JP3870927B2 - Access credential authentication apparatus and method - Google Patents

Description

この方式によれば、復号器ＢｏｂおよびＡｌｉｃｅとＢｏｂの間の通信を傍受している第３者には、Ｃ’＝ｒ^EＣ ｍｏｄ ｎ、Ｒ＝Ｃ’^D≡ｒＭ ｍｏｄ ｎが見えるのみであり、Ａｌｉｃｅが復号したかった暗号文Ｃや、Ｃの復号結果Ｍが復号器Ｂｏｂや通信の傍受者には露呈しない。この方式は、上記委託復号の２つの問題を解決しているのである。
【００１７】
ブラインド復号を応用して、デジタルデータのアクセス制御を行なう装置は、特願平９−４１８号に提案されている。
【００１８】
特願平９−４１８号に記載のアクセス制御装置は、データに対するアクセス権の所持を証明する証明装置と、証明装置による証明を検証する検証装置からなる。検証装置は、暗号化されたデジタルデータと、そのデジタルデータを復号する鍵をＲＳＡ公開鍵で暗号化したデータ（暗号化鍵）とを記憶している。証明装置は、ＲＳＡ復号器である。検証装置は、暗号化鍵の復号を、ブラインド復号を使って証明装置に委託し、その結果を使ってデジタルデータを復号する。正しく復号されれば、証明装置がアクセス権の所持の証明に成功したことになる。
【００１９】
ブラインド復号を使っているので、証明装置、あるいは、検証装置と証明装置の間の通信を傍受している者に、委託した暗号化鍵の内容や、デジタルデータの復号鍵を知られることがない。
【００２０】
特願平９−４１８号の技術は、特にＲＳＡ復号器である証明装置の構成に特徴がある。特願平９−４１８号の提案では、単一の証明器で複数のＲＳＡ公開鍵に対する復号を可能にするために、ＲＳＡの復号鍵をアクセスチケットとよぶ変更可能なデータの中に埋め込んでいる。アクセスチケットからＲＳＡの復号鍵を取出されないよう、アクセスチケットは、ＲＳＡ復号鍵にマスクをかけたものになっており、これによってアクセスチケットは公開可能な情報となっている。特願平９−４１８号の証明装置は、ＩＣカード等の耐タンパー性のあるハードウエアを持っており、アクセスチケットのマスクの効果はそのハードウエアによってのみ取り除くことができる。
【００２１】
以下に特願平９−４１８号で提案されたアクセス制御について詳しく述べる。
【００２２】
検証装置は、暗号化されたデータと、その復号鍵ＫをＲＳＡ法数ｎ、暗号鍵Ｅで暗号化した暗号化鍵Ｋを持っている。証明装置は、巾乗剰余の演算機能と一方向性ハッシュｆ（ｘ，ｙ）の計算機能を持ったＩＣカードを持っている。ＩＣカードの中には、さらに秘密のデータｄが蓄積されている。ＲＳＡ法数ｎ、暗号鍵Ｅに対する復号鍵がＤである場合、アクセスチケットｔは、ｔ＝Ｄ−ｆ（ｄ，ｎ）という値のデータである。
【００２３】
アクセス権の所持の証明と検証は以下の手順で行なわれる。
１． 検証装置は、乱数ｒを生成する。
２． 検証装置は、Ｃ＝ｒ^EＫ^* ｍｏｄ ｎを計算し、ｎとＣを証明装置に送る。ただし、Ｋ^*はＫ^Eとする。
３． 証明装置は、ＩＣカード内でＲ₁＝Ｃ^f(d,n) ｍｏｄ ｎを計算する。
４． 証明装置は、Ｒ₂＝Ｃ^t ｍｏｄ ｎを計算する。
５． 証明装置は、Ｒ＝Ｒ₁Ｒ₂ ｍｏｄ ｎを計算し、検証装置に送る。
６． 検証装置は、ｒ^-1ｒ≡１ ｍｏｄ ｎとなるｒ^-1を計算し、Ｋ’＝ｒ^-1Ｒ
ｍｏｄ ｎを計算する。
【００２４】
上記の手順が正しく行われれば、Ｋ≡Ｋ’ ｍｏｄ ｎとなり、アクセス権の所持が証明されることは、 以下の式からわかる。
【００２５】
【数２】

この方式では、ユーザがユーザ毎にｄの違うＩＣカードを持てば、あるデジタルデータの暗号化鍵を復号するためのアクセスチケットは、ユーザ毎に違うものになる。他人のアクセスチケットをコピーしてもそれを使ってアクセス権の所持を証明することはできない。したがって、ユーザ毎にアクセスチケットを発行したりしなかったりすることによって、ユーザ毎のアクセス権を制御することができる。また、デジタルデータ毎にＲＳＡ法数ｎと暗号鍵Ｅを変えれば、あるデータのアクセスチケットを他のデータに利用することができなくなる。したがって、デジタルデータ毎のアクセス制御も可能である。
【００２６】
【発明が解決しようとする課題】
ブラインド復号の問題点は、その強いブラインドネスにある。ブラインド復号によれば、復号の委託によって復号器が収集可能な情報は、何らかの復号委託があったという情報のみである。復号を委託されたデータに関する一切の情報は、復号器に伝達することができない。しかし、委託復号を行なう時に、データに関するある種の情報を復号器に伝達したいという要求は多い。具体的には、以下のものがある。
▲１▼委託復号サービスで料金を得る場合、データ毎に復号の料金が違うのであれば、暗号化されたデータとともにそのデータの復号料金を復号器に伝達しなければならない。
▲２▼データ毎に利用期限が決まっている場合、暗号化されたデータとともにそのデータの利用期限を復号器に送り、復号器で利用期限のチェックを行わなければならない。
▲３▼データ毎に利用可能者が限定される場合、暗号化されたデータとともにそのデータの利用可能者のリストを復号器に送り、復号器で委託者が利用可能者であるかどうかのチェックを行わなければならない。
▲４▼機密の文書の委託復号を行なう場合、後の監査のために、暗号化されたデータとともにそのデータの識別子を復号器に送り、復号器はこれを記憶しておかなければならない。
【００２７】
これらの情報を、暗号化されたデータとともになんの工夫もなく復号器に伝達すると、委託者が悪意を持っていた場合に、添付する情報を委託者に都合のよいものに置き換えることが可能である。たとえば、委託するデータより安い料金の情報を送る、実際より後の使用期限を送る、実際とは違うアクセス可能者のリストを送る、実際とは違う識別子を送る等の不正が可能になる。
【００２８】
この問題は、従来のブラインド復号を応用してデジタルデータのアクセス制御を行なう特願平９−４１８号の技術でも同じである。特願平９−４１８号の提案では、耐タンパー性を持つＩＣカードを持っている。ＩＣカード内で行われる処理に手を加えたり、ＩＣカード内に蓄積された情報を改竄するのは、非常に困難であるので、ＩＣカードに正しく情報を伝達できれば、ＩＣカード内での安全性は保証される。したがって、データに対するアクセス料金の記憶や、アクセスの有効期限のチェックは、ＩＣカード内で行なうことになるが、従来のブラインド復号をそのまま利用している特願平９−４１８号には、それらの情報を安全にＩＣカードまで伝達する手段が存在しない。
【００２９】
上記の問題点に鑑み、本発明の第１の目的は、復号を委託されるデータのブラインドネスは崩さないまま、特定の情報を安全に復号器に送ることのできるブラインド復号を実現することにある。また、本発明の第２の目的は、上記の問題を解決したブラインド復号方式を応用して、デジタルデータのアクセス制御を実現することにある。
【００３０】
【課題を解決するための手段】
第１の目的を達成するために、本発明では、復号器が、暗号化されたデータの復号を行なう際に、第１の復号情報と、第２の復号情報が必要となるように構成している。より具体的には、復号器は、法ｎのもとで、暗号化されたデータを、第１の復号情報と第２の復号情報の積で巾乗し、それを復号結果として出力する。
【００３１】
暗号化が、法ｎのもとで、データを暗号鍵で巾乗する処理であり、ｎのオイラー数を法として、暗号鍵と第１の復号情報と第２の復号情報の積が１と合同であれば、正しく復号できる。
【００３２】
さらに、第２の復号情報は、復号器に対して外部から入力するものとし、暗号化されたデータと、第２の復号情報を正しく入力しなければ、正しい復号結果が得られないように工夫している。
【００３３】
データの復号料金等の、差し替えられてはならない情報は、第２の復号情報として復号器に入力するようシステムを構成すれば、情報の差し替えという不正行為に対して、復号の失敗というペナルテイを課すことができる。
【００３４】
また、復号器が、暗号化されたデータの復号を行なう際に、第１の復号情報と、第２の復号情報が必要となる別の構成として、復号器が、法ｎのもとで、暗号化されたデータを、第１の復号情報を法とした場合の第２の復号情報の逆数によってべき乗し、それを復号結果として出力するものをあげている。
【００３５】
第１の復号情報が法ｎのオイラー数であり、第２の復号情報が暗号鍵であれば、正しく復号することができる。
【００３６】
さらに、第２の復号情報は、復号器に対して外部から入力するものとし、暗号化されたデータと、第２の復号情報を正しく入力しなければ、正しい復号結果が得られないように工夫している。
【００３７】
データの復号料金等の、差し替えられてはならない情報は、第２の復号情報として復号器に入力するようシステムを構成すれば、情報の差し替えという不正行為に対して、復号の失敗というペナルテイを課すことができる。
【００３８】
第２の目的を達成するために、本発明では、ユーザのアクセス資格を証明するために生成された証明データの正当性を検証することにより上記のユーザのアクセス資格を認証するアクセス資格認証装置に、認証用のデータを記憶する第１の記憶手段と、ユーザの固有情報を記憶する第２の記憶手段と、上記ユーザの固有情報と、アクセス資格認証の特徴情報とに対し、所定の計算を実行した実行結果である証明用補助情報を記憶する第３の記憶手段と、アクセス資格認証の必須情報を記憶する第４の記憶手段と、上記第１の記憶手段に保持されている認証用データと、上記第２の記憶手段に記憶されているユーザの固有情報と、上記第３の記憶手段に記憶されている証明用補助情報と、上記第４の記憶手段に記憶されているアクセス資格認証の必須情報とに所定の演算を施して証明データを生成する証明データ生成手段と、上記証明データが、上記アクセス資格認証の特徴情報と、上記アクセス資格認証の必須情報とに基づいて生成されていることを検証する証明データ検証手段とを設けている。
【００３９】
本発明において、正しくアクセス資格を認めてもらうためには、証明データ、ユーザの固有情報、証明用補助情報、アクセス資格認証の必須情報の組み合わせが正しくなければならない。
【００４０】
アクセス料金等の、差し替えられてはならない情報は、アクセス資格認証の必須情報に含めれば、情報の差し替えという不正行為に対して、アクセスの拒否というペナルテイを課すことができる。
【００４１】
第２の目的を達成するための本発明の別の構成では、ユーザのアクセス資格を証明するために生成された証明データの正当性を検証することにより上記のユーザのアクセス資格を認証するアクセス資格認証装置に、認証用のデータを記憶する第１の記憶手段と、ユーザの固有情報を記憶する第２の記憶手段と、上記ユーザの固有情報と、アクセス資格認証の特徴情報とに対し、所定の計算を実行した実行結果である証明用補助情報を記憶する第３の記憶手段と、アクセス資格認証の必須情報を記憶する第４の記憶手段と、アクセス資格認証の検査情報を記憶する第５の記憶手段と、上記第１の記憶手段に保持されている認証用データと、上記第４の記憶手段に記憶されているアクセス資格認証の必須情報とに所定の演算を施した結果が、上記第５の記憶手段に記憶されているアクセス資格認証の検査情報と所定の関係にあることを検査する検査手段と、上記検査手段による検査の結果が良好であったとき、上記第１の記憶手段に保持されている認証用データと、上記第２の記憶手段に記憶されているユーザの固有情報と、上記第３の記憶手段に記憶されている証明用補助情報とに所定の演算を施して証明データを生成する証明データ生成手段と、上記証明データが、上記アクセス資格認証の特徴情報と、上記アクセス資格認証の必須情報とに基づいて生成されていることを検証する証明データ検証手段とを設けている。
【００４２】
本発明において、正しくアクセス資格を認めてもらうためには、証明データ、ユーザの固有情報、証明用補助情報、アクセス資格認証の必須情報の組み合わせが正しくなければならない。
【００４３】
アクセス料金等の、差し替えられてはならない情報は、アクセス資格認証の必須情報に含めれば、情報の差し替えという不正行為に対して、アクセスの拒否というペナルテイを課すことができる。
【００４４】
【発明の実施の態様】
以下、本発明を実施例に沿って説明する。
［部分ブラインド復号器の実施例］
［第１の実施例］
第１の実施例は、本発明を応用したブラインド復号器である。この実施例のブラインド復号装置の構成を図１に示す。本実施例では、暗復号方式として、合成数ｎを法とした巾乗剰余を使用する。本復号器は、復号に法数ｎ以外に２つの復号情報ｄ₁、ｄ₂を使用する。暗号鍵Ｅとｄ₁、ｄ₂は、式１の関係を満たすように作る。
【００４５】
【数３】
Ｅｄ₁ｄ₂≡１ｍｏｄ φ（ｎ） （１）
ここでφ（ｎ）はｎのオイラー数である。
【００４６】
データＭに対する暗号文Ｃは、式２によって生成される。
【００４７】
【数４】
Ｃ＝Ｍ^E ｍｏｄ ｎ （２）
本実施例のブラインド復号器のユーザは、暗号文Ｃと法数ｎ、暗号鍵Ｅと第２の復号情報ｄ₂を所持している。ユーザは、Ｃの復号を本実施例に委託する際に、Ｃにブラインド効果をかけてＣ’を生成し、Ｃ’とｄ₂を本実施例の復号器に入力する。そして、本実施例の復号器からの出力Ｒを受け取り、Ｒのブラインド効果を取り除いて復号結果を得る。
【００４８】
ユーザが本実施例の復号器を使用する具体的な手順は以下のとおりである。
１． ユーザは１＜ｒ＜ｎの範囲で乱数ｒを生成する。
２． ユーザは式３を計算して、暗号文Ｃにブラインド効果を付与する。
【００４９】
【数５】
Ｃ’＝ｒ^EＣ ｍｏｄ ｎ （３）
３． ユーザは、Ｃ’とｄ₂を本実施例のブラインド復号器に送り、ブラインド復号器からの出力Ｒを受ける。
４． ユーザは、式４を計算し、復号結果Ｍ’を得る。
【００５０】
【数６】
Ｍ’＝ｒ^-1Ｒ ｍｏｄ ｎ （４）
本実施例のブラインド復号器は、以下のサブユニットからなる。
入力部１１：ブラインド効果のかかった暗号文Ｃ’と、第２の復号情報ｄ₂を入力する。
出力部１２：復号結果Ｒを出力する。
法数記憶部１３：法数ｎを記憶する。
第１復号情報記憶部１４：第１の復号情報ｄ₁を記憶する。
復号部１５：ｎ、Ｃ’、ｄ₁、ｄ₂から復号結果Ｒを計算する。
【００５１】
本実施例のブラインド復号器の処理手順は次のようである。
１． 入力部１１を介して、ユーザから、ブラインド効果のかかった暗号文Ｃ’と、第２の復号鍵ｄ₂を受け取り、復号部１５に送る。
２． 復号部１５は、法数記憶部１３から法数ｎを、第１復号情報記憶部１４から第１の復号情報ｄ₁を取り出し、式５を計算する。
【００５２】
【数７】
Ｒ＝Ｃ’^d1d2 ｍｏｄ ｎ （５）
３． 出力部１２を介して、Ｒを出力する。
【００５３】
もし、暗号文Ｃと第２の復号情報ｄ₂の組合せが正しければ、式６により、正しく復号されることがわかる。
【００５４】
【数８】

また、第２の復号情報ｄ₂とは異なる情報を本実施例のブラインド復号器に送ると、ユーザは正しい復号結果を得ることができない。したがって、第２の復号情報ｄ₂に復号料金等を含ませれば、偽りの復号料金を復号器に送られることを防ぐことができる。
【００５５】
ただし、第２の復号情報ｄ₂が素数でない場合には、問題がおこる。ｄ₂が、ｄ₂＝ａ＊ｂと因数分解できる場合には、復号器にＣ、ｄ₂を送る代わりに、Ｃ^a ｍｏｄ ｎ，ｂを送っても復号器の出力は変わらない。したがって、ｄ₂の代わりに、ｂという復号情報を送り、正しい復号結果をえることが可能なのである。
【００５６】
これを防ぐには、ｄ₂が素数になるように、Ｅ、ｄ₁、ｄ₂の組合せを決めればよい。
【００５７】
また、ｄ₂が素数であっても、復号器にＣ、ｄ₂を送る代わりに、Ｃ^d2 ｍｏｄｎ，１を送り、同じ出力を得ることができる。これを防ぐには、復号器は、送られてきた第２の復号情報が１でないことを確認する手段をもち、第２の復号情報が１でないときのみ復号を行うよう構成すればよい。
【００５８】
また、ｄ₂が素数でなくても、特定の値の繰り返してある等の、冗長性を持たせた値になるよう、Ｅ、ｄ₁、ｄ₂の組合せを決めるようにし、復号器に、送られてきた第２の情報の冗長性を確認する手段を設けてもよい。ｄ₂の自明でない約数が復号器が知っている冗長性を持つ可能性が十分低ければ、この方法でも、第２の情報の代わりにその約数を復号器に送る攻撃を回避できる。
【００５９】
本実施例のブラインド復号器に一方向性ハッシュ関数Ｖ（ｘ）の演算を行うハッシュ関数演算部を付加し、式５の代わりに、式７を計算するようにしてもよい。
【００６０】
【数９】
Ｒ＝Ｃ’^d1V(d2) ｍｏｄ ｎ （７）
一方向ハッシュ関数とは、ｈ（ｘ）＝ｈ（ｙ）を満たす相異なるｘ、ｙを算出することが著しく困難であるという性質をもつ関数である。一方向ハッシュ関数の例として、ＲＳＡ Ｄａｔａ Ｓｅｃｕｒｉｔｙ Ｉｎｃ．によるＭＤ２、ＭＤ４、ＭＤ５、米国連邦政府による規格ＳＨＳ（Ｓｅｃｕｒｅ Ｈａｓｈ Ｓｔａｎｄａｒｄ）が知られている。
【００６１】
この場合、暗号鍵Ｅとｄ₁、ｄ₂は、式８の関係を満たすように作ることになる。
【００６２】
【数１０】
Ｅｄ₁Ｖ（ｄ₂）≡１ ｍｏｄ φ（ｎ） （８）
このように構成した場合、Ｖ（ｘ）をユーザに対して秘密にすることが可能になり、安全性が向上する。また、法数によりも大きなｄ₂も利用可能になる。
【００６３】
本実施例における第２の復号情報に復号の料金の情報を埋め込み、送られた復号料金の情報を蓄積するよう復号器を構成し、後に蓄積された料金情報をもとに委託者に復号料を請求するようにすれば、偽りのない復号料を課金することが可能な委託復号システムを作ることができる。これは後述する第２の実施例でも同様である。
【００６４】
本実施例における第２の復号情報に、暗号化されたデータの利用期限情報を埋め込み、復号器を、時計を内蔵し、送られた利用期限と内蔵している時計の時刻とを比較して、復号の可否を決定するよう、構成すれば、データの利用期限を限定可能な委託復号システムを作ることができる。これも第２の実施例でも同様である。
【００６５】
本実施例における第２の復号情報に、暗号化されたデータの属性情報を埋め込み、送られた属性情報を蓄積するよう復号器を構成すれば、後の統計処理や、監査の際に利用可能なデータを蓄積することができる委託復号システムを作ることができる。これも第２の実施例でも同様である。
【００６６】
［第２の実施例］
第２の実施例も、本発明を応用したブラインド復号器である。本実施例のブラインド復号器の構成を図２に示す。
【００６７】
本実施例では、暗復号方式として、合成数ｎを法とした巾乗剰余を使用する。本復号器は、復号に法数ｎ以外に２つの復号情報ｄ₁、ｄ₂を使用する。復号情報ｄ₁は、法数ｎのオイラー数、復号情報ｄ₂は、暗号鍵Ｅである。また、暗号鍵Ｅはｄと互いに素になるように作成する。
【００６８】
データＭに対する暗号文Ｃは、上述の式２によって生成される。
【００６９】
本実施例のブラインド復号器のユーザは、暗号文Ｃと法数ｎ、暗号鍵Ｅ（第２の復号情報ｄ₂でもある）を所持している。ユーザは、Ｃの復号を本実施例に委託する際に、Ｃにブラインド効果をかけてＣ’を生成し、Ｃ’とＥを本実施例に入力する。そして、本実施例からの出力Ｒを受け取り、Ｒのブラインド効果を取り除いて復号結果を得る。
【００７０】
ユーザが本実施例を使用する具体的な手順は、第１の実施例と同じである。
【００７１】
本実施例のブラインド復号器は、以下のサブユニットからなる。
入力部１１：ブラインド効果のかかった暗号文Ｃ’と、暗号鍵Ｅを入力する。
出力部１２：復号結果Ｒを出力する。
法数記憶部１３：法数ｎを記憶する。
オイラー数記憶部１６：オイラー数φ（ｎ）を記憶する。
逆数生成部１７：法数と整数を入力し、上記法数における上記整数の逆数を計算する。
復号部１５：ｎ、Ｃ’、逆数生成部１７の計算結果から復号結果Ｒを計算する。
【００７２】
本実施例のブラインド復号器の処理手順は次のようである。
１． 入力部１１を介して、ユーザから、ブラインド効果のかかった暗号文Ｃ’と、第２の復号情報ｄ₂を受け取り、Ｃ’は復号部１５へ、ｄ₂は逆数生成部１７へ送る。
２． 逆数生成部１７は、オイラー数記憶部１６からオイラー数φ（ｎ）を取り出し、オイラー数φ（ｎ）を法としてｄ₂の逆数ｄ₂ ^-1を計算し、その結果を復号部１５に送る。
３． 復号部１５は、法数記憶部１３から法数ｎを取り出し、式９を計算する。
【００７３】
【数１１】

４． 出力部１２を介して、Ｒを出力する。
【００７４】
もし、暗号文Ｃと第２の復号情報ｄ₂の組合せが正しければ、式１０により、正しく復号されることがわかる。
【００７５】
【数１２】

また、第２の復号情報とは異なる情報を本実施例のブラインド復号器に送ると、ユーザは正しい復号結果を得ることができない。したがって、第２の復号情報に復号料金等を含ませれば、偽りの復号料金を復号器に送られることを防ぐことができる。
【００７６】
本実施例のブラインド復号器に一方向性ハッシュ関数Ｖ（ｘ）の演算を行うハッシュ関数演算部を付加し、逆数生成部１６で、ｄ₂の逆数を計算する変わりに、Ｖ（ｄ₂）の逆数Ｖ（ｄ₂）^-1を計算し、復号部１５で、式１１を計算するようにしてもよい。
【００７７】
【数１３】

この場合、暗号鍵ＥはＶ（ｄ₂）になる。このように構成した場合、法数によりも大きなｄ₂も利用可能になる。
【００７８】
また、法数ｎのオイラー数を記憶するのではなく、法数ｎの素因数を記憶しておき、復号時にオイラー数を計算するように構成してもよい。
【００７９】
また、法数ｎのオイラー数を記憶するのではなく、法数ｎの素因数を記憶しておき、個々の素因数毎に素因数を法として巾乗剰余演算をおこない、それらから中国人の剰余定理を使って、ｎを法数とした場合の結果を得てもよい。
【００８０】
具体的には、ｎが二つの素数ｐ、ｑの積であった場合、
【００８１】
【数１４】

を計算し、Ｒ₁、Ｒ₂から中国人の剰余定理を使ってＲを計算しても、同じ効果が得られる。
【００８２】
［アクセス資格認証の実施例］
第３、４、５、６の実施例は、本発明を応用した、アクセス資格認証装置である。第３、４、５、６の実施例の実施例の大まかな構成を図３に示す。
【００８３】
図３において、これらの実施例のアクセス資格認証装置は、証明装置１００と検証装置２００とを有する。証明装置２００は、アクセスチケット生成装置３００が生成したアクセスチケットを利用して証明データを生成する。検証装置１００は、アクセス資格が認証されるサービスやデジタルデータに付随した装置であり、サービスやデジタルデータの利用者が、正当なアクセス権を持つことを検証する。証明装置２００は、サービスやデジタルデータの利用者が保持する装置であり、検証装置１００に対して、利用者が正当なアクセス権を持つことを証明する。
【００８４】
アクセス資格の認証は、検証装置１００が認証用データを証明装置２００に送り、証明装置２００で、認証データに対応する証明データを生成し、それを検証データに送ることで行われる。第３、４、５、６の実施例では、検証装置１００が送る認証データは、なんらかのデータを暗号化したものであり、証明装置２００は、認証データを復号して証明データを生成する。検証装置１００は、証明装置２００から送られた証明データが、認証データを正しく復号したものかどうかを検査することで、証明データの検証を行う。
【００８５】
証明データの生成には、認証データ、ユーザ固有情報、アクセスチケット、アクセス資格認証の必須情報の４つが必要である。
【００８６】
ユーザ固有情報は、サービスやデジタルデータの利用者毎に違うデジタルデータであり、証明装置２００内に、利用者からアクセスできない形で格納されている。
【００８７】
アクセスチケットは、アクセス資格認証の特徴情報とユーザ固有情報から生成されるデジタルデータである。
【００８８】
アクセス資格認証の必須情報は、検証装置１００が保持するデータであり、認証用データとともに、証明装置２００に送られる。
【００８９】
第３、４、５、６の実施例では、認証用データは、アクセス資格認証の特徴情報と、アクセス資格認証の必須情報との２つがそろってはじめて復号できる。したがって、検証装置１００と証明装置２００の間の通信の傍受者が、認証用データとともに証明装置２００に送られるアクセス資格認証の必須情報を差し替える等の不正を働けば、正しい証明データをえることができない。これにより、アクセス資格認証の必須情報を差し替えられることを防ぐことができる。
【００９０】
第３、４、５、６の実施例におけるアクセス資格認証の必須情報にサービスやデジタルデータの利用料金の情報を埋め込み、送られた利用料金の情報を、利用者が変更できない形でに蓄積するよう証明装置２００を構成し、後に蓄積された料金情報をもとに利用者に利用料金を請求するようにすれば、偽りのない利用料金を課金することが可能なアクセス資格認証システムを作ることができる。
【００９１】
第３、４、５、６の実施例におけるアクセス資格認証の必須情報に、サービスやデジタルデータの利用期限情報を埋め込み、証明装置２００を、時計を内蔵し、送られた利用期限と内蔵している時計の時刻とを比較して、証明装置２００の生成の可否を決定するよう、構成すれば、サービスやデジタルデータの利用期限を限定可能なアクセス資格認証システムを作ることができる。
【００９２】
第３、４、５、６の実施例におけるアクセス資格認証の必須情報にサービスやデジタルデータの属性情報を埋め込み、送られた属性情報を、利用者が変更できない形でに蓄積するよう証明装置２００を構成すれば、後の統計処理や、監査の際に利用可能なデータを蓄積することができるアクセス資格認証システムを作ることができる。
【００９３】
［第３の実施例］
第３の実施例の証明装置の構成方法を図４に、検証装置の構成方法を図８に示す。また、本実施例の証明装置の動作を図１０に、検証装置の動作を図１１に示す。
【００９４】
本実施例の証明装置２００は、図４に示すように、受信データ記憶部２０２、アクセスチケット記憶部２０３、ユーザ固有情報記憶部２０４、指数生成部２０５、第１演算部２０６、第２演算部２０７および証明データ生成部２０８を含んで構成されている。
【００９５】
また、本実施例の検証装置１００は、図８に示すように、検証手段１０１、アクセスチケット公開鍵記憶部１０３、乱数生成部１０４、乱数記憶部１０５、乱数効果除去部１０６、乱数効果付与部１０７、認証用素データ記憶部１０８、必須情報記憶部１０９、受信データ記憶部１１０および検証用演算部１１１を含んで構成されている。
【００９６】
本発明における第１の実施例では、アクセス資格認証の特徴情報Ｄと、Ｄに対応する公開情報Ｅおよびｎ、アクセス資格認証の必須情報Ｉは、以下のように定義される。
【００９７】
ｎはＲＳＡ法数、すなわち、十分大きな二つの素数ｐ、ｑの積であり、式１２を満たす。
【００９８】
【数１５】
ｎ＝ｐｑ （１２）
φ（ｎ）はｎのオイラー数であり、式１３によって計算される。
【００９９】
【数１６】
φ（ｎ）＝（ｐ−１）（ｑ−１） （１３）
アクセス資格認証の特徴情報Ｄは、法数ｎのもとでのＲＳＡ秘密鍵であり、式１４を満たす。
【０１００】
【数１７】
ｇｃｄ（Ｄ，φ（ｎ））＝１ （１４）
ここで、ｇｃｄ（ｘ，ｙ）は、二数ｘ、ｙの最大公約数を表す。
また、Ｉは、式１５を満たす素数である。
【０１０１】
【数１８】
ｇｃｄ（Ｉ，φ（ｎ））＝１ （１５）
公開情報Ｅは、式１６を満たすように生成される。
【０１０２】
【数１９】
ＥＩＤ ｍｏｄ φ（ｎ）＝１ （１６）
Ｄをアクセスチケット秘密鍵、Ｅをアクセスチケット公開鍵と呼ぶ。アクセスチケットｔは、アクセスチケット秘密鍵Ｄ、ユーザの固有情報ｅ、法数ｎを用い、以下の式１７に基づいて生成される。
【０１０３】
【数２０】
ｔ＝Ｄ−Ｆ（ｅ，ｎ） （１７）
ユーザの固有情報ｅは、ユーザ毎に異なる数であり、ユーザを識別するために用いられる。関数Ｆは関数値が衝突しにくい関数であり、例えば、一方向ハッシュ関数ｈを利用して、式１８あるいは式１９のように定めることができる。
【０１０４】
【数２１】
Ｆ（ｘ，ｙ）＝ｈ（ｘ｜ｙ） （１８）
Ｆ（ｘ，ｙ，ｚ，ｕ，ｗ）＝ｈ（ｘ｜ｙ｜ｚ｜ｕ｜ｗ） （１９）
ここで、ｘ｜ｙはｘとｙとのビットの連結であることを表す。
【０１０５】
上記の説明中に現れた数において、ｔ、Ｅ、ｎ、Ｉは公開可能であり、残りのＤ、ｅ、ｐ、ｑ、φ（ｎ）および関数Ｆはチケットを作成する権利を有するもの以外には秘密である必要がある。
【０１０６】
また、以下では、暗号化されるデータＫを検証用データ、証明装置２００が証明のために生成するデータＲを証明用データとよぶ。また、証明装置２００が証明データを生成するために、検証装置１００から受け取るデータを認証用データと呼ぶ。
【０１０７】
以下に本実施例の動作を示す。
１． ユーザが、アクセス資格認証装置による認証を必要とするデジタルコンテンツにアクセスすることによって、検証装置１００が起動される。検証装置１００がユーザのＰＣあるいはワークステーション上で動作するアプリケーションプログラムの一部として構成されている場合、ユーザがキーボードあるいはマウスなどの指示装置を用いた通常の方法で、アプリケーションプログラムを起動する。アプリケーションプログラムの実行が検証装置１００を構成しているプログラムに到達することにより、検証装置１００が起動される。
【０１０８】
検証装置１００がネットワークで結ばれた他のＰＣあるいはワークステーション（サーバと呼ぶ）上に構成されている場合、ユーザは自分のＰＣあるいはワークステーション上の通信プログラムを起動し、該通信プログラムが所定の手続きに従って上記サーバに通信の開設要求を行うことにより、上記サーバ上の検証装置１００が起動される。例えば、ユーザの通信プログラムがサーバと通信する際にＴＣＰ／ＩＰ（トランスミッションコントロールプロトコル／インターネットプロトコル）と呼ばれる手続きに従うとすると、検証装置をサーバの特定のポートに予め対応づけておき、更に、ユーザの通信プログラムが該ポートを指定してＴＣＰ接続要求をサーバに要求するように設定しておくことにより、サーバ上のデーモン（ｉｎｅｔｄ）がＴＣＰ接続要求に応じて検証装置を起動することが可能となる。このような実現方法は、インターネットなどのネットワークにおいて広く利用されているものである。
【０１０９】
検証装置１００を専用目的の装置とすることも可能である。例えば、検証装置１００をＩＣカード・リーダ・ライター内のＲＯＭに焼きつけられたプログラムとして構成し、証明装置２００をＩＣカードのマイクロコントローラーに実装されたプログラムとすることができる。この場合、ユーザがＩＣカードをリーダ・ライターに挿入することにより、検証装置１００が起動される。
【０１１０】
２． 検証装置１００は、認証用データＣと、アクセスチケット公開鍵記憶部１０３に記憶されている法数ｎ、及び、必須情報記憶部１０９に記憶されているアクセス資格認証の必須情報Ｉを、証明装置２００中の受信データ記憶部２０２に書き込む。認証用素データ記憶部１０８には、認証用素データとしてＣ’が記憶されている。ここで、検証用データを適当なデータＫとする時、認証用素データＣ’は、データＫに対して式２０を満たす。
【０１１１】
【数２２】
Ｃ’＝Ｋ^E ｍｏｄ ｎ （２０）
認証用データＣは、検証装置１００により、乱数生成部１０４で乱数ｒを生成し、ｒと、アクセスチケット公開鍵記憶部１０３から取得したＥ、ｎと、認証用素データ記憶部１０８から取得したＣ’とを用い、乱数効果付与部１０７で式２１の計算を行うことで生成される。生成された認証用データＣは、証明装置２００中の受信データ記憶部２０２に書き込まれる。また、生成した乱数ｒは、乱数記憶部１０５に記憶される。
【０１１２】
【数２３】
Ｃ＝ｒ^EＣ’ ｍｏｄ ｎ （２１）
このように、認証用データに乱数効果を加え、証明装置２００が返す証明データを検証する際に乱数効果を除去するように構成することにより、認証データにブラインドネスを付与することができる。すなわち、検証装置１００と証明装置２００間の通信の傍受者、あるいは証明装置自体から、認証用素データ自体、あるいは、その復号結果を隠すことができる。また、乱数効果に使用する乱数を毎回変えることにより、リプレイアタックを不可能にする役割も持っている。これは、以下の実施例においても、同様である。また、データＫを検証装置に保持せず、代わりに、その暗号化の結果であるＣ’のみを保持するように検証装置を構成し、証明装置２００から送られる証明データから乱数効果を取り除いたものとＫとが一致すること検証する手段を検証装置１００にもたせれば、検証装置１００からデータＫが漏洩する危険を回避することができる。
【０１１３】
３． 証明装置２００中の指数生成部２０５は、ユーザ固有情報記憶部２０４に記憶されているユーザの固有情報ｅと、受信データ記憶部２０２に記憶されている法数ｎとを取得し、式２２の計算を実行する。
【０１１４】
【数２４】
Ｆ（ｅ，ｎ） （２２）
【０１１５】
４． 証明装置２００中の第１演算部２０６は、受信データ記憶部２０２に記憶されている必須情報Ｉと法数ｎを取得し、これと、指数生成部２０５で生成されたデータとを用いて、式２３の計算を実行しＲ’を得る。
【０１１６】
【数２５】
Ｒ’＝Ｃ^IF(e,n) ｍｏｄ ｎ （２３）
【０１１７】
５． 証明装置２００中の第２演算部２０７は、アクセスチケット記憶部２０３に記憶されているアクセスチケットｔを取得し、式２４を計算して、Ｒ’’を得る。
【０１１８】
【数２６】
Ｒ’’＝Ｃ^It ｍｏｄ ｎ （２４）
【０１１９】
６． 証明装置２００中の証明データ生成部２０８は、第１および第２演算部２０６、２０７からＲ’およびＲ’’を得て、式２５の計算を行いＲを得る。
【０１２０】
【数２７】
Ｒ＝Ｒ’Ｒ’’ ｍｏｄ ｎ （２５）
【０１２１】
７． 証明装置２００はＲを検証装置１００の受信データ記憶部１１０に書き込む。
８． 検証装置１００中の乱数効果除去部１０６は、乱数記憶部１０５中から先に生成した乱数ｒを取り出し、式２６の計算を行う。
【０１２２】
【数２８】
Ｋ’＝ｒ^-1Ｒ ｍｏｄ ｎ （２６）
９． 証明装置２００において用いられるアクセスチケットｔとユーザの固有情報ｅ、および必須情報Ｉの組み合わせが正しい場合に限り、計算の結果得られたＫ’と検証用データＫが一致し、正しく検証が行われる。
１０． 計算されたＫ’は、検証装置１００中の検証手段１０１に引き渡されるが、実行手段１０２はＫ’＝Ｋが成立する場合に限り正規の処理を実行する。
【０１２３】
もし、上記の手順が正しく行われれば、式２７により、ＫとＫ’が一致することがわかる。
【０１２４】
【数２９】

また、検証装置１００と証明装置２００の間の通信の傍受者が、アクセス資格認証の必須情報ＩをＩ’と差し替えた場合、ＫとＫ’は一致しないので、サービスやデジタルデータのアクセスができない。
【０１２５】
ただし、アクセス資格認証の必須情報Ｉが素数でない場合には、問題がおこる。Ｉが、Ｉ＝ａ＊ｂと因数分解できる場合には、復号器にＣ、Ｉを送る代わりに、Ｃ^a ｍｏｄ ｎ，ｂを送っても復号器の出力は変わらない。したがって、Ｉという必須情報の代わりに、ｂという必須情報を送って、正常にアクセスすることが可能なのである。これを防ぐには、Ｉが素数になるように、Ｅ、Ｄ、Ｉの組合せを決めればよい。
【０１２６】
また、Ｉが素数であっても、復号器にＣ、Ｉを送る代わりに、Ｃ^I ｍｏｄ ｎ，１を送り、同じ出力を得ることができる。これを防ぐには、証明装置２００は、送られてきた必須情報が１でないことを確認する手段をもち、必須情報が１でないときのみＣの巾乗剰余の演算を行うよう構成すればよい。
【０１２７】
また、Ｉが素数でなくても、特定の値の繰り返してある等の、冗長性を持たせた値になるよう、Ｅ、Ｄ、Ｉの組合せを決めるようにし、証明装置２００に、送られてきた必須情報の冗長性を確認する手段を設けてもよい。Ｉの自明でない約数が証明装置２００が知っている冗長性を持つ可能性が十分低ければ、この方法でも、必須情報の代わりにその約数を復号器に送る攻撃を回避できる。
【０１２８】
本実施例において、ユーザ固有情報記憶部２０４、指数生成部２０５、第１演算部２０６を、利用者によるアクセスや改変が不能なＩＣカード等の内部に構成すれば、ユーザ固有情報の漏洩や、指数生成部２０５、第１演算部２０６の改変による不正から、本実施例を守ることが可能になる。
【０１２９】
本実施例の証明装置２００に一方向性ハッシュ関数Ｖ（ｘ、ｙ）の演算を行う演算手段を付加し、式２３の代わりに式２８を、式２４の代わりに式２９を計算するようにしてもよい。
【０１３０】
【数３０】
Ｒ’＝Ｃ^V(I,n)F(e,n) ｍｏｄ ｎ （２８）
Ｒ’＝Ｃ^V(I,n)t ｍｏｄ ｎ （２９）
この場合、暗号鍵Ｅとアクセス資格の必須情報Ｉおよびアクセス資格の特徴情報Ｄは、式３０の関係を満たすように作ることになる。
【０１３１】
【数３１】
ＥＶ（Ｉ，ｎ）Ｄ≡１ ｍｏｄ φ（ｎ） （３０）
このように構成すれば、法数よりも大きな必須情報を利用可能になる。
【０１３２】
本実施例の証明装置２００を、アクセスチケットと、指数生成部２０５の出力から、アクセス資格の特徴情報を算出し、その結果を使って、認証用データを巾乗剰余するように構成しても、本実施例と同様の効果が得られる。
【０１３３】
以下、検証装置１００において、ＫとＫ’が同一であることを検証する方法について、いくつかの例を記す。これらの例は、第４、５、６の実施例のも同様に適用可能である。
【０１３４】
［１］検証用データと復号結果を直接比較する構成例
検証手段１０１は予め検証用データＫを記憶しておく。検証手段１０１中の比較部は、この検証用データＫと、認証用データを復号したデータＫ’とを直接比較し、Ｋ’＝Ｋが成立する場合に限り正規の処理を実行し、成立しない場合には処理を中止するなどのエラー処理を実行する。この構成例では、検証すべき検証用データＫそのものが装置中に現れるという安全上の弱点がある。例えば、検証装置１００がユーザのＰＣあるいはワークステーション上で動作するプログラムとして構成されている場合、プログラムを解析してＫを窃取することは、困難であっても、必ずしも不可能ではない。Ｋの値がユーザの知るところとなると、証明装置２００の動作を模倣する装置を構成することが可能となり、なりすましによる不正アクセスが可能となる。
【０１３５】
［２］一方向性関数を用いた構成例
上記の欠点を改善するため、検証手段１０１が記憶している検証のためのデータを、検証用データＫそのものではなく、Ｋに前述の一方向ハッシュ関数ｈを施して得られるデータｈ（Ｋ）とする。一方向ハッシュ関数の性質から、証明データ記憶手段に記憶されるデータｙから、ｙ＝ｈ（ｘ）を満たすｘを算出することは著しく困難である。検証手段１０１は、入力データに対し一方向ハッシュ関数を施した結果を返す変換部を有する。比較部は、認証用データを復号したデータＫ’をハッシュ関数の入力として得られる出力ｈ（Ｋ’）と、記憶されているデータ（＝ｈ（Ｋ））とを比較する。この方法例では、検証用データＫがプログラム中に現れることがなく、また、証明データ記憶手段に記憶されたｈ（Ｋ）からＫを計算することも著しく困難であることから、上記［１］の例よりは安全であるといえる。しかしながら、比較部はプログラム中では条件文として構成されており、検証装置がプログラムで、分析・改竄が容易であるような構成の場合には、該条件文をスキップするようにプログラムを改竄することが可能である点で、なお弱点を有している。
【０１３６】
［３］復号された値が、特定のデータを復号するための復号鍵である構成例
検証のために記憶されているデータが、暗号化されたデータであり、認証用データを復号したデータＫ’は、この暗号化されたデータを復号するための鍵である。検証手段１０１は、データＫ’の値を、検証のために記憶されているデータを暗号化するのに用いた暗号の復号鍵として用いて復号し、その結果、暗号化されたデータが復号できた場合のみ、プログラムの実行を可能とする。この構成でも、検証装置１００中に復号鍵そのものは現れないため、安全度は高くなっている。
【０１３７】
［４］復号された値が特定の冗長性を満たすことを確認する構成例
検証装置１００が冗長性検証手段をもち、検証手段１０１は、認証用データを復号したデータＫ’の値を、冗長性検証手段に送る。冗長性検証手段が、そのデータが特定の冗長性を満たすことを確認した場合のみ、プログラムの実行を可能とする。冗長性の例としては、復号されたデータがある特定のパターンを繰り返していることや、特定の位置のデータが特定の条件を満たすこと、あるいは、データが特定の言語として意味があること、等があげられる。
【０１３８】
［５］プログラムコード自体を暗号化する構成例
検証装置１００が保持するプログラムのコードの一部或は全部を暗号化したデータを認証用データとして、認証用データ記憶手段に保持する。即ち、認証用データを復号したデータＫ’はプログラムのコードの一部或は全部となる。実行手段はデータＫ’を、プログラム中の予め定められた位置に埋め込み、その後、埋め込んだプログラムを実行する。証明装置が正しいデータを返信した場合、即ち、Ｋ’がコードを正しく復号したものである場合に限ってプログラムは実行可能となる。復号されたコードを本来のプログラムに埋め込んだファイルを生成した後、そのファイルを起動してもよいが、プログラムがメモリ上に展開されている状態で、復号したコードをメモリ上のプログラムに埋め込んだのち起動する方法が、安全上は望ましい。この構成例では、プログラムの実行に不可欠なコードの一部或は全部が暗号化されているため、実行されるプログラムがユーザのＰＣあるいはワークステーション上で動作するアプリケーションプログラムとして構成されているような比較的安全性の低い場合でも、不正実行を防止することができる。
【０１３９】
［６］復号された値がプログラムの復号鍵である構成例
検証装置１００がプログラムのコードの一部或は全部を暗号化したデータを保持しており、認証用データを復号したデータＫ’が、暗号化したプログラムコードを復号するために必要な復号鍵となっているものである。この構成によると、暗号化するコードのサイズに関わらず、データＫ’のサイズを一定の小さい値に抑えることが可能となり、通信のオーバヘッドを減少させることができる。検証手段１０１はデータＫ’を用いて、記憶している暗号化されたプログラムコードを復号する。さらに復号されたコードを、プログラム中の予め定められた位置に埋め込み、その後、埋め込んだプログラムを実行する。証明装置が正しいデータを返信していた場合、即ち、Ｋ’によってコードが正しく復号されていた場合に限ってプログラムは実行可能となる。
【０１４０】
［第４の実施例］
第４の実施例は、アクセスチケットｔの計算が第３の実施例とは異なる。本実施例の検証装置の構成方法を図８に、証明装置の構成方法を図５に示す。また、本実施例の検証装置の動作を図１３に、証明装置の動作を図１２に示す。本実施例の、アクセス資格認証の特徴情報Ｄ、公開情報Ｅ、ｎ、アクセス資格認証の必須情報Ｉの満たすべき性質および認証用素データＣ’、認証用データＣの生成方法は、実施例１と同様である。なお、図５において、図４に対応する箇所には対応する符号を付した。
【０１４１】
本実施例のアクセスチケットｔは、式２８に基づいて生成される。
【０１４２】
【数３２】
ｔ＝Ｄ／Ｆ（ｅ，ｎ） ｍｏｄ φ（ｎ） （３１）
以下、本実施例の動作について説明する。
【０１４３】
１． ユーザがアクセスすることによって、検証装置１００が起動される。
【０１４４】
検証装置１００の実現方法として、ユーザのＰＣやワークステーション上で動作するアプリケーションプログラム、ユーザのＰＣやワークステーションとネットワークを介して接続されたサーバ上のサーバプログラム、あるいは、ＩＣカード・リーダ・ライターのような専用の装置のいずれも可能であることは、第３の実施例の場合と変わらない。これは、以降の実施例においても同様である。
【０１４５】
２． 検証装置１００は、認証用データＣと、アクセスチケット公開鍵記憶部１０３に記憶されている法数ｎ、および、必須情報記憶部１０９に記憶されているアクセス資格認証の必須情報Ｉを、証明装置２００中の受信データ記憶部２０２に書き込む。
【０１４６】
３． 証明装置２００中の指数生成部２０５は、ユーザ固有情報記憶部２０４に記憶されているユーザの固有情報ｅと、アクセスチケット公開鍵記憶部２０３に記憶されている法数ｎとを取得し、式３２の計算を実行する。
【０１４７】
【数３３】
Ｆ（ｅ，ｎ） （３２）
【０１４８】
４． 証明装置２００中の証明用演算部２０９は、受信データ記憶部２０２に記憶されている必須情報Ｉと法数ｎを取得し、これと、指数生成部２０５で生成されたデータとを用いて、式３３の計算を実行しＲ’を得る。
【０１４９】
【数３４】
Ｒ’＝Ｃ^IF(e,n) ｍｏｄ ｎ （３３）
【０１５０】
５． 証明装置２００中の証明データ生成部２０８は、アクセスチケット記憶部２０３に記憶されているアクセスチケットｔと受信データ記憶部２０２に記憶されている法数ｎを取得し、証明用演算部２０９からＲ’を得、式３４を計算して、Ｒを得る。
【０１５１】
【数３５】
Ｒ＝Ｒ’^t ｍｏｄ ｎ （３４）
【０１５２】
６． 証明装置２００は、Ｒを検証装置１００の受信データ記憶部１１０に書き込む。
７． 検証装置１００中の乱数効果除去部１０６は、乱数記憶部１０５中から先に生成した乱数ｒを取り出し、式３５の計算を行う。
【０１５３】
【数３６】
Ｋ’＝ｒ^-1Ｒ ｍｏｄ ｎ （３５）
【０１５４】
８． 証明装置２００において用いられるアクセスチケットｔとユーザの固有情報ｅ、および必須情報Ｉの組み合わせが正しい場合に限り、計算の結果得られたＫ’と検証用データＫが一致し、正しく検証が行われる。もし、上記の手順が正しく行われれば、式３６により、ＫとＫ’が一致することがわかる。
【０１５５】
【数３７】

また、検証装置１００と認証装置２００の間の通信の傍受者が、アクセス資格認証の必須情報ＩをＩ’と差し替えた場合、ＫとＫ’は一致しないので、サービスやデジタルデータのアクセスができない。
【０１５６】
ただし、アクセス資格認証の必須情報Ｉが素数でない場合には、問題がおこる。Ｉが、Ｉ＝ａ＊ｂと因数分解できる場合には、復号器にＣ、Ｉを送る代わりに、Ｃ^a ｍｏｄ ｎ，ｂを送っても復号器の出力は変わらない。したがって、Ｉという必須情報の代わりに、ｂという必須情報を送って、正常にアクセスすることが可能なのである。これを防ぐには、Ｉが素数になるように、Ｅ、Ｄ、Ｉの組合せを決めればよい。
【０１５７】
また、Ｉが素数であっても、復号器にＣ、Ｉを送る代わりに、Ｃ^I ｍｏｄ ｎ，１を送り、同じ出力を得ることができる。これを防ぐには、証明装置２００は、送られてきた必須情報が１でないことを確認する手段をもち、必須情報が１でないときのみＣの巾乗剰余の演算を行うよう構成すればよい。
【０１５８】
また、Ｉが素数でなくても、特定の値の繰り返してある等の、冗長性を持たせた値になるよう、Ｅ、Ｄ、Ｉの組合せを決めるようにし、証明装置２００に、送られてきた必須情報の冗長性を確認する手段を設けてもよい。Ｉの自明でない約数が、証明装置２００が知っている冗長性を持つ可能性が十分低ければ、この方法でも、必須情報の代わりにその約数を復号器に送る攻撃を回避できる。
【０１５９】
Ｋ’と検証用データＫとの比較方法に関しては、実施例３と同様の方法を用いることができる。
【０１６０】
本実施例において、ユーザ固有情報記憶部２０４、指数生成部２０５、証明演算部２０９を、利用者によるアクセスや改変が不能なＩＣカード等の内部に構成すれば、ユーザ固有情報２０４の漏洩や、指数生成部２０５、証明演算部２０９の改変による不正から、本実施例を守ることが可能になる。
【０１６１】
本実施例の証明装置２００に一方向性ハッシュ関数Ｖ（ｘ、ｙ）の演算を行う演算手段を付加し、式３３の代わりに式３７を計算するようにしてもよい。
【０１６２】
【数３８】
Ｒ’＝Ｃ^V(I,n)F(e,n) ｍｏｄ ｎ （３７）
この場合、暗号鍵Ｅとアクセス資格の必須情報Ｉおよびアクセス資格の特徴情報Ｄは、式３８の関係を満たすように作ることになる。
【０１６３】
【数３９】
ＥＶ（Ｉ，ｎ）Ｄ≡１ ｍｏｄ φ（ｎ） （３８）
このように構成した場合、Ｖ（ｘ，ｙ）をユーザに対して秘密にすることが可能になり、安全性が向上する。また、法数によりも大きな必須情報を利用可能になる。
【０１６４】
本実施例の証明装置２００を、アクセスチケットと、指数生成部２０５の出力から、アクセス資格の特徴情報を算出し、その結果を使って、認証用データを巾乗剰余するように構成しても、本実施例と同様の効果が得られる。
【０１６５】
［第５の実施例］
第３、４の実施例が、アクセス資格の必須情報の正当性が、証明装置２００にはわからなかったのに対し、第５の実施例は、アクセス資格の必須情報の正当性を証明装置２００で検証し、正当なものでなければ、証明データの生成を行わないものである。本実施例の検証装置１００の構成方法を図９に、証明装置２００の構成方法を図６に示す。また、本実施例の検証装置１００の動作を図１５に、証明装置２００の動作を図１４に示す。
【０１６６】
本実施例の、アクセス資格認証の特徴情報Ｄと、ＲＳＡ法数ｎ、およびｎのオイラー数φ（ｎ）が満たすべき性質および認証用素データＣ’、認証用データＣの生成方法は、実施例３と同様である。本実施例における公開情報Ｅは、式３５を満たすように生成される。
【０１６７】
【数４０】
ＥＤ ｍｏｄ φ（ｎ）＝１ （３９）
アクセスチケットｔは、実施例１と同様、アクセスチケット秘密鍵Ｄ、ユーザの固有情報ｅ、法数ｎ、関数Ｆを用い、以下の式４０に基づいて生成される。
【０１６８】
【数４１】
ｔ＝Ｄ−Ｆ（ｅ，ｎ） （４０）
【０１６９】
以下、本実施例の動作について説明する。
１． ユーザがアクセスすることによって、検証装置１００が起動される。
【０１７０】
２． 検証装置１００中の検査情報生成部１１２は、認証用データＣと、必須情報記憶部１０９に記憶されているアクセス資格認証の必須情報Ｉを取得し、式４１の計算を実行して、検査情報Ｍを生成する。
【０１７１】
【数４２】
Ｍ＝Ｖ（Ｃ，Ｉ） （４１）
関数Ｖは、関数Ｆと同様の性質を持つ関数であり、検証装置１００と証明装置２００以外には秘密である必要がある。
【０１７２】
３． 検証装置１００は、証用データＣと、アクセスチケット公開鍵記憶部１０３に記憶されている法数ｎ、必須情報記憶部１０９に記憶されているアクセス資格認証の必須情報Ｉ、および検査情報Ｍを、証明装置２００中の受信データ記憶部２０２に書き込む。
【０１７３】
４． 証明装置２００中の必須情報検証部２１０は、受信データ記憶部２０２に書き込まれた認証データＣ、必須情報Ｉ、検査情報Ｍを取得し、式４２を満たしているかどうかを検証する。
【０１７４】
【数４３】
Ｍ＝Ｖ（Ｃ，Ｉ） （４２）
式４２を満たしていれば、引続き以下の計算を行う。
【０１７５】
５． 証明装置２００中の指数生成部２０５は、ユーザ固有情報記憶部２０４に記憶されているユーザの固有情報ｅと、受信データ記憶部２０２に記憶されている法数ｎとを取得し、式４３の計算を実行する。
【０１７６】
【数４４】
Ｆ（ｅ，ｎ） （４３）
【０１７７】
６．証明装置２００中の第１演算部２０６は、受信データ記憶部２０２に書き込まれた認証用データＣ、法数ｎと、指数生成部２０５で生成されたデータとを用いて、式４４の計算を実行しＲ’を得る。
【０１７８】
【数４５】
Ｒ’＝Ｃ^F(e,n) ｍｏｄ ｎ （４４）
【０１７９】
７． 証明装置２００中の第２演算部２０７は、アクセスチケット記憶部２０７に記憶されているアクセスチケットｔ、受信データ記憶部２０２に記憶されている認証用データＣ、法数ｎを取得し、式４５を計算して、Ｒ’’を得る。
【０１８０】
【数４６】
Ｒ’’＝Ｃ^t ｍｏｄ ｎ （４５）
【０１８１】
８． 証明装置２００中の証明データ生成部２０８は、第１および第２演算部２０６、２０７からＲ’およびＲ’’を得て、式４６の計算を行いＲを得る。
【０１８２】
【数４７】
Ｒ＝Ｒ’Ｒ’’ ｍｏｄ ｎ （４６）
【０１８３】
９． 証明装置２００はＲを検証装置１００の受信データ記憶部１１０に書き込む。
１０． 検証装置１００中の乱数効果除去部１０６は、乱数記憶部１０５中から先に生成した乱数ｒを取り出し、式４７の計算を行う。
【０１８４】
【数４８】
Ｋ’＝ｒ^-1Ｒ ｍｏｄ ｎ （４７）
【０１８５】
１１． 証明装置２００において用いられるアクセスチケットｔとユーザの固有情報ｅ、および必須情報Ｉの組み合わせが正しい場合に限り、計算の結果得られたＫ’と検証用データＫが一致し、正しく検証が行われる。
【０１８６】
もし、上記の手順が正しく行われれば、式４８により、ＫとＫ’が一致することがわかる。
【０１８７】
【数４９】

検証装置１００と認証装置２００の間の通信の傍受者が、アクセス資格認証の必須情報ＩをＩ’と差し替えた場合、４でのチェックを通らず、証明装置２００は証明データの生成を中止し、検証装置１００に中止を通知する。通知の手段は、たとえば、中止用コードを受信データ記憶部１１０に書き込む方法や、予め証明データ生成までの所要時間を定めておいて、所要時間を超過しても受信データ記憶部１１０への書き込みが行われなかった場合は中止とする方法などがある。
【０１８８】
Ｋ’と検証用データＫとの比較方法に関しては、実施例３と同様の方法を用いることができる。
【０１８９】
本実施例において、ユーザ固有情報記憶部２０４、必須情報検証部２１０、指数生成部２０５、第１演算部２０６を、利用者によるアクセスや改変が不能なＩＣカード等の内部に構成すれば、ユーザ固有情報の漏洩や、必須情報検証部２１０、指数生成部２０５、第１演算部２０６の改変による不正から、本実施例を守ることが可能になる。
【０１９０】
［第６の実施例］
第６の実施例の検証装置１００の構成方法を図８に、証明装置２００の構成方法を図７に示す。また、本実施例の検証装置１００の動作を図１７に、証明装置２００の動作を図１６に示す。本発明における第４の実施例では、公開情報ｎ、およびｎのオイラー数φ（ｎ）が満たすべき性質は、実施例１と同様である。アクセス資格認証の必須情報Ｉは、式４９を満たす整数である。
【０１９１】
【数５０】
ｇｃｄ（Ｉ，φ（ｎ））＝１ （４９）
また、アクセスチケットｔは、オイラー数φ（ｎ）、ユーザの固有情報ｅ、法数ｎ、関数Ｆを用い、以下の式５０に基づいて生成される。
【０１９２】
【数５１】
ｔ＝φ（ｎ）−Ｆ（ｅ，ｎ） （５０）
【０１９３】
以下、本実施例の動作について説明する。
１． ユーザがアクセスすることによって、検証装置１００が起動される。
【０１９４】
２． 検証装置１００は、認証用データＣと、アクセスチケット公開鍵記憶部１０３に記憶されている法数ｎ、および、必須情報記憶部１０９に記憶されているアクセス資格認証の必須情報Ｉを、証明装置２００中の受信データ記憶部２０２に書き込む。認証用素データ記憶部１０８には、認証用素データとしてＣ’が記憶されている。ここで、検証用データを適当なデータＫとする時、認証用素データＣ’は、データＫに対して式５１を満たす。
【０１９５】
【数５２】
Ｃ’＝Ｋ^I ｍｏｄ ｎ （５１）
認証用データＣは、検証装置１００により、乱数生成部１０４で乱数ｒを生成し、ｒと、アクセスチケット公開鍵記憶部１０３から取得したｎと、必須情報記憶部１０９から取得したＩと、認証用素データ記憶部１０８から取得したＣ’とを用い、乱数効果付与部１０７で式５２の計算を行うことで生成される。生成された認証用データＣは、証明装置２００中の受信データ記憶部２０２に書き込まれる。また、生成した乱数ｒは、乱数記憶部１０５に記憶される。
【０１９６】
【数５３】
Ｃ＝ｒ^IＣ’ ｍｏｄ ｎ （５２）
【０１９７】
３． 証明装置２００中の指数生成部２０５は、ユーザ固有情報記憶部２０４に記憶されているユーザの固有情報ｅと、受信データ記憶部２０２に記憶されている法数ｎとを取得し、式５３の計算を実行する。
【０１９８】
【数５４】
Ｆ（ｅ，ｎ） （５３）
【０１９９】
４． 証明装置２００中の証明用演算部２０９は、受信データ記憶部２０２に記憶されている必須情報Ｉと、アクセスチケット記憶部２０３に記憶されているアクセスチケットｔを取得し、これと、指数生成部２０５で生成されたデータとを用いて、式５４の計算を実行してを得、式５５を満たすＤを計算する。
【０２００】
【数５５】
ψ＝ｔ＋Ｆ（ｅ，ｎ） （５４）
ＤＩ≡１ ｍｏｄ ψ （５５）
【０２０１】
５． 証明装置２００中の証明データ生成部２０８は、証明用演算部２０９からＤを得、受信データ記憶部２０２からＣ、ｎを取得して式５６の計算を行いＲを得る。
【０２０２】
【数５６】
Ｒ＝Ｃ^D ｍｏｄ ｎ （５６）
【０２０３】
６． 検証装置１００中の乱数効果除去部１０６は、乱数記憶部１０５中から先に生成した乱数ｒを取り出し、式５７の計算を行う。
【０２０４】
【数５７】
Ｋ’＝ｒ^-1Ｒ ｍｏｄ ｎ （５７）
【０２０５】
７． 証明装置２００において用いられるアクセスチケットｔとユーザの固有情報ｅ、および必須情報Ｉの組み合わせが正しい場合に限り、計算の結果得られたＫ’と検証用データＫが一致し、正しく検証が行われる。
【０２０６】
もし、上記の手順が正しく行われれば、式５８により、ＫとＫ’が一致することがわかる。
【０２０７】
【数５８】

また、検証装置１００と認証装置２００の間の通信の傍受者が、アクセス資格認証の必須情報ＩをＩ’と差し替えた場合、
【０２０８】
【数５９】

であり、ＫとＫ’は一致しないので、サービスやデジタルデータのアクセスができない。Ｋ’と検証用データＫとの比較方法に関しては、実施例３と同様の方法を用いることができる。
【０２０９】
本実施例において、ユーザ固有情報記憶部２０４、指数生成部２０５、証明用演算部２０９、証明データ生成部２０８を、利用者によるアクセスや改変が不能なＩＣカード等の内部に構成すれば、ユーザ固有情報の漏洩や、指数生成部２０５、証明用演算部２０９の改変による不正から、本実施例を守ることが可能になる。
【０２１０】
本実施例の証明装置２００に一方向性ハッシュ関数Ｖ（ｘ、ｙ）の演算を行う演算手段を付加し、式５５の代わりに式５９を計算するようにしてもよい。
【０２１１】
【数６０】
ＤＶ（Ｉ，ｎ）≡１ ｍｏｄ （５９）
この場合、検証用データを適当なデータＫとする時、認証用素データＣ’は、データＫに対して式５４を満たすように作られる。
【０２１２】
【数６１】
Ｃ’＝Ｋ^V(I,n) ｍｏｄ ｎ （６０）
このように構成した場合、法数よりも大きな必須情報を利用可能になる。
【０２１３】
【発明の効果】
以上説明したように、本発明では、暗号化されたデータの復号に、第１の復号情報と、第２の復号情報が必要となるように構成し、第２の復号情報は、復号器に対して外部から入力するものとし（第１の復号情報は外部から入力するようにしても内部で生成するようにしてもよい）、暗号化されたデータと、第２の復号情報を正しく入力しなければ、正しい復号結果が得られないようにしている。したがって、データの復号料金等の、差し替えられてはならない情報は、第２の復号情報として復号器に入力するようシステムを構成すれば、情報の差し替えという不正行為に対して、復号の失敗というペナルテイを課すことができる。
【０２１４】
また、上述の復号手法をアクセス資格認証に適用することにより、アクセス料金等の、差し替えられてはならない情報を上述の第２の復号情報として入力させることにより、それら情報の差し替えという不正行為に対して、アクセスの拒否というペナルテイを課すことができる。
【図面の簡単な説明】
【図１】 本発明の第１の実施例の復号装置を示すブロック図である。
【図２】 本発明の第２の実施例の復号装置を示すブロック図である。
【図３】 本発明の第３〜第６の実施例のアクセス資格認証装置を全体として示すブロック図である。
【図４】 本発明の第３の実施例のアクセス資格認証装置の証明装置の構成を示すブロック図である。
【図５】 本発明の第４の実施例のアクセス資格認証装置の証明装置の構成を示すブロック図である。
【図６】 本発明の第５の実施例のアクセス資格認証装置の証明装置の構成を示すブロック図である。
【図７】 本発明の第６の実施例のアクセス資格認証装置の証明装置の構成を示すブロック図である。
【図８】 本発明の第３、４、６の実施例のアクセス資格認証装置の検証装置の構成を示すブロック図である。
【図９】 本発明の第５の実施例のアクセス資格認証装置の検証装置の構成を示すブロック図である。
【図１０】 本発明の第３の実施例のアクセス資格認証装置の証明装置の動作を説明する図である。
【図１１】 本発明の第３の実施例のアクセス資格認証装置の検証装置の動作を説明する図である。
【図１２】 本発明の第４の実施例のアクセス資格認証装置の証明装置の動作を説明する図である。
【図１３】 本発明の第４の実施例のアクセス資格認証装置の検証装置の動作を説明する図である。
【図１４】 本発明の第５の実施例のアクセス資格認証装置の証明装置の動作を説明する図である。
【図１５】 本発明の第５の実施例のアクセス資格認証装置の検証装置の動作を説明する図である。
【図１６】 本発明の第６の実施例のアクセス資格認証装置の証明装置の動作を説明する図である。
【図１７】 本発明の第６の実施例のアクセス資格認証装置の検証装置の動作を説明する図である。
【符号の説明】
１１ 入力部
１２ 出力部
１３ 法数記憶部
１４ 第１復号情報記憶部
１５ 復号部
１６ オイラー数記憶部
１７ 逆数生成部
１００ 検証装置
１０１ 検証手段
１０２ 実行手段
１０３ アクセスチケット公開鍵記憶部
１０４ 乱数生成部
１０５ 乱数記憶部
１０６ 乱数効果除去部
１０７ 乱数効果付与部
１０８ 認証用素データ記憶部
１０９ 必須情報記憶部
１１０ 受信データ記憶部
１１１ 検証用演算部
１１２ 検査情報生成部
２００ 証明装置
２０１ 証明データ生成手段
２０２ 受信データ記憶部
２０３ アクセスチケット記憶部
２０４ ユーザ固有情報記憶部
２０５ 指数生成部
２０６ 第１演算部
２０７ 第２演算部
２０８ 証明データ生成部
２０９ 証明用演算部
３００ アクセスチケット生成装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to encryption / decryption of digital data and access qualification authentication for digital data and services using encryption / decryption.
[0002]
[Prior art]
When trying to protect the security of data by encryption / decryption, there are the following two types of relationship between the user of the encrypted data and the holder of the decryption key for decrypting the data.
[0003]
(1) When the data user and the decryption key holder are the same
(2) If the data user and the decryption key holder are not the same
As an example of the former (1), secret communication between individuals is typical. In the case of communication between individuals, the receiver secretly holds the data decryption key. The sender encrypts the data with an encryption key corresponding to the decryption key held by the receiver. If the receiver leaks the decryption key to the third party, it leads to a loss of the receiver's privacy, which is a great disadvantage for the receiver. Therefore, no problem occurs even if the receiver has the decryption key.
[0004]
An example of the latter (2) is a simultaneous broadcast of digital data performed by satellite broadcasting or the like. The paid digital data that is broadcast all at once is encrypted and cannot be used unless the digital data is decrypted. However, if the receiver has a decryption key for decrypting the encrypted digital data, the receiver will not cause any disadvantage even if the receiver knows the decryption key. By leaking the key to the third party, it is possible to obtain a benefit such as compensation from the third party. That is, since there is a positive reason for the data user to leak the decryption key, the data user and the owner of the decryption key must be separated.
[0005]
Currently, in satellite broadcasting, this problem is solved by incorporating a decryption key in an area in hardware that is inaccessible from the outside, and entrusting decryption of data to this hardware (consignment decryption). Since the user of digital data has no way of obtaining the decryption key itself, the problem of leakage of the decryption key by the digital data user does not occur.
[0006]
In addition to satellite broadcasts, it also decodes data that is broadcast to the general public, such as data broadcasts via the Internet's WWW (World Wide Web) and CATV (Cable Television Broadcasting). In some cases, the same means are used. There are various entrustees such as a decoder built in the satellite broadcast tuner, an IC card having a decryption function, and a destination computer via a network.
[0007]
When entrusted decryption is performed by an easy method in which the encrypted data is transmitted to the decryptor as it is and the decryption result is received from the decryptor, the following two problems occur.
[0008]
(1) It is revealed to the decoder what was decoded and what the decoding result was.
[0009]
The creator of the decoder can create the decoder so that the entrusted decoding history remains. When the decoder is made in this way, the data receiver's privacy of what kind of data is to be decoded may be stored in the decoder and later abused. A similar configuration of the decoder also disadvantages the data sender. From the point of view of the data sender, data that is not desired to be known by the decoder cannot be subjected to consignment decryption. In the case of satellite broadcasting, when a movie is encrypted and sent, the decrypted plaintext movie is stored in the decoder, and there is a risk that the data is misused by the creator of the decoder.
[0010]
{Circle around (2)} If there is a person intercepting communication with the decoder, the interceptor can see what was decrypted and what the decoding result was.
[0011]
Imagine the seriousness of this problem by imagining the case where the decryption entrustee is a computer connected first through a network. In this case, if no means are taken, a third party intercepting the net can easily know what was decrypted by consignment decryption and what the decryption result was.
[0012]
Blind decryption is a delegated decryption technique that simultaneously clears the above two problems. Silvio Micari, Fair public key cryptosystem, Proc. Crypto 92, pp. 113-138 (1993) discloses a blind decoding scheme based on RSA (Rivest-Shamir-Adleman). The contents of the disclosure are outlined below.
[0013]
Assume that the decryption consignor is Alice, and the decryptor that receives the consignment and decrypts is Bob. The decryption key possessed by Bob is D, the RSA modulus is n, and the encryption key is E. Since it is RSA, ED≡1 mod φ (n) holds. Where φ (n) is the Euler number of n.
[0014]
Plaintext M encrypted with n and E C = M^E  Let it be mod n.
1. Alice generates a random number r, C ′ = r^ECalculate C mod n and send C 'to Bob.
2. Bob is R = C '^D  Mod n is calculated and sent to Alice.
3. Alice is r^-1r≡1 mod n becomes r^-1And M ′ = r^-1Calculate R mod n.
[0015]
It can be seen from the following formula that Alice obtains a correct decoding result by the above procedure.
[0016]
[Expression 1]

According to this scheme, a third party intercepting the communication between the decoder Bob and Alice and Bob has C ′ = r^EC mod n, R = C '^DOnly ≡rM mod n is visible, and the ciphertext C that Alice wanted to decrypt and the decryption result M of C are not exposed to the decryptor Bob and the interceptor of communication. This method solves the above two problems of consignment decryption.
[0017]
An apparatus for controlling access to digital data by applying blind decoding is proposed in Japanese Patent Application No. 9-418.
[0018]
The access control device described in Japanese Patent Application No. 9-418 includes a certifying device that proves possession of an access right to data and a verification device that verifies the proof by the certifying device. The verification device stores encrypted digital data and data obtained by encrypting a key for decrypting the digital data with an RSA public key (encryption key). The proving device is an RSA decoder. The verification device entrusts the decryption of the encryption key to the certification device using blind decryption, and decrypts the digital data using the result. If decrypted correctly, the proving device has succeeded in proving possession of the access right.
[0019]
Since blind decryption is used, the contents of the entrusted encryption key and the decryption key of the digital data are not known to the proving device or the person who intercepts the communication between the verification device and the proving device. .
[0020]
The technique of Japanese Patent Application No. 9-418 is particularly characterized in the configuration of a proving device that is an RSA decoder. In the proposal of Japanese Patent Application No. 9-418, in order to be able to decrypt a plurality of RSA public keys with a single prover, RSA decryption keys are embedded in changeable data called access tickets. . The access ticket is obtained by applying a mask to the RSA decryption key so that the RSA decryption key is not extracted from the access ticket, and the access ticket becomes information that can be disclosed. The proving device of Japanese Patent Application No. 9-418 has tamper-resistant hardware such as an IC card, and the effect of the access ticket mask can be removed only by the hardware.
[0021]
The access control proposed in Japanese Patent Application No. 9-418 will be described in detail below.
[0022]
The verification device has the encrypted data and the encryption key K obtained by encrypting the decryption key K with the RSA modulus n and the encryption key E. The proving device has an IC card having a calculation function of a modular exponentiation and a calculation function of a one-way hash f (x, y). Further secret data d is stored in the IC card. When the RSA modulus n and the decryption key for the encryption key E are D, the access ticket t is data having a value of t = D−f (d, n).
[0023]
Proof and verification of possession of the access right is performed according to the following procedure.
1. The verification device generates a random number r.
2. The verification device is C = r^EK^*  Mod n is calculated and n and C are sent to the proving device. However, K^*Is K^EAnd
3. The certification device is R in the IC card.₁= C^{f (d, n)}  Mod n is calculated.
4). Proof device is R₂= C^t  Mod n is calculated.
5. The verification device is R = R₁R₂  Mod n is calculated and sent to the verification device.
6). The verification device is r^-1r≡1 mod n becomes r^-1And K ′ = r^-1R
Mod n is calculated.
[0024]
It can be seen from the following equation that if the above procedure is performed correctly, K≡K ′ mod n, and possession of the access right is proved.
[0025]
[Expression 2]

In this method, if a user has an IC card having a different d for each user, an access ticket for decrypting a certain digital data encryption key is different for each user. Even if you copy someone else's access ticket, you cannot use it to prove that you have access. Therefore, the access right for each user can be controlled by not issuing an access ticket for each user. Further, if the RSA modulus n and the encryption key E are changed for each digital data, an access ticket for certain data cannot be used for other data. Therefore, access control for each digital data is also possible.
[0026]
[Problems to be solved by the invention]
The problem with blind decoding is its strong blindness. According to blind decoding, the only information that can be collected by the decoder by entrusting decoding is information that there has been some decoding entrustment. Any information regarding the data entrusted to decrypt cannot be transmitted to the decoder. However, there are many requests to transmit certain information about data to the decoder when performing the decryption. Specifically, there are the following.
(1) When a fee is obtained by the consignment decryption service, if the decryption fee is different for each data, the decryption fee of the data must be transmitted to the decoder together with the encrypted data.
(2) When the expiration date is determined for each data, the expiration date of the data must be sent to the decoder together with the encrypted data, and the expiration date must be checked by the decoder.
(3) When the number of users available for each data is limited, a list of the users who can use the data is sent to the decryptor along with the encrypted data, and the decryptor checks whether the consignor is an available user. Must be done.
{Circle around (4)} When performing consignment decryption of a confidential document, the identifier of the data is sent to the decryptor together with the encrypted data for later auditing, and the decryptor must store this.
[0027]
If this information is transmitted to the decoder without any ingenuity along with the encrypted data, it is possible to replace the attached information with something convenient for the consignor if the consignor is malicious. is there. For example, it is possible to cheat such as sending information on a fee lower than the data to be entrusted, sending an expiration date after the actual date, sending a list of accessible users different from the actual one, sending an identifier different from the actual one.
[0028]
This problem is also the same in the technique of Japanese Patent Application No. 9-418 that performs access control of digital data by applying conventional blind decoding. The proposal of Japanese Patent Application No. 9-418 has a tamper-resistant IC card. It is very difficult to tamper with the processing performed in the IC card or to tamper with the information stored in the IC card, so if the information can be transmitted correctly to the IC card, the safety within the IC card Is guaranteed. Therefore, the storage of access charges for data and the check of the access expiration date are performed in the IC card. However, Japanese Patent Application No. 9-418, which uses the conventional blind decoding as it is, There is no means for safely transmitting information to the IC card.
[0029]
In view of the above problems, a first object of the present invention is to realize blind decoding that can safely send specific information to a decoder while maintaining the blindness of data entrusted for decoding. is there. A second object of the present invention is to realize digital data access control by applying a blind decoding method that solves the above problems.
[0030]
[Means for Solving the Problems]
In order to achieve the first object, the present invention is configured so that the decryptor needs the first decryption information and the second decryption information when decrypting the encrypted data. ing. More specifically, the decryptor multiplies the encrypted data by the product of the first decryption information and the second decryption information under the modulus n, and outputs it as a decryption result.
[0031]
Encryption is a process of powering data with an encryption key under the modulus n. The product of the encryption key, the first decryption information, and the second decryption information is 1 with the Euler number of n as the modulus. If they are congruent, they can be decrypted correctly.
[0032]
Furthermore, the second decryption information is input from the outside to the decryptor, and it is devised so that a correct decryption result cannot be obtained unless the encrypted data and the second decryption information are correctly input. is doing.
[0033]
If the system is configured to input information that must not be replaced, such as data decryption charges, to the decoder as second decryption information, a penalty of decryption failure will be imposed on fraudulent acts of information replacement. be able to.
[0034]
As another configuration in which the first decryption information and the second decryption information are required when the decryptor performs decryption of the encrypted data, the decryptor is configured under the modulus n. In this example, the encrypted data is raised to the power of the reciprocal of the second decryption information when the first decryption information is used as a modulus, and is output as a decryption result.
[0035]
If the first decryption information is the Euler number of modulus n and the second decryption information is the encryption key, the decryption can be performed correctly.
[0036]
Furthermore, the second decryption information is input from the outside to the decryptor, and it is devised so that a correct decryption result cannot be obtained unless the encrypted data and the second decryption information are correctly input. is doing.
[0037]
If the system is configured to input information that must not be replaced, such as data decryption charges, to the decoder as second decryption information, a penalty of decryption failure will be imposed on fraudulent acts of information replacement. be able to.
[0038]
In order to achieve the second object, the present invention provides an access credential authentication apparatus for authenticating the above-mentioned user access qualification by verifying the validity of proof data generated to prove the user's access qualification. Predetermined calculation is performed on the first storage means for storing the authentication data, the second storage means for storing the user's unique information, the user's unique information, and the access qualification feature information. Third storage means for storing auxiliary information for proof that is an execution result, fourth storage means for storing essential information for access qualification authentication, and authentication data held in the first storage means And user specific information stored in the second storage means, auxiliary information for proof stored in the third storage means, and access qualification authentication stored in the fourth storage means Proof data generation means for generating proof data by performing a predetermined operation on the essential information, and the proof data are generated based on the characteristic information of the access qualification authentication and the essential information of the access qualification authentication Proof data verification means for verifying this is provided.
[0039]
In the present invention, in order to properly recognize access qualification, the combination of certification data, user specific information, proof auxiliary information, and essential information for access credential authentication must be correct.
[0040]
If information that should not be replaced, such as an access fee, is included in the essential information for access qualification authentication, a penalty of access refusal can be imposed for an illegal act of replacing information.
[0041]
In another configuration of the present invention for achieving the second object, an access credential for authenticating the above-mentioned user access qualification by verifying the validity of the proof data generated to prove the user's access credential. Predetermined with respect to the first storage means for storing authentication data, the second storage means for storing user specific information, the user specific information, and the access qualification authentication feature information in the authentication device Third storage means for storing auxiliary information for proof that is the execution result of executing the calculation of the above; fourth storage means for storing essential information for access qualification authentication; and fifth storage for storing inspection information for access qualification authentication The result of performing a predetermined calculation on the storage means, the authentication data held in the first storage means, and the essential information of access qualification authentication stored in the fourth storage means When the result of the inspection by the inspection means is good, the inspection means for inspecting that there is a predetermined relationship with the inspection information of the access qualification authentication stored in the storage means of 5 is stored in the first storage means Proving by carrying out a predetermined operation on the authentication data held, the user's unique information stored in the second storage means, and the auxiliary information for certification stored in the third storage means Providing proof data generating means for generating data and proof data verifying means for verifying that the proof data is generated based on the characteristic information of the access qualification authentication and the essential information of the access qualification authentication ing.
[0042]
In the present invention, in order to properly recognize access qualification, the combination of certification data, user specific information, proof auxiliary information, and essential information for access credential authentication must be correct.
[0043]
If information that should not be replaced, such as an access fee, is included in the essential information for access qualification authentication, a penalty of access refusal can be imposed for an illegal act of replacing information.
[0044]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, the present invention will be described with reference to examples.
[Example of partial blind decoder]
[First embodiment]
The first embodiment is a blind decoder to which the present invention is applied. The configuration of the blind decoding device of this embodiment is shown in FIG. In the present embodiment, as the encryption / decryption method, a power-residue modulo the composite number n is used. This decoder uses two decoding information d in addition to the modulus n for decoding.₁, D₂Is used. Encryption keys E and d₁, D₂Is made so as to satisfy the relationship of Equation 1.
[0045]
[Equation 3]
Ed₁d₂≡1 mod φ (n) (1)
Here, φ (n) is the Euler number of n.
[0046]
The ciphertext C for the data M is generated by Equation 2.
[0047]
[Expression 4]
C = M^E  mod n (2)
The user of the blind decryptor of the present embodiment has the ciphertext C, the modulus n, the encryption key E, and the second decryption information d.₂Possess. When the user entrusts decryption of C to the present embodiment, the user generates C ′ by applying a blind effect to C, and C ′ and d₂Is input to the decoder of this embodiment. Then, the output R from the decoder of this embodiment is received, and the blind effect of R is removed to obtain a decoding result.
[0048]
The specific procedure for the user to use the decoder of this embodiment is as follows.
1. The user generates a random number r in the range of 1 <r <n.
2. The user calculates Equation 3 and gives the ciphertext C a blind effect.
[0049]
[Equation 5]
C '= r^EC mod n (3)
3. The user can use C 'and d₂Is sent to the blind decoder of this embodiment, and the output R from the blind decoder is received.
4). The user calculates Equation 4 and obtains a decoding result M ′.
[0050]
[Formula 6]
M '= r^-1R mod n (4)
The blind decoder of this embodiment is composed of the following subunits.
Input unit 11: Ciphertext C ′ subjected to blind effect and second decryption information d₂Enter.
Output unit 12: outputs the decoding result R.
Modulus storage unit 13: stores a modulus n.
First decoded information storage unit 14: first decoded information d₁Remember.
Decoding unit 15: n, C ', d₁, D₂The decoding result R is calculated from
[0051]
The processing procedure of the blind decoder of the present embodiment is as follows.
1. The ciphertext C ′ subjected to the blind effect and the second decryption key d are received from the user via the input unit 11.₂Is sent to the decoding unit 15.
2. The decoding unit 15 receives the modulus n from the modulus storage unit 13 and the first decoding information d from the first decoding information storage unit 14.₁And calculate Equation 5.
[0052]
[Expression 7]
R = C '^d1d2  mod n (5)
3. R is output via the output unit 12.
[0053]
If the ciphertext C and the second decryption information d₂If the combination of is correct, it can be seen from Equation 6 that decoding is correctly performed.
[0054]
[Equation 8]

Also, the second decryption information d₂If information different from the above is sent to the blind decoder of this embodiment, the user cannot obtain a correct decoding result. Therefore, the second decryption information d₂If a decoding fee or the like is included in, it is possible to prevent a false decoding fee from being sent to the decoder.
[0055]
However, the second decryption information d₂If is not a prime number, a problem occurs. d₂But d₂= C *, if it can be factored to a * b₂Instead of sending C^a  Sending mod n, b does not change the decoder output. Therefore, d₂Instead of this, it is possible to send decoding information b and obtain a correct decoding result.
[0056]
To prevent this, d₂E, d such that is a prime number₁, D₂What is necessary is just to decide the combination.
[0057]
D₂Even if is a prime number,₂Instead of sending C^d2  You can send modn, 1 to get the same output. In order to prevent this, the decoder may be configured to have a means for confirming that the sent second decoding information is not 1, and to perform decoding only when the second decoding information is not 1.
[0058]
D₂Even if is not a prime number, E, d so as to have a redundant value such that a specific value is repeated.₁, D₂And a means for confirming the redundancy of the transmitted second information may be provided in the decoder. d₂If the non-trivial divisor is not likely to have redundancy known to the decoder, this method can also avoid attacks that send the divisor to the decoder instead of the second information.
[0059]
A hash function calculation unit for calculating the one-way hash function V (x) may be added to the blind decoder of the present embodiment, and Expression 7 may be calculated instead of Expression 5.
[0060]
[Equation 9]
R = C '^{d1V (d2)}  mod n (7)
The one-way hash function is a function having a property that it is extremely difficult to calculate different x and y satisfying h (x) = h (y). As an example of a one-way hash function, RSA Data Security Inc. MD2, MD4, MD5, and the standard SHS (Secure Hash Standard) by the US federal government are known.
[0061]
In this case, encryption keys E and d₁, D₂Is made so as to satisfy the relationship of equation (8).
[0062]
[Expression 10]
Ed₁V (d₂) ≡1 mod φ (n) (8)
When configured in this way, V (x) can be kept secret from the user, and safety is improved. Also, a large d depending on the modulus₂Will also be available.
[0063]
The decryption fee information is embedded in the second decryption information in the present embodiment, and the decoder is configured to store the transmitted decryption fee information. Therefore, it is possible to make a consignment decryption system capable of charging a genuine decryption fee. The same applies to the second embodiment described later.
[0064]
The expiration date information of the encrypted data is embedded in the second decryption information in this embodiment, the decoder has a built-in clock, and the sent expiration date is compared with the time of the built-in clock. If it is configured so as to determine whether or not decryption is possible, a consignment decryption system capable of limiting the use period of data can be created. The same applies to the second embodiment.
[0065]
If the decoder is configured so that the attribute information of the encrypted data is embedded in the second decryption information in this embodiment and the sent attribute information is stored, it can be used for later statistical processing and auditing. It is possible to make a consignment decryption system capable of storing various data. The same applies to the second embodiment.
[0066]
[Second Embodiment]
The second embodiment is also a blind decoder to which the present invention is applied. The configuration of the blind decoder of this embodiment is shown in FIG.
[0067]
In the present embodiment, as the encryption / decryption method, a power-residue modulo the composite number n is used. This decoder uses two decoding information d in addition to the modulus n for decoding.₁, D₂Is used. Decryption information d₁Is the Euler number of the modulus n and the decoding information d₂Is the encryption key E. Also, the encryption key E is created so as to be relatively prime with d.
[0068]
The ciphertext C for the data M is generated by Equation 2 described above.
[0069]
The user of the blind decryptor of the present embodiment uses the ciphertext C, the modulus n, the encryption key E (second decryption information d₂But also) When entrusting the decryption of C to the present embodiment, the user generates C 'by applying a blind effect to C, and inputs C' and E to the present embodiment. And the output R from a present Example is received, the blind effect of R is removed, and a decoding result is obtained.
[0070]
The specific procedure for the user to use this embodiment is the same as in the first embodiment.
[0071]
The blind decoder of this embodiment is composed of the following subunits.
Input unit 11: Inputs the ciphertext C 'subjected to the blind effect and the encryption key E.
Output unit 12: outputs the decoding result R.
Modulus storage unit 13: stores a modulus n.
Euler number storage unit 16: stores Euler number φ (n).
Reciprocal number generation unit 17: A modulus number and an integer are input, and the inverse number of the integer in the modulus number is calculated.
Decoding unit 15: Calculates the decoding result R from the calculation results of n, C ′ and the reciprocal number generation unit 17.
[0072]
The processing procedure of the blind decoder of the present embodiment is as follows.
1. The ciphertext C ′ subjected to the blind effect and the second decryption information d are received from the user via the input unit 11.₂And C ′ sends to the decryption unit 15 and d₂Is sent to the reciprocal number generation unit 17.
2. The reciprocal number generation unit 17 extracts the Euler number φ (n) from the Euler number storage unit 16 and uses the Euler number φ (n) as a modulus d.₂Reciprocal d₂  ^-1And the result is sent to the decoding unit 15.
3. The decryption unit 15 extracts the modulus n from the modulus storage unit 13 and calculates Expression 9.
[0073]
## EQU11 ##

4). R is output via the output unit 12.
[0074]
If the ciphertext C and the second decryption information d₂If the combination is correct, it can be seen from the expression 10 that the data is correctly decoded.
[0075]
[Expression 12]

Also, if information different from the second decoding information is sent to the blind decoder of the present embodiment, the user cannot obtain a correct decoding result. Therefore, if a decoding fee or the like is included in the second decoding information, it is possible to prevent a false decoding fee from being sent to the decoder.
[0076]
A hash function calculation unit for calculating the one-way hash function V (x) is added to the blind decoder of this embodiment, and the reciprocal number generation unit 16 sets d₂Instead of calculating the reciprocal of V (d₂) V (d₂)^-1And the decoding unit 15 may calculate Equation 11.
[0077]
[Formula 13]

In this case, the encryption key E is V (d₂)become. When configured in this way, a larger d than the modulus₂Will also be available.
[0078]
Further, instead of storing the Euler number of the modulus n, the prime factor of the modulus n may be stored, and the Euler number may be calculated at the time of decoding.
[0079]
Also, instead of storing the Euler number of the modulus n, the prime factor of the modulus n is stored, and the power multiplication remainder operation is performed using the prime factor as the modulus for each prime factor, from which the Chinese remainder theorem is calculated. It may be used to obtain the result when n is a modulus.
[0080]
Specifically, when n is a product of two prime numbers p and q,
[0081]
[Expression 14]

And R₁, R₂The same effect can be obtained by calculating R using the Chinese remainder theorem.
[0082]
[Example of access credential authentication]
The third, fourth, fifth, and sixth embodiments are access qualification authentication apparatuses to which the present invention is applied. A rough configuration of the third, fourth, fifth, and sixth embodiments is shown in FIG.
[0083]
In FIG. 3, the access qualification authentication devices of these embodiments include a proof device 100 and a verification device 200. The certification device 200 generates certification data using the access ticket generated by the access ticket generation device 300. The verification device 100 is a device associated with a service or digital data whose access qualification is authenticated, and verifies that a user of the service or digital data has a valid access right. The certification device 200 is a device held by a user of service or digital data, and proves to the verification device 100 that the user has a legitimate access right.
[0084]
The authentication of the access qualification is performed by the verification device 100 sending authentication data to the certification device 200, generating certification data corresponding to the authentication data by the certification device 200, and sending it to the verification data. In the third, fourth, fifth, and sixth embodiments, the authentication data sent from the verification device 100 is obtained by encrypting some data, and the certification device 200 decrypts the authentication data and generates certification data. The verification device 100 verifies the proof data by checking whether the proof data sent from the proof device 200 is obtained by correctly decrypting the authentication data.
[0085]
To generate proof data, authentication data, user-specific information, access ticket, and essential information for access qualification authentication are required.
[0086]
The user-specific information is digital data that is different for each user of the service and digital data, and is stored in the certification device 200 in a form that cannot be accessed by the user.
[0087]
The access ticket is digital data generated from characteristic information of access qualification authentication and user-specific information.
[0088]
The essential information for access qualification authentication is data held by the verification device 100 and is sent to the certification device 200 together with the authentication data.
[0089]
In the third, fourth, fifth, and sixth embodiments, the authentication data can be decrypted only when two pieces of characteristic information of access qualification authentication and essential information of access qualification authentication are provided. Therefore, if an eavesdropper of communication between the verification device 100 and the certification device 200 performs fraud such as replacing essential information of access qualification authentication sent to the certification device 200 together with the authentication data, correct certification data can be obtained. Can not. Thereby, it is possible to prevent the essential information for access qualification authentication from being replaced.
[0090]
In the third, fourth, fifth, and sixth embodiments, information on usage charges for services and digital data is embedded in the essential information for access qualification authentication, and the transmitted usage charge information is stored in a form that cannot be changed by the user. If the proof device 200 is configured so that the user is charged for the usage fee based on the fee information accumulated later, an access qualification authentication system capable of charging a false usage fee is created. Can do.
[0091]
In the essential information of access qualification authentication in the third, fourth, fifth, and sixth embodiments, service and digital data use time limit information is embedded, and the certification device 200 has a built-in clock and a built-in use time limit sent. If it is configured to determine whether or not the certification device 200 can be generated by comparing with the time of a clock, it is possible to create an access qualification authentication system that can limit the service and digital data use time limit.
[0092]
In the third, fourth, fifth, and sixth embodiments, the certifying apparatus 200 embeds service and digital data attribute information in the essential information of access qualification authentication and accumulates the sent attribute information in a form that cannot be changed by the user. If it is configured, it is possible to create an access qualification authentication system capable of accumulating data that can be used for later statistical processing and auditing.
[0093]
[Third embodiment]
FIG. 4 shows a configuration method of the proving device according to the third embodiment, and FIG. 8 shows a configuration method of the verification device. FIG. 10 shows the operation of the proving device of this embodiment, and FIG. 11 shows the operation of the verification device.
[0094]
As shown in FIG. 4, the proving apparatus 200 according to the present embodiment includes a received data storage unit 202, an access ticket storage unit 203, a user specific information storage unit 204, an index generation unit 205, a first calculation unit 206, and a second calculation unit. 207 and the proof data generation unit 208 are configured.
[0095]
Further, as shown in FIG. 8, the verification apparatus 100 of the present embodiment includes a verification unit 101, an access ticket public key storage unit 103, a random number generation unit 104, a random number storage unit 105, a random number effect removal unit 106, and a random number effect addition unit. 107, an authentication raw data storage unit 108, an essential information storage unit 109, a received data storage unit 110, and a verification operation unit 111.
[0096]
In the first embodiment of the present invention, characteristic information D for access qualification authentication, public information E and n corresponding to D, and essential information I for access qualification authentication are defined as follows.
[0097]
n is an RSA modulus, that is, a product of two sufficiently large prime numbers p and q, and satisfies Expression 12.
[0098]
[Expression 15]
n = pq (12)
φ (n) is the Euler number of n and is calculated by Equation 13.
[0099]
[Expression 16]
φ (n) = (p−1) (q−1) (13)
The characteristic information D of the access qualification authentication is an RSA private key under the modulus n, and satisfies Expression 14.
[0100]
[Expression 17]
gcd (D, φ (n)) = 1 (14)
Here, gcd (x, y) represents the greatest common divisor of the two numbers x and y.
I is a prime number satisfying Equation 15.
[0101]
[Expression 18]
gcd (I, φ (n)) = 1 (15)
The public information E is generated so as to satisfy Expression 16.
[0102]
[Equation 19]
EID mod φ (n) = 1 (16)
D is called an access ticket private key, and E is called an access ticket public key. The access ticket t is generated based on the following Expression 17 using the access ticket secret key D, the user specific information e, and the modulus n.
[0103]
[Expression 20]
t = D−F (e, n) (17)
The user specific information e is a different number for each user, and is used to identify the user. The function F is a function in which the function values do not collide with each other. For example, the function F can be determined as in Expression 18 or Expression 19 using the one-way hash function h.
[0104]
[Expression 21]
F (x, y) = h (x | y) (18)
F (x, y, z, u, w) = h (x | y | z | u | w) (19)
Here, x | y represents a bit concatenation of x and y.
[0105]
In the numbers appearing in the above description, t, E, n, and I are open to the public, and the remaining D, e, p, q, φ (n), and function F other than those that have the right to create tickets Need to be secret.
[0106]
Further, hereinafter, the data K to be encrypted is referred to as verification data, and the data R generated by the verification device 200 for verification is referred to as verification data. The data received from the verification device 100 in order for the proof device 200 to generate proof data is referred to as authentication data.
[0107]
The operation of this embodiment will be described below.
1. When the user accesses the digital content that requires authentication by the access qualification authentication device, the verification device 100 is activated. When the verification apparatus 100 is configured as a part of an application program that operates on the user's PC or workstation, the user starts the application program by a normal method using an instruction device such as a keyboard or a mouse. When the execution of the application program reaches the program constituting the verification apparatus 100, the verification apparatus 100 is activated.
[0108]
When the verification apparatus 100 is configured on another PC or workstation (called a server) connected via a network, the user starts a communication program on his PC or workstation, and the communication program The verification apparatus 100 on the server is activated by making a communication establishment request to the server according to the procedure. For example, when a user's communication program communicates with a server according to a procedure called TCP / IP (Transmission Control Protocol / Internet Protocol), a verification device is associated with a specific port of the server in advance, By setting the communication program to specify the port and requesting a TCP connection request to the server, a daemon (inetd) on the server can start the verification device in response to the TCP connection request. . Such an implementation method is widely used in networks such as the Internet.
[0109]
The verification device 100 may be a dedicated device. For example, the verification device 100 can be configured as a program burned in a ROM in an IC card reader / writer, and the certification device 200 can be a program mounted on a microcontroller of the IC card. In this case, the verification device 100 is activated when the user inserts the IC card into the reader / writer.
[0110]
2. The verification device 100 uses the authentication data C, the modulus n stored in the access ticket public key storage unit 103, and the access qualification authentication essential information I stored in the essential information storage unit 109 as the certification device. 200 is written in the received data storage unit 202. The authentication element data storage unit 108 stores C ′ as authentication element data. Here, when the verification data is appropriate data K, the authentication raw data C ′ satisfies Expression 20 with respect to the data K.
[0111]
[Expression 22]
C '= K^E  mod n (20)
The authentication data C is generated from the verification device 100 by the random number generation unit 104 to generate a random number r, r, E, n acquired from the access ticket public key storage unit 103, and the authentication raw data storage unit 108. Using C ′, the random number effect imparting unit 107 performs calculation of Expression 21. The generated authentication data C is written into the received data storage unit 202 in the certification device 200. The generated random number r is stored in the random number storage unit 105.
[0112]
[Expression 23]
C = r^EC 'mod n (21)
In this way, by adding a random number effect to the authentication data and removing the random number effect when verifying the proof data returned by the proof device 200, blindness can be imparted to the authentication data. That is, the authentication raw data itself or the decryption result thereof can be hidden from the interceptor of the communication between the verification device 100 and the verification device 200 or the verification device itself. It also has the role of making replay attacks impossible by changing the random number used for the random number effect each time. The same applies to the following embodiments. Further, the verification device is configured not to hold the data K in the verification device, but instead to hold only C ′ as a result of the encryption, and the random number effect is removed from the proof data sent from the verification device 200. If the verification device 100 is provided with means for verifying that the data and K match, the risk of data K leaking from the verification device 100 can be avoided.
[0113]
3. The exponent generation unit 205 in the proving apparatus 200 acquires the user specific information e stored in the user specific information storage unit 204 and the modulus n stored in the received data storage unit 202, and Perform the calculation.
[0114]
[Expression 24]
F (e, n) (22)
[0115]
4). The first calculation unit 206 in the proving device 200 acquires the essential information I and the modulus n stored in the received data storage unit 202, and uses this and the data generated by the exponent generation unit 205, The calculation of Expression 23 is executed to obtain R ′.
[0116]
[Expression 25]
R '= C^{IF (e, n)}  mod n (23)
[0117]
5. The second calculation unit 207 in the proving apparatus 200 acquires the access ticket t stored in the access ticket storage unit 203, calculates Expression 24, and obtains R ″.
[0118]
[Equation 26]
R ″ = C^It  mod n (24)
[0119]
6). The proof data generation unit 208 in the proof device 200 obtains R ′ and R ″ from the first and second calculation units 206 and 207, performs calculation of Expression 25, and obtains R.
[0120]
[Expression 27]
R = R′R ″ mod n (25)
[0121]
7). The proving apparatus 200 writes R in the received data storage unit 110 of the verification apparatus 100.
8). The random number effect removing unit 106 in the verification apparatus 100 takes out the previously generated random number r from the random number storage unit 105 and calculates Equation 26.
[0122]
[Expression 28]
K '= r^-1R mod n (26)
9. Only when the combination of the access ticket t, the user's unique information e, and the essential information I used in the proving apparatus 200 is correct, the K ′ obtained as a result of the calculation and the verification data K match and verification is performed correctly. .
10. The calculated K ′ is delivered to the verification unit 101 in the verification apparatus 100, but the execution unit 102 executes the normal process only when K ′ = K is satisfied.
[0123]
If the above procedure is performed correctly, it can be seen from equation 27 that K and K 'match.
[0124]
[Expression 29]

Further, when an eavesdropper of communication between the verification device 100 and the certification device 200 replaces the essential information I for access qualification authentication with I ′, K and K ′ do not match, so access to services and digital data is not possible. .
[0125]
However, a problem occurs when the essential information I for access qualification is not a prime number. If I can factor I = a * b, instead of sending C and I to the decoder, C^a  Sending mod n, b does not change the decoder output. Therefore, instead of the essential information I, the essential information b can be sent and accessed normally. In order to prevent this, a combination of E, D, and I may be determined so that I becomes a prime number.
[0126]
Even if I is a prime number, instead of sending C and I to the decoder, C^I  You can send mod n, 1 to get the same output. In order to prevent this, the proving apparatus 200 has a means for confirming that the sent essential information is not 1, and only needs to be configured to calculate the C power remainder only when the essential information is not 1.
[0127]
Even if I is not a prime number, a combination of E, D, and I is determined so as to have a redundant value such that a specific value is repeated. Means for confirming the redundancy of the required information may be provided. If the probability that the non-trivial divisor of I has the redundancy that the proving device 200 knows is sufficiently low, this method can also avoid attacks that send that divisor to the decoder instead of the essential information.
[0128]
In this embodiment, if the user specific information storage unit 204, the index generation unit 205, and the first calculation unit 206 are configured inside an IC card or the like that cannot be accessed or modified by the user, leakage of user specific information, The present embodiment can be protected from fraud due to modification of the exponent generation unit 205 and the first calculation unit 206.
[0129]
An arithmetic means for calculating the one-way hash function V (x, y) is added to the proving apparatus 200 of the present embodiment so that an expression 28 is calculated instead of the expression 23 and an expression 29 is calculated instead of the expression 24. May be.
[0130]
[30]
R '= C^{V (I, n) F (e, n)}  mod n (28)
R '= C^{V (I, n) t}  mod n (29)
In this case, the encryption key E, the access qualification essential information I, and the access qualification feature information D are created so as to satisfy the relationship of Expression 30.
[0131]
[31]
EV (I, n) D≡1 mod φ (n) (30)
With this configuration, essential information larger than the modulus can be used.
[0132]
The certifying device 200 of the present embodiment may be configured to calculate access qualification feature information from the access ticket and the output of the index generation unit 205, and use the result to divide the authentication data into a power-matrix. The same effects as in this embodiment can be obtained.
[0133]
Hereinafter, some examples of a method for verifying that K and K ′ are the same in the verification apparatus 100 will be described. These examples are also applicable to the fourth, fifth, and sixth embodiments.
[0134]
[1] Configuration example for directly comparing verification data and decryption result
The verification unit 101 stores verification data K in advance. The comparison unit in the verification unit 101 directly compares the verification data K with the data K ′ obtained by decrypting the authentication data, and executes a normal process only when K ′ = K is satisfied, and does not hold. In such a case, error processing such as canceling the processing is executed. In this configuration example, there is a safety weakness that the verification data K itself to be verified appears in the apparatus. For example, when the verification apparatus 100 is configured as a program that operates on a user's PC or workstation, it is not always impossible even if it is difficult to analyze the program and steal K. When the value of K becomes known to the user, it is possible to configure a device that mimics the operation of the proving device 200, and unauthorized access by impersonation becomes possible.
[0135]
[2] Configuration example using one-way function
In order to improve the above-described drawbacks, the data h (K) obtained by applying the above-described one-way hash function h to K, not the verification data K itself, is the verification data stored in the verification unit 101. And Due to the nature of the one-way hash function, it is extremely difficult to calculate x satisfying y = h (x) from the data y stored in the proof data storage means. The verification unit 101 includes a conversion unit that returns a result of applying a one-way hash function to input data. The comparison unit compares the output h (K ′) obtained by using the data K ′ obtained by decrypting the authentication data as an input of the hash function and the stored data (= h (K)). In this method example, the verification data K does not appear in the program, and it is extremely difficult to calculate K from h (K) stored in the proof data storage means. It is safer than the example. However, the comparison unit is configured as a conditional statement in the program, and if the verification device is a program and the analysis / falsification is easy, the program may be falsified to skip the conditional statement. However, it still has weak points.
[0136]
[3] Configuration example in which the decrypted value is a decryption key for decrypting specific data
Data stored for verification is encrypted data, and data K ′ obtained by decrypting the authentication data is a key for decrypting the encrypted data. The verification unit 101 decrypts the value of the data K ′ using the decryption key of the encryption used for encrypting the data stored for verification, and as a result, the encrypted data can be decrypted. The program can be executed only when Even in this configuration, since the decryption key itself does not appear in the verification apparatus 100, the security level is high.
[0137]
[4] Configuration example for confirming that decoded value satisfies specific redundancy
The verification device 100 has redundancy verification means, and the verification means 101 sends the value of the data K ′ obtained by decoding the authentication data to the redundancy verification means. Only when the redundancy verification means confirms that the data satisfies the specific redundancy, the program can be executed. Examples of redundancy include that the decoded data repeats a specific pattern, that data at a specific position satisfies a specific condition, or that the data is meaningful as a specific language, etc. Can be given.
[0138]
[5] Configuration example for encrypting the program code itself
Data obtained by encrypting a part or all of the program code held by the verification apparatus 100 is held as authentication data in the authentication data storage means. That is, the data K ′ obtained by decrypting the authentication data is part or all of the program code. The execution means embeds the data K ′ at a predetermined position in the program, and then executes the embedded program. The program can be executed only when the proving device returns the correct data, that is, when K ′ is the correct decryption of the code. After generating a file in which the decrypted code is embedded in the original program, the file may be started. However, the decrypted code is embedded in the program on the memory while the program is expanded in the memory. The method of starting later is desirable for safety. In this configuration example, part or all of the code essential for program execution is encrypted, so that the program to be executed is configured as an application program that runs on the user's PC or workstation. Even when the safety is relatively low, unauthorized execution can be prevented.
[0139]
[6] Configuration example in which the decrypted value is the decryption key of the program
The verification apparatus 100 holds data obtained by encrypting a part or all of the program code, and the data K ′ obtained by decrypting the authentication data is a decryption key necessary for decrypting the encrypted program code. It is what has become. According to this configuration, the size of the data K ′ can be suppressed to a certain small value regardless of the size of the code to be encrypted, and the communication overhead can be reduced. The verification unit 101 decrypts the stored encrypted program code using the data K ′. Further, the decrypted code is embedded at a predetermined position in the program, and then the embedded program is executed. The program can be executed only when the proving device returns correct data, that is, when the code is correctly decrypted by K '.
[0140]
[Fourth embodiment]
The fourth embodiment is different from the third embodiment in the calculation of the access ticket t. FIG. 8 shows a configuration method of the verification device of this embodiment, and FIG. 5 shows a configuration method of the verification device. FIG. 13 shows the operation of the verification device of this embodiment, and FIG. 12 shows the operation of the verification device. The characteristics of the access qualification authentication D, the public information E, n, the property to be satisfied by the access credential authentication essential information I and the method for generating the authentication raw data C ′ and the authentication data C according to the first embodiment are described in the first embodiment. It is the same. In FIG. 5, the parts corresponding to those in FIG.
[0141]
The access ticket t of this embodiment is generated based on Expression 28.
[0142]
[Expression 32]
t = D / F (e, n) mod φ (n) (31)
Hereinafter, the operation of this embodiment will be described.
[0143]
1. When the user accesses, the verification apparatus 100 is activated.
[0144]
As a method of realizing the verification apparatus 100, an application program that operates on a user's PC or workstation, a server program on a server connected to the user's PC or workstation via a network, or an IC card reader / writer The fact that any of such dedicated devices is possible is the same as in the third embodiment. The same applies to the following embodiments.
[0145]
2. The verification device 100 uses the authentication data C, the modulus n stored in the access ticket public key storage unit 103, and the access credential authentication essential information I stored in the essential information storage unit 109, as a certification device. 200 is written in the received data storage unit 202.
[0146]
3. The exponent generation unit 205 in the proving apparatus 200 acquires the user unique information e stored in the user unique information storage unit 204 and the modulus n stored in the access ticket public key storage unit 203, and formula 32 calculations are performed.
[0147]
[Expression 33]
F (e, n) (32)
[0148]
4). The proof calculation unit 209 in the proof device 200 acquires the essential information I and the modulus n stored in the received data storage unit 202, and uses this and the data generated by the exponent generation unit 205, The calculation of Expression 33 is executed to obtain R ′.
[0149]
[Expression 34]
R '= C^{IF (e, n)}  mod n (33)
[0150]
5. The proof data generation unit 208 in the proof device 200 acquires the access ticket t stored in the access ticket storage unit 203 and the modulus n stored in the reception data storage unit 202, and the proof calculation unit 209 receives the R 'And calculate Equation 34 to get R.
[0151]
[Expression 35]
R = R ’^t  mod n (34)
[0152]
6). The proving apparatus 200 writes R in the received data storage unit 110 of the verification apparatus 100.
7). The random number effect removing unit 106 in the verification device 100 takes out the previously generated random number r from the random number storage unit 105 and calculates Expression 35.
[0153]
[Expression 36]
K '= r^-1R mod n (35)
[0154]
8). Only when the combination of the access ticket t, the user's unique information e, and the essential information I used in the proving apparatus 200 is correct, the K ′ obtained as a result of the calculation and the verification data K match and verification is performed correctly. . If the above procedure is performed correctly, it can be seen from equation 36 that K and K 'match.
[0155]
[Expression 37]

In addition, when an eavesdropper of communication between the verification device 100 and the authentication device 200 replaces the essential information I for access qualification authentication with I ′, K and K ′ do not match, so access to services and digital data is not possible. .
[0156]
However, a problem occurs when the essential information I for access qualification is not a prime number. If I can factor I = a * b, instead of sending C and I to the decoder, C^a  Sending mod n, b does not change the decoder output. Therefore, instead of the essential information I, the essential information b can be sent and accessed normally. In order to prevent this, a combination of E, D, and I may be determined so that I becomes a prime number.
[0157]
Even if I is a prime number, instead of sending C and I to the decoder, C^I  You can send mod n, 1 to get the same output. In order to prevent this, the proving apparatus 200 has a means for confirming that the sent essential information is not 1, and only needs to be configured to calculate the C power remainder only when the essential information is not 1.
[0158]
Even if I is not a prime number, a combination of E, D, and I is determined so as to have a redundant value such that a specific value is repeated. Means for confirming the redundancy of the required information may be provided. If the non-trivial divisor of I is sufficiently unlikely to have the redundancy that the proving device 200 knows, this method can also avoid attacks that send that divisor to the decoder instead of the essential information.
[0159]
As a method for comparing K ′ and verification data K, the same method as in the third embodiment can be used.
[0160]
In this embodiment, if the user specific information storage unit 204, the index generation unit 205, and the proof calculation unit 209 are configured inside an IC card or the like that cannot be accessed or modified by the user, the leakage of the user specific information 204, The present embodiment can be protected from fraud due to modification of the exponent generation unit 205 and the proof calculation unit 209.
[0161]
An arithmetic means for calculating the one-way hash function V (x, y) may be added to the proving apparatus 200 of the present embodiment, and the expression 37 may be calculated instead of the expression 33.
[0162]
[Formula 38]
R '= C^{V (I, n) F (e, n)}  mod n (37)
In this case, the encryption key E, the access qualification essential information I, and the access qualification characteristic information D are created so as to satisfy the relationship of Equation 38.
[0163]
[39]
EV (I, n) D≡1 mod φ (n) (38)
When configured in this way, V (x, y) can be kept secret from the user, and safety is improved. Moreover, large essential information can be used depending on the modulus.
[0164]
The certifying device 200 of the present embodiment may be configured to calculate access qualification feature information from the access ticket and the output of the index generation unit 205, and use the result to divide the authentication data into a power-matrix. The same effects as in this embodiment can be obtained.
[0165]
[Fifth embodiment]
In the third and fourth embodiments, the validity of the essential information of the access qualification was not known to the proving apparatus 200, whereas in the fifth embodiment, the validity of the essential information of the access qualification was proved. If the data is not valid, the proof data is not generated. FIG. 9 shows a configuration method of the verification apparatus 100 of this embodiment, and FIG. 6 shows a configuration method of the verification apparatus 200. FIG. 15 shows the operation of the verification apparatus 100 of this embodiment, and FIG. 14 shows the operation of the certification apparatus 200.
[0166]
The characteristic information D of the access qualification authentication, the RSA modulus n, and the properties to be satisfied by the Euler number φ (n) of n and the generation method of the authentication raw data C ′ and the authentication data C in this embodiment are as follows: Similar to Example 3. The public information E in the present embodiment is generated so as to satisfy Expression 35.
[0167]
[Formula 40]
ED mod φ (n) = 1 (39)
As in the first embodiment, the access ticket t is generated based on the following expression 40 using the access ticket secret key D, the user specific information e, the modulus n, and the function F.
[0168]
[Expression 41]
t = D−F (e, n) (40)
[0169]
Hereinafter, the operation of this embodiment will be described.
1. When the user accesses, the verification apparatus 100 is activated.
[0170]
2. The inspection information generation unit 112 in the verification apparatus 100 acquires the authentication data C and the essential information I for access qualification authentication stored in the essential information storage unit 109, executes the calculation of Expression 41, and performs the inspection information. M is generated.
[0171]
[Expression 42]
M = V (C, I) (41)
The function V is a function having the same properties as the function F, and needs to be secret except for the verification device 100 and the verification device 200.
[0172]
3. The verification apparatus 100 receives the certification data C, the modulus n stored in the access ticket public key storage unit 103, the access qualification authentication essential information I and the inspection information M stored in the essential information storage unit 109. The data is written in the received data storage unit 202 in the certification device 200.
[0173]
4). The essential information verification unit 210 in the certification device 200 acquires the authentication data C, the essential information I, and the inspection information M written in the received data storage unit 202, and verifies whether the formula 42 is satisfied.
[0174]
[Expression 43]
M = V (C, I) (42)
If Expression 42 is satisfied, the following calculation is continued.
[0175]
5. The exponent generation unit 205 in the proving device 200 acquires the user specific information e stored in the user specific information storage unit 204 and the modulus n stored in the received data storage unit 202, and Perform the calculation.
[0176]
(44)
F (e, n) (43)
[0177]
6). The first calculation unit 206 in the proving apparatus 200 calculates the formula 44 using the authentication data C and the modulus n written in the received data storage unit 202 and the data generated by the exponent generation unit 205. Run to get R '.
[0178]
[Equation 45]
R '= C^{F (e, n)}  mod n (44)
[0179]
7). The second calculation unit 207 in the certification device 200 acquires the access ticket t stored in the access ticket storage unit 207, the authentication data C stored in the reception data storage unit 202, and the modulus n, and the expression 45 To obtain R ″.
[0180]
[Equation 46]
R ″ = C^t  mod n (45)
[0181]
8). The proof data generation unit 208 in the proof device 200 obtains R ′ and R ″ from the first and second calculation units 206 and 207, performs calculation of Expression 46, and obtains R.
[0182]
[Equation 47]
R = R′R ″ mod n (46)
[0183]
9. The proving apparatus 200 writes R in the received data storage unit 110 of the verification apparatus 100.
10. The random number effect removal unit 106 in the verification device 100 takes out the previously generated random number r from the random number storage unit 105 and calculates Expression 47.
[0184]
[Formula 48]
K '= r^-1R mod n (47)
[0185]
11. Only when the combination of the access ticket t, the user's unique information e, and the essential information I used in the proving apparatus 200 is correct, the K ′ obtained as a result of the calculation and the verification data K match and verification is performed correctly. .
[0186]
If the above procedure is performed correctly, it can be seen from equation 48 that K and K 'match.
[0187]
[Equation 49]

When an eavesdropper of communication between the verification device 100 and the authentication device 200 replaces the essential information I for access qualification authentication with I ′, the verification device 200 stops generating proof data without passing the check in 4. Then, the verification apparatus 100 is notified of the cancellation. The notification means may be, for example, a method of writing a cancellation code in the received data storage unit 110, or a predetermined time required to generate proof data, and writing to the received data storage unit 110 even if the required time is exceeded. There is a method of canceling if this is not done.
[0188]
As a method for comparing K ′ and verification data K, the same method as in the third embodiment can be used.
[0189]
In this embodiment, if the user specific information storage unit 204, the essential information verification unit 210, the index generation unit 205, and the first calculation unit 206 are configured inside an IC card or the like that cannot be accessed or modified by the user, It is possible to protect the present embodiment from leakage of specific information and fraud due to modification of the essential information verification unit 210, the index generation unit 205, and the first calculation unit 206.
[0190]
[Sixth embodiment]
FIG. 8 shows a configuration method of the verification apparatus 100 according to the sixth embodiment, and FIG. 7 shows a configuration method of the verification apparatus 200. FIG. 17 shows the operation of the verification apparatus 100 of this embodiment, and FIG. 16 shows the operation of the verification apparatus 200. In the fourth embodiment of the present invention, the properties that the public information n and the Euler number φ (n) of n should satisfy are the same as those in the first embodiment. The essential information I for access qualification authentication is an integer that satisfies Equation 49.
[0191]
[Equation 50]
gcd (I, φ (n)) = 1 (49)
The access ticket t is generated based on the following formula 50 using the Euler number φ (n), the user specific information e, the modulus n, and the function F.
[0192]
[Equation 51]
t = φ (n) −F (e, n) (50)
[0193]
Hereinafter, the operation of this embodiment will be described.
1. When the user accesses, the verification apparatus 100 is activated.
[0194]
2. The verification device 100 uses the authentication data C, the modulus n stored in the access ticket public key storage unit 103, and the access credential authentication essential information I stored in the essential information storage unit 109, as a certification device. 200 is written in the received data storage unit 202. The authentication element data storage unit 108 stores C ′ as authentication element data. Here, when the verification data is appropriate data K, the authentication raw data C ′ satisfies the formula 51 for the data K.
[0195]
[Formula 52]
C '= K^I  mod n (51)
The authentication data C is generated by the verification device 100 using the random number generation unit 104 to generate a random number r, r, n acquired from the access ticket public key storage unit 103, I acquired from the essential information storage unit 109, authentication Using C ′ acquired from the element data storage unit 108, the random number effect imparting unit 107 calculates the equation 52 to generate the element data. The generated authentication data C is written into the received data storage unit 202 in the certification device 200. The generated random number r is stored in the random number storage unit 105.
[0196]
[Equation 53]
C = r^IC 'mod n (52)
[0197]
3. The exponent generation unit 205 in the proving device 200 acquires the user specific information e stored in the user specific information storage unit 204 and the modulus n stored in the received data storage unit 202, and Perform the calculation.
[0198]
[Formula 54]
F (e, n) (53)
[0199]
4). The certification calculation unit 209 in the certification device 200 acquires the essential information I stored in the reception data storage unit 202 and the access ticket t stored in the access ticket storage unit 203, and the exponent generation unit Using the data generated in 205, the calculation of Expression 54 is performed, and D satisfying Expression 55 is calculated.
[0200]
[Expression 55]
ψ = t + F (e, n) (54)
DI≡1 mod ψ (55)
[0201]
5. The proof data generation unit 208 in the proof device 200 obtains D from the proof computation unit 209, obtains C and n from the received data storage unit 202, calculates Equation 56, and obtains R.
[0202]
[Expression 56]
R = C^D  mod n (56)
[0203]
6). The random number effect removing unit 106 in the verification apparatus 100 takes out the previously generated random number r from the random number storage unit 105 and calculates Expression 57.
[0204]
[Equation 57]
K '= r^-1R mod n (57)
[0205]
7). Only when the combination of the access ticket t, the user's unique information e, and the essential information I used in the proving apparatus 200 is correct, the K ′ obtained as a result of the calculation and the verification data K match and verification is performed correctly. .
[0206]
If the above procedure is performed correctly, it can be seen from Equation 58 that K and K 'match.
[0207]
[Formula 58]

Further, when an eavesdropper of communication between the verification device 100 and the authentication device 200 replaces the essential information I for access qualification authentication with I ′,
[0208]
[Formula 59]

Since K and K 'do not match, service and digital data cannot be accessed. As a method for comparing K ′ and verification data K, the same method as in the third embodiment can be used.
[0209]
In this embodiment, if the user specific information storage unit 204, the index generation unit 205, the proof calculation unit 209, and the proof data generation unit 208 are configured inside an IC card or the like that cannot be accessed or modified by the user, The present embodiment can be protected from leakage of specific information and fraud due to modification of the exponent generation unit 205 and the proof calculation unit 209.
[0210]
An arithmetic means for calculating the one-way hash function V (x, y) may be added to the proving apparatus 200 of the present embodiment, and the formula 59 may be calculated instead of the formula 55.
[0211]
[Expression 60]
DV (I, n) ≡1 mod (59)
In this case, when the verification data is appropriate data K, the authentication raw data C ′ is created so as to satisfy Expression 54 with respect to the data K.
[0212]
[Equation 61]
C '= K^{V (I, n)}  mod n (60)
In such a configuration, essential information larger than the modulus can be used.
[0213]
【The invention's effect】
As described above, the present invention is configured so that the first decryption information and the second decryption information are required for decryption of the encrypted data, and the second decryption information is stored in the decoder. On the other hand, it is assumed that it is input from the outside (the first decryption information may be input from the outside or generated internally), and the encrypted data and the second decryption information are correctly input. Otherwise, a correct decoding result is not obtained. Therefore, if the system is configured to input information that should not be replaced, such as data decoding charges, to the decoder as the second decoding information, a penalty of failure of decoding against an illegal act of replacement of information. Can be imposed.
[0214]
In addition, by applying the above decryption method to access qualification authentication, information that should not be replaced, such as access fees, is input as the above-mentioned second decryption information, so that the illegal act of replacing such information can be prevented. And penalize access denial.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a decoding apparatus according to a first embodiment of the present invention.
FIG. 2 is a block diagram showing a decoding apparatus according to a second embodiment of the present invention.
FIG. 3 is a block diagram showing, as a whole, an access qualification authentication apparatus according to third to sixth embodiments of the present invention.
FIG. 4 is a block diagram showing a configuration of a certification device of an access qualification authentication device according to a third embodiment of this invention.
FIG. 5 is a block diagram showing a configuration of a certification device of an access qualification authentication device according to a fourth embodiment of this invention.
FIG. 6 is a block diagram showing a configuration of a certification device of an access qualification authentication device according to a fifth embodiment of the present invention.
FIG. 7 is a block diagram showing a configuration of a certification device for an access qualification authentication device according to a sixth embodiment of the present invention.
FIG. 8 is a block diagram illustrating a configuration of a verification device of an access qualification authentication device according to third, fourth, and sixth embodiments of the present invention.
FIG. 9 is a block diagram illustrating a configuration of a verification device of an access qualification authentication device according to a fifth exemplary embodiment of the present invention.
FIG. 10 is a diagram for explaining the operation of a certification device for an access qualification authentication device according to a third embodiment of this invention.
FIG. 11 is a diagram for explaining the operation of the verification device of the access qualification authentication device according to the third embodiment of this invention.
FIG. 12 is a diagram for explaining the operation of the proving device of the access qualification authentication device according to the fourth embodiment of this invention.
FIG. 13 is a diagram for explaining the operation of the verification device of the access qualification authentication device according to the fourth embodiment of this invention.
FIG. 14 is a diagram for explaining the operation of a certification device for an access qualification authentication device according to a fifth embodiment of the present invention.
FIG. 15 is a diagram for explaining the operation of the verification apparatus of the access qualification authentication apparatus according to the fifth embodiment of the present invention.
FIG. 16 is a diagram for explaining the operation of a certification device for an access qualification authentication device according to a sixth embodiment of the present invention.
FIG. 17 is a diagram for explaining the operation of the verification apparatus of the access qualification authentication apparatus according to the sixth embodiment of the present invention.
[Explanation of symbols]
11 Input section
12 Output section
13 modulus storage
14 1st decoding information storage part
15 Decryption unit
16 Euler number storage
17 Reciprocal number generator
100 Verification device
101 Verification means
102 Execution means
103 Access ticket public key storage unit
104 Random number generator
105 Random number storage
106 Random number effect removal unit
107 Random number effect adding unit
108 Elementary data storage unit for authentication
109 Essential information storage
110 Received data storage unit
111 Operation unit for verification
112 Inspection information generator
200 Proof device
201 Proof data generation means
202 Received data storage unit
203 Access ticket storage
204 User-specific information storage unit
205 Index generator
206 1st operation part
207 Second calculation unit
208 proof data generator
209 Proof calculation part
300 Access ticket generator

Claims (12)

In the access credential authentication device that authenticates the access qualification of the user by verifying the validity of the certification data generated to prove the access credential of the user,
First storage means for storing authentication data;
Second storage means for storing the user's unique information;
Third storage means for storing auxiliary information for proof that is an execution result of executing the first operation on the unique information of the user and the characteristic information of access qualification authentication;
A fourth storage means for storing essential information for access qualification authentication;
Authentication data held in the first storage means, user-specific information stored in the second storage means, auxiliary information for proof stored in the third storage means, Proof data generating means for generating proof data by performing a second operation on the essential information of access qualification authentication stored in the fourth storage means;
Proof data verification means for verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication;
The characteristic information of the access qualification authentication is the first decryption key, and the essential information for the access qualification authentication or the one obtained by performing a one-way hash operation on the essential information is the second decryption key, The data is obtained by encrypting appropriate data using an encryption key corresponding to the two decryption keys, and the proof data verifying unit is configured to authenticate the proof data generated by the proof data generating unit. Verify that it is the appropriate data generated by correctly decrypting the data for
The encryption / decryption function used in the encryption key, the first decryption key, and the second decryption key is a power-residue operation modulo an integer n, and the first decryption key and the second decryption function The product of the decryption key and the encryption key is congruent to 1 modulo the Euler number of n,
The first operation and the second arithmetic above, specific information legitimate user, characteristic information of authorized access right authentication, required information for authorized access right authentication, and Re Izu legitimate proof support information or not when no given, so as not to generate legitimate proof data, access rights authentication apparatus characterized by selecting the.   The auxiliary proof information t stored in the third storage means is subjected to a predetermined one-way hash operation on the user's unique information stored in the second storage means from the first decryption key. The proof data generation means obtains the authentication data from the proof auxiliary information, the user specific information, the access qualification essential information, and the authentication data. 2. The access qualification authentication apparatus according to claim 1, wherein the proof data is generated by calculating a power raised by a product of the first decryption key and the second decryption key under the modulus n. The proof data generation means is
A first computing means that uses the product of the second decryption key as a product of the authentication data, and the authentication data obtained by multiplying the authentication data by the predetermined one-way hash computation and the second decryption key. When,
Modulo the second, and a second arithmetic unit that modulo the authentication data by a product of the auxiliary information for proof and the second decryption key,
A third computing means that takes the product of the result of the first computing means and the result of the second computing means using the n as a modulus;
3. The access qualification authentication apparatus according to claim 2, wherein the proof data verification means verifies that the proof data generated by the proof data generation means is obtained by correctly decrypting authentication data.   The proof auxiliary information t stored in the third storage means uses the n number of Eulers as a modulus, and the first decryption key is set as the user's unique information stored in the second storage means. The proof data generation means, from the auxiliary information for proof, the unique information of the user, the essential information, and the authentication data, The proof data is generated by calculating the authentication data obtained by multiplying the authentication data by a product of the first decryption key and the second decryption key under the modulus n. Access credential authentication device. The proof data generation means is
A first computing means that uses the product of the second decryption key as a product of the authentication data, and the authentication data obtained by multiplying the authentication data by the predetermined one-way hash computation and the second decryption key. When,
Modulo the n, and having a second arithmetic unit that modulo the result of the first arithmetic unit with the auxiliary information for proof,
5. The access qualification authentication apparatus according to claim 4, wherein the proof data verification means verifies that the proof data generated by the proof data generation means is obtained by correctly decrypting authentication data. In the access credential authentication device that authenticates the access qualification of the user by verifying the validity of the certification data generated to prove the access credential of the user,
First storage means for storing authentication data;
Second storage means for storing the user's unique information;
Third storage means for storing auxiliary information for proof that is an execution result of executing the first operation on the unique information of the user and the characteristic information of access qualification authentication;
A fourth storage means for storing essential information for access qualification authentication;
Authentication data held in the first storage means, user-specific information stored in the second storage means, auxiliary information for proof stored in the third storage means, Proof data generating means for generating proof data by performing a second operation on the essential information of access qualification authentication stored in the fourth storage means;
Proof data verification means for verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication;
The encryption / decryption function is a power-residue operation modulo the integer n,
The feature information of the access qualification authentication is the Euler number of the integer n,
The required information for the access qualification authentication or the required information subjected to a predetermined one-way hash function is an encryption key,
The authentication data is obtained by encrypting appropriate data using the encryption key,
The proof data verification means calculates a decryption key corresponding to the encryption key from the auxiliary information for proof, the unique information of the user, and the essential information, and obtains the authentication data under the law n And generating the proof data by calculating a power raised by the decryption key, and verifying that the proof data is obtained by correctly decrypting the authentication data,
The first operation and the second arithmetic above, specific information legitimate user, characteristic information of authorized access right authentication, required information for authorized access right authentication, and Re Izu legitimate proof support information or not when no given, so as not to generate legitimate proof data, access rights authentication apparatus characterized by selecting the.   The proof auxiliary information t stored in the third storage means is a value obtained by performing the predetermined one-way hash operation on the Euler number and the user specific information stored in the second storage means. 7. The access qualification authentication apparatus according to claim 6, wherein the access qualification authentication apparatus is reduced. In the access credential authentication apparatus for authenticating the access qualification of the user by verifying the validity of the proof data generated to prove the access qualification of the user,
First storage means for storing authentication data;
Second storage means for storing the user's unique information;
Third storage means for storing auxiliary information for proof that is an execution result of executing the first operation on the unique information of the user and the characteristic information of access qualification authentication;
A fourth storage means for storing essential information for access qualification authentication;
Fifth storage means for storing inspection information for access qualification authentication;
A result of performing a predetermined check operation on the authentication data held in the first storage means and the essential information of the access qualification authentication stored in the fourth storage means is the fifth storage. An inspection means for inspecting that there is a predetermined relationship with the access qualification inspection information stored in the means;
When the result of the inspection by the inspection means is good, the authentication data held in the first storage means, the user specific information stored in the second storage means, and the third Proof data generation means for generating proof data by performing a second operation on the proof auxiliary information stored in the storage means;
Proof data verification means for verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication;
The characteristic information of the access qualification authentication is a decryption key, the authentication data is obtained by encrypting appropriate data using an encryption key corresponding to the decryption key, and the proof data verification means includes the proof data generated by said proof data generation means, to verify that it is the appropriate data generated by decoding the authentication data correctly,
The encryption / decryption function used for the encryption key and the decryption key is a power-residue operation modulo the integer n, and the product of the decryption key and the encryption key is 1 modulo the Euler number of n. Congruent,
The first operation and the second arithmetic, when specific information of the valid user, characteristic information of authorized access right authentication, and the Izu Re or legitimate proof support information is not given, legitimate An access qualification authentication device selected so that proof data is not generated. Proof data verification means comprises random number generation means,
The random number generation means stores the generated random number in a sixth storage means,
The authentication data is data obtained by multiplying the predetermined data by the random number as the appropriate data and encrypted with the encryption key. The certification data is divided by the random number, and the result is the predetermined data. The access qualification authentication apparatus according to claim 1, wherein the access qualification authentication apparatus verifies the existence. In the access credential authentication method for authenticating the above-mentioned user access qualification by verifying the validity of the proof data generated to prove the user's access credential,
Storing authentication data; and
Storing the user's unique information;
Storing proof auxiliary information, which is an execution result of executing the first operation, on the user-specific information and the feature information of access qualification,
Storing the required information for access credential authentication;
Performing a second operation on the authentication data, the user specific information, the proof auxiliary information, and the access credential essential information to generate proof data;
Verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication,
The characteristic information of the access qualification authentication is the first decryption key, and the essential information for access qualification authentication or the one obtained by performing a one-way hash operation on the essential information is the second decryption key, The data is obtained by encrypting appropriate data using an encryption key corresponding to the two decryption keys, and the verifying step includes the proof data generated by the step of generating the proof data, Verify that it is the appropriate data generated by correctly decrypting the authentication data,
The encryption / decryption function used to generate the encryption key, the first decryption key, and the second decryption key is a power-residue operation modulo an integer n, the first decryption key, and the second decryption function The product of the decryption key and the encryption key is congruent to 1 modulo the Euler number of n,
The first operation and the second arithmetic above, specific information legitimate user, characteristic information of authorized access right authentication, required information for authorized access right authentication, and Re Izu legitimate proof support information when either is not given, so as not to generate legitimate proof data, access rights authentication method characterized by selecting the. In the access credential authentication method for authenticating the above-mentioned user access qualification by verifying the validity of the proof data generated to prove the user's access credential,
Storing authentication data; and
Storing the user's unique information;
Storing proof auxiliary information, which is an execution result of executing the first operation, on the user-specific information and the feature information of access qualification,
Storing the required information for access credential authentication;
Storing access credential verification information;
Inspecting that the result of performing a predetermined inspection operation on the authentication data and the essential information of the access qualification is in a predetermined relationship with the access qualification inspection information;
When the result of the inspection is good, a step of performing a second operation on the authentication data, the user specific information, and the auxiliary auxiliary information to generate proof data;
Verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication,
The characteristic information of the access qualification authentication is a decryption key, the authentication data is obtained by encrypting appropriate data using an encryption key corresponding to the decryption key, and the step of verifying comprises: said certification data step of generating the proof data is generated, it verifies that a the appropriate data generated by decoding the authentication data correctly,
The encryption / decryption function used for the encryption key and the decryption key is a power-residue operation modulo the integer n, and the product of the decryption key and the encryption key is 1 modulo the Euler number of n. Congruent,
The first operation and the second arithmetic, when specific information of the valid user, characteristic information of authorized access right authentication, and the Izu Re or legitimate proof support information is not given, legitimate An access credential authentication method selected so that proof data is not generated. In the access credential authentication method for authenticating the above-mentioned user access qualification by verifying the validity of the proof data generated to prove the user's access credential,
Storing authentication data; and
Storing the user's unique information;
Storing proof auxiliary information, which is an execution result of executing the first operation, on the user-specific information and the feature information of access qualification,
Storing the required information for access credential authentication;
Performing a second operation on the authentication data, the user specific information, the proof auxiliary information, and the access credential essential information to generate proof data;
Verifying that the proof data is generated based on the characteristic information of the access credential authentication and the essential information of the access credential authentication,
The encryption / decryption function is a power-residue operation modulo the integer n,
The feature information of the access qualification authentication is the Euler number of the integer n,
The required information for the access qualification authentication or the required information subjected to a predetermined one-way hash function is an encryption key,
The authentication data is obtained by encrypting appropriate data using the encryption key,
The verifying step calculates a decryption key corresponding to the encryption key from the auxiliary information for proof, the unique information of the user, and the essential information, and obtains the authentication data under the law n. Generating the proof data by calculating a power raised by the decryption key, and verifying that the proof data is obtained by correctly decrypting the authentication data;
The first operation and the second arithmetic above, specific information legitimate user, characteristic information of authorized access right authentication, required information for authorized access right authentication, and Re Izu legitimate proof support information when either is not given, so as not to generate legitimate proof data, access rights authentication method characterized by selecting the.

Images