JPH0353367A - 分散型情報処理システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、秘密情報に係る演算を秘密情報を漏らさずに
捕助装置を用いて分散処理し、更に検算機能も備えた分
散型情報処理システムに関する。

（従来の技術） 社会の情報化・ネットワーク化の進展により我々の生活
や仕事はより効率化され、便利になりつつある。しかし
その一方で情報の悪用やプライバシーの侵害など新たな
問題もクローズアップされている。プライバシーを保護
するためには、ネットワークを介して様々なサービスが
提供されるとき、そのサービスを受けようとする個人が
サービス提供者に対して自分の秘密を漏らすことなくサ
ービスを受けるという技術が重要となってくると考えら
れる。例えばプライバシーを守ることを第一とするなら
ば、データベースの検索では個人がどのデータにアクセ
スしたのかはサービス提供者に分らないほうが良い。ま
たコンピュータの協同利用の場合にはユーザが何を計算
したのかハコンピュータの提供者に分からせる必要も本
来ない。

この様な“秘密を漏らさずにサービスを受ける方法“を
論じた文献としては例えば、「秘密を漏らさずにサービ
スを依頼する方広について」　（松本今井：　１９ｇ９
年暗号と情報セキュリティシンポジウム資料１１−Ｌ　
Ｌ９８９年２月）がある。具体的にはＲＳＡ公開鍵暗号
の変換を秘密情報やメッセージ内容を演算装置に漏らさ
ずに実行するものや行列ＡＢの内容を漏らさずにその積
を計算する方法や線形方程式の根を相手に知られないよ
うにしながら｝ｎ手の力をｆΔりて求める方法などが提
案されている。これらのうち、その特徴が最も端的に分
かるものとして、ＲＳＡ暗号の変換を行う依頼計算方式
を説明する。

ＲＳＡ暗号はｌ９７８年にＲｌｖｅｓＬ等によって提案
された公開鍵暗号である（文献：　Ｒ．Ｌ．　Ｒｌｖｃ
ｓｔ，Ａ．　Ｓｈａｍｌｒ　ａｎｄ　Ｌ．　Ａｄｌｍａ
ｎ：″＾ｍｅｔｈｏｄ　ｏｒ　ｏｂｔａｉｎｉｎｇｄｉ
ｇｉｔａｌ　Ｓ１ｇｎａｔｕｒＯＳ　ａｎｄ　ｅｒｙｐ
ｔｏｓｙｓｔｅ＋ｍｓ″．　Ｃｏｔａｎ．　ｏｆ　ＡＣ
ｊ４，　ｐｐ．ｌ２０−１２６”）。ＲＳＡ暗号では暗
号化の鍵として正の整数ｅとｎを用い、復号化の鍵とし
て同じく正の整数ｄとｎを用いる（但し、ｎは大きな二
つの索数ｐ，ｑの積である）。これら鍵情報の具体的選
び方は前記文献を参照することで知ることができる。平
文Ｓと暗号文Ｍは共に公開の法ｎ未満の整数である。暗
号化は次のようにして行う。

Ｍ−３８ｓｏｄ　　ｎ　　　　　　　（１）また、復号
化は次のようにして行う。

ｄ Ｓ＝Ｍ　　　Ｉｌｏｄｎ　　　　　　（２）ＲＳＡ暗号
は以上のような手続きで実現されるが、ここでこの暗号
の要点を整理すると、［Ａ］各人ごと異なる公開鍵ｅ，
ｎはリストのような形で公開されており、だれでもアク
セスできる。

［Ｂコｌｅａ（ａ，ｂ）をａとｂの最小公倍数とすると
き、秘密鍵ｄ，　　ｐ．Ｑ，　　λ（ｎ）−１ｅＩＩｌ
（ｐ−１，ｑ−１）は個人の秘密であり、他人に知られ
ないように十分注意する必ザがある。

［Ｃ］暗号化機能のほかに署名機能がある。

［Ｄ］ＲＳＡ暗号の安全性を保障するためには秘密鍵ｐ
，ｑの桁数を各々十進百桁程度の大きさに選ぶ必要があ
る。ｎはこの場合十進二百桁程度の数になり、ＲＳＡの
暗号化・復号化変換は膨大な処理量の計算となる。

ところで、多くの人が加入するネットワークでＲＳＡ暗
号の利点を最大限に引き出せる運用法としては、各人に
個別に鍵を発行して、可搬の記憶媒体にその鍵を記憶さ
せ、それを各自が持ち歩くのがよい。このとき上記ＣＢ
］に述べた点は運用上非常に重要である。［Ｂ］の条件
を満足させることのできる個人の秘密鍵の格納媒体とし
ては、ＣＰＵとメモリを内蔵させたＩＣカードが最適で
ある。しかしながら実際にＩＣカードを利用したＲＳＡ
暗号のシステムを構築しようとすると次のような二つの
問題が生ずる。

ＩＣカードに鍵を格納した場合、上記［Ｂ］の要求から
、理想的にはＩＣカード内でＲＳＡの復号変換および署
名作成を行うのが良い。ＩＣカードにはパスワード照合
によるアクセス制御機能があるので、ＩＣカード内で変
換を行えばｄ，ｐ，ｑ，λ（ｎ）がＩＣカード外に漏れ
る心配はまず無くなるからである。しかしながら現状で
は上記［Ｄ］に述べた事およびＩＣカードの計算力不足
が理由でＲＳＡ暗号の変換をＩＣカードで行った場合に
、実用上十分な処理速度を達成することができない。ま
た、ＲＳＡ専用の高速演算ＬＳＩをＩＣカードに実装す
ることも考えられるが、力一ドコストの増大は避けられ
ない。

一方、ＩＣカードを単にアクセス制御機能のある、鍵メ
モリとして利用することは容易である。

手間のかかる暗号変換は計算能力の高いＩＣカード外の
装置、例えば端末に行わせることによって実用的な処理
速度を達成可能である。しかしこの場合にはｄを端末に
渡すことになるので、端末装置の設計および維持管理に
十分な注意を怠ると、端末経由でｄが他人に漏れる恐れ
がある。また偽の端末によって知らぬ間にｄを盗まれる
かもしれない。

この様な二つの問題点を解決する方法として、端末には
秘密鍵ｄに関する情報を漏らさずに、端末の計算力のみ
を借りてＩＣカードで効率良くＲＳＡの暗号変換を行え
る依頼計算法が前記文献「秘密を漏らさずにサービスを
依頼する方法について」ばか幾つかの文献に開示されて
いる。また、ＲＳＡ暗号に対する別の依頼計算法が「Ｉ
Ｃカードシステムにおける依頼計算」　（川村、新保、
平成元年電子悄報通信学会巻季全国大会、１９８９年、
３月）に開示されている。

依頼計算において、計算依頼側をＩＣカード、計算請負
側を端末とする場合のシステム構成例を示す。まず、装
置の全体概要は、第４図に示すように、秘密情報を処理
する装置１に少なくとも一つの演算補助を行わせる補助
装置２−１．２−２・・・２−３を適宜通信線３を介し
て接続したような形となる。具体的な装置構成としては
、第５図に示すように、袖助装置としてディスプレイ装
置４及びキーボード５、ＩＣカード６のリーダ●ライタ
７、フロッピィディスク８の挿入口などを備えた端末９
を用い、ＩＣカ一ド６との間で情報交換を行う例が挙げ
られる。この例でのＩＣカード６は、第６図に示すよう
に、その内部に、ＣＰＵＩＯと、これに接続されるＥ２
ＦＲＯＭで構成されるところのデータメモリ１１と、プ
ログラムメモリ（ＲＯＭ）１２と、接触式のＩ／０１３
を備えた例である。本例では、このＩＣカード６に秘密
情報が保持されている。一方、前記端末９は、第７図に
示すように、内部データバス１４に、第１、第２の通信
ポートｌ５，１６と、フロッピィディスクドライバ１７
と、キーボードＩ／０１８と、ディスプレイコントロー
ラ１９と、中央処理装置（ＣＰＵ）２０と、メインメモ
リ２１を接続して構成される。各部材には前述の各部材
４，５．７．８が適宜接続されている。

ＩＣカードを使用する際の上記端末９の制御処理の代表
例を示したのが第８図である。まず、ユーザは端末９に
向かい、ステップ８０１でＩＣカード６をリーダ・ライ
タ７に挿入すると、ステップ８０２でＩＣカード６の初
期化が行われ、ステップ８０２でユーザにパスワードの
要求がなされる。所定時間内にパスワードの入力がない
場合にはステップ８０５で時間切れが判定され、処理が
中断される。一方、ステップ８０４．８０６でバスワー
ドが入力されると、ユーザが入力したバスワードはステ
ップ８０７，８０８でＩＣカード６内に記憶されている
登録パスワードと比較され、一致すればＩＣカード６は
使用可能状態となるが、一致しない場合にはＩＣカード
６は使用不能である。これ以後ユーザはコマンドの形で
端末９に指示を与えて（ステップ８０９〜８１１）、依
頼計算を行うことができる。

次に、具体的な依頼計算方式として、上述した「秘密を
漏らさずにサービスを依頼する方法について」　（松本
、今井：　１９８９年暗号と情報セキュリテイシンポジ
ウム資料１１−１，　１９８９年２月）による依頼計算
法を第９図を用いて説明する。この依頼計算法は、ＩＣ
カードが端末の力を借りて、メッセージＸと秘密鍵ｄか
らＲＳＡの署名ｙｄ （−ｘｍｏｄｎ）を作るアルゴリズムである。

ＩＣカードは、ステップ９０１で秘密鍵ｄを次式のよう
に分解する。

ｄ−ｆ１ｄｌ＋ｆ２ｄ２＋・・・ ＋　ｆ　　　ｄ　　　　　　ｓｏｄ（ｐ−１）ＭＭ ｄ　””　ｇ　ｒ　ｄ　ｔ　十ｇ　２　ｄ　２　＋　”
’＋　ｇ　Ｍｄ　Ｍｌｌｏｄ　（　Ｑ−　１　）但し、
ｆ．とｄ１は整数で、 １ Ｆ−［ｆ　　　．ｆ　　　．・・・，ｆＭ］　Ｇ−［ｇ
１ｌ２ ｇ２　，・・・．ｇ）４］、Ｄ−　［ｄ１　．ｄ２　．
・・・ｄＭ］とする。続いて、メッセージＸとＤを端末
に送る。

端末はステップ９０５でＤを受信したら、ステップ９０
６で次式の２１を計算する。

ｚ　　−ｘ’λｓｏｄ　ｎ ｌ ステップ８０７でＺ　−　［ｚ　　　．ｚ　　　．−，
　　ｚＭ］ｌ２ をｔＣカードに送信する。

ＩＣカードはステップ９０２でＺを受信したら、ステッ
プ９０３で次式を計算する。

１−１ Ｈ １−１ 次に、中国剰余定理を用いて、ｙ　Ｓｙ　からｐｑ 署名ｙを得る（ステップ９０４）。

以上の様な方式を使用すると、ＩＣカードの秘密を漏ら
さずに端末の力を借りて高速に処理をすることができる
が、外部装置は必ずしも信用できないことや外部装置と
の間の通信情報を第三者が改ざんするかもしれないと言
う前提の下では、依頼元（ＩＣカード）は請負側（端末
）の不正や通信情報の第三者による改ざんを検出できな
ければ、依頼計算の有効性そのものが疑わしくなる。こ
のような問題点を解決する方法が、ｒＲＳＡ暗号の依頼
計算における検算問題について」　（新保５川村、電子
情報通信学会技術研究報告Ｖｏｌ．８９　　ｋ４５）お
よび「検算可能な依頼計算」　（松本，今井、電子情報
通信学会技術研究報告Ｖｏｌ．８９　　Ｎｏ．４５）に
開示されている。

次に、前記論文の検算の手広を三つに分類し（■逆変換
を利用する方式、■逆変換は利用せず検算も依頼計算す
る方式、■逆変換も依頼計算する方式）　　　ＩＣカー
ドが使用可能となったときに実行される依頼計算と検算
の処理を、第１０図〜第１２図を用いて説明する。

第１０図は逆変換を用いて検算をする例である。

計算依頼元は、第一処理部２２で入力情報Ｘに秘密情報
ｋを与え、請負側の処理部２３の補助を請けつつｙ　＝
　ｆ　ｋ（Ｘ）を演算し、次いで、第二−１ 処理部２４でｘ’−ｆ　　　（ｙ）を求め、比較部ｋ ２５でＸ′と入力情報Ｘとを比較して、処理結果を検算
する。従って、比較部２５で入力情報Ｘと逆変換により
得られる情報Ｘ′とを比較して演算結果ｙを確認するの
で、依頼計算を真に有効なものとすることができる。し
かし、この方法は、逆−ｌ 変換ｆ　　の計算量が多い場合には計算依頼元にｋ とって検算のための負担が大きくなるので、よいアルゴ
リズムとはいえない。

第１１図は、逆変換の処理を用いずに、請負側に検算の
処理も依頼する例である。

計算依頼元は、第一処理部２６で入力情報Ｘに秘密情報
ｋを与え、請負側の処理部２７の補助を請けつつｙ−ｆ
（ｘ）を計算して結果ｙ１を得ｋ る。次に、依頼元及び請負側の第二の処理２８，２つを
用いて結果ｙ　を得る。依頼元の比較部３２ ０でｙ　とｙ　を比較し、一致していれば結果はｌ２ 正しいものとみなし、一致しなければ結果は正しくない
ことを検出する。

第１１図で説明した一般的な構成の具体例として、ＲＳ
Ａ暗号の署名生成について説明する。本例のべき乗剰余
計算の依頼計算は、端末９の処理が正しく行われたかど
うか確認し、正しく行われなかった場合にはそれを検出
する手順を含む。本方式の基本アイディアは、依頼計算
プロトコノレ１；用いる鍵の分割子を複数用意しておき
、異なる分割子で求めた署名が一致することを利用して
確認する点である。

まず、計算の依頼元をＩＣカード６、請負側をＩＣカー
ド６より演算力の大きい端末つとする。

ＩＣカ一ド６には固有の秘密鍵ｄが記憶されている。ま
た公開鍵であるｅと法であるｎは計算の依頼側、請負側
共に知っている。

まず、ＩＣカードは、秘密鍵ｄを（３）　−１，（３）
−２，（３）−３，（３）−４式のように分解する。こ
の処理はＩＣカード自身が行っても良いし、鍵の発行手
続きとしてセンタが行い、ＩＣカード内に秘密に格納す
るようにしても良い。

ｄ＝ｓ　　＋ｆ　　ｓ　　＋ｆ　２ｓ　２＋−ｏｐ　　
　Ｌ　　Ｉ ＋ｆ　　ｓ　　Ｉｌｏｄ　（ｐ−１）　　　（３）　−
１ｍＩ１ ｄ−ｓ　　＋ｅ　　ｓ　　十ｅ　２ｓ　　，，＋−゛ｏ
ｑ　　　ｌ　　ｌ 十ｅ　　ｓ　　ｍｏｄ　（ｑ−１）　　　（３）　−２
ｍＩＩ！ ｄ−ｔｏｐ　＋　ｇ　　ｔ　ｔ　　ｔ　＋　ｇ　　２　
ｔ　　２＋・・・＋ｇ　　ｔ　　膓ｏｄ　（ｐ−１）　
　　（３）　−　３ｍ　　　　国 ｄ”ｔｏ９＋ｈ　　ｔｔ　　ｌ十ｈ　　２ｔ　　，，＋
−゛゜＋ｈ　　ｔ　　ｎ＋ｏｄ（’１−１）　　　（３
）　−４ｍ　　　　ｍ 但し、Ｓ　　％Ｓ　　ｓｔ　　％”　　は小さい値であ
ｏｐ　　　　　ｏｑ　　　　　ｏｐ　　　　　ｏｑる。

Ｆ−［ｆ　　，ｆ　　，・・・　，ｆ　〕．Ｅ−［ｅ１
１　　　　　　２　　　　　　　　　　ｍ．ｅ２．・−
−．ｅ，コ，Ｄ−［ｓｌ，ｓ２，−＝Ｓ　　　　　コ　
　，Ｇ−［ｇ＋ｇ．　　・・・　　　．ｇ］．Ｈ−ａ　
　　　　　　　　　　　　　ｌ　　　　　　２　　　　
　　　　　　ｔＡ［ｈ　　　，ｈ　　　．・・・　，ｈ
　　］Ｄ−［ｔｌ．ｔ２１　　　　　２　　　　　　　
　１１　　　　　　２・・・　，ｔ　コ，ｓ　　，ｓ　
　，ｔ　　，ｔ　　を鍵ｄの分ｆｆｉ　　　　　　　　
Ｏｐ　　　　　Ｏｑ　　　　　Ｏｐ　　　　　Ｏｑ割子
と呼ぶ。

これらのｄ，Ｅ，Ｆ，Ｇ，Ｈ，ｓ　　，ｓ　　，ｏｐ　
　　　　ｏｑ １　　，１　　はＩＣカードの秘密情報となる。ここｏ
ｐ　　　　　ｏｑ に示したＩｄの分割はＲＳＡ−Ｓ２プロトコル（松本、
今井、”Ｈｏｗ　ｔｏ　ａｓｋ　ｓｅｒｖｉｃｅｓ　ｗ
ｉｔｈｏｕｔｖｉｏｌａｔｉｎｇ　ｐｒｉｖａｃｙ”，
　１９８９年暗号と情報セキュリティシンポジウム予稿
集、■９８９年２月）の方法を改良したものである。

この鍵の分割を利用した依頼計算プロトコルは第１２図
に示す通りである。

■ＩＣカードはＤ１を端末に送る（ステップ１２０１）
　　。

■端末は、ステップ１２１０で分割子Ｄ１を受信し、ス
テップ１２１１で（４）式のＺ，（１５ｉ≦ｍ）を計算
し、ステップ１２１２でこれをまとめたＺ″″［　ｚ　
１　　・ｚ２ に送る。

・・・，Ｚ　　］をＩＣカード ｍ ｚｌ−ｘ”　　ｔｓｏｄ　ｎ　　　　　　（４）■ＩＣ
カードは、ステップ１２０２でこのＺｔを受信し、ステ
ップ１２０３で（５）−１式と（５）　−２式のＹ１ｐ
とＹｌｑを計算する。次に、このｙ　，ｙ　と中国剰余
定理からｙ１ｔｐ　　　　ｔｑ を求める。

一 ｒ４ ｙ＝（ｒＩｚ、　　　ｓｏｄ　ｐ　）　　・ｘ””　ｍ
ａｄｔｐ　　　　　　　　　１ １−１ −ＸｄＩＩｏｄ　ｐ　　　　　　　　　（５）　−　１
麿 ”　　ｍｏｄ　ｑ　）　　・ｘ”　　ｍａｄｙｌｑ″″
（　ｒＴ　　ｚ　ｌ １−１ −Ｘ’　ｓｏｄ　ｑ　　　　　　　　　（５）　−　２
■続いて、ｄをステップ１２０４のように分割して、Ｄ
２を端末へ送信する。

■端末９側では、ステップ１２１３でＤ２を受信後、ス
テップ１２１４で、 Ｗ，　−ｘ’　Ｉｌｏｄ　ｎ　　（１≦ｉ≦ｍ’）の計
算をし、ステップ１２１５で、Ｗ一［Ｗ　　，Ｗ　　，
・・・，Ｗ　−］を求め、これを１　　　２　　　　　
１１ ＩＣカ一ド６へ送信する。

■ＩＣカード側では、ステップ１２０５で端末よりＷを
受信後、ステップ１２０６で （５）’−１式と（５）’−２式のＹ　２ｐとＹ　２Ｑ
を計算する。

一 ｉ−１ −Ｘ’Ｉｌｏｄｐ （５）’−１ α １−１ −Ｘ’　ｍｏｄ　ｑ　　　　　　　　（５）　’　　−
２■ステップ１２０７でｙ　とｙ２を比較し、１ 致していればステップ１２０８で計算結果ｙ（−ｙ−ｙ
２）は正しいものとみなし、ｌ 一致していなければステップ１２０９で結果が正しくな
いことを検出する。

なお、ｅ　　，ｆ　　，ｇ　　＝ｈ１を０．１に限定１
１１ 厘 『λ した場合にはｎｚ　　　等の演算はべき乗を用いｌ １−１ ず実現することも可能である。

また、本方式は分割Ｄ１に関する依頼計算と、分割Ｄ２
に関する依頼計算を同時に行うことも可能である。

以上の手続きによって端末が正しく処理したか否かをチ
ェックできる。ただし、本方式の計算依頼元と請負側で
やりとりするデータ量は第１０図で説明した方式の２倍
（２種類の分割子とその結果）になるという欠点がある
。

第１２図は、逆変換の処理を請負側に依頼して検算をす
る例である。

ここで説明する方式は、概念的には第１０図で説明七た
方式に近い。すなわち、第１３図にその概要を示すよう
に、一般的に、変換前の情報をｘ１変換後の情報をｙと
するとき、秘密情報ｋに基づく変換ｙ−ｆｋ　（ｘ）に
関する依頼計算法において第一の処理部３１．３２で変
換処理を実行し、一ｌ 逆変換ｆ　　が存在する場合に、これを第二の処ｋ 理部３３，３４で求め、比較部３５で逆変換を利一ｌ 用して計算の請負側の忠実度をｘ’　＝ｆ　　　　（ｙ
）ｋ がＸに一致することで確認しようというものである。

プロトコルの大筋は次の通りである。

■Ｘを順方向の変換に関する依頼計算を用いて変換し、
計算依頼元はｙを得る。

■ｙを逆方向の変換に関する依頼計算を用いて変換し、
計算依頼元はＸ′を得る。

■計算依頼元はＸとＸ′を比較して一致していれば結果
ｙを正しいものと確認する。

ただし、第１０図の例では逆変換が依頼元でも容易に実
行できる場合に適用可能であった。この例では逆変換が
依頼元だけでは困難な場合にも適用できる方式である。

これを実現するために、この例では、逆変換に対しても
依頼計算を適用する。

具体的な順方向の依頼計算と逆方向の依頼計算をどの様
な構成にすべきかは個々の問題ごとに考える必要がある
。

ここで注意しなければならないのは、順方向の依頼計算
に関する情報と、逆方向の依頼計算に関する情報を総合
しても秘密情報ｋが計算依頼元以外に漏れないようにプ
ロトコルを構成しなければならないということである。

さらに、第１２図で説明した方式は異なる分割子をまと
めて依頼計算元から請負側へ送り、結果もまとめて請負
側から依頼計算元へ送ることができるのに対し、本方式
では順方向変換に関する処理結果が得られてはじめて、
逆方向の処理を開始することが可能となる。

従って、データをまとめて依頼計算元と請負側でやり取
りすることができないので、端末とＩＣカードとの間の
情報のやり取りが必ず２往復は必要となる欠点がある。

また通信するデータ量についてみれば、（第１０図で説
明した方式の通信量）＋（逆方向変換に必要な通信量）
だけの通信量が必要になるという欠点もある。

（発明が解決しようとする課題） 以上のように、ＲＳＡ暗号のように秘密の情報ｄによる
変換を行いたいときに、計算を行いたい装置そのものに
とっては計算の手間が膨大な場合には、演算時間が過度
に掛かってしまうと言う問題が生ずる。たとえばＩＣカ
ードのような計算力が比較的小さい装置で実行させよう
とすると多大な計算時間を要する。

また計算主体となる装置だけでなくこれを補助する装置
を用意して、これらが分担して秘密情報に係る計算を行
うことによって演算時間を削減する事が考えられるが、
秘密情報を補助装置に直接示すと補助装置や第三者によ
りこの秘密情報を盗用される恐れがある。例えばＲＳＡ
の計算を高速に行える外部装置を用意してこれに秘密鍵
ｄを示して計算させようとすると、復号変換を外部装置
に知られてしまい不正使用される恐れがある。

更に、外部装置は必ずしも信用できないことや外部装置
との間の通信情報を第三者が改ざんするかも知れないと
言う前提の下では、依頼元は請負側の不正や通信情報の
第三者による改ざんを険出できないため、依頼計算の有
効性そのものが疑わしくなる。

これに対して、「依頼計算」を用いて秘密情報を外部装
置に漏らすこと無く、外部装置の計算力を借りて効率よ
く変換を行い、「検算」によって請負側の不正や通信情
報の第三者による改ざんを検出する手法が提案されてい
る。

しかしながら、従来の検算手法は、手法によって通信量
や通信回数が増加したり、検算のための計算量が大きい
という問題があった。

そこで、本発明は、秘密情報を主装置以外に漏らすこと
無く、しかも補助装置の計算力を借りて処理を効率良く
失行し、かつ効率良く険算を行うことができる分散型情
報処理システムを提供することを目的とする。

［発明の構或］ （課題を解決するための手段） 上記課題を解決する本発明の分散型情報処理システムは
、第１図に示すように、秘密情報を処理する主装置ＩＡ
及びこの主装置の演算補助を行う少なくとも一つの補助
装置２−１、２−２、・・・２−３を備え、前記秘密情
報を前記主装置以外には漏らさずに前記秘密情報に基づ
く変換を分散処理する分散型処理システムにおいて、前
記入力情報に対して前記変換を行う第１の変換手段と、
前記入力情報に対して前記秘密情報に基づいて恒等変換
を行う第２の変換手段と、前記恒等変換手段の結果を前
記入力情報と比較し、前記恒等変換手段の結果と前記入
力情報とが一致した時、有効とみなす比較手段（検算手
段ＩＢ）とを備えたものである。

（作　用） 以上のように構成された本発明では、主装置固有の秘密
情報を計算の請負側である補助装置に漏らすこと無く、
しかも請負側の計算力を借りて変換を実行することがで
きる。更に、前記変換の請負側の処理結果を用いる恒等
変換手段により得られた結果と入力情報を比較すること
により、補助装置の処理結果が正しいことを確認するた
めだけに補助装置に依頼計算させなくても、計算依頼元
は簡単に確認することができる。

（実施例） 以下、本発明の実施例を説明する。なお、以下の実施例
の説明では従来例で示した第５図〜第８図をそのまま援
用する。

第２図及び第３図は本発明の第一の実施例を示す処理の
フローチャート及び一般的構成を示す説明図である。

ここでは、中国剰余定理を利用したＲＳＡ暗号の秘密変
換（署名生成）の依頼計算について説明する。従来例と
同様に、計算の依頼元をＩＣカード６、請負側をＩＣカ
ード６より演算力の大きい端末９とする。

さて、ＩＣカード６にはそのＩＣカード固有のＲＳＡ暗
号の復号化鍵が記憶されている。これをｄ，ｎ，ｐ，ｑ
とする。但し、ｐ，ｑはそれぞれ十分大きい素数であり
、これは、ＩＣカ一ド６以外に対して秘密である。公開
の法ｎはｐ，ｑの積である。またｄは秘密の指数である
。公開鍵暗号を構成する指数ｅと法ｎは計算の請負側が
知ってもかまわない。

最初に、端末９はＩＣカード６を使用するために、従来
技術のところで述べた方法で制御処理をしてＩＣカード
６を使用可能状態とする。この部分は本発明の本質部分
ではない。’ＩＣカード６が使用可能状態となった後、
適当な依頼計算法を用いると、計算の依頼側には変換前
のメッセージＭと計算結果のメッセージＳが得られる。

計算の請負側か正しく変換を行ったのであれば、ＭとＳ
の間に次の（６）の等式が成り立つはずである。

ｅ Ｍ−Ｓ　　　ｗｏｄｎ　　　　　　　　（６）以上の手
続きの具体的な方式として、ＩＣカードは、秘密鍵ｄを
次の（７）式、（８）式のように分解する。更に、（９
）式、（１０）式を満たすＩｍ［ｉ　　，ｔ　　．・・
・，　ｔＭ］，　Ｊ−　［ｊ，Ｉ２ Ｊ２　　，・・・ＪＭＩを計算する。この処理はＩＣカ
ード自身が行っても良いし、鍵の発行手続きとしてセン
タが行い、ＩＣカード内に秘密に洛納するようにしても
良い。

ｄ″″ｄｏ，＋ｆ　　，ｄ　　ｉ＋−゛゜＋　ｆ　　ｄ
　　ｆｆｌｏｄ　（ｐ−１）　　　（７）ＩＩ１ ｄ−ｄ　　＋ｇ　　，ｄ　　，＋・・・Ｏｑ ＋　ｇ　　ｄ　　ｓｏｄ　（ｑ−１）　　　（８）１１
１ｍ １■ｈ　　＋ｉ，ｄ　ｌ＋・・・ Ｏｐ ＋　ｉ　　ｄ　　ｓｏｄ　（ｐ−１）　　　（９）膳　
　　　　１ １″″ｈｏ９＋ｊ　　ｌｄ　　ｌ＋−゛゜＋ｊ　　　ｄ
　　　■ｏｄ（ｑ−１）　　　　（１０）ＩＩｍ ただし、ｄ　　Ｓｄ　　Ｓｈ　　，ｈ　　は小さい値で
ｏｐ　　　　　ｏｑ　　　　　ｏｐ　　　　　ｏｑある
。Ｄ−［ｄ　　　，ｄ　　　．・・・　．ｄ］，Ｆ−［
１　　　２　　　　　ｔｐ ｆ　　　，ｆ　　　．・・・　，ｆ　　］，Ｇ−［ｇ　
　　，ｇ２１　　　２　　　　　ｍ　　　　　　　　ｌ
・・・　．ｇ　　］，Ｉｍ［ｉ　　　．ｔ　　　．・・
・　，ｉ］Ｊ−ｔａ　　　　　　　１　　　２　　　　
　ｍ［Ｊ１　　．Ｊ２　　，・・・　，ｊ　　］，ｄ　
　，ｄ　　，ｈ　　，１　　　　　　　　　０ｐ　　　
　ＯＱ　　　　　０１）ｈ　を鍵ｄの分割子と呼ぶ。こ
れらのｄ，Ｇ，Ｆ，０９ １，Ｊ，ｄ　　．ｄ　　．ｈ　　．ｈ　　はＩＣカード
のｏｐ　　　　　ｏｑ　　　　　ｏｐ　　　　　ｏｑ秘
密情報となる。

この鍵の分割子を利用した検算機能を含む依頼計算プロ
トコル（ＲＳＡ暗号による署名作成）は第２図に示す通
りである。

■ＩＣカードはＤを端末に送る（ステップ２ｏ１）。

■端末は、ステップ２１０で分割子を受信し、ステップ
２１１でＺ　．−Ｍ’″ａｏｄｎ（１≦１１ ≦ｍ）を計算し、ステップ２１２でこれをまとめたＺ−
［ｚ　　　．ｚ　　　．−，ｚ　　］をＩＣ１　　２　
　　　雪 カードに送る。

■ＩＣカードは、ステップ２０３でこのＺを受信し、分
割子Ｆ，Ｇ，ｄ．ｄ　　を用いてスｏｐ　　　　　ｏｑ テップ２０４で次式を計算する。端末が不正を行わなか
った場合には、計算結果は次のようになる。

ｉ−１ −　Ｍｄａ＋ｏｄ　ｐ １−１ −Ｍ’ｍｏｄｑ 次に、中国剰余定理を用いてＳｐ 名Ｓを求める。

Ｓ　から署 ｑ ａ ｎｚｌ”ｍｏｄなとの演算はべき乗を用いず１−１ 実現することが可能である。

次に、署名Ｓの正当性を確認するために、端末９の処理
が正しく行われたかどうかを検出する方法を述べる。

■ステップ２０３で、端末から受信したＺと、分割子１
，Ｊを用いてステップ２０５で次式を計算する。端末が
不正な計算を行わなかった場合には、結果は次のように
なる。

塵 １−１ 劇　Ｍｓｏｄｐ ■ １−１ −Ｍｍｏｄｑ 次に、中国剰余定理を用いて、Ｗ　１Ｗ　からｐｑ Ｗを求める。

■ステップ２０６でＭとＷを比較し、一致していれば署
名Ｓの正当性を確認し（ステップ２０７）、一致してい
なければＳが正しくないことを検出する（ステップ２０
８）。

以上の手続きによって、署名Ｓが端末の正しい処理によ
って生成されたかどうかをチェックすることができる。

署名Ｓが端末の正しい処理によって生成されたとき、Ｓ
の正当性を信用する。

前記の処理方式につき安全性を検討すると、端末９が正
当な演算を実行した場合にはＩＣカ一ド６により「端末
９は正当な演算を実行した」と判断されることは明らか
である。

次に、端末９が最後の検査式は通るが、結果Ｓは正当な
署名とは異なるように導くことができるか否かを考える
。Ｗ　−　Ｍが最後の検査式である。

Ｗは、第２図のステップ２０５でＩＣカードしか知らな
い秘密情報１，Ｊ，ｐ，ｑ，ｈ　　．ｈ　　をｏｐ　　
　　　ｏｑ 使ってつくられる。ここで、ｈ　　．ｈ　　の項は、ｏ
ｐ　　　　　ｏｑ ｉｄ　　十・・・＋Ｌ　　ｄ　　，ｊｌｄ　ｌ＋・・・
十１１　　　　　　ｍ＋ｉ ｊｄ　　の項がでたらめな依頼計算結果を使ってｌ　　
　　ａ 計算されたのに、最後の検査式を通るようにする攻撃法
を防いでいる。したがって、端末から受信したＺを使っ
て生或した署名が不当であるにもかかわらず、検査式を
通ってしまうような分割子Ｚを端末が求める行為は困難
である。

また、端末はプロトコルを通じてｄ　　．ｄ　　，ｏｐ
　　　　　ｏｑ Ｆ，Ｇを知ることはないので、秘密情報ｄを知ることは
できない。

上記の分割子Ｆ，Ｇ，Ｉ，Ｊは、Ｆ，ＧとＩ，Ｊの間の
共通部分の有無によって、以下の（１）〜（４）のよう
に分類することができる。

（１）ＦとＧの第ｈ＋１項〜第ｋ項と、■とＪの第ｈ＋
１項〜第ｋ項が各々等しい場合。

Ｆ−｛ｆ　　　．・・・　”ｈ　　．ｆｈａｔ　　’・
・・　，ｆｋ１ ０　，・・・　，０｝ Ｇ−（ｇ　　　・゛゛　・ｇｈ　　’　ｇｈ＋１　　・
゜゜゜　　・ｇｋ１ ０　．・・・　，０｝ １−［１，・・・　，ｆ　　　，・・・　＋　ｆ　ｋ，
ｌ　ｋ＋１　　・・・ｈ＋１ ．１　　） 劇 Ｊ−ｔＯ．・・・　．ｇ　　　　，・・・　，ｇｋ　　
”ｋ＋１ｈａｔ ・・・　，ｊ　） ■ （２）ＦとＩのはじめのｋ項と、ＧとＪのはじめのｋ項
が各々等しく、ＦとＧのｋ＋１項からｍ項はすべてＯの
場合。

Ｆ−ｆｆ　　　，・・・　．ｆ，　　，０　　．・・・
　，０１ｌ Ｇ−｛ｇ　　　，・・・　，ｇｋ　，ｏ　　，・・・　
．０｝ｌ １−（ｆ　　　．・・・　”ｋ　　”ｋ＋１　　’・・
・　．ｉ　　１ｌＩｍ Ｊ＝（ｇｔ　　．・・・　．ｇｋ　　”ｋ＋１　　’・
・・　，ｊ１（３）Ｆと１のはじめのｋ項と、ＧとＪの
はじめのｋ項が各々等しく、ｌとＪのｋ＋ｌ項がらｍ項
はすべてＯの場合。

Ｆ−（ｆ　　　，・・・　”ｋ　　”ｋ＋１　　’・・
・．ｆ　　１ｌＩＩ Ｇ−（ｇ．・・・　”ｋ　　，ｇｋ＋１　　’・・・　
．ｇ　　１ｌＩｌ １−　（ｆ　　　．・　，ｆｋ　，０　　．−，０１ｌ Ｊ−１ｇ　　　，・・・　．ｇｋ　．０　　．・・・　
．０１ｌ （４）Ｆ，ＧとＩ，Ｊの間に等しい項がない場合。

Ｆ−ｆｆ　　　，・・・　，ｆｋ　，０　．・・・　，
０）１ Ｇ−ｔｇ，・・・　，ｇｋ　．ｏ　　．・・・　，０｝
ｌ Ｉ−　　（０　　．・・・　．０　　．ｉ　　　　　　
．・・・　．ｉｌｋ＋１　ｍ Ｊ−ｔｏ．・・・　，Ｏ．ｊ　　　　　　，・・・　，
ｊ　　｝ｋ＋１　　　　　　　　　■ 上記の（１）〜（４）の分割子の作り方について、考察
する。

（１）は一般形で、Ｆ，ＧとＩ，Ｊに共通の項もあれば
、共通でない項もある場合である。本提案方式は、依頼
計算と検算で必要な情報を一度の通信でまとめてやりと
りするので、どの項が検算に使われるのかは計算依頼側
だけが知っている。

従って、署名生成に必要なＺのすべての項をチエツクす
るわけではないが（つまり、Ｉ，ＪとＺの内積をとった
時、Ｉ，Ｊの“０゛の項と、対応するＺの項との積は“
０゛のため、仮にＩ，Ｊの“０”の項と対応する２の項
に不正が行われたとしてもみつけることはできない。）
、チェックされない項を正しくない値に変えたり、依頼
計算に関する情報と検算に関する情報を別々に送受信す
る時のように、この二つの情報をうまく組み合わせてｚ
ｉが不当であるにも拘らず、チェック式を通ってしまう
といった狙い撃ち攻撃を十分防ぐことができる。

（２）は、署名生成に必要なＺのすべての項をチェック
するので、この分割方式も上で述べた狙い撃ち攻撃を防
ぐことができる。

（３）は、署名生成中に、正当性を確認するためにＭと
比較されるＷが表れるので、もしＺが不当な結果のとき
は、署名Ｓを求める前にＺの有効性を確かめることがで
きるし、誤った署名をつくらずに済むため、計算量を減
らすことができる。

このような分割子の作り方をした場合には、署名生成に
必要なＺのすべての項をチェックするわけではないが、
本発明方式は、（１）の考察で述べた狙い撃ち攻撃を十
分に防ぐことができる。

（４）も、すべての項をチェックするわけではないが、
本発明方式は、（１）の考察で述べた狙い撃ち攻撃を十
分に防ぐことができる。

一般に拡張した場合のシステム構成を第３図に示す。

第３図において、計算依頼元は、第一処理部３０１で入
力情報Ｘに秘密情報ｋを与え、請負側の処理部３０４の
援助を請けつつｙ　＝　ｆ　ｋ（ｘ）とｘ’　ｍｇｋ　
（Ｘ）の前処理をし、次に、第三処理１３０５で処理結
果をもとめ、第二処理部３０２でｘ’　−ｇｋ　（ｘ）
の後処理をしてＸ′をもとめ、比較部３０３でＸ′とＸ
とを比較して、第三処理部で求めた処理結果を検算する
。

従って、本発明では、比較部で入力情報Ｘと第二処理部
で得られる情報Ｘ′とを比較して演算結果を確認する。

なお、請負側が正しい処理を行えばＸ−Ｘ−となり、そ
のとき関数Ｇ，は恒等変換となる。

さらに、本発明は上記実施例に限定されるものではなく
、その要旨を逸脱しない範囲で各種変形をして実施でき
る。

［発明の効果］ 以上の通り、本発明によれば、主装置固有の秘密情報を
計算の請負側である補助装置に漏らすこと無く、しかも
請負側の計算力を借りて変換を実行することができる。

更に、前記変換の請負側の処理結果を用いる恒等変換手
段により得られた結果と入力情報を比較することにより
、補助装置の処理結果が正しいことを確認するためだけ
に補助装置に依頼計算させなくても、計算依頼元は簡ｉ
ｌｌに確認することができる。

【図面の簡単な説明】

第１図は本発明の概要を示す図、第２図及び第３図は本
発明の実施例を示す処理フローチャート及び一般的な構
成例の概要図、第４図は従来の情報処理装置の概要を示
すブロック図、第５図はＩＣカードと端末の外観を示す
斜視図、第６図はＩＣカードの構成内容を示すブロック
図、第７図は端末の構成例を示すブロック図、第８図は
端末の初期化処理のフローチャート、第９図〜第１３図
は従来の処理方式を示すフローチャート及び一般的な構
成例を示す概要図である。 ＩＡ・・・主装置、ＩＢ・・・検算手段、２−１．２−
２．２−３・・・補助装置、６・・・ＩＣカード、９・
・・端末。

Claims (1)

1. 【特許請求の範囲】 秘密情報を処理する主装置及びこの主装置の演算補助を
   行う少なくとも一つの補助装置を備え、前記秘密情報を
   前記主装置以外には漏らさずに前記秘密情報に基づく変
   換を分散処理する分散型処理システムにおいて、 前記入力情報に対して前記変換を行う第１の変換手段と
   、 前記入力情報に対して前記秘密情報に基づいて恒等変換
   を行う第２の変換手段と、 前記恒等変換手段の結果を前記入力情報と比較し、前記
   恒等変換手段の結果と前記入力情報とが一致した時、有
   効とみなす比較手段と を備えたことを特徴とする分散型情報処理システム。