JP2003511899A

JP2003511899A - エンティティの真正性及びメッセージの完全性を証明するための特定のキーのセット

Info

Publication number: JP2003511899A
Application number: JP2001529121A
Authority: JP
Inventors: ギユ，ルイ; キスクワテル，ジャン−ジャック
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 1999-10-01
Filing date: 2000-09-29
Publication date: 2003-03-25
Also published as: JP2004527139A; ATE518327T1; WO2001026278A1; AU765538B2; CN100380862C; AU766102B2; CN1387714A; CN1433609A; CA2388084A1; EP1216536A1; CN1215678C; AU7669900A; WO2001026279A1; US7080254B1; AU7670000A; JP4809310B2; JP2008048451A; CA2386748C; EP1216537B1; EP1216537A1

Abstract

(57)【要約】発明は、エンティティの真正性またはメッセージの完全性を証明するために設 _ｉ．Ｑ_ｉ ^ｖ≡１ｍｏｄｎまたはＧ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎの型の関係性によってリンクされる指数値ｖ＝２^ｋ（ｋ＞１）を備えるキーの集合によって確立される。キーの集合は、Ｑ_ｉまたはそのｍｏｄｎの逆数のｍｏｄｎ平方の累乗を、ｋ−１かける階数増加することにより得られるｍ個の数の間で、それらの内の少なくとも１つがｇ_ｉから異なり、２ｍ個の等式、ｘ２＝ｇ_ｉｍｏｄｎ、ｘ^２≡−ｇ_ｉｍｏｄｎの間で、それらの内の少なくとも１つがｍｏｄｎの整数の環内のｘに解を有するように作成される。

Description

【発明の詳細な説明】

【０００１】本発明は、エンティティの真正性及び／またはメッセージの完全性及び／また
は真正性を証明することを目的とした技術分野に関する。

【０００２】発明者がＬｏｕｉｓＧｕｉｌｌｏｕ及びＪｅａｎ−ＪａｃｑｕｅｓＱｕｉ
ｓｑｕａｔｅｒである特許ＥＰ第０３１１４７０Ｂ１号は、このような方法を説
明する。以下、彼らの研究は用語「ＧＱ特許」または「ＧＱプロセス」によって
参照されるだろう。以下、用語「ＧＱ２」、「ＧＱ２発明」または「ＧＱ２技術
」は、フランステレコム、ＴＤＦ及びＭａｔｈｒｉｚｋＣｏｍｐａｎｙによる
本出願と同日に提出され、ＬｏｕｉｓＧｉｌｌｏｕ及びＪｅａｎ−Ｊａｃｑｕ
ｅｓＱｕｉｓｑｕａｔｅｒを発明者として有する係属中の出願の対象となるＧ
Ｑ技術での新しい発展を示すために使用されることもあるだろう。これらの係属
中の出願の特徴的な機能は、以下の説明で必要であるときに必ず思い起こされる
ものである。

【０００３】ＧＱプロセスによれば、「信用される権威」と呼ばれるエンティティが、「証
人」と呼ばれる各エンティティにアイデンティティを割り当て、そのＲＳＡシグ
ニチャを計算する。つまり、カスタマイズプロセスの間に、信用される権威は、
証人にアイデンティティ及びシグニチャを与える。その後で、証人は「ここに私
のアイデンティティがあります。私はそれがＲＳＡシグニチャであることを知っ
ています」と述べる。証人は、それを明らかにすることなく、自分が自分のアイ
デンティティのＲＳＡシグニチャを知っていることを証明する。信用される権威
によって配布されるＲＳＡ公開検証鍵によって、「コントローラ」と呼ばれるエ
ンティティが、その知識を得ることなく、ＲＳＡシグニチャが宣言されたアイデ
ンティティに一致することを検証する。ＧＱプロセスを使用する機構は、「知識
を移転することなく」動作する。ＧＱプロセスによれば、信用される真正な者が
多数のアイデンティティに署名するのに用いるＲＳＡ秘密鍵を証人は知らない。

【０００４】前述のＧＱ技術は、ＲＳＡ技術を使用する。しかし、ＲＳＡ技術が真にモジュ
ラスｎの因数分解に依存しているのであれば、ＲＳＡ技術を実現するさまざまな
デジタルシグニチャ規格に対するいわゆる「倍数的な」（ｍｕｌｔｉｐｌｉｃａ
ｔｉｖｅ）攻撃によって示されるように、この依存性は等価ではなく、むしろ全
く異なるものである。

【０００５】ＧＱ２は２つの目的を有する。一つは、ＲＳＡ技術に関する性能を改善する目
的である。もう一つは、ＲＳＡ技術に固有の問題点を避ける目的である。秘密的
なＧＱ２秘密鍵を知っていることは、モジュラスｎの因数分解を知っていること
に同等である。ＧＱ２トリプレットのレベルでの攻撃は、モジュラスｎの因数分
解に戻る。この時点では等価がある。ＧＱ２技術を用いると、署名するあるいは
それ自体を認証するエンティティと管理するエンティティの両方に対しての作業
負荷が削減される。機密保護と性能の両方で因数分解の問題をよりよく使用する
ことによって、ＧＱ２技術は、ＲＳＡ技術によって提示される欠点を回避する。

【０００６】ＧＱプロセスは、５１２ビット以上の数のモジュロ計算を実現する。これらの
計算は、約２^１６＋１乗にされるのとほぼ同じ大きさを有する数に関係する。特
にバンクカードの分野での現在のマイクロエレクトロニクスのインフラストラク
チャは、算術コプロセッサを使用せずに、モノリシックな自己プログラム可能な
マイクロプセッサを使用している。ＧＱプロセスのようなプロセスに関わる複数
の算術演算に関連付けられる作業負荷は、バンクカードを使用する消費者が、買
い物の支払いをするために不利となることが判明するような計算時間につながる
。ここでは、支払いカードの機密保護を強化しようと努めて、銀行当局が、特に
解決するのが困難である問題を提起したことが思い出される。実際には、２つの
明らかに矛盾する問題が解決されなければならない。つまり、作業負荷が、ユー
ザにとって過剰な計算時間につながるのを防ぐ一方で、それぞれのカードに対し
てますます長々しい、且つ別個のキーを使用することによって機密保護を強化す
るのである。この問題は、特にさらに、既存のインフラストラクチャ及び既存の
マイクロプロセッサの構成要素を考慮に入れなければならない限りにおいて、特
に深刻になる。

【０００７】ＧＱ２技術は、機密保護を厳重にしつつ、この問題に解決策をもたらす。ＧＱ２技術は、特定の特性を有する素因子を実現する。これらの素因子を生成
するためにさまざまな技術が存在する。本発明の主題は、この種の素因子を組織
的に生じさせることができるようにする方法である。それは、さらに特にＧＱ２
技術を実現する上で、それらから作ることができる用途にも関する。これらの特
定の素因子及びそれらを得ることができるようにする方法が、ＧＱ２技術の分野
外で適用できることが、いまここで強調される。発明は、コントローラエンティ
ティに対して以下を証明することを目的とする方法に当てはまる。エンティティの真正性、及び／またはこのエンティティに関連付けられるメッセージＭの完全性。

【０００８】このような方法は、以下を実現する。ｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆ（ｆは２より大きい、または２に等しい）の積
によって構成される、あるいはｆ個の素因子を実現する公開モジュラスｎ、ｇ_ｉがｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆ未満である、ｍ個の異なる基数整数ｇ_１
、ｇ_２…ｇ_ｍ（ｍは１より大きい、または１に等しい）、ｍ組の秘密値Ｑ_１、Ｑ_２、_…Ｑ_ｍ及び公開値Ｇ_１、Ｇ_２、_…Ｇ_ｍ（ｍは、１よ
り大きいまたは１に等しい）あるいはそれらから導出されるパラメータ。前記モジュラス及び前記秘密値及び公開値は、以下の型の関係によって連結さ
れ、

【数４】Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１．ｍｏｄｎｏｒＧ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎ前記公開値Ｇ_ｉは基数の二乗ｇ_ｉ ^２であり、ｖは以下の形の公開指数値を表し
、ｖ＝２^ｋここで、ｋは１より大きい機密保護パラメータである。

【０００９】本発明による方法は、ｆ個の素因数ｐ_１、ｐ_２…ｐ_ｆ及び／またはｍ個の基数
ｇ_１、ｇ_２…ｇ_ｍを、以下の条件が満たされるように生成するステップを含む。
第１条件：第１条件に従って、等式のそれぞれ

【数５】Ｘ^ｖ≡ｇ_１ ^２ｍｏｄｎ（１）は、モジュロｎの整数の環内のｘに解を有する。第２条件：第２条件に従って、Ｇ_ｉ≡Ｑ_ｉ ^ｖである場合に、階数のｋ−１倍、Ｑ_１をｍｏｄ
ｎの平方乗することによって得られるｍ個の数ｑ_１の間で、それらの内の１つは
±ｇ_ｉ分異なる（言い換えると、ノントリビアルである）。第２条件に従って、Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１ｍｏｄｎである場合、階数のｋ−１
倍、Ｑ１モジュロｎの逆数をモジュロｎの平方乗することによって得られるｍ個
のｑ_１の間で、それらの内の１つは_±ｇ_ｉ分異なる（言い換えると、ノントリビ
アルである）。これにより、１つの共通の表記により、_±ｇ_ｉは、ｇ_ｉ及びｎ−ｇ_ｉを表す。第３条件：第３条件に従って、２ｍ個の等式の中で、

【数６】Ｘ^２≡ｇ_ｉｍｏｄｎ（２）Ｘ^２≡−ｇ_ｉｍｏｄｎ（３）それらの内の少なくとも１つは、モジュロｎの整数の環内のｘに解を有する。

【００１０】本発明によるｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆ及び／またはｍ個の基数ｇ_１、ｇ
_２…ｇ_ｍを生成するための方法は、第１に以下を選ぶステップを含む。・機密保護パラメータｋ・それがｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆを生成することなのか、あるいはｍ個の
基数ｇ_１、ｇ_２…ｇ_ｍを生成することなのかに応じて、ｍ個の基数ｇ_１、ｇ_２…
ｇ_ｍ及び／またはｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆ

【００１１】好ましくは、ｍ個の基数ｇ_１、ｇ_２…ｇ_ｍが、少なくとも部分的に第１の整数
の中で選ばれる。好ましくは、機密保護パラメータｋは小さな整数、特に１００未満である。好ましくは、モジュラスｎの大きさは数百ビットより大きい。好ましくは、ｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆ、は、因子の数ｆによって除算さ
れるモジュラスｎの大きさに近い大きさを有する。

【００１２】第１条件を試すために、数ｋ、ｐ、ｇの互換性が、以下に示されるアルゴリズ
ムを実現することによって検証され、そこではｈは、２^ｈがｐを基準にしてｇの
階数を除算するように、及び２^ｈ＋１がそれを除算しないようなある数を示す。
ｈは、ルジャンドル記号（ｇ｜ｐ）から、及びＣＧ（ｐ）内の単位の２^ｔ番目の
原始根に等しい数ｂから計算され、そこでは、ルジャンドル記号（ｇ_ｉ｜ｐ_ｊ）
及びｔは、説明中以下定義される意味を有する。

【００１３】このアルゴリズムのステップは次の通りである。・（ｇ｜ｐ）＝−１の場合には、ｈ＝ｔ・ｔ＝１で（ｇ｜ｐ）＝＋１の場合には、ｈ＝０・ｔ＞１で（ｇ｜ｐ）＝＋１の場合には、手順は以下の通りになる。キー〈（ｐ−１＋２^１）／２^ｔ＋１，ｐ〉がＧに割り当てられ、結果ｗはこのよ
うにして得られる。・ｗ＝＋ｇの場合には、ｈ＝０・ｗ＝ｐ−ｇの場合には、ｈ＝＋１ｗが＋ｇまたはｐ−ｇ（この場合、５は２より大きい）とは異なる場合、計算部
分加群が適用される。変数ｃはそれに値ｂを帰して初期化され、計算部分加群の
その後のステップはｔ−１から２に及ぶ値に関して繰り返される。ステップ１：キー〈２^ｉ，ｐ〉がｗ／ｇ（ｍｏｄｐ）に適用され、＊得られる結果が＋１に等しい場合には、ステップ２に移動する。＊得られる結果が＋１に等しい場合には、値ｉはｈに帰され、ｗはｗ．ｃ（ｍｏ
ｄｐ）で置換される。ステップ２：ｃがｃ^２（ｍｏｄｐ）で置換される。求められるｈの値は、ステップ１に従ったキー〈２^ｉ，ｐ〉の適用が最後に−１
に等しい結果を生じさせたときに得られる値である。ｈ＞１のとき及びｋ＋ｈ＞ｔ＋１のとき、ｋ、ｐ、ｑが互換性がない。ｋの値が何であれｈ＝０または１であるとき、あるいはことが思い出されてよい。

【００１４】第２条件を試すために、少なくとも１つの集合｛δ_ｉ，ｌ…δ_ｉ，ｆ｝が可変
または零であるのか（δは説明中以下定義される意味を有する）がチェックされ
る。

【００１５】第３条件を試すために、ｆ個のルジャンドル記号（ｇ_ｉ｜ｐ_ｌ）から（ｇ_ｉ｜
ｐ_ｆ）がすべて＋１に等しくなるように、でなければルジャンドル記号（−ｇ_ｉ
｜ｐ_ｌ）から（−ｇ_ｉ｜ｐ_ｆ）がすべて＋１に等しいように、ｇ_１からｇ_ｍまで
の基数があるかチェックされる。

【００１６】Ｇ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎの場合に秘密値Ｑ_１、Ｑ_２…Ｑ_ｍ（Ｑ_ｉ，ｊ＝Ｑ_ｉｍ
ｏｄ_ｐｊ）のｆ．ｍ個の秘密構成要素Ｑ_ｉ，ｊを計算するためには、手順は以下
のとおりであり、ｔの値に従ってケースを区別する。ｔ＝１（つまり、ｐ_ｊ≡３（ｍｏｄ４））の場合、・数ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ＋１）／４^ｋ（ｍｏｄ（ｐ_ｊ−１）／２）となるよ
うに計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉は演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉はＧ_ｉに適用され、・このようにして以下を得る。ｗ ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）．Ｑ_ｉ，ｊの２つの考えられる値は、ｗ、ｐ_ｊ−ｗである。

【００１７】ｔ＝２（つまり、ｐ_ｊ≡５（ｍｏｄ８）の場合）・数ｓ_ｊはｓ_ｊ≡（（ｐ_ｊ＋３）／８^ｋ（ｍｏｄ（ｐ_ｊ−１）／４）となるよう
に計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉がＧ_ｉに適用され、・このようにして以下を得て、ｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）及びｗ′≡ｗ．ｚ（ｍｏｄｐ_ｊ）、この場合ｚは詳細な説明中で定義される意味を有する。Ｑ_ｉ，ｊの４つの考えられる値はｗ、ｐ_ｊ−ｗ、ｗ′、ｐ_ｊ−ｗ′である。ｈ＝０またはｈ＝１でｔ＞２（つまり、ｐ_ｊ≡２^ｔ＋１（ｍｏｄ２^ｔ＋１）の
場合）の場合、・数ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ−１＋２^ｔ）／２^ｔ＋１）^ｋ（ｍｏｄ（ｐ_ｊ−１）
／２^ｔ）となるように計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉がＧ_ｉに適用され、・このようにして以下を得る。ｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）．Ｑ_ｉ，ｊの２^{ｍｉｎ（ｋ，ｔ）}個の考えられる値は、ＣＧ（ｐ_ｊ）内の単位の
２^{ｍｉｎ（ｋ，ｔ）}番目の累乗根のどれか１つによるｗの積に等しく、の場合）場合、・ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ−^１＋２^ｔ）／２^ｔ＋１）^{ｋ＋ｈ＿１}（ｍｏｄ（ｐ_ｊ
−１）／２^ｔ）となるように計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉は演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉が２^ｈ１乗のＧ_ｉに適用され、・ｗはこのようにして得られる。

【００１８】Ｑ_ｉ，_ｊの２^ｋの考えられる値は、ＣＧ（ｐ_ｊ）の単位の２^{ｋ＋ｈ−１}番目の
原始根によるｗのすべての積に属する。Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１ｍｏｄｎの場合に、秘密構成要素Ｑ_ｉ，ｊを計算するため
には、ｓ_ｊがキー〈ｓ_ｊ，ｐ_ｊ〉の中の（（ｐ_ｊ−１）／２^ｔ）−ｓ_ｊによって
置換される。

【００１９】本発明は、ｆ個の素因子ｐ_１、ｐ_２…ｐ_ｆまたはｍ個の基数ｇ_１、ｇ_２…ｇ_ｍ
を生成することができるようにする方法を適用する方法にも関する。

【００２０】前記方法は、コントローラエンティティに対し、エンティティの真正性、及び／またはこのエンティティに関連つけられるメッセージＭの完全性を、ｍ組の秘密Ｑ_１、Ｑ_２…Ｑ_ｍ値及び公開Ｇ_１、Ｇ_２、_…Ｇ_ｍ値（ｍは１より
大きいまたは１に等しい）あるいはそれらから導出されるパラメータによって、
特に秘密構成要素Ｑ_ｉ，ｊによって、証明することを目的とする。

【００２１】前記方法は、証人と呼ばれるエンティティを以下のステップに従って実現する
。前記証人エンティティは、ｆ個の素因子ｐ_ｉ及び／または素因子のチャイニー
ズ剰余のパラメータ及び／または公開モジュラスｎ及び／またはｍ個の秘密値Ｑ
_ｉ及び／または秘密値Ｑ_ｉのｆ．ｍ個の秘密構成要素Ｑ_ｉ，ｊ及び公開指数値を
有する。

【００２２】証人は、モジュロｎの整数の環内のコミットメントＲを計算する。各コミット
メントは、以下のように計算される。・以下の型の演算を実行することによって、

【数７】Ｒ≡ｒ^ｖｍｏｄｎこの場合、ｒは０＜ｒ＜ｎとなるように乱数である。・あるいは以下の型の演算を実行した後に、チャイニーズ剰余の方法を提供する
ことによって

【数８】Ｒ_ｉ≡ｒ_ｉ ^ｖｍｏｄｐ_ｉこの場合、ｒ_ｉは、０＜ｒ_ｉ＜ｐ_ｉであり、それぞれのｒ_ｉが乱数の集合体｛ｒ
_１、ｒ_２、からｒ_ｆ｝に属するように、素数ｐ_ｉと関連付けられる乱数である。

【００２３】証人は、１つまたは複数のチャレンジｄを受け取る。各チャレンジｄは、以下
初歩チャレンジと呼ばれるｍ個の整数ｄ_ｉを受け取る。証人は、各チャレンジｄ
から応答Ｄを以下によって計算する。・以下の型の演算を実行することによって

【数９】Ｄ≡ｒ．Ｑ_１ ^ｄ１．Ｑ_２ ^ｄ２ｔｏＱ_ｍ ^ｄｍｍｏｄｎ
・以下の型の演算を実行した後に、チャイニーズ剰余の方法を適用することによ
って

【数１０】Ｄ_ｉ≡ｒ_ｉ．Ｑ_ｉ，１ ^ｄ１．Ｑ_ｉ，２ ^ｄ２ _…Ｑ_ｉ，ｍ ^ｄｍｍｏｄｐ_ｉ

【００２４】前記方法は、チャレンジｄ及びコミットメントＲと同じ程度多くの応答Ｄがあ
るほどである。数、Ｒ、ｄ、Ｄの各グループは、｛Ｒ，ｄ，Ｄ｝で表されるトリ
プレットを構成する。

【００２５】［詳細な説明］ＧＱ技術の目標とは、エンティティ及びメッセージの動的な認証、及びメッセ
ージのデジタルシグニチャである。それは、「知識の移転を行わない」技術であ
る。あるエンティティは、それが１つまたは複数の秘密数を知っていることを証
明する。別のエンティティが管理する。つまり、それは１つまたは複数の一致す
る公開数を知っている。証明側エンティティは、それらを必要な回数使用できる
ようにするために、１つまたは複数の秘密数を明らかにしないで管理側エンティ
ティを説得することを望む。

【００２６】各ＧＱパターンは、大きな秘密素数から構成される公開モジュラスに基づく。
公開指数値ｖ及び公開モジュラスｎは、ともに「ｖモジュラスｎ乗する」ことを
意味する検証鍵〈ｖ、ｎ〉を形成し、すべてが同じ直接型、つまりＧ≡Ｑ^ｖ（ｍ
ｏｄｎ）または逆のＧｘＱ^ｖ≡１（ｍｏｄｎ）である１つまたは複数の一般
的方程式によって実施される。型は、証明側エンティティではなく、管理側エン
ティティ内での計算の演算に影響を及ぼす。事実上、機密保護分析が２つの型を
混乱させる。各一般的方程式は、公開数Ｇ及び秘密数Ｑをリンクさせ、あわせて
１組の数｛Ｇ，Ｑ｝を形成する。要約すると、各ＧＱパターンは、同じキー〈ｖ
、ｎ〉について、１組または複数組の数｛Ｇ，Ｑ｝を実現する。

【００２７】ＧＱ１とここで呼ばれているＧＱパターンの従来のバージョンは、ＲＳＡデジ
タルシグニチャパターンを使用する。そういうわけで、検証鍵〈ｖ、ｎ〉が、好
ましくは偶数ではないｖ指数値が素数であるＲＳＡ公開鍵である。各ＧＱ１パタ
ーンは、通常、数｛Ｇ，Ｑ｝の単一の組を使用する。公開数Ｇは、ＲＳＡデジタ
ルシグニチャパターンの整数部であるフォーマットによる識別データから演繹さ
れる。秘密数Ｑまたは、でなければｍｏｄｎの逆数は、識別データのＲＳＡシ
グニチャである。証明側エンティティは、独自の識別データからＲＳＡシグニチ
ャを知っていることを証明し、この証明は、したがって必要な回数だけ使用され
るために秘密のままとなるシグニチャを明らかにしない。

【００２８】ＧＱ１パターンは、通常、２つのキーレベルに適用する。つまり、ＲＳＡシグ
ニチャ秘密鍵は、それら自体を、識別データを介して互いから識別するエンティ
ティを信任する権威のために確保される。このようなパターンが「アイデンティ
ティベースの」であると言われる。このようにして、チップカード発行者は、そ
れがカードに多様な秘密鍵として記す秘密数Ｑを計算するために、各カード発行
時に自分のＲＳＡ秘密鍵を使用する。でなければ、コンピュータネットワーク上
のカスタマは、セッション中にカスタマの一日限りの秘密鍵となるだろう秘密数
Ｑを計算するために、ログすると必ず自分のＲＳＡ秘密鍵を使用する。証明側エ
ンティティ、チップカード、またはログオンしたカスタマは、自らの識別データ
のＲＳＡシグニチャを知っている。彼らは、キーの階層の中ですぐ上のレベルに
あるＲＳＡ秘密鍵を知らない。しかしながら、権威のレベルでの７６８ビットモ
ジュラスを用いたＧＱ１によるエンティティの動的認証は、それぞれのエンティ
ティのレベルに３つの素因数のある５１２ビットモジュラスを用いたＲＳＡによ
るエンティティの動的認証とほぼ同じ作業負荷を必要とし、証明側エンティティ
が、積を法として結果を計算する前に、素因数のそれぞれを法として結果を計算
することによりチャイニーズ剰余の技法を使用できるようにする。

【００２９】しかしながら、権威エンティティと信任されたエンティティの間のキーの階層
は必須ではない。ＧＱ１は、証明側エンティティに特定のモジュラスとともに使
用されてよく、証明側エンティティレベルでのモジュラスが、例えば７６８ビッ
トに比較して５１２ビットなど権威レベルでのモジュラスより短くてよいという
事実とは別に、根本的に管理側エンティティの作業負荷を変更しない証明側エン
ティティの作業負荷を削減するためにチャイニーズ剰余の技法を使用できるよう
にする。

【００３０】エンティティが独自のモジュラスの素因数を知っているときに、なぜデジタル
シグニチャＲＳＡパターンを使用するのか。

【００３１】ここでは初歩ＧＱ２と呼ばれているＧＱパターンの別のバージョンは、モジュ
ラスｎの因数分解という問題を直接的に使用する。この文脈では、「直接的に」
とは、「ＲＳＡシグニチャを使用しないで」を意味する。ＧＡ２の目的とは、事
実上、証明側のだけではなく管理側の作業負荷も削減することである。証明側エ
ンティティは独自のモジュラスの分解に関する知識を証明し、この証明は、した
がって、必要とされる回数使用されるために秘密のままとなる分解を明らかにし
ない。ＧＱ２プロトコルの機密保護は、モジュラスの因数分解に同等である。各証明側エンティティは、独自のモジュラスｎを有する。各ＧＱ２パターンは
、パラメータｋ、公開指数値ｖ＝２^ｋを固定する１より大きい小さな数、及び１
組または複数組の数｛Ｇ_１，Ｑ_１｝から｛Ｇ_ｍ，Ｑ_ｍ｝を実現する。各公開数Ｇ
_１は、１より大きい小さな数ｇ_１の平方であり、「基数」と呼ばれる。すべての
証明側エンティティが、１つまたは複数の同じ公開数Ｇ_１からＧ_ｍを使用する。
そういうわけで、モジュラスｎ及び１つまたは複数の秘密数Ｑ_１からＱ_ｍの因数
分解は、キーの階層の同じレベルにある。ＧＱ初歩キーの各集合は、２つの必要
な及び十分な条件によって定義される。

【００３２】基数ごとに、２つの等式ｘ^２≡_±ｇ_ｉ（ｍｏｄｎ）のどちらもモジュロｎの整
数の環内のｘに解を有さない。つまり、_±ｇ_ｉは、ｍｏｄｎ、２つの非平方剰余
である。

【００３３】基数ごとに、ｖ＝２^ｋがモジュロｎの整数の環内のｘに解を有する等式ｘ^ｖ
≡ｇ_ｉ ^２（ｍｏｄｎ）。秘密数Ｑ_１またはｍｏｄｎの逆数は、これらの解のどち
らかである。

【００３４】第２条件を考慮すると、数_±ｇ_ｉがｍｏｄｎの２つの非平方剰余であるため
には、モジュラスｎは、それを基準にしてｇ_１ルジャンドル記号が異なる３（ｍ
ｏｄ４）と合致する少なくとも２つの素因数を備えなければならない。その結果
、そのどれも３（ｍｏｄ４）と合致しない、あるいはその１つが３（ｍｏｄ４）
と合致する素因数から構成される任意のモジュラスは、ＧＱ２初歩キーの集合を
確立できるようにせず、３（ｍｏｄ４）と合致する素因数を好む。無作為の大き
な素数で棒がすると、それらの約半分は、３（ｍｏｄ４）と合致する、及び半分
が１（ｍｏｄ４）と合致することが判明する。したがって、使用中の多くのＲＳ
Ａモジュラスは、初歩ＧＱ２キーの集合を確立することを可能としない。

【００３５】私達は、ここでＧＱ２汎用化キーの集合を導入し、特に、任意のＲＳＡモジュ
ラスでＧＱ２技法を任意のモジュラスとともに使用できるようにするためにこの
制約を克服するために使用する。それらは、２つの必要且つ十分な原則に基づい
ている。

【００３６】第１の原則は、第２ＧＱ２初歩条件を複製する。

【００３７】基数ｇ_１からｇ_ｍごとに、ｖ＝２^ｋが、モジュロｎの整数の環内のｘに解を有
する等式ｘ^ｖ≡ｇ_ｉ ^２（ｍｏｄｎ）。

【００３８】秘密数Ｑ_ｉ、でなければｍｏｄｎの逆数が等式の解であるため、ｋ−１個の
連続したモジュロｎの平方が、それをモジュロｎの整数の環内のＧ_ｉという平方
根であるｑ_ｉに変換する。数ｑ_ｉが２つの数ｇ_ｉまたはｎ−ｇ_ｉの一方に等しい
かどうか、あるいは２つのｇ_ｉとｎ−ｇ_ｉと異なっているかどうかに従って、そ
れがトリビアルであるのか、ノントリビアルであるのかというふうに言う。数ｑ
_ｉがノントリビアルであるとき、ｑ_ｉ ^２−ｇ_ｉ ^２を除算するｎは、ｑ_ｉ−ｇ_ｉも
ｑ_ｉ＋ｇ_ｉも除算しない。したがって、ノントリビアルな数ｑ_ｉは、モジュラス
ｎの分解を明らかにする。

【００３９】ｎ＝ｐｇｃｄ（ｎ，ｑ_ｉ−ｇ_ｉ）ｘｐｇｃｄ（ｎ，ｑ_ｉ＋ｇ_ｉ）

【００４０】第２原則は、第１ＧＱ２初歩条件を広げる。

【００４１】数ｑ_ｉからｑ_ｍのうち、少なくとも１つの数ｑ_ｉはノントリビアルである。数_±ｇ_ｉが、モジュロｎの整数の環内の２つの非平方剰余であるときに、数ｑ
_ｉが存在する場合数ｑ_ｉがはっきりとノントリビアルであることに注記しよう。
したがって、初歩的なＧＱ２キーの集合は、モジュラスを使用できるようにする
一般的に使用されているＧＱ２キーの集合の完全な一部、つまりその内の少なく
とも２つが異なる３または１（ｍｏｄ４）に関わりなく合致する大きな素数の任
意の構成物である。他方、一般的に使用されているＧＱ２の多くの集合は、ＧＱ
２初歩キーの集合ではない。一般的に使用されているＧＱ２キーの各集合は、２
つの以下のケースの内の１つにある。

【００４２】２ｘｍ個の数±ｇ_ｉから±ｇ_ｍがすべて非平方剰余であるとき、それはＧＱ２
初歩キーの集合である。２ｘｍ個の数_±ｇ_ｉから_±ｇ_ｍの中で、少なくとも１つの平方剰余があるとき
、それはＧＱ２初歩キーの集合ではない。それは、ここで私達がＧＱ２補足キー
と呼ぶものである。

【００４３】本発明は、ＧＱ２補足キーの集合、定義により、初歩的ではない一般的に使用
されているそれらのＧＱキーの集合に関係する。２つの前記原則とは別に、この
種の集合は、第３の原則を満たさなければならない。

【００４４】２ｘｍ個の数_±ｇ_ｉから_±ｇ_ｍの中で、少なくとも１つの平方剰余がある。問
題をの意味を捉え、私達がそれに対処している解決策、つまり発明を理解するた
めに、最初に、ノントリビアルな数ｑによって明らかにされるモジュラスｎの分
解を分析してから、チャイニーズ剰余の技法、それからガロアフィールドＣＧ（ｐ）の階数の概念を思い出してみよう。ＣＧ（ｐ）での「累乗する」の機能を
研究し、ＣＧ（ｐ）の二次的な剰余の「平方根を取る」。最後に、前述された３
つの原則の適用性を分析してみよう。

【００４５】モジュラスの分解の分析―まさにモジュラスｎがｆ個の素因数ｐ_１からｐ_ｆに
分解するように、モジュロｎの整数の環はｆ個のガロアフィールドＣＧ（ｐ_１）
にＣＧ（ｐ_ｆ）分解する。各フィールドでは、単位の２つの平方根、すなわち_±
１がある。したがって、環の中では、単位の２^ｆ個の平方根がある。それぞれの
秘密数Ｑ_１からＱ_ｍが、環内の単位のこれらの２^ｆの平方根の１つである数△_ｉ
＝ｑ_ｉ／ｇ_ｉ（ｍｏｄｎ）を定義する。言い換えると、ｎが△_ｉ ^２−１を除算
する。

【００４６】・ｑ_ｉがトリビアルである、つまり△_ｉ＝_±１であるとき、ｎは△_ｉ−１または
でなければ△_ｉ＋１を除算するため、△_ｉはモジュラスｎの分解を明らかにしな
い。・ｑ_ｉがノントリビアルである、つまり△_ｉ≠_±１であるとき、ｎは、△_ｉ−１
も△_ｉ＋１も分割しないため、△_ｉは、各フィールド内の△_Ｉという値から生じ
る分解

【００４７】ｎ＝ｐｇｃｄ（ｎ，△_ｉ−１）Ｘｐｇｃｄ（ｎ，△_ｉ＋１）を明らかにする。
つまり、△_ｉ−１を除算する一方で１つまたは複数の因数であり、他方でそれま
たはそれらは△_ｉ＋１を除算する。

【００４８】数ｑの乗算の構成規則を調べてみよう。２つの数｛ｑ_１、ｑ_２｝が、１つの合
成数ｑ_１ｘｑ_２（ｍｏｄｎ）を与える。 −ｑ_１がノントリビアルであり、ｑ_２がトリビアルであるとき、合成数ｑ_１ｘｑ
_２（ｍｏｄｎ）はノントリビアルである。それは、ｑ_１と同じ分解を明らかにす
る。

【００４９】ｑ_１とｑ_２がノントリビアルであり、△_１＝_±△_２であるとき、合成数ｑ_１ｘ
ｑ_２（ｍｏｄｎ）はトリビアルである。それは分解を明らかにしない。

【００５０】ｑ_１とｑ_２がノントリビアルであり、△_１≠_±△_２であるとき、合成数ｑ_１ｘ
ｑ_２（ｍｏｄｎ）はノントリビアルである。それは第３の分解を明らかにする。

【００５１】３つの数｛ｑ_１、ｑ_２，ｑ_３｝は、４つの合成数｛ｑ_１ｘｑ_２、ｑ_１ｘｑ_３、
ｑ_２ｘｑ_３、ｑ_１ｘｑ_２ｘｑ_３（ｍｏｄｎ）｝、つまり計７つの数を示す。こ
のようにして、ｍ個の数は、２^ｍ−ｍ−１個の合成数、つまり２^ｍ−１個の数の
合計を示す。

【００５２】ｉ個の基数及びｇ_１からｇ_ｉ及びｉ個の数ｑ_１からｑ_ｉを示すｉ個の秘密数Ｑ
_１からＱ_ｉ、したがって単位の累乗根であるｉ個の数△_１から△_ｉを備える、一
般的に使用されるＧＱ２キーの集合を考えてみよう。数ｑ_ｉ＋１及びしたがって
累乗根△_ｉ＋１を示す秘密数Ｑ_ｉ＋１により別の基数ｇ_ｉ＋１を考慮してみよう
。・２^ｉ＋１−１個の数の合計は、２つの以下のケースのそれぞれで多くのノント
リビアルな数を備える。

【００５３】累乗根△_ｉ＋１はトリビアルであり、少なくとも１つの累乗根△_１から△_ｉが
ノントリビアルである。累乗根△_ｉ＋１がノントリビアルであり、２ｘｉの累乗根_±△_１から_±△_Ｉの
中で計算する。・累乗根△_ｉ＋１がノントリビアルであり、２ｘｉの累乗根_±△_１から_±△_Ｉの
中で計算しない場合、ｑ_ｉ＋１が計算する各合成数はノントリビアルである。その結果、ｍ個の数ｑ_１からｑ_ｍの中で、少なくとも１つがノントリビアルであ
るとき、２^ｍ−１個の数の合計の半分より多くがノントリビアルである。定義により、私達は、２^ｌ−ｌ−１個の対応する合成数がノントリビアルである
、言い換えると、合計で２^ｌ−１個の数がすべてノントリビアルであるときに、
１＜ｆ個のノントリビアルな数｛ｑ_１、ｑ_２、_…ｑ_ｉ｝がモジュラスｎを基準に
して独立していると言う。そういうわけで、これらの２^ｌ−１個の数のそれぞれ
がモジュラスｎの異なる分解を表す。ｆ個の素因数が別個であるとき、モジュラ
スｎの２^ｆ−１−１の分解がある。それから、ｆ−１個の数ｑが独立している場
合、２^ｆ−１−１の分解とｆ−１個の独立数及び対応する２^ｆ−１−ｆ個の合成
数を含む、２^ｆ−１−１個の数の合計の間には１対１の対応がある。チャイニーズ剰余―２つのａとｂを、０＜ａ＜ｂとなるようにそれらの間で素に
、及び２つの数を０からａ−１のＸ_ａ及び０からｂ−１からのＸ_ｂとしてみよう
。それは、Ｘ_ａ≡Ｘ（ｍｏｄａ）及びＸ_ｂ≡Ｘ（ｍｏｄｂ）となるように、
０からａｘｂ−１までの一意の数Ｘを決定することである。α≡｛ｂ（ｍｏｄ
ａ）｝^−１（ｍｏｄａ）は、チャイニーズ剰余のパラメータである。ここに、
チャイニーズ剰余の初歩的な演算がある。

【００５４】

【数１１】

【００５５】要約すると、私達は以下のように書く。Ｘ＝チャイニーズ剰余（Ｘ_ａ，Ｘ_ｂ）
ｆ個の素因数が最小ｐ_１から最大のｐｆへ昇順に置かれるとき、チャイニーズ剰
余のパラメータは以下であってよい（素因数未満のもの、つまりｆ−１がある）
。第１パラメータは、α≡（ｐ_２（ｍｏｄｐ_１））^−１（ｍｏｄｐ_１）である
。第２パラメータは、β≡（ｐ_１ｘｐ_２（ｍｏｄｐ_３））^−１（ｍｏｄｐ_３）
である。ｉ番目のパラメータは、λ≡（ｐ_１ｘ_…ｐ_ｉ−１（ｍｏｄｐ_１）^−１（ｍｏｄ
ｐ_１）である。等々。

【００５６】ｆ−１個の初歩的な演算では、数Ｘが、Ｘｆ０からｐｆ−１ｉｓであるＸ_１か
Ｘｆのｆ個の構成要素の任意の集合からの０からｎ−１で確立される。第１パラメータのある第１結果（ｍｏｄｐ_１ｘｐ_２）それから、第２パラメータのある第２結果（ｍｏｄｐ_１ｘｐ_２ｘｐ_３）最後のパラメータのある最終結果（ｎ＝ｍｏｄｐ_１ｘｐ_２ｘ_…ｐｆ）要約すると、素因数ｐ_１からｐｆを考慮すると、モジュロｎの整数の環の各要
素が２つの同等な表現を有する。ｆ個の数Ｘ_１からＸｆ、素因数ごとの１つの構成要素：Ｘｆ≡Ｘ（ｍｏｄｐ
ｆ）、０からｎ−１までの数Ｘ、Ｘ＝チャイニーズ剰余（Ｘ_１、Ｘ_２、からＸｆ）。ＣＧ（ｐ）内の数の階数―偶数ではない素数ｐ及びｐより小さいａ、つまり０
＜ａ＜ｐがあるようにする。定義により、ｐを基準にした階数は、｛ｘ_１＝ａ；
るストリーム｛Ｘ｝である。フェルマの定理によって、私達は、ｘ_１＋ｐ≡ａ^ｐ
ｘｘ_ｉ≡ａｘｘ_ｉ≡ｘ_ｉ＋１（ｍｏｄｐ）を得る。その結果、ｐを基準にした
数の階数はｐ−１またはｐ−１の序数である。

【００５７】例えば、（ｐ−１）／２が偶数ではない素数ｐ′であるとき、ガロアフィール
ドＣＧ（ｐ）は、階数１の数、つまり、これは１、階数２の数、つまりこれは
−１、階数ｐ′のｐ′−１数、及び階数２Ｘｐ′＝ｐ−１のｐ′−１数を備える
。ＣＧ（ｐ）では、階数ｐ−１の任意の数は「生成素」である。命名は、ＣＧ（
ｐ）ないの生成素の連続する累乗、つまり１からｐ−１の添数のストリーム｛Ｘ
｝の項が、ＣＧ（ｐ）のすべての非零要素の順列を形成するという事実のためで
ある。

【００５８】ＣＧ（ｐ）の生成素ｙがあるようにする。ｙ（ｍｏｄｐ）の階数をｉ及びｐ
−１の関数として評価してみよう。ｉがｐ−１と素であるとき、それはｐ−１で
ある。ｉがｐ−１を除算するとき、それは（ｐ−１）／Ｉである。すべてのケー
スで、それは（ｐ−１）／ｐｇｃｄ（ｐ−１，ｉ）である。定義により、オイラー関数ψ（ｎ）は、ｎより小さい数の数の数であり、ｎと素
である。ＣＧ（ｐ）では、ψ（ｐ−１）個の生成素がある。

【００５９】例証により、階数は、ＲＳＡの基礎の良好な理解を提供する。モジュラスｎが
ごとに、公開指数値ｅは、ｐ_ｊ−１に対して素でなければならない。それから、
キー〈ｅ，ｐ_ｊ〉が、ＣＧ（ｐｆ）の要素の階数を尊重する。つまり、それは、
ＣＧ（ｐ_ｊ）の要素を順列する。ｐ_ｊ−１がｅＸｄ_ｊ−１を除算するように、通
常は一般的には考えられる最小の数ｄ_ｊがある。キー〈ｄ_ｊ，ｐ_ｊ〉は、ＣＧ（
ｐ_ｊ）の要素の順列を逆転する。各フィールドＣＧ（ｐ_１）からＣＧ（ｐｆ）内
に１つづつ、これらのｆ個の順列が、公開鍵〈ｅ，ｎ〉によって要約されるＲＳ
Ａ順列によってモジュロｎの整数の環に表現される。一般的には考えられる最小
のｄ，があり、その結果、ｐｐｃｍ（ｐ_１−１，ｐ_２−１、_…ｐｆ−１）がｄＸ
ｅ−１ｂｙを除算する。ｐ_１からｐｆの素因数ｐ_ｊとごに、私達はｄ_ｊ≡ｄ（ｍ
ｏｄｐｆ−１）を有する。公開鍵〈ｅ，ｎ〉によｔって要約されるＲＳＡ順列
は、秘密鍵〈ｄ，ｎ〉によって逆転される。

【００６０】ＣＧ（ｐ）内の平方 ―ｐ−１が２^ｔ＋１によってではなく２^ｔによって除算
可能であるように、数ｔを定義してみよう。それぞれの大きな素数が、あるカテ
ゴリで、及び１つ単独で計算する。ｔ＝１、ｔ＝２、ｔ＝３、ｔ＝４等である。
連続する素数の十分に大きな数が考慮される場合、ｐが３（ｍｏｄ４）と合致す
る第１カテゴリ内で２つの内のほぼ１つが計算し、ｐが５（ｍｏｄ８）と合致す
る第２カテゴリ内で４つの内の１つが計算し、ｐが９（ｍｏｄ１６）と合致する
第３カテゴリ内で８つの内の１つが計算し、ｐが１７（ｍｏｄ３２）と合致する
第４カテゴリ内で１６の内の１つが計算する等、平均してｐが２^ｔ＋１（ｍｏｄ
２^ｔ＋１）と合致するｔ−番目のカテゴリ内で２^ｔ個の内の１つが計算する。

【００６１】数ｘ及びｐ−ｘは、ＣＧ（ｐ）内で同じ平方を有するため、キー〈２，ｐ〉は
、ＣＧ（ｐ）を順列しない。ＣＧ（ｐ）ないの「乗算する」関数は、フィールド
内の各非零要素がその場所を有する方角を定めて配置されるグラフによって表さ
れてよい。各要素の階数のパリティに従って、枝内及び円内の構造を分析してみ
よう。

【００６２】零要素は固定されている。それは０である。階数は、他の要素が連結されてい
ない零要素について定義されない。零要素は隔離されている。単位要素は固定されている。それは、１であり、階数１の唯一の要素である。
ＣＧ（ｐ）内での単位のすべての累乗根は、どれであれ、１に連結する枝内にあ
る。ｙをＣＧ（ｐ）の非平方剰余とする。キー〈（ｐ−１）／２^ｔ，ｐ〉がｂに
よって表される−１の２^ｔ−１番目の原始根にｙを変換する。事実上、私達はｙ
^{（ｐ−１）}／^２≡−１（ｍｏｄｐ）を有する。その結果、ＣＧ（ｐ）では、１
から２^ｔ−１の指数についてのｂの累乗は、１以外の単位の２^ｔ−１累乗根であ
る。つまり、それらは１に連結する枝を構成する。

【００６３】偶数階数の任意の要素の平方は、その階数が２により除算される別の要素であ
る。その結果として、偶数階数の各要素は枝内に置かれる。それぞれの枝は、４
３である場合には、１６によってではなく８によって除算可能な階数の４つの数
能な階数の８つの数を備える等である。すべての枝は１に連結される枝に類似す
る。つまり各枝の２^ｔ−１枚の葉は、非平方剰余である。各枝は２^ｔ−１個の要
素を備え、偶数ではない要素に連結される。すべてが同じ長さｔを有する（ｐ−
１）／２^ｔの枝がある。

【００６４】単位要素以外の偶数ではない階数の任意の要素の平方は、同じ階数を有する別
の要素である。キー〈２，ｐ〉は、偶数ではない階数のすべての（ｐ−１）／２
^ｔ個の要素を順列する。順列は、順列サイクルに分解する。サイクルの数は、（
ｐ−１）／２^ｔの因数分解に依存する。（ｐ−１）／２^ｔの各除数ｐ′ごとに、
階数ｐ′のψ（ｐ′）個の要素を備えるサイクルがある。定義により、オイラー
関数ψ（ｐ′）がｐ′より小さく、ｐ′と素であることが思い出されなければな
らない。例えば、ｐ′＝（ｐ−１）／２^ｔが素であるとき、階数ｐ′のｐ′−１
数が大きな順列サイクルを形成する。

【００６５】図１Ａから図１Ｄは、それぞれ、３（ｍｏｄ４）、５（ｍｏｄ８）、９（
ｍｏｄ１６）及び１７（ｍｏｄ３２）にそれぞれ合致するｐのグラフ断片を
示す。枝の上の葉は、白い円によって示される。これらは、非平方剰余である。枝の中のノードは灰色の円によって示される。これらは偶数階数の二次的な要
素である。円の中のノードは、黒の円によって示される。これらは、偶数ではない階数の
二次的な要素である。

【００６６】ＣＧ（ｐ）内の平方根―ａがＣＧ（ｐ）平方剰余であることを知っているので
、等式ｘ^２≡ａ（ｍｏｄｐ）の解を計算する、つまりＣＧ（ｐ）内の「平方根
を取る」方法を確認してみよう。言うまでもなく同じ結果を得る複数の方法があ
る。シリーズ数学の卒業生テキスト（ＧＴＭ１３８）の第１３８巻としてベルリ
ンのスプリンガー（Ｓｐｒｉｎｇｅｒ）によって出版されたＨｅｎｒ_ｉＣｏｈｅ
ｎによる本、計算台数的数理論（ａＣｏｕｒｓｅｏｎＣｏｍｐｕｔａｔｉ
ｏｎａｌＡｌｇｅｂｒａｉｃＮｕｍｂｅｒＴｈｅｏｒｙ）の３１ページか
ら３６ページを参照できるだろう。

【００６７】数ｓ＝（ｐ−１＋２^ｔ）／２^ｔ−１は、以下に値するキー〈ｓ，ｐ〉を与える
。ｐが３（ｍｏｄ４）に合致するときの〈ｐ＋１）／４，ｐ〉ｐが５（ｍｏｄ８）に合致するときの〈ｐ＋３）／８，ｐ〉ｐが９（ｍｏｄ１６）に一致するときの〈ｐ＋７）／１６，ｐ〉ｐが１７（ｍｏｄ３２）に一致するときの〈ｐ＋１５）／３２，ｐ〉等である
。

【００６８】キー〈ｓ，ｐ〉は、円の中の任意の要素を円の中の過去の要素に変換する。ａ
が偶数ではない階数からであるとき、それは偶数ではない階数の解である。私達
はそれをｗと名づける。実際に、ＣＧ（ｐ）ではｗ^２／ａは、（２Ｘ（ｐ−１＋
２^ｔ／２^ｔ−１）−１＝（ｐ−１）／２^ｔ乗されるのに値する。それ以外の解は
偶数の階数からである。それは、ｐ−ｗである。

【００６９】一般的には、〈ｓ，ｐ〉は、任意の平方剰余ａを私達がｒと名づける第１解近
似に変換する。ａは平方剰余であるため、〈２^ｔ−１，ｐ〉は、確実にｒ^２／ａ
を１に変換する。ａの平方根に近づくために、ｒ^２／ａを２^ｔ−２（ｍｏｄｐ
）乗し、＋１または−１を得る。結果が＋１である場合には新しい近似はｒのま
まとなり、でなければ、ｂがフィールドＣＧ（ｐ）内の１の任意の２^ｔ−番目の
原始根を示すことを知っているので、結果が−１である場合にはｂｘｒ（ｍｏ
ｄｐ）になる。その結果、キー〈２^ｔ−２，ｐ〉は、新しい近似を１に変換す
る。〈２^ｔ−３，ｐ〉を使用することによって、及び必要ならばｂ^２（ｍｏｄ
ｐ）によって乗算することによって当により近づくことも可能である。

【００７０】以下のアルゴリズムが等式を解決する。それは、前記に定義された数ａ、ｂ、
ｐ、ｒ及びｔならびに２個の変数を使用する。ｃは、連続補正を表し、ｗは連続
近似を表す。アルゴリズムの最初では、ｃ＝ｂ及びｗ＝ｒである。計算の最後で
は、２つの解はｗ及びｐ−ｗである。

【００７１】ｉがｔ−２から１に及ぶ場合、以下のシーケンスを繰り返す。キー〈２^ｔ，ｐ〉を数ｗ^２／ａ（ｍｏｄｐ）に適用し、＋１または−１を得
る。 −１が得られると、ｗをｗｘｃ（ｍｏｄｐ）で置換する。ｃをｃ^２（ｍｏｄ
ｐ）で置換する。

【００７２】原則の適用性―定義により、私達は、指数値ｖが２^ｋに値する等式ｘ^ｖ≡ｇ
^２（ｍｏｄｐ）がフィールドＣＧ（ｐ）内のｘに解を有するときに、パラメー
タｋ、基数ｇ及び素因数ｐが互換であると言う。数ｋ及びｇは、小さく、１より
大きい。ｐは大きな素数である。

【００７３】ｔ＝１、つまりｐ≡３（ｍｏｄ４）であるとき、等式は２つの解を有する。ｔ＝２、つまりｐ≡５（ｍｏｄ８）であるとき、ｐを基準にしたｇというル
ジャンドルの記号に従って、等式は、（ｇ｜ｐ）＝＋１であるならば４つの解を
有する。（ｇ｜ｐ）＝−１である場合にはそれには解はない。ｔ＞２つまりｐ≡１（ｍｏｄ８）であるとき、ｕを、２^ｋがｐを基準にして
公開数Ｇ＝ｇ_２を除算するが、２^ｕ＋１はそれを除算しないような数にしよう。

【００７４】その結果、ｕは、０からｔ−１の数の１つに等しい。ｕ＞０及びｋ＋ｕ＞ｔの
る。それは、ｕ＝０及びｋ＞ｔの場合２^ｔ個の解を有する。

【００７５】したがって、Ｇが円の中にあるのか、あるいはでなければ枝の中の適切な位置
にあるのかに従って２種類の互換性がある。Ｇが円内にある、つまりｋの値が何であれｕ＝０であるときには円の中には偶
数ではない階数の解があり、円に連結されるα＝ｍｉｎ（ｋ，ｔ）の連続枝には
＝３であるこのケース、つまりｕ＝０を課す９（ｍｏｄ１６）に合致する素因
数を示す。

【００７６】 ^ｋの解決策、偶数階数のすべて、及び枝の中にある。図２Ｂは個のケースを示す
。

【００７７】パラメータｋを考慮するとｔの値がｋより低いか、あるいはでなければｋより
高い、またはｋに等しいかどうかに従って２種類の素因数がある。ｔ＜ｋとなるような任意の素因数ｐ_ｊの場合、各Ｇ_ｉは円の中にいなければな
らず、Ｇ_ｉに連結される枝の中に解はない。ｇ_ｉが円内にあるのか、あるいは−
ｇ_ｉが円内にあるのかに応じて、＋１または−１に値する△_ｉｊを定義してみよ
う。ｍ個の数△_１，ｊから△_ｍ，ｊのどれかについて選択肢はない。図３Ａは、
ケースｔ＜ｋを示し、Ｇ_ｉは、素因数ｐ_ｊが９（ｍｏｄ１６）に合致する、つ
まりｕ＝０、ｋ＞３の場合にｔ＝３である円内にある。でなければならず、言い換えると、あるいはでなければｕ＝０の場合に園内にあ
ｇ_ｉに連結するグラフの一部であるのか、あるいは−ｇ_ｉに連結するグラフの一
部であるのかに応じて＋１または−１に値する数△_ｉｊを定義してみよう。ｍ個
の△_１，ｊから△_ｍ，ｊのそれぞれについて選択肢がある。それぞれの数△_１ｊ
は、し、Ｇ_ｉは、１７（ｍｏｄ３２）に合致する素因数ｐのある枝の中にある。つ
まり、ｋ＝３の場合に、ｕ＝１、ｔ＝４である。

【００７８】ｆ個の構成要素｛△_ｉ，１から△_ｉ，ｆ｝の各集合は、ＣＧ（ｐｆ）内の単位
の平方根である。この累乗根は、ｆ個の構成要素が等しいかどうかに従って、ト
リビアルまたはノントリビアルである。そういうわけで、私達は、数ｑ_ｉがトリ
ビアルであるのか、ノントリビアルであるのかという事実を表すｆ個の構成要素
の集合が一定または可変であるかを言う。その結果として、ｑ_ｉがノントリビア
ルであるとき、ｆ個の構成要素｛△_ｉ，１から△_ｉ，ｆ｝がモジュールの分解を
要約する。そういうわけで、秘密構成要素Ｑ_ｉ，ｊを計算する前に原則を試すこ
とが可能である。

【００７９】公開数Ｇ_ｉが素因数ｐ_ｊの円内にあるとき、数△_ｉ，ｊは、ｇ_ｉが円内にある
のか、あるいは−ｇ_ｉが円内にあるのかに従って＋１または−１に値する。ｐ_ｊ
≡３（ｍｏｄ４）であるとき、それは、ルジャンドル記号、つまり△_ｉ，ｊ＝
（ｇ_ｉ｜ｐ_ｊ）である。公開数Ｇ_ｉが素因数ｐ_ｊの枝の中の適切な位置にあるとき、△_ｉ，ｊに与えら
れる値は、秘密構成要素Ｑ_ｉ，ｊを計算する前に求められてよい。キーの集合の生成―パラメータｋを考慮すると、２つの戦略がある。生成元がｍ個の基数を求めるためにｆ個の素因数を必要とする。第１素数、２
、３、７等は、ｆ個の大きな素因数ｐ_１からｐｆのそれぞれとのその互換性を評
価するために調べられる。ｇ＝２はｐ≡５（ｍｏｄ８）と互換ではないが、２
は基数の構成物の中に入る。実際、２個の数が枝内の類似する位置にあるとき、
それらの積は、まさに平方が円に近くなるように円にさらに近くなる。基数は、
個々には適切ではない数を備えることによって、このようにして得ることができ
る。あるいは生成元はｍ個の基数及びビットサイズ（例えば、５１２、７６８，１
位ビット（例えば、１、８、１６、２４、３２）などのモジュラスの特徴を必要
とする。ｇ_１、ｇ_２…ｇ_ｍによって示され、基数は、通常、第１素数２、３、５
、７、１１等の中で計算するか、あるいはでなければそれらは第１素数の組み合
わせである。それ以外に示されない限り、これらがｍ個の第１素数である。つま
りｇ_１＝２、ｇ_２＝３、ｇ_３＝５、ｇ_４＝７等である。ｐ≡５（ｍｏｄ８）が
ｇ＝２と互換性がないことが注記されなければならない。モジュラスｎは、隣接
するサイズ、つまりｆによって除算される計算に割り当てられるサイズのｆ個の
素因数の積であるだろう。

【００８０】第１原則−パラメータｋ、ｐ_１からｐｆに及ぶ各素因数ｐ、及びｇ_１からｇ_ｍ
に及ぶ各基数ｇは互換でなければならない。２^ｈがｐを基準にしてｇの階数を除
算するが、２^ｈ＋１がそれを除算しないような数ｈを定義してみよう。数ｈを計
算するには、以下の手順はルジャンドル記号（ｇ｜ｐ）及び数ｂ、ＣＧ（ｐ）内
の単位の２^ｔ−番目の原始根を使用する。

【００８１】ｔ＝１で（ｇ｜ｐ）＝＋１である場合、「ｈ＝０」に戻る。ｔ＞１で（ｇ｜ｐ）＝＋１である場合、キー〈ｐ−１＋２^ｔ）／２^ｔ＋１，ｐ
〉をＧに適用しｗと呼ばれる結果を得る。

【００８２】ｗ＝＋ｇの場合、「ｈ＝０」を戻す。ｗ＝ｐ−ｇの場合、「ｈ＝１」を戻す。ではない場合、ｃをｂに置き、ｉはｔ−１から２に及ぶ。キー〈２^ｉ，ｐ〉をｗ／ｇ（ｍｏｄｐ）に適用し、_±１を得る。 −１である場合、ｈをｉに置き、ｗをｗＸｃ（ｍｏｄｐ）で置換する。ｃをｃ^２（ｍｏｄｐ）で置換する。「２からｔ−１までのｈの値」を戻す。（ｇ｜ｐ）＝−１である場合、「ｈ＝ｔ」を戻す。

【００８３】ｋ＋ｕ＞ｔである場合にｕ＞０ｋのとき、ｇ及びｐが互換性がないことを思い
出すだろう。それらは、ｋの値が何であれ、ｈ＝０または１であるときに、及び
第２原則−３つの以下の手順は、第２原則の異なる実現に対応する。いくつかの
実現では、第２原則は、各数ｑ_１からｑ_ｍがノントリビアル的であることを要求
する範囲まで強化することができる。そういうわけで、基数の役割は平衡される
。第２原則を平衡するまたは平衡しないという事実は、パターンの機密保護の証
明のなんらかの態様に影響を及ぼす。最後に、ｍ個の数｛ｑ_１からｑ_ｍ｝の間で
ｆ＞２個の別個の素因数があるとき、ｆ−１個の独立数の少なくとも１つのサブ
ユニットがあることを要求することが可能である。

【００８４】３つの手順は、以下のように定義されるｍｘｆ個の数δ_ｉ，ｊを使用する。ｐ_ｊがｔ＜ｋであるほどであるとき、ｉは１からｍ、δ_ｉ，ｊ＝△_ｉ，ｊに及
ぶ。つまりｈ_ｉ，ｊ＝０であるのらば＋１であり、ｈ_ｉ，ｊ＝１であるならば−
１である。ｐ_ｊがであるほどであるとき、ｉは１からｍ、δ_ｉ，ｊ＝０に及び、△_１，ｊ
から△_ｍ，ｊが第２原則の関数として選択できることを示す。第１手順は、少なくとも１つの集合｛δ_ｉ，１からδ_ｉ，ｆ｝が可変であるか、
例であることを、言い換えると、少なくとも１つのｑ_１からｑ_ｍがノントリビア
ルである、あるいはノントリビアルと選ばれてよいことを検証する。ｉが１からｍに及び、ｊが１からｆに及ぶ場合、 δ_ｉ，ｊ＝０または≠δ_ｉ，１である場合に、「成功」を戻す。「失敗」を戻す。

【００８５】第２手順は、各集合｛δ_ｉ，１からδ_ｉ，ｆ｝が可変または零であるか、言い
換えると、少なくとも１つのｑ_１からｑ_ｍがノントリビアルである、あるいはノ
ントリビアルと選ばれてよいことを検証する。ｉが１からｍに及ぶ場合ｊが１からｆに及ぶ場合、 δ_ｉ，ｊ＝０または≠δ_ｉ，１であれば、ｉの次の値に移動する。「失敗」を戻す。「成功」を戻す。

【００８６】くとも１つの集合｛δ_ｉ，１からδ_ｉ，ｆ｝があり、δ_ｉ，ｊ１零であるか、δ
_ｉ，ｊ２と異なる。それは、ｍがｆ−１より小さいときにはっきりと失敗する。
それが成功するとき、ｍ個の数ｑ_１かｑ_ｍの間で、ｆ個の素因数を基準にしたｆ
−１個の独立した数の少なくとも１つの集合がある。ｊ_１が１からｆ−１に及び、ｊ_２がｊ_１＋１からｆに及ぶ場合、ｉが１からｍに呼ぶ場合、 δ_ｉ，ｊ１＝０または≠δ_ｉ，ｊ２であれば、ｊ_１及びｊ_２の次の値に移動す
る。「失敗」を戻す。「成功」を戻す。

【００８７】手順が失敗すると、ＧＱ２キーの集合の生成元は、２つの考えられる戦略の中
の１つの戦略に従う。ｆ個の素因数を保ちながら、ｍ個の基数の１つを変更する。ｍ個の基数を保ちながら、ｆ個の素因数の１つを変更する。

【００８８】第３原則−以下の手順が、生成の過程のあるいはすでに生成された汎用化され
たＧＱ２キーの集合が、以下であるかどうかを決定する。ＧＱ２初歩キーの集合、言い換えると、２Ｘｍ個の数_±ｇ_１から_±ｇ_ｍがすべ
て非平方剰余である。あるいは、でなければＧＱ２初歩キーの集合、言い換えると２ｘｍ個の数_±ｇ
_１から_±ｇ_ｍの中で、少なくとも１つの平方剰余がある。手順はｉが１からｍに及ぶ場合、及びｊが１からｆに及ぶ場合に２つのルジャン
ドル記号（ｇ_ｉ｜ｐ_ｊ）及び（−ｇ_ｉ｜ｐ_ｊ）を使用する。ｉが１からｍに及ぶ場合ｊが１からｆに及ぶ場合、（ｇ_ｉ｜ｐ_ｊ）＝−１であるならば、ｉの次の値に移動する。「ＧＱ２の補足キーの集合」を戻す。ｊが１からｆに及ぶ場合（−ｇ_ｉ｜ｐ_ｊ）＝−１であれば、ｉの次の値に移動する。「ＧＱ２補足キーの集合」を戻す。「ＧＱ２初歩キーの集合」を戻す。

【００８９】秘密構成要素− 直接型、つまりｘ^ｖ≡ｇ_１ ^２（ｍｏｄｐ_ｊ）の等式につい
て、以下の計算が秘密構成要素Ｑ_ｉ，ｊのすべての考えられる値を確立する。２
つのもつとも簡略且つ最も共通のケース、つまり、ｔ＝１及びｔ＝２の後には、
最も複雑なケース、つまり、ｔ＞２が続く。

【００９０】ｔ＝１、つまりｐ_ｊ≡３（ｍｏｄ４）について、キー〈ｐ_ｊ＋１）／４，ｐ
〉は、ＣＧ（ｐ_ｊ）内の任意の非平方剰余の平方二次根を与える。Ｇ^１をｗ≡Ｇ
_１ ^ｓｊ（ｍｏｄｐ_ｊ）に変換するキー〈ｓ_ｊ，ｐ_ｊ〉を与える、数ｓ_ｊ≡（ｍ
ｏｄ（ｐ_ｊ＋１）／４）^ｋ（（ｐ_ｊ−１）／２）が演繹されると、Ｑ_ｉ，ｊはｗ
に等しい、またはでなければｐ_ｊ−ｗに等しい。

【００９１】ｔ＝２、つまりｐ_ｊ≡５（ｍｏｄ８）について、キー〈ｐ_ｊ＋３）／８，ｐ
_ｊ〉は、ＣＧ（ｐ_ｊ）内の偶数ではない階数の任意の要素の偶数ではない階数の
平方根を与える。Ｇ_ｉをｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄ（ｐ_ｊ））に変換するキー〈ｓ_ｊ
，ｐ_ｊ〉を与える数ｓ_ｊ≡（ｍｏｄ（ｐ_ｊ＋３）／８）^ｋ（（ｐ_ｊ−１）／４）
が演繹される。２はＣＧ（ｐ_ｊ）内での非平方剰余であるため、ｚ≡２^（ｐｊ−
^１）／４（ｍｏｄｐ_ｊ）が−１の平方根であることが観察されなければならな
い。Ｑ_ｉ，ｊは、ｗに、またはでなければｐ_ｊ−ｗに、またはでなければｗ′≡
ｗｘｚ（ｍｏｄｐ_ｊ）またはでなければｐ_ｊ−ｗ′に等しい。

【００９２】ｔ＞２である場合にｐ_ｊ≡２^ｔ＋１（ｍｏｄ２^ｔ＋１）について、キー〈ｐ_ｊ
−１＋２^ｔ）／２^ｔ＋１，ｐ_ｊ〉が、偶数ではない階数の任意の要素の偶数では
ない階数の平方根を与える。ｋ、ｇ及びｐの間の互換性試験は、ｈの値、それか
らｕの値を示す。Ｇ_ｉが円内にある場合（ｋの値が何であれｕ＝０）、数ｓ_ｊ≡（（ｐ_ｊ−１＋
２^ｔ）／２^ｔ＋１）^ｋ（ｍｏｄ（ｐ_ｊ−１）／２^ｔ））が確立される。〈ｓ_ｊ，
ｐ_ｊ〉は、Ｇ_ｉを偶数ではない階数Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）の解に変換する。
円に結び付けられる最小（ｋ，ｔ）連続枝内で分散される偶数の階数の解があり
、α個の枝において言ってみよう。Ｑ_ｉ，ｊは、ＣＧ（ｐ_ｊ）内の単位の２^α番
目の累乗のどれかによるｗの積に等しい。Ｇ_ｉと同じ枝の中にあり、枝は数Ｇ_ｉの２^ｕ乗で円に結び付けられる。数ｓ_ｊ≡
（（ｐ_ｊ−１＋２^ｔ）／２^ｔ＋１）^ｋ＋ｕ（ｍｏｄ（ｐ_ｊ−１）／２^ｔ）が確立
される。キー〈ｓ_ｊ，ｐ_ｊ〉は、Ｇ_ｉの２^ｕ乗を偶数ではない階数ｗの数に変換
する。ＣＧ（ｐ_ｊ）内の単位の２^ｋ＋ｕ番目の原子根によるｗのすべての積は、
Ｑ_ｉ，ｊの２^ｋの値を含む。

【００９３】Ｇ（ｐ_ｊ）内のｂ_ｊの２^ｔ−ｕ乗であるｂ_ｊが存在する。それは、単位の２^ｋ
番目の原子根である。Ｑ_ｉ，ｊｂを単位の２^ｋ番目の原子根で乗算すると、数△
_ｉ，ｊの値を振動することができる。

【００９４】逆数型の等式について、１≡ｘ^ｖｘｇ_ｉ ^２（ｍｏｄｐ_ｊ）、ＣＧ（ｐ_ｊ）内の
Ｑ_ｉ，ｊの値の逆転に実質的に等しい、数ｓ_ｊをキー〈ｓ_ｊ，ｐ_ｊ内の（（ｐ
_ｊ−１）／２^ｔ）−ｓ_ｊで置換することが十分である。５（ｍｏｄ８）に合致する２つの素因数のあるキーの集合のｐ_１＝Ｅ６Ｃ８３ＢＦ４２８６８９ＡＦ８Ｃ３５Ｅ０７ＥＤＤ０６Ｆ９Ｂ３９Ａ
６５９８２９Ａ５８Ｂ７９ＣＤ８９４Ｃ４３５Ｃ９５Ｆ３２ＢＦ２５ｐ_２＝１１ＢＦ８Ａ６８Ａ０８１７ＢＦＣＣ００Ｆ１５７３１Ｃ８Ｂ７０ＣＥＦ
９２０４Ａ３４１３３Ａ０ＤＥＦ８６２８２９Ｂ２ＥＥＡ７４８７３Ｄｎ＝ｐ_１Ｘｐ_２＝ＦＦＦＦ８２６３４３４Ｆ１７３Ｄ０Ｆ２Ｅ７６Ｂ３２Ｄ９０
４Ｆ５６Ｆ４Ａ５Ａ６Ａ５０００８Ｃ４３Ｄ３２Ｂ６５０Ｅ９ＡＢ９ＡＡＤ２Ｅ
Ｂ７１３ＣＤ４Ｆ９Ａ９７Ｃ４ＤＢＤＡ３８２８Ａ３９５４Ｆ２９６４５８Ｄ５
Ｆ４２Ｃ０１２６Ｆ５ＢＤ６Ｂ０５４７８ＢＥ０Ａ８０ＥＤ１ここには、まさに第１素数のルジャンドル記号がある。

【００９５】（２｜ｐ_１）＝−１；（３｜ｐ_１）＝−１；（５｜ｐ_１）＝−１；（７｜ｐ_１）
＝−１；（１１｜ｐ_１）＝＋１；（１３｜ｐ_１）＝−１；（１７｜ｐ_１）＝＋１；

【００９６】ＣＧ（ｐ_１）では、階数は−５、−１１、及び１７について偶数ではない。（２｜ｐ_２）＝−１；（３｜ｐ_２）＝＋１；（５｜ｐ_２）＝＋１；（７｜ｐ_２）
＝＋１；（１１｜ｐ_２）＝＋１；（１３｜ｐ_２）＝−１；（１７｜ｐ_２）＝−１；

【００９７】ＣＧ（ｐ_２）では、階数は、−３、−５、及び１１について偶数ではない。Ｃａｒｍｉｃｈａｅｌ関数は、λ（ｎ）＝ｐｐｃｍ（（ｐ_１−１）／４，（ｐ_２
−１）／４）である。 λ（ｎ）＝３３３３１Ａ１３ＤＡ４３０４Ａ５ＣＦＤ６１７ＢＤ６Ｆ８３４３１
１６４２１２１５４３３３４Ｆ４０Ｃ３Ｄ５７Ａ９Ｃ８５５８５５５Ｄ５ＢＤＡ
Ａ２ＥＦ６ＡＥＤ１７Ｂ９Ｅ３７９４Ｆ５１Ａ６５Ａ１Ｂ３７２３９Ｂ１８ＦＡ
９Ｂ０Ｆ６１８６２７Ｄ８Ｃ７Ｅ１Ｄ８４９９Ｃ１Ｂｋ＝９の場合、逆関数型の一般的方程式を使用するために、秘密指数値としての
数σ≡λ（ｎ）−（（１＋λ（ｎ））／２）^９（ｍｏｄλ（ｎ））。 σ＝０１Ｅ６６５７７ＢＣ９９７ＣＡＣ２７３６７１Ｅ１８７Ａ３５ＥＦＤ２５
３７３ＡＢＣ９ＦＥ６７７０Ｅ７４４６Ｃ０ＣＣＥＦ２Ｃ７２ＡＦ６Ｅ８９Ｄ０
ＢＥ２７７ＣＣ６１６５Ｆ１００７１８７ＡＣ５８０２８ＢＤ２４１６Ｄ４ＣＣ
１１２１Ｅ７Ａ７Ａ８Ｂ６ＡＥ１８６ＢＢ４Ｂ０

【００９８】２、３、７、１３及び１７の数は、奇数として適切ではない。

【００９９】キー〈σ，ｎ〉は、ｇ_１＝５を、分解を示さない秘密数Ｑ_１に変換する。実際、
両方のフィールドで、−５が円上にある。Ｑ_１＝８１８Ｃ２３ＡＦ３ＤＥ３３３ＦＡＥＣＥ８８Ａ７１Ｃ４５９１Ａ７０５
５３Ｆ９１Ｄ６Ｃ０ＤＤ５５３８ＥＣ０Ｆ２ＡＡＦ９０９Ｂ５ＢＤＡＤ４９１Ｆ
Ｄ８ＢＦ１３Ｆ１８Ｅ３ＤＡ３７７４ＣＣＥ１９Ｄ００９７ＢＣ４ＢＤ４７Ｃ５
Ｄ６Ｅ０Ｅ７ＥＢＦ６Ｄ８９ＦＥ３ＤＣ５１７６Ｃ

【０１００】キー〈σ，ｎ〉は、ｇ_２＝１１を、分解を示す秘密数Ｑ_２に変換する。実際、
１１は、２つのフィールド内の同じ位置にない。Ｑ_２＝２５Ｆ９ＡＦＤＦ１７７９９３ＢＥ８６５２ＣＥ６Ｅ２Ｃ７２８ＡＦ３１
Ｂ６Ｄ６６１５４Ｄ３９３５ＡＣ５３５１９６Ｂ０７Ｃ１９０８０ＤＣ９６２Ｅ
４Ｅ８６ＡＣＦ４０Ｄ０１ＦＤＣ４５４Ｆ２５６５４５４Ｆ２９００５０ＤＡ０
５２０８９ＥＥＣ９６Ａ１Ｂ７ＤＥＢ９２ＣＣＡ７

【０１０１】キー〈σ，ｎ〉は、ｇ_３＝２１＝３ｘ７を、分解を示す秘密数Ｑ_３に変換する。
Ｑ_３＝７８Ａ８Ａ２Ｆ３０ＦＥＢ４Ａ５２３３ＢＣ０５５４１ＡＦ７Ｂ６８４Ｃ
２４０６４１５ＥＡ１ＤＤ６７Ｄ１８Ａ０４５９Ａ１２５４１２１Ｅ９５Ｄ５Ｃ
ＡＤ８Ａ１ＦＥ３ＥＣＦＥ０６８５Ｃ９６ＣＣ７ＥＥ８６１６７Ｄ９９５３２Ｂ
３Ａ９６Ｂ６ＢＦ９Ｄ９３ＣＡＦ８Ｄ４Ｆ６ＡＦ０

【０１０２】キー〈σ，ｎ〉は、ｇ_４＝２６＝２ｘ１３を、分解を示す秘密数Ｑ_４に変換する
。Ｑ_４＝６Ｆ１７４８Ａ６２８０Ａ２００Ｃ３８８２４ＣＡ３４Ｃ９３９Ｆ９７Ｄ
Ｄ２９４１ＤＡＤ３０００３０Ｅ４８１Ｂ７３８Ｃ６２ＢＦ８Ｃ６７３７３１５
１４Ｄ１９７８ＡＦ５６５５ＦＥ４９３Ｄ６５９５１４Ａ６ＣＥ８９７ＡＢ７６
Ｃ０１Ｅ５０Ｂ５４８８Ｃ５ＤＡＤ１２３３２Ｅ５

【０１０３】秘密鍵は、依然として、チャイニーズ剰余のパラメータと８つの秘密構成要素
という２つの素因数によって表されてよい。 α≡（ｐ_２（ｍｏｄｐ_１））^−１（ｍｏｄｐ_１）＝ＡＤＥ４Ｅ７７Ｂ７０３Ｆ５
ＦＤＥＡＣ５Ｂ９ＡＡＥ８２５Ｄ６４９Ｅ０６６９２Ｄ１５ＦＢＦ０ＤＦ７３７
Ｂ１１５ＤＣ４Ｄ０１２ＦＤ１ＤＱ_１，１≡Ｑ_１（ｍｏｄｐ_１）＝７７５１Ａ９ＥＥ１８Ａ８Ｆ５ＣＥ４４ＡＤ７
３Ｄ６１３Ａ４Ｆ４６５Ｅ０６Ｃ６Ｆ９ＡＦ４Ｄ２２９９４９Ｃ７４ＤＤ６Ｃ１
８Ｄ７６ＦＡＦＱ_１，２≡Ｑ_１（ｍｏｄｐ_２）＝Ａ９ＥＢ５ＦＡ１Ｂ２Ａ９８１ＡＡ６４ＣＦ８
８Ｃ３８２９２３ＤＢ６４３７６Ｆ５ＦＤ４８１５２Ｃ０８ＥＥＢ６１１４Ｆ３
１Ｂ７６６５ＦＱ_２，１≡Ｑ_２（ｍｏｄｐ_１）＝Ｄ５Ａ７Ｄ３３Ｃ５ＦＢ７５Ａ０３３Ｆ２Ｆ０
Ｅ８Ｂ２０２７４Ｂ９５７ＦＡ３４００４ＡＢＢ２Ｃ２ＡＣ１Ａ３Ｆ５３２０Ｃ
５Ａ９０４９Ｑ_２，２≡Ｑ_２（ｍｏｄｐ_２）＝７６Ｃ９Ｆ５ＥＦＤ０６６Ｃ７３Ａ２Ｂ５ＣＥ
９７５８ＤＢ５１２ＤＦＣ０１１Ｆ５Ｂ５ＡＦ７ＤＡ８Ｄ３９Ａ９６１ＣＣ８７
６Ｆ２ＤＤ８ＦＱ_３，１≡Ｑ_３（ｍｏｄｐ_１）＝２ＦＥＣ０ＤＣ２ＤＣＡ５ＢＡ７２９０Ｂ２７
ＢＣ８ＣＣ８５Ｃ９３８Ａ５１４Ｂ８Ｆ５ＣＦＤ５５８２０Ａ１７４ＦＢ５Ｅ６
ＤＦ７Ｂ８８３Ｑ_３，２≡Ｑ_３（ｍｏｄｐ_２）＝０１０Ｄ４８８Ｅ６Ｂ０Ａ３８Ａ１ＣＣ４０６
ＣＥＥ０Ｄ５５ＤＥ５９０１３３８９Ｄ８５４９ＤＥ４９３４１３Ｆ３４６０４
Ａ１６０Ｃ１３６９Ｑ_４，１≡Ｑ_４（ｍｏｄｐ_１）＝Ａ２Ｂ３２０２６Ｂ６Ｆ８２Ｂ６９５９５６６
ＦＡＤＤ９５１７ＤＢ８ＥＤ８５２４６５２１４５ＥＥ１５９ＤＦ３ＤＣ０Ｃ６
１ＦＥ３６１７Ｑ_４，２≡Ｑ_４（ｍｏｄｐ_２）＝０１１Ａ３ＢＢ９Ｂ６０７Ｆ０ＢＤ７１ＢＢＥ
２５Ｆ５２Ｂ３０５Ｃ２２４８９９Ｅ５Ｆ１Ｆ８ＣＤＣ２ＦＥ０Ｄ８Ｆ９ＦＦ６
２Ｂ３Ｃ９８６０Ｆ

【０１０４】ＧＱ２秘密鍵の多形性−ＧＱ２秘密鍵のさまざまな考えられる表現は、同等で
あると判明している。つまり、それらはすべて、真のＧＱ２秘密権であるモジュ
ラスｎの因数分解の知識に戻る。ＧＱ２秘密鍵の表現は、管理側エンティティ内
ではなく、証明側エンティティ内の計算の演算に影響を及ぼす。ここに、ＧＱ２
の３つの主要な考えられる表現がある。つまり、１）ＧＱ２秘密鍵の従来の表現
は、ＧＱ２パターンについてｍ個の秘密数Ｑ_１及び公開検証鍵〈ｖ，ｎ〉を記憶
することにあり、この表現は以下に続く２つと競合している。２）作業負荷とい
う点での最適表現は、パラメータｋ、ｆ個の素因数ｐ_ｊ、ｍｘｆ個の秘密構成要
素Ｑ_ｉ，ｊ及びチャイニーズ剰余のｆ−１個のパラメータを記憶することにある
。３）秘密鍵サイズという点での最適表現は、パラメータｋ、ｍ個の基数ｇ_ｉ、
ｆ個の素因数ｐ_ｊ、を記憶すること、それから第１表記に戻るために、ｍ個の秘
密数Ｑ_ｉとモジュラスｎのどちらかを、あるいはでなければ、第２表現に戻るた
めに、ｍｘｆ個の秘密構成要素Ｑ_ｉ，ｊ及びチャイニーズ剰余のｆ−１個のパラ
メータを確立することによって各使用を開始することにある。動的認証またはデ
ジタルシグニチャ機構の機密保護がモジュラスの分解の知識に同等であるため、
ＧＱ２パターンは、同じモジュラスを使用する２つのエンティティの間での単純
な区別を行うことを可能としない。一般的に、各証明側エンティティは独自のＧ
Ｑ２モジュラスを有する。しかしながら、その内の２つがあるエンティティによ
って既知であり、それ以外の２つが別のエンティティによって既知である４つの
素因数のあるＧＱ２モジュラスを指定することが可能である。

【０１０５】動的認証コントローラと呼ばれるエンティティに対して、証明者と呼ばれる別のエンテ
ィティの真正性及び関連付けられるメッセージＭの真正性を証明することを目的
とし、その結果、コントローラが、それが実際の証明者であること、及びおそら
く彼及び証明者が実際に同じメッセージＭについて話をしていることを確信でき
る動的認証機構。関連付けられるメッセージＭはオプションであり、つまりそれ
は空であってよい。動的認証機構は、４つの行為のシーケンスである。つまり、
コミットメントという行為、チャレンジという行為、応答という行為、及びチェ
ックという行為である。証明者は、コミットメントという行為及び応答という行
為を実行する。コントローラは、チャレンジという行為及び管理という行為を実
行する。

【０１０６】証明者の最も機密のパラメータ及び関数、つまり、コミットメント及び応答の
作成を隔離するために、証明者の中では、証人は隔離されてよい。証人は、パラ
メータｋ及びＧＱ２秘密鍵、言い替えると、前述された３つの表現の１つに従っ
たモジュラスｎの因数分解を、自由に使うことができる。つまり、・ｆ個の素因
数及びｍ個の基数、・ｍｘｆ個の秘密構成要素、ｆ個の素因数、及びチャイニー
ズ剰余のｆ−１個のパラメータ、・ｍ個の秘密数及びモジュラスｎである。証人は、ある特定の実施形態に対応してよい。例えば、・ともに証明者を形成す
るＰＣにリンクされるチップカード、あるいは再び、・ＰＣ内で特別に保護され
ているプログラム、または再び、・チップカード内で特別に保護されているプロ
グラムである。このように示される証人は、以下、署名者内で定義される証人に
類似している。機構の各動作を用いて、証人は１つまたは複数のコミットメント
Ｒ、それから多くのチャレンジｄと同じくらい多くの応答Ｄを作成する。各集合
｛Ｒ，ｄ，Ｄ｝は、ＧＱ２トリプレットを構成する。

【０１０７】証明者は、証人を含むだけではなく、必要な場合に、ハッシュ関数及びメッセ
ージＭも自由に使うことができる。

【０１０８】コントローラは、例えば、公開鍵のディレクトリから、または再び公開鍵の登
録簿からモジュラスｎを自由に使うことができる。必要な場合、コントローラは
、同じハッシュ関数及びメッセージＭ′も自由に使うことができる。ＧＱ２公開
パラメータ、すなわちｋ、ｍ及びｇ_１からｇ_ｍが、証明者によってコントローラ
に与えられてよい。コントローラは、任意のチャレンジｄ及び任意の応答Ｄから
コミットメントＲ′を復元することができる。パラメータｋ及びｍはコントロー
ラに知らせる。それ以外に示されない限り、ｇ_１からｇ_ｍのｍ個の基数は、ｍ個
の第１素数である。各チャレンジｄは、基数ごとに１つ、ｄ_１からｄ_ｍと示され
るｍ個の初歩チャレンジを備えなければならない。ｄ_１からｄ_ｍの初歩チャレン
ジは、０から２^λ−１−１（ｖ／２からｖ−１の数は使用されていない）の数で
ある。典型的には、各チャレンジは、ｍかけるｋ−１ビットによって（及びｍか
けるｋビットによってではない）符号化される。ｋ＝５及びｍ＝４の基数５、１
１、２１、及び２６の場合の例、各チャレンジは４つの四つ組で伝送される１６
ビットを備える。（ｋ−１）ｘｍ個の考えられるチャレンジもありそうなとき、
（ｋ−１）ｘｍが、各ＧＱ２トリプレットによってもたらされる機密保護を決定
する。定義により、モジュラスｎの因数分解を知らない詐称者は、正確に２^（ｋ
^{−１）ｘｍ}の内に１回の成功の確率を有する。（ｋ−１）ｘｍが１５から２０に
値するとき、１つのトリプレットは、動的認証を妥当に保証するのに十分である
。機密保護の任意のレベルに達するには、トリプレットは並列で作成されてよい
。それらは、直列で作成されてもよい。言い替えると、機構の動作を繰り返す。

【０１０９】１）コミットメントという行為は、以下の動作を含む。証人がチャイニーズ剰余を使用しないとき、それはパラメータｋ、Ｑ_１からＱ
_ｍのｍ個の秘密数及びモジュラスｎを自由に使うことができる。それは、無作為
に、秘密の１つまたは複数の乱数ｒ（０＜ｒ＜ｎ）を引き入れる。それから、ｋ
個の連続する平方乗算（ｍｏｄｎ）によって、それは各乱数ｒをコミットメント
Ｒに変換する。

【数１２】Ｒ≡ｒ^ｖ（ｍｏｄｎ）ここで、チャイニーズ剰余を使用しない過去の集合の例がある。ｒ＝５Ｅ９４Ｂ８９４ＡＣ２４ＡＦ８４３１３１Ｆ４３７Ｃ１Ｂ１７９７ＥＦ５
６２ＣＦＡ５３ＡＢ８ＡＤ４２６Ｃ１ＡＣ０１６Ｆ１Ｃ８９ＣＦＤＡ１３１２０
７１９４７７Ｃ３Ｅ２ＦＢ４Ｂ４５６６０８８Ｅ１０ＥＦ９Ｃ０１０Ｅ８Ｆ０９
Ｃ６０Ｄ９８１５１２１９８１２６０９１９９６Ｒ＝６ＢＢＦ９ＦＦＡ５Ｄ５０９７７８Ｄ０Ｆ９３ＡＥ０７４Ｄ３６Ａ０７Ｄ９
５ＦＦＣ３８Ｆ７０Ｃ８Ｄ７Ｅ３３００ＥＢＦ２３４ＦＡ０ＢＣ２０Ａ９５１５
２Ａ８ＦＢ７３ＤＥ８１ＦＡＥＥ５ＢＦ４ＦＤ３ＥＢ７Ｆ５ＥＥ３Ｅ３６Ｄ７０
６８Ｄ０８３ＥＦ７Ｃ９３Ｆ６ＦＤＤＦ６７３Ａ

【０１１０】証人がチャイニーズ剰余を使用するとき、それはパラメータｋ、ｐ_１からｐｆ
_のｆ個の素因数、チャイニーズ剰余のｆ−１個のパラメータ、及びｍｘｆ個の秘
密構成要素Ｑ_ｉ，ｊを有する。それは、無作為にｆ個の乱数の秘密の１つまたは
複数の集合を引き入れる。各集合は、素因数ｐ_ｉ（０＜ｒ_ｉ＜ｐ_ｉ）ごとに１つ
の乱数ｒ_ｉを備える。それから、ｋの連続する平方乗算（ｍｏｄｐ_ｉ）によって
、それは、各乱数ｒ_ｉをコミットメント構成要素Ｒ_ｉに変換する。

【０１１１】

【数１３】Ｒ_ｉ≡ｒ_ｉ ^ｖ（ｍｏｄｐ_ｉ）

【０１１２】ｆ個のコミットメント構成要素の各集合について、証人は、チャイニーズ剰余
の技法に従ってコミットメントを確立する。乱数の集合と同じ数のコミットメン
トがある。

【数１４】

【０１１３】ここに、キーの過去の集合及びチャイニーズ剰余のある例がある。ｒ_１＝５Ｃ６Ｄ３７Ｆ０Ｅ９７０８３Ｃ８Ｄ１２０７１９４７５Ｅ０８０ＢＢＢ
Ｆ９Ｆ７３９２Ｆ１１Ｆ３Ｅ２４４ＦＤＦ０２０４Ｅ８４Ｄ８ＣＡＥＲ_１＝３ＤＤＦ５１６ＥＥ３９４５ＣＢ８６Ｄ２０Ｄ９Ｃ４９Ｅ０ＤＡ４Ｄ４２
２８１Ｄ０７Ａ７６０７４ＤＤ４ＦＥＣ５Ｃ７Ｃ５Ｅ２０５ＤＦ６６ｒ_２＝ＡＣ８Ｆ８５０３４ＡＣ７８１１２０７１９４７Ｃ４５７２２５Ｅ９０８
Ｅ８３Ａ２６２１Ｂ０１５４ＥＤ１５ＤＢＦＣＢ９Ａ４９１５ＡＣ３Ｒ_２＝０１１６８ＣＥＣ０Ｆ６６１ＥＡＡ１５１５７Ｃ２Ｃ２８７Ｃ６Ａ５Ｂ３
４ＥＥ２８Ｆ８ＥＢ４Ｄ８Ｄ３４０８５８０７９ＢＣＡＥ４ＥＣＢ０１６Ｒ＝ＣｈｉｎｅｓｅＲｅｍａｉｎｄｅｒｓ（Ｒ_１，Ｒ_２）＝０ＡＥ５１Ｄ９０ＣＢ４ＦＤＣ３ＤＣ７５７Ｃ５６Ｅ０６３Ｃ９ＥＤ８６ＢＥ１
５３Ｂ７１ＦＣ６５Ｆ４７Ｃ１２３Ｃ２７Ｆ０８２ＢＣ３ＤＤ１５２７３Ｄ４Ａ
９２３８０４７１８５７３Ｆ２Ｆ０５Ｅ９９１４８７Ｄ１７ＤＡＥ０ＡＡＢ７Ｄ
Ｆ０Ｄ０ＦＦＡ２３Ｅ０ＦＥ５９Ｆ９５Ｆ０

【０１１４】両方のケースで、証明者は、コントローラに、各コミットメントＲ、またはで
なければ、各コミットメントＲ及びメッセージＭをハッシュすることによって得
られるハッシュコードＨのすべてまたは一部を伝送する。２）チャレンジという行為は、それぞれがｍ個の初歩チャレンジｄ_１、ｄ_２から
ｄ_ｍから構成される１つまたは複数のチャレンジｄを無作為に引き入れることに
ある。それぞれの初歩チャレンジｄ^１は、０からｖ／２−１の数の内の１つであ
る。

【０１１５】ｄ＝ｄ_１、ｄ_２…ｄ_ｍ

【０１１６】ここに、２つの例、言い換えるとｋ＝５及びｍ＝４の場合のためのチャレンジ
がある。ｄ_１＝１０１１＝１１＝′Ｂ′；ｄ_２＝００１１＝３；ｄ_３＝０１１０＝６
；ｄ_４＝１００１＝９，ｄ＝ｄ^１｜｜ｄ_２｜｜ｄ_３｜｜ｄ_４＝１０１１００１^１０１１０１００１＝Ｂ
３６９

【０１１７】コントローラは、証明者に各チャレンジｄを伝送する。３）応答の行為は、以下の動作を備える。証人がチャイニーズ剰余を使用しないとき、それはパラメータｋ、Ｑ_１からＱ
_ｍのｍ個の秘密数、及びモジュラスｎを自由に使うことができる。それは、コミ
ットメントという行為の各乱数ｒ及び初歩チャレンジに従った秘密数を使用する
ことにより１つまたは複数の応答を計算する。

【数１５】Ｄ≡ｒＸＱ_１ ^ｄ１ＸＱ_２ ^ｄ２Ｘ_…Ｑ_ｍ ^ｄｍ（ｍｏｄｎ）

【０１１８】ここに、チャイニーズ剰余を使用しない例のシーケンスがある。Ｄ＝０２７Ｅ６Ｅ８０８４２５ＢＦ２Ｂ４０１ＦＤ００Ｂ１５Ｂ６４２Ｂ１Ａ８
４５３ＢＥ８０７０Ｄ８６Ｃ０Ａ７８７０Ｅ６Ｃ１９４０Ｆ７Ａ６９９６Ｃ２Ｄ
８７１ＥＢＥ６１１８１２５３２ＡＣ５８７５Ｅ０Ｅ１１６ＣＣ８ＢＡ６４８Ｆ
Ｄ８Ｅ８６ＢＥ０Ｂ２ＡＢＣＣ３ＣＣＢＢＢＥ４

【０１１９】証人が、チャイニーズ剰余を使用するとき、それは、パラメータｋ、ｐ_１から
ｐｆのｆ個の素因数、チャイニーズ剰余のｆ−１個のパラメータ、及びｍｘｆ個
の秘密構成要素Ｑ_ｉ，ｊを自由に使うことができる。それは、コミットメントと
いう行為の乱数の各集合を使用することによってｆ個の応答構成要素の１つまた
は複数の集合を計算する。それぞれの応答構成要素の集合は、素因数につき１つ
の要素である。

【数１６】

【０１２０】応答構成要素の集合ごとに、証人は、孫し譲与の技法に従って応答を確立する
。チャレンジと同じ数の応答がある。

【数１７】

【０１２１】ここに、チャイニーズ剰余を使用する例のシーケンスがある。Ｄ_１＝ｒ^１ｘＱ_１，１ ^ｄ１ｘＱ_２，１ ^ｄ２ｘＱ_３，１ ^ｄ３ｘＱ_４，１ ^ｄ４（ｍ
ｏｄｐ_ｉ）＝Ｃ７１Ｆ８６Ｆ６ＦＤ８Ｆ９５５Ｅ２ＥＥ４３４ＢＦＡ７７０６
Ｅ３８Ｅ５Ｅ７１５３７５ＢＣ２ＣＤ２０２９Ａ４ＢＤ５７２Ａ９ＥＤＥＥ６Ｄ_２＝ｒ_２ｘＱ_１，２ ^ｄ１ｘＱ_２，２ ^ｄ２ｘＱ_３，２ ^ｄ３ｘＱ_４，２ ^ｄ４（ｍｏ
ｄｐ_２）＝０ＢＥ０２２Ｆ４Ａ２０５２３Ｆ９８Ｅ９Ｆ５ＤＢＥＣ０Ｅ１０８
８７９０２Ｆ３ＡＡ４８Ｃ８６４Ａ６Ｃ３５４６９３ＡＤ０Ｂ５９Ｄ８５ＥＤ＝９０ＣＥ７ＥＡ４３ＣＢ８ＥＡ８９ＡＢＤＤ０Ｃ８１４ＦＢ７２ＡＤＥ７４
Ｆ０２ＦＥ６Ｆ０９８ＡＢＢ９８Ｃ８５７７Ａ６６０Ｂ９ＣＦＣＥＡＥＣＢ９３
ＢＥ１ＢＣＣ３５６８１１ＢＦ１２ＤＤ６６７Ｅ２２７０１３４Ｃ９０７３Ｂ９
４１８ＣＡ５ＥＢＦ５１９１２１８Ｄ３ＦＤＢ３

【０１２２】両方のケースで、証明者は、各応答Ｄをコントローラに伝送する。４）チェックするという行為は、各トリプレット｛Ｒ，ｄ，Ｄ｝が、非零値につ
いて以下の型の等式を検証することを確認することにある

【０１２３】

【数１８】またはでなければ、各コミットメントを確立する際に、どれも零であってはなら
ない。

【数１９】

【０１２４】おそらく、コントローラは、次に、各再確立されコミットメントＲ′及びメッ
セージＭ′をハッシュすることによってハッシュコードＨ′を計算する。動的認
証は、コントローラがこのようにして、それがコミットメントの行為の最後に受
信したもの、言い換えると各コミットメントＲのすべてまたは一部、あるいはで
なければハッシュコードＨを再獲得するときに成功である。

【０１２５】例えば、初歩動作のシーケンスは、応答ＤをコミットメントＲ′に変換する。
シーケンスは、基数によるｋ−１の除算または乗算（ｍｏｄｎ）によって分離
されるｋ個の平方（ｍｏｄｎ）を含む。ｉ番目の平方とｉ＋１番目の平方の間
に実行されるｉ番目の除算または乗算について、初歩チャレンジｄ_１のｉ番目の
ビットがｇ_１を使用する必要があるかどうかを示し、初歩チャレンジｄ_２のｉ番
目のビットが、ｇ_２を使用する必要があるかどうかを示し、初歩チャレンジｄ_ｍ
のｉ番目のビットが、ｇ_ｍを使用する必要があるかどうかまでを示す。

【０１２６】ここに、チャイニーズ剰余を使用しない例の最後がある。Ｄ＝０２７Ｅ６Ｅ８０８４２５ＢＦ２Ｂ４０１ＦＤ００Ｂ１５Ｂ６４２Ｂ１Ａ８
４５３ＢＥ８０７０Ｄ８６Ｃ０Ａ７８７０Ｅ６Ｃ１９４０Ｆ７Ａ６９９６Ｃ２Ｄ
８７１ＥＢＥ６１１８１２５３２ＡＣ５８７５Ｅ０Ｅ１１６ＣＣ８ＢＡ６４８Ｆ
Ｄ８Ｅ８６ＢＥ０Ｂ２ＡＢＣＣ３ＣＣＢＢＢＥ４

【０１２７】ｍｏｄｎの平方乗する。

【０１２８】８８ＢＡ６８１ＤＤ６４１Ｄ３７Ｄ７Ａ７Ｄ９８１８Ｄ０ＤＢＥＡ８２１７４０
７３９９７Ｃ６Ｃ３２Ｆ７ＦＣＡＢ３０３８０Ｃ４Ｃ６２２９Ｂ０７０６Ｄ１Ａ
Ｆ６ＥＢＤ８４６１７７７１Ｃ３１Ｂ４２４３Ｃ２Ｆ０３７６ＣＡＦ５ＤＣＥＢ
６４４Ｆ０９８ＦＡＦ３Ｂ１ＥＢ４９Ｂ３９

【０１２９】５かける２６＝１３０、つまり「８２」ｍｏｄｎによって乗算する。

【０１３０】６ＥＣＡＢＡ６５Ａ９１Ｃ２２４３１Ｃ４１３Ｅ４ＥＣ７Ｃ７Ｂ３９ＦＤＥ１４
Ｃ９７８２Ｃ９４ＦＤ６ＦＡ３ＣＡＡＤ７ＡＦＥ１９２Ｂ９４４０Ｃ１１１３Ｃ
Ｂ８ＤＢＣ４５６１９５９５Ｄ２６３Ｃ１０６７Ｄ３Ｄ０Ａ８４０ＦＤＥ００８
Ｂ４１５０２８ＡＢ３５２０Ａ６ＡＤ４９Ｄ

【０１３１】ｍｏｄｎの平方乗する。

【０１３２】０２３６Ｄ２５０４９Ａ５２１７Ｂ１３８１８Ｂ３９ＡＦＢ００９Ｅ４Ｄ７Ｄ５
２Ｂ１７４８６ＥＢＦ８４４Ｄ６４ＣＦ７５Ｃ４Ｆ６５２０３１０４１３２８Ｂ
２９ＥＢＦ０８２９Ｄ５４Ｅ３ＢＤ１７ＤＡＤ２１８１７４Ａ０１Ｅ６Ｅ３ＡＡ
６５０Ｃ６ＦＤ６２ＣＣ２７４４２６６０７

【０１３３】２１、つまり「１５」ｍｏｄｎによって乗算する。

【０１３４】２Ｅ７Ｆ４０９６０Ａ８ＢＢＦ１８９９Ａ０６ＢＢＢ６９７０ＣＦＣ５Ｂ４７Ｃ
８８Ｅ８Ｆ１１５Ｂ５ＤＡ５９４５０４Ａ９２８３４ＢＡ４０５５５９２５６Ａ
７０５ＡＢＡＢ６Ｅ７Ｆ６ＡＥ８２Ｆ４Ｆ３３ＢＦ９Ｅ９１２２７Ｆ０ＡＣＦＡ
４Ａ０５２Ｃ９１ＡＢＦ３８９７２５Ｅ９３

【０１３５】ｍｏｄｎの平方乗する。

【０１３６】Ｂ８０２１７１１７９６４８ＡＤ６８７Ｅ６７２Ｄ３Ａ３２６４０Ｅ２４９３Ｂ
Ａ２Ｅ８２Ｄ５ＤＣ８７ＤＢＡ２Ｂ２ＣＣ０３２５Ｅ７Ａ７１Ｃ５０Ｅ８ＡＥ０
２Ｅ２９９ＥＦ８６８ＤＤ３ＦＢ９１６ＥＢＣＢＣ０Ｃ５５６９Ｂ５３Ｄ４２Ｄ
ＡＤ４９Ｃ９５６Ｄ８５７２Ｅ１２８５Ｂ０

【０１３７】５かける１１かける２１＝１１５５、つまり「４８３」ｍｏｄｎによって乗算す
る。

【０１３８】３３０５５６０２７６３１０ＤＥＦＥＣ１３３７ＥＢ５ＢＢ５８１０３３６ＦＤ
Ｂ２８Ｅ９１Ｂ３５０Ｄ４８５Ｂ０９１８８Ｅ０Ｃ４Ｆ１Ｄ６７Ｅ６８Ｅ９５９
０ＤＢ７Ｆ９Ｆ３９Ｃ２２ＢＤＢ４５３３０１３６２５０１１２４８Ａ８ＤＣ４
１７Ｃ６６７Ｂ４１９Ｄ２７ＣＢ１１Ｆ７２

【０１３９】ｍｏｄｎの平方乗する。

【０１４０】８８７１Ｃ４９４０８１ＡＢＤ１ＡＥＢ８６５６Ｃ３８Ｂ９ＢＡＡＢ５７ＤＢＡ
７２Ａ４ＢＤ４ＥＦ９０２９ＥＣＢＦＦＦ５４０Ｅ５５１３８Ｃ９Ｆ２２９２３
９６３１５１ＦＤ０７５３１４５ＤＦ７０ＣＥ２２Ｅ９Ｄ０１９９９０Ｅ４１Ｄ
Ｂ６１０４００５ＥＥＢ７Ｂ１１７０５５９

【０１４１】５かける１１かける２６＝１４３０、つまり「５９６」ｍｏｄｎによって乗算す
る。

【０１４２】２ＣＦ５Ｆ７６ＥＥＢＦ１２８Ａ０７０１Ｂ５６Ｆ８３７ＦＦ６８Ｆ８１Ａ６Ａ
５Ｄ１７５Ｄ０ＡＤ６７Ａ１４ＤＡＥＣ６ＦＢ６８Ｃ３６２Ｂ１ＤＣ０ＡＤＤ６
ＣＦＣ００４ＦＦ５ＥＥＡＣＤＦ７９４５６３ＢＢ０９Ａ１７０４５ＥＣＦＦＦ
８８Ｆ５１３６Ｃ７ＦＢＣ８２５ＢＣ５０Ｃ

【０１４３】ｍｏｄｎの平方乗する。

【０１４４】６ＢＢＦ９ＦＦＡ５Ｄ５０９７７８Ｄ０Ｆ９３ＡＥ０７４Ｄ３６Ａ０７Ｄ９５Ｆ
ＦＣ３８Ｆ７０Ｃ８Ｄ７Ｅ３３００ＥＢＦ２３４ＦＡ０ＢＣ２０Ａ９５１５２Ａ
８ＦＢ７３ＤＥ８１ＦＡＥＥ５ＢＦ４ＦＤ３ＥＢ７Ｆ５ＥＥ３Ｅ３６Ｄ７０６８
Ｄ０８３ＥＦ７Ｃ９３Ｆ６ＦＤＤＦ６７３Ａ

【０１４５】コミットメントＲが検出される。認証は成功である。

【０１４６】ここに、チャイニーズ剰余を使う例の最後がある。Ｄ＝９０ＣＥ７ＥＡ４３ＣＢ８ＥＡ８９ＡＢＤＤ０Ｃ８１４ＦＢ７２ＡＤＥ７４
Ｆ０２ＦＥ６Ｆ０９８ＡＢＢ９８Ｃ８５７７Ａ６６０Ｂ９ＣＦＣＥＡＥＣＢ９３
ＢＥ１ＢＣＣ３５６８１１ＢＦ１２ＤＤ６６７Ｅ２２７０１３４Ｃ９０７３Ｂ９
４１８ＣＡ５ＥＢＦ５１９１２１８Ｄ３ＦＤＢ３

【０１４７】ｍｏｄｎの平方乗する。

【０１４８】７７０１９２５３２Ｅ９ＣＥＤ５５４Ａ８６９０Ｂ８８Ｆ１６Ｄ０１３０１０Ｃ
９０３１７２Ｂ２６６Ｃ１１３３Ｂ１３６ＥＢＥ３ＥＢ５Ｆ１３Ｂ１７０ＤＤ４
１Ｆ４ＡＢＥ１４７３６ＡＤＤ３Ａ７０ＤＦＡ４３１２１Ｂ６ＦＣ５５６０ＣＤ
Ｄ４Ｂ４８４５３９５７６３Ｃ７９２Ａ６８

【０１４９】５かける２６＝１３０、つまり「８２」ｍｏｄｎで乗算する。

【０１５０】６ＥＥ９ＢＥＦ９Ｅ５２７１３００４９７１ＡＢＢ９ＦＢＣ３１１４５３１８Ｅ
２Ａ７０３Ｃ８Ａ２ＦＢ３Ｅ１４４Ｅ７７８６３９７ＣＤ８Ｄ１９１０Ｅ７０Ｆ
Ａ８６２６２ＤＢ７７１ＡＤ１５６５３０３ＡＤ６Ｅ４ＣＣ６Ｅ９０ＡＥ３６４
６Ｂ４６１Ｄ３５２１４２０Ｅ２４０ＦＤ４

【０１５１】ｍｏｄｎの平方乗する。

【０１５２】Ｄ９８４０Ｄ９Ａ８Ｅ８０００２Ｃ４Ｄ０３２９ＦＦ９７Ｄ７ＡＤ１６３Ｄ８Ｆ
Ａ９８Ｆ６ＡＦ８ＦＥ２Ｂ２１６０Ｂ２１２６ＣＢＢＤＦＣ７３４Ｅ３９Ｆ２Ｃ
９Ａ３９９８３Ａ４２６４８６ＢＣ４７７Ｆ２０ＥＤ２ＣＡ５９Ｅ６６４Ｃ２３
ＣＡ０Ｅ０４Ｅ８４Ｆ２Ｆ０ＡＤ６５３４０

【０１５３】２１、「１５」ｍｏｄｎによって乗算する。

【０１５４】Ｄ７ＤＤ７５１６３８３Ｆ７８９４４Ｆ２Ｃ９０１１６Ｅ１ＢＥＥ０ＣＣＤＣ８
Ｄ７ＣＥＣ５Ｄ７Ｄ１７９５ＥＤ３３ＢＦＥ８６２３ＤＢ３Ｄ２Ｅ５Ｂ６Ｃ５Ｆ
６２Ａ５６Ａ２ＤＦ４８４５Ａ９４Ｆ３２ＢＦ３ＣＡＣ３６０Ｃ７７８２Ｂ５９
４１９２４ＢＢ４ＢＥ９１Ｆ８６ＢＤ８５Ｆ

【０１５５】ｍｏｄｎの平方乗する。

【０１５６】ＤＤ３４０２０ＤＤ０８０４Ｃ０７５７Ｆ２９Ａ０ＣＢＢＤ７Ｂ４６Ａ１ＢＡＦ
９４９２１４Ｆ７４ＦＤＦＥ０２１Ｂ６２６ＡＤＡＦＢＡＢ５Ｃ３Ｆ１６０２０
９５ＤＡ３９Ｄ７０２７０９３８ＡＥ３６２Ｆ２ＤＡＥ０Ｂ９１４８５５３１０
Ｃ７ＢＣＡ３２８Ａ４Ｂ２６４３ＤＣＣＤＦ

【０１５７】５かける１１かける２１＝１１５５、つまり「４８３」ｍｏｄｎで乗算する。

【０１５８】０３８ＥＦ５５Ｂ４Ｃ８２６Ｄ１８９Ｃ６Ａ４４８ＥＦＤＤ９ＤＡＤＢＤ２Ｂ６
３Ａ７Ｄ６７５Ａ０５８７Ｃ８５５９６１８ＥＡ２Ｄ８３ＤＦ５５２Ｄ２４ＥＡ
Ｆ６ＢＥ９８３ＦＢ４ＡＦＢ３ＤＥ７Ｄ４Ｄ２５４５１９０Ｆ１Ｂ１Ｆ９４６Ｄ
３２７Ａ４Ｅ９ＣＡ２５８Ｃ７３Ａ９８Ｆ５７

【０１５９】ｍｏｄｎの平方乗する。

【０１６０】Ｄ１２３２Ｆ５０Ｅ３０ＢＣ６Ｂ７３６５ＣＣ２７１２Ｅ５ＣＡＥ０７９Ｅ４７
Ｂ９７１ＤＡ０３１８５Ｂ３３Ｅ９１８ＥＥ６Ｅ９９２５２ＤＢ３５７３ＣＣ８
７Ｃ６０４Ｂ３２７Ｅ５Ｂ２０Ｃ７ＡＢ９２０ＦＤＦ１４２Ａ８９０９ＤＢＢＡ
１Ｃ０４Ａ６２２７ＦＦ１８２４１Ｃ９ＦＥ

【０１６１】５かける１１かける２６＝１４３０、つまり「５９６」ｍｏｄｎで乗算する。

【０１６２】３ＣＣ７６８Ｆ１２ＡＥＤＦＣＤ４６６２８９２Ｂ９１７４Ａ２１Ｄ１Ｆ０ＤＤ
９１２７Ａ５４ＡＢ６３Ｃ９８４０１９ＢＥＤ９ＢＦ８８２４７ＥＦ４ＣＣＢ５
６Ｄ７１Ｅ０ＦＡ３０ＣＦＢ０ＦＦ２８Ｂ７ＣＥ４５５５６Ｆ７４４Ｃ１ＦＤ７
５１ＢＦＢＣＡ０４０ＤＣ９ＣＢＡＢ７４４

【０１６３】ｍｏｄｎの平方乗する。

【０１６４】０ＡＥ５１Ｄ９０ＣＢ４ＦＤＣ３ＤＣ７５７Ｃ５６Ｅ０６３Ｃ９ＥＤ８６ＢＥ１
５３Ｂ７１ＦＣ６５Ｆ４７Ｃ１２３Ｃ２７Ｆ０８２ＢＣ３ＤＤ１５２７３Ｄ４Ａ
９２３８０４７１８５７３Ｆ２Ｆ０５Ｅ９９１４８７Ｄ１７ＤＡＥ０ＡＡＢ７Ｄ
Ｆ０Ｄ０ＦＦＡ２３Ｅ０ＦＥ５９Ｆ９５Ｆ０

【０１６５】コミットメントＲが検出される。認証は成功である。

【０１６６】デジタルシグニチャデジタルシグニチャ機構は、署名者と呼ばれるエンティティが、署名済みのメ
ッセージを作成し、管理者と呼ばれるエンティティが署名済みのメッセージを検
証できるようにする。メッセージＭは、任意のバイナリシーケンスである。つま
り、それは空であってよい。メッセージＭは、対応する応答だけではなく、１つ
または複数のコミットメント、及び／またはチャレンジも含む、隣接するシグニ
チャアペンディクスとともに署名される。コントローラは、例えば、公開鍵のデ
ィレクトリから、またはでなければ公開鍵の登録簿からモジュラスｎを自由に使
うことができる。それは、また同じハッシュ機能も有する。ＧＱ２公開パラメー
タ、つまり数ｋ、ｍ及びｇ_１からｇ_ｍは、例えば、それらをシグニチャアペンデ
ィクスの中に入れることによって証明者によってコントローラに与えられてよい
。

【０１６７】数ｋ及びｍは、コントローラに知らせる。一方では、ｄ_１からｄ_ｍの各初歩チ
ャレンジは、０から２^ｋ−１−１の数である（数ｖ／２からｖ−１は使用されな
い）。他方、各チャレンジｄは、基数と同数のｄ_１からｄ_ｍと表されるｍ個の初
歩チャレンジを備えなければならない。さらに、それ以外に示されない限り、ｇ
_１からｇ_ｍというｍ個の基数は、ｍ個の第１素数である。（ｋ−１）ｘｍが１５
から２０に値巣ｓる場合に、並列で作成される４個のＧＱ２トリプレットを用い
て署名することが可能である。つまり（ｋ−１）ｘｍが６０以上に値する状態で
、単一のＧＱ２トリプレットを用いて書名することが可能である。例えば、ｋ＝
９及びｍ＝８の場合、単一ＧＱ２トリプレットで十分である。それぞれのチャレ
ンジは８個のバイトを備え、基数は２、３、５、７、１１、１３、１７、及び１
９である。

【０１６８】シグニチャ動作とは、３つの行為のシーケンスである。つまり、コミットメン
トという行為、チャレンジという行為、及び応答という行為である。各行為は、
それぞれコミットメントＲ（≠０）、ｄ_１，ｄ_２、_…ｄ_ｍによって表されるｍ個
の初歩チャレンジから構成されるチャレンジｄ、及び応答Ｄ（≠０）を含む、１
つまたは複数のＧＱ２トリプレットを作成する。

【０１６９】署名者は、ハッシュ機能、パラメータｋ及びＧＱ２秘密鍵、言い換えると前述
された３つの表現の内の１つに従ったモジュラスｎの因数分解を自由に使うこと
ができる。証明者の最も機密の機能及びパラメータを隔離するように、署名者内
では、コミットメントという行為及び応答の行為を実行する証人を隔離すること
ができる。コミットメント及び応答を計算するために、証人は、パラメータｋ及
ぴＧＱ２秘密鍵、言い換えると前述された３つの表現の内の１つに従ったモジュ
ラスｎの因数分解を自由に使用することができる。このように隔離された証人は
、証明者内で定義される証人に類似している。それは、ある特定の実施形態、例
えば、・ともに署名者を形成するＰＣにリンクされるチップカード、または再び
・ＰＣ内で特に保護されているプログラム、または再び・チップカード内で特に
保護されているプログラムに対応してよい。

【０１７０】１）コミットメントという行為は、以下の動作を含む。証人がｍ個の秘密数Ｑ_１からＱ_ｍ及びモジュラスｎを自由に使用することがで
きるとき、それは無作為に、及び秘密の１つまたは複数の乱数ｒ（０＜ｒ＜ｎ）
を引き入れる。それから、ｋの連続の平方（ｍｏｄｎ）累乗によって、それは
各乱数ｒをコミットメントＲに変換する。

【０１７１】

【数２０】Ｒ≡ｒ^ｖ（ｍｏｄｎ）

【０１７２】証人がｐ_１からｐｆのｆ個の素因数及びｍｘｆ個の秘密構成要素Ｑ_１ｊを自由
に使用できるとき、それは無作為に、及びｆ個の乱数の秘密の１つまたは複数の
集合体を引き入れる。つまり、各集合体は、素因数ｐ_ｉ（０＜ｒ_ｉ＜ｐ_ｉ）ごと
に１つの乱数ｒ_ｉを備える。それから、ｋの連続平方（ｍｏｄｐ_ｉ）累乗によ
って、それはｒ_ｉをコミットメント構成要素Ｒ_ｉに変換する。

【０１７３】

【数２１】Ｒ_ｉ＝ｒ_ｉ ^ｖ（ｍｏｄｐ_ｉ）

【０１７４】ｆ個のコミットメント構成要素の集合体ごとに、証人はチャイニーズ剰余の技
法に従ってコミットメントを確立する。乱数の集合体と同じ数のコミットメント
がある。

【数２２】

【０１７５】２）チャレンジという行為は、署名者がそれぞれｍ個の初歩チャレンジを含む
１つまたは複数のチャレンジを形成するハッシュコードを得るために、すべての
コミットメントＲ及び署名するためのメッセージＭをハッシュすることにある。
各初歩チャレンジは０からｖ／２−１という数である。例えば、ｋ＝９及びｍ＝
８の場合、各チャレンジは８つのバイトを備える。コミットメントと同じ数のチ
ャレンジがある。ハッシュ結果（Ｍ、Ｒ）から抽出されるｄ＝ｄ_１ｄ_２…ｄ_ｍ

【０１７６】３）応答という行為は、以下の動作を備える。証人がＱ_１からＱ_ｍのｍ個の秘密数及びモジュラスｎを自由に使用できるとき
、それはコミットメントという行為の各乱数ｒ及び初歩チャレンジに従った秘密
数を使用することによって１つまたは複数の応答Ｄを計算する。

【０１７７】

【数２３】Ｘ≡Ｑ_１ ^ｄ１ｘＱ_２ ^ｄ２ｘｔｏＱ_ｍ ^ｄｍ（ｍｏｄｎ）Ｄ≡ｒｘＸ（ｍｏｄｎ）

【０１７８】証人がｐ_１からｐｆのｆ個の素因数及びｍｘｆ個の秘密構成要素Ｑ_１ｊを自由
に使用することができるとき、それはコミットメントという行為の乱数の各集合
体を使用することによってｆ個の応答構成要素の１つまたは複数の集合体を計算
する。応答構成要素の各集合体は、素因数ごとに１つの構成要素を備える。

【０１７９】

【数２４】

【０１８０】応答コミットメントの集合体ごとに、証人は、チャイニーズ剰余の技法に従っ
て応答を確立する。チャレンジと同じ数の応答がある。

【０１８１】

【数２５】

【０１８２】署名者は以下を含む署名者アペンディクスをそれに接合するメッセージＭに署
名する。各ＧＱ２トリプレット、つまり各コミットメントＲ、各チャレンジｄ及び各応
答Ｄ、あるいは各コミットメントＲ及び各対応する応答Ｄあるいは各チャレンジｄ及び各対応する応答Ｄ

【０１８３】検証動作の性能は、シグニチャアペンディクスの内容に依存する。３つのケー
スを区別することができる。

【０１８４】アペンディクスが１つまたは複数のトリプレットを含む場合、管理動作は、そ
の年代順配列が重要ではない２つの独立した方法を備える。コントローラは、以
下の２つの条件が満たされる場合、及び場合にだけ署名済みのメッセージを受け
入れる。一方、各トリプレットはコヒーレント（以下の型の適切な関係が検証されなけれ
ばならない）且つ受け入れ可能（非零値に関する比較が行われなければならない
）でなければならない。

【０１８５】

【数２６】

【０１８６】例えば、応答Ｄは、以下初歩動作のシーケンスによって変換される。つまり、
基数によるｋ−１の乗算または除算（ｍｏｄｎ）によって分離されるｋ個の平
方（ｍｏｄｎ）。ｉ番目の平方とｉ＋１番目の平方の間で実行されるｉ番目の
乗算または除算について、初歩チャレンジｄ_１のｉ番目のビットはｇ_１を使用す
ることが必要であるかを示し、初歩チャレンジｄ_２のｉ番目のビットはｇ_２を使
用することが必要であるかを示し、初歩チャレンジｄ_ｍのｉ番目のビットは、ｇ
_ｍを使用することが必要であるかまでを示す。このようにして、各コミットメン
トＲがシグニチャアペンディクス内に存在して検出されなければならない。他方、１つまたは複数のトリプレットが、メッセージＭに結び付けられなければ
ならない。すべてのコミットメントＲ及びメッセージＭをハッシュすることによ
って、各チャレンジｄがその中から得られなければならないハッシュコードが得
られる。

【０１８７】ハッシュ結果（Ｍ、Ｒ）から抽出されるものに同一のｄ＝ｄ_１ｄ_２…ｄ_ｍ，アペンディクスがチャレンジを含まない場合、管理動作はすべてのコミットメン
トＲ及びメッセージＭをハッシュすることによって１つまたは複数のチャレンジ
ｄ′の再構築で開始する。

【０１８８】ハッシュ結果（Ｍ，Ｒ）から抽出されるｄ′＝ｄ′_１ｄ′_２…ｄ′_ｍ次に、コントローラは、各トリプレットがコヒーレント（以下の型の関係が検証
される）であり、且つ受け入れ可能である（非零値に関する比較が行われる）場
合、及び場合にだけ署名済みのメッセージを受け入れる。

【０１８９】

【数２７】

【０１９０】アペンディクスがコミットメントを含まない場合、管理動作は、以下の２つの
公式の一方、つまり適切である一方に従って１つまたは複数のコミットメントＲ
′の再構築で開始する。再確立されたコミットメントは零であってはならない。

【０１９１】

【数２８】

【０１９２】次に、コントローラは、各チャレンジｄを再構築するために、すべてのコミッ
トメントＲ′及びメッセージＭをハッシュしなければならない。ハッシュ結果（Ｍ、Ｒ′）から抽出されるものに同一のｄ＝ｄ_１ｄ_２…ｄ_ｍ、コントローラは、各再構築されたチャレンジがアペンディクス内で特徴にしてい
る対応するチャレンジに同一である場合、及び場合にだけ署名済みのメッセージ
を受け入れる。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号９９／１２４６８ (32)優先日平成11年10月１日(1999．10．1) (33)優先権主張国フランス（ＦＲ） (31)優先権主張番号００／０９６４４ (32)優先日平成12年７月21日(2000．7．21) (33)優先権主張国フランス（ＦＲ） (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＢＺ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者ギユ，ルイフランス国、35230 ブルバル、リュ・ドゥ・リズ 16 (72)発明者キスクワテル，ジャン−ジャックベルギー国、1640 ロード・サン・ジェネス、アヴニュ・デ・カナール３Ｆターム(参考） 5J104 AA07 AA08 AA21 EA32 JA23 JA27 KA05 KA08 LA03 NA02 NA17

Claims

【特許請求の範囲】

【請求項１】コントローラエンティティに対し、エンティティの真正性、及び／または該エンティティに関連付けられるメッセージＭの完全性を証明することを目的とする方法であって、前記方法は、ｆ個のｐ_１、ｐ_２…ｐ_ｆ（ｆは、２より大きいまたは２に等しい）の積によっ
て構成される、あるいはｆ個の素因数を実現する公開モジュラスｎと、ｇ_ｉがｆ個の素因数ｐ_１、ｐ_２…ｐ_ｆ未満であるｍ個の異なる整数基数ｇ_１、
ｇ_２…ｇ_ｍ（ｍは１より大きい、または１に等しい）と、ｍ組の秘密値Ｑ_１、Ｑ_２、_…Ｑ_ｍ及び公開値Ｇ_１、Ｇ_２、_…Ｇ_ｍ（ｍは１より
大きい、または１に等しい）またはそれらから引き出されるパラメータと、を実
現し、前記モジュラス及び前記秘密値と公開値が、以下の型の関係によって連結され
、【数１】Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１．ｍｏｄｎｏｒＧ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎ前記公開値Ｇ_ｉが基数の平方ｇ_ｉ ^２であり、ｖが以下の形式の公開指数値を表
し、ｖ＝２^ｋここで、ｋは１より大きい機密保護パラメータであり、発明による方法が、ｆ個の素因数ｐ_１、ｐ_２…ｐ_ｆ及び／またはｍ個の基数ｇ
_１、ｇ_２…ｇ_ｍを、以下の条件が満たされるように作成するステップを含み、第１条件：第１条件に従って、等式のそれぞれ【数２】Ｘ^ｖ≡ｇ_ｉ ^２ｍｏｄｎ（１）は、モジュロｎの整数の環内においてｘについての解を有する。第２条件：Ｇ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎの場合、階数（ｒａｎｋ）のｋ−１倍、Ｑ_１をモジュ
ロｎの平方に累乗することによって得られるｍ個の数ｑ_ｉの間で、それらの内の
１つが±ｇ_ｉと異なる（言い換えると、ノントリビアルである）。Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１ｍｏｄｎの場合、階数のｋ−１倍、Ｑ_１の逆数をｍｏｄｎの平方に累乗することによって得られるｍ個の数ｑ_ｉの間で、それらの内の
１つが_±ｇ_ｉと異なる（言い換えると、ノントリビアルである）。第３条件：２ｍ個の等式の間で：【数３】Ｘ^２≡ｇ_ｉｍｏｄｎ（２）Ｘ^２≡−ｇ_ｉｍｏｄｎ（３）それらの内の少なくとも１つが、モジュロｎの整数の環内のｘの中に解を有し
、ｆ個の素因数ｐ_１、ｐ_２からｐ_ｆ及び／またはｍ個の基数ｇ_１、ｇ_２からｇ_ｍ
を作成するための発明による方法は、最初に・機密保護パラメータｋ・ｍ個の基数ｇ_１、ｇ_２からｇ_ｍ及び／またはｆ個の素因数ｐ_１、ｐ_２からｐ_ｆ
を選ぶステップを含む方法。
【請求項２】ｍ個の基数ｇ_１、ｇ_２…ｇ_ｍが、少なくとも部分的に第１整
数の間で選ばれる請求項１に記載の方法。
【請求項３】機密保護パラメータｋが小さい整数、特に１００未満である
請求項１または２の１つに記載の方法。
【請求項４】モジュラスｎの大きさが数百ビットより大きい請求項１から
３のいずれか１項に記載の方法。
【請求項５】ｆ個の素因数ｐ_１、ｐ_２からｐ_ｆが、因数の数ｆで除算され
たモジュラスｎの大きさに近い大きさを有する請求項１から４のいずれか１項に
記載の方法。
【請求項６】第１条件を試すために、数ｋ、ｐ、ｇの互換性が、以下に示
すアルゴリズムを実現することによって検証され、２^ｈがｐに関してｇという階数を除算する数であって、そして２^ｈ＋１が除算
しない数がｈにより表され、ｈが、ルジャンドル記号（ｇ｜ｐ）から、及びＣＧ（ｐ）内の単位の２^ｔ番の
原始根（ｐｒｉｍｉｔｉｖｅｒｏｏｔ）に等しい数ｂから計算され、・（ｇ｜ｐ）＝−１の場合には、ｈ＝ｔ・ｔ＝１で（ｇ｜ｐ）＝＋１であれば、ｈ＝０・ｔ＞１で（ｇ｜ｐ）＝＋１であれば、キー〈（ｐ−１＋２^ｔ）／２^ｔ−１，ｐ
〉がＧに適用され、結果ｗがかくして得られ・・ｗ＝＋ｇの場合には、ｈ＝０・・ｗ＝ｐ−ｇの場合には、ｈ＝＋１・・それ以外の場合、以下の計算サブモジュラスが、それを値ｂに帰する変数ｃ
を初期化してから、ｔ−１から２までのｉという値について以下のステップを反
復することによって適用され、ステップ１：キー〈２^ｉ，ｐ〉がｗ／ｇ（ｍｏｄｐ）に適用され、＊得られた結果が＋１に等しい場合に、ステップ２に移動し、＊得られた結果が−１に等しい場合に、値がｈに帰され、ｗがｗ．ｃ（ｍｏｄ
ｐ）によって置換され、ステップ２：ｃがｃ^２（ｍｏｄｐ）によって置換され、求められているｈの値は、ステップ１に従ってキー〈２^ｉ，ｐ〉の適用が最後
に−１に等しい結果を作成したときに得られたものであり、（ｈ＞１のとき及びｋ＋ｈ＞ｔ＋１のとき、ｋ、ｇ、ｐは互換性がある、ｔ＋１のときにｋ、ｇ、ｐは互換性があることが想起されよう）（前記アルゴリズムでは、ルジャンドル記号及びｔは、詳細な説明中定義される
意味を有する）ことを特徴とする請求項１から５のいずれか１項に記載の方法。
【請求項７】第２条件を試すために、少なくとも１つの集合｛δ_ｉ．ｌ…
δ_ｉ．ｆ｝が可変または零であるかチェックされるような請求項６に記載の方法
。（δは、説明中定義される意味を有する。）
【請求項８】第３条件を試すために、ｆ個のルジャンドル記号（ｇ_ｉ｜ｐ
_ｌ）から（ｇ_ｉ｜ｐ_ｆ）がすべて＋１に等しいか、またはでなければｆ個のルジ
ャンドル記号（−ｇ_ｉ｜ｐ_ｌ）から（−ｇ_ｉ｜ｐ_ｆ）がすべて＋１に等しいよう
に、ｇ_ｌからｇ_ｍの基数ｇ_ｉがあるかチェックされるような請求項７に記載の方
法。
【請求項９】Ｇ_ｉ≡Ｑ_ｉ ^ｖｍｏｄｎの場合に秘密値Ｑ_１、Ｑ_２…Ｑ_ｍ（
Ｑ_ｉ，ｊ≡Ｑ_ｉｍｏｄｐ_ｊ）のｆ．ｍ個の秘密構成要素Ｑ_ｉ，ｊを計算するた
めに、ｔ＝１（つまり、ｐ_ｊ≡３（ｍｏｄ４）の場合）の場合：・数Ｓ_ｊは、Ｓ_ｊ≡（（ｐ_ｊ＋１）／４^ｋ（ｍｏｄ（ｐ_ｊ−１）／２）となるよ
うに計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉がＧ_ｉに適用され、・このようにしてｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）を得る、・Ｑ_ｉ，ｊの２つの考えられる値はｗ、ｐ_ｊ−ｗであり、 −ｔ＝２（つまり、ｐ_ｊ≡５（ｍｏｄ８）の場合）場合：・数ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ＋３）／８^ｋ（ｍｏｄ（ｐ_ｊ−１）／４））となる
ように計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉がＧ_ｉに適用され、・このようにしてｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）及びｗ′≡ｗ．ｚ（ｍｏｄｐ
_ｊ）が得られ、・Ｑ_ｉ，_ｊの４つの考えられる値はｗ、ｐ_ｊ−ｗ、ｗ′、ｐ_ｊ−ｗ′であり、ｗ
’≡ｗ．ｚ（ｍｏｄｐ_ｊ）（前記アルゴリズムでは、ｚは詳細な説明中に定義
される意味を有する。）ｔ＞２（つまり、ｐ_ｊ≡２^ｔ＋１（ｍｏｄ２^ｔ＋１）の場合）場合及びｈ＝
０の場合またはｈ＝１の場合・数ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ−^１＋２^ｔ）／２^ｔ＋１）^ｋ（ｍｏｄ（ｐ_ｊ−１）
／２^ｔ））となるように計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉がＧ_ｉに適用され、・このようにして、ｗ≡Ｇ_ｉ ^ｓｊ（ｍｏｄｐ_ｊ）を得る。・Ｑ_ｉ，_ｊの２^{ｍｉｎ（ｋ，ｔ）}個の考えられる値は、ＣＧ（ｐ_ｊ）内の単位の
２^{ｍｉｎ（ｋ，ｔ）}番の累乗根のどれか１つによるｗの積に等しい。 −ｔ＞２（つまり、ｐ_ｊ≡２^ｔ＋１（ｍｏｄ２^ｔ＋１）の場合）の場合及びｈ
＞１・ｓ_ｊは、ｓ_ｊ≡（（ｐ_ｊ−^１＋２^ｔ）／２^ｔ＋１）^{ｋ＋ｈ−１}（ｍｏｄ（ｐ_ｊ
−１）／２^ｔ））となるように計算され、・そのキー〈ｓ_ｊ，ｐ_ｊ〉が演繹され、・キー〈ｓ_ｊ，ｐ_ｊ〉が２^ｈ−１乗のＧ_ｉに適用され、・ｗがこのようにして得られ、・Ｑ_ｉ，ｊの２^ｋ個の考えられる値が、ＣＧ（ｐ_ｊ）内の単位の２^{ｋ＋ｈ−１}番
の原始根によるｗのすべての積に属することを特徴とする請求項１から８のいずれか１項に記載の方法。
【請求項１０】Ｇ_ｉ．Ｑ_ｉ ^ｖ≡１．ｍｏｄｎである場合の秘密構成要素
Ｑ_ｉ，ｊを計算するために、ｓ_ｊがキー〈ｓ_ｊ，ｐ_ｊ〉の中の（（ｐ_ｊ−１）／
２^ｔ）−ｓ_ｊによって置換されるような請求項９に記載の方法。
【請求項１１】ｆ個の素因数ｐ_１、ｐ_２…ｐ_ｆまたはｍ個の基数ｇ_１、ｇ
_２…ｇ_ｍを作成できるようにする、請求項１から８のいずれか１項に記載の方法
を適用する方法であって、前記方法が、コントローラエンティティに対し、エンティティの真正性、及び／または該エンティティに関連付けられるメッセージＭの完全性を、ｍ組の秘密値Ｑ_１、Ｑ_２…Ｑ_ｍ及び公開値Ｇ_１、Ｇ_２、_…Ｇ_ｍ（ｍは１より
大きい、または１に等しい）あるいはそれらから導出されるパラメータによって
、特に秘密構成要素Ｑ_ｉ，ｊによって証明することを目的とし、前記方法が、証人と呼ばれるエンティティを以下のステップに従って実現し、前記証人が、ｆ個の素因数ｐ_ｉ及び／または素因数のチャイニーズ剰余の値の
パラメータ、及び／または公開モジュラスｎ及び／またはｍ個の秘密値Ｑ_ｉ及び
／または秘密値Ｑ_ｉのｆ．ｍ個の秘密構成要素及び公開指数値ｖのＱ_ｉ，ｊを有
し、証人が、モジュロｎの整数の環内のコミットメントＲを計算し、各コミットメ
ントが、以下によって計算され、・以下の型の演算を実行することによって、Ｒ≡ｒ^ｖｍｏｄｎその場合、ｒは０＜ｒ＜ｎとなるように乱数であり、・あるいは・・以下の型の演算を実行することによってＲ_ｉ＝ｒ_ｉ ^ｖｍｏｄｐ_ｉその場合、ｒ_ｉは０＜ｒ_ｉ＜ｐ_ｉとなるように素数ｐ_ｉと関連付けられる乱数で
あり、ｒ_ｉは、乱数｛ｒ_１、ｒ_２、からｒ_ｆ｝の集合体に属し、・・それから、チャイニーズ剰余の方法を適用することによって、証人は、１つまたは複数のチャレンジｄを受け取り、各チャレンジｄは以下初歩
チャレンジと呼ばれるｍ個の整数ｄ_ｉを備え、証人は、以下によって各チャレン
ジｄから、応答Ｄを計算し、・以下の型の演算を実行することによってＤ＝ｒ．Ｑ_１ ^ｄ１．Ｑ_２ ^ｄ２からＱ_ｍ ^ｄｍｍｏｄｎ・または・・以下の型の動作を実行することによってＤ_ｉ≡ｒ_ｉ．Ｑ_ｉ，１ ^ｄ１・Ｑ_ｉ，２ ^ｄ２からＱ_ｉ，ｍ ^ｄｍｍｏｄｐ_ｉ・・それから、チャイニーズ剰余法を適用することによって、チャレンジｄ及びコミットメントＲと同じ数の応答Ｄがあり、数Ｒ、ｄ、Ｄの各
グループが｛Ｒ，ｄ，Ｄ｝と表されるトリプレットを構成するようである前記方
法。