JP3285190B2 - 範囲認証方法 - Google Patents
範囲認証方法Info
- Publication number
- JP3285190B2 JP3285190B2 JP01221496A JP1221496A JP3285190B2 JP 3285190 B2 JP3285190 B2 JP 3285190B2 JP 01221496 A JP01221496 A JP 01221496A JP 1221496 A JP1221496 A JP 1221496A JP 3285190 B2 JP3285190 B2 JP 3285190B2
- Authority
- JP
- Japan
- Prior art keywords
- verifier
- prover
- range
- random number
- prover device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムで秘密・署名交換や電子現金などのプロトコルにおい
て使われ、秘密情報の登録された範囲を認証する範囲認
証方法に関する。
ムで秘密・署名交換や電子現金などのプロトコルにおい
て使われ、秘密情報の登録された範囲を認証する範囲認
証方法に関する。
【０００２】
【従来の技術】従来の範囲認証方法は、Brickellら
（“Gradual and Verifiable Release ofa Secret, ”
Proc. of Crypto'87, LNCS, Springer Verlag, 1988）
及びDamgard （“Practical and Provably Secure Rele
ase of a Secret and Exchange ofSignatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994）に
よって提案されている。これら論文において、範囲認証
方法は、秘密・署名交換に用いられている。一方、岡本
（“An Efficient Divisible Cash Scheme, ”Proc.of
Crypto'95, LNCS, Springer Verlag, 1995 ）は、範囲
認証方法を電子現金方式に適用している。
（“Gradual and Verifiable Release ofa Secret, ”
Proc. of Crypto'87, LNCS, Springer Verlag, 1988）
及びDamgard （“Practical and Provably Secure Rele
ase of a Secret and Exchange ofSignatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994）に
よって提案されている。これら論文において、範囲認証
方法は、秘密・署名交換に用いられている。一方、岡本
（“An Efficient Divisible Cash Scheme, ”Proc.of
Crypto'95, LNCS, Springer Verlag, 1995 ）は、範囲
認証方法を電子現金方式に適用している。
【０００３】
【この発明が解決しようとする課題】上記で示した従来
提案された範囲認証方法は、いずれも、基本的な３回の
やりとりのプロトコルにおいて、検証者装置が証明者装
置に１ビット送るだけであった。そのため、安全性を高
めるため、基本プロトコルを多くの回数（例えば、４０
回）繰り返す必要があり、通信量、計算量が膨大にな
る。つまり基本プロトコルを例えば４０回も繰り返すこ
とにより証明者が悪さをしてもばれない確率が１／２40
と小さくなり、悪さをすれば直にわかるようにしたもの
である。
提案された範囲認証方法は、いずれも、基本的な３回の
やりとりのプロトコルにおいて、検証者装置が証明者装
置に１ビット送るだけであった。そのため、安全性を高
めるため、基本プロトコルを多くの回数（例えば、４０
回）繰り返す必要があり、通信量、計算量が膨大にな
る。つまり基本プロトコルを例えば４０回も繰り返すこ
とにより証明者が悪さをしてもばれない確率が１／２40
と小さくなり、悪さをすれば直にわかるようにしたもの
である。
【０００４】この発明の目的は、従来の方法に比べ、通
信量、計算量の少ない効率的な範囲認証方法を実現する
ことにある。
信量、計算量の少ない効率的な範囲認証方法を実現する
ことにある。
【０００５】
【課題を解決するための手段】請求項１の発明によれば
証明者装置は、その値がパラメータｎで指定される範囲
にある秘密情報ｓより剰余演算ｆを用いてＩ＝ｆ（ｓ）
を生成し、そのＩを公開登録し、証明者装置はｎ及び検
証者装置の送るメッセージのサイズｍで関係づけられた
２つの乱数ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２
から剰余演算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ
2 ＝ｇ（ｔ２，ｒ２）を生成し、それらＴ1 ，Ｔ2 を検
証者装置に送り、検証者装置はＴ1 ，Ｔ2 を受け取る
と、ｍビットの乱数ｅを証明者装置に送り、証明者装置
はｅを受け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，
ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演
算結果中のｎ及びｍによって定められた一定の範囲に入
るｙｉ（ｉは１又は２）を選択し、そのｙｉ，ｒｉを検
証者装置へ送り、検証者装置は、ｙｉ，ｒｉを受け取る
と、ｙｉがｎ及びｍによって定められた一定の範囲に入
っていることを確認した後、検証式ｖを用いて、ｖ（ｙ
ｉ，ｒｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満
足していれば、ｓがｎで指定された範囲にほぼ入ってい
ることを認証する。
証明者装置は、その値がパラメータｎで指定される範囲
にある秘密情報ｓより剰余演算ｆを用いてＩ＝ｆ（ｓ）
を生成し、そのＩを公開登録し、証明者装置はｎ及び検
証者装置の送るメッセージのサイズｍで関係づけられた
２つの乱数ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２
から剰余演算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ
2 ＝ｇ（ｔ２，ｒ２）を生成し、それらＴ1 ，Ｔ2 を検
証者装置に送り、検証者装置はＴ1 ，Ｔ2 を受け取る
と、ｍビットの乱数ｅを証明者装置に送り、証明者装置
はｅを受け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，
ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演
算結果中のｎ及びｍによって定められた一定の範囲に入
るｙｉ（ｉは１又は２）を選択し、そのｙｉ，ｒｉを検
証者装置へ送り、検証者装置は、ｙｉ，ｒｉを受け取る
と、ｙｉがｎ及びｍによって定められた一定の範囲に入
っていることを確認した後、検証式ｖを用いて、ｖ（ｙ
ｉ，ｒｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満
足していれば、ｓがｎで指定された範囲にほぼ入ってい
ることを認証する。
【０００６】請求項２の発明によれば証明者装置は、そ
の値がパラメータｎで指定される範囲にある秘密情報ｓ
より剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、そのＩ
を公開登録し、証明者装置はｎ及び検証者装置の送るメ
ッセージのサイズｍで関係づけられた２つの乱数ｔ１，
ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰余演算ｇを
用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ
２）を生成し、更に乱数ｕから剰余演算ｇ′を用いてＪ
を生成し、それらＴ1 ，Ｔ2 ，Ｊを検証者装置に送り、
検証者装置はＴ1 ，Ｔ2 ，Ｊを受け取ると、ｍビットの
乱数ｅと別の乱数ｗを証明者装置に送り、証明者装置は
ｅ，ｗを受け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，
ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演
算結果中のｎ及びｍによって定められた一定の範囲に入
るｙｉ（ｉは１又は２）を選択し、更に剰余演算ｈ′を
用いてｚｉ＝ｈ′（ｕ，ｗ，ｒｉ）を計算し、これらｙ
ｉ，ｒｉ，ｚｉを検証者装置へ送り、検証者装置は、ｙ
ｉ，ｒｉ，ｚｉを受け取ると、ｙｉがｎ及びｍによって
定められた一定の範囲に入っていることを確認した後、
検証式ｖを用いて、ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ，Ｊ）＝
０を満足することを確認し、満足していれば、ｓがｎで
指定された範囲にほぼ入っていることを認証する。
の値がパラメータｎで指定される範囲にある秘密情報ｓ
より剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、そのＩ
を公開登録し、証明者装置はｎ及び検証者装置の送るメ
ッセージのサイズｍで関係づけられた２つの乱数ｔ１，
ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰余演算ｇを
用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ
２）を生成し、更に乱数ｕから剰余演算ｇ′を用いてＪ
を生成し、それらＴ1 ，Ｔ2 ，Ｊを検証者装置に送り、
検証者装置はＴ1 ，Ｔ2 ，Ｊを受け取ると、ｍビットの
乱数ｅと別の乱数ｗを証明者装置に送り、証明者装置は
ｅ，ｗを受け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，
ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演
算結果中のｎ及びｍによって定められた一定の範囲に入
るｙｉ（ｉは１又は２）を選択し、更に剰余演算ｈ′を
用いてｚｉ＝ｈ′（ｕ，ｗ，ｒｉ）を計算し、これらｙ
ｉ，ｒｉ，ｚｉを検証者装置へ送り、検証者装置は、ｙ
ｉ，ｒｉ，ｚｉを受け取ると、ｙｉがｎ及びｍによって
定められた一定の範囲に入っていることを確認した後、
検証式ｖを用いて、ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ，Ｊ）＝
０を満足することを確認し、満足していれば、ｓがｎで
指定された範囲にほぼ入っていることを認証する。
【０００７】請求項３の発明によれば証明者装置は、そ
の値がパラメータｎで指定される範囲にある秘密情報
ｓ，ｕより剰余演算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生成
し、そのＩを公開登録し、証明者装置はｎ及び検証者装
置の送るメッセージのサイズｍで関係づけられた２つの
乱数ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰
余演算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ
（ｔ２，ｒ２）を生成し、それらＴ1 ，Ｔ2 を検証者装
置に送り、検証者装置はＴ1 ，Ｔ2 を受け取ると、ｍビ
ットの乱数ｅを証明者装置に送り、証明者装置はｅを受
け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，ｅ，ｔ
１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演算結果
中のｎ及びｍによって定められた一定の範囲に入るｙｉ
（ｉは１又は２）を選択し、更に剰余演算ｈ′を用いて
ｚｉ＝ｈ′（ｕ，ｅ，ｒｉ）を計算し、これらｙｉ，ｚ
ｉを検証者装置へ送り、検証者装置は、ｙｉ，ｚｉを受
け取ると、ｙｉがｎ及びｍによって定められた一定の範
囲に入っていることを確認した後、検証式ｖを用いて、
ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ）＝０を満足することを確認
し、満足していれば、ｓがｎで指定された範囲にほぼ入
っていることを認証する。
の値がパラメータｎで指定される範囲にある秘密情報
ｓ，ｕより剰余演算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生成
し、そのＩを公開登録し、証明者装置はｎ及び検証者装
置の送るメッセージのサイズｍで関係づけられた２つの
乱数ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰
余演算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ
（ｔ２，ｒ２）を生成し、それらＴ1 ，Ｔ2 を検証者装
置に送り、検証者装置はＴ1 ，Ｔ2 を受け取ると、ｍビ
ットの乱数ｅを証明者装置に送り、証明者装置はｅを受
け取ると、演算ｈを用いてｙ１＝ｈ１（ｓ，ｅ，ｔ
１），ｈ２＝（ｓ，ｅ，ｔ２）を演算し、その演算結果
中のｎ及びｍによって定められた一定の範囲に入るｙｉ
（ｉは１又は２）を選択し、更に剰余演算ｈ′を用いて
ｚｉ＝ｈ′（ｕ，ｅ，ｒｉ）を計算し、これらｙｉ，ｚ
ｉを検証者装置へ送り、検証者装置は、ｙｉ，ｚｉを受
け取ると、ｙｉがｎ及びｍによって定められた一定の範
囲に入っていることを確認した後、検証式ｖを用いて、
ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ）＝０を満足することを確認
し、満足していれば、ｓがｎで指定された範囲にほぼ入
っていることを認証する。
【０００８】このようにこの発明ではＴ1 ，Ｔ2 又はＴ
1 ，Ｔ2 ，Ｊと、ｅ又はｅ，ｗと、ｙｉ，ｒｉ又はｙ
ｉ，ｚｉとの基本的な３回のやりとりにおいて、検証者
装置は証明者装置にｍビット（例えば、ｍ＝５０）送る
ことが可能となり、繰り返し実行しなくても証明者装置
の悪さがばれない確率に１／２m 、例えば１／２50程度
であり十分な安全性を保証できるため、基本的なプロト
コルを繰り返し実行する必要が無くなった。このことに
より、処理量、通信量を圧倒的に小さくすることが可能
になった。
1 ，Ｔ2 ，Ｊと、ｅ又はｅ，ｗと、ｙｉ，ｒｉ又はｙ
ｉ，ｚｉとの基本的な３回のやりとりにおいて、検証者
装置は証明者装置にｍビット（例えば、ｍ＝５０）送る
ことが可能となり、繰り返し実行しなくても証明者装置
の悪さがばれない確率に１／２m 、例えば１／２50程度
であり十分な安全性を保証できるため、基本的なプロト
コルを繰り返し実行する必要が無くなった。このことに
より、処理量、通信量を圧倒的に小さくすることが可能
になった。
【０００９】
【発明の実施の形態】図１に示すように証明者装置１０
０と検証者装置２００とは例えば通信回線等を介して接
続されている。請求項１の発明の実施例における証明者
装置、検証者装置間の処理手順を図１Ｂ，図２を用いて
説明する。
０と検証者装置２００とは例えば通信回線等を介して接
続されている。請求項１の発明の実施例における証明者
装置、検証者装置間の処理手順を図１Ｂ，図２を用いて
説明する。
【００１０】まず、システムであらかじめ情報、ｐ，
ｇ，Ｇ，ｑが公開され、ｐを素数とし、ｐを法とする乗
法群におけるｇ及びＧの位数をｑとする。証明者装置１
００は、ｎビットの秘密情報ｓからＩを生成する。 Ｉ＝ｇs mod ｐ ……（１） この剰余演算の結果Ｉを公開登録する。（上記の剰余演
算等については、池野、小山著「現代暗号理論」電子情
報通信学会、等を参照。なお、以下でＺ＜ｑ＞は、０以
上ｑ−１以下の整数の集合を意味する。） １．証明者装置１００は、乱数生成器１０１を用いて、
乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜
ｑ＞を生成して、減算器１０２、剰余演算器１０３を用
いて、以下を計算する。ｍは検証者装置２００が送るメ
ッセージの長さである。
ｇ，Ｇ，ｑが公開され、ｐを素数とし、ｐを法とする乗
法群におけるｇ及びＧの位数をｑとする。証明者装置１
００は、ｎビットの秘密情報ｓからＩを生成する。 Ｉ＝ｇs mod ｐ ……（１） この剰余演算の結果Ｉを公開登録する。（上記の剰余演
算等については、池野、小山著「現代暗号理論」電子情
報通信学会、等を参照。なお、以下でＺ＜ｑ＞は、０以
上ｑ−１以下の整数の集合を意味する。） １．証明者装置１００は、乱数生成器１０１を用いて、
乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜
ｑ＞を生成して、減算器１０２、剰余演算器１０３を用
いて、以下を計算する。ｍは検証者装置２００が送るメ
ッセージの長さである。
【００１１】 ｔ２＝ｔ１−２n+m ……（２） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（３） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（４） 証明者装置１００は、Ｔ1 ，Ｔ2 を順番を決めずに検証
者装置２００に送る。ここで送る順を固定するとそれだ
け秘密が破られるおそれがある。２．検証者装置２００
は、Ｔ1 ，Ｔ2 を受けとると、乱数生成器２０１を用い
て、乱数ｅ∈Ｚ＜２m ＞を生成して、ｅを証明者装置１
００に送る。３．証明者装置１００は、ｅを受け取る
と、ｉ＝１，２に対して、乗算器１０４、加算器１０５
を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（５） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（６） を満足するものを検証者装置２００に送る。また、同時
にｒｉも送る。この場合 （６）式を満すのはｙ１，ｙ２の一方だけである。４．
検証者装置２００は、ｙｉ，ｒｉを受け取ると、剰余演
算器２０３、比較器２０４を用いて、以下の検証式を満
足するかどうか検証する。
者装置２００に送る。ここで送る順を固定するとそれだ
け秘密が破られるおそれがある。２．検証者装置２００
は、Ｔ1 ，Ｔ2 を受けとると、乱数生成器２０１を用い
て、乱数ｅ∈Ｚ＜２m ＞を生成して、ｅを証明者装置１
００に送る。３．証明者装置１００は、ｅを受け取る
と、ｉ＝１，２に対して、乗算器１０４、加算器１０５
を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（５） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（６） を満足するものを検証者装置２００に送る。また、同時
にｒｉも送る。この場合 （６）式を満すのはｙ１，ｙ２の一方だけである。４．
検証者装置２００は、ｙｉ，ｒｉを受け取ると、剰余演
算器２０３、比較器２０４を用いて、以下の検証式を満
足するかどうか検証する。
【００１２】 ｙｉ∈Ｚ＜２n+m ＞ ……（７） ｇyiＧri≡Ｔi Ｉe （mod ｐ） ……（８） 検証者装置は、検証に合格すれば、高い確率で、ｓがｎ
＋ｄbit 以下であると認定する。（ｄは、適当なマージ
ン）（７）式は、証明者装置１００が悪さをしていない
ことの確認である。
＋ｄbit 以下であると認定する。（ｄは、適当なマージ
ン）（７）式は、証明者装置１００が悪さをしていない
ことの確認である。
【００１３】次に請求項２の発明の実施例における証明
者装置、検証者装置間の処理手順を図３，図４を用いて
説明する。まず、システムであらかじめ以下の情報、
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。
者装置、検証者装置間の処理手順を図３，図４を用いて
説明する。まず、システムであらかじめ以下の情報、
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。
【００１４】証明者装置１００は、ｎビットの秘密情報
ｓから次式によりＩを生成する。 Ｉ＝ｇs mod ｐ ……（９） このＩを公開登録する。１．証明者装置１００は、乱数
生成器１０１を用いて、乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１
∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞，ｕ∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。
ｓから次式によりＩを生成する。 Ｉ＝ｇs mod ｐ ……（９） このＩを公開登録する。１．証明者装置１００は、乱数
生成器１０１を用いて、乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１
∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞，ｕ∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。
【００１５】 ｔ２＝ｔ１−２n+m ……（１０） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（１１） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（１２） Ｊ＝Ｇu mod ｐ ……（１３） 証明者装置１００は、Ｔ1 ，Ｔ2 を順番を決めずに、検
証者装置２００に送る。また、同時にＪも送る。 ２．検証者装置２００は、Ｔ1 ，Ｔ2 ，Ｊを受け取る
と、乱数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m ＞，
ｗ∈Ｚ＜ｑ＞を生成してｅ，ｗを証明者１００に送る。 ３．証明者装置１００は、ｅ，ｗを受け取ると、ｉ＝
１，２に対して、乗算器１０４、加算器１０５を用い
て、 ｙｉ＝ｔｉ＋ｓｅ ……（１４） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（１５） を満足するものを検証者装置２００に送る。さらに、剰
余演算器１０３を用いて ｚｉ＝ｒｉ＋ｕｗ modｑ ……（１６） を計算し、ｚｉも送る。 ４．検証者装置２００は、ｙｉ，ｚｉを受け取ると、剰
余演算器２０３、比較器２０４を用いて、以下の検証式
を満足するかどうか検証する。
証者装置２００に送る。また、同時にＪも送る。 ２．検証者装置２００は、Ｔ1 ，Ｔ2 ，Ｊを受け取る
と、乱数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m ＞，
ｗ∈Ｚ＜ｑ＞を生成してｅ，ｗを証明者１００に送る。 ３．証明者装置１００は、ｅ，ｗを受け取ると、ｉ＝
１，２に対して、乗算器１０４、加算器１０５を用い
て、 ｙｉ＝ｔｉ＋ｓｅ ……（１４） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（１５） を満足するものを検証者装置２００に送る。さらに、剰
余演算器１０３を用いて ｚｉ＝ｒｉ＋ｕｗ modｑ ……（１６） を計算し、ｚｉも送る。 ４．検証者装置２００は、ｙｉ，ｚｉを受け取ると、剰
余演算器２０３、比較器２０４を用いて、以下の検証式
を満足するかどうか検証する。
【００１６】 ｙｉ∈Ｚ＜２n+m ＞ ……（１７） ｇyiＧzi≡Ｔi Ｉe Ｊw （mod ｐ） ……（１８） 検証者装置は、検証に合格すれば、高い確率で、ｓがｎ
＋ｄbit 以下であると認定する（ｄは、適当なマージ
ン）。 次に請求項３の発明の実施例における証明者装置、検証
者装置間の処理手順を図５，図６を用いて説明する。
＋ｄbit 以下であると認定する（ｄは、適当なマージ
ン）。 次に請求項３の発明の実施例における証明者装置、検証
者装置間の処理手順を図５，図６を用いて説明する。
【００１７】まず、システムであらかじめ以下の情報、
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。証明者装置１００は、ｎビットの秘密情報ｓ及
び乱数ｕ∈Ｚ＜ｑ＞から Ｉ＝ｇs Ｇu mod ｐ ……（１９） を生成し、このＩを公開登録する。 １．証明者装置１００は、乱数生成器１０１を用いて、
乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜
ｑ＞を生成して、減算器１０２、剰余演算器１０３を用
いて、以下を計算する。
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。証明者装置１００は、ｎビットの秘密情報ｓ及
び乱数ｕ∈Ｚ＜ｑ＞から Ｉ＝ｇs Ｇu mod ｐ ……（１９） を生成し、このＩを公開登録する。 １．証明者装置１００は、乱数生成器１０１を用いて、
乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜
ｑ＞を生成して、減算器１０２、剰余演算器１０３を用
いて、以下を計算する。
【００１８】 ｔ２＝ｔ１−２n+m ……（２０） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（２１） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（２２） 証明者装置１００は、Ｔ1 ，Ｔ2 を順番を決めずに、検
証者装置２００に送る。 ２．検証者装置２００は、Ｔ1 ，Ｔ2 を受け取ると、乱
数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m ＞を生成し
て、ｅを証明者装置１００に送る。 ３．証明者装置１００は、ｅを受け取ると、ｉ＝１，２
に対して、乗算器１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（２３） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（２４） を満足するものを検証者装置２００に送る。さらに、剰
余演算器１０３を用いて ｚｉ＝ｒｉ＋ｕｅ modｑ ……（２５） を計算し、ｚｉも送る。 ４．検証者装置２００は、ｙｉ，ｚｉを受け取ると、剰
余演算器２０３、比較器２０４を用いて、以下の検証式
を満足するかどうか検証する。
証者装置２００に送る。 ２．検証者装置２００は、Ｔ1 ，Ｔ2 を受け取ると、乱
数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m ＞を生成し
て、ｅを証明者装置１００に送る。 ３．証明者装置１００は、ｅを受け取ると、ｉ＝１，２
に対して、乗算器１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（２３） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（２４） を満足するものを検証者装置２００に送る。さらに、剰
余演算器１０３を用いて ｚｉ＝ｒｉ＋ｕｅ modｑ ……（２５） を計算し、ｚｉも送る。 ４．検証者装置２００は、ｙｉ，ｚｉを受け取ると、剰
余演算器２０３、比較器２０４を用いて、以下の検証式
を満足するかどうか検証する。
【００１９】 ｙｉ∈Ｚ＜２n+m ＞ ……（２６） ｇyiＧzi≡Ｔi Ｉe （mod ｐ） ……（２７） 検証者装置２００は、検証に合格すれば、高い確率で、
ｓがｎ＋ｄbit 以下であると認定する（ｄは、適当なマ
ージン）。
ｓがｎ＋ｄbit 以下であると認定する（ｄは、適当なマ
ージン）。
【００２０】
【発明の効果】例えば、従来のＤａｍｇａｒｄらの方法
では、基本的な３回のやりとりにおいて証明者装置、検
証者装置のそれぞれの計算量は、べき乗剰余演算を少な
くとも２回行う必要があるが、１ビットづつ送るため、
証明者が悪さをしてもそれがばれない確率が十分小さ
く、つまり悪さをすれば直ぐわかるように３回の基本的
やりとりを多数繰り返すが、その繰り返し回数を４０回
とした場合、べき乗剰余演算を少なくとも４０回行う必
要がある。
では、基本的な３回のやりとりにおいて証明者装置、検
証者装置のそれぞれの計算量は、べき乗剰余演算を少な
くとも２回行う必要があるが、１ビットづつ送るため、
証明者が悪さをしてもそれがばれない確率が十分小さ
く、つまり悪さをすれば直ぐわかるように３回の基本的
やりとりを多数繰り返すが、その繰り返し回数を４０回
とした場合、べき乗剰余演算を少なくとも４０回行う必
要がある。
【００２１】この発明の方法では（いずれの請求項の発
明においても）、証明者装置、検証者装置のいずれで
も、ｍを例えば５０にすれば証明者が悪さをするとばれ
ない確率は１／２50程度と十分小さくなり、基本的やり
とりを繰り返す必要がないから、べき乗剰余演算の回数
は２回程度である。従って、従来の方式に比べ、数１０
倍高速で、かつ同時に通信量が数１０分の１になる。
明においても）、証明者装置、検証者装置のいずれで
も、ｍを例えば５０にすれば証明者が悪さをするとばれ
ない確率は１／２50程度と十分小さくなり、基本的やり
とりを繰り返す必要がないから、べき乗剰余演算の回数
は２回程度である。従って、従来の方式に比べ、数１０
倍高速で、かつ同時に通信量が数１０分の１になる。
【図１】Ａはこの発明の原理構成における証明者装置と
検証者装置との接続を示す図、Ｂは請求項１の発明の実
施例の処理手順を示す図である。
検証者装置との接続を示す図、Ｂは請求項１の発明の実
施例の処理手順を示す図である。
【図２】請求項１の発明の実施例の構成図。
【図３】請求項２の発明の実施例の処理手順を示す図。
【図４】請求項２の発明の実施例の構成を示す図。
【図５】請求項３の発明の実施例の処理手順を示す図。
【図６】請求項３の発明の実施例の構成を示す図。
フロントページの続き (56)参考文献 Ｐｒａｃｔｉｃａｌ ａｎｄ Ｐｒｏ ｖａｂｌｙ Ｓｅｃｕｒｅ Ｒｅｌｅａ ｓｅ ｏｆ ａ Ｓｅｃｒｅｔ ａｎｄ Ｅｘｃｈａｎｇｅ ｏｆ Ｓｉｇｎａ ｔｕｒｅｓ，Ｌｅｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎ ｃｅ，Ｖｏｌ．765，ｐ．200−217 Ｇｒａｄｕａｌ ａｎｄ Ｖｅｒｉｆ ｉａｂｌｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ，Ｌｅｃｔｕｒｅ Ｎｏ ｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃ ｉｅｎｃｅ，Ｖｏｌ．293，ｐ．156− 166 (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/32 G09C 1/00 640 ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (3)
- 【請求項１】 秘密情報を保持する証明者装置は、その
値がパラメータｎで指定される範囲にある秘密情報ｓよ
り剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、そのＩを
公開登録し、 上記証明者装置は、ｎ及び検証者装置の送るメッセージ
のサイズｍで関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、それを上記検証者装置に送り、 上記検証者装置は、上記Ｔ1 ，Ｔ2 を受信すると、ｍビ
ットの乱数ｅを上記証明者装置に送り、 上記証明者装置は、上記ｅを受信すると演算ｈを用い
て、ｙ１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，ｅ，ｔ
２）を演算し、その演算結果中、その値がｎ及びｍによ
って定まる一定の範囲に入るｙｉ（ｉ＝１又は２）を選
び、ｙｉ，ｒｉを上記検証者装置に送り、 上記検証者装置は、そのｙｉ，ｒｉを受信すると、上記
ｙｉが上記ｎ及びｍによって定められた一定の範囲に入
っていることを確認した後、検証式ｖを用いて、ｖ（ｙ
ｉ，ｒｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満
足していれば、上記ｓが上記ｎで指定された範囲にほぼ
入っていると認証することを特徴とする範囲認証方法。 - 【請求項２】 秘密情報を保持する証明者装置は、その
値がパラメータｎで指定される範囲にある秘密情報ｓよ
り剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、そのＩを
公開登録し、 上記証明者装置は、ｎ及び検証者装置の送るメッセージ
のサイズｍで関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、さらに乱数ｕから剰余演算ｇ′を用いてＪを生成
し、上記Ｔ1 ，Ｔ2 ，Ｊを上記検証者装置に送り、 上記検証者装置は、Ｔ1 ，Ｔ2 ，Ｊを受信してｍビット
の乱数ｅと別の乱数ｗを上記証明者装置に送り、 上記証明者装置は、上記ｅ，ｗを受信すると、演算ｈを
用いて、ｙ１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，
ｅ，ｔ２）を演算し、その演算結果中の、ｎ及びｍによ
って定められた一定の範囲に入るｙｉ（ｉ＝１又は２）
を選び、さらに剰余演算ｈ′を用いてｚｉ＝ｈ′（ｕ，
ｗ，ｒｉ）を計算し、ｙｉ，ｚｉを上記検証者装置に送
り、 上記検証者装置は、上記ｙｉ，ｚｉを受信すると、ｙｉ
が上記ｎ及びｍによって定められた一定の範囲に入って
いることを確認した後、検証式ｖを用いて、ｖ（ｙｉ，
ｚｉ，Ｔｉ，Ｉ，Ｊ）＝０を満足することを確認し、満
足していれば上記ｓが上記ｎで指定された範囲にほぼ入
っていると認証することを特徴とする範囲認証方法。 - 【請求項３】 秘密情報を保持する証明者装置は、その
値がパラメータｎで指定される範囲にある秘密情報ｓ及
び乱数ｕより剰余演算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生
成し、Ｉを公開登録し、 上記証明者装置は、ｎ及び検証者装置の送るメッセージ
のサイズｍで関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、これらＴ1 ，Ｔ2 を上記検証者装置に送り、 上記検証者装置は、上記Ｔ1 ，Ｔ2 を受けると、ｍビッ
トの乱数ｅを上記証明者装置に送り、 上記証明者装置は、上記ｅを受信すると演算ｈを用い
て、ｙ１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，ｅ，ｔ
２）を演算し、これら演算結果中の上記ｎ及びｍによっ
て定められた一定の範囲に入るｙｉ（ｉ＝１又は２）を
選び、さらに剰余演算ｈ′を用いてｚｉ＝ｈ′（ｕ，
ｅ，ｒｉ）を計算し、これらｙｉ，ｚｉを上記検証者装
置に送り、 上記検証者装置は、上記ｙｉ，ｚｉを受信すると、ｙｉ
が上記ｎ及びｍによって定められた一定の範囲に入って
いることを確認した後、検証式ｖを用いて、ｖ（ｙｉ，
ｚｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満足し
ていれば上記ｓ が上記ｎで指定された範囲にほぼ入って
いると認証することを特徴とする範囲認証方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01221496A JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01221496A JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09204142A JPH09204142A (ja) | 1997-08-05 |
| JP3285190B2 true JP3285190B2 (ja) | 2002-05-27 |
Family
ID=11799140
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP01221496A Expired - Fee Related JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3285190B2 (ja) |
-
1996
- 1996-01-26 JP JP01221496A patent/JP3285190B2/ja not_active Expired - Fee Related
Non-Patent Citations (2)
| Title |
|---|
| Ｇｒａｄｕａｌ ａｎｄ Ｖｅｒｉｆｉａｂｌｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．２９３，ｐ．１５６−１６６ |
| Ｐｒａｃｔｉｃａｌ ａｎｄ Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ ａｎｄ Ｅｘｃｈａｎｇｅ ｏｆ Ｓｉｇｎａｔｕｒｅｓ，Ｌｅｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．７６５，ｐ．２００−２１７ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH09204142A (ja) | 1997-08-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9240884B2 (en) | Method and apparatus for verifiable generation of public keys | |
| EP0786178B1 (en) | Secret-key certificates | |
| US8000470B2 (en) | Method of public key generation | |
| JP3522447B2 (ja) | 認証交換方法および付加型公衆電子署名方法 | |
| JP5205398B2 (ja) | 鍵認証方式 | |
| CN107968710B (zh) | Sm9数字签名分离交互生成方法及系统 | |
| Roy et al. | A survey on digital signatures and its applications | |
| JPH10133576A (ja) | 公開鍵暗号方法および装置 | |
| WO2006024042A2 (en) | Provisional signature schemes | |
| JP2001125482A (ja) | 混成署名方式 | |
| US8015398B2 (en) | Set membership proofs in data processing systems | |
| WO2006070682A1 (ja) | 制限付ブラインド署名システム | |
| CN115834056A (zh) | 一种无证书有序聚合签名方法、系统及相关装置 | |
| KR101802826B1 (ko) | Id 기반 인증 및 키 교환 방법 | |
| JP3513324B2 (ja) | ディジタル署名処理方法 | |
| Rodríguez-Henríquez et al. | Yet another improvement over the Mu–Varadharajan e-voting protocol | |
| JP4307589B2 (ja) | 認証プロトコル | |
| JP3285190B2 (ja) | 範囲認証方法 | |
| CN110278073A (zh) | 一种群组数字签名、验证方法及其设备和装置 | |
| JP2006203660A (ja) | デジタル署名情報生成装置、デジタル署名情報生成方法及びプログラム | |
| JP3484069B2 (ja) | 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体 | |
| Barker et al. | SP 800-56A. recommendation for pair-wise key establishment schemes using discrete logarithm cryptography (revised) | |
| JP3435472B2 (ja) | 秘密保持認証方法及びシステム | |
| JP3331329B2 (ja) | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 | |
| Goyal | More efficient server assisted one time signatures |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090308 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090308 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100308 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110308 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |