JP3484069B2 - 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体 - Google Patents

秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体

Info

Publication number
JP3484069B2
JP3484069B2 JP04845398A JP4845398A JP3484069B2 JP 3484069 B2 JP3484069 B2 JP 3484069B2 JP 04845398 A JP04845398 A JP 04845398A JP 4845398 A JP4845398 A JP 4845398A JP 3484069 B2 JP3484069 B2 JP 3484069B2
Authority
JP
Japan
Prior art keywords
random number
commitment
verifier
predetermined
secret information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP04845398A
Other languages
English (en)
Other versions
JPH11249560A (ja
Inventor
英一郎 藤▲崎▼
龍明 岡本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
NTT Inc USA
Original Assignee
Nippon Telegraph and Telephone Corp
NTT Inc USA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp, NTT Inc USA filed Critical Nippon Telegraph and Telephone Corp
Priority to JP04845398A priority Critical patent/JP3484069B2/ja
Publication of JPH11249560A publication Critical patent/JPH11249560A/ja
Application granted granted Critical
Publication of JP3484069B2 publication Critical patent/JP3484069B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】この発明は、通信システムで
秘密同時著名交換、鍵寄託暗号方式や電子現金などのプ
ロトコルにおいて使われる秘密情報認証方法及び合同多
項式認証方法並びに当該認証プログラムを記録した記録
媒体である。
【０００２】
【従来の技術】従来の合同多項式認証方法は、Brickell
ら（“GradualandVerifiableReleaseofaSecret，”Pro
c.ofCrypto´87，LNCS，SpringerVerlag，1988）及びDa
mgard（“PracticalandProvablySecureReleaseofaSecre
tandExchangeofSignatures，”Proc.ofEurocrypt´93，
LNCS，SpringerVerlag，1944）、藤崎−岡本（“Statis
ticalZeroKnowledgeProtocolstoProveModularPolynomia
lRelations，”ProceedingsofCrypto´97，LNCS1294，S
pringer，pp.16-30（1997））によって提案されてい
る。これら論文において、合同多項式認証方法は、秘密
同時著名交換に用いられている。
【０００３】一方、岡本（“AnEfficientDivisibleCash
Scheme，”Proc.ofCrypto´95，LNCS，SpringerVerla
g，1995）は、このような秘密保持認証方式を電子現金
方式に適用している。
【０００４】なお、ビットコミットメントは「現代暗号
理論（岡本龍明／山本博資著、産業図書）143〜144頁」
に詳しい。
【０００５】
【発明が解決しようとする課題】しかしながら、上述し
た従来の方式のうち、Brickell等、Damgard、岡本の方
式は、いずれも、基本認証方式が非効率なため通信量、
計算量が膨大になるという欠点があり、また藤崎−岡本
方式は、上記３方式に比べると効率的ではあるものの、
実用的な効率レベルには到達しているとは言い難かっ
た。また、藤崎−岡本方式は、証明者にとって情報理論
的に全く安全であるとまでは言えなかった。
【０００６】本発明は、上記課題に鑑みてなされたもの
で、この発明の目的は、従来の方法に比べ、通信量、計
算量が少なく、かつ安全な秘密情報認証方法及び合同多
項式認証方法を実現し、かつ、素因数分解型の公開鍵暗
号に対する効率的な鍵寄託方式を実現することを可能と
する秘密情報認証方法及び合同多項式認証方法並びに当
該認証プログラムを記録した記録媒体を提供することに
ある。
【０００７】
【課題を解決するための手段】前述した目的を達成する
ために、以下に示す秘密情報認証方法及び合同多項式認
証方法は、証明者装置と検証者装置より構成され、証明
者装置が一つ又は複数の秘密情報を保持していることを
検証者装置に認証させる認証方法である。
【０００８】例えば、多項式をＦ（Ｘ1，…，Ｘm）、法
をｎだとすれば、合同多項式（Ｆ，ｎ）は証明者装置と
検証者装置の間で共通に公開されているが、Ｆ（ｓ1，
…，ｓm）≡０（modｎ）を満たす解（ｓ1，…，ｓm）を
知っているのは証明者装置だけという状況で、証明者装
置はこの「知っている」という事実以外の情報を漏らさ
ずに検証者装置に認証させることを目的とした認証方法
である。
【０００９】本発明のうちで、請求項１記載の発明は、
乱数を生成する第１の乱数生成器、所定の四則演算を行
う四則演算器、および所定のコミットメント演算を行う
コミットメント演算器を備えた証明者装置と、前記コミ
ットメント演算器と通信回線を介して接続され、乱数を
生成する第２の乱数生成器および前記証明者装置から受
信した情報の検証を行う検証器を備えた検証者装置と、
を有し、所定の複数の整数（ｂ、ｎ、Ｎ）が公開された
通信システムに、前記証明者装置が所定の秘密情報を保
持していることを前記検証者装置に認証させるための通
信を実行させる秘密情報認証方法であって、前記証明者
装置が、前記コミットメント演算器に入力された前記ｎ
の剰余類環Ｚ／ｎＺの元である所定の秘密情報ｓと、前
記第１の乱数生成器によって前記Ｎの剰余類環Ｚ／ＮＺ
の元のうちＮと互いに素な整数から一様に選択され、生
成された乱数ｒと、前記整数ｂとｎとを用いてコミット
メント演算ｃ＝ＢＣ(b,n)（ｓ，ｒ）を行い、このコミ
ットメント演算ｃを前記検証者装置に送信する第１ステ
ップ、前記証明者装置が、前記コミットメント演算器に
よって、前記第１の乱数生成器によって生成され、前記
整数ｎに関係付けられた乱数ｗおよび前記整数Ｎに関係
付けられた乱数ηと、前記整数ｂとｎとを用いてコミッ
トメント演算ｔ＝ＢＣ(b,n)（ｗ，η）を行い、このコ
ミットメント演算ｔを前記検証者装置に送信する第２ス
テップ、前記検証者装置が、前記第２の乱数生成器によ
って乱数ｅを生成し、この乱数ｅを前記証明者装置に送
信する第３ステップ、 前記証明者装置が、前記秘密情
報ｓ、前記乱数ｅおよびｗ、前記整数ｎに依存するＸ
と、前記乱数ｒ、前記乱数ｅおよびη、前記整数Ｎに依
存するＲとを前記四則演算器によってそれぞれ計算し、
前記検証者装置に送信する第４ステップ、前記検証者装
置が、前記検証器によって、前記Ｘ、Ｒ、ｃ、ｔ、ｅ、
ｎを用いて、演算結果として０または１を出力する所定
の演算VCHECK（Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）を行う第５ス
テップ、を実行し、前記検証器がVCHECK（Ｘ，Ｒ，ｃ，
ｔ，ｅ，ｎ）＝０を出力した場合、前記検証器装置は、
前記証明者装置が前記秘密情報ｓを保持していると認証
することを要旨とする。以下、この認証方式を基本認証
方式１と呼び、このプロトコルをＣＨＥＣＫ
(b,n)（ｃ）と書く。
【００１０】これにより従来のBrickell等、Damgard、
岡本の各方式では、基本的な３回のやりとりのプロトコ
ルにおいて、検証者が証明者に１ビット送るだけであっ
た。そのため、安全性を高めるため、繰り返しプロトコ
ルを実行する必要があった。藤崎−岡本方式では、基本
的な３回のやりとりにおいて、検証者は証明者にｍビッ
ト（例えば、ｍ＝５０）送ることが可能となり、基本的
なプロトコルを繰り返し実行する必要が無くなった。こ
のことにより、処理量、通信量を圧倒的に小さくするこ
とが可能になった。すなわち、コミットメント方式を改
良することで、処理量、通信量のさらなる改善と、安全
性を増加させることに成功した。
【００１１】また、請求項２記載の発明は、乱数を生成
する第１の乱数生成器、所定の四則演算を行う四則演算
器、および所定のコミットメント演算を行うコミットメ
ント演算器を備えた証明者装置と、前記コミットメント
演算器と通信回線を介して接続され、乱数を生成する第
２の乱数生成器および前記証明者装置から受信した情報
の検証を行う検証器を備えた検証者装置と、を有し、所
定の複数の整数（ｂ1、ｂ2、ｎ、Ｎ）が公開された通信
システムに、前記証明者装置が所定の秘密情報を保持し
ていることを前記検証者装置に認証させるための通信を
実行させる秘密情報認証方法であって、前記証明者装置
が、前記コミットメント演算器に入力された前記ｎの剰
余類環Ｚ／ｎＺの元である所定の秘密情報ｓと、前記第
１の乱数生成器によって前記Ｎの剰余類環Ｚ／ＮＺの元
のうちＮと互いに素な整数から一様に選択され、生成さ
れた乱数ｒ1、ｒ2と、前記整数ｂ1、ｂ2およびｎとを用
いて２つのコミットメント演算ｃ1＝ＢＣ(b1,n)（ｓ，
ｒ1），ｃ2＝ＢＣ(b2,n)（ｓ，ｒ2）を行い、これら２
つのコミットメント演算ｃ1，ｃ2を前記検証者装置に送
信する第１ステップ、前記証明者装置が、前記第１の乱
数生成器によって生成され、前記整数ｎに関係付けられ
た乱数ｗおよび前記整数Ｎに関係付けられた乱数η1、
η2と、前記整数ｂ1、ｂ2およびｎとを用いて２つのコ
ミットメント演算ｔ1＝ＢＣ(b1,n)（ｗ，η1），ｔ2＝
ＢＣ(b2,n)（ｗ，η2）を行い、これら２つのコミット
メント演算ｔ1、ｔ2を前記検証者装置に送信する第２ス
テップ、前記検証者装置が、前記第２の乱数生成器によ
って乱数ｅを生成し、この乱数ｅを前記証明者装置に送
信する第３ステップ、前記証明者装置が、前記秘密情報
ｓ、前記乱数ｅおよびｗ、前記整数ｎに依存するＸと、
前記乱数ｒ1、前記乱数ｅおよびη1、前記整数Ｎに依存
するＲ1と、前記乱数ｒ2、前記乱数ｅおよびη2、前記
整数Ｎに依存するＲ2とを前記四則演算器によってそれ
ぞれ計算し、前記検証者装置に送信する第４ステップ、
前記検証者装置が、前記検証器によって、前記Ｘ、
Ｒ1、Ｒ2、ｃ1、ｃ2、ｔ1、ｔ2、ｅ、ｎを用いて、演算
結果として０または１を出力する所定の演算VCOM（Ｘ、
Ｒ1、Ｒ2、ｃ1、ｃ2、ｔ1、ｔ2、ｅ、ｎ）を行う第５ス
テップ、を実行し、前記検証器がVCOM（Ｘ、Ｒ1、Ｒ2、
ｃ1、ｃ2、ｔ1、ｔ2、ｅ、ｎ）＝０を出力した場合、前
記検証器装置は、前記証明者装置が前記秘密情報ｓを保
持していると認証することを要旨とする。以下、この認
証方式を比較認証方式と呼び、このプロトコルをＣＯＭ
(b1,b2,n)（ｃ1，ｃ2）と書く。
【００１２】また、請求項３記載の発明は、乱数を生成
する第１の乱数生成器、所定の四則演算を行う四則演算
器、および所定のコミットメント演算を行うコミットメ
ント演算器を備えた証明者装置と、前記コミットメント
演算器と通信回線を介して接続され、乱数を生成する第
２の乱数生成器および前記証明者装置から受信した情報
の検証を行う検証器を備えた検証者装置と、を有し、所
定の複数の整数（ｂ、ｎ、Ｎ）が公開された通信システ
ムに、前記証明者装置が所定の複数の秘密情報を保持し
ていることを、前記複数の秘密情報が所定の合同多項式
で関係付けられているという合同多項式情報以外は一切
漏らさずに前記検証者装置に認証させるための通信を実
行させる合同多項式認証方法であって、前記証明者装置
が、前記コミットメント演算器に入力された前記ｎの剰
余類環Ｚ／ｎＺの元である所定の秘密情報ｓ1、ｓ2と、
前記第１の乱数生成器によって前記Ｎの剰余類環Ｚ／Ｎ
Ｚの元のうちＮと互いに素な整数から一様に選択され、
生成された乱数ｒ1、ｒ2と、前記整数ｂおよびｎとを用
いて２つのコミットメント演算ｃ1＝ＢＣ(b,n)（ｓ1，
ｒ1）およびｃ2＝ＢＣ(b,n)（ｓ2，ｒ2）を行い、さら
に前記秘密情報ｓ1、ｓ2に係る第３の秘密情報ｓ3＝ｓ1
＋ｓ2(modｎ)に対し、前記整数ｂおよびｎと、新たに生
成された乱数ｒ3とを用いてコミットメント演算ｃ3＝Ｂ
Ｃ(b,n)（ｓ3，ｒ3）を行い、前記３つのコミットメン
ト演算ｃ1、ｃ2、ｃ3を前記検証者装置に送信する第１
ステップ、前記証明者装置が、前記第１の乱数生成器に
よって生成した前記整数Ｎに関係付けられた乱数ηと、
前記整数ｂおよびｎとを用いてコミットメント演算ｔ＝
ＢＣ(b,n)（０，η）を行い、当該コミットメント演算
ｔを前記検証者装置に送信する第２ステップ、前記検証
者装置が、前記第２の乱数生成器によって乱数ｅを生成
し、当該乱数ｅを前記証明者装置に送信する第３ステッ
プ、前記証明者装置が、前記乱数ｒ1、ｒ2、ｒ3と、前
記乱数ｅおよびη、前記整数Nに依存するＲを前記四則
演算器によって計算し、前記検証者装置に送信する第４
ステップ、前記検証者装置が、前記検証器によって、前
記Ｒ、ｔ、ｅ、ｃ1、ｃ2、ｃ3、ｎを用いて、演算結果
として０または１を出力する所定の演算VADD（Ｒ、ｔ、
ｅ、ｃ1、ｃ2、ｃ3、ｎ）を行う第５ステップ、を実行
し、前記検証器がVADD（Ｒ、ｔ、ｅ、ｃ1、ｃ2、ｃ3、
ｎ）＝０を出力した場合、前記検証者装置は、前記証明
者装置により生成された前記コミットメント演算ｃ3が
前記コミットメント演算ｃ1およびｃ2にそれぞれ係る前
記秘密情報ｓ1およびｓ2の前記整数ｎを法とした合同和
ｓ3をコミットしていると認証することを要旨とする。
【００１３】以下、このような認証方式、すなわちコミ
ットメントｃ3がコミットメントｃ1とコミットメントｃ
2の秘密情報ｓの法ｎのもとでの合同和ｓ3をコミットし
ていることを検証者に認証させる認証方法を加算認証方
式と呼び、このプロトコルをＡＤＤ(b,n)（ｃ1，ｃ2；
ｃ3）と書く。
【００１４】また、請求項４記載の発明は、乱数を生成
する第１の乱数生成器、所定の四則演算を行う四則演算
器、および所定のコミットメント演算を行うコミットメ
ント演算器を備えた証明者装置と、前記コミットメント
演算器と通信回線を介して接続され、乱数を生成する第
２の乱数生成器および前記証明者装置から受信した情報
の検証を行う検証器を備えた検証者装置と、を有し、所
定の複数の整数（ｂ、ｎ、Ｎ）が公開された通信システ
ムに、前記証明者装置が所定の複数の秘密情報を保持し
ていることを、前記複数の秘密情報が所定の合同多項式
で関係付けられているという合同多項式情報以外は一切
漏らさずに前記検証者装置に認証させるための通信を実
行させる合同多項式認証方法であって、前記証明者装置
が、前記コミットメント演算器に入力された前記ｎの剰
余類環Ｚ／ｎＺの元である所定の秘密情報ｓ1、ｓ2と、
前記第１の乱数生成器によって前記Ｎの剰余類環Ｚ／Ｎ
Ｚの元のうちＮと互いに素な整数から一様に選択され、
生成された乱数ｒ1、ｒ2と、前記整数ｂおよびｎとを用
いて２つのコミットメント演算ｃ1＝ＢＣ(b,n)（ｓ1，
ｒ1）およびｃ2＝ＢＣ(b,n)（ｓ2，ｒ2）を行い、さら
に前記秘密情報ｓ1、ｓ2に係る第３の秘密情報ｓ3＝ｓ1
・ｓ2(modｎ)に対し、前記整数ｂおよびｎと、新たに生
成された乱数ｒ3とを用いてコミットメント演算ｃ3＝Ｂ
Ｃ(b,n)（ｓ3，ｒ3）を行い、前記３つのコミットメン
ト演算ｃ1、ｃ2、ｃ3を前記検証者装置に送信する第１
ステップ、前記証明者装置が、前記検証者装置との間
で、請求項２記載の秘密情報認証方法を実行するプロト
コルをＣＯＭ(b1,b2,n)（ｃ1，ｃ2）と記載するとき、
ＣＯＭ(b,c2,n)（ｃ1，ｃ3）を行う第２ステップ、前記
証明者装置が、前記検証者装置との間でＣＯＭ(b,c1,n)
（ｃ2，ｃ3）を行う第３ステップ、を実行し、前記２つ
のプロトコルＣＯＭ(b,c2,n)（ｃ1，ｃ3）およびＣＯＭ
(b,c1,n)（ｃ2，ｃ3）が正しく実行されたとき、前記検
証者装置は、前記証明者装置により生成された前記コミ
ットメント演算ｃ3が前記コミットメント演算ｃ1および
ｃ2にそれぞれ係る前記秘密情報ｓ1およびｓ2の前記整
数ｎを法とした合同積ｓ3をコミットしていると認証す
ることを要旨とする。
【００１５】以下、このような認証方式、すなわちコミ
ットメントｃ3がコミットメントｃ1とコミットメントｃ
2の秘密情報ｓの法ｎのもとでの合同積ｓ3をコミットし
ていることを検証者に認証させる認証方法を乗算認証方
式と呼び、このプロトコルをＭＵＬ(b,n)（ｃ1，ｃ2；
ｃ3）と書く。
【００１６】また、請求項５記載の発明は、乱数を生成
する第１の乱数生成器、所定の四則演算を行う四則演算
器、および所定のコミットメント演算を行うコミットメ
ント演算器を備えた証明者装置と、前記コミットメント
演算器と通信回線を介して接続され、乱数を生成する第
２の乱数生成器および前記証明者装置から受信した情報
の検証を行う検証器を備えた検証者装置と、を有し、所
定の複数の整数（ｂ、ｎ、Ｎ）が公開された通信システ
ムに、前記証明者装置が所定の複数の秘密情報を保持し
ていることを、前記複数の秘密情報が所定の合同多項式
で関係付けられているという合同多項式情報以外は一切
漏らさずに前記検証者装置に認証させるための通信を実
行させる合同多項式認証方法であって、前記証明者装置
が、前記コミットメント演算器に入力された前記ｎの剰
余類環Ｚ／ｎＺの元である所定の秘密情報ｓ1と、前記
第１の乱数生成器によって前記Ｎの剰余類環Ｚ／ＮＺの
元のうちＮと互いに素な整数から一様に選択され、生成
された乱数ｒ1と、前記整数ｂおよびｎとを用いてコミ
ットメント演算ｃ1＝ＢＣ(b,n)（ｓ1，ｒ1）を行い、さ
らに前記秘密情報ｓ1に係る第２の秘密情報ｓ3＝ｓ1 2(m
odｎ)に対し、前記整数ｂおよびｎと、新たに生成され
た乱数ｒ3とを用いてコミットメント演算ｃ3＝ＢＣ
(b,n)（ｓ3，ｒ3）を行い、前記２つのコミットメント
演算ｃ1およびｃ3を前記検証者装置に送信する第１ステ
ップ、前記証明者装置が、前記検証者装置との間で、請
求項２記載の秘密情報認証方法を実行するプロトコルを
ＣＯＭ(b1,b2,n)（ｃ1，ｃ2）と記載するとき、ＣＯＭ
(b,c1,n)（ｃ1，ｃ3）を行う第２ステップ、を実行し、
前記プロトコルＣＯＭ(b,c1,n)（ｃ1，ｃ3）が正しく実
行されたとき、前記検証者装置は、前記証明者装置によ
り生成された前記コミットメント演算ｃ3が前記コミッ
トメント演算ｃ1に係る前記秘密情報ｓ1の前記整数ｎを
法とした合同自乗積ｓ3をコミットしていると認証する
ことを要旨とする。
【００１７】以下、このような認証方式、すなわちコミ
ットメントｃ3がコミットメントｃ1の秘密情報ｓの法ｎ
のもとでの合同自乗積ｓ3をコミットしていることを検
証者に認証させる認証方式を自乗認証方式と呼び、この
プロトコルをＳＱＵ(b,n)（ｃ1；ｃ3）と書く。
【００１８】また、請求項６記載の発明は、乱数を生成
する第１の乱数生成器、所定の四則演算を行う四則演算
器、および所定のコミットメント演算を行うコミットメ
ント演算器を備えた証明者装置と、前記コミットメント
演算器と通信回線を介して接続され、乱数を生成する第
２の乱数生成器および前記証明者装置から受信した情報
の検証を行う検証器を備えた検証者装置と、を有し、
【００１９】所定の複数の整数（ｂ、ｎ1、ｎ2、ｇ1、
ｇ2、Ｎ）が公開された通信システムに、前記証明者装
置が所定の複数の秘密情報を保持していることを、前記
複数の秘密情報が所定の合同多項式で関係付けられてい
るという合同多項式情報以外は一切漏らさずに前記検証
者装置に認証させるための通信を実行させる合同多項式
認証方法であって、前記証明者装置が、前記コミットメ
ント演算器に入力された前記ｎ1の剰余類環Ｚ／ｎ1Ｚの
元である所定の秘密情報ｓ1と、前記ｎ2の剰余類環Ｚ／
ｎ2Ｚの元である所定の秘密情報ｓ2と、前記第１の乱数
生成器によって前記Ｎの剰余類環Ｚ／ＮＺの元のうちＮ
と互いに素な整数から一様に選択され、生成された乱数
ｒと、前記整数ｂおよびｎとを用いて２つのコミットメ
ント演算ｃ1＝ＢＣ(b,n1)（ｓ1，ｒ）およびｃ2＝ＢＣ
(b,n2)（ｓ2，ｒ）を行うとともに、前記２つの秘密情
報ｓ1およびｓ2とｓ3＝ｓ1（modｎ1）＝ｓ2（modｎ2）
なる関係にあり、なおかつ所定の整数の元である秘密情
報ｓ3と、前記乱数ｒと、前記整数ｇ1とを用いて前記２
つのコミットメント演算とは異なるコミットメント演算
【数３９】 を行い、前記３つのコミットメント演算ｃ1、ｃ2、
【数４０】 を前記検証者装置に送信する第１ステップ、前記証明者
装置が、前記検証者装置との間で、請求項１記載の秘密
情報認証方法を実行するプロトコルをＣＨＥＣＫ(b,n)
（ｃ）と記載するとき、ＣＨＥＣＫ(b,n1)（ｃ1）を行
う第２ステップ、前記証明者装置が、前記検証者装置と
の間でＣＨＥＣＫ(b,n2)（ｃ2）を行う第３ステップ、
前記証明者装置が、前記検証者装置との間で
【数４１】 を行う第４ステップ、前記証明者装置が、前記検証者装
置との間で
【数４２】 を行う第５ステップ、前記証明者装置が前記第１の乱数
生成器によって乱数ｗ1 0，ｗ1 1を生成するとともに、こ
の乱数ｗ1 0，ｗ1 1に応じて乱数ｗ2 0，ｗ2 1を生成し、さ
らにｉとｊを１または２とするとき、前記乱数ｗi 0，ｗ
j 1に応じて乱数ｗij 2を生成し、前記乱数ｗi 0，ｗj 1，
ｗij 2を用いてコミットメント演算
【数４３】 を計算し、この４つのコミットメント演算を前記検証者
装置に送信し、前記検証者装置が、前記第２の乱数生成
器によって乱数ｅを生成し、この乱数ｅを前記証明者装
置に送信し、前記証明者装置が、所定の整数である秘密
情報ｓ、前記乱数ｅ、前記ｗ1 0およびｗ2 0のいずれか一
方、前記整数ｎに依存するＸと、前記乱数ｒ、前記乱数
ｅ、前記乱数ｗ1 1およびｗ2 1のいずれか一方、に依存す
るＲと、を前記四則演算器によってそれぞれ計算し、前
記Ｘ、Ｒおよびｗij 2を前記検証者装置に送信し、前記
検証者装置が、前記検証器によって、前記Ｘ、Ｒ、
【数４４】 ｗij 2、ｔij、ｅを用いて、演算結果として０または１
を出力する所定の演算
【数４５】 を実行させ、前記検証器が
【数４６】 を出力した場合、前記検証器装置は、前記証明者装置が
前記秘密情報ｓを保持していると認証することを特徴と
する秘密情報認証方法を実行するプロトコルを
【数４７】 とするとき、前記証明者装置が、前記検証者装置との間
で
【数４８】 を行う第６ステップ、を実行し、前記５つのプロトコル
ＣＨＥＣＫ(b,n1)（ｃ1）、ＣＨＥＣＫ(b,n2)（ｃ2）、
【数４９】
【数５０】
【数５１】 が全て正しく実行されたとき、前記検証者装置は、前記
証明者装置により生成された前記コミットメント演算ｃ
1、ｃ2それぞれに係る前記秘密情報ｓ1、ｓ2が、関係式
ｓ1（modｎ1）＝ｓ2（modｎ2）を満たしていると認証す
ることを要旨とする。
【００２０】以下、このような認証方式、すなわちコミ
ットメントｃ1とコミットメントｃ2がコミットしている
式ｓ1，ｓ2が、式ｓ1（modｎ1）＝ｓ2（modｎ2）を満た
していることを検証者に認証させる認証方法を乗り継ぎ
認証方式と呼び、このプロトコルをＴＲＡＮ(b,n1,n2)
（ｃ1，ｃ2）と書く。
【００２１】また、請求項７記載の発明は、前記コミッ
トメント演算が、ＢＣ (b,n) （ｓ，ｒ）＝ｂ s ｒ n （ mod
Ｎ）であることを要旨とする。
【００２２】また、請求項８記載の本発明は、所定の多
項式Ｆと、この多項式Ｆの法をあらわす所定の整数ｎと
が、乱数を生成する第１の乱数生成器、所定の四則演算
を行う四則演算器、および所定のコミットメント演算を
行うコミットメント演算器を備えた証明者装置と、前記
コミットメント演算器と通信回線を介して接続され、乱
数を生成する第２の乱数生成器および前記証明者装置か
ら受信した情報の検証を行う検証器を備えた検証者装置
と、を有し、所定の複数の整数（ｂ，ｎ，Ｎ）が公開さ
れた通信システムにおいて公開されているとき、前記証
明者装置が、前記ｎの剰余類環Ｚ／ｎＺの元である所定
の複数の秘密情報ｓ1，…，ｓmと、前記第１の乱数生成
器によって前記Ｎの剰余類環Ｚ／ＮＺの元のうちＮと互
いに素な整数から一様に選択され、生成された乱数
ｒ1，…，ｒmと、前記整数ｂおよびｎとを用いてｍ個の
コミットメント演算ｃ1＝ＢＣ(b,n)（ｓ1，ｒ1），…，
ｃm＝ＢＣ(b,n)（ｓm，ｒm）を行うと共に、前記証明者
装置が前記検証者装置に、前記複数の秘密情報ｓ1，
…，ｓmは、Ｆ（ｓ1，…，ｓm）≡０ （modｎ）を満た
していることを、前記通信システムを介して、前記複数
の秘密情報ｓ1，…，ｓmを明かすことなく認証させる際
に、請求項３乃至５に記載の合同多項式認証方法の少な
くとも２つを組み合わせて用いることを要旨とする。
【００２３】また、請求項９記載の発明は、所定の多項
式Ｆと多項式Ｈ、および前記多項式ＦおよびＨ各々の法
を表す所定の整数ｎとｎ′が、乱数を生成する第１の乱
数生成器、所定の四則演算を行う四則演算器、および所
定のコミットメント演算を行うコミットメント演算器を
備えた証明者装置と、前記コミットメント演算器と通信
回線を介して接続され、乱数を生成する第２の乱数生成
器および前記証明者装置から受信した情報の検証を行う
検証器を備えた検証者装置と、を有し、所定の複数の整
数が公開された通信システムにおいて公開されていると
き、前記証明者装置は前記検証者装置に、所定の複数の
秘密情報ｓ1，…，ｓmが、Ｆ（ｓ1，…，ｓm）≡０
（modｎ）かつＨ（ｓ1，…，ｓm）≡０ （modｎ′）を
満たしていることを前記複数の秘密情報ｓ1，…，ｓmを
明かすことなく認証させる際に、請求項３乃至５に記載
の合同多項式認証方法の少なくとも１つと請求項６の合
同多項式認証方法を組み合わせて用いることを要旨とす
る。
【００２４】また、請求項１０記載の発明は、請求項１
乃至２のいずれか一項に記載の秘密情報認証方法を、乱
数を生成する第１の乱数生成器、所定の四則演算を行う
四則演算器、および所定のコミットメント演算を行うコ
ミットメント演算器を備えた証明者装置と、前記コミッ
トメント演算器と通信回線を介して接続され、乱数を生
成する第２の乱数生成器および前記証明者装置から受信
した情報の検証を行う検証器を備えた検証者装置と、を
有し、所定の複数の整数が公開された通信システムに実
行させるための秘密情報認証プログラムを記録したこと
を要旨とする。
【００２５】また、請求項１１記載の発明は、請求項３
乃至９のいずれか一項に記載の合同多項式認証方法を、
乱数を生成する第１の乱数生成器、所定の四則演算を行
う四則演算器、および所定のコミットメント演算を行う
コミットメント演算器を備えた証明者装置と、前記コミ
ットメント演算器と通信回線を介して接続され、乱数を
生成する第２の乱数生成器および前記証明者装置から受
信した情報の検証を行う検証器を備えた検証者装置と、
を有し、所定の複数の整数が公開された通信システムに
実行させるための合同多項式認証プログラムを記録した
ことを要旨とする。
【００２６】これにより秘密情報認証プログラム及び合
同多項式認証プログラムの流通性を高めることができ
る。
【００２７】
【発明の実施の形態】以下、図面を用いて本発明の実施
の形態について説明する。
【００２８】図１は本発明に係る第１の原理構成を示す
図である。図１は証明者装置１００と検証者装置２００
が通信回線等を介して接続している場合を表す。コミッ
トメント演算器を図２に表す。
【００２９】証明者装置１００、検証者装置２００間の
手順を７つの認証方式に応じて、基本認証方式１を図３
および図４に、基本認証方式２を図５、図６および図７
に、比較認証方式を図８および図９に、加算認証方式を
図１０および図１１に、乗算認証方式を図１２に、自乗
認証方式を図１３に、乗り継ぎ認証方式を図１４にそれ
ぞれ示す。また、合同多項式認証方式の構成例を図１５
に、法の異なる合同多項式認証方式の構成例を図１６に
示す。
【００３０】１．合同多項式認証方法 第１の原理構成に基づく発明の場合、システムで予め以
下の情報、Ｎ，ｂ，ｎ，ｇ1，ｇ2，ｍが公開されてい
る。Ｆは任意の多項式である。プロトコルが正しく終了
した時、証明者装置１００はＦ（ｓ1，…，ｓm）≡０
（modｎ）なる（ｓ1，…，ｓm）を知っていると言うこ
とにする。
【００３１】ｐ，ｑ：素数、Ｎ＝ｐｑとする。また、ｂ
∈［１，Ｎ），ｇ1∈［１，Ｎ），ｇ2∈［１，Ｎ）とす
る。記号［ａ，ｂ）は、ａ以上ｂ未満の整数の集合を意
味する。
【００３２】最初に目的を達成する部品となる、２つの
コミットメント方式、７つの認証方式の構成例を述べ、
その後、多項式Ｆに具体的な値をいれ、本発明の構成例
を示す。
【００３３】（ａ）コミットメント方式 ｉ．コミットメントＢＣ コミットメント演算ＢＣ器１１０は、ｓ∈Ｚ／ｎＺを入
力すると、内部で乱数生成器１０１を用いて乱数ｒ∈Ｚ
／ＮＺ*を生成し、四則演算器１０３を用いてコミット
メントｃをｃ＝ｂsｒnmodＮにより計算する（図２
（ａ）を参照）。但し、（ｂ，ｎ）はコミットメント演
算ＢＣのパラメータである。
【００３４】このコミットメント演算ＢＣは確率的な演
算であり、乱数による引数を取る。以後、特に乱数によ
る引数ｒを明示するときには、ＢＣ（ｓ，ｒ）のように
記述する。
【００３５】また、このコミットメント演算は、ある秘
密情報ｓ1に対するコミットメント演算ＢＣ
(b,n)（ｓ1，ｒ）をｃ1と表すとき、その秘密情報ｓ
1と、別の秘密情報ｓ2と、任意の２つの整数α1、α2∈
Ｚ／ｎＺとを用いて表される関係式ＢＣ(b,n)（α1・ｓ
1＋α2，ｒ）＝ｃ1α1・ＢＣ(b,n)（α2，ｒ）（加法に
関する準同型）、およびＢＣ(c1,n)（ｓ2，ｒ）＝ＢＣ
(b,n)（ｓ1・ｓ2，ｒ）を満たす。
【００３６】
【数１５】 を計算する（図２（ｂ）を参照）。但し、（ｂ，ｇ1）
はコミットメント演算
【数５２】 のパラメータである。
【００３７】
【数１６】 を計算する（図２（ｃ）を参照）。
【００３８】（上記の剰余演算等については、池野、小
山著「現代暗号理論」電子情報通信学会、等を参照）。
【００３９】（ｂ）基本認証方式１ 次に基本認証方式１について図３および図４を参照して
説明する。基本認証方式は、証明者装置１００がコミッ
トメントｃの秘密情報ｓを「知っている」ことを検証者
装置２００に確認させる認証方法である。
【００４０】秘密情報ｓに対し、コミットメント演算Ｂ
Ｃを施し、ｃ＝ＢＣ(b,n)（ｓ，ｒ）を生成する（ステ
ップＳ１１）。
【００４１】証明者装置１００は、コミットメントｃを
検証者装置２００に送信して次のようなやりとりを行
う。
【００４２】証明者装置１００は、乱数生成器１０１と
コミットメント演算ＢＣ器１１０よりｔ＝ＢＣ
(b,n)（ｗ，η）を計算し検証者装置２００に送り（ス
テップＳ１３）、検証者装置２００は、乱数生成器１０
４より乱数ｅを生成し証明者装置１００に送り（ステッ
プＳ１５）、証明者装置１００は、四則演算器１０３を
用いて、
【数１７】 を計算し、検証者装置２００に送る（ステップＳ１
７）。
【００４３】検証者装置２００は、検証器ＶCHECK２１
０を利用して、検証を行なう。ここで検証器ＶCHECK２
１０は、コミットメント演算ＢＣ器１１０、四則演算器
１０３、比較器１０６から構成され、 ＢＣ(b,n)（Ｘ，Ｒ）≡ｔｃe（modＮ） を満足すれば ＶCHECK（Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）＝０ を出力し、さもなければ１を出力するものとする。
【００４４】検証者装置２００は ＶCHECK（Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）＝０ ならば、証明者装置１００がコミットメントｃに対する
秘密情報ｓを保持していると認証する。
【００４５】以下にこの認証方式を基本認証方式１と呼
ぶ。またこのプロトコルをＣＨＥＣＫ(b,n)（ｃ）と書
く。
【００４６】（ｃ）基本認証方式２ 次に基本認証方式２について図５乃至図７を参照して説
明する。基本認証方式２は、証明者装置１００がコミッ
トメントｃの秘密情報ｓを「知っている」ことを検証者
装置２００に確認させる認証方法である。
【００４７】秘密情報ｓに対し、
【数１８】 を生成する（ステップＳ２１）。
【００４８】証明者装置１００は、乱数生成器１０２を
用いて乱数 ｗ1 0∈［０，２mｑ），ｗ1 1∈［０，２2mｑ） を生成し、さらに四則演算器１０３を用いて、 ｗ2 0＝ｗ1 0−２mｑ，ｗ2 1＝ｗ1 1−２2mｑ を生成する。
【００４９】証明者装置１００は、コミットメント演算
器１３０内部の乱数生成器１０２を用いて乱数ｗi,j 2∈
［０，２mＮ）を生成し、
【数１９】 を計算し、４つを全て検証者装置２００に送信する（ス
テップＳ２３）。
【００５０】検証者装置２００は、乱数生成器（１０
５）より乱数ｅを生成し証明者装置１００に送り、証明
者装置１００は、四則演算器（１０３）を用いて、 Ｘ:＝ｅｓ＋ｗi 0，Ｒ:＝ｅｒ＋ｗj 1 を計算し、乱数ｅを証明者装置１００に送信する（ステ
ップＳ２５）。なお、ここで「Ａ:＝Ｂ」は「ＡをＢと
定義する」の意味である。また、ｗi 0，ｗj 1は、Ｘ∈
［０，２mｑ）かつＲ∈［０，２2mｑ）となるものが選
ばれる。
【００５１】証明者装置１００は、Ｘ，Ｒ，ｗi,j 2を検
証者装置２００に送る（ステップＳ２７）。
【００５２】
【数２０】 （ｄ）比較認証方式 次に、比較認証方式について図８および図９を参照して
説明する。秘密情報ｓに対し、コミットメント演算ＢＣ
を施し、コミットメントｃ1，コミットメントｃ2をｃ1
＝ＢＣ(b1,n)（ｓ，ｒ1），ｃ2＝ＢＣ(b2,n)（ｓ，
ｒ2）により生成する。ｂ1＝ｂ2とは限らない。比較認
証方式とは、コミットメントｃ1とコミットメントｃ2が
同じ秘密情報ｓをコミットしていることを検証者装置２
００に認証させる認証方法である。
【００５３】証明者装置１００は、コミットメント
ｃ1，コミットメントｃ2を送信し（ステップＳ３１）、
以下、検証者装置２００と次のようなやりとりを行な
う。
【００５４】証明者装置１００は乱数生成器１０１より
乱数ｗを作成し、コミットメント演算ＢＣ器１１０を用
いてｔ1＝ＢＣ(b1,n)（ｗ，η1），ｔ2＝ＢＣ
(b2,n)（ｗ，η2）を計算し検証者装置２００に送る
（ステップＳ３３）。
【００５５】検証者装置２００は、乱数生成器１０４よ
り乱数ｅを生成し証明者装置１００に送り（ステップＳ
３５）、証明者装置１００は、乱数ｗ、乱数ｅ、法ｎ、
秘密情報ｓに依存する値Ｘを、コミットメントの乱数ｒ
1，ｒ2に依存する値Ｘ，Ｒ1，Ｒ2を、それぞれ四則演算
器１０３を用いて、
【数２１】 を計算し、検証者装置２００に送る（ステップＳ３
７）。
【００５６】検証者装置２００は、検証器ＶCOM２３０
を利用して、検証を行なう。ここで検証器ＶCOM２３０
は、コミットメント演算ＢＣ器１１０、四則演算器１０
３、比較器１０６から構成され、
【数２２】 ＢＣ(b,n1)（Ｘ，Ｒ1）≡ｔ1ｃ1 e（modＮ）， かつ ＢＣ(b,n)（Ｘ，Ｒ2）≡ｔ2ｃ2 e（modＮ） 満足していれば、演算器ＶCOM(Ｘ，Ｒ1，Ｒ2，ｃ1，
ｃ2，ｔ1，ｔ2，ｅ，ｎ）＝０を出力し、さもなければ
１を出力するものとする。
【００５７】検証者装置２００はＶCOM(Ｘ，Ｒ1，Ｒ2，
ｃ1，ｃ2，ｔ1，ｔ2，ｅ，ｎ)＝０ならば、証明者装置
１００がコミットメントｃ1，コミットメントｃ2に対す
る秘密情報ｓを保持していると認証する。
【００５８】以下にこれを比較認証方式と呼ぶ。またこ
のプロトコルをＣＯＭ(b1,b2,n)（ｃ1，ｃ2）と書く。
【００５９】（ｅ）加算認証方式 次に、加算認証方式について図１０および図１１を参照
して説明する。秘密情報ｓ1，ｓ2に対し、コミットメン
ト演算ＢＣを施し、コミットメントｃ1，コミットメン
トｃ2およびコミットメントｃ3を、ｃ1＝ＢＣ(b,n)（ｓ
1，ｒ1），ｃ2＝ＢＣ(b,n)（ｓ2，ｒ2）により生成す
る。秘密情報ｓ3＝ｓ1＋ｓ2modｎに対し、コミットメン
ト演算ＢＣを施しｃ3＝ＢＣ(b,n)（ｓ3，ｒ3）を生成す
る。つまり加算認証方式とは、コミットメントｃ3がコ
ミットメントｃ1とコミットメントｃ2の秘密情報ｓの法
ｎのもとでの合同和ｓ3をコミットしていることを検証
者装置２００に認証させる認証方法である。
【００６０】証明者装置１００は、コミットメント
ｃ1，コミットメントｃ2およびコミットメントｃ3を送
信して（ステップＳ４１）、検証者装置２００と次のよ
うなやりとりを行う。
【００６１】証明者装置１００は、コミットメント演算
ＢＣ器１１０に０を入力し、ｔ＝ＢＣ(b,n)（０，η）
を計算し、検証者装置２００に送る（ステップＳ４
３）。
【００６２】検証者装置２００は、乱数ｅを生成し証明
者装置１００に送り（ステップＳ４５）、証明者装置１
００は、乱数η、乱数ｅ、法ｎに依存する値Ｒを、四則
演算器１０３を用いて、 Ｒ＝（ｒ3ｒ1-1ｒ2-1）eηmodＮ と計算し、検証者装置２００に送る（ステップＳ４
７）。
【００６３】検証者装置２００は、演算器ＶADDを用い
て、 Ｒn≡ｔ（ｃ3ｃ1-1ｃ2-1）e（modＮ） を検証する。これを満足していれば、演算器ＶADDはＶ
ADD（Ｒ，ｔ，ｅ，ｃ1，ｃ2，ｃ3，ｎ）＝０を出力し、
さもなければ１を出力するものとする。
【００６４】検証者装置２００は、ＶADD（Ｒ，ｔ，
ｅ，ｃ1，ｃ2，ｃ3，ｎ）＝０ならば、コミットメント
ｃ3がコミットメントｃ1とコミットメントｃ2の秘密情
報ｓの法ｎのもとでの合同和ｓ3をコミットしていると
する。
【００６５】以下、このような認証方式を加算認証方式
と呼ぶ。またこのプロトコルをＡＤＤ(b,n)（ｃ1，
ｃ2；ｃ3）と書く。
【００６６】（ｆ）乗算認証方式 次に、乗算認証方式を図１２を参照して説明する。秘密
情報ｓ1，ｓ2に対し、コミットメント演算ＢＣを施し、
コミットメントｃ1とコミットメントｃ2を、ｃ1＝ＢＣ
(b,n)（ｓ1），ｃ2＝ＢＣ(b,n)（ｓ2）により生成す
る。秘密情報ｓ3＝ｓ1ｓ2modｎに対し、コミットメント
演算ＢＣを施し、ｃ3＝ＢＣ(b,n)（ｓ3）を生成する。
【００６７】このように乗算認証方式とは、コミットメ
ントｃ3がコミットメントｃ1とコミットメントｃ2の秘
密情報ｓの法ｎのもとでの合同積ｓ3をコミットしてい
ることを検証者装置２００に認証させる認証方法であ
る。
【００６８】証明者装置１００は、コミットメント
ｃ1，コミットメントｃ2，コミットメントｃ3を送信し
て、検証者装置２００と次のようなやりとりを行なう。
（ＢＣの性質からｃ3＝ＢＣ(b,n)（ｓ3）＝ＢＣ(c1,n)
（ｓ2）＝ＢＣ(c2,n)（ｓ1）であることに注意して、）
証明者装置１００は、検証者装置２００とＣＯＭ
(b,c2,n)（ｃ1，ｃ3）とＣＯＭ(b,c1,n)（ｃ2，ｃ3）を
実行する。
【００６９】検証者装置２００は、ＣＯＭ(b,c2,n)（ｃ
1，ｃ3）とＣＯＭ(b,c1,n)（ｃ2，ｃ3）が正しく実行さ
れると、コミットメントｃ3がコミットメントｃ1とコミ
ットメントｃ2の秘密情報ｓの法ｎのもとでの合同積ｓ3
をコミットしているとする。
【００７０】以下、このような認証方式を乗算認証方式
と呼ぶ。またこのプロトコルをＭＵＬ(b,n)（ｃ1，
ｃ2；ｃ3）と書く。
【００７１】（ｇ）自乗認証方式 次に、自乗認証方式について図１３を参照して説明す
る。秘密情報ｓ1に対し、コミットメント演算ＢＣを施
し、コミットメントｃ1を、ｃ1＝ＢＣ(b,n)（ｓ1）によ
り生成する。
【００７２】秘密情報ｓ3＝ｓ1 2modｎに対し、コミット
メント演算ＢＣ（１１０）を施しｃ3＝ＢＣ
(b,n)（ｓ3）を生成する。自乗認証方式とは、コミット
メントｃ3がコミットメントｃ1の秘密情報ｓの法ｎのも
とでの合同自乗積ｓ3をコミットしていることを検証者
装置２００に認証させる認証方法である。
【００７３】証明者装置１００は、コミットメント
ｃ1，コミットメントｃ3を送信して、検証者装置２００
と次のようなやりとりを行なう（ＢＣの性質からｃ3＝
ＢＣ(b,n)（ｓ3）＝ＢＣ(c1,n)（ｓ1）である）。証明
者装置１００は、検証者装置２００とＣＯＭ
(b,c1,n)（ｃ1，ｃ3）を実行する。
【００７４】検証者装置２００は、ＣＯＭ(b,c1,n)（ｃ
1，ｃ3）が正しく実行されると、コミットメントｃ3が
コミットメントｃ1の秘密情報ｓの法ｎのもとでの合同
自乗積ｓ3をコミットしているとする。
【００７５】以下、このような認証方式を自乗認証方式
と呼ぶ。またこのプロトコルをＳＱＵ(b,n)（ｃ1；
ｃ3）と書く。
【００７６】（ｈ）乗り継ぎ認証方式 次に、乗り継ぎ認証方式を図１４を参照して説明する。
ｃ1＝ＢＣ(b,n1)（ｓ1），ｃ2＝ＢＣ(b,n2)（ｓ2）（ｓ
1∈Ｚ／ｎ1Ｚ，ｓ2∈Ｚ／ｎ2Ｚ）を生成する。乗り継ぎ
認証方式とは、コミットメントｃ1とコミットメントｃ2
がコミットしているｓ1，ｓ2が、ｓ1modｎ1＝ｓ2modｎ2
を満たしていることを検証者装置２００に認証させる認
証方法である。
【００７７】証明者装置１００は、コミットメント
ｃ1，コミットメントｃ2を送信し、検証者装置２００と
次のようなやりとりを行う。
【００７８】
【数２３】 検証者装置２００は、上記が全て正しく実行されると、
コミットメントｃ1とコミットメントｃ2がコミットして
いる秘密情報ｓ1と秘密情報ｓ2が、ｓ1modｎ1＝ｓ2mod
ｎ2を満たしているものとする。
【００７９】以下、このような認証方式を乗り継ぎ認証
方式と呼ぶ。またこのプロトコルをＴＲＡＮ(b,n1,n2)
（ｃ1，ｃ2）と書く。
【００８０】（ｉ）合同多項式認証方式 次に、合同多項式認証方式について図１５を参照して説
明する。証明者装置１００は、秘密情報ｓ1，…，ｓmに
対して演算器ＢＣを用いてｃ1＝ＢＣ(b,n)（ｓ1），
…，ｃm＝ＢＣ(b,n)（ｓm）を生成する。
【００８１】ｉ．（法を同じとする）合同多項式認証方
式 証明者装置１００は検証者装置２００に、秘密情報
ｓ1，…，ｓmが、 Ｆ（ｓ1，…，ｓm）≡０ （modｎ） を満たしていることを、秘密情報ｓ1，…，ｓmを明かす
ことなく証明する。ここで、多項式Ｆと法ｎは公開であ
る。
【００８２】上記の（ａ）コミットメント方式，（ｅ）
加算認証方式，（ｆ）乗算認証方式，（ｇ）自乗認証方
式の各認証方式の組合せを利用することで目的を達成す
る。
【００８３】Ｆ（Ｘ）＝Ｘ4−ａ2とおき、証明者装置１
００がＦ（ｓ）≡０（modｎ）を満たす秘密情報ｓを知
っていること示す具体的な構成例を以下に記述する。
【００８４】証明者装置１００は、ｃ＝ＢＣ
(b,n)（ｓ，ｒ）を検証者装置２００に送信する。
【００８５】 証明者装置１００は、秘密情報ｓ1＝ｓ2modｎに対し、
コミットメント演算ＢＣを施しｃ1＝ＢＣ(b,n)（ｓ1，
ｒ1）と、秘密情報ｓ2＝ｓ1 2modｎに対し、コミットメ
ント演算ＢＣを施しｃ2＝ＢＣ(b,n)（ｓ2，ｒ2）を生成
し、検証者装置２００に送信する。
【００８６】証明者装置１００は、検証者装置２００と
ＳＱＵ(b,n)（ｃ；ｃ1），ＳＱＵ(b,n)（ｃ1；ｃ2）を
実行する。
【００８７】証明者装置１００は、秘密情報ｓ、乱数情
報に依存したｒ2を検証者装置２００に送る。
【００８８】検証者装置２００は、ｃ2≡ＢＣ(b,n)（ａ
2modｎ，ｒ2）（modＮ）を検証する。
【００８９】ii．法の異なる合同多項式認証方式 証明者装置１００は検証者装置２００に、秘密情報
ｓ1，…，ｓmが、
【数２４】 Ｆ（ｓ1，…，ｓm）≡０ （modｎ1） かつ Ｈ（ｓ1，…，ｓm）≡０ （modｎ2） を満たしていることを秘密情報ｓ1，…，ｓ1を明かすこ
となく証明する（秘密情報ｓを保持していることを、そ
の秘密情報ｓがある合同多項式で関係づけられている以
外のことは一切漏らさずに、検証者装置２００に認証さ
せる点では上記の合同多項式認証方式と同じである。た
だし、今回の場合、合同多項式が法の異なる複数にな
り、かつ合同多項式間で秘密情報ｓが一部（全部）共通
している）。ここで、多項式Ｆ，Ｈと法ｎ1，ｎ2は公開
である。
【００９０】上記の（ａ）コミットメント方式，（ｅ）
加算認証方式，（ｆ）乗算認証方式，（ｇ）自乗認証方
式，（ｈ）乗り継ぎ認証方式の各認証方式の組合せを利
用することで目的を達成する。
【００９１】Ｆ（Ｘ）＝Ｘ4−ａ2，Ｈ（Ｘ）＝Ｘ3−Ａ
とおき、証明者装置１００がＦ（ｓ）≡０（modｎ1），
Ｈ（ｓ）≡０（modｎ2）、を満たす秘密情報ｓを知って
いることを示す具体的な構成例を以下に記述する。ただ
し、０＜2m+1ｎ1＜ｎ2とする。
【００９２】前半部は、上記１（ｉ）合同多項式認証方
式に示す、ｉ（法を同じとする）合同多項式認証方式と
同じである。
【００９３】証明者装置１００は、ｃ＝ＢＣ
(b,n)（ｓ，ｒ）を検証者装置２００に送信する。
【００９４】証明者装置１００は、Ｆ（ｓ）≡０（mod
ｎ1）を満たす秘密情報ｓを知っていることを検証者装
置２００に示す（１（ｉ）ｉ）。
【００９５】次に、証明者装置１００は、ｃ′＝ＢＣ
(b,n2)（ｓ）を検証者装置２００に送信し、ＴＲＡＮ
(b,n1,n2)（ｃ，ｃ′）を実行する。
【００９６】秘密情報ｓ′1＝ｓ2modｎ2に対し、コミッ
トメント演算ＢＣを施しｃ1＝ＢＣ(b,n2)（ｓ′1，ｒ′
1）と、秘密情報ｓ′2＝ｓ′1 2modｎ1に対し、コミット
メント演算ＢＣを施しｃ2＝ＢＣ(b,n2)（ｓ′2，
ｒ′2）を生成し、検証者装置２００に送信する。
【００９７】証明者装置１００は、検証者装置２００と
ＳＱＵ(b,n2)（ｃ′；ｃ′1），ＭＵＬ(b,n2)（ｃ′，
ｃ′1；ｃ′2）を実行する。
【００９８】証明者装置１００は、ｒ′2を検証者装置
２００に送る。
【００９０】検証者装置２００は、ｃ2≡ＢＣ(b,n)（ａ
2modｎ，ｒ′2）（modＮ）を検証する。
【０１００】上記で示した従来提案された方式のうち、
Brickell等、Damgard、岡本の方式は、いずれも、本方
式での基本認証方式にあたる方式が非効率なため通信
量、計算量が膨大になる。藤崎−岡本方式は、上記３方
式に比べると効率的ではあるが、本方式の効率には及ば
ない。また、藤崎−岡本方式は、証明者装置にとって情
報理論的に安全とまでは言えない。本発明は上述した乗
り継ぎ認証方式を除いて、情報理論的に安全である（乗
り継ぎ認証方式は統計的情報未満の情報は漏らしている
可能性はある）。
【０１０１】上述したように本発明は、従来知られるコ
ミットメント方式を改良することで、従来の方法に比
べ、処理量、通信量のさらなる改善と、安全性を増加さ
せることに成功した。
【０１０２】このような秘密情報認証方法及び合同多項
式認証方法はそれぞれ秘密情報認証プログラム及び合同
多項式認証プログラムにより実現され、当該認証プログ
ラムは記録媒体に記録して提供される。
【０１０３】
【発明の効果】以上説明したように、本発明は、コミッ
トメント方式を改良することで、従来の方法に比べ、処
理量、通信量のさらなる改善と、安全性を増加させるこ
とを可能にする秘密情報認証方法及び合同多項式認証方
法並びに当該認証プログラムを記録した記録媒体を実現
した。また、本発明によれば、素因数分解型の公開鍵暗
号に対する効率的な鍵寄託暗号方法を実現することがで
きる等の効果を奏するものである。
【図面の簡単な説明】
【図１】本発明に係る認証方法の原理を説明するための
ブロック図である。
【図２】コミットメント演算器の構成およびその作用を
説明するためのブロック図である。
【図３】基本認証方式１を説明するためのブロック図で
ある。
【図４】基本認証方式１における認証手順を説明するた
めのブロック図である。
【図５】基本認証方式２を説明するためのブロック図で
ある。
【図６】基本認証方式２における認証手順を説明するた
めのブロック図である。
【図７】基本認証方式２における認証手順を説明するた
めのブロック図である。
【図８】比較認証方式を説明するためのブロック図であ
る。
【図９】比較認証方式における認証手順を説明するため
のブロック図である。
【図１０】加算認証方式を説明するためのブロック図で
ある。
【図１１】加算認証方式における認証手順を説明するた
めのブロック図である。
【図１２】乗算認証方式を説明するためのブロック図で
ある。
【図１３】自乗認証方式を説明するためのブロック図で
ある。
【図１４】乗り継ぎ認証方式を説明するためのブロック
図である。
【図１５】合同多項式認証方式を説明するためのブロッ
ク図である。
【図１６】法の異なる合同多項式認証方式を説明するた
めのブロック図である。
【符号の説明】
１００ 証明者装置 １０１ 乱数生成器 １０２ 乱数生成器 １０３ 四則演算器 １０４ 乱数生成器 １０５ 乱数生成器 １０６ 比較器 １１０ コミットメント演算器 １２０ コミットメント演算器 １３０ コミットメント演算器 ２００ 検証者装置 ２１０ 検証器 ２２０ 検証器 ２３０ 検証器 ２４０ 検証器
フロントページの続き (56)参考文献 委託された秘匿情報間の合同多項式関 係を保証する実用的な統計的零知識プロ トコル，電子情報通信学会技術研究報 告，Ｖｏｌ．97， Ｎｏ．182，ｐ．53 −64 Ｐｒａｃｔｉｃａｌ ａｎｄ Ｐｒｏ ｖａｂｌｙ Ｓｅｃｕｒｅ Ｒｅｌｅａ ｓｅ ｏｆ ａ Ｓｅｃｒｅｔ ａｎｄ Ｅｘｃｈａｎｇｅ ｏｆ Ｓｉｇｎａ ｔｕｒｅｓ，Ｌｅｃｔｕｒｅ Ｎｏｔｅ ｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅ ｎｃｅ， Ｖｏｌ．765，ｐ．200−217 Ｇｒａｄｕａｌ ａｎｄ Ｖｅｒｉｆ ｉａｂｌｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ， Ｌｅｃｔｕｒｅ Ｎ ｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓ ｃｉｅｎｃｅ， Ｖｏｌ．293，ｐ．156 −166 (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/32 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (11)

    (57)【特許請求の範囲】
  1. 【請求項１】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、 を有し、所定の複数の整数（ｂ、ｎ、Ｎ）が公開された
    通信システムに、前記証明者装置が所定の秘密情報を保
    持していることを前記検証者装置に認証させるための通
    信を実行させる秘密情報認証方法であって、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって、 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎの剰余類環Ｚ／ｎＺの元である所定の秘密情
    報ｓと、前記第１の乱数生成器によって前記Ｎの剰余類
    環Ｚ／ＮＺの元のうちＮと互いに素な整数から一様に選
    択され、生成された乱数ｒと、前記整数ｂとｎとを用い
    てコミットメント演算ｃ＝ＢＣ(b, n)（ｓ，ｒ）を行
    い、このコミットメント演算ｃを前記検証者装置に送信
    する第１ステップ、 前記証明者装置が、前記コミットメント演算器によっ
    て、前記第１の乱数生成器によって生成され、前記整数
    ｎに関係付けられた乱数ｗおよび前記整数Ｎに関係付け
    られた乱数ηと、前記整数ｂとｎとを用いてコミットメ
    ント演算ｔ＝ＢＣ(b, n)（ｗ，η）を行い、このコミッ
    トメント演算ｔを前記検証者装置に送信する第２ステッ
    プ、 前記検証者装置が、前記第２の乱数生成器によって乱数
    ｅを生成し、この乱数ｅを前記証明者装置に送信する第
    ３ステップ、 前記証明者装置が、前記秘密情報ｓ、前記乱数ｅおよび
    ｗ、前記整数ｎに依存するＸを、 Ｘ＝ｅｓ＋ｗ mod ｎ として前記四則演算器によって計算し 、前記秘密情報ｓ、 前記乱数ｒ、前記乱数ｅおよびη、前
    記整数ｂおよびnおよびＮに依存するＲをR=ｒ e ηｂ k moｄ N として前記四則演算器によって計算し、 前記検証者装置に送信する第４ステップ、 前記検証者装置が、前記Ｘ、Ｒ、ｃ、ｔ、ｅ、ｎを用い
    て、BC (b,n) （Ｘ，Ｒ）≡ｔｃ e (mod N)を満足すれ
    ば、V CHECK （Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）＝０を出力し、
    さもなければ１を出力する前記検証器を用いて、VCHECK
    （Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）を行う第５ステップ、を実
    行し、前記検証器がVCHECK（Ｘ，Ｒ，ｃ，ｔ，ｅ，ｎ）
    ＝０を出力した場合、前記検証器装置は、前記証明者装
    置が前記秘密情報ｓを保持していると認証することを特
    徴とする秘密情報認証方法。
  2. 【請求項２】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、 を有し、所定の複数の整数（ｂ1、ｂ2、ｎ、Ｎ）が公開
    された通信システムに、前記証明者装置が所定の秘密情
    報を保持していることを前記検証者装置に認証させるた
    めの通信を実行させる秘密情報認証方法であって、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎの剰余類環Ｚ／ｎＺの元である所定の秘密情
    報ｓと、前記第１の乱数生成器によって前記Ｎの剰余類
    環Ｚ／ＮＺの元のうちＮと互いに素な整数から一様に選
    択され、生成された乱数ｒ1、ｒ2と、前記整数ｂ1、ｂ2
    およびｎとを用いて２つのコミットメント演算ｃ1 ＝Ｂ
    Ｃ(b1, n)（ｓ，ｒ1 ），ｃ2 ＝ＢＣ(b2, n)（ｓ，
    ｒ2 ）を行い、これら２つのコミットメント演算ｃ1 ，
    ｃ2を前記検証者装置に送信する第１ステップ、 前記証明者装置が、前記第１の乱数生成器によって生成
    され、前記整数ｎに関係付けられた乱数ｗおよび前記整
    数Ｎに関係付けられた乱数η1、η2と、前記整数ｂ1、
    ｂ2およびｎとを用いて２つのコミットメント演算ｔ1
    ＝ＢＣ(b1, n)（ｗ，η1），ｔ2 ＝ＢＣ(b2, n)（ｗ，
    η2）を行い、これら２つのコミットメント演算ｔ1、ｔ
    2を前記検証者装置に送信する第２ステップ、 前記検証者装置が、前記第２の乱数生成器によって乱数
    ｅを生成し、この乱数ｅを前記証明者装置に送信する第
    ３ステップ、 前記証明者装置が、前記秘密情報ｓ、前記乱数ｅおよび
    ｗ、前記整数ｎに依存するＸを、Ｘ＝ｅｓ＋ｗ mod ｎ として四則演算器により計算し 、前記秘密情報ｓ、 前記乱数ｒ1、前記乱数ｅおよびη1、
    前記整数n、前記整数Ｎに依存するＲ1と、前記秘密情報
    ｓ、前記乱数ｒ2、前記乱数ｅおよびη2、前記整数Ｎに
    依存するＲ2を、R 1 =ｒ 1 e η 1 ｂ 1 k moｄ N， R 2 =ｒ 2 e η 2 ｂ 2 k moｄ N として前記四則演算器によって計算し、 前記検証者装置に送信する第４ステップ、 前記検証者装置が、前記Ｘ、Ｒ1、Ｒ2、ｃ1、ｃ2、
    ｔ1、ｔ2、ｅ、ｎを用いて、BC (b,n) （Ｘ，Ｒ 1 ）≡ｔ 1
    ｃ 1 e (mod N)かつBC (b,n) （Ｘ，Ｒ 2 ）≡ｔ 2 ｃ 2 e (mod
    N)を満足すれば、演算結果としてV COM （Ｘ、Ｒ 1 、Ｒ 2 、
    ｃ 1 、ｃ 2 、ｔ 1 、ｔ 2 、ｅ、ｎ）＝０を出力し、さもなけ
    れば１を出力する前記検証器によって、所定の演算VCOM
    （Ｘ、Ｒ1、Ｒ2、ｃ1、ｃ2、ｔ1、ｔ2、ｅ、ｎ）を行う
    第５ステップ、を実行し、前記検証器がVCOM（Ｘ、
    Ｒ1、Ｒ2、ｃ1、ｃ2、ｔ1、ｔ2、ｅ、ｎ）＝０を出力し
    た場合、前記検証器装置は、前記証明者装置が前記秘密
    情報ｓを保持していると認証することを特徴とする秘密
    情報認証方法。
  3. 【請求項３】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、 を有し、所定の複数の整数（ｂ、ｎ、Ｎ）が公開された
    通信システムに、前記証明者装置が所定の複数の秘密情
    報を保持していることを、前記複数の秘密情報が所定の
    合同多項式で関係付けられているという合同多項式情報
    以外は一切漏らさずに前記検証者装置に認証させるため
    の通信を実行させる合同多項式認証方法であって、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎの剰余類環Ｚ／ｎＺの元である所定の秘密情
    報ｓ1、ｓ2と、前記第１の乱数生成器によって前記Ｎの
    剰余類環Ｚ／ＮＺの元のうちＮと互いに素な整数から一
    様に選択され、生成された乱数ｒ1、ｒ2と、前記整数ｂ
    およびｎとを用いて２つのコミットメント演算ｃ1＝Ｂ
    Ｃ(b, n)（ｓ1，ｒ1）およびｃ2 ＝ＢＣ(b, n)（ｓ2，
    ｒ2）を行い、さらに前記秘密情報ｓ1、ｓ2に係る第３
    の秘密情報ｓ3＝ｓ1＋ｓ2 (mod ｎ)に対し、前記整数ｂ
    およびｎと、新たに生成された乱数ｒ3とを用いてコミ
    ットメント演算ｃ3 ＝ＢＣ(b, n)（ｓ3，ｒ3）を行い、
    前記３つのコミットメント演算ｃ1、ｃ2、ｃ3を前記検
    証者装置に送信する第１ステップ、 前記証明者装置が、前記第１の乱数生成器によって生成
    した前記整数Ｎに関係付けられた乱数ηと、前記整数ｂ
    およびｎとを用いてコミットメント演算ｔ ＝ＢＣ
    (b, n)（０，η）を行い、当該コミットメント演算ｔを
    前記検証者装置に送信する第２ステップ、 前記検証者装置が、前記第２の乱数生成器によって乱数
    ｅを生成し、当該乱数ｅを前記証明者装置に送信する第
    ３ステップ、 前記証明者装置が、前記乱数ｒ1、ｒ2、ｒ3と、前記乱
    数ｅおよびη、前記整数Nに依存するＲをR=（ｒ 3 ｒ 1 -1 ｒ 2 -1 ） e η （mod Ｎ） として 前記四則演算器によって計算し、前記検証者装置
    に送信する第４ステップ、 前記検証者装置が、前記Ｒ、ｔ、ｅ、ｃ1、ｃ2、ｃ3、
    ｎを用いて、R≡ｔ（ｃ 3 ｃ 1 -1 ｃ 2 -1 ） e (mod N）を満足
    すればV ADD （Ｒ、ｔ、ｅ、ｃ 1 、ｃ 2 、ｃ 3 、ｎ）＝０を
    出力し、さもなければ１を出力する前記検証器により、
    VADD（Ｒ、ｔ、ｅ、ｃ1、ｃ2、ｃ3、ｎ）を行う第５ス
    テップ、を実行し、前記検証器がVADD（Ｒ、ｔ、ｅ、ｃ
    1、ｃ2、ｃ3、ｎ）＝０を出力した場合、前記検証者装
    置は、前記証明者装置により生成された前記コミットメ
    ント演算ｃ3 が前記コミットメント演算ｃ1 およびｃ2
    にそれぞれ係る前記秘密情報ｓ1およびｓ2の前記整数ｎ
    を法とした合同和ｓ3 をコミットしていると認証するこ
    とを特徴とする合同多項式認証方法。
  4. 【請求項４】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、を有し、所定の複数の整数（ｂ、ｎ、Ｎ）が
    公開された通信システムに、前記証明者装置が所定の複
    数の秘密情報を保持していることを、前記複数の秘密情
    報が所定の合同多項式で関係付けられているという合同
    多項式情報以外は一切漏らさずに前記検証者装置に認証
    させるための通信を実行させる合同多項式認証方法であ
    って、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって、 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎの剰余類環Ｚ／ｎＺの元である所定の秘密情
    報ｓ1、ｓ2と、前記第１の乱数生成器によって前記Ｎの
    剰余類環Ｚ／ＮＺの元のうちＮと互いに素な整数から一
    様に選択され、生成された乱数ｒ1 、ｒ2と、前記整数
    ｂおよびｎとを用いて２つのコミットメント演算ｃ1 ＝
    ＢＣ(b, n)（ｓ1 ，ｒ1 ）およびｃ2 ＝ＢＣ(b, n)（ｓ
    2 ，ｒ2）を行い、さらに前記秘密情報ｓ1、ｓ2に係る
    第３の秘密情報ｓ3＝ｓ1・ｓ2 (mod ｎ)に対し、前記整
    数ｂおよびｎと、新たに生成された乱数ｒ3とを用いて
    コミットメント演算ｃ3 ＝ＢＣ(b, n)（ｓ3 ，ｒ3 ）を
    行い、前記３つのコミットメント演算ｃ1、ｃ2、ｃ3を
    前記検証者装置に送信する第１ステップ、 前記証明者装置が、前記検証者装置との間で、請求項２
    記載の秘密情報認証方法を実行するプロトコルをＣＯＭ
    (b1,b2,n)（ｃ1 ，ｃ2 ）と記載するとき、ＣＯＭ
    (b,c2,n)（ｃ1 ，ｃ3 ）を行う第２ステップ、 前記証明者装置が、前記検証者装置との間でＣＯＭ
    (b,c1,n)（ｃ2 ，ｃ3 ）を行う第３ステップ、を実行
    し、前記２つのプロトコルＣＯＭ(b,c2,n)（ｃ1 ，ｃ
    3 ）およびＣＯＭ(b,c1,n)（ｃ2 ，ｃ3 ）が正しく実行
    されたとき、前記検証者装置は、前記証明者装置により
    生成された前記コミットメント演算ｃ3 が前記コミット
    メント演算ｃ1 およびｃ2 にそれぞれ係る前記秘密情報
    ｓ1およびｓ2の前記整数ｎを法とした合同積ｓ3 をコミ
    ットしていると認証することを特徴とする合同多項式認
    証方法。
  5. 【請求項５】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、を有し、所定の複数の整数（ｂ、ｎ、Ｎ）が
    公開された通信システムに、前記証明者装置が所定の複
    数の秘密情報を保持していることを、前記複数の秘密情
    報が所定の合同多項式で関係付けられているという合同
    多項式情報以外は一切漏らさずに前記検証者装置に認証
    させるための通信を実行させる合同多項式認証方法であ
    って、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって、 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎの剰余類環Ｚ／ｎＺの元である所定の秘密情
    報ｓ1と、前記第１の乱数生成器によって前記Ｎの剰余
    類環Ｚ／ＮＺの元のうちＮと互いに素な整数から一様に
    選択され、生成された乱数ｒ1と、前記整数ｂおよびｎ
    とを用いてコミットメント演算ｃ1 ＝ＢＣ
    (b, n)（ｓ1 ，ｒ1 ）を行い、さらに前記秘密情報ｓ1
    に係る第２の秘密情報ｓ3＝ｓ1 2 (mod ｎ)に対し、前記
    整数ｂおよびｎと、新たに生成された乱数ｒ3とを用い
    てコミットメント演算ｃ3 ＝ＢＣ(b, n)（ｓ3 ，ｒ3 ）
    を行い、前記２つのコミットメント演算ｃ1およびｃ3を
    前記検証者装置に送信する第１ステップ、 前記証明者装置が、前記検証者装置との間で、請求項２
    記載の秘密情報認証方法を実行するプロトコルをＣＯＭ
    (b1,b2,n)（ｃ1 ，ｃ2 ）と記載するとき、ＣＯＭ
    (b,c1,n)（ｃ1 ，ｃ3 ）を行う第２ステップ、を実行
    し、前記プロトコルＣＯＭ(b,c1,n)（ｃ1 ，ｃ3 ）が正
    しく実行されたとき、前記検証者装置は、前記証明者装
    置により生成された前記コミットメント演算ｃ3 が前記
    コミットメント演算ｃ1に係る前記秘密情報ｓ1の前記整
    数ｎを法とした合同自乗積ｓ3 をコミットしていると認
    証することを特徴とする合同多項式認証方法。
  6. 【請求項６】 乱数を生成する第１の乱数生成器、所定
    の四則演算を行う四則演算器、および所定のコミットメ
    ント演算を行うコミットメント演算器を備えた証明者装
    置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、を有し、所定の複数の整数（ｂ、ｎ1、ｎ2、
    ｇ1、ｇ2、Ｎ）が公開された通信システムに、前記証明
    者装置が所定の複数の秘密情報を保持していることを、
    前記複数の秘密情報が所定の合同多項式で関係付けられ
    ているという合同多項式情報以外は一切漏らさずに前記
    検証者装置に認証させるための通信を実行させる合同多
    項式認証方法であって、 前記証明者装置が、前記コミットメント演算器に入力さ
    れた前記ｎ1の剰余類環Ｚ／ｎ1Ｚの元である所定の秘密
    情報ｓ1と、前記ｎ2の剰余類環Ｚ／ｎ2Ｚの元である所
    定の秘密情報ｓ2と、前記第１の乱数生成器によって前
    記Ｎの剰余類環Ｚ／ＮＺの元のうちＮと互いに素な整数
    から一様に選択され、生成された乱数ｒと、前記整数ｂ
    およびｎとを用いて２つのコミットメント演算ｃ1 ＝Ｂ
    Ｃ(b, n1)（ｓ1，ｒ）およびｃ2 ＝ＢＣ(b, n2)（ｓ2，
    ｒ）を行うとともに、前記２つの秘密情報ｓ1およびｓ2
    とｓ 3 ＝ｓ 1 mod ｎ 1 ＝ｓ 2 mod ｎ 2 なる関係にあり、な
    おかつ所定の整数の元である秘密情報ｓ3と、前記乱数
    ｒと、前記整数ｇ1とを用いて前記２つのコミットメン
    ト演算とは異なるコミットメント演算 【数２６】 を行い、前記３つのコミットメント演算ｃ1、ｃ2、 【数２７】を前記検証者装置に送信する第１ステップ、 前記証明者装置が、前記検証者装置との間で、請求項１
    記載の秘密情報認証方法を実行するプロトコルをＣＨＥ
    ＣＫ(b,n)（ｃ）と記載するとき、ＣＨＥＣＫ
    (b,n1)（ｃ1）を行う第２ステップ、 前記証明者装置が、前記検証者装置との間でＣＨＥＣＫ
    (b,n2)（ｃ2）を行う第３ステップ、 前記証明者装置が、前記検証者装置との間で 【数２８】 を行う第４ステップ、 前記証明者装置が、前記検証者装置との間で 【数２９】 を行う第５ステップ、 前記証明者装置が前記第１の乱数生成器によって乱数ｗ
    1 0 ，ｗ1 1 を生成するとともに、この乱数ｗ1 0，ｗ1
    1に応じて乱数ｗ2 0，ｗ2 1 を生成し、さらにｉとｊ
    を１または２とするとき、前記乱数ｗi 0，ｗj 1に応じ
    て乱数ｗij 2を生成し、前記乱数ｗi 0，ｗj 1，ｗij 2
    を用いてコミットメント演算 【数３０】 を計算し、この４つのコミットメント演算を前記検証者
    装置に送信し、 前記検証者装置が、前記第２の乱数生成器によって乱数
    ｅを生成し、この乱数ｅを前記証明者装置に送信し、 前記証明者装置が、所定の整数である秘密情報ｓ、前記
    乱数ｅ、前記ｗ1 0およびｗ2 0のいずれか一方、前記整
    数ｎに依存するＸと、 前記乱数ｒ、前記乱数ｅ、前記乱数ｗ1 1およびｗ2 1の
    いずれか一方、に依存するＲと、を前記四則演算器によ
    ってそれぞれ計算し、前記Ｘ、Ｒおよびｗij 2を前記検
    証者装置に送信し、 前記検証者装置が、前記検証器によって、前記Ｘ、Ｒ、 【数３１】ｗij 2、ｔij、ｅを用いて、演算結果として
    ０または１を出力する所定の演算 【数３２】 を実行させ、前記検証器が 【数３３】 を出力した場合、前記検証器装置は、前記証明者装置が
    前記秘密情報ｓを保持していると認証することを特徴と
    する秘密情報認証方法を実行するプロトコルを 【数３４】 とするとき、前記証明者装置が、前記検証者装置との間
    で 【数３５】 を行う第６ステップ、を実行し、前記５つのプロトコル
    ＣＨＥＣＫ(b,n1)（ｃ1）、ＣＨＥＣＫ(b,n2)（ｃ2）、 【数３６】 【数３７】 【数３８】 が全て正しく実行されたとき、前記検証者装置は、前記
    証明者装置により生成された前記コミットメント演算ｃ
    1 、ｃ2それぞれに係る前記秘密情報ｓ1、ｓ2が、関係
    式ｓ 1 mod ｎ 1 ＝ｓ 2 mod ｎ 2 を満たしていると認証す
    ることを特徴とする合同多項式認証方法。
  7. 【請求項７】 前記コミットメント演算は、ＢＣ(b, n)
    （ｓ，ｒ）＝ｂsｒn（mod Ｎ）であることを特徴とする
    請求項６に記載の合同多項式認証方法。
  8. 【請求項８】 所定の多項式Ｆと、 この多項式Ｆの法をあらわす所定の整数ｎとが、 乱数を生成する第１の乱数生成器、所定の四則演算を行
    う四則演算器、および所定のコミットメント演算を行う
    コミットメント演算器を備えた証明者装置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、を有し、所定の複数の整数（ｂ，ｎ，Ｎ）が
    公開された通信システムにおいて公開されているとき、前記コミットメント演算器は、秘密情報ｓと乱数ｒと整
    数ｂとｎとを用いてBC (b, n) （ｓ，ｒ）＝ｂ s ｒ n （ｍ
    ｏｄ N）を計算するものであって、 前記証明者装置が、
    前記ｎの剰余類環Ｚ／ｎＺの元である所定の複数の秘密
    情報ｓ1 ，…，ｓm と、前記第１の乱数生成器によって
    前記Ｎの剰余類環Ｚ／ＮＺの元のうちＮと互いに素な整
    数から一様に選択され、生成された乱数ｒ1 ，…，ｒm
    と、前記整数ｂおよびｎとを用いてｍ個のコミットメン
    ト演算ｃ1 ＝ＢＣ(b, n)（ｓ1 ，ｒ1 ），…，ｃm ＝Ｂ
    Ｃ(b, n)（ｓm ，ｒm ）を行うと共に、前記証明者装置
    が前記検証者装置に、前記複数の秘密情報ｓ1 ，…，ｓ
    mは、 Ｆ（ｓ1 ，…，ｓm ）≡０ （mod ｎ） を満たしていることを、前記通信システムを介して、前
    記複数の秘密情報ｓ1 ，…，ｓmを明かすことなく認証
    させる際に、請求項３乃至５に記載の合同多項式認証方
    法の少なくとも２つを組み合わせて用いることを特徴と
    する合同多項式認証方法。
  9. 【請求項９】 所定の多項式Ｆと多項式Ｈ、 および前記多項式ＦおよびＨ各々の法を表す所定の整数
    ｎとｎ′が、 乱数を生成する第１の乱数生成器、所定の四則演算を行
    う四則演算器、および所定のコミットメント演算を行う
    コミットメント演算器を備えた証明者装置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、を有し、所定の複数の整数が公開された通信
    システムにおいて公開されているとき、 前記証明者装置は前記検証者装置に、所定の複数の秘密
    情報ｓ1 ，…，ｓmが、 Ｆ（ｓ1 ，…，ｓm）≡０ （mod ｎ） かつ Ｈ（ｓ1 ，…，ｓm）≡０ （mod ｎ′） を満たしていることを前記複数の秘密情報ｓ1 ，…，ｓ
    mを明かすことなく認証させる際に、請求項３乃至５に
    記載の合同多項式認証方法の少なくとも１つと請求項６
    の合同多項式認証方法を組み合わせて用いることを特徴
    とする合同多項式認証方法。
  10. 【請求項１０】 請求項１乃至２のいずれか一項に記載
    の秘密情報認証方法を、 乱数を生成する第１の乱数生成器、所定の四則演算を行
    う四則演算器、および所定のコミットメント演算を行う
    コミットメント演算器を備えた証明者装置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、 を有し、所定の複数の整数が公開された通信システムに
    実行させるための秘密情報認証プログラムを記録したこ
    とを特徴とする記録媒体。
  11. 【請求項１１】 請求項３乃至９のいずれか一項に記載
    の合同多項式認証方法を、 乱数を生成する第１の乱数生成器、所定の四則演算を行
    う四則演算器、および所定のコミットメント演算を行う
    コミットメント演算器を備えた証明者装置と、 前記コミットメント演算器と通信回線を介して接続さ
    れ、乱数を生成する第２の乱数生成器および前記証明者
    装置から受信した情報の検証を行う検証器を備えた検証
    者装置と、 を有し、所定の複数の整数が公開された通信システムに
    実行させるための合同多項式認証プログラムを記録した
    ことを特徴とする記録媒体。
JP04845398A 1998-02-27 1998-02-27 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体 Expired - Fee Related JP3484069B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP04845398A JP3484069B2 (ja) 1998-02-27 1998-02-27 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP04845398A JP3484069B2 (ja) 1998-02-27 1998-02-27 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2001402007A Division JP2002232416A (ja) 2001-12-28 2001-12-28 鍵寄託暗号方法及び鍵寄託暗号プログラムを記録した記録媒体

Publications (2)

Publication Number Publication Date
JPH11249560A JPH11249560A (ja) 1999-09-17
JP3484069B2 true JP3484069B2 (ja) 2004-01-06

Family

ID=12803779

Family Applications (1)

Application Number Title Priority Date Filing Date
JP04845398A Expired - Fee Related JP3484069B2 (ja) 1998-02-27 1998-02-27 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体

Country Status (1)

Country Link
JP (1) JP3484069B2 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1858194A4 (en) 2005-02-28 2013-10-30 Nec Corp SHUFFLE DECLARATION VALIDITY VERIFICATION DEVICE AND METHODS, SHUFFLE DECISION VALIDATION DEVICE AND METHOD, PROGRAM AND RECORDING MEDIUM
JP5736816B2 (ja) * 2010-05-31 2015-06-17 ソニー株式会社 認証装置、認証方法、プログラム、及び署名生成装置
KR20120039133A (ko) 2010-10-15 2012-04-25 삼성전자주식회사 인증정보를 생성하고 인증정보를 증명하는 장치 및 방법
JP7222436B2 (ja) 2019-12-18 2023-02-15 富士通株式会社 保証制御方法、情報処理装置および保証制御プログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
Ｇｒａｄｕａｌ ａｎｄ Ｖｅｒｉｆｉａｂｌｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｖｏｌ．２９３，ｐ．１５６−１６６
Ｐｒａｃｔｉｃａｌ ａｎｄ Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ Ｒｅｌｅａｓｅ ｏｆ ａ Ｓｅｃｒｅｔ ａｎｄ Ｅｘｃｈａｎｇｅ ｏｆ Ｓｉｇｎａｔｕｒｅｓ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｖｏｌ．７６５，ｐ．２００−２１７
委託された秘匿情報間の合同多項式関係を保証する実用的な統計的零知識プロトコル，電子情報通信学会技術研究報告，Ｖｏｌ．９７， Ｎｏ．１８２，ｐ．５３−６４

Also Published As

Publication number Publication date
JPH11249560A (ja) 1999-09-17

Similar Documents

Publication Publication Date Title
Pieprzyk et al. Fundamentals of computer security
Li et al. Universal accumulators with efficient nonmembership proofs
EP0786178B1 (en) Secret-key certificates
JP5205398B2 (ja) 鍵認証方式
Chen A DAA scheme requiring less TPM resources
CN1937496A (zh) 可延展伪名证书系统和方法
EP2792098B1 (en) Group encryption methods and devices
EP2686978B1 (en) Keyed pv signatures
Chia et al. Digital signature schemes with strong existential unforgeability
Kiayias et al. Concurrent blind signatures without random oracles
JP4973193B2 (ja) 制限付ブラインド署名システム
Goldwasser et al. Proof of plaintext knowledge for the Ajtai-Dwork cryptosystem
Hanzlik et al. Non-interactive blind signatures from RSA assumption and more
JP3513324B2 (ja) ディジタル署名処理方法
JP3484069B2 (ja) 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体
Lin et al. Efficient proxy signcryption scheme with provable CCA and CMA security
US20250125972A1 (en) Generating digital signatures
RU2452111C1 (ru) Способ пороговой генерации ключей для системы защиты информации на основе идентификационных данных
Hwang et al. Confidential deniable authentication using promised signcryption
Bultel et al. Improving the efficiency of report and trace ring signatures
Shao et al. Certificate‐based verifiably encrypted RSA signatures
Goswami et al. Digital Signatures
Lee Cryptanalysis of Zhu et al.’s identity-based encryption with equality test without random oracles
Liu et al. Generic Construction of Withdrawable Signature from Hash-Then-One-Way Signature
JP2002232416A (ja) 鍵寄託暗号方法及び鍵寄託暗号プログラムを記録した記録媒体

Legal Events

Date Code Title Description
FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20071017

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20081017

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20091017

Year of fee payment: 6

LAPS Cancellation because of no payment of annual fees