JP2008519303A - 双線形アプリケーションの計算の安全化された委託方法 - Google Patents

Abstract

【課題】双線形関数の使用に基づく暗号化方法の有効な統合を可能にすると同時に、それらの使用と両立する最大のセキュリティを保証する手段を提案する。
【解決手段】二つの暗号パラメータａおよびｂを選択し、数Ｘ^aおよびＹ^bを計算し、計算サーバに二つの数Ｘ^aおよびＹ^bを提供し、前記サーバによってｆ（Ｘ^a，Ｙ^b）の計算を実行し、計算サーバからｆ（Ｘ^a，Ｙ^b）の数値を受け、ｆ（Ｘ^a，Ｙ^b）の第ａｂ乗根を抽出する。不正行為に対する保護暗号化方法に利用される。

Description

本発明は、計算サーバでの双線形アプリケーション（ａｐｐｌｉｃｔｉｏｎ ｂｉｌｉｎｅａｉｒｅ）の数値ｆ（Ｘ，Ｙ）の計算の安全化された委託方法に関するものである。本発明は、同様に、所定の数値との双線形アプリケーションの数値ｆ（Ｘ，Ｙ）の等しさの安全化された確認方法、および、双線形アプリケーションの二つの数値ｆ（Ｘ，Ｙ）とｆ（Ｚ，Ｔ）との間の等しさの安全化された確認方法に関するものである。

より一般的には、本発明は、暗号の分野、そしてより詳細には、チップと銀行業務のアプリケーションとの間のトランザクションにおける電子チップなどのようなサポート、または携帯電話のＳＩＭカードの電子チップの不正行為に対する保護暗号化方法に関するものである。

本発明は、現在のところ計算時間がかかりすぎると判断されている双線形関数を含む方法などの新たな暗号化方法の使用に特に好ましい用途がある。

現在、チップカードは様々なタイプの不正行為を受けることがある。

第一のタイプの不正行為は、許可なくカードを複製することからなり、この作業を特徴付けるために、しばしば「クローン作成」という語が使用される。

第二のタイプの不正行為は、カードに添付されたデータ、特にカードのメモリに書き込まれた預金の金額を変更することからなる。

これらの不正行為と戦うために、暗号を使用して、一方では、認証アルゴリズムを用いることによってカードの認証をおよび／またはデジタル署名によってデータの認証を確実にし、他方では、場合によっては、暗号化を用いることによってデータの機密保持性を確実にする。

暗号法は、認証の場合には検査用のエンティティと認証すべきオブジェクトである二つのエンティティを使用する。暗号法は、対称でも非対称でもよい。

暗号鍵とも呼ばれる対称暗号法の場合、二つのエンティティは同一の情報を、特に前記暗号鍵を正確に共有している。

非対称、または公開鍵暗号法に関するものであるときは、エンティティの一つである認証すべきエンティティは、その一つは秘密鍵であり、もう一つは公開鍵である一対の鍵を有している。従って、共有される暗号鍵はない。

対称暗号法で開発された最初の認証メカニズムは、各カードによって異なる認証値を最終的に計算し、それをカードのメモリに記憶し、トランザクション毎にそれを読み出し、トランザクションを支持するネットワークのアプリケーションに質問することで確認することからなり、これにおいて既に割り当てられた認証値は記憶または再計算される。しかしながら、これらのメカニズムが保証する保護は不十分であり、それは認証値が所定のカードについて常に同一である限り認証値を不正に探り、復元し、および再度働かせることができ、このようにして、カードのクローンを作製することが可能であるためである。クローンと戦うために、受動的なカードの認証メカニズムは、さらにデータの整合性を確認することができる能動的な認証メカニズムに取り替えられる。

対称な能動的認証メカニズムの一般的な原理は、下記の通りである。認証のとき、電子チップおよびアプリケーションは、各認証について決定されたアーギュメントリストに適用された関数の結果である認証値を計算する。このアーギュメントリストは、各認証へのアプリケーションによって定義される偶然性（ａｌｅａ）、電子チップに内蔵されたデータおよび電子チップとアプリケーションに知られた暗号鍵を含むことがある。電子チップによって計算された認証値がアプリケーションによって計算された認証値と同一であるとき、電子チップは真正であると判断され、チップとアプリケーションとの間のトランザクションが許可される。

しかしながら、暗号鍵メカニズムでは、公衆電話網、電子支払端末または公共交通の改札などに存在する装置のようなチップの認証を行う確認装置が前記チップによって保持されている暗号鍵を知っていることが必要となる。このことにより大きな欠点が生じることになり、すなわち、前記装置がアプリケーションと関連して発行されたすべてのチップの認証ができることを望むのであれば、装置は全てのチップの暗号鍵を記憶するか、または、いかなるチップの暗号鍵も見つけることができる母鍵またはマスターキーと呼ばれる基本の鍵を記憶していなければならない。どちらの場合においても、これらの装置の各々は、発行された全てのチップの暗号鍵を見つけることができるように十分な情報を記憶しており、従って、それらの中のどれでもクローンを作製できる十分な情報を記憶している。その結果、確認装置のいずれかへの侵入が成功すると、アプリケーションのセキュリティがその全体で無効になることになる。

従って、公開鍵暗号法に基づく解決方法は暗号鍵メカニズムよりも好ましいことがある。そこで、公開鍵による認証メカニズムの作動原理は下記のとおりである。認証されようとするチップは、その公開鍵に組み合わされたその暗号鍵、および、場合によっては可能性のあるランダムなパラメータによる数値を計算する。次に、アプリケーションは、チップの暗号鍵を知ることを必要とせずに、チップによって計算された数値との一致を確認する。暗号ではない他のパラメータと同様に、チップの公開鍵の使用だけが必要となる。

そのようなメカニズムを実現することができる最もよく知られている解決方法は、通常、因数分解または離散対数などの解くのが難しい数学的な問題に基づくものである。さらに、これらの問題はそのべき乗剰余の計算、すなわち、Ｘ^e ｍｏｄ ｎ型の計算の実施において生じるものであり、これにおいてｍｏｄは、ｍｏｄｕｌａｒ ｒｅｄｕｃｔｉｏｎの数学関数に対応する。この型の計算は、先験的に、計算力の前提なしに、穏当な時間内で実施できる最も複雑な作業である。

数年来、数学者には周知の双線形アプリケーションが、暗号法の分野に出現していた。

例えば、Ｇ₁、Ｇ₂およびＧは巡回群である、全体としてＧにおけるＧ₁×Ｇ₂で定義されるアプリケーションｆについて考えてみよう。ｇ₁およびｇ₂は各々Ｇ₁およびＧ₂の生成元であるため、下記の式のとおりであるならば、アプリケーションｆはＧにおけるＧ₁×Ｇ₂の双線形と言われる。

（数１）
ｆ（ｇ₁ ^a，ｇ₂ ^b）＝［ｆ（ｇ₁，ｇ₂）］^ab

しかしながら、双線形アプリケーションに関する現在の問題は、それらの算出が極めて容量が大きく、例えばべき乗剰余指数の計算中に発生するものよりもかなり複雑な計算を生成するということにある。従って、現在のところ、考案されたアプリケーションの範囲内でそのような計算を実行することは不可能である。

また、本発明の目的によって解決すべき技術的な問題は、計算の複雑さに関する困難にもかかわらず、双線形関数の使用に基づく暗号化方法の有効な統合を可能にすると同時に、それらの使用と両立する最大のセキュリティ度合いを保証する手段を提案することである。

本発明によると、提案された技術的な問題の解決法は、計算サーバにおける双線形アプリケーションの数値ｆ（Ｘ，Ｙ）の計算の安全化された委託方法であり、前記方法は下記のように、
‐二つの暗号パラメータａおよびｂを選択し、
‐数Ｘ^aおよびＹ^bを計算し、
‐計算サーバに二つの数Ｘ^aおよびＹ^bを提供し、
‐前記サーバによってｆ（Ｘ^a，Ｙ^b）の計算を実行し、
‐計算サーバからｆ（Ｘ^a，Ｙ^b）の数値を受け、
‐ｆ（Ｘ^a，Ｙ^b）の第ａｂ乗根を抽出する
段階からなるものである。

従って、本発明は、例えば双線形関数ｆ（Ｘ，Ｙ）の計算を含む認証暗号化方法に関与するエンティティが大きな計算力を付与されているという唯一の属性を有する計算サーバと通信し、このサーバに関する他のいかなる属性も、特にそのセキュリティレベルを想定する必要がないことを仮定する。実際、暗号法に双線形関数の使用を可能にする利点以上に、本発明にかなった方法によって、また、交換されたデータを安全にし、得られた結果における信頼性を高めることを可能にするが、これは計算サーバのクライアントのエンティティだけに知られている暗号パラメータを使用することによるものである。

一般的に、計算サーバに頼っている前記エンティティは一様に認証を行うべきエンティティまたは検査エンティティであり得ることを示すことが重要である。

従って、本発明は、サーバに双線形関数を含む計算の大部分を委託し、もし悪意のある人物が組み合わされた暗号鍵を知らず、公開鍵だけを使用し、そして計算サーバを全体的に制御して、第三者のＩＤを横取りしようとしたとき、そのような人物が成功する確率はきわめて低いという意味において、前記サーバによって戻された結果のセキュリティを確保するという効果がある。

本発明による委託方法は、二つの特定の状況に適用されるのが好ましい。

第一の状況は、計算サーバにおける安全化された委託による、所定の数値ｕとの双線形アプリケーションの数値ｆ（Ｘ，Ｙ）の等しさの確認方法であり、本発明によると、前記方法は下記のように、
‐二つの暗号パラメータａおよびｂを選択し、
‐数Ｘ^aおよびＹ^bを計算し、
‐計算サーバに二つの数Ｘ^aおよびＹ^bを提供し、
‐前記サーバによってｆ（Ｘ^a，Ｙ^b）の計算を実行し、
‐計算サーバからｆ（Ｘ^a，Ｙ^b）の数値を受け、
‐ｆ（Ｘ^a，Ｙ^b）^pの数値を数ｕ^qと比較し、数ｐおよびｑは等式ａｂｐ＝ｑであることを確認する
段階からなるものである。

以下の署名メカニズムによって、所定の数値との双線形アプリケーションの数値の等しさの、この確認方法を示すことができる。

メッセージｍの署名者は、例えば、三つの数ｇ₁∈Ｇ₁、ｇ₂∈Ｇ₂およびｖ＝ｇ₂ ^xによって決定される公開鍵を使用するが、ｘは署名者の秘密鍵である。メッセージの受取人である検査エンティティは、公開鍵を構成する三つの数を知っているが、秘密鍵は知らない。

メッセージの署名者は、偶然に数ｒを引き出し、下記の式によって与えられる数σを計算する。

（数２）
σ＝ｇ₁ｅｘｐ（ｍ＋ｒｘ）‐¹

次に、署名者は、一組の数｛σ，ｒ｝をメッセージの受取人に送る。

メッセージの正当性、すなわち、その内容の整合性と差出人のＩＤを確認するために、受取人は下記の等式を検査するが、これにおいてｆは双線形関数である。

（数３）
ｆ（σ，ｇ₂ ^mｖ^r）＝ｆ（ｇ₁，ｇ₂）

この等式は、実際、左辺のアーギュメントの定義と上述された双線形関数の特性の使用から生じる。

右辺のアーギュメントは事前に受取人に知られているため、受取人は計算サーバによって最終的に双線形関数に対応する計算を実行させることができる。従って、ｆ（ｇ₁，ｇ₂）は、公知の所定の数ｕに等しい。

従って、検査メカニズムは、数量ｆ（σ，ｇ₂ ^mｖ^r）のサーバによる計算を含む。このため、検査エンティティ、ここでは、メッセージの受取人は二つの数ａおよびｂを選択し、σ^aおよびｇ₂ ^bmｖ^brを計算し、それをサーバに転送し、サーバは定義によってｆ（σ、ｇ₂ ^mｖ^r）^abに相当する数値ｆ（σ^a，ｇ₂ ^bmｖ^br）を戻す。よって、検査エンティティは、計算サーバによってそれに戻された数がｕ^abに等しいことを確認するだけでよく、それは、等価の別の形式はいずれも［ｆ（σ^a，ｇ₂ ^bmｖ^br）］^pをｕ^qと比較し、これにおいてａｂｐ＝ｑとなる。

この場合、三つの数値、例えば、σ^a，ｇ₂ ^bmｖ^brおよびｕ^abを検査エンティティによって計算しなければならないことが確かめられる。

考察した検査等式によると、パラメータａまたはｂの一つは１に等しく選択されることがあり、実行される計算の数が少なくなる。

本発明による計算の委託方法のアプリケーションの第二の状況は、計算サーバにおける安全化された委託による、双線形アプリケーションの二つの数値ｆ（Ｘ，Ｙ）およびｆ（Ｚ，Ｔ）間の等しさの確認方法であり、本発明によると、前記方法は下記のように、
‐四つの暗号パラメータａ、ｂ、ｃおよびｄを選択し、
‐数Ｘ^a、Ｙ^b、Ｚ^cおよびＴ^dを計算し、
‐計算サーバに四つの数Ｘ^a、Ｙ^b、Ｚ^cおよびＴ^dを提供し、
‐前記サーバによってｆ（Ｘ^a，Ｙ^b）およびｆ（Ｚ^c，Ｔ^d）の計算を実行し、
‐計算サーバからｆ（Ｘ^a，Ｙ^b）およびｆ（Ｚ^c，Ｔ^d）の数値を受け、
‐［ｆ（Ｘ^a，Ｙ^b）］^pおよび［ｆ（Ｚ^c，Ｔ^d）］^qの数値を比較し、数ｐおよびｑは等式ａｂｐ＝ｃｄｑであることを確認する
段階からなるものである。

以下の署名メカニズムは、双線形アプリケーションの二つの数値間の等しさの安全化されたこの確認方法の説明的な実施例を示すものである。

この実施例では、記載を単純にするために、考察する双線形関数のアーギュメントはすべて同一の巡回群Ｇに属するものと仮定する。

メッセージｍの署名者の公開鍵は、また同じ巡回群Ｇに属する数ｇ∈Ｇおよび数ｖ＝ｇ^xを含み、ｘは署名者の秘密鍵である。

署名者は、ハッシュ関数ｈを使用するが、それはメッセージｍにＧ群の要素を組み合わせ、ｈ（ｍ）と表記される。このハッシュ関数は、メッセージｍの認証を実行する役目の受取人と共有される。

そのとき、署名者はメッセージｍおよび署名σ＝ｈ（ｍ）^xを受取人に送る。メッセージを認証するため、受取人は下記の等式を確認する。

（数４）
ｆ（σ，ｇ）＝ｆ（ｈ（ｍ），ｖ）

上述のように、この等式は、アーギュメントの定義と双線形関数の特性から生じる。

上述の等式の各辺の計算は、下記のように、検査エンティティによって計算サーバーに委託される。

左辺に関して、検査エンティティは、二つの暗号パラメータａおよびｂを選択し、σ^aおよびｇ^bを計算し、それらをサーバに送り、サーバはｆ（σ^a，ｇ^b）＝［ｆ（σ，ｇ）］^abを戻す。

同様に、右辺に関して、検査エンティティは、別の暗号パラメータｃおよびｄを選択し、ｈ（ｍ）^cおよびｖ^dを計算し、これらの数値をサーバに送り、サーバはｆ（ｈ（ｍ）^c，ｖ^d）＝［ｆ（ｈ（ｍ），ｖ）］^cdを戻す。

このとき、検査エンティティは、下記の式のとおりであるか、

（数５）
［ｆ（σ^a，ｇ^b）］^cd＝［ｆ（ｈ（ｍ）^c，ｖ^d）］^ab

より一般的には、下記の関係式を確認しなければならない。

（数６）
［ｆ（σ^a，ｇ^b）］^p＝［ｆ（ｈ（ｍ）^c，ｖ^d）］^q
これにおいてａｂｐ＝ｃｄｑである。

この場合、検査エンティティは、六つの数値、すなわち、σ^a、ｇ^b、ｈ（ｍ）^cとｖ^d、および、［ｆ（σ^a，ｇ^b）］^cdと［ｆ（ｈ（ｍ）^c，ｖ^d）］^abを計算しなければならない。

そこでもまた、ａ、ｂ、ｃおよびｄの暗号パラメータのいくつかを１に等しく選択することができる。

本発明は、また、本発明による方法の実行のためのコンピュータプログラムを記憶するサポートに関するものである。

さらに、本発明は、好ましくは、前記サポートへの不正行為に対する保護、特に電子チップと銀行業務のアプリケーション間のトランザクションのセキュリティ、および携帯電話のＳＩＭカードの電子チップのセキュリティに利用される。この後者の場合、そのサポートが携帯電話に組み込まれていることを予想することができる。

Claims (9)

1. 双線形アプリケーションの数値ｆ（Ｘ，Ｙ）のエンティティによる計算を含むメカニズムに関与するエンティティによって安全化された計算委託方法であり、前記方法は、
   前記エンティティが、
   ‐二つの暗号パラメータａおよびｂを選択し、
   ‐数Ｘ^aおよびＹ^bを計算し、
   ‐計算サーバに二つの数Ｘ^aおよびＹ^bを提供し、
   前記計算サーバが、
   ‐ｆ（Ｘ^a，Ｙ^b）の計算を実行し、
   ‐前記エンティティにｆ（Ｘ^a，Ｙ^b）の数値を提供し、
   そして、前記エンティティが、
   ‐ｆ（Ｘ^a，Ｙ^b）の第ａｂ乗根を抽出する
   段階からなることを特徴とする、エンティティによって安全化された計算委託方法。
2. エンティティによる所定の数値ｕと、双線形アプリケーションの数値ｆ（Ｘ，Ｙ）との等しさの確認を含むメカニズムに関与するエンティティによる確認方法であり、前記方法は下記のように、
   前記エンティティが、
   ‐二つの暗号パラメータａおよびｂを選択し、
   ‐数Ｘ^aおよびＹ^bを計算し、
   ‐計算サーバに二つの数Ｘ^aおよびＹ^bを提供し、
   前記計算サーバが、
   ‐ｆ（Ｘ^a，Ｙ^b）の計算を実行し、
   ‐前記エンティティにｆ（Ｘ^a，Ｙ^b）の数値を提供し、
   そして、前記エンティティが、
   ‐ｆ（Ｘ^a，Ｙ^b）^pの数値を数ｕ^qと比較し、数ｐおよびｑは等式ａｂｐ＝ｑであることを確認する
   段階からなることを特徴とする、エンティティによる確認方法。
3. エンティティによる双線形アプリケーションの二つの数値ｆ（Ｘ，Ｙ）およびｆ（Ｚ，Ｔ）間の等しさの確認を含むメカニズムに関与するエンティティによる確認方法であり、前記方法は、
   前記エンティティが、
   ‐四つの暗号パラメータａ、ｂ、ｃおよびｄを選択し、
   ‐数Ｘ^a、Ｙ^b、Ｚ^cおよびＴ^dを計算し、
   ‐計算サーバに四つの数Ｘ^a、Ｙ^b、Ｚ^cおよびＴ^dを提供し、
   前記計算サーバが、
   ‐ｆ（Ｘ^a，Ｙ^b）およびｆ（Ｚ^c，Ｔ^d）の計算を実行し、
   ‐前記エンティティにｆ（Ｘ^a，Ｙ^b）およびｆ（Ｚ^c，Ｔ^d）の数値を提供し、
   前記エンティティが、
   ‐［ｆ（Ｘ^a，Ｙ^b）］^pと［ｆ（Ｚ^c，Ｔ^d）］^qとを比較し、数ｐおよびｑは等式ａｂｐ＝ｃｄｑであることを確認する
   段階からなることを特徴とする、エンティティによる確認方法。
4. 暗号パラメータの少なくとも一つが１に等しいことを特徴とする、請求項１〜３のいずれか一つに記載の方法。
5. 請求項１〜４のいずれか一つに記載の方法を実行するためのコンピュータプログラムを記憶するサポート。
6. 請求項５に記載のサポートへの不正行為に対する保護への、請求項１〜４のいずれか一つに記載の方法の利用。
7. 電子チップと銀行業務のアプリケーションとの間のトランザクションのセキュリティへの、請求項６に従った利用。
8. 携帯電話のＳＩＭカードの電子チップのセキュリティへの、請求項６に従った利用。
9. 前記サポートが携帯電話に組み込まれていることを特徴とする、請求項８に従った利用。