JP2002536875A - 減少した計算組を伴う認証または署名プロセス - Google Patents
減少した計算組を伴う認証または署名プロセスInfo
- Publication number
- JP2002536875A JP2002536875A JP2000596695A JP2000596695A JP2002536875A JP 2002536875 A JP2002536875 A JP 2002536875A JP 2000596695 A JP2000596695 A JP 2000596695A JP 2000596695 A JP2000596695 A JP 2000596695A JP 2002536875 A JP2002536875 A JP 2002536875A
- Authority
- JP
- Japan
- Prior art keywords
- equation
- verifier
- modulus
- called
- modulo
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
- Collating Specific Patterns (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
(57)【要約】
本発明は、「プロバ」（Ａ）と呼ばれる第１の実体と「ベリファイヤ」（Ｂ）と呼ばれる第２の実体とを含む認証プロセスであって、第１の実体は、公開鍵ｖと秘密鍵ｓとを有し、これらの鍵は、ｎを法とする作業によって関連付けられ、ここで、ｎは、モジュラスと呼ばれる整数であり、第２の実体は、公開鍵ｖを知っており、これらの実体は、ゼロ認識情報を交換しかつこの情報に基づいて暗号計算を実行する手段を提供され、いくつかの計算は、ｎを法として実行され、モジュラスｎは、プロバ（Ａ）に特有であり、プロバ（Ａ）は、このモジュラスを、ベリファイヤ（Ｂ）へ通信することを特徴とする。
Description
【０００１】
本発明は、減少された計算の組を伴う認証または署名プロセスに関する。
【０００２】 より正確には、本発明は、公開鍵暗号分野に関する。このプロセスによると、
認証されるべき実体−プロバ（prover）−は、秘密鍵と関係する公開鍵とを有す
る。認証する実体−ベリファイヤ−（verifier）は、認証を達成するためには、
この公開鍵を必要とするだけである。
認証されるべき実体−プロバ（prover）−は、秘密鍵と関係する公開鍵とを有す
る。認証する実体−ベリファイヤ−（verifier）は、認証を達成するためには、
この公開鍵を必要とするだけである。
【０００３】 更により正確には、本プロセスは、「ゼロ認識プロトコル」と呼ばれる（即ち
、認識の如何なる通信も有しない）プロセスの組に関する。この種のプロセスに
よると、認証は、プロバの秘密鍵について何も開示しないプロトコルに従って（
認識されるように、かつ、完全に筋が通っているとして科学共同体によって考慮
された仮定の下で）実行される。
、認識の如何なる通信も有しない）プロセスの組に関する。この種のプロセスに
よると、認証は、プロバの秘密鍵について何も開示しないプロトコルに従って（
認識されるように、かつ、完全に筋が通っているとして科学共同体によって考慮
された仮定の下で）実行される。
【０００４】 更により正確であるために、本発明は、因数分解問題に基づく（即ち、大きな
整数を素数の積に因数分解することの困難に基づく）ゼロ認識プロセスに関する
。
整数を素数の積に因数分解することの困難に基づく）ゼロ認識プロセスに関する
。
【０００５】 本発明は、電話相手またはメッセージを認証する必要がある全てのシステム、
または、メッセージに署名する必要がある全てのシステムに適用可能であり、詳
細には、プロバによって実行されるべき計算の量がクリティカルであるシステム
に適用可能である。これは、特に、標準のマイクロプロセッサを使用するカード
、または、低価格のカードに対する場合である。これらのカードは（しばしば、
暗号プロセッサと呼ばれる）算術コプロセッサを具備せず、該カードでは、暗号
計算が加速されなくてはならない。
または、メッセージに署名する必要がある全てのシステムに適用可能であり、詳
細には、プロバによって実行されるべき計算の量がクリティカルであるシステム
に適用可能である。これは、特に、標準のマイクロプロセッサを使用するカード
、または、低価格のカードに対する場合である。これらのカードは（しばしば、
暗号プロセッサと呼ばれる）算術コプロセッサを具備せず、該カードでは、暗号
計算が加速されなくてはならない。
【０００６】 本発明の一般的なアプリケーションは、電子財布である。電子財布は、価格理
由または技術的理由（例えば、接触不要なインターフェースの使用）のいずれか
またはその両方の理由によって暗号プロセッサの使用を放棄しながら、非常に高
いセキュリティレベルを要求する。
由または技術的理由（例えば、接触不要なインターフェースの使用）のいずれか
またはその両方の理由によって暗号プロセッサの使用を放棄しながら、非常に高
いセキュリティレベルを要求する。
【０００７】 他の可能性のあるアプリケーションは、次世代テレカード（telecard）である
。次世代テレカードの価格制約は、電子財布の価格制約よりもはるかに厳しい。
。次世代テレカードの価格制約は、電子財布の価格制約よりもはるかに厳しい。
【０００８】
多数のゼロ認識識別プロセスが、公表されている。例えば、 −“Advances in Cryptology: Proceedings of CRYPTO'86, Lecture Notes in
Computer Science”vol. 263, Springer-Verlag, Berlin, 1987, pp. 186-194
において公表された“how to prove yourself: Practical solutions to identi
fication and signature problems”とタイトルの付けられたA. FIATとA. SHAMI
Rとによる記事に記載されたFIAT-SHAMIRプロトコル −Advances in Cryptology: Proceedings of EUROCRYPT'88; Lecture notes i
n Computer Sciences”vol. 330, Springer-Verlag, Berlin, 1988, pp. 123-12
8において公表された“A Practical zero-knowledge protocol fitted to secur
ity microprocessors minimising both transmission and memory”とタイトル
の付けられたL.C. GUILLOUとJ.J. QUISQUATERとによる記事に記載されたGUILLOU
-QUISQUATERプロトコル −離散対数問題に基づくフランス特許出願FR-A-2 176 058に記載されたGIRAUL
Tプロトコル
Computer Science”vol. 263, Springer-Verlag, Berlin, 1987, pp. 186-194
において公表された“how to prove yourself: Practical solutions to identi
fication and signature problems”とタイトルの付けられたA. FIATとA. SHAMI
Rとによる記事に記載されたFIAT-SHAMIRプロトコル −Advances in Cryptology: Proceedings of EUROCRYPT'88; Lecture notes i
n Computer Sciences”vol. 330, Springer-Verlag, Berlin, 1988, pp. 123-12
8において公表された“A Practical zero-knowledge protocol fitted to secur
ity microprocessors minimising both transmission and memory”とタイトル
の付けられたL.C. GUILLOUとJ.J. QUISQUATERとによる記事に記載されたGUILLOU
-QUISQUATERプロトコル −離散対数問題に基づくフランス特許出願FR-A-2 176 058に記載されたGIRAUL
Tプロトコル
【０００９】 一般的に言えば、大抵のゼロ認識識別（または、メッセージ認証）プロトコル
は、３つのステップを含む。簡単のために、「ベリファイヤＢは、プロバＡに関
する全ての公開パラメータ（即ち、プロバＡの識別子や公開鍵など）を既に知っ
ている」ということを仮定する。
は、３つのステップを含む。簡単のために、「ベリファイヤＢは、プロバＡに関
する全ての公開パラメータ（即ち、プロバＡの識別子や公開鍵など）を既に知っ
ている」ということを仮定する。
【００１０】 第１のトランザクションとして、Ａは、認証または署名されるべきメッセージ
だけでなく、「オープニング」と呼ばれる値“ｃ”、即ち、（Ａよってランダム
に選択された数ｒからそれ自身得られた）パラメータｘの擬似ランダム関数ｈを
通したイメージを、Ｂに供給する。ｃ＝ｈ（ｘ，〔Ｍ〕）であり、ここで、シン
ボル〔Ｍ〕は「Ｍが任意である」ということを意味する。これが、第１のステッ
プである。いくつかのプロトコルは、いくつかのオープニングを含む。
だけでなく、「オープニング」と呼ばれる値“ｃ”、即ち、（Ａよってランダム
に選択された数ｒからそれ自身得られた）パラメータｘの擬似ランダム関数ｈを
通したイメージを、Ｂに供給する。ｃ＝ｈ（ｘ，〔Ｍ〕）であり、ここで、シン
ボル〔Ｍ〕は「Ｍが任意である」ということを意味する。これが、第１のステッ
プである。いくつかのプロトコルは、いくつかのオープニングを含む。
【００１１】 第２のトランザクションの間、Ｂは、ランダムに選択されたパラメータｅ（「
質問」）を、Ａへ送る。それが、第２のステップである。
質問」）を、Ａへ送る。それが、第２のステップである。
【００１２】 第３のトランザクションの間、Ａは、質問ｅとオープニングｃとＡの秘密鍵と
に密接した「回答」ｙを、Ｂへ送る（第３のステップ）。
に密接した「回答」ｙを、Ｂへ送る（第３のステップ）。
【００１３】 そして、Ｂは受信した回答をチェックする。より正確には、Ｂは、式
【数３９】 を使用して要素ｙとｅとｖとからｘを再計算し、かつ、
【数４０】 をベリファイする。これが、第４のステップである。
【００１４】 認証すべきメッセージがないときは、擬似ランダム関数ｈの使用は任意である
。この場合、ｃ＝ｘが便利である。立証は、
。この場合、ｃ＝ｘが便利である。立証は、
【数４１】 をチェックすることを具備する。
【００１５】 いくつかのプロトコルにおいて、ベリファイヤとプロバとの間には、１または
２以上のトランザクションがある。
２以上のトランザクションがある。
【００１６】 メッセージ署名に対して、パラメータｅはｃに等しくされるので、最初の２つ
のステップは破棄される。そして、Ａは、ｃとｅ（＝ｃ）とｙとを連続的に計算
するだけである。
のステップは破棄される。そして、Ａは、ｃとｅ（＝ｃ）とｙとを連続的に計算
するだけである。
【００１７】 回答されるべき質問の数ｕは、希望されるプロトコルセキュリティレベルに直
接依存する。このレベルは、詐称者（即ち、Ａを不正に模倣する実体Ｃ）を検出
することの確率ｐとして定義される。確率ｐは、パラメータｋによって測定され
る。パラメータｋの値は、式ｐ＝１−２-kによって、ｐに関係付けられる。言い
換えると、詐称者は、２k回に１回の成功しか有しない。「もし、プロトコルが
困難な数学的計算に依存するならば、かつ、もし、オープニングが十分な長さで
あるならば、ｕの長さは単にｋビットに等しくなくてはならない」ということが
、本ケースにおいて論証されることができる。ｋの一般的な値は３２である。こ
のことは、４０億回に１回成功することを、詐称者に与える。識別の失敗が非常
に有害な結果を有するかも知れないアプリケーション（例えば、法律行為）にお
いては、この長さは、少ないビットに減少されてもよい。
接依存する。このレベルは、詐称者（即ち、Ａを不正に模倣する実体Ｃ）を検出
することの確率ｐとして定義される。確率ｐは、パラメータｋによって測定され
る。パラメータｋの値は、式ｐ＝１−２-kによって、ｐに関係付けられる。言い
換えると、詐称者は、２k回に１回の成功しか有しない。「もし、プロトコルが
困難な数学的計算に依存するならば、かつ、もし、オープニングが十分な長さで
あるならば、ｕの長さは単にｋビットに等しくなくてはならない」ということが
、本ケースにおいて論証されることができる。ｋの一般的な値は３２である。こ
のことは、４０億回に１回成功することを、詐称者に与える。識別の失敗が非常
に有害な結果を有するかも知れないアプリケーション（例えば、法律行為）にお
いては、この長さは、少ないビットに減少されてもよい。
【００１８】 因数分解を使用するプロトコルに対して、ｒの項におけるｘの計算は、または
、ｅの項におけるｙの計算は、または、その両方は、ｎを法とする作業を含む。
ここで、ｎは、因数分解することが困難な合成数である。この数は、信頼できる
第三者によって生成された普遍的なタイプの数であるべきと言われる。この数は
、全ての認可された実体によって記憶されかつ使用される。ｎの因数分解を解く
ことは全ての信用されたユーザーの秘密鍵を処理することなので、ｎの「普遍的
な」特徴は「大きな数（通常は１０２４ビット）である」ということを意味する
。
、ｅの項におけるｙの計算は、または、その両方は、ｎを法とする作業を含む。
ここで、ｎは、因数分解することが困難な合成数である。この数は、信頼できる
第三者によって生成された普遍的なタイプの数であるべきと言われる。この数は
、全ての認可された実体によって記憶されかつ使用される。ｎの因数分解を解く
ことは全ての信用されたユーザーの秘密鍵を処理することなので、ｎの「普遍的
な」特徴は「大きな数（通常は１０２４ビット）である」ということを意味する
。
【００１９】 それらの基本的なバージョンでは、上述されたプロトコルはいずれも、以前の
段落において記述されたようなシビアな仕様（低価格、低複雑化）に応じなくて
はならないアプリケーションにおいて実現されることができない。なぜならば、
要求される計算は、暗号プロセッサ無しのマイクロプロセッサカードによっては
実行されることができないからである。
段落において記述されたようなシビアな仕様（低価格、低複雑化）に応じなくて
はならないアプリケーションにおいて実現されることができない。なぜならば、
要求される計算は、暗号プロセッサ無しのマイクロプロセッサカードによっては
実行されることができないからである。
【００２０】 フランス特許出願FR-A-2 752 122はこれらのプロトコルを楽天的に記述してい
るが、該特許出願は、いわゆる「予備計算を伴う」モードに続く離散対数法を含
むプロトコルに限定され、「規則正しく予定された再ロードを含む」という欠点
を有する。
るが、該特許出願は、いわゆる「予備計算を伴う」モードに続く離散対数法を含
むプロトコルに限定され、「規則正しく予定された再ロードを含む」という欠点
を有する。
【００２１】 本発明は、この欠点を適切に抑える。本発明は、因数分解を含むゼロ認識識別
（またはメッセージ署名または認証）プロトコルを使用するときに、プロバによ
って実行されるべき計算の数を減少することを目的とする。ゲインは約数２また
は３に到達しやすい。
（またはメッセージ署名または認証）プロトコルを使用するときに、プロバによ
って実行されるべき計算の数を減少することを目的とする。ゲインは約数２また
は３に到達しやすい。
【００２２】 本発明は、また、詳細にはGUILLOU-QUISQUATERプロトコルと結合されたときに
、電子財布または次世代テレカードのようなアプリケーションに対して、低価格
の標準マイクロ回路カードにおいて具備される公開鍵識別（またはメッセージ認
証または署名）アルゴリズムの高速な完了を可能にする。
、電子財布または次世代テレカードのようなアプリケーションに対して、低価格
の標準マイクロ回路カードにおいて具備される公開鍵識別（またはメッセージ認
証または署名）アルゴリズムの高速な完了を可能にする。
【００２３】
この目的は、普遍的な値ではなく特有の値であるモジュラスｎを選択する（言
い換えれば、各実体はそれ自身のｎ値を有する）ことによって、かつ、この選択
物を（好ましくは結合されてもよい）以下の２つの方法で使用することによって
、満足される。 １）第１に、現在使用される値よりも小さい（一般的には、１０００ビットよ
り小さく、かつ、例えば、７００ビットと８００ビットとの間の範囲にわたる）
ｎの長さを保持することによる。ｎの因数分解を解くことは関連するユーザーの
秘密鍵だけを処理しかつ他のユーザーの秘密鍵を処理する方法がないので、これ
は可能である。この修正は、ｎを法として実行される計算の継続期間を、単独で
４０％減少する。 ２）もし、ユーザーが該ユーザーのセキュリティデバイスのメモリ内にｎの素
因数を記憶しているならば、２つの素因数が存在するときに、彼（または彼女）
は、ｎを法とする計算の継続期間を更に４０％減少するために、チャイニーズ剰
余技術（Chinese remainders technique）を使用してもよい。この減少は、いく
つか（一般的には、３または４）の素因数を使用するときに増大される。
い換えれば、各実体はそれ自身のｎ値を有する）ことによって、かつ、この選択
物を（好ましくは結合されてもよい）以下の２つの方法で使用することによって
、満足される。 １）第１に、現在使用される値よりも小さい（一般的には、１０００ビットよ
り小さく、かつ、例えば、７００ビットと８００ビットとの間の範囲にわたる）
ｎの長さを保持することによる。ｎの因数分解を解くことは関連するユーザーの
秘密鍵だけを処理しかつ他のユーザーの秘密鍵を処理する方法がないので、これ
は可能である。この修正は、ｎを法として実行される計算の継続期間を、単独で
４０％減少する。 ２）もし、ユーザーが該ユーザーのセキュリティデバイスのメモリ内にｎの素
因数を記憶しているならば、２つの素因数が存在するときに、彼（または彼女）
は、ｎを法とする計算の継続期間を更に４０％減少するために、チャイニーズ剰
余技術（Chinese remainders technique）を使用してもよい。この減少は、いく
つか（一般的には、３または４）の素因数を使用するときに増大される。
【００２４】 総合的に考えると、ｎを法とする計算は、少なくとも６０％（即ち、係数２）
減少されることができる。
減少されることができる。
【００２５】 正確には、本発明は、「プロバ」と呼ばれる第１の実体と「ベリファイヤ」と
呼ばれる第２の実体とを含む認証のプロセスに関し、第１の実体は、公開鍵
呼ばれる第２の実体とを含む認証のプロセスに関し、第１の実体は、公開鍵
【数４２】 と秘密鍵
【数４３】 とを有し、これらの鍵は、
【数４４】 を法とする計算によって関連付けられ、ここで、
【数４５】 は、モジュラスと呼ばれる整数であり、第２の実体は、公開鍵
【数４６】 を知っており、これらの実体は、ゼロ認識コンテクストにおいて情報を交換しか
つこの情報に基づく暗号計算を実行する手段を提供され、いくつかの計算は、
つこの情報に基づく暗号計算を実行する手段を提供され、いくつかの計算は、
【数４７】 を法とするモードで実行され、該プロセスは、「
【数４８】 の値が、プロバ実体に特有であり、プロバ実体は、この値を、ベリファイヤ実体
へ通信する」ということを特徴とする。
へ通信する」ということを特徴とする。
【００２６】 前記実体は、例えば、マイクロ回路カードや電子財布やテレカードなどであっ
てもよい。
てもよい。
【００２７】 好ましい実現によると、
【数４９】 を法とする計算は、種類ｖ＝ｓ-t（ｍｏｄ ｎ）の計算であり、ｔはパラメータ
であり、ゼロ認識情報交換は、以下の通りである。 ・プロバが、１とｎ−１との間の範囲にわたる１つの（いくつかの）整数
であり、ゼロ認識情報交換は、以下の通りである。 ・プロバが、１とｎ−１との間の範囲にわたる１つの（いくつかの）整数
【数５０】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しい１つの（いくつかの）
パラメータ
パラメータ
【数５１】 を計算し、そして、オープニングと呼ばれる１つの（いくつかの）の数
【数５２】 を計算し、オープニングは、この（これらの）パラメータとおそらくメッセージ
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバが、この（これら
の）オープニングをベリファイヤへ送る。 ・ベリファイヤ実体が、オープニング
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバが、この（これら
の）オープニングをベリファイヤへ送る。 ・ベリファイヤ実体が、オープニング
【数５３】 を受信し、かつ、「質問」と呼ばれる１つの数
【数５４】 をランダムに選択し、かつ、この質問をプロバへ送る。 ・プロバが、質問
【数５５】 を受信し、かつ、この質問
【数５６】 と秘密鍵
【数５７】 とを使用して１つの（いくつかの）計算を実行し、この（これらの）計算の結果
が１つの（いくつかの）回答
が１つの（いくつかの）回答
【数５８】 を生じ、かつ、プロバが、この（これらの）回答をベリファイヤへ送る。 ・ベリファイヤが、回答
【数５９】 を受信し、かつ、公開鍵
【数６０】 とモジュラス
【数６１】 とを使用して１つの計算を実行し、かつ、「結果が、受信されたオープニングに
密接である」ということを
密接である」ということを
【数６２】 を法とする計算を伴ってチェックする。
【００２８】 数ｎのサイズは、ビットの数で表現され、１０００より小さい。例えば、該サ
イズは、７００と８００との間であってもよい。
イズは、７００と８００との間であってもよい。
【００２９】 本発明は、また、「署名者」と呼ばれる実体によって使用されるべきメッセー
ジ署名プロセスに関し、この実体は、公開鍵
ジ署名プロセスに関し、この実体は、公開鍵
【数６３】 と秘密鍵
【数６４】 とを提供され、これらの鍵は、
【数６５】 を法とする作業によって関連付けられ、ここで、
【数６６】 は、モジュラスと呼ばれる整数であり、
【数６７】 はパラメータであり、該プロセスにおいて、署名者は、署名されるべきメッセー
ジの注目すべき関数であるオープニング
ジの注目すべき関数であるオープニング
【数６８】 と秘密鍵の関数である数
【数６９】 とを計算し、署名とメッセージとである数
【数７０】 と
【数７１】 とを送信し、該プロセスは、「モジュラスｎは、署名者に特有である」というこ
とを特徴とする。
とを特徴とする。
【００３０】 好ましい実現によると、署名者は、１とｎ−１との間の整数
【数７２】 をランダムに選択し、そして、ｒt（ｍｏｄ ｎ）に等しいパラメータ
【数７３】 を計算し、そして、パラメータ
【数７４】 と署名されるべきメッセージとの関数である数
【数７５】 を計算し、そして、秘密鍵
【数７６】 を使用して数
【数７７】 と
【数７８】 との関数として数
【数７９】 を計算し、そして、数
【数８０】 と
【数８１】 とを署名として送信する。
【００３１】
【発明の実施の形態】 以下の記述において、本発明は、一例として、プロトコルGUILLOU-QUISQUATER
と組み合わされることが仮定される。「本発明はこのプロトコルに限定されない
」ということは明らかである。
と組み合わされることが仮定される。「本発明はこのプロトコルに限定されない
」ということは明らかである。
【００３２】 「GUILLOU-QUISQUATERプロトコルの普遍的なパラメータは、少なくとも１０２
４ビットを具備するモジュラス
４ビットを具備するモジュラス
【数８２】 （素数の積）と整数値
【数８３】 とである」ということに注意されたい。
【００３３】 公開鍵
【数８４】 と秘密鍵
【数８５】 とは、式ｖ＝ｓ-t（ｍｏｄ ｎ)をベリファイする。
【００３４】 保持されるセキュリティレベルは、（
【数８６】 以下であり、一般には
【数８７】 に等しい）
【数８８】 である。
【００３５】 通常の用語に従うと、ＢによるＡの認証は、以下の通りに完了する。ここで、
Ａはアリスと呼ばれ、かつ、Ｂはボブと呼ばれる。 １．アリスが、範囲〔１，ｎ−１〕内においてｒを選択し、かつ、ｘ＝ｒt（
ｍｏｄ ｎ）そしてｃ＝ｈ（ｘ，〔Ｍ〕）を計算し、かつ、ｃをボブへ送る。 ２．ボブが、範囲〔１，ｕ−１〕内においてｅを選択し、かつ、ｅをアリスへ
送る。 ３．アリスが、ｙ＝ｒｓe（ｍｏｄ ｎ）を計算し、かつ、ｙをボブへ送る。 ４．ボブが、ｘ＝ｙtｖe（ｍｏｄ ｎ）を計算し、かつ、ｃ＝ｈ（ｘ，〔Ｍ〕
）をベリファイする。
Ａはアリスと呼ばれ、かつ、Ｂはボブと呼ばれる。 １．アリスが、範囲〔１，ｎ−１〕内においてｒを選択し、かつ、ｘ＝ｒt（
ｍｏｄ ｎ）そしてｃ＝ｈ（ｘ，〔Ｍ〕）を計算し、かつ、ｃをボブへ送る。 ２．ボブが、範囲〔１，ｕ−１〕内においてｅを選択し、かつ、ｅをアリスへ
送る。 ３．アリスが、ｙ＝ｒｓe（ｍｏｄ ｎ）を計算し、かつ、ｙをボブへ送る。 ４．ボブが、ｘ＝ｙtｖe（ｍｏｄ ｎ）を計算し、かつ、ｃ＝ｈ（ｘ，〔Ｍ〕
）をベリファイする。
【００３６】 メッセージが認証されるべきでないときは、擬似ランダム関数ｈを含むことは
任意である。ｃ＝ｘが使用されることができる。そして、立証は、ｘ＝ｙtｖe（
ｍｏｄ ｎ）をチェックすることを具備する。
任意である。ｃ＝ｘが使用されることができる。そして、立証は、ｘ＝ｙtｖe（
ｍｏｄ ｎ）をチェックすることを具備する。
【００３７】 本発明によって修正されたプロトコルでは、ｔは唯一の普遍的なパラメータで
ある。
ある。
【００３８】 公開鍵は（ｎ，ｖ）である。ここで、ｎは少なくても７６８ビットを有する。
アリスの公開鍵ｖと秘密鍵とは、式ｖ＝ｓ-t（ｍｏｄ ｎ）を満足する。
アリスの公開鍵ｖと秘密鍵とは、式ｖ＝ｓ-t（ｍｏｄ ｎ）を満足する。
【００３９】 本発明の第２の特徴の利点を得るために、秘密鍵は、ｎに基づく素因数を具備
してもよい。
してもよい。
【００４０】 パラメータｔは公開鍵内に具備されてもよい（この場合、普遍的なパラメータ
はもはや存在しない）。
はもはや存在しない）。
【００４１】 アリスとボブとによって保持されるセキュリティレベルは（ｔ以下であり、通
常はｕ＝ｔである）ｕである。
常はｕ＝ｔである）ｕである。
【００４２】 ボブによるアリスの認証は、上述されたように実行される。しかし、より高速
な計算を伴うと、より小さなモジュラスｎに起因する。
な計算を伴うと、より小さなモジュラスｎに起因する。
【００４３】 全てのアリスの計算はｎを法として実行されるので、たった１つの係数の乗算
に起因するゲインファクタは、プロトコルを実行するときに、アリスによって完
了される完全な組の計算に影響を及ぼす。このことは、例えば、Fiat-Shamirま
たはGiraultプロトコルと同じであるべきである（後者の場合、係数計算がない
ので、ステップ３においてゲインは予測されるべきでないが、このステップの実
行時間は、第１ステップの係数の累乗に関して無視できる）。
に起因するゲインファクタは、プロトコルを実行するときに、アリスによって完
了される完全な組の計算に影響を及ぼす。このことは、例えば、Fiat-Shamirま
たはGiraultプロトコルと同じであるべきである（後者の場合、係数計算がない
ので、ステップ３においてゲインは予測されるべきでないが、このステップの実
行時間は、第１ステップの係数の累乗に関して無視できる）。
【００４４】 本発明は、また、チャイニーズ剰余技術によって実現されてもよい。チャイニ
ーズ剰余技術は、ｎの素因数のｎを法とする値を計算することを具備する。これ
らの数は無視できるほど小さいので、これらの作業は迅速に行われる。更に、ｎ
を法とする結果は「再構成」作業を通して取得されるべきである。この技術は、
“Electronic Letters”vol. 18, October 1982, pp. 905-907において公表され
た“Fast Decipherment algorithm for RSA public-key cryptosystem”とタイ
トルの付けられたJ.J QUISQUATERとC.COUVREURの記事に記述されている。
ーズ剰余技術は、ｎの素因数のｎを法とする値を計算することを具備する。これ
らの数は無視できるほど小さいので、これらの作業は迅速に行われる。更に、ｎ
を法とする結果は「再構成」作業を通して取得されるべきである。この技術は、
“Electronic Letters”vol. 18, October 1982, pp. 905-907において公表され
た“Fast Decipherment algorithm for RSA public-key cryptosystem”とタイ
トルの付けられたJ.J QUISQUATERとC.COUVREURの記事に記述されている。
【００４５】 ｎが２つの素因数ｐとｑとの積である場合を考える。
【００４６】 ベゾアールの定理から、「ａｂ＋ｂｑ＝１のような２つの整数が存在する」と
いうことが知られる。
いうことが知られる。
【００４７】 ｙ＝ｘe（ｍｏｄ ｎ）を計算するために、ｘp＝ｘ（ｍｏｄ ｐ）とｘq＝ｘ
（ｍｏｄ ｑ）とを計算することによって、各素因数を法とするｘの減少を開始
する。また、ｅp＝ｅ ｍｏｄ（ｐ−１）とｅq＝ｅ ｍｏｄ（ｑ−１）とを計算
することによって、（ｐ−１）と（ｑ−１）とを法とするｅを減少する（Guillo
u-Quisquaterのプロトコルにおいて、ｅは常にｐ−１およびｑ−１より小さく、
そして、ｅp＝ｅq＝１である）。
（ｍｏｄ ｑ）とを計算することによって、各素因数を法とするｘの減少を開始
する。また、ｅp＝ｅ ｍｏｄ（ｐ−１）とｅq＝ｅ ｍｏｄ（ｑ−１）とを計算
することによって、（ｐ−１）と（ｑ−１）とを法とするｅを減少する（Guillo
u-Quisquaterのプロトコルにおいて、ｅは常にｐ−１およびｑ−１より小さく、
そして、ｅp＝ｅq＝１である）。
【００４８】 そして、ｙp＝ｘp e p（ｍｏｄ ｐ）とｙq＝ｘq e q（ｍｏｄ ｑ）とを計算する
。ｐとｑとが同様のサイズのとき、これらの計算の各々は、ｅとｎとが同様のサ
イズのとき（第１の場合）の計算ｙ＝ｘe（ｍｏｄ ｎ）よりも約８倍高速であ
り、ｅのサイズがｐのサイズ以下であるとき（例えば、アルゴリズムにおける第
２の場合を参照）よりも４倍高速である。そして、２つの計算の組は、４倍高速
であるか、または、２倍高速である。
。ｐとｑとが同様のサイズのとき、これらの計算の各々は、ｅとｎとが同様のサ
イズのとき（第１の場合）の計算ｙ＝ｘe（ｍｏｄ ｎ）よりも約８倍高速であ
り、ｅのサイズがｐのサイズ以下であるとき（例えば、アルゴリズムにおける第
２の場合を参照）よりも４倍高速である。そして、２つの計算の組は、４倍高速
であるか、または、２倍高速である。
【００４９】 ｙは、更に、ｙpとｙqとから再構成されることができる。これは、式ｙ＝ｙp+ ａｐ（ｙq−ｙp）（ｍｏｄ ｎ）を使用して実行される。
【００５０】 総合的に考えると、チャイニーズ剰余の方法は、（同様のサイズであると仮定
される）素因数の数が２より大きくかつｋに等しいときに、第１の場合における
３から４の範囲の約数と第２の場合における１．５から２の範囲の約数とによる
計算の加速を導く。加速係数は、第１の場合はｋ2に近く、かつ、第２の場合は
ｋ近い。
される）素因数の数が２より大きくかつｋに等しいときに、第１の場合における
３から４の範囲の約数と第２の場合における１．５から２の範囲の約数とによる
計算の加速を導く。加速係数は、第１の場合はｋ2に近く、かつ、第２の場合は
ｋ近い。
【手続補正書】特許協力条約第３４条補正の翻訳文提出書
【提出日】平成１２年１０月２日（２０００．１０．２）
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】特許請求の範囲
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【数１】 と秘密鍵
【数２】 とを有し、 これらの鍵は、
【数３】 を法とする作業によって関連付けられ、 ここで、
【数４】 は、モジュラスと呼ばれる整数であり、 モジュラス
【数５】 は、プロバ（Ａ）に特有であり、 第２の実体は、公開鍵
【数６】 を知っており、 これらの実体は、ゼロ認識情報を交換しかつこの情報に基づいて暗号計算を実
行する手段を提供され、 いくつかの計算は、ｎを法として実行され、
行する手段を提供され、 いくつかの計算は、ｎを法として実行され、
【数７】 を法とする作業は、種類ｖ＝ｓ-t（ｍｏｄ ｎ）の作業であり、
【数８】 はパラメータである ことを特徴とする認証プロセス。
【数９】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しい１つの（いくつかの）
パラメータ（ｘ）を計算し、そして、オープニングと呼ばれる１つの（いくつか
の）の数
パラメータ（ｘ）を計算し、そして、オープニングと呼ばれる１つの（いくつか
の）の数
【数１０】 を計算し、オープニングは、この（これらの）パラメータとおそらくメッセージ
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバ（Ａ）が、この（
これらの）オープニングをベリファイヤ（Ｂ）へ送り、 ・ベリファイヤ実体（Ｂ）が、オープニング
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバ（Ａ）が、この（
これらの）オープニングをベリファイヤ（Ｂ）へ送り、 ・ベリファイヤ実体（Ｂ）が、オープニング
【数１１】 を受信し、かつ、「質問」と呼ばれる１つの数
【数１２】 をランダムに選択し、かつ、この質問をプロバ（Ａ）へ送り、 ・プロバ（Ａ）が、質問
【数１３】 を受信し、かつ、この質問
【数１４】 と秘密鍵
【数１５】 とを使用して１つの（いくつかの）計算を実行し、この（これらの）計算の結果
が１つの（いくつかの）回答
が１つの（いくつかの）回答
【数１６】 を生じ、かつ、プロバ（Ａ）が、この（これらの）回答をベリファイヤ（Ｂ）へ
送り、 ・ベリファイヤ（Ｂ）が、回答
送り、 ・ベリファイヤ（Ｂ）が、回答
【数１７】 を受信し、かつ、公開鍵
【数１８】 とモジュラス
【数１９】 とを使用して１つの計算を実行し、かつ、結果が受信されたオープニングに密接
であることを
であることを
【数２０】 を法とする計算を伴ってチェックする ことによって完了される。 ことを特徴とする請求項１記載のプロセス。
【数２１】 は、少なくても２つの素数（ｐとｑ）の積であり、 ｎを法とする計算は、「チャイニーズ剰余」方法に従って実行される ことを特徴とする請求項１から請求項４のいずれかに記載のプロセス。
【数２２】 と秘密鍵
【数２３】 とが提供される署名者（Ａ）に対して意図されたメッセージ署名プロセスであっ
て、 これらの鍵は、
て、 これらの鍵は、
【数２４】 を法とする計算を介して関連付けられ、 ここで、
【数２５】 は、モジュラスと呼ばれる整数であり、 該モジュラスは、署名者に特有であり、 前記プロセスは、署名されるべきメッセージＭの注目すべき関数であるオープ
ニング
ニング
【数２６】 を計算する手段を含み、かつ、秘密鍵の関数である数
【数２７】 を計算することができ、かつ、メッセージＭの署名である数
【数２８】 および
【数２９】 とメッセージＭとを送信でき、 ｎを法とする作業は、ｖ＝ｓ-t（ｍｏｄ ｎ）であり、 ｔはパラメータである ことを特徴とするメッセージ署名プロセス。
【数３０】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しいパラメータ
【数３１】 を計算し、かつ、パラメータ
【数３２】 と署名されるべきメッセージＭとの関数である数
【数３３】 を計算し、かつ、署名者の秘密鍵
【数３４】 を使用して数
【数３５】 を計算し、 前記数
【数３６】 は、数
【数３７】 と
【数３８】 との関数であり、 署名者は、数
【数３９】 と
【数４０】 とを署名として送信する ことを特徴とする請求項６記載の署名プロセス。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００２０
【補正方法】変更
【補正の内容】
【００２０】 フランス特許出願FR-A-2 752 122はこれらのプロトコルを楽天的に記述してい
るが、該特許出願は、いわゆる「予備計算を伴う」モードに続く離散対数法を含
むプロトコルに限定され、「規則正しく予定された再ロードを含む」という欠点
を有する。 Cryptology, Crypto 88 Proceegings, XP000090662, pp. 583-588において先
に公表された“zero-knowledge Authentication scheme with Secret Key Excha nge”とタイトルの付けられたJ. BRANDTらからの文献は、２人のユーザーの間に おける秘密鍵の交換を伴うゼロ認識認証スキームを記述している。該スキームで は、プロバは、該プロバ自身のモジュラスｎ＝ｐｑを計算し、かつ、タイプｍd
（ｍｏｄ ｎ）の作業を実行する。
るが、該特許出願は、いわゆる「予備計算を伴う」モードに続く離散対数法を含
むプロトコルに限定され、「規則正しく予定された再ロードを含む」という欠点
を有する。 Cryptology, Crypto 88 Proceegings, XP000090662, pp. 583-588において先
に公表された“zero-knowledge Authentication scheme with Secret Key Excha nge”とタイトルの付けられたJ. BRANDTらからの文献は、２人のユーザーの間に おける秘密鍵の交換を伴うゼロ認識認証スキームを記述している。該スキームで は、プロバは、該プロバ自身のモジュラスｎ＝ｐｑを計算し、かつ、タイプｍd
（ｍｏｄ ｎ）の作業を実行する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００２１
【補正方法】変更
【補正の内容】
【００２１】 本 発明は、因数分解を含むゼロ認識識別（またはメッセージ署名または認証）
プロトコルを使用するときに、プロバによって実行されるべき計算の数を減少す
ることを目的とする。特定の作業ｖ＝ｓ-t（ｍｏｄ ｎ）を使用するとき、ゲイ
ンは約数２または３に到達しやすい。
プロトコルを使用するときに、プロバによって実行されるべき計算の数を減少す
ることを目的とする。特定の作業ｖ＝ｓ-t（ｍｏｄ ｎ）を使用するとき、ゲイ
ンは約数２または３に到達しやすい。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】 本発明は、また、−詳細にはGUILLOU-QUISQUATERプロトコルと結合されたとき
に−、電子財布または次世代テレカードのようなアプリケーションに対して、低
価格の標準マイクロ回路カードにおいて具備される公開鍵を伴う識別（またはメ
ッセージ認証または署名）の高速な完了を可能にする。
に−、電子財布または次世代テレカードのようなアプリケーションに対して、低
価格の標準マイクロ回路カードにおいて具備される公開鍵を伴う識別（またはメ
ッセージ認証または署名）の高速な完了を可能にする。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００２３
【補正方法】変更
【補正の内容】
【００２３】 モジュラスｎは各個のパラメータであり（言い換えれば、各ユーザーは彼自身 のｎ値を有し）、この選択物は（好ましくは結合されてもよい）以下の２つの方 法で活用される。 １）第１に、現在使用される値よりも小さい（一般的には、１０００ビットよ
り小さく、かつ、例えば、７００ビットと８００ビットとの間の範囲にわたる）
ｎの長さを保持することによる。ｎの因数分解を解くことは関連するユーザーの
秘密鍵だけを処理しかつ他のユーザーの秘密鍵を処理する方法がないので、これ
は可能である。この修正は、ｎを法として実行される計算の継続期間を、単独で
４０％減少する。 ２）もし、ユーザーが該ユーザーのセキュリティデバイスのメモリ内にｎの素
因数を記憶しているならば、２つの素因数が存在するときに、彼は、ｎを法とす
る計算の継続期間を４０％更に減少するために、チャイニーズ剰余技術（Chines
e remainders technique）を使用してもよい。この減少は、いくつか（一般的に
は、３または４）の素因数を使用するときに増大される。
り小さく、かつ、例えば、７００ビットと８００ビットとの間の範囲にわたる）
ｎの長さを保持することによる。ｎの因数分解を解くことは関連するユーザーの
秘密鍵だけを処理しかつ他のユーザーの秘密鍵を処理する方法がないので、これ
は可能である。この修正は、ｎを法として実行される計算の継続期間を、単独で
４０％減少する。 ２）もし、ユーザーが該ユーザーのセキュリティデバイスのメモリ内にｎの素
因数を記憶しているならば、２つの素因数が存在するときに、彼は、ｎを法とす
る計算の継続期間を４０％更に減少するために、チャイニーズ剰余技術（Chines
e remainders technique）を使用してもよい。この減少は、いくつか（一般的に
は、３または４）の素因数を使用するときに増大される。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００２５
【補正方法】変更
【補正の内容】
【００２５】 正確には、本発明は、「プロバ」と呼ばれる第１の実体と「ベリファイヤ」と
呼ばれる第２の実体とを含む認証のプロセスに関し、第１の実体は、公開鍵
呼ばれる第２の実体とを含む認証のプロセスに関し、第１の実体は、公開鍵
【数４１】 と秘密鍵
【数４２】 とを有し、これらの鍵は、
【数４３】 を法とする計算によって関連付けられ、ここで、
【数４４】 は、プロバに特有のモジュラスと呼ばれる整数であり、第２の実体は、公開鍵
【数４５】 を知っており、これらの実体は、ゼロ認識コンテクストにおいて情報を交換しか
つこの情報に基づく暗号計算を実行する手段を提供され、いくつかの計算は、
つこの情報に基づく暗号計算を実行する手段を提供され、いくつかの計算は、
【数４６】 を法とするモードで実行され、該プロセスは、「ｎを法とする作業のモジュラス はｖ＝ｓ-t（ｍｏｄ ｎ）として表現され、ｔはパラメータである 」ということ
を特徴とする。
を特徴とする。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】 好ましい実現によると、ゼロ認識情報交換および暗号計算は、以下の通りであ
る。 ・プロバが、１とｎ−１との間の範囲にわたる１つの（いくつかの）整数
る。 ・プロバが、１とｎ−１との間の範囲にわたる１つの（いくつかの）整数
【数４７】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しい１つの（いくつかの）
パラメータ
パラメータ
【数４８】 を計算し、そして、オープニングと呼ばれる１つの（いくつかの）の数
【数４９】 を計算し、オープニングは、この（これらの）パラメータとおそらくメッセージ
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバが、この（これら
の）オープニングをベリファイヤへ送る。 ・ベリファイヤ実体が、オープニング
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバが、この（これら
の）オープニングをベリファイヤへ送る。 ・ベリファイヤ実体が、オープニング
【数５０】 を受信し、かつ、「質問」と呼ばれる１つの数
【数５１】 をランダムに選択し、かつ、この質問をプロバへ送る。 ・プロバが、質問
【数５２】 を受信し、かつ、この質問
【数５３】 と秘密鍵
【数５４】 とを使用して１つの（いくつかの）計算を実行し、この（これらの）計算の結果
が１つの（いくつかの）回答
が１つの（いくつかの）回答
【数５５】 を生じ、かつ、プロバが、この（これらの）回答をベリファイヤへ送る。 ・ベリファイヤが、回答
【数５６】 を受信し、かつ、公開鍵
【数５７】 とモジュラス
【数５８】 とを使用して１つの計算を実行し、かつ、「結果が、受信されたオープニングに
密接である」ということを
密接である」ということを
【数５９】 を法とする計算を伴ってチェックする。
Claims (7)
- 【請求項１】 「プロバ」（Ａ）と呼ばれる第１の実体と「ベリファイヤ」
（Ｂ）と呼ばれる第２の実体とを含む認証プロセスであって、 第１の実体は、公開鍵 【数１】 と秘密鍵 【数２】 とを有し、 これらの鍵は、 【数３】 を法とする作業によって関連付けられ、 ここで、 【数４】 は、モジュラスと呼ばれる整数であり、 第２の実体は、公開鍵 【数５】 を知っており、 これらの実体は、ゼロ認識情報を交換しかつこの情報に基づいて暗号計算を実
行する手段を提供され、 いくつかの計算は、 【数６】 を法として実行され、 モジュラス 【数７】 は、プロバ（Ａ）に特有であり、 プロバ（Ａ）は、このモジュラスを、ベリファイヤ（Ｂ）へ通信する ことを特徴とする認証プロセス。 - 【請求項２】 【数８】 を法とする計算は、タイプｖ＝ｓ-t（ｍｏｄ ｎ）の計算であり、 ｔはパラメータであり、 情報交換は、ゼロ認識タイプの交換であり、 暗号計算は、 ・プロバ（Ａ）が、１とｎ−１との間の範囲にわたる１つの（いくつかの）整
数 【数９】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しい１つの（いくつかの）
パラメータ（ｘ）を計算し、そして、オープニングと呼ばれる１つの（いくつか
の）の数 【数１０】 を計算し、オープニングは、この（これらの）パラメータとおそらくメッセージ
（Ｍ）との１つの（いくつかの）の関数であり、かつ、プロバ（Ａ）が、この（
これらの）オープニングをベリファイヤ（Ｂ）へ送り、 ・ベリファイヤ実体（Ｂ）が、オープニング 【数１１】 を受信し、かつ、「質問」と呼ばれる１つの数ｅをランダムに選択し、かつ、こ
の質問をプロバ（Ａ）へ送り、 ・プロバ（Ａ）が、質問 【数１２】 を受信し、かつ、この質問 【数１３】 と秘密鍵 【数１４】 とを使用して１つの（いくつかの）計算を実行し、この（これらの）計算の結果
が１つの（いくつかの）回答 【数１５】 を生じ、かつ、プロバ（Ａ）が、この（これらの）回答をベリファイヤ（Ｂ）へ
送り、 ・ベリファイヤ（Ｂ）が、回答 【数１６】 を受信し、かつ、公開鍵 【数１７】 とモジュラス 【数１８】 とを使用して１つの計算を実行し、かつ、結果が受信されたオープニングに密接
であることを 【数１９】 を法とする計算を伴ってチェックする ことによって完了される。 ことを特徴とする請求項１記載のプロセス。 - 【請求項３】 数ｎのサイズは、ビットの数で表現され、１０００より小さ
い ことを特徴とする請求項２記載のプロセス。 - 【請求項４】 数ｎのサイズは、７００と８００との間である ことを特徴とする請求項３記載のプロセス。
- 【請求項５】 【数２０】 は、少なくても２つの素数（ｐとｑ）の積であり、 ｎを法とする計算は、「チャイニーズ剰余」と呼ばれる方法に従って実行され
る ことを特徴とする請求項１から請求項４のいずれかに記載のプロセス。 - 【請求項６】 公開鍵 【数２１】 と秘密鍵 【数２２】 とが提供される署名者（Ａ）に対して意図されたメッセージ署名プロセスであっ
て、 これらの鍵は、ｎを法とする計算を介して関連付けられ、 ここで、 【数２３】 は、モジュラスと呼ばれる整数であり、 前記プロセスは、署名されるべきメッセージＭの注目すべき関数であるオープ
ニング 【数２４】 を計算する手段を含み、かつ、秘密鍵の関数である数 【数２５】 を計算することができ、かつ、メッセージの署名である数 【数２６】 および 【数２７】 を送信でき、かつ、メッセージＭを送信でき、 モジュラスｎは、署名者に特有である ことを特徴とするメッセージ署名プロセス。 - 【請求項７】 ｎを法とする作業は、式ｖ＝ｓ-t（ｍｏｄ ｎ）であり、 署名者は、１とｎ−１との間の整数 【数２８】 をランダムに選択し、かつ、ｒt（ｍｏｄ ｎ）に等しいパラメータ 【数２９】 を計算し、かつ、パラメータ 【数３０】 と署名されるべきメッセージＭとの関数である数 【数３１】 を計算し、かつ、署名者の秘密鍵 【数３２】 を使用して数 【数３３】 を計算し、 前記数 【数３４】 は、数 【数３５】 と 【数３６】 との関数であり、 署名者は、数 【数３７】 と 【数３８】 とを署名として送信する ことを特徴とする請求項６記載の署名プロセス。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR99/00887 | 1999-01-27 | ||
| FR9900887A FR2788909B1 (fr) | 1999-01-27 | 1999-01-27 | Procede d'authentification ou de signature a nombre de calculs reduit |
| PCT/FR2000/000174 WO2000045549A1 (fr) | 1999-01-27 | 2000-01-26 | Procede d'authentification ou de signature a nombre de calculs reduit |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002536875A true JP2002536875A (ja) | 2002-10-29 |
| JP4945026B2 JP4945026B2 (ja) | 2012-06-06 |
Family
ID=9541270
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000596695A Expired - Lifetime JP4945026B2 (ja) | 1999-01-27 | 2000-01-26 | 減少した計算組を伴う認証または署名プロセス |
Country Status (9)
| Country | Link |
|---|---|
| US (2) | US7184547B1 (ja) |
| EP (1) | EP1145483B1 (ja) |
| JP (1) | JP4945026B2 (ja) |
| AT (1) | ATE226773T1 (ja) |
| CA (1) | CA2360953C (ja) |
| DE (1) | DE60000649T2 (ja) |
| ES (1) | ES2184691T3 (ja) |
| FR (1) | FR2788909B1 (ja) |
| WO (1) | WO2000045549A1 (ja) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7006999B1 (en) | 1999-05-13 | 2006-02-28 | Xerox Corporation | Method for enabling privacy and trust in electronic communities |
| US7840806B2 (en) * | 2002-10-16 | 2010-11-23 | Enterprise Information Management, Inc. | System and method of non-centralized zero knowledge authentication for a computer network |
| US8239917B2 (en) * | 2002-10-16 | 2012-08-07 | Enterprise Information Management, Inc. | Systems and methods for enterprise security with collaborative peer to peer architecture |
| US6883706B2 (en) | 2003-05-05 | 2005-04-26 | International Business Machines Corporation | Point-of-sale bill authentication |
| US7797192B2 (en) | 2003-05-06 | 2010-09-14 | International Business Machines Corporation | Point-of-sale electronic receipt generation |
| US7245718B2 (en) * | 2003-08-26 | 2007-07-17 | Mitsubishi Electric Research Laboratories, Inc. | Low bandwidth zero knowledge authentication protocol and device |
| US7467401B2 (en) * | 2004-08-12 | 2008-12-16 | Avatier Corporation | User authentication without prior user enrollment |
| US20080080707A1 (en) * | 2006-09-29 | 2008-04-03 | Shay Gueron | RSA signature authentication with reduced computational burden |
| US8615649B2 (en) * | 2010-09-21 | 2013-12-24 | International Business Machines Corporation | Use of a private key to encrypt and decrypt a message |
| CN105721166B (zh) * | 2016-03-03 | 2018-09-21 | 武汉大学 | 一种量子计算安全的身份识别协议建立方法 |
| EP3613169B1 (en) * | 2017-06-14 | 2021-03-17 | Thales Dis France SA | Method for mutual symmetric authentication between a first application and a second application |
| DE102022202824A1 (de) | 2022-03-23 | 2023-01-19 | Vitesco Technologies GmbH | Verfahren zum Ermitteln einer Manipulation von Übertragungs-Messsignalen einer Sensoreinheit eines Systems und System |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08149124A (ja) * | 1994-03-07 | 1996-06-07 | Nippon Telegr & Teleph Corp <Ntt> | ゼロ知識証明プロトコルを利用した情報配送方法およびシステム |
| WO1998051038A1 (fr) * | 1997-05-07 | 1998-11-12 | Gemplus S.C.A. | Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas |
| JPH118616A (ja) * | 1997-06-17 | 1999-01-12 | Dainippon Printing Co Ltd | 故障利用攻撃対応ｉｃカード |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5140634A (en) * | 1987-09-07 | 1992-08-18 | U.S Philips Corporation | Method and apparatus for authenticating accreditations and for authenticating and signing messages |
| US5218637A (en) * | 1987-09-07 | 1993-06-08 | L'etat Francais Represente Par Le Ministre Des Postes, Des Telecommunications Et De L'espace | Method of transferring a secret, by the exchange of two certificates between two microcomputers which establish reciprocal authorization |
| US4933970A (en) * | 1988-01-19 | 1990-06-12 | Yeda Research And Development Company Limited | Variants of the fiat-shamir identification and signature scheme |
| EP0374225B1 (en) * | 1988-05-19 | 1993-01-20 | Ncr International Inc. | Method and device for authentication |
| US4964164A (en) * | 1989-08-07 | 1990-10-16 | Algorithmic Research, Ltd. | RSA computation method for efficient batch processing |
| FR2716058B1 (fr) * | 1994-02-04 | 1996-04-12 | France Telecom | Procédé de signature numérique et d'authentification de messages utilisant un logarithme discret. |
| FR2752122B1 (fr) * | 1994-07-28 | 1998-11-27 | France Telecom | Procede d'authentification a nombre reduit de bits transmis |
| DE19513896A1 (de) * | 1995-04-12 | 1996-10-17 | Deutsche Telekom Ag | Verfahren zum Signieren einer Nachricht |
| FI109505B (fi) | 1997-03-24 | 2002-08-15 | Fd Finanssidata Oy | Pankkipalvelujen käyttö digitaalisessa solukkoradiojärjestelmässä |
-
1999
- 1999-01-27 FR FR9900887A patent/FR2788909B1/fr not_active Expired - Lifetime
-
2000
- 2000-01-26 ES ES00900666T patent/ES2184691T3/es not_active Expired - Lifetime
- 2000-01-26 EP EP00900666A patent/EP1145483B1/fr not_active Expired - Lifetime
- 2000-01-26 AT AT00900666T patent/ATE226773T1/de not_active IP Right Cessation
- 2000-01-26 CA CA002360953A patent/CA2360953C/fr not_active Expired - Fee Related
- 2000-01-26 DE DE60000649T patent/DE60000649T2/de not_active Expired - Lifetime
- 2000-01-26 US US09/889,557 patent/US7184547B1/en not_active Ceased
- 2000-01-26 JP JP2000596695A patent/JP4945026B2/ja not_active Expired - Lifetime
- 2000-01-26 US US12/393,959 patent/USRE42517E1/en not_active Expired - Fee Related
- 2000-01-26 WO PCT/FR2000/000174 patent/WO2000045549A1/fr active IP Right Grant
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08149124A (ja) * | 1994-03-07 | 1996-06-07 | Nippon Telegr & Teleph Corp <Ntt> | ゼロ知識証明プロトコルを利用した情報配送方法およびシステム |
| WO1998051038A1 (fr) * | 1997-05-07 | 1998-11-12 | Gemplus S.C.A. | Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas |
| JPH118616A (ja) * | 1997-06-17 | 1999-01-12 | Dainippon Printing Co Ltd | 故障利用攻撃対応ｉｃカード |
Also Published As
| Publication number | Publication date |
|---|---|
| DE60000649D1 (de) | 2002-11-28 |
| WO2000045549A1 (fr) | 2000-08-03 |
| DE60000649T2 (de) | 2003-08-07 |
| EP1145483A1 (fr) | 2001-10-17 |
| CA2360953A1 (fr) | 2000-08-03 |
| CA2360953C (fr) | 2007-08-14 |
| ES2184691T3 (es) | 2003-04-16 |
| US7184547B1 (en) | 2007-02-27 |
| ATE226773T1 (de) | 2002-11-15 |
| FR2788909A1 (fr) | 2000-07-28 |
| FR2788909B1 (fr) | 2004-02-20 |
| USRE42517E1 (en) | 2011-07-05 |
| EP1145483B1 (fr) | 2002-10-23 |
| JP4945026B2 (ja) | 2012-06-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Hwang et al. | A practical (t, n) threshold proxy signature scheme based on the RSA cryptosystem | |
| Eslami et al. | A new untraceable off-line electronic cash system | |
| EP0503119B1 (en) | Public key cryptographic system using elliptic curves over rings | |
| Schnorr | Efficient signature generation by smart cards | |
| Brickell et al. | An interactive identification scheme based on discrete logarithms and factoring | |
| US7716484B1 (en) | System and method for increasing the security of encrypted secrets and authentication | |
| US6446052B1 (en) | Digital coin tracing using trustee tokens | |
| EP1261903B2 (en) | Method of authenticating users of software | |
| US20070143608A1 (en) | Malleable pseudonym certificate system and method | |
| US7228418B1 (en) | Authentication and signature method for messages using reduced size of binary units of information content and corresponding systems | |
| JP4945026B2 (ja) | 減少した計算組を伴う認証または署名プロセス | |
| US7248692B2 (en) | Method of and apparatus for determining a key pair and for generating RSA keys | |
| Daniel et al. | A forward secure signcryption scheme with ciphertext authentication for e-payment systems using conic curve cryptography | |
| Breuer et al. | Cryptocurrencies with security policies and two-factor authentication | |
| KR100971038B1 (ko) | 다수의 엔티티와 그에 따른 장치에 부하를 분배하는암호화 방법 | |
| Muleravicius et al. | Security, trustworthiness and effectivity analysis of an offline E-cash system with observers | |
| Paar et al. | Digital Signatures | |
| Kwon | Virtual software tokens-a practical way to secure PKI roaming | |
| JPH11234263A (ja) | 相互認証方法および装置 | |
| US7760884B2 (en) | Cryptographic method and devices for facilitating calculations during transactions | |
| Fan et al. | A user efficient fair blind signature scheme for untraceable electronic cash | |
| Fan | Improved low-computation partially blind signatures | |
| Fan | Ownership-attached unblinding of blind signatures for untraceable electronic cash | |
| Ezziri et al. | A zero-knowledge identification scheme based on the discrete logarithm problem and elliptic curves | |
| Juang et al. | A VERIGIABLE MULTI-AUTHORITIES SECRET ELECTION ALLOWING ABSTAINING FROM VOTING |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20061214 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20090902 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20090902 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20100423 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100716 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20100716 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20100827 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110224 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110518 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20110613 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110727 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20110913 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111115 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120206 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120227 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120305 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4945026 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150309 Year of fee payment: 3 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |