WO2021019782A1 - 所有者同一性確認システムおよび所有者同一性確認方法 - Google Patents

所有者同一性確認システムおよび所有者同一性確認方法 Download PDF

Info

Publication number
WO2021019782A1
WO2021019782A1 PCT/JP2019/030340 JP2019030340W WO2021019782A1 WO 2021019782 A1 WO2021019782 A1 WO 2021019782A1 JP 2019030340 W JP2019030340 W JP 2019030340W WO 2021019782 A1 WO2021019782 A1 WO 2021019782A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
owner
information
identity
identity verification
Prior art date
Application number
PCT/JP2019/030340
Other languages
English (en)
French (fr)
Inventor
芳彦 大森
山下　高生
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2019/030340 priority Critical patent/WO2021019782A1/ja
Priority to JP2021536588A priority patent/JP7211518B2/ja
Priority to US17/627,452 priority patent/US20220272087A1/en
Publication of WO2021019782A1 publication Critical patent/WO2021019782A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Definitions

  • the present invention relates to an owner identity confirmation system and an owner identity confirmation method.
  • Various services such as product purchases and administrative continuations are being provided online.
  • user authentication including identity verification is indispensable.
  • As one of user authentication there is user authentication using a public key cryptosystem.
  • the public key cryptography infrastructure After the user's identity verification documents (for example, driver's license) are confirmed by the certificate authority (certificate authority server, certificate authority server), the terminal owned by the user is used.
  • a public key certificate (electronic certificate) will be issued.
  • the terminal generates a signature (digital signature) for the data using the private key and sends it to the server (the server that authenticates the user and provides the service to the terminal) together with the digital certificate.
  • the server confirms the authenticity of the digital certificate by confirming the signature of the certificate authority given to the digital certificate (successful verification).
  • the server verifies the signature given to the data by using the public key included in the digital certificate. If the verification is successful, the server can confirm that the data was sent by the user. Further, the server can obtain information about the user himself / herself from the information contained in the digital certificate.
  • the data can be shared between the terminals.
  • the private key used for user authentication when using the service is shared between the terminals and authenticated as the same user from any terminal.
  • sharing data it is assumed that the owners of the terminals are the same, and it is necessary to confirm that the owners are the same before sharing.
  • Non-Patent Document 1 There is a technique described in Non-Patent Document 1 as a technique for confirming that the owners of a plurality of terminals are the same.
  • an electronic certificate owner's electronic certificate
  • Each of the two terminals can confirm that the owner is the same by collating the electronic certificate of its own (own terminal) with the electronic certificate of the other party (the other party's terminal, the other party's terminal).
  • Data can be shared between terminal applications (for example, content viewing applications).
  • FIDO Full IDentity Online
  • FIDO Fast IDentity Online
  • the FIDO client and the authenticator cooperate to execute user authentication, it is premised that they have the same owner. Therefore, prior to user authentication, it is required to confirm that the owner of the FIDO client and the owner of the authenticator are the same.
  • Non-Patent Document 1 for verifying the identity of the owner by collating the digital certificate on a plurality of terminals having the same owner has two additional problems from the viewpoint of improving convenience and security. There is. One is that if the digital certificate is issued by a different certificate authority, the identity of the owner cannot be confirmed. If the certificate authority is different, the item (type) of the identity verification information may be different, or the format may be different, and it may not be possible to collate even though the owner is the same. The other is that the identity verification information contained in the digital certificate may be stolen and misused. If the owner's identity verification process is executed with an unauthorized terminal, such as when the terminal is stolen, there is a risk that the information related to the identity verification information contained in the digital certificate will be leaked and misused. Occurs.
  • the present invention has been made in view of such a background, and an object of the present invention is to enable confirmation of the identity of the owner between terminals while ensuring safety.
  • the owner identity confirmation system is an owner identity confirmation system including a plurality of terminals and a plurality of certificate authority servers, and the terminal is a terminal of the terminal.
  • a storage unit that stores the identity verification information of the owner, encrypted information that encrypts the identity verification information of the owner of the terminal with a public key of quasi-identical cryptography, and a partner terminal that is the target of owner identity verification. It is equipped with a confirmation request unit that sends a confirmation request message including the electronic certificate and the public key to the certificate authority server that issued the electronic certificate to the other terminal, and issued the electronic certificate to the other terminal.
  • the certificate authority server When the certificate authority server receives the confirmation request message and the storage unit that stores the electronic certificate issued to the other party terminal in association with the identity verification information of the owner of the other party terminal, the certificate authority server electronically certifies the other party terminal.
  • the identity verification information of the owner of the other party terminal is acquired from the document, and the encryption text obtained by encrypting the identity verification information with the public key and the encryption information are calculated by an operation according to the quasi-isomorphic cryptography.
  • the terminal includes a confirmation response unit that replies the confirmation response message including the reply encryption information that is the result of the operation to the terminal, and the terminal decrypts the reply encryption information and whether the result matches a predetermined value. Further, an identity determination unit for determining whether or not the identity verification information of the owner of the terminal and the identity verification information of the owner of the other terminal match depending on whether or not the terminal is provided.
  • the owner identity confirmation system for confirming the identity of the owner of the terminal in the embodiment (embodiment) for carrying out the present invention will be described below.
  • the owner identity verification system includes a terminal and a certificate authority server that issues a digital certificate (also simply referred to as a certificate) to the terminal.
  • the certificate authority server holds the identity verification information referred to in the owner verification when the digital certificate is issued to the terminal.
  • the terminal also stores the identity verification information of its own owner.
  • the certificate authority server issues the owner digital certificate to the terminal and stores the owner digital certificate in association with the identity verification information.
  • the terminal is the certificate authority server (own certificate authority server) that issued the owner digital certificate when confirming the identity between the owner of itself (own terminal) and the owner of another terminal (other terminal).
  • To issue a one-time digital certificate The issuance request is signed with the private key corresponding to the owner's digital certificate.
  • the certificate authority server issues a one-time digital certificate to the terminal, associates it with the owner digital certificate, and stores the one-time digital certificate in association with the identity verification information.
  • the terminal transmits the encrypted information obtained by encrypting the identity verification information held by itself with homomorphic encryption to the certificate authority server of the other terminal via the other terminal.
  • the certificate authority server of the other terminal that received the data encrypts the identity verification information of the other terminal that it holds with homomorphic encryption, and sends the reply encryption information that is multiplied by the received encryption information to the terminal via the other terminal. Reply.
  • the terminal decodes the received data, and if it matches a predetermined value, it determines that the identity verification information held by itself and the identity verification information of the other terminal held by the certificate authority server of the other terminal are the same. It is determined that the owners of the two terminals are the same. Since the identity verification information is compared while being encrypted by homomorphic encryption, the identity verification information is not leaked between the terminal and the certificate authority server.
  • FIG. 1 is an overall configuration diagram of the owner identity confirmation system 10 according to the present embodiment.
  • the owner identity confirmation system 10 includes a plurality of certificate authority servers 100 and a plurality of terminals 200.
  • the certificate authority server 100 and the terminal 200 can communicate with each other via the network 900.
  • the server of the root certificate authority 300 that issued the digital certificate to the certificate authority server 100 may be connected to the network 900.
  • FIG. 2 is a hardware configuration diagram of the computer 100Z according to the present embodiment.
  • the computer 100Z includes a CPU 101, a RAM (Random Access Memory) 102, a ROM (Read Only Memory) 103, an SSD (Solid State Drive) 104, a NIC (Network Interface Card) 105, and an input / output interface 106 (input / output I / O in FIG. 2).
  • F (described as interface)) and a media drive 107 are included.
  • NIC105 is connected to network 900.
  • a user interface device 198 (described as a UI (User Interface) device in FIG. 2) such as a display, a keyboard, and a mouse is connected to the input / output interface 106.
  • the media drive 107 reads the program on the recording medium 199.
  • the recording medium 199 includes an optical recording medium such as a DVD (Digital Versatile Disc), a magneto-optical recording medium such as an MO (Magneto Optical disk), a magnetic recording medium, and a semiconductor memory.
  • the CPU 101 executes the read program (see the certificate authority program 121 in FIG. 3 described later), the computer 100Z functions as the certificate authority server 100 described below.
  • FIG. 3 is a functional configuration diagram of the certificate authority server 100 according to the present embodiment.
  • the certificate authority server 100 includes a control unit 110, a storage unit 120, and an input / output unit 150.
  • the input / output unit 150 includes a NIC 105, an input / output interface 106, and a media drive 107, and transmits / receives communication data to / from a terminal 200 (see FIG. 1) and another certificate authority server 100 (see FIG. 1). .. Further, the input / output unit 150 reads the certificate authority program 121 from the recording medium 199.
  • the storage unit 120 functions as a certificate authority server 100 including a certificate authority program 121, a digital certificate database 130 (see FIG. 4 described later), a private key, and its own digital certificate issued by the root certificate authority 300. Store the required data.
  • FIG. 4 is a data structure diagram of the digital certificate database 130 according to the present embodiment.
  • the digital certificate database 130 is, for example, tabular data.
  • One line (record) of the digital certificate database 130 indicates one digital certificate issued by the certificate authority server 100 itself, and identifies information 131, type 132, key owner 133, related certificate 134, and identity verification information. It is configured to include 135 and a digital certificate 136.
  • the identification information 131 is the identification information of the digital certificate (for example, the serial number included in the digital certificate).
  • Type 132 is a type of digital certificate. For type 132, the "owner” indicating the owner digital certificate issued to the terminal 200 after confirming the owner, and the electronic certificate temporarily issued to the terminal for confirming the identity of the owner are used. There is “one time” to show.
  • the key owner 133 is the issue destination of the digital certificate, and indicates the owner (Subject field of the digital certificate) of the key pair (private key and public key).
  • the related certificate 134 is the identification information 131 of the related digital certificate.
  • the related digital certificate is, for example, in the one-time digital certificate, the owner digital certificate of the terminal to which the one-time digital certificate is issued.
  • the identity verification information 135 is the identity verification information confirmed when the owner's digital certificate is issued.
  • the identity verification information includes information shown on a resident's card, a driver's license, etc., and this identity verification information 135 includes identity verification information data (image data and electronic data), address, name, driver's license number, etc. Or it contains information for accessing identity verification information.
  • the digital certificate 136 is the digital certificate data issued by the certificate authority server 100 itself. In addition to the public key (Subject Public Key Info field of the digital certificate), the digital certificate includes the key owner 133 (Subject field), the certificate authority identification information (Issuer field), and the validity period (Validity). Field), serial number (SerialNumber field), etc. are included.
  • the record 138 is a record of the owner electronic certificate in which the identification information 131 is "38473857", the key owner 133 is the name of the owner, and the address of the owner is included as the identity verification information 135. ..
  • the record 139 is a record of the one-time digital certificate in which the identification information 131 is "84736401", and is associated with the digital certificate shown in the record 138.
  • the digital certificate of record 139 is a one-time digital certificate issued to the terminal to which the digital certificate of record 138 is issued.
  • the one-time digital certificate record 139 does not include the identity verification information in the identity verification information 135, but the certificate authority server 100 has the identity verification information 135 of the owner digital certificate record 138 shown in the related certificate 134. You can get identity verification information from.
  • the control unit 110 includes an electronic certificate issuing unit 111, a confirmation receiving unit 112, and a confirmation response unit 113.
  • the digital certificate issuing unit 111 issues a digital certificate in response to a request from the terminal 200 (see FIG. 1).
  • the issued digital certificate is stored in the digital certificate database 130.
  • the confirmation reception unit 112 receives from the terminal 200 a terminal-issued confirmation request start message requesting a random number (see step S401 in FIG. 10 described later), and returns the random number.
  • the confirmation response unit 113 receives from the terminal 200 a confirmation request transfer message (see step S411 in FIG. 11 described later) including information on the other party's terminal 200 for confirming the identity of the owner. Further, the confirmation response unit 113 converts the data in which the owner's identity verification information stored as the certificate authority server 100 of the other party's terminal 200 is encrypted with the public key of homomorphic encryption and the received encryption information. Multiply to generate reply encryption information.
  • the confirmation response unit 113 returns a confirmation response message (see step S416 in FIG. 11 described later) including the reply encryption information.
  • FIG. 5 is a hardware configuration diagram of the computer 200Z according to the present embodiment.
  • the computer 200Z has the same configuration as the computer 100Z (see FIG. 2).
  • the media drive 207 reads the program on the recording medium 299.
  • the CPU 201 executes the read program (see the terminal program 221 of FIG. 6 described later), the computer 200Z functions as the terminal 200 described below.
  • FIG. 6 is a functional configuration diagram of the terminal 200 according to the present embodiment.
  • the terminal 200 includes a control unit 210, a storage unit 220, and an input / output unit 250.
  • the storage unit 220 is composed of RAM 202, ROM 203, SSD 204, and the like (see FIG. 5), and stores data necessary for the owner identity confirmation process including the encryption key, the digital certificate, and the identity verification information 222 described below.
  • the digital certificate includes a model number electronic certificate including information on the model number (model) of the terminal 200.
  • the input / output unit 250 includes a NIC 205, an input / output interface 206, and a media drive 207 (see FIG. 5), and transmits / receives communication data to / from another terminal 200 or a certificate authority server 100. Further, the input / output unit 250 reads the terminal program 221 from the recording medium 299. Further, the input / output unit 250 receives an operation from the user of the terminal and displays information to the user.
  • the control unit 210 includes an electronic certificate request unit 211, a terminal authentication unit 212, a confirmation request start unit 213, a confirmation request start response unit 214, a confirmation request unit 215, a confirmation request transfer unit 216, a confirmation response transfer unit 217, and identity. It includes a determination unit 218.
  • the digital certificate requesting unit 211 requests the certificate authority server 100 to issue a digital certificate.
  • the terminal authentication unit 212 authenticates the other party's terminal 200 for confirming the identity of the owner, and in order to confirm the owner identity, the person who confirms the identity of himself / herself and the owner of the other party's terminal 200. Determine confirmation information.
  • the identity verification information for confirming the identity is an item (type) of the identity verification information for confirming the identity, such as an address, a name, and a driver's license number.
  • the terminal authentication unit 212 sets the item for confirming the identity as the item for the identity verification information 222 that both itself and the other party's terminal 200 commonly store.
  • the confirmation request start unit 213 transmits a terminal-generated confirmation request start message (see step S401 of FIG. 10 to be described later) described later to the certificate authority server 100.
  • the confirmation request start response unit 214 transmits the random number received from the certificate authority server 100 to the other terminal 200 (see step S405).
  • the confirmation request unit 215 transmits a confirmation request message (see step S408) including information (encryption information) in which the owner's identity confirmation information stored by itself is encrypted with a homomorphic encryption public key to the other party's terminal 200. To do.
  • the confirmation request transfer unit 216 signs the above confirmation request message and transfers it to its own certificate authority server 100 as a confirmation request transfer message (see step S411 in FIG. 11 described later).
  • the confirmation response transfer unit 217 signs the confirmation response message (see step S416) transmitted by the certificate authority server 100, and transfers the confirmation response transfer message to the other terminal (see step S417).
  • the identity determination unit 218 receives the confirmation response transfer message and determines whether or not the owners of the two terminals 200 are the same.
  • I d (O) is the owner digital certificate of the terminal d.
  • the owner digital certificate is issued by the certificate authority server 100 to the terminal 200.
  • the issued owner digital certificate is stored in the digital certificate database 130.
  • I d (P) is a one-time digital certificate of the terminal d.
  • the one-time digital certificate is issued to the terminal 200 by the certificate authority server 100 that issued the owner digital certificate.
  • the issued one-time digital certificate is stored in the digital certificate database 130.
  • the one-time digital certificate only needs to be valid during the identity verification process, and its validity period is shorter than the validity period of the owner digital certificate.
  • I d (M) is a model number digital certificate of the terminal d.
  • the model number digital certificate is issued by the certificate authority server 100 to the terminal 200.
  • the issued model number digital certificate is stored in the digital certificate database 130.
  • the certificate authority server 100 that issues the model number digital certificate is not necessarily the same as the certificate authority server 100 that issues the owner digital certificate. There may be a certificate authority server 100 that issues only the model number digital certificate and does not issue other types of digital certificates.
  • I d (C) is a digital certificate of the certificate authority server d.
  • the digital certificate of the certificate authority server 100 is issued by the root certificate authority 300 (server of the root certificate authority, see FIG. 1).
  • N d1 and d2 are random numbers (nonces) generated from the certificate authority d2 toward the terminal d1.
  • V + W is data obtained by combining data V and data W.
  • M S (M, K) was signed with the secret key K to the data M, is the signed data.
  • M S (M, K1, K2 ) is signed with secret key K1 to the data M, further, is a double of the signed data signed with the secret key K2 to the signed data.
  • Q d is a one-time digital certificate issuance request application sent from the terminal d to the certificate authority server 100.
  • Q d includes a public key generated by the terminal d and included in the one-time digital certificate.
  • S d (O) is a secret key that corresponds to the owner of the electronic certificate I d of the terminal d (O).
  • S d (P) is a secret key that corresponds to the one-time electronic certificate I d (P) of the terminal d.
  • S d (M) is a secret key corresponding to the terminal d of the model number electronic certificate I d (M).
  • S d (C) is a secret key that corresponds to the certificate authority d of electronic certificate I d (C).
  • E PK is a homomorphic encryption encryption function using a public key PK.
  • D SK is a decryption function of homomorphic encryption using the private key SK. The pair of the public key PK and the private key SK is generated by the terminal 200.
  • C d1 is a result of encryption (also referred to as encryption information) by using the encryption function E PK of the homomorphic encryption for the identity verification information calculated by the terminal d1. Details of the calculation method of the encrypted information C d1 will be described later.
  • C d2' is calculated by the certificate authority d2 that has received the encryption information C d1 .
  • C d2' is the result of calculating the encryption information C d1 and the result of encrypting the identity verification information by using the encryption function E PK of the homomorphic encryption by the calculation according to the homomorphic encryption (reply encryption information). Also referred to as). Details of the calculation method of the reply encryption information C d2'will be described later.
  • L d1 and d2 are a list of items of identity verification information for confirming the owner identity between the terminal d1 and the terminal d2.
  • the homomorphic encryption E PK is a cipher in which E PK (M1 + M2) can be calculated from the ciphertext E PK (M1) of the plaintext M1 and the ciphertext E PK (M2) of the plaintext M2.
  • + is not limited to addition, but is some kind of binary operation.
  • E PK (M1) ⁇ E PK (M2) E PK (M1 ⁇ M2). That is, when the product of ciphertexts is decrypted, it becomes the product of plaintexts.
  • Another example is ElGamal encryption.
  • E PK (M1) ⁇ E PK (M2) E PK (M1 + M2). That is, when the product of ciphertexts is decrypted, it becomes the sum of plaintexts.
  • E PK (M1) ⁇ E PK (M2) E PK (M1 + M2). That is, when the product of ciphertexts is decrypted, it becomes the sum of plaintexts.
  • Another example is elliptic curve cryptography.
  • the private key of the Paillier cryptosystem is a prime number p and a prime number q of the same length.
  • E N (M1) (1 + N) M1 ⁇ r N
  • E N (M2) (1 + N) M2 ⁇ s N.
  • the random number r and the random number s are random numbers generated when the plaintext M1 and the plaintext M2 are encrypted, respectively.
  • the terminal 200B generates the encryption information C d1 and the certificate authority server 100A of the other terminal 200A generates the reply encryption information C d2 '(see FIGS. 10 and 11 described later).
  • the identity verification information stored in the terminal 200B for confirming the identity is referred to as VB, and the identity verification information stored in the certificate authority server 100A is referred to as VA.
  • the identity verification information VA and VB are identity verification information corresponding to the items included in the item list L d1 and d2 of the identity verification information.
  • the terminal 200B is calculates the encrypted information C B, to the encrypted information C B, and the authentication station server 100A that receives the public key N terminal 200B calculates the reply encrypted information C CA_A '.
  • the certificate authority server 100A generates a random number s, calculates the reply encryption information C CA_A'as follows, and transmits it to the terminal 200B.
  • C CA_A ' (C B) s ⁇ E PK (VA) -s
  • the certificate authority server 100A generates a random number s, calculates the reply encryption information C CA_A'as follows, and transmits it to the terminal 200B.
  • C CA_A ' (C B) s ⁇ E PK (VA) -s
  • the authentication station server 100A includes a result that it has encrypted credential VA storing (E PK (VA)), by multiplying the encrypted information C B that has received, calculates the reply encrypted information C CA_A ' Then, it returns to the terminal 200B. If the result of decrypting the reply encryption information C CA_A'is a predetermined value (0 or 1 in the above example), the terminal 200B has the same identity verification information stored by both the terminal 200B and the certificate authority server 100A. Judge that there is.
  • the public key is obtained from the digital certificate corresponding to the private key S, and the signature is verified using this public key. If the signature verification fails, the owner digital certificate issuance process, one-time digital certificate issuance process, and owner identity verification process are stopped.
  • the signature of the certificate authority server 100 is given to the digital certificate, and the signature of the digital certificate is verified using the public key of the certificate authority server 100.
  • the public key of the certificate authority server 100 is obtained after the digital certificate of the certificate authority server 100 issued by the root certificate authority 300 (see FIG. 1) is verified by using the public key of the root certificate authority 300.
  • the public key of the root certificate authority 300 is stored in the storage units 120 and 220 (see FIGS. 3 and 6).
  • the digital certificate includes a validity period. If the verification time is not included in the validity period, the verification of the digital certificate will fail.
  • the digital certificate contains the identification information of the certificate authority (certificate authority server 100) that issued the digital certificate as the issuer (Issuer field), and obtains the public key from the digital certificate of any certificate authority. I know.
  • FIG. 7 is a sequence diagram of the issuance process of the owner digital certificate according to the present embodiment. A process in which the certificate authority server 100A issues the owner digital certificate to the terminal 200A will be described with reference to FIG. 7.
  • step S101 the electronic certificate requesting unit 211 of the terminal 200A generates a key pair (private key and public key) for public key cryptography.
  • step S102 the digital certificate requesting unit 211 transmits the public key generated in step S101 and the information of the identity verification document to the certificate authority server 100A, and requests the issuance of the owner digital certificate. This transmitted message may be signed with the private key generated in step S101.
  • step S103 the digital certificate issuing unit 111 of the certificate authority server 100A confirms that the identity verification document received in step S102 is authentic.
  • step S104 the digital certificate issuing unit 111 adds a record to the digital certificate database 130 (see FIG. 4), adds information on the personal identification document to the personal identification information 135, and personal information (address) described in the personal identification document. , Name, etc., also referred to as identity verification information).
  • Step e-certificate issuing unit 111 in step S105 issues an owner electronic certificate I A (O) containing the public key received in step S102.
  • the key owner (Subject field) of the owner digital certificate is the entire or part of the owner's identity verification information such as name and address confirmed in step S103.
  • the digital certificate issuing unit 111 stores the serial number of the owner digital certificate issued in the identification information 131 of the record added in step S104. Further, the digital certificate issuing unit 111 issues an "owner" for the type 132, a key owner for the key owner 133, a "-" for the related certificate 134, and the owner digital certificate for the digital certificate 136. Stores the data of the book.
  • Electronic certificate request unit 211 of the terminal 200A in step S107 verifies the signature of the certificate authority server 100A of the received owner digital certificate I A (O).
  • Step electronic certificate request unit 211 of the terminal 200A in S108 stores the received owner digital certificate I A a (O) to the storage unit 220.
  • the electronic certificate request section 211 stores the identification information included as the value of the key holder (Subject field) of the owner digital certificate I A (O) to the identification information 222 (see FIG. 6).
  • the process of issuing the owner digital certificate to the terminal 200A by the certificate authority server 100A has been described above.
  • the certificate authority server 100B issues the owner digital certificate to the terminal 200B. Since the process of issuing the owner digital certificate to the terminal 200B by the certificate authority server 100B is the same as that in FIG. 7, the description is omitted.
  • the terminals 200A and 200B store the owner digital certificate and the corresponding private key.
  • the certificate authority servers 100A and 100B store the identity verification information in association with the owner digital certificate.
  • the terminals 200A and 200B store the identity verification information 222 (see FIG. 6).
  • FIG. 8 is a sequence diagram of the issuance process of the one-time digital certificate according to the present embodiment.
  • a process in which the certificate authority server 100A issues a one-time digital certificate to the terminal 200A will be described with reference to FIG.
  • the electronic certificate requesting unit 211 of the terminal 200A generates a key pair (private key and public key) for public key cryptography.
  • step S202 the digital certificate requesting unit 211 transmits a request for issuing a one-time digital certificate including the public key generated in step S201 to the certificate authority server 100A.
  • a one-time electronic certificate request application form Q A contains a public key and signed with the secret key generated in step S201 M S (Q A, S A (P)) To generate.
  • the electronic certificate request section 211 the signature data, by combining its owner digital certificate I A and (O) a model number digital certificate I A (M), its owner digital certificate signed out with a secret key S a (M) of the secret key S a and (O) of the model number electronic certificate, M S (M S (Q a, S a (P)) + I a (O) + I a ( M), S a (O) , to generate the S a (M)).
  • M S as a one-time electronic certificate request (M S (Q A, S A (P)) + I A (O) + I A (M), S A (O), S A (M) ) is transmitted to the certificate authority server 100A.
  • Electronic certificate issuing unit 111 of the authentication station server 100A in step S203 is by a private key S A one-time electronic certificate request received in step S202 (M), S A ( O), S A (P) Validate the signature.
  • Step e-certificate issuing unit 111 in S204 issues a one-time digital certificate I A (P) containing the public key included in the Q A received in step S202.
  • the key owner of a one-time digital certificate is a random string.
  • Step e-certificate issuing unit 111 in step S205 stores the one-time electronic certificate I A (P) is in association with the owner digital certificate I A (O). Specifically, the digital certificate issuing unit 111 adds a record to the digital certificate database 130 (see FIG. 4) and stores the serial number of the one-time digital certificate issued in the identification information 131. Further, the digital certificate issuing unit 111 issues "one-time" for the type 132, the key owner for the key owner 133, "-" for the identity verification information 135, and the one-time digital certificate issued for the digital certificate 136. Stores the data of the book. Electronic certificate issuing unit 111 stores the serial number of the relevant certificate holder received in step S202 to the document 134 digital certificate I A (O). By referring to the identity verification information 135 of the digital certificate corresponding to the related certificate 134 of the one-time digital certificate, the certificate authority server 100 is the person who owns the terminal 200 to which the one-time digital certificate is issued. You can access the confirmation information.
  • Electronic certificate issuing unit 111 in step S206 returns the issued one-time digital certificate I A (P) to the terminal 200A.
  • electronic certificate issuing section 111 combines a one-time digital certificate I A (P) to the authentication station server 100A of the electronic certificate I A (C), corresponding to the electronic certificate I A (C) M S signed with the private key S a (C) to (I a (P) + I a (C), S a (C)) , and returns as a response to the request of step S202.
  • Electronic certificate request unit 211 of the terminal 200A in step S207 the received M S secret key S A (C) by signing (I A (P) + I A (C), S A (C)), and one-time to verify the signature of the electronic certificate I a (P).
  • Electronic certificate request unit 211 of the terminal 200A in step S208 stores the one-time digital certificate I A (P) in the storage unit 220.
  • the process of issuing a one-time digital certificate to the terminal 200A by the certificate authority server 100A has been described above.
  • the certificate authority server 100B issues a one-time digital certificate to the terminal 200B. Since the process of issuing the one-time digital certificate to the terminal 200B by the certificate authority server 100B is the same as that in FIG. 8, the description is omitted.
  • the terminals 200A and 200B store the one-time digital certificate and the corresponding private key. Further, the certificate authority servers 100A and 100B store the one-time digital certificate in association with the owner digital certificate and further in association with the identity verification information.
  • ⁇ Owner identity confirmation processing Processing between terminals ⁇ After the terminal 200B and the other party's terminal 200A confirming the identity of the owner obtain a one-time digital certificate, the terminal 200B sends the other party's terminal 200A to the certificate authority server 100A via the other party's terminal 200A to confirm the owner's identity. Request confirmation. Before making the request, the terminals 200A and 200B determine the item of the identity verification information for confirming the identity after mutual authentication. For example, in the terminals 200A and 200B, the item common in the identity verification information 222 (see FIG. 6) stored in both terminals 200A and 200B is set as the item of the identity verification information for confirming the identity.
  • FIG. 9 is a sequence diagram (1) of the owner identity confirmation process according to the present embodiment.
  • Terminal authentication unit 212 of the terminal 200A in step S301 transmits the one-time digital certificate I A (P) is the counterpart of the terminal 200B.
  • Terminal 200B is, to verify the signature of the received one-time electronic certificate I A (P).
  • Terminal authentication unit 212 of the terminal 200B in step S302 transmits the one-time digital certificate I B (P) is the counterpart of the terminal 200A.
  • Terminal 200A verifies the signature of the received one-time digital certificate I B (P).
  • Terminal 200A the terminal authentication unit 212 of 200B in step S303, the private key S A corresponding to the one-time digital certificate (P), with S B (P), to authenticate each other.
  • terminal 200A sends to the terminal 200B by generating a random number, and requests the signature by the private key corresponding to the one-time digital certificate I B (P) for the random number.
  • Terminal 200A by verifying the signature terminal 200B is generated, can authenticate that owns the private key terminal 200B corresponding to the one-time digital certificate I B (P).
  • the terminal 200B may authenticate that owns the private key terminal 200A corresponding to the one-time electronic certificate I A (P).
  • step S304 the terminal authentication unit 212 determines the item lists LA and B of the identity verification information for confirming the identity. Specifically, the terminal authentication unit 212 sets the common items among the identity verification information 222 (see FIG. 6) stored in both terminals 200A and 200B as the item list LA and B of the identity verification information. ..
  • FIG. 10 is a sequence diagram (2) of the owner identity confirmation process according to the present embodiment.
  • FIG. 11 is a sequence diagram (3) of the owner identity confirmation process according to the present embodiment. The process between the terminal 200B and the certificate authority server 100A via the terminal 200A in the owner identity confirmation process will be described with reference to FIGS. 10 and 11.
  • step S401 the confirmation request start unit 213 of the terminal 200A transmits a terminal origination confirmation request start message to the certificate authority server 100A.
  • Confirmation request start section 213, M S a Mobile Originated confirmation request start message (L A, B + I A (P) + I B (P) + I A (M), S A (P), S A (M)) and It is transmitted to the certificate authority server 100A.
  • Confirmation receiving unit 112 of the authentication station server 100A in step S402 the private key S A terminal onset confirmation request start message (M), verifies the signature by S A (P).
  • the confirmation reception unit 112 generates random numbers NA , A and random numbers NB , A.
  • the confirmation reception unit 112 returns the random numbers NA , A and the random numbers NB , A as a response to the request in step S401.
  • step S405 the confirmation request start response unit 214 of the terminal 200A transmits the random numbers NB and A to the terminal 200B.
  • step S406 the confirmation request unit 215 of the terminal 200B generates a key pair of homomorphic encryption.
  • Confirmation requesting unit 215 in step S407 calculates the encrypted information C B using homomorphic encryption. Specifically, the confirmation request unit 215 sets the identity verification information of the owner corresponding to the item list LA , B of the identity verification information for confirming the identity determined in step S304 (see FIG. 9) to the identity verification information 222 (identification information 222). obtained by encrypting the see FIG. 6), and calculates the encrypted information C B.
  • step S408 the confirmation request unit 215 transmits a confirmation request message to the terminal 200A.
  • check request unit 215, item list L A of the personal identification information stored in itself, and B, a one-time electronic certificate I B of itself and the other of the terminal 200A (P), and I A (P), random number N B, a and a public key PK B of homomorphic encryption combines the encrypted information C B, and the model number electronic certificate I B (M), the secret key S B (P), S B (M signed M S in) (L a, B + I B (P) + I a (P) + N B, a + PK B + C B + I B (M), S B (P), S B a (M)) terminal 200A Send to.
  • step S409 the confirmation request transfer unit 216 of the terminal 200A verifies the signature by the private keys S B (M) and S B (P) of U A and B.
  • Confirmation request transferring section 216 in step S410 includes the item list L A, B received in step S408, and determines in step S304 (see FIG. 9), item list L A stored therein, B and match Make sure you do. If there is a discrepancy, the confirmation request transfer unit 216 cancels the owner identity confirmation process.
  • step S411 the confirmation request transfer unit 216 transmits the confirmation request transfer message to the certificate authority server 100A.
  • confirmation request transferring section 216 binds U A, and B, the random number N A, and A, a one-time digital certificate I A (P), and a model number electronic certificate I A (M), a secret key S a (P), M signed with S a (M) S (U a, B + N a, a + I a (P) + I a (M), S a (P), S a (M)) and It is transmitted to the certificate authority server 100A as a confirmation request transfer message.
  • step S413 the one-time electronic certificate I A contained in the confirmation request transfer message (P) is, step S401 one-time digital certificate was contained in (see FIG. 10) I A (P) Check if it is the same as. If they are not the same, the confirmation response unit 113 cancels the owner identity confirmation process.
  • step S414 the random number N A included in the check request transfer message, A, and U A of within the check request transfer message, a random number N B included in the B, A is, step S404 (see FIG. 10 ) Is the same as the random numbers N A and A and the random numbers N B and A transmitted in). If they are not the same, the confirmation response unit 113 cancels the owner identity confirmation process.
  • Step acknowledgment unit 113 in S415 generates a reply encrypted information C CA_A 'from identification information received encrypted information C B and itself held. For more information, acknowledgment unit 113, U A, one-time digital certificate contained in B I A (P) and the list of items credential L A of within the check request transfer message, it acquires the B. Acknowledgment unit 113, a one-time electronic certificate I A related certificates 134 records (P) in the electronic certificate database 130 to identify the owner digital certificate I A terminal 200A (O), its Acquire identity verification information 135. Subsequently, the confirmation response unit 113 acquires the identity verification information in the item lists LA and B of the identity verification information from the identity verification information 135. Finally, the confirmation response unit 113 generates the reply encryption information C CA_A'from the encryption information C B , the public key PK B, and the acquired identity verification information.
  • step S416 the confirmation response transfer unit 217 of the terminal 200A transfers the confirmation response message received from the certificate authority server 100A in step S416 to the terminal 200B.
  • Identity determination unit 218 of the terminal 200B in step S418 verifies the signature by S A (C) acknowledgment message.
  • the identity determination unit 218 decrypts the reply encryption information C CA_A'with the secret key of the homomorphic encryption.
  • step S420 the identity determination unit 218 proceeds to step S421 if the decoding result is 0 (step S420 ⁇ YES), and proceeds to step S422 if the decoding result is not 0 (step S420 ⁇ NO).
  • 0 in the decryption result is a predetermined value when the homomorphic encryption is Paillier encryption (the product of ciphertexts is the homomorphic encryption which is the sum of plaintexts).
  • the product of ciphertexts is a homomorphic encryption that is the product of plaintexts, it is determined whether or not the decryption result is 1.
  • step S421 the identity determination unit 218 determines that the owners are the same.
  • step S422 the identity determination unit 218 determines that the owners are different.
  • the terminal 200B confirms that its own owner and the owner of the other terminal 200A match with the certificate authority server 100A via the terminal 200A.
  • the terminals 200B and 200A are replaced, and the terminal 200A confirms that its own owner and the owner of the other terminal 200B match.
  • the terminal 200A confirms that its own owner and the owner of the other terminal 200B match the certificate authority server 100B via the terminal 200B. Since this confirmation process is the same as in FIGS. 10 and 11, the description thereof will be omitted.
  • Both terminals 200A and 200B confirm that the owners are the same, and the owner identity confirmation process ends.
  • the terminals 200A and 200B perform a sharing (copy) process of, for example, a private key used for authentication when using the service and data necessary for copyright management of the content.
  • Homomorphic encryption is used between the terminal and the certificate authority server to compare the items of identity verification information stored by each in the encrypted state. Therefore, it is possible to confirm whether or not the identity verification information matches without leaking the identity verification information to the other party. Since the certificate authority server has acquired the model number digital certificate, it is possible to know the model numbers (models) of the two terminals that are trying to confirm the identity of the owner, and to obtain information for improving the service. it can.
  • Item list of identity verification information Item list L
  • a personal identification information, B is the terminal 200A, an item identification information 222 both 200B are stored (see step S304 in the description of the terminal authentication unit 212 of FIG. 6, and 9) .
  • the terminal 200 may determine the item lists LA and B according to the importance of the shared data after the identity confirmation. For example, when sharing a private key for accessing a financial service, the terminal 200 uses the item lists LA and B as an address and a name. Further, when the private key for accessing the service with the family discount is shared between the family members living together, the terminal 200 uses only the address in the item lists LA and B. If the identity verification information (item of identity verification information) for confirming the identity is determined in advance, the terminal 200 or the certificate authority server 100 omits the item lists LA and B and processes the owner identity verification. May be executed.
  • the terminal confirmation request message (step S401 in FIG. 10) and the confirmation request message (step S408) include a model number digital certificate, and by verifying the signature of the private key corresponding to the model number digital certificate, The certificate authority server 100 can acquire the model number of the terminal 200.
  • the model number digital certificate and the corresponding signature may be omitted.
  • the message is signed with a private key corresponding to the one-time digital certificate, and the security is ensured.
  • the confirmation response unit 113 acquires the identity verification information from the identity verification information 135 of the record of the owner digital certificate shown in the related certificate 134 (see step S415 in FIG. 11).
  • the identity verification information 135 of the record of the one-time digital certificate may store the identity verification information 135 of the record of the owner digital certificate shown in the related certificate 134.
  • the certificate authority server 100 can acquire the identity verification information directly from the record of the one-time digital certificate.
  • ⁇ Modification example Communication path between terminal and certificate authority server ⁇
  • the terminal 200B and the certificate authority server 100A exchange messages via the terminal 200A, but they may exchange messages directly.
  • the confirmation request message transmitted by the terminal 200B (see step S408 in FIG. 10) is received by the certificate authority server 100A as a part of the confirmation request transfer message (see step S411 in FIG. 11) via the terminal 200A. ..
  • the terminal 200B may directly transmit the confirmation request message to the certificate authority server 100A.
  • the confirmation response message (see step S416) may also be directly transmitted by the certificate authority server 100A to the terminal 200B without going through the terminal 200A.
  • the identity verification information 222 (see FIG. 6) stored in the terminal 200 is the value of the key owner of the owner certificate (see step S108 in FIG. 7).
  • the identity verification information 222 may be the same as the identity verification information stored in the certificate authority server 100. More specifically, in step S106, the authentication station server 100A is the owner certificate I A (O), the data obtained by combining the identification information stored in the electronic certificate database 130, the private key S A (C) It is signed and sent to the terminal 200A.
  • the terminal 200A may verify the signature and store the received identity verification information in the identity verification information 222.
  • the terminal 200 generates a homomorphic encryption key pair each time the owner identity confirmation process is performed (see step S406 in FIG. 10), but even if the previously generated key pair is reused. Good.
  • the key owner of the one-time electronic certificate is a random character string, but any information unrelated to the owner's identity verification information may be used. For example, there may be a terminal address or a request to issue an electronic certificate. It may be information generated from the time and the like.
  • the server that issues the digital certificate and the server that confirms the identity of the owner are the same certificate authority server 100, but they may be different servers. Further, in step S103 (see FIG. 7), the certificate authority server 100 confirms the identity verification document, but it may be manually confirmed offline.
  • the owner identity confirmation system 10 is an owner identity confirmation system 10 including a plurality of terminals 200 and a plurality of certificate authority servers 100, and the terminal 200B is a terminal 200B.
  • the storage unit 220 that stores the identity verification information 222 of the owner, the encryption information that encrypts the identity verification information of the owner of the terminal 200B with the public key of the quasi-identical cryptography, and the object of the owner identity verification.
  • the other party is provided with a confirmation request unit 215 that sends a confirmation request message including the electronic certificate of the other party's terminal 200A and the public key to the certificate authority server 100A that issued the electronic certificate to the other party's terminal 200A.
  • the certificate authority server 100A that issued the digital certificate to the terminal 200A of the other party has a storage unit 120 that stores the electronic certificate issued to the other party's terminal 200A in association with the identity verification information of the owner of the other party's terminal 200A.
  • the identity verification information of the owner of the partner terminal 200A is acquired from the electronic certificate of the partner terminal 200A, and the encryption text obtained by encrypting the identity verification information with the public key and the encrypted information.
  • the terminal 200B includes a confirmation response unit 113 that replies the confirmation response message including the reply encryption information including the reply encryption information that is the result of calculation according to the quasi-isomorphic encryption to the terminal 200B, and the terminal 200B provides the reply encryption information.
  • Identity that determines whether or not the identity verification information of the owner of the terminal 200B and the identity verification information of the owner of the other terminal 200A match depending on whether or not the result of decryption matches the predetermined value.
  • a determination unit 218 is further provided.
  • an owner identity confirmation system 10 it is possible to determine whether or not the owners of the terminal 200B and the other terminal 200A, which have different certificate authority servers 100 that issued the digital certificate, are the same. Specifically, the terminal 200B can be determined through processing with the certificate authority server 100A that has issued the digital certificate to the other terminal 200A. In addition, the identity verification information is encrypted and exchanged (encryption information and reply encryption information), and the identity verification information itself does not leak between the terminal 200B and the certificate authority server 100A. Can be confirmed whether or not they match. The same applies to the terminal 200A, and through processing with the certificate authority server 100B, it is possible to determine whether the owners are the same without leaking the identity verification information. Therefore, according to the owner identity confirmation system 10, it is possible to confirm the identity of the owner between terminals while ensuring safety.
  • the identity verification information is composed of one or more items, and the confirmation request unit 215 confirms the identity selected from the one or more items.
  • the identity verification information about the item is encrypted with the public key, the encrypted information is calculated, the item is included in the confirmation request message and transmitted, and the confirmation response unit 113 describes the item of the owner of the other party's terminal 200A.
  • the reply encryption information is calculated and replied, and the identity determination unit 218 decrypts the reply encryption information, and the result is a predetermined value. Depending on whether or not they match, it is determined whether or not the identity verification information of the owner of the terminal 200B for the item and the identity verification information of the owner of the other terminal 200A for the item match.
  • the identity of the owner can be confirmed not by the whole identity verification information but by a part (item). Therefore, even if the registered identity verification information is different, the identity of the owner can be confirmed by matching some of the identity verification information.
  • the confirmation request unit 215 transmits E (V1) as encrypted information to the identity confirmation information V1 of the owner of the terminal 200B, and the confirmation response unit 113 is the owner of the other terminal 200A.
  • a random number r is generated for the identity verification information V2, and E (V1) r ⁇ E (V2) -r is returned as reply encryption information, and the identity determination unit 218 outputs the decryption result of the reply encryption information. , It is determined whether or not V1 and V2 match depending on whether or not it is 1 which is a predetermined value.
  • the confirmation request unit 215 transmits a confirmation request message to the certificate authority server 100A that has issued the digital certificate to the other terminal 200A via the other terminal 200A.
  • the confirmation response unit 113 transmits the confirmation response message to the terminal 200B via the other party's terminal 200A.
  • the certificate authority server 100 can limit the terminal 200 as a communication partner to the terminal 200 for which it has issued an electronic certificate. As a result, communication from an unspecified terminal 200 can be avoided, and safety is improved.
  • the value of the key owner included in the digital certificate issued to the terminal 200 is irrelevant to the identity verification information of the owner of the terminal 200. Information.
  • an owner identity confirmation system 10 it is possible to determine whether or not the owners of the two terminals 200 are the same by using a one-time certificate that does not include the owner's identity verification information. Therefore, the terminal 200 can confirm the identity of the owner without leaking the identity verification information of the owner to the certificate authority server 100 of the other terminal 200.
  • the confirmation request message transmitted by the terminal 200 is a private key corresponding to the digital certificate and a private key corresponding to the model number electronic certificate indicating the model number of the terminal 200. It is signed with at least one of the private keys.
  • the certificate authority server 100 can acquire the model number (model) of the terminal 200. Therefore, the operator of the certificate authority server 100 can obtain information for improving the service.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Power Engineering (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

所有者同一性確認システムは、２つの端末（２００Ａ，２００Ｂ）の所有者が同一であるか否かを判断する。認証局サーバ（１００Ａ，１００Ｂ）は、端末に発行した電子証明書と、当該端末の所有者の本人確認情報とを関連付けて記憶する。端末（２００Ｂ）は、自身の所有者の本人確認情報を準同型暗号で暗号化した情報と相手の端末（２００Ａ）の電子証明書とを認証局サーバ（１００Ａ）に送信する。認証局サーバ（１００Ａ）は、端末（２００Ａ）の所有者の本人確認情報を暗号化した情報を含む返信暗号化情報を返信する。端末（２００Ｂ）は、返信暗号化情報を復号し、その結果が所定値と一致するか否かで、所有者の同一性を判断する。

Description

所有者同一性確認システムおよび所有者同一性確認方法
　本発明は、所有者同一性確認システムおよび所有者同一性確認方法に関する。
　商品の購入や行政続きなど各種サービスがオンラインで提供されるようになってきている。サービス提供にあたっては、本人確認を含めた利用者認証が必須である。
　利用者認証の一つとして、公開鍵暗号基盤を利用した利用者認証がある。公開鍵暗号基盤では、認証局（認証局の証明書発行サーバ、認証局サーバ）において利用者の本人確認書類（例えば、運転免許証など）が確認された後に、利用者が所有する端末に対して公開鍵証明書（電子証明書）が発行される。
　端末は、秘密鍵を用いてデータに対する署名（デジタル署名）を生成して、電子証明書とともにサーバ（利用者を認証してサービスを端末に提供するサーバ）に送信する。サーバは、電子証明書に付与された認証局の署名を確認（検証に成功）することで電子証明書が真正であることを確認する。次に、サーバは、電子証明書に含まれる公開鍵を用いて、データに付与された署名を検証する。検証に成功すれば、サーバは、データが利用者から送信されたものであることを確認できる。さらに、サーバは、電子証明書に含まれる情報から利用者本人に関する情報を得ることができる。
　利用者が複数の端末を所有しているときには、端末間でデータが共有できることが望ましい。例えば、複数の端末から１つのサービスを利用する場合、サービス利用時の利用者認証に用いられる秘密鍵を端末間で共有して、何れの端末からも同一利用者として認証されることが望ましい。また、コンテンツを複数の端末で視聴するために、著作権管理に必要なデータを共有したい場合もある。データを共有する際には、端末の所有者が同一であることが前提であり、共有する前に所有者が同一であることが確認される必要がある。
　複数の端末の所有者が同一であることを確認する技術として、非特許文献１に記載の技術がある。この技術では、それぞれの端末に対して電子証明書（所有者電子証明書）が発行される。２つの端末それぞれが、自身（自端末）の電子証明書と相手（相手の端末、相手端末）の電子証明書とを照合することで、所有者が同一であることを確認でき、端末間ないしは端末のアプリケーション（例えば、コンテンツ視聴アプリ）間でデータを共有することができるようになる。
　所有者が同一であることが求められる他の例として、パスワードに替わる認証技術であるＦＩＤＯ（Fast IDentity Online）におけるＦＩＤＯクライアントおよび認証器（Authenticator）の例がある。ＦＩＤＯクライアントと認証器とは、連携して利用者認証を実行するため、所有者が同じであるのが前提である。このため、利用者認証に先立ち、ＦＩＤＯクライアントの所有者と認証器の所有者が同一であることの確認が求められる。
緒方祐介他，非対称鍵を利用した認証方式の秘密鍵の維持管理に関する考察，2016年電子情報通信学会通信ソサイエティ大会，B-7-9，2016.
　所有者が同一である複数の端末において電子証明書を照合して所有者の同一性を確認する非特許文献１に記載の手法には、利便性向上や安全性向上の観点から２つのさらなる課題がある。１つは、電子証明書が異なる認証局から発行されていると、所有者の同一性が確認できないことである。認証局が異なると、本人確認情報の項目（種類）が異なっていたり、形式が異なっていたりして、同一所有者であるにもかかわらず照合できない場合がある。
　他は、電子証明書に含まれる本人確認情報が盗まれて悪用される虞があることである。端末が盗まれるなどして、不正な端末との間で、所有者の同一性確認処理が実行されると、電子証明書に含まれる本人確認情報に係る情報が漏洩して、悪用されるリスクが生じる。
　本発明は、このような背景を鑑みてなされたのであり、安全性を確保しつつ端末間で、所有者の同一性確認を可能とすることを課題とする。
　前記した課題を解決するため、所有者同一性確認システムは、複数の端末と、複数の認証局サーバとを含んで構成される所有者同一性確認システムであって、前記端末は、当該端末の所有者の本人確認情報を記憶する記憶部と、当該端末の所有者の本人確認情報を準同型暗号の公開鍵で暗号化した暗号化情報と、所有者同一性確認の対象となる相手端末の電子証明書と、当該公開鍵とを含む確認要求メッセージを、当該相手端末に電子証明書を発行した認証局サーバに送信する確認要求部と、を備え、前記相手端末に電子証明書を発行した認証局サーバは、当該相手端末に発行した電子証明書と、当該相手端末の所有者の本人確認情報とを関連付けて記憶する記憶部と、前記確認要求メッセージを受信すると、当該相手端末の電子証明書から当該相手端末の所有者の本人確認情報を取得して、前記公開鍵で当該本人確認情報を暗号化した暗号文と、前記暗号化情報とを、前記準同型暗号に応じた演算で計算した結果である返信暗号化情報を含む確認応答メッセージを、前記端末に返信する確認応答部と、を備え、前記端末は、前記返信暗号化情報を復号し、その結果が所定値と一致するか否かで、当該端末の所有者の本人確認情報と、前記相手端末の所有者の本人確認情報とが一致するか否かを判断する同一性判断部をさらに備える。
　本発明によれば、安全性を確保しつつ端末間で、所有者の同一性確認が可能となる。
本実施形態に係る所有者同一性確認システムの全体構成図である。 本実施形態に係るコンピュータのハードウェア構成図である。 本実施形態に係る認証局サーバの機能構成図である。 本実施形態に係る電子証明書データベースのデータ構成図である。 本実施形態に係るコンピュータのハードウェア構成図である。 本実施形態に係る端末の機能構成図である。 本実施形態に係る所有者電子証明書の発行処理のシーケンス図である。 本実施形態に係るワンタイム電子証明書の発行処理のシーケンス図である。 本実施形態に係る所有者同一性確認処理のシーケンス図（１）である。 本実施形態に係る所有者同一性確認処理のシーケンス図（２）である。 本実施形態に係る所有者同一性確認処理のシーケンス図（３）である。
　以下に、本発明を実施するための形態（実施形態）における、端末の所有者の同一性を確認する所有者同一性確認システムを説明する。所有者同一性確認システムは、端末および端末に電子証明書（単に証明書とも記す）を発行する認証局サーバを含んで構成される。認証局サーバは、端末に電子証明書を発行した際の所有者確認において参照した本人確認情報を保持している。また、端末も、自身の所有者の本人確認情報を記憶する。
　電子証明書には、所有者電子証明書とワンタイム電子証明書との２種類がある。最初に、端末の所有者の本人確認情報を確認したうえで、認証局サーバは、端末に対して所有者電子証明書を発行し、本人確認情報と関連付けて所有者電子証明書を記憶する。
　端末は、自身（自端末）の所有者と、他の端末（相手端末）の所有者との同一性を確認するときに、所有者電子証明書を発行した認証局サーバ（自身の認証局サーバ）に、ワンタイム電子証明書の発行を要求する。発行要求は、所有者電子証明書に対応する秘密鍵で署名される。認証局サーバは、端末に対してワンタイム電子証明書を発行し、所有者電子証明書と関連付けて、延いては本人確認情報と関連付けてワンタイム電子証明書を記憶する。
　所有者同一性確認システムでは、端末と、相手端末の認証局サーバとの間で、端末と相手端末の所有者が同一か否かを判断する。判断には、端末が、自身が保持する本人確認情報を準同型暗号で暗号化した暗号化情報を、相手端末を介して相手端末の認証局サーバに送信する。受信した相手端末の認証局サーバは、自身が保持する相手端末の本人確認情報を準同型暗号で暗号化し、受信した暗号化情報と掛け合わせた返信暗号化情報を、相手端末を介して端末に返信する。端末は、受信したデータを復号して、所定の値に一致すれば、自身が保持する本人確認情報と、相手端末の認証局サーバが保持する相手端末の本人確認情報とが同一と判断し、２つの端末の所有者が同一であると判断する。本人確認情報は、準同型暗号で暗号化されたまま比較されているため、端末と認証局サーバとの間で、本人確認情報が漏洩することはない。
≪所有者同一性確認システムの全体構成≫
　図１は、本実施形態に係る所有者同一性確認システム１０の全体構成図である。所有者同一性確認システム１０は、複数の認証局サーバ１００、および複数の端末２００を含んで構成される。認証局サーバ１００、および端末２００は、ネットワーク９００を介して相互に通信可能である。ネットワーク９００には、認証局サーバ１００に電子証明書を発行したルート認証局３００のサーバが接続されてもよい。
≪認証局サーバのハードウェア構成≫
　図２は、本実施形態に係るコンピュータ１００Ｚのハードウェア構成図である。コンピュータ１００Ｚは、ＣＰＵ１０１、ＲＡＭ（Random Access Memory）１０２、ＲＯＭ（Read Only Memory）１０３、ＳＳＤ（Solid State Drive）１０４、ＮＩＣ（Network Interface Card）１０５、入出力インタフェース１０６（図２では入出力Ｉ／Ｆ（interface）と記載）、およびメディアドライブ１０７を含んで構成される。
　ＮＩＣ１０５は、ネットワーク９００に接続される。入出力インタフェース１０６には、ディスプレイやキーボード、マウスなどのユーザインタフェース装置１９８（図２ではＵＩ（User Interface）装置と記載）が接続される。メディアドライブ１０７は、記録媒体１９９上のプログラムを読み取る。記録媒体１９９は、ＤＶＤ（Digital Versatile Disc）などの光学記録媒体、ＭＯ（Magneto Optical disk）等の光磁気記録媒体、磁気記録媒体、および半導体メモリなどである。読み取られたプログラム（後記する図３の認証局プログラム１２１参照）をＣＰＵ１０１が実行することで、コンピュータ１００Ｚは、以下に説明する認証局サーバ１００として機能する。
≪認証局サーバの機能構成≫
　図３は、本実施形態に係る認証局サーバ１００の機能構成図である。認証局サーバ１００は、制御部１１０、記憶部１２０、および入出力部１５０を含んで構成される。入出力部１５０は、ＮＩＣ１０５、入出力インタフェース１０６、およびメディアドライブ１０７を含んで構成され、端末２００（図１参照）や他の認証局サーバ１００（図１参照）との通信データの送受信を行う。また、入出力部１５０は、記録媒体１９９から認証局プログラム１２１を読み込む。記憶部１２０は、認証局プログラム１２１や電子証明書データベース１３０（後記する図４参照）、秘密鍵やルート認証局３００が発行した自身の電子証明書を含む、認証局サーバ１００として機能するために必要なデータを記憶する。
≪認証局サーバの電子証明書データベース≫
　図４は、本実施形態に係る電子証明書データベース１３０のデータ構成図である。電子証明書データベース１３０は、例えば表形式のデータである。電子証明書データベース１３０の１つの行（レコード）は、認証局サーバ１００自身が発行した１つの電子証明書を示し、識別情報１３１、種別１３２、鍵所有者１３３、関連証明書１３４、本人確認情報１３５、および電子証明書１３６を含んで構成される。
　識別情報１３１は、電子証明書の識別情報（例えば、電子証明書に含まれるシリアル番号）である。種別１３２は、電子証明書の種別である。種別１３２には、所有者を確認したうえで端末２００に発行された所有者電子証明書を示す「所有者」、所有者同一性確認のために端末に一時的に発行された電子証明書を示す「ワンタイム」などがある。鍵所有者１３３は、電子証明書の発行先であり、鍵ペア（秘密鍵と公開鍵）の所有者（電子証明書のSubjectフィールド）を示す。関連証明書１３４は、関連する電子証明書の識別情報１３１である。関連する電子証明書とは、例えば、ワンタイム電子証明書において、ワンタイム電子証明書の発行先である端末の所有者電子証明書である。
　本人確認情報１３５は、所有者電子証明書を発行した際に確認された本人確認情報である。本人確認情報としては、住民票や運転免許証などに示される情報があり、この本人確認情報１３５には、本人確認情報のデータ（画像データや電子データ）、住所、氏名、運転免許証番号、ないしは本人確認情報にアクセスするための情報が含まれる。電子証明書１３６は、認証局サーバ１００自身が発行した電子証明書データである。なお、電子証明書には、公開鍵（電子証明書のSubject Public Key Infoフィールド）の他に、鍵所有者１３３（Subjectフィールド）、発行した認証局の識別情報（Issuerフィールド）、有効期間（Validityフィールド）、シリアル番号（Serial Numberフィールド）などが含まれる。
　レコード１３８は、識別情報１３１が「３８４７３８５７」である所有者電子証明書のレコードであって、鍵所有者１３３は所有者の名前であり、本人確認情報１３５として所有者の住所が含まれている。レコード１３９は、識別情報１３１が「８４７３６４０１」であるワンタイム電子証明書のレコードであって、レコード１３８に示される電子証明書と関連している。詳しくは、レコード１３９の電子証明書は、レコード１３８の電子証明書の発行先である端末に対して発行されたワンタイム電子証明書である。ワンタイム電子証明書のレコード１３９は、本人確認情報１３５に本人確認情報を含まないが、認証局サーバ１００は、関連証明書１３４に示された所有者電子証明書のレコード１３８の本人確認情報１３５から本人確認情報を取得できる。
≪認証局サーバの制御部≫
　図３に戻り、制御部１１０の説明を続ける。制御部１１０は、電子証明書発行部１１１、確認受付部１１２、および確認応答部１１３を含んで構成される。
　電子証明書発行部１１１は、端末２００（図１参照）からの要求に応じて、電子証明書を発行する。発行された電子証明書は、電子証明書データベース１３０に記憶される。
　確認受付部１１２は、端末２００から、乱数を要求する端末発確認要求開始メッセージ（後記する図１０のステップＳ４０１参照）を受信して、乱数を返信する。
　確認応答部１１３は、端末２００から、所有者の同一性を確認する相手の端末２００の情報を含む確認要求転送メッセージ（後記する図１１のステップＳ４１１参照）を受信する。また、確認応答部１１３は、相手の端末２００の認証局サーバ１００として記憶している所有者の本人確認情報を、準同型暗号の公開鍵で暗号化したデータと、受信した暗号化情報とを掛け合わせて返信暗号化情報を生成する。確認応答部１１３は、返信暗号化情報を含んだ確認応答メッセージ（後記する図１１のステップＳ４１６参照）を返信する。
≪端末のハードウェア構成≫
　図５は、本実施形態に係るコンピュータ２００Ｚのハードウェア構成図である。コンピュータ２００Ｚは、コンピュータ１００Ｚ（図２参照）と同様の構成をしている。メディアドライブ２０７は、記録媒体２９９上のプログラムを読み取る。読み取られたプログラム（後記する図６の端末プログラム２２１参照）をＣＰＵ２０１が実行することで、コンピュータ２００Ｚは、以下に説明する端末２００として機能する。
≪端末の機能構成≫
　図６は、本実施形態に係る端末２００の機能構成図である。端末２００は、制御部２１０、記憶部２２０、および入出力部２５０を含んで構成される。記憶部２２０は、ＲＡＭ２０２、ＲＯＭ２０３、およびＳＳＤ２０４など（図５参照）から構成され、以下に説明する暗号鍵や電子証明書、本人確認情報２２２を含む所有者同一性確認の処理に必要なデータを記憶する。電子証明書には、所有者電子証明書やワンタイム電子証明書の他に、端末２００の型番（モデル）の情報を含む型番電子証明書がある。
　入出力部２５０は、ＮＩＣ２０５、入出力インタフェース２０６、およびメディアドライブ２０７（図５参照）を含んで構成され、他の端末２００や認証局サーバ１００との通信データの送受信を行う。また、入出力部２５０は、記録媒体２９９から端末プログラム２２１を読み込む。さらに、入出力部２５０は、端末の利用者からの操作を受け付けたり、利用者に向けて情報を表示したりする。
　制御部２１０は、電子証明書要求部２１１、端末認証部２１２、確認要求開始部２１３、確認要求開始応答部２１４、確認要求部２１５、確認要求転送部２１６、確認応答転送部２１７、および同一性判断部２１８を含んで構成される。
　電子証明書要求部２１１は、認証局サーバ１００に対して電子証明書の発行を要求する。
　端末認証部２１２は、所有者の同一性を確認する相手の端末２００を認証したり、所有者同一性を確認するために、自身と相手の端末２００の所有者について、同一性を確認する本人確認情報を決めたりする。
　同一性を確認する本人確認情報とは、住所、氏名、運転免許証番号などの、同一であることを確認する本人確認情報の項目（種別）である。例えば、端末認証部２１２は、同一性を確認する項目を、自身と、相手の端末２００との双方が共通して記憶する本人確認情報２２２の項目とする。
　確認要求開始部２１３は、認証局サーバ１００に後記する端末発確認要求開始メッセージ（後記する図１０のステップＳ４０１参照）を送信する。
　確認要求開始応答部２１４は、認証局サーバ１００から受信した乱数を相手の端末２００に送信する（ステップＳ４０５参照）。
　確認要求部２１５は、自身が記憶する所有者の本人確認情報を準同型暗号の公開鍵で暗号化した情報（暗号化情報）を含む確認要求メッセージ（ステップＳ４０８参照）を相手の端末２００に送信する。
　確認要求転送部２１６は、上記の確認要求メッセージに署名し、確認要求転送メッセージとして自身の認証局サーバ１００に転送する（後記する図１１のステップＳ４１１参照）。
　確認応答転送部２１７は、認証局サーバ１００が送信した確認応答メッセージ（ステップＳ４１６参照）に署名し、確認応答転送メッセージとして相手の端末に転送する（ステップＳ４１７参照）。
　同一性判断部２１８は、確認応答転送メッセージを受信し、２つの端末２００の所有者が同一か否かを判定する。
≪記号≫
　所有者同一性確認処理の説明を始める前に、説明に用いる記号を説明する。
　Ｉｄ （Ｏ）は、端末ｄの所有者電子証明書である。所有者電子証明書は、認証局サーバ１００が端末２００に対して発行する。発行済みの所有者電子証明書は、電子証明書データベース１３０に記憶されている。
　Ｉｄ （Ｐ）は、端末ｄのワンタイム電子証明書である。ワンタイム電子証明書は、所有者電子証明書を発行した認証局サーバ１００が端末２００に対して発行する。発行済みのワンタイム電子証明書は、電子証明書データベース１３０に記憶されている。ワンタイム電子証明書は、同一性確認処理の間だけ有効であればよく、その有効期間は、所有者電子証明書の有効期間よりも短い。
　Ｉｄ （Ｍ）は、端末ｄの型番電子証明書である。型番電子証明書は、認証局サーバ１００が端末２００に対して発行する。発行済みの型番電子証明書は、電子証明書データベース１３０に記憶されている。型番電子証明書を発行する認証局サーバ１００は、所有者電子証明書を発行する認証局サーバ１００と同一であるとは限らない。型番電子証明書のみを発行し、他の種類の電子証明書は発行しない認証局サーバ１００が存在してもよい。
　Ｉｄ （Ｃ）は、認証局サーバｄの電子証明書である。認証局サーバ１００の電子証明書は、ルート認証局３００（ルート認証局のサーバ、図１参照）が発行する。
　Ｎｄ１，ｄ２は、認証局ｄ２から端末ｄ１に向けて生成された乱数（ｎｏｎｃｅ）である。
　Ｖ＋Ｗは、データＶとデータＷを結合したデータである。
　ＭＳ（Ｍ，Ｋ）は、データＭに秘密鍵Ｋで署名した、署名付きデータである。
　ＭＳ（Ｍ，Ｋ１，Ｋ２）は、データＭに秘密鍵Ｋ１で署名し、さらに、この署名付きデータに秘密鍵Ｋ２で署名した二重の署名付きデータである。
　Ｑｄは、端末ｄから認証局サーバ１００に送信されるワンタイム電子証明書の発行要求申請書である。Ｑｄは、端末ｄで生成され、ワンタイム電子証明書に含まれる公開鍵を含む。
　Ｓｄ （Ｏ）は、端末ｄの所有者電子証明書Ｉｄ （Ｏ）に対応する秘密鍵である。
　Ｓｄ （Ｐ）は、端末ｄのワンタイム電子証明書Ｉｄ （Ｐ）に対応する秘密鍵である。
　Ｓｄ （Ｍ）は、端末ｄの型番電子証明書Ｉｄ （Ｍ）に対応する秘密鍵である。
　Ｓｄ （Ｃ）は、認証局ｄの電子証明書Ｉｄ （Ｃ）に対応する秘密鍵である。
　ＥＰＫは、公開鍵ＰＫを用いた準同型暗号の暗号化関数である。
　ＤＳＫは、秘密鍵ＳＫを用いた準同型暗号の復号関数である。公開鍵ＰＫと秘密鍵ＳＫのペアは、端末２００により生成される。
　Ｃｄ１は、端末ｄ１によって計算された、本人確認情報に対する準同型暗号の暗号化関数ＥＰＫを用いて暗号化した結果（暗号化情報とも記す）である。暗号化情報Ｃｄ１の計算方法の詳細は後記する。
　Ｃｄ２’は、暗号化情報Ｃｄ１を受信した認証局ｄ２によって計算される。Ｃｄ２’は、暗号化情報Ｃｄ１と、本人確認情報に対する準同型暗号の暗号化関数ＥＰＫを用いて暗号化した結果とを準同型暗号に応じた演算で計算した結果（返信暗号化情報とも記す）である。返信暗号化情報Ｃｄ２’の計算方法の詳細は後記する。
　Ｌｄ１，ｄ２は、端末ｄ１と端末ｄ２との間で所有者同一性確認を行う本人確認情報の項目のリストである。
≪準同型暗号≫
　準同型暗号ＥＰＫとは、平文Ｍ１の暗号文ＥＰＫ（Ｍ１）と平文Ｍ２の暗号文ＥＰＫ（Ｍ２）から、ＥＰＫ（Ｍ１＋Ｍ２）が計算できる暗号である。ここで、＋は、加法とは限らず、何らかの二項演算である。例えば、ＲＳＡ暗号では、ＥＰＫ（Ｍ１）×ＥＰＫ（Ｍ２）＝ＥＰＫ（Ｍ１×Ｍ２）である。つまり、暗号文の積を復号すると、平文の積となる。他の例として、ElGamal暗号がある。
　また、Paillier暗号では、ＥＰＫ（Ｍ１）×ＥＰＫ（Ｍ２）＝ＥＰＫ（Ｍ１＋Ｍ２）となる。つまり、暗号文の積を復号すると、平文の和となる。他の例として、楕円曲線暗号がある。
　以下に、Paillier暗号を用いた、暗号化情報Ｃｄ１と返信暗号化情報Ｃｄ２’の計算方法を説明する。
　Paillier暗号の秘密鍵は、同じ長さの素数ｐと素数ｑである。
　公開鍵は、Ｎ＝ｐ×ｑである。
　暗号化関数をＥＮと記し、復号関数をＤｐ，qと記す。
　平文Ｍの暗号文は、乱数ｒを生成して、ＥＮ（Ｍ）＝（１＋Ｎ）Ｍ×ｒＮ　ｍｏｄＮ２である。以下では、ｍｏｄＮ２を省いて説明する。
　ＥＮ（Ｍ１）＝（１＋Ｎ）Ｍ１×ｒＮ、ＥＮ（Ｍ２）＝（１＋Ｎ）Ｍ２×ｓＮとする。ここで、乱数ｒと乱数ｓは、それぞれ平文Ｍ１と平文Ｍ２を暗号化するときに生成した乱数である。すると、
　ＥＮ（Ｍ１）×ＥＮ（Ｍ２）
＝（１＋Ｎ）Ｍ１×ｒＮ×（１＋Ｎ）Ｍ２×ｓＮ
＝（１＋Ｎ）Ｍ１＋Ｍ２×（ｒ×ｓ）Ｎ
＝ＥＮ（Ｍ１＋Ｍ２）
であるので、Paillier暗号は準同型暗号である。
　続いて、暗号化情報Ｃｄ１と返信暗号化情報Ｃｄ２’の計算方法を説明する。以下では、端末２００Ｂが暗号化情報Ｃｄ１を生成し、相手の端末２００Ａの認証局サーバ１００Ａが返信暗号化情報Ｃｄ２’を生成するとして説明する（後記する図１０、図１１参照）。
　同一性を確認する端末２００Ｂが記憶する本人確認情報をＶＢとし、認証局サーバ１００Ａが記憶する本人確認情報をＶＡとする。なお、本人確認情報ＶＡ，ＶＢとは、本人確認情報の項目リストＬｄ１，ｄ２に含まれる項目に対応する本人確認情報のことである。
　また、端末２００Ｂが、暗号化情報ＣＢを計算し、暗号化情報ＣＢと、端末２００Ｂの公開鍵Ｎを受信した認証局サーバ１００Ａが返信暗号化情報ＣＣＡ＿Ａ’を計算するとする。端末２００Ｂは、乱数ｒを生成して、本人確認情報ＶＢの暗号文である暗号化情報ＣＢ＝ＥＮ（ＶＢ）＝（１＋Ｎ）ＶＢ×ｒＮを計算して、公開鍵Ｎとともに端末２００Ａを介して認証局サーバ１００Ａに送信する。
　認証局サーバ１００Ａは、乱数ｓと乱数ｔとを生成して、自身が記憶する本人確認情報ＶＡを暗号化して暗号文ＥＮ（ＶＡ）を計算する。次に、認証局サーバ１００Ａは、暗号化情報ＣＢ（＝ＥＮ（ＶＢ））と暗号文ＥＮ（ＶＡ）から、以下に示すように返信暗号化情報ＣＣＡ＿Ａ’を計算して、端末２００Ｂに送信する。
　ＣＣＡ＿Ａ’＝（ＣＢ）ｓ×ＥＮ（ＶＡ）－ｓ
＝（ＣＢ）ｓ×（（１＋Ｎ）ＶＡ×ｔＮ）－ｓ
　ＣＣＡ＿Ａ’＝（（１＋Ｎ）ＶＢ×ｒＮ）ｓ×（１＋Ｎ）－ｓＶＡ×ｔ－ｓＮ
＝（１＋Ｎ）ｓＶＢ×ｒｓＮ×（１＋Ｎ）－ｓＶＡ×ｔ－ｓＮ
＝（１＋Ｎ）ｓＶＢ×（１＋Ｎ）－ｓＶＡ×ｒｓＮ×ｔ－ｓＮ
＝（１＋Ｎ）ｓ（ＶＢ－ＶＡ）×（ｒｓ×ｔ－ｓ）Ｎ
であるため、端末２００Ｂが返信暗号化情報ＣＣＡ＿Ａ’を復号した結果は、Ｄｐ，ｑ（ＣＣＡ＿Ａ’）＝ｓ（ＶＢ－ＶＡ）である。よって、復号結果が０ならば、端末２００Ｂと認証局サーバ１００Ａとがもつ本人確認情報ＶＢ，ＶＡが同一であることがわかる。
　復号結果が０でなければ、端末２００Ｂは、本人確認情報が不一致であることがわかる。乱数ｓは認証局サーバ１００Ａが生成した乱数であり、Ｄｐ，ｑ（ＣＣＡ＿Ａ’）＝ｓ（ＶＢ－ＶＡ）は乱数となるため、端末２００Ｂは、本人確認情報ＶＡについての情報は得られず、本人確認情報ＶＡが漏洩することはない。逆に、端末２００Ｂの本人確認情報ＶＢについて、認証局サーバ１００Ａは、暗号化された暗号化情報ＣＢのみを取得しているので情報は得られず、本人確認情報ＶＢが漏洩することはない。つまり、本人確認情報が不一致である場合には、端末２００Ｂおよび認証局サーバ１００Ａの双方とも、相手に本人確認情報を漏らすことがない。
　以上は、Paillier暗号を用いた本人確認情報の同一性確認の例であるが、暗号文の積が、平文の和の暗号となる準同型暗号でも同様に可能である。ＥＰＫをＥＰＫ（Ｍ１）×ＥＰＫ（Ｍ２）＝ＥＰＫ（Ｍ１＋Ｍ２）である準同型暗号とする。
　端末２００Ｂは、本人確認情報ＶＢを暗号化して暗号化情報ＣＢ＝ＥＰＫ（ＶＢ）を算出し、端末２００Ａを介して認証局サーバ１００Ａに送信する。
　認証局サーバ１００Ａは、乱数ｓを生成して、以下のように返信暗号化情報ＣＣＡ＿Ａ’を計算して、端末２００Ｂに送信する。
　ＣＣＡ＿Ａ’＝（ＣＢ）ｓ×ＥＰＫ（ＶＡ）－ｓ
　ＣＣＡ＿Ａ’＝ＥＰＫ（ＶＢ）ｓ×ＥＰＫ（ＶＡ）－ｓ
＝ＥＰＫ（ｓＶＢ）×ＥＰＫ（－ｓＶＡ）
＝ＥＰＫ（ｓＶＢ－ｓＶＡ）
＝ＥＰＫ（ｓ（ＶＢ―ＶＡ））
であるため、端末２００Ｂは、返信暗号化情報ＣＣＡ＿Ａ’を復号すると、ＤＳＫ（ＣＣＡ＿Ａ’）＝ｓ（ＶＢ―ＶＡ）を得て、０であるか否かで本人確認情報ＶＢと本人確認情報ＶＡとの同一性を判定できる。
　暗号文の積が、平文の積の暗号となる準同型暗号でも同様に可能である。ＥＰＫをＥＰＫ（Ｍ１）×ＥＰＫ（Ｍ２）＝ＥＰＫ（Ｍ１×Ｍ２）となる準同型暗号とする。
　端末２００Ｂは、本人確認情報ＶＢを暗号化して暗号化情報ＣＢ＝ＥＰＫ（ＶＢ）を算出し、認証局サーバ１００Ａに送信する。
　認証局サーバ１００Ａは、乱数ｓを生成して、以下のように返信暗号化情報ＣＣＡ＿Ａ’を計算して、端末２００Ｂに送信する。
　ＣＣＡ＿Ａ’＝（ＣＢ）ｓ×ＥＰＫ（ＶＡ）－ｓ
　ＣＣＡ＿Ａ’＝ＥＰＫ（ＶＢ）ｓ×ＥＰＫ（ＶＡ）－ｓ
＝ＥＰＫ（ＶＢｓ）×ＥＰＫ（ＶＡ－ｓ）
＝ＥＰＫ（ＶＢｓ×ＶＡ－ｓ）
＝ＥＰＫ（（ＶＢ／ＶＡ）ｓ）
であるため、端末２００Ｂは、返信暗号化情報ＣＣＡ＿Ａ’を復号すると、ＤＳＫ（ＣＣＡ＿Ａ’）＝（ＶＢ／ＶＡ）ｓを得て、１であるか否かで本人確認情報ＶＢと本人確認情報ＶＡとの同一性を判定できる。
　以上に説明したように、端末２００Ｂは、自身が記憶する本人確認情報ＶＢを、準同型暗号を用いて暗号化して暗号化情報ＣＢ（＝ＥＰＫ（ＶＢ））として認証局サーバ１００Ａに送信する。認証局サーバ１００Ａは、自身が記憶する本人確認情報ＶＡを暗号化した結果（ＥＰＫ（ＶＡ））と、受信した暗号化情報ＣＢとを掛け合わせて、返信暗号化情報ＣＣＡ＿Ａ’を計算して、端末２００Ｂに返信する。端末２００Ｂは、返信暗号化情報ＣＣＡ＿Ａ’を復号した結果が所定値（上記の例では０または１）であれば、端末２００Ｂと認証局サーバ１００Ａの双方が記憶する本人確認情報は、同一であると判断する。
　以下の説明において、秘密鍵Ｓで生成した署名を検証するときには、秘密鍵Ｓに対応した電子証明書から公開鍵を取得し、この公開鍵を用いて署名を検証する。署名の検証に失敗した場合には、所有者電子証明書の発行処理やワンタイム電子証明書の発行処理、所有者同一性確認処理を中止する。
　なお、電子証明書には認証局サーバ１００の署名が付与されており、認証局サーバ１００の公開鍵を用いて電子証明書の署名を検証する。認証局サーバ１００の公開鍵は、ルート認証局３００（図１参照）が発行した認証局サーバ１００の電子証明書をルート認証局３００の公開鍵を使って署名を検証した後に取得する。なお、ルート認証局３００の公開鍵は記憶部１２０，２２０（図３および図６参照）に記憶されている。また、電子証明書には、有効期間が含まれている。検証時点が有効期間に含まれていない場合には、電子証明書の検証は失敗となる。
　電子証明書には、発行者（Issuerフィールド）として電子証明書を発行した認証局（認証局サーバ１００）の識別情報が含まれており、何れの認証局の電子証明書から公開鍵を取得するかがわかる。
≪所有者電子証明書の発行処理≫
　図７は、本実施形態に係る所有者電子証明書の発行処理のシーケンス図である。図７を参照して、認証局サーバ１００Ａが端末２００Ａに所有者電子証明書を発行する処理を説明する。
　ステップＳ１０１において端末２００Ａの電子証明書要求部２１１は、公開鍵暗号の鍵ペア（秘密鍵と公開鍵）を生成する。
　ステップＳ１０２において電子証明書要求部２１１は、ステップＳ１０１において生成した公開鍵と本人確認書類の情報とを認証局サーバ１００Ａに送信して、所有者電子証明書の発行を要求する。この送信メッセージは、ステップＳ１０１において生成された秘密鍵で署名されてもよい。
　ステップＳ１０３において認証局サーバ１００Ａの電子証明書発行部１１１は、ステップＳ１０２で受信した本人確認書類が真正であることを確認する。次に、電子証明書発行部１１１は、端末２００Ａの所有者と本人確認書類に記載の当人とが一致することを確認する。
　ステップＳ１０４において電子証明書発行部１１１は、電子証明書データベース１３０（図４参照）にレコードを追加して、本人確認情報１３５に本人確認書類の情報、および本人確認書類に記載の本人情報（住所、氏名など、本人確認情報とも記す）を格納する。
　ステップＳ１０５において電子証明書発行部１１１は、ステップＳ１０２で受信した公開鍵を含む所有者電子証明書ＩＡ （Ｏ）を発行する。所有者電子証明書の鍵所有者（Subjectフィールド）は、ステップＳ１０３において確認された、氏名や住所などの所有者の本人確認情報全体またはその一部とする。電子証明書発行部１１１は、ステップＳ１０４で追加したレコードの識別情報１３１に発行した所有者電子証明書のシリアル番号を格納する。さらに、電子証明書発行部１１１は、種別１３２に「所有者」を、鍵所有者１３３に鍵所有者を、関連証明書１３４に「－」を、電子証明書１３６に発行した所有者電子証明書のデータを格納する。
　ステップＳ１０６において電子証明書発行部１１１は、ステップＳ１０２の要求に対する応答として、発行した所有者電子証明書ＩＡ （Ｏ）を端末２００Ａに返信する。
　ステップＳ１０７において端末２００Ａの電子証明書要求部２１１は、受信した所有者電子証明書ＩＡ （Ｏ）の認証局サーバ１００Ａの署名を検証する。
　ステップＳ１０８において端末２００Ａの電子証明書要求部２１１は、受信した所有者電子証明書ＩＡ （Ｏ）を記憶部２２０に記憶する。また、電子証明書要求部２１１は、所有者電子証明書ＩＡ （Ｏ）の鍵所有者（Subjectフィールド）の値として含まれる本人確認情報を本人確認情報２２２（図６参照）に格納する。
　以上、認証局サーバ１００Ａが端末２００Ａに所有者電子証明書を発行する処理を説明した。同様にして、認証局サーバ１００Ｂが端末２００Ｂに所有者電子証明書を発行する。この認証局サーバ１００Ｂが端末２００Ｂに所有者電子証明書を発行する処理は、図７と同様であるため、記載を省略する。この状態において、端末２００Ａ，２００Ｂは、所有者電子証明書やこれに対応する秘密鍵を記憶する。また、認証局サーバ１００Ａ，１００Ｂは、所有者電子証明書に関連付けて本人確認情報を記憶している。端末２００Ａ，２００Ｂは、本人確認情報２２２（図６参照）を記憶している。
≪ワンタイム電子証明書の発行処理≫
　図８は、本実施形態に係るワンタイム電子証明書の発行処理のシーケンス図である。図８を参照して、認証局サーバ１００Ａが端末２００Ａにワンタイム電子証明書を発行する処理を説明する。
　ステップＳ２０１において端末２００Ａの電子証明書要求部２１１は、公開鍵暗号の鍵ペア（秘密鍵と公開鍵）を生成する。
　ステップＳ２０２において電子証明書要求部２１１は、ステップＳ２０１において生成した公開鍵を含むワンタイム電子証明書の発行要求を認証局サーバ１００Ａに送信する。詳しくは、電子証明書要求部２１１は、公開鍵を含みワンタイム電子証明書の発行要求申請書ＱＡをステップＳ２０１で生成した秘密鍵で署名したＭＳ（ＱＡ，ＳＡ （Ｐ））を生成する。次に、電子証明書要求部２１１は、署名したデータに、自身の所有者電子証明書ＩＡ （Ｏ）と型番電子証明書ＩＡ （Ｍ）を結合して、自身の所有者電子証明書の秘密鍵ＳＡ （Ｏ）と型番電子証明書の秘密鍵ＳＡ （Ｍ）とで署名して、ＭＳ（ＭＳ（ＱＡ，ＳＡ （Ｐ））＋ＩＡ （Ｏ）＋ＩＡ （Ｍ），ＳＡ （Ｏ），ＳＡ （Ｍ））を生成する。電子証明書要求部２１１は、ワンタイム電子証明書の発行要求としてＭＳ（ＭＳ（ＱＡ，ＳＡ （Ｐ））＋ＩＡ （Ｏ）＋ＩＡ （Ｍ），ＳＡ （Ｏ），ＳＡ （Ｍ））を認証局サーバ１００Ａに送信する。
　ステップＳ２０３において認証局サーバ１００Ａの電子証明書発行部１１１は、ステップＳ２０２で受信したワンタイム電子証明書の発行要求の秘密鍵ＳＡ （Ｍ），ＳＡ （Ｏ），ＳＡ （Ｐ）による署名を検証する。
　ステップＳ２０４において電子証明書発行部１１１は、ステップＳ２０２で受信したＱＡに含まれる公開鍵を含むワンタイム電子証明書ＩＡ （Ｐ）を発行する。ワンタイム電子証明書の鍵所有者はランダムな文字列である。
　ステップＳ２０５において電子証明書発行部１１１は、ワンタイム電子証明書ＩＡ （Ｐ）を所有者電子証明書ＩＡ （Ｏ）と関連付けて格納する。詳しくは、電子証明書発行部１１１は、電子証明書データベース１３０（図４参照）にレコードを追加して、識別情報１３１に発行したワンタイム電子証明書のシリアル番号を格納する。さらに、電子証明書発行部１１１は、種別１３２に「ワンタイム」を、鍵所有者１３３に鍵所有者を、本人確認情報１３５に「－」を、電子証明書１３６に発行したワンタイム電子証明書のデータを格納する。電子証明書発行部１１１は、関連証明書１３４にステップＳ２０２で受信した所有者電子証明書ＩＡ （Ｏ）のシリアル番号を格納する。ワンタイム電子証明書の関連証明書１３４に対応する電子証明書の本人確認情報１３５を参照することで、認証局サーバ１００は、ワンタイム電子証明書が発行された端末２００の所有者についての本人確認情報にアクセスできる。
　ステップＳ２０６において電子証明書発行部１１１は、発行したワンタイム電子証明書ＩＡ （Ｐ）を端末２００Ａに返信する。詳しくは、電子証明書発行部１１１は、ワンタイム電子証明書ＩＡ （Ｐ）に認証局サーバ１００Ａの電子証明書ＩＡ （Ｃ）を結合して、電子証明書ＩＡ （Ｃ）に対応する秘密鍵ＳＡ （Ｃ）で署名したＭＳ（ＩＡ （Ｐ）＋ＩＡ （Ｃ），ＳＡ （Ｃ））を、ステップＳ２０２の要求に対する応答として返信する。
　ステップＳ２０７において端末２００Ａの電子証明書要求部２１１は、受信したＭＳ（ＩＡ （Ｐ）＋ＩＡ （Ｃ），ＳＡ （Ｃ））の秘密鍵ＳＡ （Ｃ）よる署名、およびワンタイム電子証明書ＩＡ （Ｐ）の署名を検証する。
　ステップＳ２０８において端末２００Ａの電子証明書要求部２１１は、ワンタイム電子証明書ＩＡ （Ｐ）を記憶部２２０に記憶する。
　以上、認証局サーバ１００Ａが端末２００Ａにワンタイム電子証明書を発行する処理を説明した。同様にして、認証局サーバ１００Ｂが端末２００Ｂにワンタイム電子証明書を発行する。この認証局サーバ１００Ｂが端末２００Ｂにワンタイム電子証明書を発行する処理は、図８と同様であるため、記載を省略する。この状態において、端末２００Ａ，２００Ｂは、ワンタイム電子証明書やこれに対応する秘密鍵を記憶する。また、認証局サーバ１００Ａ，１００Ｂは、所有者電子証明書に関連付けて、延いては本人確認情報に関連付けてワンタイム電子証明書を記憶している。
≪所有者同一性確認処理：端末間処理≫
　端末２００Ｂと、所有者の同一性を確認する相手の端末２００Ａとが、ワンタイム電子証明書を得た後に、端末２００Ｂは、相手の端末２００Ａを介して認証局サーバ１００Ａに所有者の同一性確認を要求する。要求する前に、端末２００Ａ，２００Ｂは、相互認証した後に、同一性を確認する本人確認情報の項目を決定する。例えば、端末２００Ａ，２００Ｂは、双方の端末２００Ａ，２００Ｂに記憶済みの本人確認情報２２２（図６参照）のなかで共通している項目を、同一性を確認する本人確認情報の項目とする。
　後記する図９を参照して、端末２００Ａ，２００Ｂが同一性を確認する本人確認情報の項目を決めるまでの処理を説明する。続いて、後記する図１０および図１１を参照して、端末２００Ｂが、相手の端末２００Ａを介して認証局サーバ１００Ａに所有者の同一性確認を要求する処理を説明する。
　図９は、本実施形態に係る所有者同一性確認処理のシーケンス図（１）である。図９を参照しながら、所有者同一性確認処理における端末２００Ａ，２００Ｂの間の処理を説明する。
　ステップＳ３０１において端末２００Ａの端末認証部２１２は、ワンタイム電子証明書ＩＡ （Ｐ）を相手の端末２００Ｂに送信する。端末２００Ｂは、受信したワンタイム電子証明書ＩＡ （Ｐ）の署名を検証する。
　ステップＳ３０２において端末２００Ｂの端末認証部２１２は、ワンタイム電子証明書ＩＢ （Ｐ）を相手の端末２００Ａに送信する。端末２００Ａは、受信したワンタイム電子証明書ＩＢ （Ｐ）の署名を検証する。
　ステップＳ３０３において端末２００Ａ，２００Ｂの端末認証部２１２は、ワンタイム電子証明書に対応する秘密鍵ＳＡ （Ｐ），ＳＢ （Ｐ）を用いて、相互に認証する。例えば、端末２００Ａは、乱数を生成して端末２００Ｂに送信して、この乱数に対するワンタイム電子証明書ＩＢ （Ｐ）に対応する秘密鍵による署名を要求する。端末２００Ａは、端末２００Ｂが生成した署名を検証することにより、端末２００Ｂがワンタイム電子証明書ＩＢ （Ｐ）に対応する秘密鍵を所有していることが認証できる。同様にして、端末２００Ｂは、端末２００Ａがワンタイム電子証明書ＩＡ （Ｐ）に対応する秘密鍵を所有していることが認証できる。
　ステップＳ３０４において端末認証部２１２は、同一性を確認する本人確認情報の項目リストＬＡ，Ｂを決定する。詳しくは、端末認証部２１２は、双方の端末２００Ａ，２００Ｂに記憶済みの本人確認情報２２２（図６参照）のなかで、共通している項目を本人確認情報の項目リストＬＡ，Ｂとする。
≪所有者同一性確認処理：端末－認証局サーバ間処理≫
　図１０は、本実施形態に係る所有者同一性確認処理のシーケンス図（２）である。図１１は、本実施形態に係る所有者同一性確認処理のシーケンス図（３）である。図１０および図１１を参照しながら、所有者同一性確認処理における、端末２００Ａを介した端末２００Ｂおよび認証局サーバ１００Ａの間の処理を説明する。
　ステップＳ４０１において端末２００Ａの確認要求開始部２１３は、端末発確認要求開始メッセージを認証局サーバ１００Ａに送信する。詳しくは、確認要求開始部２１３は、本人確認情報の項目リストＬＡ，Ｂと、端末２００Ａ，２００Ｂのワンタイム電子証明書ＩＡ （Ｐ），ＩＢ （Ｐ）と、型番電子証明書ＩＡ （Ｍ）とを結合し、自身のワンタイム電子証明書の秘密鍵ＳＡ （Ｐ）と型番電子証明書の秘密鍵ＳＡ （Ｍ）とで署名して、ＭＳ（ＬＡ，Ｂ＋ＩＡ （Ｐ）＋ＩＢ （Ｐ）＋ＩＡ （Ｍ），ＳＡ （Ｐ），ＳＡ （Ｍ））を生成する。確認要求開始部２１３は、端末発確認要求開始メッセージとしてＭＳ（ＬＡ，Ｂ＋ＩＡ （Ｐ）＋ＩＢ （Ｐ）＋ＩＡ （Ｍ），ＳＡ （Ｐ），ＳＡ （Ｍ））を認証局サーバ１００Ａに送信する。
　ステップＳ４０２において認証局サーバ１００Ａの確認受付部１１２は、端末発確認要求開始メッセージの秘密鍵ＳＡ （Ｍ），ＳＡ （Ｐ）による署名を検証する。
　ステップＳ４０３において確認受付部１１２は、乱数ＮＡ，Ａと乱数ＮＢ，Ａとを生成する。
　ステップＳ４０４において確認受付部１１２は、乱数ＮＡ，Ａと乱数ＮＢ，Ａとを、ステップＳ４０１の要求に対する応答として、返信する。
　ステップＳ４０５において端末２００Ａの確認要求開始応答部２１４は、乱数ＮＢ，Ａを端末２００Ｂに送信する。
　ステップＳ４０６において端末２００Ｂの確認要求部２１５は、準同型暗号の鍵ペアを生成する。
　ステップＳ４０７において確認要求部２１５は、準同型暗号を用いて暗号化情報ＣＢを算出する。詳しくは、確認要求部２１５は、ステップＳ３０４（図９参照）で決定した同一性を確認する本人確認情報の項目リストＬＡ，Ｂに対応する所有者の本人確認情報を、本人確認情報２２２（図６参照）から取得し暗号化して、暗号化情報ＣＢを算出する。
　ステップＳ４０８において確認要求部２１５は、確認要求メッセージを端末２００Ａに送信する。詳しくは、確認要求部２１５は、自身が記憶する本人確認情報の項目リストＬＡ，Ｂと、自身と相手の端末２００Ａのワンタイム電子証明書ＩＢ （Ｐ），ＩＡ （Ｐ）と、乱数ＮＢ，Ａと、準同型暗号の公開鍵ＰＫＢと、暗号化情報ＣＢと、型番電子証明書ＩＢ （Ｍ）とを結合し、秘密鍵ＳＢ （Ｐ），ＳＢ （Ｍ）で署名したＭＳ（ＬＡ，Ｂ＋ＩＢ （Ｐ）＋ＩＡ （Ｐ）＋ＮＢ，Ａ＋ＰＫＢ＋ＣＢ＋ＩＢ （Ｍ），ＳＢ （Ｐ），ＳＢ （Ｍ））を端末２００Ａに送信する。以下では、ＭＳ（ＬＡ，Ｂ＋ＩＢ （Ｐ）＋ＩＡ （Ｐ）＋ＮＢ，Ａ＋ＰＫＢ＋ＣＢ＋ＩＢ （Ｍ），ＳＢ （Ｐ），ＳＢ （Ｍ））をＵＡ，Ｂとも記す。
　ステップＳ４０９において端末２００Ａの確認要求転送部２１６は、ＵＡ，Ｂの秘密鍵ＳＢ （Ｍ），ＳＢ （Ｐ）による署名を検証する。
　ステップＳ４１０において確認要求転送部２１６は、ステップＳ４０８で受信した項目リストＬＡ，Ｂと、ステップＳ３０４（図９参照）で決定して、自身が記憶している項目リストＬＡ，Ｂとが一致することを確認する。不一致であれば、確認要求転送部２１６は、所有者同一性確認処理を中止する。
　図１１を参照して、所有者同一性確認処理の説明を続ける。
　ステップＳ４１１において確認要求転送部２１６は、確認要求転送メッセージを認証局サーバ１００Ａに送信する。詳しくは、確認要求転送部２１６は、ＵＡ，Ｂと、乱数ＮＡ，Ａと、ワンタイム電子証明書ＩＡ （Ｐ）と、型番電子証明書ＩＡ （Ｍ）とを結合し、秘密鍵ＳＡ （Ｐ），ＳＡ （Ｍ）で署名したＭＳ（ＵＡ，Ｂ＋ＮＡ，Ａ＋ＩＡ （Ｐ）＋ＩＡ （Ｍ），ＳＡ （Ｐ），ＳＡ （Ｍ））を確認要求転送メッセージとして認証局サーバ１００Ａに送信する。
　ステップＳ４１２において認証局サーバ１００Ａの確認応答部１１３は、確認要求転送メッセージの秘密鍵ＳＡ （Ｍ），ＳＡ （Ｐ）による署名を検証する。また、確認応答部１１３は、確認要求転送メッセージに含まれるＵＡ，Ｂの秘密鍵ＳＢ （Ｍ），ＳＢ （Ｐ）による署名を検証する。
　ステップＳ４１３において確認応答部１１３は、確認要求転送メッセージに含まれるワンタイム電子証明書ＩＡ （Ｐ）が、ステップＳ４０１（図１０参照）に含まれていたワンタイム電子証明書ＩＡ （Ｐ）と同一であるかを照合する。同一でなければ、確認応答部１１３は、所有者同一性確認処理を中止する。
　ステップＳ４１４において確認応答部１１３は、確認要求転送メッセージに含まれる乱数ＮＡ，Ａ、および確認要求転送メッセージのなかのＵＡ，Ｂに含まれる乱数ＮＢ，Ａが、ステップＳ４０４（図１０参照）で送信された乱数ＮＡ，Ａ、および乱数ＮＢ，Ａとそれぞれ同一か検証する。同一でなければ、確認応答部１１３は、所有者同一性確認処理を中止する。
　ステップＳ４１５において確認応答部１１３は、受信した暗号化情報ＣＢおよび自身が保有する本人確認情報から返信暗号化情報ＣＣＡ＿Ａ’を生成する。詳しくは、確認応答部１１３は、確認要求転送メッセージのなかのＵＡ，Ｂに含まれるワンタイム電子証明書ＩＡ （Ｐ）と本人確認情報の項目リストＬＡ，Ｂを取得する。確認応答部１１３は、電子証明書データベース１３０にあるワンタイム電子証明書ＩＡ （Ｐ）のレコードの関連証明書１３４から、端末２００Ａの所有者電子証明書ＩＡ （Ｏ）を特定し、その本人確認情報１３５を取得する。続いて、確認応答部１１３は、本人確認情報１３５から、本人確認情報の項目リストＬＡ，Ｂにある本人確認情報を取得する。最後に、確認応答部１１３は、暗号化情報ＣＢと、公開鍵ＰＫＢと、取得した本人確認情報とから返信暗号化情報ＣＣＡ＿Ａ’を生成する。
　ステップＳ４１６において確認応答部１１３は、ワンタイム電子証明書ＩＢ （Ｐ），ＩＡ （Ｐ）と、返信暗号化情報ＣＣＡ＿Ａ’と、認証局電子証明書ＩＡ （Ｃ）とを結合し、秘密鍵ＳＡ （Ｃ）で署名したＭＳ（ＩＢ （Ｐ）＋ＩＡ （Ｐ）＋ＣＣＡ＿Ａ’＋ＩＡ （Ｃ），ＳＡ （Ｃ））を、確認応答メッセージとして端末２００Ａに返信する。
　ステップＳ４１７において端末２００Ａの確認応答転送部２１７は、ステップＳ４１６で認証局サーバ１００Ａから受信した確認応答メッセージを端末２００Ｂに転送する。
　ステップＳ４１８において端末２００Ｂの同一性判断部２１８は、確認応答メッセージのＳＡ （Ｃ）による署名を検証する。
　ステップＳ４１９において同一性判断部２１８は、返信暗号化情報ＣＣＡ＿Ａ’を準同型暗号の秘密鍵で復号する。
　ステップＳ４２０において同一性判断部２１８は、復号結果が０ならば（ステップＳ４２０→ＹＥＳ）ステップＳ４２１に進み、復号結果が０でなければ（ステップＳ４２０→ＮＯ）ステップＳ４２２に進む。なお、復号結果の０とは、準同型暗号がPaillier暗号（暗号文の積が、平文の和の暗号となる準同型暗号）の場合の所定値である。暗号文の積が、平文の積の暗号となる準同型暗号の場合には、復号結果が１か否かで判断する。
　ステップＳ４２１において同一性判断部２１８は、所有者が同一であると判断する。
　ステップＳ４２２において同一性判断部２１８は、所有者が異なると判断する。
　以上で、端末２００Ｂが、端末２００Ａを介して認証局サーバ１００Ａに、自身の所有者と相手の端末２００Ａの所有者とが一致することを確認する所有者同一性確認処理を終える。次に、端末２００Ｂ，２００Ａが入れ替わり、端末２００Ａが、自身の所有者と相手の端末２００Ｂの所有者が一致することを確認する。詳しくは、ステップＳ４０１以降のステップと同様にして、端末２００Ａは、端末２００Ｂを介して認証局サーバ１００Ｂに、自身の所有者と相手の端末２００Ｂの所有者が一致することを確認する。この確認する処理は、図１０および図１１と同様であるため、記載を省略する。
　端末２００Ａ，２００Ｂの双方が、所有者が同一であることを確認して、所有者同一性確認処理が終了する。所有者同一性確認処理の終了後、端末２００Ａ，２００Ｂは、例えばサービス利用時の認証に用いる秘密鍵や、コンテンツの著作権管理に必要なデータなどの共有（コピー）処理を行う。
≪所有者同一性確認処理の特徴≫
　所有者の同一性を確認する相手の端末に送信する自身の端末情報としては、ワンタイム電子証明書および型番電子証明書がある。何れの電子証明書にも、所有者に係る情報は含まれていない。このため、所有者の本人確認情報を含む個人情報が、相手の端末に漏洩する虞がない。
　異なる認証局サーバであっても、共通して記憶している本人確認情報の項目を比較することで、２つの端末の所有者が同一であるか否かを確認できる。また、本人確認情報（図４の本人確認情報１３５、および図６の本人確認情報２２２参照）は、本人確認書類から取得された真正な情報であり（図７のステップＳ１０３～Ｓ１０４，Ｓ１０８参照）、所有者同一性確認システム１０は、信頼度の高い本人確認情報に基づいて、所有者の同一性を確認している。
　端末と認証局サーバの間では、準同型暗号を用いて、暗号化された状態のまま、それぞれが記憶する本人確認情報の項目を比較している。このため、本人確認情報が相手に流出することなく、本人確認情報が一致するか否かを確認することができる。
　認証局サーバは、型番電子証明書を取得しているので、所有者の同一性を確認しようとしている２つの端末の型番（モデル）を知ることができ、サービス改善のための情報を得ることができる。
≪変形例：本人確認情報の項目リスト≫
　本人確認情報の項目リストＬＡ，Ｂは、端末２００Ａ，２００Ｂの双方が記憶している本人確認情報２２２の項目である（図６の端末認証部２１２の説明、および図９のステップＳ３０４参照）。端末２００は、項目リストＬＡ，Ｂを、同一性確認後の共有するデータの重要度に応じて決めてもよい。例えば、金融サービスにアクセスするための秘密鍵を共有する場合には、端末２００は、項目リストＬＡ，Ｂを住所および氏名とする。また、同居する家族間で家族割引付きのサービスにアクセスするための秘密鍵の共有する場合には、端末２００は、項目リストＬＡ，Ｂを住所だけとする。
　なお、同一性を確認する本人確認情報（本人確認情報の項目）が予め決まっている場合は、端末２００や認証局サーバ１００は、項目リストＬＡ，Ｂを省いて所有者同一性確認の処理を実行してもよい。
≪変形例：型番電子証明書≫
　端末発確認要求メッセージ（図１０のステップＳ４０１）や確認要求メッセージ（ステップＳ４０８）には、型番電子証明書が含まれており、型番電子証明書に対応する秘密鍵の署名を検証することで、認証局サーバ１００は、端末２００の型番を取得することができる。型番電子証明書や対応する署名の付与をなくしてもよい。メッセージは、ワンタイム電子証明書に対応する秘密鍵による署名が付与されており、安全性は確保されている。
≪変形例：電子証明書データベース≫
　上記した実施形態では、電子証明書データベース１３０（図４）に記憶されるワンタイム電子証明書のレコードにおいて、本人確認情報１３５には情報がない。替わりに、確認応答部１１３は、関連証明書１３４に示された所有者電子証明書のレコードの本人確認情報１３５から、本人確認情報を取得する（図１１のステップＳ４１５参照）。
　これに対して、ワンタイム電子証明書のレコードの本人確認情報１３５に、関連証明書１３４に示された所有者電子証明書のレコードの本人確認情報１３５を格納するようにしてもよい。認証局サーバ１００は、ワンタイム電子証明書のレコードから直接に本人確認情報を取得できるようになる。
≪変形例：端末と認証局サーバ間の通信経路≫
　上記した実施形態では、端末２００Ｂと認証局サーバ１００Ａとは、端末２００Ａを介してメッセージを交換しているが、直接交換するようにしてもよい。詳しくは、端末２００Ｂが送信した確認要求メッセージ（図１０のステップＳ４０８参照）は、端末２００Ａを介して確認要求転送メッセージ（図１１のステップＳ４１１参照）の一部として、認証局サーバ１００Ａが受信する。これを、端末２００Ｂが、確認要求メッセージを認証局サーバ１００Ａに直接送信するようにしてもよい。また、確認応答メッセージ（ステップＳ４１６参照）についても、端末２００Ａを介さず、認証局サーバ１００Ａが端末２００Ｂに直接送信してもよい。
≪変形例：端末の本人確認情報≫
　上記した実施形態では、端末２００が記憶する本人確認情報２２２（図６参照）は、所有者証明書の鍵所有者の値である（図７のステップＳ１０８参照）。これに対して、本人確認情報２２２を認証局サーバ１００が記憶する本人確認情報と同一になるようにしてもよい。詳しくは、ステップＳ１０６において、認証局サーバ１００Ａが、所有者証明書ＩＡ （Ｏ）と、電子証明書データベース１３０に格納した本人確認情報とを結合したデータに、秘密鍵ＳＡ （Ｃ）で署名にして端末２００Ａに送信する。端末２００Ａは、署名を検証して、受信した本人確認情報を本人確認情報２２２に格納するようにしてもよい。
≪その他の変形例≫
　なお、本発明は、上記した実施形態に限定されることなく、その趣旨を逸脱しない範囲で変更することができる。
　例えば、端末２００は、所有者同一性確認処理のたびに準同型暗号の鍵ペアを生成している（図１０のステップＳ４０６参照）が、以前に生成した鍵ペアを再利用するようにしてもよい。
　また、ワンタイム電子証明書の鍵所有者は、ランダムな文字列としているが、所有者の本人確認情報に無関係な情報であればよく、例えば、端末のアドレスや電子証明書の発行要求のあった時刻などから生成した情報であってもよい。
　他に、上記した実施形態では、電子証明書を発行するサーバと、所有者の同一性を確認するサーバとは、同一の認証局サーバ１００であったが、別のサーバであってもよい。
　また、ステップＳ１０３（図７参照）では、認証局サーバ１００が、本人確認書類を確認しているが、オフラインで人手により確認するようにしてもよい。
　以上、本発明のいくつかの実施形態について説明したが、これらの実施形態は、例示に過ぎず、本発明の技術的範囲を限定するものではない。本発明はその他の様々な実施形態を取ることが可能であり、さらに、本発明の要旨を逸脱しない範囲で、省略や置換等種々の変更を行うことができる。これら実施形態やその変形は、本明細書等に記載された発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
≪効果≫
　以下に、所有者同一性確認システム１０の効果を説明する。
　本実施形態に係る所有者同一性確認システム１０は、複数の端末２００と、複数の認証局サーバ１００とを含んで構成される所有者同一性確認システム１０であって、端末２００Ｂは、端末２００Ｂの所有者の本人確認情報２２２を記憶する記憶部２２０と、端末２００Ｂの所有者の本人確認情報を準同型暗号の公開鍵で暗号化した暗号化情報と、所有者同一性確認の対象となる相手の端末２００Ａの電子証明書と、当該公開鍵とを含む確認要求メッセージを、当該相手の端末２００Ａに電子証明書を発行した認証局サーバ１００Ａに送信する確認要求部２１５と、を備え、相手の端末２００Ａに電子証明書を発行した認証局サーバ１００Ａは、相手の端末２００Ａに発行した電子証明書と、相手の端末２００Ａの所有者の本人確認情報とを関連付けて記憶する記憶部１２０と、確認要求メッセージを受信すると、相手の端末２００Ａの電子証明書から相手の端末２００Ａの所有者の本人確認情報を取得して、公開鍵で当該本人確認情報を暗号化した暗号文と、暗号化情報とを、準同型暗号に応じた演算で計算した結果である返信暗号化情報を含む確認応答メッセージを、端末２００Ｂに返信する確認応答部１１３と、を備え、端末２００Ｂは、返信暗号化情報を復号し、その結果が所定値と一致するか否かで、端末２００Ｂの所有者の本人確認情報と、相手の端末２００Ａの所有者の本人確認情報とが一致するか否かを判断する同一性判断部２１８をさらに備える。
　このような所有者同一性確認システム１０によれば、電子証明書を発行した認証局サーバ１００が異なる端末２００Ｂと相手の端末２００Ａとについて所有者が同一であるか否かを判定できる。詳しくは、端末２００Ｂは、相手の端末２００Ａに電子証明書を発行した認証局サーバ１００Ａとの処理を通じて判定できる。また、本人確認情報は、暗号化されてやりとりされており（暗号化情報と返信暗号化情報）、本人確認情報そのものが端末２００Ｂと認証局サーバ１００Ａとの間で流出することなく、本人確認情報が一致するか否かを確認することができる。端末２００Ａについても同様であり、認証局サーバ１００Ｂとの処理を通じて、本人確認情報が流出することなく、所有者が同一であるかを判定できる。
　よって、所有者同一性確認システム１０によれば、安全性を確保しつつ端末間で所有者の同一性確認を可能とすることができる。
　本実施形態に係る所有者同一性確認システム１０において、本人確認情報は、１つ以上の項目から構成され、確認要求部２１５は、１つ以上の項目のなかから選択された同一性を確認する項目についての本人確認情報を公開鍵で暗号化して暗号化情報を計算し、当該項目を確認要求メッセージに含めて送信し、確認応答部１１３は、相手の端末２００Ａの所有者の当該項目についての本人確認情報を公開鍵で暗号化した暗号文を生成したうえで、返信暗号化情報を計算して返信し、同一性判断部２１８は、返信暗号化情報を復号し、その結果が所定値と一致するか否かで、端末２００Ｂの所有者の当該項目についての本人確認情報と、相手の端末２００Ａの所有者の当該項目についての本人確認情報とが一致するか否かを判断する。
　このような所有者同一性確認システム１０によれば、本人確認情報全体ではなく部分（項目）で、所有者の同一性を確認できる。このため、登録している本人確認情報が異なる場合であっても、一部の本人確認情報が一致することで所有者の同一性を確認できる。
　本実施形態に係る所有者同一性確認システム１０において、準同型暗号であるＥは、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１＋Ｍ２）を満たす準同型暗号であって、確認要求部２１５は、端末２００Ｂの所有者の本人確認情報Ｖ１に対してＥ（Ｖ１）を暗号化情報として送信し、確認応答部１１３は、相手の端末２００Ａの所有者の本人確認情報Ｖ２に対して乱数ｒを生成して、Ｅ（Ｖ１）ｒ×Ｅ（Ｖ２）－ｒを返信暗号化情報として返信し、同一性判断部２１８は、返信暗号化情報の復号結果が、所定値である０であるか否かで、Ｖ１とＶ２とが一致するか否かを判断する。
　このような所有者同一性確認システム１０によれば、端末２００は、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１＋Ｍ２）を満たす準同型暗号Ｅを用いて、本人確認情報が一致するか否かを確認できる。
　また、本人確認情報Ｖ１，Ｖ２が異なるときには、（Ｖ１－Ｖ２）≠０となるため、端末２００Ｂにとっては、返信暗号化情報を復号結果のｒ（Ｖ１－Ｖ２）は乱数となる。このため、端末２００Ｂは、本人確認情報Ｖ１を知っていても、本人確認情報Ｖ２の情報は得られず、相手の端末２００Ｂの所有者の本人確認情報Ｖ２が漏洩することがない。これは、端末２００Ｂ，２００Ａが入れ替わっても同様である。
　本実施形態に係る所有者同一性確認システム１０において、準同型暗号であるＥは、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１×Ｍ２）を満たす準同型暗号であって、確認要求部２１５は、端末２００Ｂの所有者の本人確認情報Ｖ１に対してＥ（Ｖ１）を暗号化情報として送信し、確認応答部１１３は、相手の端末２００Ａの所有者の本人確認情報Ｖ２に対して乱数ｒを生成して、Ｅ（Ｖ１）ｒ×Ｅ（Ｖ２）－ｒを返信暗号化情報として返信し、同一性判断部２１８は、返信暗号化情報の復号結果が、所定値である１であるか否かで、Ｖ１とＶ２とが一致するか否かを判断する。
　このような所有者同一性確認システム１０によれば、端末２００は、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１×Ｍ２）を満たす準同型暗号Ｅを用いて、本人確認情報が一致するか否かを確認できる。
　また、本人確認情報Ｖ１，Ｖ２が異なるときには、（Ｖ１／Ｖ２）≠１となるため、端末２００Ｂにとっては、返信暗号化情報を復号結果の（Ｖ１／Ｖ２）ｒは乱数となる。このため、端末２００Ｂは、本人確認情報Ｖ１を知っていても、本人確認情報Ｖ２の情報は得られず、相手の端末２００Ｂの所有者の本人確認情報Ｖ２が漏洩することがない。これは、端末２００Ｂ，２００Ａが入れ替わっても同様である。
　本実施形態に係る所有者同一性確認システム１０において、確認要求部２１５は、相手の端末２００Ａを介して確認要求メッセージを、相手の端末２００Ａに電子証明書を発行した認証局サーバ１００Ａに送信し、確認応答部１１３は、相手の端末２００Ａを介して確認応答メッセージを、端末２００Ｂに送信する。
　このような所有者同一性確認システム１０によれば、認証局サーバ１００は、通信相手となる端末２００を、自身が電子証明書を発行した端末２００に限定できる。延いては、不特定の端末２００からの通信を避けることができ、安全性が向上する。
　本実施形態に係る所有者同一性確認システム１０において、端末２００に発行された電子証明書に含まれる鍵所有者の値は、端末２００の所有者の本人確認情報と無関係である端末２００の識別情報である。
　このような所有者同一性確認システム１０によれば、所有者の本人確認情報を含まないワンタイム証明書を用いて、２つの端末２００の所有者が同一であるか否かを判定できる。このため、端末２００は、相手の端末２００の認証局サーバ１００に自身の所有者の本人確認情報を漏らすことなく、所有者の同一性を確認できるようになる。
　本実施形態に係る所有者同一性確認システム１０において、端末２００が送信した確認要求メッセージは、電子証明書に対応する秘密鍵、および端末２００の型番を示す型番電子証明書に対応する秘密鍵の少なくとも何れか一方の秘密鍵を用いて署名されている。
　このような所有者同一性確認システム１０によれば、認証局サーバ１００は、端末２００の型番（モデル）を取得することができる。このため、認証局サーバ１００の運用者は、サービス改善のための情報を得ることができる。
１０　　所有者同一性確認システム
１００，１００Ａ，１００Ｂ　認証局サーバ
１１１　電子証明書発行部
１１２　確認受付部
１１３　確認応答部
１３０　電子証明書データベース
２００，２００Ａ，２００Ｂ　端末
２１１　電子証明書要求部
２１２　端末認証部
２１３　確認要求開始部
２１４　確認要求開始応答部
２１５　確認要求部
２１６　確認要求転送部
２１７　確認応答転送部
２１８　同一性判断部
２２２　本人確認情報

Claims (8)

  1. 　複数の端末と、複数の認証局サーバとを含んで構成される所有者同一性確認システムであって、
    　前記端末は、
    　当該端末の所有者の本人確認情報を記憶する記憶部と、
    　当該端末の所有者の本人確認情報を準同型暗号の公開鍵で暗号化した暗号化情報と、所有者同一性確認の対象となる相手端末の電子証明書と、当該公開鍵とを含む確認要求メッセージを、当該相手端末に電子証明書を発行した認証局サーバに送信する確認要求部と、を備え、
    　前記相手端末に電子証明書を発行した認証局サーバは、
    　当該相手端末に発行した電子証明書と、当該相手端末の所有者の本人確認情報とを関連付けて記憶する記憶部と、
    　前記確認要求メッセージを受信すると、当該相手端末の電子証明書から当該相手端末の所有者の本人確認情報を取得して、前記公開鍵で当該本人確認情報を暗号化した暗号文と、前記暗号化情報とを、前記準同型暗号に応じた演算で計算した結果である返信暗号化情報を含む確認応答メッセージを、前記端末に返信する確認応答部と、を備え、
    　前記端末は、
    　前記返信暗号化情報を復号し、その結果が所定値と一致するか否かで、当該端末の所有者の本人確認情報と、前記相手端末の所有者の本人確認情報とが一致するか否かを判断する同一性判断部をさらに備える
    　ことを特徴とする所有者同一性確認システム。
  2. 　前記本人確認情報は、１つ以上の項目から構成され、
    　前記確認要求部は、前記１つ以上の項目のなかから選択された同一性を確認する項目についての本人確認情報を前記公開鍵で暗号化して前記暗号化情報を計算し、当該項目を前記確認要求メッセージに含めて送信し、
    　前記確認応答部は、前記相手端末の所有者の当該項目についての本人確認情報を前記公開鍵で暗号化した前記暗号文を生成したうえで、前記返信暗号化情報を計算して返信し、
    　前記同一性判断部は、当該返信暗号化情報を復号し、その結果が前記所定値と一致するか否かで、前記端末の所有者の当該項目についての本人確認情報と、前記相手端末の所有者の当該項目についての本人確認情報とが一致するか否かを判断する
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  3. 　前記準同型暗号であるＥは、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１＋Ｍ２）を満たす準同型暗号であって、
    　前記確認要求部は、前記端末の所有者の本人確認情報Ｖ１に対してＥ（Ｖ１）を前記暗号化情報として送信し、
    　前記確認応答部は、前記相手端末の所有者の本人確認情報Ｖ２に対して乱数ｒを生成して、Ｅ（Ｖ１）ｒ×Ｅ（Ｖ２）－ｒを前記返信暗号化情報として返信し、
    　前記同一性判断部は、当該返信暗号化情報の復号結果が、前記所定値である０であるか否かで、Ｖ１とＶ２とが一致するか否かを判断する
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  4. 　前記準同型暗号であるＥは、平文Ｍ１，Ｍ２に対して、Ｅ（Ｍ１）×Ｅ（Ｍ２）＝Ｅ（Ｍ１×Ｍ２）を満たす準同型暗号であって、
    　前記確認要求部は、前記端末の所有者の本人確認情報Ｖ１に対してＥ（Ｖ１）を前記暗号化情報として送信し、
    　前記確認応答部は、前記相手端末の所有者の本人確認情報Ｖ２に対して乱数ｒを生成して、Ｅ（Ｖ１）ｒ×Ｅ（Ｖ２）－ｒを前記返信暗号化情報として返信し、
    　前記同一性判断部は、当該返信暗号化情報の復号結果が、前記所定値である１であるか否かで、Ｖ１とＶ２とが一致するか否かを判断する
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  5. 　前記確認要求部は、前記相手端末を介して前記確認要求メッセージを、当該相手端末に電子証明書を発行した認証局サーバに送信し、
    　前記確認応答部は、前記相手端末を介して前記確認応答メッセージを、前記端末に送信する
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  6. 　前記端末に発行された電子証明書に含まれる鍵所有者の値は、当該端末の所有者の本人確認情報と無関係である当該端末の識別情報である
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  7. 　前記端末が送信した確認要求メッセージは、前記電子証明書に対応する秘密鍵、および当該端末の型番を示す型番電子証明書に対応する秘密鍵の少なくとも何れか一方の秘密鍵を用いて署名されている
    　ことを特徴とする請求項１に記載の所有者同一性確認システム。
  8. 　複数の端末と、複数の認証局サーバとを含んで構成される所有者同一性確認システムの所有者同一性確認方法であって、
    　前記端末は、
    　当該端末の所有者の本人確認情報を記憶する記憶部を備え、
    　当該端末の所有者の本人確認情報を準同型暗号の公開鍵で暗号化した暗号化情報と、所有者同一性確認の対象となる相手端末の電子証明書と、当該公開鍵とを含む確認要求メッセージを、当該相手端末に電子証明書を発行した認証局サーバに送信するステップを実行し、
    　前記相手端末に電子証明書を発行した認証局サーバは、
    　当該相手端末に発行した電子証明書と、当該相手端末の所有者の本人確認情報とを関連付けて記憶する記憶部を備え、
    　前記確認要求メッセージを受信すると、当該相手端末の電子証明書から当該相手端末の所有者の本人確認情報を取得して、前記公開鍵で当該本人確認情報を暗号化した暗号文と、前記暗号化情報とを、前記準同型暗号に応じた演算で計算した結果である返信暗号化情報を含む確認応答メッセージを、前記端末に返信するステップを実行し、
    　前記端末は、
    　前記返信暗号化情報を復号し、その結果が所定値と一致するか否かで、当該端末の所有者の本人確認情報と、前記相手端末の所有者の本人確認情報とが一致するか否かを判断するステップをさらに実行する
    　ことを特徴とする所有者同一性確認方法。
PCT/JP2019/030340 2019-08-01 2019-08-01 所有者同一性確認システムおよび所有者同一性確認方法 WO2021019782A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2019/030340 WO2021019782A1 (ja) 2019-08-01 2019-08-01 所有者同一性確認システムおよび所有者同一性確認方法
JP2021536588A JP7211518B2 (ja) 2019-08-01 2019-08-01 所有者同一性確認システムおよび所有者同一性確認方法
US17/627,452 US20220272087A1 (en) 2019-08-01 2019-08-01 Owner identity confirmation system and owner identity confirmation method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/030340 WO2021019782A1 (ja) 2019-08-01 2019-08-01 所有者同一性確認システムおよび所有者同一性確認方法

Publications (1)

Publication Number Publication Date
WO2021019782A1 true WO2021019782A1 (ja) 2021-02-04

Family

ID=74228796

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/030340 WO2021019782A1 (ja) 2019-08-01 2019-08-01 所有者同一性確認システムおよび所有者同一性確認方法

Country Status (3)

Country Link
US (1) US20220272087A1 (ja)
JP (1) JP7211518B2 (ja)
WO (1) WO2021019782A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022055060A (ja) * 2020-09-28 2022-04-07 富士通株式会社 通信プログラム、通信装置、及び通信方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018037987A (ja) * 2016-09-02 2018-03-08 日本電信電話株式会社 秘密鍵管理システムおよび秘密鍵管理方法
JP2018133739A (ja) * 2017-02-16 2018-08-23 日本電信電話株式会社 秘密鍵複製システム、端末および秘密鍵複製方法
JP2019140540A (ja) * 2018-02-09 2019-08-22 日本電信電話株式会社 所有者同一性確認システム、端末管理サーバおよび所有者同一性確認方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018037987A (ja) * 2016-09-02 2018-03-08 日本電信電話株式会社 秘密鍵管理システムおよび秘密鍵管理方法
JP2018133739A (ja) * 2017-02-16 2018-08-23 日本電信電話株式会社 秘密鍵複製システム、端末および秘密鍵複製方法
JP2019140540A (ja) * 2018-02-09 2019-08-22 日本電信電話株式会社 所有者同一性確認システム、端末管理サーバおよび所有者同一性確認方法

Also Published As

Publication number Publication date
JPWO2021019782A1 (ja) 2021-02-04
JP7211518B2 (ja) 2023-01-24
US20220272087A1 (en) 2022-08-25

Similar Documents

Publication Publication Date Title
US11588637B2 (en) Methods for secure cryptogram generation
KR101974452B1 (ko) 프로그래밍이 가능한 블록체인과 통합 아이디 기반의 사용자정보 관리 방법 및 시스템
JP5680115B2 (ja) データ・セキュリティ装置のためのトランザクション監査
KR101450291B1 (ko) 스마트 칩 인증 서버 및 그 방법
JP6950745B2 (ja) 鍵交換装置、鍵交換システム、鍵交換方法、及び鍵交換プログラム
KR101007375B1 (ko) 스마트 카드 인증서 관리 장치 및 방법
NL1043779B1 (en) Method for electronic signing and authenticaton strongly linked to the authenticator factors possession and knowledge
WO2021019782A1 (ja) 所有者同一性確認システムおよび所有者同一性確認方法
JP7211519B2 (ja) 所有者同一性確認システム、端末および所有者同一性確認方法
JP7251633B2 (ja) 所有者同一性確認システム、認証局サーバおよび所有者同一性確認方法
KR101933090B1 (ko) 전자 서명 제공 방법 및 그 서버
US8543815B2 (en) Authentication method and related devices
EP3035589A1 (en) Security management system for authenticating a token by a service provider server
CN110138547A (zh) 基于非对称密钥池对和序列号的量子通信服务站密钥协商方法和***
KR20180089951A (ko) 전자화폐 거래 방법 및 시스템
KR100883899B1 (ko) 스마트 카드를 이용한 삼자간 키 교환 방법, 그 기록 매체및 스마트 카드를 이용한 삼자간 키 교환 시스템
JP7259578B2 (ja) 認証システム及び認証方法
KR20230080676A (ko) 고속 블록체인 네트워크를 이용한 did 관리 시스템 및 방법
AU2024202015A1 (en) User verification systems and methods
KR20180089952A (ko) 전자화폐 거래 방법 및 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19939466

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021536588

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19939466

Country of ref document: EP

Kind code of ref document: A1