JP3585397B2

JP3585397B2 - Authentication method suitable for broadcast communication

Info

Publication number: JP3585397B2
Application number: JP19041299A
Authority: JP
Inventors: 潤安齋
Original assignee: Matsushita Communication Industrial Co Ltd
Current assignee: Panasonic Mobile Communications Co Ltd
Priority date: 1999-07-05
Filing date: 1999-07-05
Publication date: 2004-11-04
Anticipated expiration: 2019-07-05
Also published as: JP2001024632A

Description

【０００１】
【発明の属する技術分野】
本発明は、認証方法に関し、特に、複数の通信機からなる同報通信可能な通信システムにおける認証方法に関する。
【０００２】
【従来の技術】
従来、認証方式の１つとして、並列Ｆｉａｔ−Ｓｈａｍｉｒ法が知られている（詳細は、今井秀樹著「暗号のおはなし」，日本規格協会，ｐｐ１４７−１５２を参照）。この方式は、安全性が高く演算量も少ないが、データ通信量や通信回数が多い。図６に、１対１の通信システムにおける従来の認証方式の構成を示し、図７〜図１０に、複数の通信機からなる同報通信可能な通信システムに、単純に並列Ｆｉａｔ−Ｓｈａｍｉｒ法を適用した構成を示す。
【０００３】
図６を参照して、１対１の通信システムにおける従来のＦｉａｔ−Ｓｈａｍｉｒ法による認証方法を説明する。信頼できる第３者の証明センターは、大きな素数ｐ，ｑを生成して秘密に保持するとともに、合成数Ｎ（＝ｐ×ｑ）を公開する。秘密鍵ｓ（１≦ｓ≦Ｎ−１）を生成して、認証されることを望む通信機１（以下証明者という）に秘密に保持させるとともに、公開鍵ｖ（ｓ^２×ｖｍｏｄＮ＝１）を計算して公開する。秘密鍵ｓを保持している者が本人であり、検証者２は、公開鍵ｖを使って証明者が秘密鍵ｓを保持しているか否かを、秘密鍵ｓを知ることなく検証する。
【０００４】
証明者１と検証者２の間で、認証の繰返し回数ｗを決める。証明者１は、ｗ個の乱数ｒ_ｉ（１≦ｉ≦ｗ）を生成し、
Ｘ_ｉ＝ｒ_ｉ ^２ｍｏｄＮ（１≦ｉ≦ｗ）
を計算して、検証者２にｗ個の乱数ｒ_ｉ（１≦ｉ≦ｗ）を送る。検証者２は、ｗ個のＸ_ｉ（１≦ｉ≦ｗ）を受信すると、値が“０”または“１”のｗ個の乱数ｅ_ｉ（１≦ｉ≦ｗ）を生成して、ｗ個のｅ_ｉ（１≦ｉ≦ｗ）を証明者１に送る。証明者１は、
Ｙ_ｉ＝ｒ_ｉ×ｓ^ｅｉｍｏｄＮ（１≦ｉ≦ｗ）
を計算して、検証者２にｗ個のＹ_ｉ（１≦ｉ≦ｗ）を送る。検証者２は、
Ｙ_ｉ ^２×ｖ^ｅｉ≡Ｘ_ｉ（ｍｏｄＮ）（１≦ｉ≦ｗ）
を検証する。ｗ回の検証が成功すれば、検証者２は、１−（１／２）^ｗの確率で、証明者１が公開鍵ｖに対応する秘密鍵ｓを保持していること、すなわち本人であることを確認できる。１回でも検証に失敗すれば、証明者１は本人でないことがわかる。
【０００５】
図７〜図１０を参照して、並列Ｆｉａｔ−Ｓｈａｍｉｒ法による認証方法を説明する。信頼できる第３者の証明センターは、大きな素数ｐ，ｑを生成して秘密に保持するとともに、合成数Ｎ（＝ｐ×ｑ）を公開する。通信機数ｎ＝５とする。１台の通信機を証明者１とし、４台の通信機を検証者２とする。証明センターは、秘密鍵ｓ（１≦ｓ≦Ｎ−１）を生成して、証明者１に秘密に保持させるとともに、公開鍵ｖ（ｓ^２×ｖｍｏｄＮ＝１）を計算して公開する。証明者１と検証者２の間で、認証の繰返し回数ｗ＝８を決める。
【０００６】
図７に示すステップ（１）において、証明者１は、８×４個の乱数ｒ_ｊｗ（１≦ｊ≦４，１≦ｗ≦８）を生成し、
Ｘ_ｊｗ＝ｒ_ｊｗ ^２ｍｏｄＮ
を計算して検証者２に同報する。ｊ番目の検証者２（検証者ｊ）は、Ｘ_ｊ１〜Ｘ_ｊ８を受信する（１≦ｊ≦４）。
【０００７】
図８に示すステップ（２）において、検証者ｊは、乱数ｅ_ｊ１〜ｅ_ｊ８（１≦ｊ≦４）を発生して、証明者１に送る。証明者１は、ｅ_ｊｗ（１≦ｊ≦４，１≦ｗ≦８）を受信する。
【０００８】
図９に示すステップ（３）において、証明者１は、
Ｙ_ｊｗ＝ｒ_ｊｗ×ｓ^ｅｊｗｍｏｄＮ（１≦ｊ≦４，１≦ｗ≦８）
を計算して、検証者２に同報する。検証者ｊは、Ｙ_ｊ１〜Ｙ_ｊ８（１≦ｊ≦４）を受信する。
【０００９】
図１０に示すステップ（４）において、検証者ｊは、
Ｙ_ｊｗ ^２×ｖ^ｅｊｗ≡Ｘ_ｊｗ（ｍｏｄＮ）（１≦ｊ≦４，１≦ｗ≦８）
が成立するか否か検査する。各検証者２がすべての検証に成功すれば、１−（１／２）^８の確率で、各検証者は証明者１が公開鍵ｖに対応する秘密鍵ｓを保持していること、すなわち本人であることを確認できる。
【００１０】
【発明が解決しようとする課題】
しかしながら、上記従来の認証方式においては、データ通信量や通信回数が多く、実用上は効率が悪いという欠点がある。特に、この方式を同報通信システムに単純に適用すると、非常にトラフィックが大きくなるという問題を有していた。
【００１１】
本発明は、上記従来の問題を解決するもので、並列Ｆｉａｔ−Ｓｈａｍｉｒ法を用いた認証方法において、データ通信量と通信回数および演算量を削減して、高速に認証を行なうことを目的とする。
【００１２】
【課題を解決するための手段】
上記問題を解決するために、本発明では、複数台の通信機からなる通信システムにおける認証方法を、通信機のうち認証されることを望む通信機（証明者）は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ^２×ｖｍｏｄＮ＝１）を生成して、ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開鍵として公開し、任意の圧縮関数ｈ（ ‖ ‖…‖ ）を公開し、認証の繰返し回数をｗと定め、認証を受ける際には、（１）証明者は、ｗ個の乱数ｒ_ｉ（１≦ｉ≦ｗ）を生成し、前半情報Ｘ＝ｈ（ｒ_１ ^２ｍｏｄＮ‖ｒ_２ ^２ｍｏｄＮ‖…‖ｒ_ｗ ^２ｍｏｄＮ）を計算して通信機のうち検証を依頼する通信機（検証者）に送信し、（２）検証者は、値が“０”または“１”のｗ個の乱数ｅ_ｉ（１≦ｉ≦ｗ）を生成して証明者に送信し、（３）証明者は、ｗ個の検証情報Ｙ_１＝ｒ_１×ｓ^ｅ１ｍｏｄＮ，Ｙ_２＝ｒ_２×ｓ^ｅ２ｍｏｄＮ，…，Ｙ_ｗ＝ｒ_ｗ×ｓ^ｅｗｍｏｄＮを計算して検証者に送信し、（４）検証者は検証式ｈ（Ｙ_１ ^２×ｖ^ｅ１ｍｏｄＮ‖Ｙ_２ ^２×ｖ^ｅ２ｍｏｄＮ‖…‖Ｙ_ｗ ^２×ｖ^ｅｗｍｏｄＮ）＝Ｘが成り立つことを検算し、成り立つ場合には証明者を認証し、成り立たない場合には証明者を認証しない構成とした。
【００１３】
このように構成したことにより、証明者から検証者へのデータ通信量と通信回数を削減することができる。
【００１４】
また、（１）証明者は、検証者ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合は、ｎ−１個の乱数ｒ_ｊを生成して前半情報Ｘ_ｊ＝ｒ_ｊ ^２ｍｏｄＮ（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合は、ｗ個の乱数ｒ_１，…，ｒ_ｗを生成してｗ個の前半情報Ｘ_ｊ＝ｒ_ｊ ^２ｍｏｄＮ，Ｘ_{ｊ＋ｎ−１}＝ｒ_{ｊ＋ｎ−１} ^２ｍｏｄＮ，Ｘ_{ｊ＋２（ｎ−１）}＝ｒ_{ｊ＋２（ｎ−１）} ^２ｍｏｄＮ，… を計算して同報通信し、（２）検証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊを同報通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊ，Ｘ_{ｊ＋ｎ−１}，Ｘ_{ｊ＋２（ｎ−１）}，…を保持し、値が“０”または“１”の乱数ｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を同報通信し、（３）証明者は、ｎ≧ｗの場合はｅ_ｊを用いてｎ−１個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮを計算して同報通信し、ｎ＜ｗの場合はｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を用いてｗ個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ，Ｙ_{ｊ＋ｎ−１}＝ｒ_ｊ×ｓ^{ｅｊ＋ｎ−１} ｍｏｄＮ，Ｙ_{ｊ＋２（ｎ−１）}＝ｒ_ｊ×ｓ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ，… を計算して同報通信し、（４）検証者ｊは、ｎ≧ｗの場合は検証式Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ＝Ｘ_ｊが成り立つことを確認し、ｎ＜ｗの場合は検証式Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ＝Ｘ_ｊ，Ｙ_{ｊ＋ｎ−１} ^２×ｖ^{ｅｊ＋ｎ−１} ｍｏｄＮ＝Ｘ_{ｊ＋ｎ−１}，Ｙ_{ｊ＋２（ｎ−１）} ^２×ｖ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ＝Ｘ_{ｊ＋２（ｎ−１）}，… が成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の検証者から不成立であることが同報通信されないかぎりは、認証したとする構成とした。
【００１５】
このように構成したことにより、証明者から検証者への通信量と検証者の演算量を削減できる。
【００１６】
また、（１）証明者は、検証者ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合はｎ−１個の乱数ｒ_ｊを生成してｎ−１個の前半情報Ｘ_ｊ＝ｈ（ｒ_ｊ ^２ｍｏｄＮ）を計算して同報通信し、ｎ＜ｗの場合はｗ個の乱数ｒ_１，…，ｒ_ｗを生成してｎ−１個の前半情報Ｘ_ｊ＝ｈ（ｒ_ｊ ^２ｍｏｄＮ‖ｒ_{ｊ＋ｎ−１} ^２ｍｏｄＮ‖ｒ_{ｉ＋２（ｎ−１）} ^２ｍｏｄＮ‖…）を計算して同報通信し、（２）証検証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊを同報通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を同報通信し、（３）証明者は、ｎ≧ｗの場合はｅ_ｊを用いてｎ−１個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合はｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…（１≦ｊ≦ｎ−１）を用いてｗ個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ，Ｙ_{ｊ＋ｎ−１}＝ｒ_ｊ×ｓ^{ｅｊ＋ｎ−１} ｍｏｄＮ，Ｙ_{ｊ＋２（ｎ−１）}＝ｒ_ｊ×ｓ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ，…（１≦ｊ≦ｎ−１）を計算して同報通信し、（４）検証者ｊは、ｎ≧ｗの場合は検証式ｈ（Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ）＝Ｘ_ｊが成り立つことを確認し、ｎ＜ｗの場合は検証式ｈ（Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ‖Ｙ_{ｊ＋ｎ−１} ^２×ｖ^{ｅｊ＋ｎ−１} ｍｏｄＮ‖Ｙ_{ｊ＋２（ｎ−１）} ^２×ｖ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ）＝Ｘ_ｊが成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の検証者から不成立であることが同報通信されないかぎりは、認証したとする構成とした。
【００１７】
このように構成したことにより、証明者から検証者への通信量と検証者の演算量を削減できる。
【００１８】
【発明の実施の形態】
【００１９】
本発明の請求項１に記載の発明は、ｎ台（ｎ≧３）の通信機からなる同報通信可能な通信システムにおける認証方法において、前記通信機のうち認証されることを望む通信機は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖ mod N＝１）を生成して、前記ｐ，ｑ，ｓを秘密鍵として安全に保管し、前記Ｎ，ｖを公開鍵として公開し、認証の繰返し回数をｗと定め、認証を受ける際には、前記認証されることを望む通信機を除く通信機のＩＤをｊ（１≦ｊ≦ｎ−１）とし、(１)前記認証されることを望む通信機は、前記認証されることを望む通信機を除く通信機ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合：ｎ−１個の乱数ｒ_jを生成して前半情報Ｘ_j＝ｒ_j ² mod N（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合：ｗ個の乱数ｒ₁，…，ｒ_wを生成してｗ個の前半情報Ｘ_j＝ｒ_j ² mod N，Ｘ_j+n-1＝ｒ_j+n-1 ² mod N，Ｘ_j+2(n-1)＝ｒ_j+2(n-1) ² mod N，… を計算して同報通信し、(２)前記認証されることを望む通信機を除く通信機ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合：自身のＩＤに対応した前記前半情報Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_jを同報通信し、ｎ＜ｗの場合：自身のＩＤに対応した前記前半情報Ｘ_j，Ｘ_j+n-1，Ｘ_j+2(n-1)，…を保持し、値が“０”または“１”の乱数ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)前記認証されることを望む通信機は、ｎ≧ｗの場合：ｅ_jを用いてｎ−１個の検証情報Ｙ_j＝ｒ_j×ｓ^ej mod Nを計算して同報通信し、ｎ＜ｗの場合：ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を用いてｗ個の検証情報Ｙ_j＝ｒ_j×ｓ^ej mod N，Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N，Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod N，… を計算して同報通信し、(４)前記認証されることを望む通信機を除く通信機ｊは、ｎ≧ｗの場合：検証式Ｙ_j ²×ｖ^ej mod N＝Ｘ_j が成り立つことを確認し、ｎ＜ｗの場合：検証式Ｙ_j ²×ｖ^ej mod N＝Ｘ_j，Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N＝Ｘ_j+n-1，Ｙ_j+2(n-1) ²×ｖ^ej+2(n-1) mod N＝Ｘ_j+2(n-1)，… が成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の認証されることを望む通信機を除く通信機から不成立であることが同報通信されないかぎりは、認証したとすることを特徴とする認証方法であり、認証されることを望む通信機の通信量と認証されることを望む通信機を除く通信機の演算量を減少するという作用を有する。
【００２０】
本発明の請求項２に記載の発明は、ｎ台（ｎは３以上の整数）の通信機からなる同報通信可能な通信システムにおける認証方法において、前記通信機のうち認証されることを望む通信機は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ²×ｖmod N＝１）を生成して、前記ｐ，ｑ，ｓを秘密鍵として安全に保管し、前記Ｎ，ｖを公開鍵として公開し、任意の圧縮関数ｈ( ‖ ‖…‖ )を公開し、認証の繰返し回数をｗと定め、認証を受ける際には、前記認証されることを望む通信機を除く通信機のＩＤをｊ（１≦ｊ≦ｎ−１）とし、(１)前記認証されることを望む通信機は、前記認証されることを望む通信機を除く通信機ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合：ｎ−１個の乱数ｒ_jを生成してｎ−１個の前半情報Ｘ_j＝ｈ(ｒ_j ² mod N) を計算して同報通信し、ｎ＜ｗの場合：ｗ個の乱数ｒ₁，…，ｒ_wを生成してｎ−１個の前半情報Ｘ_j＝ｈ(ｒ_j ² mod N‖ｒ_j+n-1 ² mod N‖ｒ_i+2(n-1) ² mod N‖…) を計算して同報通信し、(２)前記証認証されることを望む通信機を除く通信機ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合：自身のＩＤに対応した前記前半情報Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_jを同報通信し、ｎ＜ｗの場合：自身のＩＤに対応した前記前半情報Ｘ_jを保持し、値が“０”または“１”の乱数ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…を同報通信し、(３)前記認証されることを望む通信機は、ｎ≧ｗの場合：ｅ_jを用いてｎ−１個の検証情報Ｙ_j＝ｒ_j×ｓ^ej mod N（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合：ｅ_j，ｅ_j+n-1，ｅ_j+2(n-1)，…（１≦ｊ≦ｎ−１）を用いてｗ個の検証情報Ｙ_j＝ｒ_j×ｓ^ej mod N，Ｙ_j+n-1＝ｒ_j×ｓ^ej+n-1 mod N，Ｙ_j+2(n-1)＝ｒ_j×ｓ^ej+2(n-1) mod N，…（１≦ｊ≦ｎ−１）を計算して同報通信し、(４)認証されることを望む通信機を除く通信機ｊは、ｎ≧ｗの場合：検証式ｈ(Ｙ_j ²×ｖ^ej mod N)＝Ｘ_j が成り立つことを確認し、ｎ＜ｗの場合：検証式ｈ(Ｙ_j ²×ｖ^ej mod N‖Ｙ_j+n-1 ²×ｖ^ej+n-1 mod N‖Ｙ_j+2(n-1) ²×ｖ^ej+2(n-1) mod N‖…)＝Ｘ_j が成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の認証されることを望む通信機を除く通信機から不成立であることが同報通信されないかぎりは、認証したとすることを特徴とする認証方法であり、認証されることを望む通信機の通信量と認証されることを望む通信機を除く通信機の演算量を減少するという作用を有する。
【００２４】
以下、本発明の実施の形態について、図１〜図５を参照しながら詳細に説明する。
【００２５】
（第１の実施の形態）
本発明の第１の実施の形態は、証明者から検証者への前半のデータ送信の際に、ハッシュ関数で圧縮したデータを１回だけ送る認証方法である。
【００２６】
図１は、本発明の第１の実施の形態における認証方法の１対１のシステムでの手順を示す流れ図である。図１を参照して、１対１の通信システムにおける処理手順を説明する。
【００２７】
通信機のうち認証されることを望む通信機１（以下証明者という。ここでは、基地局を想定している。）は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ^２×ｖｍｏｄＮ＝１）を生成する。ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開鍵として公開する。任意の圧縮関数ｈ（ ‖ ‖…‖ ）も公開する。
【００２８】
検証者２（移動端末を想定している。）が証明者１を認証する際に、証明者１と検証者２の間で、認証の繰返し回数ｗを決める。証明者１は、ｗ個の乱数ｒ_ｉ（１≦ｉ≦ｗ）を生成し、
Ｘ_ｉ＝ｒ_ｉ ^２ｍｏｄＮ（ｉ＝１〜ｗ）
Ｘ＝ｈ（Ｘ_１‖Ｘ_２‖・・・‖Ｘ_ｗ）
を計算して、Ｘを検証者２に送る。検証者２は、Ｘを受信すると、値が“０”または“１”のｗ個の乱数ｅ_ｉ（１≦ｉ≦ｗ）を生成して証明者１に送る。
【００２９】
証明者１は、
Ｙ_ｉ＝ｒ_ｉ×ｓ^ｅｉｍｏｄＮ（ｉ＝１〜ｗ）
を計算して、検証者２に送る。
【００３０】
検証者２は、
Ｚ_ｉ＝Ｙ_ｉ ^２×ｖ^ｅｉｍｏｄＮ（ｉ＝１〜ｗ）
を計算して、
ｈ（Ｚ_１‖Ｚ_２‖・・・‖Ｚ_ｗ）＝Ｘ
を検証する。検証が成功すれば、検証者２は、１−（１／２）^ｗの確率で、証明者１が公開鍵ｖに対応する秘密鍵ｓを保持していること、すなわち本人であることを確認できる。検証に失敗すれば、証明者１は本人でないことがわかる。
【００３１】
上記のように、本発明の第１の実施の形態では、認証方法を、証明者から検証者への前半のデータ送信の際に、ハッシュ関数で圧縮したデータを１回だけ送る構成としたので、並列Ｆｉａｔ−Ｓｈａｍｉｒ法の約半分の通信量で済む。
【００３２】
（第２の実施の形態）
本発明の第２の実施の形態は、証明者から検証者への前半情報を圧縮して同報通信し、複数の端末で分担して検証する認証方法である。
【００３３】
図２は、本発明の第２の実施の形態における認証方法の複数の通信機からなる同報通信可能な通信システムにおけるステップ（１）を示す図である。図３は、複数の通信機からなる同報通信可能な通信システムにおけるステップ（２）を示す図である。図４は、複数の通信機からなる同報通信可能な通信システムにおけるステップ（３）を示す図である。図５は、複数の通信機からなる同報通信可能な通信システムにおけるステップ（４）を示す図である。
【００３４】
図２〜図５を参照して、複数の通信機からなる同報通信可能な通信システムにおける処理手順を説明する。
【００３５】
５台の通信機のうち、認証されることを望む通信機１（以下証明者という。ここでは、基地局を想定している。）は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ^２×ｖｍｏｄＮ＝１）を生成する。ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開鍵として公開する。任意の圧縮関数ｈ（ ‖ ‖…‖ ）も公開する。証明者１を除く通信機２（以下検証者という。ここでは、４台の移動端末を想定している。）と証明者１の間で、認証の繰返し回数ｗ＝８を決める。
【００３６】
図２に示すステップ（１）において、証明者１は、８個の乱数ｒ_ｗ（１≦ｗ≦８）を生成し、
Ｚ_ｗ＝ｒ_ｗ ^２ｍｏｄＮ（１≦ｗ≦８）
Ｘ_ｊ＝ｈ（Ｚ_ｊ‖Ｚ_ｊ＋４）（ｊ＝１〜４）
を計算して検証者２に同報する。ｊ番目の検証者２（以下、検証者ｊという）は、Ｘ_ｊを受信する（１≦ｊ≦４）。
【００３７】
図３に示すステップ（２）において、検証者ｊは、値が“０”または“１”の乱数ｅ_ｊとｅ_ｊ＋４（１≦ｊ≦４）を発生して、証明者１に送る。証明者１は、ｅ_１〜ｅ_８を受信する。
【００３８】
図４に示すステップ（３）において、証明者１は、
Ｙ_ｗ＝ｒ_ｗ×ｓ^ｅｗｍｏｄＮ（１≦ｗ≦８）
を計算して、検証者２に同報する。検証者ｊは、Ｙ_ｊとＹ_ｊ＋４（１≦ｊ≦４）を受信する。
【００３９】
図５に示すステップ（４）において、検証者ｊは、
Ｕ_ｊ＝Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ
Ｕ_ｊ＋４＝Ｙ_ｊ＋４ ^２×ｖ^ｅｊ＋４ｍｏｄＮ
を計算し、
ｈ（Ｕ_ｊ‖Ｕ_ｊ＋４）＝Ｘ_ｊ（１≦ｊ≦４）
が成立するか否か検査する。不成立時には基地局または他の移動体端末に知らせることにより、すべての検証者２が検証に成功すれば、１−（１／２）^８の確率で、証明者１が公開鍵ｖに対応する秘密鍵ｓを保持していること、すなわち本人であることを確認できる。
【００４０】
複数の通信機からなる同報通信可能な通信システムにおける本実施の形態と並列Ｆｉａｔ−Ｓｈａｍｉｒ法の通信量と演算量と通信回数を見積もって比較してみる。見積もり条件は、Ｎが１０２４ｂｉｔｓ、圧縮関数が１２８ｂｉｔの出力を行うＭＤ５とする。また、検証者が証明者に乱数を送信する確率を１／２、認証の繰返し回数ｗ＝２０、通信機数ｎ＝１１とする。以上の条件において、おおよそ本実施の形態では、検証者の演算時間が１／１０、証明者の前半の通信量が１／２、後半の通信量が１／１０、全検証者の通信回数の合計が１／２となる。
【００４１】
並列Ｆｉａｔ−Ｓｈａｍｉｒ法は、合成数Ｎが多項式時間で素因数分解できないことに安全性の根拠を求めている。本実施の形態の認証方法も、同様の部分に安全性の根拠を求めている。したがって、十分な安全性を持たせるためには、合成数Ｎの大きさを１０２４ｂｉｔ程度にとる必要性がある。本実施の形態と並列Ｆｉａｔ−Ｓｈａｍｉｒ法において、安全性が異なる可能性があるのは、圧縮関数による情報量の減少である。しかし、本実施の形態においても合成数Ｎの大きさは１０２４ｂｉｔのままであるから、これによる安全性の低下はない。
【００４２】
全数探索法による攻撃に対しても、一般的には１２８ｂｉｔもあれば十分安全であるとされているので、圧縮関数は、出力が１２８ｂｉｔ以上のものを用いれば安全である。圧縮関数に関しては、ＳＨＡ−１やＭＤ５などのハッシュ関数を用いるのが安全性の面から望ましいが、簡単化のために排他的論理和で代用することも可能である。圧縮しないで、検証を複数の端末で分担するだけでもよい。
【００４３】
また、並列Ｆｉａｔ−Ｓｈａｍｉｒの認証の繰返し回数ｗは、２０から４０にとるのが安全とされているので、本実施の形態においても２０から４０にとることで同様の安全性を保つことができる。
【００４４】
なお、検証者のうち代表検証者が、その他の全ての検証者の乱数を代りに選択して証明者に送信してもよい。また、検証者は、乱数を選ぶときに、通信状態などの負荷の度合いが高い場合や省電力状態の場合は乱数を送信しないこととし、負荷の度合いが低い場合または省電力状態でない場合は乱数を送信するようにしてもよい。この場合、証明者は、前情報を同報通信してから制限時間内に検証者が乱数を送信しない場合には、該当の乱数を“０”と見なすようにする。
【００４５】
上記のように、本発明の第２の実施の形態では、認証方法を、証明者から検証者への前半情報を圧縮して同報通信し、複数の端末で分担して検証する構成としたので、証明者と検証者との間の通信量と演算量を削減でき、高速に認証できる。
【００４６】
【発明の効果】
以上の説明から明らかなように、本発明では、複数台の通信機からなる通信システムにおける認証方法を、通信機のうち認証されることを望む通信機（証明者）は、あらかじめ、所定の大きさの素数ｐ，ｑとその合成数Ｎ（＝ｐ×ｑ）と任意の整数ｓ（１≦ｓ≦Ｎ−１）と整数ｖ（ｓ^２×ｖｍｏｄＮ＝１）を生成して、ｐ，ｑ，ｓを秘密鍵として安全に保管し、Ｎ，ｖを公開鍵として公開し、任意の圧縮関数ｈ（ ‖ ‖…‖ ）を公開し、認証の繰返し回数をｗと定め、認証を受ける際には、（１）証明者は、ｗ個の乱数ｒ_ｉ（１≦ｉ≦ｗ）を生成し、前半情報Ｘ＝ｈ（ｒ_１ ^２ｍｏｄＮ‖ｒ_２ ^２ｍｏｄＮ‖…‖ｒ_ｗ ^２ｍｏｄＮ）を計算して通信機のうち検証を依頼する通信機（検証者）に送信し、（２）検証者は、値が“０”または“１”のｗ個の乱数ｅ_ｉ（１≦ｉ≦ｗ）を生成して証明者に送信し、（３）証明者は、ｗ個の検証情報Ｙ_１＝ｒ_１×ｓ^ｅ１ｍｏｄＮ，Ｙ_２＝ｒ_２×ｓ^ｅ２ｍｏｄＮ，…，Ｙ_ｗ＝ｒ_ｗ×ｓ^ｅｗｍｏｄＮを計算して検証者に送信し、（４）検証者は検証式ｈ（Ｙ_１ ^２×ｖ^ｅ１ｍｏｄＮ‖Ｙ_２ ^２×ｖ^ｅ２ｍｏｄＮ‖…‖Ｙ_ｗ ^２×ｖ^ｅｗｍｏｄＮ）＝Ｘが成り立つことを検算し、成り立つ場合には証明者を認証し、成り立たない場合には証明者を認証しない構成としたので、証明者から検証者へのデータ通信量と通信回数を削減することができるという効果が得られる。
【００４７】
また、（１）証明者は、検証者ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合は、ｎ−１個の乱数ｒ_ｊを生成して前半情報Ｘ_ｊ＝ｒ_ｊ ^２ｍｏｄＮ（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合は、ｗ個の乱数ｒ_１，…，ｒ_ｗを生成してｗ個の前半情報Ｘ_ｊ＝ｒ_ｊ ^２ｍｏｄＮ，Ｘ_{ｊ＋ｎ−１}＝ｒ_{ｊ＋ｎ−１} ^２ｍｏｄＮ，Ｘ_{ｊ＋２（ｎ−１）}＝ｒ_{ｊ＋２（ｎ−１）} ^２ｍｏｄＮ，… を計算して同報通信し、（２）検証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊを同報通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊ，Ｘ_{ｊ＋ｎ−１}，Ｘ_{ｊ＋２（ｎ−１）}，…を保持し、値が“０”または“１”の乱数ｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を同報通信し、（３）証明者は、ｎ≧ｗの場合はｅ_ｊを用いてｎ−１個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮを計算して同報通信し、ｎ＜ｗの場合はｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を用いてｗ個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ，Ｙ_{ｊ＋ｎ−１}＝ｒ_ｊ×ｓ^{ｅｊ＋ｎ−１} ｍｏｄＮ，Ｙ_{ｊ＋２（ｎ−１）}＝ｒ_ｊ×ｓ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ，… を計算して同報通信し、（４）検証者ｊは、ｎ≧ｗの場合は検証式Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ＝Ｘ_ｊが成り立つことを確認し、ｎ＜ｗの場合は検証式Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ＝Ｘ_ｊ，Ｙ_{ｊ＋ｎ−１} ^２×ｖ^{ｅｊ＋ｎ−１} ｍｏｄＮ＝Ｘ_{ｊ＋ｎ−１}，Ｙ_{ｊ＋２（ｎ−１）} ^２×ｖ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ＝Ｘ_{ｊ＋２（ｎ−１）}，… が成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の検証者から不成立であることが同報通信されないかぎりは、認証したとする構成としたので、証明者から検証者への通信量と検証者の演算量を削減できるという効果が得られる。
【００４８】
また、（１）証明者は、検証者ｊ（１≦ｊ≦ｎ−１）に対して、ｎ≧ｗの場合はｎ−１個の乱数ｒ_ｊを生成してｎ−１個の前半情報Ｘ_ｊ＝ｈ（ｒ_ｊ ^２ｍｏｄＮ）を計算して同報通信し、ｎ＜ｗの場合はｗ個の乱数ｒ_１，…，ｒ_ｗを生成してｎ−１個の前半情報Ｘ_ｊ＝ｈ（ｒ_ｊ ^２ｍｏｄＮ‖ｒ_{ｊ＋ｎ−１} ^２ｍｏｄＮ‖ｒ_{ｉ＋２（ｎ−１）} ^２ｍｏｄＮ‖…）を計算して同報通信し、（２）証検証者ｊ（１≦ｊ≦ｎ−１）は、ｎ≧ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊを同報通信し、ｎ＜ｗの場合は自身のＩＤに対応した前半情報Ｘ_ｊを保持し、値が“０”または“１”の乱数ｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…を同報通信し、（３）証明者は、ｎ≧ｗの場合はｅ_ｊを用いてｎ−１個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ（１≦ｊ≦ｎ−１）を計算して同報通信し、ｎ＜ｗの場合はｅ_ｊ，ｅ_{ｊ＋ｎ−１}，ｅ_{ｊ＋２（ｎ−１）}，…（１≦ｊ≦ｎ−１）を用いてｗ個の検証情報Ｙ_ｊ＝ｒ_ｊ×ｓ^ｅｊｍｏｄＮ，Ｙ_{ｊ＋ｎ−１}＝ｒ_ｊ×ｓ^{ｅｊ＋ｎ−１} ｍｏｄＮ，Ｙ_{ｊ＋２（ｎ−１）}＝ｒ_ｊ×ｓ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ，…（１≦ｊ≦ｎ−１）を計算して同報通信し、（４）検証者ｊは、ｎ≧ｗの場合は検証式ｈ（Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ）＝Ｘ_ｊが成り立つことを確認し、ｎ＜ｗの場合は検証式ｈ（Ｙ_ｊ ^２×ｖ^ｅｊｍｏｄＮ‖Ｙ_{ｊ＋ｎ−１} ^２×ｖ^{ｅｊ＋ｎ−１} ｍｏｄＮ‖Ｙ_{ｊ＋２（ｎ−１）} ^２×ｖ^{ｅｊ＋２（ｎ−１）} ｍｏｄＮ）＝Ｘ_ｊが成り立つことを確認し、成り立たない場合は、不成立であることを同報通信し、成り立つ場合には、他の検証者から不成立であることが同報通信されないかぎりは、認証したとする構成としたので、証明者から検証者への通信量と検証者の演算量を削減できるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態における認証方法の手順を示す流れ図、
【図２】本発明の第２の実施の形態における認証方法のステップ（１）を示す図、
【図３】本発明の第２の実施の形態における認証方法のステップ（２）を示す図、
【図４】本発明の第２の実施の形態における認証方法のステップ（３）を示す図、
【図５】本発明の第２の実施の形態における認証方法のステップ（４）を示す図、
【図６】従来の１対１の通信システムにおける認証方法の説明図、
【図７】従来の並列Ｆｉａｔ−Ｓｈａｍｉｒ法のステップ（１）の説明図、
【図８】従来の並列Ｆｉａｔ−Ｓｈａｍｉｒ法のステップ（２）の説明図、
【図９】従来の並列Ｆｉａｔ−Ｓｈａｍｉｒ法のステップ（３）の説明図、
【図１０】従来の並列Ｆｉａｔ−Ｓｈａｍｉｒ法のステップ（４）の説明図である。
【符号の説明】
１証明者
２検証者
３同報通信網[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an authentication method, and more particularly, to an authentication method in a communication system including a plurality of communication devices and capable of broadcasting.
[0002]
[Prior art]
Conventionally, a parallel Fit-Shamir method is known as one of the authentication methods (for details, see Hideki Imai, "Cryptography Story", Japan Standards Association, pp. 147-152). This method has high security and a small amount of calculation, but has a large amount of data communication and the number of times of communication. FIG. 6 shows a configuration of a conventional authentication method in a one-to-one communication system. FIGS. 7 to 10 show a simple parallel Fit-Shamir method applied to a broadcast communication system including a plurality of communication devices. The applied configuration is shown.
[0003]
With reference to FIG. 6, a description will be given of a conventional authentication method using the Fiat-Shamir method in a one-to-one communication system. The trusted third-party certification center generates large prime numbers p and q, keeps them secret, and discloses the composite number N (= p × q). A secret key s (1 ≦ s ≦ N−1) is generated and kept secret by the communication device 1 (hereinafter referred to as “certifier”) that wants to be authenticated, and the public key v (s²× v mod N = 1) and publish it. The person holding the secret key s is the principal, and the verifier 2 verifies whether or not the prover holds the secret key s using the public key v without knowing the secret key s.
[0004]
The number of times w of authentication is repeated is determined between the prover 1 and the verifier 2. Prover 1 has w random numbers r_i(1 ≦ i ≦ w), and
X_i= R_i ²  mod N (1 ≦ i ≦ w)
And verifier 2 gives w random numbers r_i(1 ≦ i ≦ w) is sent. Verifier 2 has w Xs_iWhen (1 ≦ i ≦ w) is received, w random numbers e having a value of “0” or “1” are received._i(1 ≦ i ≦ w) to generate w e_i(1 ≦ i ≦ w) is sent to the prover 1. Prover 1
Y_i= R_i× s^ei  mod N (1 ≦ i ≦ w)
Is calculated, and w verifiers 2 are given to the verifier 2._i(1 ≦ i ≦ w) is sent. Verifier 2
Y_i ²× v^ei≡X_i(Mod N) (1 ≦ i ≦ w)
Verify If the verification is successful w times, the verifier 2 obtains 1- (1/2)^wWith the probability, it can be confirmed that the prover 1 holds the secret key s corresponding to the public key v, that is, the prover 1 is the principal. If the verification fails even once, it is known that the prover 1 is not himself / herself.
[0005]
An authentication method based on the parallel Fit-Shamir method will be described with reference to FIGS. The trusted third-party certification center generates large prime numbers p and q, keeps them secret, and discloses the composite number N (= p × q). It is assumed that the number of communication devices is n = 5. One communication device is a prover 1 and four communication devices are a verifier 2. The certification center generates a secret key s (1 ≦ s ≦ N−1), keeps the prover 1 secret, and generates a public key v (s²× v mod N = 1) and publish it. The number of repetitions of authentication w = 8 is determined between the prover 1 and the verifier 2.
[0006]
In the step (1) shown in FIG. 7, the prover 1 has 8 × 4 random numbers r_jw(1 ≦ j ≦ 4, 1 ≦ w ≦ 8),
X_jw= R_jw ²  mod N
Is calculated and broadcast to the verifier 2. The j-th verifier 2 (verifier j) has X_j1~ X_j8(1 ≦ j ≦ 4).
[0007]
In step (2) shown in FIG. 8, the verifier j sets the random number e_j1~ E_j8(1 ≦ j ≦ 4) is generated and sent to the prover 1. Prover 1 is e_jw(1 ≦ j ≦ 4, 1 ≦ w ≦ 8) is received.
[0008]
In step (3) shown in FIG. 9, the prover 1
Y_jw= R_jw× s^ejw  mod N (1 ≦ j ≦ 4, 1 ≦ w ≦ 8)
Is calculated and broadcast to the verifier 2. Verifier j is Y_j1~ Y_j8(1 ≦ j ≦ 4) is received.
[0009]
In step (4) shown in FIG. 10, the verifier j
Y_jw ²× v^ejw≡X_jw(Mod N) (1 ≦ j ≦ 4, 1 ≦ w ≦ 8)
It is checked whether or not. If each verifier 2 succeeds in all verifications, 1- (1/2)⁸With the probability of, each verifier can confirm that the prover 1 holds the private key s corresponding to the public key v, that is, that he is the principal.
[0010]
[Problems to be solved by the invention]
However, the conventional authentication method described above has a drawback that the amount of data communication and the number of times of communication are large, and the efficiency is low in practical use. In particular, if this method is simply applied to a broadcast communication system, there is a problem that traffic becomes very large.
[0011]
SUMMARY OF THE INVENTION An object of the present invention is to solve the above-mentioned conventional problems, and an object of the present invention is to perform high-speed authentication by reducing the amount of data communication, the number of times of communication, and the amount of calculation in an authentication method using a parallel Fiat-Shamir method. .
[0012]
[Means for Solving the Problems]
In order to solve the above-mentioned problem, according to the present invention, an authentication method in a communication system including a plurality of communication devices is described as follows. Primes p and q, their composite number N (= p × q), arbitrary integer s (1 ≦ s ≦ N−1) and integer v (s²× v mod N = 1), securely store p, q, and s as private keys, publish N and v as public keys, and publish any compression function h (‖ ‖ ‖). , The number of authentication repetitions is defined as w, and when receiving authentication, (1) the prover uses w random numbers r_i(1 ≦ i ≦ w) and the first half information X = h (r₁ ²  mod N‖r₂ ²  mod N‖… ‖r_w ²  mod N) is calculated and transmitted to the communication device (verifier) requesting verification among the communication devices. (2) The verifier determines that w random numbers e having a value of “0” or “1”_i(1 ≦ i ≦ w) is generated and transmitted to the prover. (3) The prover determines w pieces of verification information Y.₁= R₁× s^e1  mod N, Y₂= R₂× s^e2  mod N, ..., Y_w= R_w× s^ew  mod N is calculated and transmitted to the verifier, and (4) the verifier checks the verification formula h (Y₁ ²× v^e1  mod N @ Y₂ ²× v^e2  mod N‖… ‖Y_w ²× v^ew  mod N) = X is established, and if it is established, the prover is authenticated; if not, the prover is not authenticated.
[0013]
With this configuration, the amount of data communication and the number of times of communication from the prover to the verifier can be reduced.
[0014]
In addition, (1) the prover provides the verifier j (1 ≦ j ≦ n−1) with n−1 random numbers r when n ≧ w._jTo generate the first half information X_j= R_j ²  mod N (1 ≦ j ≦ n−1) is calculated and broadcasted. If n <w, w random numbers r₁, ..., r_wAnd generate w pieces of first half information X_j= R_j ²  mod N, X_{j + n-1}= R_{j + n-1} ²  mod N, X_{j + 2 (n-1)}= R_{j + 2 (n-1)} ²  mod N,... are broadcasted. (2) The verifier j (1 ≦ j ≦ n−1), when n ≧ w, the first half information X corresponding to its own ID_jAnd a random number e having a value of “0” or “1”_jAnd when n <w, the first half information X corresponding to the own ID_j, X_{j + n-1}, X_{j + 2 (n-1)}, ..., and a random number e having a value of "0" or "1"_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the prover is e if n ≧ w_jN-1 pieces of verification information Y using_j= R_j× s^ej  mod N is calculated and broadcasted, and if n <w, e_j, E_{j + n-1}, E_{j + 2 (n-1)},..., W pieces of verification information Y_j= R_j× s^ej  mod N, Y_{j + n-1}= R_j× s^{ej + n-1}  mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)}  mod N,... are broadcasted. (4) The verifier j verifies the verification formula Y when n ≧ w._j ²× v^ej  mod N = X_j  Is satisfied, and when n <w, the verification equation Y_j ²× v^ej  mod N = X_j, Y_{j + n-1} ²× v^{ej + n-1}  mod N = X_{j + n-1}, Y_{j + 2 (n-1)} ²× v^{ej + 2 (n-1)}  mod N = X_{j + 2 (n-1)}, ... is established, and if it is not established, it broadcasts that it is unsuccessful. Configuration.
[0015]
With this configuration, the amount of communication from the prover to the verifier and the amount of calculation by the verifier can be reduced.
[0016]
Further, (1) the prover provides the verifier j (1 ≦ j ≦ n−1) with n−1 random numbers r when n ≧ w._jTo generate n-1 pieces of first half information X_j= H (r_j ²  mod N) is calculated and broadcasted, and when n <w, w random numbers r₁, ..., r_wTo generate n-1 pieces of first half information X_j= H (r_j ²  mod N‖r_{j + n-1} ²  mod N‖r_{i + 2 (n-1)} ²  mod N‖...), and broadcasts the data._jAnd a random number e having a value of “0” or “1”_jAnd when n <w, the first half information X corresponding to the own ID_jAnd a random number e having a value of “0” or “1”_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the prover is e if n ≧ w_jN-1 pieces of verification information Y using_j= R_j× s^ej  mod N (1 ≦ j ≦ n−1) is calculated and broadcasted. If n <w, e is calculated._j, E_{j + n-1}, E_{j + 2 (n-1)},... (1 ≦ j ≦ n−1), w pieces of verification information Y_j= R_j× s^ej  mod N, Y_{j + n-1}= R_j× s^{ej + n-1}  mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)}  mod N,... (1 ≦ j ≦ n−1) and broadcast. (4) The verifier j verifies the verification formula h (Y_j ²× v^ej  mod N) = X_j  Is satisfied, and when n <w, the verification expression h (Y_j ²× v^ej  mod N @ Y_{j + n-1} ²× v^{ej + n-1}  mod N @ Y_{j + 2 (n-1)} ²× v^{ej + 2 (n-1)}  mod N) = X_j  Is confirmed, and if it is not established, it broadcasts that it is not established. did.
[0017]
With this configuration, the amount of communication from the prover to the verifier and the amount of calculation by the verifier can be reduced.
[0018]
BEST MODE FOR CARRYING OUT THE INVENTION
[0019]
The invention described in claim 1 of the present invention provides n units (n ≧ n).3), In the communication method capable of broadcasting, comprising a communication device, a communication device which is desired to be authenticated among the communication devices includes a prime number p, q having a predetermined size and a combined number N ( = P × q) and an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s^Two× v mod N = 1), securely store the p, q, s as a secret key, publish the N, v as a public key, determine the number of repetitions of authentication as w, and receive authentication. In this case, the ID of the communication device excluding the communication device desired to be authenticated is set to j (1 ≦ j ≦ n−1), and (1) the communication device desired to be authenticated is authenticated. For communication devices j (1 ≦ j ≦ n−1) excluding the communication device that desires to perform, if n ≧ w: n−1 random numbers r_jTo generate the first half information X_j= R_j ^Two mod N (1 ≦ j ≦ n−1) is calculated and broadcasted. If n <w: w random numbers r₁, ..., r_wAnd generate w pieces of first half information X_j= R_j ^Two mod N, X_{j + n-1}= R_{j + n-1} ^Two mod N, X_{j + 2 (n-1)}= R_{j + 2 (n-1)} ^Two mod N,... and broadcast. (2) The communication device j (1 ≦ j ≦ n−1) excluding the communication device desired to be authenticated, if n ≧ w: own ID The first half information X corresponding to_jAnd a random number e having a value of “0” or “1”_jAnd if n <w: the first half information X corresponding to its own ID_j, X_{j + n-1}, X_{j + 2 (n-1)}, ..., and a random number e having a value of "0" or "1"_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the communicator desiring to be authenticated, if n ≧ w: e_jN-1 pieces of verification information Y using_j= R_j× s^ej Calculate and broadcast mod N, if n <w: e_j, E_{j + n-1}, E_{j + 2 (n-1)},..., W pieces of verification information Y_j= R_j× s^ej mod N, Y_{j + n-1}= R_j× s^{ej + n-1} mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)} mod N,... are broadcasted._j ^Two× v^ej mod N = X_j  Is satisfied, and if n <w: the verification equation Y_j ^Two× v^ej mod N = X_j, Y_{j + n-1} ^Two× v^{ej + n-1} mod N = X_{j + n-1}, Y_{j + 2 (n-1)} ^Two× v^{ej + 2 (n-1)} mod N = X_{j + 2 (n-1)}, ... is established, if not established, broadcasts that it is unsuccessful. As long as the communication is not performed, the authentication method is characterized in that authentication is performed, and reduces the amount of communication of the communication device that wants to be authenticated and the amount of calculation of the communication device excluding the communication device that wants to be authenticated. It has the action of:
[0020]
In the invention described in claim 2 of the present invention, n units (n is3In the authentication method in a communication system capable of broadcasting comprising the communication devices of the above (integers), the communication device which is desired to be authenticated among the communication devices includes a prime number p, q of a predetermined size and a combination thereof. The number N (= p × q), an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s^Two× vmod N = 1), securely store the p, q, s as a secret key, publish the N, v as a public key, and publish an arbitrary compression function h (‖ ‖ ‖). The number of times of repetition of the authentication is defined as w, and when receiving the authentication, the ID of the communication device excluding the communication device desired to be authenticated is set to j (1 ≦ j ≦ n−1). The communication device that wants to be authenticated is, for communication device j (1 ≦ j ≦ n−1) excluding the communication device that wants to be authenticated, when n ≧ w: n−1 random numbers r_jTo generate n-1 pieces of first half information X_j= H (r_j ^Two mod N) is calculated and broadcast, and if n <w: w random numbers r₁, ..., r_wTo generate n-1 pieces of first half information X_j= H (r_j ^Two mod N‖r_{j + n-1} ^Two mod N‖r_{i + 2 (n-1)} ^Two mod N‖...) and broadcast. (2) The communication device j (1 ≦ j ≦ n−1) excluding the communication device that is desired to be authenticated, if n ≧ w: itself The first half information X corresponding to the ID of_jAnd a random number e having a value of “0” or “1”_jAnd if n <w: the first half information X corresponding to its own ID_jAnd a random number e having a value of “0” or “1”_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the communicator desiring to be authenticated, if n ≧ w: e_jN-1 pieces of verification information Y using_j= R_j× s^ej mod N (1 ≦ j ≦ n−1) is calculated and broadcast, and if n <w: e_j, E_{j + n-1}, E_{j + 2 (n-1)},... (1 ≦ j ≦ n−1), w pieces of verification information Y_j= R_j× s^ej mod N, Y_{j + n-1}= R_j× s^{ej + n-1} mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)} mod N,... (1 ≦ j ≦ n−1) is calculated and broadcasted. (4) The communication device j excluding the communication device that desires to be authenticated has a verification expression h ( Y_j ^Two× v^ej mod N) = X_j  Is satisfied, and if n <w: the verification expression h (Y_j ^Two× v^ej mod N‖Y_{j + n-1} ^Two× v^{ej + n-1} mod N‖Y_{j + 2 (n-1)} ^Two× v^{ej + 2 (n-1)} mod N‖…) = X_j  Is confirmed, if not, broadcast that it is not established, and if it is, broadcast that it is not established from any other communication device except the communication device that wants to be authenticated. Unless the authentication is performed, the authentication method is characterized in that the authentication is performed, and the operation amount of the communication device excluding the communication device desired to be authenticated and the communication amount excluding the communication device desired to be authenticated is reduced. Having.
[0024]
Hereinafter, embodiments of the present invention will be described in detail with reference to FIGS.
[0025]
(First Embodiment)
The first embodiment of the present invention is an authentication method in which data compressed by a hash function is sent only once in the first half of data transmission from a prover to a verifier.
[0026]
FIG. 1 is a flowchart showing a procedure in a one-to-one system of an authentication method according to the first embodiment of the present invention. The processing procedure in the one-to-one communication system will be described with reference to FIG.
[0027]
Among the communication devices, the communication device 1 (hereinafter referred to as a “prover”, which is assumed to be a base station) that is desired to be authenticated has a prime number p, q of a predetermined size and a combined number N ( = P × q) and an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s²× v mod N = 1). Securely store p, q, and s as private keys and publish N and v as public keys. An arbitrary compression function h (‖ ‖ ‖ ‖) is also released.
[0028]
When the verifier 2 (assuming a mobile terminal) authenticates the prover 1, the number of repetitions w of authentication is determined between the prover 1 and the verifier 2. Prover 1 has w random numbers r_i(1 ≦ i ≦ w), and
X_i= R_i ²  mod N (i = 1 to w)
X = h (X₁‖X₂‖ ・・・ ‖X_w)
And sends X to the verifier 2. Upon receiving X, the verifier 2 checks w random numbers e having a value of “0” or “1”._i(1 ≦ i ≦ w) is generated and sent to the prover 1.
[0029]
Prover 1
Y_i= R_i× s^ei  mod N (i = 1 to w)
Is calculated and sent to the verifier 2.
[0030]
Verifier 2
Z_i= Y_i ²× v^ei  mod N (i = 1 to w)
Calculate
h (Z₁‖Z₂‖ ... ‖Z_w) = X
Verify If the verification is successful, the verifier 2 calculates 1- (1/2)^wWith the probability, it can be confirmed that the prover 1 holds the secret key s corresponding to the public key v, that is, the prover 1 is the principal. If the verification fails, it is known that the prover 1 is not himself / herself.
[0031]
As described above, in the first embodiment of the present invention, the authentication method has a configuration in which the data compressed by the hash function is transmitted only once during the first half of data transmission from the prover to the verifier. , The communication amount is about half that of the parallel Fit-Shamir method.
[0032]
(Second embodiment)
The second embodiment of the present invention is an authentication method in which the first half information from the prover to the verifier is compressed and broadcast, and the verification is performed by sharing the information among a plurality of terminals.
[0033]
FIG. 2 is a diagram showing a step (1) in a communication system including a plurality of communication devices and capable of broadcasting, in the authentication method according to the second embodiment of the present invention. FIG. 3 is a diagram showing step (2) in a communication system including a plurality of communication devices and capable of performing broadcast communication. FIG. 4 is a diagram illustrating step (3) in the communication system including a plurality of communication devices and capable of performing broadcast communication. FIG. 5 is a diagram illustrating step (4) in the communication system including a plurality of communication devices and capable of performing broadcast communication.
[0034]
With reference to FIGS. 2 to 5, a processing procedure in a communication system including a plurality of communication devices and capable of performing broadcast communication will be described.
[0035]
Of the five communication devices, the communication device 1 (hereinafter referred to as a “prover”, which is assumed to be a base station) that is desired to be authenticated has prime numbers p and q of a predetermined size and their The composite number N (= p × q), an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s²× v mod N = 1). Securely store p, q, and s as private keys, and publish N and v as public keys. An arbitrary compression function h (‖ ‖ ‖ ‖) is also released. The number of repetitions of authentication w = 8 is determined between the communication device 2 excluding the prover 1 (hereinafter, referred to as a verifier; here, four mobile terminals are assumed) and the prover 1.
[0036]
In the step (1) shown in FIG. 2, the prover 1 uses eight random numbers r_w(1 ≦ w ≦ 8), and
Z_w= R_w ²  mod N (1 ≦ w ≦ 8)
X_j= H (Z_j‖Z_{j + 4}) (J = 1 to 4)
Is calculated and broadcast to the verifier 2. The j-th verifier 2 (hereinafter referred to as verifier j) has X_j(1 ≦ j ≦ 4).
[0037]
In step (2) shown in FIG. 3, the verifier j sets a random number e having a value of “0” or “1”._jAnd e_{j + 4}(1 ≦ j ≦ 4) is generated and sent to the prover 1. Prover 1 is e₁~ E₈To receive.
[0038]
In step (3) shown in FIG. 4, the prover 1
Y_w= R_w× s^ew  mod N (1 ≦ w ≦ 8)
Is calculated and broadcast to the verifier 2. Verifier j is Y_jAnd Y_{j + 4}(1 ≦ j ≦ 4) is received.
[0039]
In step (4) shown in FIG. 5, the verifier j
U_j= Y_j ²× v^ej  mod N
U_{j + 4}= Y_{j + 4} ²× v^{ej + 4}  mod N
And calculate
h (U_j‖U_{j + 4}) = X_j(1 ≦ j ≦ 4)
It is checked whether or not. By notifying the base station or another mobile terminal at the time of failure, if all the verifiers 2 succeed in verification, 1- (1/2)⁸With the probability, it can be confirmed that the prover 1 holds the secret key s corresponding to the public key v, that is, the prover 1 is the principal.
[0040]
A comparison will be made by estimating the communication amount, the calculation amount, and the number of communication times of the present embodiment and the parallel Fit-Shamir method in a communication system including a plurality of communication devices and capable of broadcasting. The estimation condition is MD5 which outputs N with 1024 bits and a compression function with 128 bits. The probability that the verifier transmits a random number to the prover is １／, the number of authentication repetitions is w = 20, and the number of communication devices is n = 11. Under the above conditions, in the present embodiment, the calculation time of the verifier is approximately 1/10, the communication volume of the first half of the prover is 1/2, the communication volume of the second half is 1/10, and the number of communication times of all the verifiers is The sum becomes １／.
[0041]
The parallel Fit-Shamir method seeks a basis for security that the composite number N cannot be factored in polynomial time. The authentication method according to the present embodiment also requires the same part as a basis for security. Therefore, in order to provide sufficient security, it is necessary to set the size of the combined number N to about 1024 bits. In the present embodiment and the parallel Fit-Shamir method, there is a possibility that the security is different due to a reduction in the amount of information by the compression function. However, also in the present embodiment, since the size of the number of synthesis N remains 1024 bits, there is no reduction in security due to this.
[0042]
Since it is generally considered that 128 bits are sufficiently safe against attacks by the exhaustive search method, it is safe to use a compression function having an output of 128 bits or more. For the compression function, it is desirable to use a hash function such as SHA-1 or MD5 from the viewpoint of security, but it is also possible to use an exclusive OR for simplification. The verification may be shared by a plurality of terminals without compression.
[0043]
In addition, since it is considered safe to set the number of repetitions w of the parallel Fit-Shamir authentication to 20 to 40, the same security can be maintained by taking 20 to 40 in the present embodiment. .
[0044]
Alternatively, the representative verifier of the verifiers may select the random numbers of all other verifiers instead and transmit them to the prover. When selecting a random number, the verifier does not transmit a random number when the degree of load such as the communication state is high or in the power saving state. May be transmitted. In this case, if the verifier does not transmit a random number within the time limit after broadcasting the previous information, the prover regards the random number as “0”.
[0045]
As described above, in the second embodiment of the present invention, the authentication method has a configuration in which the first half information from the prover to the verifier is compressed and broadcasted, and shared and verified by a plurality of terminals. Therefore, the amount of communication and the amount of calculation between the prover and the verifier can be reduced, and high-speed authentication can be performed.
[0046]
【The invention's effect】
As is apparent from the above description, according to the present invention, the authentication method in a communication system including a plurality of communication devices, the communication device (prover) of the communication devices that wants to be authenticated, has a predetermined size in advance. Prime numbers p and q, their composite number N (= p × q), arbitrary integer s (1 ≦ s ≦ N−1), and integer v (s²× v mod N = 1), securely store p, q, and s as private keys, publish N and v as public keys, and publish any compression function h (‖ ‖ ‖). , The number of authentication repetitions is defined as w, and when receiving authentication, (1) the prover uses w random numbers r_i(1 ≦ i ≦ w) and the first half information X = h (r₁ ²  mod N‖r₂ ²  mod N‖… ‖r_w ²  mod N) is calculated and transmitted to the communication device (verifier) requesting verification among the communication devices. (2) The verifier determines that w random numbers e having a value of “0” or “1”_i(1 ≦ i ≦ w) is generated and transmitted to the prover. (3) The prover determines w pieces of verification information Y.₁= R₁× s^e1  mod N, Y₂= R₂× s^e2  mod N, ..., Y_w= R_w× s^ew  mod N is calculated and transmitted to the verifier, and (4) the verifier checks the verification formula h (Y₁ ²× v^e1  mod N @ Y₂ ²× v^e2  mod N‖… ‖Y_w ²× v^ew  mod N) = X is verified, and if it is satisfied, the prover is authenticated. If not, the prover is not authenticated. Therefore, the data communication amount and the number of times of communication from the prover to the verifier are configured. Can be reduced.
[0047]
In addition, (1) the prover provides the verifier j (1 ≦ j ≦ n−1) with n−1 random numbers r when n ≧ w._jTo generate the first half information X_j= R_j ²  mod N (1 ≦ j ≦ n−1) is calculated and broadcasted. If n <w, w random numbers r₁, ..., r_wAnd generate w pieces of first half information X_j= R_j ²  mod N, X_{j + n-1}= R_{j + n-1} ²  mod N, X_{j + 2 (n-1)}= R_{j + 2 (n-1)} ²  mod N,... are broadcasted. (2) The verifier j (1 ≦ j ≦ n−1), when n ≧ w, the first half information X corresponding to its own ID_jAnd a random number e having a value of “0” or “1”_jAnd when n <w, the first half information X corresponding to the own ID_j, X_{j + n-1}, X_{j + 2 (n-1)}, ..., and a random number e having a value of "0" or "1"_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the prover is e if n ≧ w_jN-1 pieces of verification information Y using_j= R_j× s^ej  mod N is calculated and broadcasted, and if n <w, e_j, E_{j + n-1}, E_{j + 2 (n-1)},..., W pieces of verification information Y_j= R_j× s^ej  mod N, Y_{j + n-1}= R_j× s^{ej + n-1}  mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)}  mod N,... are broadcasted. (4) The verifier j verifies the verification formula Y when n ≧ w._j ²× v^ej  mod N = X_j  Is satisfied, and when n <w, the verification equation Y_j ²× v^ej  mod N = X_j, Y_{j + n-1} ²× v^{ej + n-1}  mod N = X_{j + n-1}, Y_{j + 2 (n-1)} ²× v^{ej + 2 (n-1)}  mod N = X_{j + 2 (n-1)}, ... is established, and if it is not established, it broadcasts that it is unsuccessful, and if it is established, it is assumed that it has been authenticated unless it is broadcast by another verifier that it is unsuccessful. With the configuration, the effect of reducing the amount of communication from the prover to the verifier and the amount of calculation by the verifier can be obtained.
[0048]
Further, (1) the prover provides the verifier j (1 ≦ j ≦ n−1) with n−1 random numbers r when n ≧ w._jTo generate n-1 pieces of first half information X_j= H (r_j ²  mod N) is calculated and broadcasted, and when n <w, w random numbers r₁, ..., r_wTo generate n-1 pieces of first half information X_j= H (r_j ²  mod N‖r_{j + n-1} ²  mod N‖r_{i + 2 (n-1)} ²  mod N‖...), and broadcasts the data._jAnd a random number e having a value of “0” or “1”_jAnd when n <w, the first half information X corresponding to the own ID_jAnd a random number e having a value of “0” or “1”_j, E_{j + n-1}, E_{j + 2 (n-1)}, ..., and (3) the prover is e if n ≧ w_jN-1 pieces of verification information Y using_j= R_j× s^ej  mod N (1 ≦ j ≦ n−1) is calculated and broadcasted. If n <w, e is calculated._j, E_{j + n-1}, E_{j + 2 (n-1)},... (1 ≦ j ≦ n−1), w pieces of verification information Y_j= R_j× s^ej  mod N, Y_{j + n-1}= R_j× s^{ej + n-1}  mod N, Y_{j + 2 (n-1)}= R_j× s^{ej + 2 (n-1)}  mod N,... (1 ≦ j ≦ n−1) and broadcast. (4) The verifier j verifies the verification formula h (Y_j ²× v^ej  mod N) = X_j  Is satisfied, and when n <w, the verification expression h (Y_j ²× v^ej  mod N @ Y_{j + n-1} ²× v^{ej + n-1}  mod N @ Y_{j + 2 (n-1)} ²× v^{ej + 2 (n-1)}  mod N) = X_j  Is confirmed, and if it is not established, it broadcasts that it is not established. Therefore, the effect of reducing the amount of communication from the prover to the verifier and the amount of calculation by the verifier can be obtained.
[Brief description of the drawings]
FIG. 1 is a flowchart showing a procedure of an authentication method according to a first embodiment of the present invention;
FIG. 2 is a diagram showing step (1) of the authentication method according to the second embodiment of the present invention;
FIG. 3 is a diagram showing step (2) of the authentication method according to the second embodiment of the present invention;
FIG. 4 is a diagram showing step (3) of the authentication method according to the second embodiment of the present invention;
FIG. 5 is a diagram showing a step (4) of the authentication method according to the second embodiment of the present invention;
FIG. 6 is an explanatory diagram of an authentication method in a conventional one-to-one communication system,
FIG. 7 is an explanatory diagram of step (1) of the conventional parallel Fit-Shamir method;
FIG. 8 is an explanatory diagram of step (2) of the conventional parallel Fit-Shamir method;
FIG. 9 is an explanatory diagram of step (3) of the conventional parallel Fit-Shamir method;
FIG. 10 is an explanatory diagram of step (4) of the conventional parallel Fit-Shamir method.
[Explanation of symbols]
1 Prover
2 Verifier
3 Broadcast network

Claims

In an authentication method in a communication system capable of performing broadcast communication comprising n (n ≧ 3 ) communication devices, a communication device which is desired to be authenticated among the communication devices is a prime number p, q having a predetermined size in advance. And a composite number N (= p × q), an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s ² × v mod N = 1), and It is securely stored as a secret key, the above N and v are made public as a public key, the number of times of repetition of authentication is defined as w, and when receiving authentication, the ID of the communication device excluding the communication device that is desired to be authenticated Is j (1 ≦ j ≦ n−1),
(1) The communication device that desires to be authenticated is, with respect to the communication device j (1 ≦ j ≦ n−1) excluding the communication device that desires to be authenticated,
When n ≧ w: n−1 random numbers r _j are generated and the first half information X _j = r _j ² mod N (1 ≦ j ≦ n−1)
Is calculated and broadcast,
If n <w: generate _w random numbers r ₁ ,..., R _w to generate w first half information X _j = r _j ² mod N,
X _{j + n-1} = r _{j + n-1} ² mod N,
X _{j + 2 (n−1)} = r _{j + 2 (n−1)} ² mod N,.
Is calculated and broadcast,
(2) The communication device j (1 ≦ j ≦ n−1) excluding the communication device that desires to be authenticated,
· For n ≧ w: holding the first half information X _j corresponding to its own ID, and a random number e _j with a value of "0" or "1" to broadcast,
When n <w: The first half information X _j , X _{j + n−1} , X _{j + 2 (n−1)} ,... Corresponding to the own ID is held, and the value is “0” or “1”. random number _{_{e j, e j + n-}} 1, e j + 2 (n-1), ... was broadcast,
(3) The communication device that wants to be authenticated is
· For n ≧ w: calculates the n-1 pieces of verification information with _{_{_{e j Y j = r j ×}}} s ej mod N and broadcasting,
When n <w: w pieces of verification information Y _j = r _j × s ^ej mod N, using e _j , e _{j + n−1} , e _{j + 2 (n−1)} ^,.
Y _{j + n-1} = r _j × s ^{ej + n-1} mod N,
_{Y j + 2 (n-1} ) = r j × s ej + 2 (n-1) mod N, ...
Is calculated and broadcast,
(4) The communication device j excluding the communication device desired to be authenticated is:
When n ≧ w: Verification formula Y _j ² × v ^ej mod N = X _j
Make sure that
When n <w: verification formula Y _j ² × v ^ej mod N = X _j ,
Y _{j + n-1} ² × v ^{ej + n-1} mod N = X _{j + n-1} ,
Y _{j + 2 (n-1)} ² × v ^{ej + 2 (n-1)} mod N = X _{j + 2 (n-1)} , ...
Is confirmed, and if not, broadcast that it is not established, and if it is, broadcast that it is not established from other communication devices except the communication device that wants to be authenticated. An authentication method characterized by authenticating unless otherwise performed.

In an authentication method for a communication system capable of broadcast communication comprising n communication devices (n is an integer of 3 or more), a communication device desired to be authenticated among the communication devices is a prime number of a predetermined size in advance. p, q, their combined number N (= p × q), an arbitrary integer s (1 ≦ s ≦ N−1) and an integer v (s ² × vmod N = 1) are generated, and the p, q, s is securely stored as a secret key, the above N and v are disclosed as public keys, an arbitrary compression function h (‖ ‖...) is disclosed, and the number of times of repetition of authentication is defined as w. Is the ID of a communication device excluding the communication device desired to be authenticated, j (1 ≦ j ≦ n−1),
(1) The communication device that desires to be authenticated is, with respect to the communication device j (1 ≦ j ≦ n−1) excluding the communication device that desires to be authenticated,
When n ≧ w: n−1 random numbers r _j are generated, and n−1 first half information X _j = h (r _j ² mod N)
Is calculated and broadcast,
If n <w: generate _w random numbers r ₁ ,..., R _w, and generate n−1 first half information X _j = h (r _j ² mod N _{ r _{j + n−1} ² mod N} r _{i + 2 (n-1)} ² mod N‖…)
Is calculated and broadcast,
(2) The communication device j (1 ≦ j ≦ n−1) excluding the communication device that is desired to be authenticated,
· For n ≧ w: holding the first half information X _j corresponding to its own ID, and a random number e _j with a value of "0" or "1" to broadcast,
When n <w: The first half information _Xj corresponding to the own ID is held, and random numbers e _j , e _{j + n−1} , e _{j + 2 (n− 1)} Broadcast,…
(3) The communication device that wants to be authenticated is
For · n ≧ w: n-1 pieces of verification information with _{_{_{e j Y j = r j ×}}} s ej mod N (1 ≦ j ≦ n-1)
Is calculated and broadcast,
When n <w: w pieces of verification information Y _j = r _j using e _j , e _{j + n−1} , e _{j + 2 (n−1)} ,... (1 ≦ j ≦ n−1) × s ^ej mod N,
Y _{j + n-1} = r _j × s ^{ej + n-1} mod N,
Y _{j + 2 (n−1)} = r _j × s ^{ej + 2 (n−1)} mod N,... (1 ≦ j ≦ n−1)
Is calculated and broadcast,
(4) The communication device j excluding the communication device that desires to be authenticated,
When n ≧ w: verification equation h (Y _j ² × v ^ej mod N) = X _j
Make sure that
When n <w: verification equation h (Y _j ² × v ^ej mod N‖Y _{j + n−1} ² × v ^{ej + n−1} mod N
_{ Y _{j + 2 (n-1)} ² × v ^{ej + 2 (n-1)} mod N‖ ...) = X _j
Is confirmed, and if not, broadcast that it is not established, and if it is, broadcast that it is not established from other communication devices except the communication device that wants to be authenticated. An authentication method characterized by authenticating unless otherwise performed.