JP2001060947A - 相互ネットワーク認証方法 - Google Patents

相互ネットワーク認証方法

Info

Publication number
JP2001060947A
JP2001060947A JP2000210117A JP2000210117A JP2001060947A JP 2001060947 A JP2001060947 A JP 2001060947A JP 2000210117 A JP2000210117 A JP 2000210117A JP 2000210117 A JP2000210117 A JP 2000210117A JP 2001060947 A JP2001060947 A JP 2001060947A
Authority
JP
Japan
Prior art keywords
public key
server
client
function
message space
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2000210117A
Other languages
English (en)
Inventor
Philip Douglas Mackenzie
ダグラス マッケンジー フィリップ
Ram Swaminathan
スワミナサン ラム
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia of America Corp
Original Assignee
Lucent Technologies Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Lucent Technologies Inc filed Critical Lucent Technologies Inc
Publication of JP2001060947A publication Critical patent/JP2001060947A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN

Abstract

(57)【要約】 【課題】 安全性を証明可能なパスワード単独相互認証
プロトコルを実現する。 【解決手段】 クライアントは、サーバから受信した公
開鍵が、公開鍵暗号方式のすべての公開鍵の集合のテス
ト可能スーパーセットの要素であるかどうかを決定す
る。そのような要素でない場合、認証はクライアントに
よって拒否され、そうでない場合、プロトコルは続行さ
れる。一実施例では、クライアントとサーバはいずれ
も、認証目的で使用される１つのパスワードを所有す
る。クライアントは、少なくとも公開鍵およびパスワー
ドの関数としてパラメータｐを生成する。公開鍵空間マ
ッピング関数ＦPKをｐに作用させた結果ＦPK（ｐ）が公
開鍵のメッセージ空間の要素である場合、クライアント
が、公開鍵を用いて公開鍵のメッセージ空間の実質的に
ランダムな要素を暗号化し、その結果と、ＦPK（ｐ）と
の間で、公開鍵メッセージ空間の群演算を実行する。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、ネットワーク認証
および鍵交換に関し、特に、パスワード単独で(passwor
d-only)安全な相互ネットワーク認証および鍵交換プロ
トコルに関する。
【０００２】
【従来の技術】ネットワークを通じての認証は、リモー
トクライアントがネットワークサーバにアクセスするこ
とを可能にするシステムの安全性（セキュリティ）の重
要部分である。認証は一般に、次のうちの１つ以上を確
認することによって実行される。 ・ユーザが知っているもの（例えばパスワード） ・ユーザ自体、すなわち、指紋のような生物測定学的情
報 ・ユーザが持っているもの、すなわち、スマートカード
のような何らかの識別トークン 例えば、現金自動預入支払機（ＡＴＭ）は、これらのう
ちの２つ、すなわち、ユーザが持っているもの（ＡＴＭ
カード）と、ユーザが知っているもの（個人識別番号
（ＰＩＮ：personal identification number）とを確認
する。ＡＴＭ認証は、データネットワークを通じての認
証よりもずっと簡単である。その理由は、ＡＴＭ自体が
信頼されたハードウェアであるとみなされており、ＡＴ
Ｍカードの存在を確認し、正しい情報を安全に中央取引
サーバに転送することが信頼されているからである。
【０００３】認証に加えて、鍵交換は、データネットワ
ークを通じての通信の重要部分である。クライアントと
サーバが認証された後、安全な通信チャネルをそれらの
間に設定しなければならない。これは一般に、クライア
ントとサーバが、認証の後の通信中に使用するための鍵
を交換することによって実行される。
【０００４】データネットワーク、特に、インターネッ
トのような公衆データネットワークを通じての認証は困
難である。その理由は、クライアントとサーバの間の通
信が多くの異なるタイプの攻撃を受けやすいからであ
る。例えば、盗聴攻撃では、敵は、クライアントとサー
バの間の通信を傍受することによって秘密の情報を知る
ことがある。敵がパスワード情報を知った場合、敵は、
その情報を再生（リプレイ）してサーバに送って真正な
クライアントになりすますことが可能となる（リプレイ
攻撃(replay attack)という）。リプレイ攻撃は、クラ
イアントから送られたパスワードが暗号化されている場
合でも有効である。その理由は、敵は、実際のパスワー
ドを知る必要がなく、代わりに、サーバが真正なクライ
アントから期待するもの（この場合は、暗号化されたパ
スワード）をサーバに提供すればよいからである。もう
１つのタイプの攻撃にスプーフィング(spoofing)攻撃が
ある。この攻撃では、敵がサーバになりすまし、クライ
アントは、真正なサーバと通信していると信じるが、実
際は、そうではなく敵と通信しているというものであ
る。このような攻撃では、クライアントは敵に機密情報
を提供してしまうことがある。
【０００５】さらに、パスワードに基づく認証プロトコ
ルでは、パスワードが弱く、辞書攻撃を受けやすい可能
性がある。辞書攻撃とは、目的のパスワードに関するい
くつかの既知情報に対して、多数の可能性のあるパスワ
ード（例えば、英語辞書内の全単語）をテスト（検査）
することによって実行される、パスワードに対する力づ
くの攻撃である。既知情報は、例えば、公に入手可能な
情報や、上記の方法のうちの１つにより敵によって取得
された情報である。ユーザはしばしば、容易に覚えら
れ、容易に推測されるパスワードを選択するため、辞書
攻撃はしばしば有効である。
【０００６】ネットワーク認証にはさまざまな技術が知
られている。これらの知られている技術は、２つの分類
に分けることができる。第１の分類は、クライアントシ
ステム上に永続的に記憶されたデータを必要とする技術
からなる。第２の分類は、クライアントシステム上に永
続的に記憶されたデータを必要としない技術からなる。
【０００７】第１の分類に関して、永続的に記憶された
データには、決して暴露されてはならない秘密データ
（例えば、認証サーバと共有する秘密鍵）や、秘密では
ないが改竄されてはならない機密データ（例えば、認証
サーバの公開鍵）がある。いずれのタイプの永続的デー
タでも、敵からの攻撃からデータを守るために、追加の
安全性が必要である。さらに、パスワードおよび永続的
記憶データの両方に基づく認証プロトコルを使用する場
合、一方に対する危険により、他方が攻撃を受けやすく
なることがある。例えば、秘密鍵が危険にさらされる
と、パスワードに対する辞書攻撃が可能となる。この第
１分類のプロトコルでのもう１つの問題は、永続的記憶
データが鍵の生成および配送を必要とすることである。
これは面倒なことがあり、一般に、システムの自由度が
低くなる。
【０００８】第２分類は、パスワード単独認証プロトコ
ルと呼ばれる。クライアントに永続的記憶データが不要
であるからである。クライアントは、真正なパスワード
を提供することができるだけでよい。潜在的に弱いパス
ワードを用いて強力な安全性および認証を提供するとい
うことは矛盾しているように思われるかもしれない。し
かし、安全であるように設計されたパスワード単独ユー
ザ認証および鍵交換プロトコルがいくつか存在する。こ
れらのプロトコルについては、D. Jablon, "Strong Pas
sword-Only Authenticated Key Exchange", ACM Comput
er Communication Review, ACM SIGCOMM, 26(5):5-20,
1996、に記載されている。これらのパスワード単独プロ
トコルのうち注目に値するものには以下のものがある。 ・暗号化された鍵交換（ＥＫＥ：Encrypted Key Exchan
ge）（S. M. Bellovinand M. Merritt, "Encrypted Key
Exchange: Password-Based Protocols Secure Against
Dictionary Attacks", Proceedings of the IEEE Symp
osium on Research in Security and Privacy, pp.72-8
4, 1992、を参照） ・拡張ＥＫＥ（Ａ−ＥＫＥ：Augmented-EKE）（S. M. B
ellovin and M. Merritt, "Augmented Encrypted Key E
xchange: A Password-Based Protocol SecureAgainst D
ictionary Attacks and Password File Compromise", P
roceedings ofthe First Annual Conference on Comput
er and Communications Security, 1993, pages 244-25
0、を参照） ・修正ＥＫＥ（Ｍ−ＥＫＥ：Modified EKE）（M. Stein
er, G. Tsudik, and M. Waidner, "Refinement and Ext
ension of Encrypted Key Exchange", ACM Operating S
ystem Review, 29:22-30, 1995、を参照） ・単純パスワードＥＫＥ（ＳＰＥＫＥ：Simple Passwor
d EKE）およびディフィ・ヘルマンＥＫＥ（ＤＨ−ＥＫ
Ｅ：Diffie-Hellman EKE）（D. Jablon, "Strong Passw
ord-Only Authenticated Key Exchange", ACM Computer
CommunicationReview, ACM SIGCOMM, 26(5):5-20, 199
6、を参照） ・安全なリモートパスワードプロトコル（ＳＲＰ：Secu
re Remote Password Protocol）（T. Wu, "The Secure
Remote Password Protocol", Proceedings ofthe 1998
Internet Society Network and Distributed System Se
curity Symposium, pages 97-111, 1998、を参照） ・オープン鍵交換（ＯＫＥ：Open Key Exchange）（Ste
fan Lucks, "Open KeyExchange: How to Defeat Dictio
nary Attacks Without Encrypting Public Keys", Secu
rity Protocol Workshop, Ecole Normale Superieure,
April 7-9, 1997、を参照）
【０００９】
【発明が解決しようとする課題】これらの知られている
パスワード単独認証プロトコルの問題点は、これらが安
全であることが証明されていないことである。実際、Ｅ
ＫＥプロトコルは、いくつかの数論的攻撃を受けやすい
可能性がある（S. Patel, "Number Theoretic Attacks
on Secure Password Schemes", Proceedings of the IE
EE Symposium onResearch in Security and Privacy",
pages 236-247, 1997、を参照）。ネットワーク安全性
の重要性に鑑み、安全であることが証明可能なパスワー
ド単独相互認証プロトコルが必要とされている。
【００１０】
【課題を解決するための手段】本発明は、公開鍵暗号方
式を利用して安全なパスワード単独相互ネットワーク認
証プロトコルを提供する。このプロトコルを実現するた
めに用いられる特定の公開鍵暗号方式は、いわゆる使用
可能(usable)暗号方式（定義は後述）でなければならな
い。ネットワークサーバは、公開鍵暗号方式に従って公
開鍵・秘密鍵の対を生成し、公開鍵をクライアントに送
信する。クライアントは、受信した公開鍵が、公開鍵暗
号方式のすべての公開鍵の集合のいわゆるテスト可能ス
ーパーセット（定義は後述）の要素であるかどうかを決
定する。この決定が可能であるのは、公開鍵暗号方式が
使用可能であることが要求されているからである。公開
鍵がテスト可能スーパーセットの要素であるかどうかに
関するクライアントによる決定は、クライアントに、サ
ーバが適当な方法で選択した公開鍵を提供したかどうか
を決定する方法を提供する。公開鍵がテスト可能スーパ
ーセット内にないことがわかった場合、認証はクライア
ントによって拒否される。そうでない場合、プロトコル
は続行される。
【００１１】本発明の一実施例では、クライアントとサ
ーバはいずれも、認証目的で使用される１つのパスワー
ドを所有する。この実施例では、クライアントは、少な
くとも公開鍵およびパスワードの関数としてパラメータ
ｐを生成することによりプロトコルを続行する。公開鍵
空間マッピング関数ＦPKをｐに作用させた結果Ｆ
PK（ｐ）が、公開鍵のいわゆるメッセージ空間の要素で
ある場合、クライアントが、公開鍵を用いて公開鍵のメ
ッセージ空間の実質的にランダムな要素を暗号化し、そ
の結果と、ＦPK（ｐ）との間で、公開鍵メッセージ空間
の群演算を実行することによって、プロトコルは続行さ
れる。一方、ＦPK（ｐ）がメッセージ空間の要素でない
場合、クライアントは認証を拒否することを決定する。
しかし、仮にクライアントがこの時点で拒否をサーバに
通知したとすると、サーバはパスワードに関する有用な
情報を抽出することができる可能性がある。そのため、
クライアントは、認証を拒否することを決定しても、サ
ーバに情報を漏らさないようにプロトコルを続行する。
クライアントは、プロトコルの後のほうで、サーバがパ
スワードに関する有用な情報を得ることができなくなっ
たときに、認証を拒否する。
【００１２】本発明の第２実施例では、サーバにおける
安全性の危険に対する保護のために、サーバは、パスワ
ードを所有せず、その代わりにサーバには、パスワード
の関数である値が提供され、サーバはそれを記憶する。
パスワード自体は、サーバに記憶された値から決定する
ことはできない。
【００１３】本発明の第３および第４の実施例は、使用
可能公開鍵暗号方式としてＲＳＡ暗号方式を利用する。
これらの実施例によれば、サーバが提供した公開鍵がす
べてのＲＳＡ公開鍵の集合のテスト可能スーパーセット
の要素であるかどうかを決定するためにＲＳＡ固有テス
トを行う。さらに、ある値が、ＲＳＡメッセージ空間の
要素であるかどうかを決定するためにＲＳＡ固有テスト
を行う。第３実施例では、サーバが共有パスワードを記
憶する。第４実施例では、サーバは、パスワードの関数
である値を記憶する。
【００１４】発明者は、本発明による相互認証プロトコ
ルは、基礎となる公開鍵暗号方式と同程度に安全である
ことを証明した。従って、ＲＳＡ固有の実施例では、発
明者は、本発明のプロトコルがＲＳＡ暗号方式と同程度
に安全であることを証明したことになる。その証明の概
略は後述する。
【００１５】
【発明の実施の形態】暗号は、二者間に安全な通信を提
供する周知の技術である。本発明のさまざまな実施例に
ついて説明する前に、いくつかの背景知識および基礎的
な用語について説明する。
【００１６】まず、暗号方式について説明する。秘密鍵
暗号方式では、メッセージｍは、暗号文Ｃを生成するた
めに、暗号化関数Ｅおよび秘密鍵Ｋを用いて暗号化され
る。これは、Ｃ＝ＥK（ｍ）と表される。暗号文Ｃは、
秘密鍵Ｋを共有する二者間で安全に送信される。暗号文
は、もとのメッセージｍを回復するために、復号関数Ｄ
および秘密鍵Ｋを用いて復号される。これはｍ＝Ｄ
K（Ｃ）と表される。
【００１７】公開鍵暗号方式では、公開鍵（ＰＫ）およ
び秘密鍵（ＳＫ）の対（ＰＫ，ＳＫ）が存在する。公開
鍵は秘密ではなく、誰でも公開鍵を用いてメッセージｍ
を暗号化してＣ＝ＥPK（ｍ）となるような暗号文Ｃを生
成することが可能である。暗号文は、秘密鍵を用いての
み、ｍ＝ＤSK（Ｃ）と復号可能である。暗号文は、公開
鍵を用いては復号できない。公開鍵暗号は当業者に周知
である。
【００１８】周知の公開鍵暗号方式の１つにＲＳＡがあ
る。これは、R. Rivest, A. Shamir, L. Adleman, "A M
ethod for Obtaining Digital Signature and Public K
ey Cryptosystems", Communications of the ACM, vol.
21, 120-126, 1978、に記載されている。ＲＳＡでは、
公開鍵は（Ｎ，ｅ）であり、秘密鍵は（Ｎ，ｄ）であ
る。ただし、Ｎは、２つの大きいランダムに選択された
素数ｐとｑの積であり（すなわち、Ｎ＝ｐ・ｑ）、ｅ
は、ｅと（ｐ−１）・（ｑ−１）の最大公約数が１であ
るような２より大きい任意の数であり、ｄは、ｅ-1 ｍ
ｏｄ （ｐ−１）・（ｑ−１）である。暗号化関数は、
Ｅ（ｍ）＝ｍe ｍｏｄ Ｎであり、復号関数は、Ｄ
（Ｃ）＝Ｃd ｍｏｄ Ｎである。
【００１９】次に、他のいくつかの暗号用語について説
明する。非公式的には、集合Ｓから集合Ｔへの関数ｆが
一方向性関数であるとは、Ｓ内のすべてのｘに対してｆ
（ｘ）を計算するのは容易であるが、Ｔ内のほとんどの
ｙに対しては、ｆ（ｘ）＝ｙであるようなＳ内のｘを見
つけることが計算量的に実現不可能であることである。
一方向性関数の一例は、法指数演算である。ｐを大きい
素数とし、ｇを、ｍｏｄ ｐの乗法群（すなわち、
１，...，ｐ−１の範囲の数）の生成元とする。する
と、ｆ（ｘ）＝ｇx ｍｏｄ ｐは一般に一方向性関数
であると仮定される。その逆関数（離散対数関数とい
う）は計算が困難である。また、離散対数関数の計算が
困難であるこの他の群（例えば、いくつかの楕円曲線
群）もある。ディフィ・ヘルマン鍵交換と呼ばれる鍵交
換プロトコル（W. Diffie and M. Hellman,"New Direct
ions in Cryptography", IEEE Transactions on Inform
ation Theory, vol.22, no.6, 644-654, 1976、を参
照）はこの関数に基づいている。具体的には、アリスと
ボブの二者が次のように秘密鍵を共有する。アリスが、
ランダムなｘを選択し、Ｘ＝ｇx ｍｏｄ ｐをボブに
送る。一方、ボブは、ランダムなｙを選択し、Ｙ＝ｇy
ｍｏｄ ｐをアリスに送る。秘密鍵を、アリスはＹx
ｍｏｄ ｐとして、ボブはＸy ｍｏｄ ｐとして、
計算することができる（Ｙx＝Ｘy＝ｇxy ｍｏｄ ｐに
注意）。また、ディフィ・ヘルマン鍵交換は、離散対数
関数の計算が困難であるこの他の群（例えば、いくつか
の楕円曲線群）上でも実行可能である。非公式的には、
集合Ｓから集合Ｔへの関数ｈがランダムハッシュ関数で
あるとは、この関数がＳ内の入力ｘで計算されるまで
は、ｈの出力がランダムに見える、または、少なくとも
予測不能であることをいう。一般にこのようにふるまう
既知の関数は、ＳＨＡ−１（FIPS 180-1, "Secure Hash
Standard", Federal Information Processing Standar
ds Publication 180-1, 1995、を参照）、およびＲＩＰ
ＥＭＤ−１６０（H. Dobbertin, A. Bosselaers, B. Pr
eneel, "RIPEMD-160: a strengthened version of RIPE
MD", in Fast Software Encryption, 3rd Intl. Worksh
op, 71-82, 1996、を参照）である。
【００２０】一般に、暗号方式は、その安全性のレベル
を記述する安全性パラメータを有する。本明細書では、
ハッシュ関数の安全性パラメータとしてｋを用い（ただ
し、１／２kは無視できるほど小さいと仮定する）、公
開鍵暗号方式の安全性パラメータとしてｌを用い、特
に、ＲＳＡの法Ｎは長さｌビットであると仮定する。
【００２１】本発明の第１実施例による相互認証プロト
コルを図１〜図２に示す。図の左側に示すステップはサ
ーバによって実行され、図の右側に示すステップはクラ
イアントによって実行される。矢印は、クライアントと
サーバの間の通信を表す。このプロトコルによれば、サ
ーバは自分自身をクライアントに対して認証し、クライ
アントは自分自身をサーバに対して認証する。両側が認
証をした後、それぞれ秘密鍵（セッション鍵という）を
生成する。この鍵は、その後の安全な通信に使用可能で
ある。
【００２２】プロトコルを開始する前に、クライアント
とサーバはある情報を所有していると仮定する。サーバ
は、使用される特定の公開鍵暗号方式に従って公開鍵・
秘密鍵の対（ＰＫ，ＳＫ）を生成する。公開鍵・秘密鍵
の対の生成は当業者に周知であり、ここでは説明しな
い。サーバとクライアントはいずれも、クライアントが
サーバとの認証に使用するパスワードπ（すなわち、共
有の秘密）を所有する。パスワードπは、クライアント
とサーバの間で事前に設定されなければならず、各クラ
イアント・サーバ対ごとに独立に、あるいは、各クライ
アント・サーバ対ごとに一意的であるように、選択され
るべきである。
【００２３】以下のプロトコルは、サーバおよびクライ
アントの両方を認証する。従って、サーバおよびクライ
アントはいずれも真正であるとは仮定されず、サーバま
たはクライアントのいずれかが敵である可能性もある。
クライアントは、自分自身を認証し、サーバにアクセス
しようとしている敵である可能性がある。サーバは、疑
いを持っていないクライアントから機密情報を得ようと
して別の真正なサーバのふりをしよう（スプーフィン
グ）としている敵である可能性がある。
【００２４】当業者には直ちに明らかなように、サーバ
およびクライアントは、コンピュータプログラムコード
の制御下で動作するプログラムされたコンピュータとし
て実現可能である。コンピュータプログラムコードは、
コンピュータ可読媒体（例えばメモリ）に記憶され、コ
ードは、コンピュータのプロセッサにより実行される。
本明細書および図面が与えられれば、当業者は、ここで
説明するプロトコルを実装するために適当なコンピュー
タプログラムコードを直ちに作成することが可能であ
る。クライアントとサーバはデータネットワークを通じ
て互いに通信する。このようなネットワーク接続され
た、プログラムされたコンピュータは当業者に周知であ
り、ここではこれ以上詳細に説明しない。
【００２５】図１〜図２において、プロトコルが開始さ
れると、ステップ１１０で、サーバはｍを生成する。こ
れは、集合Ωのランダムな要素である。Ωは、２つの同
値なｍの値を生成する確率が無視できることを保証する
ほど十分に大きい集合を表す。Ωは、後の鍵交換を可能
にするようなものとすることが可能である。ステップ１
１２で、サーバは、ｍとＰＫをクライアントに送信す
る。上記のように、サーバは、プロトコルの開始前に
（ＰＫ，ＳＫ）の対を生成していると仮定する。ステッ
プ１１４で、クライアントは、ステップ１１２でサーバ
から受信したｍが集合Ωに属しているかどうか、およ
び、ＰＫが集合ε′（詳細は後述）に属しているかどう
かを決定する。これらのテストのいずれかが偽である場
合、クライアントは認証を拒否する。ステップ１１４の
テストはクライアントによって実行される。その理由
は、真正なサーバのふりをする敵は、クライアントがプ
ロトコルを実行した場合にこの敵がパスワードπに関す
る何らかの情報を知ることができるようにｍおよびＰＫ
を選択している可能性があるからである。
【００２６】ここで、ＰＫが集合ε′に属することの意
味について説明する。上記のように、プロトコルが正し
く動作するとともに機密情報を漏らさないために、公開
鍵・秘密鍵の対（ＰＫ，ＳＫ）は、使用される特定の公
開鍵暗号方式に従って適当に選択されなければならな
い。与えられた特定の公開鍵暗号方式に対して、ステッ
プ１１２でサーバから受信したＰＫが、この特定の公開
鍵暗号方式を用いて生成されるすべての可能な公開鍵の
集合εの要素であるかどうかを決定することができれば
理想的である。しかし、適当な時間内にこの決定をする
ことが可能な公開鍵暗号方式（プロトコルに要求される
すべての性質を有する）は知られていない。そこで、使
用可能公開鍵暗号方式およびテスト可能スーパーセット
ε′を次のように定義する。
【００２７】公開鍵暗号方式が使用可能であるとは、ε
の次のようなテスト可能スーパーセットε′が存在する
ことである。 １．すべてのＰＫ∈ε′に対して、ｓPK＝｜ＳPK｜はｋ
に関して超多項式的である（すなわち、ＳPKの要素の個
数はｋの多項式ではおさえられない）。ただし、Ｓ
PKは、ＰＫと、すべての可能なメッセージの暗号化とを
用いて暗号化可能なすべての可能なメッセージの集合を
表す。この集合ＳPKを、公開鍵（ＰＫ）のメッセージ空
間という。 ２．任意のＰＫに対して、ＰＫ∈ε′であるかどうかを
決定する多項式時間アルゴリズムが存在する。 ３．すべてのＰＫ∈ε′に対して、ＳPKから一様に１つ
の要素を取り出す期待多項式時間アルゴリズムが存在す
る。 ４．すべてのＰＫ∈ε′に対して、任意の値ａについ
て、ａ∈ＳPKであるかどうかを決定する多項式時間アル
ゴリズムが存在する。 ５．すべてのＰＫ∈ε′に対して、整数η≧ｌ＋ｋ、
｛０，１｝ηを定義域とする多項式時間計算可能な公開
鍵空間マッピング関数ＦPK、およびこの定義域の分割
【数１】 （この分割はＰＫにのみ依存する）が存在して、以下の
条件を満たす。 （ａ）ｓPKは多項式時間で計算可能である。 （ｂ）ｉ∈｛１，...，ｓPK｝に対して、ＦPK：ＸPK,i
→ＳPKは全単射である（すなわち、ＦPKは、各集合Ｘ
PK,iからＳPKへの全単射を含む）。 （ｃ）それぞれのａ∈ＳPKおよびｉ∈｛１，...，
ｓPK｝に対して、ＦPK（ｘ）＝ａであるようなｘ∈Ｘ
PK,iを求める多項式時間アルゴリズムが存在する。 （ｄ）与えられたｘ∈｛０，１｝ηに対して、ｘ∈ＺPK
であるかそれともｘ∈Ｚ′PKであるかをテストする多項
式時間アルゴリズムが存在する。 （ｅ）各ｘ∈ＺPKに対して、ＦPK（ｘ）∈ＳPKでない。 （ｆ）｜Ｚ′PK｜／２ηは、安全性パラメータｋに関し
て無視できる。 （ｇ）Ｅ∈εである場合、｜ＺPK∪Ｚ′PK｜／２ηは、
安全性パラメータｋに関して無視できる。
【００２８】当業者であれば、この使用可能の定義は、
ＰＫを用いて暗号化可能なメッセージの集合が、暗号化
されたメッセージの集合に等しくないような暗号方式を
含むように直ちに拡張することができる。当業者であれ
ば、ここに記載したプロトコルを、このような暗号方式
とともに使用するように直ちに修正することが可能であ
る。こうして、公開鍵ＰＫに関して、ステップ１１４で
のテストで、ＰＫが、εのテスト可能スーパーセット
ε′の要素であるかどうかを決定する。ステップ１１４
でのテストが偽である（すなわち、ｍはΩの要素であ
り、かつ、ＰＫはε′の要素である）場合、認証は続行
される。しかし、ステップ１１４でのテストが真である
（すなわち、ｍがΩの要素でないか、または、ＰＫが
ε′の要素でない）場合、認証はクライアントによって
拒否される。サーバがＰＫあるいはｍを不適当な方法で
選択したからである。
【００２９】ステップ１１６で、クライアントは、パラ
メータμを、集合Ωのランダムな要素として設定する。
ステップ１１８で、クライアントは、パラメータａを、
メッセージ空間ＳPKのランダムな要素として設定する。
ステップ１２０で、クライアントは、パラメータ（Ｐ
Ｋ，ｍ，μ，π）のランダムハッシュ関数Ｈとしてパラ
メータｐを計算する。ハッシュ関数Ｈは、十分なビット
数（少なくともη）を出力する上記のような任意のラン
ダムハッシュ関数とすることが可能である。
【００３０】ステップ１２２で、公開鍵空間マッピング
関数ＦPKをｐに作用させた結果ＦPK（ｐ）がメッセージ
空間ＳPKの要素であるかどうかを決定する。ＦPK（ｐ）
がＳ PKの要素でない場合、認証は拒否される。しかし、
ステップ１２２で、ＦPK（ｐ）∈ＳPKでないと決定され
た場合、この時点で認証を終了するのは好ましくない。
その理由は、クライアントがこの時点で認証を終了した
場合、敵のサーバが、パスワードπについての何らかの
知識を得る可能性があるからである。従って、クライア
ントは、認証を拒否すると決定した場合でも、サーバと
のプロトコルを続行することが好ましい。そこで、ステ
ップ１２２でのテストが真である場合、クライアントは
ｑ＝ａと設定する。ｑ＝ａと設定する（ａは、ステップ
１１８で、メッセージ空間の実質的にランダムな要素と
して選択された）ことによって、敵のサーバは、パスワ
ードπに関する情報を得ることがなくなる。ステップ１
２２で、ＦPK（ｐ）∈ＳPKと決定された場合、クライア
ントは、ｑ＝ＥPK（ａ）○ＦPK（ｐ）を計算することに
よって認証プロトコルを進める。すなわち、ａは公開鍵
を用いて暗号化され、ＦPK（ｐ）が、公開鍵メッセージ
空間の群演算を用いて、暗号化結果に作用する。ステッ
プ１２４で、μ、ｑがサーバに送られる。
【００３１】ステップ１２６で、サーバは、μ∈Ωかつ
ｑ∈ＳPKであるかどうかを決定する。μ∈Ωでないか、
または、ｑ∈ＳPKでない場合、サーバは認証を拒否す
る。そうでない場合、ステップ１２８で、サーバは、パ
ラメータ（ＰＫ，ｍ，μ，π）のランダムハッシュ関数
Ｈとしてパラメータｐ′を計算する。このステップ１２
８は、ステップ１２０について既に説明したのとに実行
される。ステップ１３０で、サーバは、ＦPK（ｐ′）が
メッセージ空間ＳPKの要素であるかどうかを決定し、Ｓ
PKの要素でない場合、サーバは認証を拒否する。Ｆ
PK（ｐ′）がメッセージ空間ＳPKの要素である場合、認
証は続行される。ステップ１３２で、サーバは、秘密鍵
ＳＫを用いてｑ／ＦPK（ｐ′）を復号することによって
ａ′を計算する（ここで／は、公開鍵メッセージ空間の
群演算の逆を表す）。ステップ１３４で、サーバは、ラ
ンダムハッシュ関数ｈをａ′に作用させたものとしてｒ
を計算する。ステップ１３６で、サーバはｒをクライア
ントに送る。
【００３２】ステップ１３８で、クライアントは、ＦPK
（ｐ）∈ＳPKかつｒ＝ｈ（ａ）であるかどうかを決定す
る。これらの条件が両方とも真である場合に限り、クラ
イアントはサーバを真正であるとして受け入れる。な
お、ＦPK（ｐ）∈ＳPKでない場合には、クライアントは
既にステップ１２２でサーバを受け入れないと決定して
いるが、敵がステップ１２２での認証の拒否から情報を
得ることができないように認証プロトコルを続行してい
たことを想起すべきである。ｒ＝ｈ（ａ）のテストは、
サーバが正しいパスワードπを所有していたかどうかを
テストする。そのため、ステップ１３８で、ＦPK（ｐ）
∈ＳPKでないか、または、ｒ≠ｈ（ａ）であるためにク
ライアントが認証を拒否しても、サーバは、いかなる理
由で認証が拒否されたかを決定することができない。ス
テップ１３８で、クライアントが、サーバを受け入れる
と決定した場合、ステップ１４０で、クライアントは、
ｔ＝ｈ′（ａ）を計算する。ただし、ｈ′はランダムハ
ッシュ関数である。ステップ１４２で、クライアントは
ｔをサーバに送る。
【００３３】ステップ１４６で、サーバは、ｔ＝ｈ′
（ａ′）であるかどうかを決定する。ｔ＝ｈ′（ａ′）
である場合、サーバは認証を受け入れる。そうでない場
合、サーバは認証を拒否する。クライアントおよびサー
バがいずれも認証を受け入れた場合、ステップ１４４
で、クライアントはセッション鍵を計算し、ステップ１
４８で、サーバがセッション鍵を計算する。セッション
鍵は、共有秘密鍵として作用し、クライアントとサーバ
の間のその後の安全な通信のために使用される。このよ
うな方法での秘密鍵の使用は、公開鍵暗号の継続使用よ
りも、その後の安全な通信にとって効率的である。一実
施例では、セッション鍵Ｋは、サーバおよびクライアン
トの両方で、ａのランダムハッシュ関数ｈ″として、Ｋ
＝ｈ″（ａ）と計算される。代替実施例では、セッショ
ン鍵Ｋは、サーバおよびクライアントの両方で、ディフ
ィ・ヘルマンプロトコルを用いて、ｍおよびμをディフ
ィ・ヘルマンパラメータに選択して、計算される。当業
者には明らかなように、セッション鍵を計算するため
に、さまざまな代替法を使用可能である。
【００３４】このようにして、図１〜図２について説明
したプロトコルは、上記で定義したように使用可能な公
開鍵暗号方式を用いて、クライアントとサーバの相互認
証を実現する。図１〜図２について説明したプロトコル
は、サーバがパスワードπを所有し記憶していることを
仮定している。このようなプロトコルの１つの潜在的な
問題点は、サーバ記憶領域の安全性が危険にさらされる
ことにより、敵が、クライアントのパスワードを取得す
ることが可能になることである。このような事態に対す
る保護のために、本発明の第２実施例では、サーバはパ
スワードπを所有せず、代わりに、パスワードπとｓａ
ｌｔ値の関数である値Ｘを記憶する。ｓａｌｔ値は、敵
が各ｓａｌｔ値ごとに別の辞書攻撃を実行するよう強制
することによって、複数のパスワードに対する同時の辞
書攻撃を妨げるために使用される公知の値である。値Ｘ
は、クライアントによってサーバに供給され、従って、
サーバは、Ｘを知るのみであり、Ｘの知識からπを決定
することはできない。クライアントは、ＸをＸ＝ｇ[x]
として計算する。ただし、ｇは離散対数の計算が困難な
ある群の生成元であり、ｘ＝Ｈ′（π，ｓａｌｔ）であ
り、Ｈ′は一方向性ランダムハッシュ関数を表す。図１
および図２に示した第１実施例について上記で説明した
のと同様に、サーバは、使用される特定の公開鍵暗号方
式に従って公開鍵・秘密鍵の対（ＰＫ，ＳＫ）を生成す
る。
【００３５】以下、本発明の第２実施例によるプロトコ
ルについて、図３〜図４とともに説明する。ステップ２
０５で、クライアントは、クライアントのユーザ名をサ
ーバに送ることによってプロトコルを開始する。ステッ
プ２１０で、サーバは、Ωのランダムな要素としてｍを
生成する。ステップ２１２で、サーバは、ステップ２０
５で受信したユーザ名に対応するＸおよびｓａｌｔを記
憶領域から取得する。ステップ２１４で、サーバは、
ｍ、ＰＫおよびｓａｌｔをクライアントに送る。ステッ
プ２１６で、クライアントは、ステップ２１４でサーバ
から受信したｍが集合Ωに属しているかどうか、およ
び、ＰＫがテスト可能スーパーセットε′に属している
かどうかを決定する。これらのテストのいずれかが偽で
ある場合、クライアントは認証を拒否する。そうでない
場合、認証は続行され、ステップ２１８で、クライアン
トは、ステップ２１４でサーバから受信したｓａｌｔを
用いてｘ＝Ｈ′（π，ｓａｌｔ）を計算する。ただし、
Ｈ′はランダムハッシュ関数である。ステップ２２０
で、クライアントは、パラメータμを、集合Ωのランダ
ムな要素として設定し、ステップ２２２で、クライアン
トは、パラメータａを、メッセージ空間ＳPKのランダム
な要素として設定する。ステップ２２４で、クライアン
トは、パラメータ（ＰＫ，ｍ，μ，ｇx）のランダムハ
ッシュ関数Ｈとしてパラメータｐを計算する。このステ
ップ２２４は、第１実施例のステップ１２０と同様であ
るが、この第２実施例では、ｐを決定する際のパラメー
タの１つとしてパスワードπを使用する代わりに、パス
ワードπの関数、すなわちｇxを、パラメータの１つと
して使用する。その後、ステップ２２６、２２８、およ
び２３０は、上記のステップ１２２、１２４、および１
２６で説明したのと同様に実行される。
【００３６】ステップ２３２で、サーバは、パラメータ
（ＰＫ，ｍ，μ，Ｘ）のランダムハッシュ関数Ｈとして
パラメータｐ′を計算する。このステップは、第１実施
例のステップ１２８と同様であるが、ステップ２３２で
は、サーバはπを知らないため、代わりに、ハッシュ関
数のパラメータとしてＸを使用する。ステップ２３４、
２３６、および２３８は、上記のステップ１３０、１３
２、および１３４で説明したのと同様に実行される。ス
テップ２４０で、集合Ｗのランダムな要素としてγを選
択する。ただし、Ｗは、相異なるｇγの値からなる十分
に大きな集合を生じるｇの可能な指数の集合を表す。ス
テップ２４２で、ｙをｇγとおく。ステップ２４４で、
サーバは、ｒおよびｙをクライアントに送る。ステップ
２４６は、上記のステップ１１３８で説明したのと同様
に実行される。ステップ２４８で、クライアントはｔ＝
ｈ′（ａ，ｙx）を計算し、ステップ２５０で、クライ
アントはｔをサーバに送る。
【００３７】ステップ２５４で、サーバは、ｔ＝ｈ′
（ａ′，Ｘγ）であるかどうかを決定する。ｔ＝ｈ′
（ａ′，Ｘγ）である場合、サーバは認証を受け入れ
る。そうでない場合、サーバは認証を拒否する。クライ
アントおよびサーバがいずれも認証を受け入れた場合、
ステップ２５２で、クライアントはセッション鍵を計算
し、ステップ２５６で、サーバがセッション鍵を計算す
る。
【００３８】図１〜図２および図３〜図４を参照して上
記でそれぞれ説明した本発明の第１および第２実施例
は、上記のように使用可能であるという要件を満たす公
開鍵暗号方式とともに用いられる認証プロトコルであ
る。このような使用可能な公開鍵暗号方式の１つは、パ
ラメータを以下で説明するいくつかの制約に従って選択
したＲＳＡ公開鍵暗号方式である。以下、本発明の第３
および第４の実施例について説明する。第３実施例は、
ＲＳＡを、サーバにパスワードπが記憶された公開鍵暗
号方式として利用する。第４実施例は、値Ｘがサーバに
記憶されたＲＳＡ公開鍵暗号方式を利用する。ただし、
Ｘは、パスワードπとｓａｌｔ値の関数である。このよ
うに、第３および第４の実施例は、第１および第２実施
例にそれぞれ対応するＲＳＡ固有の実施例である。
【００３９】以下、本発明の第３実施例について、図５
〜図６とともに説明する。ＲＳＡ公開鍵暗号方式では、
公開鍵ＰＫは２個のパラメータ（Ｎ，ｅ）から構成さ
れ、秘密鍵ＳＫは２個のパラメータ（Ｎ，ｄ）から構成
される。使用可能な形のＲＳＡ公開鍵暗号方式では、Ｎ
は大きく、ｅは、（Ｎ，ｅ）を知っている者がＮの任意
の素因数ｒに対してｅと（ｒ−１）の最大公約数が１で
あることを容易にテストすることができるという性質を
有することが保証されるように、公開鍵ＰＫ（Ｎ，ｅ）
は選択される。これを実行するいくつかの適当な方法に
ついて以下で説明する。サーバは、プロトコルの開始前
に、適当な（ＰＫ，ＳＫ）の対を生成していると仮定す
る。ステップ３０２で、サーバは、Ωのランダムな要素
としてｍを生成する。ステップ３０４で、サーバは、
ｍ、Ｎ、およびｅをクライアントに送信する。図１のス
テップ１１４について説明したように、クライアント
は、次に、サーバから受信したｍおよび公開鍵ＰＫが、
敵がパスワードπに関する情報を知り得るような方法で
これらの値を選択することに対する保護に適当であるよ
うに選択される。次に、ステップ３０６で、クライアン
トは、ステップ３０４でサーバから受信したｍが集合Ω
に属しているかどうか、および、ＰＫがテスト可能スー
パーセットε′（上記で定義）に属しているかどうかを
決定する。ＲＳＡによる実装では、ＰＫがテスト可能ス
ーパーセットε′に属しているかどうかを決定する１つ
の方法は、Ｎおよびｅが次の条件を満たすかどうかを決
定することである。 Ｎ∈［２l-2，２l］ ｅ∈［２l，２l+1］ ｅは素数である Ｎおよびｅが上記の条件をすべて満たす場合、ＰＫ∈
ε′である。これらの条件は、Ｎが十分に大きいか（Ｎ
が２l-2〜２lの範囲内にあるかどうかを決定することに
より）、および、ｅがＮより大きいか（ｅが２l〜２l+1
の範囲内にあるかどうかを決定することにより）のテス
トを含む。図５のステップ３０６に示すいずれかの条件
が偽である場合、認証は拒否される。そうでない場合、
プロトコルはステップ３０８に進む。なお、ＲＳＡ実施
例では、ＰＫ∈ε′であるかどうかを決定するもう１つ
の代替テスト法がある。この代替テストは、次の条件が
満たされるかどうかを決定することである。 ｅ≧√Ｎ Ｎ ｍｏｄ ｅはＮで割り切れない ｅは素数である Ｎおよびｅがこれらの条件をすべて満たす場合、ＰＫ∈
ε′である。
【００４０】なお、ＲＳＡ固有の実施例では、ＰＫ∈
ε′であるかどうかを決定するために使用可能な他のテ
スト法もある。例えば、ｅは素数であるかどうかをテス
トする代わりに、ｅを公知の固定値とし、ｅがこの固定
値に等しいことを確認するテストを行うことが可能であ
る。当業者であれば、ＲＳＡ固有の実施例でＰＫ∈ε′
であるかどうかを決定するための他のテストを実装する
ことが可能である。
【００４１】ステップ３０８、３１０、３１２はそれぞ
れ、上記の図１のステップ１１６、１１８、１２０で説
明したのと同様に実行される。なお、ステップ１２０
（図１）における計算は、ステップ３１２（図５）に示
したものと同じであるが、図１の一般的なＰＫは、図５
〜図６のＲＳＡ固有の実装ではＮおよびｅで置き換えら
れる。次のテストは、ＦPK（ｐ）が、ＲＳＡ公開鍵のメ
ッセージ空間の要素である（すなわち、ＦPK（ｐ）∈Ｓ
PK）かどうかを決定する。ＲＳＡ固有の実施例では、こ
れは、ｐとＮの最大公約数（ｇｃｄ）が１に等しいかど
うかを決定することによって実行される。ｇｃｄ（ｐ，
Ｎ）＝１である場合、ＦPK（ｐ）∈ＳPKであり、ステッ
プ３１４で、クライアントは、ｑ＝（ｐ・ａe）ｍｏｄ
Ｎを計算する。ｇｃｄ（ｐ，Ｎ）≠１である場合、Ｆ
PK（ｐ）∈ＳPKでないため、認証は拒否される。しか
し、図１のステップ１２２に関して既に述べたように、
この時点で認証を終了するのは好ましくない。その理由
は、そうすると、敵のサーバが、パスワードπについて
の何らかの知識を得る可能性があるからである。従っ
て、クライアントは、認証を拒否すると決定した場合で
も、サーバとのプロトコルを続行することが好ましい。
そこで、ステップ３１４でのテストが真である場合、ク
ライアントは、ｑ＝ａとおくことにより、ｑをメッセー
ジ空間の実質的にランダムな要素に設定する。ステップ
３１６で、クライアントは、μ、ｑをサーバに送信す
る。
【００４２】ステップ３１８で、サーバは、μ∈Ωかつ
ｑ∈ＳPKであるかどうかを決定する。ｑ∈ＳPKである
（すなわち、ｑがＲＳＡ公開鍵のメッセージ空間の要素
である）かどうかのテストは、ｇｃｄ（ｑ，Ｎ）＝１で
あるかどうかをテストすることにより行われる。μ∈Ω
でないか、または、ｇｃｄ（ｑ，Ｎ）≠１である場合、
サーバは認証を拒否する。そうでない場合、ステップ３
２０で、サーバは、パラメータ（Ｎ，ｅ，ｍ，μ，π）
のランダムハッシュ関数Ｈとしてパラメータｐ′を計算
する。ステップ３２２で、サーバは、ｇｃｄ（ｐ′，
Ｎ）＝１であるかどうかを決定することにより、Ｆ
PK（ｐ′）がＲＳＡ公開鍵のメッセージ空間の要素であ
るかどうかを決定する。ｇｃｄ（ｐ′，Ｎ）≠１である
場合、ＦPK（ｐ′）はＲＳＡ公開鍵のメッセージ空間の
要素ではなく、サーバは認証を拒否する。ｇｃｄ
（ｐ′，Ｎ）＝１である場合、ＦPK（ｐ′）はＲＳＡ公
開鍵のメッセージ空間の要素であり、認証は続行され
る。ステップ３２４で、サーバは、（ｑ／ｐ′）に対し
てＲＳＡ復号を実行する。ステップ３２６〜３４０は、
それぞれ図２のステップ１３４〜１４８と同様に実行さ
れる。なお、この第３実施例はＲＳＡ固有であるが、Ｆ
PK（ｐ）∈ＳPKであるかどうかを決定するステップ３３
０（図２のステップ１３８に対応する）におけるテスト
は、ｇｃｄ（ｐ，Ｎ）＝１であるかどうかを決定するこ
とにより実行される。
【００４３】本発明の第４実施例について図７〜図８を
参照して説明する。サーバは、パスワードπおよびｓａ
ｌｔ値の関数である値Ｘを記憶する。これは第２実施例
と同様である。しかし、第２実施例は任意の使用可能な
公開鍵暗号方式を用いたプロトコルであった。第４実施
例は、公開鍵暗号方式としてＲＳＡを使用する。図７に
おいて、ステップ４０２で、クライアントは、ユーザ名
をサーバに送ることによってプロトコルを開始する。ス
テップ４０４で、サーバは、Ωのランダムな要素として
ｍを生成する。ステップ４０６で、サーバは、ステップ
４０２で受信したユーザ名に対応するＸおよびｓａｌｔ
を記憶領域から取得する。ステップ４０８で、サーバ
は、ｍ、Ｎ、ｅ、およびｓａｌｔをクライアントに送
る。ステップ４１０で、クライアントは、ステップ４０
８でサーバから受信したｍが集合Ωに属しているかどう
か、および、公開鍵Ｎ、ｅがテスト可能スーパーセット
ε′に属しているかどうかを決定する。このＲＳＡ固有
の実施例では、公開鍵がテスト可能スーパーセットε′
に属しているかどうかのステップ４１０におけるテスト
は、上記の図５とともに説明したステップ３０６におけ
るテスト（または、上記のステップ３０６とともに説明
した代替テスト）と同じである。ステップ４１２、４１
４、および４１６で、クライアントは、それぞれ上記の
図３のステップ２１８、２２０、および２２２とともに
説明したようにして、パラメータｘ、μ、ａを生成す
る。ステップ４１８で、クライアントは、パラメータ
（Ｎ，ｅ，ｍ，μ，ｇx）のランダムハッシュ関数Ｈと
してパラメータｐを計算する。次に、ステップ４２０
で、クライアントは、ｇｃｄ（ｐ，Ｎ）＝１であるかど
うかを決定することによって、ＦPK（ｐ）∈ＳPKである
かどうかを決定し、上記の図５のステップ３１４ととも
に説明したのと同様に適当にパラメータｑを生成する。
その後、ステップ４２２で、クライアントは、μ、ｑを
サーバに送信する。
【００４４】ステップ４２４で、サーバは、μ∈Ωかつ
ｑ∈ＳPKであるかどうかを決定する。ｑ∈ＳPKであるか
どうかのテストは、ｇｃｄ（ｑ，Ｎ）＝１であるかどう
かをテストすることにより行われる。μ∈Ωでないか、
または、ｇｃｄ（ｑ，Ｎ）≠１である場合、サーバは認
証を拒否する。そうでない場合、ステップ４２６で、サ
ーバは、パラメータ（Ｎ，ｅ，ｍ，μ，Ｘ）のランダム
ハッシュ関数Ｈとしてパラメータｐ′を計算する。その
後、ステップ４２８、４３０、４３２は、それぞれ図５
〜図６のステップ３２２、３２４、３２６と同様に実行
され、ステップ４３４、４３６は、それぞれ図４のステ
ップ２４０、２４２と同様に実行される。
【００４５】ステップ４３８で、サーバは、ｒおよびｙ
をクライアントに送る。ステップ４４０〜４５０は、そ
れぞれ図４のステップ２４６〜２５６と同様に実行され
る。ステップ４４０のＦPK（ｐ）∈ＳPKであるかどうか
のテストは、ｇｃｄ（ｐ，Ｎ）＝１であるかどうかをテ
ストすることにより、ＲＳＡ固有の方法で実行される。
【００４６】本発明の発明者は、本発明による相互認証
プロトコルは、基礎となる公開鍵暗号方式と同程度に安
全であることを証明した。従って、ＲＳＡ固有の実施例
では、発明者は、本発明のプロトコルがＲＳＡ暗号方式
と同程度に安全であることを証明したことになる。その
証明の概略を述べる。
【００４７】本発明が安全な相互認証プロトコルである
ことを証明するため、プロトコルの安全性の議論を、使
用される暗号化関数の安全性の議論に帰着させる。具体
的には、入力として暗号化関数および暗号文をとるシミ
ュレータを考え、以下の事象のうちの１つが起こるよう
に、敵に対してランダムに選択されたパスワードでプロ
トコルをシミュレートする。 １．いくつかのランダムに選択された値が衝突する（す
なわち、等しくなる）ことがまれに起こる。これは、非
常に低い確率βで起こることが示される。 ２．シミュレータは、無視できない確率で、暗号文に対
する復号を導出できるという事象がある。 ３．上記以外。この場合、敵がプロトコルを破る確率は
高々ν／ｄであることを直接に証明する。ただし、νは
アクティブな「スプーフィング」攻撃の数であり、ｄは
可能なパスワードの数である。
【００４８】ここで、敵が、無視できないεに対して、
確率ν／ｄ＋εでプロトコルを破るとする。（非公式的
には、これは、敵が、単にパスワードを推測してそれぞ
れでログインしようとするより実質的に高い確率でプロ
トコルを破ることができることを意味する。これは不可
能であることをわれわれは主張する。）この敵を用いる
と、入力として暗号化関数および暗号文をとり、無視で
きない確率で暗号文を復号するアルゴリズムＡを構成す
ることができることになる。Ａは、シミュレータに対す
る敵を実行する。Ｅ1、Ｅ2およびＥ3を上記の３つの事
象とし、Ｂを、敵がプロトコルを破る事象とする。上記
の議論から、次のことがわかる。
【数２】 従って、Ｐｒ（Ｅ2）≧ε−βであり、これは無視でき
ない。従って、Ａは、無視できない確率で暗号文を復号
することができるが、これは、暗号化関数の安全性と矛
盾する。
【００４９】
【発明の効果】以上述べたごとく、本発明によれば、安
全であることが証明可能なパスワード単独相互認証プロ
トコルが得られる。
【図面の簡単な説明】
【図１】サーバがパスワードを記憶する認証プロトコル
の実施例を示す図である。
【図２】サーバがパスワードを記憶する認証プロトコル
の実施例を示す図である。
【図３】サーバが、パスワードの関数である値を記憶す
る認証プロトコルの実施例を示す図である。
【図４】サーバが、パスワードの関数である値を記憶す
る認証プロトコルの実施例を示す図である。
【図５】サーバがパスワードを記憶する認証プロトコル
のＲＳＡ固有の実施例を示す図である。
【図６】サーバがパスワードを記憶する認証プロトコル
のＲＳＡ固有の実施例を示す図である。
【図７】サーバが、パスワードの関数である値を記憶す
る認証プロトコルのＲＳＡ固有の実施例を示す図であ
る。
【図８】サーバが、パスワードの関数である値を記憶す
る認証プロトコルのＲＳＡ固有の実施例を示す図であ
る。
───────────────────────────────────────────────────── フロントページの続き (71)出願人 596077259 600 Ｍｏｕｎｔａｉｎ Ａｖｅｎｕｅ, Ｍｕｒｒａｙ Ｈｉｌｌ， Ｎｅｗ Ｊｅ ｒｓｅｙ 07974−0636Ｕ．Ｓ．Ａ. (72)発明者 フィリップ ダグラス マッケンジー アメリカ合衆国、07040 ニュージャージ ー、メイプルウッド、カーレトン コート 11 (72)発明者 ラム スワミナサン アメリカ合衆国、07974 ニュージャージ ー、ニュー プロビデンス、ガレス ドラ イブ ＃３ 72

Claims (66)

    【特許請求の範囲】
  1. 【請求項１】 公開鍵暗号方式を利用したクライアント
    とサーバの間の相互ネットワーク認証方法において、前
    記クライアントが、 前記サーバから公開鍵を受信するステップと、 前記公開鍵が、前記公開鍵暗号方式のすべての公開鍵の
    集合のテスト可能スーパーセットの要素であるかどうか
    を決定するステップと、 前記公開鍵が前記テスト可能スーパーセットの要素でな
    い場合、認証を拒否するステップとを有することを特徴
    とする相互ネットワーク認証方法。
  2. 【請求項２】 前記クライアントが、 前記公開鍵が前記テスト可能スーパーセットの要素であ
    る場合、 少なくとも前記公開鍵およびパスワードの関数としてパ
    ラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記公開鍵のメッセージ空間の要素であるか
    どうかを決定するステップと、 ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素でない
    場合、 パラメータｑを、前記公開鍵のメッセージ空間の実質的
    にランダムな要素とするステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項１に記載の方法。
  3. 【請求項３】 ｐは、さらに、少なくとも、前記サーバ
    から受信したパラメータｍの関数として生成されること
    を特徴とする請求項２に記載の方法。
  4. 【請求項４】 ｐは、さらに、少なくとも、実質的にラ
    ンダムな数μの関数として生成されることを特徴とする
    請求項３に記載の方法。
  5. 【請求項５】 前記クライアントが、 前記公開鍵が前記テスト可能スーパーセットの要素であ
    る場合、 少なくとも前記公開鍵およびパスワードの関数としてパ
    ラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記公開鍵のメッセージ空間の要素であるか
    どうかを決定するステップと、 ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素である
    場合、 前記公開鍵を用いて前記公開鍵のメッセージ空間の実質
    的にランダムな要素を暗号化し、その結果とＦPK（ｐ）
    との間で、公開鍵メッセージ空間の群演算を実行するこ
    とによって、パラメータｑを生成するステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項１に記載の方法。
  6. 【請求項６】 ｐは、さらに、少なくとも、前記サーバ
    から受信したパラメータｍの関数として生成されること
    を特徴とする請求項５に記載の方法。
  7. 【請求項７】 ｐは、さらに、少なくとも、実質的にラ
    ンダムな数μの関数として生成されることを特徴とする
    請求項６に記載の方法。
  8. 【請求項８】 ｍおよびμをパラメータとしてディフィ
    ・ヘルマンプロトコルを用いてセッション鍵を生成する
    ステップをさらに有することを特徴とする請求項７に記
    載の方法。
  9. 【請求項９】 前記クライアントが、 前記公開鍵が前記テスト可能スーパーセットの要素であ
    る場合、 少なくとも前記公開鍵とパスワードの関数との関数とし
    てパラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記公開鍵のメッセージ空間の要素であるか
    どうかを決定するステップと、 ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素でない
    場合、 パラメータｑを、前記公開鍵のメッセージ空間の実質的
    にランダムな要素とするステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項１に記載の方法。
  10. 【請求項１０】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項９に記載の方法。
  11. 【請求項１１】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項９に記載の方法。
  12. 【請求項１２】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項１１に記載の方法。
  13. 【請求項１３】 前記クライアントが、 前記公開鍵が前記テスト可能スーパーセットの要素であ
    る場合、 少なくとも前記公開鍵とパスワードの関数との関数とし
    てパラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記公開鍵のメッセージ空間の要素であるか
    どうかを決定するステップと、 ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素である
    場合、 前記公開鍵を用いて前記公開鍵のメッセージ空間の実質
    的にランダムな要素を暗号化し、その結果と、Ｆ
    PK（ｐ）との間で、公開鍵メッセージ空間の群演算を実
    行することによって、パラメータｑを生成するステップ
    と、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項１に記載の方法。
  14. 【請求項１４】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項１３に記載の方法。
  15. 【請求項１５】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項１３に記載の方法。
  16. 【請求項１６】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項１５に記載の方法。
  17. 【請求項１７】 ｍおよびμをパラメータとしてディフ
    ィ・ヘルマンプロトコルを用いてセッション鍵を生成す
    るステップをさらに有することを特徴とする請求項１６
    に記載の方法。
  18. 【請求項１８】 公開鍵暗号方式を利用したクライアン
    トとサーバの間の相互ネットワーク認証方法において、
    前記サーバが、 使用可能公開鍵暗号方式のすべての公開鍵の集合のテス
    ト可能スーパーセットの要素である公開鍵をクライアン
    トに送信するステップと、 前記クライアントから、パラメータｑとして、前記公開
    鍵のメッセージ空間の要素を受信するステップとを有す
    ることを特徴とする相互ネットワーク認証方法。
  19. 【請求項１９】 前記クライアントで少なくとも前記公
    開鍵およびパスワードの関数として生成されたパラメー
    タｐに、公開鍵空間マッピング関数ＦPKを作用させた結
    果ＦPK（ｐ）が、前記公開鍵のメッセージ空間の要素で
    ない場合、 前記公開鍵のメッセージ空間の実質的にランダムな要素
    をパラメータｑとして受信するステップを有することを
    特徴とする請求項１８に記載の方法。
  20. 【請求項２０】 前記クライアントで少なくとも前記公
    開鍵およびパスワードの関数として生成されたパラメー
    タｐに、公開鍵空間マッピング関数ＦPKを作用させた結
    果ＦPK（ｐ）が、前記公開鍵のメッセージ空間の要素で
    ある場合、 公開鍵メッセージ空間の実質的にランダムな要素を公開
    鍵暗号化した結果と、ＦPK（ｐ）との間で、公開鍵メッ
    セージ空間の群演算を実行した結果をパラメータｑとし
    て受信するステップを有することを特徴とする請求項１
    ８に記載の方法。
  21. 【請求項２１】 前記クライアントで少なくとも前記公
    開鍵とパスワードの関数との関数として生成されたパラ
    メータｐに、公開鍵空間マッピング関数ＦPKを作用させ
    た結果ＦPK（ｐ）が、前記公開鍵のメッセージ空間の要
    素でない場合、前記公開鍵のメッセージ空間の実質的に
    ランダムな要素をパラメータｑとして受信するステップ
    を有することを特徴とする請求項１８に記載の方法。
  22. 【請求項２２】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項２１に記載の方法。
  23. 【請求項２３】 前記クライアントで少なくとも前記公
    開鍵とパスワードの関数との関数として生成されたパラ
    メータｐに、公開鍵空間マッピング関数ＦPKを作用させ
    た結果ＦPK（ｐ）が、前記公開鍵のメッセージ空間の要
    素である場合、 公開鍵メッセージ空間の実質的にランダムな要素を公開
    鍵暗号化した結果と、ＦPK（ｐ）との間で、公開鍵メッ
    セージ空間の群演算を実行した結果をパラメータｑとし
    て受信するステップを有することを特徴とする請求項１
    ８に記載の方法。
  24. 【請求項２４】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項２３に記載の方法。
  25. 【請求項２５】 前記公開鍵暗号方式はＲＳＡであり、 前記公開鍵はパラメータＮおよびｅからなり、 前記公開鍵は、前記サーバによって、 Ｎはある値より大きく、 ｅはＮより大きく、 ｅは素数であるように選択されることを特徴とする請求
    項１８に記載の方法。
  26. 【請求項２６】 前記公開鍵暗号方式はＲＳＡであり、 前記公開鍵はパラメータＮおよびｅからなり、 前記公開鍵は、前記サーバによって、 Ｎはある値範囲内にあり、 ｅはある値範囲内にあり、 ｅは素数であるように選択されることを特徴とする請求
    項１８に記載の方法。
  27. 【請求項２７】 前記公開鍵暗号方式はＲＳＡであり、 前記公開鍵はパラメータＮおよびｅからなり、 前記公開鍵は、前記サーバによって、 ｅは所定の値であり、 Ｎはある値範囲内にあるように選択されることを特徴と
    する請求項１８に記載の方法。
  28. 【請求項２８】 ＲＳＡ暗号方式を利用したクライアン
    トとサーバの間の相互ネットワーク認証方法において、
    前記クライアントが、 前記サーバからＲＳＡ公開鍵（Ｎ，ｅ）を受信するステ
    ップと、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が、前記ＲＳＡ暗号方式の
    すべての公開鍵の集合のテスト可能スーパーセットの要
    素であるかどうかを決定するステップと、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が前記テスト可能スーパー
    セットの要素でない場合、認証を拒否するステップとを
    有することを特徴とする相互ネットワーク認証方法。
  29. 【請求項２９】 前記ＲＳＡ公開鍵（Ｎ，ｅ）が、前記
    ＲＳＡ暗号方式のすべての公開鍵の集合のテスト可能ス
    ーパーセットの要素であるかどうかを決定するステップ
    は、前記クライアントが、 Ｎはある値より大きく、 ｅはＮより大きく、 ｅは素数であるかどうかを決定するステップを含むこと
    を特徴とする請求項２８に記載の方法。
  30. 【請求項３０】 前記ＲＳＡ公開鍵（Ｎ，ｅ）が、前記
    ＲＳＡ暗号方式のすべての公開鍵の集合のテスト可能ス
    ーパーセットの要素であるかどうかを決定するステップ
    は、前記クライアントが、 Ｎはある値範囲内にあり、 ｅはある値範囲内にあり、 ｅは素数であるかどうかを決定するステップを含むこと
    を特徴とする請求項２８に記載の方法。
  31. 【請求項３１】 前記ＲＳＡ公開鍵（Ｎ，ｅ）が、前記
    ＲＳＡ暗号方式のすべての公開鍵の集合のテスト可能ス
    ーパーセットの要素であるかどうかを決定するステップ
    は、前記クライアントが、 ｅは所定の値であり、 Ｎはある値範囲内にあるかどうかを決定するステップを
    含むことを特徴とする請求項２８に記載の方法。
  32. 【請求項３２】 前記クライアントが、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が前記ＲＳＡ暗号方式のす
    べての公開鍵の集合のテスト可能スーパーセットの要素
    である場合、 少なくとも前記ＲＳＡ公開鍵（Ｎ，ｅ）およびパスワー
    ドの関数としてパラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素で
    あるかどうかを決定するステップと、 ＦPK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素
    でない場合、 パラメータｑを、前記ＲＳＡ公開鍵のメッセージ空間の
    実質的にランダムな要素とするステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項２８に記載の方法。
  33. 【請求項３３】 前記ＦPK（ｐ）が前記ＲＳＡ公開鍵の
    メッセージ空間の要素であるかどうかを決定するステッ
    プは、 ｐとＮの最大公約数が１に等しいかどうかを決定するス
    テップを含むことを特徴とする請求項３２に記載の方
    法。
  34. 【請求項３４】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項３２に記載の方法。
  35. 【請求項３５】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項３４に記載の方法。
  36. 【請求項３６】 前記クライアントが、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が前記ＲＳＡ暗号方式のす
    べての公開鍵の集合のテスト可能スーパーセットの要素
    である場合、 少なくとも前記ＲＳＡ公開鍵（Ｎ，ｅ）およびパスワー
    ドの関数としてパラメータｐを生成するステップと、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素で
    あるかどうかを決定するステップと、 ＦPK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素
    である場合、 ａを、前記ＲＳＡ公開鍵のメッセージ空間の実質的にラ
    ンダムな要素として、ｑ＝（ｐ・ａe）ｍｏｄ Ｎによ
    りパラメータｑを生成するステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項２８に記載の方法。
  37. 【請求項３７】 前記ＦPK（ｐ）が前記ＲＳＡ公開鍵の
    メッセージ空間の要素であるかどうかを決定するステッ
    プは、 ｐとＮの最大公約数が１に等しいかどうかを決定するス
    テップを含むことを特徴とする請求項３６に記載の方
    法。
  38. 【請求項３８】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項３６に記載の方法。
  39. 【請求項３９】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項３８に記載の方法。
  40. 【請求項４０】 ｍおよびμをパラメータとしてディフ
    ィ・ヘルマンプロトコルを用いてセッション鍵を生成す
    るステップをさらに有することを特徴とする請求項３９
    に記載の方法。
  41. 【請求項４１】 前記クライアントが、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が前記ＲＳＡ暗号方式のす
    べての公開鍵の集合のテスト可能スーパーセットの要素
    である場合、 少なくとも前記ＲＳＡ公開鍵（Ｎ，ｅ）とパスワードの
    関数との関数としてパラメータｐを生成するステップ
    と、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素で
    あるかどうかを決定するステップと、 ＦPK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素
    でない場合、 パラメータｑを、前記ＲＳＡ公開鍵のメッセージ空間の
    実質的にランダムな要素とするステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項２８に記載の方法。
  42. 【請求項４２】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項４１に記載の方法。
  43. 【請求項４３】 前記ＦPK（ｐ）が前記ＲＳＡ公開鍵の
    メッセージ空間の要素であるかどうかを決定するステッ
    プは、 ｐとＮの最大公約数が１に等しいかどうかを決定するス
    テップを含むことを特徴とする請求項４１に記載の方
    法。
  44. 【請求項４４】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項４１に記載の方法。
  45. 【請求項４５】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項４４に記載の方法。
  46. 【請求項４６】 前記クライアントが、 前記ＲＳＡ公開鍵（Ｎ，ｅ）が前記ＲＳＡ暗号方式のす
    べての公開鍵の集合のテスト可能スーパーセットの要素
    である場合、 少なくとも前記ＲＳＡ公開鍵（Ｎ，ｅ）とパスワードの
    関数との関数としてパラメータｐを生成するステップ
    と、 公開鍵空間マッピング関数ＦPKをｐに作用させた結果Ｆ
    PK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素で
    あるかどうかを決定するステップと、 ＦPK（ｐ）が前記ＲＳＡ公開鍵のメッセージ空間の要素
    である場合、 ａを、前記ＲＳＡ公開鍵のメッセージ空間の実質的にラ
    ンダムな要素として、ｑ＝（ｐ・ａe）ｍｏｄ Ｎによ
    りパラメータｑを生成するステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項２８に記載の方法。
  47. 【請求項４７】 前記パスワードの関数は、前記パスワ
    ードの一方向性ハッシュ関数であることを特徴とする請
    求項４６に記載の方法。
  48. 【請求項４８】 前記ＦPK（ｐ）が前記ＲＳＡ公開鍵の
    メッセージ空間の要素であるかどうかを決定するステッ
    プは、 ｐとＮの最大公約数が１に等しいかどうかを決定するス
    テップを含むことを特徴とする請求項４６に記載の方
    法。
  49. 【請求項４９】 ｐは、さらに、少なくとも、前記サー
    バから受信したパラメータｍの関数として生成されるこ
    とを特徴とする請求項４６に記載の方法。
  50. 【請求項５０】 ｐは、さらに、少なくとも、実質的に
    ランダムな数μの関数として生成されることを特徴とす
    る請求項４９に記載の方法。
  51. 【請求項５１】 ｍおよびμをパラメータとしてディフ
    ィ・ヘルマンプロトコルを用いてセッション鍵を生成す
    るステップをさらに有することを特徴とする請求項５０
    に記載の方法。
  52. 【請求項５２】 公開鍵暗号方式を利用したクライアン
    トとサーバの間の相互認証方法において、 前記サーバが、公開鍵を前記クライアントに送信するス
    テップと、 前記クライアントが、前記公開鍵が前記公開鍵暗号方式
    のすべての公開鍵の集合のテスト可能スーパーセットの
    要素であるかどうかを決定するステップと、 前記クライアントが、前記公開鍵が前記テスト可能スー
    パーセットの要素でないと決定した場合、前記クライア
    ントが、認証を拒否するステップとを有することを特徴
    とする相互認証方法。
  53. 【請求項５３】 前記クライアントが、前記公開鍵が前
    記テスト可能スーパーセットの要素であると決定した場
    合、 前記クライアントが、少なくとも前記公開鍵およびパス
    ワードの関数としてパラメータｐを生成するステップ
    と、 前記クライアントが、公開鍵空間マッピング関数ＦPKを
    ｐに作用させた結果ＦPK（ｐ）が前記公開鍵のメッセー
    ジ空間の要素であるかどうかを決定するステップとをさ
    らに有することを特徴とする請求項５２に記載の方法。
  54. 【請求項５４】 前記クライアントが、ＦPK（ｐ）が前
    記公開鍵のメッセージ空間の要素であると決定した場
    合、 前記クライアントが、前記公開鍵を用いて前記公開鍵の
    メッセージ空間の実質的にランダムな要素ａを暗号化
    し、その結果とＦPK（ｐ）との間で、公開鍵メッセージ
    空間の群演算を実行することによって、パラメータｑを
    生成するステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項５３に記載の方法。
  55. 【請求項５５】 前記クライアントが、ＦPK（ｐ）が前
    記公開鍵のメッセージ空間の要素でないと決定した場
    合、 前記クライアントが、パラメータｑを、前記公開鍵のメ
    ッセージ空間の実質的にランダムな要素とするステップ
    をさらに有することを特徴とする請求項５４に記載の方
    法。
  56. 【請求項５６】 前記サーバが、ｑが前記公開鍵のメッ
    セージ空間の要素であるかどうかを決定するステップ
    と、 前記サーバが、ｑが前記公開鍵のメッセージ空間の要素
    でないと決定した場合、前記サーバが、認証を拒否する
    ステップと、 前記サーバが、ｑが前記公開鍵のメッセージ空間の要素
    であると決定した場合、前記サーバが、前記公開鍵およ
    び前記パスワードの関数としてパラメータｐ′を生成す
    るステップと、 前記サーバが、公開鍵空間マッピング関数ＦPKをｐ′に
    作用させた結果ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素であるかどうかを決定するステップと、 前記サーバが、ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素でないと決定した場合、前記サーバが、認証
    を拒否するステップと、 前記サーバが、ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素であると決定した場合、前記サーバが、 ｑとＦPK（ｐ′）との間で、公開鍵メッセージ空間の群
    演算の逆を実行し、その結果を、前記公開鍵に対応する
    秘密鍵を用いて復号することによって、パラメータａ′
    を生成するステップと、 ｒ＝ｈ（ａ′）を生成するステップと、 ｒを前記クライアントに送信するステップとをさらに有
    することを特徴とする請求項５４に記載の方法。
  57. 【請求項５７】 前記クライアントが、 ａ）ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素で
    あるかどうか、および、 ｂ）ｒ＝ｈ（ａ）であるかどうかを決定するステップ
    と、 ａ）またはｂ）が真でない場合、前記クライアントが、
    認証を拒否するステップと、 ａ）およびｂ）が真である場合、前記クライアントが、 ｔ＝ｈ′（ａ）を生成するステップと、 ｔを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項５６に記載の方法。
  58. 【請求項５８】 前記サーバが、ｔ＝ｈ′（ａ′）であ
    るかどうかを決定するステップと、 ｔ＝ｈ′（ａ′）である場合、前記サーバが、認証を受
    容するステップと、 ｔ≠ｈ′（ａ′）である場合、前記サーバが、認証を拒
    否するステップとをさらに有することを特徴とする請求
    項５７に記載の方法。
  59. 【請求項５９】 前記サーバおよび前記クライアントが
    認証を受容した場合、前記サーバおよび前記クライアン
    トがが、後の安全な通信のためのセッション鍵を計算す
    るステップをさらに有することを特徴とする請求項５８
    に記載の方法。
  60. 【請求項６０】 前記クライアントが、前記公開鍵が前
    記テスト可能スーパーセットの要素であると決定した場
    合、 前記クライアントが、少なくとも前記公開鍵とパスワー
    ドの関数との関数としてパラメータｐを生成するステッ
    プと、 前記クライアントが、公開鍵空間マッピング関数ＦPKを
    ｐに作用させた結果ＦPK（ｐ）が前記公開鍵のメッセー
    ジ空間の要素であるかどうかを決定するステップとをさ
    らに有することを特徴とする請求項５２に記載の方法。
  61. 【請求項６１】 前記クライアントが、ＦPK（ｐ）が前
    記公開鍵のメッセージ空間の要素であると決定した場
    合、 前記クライアントが、前記公開鍵を用いて前記公開鍵の
    メッセージ空間の実質的にランダムな要素ａを暗号化
    し、その結果とＦPK（ｐ）との間で、公開鍵メッセージ
    空間の群演算を実行することによって、パラメータｑを
    生成するステップと、 ｑを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項６０に記載の方法。
  62. 【請求項６２】 前記クライアントが、ＦPK（ｐ）が前
    記公開鍵のメッセージ空間の要素でないと決定した場
    合、 前記クライアントが、パラメータｑを、前記公開鍵のメ
    ッセージ空間の実質的にランダムな要素とするステップ
    をさらに有することを特徴とする請求項６１に記載の方
    法。
  63. 【請求項６３】 前記サーバが、ｑが前記公開鍵のメッ
    セージ空間の要素であるかどうかを決定するステップ
    と、 前記サーバが、ｑが前記公開鍵のメッセージ空間の要素
    でないと決定した場合、前記サーバが、認証を拒否する
    ステップと、 前記サーバが、ｑが前記公開鍵のメッセージ空間の要素
    であると決定した場合、前記サーバが、前記公開鍵と前
    記パスワードの関数との関数としてパラメータｐ′を生
    成するステップと、 前記サーバが、公開鍵空間マッピング関数ＦPKをｐ′に
    作用させた結果ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素であるかどうかを決定するステップと、 前記サーバが、ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素でないと決定した場合、前記サーバが、認証
    を拒否するステップと、 前記サーバが、ＦPK（ｐ′）が前記公開鍵のメッセージ
    空間の要素であると決定した場合、前記サーバが、 ｑとＦPK（ｐ′）との間で、公開鍵メッセージ空間の群
    演算の逆を実行し、その結果を、前記公開鍵に対応する
    秘密鍵を用いて復号することによって、パラメータａ′
    を生成するステップと、 ｒ＝ｈ（ａ′）を生成するステップと、 ｒを前記クライアントに送信するステップとをさらに有
    することを特徴とする請求項６１に記載の方法。
  64. 【請求項６４】 前記クライアントが、 ａ）ＦPK（ｐ）が前記公開鍵のメッセージ空間の要素で
    あるかどうか、および、 ｂ）ｒ＝ｈ（ａ）であるかどうかを決定するステップ
    と、 ａ）またはｂ）が真でない場合、前記クライアントが、
    認証を拒否するステップと、 ａ）およびｂ）が真である場合、前記クライアントが、 ｔ＝ｈ′（ａ）を生成するステップと、 ｔを前記サーバに送信するステップとをさらに有するこ
    とを特徴とする請求項６３に記載の方法。
  65. 【請求項６５】 前記サーバが、ｔ＝ｈ′（ａ′）であ
    るかどうかを決定するステップと、 ｔ＝ｈ′（ａ′）である場合、前記サーバが、認証を受
    容するステップと、 ｔ≠ｈ′（ａ′）である場合、前記サーバが、認証を拒
    否するステップとをさらに有することを特徴とする請求
    項６４に記載の方法。
  66. 【請求項６６】 前記サーバおよび前記クライアントが
    認証を受容した場合、前記サーバおよび前記クライアン
    トがが、後の安全な通信のためのセッション鍵を計算す
    るステップをさらに有することを特徴とする請求項６５
    に記載の方法。
JP2000210117A 1999-07-13 2000-07-11 相互ネットワーク認証方法 Pending JP2001060947A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US09/353468 1999-07-13
US09/353,468 US6757825B1 (en) 1999-07-13 1999-07-13 Secure mutual network authentication protocol

Publications (1)

Publication Number Publication Date
JP2001060947A true JP2001060947A (ja) 2001-03-06

Family

ID=23389249

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2000210117A Pending JP2001060947A (ja) 1999-07-13 2000-07-11 相互ネットワーク認証方法

Country Status (4)

Country Link
US (1) US6757825B1 (ja)
EP (1) EP1069726A3 (ja)
JP (1) JP2001060947A (ja)
CA (1) CA2313557C (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007520909A (ja) * 2003-06-27 2007-07-26 ケーティー・コーポレーション 二重要素認証されたキー交換方法及びこれを利用した認証方法とその方法を含むプログラムが貯蔵された記録媒体
JP2009503934A (ja) * 2005-07-19 2009-01-29 株式会社エヌ・ティ・ティ・ドコモ 展性攻撃に対して改良された安全性を有する技術（これに限定されない）を含む非ワンタイムパッド暗号で暗号化した署名鍵を用いた、暗号認証、及び／又は共有暗号鍵の設定
JP4837729B2 (ja) * 2005-05-03 2011-12-14 株式会社エヌ・ティ・ティ・ドコモ 暗号認証方法、コンピュータシステム及びデータキャリア

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6272223B1 (en) * 1997-10-28 2001-08-07 Rolf Carlson System for supplying screened random numbers for use in recreational gaming in a casino or over the internet
US7690043B2 (en) 1994-12-19 2010-03-30 Legal Igaming, Inc. System and method for connecting gaming devices to a network for remote play
US7260834B1 (en) 1999-10-26 2007-08-21 Legal Igaming, Inc. Cryptography and certificate authorities in gaming machines
US7290142B1 (en) * 1999-09-28 2007-10-30 Thomas Licensing System and method for initializing a simple network management protocol (SNMP) agent
US7069434B1 (en) * 2000-06-13 2006-06-27 Hewlett-Packard Development Company, L.P. Secure data transfer method and system
US7020773B1 (en) 2000-07-17 2006-03-28 Citrix Systems, Inc. Strong mutual authentication of devices
US20020062452A1 (en) * 2000-08-18 2002-05-23 Warwick Ford Countering credentials copying
US6986040B1 (en) 2000-11-03 2006-01-10 Citrix Systems, Inc. System and method of exploiting the security of a secure communication channel to secure a non-secure communication channel
WO2003001723A2 (en) * 2001-06-26 2003-01-03 Valentin Kisimov Stabilised secure algorithms
US6993650B2 (en) * 2001-10-31 2006-01-31 International Business Machines Corporation Authentications integrated into a boot code image
GB0210692D0 (en) * 2002-05-10 2002-06-19 Assendon Ltd Smart card token for remote authentication
US7783043B1 (en) 2002-08-05 2010-08-24 Nortel Networks Limited Secure group communications
US9865126B2 (en) 2002-10-09 2018-01-09 Zynga Inc. System and method for connecting gaming devices to a network for remote play
US7188359B2 (en) 2002-12-18 2007-03-06 America Online, Inc. Optimizing authentication service availability and responsiveness via client-side routing
US8788825B1 (en) * 2003-01-14 2014-07-22 Digi International Inc. Method and apparatus for key management for various device-server configurations
US7930412B2 (en) * 2003-09-30 2011-04-19 Bce Inc. System and method for secure access
US8015393B2 (en) * 2004-04-12 2011-09-06 Canon Kabushiki Kaisha Data processing device, encryption communication method, key generation method, and computer program
WO2006016850A1 (en) * 2004-08-07 2006-02-16 Veritas Mobile Solutions Pte. Ltd. Authentication method and system
EP1836792A1 (en) * 2004-12-30 2007-09-26 BCE Inc. System and method for secure access
US20060182124A1 (en) * 2005-02-15 2006-08-17 Sytex, Inc. Cipher Key Exchange Methodology
US7594116B2 (en) * 2005-04-28 2009-09-22 Proofpoint, Inc. Mediated key exchange between source and target of communication
US7698555B2 (en) * 2005-08-29 2010-04-13 Schweitzer Engineering Laboratories, Inc. System and method for enabling secure access to a program of a headless server device
US8201233B2 (en) * 2006-02-06 2012-06-12 Cisco Technology, Inc. Secure extended authentication bypass
US20080132222A1 (en) * 2006-11-30 2008-06-05 Brady Colin P Wireless communication using a picocell station having its own phone number
US8239549B2 (en) * 2007-09-12 2012-08-07 Microsoft Corporation Dynamic host configuration protocol
US8806565B2 (en) * 2007-09-12 2014-08-12 Microsoft Corporation Secure network location awareness
CN101425897B (zh) * 2007-10-29 2011-05-18 上海交通大学 一种用户认证方法、系统、服务器和用户节点
US8452017B2 (en) * 2007-12-21 2013-05-28 Research In Motion Limited Methods and systems for secure channel initialization transaction security based on a low entropy shared secret
US7522723B1 (en) 2008-05-29 2009-04-21 Cheman Shaik Password self encryption method and system and encryption by keys generated from personal secret information
US8230219B2 (en) * 2008-08-12 2012-07-24 Texas Instruments Incorporated Reduced computation for bit-by-bit password verification in mutual authentication
US8549314B2 (en) 2010-04-29 2013-10-01 King Saud University Password generation methods and systems
US20120032781A1 (en) * 2010-08-09 2012-02-09 Electronics And Telecommunications Research Institute Remote personal authentication system and method using biometrics
CN101959187A (zh) * 2010-10-19 2011-01-26 青海师范大学 一种manet网络无需可信第三方的匿名路由方法
US8988187B2 (en) * 2011-01-13 2015-03-24 Hong Kong Applied Science And Technology Research Institute Co., Ltd. Proximity based biometric identification systems and methods
CN102377573A (zh) * 2011-12-08 2012-03-14 华东师范大学 一种口令可安全更新的双因子身份认证方法
FR3018371B1 (fr) * 2014-03-10 2016-05-06 Commissariat Energie Atomique Procede et systeme de chiffrement/dechiffrement de donnees a cle distante et verification prealable de jeton
US10333696B2 (en) 2015-01-12 2019-06-25 X-Prime, Inc. Systems and methods for implementing an efficient, scalable homomorphic transformation of encrypted data with minimal data expansion and improved processing efficiency
KR102549272B1 (ko) 2016-05-17 2023-06-30 한국전자통신연구원 패스워드와 ｉｄ 기반 서명을 이용한 인증 키 합의 방법 및 장치
WO2019101324A1 (en) * 2017-11-23 2019-05-31 Huawei Technologies Co., Ltd. System and method for storing encrypted data
CN110287070B (zh) * 2019-05-21 2024-03-19 平安银行股份有限公司 Esb专用协议接口测试方法、服务器及计算机可读存储介质
CN110519300B (zh) * 2019-09-24 2021-08-06 杭州字节信息技术有限公司 基于口令双向认证的客户端密钥安全存储方法
CN114268439B (zh) * 2021-12-16 2023-09-15 中原工学院 一种基于格的身份基认证密钥协商方法

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5241599A (en) 1991-10-02 1993-08-31 At&T Bell Laboratories Cryptographic protocol for secure communications
US5440635A (en) 1993-08-23 1995-08-08 At&T Corp. Cryptographic protocol for remote authentication
US6438691B1 (en) * 1996-04-01 2002-08-20 Hewlett-Packard Company Transmitting messages over a network
JPH09284272A (ja) * 1996-04-19 1997-10-31 Canon Inc エンティティの属性情報に基づく暗号化方式、署名方式、鍵共有方式、身元確認方式およびこれらの方式用装置
US6275941B1 (en) * 1997-03-28 2001-08-14 Hiatchi, Ltd. Security management method for network system
EP1025672A1 (en) * 1997-10-14 2000-08-09 Certicom Corp. Key validation scheme
US6134327A (en) * 1997-10-24 2000-10-17 Entrust Technologies Ltd. Method and apparatus for creating communities of trust in a secure communication system
US6226750B1 (en) * 1998-01-20 2001-05-01 Proact Technologies Corp. Secure session tracking method and system for client-server environment
US6088805A (en) * 1998-02-13 2000-07-11 International Business Machines Corporation Systems, methods and computer program products for authenticating client requests with client certificate information
US6446206B1 (en) * 1998-04-01 2002-09-03 Microsoft Corporation Method and system for access control of a message queue
US6438235B2 (en) * 1998-08-05 2002-08-20 Hewlett-Packard Company Media content protection utilizing public key cryptography
US6567915B1 (en) * 1998-10-23 2003-05-20 Microsoft Corporation Integrated circuit card with identity authentication table and authorization tables defining access rights based on Boolean expressions of authenticated identities

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007520909A (ja) * 2003-06-27 2007-07-26 ケーティー・コーポレーション 二重要素認証されたキー交換方法及びこれを利用した認証方法とその方法を含むプログラムが貯蔵された記録媒体
JP4847322B2 (ja) * 2003-06-27 2011-12-28 ケーティー・コーポレーション 二重要素認証されたキー交換方法及びこれを利用した認証方法とその方法を含むプログラムが貯蔵された記録媒体
US8352739B2 (en) 2003-06-27 2013-01-08 Kt Corporation Two-factor authenticated key exchange method and authentication method using the same, and recording medium storing program including the same
JP4837729B2 (ja) * 2005-05-03 2011-12-14 株式会社エヌ・ティ・ティ・ドコモ 暗号認証方法、コンピュータシステム及びデータキャリア
JP2009503934A (ja) * 2005-07-19 2009-01-29 株式会社エヌ・ティ・ティ・ドコモ 展性攻撃に対して改良された安全性を有する技術（これに限定されない）を含む非ワンタイムパッド暗号で暗号化した署名鍵を用いた、暗号認証、及び／又は共有暗号鍵の設定

Also Published As

Publication number Publication date
CA2313557C (en) 2005-03-01
CA2313557A1 (en) 2001-01-13
EP1069726A2 (en) 2001-01-17
US6757825B1 (en) 2004-06-29
EP1069726A3 (en) 2004-04-07

Similar Documents

Publication Publication Date Title
US6757825B1 (en) Secure mutual network authentication protocol
EP1134929B1 (en) Secure mutual network authentication and key exchange protocol
EP1248408B1 (en) Methods and apparatus for providing efficient password-authenticated key exchange
Jablon Extended password key exchange protocols immune to dictionary attack
Halevi et al. Public-key cryptography and password protocols
Lin et al. Three-party encrypted key exchange: attacks and a solution
Sood et al. A secure dynamic identity based authentication protocol for multi-server architecture
JP4944886B2 (ja) 展性攻撃に対して改良された安全性を有する技術（これに限定されない）を含む非ワンタイムパッド暗号で暗号化した署名鍵を用いた、暗号認証、及び／又は共有暗号鍵の設定
US7796761B2 (en) Distribution and authentication of public keys using random numbers and diffie-hellman public keys
MacKenzie et al. Threshold password-authenticated key exchange
EP1659475B1 (en) Password protection
US7359507B2 (en) Server-assisted regeneration of a strong secret from a weak secret
US6718467B1 (en) Password based protocol for secure communications
EP3576340B1 (en) Modular key exchange for key agreement and optional authentication
Chang et al. Novel untraceable authenticated key agreement protocol suitable for mobile communication
Sun et al. Password-based authentication and key distribution protocols with perfect forward secrecy
Yang et al. Security enhancement for protecting password transmission
Tsai et al. Provably secure three party encrypted key exchange scheme with explicit authentication
Hölbl et al. Improvement of the Peyravian–Jeffries’s user authentication protocol and password change protocol
Shim Security flaws of remote user access over insecure networks
Yeh et al. Password authenticated key exchange protocols among diverse network domains
Munilla et al. Security flaw of Hölbl et al.’s protocol
Yoon et al. A new simple authenticated key agreement and protected password change protocol
Bakuri Security Analysis and Implementation of Password-based Cryptosystem
Yang et al. An anonymous user identification and key distribution technical protocol