，Ｚ₁ ^Byなどを受信すると、Ｚ₁ の有効性をｅ_B ^y ，Ｚ₁ ^Byを用いて署名検証器５１により確認する。また、ｅ_B ^y を一方向性関数器５２に入力してｇ_B （ｅ_B ^y ）を計算し、Ｃ_y ，ｅ_CPy ^x を署名検証関数器５３に入力し、その計算結果とｇ_B （ｅ_B ^y ）とが一致するかを比較器５４で比較し、つまり
【００３１】
【数１３】

が成り立つかを調べることによってＺ₁ ^Byの署名鍵ｄ_B ^y 、すなわちＢの正当性に対する確認を行う。
ここで、ｅ_CPy ^x は、Ｃ_y の発行者装置ＣＰ_y のＣ_y に対応する公開鍵である。このようにしてｅ_B ^y の正当性を確認することによってｅ_B ^y と対をなすｄ_B ^y の正当性を確認する。
【００３２】
これらの何れかの検証に失敗すれば、証明書は発行されず終了する。また、証明書発行者装置ＣＰはＭ_U の有効性を調べる。Ｍ_U が、別の証明書発行者装置ＣＰが発行した証明書である場合、その有効性の確認は証明書提示プロトコルを用いて行える。証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰは以下の値を署名生成関数器５５で計算し、これをユーザ装置Ｕに送る。
【００３３】
【数１４】

（５）Ｚ₁ を受けたユーザ装置Ｕは、以下の値をブラインド解凍関数器１３で計算する。
【００３４】
【数１５】

またｅ_B ⁱ について一方向性関数器１４でｇ_B （ｅ_B ⁱ ）を計算し、Ｃ_j とｅ_CP ^l を署名検証関数器１５に入力し、ｆ_eCP ^l （Ｃ_j ）を計算し、
【００３５】
【数１６】

が成り立つかを比較器１６で調べる。式（１）（２）より、正規の手順を踏んだ有効なＣ_j であれば上式が成り立つことは明らかである。この有効性が確認されれば、Ｃ_j ，ｅ_B ⁱ を新しい証明書としてメモリ１２に保管する。
証明書提示
証明書Ｃ_j は、特定の内容を保証する証明書発行者装置ＣＰの鍵ｄ_CP ^l で署名された、ｇ_B （ｅ_B ⁱ ）に対する署名となっているので、この証明書の利用資格の確認は簡単である。ｅ_B ⁱ に対応する秘密鍵ｄ_B ⁱ をブラックボックスＢが持っていることを確認できればよい。証明書の提示及び利用のプロトコルを以下に示す（図４、図７参照）。
【００３６】
（１）ユーザＵは利用したい証明書Ｃ_j を決定し、Ｃ_j と、これに対応した公開鍵ｅ_B ⁱ を資源管理者装置ＲＭに提示（送信）する。ここで、この証明書Ｃ_j ，ｅ_B ⁱ に対応する証明書発行者装置ＣＰの鍵のペアを（ｅ_CP ^m ，ｄ_CP ^m ）とする。ｅ_CP ^m は公開されているはずである。
（２）資源管理者装置ＲＭは、ｅ_CP ^m を用いてＣ_j に対し署名検証関数器によるｆ_eCP ^m （Ｃ_j ）を求め、かつｅ_B ⁱ に対し一方向性関数器６２でｇ_m （ｅ_B ⁱ ）を求め比較器６３でｇ_B （ｅ_B ⁱ ）＝ｆ_eCP ^m （Ｃ_j ）が成り立つかを検証する。この検証が失敗すれば認証は失敗である。
【００３７】
（３）資源管理者装置ＲＭは、既存の公開鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B ⁱ に対応する鍵ｄ_B ⁱ を持っているかを認証手段６４とブラックボックスＢ内の認証手段３７が協動して確認する。この通信はユーザ装置Ｕを仲立ちとして行われる。この検証に成功すれば、証明書発行者装置ＣＰがｅ_CP ^m に対応する内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。
実施例２
実施例１では、各証明書発行者装置ＣＰはあらかじめ自分の証明する内容を決定し、これに対応する公開鍵（ｅ_CP ⁰ ，ｅ_CP ¹ ，…ｅ_CP ⁿ ）（ｎ＞０）を公開している必要があった。実施例２は、この条件を解消し、一つの公開情報で任意の内容を保証する。
【００３８】
この目的の為に、実施例２では、以下に示す特殊なブラインド署名系を利用する。Ｕ，Ｘ，Ｍ，Ｒを適当な有限集合としたとき、公開鍵（署名検証鍵）をｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ∈Ｕ、証明内容をｍ∈Ｍとし、ｆｂ_d,m ^-1：Ｘ→Ｘを鍵ｄとｍによる署名生成関数、ｆ_e,m ：Ｘ→Ｘを鍵ｅとｍによる署名検証関数とする。ただし、ｆ_e,m はｄを知らない限り一方向性を持つ関数である。また、Ｂｌ_e,r 、Ｂｌ_e,r ^-1 を各々ブラインド関数とブラインド解凍関数とする。Ｂｌ_e,r （ｘ）からはｘとｒが判別できない。このとき、署名系｛Ｕ，Ｘ，ｆ.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _. ｝は、ｘ∈Ｘに関して次の式を満たす。
【００３９】
【数１７】

Ｂｌ．はブラックボックスＢ，ｆｂ^-1. は証明書発行者装置ＣＰ，Ｂｌ^-1 _. はユーザ装置ＵまたはブラックボックスＢ，ｆ．は任意の存在が計算する。以下では、この署名系を利用した実施例１の拡張を述べる。
初期状態
ブラックボックスＢは鍵のペア（ｅ_B ⁰ ，ｄ_B ⁰ ）と、これに対応してブラックボックスＢの正当性を証明する証明書Ｃ₀ ，Ｍ_CP ⁰ を持つ。Ｃ₀ とＭ_CP ⁰ は両方で一つの証明書となる。これらについては後述参照。ユーザ装置ＵはＣ₀ とＭ_CP ⁰ ，ｅ_B ⁰ のみを知っている。また、証明書発行者装置ＣＰは自分の公開鍵ｅ_CPを公開している。
証明書発行
証明書発行プロトコルは、実施例１において証明書Ｃ_y を（Ｃ_y ，Ｍ_CP ^y ）へ、ｅ_CP ^l をｅ_CPへ置き換えたものとほぼ一致する。この処理の流れを図８に示す。各装置の機能構成は実施例１のそれとほぼ同一である。
【００４０】
関数ｇ_B は、Ｘ→Ｘとなる一方向性関数。ｇ_CPは、Ｍ_CP∈Ｍ×Ｍ×…Ｍ、ｍ∈Ｍとした場合、ｇ_CP：Ｍ×Ｍ×…Ｍ→Ｍとなる一方向性関数である。
（１）ユーザはユーザ装置より既存の『Ｂは正当である』ことを保証する証明書から適当な証明書Ｃ_y を選ぶ。Ｃ_y に対応したブラックボックスＢの鍵ｅ_B ^y （あるいはｙの値）と証明書発行者装置ＣＰの公開鍵ｅ_CPをブラックボックスＢに送る。ユーザ装置Ｕは今回の発行において新しい鍵を用いるのかを決定する。鍵を再利用する場合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ （あるいはｉの値）もブラックボックスＢに送る。
【００４１】
（２）ブラックボックスＢは、これらを受け取ると、鍵のペア（ｅ_B ⁱ ，ｄ_B ⁱ ）（ｉ＞０）と、ｅ_CPと、乱数ｒから、以下の値Ｚ₃ を計算する。（１）でユーザ装置Ｕがｅ_B ⁱ を送付しなかった場合、鍵ペアはブラックボックスＢによって新しく作成される。ブラックボックスＢは鍵ｄ_B ⁱ を誰にも公開しない。
【００４２】
【数１８】

ブラックボックスＢは、ｅ_B ^y に対応する秘密鍵ｄ_B ^y を用いてＺ₃ の署名情報Ｚ₃ ^Byを計算し、Ｚ₃ ，Ｚ₃ ^By，ｅ_B ⁱ ，ｒをユーザ装置Ｕに送る。ただし、Ｚ₃ ^Byで用いる署名法は、ブラインド署名に対応しない通常の方法でよい。
（３）ユーザ装置Ｕは、Ｚ₃ ，Ｚ₃ ^Byなどを受け取ると証明書の発行を受ける為に必要な情報Ｍ_U を必要に応じて作成する。通常、Ｍ_U の内容は、発行される証明書の内容に対応して、証明書発行者装置ＣＰがあらかじめ指定している。ユーザ装置Ｕは、Ｚ₃ とＺ₃ ^By，Ｍ_U ，Ｃ_y ，Ｍ_CP ^y ，ｅ_B ^y をＣＰに送る。
【００４３】
（４）証明書発行者装置ＣＰは、これらを受け取ると、Ｚ₃ の有効性を署名検証により検証しまたブラックボックスＢの正当性を検証する。ブラックボックスＢの正当性は、ｆ_eCPy,gCP（Ｍ_CP ^y ）（Ｃ_y ）＝ｇ_B （ｅ_B ^y ）が成り立つかを調べることによって行う。ここで、ｅ_CPy は、Ｃ_y の発行者装置ＣＰ_y の公開鍵である。検証に失敗すれば証明書は発行されず終了する。
【００４４】
また、ＣＰはＭ_U の有効性を調べる。
証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰは、自分が保証する内容（文書）Ｍ_CPを決定し、以下の値を計算する。証明書発行者装置ＣＰはそのＺ₄ とＭ_CPをユーザ装置Ｕに送る。
【００４５】
【数１９】

（５）ユーザ装置Ｕは、これらを受け取ると以下の値を計算する。
【００４６】
【数２０】

ユーザ装置ＵはＭ_CPからｍを計算し、ｆ_eCP,m （Ｃ_j ）＝ｇ_B （ｅ_B ⁱ ）が成り立つかを調べる。式（６）等により、正規の手順を踏んだ場合、上式が成り立つことは明らかである。証明書の有効性が確認されれば、Ｃ_j ，Ｍ_CP，ｅ_B ⁱ を新しい内容を保証する証明書として保管する。
証明書提示
証明書の提示及び利用のプロトコルは以下のようになる。
【００４７】
（１）ユーザ装置Ｕは資源管理者装置ＲＭに証明したい事項Ｍ_CPを決定し、Ｍ_CPと、これに対応した証明書Ｃ_x ，ｅ_B ^x を資源管理者装置ＲＭに提示する。Ｃ_x の発行者装置の鍵は公開されており、これをｅ_CPとする。
（２）資源管理者装置ＲＭはｅ_CPよりｇ_B （ｅ_B ^x ）＝ｆ_eCP,m （Ｃ_x ），ｍ＝ｇ_CP（Ｍ_CP）が成り立つかを調べる。
【００４８】
（３）資源管理者装置ＲＭは、既存の公開鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B ^x に対応する鍵ｅ_B ^x を持っているかどうかを検証する。この通信はユーザ装置Ｕを仲立ちとして行われる。この検証に成功すれば、証明書発行者装置ＣＰがＭ_CPの内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。
実施例３
実施例１は、既存のブラインド署名可能な各種署名法、及び公開鍵を用いた各種認証／署名手順を用いて容易に実現可能である。この実現には前述の実施例１における各式をそのまま対応する関数と置き換えればよく、この実現方法は明らかである。よって、ここでは実施例１に対しては具体例を述べない。
【００４９】
実施例２に対しては、式（６）を満たす関数が一般に広くは知られていないので、実現例を示す。ただし、以下の実現例ではブラックボックスＢの認証及び署名部分にFiat-Shamir 法を利用しているが、この部分は他の任意の公開鍵を用いた認証／署名法に置き換えることが可能であることを注意しておく。
関数の定義
ここでの実現例では、ブラインド署名部分にＣｈａｕｍの提案したＲ．Ｓ．Ａを基盤とする方法を用い、ブラックボックスＢの認証にはＦｉａｔらの提案した方式を用いる。ただし、式（６）を満たすようにｆ．とｆｂ^-1. は拡張してある。
拡張ブラインド署名法
【００５０】
【数２１】

ｍ^-1とｒ^-1は、Ｎとの最大公約数（ｍ，Ｎ）＝（ｒ，Ｎ）＝１の時に容易に計算できる。（ｍ，Ｎ）≠１あるいは（ｒ，Ｎ）≠１は、ｍあるいはｒがｐあるいはｑと一致するときに起こり得るが、ｐとｑが十分に大きい場合はこの可能性は無視してよい。上記の式は次のように式（６）を満たす。
【００５１】
【数２２】

べき乗関数ｘ^e （mod Ｎ）は十分大きいＮとｅのもとで一方向性を持つことが知られている。だが、式（１１）の一方向性は完全なものでない。同一ｅ及びｄで既知複数のｍとｘに対する計算結果が得られると、これを利用して特殊なｆ_e,m を偽造することが計算上容易である。このような選択文書攻撃（chosen-message attack ）を避けるために、以下に述べる実現プロトコルでは、ｘがユーザ装置Ｕによって操作できないように工夫されている。
ブラックボックスＢの署名と認証
ブラックボックスＢの署名及び認証には、既存の多くの認証方式を適用できる。ここでは、既にＩＣカード等で個人認証方式として利用されている、Fiat-Shamir 方式を利用した方法を例に用いる。Fiat-Shamir 方式は、ゼロ知識性という重要な特徴に加えて、単一公開情報で複数の内容を証明することが可能なこと、また高速に実行が可能であることなど大きな利点をもつ。ただし、この方式の詳細についてはここでは説明しない。
【００５２】
Fiat-Shamir 方式の最も提案となる方式では、以下の公開情報と秘密情報を定めている。

一方向性関数ｇ_B とｇ_CP
一方向性関数ｇ_B とｇ_CPは、各々既存の適当な任意の関数を割り当てることができる。ＭＤ５やＳＨＡ−１の他、秘密鍵暗号方式ＤＥＳやＦＥＡＬを用いてこれらを実現することも容易である。ここでは、この部分については具体例を定めず説明を行う。
初期状態
ブラックスボックスＢは鍵のペア（（ｎ_B ⁰ ，Ｉ_B ⁰ ），ｓ_B ⁰ ）と証明書Ｃ₀ ，Ｍ_CP ⁰ ，ｃ₀ を持つ。これらはブラックボックスＢの製造者によってあらかじめ与えられる。Fiat-Shamir 方式の特徴より、ｎ_B ⁰ は全てのブラックボックスＢで同一でよい。従って、Ｉ_B ⁰ をブラックボックスＢの製造番号等とする場合、ブラックボックスＢにはあらかじめｓ_B ⁰ を埋め込むだけでよい。Ｃ₀ 等は後から発行することができる。ｃ₀ の役割については後述参照。ユーザ装置Ｕは、（ｎ_B ⁰ ，Ｉ_B ⁰ ）とＣ₀ ，Ｍ_CP ⁰ ，ｃ₀ を知っている。
【００５３】
各証明書発行者装置ＣＰは公開鍵（ｅ_CP，Ｍ_CP）を公開している（Ｎ_CPは証明書は発行者装置ＣＰが使用するＮのこと）。各証明書発行者装置ＣＰは空の発行済リストＬ_CPを持つ。証明書発行者装置ＣＰは証明書を発行する度に、ユーザ装置Ｕに提示されたＺ₅ （下記参照）を発行済リストＬ_CPに登録する。登録期間は最大Ｔ_CP ^max で、古くなったＺ₅ は消去してよい。証明書発行者装置ＣＰはＴ_CP ^max を公開している。
証明書発行
（１）ユーザ装置ＵはブラックボックスＢの正当性を保証する適当な証明書を選び、対応する鍵（ｎ_B ^y ，Ｉ_B ^y ）（あるいはｙ）と証明書発行者装置ＣＰの鍵（ｅ_CP，Ｎ_CP）をブラックボックスＢに送る。ユーザ装置Ｕは、証明書発行者装置ＣＰに発行を申請する時刻Ｔを決定し、Ｔ_S ＜Ｔ＜Ｔ_e かつＴ_e −Ｔ_S ＜Ｔ_CP ^max となるＴ_S 及びＴ_e を選び、これをブラックボックスＢに送る。
【００５４】
また発行に既存の鍵を利用する場合は（ｎ_B ⁱ ，Ｉ_B ⁱ ）（あるいはｉ）をブラックボックスＢに送る。
（２）ブラックボックスＢは、ｎ_B ⁱ ，Ｉ_B ⁱ を受け取ると鍵のペア（（ｎ_B ⁱ ，Ｉ_B ⁱ ），ｓ_B ⁱ ）（ｉ＞０）と、乱数ｒ，ｃ_j から、以下の値を計算する。即ちブラインド回数値を計算する。（１）でユーザ装置Ｕが（ｎ_B ⁱ ，Ｉ_B ⁱ ）を送付しなかった場合、鍵ペアはブラックボックスＢによって新しく作成される。ここで‖は結合を表す。
【００５５】
【数２３】

ｃ_j は、ｇ_B への入力を常に異なることを保証するためにあるので、実際にはブラックボックスＢごとのカウンタでもよい。ブラックボックスＢはｓ_B ^y を用いて、（Ｚ₅ ‖Ｔ_s ‖Ｔ_e ）に対する署名情報Ｚ₅ ^Byを作成し、Ｚ₅ ，Ｚ₅ ^By，（ｎ_B ⁱ ，Ｉ_B ⁱ ），ｒ，ｃ_j をユーザ装置Ｕに送る。ここで利用する署名法は、Fiat-Shamir 方式である。
【００５６】
（３）ユーザ装置Ｕは、Ｚ₅ ，Ｚ₅ ^Byなどを受け取ると、証明書の発行を受ける為に必要な情報Ｍ_U を必要に応じて作成する。ユーザ装置Ｕは、Ｚ₅ ，Ｚ₅ ^By，Ｔ_s ，Ｔ_e ，Ｍ_U ，Ｃ_y ，Ｍ_CP ^y ，ｃ_y ，（ｎ_B ^y ，Ｉ_B ^y ）を証明書発行者装置ＣＰに送る。
（４）証明書発行者装置ＣＰは、Ｚ₅ ，Ｚ₅ ^Byなどを受け取ると、Ｚ₅ 及びＴ_s ，Ｔ_e の有効性とブラックボックスＢの正当性を検証する。証明書発行者装置ＣＰの持つ時計がＴ_s 時からＴ_e 時の範囲の時刻を示しているかを確認する。時間外であれば証明書は発行されない。また、Ｚ₅ が発行済リストＬ_CPに登録されていないことも確認する。証明書発行者装置ＣＰはＭ_U の有効性も調べる。
【００５７】
証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰはＺ₅ をＬ_CPに加え、自分が保証する内容（文書）Ｍ_CPを決定して以下の値を計算する。即ち署名生成関数値を計算する証明書発行者装置ＣＰはそのＺ₆ とＭ_CPをユーザ装置Ｕに送る。
【００５８】
【数２４】

（５）ユーザ装置Ｕは、Ｚ₆ を受け取ると、以下の値を計算する。即ちブラインド解凍関数値を求める。
Ｃ_j ＝ｒ^-1（Ｚ₆ ）（mod Ｎ_CP） （19）
ユーザ装置ＵはＭ_CP等からｍ^-1（Ｃ_j ）^eCP ＝ｇ_B （ｎ_B ⁱ ‖Ｉ_B ⁱ ‖ｃ_j ）（mod Ｎ_CP）が成り立つかを調べ、つまり署名検証式を満すかを調べて、Ｃ_j の有効性を検証する。有効性が確認されれば、Ｃ_j ，Ｍ_CP，ｃ_j ，（ｎ_B ⁱ ，Ｉ_B ⁱ ）を新しい内容を保証する証明書として保管する。
証明書提示
証明書の提示及び利用のプロトコルは以下のようになる。
【００５９】
（１）ユーザ装置Ｕは証明したい事項Ｍ_CPを決定し、Ｍ_CPと、これと対となったＣ_x ，ｃ_x ，（ｎ_B ^x ，Ｉ_B ^x ）を資源管理者装置ＲＭに提示する。
（２）資源管理者装置ＲＭはｅ_CPとＮ_CP、ユーザ装置Ｕよりの情報からｇ_B （ｎ_B ^x ‖Ｉ_B ^x ‖ｃ_x ）＝ｍ^-1（Ｃ_x ）^ecp （mod Ｎ_CP）が成り立つかを調べ、つまり署名検証式を満すかを調べる。
【００６０】
（３）資源管理者装置ＲＭは、Fiat-Shamir 方式の認証手順を用いて、ブラックボックスＢがｎ_B ^x とＩ_B ^x に対応する鍵ｓ_B ^x を持っているかどうかを検証する。この通信はユーザ装置Ｕを仲立ちとして行われる。ただし、Fiat-Shamir 方式の詳細はここでは割愛する。
この検証に成功すれば、証明書発行者装置ＣＰがＭ_CPの内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。なお上述における各装置はコンピュータによりプログラムを読み出し、解読実行させることに各機能を行わせることもできる。
【００６１】
【発明の効果】
以上説明したように、この発明の方法および装置によれば、次の効果が得られる。
（１）資源管理者装置ＲＭが要求する情報以外の個人情報が漏洩しない。
（２）任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託しても、ユーザ（装置）の行動履歴の全貌は把握できない。また、行動が把握される可能性のある範囲は、ユーザ（装置）自身が決定できる。
【００６２】
（３）権利証明書は何度でも使用することができる。
（４）正規のブラックボックスを有しないユーザ装置は、権利証明書を利用できない。
（５）証明書発行者装置ＣＰは任意の内容の任意個数の情報を証明できる。
【図面の簡単な説明】
【図１】ユーザプロファイルの例を示す図。
【図２】ブラックボックスとユーザ装置と証明書発行者装置と資源管理者装置との通信を示す図。
【図３】実施例１における証明書発行手順を示す図。
【図４】実施例１におけるブラックボックスの機能構成を示す図。
【図５】実施例１におけるユーザ装置の機能構成を示す図。
【図６】実施例１における証明書発行者装置の機能構成を示す図。
【図７】実施例１における資源管理者装置の機能構成を示す図。
【図８】実施例２における証明書発行手順を示す図。
【図９】この発明が対象としているシステム構成例を示す図。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a method and apparatus for realizing a rights certificate that achieves both protection of personal privacy and prevention of unauthorized use.
[0002]
[Prior art]
In both the real world and the computer world, authentication work that confirms whether an individual has the right to assert is certainly carried out in many situations. Recently, authentication using simple passwords and public keys has been frequently used even on Web sites.
[0003]
Considering the purpose of these certifications, the contents vary greatly from case to case. For example, in a bank ATM, it is necessary to know the name of the user in front of the terminal in order to ensure that each person processes different deposits and does not infringe on personal privacy. On the other hand, in websites that provide general information such as news and user support for products, it is not necessary to know the user's name but to check whether the user has the right. Needed.
[0004]
However, even in the second situation described above, in many cases at present, a personal identifier is used, and resource management is performed as the authority of the user corresponding to this identifier. In addition to the unnaturalness of the means for realizing the original purpose, this method has various drawbacks such as a problem in protecting user privacy and a database management load on the service provider side.
[0005]
Privacy issues are particularly acute and important. For example, when a centralized server is prepared for each service, of course, the privacy within the range managed by the server is not equal to the server administrator. But the problem doesn't stop there. When administrators of multiple servers that provide different services are collaborated, all information related to themselves provided by individuals to each server and the action history for those servers will be understood by the administrators. Can happen well. This is a situation that must be avoided even if it is not. In addition, leakage of personal information and inability to trace are problems.
[0006]
One method for solving such a problem is a method of using a certificate for confirmation of rights. By distributing the certificate to only the person whose rights have been confirmed, the rights can be confirmed regardless of personal identification information such as name. However, in this case, if personal identification information is not included in the certificate, it is difficult to prevent unauthorized use such as copying a certificate. On the other hand, if the unauthorized use is prevented by setting a short expiration date on the certificate or prohibiting the reuse of the certificate using the technology used in the existing electronic cash, As a means, convenience is significantly impaired.
[0007]
A world model used in the present invention is shown in FIG. As shown in the figure, the following three elements are assumed.
Certificate issuer device (CP)
An entity that issues certificates. For a specific user, issue a certificate that guarantees that the user has a certain right or a certain characteristic.
Resource manager device (RM)
An entity that manages resources (information). Based on a plurality of certificates presented by the user, the range of actions that the user can take is determined and managed for the resources managed by the user.
User equipment (U)
It manages certificates issued by the certificate issuer device CP. When a resource is desired to be used, a certificate is appropriately selected and presented to the resource manager device RM. In this specification, a certificate and a container that the user has are called a profile.
[0008]
In the above model, it is assumed that a single certificate is shared by a plurality of resource manager devices RM. A conventional method for setting an ID and a password for each resource corresponds to a case where a CP and an RM are paired as shown on the right side of the middle part of the figure.
[0009]
[Problems to be solved by the invention]
The present invention seeks to provide a method for realizing a right certificate that satisfies the following requirements. The method for realizing a right certificate that satisfies these requirements guarantees the privacy of the user as much as possible, and It is thought that unauthorized use can be prevented.
(1) Prevention of unnecessary personal information leakage
At the time of using the resource, only the minimum necessary information is leaked because the use of the resource of the resource manager device RM is permitted. “Minimum” means that information other than information designated by the administrator device RM is not included.
(2) Untrackable behavior
Even if an arbitrary number of certificate issuer devices CP and resource manager devices RM collaborate, it is impossible to grasp the entire picture of the user's action history. In addition, the user himself / herself determines the range in which the action can be grasped.
(3) Certificate reusability
The certificate can be used any number of times.
(4) Unauthorized use of certificate
Certificates can only be used by authorized users.
(5) Proof of general-purpose information
The certificate issuer device CP can certify any number of pieces of information with any content.
[0010]
[Means for Solving the Problems]
According to the present invention, an individual black box is used for each user, the black box has a storage function and a calculation function, and a secret key d that is secret to anyone (also to the user itself) d._B ^k(K>0) and a plurality of public keys corresponding to each of them_B ^kIs stored, and the public key e of the certificate issuer is received from the user device._CPTo the user's black box, which is one of its public keys_B ⁱPublic key e_CPIs used to perform blind signature pre-processing, and the processing result Z₁And the random number r used for this is returned to the user device.
[0011]
User equipment is Z₁To the certificate issuer device, which issues the private key d_CPAt Z₁The signature process is performed on₂Is returned to the user device.
User equipment is Z₂E_CP, R for blind signature post-processing and signature C_jC_jChecks if it satisfies the verification formula, and if it does, C_j, E_B ⁱIs a certificate.
Private key d_B ^yIn other words, the following is done so that the validity of the black box itself can be confirmed. In other words, the user device is e_CPAppropriate certificate C when sending_yAnd select the corresponding public key e_B ^yIs also sent to the black box.₁The signature of e_B ^yPrivate key d paired with_B ^yTo do. User device to certificate issuer device Z₁And its signature Z₁ ^ByAnd C_y, E_B ^yAlso send Z₁Effectiveness of Z₁ ^ByAnd using C_y, E_B ^yTo see if it satisfies the validation formula,₂As a condition for generation.
[0012]
When presenting and using a certificate issued in this way, the certificate C that the user device wants to use is used._j, Its public key e_B ⁱIs sent to the resource manager device, and the resource manager device C_jAnd e_B ⁱThe public key e of the certificate issuer device_CPIf the verification formula is satisfied, the black box is_B ⁱAnd the corresponding private key d_B ⁱIs verified by an existing public key authentication procedure with the user device as an intermediary, and if this verification is successful, the certificate issuer device has the certificate C_jIs recognized as being guaranteed to the user device.
Action
(1) Since a certificate whose rights have been confirmed in advance is used, rights can be confirmed regardless of personal identification information such as name, and unnecessary personal information is not leaked.
[0013]
(2) When issuing a rights certificate, by using blind signature technology, the certificate issuer device CP cannot know the certificate C signed by the certificate issuing device CP. Is the public key e_B ⁱTherefore, the resource manager apparatus RM can find the relationship between the user and the right certificate C only within the range intended by the user. As a result, even if an arbitrary number of certificate issuer devices CP and resource manager devices RM collide, it is impossible to grasp the entire picture of the user's action history.
[0014]
(3) This right certificate is designed to be reusable while maintaining anonymity.
(4) In addition, when using the right certificate, the private key d_B ⁱIs required and d_B ⁱIs incorporated in a user profile provided with a legitimate user authentication means, the right certificate can be used only by legitimate users.
[0015]
(5) The certificate issuer device CP prepares a signature key corresponding to each content to be guaranteed, or performs signature with both the information generated from the guaranteed content and the common signature key. Can prove any number of pieces of information with any content.
[0016]
DETAILED DESCRIPTION OF THE INVENTION
In the present invention, the world model used is composed of a certificate issuer device CP, a resource manager device RM, and a user device U as shown in FIG.
Further, in the present invention, an individual black box B is used for each user (device).
[0017]
The configuration of the user profile is shown in FIG. The profile includes a black box B in which secret information is kept secret to everyone, and a certificate Cert. It consists of. The black box B has a storage function and a calculation function, and can be configured by an IC card such as a smart card, or can be provided in an organization that is compatible with the user device but separated from the user device. Data other than the profile can be backed up and held on an external storage medium such as a disk.
[0018]
Since the black box B can be defined as a function, communication when issuing a certificate and using a certificate can be modeled as shown in FIG. The arrows in the figure indicate that communication occurs between the two entities. There are two possible communication paths between the black box B and the user device, and between the user device and the server device (CP or RM). However, it is assumed that these have the same security and can be wiretapped.
[0019]
In the present invention, a digital blind signature technique is used to realize the soundness of a certificate issuing procedure (protocol). Here, the blind signature is defined as follows. When U and X are appropriate finite sets, the public key (signature verification key) is e∈U, the secret key (signature generation key) is d∈U, and f_d ^-1: X → X is signature generation function with key d, f_e: Let X → X be a signature verification function with key e. f_eIs unidirectional unless d is known. At this time, the digital signature system {U, X, f., F^-1}, The following relationship holds for x∈X. Usually f_d ^-1Is the signer, f_eIs calculated by the signature verifier.
[0020]
[Expression 10]

In the finite set R, let r∈R be the exponent for blinding and let the blind function be Bl_{e, r}: X → X, Blind decompression function Bl_{e, r} ^-1: X → X. Where Bl_{e, r}Assume that x and r cannot be distinguished from (x). Fb_d ^-1: X → X f_d ^-1Is a blind signature function corresponding to. In this case, a signature system {U, X, f., F^-1., fb^-1 _.,Bl., Bl^-1 _.} Satisfies the following relationship in addition to equation (1).
[0021]
## EQU11 ##

The concept of blind signature was demonstrated by Chaum. In general, Bl_{e, r.}And Bl_{e, r} ^-1 _.Is the signature requester, fb_d ^-1Is calculated by the signer. f_e.Is calculated by the signature verifier. This signing method is called blind because the signer cannot confirm the content x of the data to be signed.
[0022]
The certificate issuing protocol and the certificate presenting protocol in the four units of the black box B, the user device U, the certificate issuer device CP, and the resource manager device RM are shown below. This protocol has the following characteristics.
Each user device U has a unique black box B.
・ Black Box B has multiple secret information (secret key) d_B ^k(K>0) and a plurality of public information (public key) e corresponding to each of them_B ^khave.
[0023]
Certificate C is a specific e_B ^kIt is issued in a form corresponding to. To use certificate C, its private key d_B ^kis required.
Accordingly, the certificate C can be used only by the user apparatus U having the black box B.
When issuing the certificate C, the certificate issuer device CP performs a signature using a blind signature technique. The certificate issuer device CP uses the public key e corresponding to the certificate C signed by itself._B ^k(That is, black box B, user device U) cannot be known.
[0024]
Even if the certificate issuer device CP, the resource manager device RM, and the user device U collide, the secret information d held by the black box B_B ^kCannot be pulled out.
The user device U can always monitor the operation of the black box B, and can prevent unauthorized exchange of information between the certificate issuer device CP or the resource manager device RM and the black box B.
[0025]
-The functions required for the black box B are simple and very simple.
In this protocol, when the same certificate C is presented to a plurality of resource manager devices RM and used, the same key e_B ^kWhen using a plurality of certificates issued in a form related to the user history, there is a possibility that the behavior history and personal information of the user device are grasped within the range in which these certificates are used. However, this is a matter that can be easily solved by the user apparatus itself using a reasonably different certificate and key. Here, since the authentication of the user apparatus U with respect to the black box B is assumed to use an existing personal authentication technique, it is not particularly described in this specification. That is, the black box B has a function of authenticating a regular user by password, fingerprint recognition, iris recognition, or the like.
[0026]
Note that the protocol listed below is based on the above, but in addition to this, a process for confirming the validity of the black box B itself is added.
Note that after the right confirmation process is completed, the user apparatus U can use the resource of the resource manager apparatus RM by using the secure communication technology such as the existing SSL.
Example 1
First, as a basic, a protocol in the case where there are only arbitrary types of certificate contents determined in advance by the certificate issuer CP will be described. In the second embodiment, as an extension of this protocol, a protocol whose contents and number can be changed dynamically and freely will be described.
initial state
Black box B is a key pair (e_B ⁰, D_B ⁰) And a certificate C that guarantees the validity of the black box B correspondingly₀have. User device U is C₀And e_B ⁰know. The certificate issuer device CP makes a key pair (e_CP ^k, D_CP ^k) For each e_CP ^kIs published.
Certificate issuance
Black box B is j-th certificate C_jThe protocol for acquiring is shown below. Here, the suffix y is attached to data necessary to prove the validity of the black box B itself. Black box B is the i-th key pair, C_jIt is used as a key corresponding to.
[0027]
Hereafter, function g_BIs a one-way function of X → X. FIG. 3 shows the flow of processing, FIG. 4 shows the functional configuration of the black box B, FIG. 5 shows the functional configuration of the user device U, and FIG. 6 shows the functional configuration of the certificate issuer device CP.
(1) The user operates the input operation unit 11 of the user device U to select an appropriate certificate C from an existing certificate in the memory 12 that guarantees that “B is valid”._ySelect. Also, the public key e of the certificate issuer device CP corresponding to the certificate to be issued_CP ^lSelect Certificate C_yPublic key e of black box B corresponding to_B ^y(Or y value) and e_CP ^lTo the black box B. The user decides whether to use a new key in this issue. When reusing a key, the public key e of the black box B_B ⁱ(Or the value of i) is also sent to the black box B.
[0028]
(2) Black box B is e_CP ^l, E_B ^y, The key pair (e_B ⁱ, D_B ⁱ) (I>0), a random number r is generated from the random number generation unit 32, and e is sent to the one-way function unit 33._B ⁱEnter g_B(E_B ⁱ) And e_CP ^l, R, g_B(E_B ⁱ) Is input to the blind function unit 34 to obtain the value Z in equation (3).₁Calculate In (1), the user device U is e_B ⁱKey pair (e_B ⁱ, D_B ⁱ) Is newly created by the key generation unit 31 of the black box B. Black box B is key d_B ⁱIs stored in the memory 36 and is not disclosed to anyone.
[0029]
[Expression 12]

Black box B is e_B ^yPrivate key d corresponding to_B ^yUsing Z₁Signature information Z₁ ^ByIs calculated by the signer 35 and Z₁, Z₁ ^By, E_B ⁱ, R to the user equipment U. However, Z₁ ^ByThe signature method used to generate the can be a normal method that does not support blind signatures.
(3) User device U is Z₁, Z₁ ^By, E_B ⁱ, R, information M necessary for receiving certificate issuance as necessary_UCreate Usually M_UThe certificate issuer device CP designates the contents in advance in correspondence with the contents of the issued certificate. User device U is Z₁And Z₁ ^By, M_U, C_y, E_B ^yIs sent to the certificate issuer device CP. At this time e_CP ^lWhich U is sent between U and CP_CP ^lNotification of whether or not the user has selected is made in advance.
[0030]
(4) Certificate issuer CP is Z₁, Z₁ ^ByEtc., Z₁The effectiveness of_B ^y, Z₁ ^ByIs confirmed by the signature verifier 51. E_B ^yIs input to the one-way function unit 52 and g_B(E_B ^y) And C_y, E_CPy ^xIs input to the signature verification function unit 53, and the calculation result and g_B(E_B ^y) Matches with the comparator 54, that is,
[0031]
[Formula 13]

Z by examining whether₁ ^BySigning key d_B ^yThat is, the validity of B is confirmed.
Where e_CPy ^xIs C_yIssuer device CP_yC_yIs a public key corresponding to. E_B ^yBy confirming the validity of_B ^yD paired with_B ^yCheck the validity of.
[0032]
If any of these verifications fail, no certificate is issued and the process ends. Also, the certificate issuer device CP is M_UCheck the effectiveness of. M_UHowever, if the certificate is issued by another certificate issuer device CP, the validity can be confirmed using a certificate presenting protocol. If it is determined that the certificate issuance is appropriate, the certificate issuer apparatus CP calculates the following value by the signature generation function unit 55 and sends it to the user apparatus U.
[0033]
[Expression 14]

(5) Z₁The user apparatus U having received the calculation calculates the following value by the blind decompression function unit 13.
[0034]
[Expression 15]

E_B ⁱG in the one-way function unit 14_B(E_B ⁱ) And C_jAnd e_CP ^lTo the signature verification function unit 15 and f_eCP ^l(C_j)
[0035]
[Expression 16]

The comparator 16 checks whether or not From formulas (1) and (2), the effective C following the regular procedure_jThen, it is clear that the above equation holds. If this validity is confirmed, C_j, E_B ⁱIs stored in the memory 12 as a new certificate.
Certificate presentation
Certificate C_jIs the key d of the certificate issuer device CP that guarantees specific contents._CP ^lSigned with g_B(E_B ⁱIt is easy to check the eligibility for using this certificate. e_B ⁱPrivate key d corresponding to_B ⁱAs long as the black box B can be confirmed. The certificate presentation and usage protocol is shown below (see FIGS. 4 and 7).
[0036]
(1) User U wants to use certificate C_jAnd C_jAnd the corresponding public key e_B ⁱIs presented (transmitted) to the resource manager device RM. Where this certificate C_j, E_B ⁱThe key pair of the certificate issuer device CP corresponding to (e_CP ^m, D_CP ^m). e_CP ^mShould be public.
(2) The resource manager device RM_CP ^mUsing C_jF by the signature verification function unit_eCP ^m(C_j) And e_B ⁱUnidirectional function unit 62_m(E_B ⁱ) And g at the comparator 63_B(E_B ⁱ) = F_eCP ^m(C_j) Is verified. If this verification fails, authentication fails.
[0037]
(3) The resource manager device RM uses the existing public key authentication procedure to set the black box B to e_B ⁱKey d corresponding to_B ⁱThe authentication means 64 and the authentication means 37 in the black box B cooperate with each other to check whether they have This communication is performed with the user apparatus U as an intermediary. If the verification is successful, the certificate issuer device CP is e_CP ^mThe resource manager device RM is convinced that the content corresponding to is guaranteed to the user device U.
Example 2
In the first embodiment, each certificate issuer device CP determines the content to be proved in advance, and the public key (e_CP ⁰, E_CP ¹, ... e_CP ⁿ) (N> 0) must be disclosed. The second embodiment eliminates this condition and guarantees arbitrary contents with one piece of public information.
[0038]
For this purpose, the second embodiment uses the following special blind signature system. When U, X, M, and R are appropriate finite sets, the public key (signature verification key) is e∈U, the private key (signature generation key) is d∈U, the proof content is m∈M, and fb_{d, m} ^-1: X → X is a signature generation function with keys d and m, f_{e, m}: Let X → X be a signature verification function with keys e and m. Where f_{e, m}Is a one-way function unless d is known. Also, Bl_{e, r}, Bl_{e, r} ^-1  Are a blind function and a blind decompression function, respectively. Bl_{e, r}From (x), x and r cannot be distinguished. At this time, the signature system {U, X, f., Fb^-1 _.,Bl., Bl^-1 _.} Satisfies the following expression with respect to x∈X.
[0039]
[Expression 17]

Bl. Is black box B, fb^-1Is the certificate issuer device CP, Bl^-1 _.Are user equipment U or black box B, f. Arbitrary existence is calculated. In the following, an extension of the first embodiment using this signature system will be described.
initial state
Black box B is a key pair (e_B ⁰, D_B ⁰) And a certificate C that proves the validity of the black box B correspondingly₀, M_CP ⁰have. C₀And M_CP ⁰Will be one certificate for both. See below for details. User device U is C₀And M_CP ⁰, E_B ⁰Only know. Also, the certificate issuer device CP has its own public key e_CPIs published.
Certificate issuance
The certificate issuance protocol is the certificate C in the first embodiment._y(C_y, M_CP ^yE)_CP ^lE_CPIt is almost the same as the one replaced by. The flow of this process is shown in FIG. The functional configuration of each device is almost the same as that of the first embodiment.
[0040]
Function g_BIs a one-way function of X → X. g_CPIs M_CPWhen ∈M × M ×... M, m∈M, g_CP: M × M ×... M → M.
(1) The user can select an appropriate certificate C from the existing certificate that guarantees that “B is valid” from the user device._ySelect. C_yBlack box B key e corresponding to_B ^y(Or the value of y) and the public key e of the certificate issuer device CP_CPTo the black box B. The user device U determines whether to use a new key in this issue. When reusing a key, the public key e of the black box B_B ⁱ(Or the value of i) is also sent to the black box B.
[0041]
(2) Upon receiving these, the black box B receives the key pair (e_B ⁱ, D_B ⁱ) (I>0) and e_CPFrom the random number r, the following value Z_ThreeCalculate In (1), the user device U is e_B ⁱIf no key is sent, the key pair is newly created by the black box B. Black box B is key d_B ⁱIs not open to anyone.
[0042]
[Expression 18]

Black box B is e_B ^yPrivate key d corresponding to_B ^yUsing Z_ThreeSignature information Z_Three ^ByAnd Z_Three, Z_Three ^By, E_B ⁱ, R to the user equipment U. However, Z_Three ^ByThe signature method used in can be an ordinary method that does not support blind signatures.
(3) User device U is Z_Three, Z_Three ^ByInformation necessary to receive certificate issuance when receiving etc._UCreate as necessary. Usually M_UThe certificate issuer device CP designates the contents in advance in correspondence with the contents of the issued certificate. User device U is Z_ThreeAnd Z_Three ^By, M_U, C_y, M_CP ^y, E_B ^yTo the CP.
[0043]
(4) Upon receiving these, the certificate issuer device CP receives Z_ThreeIs verified by signature verification and the validity of the black box B is verified. The validity of black box B is f_{eCPy, gCP}(M_CP ^y) (C_y) = G_B(E_B ^y). Where e_CPyIs C_yIssuer device CP_yPublic key. If verification fails, the certificate is not issued and the process ends.
[0044]
CP is M_UCheck the effectiveness of.
If the certificate issuance is deemed appropriate, the certificate issuer device CP guarantees the content (document) M that it guarantees._CPAnd calculate the following values: Certificate issuer CP is the Z_FourAnd M_CPIs sent to the user device U.
[0045]
[Equation 19]

(5) Upon receiving these, the user apparatus U calculates the following values.
[0046]
[Expression 20]

User device U is M_CPM is calculated from f_{eCP, m}(C_j) = G_B(E_B ⁱ). It is clear that the above equation holds when the normal procedure is taken according to equation (6) and the like. If the validity of the certificate is confirmed, C_j, M_CP, E_B ⁱAs a certificate that guarantees new content.
Certificate presentation
The certificate presentation and usage protocol is as follows.
[0047]
(1) User device U wants to prove to resource manager device RM M_CPAnd M_CPAnd certificate C corresponding to this_x, E_B ^xIs presented to the resource manager device RM. C_xThe key of the issuer's device is public, and this is e_CPAnd
(2) The resource manager device RM is e_CPFrom g_B(E_B ^x) = F_{eCP, m}(C_x), M = g_CP(M_CP).
[0048]
(3) The resource manager device RM uses the existing public key authentication procedure to set the black box B to e_B ^xKey e corresponding to_B ^xVerify whether you have This communication is performed with the user apparatus U as an intermediary. If this verification is successful, the certificate issuer device CP_CPThe resource manager device RM is convinced that the contents of the above are guaranteed to the user device U.
Example 3
The first embodiment can be easily realized by using various existing signature methods capable of blind signing and various authentication / signature procedures using a public key. For this realization, it is sufficient to replace each expression in the first embodiment with the corresponding function as it is, and this realization method is clear. Therefore, a specific example is not described here for the first embodiment.
[0049]
For the second embodiment, a function that satisfies the equation (6) is generally not widely known. However, in the following implementation example, the Fiat-Shamir method is used for the authentication and signature part of the black box B, but this part can be replaced with an authentication / signature method using any other public key. Please note that.
Function definition
In the realization example here, the R. S. A method based on A is used, and the method proposed by Fiat et al. Is used for authentication of black box B. However, f. And fb^-1Is extended.
Extended blind signature method
[0050]
[Expression 21]

m^-1And r^-1Can be easily calculated when the greatest common divisor with N (m, N) = (r, N) = 1. (M, N) ≠ 1 or (r, N) ≠ 1 can occur when m or r matches p or q, but this possibility can be ignored if p and q are sufficiently large. . The above equation satisfies equation (6) as follows.
[0051]
[Expression 22]

Power function x^eIt is known that (mod N) has unidirectionality under sufficiently large N and e. However, the unidirectionality of equation (11) is not perfect. When calculation results for a plurality of known m and x with the same e and d are obtained, a special f_{e, m}It is computationally easy to forge. In order to avoid such a selected document attack (chosen-message attack), the implementation protocol described below is devised so that x cannot be operated by the user apparatus U.
Black Box B signature and authentication
Many existing authentication methods can be applied to the signature and authentication of the black box B. Here, a method using the Fiat-Shamir method, which is already used as a personal authentication method with an IC card or the like, is used as an example. In addition to the important feature of zero knowledge, the Fiat-Shamir method has great advantages such as being able to prove multiple contents with a single public information and being able to execute at high speed. However, details of this method will not be described here.
[0052]
The most proposed method of Fiat-Shamir method defines the following public information and secret information.

Unidirectional function g_BAnd g_CP
Unidirectional function g_BAnd g_CPCan each be assigned any existing suitable function. In addition to MD5 and SHA-1, these can be easily realized by using a secret key cryptosystem DES or FEAL. Here, this part will be described without defining a specific example.
initial state
Blacks box B is a key pair ((n_B ⁰, I_B ⁰), S_B ⁰) And certificate C₀, M_CP ⁰, C₀have. These are given in advance by the manufacturer of the black box B. From the characteristics of the Fiat-Shamir method, n_B ⁰May be the same in all black boxes B. Therefore, I_B ⁰Is the production number of the black box B, etc._B ⁰Just embed. C₀Etc. can be issued later. c₀See below for the role of. The user equipment U is (n_B ⁰, I_B ⁰) And C₀, M_CP ⁰, C₀know.
[0053]
Each certificate issuer device CP has a public key (e_CP, M_CP) Is published (N_CPThe certificate is N used by the issuer device CP). Each certificate issuer device CP is an empty issued list L_CPhave. Each time the certificate issuer device CP issues a certificate, it is presented to the user device U as Z_FivePublished list L (see below)_CPRegister with. Maximum registration period is T_CP ^maxAnd the old Z_FiveMay be deleted. Certificate issuer device CP is T_CP ^maxIs published.
Certificate issuance
(1) The user apparatus U selects an appropriate certificate that guarantees the validity of the black box B, and selects the corresponding key (n_B ^y, I_B ^y) (Or y) and the key (e_CP, N_CP) To the black box B. The user device U determines a time T for applying to the certificate issuer device CP for issuing, and T_S<T <T_eAnd T_e-T_S <T_CP ^maxT_SAnd T_eIs sent to the black box B.
[0054]
When using an existing key for issuance (n_B ⁱ, I_B ⁱ) (Or i) is sent to the black box B.
(2) Black box B is n_B ⁱ, I_B ⁱKey pair ((n_B ⁱ, I_B ⁱ), S_B ⁱ) (I>0) and random numbers r, c_jThe following values are calculated from That is, the blind count value is calculated. In (1), the user apparatus U (n_B ⁱ, I_B ⁱ) Is not sent, the key pair is newly created by the black box B. Here, ‖ represents a bond.
[0055]
[Expression 23]

c_jIs g_BThe counter for each black box B may actually be used to guarantee that the input to is always different. Black box B is s_B ^y(Z_Five‖T_s‖T_eSignature information Z)_Five ^ByCreate Z_Five, Z_Five ^By, (N_B ⁱ, I_B ⁱ), R, c_jIs sent to the user device U. The signature method used here is the Fiat-Shamir method.
[0056]
(3) User device U is Z_Five, Z_Five ^ByEtc. Information M necessary for receiving a certificate_UCreate as necessary. User device U is Z_Five, Z_Five ^By, T_s, T_e, M_U, C_y, M_CP ^y, C_y, (N_B ^y, I_B ^y) To the certificate issuer device CP.
(4) The certificate issuer device CP is Z_Five, Z_Five ^ByEtc., Z_FiveAnd T_s, T_eAnd the validity of the black box B is verified. The clock of the certificate issuer device CP is T_sT from time_eCheck if it shows the time in the time range. If it is out of time, no certificate will be issued. Z_FiveIs issued list L_CPAlso make sure that it is not registered with. Certificate issuer device CP is M_UAlso examine the effectiveness of.
[0057]
If the certificate issuance is deemed appropriate, the certificate issuer device CP_FiveL_CPIn addition to the content (document) M that I guarantee_CPAnd calculate the following values: That is, the certificate issuer device CP for calculating the signature generation function value is the Z₆And M_CPIs sent to the user device U.
[0058]
[Expression 24]

(5) User device U is Z₆When the value is received, the following value is calculated. That is, the blind decompression function value is obtained.
C_j= R^-1(Z₆) (Mod N_CP(19)
User device U is M_CPEtc. from m^-1(C_j)^eCP= G_B(N_B ⁱ‖I_B ⁱ‖C_j) (Mod N_CP) Is satisfied, that is, whether the signature verification expression is satisfied, and C_jVerify the effectiveness of. If the validity is confirmed, C_j, M_CP, C_j, (N_B ⁱ, I_B ⁱ) As a certificate that guarantees new content.
Certificate presentation
The certificate presentation and usage protocol is as follows.
[0059]
(1) User device U wants to prove M_CPAnd M_CPAnd C paired with this_x, C_x, (N_B ^x, I_B ^x) To the resource manager device RM.
(2) The resource manager device RM is e_CPAnd N_CPFrom the information from user device U, g_B(N_B ^x‖I_B ^x‖C_x) = M^-1(C_x)^ecp(Mod N_CP) Is satisfied, that is, whether the signature verification expression is satisfied.
[0060]
(3) The resource manager device RM uses the Fiat-Shamir authentication procedure, and the black box B is n_B ^xAnd I_B ^xKey corresponding to_B ^xVerify whether you have This communication is performed with the user apparatus U as an intermediary. However, details of the Fiat-Shamir method are omitted here.
If this verification is successful, the certificate issuer device CP_CPThe resource manager device RM is convinced that the contents of the above are guaranteed to the user device U. In addition, each apparatus in the above can perform each function by reading a program by a computer and performing decoding.
[0061]
【The invention's effect】
As described above, according to the method and apparatus of the present invention, the following effects can be obtained.
(1) Personal information other than information requested by the resource manager device RM does not leak.
(2) Even if an arbitrary number of certificate issuer devices CP and resource manager devices RM collaborate, it is not possible to grasp the entire behavior history of the user (device). In addition, the user (device) can determine the range in which the action can be grasped.
[0062]
(3) The right certificate can be used any number of times.
(4) A user device that does not have a regular black box cannot use a right certificate.
(5) The certificate issuer device CP can prove any number of pieces of information with any content.
[Brief description of the drawings]
FIG. 1 is a diagram showing an example of a user profile.
FIG. 2 is a diagram illustrating communication among a black box, a user device, a certificate issuer device, and a resource manager device.
FIG. 3 is a diagram illustrating a certificate issuance procedure according to the first embodiment.
FIG. 4 is a diagram illustrating a functional configuration of a black box according to the first embodiment.
FIG. 5 is a diagram illustrating a functional configuration of a user apparatus according to the first embodiment.
FIG. 6 is a diagram illustrating a functional configuration of a certificate issuer apparatus according to the first embodiment.
FIG. 7 is a diagram illustrating a functional configuration of a resource manager device according to the first embodiment.
FIG. 8 is a diagram illustrating a certificate issuing procedure according to the second embodiment.
FIG. 9 is a diagram showing a system configuration example targeted by the present invention.

Claims (8)

ユーザ装置がブラックボックスと証明書発行者装置とに結合され、ブラックボックスは誰にも引き出すことができない秘密鍵を記憶したメモリを備え、
証明書発行時に、ユーザ装置は証明書発行者装置の公開鍵をブラックボックスへ送り、
ブラックボックスはブラックボックスの公開鍵ｅ_B ⁱ に対してブラインド処理を行い、その結果と公開鍵ｅ_B ⁱ をユーザ装置に返し、
ユーザ装置は上記ブラインド処理の結果、公開鍵ｅ_B ⁱ を証明書発行者装置へ送り、
証明書発行者装置は、受け取ったブラインド処理結果に対し証明書発行者装置の秘密鍵で署名処理を施し、その署名処理の結果をユーザ装置に返し、
ユーザ装置は、受け取った署名処理の結果に対し、ブラインド解凍処理を行い、その解凍処理結果に対し公開鍵ｅ_B ⁱ を用いて、署名検証を行い、その検証に合格すると、上記解凍処理結果と公開鍵ｅ_B ⁱ を権利証明書とし、
ブラックボックスの上記ブラインド処理は、乱数ｒを生成し、公開鍵ｅ _B ⁱ に対し一方向性関数値ｇ _B （ｅ _B ⁱ ）を求め、その値に対し、証明書発行者装置の公開鍵ｅ _CP と乱数ｒを用いてブラインド関数値

を求めることであり、
ブラックボックスはｒもユーザ装置へ送り、
証明書発行者装置の上記署名処理は、自分が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を求め、ｅ _CP と対をなす秘密鍵ｄ _CP とｍを用いてＺ ₃ に対して署名生成関数値

を求めることであり、
証明書発行者装置はＭ _CP もユーザ装置へ送り、
ユーザ装置の上記解凍処理は、ｅ _CP ，ｒを用い、Ｚ ₄ に対しブラインド解凍関数値

を求めることであり、
上記解凍処理結果に対する署名検証は、Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を求め、ｍとｅ _CP を用いてＣ _j に対して署名検証関数値ｆ _eCP,m （Ｃ _j ）を求め、かつｅ _B ⁱ に対し一方向性関数値ｇ _B （ｅ _B ⁱ ）を求め、これらが等しいかを調べることである
ことを特徴とする権利証明書実現方法。The user device is coupled to a black box and a certificate issuer device, the black box comprising a memory storing a secret key that cannot be derived by anyone;
When issuing a certificate, the user device sends the public key of the certificate issuer device to the black box,
The black box performs blind processing on the public key e _B ⁱ of the black box, returns the result and the public key e _B ⁱ to the user device,
As a result of the blind process, the user device sends the public key e _B ⁱ to the certificate issuer device,
The certificate issuer device performs signature processing on the received blind processing result with the private key of the certificate issuer device, and returns the result of the signature processing to the user device.
User equipment, to the result of the received signature process performs blind decompression process, using the public key e _B ⁱ for that decompression processing results, performs signature verification, to Pass the verification, the decompression processing result and Use public key e _B ⁱ as the right certificate ,
The blind processing of the black box generates a random number r, obtains a one-way function value g _B (e _B ⁱ ) for the public key e _B ⁱ , and uses the public key e of the certificate issuer device for that value. Blind function value using _CP and random number r

Is to seek
The black box also sends r to the user device,
The above signature processing of the certificate issuer apparatus obtains a one-way function value m = g _CP (M _CP ) for the content M _CP guaranteed by itself, and uses the secret keys d _CP and m that are paired with e _CP . Signature generation function value for Z ₃

Is to seek
The certificate issuer device also sends the _MCP to the user device,
The above-described decompression process of the user device uses e _CP , r, and a blind decompression function value for Z ₄

Is to seek
Signature verification for the decompression processing result, M obtains the one-way function value m = g _CP (M _CP) to _CP, m and e _CP signature verification function value f _ECP against C _{j using, m} ( seeking C _j), and e _B ⁱ determined a one-way function value g _B (e _B ⁱ⁾ with respect to the rights certificate implementation method is characterized in that to examine whether they are equal. ユーザ装置は上記権利証明書を資源管理者装置へ送り、
資源管理者装置は受け取った権利証明書に対し、署名検証を行い、その検証に合格すると、公開鍵方式の認証手順を用いてブラックボックスが上記権利証明書の公開鍵ｅ_B ⁱ に対応する秘密鍵を持っているかの確認をユーザ装置を仲介して行い、この検証に成功すれば、その権利証明書の正当性を認めることを特徴とする請求項１記載の権利証明書実現方法。The user device sends the above right certificate to the resource manager device,
The resource manager device verifies the signature of the received right certificate, and if the verification is successful, the black box uses the public key authentication procedure and the secret corresponding to the public key e _B ⁱ of the above right certificate. 2. The method for realizing a rights certificate according to claim 1, wherein whether or not the user has a key is confirmed through a user apparatus, and if the verification is successful, the validity of the rights certificate is recognized. ユーザ装置は既存の権利証明書の一つＣ_y と対応した公開鍵ｅ_B ^y の情報もブラックボックスへ送り、
ブラックボックスはｅ_B ^y と対をなす秘密鍵ｄ_B ^y を用いてＺ₃ の署名情報Ｚ₃ ^Byを作成し、Ｚ₃ ^Byもユーザ装置へ送り、
ユーザ装置はＺ₃ ^By，ｅ_B ^y ，Ｃ_y ，ｃ_y と対応した情報Ｍ_CP ^y も証明書発行者装置へ送り、
証明書発行者装置は、Ｚ₃ の有効性をＺ₃ ^Byを用いて確認し、かつＭ_CP ^y に対し一方向性関数値ｍ^y ＝ｇ_CP（Ｍ_CP ^y ）を求め、Ｃ_y の証明書発行者装置の公開鍵ｅ_CPy と、ｍ^y を用いてＣ_y に対し署名検証関数値ｆ_eCPy,m ^y （Ｃ_y ）を求め、またｅ_B ^y に対し一方向性関数値ｇ_B （ｅ_B ^y ）を求め、これらが等しいかを調べて、Ｚ₃ ^Byの署名鍵ｄ_B ^y の正当性を確認し、これら検証に合格すると署名生成処理を行う
ことを特徴とする請求項１または２記載の権利証明書実現方法。The user equipment also sent to the black box information of the public key e _B ^y, which corresponds to one C _y of existing rights certificate,
Black box creates the signature information Z ₃ ^{By A} of Z ₃ using the private key d _B ^y forming the e _B ^y pair, Z ₃ ^{By A} also sends to the user equipment,
The user equipment ^{_{Z 3 By, e B y,}} C y, the information M _CP ^y corresponding with c _y be sent to the certificate issuer apparatus,
Certificate issuer device, the validity of Z ₃ confirmed using Z ₃ ^{By A,} and with respect to M _CP ^y determine the one-way function value ^{_{m y = g CP (M CP}} y), proof of C _y the public key e _CPy book issuer apparatus, C _y to the signature verification function value f _ECPy using m _{^y, m} seeking _^y (C ^y), also e _B ^y to one-way function value g _B ( seeking e _B ^y), and checks whether they are equal, Z ₃ validates the ^by the signature key d _B ^y, or claim 1 and performs to pass these verify the signature generation process 2. The method for realizing a right certificate according to 2 . 秘密鍵ｄ、公開鍵ｅとし、Ｎ＝ｐ×ｑ（ｐ，ｑ素数）をｅ，ｄに対応する公開情報、ｅ×ｄ（mod ＬＣＭ（ｐ−１，ｑ−１））＝１（ＬＣＭ（ａ，ｂ）は整数ａ，ｂの最小公倍数を表わす）、ｘ＜Ｎでｘ^de＝ｘ（mod Ｎ）とし、秘密情報ｓ、公開情報Ｉ＝ｓ² （mod ｎ）、ｎ＝ｐ×ｑ、Ｉ（任意の識別情報）とし、
上記公開鍵ｅ_CPとして（ｅ_CP，Ｎ_CP）が用いられ、
秘密鍵ｄ_B ⁱ として、ｓ_B ⁱ が、公開鍵ｅ_B ⁱ として（ｎ_B ⁱ ，Ｉ_B ⁱ ）が用いられ、
ブラックボックスは乱数ｃ_j も生成し、上記ブラインド関数値Ｚ₃ はｒ^ecp ｇ_B （ｎ_B ⁱ ‖Ｉ_B ⁱ ‖ｃ_j ）（mod Ｎ_CP）であり、（ａ‖ｂはａとｂの結合を表わす）、ｃ_j もユーザ装置へ送り、
上記署名生成関数Ｚ₄ は（ｍＺ₃ ）^dCP （mod Ｎ_CP）であり、上記ブラインド解凍関数値Ｚ_j はｒ^-1（Ｚ₄ ）（mod Ｎ_CP）であり、
上記署名検証関数値はｍ^-1（Ｃ_j ）^eCP （mod Ｎ_CP）であり、これと比較する一方向性関数値はｇ_B （ｎ_B ⁱ ‖Ｉ_B ⁱ ‖ｃ_j ）（mod Ｎ_CP）であり、権利証明書にＣ_j も加えることを特徴とする請求項１または２記載の権利証明書実現方法。The secret key d and the public key e are used, and N = p × q (p, q prime number) is public information corresponding to e and d, e × d (mod LCM (p−1, q−1)) = 1 (LCM (A, b) represents the least common multiple of integers a, b), x <N, x ^de = x (mod N), secret information s, public information I = s ² (mod n), n = p × q, I (arbitrary identification information),
(E _CP , N _CP ) is used as the public key e _CP .
S _B ⁱ is used as the private key d _B ^{i and} (n _B ⁱ , I _B ⁱ ) is used as the public key e _B ⁱ .
The black box also generates a random number c _j , and the blind function value Z ₃ is ^{re ecp} g _B (n _B ⁱ ‖I _B ⁱ ‖c _j ) (mod N _CP ), where (a ‖ b is a and b represents a bond), c _j is also sent to the user equipment,
The signature generation function Z ₄ is (mZ ₃ ) ^dCP (mod N _CP ), the blind decompression function value Z _j is r ⁻¹ (Z ₄ ) (mod N _CP ),
The signature verification function value is m ⁻¹ (C _j ) ^eCP (mod N _CP ), and the one-way function value to be compared is g _B (n _B ⁱ ‖I _B ⁱ ‖c _j ) (mod N _CP 3. The right certificate realizing method according to claim 1, wherein C _j is also added to the right certificate. ユーザ装置は証明書発行者装置に証明書発行を申請する時刻Ｔに対しＴ_s ＜Ｔ＜Ｔ_e かつＴ_e −Ｔ_s ＜登録期間最大値Ｔ_CP ^max を満すＴ_s ，Ｔ_e もブラックボックスへ送り、またブラックボックスの正当性を保証する証明書の一つＣ_y と対応する公開鍵（ｎ_B ^y ，Ｉ_B ^y ）と対応する情報もブラックボックスへ送り、
ブラックボックスは（ｎ_B ^y ，Ｉ_B ^y ）と対をなす秘密鍵ｓ_B ^y で（Ｚ₃ ‖Ｔ_s ‖Ｔ_e ）に対する署名情報Ｚ₅ ^Byを作成し、Ｚ₅ ^Byもユーザ装置へ送り、
ユーザ装置はＺ₅ ^By，Ｔ_s ，Ｔ_e ，Ｃ_y ，Ｍ_CP ^y ，ｃ_y ，（ｎ_B ^y ，Ｉ_B ^y ）も証明書発行者装置へ送り、
証明書発行者装置はＺ₃ ，Ｔ_s ，Ｔ_e の有効性をＺ₅ ^Byを用いて確認し、またブラックボックス（ｓ_B ^y ）の正当性をＭ_CP ^y ，（ｎ_B ^y ，Ｉ_B ^y ），Ｃ_y ，ｃ_y の証明書発行者装置の公開鍵（ｎ_CP ^y ，Ｉ_CP ^y ）を用いて確認し、証明書発行者装置の時計の時刻がＴ_s とＴ_e の間であることを確認し、Ｚ₃ が発行済リストに登録されていないことを確認し、これらの確認に全て合格すると上記署名生成処理を行い、かつＺ₃ を発行済リストに加える
ことを特徴とする請求項４記載の権利証明書実現方法。Time T for T _s user equipment to apply for a certificate issued to certificate issuer apparatus <T <T _e and T _e -T _s <registration period maximum value T _CP ^max the full to T _s, T _e is also black feeding the boxes, also a public key ^{_{(n B y, I B y}} ) and the corresponding one C _y certificate to guarantee the validity of the black box is also information corresponding to the feed to the black box,
Black box creates the signature information Z ₅ ^{By A} for ^{_{(n B y, I B y}} ) with a secret key s _B ^y paired with _{(Z 3 ‖T s ‖T e)} , Z 5 By also sent to the user equipment ,
The user device ^{_{Z 5 By, T s, T}} e, C y, M CP y, c y, feed ^{_{(n B y, I B y}} ) to be the certificate issuer apparatus,
Certificate issuer apparatus Z _3, T _s, T the validity of _e confirmed using Z ₅ ^{By A,} also M _CP ^y the validity of the black box ^{_{(s B y), (n}} B y, I B _^y), C ^y, public key (n _CP ^y of the certificate issuer apparatus of c _y, confirmed using the I _CP ^y), between the time of the clock of the certificate issuer device of T _s and T _e It is confirmed that Z ₃ is not registered in the issued list, and if all these checks are passed, the signature generation process is performed, and Z ₃ is added to the issued list. The method for realizing a right certificate according to claim 4 . ユーザ装置からの依頼により権利証明書を発行する証明書発行者装置であって、
秘密鍵、公開鍵などを記憶するメモリと、
ユーザ装置から受け取ったブラインド処理結果Ｚ₁ に対し、証明書発行者装置の秘密鍵で署名を行う署名手段と、
その署名結果Ｚ₂ をユーザ装置へ送る手段と
ユーザ装置から受け取ったＺ₁ とその署名情報Ｚ₁ ^ByからＺ₁ の有効性を検証する署名検証手段と、
ユーザ装置から受け取った権利証明書Ｃ_y に対し、その証明書発行者装置のＣ_y と対応する公開鍵ｅ_CPy を用いて署名検証関数値ｆ_eCPy（Ｃ_y ）を計算する署名検証関数器と、
ユーザ装置から受け取ったＣ_y と対応する公開鍵ｅ_B ⁱ に対し一方向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向性関数器と、
計算値ｆ_eCPy（Ｃ_y ）とｇ_B （ｅ_B ⁱ ）を比較して等しければ合格とする比較器と、
上記署名検証手段が検証に合格し、かつ上記比較器が合格すると上記署名を行わせる手段とを具備し、
上記署名手段は、証明書発行者装置が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を計算する一方向性関数器と、上記ブラインド処理結果Ｚ ₁ に対し、証明書発行者装置の秘密鍵ｄ _CP と上記ｍを用いて署名生成関数値

を計算する署名生成関数器とよりなり、
上記送る手段はＭ _CP も送ることを特徴とする証明書発行者装置。A certificate issuer device that issues a right certificate in response to a request from a user device,
A memory for storing private keys, public keys, etc.
A signing means for signing the blind processing result Z ₁ received from the user device with the private key of the certificate issuer device;
Means for sending the signature result Z ₂ to the user device, Z ₁ received from the user device, and signature verification means for verifying the validity of Z ₁ from the signature information Z ₁ ^By ;
To claim certificate C _y received from the user equipment, a signature verification function unit for calculating a signature verification function value _f eCPy (C _y) using the public key e _CPy corresponding to C _y of the certificate issuer apparatus ,
A one-way function unit to the public key e _B ⁱ corresponding to the C _y received from the user equipment to calculate the one-way function value g _B (e _B ^i),
A comparator that compares the calculated values f _eCPy (C _y ) and g _B (e _B ⁱ ) and makes a pass;
The signature verification means passes verification, and if the comparator passes, means for performing the signature ,
The signing means includes a one-way function unit for calculating a one -way function value m = g _CP (M _CP ) for the content M _CP guaranteed by the certificate issuer device , and the blind processing result Z ₁ . certificate issuer device signature generation function value using the private key d _CP and the m of

And a signature generation function unit that calculates
Said sending means certificate issuer and wherein the sending also M _CP. ユーザ装置からの依頼により権利証明書を発行する証明書発行者装置であって、
秘密鍵、公開鍵などを記憶するメモリと、
証明書発行者装置が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を計算する一方向性関数器と、ユーザ装置から受け取ったブラインド処理結果Ｚ ₁ に対し、証明書発行者装置の秘密鍵ｄ _CP と上記ｍを用いて署名生成関数値

を計算する署名生成関数器と、
ユーザ装置から受け取ったＺ₁ とその署名情報Ｚ₁ ^ByからＺ₁ の有効性を検証する署名検証手段と、
ユーザ装置から受け取ったＭ_CP ^y に対し一方向性関数値ｍ^y ＝ｇ_CP（Ｍ_CP ^y ）を計算する一方向性関数器と、
Ｃ_y の証明書発行者装置の公開鍵ｅ_CPy,m ^y を用いてＣ_y に対し署名検証関数値ｆ_eCPy, _m ^y （Ｃ_y ）を計算する署名検証関数器と、
ユーザ装置から受け取ったｅ_B ^y に対し一方向性関数値ｇ_B （ｅ_B ^y ）を計算する一方向性関数器と、
上記計算値ｆ_eCPy, _m ^y （Ｃ_y ）とｇ_B （ｅ_B ^y ）とを比較する比較器と、
上記署名検証手段の検証が合格し、かつ上記比較器の比較が一致であれば上記署名を実行させる手段と
上記署名結果Ｚ ₂ 及び上記Ｍ _CP をユーザ装置へ送る手段と
を具備することを特徴とする証明書発行者装置。A certificate issuer device that issues a right certificate in response to a request from a user device,
A memory for storing private keys, public keys, etc.
A one-way function unit for calculating the one-way function value m = g _CP (M _CP) to the content M _CP certificate issuer device is guaranteed to blind processing result Z ₁ received from the user device, demonstrated Signature generation function value using secret key d _CP of certificate issuer device and m above

A signature generation function unit for calculating
Signature verification means for verifying the validity of Z ₁ received from the user device and the signature information Z ₁ ^By to Z ₁ ;
A one-way function unit for calculating the one-way function value ^{_{m y = g CP (M CP}} y) with respect to M _CP ^y received from the user device,
C public key e _CPy of _y of the certificate issuer _apparatus, signatures to C _y with _m ^y verification function value f _ECPy, a signature verification function unit for calculating the _m ^y (C _y),
A one-way function unit for calculating the one-way function value g _B (e _B ^y) with respect to e _B ^y received from the user device,
The calculated value f _ECPy, and _{m ^y} (C ^y) and g _B (e _B ^y) a comparator for comparing,
Means for executing the signature if the verification of the signature verification means passes and the comparison of the comparator is coincident;
The signature result Z ₂ and certificate issuer apparatus characterized by comprising a means for sending the M _CP to the user equipment. ユーザ装置から送られた権利証明書Ｃ_j ，上記証明書発行者装置が保証する内容Ｍ_CP，上記権利証明書Ｃ _j に対応するｅ_B ⁱ を検証する資源管理者装置において、
公開鍵を記憶するメモリと、
上記Ｍ_CPに対し一方向性関数値ｍ＝ｇ_CP（Ｍ_CP）を計算する一方向性関数器と、
上記Ｃ_j の証明書発行者装置の公開鍵ｅ_CPと上記ｍとを用い、Ｃ_j に対し署名検証関数値ｆ_eCP,m （Ｃ_j ）を計算する署名検証関数器と、
上記ｅ_B ⁱ に対して一方向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向性関数器と、
上記計算値ｆ_eCP,m （Ｃ_j ）とｇ_B （ｅ_B ⁱ ）を比較して一致すれば合格を出力する比較器と、
ユーザ装置ごとのブラックボックスが上記ｅ_B ⁱ と対応した秘密鍵ｄ_B ⁱ を秘密に保持していることを、公開鍵方式の認証手順によりユーザ装置を仲介して確認する認証手段と、
上記比較器が合格を出力し、かつ上記認証手段が検証に成功すれば、上記権利証明書のＭ_CPの内容を証明書発行者装置が保証していると判定する手段と、
を具備することを特徴とする資源管理者装置。In the resource manager device that verifies the right certificate C _j sent from the user device, the content M _CP guaranteed by the certificate issuer device , and e _B ⁱ corresponding to the right certificate C _j ,
A memory for storing the public key;
A one-way function unit for calculating a one-way function value m = g _CP (M _CP ) for the above-mentioned M _CP ;
Using the public key e _CP and the m of the certificate issuer apparatus of the C _j, C _j to the signature verification function value f _ECP, a signature verification function unit for calculating the _m (C _j),
A one-way function unit for calculating the one-way function value g _B (e _B ⁱ⁾ with respect to the e _B ^i,
A comparator that compares the calculated values f _{eCP, m} (C _j ) and g _B (e _B ⁱ ) and outputs a pass if they match,
An authentication means for confirming that the black box for each user device secretly holds the secret key d _B ⁱ corresponding to the e _B ⁱ by means of a public key method authentication procedure;
Means for determining that the certificate issuer device guarantees the content of the _MCP of the right certificate if the comparator outputs success and the authentication means succeeds in verification;
A resource manager device comprising:

Images