JP2001024632A - 同報通信に適した認証方法 - Google Patents

Abstract

(57)【要約】 【課題】 並列Fiat-Shamir法による相手認証の通信量
を削減し、同報通信システムにおける認証を高速化す
る。 【解決手段】 並列Fiat-Shamir法における証明者１か
ら検証者２への前半のｗ個の送信データを１つに圧縮し
て送る。検証者２は、証明者１へｗ個の乱数を１回で送
る。証明者１は、後半のｗ個のデータを検証者２へ送
る。検証者２は、後半のデータを圧縮して前半のデータ
と比較する。一致すれば、１−(１／２) ^wの確率で、証
明者１が本人であることを確認できる。通信量は、並列
Fiat-Shamir法の約半分になる。また、証明者１から圧
縮した複数の前半データを同報送信し、複数の検証者２
で分担して検証することで、通信量と演算量を大幅に削
減できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、認証方法に関し、
特に、複数の通信機からなる同報通信可能な通信システ
ムにおける認証方法に関する。

【０００２】

【従来の技術】従来、認証方式の１つとして、並列Fiat
-Shamir法が知られている（詳細は、今井秀樹著「暗号
のおはなし」，日本規格協会，pp147-152を参照）。こ
の方式は、安全性が高く演算量も少ないが、データ通信
量や通信回数が多い。図６に、１対１の通信システムに
おける従来の認証方式の構成を示し、図７〜図１０に、
複数の通信機からなる同報通信可能な通信システムに、
単純に並列Fiat-Shamir法を適用した構成を示す。

【０００３】図６を参照して、１対１の通信システムに
おける従来のFiat-Shamir法による認証方法を説明す
る。信頼できる第３者の証明センターは、大きな素数
ｐ，ｑを生成して秘密に保持するとともに、合成数Ｎ
（＝ｐ×ｑ）を公開する。秘密鍵ｓ（１≦ｓ≦Ｎ−１）
を生成して、認証されることを望む通信機１（以下証明
者という）に秘密に保持させるとともに、公開鍵ｖ（ｓ
²×ｖ mod N＝１）を計算して公開する。秘密鍵ｓを保
持している者が本人であり、検証者２は、公開鍵ｖを使
って証明者が秘密鍵ｓを保持しているか否かを、秘密鍵
ｓを知ることなく検証する。

【０００４】証明者１と検証者２の間で、認証の繰返し
回数ｗを決める。証明者１は、ｗ個の乱数ｒ_i（１≦ｉ
≦ｗ）を生成し、 Ｘ_i＝ｒ_i ² mod N（１≦ｉ≦ｗ） を計算して、検証者２にｗ個の乱数ｒ_i（１≦ｉ≦ｗ）
を送る。検証者２は、ｗ個のＸ_i（１≦ｉ≦ｗ）を受信
すると、値が“０”または“１”のｗ個の乱数ｅ_i（１
≦ｉ≦ｗ）を生成して、ｗ個のｅ_i（１≦ｉ≦ｗ）を証
明者１に送る。証明者１は、 Ｙ_i＝ｒ_i×ｓ^ei mod N（１≦ｉ≦ｗ） を計算して、検証者２にｗ個のＹ_i（１≦ｉ≦ｗ）を送
る。検証者２は、 Ｙ_i ²×ｖ^ei≡Ｘ_i（mod N）（１≦ｉ≦ｗ） を検証する。ｗ回の検証が成功すれば、検証者２は、１
−(１／２)^wの確率で、証明者１が公開鍵ｖに対応する
秘密鍵ｓを保持していること、すなわち本人であること
を確認できる。１回でも検証に失敗すれば、証明者１は
本人でないことがわかる。

【０００５】図７〜図１０を参照して、並列Fiat-Shami
r法による認証方法を説明する。信頼できる第３者の証
明センターは、大きな素数ｐ，ｑを生成して秘密に保持
するとともに、合成数Ｎ（＝ｐ×ｑ）を公開する。通信
機数ｎ＝５とする。１台の通信機を証明者１とし、４台
の通信機を検証者２とする。証明センターは、秘密鍵ｓ
（１≦ｓ≦Ｎ−１）を生成して、証明者１に秘密に保持
させるとともに、公開鍵ｖ（ｓ²×ｖ mod N＝１）を計
算して公開する。証明者１と検証者２の間で、認証の繰
返し回数ｗ＝８を決める。

【０００６】図７に示すステップ（１）において、証明
者１は、８×４個の乱数ｒ_jw（１≦ｊ≦４，１≦ｗ≦
８）を生成し、 Ｘ_jw＝ｒ_jw ² mod N を計算して検証者２に同報する。ｊ番目の検証者２（検
証者ｊ）は、Ｘ_j1〜Ｘ_j8を受信する（１≦ｊ≦４）。

【０００７】図８に示すステップ（２）において、検証
者ｊは、乱数ｅ_j1〜ｅ_j8（１≦ｊ≦４）を発生して、証
明者１に送る。証明者１は、ｅ_jw（１≦ｊ≦４，１≦ｗ
≦８）を受信する。

【０００８】図９に示すステップ（３）において、証明
者１は、 Ｙ_jw＝ｒ_jw×ｓ^ejw mod N（１≦ｊ≦４，１≦ｗ≦８） を計算して、検証者２に同報する。検証者ｊは、Ｙ_j1〜
Ｙ_j8（１≦ｊ≦４）を受信する。

【０００９】図１０に示すステップ（４）において、検
証者ｊは、 Ｙ_jw ²×ｖ^ejw≡Ｘ_jw（mod N）（１≦ｊ≦４，１≦ｗ≦
８） が成立するか否か検査する。各検証者２がすべての検証
に成功すれば、１−(１／２)⁸の確率で、各検証者は証
明者１が公開鍵ｖに対応する秘密鍵ｓを保持しているこ
と、すなわち本人であることを確認できる。

【００１０】

【発明が解決しようとする課題】しかしながら、上記従
来の認証方式においては、データ通信量や通信回数が多
く、実用上は効率が悪いという欠点がある。特に、この
方式を同報通信システムに単純に適用すると、非常にト
ラフィックが大きくなるという問題を有していた。

【００１１】本発明は、上記従来の問題を解決するもの
で、並列Fiat-Shamir法を用いた認証方法において、デ
ータ通信量と通信回数および演算量を削減して、高速に
認証を行なうことを目的とする。

【００１２】

【課題を解決するための手段】上記問題を解決するため
に、本発明では、複数台の通信機からなる通信システム
における認証方法を、通信機のうち認証されることを望
む通信機（証明者）は、あらかじめ、所定の大きさの素
数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ
（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝１）を
生成して、ｐ，ｑ，ｓを秘密鍵として安全に保管し、
Ｎ，ｖを公開鍵として公開し、任意の圧縮関数ｈ( ‖
‖…‖ )を公開し、認証の繰返し回数をｗと定め、認証
を受ける際には、(１)証明者は、ｗ個の乱数ｒ_i（１≦
ｉ≦ｗ）を生成し、前半情報 Ｘ＝ｈ(ｒ₁ ² mod N‖ｒ₂
² mod N‖…‖ｒ_w ² mod N) を計算して通信機のうち検
証を依頼する通信機（検証者）に送信し、(２)検証者
は、値が“０”または“１”のｗ個の乱数ｅ_i（１≦ｉ
≦ｗ）を生成して証明者に送信し、(３)証明者は、ｗ個
の検証情報 Ｙ₁＝ｒ₁×ｓ^e1 mod N，Ｙ₂＝ｒ₂×ｓ^e2 m
od N，…，Ｙ_w＝ｒ_w×ｓ^ewmod N を計算して検証者に
送信し、(４)検証者は検証式 ｈ(Ｙ₁ ²×ｖ^e1 modN‖Ｙ
₂ ²×ｖ^e2 mod N‖…‖Ｙ_w ²×ｖ^ew mod N)＝Ｘ が成り
立つことを検算し、成り立つ場合には証明者を認証し、
成り立たない場合には証明者を認証しない構成とした。

【００１３】このように構成したことにより、証明者か
ら検証者へのデータ通信量と通信回数を削減することが
できる。

【００１４】また、(１)証明者は、検証者ｊ（１≦ｊ≦
ｎ−１）に対して、ｎ≧ｗの場合は、ｎ−１個の乱数ｒ
_jを生成して前半情報 Ｘ_j＝ｒ_j ² mod N（１≦ｊ≦ｎ−
１）を計算して同報通信し、ｎ＜ｗの場合は、ｗ個の乱
数ｒ₁，…，ｒ_wを生成してｗ個の前半情報 Ｘ_j＝ｒ_j ²
mod N， Ｘ_j+n-1＝ｒ_j+n-1 ² mod N， Ｘ_j+2(n-1)＝ｒ
_j+2(n-1) ² mod N，… を計算して同報通信し、(２)検
証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩ
Ｄに対応した前半情報Ｘ_jを保持し、値が“０”または
“１”の乱数ｅ_jを同報通信し、ｎ＜ｗの場合は自身の
ＩＤに対応した前半情報Ｘ_j，Ｘ_j+n-1，Ｘ_j+2(n-1)，…
を保持し、値が“０”または“１”の乱数ｅ_j，
ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)証明者
は、ｎ≧ｗの場合はｅ_jを用いてｎ−１個の検証情報
Ｙ_j＝ｒ_j×ｓ^ej mod N を計算して同報通信し、ｎ＜ｗ
の場合はｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を用いてｗ個の
検証情報Ｙ_j＝ｒ_j×ｓ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ
^ej+n-1 mod N， Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod
N，… を計算して同報通信し、(４)検証者ｊは、ｎ≧
ｗの場合は検証式 Ｙ_j ²×ｖ^ej mod N＝Ｘ_j が成り立
つことを確認し、ｎ＜ｗの場合は検証式 Ｙ_j ²×ｖ^ej m
od N＝Ｘ_j， Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N＝Ｘ_j+n-1，Ｙ
_j+2(n-1) ²×ｖ^ej+2(n-1) mod N＝Ｘ_j+2(n-1)，… が成
り立つことを確認し、成り立たない場合は、不成立であ
ることを同報通信し、成り立つ場合には、他の検証者か
ら不成立であることが同報通信されないかぎりは、認証
したとする構成とした。

【００１５】このように構成したことにより、証明者か
ら検証者への通信量と検証者の演算量を削減できる。

【００１６】また、(１)証明者は、検証者ｊ（１≦ｊ≦
ｎ−１）に対して、ｎ≧ｗの場合はｎ−１個の乱数ｒ_j
を生成してｎ−１個の前半情報 Ｘ_j＝ｈ(ｒ_j ² mod Ｎ)
を計算して同報通信し、ｎ＜ｗの場合はｗ個の乱数ｒ
₁，…，ｒ_wを生成してｎ−１個の前半情報 Ｘ_j＝ｈ(ｒ
_j ² mod N‖ｒ_j+n-1 ² mod N‖ｒ_i+2(n-1) ² mod N‖…)を
計算して同報通信し、(２)証検証者ｊ（１≦ｊ≦ｎ−
１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報
Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_jを同報
通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報
Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_j，ｅ
_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)証明者は、
ｎ≧ｗの場合はｅ_jを用いてｎ−１個の検証情報 Ｙ_j＝
ｒ_j×ｓ^ejmod N（１≦ｊ≦ｎ−１） を計算して同報通
信し、ｎ＜ｗの場合はｅ_j，ｅ_{j+n -1}，ｅ_j+2(n-1)，…
（１≦ｊ≦ｎ−１）を用いてｗ個の検証情報 Ｙ_j＝ｒ_j
×ｓ ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N， Ｙ
_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1)mod N，…（１≦ｊ≦ｎ−
１） を計算して同報通信し、(４)検証者ｊは、ｎ≧ｗ
の場合は検証式 ｈ(Ｙ_j ²×ｖ^ej mod N)＝Ｘ_j が成り
立つことを確認し、ｎ＜ｗの場合は検証式 ｈ(Ｙ_j ²×
ｖ^ej mod N‖Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N‖Ｙ_{j+2 (n-1)} ²
×ｖ^ej+2(n-1) mod N)＝Ｘ_j が成り立つことを確認
し、成り立たない場合は、不成立であることを同報通信
し、成り立つ場合には、他の検証者から不成立であるこ
とが同報通信されないかぎりは、認証したとする構成と
した。

【００１７】このように構成したことにより、証明者か
ら検証者への通信量と検証者の演算量を削減できる。

【００１８】

【発明の実施の形態】本発明の請求項１に記載の発明
は、複数台の通信機からなる通信システムにおいて、前
記通信機のうち認証されることを望む通信機（以下証明
者という）は、あらかじめ、所定の大きさの素数ｐ，ｑ
とその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦
Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝１）を生成して、
前記ｐ，ｑ，ｓを秘密鍵として安全に保管し、前記Ｎ，
ｖを公開鍵として公開し、任意の圧縮関数ｈ( ‖ ‖…
‖ )を公開し、認証の繰返し回数をｗと定め、認証を受
ける際には、(１)前記証明者は、ｗ個の乱数ｒ_i（１≦
ｉ≦ｗ）を生成し、前半情報 Ｘ＝ｈ(ｒ₁ ² mod N‖ｒ₂
² mod N‖…‖ｒ_w ² mod N) を計算して前記通信機のう
ち検証を依頼する通信機（以下検証者という）に送信
し、(２)前記検証者は、値が“０”または“１”のｗ個
の乱数ｅ_i（１≦ｉ≦ｗ）を生成して前記証明者に送信
し、(３)前記証明者は、ｗ個の検証情報 Ｙ₁＝ｒ₁×ｓ
^e1 mod N，Ｙ₂＝ｒ₂×ｓ^e2 mod N，…，Ｙ_w＝ｒ_w×ｓ^ew
mod N を計算して前記検証者に送信し、(４)前記検証
者は検証式 ｈ(Ｙ₁ ²×ｖ^e1 mod N‖Ｙ₂ ²×ｖ^e2 mod N
‖…‖Ｙ_w ²×ｖ^ew mod N)＝Ｘ が成り立つことを検算
し、成り立つ場合には証明者を認証し、成り立たない場
合には証明者を認証しない認証方法であり、証明者の通
信量を減少するという作用を有する。

【００１９】本発明の請求項２に記載の発明は、ｎ台
（ｎ≧２）の通信機からなる同報通信可能な通信システ
ムにおいて、前記通信機のうち認証されることを望む通
信機（以下証明者という）は、あらかじめ、所定の大き
さの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整
数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝
１）を生成して、前記ｐ，ｑ，ｓを秘密鍵として安全に
保管し、前記Ｎ，ｖを公開鍵として公開し、認証の繰返
し回数をｗと定め、認証を受ける際には、前記証明者を
除く通信機（以下検証者という）のＩＤをｊ（１≦ｊ≦
ｎ−１）とし、(１)前記証明者は、前記検証者ｊ（１≦
ｊ≦ｎ−１）に対して、ｎ≧ｗの場合：ｎ−１個の乱数
ｒ_jを生成して前半情報 Ｘ_j＝ｒ_j ² mod N（１≦ｊ≦ｎ
−１）を計算して同報通信し、ｎ＜ｗの場合：ｗ個の乱
数ｒ₁，…，ｒ_wを生成してｗ個の前半情報 Ｘ_j＝ｒ_j ²
mod N， Ｘ_j+n-1＝ｒ_j+n-1 ² mod N， Ｘ_j+2(n-1)＝ｒ
_{j+2(n- 1)} ² mod N，… を計算して同報通信し、(２)前
記検証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合：自身
のＩＤに対応した前記前半情報Ｘ_jを保持し、値が
“０”または“１”の乱数ｅ_jを同報通信し、ｎ＜ｗの
場合：自身のＩＤに対応した前記前半情報Ｘ_j，
Ｘ_j+n-1，Ｘ_j+2(n-1)，…を保持し、値が“０”または
“１”の乱数ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信
し、(３)前記証明者は、ｎ≧ｗの場合：ｅ_jを用いてｎ
−１個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N を計算して
同報通信し、ｎ＜ｗの場合：ｅ_j，ｅ_j+n-1，
ｅ_j+2(n-1)，…を用いてｗ個の検証情報 Ｙ_j＝ｒ_j×ｓ
^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N， Ｙ
_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod N，… を計算して同
報通信し、(４)前記検証者ｊは、ｎ≧ｗの場合：検証式
Ｙ_j ²×ｖ^ej mod N＝Ｘ_j が成り立つことを確認し、
ｎ＜ｗの場合：検証式 Ｙ_j ²×ｖ^ej mod N＝Ｘ_j， Ｙ
_j+n-1 ²×ｖ^ej+n-1 mod N＝Ｘ_j+n-1， Ｙ_j+2(n-1) ²×ｖ
^ej+2(n-1) mod N＝Ｘ_j+2(n-1)，… が成り立つことを
確認し、成り立たない場合は、不成立であることを同報
通信し、成り立つ場合には、他の検証者から不成立であ
ることが同報通信されないかぎりは、認証したとする認
証方法であり、証明者の通信量と検証者の演算量を減少
するという作用を有する。

【００２０】本発明の請求項３に記載の発明は、ｎ台
（ｎは２以上の整数）の通信機からなる同報通信可能な
通信システムにおいて、前記通信機のうち認証されるこ
とを望む通信機（以下証明者という）は、あらかじめ、
所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）
と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖm
od N＝１）を生成して、前記ｐ，ｑ，ｓを秘密鍵として
安全に保管し、前記Ｎ，ｖを公開鍵として公開し、任意
の圧縮関数ｈ( ‖ ‖…‖ )を公開し、認証の繰返し回
数をｗと定め、認証を受ける際には、前記証明者を除く
通信機（以下検証者という）のＩＤをｊ（１≦ｊ≦ｎ−
１）とし、(１)前記証明者は、前記検証者ｊ（１≦ｊ≦
ｎ−１）に対して、ｎ≧ｗの場合：ｎ−１個の乱数ｒ_j
を生成してｎ−１個の前半情報 Ｘ_j＝ｈ(ｒ_j ² mod Ｎ)
を計算して同報通信し、ｎ＜ｗの場合：ｗ個の乱数
ｒ₁，…，ｒ_wを生成してｎ−１個の前半情報 Ｘ_j＝ｈ
(ｒ_j ² mod N‖ｒ_j+n-1 ² mod N‖ｒ_i+2(n-1) ² mod N‖
…) を計算して同報通信し、(２)前記証検証者ｊ（１
≦ｊ≦ｎ−１）は、ｎ≧ｗの場合：自身のＩＤに対応し
た前記前半情報Ｘ_jを保持し、値が“０”または“１”
の乱数ｅ_jを同報通信し、ｎ＜ｗの場合：自身のＩＤに
対応した前記準備情報Ｘ_jを保持し、値が“０”または
“１”の乱数ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信
し、(３)前記証明者は、ｎ≧ｗの場合：ｅ_jを用いてｎ
−１個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N（１≦ｊ≦ｎ
−１） を計算して同報通信し、ｎ＜ｗの場合：ｅ_j，
ｅ_j+n-1，ｅ_{j+2(n- 1)}，…（１≦ｊ≦ｎ−１）を用いて
ｗ個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N，Ｙ_j+n-1＝ｒ_j
×ｓ^ej+n-1 mod N， Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) m
od N，…（１≦ｊ≦ｎ−１） を計算して同報通信し、
(４)検証者ｊは、ｎ≧ｗの場合：検証式 ｈ(Ｙ_j ²×ｖ
^ej mod N)＝Ｘ_j が成り立つことを確認し、ｎ＜ｗの
場合：検証式 ｈ(Ｙ_j ²×ｖ^ej mod N‖Ｙ_j+n-1 ²×ｖ
^ej+n-1 mod N‖Ｙ_j+2(n-1) ²×ｖ^{ej +2(n-1)} mod N‖…)
＝Ｘ_j が成り立つことを確認し、成り立たない場合
は、不成立であることを同報通信し、成り立つ場合に
は、他の検証者から不成立であることが同報通信されな
いかぎりは、認証したとする認証方法であり、証明者の
通信量と検証者の演算量を減少するという作用を有す
る。

【００２１】本発明の請求項４に記載の発明は、請求項
２、３記載の認証方法において、前記証明者は、前記前
半情報を同報通信してから制限時間内に前記検証者ｊが
前記乱数ｅ_jまたはｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を送
信しない場合には、ｅ_jまたはｅ_j，ｅ_j+n-1，ｅ
_j+2(n-1)，…を“０”と見なすものであり、検証者の通
信回数を減少するという作用を有する。

【００２２】本発明の請求項５に記載の発明は、請求項
２、３記載の認証方法において、前記検証者ｊのうち代
表検証者ｄが、その他の全ての検証者ｊ（≠ｄ）の前記
乱数ｅ_jまたはｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を代りに
選択して送信するものであり、検証者の通信回数を減少
するという作用を有する。

【００２３】本発明の請求項６に記載の発明は、請求項
４記載の認証方法において、前記検証者ｊは、前記乱数
ｅ_jまたはｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を選ぶとき
に、通信状態などの負荷の度合いが高い場合や省電力状
態の場合はｅ_jまたはｅ_j，ｅ_{j+ n-1}，ｅ_j+2(n-1)，…を
同報通信しないこととし、負荷の度合いが低い場合また
は省電力状態でない場合はｅ_j＝“１”またはｅ_j，ｅ
_j+n-1，ｅ_j+2(n-1)，…＝“１”を同報通信するもので
あり、検証者の負荷の度合いが高い場合または省電力状
態の場合に通信回数を減らすという作用を有する。

【００２４】以下、本発明の実施の形態について、図１
〜図５を参照しながら詳細に説明する。

【００２５】（第１の実施の形態）本発明の第１の実施
の形態は、証明者から検証者への前半のデータ送信の際
に、ハッシュ関数で圧縮したデータを１回だけ送る認証
方法である。

【００２６】図１は、本発明の第１の実施の形態におけ
る認証方法の１対１のシステムでの手順を示す流れ図で
ある。図１を参照して、１対１の通信システムにおける
処理手順を説明する。

【００２７】通信機のうち認証されることを望む通信機
１（以下証明者という。ここでは、基地局を想定してい
る。）は、あらかじめ、所定の大きさの素数ｐ，ｑとそ
の合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−
１）と整数ｖ（ｓ²×ｖ modN＝１）を生成する。ｐ，
ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開鍵と
して公開する。任意の圧縮関数ｈ( ‖ ‖…‖ )も公開
する。

【００２８】検証者２（移動端末を想定している。）が
証明者１を認証する際に、証明者１と検証者２の間で、
認証の繰返し回数ｗを決める。証明者１は、ｗ個の乱数
ｒ_i（１≦ｉ≦ｗ）を生成し、 Ｘ_i＝ｒ_i ² mod N（ｉ＝１〜ｗ） Ｘ＝ｈ(Ｘ₁‖Ｘ₂‖・・・‖Ｘ_w) を計算して、Ｘを検証者２に送る。検証者２は、Ｘを受
信すると、値が“０”または“１”のｗ個の乱数ｅ
_i（１≦ｉ≦ｗ）を生成して証明者１に送る。

【００２９】証明者１は、 Ｙ_i＝ｒ_i×ｓ^ei mod N（ｉ＝１〜ｗ） を計算して、検証者２に送る。

【００３０】検証者２は、 Ｚ_i＝Ｙ_i ²×ｖ^ei mod N（ｉ＝１〜ｗ） を計算して、 ｈ(Ｚ₁‖Ｚ₂‖・・・‖Ｚ_w)＝Ｘ を検証する。検証が成功すれば、検証者２は、１−(１
／２)^wの確率で、証明者１が公開鍵ｖに対応する秘密鍵
ｓを保持していること、すなわち本人であることを確認
できる。検証に失敗すれば、証明者１は本人でないこと
がわかる。

【００３１】上記のように、本発明の第１の実施の形態
では、認証方法を、証明者から検証者への前半のデータ
送信の際に、ハッシュ関数で圧縮したデータを１回だけ
送る構成としたので、並列Fiat-Shamir法の約半分の通
信量で済む。

【００３２】（第２の実施の形態）本発明の第２の実施
の形態は、証明者から検証者への前半情報を圧縮して同
報通信し、複数の端末で分担して検証する認証方法であ
る。

【００３３】図２は、本発明の第２の実施の形態におけ
る認証方法の複数の通信機からなる同報通信可能な通信
システムにおけるステップ(1)を示す図である。図３
は、複数の通信機からなる同報通信可能な通信システム
におけるステップ(２)を示す図である。図４は、複数の
通信機からなる同報通信可能な通信システムにおけるス
テップ(３)を示す図である。図５は、複数の通信機から
なる同報通信可能な通信システムにおけるステップ(４)
を示す図である。

【００３４】図２〜図５を参照して、複数の通信機から
なる同報通信可能な通信システムにおける処理手順を説
明する。

【００３５】５台の通信機のうち、認証されることを望
む通信機１（以下証明者という。ここでは、基地局を想
定している。）は、あらかじめ、所定の大きさの素数
ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１
≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝１）を生成
する。ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖ
を公開鍵として公開する。任意の圧縮関数ｈ( ‖ ‖…
‖ )も公開する。証明者１を除く通信機２（以下検証者
という。ここでは、４台の移動端末を想定している。）
と証明者１の間で、認証の繰返し回数ｗ＝８を決める。

【００３６】図２に示すステップ（１）において、証明
者１は、８個の乱数ｒ_w（１≦ｗ≦８）を生成し、 Ｚ_w＝ｒ_w ² mod N（１≦ｗ≦８） Ｘ_j＝ｈ(Ｚ_j‖Ｚ_j+4)（ｊ＝１〜４） を計算して検証者２に同報する。ｊ番目の検証者２（以
下、検証者ｊという）は、Ｘ_jを受信する（１≦ｊ≦
４）。

【００３７】図３に示すステップ（２）において、検証
者ｊは、値が“０”または“１”の乱数ｅ_jとｅ_j+4（１
≦ｊ≦４）を発生して、証明者１に送る。証明者１は、
ｅ₁〜ｅ₈を受信する。

【００３８】図４に示すステップ（３）において、証明
者１は、 Ｙ_w＝ｒ_w×ｓ^ew mod N（１≦ｗ≦８） を計算して、検証者２に同報する。検証者ｊは、Ｙ_jと
Ｙ_j+4（１≦ｊ≦４）を受信する。

【００３９】図５に示すステップ（４）において、検証
者ｊは、 Ｕ_j＝Ｙ_j ²×ｖ^ej mod N Ｕ_j+4＝Ｙ_j+4 ²×ｖ^ej+4 mod N を計算し、 ｈ(Ｕ_j‖Ｕ_j+4)＝Ｘ_j（１≦ｊ≦４） が成立するか否か検査する。不成立時には基地局または
他の移動体端末に知らせることにより、すべての検証者
２が検証に成功すれば、１−(１／２)⁸の確率で、証明
者１が公開鍵ｖに対応する秘密鍵ｓを保持しているこ
と、すなわち本人であることを確認できる。

【００４０】複数の通信機からなる同報通信可能な通信
システムにおける本実施の形態と並列Fiat-Shamir法の
通信量と演算量と通信回数を見積もって比較してみる。
見積もり条件は、Ｎが1024bits、圧縮関数が128bitの出
力を行うＭＤ５とする。また、検証者が証明者に乱数を
送信する確率を１／２、認証の繰返し回数ｗ＝20、通信
機数ｎ＝11とする。以上の条件において、おおよそ本実
施の形態では、検証者の演算時間が１／10、証明者の前
半の通信量が１／２、後半の通信量が１／10、全検証者
の通信回数の合計が１／２となる。

【００４１】並列Fiat-Shamir法は、合成数Ｎが多項式
時間で素因数分解できないことに安全性の根拠を求めて
いる。本実施の形態の認証方法も、同様の部分に安全性
の根拠を求めている。したがって、十分な安全性を持た
せるためには、合成数Ｎの大きさを1024bit程度にとる
必要性がある。本実施の形態と並列Fiat-Shamir法にお
いて、安全性が異なる可能性があるのは、圧縮関数によ
る情報量の減少である。しかし、本実施の形態において
も合成数Ｎの大きさは1024bitのままであるから、これ
による安全性の低下はない。

【００４２】全数探索法による攻撃に対しても、一般的
には128bitもあれば十分安全であるとされているので、
圧縮関数は、出力が128bit以上のものを用いれば安全で
ある。圧縮関数に関しては、ＳＨＡ−１やＭＤ５などの
ハッシュ関数を用いるのが安全性の面から望ましいが、
簡単化のために排他的論理和で代用することも可能であ
る。圧縮しないで、検証を複数の端末で分担するだけで
もよい。

【００４３】また、並列Fiat-Shamirの認証の繰返し回
数ｗは、20から40にとるのが安全とされているので、本
実施の形態においても20から40にとることで同様の安全
性を保つことができる。

【００４４】なお、検証者のうち代表検証者が、その他
の全ての検証者の乱数を代りに選択して証明者に送信し
てもよい。また、検証者は、乱数を選ぶときに、通信状
態などの負荷の度合いが高い場合や省電力状態の場合は
乱数を送信しないこととし、負荷の度合いが低い場合ま
たは省電力状態でない場合は乱数を送信するようにして
もよい。この場合、証明者は、前情報を同報通信してか
ら制限時間内に検証者が乱数を送信しない場合には、該
当の乱数を“０”と見なすようにする。

【００４５】上記のように、本発明の第２の実施の形態
では、認証方法を、証明者から検証者への前半情報を圧
縮して同報通信し、複数の端末で分担して検証する構成
としたので、証明者と検証者との間の通信量と演算量を
削減でき、高速に認証できる。

【００４６】

【発明の効果】以上の説明から明らかなように、本発明
では、複数台の通信機からなる通信システムにおける認
証方法を、通信機のうち認証されることを望む通信機
（証明者）は、あらかじめ、所定の大きさの素数ｐ，ｑ
とその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦
Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝１）を生成して、
ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開
鍵として公開し、任意の圧縮関数ｈ( ‖ ‖…‖ )を公
開し、認証の繰返し回数をｗと定め、認証を受ける際に
は、(１)証明者は、ｗ個の乱数ｒ_i（１≦ｉ≦ｗ）を生
成し、前半情報 Ｘ＝ｈ(ｒ₁ ² mod N‖ｒ₂ ² mod N‖…
‖ｒ_w ² mod N) を計算して通信機のうち検証を依頼す
る通信機（検証者）に送信し、(２)検証者は、値が
“０”または“１”のｗ個の乱数ｅ_i（１≦ｉ≦ｗ）を
生成して証明者に送信し、(３)証明者は、ｗ個の検証情
報 Ｙ₁＝ｒ₁×ｓ^e1 mod N，Ｙ₂＝ｒ₂×ｓ^e2 mod N，
…，Ｙ_w＝ｒ_w×ｓ^ew mod N を計算して検証者に送信
し、(４)検証者は検証式 ｈ(Ｙ₁ ²×ｖ^e1 mod N‖Ｙ₂ ²
×ｖ^e2 mod N‖…‖Ｙ_w ²×ｖ^ew mod N)＝Ｘ が成り立
つことを検算し、成り立つ場合には証明者を認証し、成
り立たない場合には証明者を認証しない構成としたの
で、証明者から検証者へのデータ通信量と通信回数を削
減することができるという効果が得られる。

【００４７】また、(１)証明者は、検証者ｊ（１≦ｊ≦
ｎ−１）に対して、ｎ≧ｗの場合は、ｎ−１個の乱数ｒ
_jを生成して前半情報 Ｘ_j＝ｒ_j ² mod N（１≦ｊ≦ｎ−
１）を計算して同報通信し、ｎ＜ｗの場合は、ｗ個の乱
数ｒ₁，…，ｒ_wを生成してｗ個の前半情報 Ｘ_j＝ｒ_j ²
mod N， Ｘ_j+n-1＝ｒ_j+n-1 ² mod N， Ｘ_j+2(n-1)＝ｒ
_j+2(n-1) ² mod N，… を計算して同報通信し、(２)検
証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩ
Ｄに対応した前半情報Ｘ_jを保持し、値が“０”または
“１”の乱数ｅ_jを同報通信し、ｎ＜ｗの場合は自身の
ＩＤに対応した前半情報Ｘ_j，Ｘ_j+n-1，Ｘ_j+2(n-1)，…
を保持し、値が“０”または“１”の乱数ｅ_j，
ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)証明者
は、ｎ≧ｗの場合はｅ_jを用いてｎ−１個の検証情報
Ｙ_j＝ｒ_j×ｓ^ej mod N を計算して同報通信し、ｎ＜ｗ
の場合はｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を用いてｗ個の
検証情報Ｙ_j＝ｒ_j×ｓ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ
^ej+n-1 mod N， Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod
N，… を計算して同報通信し、(４)検証者ｊは、ｎ≧
ｗの場合は検証式 Ｙ_j ²×ｖ^ej mod N＝Ｘ_j が成り立
つことを確認し、ｎ＜ｗの場合は検証式 Ｙ_j ²×ｖ^ej m
od N＝Ｘ_j， Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N＝Ｘ_j+n-1，Ｙ
_j+2(n-1) ²×ｖ^ej+2(n-1) mod N＝Ｘ_j+2(n-1)，… が成
り立つことを確認し、成り立たない場合は、不成立であ
ることを同報通信し、成り立つ場合には、他の検証者か
ら不成立であることが同報通信されないかぎりは、認証
したとする構成としたので、証明者から検証者への通信
量と検証者の演算量を削減できるという効果が得られ
る。

【００４８】また、(１)証明者は、検証者ｊ（１≦ｊ≦
ｎ−１）に対して、ｎ≧ｗの場合はｎ−１個の乱数ｒ_j
を生成してｎ−１個の前半情報 Ｘ_j＝ｈ(ｒ_j ² mod Ｎ)
を計算して同報通信し、ｎ＜ｗの場合はｗ個の乱数ｒ
₁，…，ｒ_wを生成してｎ−１個の前半情報 Ｘ_j＝ｈ(ｒ
_j ² mod N‖ｒ_j+n-1 ² mod N‖ｒ_i+2(n-1) ² mod N‖…)を
計算して同報通信し、(２)証検証者ｊ（１≦ｊ≦ｎ−
１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報
Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_jを同報
通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報
Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_j，ｅ
_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)証明者は、
ｎ≧ｗの場合はｅ_jを用いてｎ−１個の検証情報 Ｙ_j＝
ｒ_j×ｓ^ejmod N（１≦ｊ≦ｎ−１） を計算して同報通
信し、ｎ＜ｗの場合はｅ_j，ｅ_{j+n -1}，ｅ_j+2(n-1)，…
（１≦ｊ≦ｎ−１）を用いてｗ個の検証情報 Ｙ_j＝ｒ_j
×ｓ ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N， Ｙ
_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1)mod N，…（１≦ｊ≦ｎ−
１） を計算して同報通信し、(４)検証者ｊは、ｎ≧ｗ
の場合は検証式 ｈ(Ｙ_j ²×ｖ^ej mod N)＝Ｘ_j が成り
立つことを確認し、ｎ＜ｗの場合は検証式 ｈ(Ｙ_j ²×
ｖ^ej mod N‖Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N‖Ｙ_{j+2 (n-1)} ²
×ｖ^ej+2(n-1) mod N)＝Ｘ_j が成り立つことを確認
し、成り立たない場合は、不成立であることを同報通信
し、成り立つ場合には、他の検証者から不成立であるこ
とが同報通信されないかぎりは、認証したとする構成と
したので、証明者から検証者への通信量と検証者の演算
量を削減できるという効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態における認証方法の
手順を示す流れ図、

【図２】本発明の第２の実施の形態における認証方法の
ステップ(１)を示す図、

【図３】本発明の第２の実施の形態における認証方法の
ステップ(２)を示す図、

【図４】本発明の第２の実施の形態における認証方法の
ステップ(３)を示す図、

【図５】本発明の第２の実施の形態における認証方法の
ステップ(４)を示す図、

【図６】従来の１対１の通信システムにおける認証方法
の説明図、

【図７】従来の並列Fiat-Shamir法のステップ(１)の説
明図、

【図８】従来の並列Fiat-Shamir法のステップ(２)の説
明図、

【図９】従来の並列Fiat-Shamir法のステップ(３)の説
明図、

【図１０】従来の並列Fiat-Shamir法のステップ(４)の
説明図である。

【符号の説明】

１ 証明者 ２ 検証者 ３ 同報通信網

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA07 BA03 KA05 KA06 KA08 NA02 NA08 NA12 NA37 5K067 AA33 BB04 CC14 DD23 EE02 GG01 GG11 HH00 HH22 HH23 HH24 9A001 BB02 BB03 BB04 CC02 DD10 EE03 GG01 GG05 GG22 JJ18 KK56 LL03

Claims (6)

【特許請求の範囲】
1. 【請求項１】 複数台の通信機からなる通信システムに
   おける認証方法において、前記通信機のうち認証される
   ことを望む通信機（以下証明者という）は、あらかじ
   め、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×
   ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²
   ×ｖ mod N＝１）を生成して、前記ｐ，ｑ，ｓを秘密鍵
   として安全に保管し、前記Ｎ，ｖを公開鍵として公開
   し、任意の圧縮関数ｈ( ‖ ‖…‖ )を公開し、認証の
   繰返し回数をｗと定め、認証を受ける際には、 (１)前記証明者は、ｗ個の乱数ｒ_i（１≦ｉ≦ｗ）を生
   成し、前半情報 Ｘ＝ｈ(ｒ₁ ² mod N‖ｒ₂ ² mod N‖…‖ｒ_w ² mod N) を計算して前記通信機のうち検証を依頼する通信機（以
   下検証者という）に送信し、 (２)前記検証者は、値が“０”または“１”のｗ個の乱
   数ｅ_i（１≦ｉ≦ｗ）を生成して前記証明者に送信し、 (３)前記証明者は、ｗ個の検証情報 Ｙ₁＝ｒ₁×ｓ^e1 mod N,Ｙ₂＝ｒ₂×ｓ^e2 mod N,…,Ｙ_w＝
   ｒ_w×ｓ^ew mod N を計算して前記検証者に送信し、 (４)前記検証者は検証式 ｈ(Ｙ₁ ²×ｖ^e1 mod N‖Ｙ₂ ²×ｖ^e2 mod N‖…‖Ｙ_w ²×
   ｖ^ew mod N)＝Ｘ が成り立つことを検算し、成り立つ場合には証明者を認
   証し、成り立たない場合には証明者を認証しないことを
   特徴とする認証方法。
2. 【請求項２】 ｎ台（ｎ≧２）の通信機からなる同報通
   信可能な通信システムにおける認証方法において、前記
   通信機のうち認証されることを望む通信機（以下証明者
   という）は、あらかじめ、所定の大きさの素数ｐ，ｑと
   その合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ
   −１）と整数ｖ（ｓ²×ｖ mod N＝１）を生成して、前
   記ｐ，ｑ，ｓを秘密鍵として安全に保管し、前記Ｎ，ｖ
   を公開鍵として公開し、認証の繰返し回数をｗと定め、
   認証を受ける際には、前記証明者を除く通信機（以下検
   証者という）のＩＤをｊ（１≦ｊ≦ｎ−１）とし、 (１)前記証明者は、前記検証者ｊ（１≦ｊ≦ｎ−１）に
   対して、 ・ｎ≧ｗの場合：ｎ−１個の乱数ｒ_jを生成して前半情
   報 Ｘ_j＝ｒ_j ² mod N（１≦ｊ≦ｎ−１） を計算して同報通信し、 ・ｎ＜ｗの場合：ｗ個の乱数ｒ₁，…，ｒ_wを生成してｗ
   個の前半情報 Ｘ_j＝ｒ_j ² mod N， Ｘ_j+n-1＝ｒ_j+n-1 ² mod N， Ｘ_j+2(n-1)＝ｒ_j+2(n-1) ² mod N，… を計算して同報通信し、 (２)前記検証者ｊ（１≦ｊ≦ｎ−１）は、 ・ｎ≧ｗの場合：自身のＩＤに対応した前記前半情報Ｘ
   _jを保持し、値が“０”または“１”の乱数ｅ_jを同報通
   信し、 ・ｎ＜ｗの場合：自身のＩＤに対応した前記前半情報Ｘ
   _j，Ｘ_j+n-1，Ｘ_j+2(n-1)，…を保持し、値が“０”また
   は“１”の乱数ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通
   信し、 (３)前記証明者は、 ・ｎ≧ｗの場合：ｅ_jを用いてｎ−１個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N を計算して同報通信し、 ・ｎ＜ｗの場合：ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を用い
   てｗ個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N， Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod N，… を計算して同報通信し、 (４)前記検証者ｊは、 ・ｎ≧ｗの場合：検証式 Ｙ_j ²×ｖ^ej mod N＝Ｘ_j が成り立つことを確認し、 ・ｎ＜ｗの場合：検証式 Ｙ_j ²×ｖ^ej mod N＝Ｘ_j， Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N＝Ｘ_j+n-1， Ｙ_j+2(n-1) ²×ｖ^ej+2(n-1) mod N＝Ｘ_j+2(n-1)，… が成り立つことを確認し、成り立たない場合は、不成立
   であることを同報通信し、成り立つ場合には、他の検証
   者から不成立であることが同報通信されないかぎりは、
   認証したとすることを特徴とする認証方法。
3. 【請求項３】 ｎ台（ｎは２以上の整数）の通信機から
   なる同報通信可能な通信システムにおける認証方法にお
   いて、前記通信機のうち認証されることを望む通信機
   （以下証明者という）は、あらかじめ、所定の大きさの
   素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ
   （１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖmod N＝１）を生
   成して、前記ｐ，ｑ，ｓを秘密鍵として安全に保管し、
   前記Ｎ，ｖを公開鍵として公開し、任意の圧縮関数ｈ(
   ‖ ‖…‖ )を公開し、認証の繰返し回数をｗと定め、
   認証を受ける際には、前記証明者を除く通信機（以下検
   証者という）のＩＤをｊ（１≦ｊ≦ｎ−１）とし、 (１)前記証明者は、前記検証者ｊ（１≦ｊ≦ｎ−１）に
   対して、 ・ｎ≧ｗの場合：ｎ−１個の乱数ｒ_jを生成してｎ−１
   個の前半情報 Ｘ_j＝ｈ(ｒ_j ² mod N) を計算して同報通信し、 ・ｎ＜ｗの場合：ｗ個の乱数ｒ₁，…，ｒ_wを生成してｎ
   −１個の前半情報 Ｘ_j＝ｈ(ｒ_j ² mod N‖ｒ_j+n-1 ² mod N‖ｒ_i+2(n-1) ² mo
   d N‖…) を計算して同報通信し、 (２)前記証検証者ｊ（１≦ｊ≦ｎ−１）は、 ・ｎ≧ｗの場合：自身のＩＤに対応した前記前半情報Ｘ
   _jを保持し、値が“０”または“１”の乱数ｅ_jを同報通
   信し、 ・ｎ＜ｗの場合：自身のＩＤに対応した前記前半情報Ｘ
   _jを保持し、値が“０”または“１”の乱数ｅ_j，ｅ
   _j+n-1，ｅ_j+2(n-1)，…を同報通信し、 (３)前記証明者は、 ・ｎ≧ｗの場合：ｅ_jを用いてｎ−１個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N（１≦ｊ≦ｎ−１） を計算して同報通信し、 ・ｎ＜ｗの場合：ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…（１≦
   ｊ≦ｎ−１）を用いてｗ個の検証情報 Ｙ_j＝ｒ_j×ｓ^ej mod N， Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N， Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod N，…（１≦ｊ≦ｎ
   −１） を計算して同報通信し、 (４)検証者ｊは、 ・ｎ≧ｗの場合：検証式 ｈ(Ｙ_j ²×ｖ^ej mod N)＝Ｘ_j が成り立つことを確認し、 ・ｎ＜ｗの場合：検証式 ｈ(Ｙ_j ²×ｖ^ej mod N‖Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N‖Ｙ
   _j+2(n-1) ²×ｖ^ej+2(n-1) mod N‖…)＝Ｘ_j が成り立つことを確認し、成り立たない場合は、不成立
   であることを同報通信し、成り立つ場合には、他の検証
   者から不成立であることが同報通信されないかぎりは、
   認証したとすることを特徴とする認証方法。
4. 【請求項４】 前記証明者は、前記前半情報を同報通信
   してから制限時間内に前記検証者ｊが前記乱数ｅ_jまた
   はｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を送信しない場合に
   は、ｅ_jまたはｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を“０”
   と見なすことを特徴とする請求項２、３記載の認証方
   法。
5. 【請求項５】 前記検証者ｊのうち代表検証者ｄが、そ
   の他の全ての検証者ｊ（≠ｄ）の前記乱数ｅ_jまたは
   ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を代りに選択して送信す
   ることを特徴とする請求項２、３記載の認証方法。
6. 【請求項６】 前記検証者ｊは、前記乱数ｅ_jまたは
   ｅ_j，ｅ_j+n-1，ｅ_{j+2(n -1)}，…を選ぶときに、通信状態
   などの負荷の度合いが高い場合や省電力状態の場合はｅ
   _jまたはｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を送信しないこ
   ととし、負荷の度合いが低い場合または省電力状態でな
   い場合はｅ_j＝“１”またはｅ_j，ｅ_{j+n- 1}，
   ｅ_j+2(n-1)，…＝“１”を送信することを特徴とする請
   求項４記載の認証方法。