JP3497936B2

JP3497936B2 - 個人認証方法

Info

Publication number: JP3497936B2
Application number: JP00512596A
Authority: JP
Inventors: 基司大森; 誠館林; なつめ松崎
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 1995-01-20
Filing date: 1996-01-16
Publication date: 2004-02-16
Anticipated expiration: 2016-01-16
Also published as: JPH08262976A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、個人認証方法に関
し、より特定的には、被認証局から送られてくる被認証
者に関する情報を、第１および第２の認証局が協働して
認証する方法に関する。

【０００２】

【従来の技術】近年、クレジットカードを利用して商品
購入の決済を行うことが、日常化している。クレジット
カードによる決済の場合、カード利用者が間違いなくカ
ード所有者であることが確認されなければならない。こ
れを本人確認という。以下には、この本人確認のために
従来行われてきた方法について述べ、その問題点を明ら
かにする。

【０００３】（第１の従来例）本人確認のためクレジッ
トカード利用者が購入伝票に署名を行い、カード裏面に
書かれたカード所有者の署名との照合を行う。この署名
の照合確認は通常、人間が行う。コンピュータにより署
名確認を行うことは不可能でないにしろ非常に困難であ
る。したがって、この種の本人確認が行われるのは、店
頭における販売に限定される。

【０００４】（第２の従来例）最近では、クレジットカ
ードによる支払いは、店頭販売だけではなく、商品販売
装置（自動販売機など）による購入の場合にも利用され
ている。この場合、カード利用者の署名によりカード所
有者の本人確認を行うことは、技術的に困難であるた
め、暗証番号により本人確認を行うのが一般的である。
すなわち、図２３に示すように、ユーザは販売装置に対
して商品購入の操作を行う。この販売装置は、クレジッ
トカード会社と通信回線により結ばれている。ユーザが
クレジットカードによる支払いを行うために、クレジッ
トカードを販売装置のカードリーダに装着すると、カー
ドリーダはこのクレジットカードの識別番号やユーザの
氏名などの情報を読み込む。そして、販売装置は、カー
ド利用者がカード所有者かどうか確認するために、ユー
ザに対し、カード番号ＩＤｉとそのクレジットカードに
対して登録されているカード暗証番号とを入力するよう
に督促する。これに対してユーザが暗証番号を入力する
と、その暗証番号は通信回線を介してクレジットカード
会社に伝送される。クレジットカード会社は、当該カー
ド番号をキーとしてデータベースを検索し、当該クレジ
ットカードに関する情報を取り出す。そして、ユーザが
クレジット会員加入時に登録した時点で設定した暗証番
号と、現在ユーザから送られてきた暗証番号とを比較す
る。比較の結果、クレジットカード会社は、暗証番号が
一致すればカード利用者がカード所有者本人である旨の
情報を、一致しなければ本人ではない旨の情報を、販売
装置に対して送出する。この情報を受けた販売装置は、
通知された本人認証情報に従って販売処理を続行するか
中止するかを決定する。

【０００５】カード暗証番号による本人確認が成立する
ためには、カード暗証番号が、クレジットカード会社と
カード所有者本人以外には知らされないということが必
要である。上記の販売システムの場合、販売装置が物理
的に保護された領域に設置されるなど十分な管理の下で
運用されることが必要となる。また、販売装置へ入力操
作中の暗証番号や販売装置とクレジットカード会社との
間の通信回線からカード暗証番号が盗聴されないことが
必要となる。このようなシステムが実現されるために
は、上記条件を満たしていると、クレジットカード会社
が判断することが必要となる。このために、上記システ
ムの適用範囲は、クレジットカード会社自身が販売装置
を管理する場合や、電車の定期券などのように販売装置
の管理者をクレジットカード会社が信頼できる場合な
ど、ごく限られた商品の販売に限定されている。

【０００６】（第３の従来例）一方、最近個人がパソコ
ン（パーソナルコンピュータ）通信により商品の注文を
行う通信販売が普及してきている。このようなネットワ
ークを用いた通信販売における料金の支払いに、クレジ
ットカードを用いる場合が多い。この理由は、（１）ユ
ーザにとって、現金書留や銀行振込に比べて支払いが簡
単である、（２）販売会社にとって、受注時に支払保証
を得ることができる、などがあげられる。通信販売にお
ける料金支払にクレジットカードを用いる場合、従来は
会員番号を提示するだけであった。しかし、カード会員
番号は領収書などにより第３者に知られる可能性が高
い。そこで本人確認が必要となる。最も自然に考えられ
るのは先に述べたカード暗証番号による本人確認であ
る。以下にこのことを説明する。

【０００７】ユーザは自宅にあるパソコンの通信販売ソ
フトを起動し、このパソコンは電話回線により通信販売
会社の販売装置と接続されており、この販売装置は通信
回線によりクレジットカード会社と接続されている。ユ
ーザがカードによる支払いを行うためには、カード番号
を販売会社に通知する。このとき、販売会社の販売装置
は、カード利用者がカード所有者かどうかを確認するた
めに、ユーザに対してそのカードに対して登録されてい
る暗証番号を入力するよう督促する。これに対してユー
ザが暗証番号を入力すると、その暗証番号は電話回線を
介してクレジットカード会社に伝送される。カード会社
は、当該カード番号をキーとしてデータベースを検索
し、当該カードに関する情報を取り出す。そして、ユー
ザがクレジット会員加入時に設定した暗証番号と、現在
通信販売会社から送られてきた暗証番号とを比較する。
その結果、一致すればカード利用者はカード所有者であ
る旨の情報を、一致しなければ本人ではない旨の情報を
通信販売会社の販売装置に対して送出する。この情報を
受けた販売装置は、通知された本人認証情報にしたがっ
て販売処理を続行するか中止するかを決定する。

【０００８】上記第３の従来例のシステムを第２の従来
例と比較すると、第２の従来例における「販売装置」
が、「ユーザのパソコン」、「電話回線」、「通信販売
会社の販売装置」からなる装置に対応している。ここ
で、この装置においてユーザの暗証番号が他に知られる
リスクについて考えると、このリスクは第２の従来例の
リスクに比べて大きくなる可能性が２つある。第１の可
能性は、電話回線上の盗聴の問題である。一般家庭と通
信販売会社を結ぶ電話回線は容易に盗聴できると考えら
れる。第２の可能性は、販売装置の物理的安全性であ
る。第２の従来例では、販売装置は物理的に保護された
領域に設置される必要性があることを述べた。そして、
定期券の自動販売機のように一般ユーザからのアクセス
はもとより関係者以外からのアクセスを厳重に管理でき
るような場合に限定されることを述べた。一方、第３の
従来例では、通信販売会社の販売装置は通常販売会社内
に設置されたコンピュータとして実現され、そのコンピ
ュータに対して上記のような厳重なアクセス管理を義務
づけることが必要となる。しかしながら、実際にはこの
ような厳重な物理的なアクセス管理が行われないと想定
されるので、その結果、ユーザの暗証番号が厳重に保護
されるのは困難である、とクレジットカード会社が判断
せざるを得ない。

【０００９】（第４の従来例）そこで、図２４に示すよ
うな個人認証システムが考えられる。図２４において、
予め消費者とクレジットカード会社は、カード番号ＩＤ
ｉおよびパスワードｐｗを共有すると共に、ある関数ｆ
を共有している。関数ｆは、ｘからｆ（ｘ）は容易に計
算できるが、ｆ（ｘ）の値からｘの値は容易に推測でき
ないという性質を持っている。以下では、このような性
質を持つ関数を一方向性関数という。以降では、パスワ
ードｐｗに対してｆ（ｐｗ）を変換パスワードという。
販売会社の販売装置がユーザに対して本人確認情報を入
力するように督促した場合、ユーザはパスワードｐｗを
パソコンに入力し、パソコンはパスワードｐｗから変換
パスワードｆ（ｐｗ）を計算する。そして、パソコン
は、カード番号ＩＤｉと共に、変換パスワードｆ（ｐ
ｗ）を通信販売会社に送出する。通信販売会社は、この
カード番号ＩＤｉと変換パスワードｆ（ｐｗ）とをクレ
ジットカード会社に転送する。これを受信したクレジッ
トカード会社は、データベースにおいて当該カード番号
に対応して格納されているパスワードＰＷに対してｆ
（ＰＷ）を計算し、上記のように送られた変換パスワー
ドｆ（ｐｗ）と比較する。この結果が一致すればユーザ
はカード所有者本人であると認証し、一致しなければユ
ーザはカード所有者ではないと判断する。そして、その
旨の情報を通信販売会社に対して通知する。

【００１０】この第４の従来例の個人認証システムで
は、パスワードｐｗがそのままの形で電話回線上を流れ
ることはなく、また必ずしもセキュリティが万全ではな
いと想定される通信販売会社の販売装置において処理さ
れないので、前述の第３の従来例に比べて安全性は高
い。しかしながら、電話回線上を流れる変換パスワード
ｆ（ｐｗ）はいつも同じ値となり、電話回線を盗聴した
不正者が通信販売会社に対してカード番号ＩＤｉとｆ
（ｐｗ）を送信すれば、この情報はクレジットカード会
社において正しい対であると判断され、その結果不正者
は正しいカード所有者と見なされてしまう。そして、不
正者がカードの本来の所有者になり済まして、不正な物
品購入とカード支払いを行うことに成功してしまう。

【００１１】（第５の従来例）そこで、通信回線を流れ
る情報が毎回変わる個人認証システムとして、図２５に
示すものが考えられる。図２５において、予めユーザと
クレジットカード会社は、カード番号およびこれに対応
するパスワードｐｗを共有している。クレジットカード
会社は、多数のユーザのカード番号とそれに対応するパ
スワードの組をデータベースに記憶している。さらに、
ユーザとクレジットカード会社とは、ある２入力１出力
関数ｇを共有している。関数ｇは、ｇ（ｘ，ｙ）とｙの
値を知っていてもｘの値は推測できないという性質を持
っている。販売会社の販売装置が乱数ｒを発生し、この
乱数をユーザに対して送信して本人確認の情報を入力す
るように督促した場合、ユーザはカード番号ＩＤｉとパ
スワードｐｗをパソコンに入力し、パソコンはｐｗから
変換パスワードｇ（ｒ，ｐｗ）を計算する。そして、パ
ソコンは、カード番号ＩＤｉと変換パスワードｇ（ｒ，
ｐｗ）を通信販売会社に対して送出する。通信販売会社
は、このカード番号ＩＤｉと変換パスワードｇ（ｒ，ｐ
ｗ）と乱数ｒとを、クレジットカード会社に転送する。
これを受信したクレジットカード会社は、上記データベ
ースにおいて当該カード番号に対応して格納されている
パスワードＰＷに対してｇ（ｒ，ＰＷ）を計算し、上記
のように送られてきた変換パスワードｇ（ｒ，ｐｗ）と
比較する。この結果が一致すればユーザはカード所有者
本人であると認証し、一致しなければユーザはカード所
有者本人ではないと判断する。そして、クレジット会社
は、その旨の情報を通信販売会社に対して通知する。

【００１２】

【発明が解決しようとする課題】しかしながら、上記第
５の従来例における個人認証システムの場合、クレジッ
トカード会社においてｇ(ｒ，ＰＷ)の計算を行う必要が
ある。第２の従来例で示した物理的に保護された販売装
置における個人認証システムでは、クレジットカード会
社は、データベースを参照するだけの情報処理で済むの
に対して、このことはクレジットカード会社に大きな情
報処理上の負担をかける、という問題点がある。また、
このためにクレジットカード会社のオンラインシステム
に大きな変更を与えるという欠点もある。

【００１３】それゆえに、本発明の目的は、第１の認証
局（例えば、クレジット会社）の負担およびシステムの
変更を軽減しつつ、安全性の高い認証が行える個人認証
方法を提供することである。

【００１４】

【課題を解決するための手段】本発明の第１の局面は、
被認証局から送られてくる被認証者に関する情報を、第
１および第２の認証局が協働して認証する方法に向けら
れており、第１の認証局は、被認証者の識別情報と、当
該識別情報に対応する秘密情報に対して第１の一方向性
変換を行った結果である変換秘密情報との組を予めデー
タベースに記憶しており、被認証局は、被認証者が認証
を希望するとき、第１の可変パラメータを発生し、当該
第１の可変パラメータに対して第２の一方向性変換を施
すことにより、当該第１の可変パラメータに依存した認
証申込情報を生成して第２の認証局に送信し、第２の認
証局は、認証申込情報を受信したとき、第２の可変パラ
メータを発生し、当該第２の可変パラメータおよび受信
した認証申込情報に対して第３の一方向性変換を施すこ
とにより、第１および第２の可変パラメータに依存した
認証用質問情報を生成して被認証局に送信し、被認証局
は、受信した認証用質問情報，第１の可変パラメータお
よび認証を受けるべき被認証者に固有の秘密情報に対し
て第４の一方向性変換を施すことにより、第１の可変パ
ラメータに依存しない認証用応答情報を生成し、当該被
認証者の識別情報と共に、第２の認証局に送信し、第２
の認証局は、受信した認証用応答情報および第２の可変
パラメータに対して第５の一方向性変換を施すことによ
り、第２の可変パラメータに依存しない認証用照会情報
を生成し、受信した被認証者の識別情報と共に、第１の
認証局に送信し、第１の認証局は、受信した識別情報に
対応する変換秘密情報をデータベースから検索し、検索
された変換秘密情報が受信した認証用照会情報と一致す
るかどうか調べ、一致した場合には被認証者を正規の被
認証者であることを、一致しない場合には被認証者を正
規の被認証者とは認証しないことを表す認否情報を、第
２の認証局に送信し、第２の認証局は、受信した認否情
報によって被認証者を認証することを特徴とする。

【００１５】本発明の第２の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法に向けられており、第１の
認証局は、被認証者の識別情報と、当該識別情報に対応
する秘密情報に対して第１の一方向性変換を行った結果
である変換秘密情報との組を予めデータベースに記憶し
ており、第２の認証局は、被認証局から認証申込があっ
たとき、第１の可変パラメータを発生し、当該第１の可
変パラメータに対して第２の一方向性変換を施すことに
より、当該第１の可変パラメータに依存する認証用質問
情報を生成して被認証局に送信し、被認証局は、認証用
質問情報を受信したとき、第２の可変パラメータを発生
し、当該第２の可変パラメータ，認証用質問情報および
認証を受けるべき被認証者に固有の秘密情報に対して第
３の一方向性変換を施すことにより、秘密情報，第１お
よび第２の可変パラメータに依存する第１の認証用応答
情報と、第２の可変パラメータに依存する第２の認証用
応答情報とを生成し、当該被認証者の識別情報と共に、
第２の認証局に送信し、第２の認証局は、第１の可変パ
ラメータと受信した第１および第２の認証用応答情報と
に対して第４の一方向性変換を施すことにより、第１お
よび第２の可変パラメータに依存しない認証用照会情報
を生成し、受信した被認証者の識別情報と共に、第１の
認証局に送信し、第１の認証局は、受信した被認証者の
識別情報に対応する変換秘密情報をデータベースから検
索し、検索された変換秘密情報が受信した認証用照会情
報と一致するか否かを調べ、一致した場合には被認証者
が正規の被認証者であることを、一致しない場合には正
規の被認証でないことを表す認否情報を、第２の認証局
に送信し、第２の認証局は、受信した認否情報によって
被認証者を認証することを特徴とする。

【００１６】本発明の第３の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法に向けられており、第１の
認証局は、被認証者の識別情報と、当該識別情報に対応
する秘密情報に対して第１の一方向性変換を行った結果
である変換秘密情報との組を予めデータベースに記憶し
ており、第２の認証局は、被認証局から認証申込があっ
たとき、可変パラメータを発生し、当該可変パラメータ
に対して第２の一方向性変換を施すことにより、当該可
変パラメータに依存した認証用質問情報を生成して被認
証局に送信し、被認証局は、受信した認証用質問情報お
よび認証を受けるべき被認証者に固有の秘密情報に対し
て第３の一方向性変換を施すことにより、認証用応答情
報を生成し、当該被認証者の識別情報と共に、第２の認
証局に送信し、第２の認証局は、可変パラメータおよび
受信した認証用応答情報に対して第４の一方向性変換を
施すことにより、可変パラメータに依存しない認証用照
会情報を生成し、受信した被認証者の識別情報と共に、
第１の認証局に送信し、第１の認証局は、受信した被認
証者の識別情報に対応する変換秘密情報をデータベース
から検索し、検索された変換秘密情報が受信した認証用
照会情報と一致するか否かを調べ、一致した場合には被
認証者が正規の被認証者であることを、一致しない場合
には正規の被認証でないことを表す認否情報を、第２の
認証局に送信し、第２の認証局は、受信した認否情報に
よって被認証者を認証することを特徴とする。

【００１７】本発明の第４の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法に向けられており、第１の
認証局は、被認証者の識別情報と、当該識別情報に対応
する秘密情報に対して第１の一方向性変換を行った結果
である変換秘密情報との組を予めデータベースに記憶し
ており、被認証局は、被認証者が認証を希望するとき、
第１の可変パラメータを発生し、当該第１の可変パラメ
ータと第２の認証局についての公開情報に対して第２の
一方向性変換を施すことにより、当該第１の可変パラメ
ータおよび当該公開情報に依存する認証申込情報を生成
して第２の認証局に送信し、第２の認証局は、認証申込
情報を受信したとき、当該認証申込情報と自局に固有の
秘密情報に対して第３の一方向性変換を施すことによ
り、公開情報に依存しない第１の共有鍵情報を生成し、
第２の可変パラメータを発生して、当該第２の可変パラ
メータおよび第１の共有鍵情報に対して第４の一方向性
変換を施すことにより、第１および第２の可変パラメー
タに依存する認証用質問情報を生成して被認証局に送信
し、被認証局は、受信した認証用質問情報，第１の可変
パラメータおよび認証を受けるべき被認証者に固有の秘
密情報に対して第５の一方向性変換を施すことにより、
第１の可変パラメータに依存しない認証用応答情報を生
成し、第１の可変パラメータに対して第６の一方向性変
換を施すことにより第２の共有鍵情報を生成し、当該被
認証者の識別情報を第２の共有鍵情報で暗号化して、認
証用応答情報と共に、第２の認証局に送信し、第２の認
証局は、受信した第２の共有鍵情報で暗号化された被認
証者の識別情報を第１の共有鍵情報で復号し、受信した
認証用応答情報および第２の可変パラメータに対して第
７の一方向性変換を施すことにより、第２の可変パラメ
ータに依存しない認証用照会情報を生成し、当該認証用
照会情報を復号した被認証者の識別情報と共に、第１の
認証局に送信し、第１の認証局は、受信した識別情報に
対応する変換秘密情報をデータベースから検索し、検索
された変換秘密情報が受信した認証用照会情報と一致す
るかどうか調べ、一致した場合には被認証者を正規の被
認証者であることを、一致しない場合には被認証者を正
規の被認証者とは認証しないことを表す認否情報を、第
２の認証局に送信し、第２の認証局は、受信した認否情
報によって被認証者を認証することを特徴とする。

【００１８】本発明の第５の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法に向けられており、第１の
認証局は、被認証者の識別情報と、当該識別情報に対応
する秘密情報に対して第１の一方向性変換を行った結果
である変換秘密情報との組を予めデータベースに記憶し
ており、被認証局は、被認証者が認証を希望するとき、
第１の可変パラメータを発生し、当該第１の可変パラメ
ータと第２の認証局についての公開情報に対して第２の
一方向性変換を施すことにより、当該第１の可変パラメ
ータおよび当該公開情報に依存する認証申込情報を生成
して第２の認証局に送信し、第２の認証局は、認証申込
情報を受信したとき、当該認証申込情報と自局に固有の
秘密情報に対して第３の一方向性変換を施すことによ
り、公開情報に依存しない第１の共有鍵情報を生成し、
第２の可変パラメータを発生して、当該第２の可変パラ
メータおよび第１の共有鍵情報に対して第４の一方向性
変換を施すことにより、第１および第２の可変パラメー
タに依存する認証用質問情報を生成して被認証局に送信
し、被認証局は、受信した認証用質問情報，第１の可変
パラメータおよび認証を受けるべき被認証者に固有の秘
密情報に対して第５の一方向性変換を施すことにより、
第１の可変パラメータに依存しない認証用応答情報を生
成し、第１の可変パラメータに対して第６の一方向性変
換を施すことにより第２の共有鍵情報を生成し、所定の
情報を第２の共有鍵情報で暗号化して、認証用応答情報
および被認証者の識別情報と共に、第２の認証局に送信
し、第２の認証局は、受信した第２の共有鍵情報で暗号
化された所定の情報を第１の共有鍵情報で復号し、受信
した認証用応答情報および第２の可変パラメータに対し
て第７の一方向性変換を施すことにより、第２の可変パ
ラメータに依存しない認証用照会情報を生成し、当該認
証用照会情報を受信した被認証者の識別情報と共に、第
１の認証局に送信し、第１の認証局は、受信した識別情
報に対応する変換秘密情報をデータベースから検索し、
検索された変換秘密情報が受信した認証用照会情報と一
致するかどうか調べ、一致した場合には被認証者を正規
の被認証者であることを、一致しない場合には被認証者
を正規の被認証者とは認証しないことを表す認否情報
を、第２の認証局に送信し、第２の認証局は、受信した
認否情報によって被認証者を認証することを特徴とす
る。

【００１９】本発明の第６の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法であって、第１の認証局
は、被認証者の識別情報と、当該識別情報に対応する秘
密情報に対して第１の一方向性変換を行った結果である
変換秘密情報との組を予めデータベースに記憶してお
り、第２の認証局は、被認証局から認証申込があったと
き、第１の可変パラメータを発生し、当該第１の可変パ
ラメータに対して第２の一方向性変換を施すことによ
り、当該第１の可変パラメータに依存する認証用質問情
報を生成して被認証局に送信し、被認証局は、認証用質
問情報を受信したとき、第２の可変パラメータを発生
し、当該第２の可変パラメータ，認証用質問情報および
認証を受けるべき被認証者に固有の秘密情報に対して第
３の一方向性変換を施すことにより、秘密情報，第１お
よび第２の可変パラメータに依存する第１の認証用応答
情報を生成し、当該第２の可変パラメータと第２の認証
局についての公開情報に対して第４の一方向性変換を施
すことにより、当該第２の可変パラメータおよび当該公
開情報に依存する第２の認証用応答情報を生成し、当該
第２の可変パラメータに対して第５の一方向性変換を施
すことにより第１の共有鍵情報を生成し、被認証者の識
別情報を第１の共有鍵情報で暗号化して、第１および第
２の認証用応答情報と共に、第２の認証局に送信し、第
２の認証局は、受信した第２の認証用応答情報と自局に
固有の秘密情報に対して第６の一方向性変換を施すこと
により、公開情報に依存しない第２の共有鍵情報を生成
し、受信した第１の共有鍵情報で暗号化された被認証者
の識別情報を当該第２の共有鍵情報で復号し、当該第２
の共有鍵情報と第１の可変パラメータと受信した第１認
証用応答情報とに対して第７の一方向性変換を施すこと
により、第１および第２の可変パラメータに依存しない
認証用照会情報を生成し、当該認証用照会情報を復号し
た被認証者の識別情報と共に、第１の認証局に送信し、
第１の認証局は、受信した被認証者の識別情報に対応す
る変換秘密情報をデータベースから検索し、検索された
変換秘密情報が受信した認証用照会情報と一致するか否
かを調べ、一致した場合には被認証者が正規の被認証者
であることを、一致しない場合には正規の被認証でない
ことを表す認否情報を、第２の認証局に送信し、第２の
認証局は、受信した認否情報によって被認証者を認証す
ることを特徴とする。

【００２０】本発明の第７の局面は、被認証局から送ら
れてくる被認証者に関する情報を、第１および第２の認
証局が協働して認証する方法に向けられており、第１の
認証局は、被認証者の識別情報と、当該識別情報に対応
する秘密情報に対して第１の一方向性変換を行った結果
である変換秘密情報との組を予めデータベースに記憶し
ており、第２の認証局は、被認証局から認証申込があっ
たとき、第１の可変パラメータを発生し、当該第１の可
変パラメータに対して第２の一方向性変換を施すことに
より、当該第１の可変パラメータに依存する認証用質問
情報を生成して被認証局に送信し、被認証局は、認証用
質問情報を受信したとき、第２の可変パラメータを発生
し、当該第２の可変パラメータ，認証用質問情報および
認証を受けるべき被認証者に固有の秘密情報に対して第
３の一方向性変換を施すことにより、秘密情報，第１お
よび第２の可変パラメータに依存する第１の認証用応答
情報を生成し、当該第２の可変パラメータと第２の認証
局についての公開情報に対して第４の一方向性変換を施
すことにより、当該第２の可変パラメータおよび当該公
開情報に依存する第２の認証用応答情報を生成し、当該
第２の可変パラメータに対して第５の一方向性変換を施
すことにより第１の共有鍵情報を生成し、所定の情報を
第１の共有鍵情報で暗号化して、第１および第２の認証
用応答情報ならびに被認証者の識別情報と共に、第２の
認証局に送信し、第２の認証局は、受信した第２の認証
用応答情報と自局に固有の秘密情報に対して第６の一方
向性変換を施すことにより、公開情報に依存しない第２
の共有鍵情報を生成し、受信した第１の共有鍵情報で暗
号化された所定の情報を当該第２の共有鍵情報で復号
し、当該第２の共有鍵情報と第１の可変パラメータと受
信した第１認証用応答情報とに対して第７の一方向性変
換を施すことにより、第１および第２の可変パラメータ
に依存しない認証用照会情報を生成し、当該認証用照会
情報を受信した被認証者の識別情報と共に、第１の認証
局に送信し、第１の認証局は、受信した被認証者の識別
情報に対応する変換秘密情報をデータベースから検索
し、検索された変換秘密情報が受信した認証用照会情報
と一致するか否かを調べ、一致した場合には被認証者が
正規の被認証者であることを、一致しない場合には正規
の被認証でないことを表す認否情報を、第２の認証局に
送信し、第２の認証局は、受信した認否情報によって被
認証者を認証することを特徴とする。

【００２１】上記のように、本発明の第１〜第７の局面
では、被認証局から第２の認証局には、被認証者の秘密
情報を含む認証用応答情報が送られるが、この認証用応
答情報は、一方向性変換が施されているため、第２の認
証局は、認証用応答情報から被認証者の秘密情報を知る
ことはできない。また、第１の認証局は、何ら演算を行
うことなく、データベースの検索のみを行い、認証結果
の認否を示す認否情報を第２の認証局に送信する。第２
の認証局は、第１の認証局から送られてくる認否情報に
よって被認証者の認証を行う。被認証局と第２の認証局
との間で交わされる通信、および第１の認証局と第２の
認証局との間で交わされる通信は、いずれも通信情報が
一方向性変換されているため、盗聴されても情報が漏れ
るおそれがない。

【００２２】また、第４および第６の局面では、被認証
局から第２の認証局に送られる被認証者の識別情報が暗
号化して送られるので、第３者に当該識別情報が知られ
る恐れがない。しかも、この暗号化のために使用する鍵
情報は、被認証局で発生する第１の可変パラメータに従
ってダイナミックに変化するので、鍵が解読されて識別
情報が漏れる恐れがない。なお、被認証者の識別情報に
加えて、その他の情報（例えば、商品の発注情報）も暗
号化して送信するようにしても良い。また、第５および
第７の局面のように、被認証者の識別情報は暗号化せ
ず、それに付随するその他の情報を暗号化して送信する
ようにしても良い。どのような情報を暗号化して送信す
るかは、本発明が適用されるシステムの用途に応じて決
定されればよい。

【００２３】上記第１〜第７の局面において、第１およ
び第２の可変パラメータとして、乱数パラメータを用い
ることもできる。この場合、第１および第２の可変パラ
メータが毎回不規則的に変化するので、データの機密性
がより向上する。なお、データの機密性がそれほど要求
されない場合は、規則的に変化するようなパラメータを
用いてもよい。

【００２４】また、上記第１〜第７の局面において、被
認証者の識別情報に対応する秘密情報を正の整数ｓｉと
し、ｐを素数とし、ｇを不等式１＜ｇ＜ｐを満たす整数
値とするとき、変換秘密情報として、ｇ^siを素数ｐで除
算したときの剰余値を用いるようにしてもよい。さら
に、ｈをハッシュ関数とするとき、変換秘密情報とし
て、ｇ^h(si) を素数ｐで除算したときの剰余値を用いる
ようにしてもよい。ハッシュ関数を用いることは、特
に、秘密情報ｓｉの桁数が少ないときに有効である。上
記整数値ｇは、各被認証者毎に変更されることが、デー
タの機密性を向上する上で、効果的である。同様に、ハ
ッシュ関数ｈも、各被認証者毎に変更されることが、デ
ータの機密性を向上する上で、効果的である。

【００２５】

【発明の実施の形態】

（１）第１の実施形態図１は、本発明の第１の実施形態に係る個人認証システ
ムの構成を示すブロック図である。なお、本第１の実施
形態の個人認証システムは、複数のユーザｉ、販売会社
ａ、クレジット会社ｂから成り立っている。また、本第
１の実施形態の個人認証システムは、ネットワークを介
した通信販売システムにおける代金の支払いをクレジッ
トカードで行う際に、クレジット会社ｂが販売会社ａに
依頼されて正当なユーザであるかどうか認証し、知らせ
るものである。

【００２６】図１において、ユーザｉにはコンピュータ
等によって構成された認証申込装置１０が設けられる。
販売会社ａには、コンピュータ等によって構成された認
証中継装置２０が設けられる。クレジット会社ｂには、
コンピュータ等によって構成されたユーザ認証装置３０
が設けられる。ユーザｉは、販売会社ａとパソコン通信
でつながっていて、双方向に情報をやりとりする。販売
会社ａは、ユーザｉ、クレジット会社ｂとパソコン通信
でつながっていて、双方向に情報をやりとりする。クレ
ジット会社ｂは、販売会社ａとパソコン通信でつながっ
ていて、双方向に情報をやりとりする。

【００２７】図２は、図１に示すユーザｉに設けられた
認証申込装置１０の構成の一例を示すブロック図であ
る。図２において、この認証申込装置１０は、制御部１
０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、入力操作器
１０４と、表示器１０５と、乱数発生器１０６と、通信
部１０７とを備えている。

【００２８】ＲＯＭ１０２には、プログラムデータが格
納され、制御部１０１は、このプログラムデータに従っ
て動作する。ＲＡＭ１０３は、制御部１０１の動作に必
要な種々のデータを記憶する。入力操作器１０４は、ユ
ーザによって操作されるキーボードやマウス等を含み、
制御部１０１に種々のデータや指示を入力する。表示器
１０５は、ＣＲＴディスプレイや液晶表示器によって構
成され、制御部１０１から与えられる画像データを表示
する。乱数発生器１０６は、認証申込に必要な乱数を生
成する。通信部１０７は、販売会社ａとパソコン通信で
つながっており、各種データを送受信する。

【００２９】図３は、図１に示す販売会社ａに設けられ
た認証中継装置２０の構成の一例を示すブロック図であ
る。図３において、この認証中継装置２０は、制御部２
０１と、ＲＯＭ２０２と、ＲＡＭ２０３と、乱数発生器
２０４と、秘密鍵保管部２０５と、通信部２０６とを備
えている。

【００３０】ＲＯＭ２０２には、プログラムデータが格
納され、制御部２０１は、このプログラムデータに従っ
て動作する。ＲＡＭ２０３は、制御部２０１の動作に必
要な種々のデータを記憶する。乱数発生器２０４は、認
証用質問情報生成に必要な乱数を生成する。秘密鍵保管
部２０５は、クレジット会社ｂと暗号通信を行う際に必
要な秘密鍵を保管し、外部から読み出しはできないよう
に構成されている。通信部２０６は、各ユーザと、クレ
ジット会社ｂと、パソコン通信でつながっており、各種
データを送受信する。

【００３１】図４は、図１に示すクレジット会社ｂに設
けられたユーザ認証装置３０の構成の一例を示すブロッ
ク図である。図４において、このユーザ認証装置３０
は、制御部３０１と、ＲＯＭ３０２と、ＲＡＭ３０３
と、個人別データ記憶部３０４と、秘密鍵保管部３０５
と、通信部３０６とを備えている。

【００３２】ＲＯＭ３０２には、プログラムデータが格
納され、制御部３０１は、このプログラムデータに従っ
て動作する。ＲＡＭ３０３は、制御部３０１の動作に必
要な種々のデータを記憶する。個人別データ記憶部３０
４は、各ユーザの識別番号と変換秘密情報とを保管し、
外部から読み出しはできないように構成されている。秘
密鍵保管部３０５は、販売会社ａと暗号通信を行う際に
必要な秘密鍵を保管し、外部から読み出しはできないよ
うに構成されている。通信部３０６は、販売会社ａと、
パソコン通信でつながっており、各種データを送受信す
る。

【００３３】図５は、図１に示す第１の実施形態の個人
認証システム全体の動作を示すシーケンスチャートであ
る。図６は、図１の認証申込装置１０の認証申込時の動
作を示すフローチャートである。この動作は、図５の
（１）に対応する。図７は、図１の認証中継装置２０の
認証用質問情報生成時の動作を示すフローチャートであ
る。この動作は、図５の（３）に対応する。図８は、図
１の認証申込装置１０の認証用応答情報生成時の動作を
示すフローチャートである。この動作は、図５の（５）
に対応する。図９は、図１の認証中継装置２０の認証用
照会情報生成時の動作を示すフローチャートである。こ
の動作は、図５の（７）に対応する。図１０は、図１の
ユーザ認証装置３０のユーザ認証照合時の動作を示すフ
ローチャートである。この動作は、図５の（９）に対応
する。以下、これら図５〜図１０を参照して、上記第１
の実施形態の動作を説明する。

【００３４】本システムでは、５１２ビット程度の大き
な素数ｐを法とする有限体での演算でユーザ認証を行
う。ｐは、システムにより予め定められており、各ユー
ザｉと販売会社ａとクレジット会社ｂとに与えられてい
る。また、不等式１＜ｇ＜ｐを満たす整数ｇが共通で使
われ、各ユーザｉとクレジット会社ｂに与えられてい
る。さらに、関数ｈを、任意の負でない整数ｘから０＜
ｈ（ｘ）＜ｐ−１を満たす整数値を生成し、ｈ（ｘ）か
らｘを推定するのが難しいような関数とする。関数ｈ
は、各ユーザｉとクレジット会社ｂに与えられている。
なお、このような関数ｈは、ハッシュ関数と呼ばれ、そ
の存在、実現性については岡本栄司著「暗号理論入門」
（共立出版）に詳しく述べられている。

【００３５】各ユーザには、クレジット会社ｂに会員登
録をした際に、識別番号ＩＤｉが与えられている。ま
た、そのときに自分のパスワードである負でない整数ｓ
ｉを、クレジット会社ｂに知らせる。クレジット会社ｂ
は、パスワードｓｉと関数ｈとを用いて、変換秘密情報
｛ｇ^h(si) ｍｏｄｐ｝を予め計算し、個人別データ記
憶部３０４に、識別番号ＩＤｉおよびパスワードｓｉと
組にして記憶しておく。ただし、α ｍｏｄ βは、αを
βで割ったときの余りを示している。また、販売会社ａ
およびクレジット会社ｂは、予め秘密鍵ｋを共有してお
り、それぞれ、秘密鍵保管部２０５および秘密鍵保管部
３０５に保管されている。また、販売会社ａとクレジッ
ト会社ｂは、秘密鍵暗号アルゴリズムＥおよび秘密鍵復
号アルゴリズムＤを保持している。

【００３６】ユーザｉからクレジット会社ｂに直接認証
の申込をする場合は、自分の識別番号ＩＤｉとパスワー
ドｓｉをクレジット会社に提示する。クレジット会社ｂ
は、提示されたＩＤｉから個人別データ記憶部３０４を
検索し、記憶されているパスワードが提示された値と等
しい場合にはユーザを認証し、等しくない場合はユーザ
を認証しない。

【００３７】次に、販売会社ｂがユーザｉの認証を行う
場合の手続きについて述べる。以下の処理は全てリアル
タイム処理で行うものとする。

【００３８】ネットワークを介した通信販売システムに
おいて、ユーザｉが販売会社ａの商品を購入するとき
に、代金支払をクレジットカードにより済ます場合、販
売会社ａは、ユーザｉが正規のユーザであるかどうか
を、クレジット会社の力を借りて認証する。つまり、ユ
ーザｉは、認証申込装置１０に、ユーザ認証申込を指示
する（図６のステップＳ１０１）。これに対して認証申
込装置１０の制御部１０１は、乱数発生器１０６を用い
て乱数パラメータｘを発生する（ステップＳ１０２）。
このとき、乱数パラメータｘは、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１の条件を満たす整数である。ただし、ｇｃｄ（α，β）
は、αとβの最大公約数を示している。次に、制御部１
０１は、この乱数パラメータｘを用いて認証申込情報Ａ
ｐｐを、Ａｐｐ＝ｇ^x ｍｏｄｐで計算し、乱数パラメータｘをＲＡＭ１０３に格納する
（ステップＳ１０３）。次に、制御部１０１は、通信部
１０７を介して販売会社ａにパソコン通信で、ユーザ認
証を受けたい旨を伝え、認証申込情報Ａｐｐを送信する
（ステップＳ１０４）。

【００３９】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信した認証申込情報Ａｐ
ｐを、ＲＡＭ２０３に格納する（図７のステップＳ２０
１）。次に、制御部２０１は、乱数発生器２０４を用い
て、乱数パラメータｒを発生する（ステップＳ２０
２）。このとき、乱数パラメータｒは、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１の条件を満たす整数である。次に、制御部２０１は、Ｒ
ＡＭ２０３から認証申込情報Ａｐｐを取り出し、この乱
数パラメータｒを用いて認証用質問情報Ｃｈａを、Ｃｈａ＝Ａｐｐ^r ｍｏｄｐ＝ｇ^xr ｍｏｄｐで計算し、乱数パラメータｒをＲＡＭ２０３に格納する
（ステップＳ２０３）。次に、制御部２０１は、通信部
２０６を介してユーザｉにパソコン通信で、認証用質問
情報Ｃｈａを送信する（ステップＳ２０４）。

【００４０】ユーザｉでは、制御部１０１は、通信部１
０７を介して販売会社ａから受信した認証用質問情報Ｃ
ｈａを、ＲＡＭ１０３に格納する（図８のステップＳ３
０１）。次に、ユーザｉは、自分のクレジット会員の識
別番号ＩＤｉと、パスワードｓｉとを入力する（ステッ
プＳ３０２）。次に、制御部１０１は、ＲＡＭ１０３に
格納されている乱数パラメータｘを読み込み、ｘｙｍｏｄｐ−１＝１０＜ｙ＜ｐ−１の条件を満たす整数ｙを計算する（ステップＳ３０
３）。このとき、ｇｃｄ（ｘ，ｐ−１）＝１であるから、このようなｙは必ず存在する。なお、この
ようなｙを求めるアルゴリズムについては、池野信一，
小山謙二著「現在暗号理論」（電子情報通信学会）に詳
しく述べられている。

【００４１】次に、制御部１０１は、入力されたパスワ
ードｓｉをハッシュ関数ｈに代入し、ハッシュ値ｈ（ｓ
ｉ）を計算する（ステップＳ３０４）。そして、制御部
１０１は、ＲＡＭ１０３から認証用質問情報Ｃｈａを取
り出し、Ｃｈａに対する認証用応答情報Ｒｅｓｐを、Ｒｅｓｐ＝Ｃｈａ^yh(si) ｍｏｄｐ＝ｇ^xryh(si) ｍｏｄｐで計算する（ステップＳ３０５）。このとき、０＜ａ＜
ｐを満たす任意の整数ａに対して、ａ^p-1 ｍｏｄｐ＝１が成り立っている。このことについては、池野信一，小
山謙二著「現在暗号理論」（電子情報通信学会）に詳し
く述べられている。また、ｘｙｍｏｄｐ−１＝１より、ｘｙ＝ｎ（ｐ−１）＋１（ｎは整数）と表される。したがって、Ｒｅｓｐ＝ｇ^xryh(si) ｍｏｄｐ＝（ｇ^xy）^rh(si) ｍｏｄｐ＝［ｇ^{n(p-1)+1}］^rh(si) ｍｏｄｐ＝［｛ｇ^(p-1)｝ⁿ×ｇ］^rh(si) ｍｏｄｐ＝（１ⁿ×ｇ）^rh(si) ｍｏｄｐ＝ｇ^rh(si) ｍｏｄｐとなる。そして、制御部１０１は、通信部１０７を介し
て販売会社ａにパソコン通信で、ユーザｉの識別番号Ｉ
Ｄｉと、認証用応答情報Ｒｅｓｐとを送信する（ステッ
プＳ３０６）。

【００４２】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信した識別番号ＩＤｉと
認証用応答情報Ｒｅｓｐとを、ＲＡＭ２０３に格納する
（図９のステップＳ４０１）。次に、制御部２０１は、
ＲＡＭ２０３に格納されている乱数パラメータｒを読み
込み、ｒｓｍｏｄｐ−１＝１０＜ｓ＜ｐ−１の条件を満たす整数ｓを計算する（ステップＳ４０
２）。このとき、ｇｃｄ（ｒ，ｐ−１）＝１であるから、このようなｓは必ず存在する。

【００４３】次に、制御部２０１は、ＲＡＭ２０３から
認証用応答情報Ｒｅｓｐを取り出し、認証用照会情報Ａ
ｕｔを、Ａｕｔ＝Ｒｅｓｐ^s ｍｏｄｐ＝ｇ^rh(si)s ｍｏｄｐで計算する（ステップＳ４０３）。このとき、ｒｓｍｏｄｐ−１＝１を満たすので、ステップＳ３０５で述べたのと同様の理
由で、Ａｕｔ＝ｇ^h(si) ｍｏｄｐとなる。次に、制御部２０１は、ＲＡＭ２０３に格納さ
れているユーザｉの識別番号ＩＤｉを取り出し、秘密鍵
保管部２０５で保管されている秘密鍵ｋを読み出し、こ
れらを鍵として、識別番号ＩＤｉと認証用照会情報Ａｕ
ｔとを連結したものを、秘密鍵暗号Ｅで、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）のように暗号化する（ステップＳ４０４）。ただし、記
号‖は、情報の連結を表す。そして、制御部２０１は、
通信部２０６を介してクレジット会社ｂにパソコン通信
で、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を送信する（ステップＳ
４０５）。

【００４４】クレジット会社ｂでは、制御部３０１は、
通信部３０６を介して販売会社ａから送信されたＥ
（ｋ，ＩＤｉ‖Ａｕｔ）を受信する（図１０のステップ
Ｓ５０１）。次に、制御部３０１は、秘密鍵保管部３０
５で保管されている秘密鍵ｋを読み出し、これを鍵とし
て、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を、復号アルゴリズムＤ
で、Ｄ｛ｋ，Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）｝＝ＩＤｉ‖Ａｕｔのように復号する（ステップＳ５０２）。

【００４５】次に、制御部３０１は、復号した識別番号
ＩＤｉと組になって記録されている変換秘密情報｛ｇ
^h(si) ｍｏｄｐ｝を個人別データ記憶部３０４から検
索して読み出す（ステップＳ５０３）。次に、制御部３
０１は、復号した認証用照会情報Ａｕｔと、個人別デー
タ記憶部３０４から読み出した｛ｇ^h(si) ｍｏｄｐ｝
の値とが一致するか否かを照合する（ステップＳ５０
４）。次に、制御部３０１は、照合の結果を通信部３０
６を介して販売会社ａに送信する（ステップＳ５０
４）。

【００４６】販売会社ａでは、制御部２０１は、通信部
２０６を介してクレジット会社ｂから送信された照合結
果を受信し、クレジット会社による認証を受けた場合
は、ユーザｉに商品の発注をするよう送信し、認証を受
けれなかった場合は、ユーザｉに認証が不可であったこ
とを送信する。

【００４７】ユーザｉでは、制御部１０１は、販売会社
ａから送信された情報を受信し、商品を発注するよう指
示された場合は、表示器１０５に商品の発注を促す情報
を表示する。その後、ユーザｉは、商品の発注操作を行
う。一方、認証が不可であると受信した場合は、表示器
１０５に認証できなかったことを表示する。

【００４８】以上説明したように、第１の実施形態の個
人認証システムにおいては、販売会社ａにユーザｉのパ
スワードｓｉを知られることなく、クレジット会社ｂ
は、ユーザｉが正規のユーザｉであるかどうかを、デー
タベースを参照するだけで確認できる。これは、販売会
社ａが知り得る情報｛ｇ^h(si) ｍｏｄｐ｝からｈ（ｓ
ｉ）を求めることは、ｇの値を知っていてもｐの値が大
きければ（上記第１の実施形態では、５１２ビット程度
の値としている）、極めて難しいことによる。なお、Ｙ＝ｇ^X ｍｏｄｐなる関係があるとき，Ｙ，ｇ，ｐからＸを求める問題
は、「離散対数問題」と呼ばれている。「離散対数問
題」を解くことの困難性については、池野信一，小山謙
二著「現在暗号理論」（電子情報通信学会）に詳しく述
べられている。

【００４９】また、ユーザｉのパスワードｓｉは、ユー
ザｉ自身が認証申込装置１０に入力することから、１０
進４桁程度の数であることが多い。その場合に、ｇ^h(si) ｍｏｄｐの値を知る販売会社ａは、ｓｉの値として全ての場合に
ついて当てはめてみてｓｉの値を見つけようとしても、
実際には関数ｈが販売会社ａには与えられていないの
で、ｓｉの値を見つけることは不可能である。

【００５０】なお、各ユーザの認証申込装置にＩＣカー
ドを付加し、ユーザｉのパスワードをＩＣカードで管理
すると、ｓｉの値は１０進４桁程度の小さい値にしなく
てもよく、関数ｈを使用する必要はなくなる。ただし、
この場合でも関数ｈを使用すれば、さらに安全性が増
す。

【００５１】また、ユーザｉと販売会社ａとの間でやり
とりされるパソコン通信の回線を盗聴するものがあって
も、｛ｇ^h(si) ｍｏｄｐ｝の値を知ることはできな
い。なぜならば、パソコン通信の回線を流れる情報は、Ａｐｐ＝ｇ^x ｍｏｄｐＣｈａ＝ｇ^xr ｍｏｄｐＲｅｓｐ＝ｇ^rh(si) ｍｏｄｐであり，Ｒｅｓｐからｇ^h(si) ｍｏｄｐの値を知るに
は、乱数パラメータｒの値が必要となるからである。乱
数パラメータｒの値をＡｐｐ，Ｃｈａから求めるには、
「離散対数問題」を解くことになり、現実的に不可能で
ある。

【００５２】また、販売会社ａとクレジット会社ｂとの
間で、識別番号ＩＤｉと認証用照会情報Ａｕｔとを送る
ときには、両者で共有している秘密鍵ｋで暗号化してい
るので、盗聴しても意味がない。

【００５３】このように、第１の実施形態では、ユーザ
ｉ以外の人間がユーザｉのパスワードｓｉを知ることは
できず、上記実施形態の動作でユーザｉが正規のもので
あるかどうか認証できる。

【００５４】なお、第１の実施形態においては、ｇの値
を本実施形態の個人認証システム共通の値としたが、ｇ
の値を各ユーザ毎に変えることもできる。この場合、ユ
ーザｉがｇの値を決めて｛ｇ^h(si) ｍｏｄｐ｝を計算
して、クレジット会社ｂに知らせるようにする。この場
合、ｇの値自身が秘密なので、より安全性が高まる。同
様に、ハッシュ関数ｈを各ユーザ毎に変えるようにして
もよく、この場合も安全性が高まる。

【００５５】なお、上記第１の実施形態においては、ユ
ーザｉ、販売会社ａ、クレジット会社ｂ間の双方向通信
を、パソコン通信を用いて行っているが、デジタルＣＡ
ＴＶ網、Ｂ−ＩＳＤＮなどの双方向通信が行えるもので
あれば、それらを用いて通信を行っても、上記と同様の
効果が得られる。

【００５６】（２）第２の実施形態本発明の第２の実施形態は、第１の実施形態で述べた個
人認証システムと同じ構成を用いた個人認証システムで
ある。第１の実施形態とは、同じ構成で実現可能である
が、実行手順が異なる。またシステムにおける設定もほ
とんど同じであるが、システム共通の値である整数値ｇ
の値が販売会社ａにも与えられている。したがって、以
下には、図１の個人認証システムの構成を援用しつつ、
第２の実施形態について説明する。

【００５７】図１１は、第２の実施形態の個人認証シス
テム全体の動作を示すシーケンスチャートである。図１
２は、第２の実施形態において、図１の認証中継装置２
０の認証用質問情報生成時の動作を示すフローチャート
である。この動作は、図１１の（２）に対応する。図１
３は、第２の実施形態において、図１の認証申込装置１
０の認証用応答情報生成時の動作を示すフローチャート
である。この動作は、図１１の（４）に対応する。図１
４は、第２の実施形態において、図１の認証中継装置２
０の認証用照会情報生成時の動作を示すフローチャート
である。この動作は、図１１の（６）に対応する。図１
５は、第２の実施形態において、図１のユーザ認証装置
３０のユーザ認証照合時の動作を示すフローチャートで
ある。この動作は、図１１の（８）に対応する。以下、
第１の実施形態で述べた構成を援用ししつつ、これら図
１１〜図１５を参照して、第２の実施形態の動作を説明
する。

【００５８】ユーザｉからクレジット会社ｂに直接認証
の申込をする場合は、自分の識別番号ＩＤｉとパスワー
ドｓｉとをクレジット会社に提示する。クレジット会社
ｂは、提示されたＩＤｉから個人別データ記憶部３０４
を検索し、記憶されているパスワードが提示された値と
等しい場合にはユーザを認証し、等しくない場合はユー
ザを認証しない。

【００５９】次に、販売会社ａがユーザｉの認証を行う
場合の手続きについて述べる。以下の処理は、全てリア
ルタイム処理で行うものとする。ネットワークを介した
通信販売システムにおいて、ユーザｉが販売会社ａの商
品を購入するとき、代金支払をクレジットカードにより
済ます場合、ユーザｉは、発注の前にクレジット会社に
よりユーザ認証を受けなければならない。このとき、ユ
ーザｉは、認証申込装置に、ユーザ認証申込を指示す
る。応じて制御部１０１は、通信部１０７を介して販売
会社ａにパソコン通信で、ユーザ認証を受けたい旨を伝
える。

【００６０】販売会社ａでは、乱数発生器２０４を用い
て乱数パラメータｒを発生する（図１２のステップＳ６
０１）。このとき、乱数パラメータｒは、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１の条件を満たす整数である。次に、制御部２０１は、こ
の乱数パラメータｒを用いて認証用質問情報Ｃｈａを、Ｃｈａ＝ｇ^r ｍｏｄｐで計算し、当該乱数パラメータｒをＲＡＭ２０３に格納
する（ステップＳ６０２）。次に、制御部２０１は、通
信部２０６を介してユーザｉにパソコン通信で、認証用
質問情報Ｃｈａを送信する（ステップＳ６０３）。

【００６１】ユーザｉでは、制御部１０１は、通信部１
０７を介して販売会社ａから受信した認証用質問情報Ｃ
ｈａを、ＲＡＭ１０３に格納する（図１３のステップＳ
７０１）。次に、ユーザｉは、自分のクレジット会員の
識別番号ＩＤｉと、パスワードｓｉとを入力する（ステ
ップＳ７０２）。次に、制御部１０１は、乱数発生器１
０６を用いて、乱数パラメータｘを発生する（ステップ
Ｓ７０３）。このとき、乱数パラメータｘは、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１の条件を満たす整数である。ただし、ｇｃｄ（α，β）
は、αとβの最大公約数を示している。次に、制御部１
０１は、ＲＡＭ１０３から認証用質問情報Ｃｈａを取り
出し、乱数パラメータｘを用いて、第１認証用応答情報
Ｒｅｓｐと、第２認証用応答情報Ｃとを、Ｒｅｓｐ＝Ｃｈａ^{x+h(si)} ｍｏｄｐＣ＝ｇ^x ｍｏｄｐで計算する（ステップＳ７０４）。次に、制御部１０１
は、通信部１０７を介して販売会社ａにパソコン通信
で、ユーザｉの識別番号ＩＤｉと、第１および第２認証
用応答情報ＲｅｓｐおよびＣとを送信する（ステップＳ
７０５）。

【００６２】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信した識別番号ＩＤｉ
と、第１および第２認証用応答情報ＲｅｓｐおよびＣと
を、ＲＡＭ２０３に格納する（図１４のステップＳ８０
１）。次に、制御部２０１は、ＲＡＭ２０３に格納され
ている乱数パラメータｒを読み込み、ｒｓｍｏｄｐ−１＝１を満たす整数ｓ（０＜ｓ＜ｐ−１）を計算する（ステッ
プＳ８０２）。このとき、ｇｃｄ（ｒ，ｐ−１）＝１であるから、このようなｓは必ず存在する。そして、制
御部２０１は、ＲＡＭ２０３から第２認証用応答情報Ｃ
を読み込み、Ｃｚｍｏｄｐ＝１を満たす整数ｚ（０＜ｚ＜ｐ）を計算する（ステップＳ
８０３）。このとき、１＜ｇ＜ｐＣ＝ｇ^x ｍｏｄｐであり、ｇｃｄ（Ｃ，ｐ）＝１であるから、このようなｚは必ず存在する。そして、制
御部２０１は、ｗ＝ｚ^r ｍｏｄｐでｗを計算する（ステップＳ８０４）。このとき、ｚ
は、ｚ＝Ｃ^-1 ｍｏｄｐであると考えられるので、ｗは、ｗ＝ｇ^-xr ｍｏｄｐであると考えられる。

【００６３】次に、制御部２０１は、認証用照会情報Ａ
ｕｔを、Ａｕｔ＝（Ｒｅｓｐ×ｗ）^s ｍｏｄｐ＝［ｇ^{r{x+h(si)}-xr}］^s ｍｏｄｐ＝｛ｇ^rh(si)｝^s ｍｏｄｐで計算する（ステップＳ８０５）。このとき、ｒｓｍｏｄｐ−１＝１を満たすので、第１の実施形態のステップＳ３０５で述
べたことと同様の理由で、Ａｕｔ＝ｇ^h(si) ｍｏｄｐとなる。次に制御部２０１は、ＲＡＭ２０３に格納され
ている識別番号ＩＤｉを取り出し、秘密鍵保管部２０５
で保管されている秘密鍵ｋを読み出し、これを鍵とし
て、識別番号ＩＤｉと認証用照会情報Ａｕｔを連結した
ものを、秘密鍵暗号Ｅで、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）のように暗号化する（ステップＳ８０６）。ただし、記
号‖は、情報の連結を表す。そして、制御部２０１は、
通信部２０６を介してクレジット会社ｂにパソコン通信
で、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を送信する（ステップＳ
８０７）。

【００６４】クレジット会社ｂでは、制御部３０１は、
通信部３０６を介して販売会社ａから送信されたＥ
（ｋ，ＩＤｉ‖Ａｕｔ）を受信する（図１５のステップ
Ｓ９０１）。次に、制御部３０１は、秘密鍵保管部３０
５で保管されている秘密鍵ｋを読み出し、これを鍵とし
て、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を、復号アルゴリズムＤ
で、Ｄ｛ｋ，Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）｝＝ＩＤｉ‖Ａｕｔのように復号する（ステップＳ９０２）。

【００６５】次に、制御部３０１は、復号した識別番号
ＩＤｉと組になって記録されている変換秘密情報｛ｇ
^h(si) ｍｏｄｐ｝を、個人別データ記憶部３０４から
検索して読み出す（ステップＳ９０３）。次に、制御部
３０１は、復号した認証用照会情報Ａｕｔと個人別デー
タ記憶部３０４から読み出した変換秘密情報｛ｇ^h(si)
ｍｏｄｐ｝の値とが一致するか否かを照合する（ステ
ップＳ９０４）。次に、制御部３０１は、照合の結果を
通信部３０６を介して販売会社ａに送信する（ステップ
Ｓ９０４）。

【００６６】販売会社ａでは、制御部２０１は、通信部
２０６を介してクレジット会社ｂから送信された照合結
果を受信し、クレジット会社による認証を受けた場合
は、ユーザｉに商品の発注をするよう送信し、認証を受
けれなかった場合は、ユーザｉに認証が不可であったこ
とを送信する。

【００６７】ユーザｉでは、制御部１０１は、販売会社
ａから送信された情報を受信し、商品を発注するよう指
示された場合は、表示器１０５に商品の発注を促す情報
を表示する。その後、ユーザｉは、商品の発注を行う。
認証が不可であると受信した場合は、表示器１０５に、
認証できなかったことを表示する。

【００６８】以上説明したように、第２の実施形態の個
人認証システムにおいては、販売会社ａにユーザｉのパ
スワードｓｉを知られることなく、クレジット会社ｂ
は、ユーザｉが正規のユーザｉであるかどうかを、デー
タベースを参照するだけで確認できる。これは、販売会
社ａが知り得る情報｛ｇ^h(si) ｍｏｄｐ｝からｈ（ｓ
ｉ）を求めることは，ｇの値を知っていてもｐの値が大
きければ（上記第２の実施形態では、５１２ビット程度
の値としている）、極めて難しいことによる。

【００６９】また、ユーザｉのパスワードｓｉが小さい
数字の場合の考察については、第１の実施形態の場合と
同じである。

【００７０】なお、各ユーザの認証申込装置にＩＣカー
ドを付加し、ユーザｉのパスワードをＩＣカードで管理
すると、ｓｉの値は１０進４桁程度の小さい値にしなく
てもよく、関数ｈを使用する必要はなくなる。ただし、
この場合でも関数ｈを使用すれば、さらに安全性が増
す。

【００７１】また、第１の実施形態の時と同様に、ユー
ザｉと販売会社ａの間でやりとりされるパソコン通信の
回線を盗聴するものがあっても、｛ｇ^h(si) ｍｏｄｐ
｝の値を知ることはできない。なぜならば、パソコン
通信の回線を流れる情報は、Ｃｈａ＝ｇ^r ｍｏｄｐＲｅｓｐ＝ｇ^r{x+h(si)} ｍｏｄｐＣ＝ｇ^x ｍｏｄｐであり、Ｒｅｓｐから｛ｇ^h(si) ｍｏｄｐ｝の値を知
るには、乱数パラメータｒ，ｘの値が必要となるからで
ある。これら乱数パラメータｒ，ｘの値をＣｈａ，Ｃか
ら求めるには、「離散対数問題」を解くことになり、現
実的に不可能である。

【００７２】また、販売会社ａとクレジット会社ｂとの
間で、ＩＤｉとＡｕｔとを送るときには、両者で共有し
ている秘密鍵ｋで暗号化しているので、盗聴しても意味
がない。

【００７３】また、第２の実施形態では、送信データの
機密性を上げるために、ユーザｉから販売会社ａに送信
される第１認証用応答情報Ｒｅｓｐに乱数パラメータｘ
を含めるようにしたが、ある程度の機密性さえ確保でき
ればよい場合には、乱数パラメータｘを含まない認証用
応答情報Ｒｅｓｐ’（＝Ｃｈａ^h(si) ）を、ユーザｉか
ら販売会社ａに送信するようにしても良い。この場合、
販売会社ａでは、認証用応答情報から乱数パラメータｘ
を外す必要がないので、ユーザｉは第２認証用応答情報
Ｃを販売会社に送信する必要がない。

【００７４】また、第２の実施形態においては、ｇの値
を個人認証システム共通の値としたが、これらｇの値を
各ユーザ毎に変えることもできる。この場合、ユーザｉ
がｇの値を決めて｛ｇ^h(si) ｍｏｄｐ｝を計算して、
クレジット会社ｂに知らせるようにする。この場合、ｇ
の値自身が秘密なので、より安全性が高まる。同様に、
ハッシュ関数ｈを各ユーザ毎に変えるようにしてもよ
く、この場合も安全性が高まる。

【００７５】このように、第２の実施形態でも、ユーザ
ｉ以外の人間がユーザｉのパスワードｓｉを知ることは
できず、上記実施形態の動作でユーザｉが正規のもので
あるかどうか認証できる。

【００７６】なお、上記第２の実施形態においては、ユ
ーザｉ、販売会社ａ、クレジット会社ｂ間の双方向通信
を、パソコン通信を用いて行っているが、デジタルＣＡ
ＴＶ網、Ｂ−ＩＳＤＮなどの双方向通信が行えるもので
あれば、それらを用いて通信を行っても、上記と同様の
効果が得られる。

【００７７】（３）第３の実施形態本発明の第３の実施形態は、第１の実施形態で述べた個
人認証システムと同じ構成を用いた個人認証システムで
ある。第１の実施形態とは、同じ構成で実現可能である
が、本システムで、ユーザｉが正当なユーザであるかど
うかを認証する時には、ユーザｉと販売会社ａの間に
は、２者しか知らない共有鍵を生成することができ、ユ
ーザｉと販売会社ａは、暗号通信を行うことが可能とな
る。また、システムにおける設定もほとんど同じである
が、ユーザｉには販売会社ａの公開鍵が与えられていて
ＲＯＭ１０２に記憶されている。この販売会社ａの公開
鍵は、電話帳などの公開出版物または公開データベース
に管理されており、誰もが容易に獲得することができ
る。また、販売会社ａは、クレジット会社ｂと共有して
いる秘密鍵ｋとは異なる値である自分しか知らない秘密
鍵ｓ_a を定める。以下、ｋを第１の秘密鍵、ｓ_a を第２
の秘密鍵を呼ぶ。ｋ、ｓ_a はともに、秘密鍵保管部２０
５に保管される。また、システム共通の値である整数値
ｇの値が販売会社ａにも与えられている。以下には、図
１の個人認証システムの構成を援用しつつ、第３の実施
形態について説明する。

【００７８】図１６は、図１に示す第３の実施形態の個
人認証システム全体の動作を示すシーケンスチャートで
ある。図１７は、図１の認証申込装置１０の認証申込時
の動作を示すフローチャートである。この動作は、図１
６の（１）に対応する。図１８は、図１の認証中継装置
２０の認証用質問情報生成時の動作を示すフローチャー
トである。この動作は、図１６の（３）に対応する。図
１９は、図１の認証申込装置１０の認証用応答情報生成
時の動作を示すフローチャートである。この動作は、図
１６の（５）に対応する。図２０は、図１の認証中継装
置２０の認証用照会情報生成時の動作を示すフローチャ
ートである。この動作は、図１６の（７）に対応する。
図２１は、図１のユーザ認証装置３０のユーザ認証照合
時の動作を示すフローチャートである。この動作は、図
１６の（９）に対応する。以下、これら図１６〜図２１
を参照して、上記第３の実施形態の動作を説明する。

【００７９】初めに、販売会社ａは、自分の第２の秘密
鍵ｓ_a を、０＜ｓ_a ＜ｐ−１ｇｃｄ（ｓ_a ，ｐ−１）＝１の条件を満たす整数として選ぶ。このとき、ｕｓ_a ｍｏｄｐ−１＝１０＜ｕ＜ｐ−１の条件を満たす整数ｕを計算する。このとき、ｇｃｄ（ｓ_a ，ｐ−１）＝１であるから、このようなｕは必ず存在する。ここで、販
売会社ａの公開鍵Ｐ_a を、Ｐ_a ＝ｇ^u ｍｏｄｐで計算する。各ユーザは、本システムに加入する販売会
社ａの公開鍵Ｐ_a を、公開データベースなどで獲得す
る。

【００８０】以下の処理は全てリアルタイム処理で行う
ものとする。ネットワークを介した通信販売システムに
おいて、ユーザｉが販売会社ａの商品を購入するとき
に、代金支払をクレジットカードにより済ます場合、販
売会社ａは、ユーザｉが正規のユーザであるかどうか
を、クレジット会社の力を借りて認証する。本実施形態
では、ユーザｉが販売会社ａに知らせる注文内容Ｏｒｄ
を、ユーザｉから販売会社ａに暗号化して送信すること
もできる。

【００８１】ユーザｉは、販売会社ａに発注する注文内
容Ｏｒｄを作成し、制御部１０１はＲＡＭ１０３に注文
内容Ｏｒｄを格納する（図１７のステップＳ１００
１）。そして、ユーザｉは、認証申込装置１０に、ユー
ザ認証申込を指示する（ステップＳ１００２）。これに
対して認証申込装置１０の制御部１０１は、乱数発生器
１０６を用いて乱数パラメータｘを発生する（ステップ
Ｓ１００３）。このとき、乱数パラメータｘは、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１の条件を満たす整数である。次に、制御部１０１は、こ
の乱数パラメータｘを用いて認証申込情報Ａｐｐを、Ａｐｐ＝Ｐ_a ^x ｍｏｄｐ＝ｇ^ux ｍｏｄｐで計算し、乱数パラメータｘをＲＡＭ１０３に格納する
（ステップＳ１００４）。次に、制御部１０１は、通信
部１０７を介して販売会社ａにパソコン通信で、ユーザ
認証を受けたい旨を伝え、認証申込情報Ａｐｐを送信す
る（ステップＳ１００５）。

【００８２】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信したＡｐｐを、ＲＡＭ
２０３に格納する（図１８のステップＳ１１０１）。次
に、制御部２０１は、秘密鍵保管部２０５に保管されて
いる第２の秘密鍵ｓ_a を読み込み、販売会社ａ側の共有
鍵情報Ｃ₀ をＣ₀ ＝Ａｐｐ^sa ｍｏｄｐ＝ｇ^uxsa ｍｏｄｐで計算し（ステップＳ１１０２）、ＲＡＭ２０３に格納
する。このとき、ｕｓ_a ｍｏｄｐ−１＝１を満たすので、第１の実施形態のステップＳ３０５で述
べたのと同様の理由で、Ｃ₀ ＝ｇ^x ｍｏｄｐとなる。次に、制御部２０１は、乱数発生器２０４を用
いて、乱数パラメータｒを発生する（ステップＳ１１０
３）。このとき、乱数パラメータｒは、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１の条件を満たす整数である。次に、制御部２０１は、Ｒ
ＡＭ２０３からＣ₀ を取り出し、この乱数パラメータｒ
を用いて認証用質問情報Ｃｈａを、Ｃｈａ＝Ｃ₀ ^r ｍｏｄｐ＝ｇ^xr ｍｏｄｐで計算し、乱数パラメータｒをＲＡＭ２０３に格納する
（ステップＳ１１０４）。次に、制御部２０１は、通信
部２０６を介してユーザｉにパソコン通信で、認証用質
問情報Ｃｈａを送信する（ステップＳ１１０５）。

【００８３】ユーザｉでは、制御部１０１は、通信部１
０７を介して販売会社ａから受信した認証用質問情報Ｃ
ｈａを、ＲＡＭ１０３に格納する（図１９のステップＳ
１２０１）。次に、ユーザｉは、自分のクレジット会員
の識別番号ＩＤｉと、パスワードｓｉとを入力する（ス
テップＳ１２０２）。次に、制御部１０１は、ＲＡＭ１
０３に格納されている乱数パラメータｘを読み込み、ｘｙｍｏｄｐ−１＝１０＜ｙ＜ｐ−１の条件を満たす整数ｙを計算する（ステップＳ１２０
３）。このとき、ｇｃｄ（ｘ，ｐ−１）＝１であるから、このようなｙは必ず存在する。

【００８４】次に、制御部１０１は、入力されたパスワ
ードｓｉをハッシュ関数ｈに代入し、ハッシュ値ｈ（ｓ
ｉ）を計算する（ステップＳ１２０４）。そして、制御
部１０１は、ＲＡＭ１０３から認証用質問情報Ｃｈａを
取り出し、Ｃｈａに対する認証用応答情報Ｒｅｓｐを、Ｒｅｓｐ＝Ｃｈａ^yh(si) ｍｏｄｐ＝ｇ^xryh(si) ｍｏｄｐで計算する（ステップＳ１２０５）。このとき、ｘｙｍｏｄｐ−１＝１を満たすので、第１の実施形態のステップＳ３０５で述
べたのと同様の理由で、Ｒｅｓｐ＝ｇ^rh(si) ｍｏｄｐとなる。次に、制御部１０１は、ＲＡＭ１０３に格納さ
れている乱数パラメータｘを読み込み、ユーザｉ側の共
有鍵情報Ｃ₁ を、Ｃ₁ ＝ｇ^x ｍｏｄｐで計算する（ステップＳ１２０６）。そして制御部１０
１は、ＲＡＭ１０３から注文内容Ｏｒｄを読み込み、注
文内容Ｏｒｄとユーザｉの識別番号ＩＤｉを、このユー
ザｉ側の共有鍵情報Ｃ₁ を鍵として秘密鍵暗号アルゴリ
ズムＥで、Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）のように暗号化する（ステップＳ１２０７）。そして、
制御部１０１は、通信部１０７を介して販売会社ａにパ
ソコン通信で、Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）と、認証用
応答情報Ｒｅｓｐとを送信する（ステップＳ１２０
８）。

【００８５】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信したＥ（Ｃ₁ ，ＩＤｉ
‖Ｏｒｄ）と認証用応答情報Ｒｅｓｐとを、ＲＡＭ２０
３に格納する（図２０のステップＳ１３０１）。次に、
制御部２０１は、ＲＡＭ２０３に格納されている販売会
社ａ側の共有鍵情報Ｃ₀ を読み込み、これを鍵として、
Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）を、復号アルゴリズムＤ
で、Ｄ｛Ｃ₀ ，Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）｝のように復号する（ステップＳ１３０２）。このとき、
Ｃ₀ ＝Ｃ₁ であるから、Ｄ｛Ｃ₀ ，Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）｝＝ＩＤｉ‖Ｏ
ｒｄである。次に、制御部２０１は、ＲＡＭ２０３に格納さ
れている乱数パラメータｒを読み込み、ｒｓｍｏｄｐ−１＝１０＜ｓ＜ｐ−１の条件を満たす整数ｓを計算する（ステップＳ１３０
３）。このとき、ｇｃｄ（ｒ，ｐ−１）＝１であるから、このようなｓは必ず存在する。

【００８６】次に、制御部２０１は、ＲＡＭ２０３から
認証用応答情報Ｒｅｓｐを取り出し、認証用照会情報Ａ
ｕｔを、Ａｕｔ＝Ｒｅｓｐ^s ｍｏｄｐ＝ｇ^rh(si)s ｍｏｄｐで計算する（ステップＳ１３０４）。このとき、ｒｓｍｏｄｐ−１＝１を満たすので、第１の実施形態のステップＳ３０５で述
べたのと同様の理由で、Ａｕｔ＝ｇ^h(si) ｍｏｄｐとなる。次に、制御部２０１は、ＲＡＭ２０３に格納さ
れているユーザｉの識別番号ＩＤｉを取り出し、秘密鍵
保管部２０５で保管されている秘密鍵ｋを読み出し、こ
れらを鍵として、識別番号ＩＤｉと認証用照会情報Ａｕ
ｔとを連結したものを、秘密鍵暗号アルゴリズムＥで、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）のように暗号化する（ステップＳ１３０５）。ただし、
記号‖は、情報の連結を表す。そして、制御部２０１
は、通信部２０６を介してクレジット会社ｂにパソコン
通信で、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を送信する（ステッ
プＳ１３０６）。

【００８７】クレジット会社ｂでは、制御部３０１は、
通信部３０６を介して販売会社ａから送信されたＥ
（ｋ，ＩＤｉ‖Ａｕｔ）を受信する（図２１のステップ
Ｓ１４０１）。次に、制御部３０１は、秘密鍵保管部３
０５で保管されている秘密鍵ｋを読み出し、これを鍵と
して、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）を、復号アルゴリズム
Ｄで、Ｄ｛ｋ，Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）｝＝ＩＤｉ‖Ａｕｔのように復号する（ステップＳ１４０２）。

【００８８】次に、制御部３０１は、復号した識別番号
ＩＤｉと組になって記録されている変換秘密情報｛ｇ
^h(si) ｍｏｄｐ｝を個人別データ記憶部３０４から検
索して読み出す（ステップＳ１４０３）。次に、制御部
３０１は、復号した認証用照会情報Ａｕｔと、個人別デ
ータ記憶部３０４から読み出した｛ｇ^h(si) ｍｏｄ
ｐ｝の値とが一致するか否かを照合する（ステップＳ１
４０４）。次に、制御部３０１は、照合の結果を通信部
３０６を介して販売会社ａに送信する（ステップＳ１４
０４）。

【００８９】販売会社ａでは、制御部２０１は、通信部
２０６を介してクレジット会社ｂから送信された照合結
果を受信し、クレジット会社による認証を受けた場合
は、ユーザｉが送信した注文内容Ｏｒｄを受け入れ、認
証を受けれなかった場合は、ユーザｉに認証が不可であ
ったことを送信する。

【００９０】ユーザｉでは、制御部１０１は、販売会社
ａから送信された情報を受信し、注文内容が受け入れら
れた場合は、表示器１０５に注文の受注を行なった旨を
表示する。一方、認証が不可であると受信した場合は、
表示器１０５に認証できなかったことを表示する。

【００９１】以上説明したように、第３の実施形態の個
人認証システムにおいては、販売会社ａにユーザｉのパ
スワードｓｉを知られることなく、クレジット会社ｂ
は、ユーザｉが正規のユーザであるかどうかを、データ
ベースを参照するだけで確認できる。これは、販売会社
ａが知り得る情報｛ｇ^h(si) ｍｏｄｐ｝からｈ(ｓｉ)
を求めることは、ｇの値を知っていてもｐの値が大きけ
れば（上記第３の実施形態では、５１２ビット程度の値
としている）、極めて難しいことによる。また、第３の
実施形態では、予め共有鍵を持たないユーザｉと販売会
社ａが、乱数パラメータｘに基づいて共有鍵を生成し、
この共有鍵を用いて注文内容Ｏｒｄや識別番号ＩＤｉ
を、ユーザｉから販売会社ａに暗号化して送信すること
ができる。従って、他人に注文内容Ｏｒｄや識別番号Ｉ
Ｄｉを知られることがない。なお、注文内容Ｏｒｄおよ
び識別番号ＩＤｉのいずれか一方を暗号化して送信する
ようにしても良い。

【００９２】また、ユーザｉのパスワードｓｉが小さい
数字の場合の考察については、第１の実施形態の場合と
同じである。

【００９３】なお、各ユーザの認証申込装置にＩＣカー
ドを付加し、ユーザｉのパスワードをＩＣカードで管理
すると、ｓｉの値は１０進４桁程度の小さい値にしなく
てもよく、関数ｈを使用する必要はなくなる。ただし、
この場合でもハッシュ関数ｈを使用すれば、さらに安全
性が増す。

【００９４】また、第１の実施形態の場合と同様に、ユ
ーザｉと販売会社ａとの間でやりとりされるパソコン通
信の回線を盗聴するものがあっても、｛ｇ^h(si) ｍｏ
ｄｐ｝の値を知ることはできない。なぜならば、パソ
コン通信の回線を流れる情報は、Ａｐｐ＝ｇ^ux ｍｏｄｐＣｈａ＝ｇ^xr ｍｏｄｐＲｅｓｐ＝ｇ^rh(si) ｍｏｄｐであり，Ｒｅｓｐから｛ｇ^h(si) ｍｏｄｐ｝の値を知
るには、乱数パラメータｒの値が必要となるからであ
る。乱数パラメータｒの値をＡｐｐ，Ｃｈａから求める
には、「離散対数問題」を解くことになり、現実的に不
可能である。

【００９５】また、販売会社ａとクレジット会社ｂとの
間で、識別番号ＩＤｉと認証用照会情報Ａｕｔとを送る
ときには、両者で共有している秘密鍵ｋで暗号化してい
るので、盗聴しても意味がない。

【００９６】このように、第３の実施形態では、ユーザ
ｉ以外の人間がユーザｉのパスワードｓｉを知ることは
できず、上記実施形態の動作でユーザｉが正規のもので
あるかどうか認証でき、しかも注文内容Ｏｒｄおよびユ
ーザｉの識別番号ＩＤｉは、暗号化されて送信されるの
で、第３者にはわからない。

【００９７】なお、第３の実施形態においては、ｇの値
を本実施形態の個人認証システム共通の値としたが、ｇ
の値を各ユーザ毎に変えることもできる。この場合、ユ
ーザｉがｇの値を決めて｛ｇ^h(si) ｍｏｄｐ｝を計算
して、クレジット会社ｂに知らせるようにする。この場
合、ｇの値自身が秘密なので、より安全性が高まる。同
様に、ハッシュ関数ｈを各ユーザ毎に変えるようにして
もよく、この場合も安全性が高まる。

【００９８】なお、上記第３の実施形態においては、ユ
ーザｉ、販売会社ａ、クレジット会社ｂ間の双方向通信
を、パソコン通信を用いて行っているが、デジタルＣＡ
ＴＶ網、Ｂ−ＩＳＤＮなどの双方向通信が行えるもので
あれば、それらを用いて通信を行っても、上記と同様の
効果が得られる。

【００９９】上記第３の実施形態は、ユーザｉと販売会
社ａ間で共有鍵を持ちつつ暗号化通信が行えるように、
前述の第１の実施形態を改良したものであるが、同様の
暗号化通信を第２の実施形態に適用することもできる。
このような実施形態を、第４の実施形態として以下に示
す。

【０１００】（４）第４の実施形態本発明の第４の実施形態は、第１の実施形態で述べた個
人認証システムと同じ構成を用いた個人認証システムで
ある。すなわち、第１の実施形態とは、同じ構成で実現
可能であるが、ユーザｉが正当なユーザであるかどうを
認証する時には、第３の実施形態と同様に、ユーザｉと
販売会社ａの間には、２者しか知らない共有鍵を生成す
ることができ、ユーザｉと販売会社ａは、暗号通信を行
うことが可能となる。また、販売会社ａは、クレジット
会社ｂと共有している秘密鍵ｋとは異なる値である自分
しか知らない秘密鍵ｓ_a を定める。以下、ｋを第１の秘
密鍵、ｓ_a を第２の秘密鍵を呼ぶ。ｋ、ｓ_a はともに、
秘密鍵保管部２０５に保管される。また、システム共通
の値である整数値ｇの値が販売会社ａにも与えられてい
る。さらに、ユーザｉには、販売会社ａの公開鍵Ｐ_a が
与えられていてＲＯＭ１０２に記憶されている。前述し
たように、この公開鍵Ｐ_a は、電話帳などの公開出版物
または公開データベースに管理されており、誰もが容易
に獲得することができる。

【０１０１】図２２は、第４の実施形態の個人認証シス
テム全体の動作を示すシーケンスチャートである。以下
には、図１の個人認証システムの構成を援用しつつ、図
２２を参照して第４の実施形態について説明する。初め
に、販売会社ａは、自分の第２の秘密鍵ｓ_a を、０＜ｓ_a ＜ｐ−１ｇｃｄ（ｓ_a ，ｐ−１）＝１の条件を満たす整数として選ぶ。このとき、ｕｓ_a ｍｏｄｐ−１＝１０＜ｕ＜ｐ−１の条件を満たす整数ｕを計算する。このとき、ｇｃｄ（ｓ_a ，ｐ−１）＝１であるから、このようなｕは必ず存在する。ここで、販
売会社ａの公開鍵Ｐ_a を、Ｐ_a ＝ｇ^u ｍｏｄｐで計算する。各ユーザは、本システムに加入する販売会
社ａの公開鍵Ｐ_a を、公開データベースなどで獲得す
る。

【０１０２】ネットワークを介した通信販売システムに
おいて、ユーザｉが販売会社ａの商品を購入するとき、
代金支払をクレジットカードにより済ます場合、ユーザ
ｉは、発注の前にクレジット会社によりユーザ認証を受
けなければならない。本実施形態では、ユーザｉが販売
会社ａに知らせる注文内容Ｏｒｄを、ユーザｉから販売
会社ａに暗号化して送信することもできる。

【０１０３】まず、ユーザｉは、販売会社ａに発注する
注文内容Ｏｒｄを作成し、制御部１０１はＲＡＭ１０３
に注文内容Ｏｒｄを格納する。そして、ユーザｉは、認
証申込装置１０に、ユーザ認証申込を指示する。応じて
制御部１０１は、通信部１０７を介して販売会社ａにパ
ソコン通信で、ユーザ認証を受けたい旨を伝える（図２
２の手順（１））。

【０１０４】販売会社ａでは、乱数発生器２０４を用い
て乱数パラメータｒを発生する。このとき、乱数パラメ
ータｒは、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１の条件を満たす整数である。次に、制御部２０１は、こ
の乱数パラメータｒを用いて認証用質問情報Ｃｈａを、Ｃｈａ＝ｇ^r ｍｏｄｐで計算し、当該乱数パラメータｒをＲＡＭ２０３に格納
する（図２２の手順（２））。次に、制御部２０１は、
通信部２０６を介してユーザｉにパソコン通信で、認証
用質問情報Ｃｈａを送信する（図２２の手順（３））。

【０１０５】ユーザｉでは、制御部１０１は、通信部１
０７を介して販売会社ａから受信した認証用質問情報Ｃ
ｈａを、ＲＡＭ１０３に格納する。次に、ユーザｉは、
入力操作器１０４を用いて、自分のクレジット会員の識
別番号ＩＤｉと、パスワードｓｉとを、制御部１０１に
入力する。応じて、制御部１０１は、乱数発生器１０６
を用いて、乱数パラメータｘを発生する。このとき、乱
数パラメータｘは、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１の条件を満たす整数である。次に、制御部１０１は、Ｒ
ＡＭ１０３から認証用質問情報Ｃｈａを取り出し、乱数
パラメータｘを用いて、第１認証用応答情報Ｒｅｓｐ
と、第２認証用応答情報Ｃと、ユーザｉ側の共有鍵情報
Ｃ₁ とを、Ｒｅｓｐ＝Ｃｈａ^{x+h(si)} ｍｏｄｐＣ＝Ｐ_a ^x ｍｏｄｐ＝ｇ^ux ｍｏｄｐＣ₁ ＝ｇ^x ｍｏｄｐで計算する（図２２の手順（４））。そして、制御部１
０１は、ＲＡＭ１０３から注文内容Ｏｒｄを読み込み、
注文内容Ｏｒｄとユーザｉの識別番号ＩＤｉを、このユ
ーザｉ側の共有鍵情報Ｃ₁ を鍵として秘密鍵暗号アルゴ
リズムＥで、Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）のように暗号化する（図２２の手順（４））。そして、
制御部１０１は、通信部１０７を介して販売会社ａにパ
ソコン通信で、Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）と、認証用
応答情報Ｒｅｓｐと、第２認証用応答情報Ｃとを送信す
る（図２２の手順（５））。

【０１０６】販売会社ａでは、制御部２０１は、通信部
２０６を介してユーザｉから受信したＥ（Ｃ₁ ，ＩＤｉ
‖Ｏｒｄ）と、認証用応答情報Ｒｅｓｐと、第２認証用
応答情報Ｃとを、ＲＡＭ２０３に格納し、以下に示す図
２２の手順（６）の動作を行う。

【０１０７】まず制御部２０１は、秘密鍵保管部２０５
に保管されている第２の秘密鍵ｓ_aを読み込み、販売会
社ａ側の共有鍵情報Ｃ₀ を、Ｃ₀ ＝Ｃ^sa ｍｏｄｐ＝ｇ^x ｍｏｄｐ（＝Ｃ₁ ）で計算し、ＲＡＭ２０３に格納する（図２２の手順
（６））。次に、制御部２０１は、計算によって得た販
売会社ａ側の共有鍵情報Ｃ₀ を鍵として、Ｅ（Ｃ₁ ，Ｉ
Ｄｉ‖Ｏｒｄ）を、復号アルゴリズムＤで、Ｄ｛Ｃ₀ ，Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）｝のように復号する。このとき、Ｃ₀ ＝Ｃ₁ であるから、Ｄ｛Ｃ₀ ，Ｅ（Ｃ₁ ，ＩＤｉ‖Ｏｒｄ）｝＝ＩＤｉ‖Ｏ
ｒｄである。

【０１０８】次に、制御部２０１は、ＲＡＭ２０３に格
納されている乱数パラメータｒを読み込み、ｒｓｍｏｄｐ−１＝１を満たす整数ｓ（０＜ｓ＜ｐ−１）を計算する。このと
き、ｇｃｄ（ｒ，ｐ−１）＝１であるから、このようなｓは必ず存在する。そして、制
御部２０１は、ＲＡＭ２０３から共有鍵Ｃ_Oを読み込
み、Ｃ_Oｚｍｏｄｐ＝１を満たす整数ｚ（０＜ｚ＜ｐ）を計算する。このとき、１＜ｇ＜ｐＣ_O＝ｇ^x ｍｏｄｐであり、ｇｃｄ（Ｃ_O，ｐ）＝１であるから、このようなｚは必ず存在する。そして、ま
た制御部２０１はｗ＝ｚ^r ｍｏｄｐでｗを計算する。このとき、ｚは、ｚ＝Ｃ₀ ^-1 ｍｏｄｐであると考えられるので、ｗは、ｗ＝ｇ^-xr ｍｏｄｐであると考えられる。

【０１０９】次に、制御部２０１は、認証用照会情報Ａ
ｕｔを、Ａｕｔ＝（Ｒｅｓｐ×ｗ）^s ｍｏｄｐ＝［ｇ^{r{x+h(si)}-xr}］^s ｍｏｄｐ＝｛ｇ^rh(si)｝^s ｍｏｄｐで計算する。このとき、ｒｓｍｏｄｐ−１＝１を満たすので、第１の実施形態のステップＳ３０５で述
べたことと同様の理由で、Ａｕｔ＝ｇ^h(si) ｍｏｄｐとなる。

【０１１０】次に制御部２０１は、ＲＡＭ２０３に格納
されている識別番号ＩＤｉを取り出し、秘密鍵保管部２
０５で保管されている秘密鍵ｋを読み出し、これを鍵と
して、識別番号ＩＤｉと認証用照会情報Ａｕｔを連結し
たものを、秘密鍵暗号アルゴリズムＥで、Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）のように暗号化する。そして、制御部２０１は、通信部
２０６を介してクレジット会社ｂにパソコン通信で、Ｅ
（ｋ，ＩＤｉ‖Ａｕｔ）を送信する（図２２の手順
（７））。

【０１１１】クレジット会社ｂでは、制御部３０１は、
通信部３０６を介して販売会社ａから送信されたＥ
（ｋ，ＩＤｉ‖Ａｕｔ）を受信すると、秘密鍵保管部３
０５で保管されている秘密鍵ｋを読み出し、これを鍵と
して復号アルゴリズムＤで、Ｄ｛ｋ，Ｅ（ｋ，ＩＤｉ‖Ａｕｔ）｝＝ＩＤｉ‖Ａｕｔのように復号する（図２２の手順（８））。

【０１１２】次に、制御部３０１は、復号した識別番号
ＩＤｉと組になって記録されている変換秘密情報｛ｇ
^h(si) ｍｏｄｐ｝を、個人別データ記憶部３０４から
検索して読み出す。次に、制御部３０１は、復号した認
証用照会情報Ａｕｔと個人別データ記憶部３０４から読
み出した変換秘密情報｛ｇ^h(si) ｍｏｄｐ｝の値とが
一致するか否かを照合する。次に、制御部３０１は、照
合の結果を通信部３０６を介して販売会社ａに送信する
（図２２の手順（９））。

【０１１３】販売会社ａでは、制御部２０１は、通信部
２０６を介してクレジット会社ｂから送信された照合結
果を受信し、クレジット会社による認証を受けた場合
は、ユーザｉが送信した注文内容Ｏｒｄを受け入れ、認
証を受けれなかった場合は、ユーザｉに認証が不可であ
ったことを送信する（図２２の（１０））。

【０１１４】ユーザｉでは、制御部１０１は、販売会社
ａから送信された情報を受信し、注文内容が受け入れら
れた場合は、表示器１０５に注文の受注を行なった旨を
表示する。一方、認証が不可であると受信した場合は、
表示器１０５に認証できなかったことを表示する。

【０１１５】以上説明した第４の実施形態は、前述の第
２の実施形態と同様に、販売会社ａにユーザｉのパスワ
ードｓｉを知られることなく、クレジット会社ｂは、ユ
ーザｉが正規のユーザであるかどうかを、データベース
を参照するだけで確認できる。また、第４の実施形態で
は、予め共有鍵を持たないユーザｉと販売会社ａが、乱
数パラメータｘに基づいて共有鍵を生成し、この共有鍵
を用いて注文内容Ｏｒｄや識別番号ＩＤｉを、ユーザｉ
から販売会社ａに暗号化して送信することができる。従
って、他人に注文内容Ｏｒｄや識別番号ＩＤｉを知られ
ることがない。なお、注文内容Ｏｒｄおよび識別番号Ｉ
Ｄｉのいずれか一方を暗号化して送信するようにしても
良い。

【０１１６】また、ユーザｉのパスワードｓｉが小さい
数字の場合の考察については、第１の実施形態の場合と
同じである。

【０１１７】なお、各ユーザの認証申込装置にＩＣカー
ドを付加し、ユーザｉのパスワードをＩＣカードで管理
すると、ｓｉの値は１０進４桁程度の小さい値にしなく
てもよく、関数ｈを使用する必要はなくなる。ただし、
この場合でもハッシュ関数ｈを使用すれば、さらに安全
性が増す。

【０１１８】また、第１の実施形態の場合と同様に、ユ
ーザｉと販売会社ａとの間でやりとりされるパソコン通
信の回線を盗聴するものがあっても、｛ｇ^h(si) ｍｏ
ｄｐ｝の値を知ることはできない。なぜならば、パソ
コン通信の回線を流れる情報は、Ｃｈａ＝ｇ^r ｍｏｄｐＲｅｓｐ＝ｇ^r{x+h(si)} ｍｏｄｐＣ＝ｇ^ux ｍｏｄｐであり、Ｒｅｓｐから｛ｇ^h(si) ｍｏｄｐ｝の値を知
るには、乱数パラメータｒ，ｘの値が必要となるからで
ある。これら乱数パラメータｒ，ｘの値をＣｈａ，Ｃか
ら求めるには、「離散対数問題」を解くことになり、現
実的に不可能である。

【０１１９】また、販売会社ａとクレジット会社ｂとの
間で、識別番号ＩＤｉと認証用照会情報Ａｕｔとを送る
ときには、両者で共有している秘密鍵ｋで暗号化してい
るので、盗聴しても意味がない。

【０１２０】このように、第４の実施形態では、ユーザ
ｉ以外の人間がユーザｉのパスワードｓｉを知ることは
できず、上記実施形態の動作でユーザｉが正規のもので
あるかどうか認証でき、しかも注文内容Ｏｒｄおよびユ
ーザｉの識別番号ＩＤｉは、暗号化されて送信されるの
で、第３者にはわからない。

【０１２１】なお、第４の実施形態においては、ｇの値
を本実施形態の個人認証システム共通の値としたが、ｇ
の値を各ユーザ毎に変えることもできる。この場合、ユ
ーザｉがｇの値を決めて｛ｇ^h(si) ｍｏｄｐ｝を計算
して、クレジット会社ｂに知らせるようにする。この場
合、ｇの値自身が秘密なので、より安全性が高まる。同
様に、ハッシュ関数ｈを各ユーザ毎に変えるようにして
もよく、この場合も安全性が高まる。

【０１２２】なお、上記第４の実施形態においては、ユ
ーザｉ、販売会社ａ、クレジット会社ｂ間の双方向通信
を、パソコン通信を用いて行っているが、デジタルＣＡ
ＴＶ網、Ｂ−ＩＳＤＮなどの双方向通信が行えるもので
あれば、それらを用いて通信を行っても、上記と同様の
効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る個人認証システ
ムの構成を示すブロック図である

【図２】図１に示すユーザｉに設けられた認証申込装置
１０の構成の一例を示すブロック図である。

【図３】図１に示す販売会社ａに設けられた認証中継装
置２０の構成の一例を示すブロック図である。

【図４】図１に示すクレジット会社ｂに設けられたユー
ザ認証装置３０の構成の一例を示すブロック図である。

【図５】第１の実施形態の個人認証システム全体の動作
を示すシーケンスチャートである。

【図６】第１の実施形態の認証申込装置１０の認証申込
時の動作を示すフローチャートである。

【図７】第１の実施形態の認証中継装置２０の認証用質
問情報生成時の動作を示すフローチャートである。

【図８】第１の実施形態の認証申込装置１０の認証用応
答情報生成時の動作を示すフローチャートである。

【図９】は、第１の実施形態の認証中継装置２０の認証
用照会情報生成時の動作を示すフローチャートである。

【図１０】第１の実施形態のユーザ認証装置３０のユー
ザ認証照合時の動作を示すフローチャートである。

【図１１】第２の実施形態の個人認証システム全体の動
作を示すシーケンスチャートである。

【図１２】第２の実施形態の認証中継装置２０の認証用
質問情報生成時の動作を示すフローチャートである。

【図１３】第２の実施形態の認証申込装置１０の認証用
応答情報生成時の動作を示すフローチャートである。

【図１４】第２の実施形態の認証中継装置２０の認証用
照会情報生成時の動作を示すフローチャートである。

【図１５】第２の実施形態のユーザ認証装置３０のユー
ザ認証照合時の動作を示すフローチャートである。

【図１６】第３の実施形態の個人認証システム全体の動
作を示すシーケンスチャートである。

【図１７】第３の実施形態の認証申込装置１０の認証申
込時の動作を示すフローチャートである。

【図１８】第３の実施形態の認証中継装置２０の認証用
質問情報生成時の動作を示すフローチャートである。

【図１９】第３の実施形態の認証申込装置１０の認証用
応答情報生成時の動作を示すフローチャートである。

【図２０】は、第３の実施形態の認証中継装置２０の認
証用照会情報生成時の動作を示すフローチャートであ
る。

【図２１】第３の実施形態のユーザ認証装置３０のユー
ザ認証照合時の動作を示すフローチャートである。

【図２２】第４の実施形態の個人認証システム全体の動
作を示すシーケンスチャートである。

【図２３】第２の従来例の全体の動作を示すシーケンス
チャートである。

【図２４】第４の従来例の全体の動作を示すシーケンス
チャートである。

【図２５】第５の従来例の全体の動作を示すシーケンス
チャートである。

【符号の説明】

ｉ…ユーザ１０…認証申込装置ａ…販売会社２０…認証中継装置ｂ…クレジット会社３０…ユーザ認証装置１０１，２０１，３０１…制御部１０２，２０２，３０２…ＲＯＭ１０３，２０３，３０３…ＲＡＭ１０４…入力操作器１０５…表示器１０６，２０４…乱数発生器１０７，２０６，３０６…通信部２０５，３０５…秘密鍵保管部３０４…個人別データ記憶部

───────────────────────────────────────────────────── フロントページの続き (56)参考文献特開平９−50465（ＪＰ，Ａ) 特開平８−111679（ＪＰ，Ａ) 特開平７−302288（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/32 G09C 1/00 640 H04L 9/08 G06F 15/00 330

Claims

(57)【特許請求の範囲】

【請求項１】被認証局から送られてくる被認証者に関
する情報を、第１および第２の認証局が協働して認証す
る方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記被認証局は、前記被認証者が認証を希望するとき、
第１の可変パラメータを発生し、当該第１の可変パラメ
ータに対して第２の一方向性変換を施すことにより、当
該第１の可変パラメータに依存した認証申込情報を生成
して前記第２の認証局に送信し、前記第２の認証局は、前記認証申込情報を受信したと
き、第２の可変パラメータを発生し、当該第２の可変パ
ラメータおよび受信した認証申込情報に対して第３の一
方向性変換を施すことにより、第１および第２の可変パ
ラメータに依存した認証用質問情報を生成して前記被認
証局に送信し、前記被認証局は、受信した前記認証用質問情報，前記第
１の可変パラメータおよび認証を受けるべき被認証者に
固有の秘密情報に対して第４の一方向性変換を施すこと
により、第１の可変パラメータに依存しない認証用応答
情報を生成し、当該被認証者の識別情報と共に、前記第
２の認証局に送信し、前記第２の認証局は、受信した前記認証用応答情報およ
び前記第２の可変パラメータに対して第５の一方向性変
換を施すことにより、第２の可変パラメータに依存しな
い認証用照会情報を生成し、受信した前記被認証者の識
別情報と共に、前記第１の認証局に送信し、前記第１の認証局は、受信した前記識別情報に対応する
前記変換秘密情報を前記データベースから検索し、検索
された変換秘密情報が受信した前記認証用照会情報と一
致するかどうか調べ、一致した場合には前記被認証者を
正規の被認証者であることを、一致しない場合には前記
被認証者を正規の被認証者とは認証しないことを表す認
否情報を、第２の認証局に送信し、前記第２の認証局は、受信した認否情報によって前記被
認証者を認証することを特徴とする、個人認証方法。
【請求項２】前記第１および第２の可変パラメータ
は、乱数パラメータである、請求項１に記載の個人認証
方法。
【請求項３】前記被認証者の識別情報に対応する秘密
情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式１
＜ｇ＜ｐを満たす整数値とするとき、前記変換秘密情報は、ｇ^siを素数ｐで除算したときの剰
余値であることを特徴とする、請求項１または２に記載
の個人認証方法。
【請求項４】前記被認証者の識別情報に対応する秘密
情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式１
＜ｇ＜ｐを満たす整数値とし、ｈをハッシュ関数とする
とき、前記変換秘密情報は、ｇ^h(si) を素数ｐで除算したとき
の剰余値であることを特徴とする、請求項１または２に
記載の個人認証方法。
【請求項５】前記第１の可変パラメータｘを、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１を満たす整数値とし（ただし、ｇｃｄ（α，β）はαと
βとの最大公約数を示す）、前記第２の可変パラメータｒを、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１を満たす整数値とし、ｙを、ｘｙｍｏｄｐ−１＝１を満たす整数値（０＜ｙ＜ｐ−１）とし（ただし、α
ｍｏｄ βはαをβで除算したときの剰余値を示すもの
とする）、ｓを、ｒｓｍｏｄｐ−１＝１を満たす整数値（０＜ｓ＜ｐ−１）とするとき、前記認証申込情報Ａｐｐ、前記認証用質問情報Ｃｈａ、
前記認証用応答情報Ｒｅｓｐ、前記認証用照会情報Ａｕ
ｔは、それぞれＡｐｐ＝ｇ^x ｍｏｄｐＣｈａ＝Ａｐｐ^r ｍｏｄｐ＝ｇ^xrｍｏｄｐＲｅｓｐ＝Ｃｈａ^yh(si) ｍｏｄｐ＝ｇ^rh(si) ｍｏｄ
ｐＡｕｔ＝Ｒｅｓｐ^s ｍｏｄｐ＝ｇ^h(si)＝ｇ^h(si)
ｍｏｄｐで求められることを特徴とする、請求項４に記載の個人
認証方法。
【請求項６】前記整数値ｇは、各被認証者毎に変更さ
れる、請求項３〜５のいずれかに記載の個人認証方法。
【請求項７】前記ハッシュ関数ｈは、各被認証者毎に
変更される、請求項４または５に記載の個人認証方法。
【請求項８】被認証局から送られてくる被認証者に関
する情報を、第１および第２の認証局が協働して認証す
る方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記第２の認証局は、前記被認証局から認証申込があっ
たとき、第１の可変パラメータを発生し、当該第１の可
変パラメータに対して第２の一方向性変換を施すことに
より、当該第１の可変パラメータに依存する認証用質問
情報を生成して被認証局に送信し、前記被認証局は、前記認証用質問情報を受信したとき、
第２の可変パラメータを発生し、当該第２の可変パラメ
ータ，前記認証用質問情報および認証を受けるべき被認
証者に固有の秘密情報に対して第３の一方向性変換を施
すことにより、秘密情報，第１および第２の可変パラメ
ータに依存する第１の認証用応答情報と、第２の可変パ
ラメータに依存する第２の認証用応答情報とを生成し、
当該被認証者の識別情報と共に、第２の認証局に送信
し、前記第２の認証局は、前記第１の可変パラメータと受信
した前記第１および第２の認証用応答情報とに対して第
４の一方向性変換を施すことにより、第１および第２の
可変パラメータに依存しない認証用照会情報を生成し、
受信した被認証者の識別情報と共に、前記第１の認証局
に送信し、前記第１の認証局は、受信した被認証者の識別情報に対
応する前記変換秘密情報を前記データベースから検索
し、検索された変換秘密情報が受信した前記認証用照会
情報と一致するか否かを調べ、一致した場合には前記被
認証者が正規の被認証者であることを、一致しない場合
には正規の被認証でないことを表す認否情報を、第２の
認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項９】前記第１および第２の可変パラメータ
は、乱数パラメータである、請求項８に記載の個人認証
方法。
【請求項１０】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とするとき、前記変換秘密情
報は、ｇ^siを素数ｐで除算したときの剰余値であること
を特徴する、請求項８または９に記載の個人認証方法。
【請求項１１】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とし、ｈをハッシュ関数とす
るとき、前記変換秘密情報は、ｇ^h(si) を素数ｐで除算したとき
の剰余値であることを特徴とする、請求項８または９に
記載の個人認証方法。
【請求項１２】前記第１の可変パラメータｒを、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１を満たす整数値とし（ただし、ｇｃｄ（α，β）はαと
βとの最大公約数を示す）、前記第２の可変パラメータｘを、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１を満たす整数値とし、前記第２の認証用応答情報Ｃを、Ｃ＝ｇ^x ｍｏｄｐで求められる値とし（ただし、α ｍｏｄ βはαをβで
除算したときの剰余値を示すものとする）、ｚを、Ｃｚｍｏｄｐ＝１を満たす整数値（０＜ｚ＜ｐ）とし、ｗを、ｗ＝ｚ^r ｍｏｄｐ＝ｇ^-xr ｍｏｄｐで求められる値とし、ｓを、ｒｓｍｏｄｐ−１＝１を満たす整数値（０＜ｓ＜ｐ−１）とするとき、前記認証用質問情報Ｃｈａ、前記第１の認証用応答情報
Ｒｅｓｐ、前記認証用照会情報Ａｕｔは、それぞれＣｈａ＝ｇ^r ｍｏｄｐＲｅｓｐ＝Ｃｈａ^x+h(si) ｍｏｄｐ＝ｇ^r{x+h(si)}
ｍｏｄｐＡｕｔ＝（Ｒｅｓｐ×ｗ）^s ｍｏｄｐ＝ｇ^h(si)
ｍｏｄｐで求められることを特徴とする、請求項１１に記載の個
人認証方法。
【請求項１３】前記整数値ｇは、各被認証者毎に変更
される、請求項１０〜１２のいずれかに記載の個人認証
方法。
【請求項１４】前記ハッシュ関数ｈは、各被認証者毎
に変更される、請求項１１または１２に記載の個人認証
方法。
【請求項１５】被認証局から送られてくる被認証者に
関する情報を、第１および第２の認証局が協働して認証
する方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記第２の認証局は、前記被認証局から認証申込があっ
たとき、可変パラメータを発生し、当該可変パラメータ
に対して第２の一方向性変換を施すことにより、当該可
変パラメータに依存した認証用質問情報を生成して被認
証局に送信し、前記被認証局は、受信した前記認証用質問情報および認
証を受けるべき被認証者に固有の秘密情報に対して第３
の一方向性変換を施すことにより、認証用応答情報を生
成し、当該被認証者の識別情報と共に、第２の認証局に
送信し、前記第２の認証局は、前記可変パラメータおよび受信し
た前記認証用応答情報に対して第４の一方向性変換を施
すことにより、可変パラメータに依存しない認証用照会
情報を生成し、受信した被認証者の識別情報と共に、前
記第１の認証局に送信し、前記第１の認証局は、受信した被認証者の識別情報に対
応する前記変換秘密情報を前記データベースから検索
し、検索された変換秘密情報が受信した前記認証用照会
情報と一致するか否かを調べ、一致した場合には前記被
認証者が正規の被認証者であることを、一致しない場合
には正規の被認証でないことを表す認否情報を、第２の
認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項１６】前記可変パラメータは、乱数パラメー
タである、請求項１５に記載の個人認証方法。
【請求項１７】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とするとき、前記変換秘密情
報は、ｇ^siを素数ｐで除算したときの剰余値であること
を特徴とする、請求項１５または１６に記載の個人認証
方法。
【請求項１８】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とし、ｈをハッシュ関数とす
るとき、前記変換秘密情報は、ｇ^h(si) を素数ｐで除算したとき
の剰余値であることを特徴とする、請求項１５または１
６に記載の個人認証方法。
【請求項１９】前記整数値ｇは、各被認証者毎に変更
される、請求項１７または１８に記載の個人認証方法。
【請求項２０】前記ハッシュ関数ｈは、各被認証者毎
に変更される、請求項１８または１９に記載の個人認証
方法。
【請求項２１】被認証局から送られてくる被認証者に
関する情報を、第１および第２の認証局が協働して認証
する方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記被認証局は、前記被認証者が認証を希望するとき、
第１の可変パラメータを発生し、当該第１の可変パラメ
ータと第２の認証局についての公開情報に対して第２の
一方向性変換を施すことにより、当該第１の可変パラメ
ータおよび当該公開情報に依存する認証申込情報を生成
して前記第２の認証局に送信し、前記第２の認証局は、前記認証申込情報を受信したと
き、当該認証申込情報と自局に固有の秘密情報に対して
第３の一方向性変換を施すことにより、前記公開情報に
依存しない第１の共有鍵情報を生成し、第２の可変パラ
メータを発生して、当該第２の可変パラメータおよび第
１の共有鍵情報に対して第４の一方向性変換を施すこと
により、第１および第２の可変パラメータに依存する認
証用質問情報を生成して前記被認証局に送信し、前記被認証局は、受信した前記認証用質問情報，前記第
１の可変パラメータおよび認証を受けるべき被認証者に
固有の秘密情報に対して第５の一方向性変換を施すこと
により、第１の可変パラメータに依存しない認証用応答
情報を生成し、前記第１の可変パラメータに対して第６
の一方向性変換を施すことにより第２の共有鍵情報を生
成し、当該被認証者の識別情報を第２の共有鍵情報で暗
号化して、前記認証用応答情報と共に、前記第２の認証
局に送信し、前記第２の認証局は、受信した前記第２の共有鍵情報で
暗号化された被認証者の識別情報を前記第１の共有鍵情
報で復号し、受信した前記認証用応答情報および前記第
２の可変パラメータに対して第７の一方向性変換を施す
ことにより、第２の可変パラメータに依存しない認証用
照会情報を生成し、当該認証用照会情報を復号した前記
被認証者の識別情報と共に、前記第１の認証局に送信
し、前記第１の認証局は、受信した識別情報に対応する前記
変換秘密情報を前記データベースから検索し、検索され
た変換秘密情報が受信した認証用照会情報と一致するか
どうか調べ、一致した場合には前記被認証者を正規の被
認証者であることを、一致しない場合には前記被認証者
を正規の被認証者とは認証しないことを表す認否情報
を、第２の認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項２２】前記第１および第２の可変パラメータ
は、乱数パラメータである、請求項２１に記載の個人認
証方法。
【請求項２３】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とするとき、前記変換秘密情
報は、ｇ^siを素数ｐで除算したときの剰余値であること
を特徴とする、請求項２１または２２に記載の個人認証
方法。
【請求項２４】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とし、ｈをハッシュ関数とす
るとき、前記変換秘密情報は、ｇ^h(si) を素数ｐで除算したとき
の剰余値であることを特徴する、請求項２１または２２
に記載の個人認証方法。
【請求項２５】前記第１の可変パラメータｘを、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１を満たす整数値とし（ただし、ｇｃｄ（α，β）はαと
βとの最大公約数を示す）、前記第２の可変パラメータｒを、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１を満たす整数値とし、ｙを、ｘｙｍｏｄｐ−１＝１を満たす整数値（０＜ｙ＜ｐ−１）とし（ただし、α
ｍｏｄ βはαをβで除算したときの剰余値を示すもの
とする）、ｓを、ｒｓｍｏｄｐ−１＝１を満たす整数値（０＜ｓ＜ｐ−１）とし、前記第２の認証局に固有の秘密情報ｓ_a を、０＜ｓ_a ＜ｐ−１ｇｃｄ（ｓ_a ，ｐ−１）＝１を満たす整数とし、ｕを、ｕｓ_a ｍｏｄｐ−１＝１を満たす整数値（０＜ｕ＜ｐ−１）とし、前記第２の認証局についての公開情報Ｐ_a を、Ｐ_a ＝ｇ^u ｍｏｄｐで表される値とするとき、前記認証申込情報Ａｐｐ、前記第１の共有鍵情報Ｃ₀ 、
前記認証用質問情報Ｃｈａ、前記認証用応答情報Ｒｅｓ
ｐ、前記第２の共有鍵情報Ｃ₁ 、前記認証用照会情報Ａ
ｕｔは、それぞれＡｐｐ＝Ｐ_a ^x ｍｏｄｐ＝ｇ^ux ｍｏｄｐＣ₀ ＝Ａｐｐ^sa ｍｏｄｐ＝ｇ^x ｍｏｄｐＣｈａ＝Ｃ₀ ^r ｍｏｄｐ＝ｇ^xr ｍｏｄｐＲｅｓｐ＝Ｃｈａ^yh(si) ｍｏｄｐ＝ｇ^rh(si) ｍｏｄ
ｐＣ₁ ＝ｇ^x ｍｏｄｐＡｕｔ＝Ｒｅｓｐ^s ｍｏｄｐ＝ｇ^h(si) ｍｏｄｐで求められることを特徴とする、請求項２４に記載の個
人認証方法。
【請求項２６】前記整数値ｇは、各被認証者毎に変更
される、請求項２３〜２５のいずれかに記載の個人認証
方法。
【請求項２７】前記ハッシュ関数ｈは、各被認証者毎
に変更される、請求項２４または２５に記載の個人認証
方法。
【請求項２８】前記被認証局は、前記被認証者の識別
情報に加えて所定の情報を第２の共有鍵情報で暗号化し
て、前記認証用応答情報と共に、前記第２の認証局に送
信することを特徴とする、請求項２１に記載の個人認証
方法。
【請求項２９】前記所定の情報は、商品の発注情報で
ある、請求項２８に記載の個人認証方法。
【請求項３０】被認証局から送られてくる被認証者に
関する情報を、第１および第２の認証局が協働して認証
する方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記被認証局は、前記被認証者が認証を希望するとき、
第１の可変パラメータを発生し、当該第１の可変パラメ
ータと第２の認証局についての公開情報に対して第２の
一方向性変換を施すことにより、当該第１の可変パラメ
ータおよび当該公開情報に依存する認証申込情報を生成
して前記第２の認証局に送信し、前記第２の認証局は、前記認証申込情報を受信したと
き、当該認証申込情報と自局に固有の秘密情報に対して
第３の一方向性変換を施すことにより、前記公開情報に
依存しない第１の共有鍵情報を生成し、第２の可変パラ
メータを発生して、当該第２の可変パラメータおよび第
１の共有鍵情報に対して第４の一方向性変換を施すこと
により、第１および第２の可変パラメータに依存する認
証用質問情報を生成して前記被認証局に送信し、前記被認証局は、受信した前記認証用質問情報，前記第
１の可変パラメータおよび認証を受けるべき被認証者に
固有の秘密情報に対して第５の一方向性変換を施すこと
により、第１の可変パラメータに依存しない認証用応答
情報を生成し、前記第１の可変パラメータに対して第６
の一方向性変換を施すことにより第２の共有鍵情報を生
成し、所定の情報を第２の共有鍵情報で暗号化して、前
記認証用応答情報および被認証者の識別情報と共に、前
記第２の認証局に送信し、前記第２の認証局は、受信した前記第２の共有鍵情報で
暗号化された所定の情報を前記第１の共有鍵情報で復号
し、受信した前記認証用応答情報および前記第２の可変
パラメータに対して第７の一方向性変換を施すことによ
り、第２の可変パラメータに依存しない認証用照会情報
を生成し、当該認証用照会情報を受信した前記被認証者
の識別情報と共に、前記第１の認証局に送信し、前記第１の認証局は、受信した識別情報に対応する前記
変換秘密情報を前記データベースから検索し、検索され
た変換秘密情報が受信した認証用照会情報と一致するか
どうか調べ、一致した場合には前記被認証者を正規の被
認証者であることを、一致しない場合には前記被認証者
を正規の被認証者とは認証しないことを表す認否情報
を、第２の認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項３１】前記被認証局は、前記所定の情報とし
て商品の発注情報を前記第２の共有鍵情報で暗号化し
て、前記認証用応答情報および前記被認証者の識別情報
と共に、前記第２の認証局に送信することを特徴とす
る、請求項３０に記載の個人認証方法。
【請求項３２】被認証局から送られてくる被認証者に
関する情報を、第１および第２の認証局が協働して認証
する方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記第２の認証局は、前記被認証局から認証申込があっ
たとき、第１の可変パラメータを発生し、当該第１の可
変パラメータに対して第２の一方向性変換を施すことに
より、当該第１の可変パラメータに依存する認証用質問
情報を生成して被認証局に送信し、前記被認証局は、前記認証用質問情報を受信したとき、
第２の可変パラメータを発生し、当該第２の可変パラメ
ータ，前記認証用質問情報および認証を受けるべき被認
証者に固有の秘密情報に対して第３の一方向性変換を施
すことにより、秘密情報，第１および第２の可変パラメ
ータに依存する第１の認証用応答情報を生成し、当該第
２の可変パラメータと第２の認証局についての公開情報
に対して第４の一方向性変換を施すことにより、当該第
２の可変パラメータおよび当該公開情報に依存する第２
の認証用応答情報を生成し、当該第２の可変パラメータ
に対して第５の一方向性変換を施すことにより第１の共
有鍵情報を生成し、被認証者の識別情報を前記第１の共
有鍵情報で暗号化して、前記第１および第２の認証用応
答情報と共に、前記第２の認証局に送信し、前記第２の認証局は、受信した第２の認証用応答情報と
自局に固有の秘密情報に対して第６の一方向性変換を施
すことにより、前記公開情報に依存しない第２の共有鍵
情報を生成し、受信した前記第１の共有鍵情報で暗号化
された被認証者の識別情報を当該第２の共有鍵情報で復
号し、当該第２の共有鍵情報と前記第１の可変パラメー
タと受信した前記第１認証用応答情報とに対して第７の
一方向性変換を施すことにより、第１および第２の可変
パラメータに依存しない認証用照会情報を生成し、当該
認証用照会情報を復号した被認証者の識別情報と共に、
前記第１の認証局に送信し、前記第１の認証局は、受信した被認証者の識別情報に対
応する前記変換秘密情報を前記データベースから検索
し、検索された変換秘密情報が受信した前記認証用照会
情報と一致するか否かを調べ、一致した場合には前記被
認証者が正規の被認証者であることを、一致しない場合
には正規の被認証でないことを表す認否情報を、第２の
認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項３３】前記第１および第２の可変パラメータ
は、乱数パラメータである、請求項３２に記載の個人認
証方法。
【請求項３４】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とするとき、前記変換秘密情報は、ｇ^siを素数ｐで除算したときの剰
余値であることを特徴する、請求項３２または３３に記
載の個人認証方法。
【請求項３５】前記被認証者の識別情報に対応する秘
密情報を正の整数ｓｉとし、ｐを素数とし、ｇを不等式
１＜ｇ＜ｐを満たす整数値とし、ｈをハッシュ関数とす
るとき、前記変換秘密情報は、ｇ^h(si) を素数ｐで除算したとき
の剰余値であることを特徴とする、請求項３２または３
３に記載の個人認証方法。
【請求項３６】前記第１の可変パラメータｒを、０＜ｒ＜ｐ−１ｇｃｄ（ｒ，ｐ−１）＝１を満たす整数値とし（ただし、ｇｃｄ（α，β）はαと
βとの最大公約数を示す）、前記第２の可変パラメータｘを、０＜ｘ＜ｐ−１ｇｃｄ（ｘ，ｐ−１）＝１を満たす整数値とし、前記第２の認証局に固有の秘密情報ｓ_a を、０＜ｓ_a ＜ｐ−１ｇｃｄ（ｓ_a ，ｐ−１）＝１を満たす整数値とし、ｕを、ｕｓ_a ｍｏｄｐ−１＝１を満たす整数値（０＜ｕ＜ｐ−１）とし、前記第２の認証局についての公開情報Ｐ_a を、Ｐ_a ＝ｇ^u ｍｏｄｐで表される値とし（ただし、α ｍｏｄ βはαをβで除
算したときの剰余値を示すものとする）、前記第２の認証用応答情報Ｃを、Ｃ＝Ｐａ^x ｍｏｄｐ＝ｇ^ux ｍｏｄｐで計算される値とし、前記第１の共有鍵情報Ｃ₁ を、Ｃ₁ ＝ｇ^x ｍｏｄｐで計算される値とし、前記第２の共有鍵情報Ｃ₀ を、Ｃ₀ ＝Ｃ^sa ｍｏｄｐ＝ｇ^x ｍｏｄｐで計算される値とし、ｚを、ｚ＝Ｃ₀ ^-1 ｍｏｄｐで計算される値とし、ｗを、ｗ＝ｚ^r ｍｏｄｐ＝ｇ^-xr ｍｏｄｐで計算される値とし、ｓを、ｒｓｍｏｄｐ−１＝１を満たす整数値（０＜ｓ＜ｐ−１）としたとき、前記認証用質問情報Ｃｈａ、前記第１の認証用応答情報
Ｒｅｓｐ、前記認証用照会情報Ａｕｔは、それぞれＣｈａ＝ｇ^r ｍｏｄｐＲｅｓｐ＝Ｃｈａ^x+h(si) ｍｏｄｐ＝ｇ^r{x+h(si)}
ｍｏｄｐＡｕｔ＝（Ｒｅｓｐ×ｗ）^s ｍｏｄｐ＝ｇ^h(si) ｍ
ｏｄｐで求められることを特徴とする、請求項３５に記載の個
人認証方法。
【請求項３７】前記整数値ｇは、各被認証者毎に変更
される、請求項３４〜３６のいずれかに記載の個人認証
方法。
【請求項３８】前記ハッシュ関数ｈは、各被認証者毎
に変更される、請求項３５または３６に記載の個人認証
方法。
【請求項３９】前記被認証局は、前記被認証者の識別
情報に加えて所定の情報を第１の共有鍵情報で暗号化し
て、前記認証用応答情報と共に、前記第２の認証局に送
信することを特徴とする、請求項３２に記載の個人認証
方法。
【請求項４０】前記所定の情報は、商品の発注情報で
ある、請求項３９に記載の個人認証方法。
【請求項４１】被認証局から送られてくる被認証者に
関する情報を、第１および第２の認証局が協働して認証
する方法であって、前記第１の認証局は、前記被認証者の識別情報と、当該
識別情報に対応する秘密情報に対して第１の一方向性変
換を行った結果である変換秘密情報との組を予めデータ
ベースに記憶しており、前記第２の認証局は、前記被認証局から認証申込があっ
たとき、第１の可変パラメータを発生し、当該第１の可
変パラメータに対して第２の一方向性変換を施すことに
より、当該第１の可変パラメータに依存する認証用質問
情報を生成して被認証局に送信し、前記被認証局は、前記認証用質問情報を受信したとき、
第２の可変パラメータを発生し、当該第２の可変パラメ
ータ，前記認証用質問情報および認証を受けるべき被認
証者に固有の秘密情報に対して第３の一方向性変換を施
すことにより、秘密情報，第１および第２の可変パラメ
ータに依存する第１の認証用応答情報を生成し、当該第
２の可変パラメータと第２の認証局についての公開情報
に対して第４の一方向性変換を施すことにより、当該第
２の可変パラメータおよび当該公開情報に依存する第２
の認証用応答情報を生成し、当該第２の可変パラメータ
に対して第５の一方向性変換を施すことにより第１の共
有鍵情報を生成し、所定の情報を前記第１の共有鍵情報
で暗号化して、前記第１および第２の認証用応答情報な
らびに被認証者の識別情報と共に、前記第２の認証局に
送信し、前記第２の認証局は、受信した第２の認証用応答情報と
自局に固有の秘密情報に対して第６の一方向性変換を施
すことにより、前記公開情報に依存しない第２の共有鍵
情報を生成し、受信した前記第１の共有鍵情報で暗号化
された所定の情報を当該第２の共有鍵情報で復号し、当
該第２の共有鍵情報と前記第１の可変パラメータと受信
した前記第１認証用応答情報とに対して第７の一方向性
変換を施すことにより、第１および第２の可変パラメー
タに依存しない認証用照会情報を生成し、当該認証用照
会情報を受信した被認証者の識別情報と共に、前記第１
の認証局に送信し、前記第１の認証局は、受信した被認証者の識別情報に対
応する前記変換秘密情報を前記データベースから検索
し、検索された変換秘密情報が受信した前記認証用照会
情報と一致するか否かを調べ、一致した場合には前記被
認証者が正規の被認証者であることを、一致しない場合
には正規の被認証でないことを表す認否情報を、第２の
認証局に送信し、前記第２の認証局は、受信した前記認否情報によって前
記被認証者を認証することを特徴とする、個人認証方
法。
【請求項４２】前記被認証局は、前記所定の情報とし
て商品の発注情報を前記第１の共有鍵情報で暗号化し
て、前記第１および第２の認証用応答情報ならびに前記
被認証者の識別情報と共に、前記第２の認証局に送信す
ることを特徴とする、請求項４１に記載の個人認証方
法。