JP4809310B2 - エンティティの真正性又はメッセージの完全性を証明するための方法、システム、デバイス - Google Patents

Description

本発明は、エンティティの真正性、及び／又はメッセージの完全性、及び／又は真正性を証明するように設計された方法、システム及びデバイスに関する。

Ｌｏｕｉｓ Ｇｕｉｌｌｏｕ及びＪｅａｎ−Ｊａｃｑｕｅｓ Ｑｕｉｓｑｕａｔｅｒが発明者である欧州特許第０３１１４７０Ｂ１号は、このような方法を説明している。以後、「ＧＱ特許」又は「ＧＱ方法」との用語によって彼らの研究を参照するものとする。以後、表現「ＧＱ２」又は「ＧＱ２発明」又は「ＧＱ２技術」が本発明を説明するために使用されるものとする。

ＧＱ方法に従って、「信頼できる権威者」（trusted authority）として知られているエンティティが「証人」と呼ばれている各エンティティにアイデンティティを割り当て、それについてのＲＳＡシグナチャを計算する。カスタマイズするプロセスでは、信頼できる権威者は証人にアイデンティティとシグナチャを与える。その後、その証人は「ここにあるのは私のアイデンティティです。私はそのＲＳＡシグナチャを知っています」と宣言する。証人は、自分が自分のアイデンティティの該ＲＳＡシグナチャを知っている旨を、それを明らかにすることなく証明する。該信頼できる権威者により配布されるＲＳＡ公開識別鍵を通して、「コントローラ」として知られているエンティティは、その知識を取得することなく、当該ＲＳＡシグナチャが宣言されたアイデンティティに一致することを確認する。ＧＱ方法を使用するこの機構は「知識の移転なしに」動作する。このＧＱ方法に従って、証人はＲＳＡ秘密鍵を知ることなく、信頼できる権威者がその鍵を用いて多数のアイデンティティに署名する。

前述のＧＱ技術はＲＳＡ技術を利用する。しかしながら、ＲＳＡ技術が係数ｎの因数分解に強く依存するのに対し、ＲＳＡ技術を実現するデジタルシグナチャの多様な規格と比較して「積攻撃（multiplicative attacks）」と呼ばれているものに見られるように、この依存は等価ではなく、実際にはそれからは程遠い。

ＧＱ２技術の目標は２つの要素からなる。つまり、一方では、ＲＳＡ技術の性能特性を改善することであり、他方ではＲＳＡ技術に固有の問題を回避することである。該ＧＱ２秘密鍵の知識は、該係数ｎの該因数分解の知識と同等である。トリプレットＧＱ２に対する攻撃は該係数ｎの因数分解につながる。この時点では等価なものがある。ＧＱ２技術を用いると、該署名する又は自己認証する（ｓｅｌｆ−ａｕｔｈｅｎｔｉｃａｔｉｎｇ）エンティティと該コントローラエンティティの両方にとって作業負荷が削減される。因数分解するという問題をセキュリティおよび性能の両方に関してさらにうまく使用することにより、ＧＱ２技術はＲＳＡ技術の欠点を回避する。

ＧＱ方法は５１２ビット以上を備える数のモジュロ計算を実現する。これらの計算は、ほぼ２¹⁶＋１乗にされた実質的に同じ大きさを有する数に関する。しかし、既存のマイクロエレクトロニクスインフラストラクチャは、特に銀行カードの分野では、演算コプロセッサを持たないモノリシック自己プログラム可能マイクロプロセッサを使用する。ＧＱ方法等の方法に関与する該複数の演算応用例に関する作業負荷によって計算時間が掛かり、そのため、特定のケースで銀行カードを使用する消費者が自分達の買い物を支払うために不利となることがわかっている。ここでは、支払いカードのセキュリティを強化しようとする際に、銀行当局（ｂａｎｋｉｎｇ ａｕｔｈｏｒｉｔｉｅｓ）はとりわけ解決するのが困難である問題を提起してきたことが思い起こされるかもしれない。事実上、２つの明らかに矛盾する問題、つまり該作業負荷がユーザにとって過剰な計算時間につながらないようにしつつ、その一方で、ますます冗長且つ区別できる鍵を各カードに使用することによってセキュリティを強化することが、研究されなければならない。既存のインフラストラクチャ及び既存のマイクロプロセッサ構成要素を考慮に入れることも必要であるため、この問題は特に深刻になる。

ＧＱ２技術は、依然としてセキュリティを強化しつつ、この問題に解決策を提供することを目的とする。

方法
さらに詳細には、本発明は、コントローラエンティティに対して
−エンティティの真正性、及び／又は
−このエンティティに関連付けられたメッセージＭの完全性
を証明するように設計された方法に関する。
この証明は、以下のパラメータ
−秘密値Ｑ₁、Ｑ₂、．．．Ｑ_mと公開値Ｇ₁、Ｇ₂，．．．Ｇ_mのｍ個の組（ｍは１以上）
−ｆ個の素因数ｐ₁、ｐ₂，．．．ｐ_fの積によって構成される公開係数ｎ（ｆは２以上）
又はこれらのパラメータの算出値のすべて又は一部によって立証される。

前記係数及び前記秘密値と公開値は以下のタイプの関係

によって関連付けられ、この場合ｖは以下のタイプ

の公開指数を表し、この場合ｋは１より大きなセキュリティパラメータであり、
前記ｍ個の公開値Ｇ_iは該ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_fに従うｍ個の区別できるベース数ｇ₁ｇ₂，．．．ｇ_mの二乗ｇ_i ²であり、前記ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_f、及び／又は前記ｍ個のベース数ｇ₁ｇ₂，．．．ｇ_mは以下の条件が満たされるように生成される。

第１の条件：
第１の条件に従えば、該方程式

のそれぞれは、ｎを法とした整数の環の中のｘについて解を有する。

第２の条件：
第２の条件に従えば、Ｇ_i≡Ｑ_i ^v mod ｎのケースでは、ｋ−１階数回、Ｑ_iを二乗すること（mod ｎ）によって得られる該ｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

第２の条件に従えば、Ｇ_i，Ｑ_i ^v≡１ mod ｎのケースでは、Ｑ_iの逆数(mod ｎ)をｋ−１階数回二乗する（mod ｎ）ことによって得られるｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

現在の表記に従えば、±ｇ_iが数ｇ_iとｎ−ｇ_iとを表していることがここで留意されるべきである。

第３の条件：
第３の条件に従えば、以下の２ｍ個の方程式

の中で、それらの内の少なくとも１つはｎを法として整数の環の中のｘについて解を有する。

該方法はここに後述されるステップの中で証人と呼ばれているエンティティを実現する。前記証人エンティティは、ｆ個の素因数ｐ_i、及び／又はｍ個のベース数ｇ_i、及び／又は該素因数のチャイニーズ剰余のパラメータ、及び／又は該公開係数ｎ、及び／又は該ｍ個の秘密値Ｑ_i、及び／又は該秘密値Ｑ_iと該公開指数ｖの該ｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j≡Ｑ_i、mod ｐ_j）を有する。

該証人はｎを法として整数の該環の中のコミットメントＲを計算する。各コミットメントは、
−以下のタイプ

の演算を実行し、この場合ｒが０＜ｒ＜ｎとなるように無作為の値となることと、
−又は
＊＊以下のタイプ

の演算を実行し、この場合ｒ_iが０＜ｒ_i＜ｐ_iとなるように素因数ｐ_iと関連付けられた無作為な値であり、各ｒ_iは無作為な値の集合体｛ｒ_i，ｒ₂，．．．ｒ_f｝に属することと、
のいずれかによって、
＊＊次に、該チャイニーズ剰余方法を適用することによって計算される。

該証人は１つ又は複数のチャレンジｄを受け取る。各チャレンジｄは、以下に基本的なチャレンジと呼ばれるｍ個の整数ｄ_iを備える。該証人は各チャレンジｄ_iに基づいて応答Ｄを、
−以下のタイプ

の演算を実行することによって、
−又は
＊＊以下のタイプ

の演算を実行することによって、
＊＊次に該チャイニーズ剰余法を適用することによって
のいずれかで計算する。

前記手法はチャレンジｄ、コミットメントRと同じくらいの数の応答Dがある。R,ｄ、Dの数の群は｛R、d、D｝で参照される３つの数字の組で表されるトリプレットを形成する。

エンティティの真正性の証拠のケース
実施形態の第１の変形において、本発明による該方法は、証明者として知られているエンティティの真正性を、該コントローラとして知られているエンティティに対して証明するように設計されている。前記証明者エンティティは該証人を備える。前記証明者エンティティとコントローラエンティティは以下のステップを実行する。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人は前記に指定された該プロセスを適用することにより、各コミットメントＲを計算する。該証明者は該コントローラに各コミットメントＲのすべて又は部分を送信する。
・ステップ２：チャレンジｄの行為
該コントローラは、各コミットメントＲのすべて又は部分を受信した後に、コミットメントＲの数に数が等しいチャレンジｄを生成し、該チャレンジｄを該証明者に送信する。
・ステップ３：応答Ｄの行為
該証人は該チャレンジｄからの該応答Ｄを、前記に指定された該プロセスを適用することにより計算する。
・ステップ４：チェックの行為
該証明者は各応答Ｄを該コントローラに送信する。

第１のケース：該証明者が各コミットメントＲの一部を送信した。
該証明者が各コミットメントＲの一部を送信した場合、該ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラは、各チャレンジｄ及び各応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミットメントＲ’は以下のタイプ

の関係又は以下のタイプ

の関係を満たす。

該コントローラは、各再構築されたコミットメントＲ’が、それに送信された各コミットメントＲのすべて又は部分を再現することを確認する。

第２のケース：該証明者は各コミットメントＲの全体性を送信した。
該証明者が各コミットメントＲの全体性を送信した場合、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラは、各コミットメントＲが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

メッセージの完全性の証明のケース
第１の変形と結合できる実施形態の第２の変形では、本発明による該方法は該コントローラエンティティとして知られているエンティティに対して、証明者エンティティと呼ばれているエンティティと関連付けられたメッセージＭの完全性の証拠を提供するように設計されている。前記証明者エンティティは該証人を備える。

前記証明者エンティティとコントローラエンティティは以下のステップを実行する。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人は前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。
・ステップ２：チャレンジｄの行為
該証明者は、少なくとも１つのトークンＴを計算するために、その引数が該メッセージＭ及び各コミットメントＲのすべて又は部分であるハッシュ関数ｈを適用する。該証明者は、該トークンＴを該コントローラに送信する。該コントローラは、トークンＴを受信後、コミットメントＲの数に数が等しいチャレンジｄを生成し、該チャレンジｄを該証明者に送信する。
・ステップ３：応答Ｄの行為
該証人は、前記に指定された該プロセスを適用することによって、該チャレンジｄから該応答Ｄを計算する。
・ステップ４：チェックの行為
該証人は該コントローラに各応答Ｄを送信する。該ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラは、各チャレンジｄ及び各応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミットメントＲ’は以下のタイプ

の関係又は以下のタイプ

の関係を満たす。

次に、該コントローラは、該トークンＴ’を再構築するために、その引数が該メッセージＭ及び各再構築されたコミットメントＲ’のすべて又は部分である、該ハッシュ関数ｈを適用する。それから、該コントローラは、該トークンＴ’が送信された該トークンＴと同一であることを確認する。

メッセージのデジタルシグナチャ及びその真正性の証拠
該２つの前記実施形態と結合できる該本発明による実施形態の第３の変形では、本発明による該方法は、該署名エンティティとして知られているエンティティによってメッセージＭの該デジタルシグナチャを生成するように設計されている。前記署名エンティティは該証人を含む。

署名動作
前記署名エンティティは、
−該メッセージＭと、
−該チャレンジｄ、及び／又は該コミットメントＲと、
−該応答Ｄと、
を備える署名済みメッセージを取得するために署名動作を実行する。

前記署名エンティティは、以下のステップを実現することにより該署名動作を実行する。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人は前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。
・ステップ２：チャレンジｄの行為
該署名エンティティは、バイナリ行列を取得するために、その引数が該メッセージＭ及び各コミットメントＲであるハッシュ関数ｈを適用する。該署名エンティティは、このバイナリ行列からコミットメントＲの数に等しい数のチャレンジｄを抽出する。
・ステップ３：応答Ｄの行為
該証人は前記に指定されたプロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。

チェック動作
該メッセージＭの真正性を証明するために、コントローラと呼ばれているエンティティは該署名済みメッセージをチェックする。該署名済みメッセージを有する前記コントローラエンティティは以下のように進めることによってチェック動作を実行する。

・該コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有するケース
該コントローラがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合、該コントローラは、該コミットメントＲ、該チャレンジｄ、及び該応答Ｄが、以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。
その結果、該コントローラは、該メッセージＭ、該チャレンジｄ及び該コミットメントＲが該ハッシュ関数

を満たすことを確認する。

・該コントローラがチャレンジｄと応答Ｄを有するケース
該コントローラがチャレンジｄと応答Ｄを有する場合、該コントローラは、各チャレンジｄと各応答Ｄに基づいて、以下のタイプ

の関係又は以下のタイプ

の関係を満たすコミットメントＲ’を再構築する。
その結果、該コントローラは、該メッセージＭ及び該チャレンジｄが該ハッシュ関数

を満たすことを確認する。

・該コントローラがコミットメントＲ及び応答Ｄを有するケース
該コントローラがコミットメントＲ及び応答Ｄを有する場合、該コントローラは該ハッシュ関数を適用し、ｄ’

を再構築する。
その結果、該コントローラは、該コミットメントＲ、該チャレンジｄ’及び及び該応答Ｄが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

システム
本発明は、該コントローラサーバに対して以下
−エンティティの真正性、及び／又は
−このエンティティと関連付けられたメッセージＭの完全性
を証明するように設計されているシステムにも関する。

この証明は、以下のパラメータ
−秘密値Ｑ₁、Ｑ₂、．．．Ｑ_mと公開値Ｇ₁、Ｇ₂，．．．Ｇ_mのｍ個の組（ｍは１以上）
−ｆ個の素因数ｐ₁、ｐ₂，．．．ｐ_fの積によって構成される公開係数ｎ（ｆは２以上）
又はこれらのパラメータの算出値のすべて又は一部によって立証される。

前記係数及び前記秘密値と公開値は以下のタイプの関係

によって結び付けられ、この場合ｖは以下のタイプ
ｖ＝２^k
の公開指数を示し、この場合ｋは１より大きなセキュリティパラメータであり、
前記ｍ個の公開値Ｇ_iは該ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_fに従うｍ個の区別できるベース数ｇ₁ｇ₂，．．．ｇ_mの二乗ｇ_i ²であり、前記ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_f、及び／又は前記ｍ個のベース数ｇ₁ｇ₂，．．．ｇ_mは以下の条件が満たされるように生成される。

第１の条件：
第１の条件に従えば、該方程式

のそれぞれは、ｎを法とした整数の環の中のｘについて解くことができる。

第２の条件：
第２の条件に従えば、Ｇ_i≡Ｑ_i ^v（mod n）のケースでは、ｋ−１階数回、Ｑ_iを二乗する（mod n）ことによって得られる該ｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

第２の条件に従えば、Ｇ_j，Ｑ_i ^v≡１（mod n）のケースでは、Ｑ_iの逆数（mod n）をｋ−１階数回二乗する（mod n）ことによって得られるｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

現在の表記に従えば、±ｇ_iが数ｇ_iとｎ−ｇ_iとを表していることがここで指摘されるべきである。

第３の条件：
第３の条件に従えば、以下の２ｍ個の方程式

の中で、それらの内の少なくとも１つはｎを法として整数の環の中のｘについて解くことができる。

前記システムは、例えばマイクロプロセッサをベースにした銀行カードの形等、特にノマドオブジェクトに含まれている証人デバイスを備える。該証人デバイスは、ｆ個の素因数ｐ_i、及び／又は該素因数のチャイニーズ剰余のパラメータ、及び／又は該公開係数ｎ、及び／又はｍ個の秘密値Ｑ_i、及び／又は該秘密値Ｑ_iと該公開指数ｖのｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j≡Ｑ_i、modｐ_j）とを含むメモリゾーンを備える。該証人デバイスは、
−以下に該証人デバイスの無作為値生成手段と呼ばれる無作為値生成手段と、
−以下に該証人デバイスのコミットメントＲの該計算のための手段と呼ばれる計算手段と、
をさらに備える。

該計算手段により、ｎを法として整数の環の中でコミットメントＲを計算することが可能になる。各コミットメントは
・以下のタイプ

の演算を実行し、この場合ｒは無作為因数生成手段によって生成される無作為な値であり、ｒは０＜ｒ＜ｎであることと、
・あるいは以下のタイプ

の演算を実行し、この場合ｒ_iは、０＜ｒ_i＜ｐ_iとなるように該素因数ｐ_iと関連付けられた無作為な値であり、各ｒ_iは該無作為因数生成手段によって、及び次に該チャイニーズ剰余方法を適用することによって生成される無作為な値の集合体｛ｒ_i，ｒ₂，．．．ｒ_f｝に属することとの、いずれかによって計算される。

また該証人デバイスは、
−以下に１つ又は複数のチャレンジｄを受信するための、該証人デバイスの該チャレンジｄの受信のための手段と呼ばれている受信手段であって、各チャレンジｄが以下に基本的なチャレンジと呼ばれるｍ個の整数ｄ_iを備える受信手段と、
−以下に、
・以下のタイプ

の演算を実施することによって、
・又は以下のタイプ

の演算を実施することのいずれかによって
及び次に該チャイニーズ剰余法を適用することによって、
各チャレンジｄに基づいた応答Ｄの計算のための、該証人デバイスの該応答Ｄの該計算のための手段と呼ばれる計算手段と、
をさらに備える。

該証人デバイスは、１つ又は複数のコミットメントＲ及び１つ又は複数の応答Ｄを送信するための伝送手段も備える。前記手法はチャレンジｄ、コミットメントRと同じくらいの数の応答Dがあって、R,ｄ、Dの数の群は｛R、d、D｝で参照される３つの数字の組で表されるトリプレットを形成する。

エンティティの真正性の証明のケース
実施形態の第１の変形では、本発明による該システムは、コントローラと呼ばれているエンティティに対して証明者と呼ばれているエンティティの真正性を証明するように設計されている。

前記システムは、証明者エンティティと関連付けられる証明者デバイスを備える。前記証明者デバイスは、相互接続手段によって該証人デバイスと相互接続されている。それは特に、マイクロプロセッサをベースにした銀行カードにおけるマイクロプロセッサの形式等のノマドオブジェクト内の論理マイクロ回路の形を取ることができる。

前記システムは該コントローラエンティティと関連付けられるコントローラデバイスも備える。前記コントローラデバイスは特に端末又はリモートサーバの形を取る。前記コントローラデバイスは、特にコンピュータ通信ネットワークを通して、該証明者デバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段を備える。

前記システムは、以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の手段は、前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。該証人デバイスは、該相互接続手段を通して該証明者デバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証人デバイスの伝送の手段と呼ばれる該伝送の手段を備える。また該証明者デバイスは、該接続手段を通して該コントローラデバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証明者の伝送手段と呼ばれている該伝送手段も備える。
・ステップ２：チャレンジｄの行為
該コントローラデバイスは、各コミットメントＲのすべて又は一部を受信した後に、コミットメントＲの数に数が等しい該チャレンジｄの該生成のためのチャレンジ生成手段を備える。該コントローラデバイスは、該接続手段を通して該証明者に該チャレンジｄを送信するために、以下に該コントローラの該伝送手段と呼ばれている伝送手段も備える。
・ステップ３：応答Ｄの行為
該証人デバイスの該チャレンジｄの受信の手段は、該相互接続手段を通して該証明者デバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄの計算の手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。
・ステップ４：チェックの行為
該証明者の該伝送手段は、該コントローラに各応答Ｄを送信する。また該コントローラデバイスは、
−以下に該コントローラデバイスの計算手段と呼ばれる該計算手段と、
−以下に該コントローラデバイスの比較手段と呼ばれる該比較手段と、
も備える。

第１のケース：該証明者が各コミットメントＲの部分を送信した。
該証明者の該伝送手段が各コミットメントＲの部分を送信した場合、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの該計算手段は、各チャレンジｄ及び各応答Ｄから再構築されたコミットメントＲ’を計算し、この再構築されたコミットメントＲ’は以下のタイプ

の関係又は以下のタイプ

の関係を満たす。

該コントローラデバイスの該比較手段は、各再構築されたコミットメントＲ’を受信された各コミットメントＲのすべて又は部分と比較する。

第２のケース：該証明者が各コミットメントＲの全体性を送信した。
該証明者の該伝送手段が各コミットメントＲの全体性を送信した場合、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの該計算手段と該比較手段は、各コミットメントＲが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

メッセージの完全性の証明のケース
第１の変形と結合できる第２の変形の実施形態では、本発明による該システムは、コントローラとして知られているエンティティに対して、証明者として知られているエンティティと関連付けられたメッセージＭの完全性の証拠を示すように設計されている。前記システムは、該証明者エンティティと関連付けられている証明者デバイスを備える。前記証明者デバイスは、相互接続手段によって該証人デバイスと相互接続されている。それは、例えばマイクロプロセッサをベースにした銀行カード内のマイクロプロセッサの形等、特にノマドオブジェクトの論理マイクロ回路の形を取ってよい。前記システムは該コントローラエンティティと関連付けられている該コントローラデバイスも備える。前記コントローラデバイスは特に端末又はリモートサーバの形を取る。前記コントローラデバイスは、特にデータ処理通信ネットワークを通して、該証明者デバイスへのその電気的、電磁的、光学的、又は音響的な接続のための接続手段を備える。

前記システムは以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の手段が、前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。該証人デバイスは、該相互接続手段を通して各コミットメントＲのすべて又は部分を該証明者デバイスに送信するために、以下に該証人デバイスの伝送手段と呼ばれる伝送の手段を有する。
ステップ２：チャレンジｄの行為
該証明者デバイスは、少なくとも１つのトークンＴを計算するために、その引数が該メッセージＭ及び各コミットメントＲのすべて又は部分であるハッシュ関数ｈを適用する、以下に該証明者の計算の手段と呼ばれる該計算手段を備える。該証明者デバイスは、該接続手段を通して該コントローラデバイスに各トークンＴを送信するために、以下に該証明者デバイスの該伝送手段として知られている伝送手段も備える。該コントローラデバイスは、該トークンＴを受信後、コミットメントＲの数と数が等しい該チャレンジｄの該生成のためのチャレンジ生成手段も有する。該コントローラデバイスは、該接続手段を通して該証明者に該チャレンジｄを送信するために、以下に該コントローラの該伝送手段と呼ばれる伝送手段も有する。
・ステップ３：応答Ｄの行為
該証人デバイスの該チャレンジｄの受信の手段は、該相互接続手段を通して該証明者デバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄの計算の手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。
・ステップ４：チェックの行為
該証明者の該伝送手段は、該コントローラに各応答Ｄを送信する。該コントローラデバイスは、第１に、各チャレンジｄ及び各応答Ｄから以下のタイプ

の関係又は以下のタイプ

の関係を満たす再構築されたコミットメントＲ’を計算するために、
第２に、引数として、該メッセージＭ及び各再構築されたコミットメントＲ’のすべて又は部分を有する該ハッシュ関数ｈを適用することによってトークンＴ’を計算するために、以下に、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの該計算手段と呼ばれる計算手段も備える。

該コントローラデバイスは、該計算されたトークンＴ’を該受信されたトークンＴと比較するために、以下に該コントローラデバイスの該比較手段として知られている比較手段も有する。

メッセージのデジタルシグナチャ及びその真正性の証明
該最初の２つの実施形態の一方、及び／又は他方と結合できる、本発明による実施形態の第３の変形では、本発明による該システムは署名エンティティと呼ばれるエンティティによって、以下に署名済みのメッセージとして知られているメッセージＭのデジタルシグナチャを証明するように設計されている。

該署名済みのメッセージは、
−該メッセージＭと、
−該チャレンジｄ、及び／又は該コミットメントＲと、
−該応答Ｄと、
を備える。
署名動作

前記システムは、該署名エンティティと関連付けられている署名デバイスを備える。前記署名デバイスは相互接続手段によって該証人デバイスと相互接続され、例えば、マイクロプロセッサをベースにした銀行カードの中のマイクロプロセッサの形等の、特にノマドオブジェクト内の論理マイクロ回路の形を取ってよい。

前記システムは、以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の手段は前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。該証人デバイスは、該相互接続手段を通して該署名デバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証人デバイスの該伝送手段と呼ばれている伝送の手段を備える。
・ステップ２：チャレンジｄの行為
該署名デバイスは、バイナリ行列を計算するために、及び数がコミットメントＲの数に等しいチャレンジｄをこのバイナリ行列から抽出するために、その引数が該メッセージＭ、及び各コミットメントＲのすべて又は一部であるハッシュ関数ｈを適用する、以下に該署名デバイスの該計算手段と呼ばれている計算手段を備える。
・ステップ３：応答Ｄの行為
該証人デバイスの該チャレンジｄの受信のための手段は、該相互接続手段を通して該署名デバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄを計算するための手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。該証人デバイスは、該相互接続手段を通して該署名デバイスに該応答Ｄを送信するために、以下に該証人デバイスの伝送の手段と呼ばれている伝送手段を備える。

チェック動作
該メッセージＭの真正性を証明するために、コントローラとして知られているエンティティは該署名済みメッセージをチェックする。

前記システムは、該コントローラエンティティと関連付けられているコントローラデバイスを備える。前記コントローラデバイスは、特に端末又はリモートサーバの形を取る。前記コントローラデバイスは、特にコンピュータ通信ネットワークを通して、該署名デバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段を備える。

該署名エンティティと関連付けられた前記署名デバイスは、該接続手段を通して該署名済みメッセージの、該コントローラデバイスに対する伝送のための、以下に該署名デバイスの該伝送手段として知られている伝送手段を備える。したがって、該コントローラデバイスは、
−該メッセージＭと、
−該チャレンジｄ、及び／又は該コミットメントＲと、
−該応答Ｄと、
を備える署名済みのメッセージを有する。

該コントローラデバイスは、
−以下に該コントローラデバイスの該計算手段と呼ばれる計算手段と、
−以下に該コントローラデバイスの該比較手段と呼ばれる比較手段と、
を備える。
・該コントローラデバイスがコミットメントＲ、チャレンジｄ、応答Ｄを有するケース
該コントローラデバイスがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合、該コントローラデバイスの該計算手段と比較手段は、該コミットメントＲ、該チャレンジｄ、及び該応答Ｄが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

次に、該コントローラデバイスの該計算手段と比較手段は、該メッセージＭ、該チャレンジｄ及び該コミットメントＲが該ハッシュ関数

を満たすことを確認する。
・該コントローラデバイスがチャレンジｄ及び応答Ｄを有するケース
該コントローラがチャレンジｄと応答Ｄとを有する場合、該コントローラの該計算手段は、各チャレンジｄと各応答Ｄに基づいて、以下のタイプ

の関係又は以下のタイプ

の関係を満たすコミットメントＲ’を再構築する。

次に、該コントローラデバイスの該計算手段と比較手段は、該メッセージＭ及び該チャレンジｄが該ハッシュ関数

を満たすことを確認する。
・該コントローラがコミットメントＲ及び応答Ｄを有するケース
該コントローラデバイスがコミットメントＲと、応答Ｄとを有する場合、該コントローラデバイスの該計算手段は該ハッシュ関数を適用し、

となるようにｄ’を計算する。

次に、該コントローラデバイスの該計算手段と比較手段は、該コミットメントＲ、該チャレンジｄ’、及び該応答Ｄが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

端末装置
本発明は、エンティティに関連付けられる端末装置にも関する。該端末装置は、例えばマイクロプロセッサをベースにした銀行カードの中のマイクロプロセッサの形等、特にノマドオブジェクトの形を取る。該端末装置はコントローラデバイスに対して以下
−エンティティの真正性、及び／又は
−このエンティティと関連付けられているメッセージＭの完全性
を証明するように設計されている。

この証明は、以下のパラメータ
−秘密値Ｑ₁、Ｑ₂、．．．Ｑ_mと公開値Ｇ₁、Ｇ₂，．．．Ｇ_mのｍ個の組（ｍは１以上）
−ｆ個の素因数ｐ₁、ｐ₂，．．．ｐ_fの積によって構成される公開モジュールｎ（ｆは２以上）
又はこれらのパラメータの算出値のすべて又は一部によって立証される。
前記モジュール及び前記秘密値と公開値は以下のタイプの関係

によって関連付けられ、この場合ｖは以下のタイプ

の公開指数を示し、この場合ｋは１より大きなセキュリティパラメータである。

前記ｍ個の公開値Ｇ_iは該ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_fに従うｍ個の区別できるベース数ｇ₁ｇ₂，．．．ｇ_mの二乗ｇ_i ²であり、前記ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_f、及び／又は前記ｍ個のベース数ｇ₁ｇ₂，．．．ｇ_mは以下の条件が満たされるように生成される。

第１の条件：
第１の条件に従えば、該方程式

のそれぞれは、ｎを法とした整数の環の中のｘについて解くことができる。

第２の条件：
第２の条件に従えば、Ｇ_i≡Ｑ_i ^v（mod n）のケースでは、ｋ−１階数回、Ｑ_iを二乗する（mod n）ことによって得られる該ｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。
第２の条件に従えば、Ｇ_i，Ｑ_i ^v≡１（mod n）のケースでは、Ｑ_iの逆数（mod n）をｋ−１階数回二乗する（mod n）ことによって得られるｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。
現在の表記に従えば、±ｇ_iが数ｇ_iとｎ−ｇ_iとを表していることが、ここで指摘されるべきである。

第３の条件：
第３の条件に従えば、以下の２ｍ個の方程式

の中で、それらの内の少なくとも１つはｎを法として整数の環の中のｘについて解くことができる。

前記端末装置は、該ｆ個の素因数ｐ_i、及び／又は該素因数のチャイニーズ剰余のパラメータ、及び／又は該公開係数ｎ、及び／又はｍ個の秘密値Ｑ_i、及び／又は該秘密値Ｑ_iと該公開指数ｖのｆ．ｍ個の成分Ｑ_i,j（Ｑ_i,j≡Ｑ_j、modｐ_j）とを含むメモリゾーンを備える証人デバイスを備える。

該証人デバイスは、
−以下に該証人デバイスの無作為値生成手段と呼ばれる無作為値生成手段と、
−以下に、ｎを法として該整数の環の中の該証人デバイスのコミットメントＲの該計算のための手段と呼ばれる計算手段と、
も備える。

各コミットメントは
・以下のタイプ

の演算を実行し、この場合ｒは無作為値生成手段によって生成される無作為値であり、ｒは０＜ｒ＜ｎであることと、
・あるいは以下のタイプ

の演算を実行し、この場合ｒ_iは、０＜ｒ_i＜ｐ_iとなるように該素数ｐ_iと関連付けられた無作為値であり、各ｒ_iは該無作為値生成手段によって、次に該チャイニーズ剰余方法を適用することによって生成される無作為値の集合体｛ｒ₁，ｒ₂，．．．ｒ_f｝に属することと、のいずれかによって計算される。

また該証人デバイスは、
−以下に１つ又は複数のチャレンジｄを受信するために該証人デバイスの該チャレンジｄの受信のための手段と呼ばれている受信手段であって、各チャレンジｄが以下に基本的なチャレンジと呼ばれるｍ個の整数ｄ₁を備える受信手段と、
−以下に、
・以下のタイプ

の演算を実行することによって、
・又は以下のタイプ

の演算を実行することのいずれかによって
及び次に該チャイニーズ剰余法を適用することによって、
各チャレンジｄに基づいた応答Ｄの計算のための、該証人デバイスの該応答Ｄの該計算のための手段と呼ばれる計算手段と、
をさらに備える。

該証人デバイスは、１つ又は複数のコミットメントＲ及び１つ又は複数の応答Ｄを送信するための伝送手段も備える。チャレンジｄ、コミットメントRと同じくらいの数の応答Dがあって、R,ｄ、Dの数の群は｛R、d、D｝で参照されるトリプレットを形成する。

エンティティの真正性の証明のケース
第１の実施形態の変形では、本発明による該端末装置は、コントローラと呼ばれているエンティティに対して証明者と呼ばれているエンティティの真正性を証明するように設計されている。

前記端末装置は、証明者エンティティと関連付けられる証明者デバイスを備える。前記証明者デバイスは、相互接続手段によって該証人デバイスと相互接続されている。それは特に、マイクロプロセッサをベースにした銀行カードにおけるマイクロプロセッサの形式等の、ノマドオブジェクト内の論理マイクロ回路の形を取ってよい。

前記証明者デバイスは、特にデータ処理通信ネットワークを通して、該コントローラエンティティと関連付けられている該コントローラデバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段も備える。前記コントローラデバイスは特に端末又はリモートサーバの形を取る。

前記端末装置は、以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の手段は、前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。
該証人デバイスは、該相互接続手段を通して該証明者デバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証人デバイスの伝送の手段と呼ばれる該伝送の手段を有する。また該証明者デバイスは、該接続手段を通して該コントローラデバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証明者の伝送手段と呼ばれている該伝送手段も有する。
・ステップ２と３：チャレンジｄの行為、応答Ｄの行為
該証人デバイスの該チャレンジｄの受信手段は、該コントローラデバイスと該証明者デバイスの間の該接続手段を通して、及び該証明者デバイスと該証人デバイスの間の該相互接続手段を通して該コントローラデバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄの計算手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。
・ステップ４：チェックの行為
該証明者の該伝送手段は、チェックを実施する該コントローラデバイスに各応答Ｄを送信する。

メッセージの完全性の証明のケース
該第１の実施形態と結合できる第２の実施形態の変形では、本発明による該端末装置は、証明者として知られているエンティティに関連付けられるメッセージＭの完全性の証拠を、コントローラとして知られているエンティティに与えるように設計されている。前記端末装置は、それが該証明者エンティティと関連付けられている証明者デバイスを備え、前記証明者デバイスは相互接続手段によって該証人デバイスと相互接続されている。それは、例えばマイクロプロセッサをベースにした銀行カードの中のマイクロプロセッサの形等の、特にノマドオブジェクト内の論理マイクロ回路の形を取ってよい。前記証明者デバイスは、特にデータ処理通信ネットワークを通して、該コントローラエンティティと関連付けられている該コントローラデバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段を備える。前記コントローラデバイスは特に端末又はリモートサーバの形を取る。

前記端末装置は、以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の該手段は、前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。該証人デバイスは、該相互接続手段を通して該証明者デバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証人デバイスの該伝送手段と呼ばれる伝送の手段を有する。
・ステップ２と３：チャレンジｄの行為、応答Ｄの行為
該証明者デバイスは、少なくとも１つのトークンＴを計算するために、その引数が該メッセージＭ及び各コミットメントＲのすべて又は一部であるハッシュ関数ｈを適用する、以下に該証明者の計算手段と呼ばれる該計算手段を備える。該証明者デバイスは、該コントローラデバイスに該接続手段を通して各トークンＴを送信するために、以下に該証明者デバイスの伝送手段として知られている該伝送手段も有する。
前記コントローラデバイスは、該トークンＴを受信後、コミットメントＲの数に数が等しいチャレンジｄを生成する。
該証人デバイスの該チャレンジｄの受信の手段は、該コントローラデバイスと該証明者デバイスの間の該相互接続手段を通して、及び該証明者デバイスと該証人デバイスの間の該相互接続手段を通して該コントローラデバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄの計算の手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。
・ステップ４：チェックの行為
該証明者の該伝送手段は、各応答Ｄを該チェックを実行する該コントローラデバイスに送信する。

メッセージのデジタル署名及びその真正性の証明
最初の２つのいずれか一方と結合できる第３の実施形態の変形では、本発明による該端末装置は署名エンティティと呼ばれるエンティティによって、以下に該署名済みメッセージとして知られているメッセージＭの該デジタルシグナチャを生成するように設計されている。

該署名済みメッセージは、
−該メッセージＭと、
−該チャレンジｄ、及び／又は該コミットメントＲと、
−該応答Ｄと、
を備える。

前記端末装置は、該署名エンティティと関連付けられている署名デバイスを備える。前記署名デバイスは相互接続手段によって該証人デバイスと相互接続される。それは、マイクロプロセッサをベースにした銀行カードの中のマイクロプロセッサの形等の、特にノマドオブジェクトの中の論理マイクロ回路の形を取ってよい。前記署名デバイスは、特にデータ処理通信ネットワークを通して、該コントローラエンティティと関連付けられている該コントローラデバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段を備える。前記コントローラデバイスは特に端末又はリモートサーバの形を取る。

署名動作：
前記端末装置は以下のステップを実行するために使用される。
・ステップ１：コミットメントＲの行為
呼び出しのたびに、該証人デバイスの該コミットメントＲの計算の手段は、前記に指定された該プロセスを適用することによって各コミットメントＲを計算する。該証人デバイスは、該相互接続手段を通して該署名デバイスに各コミットメントＲのすべて又は部分を送信するために、以下に該証人デバイスの伝送手段と呼ばれている該伝送の手段を備える。
・ステップ２：チャレンジｄの行為
該署名デバイスは、バイナリ行列を計算し、その数がコミットメントＲの数に等しいチャレンジｄをこのバイナリ行列から抽出するために、その引数が該メッセージＭ及び各コミットメントＲのすべて又は部分であるハッシュ関数ｈを適用する、以下に該署名デバイスの計算手段と呼ばれる該計算手段を備える。
・ステップ３：応答Ｄの行為
該チャレンジｄの該受信のための該手段は、該相互接続手段を通して該署名デバイスから来る各チャレンジｄを受信する。該証人デバイスの該応答Ｄを計算するための該手段は、前記に指定された該プロセスを適用することによって該チャレンジｄから該応答Ｄを計算する。該証人デバイスは、該相互接続手段を通して該署名デバイスに該応答Ｄを送信するために、以下に該証人デバイスの伝送の手段と呼ばれている伝送手段を備える。

コントローラデバイス
本発明は、コントローラデバイスにも関する。該コントローラデバイスは特にコントローラエンティティと関連付けられた端末又はリモートサーバの形を取ってよい。該コントローラデバイスは、
−エンティティの真正性、及び／又は
−このエンティティと関連付けられるメッセージＭの完全性
をチェックするように設計されている。

この証明は、以下のパラメータ
−公開値Ｇ₁、Ｇ₂，．．．Ｇ_mのｍ個の組（ｍは１以上）
−ｆ個の素因数ｐ₁、ｐ₂，．．．ｐ_fの積によって構成され（ｆは２以上）、該コントローラデバイス及び該関連付けられたコントローラエンティティに未知の公開係数ｎ
又はこれらのパラメータの算出値のすべて又は一部によって立証される。
前記係数及び前記秘密値と公開値は以下のタイプの関係

によって関連付けられ、この場合ｖは以下のタイプ

の公開指数を示し、この場合ｋは１より大きなセキュリティパラメータである。

前記ｍ個の公開値Ｇ_iは該ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_fに従うｍ個の区別できるベース数ｇ₁ｇ₂，．．．ｇ_mの二乗ｇ_i ²であり、前記ｆ個の素因数ｐ₁，ｐ₂，．．．ｐ_f、及び／又は前記ｍ個のベース数ｇ₁ｇ₂，．．．ｇ_mは以下の条件が満たされるように生成される。

第１の条件：
第１の条件に従えば、該方程式

のそれぞれは、ｎを法とした整数の環の中のｘについて解くことができる。

第２の条件：
第２の条件に従えば、Ｇ_i≡Ｑ_i ^v（mod n）のケースでは、ｋ−１階数回、Ｑ_iを二乗する（mod n）ことによって得られる該ｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

第２の条件に従えば、Ｇ_i，Ｑ_i ^v≡１（mod n）のケースでは、Ｑ_iの逆数（mod n）をｋ−１階数回二乗する（mod n）ことによって得られるｍ個の数ｑ_iの中で、それらの内の１つが±ｇ_iとは異なる（つまり、トリビアルではない）。

現在の表記に従えば、±ｇ_iが数ｇ_iとｎ−ｇ_iとを表していることがここで指摘されるべきである。

第３の条件：
第３の条件に従えば、以下の２ｍ個の方程式

の中で、それらの内の少なくとも１つはｎを法として整数の環の中のｘについて解くことができる。

エンティティの真正性の証明のケース
第１の実施形態の変形では、本発明による該コントローラデバイスは、証明者と呼ばれているエンティティ及びコントローラと呼ばれているエンティティの真正性を証明するように設計されている。

前記コントローラデバイスは、特にデータ処理通信ネットワークを通して、該証明者エンティティと関連付けられている該証明者デバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段も備える。

前記コントローラデバイスは、以下のステップを実行するために使用される。
・ステップ１と２：コミットメントＲの行為、チャレンジｄの行為
前記コントローラデバイスは、該接続手段を通して該証明者デバイスから来る該コミットメントＲのすべて又は部分の受信のための手段も有する。
該コントローラデバイスは、各コミットメントＲのすべて又は部分を受信後、コミットメントＲの数に数が等しい該チャレンジｄの該生成のためのチャレンジ生成手段を備え、各チャレンジｄは以下に基本的なチャレンジと呼ばれているｍ個の整数ｄ_iを備える。
該コントローラデバイスは、該接続手段を通して該証明者に該チャレンジｄを送信するために、以下に該コントローラの伝送手段と呼ばれている該伝送手段も備える。
・ステップ３と４：応答Ｄの行為、チェックの行為
またコントローラデバイスは、
−該接続手段を通して該証明者デバイスから来る該応答Ｄの受信のための手段と、
−以下に該コントローラデバイスの計算手段と呼ばれている該計算手段と、
−以下に該コントローラデバイスの比較手段と呼ばれている該比較手段と、
も備える。
・第１のケース：該証明者が各コミットメントＲの部分を送信した
該コントローラデバイスの該受信手段が各コミットメントＲの部分を受信した場合、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの該計算手段は、以下のタイプ

の関係又は以下のタイプ

の関係を満たす再構築されたコミットメントＲ’を、各チャレンジｄ及び各応答Ｄから計算する。

該コントローラデバイスの該比較手段は、再構築された各コミットメントＲ’を受信された各コミットメントＲのすべて又は部分と比較する。
・第２のケース：該証明者が各コミットメントＲの全体性を送信した
該コントローラデバイスの該受信手段が各コミットメントＲの全体性を受信した場合、ｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの該計算手段と該比較手段は、各コミットメントＲが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

メッセージの完全性の証明のケース
該第１の実施形態の変形と結合できる第２の実施形態の変形では、本発明による該コントローラデバイスは、証明者として知られているエンティティと関連付けられているメッセージＭの完全性を証明するように設計されている。

前記コントローラデバイスは、特にデータ処理通信ネットワークを通して、該証明者エンティティと関連付けられている証明者デバイスに対するその電気的、電磁的、光学的又は音響的な接続のための接続手段を備える。

前記コントローラデバイスは以下のステップを実行するために使用される。
・ステップ１と２：コミットメントＲの行為、チャレンジｄの行為
前記コントローラデバイスは、該接続手段を通して該証明者デバイスから来るトークンＴの該受信のための手段を有する。該コントローラデバイスは、該トークンＴを受信した後に、コミットメントＲの数に数が等しいチャレンジｄの該生成のためのチャレンジ生成手段を有し、各チャレンジｄは以下に基本的なチャレンジと呼ばれているｍ個の整数ｄ_iを備える。該コントローラデバイスは、該接続手段を通して該証明者に該チャレンジｄを送信するために、以下に該コントローラの伝送手段と呼ばれている該伝送手段も備える。
・ステップ３と４：応答Ｄの行為、チェックの行為
前記コントローラデバイスは、該接続手段を通して該証明者デバイスから来る該応答Ｄの該受信のための手段も備える。前記コントローラデバイスは、第１に、以下のタイプ

の関係又は以下のタイプ

の関係を満たす再構築されたコミットメントＲ’を各チャレンジｄ及び各応答Ｄから計算するために、
第２に、引数として、該メッセージＭ及び各再構築されたコミットメントＲ’のすべて又は部分を有するハッシュ関数ｈを適用することによってトークンＴ’を計算するために、以下にｍ個の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mを有する該コントローラデバイスの計算手段と呼ばれている該計算手段も備える。

該コントローラデバイスは、該計算されたトークンＴ’を該受信されたトークンＴと比較するために、以下に該コントローラデバイスの比較手段と呼ばれている該比較手段も有する。

メッセージのデジタルシグナチャ及びその真正性の証明
該最初の２つの実施形態の一方又は他方のいずれかと結合できる第３の実施形態の変形では、本発明によるコントローラデバイスは、コントローラと呼ばれているエンティティによって署名済みのメッセージをチェックすることによって該メッセージＭの真正性を証明するように設計されている。

ハッシュ関数ｈ（メッセージ、Ｒ）を有する署名エンティティと関連付けられている署名デバイスによって送信される該署名済みメッセージは、
−該メッセージＭと、
−該チャレンジｄ、及び／又は該コミットメントＲと、
−該応答Ｄと、
を備える。

チェック動作
前記コントローラデバイスは、特にデータ処理通信ネットワークを通して、該署名エンティティに関連付けられている署名デバイスに対するその電気的、電磁的、光学的、又は音響的な接続のための接続手段を備える。前記コントローラデバイスは、該接続手段を通して、該署名デバイスから該署名済みメッセージを受信する。

該コントローラデバイスは、
−以下に該コントローラデバイスの計算手段と呼ばれる該計算手段と、
−以下に該コントローラデバイスの比較手段と呼ばれる該比較手段と、
を備える。

・該コントローラデバイスが、コミットメントＲ、チャレンジｄ、応答Ｄを有するケース
該コントローラデバイスがコミットメントＲ、チャレンジｄ、応答Ｄを有する場合、該コントローラデバイスの該計算手段と比較手段は、該コミットメントＲ、該チャレンジｄ及び該応答Ｄが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

その結果、該コントローラデバイスの該計算手段と比較手段は、該メッセージＭ、該チャレンジｄ及び該コミットメントＲが該ハッシュ関数

を満たすことを確認する。

・該コントローラデバイスがチャレンジｄ及び応答Ｄを有するケース
該コントローラデバイスがチャレンジｄと応答Ｄを有する場合、該コントローラデバイスの該計算手段は、各チャレンジｄ及び各応答Ｄに基づいて、以下のタイプ

の関係又は以下のタイプ

の関係を満たすコミットメントＲ’を計算することができ、次に該コントローラデバイスの該計算手段と比較手段は、該メッセージＭ及び該チャレンジｄが該ハッシュ関数

を満たすことを確認する。

・該コントローラデバイスがコミットメントＲ及び応答Ｄを有するケース
該コントローラデバイスがコミットメントＲ及び応答Ｄを有する場合、該コントローラデバイスの該計算手段は該ハッシュ関数を適用し、

となるようにｄ’を計算し、その結果該コントローラデバイスの該計算手段と比較手段は、該コミットメントＲ、該チャレンジｄ’、及び該応答Ｄが以下のタイプ

の関係又は以下のタイプ

の関係を満たすことを確認する。

ＧＱ方法の目標は、メッセージのデジタルシグナチャとともにエンティティ及びメッセージの動的認証である。これらは「知識の移転を伴わない」方法である。エンティティは、それが１つ又は複数の秘密数を知っていることを証明する。別のエンティティは、それが対応する１つ又は複数の公開数を知っているかチェックする。該証明する側のエンティティは、必要に応じて何度でもそれらを使用できるようにするために、該１つ又は複数の秘密数を明らかにすることなく、該チェック側のエンティティを説得することを希望する。

各ＧＱ方法は、秘密の高い素数から構成される公開係数に依存している。公開指数ｖ及び公開係数ｎはともに、「ｎを法としてｖ乗する」ことを意味する検証鍵＜ｖ，ｎ＞を形成し、１つ又は複数の一般的な方程式によって、すべて同じタイプの直接的なＧ≡Ｑ^v（mod n）又は逆のＧｘＱ^v≡１（mod n）を実現する。該タイプは該チェック側エンティティの中の計算の演算に影響を及ぼすが、該証明側エンティティの中では影響を及ぼさない。つまり、事実上、該セキュリティ分析は該２つのタイプを混同する。公開数Ｇと秘密数Ｑに結び付けられた各一般方程式は、ともに１組の数｛Ｇ，Ｑ｝を形成する。再開するためには、各ＧＱ方法は同じ鍵＜ｖ，ｎ＞に対して１つ又は複数の組の数｛Ｇ，Ｑ｝を実現する。

ここでＧＱ１と呼ばれているＧＱ方法の旧バージョンは、ＲＳＡデジタルシグナチャ機構を使用する。その結果、該検証鍵＜ｖ，ｎ＞は、奇数の指数ｖが好ましくは素数であるＲＳＡ公開鍵である。一般的には、各ＧＱ１方法は数｛Ｇ，Ｑ｝の単一の組を使用する。つまり、該公開数Ｇは、該ＲＳＡデジタルシグナチャ技術の欠くことのできない部分であるフォーマット機構に従って識別データから推定される。該秘密数Ｑ又はｎを法としたその逆数は、識別データのためのＲＳＡシグナチャである。該証明エンティティは独自の識別データのＲＳＡシグナチャのその知識を示し、この証明は、必要に応じて何度でも使用されるために、したがって秘密のままとなる該シグナチャを明らかにしない。

ＧＱ１方法は、一般的に２つのレベルの鍵を実現する。つまり、該ＲＳＡ秘密署名鍵は、自らを識別データによって他のものと区別する権威認定エンティティのために確保されている。このような機構は「アイデンティティに基づいている」と言われている。したがって、チップカードのエミッタは、該カードに多様な秘密鍵として銘記される秘密数Ｑを計算するために各カードの排出のために自分のＲＳＡ秘密鍵を使用する。あるいはさらに、コンピュータのネットワーク上のクライアントは、セッションの間に該クライアントの一時的な秘密鍵となる秘密数Ｑを計算するためにそれぞれの該セッションに入るときに自分のＲＳＡ秘密鍵を使用する。該証明側エンティティ、チップカード、又はセッション中のクライアントは、自分達の識別データのＲＳＡシグナチャを知っている。彼らは、鍵階層の中では次に高いレベルにある該ＲＳＡ秘密鍵を知らない。それにも関わらず、権威者のレベルにおいて７６８ビットの係数を用いるＧＱ１によるエンティティの動的認証は、各エンティティのレベルにある３つの素因数の５１２ビットの係数を用いるＲＳＡによるエンティティの動的認証とほぼ同じ作業負荷を必要とし、該証明側エンティティがその積のためのモジュロ結果を計算する前に該素因数のそれぞれにモジュロ結果を計算することによって該チャイニーズ剰余技法を使用できるようになる。

しかしながら、権威者と該認定されたエンティティの間の鍵の階層は強制的なものではない。該証明側エンティティのレベルでの係数が、例えば７６８ビットと比べて５１２ビット等、該権威者のレベルの係数より低いことがあるという事実は別として、ＧＱ１は該証明側エンティティに属するモジュールと使用することができ、該証明側エンティティの作業負荷を削減するために該チャイニーズ剰余技法を使用できるようにし、基本的には該チェック側エンティティの作業負荷を変更しない。

該エンティティが独自の係数の素因数を知っているときに、なぜＲＳＡデジタルシグナチャ機構に呼び掛けるのか？？

ここでは基本的なＧＱ２と呼ばれているＧＱ法の別のバージョンは、係数ｎの因数分解の問題を直接的に処理している。この文脈では「直接的に」との表現は「ＲＳＡシグナチャを要求しないで」ということを意味する。ＧＱ２の目的は、該証明側エンティティだけではなく、該チェック側エンティティの作業負荷も削減することである。該証明側エンティティは独自の係数の分解（ｂｒｅａｋｄｏｗｎ）についての知識を立証し、この証明は、必要に応じて頻繁に使用できるようにするために、したがって秘密のままとなる分解を明らかにしない。該ＧＱ２プロトコルのセキュリティは該モジュールの因数分解に同等である。

各証明側エンティティは独自の係数ｎを有している。各ＧＱ２機構はパラメータｋ、公開指数ｖ＝２^kを固定する１より大きい小さな数、及び数｛Ｇ₁，Ｑ₁｝から｛Ｇ_m，Ｑ_m｝の１つ又は複数の組を実現する。各公開数Ｇ₁は、１より大きい小さな数ｇ_iの二乗であり、「ベース数」と呼ばれている。すべての該証明側エンティティは、１つ又は複数の該同じ公開数Ｇ₁からＧ_mを使用できる。その結果、該係数ｎ及び１つ又は複数の該秘密数Ｑ₁からＱ_mの該因数分解は、該鍵階層の同じレベルにある。基本的なＧＱ２鍵の各集合は、以下の２つの必要かつ十分な条件によって定義される。
−ベース数ごとに、該２つの方程式ｘ²≡±ｇ_i（mod n）のどちらもｎを法として整数の環の中のｘについて解を有する。すなわち、該数±ｇ_iはｎを法として２つの非平方剰余である。
−ベース数ごとに、該方程式ｘ^v≡±ｇ_i ²（mod n）であり、この場合ｖ＝２^kはｎを法として整数の環の中のｘについて解を有する。ｎを法として該秘密数Ｑ_i又はその逆数はこれらの解の内の任意の１つである。

該第２の条件を考慮に入れると、該数±ｇ_iがｎを法として２つの非平方剰余となるためには、該係数ｎは、ｇ_iのどのルジャンドル記号が異なるのかを基準にして、（４を法として）３と合同で少なくとも２つの素因数を備えなければならない。結果的に、どれも３（mod 4）と合同ではない、あるいはただ１つのものが３（mod 4）と合同である素因数から構成される任意の係数により、基本的なＧＱ２鍵の集合を確立することは可能ではなく、３（mod 4）と合同の該素因数に特権が与えられる。このようにして無作為に高い素数を取ることによって、半分だけが３（mod 4）と合同であり、半分が１（mod 4）に合同であるように見える。その結果、使用中の多くのＲＳＡモデルは基本的なＧＱ２鍵の集合を確立できない。

ここで、この制限を克服し、どのような係数とであっても、特に任意のどのようなＲＳＡ係数であっても、ＧＱ２技術を使用できるようにするために一般化されたＧＱ２鍵の集合を紹介する。つまり、それらは以下の２つの必要且つ十分な原則に依存している。

第１の原則は該第２の基本的なＧＱ２条件を再現する。
−ベース数ｇ_iからｇ_mごとに、方程式ｘ^v≡±ｇ_i ²（mod n）であり、この場合ｖ＝２^kはｎを法として整数の環の中のｘについて解を有する。

秘密数Ｑ又はｎを法としてその逆数が該方程式の解であるため、ｎを法として連続したｋの二乗値−１はそれを、ｎを法として整数の環の中のＧ₁の平方根である数ｑ_iに変換する。該数ｑ_iが該２つの数ｇ_i又はｎ−ｇ_iの一方に等しいのか、あるいは該２つの数ｇ_iとｎ−ｇ_iと異なるかどうかに応じて、それがトリビアルであるかどうかが言われる。数ｑ_iがトリビアルではないとき、ｑ_i ²−ｇ_i ²を除算するｎはｑ_i−ｇ_i又はｑ_i＋ｇ_iのどちらも除算しない。したがって任意のノントリビアル数ｑは係数ｎの分解を明らかにする。
ｎ＝ｐｇｃｄ（ｎ，ｑ_i−ｇ_i）ｘｐｇｃｄ（ｎ，ｑ_i＋ｇ_i）

第２の原則は第１の基本的なＧＱ２条件を広げる。
−数ｑ_iからｑ_mの中では、少なくとも１つの数ｑ_iがトリビアルではない。

該数±ｇ_iがｎを法として整数の環の中の２つの非平方剰余である一方、数ｑ＋が存在する場合、該ｑ_i数は明白にトリビアルではないことが留意されるべきである。したがって、基本的なＧＱ２鍵の集合は必ず、どのような係数でも、すなわち、その内の少なくとも２つが区別でき、差別せずに３と合同の、又は１（mod 4）と合同の高い素数の任意の構成の使用を可能にする、一般化されたＧＱ２鍵の該集合の一部である。他方、一般化されたＧＱ２鍵の多くの集合は基本的なＧＱ２鍵の集合ではない。一般化されたＧＱ２鍵の各集合は、以下のケースの１つに従っている。
−２ｘｍ個の数±ｇ_iから±ｇ_mがすべて非平方剰余であるとき、これは基本的なＣＱ２鍵の集合である。
−２ｘｍ個の数±ｇ_iから±ｇ_mの中で、少なくとも１つの平方剰余があるとき、これは基本的なＧＱ２鍵の集合ではなく、ここでは補完的なＧＱ２鍵の集合として知られているものである。

本発明は補完的なＧＱ２鍵の該集合に関し、一般化されたＧＱ２鍵のこれらの集合は定義により基本的ではない。該２つの前記原則に加えて、このような集合は以下の第３の原則を満たさなければならない。
−２ｘｍ個の数±ｇ_iから±ｇ_mの中で、少なくとも１つの平方剰余がある。

該問題を評価し、私たちが提供する解決策すなわち本発明を理解するために、まず第１に、ノントリビアル数ｑによって明らかにされた該係数ｎの該分解を分析し、次に該チャイニーズ剰余技法、それからガロア域ＣＧ（ｐ）の階数の概念に言及する。次に、ＣＧ（ｐ）の中の関数「二乗する」ことと、ＣＧ（ｐ）の平方剰余の「平方根を取る」こととを検討する。そして最後に、前述された３つの原則の適用性を分析する。

該モジュールの分解の分析：
ちょうど該係数ｎがｆ個の素因数ｐ_iからｐ_fに分解されるように、ｎを法として整数の該環がｆ個のガロア域ＣＧ（ｐ_i）からＣＧ（ｐ_f）に分解される。各域において、２つの単位平方根があり、つまり±１である。したがって、該環の中には２^f個の単位平方根がある。各秘密数Ｑ₁からＱ_mは、該環ｎ中のこれらの２^f個の単位平方根の内の１つである数Δ_i＝ｑ_i／ｇ_i（mod n）を定義する。言い換えると、ｎによってΔ_i ²−１を除算する。
・ｑ_iがトリビアル、すなわちΔ_i＝±１であるとき、ｎはΔ_i−１又はΔ_i＋１を除算し、したがってΔ_iは該係数ｎの該分解を明らかにしない。
・ｑ_iがノントリビアル、すなわちΔ_iΔ±１であるとき、ｎはΔ_i−１もΔ_i＋１も除算せず、したがってΔによって、分解、つまり各域におけるΔ_iの値から生じるｎ＝ｐｇｃｄ（ｎ，Δ_i−１）ｘｐｇｃｄ（ｎ，Δ_i＋１）が明らかになる。つまり、一方では１つ又は複数の該素因数がΔ_i−１を除算し、これ又はこれらは他方でΔ_i＋１を除算する。

該数ｑの乗法の構成（multiplicative composition）の規則の検査。２つの数｛ｑ₁、ｑ₂｝は、合成数、ｑ₁ｘｑ₂（mod n）を示す。
−ｑ₁がトリビアルではなく、ｑ₂がトリビアルであるとき、該合成数ｑ₁ｘｑ₂（mod n）はトリビアルではない。それはｑ₁と同じ分解を明らかにする。
−ｑ₁とｑ₂がトリビアルではなく、Δ₁＝±Δ₂であるとき、該合成数ｑ₁ｘｑ₂（mod n）はトリビアルである。それは分解を明らかにしない。
−ｑ₁とｑ₂がトリビアルではなく、Δ１≠±Δ２であるとき、該合成数ｑ₁ｘｑ₂（mod n）はトリビアルではない。それは第３の分解を明らかにする。

３つの数｛ｑ₁、ｑ₂、ｑ₃｝は、４つの合成数｛ｑ１ｘｑ２、ｑ１ｘｑ３、ｑ２ｘｑ３、ｑ１ｘｑ２ｘｑ３（mod n）｝を示す。つまり、７つの数の合計である。したがって、ｍ個の数は２^m−ｍ−１個の合成数を提供し、つまり２^m−１個の数の合計である。
ここで、我々は、ｉ個の数ｑ₁からｑ_i、したがって単位根であるｉ個の数Δ₁からΔ_iを示す、ｉ個のベース数ｇ₁からｇ_i及びｉ個の秘密数Ｑ₁からＱ_iを備える一般化されたＧＱ２鍵の集合を考えるものとする。数ｑ_i+1、したがってルートΔ_i+1を示す秘密数Ｑ_i+1によって別のベース数ｇ_i+1を考慮に入れてみよう。
・２ⁱ⁺¹−１個の数の合計は、以下のケースのそれぞれで多くのノントリビアル数を備える。
−該ルートΔ_i+1はトリビアルであり、少なくとも１つのルートΔ₁からΔ_iはトリビアルではない。
−該ルートΔ_i+1はトリビアルではなく、該２ｘｉのルート±Δ₁と±Δ_iの間に現れる。
・該ルートΔ_i+1がトリビアルではなく、該２ｘｉのルート±Δ₁と±Δ_iの間に現れないケースでは、ｑ_i+1が現れる各合成数はトリビアルではない。

その結果、ｍ個の数ｑ₁からｑ_mの中で、少なくとも１つがトリビアルではないとき、該２^m−１個の数の合計の半分より多くがトリビアルではない。

定義により、ｌ＜ｆのノントリビアル数｛ｑ₁、ｑ₂、．．．ｑ₁｝は、２^l−ｌ−１個の対応する合成数のそれぞれがトリビアルではないとき、すなわち合計で２¹−１個の数がすべてトリビアルではないときに、該係数ｎを基準にして独立していると言われる。こうして、これらの２^l−１個のそれぞれによって該係数ｎの異なる分解が明らかになる。
−該ｆ個の素因数が区別できるとき、該係数ｎの２^f-1−１個のの分解がある。したがって、ｆ−１個の数ｑが独立している場合、該２^f-1−１個のの分解と、該ｆ−１個の独立した数と該２^f-1−ｆ個の対応する合成数を備える２^f-1−１個の数の合計の間にｂｉ−ｕｎｉｖｏｃａｌな対応がある。
・チャイニーズ剰余
２つの数ａとｂのいずれか、０＜ａ＜ｂであるそれらの間の素数、及び２つの数０からａ−１のＸ_aと０からｂ−１のＸ_b。それは、Ｘ_a≡Ｘ（ｍｏｄ ａ）及びＸ_b≡Ｘ（ｍｏｄ ｂ）となるように０からａｘｂ−１までの一意の数Ｘの決定に関する。数、ｘ≡｛ｂ（ｍｏｄ ａ）｝^-1（ｍｏｄ ａ）がチャイニーズ剰余パラメータである。該基本的なチャイニーズ剰余動作は以下に示される。
ｘ≡Ｘ_b（ｍｏｄ ａ）
ｙ＝Ｘ_a−ｘ。ｙが負である場合は、ｙ＋ａでｙを置換する。
ｚ≡ａｘｙ（ｍｏｄ ａ）
Ｘ＝ｚｘｂ＋Ｘ_b
再開する場合、Ｘ＝Chinese Remainder（Ｘ_a，Ｘ_b）と書く。
ｆ個の素因数が低い方から順に、つまり最小のｐ₁から最大のｐ_fまで配列されるとき、該チャイニーズ剰余パラメータは以下の通りとなることがある（該素因数より１つ少ない、すなわちｆ−１である）。
−第１のパラメータはｘ≡（ｐ₂（ｍｏｄ ｐ₁））−１（ｍｏｄ ｐ₁）である。
−第２のパラメータはβ≡（ｐ₁ｘｐ₂（ｍｏｄ ｐ₃））^-1（ｍｏｄ ｐ₃）である。
−該ｉ番目のパラメータはλ≡（ｐ₁ｘ．．．ｐ_i-1（ｍｏｄ ｐ_i））^-1（ｍｏｄ ｐ₁）
−等々。
ｆ−１個の基本的な（elementary）演算では、Ｘ_jが０からｐ_j−１である、Ｘ₁からＸ_fまでのｆ個の成分の任意の集合から開始する０からｎ−１までの数Ｘを確立する。
−第１のパラメータ付きの第１の結果（ｍｏｄ ｐ₁ｘｐ₂）
−次に第２のパラメータ付きの第２の結果（ｍｏｄ ｐ₁ｘｐ₂ｘｐ₃）
−最後のパラメータ付きの最後の結果（ｍｏｄ ｎ＝ｐ₁ｘｐ₂ｘ．．．ｐ_f）まで
再開する場合、該素因数ｐ₁からｐ_fを考えると、ｎを法として該整数の該環の各要素は２つの同等な表現を有している。
−ｆ個の数Ｘ₁からＸ_f、素因数成分：Ｘ_j≡Ｘ（ｍｏｄ ｐ_j）
−０からｎ−１までの数Ｘ、Ｘ＝チャイニーズ剰余（Ｘ₁、Ｘ₂．．．Ｘ_f）
ＣＧ（ｐ）の中の数の階数−ｐを奇数の素数とし、ａをｐより小さい、つまり０＜ａ＜ｂの数であるとする。定義によって、ｐに関してａの階数は｛ｘ_i＝ａ；その結果、ｉ≧１の場合、ｘ_i＋１≡ａ×ｘ_i（ｍｏｄ ｐ）｝によって定義されるシーケンス［Ｘ］の期間である。フェルマ定理を適用することによって、以下を得る。ｘ_i+p＝ａ^p×ｘ₁≡ａ×ｘ_i≡ｘ_i+1。（ｍｏｄ ｐ）したがって、素数ｐに関する数ａの該階数はｐ−１又はｐ−１の除算器である。

例えば、（ｐ−１）／２が奇数の素数ｐ’であるとき、該ガロア域ＣＧ（ｐ）は階数１の数を含む。これは１であり、階数２の数を含み、これは−１であり、階数ｐ’のｐ’−１数及び階数２ｘｐ’＝ｐ−１のｐ’−１数である。ＣＧ（ｐ）では、任意の数の階数ｐ−１は「生成元」である。該名前はＣＧ（ｐ）内の生成元の連続二乗、つまり１からｐ’−１までのインデックスのためのシーケンス「Ｘ」の項が、ＣＧ（ｐ）のすべてのゼロ以外の要素の順列をなすという事実に起因する。

ｙをＣＧ（ｐ）の生成元であるとする。ｉ及びｐ−１に従って該数ｙ’ （ｍｏｄ ｙ）の階数を評価しよう。ｉがｐ−１と互いに素であるとき、これはｐ−１である。ｉがｐ−１を除算するとき、これは（ｐ−１）／ｉになる。すべてのケースで、これは（ｐ−１）／ｌｇｃｄ（ｐ−１，ｉ）（ｌｇｃｄ＝最大公約数）である。

定義によって、オイラーの関数ψ（ｎ）はｎより小さい数の中の数であり、ｎと互いに素である。ＣＧ（ｐ）では、ψ（ｐ−１）の生成元がある。

例として、ＲＳＡの基礎を理解することは該階数で容易にされる。モジュールｎはｆ個の素因数ｐ−１からｐ−ｆの積であり、ｆ≧２である。ｐ_iからｐ_fまでの各素因数ｐ_iの場合、該公開指数ｅはｐ_j−１と互いに素でなければならない。ここで、鍵＜ｅ，ｐ_j＞はＣＧ（ｐ_j）の要素の階数を観察する。それはＣＧ（ｐ_j）の該要素を並べ替える。概して可能な限り小さい数ｄ_jが存在し、その結果ｐ_-1がｅ×ｄ_j-1を除算する。鍵＜ｄ_j，ｐ_j＞は、ＣＧ（ｐ_j）の要素の該順列を反転させる。各域ＣＧ（ｐ₁）からＣＧ（ｐ_f）に１つの、これらのｆ個の順列は、公開鍵＜ｅ，ｎ＞によって要約される該ＲＳＡ順列によって、ｎを法として整数の該環で表される。概して可能な限り小さい数ｄが存在し、その結果（ｐ₁−１、ｐ₂−１、．．．ｐ_f−１）の最小公倍数（ｓｃｍ）がｄ×ｅ−１を除算する。ｐ₁からｐ_fまでの各素因数ｐ_jの場合、ｄ_j≡ｄ（ｍｏｄ ｐ_j-1）を有する。該公開鍵＜ｅ，ｎ＞によって要約された該ＲＳＡ順列は、該秘密鍵＜ｄ，ｎ＞によって反転する。

ＣＧ（ｐ）の中の二乗−ｐ−１が２^t-1ではなく２^tで除算できるように数ｔを定義しよう。それぞれの大きな素数は唯一のカテゴリｔ＝１、ｔ＝２、ｔ＝３、ｔ＝４等に出現する。連続素数の十分に大きい数が検討される場合、２の中から約１が、ｐが３（ｍｏｄ ４）と合同である第１のカテゴリに出現し、４の中から１が、ｐが５（ｍｏｄ ８）と合同である第２のカテゴリに出現し、頂点（ｈｅｉｇｈｔ）の中から１が、ｐが９（ｍｏｄ １６）と合同である第３のカテゴリに出現し、１６の中から１が、ｐが１７（ｍｏｄ ３２）と合同である第４のカテゴリに出現する等である。平均すると、２^tの中から１が、ｐが２^t+1（ｍｏｄ ２^t+1）に合同であるｎ番目のカテゴリに出現する。

数ｘとｐ−ｘはＣＧ（ｐ）の中で同じ二乗を有するため、鍵＜２，ｐ＞はＣＧ（ｐ）を並べ替えない。ＣＧ（ｐ）の関数「二乗を取る」は、該域の各ゼロ以外の要素がその場所を見つける有向グラフによって表されてよい。各要素の該階数のパリティに従って、該グラフの構造を枝及び円まで分析してみよう。

−ゼロ要素が設定されている。これは０である。階数は、他の要素が関連していない該ゼロ要素に対して定義されていない。つまりゼロ要素は隔離されている。

−単位要素が設定されている。これは１であり、階数１の唯一の要素である。ＣＧ（ｐ）の個体のすべてのルートは１に関連付けられている枝の中に位置する。ｙをＣＧ（ｐ）の非平方剰余、任意の剰余とする。鍵＜（ｐ−１）／２^t，ｐ＞はｙを、ｂとして参照される−１のプリミティブな２^t-1番目のルートに変換する。つまり、ｙ^(p-1)/2≡−１（ｍｏｄ ｐ）を有する。したがって、ＣＧ（ｐ）では、１から２^t-1までの累乗のためのｂの該二乗は１以外の個体の該２^t-1ルートである。それらが１に関連する枝を作り上げる。

−偶数の階数の任意の要素の該二乗は、その階数が２で除算される別の要素である。したがって、偶数の階数の各要素は枝の中に置かれる。各枝は、４でではなく２で除算できる階数を含み、次にｔ≧２の場合には、８でではなく４で除算できる２つの階数を含み、次にｔ≧３の場合には、１６でではなく８で除算できる４つの階数を含み、次にｔ≧４の場合には、３２でではなく１６で除算できる８つの階数を含む等である。すべての枝は１に関連付けられている枝に類似している。各枝の２^t-1の葉は非平方剰余である。各枝は２^t-1の要素を含み、奇数の階数の要素に関連付けられている。すべて同じ長さｔとなる（ｐ−１）／２^tの枝がある。

−該単位要素以外の奇数の階数の任意の要素の二乗は、同じ階数を有する別の要素である。鍵＜２，ｐ＞は、奇数の階数の（ｐ−１）／２^tの要素の集合を並べ替える。該順列は順列サイクルに因数分解される。サイクル数は（ｐ−１）／２^tの因数分解に依存する。（ｐ−１）／２^tの各除算器Ｐ’に、階数ｐ’の該ψ（ｐ’）要素を含むサイクルがある。定義によって、オイラーの関数ψ（ｐ’）がｐ’より小さく、ｐ’と互いに素である数の中の数であることを思い出そう。例えば、ｐ’が（ｐ−１）／２^tに等しく、互いに素であるとき、階数ｐ’のｐ’−１個の数は大きな順列サイクルを形成する。

図１Ａから図１Ｄは、それぞれ３（ｍｏｄ ４）と合同、５（ｍｏｄ ８）と合同、９（ｍｏｄ １６）と合同、及び１７（ｍｏｄ ３２）と合同であるＰのグラフ部分をそれぞれ描いている。
−該枝の上の該葉は、白い円で描かれている。これらは非平方剰余である。
−該枝の中の節は灰色の円で描かれている。これらは偶数の階数の二次要素である。
−該円の中の該節は黒い円で描かれている。これらは偶数の階数の二次要素である。

ＣＧ（ｐ）の中の平方根−ａがＣＧ（ｐ）の平方剰余であることを知っているので、該方程式ｘ²≡ａ（ｍｏｄ ｐ）に対する解の計算方法を確かめよう。つまりＣＧ（ｐ）の中で「平方根を取る」。言うまでもなく、同じ結果を得るための多くの方法がある。数学シリーズの大学院生用教科書（Ｇｒａｄｕａｔｅ Ｔｅｘｔｓ ｉｎ Ｍａｔｈｅｍａｔｉｃｓ ｓｅｒｉｅｓ）の第１３８巻（ＧＴＭ １３８）として１９９３年にベルリン（Ｂｅｒｌｉｎ）のスプリンガー（Ｓｐｒｉｎｇｅｒ）によって出版された、Ｈｅｎｒｉ Ｃｏｈｅｎの書籍、計算代数的数論における過程（ａ Ｃｏｕｒｓｅ ｉｎ Ｃｏｍｐｕｔａｔｉｏｎ Ａｌｇｅｂｒａｉｃ Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ）の３１から３６ページを参考にしてよい。
該数ｓ＝（ｐ−１＋２^t）／２^t+1は、
ｐが３（ｍｏｄ ４）と合同であるときに＜（ｐ＋１）／４，ｐ＞であり、
ｐが５（ｍｏｄ ８）と合同であるときに＜（ｐ＋３）／８，ｐ＞であり、
ｐが９（ｍｏｄ １６）と合同であるときに＜（ｐ＋７）／１６，ｐ＞であり、
ｐが１７（ｍｏｄ ３２）と合同であるときに＜（ｐ＋１５）／３２，ｐ＞である等の鍵＜ｓ，ｐ＞を提供する。

−鍵＜ｓ，ｐ＞はサイクルの任意の要素を該サイクルの中の従前の要素に変換する。ａが偶数の階数であるとき、それは奇数階数の解であり、私たちはそれをｗと名付ける。つまり、ＣＧ（ｐ）では、ｗ²／ａはａの(２×（ｐ−１＋２^t）／＜２^t+1)−１＝（ｐ−１）／２^t乗に等しい。他の解は偶数階数である。これはｐ−ｗである。

−一般的に、該鍵＜ｓ，ｐ＞は該第１の近似の中の任意の平方剰余ａを、私たちがｒと名付ける解に変換する。ａは平方剰余であるため、該鍵＜２^t-1，ｐ＞は必ずｒ²／ａを１に変換する。ａの平方根に近づく場合、＋１又は−１を得るためにｒ²／ａ（ｍｏｄ ｐ）の２^t-2乗を取ろう。該結果が＋１である場合には該新しい近似はｒのままとなり、それ以外の場合は、ｐが域ＣＧ（ｐ）内の１の任意のプリミティブな２^t番目のルートを参照することを知っているので、該結果が−１である場合それはｂ×ｒ（ｍｏｄ ｐ）になる。したがって、鍵＜２^t-2，ｐ＞は該新しい近似を１に変換する。それは、該鍵＜２^t-3，ｐ＞を使用することによって、及び必要な場合にはｂ２（ｍｏｄ ｐ）で乗算することによって等で、依然として近づいてよい。

以下のアルゴリズムが該方程式を解く。それは、前記に定義されたような数ａ、ｂ、ｐ、ｒ及びｔ、及び２つの変数を使用する。ｃは該連続補正を表し、ｗは該連続近似を表す。該アルゴリズムの最初では、ｃ＝ｂ及びｗ＝ｒである。該計算の最後では、該２つの解はｗとｐ−ｗである。

ｔ−２から１までのｉの場合、以下のシーケンスを繰り返す。
−＋１又は−１を得るために、鍵＜２^t，ｐ＞を数ｗ³／ａ（ｍｏｄ ｐ）に適用する。
−−１が得られると、ｗをｗ×ｃ（ｍｏｄ ｐ）で置き換える。
−ｃをｃ２（ｍｏｄ ｐ）で置き換える。

原則の適用性−定義によって、私たちは、パラメータｋ、ベース数ｇ及び素因数ｐが、指数ｖが２^kである方程式ｘ^v≡ｇ²（ｍｏｄ ｐ）が該域ＣＧ（ｐ）のｘについて解を有するときに矛盾しないという。数ｋとｇは小さく、１より大きい。数ｐは大きい素数である。
−ｔ＝１、つまりｐ≡３（ｍｏｄ ４）であるとき、該方程式は２つの解を有する。
−ｔ＝２、つまりｐ≡５（ｍｏｄ ８）であるとき、ｐに関してｇのルジャンドル記号に従って、該方程式は（ｇ｜ｐ）＝＋１である場合、４つの解を有し、（ｇ｜ｐ）＝−１である場合は、解を有さない。
−ｔ＞２、つまりｐ≡１（ｍｏｄ ８）であるとき、ｕを、２^uが公開数Ｇ＝ｇ²の階数をｐに関して除算するが、２^u+1がそれを除算しないような該数にしよう。したがってｕは０からｔ−１の数の内の１つに等しい。該方程式はｕ＞０及びｋ＋ｕ＞ｔの場合、解を有さない。それはｋ＋ｕ≦ｔの場合２^kの解を有する。ｕ＝０及びｋ＞ｔの場合はそれは２^tの解を有する。

したがって、Ｇがサイクル内にあるのか、又はそれ以外の場合枝の適切な位置にあるのかに従って、２つのタイプの適合性がある、
−Ｇがサイクル内にある、つまりｕ＝０であるとき、ｋの該値に関係なく、該サイクルの中に奇数階数の解、及び該サイクルに関連付けられたα＝最小（ｋ，ｔ）連続枝で広められる偶数階数の解、つまりすべての中に２αの解がある。図２Ａは、ｕ＝０を課す、ｋ≧ｔ＝３、つまり９（ｍｏｄ １６）と合同である素因数のこのケースを描いている。
−Ｇが枝の適切な位置にあるとき、つまりｕ＞０及びｕ＋ｋ≦ｔのとき、すべて偶数階数の２^kの解が枝の中にある。図２Ｂがこのケースを描いている。

したがって、パラメータｋを考えると、ｔの該値がｋより少ないか、あるいはそれ以外の場合ｋより大きい又はｋに等しいかに従って、２つのタイプの素因数がある。
−ｔ＜ｋのような任意の素因数ｐ_jの場合、各Ｇ_iはサイクル内になければならず、Ｇ_iに関連付けられた枝に解はない。ｇ_iがサイクル内にあるのか、あるいは−ｇ_iがサイクル内にあるのかに従って、＋１又は−１である数Δ_i,jを定義しよう。ｍ個の数Δ_1,jからΔ_m,jのどれにも選択肢はない。図３Ａは、ｔ＜ｋのケースを描いている。つまりＧ_iは、素因数ｐ_jが９（ｍｏｄ １６）と合同であるサイクル内にある。つまりｋ＞３の場合にｕ＝０、ｔ＝３。
−ｔ≧ｋとなるような任意の素因数ｐ_jの場合、各Ｇ_iはｕ＋ｋ≦ｔ、つまり、ｕ＝０のサイクル内にあるか、あるいはそれ以外の場合１≦ｕ≦ｔ−ｋの枝の適切な位置にあるかのいずれかでなければならない。Ｑ_i,jがｇ_iに又は−ｇ_iに関連付けられた該グラフの該部分にあるかどうかに従って、＋１又は−１となる数Δ_i,jを定義しよう。ｍ個の数Δ_1,jからΔ_m,jのそれぞれに選択肢がある。つまり、各数Δ_1,jは個々に一方の値から他方の値に切り替えられてよい。図３Ｂは、ｔ≧ｋのときのケースを描いている。つまりＧ_iは、素因数ｐ_jが１７（ｍｏｄ ３２）と合同である枝の中にある。つまりｋ＝３の場合にｕ＝１、ｔ＝４。

ｆ個の成分｛Δ_i,j．．．Δ_i,f｝の各集合はＣＧ（ｐ_j）において個体の平方根である。このルートは、あるいは該ｆ個の成分が等しいかどうかに従ってトリビアルである、又はトリビアルではない。その結果、該数ｑ_iがトリビアルであるか、又はトリビアルではないかのいずれかであるという事実を表す、ｆ個の成分の該集合が一定である、又は可変であるという。したがって、数ｑ_iがノントリビアルであるとき、ｆ個の成分｛Δ_i,j．．．Δ_i,f｝の該集合は該モジュールの因数分解を要約する。したがって、該秘密成分Ｑ_i,jを計算する前に該原則を試すことが可能である。
−公開数Ｇ_iが素因数ｐ_jのためのサイクル内にあるとき、該数Δ_1,jは、ｇ_iがサイクル内にあるのか、それとも−ｇ_iがサイクル内にあるのかに従って、＋１又は−１である。ｐ_j≡３（ｍｏｄ ４）であるとき、これはルジャンドルの記号、Δ_i,j＝（ｇ_i｜ｐ_j）である。
−公開数Ｇ_iが素因数ｐ_jのための枝の適切な位置にあるとき、Δ_i,jに与えられる該値は該秘密成分Ｑ_iを計算することによって決定されてよい。

鍵の集合の生成−パラメータｋを考慮すると、以下の２つの戦略がある。
−該生成元は、ｍ個のベース数を決定するためにｆ個の素因数を必要とする。該第1の素数２、３、５、７、．．．は、該ｆ個の大きな素因数ｐ₁からｐ_fのそれぞれとのそれらの適合性を評価するために調べられる。ｇ＝２はｐ≡５（ｍｏｄ ８）と適合しないが、２はベース数の構成に入ってよい。つまり、２つの数が枝の類似する位置にあるとき、それらの積は、まさに平方が該円をより密接にするため、さらに円に近くなる。ベース数はそれによって、個々には適切ではない該数を構成することによって得られてよい。
−あるいは、該生成元は、ｆ≧２個の素因数を決定するために、ビットサイズ（例えば、５１２、７６８、１０２４、１５３６，２０４８）及び強力な重みのある１まで連続するビットの数（例えば、１、８、１６、２４、３２）のように、ｍ個のベース数及び該モジュールの特性を必要とする。Ｇ₁、Ｇ₂，．．．Ｇ_mとして留意され、該ベース数は一般的には第１の素数、２、３、５、７、１１．．．の中に出現する、あるいはそれ以外の場合これらは該第１の素数の組み合わせである。特に別に示されないならば、これらは第１のｍ個の素数、Ｇ₁＝２、Ｇ₂＝３、Ｇ₃＝５、Ｇ₄＝７，．．．である。ｐ≡５（ｍｏｄ ８）がｇ＝２と適合しないことに留意しよう。モジュールｎは、密接なサイズ、つまりｆで除算される該モジュールに割り当てられる該サイズとのｆ個の素因数の積になる。

第１の原則−該パラメータｋ、ｐ₁からｐ_fの各素因数、及びｇ₁からｇ_mの各ベース数ｇは適合できなければならない。２^h+1はそれを除算しないのに対して、２^h等の数ｈがｇの該階数を、ｐに関して除算することを定義しよう。該数ｈを計算するために、以下の手順はルジャンドルの記号（ｇ｜ｐ）、及び数ｂ、つまりＣＧ（ｐ）の中の個体のプリミティブな２^t番目のルートを使用する。
−ｔ＝１で（ｇ｜ｐ）＝＋１の場合、「ｈ＝０」を返す。
−ｔ＞１で（ｇ｜ｐ）＝＋１の場合、ｗと呼ばれる結果を得るために該鍵＜（ｐ−１＋２^t）／２^t+1，ｐ＞をＧに適用する。
−ｗ＝＋ｇの場合、「ｈ＝０」を返す。
−ｗ＝ｐ−ｇの場合、「ｈ＝１」を返す。
−それ以外の場合、ｃをｂに設定し、ｉの場合ｔ−１から２に設定する。
−±１を得るために、鍵＜２ⁱ，ｐ＞をｗ／ｇ（ｍｏｄ ｐ）に適用する。
−−１の場合、ｈをｉに設定し、ｗをｗ×ｃ（ｍｏｄ ｐ）に置き換える。
−ｃをｃ２（ｍｏｄ ｐ）で置き換える。
−「２からｔ−１へのｈの値」を返す。
−（ｇ｜ｐ）＝−１の場合、「ｈ＝１」を返す。

ｋ＋ｕ＞ｔでｕ＞０のときにｋ、ｇ及びｐが適合しないことを思い出そう。それらはｋの該値に関係なくｈ＝０又は１のときに、及び等しくｋ＋ｈ≦ｔ＋１でｋ＞１のときに適合する。

第２の原則−以下の３つの手順は第２の原則のさまざまな実現例に対応する。特定の実現例では、該第２の原則は、各数ｑ₁からｑ_mがトリビアルではないことを必要とする点まで強化されてよい。その結果、該ベース数の役割は安定している。つまり、該第２の原則を釣り合わせる、あるいは釣り合わせないことには、該方式の該セキュリティの該立証の特定の態様という効果がある。最後にｆ＞２の区別できる素因数があるとき、ｍ個の数｛ｑ₁．．．ｑ_m｝の中ではｆ−１個の独立した数の少なくとも１つの部分集合があることが必要とされることがある。

該３つの手順は、以下のように定義されるｍ×ｆの数δ_i,jを使用する。
−ｐ_jがｔ＜ｋであるとき、ｉが１からｍの場合、δ_i,j＝Δ_i,j、つまり、ｈ_i,j＝０の場合、＋１、ｈ_i,j＝１の場合、−１である。
−ｐ_jがｔ≧ｋであるとき、ｉが１からｍの場合、δ_i,j＝０であり、つまりΔ_i,jからΔ_m,jは、該第２の原則に従って選択されてよい。

第１の手順は、少なくとも１つの集合｛δ_i,1．．．δ_i,f｝が可変又はゼロである、つまり少なくとも１つの数ｑ_iからｑ_mがトリビアルではない、又はノントリビアルとして選ばれてよいことを確認する。

−１からｍのｉ及び１からｆのｊの場合、
−δ_i,1＝０又は≠δ_i,jの場合、「成功」を返す。
−「失敗」を返す。

第２の手順は、各集合｛δ_i,1．．．δ_i,f｝が可変又はゼロである、つまり各数ｑ_lからｑ_mがトリビアルではない、又はノントリビアルとして選択されてよいことを確認する。
−１からｍのｉの場合、
−１からｆのｊの場合、
−δ_i,j＝０又は≠δ_i,lの場合、ｉの次の値まで省略する、
−「失敗」を返す。
−「成功」を返す。

第３の手順は、１≦ｊ₁≦ｊ₂≦ｆである素因数ｐ_j1とｐ_j2の各組において、δ_l,j1がゼロである、又はδ_i,j2とは異なる、少なくとも１つの集合｛δ_i,1．．．δ_i,f｝があることを確認する。それはｍがｆ−１より小さいときには明らかに失敗する。それが成功するとき、ｍ個の数ｑ_lからｑ_mの中に、該ｆ個の素因数に関して独立したｆ−１個の数の少なくとも１つの集合がある。
−１からｆ−１のｊ₁の場合、及びｊ₁₊₁からｆのｊ₂の場合
−１からｍのｉの場合、
−δ_l,j1＝０又は≠δ_i,j2の場合、ｊ₁及びｊ₂の次の値まで省略する、
−「失敗」を返す。
−「成功」を返す。

手順が失敗すると、ＧＱ２鍵集合の該生成元は以下の２つの考えられる戦略から選ばれるその戦略に従う。
−該ｆ個の素因数を保ちながら、該ｍ個のベース数の１つを変更する、
−該ｍ個のベース数を保ちながら、該ｆ個の素因数の１つを変更する。

第３の原則−以下の手順は、生成中の又はすでに生成されたかのいずれかの一般化されたＧＱ２鍵の集合が、
−基本的なＧＱ２鍵の集合である、つまり２×ｍ個の数±ｇ_lから±ｇ_mがすべて非平方剰余であるものか、
−あるいはそれ以外の場合、補完的なＧＱ２鍵の集合である、つまり２×ｍ個の数±ｇ_lから±ｇ_mの中で、少なくとも１つの平方剰余がある
のどちらであるかを判断する。

該手順は、１からｍのｉ及び１からｆのｊの場合、両方のルジャンドルの記号（ｇ_i｜ｐ_j）と（−ｇ_i｜ｐ_j）を使用する。
−１からｍのｉの場合
−１からｆのｊの場合
−（ｇ_i｜ｐ_j）＝−１の場合、ｉの次の値まで省略する。
−「補完的なＧＱ２鍵の集合」を返す。
−１からｆのｊの場合
−（ｇ_i｜ｐ_j）＝−１の場合、ｉの次の値まで省略する。
−「補完的なＧＱ２鍵の集合」を返す。
−「基本的なＧＱ２鍵の集合」を返す。

秘密成分−直接タイプの方程式：ｘ^V≡ｇ_i ²（ｍｏｄ ｐ_j）の場合、以下の計算が該秘密成分Ｑ_i,jのすべての考えられる値を立証する。該２つの最も簡略且つ最新のケース、つまりｔ＝１及びｔ＝２の後には、より複雑なケース、つまりｔ＞２が続く。
ｔ＝１、つまりｐ_j≡３（ｍｏｄ ４）の場合、該鍵＜（ｐ_j＋１）／４，ｐ_j＞はＣＧ（ｐ_j）の中の任意の平方剰余の二次平方根を提供する。このことから、以下の数が導出され、
ｓ_j≡（（ｐ_j＋１）／４）^k（ｍｏｄ （ｐ_j−１）／２）、それはＧ_iをｗ≡Ｇ_i ^sj（ｍｏｄ ｐ_j）に変換する鍵＜ｓ_j，ｐ_j＞を与える。Ｑ_i,jはｗ又はｐ_j−ｗに等しい。
ｔ＝２、つまりｐ_j≡５（ｍｏｄ ８）の場合、該鍵＜（ｐ_j＋３）／８，ｐ_j＞は、ＣＧ（ｐ_j）の中の奇数階数の任意の要素のための奇数階数の該平方根を提供する。このことから、以下の数が引き出され、ｓ_j≡（（ｐ_j＋３）／８）^k（ｍｏｄ （ｐ_j−１）／４）、それはＧ_iをｗ≡Ｇ_i ^sj（ｍｏｄ ｐ_j）に変換する鍵＜ｓ_j，ｐ_j＞を与える。２がＣＧ（ｐ_j）の非平方剰余であるため、ｚ≡２^(pj-1)/4（ｍｏｄ ｐ_j）が−１の平方根であることに留意しよう。Ｑ_ijは、ｗ又はｐ_j−ｗに等しい、あるいはそれ以外の場合、（ｐ_jを法として）ｗ’≡ｗ×ｚ又はｐ_j−ｗ^tに等しい。
ｔ＞２でｐ_j≡２^t＋１（ｍｏｄ ２^t+1）の場合、鍵＜（ｐ_j−１＋２^t）／２^t+1，ｐ_j＞は、奇数階数の任意の要素の奇数階数の該平方根を提供する。ｋ、ｇ、及びｐ間の適合性試験は、ｈの該値、つまりｕの次の値を示していた。
−Ｇ_iがサイクル内（ｋの該値に関係なくｕ＝０）にあるとき、以下の数
ｓ_j≡（（ｐ_j−１＋２^t）／２^t+1）^k（ｍｏｄ （ｐ_j−１）／２^t）が立証される。鍵＜ｓ_j，ｐ_j＞がＧ_iを奇数階数ｗ≡Ｇ_i ^sj（ｍｏｄ ｐ_j）の解に変換する。例えば、α本の枝の中等の、該サイクルに関連付けられている最小（ｋ，ｔ）連続枝で分散される偶数階数の解がある。Ｑ_i,jは、ＣＧ（ｐ_j）の中の個体の２α番目のルートのいずれかによるｗの積に等しい。
−Ｇ_jが枝の中の適切な位置（ｕ＞０、ｕ＋ｋ≦ｔ）にあるとき、すべての解はＧ_jと同じ枝、つまり該数Ｇ_iの２^u乗によりサイクルに関連付けられる枝にある。数は
ｓ_j≡（（ｐ_j−１＋２^t）／２^t+1）^k+u（ｍｏｄ （ｐ_j−１）／２^t）
として確立される。

鍵＜ｓ_j，ｐ_j＞は、Ｇ_iの２^u乗を奇数階数ｗの数に変換する。ＣＧ（ｐ_j）内の個体の該プリミティブな２^k+u乗のルートとのｗの積の集合は、Ｑ_i,jの２^kの値を備える。

ｐ_jがｔ≧ｋであるとき、数ｂ_jはＣＧ（ｐ_j）内の個体の該プリミティブな２^t乗のルートであるので、ＣＧ（ｐ_j）内のｂ_jの該プリミティブな２^t-u乗が存在する。これは個体のプリミティブな２^k乗のルートである。数Δ_i,jの該値は、Ｑ_i,jを個体のプリミティブな２^k乗のルートで乗算することにより切り替えられてよい。

逆数タイプの方程式：１≡ｘ^V×ｇ_i ²（ｍｏｄ ｐ_j）の場合、ＣＧ（ｐ_j）の中のＱ_i,jの値を反転させることに相当する、該鍵＜ｓ_j，ｐ_j＞の中の（（ｐ_j−１）／２^t）−ｓ_jで数ｓ_jを置換することで十分である。

５（ｍｏｄ ８）と合同である２つの素因数のある鍵の集合の例

ここでは、本当に最初の素数のルジャンドル記号がある。

ＣＧ（ｐ_j）では、該階数は−５、−１１及び１７の場合、奇数である。

ＣＧ（ｐ₂）では、該階数は３、−５、７及び１１の場合、奇数である。

カーマイケルの関数は以下の通りである。

ｋ＝９では、該数σ≡λ（ｎ）−（（１＋λ（ｎ））／２）⁹（ｍｏｄ λ（ｎ））は、該逆数タイプの該一般方程式を使用するために秘密指数として使用される。

数２、３、７、１３及び１７はベース数として適切ではない。

鍵＜σ，ｎ＞はｇ₁＝５を、因数分解を示さない秘密数Ｑ₁に変換する。つまり、両方の域では、−５がサイクル上にある。

鍵＜σ，ｎ＞はｇ₂＝１１を、因数分解を示す秘密数Ｑ₂に変換する。つまり、１１は両方の域で同じ位置にない。

鍵＜σ，ｎ＞はｇ₃＝２１＝３×７を、因数分解を示す秘密数Ｑ₃に変換する。

鍵＜σ，ｎ＞はｇ₄＝２６＝２×１３を、因数分解を示す秘密数Ｑ₄に変換する。

該秘密鍵は、両方の素因数、該チャイニーズ剰余の該パラメータ及び８つの秘密成分によってさらに表されてよい。

該秘密鍵ＧＱ２の多様性−該秘密鍵ＧＱ２の考えられるさまざまな表示は同等であることが判明している。つまり、それらはすべて、実際のＧＫ２秘密鍵である、モジュールｎの因数分解を知っていることに相当する。ＧＱ２秘密鍵の該表示は、該管理側エンティティの中ではなく、該証明側エンティティの中の該計算の進行に影響を及ぼす。ここでは、該ＧＱ２秘密鍵について考えられる以下の３つの主要な表示がある。１）ＧＱ秘密鍵の従来の表示は、ｍ個の秘密数Ｑ_i及び該公開チェック鍵＜ｖ，ｎ＞を記憶することにあり、ＧＱ２方式の場合、この表示は以下の２つと競合している。２）作業負荷に関して最適の表示は、該パラメータｋ、該ｆ個の素因数ｐ_j、該ｍ×ｆ個の秘密成分Ｑ_i,j及び該チャイニーズ剰余の該ｆ−１個のパラメータを記憶することにある。３）秘密鍵サイズに関して最適の表示は、該パラメータｋ、該ｍ個のベース数ｇ_i及び該ｆ個の素因数ｐ_jを記憶すること、及び次にｍ個の秘密数Ｑ_iと該モジュールｎのいずれかを、それが該第１の表示に相当するように、あるいはｍ×ｆ個の秘密成分Ｑ_i,j及び該チャイニーズ剰余の該ｆ−１個のパラメータを、それが該第２の表示に相当するように立証することによって、各使用を開始することにある。

該動的認証機構の、あるいは該デジタルシグナチャのセキュリティは該ＧＱ２方式で該モジュールの因数分解を知っていることに同等であるため、該同じモジュールを単に使用して２つのエンティティを区別することはできない。一般的には、各証明エンティティは独自のＧＱ２モジュールを有する。しかしながら、４つの素因数のあるＧＱ２モジュールが指定されてよく、その内の２つはエンティティに公知であり、他方の２つの別のエンティティは別のエンティティに公知である。

動的認証−動的認証機構は、コントローラと呼ばれるエンティティに対して、考えられる関連メッセージＭの真正性だけではなく、証明者と呼ばれる別のエンティティの真正性を証明し、その結果該コントローラが、それが実際に該証明者と対応している旨、及び任意選択としてそれ自体及び該証明者が該同じメッセージＭについて話をしていることを確認するためである。該関連メッセージＭはオプションであり、それが空であってよいことを意味する。

該動的認証機構は以下の４つの行為、つまり、関与行為、チャレンジ行為、応答行為、及びチェック行為のシーケンスである。該証明者は該関与行為と応答行為を行う。該コントローラは該チャレンジ行為とチェック行為を行う。

該証明者の中で、該証明者の最も敏感なパラメータ及び関数、つまりコミットメント及び応答の生成を隔離するために、証人は隔離されてよい。該証人は該パラメータｋと該ＧＱ２秘密鍵、つまり前述された該３つの表示、つまり・該ｆ個の素因数と該ｍ個のベース数、・該ｍ×ｆ個の秘密成分、該ｆ個の素因数及び該チャイニーズ剰余の該ｆ−１個のパラメータ、・該ｍ個の秘密数及び該モジュールｎの内の１つによる、モジュールｎの因数分解を有する。

該証人はある特定の実施形態、例えば、・該証明者をともに形成するＰＣに接続されているチップカード、又は・ＰＣ内で特に保護されているプログラムにも、あるいは・チップカード内で特に保護されているプログラムにも対応してよい。該それによって隔離された証人は、以後、該署名エンティティの中で定められる該証人に類似している。該機構の実行のたびに、該証人は１つ又は複数のコミットメントＲを、次に多くのチャレンジｄと同じくらい多くの応答Ｄを生成する。各集合｛Ｒ、ｄ、Ｄ｝がＧＱ２トリプレットを形成する。

該証人を備えるそれに加えて、該証明者は、必要な場合、ハッシュ関数及びメッセージＭも有する。

該コントローラは、該モジュールｎを例えば公開鍵のディレクトリから、あるいは公開鍵の証明書からも有する。必要な場合、それは同じハッシュ関数及びメッセージＭ’も有する。ＧＱ２公開パラメータ、つまり数ｋ、ｍ及びｇ₁からｇ_mは、該証明者によって該コントローラに与えられてよい。該コントローラは任意のチャレンジｄから、及び任意の応答ＤからコミットメントＲ’を再構築することができる。パラメータｋとｍは該コントローラに知らせる。特に別に示されないならば、ｇ₁からｇ_mの該ｍ個のベース数は第１のｍ個の素数である。各チャレンジｄは、ｄ₁からｄ_mに参照されるｍ個の基本的なチャレンジを含まなければならない。つまりベース数あたり１個である。ｄ₁からｄ_mの各基本的なチャレンジは数０から２^k-1−１である（ｖ／２からｖ−１までの数は使用されない）。通常、各チャレンジはｍ×（ｋ−１）ビットでコーディングされる（ｍ×ｋビットではない）。例えば、ｋ＝５及びｍ＝４のベース数、５、１１、２１及び２６では、各チャレンジは４つのカルテットで送信される１６ビットを含む。該考えられる（ｋ−１）×ｍのチャレンジが等しくあり得るときには、該数（ｋ−１）×ｍは、各ＧＱ２トリプレットによってもたらされる該セキュリティを決定する。つまり、定義によって該モジュールｎの因数分解を知らない詐欺師（ｉｍｐｏｓｔｏｒ）は、正確には２^(k-1)×^mの内、１回の成功の確率を有している。（ｋ−１）×ｍが１５から２０であるとき、１つのトリプレットは動的認証を妥当に保証するために十分である。任意のレベルのセキュリティを達成するために、トリプレットは並列で生成されてよい。それらはシーケンスでも生成されてよい。つまり該機構の該実行を繰り返してよい。

１）コミットメントの行為は以下の動作を備える。
該証人が該チャイニーズ剰余を使用しないとき、それは該パラメータｋ、Ｑ₁からＱ_mの該ｍ個の秘密数、及びモジュールｎを有する。それは無作為に且つ非公開で１つ又は複数の乱数ｒ（０＜ｒ＜ｎ）を選び、次にそれらをｋ回、連続して二乗する（mod n）ことによって、それは各乱数ｒをコミットメントＲに変換する。

ここには、該チャイニーズ剰余を使用しない鍵の従前の集合の例がある。

該証人が該チャイニーズ剰余を使用するとき、それは該パラメータｋ、ｐ_lからｐ_fの該第１のｆ個の素因数、チャイニーズ剰余のｆ−１個のパラメータ、及びｍ×ｆ個の秘密成分Ｑ_i,jを有する。それは無作為に且つ非公開でｆ個の乱数の１つ又は複数の集合体を選ぶ。各集合体は素因数ｐ_iごとに１個の乱数ｒ_iを含む（０＜ｒ_i＜ｐ_i）。そして次にそれをｋ回連続して二乗する（ｍｏｄ ｐ_i）ことによって、それは各乱数ｒ_iをコミットメント成分Ｒ_iに変換する。

ｆ個のコミットメント成分の各集合体の場合、該証人は該チャイニーズ剰余技法に従ってコミットメントを確立する。乱数集合体があるのと同じくらい多くのコミットメントがある。

ここに鍵の該従前の集合及び該チャイニーズ剰余のある例がある。

両方のケースでは、該証明者は該コントローラに対して、各コミットメントＲのすべて又は部分のいずれか、あるいはそれ以外の場合各コミットメントＲとメッセージＭをハッシュすることにより取得されるハッシュコードＨを送信する。

２）チャレンジの行為は、それぞれがｍ個の基本的なチャレンジｄ₁，ｄ₂，．．．ｄ_mからなる１つ又は複数のチャレンジｄを無作為に選ぶことにある。各基本的なチャレンジｄ₁は０からｖ／２−１の該数の１つである。
ｄ＝ｄ₁，ｄ₂，．．．ｄ_m

ここに、両方の例、つまりｋ＝５及びｍ＝４のためのチャレンジがある。

該コントローラは各チャレンジｄを該証明者に送信する。

３）応答の行為は以下の動作を含む。

該証人がチャイニーズ剰余を使用しないとき、それは該パラメータｋ、Ｑ₁からＱ_mの該ｍ個の秘密数、及び該モジュールｎを有する。それは、該コミットメント行為からの各乱数ｒ、及び該基本的なチャレンジによる該秘密数を使用することによって、１つ又は複数の応答Ｄを計算する。

ここに、該チャイニーズ剰余を使用しない該例の続きがある。

該証人がチャイニーズ剰余を使用するとき、それは該パラメータｋ、ｐ_lからｐ_fのｆ個の素因数、該ｆ−１個のチャイニーズ剰余パラメータ及びｍ×ｆ個の秘密成分Ｑ_i,jを有する。それは、該コミットメント行為からの乱数の各集合体を使用することによって、ｆ個の応答成分の１つ又は複数の集合体を計算する。応答成分の各集合体は素因数あたり１つの成分を含む。

応答成分の集合体ごとに、該証人は該チャイニーズ剰余技法に従って応答を確立する。チャレンジがあるのと同じくらい多くの応答がある。

ここに該チャイニーズ剰余を使用しない該例の続きがある。

両方のケースで、該証明者は各応答Ｄを該コントローラに送信する。

４）チェックする行為は、各トリプレット｛Ｒ，ｄ，Ｄ｝が、ゼロ以外の値について以下のタイプの方程式を満たすことをチェックすること、

又はそれ以外の場合

あるいは、各コミットメントを復元することにある。それらのどれもゼロであってはならない。

又はそれ以外の場合

任意選択として、該コントローラは次に、各復元されたコミットメントＲ’と該メッセージＭ’をハッシュすることによってハッシュコードＨ’を計算する。したがって該コントローラが、それが該コミットメント行為の最後に受信したもの、つまり各コミットメントＲのすべて又は部分、つまりハッシュコードＨを取り出すと、動的認証は成功である。

例えば、基本的な動作のシーケンスは応答ＤをコミットメントＲ’に変換する。該シーケンスは、ベース数でのｋ−１回の除算又は乗算（mod n）によって分離されるｋ個の二乗（mod n）を備える。ｉ番目の二乗と該ｉ＋１番目の二乗の間に実行されるｉ番目の除算又は乗算の場合、該基本的なチャレンジｄ₁のｉ番目のビットは、ｇ_iが使用されなければならないかどうかを示し、該基本的なチャレンジｄ₂のｉ番目のビットはｇ₂が使用されなければならないかどうかを、・・・ｇ_mが使用されなければならないかどうかを示す該基本的なｄ_mのｉ番目のビットまで示す。

ここに、該チャイニーズ剰余を使用しない該最後の例がある。

ｎを法として二乗する。

５×２６＝１３０、つまりｎを法として「８２」。

ｎを法として二乗する。

２１で、つまりｎを法として「１５」で乗算する。

ｎを法として二乗する。

５×１１×２１＝１１５５、つまりｎを法として「４８３」。

ｎを法として二乗する。

５×１１×２６＝１４３０、つまりｎを法として「５９６」。

ｎを法として二乗する。

該コミットメントｒが取り出される。認証が成功する。

ここに該チャイニーズ剰余を使用する最後の例がある。

ｎを法として二乗する。

５×２６＝１３０、つまりｎを法として「８２」。

ｎを法として二乗する。

２１で乗算する。つまりｎを法として「１５」。

ｎを法として二乗する。

５×１１×２１＝１１５５、つまりｎを法として「４８３」。

ｎを法として二乗する。

５×１１×２６＝１４３０、つまりｎを法として「５９６」。

ｎを法として二乗する。

該コミットメントｒは正しく取り出される。認証は成功する。

デジタルシグナチャ
該デジタル署名機構により、署名エンティティと呼ばれるエンティティは署名済みメッセージを生成し、コントローラと呼ばれるエンティティは署名済みメッセージを確認できる。メッセージＭは任意の２進数列である。それは空であることができる。該メッセージＭは、該対応する応答だけではなく、１つ又は複数のコミットメント、及び／又はチャレンジも備えるシグナチャ付加物をそれに加えることによって署名される。

該コントローラは、例えば、公開鍵のディレクトリから、又は公開鍵の証明書からも該モジュールｎを有する。また、それは該同じハッシュ関数も有する。該ＧＱ２公開パラメータ、つまり数ｋ、ｍ及びｇ₁からｇ_mは、例えばそれらを該シグナチャ付加物に入れることによって該証明者によって該コントローラに与えられることができる。

数ｋとｍは該コントローラに知らせる。一方、ｄ₁からｄ_mの各基本的なチャレンジは数０から２^k-1−１である（数ｖ／２からｖ−１は使用されない）。他方、各チャレンジｄは、ｄ₁からｄ_mにおいて参照されるベース数ほど多くのｍ個の基本的なチャレンジを含まなければならない。さらに特に別に示されない限り、ｇ₁からｇ_mの該ｍ個のベース数は該第１のｍ個の素数である。（ｋ−１）×ｍが１５から２０であると、並列に生成される４つのＧＱ２トリプレットで署名することが可能である。（ｋ−１）×ｍが６０以上の場合、１つのＧＱ２トリプレットだけで署名することが可能である。例えば、ｋ＝９及びｍ＝８では、ただ１つのＧＱ２トリプレットで十分である。各チャレンジは８バイトを含み、該ベース数は２、３、５、７、１１、１３、１７及び１９である。

該署名動作は、３つの行為、つまりコミットメント行為、チャレンジ行為、及び応答行為のシーケンスである。各行為は、それぞれがコミットメントｒ（≠０）、ｄ₁，ｄ₂，．．．ｄ_mによって参照されるｍ個の基本的なチャレンジからなるチャレンジｄ、及び応答Ｄ（≠０）を備える、１つ又は複数のＧＱ２トリプレットを生成する。

該署名エンティティはハッシュ関数、パラメータｋ、及びＧＱ２秘密鍵、つまり前述された該３つの表示の内の１つによる該モジュールｎの該因数分解を有する。該署名エンティティの中では、該証明者の最も敏感な関数及びパラメータを隔離するために該コミットメント行為と応答行為を実行する証人を隔離することが可能である。コミットメント及び応答を計算するために、該証人は該パラメータｋ及びＧＱ２秘密鍵、つまり前述された該３つの表示の内の１つによる該モジュールｎの該因数分解を有する。該それによって隔離された証人は該証明者の中で定められる該証人に類似している。それはある特定の実施形態に、例えば、・ともに該署名エンティティを形成するＰＣに接続されているチップカードに、又は・ＰＣ内で特に保護されているプログラムにも、又は・チップカード内で特に保護されているプログラムにも相当することができる。

１）コミットメントの行為は以下の動作を備える。
該証人が該ｍ個の秘密数Ｑ₁からＱ_m及び該モジュールｎを有するとき、それは無作為に且つ非公開で１つ又は複数の乱数ｒ（０＜ｒ＜ｎ）を選び、次にｋ回の連続二乗（mod n）によって、それは各乱数ｒをコミットメントＲに変換する。

該証人がｐ_lからｐ_fのｆ個の素因数及びｍ×ｆ個の秘密成分Ｑ_l,jを有するとき、それは無作為に且つ非公開でｆ個の乱数の１つ又は複数の集合体を選ぶ。各集合体は素因数ｐ_iごとに１個の乱数ｒ_iを含む（０＜ｒ_i＜ｐ_l）。そして次にｋ回連続の二乗（ｍｏｄ ｐ_i）によって、それは各乱数ｒ_iをコミットメント成分Ｒ_iに変換する。

ｆ個のコミットメント成分の各集合体の場合、該証人は該チャイニーズ剰余技法に従ってコミットメントを確立する。乱数集合体があるのと同じくらい多くのコミットメントがある。

２）チャレンジの行為は、該署名エンティティが、それぞれがｍ個の基本的なチャレンジを備える１つ又は複数のチャレンジを形成するハッシュコードを取得するために、すべてのコミットメントｒ及び署名されなければならない該メッセージｍをハッシュすることにある。各基本的なチャレンジは０からｖ／２−１の数である。例えば、ｋ＝９及びｍ＝８の場合、各チャレンジは８バイトを含む。コミットメントと同じくらい多くのチャレンジがある。ハッシュ（Ｍ，Ｒ）結果から抽出される、ｄ＝ｄ₁，ｄ₂，．．．ｄ_m

３）応答の行為は以下の動作を含む。
該証人が該ｍ個の秘密数Ｑ₁からＱ_m、及び該モジュールｎを有するとき、それは、該コミットメント行為の各乱数ｒ、及び該基本的なチャレンジによる該秘密数を使用することによって１つ又は複数の応答Ｄを計算する。

該証人がｐ_lからｐ_fのｆ個の素因数及びｍ×ｆ個の素数成分Ｑ_i,jを有するとき、それは該コミットメント行為からの乱数の各集合体を使用することによって、ｆ個の応答成分の１つ又は複数の集合体を計算する。応答成分の各集合体は素因数あたり１つの成分を含む。

応答成分の集合体ごとに、該証人は該チャイニーズチャイニーズ剰余技法による応答を確立する。チャレンジと同じくらい多くの応答がある。

該署名エンティティは、
−各ＧＱ２トリプレット、つまり各コミットメントＲ、各チャレンジｄ、及び各応答Ｄ、
−又は各コミットメントＲと各対応する応答Ｄ、
−各チャレンジｄ及び各対応する応答Ｄ
のいずれかを備える、シグナチャ付加物を追加することによって該メッセージＭに署名する。

該検証動作の実行は、該シグナチャ付加物の該コンテンツに依存する。３つのケースが区別される。

該付加物が１つ又は複数のトリプレットを備えるならば、該チェック動作は出来事が起こった順序が無関係である２つの独立したプロセスを含む。該コントローラは、両方の以下の条件が満たされるとき且つそのときに限り該署名済みメッセージを受け入れる。

第１に、各トリプレットは一貫して（以下のタイプの適切な関係が検証されなければならない）、受け入れ可能でなければならない（該比較はゼロ以外の値で行われなければならない）。

あるいは別に

例えば、該応答Ｄは、基本的な動作のシーケンス、つまりベース数でのｋ−１回の乗算動作（mod n）又は除算動作によって分離されるｋ個の二乗（mod n）によって変換される。ｉ番目の二乗とｉ＋１番目の二乗の間に実行されるｉ番目の乗算又は除算の場合、該基本的なチャレンジｄ₁のｉ番目のビットはｇ₁を使用することが必要かどうかを示し、該基本的なチャレンジｄ₂のｉ番目のビットはｇ₂を使用することが必要かどうかを、．．．ｇ_mを使用することが必要であることを示す、該基本的なチャレンジｄ_mのｉ番目のビットまで示す。したがって、該シグナチャ付加物に存在する各コミットメントＲを取り出すことが必要である。

さらに、該１つ又は複数のトリプレットは該メッセージＭに結び付けられなければならない。すべての該コミットメントＲ及び該メッセージＭをハッシュすることによって、各チャレンジｄがその中から回復されなければならないハッシュコードが取得される。
ｄ＝ｄ₁，ｄ₂，．．．ｄ_m、該結果ハッシュ（Ｍ，Ｒ）から抽出されるものに同一。

該付加物がチャレンジを有さない場合、該チェック動作はすべてのコミットメントＲ及び該メッセージＭをハッシュすることによって、１つ又は複数のチャレンジｄ’の該再構成を開始する。
ｄ＝ｄ’₁，ｄ’₂，．．．ｄ’_m、該結果ハッシュ（Ｍ，Ｒ）から抽出される。

次に、該コントローラは、各トリプレットが一貫して（以下のタイプの適切な関係が検証される）、受け入れ可能である（該比較はゼロ以外の値で行われる）とき、且つそのときに限り該署名済みメッセージを受け入れる。

あるいはそれ以外に

該付加物がコミットメントを備えない場合には、該チェック動作は以下の２つの式の内の１つ、すなわち適切な一方に従って１つ又は複数のコミットメントＲ’の該再構成を開始する。再確立されたコミットメントはゼロであってはならない。

あるいはそれ以外に

その結果、該コントローラは、各チャレンジｄを再構成するためにすべてのコミットメントＲ’及び該メッセージＭをハッシュしなければならない。
ｄ＝ｄ₁，ｄ₂，．．．ｄ_m、該結果ハッシュ（Ｍ，Ｒ’）から抽出されるものに同一。

該コントローラは、各再構成されたチャレンジが該付加物の中の該対応するチャレンジに同一であるとき、且つそのときに限り該署名済みメッセージを受け入れる。

図１Ａから図１Ｄは、それぞれ３（ｍｏｄ ４）と合同、５（ｍｏｄ ８）と合同、９（ｍｏｄ １６）と合同、及び１７（ｍｏｄ ３２）と合同であるＰのグラフ部分をそれぞれ描いている。 図２Ａは、ｕ＝０を課す、ｋ≧ｔ＝３、つまり９（ｍｏｄ １６）と合同である素因数のこのケースを描いている。−Ｇが枝の適切な位置にあるとき、つまりｕ＞０及びｕ＋ｋ≦ｔのとき、すべて偶数階数の２^kの解が枝の中にある。図２Ｂがこのケースを描いている。 図３Ａは、ｔ＜ｋのケースを描いている。図３Ｂは、ｔ≧ｋのときのケースを描いている。

Claims (9)

1. コンピュータによって実行されるステップを含む認証方法であって、前記ステップは、
   １個または複数の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_m及び公開指数ｖをメモリに格納するステップであって、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mは、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   ｒを証明者端末によって無作為に選ばれる０＜ｒ＜ｎであるような整数として、Ｒ≡ｒ^v（ｍｏｄ ｎ）によって計算がなされて値が得られるコミットメントＲを前記証明者端末から受信して該コミットメントＲを前記メモリに格納するステップと、
   ｍ個のチャレンジｄ₁，ｄ₂，．．．，ｄ_mを無作為に選択して該チャレンジを前記メモリに格納するステップと、
   該チャレンジｄ₁，ｄ₂，．．．，ｄ_mを前記証明者端末に送信するステップと、
   Ｄ≡ｒ×Ｑ₁ ^d1×Ｑ₂ ^d2×・・・×Ｑ_m ^dm（ｍｏｄ ｎ）によって計算がなされて値が得られる応答Ｄを該証明者端末から受信して該応答Ｄを前記メモリに格納するステップと、
   前記メモリに格納されている、前記公開値、前記公開指数、前記コミットメント、前記チャレンジ、及び前記応答に基づいて、Ｒ≡Ｄ^v×Ｇ₁ ^ε1d1×Ｇ₂ ^ε2d2×・・・×Ｇ_m ^εmdm（ｍｏｄ ｎ）となるような値を該応答Ｄが有する場合に前記証明者端末を真正なものと判断するステップであって、ｉ＝１，．．．，ｍに対して、Ｇ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にε_i＝＋１であり、Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にε_i＝−１である、ステップと、
   を含む、認証方法。
2. コンピュータによって実行されるステップを含む認証方法であって、前記ステップは、
   １個または複数の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_m及び公開指数ｖをメモリに格納するステップであって、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mは、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   コミットメントの集合Ｒ_jからチャイニーズ剰余法を使用して計算される値を有するコミットメントＲを証明者端末から受信して該コミットメントＲを前記メモリに格納するステップであって、ｊ＝１，．．．，ｆであり、各コミットメント成分Ｒ_jはＲ_j≡ｒ_j ^v（ｍｏｄ ｐ_j）であるように値を有し、ｒ_jは該証明者端末によって無作為に選ばれる０＜ｒ_j＜ｐ_jとなる整数である、ステップと、
   ｍ個のチャレンジｄ₁，ｄ₂，．．．，ｄ_mを無作為に選択して該チャレンジを前記メモリに格納するステップと、
   該チャレンジｄ₁，ｄ₂，．．．，ｄ_mを前記証明者端末に送信するステップと、
   チャイニーズ剰余法を使用して応答成分Ｄ_jの集合から計算される応答Ｄを該証明者端末から受信して該応答Ｄを前記メモリに格納するステップであって、該応答成分Ｄ_jは、ｊ＝ｌ，．．．，ｆに対して、Ｄ_j≡ｒ_j×Ｑ_1,j ^d1×Ｑ_2,j ^d2×・・・×Ｑ_m,j ^dm（ｍｏｄ ｐ_j）となる値を有し、ｉ＝１，．．．，ｍ及びｊ＝ｌ，．．．，ｆに対してＱ_i,j≡Ｑ_i（ｍｏｄ ｐ_j）である、ステップと、
   前記メモリに格納されている、前記公開値、前記公開指数、前記コミットメント、前記チャレンジ、及び前記応答に基づいて、Ｒ≡Ｄ^v×Ｇ₁ ^ε1d1×Ｇ₂ ^ε2d2×・・・×Ｇ_m ^εmdm（ｍｏｄ ｎ）となるような値を前記応答Ｄが有する場合に、前記証明者端末を真正なものと判断するステップであって、ｉ＝１，．．．，ｍに対して、Ｇ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にはε_i＝＋１であり、Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にはε_i＝−１である、ステップと、
   を含む、認証方法。
3. コンピュータによって実行されるステップを含む認証方法であって、前記ステップは、
   １個または複数の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_m及び公開指数ｖをメモリに格納するステップであって、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mは、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   トークンＴ及びメッセージＭを証明者端末から受信して該トークンＴ及び該メッセージＭを前記メモリに格納するステップであって、トークンＴは、Ｔ＝ｈ（Ｍ，Ｒ）を満たすような値を有し、ｈはハッシュ関数であり、Ｒは、Ｒ≡ｒ^v（ｍｏｄ ｎ）によって計算がなされて値が得られるコミットメントであり、ｒは該証明者端末によって無作為に選ばれる０＜ｒ＜ｎの整数である、ステップと、
   ｍ個のチャレンジｄ₁，ｄ₂，．．．，ｄ_mを無作為に選択して該チャレンジを前記メモリに格納するステップと、
   該チャレンジｄ₁，ｄ₂，．．．，ｄ_mを前記証明者端末に送信するステップと、
   Ｄ≡ｒ×Ｑ₁ ^d1×Ｑ₂ ^d2×・・・×Ｑ_m ^dm（ｍｏｄ ｎ）によって値が得られる応答Ｄを該証明者端末から受信して該応答Ｄを前記メモリに格納するステップと、
   前記メモリに格納されている、前記公開値、前記公開指数、前記トークン、前記メッセージ、前記チャレンジ、及び前記応答に基づいて、ｈ（Ｍ，Ｄ^v×Ｇ₁ ^ε1d1×Ｇ₂ ^ε2d2×・・・×Ｇ_m ^εmdm ｍｏｄ ｎ）がトークンＴと等しくなるような値を該応答Ｄが有する場合に前記メッセージＭを真正なものと判断するステップであって、ｉ＝１，．．．，ｍに対して、Ｇ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にはε_i＝＋１であり、Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にはε_i＝−１である、ステップと、
   を含む、認証方法。
4. コンピュータによって実行されるステップを含む認証方法であって、前記ステップは、
   １個または複数の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_m及び公開指数ｖをメモリに格納するステップであって、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mは、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   トークンＴ及びメッセージＭを証明者端末から受信して該トークンＴ及び該メッセージＭを前記メモリに格納するステップであって、トークンＴは、Ｔ＝ｈ（Ｍ，Ｒ）を満たすような値を有し、ｈはハッシュ関数であり、Ｒはコミットメント成分Ｒ_jの集合からチャイニーズ剰余法を使用して計算される値を有するコミットメントであり、ここでｊ＝１，．．．，ｆであり、各コミットメント成分Ｒ_jがＲ_j≡ｒ_j ^v（ｍｏｄ ｐ_j）となるように値を有し、ｒ_jは該証明者端末によって無作為に選ばれる０＜ｒ_j＜ｐ_jの整数である、ステップと、
   ｍ個のチャレンジｄ₁，ｄ₂，．．．，ｄ_mを無作為に選択して前記メモリに格納するステップと、
   該チャレンジｄ₁，ｄ₂，．．．，ｄ_mを該証明者端末に送信するステップと、
   チャイニーズ剰余法を使用して応答成分Ｄ_jの集合から計算される応答Ｄを該証明者端末から受信して該応答を前記メモリに格納するステップであって、該応答成分Ｄ_jが、ｊ＝１，．．．，ｆに対して、Ｄ_j≡ｒ_j×Ｑ_1,j ^d1×Ｑ_2,j ^d2×・・・×Ｑ_m,j ^dm（ｍｏｄ ｐ_j）となる値を有し、ｉ＝１，．．．，ｍ及びｊ＝１，．．．，ｆに対してＱ_i,j≡Ｑ_i（ｍｏｄ ｐ_j）である、ステップと、
   前記メモリに格納されている、前記公開値、前記公開指数、前記トークン、前記メッセージ、前記チャレンジ、及び前記応答に基づいて、ｈ（Ｍ，Ｄ^v×Ｇ₁ ^ε1d1×Ｇ₂ ^ε2d2×・・・×Ｇ_m ^εmdm ｍｏｄ ｎ）がトークンＴと等しくなるような値を前記応答Ｄが有する場合に該メッセージＭを真正なものと判断するステップであって、ｉ＝１，．．．，ｍに対して、Ｇ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にはε_i＝＋１であり、Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にはε_i＝−１である、ステップと、
   を含む、認証方法。
5. 該チャレンジがｉ＝１，．．．，ｍに対して０≦ｄ_i≦２^k−１となるようなものである請求項１に記載の認証方法。
6. コンピュータによって実行されるステップを含む署名方法であって、前記ステップは、
   １個または複数の秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mをメモリに格納するステップであって、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mは、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   署名されるメッセージを前記メモリに格納するステップと、
   ｉ＝１，．．．，ｍに対して、０≦ｒ_i≦ｎであるｍ個の整数ｒ_iを無作為に選択して前記メモリに格納するステップと、
   前記メモリに格納されている前記公開指数に基づいて、ｉ＝１，．．．，ｍに対して、Ｒ_i≡ｒ_i ^v（ｍｏｄ ｎ）となる値をもつコミットメントＲ_iを計算して該コミットメントＲ_iを前記メモリに格納するステップと、
   前記メモリに格納されている、前記メッセージ及び前記コミットメントに基づいて、Ｔ＝ｈ（Ｍ，Ｒ₁，Ｒ₂，．．．，Ｒ_m）となる値をもつトークンＴを計算して該トークンＴを前記メモリに格納するステップであって、ｈはｍ個のビットｄ₁，ｄ₂，．．．，ｄ_mからなるバイナリ行列を生成するハッシュ関数である、ステップと、
   前記メモリに格納されている、前記秘密値、前記ｍ個の整数、及び前記トークンＴに基づいて、ｉ＝１，．．．，ｍに対して、応答Ｄ_i≡ｒ_i×Ｑ_i ^d1（ｍｏｄ ｎ）を計算するステップと、
   を含む、署名方法。
7. コンピュータによって実行されるステップを含む認証方法であって、前記ステップは、
   １個または複数の公開値Ｇ₁，Ｇ₂，．．．，Ｇ_m及び公開指数ｖをメモリに格納するステップであって、公開値Ｇ₁，Ｇ₂，．．．，Ｇ_mは、秘密値Ｑ₁，Ｑ₂，．．．，Ｑ_mに対応し、鍵（Ｑ_i，Ｇ_i）の各組が方程式Ｇ_i・Ｑ_i ^v≡１（ｍｏｄ ｎ）または方程式Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）のどちらかを満たし、ｎはｐ₁，．．．，ｐ_fによって指定されるｆ個の秘密素因数の積に等しい公開整数であり、これらの素因数の少なくとも２個が互いに異なり、公開指数ｖは、ｋを１より大きい整数値のセキュリティパラメータとしてｖ＝２^kとなるようなものであり、各公開値Ｇ_i（ｉ＝１，．．．，ｍ）は、ｇ_i（ｉ＝１，．．．，ｍ）を、１より大きく該素因数ｐ₁，．．．，ｐ_fのそれぞれより小さい整数を有する基本数であるとして、Ｇ_i≡ｇ_i ²（ｍｏｄ ｎ）となるようなものであり、ｇ_lまたは−ｇ_lは、１とｍの間の少なくとも１個の整数値ｌに対してｎを法とした整数の環の平方剰余であり、ｉ＝１，．．．，ｍに対してＧ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^-v/2（ｍｏｄ ｎ）としＧ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にｑ_i≡Ｑ_i ^v/2（ｍｏｄ ｎ）として、１とｍの間の少なくとも１個の整数値ｓに対してｑ_sがｇ_s（ｍｏｄ ｎ）と合同でも−ｇ_s（ｍｏｄ ｎ）と合同でもない、ステップと、
   メッセージＭ、トークンＴ、及び応答Ｄ_i（ｉ＝１，．．．，ｍ）を署名者端末から受信して、該メッセージＭ、該トークンＴ、及び該応答Ｄ_iを前記メモリに格納するステップと、
   前記メモリに格納されている、前記公開値、前記公開指数、前記メッセージ、前記トークン、及び前記応答に基づいて、ｈ（Ｍ，Ｄ₁ ^v×Ｇ₁ ^ε1d1 ｍｏｄ ｎ，Ｄ₂ ^v×Ｇ₂ ^ε2d2 ｍｏｄ ｎ，．．．，Ｄ_m ^v×Ｇ_m ^εmdm ｍｏｄ ｎ）がトークンＴと等しくなるような値を該応答Ｄが有する場合に前記メッセージＭを真正なものと判断するステップであって、ｉ＝１，．．．，ｍに対して、Ｇ_i×Ｑ_i ^v≡１（ｍｏｄ ｎ）の場合にはε_i＝＋１であり、Ｇ_i≡Ｑ_i ^v（ｍｏｄ ｎ）の場合にはε_i＝−１である、ステップと、
   を含む、認証方法。
8. 命令のセットを格納するメモリと、前記メモリに接続されたプロセッサとを含む前記コンピュータを備えるシステムであって、請求項１〜７の何れか一項に記載の方法を実行するように構成された、システム。
9. 請求項１〜７の何れか一項に記載の方法を前記コンピュータに実行させるためのプログラムが格納されている、コンピュータ可読記憶媒体。

Images