JP2002519723A

JP2002519723A - 非公開に認証可能な暗号署名を生成し、かつ製品の複製に関連してそのような署名を用いるための技術

Info

Publication number: JP2002519723A
Application number: JP2000556476A
Authority: JP
Inventors: ベンカテサン，ラマラスナム・アール; モンゴメリー，ピーター・エル
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 1998-06-23
Filing date: 1999-06-23
Publication date: 2002-07-02
Anticipated expiration: 2019-06-23
Also published as: EP1088420B1; CN1534922A; WO1999067920A1; DE69935980D1; AU5457699A; ATE361605T1; EP1088420A1; CN1306714A; JP4644368B2; DE69935980T2; CN1264305C; CN100334831C

Abstract

(57)【要約】所与の署名すべきメッセージに対し、メッセージの署名者から発信されたものとして、署名されたメッセージの受信者により認証される真正な暗号署名を生成し、そのような署名を適切に認証するための技術である。特に、この技術は、たとえば数字で表わされた、製品の複製の識別子（８３、９３）のようなメッセージを与えられると、有限体上の楕円曲線上の点から選択された生成元の値を用いて、公開鍵暗号システムに基づき真正な署名（８７、９７）を形成する。真正な署名は３つの鍵、すなわち公開鍵、非公開鍵、および秘密鍵と関連した生成元の値を用いて生成され、従来の２つの鍵からなる公開鍵暗号システムを介して生成された暗号署名と関連して実質的に安全性を高める。製品の複製の独自の認証データは、所与の製品の複製に対し識別子をその対応する真正な署名と連結することにより形成され得る。その後にユーザがコンピュータ（２００）にその複製をインストールする間、インストールプログラムの実行により要求されると、ユーザは認証データを入力し、次に認証データに含まれた署名を非公開に認証し、インストールを継続するかまたは早期に終了させるかが判断される。

Description

【発明の詳細な説明】

【０００１】

【発明の分野】

この発明は暗号法に関し、特定的には、所与の署名すべきメッセージに対し、
メッセージの署名者から発信されたものとして、署名されたメッセージの受信者
によって非公開に認証され得る真正な暗号署名を生成し、かつそのような署名を
適切に認証するための技術に関する。

【０００２】

【先行技術の説明】

何世紀にもわたり、情報が二人の個人の間で伝達される限り、情報は第三者に
よって傍受、盗聴、漏洩および／または破損されやすいものであった。そのよう
な行為から情報を確実に保護するという問題が長きにわたり存在してきたのは明
らかである。

【０００３】伝統的にはこの問題は、長年にわたり、より複雑な暗号技術を開発することに
よって対処されてきた。これらの暗号技術の１種に鍵ベースの暗号の使用が含ま
れる。特定的には、鍵ベースの暗号を介して、全体的にメッセージを形成する理
解可能なデータのシーケンスすなわち平文は、各々、暗号化アルゴリズムを介し
て一見しただけでは理解できないデータ、すなわちいわゆる暗号文に数学的に変
換される。その変換は、暗号文はそれが対応するもとの平文に戻せなければなら
ないという意味で完全に可逆、すなわち双方向でなければならないだけでなく、
１対１対応に基づいていなければならない。すなわち各々の平文の要素は暗号文
の１つかつ唯一の要素にのみ変換可能でなければならない。さらに、いずれの所
与の暗号文を生成した特定の暗号も、暗号解析からは十分に安全でなければなら
ない。秘密保持に必要なレベルを提供するためには、唯一の一意な対応する暗号
を規定する一意な鍵が選択される。すなわち可能な限り多数の異なる鍵の各々が
、同じ平文−暗号文対応関係の間の可逆変換をもたらすような状況を排除する。
どのような暗号技術の強度も、したがってそれが与える第三者の侵入からの防御
のレベルも、第三者がたとえば鍵ベースの暗号を用いて鍵の事前知識なしで暗号
文をその対応する平文に変換する暗号解析に要する時間と正比例する。暗号解析
を全く受け付けない暗号技術はないが、当時利用可能であったコンピュータ技術
を考慮すると、事前にその鍵の知識なしに暗号を解読するのには膨大な数の計算
および極めて長い時間が必要であるために、実際的な意図と目的とのすべてにつ
いては、多くの技術はそれらの幅広い採用および使用を正当化するに十分なほど
安全である。その点では、ほんの数年前は、当時利用可能な情報処理技術の状態
を鑑みれば、解読に人年（man-years）のオーダまたはそれ以上に長くかかるほ
ど暗号が複雑ならば、その基本となる暗号技術はその使用を正当化するに十分な
程度の安全性を有していると多くの人に考えられていた。

【０００４】公開鍵アルゴリズムは鍵ベースの暗号の１つの形式である。このようなアルゴ
リズムでは、各々の情報伝達当事者が１対の公開−非公開鍵を生成する。各々は
自分の公開鍵を公にアクセスが可能な掲示板、サーバまたは他の設備に公表し、
対応する非公開鍵を秘密にしておく。本質的には、平文のメッセージを暗号化し
それを相手すなわち宛先に送信したい発信当事者は、この両者は同じ公開鍵アル
ゴリズムを用いるのだが、まず宛先当事者の公開鍵にアクセスし、その公開鍵を
用いて平文のメッセージを暗号文のメッセージに暗号化し、暗号文のメッセージ
を宛先当事者に送信する。暗号文のメッセージを受取ると、宛先当事者はその非
公開鍵を用いて、メッセージを解読し元の平文を回復する。鍵は非常に明確なア
ルゴリズムを用いて正確に計算され、完全な可逆性を保証しながら必要な安全レ
ベルを提供している。

【０００５】公開鍵暗号の解読に必要であると思われる純粋な作業数を考慮すると、公開鍵
暗号システムは、その解読がはっきりと実行不可能であるという程度にまで安全
性の高い暗号を提供しているが、そのようなシステムでもその使用を制限し得る
欠点を有する。公開鍵システムの主要な欠点とは、その各々がかなり長いビット
シーケンスを有する係数と、個別の鍵に対する依存性である。たとえばある係数
は長さが容易に１０２４ビットとなり得るし、個別の鍵は数百ビットものシーケ
ンスから形成され得る。アプリケーションによっては、たとえばそのような鍵が
容易に記憶され、インデックス付けされ、かつ必要に応じてアクセスされ得る暗
号アプリケーションプログラムでは、鍵の長さがユーザにとって実際的な問題を
生ずることは、あるとしてもごくわずかである。しかし他のアプリケーションで
は、そのような長い鍵のシーケンスは、仮にアルファニューメリックデータに変
換されたとしても、依然としてユーザが簡単に手入力できないような長すぎる文
字列を生成してしまうことがある。実際、公開鍵システムの高い安全性の要因は
その鍵と係数の両者に非常に長いビットシーケンスを用いていることにある。係
数が認め得るほど短くなってしまうと、暗号化されたメッセージが簡単に暗号解
析されてしまうことになり、したがって、その基本となるシステムの安全性もす
ぐに危うくなる。

【０００６】コンピュータ技術は急速に進化を続けている。ほんの数年前はその高い性能お
よび速度について耳にしたこともなかったプロセッサが非常に安価な値段で商用
的に利用可能となっている。その結果、多くのいわゆる「安全な」暗号を解読す
るには十分な処理能力を有しないと以前は見られていたパーソナルコンピュータ
およびワークステーションのような情報処理システムが今や、その現在の能力と
性能を考慮すると、第三者にそれらの同じ暗号を効果的に解読するのに必要な性
能を提供している。１０年前は連続して計算しても何年もかかったであろうこと
が現在ではほんの少しの時間で達成される。このように、技術が進歩するにつれ
、暗号技術は継続して取組むことで決まったやり方で進歩し、対応して進歩して
いく暗号解析に耐えるように高性能の暗号技術をますます発達させる。

【０００７】暗号とは全く離れるが、少なくとも過去１０年の間、コンピュータのソフトウ
ェア製造者は無許諾の第三者によりライセンスなしにその製品をかなり使用され
、それは現在も続いている。これは、一部には、フレキシブルディスクまたはＣ
Ｄ−ＲＯＭのような、ソフトウェアプログラムを含む配布媒体が比較的簡単に複
製できるためである。そのような無許諾での使用を防ぐために、比較的長いアル
ファニューメリックの認証データが各々のソフトウェア製品のパッケージの合法
的な複製とともにしばしば配布され、ユーザがコンピュータにその複製をインス
トールする間に要求されれば、ユーザはその認証データを入力しなければならな
い。特に、この複製はインストールプログラムを含んでおり、ユーザはまずこれ
をロードしかつ実行してインストールのプロセスを開始し、順番にインストール
のプロセス全体を実行する。典型的には、インストールのプロセスの早い段階で
、インストールされる複製のユーザは認証データを手入力するようにプログラム
に要求される。認証データはたとえば１０桁またはそれ以上の桁数を含んでもよ
い。コンパクトディスク（ＣＤ）を介して配布される場合は、認証データはＣＤ
を含む各々のケースに添付されたラベルに印刷される。フレキシブルディスクで
配布される場合は、認証データは各々のソフトウェアパッケージの中に含まれる
証明書または他の挿入物にしばしば印刷される。いずれにせよ、一旦ユーザが認
証データを完全に入力し、典型的には画面上に現われる「ＯＫ」ボタン（または
同様のもの）をクリックすることによりプログラムに信号を送ると、インストー
ルプログラムはインストールされるその特定の複製がライセンスされたバージョ
ンか否かを判断しようとしてその認証データの確認を試みる。認証データの有効
性が確認されると、インストールのプロセスは進行する。有効でなければ、イン
ストールは早期に終了する。すなわち、合法的に有効な複製を入手した各々のユ
ーザ（すなわちライセンスを受けた者）は製造者によって提供されたパッケージ
全体を所有し、したがって有効な認証データを有するが、添付のパッケージおよ
び／または挿入物のないプログラム自体の複製しか入手していない無許諾のユー
ザは認証データを有しないことが前提である。認証データの長さを考慮すると、
ユーザが有効な認証データを当てずっぽうで選んでしまう可能性はかなり小さい
。したがって、無許諾の複製をインストールしようとするユーザは間違った認証
データを繰返し入力することが予測され、事実上入手したプログラムの複製をイ
ンストールすることができず、結果的にその複製は無用となる。

【０００８】残念ながら実際には、そのような認証データを生成するための基本となるアル
ゴリズムは比較的簡単に識別できることが判明しており、かなり広くかつ違法に
広まってしまったようである。したがって利用可能なアルゴリズムを考慮すると
、無許諾のユーザでも多少作業をすれば、インストールしようとするプログラム
の有効な認証データを入手することができる。このため、製造者はそのような無
許諾の複製の使用を防ごうとしてしばしば失敗してしまう。

【０００９】ソフトウェア製造者がその製品の無許諾の複製により収入を失っていることは
明らかである。さらにソフトウェア製造者はいろいろな形態でその製品の顧客サ
ポートをしばしば提供している。ライセンスを受けた人のみにそのようなサポー
トを限定するため、顧客サポートの担当者は、サポートを受ける条件として、ユ
ーザがサポートを求める製品の複製と関連した認証データを提供するようユーザ
にしばしば求める。無許諾のユーザが簡単に有効な認証データを入手できること
を考慮すると、ソフトウェア製造者が許諾された人にサポートを提供しながら無
許諾のユーザにはサポートを拒否しようとしても、許諾された人と無許諾の人と
の区別が非常に困難となっている。その結果、製造者は知らないうちに無許諾の
ユーザにサポートを提供し、これにより追加のかつ不必要なサポートのコストが
かかってしまう。所与のソフトウェア製品の無許諾のユーザの数が十分に多けれ
ば、その製品と関連したこれらの超過コストはかなり大きくなり得る。

【００１０】したがって、ソフトウェア製造者がそのソフトウェア製品の無許諾の複製の発
生をかなり低減する技術に対する必要性が存在する。そのような技術によりその
製品の各々の複製を独自に識別し、その特定の複製の認証が判断されなければな
らない。好ましくは、そのような技術は公開鍵システムを介して十分に安全な識
別子を暗号的に生成するステップを含まなければならない（すなわちコンピュー
タ技術の現在の状況および今後予測される進化を考慮すると、第三者が鍵の知識
なしに有効な識別子を生成することは不可能であろう）。さらに、識別子はその
安全性を確実にするために十分に長くなければならず、しかし長くなりすぎて、
必要なときたとえばインストールのプロセスまたは製品のサポートを受ける間、
識別子を手で入力しなければならないユーザを苛立たせてはならない。そのよう
な技術を用いることにより、ソフトウェア製造者はそのソフトウェア製品の許諾
なしの使用およびさもなければかかってしまう関連費用を大幅に低減することが
できるであろう。そうすることにより、次に、製造者がプロモーションのような
他のサービスをライセンスを受けた顧客に提供することが経済的に可能となり、
それにより製品と製造者両者に対する顧客の満足度を高めることができる。

【００１１】

【発明の概要】

この発明は、たとえば数字で表わされた、製品の複製の識別子のようなメッセ
ージが与えられると、公開鍵暗号システムに基づき、かつ有限体上の楕円曲線上
の点から選択された生成元の値を用いて、真正な暗号署名を形成することにより
このニーズを有利に満たし、かつ先行技術の欠点を克服する。この技術は３つの
鍵、すなわち公開鍵、非公開鍵および秘密鍵と関連した生成元の値を用いて真正
な署名を形成し、従来の２つの鍵の公開鍵暗号システムを介して生成された暗号
署名と関連して実質的に安全性を高めている。

【００１２】この発明を利用すると、現時点での実行の可能性と秘密鍵の知識がないという
ことから、真正な署名を含む新たな署名されたメッセージのペアを生成するには
公開鍵および非公開鍵を知っているだけでは大いに不十分である。

【００１３】この発明の教示に従うと、特定の楕円曲線上の点を与えられると、曲線上のあ
る点の値が生成元の値として選択される。非公開鍵は無作為に選択される。公開
鍵は生成元の値と非公開鍵との予め定められた関数、特に前者の後者による冪乗
として決定される。秘密鍵が用いられて擬似乱数を生成する。真正な署名の第１
の部分が、予め定められた生成元の関数、擬似乱数およびメッセージ（無作為に
選択された識別子）を介して生成される。特定的には、生成元は擬似乱数の値で
まず冪乗され、その値が次にメッセージと連結される。その結果生じた連結した
数は予め定められたハッシュ関数を介して処理され、真正な署名の第１の部分を
与える。真正な署名の残余の部分は第１の部分、擬似乱数の値および非公開鍵の
予め規定された関数に応答して生成される。真正な署名全体は両者の署名の部分
をともに連結させることにより最終的に生成される。

【００１４】ソフトウェア製品の複製とともに用いられるようなバイナリ値の認証データは
識別子を真正な署名と連結させることにより形成される。バイナリ値の認証デー
タはアルファニューメリックの形式に変換され、次に典型的にはその複製のパッ
ケージに添付されるラベルに印刷されることにより製品の複製と関連付けられる
。公開鍵および生成元の値は、クライアントコンピュータにインストールする間
に、製品の複製自体の中の適切なファイル内に記憶され、複製のその後の認証の
間に用いられる。

【００１５】製品の複製のインストールの間、ユーザが入力した署名は、クライアントコン
ピュータで生成元の値、公開鍵、およびユーザが入力した認証データ全体、特に
その識別子および署名を用いて署名の第１の部分を計算することにより認証され
る。その後、この第１の部分の値は、ユーザが入力した認証データに含まれる署
名の同じ部分の値と比較され、これら２つの値が同一に一致するか否かを判断す
る。一致すれば、入力された署名は真正であり、この複製のインストールが進行
する。一致しなければその署名は真正ではなく、インストールは早期に終了する
。

【００１６】製品の複製の認証データの生成と関連して、３つの別個の段階が用いられてこ
の発明が実現する。すなわち（ａ）さまざまなパラメータの値を生成するために
一度、典型的にはソフトウェア製造者により行われる初期化、（ｂ）媒体複製場
所で繰返し行なわれる、初期化の間に生成されたパラメータの値を用いて、異な
る製品の複製ごとにその複製とともに用いられる真正な署名を含む対応する認証
データを生成するための認証データの生成、および（ｃ）ユーザ側でインストー
ルプログラムを実行する間に、ユーザにより入力されかつユーザがインストール
しようとする特定の製品の複製と関連した認証データ内で署名を認証するために
別個におよびその後に行なわれる認証である。

【００１７】この発明の教示は添付の図面と関連した以下の詳細な説明を考察することによ
り容易に理解される。

【００１８】理解を容易にするために、可能なところでは、同一の参照番号が図面に共通な
同一の要素を示すように用いられている。

【００１９】

【詳細な説明】

以下の説明を考慮すると、この発明の教示が送信者側で所与のメッセージに対
し暗号署名を生成する必要が生じる幅広い適用例のいずれにも用い得ることが当
業者には明確に理解されるであろう。この発明は、共通の送信者すなわち署名者
から発信される一意な一連のメッセージに対し署名が生成されるべき事例におい
て、特に好適に用いられるが、それのみに限られるわけではない。その結果生じ
る署名の各々は高い安全性を与える、すなわち暗号解析が不可能であるだけでな
く、その共通の署名者のみから発信されるものとして認証され得る。この点にお
いて、そのような署名の各々は１組の有効な署名の一部として公開鍵の使用によ
り公に検証され、さらに秘密鍵を用いて非公開にかつ一意に認証され得る。さら
に有利なことにはこの発明を用いると、第三者（意図された署名者ではない）が
その受信者にとって有効に見えるような署名を不正に生成する方法を決定しよう
としたとしても、その第三者はその受信者に対して特定の署名を適切に認証する
という不可能な作業に直面する。以下の議論を単純にするために我々は、たとえ
ばソフトウェア製品の特定の複製をクライアントパーソナルコンピュータ（ＰＣ
）にインストールする間に、それを認証する目的で、ソフトウェア製品の所与の
複製と署名自身が一意に関連付けられた、対応する認証データ内で用いられるべ
き署名を生成するという文脈で、この発明を論じる。

【００２０】Ａ使用環境ＣＤ−ＲＯＭ生産システム５の単純化されてはいるがハイレベルのブロック図
である図１を考察する。このシステムは、図示されたその基本的な形態では、コ
ンピュータ１０、ＣＤ書込装置５０およびプリンタ６０を含む。このシステムは
、ソフトウェアの製品パッケージに含まれるようなアプリケーションプログラム
の完全な複製を集合的に実現するのに必要なファイルをすべて含むＣＤ−ＲＯＭ
を生産する。この製品はたとえばワードプロセッサプログラム、表計算プログラ
ム、集合的に提供される１組のそのようなプログラム、オペレーティングシステ
ムまたはその製造者によって一体として生産されかつ配布されるいずれのソフト
ウェア製品のパッケージであってもよい。

【００２１】システム５は所与の複製を実現するのに必要なすべてのファイルを複製するだ
けでなく、このシステムは、一般的にラベルに印刷されてＣＤ−ＲＯＭを含むケ
ースまたはＣＤ−ＲＯＭがそこに入れられる箱のいずれかに添付されたアルファ
ニューメリックの認証データを生成する。この認証データは２つの役割を果たす
。すなわち（ａ）それと関連付けられる特定のＣＤ−ＲＯＭを一意に識別する、
および（ｂ）この発明を介して、その特定のＣＤ−ＲＯＭに対し暗号的に認証を
与え、本質的に他には認証を与えない。後者の役割については、次に特定のＣＤ
−ＲＯＭからＰＣに製品をインストールしながら（このプロセスは図２と関連し
ておよび図５に詳細に一般的に説明される）、ユーザが要求されて認証データを
入力するたびに、認証手順がインストールプログラムの一部として実行され、Ｃ
Ｄ−ＲＯＭ上に記憶された特定の情報（公開鍵および秘密鍵を含む）と関連して
、ユーザが入力した認証データが製造者から与えられたものか、またこの特定の
ＣＤ−ＲＯＭに対し真正かを暗号的に判断する。

【００２２】製造者は自身で使用するために多数の組の有効な認証データを生成し、または
その組を安全にその製品の製造の間に、許諾された第三者であるディスク複製者
に配布できるが、所与の製品の複製に対してシステム５によって生成された各々
のおよびすべての認証データはその対応する製品の複製に対し一意に認証され得
る。このように、もし第三者がすべてのアプリケーションおよびインストールフ
ァイルを含むソフトウェアの違法な複製を入手したとしても、その複製が置かれ
る媒体を問わず、その特定の複製に対して適切に認証される認証データをその第
三者が生成することは、有効な認証データのリストを所有していたとしても不可
能である。

【００２３】特に図１を参照すると、コンピュータ１０はアプリケーションプログラム２０
および特にソフトウェア複製生成プログラム３０をローカルに記憶しかつ実行す
る。関連する範囲内で、プログラム３０は、ソフトウェア製品のパッケージの複
製を集合的に実現するのに必要なすべてのファイルの複製を記憶するたとえばＣ
Ｄ−ＲＯＭを生産するプロセスを制御する。これらのファイルは、リモートコン
ピュータたとえばクライアントＰＣに製品を完全にインストールし、かつ実現す
るのに必要なすべてのプログラムファイル（あれば、関連したデータファイルを
含む）およびインストールファイルを含む。コンピュータ１０内では、これらの
ファイルは、例えばローカルのハードディスクのようなプログラム記憶装置１５
に集合的に存在するがそれに代えて、ネットワーク接続を介してリモートファイ
ルサーバに実現されてもよい。これらのファイルは線１７で示されたように、ソ
フトウェア複製生成プログラム３０内で実行される従来のファイル複製プログラ
ム３２を介して順にダウンロードされる。プログラム３２はダウンロードすべき
ファイルを特定し、プログラム記憶装置１５から順にこれらのファイルの各々に
アクセスし、次に書込装置に挿入されたＣＤ−ＲＯＭ上にそのファイルを書込む
ように命令されると、各々のそのようなファイルをＣＤ書込装置５０にダウンロ
ードする。以下に詳述されかつ特に図４と関連して述べられる認証データ生成プ
ロセス４００は、典型的には長さが２５桁であるアルファニューメリックの認証
データ７５を生成し、それはこれらのファイルが書込まれる特定のＣＤ−ＲＯＭ
と関連付けられる。一旦認証データがプロセス４００によって生成されると、図
１に示されたようにこのプロセスはこの認証データをプリンタ６０に与え、プリ
ンタは認証データをラベルに印刷する。すべてのファイルがＣＤ−ＲＯＭに複製
されると、破線５５で示されたように、それは次にＣＤ−ＲＯＭケースのような
好適なパッケージ７０に挿入される。破線６５で示されたように、このラベルは
このパッケージの外の面に添付される。プロセス４００は、プログラムファイル
がＣＤ−ＲＯＭに書込まれまたは時間をずらした関係で書込まれながら、実質的
に同時に認証データが生成されるように実行されてもよい。単純化するためにシ
ステム５は単一のコンピュータ、単一のＣＤ書込装置および単一のプリンタを含
むように示されているが、実際にはシステム５は所望により、パイプライン化さ
れかつ並列にプログラムを複製する動作を実現する、通常はリモートファイルサ
ーバにネットワークで接続された多数のコンピュータ、多数の書込装置および多
数のプリンタを含んでもよい。

【００２４】表示８０に示された認証データ７５は、識別子（ＩＤ）と、その後に続く、そ
の識別子から生成された署名すなわちＳＩＧＮ（ＩＤ）とをその後に伴う識別子
（ＩＤ）を含む領域８３および８７を含む。認証データの詳細な表示９０に示さ
れるように、識別子はメッセージＭを含み、それはソフトウェア製造者が生産し
たすべての製品の各々およびすべての複製に対し一意な値を有する。例示的には
、このメッセージは、バイナリ値に変換されると、製造者が生産したすべての製
品にわたり与えられた、１つのソフトウェア製品のただ１つの複製にのみ与えら
れる３２ビットのバイナリ値の連続番号である。署名は、バイナリ値に変換され
ると、以下に詳述されかつこの発明では識別子を用いる製造者により形成される
２つの値ｒおよびｓを連結したものである、例示的な８３ビットの値を含む（連
結演算は以下に示す記号で表わされる）。

【００２５】

【数９】

【００２６】図２は、図１で示されたシステム５を介して生産されたようなＣＤ−ＲＯＭか
らプログラムをインストールする間、例示的にこの発明を利用する典型的なクラ
イアントコンピュータ２００の高レベルのブロック図である。

【００２７】ここでは、線２０７で示されたように、ＣＤ−ＲＯＭからプログラムをインス
トールするためにユーザはクライアントコンピュータ２００と関連付けられたＣ
Ｄ−ＲＯＭドライブにＣＤ−ＲＯＭを挿入する。ユーザがマニュアルでコンピュ
ータ２００に命令して、ＣＤ−ＲＯＭ上に記憶されたインストールプログラム２
２０（典型的にはたとえばsetup.exeまたはinstall.exeという名称）の実行を開
始するかまたは従来のオートラン機能を介してこのプログラムが自動的に実行さ
れるかのいずれかであり、両者ともプログラム２２０と関連付けられかつそのと
きそのクライアントコンピュータ上で実行中のオペレーティングシステム上で実
現される。インストールプログラム２２０はそのときクライアント上で実行中の
アプリケーションプログラム２１０の１つとして実行される。プログラム２２０
は、製品に対し予め定められたインストールのプロセスを実現するが、ＣＤ−Ｒ
ＯＭからローカルの大容量記憶装置に製品のプログラムファイルを転送する前に
、認証プロセス５００を実行する。図５と関連して以下に詳述されるが、このプ
ロセスはそこからプログラムがインストールされる特定のＣＤ−ＲＯＭと関連付
けられた認証データをユーザが入力することを要求する。ユーザはこの要求に応
じて、マニュアルで、典型的にはコンピュータ２００と関連したキーボードで、
この特定のＣＤと関連した特定の２５桁のアルファニューメリック認証データを
入力する。典型的にはコンピュータ２００と関連したローカルの画面に表示され
る適切なボタンをマウスでクリックすることにより認証データの入力を完了した
ことを一旦ユーザが示すと、認証データ内に含まれた情報、特にＭ、ｒおよびｓ
の値を含む情報ならびにＣＤ−ＲＯＭ自体に記憶された、以下に定められたよう
な特定のデータの値を用いて、認証プロセス５００はユーザが入力した認証デー
タが真正か、すなわちそれが製造者から与えられたものか、およびこの特定のＣ
Ｄ−ＲＯＭに関して真正かを判断する。

【００２８】認証プロセス５００がユーザが入力した認証データの認証に成功すると、次に
このプロセスはインストールプログラム２２０（図２に図示）にそのように通知
し、するとそのインストールプログラム２２０はインストールのプロセスを継続
し、その後ＣＤ−ＲＯＭからクライアントコンピュータ２００に適切なプログラ
ムファイルを複製する。しかしながらプロセス５００が認証データを認証しない
と、次にプロセス５００はプログラムファイルをクライアントコンピュータ２０
０に全く複製せずにインストールプロセスを早期に終了する。認証データが認証
されたか否かに基づき、認証プロセス５００は線２３０で示されたようにユーザ
に対し好適なメッセージを生成しかつ表示する。認証データが認証されるか否か
にかかわらず、このメッセージはそれぞれ、インストールプロセスの認証後の段
階の引続いての画面の生成および表示中に暗黙のうちに示されてもよいし、また
はインストールされる複製の使用をユーザが許諾されないためインストールが終
了することを示す特定の警告のメッセージでもよい。

【００２９】図３はクライアントコンピュータ（ＰＣ）２００のブロック図である。図示されたように、クライアントコンピュータ２００は入力インターフェイス
（Ｉ／Ｆ）３２０、プロセッサ３４０、通信インターフェイス３５０、メモリ３
３０および出力インターフェイス３６０を含み、すべてが従来どおりバス３７０
によって相互接続される。メモリ３３０は、一般的には種々の様式を含み、たと
えば一時的なデータおよび命令の記憶のためのランダムアクセスメモリ（ＲＡＭ
）３３２、ユーザのコマンドによりフロッピーディスケットと情報を交換するた
めのディスケットドライブ３３４、典型的には磁気性であるハードディスクを介
して実現される不揮発性大容量記憶装置３３５、およびＣＤ−ＲＯＭドライバ３
３６を含む。この発明はＣＤ−ＲＯＭで配布されたソフトウェア製品とともに使
用するという点で論じられているが、この発明はたとえばフロッピーディスケッ
トのような他の一般向けの媒体で配布されるソフトウェア製品にも適用が可能で
あり、フロッピーディスケットの場合はその媒体がフレキシブルディスクドライ
ブ３３４のような適切なドライブに挿入され、そこからインストールプログラム
が読取られかつ実行される。大容量記憶装置３３５はまた、好適な光学記憶媒体
から情報を読取る（かつそこに情報を書込む）別の光学媒体読取装置（図示せず
）（または書込装置）を含んでもよい。さらに、大容量記憶装置３３５はまた、
オペレーティングシステム（Ｏ／Ｓ）３３７およびアプリケーションプログラム
２１０に対する実行可能な命令および関連したデータを記憶する。プログラム２
１０はインストールプログラム２２０を含み、インストールプログラム２２０自
身は、ソフトウェアのインストールのプロセスの間に一旦ロードされると、この
発明の認証プロセス５００（図５を参照）を含む。図３に示されたＯ／Ｓ３３７
は、ＷＩＮＤＯＷＳＮＴオペレーティングシステムのようないずれの従来のオ
ペレーティングシステムにより実現されてもよい。したがって、Ｏ／Ｓ３３７の
構成要素はすべて関連がないため、ここでは論じない。インストールプログラム
２２０はアプリケーションプログラム２１０の１つであり、Ｏ／Ｓの制御下で実
行されるといえば十分であろう。

【００３０】有利には、この発明技術は、ソフトウェア製品内で用いるために埋込まれると
、インストールされる特定の製品の複製に対する認証データを入力する以外にユ
ーザの行動を要求しない。

【００３１】図３に示されたように、入来する情報は２つの例示的な外部ソースから、すな
わちネットワークにより与えられる情報、たとえばインターネットからおよび／
または他のネットワークに接続した設備からネットワーク接続３５５を介して通
信インターフェイス３５０へ、または専用入力ソースから経路３１０を介して入
力インターフェイス３２０へ発生し得る。専用入力は幅広い種類のデータソース
から発生し、そのいずれもここでは特に無関係である。我々はこの発明をＣＤ−
ＲＯＭからのローカルでのインストールに用いるという文脈で論じているが、こ
の発明は、インターネットまたは他のネットワーク設備（たとえばイントラネッ
ト）のようなものを介した、コンピュータ２００への製品のネットワークインス
トールとともに用いられてもよい。この場合は、製造者またはサイトライセンス
管理者が、製品の複製に対する電子的支払またはライセンスを受けた複製に対す
る正当に許諾された要求を受取ると、リモートネットワークファイルサーバから
その製品の複製に対する対応する認証データを含むファイルを次にダウンロード
できる。関連したインストールプログラムがファイルサーバ上でリモートで実行
できるのであれば、そのときはサーバは認証データを含むクライアントに記憶さ
れたファイルにアクセスし、さらにコンピュータ２００にいずれかのプログラム
ファイルをダウンロードする前に認証データを認証するステップに進む。代替的
に、インストールプログラムがローカルで実行されるのならば、一旦すべてのプ
ログラムファイルおよびインストールファイルがサーバによりダウンロードされ
ると、サーバが（またはユーザがある後の時点で）ローカルでインストールプロ
グラムの実行を開始する。このプログラムは認証データを含むファイルにローカ
ルでアクセスし、製品の複製を認証するステップに進む。

【００３２】入力インターフェイス３２０は適切な回路を含み、コンピュータシステム２０
０への入力情報の各々の異なる専用ソースを物理的に接続しかつインターフェイ
スするのに求められる、必要かつ対応する電気的接続を与える。オペレーティン
グシステムの制御下では、アプリケーションプログラム２１０はネットワーク接
続３５５または経路３１０を介して、コマンドおよびデータを外部ソースと交換
し、プログラムの実行中に典型的にはユーザによって要求された情報を伝送しか
つ受取る。

【００３３】さらに、入力インターフェイス３２０はまた、キーボードおよびマウスのよう
なユーザの入力装置３９５をコンピュータシステム２００に電気的に接続かつイ
ンターフェイスする。従来のカラーモニタのようなディスプレイ３８０および従
来のレーザプリンタのようなプリンタ３８５は、導線３６３および３６７を介し
て、それぞれ出力インターフェイス３６０に接続される。出力インターフェイス
は必要な回路を提供し、ディスプレイおよびプリンタをコンピュータシステムに
電気的に接続かつインターフェイスする。一般的には、また認められるようにこ
の発明技術を利用すると、単に製品の複製の認証データを生成するだけではなく
、それを介してクライアントコンピュータ２００がこれらのメッセージを入手し
、記憶しおよび／または伝達する様式にも関わらず、ほとんどどのタイプのメッ
セージに対しても、一意な、安全なおよび真正な署名を生成することができる。

【００３４】さらに、コンピュータシステム２００の特定のハードウェア構成要素、および
メモリ３３５内に記憶されるあらゆるソフトウェアの局面は、この発明を実現す
るモジュールを除いて従来のものでありかつ周知であるので、詳細には論じない
。一般的に、コンピュータ１０はクライアントコンピュータ２００と類似のアー
キテクチャを有する。

【００３５】Ｂ発明技術この発明では、たとえば数字で表わされた製品の複製の識別子のようなメッセ
ージが与えられると、公開鍵暗号システムに基づきかつ有限体上の楕円曲線上の
点から選択された生成元の値を用いて、真正な署名がそのメッセージに対して生
成される。この技術は例示的な署名者Ａのための３つの鍵、すなわち公開鍵（Ｐ
Ａ）、非公開鍵（ＳＡ）および秘密鍵（ＫＡ）と関連した生成元の値を用いて真
正な署名を生成することに依存している。

【００３６】公開鍵暗号では、メッセージ（Ｍ）に対する署名はその署名者Ａによってメッ
セージならびに署名者の公開鍵および非公開鍵と相関して生成される。すなわち
Sign（M,PA,SA） → SIGNATURE＿A（M）このメッセージの受信者Ｂは、自分の受取るメッセージの署名をメッセージ、そ
の署名およびその署名者の公開鍵の関数として、すなわち、 Verify（M,SIGNATURE＿A（M），BA）で検証することができる。検証の結果は、
一般的に署名が有効か否かを特定するイエス／ノーの表示で示される。署名が有
効であれば、署名者の特定の公開鍵および非公開鍵（キーペア）の使用によるも
のとされる。第三者が、メッセージおよび関連した署名の暗号を解析して、また
はたとえばこれらの鍵を盗んで不正にこのキーペアの知識を得たならば、第三者
は署名されたメッセージのペアすなわちメッセージおよびそれらのメッセージの
各々に対する有効な署名を新たに生成することができてしまう。

【００３７】この発明技術は、真正な署名が署名者の公開鍵および非公開鍵からだけでなく
、署名者の秘密鍵からも生成される必要があるために、署名と関連した安全性を
実質的に高めている。すなわち、 Authentic＿Sign（M,PA,SA,KA） → Authentic＿SIGNATURE＿A（M）この発明を用いると、現時点での実行可能性という点でおよび秘密鍵の知識な
しに真正な署名を含む新たな署名されたメッセージのペアを生成するには公開鍵
および非公開鍵を知っているだけでは大いに不十分である。多数のメッセージお
よびその真正な署名が与えられても、署名されたメッセージのペアから、すなわ
ち正当なメッセージおよび真正な署名からは、秘密鍵を再生する作業は不可能で
あると考える。その点に関し、８３ビットのバイナリ値の真正な署名に対しては
、秘密鍵の事前の知識なしにそのような真正な署名を生成する確率は約（．５） ³⁰ のオーダであり、この数字の微小さを考えると、でたらめに推測するのと同じ
可能性しかない。

【００３８】本質的に、この発明の教示に従うと、特定の楕円曲線上の点を与えられると、
その曲線上のある点の値が生成元の値として選択される。非公開鍵は無作為に選
択される。公開鍵は生成元および非公開鍵の値の予め定められた関数として決定
され、特に前者の後者による冪乗として決定される。秘密鍵が用いられて擬似乱
数を生成する。真正な署名の第１の部分は次に生成元、擬似乱数およびメッセー
ジ（たとえば無作為に選択された製品の複製の識別子）の予め定められた関数を
介して生成される。特定的には、生成元はまず擬似乱数の値で冪乗されてある値
を与え、その値は次にメッセージと連結される。その結果生じた連結した数は予
め定められたハッシュ関数を介して処理され、真正な署名の第１の部分を与える
。真正な署名の残余の部分は第１の部分、擬似乱数の値および非公開鍵の予め定
められた関数に応答して生成される。真正な署名全体は両者の署名の部分をとも
に連結させることにより最終的に生成される。

【００３９】この発明が用いられて、製品の複製の認証データを実現すると、公開鍵および
生成元の値は、クライアントコンピュータ、たとえば図２に示されたクライアン
トコンピュータ２００に複製をインストールする間にそれを認証するのに用いら
れる、製品の複製自体の中の適切なファイル内に記憶される。

【００４０】その製品の複製のインストールの間、ユーザが入力した署名は、クライアント
コンピュータで、生成元の値、公開鍵およびユーザが入力した認証データ全体、
特に識別子および署名を用いて署名の第１の部分を計算することにより認証され
る。次にこの第１の部分の値がユーザが入力した署名の同じ部分の値と一致する
かを判断する。一致すれば、入力された署名は真正であり、製品の複製のインス
トールが継続する。一致しなければ、それは真正ではなく、製品の複製のインス
トールは早期に終了する。

【００４１】製品の複製の認証データの生成と関連して、３つの別個の段階が用いられてこ
の発明を実現する。すなわち（ａ）さまざまなパラメータの値を生成するために
一度だけ、典型的にはソフトウェア製造者により行なわれる初期化、（ｂ）初期
化の間に生成されたパラメータの値を用いて、異なる製品の複製ごとにその複製
とともに用いられる真正な署名を含む対応する認証データを生成するために媒体
の複製場所で繰返し行なわれる認証データ生成（図４と関連して以下に詳述され
る特にプロセス４００）、および（ｃ）ユーザ側（クライアントコンピュータ）
でインストールプログラムを実行する間に、ユーザが入力し、かつユーザがイン
ストールしようとする特定の製品の複製と関連した認証データ内で署名を認証す
るために別個にかつその後に行なわれ、その複製のインストールを継続する認証
（図５と関連して以下に詳述される特にプロセス５００）である。

【００４２】この発明を介して生成された真正な署名が公開鍵を用いて従来の方法で検証さ
れる限りは、どのように検証が特定的に達成されるかに関する詳細は、簡潔にす
るために省略する。

【００４３】１定義づけおよび初期設定の局面この発明の技術に用いられるさまざまな変数およびこの技術の初期化に用いら
れるステップをまず定義する。

【００４４】まず、好ましくはガロア体上に有限体（Ｋ）が定義される。すなわちＫ＝ＧＦ
（ｐ）であり、ここでｐはたとえば３８４ビットまたはそれ以上のように非常に
大きく、かつｐ＝１（ｍｏｄ４）である。その代わりに、この有限体はＫ＝Ｇ
Ｆ（２^m）と定義されてもよい。

【００４５】次に、楕円曲線Ｅがこの有限体上に定義される。この発明の教示に従うと、そ
の上に複雑な加算および複雑な乗算が存在する楕円曲線を用いるが、それはこの
発明の技術で用いられるパラメータおよびその結果生じる認証データを比較的短
くしながらある形態の暗号攻撃に対して必要な安全性を提供するためである。楕
円曲線を用いなければ、そのような短いパラメータではその安全性を確保するの
は不可能である。一般的に、楕円曲線は、ａ、ｂ、ｃおよびｄを予め定められた
係数として、ｙ²＝ａｘ³＋ｂｘ²＋ｃｘ＋ｄという曲線を満たす点（ｘ、ｙ）
を含む。これら４つの係数の値を変化させることにより、曲線上の点の数はそれ
に従って変化する。ここでは一般的な形の楕円曲線を用い得るが、好ましくはか
つ例示的には、有限体Ｋの上でｙ²＝ｘ³＋ｘとなる曲線を選択し、これにより、
曲線Ｅ上の点の数｜Ｅ｜が次のように計算される。すなわち、α＝１（ｍｏｄ
４）としてｐ＝α²＋β²ならば、｜Ｅ｜＝ｐ＋１−２α＝（α−１）²＋β²であ
る。したがって、曲線上の点の数はαおよびβをそれに従って選択することによ
り設定できる。

【００４６】大きな素数ｑが、たとえば少なくとも長さが約６０ビットとなるように選択さ
れ、αおよびβはｑが確実に｜Ｅ｜に均等に分割され、かつ１（ｍｏｄ４）を
満たすようにそれに従って設定される。

【００４７】一旦ｑの値がそれに従って選択されると、典型的には無作為の点である生成元
ｇの値が次数ｑのサブグループに対して曲線Ｅの上に定義される。これは、曲線
Ｅ上に無作為の点であるｇを繰返し選択し、かつその特性、すなわち好適な数が
判明するまでその数が以下の式を満たすかをテストすることにより、典型的には
達成される。Ｇ＝｛ｇ，２ｇ，３ｇ，．．．，（ｑ−１）ｇ｝かつ｜Ｇ｜＝ｑ一旦適切な生成元の値が選択されると、次に乱数が非公開の指数Ｘとして選択
される。この数字Ｘは非公開鍵となる。パラメータｇ_powは公開鍵であり、ｇ^xと
等しいとして計算される。

【００４８】最後に、秘密鍵ＫＡは例示的に２つの予め定められた成分Ａ₁およびＡ₂を連結
したものすなわち以下の式のように定義される。

【００４９】

【数１０】

【００５０】一旦上記のパラメータが定義されると、パラメータｑ、ｇ、ｇ_powおよびＸは
認証データ生成プロセス４００の各々の実行の間、その後に用いるために記憶さ
れ、製造者が生産するすべてのソフトウェア製品の各々のおよびすべての異なる
複製に対し、一意の識別子および関連した真正な署名を含む各々の認証データを
生成する。さらに、パラメータｇおよびｇ_powの値ならびに以下に論じられるハ
ッシュ関数の仕様（specification）はその複製のインストール、特にその複製
のインストールの間ユーザが手入力する認証データの認証の間（すなわち以下に
詳述される認証プロセス５００の実行の間）その後のアクセスおよび使用のため
に各々のそのような製品の複製の中にデータとしてすべて記憶される。

【００５１】２認証データ生成プロセス４００図４は認証データ生成プロセス４００のフローチャートの図である。上述のよ
うに、このプロセスはコンピュータ１０によって別個に実行され、そのメモリ（
特に図示せず）にある適切な記憶されたプログラムの（実行可能な）命令により
実現され、各々の連続した製品の複製に対し一意な認証データを生成する。この
プロセスは秘密鍵ＫＡ、ｑ、ｇ、ｇ_powおよび非公開の指数Ｘの値を用いる。

【００５２】プロセス４００に入ると、実行のプロセスはまずブロック４１０に進む。この
ブロックは、実行されると、次の連続した（しかしそれまでに用いられていない
）値を、現在の製品の複製に対し（２³²−１）＞Ｍ＞０の範囲で識別子（ここで
はＭ）として無作為に割当てる。代替的に、この識別子は順番に割当てられても
よい。その場合、識別子は第１の製品の複製に対しては１の値を、第２の製品の
複製に対しては２の値を割当て、ソフトウェア製造者のすべての製品の複製およ
びすべての異なる製品にわたり、以下同様に識別子が割当てられる。いずれにせ
よ、いずれの製品の各々の複製も一意な識別子を有する。製品の認証データを生
成するのにこの発明技術が用いられる期間にわたり、２³²以上のソフトウェア製
造者の製品の複製が製造される見込みであれば、この技術はより長い識別子、し
たがってより長い鍵およびパラメータの値を用いるように修正されなければなら
ないことが当業者には明らかであろう。

【００５３】適切な値が現在の製品の複製に対する識別子としてブロック４１０により一旦
割当てられると、実行のプロセスはブロック４２０に進む。このブロックは現在
の製品の複製に割当てられた秘密鍵および識別子Ｍを用いて、［１、ｑ−１］の
範囲で指数ｋの擬似乱数の値を生成する。一般的に、Ｇ＿ｍｓを擬似乱数生成式
として、ｋ＝Ｇ＿ＭＳ（Ｍ）である。好ましくは、擬似乱数生成式は、特定的に
はＳＨＡ＿１である従来のかつ周知である安全なハッシュ関数を用いて実現され
る。そのようなハッシュ関数はどのような長さのデジタルの入力数も１６０ビッ
トの値に写像し、それによりＳＨＡ＿１（ｘ）＝ＳＨＡ＿１（ｙ）となるような
、同じ長さの数（ｘ、ｙ）の何らかのペアを探し出すことが不可能である、すな
わちここでは２⁸⁰回を超える演算が必要となる。特に、上述のように、秘密鍵Ｋ
Ａは例示的には２つの予め定められた成分Ａ₁およびＡ₂の連結、すなわち以下の
式のとおりであり、

【００５４】

【数１１】

【００５５】一旦生成されると固定され、すべての製品の複製の認証データを生成する。ｋを
計算するには、ブロック４２０は秘密鍵をその成分Ａ₁およびＡ₂に解析し、次に
複数のハッシュ演算を用いて、次の式１および式２に示されるように指数ｋを計
算する。

【００５６】

【数１２】

【００５７】安全性をさらに高めるには、式１および２を介して生成されたｋの値は、別の擬
似乱数関数を介してシードとして処理されて新たな擬似乱数の値ｋを与え、現在
の製品の複製のための認証データを生成するための残余のステップの間、これら
の式によって生成される値の代わりに、代替的にこの新たな値が用いられてもよ
い。

【００５８】上述のように、現在の製品の複製に対しｋの値が一旦そのように決定されると
、ブロック４３０はｇ^kの計算を実行する。その後、実行のプロセスはブロック
４４０に進み、認証する側には既知のハッシュ関数を用いて、ｇ^kおよびＭの関
数としてかつ以下の式３に従ってパラメータｒの値を決定する。このハッシュ関
数は例示的にはＳＨＡ＿１関数である。

【００５９】

【数１３】

【００６０】次に、ブロック４５０はｋ、Ｘ、ｒおよびｑの関数としてかつ以下の式４に従
ってパラメータｓの計算を実行する。

【００６１】

【数１４】

【００６２】一旦ｓが完全に計算されると、実行のプロセスはブロック４６０に進み、そこ
ではＭ、ｒおよびｓを連結したものとしての１１５ビットのバイナリ値の認証デ
ータを形成し、ただし真正な署名自体はｒおよびｓを連結したものである。バイ
ナリ値の認証データが形成された後、ブロック４７０はこの認証データを２５桁
のアルファニューメリックの形式に変換し、次に結果として生じる現在の製品の
複製と関連して用いられるアルファニューメリックの認証データの出力値をたと
えばプリンタ６０（図１参照）のようなものに与える。認証データを手入力する
際のユーザの混乱および起こり得る間違いを低減しかつ使い勝手を高めるために
、ブロック４７０（図４には図示せず）は、認証データが印刷されるフォントに
もよるが、たとえば、文字ＩおよびＯ（大文字または小文字を問わない）、数字
の０、小文字のＬ、および数字の１などユーザには同じに見える、あるアルファ
ニューメリックの文字を好ましくは使用しない。さらに、小文字のＬと数字の１
のように同じに見える文字を、共通の文字たとえば数字１に写像してもよい。

【００６３】この発明を利用しかつ公開鍵−非公開鍵のペアを用いることにより、３２ビッ
トの識別子の値を考慮すると、ゆうに１秒以内の処理時間で、現在利用可能なＰ
Ｃで真正な８３ビットの署名が生成されると見込んでいる。

【００６４】３認証プロセス５００図５は、図２および図３で示されたコンピュータ２００のようなクライアント
コンピュータ内で実行される認証プロセス５００のフローチャートの図である。
上述のように、これはクライアントコンピュータに製品の複製をインストールす
る間に、所与の製品の複製に対しユーザが手入力した認証データを認証するプロ
セスである。ｇ、ｇ_powの値および認証の間に用いられるハッシュ関数の仕様が
所与の製品の複製内に記憶され、それらはソフトウェア製造者からのすべての製
品の複製に共通である。単純化のために、パラメータｇおよびｇ_powならびにハ
ッシュ関数の仕様を所与のソフトウェア製造者のすべての製品の複製に共通とし
ているが、安全性を高めるためには、これらのパラメータの値およびハッシュ関
数の仕様はその製造者の特定の製品のすべての複製または一組のその製品の特定
の複製にわたってのみ共通であってもよく、もしくはそのような複製のただ１つ
のみに特有であってもよい。

【００６５】プロセス５００に入ると、実行のプロセスはまずブロック５１０に進む。この
ブロックは、図２および図３に示されたクライアントコンピュータ２００のよう
な、ユーザのクライアントコンピュータにユーザがインストールしようとする特
定の製品の複製に対してユーザが手入力したアルファニューメリックの認証デー
タを読取る。この認証データが一旦読取られると、ブロック５２０はまずアルフ
ァニューメリックの認証データをバイナリ値のシーケンスに変換し、次にその認
証データ内のパラメータＭ、ｒおよびｓの値を抽出するプロセスを実行する。そ
の後、実行のプロセスはブロック５３０に進み、そこではパラメータｇおよびｇ _pow の記憶された値ならびに認証に用いられる特定のハッシュ関数の仕様を読取
る。

【００６６】これらのパラメータの値およびハッシュ関数の仕様が一旦ブロック５３０によ
り読取られると、実行のプロセスはブロック５４０に進み、実行されると、そこ
では認証データから抽出されたばかりのｒおよびｓの値を用いて、ｇ^sおよびｇ_p _ow ^r の値を計算する。一旦この値が計算されると、ブロック５５０および５６０
はまず認証署名の一部、特にパラメータｒ（ここでは再計算された部分は以下の
記号で示される。

【００６７】

【数１５】

【００６８】「以下明細書中ではこの記号を＾ｒと記載する」）を計算することにより認証デ
ータを集合的に認証し、次にその値を認証データから抽出された同じパラメータ
の値と比較するステップを実行する。特に、ブロック５５０は以下の式５に従っ
て＾ｒを計算する。

【００６９】

【数１６】

【００７０】この式では、ＨＡＳＨは認証の間に用いられる、製品の複製に特定されたハッシ
ュ関数である。この関数は典型的にはＳＨＡ＿１関数である。値＾ｒが計算されると、実行のプロセスは判定ブロック５６０に進み、ユーザが
入力した認証データから抽出されたｒの値に対してこの値をテストする。これら
の２つの値が同一（一致）であれば、認証データ内の署名は認証された。したが
って、認証プロセス５００からＹＥＳの経路５６３を介して実行のプロセスは終
了し、この製品の複製のインストールを継続する。代替的に、これら２つの値が
全く異なっていると、認証データ、特にそれが含む署名は、真正ではない。した
がって、ユーザは製品の複製をインストールする認証が与えられない。この例で
は、判定ブロック５６０はＮＯの経路５６７を介してブロック５７０に実行のプ
ロセスを経路指定する。この後者のブロックは、実行されると、ローカルのモニ
タ（たとえば図３に示されたディスプレイ３８０）にユーザは製品の複製をイン
ストールする認証を与えられないとする適切なメッセージを表示する。一旦この
メッセージがそのように表示されると、実行のプロセスは（図５に示されたよう
に）プロセス５００から終了し、製品の複製のインストールを進めずに早期に終
了する。

【００７１】安全かつ真正な署名を生成するためのこの発明の技術を、ユーザのコンピュー
タにインストールされるソフトウェア製品の複製とともに用いる認証データの一
部としてこれまで説明してきたが、この発明を用いて、ユーザがソフトウェア製
造者により運営されるサーバとのネットワーク接続を確立するときは常に、以前
にインストールされたソフトウェアの複製を非常に安全にシリアル番号をつける
（serialize）ことができることが当業者には理解されるであろう。特に、クラ
イアントコンピュータで実行されるＯ／ＳのユーザがそのＯ／Ｓの製造者のウェ
ブサイトにインターネット接続を確立するならば、ウェブサーバはたとえば真正
な署名を含む上述の認証データのようなインストール番号を生成し、その番号を
クライアントコンピュータにダウンロードして記憶させることができる（もちろ
んクライアントコンピュータで実行されるウェブブラウザが「クッキー」を受け
入れる、すなわちそのようなダウンロードを受け入れるように設定されていると
仮定して）。このインストール番号を用いて製造者はその特定のＯ／Ｓのインス
トールを一意にかつ安全に識別できる。そのユーザがその後製造者のウェブサイ
トとインターネット接続を確立するときは常に、製造者はクライアントコンピュ
ータに記憶されたインストール番号にアクセスしかつそれを認証することにより
Ｏ／Ｓの特定のインストールを容易に識別することができる。記憶されたインス
トール番号をきちんと認証できることにより、製造者は許諾されたＯ／Ｓのイン
ストールと許諾なしのＯ／Ｓのインストールを区別することができる。したがっ
て製造者は前者のインストールのみにサポート、アップグレード、プロモーショ
ンおよび／または他のサービスを提供しながら、後者のインストールに対しては
それらを拒否することができる。同様に、製造者は以前にインストールされかつ
製造者がその後に識別を行ないたい、アプリケーションプログラムのような他の
タイプのソフトウェアプログラムの複製に対して一意なインストール番号を生成
しかつダウンロードすることができる。

【００７２】さらに、認証データはそれに対して真正な署名が生成されるメッセージとして
製品の複製の識別子を用いたが、このメッセージはそのように限定されるもので
はない。このメッセージは電子的に暗号化されかつ一方から他方へ伝達されるい
ずれの形態のデジタルの情報も構成することができる。したがって、この発明は
送信者と受信者の間を通過する暗号化されたメッセージの流れの中の各々のメッ
セージを認証する、高度な安全性を有するメカニズムを提供することができる。

【００７３】さらに、認証データの生成および認証のプロセス（特に図４および図５それぞ
れの中のブロック４４０および５５０）の中でパラメータｒおよび＾ｒを生成す
るための安全なハッシュ関数を用いてこの発明の技術を説明したが、同じ関数が
両者のプロセスに用いられ、またその関数の仕様が関連した製品の複製に記憶さ
れ、かつその特定の複製のインストールの間認証のプロセスによって読取られる
ならば、他の安全な関数が用いられてもよい。

【００７４】さらに、この発明は３２ビットのメッセージ（ここでは、例示的に製品の複製
の識別子）および８３ビットの真正な署名とともに用いられるように例示的に説
明されたが、この発明はその意図された適用例を考慮すると、より長いメッセー
ジおよび署名、もしくはより低いセキュリティが許容されるアプリケーションで
は、より短いメッセージおよび署名を受け入れるよう容易に修正が可能である。

【００７５】さまざまな修正とともに、この発明の教示を組込む実施例が詳細に示されかつ
説明されたが、当業者はこの教示を利用する多数の他の実施例を容易に考案する
ことができる。

【図面の簡単な説明】

【図１】この発明の教示を組込んだＣＤ−ＲＯＭ生産システムの、単純化
されてはいるが高レベルのブロック図である。

【図２】図１に示されたシステム５を介して生産されたようなＣＤ−ＲＯ
Ｍからプログラムをインストールする間に、この発明を例示的に利用する典型的
なクライアントコンピュータ２００の高レベルなブロック図である。

【図３】図２に示されたクライアントコンピュータ２００のブロック図で
ある。

【図４】図１に示されたコンピュータ１０内で実行される認証データ生成
プロセス４００のフローチャートの図である。

【図５】図２および図３に示されたクライアントコンピュータ２００内で
実行される認証プロセス５００のフローチャートの図である。

【手続補正書】特許協力条約第３４条補正の翻訳文提出書

【提出日】平成１２年１０月６日（２０００．１０．６）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】全文

【補正方法】変更

【補正内容】

【発明の名称】非公開に認証可能な暗号署名を生成し、かつ製品の複製に関連
してそのような署名を用いるための技術

【特許請求の範囲】

【数１】この式ではＳＨＡ＿１はＳＨＡ＿１のハッシュ関数である、請求項４に記載の方
法。

【数２】この式ではＳＨＡ＿１はＳＨＡ＿１のハッシュ関数である、請求項１６に記載の
方法。

【数３】この式ではｆは予め定められた安全な関数である、請求項１９に記載の方法。

【数４】この式ではＸは非公開鍵（ＳＡ）であり、ｑは予め定められた素数である、請求
項２０に記載の方法。

【数５】この式ではｇ_powは公開鍵であり、ＨＡＳＨは署名の生成に用いられる予め定め
られたハッシュ関数である、請求項２６に記載の方法。

【数６】この式ではＳＨＡ＿１がＳＨＡ＿１のハッシュ関数である、請求項３７に記載の
装置。

【数７】この式ではｆが予め定められた安全な関数である、請求項４０に記載の装置。

【数８】この式ではＸが非公開鍵（ＳＡ）であり、ｑが予め定められた素数である、請求
項４１に記載の装置。

【数９】この式ではｇ_powが公開鍵であり、ＨＡＳＨが署名の生成に用いられる予め定め
られたハッシュ関数である、請求項４７に記載の装置。

【発明の詳細な説明】

【０００１】

【発明の分野】この発明は暗号法に関し、特定的には、所与の署名すべきメッセージに対し、
メッセージの署名者から発信されたものとして、署名されたメッセージの受信者
によって非公開に認証され得る真正な暗号署名を生成し、かつそのような署名を
適切に認証するための技術に関する。

【０００２】

【先行技術の説明】何世紀にもわたり、情報が二人の個人の間で伝達される限り、情報は第三者に
よって傍受、盗聴、漏洩および／または破損されやすいものであった。そのよう
な行為から情報を確実に保護するという問題が長きにわたり存在してきたのは明
らかである。

【００１１】

【発明の概要】この発明は、たとえば数字で表わされた、製品の複製の識別子のようなメッセ
ージが与えられると、公開鍵暗号システムに基づき、かつ有限体上の楕円曲線上
の点から選択された生成元の値を用いて、真正な暗号署名を形成することにより
このニーズを有利に満たし、かつ先行技術の欠点を克服する。この技術は３つの
鍵、すなわち公開鍵、非公開鍵および秘密鍵と関連した生成元の値を用いて真正
な署名を形成し、従来の２つの鍵の公開鍵暗号システムを介して生成された暗号
署名と関連して実質的に安全性を高めている。

【００１９】

【詳細な説明】以下の説明を考慮すると、この発明の教示が送信者側で所与のメッセージに対
し暗号署名を生成する必要が生じる幅広い適用例のいずれにも用い得ることが当
業者には明確に理解されるであろう。この発明は、共通の送信者すなわち署名者
から発信される一意な一連のメッセージに対し署名が生成されるべき事例におい
て、特に好適に用いられるが、それのみに限られるわけではない。その結果生じ
る署名の各々は高い安全性を与える、すなわち暗号解析が不可能であるだけでな
く、その共通の署名者のみから発信されるものとして認証され得る。この点にお
いて、そのような署名の各々は１組の有効な署名の一部として公開鍵の使用によ
り公に検証され、さらに秘密鍵を用いて非公開にかつ一意に認証され得る。さら
に有利なことにはこの発明を用いると、第三者（意図された署名者ではない）が
その受信者にとって有効に見えるような署名を不正に生成する方法を決定しよう
としたとしても、その第三者はその受信者に対して特定の署名を適切に認証する
という不可能な作業に直面する。以下の議論を単純にするために我々は、たとえ
ばソフトウェア製品の特定の複製をクライアントパーソナルコンピュータ（ＰＣ
）にインストールする間に、それを認証する目的で、ソフトウェア製品の所与の
複製と署名自身が一意に関連付けられた、対応する認証データ内で用いられるべ
き署名を生成するという文脈で、この発明を論じる。

【００２５】

【数１０】

【００２９】図３はクライアントコンピュータ（ＰＣ）２００のブロック図である。図示されたように、クライアントコンピュータ２００は入力インターフェイス
（Ｉ／Ｆ）３２０、プロセッサ３４０、通信インターフェイス３５０、メモリ３
３０および出力インターフェイス３６０を含み、すべてが従来どおりバス３７０
によって相互接続される。メモリ３３０は、一般的には種々の様式を含み、たと
えば一時的なデータおよび命令の記憶のためのランダムアクセスメモリ（ＲＡＭ
）３３２、ユーザのコマンドによりフロッピーディスケットと情報を交換するた
めのディスケットドライブ３３４、典型的には磁気性であるハードディスクを介
して実現される不揮発性大容量記憶装置３３５、およびＣＤ−ＲＯＭドライバ３
３６を含む。この発明はＣＤ−ＲＯＭで配布されたソフトウェア製品とともに使
用するという点で論じられているが、この発明はたとえばフロッピーディスケッ
トのような他の一般向けの媒体で配布されるソフトウェア製品にも適用が可能で
あり、フロッピーディスケットの場合はその媒体がフレキシブルディスクドライ
ブ３３４のような適切なドライブに挿入され、そこからインストールプログラム
が読取られかつ実行される。大容量記憶装置３３５はまた、好適な光学記憶媒体
から情報を読取る（かつそこに情報を書込む）別の光学媒体読取装置（図示せず
）（または書込装置）を含んでもよい。さらに、大容量記憶装置３３５はまた、
オペレーティングシステム（Ｏ／Ｓ）３３７およびアプリケーションプログラム
２１０に対する実行可能な命令および関連したデータを記憶する。プログラム２
１０はインストールプログラム２２０を含み、インストールプログラム２２０自
身は、ソフトウェアのインストールのプロセスの間に一旦ロードされると、この
発明の認証プロセス５００（図５を参照）を含む。図３に示されたＯ／Ｓ３３７
は、ＷＩＮＤＯＷＳＮＴオペレーティングシステム（”ＷＩＮＤＯＷＳＮＴ
”はワシントン州、レッドモンドのマイクロソフト・コーポレイションの登録商
標である。）のようないずれの従来のオペレーティングシステムにより実現され
てもよい。したがって、Ｏ／Ｓ３３７の構成要素はすべて関連がないため、ここ
では論じない。インストールプログラム２２０はアプリケーションプログラム２
１０の１つであり、Ｏ／Ｓの制御下で実行されるといえば十分であろう。

【００４９】

【数１１】

【００５４】

【数１２】

【００５６】

【数１３】

【００５９】

【数１４】

【００６１】

【数１５】

【００６７】

【数１６】

【００６９】

【数１７】

【図面の簡単な説明】

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者モンゴメリー，ピーター・エルアメリカ合衆国、94903−2346 カリフォルニア州、サン・ラファエル、ラス・コリンダス・ロード、780 Ｆターム(参考） 5J104 AA09 AA25 JA25 NA02 NA12 NA16 【要約の続き】続するかまたは早期に終了させるかが判断される。

Claims

【特許請求の範囲】

【請求項１】公開鍵（ＰＡ）および非公開鍵（ＳＡ）を有する公開鍵暗号
システムを用いて真正な署名を生成するための方法であって、メッセージ、有限
体上の楕円曲線上の複数の点から選択された予め定められた生成元の値（ｇ）な
らびに公開鍵および非公開鍵とは異なる第３の鍵（ＫＡ）に応答して、入来する
メッセージ（Ｍ）に対して真正な署名を形成するステップを含む、方法。
【請求項２】前記形成のステップは、秘密鍵（ＫＡ）の予め定められた擬似乱数の関数として第１のパラメータの値
（ｋ）を生成するステップと、第１のパラメータの値、生成元の値およびメッセージの第１の予め定められた
関数として真正な署名の第１の部分（ｒ）を決定するステップとをさらに含む、
請求項１に記載の方法。
【請求項３】予め定められた擬似乱数の関数が第１の予め定められたハッ
シュ関数を含む、請求項２に記載の方法。
【請求項４】メッセージ（Ｍ）に対して、公開鍵（ＰＡ）、非公開鍵（Ｓ
Ａ）および第３の鍵（ＫＡ）を有する公開鍵暗号システムを介して生成された署
名を認証するための方法であって、第３の鍵は第１の鍵および第２の鍵とは異な
り、この方法は、署名から第１および第２の部分を抽出し、署名の抽出された第１および第２の
部分を与えるステップと、有限体上の楕円曲線上の複数の点から選択された予め定められた生成元の値（
ｇ）、メッセージならびに署名の抽出された第１および第２の部分に応答して、
署名の第１の部分の新たな値を決定するステップと、第１の部分の新たな値が第１の抽出された部分と一致するか否かを確認し、そ
の署名が真正か否かを示すステップとをさらに含む、方法。
【請求項５】入来するメッセージ（９３）に応答して、メッセージに対し
て真正な署名（９７）を生成し、かつ公開鍵（ＰＡ）および非公開鍵（ＳＡ）を
有する公開鍵暗号システムとともに用いられる装置であって、この装置は、プロセッサ（３４０）とコンピュータで実行可能な命令を記憶するメモリ（３３０）とを含み、前記プロセッサは、記憶された命令に応答して、メッセージ（Ｍ）、有限体上
の楕円曲線上の複数の点から選択された予め定められた生成元の値（ｇ）ならび
に公開鍵および非公開鍵とは異なる第３の鍵（ＫＡ）に応答して、入来するメッ
セージ（Ｍ）に対して真正な署名を形成する、装置。
【請求項６】メッセージ（Ｍ）に対して、公開鍵（ＰＡ）、非公開鍵（Ｓ
Ａ）および第３の鍵（ＫＡ）を有する公開鍵暗号システムを介して生成された署
名（９７）を認証するための装置であって、第３の鍵は第１の鍵および第２の鍵
とは異なり、この装置は、プロセッサ（３４０）とコンピュータで実行可能な命令を記憶するメモリ（３３０）とを含み、前記プロセッサは、記憶された命令に応答して、署名から第１および第２の部分を抽出し、署名の抽出された第１および第２の
部分を与え、有限体上の楕円曲線上の複数の点から選択された予め定められた生成元の値（
ｇ）、メッセージならびに署名の抽出された第１および第２の部分に応答して、
署名の第１の部分の新たな値を決定し、第１の部分の新たな値が第１の抽出された部分と一致するか否かを確認し、そ
の署名が真正か否かを示す、装置。
【請求項７】対応する製品の複製と関連した、真正な署名を含む、認証デ
ータを生成するための方法であって、真正な署名は公開鍵（ＰＡ）および非公開
鍵（ＳＡ）を有する公開鍵暗号システムと関連して用いられ、この方法は、製品の複製に対してメッセージ（Ｍ）として一意な識別子を割当てるステップ
と、メッセージ、有限体上の楕円曲線上の複数の点から選択された予め定められた
生成元の値（ｇ）ならびに公開鍵および非公開鍵とは異なる第３の鍵（ＫＡ）に
応答して真正な署名を生成するステップと、識別子および真正な署名に応答して認証データを形成するステップと、製品の複製と認証データを関連づけるステップとを含む、方法。
【請求項８】前記認証データ形成のステップは、識別子を真正な署名と連
結して認証データを与えるステップを含む、請求項７に記載の方法。
【請求項９】前記割当てのステップは、所与の範囲内の乱数の値またはそ
の範囲内の予め定められたシーケンス内の次に利用可能な数のいずれかとして一
意な識別子を選択するステップを含む、請求項８に記載の方法。
【請求項１０】前記生成のステップは、秘密鍵（ＫＡ）の予め定められた擬似乱数の関数として第１のパラメータの値
（ｋ）を生成するステップと、第１のパラメータの値、生成元の値およびメッセージの第１の予め定められた
関数として、真正な署名の第１の部分（ｒ）を決定するステップとをさらに含む
、請求項７に記載の方法。
【請求項１１】予め定められた擬似乱数の関数が第１の予め定められたハ
ッシュ関数を含む、請求項１０に記載の方法。
【請求項１２】第３の鍵が秘密鍵であり、かつ第１の鍵の部分（Ａ₁）お
よび第２の鍵の部分（Ａ₂）を連結したもので形成され、第１のパラメータの値
（ｋ）は以下の式を介して決定され、【数１】この式ではＳＨＡ＿１はＳＨＡ＿１のハッシュ関数である、請求項３または１１
に記載の方法。
【請求項１３】第１のパラメータの値を入力として予め定められた擬似乱
数の関数に適用し、第１のパラメータの値に対し新たな値を与えるステップをさ
らに含む、請求項１２に記載の方法。
【請求項１４】第１のパラメータの値、非公開鍵および真正な署名の第１
の部分の第２の予め定められた関数に応答して真正な署名の第２の部分（ｓ）を
生成するステップと、真正な署名の第１および第２の部分を連結し、真正な署名を与えるステップと
をさらに含む、請求項２または１０に記載の方法。
【請求項１５】真正な署名の第１の部分が以下の式に従って計算され、【数２】この式ではｆは予め定められた安全な関数である、請求項１４に記載の方法。
【請求項１６】関数ｆは予め定められたハッシュ関数である、請求項１５
に記載の方法。
【請求項１７】真正な署名の第２の部分（ｓ）が以下の式に従って計算さ
れ、【数３】この式ではＸは非公開鍵（ＳＡ）であり、ｑは予め定められた素数である、請求
項１５に記載の方法。
【請求項１８】認証データをアルファニューメリックの形式に変換し、ア
ルファニューメリックの認証データを与えるステップと、製品の複製またはその構成要素にアルファニューメリックの認証データを添付
するステップとをさらに含む、請求項１３に記載の方法。
【請求項１９】コンピュータにインストールされる対応する製品の複製と
関連した認証データを認証するための方法であって、認証データは公開鍵暗号シ
ステムを介して生成された製品の複製の識別子および関連づけられた署名を有し
、公開鍵暗号システムは公開鍵（ＰＡ）、非公開鍵（ＳＡ）および第３の鍵（Ｋ
Ａ）を有し、第３の鍵は第１および第２の鍵とは異なり、この方法はコンピュー
タに製品の複製をインストールする間に、コンピュータに製品の複製をインストールする間に製品の複製に対する認証デ
ータを入手するステップと、認証データに含まれる署名を認証するステップとを含み、前記認証のステップ
は、認証データから署名の第１および第２の部分を抽出し、署名の抽出された第１
および第２の部分ならびに識別子を与えるステップと、有限体上の楕円曲線上の複数の点から選択された予め定められた生成元の値（
ｇ）、識別子ならびに署名の抽出された第１および第２の部分に応答して、署名
の第１の部分の新たな値を決定するステップと、第１の部分の新たな値が第１の抽出された部分と一致するか否か確認し、認証
データに含まれる署名が真正か否かを示すステップとを含み、署名が真正か否かにより、それぞれコンピュータに製品のインストールを継続
するかまたはインストールを終了する、方法。
【請求項２０】前記決定のステップは、製品の複製から生成元の値の記憶
された値および公開鍵を入手するステップを含む、請求項１９に記載の方法。
【請求項２１】前記新たな値を決定するステップは、生成元の値、公開鍵
、メッセージ、ならびに署名の抽出された第１および第２の部分（それぞれｒお
よびｓ）の予め定められた関数として新たな値を生成するステップを含む、請求
項４または請求項２０に記載の方法。
【請求項２２】新たな値（＾ｒ）が以下の式に従って計算され、【数４】この式ではｇ_powは公開鍵であり、ＨＡＳＨは署名の生成に用いられる予め定め
られたハッシュ関数である、請求項２１に記載の方法。
【請求項２３】予め定められたハッシュ関数がＳＨＡ＿１ハッシュ関数で
ある、請求項１６または請求項２２に記載の方法。
【請求項２４】有限体がガロア体上に定義される、請求項１３、１７また
は２２に記載の方法。
【請求項２５】楕円曲線がｙ²＝ｘ³＋ｘの形式である、請求項１３、１７
または２２に記載の方法。
【請求項２６】請求項１、４、７または１９に記載のステップを実行する
ための、コンピュータで実行可能な命令を記憶する、コンピュータで読取可能な
媒体。
【請求項２７】対応する製品の複製（７０）と関連した、真正な署名（８
７、９７）を含む、認証データ（７５、９０）を生成するための装置であって、
真正な署名は公開鍵（ＰＡ）および非公開鍵（ＳＡ）を有する公開鍵暗号システ
ムと関連して用いられ、この装置は、プロセッサ（３４０）とコンピュータで実行可能な命令を記憶するメモリ（３３０）とを含み、前記プロセッサは、記憶された命令に応答して、製品の複製に対して、メッセージ（Ｍ）として一意な識別子を割当て、メッセージ、有限体上の楕円曲線上の複数の点から選択された予め定められた
生成元の値（ｇ）ならびに公開鍵および非公開鍵とは異なる第３の鍵（ＫＡ）に
応答して真正な署名を生成し、識別子および真正な署名に応答して認証データを形成し、製品の複製と認証データを関連づける、方法。
【請求項２８】プロセッサは、記憶された命令に応答して、識別子を真正
な署名と連結して認証データを与える、請求項２７に記載の装置。
【請求項２９】プロセッサは、記憶された命令に応答して、所与の範囲内
の乱数の値またはその範囲の予め定められたシーケンス内の次に利用可能な数の
いずれかとして一意な識別子を選択する、請求項２８に記載の装置。
【請求項３０】プロセッサは、記憶された命令に応答して、秘密鍵（ＫＡ
）の予め定められた擬似乱数の関数として第１のパラメータの値（ｋ）を生成し
、真正な署名の第１の部分（ｒ）を第１のパラメータの値、生成元の値およびメ
ッセージの第１の予め定められた関数として決定する、請求項５または請求項２
９に記載の装置。
【請求項３１】予め定められた擬似乱数の関数が第１の予め定められたハ
ッシュ関数を含む、請求項３０に記載の装置。
【請求項３２】第３の鍵が秘密鍵であり、かつ第１の鍵の部分（Ａ₁）お
よび第２の鍵の部分（Ａ₂）を連結したもので形成され、第１のパラメータの値
（ｋ）は以下の式を介して決定され、【数５】この式ではＳＨＡ＿１がＳＨＡ＿１のハッシュ関数である、請求項３１に記載の
装置。
【請求項３３】プロセッサは、記憶された命令に応答して、入力として第
１のパラメータの値を予め定められた擬似乱数の関数に適用し、第１のパラメー
タの値に対して新たな値を与える、請求項３２に記載の装置。
【請求項３４】プロセッサは、記憶された命令に応答して、第１のパラメータの値、非公開鍵および真正な署名の第１の部分の第２の予め
定められた関数に応答して、真正な署名の第２の部分（ｓ）を生成し、真正な署名の第１および第２の部分を連結して真正な署名を与える、請求項５
または請求項３０に記載の装置。
【請求項３５】真正な署名の第１の部分が以下の式に従って計算され、【数６】この式ではｆが予め定められた安全な関数である、請求項３４に記載の装置。
【請求項３６】関数ｆが予め定められたハッシュ関数である、請求項３５
に記載の装置。
【請求項３７】真正な署名の第２の部分（ｓ）が以下の式に従って計算さ
れ、【数７】この式ではＸが非公開鍵（ＳＡ）であり、ｑが予め定められた素数である、請求
項３５に記載の装置。
【請求項３８】プロセッサは、記憶された命令に応答して、認証データをアルファニューメリックの形式に変換してアルファニューメリッ
クの認証データを与え、製品の複製またはその構成要素にアルファニューメリックの認証データを添付
する、請求項３３に記載の装置。
【請求項３９】コンピュータにインストールされる対応する製品の複製と
関連した認証データを認証するための装置であって、認証データは公開鍵暗号シ
ステムを介して生成された製品の複製の識別子および関連した署名を有し、公開
鍵暗号システムは公開鍵（ＰＡ）、非公開鍵（ＳＡ）および第３の鍵（ＫＡ）を
有し、第３の鍵は第１および第２の鍵とは異なり、この装置は、プロセッサとコンピュータで実行可能な命令を記憶するメモリとを含み、前記プロセッサは、記憶された命令に応答して、コンピュータに製品の複製を
インストールする間に、コンピュータに製品の複製をインストールする間に製品の複製に対する認証デ
ータを入手し、認証データから署名の第１および第２の部分を抽出し、署名の抽出された第１
および第２の部分ならびに識別子を与え、有限体上の楕円曲線上の複数の点から選択された予め定められた生成元の値（
ｇ）、識別子ならびに署名の抽出された第１および第２の部分に応答して、署名
の第１の部分の新たな値を決定し、第１の部分の新たな値が第１の抽出された部分と一致するか否か確認し、認証
データに含まれる署名が真正か否かを示し、署名が真正か否かにより、それぞれコンピュータに製品のインストールを継続
するかまたはインストールを終了する、方法。
【請求項４０】プロセッサは、記憶された命令に応答して、製品の複製か
ら生成元の値の記憶された値および公開鍵を入手する、請求項３９に記載の装置
。
【請求項４１】プロセッサは、記憶された命令に応答して、生成元の値、
公開鍵、メッセージならびに署名の抽出された第１および第２の部分（それぞれ
ｒおよびｓ）の予め定められた関数として新たな値を生成する、請求項６または
請求項４０に記載の装置。
【請求項４２】新たな値（＾ｒ）が以下の式に従って計算され、【数８】この式ではｇ_powが公開鍵であり、ＨＡＳＨが署名の生成に用いられる予め定め
られたハッシュ関数である、請求項４１に記載の装置。
【請求項４３】予め定められたハッシュ関数がＳＨＡ＿１のハッシュ関数
である、請求項３６または請求項４２に記載の装置。
【請求項４４】有限体がガロア体上で定義される、請求項３３、３７また
は４２に記載の装置。
【請求項４５】楕円曲線がｙ²＝ｘ³＋ｘの形式である、請求項６、３３、
３７または４２に記載の装置。