JP2009212725A - 共有情報の不正使用を検出し予防する情報システム - Google Patents

Abstract

【課題】共有情報の不正使用の検出及び予防が可能で、共有情報の使い回しを回避可能な情報システムを提供する。
【解決手段】自然乱数源が自然乱数を与え、乱数合成部が、被認証体からＩＤ及び予め共有された情報Ｋ２を読み取って被認証体を認証する際に、予め共有された情報と自然乱数とから乱数を合成し、被認証体が有する予め共有された情報を合成した乱数に書き換えることにより、合成した乱数を被認証体の次の認証のための情報Ｋ１、Ｋ２として、被認証体と予め共有し、因果列生成部が、予め共有された情報と予め共有する情報とを順序付けし、ＩＤに関係付けて保有することにより、因果の唯一性を体現した因果列を生成し、不正使用検出部が因果列の因果の唯一性を、乱数合成部により読み取られたＩＤ及び予め共有された情報の組に照らして監視することにより、ＩＤ及び予め共有された情報の組に関し予め共有された情報Ｋ１，Ｋ２の不正使用を検出する。
【選択図】図３

Description

本発明は、識別番号（以下「ＩＤ」と呼ぶ。）が登録された被認証体と予め情報が共有される情報システムであって、そのＩＤ及び共有された情報を用いて、そのＩＤ及び共有された情報を有する被認証体を認証することにより、認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムに関し、特に、共有された情報の不正な使用を検出し、また共有された情報の不正な使用を予防する情報システムに関する。

情報システムは、通常、暗号と呼ばれる情報を被認証体と秘密に共有する。

そこで、暗号の歴史を返り見るに、かつては、暗号の仕組みを内緒にして第三者に読ませないための工夫がなされていた。

その後、計算機の発展に伴い、暗号の仕組みを公開し、平文を暗号文に変えた情報を鍵として秘密に共有する方式が主流となり、現在に至っている（非特許文献１、２参照）。
ＲＦＣ(request for comments) １７６０：ｓ／ｋキー ＲＦＣ(request for comments) １９３８：ＯＴＰ しかしながら、こうした方式は、多少でも共有情報が漏れると、現実的な計算量で暗号文が平文に化してしまう虞がある。つまり、共有情報の漏れは暗号の命取りとなり、特に、認証のために秘密に共有された情報は、それが漏れると、いわゆる成り済ましに安全な成功を約束する下地と成りかねない。

しかるに、成り済ましを検出し或いは未然に防ぐ技術はまだ公開されておらず、少なくも市場で実用的な技術に出遭うことは適わない。

例えば、パスワードの類或いは生体情報は従来の情報システムの認証用サーバが特定の被認証体と共有する認証情報であるが、そうした情報を複数の被認証体が共有している場合、言い換えれば、従来の情報システムにクローンが紛れ込んだときには、システムのログを精査しても、正規の被認証体とクローンとを識別する手だてが無く、従って、共有情報を不正に使用した犯罪者は、或る意味、常に安全であり、一方、正直者が何かと疑われることにもなる。

つまり、従来の情報システムは、共有情報の不正使用に気付くことができず、その意味で、犯罪者は常に安全であり、正直者が疑われる。

こうしたことは、従来の情報システムが、共有情報若しくは鍵の漏洩又は流出を防止する謂ば「守りのセキュリテイ」をシステムの構築の規範としていることに起因し、この点、守りの技術は、犯罪者にとって何ら脅威とならず、いつかは破られる。

なお、従来の情報システムは、過去の一時点で共有した情報を使い回す（非特許文献１、非特許文献２参照）ことから、その間に共有情報が漏れやすいという懸念もある。

本発明は、以上の点に鑑み為されたもので、その目的は、共有情報の不正使用の検出及び予防が可能な「攻めのセキュリテイ」をシステム構築の規範とし、また共有情報の使い回しを回避可能な情報システムを提供することにある。

この点、本発明者らは、攻めのセキュリテイの本質が、共有情報の不正使用を見過ごさずに、検出し、犯人の足取りに関する捜査情報を集めることにあると考えた。また、これにより犯罪を企図する者に脅威を与えるだけでなく、共有情報の正規な使用を促すことによっても、共有情報の不正使用を未然に防ぐことが可能であると考えた。

上記課題を解決すべく、請求項１に記載された発明は、
ＩＤが登録された被認証体と予め情報が共有される情報システムであって、前記ＩＤ及び予め共有された情報を用いて、前記ＩＤ及び予め共有された情報を有する被認証体を認証することにより、前記認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムにおいて、前記情報工学的要素は、
自然乱数を与える自然乱数源と、
前記ＩＤ及び予め共有された情報を有する被認証体から前記ＩＤ及び予め共有された情報を読み取って、前記ＩＤ及び予め共有された情報を有する被認証体を認証する際に、前記予め共有された情報と前記自然乱数源から与えられた自然乱数とから乱数を合成し、前記認証する被認証体が有する予め共有された情報を前記合成した乱数に書き換えることにより、前記合成した乱数を、前記認証する被認証体の次の認証のための情報として、前記認証する被認証体と予め共有する乱数合成部と、
前記予め共有された情報と前記予め共有する情報とを順序付けし、前記ＩＤに関係付けて保有することにより、前記予め共有された情報を因とし、前記予め共有する情報を果とする因果の唯一性を体現した因果列を生成する因果列生成部と、
前記因果列生成部で生成された因果列の因果の唯一性を、前記乱数合成部により読み取られたＩＤ及び予め共有された情報の組に照らして監視することにより、前記ＩＤ及び予め共有された情報の組に関し前記予め共有された情報の不正使用を検出する不正使用検出部と
を備えることを特徴とする情報システムである。

この請求項１記載の発明によれば、ＩＤが登録された被認証体と予め情報が共有される情報システムであって、前記ＩＤ及び予め共有された情報を用いて、前記ＩＤ及び予め共有された情報を有する被認証体を認証することにより、前記認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムにおいて、前記情報工学的要素を成す乱数合成部が、前記ＩＤ及び予め共有された情報を有する被認証体から前記ＩＤ及び予め共有された情報を読み取って、そこで認証を中断する状況に到らず、従って、引き続き、前記ＩＤ及び予め共有された情報を有する被認証体を認証する際、常に、前記予め共有された情報と自然乱数源から与えられた自然乱数とから乱数を合成し、前記認証する被認証体が有する予め共有された情報を前記合成した乱数に書き換えることにより、前記合成した乱数を、前記認証する被認証体の次の認証のための情報として、前記認証する被認証体と予め共有するので、前記ＩＤ及び予め共有された情報を有する被認証体が複数存在したとしても、前記予め共有する情報は前記認証する被認証体のみと共有されることになり、前記ＩＤ及び予め共有された情報を有する他の被認証体とは共有されない。

従って、前記情報工学的要素を成す因果列生成部が、前記予め共有された情報と前記予め共有する情報とを順序付けし、前記ＩＤに関係付けて保有することにより、前記予め共有された情報を因とし、前記予め共有する情報を果とする因果列を生成すると、この因果列は前記ＩＤとの関係において因果の唯一性を体現することになる。

この点、前記予め共有する情報は、前記認証する被認証体の次の認証に際し、予め共有された情報となり、それが繰り返されるので、前記情報工学的要素を成す不正使用検出部は、前記因果列生成部で生成された因果列の因果の唯一性を、前記乱数合成部により読み取られたＩＤ及び予め共有された情報の組に照らして監視することにより、前記ＩＤ及び予め共有された情報の組に関し前記予め共有された情報の不正使用を検出することができる。

即ち、請求項１記載の発明に係る情報システムは、共有情報の不正使用の検出が可能であって、その抑止力により不正使用の予防も可能であり、また認証する被認証体と予め共有された情報が予め共有する情報に書き換えられるので、共有情報の使い回しも回避される。しかも、予め共有する情報を被認証体のオーナーが記憶しておく必要がなく、オーナーは暗号の管理に煩わされずに済む。

請求項２に記載された発明は、請求項１記載の発明に係る情報システムであって、
前記自然乱数源は前記自然乱数として次の(I)式で表される自然乱数のブロック[X_n]（ただし、ｎ＝自然乱数のブロックの付与順を因果列別に表す任意な自然数）を与え：
[X_n] ---------(I)、
前記乱数合成部は、
前記予め共有された情報を鍵部として使用可能な暗号化関数が定義された暗号化部と、
前記予め共有された情報を鍵部として使用可能な復号化関数が定義された復号化部と
を備え、
次の(II)式で定義される乱数合成関数F_i(X_j)：
F_i(X_j)≡D_k2(E_k1(X_j)) （ｉ≠０）--------(II)、
ただし、E_k1()≡暗号化部の暗号化関数、
D_k2()≡復号化部の復号化関数、
K1≡暗号化関数の鍵部、
K2≡復号化関数の鍵部、
ｉ＝乱数の合成回数を因果列別に表す代数的整数、
ｊ＝合成の対象となる自然乱数の順番を表す代数的整数
と、
次の(III)式で表される初期化関数F_i(X_j)：
F_i(X_j)≡K1=K2=X₁（ｉ＝０）-------(III)、
と
を用いて、
次の(IV)式の条件が成立するときに：
K1=X_n-1=K2 -----------(IV)、
前記予め共有された情報と前記自然乱数のブロックとから、次の (V)式で表される乱数X_nを合成し前記予め共有する情報として因果列生成部へ与え：
X_n= F_n-1(X_n) （ｎ＞１）----------(V)、
次の(VI)式の条件が成立するときには：
K1=X_n-1≠K2 （ｎ＞１）----------(VI)、
前記乱数の合成を中断し、前記ＩＤ及び予め共有された情報の組を前記不正使用検出部へ与える
ことを特徴とする情報システムである。

この請求項２記載の発明によれば、暗号化部及び復号化部を備える情報システムを、例え、それが既設のシステムであっても、(III)式の初期化関数を援用することにより、所望の時期に、所望の期間、共有情報の不正使用が検出可能な状態に置くことができ、しかも(II)式の乱数合成関数の乱数の合成回数ｉと、必要であれば合成の対象となる自然乱数の順番ｊとを代数的に（例えば、負数の領域を含め、或いは行列を含む群として）管理することにより、不正使用の検出が可能な状態を、何度でも再開することができる。

請求項３に記載された発明は、請求項１記載の発明に係る情報システムであって、
前記不正使用検出部は、
前記因果列と、
前記ＩＤ及び予め共有された情報の組と前記ＩＤ及び予め共有された情報を有する被認証体の通信のログとの少なくとも一方と
を参照することにより、
1) 漏れた秘密の内容と、
2) 秘密の漏れた時間と、
3) 秘密が使われた時刻と、
4) 不正な被認証体の存在の確証と、
5) 不正な被認証体の足取りと
の内の少なくとも１つに関し情報を収集する
ことを特徴とする情報システムである。

この請求項３記載の発明によれば、情報システムの側での秘密の不正使用の検出も可能になる。

請求項４に記載された発明は、請求項１記載の発明に係る情報システムであって、前記共有された情報が一致することを前記乱数の合成が為されるための充分条件とすることにより、前記認証する被認証体と当該情報システムとの間の相互認証を可能にしたことを特徴とする情報システムである。

この請求項４記載の発明によれば、同じIDの被認証体が複数存在するかも知れないとき、正規の被認証体が単に情報システムの認証を受けるだけで、不正な被認証体への認証が為されていなかったことを確認でき（相互認証）、しかも、不正な被認証体が認証を受ける可能性を潰せるので、共有情報の不正使用を予防することも可能になる。

請求項５に記載された発明は、請求項１記載の発明に係る情報システムであって、前記共有された情報が一致しないことを前記乱数の合成が中断されるための充分条件とすることにより、前記ＩＤ及び予め共有された情報を有する被認証体に関しスキミング検知を行うことを特徴とする情報システムである。

この請求項５記載の発明によれば、同じIDの被認証体が複数存在して、不正な被認証体が先に認証を受け、その後、正規の被認証体の認証が中断されたとき、正規の被認証体は不正な被認証体の関与を知ることができ、情報システムがスキミング検知機能を備えることになる。

請求項６に記載された発明は、ＩＤが登録された被認証体と予め情報が共有される情報システムであって、前記ＩＤ及び予め共有された情報を用いて、前記ＩＤ及び予め共有された情報を有する被認証体を認証することにより、前記認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムにおいて、前記情報工学的要素は、自然乱数を与える自然乱数源と、前記ＩＤ及び予め共有された情報を有する被認証体から前記ＩＤ及び予め共有された情報を読み取って、前記ＩＤ及び予め共有された情報を有する被認証体を認証する際に、前記予め共有された情報と前記自然乱数源から与えられた自然乱数とから乱数を合成し、前記認証する被認証体が有する予め共有された情報を前記合成した乱数に書き換えることにより、前記合成した乱数を、前記認証する被認証体の次の認証のための情報として、前記認証する被認証体と予め共有する乱数合成部と、前記予め共有された情報と前記予め共有する情報とを順序付けし、前記ＩＤに関係付けて保有することにより、前記予め共有された情報を因とし、前記予め共有する情報を果とする因果の唯一性を体現した因果列を生成する因果列生成部と、を備えることを特徴とする情報システムである。

この請求項６記載の発明によれば、以上の説明からも明らかなように、因果の唯一性を体現した因果列が生成され、それが動かぬ証拠となるので、その抑止力だけで、共有情報の不正使用を予防する効果があり、しかもそれと平行して、その唯一の因果列を「ネットが創出するサイバー空間の被認証体とリアル空間との間を信頼に足る確実さで結ぶ、いわば、“一本の赤い糸”」として活用することにより、例えば、サイバー空間でのワンタイムパスワードの付与が容易になる等、多大な用途が期待できる。

以下、図面を参照して、本発明の好適な実施の態様を説明する。なお、図面中、同じ要素又は同じ機能は適宜同じ参照番号で示し、説明の重複を避ける。

第１の実施の形態

先ず、図１及び図３を参照して、本発明の第１の実施の態様に係る情報システム１を説明する。図１は情報システム１の構成を示すブロック図、図３は情報システム１の経時的作用を説明するタイムチャートである。

情報システム１は、多くの支社を有する或る企業でICカードを携帯する社員の認証を行う多目的情報ネットワークシステム（以下、単に「ネット」とも呼ぶ。）として構成され、ユーザ５２である社員と、その社員が自己責任で管理する所持メモリである既存のアイシー（IC）カード５１とを、実質的に一体の被認証体５０と見なす。

被認証体５０を構成するＩＣカード５１は、そのリードオンリ(Read-Only)なプライベートエリアの部分に、以下「アイディーエム（ＩＤｍ）」と参照されるシステムパラメータ(System Parameter)が製造過程で刻印されており、ユニークであることから、本実施の態様では、このＩＤｍをＩＣカード５１のカードＩＤとして用いる（表３、表４参照）。

またＩＣカード５１には、リード／ライト(Read/Write又はＲ／Ｗ：読出・書込)タイプのサービスエリアがあり（表１参照）、そのエリアの１つに、同カード５１と本社の業務用電子計算機に実装されたサーバ４２（ソフトウェア）との間で（カード５１の前回の認証時に次回の）認証のために“予め共有された”情報（後述する暗号化側のＫ１＝Ｘ_ｎ−１及び復号化側のＫ２＝Ｘ_ｎ−１：以下、初期化前の一次情報に対する初期化以降の共有情報Ｘという意味で、しばしば「二次情報」と呼ぶ。）の内の一方側（Ｋ２）が格納されている（表３参照）。

上記予め共有された情報の内の他方側（Ｋ１）は、図３に示すように、上記サーバ４２にデータベースサーバ４６を介して接続されたデータベース（以下、しばしば「ＤＢ」で表す。）６０内に、より詳細にはその中の履歴データベース６１に、カードＩＤ別・共有情報更新順に格納されている（表４参照）。ＤＢ６０は、更に、カードＩＤが同じクライアントとの認証の回数ｎに関係付けられた交信時刻を含む交信データを格納するログデータベース６２と、個別のＩＣカード５１の登録時にそのカードＩＤとユーザ情報とを格納する（表４参照）カードＩＤデータベース６３とを備える。なお、サーバ４２は、後述のログ監視サーバ４５及び通信路２５を介してログ監視クライアント８０に接続され、またデータベースサーバ４６及びログ監視サーバ４５と共に互いに結合されたサーバ群４７を成す。

上述の構成において、被認証体５０の認証は、例えば一支社に勤務するユーザ５２のデスクに設置されたパーソナルコンピュータ（ＰＣ）１０（以下、「デスクＰＣ」と呼ぶ。）に実装されたクライアント４３（ソフトウェア）と、このクライアント４３にイーサネット（登録商標）(Eathernet)フレーム２１を含む通信路２０を介して接続されたサーバ４２との間で、ユーザ５２がそのＩＣカード５１をデスクＰＣ１０のリーダ（読込部）／ライタ（書込部）となる入出力インターフェース４４のカードスロットに差し込む都度、自動的且つ瞬時に行われる。

つまり、クライアント４３が、インターフェース４４のリーダを介して、ＩＣカード５１からそのＩＤ及び共有情報Ｋ２を読み取り（Ｒ１），サーバ４２が、データベースサーバ４６を介して、カードＩＤデータベース６３に登録されている対応するＩＤを読み、履歴データベース６１から対応する共有情報Ｋ１を読み取って（Ｒ２），互いの情報Ｋ１、Ｋ２が一致Ｋ１＝Ｋ２（＝Ｘ_ｎ−１）していれば、サーバ４２とクライアント４３とが協同して乱数Ｘ_ｎを合成し、その乱数Ｘ_ｎを、そのＩＣカード５１の次回の認証のため予め共有する情報Ｋ１＝Ｋ２（＝Ｘ_ｎ）として、インターフェース４４のライタを介し同カード５１に書き込み（Ｗ１），同時にデータベースサーバ４６を介し履歴データベース６１に書き込む（Ｗ２）。

具体的には、サーバ４２の暗号化部が、その時に保有する共有情報Ｋ１（＝Ｘ_ｎ−１）を暗号化関数E_k1()の鍵部Ｋ１として用い、その時に自然乱数源４１から受けた自然乱数のブロック［Ｘ_ｎ］が表す乱数Ｘｎを暗号文に変え、通信路２０を介してクライアント４３に送信しており、一方、クライアント４３の復号化部も、その時に得ていた共有情報Ｋ２を復号化関数D_k2()の鍵部Ｋ２として用いて、サーバ４２から受信した暗号文を乱数Ｘｎに復号化し、シャッフルして確認している。従って、Ｋ１＝Ｋ２（＝Ｘ_ｎ−１）の条件が満たされれば、サーバ４２側とクライアント４３側とで互いに同じ情報Ｋ１＝Ｋ２＝（Ｘ_ｎ）を保有することになり、この情報（Ｘ_ｎ）をＩＣカード５１に書き込（Ｗ１）むことにより、情報システム１は、被認証体５０と同じ情報Ｋ１＝Ｋ２（Ｘ_ｎ）を次の認証のために“予め共有する”ことになる。

これは、通信路２０で結ばれたサーバ４２とクライアント４３とが協同し、それぞれそれまで共有していた乱数（Ｘ_ｎ−１）と、自然乱数源４１から得た自然乱数（Ｘ_ｎ）とから、それまで共有していた乱数とは異なる乱数（Ｘ_ｎ）を合成する乱数合成部４０として機能し、その合成した乱数（Ｘ_ｎ）を、ＩＣカード５１の次の認証のため予め共有する情報として、ＩＣカード５１とデータベース６０とに書き込んでいる（Ｗ１，Ｗ２）のと等価である。

なお、本実施の形態における通信路２０は、その一端部２２が、情報システム１のＴＣＰ要素群３３及びＩＰ要素群３４を含むＯＳ３０を介してサーバ４２に接続され、そのサーバ４２がデータベースサーバ４６に結合されており、また通信路２０の別の一端部２３が、デスクＰＣ１０のＴＣＰ要素３１及びＩＰ要素３２を含むＯＳ部を介してクライアント４３に接続され、そのクライアント４３が入出力インターフェース４４を備えていることから、情報システム１は、その乱数合成部４０を構成する通信路２０の一端部（２２，４２）がデータベース６０への書込・読取部（４６）を備え、他端部（２３，４３）が被認証体５０への書込・読取部（４４）を備える構成を有する。なお、サーバ４２とクライアント４３とが同じＰＣ内に実装されている場合、通信路２０はＰＣ内部の接続部又は配線となる。

即ち、情報システム１は、ＩＤが登録された被認証体５０と予め情報Ｋ１，Ｋ２が共有されていて、上記ＩＤ及び予め共有された情報Ｋ１，Ｋ２を用いて、上記ＩＤ及び予め共有された情報Ｋ２を有する被認証体（５０）を認証することにより、上記認証した被認証体（５０）の関与を管理するための情報工学的要素（図１）が実装された情報システムであって、上記情報工学的要素（図１）は、自然乱数Ｘ_ｎを与える自然乱数源４１と、上記ＩＤ及び予め共有された情報Ｋ２を有する被認証体（５０又はその他［or else］）から上記ＩＤ及び予め共有された情報Ｋ２を読み取って、上記ＩＤ及び予め共有された情報Ｋ２を有する被認証体（５０ or else）を認証する際に、上記予め共有された情報Ｋ１，Ｋ２と自然乱数源４１から与えられた自然乱数Ｘ_ｎとから乱数Ｘ_ｎを合成し、上記認証する被認証体（５０ or else）が有する予め共有された情報Ｋ２を上記合成した乱数Ｘ_ｎに書き換えることにより、上記合成した乱数Ｘ_ｎを、上記認証する被認証体（５０ or else）の次の認証のための情報Ｋ１，Ｋ２として、上記認証する被認証体（５０ or else）と予め共有する乱数合成部４０を備える。

情報システム１は、更に、上記予め共有された情報Ｋ１＝Ｋ２（＝Ｘ_ｎ-1）と上記予め共有する情報Ｋ１＝Ｋ２（＝Ｘ_ｎ）とを順序付けし、上記ＩＤに関係付けて保有することにより、上記予め共有された情報Ｋ１＝Ｋ２（＝Ｘ_ｎ-1）を因とし、上記予め共有する情報Ｋ１＝Ｋ２（＝Ｘ_ｎ）を果とする因果｛Ｘ_ｎ-1, Ｘ_ｎ｝の唯一性を体現した因果列｛Ｘ_１，…,Ｘ_n-1,Ｘ_n｝を生成する因果列生成部を備える。

この因果列生成部は、前記暗号化側で因果列を生成する場合に、少なくともデータベースサーバ４６に接続された履歴ＤＢ６１を備えて成り、前記複合化側でも因果列を生成する本実施例の場合には、更に、デスクＰＣ１０のクライアント４３及び内部サーバ（不図示）に接続されたメモリ（不図示）を含んで成る。このため、以下、便宜的に、因果列生成部を（６１／１０）で示す。

情報システム１は、更に、上記因果列生成部（６１／１０）で生成された因果列の因果の唯一性を、前記乱数合成部４０により読み取られたＩＤ及び予め共有された情報Ｋ２（＝Ｘ_ｎ-1）の組に照らして監視することにより、上記ＩＤ及び予め共有された情報Ｋ１＝Ｋ２（＝Ｘ_ｎ-1）の組に関し上記予め共有された情報Ｋ１＝Ｋ２（＝Ｘ_ｎ-1）の不正使用を検出する不正使用検出部を備える。

この不正使用検出部は、前記暗号化側で因果列を生成する場合に、ログ監視クライアント８０に接続されたサーバ群４７を少なくとも備えて成り、前記復号化側でも因果列を生成する本実施例の場合には、更に、デスクＰＣ１０のクライアント４３に接続された上記内部サーバを含んで成る。このため、以下、便宜的に、不正使用検出部を（８０／１０）で示す。

上記構成に置いて、自然乱数源４１は自然乱数Ｘ_ｎとして次の(I)式で表される自然乱数のブロック[X_n]（ただし、ｎ＝自然乱数のブロックの付与順を後述の因果列｛Ｘ_１，…,Ｘ_n-1,Ｘ_n｝別に表す任意な自然数）を与え：
[X_n] ---------(I)、
乱数合成部４０は、予め共有された情報（Ｘ_j−１：ただし、ｊ＝合成の対象となる自然乱数の順番を表す代数的整数）を鍵部（Ｋ１）として使用可能な暗号化関数（E_k1）が定義された暗号化部（例えば、サーバ４２のエンクリプタenryptor）と、予め共有された情報（Ｘ_j−１）を鍵部（Ｋ２）として使用可能な復号化関数（D_k2）が定義された復号化部（例えば、クライアント４３のデクリプタdecryptor）とを少なくとも備え、自然乱数のブロック[X_j]に関し、次の(II)式で定義される乱数合成関数（F_i(X_j)：ただし、ｉ＝乱数の合成回数を因果列｛…,Ｘ_i-1，Ｘ_i，…｝別に表す代数的整数）、
F_i(X_j)≡D_k2(E_k1(X_j)) （ｉ≠０）--------(II)、
と、
次の(III)式で表される初期化関数F_i(X_j)：
F_i(X_j)≡K1=K2=X₁（ｉ＝０）-------(III)、
とを用いて、次の(IV)式の条件が成立するときに：
K1=X_n-1=K2 -----------(IV)、
前記予め共有された情報（Ｘ_ｎ−１）と乱数X_nを代表する前記自然乱数のブロック[X_n]とから、次の (V)式で表される乱数X_nを合成し、前記予め共有する情報（Ｘ_ｎ）として、前記因果列生成部（６１／１０）へ与え：
X_n= F_n-1(X_n) （ｎ＞１）----------(V)、
次の(VI)式の条件が成立するときには：
K1=X_n-1≠K2 （ｎ＞１）----------(VI)、
前記乱数X_nの合成を中断し、前記ＩＤ及び予め共有された情報（Ｘ_ｎ−１）の組を前記不正使用検出部（８０／１０）へ与える。

この点、同等な機能を有するのであれば、乱数合成部４０、因果列生成部（６１／１０）、及び不正使用検出部（８０／１０）の構成上の差異は問わない。

以上の構成により、ユーザ５１のICカード５１が見掛け上の鍵となり、ＰＣ非使用時にデスクPC１０のログイン認証に鍵を掛け、使用時にログイン認証の錠前を開ける仕組みになっていて、ユーザ５２が離席時にICカード５１を引き抜くと、ＰＣ画面に自動的にスクリーンセーバが働き、ＩＣカード５１以外の手段ではそのスクリーンセーバを解除できず、PC１０が他人の勝手にならない。

なお、乱数合成部４０はICカード５１で起動され、OS３０のログイン前にも働くしログイン後でも働く。このため通信路２０の端部２３に、ウィンドウズ（登録商標）（Windows（登録商標））XPが提供するギーナ（GINA：Graphical Identification aNd Authentication）７０を接続（２４）し、独自の仕様で作動させており、OS３０とクライアント４３（乱数合成部）の間で独自のGINA７０が機能して、Windows（登録商標）ログイン画面を独自の仕様にしている。

また、乱数合成部４０は、前述の如くクライアント４３とサーバ４２を含む機能であり、サーバ側に後述する(II)式の暗号化関数部≡E_k1()が配置され、クライアント側に(II)式の復号化関数部≡D_k2()が配置される。

クライアント４３は、復号化機能D_k2()を有するに留まらず、ICカード５１へのリーダ／ライタを備えたインターフェース４４（R/W装置）のドライバーを起動し、これによりICカード５１からの読み込み（Ｒ１）及びICカード５１への書き込み（Ｗ１）を行う。

この読み込み（Ｒ１）と書き込み（Ｗ１）にはカード５１自体のIDを使い、本実施例では、既述の如くIC式カードを用いる関係上、フェリカ（FeliCa）フォーマットのIDｍがカードＩＤとなる。このIDｍはEthernet（登録商標）のMACアドレスに相当する16進16桁のSystem Parameterである。FeliCaフォーマットではリードオンリ（Read-only）とリード／ライト（Read/Write）のサービスが用意されているが、本実施の態様ではそのRead/Writeサービスを用いる。

ＩＣカード５１の使用エリアを表１に示す。

表１に示すように、前記二次情報Xは32バイト（byte）長である。またサーバ４２とクライアント４３との間の通信の信頼性を確保するため、スリーウェイ・ハンドシェイク（3-way handshake）方式が適用され、その方式のための補助情報として便宜上”Y”情報及び”Z”情報と呼ぶ更に二つの情報を共有するが、これらの情報も同じ32byte長である（表３、表４参照）。これらの情報の詳細は、本特許出願人が平成１８年１１月１４日に出願した特願２００６−３０８１６４号（以下、エムティーエスエイ(MTSA: Meteora Systems Application)と呼ぶ。）に記載されている。なお、ICカード５１に初期値を登録する際に、ドメイン認証用の情報（ＩＤパスワード：表３参照）も書き込むため、表１に示すゲートビジョン（Gatevision）のR/Wエリアを用いるが、この情報を書き換えるためにR/Wエリアを使う訳ではない。

なお、上記構成に置いて、自然乱数源４１をサーバ側とクライアント側との双方若しくはいずれか一方に配設し、或いは乱数合成部４０の外部に置いてサーバ側とクライアント側との双方若しくはいずれか一方から必要に応じ運用するようにしても良い。

また、上記構成により、暗号化部及び復号化部を備える情報システムであれば、例え、それが既設のシステムであっても、(III)式の初期化関数を援用することにより、所望の時期に、所望の期間、共有情報の不正使用が検出可能な状態に置くことができ、しかも(II)式の乱数合成関数の乱数の合成回数ｉと、必要であれば合成の対象となる自然乱数の順番ｊとを代数的に管理することにより、不正使用の検出が可能な状態を、何度でも再開することができる。

例えば、複数の支社を管理し、支社毎に複数回ＩＤを変更してきた役員のＩＤカードを１つにまとめる場合、支社又は管理項目を行とし、ＩＤを列とする行列により合成回数ｉを表し、その行列の各元に関係する因果列を対応させて、それぞれの因果列における自然乱数の順番ｊを、新たな再開以前の分については逆順の負の整数で表し、再開初期化時を零とし、初期化後を正の整数で表せば、再開以降、その役員は、単に一枚のＩＤカードをもつだけで済み、しかも暗証番号に対応する共有情報（乱数）を暗誦秘匿する煩わしさが無くなる。

またサイバー空間或いは目の行き届かないリアル空間内のレジデント（例えば、情報の集合若しくは通信文、或いは多数の物品若しくは生物）の観測行為（つまり環境との係わり合い）に適度な認証条件を付し、上記同様な代数的整数の組（ｉ，ｊ）で管理すれば、これまで人海戦術に頼っても把握できなかった因果の闇が、時間的空白なく検証可能となる。

図1の情報システム１は、IDが同じ被認証体が複数存在する「かも知れない事象」（例えば、成り済ましの介在）を扱い、秘密（共有情報）の不正使用の検出及び予防を実現する。その具体的な例を次の順序で説明する。

（１）IDが同じ被認証体５０が複数存在する「かも知れない事象」は、時間軸上の確率事象（具体的には、二次情報Ｘの経時変化）として現れる。これを、図２に示す従来の認証システム１００と対比する仕方で最初に説明する。

（２）次に、履歴DB６１上の二次情報Ｘの時系列と被認証体５０の所持データＸとの経時変化を追いかける仕方で、サーバ群４７による不正使用の検出機能、いわば「捜査情報の収集」に関し説明を行う。

（３）次に、正規の被認証体５０の所持データＫ２を用いて、前記(IV)式及び(VI)式の検証を行うことが、それぞれ「相互認証」及び「スキミング検知」に対応することを説明する。

（４）そして、前記時間軸上の確率事象の総和を計算することにより、二次情報Ｘの共有が、情報システム１への因果律の導入に相当することを説明する。

（５）最後に、本発明における因果の唯一性を考察する。

以下に、上記（１）〜（５）項の説明を行う。

（１） 従来の認証システムとの比較
＜１．１ ワンタイム・パスワード（OTP）系の情報システム＞
従来の認証システムの代表としてOTP系の情報システム１００を採り上げ、その構成を、図1に倣って図2に示す。図２は、情報システム１００のブロック図である。

情報システム１００は、Ethernet（登録商標）フレーム１２１を含む通信路１２０の一端部が、システム１００のＴＣＰ要素群１３３及びＩＰ要素群１３４を含むＯＳを介してＯＴＰサーバ１４２に接続され、また通信路１２０の別の一端部が、対応するＰＣのＴＣＰ要素１３１及びＩＰ要素１３２を含むＯＳ部を介してパスワード入力が必要なログイン画面１４３に接続される。

ユーザ１５０は、そのユーザのみが知っているパスフレーズ（秘密）をＰＣ１１０に入力して、パスワード計算を行わせ、それにより得たＯＴＰをログイン画面１４３に入力（Ｒ１）する。入力されたＯＴＰはEthernet（登録商標）フレーム１２１で運ばれる。

一方、ＯＴＰサーバ１４２は、秘密ＤＢからユーザ１５０の秘密を読み出し（Ｒ２）て計算を行い、それにより得たＯＴＰがログイン画面に入力されたＯＴＰと合っていれば、指令Ｃを出して、ゲートを開ける（１９２）。このイベントは確率事象であるが、ユーザ１５０の秘密（ハ゜スフレース゛）を更新する（書き換える）訳ではない。

＜１．２ 図１の情報システム１と図２の情報システム１００との比較＞
より具体的には、図１の情報システム１には書き込みイベントＷ１が有るが、図２の情報システム１００にはそれが無い。

したがって、情報システム１００で認証のためにユーザ側とサーバ側で共有される情報（秘密のハ゜スフレース゛）は、認証の前後で不変である。

図１の情報システム１と図２の情報システム１００との間のこうした基本的な違いを表2に分かり易くまとめて示す。

表２中、（注２）はrfc1760（s/key）及びrfc1938(otp)を意味し、これによれば、OTPは、リプレイ攻撃に対抗するのが目的であるからIDが不変であり、またパスフレーズを秘密にして、その秘密から得たワンタイム・パスワードを通信路に流すだけであり、乱数の書き込み機能を持たない。

現在普及している他の認証システムとの比較も、この表２に準じる。

（２）サーバ側での捜査情報の収集
ここで、図３を参照し、情報システム１での確率事象を追いかけ、「サーバ４２側での捜査情報の収集過程」を説明する。

図3には、オンランイン・リアルタイムの機能要素群、つまり、被認証体５０（ユーザ５２ の所持メモリとしてのＩＣカード５１）がシステム１に入場した時、直ちに反応する構成要素が示されている。

＜２．１ 初期化設定及び認証動作の起点（Ｓ４３０；Ｓ４２０）＞
情報システム１は、乱数合成部４０の暗号化側の鍵部K1に初回の乱数X₁=“86af…”が設定され（ステップＳ４２０）、更に復号化側の鍵部K2に同じ乱数X₁=“86af…”が設定された（ステップＳ４３０）状況を、認証動作の起点とする。

上記初回の乱数X₁は、認証されるべきICカード５１がシステム１に最初に入場した時、乱数合成部４０により次の(III)式（初期化関数）で設定される。

F₀()≡K1=K2=X₁=“86af…”--------(III)
この初期化の詳細を図４に示す。

図４は、情報システム１がICカード５１を初期化設定する際の動作を説明するブロック図である。

前記乱数合成部４０は、図４に示す“被認証体の初期化登録部”４８を備え、ICカード５１の初期化設定は、この初期化登録部４８が、カードＩＤデータベース６３から初回の乱数X₁=“86af…”を読み込む（Ｒ２２）と共に、ＩＣカード５１からカードID（＝ＩＤｍ）を読み込み（Ｒ１１）、このカードＩＤを引数にして上記(III)式を実行することにより、インターフェース４４を介してICカード５１に二次情報Ｘ＝X₁（=“86af…”）を書き込み（Ｗ１１ａ，Ｗ１１）、それと同時に、ＩＣカード５１のカードID（＝ＩＤｍ）をカードＩＤデータベース６３に書き込む（Ｗ２１）仕方で行われる。

前記ステップ４２０は、この書込み（Ｗ２１）後のカードＩＤデータベース６３から、暗号化側の鍵部K1に初回の乱数X₁=“86af…”が設定された状態に対応し、また前記ステップ４３０は、上記書込み（Ｗ１１ａ，Ｗ１１）後のＩＣカード５１から、復号化側の鍵部K2に初回の乱数X₁=“86af…”が設定された状態に対応する。

なお、上記(III)式が実行されるには、それ以前に、初期値X₁= “86af…”がカードＩＤデータベース６３に登録されていなければならないが、その実装は、クライアント４３側にワンタイムに提供されるソフトウエアによる被認証体５０の初期化登録時に一括して行われ、ユーザ５２の負担にならい操作で完了する。

即ち、ユーザ５２が、インターフェース４４のリーダ／ライタを動作させるクライアント画面上の起動ボタンを単にマウスクリックして、
1) ドメイン認証用の情報Ｙ（普通のIDパスワード）をタイプイン（１１）すると、その情報Ｙがインターフェース４４を介してＩＣカード５１に書き込まれ（Ｗ１１ｂ）、
2) それと平行して、乱数合成部４０が、自然乱数源４１を構成する汎用物理乱数生成ASIC（ＦＤＫ製）から初期値Ｘ_１=“86af…”）を取得して、乱数合成過程を経ることなく、その初期値Ｘ_１をカードＩＤデータベース６３に書き込む（Ｗ２１）。以って、上述の如く、
3) ICカード５１に、初期値Ｘ_１= “86af…”が書き込まれ（表３参照）、
4) カードIDデータベース６３に、ICカード５１のIDｍが記録される（表４参照）。

なお、本実施例では、履歴データベース６１にも初期値Ｘ_１= “86af…”を記録して、因果列にその初期値を含めるようにしている。

＜２．２ 第一ステップ（Ｓ５１１，Ｓ４３１；Ｓ６１１，Ｓ４２１）＞
その後、IＣカード５１がシステム１に入場すると、乱数合成部４０は、そのIＣカード５１及び履歴データベース６１から乱数Ｘ_１= “86af…”を読み込み（Ｒ１、Ｒ２）、同時に自然乱数源４１から(Ｉ)式で定義された自然乱数[X₂]を読み込む。

前記初期化設定の後なのでK1=K2となって、(IV)式が成立し、従って、上記乱数Ｘ_１（=“86af…”）と自然乱数[X₂]とから、次の(Ｖ)式の乱数合成が実行される：
X₂= F₁(X₂) ----------(Ｖ)
これにより、自然乱数[X₂]が(Ｖ)式を満たす二次情報Ｘ＝X₂
X₂=“d2ab…”
に変換され、この二次情報Ｘ＝X₂が、乱数合成部４０により直ちにIＣカード５１と履歴データベース６１とに書き込まれる（Ｗ１，Ｗ２）。

なお、(IV)式の成立時に、サーバ４２は、ＩCカード５１の二次情報Ｘ及び認証時刻を含む通信データをログデータベース６２にログしている。

この点、クライアント４３側でも、同様な履歴データ及びログデータを取り、履歴データの活用及び不正の早期解明に資することは差し支えない。

＜２．３ 第二ステップ（Ｓ５１２，Ｓ４３２；Ｓ６１２，Ｓ４２２）＞
次に、IＣカード５１が二次情報Ｘ＝X₂（=“d2ab…”）を持ってシステム１に入場する。

上記同様、二次情報Ｘ＝X₂（=“d2ab…”）が読み込まれて（Ｒ１，Ｒ２）、鍵部K1とK2とに設定され、(II)式により関数F₂()が作られる：
F₂()≡:K1=K2=“d2ab…”--------(II)
今回もK1=K2であるから、(IV)式が成立し、自然乱数[X₃]が二次情報Ｘ＝X₃
X₃=“11f8…”
に変換され、この二次情報Ｘ＝X₃が、乱数合成部４０により直ちにIＣカード５１と履歴データベース６１とに書き込まれる（Ｗ１，Ｗ２）。

こうした二次情報Ｘ＝X₂（=“d2ab…”），Ｘ＝X₃（=“11f8…”）は、自然乱数源４１が与える自然乱数の確率分布に従っている。

＜２．４ 第三ステップ（Ｓ５１３，Ｓ４３３；Ｓ６１３，Ｓ４２３）＞
次は、IＣカード５１が二次情報Ｘ＝X₃（=“11f8…”）を持ってシステム１に入場する。

上記同様、二次情報Ｘ＝X₃（=“11f8…”）が読み込まれて（Ｒ１，Ｒ２）、鍵部K1とK2とに設定され、(II)式により関数F₃()が作られる：
F₃()≡:K1=K2=“11f8…”--------(II)
今回もK1=K2であるから、(IV)式が成立し、自然乱数[X₄]が 二次情報Ｘ＝X₄
X₄=“4c42…”
に変換され、この二次情報Ｘ＝X₄が、乱数合成部４０により直ちにIＣカード５１と履歴データベース６１とに書き込まれる（Ｗ１，Ｗ２）。

＜２．５ スキミング・イベント＞
ここで、IＣカード５１のＩＤ及び上記二次情報Ｘ＝X₄（=“4c42…”）がスキミングされ、或いはＩＣカードが偽造されて、同じＩＤのIＣカード５１がAカードとCカードとの2枚存在する状況になったと仮定する。

＜２．６ 第四ステップ（Ｓ５１４，Ｓ４３４；Ｓ６１４，Ｓ４２４）＞
その状況下で、先ず、Aカードがその二次情報Ｘ＝X₄（=“4c42…”）を持ってシステム１に入場したとする。

前記同様、二次情報Ｘ＝X₄（=“4c42…”）が読み込まれて（Ｒ１，Ｒ２）、鍵部K1とK2とに設定され、(II)式により関数F₄()が作られる：
F₄()≡:K1=K2=“4c42…”--------(II)
今回もK1=K2であるから、(IV)式が成立し、自然乱数[X₅]が二次情報Ｘ＝X₅
X₅=“966f…”
に変換され、この二次情報Ｘ＝X₅が、乱数合成部４０により直ちにＡカードと履歴データベース６１とに書き込まれる（Ｗ１，Ｗ２）。

＜２．７ 第五ステップ（Ｓ５１５（Ｋ２省略）；Ｓ６１５，Ｓ４２５）＞
そして、再び、Aカードが二次情報Ｘ＝X₅ （=“966f…”）を持ってシステム１に入場したとすると、上記同様、二次情報Ｘ＝X₅ （=“966f…”）が読み込まれて（Ｒ１，Ｒ２）、鍵部K1とK2とに設定され、(II)式により関数F₆()が作られる：
F₆()≡:K1=K2=“966f…”--------(II)
この場合も、K1=K2であるから、(IV)式が成立し、自然乱数[X₆]が第二次情報Ｘ＝X₆
X₆=“674e…”
に変換され、この二次情報Ｘ＝X₆が、乱数合成部４０により直ちにＡカードと履歴データベース６１とに書き込まれる（Ｗ１，Ｗ２）。

＜２．８ 第六ステップ（（X₄省略）Ｓ４３５，Ｓ５１６；（X₆省略、Ｋ１省略）Ｓ６１６）＞
そこで、Aカードではなく、Cカードがシステム１に入場したとすると、このCカードは前記二次情報Ｘ＝X₄（=“4c42…”）を持っているので、上述の(IV)式ではなく、次の(VI)式が成立し：
K1= X₆≠ K2= X₄ ---------(VI)
つまり、K1=“674e…”≠“4c42…”= K2 となって、乱数合成部４０は、自然乱数[X₇]の二次情報Ｘ＝X₇への変換も、Ｃカードへの書き込みも行わない。これは、(VI)式が成立する場合、ＩCカード５１の入場が、二次情報Ｘの時系列の唯一性に衝突する事象となることを意味する。

＜２．９ 第七ステップ（Ｓ６２１）＞
上記Cカードの二次情報Ｘ＝X₄（=“4c42…”）による(VI)式の成立は、クライアント側の復号化関数部D_k2()のイベントに属し、このため、クライアント４３は、上記(VI)式の成立に際し、サーバ４２へ上記Cカードの二次情報Ｘ＝X₄（=“4c42…”）及び時刻を含む通信データを転送し、サーバ４２は、(IV)式成立時におけるのと同様に、そうした通信データをログデータベース６２にログする。

＜２．１０ 第八ステップ（不正使用の検出）＞
以上に例示したステップは時間軸上の確率事象であり、それらの履歴データベース６１での時系列（つまり、因果列）を、上記CカードのＩＤ（＝ＩＤｍ）と第二次情報“4c42…”との組でトレースすることが、サーバ側での捜査情報の収集に繋がる。

そこで、上記Ｃカードの二次情報Ｘ＝X₄（=“4c42…”）及び時刻を含むログを用いて履歴DB６１を探索し、その二次情報Ｘ＝X₄（=“4c42…”）が、前記第四ステップで履歴DB６１に記録された乱数X₄（=“4c42…”）に一致すると、そこから、次の表５に示す判断を行う。

１） 即ち、履歴DB６１の“第四ステップでの格納値X₄= Cカードの二次情報Ｘの値”の関係から「漏れた秘密（X₄）の内容（4c42…）」を検出し、
２） その秘密（X₄）が予め共有された第三ステップの時刻から、認証により次の秘密（X_５）に更新された第四ステップの時刻までに相当する「秘密（X₄）の漏れた時間」を検出し、
３） Ｃカードが使用され、その通信データがログされた第六及び第七ステップの時刻に相当する「漏れた秘密（X₄）が使われた時刻」を検出し、
４） “履歴DB６１の第四ステップでの値X₄= Cカードの二次情報Ｘ”の関係をCカードが否認できないこと、つまり前記(IV)式と(VI)式とは排他的な関係にあることから「不正な被認証体の存在の確証」を検出し、
５） 上記第四ステップと第七ステップとの履歴から「不正な被認証体の足取り」を検出している。

（３）相互認証及びスキミング検知
従来の認証は、ユーザに対しサーバ側から一方向に行なわれていたが、本実施の形態によれば、ユーザ５２側も、自ら下記の相互認証又はスキミング検知のための認証を試みて、不正使用の検出と予防に参加でき、ユーザ５２に「自分専用のサービスは自分以外の者には使わせない」という確証を供与できる点で、認証の完全性に繋がり、認証の歴史に新たな一頁を添える。

＜３．１ 相互認証＞
情報システム１は、前記共有された情報Ｋ１，Ｋ２が一致すること(IV式)を乱数の合成（V式）が為されるための充分条件とすることにより、認証する被認証体５０と情報システム１との間の相互認証を可能にしている。

つまり、同じIDの被認証体が複数（例えば、前記＜２．５＞項のＡカード及びＣカードが）存在するかも知れないとき、正規の被認証体（例えば、Ａカード）が単に情報システム１の認証を受ける（前記第四ステップ）だけで、不正な被認証体（Ｃカード）への認証が為されていなかったことを確認でき（相互認証）、しかも、不正な被認証体（Ｃカード）が認証を受ける可能性を（前記第六ステップのように）潰せるので、対応する共有情報（この場合、Ｘ＝X₄）の不正使用を予防することも可能になる。

＜３．２ スキミング検知＞
情報システム１は、前記共有された情報Ｋ１，Ｋ２が一致しないこと(VI)式を前記乱数の合成（V式）が中断されるための充分条件とすることにより、対応するＩＤ（ＩＤｍ）及び予め共有された情報（Ｘ）を有する被認証体に関しスキミング検知を行う。

つまり、同じIDの被認証体が複数（例えば、前記＜２．５＞項のＡカード及びＣカードが）存在して、不正な被認証体（例えば、Ａカード）が先に情報システム１の認証を受け（前記第四ステップ及び第五ステップ）、その後、正規の被認証体（Ｃカード）の認証が（前記第六ステップのように）中断されたとき、この正規の被認証体（Ｃカード）は不正な被認証体（例えば、Ａカード）の関与を知ることができ、情報システム１がスキミング検知機能を備えることになる。

（４）時間軸に沿った確率事象の総和
ここで、時間軸上にある二次情報Ｘの総和を計算し、二次情報Ｘの共有とその時系列が因果律の導入に相当することを示す。

＜４．１ 秘密（情報K1）を漏らさない乱数合成部＞
情報システム１の乱数合成部４０は、通信路２０を介して接続された暗号化関数部（サーバ４２）及び復号化関数部（クライアント４３）を持ち、図１では、暗号化関数部の側に自然乱数発生源［Ｘ］４１を備えている。

いま、ｊ＝ｎ、ｉ＝ｊ−１（＝ｎ−１）とおけば、暗号化関数部の暗号化関数部E_k1(X_j)のパラメータは、次の(4-1)式及び(4-2)式で決定される：
鍵Ｋ１= X_n-1 ---------- (4-1)
平文 = X_n ----------- (4-2)
ここに、平文は自然乱数源４１の乱数［Ｘ］である。

この暗号化関数E_k1(X_n)の出力が通信路２０に流れる暗号文であり、これをI_n-1と表すと、次の(4-3)式が成立する：
I_n-1= X_n-1 + X_n ------- (4-3)
ここに、加算記号（+）は暗号化手続きを情報論的に表現している。

然るに、前記(IV)式は、
K1=X_n-1=K2 -----------(IV)
また、この(IV)式を十分条件として実行される前記(Ｖ)式は、
X_n= F_n-1(X_n) ----------(Ｖ)
これは、X_nに関する1:1写像を意味し、従って、I_n-1とX_nのエントロピーは次の(4-4)式を満たす：
H(I_n-1)-H(X_n)= H(K)-H(K|I_n-1) ---------(4-4)
この点、通信路２０上の暗号文I_n-1は、前記(4-3)式の暗号化手続きにより、次の(4-5)式を満たすX_n-1とX_nの同時確率で決定される乱数になる。

H(I_n-1|X_n-1, X_n)= 0 ---------(4-5)
従って、前記(4-4)式の左辺が、次の(4-6)式を満たし：
H(I_n-1)-H(X_n)= 0 ---------(4-6)
その結果、前記(4-4)式の右辺が、次の(4-7)式を満たす：
H(K)-H(K|I_n-1)= 0 ---------(4-7)
この(4-7)式は、通信路２０上の暗号文I_n-1 から鍵 K１の情報が漏れないことを意味する。

＜４．２ 通信路上の暗号文I_n-1の総和ΣI_n-1＞
通信路２０上の暗号文I_n-1（n = 2,……,n）を時間軸に沿って並べ、その総和ΣI_n-1を取ると、この総和は乱数合成部４０の時間軸上での確立事象に対応し、次の(4-8)式で表される：
ΣI_n-1 = X₁ + X_n ---------(4-8)
これは、上記総和が、ｎ＝ｎ−１以前の経緯に関わりなく、次に示す一定の値をもつことを意味する：
K1= X_n-1 = K2-----------(IV)
そこで、上記(4-8)式に初期値X₁を入れると、次の(4-9)式からX_nが求まる：
ΣI_n-1 + X₁ = X_n ---------(4-9)
このX_nが二次情報Ｘであり、その時系列{X_n}には時間軸を過去に遡る解が無い。これが因果律を代表するラベルである。

実際、二次情報Ｘ＝X_nは、自然乱数の確率分布に従いながら、既述の如く、システムの要素間で共有されており、履歴DB６１におけるその時系列{X_n}は唯一のものである。

（５）因果の唯一性に関する考察
＜５．１ 秘密の使い回しによる不定解の発散＞
いま、図３の第三ステップで自然乱数源４１から与えられた自然乱数X₄=“4c42…”をコピーし、続く第四ステップで乱数合成部４０を自然乱数源４１から一旦切り離して、コピーした自然乱数X₄=“4c42…”を意図的に使い回し、その次の第五ステップで自然乱数源４１に再接続したと想定すると：
第四ステップでは、Ａカードの二次情報Ｘが
X₄（=“4c42…”）から同じX₄（=“4c42…”）に置き換えられ；
第五ステップでは、Ａカードの二次情報Ｘが
X₄（=“4c42…”）からX₆（=“674e…”）に更新され；
第六ステップでは、Ｃカードの二次情報Ｘ＝X₄が
X₄（=“4c42…”）≠ X₆（=“674e…”）なので、乱数合成が中断される。

従って、履歴DB６１の対応するＩＤの領域に、次の因果列が形成され：
｛…, X₃, X₄（=“4c42…”），X₄（=“4c42…”），X₆（=“674e…”）｝
これをＣカードの二次情報X₄（=“4c42…”）で検索すると、第三ステップのX₄と第四ステップのX₄とにヒットし、次の疑問が生じる：
問１）Ｃカードの二次情報X₄は第三と第四いずれのステップのものか？
問２）第三ステップのカードは第四ステップのカードと同じなのか？
そこで、問１）だけに絞って考えたとしても、次の２つの同様な確かさの答え（即ち、不定な解）が並立する：
答１）Ｃカードの二次情報X₄は第三ステップのものである。

答２）Ｃカードの二次情報X₄は第四ステップのものである。

これは、１つの秘密（共有情報）が複数の認証イベントに使い回されると、その各回の秘密（例えば、第三ステップのX₄と第四ステップのX₄と）に関し、上記複数の認証イベントとの因果関係（上記の場合２つ）を同様な確かさで疑うことができ、またその認証イベントの数だけの被認証体（上記の場合２つ）の関与を同様な確かさで疑うことが出来るので、その組合せの総数に対応した数（上記の場合４つ）の不定な解が並立することになり、従って、その複数の認証イベントの履歴データ（例えば、X₄，X₄）の全体を単一の組と見なし、その中に不定な解を包み込んで（つまり、新たな証拠が得られるまで詮索せずに放置して）処理しなければ、因果列を運用出来なくなる。

こうした履歴データの組により因果の列（例えば、｛…, X₃,（X₄,X₄）, X₆｝を作り、その中の特定の因（例えば、X₃）と特定の果（例えば、X₆）との関係を吟味しようとすると、その間に介在する履歴データの組（上記の場合（X₄，X₄））の要素の数（上記の場合２つ）に対応した個数の不定な解（上記の場合４つ）が並立し、そうした履歴データの組を複数組跨いだ因果関係を調べようとしたら、各組の不定な解の個数をすべて掛け合わせた乗積に対応する個数（例えば、上記同様な履歴データの組を二組跨ぐとすれば、４ｘ４＝１６個）の不定な解が並立することになり、因果の世代数が増すに連れて、いずれ解が発散してしまう。

＜５．２ 因果関係の収束と赤い糸＞
この点、本実施の形態に係る情報システム１では、被認証体が一旦認証されると、それまでの共有情報が新たな共有情報に更新され、乱数合成部による共有情報の使い回しがないので、同じ共有情報に関与し得る認証イベントの数が常に１つだけに維持され、またそのただ１つの認証イベントに絡むことが出来る被認証体の個数もただ１つに限定される。

このため、共有情報を含む履歴データに順序を付け因果の列として残せば、その中の任意な共有情報について、それに関与した認証イベントと、その認証イベントに絡んだ被認証体とを常にピンポイントで特定でき、従って、任意な部分列の両端点で関係する認証イベントと被認証体とを一意に特定できる因果列、つまり“因果の唯一性を体現した因果列”、いわばサイバー空間の“赤い糸”が得られる。

この赤い糸（因果列）は、単に因果関係を検証可能なだけでなく、その検証を随時迅速に行えることから、疑念を差し挟むことなく安心して実用に供することができ、従って、サイバー空間中のライフライン（命綱）或いはスキャッフォルド（足場）として利用できる。

なお、以上の説明から明らかなように、情報システム１の因果列生成部（６０／１０）に因果列を生成すべく保有される前記予め共有された情報Ｋ１＝Ｋ２（＝Ｘ_ｎ-1）と前記予め共有する情報Ｋ１＝Ｋ２（＝Ｘ_ｎ）とは、その因果関係を所望の仕方で特定可能な情報形式又は情報量について行えば良く、従って、因果列生成部（６０／１０）又は不正使用検出部（８０／１０）の容量及び情報処理仕様に合わせ、適宜，変換することは差し支えない。

第２の実施の形態

ここで、図５を参照し、本発明の第２の実施の態様に係る情報システム２を説明する。図５は、情報システム２のブロック図である。

情報システム２は、Eathernetフレーム２７を介してブラウザ（ＩＥ）９４が接続されたワールドワイドウェブ（www）ポータル９１を含むwwwポータルフレームワークに、ユーザ５１のFelicaＩＣカード５１と共有する二次情報をログイン用のワンタイム・パスワードとして提供する。

wwwポータルフレームワークは、社員のIDとパスワードとでサービスを限定する。IDには既存の社員番号を使い、パスワードはFeliCaのRead/Writeエリア（表1）に記録されている補助情報Z（32byte）の6byteを使う。補助情報Ｚの詳細は、前記ＭＴＳＡに譲る。

ユーザ５２は、ブラウザ（IE）９４を使ってwwwポータル９１のサーバからwwwポータルログイン画面９５をダウンロードし、ID及びパスワードを手入力できるが、本実施の態様では、入力ソフト９３により、wwwポータルログイン画面９５にボタンを一つ設け、それをクリックして、ICカード５１から社員番号と補助情報Zの6byteとを読み出し（Ｒ３１）、自動入力する（Ｒ３１ａ）。補助情報Zの6byteは、通信路を盗聴する者にとってワンタイム・パスワードとなる。

wwwポータル９１は、上記ID及びパスワードを受け取ると、既存IDパスワードDB９０に既に記録されている[社員番号, Zの6byte]テーブルを既存IDパスワードとして参照し（Ｗ３２，Ｒ３２ａ）、それらが一致すると、社員番号にサービスを許可する（９２）。

［社員番号, Zの6byte］テーブルを既存のDB９０上に作る前提として、DB６０に社員情報テーブル及び社員情報対カードIDテーブル有するデータベース６４を付加する。社員情報テーブルは図４の初期化登録の際に、ICカード５１の社員情報をサーバ４２にアップして自動生成する。サーバ４２及びクライアント４３は、対応した読み書きを行う（Ｒ２３，Ｗ２３，Ｒ１３）。

wwwポータルフレームワークは企業に広く浸透しており、詳細は省く。また第１の実施の態様と対応した要素は、同じ参照番号を付し、説明を省略する。

以上に説明した実施の態様において、情報システム１、２は、当然ながら、社員認証を行うシステムに限られるものではなく、例えば、入退出者の認証を行うエントリシステム、患者又は動物の認証を行う医療又は保護システム、乗客の認証を行う輸送システム、顧客の認証を行う金融システム等であっても良い。また、製品又は半製品の管理システム、商品の管理ステム、物流品の管理システム、或いは美術品、貴金属、貨幣等の管理システムであっても良く、そうした場合には、管理対象となる個別の物がユーザ５２と見なされ、それに内蔵若しくは付設されたメモリがカード５１の代わりになり、それらを合わせた物が被認証体５０となる。更には、カード５１を固定式又は可動式のメモリ若しくはその分割領域、或いはサイバー空間の座標に置き換え、そこに格納され或いは貼り付けられた情報をユーザ５２とし、それらの組合せを被認証体５０と見なしても良い。

なお、以上は、本発明の実施の態様を例示的に説明したものであり、当業者であれば、特許請求の範囲内で、様々な変更が可能なこと理解できよう。

本発明によれば共有情報の不正使用の検出及び予防が可能で、共有情報の使い回しを回避可能な情報システムが提供される。

図１は、本発明の第１の実施の態様に係る情報システムのブロック図である。 図２は、従来の情報システムを対比して示すブロック図である。 図３は、図１の情報システムの作用を経時的に説明するタイムチャートである。 図４は、図１の情報システムの初期化登録を説明するブロック図である。 図５は、本発明の第２の実施の態様に係る情報システムのブロック図である。

符号の説明

１．．．第１の実施の態様に係る情報システム
２．．．第２の実施の態様に係る情報システム
１０...デスクＰＣ；２０．．．通信路；３０．．．ＯＳ
４０．．．乱数合成部；４１．．．自然乱数源
４２．．．サーバ；４３．．．クライアント；４４．．．リーダ／ライタ
４５．．．ログ監視サーバ；４６．．．データベースサーバ
４７．．．結合されたサーバ群
５０．．．被認証体；５１．．．ＩＣカード；５２．．．ユーザ
６０．．．データベース；６１．．．履歴ＤＢ
６２．．．ログデータベース；６３．．．カードＩＤデータベース
８０．．．ログ監視クライアント
９０．．．既存ＩＤパスワードデータベース
１００．．．従来の情報システム
Ek1．．．暗号化関数；Dk2．．．複合化関数
Ｋ１．．．暗号化関数の鍵部；Ｋ２．．．複合化関数の鍵部；Ｘ_ｎ．．．乱数
Ｒ１，Ｒ２．．．読み込み
Ｗ１，Ｗ２．．．書き込み

Claims (6)

1. ＩＤが登録された被認証体と予め情報が共有される情報システムであって、前記ＩＤ及び予め共有された情報を用いて、前記ＩＤ及び予め共有された情報を有する被認証体を認証することにより、前記認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムにおいて、前記情報工学的要素は、
   自然乱数を与える自然乱数源と、
   前記ＩＤ及び予め共有された情報を有する被認証体から前記ＩＤ及び予め共有された情報を読み取って、前記ＩＤ及び予め共有された情報を有する被認証体を認証する際に、前記予め共有された情報と前記自然乱数源から与えられた自然乱数とから乱数を合成し、前記認証する被認証体が有する予め共有された情報を前記合成した乱数に書き換えることにより、前記合成した乱数を、前記認証する被認証体の次の認証のための情報として、前記認証する被認証体と予め共有する乱数合成部と、
   前記予め共有された情報と前記予め共有する情報とを順序付けし、前記ＩＤに関係付けて保有することにより、前記予め共有された情報を因とし、前記予め共有する情報を果とする因果の唯一性を体現した因果列を生成する因果列生成部と、
   前記因果列生成部で生成された因果列の因果の唯一性を、前記乱数合成部により読み取られたＩＤ及び予め共有された情報の組に照らして監視することにより、前記ＩＤ及び予め共有された情報の組に関し前記予め共有された情報の不正使用を検出する不正使用検出部と
   を備えることを特徴とする情報システム。
2. 請求項１記載の情報システムであって、
   前記自然乱数源は前記自然乱数として次の(I)式で表される自然乱数のブロック[X_n]（ただし、ｎ＝自然乱数のブロックの付与順を因果列別に表す任意な自然数）を与え：
   [X_n] ---------(I)、
   前記乱数合成部は、
   前記予め共有された情報を鍵部として使用可能な暗号化関数が定義された暗号化部と、
   前記予め共有された情報を鍵部として使用可能な復号化関数が定義された復号化部と
   を備え、
   次の(II)式で定義される乱数合成関数F_i(X_j)：
   F_i(X_j)≡D_k2(E_k1(X_j)) （ｉ≠０）--------(II)、
   ただし、E_k1()≡暗号化部の暗号化関数、
   D_k2()≡復号化部の復号化関数、
   K1≡暗号化関数の鍵部、
   K2≡復号化関数の鍵部、
   ｉ＝乱数の合成回数を因果列別に表す代数的整数、
   ｊ＝合成の対象となる自然乱数の順番を表す代数的整数
   と、
   次の(III)式で表される初期化関数F_i(X_j)：
   F_i(X_j)≡K1=K2=X₁（ｉ＝０）-------(III)、
   と
   を用いて、
   次の(IV)式の条件が成立するときに：
   K1=X_n-1=K2 -----------(IV)、
   前記予め共有された情報と前記自然乱数のブロックとから、次の (V)式で表される乱数X_nを合成し前記予め共有する情報として因果列生成部へ与え：
   X_n= F_n-1(X_n) （ｎ＞１）----------(V)、
   次の(VI)式の条件が成立するときには：
   K1=X_n-1≠K2 （ｎ＞１）----------(VI)、
   前記乱数の合成を中断し、前記ＩＤ及び予め共有された情報の組を前記不正使用検出部へ与える
   ことを特徴とする情報システム。
3. 請求項１記載の情報システムであって、
   前記不正使用検出部は、
   前記因果列と、
   前記ＩＤ及び予め共有された情報の組と前記ＩＤ及び予め共有された情報を有する被認証体の通信のログとの少なくとも一方と
   を参照することにより、
   1) 漏れた秘密の内容と、
   2) 秘密の漏れた時間と、
   3) 秘密が使われた時刻と、
   4) 不正な被認証体の存在の確証と、
   5) 不正な被認証体の足取りと
   の内の少なくとも１つに関し情報を収集する
   ことを特徴とする情報システム。
4. 請求項１記載の情報システムであって、前記共有された情報が一致することを前記乱数の合成が為されるための充分条件とすることにより、前記認証する被認証体と当該情報システムとの間の相互認証を可能にしたことを特徴とする情報システム。
5. 請求項１記載の情報システムであって、前記共有された情報が一致しないことを前記乱数の合成が中断されるための充分条件とすることにより、前記ＩＤ及び予め共有された情報を有する被認証体に関しスキミング検知を行うことを特徴とする情報システム。
6. ＩＤが登録された被認証体と予め情報が共有される情報システムであって、前記ＩＤ及び予め共有された情報を用いて、前記ＩＤ及び予め共有された情報を有する被認証体を認証することにより、前記認証した被認証体の関与を管理するための情報工学的要素が実装された情報システムにおいて、前記情報工学的要素は、
   自然乱数を与える自然乱数源と、
   前記ＩＤ及び予め共有された情報を有する被認証体から前記ＩＤ及び予め共有された情報を読み取って、前記ＩＤ及び予め共有された情報を有する被認証体を認証する際に、前記予め共有された情報と前記自然乱数源から与えられた自然乱数とから乱数を合成し、前記認証する被認証体が有する予め共有された情報を前記合成した乱数に書き換えることにより、前記合成した乱数を、前記認証する被認証体の次の認証のための情報として、前記認証する被認証体と予め共有する乱数合成部と、
   前記予め共有された情報と前記予め共有する情報とを順序付けし、前記ＩＤに関係付けて保有することにより、前記予め共有された情報を因とし、前記予め共有する情報を果とする因果の唯一性を体現した因果列を生成する因果列生成部と、
   を備えることを特徴とする情報システム。

Images