JP2001273286A

JP2001273286A - 認証のため、テキスト文書をエクストラ・ブランクのパターンでマーク付けする方法およびシステム

Info

Publication number: JP2001273286A
Application number: JP2001002365A
Authority: JP
Inventors: Carro Fernando Incertis; フェルナンド・インセルティス・カロ; Stephen M Matyas Jr; スチーブン・エム・マチャス・ジュニア
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2000-01-11
Filing date: 2001-01-10
Publication date: 2001-10-05
Also published as: DE60025901T2; US6941460B2; US20020013794A1; DE60025901D1

Abstract

(57)【要約】（修正有）【課題】テキスト文書を認証するために必要な情報を
文書の本文自体にマージする方法を提供すること。【解決手段】マーク付けすべきテキスト１００を編集
して、モデルに適合する標準形式のテキスト１２０を得
る。次に、この標準形式のテキストと秘密鍵１３０を入
力として使用し、語間ブランク文字の位置の一意的な組
み合わせを計算し、そこにエクストラ・ブランクを挿入
し、これによりマーク付けされたテキスト１５０文書を
得る。受け取ったマーク付けされたテキスト文書の認証
は、秘密鍵を共有し、さらに受け取ったテキスト文書と
マーク付けされたテキスト文書を比較する受け手によっ
て行われ、両者が厳密に一致した場合には、受け取った
テキスト文書は真正のものとして受け入れられ、一致し
ない場合には、偽物として拒否される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、文書認証の分野に
関する。より詳細には、平文テキスト文書のソフトコピ
ーまたはハードコピーの認証に関する。

【０００２】

【従来の技術】例えば、インターネットなど安全でない
メディアを介する電子メールのようなソフトコピー文書
や電子テキスト文書伝達の急激な増大に加え、誰もが同
一のテキスト文書のハードコピーを容易に印刷やコピー
できることを特徴とする、現在のコンピュータ・ネット
ワークの環境において、重要となる問題は認証である。
電子メッセージであれ、またはそのハードコピーであ
れ、テキスト文書の受け手がその出所を確認でき、誰も
他人に成りすますことができないようになっているべき
である。また、偶然であれ、悪意によるものであれ、途
中で変更されていないことを確認できるようになってい
るべきである。この目的で、認証を行うための方法が考
案されてきた。

【０００３】電子テキスト文書によく適合する標準的解
決方法は、ＭＡＣ、つまりメッセージ認証コードをソフ
トコピーのテキスト文書に付加することにある。ＭＡＣ
は、テキストについて一方向ハッシュ関数で計算された
ダイジェストであり、これはまた、鍵にも依存するよう
になされている。この鍵は、例えば、送信者と受信者だ
けに知られている秘密鍵であり、受信者が、第一に、受
け取ったものが確かに秘密鍵を共有する人から来たもの
であることをチェックでき、第二に、その文書が変更さ
れていないことをチェックできるようにするものであ
る。例えば、米国国立標準技術研究所（ＮＩＳＴ）「Se
cure Hash Standard」、FIPS PUB 180-1,米国商務省、
１９９３年５月によって仕様を定められたセキュア・ハ
ッシュ・アルゴリズム（ＳＨＡ）は、１６０ビット・ハ
ッシュ値を生成する。これは、例えばＨＭＡＣ、メッセ
ージ認証のための鍵付きハッシングと呼ばれるメカニズ
ムを使用して鍵と組み合わされる。このＨＭＡＣは、Ｉ
ＥＴＦ（インターネット・エンジニアリング・タスク・
フォース）のＲＦＣ（リクエスト・フォー・コメント）
２１０４号の主題となっている。ＨＭＡＣは、ＳＨＡも
含めて、任意の反復暗号ハッシュ関数と使用できるよう
に考案されている。したがって、ＭＡＣをテキスト文書
のソフトコピーに添付して、その全体を受け手がチェッ
クできるようにすることができる。この方法は、ファイ
ルへのチェック情報の付加を想定しているので、明らか
にハードコピー・テキスト文書では使用できない。さら
にこのスキームは、実際、テキストとチェック情報を別
々にするという不都合がある。したがって、詐欺を働こ
うとして、あるいは電子文書の転送を担う中間の機器
が、この特別情報を扱うように構成されていないという
だけで、このチェック情報を容易に分離し、意図的に取
り除くことができる。そこで、チェック情報は、むしろ
テキスト文書の本文自体中にトランスペアレントにエン
コードすべきである。つまり、宛先に向かう途中で様々
な操作を受けても改変されず、依然として最終の受け手
がその文書を認証できるように、テキストの読みやすさ
に全く影響を与えないような形でエンコードすべきであ
る。

【０００４】主にソフトコピーの画像に適用される別の
タイプの認証手法（したがって、ハードコピーに直接に
使用することはできないが、ハードコピー・テキスト文
書の画像にも使用することができる）は、デジタル表現
中にデータを隠し込むデータ・ハイディングであり、そ
れによってチェック情報が文書自体とマージされるべき
であるという上記の要件を満たすものである。データ・
ハイディングは、容易にコピーでき、インターネットや
一般的にネットワークを介してあらゆる場所に配布でき
るデジタル・マルチメディア資料が、著作権を伴ってい
ることが主な理由で、かなり注目を受けている。データ
・ハイディング技法の優れた概要は、Ｗ．ベンダ他の
「Techniques for data hiding」、ＩＢＭ System Jour
nal, Vol.35, Nos 3&4、１９９６年に出ている。データ
・ハイディングを行う方式の例として、上記の研究論文
で報告されているもっとも一般的な形の高ビット・レー
トのエンコードは、画像データの最低輝度ビットを埋め
込みデータで置き換えるものである。この技法は、感知
できないという要件を実際に満たすものであり（復元さ
れた画像は、それと気付かれるほど変更されていな
い）、画像に消すことのできないマークを付けることを
目的とする透かし入れや、特にソフトコピー画像へのＭ
ＡＣの埋め込みを通じて、画像の修正を検出する改ざん
防止を含めて認証と同様の様々な目的を果たすことがで
きる。

【０００５】

【発明が解決しようとする課題】ただし、テキストを画
像とみなさなければならないのは、格納およびそれを伝
送するのに必要なバンド幅の点で、たいへんコストが高
くつき、不充分な解決方法であろう。上記の研究論文で
述べられているとおり、いろいろな意味で、ソフトコピ
ー・テキストは、ピクチャと比較してテキスト・ファイ
ル中に冗長な情報が欠けているため、多くの点でデータ
をもっとも隠しにくい場所であるが、余白の操作、すな
わち、ブランク文字、さらに具体的には、テキスト文書
の作成者が、テキストを読めるようにするのに必要な範
囲を超えて意図的に挿入した語間ブランク文字の操作
が、別個のＭＡＣを付加することなしに認証ができるよ
うにテキストにマークを付けるもっとも簡単な方法であ
る。というのは、チェックに必要な情報が、通常の読み
手が気付きそうもないブランクの形でテキスト自体に組
み込まれ、何らかの方法で隠されるからである。

【０００６】したがって、本発明の一目的は、テキスト
文書を認証するのに必要な情報を文書の本文自体にマー
ジする方法を提供することである。

【０００７】本発明のもう１つの目的は、この方法をソ
フトコピー・テキスト文書とハードコピー・テキスト文
書の両方に適用可能にすることである。

【０００８】

【課題を解決するための手段】語間ブランク文字の挿入
によってテキスト文書にマークを付ける方法およびシス
テムを開示する。この方法はまず、標準テキスト文書を
得るため、モデルに適合するようにテキスト文書の語間
ブランク文字の数を編集することにある。次に、モデル
にさらによく適合するように、標準テキスト文書におい
てブランク文字の挿入が許される語間ブランク文字の位
置のサブセットを保持する。その後、標準テキスト文書
と秘密鍵を入力として使って、上記の位置のサブセット
で、位置の一意的組み合わせを計算する。ここで計算し
た位置の一意的組み合わせにおける各位置に、少なくと
も１個のエクストラ・ブランク文字を挿入し、それによ
ってマーク付けされたテキスト文書を得る。同じ方法
が、秘密鍵を共有する受け手によって認証されるべき、
受け取ったマーク付けされたテキスト文書にも適用され
る。ただし、この場合は受け取ったテキスト文書をマー
ク付けされたテキスト文書と比較することを含み、両者
が厳密に一致した場合には、受け取ったテキスト文書は
真正なものとして受け入れられる。そうでない場合は、
偽物として拒否される。

【０００９】したがって、本発明は、通常の読み手が気
付きそうもなく、ソフトコピーのテキスト文書にもハー
ドコピーのテキスト文書にも使用することのできる、エ
クストラ・ブランクの挿入によって、テキスト文書の認
証に必要な情報をテキスト文書の本文自体にマージする
方法およびシステムを提供する。

【発明の実施の形態】以下の図の説明では、ブルース・
シュナイアー（Bruce Schneier）著、「Applied Crypto
graphy」、John Wiley & Sons, 2nd edition、１９９６
年を何回か参照する。この参照文献は「ＳＣＨ」と略記
し、特定の章への参照を含むことがある。例えば、［Ｓ
ＣＨ／Ｃｈ．１８］。

【００１０】図１は、本発明による、認証の目的でマー
ク付けされたテキストを得るための処理全体を示してい
る。処理は、原テキスト「oText」［１００］から開始
する。原テキストは、実際に受け手と共通の秘密鍵［１
３０］を共有する誰かによってマーク付けされたこと
を、メッセージの受け手が検証できるようにマーク付け
されねばならず、それと同時に、テキストが途中で偶然
にあるいは悪意によって改ざんされていないことを確認
できなければならない。原テキスト［１００］は、一般
に印刷上の理由で加えられた、エクストラ・ブランクを
含んでいる。例えば、しばしば［１０１］におけるよう
に、２個のブランクがピリオドに続く。次に、第１の処
理ステップ［１１０］で、原テキストからすべての不必
要なブランクを除去し、それによってどの２個の単語の
間にもブランクが１個だけ残っているようにする。その
結果として得られるのが「oText」の標準（canonical）
形式、つまり、どの２つの単語も、１個を超えるブラン
クを間にはさまない「cText」［１２０］である。標準
テキストを得るこの方法は非常に簡単ではあるが、可能
な唯一のものではない。図２にはさらに詳細に、標準テ
キストはどのようなものでありうるかを示す。この第１
ステップは本発明にとって不可欠ではあるが、その実施
は簡単であると考えられる。標準テキストを得るいくつ
かの代替方法を考慮に入れた図２を別にして、これにつ
いてはこれ以上検討しない。特に本発明の説明では、こ
れ以降「cText」を得るのは、当技術分野の専門家にと
って些細な操作にすぎないものと想定する。第２の些細
とは決して言えない処理ステップ［１４０］は、いくつ
かのエクストラ・ブランク［１５１］を挿入して「cTex
t」に一意的にマークを付け、マーク付けされた「mTex
t」［１５０］を得ることにある。この第２の処理ステ
ップ［１４０］への入力は、一方では「cText」［１２
０］であり、他方では共通の秘密鍵［１３０］である。
この第２ステップの好ましい実施形態は、後の図で詳し
く示す。ただし、その全体的意図は、「cText」と秘密
鍵が与えられれば一意的に決まる、「mText」を生成す
ることにある。すなわち、その秘密鍵を共有しないどの
人も、偽造または改ざんされた「cText」から受け手に
受け入れられそうな「mText」を容易に偽造することは
できないはずであり、同じ全体的処理を適用しても、同
一のエクストラ・ブランクのパターン［１５１］が得ら
れないので、受け手は、テキストが改ざんされている
か、送り手が身元を偽っているかのいずれかであると実
際に判断できるようになる。もちろん、ステップ［１４
０］でのエクストラ・ブランクの挿入は、「mText」か
ら秘密鍵を取り出すことが実行不可能（つまり、今日使
用可能な計算リソースでは、現実に、計算が非常に困難
である、または非常に長くかかる）になるようなもので
なければならない。

【００１１】ここで簡単に述べたとおり、上記の送信者
および受信者は、テキストにマークを付ける、または受
け取りの時点でチェックするのに、基本的に同一の処理
を適用する。第１ステップ［１１０］と第２ステップ
［１４０］は同等である。唯一の違いは、送信者が原テ
キスト「oText」から始めて、第１ステップを適用する
のに対し、受信者は、受け取った「mText」を使用する
ことである。「mText」が改ざんされていなければ、両
者とも同じ「cText」を生成することになる。受け手が
受け取った「mText」を認証するのは、「cText」から同
一の「mText」を再構成することができるからである。
つまり、同じ数のエクストラ・ブランクが同一の位置に
挿入されているので、比較［１６０］したとき、両者が
厳密に一致し［１６１］、あるいは比較が失敗して［１
６２］、その場合には受け取ったテキストは拒否され
る。

【００１２】最後に、本発明が実際に役に立つものにな
るには、ランダムに同一の「mText」を生成する確率が
（攻撃の道を開き、最終的に秘密鍵の発見を招くような
衝突が起こりそうもないように）極端に低くなければな
らない。この図の例では便宜上、「oText」は、７２個
の単語からなるやや短いテキストであり、「cText」に
は７１個の語間ブランクがある。つまり、エクストラ・
ブランクを挿入する機会が７１ある。ただし、挿入され
るブランクの数を制限したい場合、例えば、（特に、単
に本発明のメカニズムを図示するため、固定ピッチの
「クーリエ」フォントを使ってある図１の例とは違っ
て、使用するフォントがプロポーショナルである場合に
は）普通の読み手がそれに気付きそうにもなくなるよう
に、必須の語間ブランクの合計数の１０％に制限したい
場合には、この特定の例のテキストに、エキストラ・ブ
ランクを７個しか挿入しない。これは１０⁹分の１より
低い確率に相当し、より正確には次式の通りである。

【数１】これでも本格的な攻撃を打ち破るのに充分ではないかも
しれず、本発明はブランクを挿入する機会がもっと多く
ある、より長いテキストにより適していることが示唆さ
れる。特に図１のようにやや短いテキストの場合に、１
０％を超えるブランクを挿入することを受け容れない限
り、そうである。例えば、もう１個のブランク（７個で
はなく８個）の挿入を許容するだけで、確率をおよそ１
桁下げることができる。代替方法として、短いテキスト
についての解決方法は、例えば、バナー、何らかのメー
ル終結情報、ディスクレーマ、または警告テキストをそ
れに埋め込むことである。これらは本発明が適用される
様々な適用例で考慮しなければならない、現実に必要な
トレードオフである。

【００１３】図２は、標準テキストがどのようなもので
ありうるかを検討する。というのは、標準テキストが理
想的にはどのようなものでなければならないかという一
意的定義といったものは存在しないからである。図１の
例で、任意の２個の単語（ここでの単語の広い定義は、
２個のブランク文字の間にある任意の数の非ブランク文
字である）の間に１個のブランクのみ残されていると想
定する場合、この簡単な手法には欠点がある。そうした
ソフトコピー・テキストの受け手には、どこで改行が行
われるのか分からないので、原テキストをフォーマット
し直す確実な方法がない。そして、これがハードコピー
・テキストの場合、受け手には、いくつのエクストラ・
ブランクが各行末にあるのか判断できない。

【００１４】ハードコピー・テキストに関する限り、本
発明は、実際にテキストに挿入されているブランクの数
を判別できる、都合のよい光学装置を使用することを想
定している。固定ピッチ・フォントでは、ハードコピー
・テキストの目視検査によって、挿入されているブラン
クの数を数えることが確かに実行可能であるとしても、
テキストを印刷するのに使われているフォントがプロポ
ーショナルである場合、これは、不可能ではないにして
も非常に困難になる。いずれにせよ、どちらの場合も、
これはたいへんわずらわしいエラーの生じやすい作業に
なる。したがって、本発明を、［２００］のようなハー
ドコピー・テキストに適用するには、正しい数のブラン
クが単語間に挿入されて、テキストのソフトコピーが自
動的に回復できるように、一般的には、光学装置および
関連計算リソースから成る適切なツール・セットの使用
が必要とされる。今日では、それを達成する装置および
ソフトウェアが入手可能である。例えば、光学式スキャ
ナ［２１０］を制御するＰＣ（パーソナル・コンピュー
タ）［２１５］上で稼働する、広義にＯＣＲ（光学式文
字認識）と呼ばれるソフトウェア・プログラムが市販さ
れ、広く使用されている。

【００１５】したがって、標準テキストについての別の
定義の例［２２０］は、図１のものよりもう少し複雑
で、例えば、やはり単語間に１個だけブランク［２３
０］があるが、３個のブランク［２４０］が行末にある
と想定する。次に、図１と同様に、選択された各位置に
１個のエクストラ・ブランクを挿入することによってテ
キストのマーク付けを行う。ただし、原テキストの行が
ソフトコピーのマーク付けされたテキストから回復でき
るようにしながら、この形式の標準テキストがソフトコ
ピーのテキストともハードコピーのテキストとも互換性
があるように、行末（３個のブランク）への挿入は常に
除外される。小さな欠点としては、行末［２４０］の単
語間が（ハードコピーが取り扱えるように）挿入場所か
ら除外されるので、エクストラ・ブランクを挿入できる
場所が少なくなるということがある。

【００１６】この第２の例に照らしてみれば、明らかに
標準テキストを得るための１組の規則には、多くの可能
な定義の方式があり、これは関与するすべての人によっ
て合意され、「cText」の作成が常にあいまいさがない
ようになっていなければならない。つまり、任意の原テ
キスト「oText」または受け取った「mText」について、
それに対応する可能な「cText」は１つ存在し、それも
ただ１つだけでなければならない。それでも、それらの
規則の複雑さによっては、テキストのハードコピーとソ
フトコピーの間での互換性は、必ずしも常には保持でき
ないかもしれない。特にテキストの行揃えをする（つま
り、左右が揃うようにテキストをフォーマットする［２
５０］）ように、単語間に自動的にエクストラ・スペー
スを挿入する、ワード・プロセッサによってフォーマッ
トされたテキストでは、もはやハードコピーのテキスト
において、例えば、テキストにその作成者が挿入した
「本当の」ブランク［２５５］の数を、ワード・プロセ
ッサ自体が挿入したエクストラ・スペース［２６０］か
ら区別することが不可能になる。

【００１７】この後者の例では、エクストラ・ブランク
でエンコードされたテキストのソフトコピーのみが、本
発明によって処理できる可能性があることになる。ただ
し、表示または印刷された時、テキストはその作成者に
よって意図的に加えられたブランクをさらによく隠すこ
とになり、それらはテキスト・フォーマッタによって加
えられたスペースから、さらに見分けにくくなるという
重要な利点がある。LDTechnologies Inc.のウェブサイ
ト、http://www.ldtechnologies.com/で見ることができ
る１９９７年１１月１８日付けのダニエルＸ．リー
（Daniel X. Le）「Document Imaging Software Toolki
ts, Computer-Assisted Zoning Software,the OCR Voti
ng Machine, and OCR verification Software」と題す
る研究論文から引用しているこの例では、テキストは、
米マイクロソフト社のＷｏｒｄ９７ ^TMを使ってフォーマ
ットされている。この例は、明確に（印刷されず、通常
は表示もされない）小さなドットという形で、挿入され
たブランク［２５５］が（［２６５］などの他の印刷さ
れない文字とともに）表示されているところを示し、そ
れに加えて、左右を行揃えしたテキストを得るために追
加されたスペース［２６０］などを示している。

【００１８】図３は、本発明の第２処理ステップ、すな
わち、図１のステップ［１４０］の方に、より焦点を合
わせている。これを実行する同等な代替方法は多くある
が、図３は、好ましい実施形態の概要［３４０］を表
し、その実施の詳細は、後続の図の例でさらに説明して
ある。このステップは、「mText」を図１に記載された
ものに沿って作り出すために、主に暗号技術の分野で知
られている標準技法（その限界は徹底的に研究され、そ
の成果はこの主題に関する豊富な文献から入手すること
ができる）の利用を必要とする。したがって第２の処理
ステップは、秘密鍵［３３０］が入手でき、標準テキス
ト「cText」［３２０］が準備されているときに開始す
る［３００］ことができる。次に、第１サブステップ
［３４２］が実行される。その出力は、その実際の長さ
に関わらず「cText」を表すとともに、秘密鍵をも表
す、固定長鍵付きメッセージ・ダイジェストである。つ
まり、サブステップ［３４２］は、次のサブステップ、
すなわち、ＰＲＮ（擬似乱数）発生装置［３４６］にシ
ード［３４４］を供給することを目的としている。サブ
ステップ［３４２］の結果であるシード［３４４］は、
理想的には、任意の秘密鍵に対して２つの「cText」が
決して同一の値を出力せず、そのため２つの完全に異な
るテキストが必ず異なる値を生成することが期待される
だけでなく、ある「cText」に対するほんのわずかな改
ざんがあっても、異なる値を返すようになされていなけ
ればならない。これは実際には、サブステップ［３４
２］で使われる関数は、統計的なバイアスがあってはな
らず、計算されるダイジェスト、すなわちシード［３４
４］は、２つのテキストが同一の値を返すことが起こる
確率が極端に低くなるように、充分に幅を広くしなけれ
ばならないことを意味する。

【００１９】さらに、シードは秘密鍵［３３０］に依存
するようになされており、同一の「cText」から作り出
されたとしても、秘密鍵が異なれば、それも異なること
になる。当技術分野の専門家には、そうしたシードを得
ることが、暗号法の標準技法、つまり、ハッシングを、
より詳細には一方向ハッシングを一般に想定する、ＭＡ
Ｃ（メッセージ認証コード）を得ることに密接に関連し
ていることが認められよう。実際、利用可能な一方向ハ
ッシュ関数は、２つのメッセージから同一のハッシュ値
が出力される確率がとてもありそうにないようになって
いる。また、入力テキストが１ビット変われば、平均で
ハッシュ結果のビットの半数が反転するので、所与のハ
ッシュ値を出力するテキストを見つけるのは、現実的に
は不可能である。それでも、一方向ハッシュ関数のこの
後者の特徴について以下でさらに検討する。というの
は、本発明では、このステップをいくぶん単純化できる
ようにするからである。

【００２０】多くのハッシュ・アルゴリズムが利用可能
である。それらの優れた概要は、［ＳＣＨ／Ｃｈ．１
８］に出ている。「cText」のダイジェストが得られた
後（または得られようとしている間）、それを何らかの
方法で共通の秘密鍵［３３０］と組み合わせて、秘密鍵
を共有している人だけがハッシュ値を検証して、秘密な
く認証ができるようにＭＡＣを得なければならない。し
たがって、ソフトコピー・テキストを認証するための標
準的技法は、ＭＡＣを対応するテキスト・ファイルに添
付して、受け手がそれをチェックできるようにすること
であるが、本発明は、そうする代わりに、それがＰＲＮ
発生装置［３４６］のシードとして使われ、そこから乱
数が発生され、サブステップ［３４８］で使用されて、
図１で説明されたとおりにマーク付けしたテキスト「mT
ext」を得るために、「cText」のどこにブランクを挿入
しなければならないのか決定する。いくつの乱数を発生
させなければならないかは、全く偶然に同一の「mTex
t」が得られる確率がどれぐらいであれば許容できるか
に、直接に依存している。本発明の個々の適用例に応じ
て、これが入力パラメータとなる。

【００２１】擬似乱数発生装置は、暗号で広く使用され
ており、相当に注目されてきた。この場合にも、優れた
概説が［ＳＣＨ／Ｃｈ．１６＆１７］に出ているが、乱
数へのさらにずっと理論的なアプローチとしては、例え
ば、ドナルドＥ．クヌース（Donald E. Knuth）の「T
he Art of Computer Programming」、Chapter 3, Volum
e 2, Addison-Wesleyがある。したがって、本発明の個
々の適用例に応じて、適宜な擬似乱数発生装置を選ぶこ
とができる。下記の図５に例を示す。どのＰＲＮ発生装
置を選択するにしても、それはなるべく、エクストラ・
ブランクのパターンから開始して、シード［３４４］へ
とバックトラックすることが、実行不可能ではないにし
ても、計算上非常に困難になるものでなければならな
い。これが満たされていれば、ステップ［３４２］に課
される制約は少なくできる。前に示唆したとおり、この
ステップの一方向性は、ずっと重要性の低いものにな
る。その主な目的は、やはり同じであり、理想的には２
つの「cText」［３２０］が同じ秘密鍵で同じシードを
返すことがあってはならないということである。この手
法では、シード［３４４］は「cText」を一意的に表
し、秘密鍵と何らかの形で組み合わせることが必要なだ
けであり、エクストラ・ブランクのパターンからシード
へとバックトラックすることが、不可能または非常に困
難であると想定されているので、シードから秘密鍵が容
易に取り出せることは、重要ではなくなる。

【００２２】以下に続く図は、本発明の好ましい実施形
態を図示することを特に目的としているが、本発明の個
々の適用例により良く適合するように、他の選択をする
ことも可能である。当技術分野の専門家には、例えば、
ＭＡＣの標準的計算が想定するように、秘密鍵を取り出
すことを困難にして一方向性を確保することを、ステッ
プ［３４２］に置き換えて、それほど強力でないＰＲＮ
発生装置を選ぶこともできる。

【００２３】図４は、どのように「cText」および秘密
鍵からダイジェストが導出され、ＰＲＮ発生装置のシー
ドとして使用できるかの例を示している。この場合も、
この例は、このステップにおいてシードから秘密鍵へと
バックトラックできることは重要ではないと想定してい
る。というのは、その一例を後の図５に示すが、一方向
性は、むしろＰＲＮ発生装置によって確保されているか
らである。

【００２４】したがって、シードを発生させる考慮に値
する計算的に簡単な方法は、ＰＫＺＩＰ^TMという名前で
知られる人気の高いデータ圧縮プログラム米PKWARE社の
製品）が暗号化を行う方法に類似している。これは、以
下でＣＲＣ−３２［４２０］と呼ぶ、３２次ＣＲＣ（巡
回冗長検査）既約多項式を中心に構成されている。これ
について、より詳しいことは［ＳＣＨ／Ｃｈ．１６．１
２］に出ている。そこで、基本的にはＣＲＣの場合と同
様に、この方法は、テキスト文字［４００］を等価な８
ビット２進数に変換した結果得られるビットのストリー
ムを、上記のＣＲＣ−３２多項式で割ることから成る。
つまり、各テキスト文字は、例えばＡＳＣＩＩで符号化
されている［４１０］と想定する。この実行された割り
算の剰余は、３２ビット幅のベクトル［４３０］であ
る。テキストと鍵の両方の関数であるシードを得るため
に秘密鍵を組み合わせるもっとも簡単な方法は、最初に
秘密鍵、例えば、１６文字（１２８ビット）ストリング
［４０５］、あるいはＡＳＣＩＩコードでは［４１
５］、をテキストと連結して、割り算の剰余が実際にテ
キストと秘密鍵の組み合わせになるようにすることであ
る。ＰＫＺＩＰ暗号は（Ｅ．ビーハム（Biham）および
Ｐ．Ｃ．コーチャ（Kocher）により、「A Known Plaint
ext Attack on PKZIP Encryption」、K.U.Leuven Works
hop on Cryptographic Algorithms, Springler-Verla
g、１９９５年、で報告されているとおり）弱いことが
知られているが、この方法はそれでも、本発明の好まし
い実施形態でシードを発生させるのに好都合である。と
いうのは、本発明のこの手法において、一方向性を保証
しているのはＰＲＮ発生装置だからである。統計的に
は、２つの異なるテキストから同一のシードを得る確率
は２³²分の１、つまり４，２９４，９６７，２９６分の
１に過ぎない。この特定のテキストおよび鍵を用いる
と、ＣＲＣ−３２関数で得られ、図５に記述のＲＰＮの
シードとして使われるダイジェスト［４３０］は、２進
法でｂ「１１０１００１１００１１１００１０１１１１
００１１０１０１１００」、または１０進法では３，５
４３，７５９，２７６である。

【００２５】図５は、本発明の好ましい実施形態に適し
た、擬似乱数（ＰＲＮ）発生装置［５００］の例であ
る。［ＳＣＨ／Ｃｈ．１７．９］に記述されているＢＢ
Ｓ（ブラム、ブラム、シャブ）発生装置は、この種のも
っとも簡単でもっとも効率的な発生装置の１つである。
これは左向きにも右向きにも予測不可能である、つま
り、暗号解読者が任意のシーケンスを観察しただけで
は、そのシーケンスの次のビットも前のビットも予測で
きないと言われている。この図の例では、これは以下の
ように実行される。

【００２６】３モジュロ４と合同でなければならない２
つの大きな素数ｐおよびｑが選ばれる。説明を簡単にす
るため、メルセンヌ数（すなわち、２ⁿ−１という形の
素数）は、実際にすべて３モジュロ４と合同なので、こ
の例では以下の素数が使われる。ｐ＝２⁶¹−１＝２，３０５，８４３，００９，２１３，
６９３，９５１、かつｑ＝２⁸⁹−１＝６１８，９７０，
０１９，６４２，６９０，１３７，４４９，５６２，１
１１かつｐとｑの積であるｎは、ｎ＝１，４２７，２４７，６９２，７０５，９５９，８
８０，４３９，３１５，９４７，５００，９６１，９８
９，７１９，４９０，５６１

【００２７】次に、前のステップで得られたシード［５
１０］を使って、発生装置の開始値Ｘ₀［５１５］を計
算し、シード＝３，５４３，７５９，２７６の場合に、
Ｘ₀＝シード²モジュロｎとなる。その後、後続のすべて
の発生装置の内部値Ｘ_i［５２０］を同様に計算する。
つまり、Ｘ_i＝Ｘ_i-1 ²モジュロｎである。第ｉ番目の疑
似ランダム・ビットはＸ_iのＬＳＢ（最下位ビット）で
ある。シードはｐまたはｑのいずれよりも小さな数であ
るので、ＢＢＳを適切に動作させるためには、ｎと互い
に素であるシードを選ばなければならないという要件
は、自動的に満たされることに注意されたい。エクスト
ラ・ブランクを挿入するのに充分な数の有効な乱数［５
２５］（すなわち、図５の例では７個）が引き出せるよ
う、充分な数のビットが発生される（挿入すべきエクス
トラ・ブランクの数は、個々の適用例ごとに設定されな
ければならない入力パラメータである）。代替方法も可
能ではあるが、これを達成する簡単な方法は、例えば、
標準テキストの語間ブランクに指標付けを行うことであ
る［５３０］。それでも、標準テキストのフォーマット
としてどのようなものが合意されたかによって、一部の
語間ブランクを除外することが選択されているかもしれ
ない。図２で検討したように、行末のブランク［５３
１］が除外されているかもしれない。標準テキストにど
のフォーマットが採用されるにせよ、テキスト全体範囲
での（または、選択されたどのような範囲であれ）ブラ
ンクをカバーするために、ＰＲＮ発生装置から充分な数
のビット［５３５］を発生させなければならない。この
例では、テキストの７１個の単語間をカバーするのに、
７ビット（２⁷−１＝１２７）で充分である。したがっ
て、７ビットが発生されたとき、最初の数が導出される
［５４０］。それに続く７ビットの組ごとに、新しい数
が得られる。ただし、数が７１よりも大きい場合［５５
０］、または数が繰り返された場合［５４５］、それは
スキップされる。この例では、次のシーケンスが発生し
た。

【数２】である。第７番目の有効な数（この場合は１７）に達し
たとき、挿入するのに充分なブランクができたので、発
生装置を停止する。

【図面の簡単な説明】

【図１】エクストラ・ブランクの挿入によってテキスト
を認証することを可能にする本発明を、全体的に表す図
である。

【図２】標準テキストがどのようなものでありうるか、
また本発明がどのようにハードコピー・テキストに適用
できるかを検討する図である。

【図３】認証可能なマーク付けされたテキストが出力さ
れる、本発明の主要ステップを全体的に表す図である。

【図４】テキストと共通の秘密鍵の両方に依存する一意
的なシードが、どのように発生させられるかの一例を示
す図である。

【図５】テキストの単語間に挿入する、ブランクの数の
ストリームを生成することを目的とする、疑似乱数発生
装置の一例を示す図である。

【符号の説明】１００原テキスト「oText」（または受け取ったテキ
スト）１０１ピリオドに続く２個のブランク１２０標準テキスト「cText」１３０秘密鍵１５０マーク付けされたテキスト「mText」１５１例、７個のエクストラ・ブランク２００ハードコピー・テキスト２１０光学式スキャナ２１５ＰＣ（パーソナル・コンピュータ）２２０標準テキストについての別の定義例２３０単語間にある１個だけのブランク２４０行末の３個のブランク文字２５０左右が位置調整されるようにフォーマットされ
たテキスト２５５小さなドットという形で挿入されたブランク２６０ワード・プロセッサが挿入したかもしれないエ
クストラ・スペース２６５他の印刷されない文字

フロントページの続き (72)発明者スチーブン・エム・マチャス・ジュニアアメリカ合衆国20110 バージニア州マナサスシーダー・リッジ・ドライブ 10298

Claims

【特許請求の範囲】

【請求項１】語間ブランク文字の挿入によってテキスト
文書にマーク付けする方法であって、前記テキスト文書中の語間ブランク文字を編集し、これ
により標準テキスト文書を得るステップと、前記標準テキスト文書において、ブランク文字の挿入が
許される前記語間ブランク文字の位置のサブセットを保
持するステップと、前記標準テキスト文書および秘密鍵を入力として使用し
て、前記位置のサブセットにおける位置の一意的組み合
わせを計算するステップと、前記一意的組み合わせの各位置に、少なくとも１個のエ
クストラ・ブランク文字を挿入し、これによりマーク付
けされたテキスト文書を得るステップとを含む方法。
【請求項２】前記マーク付けされたテキスト文書が、実
際に前記秘密鍵［１３０］を共有する受け手によって認
証される請求項１に記載の方法。
【請求項３】位置の一意的組み合わせを計算する前記ス
テップがさらに、前記標準テキストと組み合わされた前記秘密鍵を一意的
に表すダイジェストを計算するステップと、前記ダイジェストから、前記サブセットに適合する複数
のランダムに分布する数を導出するステップとを含む請
求項１に記載の方法。
【請求項４】ダイジェストを計算する前記ステップが、
前記標準テキストと連結された前記秘密鍵にハッシュ関
数を適用し、これにより固定サイズの鍵付きダイジェス
トを得るステップを含む、請求項３に記載の方法。
【請求項５】複数のランダムに分布する数を導出する前
記ステップがさらに、前記サブセットを指標付けするステップと、前記ダイジェストをＰＲＮ（擬似乱数）発生装置のシー
ドとして使用するステップと、前記ＰＲＮ発生装置を動作させるステップとを含み、前
記ＰＲＮ発生装置を動作させる前記ステップが、さら
に、前記数のうち、前記指標付けに適合するものを保持する
ステップと、重複した前記数を除外するステップと、挿入すべきブランクの数に合致するのに充分な有効な数
が引き出されるまで、前記ＰＲＮ発生装置を動作させ続
けるステップとを含む、請求項３に記載の方法。
【請求項６】請求項１ないし５のいずれか一項に記載の
方法を実施するように適合された手段を含む、認証シス
テム。
【請求項７】請求項１ないし５のいずれか一項に記載の
方法を実施するための命令を含むコンピュータ用の可読
媒体。