JP2002534701A - 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム - Google Patents

寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム

Info

Publication number
JP2002534701A
JP2002534701A JP2000590337A JP2000590337A JP2002534701A JP 2002534701 A JP2002534701 A JP 2002534701A JP 2000590337 A JP2000590337 A JP 2000590337A JP 2000590337 A JP2000590337 A JP 2000590337A JP 2002534701 A JP2002534701 A JP 2002534701A
Authority
JP
Japan
Prior art keywords
registered
key
public key
signature
authority
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2000590337A
Other languages
English (en)
Inventor
ルーカス ヤング，アダム
モードチェイ ユング，マーセル
Original Assignee
ルーカス ヤング，アダム
モードチェイ ユング，マーセル
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ルーカス ヤング，アダム, モードチェイ ユング，マーセル filed Critical ルーカス ヤング，アダム
Publication of JP2002534701A publication Critical patent/JP2002534701A/ja
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H04L9/3221—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

(57)【要約】 電子署名を検証する為のみに有効で，法執行エンティテイにより回復不可能な方法で情報を暗号化するのに有効でない公開キー（１００５）を提供する電子署名インフラに係る方法が提供される。この方法は，ソフトウェアで実装することが出来，それ故暗号改ざん防止ハードウェアの必要性を回避できる。本方法は秘密署名キー（１０１０）が寄託されないという特性を有する，つまり対応公開キーを犯罪通信に対して有効に使用することが出来ない故に。その結果，誰も当のユーザを装うことが出来ず，代ってユーザが自ら本人であることを証明することが出来る。さらに，システムはシャドウ公開キーに対する抵抗性を有す。シャドウ公開キーとは，寄託されず，傍受不能な通信に対して使用することの出来る公開キーのことである。それ故，ここに提供する方法は，寄託されない公開キーを発行することに使用できない。認証局により表示される総ての情報，およびユーザの電子署名でさえシャドウ公開キーに対する抵抗性を有す。本発明は，メッセージが検証可能に本物であることを必要とするどの様な応用例に対しても有用で，拡張性が高いのでとりわけ一国の公開キーインフラでの使用に応用可能である。本発明は，自働寄託可能な自働証明システムと組み合わすことが出来，寄託キーシステムとの関連で暗号化（機密性）および署名（認証）に対する完璧なソルーションを提供する。

Description

【発明の詳細な説明】
【０００１】
【発明の背景技術】
本発明の技術分野は暗号技術である。本発明は，デジタル署名方式（スキーム）
に関し，とりわけどの様な寄託システムとも親和性のある方式に関する。この方
式は，公開キー／秘密キーシステム，即ち公開キーが自働証明可能であってデジ
タル署名検証キーとしてのみ有効で，データを寄託せずに暗号化するのに有効で
ないシステムに導入する。更にそのシステムに於ける秘密署名キーは寄託されな
い。公開キーがこれまでデータを暗号化するのに使用されてきたならば，そのデ
ータは信用のある機関によって自働回復可能である。本発明はソフトウェアに実
装される暗号システムに関するがハードウェアに実装される暗号システムにも適
用可能である。とりわけ本発明は，寄託暗号スキームとの関連で署名および認証
部として採用することが出来る。
【０００２】
【従来技術の説明】
公開キー暗号（以下、適宜ＰＫＣと称する）は、会ったこともない当事者同志
の間の機密通信を可能にする。ＰＫＣの概念は文献「Ｗ．Ｄｉｆｆｉｅ，Ｍ．Ｈ
ｅｌｌｍａｎ，“Ｎｅｗ ｄｉｒｅｃｔｉｏｎｓ ｉｎ ｃｒｙｐｔｏｇｒａｐ
ｈｙ”，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ
Ｔｈｅｏｒｙ，２２，頁６４４−６５４，１９７６」に公表された。安全でな
い通信路上でこの様な機密通信が行なわれ得る。ＰＫＣに於いて各ユーザは公開
キー（ｐｕｂｌｉｃ ｋｅｙ）Ｅと秘密キー（ｐｒｉｖａｔｅ ｋｅｙ）Ｄを所
有し、公開キーＥは、登録機関がユーザの正当性（身元等）を証明した後、鍵配
付センター（認証機関ＣＡとも呼ばれる）から公に入手できる様になっている。
尚、登録機関は認証機関の一部である。秘密キーＤはユーザによって秘密に保持
され、公開キーＥはメッセージを暗号化するのに使用され、秘密キーＤのみがメ
ッセージを復号するのに使用され、公開キーＥから秘密キーＤを導くことは計算
量的に不可能である。ＰＫＣ方式を使用する為に、当事者Ａは鍵配付センターか
ら当事者Ｂの公開キーＥを入手する。当事者Ａはメッセージを公開キーＥで暗号
化して、その結果生成物を当事者Ｂに送信する。他方、当事者Ｂは秘密キーを用
いて復号することによってメッセージを復元する。鍵配付センターは、当事者双
方から信用されており、求めに応じて正しい公開キーを提供している。Ｄｉｆｆ
ｉｅとＨｅｌｌｍａｎの同論文では、デジタル署名方式の概念が提案されている
。デジタル署名方式とは、ユーザが、自分のみ知られる秘密キーを用いてデジタ
ル的にメッセージに“署名”することにより、メッセージが当該ユーザからのも
のであることを証明するのを可能にする。メッセージＭに署名するために、ユー
ザは、秘密キーＤを用いて署名を計算する。そして、その署名は公開キーＥを用
いて検証され得る。離散対数の計算の困難性に基づくＰＫＣ及びデジタル署名は
文献「Ｔ．ＥｌＧａｍａｌ，“Ａ Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｓｙｓ
ｔｅｍ ａｎｄ ａ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ Ｂａｓｅｄ ｏｎ
Ｄｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍｓ”，ＣＲＹＰＴＯ’８４，頁１０−１
８， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８５」に発表されている。
【０００３】 本発明は、離散対数の計算量的困難性にもとづくデジタル署名アルゴリズムを
基礎とする公開キーシステムを生成し、発行し、使用するための方法を開示する
ものであるので、離散対数に基づき署名方式を扱う関連先行技術を取上げること
にする。最初の、離散対数に基づきスペース効率的デジタル署名方式は、デジタ
ル署名アルゴリズム（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈ
ｍ．以下でＤＳＡと称す。）（米国特許第５，２３１，６６８号）である。ＤＳ
Ａは、素数ｐを法とする離散対数の計算量的困難性からその安全性を得る。尚、
ｐは、少なくとも５１２ビット長である。また、ＤＳＡは、オーダｑの循環的サ
ブグループに於ける離散対数の計算量的困難性からも、その安全性を得る。尚、
ｑは、ｐ−１の１６０ビットの除数である。ＤＳＡは、それが出力する署名が３
２０ビットの長さである点で新しい。ＮｙｂｅｒｇとＲｕｅｐｐｅｌは、メッセ
ージ回復に供するＥｌＧａｍａｌに基づく一組の変更例を開示している「Ｋ．
Ｎｙｂｅｒｇ，Ｒ．Ｒｕｅｐｐｅｌ，“Ｍｅｓｓａｇｅ Ｒｅｃｏｖｅｒｙ ｆ
ｏｒ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｄｉ
ｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍ Ｐｒｏｂｌｅｍ”，Ｅｕｒｏｃｒｙｐｔ‘
９４，頁１８２−１９３，１９９４」。そのメッセージ回復の特徴は、メッセー
ジが署名自体から回復されるのを可能にし、これにより、メッセージが署名とと
もに送られるのを必要としない。デジタル署名方式の他の重要な特徴には、不覚
性（ｂｌｉｎｄａｂｉｌｉｔｙ）がある（「Ｄ．Ｃｈａｕｍ，“Ｂｌｉｎｄ Ｓ
ｉｇｎａｔｕｒｅｓ ｆｏｒ Ｕｎｔｒａｃｅａｂｌｅ Ｐａｙｍｅｎｔｓ”，
ＣＲＹＰＴＯ‘８２，頁１９９−２０３」）。もし、ボブが何に対して署名して
いるのか、その生成署名がどのようなものであるかについて、ボブが気付かない
ままであるように、アリスが恣意的にメッセージ上のボブの署名を得ることが可
能ならば、デジタル署名は不覚性であり得る。文献「Ｄ．Ｃｈａｕｍ， Ｔ．Ｐ
ｅｄｅｒｓｅｎ，“Ｗａｌｌｅｔ Ｄａｔａｂａｓｅｓ ｗｉｔｈ Ｏｂｓｅｒ
ｖｅｒｓ”，ＣＲＹＰＴＯ‘９２，頁８９−１０５」に、秘密を可能とするＥｌ
Ｇａｍａｌに基づく方式が開示されている。デジタル署名セキュリティについて
の優れた概論が、文献「Ｓ．Ｇｏｌｄｗａｓｓｅｒ，Ｓ．Ｍｉｃａｌｉ，Ｒ．Ｒ
ｉｖｅｓｔ，“Ａ ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ Ｓｅ
ｃｕｒｅ Ａｇａｉｎｓｔ Ａｄａｐｔｉｖｅ Ｃｈｏｓｅｎ Ｍｅｓｓａｇｅ
Ａｔｔａｃｋｓ”，ＳＩＡＭ Ｊ．Ｃｏｍｐｕｔ．，ｖｏｌ．１７，ｎ．２，
頁２８１−３０８，１９８８」に開示されている。
【０００４】 （ＹｏｕｎｇおよびＹｕｎｇによる）米国特許“自動寄託可能および自動証明
暗号システム”に、公開キー暗号システムが開示されており、これは以下のよう
な特性をもっている。システムのユーザは、公開／秘密キー・ペアーと回復可能
性証明書とを生成することができる。この回復可能性証明書は、寄託機関による
秘密キーの回復と、秘密キーが回復可能であることを検証するために両方に用い
られる。本発明はその考え方の多くの部分を自動寄託可能および自動証明可能キ
ー寄託策から引き継いでいるが、ここでは、公開検証キーを用いた暗号化が自動
的に回復可能である特性をもつ署名キーに注目する。キーの寄託行為のための他
の方法としては、Ｍｉｃａｌｉ（１９９４）の米国特許第５，２７６，７３７号
および米国特許第５，３１５，６５８号がある。これらの特許で、Ｍｉｃａｌｉ
は、Ｐ．Ｆｅｌｄｍａｎの研究（２８ｔｈ ａｎｎｕａｌ Ｆｏｃｓ）に基づく
、公平な公開キー暗号システム（以下でＦＰＫＣと称す）を開示している。ＦＰ
ＫＣによる解決策は、自動寄託可能および自動認証可能な暗号システムほで使用
に関して、それほど効率的ではない。さらに、ＲＳＡに適用されたＦＰＫＣは、
シャドウ公開キー暗号システムがそれの中に組み込まれ得るので、法執行の機関
ある要求を満足するものではないことが示されている「Ｊ．Ｋｉｌｉａｎ，Ｆ．
Ｌｅｉｇｈｔｏｎ，“Ｆａｉｒ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ Ｒｅｖｉｓｉｔ
ｅｄ”，ＣＲＹＰＴＯ‘９５，頁２０８−２２１，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌ
ａｇ，１９９５」。これは、シャドウ公開キーシステムとは、陰謀を企てるユー
ザが傍受不能な通信を実行するのを許すシステムのことである。寄託システムに
組み込むことができ、ＫｉｋｉａｎとＬｅｉｇｈｔｏｎは、フェイルセーフ寄託
システムを開示している。このシステムは、公開／秘密キーの組を生成するのに
、ユーザがマルチラウンドプロトコルに係わることを必要とするという欠点をも
っている。同様の非効率性を有する他のキー寄託システムとしては、Ｄｅ Ｓａ
ｎｔｉｓ ｅｔ ａｌ．のもの、ＷａｌｋｅｒとＷｉｎｓｔｏｎのもの（ＴＩＳ
）およびＩＢＭの“Ｓｅｃｕｒｅ Ｗａｙ”がある。ＥｌＧａｍａｌに基づく“
鍵寄託案に代る詐欺探知可能方策”が、文献「Ｅ．Ｖｅｒｈｅｕｌ，Ｈ．ｖａｎ
Ｔｉｌｂｏｒｇ，“Ｂｉｎｄｉｎｇ ＥｌＧａｍａｌ：Ａ Ｆｒａｕｄ−Ｄｅ
ｔｅｃｔａｂｌｅ Ａｌｔｅｒｎａｔｉｖｅ ｔｏ Ｋｅｙ−Ｅｓｃｒｏｗ Ｐ
ｒｏｐｏｓａｌｓ”，Ｅｕｒｏｃｒｙｐｔ‘９７，頁１１９−１３３，Ｓｐｒｉ
ｎｇｅｒ−Ｖｅｒｌａｇ，１９９７」に記されている。この方策は、セッション
レベルでのキー回復可能性に供し、ユーザに対して、ＥｌＧａｍａｌ連係方策を
使う前にメッセージを暗号化させないための措置を行ってい。従って、その方策
は、陰謀を企てる犯罪者が傍受不能な通信を実行するのを許してしまう。連係Ｅ
ｌＧａｍａｌ策と、自動寄託可能及び自動証明を可能暗号システムとの両方は、
ともに非対話型のゼロ証明の使用を採用している。特に、採用されているＦｉａ
ｔ Ｓｈａｍｉｒの方法は、文献「Ａ．Ｆｉａｔ， Ａ．Ｓｈａｍｉｒ，“Ｈｏ
ｗ ｔｏ Ｐｒｏｖｅ Ｙｏｕｒｓｅｌｆ： Ｐｒａｃｔｉｃａｌ Ｓｏｌｕｔ
ｉｏｎｓ ｔｏ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｓｉｇｎａｔｕｒｅ
Ｐｒｏｂｌｅｍｓ”，ＣＲＹＰＴＯ‘８６，ｐａｇｅｓ １８６−１９４頁，
Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８７」に開示されている。鍵寄託方式の
全体像は、文献「Ｄ．Ｄｅｎｎｉｎｇ， Ｄ．Ｂｒａｎｓｔａｄ，“Ａ Ｔａｘ
ｏｎｏｍｙ ｆｏｒ Ｋｅｙ Ｅｓｃｒｏｗ Ｅｎｃｒｙｐｔｉｏｎ Ｓｙｓｔ
ｅｍｓ”，Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，ｖ．３９，
Ｎ．３，１９９６」に表されている。文献「Ｎ．Ｊｅｆｆｅｒｉｅｓ，Ｃ．Ｍｉ
ｔｃｈｅｌｌ，Ｍ．Ｗａｌｋｅｒ，“Ａ Ｐｒｏｐｏｓｅｄ Ａｒｃｈｉｔｅｃ
ｔｕｒｅ ｆｏｒ Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ Ｐａｒｔｙ Ｓｅｒｖｉｃｅ
ｓ”，Ｃｒｙｐｔｏｇｒａｐｈｙ： Ｐｏｌｉｃｙ ａｎｄ Ａｌｇｏｒｉｔｈ
ｍｓ，ＬＮＣＳ １０２９，Ｓｐｒｉｎｇｅｒ，１９９６」と文献「Ｒ．Ａｎｄ
ｅｒｓｏｎ，“Ｔｈｅ ＧＣＨＱ Ｐｒｏｔｏｃｏｌ ａｎｄ Ｉｔｓ Ｐｒｏ
ｂｌｅｍｓ”，Ｅｕｒｏｃｒｙｐｔ‘９７，ページ１３４−１４８，Ｓｐｒｉｎ
ｇｅｒ−Ｖｅｒｌａｇ，１９９７」には、関係ユーザの信用できる第三者機関が
各セッション鍵の設定段階に係わっている場合に於ける信用できる第三者機関の
寄託アプローチが記載されるが、別の扱いにくい解決策に寄与する。このような
解決策は、ＴＩＳ特許（Ｌｉｐｎｅｒ ｅｔ ａｌ．に対する米国特許第５，５
５７，３４６号、米国特許第５，５５７，７６５号および米国特許第５，６４０
，４５４号）およびＩＢＭ特許（Ｊｏｈｎｓｏｎ ｅｔ ａｌ．に対するジョン
ソン他、米国特許第５，７９６，８３０号および米国特許第５，８１５，５７３
号）に記載されている。キーに対してタイムリミットを与えることが、文献（Ｌ
ｅｎｓｔｒａ ｅｔ ａｌ．に対する米国特許第５，６３３，９２８号）に記載
されている。
【０００５】 一国レベルの使用に好適なデジタル署名方式の実装にともなう基本的な問題は
、公開検証キーが公開暗号キーとして、またこれに対応する秘密署名キーが秘密
復号キーとして頻繁に使われ得ることである。従って、法執行の目的のためには
、秘密署名キーを寄託する必要がある。しかし、このことは、法執行機関がユー
ザの署名を偽造する機能を有することになり、又対話的な身元確認プロトコでユ
ーザの振りをすることを含意する。法執行機関がこのような権能を享有する法律
的な根拠はない。従って、必要となるは、デジタル署名には利用可能であるが公
開キーによる暗号化には利用できないような公開／秘密キーシステムである。こ
の課題は、連邦Ｒｅｇｉｓｔｅｒで公表されたＲＦＣの中で非公式に述べられて
いる（「“Ａｎｎｏｕｎｃｉｎｇ Ｐｌａｎｓ ｔｏ Ｒｅｖｉｓｅ Ｆｅｄｅ
ｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ
１８６，Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｓｔａｎｄａｒｄ”，ｖｏｌ．
６２，ｎ．９２，Ｆｅｄｅｒａｌ Ｒｅｇｉｓｔｅｒ，頁２６２９３−２６２９
４，Ｍａｙ １３，１９９７」）。
【０００６】 既存のデジタル署名方式がシャドウ公開キーの脆弱性のために、失敗している
理由をここに明確にする。ＥｌＧａｍａｌデジタル署名アルゴリズムを検討しよ
う（Ｔ．ＥｌＧａｍａｌ，“Ａ Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔ
ｅｍ ａｎｄ ａ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ Ｂａｓｅｄ ｏｎ Ｄ
ｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍｓ”，ＣＲＹＰＴＯ‘８４，頁１０−１８
， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８５）。ＥｌＧａｍａｌでは、公開
キーはｙ＝ｇｘｍｏｄで、尚ｘは個人署名キーである。ここで、ｇは、公開素数
ｐを法とする公開ジェネレータである。ｙは寄託されない公開キーであると想定
する。これは、公開キーは寄託されない暗号には使うことができないことを保証
するものである。しかし、今や寄託機関が署名を偽造できてしまう。ここで、ｙ
は寄託されていないと想定すると、署名は、寄託機関によって偽造されることは
ないが、この段階では、シャドウの公開キーを構成する。同様の状況が、ＤＳＡ
、Ｓｃｈｎｏｒｒのデジタル署名アルゴリズムおよび、ＮｙｂｅｒｇとＲｕｅｐ
ｐｅｌのＥｌＧａｍａｌ変更例（Ｋ．Ｎｙｂｅｒｇ，Ｒ．Ｒｕｅｐｐｅｌ，“Ｍ
ｅｓｓａｇｅ Ｒｅｃｏｖｅｒｙ ｆｏｒ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ
ｓ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｄｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍ Ｐｒ
ｏｂｌｅｍ”， Ｅｕｒｏｃｒｙｐｔ‘９４， 頁１８２−１９３， １９９４
）に発生することに注目。
【０００７】 次に、ＲＳＡデジタル署名アルゴリズム（Ｒｉｖｅｓｔ ｅｔ ａｌ．に対す
る米国特許第４，４０５，８２９号）について考察する。ＲＳＡでは、ｎが２つ
の大きな素数ｐとｑの積ることを前提にしている。ｅは、ｇｃｄ（ｅ，（ｐ−１
）（ｑ−１））＝１となるような公開値であり、ｅとｎはユーザの公開検証キー
であり、（ｐ−１）（ｑ−１）を法とするｅの逆数は、ユーザの秘密署名キーで
ある。シャドウ公開キーの悪用を防ぐことは、ＲＳＡのキー生成を修正すれば足
りるほど簡単なことである。残るは、デジタル署名アルゴリズムの諸相を考慮す
ることである。まず、ｎは寄託されていると仮定すると、寄託機関は署名を偽造
し得る。次に、ｎは寄託されていないと仮定すると、寄託機関は偽造できなくな
るが、ｎはシャドウ公開キーであることが明確になる。このように、ＲＳＡは、
離散対数に基づくシステムと同様の矛盾した二面性をもつことになる。また、そ
の様な悪用は、因数分解の困難に基づく他のアルゴリズムにも当て嵌まる。例え
ば、Ｅｓｉｇｎに関する文献（Ｏｋａｍｏｔｏ ｅｔ ａｌ．に対する米国特許
第４，６２５，０７６号）を引用し考察する。Ｅｓｉｇｎでは、ｎ＝ｐ２ｑであ
る。このような法（ｍｏｄｕｌｅｓ）を用いて、ＲＳＡ流の暗号化と復号化を行
うことが可能である。
【０００８】 Ｆｉａｔ−Ｓｈａｍｉｒｃ ｅｔ ａｌ．の文献（Ｓｃｈａｍｉｒ ｅｔ ａ
ｌ．に対する米国特許第４，７４８，６６８号）では、ｎは２つの素数の積であ
り、ユーザの誰もｎの因数分解値を知らない。公開キーを生成するために、或る
ユーザは、ｎを法とするｋ個の異なる二次剰余ｖ１，ｖ２，・・・，ｖｋを生成
する。このベクトルは、公開キーである。従って、この方式は、以下のようなシ
ャドウ公開キーの攻撃に負かされる。ユーザは、群（ｇｒｏｕｐ） ｚｎ ＊ に関する基本（ｂａｓｅ）（望ましくは大きな下位群（ｓｕｂｇｒｏｕｐ）を生
成する）一つの値である。公開キーに関するｖ１を生成するために、悪意あるユ
ーザは、ｗを無作為に選び、 ｖ１＝ｇ２ｗ を定める。従って、ｖ１は、二次剰余となり、ｎを法とするＥｌＧａｍａｌに対
するシャドウ公開キーとなる。シャドウ公開キーは、２ｗである。
【０００９】 我々の知る限り、満足できるデジタル署名インフラに対するニーズに照らして
見たとき、Ｏｋａｍｏｔｏの１９９２年の論文「Ｔ．Ｏｋａｍｏｔｏ，“Ｐｒｏ
ｖａｂｌｙ Ｓｅｃｕｒｅ ａｎｄ Ｐｒａｃｔｉｃａｌｏ Ｉｄｅｎｔｉｆｉ
ｃａｔｉｏｎ Ｓｃｈｅｍｅｓ ａｎｄ Ｃｏｒｒｅｓｐｏｎｄｉｎｇ Ｓｉｇ
ｎａｔｕｒｅ Ｓｃｈｅｍｅｓ”，ＣＲＹＰＴＯ‘９２、頁３１−５３， Ｓｐ
ｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９３」を除いて、全てのデジタル署名アルゴ
リズムは、失格と見なされる。Ｏｋａｍｏｔｏの文献によると、公開検証キーは
、 ｖ＝ｇ１＾（−ｓ１）＊ｇ２＾（−ｓ２）ｍｏｄ ｐ である。記号＾は指数を表し、従ってａ＾ｂはａのｂ乗を表す。ここで、ｇ１と
ｇ２は、公開素数ｐを法とする位数ｑである。ｇ１，ｇ２及びｑの値も公開され
ている。秘密キーは、（ｓ１，ｓ２）である。ｓ１とｓ２は、両者ともに、ｑを
法として無作為に選び出される。Ｏｋａｍｏｔｏは、ｐを法とする表示問題に基
づいている。
【００１０】 Ｏｋａｍｏｔｏの文献では、メッセージｍに署名するために、ｑを法として、
２つの値ｒ１、ｒ２を無作為に選び出す。次に、ｐとｍを法として、 ｅ＝Ｈ（ｇ１＾（ｒ１）＊ｇ２＾（ｒ２）ｍｏｄ ｐ，ｍ） を計算する。尚、Ｈは、一方向ハッシュ関数である。さらに、ｑを法として ｙ１＝ｒ１＋ｅｓ１ｍｏｄ ｑ と、ｑを法として ｙ２＝ｒ２＋ｅｓ２ｍｏｄ ｑ を計算する。署名は、三重値（ｔｒｉｐｌｅ）（ｅ，ｙ１，ｙ２）である。署名
を検証するために、ｅがｐとｍを法として ｅ＝Ｈ（ｇ１＾（ｙ１）＊ｇ２＾（ｙ２）＊ｖｅ ｍｏｄ ｐ，ｍ） であることを調べる。
【００１１】 一見すると、Ｏｋａｍｏｔｏの方法は、寄託ＰＫＩと合わせて用いるべき、署
名のための一国レベルのＰＫＩの設置のための有力な候補のように見える。なぜ
なら、ｖを寄託しないと仮定すると、寄託機関は署名を偽造することはできなく
なる。しかし、ここでは、ｖがシャドウ公開キーとして利用できないことを保証
しておく必要がある。実際問題として、表示問題に基づくｇ１とｇ２を用いた何
れのキーも公開暗号キーとしては利用することができないことを明らかにする必
要がある。これを理解するには、 ｇ１＾（ｙ１）＊ｇ１＾（ｙ２）＊ｖｅｍｏｄ ｐ 量が ｇ１＾（ｒ１）＊ｇ２＾（ｒ２）ｍｏｄ ｐ． であることに注目したい。従って、２つの基（ｂａｓｅ）をもつ法指数演算が、
署名検証の間に表示される。ここでは、２つの基を用いた表示を含む公開キー用
公開キー暗号アルゴリズムが存在するものと仮定している。Ｏｋａｍｏｔｏの方
法は、３つあるいは４つの基にまで拡張可能であるため、もし表示が３つの基、
あるいは４つの基等々を用いるならば、おそらく暗号アルゴリズムは存在しえな
いものとなる。
【００１２】 しかし、実際には、任意の数の基をもつ表示問題に基づく公開キーを用いた公
開キーアルゴリズムが存在する。Ｏｋａｍｏｔｏに於ける如くｖを用いてメッセ
ージｍを公開キー暗号化するためには、以下の手順に従う。 １．ｚｑから無作為にｋを選択する。 ２． ａ＝ｇ１ ｋｍｏｄ ｐ ３． ｂ＝ｖｋｍｏｄ ｐ ４． ｃ＝ｇ２ ｋ＊ｍ ｍｏｄ ｐ ５． メッセージｍの暗号文字列を、（ａ，ｂ，ｃ）とする。 復号の為に、以下を計算する。 １．ｇ１＾（−ｓ１ ＊ｋ）ｍｏｄ ｐに等しいａ１＝ａ＾（−ｓ１）ｍｏｄ ｐ
に等しい ２．ｇ２＾（−ｓ２ ＊ｋ）ｍｏｄ ｐに等しいｂ’＝ｂ／ａ’ｍｏｄ ｐ ３．ｍ＝ｃ／（ｂ’＾（−１／ｓ２））ｍｏｄ ｐ とする。
【００１３】 ＥｌＧａｍａｌ暗号に於けるのと異なり、この暗号文字列は三重値（ｔｒｉｐ
ｌｅ）となる。このアルゴリズムは、より多くの基を用いた表示を扱えるように
、容易に拡張することができる。もしｖの表示にｍ個の基を用いるならば、暗号
文字列は（ｍ＋１）一三重値となる。このようにＯｋａｍｏｔｏの方法と、多く
の基を用いたその拡張は、必要とされるシステムの要求に応えることはできない
。
【００１４】
【発明が解決しようとする問題点】
継続米国特許出願である“寄託されていない署名キーを用いた、自動回復可能
かつ自動証明可能な暗号システム”（Ａ．ＹｏｕｎｇおよびＭ．Ｙｕｎｇ、０８
／８７８，１８９）に於いてこの問題を解決しようとする解決策が提示されてい
る。しかしこの解決策の第一実施例とその変更例には、明言されていない欠点が
ある。この解決策は、３つのキーを用いたシステムを提案している。つまり、関
連キーは、秘密署名キーと、秘密復号キーと、公開キー暗号化と署名検証に適し
た公開キーである。秘密署名キーと公開検証キーは、ＥｌＧａｍａｌ・デジタル
署名方式とその変更例に極めて類似したデジタル署名アルゴリズムで用いられる
。このシステムに伴う問題は、その第一実施例とその変更例において、署名が、
シャドウ公開キーとして用いることの出来る値を発行することに関係している点
にある。例えばその実施例において、値 ａ＝Ｈ（ｍ）（ｇ１／Ｙ）−ｔｍｏｄ ２ｑ は、メッセージｍ上の署名の最初の部分として計算される。しかし、この値は、
ＥｌＧａｍａｌに類似の公開キー暗号システムでのシャドウ公開キーとして用い
ることができる。なおｔは、寄託されない復号キーである。これを理解するには
、全てのユーザがＨ（ｍ）にアクセスし、その結果ユーザは２ｑを法として ｗ＝ａ／Ｈ（ｍ）ｍｏｄ ２ｑ として公開キーを計算できるようになる点に注目したい。値（ｇ１／Ｙ）−１は
、Ｚ２ｑの基ｇ’’（あるいは、必要ならば生成元）として用いることができる
。従って、キーペアーは、 （（ｗ，ｇ’’，２ｑ），ｔ）， となり、それは群Ｚ２ｑに於けるＥｌｇａｍａｌ公開／秘密キー・ペアーである
。各々悪意のある仲間たちが行う必要のあることは、掲示板に単一の署名を発行
し、寄託されない復号キーを保持することである。このことは、重大な欠点とな
る。つまり、掲示板がシャドウ公開キーのデータベースとして機能する。法的執
行機関によって掲示板を取り下げさせよることは、その予備行為でさえ、悪意の
ある仲間たちによって憲法修正第１号の侵害であるとして法廷で反論され得。本
発明は、この問題を次の方法で解決する。つまり、計算によって求められるデジ
タル署名を介してシャドウ公開キーが表示されることのないデジタル署名アルゴ
リズムを導入することによって。実際に必要とされるものは完全な新しい署名方
式であて、とりわけ寄託ＰＫＩとの関連で寄託されない公開キーによる暗号化に
使用され得公開キーを提供することのない署名方式である。
【００１５】
【寄託されない署名を用いたキー回復インフラ】
本発明は、デジタル化署名の仕組みを記載するものであり、これは、上記の公知
の方式とは異なり、盗聴不能な無線通信に対し用いられない。従って、本発明は
、寄託されない署名方式と寄託暗号方式の両者に対して同時に供されるものであ
る。自動寄託可能かつ自動証明可能な解決策は、公開キーインフラを実装するの
に効果的な方法を提供し、実装によってユーザのプライバシーを付与する。本発
明は、その解決策の上に築かれ、キー寄託環境に於いて必要とされる認証適格性
の付加機能を提供するものである。従って、本発明のユーザは、メッセージの送
信者が本物であることとその出所を検明することができる。
【００１６】
【問題を解決するための手段】
容器の目的を達成するために、本発明は、暗号処理についての新しい考え方を
導入するものである。本発明は、捺印証明の権限者がデータの解読をできないよ
うにして、デジタル署名が本物であることの証明に用いることができるが、該デ
ータの暗号化には用いることができない公開キーを導入する。公開キーは、対応
する秘密キーを公開キーからは引き出しにくいという通常の特徴をもっている。
本発明は、また、捺印証明の権限者と認証局が、システムのユーザの署名を偽造
できる特徴をもっている。
【００１７】 本発明は、キー認証処理、署名処理、署名確認処理およびキー（あるいは情報
）回復処理とからなっている。キー認証処理は、キー生成とキー確認の２つの機
能に分割されている。キー生成処理では、公開キーとそれに対応した個人署名キ
ー、およびこれらのキーを適切に生成するための情報が出力される。キー確認処
理では、ユーザはこの情報を、認証権限者（ＣＡ）（あるいは、しばしばＣＡの
一部となる登録権限者）に送る。認証権限者は、この情報を受け取り、これを処
理し、公開キーを発行するか否かを判定するもし、認証情報が、キー生成アルゴ
リズムを用いてキーが適切に生成されたことを示している場合には、認証権限者
は、ユーザに公開キーを発行する。そうでない場合には、ユーザからの認証要求
は棄却され、ＣＡは、このことをユーザに通知するための追加処理を行う。本実
施例では、ＣＡによって適切に認証された公開キーは、デジタル方式によってＣ
Ａにより署名され、この情報を用いてデジタル証明書が作成される。公開キーは
、公開キーを含む文字列上のＣＡの署名とともに、認証された公開キーを構成す
る。
【００１８】 ＣＡによって他のユーザに利用可能とされるものは、公開キーおよび、あるい
はデジタル証明書である。ユーザの署名メッセージと確認メッセージは、通通常
のデジタル署名方式と同様に行われる。回復処理では、ユーザの公開署名認証キ
ーを用いて暗号化された情報が、ＣＡに送られた情報を用いて、キー認証の間に
解読される。公開キーは、デジタル署名確認に使われるものと想定されだけであ
るため、この処理には、特別な許可を必要としない。（もし機密保持が必要な場
合には、これを確保するために他のインフラが用いられる）。ＣＡがキーを証明
し発行する方法は、従来技術の利用可能な数多くの方法のどれを採用するかによ
って、相違する。ＣＡが活動する方法には様々なものがあり、本明細書で採用す
る方法は、単に例示であって、本発明とは実装方法が異なることのない技術者に
とって知られた他の変更例が存在する。
【００１９】 本発明は、メッセージが検証可能に本物であることを必要とするいかなる環境
で有用である。このような環境は、国内的および国際的な法執行、ビジネス取引
、安全なファイルシステムなどの分野で生じる。本発明は、回復エージェントを
含め得る。また、本発明は、同一技術分野の精通者に知られた方法によって、対
話的身元特定プロトコルをもちいて行う認証にも直接的に拡張し得る。
【００２０】 本発明は、ハードウェアとソフトウェアの両方に実装し得るので、何れの基礎
的技術との関連で頑強性がある。ソフトウェアに実装した場合、所望通り確実に
機能するか、そしてそのユーザのセキュリティを確実に損なうことがないか、簡
単に調べることができる。ソフトウェアによる実装は、ディスク媒体あるいは計
算機通信ネットワークを介してソースコードの形でこれを広めることができるた
め、ソフトウェア実装は、迅速かつ簡単に本発明を広めることができる。本発明
は、典型的な寄託されないＰＫＩ（例えば、セッションキーの確立、キー配布、
セキュアメッセージ伝送など）で用いられる通信プロトコルの変更を強いるもの
ではない。従って、本発明は、典型的なＰＫＩと親和性がある。このように、本
発明は、デジタル署名に資する、非常に効率的な方法を提供するものである。
【００２１】
【発明の説明】
本発明は、寄託され得る、つまり回復可能な暗号用公開キーの生成と関連して
、もしくは並行して実行され得る機構を記述するものである。例えば、この一例
として、ＹｏｕｎｇおよびＹｕｎｇ（米国特許出願番号０８／８６４８３９）の
自動回復可能かつ自動証明可能なシステムがある。この先行技術を言及すること
により説明に繰み入れる。その後で、ユーザが送信するメッセージとの関連で、
ユーザを認証するための用いられるシステムの署名部と、ユーザについて説明す
る。署名機能およびその公開キー検証機能は様々な用途および適用例を有し得る
が、このことは同技術分野に精通した者には自明であり、以下にここで説明する
部のこれらの潜在的な用途については特に詳述しない。
【００２２】 まず、システムのユーザが則るキー生成アルゴリズムについて説明する。その
過程は図１示される。ｅを２以上の大きな素数（例えば、ｅ＝３、５、７等々）
とする。Ｍをセキュリティパラメータとする。Ｍ／２ビット長の数ｓおよびｓ’
を無作為に選択し、そしてＭ／２ビットの素数ｐ１、ｐ２、ｑ１およびｑ２を選
択する。ｐｈｉを、オイラーのＴｏｔｉｅｔ関数を示すものとする。システムが
適切に動作するためには、これらの素数は、以下の数学的な制約に服す。 １．ｐ１−１，ｑ１−１，ｐ２−１およびｑ２−１の各々は、 因数分解に於いて十分大きな素数である。 ２．ｇｃｄ（ｅ，（ｐ１−１）（ｑ１−１）（ｐ２−１）（ｑ２−１））＝１ ３．ｐ＝ ２＊ｔ１ ＊ｐ１ ＊ｑ１＋１が素数で、かつｇｃｄ（ｅ，ｐｈｉ（ｔ
１））＝１ （ｐｈｉはオイラーのＴｏｔｉｅｔ関数）であるような、Ｍ１ビット（例えば、
Ｍ１＝３１）の奇数値ｔ１が存在する。 ４．ｑ＝２＊ｔ２ ＊ｐ２ ＊ｑ２＋１ が素数で、かつｇｃｄ（ｅ，ｐｈｉ（
ｔ２））＝１ であるような、Ｍ１ビットの奇数値ｔ２が存在する。
【００２３】 ここでは、ｐとｑの解を得る際に、キー生成を高速化するため、ｔ１とｔ２を
導入した。シャドウ公開キーの悪用に対する保護環境を提供する防ぐために、以
下のサブリミナル（しきい値以下）の漏れを減少するが必要とされる。 １．Ｈ１（ｓ）（あるいは、Ｈ１（ｓ）＋１）は、ｐ１＊ｑ１のビット表示の上
位半分のビット列と同一である。 ２．Ｈ１（ｓ’）（あるいは、Ｈ１（ｓ’）＋１）は、ｐ２＊ｑ２のビット表示
の上位半分のビット列と同一である。
【００２４】 ステップ１を達成するために、自明な変更を含むＲＳＡキーに対するセットア
ップアタックに使用されるアルゴリズムが実行される（Ａ．Ｙｏｕｎｇ、Ｍ．Ｙ
ｕｎｇ，“Ｋｌｅｐｔｏｇｒａｐｈｙ：Ｕｓｉｎｇ Ｃｒｙｐｔｏｇｒａｐｈｙ
Ａｇａｉｎｓｔ Ｃｒｙｐｔｏｇｒａｐｈｙ”，Ｅｕｒｏｃｒｙｐｔ ’９７
，ｓｅｃｔｉｏｎ ５，頁６２−７４，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９
９７）。従って、借用ビットが用いられることによって、Ｈ１（ｓ）が上位オー
ダビットとなるか、Ｈ１（ｓ）＋１が上位オーダビットとなるかのいずれかであ
る。ここで、Ｈ１は、適切な一方向ハッシュ関数である。このステップは、合成
数ｐ１＊ｑ１に於けるＭ／２ビットが漏れを回避するためのものである。しかし
、この方法を用いるには、ｑ１―１について試し行割算法を実行することが必要
で、その結果得られた値が確実に素数である。ｐ、ｑ、ｔ１およびｔ２の値は、
上記を満足するものであることが判明した。次に、キー生成アルゴリズムは、以
下の計算を行う。 １．ｇ１＝Ｈ２（ｓ，ｓ’，ｓ１）を、ｇ２＝Ｈ３（ｓ，ｓ’，ｓ２）を法とす
る生成元、ｇを法とする生成元とする最小値Ｓ１とｓ２を計算する。Ｓ１とｓ２
は例えば大きくて１６ビット長である。 ２．ｇ ｍｏｄ ｐｑ を得る為に、ｇ＝ｇ１ ｍｏｄをｇ＝ｇ２ ｍｏｄ ｑ
で中国人の余剰法を用いる（ｇは次のオーダｌａｍｂｄａ（ｎ）にもつ。参照
（Ｒｏｓｅｎ，Ｋ．Ｒ．，”Ｅｌｅｍｅｎｔａｒｙ Ｎｕｍｂｅｒ Ｔｈｅｏｒ
ｙ ａｎｄ ｉｔｓ Ａｐｐｌｉｃａｔｉｏｎｓ”，３ｒｄｅｄｉｔｉｏｎ，Ｔ
ｈｅｏｒｅｍ ８．２１，ｐａｇｅ ３１３，Ａｄｄｉｓｏｎ Ｗｅｓｌｅｙ，
１９９３） ３． ｎ＝ｐｑ ４． ｎ１＝２＊ｔ１ ＊ｐ１ ＊ｑ１ ＊ｔ２ ＊ｐ２ ＊ｑ２ ５． ｄ＝（１／ｅ）ｍｏｄ ｐｈｉ（ｐｈｉ（ｎ）） ６．（ｐ−１）／（２＊ｔ１）の因数分解の知識につき非対称型知識証明となる
、Ｔ１を計算する。 ７．．（ｑ−１）／（２＊ｔ２）の因数分解の知識につき非対称型知識証明とな
る、Ｔ２を計算する。
【００２５】 数ｕを２つの相違する素数に因数分解する知識を証明するため、この数ｕにつ
きランダム・オラクル・ハッシュ関数に問い合わせることができる。よって、ｕ
を法とする十分な数の乱数を生成し、これらの乱数の少なくとも３／８の平方根
を示す。
【００２６】 Ｈ２とＨ３は、適切な一方向のハッシュ関数であり、Ｈ２の範囲はＺｐであり
、Ｈ３の範囲はＺｑである。上記の計算（２）は、図１のステップ１０００の最
後の部分である。上記の計算（３）は、図１のステップ１００５に対応している
。上記の計算（４）と（５）は、図１のステップ１０１０に対応している。ｎ１
＝ｌａｍｂｄａ（ｎ）は、ｎのカーマイケル関数ラムダである。公開検証キーは
（ｇ，ｅ，ｎ）である。ユーザの秘密署名キーは（ｄ，ｎ１）である。上記の計
算（６）と（７）は、図１のステップ１０２０に対応している。Ｔ１とＴ２は、
対話的に実行されることもオプションとして可能である。公開証検キーをＣＡに
登録するため、ユーザはＣＡに、タプル（３重値）（ｓ，ｓ’，ｐ，ｑ，ｔ１，
ｔ２，ｓ１，ｓ２，ｅ，Ｔ１，Ｔ２）を送る。ｇ１がＺｐを生成し、ｇ２がＺｑ
を生成したことをＣＡが検証する方法がないため、ｓ１とｓ２の値も送る必要が
ある。この処理は、図１のステップ１０３０に対応している。同技術分野に精通
した者にとっては、上記のステップ６および７は、ユーザとＣＡの間の対話的な
プロトコルによって置き換えることが可能である。
【００２７】 図２のステップ２０００は、ユーザがキーペアーを生成し、（ｓ，ｓ’，ｐ，
ｑ，ｔ１，ｔ２，ｓ１，ｓ２，ｅ，Ｔ１，Ｔ２）を形成する。処理ステップ２０
１０は、ユーザがこの情報ストリングをＣＡに送信することを表している。図２
のステップ２０２０は、ＣＡがこの情報ストリングを検証する。以下、この過程
を詳細に説明する。ＣＡは、（ｓ，ｓ’，ｐ，ｑ，ｔ１，ｔ２，ｓ１，ｓ２，ｅ
，Ｔ１，Ｔ２）を受信する。次にＣＡは、（ｐ−１）／（２＊ｔ１）となるｖ１
を計算し、また（ｑ−１）／（２＊ｔ２）となるＶ２を計算する。さらに、ＣＡ
は、ｖ１のビット表示の上位半分となるＺを設定し、また、をＶ２のビット表示
の上位半分となるＺ’を設定する。ＣＡはユーザと同様にｇ１，ｇ２を計算する
。ＣＡは、ｇ１ｍｏｄ ｐ をｇ２ｍｏｄ ｑで中国人の余剰法を実行すること
によりｇを見つける。また、ＣＡは、ｎ＝ｐｑを計算する。ａ｜ｂは、「ａはｂ
を割り切れる」ことを示すものとする。ａ＾ｂは、ａのｂべき乗を示すものとす
る。ＣＡは、以下の全ての事項を検証する。 １．ｐは素数であり、ｔ１は奇数で適当な大きさｔ１｜ｐ−１をもち、ｓはＭ／
２ビット長であるかなど。 ２．ｐｑは、因子分解しにくい（例えば、｜ｐ−ｑ｜は大きいかなど。） ３．Ｈ１（ｓ）またはＨ１（ｓ）＋１はｚに等しいか、また、Ｈ１（ｓ’）また
はＨ１（ｓ’）＋１はｚ’に等しいか。 ４． ｇ１＾（（ｐ−１）／２）！＝１，ｇ１＾（（ｐ−１）／ｔ１）！＝１，
ｇ１＾（（ｐ−１）／ｖ１）！＝１ ａｌｌ ｍｏｄ ｐ ａｎｄ ｔｈａｔ
ｇ２＾（（ｑ−１）／２）！＝１，ｇ２＾（（ｑ−１）／ｔ２）！＝１，ｇ２＾
（（ｑ−１）／ｖ２）！＝１ ａｌｌ ｍｏｄ ｑ （この判定の結果、ｇがｎこの大きなサブグループを生成したことをＣＡは確
認する。）ここで、ａ！＝ｂは、ａはｂに等しくないことを表す。 ５．Ｔ１とＴ２が有効であることを確認する。
【００２８】 ステップはＣＡをして、ユーザが秘密署名キーを知っているものと、確信せし
める。もし、全ての検証が合格すれば、ＣＡはユーザの公開検証キーとして、Ｃ
Ａは、（ｇ，ｅ，ｎ）を発行する。もし、寄託ＰＫＩも使用されている場合には
、（ｐ，ｑ）は、寄託機関に送られ、キー回復を可能にする。いずれにしても、
ＣＡは、ユーザによって受信された全ての情報を将来の目的のために保存し得る
。
【００２９】 法執行機関（あるいは、ｎの悪用を調べる任にあたる何らかの機関）が、所定
のユーザの法ｎが、公開キー暗号アルゴリズムを用いてデータを暗号化するのに
用いられたと判断する状況にある時には、ｎの因子（ｐ，ｑ）は、暗号化情報を
回復するのに用いられる。この過程を、図３に示す。図３のステップ３０００で
は、回復エージェント（法執行機関であってよい）が、犯人と疑われる者との暗
号通信を取得する。ステップ３０１０では、回復エージェントは、ＣＡからｎの
因子（ｐ，ｑ）を取得する。ここで、ｎは、メッセージの受信者の公開キーに対
応した法である。ステップ３０２０では、回復エージェントは、ｎの因子（ｐ，
ｑ）を用いて通信を解読する。暗号化された情報は、実際の違法な通信を解読す
るために必要とされるセッションキーであってもよい。できることならば、法執
行機関は、どのアルゴリズムを用いて情報を暗号化したのかを正確に知っておく
ことが望ましい。
【００３０】 図４は、デジタル署名に用いられた際の、典型的な公開キー暗号システム（Ｐ
ＫＣ）を示している。ステップ１では、システムのユーザは、ＣＡのアドレスと
他の情報を読み出す。ステップ２で、ユーザは、公開／秘密キーペアーを生成し
、公開キーをＣＡに渡す。ステップ３は、通常のシステム動作に対応する部分で
ある。この処理ステップでは、ステップ４に示すように、送信者自身の秘密キー
を用いて、送信者はメッセージに署名する。ステップ５で、送信者は、署名とと
もに、受信者にメッセージを送信する。ステップ６で、受信者は、メッセージと
署名を受け取り、ＣＡからは送信者の公開キーを受け取る。ステップ７で、受信
者は、メッセージと、署名と、送信者の公開キーとを用いて、受信されたメッセ
ージが本物であることを検証する。署名の利用のしかたと、デジタル署名に利用
可能な技術については、様々な変形が可能である。
【００３１】 図５は、発明者によるデジタル署名システムを記述するものである。ステップ
１から７は、基本的に図４と変わらない。しかし、本システムでは、もし送信者
の公開キーを用いてデータを暗号化した場合には、受信側エージェントは、その
情報を回復できる。この処理を、処理ステップ８と９に示す。処理ステップ８で
は、回復エージェントは、送信者の公開モジュラスｎの因子に対応した回復情報
を、ＣＡから受け取る。処理ステップ９では、回復エージェントは、送信者の公
開キーを用いて暗号化されたものと推察されるメッセージを受け取りこれを解読
する。
【００３２】 回復エージェントの処理を記述した従来技術については、悪意のあるユーザによ
ってし使用される特定の暗号アルゴリズムに関する文献に記載されている（例え
ば、米国特許第４，４０５，８２９号公報記載のＲＳＡ）。
【００３３】 署名アルゴリズムを図６に示す。任意のメッセージｍに署名するために、図６
の処理ステップ６０００に示すように、ユーザは、ｎを法としてｇＨ（ｎ）を計
算する。この値を計算して求めると、署名処理は、処理ステップ６０１０に進み
、ｎ１を法としてｃ＝（Ｈ（ｍ））ｄを計算する。ここで、Ｈは、（例えば、一
方向ハッシュ関数によって実装された）ランダムオラクルであり、ｃは、署名ア
ルゴリズムの出力であり、ｍの署名となる。
【００３４】 図７は、メッセージｍにつけられた署名ｃの本物性を検証するための処理を示
す。他の実施例では、署名ｃは、メッセージが署名されることに加えて冗長性お
よび／又は不規則性を含む。図７のステップ７００では、検証主体は、ｎを法と
するｇＨ（ｍ）を計算する。ステップ７０１０では、検証主体は、ｎを法として
ｇ＾（ｃｅ）を計算する。ステップ７０２０では、検証主体は、
【００３５】 ｇＨ（ｍ） ｍｏｄ ｎ ＝ ｇ＾（ｃｅ） ｍｏｄ ｎ であるかを検証する。
【００３６】 この等式が成り立つ場合には、１が出力され、ｃはメッセージｍ上の有効な署
名であることを示す。そうでない場合には、ゼロが出力され、ｃはメッセージｍ
上の有効な署名でないことを示す。例えば、ｅ＝３の場合には、署名を検証する
唯一の方法は、以下のように右辺を計算することである。
【００３７】 ｇ＾（ｃｅ）ｍｏｄ ｎ ＝ （（ｇｃ ｍｏｄ ｎ）ｃ ｍｏｄ ｎ）ｃ
ｍｏｄ ｎ
【００３８】 検証主体にとって指数部の法が未知であるために、この計算が必要になるもの
であり、従って、検証主体では、始めにｎ１を法とするｃ３を計算して、次に、
これを用いてｇの指数部とすることはできない。もし、ｅが３以外の値をもつ場
合には、単に法指数関数演算を行って、この判定式の右辺を計算すればよい。従
って、ｅの値を小さく（ｎの大きさの対数の多項式の大きさになるように）すべ
きであるという理由は、署名検証を効率化することにある。このシステムは、３
つの領域Ｆ１、Ｆ２およびＦ３を含む、入れ子構造の跳ね上げ戸システムから構
成されている。特に、領域Ｆ３は、（ｐｈｉ）３（ｎ）を法とした整数であり、
領域Ｆ２は、ｌａｍｂｄａ（ｎ）を法とした整数であり、領域Ｆ１は、ｎを法と
した整数である。もし、他の暗号キー（すなわち、署名の受信者の公開暗号キー
）が利用可能な場合には、これを用いて、送信しようとしてるメッセージと署名
を暗号化することができる。
【００３９】 以上のように、デジタル署名を可能とする、新しい改良された、非エスクロー
の自動認証付き署名インフラ、ならびにその変形と応用を説明してきた。好適な
実施例は、本発明の原理と考え方の応用例を表す多数の特定の実施例のいくつか
を単に例証するためのものであることは、容易に理解されよう。当該技術分野に
精通した者ならば、本発明の範囲を逸脱することなく、様々な代案構成を容易に
実施することができるのは明白である。
【００４０】 上記の方法の第二の実施例では、ユーザあるいは他のシステム構成物が、署名
キーを所有しているようなシステムを得ることができ、もし、ＣＡあるいはキー
回復認証局もしくは法的な執行機関が、ユーザに代わってなりすまそうとした場
合には、ユーザに対して、その偽装を後に証明できる方法も確保されている。
【００４１】 もし、エスクローとともに運用するシステムで、過去にさかのぼってセキュリ
ティ確保が求められる場合には、以下の簡単な解決方法を用いることができる。
過去にさかのぼってセキュリティを確保するというのは、通常のシステム運用に
おいて、エスクロー認証局は署名を偽造することはないと、ユーザが想定してい
るが、もし認証局が署名を偽造することがあれば、ユーザはこれを過去にさかの
ぼって確認できる手段をもっているということである。この解決方法では、ユー
ザは２つの公開／秘密キーの組（ｙ１，ｘ１）と（ｙ２，ｘ２）を生成し、ｘ１
をエスクローとする（一例として、ＹｏｕｎｇおよびＹｕｎｇによる米国特許出
願番号０８／８７８，１８９）。もし、ｘ１がエスクローであり、ｙ１は偽の公
開キーを含んでいないとＣＡが確信した場合には、ＣＡは数値ｒをランダムに選
び、ｖ＝Ｈ（ｒ，ｙ２）を計算する。ＣＡは、（ｙ１，ｖ）を発行する。ここで
、Ｈは、一方向ハッシュ関数である。ｖは、ユーザからは見えないチャネルであ
り、よって、これには偽の公開キーは含まれない。この値は、ｙ２の公開契約を
形成する。
【００４２】 ｃ＝ｓｉｇ（ｘ，ｍ）を、秘密キーｘを用いたメッセージｍ上の署名とする。
メッセージｍに署名するために、ユーザは、ｃ１＝ｓｉｇ（ｘ１，ｍ）とｃ’２
＝ｓｉｇ（ｘ２，ｍ）を計算する。ユーザは、Ｈ’（ｃ’２）を計算する。Ｈ’
の範囲は、例えば、（０，１）６４である。署名は、（ｃ１，ｃ２）である。こ
れに代わり、ｃ２は、メッセージｍを拡張し、ｃ１を計算する際のパラメータと
なる。署名を確認するために、ユーザは、ｙ１を用いて、ｃ１がメッセージｍの
適切な署名となっていることを検証する。もし、ユーザが、エスクロー認証局が
署名を偽造したのではないかと疑義をもった場合には、ユーザは、署名者がユー
ザにｙ２を送信することを要求できる。一度ｙ２が得られると、検証処理によっ
てｖ＝Ｈ（ｒ，ｙ２）であることを検証し、ｃ’を、メッセージｍへのｙ２を用
いた署名として、ｃ２＝Ｈ’（ｃ’２）であることを検証する。もしこの等式が
成立しない場合には、署名が偽造された証拠となる。エスクロー認証局が署名を
偽造したかどうかを検証するために、これは一部の解決策を提示しているに過ぎ
ず、偽の公開キーｙ２は検証処理に渡される。また、悪意をもつユーザは、情報
を漏洩させるために、これが検証されないことを願いながらｃ２を選ぶ可能性も
ある（従って、本発明ではその値を小さくして理由はここにある）。しかし、大
多数の応用では、これで十分である。
【図面の簡単な説明】
【図１】 公開キー、秘密署名キー、およびこれらのキーが適切に生成されたことを示す情
報を、生成する過程の基本ステップのフローチャートである。
【図２】 本発明を用いてキーの証明を行う過程の流れ図である。
【図３】 秘密検証キーを用いて暗号化された情報を回復する過程の流れ図である。
【図４】 一般的なデジタル署名システムとその主要構成部と働きを示す概略図である。
【図５】 本発明を示す概略図である。
【図６】 デジタル署名過程を示す概略図である。
【図７】 デジタル署名検証過程を示す概略図である。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｕ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ， ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，Ｌ Ｋ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ， ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，Ｔ Ｍ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ ，ＺＷ (72)発明者 ヤング，アダム ルーカス アメリカ合衆国，10025 ニューヨーク州， ニューヨーク，ウェスト 110ス ストリ ート 535，アパートメント 12ジェイ (72)発明者 ユング，マーセル モードチェイ アメリカ合衆国，10025 ニューヨーク州， ニューヨーク，ウェスト 112ス ストリ ート 605，アパートメント ４エッチ Ｆターム(参考） 5J104 AA09 KA08 LA03 LA06 NA02

Claims (30)

    【特許請求の範囲】
  1. 【請求項１】 （ａ）署名とメッセージの出所認証のための暗号キーを生成し、（ｂ）検証し、
    （ｃ）使用し、（ｄ）キーを用いて暗号化された情報を回復するための暗号シス
    テムであって、少なくとも４つのエンティティ、つまりエージェント、オーソリ
    テイィ、登録パーティおよび他のパーティが関与する暗号システムを構成する方
    法であって、さらに （１）前記エンティティをして、一組のシステムパラメータの確立させるステッ
    プと、 （２）前記登録パーティをして、特定の公開手続きを用いて、登録パーティ公開
    署名検証キーと登録パーティ秘密署名キーを生成させるステップと、 （３）前記登録パーティをして、前記登録パーティ秘密署名キーが、前記特定の
    公開手続きを用いて生成されたことを保証する有効性証明を生成させるステップ
    と、 （４）前記登録パーティをして、前記登録パーティ署名検証公開キーと前記有効
    性証明を、前記オーソリテイィに送るステップと、 （５）前記オーソリテイィをして、前記有効性証明とともに、前記登録パーティ
    署名検証公開キーの正当性を検証させるステップと、 （６）もし、ステップ（５）での検証が成功した場合に、前記オーソリテイィを
    して、登録パーティ署名検証公開キー発行処理を行わせ、登録パーティを登録済
    み機関とするステップと、 （７）前記発行処理の後、前記他のパーティをして、登録済み機関公開キーを取
    得させ、前記他のパーティに、前記登録済み機関公開キーを利用させるステップ
    を備えた方法。
  2. 【請求項２】 請求項１記載の方法において、ステップ７での前記登録済み機関公開キーの前
    記利用は、すくなくとも （ａ）メッセージ上の署名の検証、または （ｂ）ユーザとメッセージの信憑性の検証、または （ｃ）身分証明処理の検証 の一つを含むことを特徴とする方法。
  3. 【請求項３】 請求項１記載の方法において、 前記暗号システムは、さらに、少なくとも、前記エージェントと前記オーソリ
    テイィの一つに、前記登録済み署名検証公開キーを用いてクリアテキストデータ
    の回復をさせるイベントを有するステップを含むことを特徴とする方法。
  4. 【請求項４】 請求項１記載の方法において、 前記有効性証明は、少なくとも一つの非対話型のゼロ知証明文字列からなり、
    前記オーソリテイィは、前記非対話型のゼロ知証明文字列の少なくとも一つを検
    証することにより、前記有効性証明を検証することを特徴とする方法。
  5. 【請求項５】 請求項１記載の方法において、 ステップ（６）および（７）の前記有効性証明の生成、送付および検証は、対
    話型の無知証明手続きを行うことを含に、前記登録ユーザは保証者となり、前記
    オーソリテイィは検証者となることを特徴とする方法。
  6. 【請求項６】 請求項１記載の方法において、 前記発行処理は、前記オーソリテイィ秘密キーを用いて、前記登録パーティの
    ために公開キー証明を生成することを含み、前記証明は、前記登録パーティ公開
    キーおよび他の情報の上に前記オーソリテイィのデジタル署名を含み、前記証明
    は、前記オーソリテイィ発行のパラメータの少なくとも一つを用いて検証可能で
    ることを特徴とする方法。
  7. 【請求項７】 請求項１記載の方法において、 前記発行処理は、前記オーソリテイィ秘密キーを用いて、前記登録パーティの
    ために公開キー証明を生成することを含み、前記証明は、修正された前記登録パ
    ーティ公開キーおよび他の情報の上に前記オーソリテイィのデジタル署名を含み
    、前記証明は、前記オーソリテイィ発行のパラメータの少なくとも一つを用いて
    検証可能であることを特徴とする方法。
  8. 【請求項８】 請求項１記載の方法において、 前記発行処理は、前記登録パーティ公開キーを、ファイル中の有効キーとして
    マーク付けすることを含むことを特徴とする方法。
  9. 【請求項９】 請求項１記載の方法において、 前記暗号システムは、さらに、情報の秘密を守るための自動回復可能かつ自動
    証明可能なキー登録処理を用いて、ユーザを登録するステップを含むことを特徴
    とする方法。
  10. 【請求項１０】 請求項３記載の方法において、 前記イベントは、政府機関あるいは政府機関のグループ内の部局のために、政
    府職員トに与えられた適切な権限委譲であることを特徴とする方法。
  11. 【請求項１１】 請求項３記載の方法において、 クリアテキストデータの回復は、他者のプライバシーを保護する間に、犯罪行
    為とみなされる登録済み機関の通信を監視するために行われることを特徴とする
    方法。
  12. 【請求項１２】 請求項９記載の方法は、さらに、 もし政府機関が登録済み機関の通信を監視できない場合には、登録済み期間の
    活動を非合法であるとみなすステップからなることを特徴とする方法。
  13. 【請求項１３】 請求項１記載の方法において、 政府機関、登録済み機関およびオーソリテイィの少なくとも一つの機能は、前
    記ステップの少なくとも一つにおいて、ハードウェアで実装されることを特徴と
    する方法。
  14. 【請求項１４】 請求項１記載の方法において、 前記登録済み機関公開キーの前記利用は、ファイルの署名のためであることを
    特徴とする方法。
  15. 【請求項１５】 請求項１記載の方法において、 前記他のパーティは、前記登録済み機関を含むことを特徴とする方法。
  16. 【請求項１６】 請求項３記載の方法において、 前記イベントは、前記登録済み機関の組織内の適切な手続きに従うことによっ
    て生成されることを特徴とする方法。
  17. 【請求項１７】 請求項１記載の方法において、 前記有効性証明は、前記登録済み機関の署名検証公開キーは、前記政府職員と
    政府機関の少なくとも一つによって回復不可能であるような方法での信用付与に
    は用いることができないことを保証することを特徴とする方法。
  18. 【請求項１８】 請求項３記載の方法において、 前記政府職員は、法的な執行に関わる職員であることを特徴とする方法。
  19. 【請求項１９】 請求項３記載の方法において、 前記政府職員は、ひとつの政府機関あるいは政府機関のグループの職員である
    ことを特徴とする方法。
  20. 【請求項２０】 請求項３記載の方法において、 前記政府職員の少なくとも一つは、前記登録ユーザの団体の役人であることを
    特徴とする方法。
  21. 【請求項２１】 請求項１記載の方法において、 前記オーソリテイィは、前記登録ユーザによって生成された署名の検証は可能
    であるが、有効な署名を偽造することはできないことを特徴とする方法。
  22. 【請求項２２】 請求項１記載の方法において、 前記登録済み機関公開キーの前記利用は、前記オーソリテイィによっては解読
    することができない暗号を計算することを含まないことを特徴とする方法。
  23. 【請求項２３】 請求項１記載の方法において、 前記システムパラ―メータの組は、少なくとも３つの領域Ｆ１、Ｆ２、Ｆ３を
    含み、Ｆ１はＦ２の指数領域であり、Ｆ２はＦ３の指数領域であることを特徴と
    する方法。
  24. 【請求項２４】 請求項１記載の方法において、 前記登録パーティ公開キーは、数ｎに基づくものであり、前記登録パーティお
    よび前記オーソリテイィのみがｎの素数への因数分解を知り得ており、前記登録
    ユーザのみがｐｈｉ（ｐｈｉ（（ｎ））の因数分解を知り得ることを特徴とする
    方法。
  25. 【請求項２５】 請求項１記載の方法において、 前記登録パーティのキーは、指数関数であることを特徴とする方法。
  26. 【請求項２６】 請求項１記載の方法において、 前記暗号システムの利用は、安全な配達のための電子メールのためであること
    を特徴とする方法。
  27. 【請求項２７】 請求項１記載の方法において、 前記登録済み機関公開キーの前記利用は、電子商取引を含むことを特徴とする
    方法。
  28. 【請求項２８】 請求項１記載の方法において、 前記オーソリテイィと政府機関の少なくとも一つは、多数の構成要素からなる
    ことを特徴とする方法。
  29. 【請求項２９】 請求項２８記載の方法および装置において、 前記有効性証明は、前記登録パーティ署名検証公開キーを用いて暗号化された
    前記登録パーティクリアテキストデータが、前記多数の構成要素のサブセットに
    よって回復可能となることを求めることを特徴とする方法および装置。
  30. 【請求項３０】 請求項１記載の方法および装置において、 前記オーソリテイィは、証明機関であることを特徴とする方法および装置。
JP2000590337A 1998-12-22 1999-12-20 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム Withdrawn JP2002534701A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US09/218,219 1998-12-22
US09/218,219 US6473508B1 (en) 1998-12-22 1998-12-22 Auto-recoverable auto-certifiable cryptosystems with unescrowed signature-only keys
PCT/US1999/030611 WO2000038365A1 (en) 1998-12-22 1999-12-20 Auto-recoverable auto-certifiable cryptosystems with unescrowed signature-only keys

Publications (1)

Publication Number Publication Date
JP2002534701A true JP2002534701A (ja) 2002-10-15

Family

ID=22814229

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2000590337A Withdrawn JP2002534701A (ja) 1998-12-22 1999-12-20 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム

Country Status (6)

Country Link
US (1) US6473508B1 (ja)
EP (1) EP1142181A4 (ja)
JP (1) JP2002534701A (ja)
AU (1) AU2378700A (ja)
CA (1) CA2356665A1 (ja)
WO (1) WO2000038365A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006523065A (ja) * 2003-04-11 2006-10-05 インテル・コーポレーション 身元を明らかにすることのない信頼の確立

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10061697A1 (de) * 2000-12-12 2002-06-27 Infineon Technologies Ag Verfahren und Vorrichtung zum Ermitteln eines Schlüsselpaars und zum Erzeugen von RSA-Schlüsseln
US6909786B2 (en) * 2001-01-09 2005-06-21 D'crypt Private Limited Cryptographic trap door with timed lock and controlled escrow
EP1417555A2 (en) * 2001-06-18 2004-05-12 Daon Holdings Limited An electronic data vault providing biometrically protected electronic signatures
JP2003087243A (ja) * 2001-06-28 2003-03-20 Hitachi Ltd データ検証方法、データ検証装置およびその処理プログラム製品
GB2380368B (en) * 2001-09-27 2005-06-22 Ibm A method and system for communication via a computer network
US7305556B2 (en) * 2001-12-05 2007-12-04 Canon Kabushiki Kaisha Secure printing with authenticated printer key
US7308576B2 (en) * 2001-12-31 2007-12-11 Intel Corporation Authenticated code module
US7631196B2 (en) 2002-02-25 2009-12-08 Intel Corporation Method and apparatus for loading a trustable operating system
US7352867B2 (en) * 2002-07-10 2008-04-01 General Instrument Corporation Method of preventing unauthorized distribution and use of electronic keys using a key seed
US7318235B2 (en) * 2002-12-16 2008-01-08 Intel Corporation Attestation using both fixed token and portable token
US7366305B2 (en) * 2003-09-30 2008-04-29 Intel Corporation Platform and method for establishing trust without revealing identity
US8037314B2 (en) 2003-12-22 2011-10-11 Intel Corporation Replacing blinded authentication authority
US7587607B2 (en) * 2003-12-22 2009-09-08 Intel Corporation Attesting to platform configuration
KR100582546B1 (ko) * 2003-12-26 2006-05-22 한국전자통신연구원 암호화/복호화 키를 이용한 메시지 송수신 방법
US7802085B2 (en) 2004-02-18 2010-09-21 Intel Corporation Apparatus and method for distributing private keys to an entity with minimal secret, unique information
US7490070B2 (en) * 2004-06-10 2009-02-10 Intel Corporation Apparatus and method for proving the denial of a direct proof signature
US8924728B2 (en) 2004-11-30 2014-12-30 Intel Corporation Apparatus and method for establishing a secure session with a device without exposing privacy-sensitive information
US7809957B2 (en) 2005-09-29 2010-10-05 Intel Corporation Trusted platform module for generating sealed data
US8014530B2 (en) 2006-03-22 2011-09-06 Intel Corporation Method and apparatus for authenticated, recoverable key distribution with no database secrets
US8638926B2 (en) * 2009-02-26 2014-01-28 Red Hat, Inc. Sharing a secret with modular inverses
US8589691B1 (en) * 2009-08-17 2013-11-19 Google Inc. Self-signed certificates for computer application signatures
US9087196B2 (en) 2010-12-24 2015-07-21 Intel Corporation Secure application attestation using dynamic measurement kernels
US9118674B2 (en) 2012-11-26 2015-08-25 Bank Of America Corporation Methods and processes for storing and utilizing state information for service providers
US8949594B2 (en) 2013-03-12 2015-02-03 Silver Spring Networks, Inc. System and method for enabling a scalable public-key infrastructure on a smart grid network
CN117240477B (zh) * 2023-11-13 2024-02-23 泉州信息工程学院 一种基于rsa算法的数字签名方法、系统及存储介质

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4200770A (en) 1977-09-06 1980-04-29 Stanford University Cryptographic apparatus and method
US4218582A (en) 1977-10-06 1980-08-19 The Board Of Trustees Of The Leland Stanford Junior University Public key cryptographic apparatus and method
US4405829A (en) 1977-12-14 1983-09-20 Massachusetts Institute Of Technology Cryptographic communications system and method
US4424414A (en) 1978-05-01 1984-01-03 Board Of Trustees Of The Leland Stanford Junior University Exponentiation cryptographic apparatus and method
US4641346A (en) 1983-07-21 1987-02-03 Pitney Bowes Inc. System for the printing and reading of encrypted messages
US4625076A (en) 1984-03-19 1986-11-25 Nippon Telegraph & Telephone Public Corporation Signed document transmission system
FR2596177B1 (fr) 1986-03-19 1992-01-17 Infoscript Procede et dispositif de sauvegarde qualitative de donnees numerisees
US4748668A (en) 1986-07-09 1988-05-31 Yeda Research And Development Company Limited Method, apparatus and article for identification and signature
US4881264A (en) 1987-07-30 1989-11-14 Merkle Ralph C Digital signature system and method based on a conventional encryption function
US4933970A (en) 1988-01-19 1990-06-12 Yeda Research And Development Company Limited Variants of the fiat-shamir identification and signature scheme
US5005200A (en) 1988-02-12 1991-04-02 Fischer Addison M Public key/signature cryptosystem with enhanced digital signature certification
EP0383985A1 (de) 1989-02-24 1990-08-29 Claus Peter Prof. Dr. Schnorr Verfahren zur Identifikation von Teilnehmern sowie zur Generierung und Verifikation von elektronischen Unterschriften in einem Datenaustauschsystem
US5231668A (en) 1991-07-26 1993-07-27 The United States Of America, As Represented By The Secretary Of Commerce Digital signature algorithm
US5315658B1 (en) 1992-04-20 1995-09-12 Silvio Micali Fair cryptosystems and methods of use
US5276737B1 (en) 1992-04-20 1995-09-12 Silvio Micali Fair cryptosystems and methods of use
US5557346A (en) 1994-08-11 1996-09-17 Trusted Information Systems, Inc. System and method for key escrow encryption
US5557765A (en) 1994-08-11 1996-09-17 Trusted Information Systems, Inc. System and method for data recovery
JPH10511471A (ja) 1994-08-12 1998-11-04 リートン，フランク、タムスン フェイルセイフキィ捺印システム
US5633928A (en) 1995-03-10 1997-05-27 Bell Communications Research, Inc. Key escrow method with warrant bounds
US5633929A (en) * 1995-09-15 1997-05-27 Rsa Data Security, Inc Cryptographic key escrow system having reduced vulnerability to harvesting attacks
US5815573A (en) 1996-04-10 1998-09-29 International Business Machines Corporation Cryptographic key recovery system
US5796830A (en) 1996-07-29 1998-08-18 International Business Machines Corporation Interoperable cryptographic key recovery system
EP0997017A2 (en) * 1997-05-28 2000-05-03 Adam Lucas Young Auto-recoverable auto-certifiable cryptosystems

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006523065A (ja) * 2003-04-11 2006-10-05 インテル・コーポレーション 身元を明らかにすることのない信頼の確立
JP4673840B2 (ja) * 2003-04-11 2011-04-20 インテル・コーポレーション 身元を明らかにすることのない信頼の確立

Also Published As

Publication number Publication date
EP1142181A1 (en) 2001-10-10
EP1142181A4 (en) 2004-05-19
AU2378700A (en) 2000-07-12
CA2356665A1 (en) 2000-06-29
WO2000038365A1 (en) 2000-06-29
US6473508B1 (en) 2002-10-29

Similar Documents

Publication Publication Date Title
US10530585B2 (en) Digital signing by utilizing multiple distinct signing keys, distributed between two parties
JP2002534701A (ja) 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム
WO2021042685A1 (zh) 一种区块链的交易方法、装置及系统
JP3522447B2 (ja) 認証交換方法および付加型公衆電子署名方法
Wang et al. Threshold signature schemes with traceable signers in group communications
US8108678B1 (en) Identity-based signcryption system
US6292897B1 (en) Undeniable certificates for digital signature verification
JP5205398B2 (ja) 鍵認証方式
US6738912B2 (en) Method for securing data relating to users of a public-key infrastructure
US20160248735A1 (en) Method and apparatus for verifiable generation of public keys
KR100718489B1 (ko) 신규의 공정한 은닉 서명을 위한 서명 방법, 컴퓨터 프로그램, 장치 및 서명 시스템
US20050152542A1 (en) Public key encryption for groups
US20100153712A1 (en) Signature schemes using bilinear mappings
US20090217042A1 (en) Provisional signature schemes
US6122742A (en) Auto-recoverable and auto-certifiable cryptosystem with unescrowed signing keys
US9088419B2 (en) Keyed PV signatures
US6243466B1 (en) Auto-escrowable and auto-certifiable cryptosystems with fast key generation
KR20030062401A (ko) 겹선형쌍을 이용한 개인식별정보 기반의 은닉서명 장치 및방법
Mu et al. Distributed signcryption
Waheed et al. Novel blind signcryption scheme for E-voting system based on elliptic curves
NZ501273A (en) Auto-recoverable auto-certifiable cryptosystems
JP3862397B2 (ja) 情報通信システム
KR20010017358A (ko) 공정한 은닉 서명 방법
EP1267516A2 (en) Method for securing data relating to users of a public-key infrastructure
Ganley Digital signatures

Legal Events

Date Code Title Description
A300 Application deemed to be withdrawn because no request for examination was validly filed

Free format text: JAPANESE INTERMEDIATE CODE: A300

Effective date: 20070306