DE69830100T2

DE69830100T2 - Verfahren und Vorrichtung zum Registrieren von Informationen bei mehreren Einrichtungen und Registriermedium mit darauf gespeichertem Registrierprogramm

Info

Publication number: DE69830100T2
Application number: DE69830100T
Authority: DE
Inventors: Hidemi Yokohama-shi Kanagawa Moribatake; Shin-ichi Zushi-shi Kanagawa Hirata
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1997-06-18
Filing date: 1998-06-17
Publication date: 2006-03-09
Anticipated expiration: 2018-06-18
Also published as: DE69830100D1; EP0886248A3; MY123961A; EP0886248B1; US20020010858A1; EP0886248A2; KR100327885B1; SG70087A1; HK1015498A1; KR19990007106A

Description

HINTERGRUND DER ERFINDUNG
Die vorliegende Erfindung bezieht sich auf ein Verfahren und eine Vorrichtung zur Registrierung mehrerer elektronischer Informationen bei mehreren Instituten durch Benutzung eines Telekommunikationssystems, beispielsweise in einem elektronischen Zahlungssystem. Außerdem betrifft die Erfindung einen Aufzeichnungsträger mit darauf gespeichertem Registrierprogramm.
Bei einem elektronischen Zahlungssystem beispielsweise registriert ein Benutzer seine generierte Information I_A bei einer Bank, veranlaßt die Bank dann, die Information I_A zu unterzeichnen und die unterzeichnete Information als eine Genehmigung auszustellen und benutzt diese, um ein weiteres Institut zu veranlassen, elektronisches Geld [e-Geld] auszustellen. In einem solchen Fall muß der Benutzer unterschiedliche Informationen I_A und I_B bei der Bank bzw. dem Ausgabeinstitut des elektronischen Geldes so registrieren, daß beide keine Kenntnis der bei dem anderen registrierten Information haben.
Um zum Beispiel zwei solche unterschiedlichen Informationen I_A und I_B bei zwei Instituten A und B zu registrieren, ohne Gefahr zu laufen, daß dem einen das offenbart wird, was bei dem anderen registriert wurde, muß das Institut A ein Paar öffentliche und geheime Schlüssel PK_A und SK_A vorbereiten, das Institut B muß ähnlich ein Paar öffentliche und geheime Schlüssel PK_B und SK_B vorbereiten, und der Benutzer muß die unterschiedlichen Informationen I_A und I_B durch Benutzung der öffentlichen Schlüssel PK_A bzw. PK_B verschlüsseln und die verschlüsselten Informationen getrennt voneinander bei den Instituten A und B registrieren. Das führt unweigerlich zu dem Problem, auf Seiten des Benutzers eine schwere Verarbeitungslast zu haben.
US-A-4984270 offenbart sichere Datenübertragung, bei der die Kennkarte eines Benutzers einen von einem Aussteller zugewiesenen Ausstellersicherheitsschlüssel enthält und die persönliche Identifikationsnummer (PIN) des Benutzers mit diesem Schlüssel chiffriert und zusammen mit Transaktionsdaten über Zwischenrechner (oder Knoten) zum Rechner des Ausstellers übertragen wird, wo die chiffrierte PIN mit dem Ausstellersicherheitsschlüssel dechiffriert wird. Dieses System erreicht hohe Sicherheit und hohe Übertragungsgeschwindigkeit durch Verschlüsseln der PIN mit dem Ausstellersicherheitsschlüssel und Vermeiden der Dechiffrierung und erneuten Chiffrierung an jedem Knoten. Aber bei diesem Stand der Technik dient keiner der Zwischenknoten als irgendein Institut zur Registrierung der Benutzerinformation. Die Transaktionsdaten werden den Zwischenknoten bloßgelegt. Obwohl das Dokument das Chiffrieren von Information mit dem Ausstellersicherheitsschlüssel auf der Benutzerseite lehrt, lehrt das Dokuments nichts über das Senden mehrerer Informationen, die getrennt an unterschiedlichen Instituten zu registrieren sind.
ZUSAMMENFASSUNG DER ERFINDUNG
Es ist daher eine Aufgabe der vorliegenden Erfindung, ein Verfahren und eine Vorrichtung zu schaffen, die eine Registrierung unterschiedlicher Benutzerinformationen bei einer Vielzahl von Instituten einfach dadurch erlauben, daß benötigte Information jedem von ihnen vorgelegt wird, ohne eine Chance zu bieten, daß das eine oder andere Institut die Information erhält, die bei dem anderen Institut registriert ist.
Eine weitere Aufgabe der vorliegenden Erfindung liegt in der Schaffung eines Aufzeichnungsträgers, auf dem ein Programme für eine derartige Registrierung von Information gespeichert ist/sind.
Diese Ziele werden mit einem Verfahren, Vorrichtung und Aufzeichnungsträger gemäß Anspruch 1, 6, 8 und 15 erreicht. Bevorzugte Ausführungsbeispiele der Erfindung sind der Gegenstand der abhängigen Ansprüche.
Die Grundsätze des Registrierungsverfahrens gemäß der vorliegenden Erfindung sind, daß der Benutzer die Informationen I_A und I_B zur Registrierung bei den Instituten A bzw. B generiert, dann die Information I_B mit einem Chiffrierschlüssel EK verschlüsselt, um Information EK(I_B) zu erhalten und dann diese Informationen I_A und EK(I_B) an das Institut A schickt. Das Institut A registriert die Information I_A als Benutzerinformation und sendet die Information EK(I_B) an das Institut B. Das Institut B entschlüsselt die Information EK(I_B) mit einem Chiffrierschlüssel EK und registriert die resultierende Information I_B.
Das Registrierungsverfahren gemäß der vorliegenden Erfindung weist die Schritte auf wie folgt:
Wenn ein Benutzer U die unterschiedlichen Informationen I_A und I_B bei einer Institut-A-Vorrichtung und einer Institut-B-Vorrichtung mittels einer Benutzervorrichtung registriert:
generiert die Benutzereinheit Schlüsselinformation K, die mit dem Institut B gemeinsam zu nutzen ist, und verschlüsselt die Informationen I_B und K, die bei der Institut-B-Vorrichtung zu registrieren sind, durch die Benutzung eines öffentlichen Schlüssels (PK_B) des Instituts B, wodurch Information PK_B(I_B, K) generiert wird;
sendet die Benutzervorrichtung die Informationen PK_B(I_B, K) und I_A an die Institut-A-Vorrichtung;
registriert die Institut-A-Vorrichtung, die in ihrer empfangenen Information enthaltene Benutzerinformation I_A und sendet die restliche Information PK_B(I_B, K) an die Institut-B-Vorrichtung; und
entschlüsselt die Institut-B-Vorrichtung die Information PK_B(I_B, K) mit ihrem eigenen geheimen Schlüssel SK_B, um I_B und K abzuleiten, und registriert I_B.
Wenn in diesem Fall die Institut-B-Vorrichtung ihre Signatur nicht an die Benutzervorrichtung sendet, um sie über die Registrierung der Benutzerinformation zu unterrichten, braucht die Schlüsselinformation K nicht generiert zu werden.
Statt die Information PK_B(I_B, K) zu generieren, kann die Benutzervorrichtung Information K(I_B) durch erschlüsseln von I_B mit K sowie Information PK_B(K) durch Verschlüsseln von K mit PK_B generieren und diese Informationen an die Institut-A-Vorrichtung senden. Die Institut-A-Vorrichtung sendet PK_B(K) und K(I_B) an die Institut-B-Vorrichtung. Die Institut-B-Vorrichtung entschlüsselt die verschlüsselte Information PK_B(K) mit ihrem geheimen Schlüssel SK_B, um die Schlüsselinformation K zu erhalten und benutzt sie zum Entschlüsseln der verschlüsselten Information K(I_B), um die Benutzerinformation I_B zu erhalten.
Ferner benutzt die Institut-A-Vorrichtung ihren geheimen Schlüssel SK_A, um eine Signatur des Instituts A der Information hinzuzufügen, die an die Institut-B-Vorrichtung gesandt wird, um dieser die Registrierung der Benutzerinformation beim Institut A anzuzeigen. Die Institut-B-Vorrichtung verifiziert die Gültigkeit der Signatur, die in der von der Institut-A-Vorrichtung erhaltenen Information enthalten ist durch die Verwendung ihres öffentlichen Schlüssels PK_A; die Institut-B-Vorrichtung schreitet nur dann zur Entschlüsselung, wenn die Signatur für gültig erachtet wird.
Die Bestätigung der Registrierung kann an die Benutzervorrichtung zum Beispiel per Post oder Telefon ausgegeben werden. Wenn eine derartige Nachricht über die Registrierung versendet wird, insbesondere die Signatur des Instituts B an die Benutzervorrichtung:
generiert die Institut-B-Vorrichtung Registrierbestätigungsinformation SK_B(I_B) durch Anhängen einer digitalen Signatur an die Benutzerinformation I_B durch die Benutzung des geheimen Schlüssels SK_B, generiert dann Information K(SK_B(I_B)) durch Verschlüsseln der Registrierbestätigungsinformation mit dem Benutzergeheimschlüssel K und sendet die verschlüsselte Information an die Institut-A-Vorrichtung;
generiert die Institut-A-Vorrichtung Information SK_A(I_A), die die Registrierung der Benutzerinformation I_A anzeigt, durch Anhängen einer digitalen Signatur an dieselbe mittels Benutzung des geheimen Schlüssels SK_A und sendet der Benutzervorrichtung die Information SK_A(I_A) und die von der Institut-B-Vorrichtung empfangene verschlüsselte Information K(SK_B(I_B)); und
erhält die Benutzervorrichtung die Registrierbestätigungsinformation SK_B(I_B) durch Entschlüsseln der Information K(SK_B(I_B)) mit dem Geheimschlüssel K, detektiert dann die Signatur SK_A(I_A) des Instituts A entsprechend der Benutzerinformation I_A und die Signatur SK_B(I_B) des Instituts B entsprechend der Benutzerinformation I_B, verifiziert dann die Gültigkeit der Signatur SK_A(I_A) mittels des öffentlichen Schlüssels PK_A des Instituts A und der Benutzerinformation I_A und die Gültigkeit der Signatur SK_B(I_B) mittels des öffentlichen Schlüssels PK_B und der Benutzerinformation I_B, und wenn beide für gültig erachtet werden, wird anerkannt, daß die Benutzerinformation bei beiden Instituten ordnungsgemäß registriert wurde.
Wie vorstehend beschrieben, macht es die vorliegende Erfindung dem Benutzer möglich, unterschiedliche Information bei einem anderen Institut zu registrieren, indem er diesem einfach die erforderliche Information vorlegt, ohne die Möglichkeit einzugehen, daß die Information anderen Instituten offengelegt wird.
KURZBESCHREIBUNG DER ERFINDUNG
1 ist ein Blockschaltbild zum Erläutern der Grundsätze des Verfahrens zum Registrieren von Information bei einer Vielzahl von Instituten gemäß der vorliegenden Erfindung;
2 ist ein Blockschaltbild der funktionalen Konfigurationen einer Benutzervorrichtung, einer Institut-A-Vorrichtung und einer Institut-B-Vorrichtung gemäß einem Ausführungsbeispiel der vorliegenden Erfindung;
3 ist ein Fließschema des bei der Systemkonfiguration gemäß 2 involvierten Prozedere;
4 ist ein Blockschaltbild einer abgewandelten Form des Ausführungsbeispiels gemäß 2;
5 ist ein Fließschema des bei der Systemkonfiguration gemäß 4 involvierten Prozedere;
6 ist ein Fließschema, welches eine Abwandlung des in 3 gezeigten Verfahrens darstellt;
7 ist ein Fließschema, welches eine Abwandlung des in 5 gezeigten Verfahrens darstellt;
8 ist ein Blockschaltbild der Konfiguration eines elektronischen Zahlungssystems, welches das Informationsregistrierverfahren gemäß der vorliegenden Erfindung verkörpert;
9 ist ein Blockschaltbild der Konfigurationen einer Benutzervorrichtung, einer Bankvorrichtung und einer e-Geldausgebervorrichtung zur Bearbeitung der Benutzerregistrierung in dem in 8 gezeigten e-Geldzahlungssystem;
10 ist ein Blockschaltbild der Konfigurationen der Benutzervorrichtung, der Bankvorrichtung und der e-Geldausgebervorrichtung für die Verarbeitung der e-Geldausstellung in dem in 8 gezeigten e-Geldzahlungssystem;
11 ist ein Blockschaltbild der Konfigurationen der Benutzervorrichtung und einer Ladenvorrichtung zur Verarbeitung der e-Geldzahlung in dem in 8 gezeigten e-Geldzahlungssystem; und
12 ist ein Blockschaltbild der Konfigurationen der Bankvorrichtung und der e-Geldausgebervorrichtung zur Verarbeitung der Abwicklung in dem e-Geldzahlungssystem.
DETAILLIERTE BESCHREIBUNG DES BEVORZUGTEN AUSFÜHRUNGSBEISPIELS
Unter Hinweis auf 1 werden die Grundsätze des Verfahrens zur Registrierung von Benutzerinformation bei einer Vielzahl von Instituten gemäß der vorliegenden Erfindung beschrieben.
Eine Institut-A-Vorrichtung 100, eine Institut-B-Vorrichtung 200 und eine Benutzervorrichtung 300 sind beispielsweise über Kommunikationsleitungen miteinander verbunden; aber sie können auch mittels einer Chipkarte oder dergleichen verbunden sein, auf der Information aufgezeichnet werden kann.
Die Systemkonfiguration der vorliegenden Erfindung beruht auf der Annahme, daß mindestens die Institut-B-Vorrichtung 200 ein Paar geheime und öffentliche Schlüssel SK_B und PK_B vorbereitet und den öffentlichen Schlüssel PK_B für die Benutzervorrichtung 300 bereitstellt. Ein Benutzer U benutzt einen Information erzeugenden Teil 33 der Benutzervorrichtung 300, um Information I_A zur Registrierung bei der Institut-A-Vorrichtung 100 und Information I_B zur Registrierung bei der Institut-B-Vorrichtung 200 zu generieren. Weiterhin benutzt der Benutzer U einen Chiffrierschlüssel EK zum Verschlüsseln der Information I_B in einem verschlüsselnden Teil 32, um Information EK(I_B) zu erhalten. Der Benutzer U sendet die Information I_A und die verschlüsselte Information EK(I_B) an die Institut-A-Vorrichtung 100, welche die Information I_A in einem Speicher 11 in Übereinstimmung zum Benutzer U registriert und dann die verschlüsselte Information EK(I_B) zur Institut-B-Vorrichtung 200 sendet. Die Institut-B-Vorrichtung 200 entschlüsselt die empfangene, verschlüsselte Information PK_B(I_B) mit einem Dechiffrierschlüssel DK in einem entschlüsselnden Teil 23, um die Information IB zu erhalten und registriert sie in einem Speicher 21 in Übereinstimmung zum Benutzer U.
In dem System gemäß 1 gibt es zwei Wege, um die Verschlüsselung der Information I_B mittels des verschlüsselnden Teils 32 der Benutzervorrichtung 300 und die Entschlüsselung der verschlüsselten Information EK(I_B) mittels des entschlüsselnden Teils 23 der Institut-B-Vorrichtung 200 durchzuführen, wie aus den weiter unten beschriebenen Ausführungsbeispielen zu entnehmen ist. Zuerst verschlüsselt die Benutzervorrichtung 300 die Information I_B, indem sie als Chiffrierschlüssel EK den öffentlichen Schlüssel PK_B der Institut-B-Vorrichtung 200 benutzt, um Information PK_B(I_B) zu erhalten, und sendet sie zusammen mit der Information I_A an die Institut-A-Vorrichtung 100, und die Institut-B-Vorrichtung 200 entschlüsselt die verschlüsselte Information PK_B(I_B), indem sie den geheimen Schlüssel SK_B als Dechiffrierschlüssel DK benutzt, um die Information I_B zu erhalten. Zweitens generiert die Benutzervorrichtung 300 Information K(I_B), indem sie ihren generierten gemeinsamen Schlüssel K als Dechiffrierschlüssel EK benutzt, und verschlüsselt den gemeinsamen Schlüssel K mit dem öffentlichen Schlüssel PK_B der Institut-B-Vorrichtung 200 zu PK_B(I_B) und sendet diese Informationen PK_B(I_B) und K(I_B) zusammen mit der Information I_A an die Institut-A-Vorrichtung 100, und die Institut-B-Vorrichtung 200 entschlüsselt die verschlüsselte Information PK_B(I_B) mit dem geheimen Schlüssel SK_B, um den gemeinsamen Schlüssel zu erhalten und entschlüsselt die Information K(I_B) mit dem Schlüssel K, um die Information I_B zu erhalten. Demzufolge kann das Institut A sich nicht mit der Information I_B vertraut machen, die beim Institut B in Übereinstimmung zum Benutzer U registriert ist, noch kann das Institut B sich mit der Information I_A vertraut machen, die beim Institut A in Übereinstimmung zum Benutzer U registriert ist.
Ausführungsbeispiel 1
2 zeigt in Blockform ein Beispiel der Systemkonfiguration zum Verwirklichen der Registrierung von Benutzerinformation bei einer Vielzahl von Instituten gemäß der vorliegenden Erfindung. 3 zeigt Verfahren zum Registrieren der Benutzerinformation bei den Instituten A und B in der Systemkonfiguration gemäß 2.
Dieses Ausführungsbeispiel beruht auf der Annahme, daß die Institut-A-Vorrichtung 100 den geheimen Schlüssel SK_A und den öffentlichen Schlüssel PK_A für ein Kryptosystem mit öffentlichem Schlüssel und ein System mit digitaler Signatur vorbereitet (sh. zum Beispiel Ikeno und Koyama "Modern Cryptology", Institute of Electronics, Information and Communication Engineers, Japan), und den öffentlichen Schlüssel PK_A an die Benutzervorrichtung 300 liefert, und daß ähnlich die Institut-B-Vorrichtung 200 den geheimen Schlüssel SK_B und den öffentlichen Schlüssel PK_B vorbereitet und letzteren der Benutzervorrichtung 300 bereitstellt.
Schritt S1: Der Benutzer U benutzt einen Information generierenden Teil 330 der Benutzervorrichtung 300 zum Erzeugen der Information I_A zur Registrierung bei der Institut-A-Vorrichtung 100 und der Information I_B zur Registrierung bei der Institut-B-Vorrichtung 200. Ferner benutzt der Benutzer U einen den gemeinsamen Schlüssel generierenden Teil 340, um den gemeinsamen Schlüssel K zu erzeugen und einen verschlüsselnden Teil 320, um die Information I_A und den gemeinsamen Schlüssel K mit dem öffentlichen Schlüssel PK_B zu verschlüsseln, um Information PK_B(I_B, K) zu erzeugen, und sendet die Informationen I_A und PK_B(I_B, K) an die Institut-A-Vorrichtung 100.
Schritt S2: Die Institut-A-Vorrichtung 100 benutzt einen Registrierteil 120, um die Information I_A und PK_B(I_B, K) im Speicher 110 zu speichern.
Schritt S3: Ferner benutzt die Institut-A-Vorrichtung 100 einen die Signatur generierenden Teil 130, um eine Signatur SK_A(PK_B(I_B, K)) an die verschlüsselte Information PK_B(I_B, K) durch Verwendung des geheimen Schlüssels SK_A anzuhängen, und sendet die Information SK_A(PK_B(I_B, K)) und PK_B(I_B, K) an die Institut-B-Vorrichtung 200.
Schritt S4: Die Institut-B-Vorrichtung 200 benutzt einen die Signatur verifizierenden Teil 220, um die Signatur SK_A(PK_B)I_B, K)) des Instituts A mit dem öffentlichen Schlüssel PK_A zu entschlüsseln und unternimmt eine Prüfung, um zu sehen, ob die resultierende Information PK_B(I_B, K)) mit der vom Institut A empfangenen Information PK_B(I_B, K) übereinstimmt. Wenn sie nicht zusammenpassen, wird die empfangene Information aufgegeben.
Wenn sie zusammenpassen, wird die empfangene Information PK_B(I_B, K) mit Hilfe des geheimen Schlüssels SK_B in einem entschlüsselnden Teil 230 entschlüsselt, um die Information I_B und den gemeinsamen Schlüssel K zu extrahieren.
Schritt S5: Das Institut N speichert die so erhaltene Information I_B und K über einen Registrierteil 240 in einem Speicher 210.
Schritt 6: Außerdem generiert das Institut B mit einem die Signatur generierenden Teil 250 mittels Benutzung des geheimen Schlüssels SK_B eine Signatur SK_B(I_B) für die Information I_B, verschlüsselt dann die Signatur SK_B(I_B) mit dem gemeinsamen Schlüssel K mittels eines verschlüsselnden Teils 260, um Information K(SK_B(I_B)) zu erzeugen, erzeugt dann mittels des die Signatur generierenden Teils 250 Signaturinformation SK_B(K(SK_B(I_B))) des Instituts B für die verschlüsselte Information (SK_B(I_B)) und sendet die verschlüsselte Information K(SK_B(I_B)) und die Signaturinformation SK_B(K(SK_B(I_B))) an die Institut-A-Vorrichtung 100.
Schritt S7: Die Institut-A-Vorrichtung 100 benutzt einen die Signatur verifizierenden Teil 140, um die Gültigkeit der Signatur SK_B(K(SK_B(I_B))) des Instituts B mit dem öffentlichen Schlüssel PK_B zu überprüfen. Wenn die Signatur SK_B(K(SK_B(I_B))) sich als ungültig herausstellt, wird die empfangene Information aufgegeben oder zerstört.
Wenn die Signatur SK_B(K(SK_B(I_B))) als gültig erachtet wird, erzeugt das Institut A Signaturinformation SK_A(I_A) des Instituts A für die bei ihm registrierte Benutzerinformation I_A mittels eines Signaturinformation erzeugenden Teils 150 unter Benutzung eines Schlüssels K_A und sendet die Signaturinformation SK_A(I_A) und die Information K(SK_B(I_B)) an die Benutzervorrichtung 300.
Schritt S8: Die Benutzervorrichtung 300 benutzt den gemeinsamen Schlüssel K, um mit einem entschlüsselnden Teil 350 die verschlüsselte Information K(SK_B(I_B)) zu entschlüsseln und dadurch die Signatur SK_B(I_B) des Instituts B zu extrahieren. Die Benutzervorrichtung 300 verifiziert die Signaturen SK_A(I_A) und SK_B(I_B) der Institute A und B mit Hilfe eines Paares aus dem öffentlichen Schlüssel PK_A des Instituts A und der Benutzerinformation I_A bzw. eines Paares aus dem öffentlichen Schlüssel PK_B des Instituts B und der Benutzerinformation I_B. Wenn sich eine der Signaturen SK_A(I_A) und SK_B(I_B) als ungültig erweist, zerstört die Benutzervorrichtung 300 beide, und wenn beide Signaturen für gültig erachtet werden, speichert die Benutzervorrichtung sie in einem Speicher 310.
Bei dem in 2 gezeigten Ausführungsbeispiel hat das Anheften der Signatur des Instituts A an die an das Institut B mittels des geheimen Schlüssels SK_A zu sendende Information PK_B(I_B, K) den Zweck, es dem Institut B möglich zu machen, sich zu vergewissern, daß die von ihm empfangene Information SK_A(PK_B(I_B, K)) ihm über einen normalen Weg, d.h. vom Institut A geschickt wurde. Das Institut B überprüft die Gültigkeit der unterzeichneten Information PK_B(I_B, K) vom Institut A mit Hilfe des öffentlichen Schlüssels PKA und stellt dadurch sicher, daß die Information PK_B(I_B, K) ordnungsgemäß vom Institut A empfangen wurde. Wenn eine derartige Verifizierung aber unnötig ist, kann das Institut A dem Institut B auch nur die empfangene Information PK_B(I_B, K) intakt, ohne beigefügte Signatur übermitteln. Ähnlich ist es, wenn das Institut A nicht sicherstellen muß, daß die empfangene Information K(SK_B(I_B)) vom Institut B empfangen wurde; dann braucht das Institut B dem Institut A nur die Information K(SK_B(I_B, K)) zu schicken, ohne ihre Signatur beizufügen. Das Institut A sendet die empfangene Information K(SK_B(I_B), K)) intakt an den Benutzer U.
Das vorstehend beschriebene Ausführungsbeispiel gemäß 2 kann so abgewandelt werden, wie es in 4 dargestellt ist. Ein abgewandeltes Registrierungsverfahren ist in 5 in Übereinstimmung zu 3 gezeigt. In 4 sind die den in 2 gezeigten Teilen entsprechenden Teile mit den gleichen Bezugsziffern versehen. Statt die verschlüsselte Information PK_B(I_B, K) zu generieren, erzeugt die Benutzervorrichtung 300 im Schritt S1 Information K(I_B) durch Verschlüsseln der Information I_B mit der Schlüsselinformation K in einem verschlüsselnden Teil 321 und Information PK_B(K) durch Verschlüsseln der Schlüsselinformation K mit dem öffentlichen Schlüssel PK_B in einem verschlüsselnden Teil 322 und sendet diese Informationen K(I_B) und PK_B(K) an die Institut-A-Vorrichtung 100.
Die Institut-A-Vorrichtung 100 speichert im Schritt S2 die Benutzerinformation I_A im Speicher 110 und speichert darin die Information K(I_B) statt der Information PK_B(I_B, K), und im Schritt S3 fügt sie ihre Signatur der Information K(I_B) mit dem geheimen Schlüssel SK_A im unterzeichnenden Teil 130 hinzu, woraufhin sie die Signatur SK_A(K(I_B)) und die Informationen PK_B(K) und K(I_B) an die Institut-B-Vorrichtung 200 sendet.
Die Institut-B-Vorrichtung 200 überprüft im Schritt S4 die Signatur SK_A(K)I_B)) mit dem Schlüssel PK_A im verifizierenden Teil 220. Wenn sich die Signatur als gültig herausstellt, entschlüsselt die Institut-B-Vorrichtung 200 die Information PK_B(K) mit dem geheimen Schlüssel SK_B in einem entschlüsselnden Teil 231, um die Schlüsselinformation K zu erhalten und benutzt die Schlüsselinformation K zum Entschlüsseln der Information K(I_B) in einem entschlüsselnden Teil 232, um die Information I_B zu erhalten. Nach dem Entschlüsseln wird in einem Schritt S5 die Benutzerinformation I_B und die Schlüsselinformation K im Speicher 210 gespeichert.
In 4 ist der Prozeß weggelassen, mit dem die Signaturen SK_A(I_A) und SK_B(I_B) dem Benutzer U gesandt werden, um ihm die Registrierung der Benutzerinformation anzuzeigen, denn dieser Prozeß ist identisch mit dem oben unter Hinweis auf 2 und 3 beschriebenen.
Im Fall der Ausführungsbeispiele gemäß 2 und 4 ist die Institut-A-Vorrichtung 100 so beschrieben worden, daß sie die verschlüsselte Information, unterzeichnet mit dem geheimen Schlüssel SK_A der Institut-B-Vorrichtung 200 als Information sendet, die die Registrierung der Information I_A anzeigt. Wenn aber die Information I_A und die Information I_B lediglich bei der Institut-A-Vorrichtung 100 bzw. der Institut-B-Vorrichtung 200 registriert sind, ohne daß irgendeine Möglichkeit besteht, daß die bei den beiden Institutvorrichtungen registrierte Information der jeweils anderen offenbart wird, braucht die Signatur mittels des geheimen Schlüssels SK_A nicht an die Institut-B-Vorrichtung 200 geschickt zu werden. Mit anderen Worten, das Unterzeichnen im unterzeichnenden Teil 130 im Schritt S3 kann weggelassen werden. Im Fall von 3 kann allein die Information PK_B(I_B, K) an das Institut B geschickt werden, wie in 6 gezeigt; und im Fall von 5 kann die Information K(I_B) und PK_B(K) an das Institut B geschickt werden, wie in 7 gezeigt. In den Fällen gemäß 6 und 7 verifiziert das Institut B also nicht die Signatur des Instituts A im Schritt S4, sondern erhält stattdessen lediglich die Information I_B und den Schlüssel K durch Entschlüsselung mittels des geheimen Schlüssels SK_B.
Ferner brauchen die Benutzerinformationen I_A und I_B nur bei der Institut-A-Vorrichtung 100 bzw. der Institut-B-Vorrichtung 200 registriert zu werden, und die Registrierungsnachricht kann dem Benutzer U zum Beispiel per Post oder Telefon zugestellt werden, statt elektronisch. In einem solchen Fall, und wenn die Benutzervorrichtung 300 die Signaturen SK_A(I_A) und SK_B(I_B) der Institut-A-Vorrichtung 100 und der Institut-B-Vorrichtung 200 nicht braucht, die an die Information I_A bzw. die Information I_B angehängt sind, können die in 2 gezeigten Teile 140 und 360 zur Verifizierung der Signatur, die unterzeichnenden Teile 150 und 250, der verschlüsselnde Teil 260 und der entschlüsselnde Teil 350 sowie die zugehörige Verarbeitung weggelassen werden. Im Ausführungsbeispiel gemäß 2 kann auf die Schlüsselinformation verzichtet werden. Zum Beispiel ist in einem elektronischen Zahlungssystem die Institut-A-Vorrichtung 100 eine Bank und die Institut-B-Vorrichtung 200 ein elektronisches Geld ausstellendes Institut; außer für den Fall, daß die Institut-A-Vorrichtung 100 nach Information verlangt, die I_B enthält, um Mißbrauch von elektronischem Geld behandeln zu können, besteht keine Notwendigkeit, die Informationen PK_B(I_B, K) und K(I_B) bei der Institut-A-Vorrichtung 100 in den Beispielen gemäß 2 und 4 zu registrieren.
Die Institut-A-Vorrichtung 100, die Institut-B-Vorrichtung 200 und die Benutzervorrichtung 300 haben die in 2 und 3 gezeigten funktionalen Konfigurationen. Ihre Verarbeitung ist rechnergestützt, und es wird ein Aufzeichnungsträger benutzt, auf dem das Programm dafür aufgezeichnet ist.
Ausführungsbeispiel 2
Als nächstes wird die vorliegende Erfindung in Anwendung an einem hierarchischen e-Geldzahlungssystem und eine Vorrichtung dafür beschrieben.
8 veranschaulicht ein Beispiel der Systemkonfiguration, auf die dieses Ausführungsbeispiel angewandt wird. Eine Vorrichtung eines elektronisches Geld ausgebenden Instituts (nachfolgend bezeichnet als ein Ausgeber I) 200, Vorrichtungen einer Vielzahl von Instituten, die Benutzerinformation (Kontoinformation) verwalten und e-Geldzahlungen mit Läden abwickeln (nachfolgend einfach als Banken bezeichnet) 100, eine Vorrichtung einer Person, an die elektronisches Geld ausgegeben wird (nachfolgend einfach als Benutzer bezeichnet) 300 und eine Vorrichtung eines Instituts, welches e-Geldzahlung vom Benutzer empfängt (nachfolgend einfach als ein Laden bezeichnet) 400 sind über Nachrichtenleitungen oder dergleichen miteinander verbunden. Diese Vorrichtungen können auch durch die Benutzung einer Chipkarte verbunden werden.
Die Bank 100 macht im voraus einen öffentlichen Schlüssel PS_B für digitale Signatur, der von einer Funktion der Signaturüberprüfung V_B gesetzt wird, und die Funktion V_B bekannt, und ein von einer Funktion S_B gesetzter geheimer Schlüssel SS_B wird vorerzeugt. Der Ausgeber 200 macht vorher einen öffentlichen Chiffrierschlüssel PE_I, der von einer Funktion E_I gesetzt wird, und einen öffentlichen Schlüssel PS_I für digitale Signatur, der von einer Funktion V_I gesetzt wird, bekannt, und ein geheimer Chiffrierschlüssel SE_I, der von einer Funktion D_I gesetzt wird, sowie ein geheimer Signaturschlüssel SS_I, der von einer Funktion S_I gesetzt wird, werden vorerzeugt. Den Chiffrierschlüssel PE_I öffentlich zu machen, geht von der Voraussetzung aus, die Chiffrierfunktion E_I öffentlich zu machen, die den öffentlichen Chiffrierschlüssel PE_I benutzt. Auch die Bekanntgabe des Schlüssels PS_I für digitale Signatur geht von der Voraussetzung aus, die Funktion der Signaturüberprüfung V_I = V_PSI bekannt zu machen, die den öffentlichen Schlüssel PS_I nutzt.
Wenn bei diesem Ausführungsbeispiel der Benutzer 300 die Bank 100 auffordert, ein Verfahren zur Ausgabe von elektronischem Geld in einem Nennbetrag X vorzunehmen, entnimmt die Bank 100 den Geldbetrag X vom Konto des Benutzers 300 und sendet die Aufforderung des Benutzers an den Ausgeber 200, nachdem sie der Aufforderung zur Bestätigung der Gültigkeit eine digitale Signatur beigefügt hat. Der Ausgeber 200 überprüft die Gültigkeit der Aufforderung und gibt elektronisches Geld im Nennbetrag X an den Benutzer 300 aus.
Hier generiert der Benutzer 300 als Aufforderungsinformation zur Ausgabe von elektronischem Geld Information, die einen Signaturüberprüfungs-Schlüssel N_U enthält, der für die Verifizierung einer Signatur des Benutzers in dem Verfahren für seine Zahlung von elektronischem Geld an einen Laden nötig ist. Und der Benutzer 300 befolgt das Verfahren gemäß Ausführungsbeispiel 1, um seinen wirklichen Namen bei der Bank 100 in Übereinstimmung mit seinem Konto und den Signaturüberprüfungs-Schlüssel N_U bei dem e-Geldausgeberinstitut 200 zu registrieren.
(A) Benutzerregistrierungsverfahren
Schritt 1: Unter Hinweis auf 9, in der Funktionsblöcke des Benutzers 300, der Bank 100 und des Ausgebers 200 dargestellt sind, wird zunächst ein Verfahren beschrieben, wie der Benutzer 300 seine Information bei der Bank 100 und dem Ausgeber 200 registriert. Der Benutzer 300 benutzt einen einen digitalen Signaturschlüssel erzeugenden Teil 330, um einen Signaturerzeugungs-Schlüssel SS_U zu generieren, d.h. eine Funktion der Signaturerzeugung S_U, sowie einen Signaturüberprüfungs-Schlüssel N_U. Ferner generiert der Benutzer 300 einen Chiffrierschlüssel K mittels eines einen Chiffrierschlüssel erzeugenden Teils 340 für einen gemeinsamen Chiffrierschlüssel (siehe zum Beispiel Ikeno und Koyama, "Modern Cryptology", Institut of Electronics, Information and Communication Engineers of Japan). Der Signaturerzeugungs-Schlüssel SS_U, der Signaturüberprüfungs-Schlüssel N_U und der Chiffrierschlüssel K, die so generiert wurden, werden in einem Speicher 30M gehalten (10). Als nächstes berechnet der Benutzer 300 E_I(K, N_U) mittels eines Chiffrierteils 320 zum Berechnen der Chiffrierfunktion E_I und sendet die errechnete Information zusammen mit dem Benutzernamen U an die Bank 100.
Schritt S2: Die Bank 100 stellt als erstes sicher, daß der Benutzername U einem befugten Benutzer entspricht, der ein Konto besitzt, und zeichnet dann den Benutzernamen U und die Information E_I(K, N_U) in einem Paar in einer Benutzerdatenbank 110 auf.
Als nächstes benutzt die Bank 100 die Signaturfunktion S_B in einem Signatur erzeugenden Teil 130, um dessen Signatur S_B = S_B(E_I, K, N_U)) für die Information E_I(K, N_U) zu berechnen und sendet Information {E_I(K, N_U), S_B} an den Ausgeber 200.
Schritt S3: Der Ausgeber 200 überprüft die Gültigkeit der von der Bank 100 gesandten Signatur S_B mit Hilfe der Signaturüberprüfungsfunktion V_B in einem Signatur verifizierenden Teil 220. Stellt sich die Signatur als gültig heraus, entschlüsselt der Ausgeber 200 die Information E_I(K, N_U) mit dem geheimen Chiffrierschlüssel SE_I in einem Entschlüsselungsteil 230 und erhält dadurch die Schlüssel K und N_U. Als nächstes ... der Ausgeber 200 eine Signatur S_I(N_U) für die Schlüsselinformation N_U in einem Signatur erzeugenden Teil 250 und speichert die Informationen N_U und E_I(K, N_U) in einem Paar in einer Suchdatenbank 210. Ferner benutzt der Ausgeber 200 den Schlüssel K als Chiffrierschlüssel in einem Verschlüsselungsteil 260, um die Signatur S_I(N_U) zu E_K(S_I(N_U)) zu chiffrieren und sendet sie dann an die Bank 100.
Schritt S4: Die Bank 100 sendet die Information E_K(S_I(N_U)) an den Benutzer 300.
Schritt S5: Der Benutzer 300 entschlüsselt seine empfangene Information E_K(S_I(N_U)) mit dem Schlüssel K in einem Entschlüsselungsteil 350 und extrahiert dadurch die Signatur S_I(N_U) des Ausgebers 200. Hier soll L = {N_U, S_I(N_U)} eine Genehmigung des Benutzers U darstellen.
Dieses Registrierverfahren entspricht dem des Ausführungsbeispiels gemäß 3. Das bedeutet, daß der Signaturüberprüfungs-Schlüssel N_U des Benutzers U der Information I_B in 3 entspricht und der wirkliche Name des Benutzers U der Information I_A. Die Bank 100 hat Kenntnis der Übereinstimmung zwischen der verschlüsselten Information E_I(K, N_U) und dem Benutzer U, kann aber die Information E_I(K, N_U) nicht entschlüsseln und ist folglich nicht in der Lage, die Schlüssel K und N_U kennenzulernen (das bedeutet, sie wird die Information I_B nicht wissen können). Das e-Geldausgeberinstitut 200 hingegen weiß, daß die Bank 100 die verschlüsselte Information E_I(K, N_U) hat, kann aber deren Übereinstimmung mit dem Benutzer nicht kennenlernen und wird folglich nicht imstande sein, den wirklichen Namen des Benutzers zu wissen, d.h. die Information I_A.
(B) e-Geldausgabeverfahren
Als nächstes wird unter Hinweis auf 10 das Verfahren beschrieben, mit dem der Benutzer elektronisches Geld bekommt.
Übrigens hält der Ausgeber 200 insgeheim den geheimen Schlüssel SE_I entsprechend dem öffentlichen Chiffrierschlüssel PE_I und die Entschlüsselungsfunktion D_I = D_SEI mittels des Schlüssels SE_I in einem Speicher 10M (10) in Übereinstimmung mit der Verschlüsselungsfunktion E_I mittels des öffentlichen Schlüssels PE_I; d.h., der Ausgeber 200 hält den Schlüssel SE_I im Verborgenen. Ferner hält der Ausgeber 200 die Signatur erzeugende Funktion S_I = S_SSI mittels des geheimen Schlüssels SS_I entsprechend dem öffentlichen Chiffrierschlüssel PS_I insgeheim in einem Speicher 20M (10) in Übereinstimmung mit der Signaturüberprüfungsfunktion V_I mittels des öffentlichen Schlüssels PS_I; d.h., daß der Ausgeber 200 den Schlüssel SS_I im Verborgenen hält. Ähnlich hält die Bank 100 insgeheim die Signatur erzeugende Funktion S_B = S_SSB mittels des geheimen Schlüssels SS_B entsprechend dem öffentlichen Schlüssel PS_B im Speicher 10M in Übereinstimmung mit der Signaturüberprüfungsfunktion V_B mittels des öffentlichen Schlüssels PS_B; d.h., die Bank 100 hält den Schlüssel SS_B im Verborgenen.
Der Benutzer 300 geht durch folgendes Verfahren, seine Bank 100 zur Entnahme des Geldbetrages X von seinem Konto zu bitten, um die Ausgabe von elektronischem Geld im Nennbetrag X anzufordern.
Schritt S1: Der Benutzer 300 liest aus dem Speicher 30M den Chiffrierschlüssel K, den Signaturerzeugungsschlüssel SS_U, die Signaturerzeugungsfunktion S_U und den Signaturüberprüfungs-Schlüssel N_U, die vom Benutzer 300 vorerzeugt wurden. Als Aufforderung zur Ausgabe von elektronischem Geld generiert der Benutzer 300 als nächstes Information E_I(X, K, N_U), erhalten durch Chiffrieren (X, K, N_U) mit der öffentlichen Chiffrierfunktion E_I und dem Chiffrierschlüssel PE_I in dem Verschlüsselungsteil 320 und sendet der Bank 100 eine Nachricht, um sie aufzufordern, den Geldbetrag X von dem Konto des Benutzers U zu entnehmen, und die verschlüsselte Information E_I(X, K, N_U). Bei dem Chiffrierschlüssel K handelt es sich um einen Schlüssel, den der Ausgeber 200 benutzt, um an den Benutzer 300 adressierte Rückinformation S_I(X, N_U) zu verschlüsseln, wie weiter unten beschrieben. Übrigens ist es wünschenswert, daß diese Nachricht authentifiziert wird, beispielsweise mit der digitalen Signatur des Benutzers U.
Schritt S2: Die Bank 100 prüft den Saldo des Benutzers U und verringert den Saldo um den Geldbetrag X. Alternativ kann der Abhebungsauftrag des Benutzers aufgezeichnet werden. Die Signatur des Benutzers, falls sie dieser Aufforderung beigefügt ist, hat besonders hohen Beweiswert. Die Abbuchung vom Konto des Benutzers kann jederzeit erfolgen, nachdem der Saldo geprüft wurde.
Als nächstes errechnet die Bank 100 in dem Signatur erzeugenden Teil 130 ihre Signatur S_B = S_B(X, E_I, (X, K, N_U)) für den Geldbetrag X und die Information E_I(X, K, N_U), die als Aufforderung zur Ausgabe von elektronischem Geld vom Benutzer 300 empfangen wurde, und sendet Information {S, E_I(X, K, N_U), S_B} an den Ausgeber 200.
Schritt S3: Der Ausgeber 200 überprüft die Gültigkeit der von der Bank 100 empfangenen Signatur S_B und benutzt dazu die Signaturüberprüfungsfunktion V_B in dem Signatur überprüfenden Teil 220. Wird die Signatur für gültig erachtet, entschlüsselt der Ausgeber 200 die Information E_I(X, K, N_U) mit dem geheimen Chiffrierschlüssel SE_I im Entschlüsselungsteil 230 und erhält dadurch die einzelnen Informationen X, K und N_U. Als nächstes nimmt der Ausgeber 200 eine Prüfung in einem Vergleichsteil 240 vor, um festzustellen, ob der von der Bank 100 empfangene Betrag X und der wie vorstehend beschrieben entschlüsselte Betrag X ... Wenn die Information X für gültig erachtet wird, generiert der Ausgeber 200 in dem Signatur erzeugenden Teil 250 seine Signatur S_I(X, N_U) für Information (X, N_U), die den Schlüssel N_U enthält, um die Signatur des Benutzers 300 zu verifizieren.
Außerdem zeichnet der Ausgeber 200 einen Satz Informationen N_U, E_I(X, K, N_U) und K sowie Information B der Bank 100 (deren Name oder Identifikationsnummer) in der Suchdatenbank 210 in Übereinstimmung mit einem Anfangswert Y = 0 des gebrauchten Gesamtgeldbetrages Y auf.
Dann verschlüsselt der Ausgeber 200 seine Signatur S_I(X, N_U) zu Information E_K(S_I(X, N_U)) mit Hilfe des Chiffrierschlüssels K im Verschlüsselungsteil 260 und sendet die verschlüsselte Information E_K(S_I(X, N_U)) an die Bank 100.
Schritt S4: Die Bank 100 sendet dem Benutzer 300 die vom Ausgeber 200 empfangene, verschlüsselte Information E_K(S_I(X, N_U)).
Schritt S5: Der Benutzer 300 benutzt den Schlüssel K im Entschlüsselungsteil 350 zum Entschlüsseln der empfangenen Information E_K(S_I(X, N_U)) und erhält die Signatur S_I(X, N_U) des Ausgebers 200.
Angenommen der Anfangswert des Saldos x des elektronischen Geldes sei durch x = X wiedergegeben, dann wird hier Information C = {x, X, N_U, S_I(N_U), S_I(X, N_U)} als elektronisches Geld im Betrag X im Speicher 30M zusammen mit der Schlüsselinformation SSU gespeichert. Das elektronische Geld C wird nachfolgend als das vom Ausgeber 200 ausgegebene elektronische Geld bezeichnet.
Zwar ist bei diesem Ausführungsbeispiel der Benutzer 300 als derjenige beschrieben worden, der den Signaturüberprüfungs-Schlüssel N_U generiert; aber dieser kann auch von einem anderen Institut, beispielsweise dem Ausgeber 200 generiert werden. In solch einem Fall sendet der Benutzer 300 Information EI(X, K) an die Bank 100. Von der Bank 100 wird die Information auf die gleiche Weise verarbeitet wie die Information E_I(X, K, N_U), und auch der Ausgeber 200 führt die Verarbeitung in der gleichen Weise aus wie vorstehend beschrieben, womit die Gültigkeit der der Information (X, E_I,(X, K)) beigefügten Signatur verifiziert wird, und zum Erhalten von X und K wird entschlüsselt. Danach erzeugt der Ausgeber 200 den Signaturüberprüfungs-Schlüssel N_U und verarbeitet X und N_U in der gleichen Weise wie oben und sendet E_K(N_U) über die Bank 100 an den Benutzer 300.
(C) Zahlung mit elektronischem Geld
Als nächstes folgt unter Hinweis auf 11 eine Beschreibung des Verfahrens, wie der Benutzer 300 einen Geldbetrag y (wobei y ¾ x) an den Laden 400 mit dem elektronischen Geld C im Nennbetrag X und Saldo x zahlt.
Schritt S1: Der Benutzer 300 sendet dem Laden 400 das aus dem Speicher 30M gelesene elektronische Geld C = {x, X, N_U, S_I(X, N_U), S_I(N_U)}.
Schritt S2: Der Laden 400 überprüft die Gültigkeit der Ausgebersignaturen S_I(N_U) und S_I(X, N_U) in einem Signatur überprüfenden Teil 410 mittels des öffentlichen Schlüssels PS_I zur Verifizierung der Signatur des Ausgebers 200. Wenn sie sich als gültig herausstellen, generiert der Laden 400 in einem Zufallserzeugerteil 450 Zufallszahlen R₁ und R₂, generiert dann in einem auf Zufallszeichen umrechnenden Teil 460 einen Wert G₁, der dadurch erhalten wird, daß dem Laden 400 entsprechende Information W mit der Zufallszahl R₁ umgerechnet wird, und einen Wert G₂, der dadurch erhalten wird, daß ein Signaturüberprüfungs-Schlüssel N_W mit der Zufallszahl R₂ umgerechnet wird, und sendet diese Werte G₁ und G₂ zusammen mit einer Transaktionskennung T_S, die in einem Transaktionskennungen erzeugenden Teil 430 generiert wird, an den Benutzer 300. Die Transaktionskennung T_S ist beispielsweise Information, die das Datum und die Zeit der Transaktion enthält.
Schritt S3: Der Benutzer 300 empfängt die Transaktionskennung T_S und die Werte G1 und G1 in einem Einwegfunktionen berechnenden Teil 380, um eine Funktion e = f(T_S, G₁, G₂) zu erhalten, generiert dann in einem Signatur erzeugenden Teil 370 eine Benutzersignatur S_U(e, y) für die Funktion e und den zu zahlenden Geldbetrag y und sendet die Benutzersignatur und den Geldbetrag y an den Laden 400.
Schritt S4: Wie im Fall des Benutzers 300, berechnet der Laden 400 die Funktion e aus der Transaktionskennung T_S und den Werten G₁ und G₂ in einem Einwegfunktionen berechnenden Teil 420, überprüft dann in einem Signaturen verifizieren Teil 440 die Gültigkeit der Benutzersignatur S_U(e, y) mit Hilfe des vom Benutzer 300 empfangenen Signaturüberprüfungs-Schlüssels N_U und nimmt in einem Vergleichsteil 470 eine Prüfung vor, um zu sehen, ob y ¾ x. Wenn sich beides als gültig erweist, gestattet oder bestätigt der Laden 400 die Zahlung mit elektronischem Geld im fraglichen Betrag y und speichert sämtliche Kommunikationsdaten H = {x, X, N_U, S₁,(N_U), S₁(X₁, N_U), T_S, G₁, G₂, R₁, R₂, y, S_U(e, y)} in einem Speicher 480.
(D) Abwicklung
Schließlich wird unter Hinweis auf 12 ein Verfahren zur Rechnungsabwicklung zwischen dem Laden 400 und der Bank 100 beschrieben.
Schritt S1: Der Laden 400 sendet dem Ausgeber 200 sämtliche Kommunikationsdaten H = {x, X, N_U, S₁(N_U), S₁(X, N_U), T_S, G₁, G₂, R₁, R₂, y, S_U(e, y)} zwischen dem Benutzer 300 und dem Laden 400.
Schritt S2: Ein Entscheidungs/Steuerteil 295 der Vorrichtung des Ausgebers 200 nimmt eine Prüfung vor, um zu sehen, ob der in den Kommunikationsdaten N enthaltene Signaturüberprüfungs-Schlüssel N_U für den Benutzer 300 in der Suchdatenbank 210 gespeichert ist. Wenn (X, N_U) in der Suchdatenbank 210 nicht gespeichert ist, nimmt der Ausgeber 200 an, daß der Benutzer 300 eine ungültige Zahlung vorgenommen hat und beginnt mit einem Verfahren zum Spezifizieren bösartiger Gegner. Wenn (X, N_U) gespeichert ist, berechnet der Ausgeber 200 in einem Summierteil 270 einen gebrauchten Gesamtgeldbetrag Y + y entsprechend (X, N_U), vergleicht dann den Gesamtbetrag Y + y mit dem Nennbetrag X in einem Vergleichsteil 290 und führt folgende Verarbeitung auf der Grundlage des Vergleichsergebnisses durch.

(a) Wenn der Gesamtwert Y + y kleiner ist als der Nennbetrag X, fordert der Laden 400 die Bank 100 auf, das Geld y auf sein Bankkonto zu zahlen. In diesem Fall muß die Bank, bei der der Laden 400 sein Konto hat, nicht immer die Bank 100 sein, bei der der Benutzer 300 sein Konto hat. Der Ausgeber 200 aktualisiert den Gesamtwert Y in der Suchdatenbank 210 mit Y + y und speichert die Kommunikationsdaten H in einer Ereignisdatenbank 280.
(b) Wenn Y + y = X, fordert der Laden 400 die Bank 100 auf, das Geld y auf sein Bankkonto zu zahlen. Und da das elektronische Geld vollständig ausgegeben worden ist, streicht der Ausgeber 200 die Information (X, N_U) und den entsprechenden Gesamtbetrag Y aus der Suchdatenbank 210.
(c) Wenn Y + y > X, streicht der Ausgeber 200 die Information (X, N_U) und den entsprechenden Gesamtbetrag Y aus der Suchdatenbank 210. Auch in diesem Fall nimmt der Ausgeber 200 an, daß der Benutzer 300 eine ungültige Zahlung gemacht hat und führt das Verfahren zum Spezifizieren bösartiger Gegner durch.

Schritt S3: Im Verfahren zum Spezifizieren bösartiger Gegner sendet der Ausgeber 200 vor dem Löschen der Information (X, N_U) der Bank 100 Information als Nachweis des bösartigen Spiels (sämtliche die ungültige Zahlung betreffenden Kommunikationsdaten N), das aus der Ereignisdatenbank 280 entnommen wurde, sowie die aus der Suchdatenbank 210 entnommenen Informationen (K, N_U) und E_I(K, N_U). Die Bank 100 überprüft die Gültigkeit des Nachweises des bösartigen Spiels (sämtliche die ungültige Zahlung betreffenden Kommunikationsdaten H) mit dem Signaturüberprüfungs-Schlüssel N_U in dem Signatur verifizierenden Teil 140. Ist der Beweis gültig, spezifiziert die Bank 100 den bösartigen Benutzer U aus der Benutzerdatenbank 110 mit Hilfe der verschlüsselten Information E_I(K, N_U) als Schlüssel.
Im oben beschriebenen Ausführungsbeispiel 2 ist es insgesamt möglich, eine gegebene Funktion g in g(X, N_U) = n oder {g(X), g(N_U)} = n umzuwandeln und das n als einen Wert entsprechend (X, N_U) zu benutzen. Mit anderen Worten, das oben beschriebene Ausführungsbeispiel benutzt eine Identitätsfunktion als Funktion g. Ferner kann die Information E_I(X, K, N_U) als eine Kombination der Informationen E_I(X, K) und E_I(N_U) betrachtet werden.
Wirkung der Erfindung
Wenn gemäß der vorliegenden Erfindung, wie vorstehend beschrieben, der Benutzer Informationen PK_B(I_B) und I_A oder PK_B(K), K(I_B) und I_A von der Benutzervorrichtung an die Institut-A-Vorrichtung (beispielsweise eine Bank) sendet, wird die Benutzerinformation I_A bei der Institut-A-Vorrichtung registriert, dann wird die I_B enthaltende Information von dort an die Institut-B-Vorrichtung gesendet, ohne daß irgendein Risiko besteht, daß die Benutzerinformation I_B der Institut-A-Vorrichtung offenbart wird, und wird bei der Institut-B-Vorrichtung registriert. Folglich braucht der Benutzer keine Verarbeitung zur individuellen Registrierung von Benutzerinformation bei der Institut-A-Vorrichtung und der Institut-B-Vorrichtung vorzunehmen. Folglich ist die Registrierverarbeitung einfach.
Außerdem heftet die Institut-A-Vorrichtung ihre Signatur an die von der Benutzervorrichtung empfangene Information an und sendet die unterzeichnete Information an die Institut-B-Vorrichtung. Die Institut-B-Vorrichtung überprüft die Gültigkeit der der Information beigefügten Signatur, die von der Institut-A-Vorrichtung empfangen wurde. Erweist sich die Signatur als gültig, kann anerkannt werden, daß die Institut-A-Vorrichtung die von der Benutzervorrichtung empfangene Information I_A bereits registriert hat.
Bei Anwendung der vorliegenden Erfindung auf das Verfahren zur Ermöglichung der e-Geldzahlung braucht der Benutzer nur ein einziges Verfahren über eine Bank durchzuführen, um seinen wirkli chen Namen U bei der Bank ohne jegliches Risiko der Offenlegung des Namens an den Ausgeber und des Überprüfungsschlüssels der Benutzersignatur NU beim Ausgeber zu registrieren, ohne daß irgendein Risiko besteht, daß der Schlüssel der Bank offenbart wird.
Es liegt auf der Hand, daß viele Abwandlungen und Änderungen vorgenommen werden können, ohne den Bereich der neuen Ideen der vorliegenden Erfindung zu verlassen.

Claims

Verfahren, mit dem ein Benutzer verschiedene Informationen bei Instituten A bzw. B in einem elektronischen Zahlungssystem registriert und das Institut B einen öffentlichen Schlüssel PK_B und einen geheimen Schlüssel SK_B vorerzeugt und dem Benutzer den öffentlichen Schlüssel PK_B bereitstellt und das Verfahren die Schritte aufweist, bei denen: (a) der Benutzer Informationen I_A und I_B generiert, die bei den Instituten A bzw. B zu registrieren sind; (b) der Benutzer einen gemeinsamen Chiffrierschlüssel K generiert, die Information I_B mit dem gemeinsamen Chiffrierschlüssel K verschlüsselt, um verschlüsselte Information K(I_B) zu erhalten, und den gemeinsamen Chiffrierschlüssel K mit dem öffentlichen Schlüssel PK_B chiffriert, um Information PK_B(K) zu erhalten, und die Information I_A und die verschlüsselten Informationen K(I_B) und PK_B(K) an das Institut A sendet; (c) das Institut A die Information I_A als Information entsprechend dem wirklichen Namen des Benutzers registriert und die Informationen K(I_B) und PK_B(K) an das Institut B sendet; und (d) das Institut B die Information PKB(K) mit dem geheimen Schlüssel SK_B entschlüsselt, um den gemeinsamen Chiffrierschlüssel K zu erhalten, und die Information K(I_B) mit dem gemeinsamen Chiffrierschlüssel K entschlüsselt, um die Information I_B zu erhalten, und dieses registriert.
Verfahren nach Anspruch 1, welches ferner einen Schritt aufweist, bei dem das Institut A einen öffentlichen Schlüssel PK_A und einen geheimen Schlüssel SK_A vorerzeugt und den öffentlichen Schlüssel PK_A öffentlich macht, und bei dem: der Schritt (c) einen Schritt umfaßt, der eine Signatur (SK_A(K(I_B)) des Instituts A für die Information K(I_B) generiert, die in der vom Benutzer empfangenen Information enthalten ist, und der diese Signatur SK_A(KI_B)) zusammen mit den Informationen PK_B(K) und K(I_B) an das Institut B sendet; und der Schritt (d) einen Schritt umfaßt, der mit dem öffentlichen Schlüssel PK_A die Gültigkeit der Signatur SK_A(K(I_B)) in der vom Institut A empfangenen Information verifiziert und, wenn die Signatur für gültig erachtet wird, die Information PK_B(K) entschlüsselt.
Verfahren nach Anspruch 1 oder 2, welches ferner die Schritte aufweist, bei denen: das Institut B: (1) den entschlüsselten gemeinsamen Chiffrierschlüssel K zusammen mit der Information I_B registriert; (2) eine digitale Signatur SK_B(I_B) für die Information I_B durch die Benutzung des geheimen Schlüssels SK_B generiert; (3) Information K(SK_B(I_B)) durch Verschlüsseln der digitalen Signatur SK_B(I_B) mit dem gemeinsamen Chiffrierschlüssel K generiert; (4) eine Signatur SK_B(K(SK_B(I_B))) des Instituts B für die Information (K(SK_B(I_B)) generiert; und (5) die Information K(SK_B(I_B)) und die Signatur SK_B(K(SK_B(I_B))) dafür an das Institut A sendet; das Institut A: (6) die Gültigkeit der Signatur SK_B(K(SK_B(I_B))) in vom Institut B empfangener Information durch die Benutzung des öffentlichen Schlüssels PK_B verifiziert; (7) wenn die Signatur SK_B(K(SK_B(I_B))) für gültig erachtet wird, eine digitale Signatur SK_A(I_A) für die Information I_A generiert; und (8) die digitale Signatur SK_A(I_A) und die vom Institut B empfangene Information K(SK_B(I_B)) an den Benutzer sendet; und der Benutzer: (9) die Information K(SK_B(I_B)) in vom Institut A empfangener Information durch die Benutzung des gemeinsamen Chiffrierschlüssels entschlüsselt und dadurch die digitale Signatur SK_B(I_B) erhält; und (10) die Gültigkeit der Signaturen SK_A(I_A) und SK_B(I_B) überprüft und, wenn sich beide als gültig erweisen, erkennt, daß die Informationen I_A und I_B beim Institut A bzw. Institut B registriert worden sind.
Verfahren nach Anspruch 1 oder 2, bei dem das Institut A auch Information registriert, die die Information I_B in der vom Benutzer empfangenen Information enthält.
Verfahren nach Anspruch 1 oder 2, welches ferner die Schritte aufweist, bei denen: das Institut B: (1) den entschlüsselten gemeinsamen Chiffrierschlüssel K zusammen mit der Information I_B registriert; (2) eine digitale Signatur SK_B(I_B) für die Information I_B durch die Benutzung des geheimen Schlüssels SK_B generiert; (3) die digitale Signatur SK_B(I_B) mit dem gemeinsamen Chiffrierschlüssel K verschlüsselt und dadurch Information K(SK_B(I_B)) erhält; und (4) die Information K(SK_B(I_B)) an das Institut A sendet; das Institut A: (5) die vom Institut B empfangene Information (K(SK_B(I_B)) an den Benutzer sendet; und der Benutzer: (7) die Information K(SK_B(I_B)) vom Institut A mit dem gemeinsamen Chiffrierschlüssel K entschlüsselt und dadurch die digitale Signatur SK_B(I_B) des Instituts B für die Information I_B erhält; und (8) die Gültigkeit der digitalen Signatur SK_B(I_B) mit dem öffentlichen Schlüssel PK_B überprüft und, wenn die digitale Signatur SK_B(I_B) für gültig erachtet wird, erkennt, daß die Information I_B bei dem Institut B registriert worden ist.
Benutzervorrichtung in einem elektronischen Zahlungssystem, bei dem ein Benutzer unter Anwendung des Verfahrens gemäß Anspruch 1 verschiedene Informationen I_A und I_B bei Instituten A bzw. B registriert, und die Benutzervorrichtung aufweist: einen Speicher (310) zum Speichern eines öffentlichen Schlüssels PK_B des Instituts B; eine Einrichtung (340) zum Erzeugen eines gemeinsamen Schlüssels, die einen gemeinsamen Chiffrierschlüssel K generiert und in dem Speicher (310) speichert; eine Einrichtung (330) zum Erzeugen von Information, die die Information I_A zur Registrierung bei dem Institut A und die Information I_B zur Registrierung bei dem Institut B generiert und die Informationen I_A und I_B in dem Speicher (310) speichert; eine erste Einrichtung (322) zum Verschlüsseln, die den gemeinsamen Chiffrierschlüssel K mit dem öffentlichen Schlüssel PK_B verschlüsselt, um Information PK_B(K) zu generieren; eine zweite Einrichtung (321) zum Verschlüsseln, die die Information I_B mit dem gemeinsamen Chiffrierschlüssel K verschlüsselt, um Information K(I_B) zu generieren; eine Einrichtung, die die Informationen PK_B(K), K(I_B) und I_A an das Institut A sendet; eine Einrichtung (350) zum Entschlüsseln, die vom Institut A empfangene Information K(SK_B(I_B)) entschlüsselt, um eine Signatur SK_B(I_B) zu erhalten; und eine Einrichtung (360) zur Signaturüberprüfung, die die Gültigkeit der Signatur SK_B(I_B) mit dem öffentlichen Schlüssel PK_B und der Information I_B verifiziert.
Vorrichtung nach Anspruch 6, bei der der Speicher (310) einen öffentlichen Schlüssel PK_A des Instituts A bewahrt und die Einrichtung (360) zur Signaturüberprüfung Einrichtungen umfaßt, die die Gültigkeit einer vom Institut A empfangenen Signatur SK_A(I_A) durch die Benutzung des öffentlichen Schlüssels PK_A und der Information I_A verifiziert.
Elektronisches Geldzahlungssystem mit: einer Benutzervorrichtung (300), die Einrichtungen zur Verwirklichung der Schritte (a) und (b) im Verfahren gemäß Anspruch 1 aufweist, eine Institut-A-Vorrichtung (100), die Einrichtungen zur Verwirklichung von Schritt (c) im Verfahren gemäß Anspruch 1 aufweist, und eine Institut-B-Vorrichtung (200), die Einrichtungen zur Verwirklichung von Schritt (d) im Verfahren gemäß Anspruch 1 aufweist.
System nach Anspruch 8, bei dem die Institut-A-Vorrichtung aufweist: einen Speicher (110), der einen öffentlichen Schlüssel PK_B des Instituts B speichert; eine Einrichtung, die in dem Speicher (110) die Information I_A und von dem Benutzer empfangene Informationen K(I_B) und PK_B(K) speichert; eine Einrichtung, die die von dem Benutzer empfangene Informationen PK_B(K) und K(I_B) an das Institut B sendet; und eine Einrichtung, die von dem Institut B empfangene Information K(SK_B(I_B)) an den Benutzer sendet.
System nach Anspruch 9, bei dem der Speicher (110) der Institut-A-Vorrichtung einen geheimen Schlüssel SK_A und einen öffentlichen Schlüssel PK_A des Instituts A bewahrt, die Institut-A- Vorrichtung ferner eine Einrichtung (130) zum Unterzeichnen aufweist, welche die vom Benutzer empfangene Information K(I_B) durch die Benutzung des geheimen Schlüssels SK_A unterzeichnet, um dadurch Signaturinformation SK_A(K(I_B)) zu erhalten, wobei die Einrichtung zum Senden beschaffen ist, die Signaturinformation SK_A(K(I_B)) zusammen mit den Informationen K(I_B) und PK_B(K) an das Institut B zu senden.
System nach Anspruch 9 oder 10, bei dem die Institut-A-Vorrichtung ferner eine Einrichtung (140) zur Signaturüberprüfung aufweist, die durch die Benutzung des öffentlichen Schlüssels PK_B die Gültigkeit jeder der von dem Institut B empfangenen Information K(SK_B(I_B)) und deren Signatur (SK_B(K(SK_B(I_B))) verifiziert.
System nach Anspruch 9 oder 10, bei dem die Institut-A-Vorrichtung ferner eine Einrichtung (150) zum Unterzeichnen aufweist, welche die Information I_A in dem Speicher (110) mit dem geheimen Schlüssel SK_A unterzeichnet, um dadurch eine Signatur SK_A(I_A) zu generieren, wobei die Signatur SK_A(I_A) zusammen mit der vom Institut B empfangenen Information K(SK_B)I_B)) an den Benutzer gesendet wird.
System nach einem der Ansprüche 8 bis 12, bei dem die Institut-B-Vorrichtung aufweist: einen Speicher (210), der geheime und öffentliche Schlüssel SK_B und PK_B des Instituts B speichert; eine erste Einrichtung (231) zum Entschlüsseln, die Information PK_B(K) von dem Institut A mit dem geheimen Schlüssel SK_B entschlüsselt, um einen gemeinsamen Chiffrierschlüssel K zu erhalten; eine zweite Einrichtung (232) zum Entschlüsseln, die Information K(I_B) von dem Institut A mit dem gemeinsamen Chiffrierschlüssel K entschlüsselt; eine Einrichtung, die die entschlüsselte Information I_B und den gemeinsamen Chiffrierschlüssel K in dem Speicher (210) speichert; eine Einrichtung (250) zum Unterzeichnen, die die Information I_B in dem Speicher mit dem geheimen Schlüssel SK_B unterzeichnet, um eine Signatur SK_B(I_B) zu erhalten; eine Einrichtung (260) zum Verschlüsseln, die die Signatur SK_B(I_B) mit dem gemeinsamen Chiffrierschlüssel K verschlüsselt, um Information K(SK_B(I_B)) zu generieren; und eine Einrichtung, welche die Information K(SK_B(I_B)) an das Institut A sendet.
System nach Anspruch 13, bei dem die Institut-B-Vorrichtung ferner eine Einrichtung (250) zum Unterzeichnen aufweist, welche die Information K(SK_B(I_B)) mit dem geheimen Schlüssel SK_B unterzeichnet, um Signaturinformation SK_B(K(SK_B(I_B))) zu generieren, wobei die Signaturinformation SK_B(K(SK_B(I_B))) zusammen mit der Information K(SK_B(I_B)) an das Institut A gesandt wird.
Aufzeichnungsträger, auf dem ein Programm zur Ausführung mittels eines Rechners der Benutzervorrichtung gemäß Anspruch 6 in einem elektronischen Zahlungssystem aufgezeichnet ist, bei dem ein Benutzer verschiedene Informationen I_A und I_B bei Instituten A bzw. B registriert, und das Programm die Schritte aufweist: Generieren eines gemeinsamen Chiffrierschlüssels K; Generieren der Information I_A zur Registrierung beim Institut A und der Information I_B zur Registrierung beim Institut B; Speichern des gemeinsamen Chiffrierschlüssels K und der Informationen I_A und I_B in einem Speicher; Verschlüsseln des gemeinsamen Chiffrierschlüssels K mit einem öffentlichen Schlüssel PK_B des Instituts B zum Generieren von Information PK_B (K); Verschlüsseln der Information I_B mit dem gemeinsamen Chiffrierschlüssel K, um Information K(I_B) zu erhalten; Senden der Informationen I_A, PK_B(K) und K(I_B) an das Institut A; Entschlüsseln der Information K(SK_B(I_B)) vom Institut A mit dem gemeinsamen Chiffrierschlüssel K, um eine Signatur SK_B(I_B) zu erhalten; und Überprüfen der Gültigkeit der entschlüsselten Signatur SK_B(I_B) mit dem öffentlichen Schlüssel PK_B und der Information I_B.
Aufzeichnungsträger gemäß Anspruch 15, bei dem das Programm ferner einen Schritt aufweist, der die Gültigkeit einer Signatur SK_A(I_A) von dem Institut A mit seinem öffentlichen Schlüssel PK_A und der Information I_A verifiziert.