JPH11119649A

JPH11119649A - 認証方法および装置

Info

Publication number: JPH11119649A
Application number: JP9285007A
Authority: JP
Inventors: Taro Terao; 太郎寺尾; Yoshihiro Shin; 吉浩申
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 1997-10-17
Filing date: 1997-10-17
Publication date: 1999-04-30
Anticipated expiration: 2017-10-17
Also published as: US6651167B1; JP3562262B2

Abstract

(57)【要約】【課題】小規模な検証装置で権利や資格を認証する場
合でも、認証の特徴情報が第三者に洩れることのないよ
うにする。【解決手段】チケット発行装置４００は、利用者の所
持する対話装置３００の秘密関数ｆと対話を生成する際
に対話装置３００に伝達すべきドキュメントｍよりドキ
ュメント秘密情報μを算出し、認証の特徴情報ｘとドキ
ュメント秘密情報μより生成したチケットｔを利用者に
発行する。対話装置３００は、ドキュメントと呼ばれる
データｍを入力されると、その対話装置３００に固有の
秘密関数ｆを用いてドキュメント秘密情報を生成し、ド
キュメント秘密情報に基づいた対話を行なう。対話は、
コミットメントｒの出力、チャレンジｃの入力、レスポ
ンスσの出力からなる。利用者は、対話（ｒ，ｃ，σ）
をチケットｔを用いて対話（ｒ，ｃ，ｓ）へ変換し、Ｇ
ｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認証を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報セキュリティ
技術に関するものであり、特に、零化域決定問題の困難
性に安全性の根拠を置く認証方式において、システムの
利用者に秘密情報に基づいた証明者の機能を付与しなが
ら秘密情報自体を隠蔽することを可能にする方法および
装置に関するものである。

【０００２】

【従来の技術】［従来技術の概要］従来の公開鍵暗号に
おける復号鍵、署名における署名鍵、認証における認証
鍵は、これらの秘密情報を所持するものであることを認
証するための特徴情報である。

【０００３】例えば、ＧｕｉｌｌｏｕとＱｕｉｓｑｕａ
ｔｅｒによって”Ａｐｒａｃｔｉｃａｌｚｅｒｏ−
ｋｎｏｗｌｅｄｇｅｐｒｏｔｏｃｏｌｆｉｔｔｅｄ
ｔｏｓｅｃｕｒｉｔｙｍｉｃｒｏｐｒｏｃｅｓｓ
ｏｒｍｉｎｉｍｉｚｉｎｇｂｏｔｈｔｒａｎｓｍｉ
ｓｓｉｏｎａｎｄｍｅｍｏｒｙ”、Ａｄｖａｎｃｅ
ｓｉｎＣｒｙｐｔｏｌｏｇｙＥＵＲＯＣＲＹＰ
Ｔ’８７、Ｃ．Ｇ．Ｇｕｅｎｔｈｅｒ（ｅｄ．）、Ｓｐ
ｒｉｎｇｅｒ−Ｖｅｒｌａｇ、ｐｐ．１２３−１２８で
提案された認証方式を例にとって説明する。

【０００４】図１は、この認証方式の流れを説明する図
である。

【０００５】ｎを素因数分解の困難な合成数、Ｇを有理
整数環のｎを法とする剰余類環の乗法群（Ｚ／ｎ
Ｚ）^*、ｐをｎのＣａｒｍｉｃｈａｅｌ関数λ（ｎ）を
割らない素数、Ｄをコミットメントの空間、πをＧから
Ｄへの関数、Ｉ∈Ｇを公開の検証情報として、Ｉｘ^p＝
１を満たすｘ∈Ｇを認証の特徴情報とする。

【０００６】認証の特徴情報ｘの保持者は、以下の証明
者の動作を行なうことができる：１．乱数ｋ∈Ｇを生成し、コミットメントｒ＝π（ｋ
^p）を送る。

【０００７】２．与えられたチャレンジｃ∈Ｆ_pに対
して、レスポンスｓ＝ｋｘ^cを送る。

【０００８】検証情報Ｉを知り得るものは誰でも、以下
の検証者の動作を行なうことによって、証明者の動作を
検証することが可能であり、証明者が確かに認証の特徴
情報を保持することを確かめることができる。

【０００９】１．コミットメントｒを与えられた後
に、ランダムに生成したチャレンジｃ∈Ｆ_pを証明者に
送る。

【００１０】２．与えられたレスポンスｓがｒ＝π
（ｓ^pＩ^c）を満たすことを確かめる。

【００１１】これらの技術は、上記の秘密情報を所持す
るものが、これを公開しないことを前提に作られてい
る。それゆえに、これらの秘密情報を所持するもののみ
が復号できる暗号文、これらの秘密情報を所持するもの
のみが生成できる署名や、これらの秘密情報を所持する
もの以外の誰にもなりすませない認証が可能となる。

【００１２】したがって、上記技術は、これらの秘密情
報の所持者にとって、これを暴露することが不利益な状
況である場合にのみ利用できる。このような状況の典型
的な例は、上記秘密情報が、特定の個人のみが所持する
ものであり、その個人を認証する特徴情報である場合で
ある。

【００１３】この場合、上記特徴情報はちょうど自宅の
鍵や個人の印鑑のような役割を担っている。実際、実世
界における鍵や印鑑をディジタル情報として構成するこ
とは、これらの暗号学的手法の直接的な応用として実現
できることは易しい。たとえば、自宅の錠を上記Ｇｕｉ
ｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒの方式における検証者
として構成し、検証に成功した場合のみ開錠するように
構成すれば、認証の特徴情報ｘの所持は、ちょうど自宅
の鍵の所持に対応することになる。

【００１４】［従来技術の問題点］上記の、個人の自宅
の鍵のように、認証の特徴情報の暴露が個人の不利益に
なる場合とは逆に、その暴露が暴露したものの利益につ
ながる場合が存在する。それは、認証するものが、特定
のサービスを受ける権利や資格である場合である。

【００１５】この場合、上記の個人を認証する例と同様
に、権利や資格を持つものに、権利や資格を表す特徴情
報を配布し、その特徴情報を所持していることを検証す
るというやりかたはとれない。なぜなら、特徴情報の暴
露が、特徴情報の所持者には不利益にならないため、特
徴情報を権利や資格を持たない第三者に教え、その第三
者から利益を得るといった不正行為が可能であるからで
ある。

【００１６】したがって、従来は、上記の公開鍵暗号技
術をそのまま使った認証方式を取らず、以下の３種の方
式をとっていた。

【００１７】第１の方法は、個人が個人に帰属する秘
密の特徴情報を保持し、権利や資格の保持を検証する側
が、権利や資格を保持している個人とその個人が持つ秘
密の特徴情報を保持する方法である。この方法によれ
ば、特徴情報を漏洩させることは個人にとって不利益に
なるので、権利や資格の認証に利用可能である。

【００１８】第２の方法は、個人が個人に帰属する秘
密の特徴情報を保持し、権利や資格の保持を検証する側
が、権利や資格を保持している個人とその個人が持つ秘
密の特徴情報に対応する公開情報を保持する方法であ
る。この方法によれば、特徴情報を漏洩させることは個
人にとって不利益になるので、権利や資格の認証に利用
可能である。

【００１９】第３の方法は、権利や資格を付与するも
のが、自身が持つ特徴情報で作成した署名を権利や資格
を付与されるものに渡し、検証側が、その署名を検証す
ることで、権利や資格を持つことを認証するものであ
る。この方式の例としては、Ｄ．Ｃｈａｕｍによる”Ｏ
ｎｌｉｎｅＣａｓｈＣｈｅｃｋｓ”、Ａｄｖａｎｃ
ｅｓｉｎＣｒｙｐｔｏｌｏｇｙＥＵＲＯＣＲＹＰ
Ｔ’８９、Ｊ．Ｊ．Ｑｕｉｓｑｕａｔｅｒ、Ｊ．Ｖａ
ｎｄｅｗａｌｌｅ（ｅｄ．）、Ｓｐｒｉｎｇｅｒ−Ｖｅ
ｒｌａｇ、ｐｐ．２８８−２９３がある。

【００２０】この方法によれば、権利や資格の所持を証
明する側が、特徴情報を持たないので、特徴情報の漏洩
の問題は起こらない。

【００２１】しかし、第１の方法では、検証側が権利や
資格を保持しているもののリストを保持しなければなら
ない。これは、リストの記憶と管理の負荷を検証側に課
すことになり、必然的に高性能な検証装置を必要とする
ことになる。また、権利や資格を付与するものと独立に
検証装置を作ることができないので、検証装置と、権利
や資格を付与するものとの間の情報の交換が、常に必要
になる。

【００２２】また、検証側が個人の特徴情報を持つこと
になるので、この方法によって認証される個人は、検証
側による不正な特徴情報の漏洩のリスクを負うことにな
る。

【００２３】第２の方法では、検証側が権利や資格を保
持しているもののリストを保持しなければならない。こ
れは、リストの記憶と管理の負荷を検証側に課すことに
なり、必然的に高性能な検証装置を必要とすることにな
る。また、権利や資格を付与するものと独立に検証装置
を作ることができないので、検証装置と、権利や資格を
付与するものとの間の情報の交換が、常に必要になる。

【００２４】第３の方法では、配布した署名情報は誰に
よっても使用可能なので、その複製を防がなければなら
ない。これは、署名値の二重使用を防ぐという方法で行
われる。具体的には、一度認証に使用された署名値をす
べて検証側で記憶し、検証側が二重使用でないことをチ
ェックできるようにする。しかし、この機能を検証側に
設けるためには、必然的に高性能な検証装置を必要とす
ることになる。また、同じ権利や資格を認証する全ての
検証装置で、一度認証に使用された署名値のリストを共
有しなければならず、検証装置同士の情報の交換が、常
に必要となる。

【００２５】このように、従来の３つの方式には、どれ
も重大な問題があり、とくに検証側を小規模な装置やソ
フトウエアで構成することを困難にしている。

【００２６】これに対し、前述の権利や資格を示す特徴
情報を使った認証の方式は、検証側で行うことが権利や
資格を示す特徴情報を保持していることの認証だけで済
むので、有利である。

【００２７】以上述べたとおり、従来の技術では、権利
や資格を認証する場合に、小規模の検証装置で構成する
と認証の特徴情報が第三者に洩れる危険があり、その危
険をなくそうとすれば、検証装置が大規模なものになる
という問題点があった。

【００２８】

【発明が解決しようとする課題】以上に説明してきたよ
うに、本発明は、小規模な検証装置で、権利や資格を認
証する場合にも、認証の特徴情報が第三者に洩れること
のない認証方法および装置を提供することを目的として
いる。

【００２９】

【課題を解決するための手段】本発明の認証方法および
装置は、１．チケットの発行時に定められ、公開可能な情報であ
るドキュメントよりドキュメント秘密情報を生成し、ド
キュメント秘密情報に基づいて対話を行なう対話装置
と、２．ドキュメント秘密情報と認証の特徴情報より生成さ
れ、公開可能な情報であるチケットとを利用するもので
ある。

【００３０】

【発明の実施の形態】実施例の詳細な説明に入る前に、
本発明の利用形態について簡略に説明する。

【００３１】図２は、本発明の全体の構成を表してい
る。

【００３２】チケット発行者は、固有の秘密関数で特徴
付けられる対話装置３００を発行し、利用者に配布す
る。対話装置３００を特徴付ける秘密関数が利用者に知
られると、対話装置３００の複製が自由に行なえて、チ
ケット発行者の制御不能なチケットの濫用が可能とな
る。そこで、対話装置３００の秘密関数は、対話装置３
００の正当な保持者であっても、これを窃取することが
できないように保護されるようにできる。対話装置３０
０は、例えば、スマートカード（ＩＣカード）として構
成しても良い。

【００３３】対話装置３００は、ドキュメントと呼ばれ
るデータｍを入力されると、その対話装置３００に固有
の秘密関数ｆを用いてドキュメント秘密情報を生成し、
ドキュメント秘密情報に基づいた対話を行なう。

【００３４】対話は具体的には、１．コミットメントｒの出力２．チャレンジｃの入力３．レスポンスσの出力という形になっている。

【００３５】Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認
証における証明者の行なう対話と形の上では同一であ
る。Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認証につい
ては図１に示した。

【００３６】Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認
証における証明者２００の行なう対話においても、対話
の基となる認証の特徴情報ｘは第三者には公開されない
が、対応する検証情報Ｉは公開され、その検証情報に基
づいて対話の真正性、つまり、対話が検証情報に対応す
る認証の特徴情報を用いて生成されたことを確認できる
のに対し、本発明では、対話装置３００の対話の基とな
るドキュメント秘密情報に対応する検証情報はあらかじ
め与えられているわけではないことに注意されたい。

【００３７】ドキュメントは、必ずしも、ドキュメント
秘密情報を生成するために利用されるだけとは限らな
い。例えば、ドキュメントは対話装置３００が実行可能
なプログラムやコマンド、あるいは、対話装置３００の
行なう処理のパラメータなどでありえる。

【００３８】チケット発行者が、認証の特徴情報ｘに対
応付けてチケットｔを発行するときは、認証の特徴情報
に基づく対話（ｒ，ｃ，ｓ）を生成する機能を、以下に
述べる方法で利用者に頒布することによって実現する。

【００３９】チケット発行者は、チケット発行装置４０
０を用いて、利用者の所持する対話装置３００の秘密関
数ｆと対話を生成する際に対話装置３００に伝達すべき
ドキュメントｍよりドキュメント秘密情報μを算出し、
認証の特徴情報ｘとドキュメント秘密情報μより生成し
たチケットｔを利用者に発行する。

【００４０】認証の特徴情報ｘとドキュメント秘密情報
とは、利用者に対して秘匿される。

【００４１】利用者は、指定されたドキュメントｍを対
話装置３００に入力することによって、対話（ｒ，ｃ，
σ）を生成し、発行されたチケットｔを用いて、その対
話（ｒ，ｃ，σ）をチケットの対応する認証の特徴情報
に基づいた対話（ｒ，ｃ，ｓ）へ変換する。

【００４２】ドキュメントに対話装置３００への処理の
指示が記述される場合、チケットを用いた対話生成はド
キュメントに記述された指示に関係付けられ、これによ
ってチケットの有効性に条件を付けることが可能とな
る。

【００４３】対話の変換は、具体的には、チャレンジｃ
と対話装置３００のレスポンスσとチケットｔとより、
レスポンスｓを計算することにより可能となる。

【００４４】変換された対話（ｒ，ｃ，ｓ）が、図１に
おけるＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認証の証
明者が生成する対話に他ならないことを実施例において
説明する。

【００４５】チケットの対応する認証の特徴情報ｘは、
各々の対話装置３００の様々なドキュメント毎にことな
るドキュメント秘密情報とは独立に生成される。

【００４６】チケット発行者は、任意の認証の特徴情報
ｘに基づく対話の機能を、認証の特徴情報自体を開示す
ることなく任意のドキュメントと対応付けてチケットの
形で利用者に頒布することができる。

【００４７】［実施例］［基本構成要素］本発明においては、ｐ：素数Ｆ_p：ｐ元体Ｇ：零化域の決定が計算量的に困難なアーベル群Ｄ：コミットメントの空間 π：ＧからＤへの写像が暗号学的な基本構成要素である。

【００４８】以後、特に説明せずに使用される数学的な
概念はいずれも基本的なものであるのでとくに説明しな
い。例えば、岩波数学辞典第３版、日本数学会編集、岩
波書店を参照されたい。

【００４９】一般に、アーベル群Ｇの零化域Ａｎｎ
（Ｇ）とは、群の算法を乗法的に記すとして、

【００５０】

【数２】Ａｎｎ（Ｇ）＝｛ｌ∈Ｚ；（∀ｇ∈Ｇ）ｇ^l＝
１｝（ここで「ｌ」はアルファベットＬの小文字である）で
定義される有理整数環Ｚのイデアルであり、有理整数環
は単項イデアル整域であるので、Ａｎｎ（Ｇ）の生成元
λ∈ＺによってＡｎｎ（Ｇ）＝λＺと書ける（ここにλ
Ｚはλの倍元の全体）。零化域を決定することは、Ａｎ
ｎ（Ｇ）の生成元λ∈Ｚを求めることに他ならない。

【００５１】ｎ∈Ｚを合成数とし、Ｇを、ｎを法とする
有理整数環の剰余類環の乗法群（Ｚ＝ｎＺ）^*としたと
き、λ＝λ（ｎ）となる。ここにλ（ｎ）はｎのＣａｒ
ｍｉｃｈａｅｌ関数であり、ｎが２の冪の場合は

【００５２】

【数３】であり、ｎが奇素数ｐの冪の場合はλ（ｎ）＝ｎ（１−
ｐ^-1）であり、一般のｎに対しては、ｎ＝Πｐ^epをｎの
素因数分解とすると、λ（ｎ）はλ（ｐ^ep）の最小公倍
数である。

【００５３】したがって、ｎの素因数分解を既知とすれ
ば、Ｇの零化域をｌｏｇ（ｎ）の多項式時間で求めるこ
とができ、また、逆に、零化域の生成元λを既知とする
と、非自明な１の平方根、つまり、

【００５４】

【数４】を満たすｇを生成することによって、ｌｏｇ（ｎ）の確
率的多項式時間でｎの素因数分解を求めることができる
ことから、この場合の零化域決定問題は計算量的に困難
であると期待できる。

【００５５】また、ｐ₁，ｐ₂をｐ₁≡ｐ₂≡２ｍｏｄ
３となる相異なる奇素数、ｎ＝ｐ₁ｐ₂、ｂをｎと互いに
素な整数、Ｅを同次式

【００５６】

【数５】Ｙ²Ｚ＝Ｘ³＋ｂＺ³ でＺ＝ｎＺ上に定義されるアーベル概型，つまり、

【００５７】

【数６】Ｅ＝Ｐｒｏｊ（Ｚ／ｎＺ［Ｘ，Ｙ，Ｚ］／（Ｙ
²Ｚ−Ｘ³−ｂＺ³））とし、ＧをＥのＺ／ｎＺ値点のなす有限群Ｅ（Ｚ／ｎ
Ｚ）としたとき、λはｐ₁＋１とｐ₂＋１の最小公倍数で
あり、この場合も零化域決定問題は計算量的に困難であ
ることが期待できる。

【００５８】πは、例えば、恒等写像ｉｄ：Ｇ→Ｇとし
ても良いし、あるいは、ハッシュ関数ｈを用いてｈ：Ｇ
→Ｄとしても良い。ハッシュ関数とは、ｈ（ｍ）＝ｈ
（ｍ’）を満たす相異なるｍ，ｍ’を見い出すことが計
算量的に困難であることが期待されている関数であり、
例えば、ＲＳＡＤａｔａＳｅｃｕｒｉｔｙＩｎ
ｃ．によるＭＤ５や米国連邦政府による規格ＳＨＳ（Ｓ
ｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ）が良く知ら
れている。

【００５９】πが恒等写像である場合は、もちろん、π
を計算するコストは不要である。また、πがハッシュ関
数であり、Ｄの元を表現するのに必要なビット長がＧの
元を表現するのに必要なビット長より小さい場合には通
信量を削減する効果がある。例えば、素因数分解の困難
な１０２４ビット程度の合成数ｎに対して、Ｇ＝（Ｚ／
ｎＺ）^*とし、πとしてＳＨＳを用いれば、コミットメ
ントｒのサイズを１６０ビットまで圧縮できる。

【００６０】ちなみに、ｐのビット長は、質疑応答型の
認証の場合は４０ビット程度、署名の場合でも１６０ビ
ット程度で良く、これがＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕ
ａｔｅｒ認証が高速に行なえることの根拠となってい
る。

【００６１】［対話装置］図３は対話装置３００の構成
を示している。対話装置３００は耐タンパー性を有する
容器として実装され、固有の秘密関数によって特徴付け
られて、利用者に配布される。対話装置３００をスマー
トカード（ＩＣカード）などの携帯可能な小型演算装置
として構成しても良い。対話装置３００は、入出力部３
０１、記憶部３０２、ドキュメント処理部３０３、乱数
生成部３０４、Ｇの算法実行部３０５、π計算部３０
６、ｆ計算部３０７を含んで構成されている。

【００６２】図４は対話装置３００の動作を示してい
る。以下、対話装置３００の動作を説明する。１．乱数生成部３０４を用いて、非再現性秘密情報ｋ
∈Ｇを生成し、記憶部３０２に保持する。２．Ｇにおける算法実行部３０５とπの計算部３０６
を用いて、記憶部３０２に保持された非再現性秘密情報
ｋからコミットメントｒを

【００６３】

【数７】ｒ＝π（ｋ^p）として計算し、記憶部３０２に保持する。もちろん、π
が恒等写像である場合は、πの計算部３０６は不要であ
る。３．入出力部３０１を用いて、記憶部３０２に保持さ
れたコミットメントｒを出力する。４．入出力部３０１を用いて、チャレンジｃ∈Ｆ_pを
入力し、記憶部３０２に保持する。５．入出力部３０１を用いて、ドキュメントｍを入力
し、記憶部３０２に保持する。６．ドキュメント処理部３０３を用いて、記憶部に保
持されたドキュメントｍに応じた処理を行なう。７．対話装置３００固有の秘密関数ｆの計算部３０７
を用いて、記憶部３０２に保持されたドキュメントｍか
らドキュメント秘密情報μ∈Ｇを

【００６４】

【数８】μ＝ｆ（ｍ）として計算し、記憶部３０２に保持する。

【００６５】関数ｆの計算部３０７は、例えば、対話装
置３００固有の秘密情報ｄの記憶部とハッシュ関数ｈの
計算部とで構成し、

【００６６】

【数９】ｆ（ｍ）＝ｈ（ｄ｜ｍ）を計算するようにしても良い。ここで、「｜」はビット
の連結を表す。８．Ｇにおける算法実行部３０５を用
いて、記憶部３０２に保持された非再現性秘密情報ｋと
ドキュメント秘密情報μとチャレンジｃからレスポンス
σを

【００６７】

【数１０】σ＝ｋμ^c として計算し、記憶部３０２に保持する。９．入出力
部３０１を用いて、記憶部３０２に保持されたレスポン
スσを出力する。

【００６８】動作６は、応用によっては、必ずしも必須
ではない。したがって、ドキュメント処理部３０３を持
たない対話装置３００の構成も可能である。

【００６９】ドキュメント処理部３０３を設けることに
よって、対話毎に対話装置３０３の実行する処理を可変
にでき、後述するチケットに多様な機能性を付与するこ
とができるようになる。

【００７０】動作の実行順序についての制約動作１ないし動作９は、必ずしもこの順序で逐次的にな
される必要はない。動作「い」が動作「こ」に先だって
実行されなければならないという順序関係を

【００７１】

【数１１】い→こで表すものとして、諸動作の実行順序についての制約を
説明する。

【００７２】

【数１２】１→２→３→４５→６，７４，７→８→９は常に満たされなければならない実行順序についての制
約となっている。

【００７３】ドキュメント処理部３０３の動作が他の動
作に影響を与える場合は、さらに、以下に説明するよう
な実行順序の制約が生じる。

【００７４】Ｇ，ｐ，πが可変な場合ドキュメントｍが、Ｇを規定する場合、６→２が要請さ
れる。これは、ドキュメントｍにＧを規定するパラメタ
ーが記述されており、動作６において、これらのパラメ
ターが設定され、Ｇにおける算法実行部３０５は設定さ
れたパラメターにしたがって計算を行なえるように構成
した場合である。

【００７５】ドキュメントｍが、ｐを規定する場合、６
→２が要請される。これは、ドキュメントｍにｐを規定
するパラメターが記述されており、動作６において、こ
れらのパラメターが設定され、Ｇにおける算法実行部３
０５は設定されたパラメターにしたがって計算を行なえ
るように構成した場合である。

【００７６】ドキュメントｍが、πを規定する場合、６
→２が要請される。これは、ドキュメントｍにπを規定
するパラメターが記述されており、動作６において、こ
のパラメターが設定され、πの計算部は設定されたパラ
メターにしたがって計算を行なえるように構成した場合
である。

【００７７】これらの例では、Ｇ，ｐ，πは対話の都度
に可変だが、これらを固定する構成も、もちろん可能で
ある。

【００７８】冪計算の事前実行ここでは、Ｇ，ｐ，πは固定されたものとする。

【００７９】記憶部３０２に非再現性秘密情報とコミッ
トメントの組（ｋ，ｒ）を複数保持することができるな
らば、動作１および動作２をこの順序で予め繰り返し実
行しておくことによって、チャレンジｃが入力される直
前にコミットメントｒを生成しなくて良いので、対話装
置３００の対話に要する時間を短縮することができる。

【００８０】また、対話装置３００の装置毎に固有な部
分は秘密関数ｆのみであり、コミットメントｒの生成部
分を分離して共有化することができる。

【００８１】図８は冪計算部を分離した構成を示してい
る。この構成例では、対話装置３００は、レスポンス生
成部３０８およびコミットメント生成部３０９に分か
れ、動作１および動作２はコミットメント生成部３０９
において行なわれる。なお、図８において図３に対応す
る箇所には対応する符号を付した。

【００８２】コミットメント生成部３０９からレスポン
ス生成部３０８に、非再現性秘密情報ｋが秘密通信によ
って伝達される。レスポンス生成部３０８をスマートカ
ードとして構成しても良い。

【００８３】レスポンス生成の条件が可変な場合ドキュメントｍが、レスポンス生成の条件を規定する場
合、これは、ドキュメントｍにレスポンス生成の条件が
記述されており、動作６において、条件が満たされなけ
れば、処理を中断するように構成すれば良い。

【００８４】ドキュメントｍに応じた処理の具体例を述
べる。

【００８５】例えば、ドキュメントｍにレスポンスの生
成を許すチャレンジｃの条件が記述されており、動作６
において、情報記憶部３０２に保持されたチャレンジｃ
が条件を満たされなければ対話装置３００の処理を中断
するように構成する。

【００８６】レスポンスの生成を許すチャレンジの条件
の例を挙げる。ドキュメントｍにレスポンス生成の有効
期限を規定するパラメターが記述されており、また、チ
ャレンジｃをビット列として表現した場合の特定のビッ
トフィールドを現在時刻の表現と見なし、有効期限と現
在時刻を比較し、有効期限を過ぎていた場合は対話装置
の処理を中断するように構成する。

【００８７】また、例えば、ドキュメント処理部が現在
時刻を保持する計時部を持ち、ドキュメントｍにレスポ
ンス生成の有効期限を規定するパラメターが記述されて
おり、動作６において、有効期限と現在時刻を比較し、
有効期限を過ぎていた場合は対話装置の処理を中断する
ように構成する。

【００８８】また、例えば、ドキュメント処理部がカウ
ンターを持ち、ドキュメントｍにカウンターの値をディ
クリメントするかしないかを規定するフラグが記述され
ており、動作６において、フラグがディクリメントを指
示した場合、カウンターの値が０でなければ、カウンタ
ーの値を１だけディクリメントし、０であれば対話装置
３００の処理を中断するように構成する。

【００８９】また、例えば、ドキュメント処理部３０３
がカウンターを持ち、ドキュメントｍにカウンターをデ
ィクリメントする値が記述されており、動作６におい
て、カウンターの値がディクリメントする値より小さく
なければカウンターの値を指示された値だけディクリメ
ントし、そうでなければ対話装置３００の処理を中断す
るように構成する。

【００９０】また、例えば、ドキュメント処理部３０３
が複数のカウンターを持ち、ドキュメントｍに対応する
カウンターを規定するポインターが記述されており、動
作６において、規定されたカウンターの値が０でなけれ
ば、カウンターの値を１だけディクリメントし、０であ
れば対話装置３００の処理を中断するように構成する。

【００９１】また、例えば、ドキュメント処理部が複数
のカウンターを持ち、ドキュメントｍに対応するカウン
ターを規定するポインターとディクリメントする値が記
述されており、動作６において、規定されたカウンター
の値がディクリメントする値より小さくなければカウン
ターの値を指示された値だけディクリメントし、そうで
なければ対話装置３００の処理を中断するように構成す
る。

【００９２】ドキュメント処理のその他の例例えば、ドキュメント処理部３０３がカウンターを持
ち、ドキュメントｍにインクリメントする値が記述され
ており、動作６において、カウンターの値を指示された
値だけインクリメントするように構成する。

【００９３】また、例えば、ドキュメント処理部３０３
が複数のカウンターを持ち、ドキュメントｍに対応する
カウンターを規定するポインターとインクリメントする
値が記述されており、動作６において、規定されたカウ
ンターの値を指示された値だけインクリメントするよう
に構成する。

【００９４】また、例えば、ドキュメント処理部３０３
が現在時刻を保持する計時部と履歴の保持部を持ち、ド
キュメントｍに履歴を記録するか記録しないかを規定す
るフラグが記述されており、動作６において、フラグが
履歴の記録を指示した場合、履歴の保持部に、計時部に
保持された現在時刻とドキュメントｍのタプルを保持す
るように構成する。

【００９５】複数ドキュメントの一括処理以上に述べた諸例では、一回の対話において一つのドキ
ュメントｍしか関与しないが、複数のドキュメント
ｍ₁，．．．，ｍ_Nが関与するように構成することも可能
である。

【００９６】図１０は、複数ドキュメントの一括処理を
行なう対話装置の動作を示している。複数のドキュメン
トを一回の対話において扱う場合、動作５ないし動作７
を以下の動作１０ないし動作１２に置き換えれば良い。
１０．入出力部３０１を用いて、ドキュメント
ｍ₁，．．．，ｍ_Nを入力し、記憶部３０２に保持する。
１１．ドキュメント処理部３０３を用いて、記憶部３
０２に保持されたドキュメントｍ₁，．．．，ｍ_Nに応じ
た処理を順次行なう。１２．対話装置固有の秘密関数
ｆの計算部３０７を用いて、記憶部３０２に保持された
ドキュメントｍ₁，．．．，ｍ_Nからドキュメント秘密情
報μ∈Ｇを

【００９７】

【数１３】μ＝ｆ（ｍ₁）・・・ｆ（ｍ_N）として計算し、記憶部３０２に保持する。

【００９８】もちろん、複数のドキュメントを一回の対
話において扱う場合には、各ドキュメントｍ_iに応じた
処理の実行結果が競合しないようにしなければならな
い。［チケット発行装置］Ｉ∈Ｇ：検証情報ｘ∈Ｇ：認証の特徴情報とする。ここで、認証の特徴情報ｘと検証情報Ｉとは、
Ｉｘ^p＝１という関係を満たす。

【００９９】Ｇの零化域Ａｎｎ（Ｇ）の生成元λを既知
とする。ｐがλと互いに素ならば、

【０１００】

【数１４】ｐｄ≡１ｍｏｄ λ を満たすｄが計算できるので任意の検証情報Ｉに対し
て、対応する認証の特徴情報ｘを

【０１０１】

【数１５】ｘ＝Ｉ^-d として求めることができる。

【０１０２】ｐ＝２の場合も、Ｇ＝（Ｚ／ｎＺ）^*でｎ
がＢｌｕｍ数ならば、Ｉをほとんど任意に定めることが
できる。詳しくは、ＦｉａｔとＳｈａｍｉｒによ
る”Ｈｏｗｔｏｐｒｏｖｅｙｏｕｒｓｅｌｆ：ｐ
ｒａｃｔｉｃａｌｓｏｌｕｔｉｏｎｓｔｏｉｄｅ
ｎｔｉｆｉｃａｔｉｏｎａｎｄｓｉｇｎａｔｕｒｅ
ｐｒｏｂｌｅｍｓ”、ＡｄｖａｎｃｅｓｉｎＣｒｙｐ
ｔｏｌｏｇｙＣＲＹＰＴＯ’８６、Ａ．Ｍ．Ｏｄｌｙ
ｚｋｏ（ｅｄ．）、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａ
ｇ、ｐｐ．１８６−１９４を参照されたい。

【０１０３】図５はチケット発行装置４００の構成を示
し、図６はチケット発行装置４００の動作を示してい
る。チケット発行装置４００は入出力部４０１、記憶部
４０２、Ｇの算法実行部４０３、ｆ計算部４０４を含ん
で構成されている。以下、チケット発行装置４００の動
作を説明する。１．入出力部４０１を用いて、認証の特徴情報ｘを入
力し、記憶部４０２に保持する。２．入出力部４０１を用いて、ドキュメントｍを入力
し、記憶部４０２に保持する。３．入出力部４０１を用いて、対話装置３００の識別
子Ｕを入力し、記憶部４０２に保持する。４．記憶部４０２に保持された識別子Ｕに対応する対
話装置３００固有の秘密関数ｆの計算部４０４を用い
て、記憶部４０２に保持されたドキュメントｍからドキ
ュメント秘密情報μを

【０１０４】

【数１６】μ＝ｆ（ｍ）として計算し、記憶部４０２に保持する。５．Ｇにおける算法実行部４０３を用いて、記憶部４
０２に保持された認証の特徴情報ｘとドキュメント秘密
情報μからチケットｔを

【０１０５】

【数１７】ｔ＝ｘμ^-1 として計算し、記憶部４０２に保持する。６．入出力部４０１を用いて、記憶部４０２に保持さ
れたチケットｔを出力する。

【０１０６】対話装置３００固有の秘密関数ｆは、例え
ば、対話装置３００の項で述べたように対話装置３００
固有の秘密情報ｄとハッシュ関数ｈを用いて、ｆ（ｍ）
＝ｈ（ｄ｜ｍ）として計算するようにしても良い。

【０１０７】対話装置３００固有の秘密情報ｄは、例え
ば、チケット発行者がランダムに生成し、対話装置の識
別子Ｕとのタプル（Ｕ，ｄ）を保持するようにしても良
い。

【０１０８】また、チケット発行者の秘密情報Ｄを用い
て、対話装置３００の識別子Ｕに対して、対話装置３０
０固有の秘密情報ｄを

【０１０９】

【数１８】ｄ＝Ｕ｜Ｄとしても良い。ただし、このようにｄを生成すると、対
話装置３００の耐タンパー性が崩れた場合チケット発行
者の秘密情報Ｄが漏洩するという問題をはらんでいる。

【０１１０】ハッシュ関数ｈを用いて、

【０１１１】

【数１９】ｄ＝ｈ（Ｕ｜Ｄ）としてｄを生成すれば、対話装置３００にはＤを保持す
る必要がなく、ハッシュ関数の一方向性よりｄからＤを
求めることは困難であるのでより望ましい。

【０１１２】ドキュメントｍは、秘密関数ｆの入力値と
なりえる任意の値を与えることができる。

【０１１３】さらに、ドキュメントｍは、対話装置３０
０の項で述べたように対話装置３００のドキュメント処
理部３０３に与える処理を記述するようにしても良い。

【０１１４】さらに、ドキュメントｍには、チケットを
識別する情報を記述するようにしても良い。例えば、プ
ロバイダーの識別子やチケットが対応するサービスの識
別子、チケット発行順に振られるシーケンシャルＩＤが
含まれても良い。また、例えば、チケットの発行者が認
証の特徴情報ｘとその識別子を管理し、その識別子を含
ませるようにしても良い。また、例えば、認証の特徴情
報ｘに対応する公開情報Ｉから定まる値を含ませるよう
にしても良い。

【０１１５】［チケット合成方法］ここでは、Ｇ，ｐ，
πはシステムに共通であり、対話装置３００は複数ドキ
ュメントに対応するものとする。

【０１１６】ｔ₁，．．．，ｔ_N∈Ｇを、固有の秘密関数
ｆを持つ対話装置３００に対して生成されたチケットと
し、１≦ｉ≦Ｎに対して、Ｉ_i∈Ｇを各チケットｔ_iに対
応する検証情報とする。

【０１１７】合成された検証情報Ｉ＝Ｉ₁・・・Ｉ_Nに対
応する合成されたチケットｔを

【０１１８】

【数２０】ｔ＝ｔ₁・・・ｔ_N として生成することができる。

【０１１９】チケットｔ_iにドキュメントｍ_iが対応し、
検証情報Ｉ_iに認証の特徴情報ｘ_iが対応している、つま
り、Ｉ_iｘ_i _p＝１とすると、ドキュメントｍ_iに対応す
るドキュメント秘密情報μ_i＝ｆ（ｍ_i）は

【０１２０】

【数２１】μ_i＝ｔ_i ^-1ｘ_i なので、ｘ＝ｘ₁・・・ｘ_Nとすると、ｘは合成された検
証情報Ｉに対応する認証の特徴情報、つまり、Ｉｘ^p＝
１であり、複数ドキュメントｍ₁，．．．，ｍ_Nに対応す
るドキュメント秘密情報μ＝ｆ（ｍ₁）・・・ｆ（ｍ_N）
は

【０１２１】

【数２２】μ＝ｔ^-1ｘを満たしている。

【０１２２】［チケットを用いた証明方法］図１１はチ
ケットを用いた証明方法の流れを示している。以下、チ
ケットと対話装置を用いた証明方法を説明する。この証
明方法では、認証補助情報としてチケットと呼ぶ形態を
用いている。

【０１２３】利用者は、秘密関数ｆで特徴付けられる対
話装置とｔ＝ｘｆ（ｍ）^-1を満たすドキュメントｍとチ
ケットｔを保持するものとする。コミットメントｒと、
チャレンジｃに対するレスポンスｓを生成する方法は以
下のとおりである。１．対話装置３００を用いて、コミットメントｒを取
得する。２．対話装置３００を用いて、ドキュメントｍとチャ
レンジｃに対応するレスポンスσを取得する。３．チケットｔとチャレンジｃと取得したレスポンス
σよりレスポンスｓを

【０１２４】

【数２３】ｓ＝ｔ^cσ として計算する。このとき、（ｒ，ｃ，ｓ）は

【０１２５】

【数２４】ｒ＝π（ｓ^pＩ^c）を満たしている。

【０１２６】このようにして、利用者に認証の特徴情報
ｘを知らすことなく、対話装置３００とチケットｔを用
いることによって、検証情報Ｉに対応する図１に記載の
証明者２００の機能を頒布することができる。

【０１２７】この証明者２００に対応する検証者１００
は、図１に記載された従来例と全く同一なので、検証装
置３００は唯一の検証情報Ｉを保持する必要があるだ
けで、極めて小規模な装置で多数の利用者の認証を、完
結して行なうことができる。

【０１２８】Ｆｉａｔ−Ｓｈａｍｉｒ認証特に、ｐ＝２の場合、

【０１２９】

【数２５】ｒ＝π（ｓ²Ｉ^c）を満たしており、いわゆるＦｉａｔ−Ｓｈａｍｉｒ認証
の関係を満たしている。

【０１３０】このようにして、利用者に秘密情報ｘを知
らすことなく、対話装置３００とチケットｔを用いるこ
とによって、検証情報Ｉに対応するＦｉａｔ−Ｓｈａｍ
ｉｒ認証の証明者の機能を頒布することができる。

【０１３１】なお、Ｆｉａｔ−Ｓｈａｍｉｒ認証の詳細
については、前述の”Ｈｏｗｔｏｐｒｏｖｅｙｏｕ
ｒｓｅｌｆ：ｐｒａｃｔｉｃａｌｓｏｌｕｔｉｏｎ
ｓｔｏｉｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄｓｉ
ｇｎａｔｕｒｅｐｒｏｂｌｅｍｓ”を参照されたい。

【０１３２】Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ
認証特に、ｐがＧの零化域の生成元λと互いに素な場合、利
用者はＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ認証の証
明者としてふるまったことになる。

【０１３３】このようにして、利用者に秘密情報ｘを知
らすことなく、対話装置とチケットｔを用いることによ
って、検証情報Ｉに対応するＧｕｉｌｌｏｕ−Ｑｕｉｓ
ｑｕａｔｅｒ認証の証明者の機能を頒布することができ
る。

【０１３４】［チケットを用いた署名生成方法］図１３
はチケットを用いた署名生成方法の流れを示している。
以下、チケットと対話装置を用いた署名生成方法を説明
する。

【０１３５】利用者は、秘密関数ｆで特徴付けられる対
話装置３００とｔ＝ｘｆ（ｍ）^-1を満たすドキュメント
ｍとチケットｔを保持するものとする。また、Ｇとメッ
セージの空間Ｍとの積Ｇ×ＭからＦ_pへの写像φが公開
されているものとする。

【０１３６】例えば、φを、ハッシュ関数ｈを用いて、
φ（ｒ，Ｍ）＝ｈ（ｒ｜Ｍ）としても良い。

【０１３７】メッセージＭに対して署名（ｒ，ｓ）を生
成する方法は以下のとおり。１．対話装置３００を用いて、コミットメントｒを取
得する。２．コミットメントｒとメッセージＭよりチャレンジ
ｃをｃ＝φ（ｒ，Ｍ）として計算する。３．対話装置を用いて、ドキュメントｍとチャレンジ
ｃに対応するレスポンスσを取得する。４．チケットｔとチャレンジｃと取得したレスポンス
σよりレスポンスｓを

【０１３８】

【数２６】ｓ＝ｔ^cσとして計算する。

【０１３９】このとき、署名（ｒ，ｓ）は

【０１４０】

【数２７】を満たしている。

【０１４１】このようにして、利用者に認証の特徴情報
ｘを知らすことなく、対話装置３００とチケットｔを用
いることによって、検証情報Ｉに対応する署名の機能を
頒布することができる。つまり、署名鍵を開示せずに署
名の機能を頒布することができる。さらに、ドキュメン
トｍに、鍵の有効期限情報や鍵の利用可能回数情報を付
与することによって、有効期限付きの署名鍵や利用回数
制限付きの署名鍵を実現することもできる。

【０１４２】［チケット検証装置］図９はチケット検証
装置の構成を示し、図７はチケット検証装置の動作を示
している。

【０１４３】チケット検証装置５００は、対話装置３０
０と対話を行なうことによってチケットの検証を行な
う。チケット検証装置５００は入出力部５０１、記憶部
５０２、ドキュメント処理部５０３、乱数生成部５０
４、Ｇの算法実行部５０５、π計算部５０６を含んで構
成されている。以下、チケット検証装置５００の動作を
説明する。

【０１４４】チケット検証装置５００は、検証情報Ｉと
チケットｔを記憶部５０２に保持している。１．入出力部５０１を用いて、コミットメントｒを入
力し、記憶部５０２に保持する。２．乱数生成部５０４を用いて、チャレンジｃを生成
し、記憶部５０２に保持する。３．入出力部５０１を用いて、記憶部５０２に保持さ
れたチャレンジｃを出力する。４．入出力部５０１を用いて、レスポンスσを入力
し、記憶部５０２に保持する。５．Ｇにおける算法実行部５０５と、必要ならば、π
の計算部５０６を用いて、記憶部５０２に保持された
ｃ，σ，Ｉとチケットｔから

【０１４５】

【数２８】ｒ’＝π（（ｔ^cσ）^pＩ^c）を計算し、記憶部５０２に保持する。

【０１４６】もちろん、πが恒等写像である場合は、π
の計算部５０６は不要である。

【０１４７】また、ｒ’は、例えば、

【０１４８】

【数２９】ｒ’＝π（（ｔ^pＩ）^cσ^p）として計算しても構わない。６．記憶部５０２に保持されたｒ，ｒ’を比較する。
チケットｔがドキュメント秘密情報と認証の特徴情報ｘ
に対応したものであるならば

【０１４９】

【数３０】μ＝ｔ^-1ｘを満たしており、ドキュメント秘密情報μに基づいた対
話では、（ｒ，ｃ，σ）は

【０１５０】

【数３１】ｒ＝ｋ^p σ＝ｋμ^c を満たしている。したがって、秘密関数ｆがμ＝ｆ
（ｍ）を満たす対話装置と検証装置との対話のときには
ｒ＝ｒ’が満たされる。

【０１５１】（チケットが可変な構成）ここでは、入出
力部５０１にチケットｔを入力し、入力されたチケット
ｔを記憶部５０２に保持する構成を述べる。

【０１５２】動作１ないし動作６に先だって、チケット
検証装置５００は、以下の動作を実行する。７．入出力部５０１を用いて、チケットｔを入力し、
記憶部５０２に保持する。このように構成することによ
って複数のチケットの検証を行なうことができる。

【０１５３】また、チャレンジｃを、ランダムに生成し
たチャレンジχとコミットメントｒからハッシュ関数ｈ
を用いて

【０１５４】

【数３２】ｃ＝ｈ（χ｜ｒ）として生成することにして、検証に成功した対話に対し
て、署名（χ，ｒ，ｓ）を検証の履歴として記憶部に保
持するように構成しても良い。このように構成すること
によってチケットの検証を確かに行なったことを第三者
に証明することができる。もちろん、第三者が署名
（χ，ｒ，ｓ）を検証する際の検証式は、

【０１５５】

【数３３】である。

【０１５６】［応用例：鍵］以上に述べてきた対話装置
とチケットを用いた証明者の機能を、実際の応用上の局
面に適用した例について述べる。この応用例では、認証
の特徴情報ｘ_Aをある施設の会議室Ａの鍵に対応させる
ものとする。

【０１５７】チケット発行者は施設の管理者であり、会
議室Ａの錠を１．スマートカードリーダー２．施錠・開錠部３．計時部４．スマートカードリーダー内のＲＯＭに焼き付けら
れたプログラムとして実現されたチケット検証器によって構成する。

【０１５８】施錠・開錠部は、通常はロックされてお
り、チケット検証に成功した場合、６０秒開錠した後に
再びロックを行なう。スマートカードリーダーは、スマ
ートカードを挿入するスロットを持ち、スマートカード
との通信を行なう。計時部は現在時間を保持する。

【０１５９】ドキュメントは、９月１６日を表すような
日付けのフィールドと１４時００分を表すような利用開
始時間のフィールドと１６時００分を表すような利用終
了時間のフィールドとからなる。施設の利用者には、チ
ケットおよびドキュメント保持部と対話装置からなるス
マートカードが貸与されるものとする。

【０１６０】会議室の利用の予定がある場合、予約代表
者が会議室予約システム（チケット発行装置）にアクセ
スして、利用時間と会議出席者の保持する対話装置のＩ
Ｄを指定すると、会議室予約システムは電子メールで、
会議出席者それぞれにあててチケットを配る。会議出席
者はチケットを入手し、利用時間であるドキュメントと
併せてスマートカードに記録する。

【０１６１】会議室を利用する場合は、会議室のドアに
取り付けられたスロットにスマートカードを挿入し、チ
ケット認証を行なう。この際、会議室の錠はチャレンジ
の特定のビットフィールドに計時部に保持された現在時
間を埋め込み、対話装置のドキュメント処理部が、チャ
レンジに埋め込まれた現在時間がドキュメントに記述さ
れた利用時間の範囲外の場合は処理を中断する。

【０１６２】この例では、チケットは有効期限付きの共
用の鍵として利用されている。

【０１６３】

【発明の効果】以上、説明してきたように、本発明は、
公開鍵暗号における認証の特徴情報を開示することな
く、認証の特徴情報に基づいた証明の機能を配布するこ
とができる。したがって、従来不可能であった、利害関
係を持たない複数の個人が同一の認証の特徴情報に基づ
いた証明を安全に行なえるようになった。

【０１６４】このことは、必ずしも個人に帰属しない性
格を有するチケットを、そのまま、公開鍵暗号の認証の
特徴情報に対応付けることを可能にし、チケットの検証
側は、公開された唯一の検証情報に基づき公開された手
順で、チケットの真贋を判定するのみで検証を行なえる
ので検証側の負担を大幅に軽減できる。また、チケット
の所持を証明する利用者側から見ても、検証側の有する
先に述べた特質は、検証側の公正が確認でき、チケット
の検証に伴って個人の特定がなされない（なぜならば個
人に帰属しない認証の特徴情報のみが検証に関わるの
で）ことなどの効用がある。

【０１６５】さらに、利用者にとっては、チケットおよ
び対話装置はチケット発行者のみに理解し得るブラック
ボックスであり、チケットを対話装置に入力するなら
ば、認証方式を実現するのには関与していないコバート
チャネルが存在しないことを確信できないが、本発明に
おいては、対話装置への情報伝達は、利用者にも完全な
解釈を許してもプロテクト側の安全性を損ねないドキュ
メントとして実現し、ブラックボックスであるチケット
をブラックボックスである対話装置に入力することもな
い。

【０１６６】また、本発明においては、Ｇｕｉｌｌｏｕ
−Ｑｕｉｓｑｕａｔｅｒ認証をベースの公開鍵暗号とし
て採用しているが、Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔ
ｅｒ認証はＧｕｉｌｌｏｕとＱｕｉｓｑｕａｔｅｒによ
り”Ａ ’ｐａｒａｄｏｘｉｃａｌ’ ｉｄｅｎｔｉｔ
ｙ−ｂａｓｅｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｒ
ｅｓｕｌｔｉｎｇｆｒｏｍｚｅｒｏ−ｋｎｏｗｌｅ
ｄｇｅ”、ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏ
ｇｙＣＲＹＰＴＯ’８８、Ｓ．Ｇｏｌｄｗａｓｓｅｒ
（ｅｄ．）、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、ｐｐ．
２１６−２３１において零知識性が証明されている。

【図面の簡単な説明】

【図１】従来技術に係わる認証方法の原理を示す図で
ある。

【図２】全体の構成を示す図である。

【図３】対話装置の構成を示す図である。

【図４】対話装置の動作を示す図である。

【図５】チケット発行装置の構成を示す図である。

【図６】チケット発行装置の動作を示す図である。

【図７】チケット検証装置の動作を示す図である。

【図８】対話装置の構成を示す図である。

【図９】チケット検証装置の構成をを示す図である。

【図１０】対話装置の動作を示す図である。

【図１１】チケットを用いた証明方法の原理を示す図
である。

【図１２】応用例の構成を示す図である。

【図１３】チケットを用いた署名生成方法の原理を示
す図である。

【符号の説明】

１００検証者２００証明者３００対話装置３０１対話装置３００の入出力部３０２対話装置３００の記憶部３０３対話装置３００のドキュメント処理部３０４対話装置３００の乱数生成部３０５対話装置３００のＧにおける算法実行部３０６対話装置３００のπ計算部３０７対話装置３００のｆ計算部４００チケット発行装置４０１チケット発行装置４００の入出力部４０２チケット発行装置４００の記憶部４０３チケット発行装置４００のＧにおける算法実
行部４０４チケット発行装置４００のｆ計算部５００チケット検証装置５０１チケット検証装置５００の入出力部５０２チケット検証装置５００の記憶部５０３チケット検証装置５００のドキュメント処理
部５０４チケット検証装置５００の乱数生成部５０５チケット検証装置５００のＧにおける算法実
行部５０６チケット検証装置５００のπ計算部

Claims

【特許請求の範囲】

【請求項１】ｐを素数、Ｆ_pをｐ元体、Ｇを零化域を
求めることが計算量的に困難な有限アーベル群、Ｄをコ
ミットメントの空間、πをＧからＤへの写像として、コ
ミットメントｒ∈Ｄを生成し、ドキュメントｍとチャレ
ンジｃ∈Ｆ_pに対してレスポンスｓ∈Ｇを生成し、検証
情報Ｉ∈Ｇ、コミットメントｒおよびレスポンスｓに基
づいて認証を行う認証方法であって、（ａ）非再現性秘密情報ｋ∈Ｇをランダムに生成するス
テップと、（ｂ）コミットメントｒ＝π（ｋ^p）を計算するステッ
プと、（ｃ）ｆをＧへの秘密関数として、ドキュメント秘密情
報μ＝ｆ（ｍ）を計算するステップと、（ｄ）補助レスポンスσ＝ｋμ^cを計算するステップ
と、（ｅ）検証情報Ｉに対してＩｘ^p＝１を満たす認証の特
徴情報ｘ∈Ｇと、ドキュメント秘密情報μとに基づいて
生成された認証補助情報ｔ＝ｘμ^-1を入力するステップ
と、（ｆ）チャレンジｃ∈Ｆ_pを入力するステップと、（ｇ）レスポンスｓ＝σｔ^cをチャレンジｃ、認証補助
情報ｔ、および補助レスポンスσから生成するステップ
と、（ｈ）生成されたレスポンスｓがｒ＝π（ｓ^pＩ^c）であ
ることを検証するステップとを有することを特徴とする
認証方法。
【請求項２】ｐを素数、Ｆ_pをｐ元体、Ｇを零化域を
求めることが計算量的に困難な有限アーベル群、Ｄをコ
ミットメントの空間、πをＧからＤへの写像として、コ
ミットメントｒ∈Ｄを生成し、ドキュメントｍとチャレ
ンジｃ∈Ｆ_pに対してレスポンスｓ∈Ｇを生成し、検証
情報Ｉ∈Ｇ、コミットメントｒおよびレスポンスｓに基
づいて認証を行う認証装置であって、（ａ）非再現性秘密情報ｋ∈Ｇをランダムに生成する手
段と、（ｂ）コミットメントｒ＝π（ｋ^p）を計算する手段
と、（ｃ）ｆをＧへの秘密関数として、ドキュメント秘密情
報μ＝ｆ（ｍ）を計算する手段と、（ｄ）補助レスポンスσ＝ｋμ^cを計算する手段と、（ｅ）検証情報Ｉに対してＩｘ^pを満たす認証の特徴情
報ｘ∈Ｇと、ドキュメント秘密情報μとに基づいて生成
された認証補助情報ｔ＝ｘμ^-1を入力する手段と、（ｆ）チャレンジｃ∈Ｆ_pを入力する手段と、（ｇ）レスポンスｓ＝σｔ^cをチャレンジｃ、認証補助
情報ｔ、および補助レスポンスσから生成する手段と、（ｈ）生成されたレスポンスｓがｒ＝π（ｓ^pＩ^c）であ
ることを検証する手段とを有することを特徴とする認証
装置。
【請求項３】ｐを素数、Ｆ_pをｐ元体、Ｇを零化域を
求めることが計算量的に困難な有限アーベル群、Ｄをコ
ミットメントの空間、πをＧからＤへの写像として、コ
ミットメントｒ∈Ｄを生成し、ドキュメントｍとチャレ
ンジｃ∈Ｆ_pに対してレスポンスσ∈Ｇを生成する対話
方法であって、（ａ）非再現性秘密情報ｋ∈Ｇをランダムに生成するス
テップと、（ｂ）コミットメントｒ＝π（ｋ^p）を計算するステッ
プと、（ｃ）ｆをＧへの秘密関数として、ドキュメント秘密情
報μ＝ｆ（ｍ）を計算するステップと、（ｄ）レスポンスσ＝ｋμ^cを計算するステップとから
なることを特徴とする対話方法。
【請求項４】特に、ｐ＝２であることを特徴とする請
求項３に記載の対話方法。
【請求項５】特に、ｐがＧの零化域の生成元λと互い
に素であることを特徴とする請求項３に記載の対話方
法。
【請求項６】特に、Ｇが合成数ｎを法とする有理整数
環の剰余類環の乗法群（Ｚ／ｎＺ）^*であることを特徴
とする請求項３に記載の対話方法。
【請求項７】特に、Ｇが合成数ｎを法とする有理整数
環の剰余類環Ｚ／ｎＺ上の群概型ＥのＺ／ｎＺに値を持
つ点のなす群Ｅ（Ｚ／ｎＺ）であることを特徴とする請
求項３に記載の対話方法。
【請求項８】特に、πが恒等写像であることを特徴と
する請求項３に記載の対話方法。
【請求項９】特に、πがハッシュ関数を用いて計算さ
れることを特徴とする請求項３に記載の対話方法。
【請求項１０】コミットメントｒを出力し、ドキュメ
ントｍとチャレンジｃとを入力し、レスポンスσを出力
するにあたって、（ａ）情報の入出力手段と、（ｂ）情報の記憶手段と、（ｃ）乱数を生成する手段と、（ｄ）Ｇにおける算法を実行する手段と、（ｅ）必要ならば、πを計算する手段と、（ｆ）固有の秘密関数ｆを計算する手段とを備え、少な
くとも請求項３に記載の対話を実行することが可能であ
ることを特徴とする対話装置。
【請求項１１】内部の実行処理過程が外部から観測す
ることが困難であることを特徴とする請求項１０に記載
の対話装置。
【請求項１２】携帯可能な小型演算装置として構成さ
れていることを特徴とする請求項１０に記載の対話装
置。
【請求項１３】固有の秘密関数ｆを計算する手段は、（ａ）固有の秘密情報ｄを保持する手段と、（ｂ）ハッシュ関数ｈを計算する手段と、からなり、ド
キュメント秘密情報μが、固有の秘密情報ｄとドキュメ
ントｍよりハッシュ関数ｈを用いて計算されることを特
徴とする請求項１０に記載の対話装置。
【請求項１４】請求項１０に記載の対話装置に、さら
に、ドキュメントｍに応じた処理を行なう手段を備えた
ことを特徴とする対話装置。
【請求項１５】ドキュメントｍがＧ、ｐ、πの少なく
とも一部を規定することを特徴とする請求項１４に記載
の対話装置。
【請求項１６】ドキュメントｍがレスポンス生成の条
件を規定することを特徴とする請求項１４に記載の対話
装置。
【請求項１７】検証情報Ｉ∈Ｇに対応する認証の特徴
情報ｘ∈ＧはＩｘ^p＝１を満たし、ドキュメントｍと請
求項１０に記載の固有の秘密関数ｆを有する対話装置に
対して、チケットｔ∈Ｇを生成するチケット発行方法で
あって、（ａ）ドキュメント秘密情報μ＝ｆ（ｍ）を計算するス
テップと、（ｂ）チケットｔ＝ｘμ^-1を計算するステップと、から
なることを特徴とするチケット発行方法。
【請求項１８】ドキュメントｍが認証の特徴情報ｘに
依存することを特徴とする請求項１７に記載のチケット
発行方法。
【請求項１９】ドキュメントｍが認証の特徴情報ｘを
識別する情報を含むことを特徴とする請求項１７に記載
のチケット発行方法。
【請求項２０】認証の特徴情報ｘとドキュメントｍと
対話装置を識別する情報を入力し、チケットｔを出力す
るにあたって、（ａ）情報の入出力手段と、（ｂ）情報の記憶手段と、（ｃ）固有の秘密関数ｆを計算する手段と、（ｄ）Ｇにおける算法を実行する手段と、を備え、請求
項１７に記載のチケット発行を実行することを特徴とす
るチケット発行装置。
【請求項２１】Ｉ₁，ｔ₁，．．．，Ｉ_N，ｔ_Nを、請求
項１７に記載された検証情報Ｉ_i∈Ｇと固有の秘密関数
ｆを有する対話装置に対応したチケットｔ_i∈Ｇとし
て、合成された検証情報Ｉ＝Ｉ₁…Ｉ_Nに対応する合成さ
れたチケットｔをｔ＝ｔ₁…ｔ_Nとして生成することを特
徴とするチケット合成方法。
【請求項２２】複数のドキュメントｍ₁，．．．，ｍ_N
に対して、ドキュメント秘密情報μ＝ｆ（ｍ₁）…ｆ
（ｍ_N）を計算することを特徴とする請求項１０に記載
の対話装置。
【請求項２３】請求項１０に記載の対話装置と請求項
１７あるいは請求項２１に記載の検証情報Ｉに対するチ
ケットｔとドキュメントｍとを用いて、コミットメント
ｒを生成し、チャレンジｃに対して、レスポンスｓをｒ
＝π（ｓ^pＩ^c）を満たすように生成する証明方法であっ
て、（ａ）対話装置を用いて、コミットメントｒを取得する
ステップと、（ｂ）対話装置を用いて、ドキュメントｍとチャレンジ
ｃに対応するレスポンスσを取得するステップと、（ｃ）レスポンスｓ＝ｔ^cσを計算するステップと、か
らなることを特徴とする証明方法。
【請求項２４】チケットｔとドキュメントｍを保持
し、請求項１０に記載の対話装置と通信することによっ
て、コミットメントｒを出力し、チャレンジｃを入力
し、レスポンスｓを出力するにあたって、（ａ）情報の入出力手段と、（ｂ）情報の記憶手段と、（ｃ）Ｇにおける算法を実行する手段と、を備え、請求
項２３に記載の証明を実行することを特徴とする証明装
置。
【請求項２５】Ｍをメッセージの空間、φをＧとＭと
の積からＦ_pへの写像として、請求項１０に記載の対話
装置と請求項１７あるいは請求項２１に記載の検証情報
Ｉに対するチケットｔとドキュメントｍとを用いて、メ
ッセージＭに対する署名（ｒ，ｓ）を【数１】を満たすように生成する署名生成方法であって、（ａ）対話装置を用いて、コミットメントｒを取得する
ステップと、（ｂ）チャレンジｃ＝φ（ｒ、Ｍ）を計算するステップ
と、（ｃ）対話装置を用いて、ドキュメントｍとチャレンジ
ｃに対応するレスポンスσを取得するステップと、（ｄ）レスポンスｓ＝ｔ^cσを計算するステップと、か
らなることを特徴とする署名生成方法。
【請求項２６】特に、φがハッシュ関数を用いて計算
されることを特徴とする請求項２５に記載の署名生成方
法。
【請求項２７】チケットｔとドキュメントｍを保持
し、請求項１０に記載の対話装置と通信することによっ
て、メッセージＭに対して署名（ｒ，ｓ）を生成するに
あたって、（ａ）情報の入出力手段と、（ｂ）情報の記憶手段と、（ｃ）Ｇにおける算法を実行する手段と、（ｄ）πを計算する手段とを備え、請求項２５に記載の
署名生成を実行することを特徴とする署名生成装置。
【請求項２８】請求項１７あるいは請求項２１に記載
の検証情報Ｉに対するチケットｔの検証方法であって、（ａ）コミットメントｒを取得するステップと、（ｂ）チャレンジｃをランダムに生成するステップと、（ｃ）レスポンスσを取得するステップと、（ｄ）ｒ＝π（（σｔ^c）^pＩ^c）を確認するステップ
と、からなることを特徴とするチケット検証方法。
【請求項２９】検証情報Ｉとチケットｔを保持し、コ
ミットメントｒを入力し、チャレンジｃを出力し、レス
ポンスσを入力して正当性を検証するにあたって、（ａ）情報の入出力手段と、（ｂ）情報の記憶手段と、（ｃ）乱数を生成する手段と、（ｄ）Ｇにおける算法を実行する手段と、（ｅ）必要ならば、πを計算する手段と、を備え、少な
くとも請求項２８に記載の検証を実行することが可能で
あることを特徴とするチケット検証装置。