JP2005503696A - 暗号認証方法 - Google Patents
暗号認証方法 Download PDFInfo
- Publication number
- JP2005503696A JP2005503696A JP2003509702A JP2003509702A JP2005503696A JP 2005503696 A JP2005503696 A JP 2005503696A JP 2003509702 A JP2003509702 A JP 2003509702A JP 2003509702 A JP2003509702 A JP 2003509702A JP 2005503696 A JP2005503696 A JP 2005503696A
- Authority
- JP
- Japan
- Prior art keywords
- entity
- authentication
- verification
- message
- cryptographic algorithm
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
Abstract
本発明は、認証される第一の実体（Ａ）が、認証をする第二の実体（Ｂ）に、暗号アルゴリズムと秘密鍵（Ｋs）によって保護されたメッセージを送付する、第一の手順ａ）を有する暗号認証方法に関するものである。第二の手順ｂ）に際し、第二の実体（Ｂ）が、前記メッセージの受信につづいて、以下から構成される作業の一覧のうちの一つの作業を行うものであり、該作業の一覧は、前記暗号アルゴリズムと検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を完全に検証すること、前記保護されたメッセージの認証の完全な検証を延期して行うこと、前記認証を部分的に検証すること、前記認証を部分的に検証し、その検証後に完全なものにすること、前記保護されたメッセージの認証の検証を省くことであり、前記作業のいずれか一つの選択は、一方では、第二の実体（Ｂ）が第一の実体（Ａ）を認証する上で、希望する確実性の度合いに応じて、他方では、それを第一の実体（Ａ）に隠蔽して行われるものである。
Description
【技術分野】
【０００１】
本発明は、認証される第一の実体と、認証をする第二の実体との間で暗号認証を行う方法に関するものである。
【背景技術】
【０００２】
このような方法は、認証モジュローと呼ばれる、何らかの媒体（例えばメモリー・カード、マイクロプロセッサー、コンピューターにインストールされたソフトウエア等々）で、自分の身元の証明を、例えばサーバの中に組み込まれた検証手段に対して行うことを可能にするものであり、また、このような検証手段を開示することなく、その媒体に組み込まれた秘密の一つまたは複数を作用させるプロトコルによって行えるのである。
【０００３】
更に具体的に言うと、本発明は、認証される第一の実体が、認証をする第二の実体に、暗号アルゴリズムと秘密鍵によって保護されたメッセージを送付する、第一の手順ａ）を有する暗号認証方法に関するものである。
【０００４】
このタイプの方法で、特によく知られているのは、ＲＳＡ公開鍵付き署名認証方法（これは、著作者Ｒｉｖｅｓｔ，Ｓｈａｍｉｒ，Ａｄｌｅｍａｎの頭文字を取ったもの）（例えばＲ．ＲＩＶＥＳＴ，Ａ．ＳＨＡＭＩＲ並びにＬ．ＡＤＥＲＭＡＮ著の“Ａ ｍｅｔｈｏｄ ｆｏｒ ｏｂｔａｉｎｉｎｇ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅｓ ａｎｄ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍｓ” “ＣＡＣＭ”，Ｖｏｌ．２１，Ｎｏ．２，ｐｐ １２０−１２６，１９７８年２月）、またはＤＳＡ（英語Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍの略）参照。
【０００５】
このような方法を活用する過程では、認証をする実体は、認証される実体の身元のモジュローに組み込まれた秘密を知る必要はないが、一定の分量の検証計算を実行するために秘密性のないデータ（公開鍵）だけを知っていればよい。このような計算の結果、認証する実体は、全てか無かというレスポンスに至るものであり、即ち「認証された実体」それとも「認証されていない実体」というタイプのものである。これら方法の機密保持のレベル並び計算コストは、そこで使用する鍵の長さによって決まるが、その鍵の大きさは、５１２ビットから１０２４ビットまで変化可能なサイズのものである。そういうわけで、認証する実体の希望が、できるかぎり高度な確実性に基づいて、認証をされる方の認証を行いたいというものである場合には、その認証方法で用いられる鍵のサイズは、例えば１０２４ビットになる可能性がある。その代わり、認証する実体が、確実性の制約を緩める場合は、認証方法の遂行を、例えば５１２ビットないし７６８ビットなどの、もっとサイズを小さくした鍵で行うことが可能になる。
【０００６】
このような方法は、認証される実体が自分の鍵のサイズを、認証をする実体が望む確実性の度合いに応じて、変えなければならないという不都合を呈する。
【０００７】
他にも「零知識対話証明」と言われる認証方法が存在し、特に挙げられる例としては、Ｆｉａｔ−Ｓｈａｍｉｒの方法（例えばＡ．ＦＩＡＴ並びにＡ．ＳＨＡＭＩＲ著“ＨｏＣ ｔｏ ｐｒｏｖｅ ｙｏｕｒｓｅｌｆ：ｐｒａｃｔｉｃａｌ ｓｏｌｕｔｉｏｎｓ ｔｏ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅ ｐｒｏｂｌｅｍｓ”の記事“ＣＲＹＰＴＯ’８６“，ｐｐ１８６−１９４，Ｓｐｉｎｇｅｒ Ｖｅｒｌａｇ，Ｂｅｒｌｉｎ，１９８７参照）、およびＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒの方法（例えばＬ．ＧＵＩＬＬＯＵ並びにＪ−Ｊ ＱＵＩＳＱＵＡＴＥＲ著“Ａ ｐｒａｃｔｉｃａｌ ｚｅｒｏ−ｋｎｏＣｌｅｄｇｅ ｐｒｏｔｏｃｏｌ ｆｉｔｔｅｄ ｔｏ ｓｅｃｕｒｉｔｙ ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ ｍｉｎｉｍｉｚｉｎｇ ｂｏｔｈ ｔｒａｎｓｍｉｓｓｉｏｎ ａｎｄ ｍｅｍｏｒｙ”の記事“ＥＵＲＯＣＲＹＰＴ’８８”，ｐｐ１２３−１２８，Ｓｐｉｎｇｅｒ Ｖｅｒｌａｇ，Ｂｅｒｌｉｎ，１９８８参照）である。そのような方法は、要するに、次のような三つで一組の手順を一回または複数回、繰り返すというものである。
・認証される実体が乱数を管理し、この乱数に応じた最初の嵌め込みを、認証をする実体に送る、
・認証をする実体は、一般的に一つの乱数である、認証される実体にあるクエスチョンＱを送る、
・認証される実体は、予め送られた最初の嵌め込みに応じ、自分の秘密識別鍵を用いてクエスチョンＱに対するレスポンスＲを計算し、そして、このレスポンスを認証をする実体に送る。
【０００８】
認証をする実体は、最初の嵌め込みと、クエスチョンＱと、レスポンスＲとの間の整合性を、認証される実体が開示した公開鍵を用いて、検証する。
【０００９】
この方法の過程で、認証をする実体は、上記の三つ一組の手順の反復回数ｔを定める。この三つ一組の手順をｔ回繰り返すことにより、認証をする実体は、ｔと共に増大し、１に向かう確率で、認証される実体が不正侵入者ではないという確信を得るに至る。
認証をする実体は、どの程度の確実性があれば受け入れ可能なのかに応じて、しかも、上記の三つ一組の手順を反復することになる、回数ｔを選択することによって、検証の計算の量を調整することができる。そのように変化をつける上で困るのは、認証される側は、認証する側が送って来るクエスチョンＱの回数ｔに応じて、認証する側が、どの程度の危険を覚悟しているのかを、簡単に推論することができ、それが認証される側に完全に明らかであることである。
【００１０】
他にも、暗号認証方法が知られており、認証される側についての情報の一部だけが認証する側に開示されているものである。そのような方法を記載しているのは、例えば２０００年９月２５日のカエン大学博士過程論文のＦ．ＢＯＵＤＯＴの記事「一つの区間での等しさ、その区間に所属することの証明とその応用」である。この方法の欠点は、認証する側を拘束する情報が、まさに認証される側が是非とも認証する側に知ってもらいたい情報だということである。更に、そのような方法の機密保持レベルはそこから更に低いものになってしまう。
【００１１】
認証する側によって行われる検証計算が、最小限のものである暗号認証方法も知られている。例えば、（英語Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒの略である）ＳＳＬプロトコルがそれである（例えばＮｅｔｓｃａｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｃｏｒｐ．“Ｔｈｅ ＳＳＬ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ３．０” “Ｉｎｔｅｒｎｅｔ Ｄｒａｆｔ”，１９９６年３月、ＵＲＬ：ｈｏｍｅ．ｎｅｔｓｃａｐｅ．ｃｏｍ／ｅｎｇ／ｓｓｌ３を参照されたい）。このプロトコルの設計は、一般的にはクライアントＣｅｂである認証される実体と、一般的にはサーバＣｅｂである認証をする実体との間の秘密性を確保するための設計になっている。このプロトコルの第一の手順は、要するに、ＳＳＬのセッション開始時に、データの転送を有効なものにする過程で、クライアントとサーバが、
・公開鍵付きの暗号アルゴリズムとそこで使用される鍵の長さとを選び、
・そしてセッションの鍵のやりとりを行う、ということである。
【００１２】
第二の手順では、一度アプリケーションのデータの伝送が始まると、そのようなデータ全ての認証が、秘密鍵付きのアルゴリズムによって行われ、その際に用いられるセッション鍵は、それを有効なものと認める段階で確立されるのであり、その暗号化を目的に沿ったものにするのは、クライアントとサーバとのやりとりを認証するためである。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
このプロトコルの不都合は、非常に異なった二つの暗号化アルゴリズムが必要なことで、そのために、そのプロトコルは計算する上でとても長くコストのかかるものになっている。更に、それではサーバが検証の計算手順を変化させることができない。
【００１４】
生体測定法と呼ばれる方法も存在するが、それは要するに、（指紋、手の形、顔の特徴、目の静脈網の輪郭線、声等の）身体的な特徴や、自動的に認識可能で検証可能な（ペンの移動速度、加速、筆圧、傾き等の）行動の特徴に基づいて、人を識別するというものである。
【００１５】
この種の方法における不都合は、例えばコンピューターのような実体の認証にも、メッセージの認証にも適応していないということである。また、認証の誤りの危険性を調整するためにある程度の閾値が用いられるのが通常である場合には、不正侵入の危険性を完全に排除すると、認証される実体が正当なものであっても拒絶してしまう危険性がゼロとは言えなくなってしまうということになりかねない。
【００１６】
本発明は特に、上記の不都合を解消するためのものである。
【課題を解決するための手段】
【００１７】
そのために、本発明の暗号認証方法の特徴は、方法が第二の手順ｂ）を有し、第二の実体が、前記メッセージの受信につづいて、以下から構成される作業の一覧のうちの一つの作業を行うことである：
・前記暗号アルゴリズムと検証鍵とにより受信した、前記保護されたメッセージの認証を完全に検証する、
・前記保護されたメッセージの認証の完全な検証を延期して行う、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証する、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証し、その検証後に完全なものにする、
・前記保護されたメッセージの認証の検証を省く、
前記作業のいずれか一つの選択は、一方では、第二の実体が第一の実体を認証する上で、希望する確実性の度合いに応じて、他方では、それを第一の実体に隠蔽して行う。
【００１８】
そういうわけで、認証をする実体は、認証される実体を認証する際に、どの程度の確実性を希望するかを選択する可能性があり、その確実性の度合いは、エラーの危険性をどのような方針で管理するかということとの関連で決めることが可能であり、その選択は、認証される側にとっては完全に明らかなものである。
【００１９】
本発明の方法の望ましい実施態様よれば、以下のいずれか一つまたは別のものを準備して用いることになる。
・暗号アルゴリズムは公開鍵付きのアルゴリズムである；
・暗号アルゴリズムは、少なくとも一つのモジュローに応じた公開鍵付きのＲＳＡタイプのアルゴリズムである；
・保護されたメッセージが、前記公開鍵のモジュローの半分以下の長さを呈する；
・暗号アルゴリズムは、ＤＳＡタイプのアルゴリズムである；
・暗号アルゴリズムは、零知識対話証明である；
・暗号アルゴリズムは、秘密鍵付きタイプのものである；
・第一の実体はクライアントであるのに対し、第二の実体はサーバである。
【００２０】
本発明はまた、本発明の方法で用いられるサーバにも関するものであり、前記サーバが：
・前記暗号アルゴリズムと検証鍵とにより受信した、前記保護されたメッセージの認証を完全に検証するのに適した第一の検証手段と、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証するのに適した第二の検証手段と、
・危険性の値を割り当てる、一つまたは複数のパラメーターを含むデータ・ベースと、
・そして受信した、保護されたメッセージの内容と、データ・ベースの一つまたは複数のパラメーターとを比較し、それに応じて、そのようなメッセージを前記第一の検証手段または第二の検証手段に伝送するのに適した、受信された保護されたメッセージを振り分ける手段とを有することを特徴とする。
【００２１】
そういうわけで、このようなサーバは、受信済の保護されたメッセージの処理の迅速な管理と、更に高度な、認証される側にレスポンスする反応時間を提供する。
【発明を実施するための最良の形態】
【００２２】
本発明の他の特徴と利点は、限定する趣旨でなく例として示された本方法の数々の実施態様と、添付の図面１に示されたサーバの実施態様とに関する、以下の説明を読む過程で、明らかになっていく。
【実施例１】
【００２３】
第一の実施態様において暗号認証方法は、ＤＳＡタイプまたはＲＳＡタイプのものである。
【００２４】
ここで問題となっている方法は、認証される実体Ａが、例えば、電子カードを介して、認証をする実体Ｂに対して署名付きのメッセージを送ることが必要な場合において、特に適しており、認証をする実体Ｂはこの際、例えば、前記カードの検証装置を有している。方法は同様に、認証される実体Ａが取引を署名することが必要な場合において、電子取引にも適しており、それは、その中で取引が行われる検証装置Ｂによって検証されるためである。
【００２５】
その署名は、電子タイプの署名であり、従来の仕方では、ＲＳＡアルゴリズムによって規定された一連の計算規則とそのような計算で用いられるパラメーターの一つの集合とにより、その署名の計算が行われた。それ自体は既知であるように、その署名により、（署名者固有の秘密の指数を介入させるため）署名者の身元を確かめることができ、それと同時に、（メッセージ自体を介入させるのため）その署名されたメッセージの完結性も確かめることもできる。そのようなアルゴリズムにより、一方では署名を生成することができ、他方では、そのような署名を認証することもできる。
【００２６】
ＲＳＡ署名の生成では、秘密の指数を介入させる。その認証に介入させる公開の指数はその秘密の指数に対応するものではあるが、それと同じではない。ユーザー各自が（秘密と公開の）一対の指数を有している。公開指数は、誰が知っていてもいいものであるが、一方、秘密の指数は決して明かされることはない。ユーザーの公開指数を用いてそのユーザーの署名を検証する資格は、すべての人にもあるが、その一対の指数に対応する署名を生成することができるのは、秘密指数の保持者だけである。
【００２７】
より詳細には、認証される実体Ａの電子カードのメモリーは、電子メッセージの認証に用いられる公開鍵Ｋvを記憶しており、それと、場合によっては、その電子メッセージに署名するために用いられる秘密鍵Ｋsが記憶されており、それら二つの鍵のそれぞれを構成するのは、そのメモリー内に保存されたデジタル情報である。
【００２８】
より正確には、公開鍵Ｋvには、それ自体は既知であるように、公開モジュローｎと公開指数ｖと呼ばれる二つの整数が含まれており、一方、秘密鍵Ｋsの方には秘密指数ｓと呼ばれる一つの整数が含まれている。
【００２９】
最初の二つの数ｎとｖは、それらを記憶している電子カード上で読み取ることができる。その代わり、秘密指数ｓが記憶されているのは、そのカードの外側からは読み取ることができない保護された区域の中である。そのカードの保護された計算回路だけが、読み取りによって秘密指数ｓにアクセスすることができる。
【００３０】
本発明によるＲＳＡ認証方法の場合には、認証される実体Ａは、好ましくは、メッセージＭに署名する先行の手順１を行う際に、そのメッセージを細分化され、そのための手段は、既知のタイプの細分化アルゴリズムであり、それが例えば、後述でｈという記号で呼ばれることになる、細分化関数ＳＨＡ−１を介入させる。その時に得られる結果はメッセージの要約Ｈ＝ｈ（ｖ，Ｍ）である。
【００３１】
このような細分化方式の利点は、署名及び認証方法を更にセキュリティの高いものにすることである。
【００３２】
手順２においては、認証される実体Ａの電子カードでは以下の計算が行われ、それによりメッセージの要約Ｈの署名Ｓが得られる：
ＨsＭＯＤ（ｎ）＝ｈ（ｖ，Ｍ）sＭＯＤ（ｎ）＝Ｓ
【００３３】
手順３においては、実体Ａが検証装置Ｂの方向に、対Ｃ＝（Ｍ，Ｓ）を送信するものであり、つまりは、署名Ｓ付きのメッセージＭの要約である。
【００３４】
手順４においては、検証装置Ｂが認証される実体Ａのカードの中で、署名Ｓの計算に用いられたパラメーターｎ及びｖを読み取る。
【００３５】
手順５においては、その検証装置が成分Ｓに基づいてメッセージＭ’＝ＳvＭＯＤ（ｎ）を計算し、つぎに、前記細分化関数ｈを適用してＭ’の細分化の値を計算し、それにより、メッセージの要約Ｈ’＝ｈ（ｖ，Ｍ’）＝ｈ（ｖ，ＳvＭＯＤ（ｎ））が得られる。
【００３６】
最後に、手順６においては、検証装置が要約Ｈ’は受信した要約Ｈと整合性があるかどうかを検証して署名Ｓの認証を行う。そのような整合性は、用いられた鍵のモジュローｎによって決まる。
【００３７】
例えば、公開鍵のモジュローｎのフォーマットが、（英語Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｓｔａｎｄａｒｄの略である）ＰＫＣＳ＃１規格に合致するものである場合には、検証装置は、メッセージＭ’が以下のフォーマットに合致していることを検証する：
０２｜｜Ｒ｜｜００｜｜Ｈ’但し、００と０２はそれぞれ二つのバイトであり、ＲはＭ’
のが公開モジュローｎの長さに等しくなるように定められた長さの一連の乱数バイトであり、そして｜｜は連鎖の計算子を示す記号である。
【００３８】
例えば用いられる公開鍵がＤＳＡタイプのものである場合には、この鍵は細分化関数ＳＨＡに関連づけられ、検証装置はＨ’＝Ｈであることを検証する。
【００３９】
ＰＫＣＳ＃１規格を用いて本発明により修正された方法においては：
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、その検証は全体についてのみ実施され、更にはＭ’の有効なビット、即ちＨ’のビットの幾つかについてのみ行われるのであるが、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後にメッセージＭ’の連鎖０２｜｜Ｒ｜｜００のビットを比較してその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、メッセージＭ’のビット全てを検証して送り返す。
【００４０】
公開鍵ＤＳＡと細分化関数ＳＨＡを用いて本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａの認証の肯定レスポンスメッセージを、実体Ａに対し、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、等式Ｈ＝Ｈ’の項の初めのいくつかのビットだけが比較されるのであるが、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に等式Ｈ＝Ｈ’の項の残りのビットを比較してその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、等式Ｈ＝Ｈ’の項の全てのビットを比較して送り返す。
【実施例２】
【００４１】
第二の実施態様によれば、暗号認証方法はＲＳＡタイプのものであり、該方法は、国際規格ＩＳＯ／ＩＥＣに合致したものである（文献ＩＳＯ“Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｇｉｖｉｎｇ ｍｅｓｓａｇｅ ｒｅｃｏｖｅｒｙ”ＩＳＯ／ＩＥＣ ９７９６（Ｅ）：１９９１，１９９１参照）。このような規格は、ＲＳＡアルゴリズムで署名を行う前に、どのようにしてメッセージの作成を行ったらよいかを規定することを目的としたものである。これにより、最大でメッセージのビットの半分までを情報のビットとして、他のビットを冗長ビットとすることが可能となる。ここでの情報ビットは、用いられている公開鍵Ｋvのモジュローｎの半分のビットである。
【００４２】
この第二の実施態様により、適用される細分化アルゴリズムの結果のサイズは、モジュローｎの半分のサイズよりも小さいというのが明らかである。
【００４３】
そこで、その方法は以下のように進められる：
【００４４】
手順１において、認証される実体Ａは、実体Ｂに送られることを望むメッセージＭの冗長化を行い、それは、メッセージＭの連続から成るメッセージＩＲが得られるように行われ、該メッセージの最後のバイトに続いて、冗長性バイトと場合によっては促成ビットがあり、該促成ビットの機能は、メッセージＭの長さを記すことである。
【００４５】
手順２において実体Ａは、署名Ｃ＝ＩＲsＭＯＤｎの計算を行う。
【００４６】
手順３において実体Ａは、認証をする実体Ｂの検証装置の方向に暗号Ｃを送信する。
【００４７】
手順４において認証をする実体Ｂの検証装置は、公開鍵Ｋvを用いて、受信した暗号Ｃに基づき、ＩＲ’＝ＣvＭＯＤ（ｎ）を計算する。
【００４８】
最後に、手順５において検証装置は、等式ＩＲ＝ＩＲ’を検証して、実体Ａの認証を行う。
【００４９】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、限られた数のバイトの等式ＩＲ＝ＩＲ’を検証しつつ行い、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのバイトについて等式ＩＲ＝ＩＲ’の検証を行い、その検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、全てのビットについての等式ＩＲ＝ＩＲ’を検証して送り返す。
【実施例３】
【００５０】
第三の実施態様によると、暗号認証方法はＦＩＡＴ−ＳＨＡＭＩＲタイプまたはＧＵＩＬＬＯＵ−ＱＵＩＳＱＵＡＴＥＲタイプのものである。
【００５１】
ａ）ＦＩＡＴ−ＳＨＡＭＩＲ法
従来のやり方では：
・用いられている公開鍵Ｋvは、第一のものではないが、大きな値の整数ｎよりも小さな整数である。ｎは、その方法のユーザーの秘密鍵を計算するという役割を果たす、信頼できる権限だけに知られている。
・その信頼できる権限によって作成された、認証される実体Ａの秘密鍵Ｋsは、Ｋv＝Ｋs 2ＭＯＤｎというようなものである。
基礎的な方法は、次のようなものである：
１）認証される実体Ａは、区間｛０．．．ｎ｝の間で整数ｒを無作為に選択する。
２）実体Ａは、嵌め込みｘ＝ｒ2ＭＯＤｎを計算し、それを認証をする実体Ｂに送る。
３）実体Ｂは、乱数ｅのビットを一つ選択し、そのビットを実体Ａに送る。
４）実体Ａは、レスポンスＣ＝ｒ．Ｋs．ｅを計算し、それを実体Ｂに送る。
５）実体Ｂは、Ｃ2＝ｘ．Ｋv．ｅ ＭＯＤｎを検証する（α）。
【００５２】
上記の手順をｔ回繰り返し、実体Ｂの近辺で実体Ａを認証する。
【００５３】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ｐの関係式（α）を０≦ｐ≦ｔだけで検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのｔ−ｐ関係式（α）の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、ｔの関係式（α）を検証して送り返す。
【００５４】
ｂ）ＧＵＩＬＬＯＵ−ＱＵＩＳＱＵＡＴＥＲ法
従来のやり方では、
・用いられている公開鍵Ｋvは、第一のものではないが、大きな値の整数ｎよりも小さな整数である。ｎは、その方法のユーザーの秘密鍵を計算するという役割を果たす、信頼できる権限だけに知られている。
・その信頼できる権限によって作成された、認証される実体Ａの秘密鍵Ｋsは、Ｋv＝Ｋs hＭＯＤｎというようなものである。
基礎的な方法は次のようなものである。
１）認証される実体Ａは、区間｛０．．．ｎ｝の間で整数ｒを無作為に選択する。
２）実体Ａは、嵌め込みｘ＝ｒhＭＯＤｎを計算し、それを認証をする実体Ｂに送る。
３）実体Ｂは、乱数のビットを一つ選択し、そのビットを実体Ａに送る。
４）実体Ａは、レスポンスＣ＝ｒ．Ｋs．ｅを計算し、それを実体Ｂに送る。
５）実体Ｂは、ｘ＝Ｃh．Ｋv．ｅ ＭＯＤｎを検証する（β）。
【００５５】
上記の手順をｔ回繰り返し、実体Ｂの近辺で実体Ａはその身元を証明する。
【００５６】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ｐの関係式（β）を０≦ｐ≦ｔだけで検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのｔ−ｐ関係式（β）の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、ｔの関係式（β）を検証して送り返す。
【００５７】
上記の二つの変形例により、認証をする実体Ｂによって下される（受け入れ／拒絶）判断は、ｔ番目のレスポンスＣの受信後、直ちに認証される実体Ａに表示されなければならない。しかしながら、上記Ａ）Ｂ）ＩからＢ）ＩＩＩで述べられているように、認証をする実体Ｂの実際の判断は、事前に行われていてもよいものであり、また、認証される実体への回答、例えば、実体Ａがクライアントであるのに対し、実体Ｂがサーバである場合に、動的なＨＴＭＬページのようなものを用意するというようなことを前もって行ってもよい。この可能性は、実体Ｂに無視できない時間的利得を、実体Ａのリクエストの処理の際に提供する。
【実施例４】
【００５８】
第四の実施態様によれば、暗号認証方法は、認証される実体Ａと認証をする実体Ｂとの間で秘密を共有するタイプのものである。この共有された秘密は、秘密鍵Ｋsである。
【００５９】
基礎的な方法は、以下のようなものである：
１）認証される実体Ａは、それ自身において知られた方法によって鍵Ｋsを生成し、認証をする実体Ｂに、例えばセキュリティの付与された通信経路を介して、Ｋsのコピーを送る。Ｋsの送付は、一方では、時計、カウンターまたは実体Ａに固有の乱数ビット連鎖生成オートマトンと、他方では、時計、カウンターまたは実体Ｂに固有の乱数ビット連鎖生成オートマトンとの間での同調によって、暗黙裡に行われることも可能である。
２）実体Ａは、選択された暗号アルゴリズムＥを使って、そして鍵Ｋvを用いることによって、暗号ではない普通の言葉のメッセージＭを保護し、Ｃ＝Ｅ（Ｍ，Ｋv，Ｄ）のようなメッセージＣが得られるようになされ、これにおいて、Ｄは認証毎に変わるデータであり、前記データは、場合によっては、実体Ａの時計から交付された時間の値、実体Ａのカウンターから交付された値または実体Ａのオートマトンから交付された乱数ビット連鎖である。
３）実体Ａは、実体ＢにメッセージＣ、Ｍそして場合によってはＤを送る。
４）実体Ｂは、メッセージＣ’＝Ｅ（Ｍ，Ｋs，Ｄ）を計算して関係式Ｃ＝Ｃ’を検証する。
【００６０】
本発明による変型された方法においては、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ビットの限られた数についての等式Ｃ＝Ｃ’を検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのビットについての等式Ｃ＝Ｃ’の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、全てのビットについての等式Ｃ＝Ｃ’を検証して送り返す。
【００６１】
この実施態様によれば、等式Ｃ＝Ｃ’の部分的な検証は、メッセージＣが暗号解析の要請により絶対に必要とされるだけの、高度な長さを呈するために可能となった。
【実施例５】
【００６２】
第五の実施態様によれば、暗号認証方法は、実体Ａと実体Ｂとの間で使い捨てが可能なパスワードを交換するタイプのものである。このような方法は、例えば、１９９８年２月のＮ．ＨＡＬＬＥＲ，Ｃ．ＭＥＴＺ，Ｐ．ＮＥＳＳＥＲ、並びにＭ．ＳＴＲＡＣの記事“Ａ Ｏｎｅ−Ｔｉｍｅ ＰａｓｓＣｏｒｄ Ｓｙｓｔｅｍ”，ＲＦＣ２２８９，Ｂｅｌｌｃｏｒｅ，Ｋａｍａｎ Ｓｃｉｅｎｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎ，Ｎｅｓｓｅｒ ａｎｄ Ｎｅｓｓｅｒ Ｃｏｎｓｕｌｔｉｎｇに記載されている。
【００６３】
基礎的な方法は、以下のようなものである：
１）認証される実体Ａと認証をする実体Ｂは、両者が送付したいパスワードの連鎖の長さを表すパラメーターｎを、互いに定めている。
２）実体Ａは、ソフトウエア・オートマトンに基づき乱数パスワードＣnを生成する。
３）実体Ａは、パスワードの連鎖Ｃi-1＝ｈ（Ｃi）を計算し、これにおいてｈは、細分化関数であり、また１≦ｉ≦ｎであり、Ｃi-1は公開鍵Ｋvの役割を果たし、そしてＣiは秘密鍵Ｋsの役割を果たす。
４）実体Ａは、実体ＢにＣ0を送り、これにおいてＣ0は、公開鍵Ｋvの役割を果たす。
５）実体Ａは、実体ＢにＣ1を送る。
６）実体Ｂはｈ（Ｃ1）を計算し、ｈ（Ｃ1）＝Ｃ0であることを検証する。
・
・
・
６＋ｎ）実体Ａは、実体ＢにＣnを送る。
７＋ｎ）実体Ｂはｈ（Ｃn）を計算し、ｈ（Ｃn）＝Ｃn-1であることを検証する。
【００６４】
本発明による変型された方法においては、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、６番目の手順において、ビットの限られた数についての等式ｈ（Ｃi）＝Ｃi-1を検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、まず残りのビットについての等式ｈ（Ｃi）＝Ｃi-1を検証し、ついで全てのビットのそれぞれについての等式ｈ（Ｃi+1）＝Ｃi，．．．，ｈ（Ｃn）＝Ｃn-1の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを全てのビットについての等式ｈ（Ｃ1）＝Ｃ0，ｈ（Ｃ2）＝Ｃ1，．．．，ｈ（Ｃn）＝Ｃn-1のそれぞれを検証して送り返す。
【００６５】
上記の五つの実施態様の利点は、認証をする実体Ｂによって目指された認証方針にかかわらず、検証の計算は実体Ｂの検証装置の中で局地的に行われ、実体Ｂの確実性の度合いの選択は、実体Ａに対しては完全に隠蔽されており、該実体は、暗号アルゴリズムで保護された自分のメッセージを送った後に、自分の認証の結果である肯定レスポンスメッセージを規則的に受け取れることに甘んじることになる。このことは、実体Ｂの側から言えば、実体Ａへの自分のレスポンスの反応性がもっと大きくなるということである。その結果、実体Ａの方は、実体Ｂとの接続をずっと中断しにくくなるが、それは、実体Ｂが行う検証の計算の度合いがどの程度のものであろうと、実体Ｂ側から認証の肯定レスポンスメッセージを規則的に受け取れるためである。
【００６６】
実体Ｂが検証の計算を変調することができるように、実体Ｂの検証装置は、図１を参照すると、第一の検証手段Ｖ１を有し、該手段は、実体Ａから受信した暗号アルゴリズムによって保護されたすべてのメッセージＣ1，Ｃ2，．．．，Ｃnを完全に検証するためのものである。その検証装置は、更に第二の検証手段Ｖ２を有し、該手段は、すべてのメッセージＣ1，Ｃ2，．．．，Ｃnを部分的に検証するためのものである。
【００６７】
検証手段Ｖ１とＶ２は、上記の五つの実施態様で用いられる暗号アルゴリズムによってプログラムされる、計算モジュローである。更に、検証手段Ｖ２は、実体Ｂに望まれる、多かれ少なかれ部分的な度合いに応じてプログラミングされる。
【００６８】
実体Ｂの検証装置は、同様にソフトウエア・モジュローＡＩＧを有し、該モジュローは、実体Ｂによって受信されたメッセージＣ1，Ｃ2，．．．，Ｃnを、検証手段Ｖ１の方向、あるいは検証手段Ｖ２の方向に導くように着想されており、これは実体Ｂによってリアル・タイムで判断される認証方針に応じて行われている。このため検証装置は、データ・ベースＤＢを有し、そこで以下のような一つまたは複数のパラメーターが記憶されている：
・実体Ａのタイプ：実体Ｂへの加入契約に関連するもので、偶発的なものであり、知らされていない；
・求められるサービスまたは情報のタイプ、並びに実体Ｂへ送られるメッセージＣ1，Ｃ2，．．．，Ｃnの連結における論理；
・実体Ａの最後の完全な認証をした時点からの経過時間または接続数；
・例えば、購入及び支払いにおける実体Ａの通常の振る舞い及び実際に行う振る舞いの、あらかじめ分かっている、または、実際に知りえた知識；
・支払い対象の情報またはサービスの販売価格。
・進行中の支払いの併合あるいは通貨の種類についてのその他一切の情報。
【００６９】
このようなパラメーターのそれぞれに危険性の値Ｒを割り当てる。それは以下のような状況要素についても同様である：
・実体Ｂの負担（接続数、流量、用いられるプロトコルの多様性等）；
・やりとりの状況：アクセス・ネットワーク、実体Ａが行う接続の地理的な発信地、時間帯、日付等。
【００７０】
前記データ・ペースは更に、それぞれの内容に危険性の値Ｒを割り当てるような、上記の一つまたは複数のパラメーターによって受信したメッセージＣ1，Ｃ2，．．．，Ｃnの内容の種類を比較する手段を有する。
【００７１】
危険性の値が、第一の閾値ｘ１以下である場合、ソフトウエア・モジュローＡＩＧは検証手段Ｖ１、Ｖ２の起動を抑制する。
【００７２】
危険性の値が、第二の閾値ｘ２＞ｘ１以上である場合、ソフトウエア・モジュローはメッセージＣ1，Ｃ2，．．．，Ｃnを検証手段Ｖ１の方向に振り分ける。
【００７３】
ｘ１≦Ｒ≦ｘ２である場合、ソフトウエア・モジュローＡＩＧはメッセージＣ1，Ｃ2，．．．，Ｃnを検証手段Ｖ２の方向に振り分ける。
【００７４】
図１に見られるように、上記の五つの実施態様に記載された選択肢Ｂ．ＩＩＩを行うように、更にインターフェイスＩが検証手段Ｖ１とＶ２の間に準備されており、つまりは、検証手段Ｖ１において、第一に部分的に検証されたメッセージＣ1，Ｃ2，．．．，Ｃnを、実体Ｂが選んだ所定の時間に、前記の部分的な検証を完全なものにするための検証手段Ｖ２の方向に伝送するということである。
【００７５】
応用例
本発明の第一の応用例は、特にインターネット、ケーブルテレビ、（英語のＡｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である）ＡＤＳＬ等の様々な通信網を用いる双方向サービスへのアクセスへの応用である。
【００７６】
この場合、認証をする実体Ｂが、サーバまたはサービス供与者の役割を果たすのに対し、認証される実体Ａは、サーバまたはサービス供与者の顧客の役割を果たす。その場合、顧客Ａは、セキュリティの付与された電気通信経路を介して、サーバＢあるいはサービス供与者Ｂに帰属する電気通信機器に接続されている電気通信機器を備えている。
【００７７】
上記の双方向サービスは、アクセス条件が、価格、公的性格、秘密性等の条件によって変わりうる情報を提案するものである。更に、それらにより、顧客Ａとサーバまたはサービス供与者Ｂとの間に数多くのやりとりが発生し、このことにより、該サーバまたはサービス供与者Ｂが、顧客Ａについてある程度の知識を得ることが可能となるため、それに関連する危険性も生じる。最後に、サーバＢは、提供するサービスの質とセキュリティの度合いとの間の兼ね合いを考慮した認証方針を選択することを目的として着想されている。
【００７８】
そういうわけで、サーバまたはサービス供与者Ｂの権能は、顧客Ａの認証を調整し、かつ／または、以下の基準に基づいて、その身元のきめ細かな検証を遅らせるというものである：
・顧客Ａのタイプ：サーバＢへの加入しており、偶発的なものであり、知らされていない；
・顧客Ａの現実の振る舞いと通常の振る舞いについての知識；
・求められるサービスまたは情報のタイプ並びにそのような求めの連鎖における論理；
・サーバの負担（接続数、流量、用いられるプロトコルの多様性等）；
・顧客Ａを完全に認証した時点からの経過時間または接続数；
・やりとりの状況：アクセス・ネットワーク、接続の地理的な発信地、時間帯、日付等。
【００７９】
本発明の第二の応用例は、支払いサービスを実行する上での経済性を改善するために、認証の計算コストが、支払額と虚偽の認証により損失を被る危険性の点で、割りが合うように、高くなりすぎないようにする電子支払いへの応用である。
【００８０】
この場合、認証をする実体Ｂが、サーバまたは支払いを受けるべきサービス供与者の役割を果たすのに対し、認証される実体Ａは、サーバまたはサービス供与者Ｂの顧客の役割を果たす。その場合、顧客Ａは、セキュリティの確保された電気通信経路を介して、サーバＢあるいはサービス供与者Ｂに帰属する電気通信機器に接続されている電気通信機器を備えている。
【００８１】
上記の電子支払いは、（例えば十分の一ユーロ程度の）僅かな単価のサービスまたは情報を生じさせる。更に、そのようなサービスまたは情報の連鎖の論理に応じて数多くの支払いが発生し、このことにより、該サーバまたはサービス供与者Ｂは、顧客Ａについてある程度の知識を得ることが可能となるため、それに関連する危険性も生じる。最後に、サーバＢは、提供するサービスの質とセキュリティの度合いとの間の兼ね合いを考慮した認証方針を選択することを目的として着想されている。
【００８２】
そういうわけで、サーバまたはサービス供与者Ｂの権能は、顧客Ａの認証を調整し、かつ／または、以下の基準に基づいて、その身元のきめ細かな検証を遅らせるというものである：
・顧客Ａのタイプ：サーバＢへの加入者で、偶発的なものであり、知らされていない；
・購入及び支払いにおける顧客Ａの通常の振る舞い及び実際に行う振る舞いの、あらかじめ分かっている、または、実際に知りえた知識；
・求められるサービスまたは情報のタイプ並びにそのような求めの連鎖における論理；
・支払い対象の情報またはサービスの販売価格；
・進行中の支払いの併合あるいは通貨の種類についてのその他一切の情報；
・顧客Ａを完全に認証した時点からの経過時間または接続数；
・サーバの負担（接続数、流量、用いられるプロトコルの多様性等）；
・やりとりの状況：アクセス・ネットワーク、使用される支払い方法、接続の地理的な発信地、時間帯、日付等。
【図面の簡単な説明】
【００８３】
【図１】本発明の概略図である。
【符号の説明】
【００８４】
Ａ 実体
Ｂ 実体
Ｃ 暗号
【０００１】
本発明は、認証される第一の実体と、認証をする第二の実体との間で暗号認証を行う方法に関するものである。
【背景技術】
【０００２】
このような方法は、認証モジュローと呼ばれる、何らかの媒体（例えばメモリー・カード、マイクロプロセッサー、コンピューターにインストールされたソフトウエア等々）で、自分の身元の証明を、例えばサーバの中に組み込まれた検証手段に対して行うことを可能にするものであり、また、このような検証手段を開示することなく、その媒体に組み込まれた秘密の一つまたは複数を作用させるプロトコルによって行えるのである。
【０００３】
更に具体的に言うと、本発明は、認証される第一の実体が、認証をする第二の実体に、暗号アルゴリズムと秘密鍵によって保護されたメッセージを送付する、第一の手順ａ）を有する暗号認証方法に関するものである。
【０００４】
このタイプの方法で、特によく知られているのは、ＲＳＡ公開鍵付き署名認証方法（これは、著作者Ｒｉｖｅｓｔ，Ｓｈａｍｉｒ，Ａｄｌｅｍａｎの頭文字を取ったもの）（例えばＲ．ＲＩＶＥＳＴ，Ａ．ＳＨＡＭＩＲ並びにＬ．ＡＤＥＲＭＡＮ著の“Ａ ｍｅｔｈｏｄ ｆｏｒ ｏｂｔａｉｎｉｎｇ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅｓ ａｎｄ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍｓ” “ＣＡＣＭ”，Ｖｏｌ．２１，Ｎｏ．２，ｐｐ １２０−１２６，１９７８年２月）、またはＤＳＡ（英語Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍの略）参照。
【０００５】
このような方法を活用する過程では、認証をする実体は、認証される実体の身元のモジュローに組み込まれた秘密を知る必要はないが、一定の分量の検証計算を実行するために秘密性のないデータ（公開鍵）だけを知っていればよい。このような計算の結果、認証する実体は、全てか無かというレスポンスに至るものであり、即ち「認証された実体」それとも「認証されていない実体」というタイプのものである。これら方法の機密保持のレベル並び計算コストは、そこで使用する鍵の長さによって決まるが、その鍵の大きさは、５１２ビットから１０２４ビットまで変化可能なサイズのものである。そういうわけで、認証する実体の希望が、できるかぎり高度な確実性に基づいて、認証をされる方の認証を行いたいというものである場合には、その認証方法で用いられる鍵のサイズは、例えば１０２４ビットになる可能性がある。その代わり、認証する実体が、確実性の制約を緩める場合は、認証方法の遂行を、例えば５１２ビットないし７６８ビットなどの、もっとサイズを小さくした鍵で行うことが可能になる。
【０００６】
このような方法は、認証される実体が自分の鍵のサイズを、認証をする実体が望む確実性の度合いに応じて、変えなければならないという不都合を呈する。
【０００７】
他にも「零知識対話証明」と言われる認証方法が存在し、特に挙げられる例としては、Ｆｉａｔ−Ｓｈａｍｉｒの方法（例えばＡ．ＦＩＡＴ並びにＡ．ＳＨＡＭＩＲ著“ＨｏＣ ｔｏ ｐｒｏｖｅ ｙｏｕｒｓｅｌｆ：ｐｒａｃｔｉｃａｌ ｓｏｌｕｔｉｏｎｓ ｔｏ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅ ｐｒｏｂｌｅｍｓ”の記事“ＣＲＹＰＴＯ’８６“，ｐｐ１８６−１９４，Ｓｐｉｎｇｅｒ Ｖｅｒｌａｇ，Ｂｅｒｌｉｎ，１９８７参照）、およびＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒの方法（例えばＬ．ＧＵＩＬＬＯＵ並びにＪ−Ｊ ＱＵＩＳＱＵＡＴＥＲ著“Ａ ｐｒａｃｔｉｃａｌ ｚｅｒｏ−ｋｎｏＣｌｅｄｇｅ ｐｒｏｔｏｃｏｌ ｆｉｔｔｅｄ ｔｏ ｓｅｃｕｒｉｔｙ ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ ｍｉｎｉｍｉｚｉｎｇ ｂｏｔｈ ｔｒａｎｓｍｉｓｓｉｏｎ ａｎｄ ｍｅｍｏｒｙ”の記事“ＥＵＲＯＣＲＹＰＴ’８８”，ｐｐ１２３−１２８，Ｓｐｉｎｇｅｒ Ｖｅｒｌａｇ，Ｂｅｒｌｉｎ，１９８８参照）である。そのような方法は、要するに、次のような三つで一組の手順を一回または複数回、繰り返すというものである。
・認証される実体が乱数を管理し、この乱数に応じた最初の嵌め込みを、認証をする実体に送る、
・認証をする実体は、一般的に一つの乱数である、認証される実体にあるクエスチョンＱを送る、
・認証される実体は、予め送られた最初の嵌め込みに応じ、自分の秘密識別鍵を用いてクエスチョンＱに対するレスポンスＲを計算し、そして、このレスポンスを認証をする実体に送る。
【０００８】
認証をする実体は、最初の嵌め込みと、クエスチョンＱと、レスポンスＲとの間の整合性を、認証される実体が開示した公開鍵を用いて、検証する。
【０００９】
この方法の過程で、認証をする実体は、上記の三つ一組の手順の反復回数ｔを定める。この三つ一組の手順をｔ回繰り返すことにより、認証をする実体は、ｔと共に増大し、１に向かう確率で、認証される実体が不正侵入者ではないという確信を得るに至る。
認証をする実体は、どの程度の確実性があれば受け入れ可能なのかに応じて、しかも、上記の三つ一組の手順を反復することになる、回数ｔを選択することによって、検証の計算の量を調整することができる。そのように変化をつける上で困るのは、認証される側は、認証する側が送って来るクエスチョンＱの回数ｔに応じて、認証する側が、どの程度の危険を覚悟しているのかを、簡単に推論することができ、それが認証される側に完全に明らかであることである。
【００１０】
他にも、暗号認証方法が知られており、認証される側についての情報の一部だけが認証する側に開示されているものである。そのような方法を記載しているのは、例えば２０００年９月２５日のカエン大学博士過程論文のＦ．ＢＯＵＤＯＴの記事「一つの区間での等しさ、その区間に所属することの証明とその応用」である。この方法の欠点は、認証する側を拘束する情報が、まさに認証される側が是非とも認証する側に知ってもらいたい情報だということである。更に、そのような方法の機密保持レベルはそこから更に低いものになってしまう。
【００１１】
認証する側によって行われる検証計算が、最小限のものである暗号認証方法も知られている。例えば、（英語Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒの略である）ＳＳＬプロトコルがそれである（例えばＮｅｔｓｃａｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｃｏｒｐ．“Ｔｈｅ ＳＳＬ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ３．０” “Ｉｎｔｅｒｎｅｔ Ｄｒａｆｔ”，１９９６年３月、ＵＲＬ：ｈｏｍｅ．ｎｅｔｓｃａｐｅ．ｃｏｍ／ｅｎｇ／ｓｓｌ３を参照されたい）。このプロトコルの設計は、一般的にはクライアントＣｅｂである認証される実体と、一般的にはサーバＣｅｂである認証をする実体との間の秘密性を確保するための設計になっている。このプロトコルの第一の手順は、要するに、ＳＳＬのセッション開始時に、データの転送を有効なものにする過程で、クライアントとサーバが、
・公開鍵付きの暗号アルゴリズムとそこで使用される鍵の長さとを選び、
・そしてセッションの鍵のやりとりを行う、ということである。
【００１２】
第二の手順では、一度アプリケーションのデータの伝送が始まると、そのようなデータ全ての認証が、秘密鍵付きのアルゴリズムによって行われ、その際に用いられるセッション鍵は、それを有効なものと認める段階で確立されるのであり、その暗号化を目的に沿ったものにするのは、クライアントとサーバとのやりとりを認証するためである。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
このプロトコルの不都合は、非常に異なった二つの暗号化アルゴリズムが必要なことで、そのために、そのプロトコルは計算する上でとても長くコストのかかるものになっている。更に、それではサーバが検証の計算手順を変化させることができない。
【００１４】
生体測定法と呼ばれる方法も存在するが、それは要するに、（指紋、手の形、顔の特徴、目の静脈網の輪郭線、声等の）身体的な特徴や、自動的に認識可能で検証可能な（ペンの移動速度、加速、筆圧、傾き等の）行動の特徴に基づいて、人を識別するというものである。
【００１５】
この種の方法における不都合は、例えばコンピューターのような実体の認証にも、メッセージの認証にも適応していないということである。また、認証の誤りの危険性を調整するためにある程度の閾値が用いられるのが通常である場合には、不正侵入の危険性を完全に排除すると、認証される実体が正当なものであっても拒絶してしまう危険性がゼロとは言えなくなってしまうということになりかねない。
【００１６】
本発明は特に、上記の不都合を解消するためのものである。
【課題を解決するための手段】
【００１７】
そのために、本発明の暗号認証方法の特徴は、方法が第二の手順ｂ）を有し、第二の実体が、前記メッセージの受信につづいて、以下から構成される作業の一覧のうちの一つの作業を行うことである：
・前記暗号アルゴリズムと検証鍵とにより受信した、前記保護されたメッセージの認証を完全に検証する、
・前記保護されたメッセージの認証の完全な検証を延期して行う、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証する、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証し、その検証後に完全なものにする、
・前記保護されたメッセージの認証の検証を省く、
前記作業のいずれか一つの選択は、一方では、第二の実体が第一の実体を認証する上で、希望する確実性の度合いに応じて、他方では、それを第一の実体に隠蔽して行う。
【００１８】
そういうわけで、認証をする実体は、認証される実体を認証する際に、どの程度の確実性を希望するかを選択する可能性があり、その確実性の度合いは、エラーの危険性をどのような方針で管理するかということとの関連で決めることが可能であり、その選択は、認証される側にとっては完全に明らかなものである。
【００１９】
本発明の方法の望ましい実施態様よれば、以下のいずれか一つまたは別のものを準備して用いることになる。
・暗号アルゴリズムは公開鍵付きのアルゴリズムである；
・暗号アルゴリズムは、少なくとも一つのモジュローに応じた公開鍵付きのＲＳＡタイプのアルゴリズムである；
・保護されたメッセージが、前記公開鍵のモジュローの半分以下の長さを呈する；
・暗号アルゴリズムは、ＤＳＡタイプのアルゴリズムである；
・暗号アルゴリズムは、零知識対話証明である；
・暗号アルゴリズムは、秘密鍵付きタイプのものである；
・第一の実体はクライアントであるのに対し、第二の実体はサーバである。
【００２０】
本発明はまた、本発明の方法で用いられるサーバにも関するものであり、前記サーバが：
・前記暗号アルゴリズムと検証鍵とにより受信した、前記保護されたメッセージの認証を完全に検証するのに適した第一の検証手段と、
・前記暗号アルゴリズムと前記検証鍵とにより受信した、前記保護されたメッセージの認証を部分的に検証するのに適した第二の検証手段と、
・危険性の値を割り当てる、一つまたは複数のパラメーターを含むデータ・ベースと、
・そして受信した、保護されたメッセージの内容と、データ・ベースの一つまたは複数のパラメーターとを比較し、それに応じて、そのようなメッセージを前記第一の検証手段または第二の検証手段に伝送するのに適した、受信された保護されたメッセージを振り分ける手段とを有することを特徴とする。
【００２１】
そういうわけで、このようなサーバは、受信済の保護されたメッセージの処理の迅速な管理と、更に高度な、認証される側にレスポンスする反応時間を提供する。
【発明を実施するための最良の形態】
【００２２】
本発明の他の特徴と利点は、限定する趣旨でなく例として示された本方法の数々の実施態様と、添付の図面１に示されたサーバの実施態様とに関する、以下の説明を読む過程で、明らかになっていく。
【実施例１】
【００２３】
第一の実施態様において暗号認証方法は、ＤＳＡタイプまたはＲＳＡタイプのものである。
【００２４】
ここで問題となっている方法は、認証される実体Ａが、例えば、電子カードを介して、認証をする実体Ｂに対して署名付きのメッセージを送ることが必要な場合において、特に適しており、認証をする実体Ｂはこの際、例えば、前記カードの検証装置を有している。方法は同様に、認証される実体Ａが取引を署名することが必要な場合において、電子取引にも適しており、それは、その中で取引が行われる検証装置Ｂによって検証されるためである。
【００２５】
その署名は、電子タイプの署名であり、従来の仕方では、ＲＳＡアルゴリズムによって規定された一連の計算規則とそのような計算で用いられるパラメーターの一つの集合とにより、その署名の計算が行われた。それ自体は既知であるように、その署名により、（署名者固有の秘密の指数を介入させるため）署名者の身元を確かめることができ、それと同時に、（メッセージ自体を介入させるのため）その署名されたメッセージの完結性も確かめることもできる。そのようなアルゴリズムにより、一方では署名を生成することができ、他方では、そのような署名を認証することもできる。
【００２６】
ＲＳＡ署名の生成では、秘密の指数を介入させる。その認証に介入させる公開の指数はその秘密の指数に対応するものではあるが、それと同じではない。ユーザー各自が（秘密と公開の）一対の指数を有している。公開指数は、誰が知っていてもいいものであるが、一方、秘密の指数は決して明かされることはない。ユーザーの公開指数を用いてそのユーザーの署名を検証する資格は、すべての人にもあるが、その一対の指数に対応する署名を生成することができるのは、秘密指数の保持者だけである。
【００２７】
より詳細には、認証される実体Ａの電子カードのメモリーは、電子メッセージの認証に用いられる公開鍵Ｋvを記憶しており、それと、場合によっては、その電子メッセージに署名するために用いられる秘密鍵Ｋsが記憶されており、それら二つの鍵のそれぞれを構成するのは、そのメモリー内に保存されたデジタル情報である。
【００２８】
より正確には、公開鍵Ｋvには、それ自体は既知であるように、公開モジュローｎと公開指数ｖと呼ばれる二つの整数が含まれており、一方、秘密鍵Ｋsの方には秘密指数ｓと呼ばれる一つの整数が含まれている。
【００２９】
最初の二つの数ｎとｖは、それらを記憶している電子カード上で読み取ることができる。その代わり、秘密指数ｓが記憶されているのは、そのカードの外側からは読み取ることができない保護された区域の中である。そのカードの保護された計算回路だけが、読み取りによって秘密指数ｓにアクセスすることができる。
【００３０】
本発明によるＲＳＡ認証方法の場合には、認証される実体Ａは、好ましくは、メッセージＭに署名する先行の手順１を行う際に、そのメッセージを細分化され、そのための手段は、既知のタイプの細分化アルゴリズムであり、それが例えば、後述でｈという記号で呼ばれることになる、細分化関数ＳＨＡ−１を介入させる。その時に得られる結果はメッセージの要約Ｈ＝ｈ（ｖ，Ｍ）である。
【００３１】
このような細分化方式の利点は、署名及び認証方法を更にセキュリティの高いものにすることである。
【００３２】
手順２においては、認証される実体Ａの電子カードでは以下の計算が行われ、それによりメッセージの要約Ｈの署名Ｓが得られる：
ＨsＭＯＤ（ｎ）＝ｈ（ｖ，Ｍ）sＭＯＤ（ｎ）＝Ｓ
【００３３】
手順３においては、実体Ａが検証装置Ｂの方向に、対Ｃ＝（Ｍ，Ｓ）を送信するものであり、つまりは、署名Ｓ付きのメッセージＭの要約である。
【００３４】
手順４においては、検証装置Ｂが認証される実体Ａのカードの中で、署名Ｓの計算に用いられたパラメーターｎ及びｖを読み取る。
【００３５】
手順５においては、その検証装置が成分Ｓに基づいてメッセージＭ’＝ＳvＭＯＤ（ｎ）を計算し、つぎに、前記細分化関数ｈを適用してＭ’の細分化の値を計算し、それにより、メッセージの要約Ｈ’＝ｈ（ｖ，Ｍ’）＝ｈ（ｖ，ＳvＭＯＤ（ｎ））が得られる。
【００３６】
最後に、手順６においては、検証装置が要約Ｈ’は受信した要約Ｈと整合性があるかどうかを検証して署名Ｓの認証を行う。そのような整合性は、用いられた鍵のモジュローｎによって決まる。
【００３７】
例えば、公開鍵のモジュローｎのフォーマットが、（英語Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｓｔａｎｄａｒｄの略である）ＰＫＣＳ＃１規格に合致するものである場合には、検証装置は、メッセージＭ’が以下のフォーマットに合致していることを検証する：
０２｜｜Ｒ｜｜００｜｜Ｈ’但し、００と０２はそれぞれ二つのバイトであり、ＲはＭ’
のが公開モジュローｎの長さに等しくなるように定められた長さの一連の乱数バイトであり、そして｜｜は連鎖の計算子を示す記号である。
【００３８】
例えば用いられる公開鍵がＤＳＡタイプのものである場合には、この鍵は細分化関数ＳＨＡに関連づけられ、検証装置はＨ’＝Ｈであることを検証する。
【００３９】
ＰＫＣＳ＃１規格を用いて本発明により修正された方法においては：
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、その検証は全体についてのみ実施され、更にはＭ’の有効なビット、即ちＨ’のビットの幾つかについてのみ行われるのであるが、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後にメッセージＭ’の連鎖０２｜｜Ｒ｜｜００のビットを比較してその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、メッセージＭ’のビット全てを検証して送り返す。
【００４０】
公開鍵ＤＳＡと細分化関数ＳＨＡを用いて本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａの認証の肯定レスポンスメッセージを、実体Ａに対し、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、等式Ｈ＝Ｈ’の項の初めのいくつかのビットだけが比較されるのであるが、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に等式Ｈ＝Ｈ’の項の残りのビットを比較してその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、等式Ｈ＝Ｈ’の項の全てのビットを比較して送り返す。
【実施例２】
【００４１】
第二の実施態様によれば、暗号認証方法はＲＳＡタイプのものであり、該方法は、国際規格ＩＳＯ／ＩＥＣに合致したものである（文献ＩＳＯ“Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｇｉｖｉｎｇ ｍｅｓｓａｇｅ ｒｅｃｏｖｅｒｙ”ＩＳＯ／ＩＥＣ ９７９６（Ｅ）：１９９１，１９９１参照）。このような規格は、ＲＳＡアルゴリズムで署名を行う前に、どのようにしてメッセージの作成を行ったらよいかを規定することを目的としたものである。これにより、最大でメッセージのビットの半分までを情報のビットとして、他のビットを冗長ビットとすることが可能となる。ここでの情報ビットは、用いられている公開鍵Ｋvのモジュローｎの半分のビットである。
【００４２】
この第二の実施態様により、適用される細分化アルゴリズムの結果のサイズは、モジュローｎの半分のサイズよりも小さいというのが明らかである。
【００４３】
そこで、その方法は以下のように進められる：
【００４４】
手順１において、認証される実体Ａは、実体Ｂに送られることを望むメッセージＭの冗長化を行い、それは、メッセージＭの連続から成るメッセージＩＲが得られるように行われ、該メッセージの最後のバイトに続いて、冗長性バイトと場合によっては促成ビットがあり、該促成ビットの機能は、メッセージＭの長さを記すことである。
【００４５】
手順２において実体Ａは、署名Ｃ＝ＩＲsＭＯＤｎの計算を行う。
【００４６】
手順３において実体Ａは、認証をする実体Ｂの検証装置の方向に暗号Ｃを送信する。
【００４７】
手順４において認証をする実体Ｂの検証装置は、公開鍵Ｋvを用いて、受信した暗号Ｃに基づき、ＩＲ’＝ＣvＭＯＤ（ｎ）を計算する。
【００４８】
最後に、手順５において検証装置は、等式ＩＲ＝ＩＲ’を検証して、実体Ａの認証を行う。
【００４９】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、限られた数のバイトの等式ＩＲ＝ＩＲ’を検証しつつ行い、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのバイトについて等式ＩＲ＝ＩＲ’の検証を行い、その検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、全てのビットについての等式ＩＲ＝ＩＲ’を検証して送り返す。
【実施例３】
【００５０】
第三の実施態様によると、暗号認証方法はＦＩＡＴ−ＳＨＡＭＩＲタイプまたはＧＵＩＬＬＯＵ−ＱＵＩＳＱＵＡＴＥＲタイプのものである。
【００５１】
ａ）ＦＩＡＴ−ＳＨＡＭＩＲ法
従来のやり方では：
・用いられている公開鍵Ｋvは、第一のものではないが、大きな値の整数ｎよりも小さな整数である。ｎは、その方法のユーザーの秘密鍵を計算するという役割を果たす、信頼できる権限だけに知られている。
・その信頼できる権限によって作成された、認証される実体Ａの秘密鍵Ｋsは、Ｋv＝Ｋs 2ＭＯＤｎというようなものである。
基礎的な方法は、次のようなものである：
１）認証される実体Ａは、区間｛０．．．ｎ｝の間で整数ｒを無作為に選択する。
２）実体Ａは、嵌め込みｘ＝ｒ2ＭＯＤｎを計算し、それを認証をする実体Ｂに送る。
３）実体Ｂは、乱数ｅのビットを一つ選択し、そのビットを実体Ａに送る。
４）実体Ａは、レスポンスＣ＝ｒ．Ｋs．ｅを計算し、それを実体Ｂに送る。
５）実体Ｂは、Ｃ2＝ｘ．Ｋv．ｅ ＭＯＤｎを検証する（α）。
【００５２】
上記の手順をｔ回繰り返し、実体Ｂの近辺で実体Ａを認証する。
【００５３】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ｐの関係式（α）を０≦ｐ≦ｔだけで検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのｔ−ｐ関係式（α）の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、ｔの関係式（α）を検証して送り返す。
【００５４】
ｂ）ＧＵＩＬＬＯＵ−ＱＵＩＳＱＵＡＴＥＲ法
従来のやり方では、
・用いられている公開鍵Ｋvは、第一のものではないが、大きな値の整数ｎよりも小さな整数である。ｎは、その方法のユーザーの秘密鍵を計算するという役割を果たす、信頼できる権限だけに知られている。
・その信頼できる権限によって作成された、認証される実体Ａの秘密鍵Ｋsは、Ｋv＝Ｋs hＭＯＤｎというようなものである。
基礎的な方法は次のようなものである。
１）認証される実体Ａは、区間｛０．．．ｎ｝の間で整数ｒを無作為に選択する。
２）実体Ａは、嵌め込みｘ＝ｒhＭＯＤｎを計算し、それを認証をする実体Ｂに送る。
３）実体Ｂは、乱数のビットを一つ選択し、そのビットを実体Ａに送る。
４）実体Ａは、レスポンスＣ＝ｒ．Ｋs．ｅを計算し、それを実体Ｂに送る。
５）実体Ｂは、ｘ＝Ｃh．Ｋv．ｅ ＭＯＤｎを検証する（β）。
【００５５】
上記の手順をｔ回繰り返し、実体Ｂの近辺で実体Ａはその身元を証明する。
【００５６】
本発明により修正された方法では、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ｐの関係式（β）を０≦ｐ≦ｔだけで検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのｔ−ｐ関係式（β）の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、ｔの関係式（β）を検証して送り返す。
【００５７】
上記の二つの変形例により、認証をする実体Ｂによって下される（受け入れ／拒絶）判断は、ｔ番目のレスポンスＣの受信後、直ちに認証される実体Ａに表示されなければならない。しかしながら、上記Ａ）Ｂ）ＩからＢ）ＩＩＩで述べられているように、認証をする実体Ｂの実際の判断は、事前に行われていてもよいものであり、また、認証される実体への回答、例えば、実体Ａがクライアントであるのに対し、実体Ｂがサーバである場合に、動的なＨＴＭＬページのようなものを用意するというようなことを前もって行ってもよい。この可能性は、実体Ｂに無視できない時間的利得を、実体Ａのリクエストの処理の際に提供する。
【実施例４】
【００５８】
第四の実施態様によれば、暗号認証方法は、認証される実体Ａと認証をする実体Ｂとの間で秘密を共有するタイプのものである。この共有された秘密は、秘密鍵Ｋsである。
【００５９】
基礎的な方法は、以下のようなものである：
１）認証される実体Ａは、それ自身において知られた方法によって鍵Ｋsを生成し、認証をする実体Ｂに、例えばセキュリティの付与された通信経路を介して、Ｋsのコピーを送る。Ｋsの送付は、一方では、時計、カウンターまたは実体Ａに固有の乱数ビット連鎖生成オートマトンと、他方では、時計、カウンターまたは実体Ｂに固有の乱数ビット連鎖生成オートマトンとの間での同調によって、暗黙裡に行われることも可能である。
２）実体Ａは、選択された暗号アルゴリズムＥを使って、そして鍵Ｋvを用いることによって、暗号ではない普通の言葉のメッセージＭを保護し、Ｃ＝Ｅ（Ｍ，Ｋv，Ｄ）のようなメッセージＣが得られるようになされ、これにおいて、Ｄは認証毎に変わるデータであり、前記データは、場合によっては、実体Ａの時計から交付された時間の値、実体Ａのカウンターから交付された値または実体Ａのオートマトンから交付された乱数ビット連鎖である。
３）実体Ａは、実体ＢにメッセージＣ、Ｍそして場合によってはＤを送る。
４）実体Ｂは、メッセージＣ’＝Ｅ（Ｍ，Ｋs，Ｄ）を計算して関係式Ｃ＝Ｃ’を検証する。
【００６０】
本発明による変型された方法においては、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す；
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、ビットの限られた数についての等式Ｃ＝Ｃ’を検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、後に残りのビットについての等式Ｃ＝Ｃ’の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを、全てのビットについての等式Ｃ＝Ｃ’を検証して送り返す。
【００６１】
この実施態様によれば、等式Ｃ＝Ｃ’の部分的な検証は、メッセージＣが暗号解析の要請により絶対に必要とされるだけの、高度な長さを呈するために可能となった。
【実施例５】
【００６２】
第五の実施態様によれば、暗号認証方法は、実体Ａと実体Ｂとの間で使い捨てが可能なパスワードを交換するタイプのものである。このような方法は、例えば、１９９８年２月のＮ．ＨＡＬＬＥＲ，Ｃ．ＭＥＴＺ，Ｐ．ＮＥＳＳＥＲ、並びにＭ．ＳＴＲＡＣの記事“Ａ Ｏｎｅ−Ｔｉｍｅ ＰａｓｓＣｏｒｄ Ｓｙｓｔｅｍ”，ＲＦＣ２２８９，Ｂｅｌｌｃｏｒｅ，Ｋａｍａｎ Ｓｃｉｅｎｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎ，Ｎｅｓｓｅｒ ａｎｄ Ｎｅｓｓｅｒ Ｃｏｎｓｕｌｔｉｎｇに記載されている。
【００６３】
基礎的な方法は、以下のようなものである：
１）認証される実体Ａと認証をする実体Ｂは、両者が送付したいパスワードの連鎖の長さを表すパラメーターｎを、互いに定めている。
２）実体Ａは、ソフトウエア・オートマトンに基づき乱数パスワードＣnを生成する。
３）実体Ａは、パスワードの連鎖Ｃi-1＝ｈ（Ｃi）を計算し、これにおいてｈは、細分化関数であり、また１≦ｉ≦ｎであり、Ｃi-1は公開鍵Ｋvの役割を果たし、そしてＣiは秘密鍵Ｋsの役割を果たす。
４）実体Ａは、実体ＢにＣ0を送り、これにおいてＣ0は、公開鍵Ｋvの役割を果たす。
５）実体Ａは、実体ＢにＣ1を送る。
６）実体Ｂはｈ（Ｃ1）を計算し、ｈ（Ｃ1）＝Ｃ0であることを検証する。
・
・
・
６＋ｎ）実体Ａは、実体ＢにＣnを送る。
７＋ｎ）実体Ｂはｈ（Ｃn）を計算し、ｈ（Ｃn）＝Ｃn-1であることを検証する。
【００６４】
本発明による変型された方法においては、
−Ａ）実体Ａの認証において、確実性の度合いがゼロであることを望む実体Ｂは、実体Ａに対し実体Ａの認証の肯定レスポンスメッセージを、検証装置を媒介として単純に送り返す。
−Ｂ）実体Ａの認証をリアル・タイムで行える状態にない検証装置である実体Ｂは、
Ｉ．実体Ａの認証の完全な検証を遅らせるが、それでも、自分の検証装置を媒介として、実体Ａに実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩ．あるいは、実体Ａの認証を部分的に検証し、６番目の手順において、ビットの限られた数についての等式ｈ（Ｃi）＝Ｃi-1を検証し、その時に、この検証がプラスであることが明らかであれば、実体Ｂは、実体Ａに自分の検証装置を媒介として、実体Ａの認証の肯定レスポンスメッセージを送り返すか、
ＩＩＩ．あるいは、上記のように実体Ａの認証を部分的に検証し、つぎに、それでもなお、実体Ａの更に確実性の高い度合いを得たいのであれば、まず残りのビットについての等式ｈ（Ｃi）＝Ｃi-1を検証し、ついで全てのビットのそれぞれについての等式ｈ（Ｃi+1）＝Ｃi，．．．，ｈ（Ｃn）＝Ｃn-1の検証を行ってその検証を完結させる。
−Ｃ）実体Ａの認証において、最確実性の最適な度合いを得ることを望む実体Ｂは、この検証がプラスであることが明らかであれば、自分の検証装置を媒介として、実体Ａに、実体Ａの認証の肯定レスポンスメッセージを全てのビットについての等式ｈ（Ｃ1）＝Ｃ0，ｈ（Ｃ2）＝Ｃ1，．．．，ｈ（Ｃn）＝Ｃn-1のそれぞれを検証して送り返す。
【００６５】
上記の五つの実施態様の利点は、認証をする実体Ｂによって目指された認証方針にかかわらず、検証の計算は実体Ｂの検証装置の中で局地的に行われ、実体Ｂの確実性の度合いの選択は、実体Ａに対しては完全に隠蔽されており、該実体は、暗号アルゴリズムで保護された自分のメッセージを送った後に、自分の認証の結果である肯定レスポンスメッセージを規則的に受け取れることに甘んじることになる。このことは、実体Ｂの側から言えば、実体Ａへの自分のレスポンスの反応性がもっと大きくなるということである。その結果、実体Ａの方は、実体Ｂとの接続をずっと中断しにくくなるが、それは、実体Ｂが行う検証の計算の度合いがどの程度のものであろうと、実体Ｂ側から認証の肯定レスポンスメッセージを規則的に受け取れるためである。
【００６６】
実体Ｂが検証の計算を変調することができるように、実体Ｂの検証装置は、図１を参照すると、第一の検証手段Ｖ１を有し、該手段は、実体Ａから受信した暗号アルゴリズムによって保護されたすべてのメッセージＣ1，Ｃ2，．．．，Ｃnを完全に検証するためのものである。その検証装置は、更に第二の検証手段Ｖ２を有し、該手段は、すべてのメッセージＣ1，Ｃ2，．．．，Ｃnを部分的に検証するためのものである。
【００６７】
検証手段Ｖ１とＶ２は、上記の五つの実施態様で用いられる暗号アルゴリズムによってプログラムされる、計算モジュローである。更に、検証手段Ｖ２は、実体Ｂに望まれる、多かれ少なかれ部分的な度合いに応じてプログラミングされる。
【００６８】
実体Ｂの検証装置は、同様にソフトウエア・モジュローＡＩＧを有し、該モジュローは、実体Ｂによって受信されたメッセージＣ1，Ｃ2，．．．，Ｃnを、検証手段Ｖ１の方向、あるいは検証手段Ｖ２の方向に導くように着想されており、これは実体Ｂによってリアル・タイムで判断される認証方針に応じて行われている。このため検証装置は、データ・ベースＤＢを有し、そこで以下のような一つまたは複数のパラメーターが記憶されている：
・実体Ａのタイプ：実体Ｂへの加入契約に関連するもので、偶発的なものであり、知らされていない；
・求められるサービスまたは情報のタイプ、並びに実体Ｂへ送られるメッセージＣ1，Ｃ2，．．．，Ｃnの連結における論理；
・実体Ａの最後の完全な認証をした時点からの経過時間または接続数；
・例えば、購入及び支払いにおける実体Ａの通常の振る舞い及び実際に行う振る舞いの、あらかじめ分かっている、または、実際に知りえた知識；
・支払い対象の情報またはサービスの販売価格。
・進行中の支払いの併合あるいは通貨の種類についてのその他一切の情報。
【００６９】
このようなパラメーターのそれぞれに危険性の値Ｒを割り当てる。それは以下のような状況要素についても同様である：
・実体Ｂの負担（接続数、流量、用いられるプロトコルの多様性等）；
・やりとりの状況：アクセス・ネットワーク、実体Ａが行う接続の地理的な発信地、時間帯、日付等。
【００７０】
前記データ・ペースは更に、それぞれの内容に危険性の値Ｒを割り当てるような、上記の一つまたは複数のパラメーターによって受信したメッセージＣ1，Ｃ2，．．．，Ｃnの内容の種類を比較する手段を有する。
【００７１】
危険性の値が、第一の閾値ｘ１以下である場合、ソフトウエア・モジュローＡＩＧは検証手段Ｖ１、Ｖ２の起動を抑制する。
【００７２】
危険性の値が、第二の閾値ｘ２＞ｘ１以上である場合、ソフトウエア・モジュローはメッセージＣ1，Ｃ2，．．．，Ｃnを検証手段Ｖ１の方向に振り分ける。
【００７３】
ｘ１≦Ｒ≦ｘ２である場合、ソフトウエア・モジュローＡＩＧはメッセージＣ1，Ｃ2，．．．，Ｃnを検証手段Ｖ２の方向に振り分ける。
【００７４】
図１に見られるように、上記の五つの実施態様に記載された選択肢Ｂ．ＩＩＩを行うように、更にインターフェイスＩが検証手段Ｖ１とＶ２の間に準備されており、つまりは、検証手段Ｖ１において、第一に部分的に検証されたメッセージＣ1，Ｃ2，．．．，Ｃnを、実体Ｂが選んだ所定の時間に、前記の部分的な検証を完全なものにするための検証手段Ｖ２の方向に伝送するということである。
【００７５】
応用例
本発明の第一の応用例は、特にインターネット、ケーブルテレビ、（英語のＡｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である）ＡＤＳＬ等の様々な通信網を用いる双方向サービスへのアクセスへの応用である。
【００７６】
この場合、認証をする実体Ｂが、サーバまたはサービス供与者の役割を果たすのに対し、認証される実体Ａは、サーバまたはサービス供与者の顧客の役割を果たす。その場合、顧客Ａは、セキュリティの付与された電気通信経路を介して、サーバＢあるいはサービス供与者Ｂに帰属する電気通信機器に接続されている電気通信機器を備えている。
【００７７】
上記の双方向サービスは、アクセス条件が、価格、公的性格、秘密性等の条件によって変わりうる情報を提案するものである。更に、それらにより、顧客Ａとサーバまたはサービス供与者Ｂとの間に数多くのやりとりが発生し、このことにより、該サーバまたはサービス供与者Ｂが、顧客Ａについてある程度の知識を得ることが可能となるため、それに関連する危険性も生じる。最後に、サーバＢは、提供するサービスの質とセキュリティの度合いとの間の兼ね合いを考慮した認証方針を選択することを目的として着想されている。
【００７８】
そういうわけで、サーバまたはサービス供与者Ｂの権能は、顧客Ａの認証を調整し、かつ／または、以下の基準に基づいて、その身元のきめ細かな検証を遅らせるというものである：
・顧客Ａのタイプ：サーバＢへの加入しており、偶発的なものであり、知らされていない；
・顧客Ａの現実の振る舞いと通常の振る舞いについての知識；
・求められるサービスまたは情報のタイプ並びにそのような求めの連鎖における論理；
・サーバの負担（接続数、流量、用いられるプロトコルの多様性等）；
・顧客Ａを完全に認証した時点からの経過時間または接続数；
・やりとりの状況：アクセス・ネットワーク、接続の地理的な発信地、時間帯、日付等。
【００７９】
本発明の第二の応用例は、支払いサービスを実行する上での経済性を改善するために、認証の計算コストが、支払額と虚偽の認証により損失を被る危険性の点で、割りが合うように、高くなりすぎないようにする電子支払いへの応用である。
【００８０】
この場合、認証をする実体Ｂが、サーバまたは支払いを受けるべきサービス供与者の役割を果たすのに対し、認証される実体Ａは、サーバまたはサービス供与者Ｂの顧客の役割を果たす。その場合、顧客Ａは、セキュリティの確保された電気通信経路を介して、サーバＢあるいはサービス供与者Ｂに帰属する電気通信機器に接続されている電気通信機器を備えている。
【００８１】
上記の電子支払いは、（例えば十分の一ユーロ程度の）僅かな単価のサービスまたは情報を生じさせる。更に、そのようなサービスまたは情報の連鎖の論理に応じて数多くの支払いが発生し、このことにより、該サーバまたはサービス供与者Ｂは、顧客Ａについてある程度の知識を得ることが可能となるため、それに関連する危険性も生じる。最後に、サーバＢは、提供するサービスの質とセキュリティの度合いとの間の兼ね合いを考慮した認証方針を選択することを目的として着想されている。
【００８２】
そういうわけで、サーバまたはサービス供与者Ｂの権能は、顧客Ａの認証を調整し、かつ／または、以下の基準に基づいて、その身元のきめ細かな検証を遅らせるというものである：
・顧客Ａのタイプ：サーバＢへの加入者で、偶発的なものであり、知らされていない；
・購入及び支払いにおける顧客Ａの通常の振る舞い及び実際に行う振る舞いの、あらかじめ分かっている、または、実際に知りえた知識；
・求められるサービスまたは情報のタイプ並びにそのような求めの連鎖における論理；
・支払い対象の情報またはサービスの販売価格；
・進行中の支払いの併合あるいは通貨の種類についてのその他一切の情報；
・顧客Ａを完全に認証した時点からの経過時間または接続数；
・サーバの負担（接続数、流量、用いられるプロトコルの多様性等）；
・やりとりの状況：アクセス・ネットワーク、使用される支払い方法、接続の地理的な発信地、時間帯、日付等。
【図面の簡単な説明】
【００８３】
【図１】本発明の概略図である。
【符号の説明】
【００８４】
Ａ 実体
Ｂ 実体
Ｃ 暗号
Claims (9)
- 認証される第一の実体（Ａ）が、認証をする第二の実体（Ｂ）に、暗号アルゴリズムと秘密鍵（Ｋs）によって保護されたメッセージを送付する、第一の手順ａ）を有する暗号認証方法であり、その特徴は：
方法が第二の手順ｂ）を有し、第二の実体（Ｂ）が、前記メッセージの受信につづいて、以下から構成される作業の一覧のうちの一つの作業を行う：
・前記暗号アルゴリズムと検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を完全に検証する、
・前記保護されたメッセージの認証の完全な検証を延期して行う、
・前記暗号アルゴリズムと前記検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を部分的に検証する、
・前記暗号アルゴリズムと前記検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を部分的に検証し、その検証後に完全なものにする、
・前記保護されたメッセージの認証の検証を省く、
前記作業のいずれか一つの選択は、一方では、第二の実体（Ｂ）が第一の実体（Ａ）を認証する上で、希望する確実性の度合いに応じて、他方では、それを第一の実体（Ａ）に隠蔽して行われることを特徴とする、暗号認証方法。 - 暗号アルゴリズムは、公開鍵（Ｋv）付きのアルゴリズムであることを特徴とする、請求項１に記載の方法。
- 暗号アルゴリズムは、ＲＳＡタイプのものであり、公開鍵（Ｋv）は、少なくとも一つのモジュロー（ｎ）に応じたものであることを特徴とする、請求項２に記載の方法。
- 保護されたメッセージが、公開鍵のモジュロー（ｎ）の半分以下の長さを呈することを特徴とする、請求項３に記載の方法。
- 暗号アルゴリズムは、ＤＳＡタイプのアルゴリズムであることを特徴とする、請求項２に記載の方法。
- 暗号アルゴリズムは、零知識対話証明であることを特徴とする、請求項２に記載の方法。
- 暗号アルゴリズムは、秘密鍵（Ｋs）付きタイプのものであることを特徴とする、請求項１に記載の方法。
- 第一の実体（Ａ）はクライアントであるのに対し、第二の実体（Ｂ）はサーバであることを特徴とする、請求項１から７のいずれか一つに記載の方法。
- 請求項８に記載の方法で用いられることを特徴とするサーバであり、その特徴は：
・前記暗号アルゴリズムと検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を完全に検証するのに適した第一の検証手段（Ｖ１）と、
・前記暗号アルゴリズムと前記検証鍵（Ｋv）とにより受信した、前記保護されたメッセージの認証を部分的に検証するのに適した第二の検証手段（Ｖ２）と、
・危険性の値（Ｒ）を割り当てる、一つまたは複数のパラメーターを含むデータ・ベース（ＤＢ）と、
・そして受信した、保護されたメッセージの内容と、データ・ベース（ＤＢ）の一つまたは複数のパラメーターとを比較し、それに応じて、そのようなメッセージを前記第一の検証手段（Ｖ１）または第二の検証手段（Ｖ２）に伝送するのに適した、受信された保護されたメッセージを振り分ける手段（ＡＩＧ）とを有することを特徴とする、サーバ。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR0108502A FR2826811B1 (fr) | 2001-06-27 | 2001-06-27 | Procede d'authentification cryptographique |
| PCT/FR2002/002174 WO2003003649A1 (fr) | 2001-06-27 | 2002-06-24 | Procede d'authentification cryptographique |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005503696A true JP2005503696A (ja) | 2005-02-03 |
| JP3970243B2 JP3970243B2 (ja) | 2007-09-05 |
Family
ID=8864848
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003509702A Expired - Fee Related JP3970243B2 (ja) | 2001-06-27 | 2002-06-24 | 暗号認証方法 |
Country Status (8)
| Country | Link |
|---|---|
| US (1) | US7451314B2 (ja) |
| EP (1) | EP1400056B1 (ja) |
| JP (1) | JP3970243B2 (ja) |
| AT (1) | ATE284101T1 (ja) |
| DE (1) | DE60202149T2 (ja) |
| ES (1) | ES2233847T3 (ja) |
| FR (1) | FR2826811B1 (ja) |
| WO (1) | WO2003003649A1 (ja) |
Families Citing this family (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7162035B1 (en) | 2000-05-24 | 2007-01-09 | Tracer Detection Technology Corp. | Authentication method and system |
| GB2392262A (en) * | 2002-08-23 | 2004-02-25 | Hewlett Packard Co | A method of controlling the processing of data |
| US8239917B2 (en) | 2002-10-16 | 2012-08-07 | Enterprise Information Management, Inc. | Systems and methods for enterprise security with collaborative peer to peer architecture |
| US7840806B2 (en) * | 2002-10-16 | 2010-11-23 | Enterprise Information Management, Inc. | System and method of non-centralized zero knowledge authentication for a computer network |
| US8236861B2 (en) | 2004-02-13 | 2012-08-07 | Hormos Medical Corporation | Method for enhancing the bioavailablity of ospemifene |
| US7587751B2 (en) * | 2004-08-02 | 2009-09-08 | Cisco Technology, Inc. | Method and apparatus for automatically re-validating multiple clients of an authentication system |
| US8132005B2 (en) * | 2005-07-07 | 2012-03-06 | Nokia Corporation | Establishment of a trusted relationship between unknown communication parties |
| US7995196B1 (en) | 2008-04-23 | 2011-08-09 | Tracer Detection Technology Corp. | Authentication method and system |
| US8806573B2 (en) * | 2011-08-09 | 2014-08-12 | Cisco Technology, Inc. | Authentication control in low-power lossy networks |
| EP2786299A4 (en) * | 2011-12-01 | 2015-08-05 | Intel Corp | SECURE COMMISSIONING OF A DIGITAL CONTENT PROTECTION MECHANISM |
| EP3058532A4 (en) * | 2013-10-14 | 2017-04-12 | Equifax, Inc. | Providing identification information to mobile commerce applications |
| TWI548282B (zh) * | 2014-11-28 | 2016-09-01 | Papago Inc | 具通信模組之行車紀錄器及其方法 |
| ES2926451T3 (es) | 2017-04-13 | 2022-10-26 | Equifax Inc | Detección basada en la ubicación del uso no autorizado de funciones de un entorno informático interactivo |
| EP3661115B1 (en) * | 2017-09-01 | 2024-01-17 | Mitsubishi Electric Corporation | Encryption device, decryption device, encryption method, decryption method, encryption program, and decryption program |
| WO2019118682A1 (en) | 2017-12-14 | 2019-06-20 | Equifax Inc. | Embedded third-party application programming interface to prevent transmission of sensitive data |
Family Cites Families (34)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5237612A (en) * | 1991-03-29 | 1993-08-17 | Ericsson Ge Mobile Communications Inc. | Cellular verification and validation system |
| DE4317380C1 (de) * | 1993-05-25 | 1994-08-18 | Siemens Ag | Verfahren zur Authentifikation zwischen zwei elektronischen Einrichtungen |
| ES2171568T3 (es) * | 1994-09-09 | 2002-09-16 | Titan Corp | Sistema de acceso condicional. |
| US6246767B1 (en) * | 1995-04-03 | 2001-06-12 | Scientific-Atlanta, Inc. | Source authentication of download information in a conditional access system |
| US6085320A (en) * | 1996-05-15 | 2000-07-04 | Rsa Security Inc. | Client/server protocol for proving authenticity |
| TW338865B (en) * | 1997-06-03 | 1998-08-21 | Philips Eloctronics N V | Authentication system |
| US5974150A (en) * | 1997-09-30 | 1999-10-26 | Tracer Detection Technology Corp. | System and method for authentication of goods |
| US6336188B2 (en) * | 1998-05-01 | 2002-01-01 | Certicom Corp. | Authenticated key agreement protocol |
| CA2357003C (en) * | 1998-05-21 | 2002-04-09 | Equifax Inc. | System and method for authentication of network users and issuing a digital certificate |
| US6263447B1 (en) * | 1998-05-21 | 2001-07-17 | Equifax Inc. | System and method for authentication of network users |
| WO1999060481A1 (en) * | 1998-05-21 | 1999-11-25 | Equifax Inc. | System and method for authentication of network users with preprocessing |
| US6571337B1 (en) * | 1998-06-24 | 2003-05-27 | International Business Machines Corporation | Delayed secure data retrieval |
| US6816968B1 (en) * | 1998-07-10 | 2004-11-09 | Silverbrook Research Pty Ltd | Consumable authentication protocol and system |
| US6647376B1 (en) * | 1998-10-09 | 2003-11-11 | Henry C. Farrar | System and method for point-of-sale check authorization |
| US6772336B1 (en) * | 1998-10-16 | 2004-08-03 | Alfred R. Dixon, Jr. | Computer access authentication method |
| US6820202B1 (en) * | 1998-11-09 | 2004-11-16 | First Data Corporation | Account authority digital signature (AADS) system |
| US6487665B1 (en) * | 1998-11-30 | 2002-11-26 | Microsoft Corporation | Object security boundaries |
| US6385724B1 (en) * | 1998-11-30 | 2002-05-07 | Microsoft Corporation | Automatic object caller chain with declarative impersonation and transitive trust |
| US6330624B1 (en) * | 1999-02-09 | 2001-12-11 | International Business Machines Corporation | Access limiting to only a planar by storing a device public key only within the planar and a planar public key only within the device |
| US6349338B1 (en) * | 1999-03-02 | 2002-02-19 | International Business Machines Corporation | Trust negotiation in a client/server data processing network using automatic incremental credential disclosure |
| AU7830000A (en) * | 1999-09-20 | 2001-04-24 | Ethentica, Inc. | Server-side implementation of a cryptographic system |
| KR100619005B1 (ko) * | 1999-11-25 | 2006-08-31 | 삼성전자주식회사 | 장치간의 연결 설정을 위한 인증방법 |
| DE69941335D1 (de) * | 1999-12-02 | 2009-10-08 | Sony Deutschland Gmbh | Nachrichtenauthentisierung |
| EP1959369A1 (en) * | 1999-12-10 | 2008-08-20 | Fujitsu Limited | User verification system, and portable electronic device with user verification function utilising biometric information |
| WO2001061917A1 (en) * | 2000-02-15 | 2001-08-23 | Silverbrook Research Pty Ltd | Consumable authentication protocol and system |
| US20020138728A1 (en) * | 2000-03-07 | 2002-09-26 | Alex Parfenov | Method and system for unified login and authentication |
| KR100430147B1 (ko) * | 2000-03-15 | 2004-05-03 | 인터내셔널 비지네스 머신즈 코포레이션 | 컴퓨터 액세스 제어 |
| US20020128977A1 (en) * | 2000-09-12 | 2002-09-12 | Anant Nambiar | Microchip-enabled online transaction system |
| GB0103416D0 (en) * | 2001-02-12 | 2001-03-28 | Nokia Networks Oy | Message authentication |
| TW561754B (en) * | 2001-02-23 | 2003-11-11 | Koninkl Philips Electronics Nv | Authentication method and data transmission system |
| AU2002256018A1 (en) * | 2001-03-29 | 2002-10-15 | Accenture Llp | Overall risk in a system |
| US7398549B2 (en) * | 2001-05-18 | 2008-07-08 | Imprivata, Inc. | Biometric authentication with security against eavesdropping |
| NL1018494C2 (nl) * | 2001-07-09 | 2003-01-10 | Koninkl Kpn Nv | Methode en systeem voor het door een dienstproces aan een client leveren van een dienst. |
| US7234059B1 (en) * | 2001-08-09 | 2007-06-19 | Sandia Corporation | Anonymous authenticated communications |
-
2001
- 2001-06-27 FR FR0108502A patent/FR2826811B1/fr not_active Expired - Fee Related
-
2002
- 2002-06-24 US US10/481,914 patent/US7451314B2/en not_active Expired - Fee Related
- 2002-06-24 DE DE60202149T patent/DE60202149T2/de not_active Expired - Lifetime
- 2002-06-24 EP EP02755087A patent/EP1400056B1/fr not_active Expired - Lifetime
- 2002-06-24 ES ES02755087T patent/ES2233847T3/es not_active Expired - Lifetime
- 2002-06-24 JP JP2003509702A patent/JP3970243B2/ja not_active Expired - Fee Related
- 2002-06-24 AT AT02755087T patent/ATE284101T1/de active
- 2002-06-24 WO PCT/FR2002/002174 patent/WO2003003649A1/fr active IP Right Grant
Also Published As
| Publication number | Publication date |
|---|---|
| FR2826811A1 (fr) | 2003-01-03 |
| WO2003003649A1 (fr) | 2003-01-09 |
| US7451314B2 (en) | 2008-11-11 |
| DE60202149T2 (de) | 2005-12-01 |
| JP3970243B2 (ja) | 2007-09-05 |
| US20040177252A1 (en) | 2004-09-09 |
| EP1400056B1 (fr) | 2004-12-01 |
| EP1400056A1 (fr) | 2004-03-24 |
| ATE284101T1 (de) | 2004-12-15 |
| DE60202149D1 (de) | 2005-01-05 |
| FR2826811B1 (fr) | 2003-11-07 |
| ES2233847T3 (es) | 2005-06-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6085320A (en) | Client/server protocol for proving authenticity | |
| JP3982848B2 (ja) | セキュリティレベル制御装置及びネットワーク通信システム | |
| EP0824814B1 (en) | Methods and apparatus for authenticating an originator of a message | |
| JP4545831B2 (ja) | データカード検証装置 | |
| JP4635009B2 (ja) | 通信における証明された秘密値の使用 | |
| JP2671649B2 (ja) | 認証方式 | |
| Tsaur et al. | A smart card-based remote scheme for password authentication in multi-server Internet services | |
| JP5205398B2 (ja) | 鍵認証方式 | |
| US6708893B2 (en) | Multiple-use smart card with security features and method | |
| US8654975B2 (en) | Joint encryption of data | |
| US20080307223A1 (en) | Apparatus and method for issuer based revocation of direct proof and direct anonymous attestation | |
| EP0661845B1 (en) | System and method for message authentication in a non-malleable public-key cryptosystem | |
| US20030070074A1 (en) | Method and system for authentication | |
| JP3970243B2 (ja) | 暗号認証方法 | |
| GB2434724A (en) | Secure transactions using authentication tokens based on a device "fingerprint" derived from its physical parameters | |
| JP2004530331A (ja) | 一時的（エフェメラル）モジュールを用いた暗号認証法 | |
| JP2002534701A (ja) | 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム | |
| US20070244833A1 (en) | Maintaining Privacy for Transactions Performable by a User Device Having a Security Module | |
| Tsaur | A flexible user authentication scheme for multi-server internet services | |
| JPH11174957A (ja) | 認証プロトコル | |
| WO2021019783A1 (ja) | 所有者同一性確認システム、端末および所有者同一性確認方法 | |
| JP3746919B2 (ja) | 可変認証情報を用いる資格認証方法 | |
| Saxena et al. | Zero-knowledge blind identification for smart cards using bilinear pairings | |
| Dandash et al. | Internet banking payment protocol with fraud prevention | |
| CN116170145A (zh) | 一种基于椭圆曲线的无证书多因子零知识证明认证方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060808 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20061101 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20061109 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070122 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070508 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070605 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110615 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110615 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120615 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130615 Year of fee payment: 6 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |