JPH10511471A

JPH10511471A - フェイルセイフキィ捺印システム

Info

Publication number: JPH10511471A
Application number: JP7523726A
Authority: JP
Inventors: リートン，フランク、タムスン
Original assignee: リートン，フランク、タムスン
Priority date: 1994-08-12
Filing date: 1995-08-14
Publication date: 1998-11-04
Also published as: US5647000A; WO1996005674A1

Abstract

(57)【要約】ユーザのための暗号キイを確立する方法は、その中でキイの確立を許すデータがエスクローされる形のものである。この方法は、ユーザ・シード値（１１）を提供するユーザをもち、権限者シード値（１５）を提供する権限者をもち、そしてユーザ・シード値および権限者シード値の非変質機能として暗号キイを生成する。また、その中で秘密のキイの確立を許すデータがエスクロー（１５）される形の、ユーザのための秘密のパブリック暗号キイの確立を与える方法が提供される。この方法において、秘密（１１１）のおよびパブリックの暗号キイ（１９）が、ユーザおよび権限者シード値の、第１および第２の非変質機能として生成される。関連する方法が、ユーザのための、秘密のおよびパブリックの暗号キイを確立するために用いられ得る。

Description

【発明の詳細な説明】発明の名称フェイルセイフキィ捺印システム１発明の概要本明細書において、捺印されるべき暗号キィを選択するために権限者がユーザと相互作用する（我々がフェイルセイフキィ捺印［ＦａｉｌｓａｆｅＫｅｙＥｓｃｒｏｗ］、ＦＫＥと称する）暗号キィ捺印方法を説明する。このシステムは、次の５つの属性を有している。属性１：このシステムにおける各ユーザは、このキィが安全に選択されることを確実にするために、彼又は彼女の秘密のキィを十分に管理すべきである。属性２：中央権限者はまた、もしユーザが正しいランダム数発生器にアクセスしなくてさえ、或いはユーザがランダム数発生器を適切に使用することができなくてさえ、各ユーザの秘密のキィが安全に選択されるということが保証されるであろう。属性３：各ユーザは、十分な数の受託者が中央権限者にキィのシエア分を通知しなければ、彼又は彼女の秘密のキィは秘密の状態に留まるということが保証されるであろう。属性４：中央権限者は、不法活動と関連して一定数の受託者からキィのシエア分を取り出すことにより暗号化のための彼又は彼女のキィの使用が疑われているユーザの秘密のキィを得ることができるということを確実にする必要がある。属性５：中央権限者は、裁判所の許可を得た電話の盗聴の恐れ無しに通信できるように、捺印システムが犯罪者によって悪用されないということを確実にする必要がある。特に、もし、公表されたパブリックキィ暗号化アルゴリズムを使って、２人の犯罪者がそれらのパブリックキィを使うことによってＦＫＥを悪用し、かつ中央権限者が受託者による犯罪人の秘密のキィの知識を提供されるならば、そのとき、中央権限者が犯罪者間の通信メッセージを解読することは、犯罪者自身がその通信を解読しているかのように容易であろう（少なくとも、確率的ベースで）。この新規な方法は、ミカライ（Micali）によって主張されたフェアパブリックキィ暗号化システム（ＦＰＫＣ）アプローチ［５］よりもかなり安全である。これは、ＦＰＫＣアプローチが属性２及び５を満足しないためである。特に、キリアン［３］はミカライのＦＰＫＣ捺印スキームに記憶されたパブリックキィを如何に犯罪者が使用して、もしユーザのための秘密のキィが受託者によって政府機関に提供されてさえ、政府機関が暗号解読することができないやり方で、（公表されたパブリックキィ暗号化システム（ＰＫＣ）を使って通信することができるかを最近示した。これは、政府機関が通信の暗号解読をするのを妨げるように、犯罪者がミカライのＦＰＫＣを破ることはかなり容易であるということを意味している。キィ捺印システムのこのような悪用は、ここに述べるフェイルセイフキィ捺印アプローチにおいては不可能である。ここで述べるフェイルセイフキィ捺印方法はまた、暗号手法的に安全ではないキィを、正当ではあるが、技術的に熟達していないユーザが選択するのが防がれる（圧倒的に高い確率で）という利点を有している。従って、政府機関又は会社は、もし、その従業員が正当なランダム数発生器に適切にアクセスすることができなくてさえ、彼らが正当なキィを得るということを確実にすることができる。このような保証は、ミカライのＦＰＫＣにおいては不可能である。ここで述べるＦＫＥ方法は、ミカライのＦＰＫＣ技術よりも安価に使用される（かつ、ある場合には、かなり安価である）。さらに、属性１及び３によって、それは、ミカライのＦＰＫＣのように、合法的ユーザに公正性の同じ基本的保証を提供する。それ故、フェイルセイフキィ捺印アプローチは、熟達していないユーザと共に政府機関のために安全性のかなりの利点を提供する一方、ＦＰＫＣの全ての利益を提供する。２発明の背景パブリックキィ暗号化システムにおいて、各ユーザは、合致する一対のキィ（Ｐｘ、Ｓｘ）が割り当てられるか、又は選択する。ここで、Ｐｘは、この対に相当するパブリックキィであり、かつＳｘは、秘密のキィである。信頼性証明目的のために、各ユーザのためのパブリックキィは、中央権限者によって目録が作られ、及び／又は証明され、そのため、このシステムの他のユーザはいかなる個人のための信頼性あるパブリックキィも取り出すことができる。パブリックキィ暗号化システムは、暗号化及び／又はディジタル署名のために使用することができる。ＰＫＣ（及び一般的暗号化システム）の一つの問題は、それらが、法に従わないユーザによって悪用されるかもしれないということである。例えば、２人の犯罪者が、政府機関によって確立したＰＫＣを使って通信することができ、かつもし権限者が通信を盗聴する裁判所の許可を得てさえ、権限者がそれらの通信メッセージを解読する方法はないであろう。このような活動は、もしＰＫＣが、ディジタル署名の目的のために単に確立してさえ、犯罪者は暗号化のような他の目的のためにＰＫＣを使うかもしれないので、起こり得ることである。この問題は、一連の論文で取り上げられた。ブレクリー（Blakley ）［１］及びシャミール（Shamir）［６］は、各ユーザの秘密の暗号化キィが１以上の受託者の間で共有される方法について説明する。（受託者はおそらく数が少なく、かつ高く信頼される実体（エンティティ）である）。特に、各受託者は各ユーザのための秘密のキィの秘密の構成要素が与えられる。キィの共有は、２つの属性を満たすために必要である。第一に、ｋ受託者のいかなる下位集合も、ユーザの秘密のキィを見分けるために彼らの知識をプールすることはできないであろう。第二に、いかなる組のｈ＞ｋ受託者も、そのキィのシエア分をプールすることによってユーザの秘密キィを回復することができるであろう。多くのこのような”秘密のシエア分”スキームは、文献において公知である（例えば、シモンズ（Simm ons ）による調査論文を参照）。このようなスキームにおいて、ユーザは、少なくともｋ＋１受託者の認可無くして彼又は彼女の秘密のキィを権限者が知ることができないということが保証され、かつ権限者は、ｈ受託者の認可によっていかなる個人の秘密のキィも得ることができるということが保証される。これらのスキームの変形がまた公知であり、これは、悪意のある受託者の数があまり多くないならば、受託者が犯罪者と共同して働くのを解決することができる。秘密シエアスキームについての一つの困難性は、受託者が各ユーザの秘密のキィの正当なシエア分を受け取ったということを確実にするための手段がない点である。実際、受託者が裁判所命令の元で彼らのシエア分を明らかにするとき、犯罪的ユーザは彼又は彼女の秘密のキィの適切なシエア分を提供しなかったために、シエア分は無用であると分かるかもしれない。この問題は、［２］において解決され、かつここで、各受託者が、秘密のキィの正当なシエア分を受け取ったということを確実にすることができるやり方で、如何にシエア分を提供することができるかが示されている。彼らの秘密のキィの正当なシエア分を提供しないユーザを識別し、かつこのシステムから排除することができる。各受託者が、秘密のキィの正当なシエア分を有するということを確実にすることのできる秘密シエアスキームは、証明確認秘密シエア（ＶＳＳ）スキームとして公知である。多くのこのようなスキームは、文献において公知である。［５］において、ミカライは、このように使用されたＶＳＳスキームは、フェアパブリックキィ暗号化システムと称するものを形成する。フェアＰＫＣの正確な定義は提供されないけれども、ミカライは、フェアＰＫＣのキィ属性は、それが犯罪組織によって悪用されることができないという点であると述べる［５］。しかしながら、キリアン（Killian ）の非難に示されるように、フェアＰＫＣのためのミカライ方法は、犯罪者による悪用が深刻であることは明白である。ミカライ方法における不備は、ユーザＸが、次の特別の属性によって、一対のキィ（Ｓｘ、Ｐｘ）を選択することが可能であるという事実から得られる。１）受託者は秘密のキィＳｘの正当なシエア分を提供することができ、かつ２）パブリックキィＰｘは、ユーザがまた第二の秘密のキィS'x を予め計算した第二の暗号化システムのための第二のパブリックキィP'x に（公表されたアルゴリズムを使って）容易に変換することができる。犯罪的ユーザは、第二の暗号化システム及び第二の対のキィを使って通信することができる。中央権限者は、（受託者の助けによって）、Ｓｘを回復することができるが、これは、S'x で暗号化された通信の暗号手法においては有用ではないであろう。さらに、中央権限者は、S'x を発見する望みを有してはいない。この問題は、［４］に示唆されているように、各ユーザのために対になったキィを受託者に選択させることによって解決することができる。しかし、受託者が各ユーザのために秘密のキィを選択するスキームは、ユーザのキィが適切に（安全であるように）発生したということをユーザに保証しないかもしれない。このようなスキームは、属性１を満足しない。中央権限者のセキュリティに関する関心と共に、法に従うユーザのプライバシー及びセキュリティに関する関心を保護する個々のためにキィ対を選択する方法を有することが望まれるであろう。それが、この明細書の主題である。３フェイルセイフキィ捺印アプローチ以下において、我々は、フェイルセイフキィ捺印アプローチの一実施例を説明する。この実施例は、ディフィヘルマン（Diffie-Hellman）又はＤＳＳのようなディスクリートログ（Discrete-Log）ＰＫＣに基づいている。ここで、我々は、Ｚ^Qのためのプライム係数Ｑおよび発生器Ｇは公知であると仮定している。この場合、ユーザＸのために捺印されるパブリックキィＰｘは、Ｇ^Sx modＱである。ここで、ＳｘはユーザＸのための秘密のキィである。米国ディジタル署名標準と関連して使用される捺印システムは、このフォームを有している。ユーザＸのためのキィは、以下のように選択される。ステップ１：ユーザは、［０，Ｑ−２］からランダム秘密値Ａを選び、かつ受託者及び／又は中央権限者にＧ^A modＱの値を知らせる。ステップ２：ユーザはＶＳＳスキームを用いた受託者とＡを”シェア”する。（使用される正確なＶＳＳスキームは、受託者が適正に作動できると信頼できる程度に依存し、ユーザが受託者を信頼する程度に依存する。）これはＡのシェアを受託者に対して送信することをＸに要求し、このことが受託者に対して彼らが有効なＡのシェアを受信したかを証明することを要求する。ステップ３：受託者及び／又は中央の権限者は間隔［０，Ｑ−２］からランダムな値Ｂを選択し、彼らはユーザのパブリックキィをＰｘ＝（Ｇ^A）Ｇ^BｍｏｄＱにセットする。Ｂの値はユーザに戻され、Ｘに応じたパブリックキィとエスクロードされる。Ｂの値はパブリックに対して解放されない。ステップ４：ユーザはその後彼のシークレットキィをＳｘ＝Ａ＋Ｂｍｏｄ（Ｑ −１）にセットする。以下において、我々はこのシステムのために属性１−５が維持されることを示す。簡単のために、我々はざっくばらんに証明する。属性１の証明：プロトコルに従う全てのユーザは、彼又は彼女がランダムに選択したシークレットキィを有することを信じることができる。これは、そのユーザが［０，Ｑ−２］においてランダムにＡを選択するからである。権限者はＢを選択するが、（使用されるＶＳＳスキームに依存している）Ａの認識とは無関係にそのようにする。従って、ユーザの観点からは、ＡもＢの後に選択されるであろうと思われる。これは、もしＡがユーザによりランダムに選択されたならば、Ｓｘ＝Ａ＋Ｂｍｏｄ（Ｑ−１）が［０，Ｑ−２］におけるランダムな整数であることをユーザが保証され得ることを意味する。属性２の証明：（例えば、乱数発生器に代えて誕生日を用いることによって）Ａの値を正しく選択することに失敗したユーザであっても、ランダムなシークレットキィを獲得するであろう。これは、ユーザがＡの値を引き渡した後に、Ｂの値が権限者によりランダムに選択されるからである。従って、権限者はＳｘ＝Ａ＋Ｂｍｏｄ（Ｑ−１）が［０，Ｑ−２］におけるランダムな整数であることを保証することができる。属性３の証明：ユーザの各々は、受託者のサフィシャントナンバが彼らのシェアを解放しない限り、彼又は彼女のシークレットキィが、秘密の状態にあることを保証され得る。これは、ＶＳＳスキームの属性により、受託者のサフィシャントナンバの同意でＡの認識が明らかにされ得るだけだからである。もし、Ｂがパブリックであるとしても、これは、受託者のサフィシャントナンバがＡを明らかにすることに協力しない限り、Ａ＋Ｂｍｏｄ（Ｑ−１）が秘密の状態を維持することを意味する。属性４の証明：中央の権限者は、受託者のサフィシャントナンバが彼らのシェアを明らかにしたようないずれのユーザのシークレットキィをも、明らかにできることを保証される。これは、ＶＳＳスキームの属性が、受託者のサフィシャントナンバがＡを明らかにすることに協力できることを保証するからである。Ｂがエスクロードされるので、Ｓｘ＝Ａ＋Ｂｍｏｄ（Ｑ−１）を計算することは簡単なことである。属性５の証明：もし、二人の犯人が、いずれかの公開されたパブリックキィ符号化アルゴリズムを用いて彼らのパブリックキィを通信するために用いることにより、ＦＫＥを悪用しようと企てたとしても、そして、中央の権限者が受託者により犯人のシークレットキィの認識を与えられたとしても、中央の権限者にとっては、犯人の間のそのトラフィックを解読するための犯人自身のためのメッセージトラフィックをそのままで解読することは（少なくとも蓋然論の原則によれば）たやすいことであろう。この事実を証明することは多分より難しくなる。二人の犯人Ｘ及びＹが、いずれかの公開されたＰＫＣを用いて彼らのパブリックキィを通信するために用いることにより、ＦＫＥを悪用しようと企てた場合を考える。Ｐ’ｘをＰＫＣにおけるＸに対応するパブリックキィであるとしよう。一般性を失うことなしで、我々は、Ｐ’ｘがＰｘの公開された関数Ｐ（例えば、Ｐ’ｘ＝Ｆ（Ｐｘ））として計算可能であると仮定することができるであろう。そうでなければ、犯人は通信のために秘密の情報を用いているであろう（この場合、彼らは第１の段階においてＦＫＥを悪用する必要がない）。Ｓ’ｘがＰＫＣにおけるＰ’ｘにマッチするシークレットキィであるとし、ＨをＰＫＣのパブリックキィをそれの対応するシークレットキィに写像した（公開されているがおそらく計算の難しい）関数であると規定しよう（例えば、Ｓ’ｘ＝Ｈ（Ｐ’ｘ））。すると、Ｓ’ｘ＝ＨＦ（Ｐｘ）＝ＨＦＥ（Ｓｘ）である。ここで、Ｅ（Ｓｘ）＝Ｇ^SxｍｏｄＱである。Ｓｘ＝Ａ＋Ｂｍｏｄ（Ｑ−１）であるので、我々はＳ’ｘ＝Ｒ（Ａ＋Ｂｍｏｄ（Ｑ−１））であることを知る。ここで、Ｒ＝ＨＦＥは公開された（しかしもしかすると計算の難しい）関数である。ユーザがＡを選び、それにより彼又は彼女が（Ａの個別のログのような）中央の権限者には知られていないＡについての大量の情報を知るであろう。これは、中央の権限者にとってＲ（Ａ）を計算することよりも、ユーザにとってＲ（Ａ）を計算することが大変容易であろうことを意味する。ユーザはＡ＋Ｂｍｏｄ（Ｑ −１）の分布の支配権は持たないが、この分布はすべてのＡについて均一である。これは、Ｂが選択される前は、ユーザがＡ＋Ｂｍｏｄ（Ｑ−１）についての情報を（蓋然論的に言って）何も形成できないのと同様に、中央の権限者も同様の多くの時間を費やしても形成できない（正確にするために、我々は中央の権限者がユーザがこのステートメントが真であることを認識し計算するのと同等の初期認識及び計算能力を有することを保証する必要がある）。一旦Ｂが選択されると、（受託者が当然Ａを明らかにするために協同することを仮定して）ユーザ及び中央の権限者の双方はＡ＋Ｂｍｏｄ（Ｑ−１）を知り、中央の権限者はユーザと同様にＳ’ｘを形成する能力を有するであろう。これが、ＦＫＥプロトコルのための属性５が維持する証明の概略である。類似のプロトコルがＲＳＡのような他のＰＫＣでの使用のために開発され得るが、権限者がある特定の構成についての”ランダム”な番号を選択するユーザと相互に影響しあう必要があるので、その詳細はより複雑になる。例えば、ＲＳＡに用いられるパブリックキィは初期の小さな数の積である必要がある。以上に述べた証明の方法は、他の暗号システムにおける単一のパブリックキィを形成するために結合され得るパブリックキィを生成するために共に団結する犯罪者の徴収に対するセキュリティを、ＦＫＥシステムが与えることを示すために拡張することができる。４．応用フェイルセーフ・キイ・エスクロー・システムは、法実行者とユーザとの両者の利益を保護するために、何らかのＰＫＣと連結されて使用される。ＦＫＥは、新しいＵＳデジタル・シグニチャー・スタンダード（ＤＳＳ）の関連において、特別に価値のあることを証明する。特に、犯罪者が、解読できない方法で政府に秘密通信する目的をもって、ＤＳＳキイを使用できないことを保証する上で重要である。この発行物は特に、ＤＳＳキイが秘密化のために容易に適応できることから、ＤＳＳの関連において特に関係している。セクション３に記述されたＦＫＥアプローチは、この種の不正使用を正確に防止する。５．制限フェイルセーフ・キイ・エスクロー・アプローチの制限を指摘することに価値がある。特に重要なことには、ＦＫＥアプローチは秘密情報または他のエスクロー・システムを使用して通信することから、または秘密契約のための他のプロトコルを使用することから一対の犯罪を防止していない。ＦＫＥの主要点は、キィ・エスクロー・システムにおけるパブリック・キイの不正使用から犯罪を防止することである。前述のリファレンスは、リファレンスによってここに協同される。更なるデイスカッションデイスクリート−ログＰＫＣと関連して述べられた例は、実際上図１と関連して記述された所の以降のアプローチの特殊な使用である図１は、本発明にしたがってユーザのための暗号キイを確立するための方法についての好ましい実施形態を示している。ユーザは、ユーザ・シード値（ステップ１１）を発生し、ユーザ・シード値（ステップ１２）の符号化されたバージョンも同様である（ユーザ・シードとユーザ・シードの符号化されたバージョンとは、夫々、例においてＡとモードＱとであった）。次（ステップ１４）において、ユーザは、ＶＳＳスキームを用いる受託者へのユーザ・シードのシェアを与える。更に、ユーザは（ステップ１３）、受託者および／または権限者へユーザ・シード・ナンバの符号化されたバージョンを与える（受託者は、ステップ１４のＶＳＳスキームを用いて、符号化されたユーザ・シード値にもとづき、それらのシェアを検証する）。（特許請求の範囲における権限者は中央の権限者のみでなく１人の受託者または一緒に行動する数人の受託者に関連するだろう）。受託者および／または権限者は（ステップ１５）、権限者シード・ナンバ（上記の例ではＢと呼ばれている）を選択し、符号化されたユーザ・シードと権限者シードの特殊な機能として、ユーザのパブリック・キイ（ステップ１８）を引出す。〔権限者シードは（ステップ１６）ユーザへそしてユーザのパブリック・キイと関連づけられて（ステップ１５）エスクロード（escrowed）される。この権限者シードは秘密なエスクロー(esc row)によって保持され、適正な権限の下でのみ中央の権限者によってアクセスされ得る。適正な権限はまた、受託者がユーザ・シードのシェアへの権限者アクセスを与えることを必要とされる。Ｖｓｓスキームの下でのこれらシェアへのアクセスはユーザ・シードの回復を許す。これら２つのシード（ユーザ・シードと権限者シード）へのアクセスをもって、秘密キイは、ユーザによって使用される如き同じ機能を用いる権限者によって生成され得る〕。ユーザは、ユーザ・シードと権限者シードとの、特殊な非変質機能として、彼の秘密キイ（ステップ１１１）を生成する。この記述において、そして後述の特許請求の範囲において用いられる如く、情報のエスクロー(escrow)という語は、シェアにおける配分を含む、暗号キイへのアクセスを容易にするためのアレンジメントを含んでおり、特殊な条件の下で除外される情報へのアクセスを防止する手段を含むだろう。更に、暗号キイは、ユーザ・シードと権限者シードとを用いて、他の方法で生成され得る。その中でユーザ・シードが受託者（シェアにおいて）へ与えられかつその中で権限者シードがユーザへ与えられる所の命令は、もしも、上述のセクション１に記述された５つの属性を観察するような注意がはらわれるならば、重大ではない。私は、これら５つの性質をひとまとめにして、“ＦＫＥ属性”と呼ぶ。

Claims

【特許請求の範囲】（１）その中で暗号キイの確立を許すデータがエスクローされる形の、ユーザのための暗号キイを確立するための方法であって、（ａ）ユーザ・シード値を提供されたユーザをもち、（ｂ）権限者シード値を提供されたユーザをもち、（ｃ）ユーザ・シード値と権限者シード値との非変質機能として、暗号キイを生成する、ようにした方法。（２）その中で秘密キイの確立を許すデータがエスクローされる形の、ユーザのための秘密のパブリック暗号キイを確立するための方法であって、上記ステップ（ｃ）が、ユーザ・シード値と権限者シード値との第１および第２の非変質機能として、秘密およびパブリック暗号キイを生成することからなる特許請求の範囲第（１）項記載の方法。（３）上記ステップ（ａ）、（ｂ）および（ｃ）がＦＫＥ属性と矛盾しない方法で実行される、特許請求の範囲第（１）項記載の方法。（４）その中で秘密のキイの確立を許すデータがエスクローされる形の、ユーザのための秘密およびパブリック暗号キイを確立するための方法であって、（ａ）ユーザ・シード値とユーザ・シード値の符号化されたバージョンとを生成するユーザをもち、（ｂ）（ｉ）ＶＳＳスキームの下で受託者へのユーザ・シード値のシェアを与え、（ｉｉ）権限者へのユーザ・シードの符号化されたバージョンを与えるユーザをもち、（ｃ）それらシェアを検証する受託者をもち，（ｄ）ユーザ・シード値を選択しかつユーザへ権限者シード値を与える権限者をもち、（ｅ）符号化されたユーザ・シード値と符号化された権限者シード値との第１の特殊の機能として、ユーザのパブリック・キイを引出し、（ｆ）受託者がそれらのシェアを検証した後に、ユーザのパブリック・ヰイをエスクローし、（ｇ）権限者シード値をエスクローし、そして（ｈ）ユーザ・シード値と権限者シード値との第２の特殊の非変質機能として、秘密キイを生成するようにした方法。