JP2002108207A

JP2002108207A - 認証方式

Info

Publication number: JP2002108207A
Application number: JP2000276216A
Authority: JP
Inventors: Toru Inoue; 井上　　徹
Original assignee: ADVANCED MOBILE TELECOMM SECUR; Advanced Mobile Telecommunications Security Technology Research Laboratory Co Ltd
Current assignee: ADVANCED MOBILE TELECOMM SECUR; Advanced Mobile Telecommunications Security Technology Research Laboratory Co Ltd
Priority date: 2000-09-12
Filing date: 2000-09-12
Publication date: 2002-04-10

Abstract

(57)【要約】【課題】ヤシャ（Yaksha）システムにおいて、基本プ
ロトコルを変えずに、YASをYGSが安全に認証できるよう
にする。【解決手段】公開手段101は、楕円暗号の公開鍵を配
布する。送信者(YAS)102は、第１メッセージ（初期チケ
ット）と第２メッセージ（タイムスタンプ）を生成す
る。検証者を受信者（YGS）に限定し、メッセージに対
する楕円暗号署名情報を作成し、ユーザーを介して受信
者に送信する。受信者(YGS)103は、受信した署名情報か
らメッセージを算出して確認する。受信者（YGS）のみ
が署名検証を実行でき、送信者（YAS）が正しく署名し
た場合のみ、メッセージＭを取り出すことができる。YA
SをYGSが簡単な手順で安全に認証できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、認証方式に関し、
特に、検証者限定型のメッセージ回復型署名を用いて安
全に相互認証できる認証方式に関する。

【０００２】

【従来の技術】紙の文書に署名して文書作成者の責任を
明らかにすることと同様に、デジタルデータでは、デジ
タル署名を行なってデジタルデータの作成者を明らかに
している。また、紙の文書における稟議書に複数の承認
者の決済印を押すように、デジタルデータに複数の署名
を行なう巡回署名がある。デジタル署名のうち、メッセ
ージ復元型署名は、署名を検証すると元のメッセージが
復元される署名である。

【０００３】図３と図４を参照して、第１の従来例のNy
berg-Rueppelメッセージ復元型署名を説明する。図３
は、第１の従来例のNyberg-Rueppelメッセージ復元型署
名方式の機能ブロック図である。図３において、公開手
段301は、署名の作成と確認に必要な公開鍵を配布する
手段である。署名者302は、メッセージに署名を付して
送信する手段である。受信者303は、署名を受信してメ
ッセージの作成者を確認する手段である。メッセージ生
成手段304は、送信するメッセージを生成する手段であ
る。署名情報作成手段305は、メッセージに対する署名
情報を作成する手段である。送信手段306は、署名情報
を受信者に送信する手段である。受信手段307は、署名
情報を署名者から受信する手段である。メッセージ算出
手段308は、署名情報からメッセージを算出して確認す
る手段である。

【０００４】図４は、第１の従来例のNyberg-Rueppelメ
ッセージ復元型署名方式の動作手順を示す流れ図であ
る。図４において、ステップ１は、公開手段が公開鍵を
公開する手順である。ステップ２は、署名者が署名を作
成して受信者に送る手順である。ステップ３は、受信者
が署名を検証する手順である。

【０００５】上記のように構成された第１の従来例のNy
berg-Rueppelメッセージ復元型署名方式の動作を説明す
る。ステップ１において、公開手段は、公開鍵(ｐ,ｑ,
ｇ,ｙ)を公開する。ｐを十分大きな素数とする。ｑを
（ｐ−１）の大きな素因数とする。ｇを整数環Ｚ_p ^*にお
ける位数ｑの元とする。署名者の秘密鍵をｘ(整数環Ｚ_p
^*の元)とし、公開鍵をｙとする。秘密鍵ｘは署名者のも
とで安全に管理され、公開鍵ｙとｐとｑとｇは、公開手
段により公開される。すなわち、Ｚ_p ^*＝{１,２,・・・,ｐ−１} ｇ^ｑ modｐ＝１ｇ^ｑ' modｐ≠１（０＜ｑ'＜ｑ）ｙ＝ｇ^ｘ modｐである。

【０００６】ステップ２において、署名者は、メッセー
ジｍに対して乱数ｋを決め、署名（ｒ,ｓ）を作成し
て、受信者に送る。すなわち、署名情報ｒ＝ｍ×ｇ^k modｐｓ＝ｋ＋ｍ×ｇ^k×ｘ modｑを作成して受信者に送る。

【０００７】ステップ３において、メッセージｍに対す
るデジタル署名（ｒ,ｓ）を受け取った受信者は、署名
者の公開鍵ｙを用いて、メッセージｍを計算する。すな
わち、ｒ×ｇ^(−ｓ)×ｙ^ｒ modｐ＝(ｍ×ｇ^k)×ｇ^(−ｋ−ｒ×ｘ)×ｇ^(ｘ×ｒ) modｐ＝ｍ×ｇ^(ｋ−ｋ−ｒ×ｘ＋ｘ×ｒ) modｐ＝ｍのように、署名者が正しい場合のみ、メッセージｍが復
元できる。

【０００８】図５と図６を参照して、第２の従来例の、
署名を検証する人を判別する情報を付加して署名検証者
を制限したデジタル署名を説明する。

【０００９】図５は、第２の従来例のNyberg-Rueppelメ
ッセージ復元型署名方式の機能ブロック図である。図５
において、公開手段501は、署名の作成と確認に必要な
公開鍵を配布する手段である。署名者502は、メッセー
ジに署名を付して送信する手段である。受信者503は、
署名を受信する手段である。検証者504は、メッセージ
の作成者を確認する手段である。第１メッセージ生成手
段505は、送信する第１メッセージを生成する手段であ
る。第２メッセージ生成手段506は、送信する第２メッ
セージを生成する手段である。署名情報作成手段507
は、メッセージに対する署名情報を作成する手段であ
る。送信手段508は、署名情報を受信者に送信する手段
である。受信手段509は、署名情報を署名者から受信す
る手段である。送信手段510は、署名情報を検証者に送
信する手段である。受信手段511は、署名情報を受信者
から受信する手段である。署名検証手段512は、署名情
報からメッセージを算出して確認する手段である。

【００１０】図６は、第２の従来例のNyberg-Rueppelメ
ッセージ復元型署名方式の動作を示す流れ図である。図
６において、ステップ１は、公開手段が公開鍵を公開す
る手順である。ステップ２は、署名者が署名を作成して
受信者に送る手順である。ステップ３は、受信者が署名
を検証者に送る手順である。ステップ４は、検証者が署
名を検証する手順である。

【００１１】上記のように構成された第２の従来例のNy
berg-Rueppelメッセージ復元型署名方式の動作を説明す
る。ステップ１において、公開手段は、公開鍵(ｐ,ｑ,
ｇ,ｙ _A,ｙ_B,ｙ_C)を公開する。ｐを十分大きな素数とす
る。ｑを（ｐ−１）の大きな素因数とする。ｇを整数環
Ｚ_p ^*における位数ｑの元とする。送信者（署名者）の秘
密鍵をｘ_A(整数環Ｚ_p ^*の元)とし、公開鍵をｙ_Aとする。
受信者の秘密鍵をｘ_B(整数環Ｚ_p ^*の元)とし、公開鍵を
ｙ_Bとする。署名検証者として指定する第３者（確認
者）の秘密鍵をｘ_C(整数環Ｚ_p ^*の元)とし、公開鍵をｙ_C
とする。秘密鍵ｘ_Aは署名者のもとで安全に管理され、
秘密鍵ｘ_Bは受信者のもとで安全に管理され、秘密鍵ｘ_C
は確認者のもとで安全に管理される。公開鍵ｙ_A,ｙ_B,ｙ
_Cとｐとｑとｇは公開される。すなわち、Ｚ_p ^*＝{１,２,・・・,ｐ−１} ｇ^ｑ modｐ＝１ｇ^ｑ' modｐ≠１（０＜ｑ'＜ｑ）ｙ_A＝ｇ^ｘ_A modｐｙ_B＝ｇ^ｘ_B modｐｙ_C＝ｇ^ｘ_C modｐである。

【００１２】ステップ２において、署名者は、署名検証
者を誰にするかという署名タイプを記述したメッセージ
ｍを作成する。ｍで示した署名タイプで署名されるメッ
セージをＭとする。送信者は、乱数ｋを選び、誰を署名
検証者とするかを決めてメッセージｍに書き込み、ａ
（ｙ_Aまたはｙ_Bまたはｙ_C）を選び、ｋとメッセージＭ,
ｍを用いて、署名(ｍ,ｒ,ｓ)を生成し、受信者に送る。
否認不可署名にする時は、ａに送信者の公開鍵ｙ_Aを代
入して署名を生成する。署名検証者を受信者に限定する
検証者制限署名の時は、ａにｙ_Bを代入して署名を生成
する。署名検証者を第３者にする検証者指定署名の時
は、ａにｙ_Cを代入して署名を生成する。すなわち、ｒ＝Ｍ×ａ^ｋ modｐｓ＝ｋ＋ｒ×ｍ×ｘ_A modｑを送る。

【００１３】ステップ３において、受信者は、メッセー
ジｍを見て、検証者に署名(ｍ,ｒ,ｓ)を渡す。

【００１４】ステップ４において、検証者は、秘密鍵ｘ
(ｘ_Aまたはｘ_Bまたはｘ_C)とメッセージｍと署名者の公
開鍵ｙ_Aを用いて、メッセージＭを検証する。すなわ
ち、ｒ×ａ^(−ｓ)×ｙ_A^(ｒ×ｍ×ｘ) modｐ＝(Ｍ×ａ^ｋ)×ａ^(−ｋ−ｒ₂×ｍ×ｘ_A)×ｙ_A^(ｒ₂×ｍ×ｘ) modｐ＝Ｍ×ａ^(−ｒ₂×ｍ×ｘ_A)×ｙ_A^(ｒ₂×ｍ×ｘ) modｐ＝Ｍ×ｇ^(−ｘ×ｒ₂×ｍ×ｘ_A＋ｘ_A×ｒ₂×ｍ×ｘ) modｐ＝Ｍ（∵ａ＝ｇ^ｘ modｐ）となり、署名者が正しい場合のみ、メッセージＭを復元
できる。

【００１５】図７と図８を参照して、第３の従来例のEl
Gamal協力署名（巡回署名）を説明する。この署名は、
２者（複数名）で１つの署名を作成する方法である。文
献１[宮崎真悟、石本関、新保淳、桜井幸一共著、「ElG
amal型協力署名の構成と鍵管理・鍵寄託システムへの応
用」、情報処理学会論文誌pp.2074-2082,Vol.38,no.10,
Oct.1997]に開示されている。

【００１６】図７は、第３の従来例のElGamal協力署名
方式の機能ブロック図である。図７において、公開手段
701は、署名の作成と確認に必要な公開鍵を配布する手
段である。第１署名者702は、第１メッセージに署名を
付して送信する手段である。第２署名者703は、第２メ
ッセージに署名を付して送信する手段である。署名検証
者704は、署名を受信してメッセージの作成者を確認す
る手段である。第１メッセージ生成手段705は、送信す
る第１メッセージを生成する手段である。暗号化メッセ
ージ作成手段706は、第１メッセージを暗号化する手段
である。第１署名情報作成手段707は、第１メッセージ
に対する署名情報を作成する手段である。送信手段708
は、第１署名情報を第２署名者に送信する手段である。
受信手段709は、第１署名情報を第１署名者から受信す
る手段である。第１メッセージ算出手段710は、第１署
名情報から第１メッセージを算出して確認する手段であ
る。第２署名情報作成手段711は、第２メッセージに対
する署名情報を作成する手段である。送信手段712は、
第２署名情報を第１署名者に送信する手段である。受信
手段713は、第２署名情報を第２署名者から受信する手
段である。第２メッセージ算出手段714は、第２署名情
報から第２メッセージを算出して確認する手段である。
第３署名情報作成手段715は、メッセージに対する署名
情報を作成する手段である。送信手段716は、第３署名
情報を署名検証者に送信する手段である。受信手段717
は、第３署名情報を第１署名者から受信する手段であ
る。署名検証手段718は、第３署名情報からメッセージ
を算出して確認する手段である。

【００１７】図８は、第３の従来例のElGamal協力署名
方式の動作を示す流れ図である。図８において、ステッ
プ１は、公開手段が公開鍵を公開する手順である。ステ
ップ２は、第１署名者が署名を作成して第２署名者に送
る手順である。ステップ３は、第２署名者が署名を作成
して第１署名者に送る手順である。ステップ４は、第１
署名者が署名を作成して検証者に送る手順である。ステ
ップ５は、検証者が署名を検証する手順である。

【００１８】上記のように構成された第３の従来例のEl
Gamal協力署名方式の動作を説明する。ステップ１にお
いて、公開手段は、公開鍵（ｐ,ｇ,ｙ）を公開する。ｐ
を十分大きな素数とする。ｇを整数環Ｚ_p ^*の原始根とす
る。第１署名者は秘密鍵ｘ₁(整数環Ｚ_p ^*の元)を持ち、
第２署名者は秘密鍵ｘ₂(整数環Ｚ_p ^*の元)を持つ。秘密
鍵ｘ₁は第１署名者のもとで安全に管理され、秘密鍵ｘ₂
は第２署名者のもとで安全に管理される。両者共通の公
開鍵はｙである。公開鍵ｙとｐとｇは公開される。すな
わち、Ｚ_p ^*＝{１,２,・・・,ｐ−１} ｇ^(ｐ−１) modｐ＝１ｇ^ｑ modｐ≠１（０＜ｑ＜ｐ−１）ｙ＝ｇ^(ｘ₁＋ｘ₂) modｐである。

【００１９】この従来例では、署名する鍵の選び方によ
り、署名鍵と検証鍵の対応する組合せが３通りできる。
すなわち、秘密鍵ｘ₁のみによる署名の確認には、秘密
鍵ｘ₂と公開鍵（ｐ,ｇ,ｙ）が必要である。秘密鍵ｘ₂の
みによる署名の確認には、秘密鍵ｘ₁と公開鍵（ｐ,ｇ,
ｙ）が必要である。秘密鍵ｘ₁、ｘ₂の協力署名の確認に
は、公開鍵（ｐ,ｇ,ｙ）が必要である。これらを各場面
で使い分ける。

【００２０】ステップ２において、第１署名者は、署名
を作成して送信する。乱数ｋ₁,Ｋを用意して、ｒ₁＝g^(-ｋ₁) modｐを作成し、乱数Ｋと、秘密鍵ｘ₂に対応する鍵(ｙ×ｇ^
(−ｘ₁))とを用いて、メッセージＭを暗号化したメッセ
ージ(Ｃ₁,Ｃ₂)を、ｒ₁とともにＳ₂に送る。すなわち、Ｃ₁＝ｇ^Ｋ modｐＣ₂＝Ｍ×(ｙ×ｇ^(−ｘ₁))^Ｋ modｐを送る。

【００２１】ステップ３において、第２署名者は、受信
したメッセージ(Ｃ₁,Ｃ₂)から、秘密鍵ｘ₂を使ってメッ
セージＭを復号する。すなわち、Ｍ＝Ｃ₂／Ｃ₁^ｘ₂ modｐを求める。取り出したメッセージＭとｒ₁と乱数ｋ₂か
ら、署名（ｒ₁₂,ｓ₂）を作成して第１署名者に送る。す
なわち、ｒ₁₂＝Ｍ×ｒ₁×ｇ^(−ｋ₂) modｐｓ₂＝ｋ₂−ｘ₂×ｒ₁₂ mod(ｐ−１) を送る。

【００２２】ステップ４において、第１署名者は、受信
した（ｒ₁₂,ｓ₂）から、メッセージＭを求める。すなわ
ち、ｓ₁＝ｋ₁−ｘ₁×ｒ₁₂ mod(ｐ−１) ｓ₁₂＝ｓ₁＋ｓ₂ mod(ｐ−１) を作成し、ｇ^ｓ₁₂×ｙ^ｒ₁₂×ｒ₁₂ modｐ＝ｇ^(ｋ₁−ｘ₁×ｒ₁₂＋ｋ₂−ｘ₂×ｒ₁₂) ×ｇ^{(ｘ₁＋ｘ₂)×ｒ₁₂} ×(Ｍ×ｇ^(-ｋ₁)×ｇ^(−ｋ₂)) modｐ＝ＭとしてＭを求めて、署名を確認する。さらに、（ｒ₁₂,
ｓ₁₂）を、検証を要求する検証者へ送る。

【００２３】ステップ５において、（ｒ₁₂,ｓ₁₂）と公
開鍵（ｐ,ｇ,ｙ）によって、誰でも署名を検証すること
ができる。

【００２４】図９と図10を参照して、第４の従来例のケ
ルベロス（Kerberos）システムを説明する。ケルベロス
は、サービスに対して、ユーザーの身元を証明する認証
方式である。図９は、従来のケルベロス（Kerberos）シ
ステムの機能ブロック図である。図９において、ユーザ
ー91は、ケルベロスシステムの利用者である。AS92は、
認証サーバーである。TGS93は、チケット発行サーバー
である。サービス機関94は、ユーザーに所定のサービス
を提供するシステムである。

【００２５】図10は、従来のケルベロス（Kerberos）シ
ステムの動作を示す流れ図である。図10において、TGS
用チケット要求1001は、ユーザーからASにTGS用チケッ
トの交付を要求する手続きである。TGS用チケット配送1
002は、ASからユーザーにTGS用チケットを配送する手続
きである。サービスチケット要求1003は、ユーザーがTG
Sにサービスチケットの交付を要求する手続きである。
サービスチケット配送1004は、TGSからユーザーにサー
ビスチケットを配送する手続きである。サービスチケッ
ト伝送1005は、ユーザーからサービス機関にサービスチ
ケットを伝送する手続きである。サービス提供1006は、
サービス機関がユーザーにサービスを提供する手続きで
ある。

【００２６】上記のように構成された第４の従来例のケ
ルベロス（Kerberos）システムの動作を説明する。認証
は、チケットと呼ばれる暗号化情報を用いて行われる。
図10に示すTGS用チケット要求1001では、ユーザーからA
SにTGS用チケットの交付を要求する。TGS用チケット配
送1002では、ASからユーザーにTGS用チケットを配送す
る。サービスチケット要求1003では、ユーザーがTGSに
サービスチケットの交付を要求する。サービスチケット
配送1004では、TGSからユーザーにサービスチケットを
配送する。サービスチケット伝送1005では、ユーザーか
らサービス機関にサービスチケットを伝送する。サービ
ス提供1006では、サービス機関がユーザーにサービスを
提供する。

【００２７】ケルベロスは、ユーザーと種々のサービス
機関間の認証に重きをおいているため、ユーザー間の通
信に用いた場合、暗号文作成者の署名ができないという
欠点があった。つまり、自分に不利な認証は否認できる
という欠点である。また、ユーザーと鍵（配送）サーバ
ーYAS間の秘密鍵が長期にわたって保管されるため、悪
質な攻撃にさらされやすいという欠点もあった。

【００２８】図11と図12を参照して、第５の従来例のヤ
シャ（Yaksha）システムを説明する。ヤシャ（Yaksha）
システムは、公開鍵を用いて、暗号文作成者の署名がで
きるようにした認証システムである。文献２[Rabi Gane
san:“The Yaksha SecuritySystem”, Communications
of the ACM, Vol39, No.3,pp.55-60, March,1996]およ
び文献２[Ganesan,R.:“Augmenting Kerberos with Pub
lic Key Cryptography” Proc.ISOC Symp. On Network
and Distributed System Security pp.132-143. (Feb.
1995)]には、Yakshaの詳細な説明がある。

【００２９】図11に、ヤシャ（Yaksha）のシステムを示
す。図11において、ユーザー1101は、ヤシャ（Yaksha）
システムの利用者である。YAS1102は、ヤシャ（Yaksh
a）認証サーバーである。YGS1103は、ヤシャ（Yaksha）
チケット発行サーバーである。サービス機関1104は、ユ
ーザーに所定のサービスを提供するシステムである。

【００３０】図12は、従来のヤシャ（Yaksha）システム
の動作を示す流れ図である。図12において、初期チケッ
ト（tgt＝ticket granting ticket）要求1201は、ユー
ザーからYASに初期チケットの交付を要求する手続きで
ある。初期チケット配送1202は、YASからユーザーに初
期チケットを配送する手続きである。サービスチケット
（s-ticket）要求1203は、ユーザーがYGSにサービスチ
ケットの交付を要求する手続きである。サービスチケッ
ト（s-ticket）配送1204は、YGSからユーザーにサービ
スチケットを配送する手続きである。サービスチケット
伝送1205は、ユーザーからサービス機関にサービスチケ
ットを伝送する手続きである。サービス提供1206は、サ
ービス機関がユーザーにサービスを提供する手続きであ
る。

【００３１】上記のように構成された第５の従来例のEl
Gamal署名を用いたヤシャ（Yaksha）システムの動作を
説明する。図12に示す初期チケット要求プロトコル（as
_req）1201では、C１ID,tgs,time-exp,[[TEMP-CERT]^D
c,n]^Dcを送る。C１IDは、ユーザーのＩＤである。tgs
は、サービスチケットを発行するYGSのＩＤである。tim
e-expは、チケットの有効期限である。TEMP-CERTは、一
時的な証明書で、C1,E_c-temp,N_c-temp,expiry-timeを
含む。E_c-temp,N_c-tempは、一時的なユーザーの公開
鍵ペアーで、ユーザーの長期の秘密鍵Dcで署名がされて
いる。TEMP-CERTの辞書攻撃をさけるため、乱数ｎを連
接して、更にユーザーの秘密鍵で巡回署名（JS1処理）
で署名がなされる。辞書攻撃とは、本来、パスワードな
どを、辞書に載っている言葉を片端から当てはめて、パ
スワードを推定することを言うが、ここでは、 [TEMP-CERT]^guess＝[TEMP-DERT]^Dc となるかどうかを試みて、Dcの値を推測することを言
う。

【００３２】ユーザーから、鍵共有のための鍵要求を受
けたYASは、ユーザーとサービス機関の間で使用する共
通鍵Ｋを暗号化（署名）して配送する。YASは、YASの秘
密鍵でTEMP-CERTを復号し、内容を確認して、その後、Y
ASの秘密鍵Dcyで巡回署名(JS2処理)する。[[TEMP-CERT]
^Dc]^Dcyが得られる。これを、初期チケット配送（as_r
ep）1202で、ユーザーへ戻す。

【００３３】これは誰でも検証できる署名であるので、
RSA署名で署名されておれば、ユーザーも検証できる。E
lGamal署名で署名されておれば、JS2処理が終わった段
階であるので、JS3処理が終了しないと、ユーザーは検
証できない。ユーザーはJS3処理を行ない、検証後、認
証子（ｒ₁₂,ｓ₁₂）を生成してYGSへ送る。ユーザーは、
これをYGSへ、サービスチケット要求（tgs_req）1203で
送る。

【００３４】YGSは、受け取った認証子（ｒ₁₂,ｓ₁₂）を
検証して、TEMP-CERTを取り出し、メッセージがユーザ
ーとYASによってすでに認証されていることを確認す
る。したがって、[TEMP-CERT]の巡回署名は、ElGamal署
名でも可能である。

【００３５】ところで、プロトコル１（as_req）で、YA
Sサーバーは初期チケット（tgt＝ticket granting tick
et）を発行し、プロトコル２（as_rep）で、ユーザーに
返す。この中身にT_c,tgsなるtgtチケットが含まれ、RS
A方式で巡回署名するときは、YASサーバーの巡回署名の
１回目の署名処理（JS1処理）がなされ、[T_c,tgs]^Dcy
で表される。ここで、DcyはYASサーバーの署名用秘密鍵
である。Yakshaのプロトコルでは、そのままユーザーは
プロトコル３でYGSサーバーに転送する。そこで、YGSサ
ーバーは、署名確認（JS2処理）と同時に、第２の署名
をする。第２の署名がなされたあとは、その巡回署名が
RSAでなされておれば、誰でも検証できる署名となって
いるので、ユーザーにプロトコル４で戻ったとき、ユー
ザーが確認することができる。しかし、プロトコル４が
何らかの原因で第３者に漏洩すると、チケットの内容を
誰でもが復元できて危険である。

【００３６】ここで、拡張されたRSA署名方式について
説明する。RSA署名方式の公開鍵と秘密鍵の関係は、ｄ₁・ｄ₂・ｅ₁＝１ modφ(ｎ) となる。ただし、ｄ₁,ｄ₂は秘密鍵であり、(ｅ₁,ｎ)は
公開鍵であり、ｎ＝ｐ×ｑであり、ｐ,ｑは素数であり、 φ(ｎ)＝LCM{(p-1)(q-1)} である。ｄ₁,ｄ₂は、それぞれクライアントとサーバー
が知っているものとする。公開鍵(ｅ₁,ｎ)は、外部のも
のを含む全員が知っているものとする。

【００３７】クライアントが単独で行った署名（ｍ^
ｄ₁）を確認できるのは、ｄ₂と(ｅ₁,ｎ)の両方を知って
いるサーバーのみである。これは、クライアントによる
一種の暗号ともいえる。これをJS1処理と呼ぶ。

【００３８】クライアントが署名した暗号文に、サーバ
ーが更に署名（JS2処理）した場合は、公開鍵(ｅ₁,ｎ)
を用いて、誰でも署名ｍ^(ｄ₁×ｄ₂)の検証ができるこ
とになる。RSAの場合はJS1,JS2の２つの処理で署名が完
成する。

【００３９】ところで、Yakshaでは、[TEMP-CERT]をRSA
巡回署名して、ユーザーとYASサーバーを相互認証して
いる。これは、ユーザーが正当なユーザーであることを
YASサーバーに認証してもらって、その検証結果（証
拠）をYGSサーバーに示すのが目的である。

【００４０】また、tgtに関してRSA巡回署名を用いて、
YASサーバーとYGSサーバーを相互認証している。これ
は、YASサーバーが、YGSサーバーに対して、偽のYASサ
ーバーでない正統なサーバーが発行した正当なチケット
であることを示すためである。

【００４１】ところが、RSA暗号を署名に用いると、一
般に1024ビット規模の演算回路あるいはソフトウェアが
必要で、回路規模や演算時間の点で好ましくない。これ
を160ビット規模程度で実行できる楕円ElGamal暗号を用
いる要求が強い。先の文献１には、ElGamal署名で行な
う提案がある。これを楕円曲線上の演算に対応させれ
ば、楕円ElGamal署名を実現できる。しかし、楕円ElGam
al署名を巡回署名とすると、一巡半（JS1処理からJS3処
理まで）のプロトコルが必要となる。これを、このYaks
haのサーバーに当てはめると、YASサーバーがtgtチケッ
トを発行し、JS1処理をし、ユーザーがYGSサーバーへ転
送し、YGSサーバーがこれを検証後、第２の署名（JS2処
理）をし、ユーザーへ送り返しても、これをYASサーバ
ーへ送り返さなければ、最終検証処理（JS3処理）がで
きず、署名が完成しない。つまり、ユーザーは、YASサ
ーバーとYGSサーバーが認証したことを確認できない。
確認するためには、余計なプロトコル、つまりJS2処理
の終わった署名をYASへ送り、JS3処理をして送り返して
もらい、ユーザーがもっているチケットが確かにYASが
発行したものであることを検証してもらう必要がある。

【００４２】ここで、有限体ＧＦ(ｑ)上の楕円曲線上の
演算を利用した楕円暗号について説明する。楕円暗号
は、有限体ＧＦ(ｑ)上の演算を、楕円曲線上の点の間の
演算へ変換したものである。演算量が同じなら、楕円曲
線上で定義された暗号は、安全性が高い。現時点では、
安全性の根拠となる楕円曲線上の離散対数問題に決定的
な解法（つまり暗号攻撃）がないからである。同程度の
安全性ならば、有限体上の暗号方式より簡単高速にな
る。例えば、演算パラメータサイズが1024ビットのRSA
と160ビットのサイズの楕円暗号が同程度の安全性を持
つと考えられている。

【００４３】楕円曲線上のElGamal暗号を説明する。有
限体ＧＦ(ｑ)上で定義された楕円曲線Ｅを選ぶ。ここ
で、ｑは素数ｐのｒ乗である。通常の有限体の単位元１
は、楕円曲線では無限遠点Ｏに対応する。有限体上の元
の間の乗法は、楕円曲線上の点の間の加法になり、整数
ベキ乗は、楕円曲線では整数乗算となる。楕円曲線Ｅ上
の点ＰとＱの加算Ｐ＋Ｑは、ＰとＱを通る直線（Ｐ＝Ｑ
の時はＰにおける接線）と楕円曲線Ｅとの交点をＲとし
た時、ｘ軸に対してＲと対称な楕円曲線Ｅ上の点（−
Ｒ）と定義される。図13に、実数体上の楕円曲線上の点
の加算方法を表した模式図を示す。有限体上の楕円曲線
をグラフで示すことは不可能であるが、計算方法は実数
体上の楕円曲線と同様である。この加法により、有限体
上の楕円曲線上の点の集合は、有限アーベル群となる。

【００４４】Ｇを楕円曲線Ｅ上の位数の大きい点とす
る。楕円曲線Ｅと点Ｇを公開する。ユーザーＡ、Ｂは、
秘密情報(整数)ｘ_A,ｘ_Bを持ち、公開鍵Ｙ_A,Ｙ_Bを、Ｙ_A＝ｘ_A＊ＧＹ_B＝ｘ_B＊Ｇとする。＊は、楕円曲線Ｅ上の点の整数倍演算を示す。

【００４５】ユーザーＡからユーザーＢへメッセージを
送る場合は、メッセージを楕円曲線Ｅ上の点Ｍに対応さ
せる。ユーザーＡは、秘密の乱数ｋ（整数）を選び、ユ
ーザーＢの公開鍵Ｙ_Bを使って、暗号文Ｃ1＝ｋ＊ＧＣ2＝Ｍ＋ｋ＊Ｙ_B を生成する。ユーザーＡはユーザーＢに、暗号文（Ｃ1,
Ｃ2）を送る。

【００４６】暗号文（Ｃ1,Ｃ2）を受信したユーザーＢ
は、自分の秘密鍵ｘ_Bを用い、Ｃ2−ｘ_B＊Ｃ1＝Ｍのようにして、Ｍを復号し、メッセージを得る。

【００４７】このように、有限体の元を楕円曲線上の点
に対応させ、有限体の乗法を楕円曲線上の点の加法に対
応させ、べき乗を乗算に置き換えて、有限体の離散対数
問題を楕円曲線上の離散対数問題に変換する。有限体上
の署名方法を、楕円曲線上の署名方法に直に対応させよ
うとすると、楕円曲線上の点と整数との加算や、楕円曲
線上の点同士の乗算が必要になり、そのままでは実現で
きない。これを解決する方法として、特開平5-160828号
公報に開示された「楕円曲線を用いたネットワーク利用
の秘密通信及び署名通信方法」には、楕円曲線から整数
環への適当な写像ｕを導入して、楕円曲線上の点Ｒのｕ
による像ｕ(Ｒ)を利用して、有限体上の署名通信方式
を、楕円曲線上の署名通信方式に変換する技術が紹介さ
れている。

【００４８】

【発明が解決しようとする課題】しかし、上記従来の署
名方式では、ElGamal署名を、もとのKerberosのプロト
コルを崩さずに、ヤシャ（Yaksha）システムに適用する
ことができないという問題があった。つまり、ElGamal
署名を適用すると処理が複雑になり、JS1処理からJS3処
理までの処理を行なわないと署名と検証が完成しない。
また、第２の従来例のNyberg-Rueppelメッセージ復元型
署名方式では、第２のメッセージを使って署名種別を受
信者に送る必要があるので、第２のメッセージを自由に
利用することができないという問題があった。すなわ
ち、ElGamal署名の１ブロックは160ビットなので漢字で
10文字分しかなく、第２の従来例では、署名種別を告げ
るためのみにほぼ使い切ってしまい、タイムスタンプな
どの情報を入れるのが難しい。何度かに分けて繰り返し
て送信すると時間遅延が増大し、1024ビットを扱うRSA
署名との差異が少なくなり、利点がなくなる。

【００４９】本発明は、上記従来の問題を解決して、検
証者限定型のメッセージ回復型Nyberg-Rueppel署名を用
いて、もとのKerberosのプロトコルを崩さず、YASサー
バーをYGSサーバーが安全に認証できるようにすること
を目的とする。

【００５０】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、ユーザーと、第１サーバーと、第２
サーバーと、公開鍵公開手段とを有し、ユーザーおよび
端末を認証して暗号通信し情報サービスまたは通信サー
ビスを提供するシステムの認証方式の公開鍵公開手段
に、有限体上の楕円曲線Ｅと楕円曲線Ｅ上の点Ｇと第１
公開鍵Ｙ_Aと第２公開鍵Ｙ_Bとを公開鍵として公開する手
段を備え、第１サーバーに、第１秘密鍵ｘ_Aを秘密に保
持する手段と、秘密のチケットを楕円曲線Ｅ上の点に対
応させて第１メッセージＭとして作成する手段と、第２
メッセージｍを作成する手段と、乱数ｋを生成する手段
と、第1署名情報Ｒを作成する手段と、第２署名情報ｓ
を作成する手段と、第２メッセージｍと第１署名情報Ｒ
と第２署名情報ｓとをユーザーに送る手段とを備え、ユ
ーザーに、第２メッセージｍと第１署名情報Ｒと第２署
名情報ｓとを受信して第２サーバーに送信する手段を備
え、第２サーバーに、第２秘密鍵ｘ_Bを秘密に保持する
手段と、第２メッセージｍと第１署名情報Ｒと第２署名
情報ｓとを受信する手段と、第２メッセージｍと第１署
名情報Ｒと第２署名情報ｓと第２秘密鍵ｘ_Bと公開鍵と
から第１メッセージＭを復元して署名を検証する手段と
を備えた構成とした。

【００５１】このように構成したことにより、Nyberg-R
ueppelメッセージ復元型署名を使って、受信者を署名確
認者に指定することで、２つの鍵サーバーの間で、実質
的に２ステップで署名の認証ができ、メッセージの安全
も確保できる。

【００５２】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１と図２を参照しながら詳細に説明する。

【００５３】（実施の形態）本発明の実施の形態は、YA
Sが、署名検証者をYGSに指定して、初期チケットとタイ
ムスタンプに署名をして、ユーザーを介してYGSに送
り、YGSが署名を検証する認証方式である。

【００５４】図１は、本発明の実施の形態における認証
方式の機能ブロック図である。図１において、公開手段
101は、署名の作成と確認に必要な公開鍵を配布する手
段である。送信者102は、メッセージに署名を付して送
信する手段である。受信者103は、受信した署名情報か
らメッセージを復元して署名を確認する手段である。

【００５５】第１メッセージ生成手段104は、送信する
第１メッセージを生成する手段である。第２メッセージ
生成手段105は、送信する第２メッセージを生成する手
段である。署名情報作成手段106は、メッセージに対す
る署名情報を作成する手段である。送信手段107は、署
名情報を、ユーザーを介して受信者に送信する手段であ
る。受信手段108は、署名情報を受信する手段である。
署名検証手段109は、署名情報からメッセージを算出し
て確認する手段である。

【００５６】図２は、本発明の実施の形態における認証
方式の動作を示す流れ図である。図２において、ステッ
プ１は、公開手段による公開鍵の公開手順である。ステ
ップ２は、送信者による署名情報の生成手順である。ス
テップ３は、受信者による署名検証手順である。

【００５７】上記のように構成された本発明の実施の形
態における認証方式の動作を説明する。この例は、２つ
のメッセージを持つNyberg-Rueppelメッセージ復元型署
名を使用し、さらに検証者を受信者（YGS）に限定し、Y
GSだけが検証確認できるようにしてセキュリティを高め
たものである。

【００５８】ステップ１において、公開手段101は、Ｇ
Ｆ(ｐ)上で定義された楕円曲線Ｅを選ぶ。ｐは素数であ
る。楕円曲線Ｅ上の点で位数の大きな点Ｇを選ぶ。点Ｇ
の位数をｎとする。すなわち、ｎ＊Ｇ＝Ｏ（無限遠点）
である。送信者YASは、秘密鍵（整数）ｘ_A(０＜ｘ_A＜
ｎ)を生成し、秘密に保持する。受信者YGSは、秘密鍵
（整数）ｘ_B(０＜ｘ_B＜ｎ)を生成し、秘密に保持する。
送信者YASと受信者YGSは、それぞれ公開情報Ｙ_A,Ｙ_B Ｙ_A＝ｘ_A＊ＧＹ_B＝ｘ_B＊Ｇを生成して公開手段101に送る。公開手段101は、楕円曲
線Ｅと点Ｇと送信者公開鍵Ｙ_Aと受信者公開鍵Ｙ_Bを、公
開鍵（Ｅ,Ｇ,Ｙ_A,Ｙ_B）として送信者と受信者に送り公
開する。

【００５９】署名される第１メッセージを、初期チケッ
ト（tgt）とする。YASからYGSへの第２メッセージをｍ
とする。第２メッセージｍには、例えば署名した時刻情
報を記述する。その他、第２メッセージｍは、システム
の利便性や安全性を高めるためなどの目的に応じて自由
に利用することができる。すなわち、第２メッセージｍ
（160ビット）は、第２の従来例では署名種別告知でほ
ぼ使い切ってしまい、タイムスタンプなどの情報を入れ
るのが難しく、何度かに分けて繰り返して送信すると時
間遅延が増大し、1024ビットを扱うRSA署名との差異が
少なくなって利点がなくなるが、本実施の形態の第２メ
ッセージｍは、すべて自由に活用できる。

【００６０】ステップ２において、送信者は、第１メッ
セージを楕円曲線Ｅ上の点Ｍに対応させる。乱数（整
数）ｋを生成して、Ｍと第２メッセージｍ（整数）と受
信者公開鍵Ｙ_Bと乱数ｋと送信者秘密鍵ｘ_Aを用いて、署
名情報（ｍ,Ｒ,ｓ）を作る。すなわち、Ｒ＝Ｍ＋ｋ＊Ｙ_B ｓ＝ｋ＋ｒ_x×ｘ_A×ｍ modｎを計算する。ここで、Ｒ＝(ｒ_x,ｒ_y) とする。すなわち、ｒ_x,ｒ_yは、それぞれＲのｘ成分と
ｙ成分であるので、ＧＦ(ｐ)の元であり、０≦ｒ_x,ｒ_y
＜ｐの整数である。ｓは整数演算のみで求まる。送信者
は、署名情報（ｍ,Ｒ,ｓ）を、ユーザーを介して受信者
に送る。

【００６１】ステップ３において、受信者（確認者）
は、署名情報（ｍ,Ｒ,ｓ）を受信すると、署名情報
（ｍ,Ｒ,ｓ）と公開鍵（Ｅ,Ｇ,Ｙ_A,Ｙ_B）と受信者秘密
鍵ｘ_Bを用いて、署名を検証する。すなわち、Ｒ＋(−ｓ)＊Ｙ_B＋(ｒ_x×ｍ×ｘ_B)＊Ｙ_A ＝(Ｍ＋ｋ＊Ｙ_B)＋((−ｋ−ｒ_x×ｘ_A×ｍ)×ｘ_B)＊Ｇ＋(ｒ_x×ｍ×ｘ_B×ｘ_A)＊Ｇ＝Ｍのように計算してＭが求まり、第１メッセージが得られ
る。このように、受信者YGSのみが署名検証を実行で
き、送信者YASが正しく署名した場合のみ、第１メッセ
ージを取り出すことができる。

【００６２】なお、初期チケット（tgt）に署名を付し
て送信する場合のみを説明したが、サービスチケットの
認証にも、同様に適用できることは明らかである。その
場合は、YGSをサービス機関が認証することとなる。

【００６３】上記のように、本発明の実施の形態では、
認証方式を、YASが、署名検証者をYGSに指定して、初期
チケットとタイムスタンプに署名をして、ユーザーを介
してYGSに送り、YGSが署名を検証する構成としたので、
YASをYGSが簡単な手順で安全に認証できる。

【００６４】

【発明の効果】以上の説明から明らかなように、本発明
では、ユーザーと、第１サーバーと、第２サーバーと、
公開鍵公開手段とを有し、ユーザーおよび端末を認証し
て暗号通信し情報サービスまたは通信サービスを提供す
るシステムの認証方式の公開鍵公開手段に、有限体ＧＦ
(ｐ)上の楕円曲線Ｅと楕円曲線Ｅ上の点Ｇと第１公開鍵
Ｙ_Aと第２公開鍵Ｙ_Bとを公開鍵として公開する手段を備
え、第１サーバーに、第１秘密鍵ｘ_Aを秘密に保持する
手段と、秘密のチケットを楕円曲線Ｅ上の点に対応させ
て第１メッセージＭとして作成する手段と、第２メッセ
ージｍを作成する手段と、乱数ｋを生成する手段と、第
1署名情報Ｒを作成する手段と、第２署名情報ｓを作成
する手段と、第２メッセージｍと第１署名情報Ｒと第２
署名情報ｓとをユーザーに送る手段とを備え、ユーザー
に、第２メッセージｍと第１署名情報Ｒと第２署名情報
ｓとを受信して第２サーバーに送信する手段を備え、第
２サーバーに、第２秘密鍵ｘ_Bを秘密に保持する手段
と、第２メッセージｍと第１署名情報Ｒと第２署名情報
ｓとを受信する手段と、第２メッセージｍと第１署名情
報Ｒと第２署名情報ｓと第２秘密鍵ｘ_Bと公開鍵とから
第１メッセージＭを復元して署名を検証する手段とを備
えた構成とした。

【００６５】このように構成したことにより、Yakshaシ
ステムにNyberg-Rueppelメッセージ復元型署名を使っ
て、２つの鍵サーバーの間で実質的に２ステップでtgt
チケット署名などの認証ができるという効果が得られ
る。さらに、受信者を署名確認者に指定することで、認
証子の情報が漏洩しても、確認して欲しい相手以外復号
ができず、認証機構の安全性を高めることができるとい
う効果が得られる。

【００６６】また、第２メッセージを時刻情報としたの
で、正しい時刻情報でないと署名が検証できず、認証の
精度が高まるという効果が得られる。なお、第２メッセ
ージは、時刻情報以外にも、目的に応じて自由に利用で
きるので、システムの安全性や利便性を高めることがで
きる。すなわち、第２の従来例では、漢字10文字分の第
２メッセージを署名種別告知にほぼ使い切ってしまい、
タイムスタンプなどの情報を入れるのが難しい。他の情
報を含めた第２メッセージを何度かに分けて繰り返して
送信すると時間遅延が増大し、1024ビットを扱うRSA署
名との差異が少なくなって利点がなくなる。それに対し
て本発明では、第２メッセージを自由に活用でき、時間
遅延なく安全性や利便性を高めることができるという効
果が得られる。

【図面の簡単な説明】

【図１】本発明の実施の形態における認証方式の機能ブ
ロック図、

【図２】本発明の実施の形態における認証方式の動作を
示す流れ図、

【図３】従来のNyberg-Rueppelメッセージ復元型署名方
式の機能ブロック図、

【図４】従来のNyberg-Rueppelメッセージ復元型署名方
式の動作を示す流れ図、

【図５】従来の署名検証者を制限したNyberg-Rueppelメ
ッセージ復元型署名方式の機能ブロック図、

【図６】従来の署名検証者を制限したNyberg-Rueppelメ
ッセージ復元型署名方式の動作を示す流れ図、

【図７】従来のElGamal協力署名（巡回署名）方式の機
能ブロック図、

【図８】従来のElGamal協力署名（巡回署名）方式の動
作を示す流れ図、

【図９】従来のケルベロス（Kerberos）システムの機能
ブロック図、

【図１０】従来のケルベロス（Kerberos）システムの動
作を示す流れ図、

【図１１】従来のヤシャ（Yaksha）システムの機能ブロ
ック図、

【図１２】従来のヤシャ（Yaksha）システムの動作を示
す流れ図、

【図１３】従来の楕円曲線上の点の加法を示す図であ
る。

【符号の説明】

101 公開手段 102 送信者 103 受信者 104 第１メッセージ生成手段 105 第２メッセージ生成手段 106 署名情報作成手段 107 送信手段 108 受信手段 109 署名検証手段 301 公開手段 302 署名者 303 受信者 304 メッセージ生成手段 305 署名情報作成手段 306 送信手段 307 受信手段 308 メッセージ算出手段 501 公開手段 502 署名者 503 受信者 504 検証者 505 第１メッセージ生成手段 506 第２メッセージ生成手段 507 署名情報作成手段 508 送信手段 509 受信手段 510 送信手段 511 受信手段 512 署名検証手段 701 公開手段 702 第１署名者 703 第２署名者 704 署名検証者 705 第１メッセージ生成手段 706 暗号化メッセージ作成手段 707 第１署名情報作成手段 708 送信手段 709 受信手段 710 第１メッセージ算出手段 711 第２署名情報作成手段 712 送信手段 713 受信手段 714 第２メッセージ算出手段 715 第３署名情報作成手段 716 送信手段 717 受信手段 718 署名検証手段 91 ユーザー 92 ＡＳ 93 ＴＧＳ 94 サービス機関 1001 TGS用チケット要求 1002 TGS用チケット配送 1003 サービスチケット要求 1004 サービスチケット配送 1005 サービスチケット伝送 1006 サービス提供 1101 ユーザー 1102 認証サーバー 1103 チケット発行サーバー 1104 サービス機関 1201 初期チケット要求 1202 初期チケット配送 1203 サービスチケット要求 1204 サービスチケット配送 1205 サービスチケット伝送 1206 サービス提供

Claims

【特許請求の範囲】

【請求項１】ユーザーと、第１サーバーと、第２サー
バーと、公開鍵公開手段とを有し、ユーザーおよび端末
を認証して暗号通信し情報サービスまたは通信サービス
を提供するシステムの認証方式において、前記公開鍵公
開手段は、有限体ＧＦ(ｐ)（ｐは素数）上の楕円曲線Ｅ
と楕円曲線Ｅ上の点Ｇ（位数ｎ）と第１公開鍵Ｙ_A（＝
ｘ_A＊Ｇ、＊はＥ上の点の整数倍演算）と第２公開鍵Ｙ_B
(＝ｘ_B＊Ｇ)とを公開鍵（Ｅ,Ｇ,Ｙ_A,Ｙ_B）として公開す
る手段を備え、前記第１サーバーは、第１秘密鍵（整
数）ｘ_Aを秘密に保持する手段と、秘密のチケットを前
記楕円曲線Ｅ上の点に対応させて第１メッセージＭとし
て作成する手段と、第２メッセージｍ（整数）を作成す
る手段と、乱数ｋ（整数）を生成する手段と、第1署名
情報Ｒ(＝Ｍ＋ｋ＊Ｙ_B)を作成する手段と、第２署名情
報ｓ(＝ｋ＋ｒ_x×ｘ_A×ｍ modｎ、ｒ_xはＲのｘ成分)を
作成する手段と、前記第２メッセージｍと前記第１署名
情報Ｒと前記第２署名情報ｓとを前記ユーザーに送る手
段とを備え、前記ユーザーは、前記第２メッセージｍと
前記第１署名情報Ｒと前記第２署名情報ｓとを受信して
前記第２サーバーに送信する手段を備え、前記第２サー
バーは、第２秘密鍵（整数）ｘ_Bを秘密に保持する手段
と、前記第２メッセージｍと前記第１署名情報Ｒと前記
第２署名情報ｓとを受信する手段と、前記第２メッセー
ジｍと前記第１署名情報Ｒと前記第２署名情報ｓと前記
第２秘密鍵ｘ_Bと前記公開鍵とから前記第１メッセージ
Ｍを復元して署名を検証する手段とを備えたことを特徴
とする認証方式。
【請求項２】前記第２メッセージを時刻情報としたこ
とを特徴とする請求項１記載の認証方式。