JPH06504626A - アクセスコントロールおよび／または識別方法および装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 アクセスコントロールおよび／または識別方法および装置 本発明は、公開鍵ディレクトリの不要なアクセスコントロールおよび／または識 別方法および装置に関する。

従来の技術 たとえば有料テレビジョンのためのスマートカード、クレジットカード、パスポ ート、トングレス（ｄｏｎｇｌｅｓ）、軍事指令および制御システムのような多 くの適用事例のために、アクセスコントロールまたはディジタル署名のための偽 造防止システムが必要とされている。

この種のアクセスコントロールおよび署名システムは公開鍵を有することができ る。しかし多くの公開鍵識別ならびにアクセスコントロールシステムでは、ユー ザ数が増加すると鍵の管理が著しく複雑になる３代表的な問題は次のとおりであ る。すなわち、１）公開ディレクトリのメモリサイズ：２）ユーザが通信を望む ときには常に上記のディレクトリとのインタラクションが必要とされる（ディレ クトリの複製が作成されていなければ同時にアクセスした際に問題が生じる）　 ； ３）無効な鍵および古い鍵のブラックリスト作成；４）新しいメンバーの追加（ メンバーへの”全ユーザ更新メール）； ５）公開ディレクトリ偽造の危険性（被害にあったメンバーと偽造者の間の公開 鍵の取替） エンティティは鍵識別ディバイス（以下では“識別子”と称する）の複写、再生 または偽造を試みるかもしれない。

ディジタル形式による識別および署名のこの問題に対するよく知られた解決手段 は、　Ｆｉａｔ　およびＳｈａｍｉｒによるヨーロッパ特許出願第０２５２４９ ９号およびヨーロッパ特許出願第０３２５２３８号に開示されている。この手法 は、資格のあるユーザに対し上記の識別子を発行する信託ないし委任された資格 性付与主体を利用している。身元および署名の発生のためにも照合ないし検証の ためにも、いかなるセンターとの別のインタラクションも必要とされない。統計 的にシステムの安全性を危うくすることなく、無制限の数のユーザがシステムに 加入できる。識別子とのインタラクションによって偽造（ｊＩ別子の不法生成） は許可されない、ユーザまたはべりファイアのディレクトリは不要である。

この方法は実践において良好に機能しているが、その安全性を危うくするいくつ かの理論的な欠点を有する。

プロトコルつまりフローチャートはヨーロッパ特許出願第０２５２４９９号に開 示されており、そこにおいて、 −Ｕはユーザ、たとえばスマートカード；−Ｖはべりファイア； −にはたとえば［１，１８］の範囲内の整数；−ｒは［０，ｎ］の範囲内の整数 の乱数；（ｅ、ｅ２　ｅｓ、−ｅ　ｋ　）はバイナリベクトル、であり、以下の ように動作する。

資格付与主体は擬似ランダム関数ｆおよびａモジュロｎニルｑを選定する。この 場合、ｐおよびｑは両方とも、上記の資格付与主体に対してのみ既知である秘密 の素数である　（Ａ＝Ｂ　ｎｏｄ　ｎ　はｍａｄ　（Ａ、　ｎ）＝　ｍａｄ　（ Ｂ、　ｎ）と等価である）。

ｒａｓ子を発行するために資格付与主体は、ｌ）エンティティＵに特有の情報を 含むストリングＩＤを準備する； ２）−組の値ｖ、、＝＝ｒ　（ＩＤ、Ｊｌ　）を計算する。この場合、ｊ、は小 さな値である； ３）平方剰余ｍａｄ　ｎ　であるに個のＶ、ｌの値を選択し。

ＳＩ　＋”　＊　Ｖ　ｊ＋　＝　ｌ　ＩＱｄ　ｎのようにして値ｓｌｌを算出す る： ４）　Ｉ　Ｄ＋　Ｊｌ＋Ｊ２＋１．、ｊｋ＋ＳＩＩ＋ｓ１１＋−１，＋ＳＩｋお よびｎを含む識別子を発行する。

ベリファイアＶによる身元照合プロトコルは以下のように進行する； １）Ｕは、ＩＤＪ９よび　ｊ　Ｉｎ　ｊ　ｔ、−９，ｊ　＊　をｖへ送信する： ２）Ｖはｖ、、−ｒ　（Ｉ　ＤＩ　Ｊ　＋　）の算出によりＷｉｔを生成する。

この場合、ｉ　＝　１　、２．、、、、　ｋである；３）Ｕは乱数ｒを選択して ｒ”　ｎｏｄ　ｎをＶへ送信する；４）Ｖはバイナリベクトル（ｅｌ　ｅｌ　ｅ ｘｌ、＋　ｅｈ）を選択してこれをＵへ送信する； ５）Ｕはｒを５１．の値の各々によりｒを乗算し、この場合、ｂｉｔｅ、ｗｌで あり、結果ｙをＶへ送信する。これは、 ｙｚ　ｒ　ｎ　３１＋　１Ｉｏｄ　ｎ ｅ、＝１ で表わされる。

たとえば、バイナリベクトルが１１００１０００００であスｆ＞Ｌ−１１！：、 ：４．および２．。だけがｙ＝　ｒ　＊　ＳＩ＋＊　Ｓ１ｍ本ｓｊａ＋５ｏｄｎ に作用を及ぼす。

６）Ｖは、 ｒ”＝ｙ’　ｎ　ｖＩＩｍａｄ　ｎ ｅ１＝１ を検査する。

しかし、このプロトコルを危うくする種々異なる攻撃の実行されるおそれがある 。

Ａ）攻撃者がｓｌ＋のうちの１つだけ（Ｓ＋ｃと呼ぶことにする）を見つけ出せ ば、システム全体は以下の図式で記載されているようにして危うくされてしまう 。

ここにおけるＵは自身を首尾よく偽称しているニーＵはＩＤおよびｊ　、、　ｊ 　、、、、、、　ｊ　、をｖへ送信スル；−すべてのｊｌ　は同じであるので、 Ｖはに回だけ同じＶｌ、を発生する； −Ｕは乱数ｒを選択し、ｒ”　ｍａｄ　ｎをＶへ送信する一一■はバイナリベク トル（ｅｌｅ２ｅｓ、、、６ｍ　）を選択し、それをＵへ送信する。

−ＵはＶへ、 （Σｅ ｙ＝ｒ　ｎ　８１！＝ｒｓ、、　ｉ　）　ｌ１ｏｄ　ｎｅ、ｅｌ を送信する。

Ｂ）この攻撃は最初のものよりもやさしい、なぜならば累乗機ＳＩｍ　の逆数を 計算するよりも、Ｖｌ＋のうする方が数学的にやさしいからである。このような 値が既知であるならば、上述の公知の識別システムに侵入できる確率は５０％で あるニ ーＵはＩＤおよびｊ　、、　ｊ　、、、、、、　ｊ　、をＶへ送信する；−すべ てのｊｌは同じであるからＶはに回、同じＶｌを発生する。

−Ｕは乱数ｒを選択し、ｒ”ｍｏｄｎをＶへ送信する；−■はバイナリベクトル （ｅ（ｅｌｅｓ−、、ｅｈ　）を選択し、それをＵへ送信するニ ーＵは、 −＋　１ｎｔ（Ｌｅｌ／２） ｙ−ｒ　（Ｖ＋ｃ　）　ｎｏｄ　ｎ を■へ送信する。

一■は、 ｒ”−Ｖ”　ｎ　Ｖ、＋　ｎｏｄ　ｎ ｅ＋ｘｌ を検査する。

この試行は、Ｌｅｌ　が偶数であれば一致してしまう。

有料テレビジョンベリファイアが公開されており、望むだけの数を手に入れるこ とができるならば、同時に４つのベリファイアを使用する攻撃者は攻撃手法Ｂ） を用いることにより、たとえば９４％までデスクランブルされたテレビジョン番 組を手に入れてしまう、さらに４つの付加的なベリファイアを加えれるならば、 この値は９９．６％まで引き上げられ、この結果、たとば良好な画像品賀が生じ てしまう。

Ｃ）署名偽造 この攻撃は最も危険なものである。その理由はこのことにより、いかなるベリフ ァイアであっても以下のようにして公開データだけから署名を偽造させてしまう からであるニ ーＵはＩＤおよびＪ　ｃｌ　Ｊ　＠１４１４１　Ｊ　ｔ　をＶへ送信する；−す べてのｊ、が同じであることがらＶはに回、同じｖｌよを発生する。

−Ｕは以下のアルゴリズムを実行する。

Ｄ。

ｒｘｒａｎｄｏｍ　（） （ｅ、ｅ、ｅ、、、、ｅｋ） α＝Σ　ｅｉ Ｗｔ−ｉｘＬ、ｊｌ、ｔα　Ｉｓ　０Ｑｄ）このようなｒを見つけ出せない確率 は、２　の法則にしたがって指数関数的に減少する０代表的には、Ｘ＝７よりも まえに適切なｒを探し出す確率は約９９％である（ＸはＷＨＩＬＥ　ループの巡 回数）。

−Ｕはｙを（ｅ＋ｅｘｅｓ＋＋＋ｅｈ　）とともにｖへ送信ｅ、＝１ を首尾よ（比較する。

この欠点は、Ｖ、の値はに個の種々異なる機密事項とみなされることにあり、し たがってそれらのうちの１つの部分（ここでは１／１８．に＝　１８）を偽造す ることによりこの手法の安全性が損なわれる。

本発明 本発明の第１の目的は、アクセスコントロールシステムの安全性を改善する方法 を提供することにある。

この目的は、請求項１および１６に記載の本発明による方法により達成される。

さらに本発明の第２の目的は、ユーザとベリファイアとの間の先行の通信からの データを次の通信に採り入れることができるようにすることにあり、このことに よって安全性がなおいっそう改善される。

本発明による方法の有利な実施形態は各従属請求項に示されている。

さらに本発明の別の目的は、いかなるユーザであってもその身元を証明できるよ うな識別方法を提供することにある。この目的は、請求項１６に記載の本発明の 方法により達成される。

さらに本発明の別の目的は、本発明の方法を用いる装置を提供することにある。

この目的は、請求項２５および２７に記載の本発明の装置により達成される。

本発明による装置の有利な付加的実施形態は従属請求項に示されている。

本発明は、ｎの因数分解が既知でなければ平方根ｎｏｄ　ｎの計算は困難である 、という認識を用いている。

本発明は式 に基づくものである。これはユーザユニットおよびベリファイアユニットを用い ることにより計算され比較される。この式を解くのは著しく困難であり、公開デ ータおよび送信されたデータだけから不法ユーザが偽造するのは著しく困難であ る。

保護機能を高め、以下で説明するように通信データへいっそう多くのノイズを導 入するために、有利にはのように−膜化できる。

本発明に記載された技術により、上述の問題すべてが簡単に解決される。公開デ ィレクトリを必要とするアルゴリズム（以下では゛ホストアルゴリズム′または ′ホストプロトコル′と称する）は、少なくとも２つの大きな素数の積であるモ ジュロｎを用いる。公知の公開鍵ディレクトリは、資格付与主体または送信機Ｓ と、受信機Ｒおよび公開鍵のための身元情報の両方を適切に処理した後に送出す る゛もとになる′受信機Ｒとの間のただ１度の送信に置き換えられている。この 方法を′仮想公開鍵ディレクトリ、　Ｖｉｒｔｕａｌ　ＰｕｂｌｉｃＫｅｙ　Ｄ ｉｒｅｃｔｏｒｙ　または略して’　ＶＰＫＤ’　と称する。

有利にはＶＰＫＤは一般化することができ、公開のモジュロを必要とするいかな るセキュリティプロトコルに対しても導入可能である。

新規ユーザは、他のユーザおよびベリファイアに通報することなく、さらにシス テムの安全性を損なうことなくまたその性能を低減することもなく、システムに 加入することができる。資格付与主体だけがｎの因数分解を認識していればよく 、もとになるものを与えることになる。

典型的には、ＶＰＫＤはホストプロトコルよりも優先される。実践においてこの ことは、資格付与主体により署名されたＳの公開データを与える安全な予備通信 として理解できる。このことは第７図に示されている。ＲとＳの間の情報の展開 は、識別システムについては第８図に示されており、アクセスコントロールシス テムについては第５図に示されている。

第６図には、ＶＰＫＤブリプロトコル手段の構成が示されている。新規ユーザＵ を登録するために、資格付与主体はＰ　Ｋ　ｇ　（ｎであるようにして公開ＩＩ ＰＫυを算出しくこの制限は、モジュロベースの暗号システムで一般的に行われ ているようにＰＫ、が適切なサイズにスライスされるのであれば、取り去ること ができる）、物理的なエンティティＵに特有のものであり、または所定のメンバ ーグループに特有のものであり、たとえば名前、住所、クレジットカードナンバ ー、有効期限を含むストリングＩＤ、を準備する。このことは第１のユニット６ １により行うことができる。第２のユニット６またとえばメモリは、値ｎを含む 、そしてセンタは第３のユニット６３内で、ＩＤｕとＰＫＵを適切に選択された ｂｙｔｅ　ａ　と、ＩＤＩＪ＆ＰＫｕ＆Ｃがｄ乗根モジュロｎ（＆は連結演算子 を表わす）を有するように連結する。

これをルートｇ、と称する。ｇ、はＱ、＝　ｇ、　＋ｉｏｄ　ｎにより規定され 、ここにおいてＧＵ−Ｉ　ＤＵ＆ＰＫ、ｊ＆Ｃである。ｇｕを形成する際、ＩＤ とｎは検索媒体６４に記録される。

ＳがＵとのインタラクションを行う場合、ＳはｇｕをＵへ送信し、Ｕはｇｕを指 数ｄで累乗することによりＧｕを算出し、次にＩＤＵとＰＫｕが分離され、ホス トプロトコルにより用いられる。代表的な手法では値ｄ＝２またはｄ＝３が選択 される。

この方法は多種多様に一般化可能である。

１）ＧにおけるＩＤ、ＰＫおよびＣの順序を転置できる。実践において標準化は 良好であると思われる。

それというのはＶＰＫＤは、公開鍵配送を必要とする種々異なるモジュロベース のあらゆるアルゴリズムによって利用できるからである； ２）ＩＤ、ＰＫおよびＣを混合および分離するための公開または機密の可逆関数 を、単純な連結の代わりに用いることができる。たとえば圧縮、転置または規則 正しく繰り返されるホストされたＶＰＫＤ；３）　（各ユーザＵに対し）ｋ個の 種々異なる公開鍵の値Ｐ　ＫＵ、、ＰＫｕｘ、ＰＫ□、、、、、ＰＫＵｔ−これ らはこの手法の機能を危うくすることなく転置可能である−を必要とする手法の 場合（これはすべてのＶ。

は各々に対しＳ、’Ｖ、≠ｌ　ＩＩｏｄ　ｎ　ならば同じ役割を果たす公知の識 別システムに係わる）、以下の転置によりＣを使用することさえ避けられる：Ｉ 　Ｄｕ＆　Ｐ　Ｋｕ＋　＆　Ｐ　Ｋｕ＊＆　Ｐ　Ｋｕｓ＆、、、　＆　Ｐ　Ｋｕ ｘ−ＧＵ、ｌ。

Ｉ　Ｄ　ｕ　＆　Ｐ　Ｋ　ｕ　、＆　Ｐ　Ｋ　ｕ　ｒ　＆　Ｐ　Ｋ　ｕ　ｓ　＆ 　、−＆　Ｐ　Ｋ　ＵＥＩ　Ｄ　ｕ＆　Ｐ　Ｋｕｉ、−＆　Ｐ　Ｋｕｘ　＆　Ｐ 　Ｋｕ、＆　Ｐ　Ｋｕ＋工Ｇ　ｕ　、に「 これはｄ＊ｔｓｏｄｎ　であるＧＵ、μが見つかるまで行われる。適切なＧＵ、 μが見つからない確率は、４）チェックサム、任意の′一方向性′関数、ＣＲＣ （巡回冗長検査）およびその他の数学的手法をＧに含ませることができるしくた とえばｆ　（ＩＤ、ＰＫ）、この場合、ｆは長いストリングを僅かなビットに配 置する〕、あるいは１つのグループ（またはすべてのエンティティ）が同じＩＤ を有する（または全＜ＩＤを有していない）システムでは、ＩＤを省略できるか または定数に置き換えることができる。このことは加入者グループをアドレス指 定することが望まれることの多い有料テレビジョンシステムにおいては重要な観 点である； ５）ＩＤおよび／またはＰＫは平文で送信できるし、あるいは安全性を高めるた めに相応のｇとともにサイファ暗号化手法で送信可能である； ６）ｇの単純なべき乗も多項式計算に置き換えることができる。このようにする ために資格付与主体は数値列Ωｉを発行し、 ？　Ｄ　、、ｌ、　Ｐ　Ｋ　、　ｊｐ＝　Ｃ＝＝Σｇ、Ω１・のようにしてｇｕ 　を算出する。

この方法および装置の単純さ、安全性および速度は、スマートカード、パーソナ ルコンピュータ、トングレス（ｄｏｎｇｌｅｓ）、パスポート、およびたとえば 有料テレビジョンのための他の遠隔システムに取り入れることのできるマイクロ プロセッサベースの技術により達成される。

図面 次に、図面に基づき本発明の有利な実施形態を説明する。

第１図には、スクランブルおよび暗号化ユニットを備えた有料テレビジョンシス テムが示されている：第２図には、識別子Ｕ（スマートカード）のハードウェア およびソフトウェア構造が示されている；第３図には、ベリファイアＶのハード ウェアおよびソフトウェアが示されている； 第４図は、秘密事項を含まない署名側（スマートカード）およびベリファイア（ 身元監視手段）の間の認証プロトコルが示されている： 第５図には、ＶＰＫＤブリプロトコルおよびアクセスコントロールアルゴリズム を必要とする通信においてＲとＳにより保持される情報の時間順の代表的な展開 が示されている； 第６図には、ＶＰＫＤプリプロトコル装置の構成プロセスが示されている； 第７図には、ＶＰＫＤプリプロトコルおよびホストプロトコルが示されている； 第８図には、ＶＰＫＤプリプロトコルおよび識別アルゴリズムを必要とする通信 においてＲとＳにより保持される情報の時間順の代表的な展開が示されている。

実施例 現在、衛星放送では、納付のような所定の条件を満たした視聴者しかテレビジョ ン番組を利用できないようにする条件付きアクセスシステムが用いられている。

この種の有料テレビジョンシステムは２つの部分から成るとみなすことができる 。すなわち、−たとえば走査線カットおよびローテート手法により、資格のない 視聴者により受信画像を認識できないように、ビデオ信号を処理するスクランブ ルシステムシステム。

一ビデオ信号のデスクランブルに必要とされる鍵信号を処４９るａｗぢ１らメス １ム。

第１図には、公知の有料テレビジョンシステムたとえばビデオ暗号システムが示 されている。到来するスタジオビデオ信号１０は、データ挿入ユニット１２１に より制御されるビデオスクランブラ１２２においてスクランブルされる。このデ ータ押入ユニットは暗号化コンピュータ１１からアクセスコントロールデータを 受信し、ビデオ信号データの垂直帰線消去期間中に挿入する。このアクセスコン トロールデータにより、資格の与えられたデコーダはビデオ信号のデスクランブ ルを行うことができる。ＲＦ変調された送信機側の出力信号１３は、受信機側で は入力信号１４である。

この入力信号はチューナ１５において復調されてデ−タ抽出ユニット１６へ導か れ、さらにビデオデスクランブラ１７へ導かれる９デ一タ抽出回路から出力され たアクセスコントロールデータは、スマートカード１８２が挿入されているなら ば、ベリファイアユニット１８１において評価される。このベリファイアユニッ トの出力信号によりビデオデスクランブラ１７が制御される。

スクランブルされるべきビデオ信号の走査線は、第１のセグメントおよび第２の セグメントにより構成されている。これら２つのセグメントはカットポイントｃ ｐにより分離される。各走査線内において、たとえば２５６個の種々異なるカッ トポイントを用いることができる。１つの走査線全体は、それぞれディジタル化 されたルミナンス信号およびクロミナンス信号の９５８個のサンプルにより構成 できる。

カットポイントは擬似ランダムバイナリシーケンス（ＰＲＢＳ）によって走査線 ごとに規定される。そして２つの走査線セグメントは走査線内で循環させられる 。つまりそれらは走査線内でその位置を変える。カットポイントｃｐの相応の位 置は、各テレビジョン画像の走査線内でそれぞれ変化する。２つのセグメントの 本来の位置を復元するのがデスクランブルシステムの役割である。この役割に必 要な暗号化データは、垂直帰線消去期間中へ挿入できる。

テレビジョン信号のデスクランブルのために、デコーダは（暗号化コンピュータ １１内の）送信機と同じＰＲＢＳ発生器を（ベリファイアユニット１８１内に） 有している０両方の発生器は同じコントロールバイナリシーケンスで、つまり同 じコントロールワードにより初期設定されている。このコントロールワードは数 秒ごとに変えられ、暗号化された形式ですべてのデコーダに同時に送信される。

ＰＲＢＳ発生器は２つの８ビツトワードを出力する。

これらのワードはルミナンス走査線およびクロミナンス走査線中のカットポイン トｃｐをマークすることができ、それぞれ次のとおりである： Ｂｙｔｅ　サンプルにおけるカットポイントｃｐ　２２４　＋　２ｃｐ 識別子を発行する前に、資格付与主体は、身元または署名を検査すべきものすべ てに既知であるモジュロｎとべき乗指数ε（代表的にはε＝２）を選定して発行 する。そしてセンタ（つまり資格付与主体）は資格の与えられているメンバーに 対し、ｋ個の小さい（代表的には１〜５ｂｙｔｅの）公開鍵値ＰＫ、を含むＶＰ ＫＤディバイスを形成し、その結果、各ＰＫ、はε東根モジュロｎ（これ以降Ｓ Ｋ、と記す）を有する。

この場合、ＰＫ、はＮにおいて完全平方ではない。可能ならば素数のＰＫ、値を 選択すべきである。

ε≠２が通信を表わす実施形態では、■に対するＳこれがなされると資格付与主 体は、ｇ、ｎ、εおよび個々のＳＫ、の値を含む識別子Ｕを検索媒体に記録する 。

代表的な実施形態では次の値が提示されている。すなわち、 −それぞれ２ｂｙｔｅの２０個の値ＰＫ−１２８ｂｉｔのＴＤならびに　ＩＤ＆ ＰＫ、＆ＰＫ。

＆、、、　＆　Ｐ　Ｋ、。における８ｂｙｔｅのチェックサム−１ｎｌ＝５１２ ｂｉｔ 選択的に、式（２）で示されているようないくつかの代数的または電子的な一対 の関数ａおよびｂを識別子に加えることができる。しかしこれを行う場合には、 ａおよびｂがベリファイアでも既知でなければならない。有利には、代表的な小 さな実施形態（たとえばスマートカード）の場合、ａおよびｂの両方は値′　ｌ ′の定数であるが、これよりも強大なシステム（たとえばｄｏｎｇｌｅｓ）の場 合にはａおよびｂはいくつかの関数の組であってもよい。

第２図および第３図には、代表的なアクセスコントロールの実施形態が示されて いる。スマートカード２０（つまり識別子Ｕ）は、そのＩ１０インターフェース ２１を介してベリファイアユニット３０のＩ１０インターフェース３１と接続さ れている。スマートカード２０は、たとえばマイクロプロセッサ２４およびメモ リ２５たとえばＲＯＭを有する。このメモリは値ｇ、ｎ、ＳＫ、ならびにマイク ロプロセッサ２４制御プログラムを有することができる。ベリファイアユニット ３０もマイクロプロセッサ３４とメモリ３５たとえばＲＯＭを有することができ る。このメモリは値ｎとマイクロプロセッサ３４制御プログラムを有することが できる。

前記の識別子と前記のベリファイアユニットとのインタラクションが行われる場 合、以下のステップが実行される。すなわち、 １）識別子ＵはＶに対しｇを送信する（ε≠２でありこのデータが送信されない かまたは別の手法でＶにとって既知である場合にはさらにＳＫ、、ＳＫ。

、、、ＳＫｋ　も送信する）； ２）Ｖはｇ２　モジュロｎを計算し、Ｇ＝ＩＤ＆ＰＫ。

＆ＰＫ、＆、、、＆ＰＫｋを見−）ける、次１：ＶＧ！ＩＤとｇ！モジュロｎで 見つけられたに値とを分離する：３）Ｕは［４ｎ＋ｌ、ｎ／２コの範囲内で乱数 δを選択してδ　モジュロｎを算出し、ＥをＶへ送信する；４）Ｖはランダムバ イナリベクトルｖ　＝　（ｖ、　ｖ、、、。

Ｖ、を選択してそれをＵへ送信する； ５）選択的に−ａとｂが使用されているときだけ：ＶおよびＵの両方は（たとえ ばＶ、δ、先行して送信された情報等から）同一の値Ωを準備する：を算出し、 ２をＶへ送信する； を検査する。

８）ステップ（３）〜（７）を少なくとも１回繰り返す。

種々異なる手法でこのプロトコルを変形することができる。つまり式（１）の代 わりに種々異なる多項式を用いることができる。

第４図には相応の認証プロトコルが示されている。

本発明により以下のことが付加的に改善される。すなわち、 ｌ）擬似ランダム関数は不要である。このことにより（ＲＯＭにおいて）いっそ う僅かなメモリ容量しか特表平ｅ−５ｏ４ｅ２ｅ　（９） 必要とされず、さらにプログラムの複雑性もいっそう低減される。

２）公知の識別手法ではに個の別個の演算つまりｆ（ＩＤ、Ｊ）を実行しなけれ ばならないのに対し、すべての公開鍵値はただ１度の計算により著しく時間を書 いて計算される。

３）公知の擬似ランダム関数ｆでは予期できないサイズのＶ、が生成されるのに 対し、本発明によればいくつかの（Ｐ　Ｋ　＋　、　Ｓ　Ｋ　Ｉ）対を、詳細に はＳＫ、、ＰＫ、の両方が小さなサイズのものである対を選択することができる 。

４）公知の識別方式をアップグレード（ＩＩＩ！ｆを変更）する場合には古い識 別子はすべて無効になってしまうが、本発明では関数ｆは使用されないのでこの 問題は存在しない。

検証側からインデックスｊ＋　を受け取った後にベリファイアにより行われる付 加的なセキュリティテストを実行すれば、前述のＦ　ｉ　ａｔ−８ｈａｍｉ　ｒ による認証プロトコルまたはディジタル署名プロトコルも改善できる。これらの セキュリティテストは、■≦ａ≦ｂ≦にであるかぎりｊ、≠ｊ、であり、および ／または１≦ａ≦ｂｓｋであるかぎり、■、≠Ｖ、である。

送信側 受信側 Ｆｉｇ、　３ 受信側　送信側 ｇｏの送信を要求 ｒＤａとＰＫ＋＋を導出 Ｆｉｇ、　７ 補正書の翻訳文提出書（特許法第１８４条の８）゛平成　５年　７月１６日

Claims (1)

1. 【特許請求の範囲】 １．ユーザ（Ｕと称する）およびペリファイア（Ｖと称する）がデータを交換し 、第１の数値ｎのモジュロ関数を用いて第１のデータを算出し、ここにおいてｎ は少なくとも２つの素数の積であり、Ｖは前記の第１のデータから導出された第 ２の数値を比較する、アクセスコントロール方法において、Ｖにとって既知であ る秘密の第２のデータのべき乗指数および／または累乗指数の逆数が、Ｕにのみ 既知である第３のデータとＵにおいて結合され、前記第１のデータを算出する際 に、および／または前記第２の数値を算出する際に、乗算および／または指数関 数化が実行されることを特徴とするアクセスコントロール方法。 ２．資格付与主体は、公開鍵、名前、住所、カード番号および／または有効期限 のような第４のデータと、第３の数値ｃとを計算し、前記の第４のデータと前記 の第３の数値を結合してｄ乗根ｇｕモジュロｎを有するような第４の数値Ｇｕを 生成し、ここにおいて前記のｄ乗根ｇｕはＵに記憶されている、請求項１記載の 方法。 ３．前記の第４のデータおよび前記の第３の数値は、前記の第４の数値が前記の ｄ乗根モジュロｎのｄ乗になるまで、転置により処理される、請求項２記載の方 法。 ４．前記ｄ乗根の数値ｄはｄ＝２またはｄ＝３の値を有する、請求項２または３ 記載の方法。 ５．前記の第４のデータは、特定のユーザまたは特定のユーザ群に特有の公開鍵 ＰＫｕおよび／またはストリングＩＤｕを含み、前記公開鍵、前記ストリングお よび前記第３の数値は、前記の第４の数値Ｇｕ，Ｇｕ＝ＩＤｕ＆ＰＫｕ＆ｃと連 結され、ここにおいてキャラクタ′＆′は連結演算子である、請求項２〜４のい ずれか１項記載の方法。 ６．前記公開鍵ＰＫｕおよび前記ストリングＩＤｕは、前記第１のデータがＵお よび／またはＶにおいて算出される前に、前記第４の数値から分離される、請求 項５記載の方法。 ７．前記公開鍵ＰＫｕ、前記ストリングＩＤｕおよび前記第３の数値は、前記の 資格付与主体により結合される際に可逆関数により処理され、前記第４の数値か ら分離される際にそれぞれの逆関数で処理される、請求項５または６記載の方法 。 ８．前記ｄ乗根ｇｕは、前記資格付与主体により生成される公開の第５の数値列 Ω１を用いて導出され、ここにおいて、 （ＩＤｕ＆ＰＫｕ＆ｃ）＝Σ１ｇｕ１Ω１である、請求項２、４、５、６のいず れか１項記載の方法。 ９．前記の第３の数値は値′Ｉ′を有する、請求項２〜８のいずれか１項記載の 方法。 １０．前記第１の数値ｎのピット数は４５０〜５７０の範囲内である、請求項１ 〜９のいずれか１項記載の方法。 １１．整数である公開のべき乗指数εを選択するステップと、 ｋ個の小さな−たとえば１〜５ｂｙｔｅ長の−値ＰＫｊを選択するステップを有 しており、各ｊに対して前記の値ＰＫｊはε乗根モジュロｎを有し、前記の乗根 は以下ではＳＫｊ−１と称し、ここにおいて前記の値ＰＫｊはＮにおける完全平 方ではなく、前記のε乗根の逆数ＳＫｊを計算するステップと、一対の代数的ま たは電子的関数ａおよびｂを選定するステップと、 前記ｄ乗根ｇｕ、前記逆数ＳＫｊおよび前記の電子的関数ａおよびｂを、Ｕのた めの媒体に記録するステップとを有する、請求項１〜１０のいずれか１項記載の 方法。 １２．前記Ｕのすべては、前記のｋ個のＰＫｊ値の同一セットを受け取る、請求 項１１記載の方法。 １３．前記のｋ個のＰＫｊ値のセットは、前記ε乗根モジュロｎの最小値を含む 、請求項１２記載の方法。 １４．前記の記録は２造データにより実行される、請求項１１〜１３のいずれか １項記載の方法。 １５．前記の電子的な関数ａおよびｂは定数に置き換えられる、請求項１１〜１ ４のいずれか１項記載の方法。 １６．ａ）前記のストリングＩＤｕと前記のｋ個の値ＰＫｕをＵにおいて算出し 、値ＳＫｊ−３を評価するステップと、 ｂ）［√ｎ＋１，ｎ／２］の範囲内で乱数δを選択するステップと、 ｃ）Ｕにおいて値Ｅ＝δ■モジュロｎを送出し、該値ＥをＶへ送信するステップ と、 ｄ）Ｖにおいてランダムバイナリベクトルｖ＝（ｖ１ｖ２・・・ｖｋ）を選択し 、該ランダムバイナリベクトルをＵへ送信するステップと、 ｅ）Ｕにおいて、 ｚ＝δ｛ａПｎＳＫｊ＋ｂПＳＫｊ−１｝ｍｏｄｎｖｊ＝１　ｖｊ＝１ を算出し、τをＶへ送信するステップと、ｆ）Ｖにおいて、 Ｅ｛ｂПＳＫｊ−３＋ａ｝■＝ｚПＰＫｊｍｏｄｎｖｊ＝１　　　　　　　　　 　　　ｖｊ＝１を検査するステップとを有する、 請求項１〜１５のいずれか１項記載の方法。 １７．ＵとＶは、たとえば前記ランダムバイナリベクトルｖおよび／または前記 乱数δから、および／または先行の計算によりえられたデータおよび／または数 値から、値Ωを生成し、ここにおいてＵは、ｚ＝δ｛ａ（Ω）ПＳＫｊ＋ｂ（Ω ）ПＳＫｊ−３｝ｍｏｄ　ｎｖｊ＝１　ｖｊ＝１ を算出し、ｚをＶへ送信し、 Ｖは、 Ｅ｛ｂ（Ω）ПＳＫｊ−２＋ａ（Ω）｝６＝ｚ６ПＰＫｊｍｏｄ　ｎｖｊ＝１　 　　　　ｖｊ１ を検査する、請求項１６記載の方法。 １８．請求項１６の前記のステップｂ）〜ｆ）は、種々異なるランダムバイナリ ベクトルｖおよび／または前記乱数δによりｔ回繰り返され、ここにおいてｔ≧ １である、請求項１６または１７記載の方法。 １９．べき指数εはε＝２の値を有する、請求項１１〜１８のいずれか１項記載 の方法。 ２０．ｋは少なくともｋ＝１８の値を有する、請求項１１〜１９のいずれか１項 記載の方法。 ２１．ｔは少なくともｔ＝４の値を有する、請求項１１〜２０のいずれか１項記 載の方法。 ２２．積ｋ＊ｔは６４〜８０の範囲内の値を有する、請求項１１〜２１のいずれ か１項記載の方法。 ２３．請求項１６の前記のステップｂ）〜ｆ）は、２進または３進の論理信号を 用いて実行される、請求項１６〜２２のいずれか１項記載の方法。 ２４．前記の値ＳＫｊ−２およびＰＫｊはＵからＶへ直接送信されるか、または 、 前記の値ＳＫｊ−２は、仮想公開鍵ディレクトリを介してＶへ送信され、前記の 値ＰＫｊは直接、Ｖへ送信されるか、または、 前記の値ＰＫｊは仮想公開鍵ディレクトリを介してＶへ送信され、前記の値ＳＫ ｊ−２は直接、Ｖへ送信されるか、または、 前記の値ＳＫｊ−２およびＰＫｊは両方とも、前記の仮想公開鍵ディレクトリを 介してＶへ送信される、請求項１６〜２３のいずれか１項記載の方法。 ２５．ユーザＵとして動作する、請求項１〜２４のいずれか１項記載の方法を用 いたアクセスコントロールまたは識別装置において、 第１のメモリ手段（２５）と、第１の計算手段（２４）と、第１のＩ／Ｏ手段（ ２１）が設けられており、 当該装置は、前記第１のＩ／Ｏ手段を介して、請求項２７または２８による第２ の装置とデータを交換し、前記第１の計算手段により、前記の第１の数値ｎの前 記モジュロ関数と乗算および／またはべき乗を用いて前記第１のデータの第１の 部分を算出し、これにより前記の第１のデータの第１の部分の、および前記第１ の計算手段により前記の第３のデータと結合された前記の第２のデータの異乗根 、累乗根の逆数、および／またはべき乗指数が生成されることを特徴とする、 ユーザＵとして動作するアクセスコントロールまたは識別装置。 ２６．前記の第１メモリ手段（２５）は、前記のｄ乗根ｇｕモジュロｎ、前記の 第１の数値ｎ、および前記の値ＳＫｊを含む、請求項２５記載の装置。 ２７．ベリファイアＶとして動作する、請求項１〜２４のいずれか１項記載の方 法を用いたアクセスコントロールまたは識別装置において、 第２のメモリ手段（３５）、第２の計算手段（３４）、および第２のＩ／Ｏ手段 （３１）を有しており、 当該装置は、前記の第２のＩ／Ｏ手段を介して、請求項２５または２６による前 記の装置とデータを交換し、前記第２の計算手段により、前記の第１の数値ｎの 前記のモジュロ関数を用いて前記の第１のデータの第２の部分を算出し、前記第 ２の計算手段により、前記の第２の数値と比較することを特徴とする、 ベリファイアＶとして動作するアクセスコントロールまたは識別装置。 ２８．前記第２のメモリ手段（３５）は前記の第１の数値ｎを含む、請求項２７ 記載の装置。 ２９．資格付与主体として動作する、請求項２〜１０のいずれか１項記載の装置 を用いた装置において、第３の計算手段が設けられており、該計算手段は前記の 第４のデータおよび第３の数値を生成し、前記の連結により前記の第４のデータ および第３の数値を結合することを特徴とする、資格付与主体として動作する装 置。