JP2003273864A - 資格認証方法 - Google Patents

Abstract

(57)【要約】 【課題】 資格認証方法において、ユーザ側の装置での
処理負担の大きい一方向性変換関数の適用回数は５回で
高速な処理が困難であった。 【解決手段】 被認証装置がパスワード情報「Ｓ」と乱
数Ｎ［ｎ］に一方向性変換関数Ｘを施して今回マスク情
報「Ａ」を算出し、発生させた乱数Ｎ［ｎ＋１］と
「Ｓ」に一方向性変換関数Ｘを施して次回マスク情報
「Ｃ」を生成し、「Ｃ」に「Ｓ」を用いない一方向性変
換関数Ｆを施してもうひとつの次回マスク情報「Ｄ」を
算出し、今回マスク情報のいずれか等に定数を融合させ
たデータをそれぞれの今回マスク情報又は次回マスク情
報とし、次回マスク情報と今回マスク情報の排他的論理
和をとった二つのデータ「α」「β」送付し、認証装置
が受信した「α」「β」から次回マスク情報を取り出
し、次回マスク情報同士あるいは次回マスク情報と今回
マスク情報の関係を検証する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、情報通信システ
ム、あるいは鍵の開閉システム等において、通信相手や
ユーザの利用資格を認証する方法に関するものである。

【０００２】

【従来の技術】従来、被認証者（ユーザ）の装置が認証
者（センタ）の装置に認証を受ける手順であって、ユー
ザが入力するパスワードの正当性をセンタ側で認証する
機能を有する方法として、ＳＡＳ認証方式がある。この
ＳＡＳ認証方式は、「ワンタイムパスワード認証方式
ＳＡＳ の安全性に関する検討」（電子情報通信学会技
術研究報告書，ＯＦＳ２００１−４８，Ｎｏ． ４３
５，ｐｐ． ５３−５８，２００１ ）に記載されてい
る。以下、このＳＡＳ認証方式について説明する。

【０００３】なお、従来技術の説明に用いる記法を以下
に示す。

【０００４】「←」は、右辺の左辺への代入を示す。
「Ｓ」は、被認証者が秘密に保持しているパスワードを
示す。「ＩＤ」は、被認証者側の装置（以下、適宜、
「被認証者」と言う。）を識別する情報である被認証者
識別子を示す。「ＸＯＲ」は、排他的論理和の演算を示
す。「ｎ」は、認証回数を示す。Ｎ［ｎ］のＮは、乱数
を示す。ｎは１以上の整数で、乱数を識別するために用
いる。「Ｅ」は、パスワードＳを用いない一方向性変換
関数を示す。なお、一方向性変換関数とは「ｚ＝Ｅ
（ｘ，ｙ）」とするとき，ｚとｘからｙを算出すること
が計算量的に困難な関数を言う。「Ｅ［１］［ｎ］」
は、パスワードＳと乱数Ｎ［ｎ］を用いる一方向性変換
関数で、「Ｅ［１］［ｎ］＝Ｅ（ＩＤ，Ｓ ＸＯＲ Ｎ
［ｎ］）」により導き出せる。Ｅ［ｍ］［ｎ］（「ｍ」
は２以上の整数）は、乱数Ｎ［ｎ］に対応した一方向性
変換関数で、「Ｅ［ｍ］［ｎ］＝Ｅ（ＩＤ，Ｅ［ｍ−
１］［ｎ］）」により導き出せる。

【０００５】ＳＡＳ方式による認証の手順のうちの初期
登録時の手順について、図８のフロー図を用いて説明す
る。

【０００６】図８によれば、初期登録時、ユーザ（被認
証者）側の装置において、以下の処理を行う。まず、ユ
ーザが秘密に保持しているパスワードＳ，乱数Ｎ
［１］、ユーザ識別子ＩＤを用いて、「ａ←Ｅ［１］
［１］＝Ｅ（ＩＤ，Ｓ ＸＯＲ Ｎ［１］）」を演算し
て、「ａ」を導き出す。次に、「ｂ←Ｅ［２］［１］＝
Ｅ（ＩＤ，ａ）」により、「ｂ」を導き出す。「ｂ」
は、次回の認証に用いる認証情報である。

【０００７】次に、ユーザ（被認証者）側の装置は、ユ
ーザ識別子「ＩＤ」とともに、安全な手段でセンタに初
回の認証に用いる認証情報「ｂ」を、センタ（認証者）
側の装置に送付する。そして、ユーザ（被認証者）側の
装置において、乱数Ｎ［１］は保存しておく。

【０００８】次に、センタ側の装置では、受け取った初
回の認証に用いる認証情報「ｂ」をユーザ識別子「Ｉ
Ｄ」と共に登録（記録）しておく。

【０００９】次に、図９を用いて、ＳＡＳ方式による認
証の手順のうちの認証時の手順について説明する。ここ
で説明する認証時手順は、初回（ｎ＝１）以降で、ｎ回
目の認証時の手順である。まず、ユーザ側の装置におい
て、保存している乱数Ｎ［ｎ］から、「ａ←Ｅ［１］
［ｎ］＝Ｅ（ＩＤ，Ｓ ＸＯＲ Ｎ［ｎ］）」の演算を
行い、次に、「ｂ←Ｅ［２］［ｎ］＝Ｅ（ＩＤ，ａ）」
の演算を行う。そして、さらに新しい乱数Ｎ［ｎ＋１］
を発生させ、当該乱数Ｎ［ｎ＋１］を保存する。そし
て、乱数Ｎ［ｎ＋１］を用いて、以下の３つの演算を行
う。「ｚ←Ｅ［１］［ｎ＋１］＝Ｅ（ＩＤ，Ｓ ＸＯ
Ｒ Ｎ［ｎ＋１］）」 「ｃ←Ｅ［２］［ｎ＋１］＝
Ｅ（ＩＤ，ｚ）」 「ｄ←Ｅ［３］［ｎ＋１］＝Ｅ
（ＩＤ，ｃ）」

【００１０】以上の演算により、算出した「ａ」、
「ｂ」、「ｃ」、「ｄ」を用いて、「α←ａ ＸＯＲ
ｄ」「β←ｃ ＸＯＲ ｂ」の演算を行い、「α」と
「β」を算出する。そして、ユーザ側の装置は、「α」
および「β」を「ＩＤ」と共にセンタ側の装置に送付す
る。

【００１１】この時、「ｂ」は今回認証情報、「ａ」は
今回認証情報「ｂ」の一方向性変換の元の情報、「ｃ」
は次回認証情報、「ｄ」は次回認証情報「ｃ」を一方向
性変換したデータである。

【００１２】次に、センタ側の装置において、「α」と
「β」と「ＩＤ」を受け取る。そして、センタ側の装置
は、受け取った「α」と「β」に対して、以下の３つの
演算を行う。「ｃ←β ＸＯＲ ｂ」「ｄ←Ｅ（Ｉ
Ｄ，ｃ）」 「ａ←α ＸＯＲ ｄ」

【００１３】以上の演算により、センタ側の装置は、
「ａ」を算出し、「Ｅ（ＩＤ，ａ）」と，「ＩＤ」に対
応して登録されている今回認証情報「ｂ」を比較し，一
致すれば被認証者の資格を認証し、次回の認証に用いる
認証情報として次回認証情報「ｃ」を新しく「ｂ」とし
て登録する。

【００１４】以上をまとめると、以下のようなことが言
える。「ＳＡＳ認証方式」では、今回認証情報「ｂ」を
事前に送付しておき、今回認証情報「ｂ」の一方向性変
換の元のデータ「ａ」を認証時に送付し、このデータ
「ａ」に同じ一方向性変換を適用した結果が今回認証情
報「ｂ」に等しいかどうかを判断することにより、被認
証者の資格を認証することを原理としている。

【００１５】また、これら今回認証情報「ｂ」の一方向
性変換の元のデータ「ａ」と次回認証情報「ｃ」を安全
に送付するために、次回認証情報「ｃ」には今回認証情
報「ｂ」を、また、「ｂ」の一方向性変換の元のデータ
「ａ」には次回認証情報「ｃ」に一方向性変換を適用し
た情報「ｄ」をそれぞれ排他的論理和でマスクして送付
することにより、送付途中のデータから今回認証情報
「ｂ」、「ｂ」の一方向性変換の元のデータ「ａ」、次
回認証情報「ｃ」が第三者に取得されることを防いでい
る。

【００１６】

【発明が解決しようとする課題】しかし、従来の「ＳＡ
Ｓ認証方式」においては，ユーザ側の装置での一方向性
変換関数の適用回数は５回で、かつ保存しておくデータ
は乱数１個分であるが、処理負担の大きい一方向性変換
関数の適用回数は１回でも少ない方がよい。特に、ＰＤ
Ａや携帯電話、ＩＣカード，通信プロトコル等への適用
を考えた場合、高速な処理が要求されるのでなおさらで
ある。

【００１７】さらに，「ＳＡＳ認証方式」においては、
被認証者側の装置において，認証者による認証が成功し
たことを確認するかあるいは被認証者が認証者を相互に
認証する手段がないため，通信途中で通信がとぎれた
り、何らかの原因で同期がずれたりした場合に，認証を
失敗することが考えられる。

【００１８】

【課題を解決するための手段】そこで、本発明の資格認
証方法は、被認証側の装置である第一情報処理装置と認
証側の装置である第二情報処理装置で行う資格の認証を
受ける資格認証方法であって、ｎを認証回数とすると
き、初期登録（ｎ＝０）を行う初期登録ステップと、初
回（ｎ＝１）以降でｎ回目の認証時の処理である認証ス
テップを具備し、初期登録ステップは、以下のステップ
を具備する。つまり、初期登録ステップは、第一情報処
理装置において、乱数Ｎ［１］を生成するステップと、
乱数Ｎ［１］を保存するステップと、識別情報「ＩＤ」
対応に規定するパスワード情報「Ｓ」と乱数Ｎ［１］に
一方向性変換関数Ｘを施して初回マスク情報「Ａ」を算
出するステップと、保持している第一情報処理装置を識
別する識別情報「ＩＤ」と前記算出した初回マスク情報
「Ａ」をと第二情報処理装置に送信するステップを具備
し、第二情報処理装置において、初回マスク情報「Ａ」
と識別情報「ＩＤ」を受信するステップと、受信した初
回マスク情報「Ａ」と識別情報「ＩＤ」を登録するステ
ップを具備する。認証ステップは、以下のステップを具
備する。つまり、認証ステップは、第一情報処理装置に
おいて、保持しているパスワード情報「Ｓ」と保存して
いる乱数Ｎ［ｎ］に一方向性変換関数Ｘを施して今回マ
スク情報「Ａ」を算出するステップと、乱数Ｎ［Ｎ＋
１］を発生するステップと、乱数Ｎ［Ｎ＋１］を保存す
るステップと、パスワード情報「Ｓ」と乱数Ｎ［Ｎ＋
１］に一方向性変換関数Ｘを施して，今回の認証および
次回送信時のマスクに用いる次回マスク情報「Ｃ」を生
成するステップと、今回マスク情報「Ａ」にパスワード
情報「Ｓ」を用いない一方向性変換関数Ｆを施して得ら
れるもうひとつの今回マスク情報「Ｂ」を算出する第一
演算、または、次回マスク情報「Ｃ」にパスワード情報
「Ｓ」を用いない一方向性変換関数Ｆを施して得られる
もうひとつの次回マスク情報「Ｄ」を算出する第二演算
のどちらかの演算を行うステップと、今回マスク情報の
いずれか、または次回マスク情報のいずれかに、ある定
数を融合させたデータを新しくそれぞれの今回マスク情
報あるいは次回マスク情報にし、次回マスク情報と今回
マスク情報の排他的論理和をとったふたつのデータ
「α」と「β」を前記識別情報「ＩＤ」とともに第二情
報処理装置に送付するステップと、第二情報処理装置に
おいて、「α」、前記「β」、および前記識別情報「Ｉ
Ｄ」を受信するステップと、受信したデータ「α」と
「β」から今回マスク情報を用いて次回マスク情報を取
り出し、次回マスク情報同士あるいは次回マスク情報と
今回マスク情報の関係を検証することにより第一情報処
理装置の資格を認証するステップと、新しく次回マスク
情報「Ｃ」を今回マスク情報「Ａ」として識別情報「Ｉ
Ｄ」に対応付けて登録するステップを具備する。かか
る、資格認証方法により、被認証者側および認証者側の
処理を大幅に軽減できる。

【００１９】上記資格認証方法によれば、原理的に次回
マスク情報「Ｃ」を今回マスク情報「Ａ」でマスクする
データと、同じく今回マスク情報「Ａ」で次回マスク情
報「Ｃ」の一方向性変換であるデータ「Ｄ」をマスクす
るデータの二つを送付するか、あるいは、次回マスク情
報「Ｃ」を今回マスク情報「Ａ」に一方向性変換を適用
したデータでマスクしたデータと、同じく次回マスク情
報「Ｃ」を今回マスク情報「Ａ」でマスクしたデータの
二つを送付することにより、従来技術の「ＳＡＳ認証方
式」と同様、認証に用いる今回マスク情報「Ａ」と次回
マスク情報「Ｃ」の第三者への漏洩を防いだ上で、今回
マスク情報「Ａ」によりマスクされて送付される次回マ
スク情報「Ｃ」と、今回マスク情報「Ａ」に一方向性変
換を適用したデータでマスクされる次回マスク情報
「Ｃ」が等しいかどうかを検証することによって、被認
証者の資格を認証するようにしている。

【００２０】さらに、本発明の認証方法では、次回マス
ク情報あるいは今回マスク情報に、定数、あるいは次回
マスク情報には今回マスク情報を、また今回マスク情報
には次回マスク情報をそれぞれ融合することで、一度認
証に用いた認証情報の再利用による不正行為を無効にす
るようにしている。ここで「融合する」とは、２以上の
データを加算したり、減算したり、ｂｉｔをずらしたり
する各種演算を行う、ことを言う。

【００２１】これらにより，今回マスク情報「Ａ」およ
び次回マスク情報「Ｃ」の、それぞれの一方向性変換の
元のデータを用意することが不要になり、処理負荷の大
きい一方向性変換の適用回数を、「ＳＡＳ認証方式」の
５回に対して、３回にすることができる。つまり、従来
技術と比べて、２回も一方向性変換の適用回数を減らす
ことができる。これは、認証の処理速度を約４０％軽減
できることを意味する。

【００２２】また、毎回の認証時に個別に保管している
乱数から今回マスク情報「Ａ」を、また、新しく発生さ
せた乱数から次回マスク情報「Ｃ」を生成する方法に加
え、本発明の認証方法では、各回の認証時に、今回マス
ク情報「Ａ」を乱数として用い次回マスク情報「Ｃ」の
生成を行なうことにより、乱数発生機構を不要にするこ
とができる。一般に乱数発生には一方向性変換と同様の
処理負荷がかかることから、これを不要にすることで処
理をさらに軽減することができる。

【００２３】さらに、認証者側の装置において、被認証
者側の装置から送付されてきた情報によって被認証者の
認証が完了した後、認証者側の装置から被認証者側の装
置へ、今回認証に用いた情報を加工して生成した確認情
報を送付することによって、被認証者側において、認証
者による認証が成功したことを確認するかあるいは被認
証者が認証者を相互に認証することを可能にする。

【００２４】

【発明の実施の形態】以下、被認証者側の第一情報処理
装置と、認証者側の第二情報処理装置を有する情報処理
システムおよびそのプログラム等の実施形態について図
面を参照して説明する。なお、実施の形態において同じ
符号を付した構成要素は同様の動作を行うので、再度の
説明を省略する場合がある。

【００２５】また、実施の形態において、以下の記法を
用いる。

【００２６】「←」は、右辺の左辺への代入を示す。
「Ｓ」は、被認証者側の第一情報処理装置が秘密に保持
しているパスワードを示す。「ＩＤ」は、被認証者側の
第一情報処理装置を識別する情報である被認証者識別子
を示す。「ＸＯＲ」は、排他的論理和の演算を示す。
「ｎ」は、認証回数を示す。Ｎ［ｎ］のＮは、乱数を示
す。Ｎ［ｎ］のｎは１以上の整数で、乱数を識別するた
めに用いる。「Ｆ」、「Ｈ」は、パスワードＳを用いな
い一方向性変換関数を示す。なお、一方向性変換関数と
は「ｚ＝Ｆ（ｘ，ｙ）」あるいは「ｚ＝Ｈ（ｘ，ｙ）」
とするとき，ｚとｘからｙを算出することが計算量的に
困難な関数、もしくはｚとｘからｙを算出することがで
きない関数を言う。「Ｘ」は、パスワードＳと乱数Ｎ
［ｎ］を用いる一方向性変換関数であり、「Ｘ［ｎ］＝
Ｘ（ＩＤ，Ｓ ＸＯＲ Ｎ［ｎ］）」のように、「Ｘ
［ｎ］」を算出するために用いる。

【００２７】（実施の形態１）

【００２８】本実施の形態における、被認証者（ユー
ザ）側の第一情報処理装置と認証者（センタ）の第二情
報処理装置を有する情報処理システムの構成を示すブロ
ック図を図１に示す。

【００２９】情報処理システムは、第一情報処理装置１
１と第二情報処理装置１２を有する。

【００３０】第一情報処理装置１１は、ユーザ識別子格
納部１１０１、パスワード格納部１１０２、第一演算部
１１０３、第一送信部１１０４、第一受信部１１０５を
有する。

【００３１】ユーザ識別子格納部１１０１は、ユーザま
たは第一情報処理装置を識別子するユーザ識別子（以
下、ユーザ識別子を記号で、適宜「ＩＤ」と言う。）を
格納している。このユーザ識別子は、認証処理の都度、
ユーザに入力されるものであっても良いし、第一情報処
理装置が予め格納しているＩＤを、認証処理の際に利用
するものであっても良い。ユーザ識別子格納部１１０１
は、不揮発性または揮発性の記録媒体で実現され得る。

【００３２】パスワード格納部１１０２は、被認証者
（ユーザ）を認証するためのパスワード（以下、パスワ
ードを、適宜「Ｓ」と言う。）を格納している。パスワ
ード「Ｓ」は、認証処理の都度、ユーザに入力されるも
のであっても良いし、第一情報処理装置が予め格納して
いる「Ｓ」を、認証処理の際に利用するものであっても
良い。パスワード格納部１１０２は、不揮発性または揮
発性の記録媒体で実現され得る。

【００３３】ユーザ識別子格納部１１０１、パスワード
格納部１１０２は、通常、一の記録媒体で実現され得る
が、異なる記録媒体で実現されても良い。

【００３４】第一演算部１１０３は、一方向性変換（一
方向性変換関数を用いた演算）や、乱数の発生や、排他
的論理和の演算等の演算を行う。第一演算部１１０３
は、通常、ＣＰＵやメモリ等から実現され得る。第一演
算部１１０３が演算を行うための関数や処理手順は、通
常、ソフトウェアで実現され、当該ソフトウェアはＲＯ
Ｍ等の記録媒体に記録されている。但し、ハードウェア
（専用回路）で実現しても良い。

【００３５】第一送信部１１０４は、第一演算部１１０
３の演算結果等を第二情報処理装置１２に送信する。第
一送信部１１０４は、無線または有線の通信手段また
は、放送手段で実現され得る。

【００３６】第一受信部１１０５は、第二情報処理装置
１２からデータを受信する。第一受信部１１０５は、無
線または有線の通信手段または、放送を受信する手段
（チューナーおよびソフトウェアドライバ等）で実現さ
れ得る。

【００３７】なお、第一送信部１１０４と第一受信部１
１０５は、通常、一の手段で実現されるが、異なる手段
で実現されても良い。

【００３８】第二情報処理装置１２は、第二受信部１２
０１、情報記録部１２０２、第二演算部１２０３、認証
部１２０４、第二送信部１２０５を有する。

【００３９】第二受信部１２０１は、第一情報処理装置
１１からデータを受信する。第二受信部１２０１は、通
常、無線または有線の通信手段で実現され得るが、放送
を受信する手段を排除するものではない。

【００４０】情報記録部１２０２は、第二受信部１２０
１が受信したデータの全部また一部または、第二演算部
１２０３の演算結果等を記録する。情報記録部１２０２
は、通常、ソフトウェアで実現され得るが、ハード（専
用回路）で実現しても良い。情報記録部１２０２の情報
の記録先は、第二情報処理装置１２に内蔵されている記
録媒体でも、外付けの記録媒体でも良い。なお、記録媒
体は、不揮発性の記録媒体でも、揮発性の記録媒体でも
良い。

【００４１】第二演算部１２０３は、一方向変換や、排
他的論理和などの演算を行う。第二演算部１２０３は、
通常、ＣＰＵ、メモリ、およびソフトウェア等から実現
され得る。つまり、一方向性関数の演算式や、各種演算
のアルゴリズムは、通常、ソフトウェアで実現され、当
該ソフトウェアは、第二演算部１２０３のメモリ（ＲＯ
Ｍ等）に格納されている。

【００４２】認証部１２０４は、第二演算部１２０３の
演算結果等に基づいて、認証を行う。鍵側認証部５２０
４は、通常、ソフトウェアで実現され得るが、ハードウ
ェア（専用回路）で実現しても良い。

【００４３】第二送信部１２０５は、第二情報処理装置
１２から第一情報処理装置１１に、第二演算部１２０３
の演算結果の情報を送信する。第二送信部１２０５は、
無線または有線の通信手段、または放送手段で実現され
得る。

【００４４】以下、被認証者（ユーザ）側の第一情報処
理装置１１が認証者（センタ）側の第二情報処理装置１
２に認証を受ける手順を、図２、および図３を用いて説
明する。まず、図２は、被認証者（ユーザ）の初期登録
の手順を説明するフローである。

【００４５】まず、ユーザ側の第一情報処理装置１１に
おいて、予めパスワード「Ｓ」とユーザ識別子「ＩＤ」
が格納されている。そして、第一情報処理装置１１の第
一演算部１１０３は、乱数Ｎ［１］を発生する。そし
て、第一演算部１１０３は、乱数Ｎ［１］を保存する。
乱数を発生する技術は、既存技術であるので、説明は省
略する。

【００４６】次に、第一演算部１１０３は、乱数Ｎ
［１］、ユーザ識別子「ＩＤ」、パスワード「Ｓ」を用
いて、「Ａ←Ｘ（ＩＤ，Ｓ ＸＯＲ Ｎ［１］）」の演
算を行う。そして、初回の認証に用いるマスク情報
「Ａ」を算出する。

【００４７】次に、第一送信部１１０４は、ユーザ識別
子「ＩＤ」とマスク情報「Ａ」をセンタ（認証者）側の
第二情報処理装置１２に送信する。なお、マスク情報
「Ａ」等の送信は、安全な手段で第二情報処理装置１２
に送信されるのが好ましい。

【００４８】次に、第二情報処理装置１２の第二受信部
１２０１は、ユーザ識別子「ＩＤ」とマスク情報「Ａ」
を受信する。次に、情報記録部１２０２は、第二受信部
１２０１が受信したユーザ識別子「ＩＤ」とマスク情報
「Ａ」を対応付けて登録する。

【００４９】以上が、被認証者（ユーザ）の初期登録の
手順である。

【００５０】次に、初回（ｎ＝１）以降で、ｎ回目の認
証時の処理について、図３のフローを用いて説明する。

【００５１】まず、ユーザ側の第一情報処理装置１１
は、保存している乱数Ｎ［ｎ］、「ＩＤ」、「Ｓ」を取
り出す。なお、「ＩＤ」、「Ｓ」は、データ送信等が行
われる毎（認証の必要がある場合毎）にユーザにより入
力される場合もあれば、第一情報処理装置１１が格納し
ている場合もある。第一情報処理装置１１が「ＩＤ」、
「Ｓ」を格納している場合は、第一情報処理装置「Ｉ
Ｄ」、「Ｓ」を取り出す。

【００５２】次に、第一演算部１１０３は、乱数Ｎ
［ｎ］、「ＩＤ」、「Ｓ」を用いて、「Ａ←Ｘ（ＩＤ，
Ｓ ＸＯＲ Ｎ［ｎ］）」の演算を行う。そして、
「Ａ」を算出する。

【００５３】そして、第一演算部１１０３は、さらに、
新しい乱数Ｎ［ｎ＋１］を発生させるか、または、
「Ａ」をＮ［ｎ＋１］として、以下の演算を行う。「Ｃ
←Ｘ（ＩＤ，Ｓ ＸＯＲ Ｎ［Ｎ＋１］）」、「Ｄ←Ｆ
（ＩＤ，Ｃ）」の演算により、「Ｃ」と「Ｄ」を算出す
る。

【００５４】次に、第一演算部１１０３は、算出した
「Ａ」、「Ｃ」、「Ｄ」を用いて、以下の演算を行う。
「α←Ｄ ＸＯＲ （Ａ＋Ｄ）」、「β←Ｃ ＸＯＲ
Ａ」の演算により、「α」と「β」を算出する。

【００５５】そして、第一送信部１１０４は、「α」と
「β」を「ＩＤ」と共にセンタ側の第二情報処理装置に
送付する。

【００５６】この時、第一情報処理装置は、乱数Ｎ［ｎ
＋１］（「Ａ」の場合もあり得る。）を保存しておく。

【００５７】なお、「Ａ」は今回マスク情報、「Ｃ」は
次回マスク情報、「Ｄ」は次回マスク情報「Ｃ」を一方
向性変換したもうひとつの次回マスク情報である。

【００５８】次に、センタ側の第二情報処理装置におけ
る処理を説明する。第二情報処理装置の第二受信部１２
０１は、「α」と「β」と「ＩＤ」を受信する。そし
て、第二演算部１２０３は、受け取った「ＩＤ」に対応
する今回マスク情報「Ａ」を取り出す。そして、第二演
算部１２０３は、受け取った「α」と「β」と、今回マ
スク情報「Ａ」を用いて、「Ｃ←β ＸＯＲ Ａ」の演
算を行い、「Ｃ」を算出する。

【００５９】そして、第二演算部１２０３は、算出した
「Ｃ」から「Ｆ（ＩＤ，Ｃ）」で「Ｄ」を算出する。認
証部１２０４は、αと排他的論理和をとったものが「Ａ
＋Ｄ」に等しいかどうかを検証する。

【００６０】または、第二演算部１２０３は、「Ｃ」か
ら「Ｆ（ＩＤ，Ｃ）」で「Ｄ」を算出し，「Ａ」を加え
たもの（「Ｆ（ＩＤ，Ｃ）＋Ａ」）とαの排他的論理和
を算出する。認証部１２０４は、当該第二演算部１２０
３の演算結果（（「Ｆ（ＩＤ，Ｃ）＋Ａ」）とαの排他
的論理和）と「Ｄ」が等しいかどうかを検証する。

【００６１】以上の検証は、第二受信部１２０１が受信
したデータ「α」と「β」から今回マスク情報を用いて
次回マスク情報を取り出し、次回マスク情報同士あるい
は次回マスク情報と今回マスク情報の関係を検証するも
のである。

【００６２】認証部１２０４は、両データが一致すれ
ば、被認証者（第一情報処理装置）の資格を認証する。
「資格を認証する」とは、第一情報処理装置からのアク
セスが適正であると判断する、ことを言う。そして、情
報記録部１２０２は、次回の認証に用いるマスク情報と
して次回マスク情報「Ｃ」を新しく「Ａ」として登録す
る。

【００６３】以上、本実施の形態において、被認証者側
の装置において、従来技術の「ＳＡＳ認証方式」の５回
と比較して２回減らし、３回の適用回数で認証が可能に
なる。また、相互認証の手順を付加しない場合は、認証
者側の装置において、「ＳＡＳ証方式」の２回に対し
て、半分の１回にすることができる。従って、高速な認
証処理が可能である。

【００６４】さらに，毎回の認証時に個別に保管してい
る乱数から今回マスク情報「Ａ」を、また、新しく発生
させた乱数から次回マスク情報「Ｃ」を生成する方法に
加え、本実施の形態における資格認証方法では、各回の
認証時に、今回マスク情報「Ａ」を乱数として用い、次
回マスク情報「Ｃ」の生成を行なうことにより、乱数発
生機構を不要にすることができる。一般に乱数発生には
一方向性変換と同様の処理負荷が必要であることから、
これを不要にすることで被認証者側の処理をさらに軽減
することができる。

【００６５】なお、本実施の形態において、α，βの算
出は、「α←Ｄ ＸＯＲ （Ａ＋Ｄ）」、「β←Ｃ Ｘ
ＯＲ Ａ」とする場合を示したが、以下の演算により算
出しても良い。

【００６６】 （１）「α←Ｄ ＸＯＲ （Ａ＋Ｃ）」、「β←Ｃ ＸＯＲ Ａ」 （２）「α←Ｄ ＸＯＲ Ａ」、「β←Ｃ ＸＯＲ （Ａ＋Ｄ）」 （３）「α←Ｄ ＸＯＲ Ａ」、「β←Ｃ ＸＯＲ （Ａ＋Ｃ）」 （４）「α←（Ａ＋Ｄ） ＸＯＲ Ａ」、「β←Ｃ ＸＯＲ Ａ」 （５）「α←Ｄ ＸＯＲ Ａ」、「β←（Ａ＋Ｃ） ＸＯＲ Ａ」 （６）「α←（Ｂ＋Ｃ） ＸＯＲ Ｂ」、「β←Ｃ ＸＯＲ Ａ」 （７）「α←（Ａ＋Ｃ） ＸＯＲ Ｂ」、「β←Ｃ ＸＯＲ Ａ」 （８）「α←Ｃ ＸＯＲ Ｂ」、「β←（Ｂ＋Ｃ） ＸＯＲ Ａ」 （９）「α←Ｃ ＸＯＲ Ｂ」、「β←（Ａ＋Ｃ） ＸＯＲ Ａ」 （１０）「α←Ｃ ＸＯＲ （Ｂ＋Ｃ）」、「β←Ｃ ＸＯＲ Ａ」 （１１）「α←Ｃ ＸＯＲ Ｂ」、「β←Ｃ ＸＯＲ （Ａ＋Ｃ）」

【００６７】さらに、任意の定数「Ｖ」を用いて、α，
βは、以下の演算により算出しても良い。

【００６８】 （１２）「α←Ｄ ＸＯＲ （Ａ＋Ｖ）」、「β←Ｃ ＸＯＲ Ａ」 （１３）「α←Ｄ ＸＯＲ Ａ」、「β←Ｃ ＸＯＲ （Ａ＋Ｖ）」 （１４）「α←（Ｖ＋Ｄ） ＸＯＲ Ａ」、「β←Ｃ ＸＯＲ Ａ」 （１５）「α←Ｄ ＸＯＲ Ａ」、「β←（Ｖ＋Ｃ） ＸＯＲ Ａ」 （１６）「α←（Ｖ＋Ｃ） ＸＯＲ Ｂ」、「β←Ｃ ＸＯＲ Ａ」 （１７）「α←Ｃ ＸＯＲ Ｂ」、「β←（Ｖ＋Ｃ） ＸＯＲ Ａ」 （１８）「α←Ｃ ＸＯＲ （Ｂ＋Ｖ）」、「β←Ｃ ＸＯＲ Ａ」 （１９）「α←Ｃ ＸＯＲ Ｂ」、「β←Ｃ ＸＯＲ （Ａ＋Ｖ）」

【００６９】上記の１９の演算により「α」や「β」を
算出して、当該「α」や「β」を認証に用いても、本実
施の形態において説明した認証方法での認証が可能であ
る。つまり、「α」と「β」を算出する演算式のバラン
スが取れていなければ良い。演算式のバランスが取れて
いないようにする、とは、すでにやり取りされたα、β
のＸＯＲでの演算項が今回以降の演算において出現しな
いようにすることによって、再利用攻撃を防止すること
を意味する。

【００７０】また、本実施の形態において、今回マスク
情報と次回マスク情報の融合は１箇所で行ったが、今回
マスク情報と次回マスク情報の融合を複数箇所で行って
も良い。

【００７１】また、本実施の形態において、加算による
今回マスク情報と次回マスク情報の融合を示したが、今
回マスク情報と次回マスク情報は、減算や乗算やビット
シフトなどの、その他の演算により融合しても良い。

【００７２】また、本実施の形態において、ユーザ側の
装置は、初期登録の処理と、初回（ｎ＝１）以降、ｎ回
目の認証処理は、同一の第一情報処理装置で行ったが、
初期登録の処理を行う装置と、初回（ｎ＝１）以降、ｎ
回目の認証処理を行う装置が異なっていても良い。例え
ば、初期登録の処理は、パーソナルコンピュータで行
い、初回（ｎ＝１）以降、ｎ回目の認証処理は持ち運び
可能な携帯端末（携帯電話を含む）で行うこと等が考え
られる。かかる場合、初期登録処理を行ったパーソナル
コンピュータに記録されている乱数Ｎ［１］を何らかの
手段で携帯端末（携帯電話を含む）に記録しなければな
らない。かかる処理は、乱数Ｎ［１］のパーソナルコン
ピュータから携帯端末への送信により、記録することが
考えられる。但し、処理は、他の処理でも良い。

【００７３】また、本実施の形態における認証処理は、
各種アプリケーションで応用可能である。例えば、本認
証処理は、メールの送受信で利用され得る。また、本認
証処理は、ホームページへのアクセス時の認証処理とし
て利用され得る。各種アプリケーションで応用可能であ
るのは、他の実施の形態において説明する認証処理にお
いても同様である。

【００７４】さらに、本実施の形態における処理は、ソ
フトウェアで実現しても良い。そして、このソフトウェ
アをソフトウェアダウンロード等により配布しても良
い。また、このソフトウェアをＣＤ−ＲＯＭなどの記録
媒体に記録して流布しても良い。なお、このことは、本
明細書における他の実施の形態においても該当する。

【００７５】本実施の形態における処理は、ソフトウェ
アで実現する場合も、初期登録を行うステップと、認証
を行うステップは分離されていても良い。また、上記第
一情報処理装置で行う処理と、第二情報処理装置で行う
処理は、プログラムとして分離されている。つまり、第
一情報処理装置において初期登録を行うプログラムは、
コンピュータに、乱数Ｎ［１］を生成するステップと、
乱数Ｎ［１］を保存するステップと、保持しているパス
ワード情報「Ｓ」と乱数Ｎ［１］に一方向性変換関数Ｘ
を施して初回マスク情報「Ａ」を算出するステップと、
保持している第一情報処理装置を識別する識別情報「Ｉ
Ｄ」と前記算出した初回マスク情報「Ａ」を送信するス
テップを実行させるためのプログラムである。

【００７６】また、第二情報処理装置において初期登録
を行うプログラムは、コンピュータに、初回マスク情報
「Ａ」と識別情報「ＩＤ」を受信するステップと、受信
した初回マスク情報「Ａ」と識別情報「ＩＤ」を登録す
るステップを実行させるためのプログラムである。

【００７７】また、第一情報処理装置において認証を行
うプログラムは、コンピュータに、保持しているパスワ
ード情報「Ｓ」と保存している乱数Ｎ［ｎ］に一方向性
変換関数Ｘを施して今回マスク情報「Ａ」を算出するス
テップと、乱数Ｎ［Ｎ＋１］を発生するステップと、乱
数Ｎ［Ｎ＋１］を保存するステップと、パスワード情報
「Ｓ」と乱数Ｎ［Ｎ＋１］に一方向性変換関数Ｘを施し
て，今回の認証および次回送信時のマスクに用いる次回
マスク情報「Ｃ」を生成するステップと、今回マスク情
報「Ａ」にパスワード情報「Ｓ」を用いない一方向性変
換関数Ｆを施して得られるもうひとつの今回マスク情報
「Ｂ」を算出する第一演算、または、次回マスク情報
「Ｃ」にパスワード情報「Ｓ」を用いない一方向性変換
関数Ｆを施して得られるもうひとつの次回マスク情報
「Ｄ」を算出する第二演算のどちらかの演算を行うステ
ップと、今回マスク情報のいずれか、または次回マスク
情報のいずれかに、ある定数を融合させたデータを新し
くそれぞれの今回マスク情報あるいは次回マスク情報に
し、次回マスク情報と今回マスク情報の排他的論理和を
とったふたつのデータ「α」と「β」を前記識別情報
「ＩＤ」とともに送付するステップを実行させるための
プログラムである。

【００７８】さらに、第二報処理装置において認証を行
うプログラムは、コンピュータに、「α」、「β」、お
よび識別情報「ＩＤ」を受信するステップと、受信した
データ「α」と「β」から今回マスク情報を用いて次回
マスク情報を取り出し、次回マスク情報同士あるいは次
回マスク情報と今回マスク情報の関係を検証することに
より被認証側の資格を認証するステップと、新しく次回
マスク情報「Ｃ」を今回マスク情報「Ａ」として識別情
報「ＩＤ」に対応付けて登録するステップを実行させる
ためのプログラムである。

【００７９】なお、上記のプログラムは、今回マスク情
報「Ａ」、次回マスク情報「Ｃ」、今回マスク情報
「Ｂ」あるいは次回マスク情報「Ｄ」を算出した後、今
回マスク情報のいずれかには次回マスク情報のいずれか
を、また次回マスク情報のいずれかには今回マスク情報
のいずれかを、それぞれ定数として融合させたデータ
を、新しくそれぞれの今回マスク情報あるいは次回マス
ク情報にして、上記ステップをコンピュータに実行させ
るプログラムであっても良い。

【００８０】また、上記プログラムは、乱数Ｎ［ｎ＋
１］を発生するステップを行わずに、乱数Ｎ［ｎ＋１］
として今回マスク情報「Ａ」を用いて今回の認証を行
い、および乱数Ｎ［ｎ＋１］として今回マスク情報
「Ａ」を用いて次回マスク情報「Ｃ」を生成するもので
あっても良い。

【００８１】（実施の形態２）

【００８２】本実施の形態における情報処理システム、
つまり第一情報処理装置と第二情報処理装置の構成につ
いては、実施の形態１で説明した構成と概ね同じであ
る。実施の形態１の情報処理システムと実施の形態２の
情報処理システムでは、第一演算部や第二演算部の演算
アルゴリズムが異なる。従って、本実施の形態におい
て、情報処理システムの構成については説明しない。

【００８３】以下、被認証者（ユーザ）側の第一情報処
理装置が認証者（センタ）の第二情報処理装置に認証を
受ける手順を、図２、および図４を用いて説明する。被
認証者（ユーザ）の初期登録の手順を説明するフローは
図２であり、既に説明した。

【００８４】次に、初回（ｎ＝１）以降で、ｎ回目の認
証時の処理について、図４のフローを用いて説明する。

【００８５】被認証者の第一情報処理装置から送付され
てきた「α」および「β」により，認証者側の第二情報
処理装置における被認証者側の第一情報処理装置の認証
が成立した後に以下の処理を行う。

【００８６】認証者側の第二情報処理装置で、次回マス
ク情報「Ｃ」に一方向性変換「Ｆ」を施して得られるデ
ータ「Ｄ」に、さらに一方向性変換「Ｈ」を施して得ら
れるデータ「γ」を算出する。すなわち、第二情報処理
装置は「γ←Ｈ（ＩＤ，Ｄ）」の演算をする。そして、
認証者側の第二情報処理装置から被認証者側の第一情報
処理装置へ「γ」を送付する。

【００８７】被認証者側の第一情報処理装置において、
次回マスク情報「Ｃ」に一方向性変換「Ｆ」を施して得
られるデータ「Ｄ」に、一方向性変換「Ｈ」を施したデ
ータ「Ｈ（ＩＤ，Ｄ）」を算出し、第二情報処理装置か
ら受け取ったデータ「γ」と比較する。両データが一致
すれば、第一情報処理装置は、認証者による認証が成功
したことを確認する、または／および被認証者側の第一
情報処理装置が認証者側の第二情報処理装置を相互に認
証する。

【００８８】以上、本実施の形態において、ユーザ側の
装置（第一情報処理装置）での一方向性変換関数の適用
回数が減少するがために、高速な認証処理が可能であ
る。また、認証者側の装置（第二情報処理装置）で被認
証者の装置（第一情報処理装置）から送付されてきた情
報によって被認証者の装置の認証が完了した後、認証者
側の装置から被認証者側の装置へ、今回認証に用いた情
報を加工して生成した確認情報を送付することによっ
て、被認証者側の装置において、認証者側の装置による
認証が成功したことを確認するかあるいは被認証者側の
装置が認証者側の装置を相互に認証することを可能にし
ている。

【００８９】なお、本実施の形態における処理は、ソフ
トウェアで実現しても良い。そして、このソフトウェア
をソフトウェアダウンロード等により配布しても良い。
また、このソフトウェアをＣＤ−ＲＯＭなどの記録媒体
に記録して流布しても良い。

【００９０】本実施の形態における処理は、ソフトウェ
アで実現する場合も、初期登録を行うステップと、認証
を行うステップは分離されていても良い。また、上記第
一情報処理装置で行う処理と、第二情報処理装置で行う
処理は、プログラムとして分離されている。

【００９１】つまり、第一情報処理装置において認証を
行うプログラムは、コンピュータに、保持しているパス
ワード情報「Ｓ」と保存している乱数Ｎ［ｎ］に一方向
性変換関数Ｘを施して今回マスク情報「Ａ」を算出する
ステップと、乱数Ｎ［Ｎ＋１］を発生するステップと、
乱数Ｎ［Ｎ＋１］を保存するステップと、パスワード情
報「Ｓ」と乱数Ｎ［Ｎ＋１］に一方向性変換関数Ｘを施
して，今回の認証および次回送信時のマスクに用いる次
回マスク情報「Ｃ」を生成するステップと、今回マスク
情報「Ａ」にパスワード情報「Ｓ」を用いない一方向性
変換関数Ｆを施して得られるもうひとつの今回マスク情
報「Ｂ」を算出する第一演算、または、次回マスク情報
「Ｃ」にパスワード情報「Ｓ」を用いない一方向性変換
関数Ｆを施して得られるもうひとつの次回マスク情報
「Ｄ」を算出する第二演算のどちらかの演算を行うステ
ップと、今回マスク情報のいずれか、または次回マスク
情報のいずれかに、ある定数を融合させたデータを新し
くそれぞれの今回マスク情報あるいは次回マスク情報に
し、次回マスク情報と今回マスク情報の排他的論理和を
とったふたつのデータ「α」と「β」を前記識別情報
「ＩＤ」とともに送付するステップと、「γ」を第二報
処理装置から受信するステップと、同じく次回マスク情
報あるいは今回マスク情報のいずれかに一方向性変換関
数Ｈを施して得られるデータを算出するステップと、受
信したデータ「γ」と、算出したデータを比較して、一
致するか否かを判断するステップを実行させるためのプ
ログラムである。

【００９２】また、第二情報処理装置において認証を行
うプログラムは、コンピュータに、「α」、「β」、お
よび識別情報「ＩＤ」を受信するステップと、受信した
データ「α」と「β」から今回マスク情報を用いて次回
マスク情報を取り出し、次回マスク情報同士あるいは次
回マスク情報と今回マスク情報の関係を検証することに
より被認証側の資格を認証するステップと、新しく次回
マスク情報「Ｃ」を今回マスク情報「Ａ」として識別情
報「ＩＤ」に対応付けて登録するステップと、次回マス
ク情報あるいは今回マスク情報のいずれかに、さらにパ
スワード「Ｓ」を用いないある一方向性変換関数Ｈを施
しデータ「γ」を算出するステップと、「γ」を送付す
るステップを実行させるためのプログラムである。

【００９３】（実施の形態３）

【００９４】本実施の形態において、上述した認証方法
を開閉システムへ適用する態様について述べる。

【００９５】本開閉システムは、図５に示すように、開
閉装置５１と鍵５２を有する。鍵５２とは、電子的な鍵
を言い、情報を格納できる記録媒体を有し、情報の送受
信が可能なものを言う。鍵５２は、例えば、ＩＣカード
や、データ送受信が可能な自動車の鍵や、その他データ
送受信が可能なドアや金庫等の各種鍵である。

【００９６】開閉装置５１は、開閉装置識別子格納部５
１０１、鍵対応開閉装置秘密情報格納部５１０２、装置
側鍵識別子格納部５１０３、装置側演算部５１０４、装
置側情報送信部５１０５、装置側情報受信部５１０６を
有する。

【００９７】開閉装置識別子格納部５１０１は、開閉装
置５１を識別する開閉装置識別子（以下、開閉装置識別
子を記号で、適宜「ＩＤ」と言う。）を格納している。
開閉装置識別子格納部５１０１は、ハードディスクなど
の不揮発性の記録媒体でも、揮発性の記録媒体でも良
い。

【００９８】鍵対応開閉装置秘密情報格納部５１０２
は、ある鍵に対応する秘密情報（パスワード）である鍵
対応開閉装置秘密情報（以下、鍵対応開閉装置秘密情報
を記号で、記号で「Ｓ」と言う。）を格納している。鍵
対応開閉装置秘密情報格納部５１０２は、ハードディス
クなどの不揮発性の記録媒体でも、揮発性の記録媒体で
も良い。

【００９９】鍵識別子格納部５１０３は、鍵を識別する
情報である鍵識別子（以下、鍵識別子を記号で、適宜
「Ｋ」と言う。）を格納している。鍵識別子格納部５１
０３は、ハードディスクなどの不揮発性の記録媒体で
も、揮発性の記録媒体でも良い。

【０１００】開閉装置識別子格納部５１０１、鍵対応開
閉装置秘密情報格納部５１０２、および鍵識別子格納部
５１０３は、通常、一の記録媒体であるが、それぞれ異
なる記録媒体でも良い。

【０１０１】装置側演算部５１０４は、一方向性関数
「Ｘ」または「Ｆ」、または排他的論理和の演算を行
う。装置側演算部５１０４は、通常、ＣＰＵ、メモリ、
およびソフトウェア等から実現され得る。つまり、一方
向性関数「Ｘ」または「Ｆ」の演算式や、各種演算のア
ルゴリズムは、通常、ソフトウェアで実現され、当該ソ
フトウェアは、装置側演算部５１０４のメモリ（ＲＯＭ
等）に格納されている。

【０１０２】装置側情報送信部５１０５は、装置側演算
部５１０４の演算結果の情報を鍵５２に送信する。装置
側情報送信部５１０５は、無線または有線の通信手段、
または放送手段で実現され得る。

【０１０３】装置側情報受信部５１０６は、鍵５２から
送信される情報を受信する。装置側情報受信部５１０６
は、無線または有線の通信手段、または放送手段で実現
され得る。

【０１０４】鍵５２は、鍵側情報受信部５２０１、情報
記録部５２０２、鍵側演算部５２０３、鍵側認証部５２
０４、鍵側情報送信部５２０５を有する。

【０１０５】鍵側情報受信部５２０１は、開閉装置５１
から情報を受信する。鍵側情報受信部５２０１は、無線
または有線の通信手段、または放送手段で実現され得
る。

【０１０６】情報記録部５２０２は、情報を記録する。
情報記録部５２０２は、鍵側情報受信部５２０１が受信
した情報等を記録（登録）する。情報記録部５２０２が
情報を記録する先は、通常は、鍵５２が内部に保持す
る、不揮発性または揮発性の記録媒体である。但し、情
報記録部５２０２が情報を記録する先は、鍵５２に外付
けの、不揮発性または揮発性の記録媒体でも良い。

【０１０７】鍵側演算部５２０３は、一方向性関数
「Ｆ」や排他的論理和の演算を行う。鍵側演算部５２０
３は、通常、ＣＰＵ、メモリ、およびソフトウェア等か
ら実現され得る。つまり、一方向性関数「Ｘ」または
「Ｆ」の演算式や、各種演算のアルゴリズムは、通常、
ソフトウェアで実現され、当該ソフトウェアは、鍵側演
算部５２０３のメモリ（ＲＯＭ等）に格納されている。

【０１０８】鍵側認証部５２０４は、鍵側演算部５２０
３の演算結果等に基づいて、認証を行う。鍵側認証部５
２０４は、通常、ソフトウェアで実現され得るが、ハー
ドウェア（専用回路）で実現しても良い。

【０１０９】鍵側情報送信部５２０５は、鍵５２から開
閉装置５１に、鍵側演算部５２０３の演算結果の情報ま
たは／および鍵側認証部５２０４における認証結果に関
する情報を送信する。鍵側情報送信部５２０５は、無線
または有線の通信手段、または放送手段で実現され得
る。

【０１１０】鍵側鍵識別子格納部５２０５は、鍵を識別
する情報である鍵識別子（以下、鍵識別子を記号で、適
宜「Ｋ」と言う。）を格納している。鍵側鍵識別子格納
部５２０５は、ハードディスクなどの不揮発性の記録媒
体でも、揮発性の記録媒体でも良い。

【０１１１】以下、開閉システムの動作について、図
６、図７のフローを用いて説明する。

【０１１２】図６、図７において、認証者を鍵、被認証
者をドア等、鍵によって施錠される開閉装置と考える。
なお、パスワード情報「Ｓ」は、個々の鍵に対応した開
閉装置側の秘密情報であって、毎回入力するのではなく
登録されているものとする。

【０１１３】以下、図６のフロー図を用いて、初期登録
（初期登録時（ｎ＝０））の手順を説明する。

【０１１４】まず、開閉装置５１の装置側演算部５１０
４は、鍵識別子「Ｋ」に対応する乱数Ｎ［１］を生成
し、保存する。次に、装置側演算部５１０４は、開閉装
置識別子格納部５１０１から開閉装置識別子「ＩＤ」を
取り出す。そして、装置側演算部５１０４は、鍵対応開
閉装置秘密情報格納部５１０２から鍵対応の秘密情報
「Ｓ」を取り出す。また、装置側演算部５１０４は、装
置側鍵識別子格納部５１０３から鍵識別子「Ｋ」を取り
出す。

【０１１５】そして、装置側演算部５１０４は、「Ａ←
Ｘ（ＩＤ ＸＯＲ Ｋ，Ｓ ＸＯＲＮ［１］）」の演算
を行い、初回マスク情報「Ａ」を算出する。なお、乱数
発生関数、一方向性関数「Ｘ」、排他的論理和の演算式
等は装置側演算部５１０４に格納されている、とする。

【０１１６】そして、装置側情報送信部５１０５は、
「ＩＤ」「Ｋ」「Ａ」を鍵５２に送信する。

【０１１７】次に、鍵５２の鍵側情報受信部５２０１
は、「ＩＤ」「Ｋ」「Ａ」を受信する。そして、情報記
録部５２０２は、開閉装置識別子「ＩＤ」とともに、初
回の認証に用いるマスク情報「Ａ」を登録する。

【０１１８】次に、図７のフロー図を用いて、鍵の開閉
時（ｎ回目の開閉，ｎ≧１）の認証手順を説明する。ま
ず，鍵５２から鍵識別子「Ｋ」を識別子「ＩＤ」の開閉
装置５１に送付する。

【０１１９】次に、開閉装置５１の鍵側情報受信部５２
０１は、鍵識別子「Ｋ」を識別子「ＩＤ」を受信する。
そして、装置側演算部５１０４は、鍵側情報受信部５２
０１が受信した鍵識別子「Ｋ」を識別子「ＩＤ」を取得
する。また、装置側演算部５１０４は、鍵対応開閉装置
秘密情報格納部５１０２に格納されているパスワード情
報「Ｓ」を取得する。

【０１２０】そして、装置側演算部５１０４は、鍵識別
子「Ｋ」に対応付けて保存している乱数Ｎ［ｎ］を取り
出す。

【０１２１】そして、装置側演算部５１０４は、上記取
得した「ＩＤ」「Ｋ」「Ｓ」「Ｎ［ｎ］」を用いて、
「Ａ←Ｘ（ＩＤ ＸＯＲ Ｋ， Ｓ ＸＯＲ Ｎ
［ｎ］）」の演算を行う。装置側演算部５１０４は、以
上の処理により、「Ａ」を算出する。

【０１２２】そして、装置側演算部５１０４は、続い
て、新しい乱数Ｎ［ｎ＋１］を発生させるか、「Ａ」を
Ｎ［ｎ＋１］つする。そして、装置側演算部５１０４
は、乱数Ｎ［ｎ＋１］（「Ａ」の場合もあり得る。）
は、鍵識別子「Ｋ」に対応付けて開閉装置５１に保存す
る。なお、「Ａ」をＮ［ｎ＋１］とする場合は、開閉装
置５１には、乱数発生機構が不要である。

【０１２３】そして、装置側演算部５１０４は、「Ｃ←
Ｘ（ＩＤ ＸＯＲ Ｋ， Ｓ ＸＯＲ Ｎ［ｎ＋
１］）」、「Ｄ←Ｆ（ＩＤ ＸＯＲ Ｋ，Ｃ）」の演算
を行い、「Ｃ」および「Ｄ」を算出する。

【０１２４】次に、装置側演算部５１０４は、算出した
「Ａ」、「Ｃ」、「Ｄ」を用いて、「α←Ｄ ＸＯＲ
（Ａ＋Ｄ）」、「β←Ｃ ＸＯＲ Ａ」の演算を行う。

【０１２５】次に、装置側情報送信部５１０５は、
「α」および「β」を「ＩＤ」とともに鍵５２に送付す
る。

【０１２６】次に、鍵５２における認証処理を行う。

【０１２７】鍵側情報受信部５２０１は、「α」「β」
「ＩＤ」を受信する。そして、鍵側演算部５２０３は、
鍵側情報受信部５２０１が受信した「α」「β」「Ｉ
Ｄ」を取得する。次に、鍵側演算部５２０３は、識別子
「ＩＤ」を有する開閉装置対応に保存してある今回マス
ク情報「Ａ」を取り出す。そして、鍵側演算部５２０３
は、「Ｃ←β ＸＯＲ Ａ」の演算を行い、「Ｃ」を算
出する。次に、鍵側演算部５２０３は、「Ｆ（ＩＤ Ｘ
ＯＲ Ｋ，Ｃ）＋Ａ」の演算を行う。次に、鍵側演算部
５２０３は、「α ＸＯＲ （Ｆ（ＩＤ ＸＯＲ Ｋ，
Ｃ）＋Ａ）」の演算を行う。

【０１２８】次に、鍵側認証部５２０４は、上記「α
ＸＯＲ （Ｆ（ＩＤ ＸＯＲ Ｋ，Ｃ）＋Ａ）」の演算
結果が、「Ｄ」と一致するか否かを判断する。鍵側認証
部５２０４は、両データが一致すれば開閉装置５１の正
当性を認証し、一致しなければ開閉装置５１の認証は不
成立、とする。認証が成立すれば、情報記録部５２０２
は、開閉装置識別子「ＩＤ」に対応するマスク情報とし
て「Ｃ」を登録する。

【０１２９】さらに、鍵５２は、例えば，一方向性変換
「Ｈ」として、次回マスク情報「Ｃ」の一方向性変換に
用いた「Ｆ」を用いる場合、「γ←Ｆ（ＩＤ ＸＯＲ
Ｋ，Ｄ）」により「γ」を算出する。そして、鍵側情報
送信部５２０５は、「γ」を開閉装置５１に送付する。
この「γ」が開閉装置５１を開閉するための鍵になる。

【０１３０】次に、開閉装置５１では、上記と同じ手順
で、次回マスク情報「Ｃ」に一方向性変換「Ｆ」を施し
て得られるデータ「Ｄ」から「γ」を算出し、鍵５２か
ら受信した「γ」と比較する。比較の結果、両者が一致
すれば開閉装置５１の開閉を行う。

【０１３１】なお、開閉装置を閉じるオペレーションの
場合、鍵自身が開閉装置の外にあることを検出する機構
は必要である。

【０１３２】以下、本開閉システムの具体的な適用例に
ついて説明する。

【０１３３】本発明における開閉システムの適用例とし
ては、専用の鍵がある。また、本開閉システムは、開閉
装置識別子「ＩＤ」と鍵識別子「Ｋ」を設けているた
め、鍵として専用の鍵のみならず、汎用の鍵として利用
できる。つまり、ひとつの鍵が、複数の開閉装置に対応
する鍵機能を持つことができる。そして、携帯電話やＰ
ＤＡを上記の認証機能を有する鍵としても良い。また、
メモリ機能に加えて上記説明した認証機能をもつ次世代
のＩＣカードを上記の認証機能を有する鍵としても良
い。携帯電話やＰＤＡやＩＣカードは普及しており、か
つ処理能力が比較的低いので、本実施の形態における資
格認証方法は有効である。

【０１３４】また、本実施の形態における資格認証方法
を用いた開閉装置においては、複数の鍵識別子に対応す
る鍵、すなわちスペア鍵を持つことができる。

【０１３５】また、通常の鍵形状の装置に本実施の形態
において説明した認証機能を組み込む場合、一方向性変
換処理を簡易に実現することによってコストを削減する
ことができる。つまり、一方向性変換関数に変わって簡
易な処理を行う演算である簡易演算を適用するのであ
る。簡易演算の例は、排他的論理和（ＸＯＲ）がある。
具体的には以下のような処理を行う。例えば、一方向性
変換を適用するデータの左右半分のデータを「Ｌ」、
「Ｒ」とし、一方向性変換Ｆを、「Ｌ←Ｌ ＸＯＲ
Ｒ」、「Ｒ←Ｌ ＸＯＲ Ｒ」とする。

【０１３６】さらに、「Ｌ」の左右半分のデータを「Ｌ
１」「Ｌ２」、「Ｒ」の左右半分のデータを「Ｒ１」
「Ｒ２」とし、一方向性変換Ｈを「Ｌ１←Ｌ１ ＸＯＲ
Ｌ２」、「Ｌ２←Ｌ１ ＸＯＲ Ｌ２」、「Ｒ１←Ｒ
１ ＸＯＲ Ｒ２」、「Ｒ２←Ｒ１ ＸＯＲ Ｒ２」と
すれば、通常用いる共通鍵暗号方式による一方向性変換
に代わって、排他的論理和のみで鍵の処理を構成できる
ため、鍵のコストを大幅に削減することができる。

【０１３７】以上、本実施の形態によれば、相互認証方
法を開閉装置と鍵を有する開閉システムに応用する（つ
まり、被認証者側の装置を開閉装置に、認証者の装置を
鍵にする。）ことによって、電子的に安全に鍵の開閉を
行うシステムを構築することができる。

【０１３８】なお、本実施の形態において、第一情報処
理装置を開閉装置、第二情報処理装置を鍵にした開閉シ
ステムを説明したが、逆でも良い。つまり、第一情報処
理装置を鍵、第二情報処理装置を開閉装置にしても良
い。

【発明の効果】本発明の認証方法によれば、認証処理に
おいて、処理負荷の大きい一方向性変換の適用回数を少
なくすることができ、認証者側および被認証者側の処理
を大幅に高速化できる。

【図面の簡単な説明】

【図１】実施の形態１における情報処理システムの構成
を示すブロック図

【図２】実施の形態１における初期登録手順を説明する
フロー図

【図３】実施の形態１における認証手順を説明するフロ
ー図

【図４】実施の形態２における認証手順を説明するフロ
ー図

【図５】実施の形態３における開閉システムの構成を示
すブロック図

【図６】実施の形態３における初期登録手順を説明する
フロー図

【図７】実施の形態３における認証手順を説明するフロ
ー図

【図８】従来技術における初期登録手順を説明するフロ
ー図

【図９】従来技術における認証手順を説明するフロー図

【符号の説明】

１１ 第一情報処理装置 １２ 第二情報処理装置 ５１ 開閉装置 ５２ 鍵 １１０１ ユーザ識別子格納部 １１０２ パスワード格納部 １１０３ 第一演算部 １１０４ 第一送信部 １１０５ 第一受信部 １２０１ 第二受信部 １２０２ 情報記録部 １２０３ 第二演算部 １２０４ 認証部 １２０５ 第二送信部 ５１０１ 開閉装置識別子格納部 ５１０２ 鍵対応開閉装置秘密情報格納部 ５１０３ 鍵識別子格納部 ５１０３ 装置側鍵識別子格納部 ５１０４ 装置側演算部 ５１０５ 装置側情報送信部 ５１０６ 装置側情報受信部 ５２０１ 鍵側情報受信部 ５２０２ 情報記録部 ５２０３ 鍵側演算部 ５２０４ 鍵側認証部 ５２０５ 鍵側鍵識別子格納部 ５２０５ 鍵側情報送信部

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 2E250 AA01 AA21 BB08 BB58 BB59 BB65 DD06 EE10 FF25 FF27 FF33 FF36 HH01 JJ03 KK03 LL01 TT03 5B085 AE08 5J104 AA07 AA16 AA18 EA03 EA15 JA01 KA01 KA03 MA01 NA05 NA12

Claims (10)

【特許請求の範囲】
1. 【請求項１】 被認証側の装置である第一情報処理装置
   と認証側の装置である第二情報処理装置で行う資格認証
   方法であって、ｎを認証回数とするとき、初期登録（ｎ
   ＝０）を行う初期登録ステップと、初回（ｎ＝１）以降
   でｎ回目の認証時の処理である認証ステップを具備し、
   前記初期登録ステップは、前記第一情報処理装置におい
   て、乱数Ｎ［１］を生成するステップと、前記乱数Ｎ
   ［１］を保存するステップと、第一情報処理装置を識別
   する識別情報「ＩＤ」対応に規定するパスワード情報
   「Ｓ」と前記乱数Ｎ［１］に一方向性変換関数Ｘを施し
   て初回マスク情報「Ａ」を算出するステップと、保持し
   ている前記識別情報「ＩＤ」と前記算出した初回マスク
   情報「Ａ」を前記第二情報処理装置に送信するステップ
   を具備し、前記第二情報処理装置において、前記初回マ
   スク情報「Ａ」と前記識別情報「ＩＤ」を受信するステ
   ップと、前記受信した初回マスク情報「Ａ」と識別情報
   「ＩＤ」を登録するステップを具備し、前記認証ステッ
   プは、前記第一情報処理装置において、秘密に保持して
   いるか、または前記識別情報「ＩＤ」対応に入力される
   パスワード情報「Ｓ」と前記識別情報「ＩＤ」対応に保
   存している乱数Ｎ［ｎ］に一方向性変換関数Ｘを施して
   今回マスク情報「Ａ」を算出するステップと、乱数Ｎ
   ［Ｎ＋１］を発生するステップと、前記乱数Ｎ［Ｎ＋
   １］を保存するステップと、前記パスワード情報「Ｓ」
   と前記乱数Ｎ［Ｎ＋１］に一方向性変換関数Ｘを施し
   て，今回の認証および次回送信時のマスクに用いる次回
   マスク情報「Ｃ」を生成するステップと、今回マスク情
   報「Ａ」にパスワード情報「Ｓ」を用いない一方向性変
   換関数Ｆを施して得られるもうひとつの今回マスク情報
   「Ｂ」を算出する第一演算、または、次回マスク情報
   「Ｃ」にパスワード情報「Ｓ」を用いない一方向性変換
   関数Ｆを施して得られるもうひとつの次回マスク情報
   「Ｄ」を算出する第二演算のどちらかの演算を行うステ
   ップと、今回マスク情報のいずれか、または次回マスク
   情報のいずれかに、ある定数を融合させたデータを新し
   くそれぞれの今回マスク情報あるいは次回マスク情報に
   し、次回マスク情報と今回マスク情報の排他的論理和を
   とったふたつのデータ「α」と「β」を算出し、当該算
   出した「α」と「β」を前記識別情報「ＩＤ」とともに
   前記第二情報処理装置に送付するステップと、第二情報
   処理装置において、前記「α」、前記「β」、および前
   記識別情報「ＩＤ」を受信するステップと、前記受信し
   たデータ「α」と「β」から今回マスク情報を用いて次
   回マスク情報を取り出し、次回マスク情報同士あるいは
   次回マスク情報と今回マスク情報の関係を検証すること
   により第一情報処理装置の資格を認証するステップと、
   新しく次回マスク情報「Ｃ」を今回マスク情報「Ａ」と
   して識別情報「ＩＤ」に対応付けて登録するステップを
   具備する資格認証方法。
2. 【請求項２】 前記認証ステップにおいて、前記第二情
   報処理装置において、前記識別情報「ＩＤ」対応に受信
   した次回マスク情報あるいは今回マスク情報のいずれか
   に、さらにパスワード「Ｓ」を用いないある一方向性変
   換関数Ｈを施しデータ「γ」を算出するステップと、前
   記「γ」を前記第一情報処理装置に送付するステップを
   さらに具備し、前記第一情報処理装置において、前記
   「γ」を第二報処理装置から受信するステップと、同じ
   く次回マスク情報あるいは今回マスク情報のいずれかに
   一方向性変換関数Ｈを施して得られるデータを算出する
   ステップと、前記第二報処理装置から受信したデータ
   「γ」と、算出したデータを比較して、一致するか否か
   を判断する判断ステップをさらに具備する請求項１記載
   の資格認証方法。
3. 【請求項３】 前記第一情報処理装置が開閉装置であ
   り、前記第二情報処理装置が鍵識別子「Ｋ」に対応する
   鍵である情報処理システムにおける資格認証方法であっ
   て、前記初期登録ステップにより前記鍵が初回マスク情
   報「Ａ」を保持している状態において、前記鍵におい
   て、前記鍵識別情報「Ｋ」を開閉装置に送付するステッ
   プをさらに具備し、前記開閉装置において、前記鍵から
   鍵識別情報「Ｋ」を受信するステップをさらに具備し、
   前記データ「α」、「β」の算出のために前記鍵識別情
   報「Ｋ」を利用し、前記開閉装置において、前記判断ス
   テップにおける判断が、一致するとの判断である場合
   に、前記開閉装置の施錠を開閉するステップをさらに具
   備する請求項２記載の資格認証方法。
4. 【請求項４】 今回マスク情報のいずれかに融合させる
   前記定数は次回マスク情報であり、また、次回マスク情
   報のいずれかに融合させる前記定数は今回マスク情報で
   あることを特徴とする請求項１から請求項３いずれか記
   載の資格認証方法。
5. 【請求項５】 前記認証ステップにおいて、前記乱数Ｎ
   ［ｎ＋１］を発生するステップを行わずに、前記乱数Ｎ
   ［ｎ＋１］として今回マスク情報「Ａ」を用いて今回の
   認証を行い、および前記乱数Ｎ［ｎ＋１］として今回マ
   スク情報「Ａ」を用いて次回マスク情報「Ｃ」を生成す
   ることを特徴とする請求項１から請求項４いずれか記載
   の資格認証方法。
6. 【請求項６】 請求項１または請求項２または請求項４
   または請求項５いずれか記載の資格認証方法を実現する
   被認証側の装置である情報処理装置。
7. 【請求項７】 請求項１または請求項２または請求項４
   または請求項５いずれか記載の資格認証方法を実現する
   認証側の装置である情報処理装置。
8. 【請求項８】 請求項１または請求項２または請求項４
   または請求項５いずれか記載の資格認証方法の前記認証
   ステップを実現する被認証側の装置である情報処理装
   置。
9. 【請求項９】 請求項３から請求項５いずれか記載の資
   格認証方法を実現する被認証側の装置である開閉装置。
10. 【請求項１０】 請求項３から請求項５いずれか記載の
    資格認証方法を実現する認証側の装置である鍵。