JPH11234263A - 相互認証方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 演算能力の低いデバイスに適した相互認証を
提供する。 【解決手段】 証明者１０１は、コミットメントｗを生
成して証明者１１１に送る。検証者１１１は、チャレン
ジＳ、μ、ｒ’を証明者１０１に送り、証明者１０１と
共有する一方向性ハッシュ関数ｈを用いて、検証用指数
ｇ＝ｈ（ｒ’，μ）を計算する。証明者１０１は公開情
報を用いてＳを検証し、さらにｒ’、μ、ｈを用いて、
検証用指数ｇ’＝ｈ（ｒ’，μ）を生成し、センタ１２
１と共有する一方向性ハッシュ関数Ｆを用いて、レスポ
ンス生成情報ｙ’≡ｒＦ（ｄ，Ｌ，Ｉ_t）^g' ｍｏｄ
ｎを生成し、さらにアクセスチケットｔ，検証用指数
ｇ’を用いて、レスポンスｙ≡ｙ’ｔ^g' ｍｏｄ ｎを
生成し、検証者１１１に送る。検証者１１１は、証明者
１０１の公開証明者情報Ｊ_A等を用いて、検証情報ｗ’
≡Ｊ_A ^gＥｙ^v ｍｏｄ ｎを生成し、コミットメント
ｗと比較する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、個人認証の分野に
属し、特に検証者の認証も同時に行う相互認証の分野に
属する。

【０００２】

【従来の技術】従来、認証を行う際にはＲＳＡ（Ｒｉｖ
ｅｓｔ−Ｓｈａｍｉｒ−Ａｄｌｅｍａｎ）暗号を基本と
した認証方式を用いるのが通常であった。ＲＳＡ暗号
は、素因数分解の困難性にその安全性の根拠を置いた暗
号方式で、以下の式を満たすように構成された公開鍵
（ｅ，ｎ）、及び秘密鍵ｄを用いる。

【０００３】

【数１】ｅｄ≡１ ｍｏｄ φ（ｎ） ただし、上でｎは二つ以上の素因数分解が困難なくらい
大きな素数の積からなる合成数法数、φ（ｎ）は、乗法
群（Ｚ＝ｎＺ）^*の位数である。

【０００４】ＲＳＡ暗号を用いて認証を行う場合は、上
記の秘密鍵で検証側から送信されるてくるチャレンジｃ
を暗号化して、レスポンスｒを生成する。つまり、証明
側は

【０００５】

【数２】ｒ≡ｃ^d ｍｏｄ ｎ を計算して、検証側に送り返す。次に検証側は、送られ
てきたレスポンスｒに対して以下の計算を行い、ｒ’を
求める。

【０００６】

【数３】ｒ’≡ｒ^e ｍｏｄ ｎ 証明側が公開鍵（ｅ，ｎ）に対応した秘密鍵ｄを知って
いるならば、チャレンジｃとｒ’は一致する。なぜなら
ば、

【０００７】

【数４】ｅｄ≡１ ｍｏｄ φ（ｎ） より、

【０００８】

【数５】ｅｄ＝Ｑφ（ｎ）＋１ が成り立つ。ただし、上記でＱは適当な整数である。こ
のときオイラーの定理より、

【０００９】

【数６】 となるからである。チャレンジｃとｒ’が一致すると
き、認証は成功したと見なされる。

【００１０】ＲＳＡ暗号を用いた相互認証を行う場合に
は、証明側の公開鍵（ｅ，ｎ）および秘密鍵ｄ、そして
検証側の認証を行うための公開鍵（ｅ’，ｎ’）および
秘密鍵ｄ’を用意する。（ｅ’，ｎ’）およびｄ’の生
成条件は上記に述べた（ｅ，ｎ）およびｄの生成条件と
同じである。そしてこれら二つの鍵ペアを用いて、証明
側、検証側の双方の認証を行う。

【００１１】

【発明が解決しようとする課題】ＲＳＡ暗号では、秘密
鍵ｄを法数ｎ程度の大きな数としなければならない。こ
れは、秘密鍵ｄを小さい数とすると総当たり攻撃によ
り、ｄの値を知られてしまうためである。

【００１２】ところで、べき乗剰余計算ｃｄ ｍｏｄ
ｎの計算量は一般に指数ｄの値に比例する。通常、安全
性のために法数ｎは１０２４ビット程度の非常に大きな
数とされるため、ＲＳＡ暗号を用いた認証では、証明を
行う側の計算量は膨大なものとなってしまう。

【００１３】個人認証などにおいて、証明側はスマート
カード（ＩＣカード）などの演算能力の低いデバイスを
用いることが多い。Ｂｒｕｃｅ Ｓｃｈｎｅｉｎｅｒ，
Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ（Ｓｅｃｏ
ｎｄ Ｅｄｉｔｉｏｎ），Ｗｉｌｅｙ，１９９６によれ
ば、ワークステーション（ＳＰＡＲＣ２、米国サン・マ
イクロシステムズ社の商標））で、法数１０２４ビット
・公開鍵８ビットのＲＳＡ暗号系を使って１０２４ビッ
トのデータを処理する時間は、署名が０．９７秒、検証
が０．０８秒かかっている。このため、スマートカード
のような、演算能力の低いデバイスでは、認証の遅延を
引き起こすという問題があった。

【００１４】

【課題を解決するための手段】本発明では、相互証明に
用いられる認証方式としてゼロ知識証明方式を用いる。
すなわち、本発明によれば、上述の課題を解決するため
に、証明者が有資格者であることを保証するセンターが
生成する有資格情報を用い、証明者側の有資格性、およ
び検証者側の認証の双方をゼロ知識証明方式を用いて行
う相互認証方法において、証明者が不正な操作を施すこ
とが困難な演算方法によって生成されたレスポンス生成
情報に対して、センターが発行する有資格者情報を用い
て該レスポンス生成情報に演算を施し、演算を施した情
報をレスポンスとして検証者に提示することにより有資
格者であることを証明するようにしている。

【００１５】このゼロ知識証明方式を用いた相互認証方
式では、べき乗剰余計算に用いられる指数が数ビットか
ら数十ビットで済むため、認証に必要な計算量を大幅に
削減することができ、認証の遅延を防止することが可能
となる。

【００１６】なお、本発明は、装置やコンピュータプロ
グラム製品としても実現可能である。

【００１７】

【発明の実施の態様】以下では、認証者が検証者に送る
コミットメントｗとして、

【００１８】

【数７】ｗ≡ｒ^v ｍｏｄ ｎ を送り、検証者の認証をＲＳＡ暗号を用いて行う実施例
を説明する。ただし、上でｎは素因数分解が困難な二つ
の大きな素数ｐ，ｑの積からなる合成数法数、ｖはλ
（ｐ−１，ｑ−１）と互いに素なｖ≧３を満たす数ビッ
トから数十ビットの小さな素数とする（λ（ｘ，ｙ）は
ｘ，ｙの最小公倍数を表わす）。

【００１９】以下では、センタによって認証者に発行さ
れる有資格情報をアクセスチケットと呼ぶことにする。

【００２０】図１に本実施例の基本構成を示す。

【００２１】図１で、証明者１０１は認証プロトコルを
実行する演算装置１０２、及び証明者の身許を保証する
トークン１０３から成る。トークン１０３はスマートカ
ードなどのタンパープルーフな（ｔａｍｐｅｒ−ｐｒｏ
ｏｆ：内部のデータや処理を外部から観察困難な状態）
装置で実現され、不正な方法では書き換えができない記
憶装置１０５、及びレスポンス生成情報を生成する際に
用いられ、検証者１１１との間で共有される一方向性ハ
ッシュ関数ｈ、同じくレスポンス生成情報を生成する際
に用いられ、センタ１２１との間で共有される秘密の一
方向性ハッシュ関数Ｆを備えている。記憶装置１０５に
は証明者が受けたサービスに対応する課金情報などが記
憶される。またトークン１０３には証明者１０１の有資
格性を保証するためのアクセスチケット１０４が演算装
置１０２を通して送信され、これを内部に保持すること
ができる。

【００２２】検証者１１１は認証プロトコルを実行する
演算装置１１２から成る。演算装置１１２は、チャレン
ジを生成する際に用いられ、認証者１０１と共有される
一方向性ハッシュ関数ｈを保持している。

【００２３】センタ１２１は、アクセスチケット生成装
置１２３、証明者情報データベース１２４、アクセスチ
ケット発行データベース１２５から成る。センタ１２１
は証明者の要求に応じて、証明者情報データベース１２
４、アクセスチケット発行データベース１２５から必要
な情報を取り出し、アクセスチケット生成装置１２３に
おいてアクセスチケット１２２を生成する。アクセスチ
ケット生成装置１２３は、アクセスチケットを生成する
際に用いられ、証明者１０１のトークン１０３との間で
共有される秘密の一方向性ハッシュ関数Ｆを備えてい
る。

【００２４】以下に証明者１０１、検証者１１１、セン
タ１２１が行う事前準備について説明する。

【００２５】センタ１２１は、証明者１０１の電話番
号、ＦＡＸ番号、住所などから成る公開情報Ｉ_Aを生成
する。次にセンタ１２１はＩ_AにＩＳＯ９７９６などで
定められる冗長性を加えて公開証明者情報Ｊ_Aを生成
し、これを公開する。

【００２６】またセンタ１２１は、このＪ_Aから証明者
秘密情報Ｃ_Aを以下の式に従って生成する。

【００２７】

【数８】Ｃ_AＪ_A ^-s ｍｏｄ ｎ ここで、ｓはセンタ１２１の秘密情報で、以下の式を満
たす正の整数である。

【００２８】

【数９】ｓｖ≡１ ｍｏｄ λ（ｐ−１，ｑ−１） 公開指数ｖはλ（ｐ−１，ｑ−１）と互いに素な素数な
ので、上記を満たす数ｓが存在する。この値は、例えば
ユークリッドの互除法などで法λ（ｐ−１，ｑ−１）の
下でのｖの逆数を求め、これをｓとすればよい。

【００２９】センタ１２１は、上式によって生成された
Ｃ_Aを証明者１０１に付帯させた状態で、証明者情報デ
ータベース１２４に格納する。

【００３０】次に検証者１１１は、ＲＳＡ暗号に基づい
た認証を行うために、検証者公開鍵（ｅ_B，ｎ’）、及
び検証者秘密鍵ｄ_Bを生成する。ここで、ｎ’はＲＳＡ
暗号に用いる法数で、素因数分解が困難な二つの大きな
素数ｐ’，ｑ’の積からなる合成数法数とし、ｅ_Bはλ
（ｐ’−１，ｑ’−１）と互いに素な小さな数とする。
ｅ_Bを小さな数とする理由は検証者の認証を行う証明者
１０１の計算量を少なくするためである。また検証者１
１１の秘密鍵ｄ_Bを以下の式を満たすものとする。

【００３１】

【数１０】 ｅ_Bｄ_BＢ≡１ ｍｏｄ λ（ｐ’−１，ｑ’−１） 上記の式を満たすｄ_Bを求めるには、例えばユークリッ
ドの互除法などで法λ（ｐ’−１，ｑ’−１）の下での
ｅ_Bの逆数を求め、これをｄ_Bとすればよい。こうして生
成した公開鍵（ｅ_B，ｎ’）を公開し、ｄ_Bを検証者１１
１の秘密情報として保持する。

【００３２】以上の検証者用の公開鍵、及び秘密鍵の生
成はセンタがこれを行い、秘密裏に秘密鍵を検証者１１
１へ送付してもよい。

【００３３】以下に証明者１０１の要求に応じて、セン
タ１２１がアクセスチケット１０４を生成する過程を説
明する。

【００３４】まず、認証者１０１は検証者１１１から受
けたいサービスをセンタ１２１に通知する。センタ１２
１は証明者に対して、その証明者に付帯されたトークン
秘密情報ｄ、及び証明者秘密情報Ｃ_Aを証明者情報デー
タベースから検索し、検証者１１１から受けるサービス
からアクセスチケット識別子Ｉ_t、及び証明者１０１に
割り当てられたサービス利用制限情報Ｌをアクセスチケ
ット発行データベースから取り出す。サービス利用制限
情報Ｌには、例えば年齢、資格などに応じた証明者の受
けることのできるサービスの制限を記載する。

【００３５】センタ１２１はｄ，Ｃ_A，Ｌ，Ｉ_tから以下
の式に従ってアクセスチケットｔを計算し、証明者１０
１にインターネットなどを使って送付する。

【００３６】

【数１１】ｔ＝Ｃ_AＦ（ｄ，Ｌ，Ｉ_t）^-1 次に認証の手順について説明する。認証の手順は以下の
ステップに従って実行される。

【００３７】［ステップ２００］証明者１０１は、トー
クン１０３において乱数ｒを生成する。

【００３８】［ステップ２０１］続いて証明者１０１
は、ステップ２００で生成した乱数ｒを用いてコミット
メントｗを以下の式に従って生成する。

【００３９】

【数１２】ｗ≡ｒ^v ｍｏｄ ｎ

【００４０】［ステップ２０２］続いて証明者１０１
は、ステップ２０１で生成したコミットメントｗを演算
装置１０２に送信する。

【００４１】［ステップ２０３］続いて証明者１０１
は、演算装置１０２を用いて、ステップ２０１で生成し
たコミットメントｗ、検証者１１１から受けたいサービ
スに対応するアクセスチケット識別子Ｉ_t、及び対応す
るサービス利用制限情報Ｌを検証者１１１の演算装置１
１２へ送信する。

【００４２】［ステップ２０４］検証者１１１は演算装
置１１２において乱数ｒ’を生成する。

【００４３】［ステップ２０５］続いて検証者１１１は
演算装置１１２においてステップ２０４で生成された乱
数ｒ’、サービスに対応する課金情報等のメッセージ
μ、アクセスチケット識別子Ｉ_tを用いて、

【００４４】

【数１３】δ＝μ｜Ｉ_t｜ｒ’ を生成する。上記で「｜」はビット結合を表わす。

【００４５】［ステップ２０６］続いて検証者１１１は
演算装置１１２において、証明者１０１から送られてき
たコミットメントｗの下位ビットをδで置き換えること
によって、ｗ［δ］を生成する。

【００４６】［ステップ２０７］続いて検証者１１１は
演算装置１１２においてステップ２０６で生成されたｗ
［δ］を用いて、検証者１１１の認証データＳを以下の
式に従って生成する。

【００４７】

【数１４】Ｓ≡ｗ［δ］^dB ｍｏｄ ｎ’

【００４８】［ステップ２０８］続いて検証者１１１は
演算装置１１２を用いて、ステップ２０７で生成された
検証者１１１の認証データＳと、課金情報などの証明者
に対するメッセージμ、ステップ２０４で生成された乱
数ｒ’をチャレンジとして証明者１０１に送信する。

【００４９】［ステップ２０９］続いて検証者１１１は
演算装置１１２を用いて、課金情報などの証明者に対す
るメッセージμ、ステップ２０４で生成された乱数
ｒ’、証明者１０１との間で共有している一方向性ハッ
シュ関数ｈを用いて、検証用指数ｇを以下の式に従って
生成する。

【００５０】

【数１５】ｇ＝ｈ（ｒ’，μ）

【００５１】［ステップ２１０］認証者１０１は演算装
置１０２を用いて、検証者１１１から送られてきた認証
データＳと、課金情報などの証明者に対するメッセージ
μ、チャレンジｒ’をトークン１０３へ送信する。

【００５２】［ステップ２１１］証明者１０１は、トー
クン１０３において、検証者１１１から送られてきた認
証データＳ、及び検証者１１１の公開鍵（ｅ_B，ｎ’）
を用いて、以下の値Ｓ’を計算する。

【００５３】

【数１６】Ｓ’≡Ｓ^eB ｍｏｄ ｎ’

【００５４】［ステップ２１２］続いて証明者１０１
は、トークン１０３において、ステップ２１１で生成し
たＳ’の上位ビットとステップ２０１で生成したｗの上
位ビットを比較し、同じ場合は検証者の認証が成功した
ものとしてステップ２１３へ進む。異なる場合は、不正
な検証者と見なして認証の手順を中止する。

【００５５】［ステップ２１３］続いて証明者１０１
は、トークン１０３において、検証者１１１から送られ
てきた乱数ｒ’、課金情報などの証明者に対するメッセ
ージμ、及び証明者１０１と共有している一方向性ハッ
シュ関数ｈを用いて、検証用指数ｇ’を以下の式に従っ
て生成する。

【００５６】

【数１７】ｇ’＝ｈ（ｒ’，μ）

【００５７】［ステップ２１４］続いて証明者１０１
は、トークン１０３において、ステップ２００で生成し
た乱数ｒ、ステップ２１３で生成した検証用指数ｇ’、
トークン１０３の記憶装置１０５内に記憶された証明者
の秘密情報ｄ、サービス利用制限情報Ｌ、アクセスチケ
ット識別子Ｉ_t、センタ１２１と共有している秘密の一
方向性ハッシュ関数Ｆを用いて、以下の式に従ってレス
ポンス生成情報ｙ’を生成する。

【００５８】

【数１８】ｙ’≡ｒＦ（ｄ，Ｌ，Ｉ_t）^g' ｍｏｄ ｎ

【００５９】［ステップ２１５］続いて証明者１０１
は、ステップ２１３で生成した検証用指数ｇ’、及びス
テップ２１４で生成したｙ’をトークン１０３から演算
装置１０２へ送信する。

【００６０】［ステップ２１６］続いて証明者１０１
は、検証者１１１から送られてきた課金情報などの証明
者に対するメッセージμに基づき、トークン１０３内の
記憶装置１０５内の情報を書き換える。

【００６１】［ステップ２１７］続いて証明者１０１
は、演算装置１０２において、ステップ２１４で生成し
たｙ’、アクセスチケットｔ，及びステップ２１３で生
成した検証用指数ｇ’を用いて、以下の式に従ってレス
ポンスｙを生成する。

【００６２】

【数１９】ｙ≡ｙ’ｔ^g' ｍｏｄ ｎ

【００６３】［ステップ２１８］続いて証明者１０１
は、ステップ２１７で生成したｙを演算装置１０２から
検証者１１１の演算装置１１２へ送信する。

【００６４】［ステップ２１９］検証者１１１は、演算
装置１１２において、証明者１０１の公開証明者情報Ｊ
_A、ステップ２０９で生成した検証用指数ｇ、証明者１
０１から送られてきたレスポンスｙ、及び公開指数ｖを
用いて、以下の式に従って検証情報ｗ’を生成する。

【００６５】

【数２０】ｗ’≡Ｊ_A ^gｙ^v ｍｏｄ ｎ

【００６６】［ステップ２２０］続いて検証者１１１
は、演算装置１１２において、証明者１０１から送られ
てきたコミットメントｗとステップ２１９で生成した検
証情報ｗ’を比較し、二つが一致すれば証明者１０１の
認証に成功したものとし、一致しなければ証明者１０１
の認証に失敗したものとする。

【００６７】以下に、正当な証明者が正当なアクセスチ
ケットを用いた場合には、検証者が計算するｗ’と証明
者が生成したコミットメントｗとが一致することを示
す。

【００６８】証明者及び検証者上記のステップに従って
計算をすると、明らかに

【００６９】

【数２１】ｇ＝ｇ’ が成立するので、

【００７０】

【数２２】 ｗ’≡Ｊ_A ^gｙ^v ｍｏｄ ｎ ≡Ｊ_A ^gｒ^vＦ（ｄ，Ｌ，Ｉ_t）^gvＣ_A ^gvＦ（ｄ，Ｌ，Ｉ_t） ^-gv ｍｏｄ ｎ ≡Ｊ_A ^gｒ^vＣ_A ^gv ｍｏｄ ｎ ≡ｒ^v（Ｊ_AＣ_A ^v）^g ｍｏｄ ｎ ≡ｒ^v（Ｊ_AＪ_A ^-sv）^g ｍｏｄ ｎ となる。ここで、ｓの条件より、

【００７１】

【数２３】ｓｖ≡１ ｍｏｄ λ（ｐ−１，ｑ−１） が成り立っている。これにより、

【００７２】

【数２４】ｓｖ＝Ｑλ（ｐ−１，ｑ−１）＋１ が成立する。ここで、上式でＱは適当な整数である。よ
って、

【００７３】

【数２５】 ここで、中国人剰余定理（Ｃｈｉｎｅｓｅ Ｒｅｍａｉ
ｎｄｅｒ Ｔｈｅｏｒｅｍ）、及びオイラーの定理よ
り、

【００７４】

【数２６】 が成り立つので

【００７５】

【数２７】Ｊ_A ^-sv≡Ｊ_A ^-1 ｍｏｄ ｎ が成立する。よって

【００７６】

【数２８】 ｗ’≡ｒ^v（Ｊ_AＪ_A ^-sv）^g ｍｏｄ ｎ ≡ｒ^v（Ｊ_AＪ_A ^-1）^g ｍｏｄ ｎ ≡ｒ^v ｍｏｄ ｎ となり、認証が成功することがわかる。

【００７７】上記の方法では、ゼロ知識証明方式を用い
ることにより証明者側の計算は数ビットから数十ビット
の小さなべき指数に関するべき乗剰余計算を主体とした
計算しか行わないため、大きなべき指数に関するべき乗
剰余計算を行うＲＳＡ暗号を用いた方式に比較して、高
速な認証が可能なことがわかる。

【００７８】上記では、証明者側の認証方式においてｖ
をλと互いに素なｖ≧３を満たす素数としたが、これを
ｖ＝２としても同じ効果が得られる。

【００７９】また、証明者側の認証方式、及び検証者側
の認証方式として合成数ｎを法とする有理整数環の剰余
類環の乗法群（Ｚ＝ｎＺ）^*上で定義された演算を用い
たゼロ知識証明、あるいはＳｃｈｎｏｒｒ署名方式を用
いたゼロ知識証明方式、あるいは楕円曲線上で定義され
た有限群を用いたゼロ知識証明方式、あるいは素数ｐを
法とする有理整数環の剰余類環の乗法群（Ｚ＝ｐＺ）^*
を用いたゼロ知識証明方式を用いても同様な効果が得ら
れる。

【００８０】

【発明の効果】以上説明したように、ゼロ知識証明方式
を用いた相互認証方式では、べき乗剰余計算に用いられ
る指数が数ビットから数十ビットで済むため、認証に必
要な計算量を大幅に削減することができ、認証の遅延を
防止することが可能となる。

【図面の簡単な説明】

【図１】 本発明の実施例の構成を示すブロック図であ
る。

【図２】 上述実施例の動作を説明するフローチャート
である。

【符号の説明】

１０１ 証明者 １０２ 演算装置 １０３ トークン １０４ アクセスチケット １０５ 記憶装置 １１１ 検証者 １１２ 演算装置 １２１ センタ １２２ アクセスチケット １２３ アクセスチケット生成装置 １２４ 証明者情報データベース １２５ アクセスチケット発行データベース

Claims (14)

【特許請求の範囲】
1. 【請求項１】 証明者が有資格者であることを保証する
   センターが生成する有資格情報を用い、証明者側の有資
   格性、および検証者側の認証の双方をゼロ知識証明方式
   を用いて行う相互認証方法であって、証明者が不正な操
   作を施すことが困難な演算方法によって生成されたレス
   ポンス生成情報に対して、センターが発行する有資格者
   情報を用いて該レスポンス生成情報に演算を施し、演算
   を施した情報をレスポンスとして検証者に提示すること
   により有資格者であることを証明することを特徴とする
   相互認証方法。
2. 【請求項２】 証明者側の有資格性の証明を行うための
   ゼロ知識証明方式として、零化域を求めることが計算量
   的に困難な有限アーベル群を用いたゼロ知識証明方式を
   用いる請求項１記載の相互認証方法。
3. 【請求項３】 検証者側の認証を行うためのゼロ知識証
   明方式として、零化域を求めることが計算量的に困難な
   有限アーベル群を用いたゼロ知識証明方式を用いる請求
   項１または２記載の相互認証方法。
4. 【請求項４】 検証者側の認証を行うためのゼロ知識証
   明方式において、検証者の署名を用いた認証方法を用い
   る請求項１、２または３記載の相互認証方法。
5. 【請求項５】 認証者側の認証を行うためのゼロ知識証
   明方式として、離散対数問題が計算量的に困難な有限群
   を用いたゼロ知識証明方式を用いる請求項１、２、３ま
   たは４記載の相互認証方法。
6. 【請求項６】 検証者側の認証を行うためのゼロ知識証
   明方式として、離散対数問題が計算量的に困難な有限群
   を用いたゼロ知識証明方式を用いる請求項１、２、３、
   ４または５記載の相互認証方法。
7. 【請求項７】 検証者から送られてくるチャレンジと共
   に認証者に対する指示情報を送信する請求項１、２、
   ３、４、５または６記載の相互認証方法。
8. 【請求項８】 証明器、検証器および有資格情報生成器
   を有し、証明者が有資格者であることを保証する有資格
   情報を用い、証明者側の有資格性、および検証者側の認
   証の双方をゼロ知識証明方式を用いて行う相互認証装置
   でにおいて、 上記有資格情報生成器は、上記証明者の有資格情報を生
   成する手段を有し、 上記証明器は、不正な操作を施すことが困難な演算方法
   によってレスポンス生成情報を生成する手段と、 上記レスポンス生成情報に対して、上記有資格情報生成
   器が発行した有資格者情報を用いて所定の演算を施しレ
   スポンスを生成する手段とを有し、 上記検証器は、上記レスポンスを用いて検証を行なう検
   証手段を有することを特徴とする相互認証装置。
9. 【請求項９】 上記証明器は証明者の演算装置、および
   該演算装置に接続された、外部から観察困難な装置内に
   保持された、演算装置及び記憶装置からなり、上記レス
   ポンス生成情報の生成に不可欠な証明者に付帯した秘密
   情報を、該観察困難な装置内の記憶装置に保持し、該秘
   密情報を用いたレスポンス生成情報の生成を該外部から
   観察困難な装置内の演算装置において生成する請求項８
   記載の相互認証装置。
10. 【請求項１０】 該外部から観察困難な装置内の演算装
    置をスマートカードでもって実現する請求項９記載の相
    互認証装置。
11. 【請求項１１】 レスポンス生成情報からレスポンスを
    生成する演算を行うソフトウェアに対して難読化処理を
    施すことにより、不正な操作を行うことが困難にする請
    求項８、９または１０記載の相互認証装置。
12. 【請求項１２】 検証者側の演算を行うソフトウェアに
    対して難読化処理を施すことにより、不正な操作を行う
    ことが困難にする請求項８、９、１０または１１記載の
    相互認証装置。
13. 【請求項１３】 外部から観測困難な装置内の情報を、
    検証者からの指示情報に基づいて書き換える請求項８、
    ９、１０、１１または１２記載の相互認証装置。
14. 【請求項１４】 上記外部から観測困難な装置内の情報
    として課金情報を含む請求項１３記載の相互認証装置。