【発明の詳細な説明】
電子メッセージの署名および／または認証方法
本発明は電子メッセージの署名および／または認証方法に関するものである。
それはとくに「電子チップカード」タイプのマイクロプロセッサ式の携帯可能
な装置によって使用されるためのものである。
特定のサービスの排他性を守るために、チップカードは一般的にデジタル鍵を
有し、デジタル鍵はカードと検証装置、例えば読取り端末あるいは管理センター
との間で交換されたメッセージの署名または認証のために、あるいは使用される
カードの認証のために計算アルゴリズムによって使用される数列によって構成さ
れる。
さらに、伝送されたメッセージを暗号化するためにかかる鍵を用いることもで
きる。つぎにメッセージは暗号鍵と等しい鍵（この場合、対称暗号と呼ばれる）
、または秘密の暗号鍵に対応する鍵（非対称暗号）を有する装置だけが復合化す
ることができる。
例えば、カードから読取り端末に、あるいは管理センターに送信されたメッセ
ージに署名する場合、あるいはまた取引（電子小切手）を実行し、それらがまず
取引が行われた読取り端末によって、ついで取引を管理する管理センターによっ
て検証されるようにこの取引に署名をする場合がこれに当たる。
以下に、「電子署名」および「デジタル署名」という表現、あるいは「デジタ
ル鍵」と「電子鍵」という表現を区別なく使用する。実際、数列によって構成さ
れた鍵による署名はとくに電子的に伝送されたメッセージの署名に適している。
電子署名はアルゴリズムとこれらの計算に使用されるパラメータ全体によって
定義された一連の計算規則によって計算される。署名は同時に署名者の身元（な
ぜならそれは署名者に固有の秘密の指数を介入させるから）と署名されたメッセ
ージの完全性（なぜならそれはメッセージ自体を介入させるから）を検証する
ことができる。アルゴリズムは一方では、署名を生成し、他方では署名を検証す
ることができる、この作業は検証と呼ばれる。
認証は特別な検証作業で、それによって端末または管理センターは、有意のメ
ッセージのいっさいの交換に先立って、カードの署名だけを検証する。この手続
きの際に、検証装置は任意のメッセージをカードに送信し、カードはそれに署名
して送り返す。これによって検証装置はこのメッセージの署名を認証することが
できる。認証は、好適には、メッセージの署名／検証作業に用いられるものとは
異なるデジタル鍵を介入させる。
以下に説明する署名と認証の方法は、米国特許第４，４０５，８２９号に詳細
が開示されているその発明者（Ｒｉｖｅｓｔ，ＳｈａｍｉｒとＡｄｌｅｍａｎ）
の名前からＲＳＡとよばれる標準化されたアルゴリズムでとくに使用されるため
のものである。
ＲＳＡ署名の生成は秘密指数を介入させる。検証は、秘密指数に対応するがそ
れと同一ではない公開指数を介入させる。それぞれの使用者は１対の指数（秘密
、公開）を所有する。公開指数は皆が知っていてもよいが、秘密指数は決して開
示してはならない。だれでも使用者の公開指数を使用してその人の署名を検証す
る能力を有するが、秘密指数の所有者だけが指数の対に対応する署名を生成する
ことができる。
もっと正確に言えば、ＲＳＡ電子鍵はそれぞれモジュールＮ、公開指数ｅ、お
よび秘密指数ｄと呼ばれる３つのパラメータ（Ｎ，ｅ，ｄ）を備えている。２つ
の素数（Ｎ，ｅ）は、そこに記憧されているチップカード上で読みとることが可
能であり、公開パラメータと名付けられている。反対に、秘密指数ｄは外部から
読みとれないカードの保護された記憧領域内に記憶されている。カードの保護さ
れた計算回路だけが秘密指数ｄの読取りにアクセスできる。
電子鍵はリードオンリーメモリＥＥＰＲＯＭをプログラムすることによってカ
ード内に埋め込まれる。公開パラメータ（Ｎ，ｅ）は端末から読取りアクセス可
能なメモリＥＥＰＲＯＭの領域内に埋め込まれる。反対に、秘密指数ｄはメモ
リＥＥＰＲＯＭの保護された領域内に埋め込まれるので、指数ｄはその計算のた
めにカードのプロセッサにしか提供されない。
それぞれのパラメータはデジタルの整数で構成される。モジュールＮの長さは
一般的に５１２ビット以上である。実際には、３つ組（Ｎ,ｅ,ｄ）のそれぞれの
パラメータは平均で５１２ビットの長さを有する。しかしながら公開指数ｅは署
名検証を促進するためにもっと短いことが多い。
以下に、ＲＳＡ計算アルゴリズムを使用した場合のメッセージの電子署名、検
証、認証、暗号化および復合化作業の流れを説明する。
公開パラメータが（Ｎ,ｅ,ｄ）である鍵によって、メッセージＭの署名Ｓを得
るために、チップカードはつぎの計算を行う：
Ｍd ｍｏｄｕｌｏ Ｎ＝Ｓ
このときカードは対（Ｍ,Ｓ）、すなわち署名Ｓを伴ったメッセージを発信す
る。メッセージＭの署名の計算に使用されたパラメータ（Ｎ,ｅ）をカードが発
信するか、端末が読みにいく。
これによって端末はつぎの計算を実施して署名Ｓを検証することができる：
Ｓe ｍｏｄ Ｎ＝Ｍ’
このとき端末はＭ’がＭに等しいことを検証する。
カードと検証装置の間の認証作業はカードが検証装置に対してその身元を証明
することから成る。
そのために、検証装置はカードに任意のメッセージＸを送信する。カードはつ
ぎの関係式を使って別のＲＳＡ鍵のパラメータ（Ｎ’,ｅ’,ｄ’）からこのメッ
セージの署名Ａを計算する：
Ｘd' ｍｏｄ Ｎ’＝Ａ
検証装置はモジュールＮ’と公開指数ｅ’を読み出すか受信し、それによって
署名されたかかる任意のメッセージＡを復合化し、つぎの関係式を使用してメッ
セージＸ’を取得することができる。：
Ａe' ｍｏｄ Ｎ’＝Ｘ’
このとき、認証はＸとＸ’を比較することによってこの検証装置によって実施
される。任意のメッセージＸと復合化されたメッセージＸ’が一致したとき、署
名は認証される。
秘密指数ｄはアクセス不可であり、３つのパラメータ（Ｎ,ｅ,ｄ）が大きな２
進数なので署名の不正使用は不可能になる。
上述の方程式の解である秘密指数ｄを見つけるのに必要な計算量と時間は膨大
であり、それが見つけだされることは全くあり得ない。
例えば、広く使用されるチップカードにおいて、ＲＳＡ鍵はそれぞれ５１２ビ
ットの３つの２進数を有する。このときただ一つの鍵が１９２バイトのメモリス
ペースを占めることがわかる。
デジタル鍵とＲＳＡアルゴリズムのもう一つの役割はカードと端末または管理
センターとの間のメッセージ交換の秘密を保持することである。
機密保持は交換されるメッセージの暗号化と復合化によって得られる。メッセ
ージＭの暗号化は下記の２進数演算を実現して、ＲＳＡアルゴリズムによって得
られる：
Ｍe ｍｏｄ Ｎ＝Ｃ
したがって、暗号化は、署名に類似の、しかしこの場合には秘密指数ｄの代わ
りに公開指数ｅを用いる演算によって得られる。
相互的に、復合化は次の２進数演算によって表すことができる：
Ｃd ｍｏｄ Ｎ＝Ｍ
これによってカードはそのデジタル鍵のモジュールＮと秘密指数ｄを用いて暗
号化されたメッセージＣを復合化することができる。
ここで、復合化には、先に見たごとく発見するのがほとんど不可能な、秘密指
数ｄを知る必要があるので、機密が保持される。
一般的に整数のいっさいの三つ組（Ｎ,ｅ,ｄ）は次の数学的条件を満たさなけ
ればならない：
ｅ・ｄ＝１ ｍｏｄ Ｅ（Ｎ）
ここで、「オイラーの関数」と呼ばれるＥ（Ｎ）はＮと素でＮ以下の整数の数
を示す。
実際には、それぞれの鍵が異なるサービスへのアクセスを可能にする、複数の
鍵をチップカードに埋め込むことができる。メモリＥＥＰＲＯＭはこの場合鍵と
同じ数だけの三つ組（Ｎ１,ｅ１,ｄ１），（Ｎ２,ｅ２,ｄ２）・・・，（Ｎｉ,
ｅｉ,ｄｉ）を含んでいなければならない。
複数の鍵が予定されている場合に、チップカードのためにかかるアルゴリズム
を使用する不便は、大容量のリードオンリーメモリＥＥＰＲＯＭを占めることで
ある。前記の例によれば、１９２バイトの１０個のＲＳＡ鍵を有するカードは約
２ＫバイトのリードオンリーメモリＥＥＰＲＯＭを必要とする。
もう一つの不便は、それぞれのカードが複数の鍵を含むことを知った上で大量
のカードをプログラムしなければならないので多数の鍵を生成しなければならな
いことである。実際、デジタル鍵の設計の際の計算時間は長くなる。それぞれの
モジュールＮとそれぞれの鍵のそれぞれの指数の対（ｅ，ｄ）の選択には安全と
不可侵性を保証するための数学的条件を検証するための一連の複雑な作業が必要
になる。
本発明の目的はチップカードのメモリ空間を最適化し、署名および認証作業を
簡単にすることである。
本発明の別の目的は、デジタル符号化の安全と不可侵性を保証することである
。
意外なことに、本発明によると、これらの目的は２つの鍵が一方の鍵の指数対
（ｅ１,ｄ１）が別の鍵の指数対（ｅｉ,ｄｉ）と異なることによって区別される
、同一モジュールＮを含むデジタル鍵（Ｎ,ｅ１,ｄ１），（Ｎ,ｅ２,ｄ２）・・
・，（Ｎ,ｅｉ,ｄｉ）を使用し、かかる鍵を署名、検証および／または認証手続
きのみに用いることによって達成される。
とくに、同一モジュールＮを有するデジタル鍵（Ｎ,ｅ１,ｄ１），・・・，（
Ｎ,ｅｉ,ｄｉ）の中でただ一つのデジタル鍵（Ｎ,ｅ１,ｄ１）だけを暗号化およ
び／または復合化手続きに用いることができる。
本発明によれば、計算アルゴリズムがメッセージに署名するために、および／
またはメッセージを認証するために電子鍵を用いる電子メッセージの署名および
／または認証方法が用いられ、鍵は数列で構成され、チップカードに埋め込まれ
、一つの鍵はとくに整数の三つ組：（Ｎ,ｅ,ｄ）：
・モジュール（Ｎ）、
・公開指数（ｅ）、および
・秘密指数（ｄ）、
を有し、２つの鍵は一方の鍵の三つ組（Ｎ,ｅ,ｄ）が他の鍵の三つ組（Ｎ’,
ｅ’,ｄ’）とは異なり、この方法は複数の鍵（Ｎ,ｅ,ｄ）、（Ｎ,ｅ’,ｄ’）
がとくにカードの使用者または同一の使用を認識するために同一のモジュール（
Ｎ）を有し、これらの鍵がメッセージの署名、検証および／または認証に宛てら
れることを特徴とする。
変型によれば、本発明は、同一のモジュール（Ｎ）を有する鍵（Ｎ,ｅ,ｄ），
（Ｎ,ｅ’,ｄ’），（Ｎ,ｅ”,ｄ”）の中で、最高一つの鍵（Ｎ,ｅ,ｄ）がメッ
セージの暗号化および／または復合化に宛てられる方法を用いて実現される。
本発明は、好適にはメッセージ（Ｍ）の署名が細分化作業の後に行われる方法
によって実現される。
最後に本発明は電子メッセージの署名および／または認証に使用される電子鍵
（Ｎ,ｅ,ｄ）を含むメモリを有する電子チップカード（Ｃ１）を実現することを
目的とし、鍵（Ｎ,ｅ,ｄ）はメモリ内に記憶された数列で構成され、一つの鍵（
Ｎ,ｅ,ｄ）はとくに整数の三つ組：
・モジュール（Ｎ）、
・公開指数（ｅ）、および
・秘密指数（ｄ）、
を有し、２つの鍵（Ｎ０,ｅ０,ｄ０），（Ｎ１,ｅ３,ｄ３）は一方の鍵の三つ組
（Ｎ０,ｅ０,ｄ０）が他の鍵の三つ組（Ｎ１,ｅ７,ｄ７）とは異なることによっ
て区別され、カードの一つの鍵（Ｎ０,ｅ０,ｄ０）がこのカード（Ｃ１）または
別のカード（Ｃ２）の別の鍵（Ｎ０,ｅ１,ｄ１），（Ｎ０，ｅ５,ｄ５）のモジ
ュール（Ｎ０）と同一のモジュール（Ｎ０）を有することを特徴とする。
本発明の実現は付属の図面を参照して以下の詳細な説明と図面を読むことによ
っていっそうよく理解できるだろう。付属の図面において： 図１は本発明によ
る電子メッセージの署名、検証および／または認証方法を用いるチップカードの
模式図である。
図１は本発明による方法で異なる２枚のカードへの複数のデジタル鍵（Ｎ０,
ｅ０，ｄ０）・・・（Ｎ１,ｅ３’,ｄ３’）の埋め込みを模式的に示している。
第一のチップカードＣ１は公開部分Ｐ１と秘密部分Ｓ１の２つの部分で示され
、 それぞれカードＣ１のリードオンリーメモリＥＥＰＲＯＭのアクセス可能な
領域と保護された領域を表している。
第二のチップカードＣ２は同様に、そのリードオンリーメモリのアクセス可能
な領域と保護された領域を表している公開部分Ｐ２と秘密部分Ｓ２とともに図示
されている。
第一系列のパラメータＮ０，Ｎ１，ｅ０，ｅ０’，ｅ１，ｅ１’，ｅ２，ｅ２
’，ｅ３，ｅ３’はカードＣ１の公開部分P1内に示されている。第一系列は第一
のカードＣ１のリードオンリーメモリのアクセス可能な領域内に記憶されたモジ
ュールと公開指数に対応している。
第二系列のパラメータ、ｄ０，ｄ０’，ｄ１，ｄ１’，ｄ２，ｄ２’，ｄ３，
ｄ３’はカードＣ１の秘密部分Ｓ１内に示されている。第二系列は第一のカード
Ｃ１のリードオンリーメモリの保護領域内に記憶された秘密指数に対応している
。
同様に、第二のカードＣ２において、公開部分Ｐ２の中に第三系列のパラメー
タＮ０，Ｎ１，Ｎ２，ｅ４，ｅ４’，ｅ５，ｅ５’，ｅ６，ｅ６’，ｅ７，ｅ７
’があり、秘密部分Ｓ２内に第四系列のパラメータのｄ４，ｄ４’，ｄ５，ｄ５
’，ｄ６，ｄ６’，ｄ７，ｄ７’がある。第三系列のパラメータはリードオンリ
ーメモリＥＥＰＲＯＭのアクセス可能な領域内に記憶されたモジュールと公
開指数に対応し、第四系列は第二のカードＣ２のリードオンリーメモリＥＥＰＲ
ＯＭの保護領域内に記憶された秘密指数に対応している。
このとき三つ組（Ｎ,ｅ,ｄ）にまとめられたこれらのパラメータは上述の署名
／検証、または認証あるいは暗号化／復合化の作業を可能にするデジタル鍵を形
成する。
下表は、例えば、図１のカードＣ１とＣ２の一連のパラメータを採って形成さ
れた２群のデジタル鍵と、本発明による署名／検証、または認証あるいは暗号化
／復合化の作業へのこれらのカードの使用を示している。 デジタル鍵と題された第二列でカードＣ１は同じモジュールＮＯを有する、６
つの鍵（Ｎ０,ｅ０,ｄ０），（Ｎ０,ｅ０’,ｄ０’），（Ｎ０,ｅ１,ｄ１），（
Ｎ０,ｅ１’,ｄ１’），（Ｎ０,ｅ２,ｄ２）と（Ｎ０,ｅ２’,ｄ２’）とから成
ることがわかる。
認証作業は、これらの作業がカードの同じサービスに関する場合でも、好適に
は署名／検証鍵の別個の鍵を使用する。
これらの署名／検証および認証鍵はしかしながら同じモジュールを有すること
ができる。したがって、表の例では、モジュールＮ０を有するカードＣ１の６個
の鍵の中で、３つの鍵（指数の対（ｅ０,ｄ０），（ｅ１,ｄ１）と（ｅ２,ｄ２
））は署名／検証作業に宛てられ、他の３つの鍵（指数の対（ｅ０’,ｄ０’）
，（ｅ１’,ｄ１’）と（ｅ２’,ｄ２’）は認証にあてられることを示した。
一般的に、共通モジュールＮ０を有するそれぞれの鍵は別個のサービスの使用
に組み合わされることが可能である。例えば、３つの鍵（Ｎ０,ｅ０,ｄ０），（
Ｎ０,ｅ１,ｄ１）と（Ｎ０,ｅ２,ｄ２）はカードＣ１の使用者の３つの銀行口座
に対応することができる。このときそれぞれの指数の対（ｅ０,ｄ０），（ｅ１,
ｄ１）と（ｅ２,ｄ２）はそれぞれの口座に対応する別個の電子署名に組み合わ
される。
しかしながら、表の最後の列に示したように、６つの鍵の中で一つだけが同一
のモジュールＮ０を有するので、鍵（Ｎ０,ｅ０,ｄ０）が暗号化・復合化作業に
使用されるようになっている。
この様に、モジュールＮ０は２つの別個の暗号・復合鍵の中に使用されていな
い。これによって暗号化作業の安全と不可侵性の条件が満たされる。
表の第二の部分はカードＣ２が同じモジュールＮ０を含む４つの鍵（Ｎ０,ｅ
４,ｄ４），（Ｎ０,ｅ４’,ｄ４’），（Ｎ０,ｅ５,ｄ５），（Ｎ０,ｅ５’,ｄ
５’）を有することを示している。これによって共通モジュールＮ０を異なるカ
ードＣ１,Ｃ２の上に備えることができることがわかる。
しかしながら、モジュールＮ０はこの例では暗号化・復合化作業のためにカー
ドＣ１の鍵（Ｎ０,ｅ０,ｄ０によって使用されるので、どの暗号化・復合化作業
も第二のカードＣ２の鍵（Ｎ０,ｅ４,ｄ４）または鍵（Ｎ０,ｅ４’,ｄ４’）ま
たは鍵、（Ｎ0，ｅ５,ｄ５）または（Ｎ０,ｅ５’,ｄ５’）で行ってはならない
。
この場合は、同一モジュールＮ０が複数のカードに共通な本発明の用途を示し
ている。例えば、鍵（Ｎ０,ｅ０,ｄ０）と（Ｎ０,ｅ４,ｄ４）はこれらのカード
に予定されている同じサービスまたは同じ用途に対応している。
前述の表は同一のモジュールＮ１を有する鍵（Ｎ１,ｅ３,ｄ３），（Ｎ１,ｅ
３’,ｄ３’），（Ｎ１,ｅ６,ｄ６），（Ｎ１,ｅ６’,ｄ６’）の別の系列を示
している。この別の系列において、カードＣ２に結びつけられた鍵（Ｎ１,ｅ６,
ｄ６）だけが暗号化・復合化作業を可能にする。
要するに、本発明による方法の特徴によれば、複数の鍵が同一のモジュールを
有し、これらの鍵がメッセージの署名および／または認証に宛てられる。
また本発明による方法の変型によれば、同一モジュールを有するかかる鍵の中
で、最高で一つの鍵がメッセージの暗号化および／または復合化に用いられる。
しかしながら、最大限の安全を確保するために、以下に詳細に述べるごとく、
公開指数の選択に注意が払われる。
第一の注意として、数学的特性が同一のモジュールＮに関する公開指数ｅ０，
・・・，ｅｉの選択を制限する。
ｅｋで表した、これらの公開指数のそれぞれは、同じモジュールに関する他の
公開指数：
ｅ0，・・・，ｅk-1，ｅｋ＋１，ｅｉ
の最小公倍数（ｐｐｃｍと略す）の約数であってはならない。
この第一の注意の実現は、とくに素数の中から公開指数ｅ０，・・・ｅｉを選
ぶことによってとくに得られる。事実、素数が他の素数の倍数の約数になること
は数学的にあり得ない。
しかしながら、大きなサイズの素数の計算は膨大な数の計算になるので、別の
方法を採ることができる。それは非常に大きな数の中から任意に複数の公開指数
ｅ０，・・・ｅ１を選ぶことから成る。このとき鍵を発見する確率はきわめて低
いことが証明できる。この証明は本願の枠に入らない。
しかしながら、例として、１８０ビットの２進数の中から任意に１６の指数ｅ
０，・・・ｅ１６の選択を考えてみる；この場合、指数ｅｋの一つが他のもの
のｐｐｃｍの約数である可能性は２70分の１である。
別の例によれば、５１２ビットの２進数のなから２５６の指数ｅ０，・・・，
２５６の選択は２-166未満の確率になる。
この方法は、厳密性は劣るが、計算時間を節約しながら、高い確実性を得るこ
とを可能にする。
第二の注意として、メッセージに署名する前にそれらを細分することが考えら
れる。そのために、周知のタイプの細分化アルゴリズムが使用できる。この複雑
化によってデジタル鍵発見のために必要な作業数が倍増し、その可能性を全くあ
り得ないものにする。
典型的に、細分化アルゴリズムはメッセージＭのような、２進数の連鎖に、疑
似偶然的に、整数Ｐ未満の数を対応させる確率関数である。メッセージＭの細分
化の結果は、したがって、固定２進サイズの圧縮、整数Ｐのサイズになる。
有利には、ＳＨＡアルゴリズム、すなわちNational Instituteof Standards a
nd Technologyが刊行した"Secure Hash Standard"に合致したアルゴリズムが使
用されるだろう。
ここで注意するのは、結果のサイズが、すなわち整数Ｐのサイズがモジュール
Ｎ０，Ｎ１，・・・のサイズよりもはるかに小さい細分化アルゴリズムを適用し
たとき、反復細分化を適用することが望ましいことに注意しよう。反復細分化の
際に、メッセージＭはサブメッセージｍ，ｍ’，・・・に切り離され、それぞれ
のサブメッセージは細分化アルゴリズムによって隔離して処理される。
例えば、デジタル鍵が約５１２ビットのパラメータＮ，ｅ，ｄを備え、使用さ
れる細分化アルゴリズムの結果が１２８または１６０ビットの寸法を有する結果
が与えられるとき、かかる反復細分化を適用する方が望ましい。
本発明の推奨実施態様によれば、下記の形で表される、公開指数ｅとメッセー
ジＭを用いる細分化関数ｈが使用される：
Ｈ＝ｈ（ｅ,Ｍ）
Ｈは細分化の結果、すなわち細分化されたメッセージである。
したがって、細分化に続く署名作業は次の関係式に従う：
Ｓ＝Ｈd ｍｏｄ Ｎ＝（ｈ（ｅ,Ｍ））d ｍｏｄ Ｎ
相互的に、検証作業は次の関係式を検証することで実施されるだろう：
Ｓe ｍｏｄ Ｎ＝ｈ（ｅ,Ｍ）
この細分化の手順は署名および認証方法に大きな確実性を与える利点がある。
本発明による好適実施態様はさらに暗号化する前に複雑な暗号化関数ｆを用い
ることが考えられる。これによって、２つの別個の符号化方法によって２次の符
号化が得られ、暗号化の確実性が強化される。
ＤＥＳアルゴリズム（Data Enscryption standard）などのデータ暗号規格に
一致するアルゴリズムをこのように対称暗号化の関数ｆの実現に使用できる。
例えば、暗号化されるメッセージＭとパラメータｋを用い、下記の形で表され
る暗号化関数ｆを選択することができる：
Ｆ＝ｆ（ｋ,Ｍ）
Ｆは暗号化されたメッセージである。
対称的なので、関数ｆは下記の関係式を検証する、ｆ-1で表される、逆関数を
許容する：
Ｍ＝ｆ-1（ｋ,Ｍ）
暗号化の作業をもっと複雑に、したがって、もっと確実にするために、パラメ
ータｋは好適には次の関係式に従って、公開指数ｅの細分化によって得られる：
ｋ＝ｈ（ｅ）
したがって、暗号化されたメッセージＦは、この実施態様によれば、下記の計
算によって得られる：
Ｆ＝ｆ（ｈ（ｅ）,Ｍ）
最後に、暗号化・暗号方式作業は下記の関係式に対応する：
Ｃ＝Ｆe ｍｏｄ Ｎ＝［ｆ（ｈ（ｅ），Ｍ）］e ｍｏｄ Ｎ
Ｃは先に設定したごとく暗号化され、ついで暗号化されたメッセージである。
相互的に、復合・解読作業は下記の計算に従って実施される：
Ｍ＝Ｆ-1（ｈ（ｅ）,Ｃd ｍｏｄ Ｎ）
この方法の安全性の証明と鍵発見の無限小の確率のとくに複雑な計算は本出願
では詳細に述べない。
最後の注意はチップカードの数、より正確には同一のモジュールＮを有する鍵
（Ｎ,ｅｉ,ｄｉ）の数ｉを制限することである。
本発明による方法のとくに興味深い用途分野の一つはまさに同一のモジュール
Ｎを含む限定された系列のカードの発行である。このモジュールは例えば、ある
使用者群または共通に使用されたサービスの認識に使われる。
同一のモジュールを有する鍵の使用は、使用される指数によってそれぞれの署
名者の身元を区別しながら、ある群の名において署名できる可能性を提供する。
本発明による方法の別の用途は、使用者を認識するために、あるいは同一の提
供者によって提供されたサービス群の認識を可能にするために同一のモジュール
Ｎを有する複数の鍵（Ｎ,ｅｉ,ｄｉ）を同一のカードに埋め込むことである。
最後に、特別な用途として、カードを識別してから、それを個別化すること、
すなわち使用者に固有の鍵を使用者に交付することが挙げられる。実際には、チ
ップカードのメモリに、それらを試験し、ロットの中でそれを区別するための輸
送鍵が当初に読み込まれる。既知のカードにはＩｄで示した、カード識別番号が
含まれている。
この識別番号Ｉｄは安全のために下記の署名された形で伝送される：
Ｓ（Ｉｄ）＝Ｉｄd ｍｏｄｕｌｏ Ｎ
（Ｎ,ｅ,ｄ）は輸送鍵と呼ばれる鍵のパラメータである。個別化の際に、この
鍵は使用者に固有の新規の鍵に切り替えられる。
本発明による方法によって、指数の対（ｅ,ｄ）だけを変更して輸送鍵内にす
でに記憶されたモジュールＮを再使用することができる。
本発明の利点はリードオンリーメモリＥＥＰＲＯＭまたはＲＯＭ内のデジタル
鍵によって使用されるメモリサイズを制限することである。このようにして小さ
な寸法の構成部品が使用できる、あるいはそのためのデータの格納のために占有
されていないメモリ領域を使用できる。
本発明による方法の別の利点は、カードと端末あるいは管理センターの間の交
換を減らすことである。なぜなら、使用される鍵が変わる都度それを読み込むこ
とを避けながら、端末は複数の鍵に共通モジュールＮを記憧させることができる
。
最後に、本発明による方法によって、複雑な計算の対象となったモジュールＮ
は数回使用できるので、デジタル鍵生成の際の膨大な計算時間の節約が得られる
。The present invention relates to a method for signing and / or authenticating an electronic message. It is especially for use by portable devices of the microprocessor type of "electronic chip card" type. To protect the exclusivity of certain services, chip cards generally have digital keys, which are used to sign or authenticate messages exchanged between the card and a verification device, for example a reading terminal or a management center. Or the sequence used by the computational algorithm for authentication of the card used. Furthermore, such a key can be used to encrypt the transmitted message. The message can then be decrypted only by a device having a key equal to the encryption key (in this case called a symmetric encryption) or a key corresponding to a secret encryption key (asymmetric encryption). For example, when signing a message sent from a card to a reading terminal or to a management center, or also to execute a transaction (electronic check), which first manages the transaction by the reading terminal with which the transaction was made and then This is the case when this transaction is signed as verified by the center. Hereinafter, the expressions “digital signature” and “digital signature” or the expressions “digital key” and “electronic key” are used interchangeably. Indeed, signatures with keys constituted by sequences are particularly suitable for signing electronically transmitted messages. An electronic signature is calculated by a set of calculation rules defined by the algorithm and the overall parameters used in these calculations. The signature can simultaneously verify the identity of the signer (because it intervenes the signer's unique secret exponent) and the integrity of the signed message (because it intervenes the message itself). The algorithm can generate a signature on the one hand and verify the signature on the other hand, this operation is called verification. Authentication is a special verification operation whereby the terminal or management center verifies only the card's signature prior to any exchange of significant messages. During this procedure, the verifier sends an arbitrary message to the card, which signs it back. This allows the verification device to authenticate the signature of this message. Authentication preferably involves a different digital key than that used for the message signing / verification operation. The method of signature and authentication described below is based on a standardized algorithm called RSA from the name of its inventor (Rivest, Shamir and Adleman), which is disclosed in detail in US Pat. No. 4,405,829. It is intended to be used. Generating the RSA signature intervenes the secret exponent. Verification involves a public index that corresponds to the secret index but is not the same. Each user has a pair of indices (secret, public). The public index may be known to everyone, but the secret index must never be disclosed. Although anyone has the ability to verify a user's signature using the user's public index, only the owner of the secret index can generate a signature corresponding to the index pair. More precisely, the RSA electronic key has three parameters (N, e, d) called module N, public exponent e and secret exponent d, respectively. The two prime numbers (N, e) can be read on the chip card admired there, and are named public parameters. On the contrary, the secret exponent d is stored in the protected memory area of the card which cannot be read from the outside. Only the protected computing circuitry of the card has access to reading the secret exponent d. The electronic key is embedded in the card by programming a read only memory EEPROM. The public parameters (N, e) are embedded in an area of the memory EEPROM that can be read and accessed from the terminal. Conversely, since the secret exponent d is embedded in a protected area of the memory EEPROM, the exponent d is only provided to the processor of the card for its calculation. Each parameter is composed of a digital integer. The length of module N is generally at least 512 bits. In practice, each parameter of the triple (N, e, d) has an average length of 512 bits. However, the public exponent e is often shorter to facilitate signature verification. Hereinafter, the flow of the electronic signature, verification, authentication, encryption, and decryption work of a message when the RSA calculation algorithm is used will be described. With a key whose public parameters are (N, e, d), to obtain the signature S of the message M, the chip card performs the following calculation: M d modulo N = S where the card is a pair (M, S), That is, a message with the signature S is transmitted. The card sends out the parameters (N, e) used for calculating the signature of the message M, or the terminal goes to read. This allows the terminal to verify the signature S by performing the following calculation: S e mod N = M 'Then the terminal verifies that M' is equal to M. The authentication operation between the card and the verification device consists of the card proving its identity to the verification device. To do so, the verification device sends an arbitrary message X to the card. The card computes the signature A of this message from the parameters (N ', e', d ') of another RSA key using the following relation: X d' mod N '= A The verifier publishes module N' The exponent e 'can be read or received, thereby decrypting any such message A signed and the message X' can be obtained using the following relation: Ae ' mod N' = X 'Then authentication is performed by this verifier by comparing X and X'. When any message X matches the decrypted message X ', the signature is authenticated. Since the secret exponent d is inaccessible and the three parameters (N, e, d) are large binary numbers, unauthorized use of the signature becomes impossible. The amount of computation and time required to find the secret exponent d, which is a solution to the above equation, is enormous, and it is unlikely that it will be found. For example, in a widely used chip card, an RSA key has three binary numbers of 512 bits each. At this time, it can be seen that only one key occupies 192 bytes of memory space. Another role of the digital key and the RSA algorithm is to keep the message exchange between the card and the terminal or management center secret. Confidentiality is obtained by encrypting and decrypting the exchanged messages. The encryption of the message M is obtained by the RSA algorithm, implementing the following binary operation: Me mod N = C Thus, the encryption is similar to the signature, but instead of the secret exponent d in this case It is obtained by an operation using the public exponent e. Reciprocally, the decryption can be represented by the following binary operation: C d mod N = M, whereby the card decrypts the message C encrypted using its digital key module N and secret exponent d. can do. Here, the decryption needs to know the secret exponent d, which is almost impossible to find as seen above, so that the confidentiality is maintained. In general, all triples of integers (N, e, d) must satisfy the following mathematical condition: ed = 1 mod E (N) where E (N, called the "Euler function" ) Is a prime number with N and is an integer number equal to or less than N. In practice, multiple keys can be embedded in the chip card, each key allowing access to different services. The memory EEPROM must in this case contain as many triples (N1, e1, d1), (N2, e2, d2)... (Ni, ei, di) as there are keys. The inconvenience of using such an algorithm for a chip card when multiple keys are scheduled is that it occupies a large amount of read only memory EEPROM. According to the above example, a card with 10 RSA keys of 192 bytes requires about 2K bytes of read-only memory EEPROM. Another inconvenience is that a large number of keys must be generated since a large number of cards must be programmed knowing that each card contains multiple keys. In fact, the calculation time for designing a digital key is long. The selection of each exponent pair (e, d) for each module N and each key requires a series of complex tasks to verify the mathematical conditions to ensure security and inviolability. . SUMMARY OF THE INVENTION It is an object of the present invention to optimize the memory space of a chip card and to simplify signature and authentication operations. Another object of the invention is to guarantee the security and inviolability of digital coding. Surprisingly, according to the invention, these objectives are distinguished by the fact that the two keys are distinguished by the fact that the exponent pair (e1, d1) of one key is different from the exponent pair (ei, di) of another key. Use digital keys (N, e1, d1), (N, e2, d2),..., (N, ei, di) including module N, and use such keys only for signature, verification and / or authentication procedures Achieved by: In particular, only one digital key (N, e1, d1) among the digital keys (N, e1, d1),..., (N, ei, di) having the same module N is encrypted and / or encrypted. Can be used for decryption procedures. According to the invention, a method of signing and / or authenticating an electronic message is used, wherein the computation algorithm uses an electronic key to sign the message and / or authenticate the message, wherein the key is composed of a sequence and the chip Embedded in the card, one key is in particular a triple of integers: (N, e, d): a module (N), a public exponent (e), and a secret exponent (d), with two keys Is such that one key triplet (N, e, d) is different from the other key triplet (N ', e', d '), and this method uses multiple keys (N, e, d), (N, e, d). e ', d') have the same module (N), in particular for recognizing the user or the same use of the card, characterized in that these keys are addressed to the signing, verification and / or authentication of the message. And According to a variant, the invention provides the highest of the keys (N, e, d), (N, e ', d'), (N, e ", d") with the same module (N). One key (N, e, d) is implemented using a method that is addressed to message encryption and / or decryption. The invention is preferably realized by a method wherein the signing of the message (M) is performed after the segmentation operation. Finally, the invention aims at realizing an electronic chip card (C1) having a memory containing an electronic key (N, e, d) used for signing and / or authenticating electronic messages, wherein the key (N, e) is , d) is composed of a sequence of numbers stored in memory, one key (N, e, d) being in particular a triple of integers: module (N), public exponent (e), and secret exponent (d ), And two keys (N0, e0, d0) and (N1, e3, d3) are one key triplet (N0, e0, d0) and the other key triplet (N1, e7, d7). And one key of the card (N0, e0, d0) is different from the other key (N0, e1, d1), (N0, e5, It is characterized by having the same module (N0) as the module (N0) of d5). The realization of the present invention may be better understood by reading the following detailed description and drawings with reference to the accompanying drawings, in which: In the accompanying drawings: FIG. 1 is a schematic diagram of a chip card using a method for signing, verifying and / or authenticating an electronic message according to the invention. FIG. 1 schematically shows the embedding of a plurality of digital keys (N0, e0, d0)... (N1, e3 ′, d3 ′) into two different cards by the method according to the present invention. The first chip card C1 is indicated by two parts, a public part P1 and a secret part S1, and represents an accessible area and a protected area of the read-only memory EEPROM of the card C1, respectively. The second chip card C2 is likewise shown with a public part P2 and a secret part S2 representing the accessible and protected areas of its read-only memory. The parameters N0, N1, e0, e0 ', e1, e1', e2, e2 ', e3, e3' of the first sequence are shown in the public part P1 of the card C1. The first series corresponds to the module and the public index stored in the accessible area of the read-only memory of the first card C1. The parameters of the second sequence, d0, d0 ', d1, d1', d2, d2 ', d3, d3', are shown in the secret part S1 of the card C1. The second sequence corresponds to the secret exponent stored in the protection area of the read-only memory of the first card C1. Similarly, in the second card C2, the parameters N0, N1, N2, e4, e4 ', e5, e5', e6, e6 ', e7, e7' of the third series are included in the public part P2, In the portion S2, there are parameters d4, d4 ', d5, d5', d6, d6 ', d7, d7' of the fourth series. The third series of parameters correspond to the modules and public indexes stored in the accessible area of the read only memory EEPROM, and the fourth series is stored in the protection area of the read only memory EEPROM of the second card C2. Corresponding to the secret exponent. These parameters, which are then grouped in triplets (N, e, d), form a digital key which enables the above mentioned signature / verification or authentication or encryption / decryption operations. The following table shows, for example, two groups of digital keys formed by taking the series of parameters of the cards C1 and C2 of FIG. 1 and their application to the signature / verification or authentication or encryption / decryption operation according to the invention. Shows the use of the card. In the second column entitled Digital Key, card C1 has the same module NO, six keys (N0, e0, d0), (N0, e0 ', d0'), (N0, e1, d1), (N0 , e1 ', d1'), (N0, e2, d2) and (N0, e2 ', d2'). The authentication operation preferably uses a separate signing / verification key, even if these operations relate to the same service on the card. These signature / verification and authentication keys can, however, have the same module. Therefore, in the example of the table, among the six keys of the card C1 having the module N0, three keys (exponent pairs (e0, d0), (e1, d1) and (e2, d2)) are signed / signed. Addressed to the verification work, it showed that the other three keys (exponent pair (e0 ', d0'), (e1 ', d1') and (e2 ', d2') are for authentication. In addition, each key with the common module N0 can be combined for the use of a separate service, for example, three keys (N0, e0, d0), (N0, e1, d1) and (N0, e2). , d2) can correspond to the three bank accounts of the user of card C1, with each index pair (e0, d0), (e1, d1) and (e2, d2) in each account. It is combined with the corresponding separate digital signature, however, as shown in the last column of the table. Since only one of the six keys has the same module N0, the key (N0, e0, d0) is used for the encryption / decryption operation. N0 is not used in two separate encryption / decryption keys, which satisfies the security and inviolability requirements of the encryption operation The second part of the table contains the module N0 in which the card C2 is the same. It has four keys (N0, e4, d4), (N0, e4 ', d4'), (N0, e5, d5), and (N0, e5 ', d5'). It can be seen that the common module N0 can be provided on different cards C1, C2, however, the module N0 is used in this example by the key (N0, e0, d0) of the card C1 for the encryption / decryption operation. So any encryption / decryption work It must not be performed with the key (N0, e4, d4) or key (N0, e4 ', d4') or key, (N0, e5, d5) or (N0, e5 ', d5') of the second card C2. In this case, the same module N0 indicates a use of the present invention common to a plurality of cards, for example, keys (N0, e0, d0) and (N0, e4, d4) are scheduled for these cards. The above table corresponds to the keys (N1, e3, d3), (N1, e3 ', d3'), (N1, e6, d6), (N1, e3, d3) having the same module N1. N1, e6 ', d6'), in which only the key (N1, e6, d6) associated with the card C2 enables the encryption / decryption operation. In short, according to a feature of the method according to the invention, a plurality of keys have the same module, and these keys are addressed for signing and / or authentication of the message. According to a variant of the method according to the invention, at most one such key having the same module is used for encrypting and / or decrypting the message. However, in order to ensure maximum security, attention is paid to the choice of public indices, as detailed below. As a first note, the mathematical properties restrict the choice of public exponents e0,. Each of these public indices, denoted by ek, is a divisor of the least common multiple (abbreviated as ppcm) of the other public indices for the same module: e 0 ,..., e k−1 , ek + 1, ei Not be. The realization of this first notice is obtained especially by selecting public exponents e0,... Ei from prime numbers. In fact, it is mathematically impossible for a prime to be a divisor of a multiple of another prime. However, since the calculation of a large number of prime numbers is a huge number of calculations, another method can be adopted. It consists of arbitrarily choosing a plurality of public indices e0,... E1 from a very large number. At this time, it can be proved that the probability of finding the key is extremely low. This proof is out of the scope of the present application. However, as an example, consider the choice of arbitrarily 16 exponents e 0,... E 16 out of a 180-bit binary number; in this case, one of the exponents ek may be a divisor of the ppcm of the other. The gender is 1/270 . According to another example, the selection of 256 exponents e0,..., 256 from a 512-bit binary number has a probability of less than 2-166 . This method makes it possible to obtain a high degree of certainty, albeit less strictly, but while saving computation time. A second precaution is to subdivide the messages before signing them. For this purpose, well-known types of segmentation algorithms can be used. This complication doubles the number of tasks required for digital key discovery, making that possibility entirely impossible. Typically, the segmentation algorithm is a probability function that associates, by chance, a number less than an integer P with a sequence of binary numbers, such as message M. The result of the fragmentation of the message M is thus a fixed binary size compression, the size of the integer P. Advantageously, the SHA algorithm, an algorithm that conforms to the "Secure Hash Standard" published by the National Institute of Standards and Technology, will be used. Note that it is desirable to apply iterative refinement when the size of the result, ie the size of the integer P, is much smaller than the size of the modules N0, N1,. Note that At the time of the iterative segmentation, the message M is separated into sub-messages m, m ',..., And each of the sub-messages is isolated and processed by the segmentation algorithm. For example, when the digital key comprises parameters N, e, d of about 512 bits and the result of the refinement algorithm used gives a result having a size of 128 or 160 bits, it is better to apply such an iterative refinement. desirable. According to a preferred embodiment of the present invention, a refinement function h using a public index e and a message M is used, represented by the form: H = h (e, M) where H is the result of the refinement; That is, it is a fragmented message. Therefore, the signing work following the segmentation obeys the following relation: S = H d mod N = (h (e, M)) d mod N Reciprocally, the verification work is performed by verifying the following relation it will be: S e mod N = h ( e, M) procedures in this subdivision is advantageous to provide greater certainty on the signature and authentication methods. It is envisaged that the preferred embodiment according to the invention further uses a complex encryption function f before encrypting. This provides a second order encoding with two separate encoding methods and enhances the security of the encryption. An algorithm that matches the data encryption standard, such as the DES algorithm (Data Enscryption standard), can thus be used to implement the function f for symmetric encryption. For example, using the message M to be encrypted and the parameter k, one can select an encryption function f represented by the following form: F = f (k, M) where F is the encrypted message. Since symmetrical, the function f verifies the following relationship, represented by f -1, allowing inverse function: M = f -1 (k, M) more complex work encryption, therefore, For more certainty, the parameter k is obtained by subdivision of the public exponent e, preferably according to the following relation: k = h (e) Thus, the encrypted message F is according to this embodiment. Then, by the following calculation: F = f (h (e), M) Finally, the encryption / encryption scheme operation corresponds to the following relation: C = F e mod N = [f (h ( e), M)] e mod NC is a message that has been encrypted as previously set and then encrypted. Reciprocally, the decryption / decryption operation is performed according to the following calculation: M = F −1 (h (e), C d mod N) Proof of the security of this method and infinite probability of key discovery, in particular Complex calculations are not described in detail in this application. A final precaution is to limit the number of chip cards, more precisely the number i of keys (N, ei, di) having the same module N. One particularly interesting field of application of the method according to the invention is the issuance of a limited series of cards containing exactly the same module N. This module is used, for example, to recognize a certain group of users or commonly used services. The use of a key with the same module offers the possibility to be able to sign in a group of names, distinguishing the identity of each signer by the exponent used. Another application of the method according to the invention is to use a plurality of keys (N, ei) with the same module N to identify a user or to enable the recognition of a group of services provided by the same provider. , di) in the same card. Finally, a special use is to identify a card and then personalize it, that is, to issue a user-specific key to the user. In practice, a transport key is initially loaded into the memory of the chip card to test them and distinguish them in the lot. Known cards include a card identification number, indicated by Id. The identification number Id is transmitted in the following signed form for safety: S (Id) = Id d modulo N (N, e, d) is a parameter key called transport key. Upon personalization, this key is switched to a new key specific to the user. With the method according to the invention, it is possible to reuse the module N already stored in the transport key by changing only the pair of indices (e, d). An advantage of the present invention is that it limits the memory size used by a read-only memory EEPROM or digital key in a ROM. In this way, components of smaller dimensions can be used, or unoccupied memory areas can be used for storing data therefor. Another advantage of the method according to the invention is that it reduces the exchange between the card and the terminal or the management center. This is because the terminal can store the common module N in a plurality of keys while avoiding reading the used key each time it changes. Finally, with the method according to the invention, the module N, which has been subjected to a complex calculation, can be used several times, thus saving a great deal of calculation time when generating a digital key.
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 ナカッシュ，ダヴィッド
フランス共和国，エフ―75009 パリ，リ
ュ シャプタル，７────────────────────────────────────────────────── ───
Continuation of front page
(72) Inventor Nakash, David
France, F-75009 Paris, Li
The Shaptar, 7