JP2024071973A - 認証システムおよび認証方法 - Google Patents

Abstract

【課題】ユーザーがサービス認証に必要な情報を管理する負担を減らすことができる認証システムおよび認証方法を提供する。
【解決手段】管理者装置は、提供者装置の公開鍵を前記管理者装置の秘密鍵で署名することにより証明書を生成し、前記証明書とユーザー装置の公開鍵とを前記提供者装置に送信する。前記提供者装置は、前記提供者装置の秘密鍵と前記ユーザー装置の前記公開鍵とを使用する楕円曲線ディフィー・ヘルマン鍵共有によって前記提供者装置の共通鍵を生成する。前記ユーザー装置は、前記証明書を前記管理者装置の公開鍵で検証し、前記提供者装置の前記公開鍵を取得する。前記ユーザー装置は、前記ユーザー装置の秘密鍵と前記提供者装置の前記公開鍵とを使用する前記楕円曲線ディフィー・ヘルマン鍵共有によって前記ユーザー装置の共通鍵を生成する。前記提供者装置および前記ユーザー装置は、前記共通鍵を使用する暗号通信を実行する。
【選択図】図１

Description

本発明は、認証システムおよび認証方法に関する。

サーバ証明書が設定されているＷｅｂサーバにブラウザがアクセスすると、ブラウザはサーバ証明書の正当性を確認する。このとき、証明書チェーンが利用される。証明書チェーンとは、クライアントまたはサーバなどの証明書から最上位の認証局（ルート認証局）の証明書までの連なりを指す。

図２１および図２２を使用することにより証明書チェーンを説明する。図２１は、クライアント９００、サーバ９１０、および認証局９２０を有する認証システムを示す。サーバ９１０の証明書Ｃｓは認証局９２０の秘密鍵Ｋｄｃ１で署名されている。クライアント９００は認証局９２０の公開鍵Ｋｑｃ１を使用することにより証明書Ｃｓの正当性を確認する。そのため、クライアント９００は認証局９２０の公開鍵Ｋｑｃ１（認証局証明書）を所持する必要がある。

認証局は、中間認証局と呼ばれる下位の認証局を持つことができる。最上位にある認証局はルート認証局と呼ばれる。

図２２は、クライアント９００、サーバ９１０、認証局９２０、および中間認証局９３０を有する認証システムを示す。サーバ９１０の証明書Ｃｓは中間認証局９３０の秘密鍵Ｋｄｃ２で署名されている。中間認証局９３０の証明書Ｃｃは、中間認証局９３０よりも上位のルート認証局である認証局９２０の秘密鍵Ｋｄｃ１で署名されている。中間認証局９３０の証明書Ｃｃは、中間認証局９３０の公開鍵を含む。中間認証局９３０の証明書Ｃｃは、サーバ９１０に予め設定されている。クライアント９００は認証局９２０の公開鍵Ｋｑｃ１を予め所持している。

クライアント９００は、認証局９２０の公開鍵Ｋｑｃ１を使用することにより、サーバ９１０が所持する中間認証局９３０の証明書Ｃｃを検証し、中間認証局９３０の公開鍵を取得する。クライアント９００は、中間認証局９３０の公開鍵を使用することによりサーバ９１０の証明書Ｃｓを検証する。この仕組みによって、クライアント９００はサーバ９１０の正当性を確認することができる。

公開鍵暗号方式の暗号プロトコルとして、楕円曲線ディフィー・ヘルマン鍵共有（ＥＣＤＨ）がある。ＥＣＤＨは、楕円曲線を使用するようにディフィー・ヘルマン鍵共有を変更した楕円曲線暗号の１つである。ＥＣＤＨは、事前に秘密を共有することなく、盗聴の可能性のある通信路を使用することにより秘密情報または暗号鍵の共有を可能とする。

ＥＣＤＨについて説明する。アリスとボブの２人が共通鍵を共有するために、お互いに秘密鍵ｄと公開鍵Ｑとからなる鍵ペアを生成する。アリスの鍵ペアは（ｄＡ，ＱＡ）であり、ボブの鍵ペアは（ｄＢ，ＱＢ）である。公開鍵ＱＡは、秘密鍵ｄＡと楕円曲線Ｇとの掛け算により生成される。公開鍵ＱＢは、秘密鍵ｄＢと楕円曲線Ｇとの掛け算により生成される。

２人は互いの公開鍵を交換する。アリスはｄＡ＊ＱＢという計算を行い、ボブはｄＢ＊ＱＡという計算を行う。このとき、以下の式（１）に示す関係が成立する。
ｄＡ＊ＱＢ＝ｄＡ＊ｄＢ＊Ｇ＝ｄＢ＊ｄＡ＊Ｇ＝ｄＢ＊ＱＡ ・・・（１）

したがって、アリスとボブは、お互いに共通の楕円曲線上のｘ座標を取得することができる。アリスとボブは、このｘ座標を共通鍵とする。秘密鍵ｄＡ，ｄＢはアリスとボブのそれぞれが秘密に所持しているため、通信路上で公開鍵ＱＡまたはＱＢが盗聴されても、第三者が共通鍵を算出することはできない。そのため、アリスとボブは共通鍵を安全に生成することができる。特許文献１には、ＥＣＤＨを使用することによりセキュアチャネルを確立する方法が記載されている。

特許第６７０１４３１号公報

ユーザーは、様々なサービスを利用する際に、各サービスにユーザー情報を登録し、スマートフォンなどのユーザー装置に各サービスのアプリケーションをインストールする。ユーザーが店舗などでサービスを利用するとき、ユーザーはアプリケーションを起動してサービスへのログインを行い、ユーザーの正当性を確認するためのサービス認証に必要な情報を提示する必要がある。そのため、ユーザーＩＤおよびパスワードなどのログイン情報がサービスごとに必要であり、その情報の管理がユーザーの負担となる。

本発明は、ユーザーがサービス認証に必要な情報を管理する負担を減らすことができる認証システムおよび認証方法を提供することを目的とする。

本発明は、ユーザーが管理するユーザー装置と、サービス提供者が管理する提供者装置と、サービス管理者が管理する管理者装置とを備える認証システムであって、前記管理者装置は、前記提供者装置から取得された前記提供者装置の公開鍵を前記管理者装置の秘密鍵で署名することにより証明書を生成する証明書生成部と、前記証明書と、前記ユーザー装置から取得された前記ユーザー装置の公開鍵とを前記提供者装置に送信する管理者通信部と、を有し、前記提供者装置は、前記提供者装置の秘密鍵と前記ユーザー装置の前記公開鍵とを使用する楕円曲線ディフィー・ヘルマン鍵共有によって前記提供者装置の共通鍵を生成する提供者鍵生成部と、前記証明書を前記ユーザー装置に送信し、前記提供者装置の前記共通鍵を使用する暗号通信を前記ユーザー装置と実行する提供者通信部と、を有し、前記ユーザー装置は、前記証明書を、前記管理者装置から取得された前記管理者装置の公開鍵で検証し、前記提供者装置の前記公開鍵を取得する検証部と、前記ユーザー装置の秘密鍵と前記提供者装置の前記公開鍵とを使用する前記楕円曲線ディフィー・ヘルマン鍵共有によって前記ユーザー装置の共通鍵を生成するユーザー鍵生成部と、前記ユーザー装置の前記共通鍵を使用する暗号通信を前記提供者装置と実行するユーザー通信部と、を有する認証システムである。

本発明は、ユーザーが管理するユーザー装置と、サービス提供者が管理する提供者装置と、サービス管理者が管理する管理者装置とを備える認証システムにおける認証方法であって、前記管理者装置の証明書生成部が、前記提供者装置から取得された前記提供者装置の公開鍵を前記管理者装置の秘密鍵で署名することにより証明書を生成するステップと、前記管理者装置の管理者通信部が、前記証明書と、前記ユーザー装置から取得された前記ユーザー装置の公開鍵とを前記提供者装置に送信するステップと、前記提供者装置の提供者通信部が、前記証明書を前記ユーザー装置に送信するステップと、前記ユーザー装置の検証部が、前記証明書を、前記管理者装置から取得された前記管理者装置の公開鍵で検証し、前記提供者装置の前記公開鍵を取得するステップと、前記ユーザー装置のユーザー鍵生成部が、前記ユーザー装置の秘密鍵と前記提供者装置の前記公開鍵とを使用する楕円曲線ディフィー・ヘルマン鍵共有によって前記ユーザー装置の共通鍵を生成するステップと、前記提供者装置の提供者鍵生成部が、前記提供者装置の秘密鍵と前記ユーザー装置の前記公開鍵とを使用する前記楕円曲線ディフィー・ヘルマン鍵共有によって前記提供者装置の共通鍵を生成するステップと、前記ユーザー装置のユーザー通信部が、前記ユーザー装置の前記共通鍵を使用する暗号通信を前記提供者装置と実行するステップと、前記提供者通信部が、前記提供者装置の前記共通鍵を使用する暗号通信を前記ユーザー装置と実行するステップと、を有する認証方法である。

本発明によれば、認証システムおよび認証方法は、ユーザーがサービス認証に必要な情報を管理する負担を減らすことができる。

本発明の第１の実施形態による認証システムの構成を示す図である。 本発明の第１の実施形態による管理者装置の構成の例を示すブロック図である。 本発明の第１の実施形態による提供者装置の構成の例を示すブロック図である。 本発明の第１の実施形態によるユーザー装置の構成の例を示すブロック図である。 本発明の第１の実施形態による認証システムの動作の例を示す図である。 本発明の第１の実施形態による認証システムの動作の例を示す図である。 本発明の第１の実施形態による認証システムの動作の例を示す図である。 本発明の第１の実施形態による認証システムの動作の例を示す図である。 本発明の第１の実施形態による認証システムの動作の例を示す図である。 本発明の第１の実施形態の変形例による認証システムの動作の例を示す図である。 本発明の第２の実施形態における証明書チェーンを利用する装置間の関係を示す図である。 本発明の第２の実施形態による認証システムの構成を示す図である。 本発明の第２の実施形態による認証システムの動作の例を示す図である。 本発明の第２の実施形態による認証システムの動作の例を示す図である。 本発明の第２の実施形態による認証システムの動作の例を示す図である。 本発明の第２の実施形態における管理者証明書の構成の例を示す図である。 本発明の第２の実施形態による認証システムの動作の例を示す図である。 本発明の第２の実施形態の変形例による認証システムの動作の例を示す図である。 本発明の第２の実施形態の変形例による認証システムの動作の例を示す図である。 本発明の第２の実施形態の変形例による認証システムの動作の例を示す図である。 従来の認証システムを示す図である。 従来の認証システムを示す図である。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
本発明の第１の実施形態を説明する。図１は、第１の実施形態による認証システム１の構成を示す。認証システム１は、管理者装置１０、提供者装置２０、およびユーザー装置３０を有する。図１には複数の提供者装置２０が示されているが、認証システム１は１台以上の提供者装置２０を有していればよい。

管理者装置１０は、サービス管理者によって管理される装置であり、サービスを利用するユーザーの情報を管理する。提供者装置２０は、サービス提供者によって管理される装置であり、通信ネットワークを介したサービスをユーザーに提供する。サービス管理者はサービス提供者と同じであってもよいし、異なっていてもよい。同じサービス管理者が２台以上の提供者装置２０を管理してもよい。管理者装置１０は、提供者装置２０と同様のサービス提供機能を有していてもよい。管理者装置１０は、提供者装置２０を承認しており、提供者装置２０と信頼関係を構築している。

ユーザー装置３０は、ユーザーによって管理されるスマートフォン、タブレット端末、またはパーソナルコンピュータなどである。ユーザー装置３０は、管理者装置１０と通信を実行し、ユーザーに関する情報を管理者装置１０に登録する。また、ユーザー装置３０は、サービス認証に必要な情報を管理者装置１０から受信し、その情報を管理する。管理者装置１０およびユーザー装置３０は互いに通信を実行し、信頼関係を構築する。

ユーザー装置３０が提供者装置２０によって提供されるサービスを利用したことがない場合、ユーザー装置３０および提供者装置２０は互いに信頼していない。ユーザー装置３０は、提供者装置２０と通信を実行し、サービス認証に必要な情報を提供者装置２０から受信する。

従来技術のサービス認証では、提供者装置はユーザーＩＤおよびパスワードなどを使用することによりユーザー装置を認証する。一方、第１の実施形態のサービス認証では、ユーザー装置３０は、管理者装置１０と信頼関係を構築し、管理者装置１０および提供者装置２０から受信された情報を使用することにより、提供者装置２０を認証する。ユーザー装置３０は、管理者装置１０によって承認された提供者装置２０を認証することにより、提供者装置２０と信頼関係を構築することができる。提供者装置２０が認証された後、ユーザー装置３０および提供者装置２０は、楕円曲線ディフィー・ヘルマン鍵共有（ＥＣＤＨ）を使用する通信を実行する。

図２は、管理者装置１０の構成の例を示す。管理者装置１０は、通信部１００、制御部１１０、および記憶部１２０を有する。

通信部１００は、提供者装置２０およびユーザー装置３０と通信を実行する。制御部１１０は、通信制御部１１１、情報管理部１１２、鍵生成部１１３、および証明書生成部１１４を有する。通信制御部１１１は、通信部１００が実行する通信を制御する。情報管理部１１２は、管理者装置１０において使用される情報を管理する。鍵生成部１１３は、管理者装置１０の秘密鍵と公開鍵とのペアを生成する。証明書生成部１１４は、提供者装置２０から取得された情報を管理者装置１０の秘密鍵で署名し、証明書を生成する。

通信制御部１１１、情報管理部１１２、鍵生成部１１３、および証明書生成部１１４の少なくとも１つは、ＣＰＵ（Central Processing Unit）のようなプロセッサが、コンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより実現されてもよい。通信制御部１１１、情報管理部１１２、鍵生成部１１３、および証明書生成部１１４の少なくとも１つは、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）のようなハードウェア（回路）によって実現されてもよい。通信制御部１１１、情報管理部１１２、鍵生成部１１３、および証明書生成部１１４の少なくとも１つは、ソフトウェアおよびハードウェアの組み合わせによって実現されてもよい。

記憶部１２０は、ユーザー装置３０から取得された情報などを記憶する。例えば、記憶部１２０は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、またはＲＡＭ（Random Access Memory）である。記憶部１２０は、これらの記録媒体の任意の組み合わせであってもよい。

図３は、提供者装置２０の構成の例を示す。提供者装置２０は、通信部２００、制御部２１０、および記憶部２２０を有する。

通信部２００は、管理者装置１０およびユーザー装置３０と通信を実行する。制御部２１０は、通信制御部２１１、情報管理部２１２、および鍵生成部２１３を有する。通信制御部２１１は、通信部２００が実行する通信を制御する。情報管理部２１２は、提供者装置２０において使用される情報を管理する。鍵生成部２１３は、提供者装置２０の秘密鍵と公開鍵とのペアを生成する。また、鍵生成部２１３は、ＥＣＤＨにより共通鍵を生成する。

記憶部２２０は、管理者装置１０およびユーザー装置３０から取得された情報などを記憶する。例えば、記憶部２２０は、ＨＤＤ、ＳＳＤ、フラッシュメモリ、ＥＥＰＲＯＭ、またはＲＡＭである。記憶部２２０は、これらの記録媒体の任意の組み合わせであってもよい。

図４は、ユーザー装置３０の構成の例を示す。ユーザー装置３０は、通信部３００、制御部３１０、および記憶部３２０を有する。

通信部３００は、管理者装置１０および提供者装置２０と通信を実行する。制御部３１０は、通信制御部３１１、情報管理部３１２、鍵生成部３１３、および検証部３１４を有する。通信制御部３１１は、通信部３００が実行する通信を制御する。情報管理部３１２は、ユーザー装置３０において使用される情報などを管理する。鍵生成部３１３は、ユーザー装置３０の秘密鍵と公開鍵とのペアを生成する。また、鍵生成部３１３は、ＥＣＤＨにより共通鍵を生成する。検証部３１４は、証明書が提供者装置２０から受信されたときに証明書の正当性を検証する。

図５から図９を使用することにより、認証システム１の動作を説明する。図５は、ユーザー装置３０がサービスの利用に必要なユーザー情報を管理者装置１０に登録するための認証システム１の動作の例を示す。

（ステップＳ１００）
ユーザー装置３０の情報管理部３１２は、ユーザー情報Ｉｕを生成する。例えば、ユーザー情報Ｉｕは、ユーザーを識別するためのユーザーＩＤなどを含む。ユーザー情報Ｉｕは、ユーザーのメールアドレスなどを含んでもよい。通信制御部３１１は、ユーザー情報Ｉｕを通信部３００に出力し、通信部３００を制御することによりユーザー情報Ｉｕを管理者装置１０に送信する。また、情報管理部３１２は、ユーザー情報Ｉｕを記憶部３２０に保管する。

（ステップＳ１０５）
管理者装置１０の通信部１００は、ユーザー情報Ｉｕをユーザー装置３０から受信し、ユーザー情報Ｉｕを制御部１１０に出力する。情報管理部１１２は、ユーザー情報Ｉｕを記憶部１２０に登録する。

（ステップＳ１１０）
情報管理部１１２は、ユーザー情報が登録されたことを示す応答メッセージを生成する。通信制御部１１１は、応答メッセージを通信部１００に出力し、通信部１００を制御することにより応答メッセージをユーザー装置３０に送信する。

（ステップＳ１１５）
ユーザー装置３０の通信部３００は、応答メッセージを管理者装置１０から受信し、応答メッセージを制御部３１０に出力する。

（ステップＳ１２０）
鍵生成部３１３は、ユーザー装置３０の秘密鍵であるユーザー秘密鍵Ｋｄｕと、ユーザー装置３０の公開鍵であるユーザー公開鍵Ｋｑｕとを生成する。ユーザー公開鍵Ｋｑｕは、ユーザー秘密鍵Ｋｄｕと楕円曲線Ｇとの掛け算により生成される。楕円曲線Ｇは、ユーザー装置３０と提供者装置２０との間で予め共有される。情報管理部３１２は、ユーザー秘密鍵Ｋｄｕおよびユーザー公開鍵Ｋｑｕを記憶部３２０に保管する。

（ステップＳ１２５）
管理者装置１０の通信部１００が応答メッセージをユーザー装置３０に送信した後、鍵生成部１１３は、管理者装置１０の秘密鍵である管理者秘密鍵Ｋｄｍと、管理者装置１０の公開鍵である管理者公開鍵Ｋｑｍとを生成する。情報管理部１１２は、管理者秘密鍵Ｋｄｍおよび管理者公開鍵Ｋｑｍを記憶部１２０に保管する。

（ステップＳ１３０）
ユーザー装置３０の鍵生成部３１３がユーザー秘密鍵Ｋｄｕおよびユーザー公開鍵Ｋｑｕを生成した後、通信制御部３１１は、ユーザー公開鍵Ｋｑｕを通信部３００に出力し、通信部３００を制御することによりユーザー公開鍵Ｋｑｕを管理者装置１０に送信する。

（ステップＳ１３５）
管理者装置１０の通信部１００は、ユーザー公開鍵Ｋｑｕをユーザー装置３０から受信し、ユーザー公開鍵Ｋｑｕを制御部１１０に出力する。情報管理部１１２は、ユーザー公開鍵Ｋｑｕをユーザー情報Ｉｕと関連付け、ユーザー公開鍵Ｋｑｕを記憶部１２０に保管する。ユーザー公開鍵Ｋｑｕおよびユーザー情報Ｉｕは、互いに関連付けられて記憶部１２０に保管される。

（ステップＳ１４０）
情報管理部１１２は、管理者公開鍵Ｋｑｍを記憶部１２０から読み出す。通信制御部１１１は、管理者公開鍵Ｋｑｍを通信部１００に出力し、通信部１００を制御することにより管理者公開鍵Ｋｑｍをユーザー装置３０に送信する。

（ステップＳ１４５）
ユーザー装置３０の通信部３００は、管理者公開鍵Ｋｑｍを管理者装置１０から受信し、管理者公開鍵Ｋｑｍを制御部３１０に出力する。情報管理部３１２は、管理者公開鍵Ｋｑｍを記憶部３２０に保管する。

図５に示す処理を実行することにより、ユーザー装置３０は、管理者装置１０と信頼関係を構築することができる。

図６および図７は、ユーザー装置３０がサービスの利用を提供者装置２０に申請するときの認証システム１の動作の例を示す。

（ステップＳ２００）
ユーザー装置３０の情報管理部３１２は、ユーザー情報Ｉｕを記憶部３２０から読み出す。通信制御部３１１は、サービスの利用を申請するためにユーザー情報Ｉｕを通信部３００に出力し、通信部３００を制御することによりユーザー情報Ｉｕを提供者装置２０に送信する。例えば、ユーザー情報Ｉｕは、サービスの利用を申請することを示すメッセージに付加される。

（ステップＳ２０５）
提供者装置２０の通信部２００は、ユーザー情報Ｉｕをユーザー装置３０から受信し、ユーザー情報Ｉｕを制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０がサービスの利用を申請していることを認識する。通信制御部２１１は、ユーザー情報Ｉｕを通信部２００に出力し、通信部２００を制御することによりユーザー情報Ｉｕを管理者装置１０に送信する。例えば、ユーザー情報Ｉｕは、ユーザー情報Ｉｕが登録済みであるか否かの検証を申請することを示すメッセージに付加される。

（ステップＳ２１０）
管理者装置１０の通信部１００は、ユーザー情報Ｉｕを提供者装置２０から受信し、ユーザー情報Ｉｕを制御部１１０に出力する。情報管理部１１２は、提供者装置２０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕを記憶部１２０において検索する。提供者装置２０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕが記憶部１２０に保管されている場合、情報管理部１１２は、ユーザー情報Ｉｕと関連付けられているユーザー公開鍵Ｋｑｕを記憶部１２０から取得する。

（ステップＳ２１５）
情報管理部１１２は、検証結果（ＯＫまたはＮＧ）を示す応答メッセージを生成する。提供者装置２０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕが記憶部１２０に保管されている場合、検証結果はＯＫである。提供者装置２０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕが記憶部１２０に保管されていない場合、検証結果はＮＧである。通信制御部１１１は、応答メッセージを通信部１００に出力し、通信部１００を制御することにより応答メッセージを提供者装置２０に送信する。

（ステップＳ２２０）
提供者装置２０の通信部２００は、応答メッセージを管理者装置１０から受信し、応答メッセージを制御部２１０に出力する。情報管理部２１２は、応答メッセージが示す検証結果を確認する。検証結果がＮＧである場合、図６および図７に示す処理が終了する。検証結果がＯＫである場合、鍵生成部２１３は、提供者装置２０の秘密鍵である提供者秘密鍵Ｋｄｓと、提供者装置２０の公開鍵である提供者公開鍵Ｋｑｓとを生成する。提供者公開鍵Ｋｑｓは、提供者秘密鍵Ｋｄｓと楕円曲線Ｇとの掛け算により生成される。情報管理部２１２は、提供者秘密鍵Ｋｄｓおよび提供者公開鍵Ｋｑｓを記憶部２２０に保管する。

（ステップＳ２２５）
情報管理部２１２は、提供者情報Ｉｓを生成する。例えば、提供者情報Ｉｓは、サービス提供者を識別するためのサービス提供者名などを含み、サービスを識別するためのサービス名などを含む。提供者情報Ｉｓは、サービス提供者のメールアドレスまたはサービス利用時に閲覧可能なＷｅｂページのＵＲＬなどを含んでもよい。通信制御部２１１は、提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓを通信部２００に出力し、通信部２００を制御することにより提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓを管理者装置１０に送信する。

（ステップＳ２３０）
管理者装置１０の通信部１００は、提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓを提供者装置２０から受信し、提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓを制御部１１０に出力する。証明書生成部１１４は、管理者秘密鍵Ｋｄｍを記憶部１２０から読み出し、提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓを管理者秘密鍵Ｋｄｍで署名することにより証明書Ｃｍｓを生成する。

（ステップＳ２３５）
通信制御部１１１は、ステップＳ２３０において生成された証明書Ｃｍｓと、ステップＳ２１０において取得されたユーザー公開鍵Ｋｑｕとを通信部１００に出力し、通信部１００を制御することにより証明書Ｃｍｓおよびユーザー公開鍵Ｋｑｕを提供者装置２０に送信する。

（ステップＳ２４０）
提供者装置２０の通信部２００は、証明書Ｃｍｓおよびユーザー公開鍵Ｋｑｕを管理者装置１０から受信し、証明書Ｃｍｓおよびユーザー公開鍵Ｋｑｕを制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報Ｉｕと、管理者装置１０から受信されたユーザー公開鍵Ｋｑｕと、管理者装置１０から受信された証明書Ｃｍｓとを、記憶部２２０に保管されている提供者秘密鍵Ｋｄｓおよび提供者公開鍵Ｋｑｓと関連付け、ユーザー情報Ｉｕとユーザー公開鍵Ｋｑｕと証明書Ｃｍｓとを記憶部２２０に保管する。ユーザー情報Ｉｕ、ユーザー公開鍵Ｋｑｕ、提供者秘密鍵Ｋｄｓ、提供者公開鍵Ｋｑｓ、および証明書Ｃｍｓは、互いに関連付けられて記憶部２２０に保管される。

（ステップＳ２４５）
情報管理部２１２は、サービスの利用の申請が完了したことを示す応答メッセージを生成する。通信制御部２１１は、応答メッセージを通信部２００に出力し、通信部２００を制御することにより応答メッセージをユーザー装置３０に送信する。

図８は、サービス認証における認証システム１の動作の例を示す。サービス認証においてユーザー装置３０は、提供者装置２０が管理者装置１０によって承認されていることを確認する。

（ステップＳ３００）
ユーザー装置３０の情報管理部３１２は、ユーザー情報Ｉｕを記憶部３２０から読み出す。通信制御部３１１は、サービスの利用開始を要求するためにユーザー情報Ｉｕを通信部３００に出力し、通信部３００を制御することによりユーザー情報Ｉｕを提供者装置２０に送信する。例えば、ユーザー情報Ｉｕは、サービスの利用開始を要求することを示すメッセージに付加される。

（ステップＳ３０５）
提供者装置２０の通信部２００は、ユーザー情報Ｉｕをユーザー装置３０から受信し、ユーザー情報Ｉｕを制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０がサービスの利用開始を要求していることを認識する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕを記憶部２２０において検索する。ユーザー装置３０から受信されたユーザー情報Ｉｕと同じユーザー情報Ｉｕが記憶部２２０に保管されている場合、情報管理部２１２は、ユーザー情報Ｉｕと関連付けられている証明書Ｃｍｓを記憶部２２０から取得する。

（ステップＳ３１０）
通信制御部２１１は、証明書Ｃｍｓを通信部２００に出力し、通信部２００を制御することにより証明書Ｃｍｓをユーザー装置３０に送信する。

（ステップＳ３１５）
ユーザー装置３０の通信部３００は、証明書Ｃｍｓを提供者装置２０から受信し、証明書Ｃｍｓを制御部３１０に出力する。検証部３１４は、管理者公開鍵Ｋｑｍを記憶部３２０から読み出し、証明書Ｃｍｓを管理者公開鍵Ｋｑｍで検証する。証明書Ｃｍｓは管理者秘密鍵Ｋｄｍで署名されているため、検証部３１４は証明書Ｃｍｓを管理者公開鍵Ｋｑｍで検証できる。

ステップＳ２３０における証明書Ｃｍｓの生成およびステップＳ３１５における証明書Ｃｍｓの検証の例を説明する。管理者装置１０の証明書生成部１１４は、ステップＳ２３０において、提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓをハッシュ関数に入力し、ハッシュ値を算出する。証明書生成部１１４は、ハッシュ値を管理者秘密鍵Ｋｄｍで暗号化する。証明書生成部１１４は、暗号化されたハッシュ値を署名として提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓに付加することにより証明書Ｃｍｓを生成する。

ユーザー装置３０の検証部３１４は、ステップＳ３１５において、証明書Ｃｍｓに含まれる提供者情報Ｉｓおよび提供者公開鍵Ｋｑｓをハッシュ関数に入力し、ハッシュ値を算出する。また、検証部３１４は、証明書Ｃｍｓに含まれる署名を管理者公開鍵Ｋｑｍで復号し、ハッシュ値を取得する。検証部３１４は、２つのハッシュ値を比較する。２つのハッシュ値が一致する場合、証明書Ｃｍｓの正当性が確認され、証明書Ｃｍｓの検証が成功する。証明書Ｃｍｓの検証の成功は、提供者装置２０が管理者装置１０によって承認されていることを確認できたことを意味する。２つのハッシュ値が一致しない場合、証明書Ｃｍｓの検証が失敗し、図８に示す処理が終了する。

（ステップＳ３２０）
証明書Ｃｍｓの検証が成功した場合、検証部３１４は、提供者公開鍵Ｋｑｓを証明書Ｃｍｓから取得する。

（ステップＳ３２５）
情報管理部３１２は、検証結果（ＯＫまたはＮＧ）を示す応答メッセージを生成する。証明書Ｃｍｓの検証が成功した場合、検証結果はＯＫである。証明書Ｃｍｓの検証が失敗した場合、検証結果はＮＧである。通信制御部３１１は、応答メッセージを通信部３００に出力し、通信部３００を制御することにより応答メッセージを提供者装置２０に送信する。

提供者装置２０の通信部２００は、応答メッセージをユーザー装置３０から受信し、応答メッセージを制御部２１０に出力する。情報管理部２１２は、応答メッセージが示す検証結果を確認する。検証結果がＮＧである場合、ユーザー装置３０はサービスを利用できない。検証結果がＯＫである場合、ユーザー装置３０はサービスを利用できる。

図８に示す処理を実行することにより、ユーザー装置３０および提供者装置２０は、ユーザー公開鍵Ｋｑｕおよび提供者公開鍵Ｋｑｓを共有することができる。

図９は、ユーザー装置３０がサービスを利用するときの認証システム１の動作の例を示す。

（ステップＳ４００）
ユーザー装置３０の鍵生成部３１３は、ユーザー秘密鍵Ｋｄｕおよび提供者公開鍵Ｋｑｓを記憶部３２０から読み出す。鍵生成部３１３は、ユーザー秘密鍵Ｋｄｕおよび提供者公開鍵Ｋｑｓを使用し、ＥＣＤＨによって共通鍵Ｋｋｕを生成する。情報管理部３１２は、共通鍵Ｋｋｕを記憶部３２０に保管する。

（ステップＳ４０５）
提供者装置２０の鍵生成部２１３は、提供者秘密鍵Ｋｄｓおよびユーザー公開鍵Ｋｑｕを記憶部２２０から読み出す。鍵生成部２１３は、提供者秘密鍵Ｋｄｓおよびユーザー公開鍵Ｋｑｕを使用し、ＥＣＤＨによって共通鍵Ｋｋｓを生成する。情報管理部２１２は、共通鍵Ｋｋｓを記憶部２２０に保管する。

ユーザー秘密鍵Ｋｄｕ、ユーザー公開鍵Ｋｑｕ、提供者秘密鍵Ｋｄｓ、および提供者公開鍵Ｋｑｓの間には、以下の式（２）に示す関係が成立する。
Ｋｄｕ＊Ｋｑｓ＝Ｋｄｕ＊Ｋｄｓ＊Ｇ＝Ｋｄｓ＊Ｋｄｕ＊Ｇ＝Ｋｄｓ＊Ｋｑｕ ・・・（２）

ユーザー装置３０および提供者装置２０は、お互いに共通の楕円曲線上のｘ座標を取得することができる。ユーザー装置３０および提供者装置２０は、このｘ座標を共通鍵とする。ユーザー装置３０はユーザー秘密鍵Ｋｄｕを秘密に所持し、提供者装置２０は提供者秘密鍵Ｋｄｓを秘密に所持しているため、通信路上でユーザー公開鍵Ｋｑｕまた提供者公開鍵Ｋｑｓが盗聴されても、第三者が共通鍵を算出することはできない。そのため、ユーザー装置３０および提供者装置２０は共通鍵を安全に生成することができる。

（ステップＳ４１０）
ユーザー装置３０の通信制御部３１１は、通信部３００を使用することにより提供者装置２０と暗号通信を実行する。

（ステップＳ４１５）
提供者装置２０の通信制御部２１１は、通信部２００を使用することによりユーザー装置３０と暗号通信を実行する。

ステップＳ４１０およびステップＳ４１５において、ユーザー装置３０から提供者装置２０への情報の送信は以下のように実行される。ユーザー装置３０の情報管理部３１２は、共通鍵Ｋｋｕを記憶部３２０から読み出し、提供者装置２０へ送信される情報を共通鍵Ｋｋｕで暗号化する。通信制御部３１１は、暗号化された情報を通信部３００に出力し、通信部３００を使用することによりその情報を提供者装置２０に送信する。提供者装置２０の通信部２００は、暗号化された情報をユーザー装置３０から受信し、その情報を制御部２１０に出力する。情報管理部２１２は、共通鍵Ｋｋｓを記憶部２２０から読み出し、暗号化された情報を共通鍵Ｋｋｓで復号する。

ステップＳ４１０およびステップＳ４１５において、提供者装置２０からユーザー装置３０への情報の送信は以下のように実行される。提供者装置２０の情報管理部２１２は、共通鍵Ｋｋｓを記憶部２２０から読み出し、ユーザー装置３０へ送信される情報を共通鍵Ｋｋｓで暗号化する。通信制御部２１１は、暗号化された情報を通信部２００に出力し、通信部２００を使用することによりその情報をユーザー装置３０に送信する。ユーザー装置３０の通信部３００は、暗号化された情報を提供者装置２０から受信し、その情報を制御部３１０に出力する。情報管理部３１２は、共通鍵Ｋｋｕを記憶部３２０から読み出し、暗号化された情報を共通鍵Ｋｋｕで復号する。

ユーザー装置３０および提供者装置２０は、共通鍵を使用する暗号通信を実行することにより、安全に通信を実行することができる。

ユーザー装置３０は、証明書Ｃｍｓに含まれる提供者情報Ｉｓを使用することにより各種処理を実行してもよい。例えば、ユーザー装置３０は、提供者情報Ｉｓに含まれるサービス提供者名およびサービス名を使用することにより、サービス提供者の正当性を検証してもよい。ユーザー装置３０は、提供者情報Ｉｓに含まれるメールアドレスを提供者装置２０への問い合わせなどに使用してもよい。ユーザー装置３０は、提供者情報Ｉｓに含まれるＵＲＬにアクセスし、各種情報をダウンロードしてもよい。

上記のように、管理者装置１０の証明書生成部１１４は、提供者装置２０から取得された提供者公開鍵Ｋｑｓを管理者秘密鍵Ｋｄｍで署名することにより証明書Ｃｍｓを生成する（ステップＳ２３０）。管理者装置１０の通信部１００（管理者通信部）は、証明書Ｃｍｓと、ユーザー装置３０から取得されたユーザー公開鍵Ｋｑｕとを提供者装置２０に送信する（ステップＳ２３５）。提供者装置２０の通信部２００（提供者通信部）は、証明書Ｃｍｓをユーザー装置３０に送信する（ステップＳ３１０）。ユーザー装置３０の検証部３１４は、証明書Ｃｍｓを、管理者装置から取得された管理者公開鍵Ｋｑｍで検証し（ステップＳ３１５）、提供者公開鍵Ｋｑｓを取得する（ステップＳ３２０）。ユーザー装置３０の鍵生成部３１３（ユーザー鍵生成部）は、ユーザー秘密鍵Ｋｄｕと提供者公開鍵Ｋｑｓとを使用するＥＣＤＨによってユーザー装置３０の共通鍵Ｋｋｕを生成する（ステップＳ４００）。提供者装置２０の鍵生成部２１３（提供者鍵生成部）は、提供者秘密鍵Ｋｄｓとユーザー公開鍵Ｋｑｕとを使用するＥＣＤＨによって提供者装置２０の共通鍵Ｋｋｓを生成する（ステップ４０５）。ユーザー装置３０の通信部３００（ユーザー通信部）は、ユーザー装置３０の共通鍵Ｋｋｕを使用する暗号通信を提供者装置２０と実行する（ステップＳ４１０）。提供者装置２０の通信部２００（提供者通信部）は、提供者装置２０の共通鍵Ｋｋｓを使用する暗号通信をユーザー装置３０と実行する（ステップＳ４１５）。

ユーザー装置３０は、ユーザー秘密鍵Ｋｄｕおよびユーザー公開鍵Ｋｑｕのペアを使用することにより、様々なサービスを利用することができる。ユーザーは、サービスごとのログイン情報を管理する必要はない。例えば、ユーザーは、ユーザー装置３０が管理者装置１０と接続するためのユーザーＩＤおよびパスワードのみを管理すればよい。ユーザー装置３０が提供者装置２０と接続するためのユーザーＩＤおよびパスワードは不要である。そのため、認証システム１は、ユーザーがサービス認証に必要な情報を管理する負担を減らすことができる。

例えば、従来の認証システムにおいてｎ種類のサービス提供者が存在する場合、ユーザーはユーザーＩＤおよびパスワードのｎ個のペアを管理する必要がある。一方、第１の実施形態による認証システム１においてユーザーはユーザーＩＤおよびパスワードの１つのペアを使用することによりｎ種類のサービスを利用することができる。

ユーザー装置３０および提供者装置２０の暗号通信に楕円曲線暗号が使用されるため、共通鍵のデータ長は最大で５２１ビットである。そのため、ユーザー装置３０におけるデータ量が大幅に削減される。

従来技術では、ユーザー装置はサービスごとに異なるアプリケーションを使用する必要がある。一方、第１の実施形態による認証システム１において、ユーザー装置３０は１つのアプリケーションを使用することにより様々なサービスを利用することができる。そのため、ユーザー装置３０におけるデータ量が削減される。

（第１の実施形態の変形例）
本発明の第１の実施形態の変形例を説明する。前述したように、サービス認証においてユーザー装置３０は、提供者装置２０が管理者装置１０によって承認されていることを確認する。これに加えて、サービス認証において提供者装置２０は、ユーザー装置３０が管理者装置１０によって承認されていることを確認する。

認証システム１は、図５から図９に示す処理を実行する。また、認証システム１は、図１０に示す処理を実行する。図１０は、サービス認証における認証システム１の動作の例を示す。例えば、図９に示すステップＳ４００およびステップＳ４０５が実行された後、図１０に示す処理が実行される。

（ステップＳ５００）
ユーザー装置３０の情報管理部３１２は、認証情報を生成する。例えば、認証情報は、ユーザーＩＤおよびパスワードを含む。

（ステップＳ５０５）
情報管理部３１２は、ユーザー秘密鍵Ｋｄｕを記憶部３２０から読み出し、認証情報をユーザー秘密鍵Ｋｄｕで署名することにより署名情報を生成する。

（ステップＳ５１０）
情報管理部３１２は、共通鍵Ｋｋｕを記憶部３２０から読み出し、認証情報および署名情報を共通鍵Ｋｋｕで暗号化することにより暗号文を生成する。

（ステップＳ５１５）
通信制御部３１１は、暗号文を通信部３００に出力し、通信部３００を使用することにより暗号文を提供者装置２０に送信する。

（ステップＳ５２０）
提供者装置２０の通信部２００は、暗号文をユーザー装置３０から受信し、暗号文を制御部２１０に出力する。情報管理部２１２は、共通鍵Ｋｋｓを記憶部２２０から読み出し、暗号文を共通鍵Ｋｋｓで復号する。これにより、情報管理部２１２は、認証情報および署名情報を取得する。

（ステップＳ５２５）
情報管理部２１２は、ユーザー公開鍵Ｋｑｕを記憶部２２０から読み出し、認証情報および署名情報をユーザー公開鍵Ｋｑｕで検証する。

ステップＳ５０５における署名情報の生成およびステップＳ５２５における認証情報および署名情報の検証の例を説明する。ユーザー装置３０の情報管理部３１２は、ステップＳ５０５において、認証情報をハッシュ関数に入力し、ハッシュ値を算出する。情報管理部３１２は、ハッシュ値をユーザー秘密鍵Ｋｄｕで暗号化することにより署名情報を生成する。

提供者装置２０の情報管理部２１２は、ステップＳ５２５において、認証情報をハッシュ関数に入力し、ハッシュ値を算出する。また、情報管理部２１２は、署名情報をユーザー公開鍵Ｋｑｕで復号し、ハッシュ値を取得する。情報管理部２１２は、２つのハッシュ値を比較する。２つのハッシュ値が一致する場合、認証情報および署名情報の正当性が確認され、認証情報および署名情報の検証が成功する。認証情報および署名情報の検証の成功は、ユーザー装置３０が管理者装置１０によって承認されていることを確認できたことを意味する。２つのハッシュ値が一致しない場合、認証情報および署名情報の検証が失敗する。

（ステップＳ５３０）
情報管理部２１２は、検証結果（ＯＫまたはＮＧ）を示す応答メッセージを生成する。認証情報および署名情報の検証が成功した場合、検証結果はＯＫである。認証情報および署名情報の検証が失敗場合、検証結果はＮＧである。通信制御部２１１は、応答メッセージを通信部２００に出力し、通信部２００を制御することにより応答メッセージをユーザー装置３０に送信する。

ユーザー装置３０の通信部３００は、応答メッセージを提供者装置２０から受信し、応答メッセージを制御部３１０に出力する。情報管理部３１２は、応答メッセージが示す検証結果を確認する。検証結果がＮＧである場合、ユーザー装置３０および提供者装置２０は通信を停止する。検証結果がＯＫである場合、ユーザー装置３０および提供者装置２０は暗号通信を実行する（図９のステップＳ４１０およびステップＳ４１５）。

上記のように、ユーザー装置３０の情報管理部３１２（第２の生成部）は、認証情報をユーザー秘密鍵Ｋｄｕで署名することにより署名情報を生成する（ステップＳ５０５）。通信部３００は、署名情報を提供者装置２０に送信する（ステップＳ５１５）。提供者装置２０の情報管理部２１２（情報処理部）は、署名情報をユーザー公開鍵Ｋｑｕで検証する（ステップＳ５２５）。

提供者装置２０は、認証情報および署名情報の正当性を確認することにより、ユーザー装置３０が管理者装置１０によって承認されていることを確認することができる。また、ユーザー装置３０が認証情報および署名情報を共通鍵Ｋｋｕで暗号化し、提供者装置２０が認証情報および署名情報の暗号文を共通鍵Ｋｋｓで復号することにより、提供者装置２０は、共通鍵がユーザー装置３０および提供者装置２０によって正しく共有されていることを確認することができる。

（第２の実施形態）
本発明の第２の実施形態を説明する。図１１は、第２の実施形態における証明書チェーンを利用する装置間の関係を示す。

管理者装置１０は、証明書チェーンを構成する階層構造の最上位（［１］番目）に位置する。管理者装置１０に加えて、２台以上の提供者装置２０が証明書チェーンを利用する。階層構造の［ｎ－１］番目に位置する提供者装置２０［ｎ－１］は、階層構造の［ｎ］番目に位置する提供者装置２０［ｎ］の管理者として機能する。

ユーザー装置３０は、ユーザー情報を管理者装置１０に登録し、ユーザー秘密鍵Ｋｄｕおよびユーザー公開鍵Ｋｑｕを生成する。また、ユーザー装置３０は、管理者公開鍵Ｋｑｍを管理者装置１０から受信する。ユーザー装置３０は、提供者装置２０［ｎ］のサービスを利用するとき、提供者装置２０［ｎ］の提供者公開鍵Ｋｑｓ［ｎ］を取得する。

図１２は、第２の実施形態による認証システム１ａの構成を示す。認証システム１ａは、管理者装置１０、提供者装置２０ａ、提供者装置２０ｂ、およびユーザー装置３０を有する。管理者装置１０は、図１に示す管理者装置１０と同じである。提供者装置２０ａおよび提供者装置２０ｂは、図１に示す提供者装置２０と同じである。提供者装置２０ｂを管理するサービス提供者は、提供者装置２０ａを管理するサービス提供者（第２のサービス提供者）と同じであってもよいし、異なっていてもよい。ユーザー装置３０は、図１に示すユーザー装置３０と同じである。

管理者装置１０は、証明書チェーンを構成する階層構造の［１］番目に位置する。提供者装置２０ａは、証明書チェーンを構成する階層構造の［２］番目に位置する。管理者装置１０は、提供者装置２０ａから見た管理者である。提供者装置２０ｂは、証明書チェーンを構成する階層構造の［３］番目に位置する。提供者装置２０ａは、提供者装置２０ｂから見た管理者である。提供者装置２０ａは管理者装置１０の情報を有しているが、提供者装置２０ｂは管理者装置１０の情報を有する必要はない。

ユーザー装置３０は、ユーザー情報を管理者装置１０に登録し、管理者装置１０と信頼関係を構築する。管理者装置１０は提供者装置２０ａを承認し、提供者装置２０ａは提供者装置２０ｂを承認している。そのため、管理者装置１０は提供者装置２０ｂを間接的に承認している。ユーザー装置３０は、管理者装置１０によって間接的に承認された提供者装置２０ｂを認証することにより、提供者装置２０ｂと信頼関係を構築する。

ユーザー装置３０および管理者装置１０は、図５に示す処理を実行する。ユーザー装置３０は、ユーザー情報を管理者装置１０に登録する。ユーザー装置３０はユーザー公開鍵を管理者装置１０に送信し、管理者装置１０はユーザー公開鍵を記憶部１２０に保管する。管理者装置１０は管理者公開鍵をユーザー装置３０に送信し、ユーザー装置３０は管理者公開鍵を記憶部３２０に保管する。

図１３から図１６を使用することにより、認証システム１ａの動作を説明する。図１３から図１５は、ユーザー装置３０がサービスの利用を提供者装置２０ｂに申請するときの認証システム１ａの動作の例を示す。

（ステップＳ６００）
ユーザー装置３０の情報管理部３１２は、ユーザー情報を記憶部３２０から読み出す。通信制御部３１１は、サービスの利用を申請するためにユーザー情報を通信部３００に出力し、通信部３００を制御することによりユーザー情報を提供者装置２０ｂに送信する。例えば、ユーザー情報は、サービスの利用を申請することを示すメッセージに付加される。

（ステップＳ６０５）
提供者装置２０ｂの通信部２００は、ユーザー情報をユーザー装置３０から受信し、ユーザー情報を制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０がサービスの利用を申請していることを認識する。通信制御部２１１は、ユーザー情報を通信部２００に出力し、通信部２００を制御することによりユーザー情報を提供者装置２０ａに送信する。例えば、ユーザー情報は、ユーザー情報が登録済みであるか否かの検証を申請することを示すメッセージに付加される。ユーザー情報の宛先は管理者装置１０である。

（ステップＳ６１０）
提供者装置２０ａの通信部２００は、ユーザー情報を提供者装置２０ｂから受信し、ユーザー情報を制御部２１０に出力する。ユーザー情報の宛先が管理者装置１０であるため、通信制御部２１１は、ユーザー情報を通信部２００に出力し、通信部２００を制御することによりユーザー情報を管理者装置１０に送信する。

（ステップＳ６１５）
管理者装置１０の通信部１００は、ユーザー情報を提供者装置２０ａから受信し、ユーザー情報を制御部１１０に出力する。情報管理部１１２は、提供者装置２０ａから受信されたユーザー情報と同じユーザー情報を記憶部１２０において検索する。提供者装置２０ａから受信されたユーザー情報と同じユーザー情報が記憶部１２０に保管されている場合、情報管理部１１２は、ユーザー情報と関連付けられているユーザー公開鍵を記憶部１２０から取得する。

（ステップＳ６２０）
情報管理部１１２は、検証結果（ＯＫまたはＮＧ）を示す応答メッセージを生成する。提供者装置２０ａから受信されたユーザー情報と同じユーザー情報が記憶部１２０に保管されている場合、検証結果はＯＫである。提供者装置２０ａから受信されたユーザー情報と同じユーザー情報が記憶部１２０に記憶部１２０に保管されていない場合、検証結果はＮＧである。通信制御部１１１は、応答メッセージを通信部１００に出力し、通信部１００を制御することにより応答メッセージを提供者装置２０ａに送信する。応答メッセージの宛先は、ユーザー情報の送信元である提供者装置２０ｂである。

（ステップＳ６２５）
提供者装置２０ａの通信部２００は、応答メッセージを管理者装置１０から受信し、応答メッセージを制御部２１０に出力する。応答メッセージの宛先が提供者装置２０ｂであるため、通信制御部２１１は、応答メッセージを通信部２００に出力し、通信部２００を制御することにより応答メッセージを提供者装置２０ｂに送信する。

（ステップＳ６３０）
提供者装置２０ｂの通信部２００は、応答メッセージを提供者装置２０ａから受信し、応答メッセージを制御部２１０に出力する。情報管理部２１２は、応答メッセージが示す検証結果を確認する。検証結果がＮＧである場合、図１３から図１５に示す処理が終了する。検証結果がＯＫである場合、鍵生成部２１３は、提供者装置２０ｂの秘密鍵である提供者Ｂ秘密鍵と、提供者装置２０ｂの公開鍵である提供者Ｂ公開鍵とを生成する。情報管理部２１２は、提供者Ｂ秘密鍵および提供者Ｂ公開鍵を記憶部２２０に保管する。

（ステップＳ６３５）
情報管理部２１２は、提供者装置２０ｂの提供者情報である提供者Ｂ情報を生成する。通信制御部２１１は、提供者Ｂ情報および提供者Ｂ公開鍵を通信部２００に出力し、通信部２００を制御することにより提供者Ｂ情報および提供者Ｂ公開鍵を提供者装置２０ａに送信する。

（ステップＳ６４０）
提供者装置２０ａの通信部２００は、提供者Ｂ情報および提供者Ｂ公開鍵を提供者装置２０ｂから受信し、提供者Ｂ情報および提供者Ｂ公開鍵を制御部２１０に出力する。提供者装置２０ａは、提供者装置２０ａの秘密鍵である提供者Ａ秘密鍵と、提供者装置２０ａの公開鍵である提供者Ａ公開鍵とを予め生成し、提供者Ａ秘密鍵および提供者Ａ公開鍵を記憶部２２０に保管している。情報管理部２１２は、提供者Ａ秘密鍵を記憶部２２０から読み出し、提供者Ｂ情報および提供者Ｂ公開鍵を提供者Ａ秘密鍵で署名することにより提供者証明書を生成する。

（ステップＳ６４５）
情報管理部２１２は、提供者装置２０ａの提供者情報である提供者Ａ情報を生成する。通信制御部２１１は、提供者Ａ公開鍵を記憶部２２０から読み出す。通信制御部２１１は、提供者証明書と提供者Ａ情報と提供者Ａ公開鍵とを通信部２００に出力し、通信部２００を制御することにより提供者証明書と提供者Ａ情報と提供者Ａ公開鍵とを管理者装置１０に送信する。

（ステップＳ６５０）
管理者装置１０の通信部１００は、提供者証明書と提供者Ａ情報と提供者Ａ公開鍵とを提供者装置２０ａから受信し、提供者証明書と提供者Ａ情報と提供者Ａ公開鍵とを制御部１１０に出力する。証明書生成部１１４は、管理者秘密鍵を記憶部１２０から読み出し、提供者証明書と提供者Ａ情報と提供者Ａ公開鍵とを管理者秘密鍵で署名することにより管理者証明書を生成する。

図１６は、管理者証明書の構成の例を示す。図１６に示す管理者証明書Ｃ２は、提供者証明書Ｃ１、提供者Ａ情報Ｉｓａ、および提供者Ａ公開鍵Ｋｑｓａを含む。提供者証明書Ｃ１は、提供者Ｂ情報Ｉｓｂおよび提供者Ｂ公開鍵Ｋｑｓｂを含む。管理者証明書Ｃ２の全体は管理者秘密鍵で署名されている。提供者証明書Ｃ１は提供者Ａ秘密鍵で署名されている。

（ステップＳ６５５）
通信制御部１１１は、ステップＳ６５０において生成された管理者証明書と、ステップＳ６１５において取得されたユーザー公開鍵とを通信部１００に出力し、通信部１００を制御することにより管理者証明書およびユーザー公開鍵を提供者装置２０ａに送信する。管理者証明書およびユーザー公開鍵の宛先は、提供者装置２０ｂである。

（ステップＳ６６０）
提供者装置２０ａの通信部２００は、管理者証明書およびユーザー公開鍵を管理者装置１０から受信し、管理者証明書およびユーザー公開鍵を制御部２１０に出力する。管理者証明書およびユーザー公開鍵の宛先が提供者装置２０ｂであるため、通信制御部２１１は、管理者証明書およびユーザー公開鍵を通信部２００に出力し、通信部２００を制御することにより管理者証明書およびユーザー公開鍵を提供者装置２０ｂに送信する。

（ステップＳ６６５）
提供者装置２０ｂの通信部２００は、管理者証明書およびユーザー公開鍵を提供者装置２０ａから受信し、管理者証明書およびユーザー公開鍵を制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報と、提供者装置２０ａを介して管理者装置１０から受信されたユーザー公開鍵と、提供者装置２０ａを介して管理者装置１０から受信された管理者証明書とを、記憶部２２０に保管されている提供者Ｂ秘密鍵および提供者Ｂ公開鍵と関連付け、ユーザー情報とユーザー公開鍵と管理者証明書とを記憶部２２０に保管する。ユーザー情報、ユーザー公開鍵、提供者Ｂ秘密鍵、提供者Ｂ公開鍵、および管理者証明書は、互いに関連付けられて記憶部２２０に保管される。

（ステップＳ６７０）
情報管理部２１２は、サービスの利用の申請が完了したことを示す応答メッセージを生成する。通信制御部２１１は、応答メッセージを通信部２００に出力し、通信部２００を制御することにより応答メッセージをユーザー装置３０に送信する。

図１７は、サービス認証における認証システム１ａの動作の例を示す。サービス認証においてユーザー装置３０は、提供者装置２０ｂが管理者装置１０によって承認されていることを確認する。

（ステップＳ７００）
ユーザー装置３０の情報管理部３１２は、ユーザー情報を記憶部３２０から読み出す。通信制御部３１１は、サービスの利用開始を要求するためにユーザー情報を通信部３００に出力し、通信部３００を制御することによりユーザー情報を提供者装置２０ｂに送信する。例えば、ユーザー情報は、サービスの利用開始を要求することを示すメッセージに付加される。

（ステップＳ７０５）
提供者装置２０ｂの通信部２００は、ユーザー情報をユーザー装置３０から受信し、ユーザー情報を制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０がサービスの利用開始を要求していることを認識する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報と同じユーザー情報を記憶部２２０において検索する。ユーザー装置３０から受信されたユーザー情報と同じユーザー情報が記憶部２２０に保管されている場合、情報管理部２１２は、ユーザー情報と関連付けられている管理者証明書を記憶部２２０から取得する。

（ステップＳ７１０）
通信制御部２１１は、管理者証明書を通信部２００に出力し、通信部２００を制御することにより管理者証明書をユーザー装置３０に送信する。

（ステップＳ７１５）
ユーザー装置３０の通信部３００は、管理者証明書を提供者装置２０ｂから受信し、管理者証明書を制御部３１０に出力する。検証部３１４は、管理者公開鍵を記憶部３２０から読み出し、管理者証明書を管理者公開鍵で検証する。管理者証明書の全体は管理者秘密鍵で署名されているため、検証部３１４は管理者証明書を管理者公開鍵で検証できる。

（ステップＳ７２０）
管理者証明書の検証が成功した場合、検証部３１４は、提供者Ａ公開鍵を管理者証明書から取得する。

（ステップＳ７２５）
検証部３１４は、管理者証明書に格納されている提供者証明書を提供者Ａ公開鍵で検証する。提供者証明書は提供者Ａ秘密鍵で署名されているため、検証部３１４は提供者証明書を提供者Ａ公開鍵で検証できる。

（ステップＳ７３０）
提供者証明書の検証が成功した場合、検証部３１４は、提供者Ｂ公開鍵を提供者証明書から取得する。

（ステップＳ７３５）
情報管理部３１２は、検証結果（ＯＫまたはＮＧ）を示す応答メッセージを生成する。管理者証明書および提供者証明書の両方の検証が成功した場合、検証結果はＯＫである。管理者証明書または提供者証明書の検証が失敗した場合、検証結果はＮＧである。通信制御部３１１は、応答メッセージを通信部３００に出力し、通信部３００を制御することにより応答メッセージを提供者装置２０ｂに送信する。

提供者装置２０ｂの通信部２００は、応答メッセージをユーザー装置３０から受信し、応答メッセージを制御部２１０に出力する。情報管理部２１２は、応答メッセージが示す検証結果を確認する。検証結果がＮＧである場合、ユーザー装置３０はサービスを利用できない。検証結果がＯＫである場合、ユーザー装置３０はサービスを利用できる。

図１７に示す処理を実行することにより、ユーザー装置３０および提供者装置２０ｂは、ユーザー公開鍵および提供者Ｂ公開鍵を共有することができる。

ユーザー装置３０がサービスを利用するとき、認証システム１ａは、図９に示す処理と同じ処理を実行する。提供者装置２０ｂは、図９に示す提供者装置２０が実行する処理と同じ処理を実行する。

ユーザー装置３０および提供者装置２０ｂは、図１０に示す処理と同じ処理を実行してもよい。

上記のように、提供者装置２０ａ（第２の提供者装置）の情報管理部２１２（情報処理部）は、提供者装置２０ｂから受信された提供者Ｂ公開鍵を提供者Ａ装置の秘密鍵で署名することにより提供者証明書（第２の証明書）を生成する（ステップＳ６４０）。提供者装置２０ａの通信部２００（第２の提供者通信部）は、提供者証明書と提供者Ａ公開鍵とを管理者装置１０に送信する（ステップＳ６４５）。管理者装置１０の証明書生成部１１４は、提供者証明書と提供者Ａ公開鍵とを管理者秘密鍵で署名することにより管理者証明書を生成する（ステップＳ６５０）。管理者装置１０の通信部１００（管理者通信部）は、管理者証明書とユーザー公開鍵とを、提供者装置２０ａを介して提供者装置２０ｂに送信する（ステップＳ６５５，Ｓ６６０）。提供者装置２０ｂの通信部２００は、管理者証明書をユーザー装置３０に送信する（ステップＳ７１０）。ユーザー装置３０の検証部３１４は、管理者証明書を管理者公開鍵で検証し（ステップＳ７１５）、提供者装置２０ａの提供者Ａ公開鍵を取得する（ステップＳ７２０）。検証部３１４は、管理者証明書に含まれる提供者証明書を提供者装置２０ａの提供者Ａ公開鍵で検証し（ステップＳ７２５）、提供者装置２０ｂの提供者Ｂ公開鍵を取得する（ステップＳ７３０）。

ユーザー装置３０は、ユーザー秘密鍵およびユーザー公開鍵のペアを使用することにより、様々なサービスを利用することができる。ユーザーは、サービスごとのログイン情報を管理する必要はない。そのため、認証システム１ａは、ユーザーがサービス認証に必要な情報を管理する負担を減らすことができる。

（第２の実施形態の変形例）
本発明の第２の実施形態の変形例を説明する。図１４および図１５に示す動作は、図１８および図１９に示す動作に変更される。図１８および図１９を使用することにより、認証システム１ａの動作を説明する。図１８および図１９は、ユーザー装置３０がサービスの利用を提供者装置２０ｂに申請するときの認証システム１ａの動作の例を示す。図１４および図１５に示す処理と同じ処理の説明を省略する。

図１８に示すステップＳ６３５およびステップＳ６４０は、図１４に示すステップＳ６３５およびステップＳ６４０と同じである。

（ステップＳ６４５ａ）
情報管理部２１２は、提供者装置２０ａの提供者情報である提供者Ａ情報を生成する。通信制御部２１１は、提供者Ａ公開鍵を記憶部２２０から読み出す。通信制御部２１１は、提供者Ａ情報および提供者Ａ公開鍵を通信部２００に出力し、通信部２００を制御することにより提供者Ａ情報および提供者Ａ公開鍵を管理者装置１０に送信する。

（ステップＳ６５０ａ）
管理者装置１０の通信部１００は、提供者Ａ情報および提供者Ａ公開鍵を提供者装置２０ａから受信し、提供者Ａ情報および提供者Ａ公開鍵を制御部１１０に出力する。証明書生成部１１４は、管理者秘密鍵を記憶部１２０から読み出し、提供者Ａ情報および提供者Ａ公開鍵を管理者秘密鍵で署名することにより管理者証明書を生成する。

図１９に示すステップＳ６５５は、図１５に示すステップＳ６５５と同じである。

（ステップＳ６６０ａ）
提供者装置２０ａの通信部２００は、管理者証明書およびユーザー公開鍵を管理者装置１０から受信し、管理者証明書およびユーザー公開鍵を制御部２１０に出力する。管理者証明書およびユーザー公開鍵の宛先が提供者装置２０ｂであるため、通信制御部２１１は、管理者証明書およびユーザー公開鍵を通信部２００に出力する。また、通信制御部２１１は、ステップＳ６４０において生成された提供者証明書を通信部２００に出力する。通信制御部２１１は、通信部２００を制御することにより提供者証明書と管理者証明書とユーザー公開鍵とを提供者装置２０ｂに送信する。

（ステップＳ６６５ａ）
提供者装置２０ｂの通信部２００は、提供者証明書と管理者証明書とユーザー公開鍵とを提供者装置２０ａから受信し、提供者証明書と管理者証明書とユーザー公開鍵とを制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報と、提供者装置２０ａを介して管理者装置１０から受信されたユーザー公開鍵と、提供者装置２０ａから受信された提供者証明書と、提供者装置２０ａを介して管理者装置１０から受信された管理者証明書とを、記憶部２２０に保管されている提供者Ｂ秘密鍵および提供者Ｂ公開鍵と関連付け、ユーザー情報とユーザー公開鍵と提供者証明書と管理者証明書とを記憶部２２０に保管する。ユーザー情報、ユーザー公開鍵、提供者Ｂ秘密鍵、提供者Ｂ公開鍵、提供者証明書、および管理者証明書は、互いに関連付けられて記憶部２２０に保管される。

図１９に示すステップＳ６７０は、図１５に示すステップＳ６７０と同じである。

図１７に示す動作は、図２０に示す動作に変更される。図２０を使用することにより、認証システム１ａの動作を説明する。図２０は、サービス認証における認証システム１ａの動作の例を示す。図１７に示す処理と同じ処理の説明を省略する。

図２０に示すステップＳ７００は、図１７に示すステップＳ７００と同じである。

（ステップＳ７０５ａ）
提供者装置２０ｂの通信部２００は、ユーザー情報をユーザー装置３０から受信し、ユーザー情報を制御部２１０に出力する。情報管理部２１２は、ユーザー装置３０がサービスの利用開始を要求していることを認識する。情報管理部２１２は、ユーザー装置３０から受信されたユーザー情報と同じユーザー情報を記憶部２２０において検索する。ユーザー装置３０から受信されたユーザー情報と同じユーザー情報が記憶部２２０に保管されている場合、情報管理部２１２は、ユーザー情報と関連付けられている提供者証明書および管理者証明書を記憶部２２０から取得する。

（ステップＳ７１０ａ）
通信制御部２１１は、提供者証明書および管理者証明書を通信部２００に出力し、通信部２００を制御することにより提供者証明書および管理者証明書をユーザー装置３０に送信する。提供者証明書および管理者証明書がユーザー装置３０に同時に送信される必要はない。通信制御部２１１は、通信部２００を制御することにより提供者証明書および管理者証明書の一方をユーザー装置３０に送信した後、通信部２００を制御することにより提供者証明書および管理者証明書の他方をユーザー装置３０に送信してもよい。

図２０に示すステップＳ７１５およびステップＳ７２０は、図１７に示すステップＳ７１５およびステップＳ７２０と同じである。

（ステップＳ７２５ａ）
検証部３１４は、提供者装置２０ｂから受信された提供者証明書を提供者Ａ公開鍵で検証する。提供者証明書は提供者Ａ秘密鍵で署名されているため、検証部３１４は提供者証明書を提供者Ａ公開鍵で検証できる。

図２０に示すステップＳ７３０およびステップＳ７３５は、図１７に示すステップＳ７３０およびステップＳ７３５と同じである。

提供者装置２０ｂは、ステップＳ７１０ａにおいて提供者証明書をユーザー装置３０に送信せずに管理者証明書をユーザー装置３０に送信してもよい。ステップＳ７１５における管理者証明書の検証が成功した場合、ユーザー装置３０は提供者証明書の送信を提供者装置２０ｂに要求してもよい。提供者装置２０ｂは、ユーザー装置３０からの要求に応じて提供者証明書をユーザー装置３０に送信してもよい。提供者証明書が受信された後、ユーザー装置３０はステップＳ７２５ａにおける提供者証明書の検証を実行してもよい。

上記のように、提供者装置２０ａ（第２の提供者装置）の情報管理部２１２（情報処理部）は、提供者装置２０ｂから受信された提供者Ｂ公開鍵を提供者Ａ秘密鍵で署名することにより提供者証明書（第２の証明書）を生成する（ステップＳ６４０）。提供者装置２０ａの通信部２００（第２の提供者通信部）は、提供者装置Ａ公開鍵を管理者装置１０に送信する（ステップＳ６４５ａ）。管理者装置１０の証明書生成部１１４は、提供者Ａ公開鍵を管理者秘密鍵で署名することにより管理者証明書を生成する（ステップＳ６５０ａ）。管理者装置１０の通信部１００（管理者通信部）は、管理者証明書とユーザー公開鍵とを提供者装置２０ａに送信する（ステップＳ６５５）。提供者装置２０ａの通信部２００は、管理者証明書と提供者証明書とユーザー公開鍵とを提供者装置２０ｂに送信する（ステップＳ６６０ａ）。提供者装置２０ｂの通信部２００は、管理者証明書に加えて提供者証明書をユーザー装置３０に送信する（ステップＳ７１０ａ）。ユーザー装置３０の検証部３１４は、管理者証明書を管理者公開鍵で検証し（ステップＳ７１５）、提供者装置２０ａの提供者Ａ公開鍵を取得する（ステップＳ７２０）。検証部３１４は、提供者証明書を提供者Ａ公開鍵で検証し（ステップＳ７２５ａ）、提供者装置２０ｂの提供者Ｂ公開鍵を取得する（ステップＳ７３０）。

第２の実施形態の変形例において、管理者証明書は提供者証明書を含まない。管理者証明書および提供者証明書を個別に送信することが可能であるため、証明書の１回の送信に必要なデータのサイズを小さくすることができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１，１ａ 認証システム、１０ 管理者装置、２０，２０ａ，２０ｂ 提供者装置、３０ ユーザー装置、１００，２００，３００ 通信部、１１０，２１０，３１０ 制御部、１１１，２１１，３１１ 通信制御部、１１２，２１２，３１２ 情報管理部、１１３，２１３，３１３ 鍵生成部、１１４ 証明書生成部、１２０，２２０，３２０ 記憶部、３１４ 検証部

Claims (5)

1. ユーザーが管理するユーザー装置と、サービス提供者が管理する提供者装置と、サービス管理者が管理する管理者装置とを備える認証システムであって、
   前記管理者装置は、
   前記提供者装置から取得された前記提供者装置の公開鍵を前記管理者装置の秘密鍵で署名することにより証明書を生成する証明書生成部と、
   前記証明書と、前記ユーザー装置から取得された前記ユーザー装置の公開鍵とを前記提供者装置に送信する管理者通信部と、
   を有し、
   前記提供者装置は、
   前記提供者装置の秘密鍵と前記ユーザー装置の前記公開鍵とを使用する楕円曲線ディフィー・ヘルマン鍵共有によって前記提供者装置の共通鍵を生成する提供者鍵生成部と、
   前記証明書を前記ユーザー装置に送信し、前記提供者装置の前記共通鍵を使用する暗号通信を前記ユーザー装置と実行する提供者通信部と、
   を有し、
   前記ユーザー装置は、
   前記証明書を、前記管理者装置から取得された前記管理者装置の公開鍵で検証し、前記提供者装置の前記公開鍵を取得する検証部と、
   前記ユーザー装置の秘密鍵と前記提供者装置の前記公開鍵とを使用する前記楕円曲線ディフィー・ヘルマン鍵共有によって前記ユーザー装置の共通鍵を生成するユーザー鍵生成部と、
   前記ユーザー装置の前記共通鍵を使用する暗号通信を前記提供者装置と実行するユーザー通信部と、
   を有する認証システム。
2. 前記ユーザー装置は、所定の情報を前記ユーザー装置の前記秘密鍵で署名することにより署名情報を生成する第２の生成部を有し、
   前記ユーザー通信部は、前記署名情報を前記提供者装置に送信し、
   前記提供者装置は、前記署名情報を前記ユーザー装置の前記公開鍵で検証する情報処理部を有する
   請求項１に記載の認証システム。
3. 第２のサービス提供者が管理する第２の提供者装置を備え、
   前記第２の提供者装置は、
   前記提供者装置から受信された前記提供者装置の公開鍵を前記第２の提供者装置の秘密鍵で署名することにより第２の証明書を生成する情報処理部と、
   前記第２の証明書と前記第２の提供者装置の公開鍵とを前記管理者装置に送信する第２の提供者通信部と、
   を有し、
   前記証明書生成部は、前記第２の証明書と前記第２の提供者装置の前記公開鍵とを前記管理者装置の秘密鍵で署名することにより前記証明書を生成し、
   前記管理者通信部は、前記証明書と前記ユーザー装置の前記公開鍵とを、前記第２の提供者装置を介して前記提供者装置に送信し、
   前記検証部は、前記証明書を前記管理者装置の前記公開鍵で検証し、前記第２の提供者装置の前記公開鍵を取得し、
   前記検証部は、前記証明書に含まれる前記第２の証明書を前記第２の提供者装置の前記公開鍵で検証し、前記提供者装置の前記公開鍵を取得する
   請求項１または請求項２に記載の認証システム。
4. 第２のサービス提供者が管理する第２の提供者装置を備え、
   前記第２の提供者装置は、
   前記提供者装置から受信された前記提供者装置の公開鍵を前記第２の提供者装置の秘密鍵で署名することにより第２の証明書を生成する情報処理部と、
   前記第２の提供者装置の公開鍵を前記管理者装置に送信する第２の提供者通信部と、
   を有し、
   前記証明書生成部は、前記第２の提供者装置の前記公開鍵を前記管理者装置の秘密鍵で署名することにより前記証明書を生成し、
   前記管理者通信部は、前記証明書と前記ユーザー装置の前記公開鍵とを前記第２の提供者装置に送信し、
   前記第２の提供者通信部は、前記証明書と前記第２の証明書と前記ユーザー装置の前記公開鍵とを前記提供者装置に送信し、
   前記提供者通信部は、前記証明書に加えて前記第２の証明書を前記ユーザー装置に送信し、
   前記検証部は、前記証明書を前記管理者装置の前記公開鍵で検証し、前記第２の提供者装置の前記公開鍵を取得し、
   前記検証部は、前記第２の証明書を前記第２の提供者装置の前記公開鍵で検証し、前記提供者装置の前記公開鍵を取得する
   請求項１または請求項２に記載の認証システム。
5. ユーザーが管理するユーザー装置と、サービス提供者が管理する提供者装置と、サービス管理者が管理する管理者装置とを備える認証システムにおける認証方法であって、
   前記管理者装置の証明書生成部が、前記提供者装置から取得された前記提供者装置の公開鍵を前記管理者装置の秘密鍵で署名することにより証明書を生成するステップと、
   前記管理者装置の管理者通信部が、前記証明書と、前記ユーザー装置から取得された前記ユーザー装置の公開鍵とを前記提供者装置に送信するステップと、
   前記提供者装置の提供者通信部が、前記証明書を前記ユーザー装置に送信するステップと、
   前記ユーザー装置の検証部が、前記証明書を、前記管理者装置から取得された前記管理者装置の公開鍵で検証し、前記提供者装置の前記公開鍵を取得するステップと、
   前記ユーザー装置のユーザー鍵生成部が、前記ユーザー装置の秘密鍵と前記提供者装置の前記公開鍵とを使用する楕円曲線ディフィー・ヘルマン鍵共有によって前記ユーザー装置の共通鍵を生成するステップと、
   前記提供者装置の提供者鍵生成部が、前記提供者装置の秘密鍵と前記ユーザー装置の前記公開鍵とを使用する前記楕円曲線ディフィー・ヘルマン鍵共有によって前記提供者装置の共通鍵を生成するステップと、
   前記ユーザー装置のユーザー通信部が、前記ユーザー装置の前記共通鍵を使用する暗号通信を前記提供者装置と実行するステップと、
   前記提供者通信部が、前記提供者装置の前記共通鍵を使用する暗号通信を前記ユーザー装置と実行するステップと、
   を有する認証方法。

Images