JP2005513564A5 - - Google Patents

Claims (57)

1. 第１のエンティティ(A)は、第１のエンティティ(A)により秘密にされている秘密鍵を使って、前記秘密鍵に関連付けられている公開鍵を使って第２のエンティティ(B)により検証可能なプルーフを生成する暗号法であって、プルーフの少なくとも１つの要素が前記秘密鍵を復元することができないデータ項目のオープンデジタル処理により少なくとも一部生成されるステップ(5,15)を含むことを特徴とする暗号法。
2. 暗号法であって、
   − 第１のエンティティ(A)が、第１のエンティティ(A)により秘密にされている第１の乱数を使って、プルーフの第１の要素を生成する第１のステップ(1、9、20)と、
   − １つまたは複数の共通数と呼ばれるものがプルーフの第１の要素と関連して生成され、したがって第１のエンティティ(A)および第２のエンティティ(B)が前記１つまたは複数の共通数を認識していなければならない第２のステップ(11,23)と、
   − 第１の乱数を伴う少なくとも第１の秘密鍵整数と少なくとも１つの前記共通数とを組み合わせることにより、第１のエンティティ(A)は前記秘密鍵のイメージを生成する第３のステップ(13、24)と、
   − 前記公開鍵の第１の部分をプルーフの第２の要素に適用し、かつ前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用することによって、第２のエンティティ(B)がプルーフの第１の要素とプルーフの第２の要素との一致を検証できるようにするために、プルーフの第２の要素が、前記秘密鍵のイメージに対して、エンティティ(C)により実行可能なオープンデジタル処理オペレーションを適用することにより生成される第４のステップ(5、15)と
   を含むことを特徴とする請求項１に記載の暗号法。
3. 暗号法であって、
   − 第１のステップ(1、9、20)において、第１のエンティティ(A)は、第１のエンティティ(A)により秘密にされている秘密鍵に含まれる第１の整数sよりも非常に大きい第１の乱数rを生成し、第１のエンティティ(A)は、前記公開鍵に含まれる場合も含まれない場合もあり、その指数が第１の乱数rであるところの第１の整数Gを、nを法とする累乗計算した後に得られるプルーフの第１の要素を生成し、
   − 第３のステップ(13、24)において、第１のエンティティ(A)は、第１の乱数rと少なくとも第１の秘密鍵整数sの一次結合により前記秘密鍵のイメージyを生成し、前記一次結合の少なくとも１つの乗法的係数は、前記共通数または前記共通数のうちの１つであり、
   − 第４のステップ(5、15)において、生成されたプルーフYの第２の要素は、前記公開鍵に含まれる場合も含まれない場合もあり、その指数が秘密鍵のイメージyであるところの第２の整数gの、nを法とする累乗に等しく、第２の整数gは、第１の整数Gが、前記公開鍵に含まれる場合も含まれない場合もあり、第３の整数ｅを指数とするところの第２の整数gの、nを法とする累乗となるような整数であることを特徴とする請求項２に記載の暗号法。
4. 第４のステップにおいて、プルーフYの第２の要素は、第２のエンティティ(B)に送信されることを特徴とし、また、プルーフの第１の要素が、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積に一致することを、第２のエンティティ(B)が検証する第５のステップ(8、17、22)を含むことを特徴とする請求項３に記載の暗号法。
5. 第４のステップ(5、15)は、第１のエンティティ(A)以外の、第１のエンティティ(A)から秘密鍵イメージyを受信するエンティティ(C)により実行されることを特徴とする請求項２から４までのいずれか一項に記載の暗号法。
6. 第４のステップ(15)は、第１のエンティティ(A)により実行されることを特徴とする請求項２から４のいずれか一項に記載の暗号法。
7. 第４のステップは、
   − 第１のエンティティ(A)は、イメージyを、イメージyを表すデータワードのu個の下位ビットにより表される第１の部分イメージy'と、前記データワードの残りの上位ビットにより表される第２の部分イメージy"とに分解し、また第１のエンティティ(A)は、第１のコンポーネントY'とプルーフの第２の要素の第２のコンポーネントg'を生成し、前記コンポーネントでは以下が成り立ち、
   

   

   また第１のエンティティ(A)は、第１のコンポーネントY'、第２のコンポーネントg'、および第２の部分イメージy"を中間エンティティ(C)に送信する、第１のサブステップ(18)と、
   − 中間エンティティ(C)は、第２の部分イメージy"を指数とする第２のコンポーネントg'の累乗を第１のコンポーネントY'に掛けることによりプルーフYの第２の要素を生成し、中間エンティティ(C)は、プルーフYの第２の要素を第２のエンティティ(B)に送信する第２のサブステップ(25)と
   を含むことを特徴とする請求項２から４のいずれか一項に記載の暗号法。
8. 第２のステップ(11)は、第１のエンティティ(A)から受信したプルーフの第１の要素について、セキュリティ間隔の範囲内の少なくとも１つの共通数を選択し、前記共通数を第１のエンティティ(A)に送信する第２のエンティティ(B)により実行されることを特徴とする請求項２から７のいずれか一項に記載の暗号法。
9. 第２のステップ(23)は、プルーフの第１の要素と、前記共通数が添付されるデジタルメッセージMとに基づいて、少なくとも１つの共通数を生成する第１のエンティティ(A)により実行されることを特徴とする請求項２から７のいずれか一項に記載の暗号法。
10. 第５のステップ(17)において、プルーフxの第１の要素が、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積に等しいときに、一致が検証されることを特徴とする請求項４に記載の暗号法。
11. 第５のステップ(22)において、プルーフの第１の要素が、プルーフの第１の要素が添付されるデジタルメッセージMおよび指数が第３の整数eであるプルーフYの第２の要素の累乗と指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗のnを法とする積の関数に等しいときに一致が検証されることを特徴とする請求項４に記載の暗号法。
12. 第５のステップ(8)において、共通数が、デジタルメッセージMと、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積の関数に等しい場合に、一致が検証されることを特徴とする請求項４に記載の暗号法。
13. プルーフの第１の要素は、前記公開鍵に含まれる場合もあれば含まれない場合もあり、その指数が第１の乱数rである第１の整数Gの、nを法とする累乗に等しいことを特徴とする請求項３に記載の暗号法。
14. 第１の整数Gおよび第４の公開鍵整数vは、公式
    G=g^e modulo n
    v=G^-s modulo n
    で与えられ、この等式は、公式
    x=Y^ev^c modulo n
    によって検証されることを特徴とする請求項１３に記載の暗号法。
15. 第４の公開鍵整数vは、公式
    G=g^e modulo n
    v=G^s(modulo n)
    で与えられ、この等式は、公式
    Y^e=v^cx modulo n
    によって検証されることを特徴とする請求項１３に記載の暗号法。
16. 第１の公開鍵整数Gおよび第４の公開鍵整数vは、それぞれ、公式
    G=g^-e modulo n
    v=G^-s modulo n
    で与えられ、この等式は、公式Y^ex=v^e modulo nによって検証されることを特徴とする請求項１３に記載の暗号法。
17. 暗号法であって、
    − 第２のステップにおいて、２つの共通数aおよびbはプルーフxの第１の要素に関して生成され、
    − 第３のステップにおいて、一次結合は、公式
    y=ar+bs
    によって与えられ、
    − 第５のステップにおいて、一致は、等式
    Y^ev^b=x^a modulo n
    によって検証されることを特徴とする請求項１３に記載の暗号法。
18. 秘密鍵が複数の秘密数s1、s2、...を含む場合、
    − 第２のステップにおいて、同じ数の共通数c1、c2、...が、プルーフxの第１の要素に関して生成され、
    − 第３のステップにおいて、一次結合は、公式
    y=r+c1s1+c2s2+...
    によって与えられ、
    − 第５のステップにおいて、一致は、同じ数の第４の公開鍵整数v1、v2、...により、等式
    Y^ev1^c1v2^c2...=x modulo n
    を使って検証されることを特徴とする請求項１３に記載の暗号法。
19. 公開鍵が特に、第１のエンティティ(A)からその素数が知られている法nを含む場合、第１のステップは中国の剰余定理と呼ばれる手法を使用することにより高速化されることを特徴とする請求項３に記載の暗号法。
20. 公開鍵は、第２のステップでこの方法を開始するために、プルーフxの第１の要素のあらかじめ計算された少なくとも１つの値を含むことを特徴とする請求項２に記載の暗号法。
21. 公開鍵は、プルーフxの第１の要素のk個のあらかじめ計算された値を含み、第２のステップから第５のステップまでの実行を、繰り返し毎にプルーフの第１の要素の異なる値を使ってk回繰り返すことを特徴とする請求項２０に記載の暗号法。
22. プルーフの第１の要素は、前記公開鍵に含まれる場合も含まれない場合もあり、その指数は第１の乱数rである、第１の整数Gの、nを法とする累乗の関数fに等しく、第５のステップの検証をこの関数の結果に基づいて行うことを特徴とする請求項２に記載の暗号法。
23. プルーフを生成するための、秘密にされ侵入者に対する保護処置が講じられている秘密鍵を与えられた証明者デバイスであって、前記秘密鍵に関連付けられている公開鍵を使用してその検証を行うことで、デバイス(30)が前記プルーフの発信元であることを保証することが可能であり、
    − デバイス(30)内に秘密にされている第１の乱数に基づいて、プルーフの第１の要素を生成し、第１の乱数を持った少なくとも第１の秘密鍵整数と、プルーフの第１の要素に関連付けられている複数の共通数のうち少なくとも１つとを組み合わせることにより、前記秘密鍵のイメージを生成し、かつ、
    前記公開鍵の第１の部分をプルーフの第２の要素に適用し、前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用することにより、オープンデジタル処理オペレーションを、プルーフの第１の要素とプルーフの第２の要素との一致を検証することを可能にする前記秘密鍵イメージに適用することによって、プルーフの第２の要素を生成することが可能であるように設計されている計算手段(37)と、
    − プルーフの少なくとも前記第１の要素を伝送するように設計されている通信手段(34)を備えることを特徴とする証明者デバイス。
24. 証明者デバイス(30)であって、
    − 一方で、計算手段(37)は、秘密にされている秘密鍵に含まれる第１の整数sよりもかなり大きい第１の乱数rを生成し、第１の乱数rを指数として前記公開鍵に含まれている場合もいない場合もある第１の整数Gの、nを法とする累乗を計算することによりプルーフの第１の要素を生成するように設計され、
    − 他方で、計算手段(37)は、第１の乱数rと少なくとも第１の秘密鍵整数sの一次結合により前記秘密鍵のイメージyを生成し、前記一次結合の少なくとも１つの乗法的係数は前記共通数または前記共通数のうちの１つであるように設計されることを特徴とする請求項２３に記載の証明者デバイス。
25. 通信手段(34)は、プルーフの第１の要素を伝送した後に前記共通数を受信するように設計されていることを特徴とする請求項２３または２４のいずれか一項に記載の証明者デバイス(30)。
26. 通信手段(34)は、秘密鍵イメージを伝送するように設計されていることを特徴とする請求項２３から２５のいずれか一項に記載の証明者デバイス(30)。
27. 通信手段(37)は、プルーフの第２の要素を生成するように設計されていることを特徴とする請求項２３から２５のいずれか一項に記載の証明者デバイス(30)。
28. 証明者デバイス(30)であって、
    計算手段(37)は、イメージyを、イメージyを表すデータワードの下位ビットにより表される第１の部分イメージy'と、データワードの残りの上位ビットにより表される第２の部分イメージy"とに分解し、また第１のコンポーネントY'とプルーフの第２の要素の第２のコンポーネントg'を生成し、前記コンポーネントでは以下が成り立ち、
    

    

    ただし、gは、第１の公開鍵整数Gが前記公開鍵に含まれる第３の整数eを指数とする第２の整数gのnを法とする累乗となるような第２の整数であり、
    通信手段(34)は、第１のコンポーネントY'、第２のコンポーネントg'、および第２の部分イメージy"を伝送するように設計されることを特徴とする請求項２４から２５のいずれか一項に記載の証明者デバイス(30)。
29. 計算手段(37)は、プルーフの第１の要素と前記共通数が添付されるデジタルメッセージMとに基づいて、少なくとも１つの共通数を生成するように設計されていることを特徴とする請求項２３および２４のいずれか一項に記載の証明者デバイス(30)。
30. 計算手段(37)は、前記公開鍵に含まれる場合も含まれない場合もあり、指数は第１の乱数rである、第１の整数Gの、nを法とする累乗を計算することによりプルーフの第１の要素を生成するように設計されていることを特徴とする請求項２３に記載の証明者デバイス(30)。
31. 第１の公開鍵整数Gおよび第４の公開鍵整数vは、それぞれ、公式
    G=g^e modulo n
    v=G^-s modulo n
    によって与えられることを特徴とする請求項３０に記載の証明者デバイス(30)。
32. 第１の公開鍵整数Gおよび第４の公開鍵整数vは、それぞれ、公式
    G=g^e modulo n
    v=G^s modulo n
    によって与えられることを特徴とする請求項３０に記載の証明者デバイス(30)。
33. 第１の公開鍵整数Gおよび第４の公開鍵整数vは、それぞれ、公式
    G=g^-e modulo n
    v=G^-s modulo n
    によって与えられることを特徴とする請求項３０に記載の証明者デバイス(30)。
34. 計算手段は、公式
    y=ar+bs
    により、２つの共通数aおよびbの一次結合により秘密鍵イメージyを生成するように設計されていることを特徴とする請求項３０に記載の証明者デバイス(30)。
35. 秘密鍵が複数の秘密数s1、s2、...を含む場合、
    計算手段(37)は、プルーフxの第１の要素に関連付けられている同じ数の共通数c1、c2を生成するように設計され、
    計算手段(37)は、公式
    y=r+c1s1+c2s2+...
    による一次結合により秘密鍵イメージを生成するように設計されていることを特徴とする請求項３０に記載の証明者デバイス(30)。
36. 公開鍵が、特に証明者デバイス内で素数が秘密にされる法nを含む場合、計算手段(37)は、中国の剰余定理と呼ばれる手法を使用して指数計算をするように設計されていることを特徴とする請求項２４に記載の証明者デバイス(30)。
37. 公開鍵が、プルーフxの第１の要素のk個のあらかじめ計算された値を含む場合、計算手段(37)は、繰り返し毎にプルーフの第１の要素の異なる値で各実行をk回繰り返すように設計されていることを特徴とする請求項２３に記載の証明者デバイス(30)。
38. プルーフの第１の要素は、前記公開鍵に含まれる場合も含まれない場合もあり、その指数が第１の乱数rである、第１の整数Gの、nを法とする累乗の関数fに等しいことを特徴とする請求項２３に記載のプルーフ証デバイス(30)。
39. 前記秘密鍵に関連付けられている公開鍵を使用して、証明者デバイスにより秘密にされている秘密鍵が与えられた証明者デバイスによりプルーフが発行されたことを検証するための検証者デバイス(31)であって、
    プルーフの第１の要素とプルーフの第２の要素とを受け取るように設計されている通信手段(35)と、
    前記公開鍵の第１の部分を、プルーフの第２の要素に適用し、また前記公開鍵の少なくとも第２の部分を、プルーフの第１の要素に関連して生成された複数の共通数のうち少なくとも１つに適用することにより、プルーフの第１の要素とプルーフの第２の要素との一致を検証するように設計されている計算手段(38)と
    を備えることを特徴とする検証者デバイス(31)。
40. 計算手段(38)は、プルーフの第１の要素が、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである第４の整数vの累乗との、nを法とする積と一致することを検証し、第３の整数および第４の整数は前記公開鍵に含まれるように設計されていることを特徴とする請求項３９に記載の検証者デバイス(31)。
41. 計算手段(38)は、プルーフの第１の要素を受信した後に、セキュリティ間隔の範囲内の少なくとも１つの共通数を選択するように設計され、また通信手段(35)は、前記共通数を伝送するように設計されていることを特徴とする請求項３９または４０に記載の検証者デバイス(31)。
42. 計算手段(38)は、プルーフxの第１の要素が、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積に等しいときに、一致が検証されたと宣言するように設計されていることを特徴とする請求項４０に記載の検証者デバイス(31)。
43. 計算手段(38)は、プルーフの第１の要素が、プルーフの第１の要素が添付されるデジタルメッセージM、および、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積の関数に等しいときに、一致が検証されたと宣言するように設計されていることを特徴とする請求項４０に記載の検証者デバイス(31)。
44. 計算手段(38)は、共通数がデジタルメッセージM、および、その指数が第３の整数eであるプルーフYの第２の要素の累乗と、その指数が前記共通数cである前記公開鍵に含まれる第４の整数vの累乗との、nを法とする積の関数に等しい場合に、一致が検証されたと宣言するように設計されていることを特徴とする請求項４０に記載の検証者デバイス(31)。
45. 等式は、公式
    x=Y^ev^c modulo n
    によって検証されることを特徴とする請求項４２に記載の検証者デバイス(31)。
46. 等式は、公式
    Y_e=v^cx modulo n
    によって検証されることを特徴とする請求項４２に記載の検証者デバイス(31)。
47. 等式は、公式
    Y^ex=v^c modulo n
    によって検証されることを特徴とする請求項４２に記載の検証者デバイス(31)。
48. 一致は、等式
    Y^ev^b=x^a modulo n
    によって検証されることを特徴とする請求項４２に記載の検証者デバイス(31)。
49. 秘密鍵が複数の秘密数s1、s2、...を含む場合、
    計算手段(38)は、プルーフxの第１の要素に対する、同じ数の共通数c1、c2、...を選択するように設計され、
    計算手段(38)は、等式
    Y^ev1^c2V2^c2...=x modulo n
    を使って、同じ数の第４の公開鍵整数v1、v2、...により一致を検証するように設計されていることを特徴とする請求項４１に記載の検証者デバイス(31)。
50. 計算手段(38)は、メモリ内に、公開鍵の一部としてみなされるプルーフxの第１の要素の少なくとも１つのあらかじめ計算された値を備えることを特徴とする請求項３９に記載の検証者デバイス(31)。
51. 計算手段(38)は、メモリ内に、プルーフxの第１の要素のk個のあらかじめ計算された値を備え、通信手段は、プルーフのk個の第２の要素を受信するように設計されており、計算手段(38)は、受信されたプルーフのそれぞれの第２の要素と、プルーフの第１の要素の異なる値との一致を検証するように設計されていることを特徴とする請求項５０に記載の検証者デバイス(31)。
52. プルーフの第１の要素が、前記公開鍵に含まれる場合も含まれない場合もある、その指数が第１の乱数rである、第１の整数Gの、nを法とする累乗の関数fに等しい場合に、計算手段(38)は、この関数の結果に基づいて検証を実行するように設計されていることを特徴とする請求項４０に記載の検証者デバイス(31)。
53. 証明者デバイスにより秘密にされている秘密鍵に基づきプルーフを生成する目的のため証明者デバイスの下流に導入される媒介デバイス(32)であって、前記プルーフは、前記秘密鍵に関連付けられている公開鍵により検証可能であり、前記秘密鍵のイメージのオープンデジタル処理によりプルーフの少なくとも１つの要素を生成するための計算手段(39)を含み、前記秘密鍵イメージでは前記秘密鍵を元に戻すことができないことを特徴とする媒介デバイス(32)。
54. 前記秘密鍵イメージyを受信するように設計されている通信手段(36)を備えることを特徴とする請求項５３に記載の媒介デバイス(32)。
55. 計算手段(39)は、その指数が秘密鍵イメージyである前記公開鍵に含まれる第２の整数gの、nを法とする累乗を計算することによりプルーフYの第２の要素を生成するように設計されていることを特徴とする請求項５４に記載の媒介デバイス(32)。
56. 秘密鍵の第１の部分イメージy'、第１のコンポーネントY'、およびプルーフの第２の要素の第２のコンポーネントg'を受信するように設計されている通信手段(36)を備え、計算手段(39)は、第２の部分イメージy"を指数とする第２のコンポーネントg'の累乗を第１のコンポーネントY'に掛けることにより、プルーフYの第２の要素を生成するように設計されていることを特徴とする請求項５３に記載の媒介デバイス(32)。
57. 通信手段(36)は、プルーフYの第２の要素を検証者デバイスに伝送するように設計されていることを特徴とする請求項５５または５６のいずれか一項に記載の媒介デバイス(32)。