JP3278721B2 - 数値文書にタイムスタンプを確実に押す方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】 文書が書かれた日付を立証
し、問題の文書の内容が日付の押された原文書の内容と
実際に同じであることを証明することが多くの場合に必
要です。例えば、知的財産に関しては、ある人が発明の
内容を最初に記録した日付を実証することは屡々決定的
です。発明の考えをタイムスタンプする普通のやり方
は、研究室の記録帳に自分の仕事を毎日書込むことで
す。消せないように日付を書いて署名した記載が記録帳
の各ページに次々と書込まれ、続き番号を打たれて縫込
まれたページは記録を判らないように改変することを困
難にします。記録の正当性は、一般に利害関係のない第
三者によって定期的に検閲され証人として署名されるこ
とによって、更に高められます。何時考えたかというこ
とが後で証明されなければいけなくなった時、記録帳の
物理的な内容と定められた記録の手順の両方が、少なく
とも記録帳の証人の日付の時には考えが存在していたと
いう事実を実証する効果的な証拠となります。

【０００２】

【従来の技術】 読むことのできるテキストの数値的な
表示だけでなく、ビデオやオーディオや絵のデータをも
含む、電子文書が段々と広く使われるようになって来
て、このような文書の日付を確立する「記録帳」の概念
の実行可能性が脅かされています。電子数値文書は極め
て容易に改訂され、このような改訂は後に証拠を残さな
いので、ある文書が作られた日付を本当にその文書が示
しているのか、又元来のメッセージを今でも本当に表し
ているのかについては、信頼でき証拠は限られていま
す。同じ理由で、実証する署名の信頼性についても重大
な疑いが起きて来ます。数値文書の内密の改訂を許さな
い効果的な手順がないと、システムの信頼性が基本的に
欠けていることは電子文書の有効性がもっと広く採用さ
れることを妨げます。

【０００３】 現在でも、電子文書の送信を確証する若干の手順があ
ります。しかし、実際にはこのような手順は両方向の通
信に限られます。即ち、このような通信では、送信者は
送信される文書の元の内容と送信者とを受信者に立証し
ようと本質的に望みます。例えば、「秘密の鍵」を使う
暗号法は長い間、限られた数の、お互いに知合っていて
暗号を解く鍵を知っている個人の間で、メッセージの送
信に使われてきました。メッセージを暗号にすることは
不正変更を防ぎ、秘密の鍵を使うと送信されたメッセー
ジの「平文」が得られると言う事実が、メッセージは決
まったグループの一員が送信したものである証拠となり
ます。しかし、メッセージを書いた時刻は間接的に、受
信者が受取った時刻より後ではないと、証明されるに過
ぎません。それで、この方法は無限界世界で後になって
役に立つタイムスタンプの証拠を提供しません。

【０００４】 もっと広く適用される実証通信法、即ち「公開の鍵」
を使う暗号法が、ディッフィーとヘルマン（「暗号法の
新しい方向」、IEEE情報理論雑誌、第ITー22巻、昭和51
年11月、644ー654ページ）によって既述され、その後リ
ベスト等によって、昭和58年９月20日付のアメリカ合衆
国特許４、405、829号で実行されました。この方法は利
用者の世界を、公表された名簿以外ではお互いに未知
の、実質上無限定数のシステム加入者に拡大しました
が、実証できる通信は依然として双方向のものに限られ
ていました。送信者の秘密の鍵で暗号化されたメッセー
ジを公開の鍵で解読する公開の鍵「署名」は、無限界世
界のどのメンバーにもメッセージの送信者が誰であるか
について決定的な証拠を提供するものですが、このメッ
セージの受信者しか、メッセージは少なくとも受取った
時刻以前に存在していたことを知らないわけですから、
この限界は今でもあるわけです。しかし、このような受
信はメッセージが発生した時刻そのものの証拠を全世界
に提供はしません。受取ったメッセージに関する受信者
の証言はメッセージの内容とその存在の時刻についての
証拠を提供するのですが、このような証拠は電子数値文
書の内容が、送信者または証人によって簡単に改変され
得るという基本的な問題を抱えてもいるのです。

【０００５】 従って、総ての文書が簡単に改変できる数値形式で書
かれる世界になるという予想は、このような文書の信頼
性を確立する既存の手順を本質的に危うくします。数値
文書の内容と時刻を確定し、少なくとも有形文書の場合
に現在認められている程度に、内容と時刻に関して直接
的な証拠を提供することができるような実証のシステム
が現在明白に顕著に必要とされています。

【０００６】

【発明の概要】 まずこの発明が用いるタイムスタンプ
手法について説明します。この手法では、数値文書をタ
イムスタンプする方法において信頼できるシステムを作
り、現在の記録確認の本質的な特徴の二つと同等のもの
を提供します。第一に、文書の内容（コンテンツ）とそ
の文書の発生時刻の刻印（タイムスタンプ）は、文書の
数値データに消去不能に組込まれ、これによって出来た
タイムスタンプされたデータのいかなる部分も、万一改
変された場合にもその改変が明白とならない仕方で改変
することは不可能であります。このように、文書の内容
（コンテンツ）はタイムスタンプの瞬間に確定されま
す。第二に、数値文書がスタンプされた時刻は、虚偽の
時刻の記載を組込むことを防ぐ、数値的に「証人とし
て」署名する手順で確認されます。この方法とは基本的
にタイムスタンプ段階のコントロールを著者（メッセー
ジ作成者）とは無関係な機関へと移し、真の時刻以外の
スタンプをするようその機関に影響を及ぼす能力を著者
から取上げます。

【０００７】 この発明が用いる上述タイムスタンプ手法は、文書の
著者が通信網の中に沢山散らばって存在することを前提
としています。このような著者は個人、会社、会社内の
部門等で、夫々が識別番号等で特定できる。著者世界の
一員です。この手法の具体例では、この著者世界はタイ
ムスタンプ機構（タス機関）［time−stamping agenc
y］の依頼人で構成されます。もう一つの具体例では、
散らばった著者の夫々がこの世界の他のメンバーの為に
タイムスタンプのサービスを行う機関となるものとなっ
ています。

【０００８】 この発明が用いる上述タイムスタンプ手法において
は、図１に示されるように、著者が広く文字、数字、音
声、画面の表示を包含する数値文書を作成し、この文書
を、好ましくは圧縮した形で、タス機関へ送信します。
タス機関は受理した時刻を表す数値データを加えて文書
にタイムスタンプし、この文書にそのタス機関の著名を
入れて暗号化し、こうしてできた文書、それは今や原文
書の作成時刻証明書であるが、を著者に返信し、著者は
このような作成時刻を証明することが必要になる時の為
に保管します。本発明では、上述タイムスタンプ手法を
用いた上で、つぎのような手順を行います。すなわち、
現在時刻を特定する数値データを文書の内容（コンテン
ツ）に付加して文書にタイムスタンプを行って受信書を
作成し、この受信書を、現時点で暗号連鎖されている、
先行するタイムスタンプ受信書に連結し、さらに、この
連結した複合文書から、決定関数、例えば下記に詳述す
るような決定関数を用いて、新たな連鎖を生成します。
こうしてできた連鎖値を時刻その他の認識データと一緒
にして証明書を作ります。

【０００９】 タス機関への送信中に秘密文書情報が盗聴されるのを
防ぐため、また全文書の送信に要する数値帯域幅を減ら
すため、著者は場合によっては数値文書列を決定関数を
使って数値サイズを大幅に圧縮して独自の値に変換する
こともします。決定関数としては、例えば専門分野で
「一方向性ハッシ関数」として知られる多数のアルゴリ
ズムのどれでも使えます。ハッシ関数のこのような応用
は、例えばDamgardによって文書署名法における安全性
向上策として述べられています（「衝突のないハッシ関
数と公開の鍵を使う署名法」、Advances in Cryptology
−−Eurocrypto ′87,Springer−Verlag,LNCS、1988、
第304巻、203〜217ページ）。しかし、この発明では、
ハッシング法に典型的な「一方向」性がもう一つの目的
を叶えてくれます。すなわち、タス機関がタイムスタン
プを押したり、文書を連鎖証明書に組込んだ後では、文
書は密かに改変できなくなるという保証です。

【００１０】 ハッシ関数がこの保証を提供します。というのは、著
者の作成した文書もしくは複合連鎖受理書のような文書
がハッシされる時、その文書を復元することが実際に不
可能な元の内容に代る「指紋」を作ってしまうからで
す。それゆえに、タイムスタンプされた文書は著者の敵
によって改変されることは不可能です。著者もまた発行
されたタイムスタンプ証明書を改訂することはできませ
ん。なぜならば、原文書内容を変更することは、たとえ
一語または数値データの一ビットでも、違った文書にし
てしまい全く違った指紋値のものにハッシしてしまうか
らです。文書内容に代るハッシ値から文書を復元するこ
とはできませんが、それにもかかわらず、原文書とされ
ているものはこのタイムスタンプ手順で証明されます。
というのは指紋化された原文書の真のコピーを包含する
受理書は、元のハッシング法を使えば著者の証明書に書
かれた元の数字または同じ連鎖値に何時でもハッシする
ことができるからです。

【００１１】 この手順では現在あるどんな決定関数でも使えます
が、たとえば、リベスト（「MD4」メッセージ・ダイジ
ェスト・アルゴリズム」、Advances in Cryptology−−
Crypto ′90,Springer−Verlag,LNCS、近刊予定）が述
べているような一方向性ハッシ関数を引用してここに組
入れて置きます。この発明の実用においては、かような
ハッシング操作は場合によっては著者によって送信中の
防護という著しい利点のためになされます。文書が暗号
文でない形で受理された場合にはタス機関がハッシング
してもよいのです。文書の内容と組込んだ時刻のデータ
が改変されないように確定できるとしても、さらにこの
システムの信頼性を増すためには、無限界世界のメンバ
ーに対して、受理書は、実は著者ではなくタス機関によ
って作られ、示された時刻は正しいもので、例えば著者
と共謀してタス機関が偽作したようなものではないとい
うことを証明するステップがなお必要です。

【００１２】 第一の問題に対しては、タス機関が前述の公開の鍵の
方法のような、実証できる署名法を用いて、著者へ送信
する前にタイムスタンプを押したことを証明すればよい
のです。事後的に署名を確認するには、例えば、タス機
関の公開の鍵で解読するなどすれば著者と無限界世界に
対して、証明書はタス機関が作ったものであることを証
明することになります。しかしながら、タイムスタンプ
自身の真実性の証明は、以下に述べるこの発明の構成に
係るのです。

【００１３】 本発明では、タス機関は、新しく受理したものを一つ
一つその時までの連鎖に付け加え、この複合表示に決定
関数を適用し、即ちハッシングを行って新たに鎖をつな
げ、順次にタイムスタンプした処理の記録を維持しま
す。この連鎖はハッシング工程で作られる値で、これが
著者に与えられる受理書または証明書に記されて、そこ
に示されるタイムスタンプを証明するのに役立ちます。
後で証明書の確認をするには、著者の時刻受理書とタス
機関の記録にあるその直前の連鎖の値の組合わせに再度
ハッシして行います。その結果著者の証明書に記載され
ている連鎖値が出れば、著者と無限界世界に対してその
証明書はタス機関で作られたものであることを証明する
ことになります。この結果はまたタイムスタンプの真実
性をも証明するものです。というのは元の受理書に記載
の総ての元の要素を使わなければ、ハッシ関数によって
元の証明書に記載の連鎖値を作ることはできないからで
す。

【００１４】 図２は本発明の１実施の態様で、著者の世界からタス
機関の装置へと比較的連続した文書の流れが示されてい
ます。タス機関装置は処理される夫れ夫れの文書Dkに対
して、たとえば、連続する受理番号rk、著者Akの識別番
号IDk、その他、文書のハッシHk、受信時の時刻tkなど
を含むタイムスタンプ受理書を作成します。タス機関は
この他に、直前に処理した著者Ak−１の文書Dk−１の受
理データも含め、これによって文書Dkのタイムスタンプ
は独自に（無関係に）確立された前の受理時刻tk−１に
よって「過去」方向を制限してしまいます。同様に、次
に受理する文書Dk＋１の受理データも、文書Dkのタイム
スタンプを「将来」方向に制限するために、含めます。
複合受理書は今や３つ、あるいは希望によってはそれ以
上の、連続したタイムスタンプ受理書の時刻のデータを
含み、あるいはそれらの識別部分を含み、タス機関の暗
号署名で証明されて、著者Akに送信されます。同様にし
て、DkとDk＋２の識別表示を含む証明書が著者Ak＋１に
送信されます。このようにして、タス機関によって出さ
れたタイムスタンプ証明書の夫々は連続した時間の中で
確定され、配付された多数の関連した証明書を照合すれ
ば順番の違いが直ちに判るので、タス機関はどれも偽っ
て発行することはできません。時の流れに沿った文書の
このような順次確定は非常に効果的なので、タス機関の
著名は実際には不必要かもしれません。

【００１５】 図３に書かれているように、この発明が前提とする手
法では、たとえばタイムスタンププロセスを利用する多
数の著者といった広い世界にタイムスタンプする仕事を
無作為に配付します。タス機関を管理の目的に使っても
よく、あるいは依頼する著者が直接選択したタイムスタ
ンプする著者兼機関と連絡してもよいわけです。いづれ
にしても、著者とタス機関の共謀でタイムスタンプされ
たのではないという保証は上記のように必要で、これは
少なくとも一部の者は変造を欲する著者に買収されない
か、そのような著者に暴露の脅威をもたらすという合理
的な前提と、特定の文書をタイムスタンプする機関はこ
の世界から全く無作為に選ばれるとい事実の両方で満た
されます。著者が著者自身の選択で共謀しそうな機関を
選ぶことが出来ないことは、意図的な時刻の偽造の可能
性を事実上除きます。

【００１６】 この所定数の機関として機能する個人ベースのメンバ
ーを選ぶのは、インパグリアッツォ、レビンとルビー
（「一方向性関数による疑似無作為創生」、第21回STOC
議事録、12−24ページ、ACM、1989）によって論じられ
た型の疑似無作為創生機によって行います。これに対す
る最初の種はタイムスタンプされる文書の、ハッシのよ
うな、決定関数であります。文書に入力される種として
ハッシその他の決定関数が与えられると、疑似無作為創
生機は一群の機関の識別番号を出力します。この機関の
選択は実際上予測できず無作為です。

【００１７】 機関が選ばれると、タイムスタンプは前述のように行
われますが、夫々の機関は個々に受理時刻データを受理
した文書に付け加え、その結果できたタイムスタンプさ
れた受理書を機関固有の証明が可能な暗号署名で証明
し、証明書を著者に返信します。この返信は申請した著
者に直接の場合もあり、管理するタス機関を経由する場
合もあり、後者の場合にはタス機関が更に証明を付け加
えることもあります。署名と公表された著者の識別番号
表とを組合せたものは、疑似無作為創生機で選択された
機関を実際に利用したということの証明になります。こ
の分散された機関を使う実施例は受理書を連鎖する方法
に比べて、タイムスタンプ証明書がより早く発行され、
また文書のある著者による事後的な証明が他の著者たち
の証明書が入手できるかどうかに余り依存しなくてもよ
いという利点があります。

【００１８】 図４に示される別の実施例では、タス機関が作るタイ
ムスタンプ受理書に、たとえば受理処理続き番号rk、著
者の特定、たとえば識別番号IDk等、文書の数値表示、
たとえばハッシHk、とその時刻tkを含めます。この後タ
ス機関は受理書のこれらのデータ（またはその代表的な
任意の部分）を、その直前に処理した、著者Ak−１の文
書Dk−１の証明が記載されている連鎖値Ck−１に包含
し、これによって文書Dkのタイムスタンプを、独自（無
関係）に確立された前の受理時刻kt−１で限定します。 この複合データの数列（rK,IDK,Hk,tk,ck−１）はそ
の後ハッシされて新しい連鎖値cKとなり、これが処理番
号rKとともにタス機関の記録に入れられ、またタイムス
タンプ受理書データとともに証明書記載連鎖値としてAK
に送信されます。同様にして、ckと書類Dk＋１の受理書
のタイムスタンプ要素をハッシして得られる証明書値が
著者Ak＋１に送信されます。このようにして、タス機関
が出したタイムスタンプを押した連鎖証明書の夫々は連
続した時の中に確定されるので、タス機関は偽って作る
ことは出来ません。何故ならば、前の証明書とハッシし
て証明書記載連鎖値を再生しようとすれば矛盾を示すか
らです。

【００１９】 図５に示されるような、この発明のより一般的な適用
においては、ある文書の、例えばハッシのような表現は
その直前の文書の連鎖値に単純に連鎖され、この複合体
の決定関数による表現、たとえばやはりハッシ、が次に
作られて、上記のようなある文書の連鎖値の記録として
保持されます。この増大して行くシリーズの以後の夫々
の文書は同様に処理されて記録を拡張し、この記録自身
がこのシリーズの中で、もっと広く見れば連続した時の
中で、このような文書の夫々が占める位置の信頼できる
証明となります。本発明のこの実施例は、たとえばある
組織がその業務上の数値文書や記録の順番や連続性を直
ぐに証明できる信頼性の高い方法を提供します。

【００２０】 本発明の別の実施例では、著者の組織内で、これは活
動の程度によりますが、たとえば一日とかそれ以上の一
定期間に作られた、好ましくはハッシその他の表現形式
の文書の集積をハッシして、タイムスタンプと証明に好
都合な単一文書とします。また、疑似無作為創生機の最
初の種は、その文書によるだけでなく、時刻の関数や前
に受理書が出された文書にもよるかもしれません。別の
方法では、一つの組織のなかの指名された一人の人が、
常駐する「外部の」機関として、この手順を使ってその
組織の文書の連鎖証明書の記録を維持し、定期的にその
時々の連鎖証明書をタス機関に送信します。このように
して、ある組織の業務上の記録の順番が、組織の中で
も、また外部的にはタス機関を通じて、確立されます。

【００２１】 また、手順実施例の実行は、原文書表示の受信・ハッ
シング・連鎖、タイムスタンプ押印、証明書記載連鎖値
の計算と記録、受理証明書の発行という諸段階を直接行
う、単一の電算機のプログラムで直ちに自動化されま
す。

【００２２】

【課題を解決するための手段】 前述の課題を解決する
ため、本発明に係る数値文書にタイムスタンプを確実に
押す方法は、次のような手段を採用する。

【００２３】 即ち、請求項１では、数値文書の数値表現を著者側装
置から外部機関装置へ送信することを含みし、上記外部
機関側装置が、その受信時の時刻数値表現とこの数値文
書の数値表現の少なくとも一部分とを含む受理書データ
を作成する、数値文書にタイムスタンプを確実に押す方
法において、 受理書データが、さらに、外部機関側装置が既に受理
している少なくとも一つの他の数値文書の受信時の時刻
数値表現と当該少なくとも一つの他の数値文書の数値表
現とを含み、 前記受領書データが含む前記少なくとも一つの他の数
値文書の数値表現は、該少なくとも１つの他の数値文書
のコンテンツの少なくとも一部から導出されたもので、 前記数値文書に決定関数法を適用して得られる数値表
現の少なくとも一部分を種とする擬似無作為創生機によ
り、一群の外部機関側装置のうちの１台を外部機関側装
置として無作為に選ぶことを特徴とする。

【００２４】 また、請求項２では、請求項１の方法において、前記
数値文書に一方向性ハッシング法を適用して、前記擬似
無作為創生機による疑似無作為創生の種を得ることを特
徴とする。

【００２５】 また、請求項３では、請求項１の方法において、前記
擬似無作為創生機による擬似無作為創生によって少なく
とも１台の付加的外部機関装置を選び、この付加的外部
機関装置によって前記と同様に受理書データを作成する
ことを特徴とする。

【００２６】 また、請求項４では、請求項３の方法において、前記
擬似無作為創生機による擬似無作為創生によって選ばれ
た少なくとも１台の付加的外部機関側装置が前記と同様
に受理書データを作成するものであって、夫々の付加的
外部機関側装置選択のための入力が、以前に創生され出
力された数値表現に前記一方向性ハッシング法を適用し
て得られ出力された数値表現の少なくとも一部分である
ことを特徴とする。

【００２７】

【発明の実施の形態】以下、本発明に係る数値文書にタ
イムスタンプを確実に押す方法の実施の形態を図１〜図
５に基づいて説明します。

【００２８】 図１は本発明に係る数値文書にタイムスタンプを確実
に押す方法の基本的手順の流れ図です。

【００２９】 本発明の実施例を適用した以下の諸例で、手順を更に
説明します。説明の便宜上、選ばれた決定関数は上記の
リベストによって既述されたmd4ハッシング法で、また
証明できる署名法はディフィーとヘルマンによって示唆
されリベスト等によってアメリカ合衆国特許4,405,829
号で実行された公開の鍵の方法です。タス機関が実際に
選ぶ関数は色々な手に入る算法の中のどれでも良いので
す。どのような算法が用いられても、何をどの機関使っ
たかという記録は、受理証明書を後で確認するために維
持されなければなりません。更に、手順の説明を簡単に
するためと以下に述べるそれ以外の理由の為に、数字の
代表的な部分だけを用います。

【００３０】 図２に示される本発明の受理書連鎖の実施例を最初に
考えましょう。この手順はどの様な長さの文書にも使え
ますが、以下の適切な引用は、ある著者が段階21で書い
てタイムスタンプを希望する文書Dkを充分に代表するも
のです。 Time′s glory is to calm contending kings, To unmask falsehood,and bring truth to light, To stamp the seal of time in aged things, To wake the morn,and sentinel the night, To wrong the wronger till he render right; The Rape of Lucrece

【００３１】 破線で囲まれた任意段階22で、この文書はmd4算法に
よって標準の128ビットフォーマットの数ＨKにハッシさ
れますが、このHkは16進法ではef6dfdcd833f3a43d4515a
9fb5ce3915となります。1000人からなる著者世界の中で
システム識別番号IDKが172である著者ＡKがこの識別番
号を付けた文書を段階23でメッセージ（ID K,H K）： 172,ef6dfdcd833f3a43d4515a9fb5ce3915としてシステム
のタス機関に、この文書をタイムスタンプして欲しいと
要請して、送信します。

【００３２】 タス機関は、段階25で、たとえば132という受理書続
き番号rKと、その時の時刻tKという記載を付け加えて、
文書ＤKの受理書を発行します。この時刻の記載は、著
者Akができたタイムスタンプ証明書を容易に読めるよう
にするために、電算機時計の時刻の標準32ビット表示と
文章による供述を、たとえば1990年３月10日グリニジ平
均時16:37:41のように含めることもできます。そうする
と受理書は数列（ｒk,tk,IDk,Hk）を包含することにな
ります。

【００３３】 この点で、数のサイズを前述の表示セグメントに減ら
すということを更に考えることが妥当であります。リベ
スト等によってアメリカ合衆国特許4,405,829号で既述
されたように、この例で使われる暗号公開鍵法（この分
野では一般に「RSA」署名法として知られています）で
は、長いメッセージを、一つ一つが暗号化鍵数要素ｎを
越えない数で表わしたブロックに分割することが必要で
す。これらのブロック各々はこの後RSA法で署名され、
送信された後ふたたび組み立てられます。それゆえに、
RSA法で証明する最終の受理書数列が単一のブロックで
あることを維持しながら、この例で妥当な大きさの数ｎ
を使えるためには、受理書数列の夫々の要素は代表的な
８ビットに減らされますが、長すぎる数列の場合には普
通は最後の８ビットとなり、このビットは16進法では２
つのヘクサデシマルの文字列となります。それで、たと
えば、128ビットの文書ハッシHkは最後の８ビット、す
なわち0001 0101で表され、これは16進法では15と書か
れます。同様にして、IDkの172は1010 1100で、16進法
ではacとなります。実際の計算を行わないで、時刻表示
ｔkは51と表示されると仮定しましょう。受理番号132は
84と表示されます。この点で受理書の数列（ｒk,tk,ID
k,Hk）は8451ac15となりました。

【００３４】 ここで、直前の文書Dk−１はタス機関によって1990年
３月10日16:32:30に（ｔk−１の表示は64）に申請201,d
2d67232a61d616f7b87dc146c57574として処理されたと仮
定しましょう。段階27でタス機関はこれらのデータをDk
に対する受理書数列に加えて、16進法の表示、8451ac15
64c974、を作ります。この受理書Rkは今やDkに対する時
刻と、それ以前には著者AkがDkが存在したと主張できな
い時刻ｔk−１を確定するデータを含みます。Akに対す
るこの限定は、前の著者ＡK−１が時刻証明書ｃk−１を
保持し、それがｔk−１は著者Ak−２の証明書にあるリ
ンクされた時刻のデータｔk−２の以後であると確定
し、というように、証明が必要なだけ続くからです。

【００３５】 タス機関が文書Dkの受理書を実際に発行したことを確
立するために、段階28でタス機関は公開鍵暗号署名法で
署名をし、段階29でこの受理書は著者Akに送信されて受
理証明書または証明書ｃkとなります。上のようにして
得られたデータを使い、またタス機関は十進法でRSA署
名鍵セット ＜n,e＞＝＜43200677821428109,191＞（公開） ＜n,d＞＝＜43200677821428109,29403602422449791＞
（秘密） を持つとすれば、Rk、8451ac1564c974、に対する署名付
き証明書は Rd mod n＝39894704664774392 と計算されるでしょう。著者Akがこの証明書ｃkとRkの
文章のステートメントを受取った時、タス機関の公開の
鍵を適用すると c ke mod n＝Rk となることから、Rkは実際に文書のハッシHkを表示する
データを含んでいると確証され、ｃkが正確であると直
ちに確認されます。

【００３６】 この簡単な１リンクの例の手順で作られた証明書は文
書Dkのデータで時間を限定されるので、著者Ak−１に対
して、文書Dk−１は文書Dkの存在のかなり前に時刻を遡
らせたのではないという信頼できる証拠を提供します。
Akの証明書が以後に処理された文書Dk＋１からのデータ
を加えて拡大された時、この証明書は同様に効果的に限
定され、Akが主張するタイムスタンプを立証します。同
じ効果を得る別法としては、AkにAk＋１の名を教え、Ak
はその著者から１リンク証明書ｃk＋１が要素Hkを含む
ことを確認できます。この手順は変化させて、任意の数
の著者のデータを含む受理証明書を発行するようにする
こともでき、追加する毎に変造がないという保証の度合
いが高まります。

【００３７】 図３に示される本発明の前提技術では著者世界の中か
ら無作為に選ばれたメンバーがタス機関（または証人）
となり、すなわち「分布信託」の手順ですが、これは以
下のように行われます。実際の適用ではこれらの数はそ
んなには限定されないのですが、この例では、世界は10
00人の著者を含み、そのIDは０ないし999で、タイムス
タンプの真実性を確立するのには３人の証人がいれば充
分と仮定しましょう。また、この例ではタス機関のサー
ビスを含める前記の変化が実行されています。前の例で
用いられたハッシング関数、md4、がここでも、任意の
段階32で、著者世界から３人の証人を疑似無作為に選択
する種をまく決定文書関数の一例として用いられていま
す。前例の時と同じく、著者は文書をタス機関へ、普通
ハッシした形で、識別番号を付けた申請として送信しま
す： 172,ef6dfdcd833f3a43d4515a9fb5ce3915

【００３８】 タス機関は、段階33で、この文書ハッシ数列を最初の
証人の識別番号を作る種として用い、段階35で、選択法 ID＝［md4（種）］mod（世界の大きさ） によって選びます。作られた種ハッシ： 26f54eae92511dbb5e06e7c2de6e0fcf は128ビットの数を表し、そのmod1000が487で、これが
最初に選ばれた証人のIDです。次の証人も同様にして選
ばれ、この種のハッシ表示を第２の選択の計算に使って 882653ee04d16b1f0d604883aa27300b を得ますが、このmod1000は571で、これが第２の証人の
IDです。この計算を繰り返し、前の種のハッシを種に使
って最後の証人を598として選びますが、これは2fe8768
ef3532f15c40acf1341902cle mod1000です。

【００３９】 段階37で、タス機関は最初の申請書の写しをこれら３
人の証人のそれぞれに送り、段階38で、証人は各個にそ
の時の時刻のステートメントとIDを加え、こうしてでき
た受理書にRSA暗号署名法で署名して証明し、段階39で
証明書を直接著者にまたはタス機関を通じて送信しま
す。後の場合には、タス機関は証明書を一つのファイル
にアセンブルして著者に届けるかも知れません。証人の
選択に当たって疑似無作為創生を使うことは個人的な選
択を防ぐという事実のために、著者は非協力的な証人が
タイムスタンプ証明の前に虚偽の時刻の記入を計画する
ために連絡しようと試みるのに出あうという危険を避け
られます。手順の別法として、著者が直接証人に申請す
ることが許される場合、問題の文書自身が本質的に鍵と
なる証人の無作為選択により、著者が文書を知人で協力
的な証人に向けようとする試みを難しくします。できた
一群の証明書は、前述のように署名確認をして、安心し
て後の証明に使えます。

【００４０】 図４の段階41のように、タイムスタンプ手順での連鎖
証明書の作成は、著者Akが数値文書を準備することから
始ります。前述のように、この数値文書は文字数字式テ
キスト、ビデオ、オーディオ、絵または確定したデータ
の他の形のものの数値的な形または表示であるかもしれ
ません。この手順はどのような長さの文書に対しても用
いられますが、以下の引用はタイムスタンプしたい文書
Dkを充分に代表します： ...the idea in which affirmation of the world and
ethics are contained side by side...the ethical ac
ceptance of the world and of life,together with th
e ideals of civilization contained in this concep
t...truth has no special time of its own.Its hour
is now−−always. Schweitzer

【００４１】 著者が希望すれば、文書Dkは安全と送信に必要な帯域
幅を減らすために、例えばmd4法で圧縮されます。破線
で囲まれた任意の段階42で示されるように、文書は標準
の128ビットの形の値Hkにハッシされます。これは16進
法で ee2ef3ea60df10cb621c4fb3f8dc34c7 となります。この点で指摘しておきますが、この例で用
いられる16進法やその他の数値表示は本発明の実施に決
定的ではありません。すなわち、与えられた手順によっ
て選ばれたこれらの値のどの部分もまたは他の表示も同
様に作用します。

【００４２】 1000人の著者世界の中で識別番号IDkが634である著者
Akが、段階43でシステムのタス機関に、以下の認識メッ
セージ（IDk,Hk）で、文書にタイムスタンプを押すよう
要請し、文書を送信します： 634,ee2ef3ea60df10cb621c4fb3f8dc34c7 段階44で、タス機関は、受理処理続き番号ｒk、例えば1
328、とその時の時刻ｔkの表示を加えて文書Dkの受理書
を作ります。この時刻の表示は電算機の時計の時刻の標
準２進表示かも知れず、または最終的なタイムスタンプ
証明書が容易に読めるように、単に文章の表示で、例え
ば1991年３月６日グリニジ平均時19:46:28であるかも知
れません。この時、受理書は数列（ｒk,tk,IDk,Hk）を
包含し、これは 1328,194628GMT06MAR91,634,ee2ef3ea60df10cb621c4f
b3f8dc34c7 となります。

【００４３】 本発明によれば、この時のタス機関の記録は、例え
ば、その時の記録連鎖と夫々の受理を次々とハッシして
できた値の形で、以前の受理処理総ての連鎖を含みま
す。かくして、この連鎖記録は以下のようにしてできた
ものです。最初の処理（ｒk＝１）では受理書は初期
値、すなわちタス機関の認識のハッシと共にハッシされ
て最初の連鎖値c1を作り、これが最初の処理の証明書の
値として使われます。次の処理では、受理書はc1と連鎖
され、それがハッシされて第２の証明書記載連鎖値c2を
作り、タス機関のタイムスタンプ業務の全歴史を通じて
これが続きます。

【００４４】 現在の例の直前に文書Dk−１がタス機関によって、第
1327番目の受理業務として処理されて、証明書記載連鎖
値ck−１ 26f54eae92516b1f0d6047c2de6e0fcf を作ったと仮定しましょう。手順の段階45で、タス機関
はこの値とDkの受理書を連鎖して 26f54eae92516b1f0d6047c2de6e0fcf, 1328,194628GMT06MAR91,634, ee2ef3ea60df10cb621c4fb3f8dc34c7 を作ります。この複合表示が、段階46で、タス機関にハ
ッシされて、新しい証明書記載連鎖値ｃkとして 46f7d75f0fbea95e96fc38472aa28ca1 を作ります。

【００４５】 この後タス機関はこの値をその記録に加えて、段階47
で著者Akにタイムスタンプ証明書を送信します。これに
は以下の証明書記載連鎖値もふくまれます： 処理番号： 1328 依頼人識別番号:634 時刻： 19:46:28グリニジ平均時 日付： 1991年３月６日 証明書数： 46f7d75f0fbea95e96fc38472aa28ca1 この手順はタス機関によって以後のタイムスタンプ要請
の都度繰り返されます。Ak＋１から次の要請がハッシさ
れた形Hk＋１の文書 201,882653ee04d511dbb5e06883aa27300b で1991年３月６日グリニジ平均時19:57:52に受理された
とすると、複合連鎖は 46f7d75f0fbea95e96fc38472aa28ca1, 1329,195752GMT06MAR1991,201, 882653ee04d511dbb5e06883aa27300b となり、Ak＋１に返信される証明書は 処理番号： 1329 依頼人識別番号:201 時刻： 19:57:52グリニジ平均時 日付： 1991年３月６日 証明書数： d9bb1b11d58bb09c2763e7915fbb83adと
なります。

【００４６】 将来、著者Ak＋１が文書Dk＋１はタス機関によって19
91年３月６日19:57:52に受理されたと証明しようと望む
ならば、タス機関の記録が調べられ、直前に処理された
1328の連鎖受領書値ｃk： 46f7d75f0fbea95e96fc38472aa28ca1 が得られます。証明しようとする文書はタス機関に送信
された時の形、即ちハッシに変換され、この値がｃkや
その他のAk＋１の証明書に記載のデータと連鎖されま
す。問題の文書が本物であれば、複合表示は 46f7d75f0fbea95e96fc38472aa28ca1, 1329,195752GMT06MAR1991,201, 882653ee04d511dbb5e06883aa27300b となり、これをハッシすると正しい証明書記載連鎖値 d9bb1b11d58bb09c2763e7915fbb83ad となって、問題の文書はDk＋１であることが証明されま
す。さもなければ、改訂された文書はハッシされると違
った値になり、これを要素として含む複合表示をハッシ
したものは、処理番号1329の証明書に記載の値と違った
証明書記載連鎖値となります。

【００４７】 もしもっと証明が必要ならば、例えば文書を改変した
後でｃk＋１も改変したのではないかというような時に
は、タス機関の記録から認識されるAkの証明書と提出さ
れた、即ちハッシした文書が使われて、その後の、問題
となっている証明書値ｃk＋１を再計算します。もしそ
の値が正しければDk＋１は証明されました。別法として
は、証明書値ｃk＋１は、Ak＋２の証明書値と提出され
た文書から次の証明書記載連鎖値ｃk＋２を再計算して
証明されます。というのは、もしｃk＋１がDk＋２を処
理番号1330で処理した時のものと同じでなければ、後の
文書を変改してｃk＋２と同じ値を得るようにすること
は不可能だからです。

【００４８】 図５に叙述されているもっと一般的な記録連鎖の手順
では、拡大するシリーズの文書が、作られる度に、組織
の中でまたはタス機関で、処理されます。段階51では、
決定関数法でハッシして作られるような、新しい文書の
表示が得られ、段階52では、前の文書を処理して得られ
た現記録連鎖値と連鎖されます。段階53では、この複合
表示が処理され、すなわちハッシされ、現在の文書に対
する新しい連鎖値を作ります。この値は別個に記録さ
れ、証明書に含められるか、あるいは単に処理系に保持
されて段階54で提示される次の文書に適用されます。以
後の処理段階55、56はこの文書表示に適用され、この手
順は新しい文書が来る度に繰り返されます。 図面の簡単な説明

【図１】 文書タイムスタンプの基本的手順の流れ図で
す。

【図２】 この手順の具体的な実施例の流れ図です。

【図３】 この手順のもう一つの具体的な実施例の流れ
図です。

【図４】 タイムスタンプ手順の他の実施例の流れ図で
す。

【図５】 本発明による基本的な連鎖手順の流れ図で
す。

フロントページの続き (72)発明者 ストーネッタ、ウエイクフィールド、ス コット、ジュニア アメリカ合衆国、07960 ニュージャー ジー州、モリスタウン、ハーディング テラス 34 (56)参考文献 Ｄ．Ｗ．Ｄａｖｉｅｓ ａｎｄ Ｗ. Ｌ．Ｐｒｉｃｅ 著／上園忠弘 監訳, ネットワーク・セキュリティ，日本，日 経マグロウヒル社，1985年12月 ５日, １版１刷，ｐ．246−250 Ｉｖａｎ Ｂｊｅｒｒｅ Ｄａｍｇａ ｒｄ，ＣＯＬＬＩＳＩＯＮ ＦＲＥＥ ＨＡＳＨ ＦＵＮＣＴＩＯＮＳ ＡＮＤ ＰＵＢＬＩＣ ＫＥＹ ＳＩＧＮＡＴ ＵＲＥ ＳＣＨＥＭＥＳ，Ｌｅｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｇｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ（Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯ ＣＲＹＰＴ’87），1988年 ５月19日, Ｖｏｌ．304，ｐ．203−216 Ｗ．Ｄ．Ｈｏｐｋｉｎｓ，ＴＲＡＮＳ ＡＣＴＩＯＮ ＩＮＣＲＥＭＥＮＴＩＮ Ｇ ＭＥＳＳＡＧＥ ＡＵＴＨＥＮＴＩ ＣＡＴＩＯＮ ＫＥＹ，ＩＢＭ Ｔｅｃ ｈｎｉｃａｌ Ｄｉｓｃｌｏｓｕｒｅ Ｂｕｌｌｅｔｉｎ，米国，1983年 ７月 11日，ｖｏｌ．26，ｎｏ．１，ｐ．199 −201 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 H04L 9/32

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】数値文書の数値表現を著者側装置から外部
   機関装置へ送信することを含みし、上記外部機関側装置
   が、その受信時の時刻数値表現とこの数値文書の数値表
   現の少なくとも一部分とを含む受理書データを作成す
   る、数値文書にタイムスタンプを確実に押す方法におい
   て、 受理書データが、さらに、外部機関側装置が既に受理し
   ている少なくとも一つの他の数値文書の受信時の時刻数
   値表現と当該少なくとも一つの他の数値文書の数値表現
   とを含み、 前記受領書データが含む前記少なくとも一つの他の数値
   文書の数値表現は、前記少なくとも１つの他の数値文書
   のコンテンツの少なくとも一部から導出されたものであ
   ることを特徴とする数値文書にタイムスタンプを確実に
   押す方法。
2. 【請求項２】ａ）前記受理書データの数値表現を、既に
   鎖状につながれている証明値の表現に、さらに鎖状につ
   ないで複合表現を作り、 ｂ）前記受理書データの数値表現と前記既に鎖状につな
   がれている証明値の表現とからなる前記複合表現に決定
   関数法を適用して新たな鎖状につながれた証明値を生成
   することをさらに含むことを特徴とする請求項１記載の
   方法。
3. 【請求項３】前記外部機関側装置が、これ迄にタイムス
   タンプ処理した前記数値署名法により暗号化したデータ
   を鎖状につないだ証明値の記録を維持していることを特
   徴とする請求項２記載の方法。
4. 【請求項４】前記既に鎖状につながれている証明値の表
   現が、直前の記録済みのタイムスタンプ処理の鎖状につ
   ながれた証明値の少なくとも一部分を含むことを特徴と
   する請求項２記載の方法。
5. 【請求項５】前記決定関数法は一方向性ハッシング法で
   あることを特徴とする請求項４記載の方法。