JP2002515128A

JP2002515128A - 秘密キー証明書

Info

Publication number: JP2002515128A
Application number: JP51311896A
Authority: JP
Inventors: ブランズ，ステファヌス・アルフォンスス
Original assignee: ブランズ，ステファヌス・アルフォンスス
Priority date: 1994-10-14
Filing date: 1995-10-12
Publication date: 2002-05-21
Also published as: ES2170167T3; DK0786178T3; ATE211870T1; WO1996012362A3; US5606617A; PT786178E; WO1996012362A2; DE69524968D1; EP0786178A1; AU3755695A; CA2200592A1; EP0786178B1; AU705406B2

Abstract

(57)【要約】秘密キー証明書を形成し発行する、暗号学的方法及び装置が、開示されている。公共キー証明書の周知の暗号学的技法においては、公共キー証明書は、証明書交付局による公共キーへのデジタルな署名であるが、それとは違って、公共キー及び対応する秘密キー証明書からなる対は、誰によっても生成されることができる。しかし、秘密キー、照合する公共キー、およびこの公共キーに対応する秘密キー証明書からなる三つ組は、証明書交付局が参加する場合においてのみ、生成されることができる。さらに、秘密キー証明書の、公共キー名簿および制限的発行手続きへの応用もまた、説明されている。

Description

【発明の詳細な説明】秘密キー証明書発明の背景１．発明の分野本発明は暗号技術、特に公共キー暗号法に基づく、証明書概型を実施するための方法及び装置に関する。２．背景技術公共キー証明書は、通常単に証明書と呼ばれ、安全なキー管理にとって重要な暗号道具である。その概念は、ある特別に任命された当事者（一般に証明書交付局と呼ばれる）が、それ自身の秘密キーで、他の当事者たちの公共キーにデジタルな署名をすることによって、これら他の当事者たちの公共キーを証明するということである。様々な媒体を通じて、証明書交付局のこの公共キーを広く流布することによって、誰でも、それが真正であると確信することができる。公共キー証明書は、証明書交付局による、公共キーへのデジタルな署名であるので、他の当事者の公共キーに関する証明書は、証明書交付局のこの公共キーを使って、誰でも検証できる。実質的な効果は、他人に扮する詐欺行為や同様の攻撃を防ぐことができるということである。実際の応用に当たっては、証明書交付局の証明書は、付加的な情報を証明できるし、また多分証明すべきであろう。一片の証明書は、公共キーと並んで、この公共キーに結びつく、当事者の名前、雇用主、電話番号、電子メール住所、そして利用権のリスト等の情報を、証明することが可能である。この証明書発行過程の実用性を容易にするため、公共キーを、階層構造に従って、再帰的に証明することができる。例えば、電子現金システムにおいて、主要銀行が、すべての地方銀行の公共キーを、証明することができる。地方銀行は他方、この証明された公共キーを使って、ＰＯＳ端末における公共キーを、証明することができる。そしてＰＯＳ端末での公共キーに対応する、秘密キーを、ホストから送られる情報を解読するために、使うことができる。階層的な証明書交付過程は、樹を構築するようなものと考えられる。この時、各ノードは、一つの公共キー、及びこの公共キーに関する証明書を、含んでいる。一つ一つのノードにおける公共キーに関する、証明書は、このキーへの署名である。そしてこのデジタルな署名は、親ノードに結びつく当事者が、この親ノードの公共キーに対応する、秘密キーを適用することによって、計算したものである。誰でも、再帰的に、ルートノードから、検証すべき公共キーが属するノードまで、下降することによって、この公共キーの正当性を検証することができる（あるいは逆にルートノードまで上昇することによって）。しばしば暗に提案されている、証明書交付の階層は、暗号キーの寿命から導かれるものである。則ち、攻撃により脆弱なキーはより頻繁に変更され、より長い寿命を持ったキーにより証明される。公共キーは、いわゆる公共キー名簿に記載され、公共キー名簿はＣＤ−ＲＯＭやその他の媒体で提供される。他の当事者に宛てる通信を暗号化するためには、この他の当事者の公共キーを、公共キー名簿の中に探し出し、証明書の正当性を検証し、この通信を、この公共キーで暗号化すればよい。それからこの他の当事者に送ることができ、当事者双方の間に、何ら折衝の必要はない。このようにして、例えば、暗号化された電子メールを、コンピューターネットワークを通じて送ることができる。このような証明書の機構が、公共キー名簿の保全を不必要にするため、公共キーは、必ずしも公共キー名簿に掲載されている必要はない。公共キーは、そのキーに結びつく当事者、あるいは必ずしも信頼できなくてもよい、任意の当事者、例えば、コンピューターネットワークのサーバーの依頼に応じて、（証明書とともに）送ってもよい。信任状転送用の暗号学的機構においては、発行時の証明書交付局が、ユーザーの公共キーに関する、証明書を発行することができる。発行する信任状のタイプは、例えば、証明書交付局が計算する署名のタイプによって、表すことができる。従って、ユーザーが信任状を受取人に転送する場合、ユーザー自身の、証明された公共キーに対応する、秘密キーを使って、受取人の身分や取引の明細のような情報を記述している、受取人の通信に、デジタルな署名をすることができる。ここで、この証明書は、受取人に当てる信任状が、法律的に有効であることを証明する一方、ユーザーによってなされる署名は、ユーザーが受取人に進んでこの信任状を送ったということを証明する。信任状の、プライバシーが保護された転送のためには、証明書交付局によって発行される情報は、発行手続きの執行に関連させてはならない。ユーザーが、証明書交付局と折衝しながら、発行手続きを隠蔽することができる、特別の技法は、いくつか知られている。重要であるとともに役に立つ一方で、公共キー証明書の技法は、それに伴う若干の問題を有している。その第一はプライバシーに関することである。近い将来に使用可能となる様々な電子システムの供給者が、システムに参加する人に対して、その人の公共キーを証明する前に、一定の基準を満たすことを要求するであろうことは考えられることである。これらの基準には、社会的地位、収入、職種、信頼性等が含まれるであろう。公共キー証明書は、公共キーへの、証明書交付局のデジタルな署名であるので、公共キーと証明書からなる一対は、あるシステムにどの当事者が参加していて、どの当事者が参加していないかということを公表する。このことは、どの当事者が、証明書交付局によって定められた基準を満たし、どの当事者が満たさない可能性があるかということを、明らかにする。同様に、公共キーとともに証明される可能性のある、雇用主、電話番号、利用権等の付加的な情報の信憑性も公表される。その結果、公共キー証明書は、誰でも、証明済みの公共キーが集められたリスト、例えば公共キー名簿を探し回って、その中から、他の当事者の人物像を引き出すことができるようにする。この問題は、公共キー名簿を使う代わりに、参加者に、依頼に応じてのみ公共キーを送らせるようにしても、取り除けない。第二の問題は、公共キー名簿の出版が、知られているかまたは選ばれた公共キーへの、証明書交付局の大量のデジタルな署名を、公表するということである。知られているデジタル署名概型のほとんどは、知られているまたは（適応的に）選択される攻撃にたいして、安全であると信じられているが、ごくわずかの署名概型だけが、本質的に逆関数を実際に求められない関数の存在を仮定すれば、安全であると証明されているだけである。不幸にして、これらの概型は、現在のところ、大規模に使用するには実用的でない。公共キー名簿は莫大な数の見出しを含むことになるので、証明書交付局は効率的な署名概型を使わなければならない。このことから、公共キー名簿に掲載されている署名が、証明書交付局の署名概型を破ろうとする試みを、助けることになるかもしれない。すなわち、これらの署名が、知られているかまたは（適応的に）選択される通信攻撃を仕掛けるために、使われるかもしれない。この問題も同様、公共キー名簿を使う代わりに、参加者に、依頼に応じてのみ公共キーを送らせるようにしても、取り除けない。第三の問題は、信任状の、プライバシーが保護された転送のための機構において、公共キー証明書発行手続きを隠蔽することにある（公共キー暗号法における、隠蔽技法の議論に関しては、例えばＣｈａｕｍのＵＳ特許Ｎｏ．４，７５９，０６３を参照せよ）。多くの状況において、証明書交付局は、ユーザーがその核心部の内容を隠蔽できることを、好まない。むしろ、発行情報の中で、ユーザーの隠蔽操作によって変更できないような情報を、符号化しようとするであろう。例えば、匿名で信任状を転送する機構において、この符号化された情報は、この信任状が発行される先のユーザーに特有のもので、従ってこのユーザーのすべての匿名の元像を関連させるかもしれない。こののことから、ユーザーは、他のユーザーの信任状を、たとえ双方が協力しても、使うことができないように保証される。限られた回数だけ示される信任状、例えば電子現金システムにおけるコインのような場合、この符号化される情報は、信任状が予め決められた限度を超える回数示されたときに限って、公表されるように手筈をすることができる。この場合は、これらの信任状をオンラインで検証する手間を無くする。このような目的のためには、証明書交付局が秘密キー、公共キー、そして公共キー証明書を発行する場合、公共キーと証明書は、ユーザーによって隠蔽されることができるが、秘密キーの非定数関数はできないような、発行手続きが必要となる。このような発行手続きは、制限的隠蔽署名発行手続きと呼ばれ、１９９４年８月１１日に提出された特許出願・出願番号ＰＣＴ／ＭＬ９４／００１７９に記載され請求されており、ここに参照によって含められている。安全性の見地からは、証明書が公共キー証明書である場合、制限的隠蔽署名発行手続きの、知られているどの構造も、満足すべきものではない。これは深刻な問題である。なぜなら制限的隠蔽署名発行手続きは、信任状の、プライバシーが保護されたオフライン転送のための、効率的かつ安全な機構の建設にとって、決定的に重要だからである。１９９４年８月１１日に提出された特許出願・出願番号ＰＣＴ／ＭＬ９４／００１７９はまた、発行される証明書が、公共キーへのデジタル署名でない（従って公共キー証明書ではない）場合における、制限的隠蔽署名発行手続きの、創意ある構成法を記述し請求している。そこに詳細に説明されているように、効率的かつ安全な、制限的隠蔽署名発行手続きの構成法は、証明書が、公共キーへの発行者の署名であるという要件を除けば、遥かに簡単になる。特許出願・出願番号ＰＣＴ／ＭＬ９４／００１７９に記述され請求されているほとんどの、（より正確には、最後に記述されているもの以外の）制限的隠蔽署名発行手続きの例は、この創意ある方法によって構成されている。特許出願・出願番号ＰＣＴ／ＭＬ９４／００１７９に記述され請求されているこの創意ある方法は、公共キー証明書に関する上記第三の問題を克服するが、上記の最初の二つの問題には回答していない。本発明は、公共キー証明書に関する、これらすべて三つの問題を克服する一般的方法を記述する。発明の目的従って、本発明の目的のひとつは、誰もが公共キー並びに対応する証明書からなる一対を作成することが可能であるとともに、証明書交付局が保持している特別の秘密キーの知識がなければ、秘密キー、照合する公共キー、及び対応する証明書を生成することは、実際上不可能であるようにすることである。このため、本発明は、以後秘密キー証明書と呼ぶ新種の証明書を提供する。本発明の他のひとつの目的は、公共キー名簿のような証明済みの公共キーの掲載が、プライバシーに関する情報の、信憑性を明らかにすることを、防止することである。このため、本発明は、公共キー証明書に代えて秘密キー証明書を用いる。本発明のもうひとつ目的は、公共キー名簿におけるような、証明済みの公共キーの掲載が、証明書交付局の署名概型に対する、知られているか選択される通信攻撃にとって、助けとなるような情報を公表することを、防止することである。このため、本発明は、公共キー証明書に代えて、秘密キー証明書を用いる。本発明のいまひとつの目的は、よく知られている、デジタルな署名概型から、秘密キー証明書及びそのための発行手続きを構成する、技法を説明することである。この署名概型は、本技術において、一般に、ファイアット／シャミルタイプとして言及されている。(Fiat，A．and Shamir，A.，"How to prove yourself： practical solutionsto identificationandsignature problems,'Crypto'86，Sp ringer-Verlag(1987)，186-194を参照せよ）。本発明のさらにもうひとつの目的は、効率的かつ安全な、制限的隠蔽署名発行手続きを構成することである。このため本発明は、公共キー交付局に秘密キー、照合する公共キー、及び対応する秘密キー証明書からなる三つ組を発行させて、公共キーと証明書は受け取る当事者によって隠蔽できるが、秘密キーの少なくとも一部は隠蔽できないようにする本発明のさらにもうひとつの目的は、公共キー証明書に代わる秘密キー証明書の、再帰的応用によって、階層的な証明書交付を実施することである。本発明のさらにもうひとつの目的は、この発明の他の目的を達成する、効率的、経済的、そして実用的な装置と方法を、提供することである。本発明の他の特徴、目的、そして効果は、以下の説明と添付されている請求項目を、図面と共に読むことによって、評価されるであろう。図面の簡単な説明図１は本発明の教えるところに従う、例示的な秘密キー証明書システムの、代表的な構成および機能を示す図である。図２は本発明の教えるところに従う、第一の好ましい実施例のための、秘密キー証明書発行手続きの、フローチャートを示す。図３は、本発明の教えるところに従う、第一の好ましい実施例のための、秘密キー証明書発行手続きであって、証明書交付局が受取人の秘密キーを知らなくてもよいものの、フローチャートを示す。図４は、本発明の教えるところに従う、第一の好ましい実施例のための、秘密キー証明書発行手続きであって、秘密キー証明書における潜在的チャンネルを防止するものの、フローチャートを示す。図５は、本発明の教えるところに従う、第一の好ましい実施例のための、秘密キー証明書発行手続きであって、受取人が発行される情報を完全に隠蔽するものの、フローチャートを示す。図６は本発明の教えるところに従う、第一の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの、第一のフローチャートを示す。図７は本発明の教えるところに従う、第一の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの、第二のフローチャートを示す。図８は本発明の教えるところに従う、第二の好ましい実施例のための、秘密キー証明書発行手続きの、フローチャートを示す。図９は、本発明の教えるところに従う、第二の好ましい実施例のための、秘密キー証明書発行手続きであって、証明書交付局が受取人の秘密キーを知らなくてもよいものの、フローチャートを示す。図１０は、本発明の教えるところに従う、第二の好ましい実施例のための、秘密キー証明書発行手続きであって、秘密キー証明書における裏口チャンネルを防止するものの、フローチャートを示す。図１１は、本発明の教えるところに従う、第二の好ましい実施例のための、秘密キー証明書発行手続きであって、受取人が発行される情報を完全に隠蔽するものの、フローチャートを示す。図１２は本発明の教えるところに従う、第二の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの、フローチャートを示す。発明の要約本発明の上記及び他の目的に沿って、本発明の概略を手短に述べる。以下の要約においては、ある程度の単純化と省略がなされるが、それは本発明のいくつかの様相を浮き彫りにするためであり、それを制限するものではない。本技術分野における通常の技能を持つ者が本発明を作りまた使うことができるようにするのに適切な、好ましい実施例の詳細は、後に述べる。要するに、公共キー証明書の第一義的な目的は、暗号法システムの参加者に対してその人の公共キーそのものを証明するというより、むしろその公共キーに関してその人がなすことができる仕事を保証することである。暗号法システムにおける、三つの最もよく知られている公共キー暗号法の課題を考えてみよう。すなわち、デジタル署名、身分証明、そして暗号化である。証明書の意図された目的は、デジタル署名をする、公共キーに対応する秘密キーについての知識を証明する、そして公共キーで暗号化された通信を解読するという仕事が、証明書交付局の許可によって使用を許可された秘密キーを使ってなされることを、保証することである。言い換えれば証明されるべきものは秘密キーであって必ずしも公共キーではない。非公式的に言えば、秘密キー証明書は、証明書交付局による秘密キーへのデジタル署名であって、その秘密キーに照合する公共キーへの署名ではない。より正確に言えば、秘密キー、照合する公共キー、及び対応する秘密キー証明書からなる三つ組は、実際上、証明書交付局によってのみ作成されことができるが、公共キー、及び対応する秘密キー証明書からなる一対は、実際上、誰によっても作成されことができる。公共キー名簿において、当事者たちは、彼らの公共キーと対応する証明書と共に、掲載される。もしそれら証明書が秘密キー証明書であれば、名簿のどの項目も、誰によっても作成され得るので、名簿中の情報は、合法的な参加について、識別できる情報を明らかにしない（もしこの名簿が現在または過去の一時点に公開文書であれば）。もし電話番号、郵便用住所、使用権のような付加的情報が含まれているならば、この情報は偽物である可能性もある。公共キー名簿中の項目が、証明書交付局によって証明されいるのかどうか、ユーザーには分からないように保証するため，例えばＣＤ−ＲＯＭ上の公共キー名簿作成者は、公共キーに結びつく当事者たちに、もし彼らがこのＣＤ−ＲＯＭ上に掲載されることを望むならば、彼ら自身の公共キーを提出させて、名簿中の項目を集めることができる。同じ理由から、この名簿に掲載されている情報は、証明書交付局の署名概型を攻撃するためには、大して役に立たない。特に、もし公共キー及び対応する秘密キー証明書からなる一対が、証明書発行手続きが証明書交付局との間で行われているときに適用される確率分布から区別できない確率分布で、証明書交付局の協力がなくても、作成され得るならば、この情報は何の役にも立たない。ＫＡＣによって証明されていないキーを持っている攻撃者は、証明書交付局の署名概型を全く最初から破ろうとする場合に、何らかの有利な条件を得ようとすれば、このシステムの合法的な参加者の秘密キーを知る必要があろう。一般に、秘密キーを明らかにするためには、それが誤用されないよう、大きな信頼を要し、従って、実際には、公共キー証明書に代えて、秘密キー証明書を使えば、ＫＡＣの署名概型を破ろうとする攻撃を仕掛けるのは、遥かに困難となろう。安全な公共キー暗号法による設計、例えば、公共キーに対応する秘密キーについての知識を証明する、公共キーに対応する秘密キーで通信に署名する、そして公共キーで暗号化された通信を解読するという、上に述べた仕事のための設計は、その公共キーに対応する秘密キーを知っている場合にのみ、実際上実行可能である。従って、あるユーザーがそのような仕事を成功裏に達成できるという事実は、彼が自分の公共キーに対応する秘密キーを知っていることの証拠であり、このことはまた、証明書が証明書交付局によって発行されたことを証明する。次の事例は、秘密キー証明書の使用を評価する際に、助けとなる。１．第一当事者が、暗号化された通信を、第二当事者に転送したいとする。公共キー名簿から、第一当事者は、第二当事者の公共キーと、証明書交付局によって発行されたと想定される、対応する秘密キー証明書を引き出す。第一当事者は、第二当事者の公共キーを用いて、その通信を暗号化し、それを第二当事者に転送する。第一当事者は、公共キー名簿に掲載されている情報が、本物かどうか知らないけれども、もし第二当事者が、解読によって元の通信を回復することができるならば、証明書交付局が、公共キー名簿に掲載されている文字列を計算したことは、保証される。言うまでもなく、第二当事者の第一当事者に対する適切な対応が、第一当事者に、この二つの場合を区別させる。２．第二当事者が、第一当事者宛の通信に、デジタル署名するとする。この通信、第二当事者のデジタル署名、そして公共キー名簿に掲載されている第二当事者に伴う情報を与えられた第一当事者は、このデジタル署名が本物であることを確認することができるだけでなく、それが実際に証明されたキーでなされたものであることも保証される。勿論、もしこの署名が法律上何らかの重要性を持っているならば、誰でもこれら二つの事実を確認することができる。３．第二当事者が、第一当事者によって発行される秘密キー証明書を得たいとする。この目的のために、第一当事者は、自分の秘密キーを応用して、第二当事者の公共キーに関する秘密キー証明書を発行する。第二当事者は、第一当事者の公共キーを使って、第一当事者によって発行されたこの秘密キー証明書が、法的に有効であることを確認することができるだけでなく、もし確認した場合には、第一当事者の公共キーに関する秘密キー証明書が、証明書交付局によって発行されたものであることもまた保証される。一般に、秘密キー証明書の再帰的な応用は、公共キー証明書から形成される階層的証明書の樹と、同じ安全性を提供する階層的証明書の樹が、形成されるようにする。秘密キー証明書の例と、対応する発行手続きについて、今から述べる。本技術における通常の習慣に従って、任意の整数ｌに対して、Ｚ_lは整数の集合｛０，．．．，ｌ−１｝を表すことにする。ここで加法と乗法はｌを法として定義される。Ｇ_qは素の位数ｑの一つの群を表すとせよ。ここでｑに対して離散的対数を計算する実用的なアルゴリズムは知られていない。Ｈはその値域がＺ_2tに含まれる一方向細切り関数（one-way hash-function）、ここでｔは適当に大きな安全パラメータ、である。証明書交付局の秘密キーは、Ｚ_qに属するある数ｘ₀であり、それに対応する公共キーは（ｇ，ｈ₀）である。ここでｈ₀はｇ^x0を表し、ｇとｈ₀は共にＧ_qに属する。自分のキーを証明してもらいたい当事者たちは、証明書交付局と同じキー設定を用いる。すなわち、当事者Ｕの秘密キーは、Ｚ_qに属するある数ｘであり、それに対応する公共キーはｈ＝ｇ^xである。ｈに関する秘密キー証明書は対（ｃ，ｒ）であって、ｃはＺ_2tに属しｒはＧ_qに属しｃはＨ（ｈ、ｇ^r（ｈ₀ｈ）^-c，Ｉ）に等しいものである。ここで、Ｉは、この秘密キーが属する当事者に関する、付加的な情報からなる文字列であり、取捨選択できるように含まれている。本技術について通常の技能を持つ者にとって明らかなように、証明書交付局の効力ある証明書は、秘密キーｘ₀＋ｘｍｏｄｑで作成されるｇ^x上のシュノル署名である（Schnorr，C.，'Efficient signature generated by smart cards,"Jo urnal of Cryptology，Vol．4，No．3(19910，pp．161-174を参照せよ）。誰でも、実際上、検証関係が成立する対（ｈ，（ｃ，ｒ））を生成することができる。それには、Ｚ_qに属する任意のＳに対して、ｈをｈ₀ ^-1ｇ^Sに等しく取り、Ｚ_qに属する任意のｔに対して、ａをｇ^tに等しく取ればよい。このとき、対（ｃ，Ｓｃ＋ｔｍｏｄｑ）はｃ＝Ｈ（ｈ，ａ，Ｉ）のとき、ｈに照合する。しかしながら、このような対を秘密キーｌｏｇ_gｈと共に実際に生成する技術は、シュノル署名を偽造することを可能にする。秘密キー証明書を発行するに当たって、証明書交付局は次のような手順を踏めばよい。証明書交付局は、無作為にＺ_qに属する数ｗを生成し、ａ＝ｇ^wを計算する。次にｃ＝Ｈ（ｈ、ａ、Ｉ）とｒ＝ｃ（ｘ₀＋ｘ）＋ｗｍｏｄｑを計算し、（ｃ，ｒ）を当事者Ｕに転送する。詳細な説明のところで明らかにされるように、発行手続きは、証明書交付局がＵの秘密キーを知る必要性を、防止するように、変更する事ができる。さらにＵにとっての種々の隠蔽能力を発行手続きに織り込むことができる。要約すれば、本発明は、公共キー暗号法に基づく証明書技法を説明する。この技法は、公共キー証明書のよく知られた暗号法技法に関する、いくつかの問題を解決する。発明の詳細な説明図２から１２における記号表現は、本技術について通常の技能を持つ者にとって明らかであると信ずるが、曖昧のないよう、ここで最初に復習する。種々の秘密キー証明書発行手続きがフローチャートによって説明されている。これらの手続きに参加する当事者たちによってなされる作用は、フローチャートボックスの中にグループとしてまとめられている。一つのフローチャートボックスに記載されている作用を行う当事者は、そのボックスが置かれている列によって指示されている。この列には、当事者のタイプを表す記号によって、ラベルが付けられている。「当事者」という語は、この手続きにおいて一つまたは複数のステップを実行する、代理人と見なされるかも知れない実体を、示すために使われる。それはまた、これらのステップを実行するための手段と見なされるかもしれないし、デジタル論理回路による適切な構成からなるかもしれない。例えば、図中のどのボックスまたはボックスの集まりも、本技術において周知であるような、ハードワイヤーで配線された専用の組み合わせ論理またはマイクロプロセッサーのような適切にプログラムされる機械によって実現され得る。そのためには、その手段が、記憶、入出力、そして対応するボックスまたはボックスの集まりに記述されている変換ステップを、実行することができればよい（無作為源生成関数は除かれるかもしれない）。本技術における通常の習慣に従って、任意の整数ｌに対してＺ_lは整数の集合｛０，．．，ｌ−１｝を表すことにする。Ｚ_lにおける加法と乗法はｌを法として定義される。集合Ｚ_l ^*はｌと互いに素である｛０，１，．．．，ｌ−１｝の元からなる集合を表す。Ｚ_l ^*における乗法はｌを法として定義される。本技術において周知のように、Ｚ_lはｌを法とする整数環と呼ばれ、Ｚ_l ^*はｌを法とする乗法群と呼ばれる。記号←は割り当てを表し、その左辺の変数または記号に右辺の値が割り当てられる。この割り当ては必ずしも記憶空間が実際に確保されることを意味しない。中途結果の値は揮発性メモリーにおいて処理されるかもしれないからである。り、手続きは等式が成立しない場合に停止する。記号∈_Rは、その左辺の各数が、右辺の集合から一様分布に従って選択され、他の何ものからも独立していることを示す。実際には、疑似無作為技法を使うことができ、一様分布からの多少の偏りは、安全性またはプライバシーあるいはその両方にとって、評価できるほど大きいロスを伴うことなく許される。そのような技法は、本技術においてよく知られている。もう一つの作用は、語「送る」によって表されコロンと一つまたは幾つかの数に続く。これは、これらの数が、ボックス中に記載されている作用を行う当事者によって、手続きに参加している第二の当事者に送られることを示す。ボックス間の方向付き結線は、ボックスにグループとしてまとめられている作用が、実行される順序を示している。秘密キー証明書システムの装置安全な秘密キー証明書のための装置を以下正確に説明する。この装置は次の五つの手段から構成される。１．少なくとも一つの安全パラメーターが入力として与えられたとき、証明書交付局によって、この暗号システムに参加したい当事者たちのキーを証明するために使用される、一つの秘密キー及びそれに照合する公共キーを、出力する第一キー生成手段。本技術における通常の技能を持つ者に明らかなように、出力の２進長と安全パラメーターは多項式的な（望ましくは線形な）関係にある。第一キー生成手段は確率的性質を持っていて、キーのこの対は本質的に無作為な方法によって生成される。望ましくは、この無作為化の過程が、無作為性を持ったある物理的な源泉の出力に基づくのがよい。可能性としては、その出力と、暗号学的に強い、疑似乱数発生部の出力を、例えば、ビットごとに両者のＡＮＤ −ＯＲを取ることによって、結合して求めればよい。２．少なくとも一つの安全パラメーターが入力として与えられたとき、証明書交付局が、この暗号システムに参加したい当事者によって使われる、一つの秘密キー及びそれに照合する公共キーからなる一対のキーを、出力する第二キー生成手段。第一キー生成手段と同じく、この出力は適切な無作為化過程の結果である。この手段は、この当事者自身によってまたは証明書交付局または両者によって、操作されることができる。第一及び第二キー生成手段は同じものであってもよいし、異なるものであってもよい。３．証明書交付局の公共キーおよび一つの公共キーと仮定的な秘密キー証明書からなる一対が入力として与えられたとき、「Ｙｅｓ」または「Ｎｏ」として解釈される回答を出力する証明書検証手段。通常、検証関係は決定論的であるが、必ずしもそうである必要はない。すなわち、証明書検証手段は、確率的性質を持っていてもよく、この仮定的な秘密キー証明書が、この公共キーに関する秘密キー証明書であるかどうかを、多くの無作為的な試行を繰り返すことによって決定してもよい。証明書検証手段は、この仮定的な秘密キー証明書が、この公共キーに関する秘密キー証明書であるとき、そしてそのときにのみ、「Ｙｅｓ」を出力する。言い換えれば、証明書検証手段は、ある公共キーに関するある秘密キー証明書が、何であるかを定義する。４．証明書交付局の秘密キー、および、証明書を必要とするある当事者の秘密キーと照合する公共キーからなる一対が、入力として与えられたとき、後者のこの秘密キーへの、次の条件を満たすデジタル署名を、出力する証明書発行手段。すなわち、証明書検証手段が、証明書交付局の公共キー、および、一つの公共キーとこの発行されるデジタル署名からなる一対が、入力として与えられるとき、「Ｙｅｓ」を出力する（従って証明書発行手段のこの出力は、この公共キーに関する秘密キー証明書である）。証明書発行手段は確率的性質を持っていてもよく、そうでなくてもよい。明らかに、公共キーは、通常、秘密キーから計算できるので、通常、証明書交付局の秘密キーとこの当事者の秘密キーだけが与えられればよい。評価されるであろうように、証明書発行手段は、自分のキーを証明してもらいたい当事者が、その秘密キーを証明書交付局に内密にすることができるようなものであり得る。そのような場合、証明書発行手段そのものは、この当事者によって制御される手段、および証明書交付局によって制御される手段、ならびにこれら両者間の交信のための適切なインターフェースから構成される。当事者によって制御される手段は、この当事者の秘密キーを（そして多分、この当事者の公共キーをも）入力として受け取り、証明書交付局によって制御される手段は、証明書交付局の秘密キーを（そして多分、証明書交付局の公共キーをも）入力として受け取る。最終的な出力は、この当事者によって制御される手段と、証明書発行局によって制御される手段によって、処理された結果であり、適当な中間結果は、上記インターフェースを通じて交換される。証明書発行手段を構成する手段によってなされる正確な作用は、以下「秘密キー証明書発行手続き」と呼ぶことにする暗号法の手続きによって、記述されなければならない。さらにもう一つの変形として、証明書交付局が、秘密キー証明書を必要とする当事者の、任意の公共キーに対する秘密キー達をも、計算するようにしてもよい。なぜなら証明書交付局は、付加的な落とし戸情報を知っているからである。これら及び他の変形は、実施例を研究することによって評価されよう。例えば、証明書発行過程は、当事者によって制御される手段によって、後に本テキストに説明されている種々の評価基準に従い、隠蔽されることができる。５．証明書交付局の公共キーが入力として与えられたとき、ひとつの公共キーおよび照合する証明書からなる一対を、出力する証明書シミュレーション手段。出力されるこの公共キーは、第二キー生成手段によって出力され得るものである（出力され得る対の一部として）。語「照合する」は、証明書検証手段が、証明書交付局の公共キーと証明書シミュレーション手段の出力を、入力として与えられれば、「Ｙｅｓ」を出力することを意味する。証明書シミュレーション手段は確率的な性質を持つもので、その出力の確率分布は、この公共キーが第二キー生成手段によって生成され、この証明書が証明書発行手段によって生成されるときに、成立する確率分布と、本質的に区別不能であるべきである。本技術に関する通常の技能を持つものに明らかであろうように、「本質的に」区別不能ということは、「計算的に」または「統計的に」または「完全に」区別不能ということを意味し、これら各々は、本技術においてよく知られている正確な数学的意味を持っている。勿論、実用的な目的には、区別不能性は、それほど強くなくてもよい。例えば、ある入力が与えられたときに、証明書シミュレーション手段によって生産される、可能な出力の集合が、十分大きさえすれば、一つの公共キーおよび照合する秘密キーの、シミュレーションされる対と、「真正の」対は、実際上区別できないかもしれない。当事者達が、証明書交付局の協力なしに、一つの公共キーおよび対応する秘密キーからなる対達を、生成したい場合の応用においては、証明書シミュレーション手段は、明らかに、構成されなければならない。しかしながら、後に例示されるように、証明書シミュレーション手段を常に構成する必要はない。上述の五つ手段のどれも、本技術において周知であるような、ハードワイヤーで配線された専用の組み合わせ論理、またはマイクロプロセッサーのような、適切にプログラムされる機械によって、実現され得る。証明書交付局によって発行される、公共キーに関する秘密キー証明書は、この公共キーに対応する秘密キー達への、デジタル署名としての効力を持っている。従って証明書交付局以外の当事者が、証明書交付局の関与なしに、秘密キー、照合する公共キー（この二つが第二キー生成手段によって生成され得たことを意味する）、対応する秘密キー証明書（証明書交付局の公共キー、および、この公共キーとこの証明書が、入力として与えられたときに、証明書検証手段が「Ｙｅｓ」を出力したであろうことを意味する）からなる、新しい三つ組を生成することはあり得ない。ここで強調しておきたいのは、秘密キー証明書が、公共キーに関する秘密キー証明書と言われることで、秘密キーに関する証明書ではないことである。すなわち、証明書発行手段と証明書シミュレーション手段は、共に、一つの公共キーと、この公共キーに関する一片の秘密キー証明書を出力することができる。このことは、公共キーと秘密キー証明書の間には、公共的に検証できる関係が存在することを、強調している。さて図１を参照しながら、以下に、上述した構成部分の間の相互関係と協力について説明する。図１におけるすべての結線は、通信の転送を含んでいる。これらの通信は、本物性、秘密性、誤り検出、誤り訂正等のため、暗号学的または他の方法で、コード化およびデコード化されるため、最初に保持されるかもしれないし、途中で遅延されるかもしれない。従って、通信が転送される、個別の手段と方法は、本発明にとって、本質的な事柄ではなく、この点に関しては、任意の手法が使われかもしれないことが、想定されている。図中の結線は、例えば、通信手段を表現していると、見なすこともできる。その場合には、それらは、導体通路、光ファイバー環、赤外線伝送、パケット交換網通路を含む、様々の典型的な手段により、実現され得る。さらに、適切な駆動器、モーデム、または他の適当なインターフェースが、本技術において周知のように、このような通路の終端において、必要となるかもしれない。代わりに、これらの結線は、通信転送のためのステップと見なしてもよい。第一キー生成手段１１３が、結線１０２上の安全パラメーターを、証明書交付局のためのキー対に変換する。このキー対は、結線１０６に出力される公共キーと、結線１０５に出力される秘密キーからなる。キー生成手段１１３における変換は、乱数生成部１１９その他に依存する。第二キー生成手段１１２は、結線１０１上の安全パラメーターを、結線１０３に出力される公共キーと、結線１０４に出力される秘密キーに、変換する。第二キー生成手段１１２における、結線１０１上の安全パラメーターからの変換は、乱数生成部１１８その他に依存する。このキー生成手段からの出力は、次に説明されるように、証明書発行手段１１４によって証明される。証明書発行手段１１４は、結線１０３、１０４、そして１０５上の三つの入力を受け取る。結線１０３上の入力は、キー生成手段１１２によって出力される公共キーであり、結線１０４上の入力は、キー生成手段１１２によって出力される秘密キーである。結線１０５上の入力は、キー生成手段１１３によって出力される、証明書交付局の秘密キーである。証明書発行手段１１４は、これら三つの入力を、結線１０３上の公共キーに関する、秘密キー証明書に変換する。この秘密キー証明書は、結線１０４上の秘密キーによるデジタル署名であり、結線１０７に出力される。証明書発行手段１１４における、必要に応じて付加できる乱数発生部は、図に表示されていないけれども、詳細に説明する好ましい実施例は、証明書発行手段において、無作為性を使う。結線１０７に出力される証明書は、キー生成手段１１２によって結線１０３に出力される公共キーと共に、証明書検証手段１１６に入力される。結線１０６上の、証明書交付局の公共キーもまた、証明書検証手段１１６に入力される。証明書検証手段は、ひとつの２進値を結線１１０に出力する。この２進値は、結線１０３と１０７上の入力の正確さについての判定であると、解釈される。このブロック図において、証明書検証手段１１６への、結線１０７上の入力は、証明書発行手段１１４からの出力であり、結線１０３上の入力は、証明書発行手段１１４への入力と同じである。従って、結線１１０上の判定は、この場合、肯定「Ｙｅｓ」であろう。図に示されていないのは、証明書検証手段１１６における、必要に応じて付加できる乱数発生部である。詳細に説明される好ましい実施例は、証明書検証手段において無作為性を使わない。ある種の応用のためには、証明書検証手段に無作為性を持たせる必要があるかもしれないことは考えられる。結線１０６上の証明書交付局の公共キーは、証明書シミュレーション手段１１５に入力される。乱数発生部１２０その他に依存して、証明書シミュレーション手段１１５は、結線１０６上の入力を、公共キーに変換し、結線１０９に出力し、また、この公共キーに関する秘密キー証明書に変換し、結線１０８に出力する。証明書シミュレーション手段１１５のこの二つ出力と、結線１０６上にある証明書交付局の公共キーは、証明書検証手段１１７に入力されると、一つの２進値が結線１１１に出力される。この出力は、結線１０９と１０８上の入力の正確さについての判定であり、今例示されている状況では、肯定［Ｙｅｓ」であろう。証明書検証手段１１７は、すべての入力結線と出力結線も含めて、手段１１６と同じである。これらが２度描かれているのは、唯、証明書検証手段が、証明書発行手段１１４によって出力される秘密キー証明書と、証明書シミュレーション手段１１５によって出力される秘密キー証明書を、区別できないことを強調するためである。二つの好ましい実施例にとっての、種々の典型的秘密キー証明書システムを、これから提供する。証明書交付局は、以下ＣＡ（Certification Authorityの略）と表し、システムの一当事者は、Ｕと表す(userの略)。好ましい実施例の両方において説明される種々の秘密キー証明書は、署名概型の、本技術においてよく知られている一クラスから、ある創意的な一般構成技法を応用することによって構成される。このクラスは、以下、ファイアット／シャミルタイプの署名として言及される。（ファイアット／シャミルタイプの署名概型は、挑戦−応答タイプの、安全な、三伝送、身分証明概型から、少なくとも最初の伝送において、証明者によって提供される通信および情報の一方向細切れとして、挑戦を受け取ることによって、導かれる署名概型である。Fiat，A．and Shamir，A.，"How to pro ve yourself:practical solutionsto identificationandsignature problems,'C rypto'86，Springer-Verlag(1987)，186-194を参照せよ。本技術において周知のファイアット／シャミルタイプの署名概型への参照例は、詳細な説明のところで提供される。）この創意的技法を以下「一般構成技法」と呼び、これから説明する。一般構成技法Ｕの一つの秘密キー、Ｕの対応する一つの公共キー、そしてＵのこの公共キーに関する一つの秘密キー証明書からなる三つ組は、（１）ＣＡによって使われる署名概型、および、（２）証明されるＵのキー対のタイプによって、特徴づけられる。Ｕのこの公共キーをｈで表し、ＣＡの公共キーをｈ₀で表すことにする。実質的には、ｈに関する一つの秘密キー証明書は、一般構成技法を、あるファイアット／シャミルタイプの署名概型に応用することによって、構成されるとき、ＣＡにより使われる署名概型の下で、公共キーｈ₀ｈに対応する秘密キーでなされる、通信ｈへの、この下敷きになっているファイアット／シャミルタイプの署名である。結果として得られる、秘密キー証明書のための、一般的証明書シミュレーション技法は、ｈをｈ₀ ^-1ｈ₀'として生成することにある。ここで、ＣＡにより使われる署名概型の下で、ｈ₀'に対応する秘密キーは、知られているものと仮定する。このことは、公共キーと秘密キー証明書からなる対を、ＣＡの協力なしに生成することを可能にする。評価されるであろうように、これらの例は、本発明の技法と概念をわかりやすく説明しているが、それらは唯、試案として提供されているにすぎなく、決して制限的なものではない。例えば、以上のパラグラフにおいて説明されているもの以外の構成技法や、それらの変形が使われるかもしれない。その一例は、第一の好ましい実施例の終わりに提供されている。第一の好ましい実施例第一の好ましい実施例においては、計算は、素数位数ｑの乗法群におけるものである。そこでの積を求める、二つの元が等しいかどうかを決定する、ある元がある集合に属するかどうか検証する、そして無作為に元を選択するための効率的なアルゴリズムは知られている。この群は以下Ｇ_qと表される。Ｇ_qにおける離散対数を計算する実際的な方法は知られていないはずである。そのような群の種々のタイプは知られている。例えば、Ｚ_p ^*の位数ｑの一意的な部分群を取ることができる。ここでｐは任意の素数でありｑはｐ−１の約数である。他の例は有限体上の楕円曲線である。この理由のため、Ｇ_qに対するいかなる顕在的な選択もなされていない。ｇ^xのような表現は、Ｇ_qにおける計算として理解されるべきである。ｑを法とする計算がなされる場合、（例えば、ｒ₀＝ｃ（ｘ₀＋ｘ）＋ｗ₀ ｍｏｄｑ）、法演算子ｍｏｄは顕在的に表されている。ひとつの元がある群から選択される場合、それは最小の正の代表元であると、暗に仮定されている。計算結果についても同様である。１．第一の典型的秘密キー証明書一般構成技法をシュノル署名概型に応用することによって構成される、第一の好ましい実施例における第一の典型的秘密キー証明書を、以下詳しく説明する（ Schnorr，C.，“Efficient signature generated by smart cards,”Journal of Cryptology，Vol．4，No．3(19910，pp．161-174を参照せよ)。ＫＡＣのキー生成手段：ＣＡの秘密キーはＺ_qのある数ｘ₀であり、対応する公共キーは、Ｇ_q×Ｇ_qにおける（ｇ、ｈ₀）である。ここでｇはＧ_qの生成元であり、ｈ₀はｇ^x0を表す。好ましくは、ｘ₀は、Ｚ_qにおいて一様分布にしたがって無作為に選択され、ｇは、Ｇ_q／｛１｝において一様分布にしたがって無作為に選択される。対（ｇ、ｈ₀）とＧｑの説明はＣＡによって一般に公開される。ＣＡはまた、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメーターｔについて、Ｚ_2tに含まれる（本技術における通常の技能を持つ者に明らとなるだろうように、Ｚ_2tの代わりに、十分大きいｌに対してＺ_lを取ることができる。上記選択は単に具体性のためである）。この関数は、シュノル署名概型を安全にすると信じられる要件を、満たすべきである。好ましくは、Ｈは衝突しないことである。このことは、独立変数の二つの異なった値にたいして、Ｈの値が同じになるように計算する事が、実際上あり得ないということを、意味する。衝突しないと信じられているそのようなＨは、本技術における通常の技能を持つ者にはよく知られている。証明書検証手段：Ｕの、Ｇ_qにおける公共キーｈに関する、秘密キー証明書は、Ｚ_2t×Ｚ_qにおける対（ｃ，ｒ）であって、ｃがＨ（ｈ，ｇ^r（ｈ₀ｈ）^-c，Ｉ）に等しいものである。ここでＩは、Ｕの名前を含み、可能性として、住所、雇用者、電子メール住所、そして利用権のリスト等の付加的な情報からなる文字列である。細切り値にＩを含めることは、厳密には必要でないが、実用上要求されるかもしれない。この秘密キー証明書は、代わりにＧ_q×Ｚ_qにおける対（ａ，ｒ）とすることもできる。この場合には、ｇ^r（ｈ₀ｈ）^-cがａに等しければ、この対がｈに関する秘密キー証明書である。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。本技術における通常の技能を持つ者に明らかであろうように、この秘密キー証明書は、一般構成技法を、シュノル身分証明概型に応用することによって、構成される。この証明書は、実質的には、公共キーｈ₀ｈに対応する秘密キーｌｏｇ_g （ｈ₀ｈ）でなされる、ｈへのシュノル署名である。Ｕのキー生成手段：秘密キー証明書を定義するには、ＣＡによって用いられる署名概型に加えて、Ｕのキー対のタイプが特定されなければならない。一般形式においては、Ｕの秘密キーは、組（ｘ₁，．．．，ｘ_k）であって、各ｘ_iがＺ_qに属し、ｈがΠ_i=1 ^kｇ_i ^xiに等しいものである。ここで、ｇ₁，．．．，ｇ_kは無作為に選択されるＧ_qの生成元である（それらすべてがｇと異ならなくてもよい）。それらはまた、ｇ，ｈ₀、そしてＧ_q及びＨの説明と共にＣＡによって出版される。好ましくは、各ｇ_i（１≦ｉ≦ｋ）に対して、ＣＡはｌｏｇ_gｇ_iを知っているべきである（発行手続きを処理するためには）。ここで、ＣＡはｇ₁，．．．，ｇ_kを次のように生成することができる。先ずＺ_qの元ｙ₁，．．．，ｙ_kを無作為に生成し、それからｇ_iをｇ^yiに等しく取る（ＣＡは、元ｇ_i達の一つをｇに等しく取ってもよい。そのような選択は、図６のフローチャートに示されているように、発行手続きの制限的隠蔽を許す。本技術における通常の技能を持つ者に明らかであろうように、ｇ_i達の一つをｇに等しく取る代わりに、このｇ_iをｇの公に知られている累乗に取っても、同じ効果が得られる）。見られるように、公共キーｈ₀ｈに対応する秘密キーは、ＣＡによって用いられるこの署名概型において、数ｌｏｇ_g（ｈ₀ｈ）であり、これはｘ₀＋Σ_i=1 ^kｙ_iｘ_iｍｏｄｑに等しい。もしｇ₁，．．．，ｇ_kの上記生成過程が使われる場合には、ＣＡは、この数を計算することができる。実際には、キー対のより簡単な形式を使いたいかもしれない。最も簡単な形式は、Ｕの秘密キーがＧ_qの元ｘであり、公共キーｈがｇ^xに等しい場合におけるものである（すなわち、ただ一つのｇ_iがあり、それがｇに等しい場合である）。このときには、Ｕは、シュノル署名を計算したり、彼の秘密キーに関する知識を証明するというような、暗号学的仕事を実行することができる（下に詳しい例が三つ提供されている）。他の簡単な形式は、Ｕの秘密キーが対（ｘ₁、ｘ₂）であり、ｈがｇ₁ ^x1ｇ₂ ^x2に等しい場合におけるものである。ここで、上に述べたように、ｇ₁とｇ₂の一方は、ｇに等しく取ることができる（あるいは両方。ただし、そのときには、ｈがｇ^xに等しい場合の、より簡単な形式に勝るような、効果は何もない）。この形式もまた、Ｕが署名を計算したり、彼の秘密キーに関する知識を証明するというような暗号学的仕事を実行することを可能にする。図６のフローチャートに明らかにされるだろうように、この第二の形式は、制限的隠蔽署名手続きを構成する上で、特別重要である。そこにおいては、そのような手続きのために、ｇ₁はｇ（あるいはｇの公に知られた累乗）に取ることが必要とされ、Ｕはｌｏｇ_gｇ₂もｌｏｇ_h0ｇ₂も計算できないことが要求される。証明書シミュレーション手段：誰も、ｈを、Ｚ_qの任意のｓに対して、ｈ₀ ^-1ｇ^s に等しく取り、ａを、Ｚ_qの任意のｔに対して、ｇ^tに等しく取ることによって、検証関係が成立するような対ｈ、（ｃ、ｒ）を、実際上生成することができる。このとき、ｃはＨ（ｈ，ａ，Ｉ）に等しく、対（ｃ，ｓｃ＋ｔｍｏｄｑ）は、ｈに関する秘密キー証明書である。しかしながら、上記三つのパラグラフにおいて説明した、Ｕのためのキー生成概型の一つに従って、公共キーｈに対応する秘密キーと共に、このような対を実際に生成する能力は、シュノル署名を偽造することを可能にする。完全な秘密キー署名システムはまた、秘密キー証明書自身の記述に加えて、証明書発行手続きの記述を必要とする。記述された秘密キー証明書を発行するための、種々の典型的な手続きが、構成され得る。これらの証明書発行手続きの各々は、この証明書がＣＡによって発行される先のＵが、この秘密キー、公共キー、そして秘密キー証明書を、無作為化し隠蔽することができる程度によって、特徴づけられる。種々の証明書発行手続きのための、典型的な実施例を提供する前に、本技術における通常の技能を持つ者が、記述される秘密キー証明書がどのように実用的に使用されるかを、評価するために、助けとなるよう、幾つかの例を提供する。１．１．第一の典型的秘密キー証明書の例一般性を失うことなく、以下の諸例において、ある公共キー名簿が用いれることを仮定する（代わりに、公共キーおよび公共キーに関する秘密キー証明書が、依頼に応じて送られてもよい）。公共キー名簿の項目は、次の形式で掲載されているであろう。秘密キー証明書がシミュレーション可能であることから、これら項目のどれもが、ＣＡの協力なしに生成されることができたであろう。本技術に関する通常の技能を持つ者に明らかであろうように、公共キー名簿の項目のうち、数Ｉ_iは、必ずしもこの項目に結びつく当事者の身元証明を、示す必要はない。代わりに、それは、この当事者の仮名を示しているかもしれないし、この当事者は、そのような仮名を複数個持っているかもしれない。簡単のため、これらの例の各々において、Ｕのキー対は、最も単純な形式、すなわち、秘密キーはＺ_qのある数ｘ、そして対応する公共キーｈはｇ^xに等しいものとする。本技術に関する通常の技能を持つ者に明らかであろうように、Ｕがそれとは異なるタイプのキー対を用いる場合にも、同様の例を提供することができる。特に、Ｕのためのキー対の、より一般的な形式が、用いられる場合における多くの技法と例は、特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９に、説明され請求されている。例１：ユーザーＵ₁が、暗号化された、Ｇ_qに属する通信ｍを、Ｕ₂に送りたいと想定せよ（電子ファクシミリ、電子メール、またはその他の適当な媒体によって）。使用される暗号模型は、群Ｇ_qにおけるエルガマル概型である(Elgamal，T .，"A public key cryptosystem and a signature scheme based on discrete l ogarithms ,"IEEE Transactions on Information Theory，vol．IT-31，No．4，1 985，pp．469-472)。公共キー名簿から、Ｕ₁は、Ｕ₂の公共キーｈ₂と文字列（ｃ₂ 、ｒ₂）を検索する。もしｃ₂がＨ（ｈ₂、ｇ^r2（ｈ₀ｈ₂）^-c2、Ｉ₂）に等しければ、Ｕ₁は、安全に、上記暗号化された通信を、Ｕ₂に転送することができる。ここで、Ｕ₂は、Ｚ_qのある数ｓを無作為に生成し、対（ｇ^s、ｈ₂ ^sｍ）をＵ₂に転送する。もしＵ₂がｍを解読し回復することができれば，Ｕ₂はｌｏｇ_gｈ₂を知っているに違いない（本技術に関する通常の技能を持つ者に明らかであろうように、このことは、Ｇ_qにおけるディッフィーヘルマンのキー交換仮定の下で、無作為に選択されたｍについて成立する）。このことは一方、Ｕ₂は自分だけで、（ｈ₂ ，（ｃ₂，ｒ₂））を生成することはできなかったであろうことを、示す。言い換えれば、Ｕ₂は、自分のキー対がＣＡによって証明されている時またそのときに限ってのみ、ｍを回復することができるということを、Ｕ₁は確信できる。勿論、実際上は、Ｕ₁とＵ₂の間の両方向の通信が、他方の当事者のキーがＣＡによって証明されているのかどうかを、直ちに明らかにする。例２：Ｕ₂が、シュノル署名概型を用いて、Ｕ₁宛のある通信ｍに、デジタル署名することを想定せよ（代わりに、エルガマル署名概型を使うこともできる）。Ｕ₁は、Ｕ₂から、ｃがＨ（ｍ，ｇ^rｈ₂ ^-c）に等しいような、ある対（ｃ、ｒ）を受け取る。もしＵ₂の公共キーｈ₂が、公共キー名簿に、ｃ₂がＨ（ｈ₂，ｇ^r2（ｈ₀ ｈ₂）^-c2，Ｉ₂）に等しいような一対（ｃ₂、ｒ₂）とともに、掲載されているならば、Ｕ₂がこの署名を計算できるという事実は、Ｕ₁に対して，Ｕ₂のこのキー対が、ＣＡによって証明されたものであることを、知らせる（シュノル署名概型が破られることができない限り。しかし、その場合には、両ユーザー達のこの署名概型もまた安全でない）。評価されるであろうように、この事実は、誰によっても検証されることができ、従って、法的意義がある。なぜなら、（１）ある公共キーとこの公共キーに関する秘密キー証明書からなる一対、（２）ある通信、（３）偽造された証明済み公共キーに対応する秘密キーでなされた、この通信へのデジタル署名からなる、三つ組を偽造することは、実際上ありそうもないからである。例３：Ｕ₂が、Ｕ₁に対して、公共キー名簿中のＵ₂の項目がＣＡによって証明されていることを、この証明の写しをＵ₁に送ることなく、確証したいと想定せよ（この確認を第三者に転送するために、この写しが使われるかもしれないので）。Ｕ₂はそこで、秘密キーｌｏｇ_gｈ₂の知識を、零知識手続きにおいて、Ｕ₂に確証する。これは、例えば、次のようにすればなされ得る。Ｕ₂は、Ｇ_qのある元ａをＵ₁に転送する。ここでａは、Ｚ_qの無作為に選択されたある数ｗに対して、ｇ^wに等しい。Ｕ₁は、ある所定の小さな領域、例えば｛０、１｝から無作為に選択される挑戦ｃで応答し、それをＵ₂に転送する。Ｕ₂はｃｌｏｇ_gｈ₂＋ｗｍｏｄｑ（以下ｒと表記する）で応答しなければならない。この応答の正確さは、ｇ^rｈ₂ ^-cがａに等しいかどうかを検証することによって、Ｕ₁が検証することができる。この三手の折衝は、意味のある回数、繰り返される。もしＵ₂が常に正しく応答するならば、かれはｌｏｇ_gｈ₂を知っているに違いない。したがって、名簿の項目がＣＡによって証明されたものであることが、確証される。本技術において周知のように、これは零知識手続きである。Ｕ₁の確認は転送されることができない。この手続きの実行の写しは、区別できない確率分布の下で、公共キー名簿中の項目と共に、生成することが実際上可能である。１．２．第一の典型的証明書発行手続き証明書発行手段：上述した秘密キー証明書を発行するための、種々の、証明書発行手続きを、以下に説明する。前と同様、顕在性のため、これらの手続きの各々において、Ｕのキー対は最も単純な形式、すなわち、Ｕの秘密キーはＺ_qのある数ｘ、それに対応する公共キーｈはｇ^xに等しいものとする。通常の技能を持つ者は、これらの創意的な技法を、前に述べたＵの他のタイプのキー対に適応するよう、直接応用することができると信じられる。ＵにしてＣＡによって発行される、秘密キー証明書は、Ｚ_2t×Ｚ_qにおける対（ｃ，ｒ）であって、ｃがΠ（ｈ，ｇ^r（ｈ₀ｈ）^-c，Ｉ）に等しいものであることを想起せよ。ここで、ｈはＵの公共キーである。図２を参照しながら、第一の好ましい実施例における、第一の秘密キー証明書発行手続きのフローチャートを、以下詳細に説明する。ボックス２１は先ず、ＣＡが、Ｕによって用いられるよう、Ｚ_qに属する、ある秘密キーｘを生成することを示す。その第２行に示されているように、Ｕの、それに対応する公共キーｈは、ｇ^xに等しく取られる。本技術に関する通常の技能を持つ者に明らかであろうが、代わりに、ｘはＵによって生成され、それからＣＡに通報されてもよい。あるいはまた、ＵとＣＡが協力して、例えば、ｘが互いに無作為であるようにして、ｘを生成してもよい。ボックス２２は先ず、ＣＡが、Ｚ_qのある数ｗを無作為に生成することを示す。第２行は、ＣＡがｇ^wを計算することを示す。このｇ^wは以下ａと表す。第３と第４行は、ＣＡがＨ（ｈ，ａ，Ｉ）とｃ（ｘ₀＋ｘ）＋ｗｍｏｄｑを計算することを示す。このＨ（ｈ，ａ，Ｉ）を以下ｃと表し、ｃ（ｘ₀＋ｘ）＋ｗｍｏｄｑをｒと表す。ＣＡはそれから、第５行に述べられているように、秘密キーｘと対（ｃ、ｒ）をＵに転送する。ボックス２３は先ず、Ｕが自分の公共キーｈを、ｇ^xに設定することによって、計算することを示す。第２行は、ｃが三つ組（ｈ，ｇ^r（ｈ₀ｈ）^-c，Ｉ）の細切り値に等しいかどうかを、Ｕが検証することを示す。明らかに、もしこの等式が成立するならば、対（ｃ，ｒ）は、Ｕの公共キーｈに関する、秘密キー証明書であり、Ｕが、ｈに対応する秘密キーを知っている。１．３．第二の典型的証明書発行手続き図２の証明書発行手続きにおいては、ＣＡはＵの秘密キーを知っていなければらない。図３を参照しながら、第一の好ましい実施例における、Ｕの秘密キーをＣＡから隠す、秘密キー証明書発行手続きのフローチャートを、次に詳しく説明する。ボックス３１は先ず、Ｕが、Ｚ_qに属するある数ｘを無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕが、これに対応する公共キーｈをｇ^xに等しく設定することによって計算することを示す。Ｕはそれから、第３行に示されているように、ｈをＣＡに転送する。ボックス３２は先ず、ＣＡが、Ｚ_qに属するある数ｗを、無作為に生成することを示す。第２行は、ＣＡがｇ^wを計算することを示す。このｇ^wは以下ａによって表される。第３行と４行はＣＡがＨ（ｈ，ａ，Ｉ）とｃｘ₀＋ｗｍｏｄｑを計算することを示す。これらはそれぞれｃとｒ₀で表される。第５行は、ＣＡがこの対（ｃ、ｒ₀）をＵに転送することを示す。ボックス３３は先ず、ｃが三つ組（ｈ，ｇ^r0ｈ₀ ^-c，Ｉ）の細切り値に等しいかどうかを、Ｕが検証することを示す。第２行に示されているように、もしそうである場合には、Ｕはｒ₀＋ｃｘｍｏｄｑを計算する。これはｒと表される。本技術における通常の技能を持つ者によって、容易に確かめられるように、対（ｃ，ｒ）は、公共キーｈに関するある秘密キー証明書であり、Ｕは、ｈに対応する秘密キーを知っている。この典型的な手続きにおいては、秘密キーｘは、Ｕによって自由に選択される。本技術における通常の技能を持つ者に明らかであろうように，ＣＡは、Ｕの秘密キーを無作為化する事ができる。このためには、例えば、ＣＡは、ボックス３２において、ｈの代わりにｈｇ^x'を使う。ここで、ｘ’は、ＣＡによってＺ_qから無作為に選択され、ＣＡがｈを受け取った後にのみ、Ｕに知らせられる（さらに、ＣＡは、Ｕがｈを明らかにする前に、ｘ’についての約束を転送するように依頼されることができる）。この場合には、Ｕの秘密キーはｘ＋ｘ’ｍｏｄｑに等しい。１．４．第三の典型的証明書発行手続き同じ公共キーに関する多くの秘密キー証明書（ｃ，ｒ）が存在するので、ＣＡは特定のものを選択し、内部者によって解読されることができるように、その中の情報を符号化するかもしれない。図４を参照しながら、第一の好ましい実施例における、ＣＡから秘密キーを隠し、裏口チャンネルを防止する、秘密キー証明書発行手続きの、フローチャートを、これから詳しく説明する。ボックス４１は先ず、ＣＡが、Ｚ_qのある数ｗ₀を無作為に生成することを示す。第２行は，ＣＡがｇ^w0を計算することを示す。このｇ^w0は以下、さらなる参照のため、ａ₀と表わされる。第３行は、ＣＡがａ₀をＵに転送することを示す。ボックス４２は先ず、Ｕが、Ｚ_qのある数ｘを無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｇ^xに等しくなるように設定することによって計算する。第３行は、Ｕが、Ｚ_qのある数ｗを無作為に生成することを示し、第４行は、Ｕが、ｇ^wを計算することを示す。これはａと表される。最後に、第５行に記述されているように、Ｕが対（ｈ，ａ）をＣＡに転送する。ボックス４３は先ず、ＣＡがＨ（ｈ，ａ₀ａ，Ｉ）を計算することを示す。これは、さらなる参照のため、ｃと表される。第２行は、ＣＡがｃｘ₀＋ｗ₀ ｍｏｄｑを計算することを示す。これはｒ₀と表される。第３行に記述されているように、ＣＡはそれから、ｒ₀をＵに転送する。ボックス４４は先ず、Ｕが、ＣＡがボックス４３の第１行で行ったように、ｃを計算することを示す。第２行は、ａａ₀がｇ^r0ｈ₀ ^-cに等しいかどうかを、Ｕが検証することを示す。第３行が示すように、このことが成立する場合には、Ｕは、ｒ₀＋ｃｘ＋ｗｍｏｄｑを計算する。これはｒと表される。本技術における通常の技能を持つ者によって容易に確かめられるように、対（ｃ，ｒ）は、公共キーｈに関する、ある無作為化された秘密キー証明書であり（ＣＡはその中のどんな情報も復号化することができないことを、意味する）、Ｕは、ｈに対応する秘密キーを知っている。本技術における通常の技能を持つ者に明らかであろうが、Ｕは、ボックス４２において、ａの代わりに、ｗをＣＡに転送することもできる。ＣＡは、そのとき、ボックス４３において、ｃｘ₀＋ｗ₀＋ｗｍｏｄｑそのものを計算することができる。それに対して、Ｕは、ｃｘｍｏｄｑのみを加えなければならない。１．５．第四の典型的証明書発行手続きこれまで説明してきた発行手続きにおいては、ＣＡは、Ｕの公共キーを知っている。公共キー名簿の普通の利用にとって、これは通常、定義から導かれる実状である。なぜなら、そのような利用をする誰もが、この公共キーをＵと結びつけることができるからである。信任状転送のための暗号学的機構においては、しかしながら、公共キー名簿は一切使われない。ある信任状を表現する情報は、この信任状の所有者がその所有をある受取人に示したいときには、この所有者によってのみ示される。一般的に用いられている機構においては、ある公共キーと、この公共キーに関する公共キー証明書が転送される。Ｕの公共キーに対応する、秘密キーは、Ｕが、転送に署名する、または、付加的な情報の所有を証明する等の、付随的な事を行えるようにする（オンラインの機構では、Ｕは、秘密キーを知る必要なしに済ませるかもしれない。また公共キーは、ある通信またはそれに関する一方向細切りであり得る）。この信任状はＣＡによって発行され、発行される信任状のタイプは、例えば、ＣＡが計算する署名のタイプによって表されることができる。ＣＡの証明書は、受取人に当てるこの信任状が、法律的に有効であることを証明する一方、Ｕによって彼の秘密キーでなされる署名は、Ｕがこの受取人に、進んでこの信任状を転送したということを証明する。もし転送機構が、プライバシーを保護すべきものならば、ＣＡは、この公共キーとこの証明書が何であるかを知っていなければならない。なぜなら、これらは転送されるとき明るみになるからである。さて、図５に移って、第二の好ましい実施例における、完全に隠蔽される秘密キー発行手続きのフローチャートをこれから詳しく説明する。今までの図におけるフローチャートと違って、文字列Ｉは、もしそれが、彼の名前のような、Ｕに関する情報を明らかにするならば、勿論、ｈおよびａといっしょに細切れにされてはならない。そうでなければ、証明書発行手続きを隠蔽する意味が全然無いだろう。Ｕが受け取った情報をさらに転送したいその相手先の当事者を示す様な、文字列Ｉを、Ｕが細切りすることを、ＣＡは要求するかもしれないが、都合のため、文字列Ｉは以後、省略される。ボックス５１は先ず、ＣＡが、Ｚ_qのある数ｗ₀を無作為に生成することを示す。第２行は、ＣＡがｇ^w0を計算することを示す。このｇ^w0は以下、さらなる参照のため、ａ₀と表わされる。第３行に示されているように、ＣＡはそれからａ₀をＵに転送する。ボックス５２は先ず、Ｕが、Ｚ_qのある数ｘを無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｇ^xに等しくなるように設定することによって、計算するすることを示す。第３行は、Ｕが、Ｚ_qのある二つの数ｔ，ｕを無作為に生成することを示す。これらの乱数を使って、第４行は、Ｕが、ａ₀ｇ^tｈ₀ ^uを計算することによって、いかにａ₀を隠すかを示す。この数はさらなる参照のため、ａと表される。第５行は、ＵがＨ（ｈ、ａ）を計算することを示す。これはｃと表される。Ｕは、第６行に記述されているように、ｃ＋ｕｍｏｄｑを計算しこのｃを隠蔽する。この計算した数は、さらなる参照のため、ｃ₀と表される。第７行に示されているように、Ｕはそれから、ｃ₀をＣＡに転送する。ボックス５３は先ず、ＣＡが、ｃ₀ｘ₀＋ｗ₀ ｍｏｄｑを計算することを示す。これはさらなる参照のためｒ₀と表わされる。第２行に示されているように、ＣＡはそれからｒ₀をＵに転送する。ボックス５４は先ず、Ｕが、ｇ^r0ｈ₀ ^-c0がａ₀に等しいかどうか検証することを示す。第２行に示されているように、このことが成立する場合には、Ｕは、ｒ₀ ＋ｃｘ＋ｔｍｏｄｑを計算する。これはｒと表される。１．６．第五の典型的証明書発行手続きこれまで説明してきた証明書発行手続きは、Ｕによって用いられることができる、様々な程度の無作為化を、織り込んだ技法を、実質的には表明している。特に価値のある無作為化は、Ｕが、完全に公共キーおよび秘密キー証明書を隠蔽することができるものである。そこでは、ＣＡは、この対に関して何の情報も得ることができないが、Ｕも、この公共キーに対応する秘密キーを完全に隠蔽することはできない。より具体的には、Ｕの秘密キーは、少なくとも二つの数からなるベクトルであり、Ｕは、このベクトルの数たちの前もって決定された非定数関数を、隠蔽することはできない。このような発行手続きはひとつの制限的隠蔽署名手続きであり、例えば、特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９において記述され請求されているものである。この技法の恩恵は、Ｕが、ＣＡによる事後の探索を、可能にすることなく（公共キーと証明書は完全に隠蔽されているので）、信任状（制限的隠蔽署名手続きを実行し、秘密キー、照合する公共キー、そしてこの公共キーに関する秘密キー証明書を、検索することにより、得られる）を示すことができる一方、手続きの適切な提示は（このためには、Ｕは、彼の秘密キーを使って、さらなる作用を実行しなければならない），Ｕが実行することのできる作用の範囲を、限定することができる、ということである。特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９においては、制限的隠蔽発行手続きを実行することによって得られる、信任状を転送するための幅広い種々の技法が、記述され請求されている。さて、図６に移って、第一の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの第一のフローチャートを、詳しく説明する。この手続きはまた、特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９において記述され請求されているが、評価されるように、この手続きが、一つの制限的隠蔽秘密キー証明書発行手続きであることを明白に示すために、ここに含められている（本記法を使って）。Ｕのキー対は、これまで使われてきたものとは異なわなければならない。なぜなら、この秘密キーは少なくとも二つの数からなるベクトルであるからである。具体性のため、次の選択が行われる。Ｕの秘密キーはＺ_q×Ｚ_qの一対（ｘ，Ｉ）であって、ｇ^xｇ₁ ^Iがｈに等しいものである。ここで、ＣＡは、Ｚ_qのある（秘密の）数ｙを無作為に生成し、ｇ₁をｇ^yに設定することによって、ｇ₁を生成する。本技術における通常の技能を持つ者に明らかであろうように，このことは、ＣＡ以外の当事者がｌｏｇ_gｇ₁を計算することが、実際上不可能であることを意味する。この対の第二の数Ｉは、ＣＡによって、証明書発行手続きの間、Ｕの秘密キーに符号化される。ＵはＩを修正することはできないけれども、自分で、Ｚ_qのｘを無作為に生成することができる。ここで、実質的には、ｈはＧ_qから、Ｉとは独立に、無作為に生成される。すでに述べたように、数ＩはＵの身分証明に関連しているかもしれないが、信任状の仕様のような無関係な情報を含んでいるかもしれない。ボックス６１は先ず、ＣＡが、Ｚ_qのある数ｗ₀を、無作為に生成することを示す。第２行は、ＣＡが、ｇ^w0を計算することを示す。このｇ^w0は以下、さらなる参照のため、ａ₀と表わされる。第３行に示されているように、ＣＡはそれから、ａ₀をＵに転送する。ボックス６２は先ず、ＵがＺ_qのある数ｘを生成することを示す。対（ｘ，Ｉ）は彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｇ^x ｇ₁ ^Iに等しくなるように設定することによって計算することを示す。さらに、第３行に示されているように、Ｕが、Ｚ_qのある二つの乱数ｔ，ｕを生成する。これらの乱数は、隠蔽されたｒとｃを得るために使われる。第４行は、Ｕが、ａ₀ ｇ^t（ｈ₀ｇ₁ ^I）^uを計算することを示す。この数は、さらなる参照のため、ａと表される。第５行に示されているように、Ｕはそれから、Ｈ（ｈ、ａ）を計算する。これはｃと表される。第６行は、Ｕがｃ＋ｕｍｏｄｑを計算する事を特定している。これはｃ₀と表される。第７行に示されているように、Ｕは、それからｃ₀をＣＡに転送する。ボックス６３は先ず、ＣＡが、ｃ₀（ｘ₀＋ｙＩ）＋ｗ₀ ｍｏｄｑを計算することを示す。これは、さらなる参照のため、ｒ₀と表わされる。第２行に示されているように、ＣＡはそれから、ｒ₀をＵに転送する。ボックス６４は先ず、Ｕが、ｇ^r0（ｈ₀ｇ₁ ^I）^-c0がａ₀に等しいかどうかを、検証することを示す。第２行に示されているように、このことが成立する場合には、Ｕは、ｒ₀＋ｃｘ＋ｔｍｏｄｑを計算する。これはｒと表される。本技術における通常の技能を持つ者によって、容易に確かめられるように、対（ｃ，ｒ）は、Ｕの公共キーｈに関する、ある秘密キー証明書であり、Ｕはｈに対応するある秘密キーを知っている。Ｕは、ｈと（ｃ，ｒ）を完全に隠蔽したけれども、この秘密キーを完全に隠蔽することは、実際上不可能である。すなわち、Ｕのこの秘密キーは対（ｘ，Ｉ'）であり、ｇ^xｇ₁ ^I'がｈに等しく、もし（ｃ、ｒ）がｈに関するある秘密キー証明書であるならば、Ｉ'は、ｑを法として、Ｉに等しいところのものである。ここで、Ｉは、ボックス６３において、ＣＡがその応答ｒ₀へ符号化したものである。１．７．二つ以上の受け取り当事者評価されるだろうように、図６に示されている手続きはまた、この秘密キー証明書を、Ｕおよび付随的な第三の当事者Τに対して発行するときにも、使われる。ただし、このΤは、次のように、本質的にＣＡの管理下にあるものである。すなわち、Ｕは、この公共キーおよびこの公共キーに関するこの秘密キー証明書を知るようになり、この公共キーに対応するこの秘密キーは、ＵとΤによって、そののどちらも単独には決定することができないように、共有されるということである。この目的のために、ＣＡは最初に、ＩをΤに知らせるが、Ｕには知らせない。Ｕに対してはｇ₁ ^Iだけを通報する。図６に示されている手続きは、全くそのままである。しかし今や、Ｕは、引き続く証明書提示手続きにおいて、署名のみを計算することができる、あるいは、Τが協力するとき、この秘密キーに関する知識を証明することができる。なぜなら、ΤはＩを知っており、Ｕはｘを知っており、証明済みのこの公共キーはｇ^xｇ₁ ^Iであるからである。評価されるであろうように、ＣＡが、ＩのみをΤに知らせる、初期設定によって、Τは、必ずしもこの秘密キー証明書発行手続きに参加する必要はない。特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９においては、次のような、引き続く証明書提示手続きを導く技法が、詳述され請求されている。すなわち、ΤとＵが、異なった挑戦に対して、少なくとも二度、提示手続きを行うとき、Ｉが計算されることができるか、または、ＵとΤが何度提示手続きを行っても、Ｉは決して計算されることができない、ような手続きである。証明書が、上のパラグラフにおいて述べたように、発行される場合における、証明書発行手続きの他の修正は、本技術における通常の技能を持つ者に明らかであろう。そのような修正の一つは、図６において、ｇ₁がｇに等しく取られることである（それに対応して、ｙは１に等しい）。その場合には、Τは発行手続きの終わりにＩを知り、Ｕはｘを知り、証明された公共キーはｇ^x+Iに等しい。評価されるだろうように、結果として実施される、発行手続きは、実質的には、図５に記述されているものである。ただし、ＣＡの役割は、今や、ＣＡとΤによって演じられる。秘密キーｘ₀を使う代わりに、彼らの秘密キーは、今や、ｘ₀＋Ｉｍｏｄｑである。２．第二の典型的秘密キー証明書これまで説明してきた典型的なフローチャートの各々は、発行手続きの個別なタイプを明らかにしている。発行される秘密キー証明書は、これらすべてのフローチャートにおいて同じである。前に述べたように、一般構成技法は、ファイアット／シャミルタイプの他のどの署名概型にも同様に適用されることができる。これまで提供してきた詳細な説明は、本技術における通常の技能を持つ者が、一般構成技法を、他のファイアット／シャミルタイプの署名に、直接応用することを可能にするけれども、例示的目的のため、一般構成技法を、幾つかの他のファイアット／シャミルタイプの署名に応用してみることにする。これらの証明書のための、発行手続きについては、一切述べない。なぜなら、本技術における通常の技能を持つ者が、図２から６の創意的な技法を、これら新しい証明書に応用することは、容易であると信じられるからである（隠蔽される発行を許さないようにみえる、一つの特殊な証明書を除いて。これはこの特殊な証明書の説明に際して後に述べる）。第二の好ましい実施例における、第二の典型的秘密キー証明書を、これから説明する。これは、一般構成技法を、オカモト署名概型に応用することによって、構成される(Okamoto，T.，"Provably secure and practical identification sc hemes and corresponding signature schemes ,"Section 6.1．Crypto'92，Lectu re Notes in computer science 740，Springer-Verlag(1993)，pp．31-53を参照せよ)。ＫＡＣのキー生成手段：ＣＡの秘密キーは、Ｚ_q×Ｚ_qの一対（ｘ₁、ｘ₂）であり、対応する公共キーは、Ｇ_q×Ｇ_qにおける（ｇ₁，ｇ₂、ｈ₀）であり、ｇ₁，ｇ₂ はＧ_qのジェネレータであり、ｈ₀はｇ₁ ^x1ｇ₂ ^x2を表す。好ましくは、ｘ₁をｘ₂ はＺ_q内において一様に乱数として選ばれ、ｇ₁とｇ₂はＧ_q＼｛１｝から一様に乱数として選ばれる。三つ組（ｇ₁、ｇ₂、ｈ₀）とＧ_qの説明は、ＣＡによって一般に公開される。ＣＡはまた、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメーターｔについて、Ｚ_2tに含まれる。この関数は、オカモト署名概型を安全にすると信じられる要件を、満たすべきである。好ましくは、Ｈは衝突しないことである。証明書検証手段：Ｕの、Ｇ_qにおける、公共キーｈに関する、秘密キー証明書は、Ｚ_2t×Ｚ_q×Ｚ_qにおける三つ組（ｃ，ｒ₁、ｒ₂）であって、ｃがＨ（ｈ，ｇ₁ ^r1 ｇ₂ ^r2（ｈ₀ｈ）^-c，Ｉ）に等しいものである。この秘密キー証明書は、代わりに、Ｇ_q×Ｚ_q×Ｚ_qにおける三つ組（ａ，ｒ₁、ｒ₂）とすることもできる。この場合には、ｇ₁ ^r1ｇ₂ ^r2（ｈ₀ｈ）^-cがａに等しければ、この三組がｈに関する秘密キー証明書である。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。この証明書は、実質的には、公共キーｈ₀ｈに対応する一つの秘密キーでなされる、ｈへのオカモト署名である。Ｕのキー生成手段：第一の好ましい実施例のための第一の秘密キー証明書に関して、前に提供したキー対の議論が、ここでも同様に適用される。（この技術における通常の技能を持つ者に明らかであろうように、都合上ここで選ばれた記号、ｇ₁、ｇ₂、ｘ₁、ｘ₂は、そのときの議論における記号を意味しない）。証明書発行手段：本技術における通常の技能を持つ者は、（ａ）図２から６の発行手続き、および（ｂ）Ｕと付随的な当事者Τに対して秘密キー証明書を発行するための、あの創意的な技法のために、それらの創意的な技法を直接応用して、本秘密キー証明書のための、同様の証明書発行手続きを構成することができると信じられる。３．第三の典型的秘密キー証明書一般構成技法を、ブリッケル／マッカーリー署名概型に応用することによって構成される、第一の好ましい実施例における、第三の典型的秘密キー証明書を、以下詳しく説明する(Brickell,e．and Mccurley，K.，"An interactive identif ication scheme based on discrete logarithms and factoring ,"Journal of Cr yptology，Vol．5，no．1(1992)，pp．29-39を参照せよ)。本技術において周知のように、ブリッケル／マッカーリー技法は、シュノルとオカモト両者の署名概型に適用されることができる。この技法は、群Ｇ_qの位数ｑが、Ｕに知られないままにするよう保証することからなる。代わりに、シュノルまたはオカモト概型における、ｑを法として行われる計算は、ｑの大きな倍数計算によって置き換えられる。この目的のために、その記述において、Ｇ_qは、Ｚ_p ^*の位数ｑの一意的な部分群と仮定される。ここでｐは、ｐ−１がｑの倍数であるような素数であり、ｐ−１は、ｑの大きさに比べられるような、もう一つの約数を持っているようなものである（これはｐ−１の効率的な因数分解を防ぐためである）。ＣＡのみがｑを知っていて、その内部使用のための計算を早める。顕在性のために、シュノル署名概型への応用を、以下では仮定する。ＫＡＣのキー生成手段：これは、第一の秘密キー証明書に関するものと同じである。唯、今回は、Ｇ_qが上に述べたような特別の形式であり、ｑは一般に公開されない。ＣＡさえもｑを知らない場合に備えて、ｘ₀はＺ_p-1から無作為に選択される。証明書検証手段：Ｕの、Ｇ_qにおける、公共キーｈに関する、秘密キー証明書は、Ｚ_2t×Ｚ_p-1における対（ｃ，ｒ）であって、ｃがＨ（ｈ，ｇ^r（ｈ₀ｈ）^- ^c ，Ｉ）に等しいものである。第一の秘密キー証明書と同じく、この秘密キー証明書は、代わりに、Ｇ_q×Ｚ_p _-1 における対（ａ，ｒ）とすることもできる。Ｕのキー生成手段：第一の好ましい実施例における、第一の秘密キー証明書に関して、前に提供したキー対の議論は、ここでも同様に適用される。ただし、Ｕの秘密キー（あるいは、一般型においては、秘密キーにおける各要素の数）は、Ｚ_p-1から選ばれるという違いはある。証明書発行手段：再び、（ａ）図２から６の発行手続き、および（ｂ）Ｕと付随的な当事者Ｔに対して秘密キー証明書を発行するためのあの創意的な技法のために、それらの創意的な技法を直接応用して、本秘密キー証明書のための、同様の証明書発行手続きを構成することは容易なことである。ここでは、ｑを法として行われるすべての計算は、ｐ−１を法とする計算に置き換えられなければならない（もしＣＡがｑを知っているならば、勿論、ＣＡはやはりＺ_p-1のｗに対して、ｇ^wを計算することができる）。４．第四の典型的秘密キー証明書一般構成技法をＤＳＡに応用することによって構成される、第一の好ましい実施例における第四の典型的秘密キー証明書を、以下詳しく説明する(NIST，“Spe cifications for a digital signature standard(DSS) ,”Federal information Proocessing Standards Pub．(draft)，Aug．19，(1991)を参照せよ)。ＫＡＣのキー生成手段：ＣＡの秘密キーはＺ_qのある数ｘ₀であり、対応する公共キーは、Ｇ_q×Ｇ_qにおける（ｇ、ｈ₀）である。ここでｇはＧ_qの生成元であり、ｈ₀はｇ^x0を表す。対（ｇ、ｈ₀）とＧ_qの説明はＣＡによって一般に公開される。ＣＡはまた、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメーターｔについて、Ｚ_2tに含まれる。この関数は、ＤＳＡを安全にすると信じられる要件を、満たすべきである。証明書検証手段：Ｕの、Ｇ_qにおける、公共キーｈに関する、秘密キー証明書は、Ｚ_q×Ｚ_qにおける対（ａ，ｒ）であって、ｇ^cr-1（ｈ₀ｈ）^ar-1 ｍｏｄｑがａに等しくなるものである。ここで、ｃはＨ（ｈ，Ｉ）を表す。Ｕのキー生成手段：第一の好ましい実施例における、第一の秘密キー証明書に関して、前に提供したキー対の議論は、ここでも同様に適用される。証明書発行手段：本技術における通常の技能を持つ者は、図２の発行手続きを直接修正して、本秘密キー証明書のための、同様の証明書発行手続きを、構成することができるものと信じられる。この特別の実現に関して、次のことに注意しておくことは重要である。すなわち、本申請に記述されている、他の秘密キー証明書とは違って、図３から６の発行手続きと同様の発行手続きを、どのようにして構成するかは、明らかでない。５．第五の典型的秘密キー証明書一般構成技法のある種の変形が同様に使用できることを、これから明らかにする。一般構成技法のひとつの変形を、シュノル署名概型に応用することによって構成される、第一の好ましい実施例における、第五の典型的秘密キー証明書を、以下詳しく説明する。ＫＡＣのキー生成手段：これは、第一の秘密キー証明書に関するものと同じである。証明書検証手段：Ｕの、Ｇ_qにおける、公共キーｈに関する、秘密キー証明書は、Ｚ_2t×Ｚ_qにおける対（ｃ，ｒ）であって、ｃがＨ（ｈ，ｇ^rｈ^-c、Ｉ）に等しいものである。この秘密キー証明書は、代わりに、Ｇ_q×Ｚ_qにおける対（ａ，ｒ）であって、ｇ^rｈ^-cがａに等しいものとすることもできる。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。この秘密キー証明書は、一般構成技法を応用することによって、シュノル身分証明概型から構成されないようである。というのは、公共キーｈ₀が検証関係から消えてしまっているようだからである。しかし、今回は、ｈ₀は、Ｕによって使われるキー対の定義に現れなければならない。言い換えれば、単に、一般構成技法のわずかな変形が応用されたのである。Ｕのキー生成手段：一般に、この修正された秘密キー証明書が、安全であるない。ここで、無作為に選択される元ｇ_iのどれも、ｇ（またはｇの公に知られている累乗）に等しくない。第一の秘密キー証明書と同じく、ｇ₁，．．．，ｇ_k は、無作為に選択されるＧ_qの生成元であり、ｇ，ｈ₀、そしてＧ_q及びＨの説明と共にＣＡによって出版される。実際には、キー対の、より簡単な形式を使いたいかもしれない。最も簡単な形式は、Ｕの秘密キーがＧ_qの元ｘであり、公共キーｈが（ｈ₀）^xに等しく、ｈが１に等しくない場合におけるものである。他の簡単な形式は、Ｕの秘密キーが対（ｘ₁、ｘ₂）であり、ｈがｇ₁ ^x1ｈ₀ ^x1に等しい場合におけるものである。第一の好ましい実施例における、第一の秘密キー証明書のために提供されたすべての発行技法を、この修正された秘密キー証明書のための発行手続きを構成するために、直接応用するすることができることを明らかにするために、この修正された秘密キー証明書のための、その実現が最も困難なタイプの発行手続きをこれから説明する。さて、図７に移って、第一の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの第二のフローチャートを詳しく説明する。Ｕの秘密キーはＺ_q×Ｚ_qの一対（ｘ，Ｉ）であって、公共キーｈはｇ₁ ^xｈ₀ ^Iに等しい。前のフローチャートにおけると同じく、ＣＡは、Ｚ_qのある（秘密の）数ｙを無作為に生成し、ｇ₁をｇ^yに設定することによって、ｇ₁を生成する。本手続きにおいてＵによって行われる隠蔽は、前の手続きにおけるものとは異なるが、その制限性はやはり成立する。ＣＡがＵの秘密キー（ｘ，Ｉ）に符号化する数はＩ／ｘｍｏｄｑである。前の、フローチャートにおけると同じく、本発行手続きの開始に当たって、ＣＡは、Ｚ_qの数Ｉに関して決定を行う。そしてこのＩは、ＣＡによって、証明書発行手続きの間、Ｕの秘密キーに符号化される。ボックス７１は先ず、ＣＡが、Ｚ_qのある数ｗ₀を無作為に生成することを示す。ａ₀と表わされる。第３行に示されているように、ＣＡはそれから、ａ₀をＵに転送する。ボックス７２は先ず、ＵがＺ_qのある数ｘを生成することを示す。対（ｘ，Ｉｘｍｏｄｑ）は彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、（ｈ₀ｇ₁ ^I）^xに等しくなるように設定することによって計算する。さらに、第３行に特定化されているように、Ｕが、Ｚ_qのある二つの乱数ｔ，ｕを生成する。これらの乱数は、隠蔽されたｒとｃを得るために使われる。第４行は、Ｕが、ａ₀ ^xｇ^t（ｈ₀ｇ₁ ^I）^xuを計算することを示す。この数はａと表される。第５行に示されているように、ＵはそれからＨ（ｈ、ａ）を計算する。これはｃと表される。第６行は、Ｕがｃ＋ｕｍｏｄｑを計算する事を示す。これはｃ₀と表される。第７行に示されているように、Ｕはそれから、ｃ₀をＣＡに転送する。ボックス７３は先ず、ＣＡがｃ₀（ｘ₀＋ｙＩ）＋ｗ₀ ｍｏｄｑを計算することを示す。これは、さらなる参照のため、ｒ₀と表わされる。第２行に示されているように、ＣＡはそれから、ｒ₀をＵに転送する。することを示す。第２行に示されているように、このことが成立する場合には、Ｕは、ｒ₀＋ｘ＋ｔｍｏｄｑを計算する。これはｒと表される。本技術における通常の技能を持つ者によって、容易に確かめられるように、対（ｃ，ｒ）は、Ｕの公共キーｈに関する、ある秘密キー証明書であり、Ｕは、ｈに対応するある秘密キーを知っている。次のことが成立する。すなわち、Ｕのこの秘密キーは対（ｘ，Ｉ'）であり、ｈ₀ ^xｇ₁ ^I'がｈに等しく、もし（ｃ、ｒ）がｈに関するある秘密キー証明書であるならば、Ｉ'／ｘｍｏｄｑは、ｑを法として、Ｉに等しいところのものである。ここで、Ｉは、ボックス７３において、ＣＡがその応答ｒ₀へ符号化したものである。第二の好ましい実施例第二の好ましい実施例ににおいては、計算は、ｎを法とする乗法群Ｚ_n ^*において行われる。ここで、ｎは二つの相異なる大きな素数の積である。この群の位数は、せいぜい、発行する当事者にしか知られることがないので、指数の計算は、Ｚ_n ^*の位数の真の約数でない、ある数ｖを法として、行われる。この理由によって、以下に説明される、隠蔽された証明書発行手続きにおいては、ｄｉｖｖを含む表現が現れる。ｘｄｉｖｖはｘをｖで割ったときの整数部分である（任意の自然数ｘはｘｍｏｄｖ＋ｖ（ｘｄｉｖｖ）に等しいことを想起せよ）。Ｚ_n ^*における乗法及び除法は常にｎを法として行われるので、演算子ｍｏｄｎは常に省略される。従って、例えば、ｗ^vはｗ^v ｍｏｄｎを表す。他の法演算が行われる場合には、その法演算子は顕在的に表される（例えば、ｃ₀＝ｃ＋ｕｍｏｄｖ）。もし数が群または環から選択される場合には、常に、最小の正の剰余が意味される。例えば、ｗ∈_RＺ_n ^*は、ｗが、ｎと互いに素である数の全体からなる｛１，．．．，ｎ−１｝の部分集合から、無作為に選択されることを意味する（実用的には、この部分集合は｛１，．．．，ｎ−１｝そのものとしてもよい）。本技術における通常の技能を持つ者に明らかであろうように、ｖは合成数でも素数でもよい。第一の好ましい実施例におけると同じく、典型的秘密キー証明書は、すべて、ファイアット／シャミル署名概型から、一般構成技法を応用することによって、構成される。説明の構造は、第一の好ましい実施例における説明の構造と同様である。すなわち、まず最初に、一つの特別のシステムの詳細な説明を、種々の発行手続きの説明と共に発表し、続いて、一般構成技法が、どのように他のファイアット／シャミルタイプの概型に応用されるかについて、説明する。１．第一の典型的秘密キー証明書一般構成技法を、ギユ／キスカテ署名概型に応用することによって、構成される、第一の好ましい実施例における、第一の典型的秘密キー証明書を、以下詳しく説明する（Guillou，1．and Quisquater，J.，"A practical zero-knowledge protocol fitted to security microprocessor minimizing both transmission and memory ,"Lecture notes in computer Science 330，Proceedings of Eurocr ypt'88，springer-V e rlag 91989)，pp．123-128を参照せよ）。ＫＡＣのキー生成手段：ｖをＺ_n ^*の一つの元とせよ。ｖの都合のよい選択は、ｖをφ（ｎ）と互いに素である素数に取ることである。ここでφ（ｎ）はＺ_n ^* の元の数である。ＣＡの秘密キーはＺ_n ^*のある数ｘ₀であり、対応する公共キーｈ₀は、ｘ₀ ^vに等しい。好ましくは、ｘ₀は、Ｚ_n ^*において、一様分布にしたがって無作為に選択される。三組（ｎ，ｖ，ｈ₀）はＣＡによって一般に公開される。ＣＡはさらに、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメーターｔと信じられる要件を、満たすべきであり、好ましくは、Ｈは衝突しないことである。証明書検証手段：Ｕの、Ｚ_n ^*における、公共キーｈに関する、秘密キー証明書は、Ｚ_2t×Ｚ_n ^*における対（ｃ，ｒ）であって、ｃがＨ（ｈ，ｒ^v（ｈ₀ｈ）^-c，Ｉ））に等しいものである。ここで、Ｉは、第一の好ましい実施例において述べたものと同じであり、前と同じく、Ｉを含めることは、厳密には必要でない。この秘密キー証明書は、代わりに、Ｚ_n ^*×Ｚ_n ^*における対（ａ，ｒ）とすることもできる。この場合には、ｒ^v（ｈ₀ｈ）^-cがａに等しければ、この対がｈに関する秘密キー証明書である。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。本技術における通常の技能を持つ者に明らかであろうように、この秘密キー証明書は、一般構成技法を、ギユ／キスカテ身分証明概型に応用することによって、構成される。この証明書は、実質的には、公共キーｈ₀ｈに対応する秘密キー（ｈ₀ｈ）^1/vでなされる、ｈへのギユ／キスカテ署名である。Ｕのキー生成手段：一般形式においては、Ｕの秘密キーは、組（ｚ₁，．．．，ｚ_k；ｘ）であって、各ｚ_iがＺ_vに属し、ｘがＺ_n ^*に属し、ｈが（Π_i=1 ^kｇ_i ₁，．．．，ｚ_k；ｘ₁，．．．，ｘ₁）であって、ｈが、適当な指数ｖ_iに対して、の技能を持つ者にとって、、開示される創意的な技法を、このより一般的な形式に応用することは、一本道のことであると信じられる。）ここで、ｇ₁，．．．，ものである（この条件は、ｎの素の約数ｐとｑを、ｐ−１とｑ−１が共に大きな素の約数を持つようなものに取ることによって満たされる）。これらすべての数は、ｎ，ｖ，ｈ₀及び、Ｈの説明と共に、ＣＡによって、公に手にはいるようにされる。評価されるであろうように、任意の整数ｖ₁が、Ｕのキー対のために用いられることができる。今後、具体性のため、ｖ₁は常にｖに等しく取られる。好ましくは、各ｇ_i（１≦ｉ≦ｋ）にたいして、ＣＡは、発行手続きを導くために、ｇ_i ^1/vを知っているべきである。公共キーｈ₀ｈに対応するＣＡの秘密キ実際には、キー対のより簡単な形式を使いたいかもしれない。最も簡単な形式式とも、Ｕが署名を計算したり、彼の秘密キーに関する知識を証明することを許これらの仕事のための、安全な発行手続きは、本技術において、何も知られていない。）図１２のフローチャートに明らかにされるだろうように、この第二の形式は、制限的隠蔽署名手続きを構成する上で、特別重要である。証明書シミュレーション手段：本技術における通常の技能を持つ者は、次のによって、検証関係が成立するような対ｈ、（ｃ、ｒ）を、誰でも、実際上生成することができるということである。このとき、ｃはＨ（ｈ，ａ，Ｉ）に等しく、対（ｃ，ｓ^cｔ）はｈに関する秘密キー証明書である。しかしながら、上記三つのパラグラフにおいて説明した、キー概型の一つに従って、公共キーｈに対応する秘密キーと共に、このような対を実際に生成する能力は、ギユ／キスカテ署名を偽造することを可能にする。種々の証明書発行手続きのための、典型的な実施例を提供する前に、本技術における通常の技能を持つ者が、記述される秘密キー証明書がどのように実用的に使用されるかを、評価するために、助けとなるよう、幾つかの例を提供する。１．１．第一の典型的秘密キー証明書の例される数であり、好ましくは、大きな位数を持ち、またＣＡによって、公に手にである。公共キー名簿から、Ｕ₁は、Ｕ₂の公共キーｈ₂と文字列（ｃ₂、ｒ₂）を安全に上記暗号化された通信をＵ₂に転送することができる。ここで、Ｕ₂は、ある数ｓを無作為に生成し、対（ｇ^s、ｈ₂ ^sｍ）をＵ₂に転送する。もしＵ₂がｍを解読し回復することができれば，Ｕ₂はｌｏｇ_gｈ₂を知っているに違いない（本技術に周知のように、このことは、因数分解の仮定の下で、無作為に選択されたｍについて成立する）。このことは一方、Ｕ₂が自分だけで（ｈ₂，（ｃ₂，ｒ₂））を生成することは、できなかったであろうことを示す。る公共キーｈはｘ^vに等しいものと仮定する。Ｕ₂が、ギユ／キスカテ署名概型を用いて、Ｕ₁宛の、ある通信ｍにデジタル署名することを想定せよ。Ｕ₁は、Ｕ₂ から、ｃがＨ（ｍ，ｒ^vｈ₂ ^-c）に等しいような、ある対（ｃ、ｒ）を受け取る。Ｉ₂）に等しいような一対（ｃ₂、ｒ₂）とともに、掲載されているならば、Ｕ₂がこの署名を計算できるという事実は、Ｕ₁に対して，Ｕ₂のこのキー対が、ＣＡによって証明されたものであることを、知らせる。これら二つのの事実は、誰によっても検証されることができ、従って、法的意義がある。１．２．第一の典型的証明書発行手続き証明書発行手段：上述した秘密キー証明書を、発行するための、第一の好ましい実施例において述べたものと同様の、種々の、証明書発行手続きを、以下に説明する。顕在性のため、これらのフローチャートの各々において、Ｕのキー対は、最も単単純な形式、すなわち、Ｕの秘密キーはＺ_n ^*のある数ｘ、それに対応する公共キーｈはｘ^vに等しいものとする。通常の技能を持つ者は、これらの創意的な技法を、Ｕの他のタイプのキー対に適応するよう、直接応用することができると信じられる。図８を参照しながら、第二の好ましい実施例における、第一の秘密キー証明書発行手続きのフローチャートを、以下詳細に説明する。本技術における通常の技能を持つ者に明らかであろうように、この発行手続きは、図２の手続きと同じ機能性を持っている。ボックス８１は先ず、ＣＡがＵによって用いらるよう、Ｚ_n ^*に属する、ある秘密キーｘを生成することを示す。その第２行に示されているように、μの、それに対応する公共キーｈは、ｘ^vに等しく取られる。ボックス８２は先ず、ＣＡがＺ_n ^*のある数ｗを無作為に生成することを示す。第２行は、ＣＡがｗ^vを計算することを示す。このｗ^vを、さらなる参照のため、ａと表わす。第３と第４行は、ＣＡがＨ（ｈ，ａ，Ｉ）と（ｘ₀ｘ）^cｗを計算することを示す。このＨ（ｈ，ａ，Ｉ）を以下ｃと表し、（ｘ₀ｘ）^cｗをｒと表す。ＣＡはそれから、第５行に述べられているように、秘密キーｘと対（ｃ、ｒ）をＵに転送する。ボックス８３は先ず、Ｕが、自分の公共キーｈを、ｘ^vに設定することによって、計算することを示す。第２行は、ｃが三つ組（ｈ，ｒ^v（ｈ₀ｈ）^-c，Ｉ）の細切り値に等しいかどうかを、Ｕが検証することを示す。もしこの等式が成立するならば、対（ｃ，ｒ）は、Ｕの公共キーｈに関する、秘密キー証明書であり、Ｕは、ｈに対応する秘密キーを知っている。本技術における通常の技能を持つ者に明らかであろうように、もしＣＡが、ｎの素因数分解を知るっているならば、ボックル８２において、ＣＡは、単に、Ｚ_n ^* の任意の数を取ることができる。勿論、ｖ乗根が含まれるので、ＣＡは、この数を、Ｚ_n ^*のすべてのｖ乗の集合から、生成しなければならい。もし、例えば、ｖがφ（ｎ）と互いに素なある数の２倍であるならば、ｎを法とするｖ乗根は、Ｚ_n ^*における平方剰余に対してのみ存在する。１．３．第二の典型的証明書発行手続き第一の好ましい実施例におけると同様、ＣＡがＵの秘密キーを知っていなければならないという必要は、Ｕに計算の一部を実行させることによって除かれる。図９に移って、第二の好ましい実施例における、Ｕの秘密キーをＣＡから隠す、秘密キー証明書発行手続きのフローチャートを、次に詳しく説明する。本技術における通常の技能を持つ者に明らかであろうように、この発行手続きは、図３の手続きと同じ機能性を持っている。ボックス９１は先ず、ＵがＺ_n ^*に属するある数ｘを無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕがこれに対応する公共キーｈをｘ^vに等しく設定することによって計算することを示す。Ｕはそれから、第３行に示されているように、ｈをＣＡに転送する。ボックス９２は先ず、ＣＡがＺ_n ^*に属するある数ｗを、無作為に生成する。第２行はＣＡがｗ^vを計算することを示す。このｗ^vはさらなる参照のため、ａによって表される。第３行と４行は、ＣＡがＨ（ｈ，ａ，Ｉ）とｘ₀ ^cｗを計算することを示す。これらはそれぞれｃとｒ₀で表される。第５行は、ＣＡがこの対（ｃ、ｒ₀）をＵに転送することを示す。ボックス９３は先ず、ｃが三つ組（ｈ，ｒ₀ ^vｈ₀ ^-c，Ｉ）の細切り値に等しいかどうかを、Ｕが検証することを示す。第２行に示されているように、もしそうである場合には、Ｕはｒ₀ｘ^cを計算する。これはｒと表される。本技術における通常の技能を持つ者によって、容易に確かめられるように、対（ｃ，ｒ）は、公共キーｈに関するある秘密キー証明書であり、Ｕは、ｈに対応する秘密キーを知っている。１．４．ＣＡから秘密キーを隠すこと第一の好ましい実施例と違って、ＲＳＡ関数は落とし戸を持っている（すなわち、ｎの素因数分解）。もしＣＡがこの素因数分解を知っているならば、たとえ、Ｕが図９の発行手続き使って、隠そうとしても、ＣＡは常に、秘密キーを計算することができる。それにも関わらず、ＵがＣＡから秘密キーを隠すことは意味がある。すなわち、複数の秘密キーが、同一の公共キーに対応し、Ｕがその唯一つだけ（または対応する秘密キーのごく一部）を知っている場合である。次の例はこのことを評価するために助けとなろう。（ｈ₁、ｈ₂）は彼の公共キーである。本技術において周知のように、この公共キ上記発効手続きの一本道の修正は、Ｕのため、彼の公共キー（ｈ₁、ｈ₂）に関する秘密キー証明書を取ってやる（この証明書は、例えば、対（ｃ、ｒ）であって、ｃが（ｈ₁，ｈ₂，ｒ^v（ｈ₀ｈ₁）^-c，Ｉ）に等しいものである）。勿論、本技術における通常の技能を持つ者に明らかであろうように、署名の偽造を防ぐには、署名ののための検証関係における数ｍは、通信そのものであることに代えて、すくなくとも、通信と公共キーの一方向細切りに等しくなければならない。今や、たとえＣＡが素因数分解を知っていても、従って、（ｈ₁、ｈ₂）に対応するすべての秘密キーを、計算することができても、Ｕによって知られている特別の秘密キーを、特定することができる確率は、無視できる。本技術において周知のように、この署名概型は、立会人の見分けがつかない。このことは他方、もしＣＡが、別の秘密キーを使って、Ｕの署名を偽造すれば、Ｕはｇ₁ ^1/vを計算することができ、従って、ＣＡの不正行為を証明することができることを、意味する。もしＣＡが、どんな秘密キーも計算する能力を持つべきでないならば、数ｎは、ＣＡがその素因数を知らないように、生成されなければならない。この目的のためには、ｎを生成する過程は、ｎの生成後、素因数を破棄する、信用できる安全な装置によってか、あるいは別の信用できる当事者によって、実施されなければならない。１．５．第三の典型的証明書発行手続き第一の実施例におけると同様、同じ公共キーに関する、多くの秘密キー証明書（ｃ，ｒ）が、存在するので、ＣＡは特定のものを選択し、その中の情報を符号化するかもしれない。図１０に移って、第二の好ましい実施例における、ＣＡから秘密キーを隠し、裏口チャンネルを防止する、秘密キー証明書発行手続きのフローチャートを、これから詳しく説明する。本技術における通常の技能を持つ者に明らかであろうように、この発行手続きは、図４の手続きと同じ機能性を持っている。ボックス１０１は先ず、ＣＡが、Ｚ_n ^*のある数ｗ₀を、無作為に生成することを示す。第２行は，ＣＡがｗ₀ ^vを計算することを示す。このｗ₀ ^vは、さらなる参照のため、ａ₀と表わされる。第３行は、ＣＡがａ₀をＵに転送することを示す。ボックス１０２は先ず、Ｕが、Ｚ_n ^*のある数ｘを、無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｘ^vに等しくなるように設定することによって計算することを示す。第３行は、Ｕが、Ｚ_n ^*のある数ｗを無作為に生成することを示し、第４行は、Ｕが、ｗ^v を計算することを示す。これはａと表される。最後に、第５行に記述されているように、Ｕが、対（ｈ，ａ）をＣＡに転送する。ボックス１０３は先ず、ＣＡがＨ（ｈ，ａ₀ａ，Ｉ）を計算することを示す。これは、さらなる参照のため、ｃと表される。第２行は、ＣＡがＸ₀ ^cｗ₀を計算することを示す。これはｒ₀と表される。第３行に記述されているように、ＣＡはそれから、ｒ₀をＵに転送する。ボックス１０４は先ず、Ｕが、ＣＡがボックス１０３の第１行で行ったように、ｃを計算する。第２行は、ａａ₀がｒ₀ ^vｈ₀ ^-cに等しいかどうかを、Ｕが検証することを示す。第３行が示すように、このことが成立する場合には、Ｕが、ｒ₀ ｘ^cｗを計算する。これはｒと表される。本技術における通常の技能を持つ者によって容易に確かめられるように、対（ｃ，ｒ）は、公共キーｈに関する、Ｕによって無作為化された、ある秘密キー証明書であり、Ｕは、ｈに対応する秘密キーを知っている。本技術における通常の技能を持つ者に明らかであろうが、Ｕは、ボックス１０２において、ａの代わりに、ｗをＣＡに転送することもできる。ＣＡは、そのとき、ボックス１０３において、ｘ₀ ^cｗ₀ｗそのものを計算する。それに対して、Ｕは、今回は、ｘ^cｍｏｄｎを掛けなければならない。この事は、しかしながら、ＣＡにとっては、別の計算コストを意味する。すなわち、ＣＡは、今や、Ｚ_n ^* における、もう一つの累乗計算をしなければならない。他方、Ｕの計算コストは実質的に、減少しない。１．６．第四の典型的証明書発行手続きさて、図１１に移って、第二の好ましい実施例における、完全に隠蔽される秘密キー発行手続きのフローチャートを、これから詳しく説明する。本技術における通常の技能を持つ者に明らかであろうように、この発行手続きは、図５の手続きと同じ機能性を持っている。第一の好ましい実施例において議論されたように、都合のため、文字列Ｉは、以後、省略される。ボックス１１１は先ず、ＣＡが、Ｚ_n ^*のある数ｗ₀を無作為に生成することを示す。第２行は、ＣＡがｗ₀ ^vを計算することを示す。このｗ₀ ^vは、さらなる参照のため、ａ₀と表わされる。第３行に示されているように、ＣＡはそれから、ａ₀ をＵに転送する。ボックス１１２は先ず、Ｕが、Ｚ_n ^*のある数ｘを、無作為に生成することを示す。このｘは彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｘ^vに等しくなるように設定することによって、計算することを示す。第３行は、Ｕが、Ｚ_n ^*のある数ｔを、無作為に生成することを示す。第４行は、Ｕが、Ｚ_vのある数ｕを、無作為に生成することを示す。これらの乱数を使って、第５行は、Ｕが、ａ₀ｔ^vｈ₀ ^uを計算することによって、いかにａ₀を隠すかを示す。この数は、さらなる参照のため、ａと表される。第６行は、ＵがＨ（ｈ、ａ）を計算することを示す。これはｃと表される。Ｕは、第７行に記述されているように、ｃ＋ｕｍｏｄｖに、このｃを隠蔽する。この計算した数は、さらなる参照のため、ｃ₀と表される。第８行に示されているように、Ｕはそれから、ｃ₀をＣＡに転送する。なる参照のため、ｒ₀と表わされる。第２行に示されているように、ＣＡはそれから、ｒ₀をＵに転送する。ることを示す。第２行に示されているように、このことが成立する場合には、Ｕは、ｒ₀ｘ^cｔｈ₀ ^c+u ^{div v}を計算する。これはｒと表される。本技術における通常の技能を持つ者に明らかであろうように、（ｃ，ｒ）は、Ｕの公共キーｈに関する、ある秘密キー証明書である。さらに、ＣＡがこの発行手続きの実行中に見ることができるものは、対（ｈ、（ｃ、ｒ））から独立している。１．７．第五の典型的証明書発行手続きさて、図１２に移って、第二の好ましい実施例のための、制限的隠蔽秘密キー証明書発行手続きの一つのフローチャートを、詳しく説明する。この手続きはまた、特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９において記述され請求されているが、評価されるように、この手続きが、一つの制限的隠蔽秘密キー証明書発行手続きであることを、明白に示すために、ここに含められている（本記法を使って）。本技術における通常の技能を持つ者に明らかであろうように、この発行手続きは、図６の手続きと同じ機能性を持っている。Ｕのキー対は、これまで使われてきたものとは異なわなければならない。なぜなら、この秘密キーは、少なくとも二つの数からなるベクトルであるからである。密の）数ｙを、無作為に生成し、ｇ₁をｙ^vに等しく設定することによって、ｇ₁ を生成する。この対の第二の数Ｉは、ＣＡによって、証明書発行手続きの間、ＵがＩを、ｖを法としてＩと異なる数Ｉ’に変更することができないようにするため、Ｕの秘密キーに符号化される。一方、Ｕは、自分で、Ｚ_n ^*において、ｘを無作為に生成することができる。したがって、実質的には、ｈは、Ｚ_n ^*から、Ｉとは独立に、無作為に生成される。すでに述べたように、数Ｉは、Ｕの身分証明に関連しているかもしれないが、信任状の仕様のような無関係な情報を含んでいるかもしれない。ボックス１２１は先ず、ＣＡが、Ｚ_n ^*のある数ｗ₀を、無作為に生成することを示す。第２行は、ＣＡがｗ₀ ^vを計算することを示す。このｗ₀ ^vは、さらなる参照のため、ａ₀と表わされる。第３行に示されているように、ＣＡはそれから、ａ₀をＵに転送する。ボックス１２２は先ず、Ｕが、Ｚ_n ^*のある数ｘを生成することを示す。対（ｘ，Ｉ）は彼の秘密キーとなる。第２行は、Ｕが、それに対応する公共キーｈを、ｘ^vｇ₁ ^Iに等しくなるように設定することによって、計算することを示す。さらに、第３行と第４行に示されているように、Ｕが、Ｚ_n ^*のある乱数ｔと，Ｚ_vの乱数Ｕを生成する。これらの乱数は、隠蔽されたｒとｃを得るために使われる。第５行は、Ｕが、ａ₀ｔ^v（ｈ₀ｇ₁ ^I）^uを計算することを示す。この数は、さらなる参照のため、ａと表される。第６行に示されているように、Ｕはそれから、Ｈ（ｈ、ａ）を計算する。これはｃと表される。第７行は、Ｕがｃ＋ｕｍｏｄｖを計算する事を特定している。これはｃ₀と表される。第８行に示されているように、Ｕはそれから、ｃ₀をＣＡに転送する。は、さらなる参照のため、ｒ₀と表わされる。第２行に示されているように、ＣＡはそれから、ｒ₀をＵに転送する。検証することを示す。第２行に示されているように、このことが成立する場合には、Ｕは、ｒ₀ｘ^cｔ（ｈ₀ｇ₁ ^I）^c+u ^{div v}を計算する。これはｒと表される。本技術における通常の技能を持つ者によって、容易に確かめられるように、対（ｃ，ｒ）は、Ｕの公共キーｈに関する、ある秘密キー証明書であり、Ｕはｈに対応する秘密キーを知っている。Ｕは、ｈと（ｃ，ｒ）を完全に隠蔽したけれども、この秘密キーを完全に隠蔽することは、実際上不可能である。すなわち、Ｕのこの秘密キーは対（ｘ，Ｉ’）であり、ｘ^vｇ₁ ^I'がｈに等しく、もし（ｃ、ｒ）が、ｈに関する、ある秘密キー証明書であるならば、Ｉ’は、ｖを法として、Ｉに等しいところのものである。ここで、Ｉは、ボックス１２３において、ＣＡがその応答ｒ₀へ符号化したものである。１．８．二つ以上の受け取り当事者第一の好ましい実施例におけると同様、図１１と１２に示されている手続きはまた、この秘密キー証明書を、Ｕおよび付随的な第三の当事者Τに対して発行するときにも、使われる。ただし、このΤは次のように、本質的にＣＡの管理下にあるものである。すなわち、Ｕはこの公共キーとこの公共キーに関するこの秘密キー証明書を知るようになり、この公共キーに対応するこの秘密キーは、ＵとΤ によって、そののどちらも単独には決定することができないように、共有されるということである。図１１に基づく、そのような可能性のある使用を、これから説明する。ＣＡによって、Ｕのために使用される秘密キーは、今やＩｘ₀である（公共キーは依然としてｘ₀ ^v）。ここで、ＩはΤに知られているが、Ｕには知られていない。ＵはＩ^vだけを知っている。図１１に記述されている、ＣＡとＵの間の発行手続きが、それから行われる。ここで、ＣＡは、ボックス１１３の第一行で、数ｒ₀を（ｘ₀ うに、Τは、この発行手続きの終わりに、Ｉを知っており、Ｕはｘを知っており、証明済みのこの公共キーは（Ｉｘ）^vである。評価されるであろうように、ＣＡがＩのみをΤに知らせる初期設定によって、Τは必ずしもこの秘密キー証明書発行手続きに参加する必要はない。特許出願・出願番号ＰＣＴ／ＮＬ９４／００１７９においては、発行手続きに続いて、ある証明書提示手続きを導く技法が、詳述され請求されている。証明書が、上のパラグラフにおいて述べたようにして、発行される場合における、証明書発行手続きの他の修正は、本技術における通常の技能を持つ者に明らかであると信じられる（例えば、ΤとＵが、形式ｇ₁ ^Iｘ^vを持った、証明済み公共キーを、最後に手に入れるような修正）。２．第二の典型的秘密キー証明書第一の好ましい実施例におけると同様、他の様々の秘密キー証明書を、以下説明する。それらの各々は、ファイアット／シャミルタイプの署名概型から、一般構成技法を応用することによって、構成される。第二の好ましい実施例における、第二の典型的秘密キー証明書を、これから説明する。これは、一般構成技法を、オカモト署名技概型に応用することによって、構成される(Okamoto，T.，"Provably secure and practical identification schemes and corresponding signature schemes ,"Crypto'92，Lecture Notes in computer science 740，Springer-Verlag(1993)，pp．31-53のSection 3.2/3.3 およびSection 6を参照せよ)。数をもつある元である。組（ｇ，ｖ，ｈ₀，ｎ）はＣＡによって一般に公開される。ＣＡはまた、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメーターｔられる要件を、満たすべきである。しければ、この三つ組が、ｈに関する秘密キー証明書である。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。この証明書は、実質的には、公共キーｈ₀ｈに対応する一つの秘密キーでなされる、ｈへのオカモト署名である。Ｕのキー生成手段：第二の好ましい実施例のための、第一の秘密キー証明書に関して、前に提供したキー対の議論が、ここでも同様に適用される。（この技術における通常の技能を持つ者に明らかであろうように、都合上ここで選ばれた記号、ｘ₁、ｘ₂は、そのときの議論における記号を意味しない）。証明書発行手段：本技術における通常の技能を持つ者は、（ａ）図８から１２の発行手続き、および（ｂ）Ｕと付随的な当事者Τに対して秘密キー証明書を発行するためのあの創意的な技法のために、それらの創意的な技法を直接応用して、本秘密キー証明書のための、同様の証明書発行手続きを、構成することができると信じられる。３．第三の典型的秘密キー証明書一般構成技法をファイアット／シャミル署名概型に応用することによって構成される、第二の好ましい実施例における、第三の典型的秘密キー証明書を、以下詳しく説明する（Fiat，A．and Shamir，A.，"How to prove yourself:practic al solutionsto identificationandsignature problems ,"Crypto'86，Springer- Verlag(1987)，186-194を参照せよ）。ＫＡＣのキー生成手段：ＣＡの秘密キーは、組（ｘ₁，．．．，ｘ_k）であっｈ_k）であって、各ｈ_iが（ｘ_i ^-1）²に等しいものである。（２乗の代わりに、他の累乗を用いてもよい。）組（ｈ₁，．．．，ｈ_k，ｎ）はＣＡによって、公に知らされる。ＣＡはまた、ある細切り関数Ｈを公開する。Ｈの値域は、例えば、ある適切な安全パラメータを安全にすると信じられる要件を、満たすべきである。え字ｊは１からｋまでに亙り、（ｃ_i1，．．．，ｃ_ik）は数ｃの２進展開におけｃ_ijが１に等しいようなｊについての、すべての積を表す。ＣＡの公共キー（ｈ₁，．．．，ｈ_k）がベクトルｈ₀であり、Ｕの公共キー（ｈ₁ '，．．．，h_k'）がベクトルｈであると考えることができる。そのとき、この秘密キーは、実質的には、ファイアット／シャミル署名概型の下で、公共キーｈ₀ ｈに対応する一つの秘密キーでなされる、ｈへのファイアット／シャミル署名である。ここで、ベクトル積ｈ₀ｈは要素ごとに（ｈ₁ｈ₁'，．．．，ｈ_kｈ_k'）と定義される。Ｕのキー生成手段：Ｕのキー対はＣＡのそれと同じタイプである。より正確に言えば、公共キー（ｈ₁'，．．．，ｈ_k'）に対応する秘密キーｈ'はベクトル（ｘ₁'，．．．，ｘ_k'）であって、（ｘ_i'）^-2＝ｈ_i'となるものである。証明書発行手段：本技術における通常の技能を持つ者は、（ａ）図８から１２の発行手続き、および（ｂ）Ｕと付随的な当事者Τに対して秘密キー証明書を発行するためのあの創意的な技法のために、それらの創意的な技法を直接応用して、本秘密キー証明書のための同様の証明書発行手続きを、構成することができると信じられる。４．第四の典型的秘密キー証明書さらに、もう一つのファイアット／シャミルタイプの署名概型はファイゲ／ファイアット／シャミル署名概型である（Feige，U.，Fiat，A．and Shamir，a.， "Zero-knowledge proofs of identity,"Journal of cryptology 1(1988)，pp．7 7-94を参照せよ）。この概型はファイアット／シャミル概型の一つの修正である。一般構成技法のこの概型への応用は、第二の好ましい実施例における、第三の典型的秘密キー証明書の構成に、極めて類似しているので、詳しい説明はここでは省略する。再び、（ａ）図２から６の発行手続き、および（ｂ）Ｕと付随的な当事者Τに対して秘密キー証明書を発行するためのあの創意的な技法のために、本秘密キー証明書のための、同様の証明書発行手続きは、直接容易に構成することができる。５．第五の典型的秘密キー証明書第一の好ましい実施例におけると同様、一般構成技法のある種の変形を、同様に使用できることを、これから明らかにする。一般構成技法のひとつの変形を、シュノル署名概型に応用することによって、構成される、第二の好ましい実施例における、もう一つの典型的秘密キー証明書を、以下詳しく説明する。ＫＡＣのキー生成手段：これは、第一の秘密キー証明書に関するものと同じである。に等しいものである。て、ｒ^vｈ^-cがａに等しいものとすることもできる。ここで、ｃはＨ（ｈ，ａ，Ｉ）として計算される。Ｕのキー生成手段：一般に、この修正された秘密キー証明書が安全であるたない。（本技術における通常の技能を持つ者は、より一般的な形式（ｘ₁，．．．，ｘ_k；ｘ_k+1，ｚ₁，．．．，ｚ₁）であって、ｈが、適当な指数ｖ_iに対して、る、位数の大きい元であり、ｖ，ｈ₀、ｎ、そしてＨの説明と共にＣＡによって出版される。せいぜい、ＣＡはｇ₁，．．．，ｇ_kの各々のｖ乗根を知っているべきである。実際には、キー対のより簡単な形式を使いたいかもしれない。最も簡単な形式に等しくない場合におけるものである。他の簡単な形式は、Ｕの秘密キーが対（ｘ第一の好ましい実施例におけると同様、第一の好ましい実施例における、第一の秘密キー証明書のために提供されたすべての発行技法を、この修正された秘密キー証明書のための発行手続きを構成するために、直接応用するすることができる。本技術における通常の技能を持つ者は、それらのフローチャートとともに、これらの創意的な技法を研究することによって、容易にそのような応用を達成することができると信じられる。代わりに、ここでは、本技術における通常の技能を持つ者が、一般構成技法を応用する方が、本修正を応用するより有利であると評価することを、助けるために、次の二つの点に言及しておく。（１）本秘密キー証明書のための、制限的隠蔽秘密キー証明書発行手続きは、図７のフローチャートと同様であるが、それについて考えよ。もし、Ｕの秘密キＩ／ｘｍｏｄｖはＣＡによって、この秘密キーに符号化される。（Ｕはこの商を修正することができない）。しかしながら、この形式のＵのキー対にとって、安全な署名概型と知識の証明法は、本技術において何も知られていない。他方、な、Ｕのためのキー対を使えば、ＣＡによってこの秘密キーに符号化された情報は、Ｉとｘから効率よく再構成することができないと言う問題が生じる。従って、 ^vに等しいような三つ組（Ｉ₁，Ｉ₂；ｘ）に取らなければならない。これは、第一の秘密キー証明書のための制限的隠蔽発行手続きにおいて用いられるキー対より、非能率的である。（２）評価されるだろうように、一般構成技法を使って構成されるシステムの安全性は、下敷きになっているファイアット／シャミル署名概型の安全性と、より緊密に関連している。結論以上でもって、二つの好ましい実施例の詳しい説明を終了する。本発明の説明は例として与えたが、様々な修正、代わりに用いられる構成、そして同等なものは、本発明の精神と範囲から離れることなく用いられることができる。例えば、多くの、本質的に同等な、表現を評価する順序、表現を評価する方法、フローチャートボックス内での移動、フローチャートボックスに作用をまとめる方法、そして、フローチャートボックスを順序づける方法がある。ここで行われた特定の選択は、発表における明瞭性のためである。ある種の変形および置換は、本技術における通常の技能を持つ者に明らかであろう。様々のそのような変形と置換は、本文において、指摘し、時には、詳しく説明したが、次の幾つかの例に照らして、より完全に評価されよう。第一に、説明した典型的秘密キー証明書は、ファイアット／シャミルタイプの署名概型から、一般的な、次のような構成技法によって、導かれる。すなわち、Ｕの公共キーをｈによって、ＣＡのそれをｈ₀によって表せば、ｈに関する一つの秘密キー証明書は、実質的には、公共キーｈ₀ｈに対応する一つの秘密キーでなされる、通信ｈへの、下敷きになっているシャミル／ファイアットタイプの一つの署名である。第一の好ましい実施例の説明の終わりに示したように、一般構成技法の変形もまた適用され得る。評価されであろうように、一般構成技法における特定の形式ｈ₀ｈは、本質的ではない。例えば、１と異なる一定の整数ｋに対して、形式ｈ₀ｈ^kを取っても、明らかに良いだろう。一般構成技法の本質は、秘密キー証明書が、この証明書を、実質的に、Ｕの公共キーへの一つの署名とすることによって、どのファイアット／シャミルタイプの署名概型からも構成されるということである。。ここで、この署名は、下敷きになっているファイアット／シャミルタイプの署名概型の署名であり、このファイアット／シャミルタイプの署名概型の下で、Ｕの公共キーとＣＡの秘密キーとの適当な関数である公共キーに対応する、一つの秘密キーでなされる、署名である。第二に、階層的な証明書交付が、秘密キー証明書と共に、実施されることができる。本技術における通常の技能を持つ者に明らかであろうように、Ｕは他方、一つの秘密キー証明書を、他の当事者に発行するため、彼のこの証明済みのキー対を使うことができる。以下同様。このようにして、階層的証明書交付の樹を構成することができる。この樹における各ノードは、一つの公共キーとこの公共キーに関する一つの秘密キー証明書からなると考えられる。ここで、一つの親ノードは、各子ノードの公共キーに関する、秘密キー証明書を発行することによって、子ノードのキー対を証明する。この証明書は、この親ノードの公共キーに対応する一つの秘密キーを使って計算される。もし、例えば、一つのノードに結びつく当事者によって、解読がなされ得るならば、この当事者は、このノードの公共キーに対応する、秘密キーを知っているに違いない。このことは、他方、このノードの秘密キー証明書が、親ノードに結びつく当事者によって証明されたことを意味する。従って、今度は、この当事者が、親ノードの公共キーに対応する、秘密キーを知っていることを意味する。従って、親ノードの秘密キー証明書が、親ノードの親ノーに結びつく当事者によって、計算されたことを意味する。以下同様にして、ルートノードまでずっと遡る。第三に、秘密キー証明書の技法は、安全な署名概型を構成するために用いることができる。一つの通信に署名するために、署名者である当事者は、第一の秘密キーおよび照合する第一の公共キーを持っていて、先ず、一度だけの秘密キーおよび照合する一度だけの公共キーを生成する。ここで、語「一度だけの」は、これらのキーが、この署名する当事者によって、一度だけ使われることを強調するために用いる。この署名する当事者はそれから、この一度だけの公共キーに関する秘密キー証明書を、第一の公共キーに関して計算する。署名当事者は、第一の公共キーを知っているので、このことができる。署名当事者は、それから、この通信に、この一度だけの公共キーに関して、署名する。署名当事者は、一度だけの秘密キーを知っているので、このことができる。署名当事者のこの通信への署名は、結果として、この一度だけの公共キー、この一度だけの公共キーに関する秘密キー証明書、そしてこの一度だけの公共キーに関してなされるこの通信への署名からなる。この署名を検証するためには、証明書検証手段が、この秘密キー証明書を検証するために使われる。そして、この通信への署名は、一度だけの公共キーを用いて、検証される。署名当事者は、ある通信に署名しなければならないときは、その度ごとに、新しい一度だけの秘密キーおよび照合する一度だけの公共キーを、独立して無作為に、生成することができる。実質的には、秘密キー証明書発行技法を用いて、安全なデジタル署名を構成するこの方法は、前パラグラフにおいて明らかにした、階層的証明書交付の例において応用されたものと同じである。さらに、本技術における通常の技能を持つ者にとっては、ここで明らかにした創意的な技法と手続きの一部が、いかに有効に用いられるかも、明らかであろう。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ，ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＫＥ，ＭＷ，ＳＤ，ＳＺ，ＵＧ)，ＡＭ，ＡＵ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＮ，ＣＺ，ＥＥ，ＦＩ，ＧＥ，ＨＵ，ＩＳ，ＪＰ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＫ，ＬＲ，ＬＴ，ＬＶ，ＭＤ，ＭＧ，ＭＮ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＲＯ，ＲＵ，ＳＧ，ＳＩ，ＳＫ，ＴＪ，ＴＭ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ

Claims

【特許請求の範囲】１．第一の当事者が、秘密キー証明書と呼ばれる証明書を、第二の当事者に対して発行する暗号学的方法であって、この方法が、上記第一の当事者による使用のために、少なくとも部分的に上記第二の当事者に知られない第一の秘密キー、およびそれに対応する第一の公共キーを生成するステップ、上記第二の当事者による使用のために、第二の秘密キー、およびそれに対応する第二の公共キーを生成するステップ、ある証明書発行手続きにおいて、上記第一の当事者によって、上記第二の当事者に対して、公に検証可能な関係に従って、上記第二の公共キーに対応する、秘密キー証明書を発行するステップであって、この秘密キー証明書が、第一の当事者による上記第二の秘密キーへのデジタルな署名であり、上記第二の当事者が、実際上、上記第一の当事者の援助なしに、公共キー達及びそれらにに対応する秘密キー達を生成することが可能なステップ、からなる方法。２．上記第二の公共キー、それに対応する上記秘密キー証明書、および、上記第二の当事者に関する情報が、ある公共キー名簿に掲載される、請求項１に記載の方法。３．上記第二の当事者が、上記第二の秘密キーを用いて、デジタルな署名をすること、公共キー概型に従って、上記第二の公共キーに対応する、一つの秘密キーの知識を、上記第二の秘密キーを示すことなく、証明すること、上記第二の秘密キーで暗号化されたある通信を解読すること、または、ある公共キーに対応する、ある秘密キーを発行することの、少なくとも一つを行う、請求項１記載の方法。４．上記第一の当事者が、一度だけの秘密キー及びそれに対応する一度だけの公共キーを無作為に生成し上記一度だけの公共キーに対応する秘密キー証明書を、上記第一の秘密キーを適用することによって計算し、上記通信への、上記一度だけの公共キーに関する、デジタルな署名を、上記一度だけの秘密キーを適用することによって、計算することによって、第三の当事者宛の通信に署名し、上記第一の当事者による、上記通信への上記のデジタルな署名が、上記一度だけの公共キー、上記一度だけの公共キーに対応する上記秘密キー証明書、および上記一度だけの公共キーに関してなされた、上記通信への上記のデジタルな署名からなる、請求項１記載の方法。５．上記第二の当事者が上記証明書発行手続きにおいて、上記第二の秘密キーを、上記第一の当事者に明らかにしない、請求項１記載の方法。６．上記第二の当事者が、上記証明書発行手続きにおいて、上記第二の秘密キー、上記第二の公共キー、及び対応する上記秘密キー証明書を隠蔽する、請求項１記載の方法。７．上記第二の当事者が、上記証明書発行手続きにおいて、上記第二の公共キー、及び対応する上記秘密キー証明書を隠蔽するが、上記第二の秘密キーの前もって決定された非定数関数を隠蔽しない、請求項１記載の方法。８．上記第二の当事者が、第一の当事者の利益のために行動する第一の部分当事者、および、第二の部分当事者からなり、上記第二の秘密キーが、これら二つの部分当事者のいずれに対しても知らされない、請求項１記載の方法。９．上記秘密キー証明書が、上記第一の公共キーと上記第二の公共キーのある組み合わせであるところのある公共キーに関してなされる、ファイアット／シャミルタイプのデジタルな署名キーである、請求項１記載の方法。１０．上記のデジタルな署名がシュノルのデジタル署名である、請求項１記載の方法。１１．上記第二の秘密キーが、上記第二の当事者の資格及び信用性の集まりを表現する、請求項１記載の方法。１２．上記秘密キー証明書が、上記第一の当事者によって上記第二の当事者に対して発行される、信任状を表現する、請求項１記載の方法。１３．第一の当事者が、秘密キー証明書と呼ばれる証明書を、第二の当事者に対して発行する、暗号学的システムを実施するための装置であって、少なくとも一つの安全パラメーターが入力として与えられたとき、第一の当事者よって使用されるために、第一の秘密キー及びそれに照合する第一の公共キーからなる一対を、出力する第一キー生成手段、少なくとも一つの安全パラメーターが入力として与えられたとき、第二の当事者によって使われる、第二の秘密キー及びそれに照合する第二の公共キーからなる一対を、出力する第二キー生成手段、上記第一の公共キー、および、第三の公共キーとこの第三の公共キーに対応する仮定的な秘密キー証明書からなる一対が、入力として与えられたとき、上記仮定的な証明書が、上記第三の公共キーに対応するかどうかに依存して、それぞれ、肯定的または否定的に応答する、証明書検証手段、上記第一の秘密キー、および上記第二の秘密キー、および上記第二の公共キーが、入力として与えられたとき、上記第二の公共キーに対応する一つの秘密キー証明書を出力する、証明書発行手段であって、この秘密キー証明書が、上記第一の当事者による上記第二の秘密キーへのデジタルな署名である証明書発行手段、および第一の公共キーが入力として与えられたとき、第四の公共キーおよびこの第四の公共キーに対応する秘密キー証明書を出力する、証明書シミュレーション手段であって、この証明書シミュレーション手段の出力の確率分布は、一つの公共キーが上記第二キー生成手段によって生成され、それに対応する秘密キー証明書が上記証明書発行手段によって生成されるときに成立する確率分布から、本質的に区別不可能である、証明書シミュレーション手段、からなる装置。