JP2001520483A - 鍵認証方式 - Google Patents

鍵認証方式

Info

Publication number
JP2001520483A
JP2001520483A JP2000516464A JP2000516464A JP2001520483A JP 2001520483 A JP2001520483 A JP 2001520483A JP 2000516464 A JP2000516464 A JP 2000516464A JP 2000516464 A JP2000516464 A JP 2000516464A JP 2001520483 A JP2001520483 A JP 2001520483A
Authority
JP
Japan
Prior art keywords
key
public key
verifying
validity
public
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2000516464A
Other languages
English (en)
Other versions
JP4615708B2 (ja
Inventor
ビー． ジョンソン，ドナルド
Original Assignee
サーティコム コーポレーション
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by サーティコム コーポレーション filed Critical サーティコム コーポレーション
Publication of JP2001520483A publication Critical patent/JP2001520483A/ja
Application granted granted Critical
Publication of JP4615708B2 publication Critical patent/JP4615708B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/26—Testing cryptographic entity, e.g. testing integrity of encryption key or encryption algorithm
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/64—Self-signed certificates

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

(57)【要約】 少なくとも１組の通信者間で情報を送受信するのに用いる通信システムにおいてセキュリティを向上させる方法。一般に、通信者間で行われる通信は、一方の通信者が、所定のアルゴリズムの算術的属性に応じた鍵対を生成し、その一方の鍵、即ち公開鍵を証明書付きで相手側に送信すると共に、鍵対のうち秘密鍵を用いて署名を生成および送信する工程と、受信者が、相手側の通信者に上記署名を送信して上記署名を確認する工程とを有する。本発明は、さらに、上記所定のアルゴリズムの要件により決定される算術的属性に合致する公開鍵を確認する工程を提供する。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信システムのセキュリティ確保（secure）に関するものであり、
特に、そのようなシステムにおけるパラメータや鍵の妥当性検証（認証；valida
te）を行う方式（手順；scheme）に関する。
【０００２】
【従来の技術】
セキュリティ機能を持つ（secure) データ通信システムを用いて、１組の通信
者間で情報の送受信が行われる。交換される情報の少なくとも一部は、送信者が
所定の数学的演算を行うことによって、暗号化される。そして、受信者は、上記
の数学的演算に応じた相補的な数学的演算を行って、その暗号を解読する。公開
鍵あるいは対称型鍵システムでは、通信者同士がいくつかのパラメータを予め知
っておく必要がある。例えば、これまでにも、様々な方式やプロトコルが考案さ
れており、送信者の公開鍵や身元などの妥当性検証（認証；validate）が行われ
ている。これらのシステムのセキュリティ（security) あるいは妥当性は、署名
が妥当なものか否かに依存し、システムパラメータ（もしあれば）が妥当であり
、公開鍵が妥当であり、かつ、署名が確認（検証；verify) された場合に限り確
保される。さらに、非対称型システムのセキュリティが確保されるのは、システ
ムパラメータ（もしあれば）が妥当であり、暗号化公開鍵が妥当であり、対称型
鍵が指定通りにフォーマットされており、かつ、対称型鍵の復号検査（recovery
checks ）でフォーマットの妥当性が検査された場合に限られる。
【０００３】 一方、鍵一致プロトコルのセキュリティが確保されるのは、システムパラメー
タ（もしあれば）が妥当であり、鍵一致公開鍵が妥当であり、かつ、共有秘密お
よび対称型鍵が規格の指定通り生成された場合に限られる。以上の全てにおいて
は、公開鍵あるいは対称型鍵、即ち共有秘密が、プロトコル方式にて指定された
通りに生成され、妥当であるということを前提として考えている。
【０００４】
【発明が解決しようとする課題】
しかしながら、これらのパラメータが偽物である場合や何らかの形で欠陥があ
る場合には、問題が生じてしまう。
【０００５】 以下の例を用いて、公開鍵暗号システムの１つあるいは複数のパラメータにお
ける欠陥が、どのようなことを意味するかについて説明する。例えば、ディジタ
ル署名を用いて送信者の正当性（authenticity）を示す場合を考える。受信者Ａ
が送信者Ｂから証明書付きの公開鍵を受信すると、Ａは証明書を確認する。次に
、ＢがＡに署名付きのメッセージを送信すると、Ａは署名を確認し、さらなる通
信が可能と判断することができる。しかしながら、この場合、Ｂが公開鍵を故意
に改ざんすれば、この妥当でない公開鍵を受信者Ａが識別できなくなる。同様に
、参加者Ｃが鍵対を生成し、続いて公開鍵証明書を受信し、その後に、上記参加
者Ｃが、証明書に含まれている公開鍵が妥当であると仮定して、証明書とそれに
続いて署名付きのメッセージをＢに送信した場合を考える。上記参加者Ｂは、Ｃ
の鍵情報を決定することができる。上記の両方の場合から分かるように、署名を
確認する際に認証されていないパラメータを使用することに起因して問題が生じ
る可能性がある。
【０００６】 鍵送信プロトコルでは、通信者Ａが誤って違う相手に対称型鍵を送信してしま
うことがある。例えば、通信者Ａが証明書付きの公開鍵を送信者Ｂから受信した
場合に、Ａは該証明書を確認し、公開鍵により暗号化された対称型鍵および対称
型鍵により暗号化されたメッセージをＢに送信する。これにより、Ａが承認され
る。逆に、通信者の１人であるＣが鍵対を生成し、公開鍵証明書を得た後にそれ
をＡに送信する。この場合、Ａは公開鍵を用いて対称型鍵およびメッセージを暗
号化し、それをＣに返信する。したがって、この場合、Ｃが承認される。
【０００７】 鍵一致プロトコルにおいては、通信者の１人であるＡが、例えば、Ｂから証明
書付きの公開鍵を受信し、Ａの証明書付き公開鍵をＢに送信する。ＡおよびＢは
それぞれ相手側の証明書を確認し、互いに一致した対称型鍵を有する。この例で
は、Ａが２度承認されることになる。
【０００８】 以上の例から分かるように、公開鍵システムのセキュリティが確保されていて
も、システムのセキュリティは、通信者の一方あるいは両方に大きく依存してお
り、要求された所定の鍵が実際のところ使用されている特定のアルゴリズムの所
定の鍵であることに依存している。典型的には、受信者は、ビット列を受信する
と、このビット列が要求される鍵を実際に表すものであるとみなしてしまうが、
そのために対称型鍵システムでは特に問題が生じる。即ち、対称型鍵システムで
は、典型的にはサイズが正しければどのようなビット列でも鍵であると解釈され
てしまう。このビット列の中の１ビットが所定の鍵と異なっていても、別の鍵と
して解釈されるので、その鍵が誤ったものでない限り、妥当な暗号演算（crypto
operation) を行うことができる。
【０００９】 非対称型秘密鍵システムでは、秘密鍵の所有者はその秘密鍵について全て知っ
ているので、それが正しいか否かの妥当性を検証することができる。しかしなが
ら、第３者が上記所有者のシステムに公開鍵を送信した場合、受信した鍵が公開
鍵の算術的要件に合致するものか否か、あるいはその要求された公開鍵を用いて
演算（operation ）を行った場合に機密性が確保された暗号演算となるか否かに
ついては、疑問が生じる。所有者のシステムが検査を行わなければ確実には分か
らないので、所有者にしか分からないことになる。
【００１０】 以上のことから分かるように、鍵の確立は安全でない場合がある。Crypto '97
で発表されたリン（Lim ）およびリー（Lee ）による論文では、上記問題点が、
Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ方式において次数（order ）が正しくない偽公開
鍵を用いた場合に、相手側の秘密鍵に関する情報を得ることができるという例を
用いて指摘された。ＲＳＡあるいはＲａｂｉｎ方式においては、公開鍵および秘
密鍵を１組の大きな素数の関数とすることで、そのような大きな数の因数分解の
困難性からセキュリティを確保している。これらの鍵は、２つの任意の大きな素
数の積から生成している。しかしながら、ｎが素数であって、２つの素数の積で
ないとすると、ｐｈｉ（ｎ）＝ｎ−１が成り立つので、偽の「公開鍵」（ｎ，ｅ
）から誰でもｄを決定することができる。これらは、公開鍵の使用者が、要求さ
れた公開鍵についてアルゴリズムの要件に合致する算術的属性の妥当性を検証す
ることができないが為に生じる問題であると言える。
【００１１】 本発明は、セキュリティ機能を持つ通信システムにおいて、改良された妥当性
検証を行うことを目的としている。さらに、本発明は、誰でもいつでも公開情報
のみを用いてそのような妥当性検証を行えるようにすることを目的としている。
【００１２】
【課題を解決するための手段】
本発明の公開鍵通信システムにおけるディジタル署名の妥当性検証方法によれ
ば、公開鍵の算術的属性がシステムアルゴリズムに合致することを確認する工程
と、上記ディジタル署名を確認する工程とを含む。
【００１３】 さらに、システムパラメータを確認する工程が設けられる。
【００１４】 さらに、要求された公開鍵がアルゴリズムと算術的に合致するか否かの妥当性
検証が実行されたことを示す情報と、および適切な場合には、さらに、実行され
た妥当性検証の回数を示す情報とを証明書情報内に含める工程が設けられる。
【００１５】
【発明の実施の形態】
図１に示すように、データ通信システム１０は、１組の通信者を含み、該１組
の通信者は、送信者１２および受信者１４であり、互いに通信チャネル１６によ
り接続されている。送信者１２および受信者１４は、通信チャネル１６を介した
送受信用に備えてディジタル情報を処理する暗号化ユニット１８および２０をそ
れぞれ有している。データ通信システム１０は、証明書発行局（ＣＡ；certific
ation authority 、認証機関とも言う）２２をさらに有していてもよい。
【００１６】 以下、本発明の実施の形態として、公開鍵アルゴリズムを用いた場合について
説明する。鍵一致は、以下に示す６つのルーチンを有している。即ち、システム
パラメータの生成、システムパラメータの妥当性検証、鍵対の生成、公開鍵の妥
当性検証、共用機密の導出（derivation）、および対称型鍵の導出である。上記
鍵検証工程においては、誰でもいつでも公開情報のみを用いて公開鍵の妥当性を
検証することができる。これらのルーチンにより、公開鍵の値域（range ）およ
び次数（order ）が検証される。公開鍵の妥当性が検証されれば、論理的にはそ
れに対応する秘密鍵が存在する可能性があるが、実際に存在することは証明され
ない。
【００１７】 楕円曲線ディジタル署名アルゴリズム（ＥＣＤＳＡ）にも、６つのルーチンが
含まれる。即ち、システムパラメータの生成、システムパラメータの妥当性検証
、鍵対の生成、公開鍵の妥当性検証、署名の生成、および署名の確認（signatur
e verification）である。一方、ＤＳＡの第１のタイプには、４つのルーチン、
即ち、システムパラメータの生成、鍵対の生成、署名の生成、および署名の確認
が含まれる。より最近のＤＳＡでは、５つのルーチン、即ち、システムパラメー
タの生成、（非明示の（implicit））システムパラメータの妥当性検証、鍵対の
生成、署名の生成、および署名の確認が含まれる。鍵の妥当性検証を行うために
、ＤＳＡパラメータであるｐ、ｑ、およびｇは既に妥当性が検証されているもの
とみなす。秘密鍵をｘ、公開鍵ｙはｙ＝ｇx mod ｐである。そして、ｙの値域に
ついて、１＜ｙ＜ｐであることを確認することによって妥当性を検証するととも
に、ｙの次数について、ｙq mod ｐ＝１であることを確認することによって妥当
性を検証する。これらの妥当性検証により、ある要求されたＤＳＡ公開鍵が、そ
のような鍵に対する算術的要件を満たすものであるということが確認される。こ
れらの妥当性検証は、誰もがいつでも公開情報のみを用いて実行することが可能
である。
【００１８】 ＲＳＡあるいはＲａｂｉｎ署名アルゴリズムには、一般に３つのルーチン、即
ち、鍵対の生成、署名の生成、および署名の確認が含まれる。ＲＳＡ公開鍵（ｎ
，ｅ）の検証は以下の３つのステップを含む。即ち、まず最初にｅの妥当性を検
証し、次にｎの妥当性を検証し、その次にｅおよびｎが互いに矛盾していないこ
とを検証する。公開指数ｅの妥当性を検証するためには、指数ｅが２≦ｅ≦２(k -160) （ｋは法(modulus) ｎのビット長（length））であることを利用する。指
数ｅの範囲が上記のような特定された範囲であるべきというこの要件は、特に、
ここでの検証を実現可能にしている。ｅ＞２であれば、ｅは奇数でなければなら
ない。さらに、閉じたネットワークの場合には、公開指数ｅは他の全ての判定基
準を満たすべきであることが知られている。即ち、例えばｅは３か、６５５３７
か、あるいは６５５３７より大きな任意の数でなければならないといった判定基
準である。これらの検証は、鍵の妥当性をさらに確認するために行ってもよい。
これらの検証については、ＲＳＡ公開鍵部分認証ルーチン（public key partial
validation routine ）の仕様（specification ）の一部として含まれていても
よい。上記の指数ｅの検証は簡略なもののように見えるが、この検証により、Ｒ
ＳＡ／Ｒａｂｉｎアルゴリズムで選択が試みられるｄよりも前にｅが選択された
ことが確認できる。なぜなら、この検証により、ｄｅ＝１ ｍｏｄ（ｌｃｍ（ｐ
−１，ｑ−１) ）であり、法ｎに比べてｅでは桁数を表すゼロが少なくとも１６
０個多いことが分かり、これはｄを先に選択すると実現不可能だからである。
【００１９】 法ｎの妥当性を検証するためには、ｎの大きさを求める。ｎは、正確に（１０
２４＋１２８ｓ）ビット（ただし、ｓ＝0 ，1 ，2 ，3 ，…等）を含まなければ
ならないことが知られている。このことは、簡単に検証でき、部分鍵認証の一部
とすることができる。法ｎは２つの素数の積で、２より大きい全ての素数が奇数
であることから、法ｎが奇数であるか否か判断することによって、法ｎに対して
さらなる妥当性検証を行ってもよい。したがって、奇数同士の積は奇数であるの
で、ｎは奇数でなければならない。さらに、Ｒａｂｉｎアルゴリズムでｅ＝２の
場合には、ｐ＝３ ｍｏｄ ｎ、およびｑ＝７ ｍｏｄ ８でなければならない
ことが分かっている。このことから、ｎ＝ｐｑ＝２１ ｍｏｄ ８＝５ ｍｏｄ
８でなければならない。このことは、ｅ＝２のときにｎ＝５ ｍｏｄ ８であ
ることを確認することで検証できる。さらに、ｎは完全な累乗（perfect power
）であってはならないことが分かっている。このことから、ｎが２つの異なる素
因数からなることが確実に分かり、単純な検査により妥当性が検証できる。上記
検証については、Menezes 、van Oorschot、およびVanstoneによる"Handbook of
Applied Cryptography(応用暗号手法ハンドブック)"に記述されている。
【００２０】 また、ｎは合成数でなければならないことも知られている。したがって、ｎが
素数の場合には、容易に逆変換が可能になるため、セキュリティが全く確保され
なくなる。ｎが合成数であるか否かの検証は、ｎが合成数であると実際に証明さ
れると予想してＭｉｌｌｅｒ−Ｒａｂｉｎ確率的素数検証(probable prime test
）を行うことによって、実現可能である。法ｎの検証を行うためのさらなる検査
は、以下のことに基づくものである。即ち、ｎが２つの大きな素数の積であって
、因数分解が難しく、したがって単純な方法で因数分解しようとしても成功しな
いものであることが分かっていることに基づいている。例えば：ｉとして小さな
奇数の素数からある程度の大きさまでの全ての素数、例えば最初の５００００（
５０Ｋ）個の奇数の素数について、ＧＣＤ（ｎ，ｉ）を計算してみてもよい。
【００２１】 前述の２つの検証により、前者からは少なくとも１つの因子が法のビットの半
分以下の大きさでなければならないことが分かり、後者からは各因子が検証した
最大素数よりも大きくなければならないことが分かる。さらに、ポテンシャル因
子（ｐ，ｑ，ｒ，…）は、上記で検証した最大素数の大きさに依存した限られた
数しか存在しなくなる。
【００２２】 以上の複数の検証を組み合わせると、相乗効果が得られる。検証の目的は、敵
のとりうる行動の自由度を大幅に小さくすることである。攻撃がほぼ不可能な場
合であっても、部分的鍵認証を行うことによって、攻撃をより一層困難にし、望
ましくは攻撃を不可能あるいは少なくとも非経済的なものにすることができる。
【００２３】 さらに、ｐおよびｑの値は近くなりすぎてはならないものであるから、法ｎを
検証する際には、これらが近接した値であると仮定し、ｎの因数分解を試みる。
ｎの平方根をｐおよびｑの初期予想値とする。ｐを減少させる一方、ｑを増加さ
せ、ｎが所定の限度まで因数分解できるか決定する。さらに、ＲＳＡの法のセッ
トでは素数が繰り返してはならないことが分かっているため、ＲＳＡのある法の
セットｎ１、ｎ２に対して、ＧＣＤ（ｎｉ，ｎｊ）を計算し、全ての計算結果が
１に等しいことを確認することができる。
【００２４】 上述のオフライン検証には限界が存在するが、パラメータの所有者が特定の情
報、例えばｎの因数分解を知っているので、これらの検証を拡張することができ
る。よって、所有者をオンラインオラクル（oracle）として利用してもよい。こ
のオラクルに関してなされる質問に対する回答が不正解であることを識別するこ
とで、誰もが公開鍵が無効であると断言できることになる。
【００２５】 Vanstoneらの"Handbook of Applied Cryptography"によれば、所有者は（平方
根 ｍｏｄ ｎ）を計算できるが、他者にはできない。検証者は、（任意値 ｍ
ｏｄ ｎ）のヤコビ符号（ヤコビアン；Jacobi Symbol ）を１または−１に決定
し、半分は１、他方の半分は−1 に決定する。１の場合には、その数が平方数か
否かで、再度半々に分けられる。検証者は、（ある数 mod n）を平方する。平方
数のヤコビ符号は、常に１である。
【００２６】 検証者は、既知の平方数ｕおよびヤコビ符号が１である任意の要素ｒのいずれ
かを選択する。そして、所有者にこの２種類の要素に対して「これは平方数であ
るか」と質問する。所有者は、イエスかノーかで回答する。ｕが選択された場合
、所有者がイエスと答えなければ鍵の法（modulus ）は無効となる。ｒが選択さ
れた場合、所有者がイエスと答える回数とノーと答える回数とがそれぞれ約半分
でなければ、鍵の法が無効となる。
【００２７】 これを何度も繰り返すことにより、信頼性が高まる。検証者が全て平方数につ
いて所有者に質問した場合には、所有者は常にイエスと答えなければならない。
検証者が全てヤコビ符号が１である任意の要素について所有者に質問した場合に
は、所有者はその半分にはイエスと答え、半分にはノーと答えなければならない
。偽鍵の所有者は、少なくとも半分の答えがイエスであることを知っているだけ
である。しかしながら、秘密鍵の所有者であれば、ｎの因数分解を知っており、
平方数を知っているので、擬似平方数についてそれらが平方数であると嘘をつい
て、検証者を騙しさえすればよい。検証者は、既知の擬似平方数を用いて「これ
は平方数であるか」と質問するだけでよい。通常、法の因数分解を知らなければ
、ある数がその法の擬似平方数であると決定することは不可能である。しかしな
がら、所有者は、上述の質問に対して、ヤコビが１である数のいくつかは擬似平
方数であると答えなければならない。検証者は、既知の擬似平方数と（平方数
mod ｎ）とを掛け合わせることによって、任意の既知の擬似平方数を生成する
ことはできる。検証者は、その結果として得られた値については、擬似平方数で
あると知っている。この３つめのタイプの数ｔ（既知の擬似平方数）について所
有者に尋ねると、この場合には、所有者がいくつかの擬似平方数は平方数である
と嘘をついても、その嘘が検証者に知られる。
【００２８】 ｅとｎとを共に検証するには、ＧＣＤ（ｅ，ｐ−１）＝１、かつＧＣＤ（ｅ，
ｑ−１）＝１でなければならない。ｅが奇数の場合には、整数ｘおよびｐに対し
てｐがｘｅ＋１の形で表されない数であり、かつ、整数ｙに対してｑがｙｅ＋１
の形で表されない数でなければならないことが分かっている。ｐとｑとの両方が
不正な場合には、ｎがｘｙｅ2 ＋ｘｅ＋ｙｅ＋１の形で表されないものであり、
かつｎ≠１ ｍｏｄ ｅが成り立たなければならない。
【００２９】 ｅとｎとを共に検証する別の方法について以下に説明する。ＧＣＤ（ｅ，ｐｈ
ｉ（ｎ））が１でなければならないことが分かっている。ｐｈｉ（ｎ）＝（ｐ−
１）（ｑ−１）であることが分かっているので、式が２つで未知数が２つである
から、検証者は、ｎを因数分解することができる。
【００３０】 鍵対に対する他の要件が満たされているとする。ＧＣＤ（ｅ，ｐｈｉ（ｎ））
＝１を満たす必要があるのは、ｅを用いた演算を確実に１：１対応（逆変換可能
）の関数とするためである。さもなければ、ｅを用いた演算が多数：１になって
しまう。ｅを用いた演算が多数：１対応の場合には、ｄ（ｅの逆元（inverse)）
が存在しなくなるか、少なくとも通常では導き出せなくなる。所有者はｄが実際
に存在するという証拠を提示しなければならない。しかしながら、上記質問は、
秘密鍵の所有者の管理の元で行うべきではない。即ち、所有者自身で署名した証
明書要求（self-signed certificate request ）では、十分な証拠とはならない
。
【００３１】 挑戦者は、承認を要求された所有者にダミーメッセージをいくつか送信して署
名させることもできる。秘密鍵の所有者は、それらがダミーメッセージであると
確認し、署名し、挑戦者に返信する。これは、ｄが存在するオンライン確率的オ
ラクル検証（online probabilistic oracle test）である。
【００３２】 したがって、誰でもオフライン検証がいつでも実行できる。所有者がオンライ
ン状態にあれば、誰でもオンライン検証を実行できる。所有者は、オフラインお
よびオンライン検証を行って、自身の秘密鍵が有効であることを確認することが
できる。ＣＡは、オンライン検証を行って、公開鍵証明書において何の妥当性が
どの程度まで検証されているかを他者に伝える。
【００３３】 ＥＣＤＳＡにおけるシステムパラメータは、フィールドサイズｑ＝ｐまたは２ m である。オプションの種（optional seed ）によって（ａ，ｂ）が生成され、
（ａ，ｂ）によって、曲線の次数がｈｎとなるように、Ｆq で表される楕円曲線
、この曲線上の特異点Ｐ、Ｐの大きな素数の次数（large prime order ）である
ｎ、および余因子（cofactor）ｈを定義する。（ａ，ｂ）で定義されるフィール
ドサイズＥＣおよび点Ｐは主要パラメータである。
【００３４】 ＥＣシステムパラメータだけでなく、ＥＣ公開鍵についても確認することが重
要である。例えば、楕円曲線公開鍵Ｑを想定し、ＱがＥ上にあるとする。鍵一致
において素数の次数の曲線を使用している場合、Ｑの次数を検査する必要はない
。なぜなら、Ｑが曲線上にあれば正確な次数を有していることが確かであるから
である。Ｑが曲線上にあることを検査することは重要である。なぜなら、Ｑが曲
線上になければ、偽鍵が、ａＱを計算する際に秘密鍵ａを明かしてしまうからで
ある。公開鍵が曲線上にあると確認することは、曲線の式に代入するか、検証を
行うことにより可能である。
【００３５】 以上のことから、鍵認証を行うことにより、攻撃にさらされることが抑制され
、不慮のエラーの検出が助けられ、ＣＡが行う価値のあるサービスが提供される
ことになる。当業者ならば理解できるように、上記の技術および方法は、本発明
の工程を実行する適切なプロセッサにおいて実現することができる。さらに、上
述の様々な方法は、汎用のコンピュータを使用し、ソフトウェアにて選択的に起
動あるいは再構成して実行するのが便利がよいが、当業者ならば理解できるよう
に、そのような方法は、必要な各工程を実行するように構成された、ハードウェ
ア、ファームウェア、あるいはより特殊な装置において実現してもよい。
【００３６】
【発明の効果】
本発明によれば、セキュリティ機能を持つ通信システムにおいて、改良された
妥当性検証を行うことができる。さらに、本発明によれば、誰でもいつでも公開
情報のみを用いてそのような妥当性検証を行うことが可能となる。
【図面の簡単な説明】
【図１】 通信システムの概略図である。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ) ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ， ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，Ｄ Ｋ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＨＲ ，ＨＵ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ， ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，Ｌ Ｖ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ， ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，Ｕ Ｓ，ＵＺ，ＶＮ，ＹＵ，ＺＷ

Claims (10)

    【特許請求の範囲】
  1. 【請求項１】 データ通信システムにおいて、一方から他方の通信者に送信されるディジタル
    情報の妥当性を検証する方法において、 所定の算術的属性とシステムパラメータとを有する所定の暗号化方式に応じて
    公開鍵を生成する工程と、 上記公開鍵が上記暗号化方式の算術的属性に合致することを確認する工程と、 確認された上記公開鍵を受信者に送信する工程とを含むことを特徴とする方法
    。
  2. 【請求項２】 上記公開鍵の妥当性が検証されたことを示す情報を、確認された上記公開鍵と
    共に送信することを特徴とする請求項１に記載の方法。
  3. 【請求項３】 上記公開鍵は楕円曲線公開鍵Ｑであり、上記暗号化方式は楕円曲線方式である
    ことを特徴とする請求項１に記載の方法。
  4. 【請求項４】 上記公開鍵を確認する工程は、上記公開鍵Ｑが上記楕円曲線Ｅ上にあることを
    確認する工程を含むことを特徴とする請求項３に記載の方法。
  5. 【請求項５】 上記システムパラメータを確認する工程をさらに含むことを特徴とする請求項
    １に記載の方法。
  6. 【請求項６】 公開鍵および対称型鍵を有するセキュリティが確保された非対称型通信システ
    ムを提供する方法において、 上記公開鍵が妥当であると確認する工程と、 上記対称型鍵が所定のフォーマットを有することを確認する工程と、 上記対称型鍵を復号する工程と、 復号された上記対称型鍵が所定の妥当なフォーマットを有することを確認する
    工程とを含むことを特徴とする方法。
  7. 【請求項７】 上記システムパラメータが妥当であると確認する工程をさらに含むことを特徴
    とする請求項６に記載の方法。
  8. 【請求項８】 公開鍵、対称型鍵、および秘密情報を有する通信システムにてセキュリティが
    確保された鍵一致を提供する方法において、 上記公開鍵が妥当であると確認する工程と、 上記秘密情報が妥当であると確認する工程と、 上記対称型鍵が妥当であると確認する工程とを含むことを特徴とする方法。
  9. 【請求項９】 システムパラメータが妥当であると確認する工程をさらに含むことを特徴とす
    る請求項８に記載の方法。
  10. 【請求項１０】 上記鍵の検証を示す情報を証明書情報に含める工程をさらに含むことを特徴と
    する請求項８に記載の方法。
JP2000516464A 1997-10-14 1998-10-14 鍵認証方式 Expired - Lifetime JP4615708B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US94978197A 1997-10-14 1997-10-14
US08/949,781 1997-10-14
PCT/CA1998/000959 WO1999020020A1 (en) 1997-10-14 1998-10-14 Key validation scheme

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2010005363A Division JP5205398B2 (ja) 1997-10-14 2010-01-13 鍵認証方式

Publications (2)

Publication Number Publication Date
JP2001520483A true JP2001520483A (ja) 2001-10-30
JP4615708B2 JP4615708B2 (ja) 2011-01-19

Family

ID=25489535

Family Applications (3)

Application Number Title Priority Date Filing Date
JP2000516464A Expired - Lifetime JP4615708B2 (ja) 1997-10-14 1998-10-14 鍵認証方式
JP2010005363A Expired - Lifetime JP5205398B2 (ja) 1997-10-14 2010-01-13 鍵認証方式
JP2012251231A Withdrawn JP2013042555A (ja) 1997-10-14 2012-11-15 鍵認証方式

Family Applications After (2)

Application Number Title Priority Date Filing Date
JP2010005363A Expired - Lifetime JP5205398B2 (ja) 1997-10-14 2010-01-13 鍵認証方式
JP2012251231A Withdrawn JP2013042555A (ja) 1997-10-14 2012-11-15 鍵認証方式

Country Status (6)

Country Link
US (1) US20010014153A1 (ja)
EP (1) EP1025672A1 (ja)
JP (3) JP4615708B2 (ja)
AU (1) AU9426598A (ja)
CA (1) CA2305896C (ja)
WO (1) WO1999020020A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010505315A (ja) * 2006-09-29 2010-02-18 シーメンス アクチエンゲゼルシヤフト 認証方法および認証のための通信システム
JP2011091868A (ja) * 2003-10-28 2011-05-06 Certicom Corp 公開鍵を検証可能に生成する方法及び装置
WO2019163040A1 (ja) * 2018-02-22 2019-08-29 株式会社ゼタント アクセス管理システム、及びそのプログラム

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6757825B1 (en) * 1999-07-13 2004-06-29 Lucent Technologies Inc. Secure mutual network authentication protocol
US20060233364A1 (en) * 2002-07-29 2006-10-19 Jan Camenisch Fine-grained forward-secure signature scheme
US20050198233A1 (en) * 2004-01-07 2005-09-08 Microsoft Corporation Configuring network settings of thin client devices using portable storage media
US20050198221A1 (en) * 2004-01-07 2005-09-08 Microsoft Corporation Configuring an ad hoc wireless network using a portable media device
US7546357B2 (en) * 2004-01-07 2009-06-09 Microsoft Corporation Configuring network settings using portable storage media
US7657612B2 (en) * 2004-01-07 2010-02-02 Microsoft Corporation XML schema for network device configuration
US7769995B2 (en) * 2004-01-07 2010-08-03 Microsoft Corporation System and method for providing secure network access
US7996673B2 (en) * 2004-05-12 2011-08-09 Echoworx Corporation System, method and computer product for sending encrypted messages to recipients where the sender does not possess the credentials of the recipient
US7710587B2 (en) * 2004-10-18 2010-05-04 Microsoft Corporation Method and system for configuring an electronic device
US7826833B2 (en) * 2005-02-17 2010-11-02 Madhavan P G Channel assay for thin client device wireless provisioning
US7616588B2 (en) * 2005-03-31 2009-11-10 Microsoft Corporation Simplified creation and termination of an ad hoc wireless network with internet connection sharing
US7664259B2 (en) * 2006-03-09 2010-02-16 Motorola, Inc. Encryption and verification using partial public key
CA2669145C (en) 2006-11-15 2013-11-05 Certicom Corp. Implicit certificate verification
GB0803320D0 (en) 2008-02-22 2008-04-02 Cambridge Silicon Radio Ltd Protecting against security attack
EP2591436A4 (en) * 2010-07-08 2014-11-05 Certicom Corp SYSTEM AND METHOD FOR REALIZING DEVICE AUTHENTICATION USING KEY ACCREDITATION
EP2525524B1 (en) * 2011-05-12 2016-08-10 Nxp B.V. Transponder, reader and methods for operating the same
FR2993080B1 (fr) * 2012-07-04 2014-07-25 Oberthur Technologies Procede de verification de la securite d'un dispositif generateur de cles cryptographiques privees et publiques.
CN105553664B (zh) * 2015-12-10 2018-09-28 中国电子科技集团公司第三十研究所 一种具有非交互式不可否认性质的签密方法
CN105530093B (zh) * 2015-12-10 2019-02-01 中国电子科技集团公司第三十研究所 一种具有非交互式不可否认性质的签密方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH04191787A (ja) * 1990-11-26 1992-07-10 Matsushita Electric Ind Co Ltd 公開鍵生成方式および公開鍵生成システム
EP0503119A1 (en) * 1991-03-14 1992-09-16 Omnisec Ag Public key cryptographic system using elliptic curves over rings
JPH0643808A (ja) * 1992-07-27 1994-02-18 Matsushita Electric Ind Co Ltd 有限可換群における演算器
EP0735720A2 (en) * 1995-03-31 1996-10-02 Pitney Bowes, Inc. Method for key distribution and verification in a key management system

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0383985A1 (de) 1989-02-24 1990-08-29 Claus Peter Prof. Dr. Schnorr Verfahren zur Identifikation von Teilnehmern sowie zur Generierung und Verifikation von elektronischen Unterschriften in einem Datenaustauschsystem
JPH0470028A (ja) * 1990-07-09 1992-03-05 Mitsubishi Electric Corp オブリビアス・トランスファ暗号通信方法
US5201000A (en) * 1991-09-27 1993-04-06 International Business Machines Corporation Method for generating public and private key pairs without using a passphrase
US5241599A (en) 1991-10-02 1993-08-31 At&T Bell Laboratories Cryptographic protocol for secure communications
JPH08506217A (ja) * 1993-04-20 1996-07-02 ミカリ，シルヴィオ 公正な暗号システム及びその使用方法
JP3458979B2 (ja) * 1994-12-02 2003-10-20 日本電信電話株式会社 ディジタル情報保護システム及びその方法
JP3327435B2 (ja) * 1994-12-01 2002-09-24 日本電信電話株式会社 ディジタル情報保護システム及びその方法
JPH0962596A (ja) * 1995-08-25 1997-03-07 Hitachi Ltd 電子メールシステム
JPH0993241A (ja) * 1995-09-28 1997-04-04 Nippon Telegr & Teleph Corp <Ntt> 情報通信システム及び情報通信方法
JPH09200194A (ja) * 1995-12-29 1997-07-31 Intel Corp 安全保護の行われた通信を行うための装置および方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH04191787A (ja) * 1990-11-26 1992-07-10 Matsushita Electric Ind Co Ltd 公開鍵生成方式および公開鍵生成システム
EP0503119A1 (en) * 1991-03-14 1992-09-16 Omnisec Ag Public key cryptographic system using elliptic curves over rings
JPH0643808A (ja) * 1992-07-27 1994-02-18 Matsushita Electric Ind Co Ltd 有限可換群における演算器
EP0735720A2 (en) * 1995-03-31 1996-10-02 Pitney Bowes, Inc. Method for key distribution and verification in a key management system

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011091868A (ja) * 2003-10-28 2011-05-06 Certicom Corp 公開鍵を検証可能に生成する方法及び装置
US8713321B2 (en) 2003-10-28 2014-04-29 Certicom Corp. Method and apparatus for verifiable generation of public keys
US9160530B2 (en) 2003-10-28 2015-10-13 Certicom Corp. Method and apparatus for verifiable generation of public keys
US9240884B2 (en) 2003-10-28 2016-01-19 Certicom Corp. Method and apparatus for verifiable generation of public keys
US9967239B2 (en) 2003-10-28 2018-05-08 Certicom Corp. Method and apparatus for verifiable generation of public keys
JP2010505315A (ja) * 2006-09-29 2010-02-18 シーメンス アクチエンゲゼルシヤフト 認証方法および認証のための通信システム
US8458472B2 (en) 2006-09-29 2013-06-04 Siemens Aktiengesellschaft Authentication method and communications system used for authentication
WO2019163040A1 (ja) * 2018-02-22 2019-08-29 株式会社ゼタント アクセス管理システム、及びそのプログラム
JPWO2019163040A1 (ja) * 2018-02-22 2021-01-07 株式会社ゼタント アクセス管理システム、及びそのプログラム

Also Published As

Publication number Publication date
JP2013042555A (ja) 2013-02-28
CA2305896A1 (en) 1999-04-22
US20010014153A1 (en) 2001-08-16
JP2010093860A (ja) 2010-04-22
AU9426598A (en) 1999-05-03
JP5205398B2 (ja) 2013-06-05
WO1999020020A1 (en) 1999-04-22
JP4615708B2 (ja) 2011-01-19
CA2305896C (en) 2010-12-14
EP1025672A1 (en) 2000-08-09

Similar Documents

Publication Publication Date Title
JP5205398B2 (ja) 鍵認証方式
US8594324B2 (en) Key validation scheme
US9967239B2 (en) Method and apparatus for verifiable generation of public keys
JP4545831B2 (ja) データカード検証装置
EP2082524B1 (en) Implicit certificate verification
US8229113B2 (en) Strengthened public key protocol
US20050097316A1 (en) Digital signature method based on identification information of group members, and method of acquiring identification information of signed-group member, and digital signature system for performing digital signature based on identification information of group members
US20110264917A1 (en) Method for two step digital signature
JP2002534701A (ja) 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム
CN114978622A (zh) 一种基于区块链和零知识证明的匿名凭证验证方法及系统
KR20010017358A (ko) 공정한 은닉 서명 방법
CN117914531A (zh) 一种基于ecc的数据交互方法、客户端设备及服务器

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20051012

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090414

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090714

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20091013

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100113

RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20100113

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20100514

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20100921

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20101021

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131029

Year of fee payment: 3

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

EXPY Cancellation because of completion of term