JP2004515160A - メッセージ認証システムのためのしきい値暗号方法およびシステム - Google Patents

Abstract

メッセージを認証するための方法および装置であって、この方法は、第１のシェアを表すデータを装置で受信すること、前記第１のシェアと前記装置に記憶された少なくとも２つの追加シェアとを使用して鍵を構成すること、および、前記構成した鍵を使用してメッセージを認証することを含んでいる。

Description

【０００１】
（発明の分野）
本発明は、メッセージ認証（ｍｅｓｓａｇｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ：通報認証）を提供するためのシステムおよび方法に関する。秘密分散（ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ）の概念を利用することにより、このシステムは、メッセージの受信側に完全な（ｆｕｌｌ）鍵（ｋｅｙ：キー）を送信することを必要としない。鍵全体を送信するのではなく、送信側から受信した少なくとも１つのシェア（ｓｈａｒｅ：分担、割り当て、一部、断片）と、受信側に記憶された少なくとも２つのシェアを使用して鍵を回復する。
【０００２】
（発明の背景）
近年の電子配信ネットワークでは、メッセージ認証が情報セキュリティの重要な課題である。この課題は、メッセージの受信側に送信側の識別（ｉｄｅｎｔｉｔｙ：身元）を保証することによって達成される。２進数列（ｂｉｎａｒｙ　ｓｅｑｕｎｅｃｅ）として表現されるメッセージには、封印した封筒などの物理的な保護は不可能なので、暗号法（ｃｒｙｐｔｏｇｒａｐｈｙ）を用いたディジタル・ツールが開発されてきた。メッセージ認証のためのあらゆる暗号方法の主要な弱点は、これらが固定の対称鍵（ｓｙｍｍｅｔｒｉｃ　ｋｅｙ）または公開鍵（ｐｕｂｌｉｃ　ｋｅｙ）を含むアルゴリズムを使用する点にある。秘密分散に基づく新しい鍵の移送方式について述べるが、この方式は、新しいメッセージごとに新しい鍵で認証できるようにし、鍵またはメッセージへの攻撃（ａｔｔａｃｋ）に対するシステムの抵抗力を強化するものである。
【０００３】
認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）は、情報セキュリティの最も重要な４つの目的のうちの１つである。他の目的は、機密性（ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ：秘密性）、データ保全性（ｄａｔａ　ｉｎｔｅｇｒｉｔｙ：完全性）、および否認防止（ｎｏｎ−ｒｅｐｕｄｉａｔｉｏｎ）である。通信ネットワークでは、これらの目的の幾つかまたはすべてを達成することが必要となる場合がある。
【０００４】
機密性（秘密性）に関しては、情報を秘密にしておくべき適用例があることに留意されたい。暗号化技法は、データを理解不可能なフォーマット（形式）に変換することによって機密性をもたらす。これは可逆的なプロセスであり、正しい鍵を保持する者は、データを回復することができる。
【０００５】
データ保全性（完全性）に関しては、ユーザは、許可されない方法で情報が改変されていないことを保証する必要がある。ハッシング関数（ｈａｓｈｉｎｇ　ｆｕｎｃｔｉｏｎ）は、データのコンパクトな表現を生成するものであり、一般に、データ保全性をチェックするのに使用される。
【０００６】
最後に、否認防止に関しては、例えば、当事者が電子取引への関与などの行為を否認した結果として争議が生じたとき、信頼できる第三者が審判者として関与することで解決することができる。
【０００７】
認証には「エンティティ（ｅｎｔｉｔｙ）」認証と「メッセージ（ｍｅｓｓａｇｅ）」認証の、２つの基本タイプがある。メッセージ認証は、メッセージの発信元の識別を保証する。エンティティ認証は、メッセージの発信元の識別、およびメッセージの発信元のアクティブな関与を保証する。
【０００８】
図６に、２人の当事者（ＡとＢ）がメッセージ交換用プロトコルを使用して通信する通信チャネルを示す。当事者Ａは、メッセージＭの送信側であり、当事者Ｂは、受信側である。通信ネットワークのタイプに応じて、当事者Ｂは、メッセージ受信時に少なくとも３つの情報を必要とする。即ち、（１）メッセージＭを送信した当事者の識別（ｉｄｅｎｔｉｔｙ）の保証（一般に、「メッセージ」認証と呼ばれる）、（２）メッセージＭが、伝送中に改変されなかったという証拠（データ保全性）、および（３）メッセージが送信されたときに当事者Ａ（即ち、送信側）がアクティブ（ａｃｔｉｖｅ）であったことの表示（一般に、「エンティティ」認証と呼ばれる）である。
【０００９】
前述のように、メッセージ認証は、メッセージＭの発信元である当事者Ａの識別を保証する。また、メッセージＭが伝送中に改変された場合は、当事者Ａは発信元になり得ないので、メッセージ認証はデータ保全性の証拠も含んでいる。一方、エンティティ認証は、当事者Ｂに対して、当事者Ａの識別だけでなくそのアクティブな関与も保証する。２人の当事者は、どちらの方向にもメッセージが流れるようにするために、相互に認証することが必要な場合もある。一般に、相互認証には、対称鍵または公開鍵方式に基づくチャレンジ・レスポンス・プロトコル（ｃｈａｌｌｅｎｇｅ−ｒｅｓｐｏｎｓｅ　ｐｒｏｔｏｃｏｌ）、およびゼロ知識プロトコル（ｚｅｒｏ−ｋｎｏｗｌｅｄｇｅ　ｐｒｏｔｏｃｏｌ）が使用される。
【００１０】
メッセージ認証は、瞬時性（ｔｉｍｅｌｉｎｅｓｓ）も固有性（ｕｎｉｑｕｅｎｅｓｓ）も保証しないものの、一方の当事者（例えば当事者Ａ）がメッセージ・プロトコルの実行中にアクティブでない場合の通信に非常に有用である。リプレイ攻撃（ｒｅｐｌａｙ　ａｔｔａｃｋ）（即ち、侵害者が当事者Ａになりすまし、プロトコルを得ようとして前に使用されたメッセージを送信する）を回避するために、時間的に変化するデータ（例えば、シーケンス番号やタイム・スタンプなど）をメッセージＭに付加することができる。
【００１１】
「ハッシング（ｈａｓｈｉｎｇ）」と呼ばれる暗号プロセスは、データ保全性およびメッセージ認証の方式の極めて重要な部分である。ハッシュ関数は、任意の有限長のメッセージを受け取り、固定長の出力を生成する。暗号の適用例では、ハッシュ値は、実際のメッセージをより短く表現したものと考えられる。ハッシュ関数は、（１）鍵なし（ｕｎｋｅｙｅｄ）ハッシュ関数（即ち、入力パラメータはメッセージだけ）と（２）鍵付き（ｋｅｙｅｄ）ハッシュ関数（即ち、入力パラメータはメッセージおよび秘密鍵）の２つのグループに分類される。
【００１２】
特定のクラスの「鍵なしハッシュ関数」は、マニピュレーション（変更）検出コード（ＭＤＣ：Ｍａｎｉｐｕｌａｔｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｃｏｄｅ）を含んでいる。マニピュレーション検出コード（ＭＤＣ）は、メッセージＭを圧縮する方式に依り様々である。幾つかの例として、（ａ）ブロック暗号（ｂｌｏｃｋ　ｃｉｐｈｅｒ）に基づくハッシュ関数、（ｂ）モジュラー演算（ｍｏｄｕｌａｒ　ａｒｉｔｈｍｅｔｉｃ）に基づくハッシュ関数、および（ｃ）カスタマイズされたハッシュ関数がある。
【００１３】
メッセージ認証に使用される鍵付きハッシュ関数は、メッセージ認証コード（ＭＡＣ：Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）に基づいて分類される。メッセージ認証コード（ＭＡＣ）は、カスタマイズすることもでき、ブロック暗号を使用して構成することもでき、また、マニピュレーション検出コード（ＭＤＣ）から導出することもできる。
【００１４】
メッセージ認証方法は、どのように対称鍵または公開鍵暗号を利用するかによって（ａ）メッセージ認証コード（ＭＡＣ）、（ｂ）メッセージ暗号化、および（ｃ）ディジタル署名（ｄｉｇｉｔａｌ　ｓｉｇｎａｔｕｒｅ）に分類することができる。
【００１５】
図７に、メッセージ認証コード（ＭＡＣ）を使用したメッセージ認証方法のブロック図を示す。メッセージＭが、メッセージ認証コード（ＭＡＣ）アルゴリズムに入力され、メッセージ認証コード（ＭＡＣ）アルゴリズムは、両当事者（即ち、送信側（当事者Ａ）と受信側（当事者Ｂ））が共有する鍵Ｋを使用してメッセージ認証コード（ＭＡＣ）を計算する。次いで、当事者Ａは、メッセージ認証コード（ＭＡＣ）をメッセージＭに付加し、複合信号（ｃｏｍｐｏｓｉｔｅ　ｓｉｇｎａｌ）を当事者Ｂに送信する。
【００１６】
図８に、メッセージ暗号化を使用したメッセージ認証方法のブロック図を示す。メッセージ暗号化は、対称鍵暗号化と公開鍵暗号化の２通りの方式で達成することができる。対称鍵暗号化では、メッセージＭを受信側（例えば、当事者Ｂ）に送信する前に対称鍵で暗号化する。受信側（例えば、当事者Ｂ）は、対称鍵のコピーを使用してメッセージを復号する。公開鍵暗号化では、メッセージＭを公開鍵で暗号化し、受信側で対応する秘密鍵を使用して復号する。図８に示すように、どちらの方法に従う場合でも、メッセージＭが暗号化アルゴリズムに入力され、暗号化アルゴリズムは、鍵Ｋ（対称または公開）を使用して暗号化済みメッセージＥ_ｋ（Ｍ）を生成する。
【００１７】
図９に、ディジタル署名を使用したメッセージ認証方法のブロック図を示す。この方法では、送信側（例えば、当事者Ａ）は、秘密鍵（Ｋ_{ｐｒｉｖａｔｅ}）を使用してメッセージＭにディジタル署名する。メッセージＭのサイズに応じて、適切な署名アルゴリズムを使用することができる。当事者Ａは、秘密鍵を所有する唯一の当事者なので、受信側（例えば、当事者Ｂ）には、メッセージＭが当事者Ａによって生成されたものであることが保証される。
【００１８】
メッセージ認証コード（ＭＡＣ）生成、メッセージ暗号化、およびディジタル・メッセージ署名（即ち、３つのメッセージ認証タイプすべて）に固定の鍵を使用する場合、セキュリティ・レベルは制限され、それによりシステムは、暗号解読される可能性がある。
【００１９】
「メッセージ認証コード（ＭＡＣ）」方法に関しては、送信側と受信側によって共有される対称鍵の存続時間中は、この対称鍵をすべてのメッセージに使用する必要がある。これにより、この方法は鍵回復およびメッセージ認証コード（ＭＡＣ）偽造のための攻撃を受けやすくなる。可能な攻撃には、（１）鍵空間（ｋｅｙ　ｓｐａｃｅ）に対する攻撃と（２）メッセージ認証コード（ＭＡＣ）値に対する攻撃の２つがある。侵害者が、メッセージ認証コード（ＭＡＣ）鍵を決定することができる場合、侵害者は、どんなメッセージについてもメッセージ認証コード（ＭＡＣ）値を生成できることになる。「ｔ」ビットの鍵サイズおよび固定入力の場合、正しいｎビットのメッセージ認証コード（ＭＡＣ）を見つけることができる確率は約２^−ｔである。メッセージ認証コード（ＭＡＣ）偽造の目的は、鍵を知らずに所定のメッセージについてのメッセージ認証コード（ＭＡＣ）を生成すること、または所定のメッセージ認証コード（ＭＡＣ）についてのメッセージを見つけることである。ｎビットのメッセージ認証コード（ＭＡＣ）アルゴリズムの場合、この目的を達成できる確率は約２^−ｎである。要するに、メッセージ認証コード（ＭＡＣ）アルゴリズムに対するブルート・フォース攻撃（ｂｒｕｔｅ　ｆｏｒｃｅ　ａｔｔａｃｋ）に必要な労力は、最低（２^ｔ，２^ｎ）になる。
【００２０】
メッセージ暗号化方法に関しては、この方法もまたブルート・フォース攻撃を受けやすい。例えば、５６ビットデータ暗号化規格（ＤＥＳ）（対称）アルゴリズムの場合、鍵は、２^５５個のデータ暗号化規格（ＤＥＳ）演算をすべてテストすることによって決定することができる。線形暗号解読や差分暗号解読のようなより効率的な攻撃では、より少ないプロセッシング時間で鍵を回復することができる。
【００２１】
ディジタル署名方法に関しては、安全であることが証明されている公開鍵署名アルゴリズムはない。公開鍵アルゴリズムのセキュリティは、離散対数を計算することの困難さ、または大きな数を因数分解することの困難さに基づいている。固定の公開／秘密鍵の対であれば、公開鍵またはメッセージ上の署名を使用して攻撃が可能である。適用例によっては、送信側の公開鍵の認証は、複雑な公開鍵インフラストラクチャ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：基盤）を必要とする大きな問題である。
【００２２】
従って、現在、より高度なセキュリティを与えるが固定の鍵を使用しない、メッセージ認証を提供するための方法およびシステムが必要とされている。
【００２３】
（発明の概要）
本発明は、メッセージの認証を提供するための方法および装置を定める。この方法は、第１のシェア（ｓｈａｒｅ）を表すデータを受信側局（ｓｔａｔｉｏｎ：ステーション）で受信すること、前記第１のシェアと前記受信側局に記憶された少なくとも２つの追加シェアとを使用して鍵を構成すること、および、前記構成した鍵を使用してメッセージを認証することを含んでいる。
【００２４】
本発明の第１の例示的な実施形態によれば、第１および第２のシェアを使用する。第１および第２のシェアはユークリッド平面（Ｅｕｃｌｉｄｅａｎ　ｐｌａｎｅ）上の点であり、鍵を構成するステップは、第１および第２のシェアによってユークリッド平面上に形成される線のＹ切片（Ｙ−ｉｎｔｅｒｃｅｐｔ）を計算することを含んでいる。
【００２５】
本発明の第２の例示的な実施形態によれば、第１、第２、第３のシェアを使用する。第１、第２、第３のシェアは、ユークリッド平面上の点であり、鍵を構成するステップは、第１、第２、第３のシェアによってユークリッド平面上に形成される放物曲線のＹ切片を計算することを含んでいる。
【００２６】
本発明の第３の例示的な実施形態によれば、第１、第２、第３、第４のシェアを使用する。第１、第２、第３、第４のシェアは、ユークリッド平面上の点であり、鍵を構成するステップは、第１、第２、第３、第４のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算することを含んでいる。一般に、必要とされるセキュリティ・レベルに応じて、任意の数のシェアを使用することができる。
【００２７】
（実施形態の詳細な説明）
本発明は、２人以上の当事者間で送信されるメッセージを予め組み込まれた秘密分散法を用いて認証するメッセージ認証システムを含んでいる。予め組み込まれた秘密分散法を用いることにより、メッセージ認証システムのセキュリティ（安全性）およびフレキシビリティ（柔軟性）（例えば、種々の鍵を使用することによる）が向上する。
【００２８】
本発明は、アジ・シャミル氏（Ａｄｉ　Ｓｈａｍｉｒ）によって元々開発された、「しきい値法（ｔｈｒｅｓｈｏｌｄ　ｓｃｈｅｍｅ）」として知られる秘密分散法の適用を採用する（Ａ．Ｓｈａｍｉｒ「Ｈｏｗ　ｔｏ　ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　ｏｆ　ｔｈｅ　ＡＣＭ、Ｖｏｌ．２２、Ｎｏ．１１、６１２〜６１３ページ、１９７９年１１月参照）。シャミル氏によって提案されるような（ｔ，ｎ）しきい値法は、秘密（情報）（ｓｅｃｒｅｔ）を再構成するために断片のうち少なくともｔ個（≦ｎ）が必要になるような形で、秘密をｎ個の断片（「シェア（ｓｈａｒｅ）」または「シャドウ（ｓｈａｄｏｗ）」と呼ばれることがある）に分割するものである。完全なしきい値法は、（ｔ−１）個以下の断片（「シェア」または「シャドウ」）が分っても、秘密に関する情報は何も提供されないしきい値法である。
【００２９】
例えば、（２，５）しきい値法では、秘密は５つのシェアに分割されるが、秘密を再構成するには２つのシェアしか必要でない。このような（２，５）しきい値法を用いて、銀行のマネージャが、主金庫に対する錠の組合せを５人の出納係の間で分割することができる。このようにすれば、任意の２人の出納係が協働すれば金庫を開けることができるが、１人の出納係だけでは金庫を開けることはできない。シャミル氏の（ｔ，ｎ）しきい値法では、より大きい値をｔに選択して（ｔ−１）個の秘密をスマート・カード（ｓｍａｒｔ　ｃａｒｄ）に記憶すれば、暗号文攻撃に対するシステムの抵抗力は高まるものの、多項式を構成するための計算はより多くなる。
【００３０】
このようなしきい値法は、対称鍵を回復する際の計算要件を低減する。モジュラー（ｍｏｄｕｌａｒ）べき乗計算を必要とするＲＳＡ（Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ａｄｌｅｍａｎ）復号と比較して、新しい鍵それぞれにつき単純な操作が行われるだけである（即ち、ｘ＝０における多項式の値が計算される）。加えて、セキュリティは完全である（即ち、（ｘ_１，ｙ_１）が分っても、秘密の値はすべて依然として等しい確率を有する）。
【００３１】
本発明は、シャミル氏の秘密分散の原理を利用して、メッセージを認証するための鍵の識別を秘匿する。具体的には、本発明者は、ユークリッド平面上の２つ以上の点で形成される特定の線または曲線のＹ切片を鍵が構成する方式を提案する。
【００３２】
この方式の最も単純な実施形態では、あらかじめシェアが記憶された状態の装置（ｄｅｖｉｃｅ：デバイス）（例えば、受信機）が製造される（後述の通り、これはしばしば「予め組み込まれた（ｐｒｅｐｏｓｉｔｉｏｎｅｄ）」分散秘密法と呼ばれる）。この記憶されたシェアを使用して鍵を計算し、次いでこの鍵を使用してメッセージ認証子（ｍｅｓｓａｇｅ　ａｕｔｈｅｎｔｉｃａｔｏｒ）を得る。メッセージ認証子は、例えば、図７に関して先に説明したタイプのもの（例えば、メッセージ認証コード（ＭＡＣ））とすることもでき、当業者に周知の異なる認証子とすることもできる。メッセージ信号を送信するとき、追加の、即ち「アクティブ化（ａｃｔｉｖａｔｉｎｇ）」シェアも一緒に送信する。アクティブ化シェアを知っていても記憶済みシェアを知らなければ意味がないので、この方式では「アクティブ化」シェアを暗号化する必要はないことに留意されたい。装置は、「アクティブ化」シェアを受け取ると、記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を見つけることによって計算される鍵を使用して、メッセージ認証子を計算する。新しい鍵が必要になる度に、送信側で新しい「アクティブ化」シェアを選択し、それにより記憶済みシェアと「アクティブ化」シェアとによって形成される線のＹ切片を変更することができる。このようにして、有限数の鍵を定め、装置のハードウェアもソフトウェアも変更せずに鍵を利用することができる。前述の「装置」には、アナログまたはディジタル・テレビジョン（ＤＴＶ）受信機、セットトップ・ボックス（ＳＴＢ）、ビデオカセット・レコーダ（ＶＣＲ）、および当業者に知られた他の等価な装置など、多くの様々なタイプの装置を含めることができることに留意されたい。話を簡単にするために、以下の記述では、一般的な「受信機」構造を中心に説明する。
【００３３】
鍵の生成および配布のプロセスは、以下のステップを実施するためのプログラムを開発することによって自動化することができる。
（ａ）秘密Ｓを選択する。これはユークリッド平面のＹ軸に沿った値となる。
（ｂ）Ｓを使用してメッセージ認証子を生成する。このメッセージ認証子は、例えばＭＡＣとすることができる。
（ｃ）点（０，Ｓ）と別の点（ｘ_０，ｙ_０）を通る１次多項式ｆ（ｘ）を構成する。
（ｄ）ｘ_１におけるｆ（ｘ）を計算する。ｘ_１はｘ_０と等しくはなり得ない。
（ｅ）メッセージおよびメッセージ認証子（ｍｅｓｓａｇｅ　ａｕｔｈｅｎｔｉｃａｔｏｒ：メッセージ認証符号）（例えば、ＭＡＣ）と共に、（ｘ_１，ｙ_１）を配布する。
【００３４】
前述のような方式は、秘密の一部が装置（例えば、受信側）に「予め組み込まれる」ので、しばしば「予め組み込まれた」分散秘密法と呼ばれる。上の例では、「予め組み込まれた」シェアは、受信側で記憶されているシェアである。このような「予め組み込まれた」分散秘密法は、暗号学の分野で他者によって考察されている（例えば、Ｇ．Ｊ．Ｓｉｍｍｏｎｓ「Ｈｏｗ　ｔｏ（ｒｅａｌｌｙ）ｓｈａｒｅ　ａ　ｓｅｃｒｅｔ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’８８　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、３９０〜４４８ページ、１９９０年、およびＧ．Ｊ．Ｓｉｍｍｏｎｓ「Ｐｒｅｐｏｓｉｔｉｏｎｅｄ　ｓｈａｒｅｄ　ｓｅｃｒｅｔ　ａｎｄ／ｏｒ　ｓｈａｒｅｄ　ｃｏｎｔｒｏｌ　ｓｃｈｅｍｅｓ」Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’８９　Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、４３６〜４６７ページ、１９９０年参照）。所定のシェアを予め組み込むことにより、鍵は、受信側のどんな回路も変更せずに比較的容易に変更することができ、「アクティブ化」シェアを変更する必要があるだけである。
【００３５】
上記のアルゴリズムは、２つのシェア（即ち、ユークリッド平面上の線の２点）だけを有する秘密Ｓを利用した予め組み込まれた秘密分散法を概説したものであることに留意されたい。当然、より多くのシェア（点（ｐｏｉｎｔ））から他の秘密Ｓを計算し、それにより暗号解読をより困難にすることもできる。予め組み込まれた秘密分散法の重要な面は、シェアの幾つかが受信側に「予め組み込まれる」ことである。
【００３６】
本発明は、特定位置（場所）（例えば、受信側ハードウェア）に秘密のシェアの少なくとも１つを記憶することを含んでいる。次いで、記憶したシェアを「アクティブ化」シェアと共に使用して、秘密を構成する。例えば（４，４）方式では、４つのシェアのうち３つを特定位置（例えば、受信側）に記憶することが好ましい。次いで、秘密を得るための最後のシェア（本明細書では「アクティブ化（ａｃｔｉｖａｔｉｎｇ）」シェアとも呼ぶ）をこの位置に送信する。本発明では、秘密はシェア自体ではなく、シェアがユークリッド平面上の点として表されたときにシェアによって形成される線、または曲線（より高次の多項式の場合）のＹ切片であることに留意することが重要である。
【００３７】
図１、図２Ａ、および図２Ｂは共に、本発明の第１の例示的な実施形態によるメッセージ認証システム１００を、示すものである。メッセージ認証システム１００は、メッセージ・ソース（送信側）４０およびメッセージ受信機５０を含んでいる。メッセージ・ソース４０は、秘密鍵を使用して、メッセージからメッセージ認証子を生成する。通常、認証子は、メッセージと共に受信機５０に送信される。受信機５０は、同じ鍵を構成し、この鍵を使用して認証子を計算する。受信機で構成された認証子と、メッセージと共に送信された認証子とが同じである場合は、このメッセージは真正（ａｕｔｈｅｎｔｉｃ）であると決定される。第１の例示的な実施形態では、秘密は２つのシェアから得られる。前述のように、各シェアはユークリッド平面上の点で定められる。
【００３８】
具体的には、受信機５０に秘密の第１のシェア（または、データ点）が記憶される。第１のシェアは、ユークリッド平面上の単一の点（即ち（ｘ_０，ｙ_０）の形式）と考えることができる。メッセージ・ソース４０は、特定の認証プロトコルで受信機５０にメッセージを送信する。メッセージに加えて、メッセージ・ソース４０は、メッセージ認証子および第２の（即ち、「アクティブ化」シェア（秘密の第２の部分である）も送信する。第１のシェアと同様、第２のシェアも、同じユークリッド平面からの第２の単一の点（即ち、（ｘ_１，ｙ_１）の形式）とすることができる。
【００３９】
第１の例示的な実施形態では、メッセージ、メッセージ認証子（例えば、メッセージ認証コード（ＭＡＣ））、および第２の（「アクティブ化」）シェアは、受信機５０によって受信され、受信機の内部で処理される。受信機５０は、第２の（「アクティブ化」）シェア（例えば、（ｘ_１，ｙ_１））と記憶済みの第１のシェア（例えば、（ｘ_０，ｙ_０））とを使用して、鍵（即ち、秘密）を再構成（または回復）する。次いで、受信機５０は、再構成した鍵を使用して、メッセージ認証子（例えば、メッセージ認証コード（ＭＡＣ））を生成する。受信機５０で計算されたメッセージ認証子（例えば、メッセージ認証コード（ＭＡＣ））が、メッセージ・ソース４０から送信されたメッセージ認証子と同じである場合は、メッセージは真正と見なされ、メッセージ認証子が同じでない場合は、メッセージは拒否される。
【００４０】
鍵の回復（ｒｅｃｏｖｅｒｙ）は、第１および第２のシェアを利用して多項式を構成することによって達成される。即ち、構成された多項式のＹ切片が鍵である。例えば、（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）がある場合、鍵は、この所定の有限体中でＳの値を計算することによって構成され、以下のようになる。
Ｓ＝ｆ（０）＝ｙ_０−（（ｙ_１−ｙ_０）／（ｘ_１−ｘ_０））×（ｘ_０）
【００４１】
図２Ａに、本発明の第１の例示的な実施形態のグラフを示す。このグラフは、例示的なシェア（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）と、これらによって形成される線を示しており、この線は特定の点でＹ軸と交差する（この点が鍵である）。例として、図２Ａのプロットは、モジュラー算術ではなく実数を使用して得られる。
【００４２】
第１の例示的な実施形態に関して述べたような手法では、複数のメッセージ・ソース４０が、記憶される（第１の）シェア（ｘ_０，ｙ_０）を共用することができ、これが受信機５０に記憶される。次いで、メッセージ・ソース４０は、独自の「アクティブ化」（第２の）シェア（即ち、（ｘ_１，ｙ_１））を自由に選択することができ、それによって広範囲の秘密を定めることができる。同一のＹ切片（即ち、同一の鍵）を伴う多項式を構成する確率は低い。ただし、可能な第２の（アクティブ化）シェアの範囲は、各サービス・プロバイダが重ならない固有の範囲を有するように割り振ることもできる（図２Ｂ参照）。
【００４３】
本発明の第１の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）および（ｘ_１，ｙ_１）を通る１次多項式
ｆ（ｘ）＝ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_１，ａ_０）＝（１０，６）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ＋６（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝６（ｍｏｄ２３）
【００４４】
従って、上の例によれば、秘密の値は、即ち、鍵の値は６（ｍｏｄ２３）になる。当然、この秘密の値は、（ｘ_１，ｙ_１）の値が変わる度に変化することになる。
【００４５】
図３に、（第１の例示的な実施形態の２つのシェアとは対照的に）３つのシェアを利用する本発明の第２の例示的な実施形態による鍵回復方式を示す。第２の例示的な実施形態では、鍵の回復は、第１、第２、第３のシェア（例えば、（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２））を利用して２次多項式（即ち、放物曲線）を構成することによって達成される。構成された２次多項式のＹ切片が鍵である。
【００４６】
本発明の第２の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）を通る２次多項式
ｆ（ｘ）＝ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
解（ａ_２，ａ_１，ａ_０）＝（１０，２０，５）は、以下の多項式をもたらす。
ｆ（ｘ）＝１０ｘ^２＋２０ｘ＋５（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝５（ｍｏｄ２３）
【００４７】
図３に示すように、第１、第２、第３のシェアは、ユークリッド平面上の点として表すことができる。例として、図４のプロットはモジュラー算術ではなく実数を使用して得られる。
【００４８】
図４に、４つのシェアを利用する本発明の第３の例示的な実施形態による鍵回復方式を示す。第３の例示的な実施形態では、鍵の回復は、第１、第２、第３、第４のシェア（例えば（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３））を利用して３次多項式（即ち、曲線）を構成することによって達成される。構成された３次多項式のＹ切片が鍵である。
【００４９】
本発明の第３の例示的な実施形態による例を考察するために、点（ｘ_０，ｙ_０）＝（１７，１５）、（ｘ_１，ｙ_１）＝（５，１０）、（ｘ_２，ｙ_２）＝（１２，６）、（ｘ_３，ｙ_３）＝（３，１２）、およびｐ＝２３と仮定する。（ｘ_０，ｙ_０）、（ｘ_１，ｙ_１）、（ｘ_２，ｙ_２）、（ｘ_３，ｙ_３）を通る３次多項式
ｆ（ｘ）＝ａ_２ｘ^３＋ａ_２ｘ^２＋ａ_１ｘ＋ａ_０（ｍｏｄ２３）
は、以下の式を解くことによって構成することができる。
ａ_３×（１７^３）＋ａ_２×（１７^２）＋ａ_１×（１７）＋ａ_０＝１５（ｍｏｄ２３）
ａ_３×（１２^３）＋ａ_２×（１２^２）＋ａ_１×（１２）＋ａ_０＝６（ｍｏｄ２３）
ａ_３×（５^３）＋ａ_２×（５^２）＋ａ_１×（５）＋ａ_０＝１０（ｍｏｄ２３）
ａ_３×（３^３）＋ａ_２×（３^２）＋ａ_１×（３）＋ａ_０＝１２（ｍｏｄ２３）
解（ａ_３，ａ_２，ａ_１，ａ_０）＝（１８，１９，０，２２）は、以下の多項式をもたらす。
ｆ（ｘ）＝１８ｘ^３＋１９ｘ^２＋０ｘ＋２２（ｍｏｄ２３）
秘密Ｓの値は、ｆ（０）を計算することによって発見することができる。
Ｓ＝ｆ（０）＝２２（ｍｏｄ２３）
【００５０】
図４に示すように、第１、第２、第３、第４のシェアは、ユークリッド平面上の点として表すことができる。例として、図４のプロットはモジュラー算術ではなく実数を使用して得られる。
【００５１】
複数のシェアを使用して、通信ネットワークにおける好都合な鍵移送方式を構成することもできる。実例として、ディジタル・ネットワークにおける重要な問題であるコード認証を用いることができる。今後、オーディオ／ビデオ・データを扱う高性能の家庭娯楽装置が、ディジタル配信ネットワーク（例えば、衛星、ケーブル、地上、インターネット）を介して様々な用途のソフトウェアを受信することになる。このコードのソースを識別することは、コンテンツを配信するサービス・プロバイダと、コンテンツを利用する装置のメーカとの両方にとって必須条件である。サービス・プロバイダは、許可（許諾）された装置だけがそのアプリケーションを受信および使用することを保証したい。装置メーカは、未許可（無許諾）サービスがその装置を使用することを懸念する。所定の放送システムで、種々の装置グループが様々な方式で許可（許諾）を受けると仮定する。以下に挙げる例で、どのように予め組み込まれた秘密分散を用いて必要な鍵の階層構造を確立することができるかについて説明する。
【００５２】
次のようにコード認証（ｃｏｄｅ　ａｔｕｈｅｎｔｉｃａｔｉｏｎ）のための異なる３つの認証レベルを有するブロードキャスト（放送、配信）システムを検討する。
（１）レベル１受信機：放送「領域」中のすべての受信機に、１つの共通シェア（即ち、領域中のすべての受信機に共通のシェア）を割り当てる。
（２）レベル２受信機：指定のグループ中のすべての受信機に、追加の共通シェア（即ち、指定のグループ中のすべての受信機に共通のもう１つのシェア）を割り当てる。
（３）レベル３受信機：各受信機に固有の追加シェアを割り当てる。
【００５３】
前述の受信機を「アクティブ化」シェアと共に使用して、ある種のメッセージを認証することができる。レベル１受信機は１つのシェアだけを含み、レベル２受信機は２つのシェアを含み、レベル３受信機は３つのシェアを含むので、各受信機は異なる鍵セット（ｓｅｔ：組）を提供することになる。従って、放送領域内のすべての受信機（即ち、レベル１受信機）は、一般のメッセージを受信して認証する機能を有するが、レベル２受信機だけは、幾つかの追加のメッセージを受信して認証する機能を有し、レベル３受信機だけは、その他に幾つかの追加のメッセージを受信して認証する機能を有する。レベル１〜３受信機中に組み込まれるシェアは、秘密（例えば、鍵）を計算するために「アクティブ化」シェアと共に使用することのできる「予め組み込まれた」情報を構成することに留意されたい。
【００５４】
図５に、どのようにユークリッド平面を使用して複数シェア方式を構成するかを示す。理解されるように、異なる３つの認証レベルは、３つのＹ切片に対応する（即ち、「地域鍵（ｒｅｇｉｏｎａｌ　ｋｅｙ）」、「グループ鍵（ｇｒｏｕｐ　ｋｅｙ）」、「個人鍵（ｉｎｄｉｖｉｄｕａｌ　ｋｅｙ）」）。１次多項式（レベル１即ち、「地域（ｒｅｇｉｏｎａｌ）」許可に対応する）は、「アクティブ化シェア」およびレベル１共通シェアを通る線を構成する。２次多項式（レベル２即ち、「グループ（ｇｒｏｕｐ）」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、およびレベル２シェアを通る放物線を構成する。３次多項式（レベル３即ち、「個人（ｉｎｄｉｖｉｄｕａｌ）」許可に対応する）は、「アクティブ化」シェア、レベル１共通シェア、レベル２シェア、およびレベル３シェアを通る曲線を構成する。この例では、異なる各鍵（即ち、個人、グループ、地域）を計算するのに「アクティブ化」シェアを使用していることに留意されたい。例として、図５のプロットはモジュラー算術ではなく実数を使用して得られる。
【００５５】
上の例を用いて、以下の表に、シェアと種々の許可レベルとの関係を記述する。
【表１】

【００５６】
前述の方法および装置について、ユーザ間で真正のメッセージを配信するためのメッセージ認証システムのコンテキストで述べたが、本発明の原理は、マルチメディア・コンテンツへの条件付きアクセス（ＣＡ：Ｃｏｎｄｉｔｉｏｎａｌ　Ａｃｃｅｓｓ）を提供するための方法および装置にも適用することができる。
【００５７】
前述の方法および装置の幾つかの利点には、次のことが含まれる。
（ａ）鍵を回復する際の受信側に対する計算要件が削減される（即ち、各鍵につき単純な操作しか実施されない）。これは、モジュラーべき乗の計算を必要とするＲＳＡ復号とは対照的である。
【００５８】
（ｂ）セキュリティは「完全」である。言い換えれば、アクティブ化シェアがあっても、秘密の値はすべて依然として等しい確率を有する。より高次の多項式であるほど、アクティブ化シェアを得て秘密を決定する作業はより一層困難になる。
【００５９】
（ｃ）送信側と受信側の間で共有される「予め組み込まれた」情報の所定のセットに対し、異なる鍵を容易に導出して頻繁に使用することができる（即ち、「アクティブ化」シェアを変更することによって）。
【００６０】
（ｄ）各受信側に異なるシェアを割り当てることにより、異なる許可レベルを定めることができる。
【００６１】
（ｅ）セキュリティは、証明されていない数学的仮定に依拠しない（即ち、ＲＳＡのセキュリティは、整数因数分解の問題の困難さに基づく）。
【００６２】
前述の方式は、対称鍵システムと公開鍵システムの利点を効果的に結合する。「予め組み込まれた」情報は、受信側の秘密鍵と考えることができる。構成される対称鍵は、権利の付与制御メッセージ（Ｅｎｔｉｔｌｅｍｅｎｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ：ＥＣＭ）の一部として送信される公開情報によって決定される。鍵は、メッセージ・ソースでは生成されないので、これらを配布時に保護するための追加の暗号は必要ない。
【００６３】
前述の方式の効果は、次のことを含めた様々な仕方で高めることができる。
【００６４】
（１）分散秘密に応じて鍵を定める。一般に、鍵は、秘密の値において予め定められた関数を評価することによって生成することができる。例えば、分散秘密（例えば関数ｆ（ｘ）のＹ切片）が実数７であった場合、鍵は７の平方根として定めることができる。このようにすれば、たとえ秘密を発見しても鍵を計算できるとは限らない。あるいは、多項式の係数が得られた後で他の任意の定義を用いることもできる。実際上は、関数はエントロピー保存特性を有することが必要な場合がある（即ち、エントロピー（秘密）＝エントロピー［ｆ（秘密）］）。
【００６５】
（２）多項式関数の次数（従って秘密を発見するのに必要なシェアの数）を、時間依存の秘密のシステム・パラメータにする。例えば、秘密を定める多項式ｆ（ｘ）の次数は、１日ごと、１時間ごとなどで変化する。最初に多項式の次数を決定しなければならないので、暗号解読はより要求の厳しい作業になる。
【００６６】
（３）アクティブ化シェアを送信前にマスク（ｍａｓｋ）する。次いで、メッセージと共に送信されたアクティブ化シェアを、受信側が予め定められたプロセスでマスク解除（ｕｎｍａｓｋ）することができる。マスキングの一例では、認証するのにはアクティブ化シェアのハッシュ値（ｈａｓｈ　ｖａｌｕｅ）を使用するが、送信するのはそうでなくアクティブ化シェアである。次いで、受信側はハッシング（ｈａｓｈｉｎｇ）を実施して実際の値を決定する。
【００６７】
（４）冗長なアクティブ化シェアを追加する。実際のアクティブ化シェアと共に送信された追加のアクティブ化シェアを、受信側が予め定められたプロセスでフィルタリングして除去する。
【００６８】
上記の改良を任意に組み合わせると、アクティブ化シェアの実際の値を送信時に秘匿するのに役立ち、メッセージに対する追加のセキュリティ・レベルを導入できる。
【００６９】
以上の考察では、メッセージ認証コード（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ：ＭＡＣ）をメッセージ認証子として使用することに主に中心を据えているが、本発明の範囲を逸脱することなく他のメッセージ認証方法も使用できることは、当業者なら理解するであろう（例えば、メッセージ暗号化。図８および本明細書中の関連する記述を参照されたい）。
【００７０】
秘密を形成する際に１次、２次、３次の多項式を使用することのできる秘密分散法に関して本発明を述べたが、任意の次数の多項式（例えば４次、５次など）も使用できることは当業者には理解されるであろう。実際、より高次の多項式であるほど、推定しなければならないシェアの数が増加するので、より低い多項式に勝る追加のセキュリティをもたらすという点で好ましい。更に、以上の記述では単一のスマート・カード（ｓｍａｒｔ　ｃａｒｄ）を使用するシステムに焦点を合わせているが、複数のスマート・カードを使用し、各スマート・カードに１つまたは複数のシェア値を記憶することもできることは、当業者には理解されるであろう。
【図面の簡単な説明】
【図１】
本発明の第１の例示的な実施形態によるメッセージ認証システムを示すブロック図である。
【図２Ａ】
本発明の第１の例示的な実施形態による、認証鍵の決定を表すグラフである。
【図２Ｂ】
図１による、各受信機について重ならない固有の範囲を割り振ることを表すグラフである。
【図３】
本発明の第２の例示的な実施形態による、認証鍵の決定を表すグラフである。
【図４】
本発明の第３の例示的な実施形態による、認証鍵の決定を表すグラフである。
【図５】
本発明の第１〜３の例示的な実施形態による、複数の認証鍵の決定を表すグラフである。
【図６】
従来のメッセージ認証システムを示すブロック図である。
【図７】
メッセージ認証コード（ＭＡＣ）を使用したメッセージ認証システムを示すブロック図である。
【図８】
メッセージ暗号化を使用したメッセージ認証システムを示すブロック図である。
【図９】
ディジタル署名を使用したメッセージ認証システムを示すブロック図である。

Claims (20)

1. メッセージを認証する方法であって、
   第１のシェアを表すデータを装置で受け取るステップと、
   前記第１のシェアと前記装置に記憶された少なくとも２つの追加シェアである第２および第３のシェアとを使用して鍵を構成するステップ、および、
   前記構成した鍵を使用してメッセージを認証するステップを含む方法。
2. 前記第１、第２、および第３のシェアが、ユークリッド平面上の点である、請求項１に記載の方法。
3. 前記メッセージを認証するステップが、メッセージ認証コードを使用して前記メッセージを認証するステップを含む、請求項１に記載の方法。
4. 前記メッセージを認証するステップが、復号鍵を使用して前記メッセージを認証するステップを含む、請求項１に記載の方法。
5. メッセージの認証を提供する方法であって、
   メッセージ認証子および前記メッセージを装置で受け取るステップと、
   第１のシェアを表すデータを前記装置で受け取るステップと、
   前記第１のシェアと前記装置に記憶された第２、および第３のシェアとを使用して鍵を構成するステップ、および、
   前記構成した鍵および前記メッセージ認証子を使用して前記メッセージを認証するステップを含み、
   前記鍵を構成するステップが、前記第１、第２および第３のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算するステップを含む方法。
6. 前記メッセージ認証子がメッセージ認証コードを含む、請求項５に記載の方法。
7. 第１の装置から第２の装置に送られるメッセージを認証するためのシステムであって、
   前記第２の装置が、
   メッセージおよびメッセージ認証子を受け取るステップと、
   第１のシェアを表すデータを受け取り、前記第１のシェアと前記第２の装置に記憶された第２、および第３のシェアとを使用して鍵を構成するステップと、
   前記構成した鍵および前記メッセージ認証子を使用して前記メッセージを認証するステップとを実施し、
   前記鍵を構成するステップが、前記第１、第２および第３のシェアによってユークリッド平面上に形成される曲線のＹ切片を計算するステップを含むシステム。
8. 少なくとも１つのメッセージ・ソース（源）と、
   前記少なくとも１つのメッセージ・ソース（源）から送られたメッセージ、メッセージ認証子、および第１のシェアを受け取るための少なくとも１つのメッセージ受信機とを備えるメッセージ認証システムであって、
   前記少なくとも１つのメッセージ受信機が、前記メッセージを認証するために第２、第３のシェアを記憶しており、前記第２、第３のシェアが前記第１のシェアと共に使用されて前記メッセージが認証される、メッセージ認証システム。
9. 前記第１のシェアおよび前記少なくとも２つの追加シェアが、少なくとも２次多項式関数上の点である、請求項１に記載の方法。
10. 前記少なくとも２つの追加シェアが少なくとも３つの追加シェアを含み、従って前記第１のシェアおよび前記少なくとも３つの追加シェアが、少なくとも３次多項式関数上の点である、請求項１に記載の方法。
11. 前記鍵が、前記第１のシェアおよび前記少なくとも２つの追加シェアから計算される秘密の値を含む、請求項１に記載の方法。
12. 前記鍵が、前記第１のシェアおよび前記少なくとも２つの追加シェアから計算される秘密の値の関数を含む、請求項１に記載の方法。
13. 前記第１のシェアおよび前記少なくとも２つの追加シェアが多項式関数上の点を含む、請求項１に記載の方法。
14. 前記多項式関数の次数が定期的に変更される、請求項１３に記載の方法。
15. 前記第１のシェアが前記装置中で受け取られる前に前記第１のシェアをマスクするステップを更に含む、請求項１に記載の方法。
16. 前記第１のシェアのマスク済みバージョンから前記第１のシェアを計算するステップを更に含む、請求項１５に記載の方法。
17. 第１のシェアおよび少なくとも１つの冗長シェアを送るステップを更に含む、請求項１に記載の方法。
18. 前記第１のシェアを受け取った後で前記少なくとも１つの冗長シェアをフィルタリングして除去するステップを更に含む、請求項１７に記載の方法。
19. メッセージ認証システムを運営する方法であって、
    メッセージ、メッセージ認証子、および第１のシェアを送信側局から受信側局に送るステップと、
    前記メッセージ、前記メッセージ認証子、および前記第１のシェアを前記受信側局で受け取るステップと、
    前記第１のシェアと前記受信側局に記憶された少なくとも２つの追加シェアとを使用して鍵を構成するステップと、
    前記構成した鍵および前記メッセージ認証子を使用して前記メッセージを認証するステップとを含む方法。
20. 送信機と、
    前記送信機から送られたメッセージ、メッセージ認証子、および第１のシェアを受け取るための受信機とを備えるメッセージ認証システムであって、
    前記受信機が、前記メッセージを認証するために第２、第３のシェアを記憶しており、前記第２、第３のシェアが前記第１のシェアと共に使用されて前記メッセージが認証される、メッセージ認証システム。

Images