JP4588874B2 - 内在的証明書方式 - Google Patents

Description

【０００１】
本発明は、暗号化鍵の転送および認証のための鍵配送方式に関する。
【０００２】
（発明の背景）
Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有（Diffie-Hellman key agreement）は、暗号システムでの鍵配送問題（Key distribution problem）に対する最初の実用的な解決策をもたらした。この鍵共有プロトコルでは、事前に会ったことも共有（分散）鍵材料（shared key material）を有したこともない２つの当事者が、オープンな（保護されない）チャネルを介してメッセージ（文書）を交換することによって、共有される秘密（shared secret）を確立することができる。セキュリティは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題の扱い難さと、関連する離散対数の計算問題にかかっている。
【０００３】
インターネットおよび類似物の出現に伴って、公開鍵（Public key；パブリック・キー）および公開鍵証明書（Public key certificate）の大規模な配送の必要が、ますます重要になりつつある。公開鍵証明書は、それによって、検出不能な改ざんの危険性（danger of undetectable manipulation）なしに、保護されない媒体（unsecured media）を介して公開鍵を格納、配送、または転送することのできる媒介物（vehicle）である。その目的は、一方の当事者の公開鍵を他方の当事者が入手できるようにし、その認証性（authenticity）および有効性（validity）を検証可能に（verfiable）することである。
【０００４】
公開鍵証明書は、データ部分および署名部分からなるデータ構造を有する。データ部分には、最低限として公開鍵およびそれに関連する当事者を識別する文字列を含む平文データが含まれる。署名部分は、データ部分に対する認証機関（certification authority、ＣＡ）のディジタル署名からなり、これによって、エンティティのアイデンティティ（identity;個人情報）が、指定された公開鍵と結びつけられる。ＣＡは信頼できる第三者であり、証明書のＣＡの署名は対象のエンティティに結びつけられた公開鍵の認証性（Authenticity）を保証する。
【０００５】
アイデンティティに基づくシステム（ＩＤに基づくシステム）は、通常の公開鍵システムに類似し、秘密変換（private transformation）と公開変換(public transformation)を用いるが、当事者は、以前のように明示的な公開鍵を有しない。その代わりに、公開鍵は、効果的に、一般に入手可能な当事者のアイデンティティ情報（たとえば氏名またはネットワーク・アドレス）に置換される。当事者を一意に識別し、その当事者に否定不能な形で（undeniably）関連付けることができる、一般に入手可能な情報であれば、どのような情報でもアイデンティティ情報として使用可能である。
【０００６】
公開鍵配送の代替手法では、内在的に証明される公開鍵（Implicitly certified public keys）が使用される。この場合、明示的なユーザー公開鍵が存在するが、その鍵は、証明書に基づくシステムのように公開鍵証明書（public-key certificate）によって運ばれるのではなく、再構成（reconstruct）されなければならない。したがって、内在的に証明される公開鍵は、公開鍵（たとえばＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵）を配送するための代替手段として使用することができる。
【０００７】
内在的に証明される公開鍵機能の１例が、Ｇｕｎｔｈｅｒの内在的に証明される（ＩＤに基づく）公開鍵方法である。この方法では、
１．信頼できるサーバＴ（trusted server）が、適当な固定された公開の素数ｐ、およびＺ_p ^*のジェネレータαを選択する。Ｔは、１≦ｔ≦ｐ−２かつｇｃｄ（ｔ，ｐ−１）＝１であるランダムな整数ｔをその秘密鍵（private key）として選択し、公開鍵ｕ＝α^t ｍｏｄ ｐをαおよびｐと共に公開する。
【０００８】
２．Ｔは、各当事者Ａに、一意の名前または識別する文字列Ｉ_Aおよび、ｇｃｄ（ｋ_A、ｐ−１）＝１であるランダムな整数ｋ_A、を割り当てる。Ｔは、その後、
【０００９】
【数１】

【００１０】
を計算する。Ｐ_Aは、Ａの鍵再構成公開データであり、これを用いて、他の当事者が、以下で示すように（Ｐ_A）^aを計算することができるようになる。
【００１１】
３．適当なハッシュ関数ｈを使用して、Ｔは、ａについて下の式を解く。
Ｈ（Ｉ_A）≡ｔ．Ｐ_A＋ｋ_Aａ（ｍｏｄ ｐ−１）
４．Ｔは、Ｉ_Aに対するＴのＥｌＧａｍａｌ署名である対（ｒ，ｓ）＝（Ｐ_A，ａ）を、保護された形でＡに送信する（ａは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有のためのＡの秘密鍵である）。
【００１２】
５．他の当事者は、次式を計算することによって、一般に入手可能な情報（α、Ｉ_A、ｕ、Ｐ_A、ｐ）だけから、ＡのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ公開鍵Ｐ_A ^αを再構成することができる。
【００１３】
【数２】

【００１４】
したがって、離散対数問題の場合、証明書への署名は１回の累乗（exponentiation）演算を必要とするが、ＩＤに基づく内在的に証明される公開鍵の再構成は、２回の累乗が必要である。群（group）Ｚ_p ^*での累乗およびＥ（Ｆｑ）内の点のアナログ・スカラ乗算は、計算量的に強烈（computationally intensive）であることが既知である。たとえば、ＲＳＡ方式は、楕円曲線システムと比較して極端に低速である。しかし、ＲＳＡタイプのシステムに対するＥＣシステムの明確な効率にもかかわらず、これは、特に「スマート・カード」、ポケット・ベル、および類似物などの限られた計算能力を有するコンピューティング装置にとって、まだ問題である。
【００１５】
（発明の概要）
本発明は、既存の方式に対して改良された計算速度をもたらす、効率的なＩＤに基づく内在的証明書方式の提供を試みる。便宜上、本明細書ではＺ_pに対する方式を説明するが、これらの方式は、楕円曲線暗号システムでも同等に実施可能である。
【００１６】
本発明によれば、少なくとも１つの信頼できるエンティティＣＡおよび加入者エンティティＡを有する保護されたディジタル通信システム内でアイデンティティに基づく公開鍵を生成する方法であって、
（ａ）各エンティティＡについて、ＣＡが、エンティティＡを区別する一意のアイデンティティＩ_Aを選択するステップと、
（ｂ）信頼できる当事者ＣＡのジェネレータをエンティティＡの私的な値（private value）と数学的に組み合わせ、対（Ｉ_A、γ_A）がＡの内在的証明書として働くようにすることによって、エンティティＡの公開鍵再構成公開データγ_Aを生成するステップと、
（ｃ）エンティティ情報ｆを導出するために、数学関数Ｆ（γ_A、Ｉ_A）に従って内在的証明書情報（Ｉ_A、γ_A）を組み合わせるステップと、
（ｄ）エンティティ情報ｆに署名することによってエンティティＡの秘密鍵を生成するステップと、
秘密鍵をエンティティＡに送信するステップとを含み、
これによって、エンティティＡの公開鍵を、公開情報、ジェネレータγ_A、およびアイデンティティＩ_Aから比較的効率的に再構成できるようにする方法が提供される。
【００１７】
本発明のもう１つの態様によれば、異なるビット強度（bit strengths）を有する複数の公開鍵を含み、公開鍵の１つが内在的に証明される公開鍵になることを特徴とする、公開鍵証明書が提供される。
【００１８】
（好ましい実施形態の詳細な説明）
図１を参照すると、内在的に証明される公開鍵（Implicitly certified public key）を有するシステムが、全般的に符号１０によって示されている。このシステム１０には、信頼できる第三者のＣＡおよび、少なくとも第１通信者Ａおよび第２通信者Ｂの対が含まれる。通信者ＡおよびＢは、通信チャネルを介して情報を交換し、通信者ＡおよびＢのそれぞれには、認定／検証（finding/verification）および暗号化／非暗号化（解読）（encryption/decryption）を実行する暗号装置（cryptographic unit）が含まれる。
【００１９】
図１を参照すると、信頼できる当事者ＣＡは、大きい素数ｑについてｐ＝ｔｑ＋１である適当な素数ｐと、オーダー（order）ｑのジェネレータαを選択する。ＣＡは、その秘密鍵として１≦ｃ≦ｑ−１のランダムな整数ｃを選択し、公開鍵β＝α^cを計算し、（β、α、ｐ、ｑ）を公開する。
【００２０】
方式１：
１．各当事者Ａについて、ＣＡは、一意の区別される名前またはアイデンティティＩ_A（たとえば、氏名、住所、電話番号）および、１≦ｃ_A≦ｑ−１のランダムな整数ｃ_Aを選択する。次に、ＣＡは、
【００２１】
【数３】

【００２２】
を計算する（γ_Aは、当事者Ａの公開鍵再構成公開データである。対（Ｉ_A、γ_A）は、Ａの内在的証明書として働く）。
【００２３】
２．ＣＡは、関数ｆ＝Ｆ（Ｉ_A、γ_A）を選択する。たとえば、Ｆ（γ_A、Ｉ_A）＝γ_A＋ｈ（Ｉ_A）またはＦ（γ_A、Ｉ_A）＝ｈ（γ_A＋Ｉ_A）である。ここで、ｈは、安全なハッシュ関数であり、当事者Ａの秘密鍵であるａについて次式を解く。ａ＝０の場合には、ＣＡは、別のｃ_Aを選択し、もう一度次式を解く。
１＝ｃｆ＋ｃ_Aａ（ｍｏｄ ｑ）
３．ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信する。この３つ組は、Ｉ_Aに対するＣＡの署名である。ここで、
αは、Ａの秘密鍵であり、
γ_Aは、Ａのジェネレータであり、
【００２４】
【数４】

【００２５】
は、Ａの公開鍵である。
Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算し、したがって公開鍵を導出することによって、公開ドメインから当事者Ａの（ＩＤに基づく）内在的に検証可能な公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
このように上述の式から公開鍵を引き出すことは、ただ１つの累乗演算（exponentiation operation）を必要とする。
【００２６】
誰でも公開データから当事者Ａの公開鍵を再構成することができるが、これは、再構成された公開鍵γ_A ^aが証明されたことを意味しない。この方式は、当事者Ａが対応する秘密鍵の完全な知識を有することを示すアプリケーション・プロトコルと組み合わされたときに、より効果的になる。たとえば、ＭＱＶ鍵共有方式またはなんらかの署名方式、特にＫＣＤＳＡ（Korean Certificate based Digital Signature Algorithm）と組み合わされたときである。一般に、この内在的証明書方式は、証明書を検証することを必要とするどの方式とも、共に使用することができる。これは、ＤＳＡ（Digital Signature Algorithm）署名方式に言及することによって実証することができる。
【００２７】
アリスが、公開鍵α、ジェネレータγ_Aを有し、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開すると仮定する。次に、アリスは、ＤＳＡを使用してメッセージＭに署名しようとする。
アリスは、下記を実行する。
１．ランダムにｋを選択し、ｒ＝γ_A ^k（ｍｏｄ ｐ）を計算する。
２．ｅ＝ｓｈａ−１（Ｍ）を計算する。
３．ｓ＝ｋ^-1（ｅ＋ａｒ）（ｍｏｄ ｐ）を計算する。
４．Ｍに対する署名は、（ｒ、ｓ）になる。
【００２８】
検証者は、下記を実行する。
１．アリスの公開データ（α、Ｉ_A、β、γ_A、ｐ、ｑ）を取得し、公開鍵を再構成する。
δ_A＝γ_A ^a＝αβ^-1（ｍｏｄ ｐ）
２．ｅ＝ｓｈａ−１（Ｍ）を計算する。
３．ｕ₁＝ｅｓ^-1（ｍｏｄ ｑ）およびｕ₂＝ｒｓ^-1（ｍｏｄ ｑ）を計算する。
４．
【００２９】
【数５】

【００３０】
を計算する。
５．ｒ＝ｒ’の場合には、署名が検証される。それと同時に、アリスの（ＩＤに基づく）公開鍵が、内在的に検証される。
【００３１】
対（Ｉ_A、γ_A）は、アリスの証明書として働く。公開鍵の再構成は、アプリケーション・プロトコルが有効な検証をもたらすときに、内在的検証として働く。公開鍵を取得するために、１回の累乗演算だけが必要であることを想起されたい。
【００３２】
代替実施形態では、署名方程式を適当に変更することによって、この方式をほとんどのＥｌＧａｍａｌ署名方式に一般化することができる。以下の節で、いくつかの例を示す。
【００３３】
方式２：
ＣＡは、署名方程式ｌ＝ｃａ＋ｃ_Aｆ（ｍｏｄ ｑ）を使用する。ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信し、その後、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
この方式では、各ユーザーが、同一のジェネレータβを有し、このβは、ＣＡの公開鍵である。
【００３４】
方式３：
ＣＡは、署名方程式ａ＝ｃｆ＋ｃ_A（ｍｏｄ ｑ）を使用する。ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信し、その後、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
この方式では、ＣＡを含む各ユーザーが、同一のジェネレータαを有する。
【００３５】
方式４：
ＣＡは、署名方程式ａ≡ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）を使用する。ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信し、その後、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
この方式では、ＣＡを含む各ユーザーが、同一のジェネレータαを有する。
【００３６】
上の方式では、ユーザーまたは当事者Ａは、それ自体の秘密鍵を選択する権利を有しない。図２に示された以下の方式は、ＣＡおよびユーザーの両方が、ユーザーの秘密鍵を制御するが、ユーザーだけがその秘密鍵を知っている。
【００３７】
方式５’：
Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。ＣＡは、
【００３８】
【数６】

【００３９】
を計算し、ｋ_Aについて以下の署名方程式を解く。
１＝ｃｆ＋ｃ_Aｋ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【００４０】
【数７】

【００４１】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。Ａは、ａ＝ｋ_Aｋ^-1（ｍｏｄ ｑ）およびγ_A＝（γ_A ¹）^k（ｍｏｄ ｐ）を計算する。その後、ａがＡの秘密鍵、γ_AがＡのジェネレータ、γ_A ^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
方式６：
１．Ａは、まず、整数ｋをランダムに選択し、β^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００４２】
【数８】

【００４３】
およびｆ＝Ｆ（γ_A、Ｉ_A）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｋ_A＋ｃ_Aｆ（ｍｏｄ ｑ）
その後、ＣＡは、
【００４４】
【数９】

【００４５】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
注：（γ_A ¹、ｋ_A、Ｉ_A）は、公開チャネルによって送信することができる。
３．Ａは、
【００４６】
【数１０】

【００４７】
、ｆ＝Ｆ（γ_A、Ｉ_A）、およびａ＝ｋ_A−ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、β^a＝αγ_A ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
【００４８】
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
方式７：
Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。ここでＣＡは、
【００４９】
【数１１】

【００５０】
を計算し、ｋ_Aについて署名方程式を解く。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【００５１】
【数１２】

【００５２】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。Ａは、
【００５３】
【数１３】

【００５４】
を計算する。その後、ａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）がＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
方式８：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００５５】
【数１４】

【００５６】
およびｆ＝Ｆ（γ_A、Ｉ_A）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）
その後、ＣＡは、
【００５７】
【数１５】

【００５８】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
注：（γ_A ¹、ｋ_A、Ｉ_A）は、公開チャネルによって送信することができる。
３．Ａは、
【００５９】
【数１６】

【００６０】
、ｆ＝Ｆ（γ_A、Ｉ_A）およびａ＝ｋ_A＋ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝γ_A ^fβであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
上の方式５〜８では、ｋ_Aが公開チャネルによって送信されるので、誰もが、ユーザーＡの秘密鍵αの部分的な情報を得ることができる。この情報を隠し、上の方式の計算を高速化するために、ＤＥＳ暗号化を導入して、方式５〜８を変更することによって、以下の方式９〜１２を得た。方式９〜１２の長所は、βが固定されているので、ユーザーが簡単にＫを計算できることである。
【００６１】
方式９：
１．Ａは、まず、整数ｋをランダムに選択し、α_kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００６２】
【数１７】

【００６３】
およびｆ＝Ｆ（γ_A、β、Ｉ_A）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｆ＋ｃ_Aｋ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝（ａ^k）^c（ｍｏｄ ｐ）および
【００６４】
【数１８】

【００６５】
を計算し、３つ組
【００６６】
【数１９】

【００６７】
をＡに送信する。
３．Ａは、Ｋ＝β^k（ｍｏｄ ｐ）、
【００６８】
【数２０】

【００６９】
、およびａ＝ｋ_Aｋ^-1（ｍｏｄ ｑ）を計算する（ａ＝１の場合には、ステップ１に戻る）。その後、γ_A ^a＝αβ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、γ_AがＡのジェネレータ、γ_A ^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
方式１０：
１．Ａは、まず、整数ｋをランダムに選択し、β^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００７０】
【数２１】

【００７１】
およびｆ＝Ｆ（γ_A、β、Ｉ_A）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｋ_A＋ｃ_Aｆ（ｍｏｄ ｑ）
次に、ＣＡは、
【００７２】
【数２２】

【００７３】
を計算し、３つ組
【００７４】
【数２３】

【００７５】
をＡに送信する。
注：
【００７６】
【数２４】

【００７７】
は、公開チャネルによって送信することができる。
３．Ａは、
【００７８】
【数２５】

【００７９】
を計算し、ａ＝ｋ_A−ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、β^a＝αγ_A ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
方式１１：
１．Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００８０】
【数２６】

【００８１】
およびｆ＝Ｆ（γ_A、β、Ｉ_A）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A＝ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝（α^k）^c（ｍｏｄ ｐ）および
【００８２】
【数２７】

【００８３】
を計算し、３つ組
【００８４】
【数２８】

【００８５】
をＡに送信する。
注：
【００８６】
【数２９】

【００８７】
は、公開チャネルによって送信することができる。
３．Ａは、Ｋ＝β^k（ｍｏｄ ｐ）、
【００８８】
【数３０】

【００８９】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝β^fγ_Aであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、α^a＝γ_A ^f（ｍｏｄ ｐ）を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
【００９０】
方式１２：
１．Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【００９１】
【数３１】

【００９２】
およびｆ＝Ｆ（γ_A、β、Ｉ_A）を計算し、ｋ_A（ｋ_A＝０の場合には、別のｃ_Aを選択する）ｋ_A＝ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）を計算する。
次に、ＣＡは、Ｋ＝（α^k）^c（ｍｏｄ ｐ）および
【００９３】
【数３２】

【００９４】
を計算し、３つ組
【００９５】
【数３３】

【００９６】
をＡに送信する。
注：
【００９７】
【数３４】

【００９８】
は、公開チャネルによって送信することができる。
３．Ａは、Ｋ＝β^k（ｍｏｄ ｐ）、
【００９９】
【数３５】

【０１００】
、ｆ＝Ｆ（γ_A、β、Ｉ_A）、およびａ＝ｋ_A＋ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝γ_A ^fβであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
方式９〜１２の長所は、βが固定されているのでユーザーＡがＫを簡単に計算できることと、ｋ_Aが暗号化され、他人がそれを知ることができなくなっていることである。
【０１０１】
方式５〜１２の場合、関数Ｆ（γ_A、β、Ｉ_A）にオプション・パラメータＯＰを追加すること（すなわち、ｆ＝Ｆ（γ_A、β、Ｉ_A、ＯＰ）によって、これらの方式がより役立つものになる。たとえば、
【０１０２】
【数３６】

【０１０３】
である。ここでａ_Eは、ユーザーＡの秘密暗号化鍵であり、
【０１０４】
【数３７】

【０１０５】
は、Ａの公開暗号化鍵である。下の方式１５は、方式７の変形形態である。方式５〜１２を、同一の形で変更することができる。方式１〜４も、同一の形で変更することができる。
【０１０６】
方式１３：
１．Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０１０７】
【数３８】

【０１０８】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝Ｈ（（α^k）^c）および
【０１０９】
【数３９】

【０１１０】
を計算し、３つ組
【０１１１】
【数４０】

【０１１２】
をＡに送信する。
３．Ａは、Ｋ＝Ｈ（β^k）、
【０１１３】
【数４１】

【０１１４】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、γ_A＝α^aβ^-f（ｍｏｄ ｐ）を計算し、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）であるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
さらに、方式１４に従うことによって、帯域幅（bandwidth）を減らすことができる。
【０１１５】
方式１４：
１．Ａは、まず、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０１１６】
【数４２】

【０１１７】
を計算し、
【０１１８】
【数４３】

【０１１９】
をγ_Aの最初の８０個の最下位ビットとしてセットする。その後、
【０１２０】
【数４４】

【０１２１】
およびｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝（α^k）^c（ｍｏｄ ｐ）および
【０１２２】
【数４５】

【０１２３】
を計算し、３つ組
【０１２４】
【数４６】

【０１２５】
をＡに送信する。
注：
【０１２６】
【数４７】

【０１２７】
は、公開チャネルによって送信することができる。
３．Ａは、Ｋ＝β^k（ｍｏｄ ｐ）、
【０１２８】
【数４８】

【０１２９】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、
【０１３０】
【数４９】

【０１３１】
、γ_A＝α^aβ^-f（ｍｏｄ ｐ）を計算し、γ_Aの最初の８０個の最下位ビットが
【０１３２】
【数５０】

【０１３３】
であるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
方式５．ｃのセキュリティ・レベルは、前に述べた他の方式ほどではない。方式５．ｃは、８０ビットのセキュリティだけを有する。しかし、現在の実用的なアプリケーションにはこれでよい。最初の８０個の最下位ビットを、γ_Aの半分の下位ビットに拡張することができる。
【０１３４】
内在的証明書は、情報にオプション・パラメータＯＰを含めることによって、他の有用な情報を証明するのに使用することができる。たとえば、
【０１３５】
【数５１】

【０１３６】
である。ここで、ａ_Eは、Ａのもう１つの秘密鍵であり、
【０１３７】
【数５２】

【０１３８】
は、対応する公開鍵である。下の方式１５は、方式７の変形形態である。他の方式も、同一の形で変更することができる。
【０１３９】
方式１５：
１．整数ａ_Eをランダムに選択し、
【０１４０】
【数５３】

【０１４１】
を計算する。
２．Ａは、整数ｋをランダムに選択し、α^kを計算し、α^kおよび
【０１４２】
【数５４】

【０１４３】
をＣＡに送信する。
３．ＣＡは、整数ｃ_Aをランダムに選択し、
【０１４４】
【数５５】

【０１４５】
および
【０１４６】
【数５６】

【０１４７】
（たとえば
【０１４８】
【数５７】

【０１４９】
）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A＝ｃｆ＋ｃ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【０１５０】
【数５８】

【０１５１】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
注：（γ_A ¹、ｋ_A、Ｉ_A）は、公開チャネルによって送信することができる。
４．Ａは、ａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算し（ａ＝０、１の場合には、ステップ１に戻る）、
【０１５２】
【数５９】

【０１５３】
を計算する。その後、α^a＝β^fγ_Aであるかどうかを検査する。ここで、ａがＡの秘密署名鍵であり、αがＡのジェネレータ、α^aがＡの公開署名鍵であり、ａ_EがＡの秘密暗号化鍵、
【０１５４】
【数６０】

【０１５５】
がＡの公開暗号化鍵である。Ａは、公開ドメインで
【０１５６】
【数６１】

【０１５７】
を公開する。
５．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
注：（方式１３〜１５について）
１．アイデンティティＩ_Aは、ＣＡまたはエンティティＡのいずれかによって選択することができる。
２．ＣＡは、エンティティＡを認証しなければならない。これは、方式１１の注２に記載の方法によって行うことができる。
３．
【０１５８】
【数６２】

【０１５９】
または
【０１６０】
【数６３】

【０１６１】
または（γ_A ¹、ｋ_A、Ｉ_A）を、公開チャネルによって送信することができる。本発明の方式では、（α、γ_A）は、ＡのＩＤ、Ｉ_Aに対するＣＡの署名であり、これは公衆によって知られると思われた。しかし、現在は、ユーザーＡだけがａを知る。したがって、本発明の方式を使用するときには、アプリケーション・プロトコルで、ユーザーＡが自分自身の秘密鍵を知るようにしなければならない。言い換えると、アプリケーション・プロトコルは、Ａが計算に自分の秘密鍵を使用することを保証しなければならない。
【０１６２】
新方式のセキュリティは、署名方程式に依存する。たとえば、方式１では、署名方程式は次式である。
１＝ｃｆ＋ｃ_Aａ（ｍｏｄ ｑ） （１）
以下で、１方向関数Ｆ（γ_A、Ｉ_A）の選択について、新しい方式１がＤＳＡと同等であることを示す。
【０１６３】
ＣＡが、ＡのアイデンティティＩ_Aに署名するのにＤＳＡ署名方程式を使用すると仮定する。まず、ＣＡは、ｃ_Aをランダムに選択し、
【０１６４】
【数６４】

【０１６５】
を計算し、次に、ＣＡは、安全なハッシュ関数ｈを使用してｈ（Ｉ_A）を計算し、最後に、ＣＡは、ｓについて次式を解く。
ｈ（Ｉ_A）≡ｃγ_A＋ｃ_Aｓ（ｍｏｄ ｑ） （２）
ここで、（γ_A、ｓ）は、Ｉ_Aに対するＣＡの署名である。
式（２）にｈ（Ｉ_A）^-1を乗ずることによって、次式が得られる。
１≡ｃγ_Aｈ（Ｉ_A）^-1＋ｃ_Aｓｈ（Ｉ_A）^-1（ｍｏｄ ｑ）
Ｆ（γ_A、Ｉ_A）＝γ_Aｈ（Ｉ_A）^-1であると仮定し、上の式のｓｈ（Ｉ_A）^-1をａで置換することによって、式（１）が得られる。明らかに、式（２）は、Ｆ（γ_A、Ｉ_A）＝γ_Aｈ（Ｉ_A）^-1の場合に、式（１）と同等である。これは、誰かが署名方程式（１）を使用してこの方式を破ることができる場合に、その人物が、ＤＳＡ方式である署名方程式（２）を使用してこの方式を破ることができることを意味する。
【０１６６】
ヒューリスティックな（heuristic）議論から、Ｆ（γ_A、Ｉ_A）＝γ_Aｈ（Ｉ_A）またはＦ（γ_A、Ｉ_A）＝ｈ（γ_A、Ｉ_A）である場合に、本発明の新方式が、Ｆ（γ_A、Ｉ_A）の適当な選択について安全であることが暗示される。Ｆ（γ_A、Ｉ_A）は、なんらかの他の形にすることができ、たとえば、Ｉ_Aが小さく、たとえば２０ビットであるが、ｑが１８０ビットを超えるときに、Ｆ（γ_A、Ｉ_A）＝γ_A＋Ｉ_Aを使用することができる。新方式の短所は、すべてのユーザーおよびＣＡが同一のフィールド・サイズを使用することである。しかし、これは、たとえばＧｉｒａｕｌｔのＲＳＡに基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ公開鍵共有方式など、すべてのＩＤに基づく内在的に証明される公開鍵方式が動作する方法である。
【０１６７】
もう１組の方式も、次のように説明することができる。
【０１６８】
システム・セットアップ：信頼できる当事者ＣＡは、大きい素数ｑについてｐ＝ｔｑ＋１である適当な素数ｐと、オーダー（位数）ｑのジェネレータαを選択する。ＣＡは、その秘密鍵として１＜ｃ＜ｑ−１のランダムな整数ｃを選択し、公開鍵β＝α^c ｍｏｄ ｐを計算し、（β、α、ｐ、ｑ）を公開する。その後、ＣＡは、特殊な暗号関数ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）（ｆ：｛０、１｝^*→｛１、２、…、（ｑ−１）｝）を選択し、この関数を用いて、内在的証明書を作るのに使用される署名方式が安全になるようにする。ここで、ＯＰは、ユーザーが関係することのできるなんらかのオプション・パラメータ（日付、またはＣＡの公開鍵β）を表す。たとえば、ｈが安全なハッシュ関数であるものとすると、ｆは、以下の形式のいずれかにすることができる。
１．Ｆ（γ_A、Ｉ_A、ＯＰ）＝γ_A＋β＋ｈ（Ｉ_A）
２．Ｆ（γ_A、Ｉ_A、ＯＰ）＝ｈ（γ_A‖β‖Ｉ_A）
３．Ｆ（γ_A、Ｉ_A、ＯＰ）＝γ_A＋β＋Ｉ_A、ここで、Ｉ_Aは、なんらかのパターン（または、Ｉ_Aが小さく、たとえば２０ビットであり、ｑが１８０ビットを超えるとき）を有する。
４．Ｆ（γ_A、Ｉ_A、ＯＰ）＝γ_A＋ｈ（Ｉ_A）
５．Ｆ（γ_A、Ｉ_A、ＯＰ）＝ｈ（γ_A‖Ｉ_A）
６．Ｆ（γ_A、Ｉ_A、ＯＰ）＝γ_A＋Ｉ_A、ここで、Ｉ_Aは、なんらかのパターン（または、Ｉ_Aが小さく、たとえば２０ビットであり、ｑが１８０ビットを超えるとき）を有する。
７．パラメータを少し変更して、所与の安全な署名方式から安全な署名方式を得ることは非常に簡単である。したがって、Ｆ（γ_A、Ｉ_A、ＯＰ）は、内在的証明書を作るのに使用された署名方式が安全であることを保障する他の形式とすることができる。Ｆ（γ_A、Ｉ_A、ＯＰ）を適当に選択することによって、これまでに知られているＥｌｇａｍａｌ様署名方式が、変更の後に内在的証明書方式として使用される場合の本明細書で提案される４系列の方式の１つと同等になることに留意されたい。しかし、本明細書で提案される方式は、より高い効率を有する。
【０１６９】
注：上記のシステム・セットアップが、以下の方式で仮定される。
【０１７０】
方式１．ａ：
１．各エンティティＡについて、ＣＡは、一意の区別される名前またはアイデンティティＩ_A（たとえば、氏名、住所、電話番号）および、１＜ｃ_A＜ｑのランダムな整数ｃ_Aを選択する。次に、ＣＡは、
【０１７１】
【数６５】

【０１７２】
を計算する。（γ_Aは、Ａの公開鍵再構成公開データである。（Ｉ_A、γ_A）は、Ａの内在的証明書として働く）。
２．ＣＡは、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ａについて次式を解く（ａ＝０、１、ｃ、ｃ_A ^-1ｃの場合には、別のｃ_Aを選択し、式をもう一度解く）。
１＝ｃｆ＋ｃ_Aａ（ｍｏｄ ｑ）
３．ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信する。この３つ組は、Ｉ_Aに対するＣＡの署名である。その後、ａがＡの秘密鍵、γ_AがＡのジェネレータ、
【０１７３】
【数６６】

【０１７４】
がＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
注：
１．ステップ１では、アイデンティティＩ_AをエンティティＡが選択することができる。２．ステップ２では、ａ＝０、１を排除した。というのは、この場合に、誰もがＡの秘密鍵を簡単に知ることができるからである。特にａ＝０，ｃ_A ^-1ｃのときには、１＝ｃｆ（ｍｏｄ ｑ）からＣＡの秘密鍵ｃを誰でも簡単に計算することができる。
３．この方式では、各ユーザーが異なるシステム・ジェネレータγ_Aを有する。
【０１７５】
方式１．ｂ：
１．各エンティティＡについて、ＣＡは、一意の区別される名前またはアイデンティティＩ_A（たとえば、氏名、住所、電話番号）および、１＜ｃ_A＜ｑのランダムな整数ｃ_Aを選択する。次に、ＣＡは、
【０１７６】
【数６７】

【０１７７】
を計算する（γ_Aは、Ａの公開鍵再構成公開データである。（Ｉ_A、γ_A）は、Ａの内在的証明書として働く）。
２．ＣＡは、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ａについて次式を解く（ａ＝０、１、ｃの場合には、別のｃ_Aを選択し、式をもう一度解く）。
１≡ｃａ＋ｃ_Aｆ（ｍｏｄ ｑ）
３．ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信する。この３つ組は、Ｉ_Aに対するＣＡの署名である。その後、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
注：
１．ステップ１では、アイデンティティＩ_AをエンティティＡが選択することができる。２．ステップ２では、ａ＝０、１を排除した。というのは、この場合に、誰もがＡの秘密鍵を簡単に知ることができるからであり、ａ＝０のときには、証明書は、ＣＡに関係しない。
３．この方式では、各ユーザーが同一のシステム・ジェネレータβを有する。
【０１７８】
方式１．ｃ：
１．各エンティティＡについて、ＣＡは、一意の区別される名前またはアイデンティティＩ_A（たとえば、氏名、住所、電話番号）および、１＜ｃ_A＜ｑのランダムな整数ｃ_Aを選択する。次に、ＣＡは、
【０１７９】
【数６８】

【０１８０】
を計算する（γ_Aは、Ａの公開鍵再構成公開データである。（Ｉ_A、γ_A）は、Ａの内在的証明書として働く）。
２．ＣＡは、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ａについて次式を解く（ａ＝０、１、またはｃの場合には、別のｃ_Aを選択し、式をもう一度解く）。
ａ≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
３．ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信する。この３つ組は、Ｉ_Aに対するＣＡの署名である。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
注：
１．ステップ１では、アイデンティティＩ_AをエンティティＡが選択することができる。２．ステップ２では、ａ＝０、１を排除した。というのは、この場合に、誰もがＡの秘密鍵を簡単に知ることができるからである。
３．この方式では、各ユーザーが同一のシステム・ジェネレータαを有する。
【０１８１】
方式１．ｄ：
１．各エンティティＡについて、ＣＡは、一意の区別される名前またはアイデンティティＩ_A（たとえば、氏名、住所、電話番号）および、１＜ｃ_A＜ｑのランダムな整数ｃ_Aを選択する。次に、ＣＡは、
【０１８２】
【数６９】

【０１８３】
を計算する（γ_Aは、Ａの公開鍵再構成公開データである。（Ｉ_A、γ_A）は、Ａの内在的証明書として働く）。
２．ＣＡは、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ａについて次式を解く（ａ＝０、１、またはｃの場合には、別のｃ_Aを選択し、式をもう一度解く）。
【０１８４】
ａ≡ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）
３．ＣＡは、３つ組（γ_A、ａ、Ｉ_A）を保護された形でＡに送信する。この３つ組は、Ｉ_Aに対するＣＡの署名である。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
注：
１．ステップ１では、アイデンティティＩ_AをエンティティＡが選択することができる。２．ステップ２では、ａ＝０、１を排除した。というのは、この場合に、誰もがＡの秘密鍵を簡単に知ることができるからである。
３．この方式では、各ユーザーが同一のシステム・ジェネレータαを有する。
【０１８５】
誰でも公開データからユーザーＡの公開鍵を再構成することができるが、これは、再構成された公開鍵が証明されたことを意味しない。証明書を明示的に検証するためには、ａを知る必要がある。ａを知ったならば、検証プロセスは、Ｉ_Aに対するＣＡの署名を検証することになる。たとえば、方式１．ａでは、検証者がαβ^-fを計算し、ユーザーＡがａを使用してγ_A ^aを計算する場合に、検証者およびユーザーが、一緒に証明書を検証することができる。しかし、検証者は、ユーザーＡが実際にａを知っていることを確認しなければならない。したがって、公開鍵の再構成は、ユーザーＡが対応する秘密鍵の完全な知識を有することを示すアプリケーション・プロトコルと組み合わされる場合に限って、内在的検証として働く。一般に、内在的証明書方式は、対象のエンティティおよび公開鍵の認証を必要とするすべての公開鍵方式と共に使用することができる。
【０１８６】
内在的に証明される公開鍵システムとしてＤＳＡ署名方式を使用し、内在的証明書方式として方式１．ａを使用して、これを実証する。
【０１８７】
アリスが、秘密鍵ａ、ジェネレータγ_Aを有し、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開すると仮定する。次に、アリスは、ＤＳＡを使用してメッセージＭに署名しようとする。
アリスは、下記を実行する。
１．ランダムにｋを選択し、ｒ＝γ_A ^k（ｍｏｄ ｐ）を計算する。
２．ｅ＝ｓｈａ−１（Ｍ）を計算する。
３．ｓ＝ｘ^-1（ｅ＋ａｒ）（ｍｏｄ ｑ）を計算する。
４．Ｍに対する署名は、（ｒ、ｓ）になる。
検証者は、下記を実行する。
１．アリスの公開データ（α、Ｉ_A、β、γ_A、ｐ、ｑ）を取得し、ｆを計算し、公開鍵を再構成する。
β_A＝γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
２．ｅ＝ｓｈａ−１（Ｍ）を計算する。
３．ｕ₁＝ｅｓ^-1（ｍｏｄ ｑ）およびｕ₂＝ｒｓ^-1（ｍｏｄ ｑ）を計算する。
４．
【０１８８】
【数７０】

【０１８９】
を計算する。
５．ｒ＝ｒ’の場合には、署名が検証される。それと同時に、アリスの（ＩＤに基づく）公開鍵が、内在的に検証される。
対（Ｉ_A、γ_A）は、アリスの証明書として働く。ＤＳＡの場合、ａを知らずにアリスの署名を偽造することが非常に困難であることがわかっている。公開鍵の再構成は、アプリケーション・プロトコルが最後に有効になるときに、内在的検証として働く。公開鍵を取得するために、１回の累乗演算だけが必要であることを想起されたい。この理由から、本発明人は、内在的証明書の検証が、１回の累乗演算を必要とすると主張する。
【０１９０】
以下の内在的証明書方式は、ＣＡおよびエンティティの両方が、エンティティの秘密鍵を制御するが、対象のエンティティだけがその秘密鍵を知るように、上の方式を変更することによって導出することができる。
【０１９１】
この節では、もう１つのシステム・パラメータＨ（＊）が必要であり、このＨ（＊）は、安全なハッシュ関数または１方向関数またはアイデンティティ・マップとすることができる暗号関数である。
【０１９２】
方式２．ａ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０１９３】
【数７１】

【０１９４】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０またはｃの場合には、別のｃ_Aを選択する）。
１＝ｃｆ＋ｃ_Aｋ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【０１９５】
【数７２】

【０１９６】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
３．Ａは、ａ＝ｋ_Aｋ^-1（ｍｏｄ ｑ）を計算し（ａ＝１の場合には、ステップ１に戻る）、γ_A＝（γ_A ¹）^k（ｍｏｄ ｐ）を計算する。その後、γ_A ^a＝αβ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、γ_AがＡのジェネレータ、γ_A ^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
方式２．ｂ：
５．Ａは、整数ｋをランダムに選択し、β^kを計算し、これをＣＡに送信する。
６．ＣＡは、整数ｃ_Aをランダムに選択し、
【０１９７】
【数７３】

【０１９８】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｋ_A＋ｃ_Aｆ（ｍｏｄ ｑ）
その後、ＣＡは、
【０１９９】
【数７４】

【０２００】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
７．Ａは、
【０２０１】
【数７５】

【０２０２】
、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）、およびａ＝ｋ_A−ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、β^a＝αγ_A ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
８．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
方式２．ｃ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２０３】
【数７６】

【０２０４】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝ｃの場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【０２０５】
【数７７】

【０２０６】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
３．Ａは、ａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算し（ａ＝０、１の場合には、ステップ１に戻る）、
【０２０７】
【数７８】

【０２０８】
を計算する。その後、α^a＝β^fγ_Aであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
方式２．ｄ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２０９】
【数７９】

【０２１０】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝ｃ_Aの場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）
その後、ＣＡは、
【０２１１】
【数８０】

【０２１２】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
３．Ａは、
【０２１３】
【数８１】

【０２１４】
、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）、およびａ＝ｋ_A＋ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝γ_A ^fβであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
注：（方式２．ａ、２．ｂ、２．ｃ、２．ｄについて）
１．アイデンティティＩ_Aは、ＣＡまたはエンティティＡのいずれかによって選択することができる。
２．ＣＡは、エンティティＡを認証しなければならない。これは、ＣＡの面前での存在または保護されたチャネルまたは音声（たとえば電話での）または次の方法のいずれかによって行うことができる。
ステップ２で、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する代わりに、ＣＡが、まずγ_A ¹をＡに送信する。Ａは、γ_Aを計算し、Ｋ＝Ｈ（γ_A）にセットし、ＤＥＳ（または他の対称鍵システム）によってＡの認証情報Ａ_AI（ＶＩＳＡ情報など）を暗号化し、ＤＥＳ_K（Ａ_AI）をＣＡに送信する。ＣＡは、ＤＥＳ_K（Ａ_AI）を非暗号化してＡ_AIを得る。Ａ_AIの有効性を検査した後に、ＣＡは（ｋ_A、Ｉ_A）をＡに送信する。
３．（γ_A ¹、ｋ_A、Ｉ_A）は、公開チャネルによって送信することができる。
【０２１５】
上の方式２．ａ〜２．ｄでは、内在的証明書方式が、対象のエンティティおよびＣＡによって完了される。各方式は、本質的に２つの部分すなわち鍵交換部分および署名部分に分割される。鍵交換部分の機能の１つが、公開チャネルによってＣＡからＡに内在的証明書情報を送信することである（詳細な説明は節６で行う）。上の方式の計算を高速化するために、鍵交換部分を変更することができる。以下の方式３．ａ〜３．ｄは、方式２．ａ〜２．ｄを変更することによって得られた。方式３．ａ〜３．ｄの長所は、βが固定されているので、ユーザーＡが、ＣＡから応答を得る前にＫを計算できることである。この特性は、特にオンラインの場合に好ましい。
【０２１６】
方式３．ａ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２１７】
【数８２】

【０２１８】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｆ＋ｃ_Aｋ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝Ｈ（（α^k）^c）および
【０２１９】
【数８３】

【０２２０】
を計算し、３つ組
【０２２１】
【数８４】

【０２２２】
をＡに送信する。
３．Ａは、Ｋ＝Ｈ（β^k）、
【０２２３】
【数８５】

【０２２４】
、およびａ＝ｋ_Aｋ^-1（ｍｏｄ ｑ）を計算する（ａ＝１の場合には、ステップ１に戻る）。その後、γ_A ^a＝αβ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、γ_AがＡのジェネレータ、γ_A ^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
γ_A ^a＝αβ^-f（ｍｏｄ ｐ）
方式３．ｂ：
１．Ａは、整数ｋをランダムに選択し、β^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２２５】
【数８６】

【０２２６】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aについて署名方程式を解く（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
１＝ｃｋ_A＋ｃ_Aｆ（ｍｏｄ ｑ）
次に、ＣＡは、
【０２２７】
【数８７】

【０２２８】
およびｋ￣_A＝ＤＥＳ_k（Ｋ_A）を計算し、３つ組
【０２２９】
【数８８】

【０２３０】
をＡに送信する。
３．Ａは、
【０２３１】
【数８９】

【０２３２】
を計算し、ａ＝ｋ_A−ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、β^a＝αγ_A ^-fであるかどうかを検査する。ここで、ａがＡの秘密鍵、βがＡのジェネレータ、β^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
β^a＝αγ_A ^-f（ｍｏｄ ｐ）
注：（方式３．ｂについて）
１．アイデンティティＩ_Aは、ＣＡまたはエンティティＡのいずれかによって選択することができる。
２．ＣＡは、エンティティＡを認証しなければならない。これは、ＣＡの面前での存在または保護されたチャネルまたは音声（たとえば電話での）または次の方法のいずれかによって行うことができる。
ステップ２で、３つ組
【０２３３】
【数９０】

【０２３４】
をＡに送信する代わりに、ＣＡが、まずγ_AをＡに送信する。Ａは、
【０２３５】
【数９１】

【０２３６】
を計算し、ＤＥＳ（または他の対称鍵システム）によってＡの認証情報Ａ_AI（ＶＩＳＡ情報など）を暗号化し、ＤＥＳ_K（Ａ_AI）をＣＡに送信する。ＣＡは、ＤＥＳ_K（Ａ_AI）を非暗号化してＡ_AIを得る。Ａ_AIの有効性を検査した後に、ＣＡは
【０２３７】
【数９２】

【０２３８】
をＡに送信する。
３．
【０２３９】
【数９３】

【０２４０】
は、公開チャネルによって送信することができる。
【０２４１】
方式３．ｃ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２４２】
【数９４】

【０２４３】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝Ｈ（（α^k）^c）および
【０２４４】
【数９５】

【０２４５】
を計算し、３つ組
【０２４６】
【数９６】

【０２４７】
をＡに送信する。
３．Ａは、Ｋ＝Ｈ（β^k）、
【０２４８】
【数９７】

【０２４９】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝β^fγ_Aであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
方式３．ｄ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２５０】
【数９８】

【０２５１】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃ_Aｆ＋ｃ（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝Ｈ（（α^k）^c）および
【０２５２】
【数９９】

【０２５３】
を計算し、３つ組
【０２５４】
【数１００】

【０２５５】
をＡに送信する。
３．Ａは、Ｋ＝Ｈ（β^k）、
【０２５６】
【数１０１】

【０２５７】
、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）、およびａ＝ｋ_A＋ｋｆ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、α^a＝γ_A ^fβであるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝γ_A ^fβ（ｍｏｄ ｐ）
注：（方式３．ａ、３．ｃ、３．ｄについて）
１．アイデンティティＩ_Aは、ＣＡまたはエンティティＡのいずれかによって選択することができる。
２．ＣＡは、エンティティＡを認証しなければならない。これは、ＣＡの面前での存在または保護されたチャネルまたは音声（たとえば電話での）または次の方法のいずれかによって行うことができる。
ステップ１で、Ａは、α^kおよびＫ＝Ｈ（β^k）を計算し、α^kおよびＤＥＳ_K（Ａ_AI）をＣＡに送信する。ＣＡは、Ｋ＝Ｈ（（α^k）^c）を計算し、ＤＥＳ_K（Ａ_AI）を非暗号化してＡ_AIを得る。Ａ_AIの有効性を検査した後に、ＣＡはステップ２を継続する。
３．（γ_A、ｋ_A、Ｉ_A）は、公開チャネルによって送信することができる。
【０２５８】
方式３．ａ、３．ｃ、および３．ｄの長所は、βが固定されているのでユーザーＡがＫを簡単に計算できることと、ｋ_Aが暗号化され、他人がそれを知ることができなくなっていることである。実際に、ｋ_Aが知れわたることが、証明書方式のセキュリティを低下させない。ｋ_Aを暗号化する目的は、エンティティが確実にｋを知るようにするためである。したがって、方式３．ａ〜３．ｄについて、証明書方式で注２で説明した方法を使用するならば、ＤＥＳ暗号化部分を除去することができ、
【０２５９】
【数１０２】

【０２６０】
をｋ_Aで置換することができる。
【０２６１】
上の方式の送信帯域幅を節約するために、γ_Aの代わりにｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を送信することによって上の方式を変更することができる（一般に、γ_Aのサイズは１６０ビットより大きく、ｆはちょうど１６０ビットであることに留意されたい）。下の方式４．ｃは、方式３．ｃの変形形態である。
【０２６２】
方式４．ｃ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２６３】
【数１０３】

【０２６４】
およびｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）を計算し、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝Ｈ（（α^k）^c）および
【０２６５】
【数１０４】

【０２６６】
を計算し、３つ組
【０２６７】
【数１０５】

【０２６８】
をＡに送信する。
３．Ａは、Ｋ＝Ｈ（β^k）、
【０２６９】
【数１０６】

【０２７０】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、γ_A＝α^aβ^-f（ｍｏｄ ｐ）を計算し、ｆ＝Ｆ（γ_A、Ｉ_A、ＯＰ）であるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
さらに、方式５．ｃに従うことによって、帯域幅を減らすことができる。
【０２７１】
方式５．ｃ：
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡに送信する。
２．ＣＡは、整数ｃ_Aをランダムに選択し、
【０２７２】
【数１０７】

【０２７３】
を計算し、
【０２７４】
【数１０８】

【０２７５】
をγ_Aの最初の８０個の最下位ビットとしてセットする。その後、
【０２７６】
【数１０９】

【０２７７】
およびｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
次に、ＣＡは、Ｋ＝（α^k）^c（ｍｏｄ ｐ）および
【０２７８】
【数１１０】

【０２７９】
を計算し、３つ組
【０２８０】
【数１１１】

【０２８１】
をＡに送信する。
【０２８２】
注：
【０２８３】
【数１１２】

【０２８４】
は、公開チャネルによって送信することができる。
３．Ａは、Ｋ＝β^k（ｍｏｄ ｐ）、
【０２８５】
【数１１３】

【０２８６】
、およびａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算する（ａ＝０、１の場合には、ステップ１に戻る）。その後、
【０２８７】
【数１１４】

【０２８８】
、γ_A＝α^aβ^-f（ｍｏｄ ｐ）を計算し、γ_Aの最初の８０個の最下位ビットが
【０２８９】
【数１１５】

【０２９０】
であるかどうかを検査する。ここで、ａがＡの秘密鍵、αがＡのジェネレータ、α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
４．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
方式５．ｃのセキュリティ・レベルは、前に述べた他の方式ほどではない。方式５．ｃは、８０ビットのセキュリティだけを有する。しかし、現在の実用的なアプリケーションにはこれでよい。最初の８０個の最下位ビットを、γ_Aの半分の下位ビットに拡張することができる。
【０２９１】
内在的証明書は、情報にオプション・パラメータＯＰを含めることによって、他の有用な情報を証明するのに使用することができる。たとえば、
【０２９２】
【数１１６】

【０２９３】
である。ここで、α_Eは、Ａのもう１つの秘密鍵であり、
【０２９４】
【数１１７】

【０２９５】
は、対応する公開鍵である。下の方式６．ｃは、方式２．ｃの変形形態である。他の方式を、同一の形で変更することができる。
【０２９６】
方式６．ｃ：
１．Ａは、整数ａ_Eをランダムに選択し、
【０２９７】
【数１１８】

【０２９８】
を計算する。
２．Ａは、整数ｋをランダムに選択し、α^kを計算し、α^kおよび
【０２９９】
【数１１９】

【０３００】
をＣＡに送信する。
【０３０１】
３．ＣＡは、整数ｃ_Aをランダムに選択し、
【０３０２】
【数１２０】

【０３０３】
を計算し（たとえば
【０３０４】
【数１２１】

【０３０５】
）、ｋ_Aを計算する（ｋ_A＝０の場合には、別のｃ_Aを選択する）。
ｋ_A≡ｃｆ＋ｃ_A（ｍｏｄ ｑ）
その後、ＣＡは、
【０３０６】
【数１２２】

【０３０７】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
４．Ａは、ａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）を計算し（ａ＝０、１の場合には、ステップ１に戻る）、
【０３０８】
【数１２３】

【０３０９】
を計算する。その後、α^a＝β^fγ_Aであるかどうかを検査する。ここで、ａがＡの秘密署名鍵であり、αがＡのジェネレータ、α^aがＡの公開署名鍵である。ａ_EがＡの秘密暗号化鍵、
【０３１０】
【数１２４】

【０３１１】
がＡの公開暗号化鍵である。Ａは、公開ドメインで
【０３１２】
【数１２５】

【０３１３】
を公開する。
５．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に証明される公開鍵を得ることができる。
α^a＝β^fγ_A（ｍｏｄ ｐ）
注：（方式４．ｃ、５．ｃ、６．ｃについて）
１．アイデンティティＩ_Aは、ＣＡまたはエンティティＡのいずれかによって選択することができる。
２．ＣＡは、エンティティＡを認証しなければならない。これは、方式３．ｃの注２に記載の方法によって行うことができる。
【０３１４】
【数１２６】

【０３１５】
または
【０３１６】
【数１２７】

【０３１７】
または（γ_A ¹、ｋ_A、Ｉ_A）を、公開チャネルによって送信することができる。
【０３１８】
ＣＡ連鎖（ＣＡ ｃｈａｉｎｉｎｇ）方式
ＣＡ連鎖構造を実施するために、すなわち、ＣＡ１がＣＡ２を認証し、ＣＡ２がＣＡ３を認証し、ＣＡ３がユーザーＡを認証する。この節では、ＣＡ連鎖内に３つのＣＡがある例を提示する。基本方式３’を使用して、この例を実証する。
【０３１９】
システム・セットアップ：
最上位の信頼できる当事者ＣＡ１は、大きい素数ｑについてｐ＝ｔｑ＋１である適当な素数ｐと、オーダー（位数）ｑのジェネレータαを選択する。ＣＡ１は、その秘密鍵として１≦ｃ₁≦ｑ−１のランダムな整数ｃ₁を選択し、公開鍵
【０３２０】
【数１２８】

【０３２１】
を計算し、（β₁、α、ｐ、ｑ）を公開する。
フェーズ１ ＣＡ２が、ＣＡ１からの内在的に証明される公開鍵を問い合わせる。
１．ＣＡ２は、整数ｋ₂をランダムに選択し、
【０３２２】
【数１２９】

【０３２３】
を計算し、これをＣＡ１に送信する。
【０３２４】
２．ＣＡ１は、一意の区別される名前またはアイデンティティＩ_CA2および、１≦ｃ_CA2≦ｑ−１のランダムな整数ｃ_CA2を選択する。次に、ＣＡ１は、
【０３２５】
【数１３０】

【０３２６】
を計算する（γ_CA2は、ＣＡ２の公開鍵再構成公開データである）。
３．ＣＡ１は、関数ｆ₁＝Ｆ（γ_CA2、Ｉ_CA2）を選択し、ｋ_CA2を計算する（ｋ_CA2＝０の場合には、ステップ２で別のｃ_CA2を選択し、ｋ_CA2を再計算する）。
ｋ_CA2＝ｃ₁ｆ₁＋ｃ_CA2（ｍｏｄ ｑ）
４．ＣＡ１が、
【０３２７】
【数１３１】

【０３２８】
を計算し、３つ組（γ_CA2 ¹、ｋ_CA2、Ｉ_CA2）をＣＡ２に送信する。
５．ＣＡ２が、
【０３２９】
【数１３２】

【０３３０】
を計算する。その後、ｃ₂＝ｋ_CA2＋ｋ₂（ｍｏｄ ｑ）がＣＡ２の秘密鍵、αがＣＡ２のジェネレータ、
【０３３１】
【数１３３】

【０３３２】
がＣＡ２の公開鍵になる。ＣＡ２は、公開ドメインで（α、Ｉ_CA2、β₁、β₂、γ_CA2、ｐ、ｑ）を公開する。
注：ユーザーがＣＡ２を信頼するときには、β₂を直接に使用することができる。
６．誰もが、次式を計算することによって、公開ドメインからＣＡ２の（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
【０３３３】
【数１３４】

【０３３４】
フェーズ２ ＣＡ３が、ＣＡ２からの内在的に証明される公開鍵を問い合わせる。
１．ＣＡ３は、整数ｋ₃をランダムに選択し、
【０３３５】
【数１３５】

【０３３６】
を計算し、これをＣＡ２に送信する。
【０３３７】
２．ＣＡ２は、一意の区別される名前またはアイデンティティＩ_CA3および、１≦ｃ_CA3≦ｑ−１のランダムな整数ｃ_CA3を選択する。ＣＡ２が、
【０３３８】
【数１３６】

【０３３９】
を計算する（γ_CA3は、ＣＡ３の公開鍵再構成公開データである）。
３．ＣＡ２は、関数ｆ₂＝Ｆ（γ_CA3、Ｉ_CA3）を選択し、ｋ_CA3を計算する（ｋ_CA3＝０の場合には、ステップ２で別のｃ_CA3を選択し、ｋ_CA3を再計算する）。
ｋ_CA3≡ｃ₂ｆ₂＋ｃ_CA3（ｍｏｄ ｑ）
４．ＣＡ２が、
【０３４０】
【数１３７】

【０３４１】
を計算し、３つ組（γ_CA3 ¹、ｋ_CA3、Ｉ_CA3）をＣＡ３に送信する。
５．ＣＡ３が、
【０３４２】
【数１３８】

【０３４３】
を計算する。その後、ｃ₃＝ｋ_CA3＋ｋ₃（ｍｏｄ ｑ）がＣＡ３の秘密鍵、αがＣＡ３のジェネレータ、
【０３４４】
【数１３９】

【０３４５】
がＣＡ３の公開鍵になる。ＣＡ３は、公開ドメインで（α、Ｉ_CA3、β₂、β₃、γ_CA3、ｐ、ｑ）を公開する。
【０３４６】
注：エンティティがＣＡ３を信頼するときには、β₃を直接に使用することができる。
６．誰もが、次式を計算することによって、公開ドメインからＣＡ３の（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
【０３４７】
【数１４０】

【０３４８】
フェーズ３ ユーザーＡが、ＣＡ３からの内在的に証明される公開鍵を問い合わせる。
１．Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡ３に送信する。
２．ＣＡ３は、一意の区別される名前またはアイデンティティＩ_Aおよび、１≦ｃ_A≦ｑ−１のランダムな整数ｃ_Aを選択する。ＣＡ３が、
【０３４９】
【数１４１】

【０３５０】
を計算する（γ_Aは、Ａの公開鍵再構成公開データである）。
３．ＣＡ３は、注意深く選択された関数ｆ₃＝Ｆ（γ_A、Ｉ_A）を選択し、ｋ_Aを計算する（ｋ_A＝０の場合には、ステップ２で別のｃ_Aを選択し、ｋ_Aを再計算する）。
【０３５１】
ｋ_A≡ｃ₃ｆ₃＋ｃ_A（ｍｏｄ ｑ）
４．ＣＡ３は、
【０３５２】
【数１４２】

【０３５３】
を計算し、３つ組（γ_A ¹、ｋ_A、Ｉ_A）をＡに送信する。
【０３５４】
５．Ａが、
【０３５５】
【数１４３】

【０３５６】
を計算する。その後、ａ＝ｋ_A＋ｋ（ｍｏｄ ｑ）がＡの秘密鍵、αがＡのジェネレータ、β_A＝α^aがＡの公開鍵になる。Ａは、公開ドメインで（α、Ｉ_A、β₃、β_A、γ_A、ｐ、ｑ）を公開する。
注：ユーザーがＡを信頼するときには、β_Aを直接に使用することができる。
【０３５７】
６．誰もが、次式を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に検証された公開鍵を得ることができる。
【０３５８】
【数１４４】

【０３５９】
フェーズ４ ユーザーＡの署名および検証
メッセージＭに署名するために、ユーザーＡは下記を実行する。
１．ランダムにｘを選択し、ｒ＝α^x（ｍｏｄ ｐ）を計算する。
２．ｅ＝ｆ_A＝Ｆ（ｒ，Ｍ）を計算する。ここで、Ｆはなんらかの固定された関数である。
３．ｓ＝ａｅ＋ｘ（ｍｏｄ ｑ）を計算する。
４．Ｍに対する署名は、（ｒ、ｓ）になる。
検証者は、下記を実行する。
１．ＣＡ１、ＣＡ２、ＣＡ３，およびユーザーＡの公開データを得る。
【０３６０】
（α、Ｉ_CA2、Ｉ_CA3、Ｉ_A、β₁、β₂、β₃、β_A、γ_CA2、γ_CA3、γ_A、ｐ、ｑ）
２．ユーザーＡの公開鍵を再構成する。
【０３６１】
【数１４５】

【０３６２】
３．ｅ＝ｆ_A＝Ｆ（ｒ、Ｍ）を計算する。
４．ｒ’＝α^sβ_A ^-e（ｍｏｄ ｐ）を計算する。
５．ｒ＝ｒ’の場合には、署名が検証される。それと同時に、ＣＡ２、ＣＡ３、およびユーザーＡの（ＩＤに基づく）公開鍵が、内在的に検証される。
【０３６３】
ユーザーＡの公開鍵の再構成には、３つの既知の基底累乗演算および３つの乗算演算だけが必要である。署名が有効なときには、ＣＡ２、ＣＡ３、およびユーザーＡの（ＩＤに基づく）公開鍵が、内在的に検証される。
【０３６４】
注：
１．検証者がＡを信頼する場合には、Ａの公開鍵はβ_Aになる。
２．検証者がＣＡ３を信頼する場合には、Ａの再構成公開鍵は
【０３６５】
【数１４６】

【０３６６】
になる。
【０３６７】
３．検証者がＣＡ２を信頼する場合には、Ａの再構成公開鍵は
【０３６８】
【数１４７】

【０３６９】
になる。
【０３７０】
連署（Ｃｏ−ｓｉｇｎｉｎｇ）方式
以下では、複数のＣＡが１つの内在的証明書に署名できるようにする方式を説明する。これは、基本方式３’を使用して３つのＣＡが証明書に連署する場合によって例示される。
【０３７１】
システム・セットアップ：
ＣＡ１、ＣＡ２、およびＣＡ３が、次の共通のシステム・パラメータを有すると仮定する。（１）大きい素数ｑに対してｐ＝ｔｑ＋１になる素数ｐ、（２）オーダーｑのジェネレータα、（３）注意深く選択された関数ｆ＝Ｆ（γ，（Ｉ_A1＋Ｉ_A2＋Ｉ_A3））。ＣＡ１は、その秘密鍵として１≦ｃ₁≦ｑ−１のランダムな整数ｃ₁を選択し、公開鍵
【０３７２】
【数１４８】

【０３７３】
を計算し、（β₁、α、ｐ、ｑ）を公開する。ＣＡ２は、その秘密鍵として１≦ｃ₂≦ｑ−１のランダムな整数ｃ₂を選択し、公開鍵
【０３７４】
【数１４９】

【０３７５】
を計算し、（β₂、α、ｐ、ｑ）を公開する。ＣＡ３は、その秘密鍵として１≦ｃ₃≦ｑ−１のランダムな整数ｃ₃を選択し、公開鍵
【０３７６】
【数１５０】

【０３７７】
を計算し、（β₃、α、ｐ、ｑ）を公開する。
【０３７８】
ステップ１ Ａは、整数ｋをランダムに選択し、α^kを計算し、これをＣＡ１、ＣＡ２、およびＣＡ３に送信する。
ステップ２ ＣＡが、情報を交換し、内在的証明書を計算する。
【０３７９】
フェーズ１
１．ＣＡ１が、一意の区別される名前またはアイデンティティＩ_A1および、１≦ｃ_A1≦ｑ−１のランダムな整数ｃ_A1を選択し、
【０３８０】
【数１５１】

【０３８１】
を計算し、（
【０３８２】
【数１５２】

【０３８３】
）をＣＡ２およびＣＡ３に送信する。
２．ＣＡ２が、一意の区別される名前またはアイデンティティＩ_A2および、１≦ｃ_A2≦ｑ−１のランダムな整数ｃ_A2を選択し、（
【０３８４】
【数１５３】

【０３８５】
）を計算し、
【０３８６】
【数１５４】

【０３８７】
をＣＡ１およびＣＡ３に送信する。
【０３８８】
３．ＣＡ３が、一意の区別される名前またはアイデンティティＩ_A3および、１≦ｃ_A3≦ｑ−１のランダムな整数ｃ_A3を選択し、
【０３８９】
【数１５５】

【０３９０】
を計算し、
【０３９１】
【数１５６】

【０３９２】
をＣＡ１およびＣＡ２に送信する。
【０３９３】
フェーズ２
１．ＣＡ１が、
【０３９４】
【数１５７】

【０３９５】
を計算し（γは、Ａの公開鍵再構成公開データである）、ｆ＝Ｆ（γ、（Ｉ_A1＋Ｉ_A2＋Ｉ_A3））を計算し、ｋ_A1を計算する（ｋ_A1＝０の場合、フェーズ１に戻る）。
ｋ_A1≡ｃ₁ｆ＋ｃ_A1（ｍｏｄ ｑ）
ＣＡ１は、
【０３９６】
【数１５８】

【０３９７】
を計算し、３つ組（γ_A1 ¹、ｋ_A1、Ｉ_A1）をＡに送信する。
２．ＣＡ２が、
【０３９８】
【数１５９】

【０３９９】
を計算し（γは、Ａの公開鍵再構成公開データである）、ｆ＝Ｆ（γ、（Ｉ_A1＋Ｉ_A2＋Ｉ_A3））を計算し、ｋ_A2を計算する（ｋ_A2＝０の場合、フェーズ１に戻る）。
ｋ_A2≡ｃ₂ｆ＋ｃ_A2（ｍｏｄ ｑ）
ＣＡ２は、
【０４００】
【数１６０】

【０４０１】
を計算し、３つ組（γ_A2 ¹、ｋ_A2、Ｉ_A2）をＡに送信する。
【０４０２】
３．ＣＡ３が、
【０４０３】
【数１６１】

【０４０４】
を計算し（γは、Ａの公開鍵再構成公開データである）、ｆ＝Ｆ（γ、（Ｉ_A1＋Ｉ_A2＋Ｉ_A3））を計算し、ｋ_A3を計算する（ｋ_A3＝０の場合、フェーズ１に戻る）。
ｋ_A3≡ｃ₃ｆ＋ｃ_A3（ｍｏｄ ｑ）
ＣＡ３は、
【０４０５】
【数１６２】

【０４０６】
を計算し、３つ組（γ_A3 ¹、ｋ_A3、Ｉ_A3）をＡに送信する。
ステップ３ Ａが、内在的に連署された秘密鍵および公開鍵再構成情報を計算する。
１．Ａは、ａ＝ｋ_A1＋ｋ_A2＋ｋ_A3＋ｋ（ｍｏｄ ｑ）を計算する（ａが０または１の場合には、ステップ１に戻る）。
２．Ａが、
【０４０７】
【数１６３】

【０４０８】
およびｆ＝Ｆ（γ、（Ｉ_A1＋Ｉ_A2＋Ｉ_A3））を計算する。その後、α^a＝（β₁β₂β₃）^fγ（ｍｏｄ ｐ）であるかどうかを検証する。
３．ここで、ａがＡの内在的に連署された秘密鍵、αがＡのジェネレータ、Ｉ_A＝Ｉ_A1＋Ｉ_A2＋Ｉ_A3がＡの共通ＩＤ、（β₁β₂β₃）^fγがＡの内在的に共同証明される公開鍵である。
４．Ａは、公開ドメインで（α、Ｉ_A1、Ｉ_A2、Ｉ_A3、β₁、β₂、β₃、γ、ｐ、ｑ）を公開する。
【０４０９】
５．誰もが、（β₁β₂β₃）^fγ（ｍｏｄ ｐ）を計算することによって、公開ドメインからＡの（ＩＤに基づく）内在的に共同証明された公開鍵を得ることができる。
【０４１０】
応用例
以下の例は、ＣＡの署名方程式として方式３（または方式７’）に関して示される。というのは、この方式では全員が同一のジェネレータを共用するからである。各ユーザーは、ＣＡがシステム・パラメータ（ｐ、ｑ、ｄ）を使用し、各ユーザーが同一のジェネレータを有する限り、異なるＣＡを有することができる。
【０４１１】
セット・アップ：
ＣＡ１： システム・パラメータ（α、β₁、ｐ、ｑ、ｄ）
アリスが、秘密鍵ａ、ジェネレータαを有し、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
ＣＡ２： システム・パラメータ（α、β₂、ｐ、ｑ）
ボブが、秘密鍵ｂ、ジェネレータαを有し、公開ドメインで（α、Ｉ_A、β、γ_A、ｐ、ｑ）を公開する。
ＭＴＩ／Ｃ０鍵共有プロトコルを使用して、本発明の新方式を使用する方法の実例を示す。アリスとボブが鍵交換を実行したいと思っていると仮定する。
【０４１２】
ＭＴＩ／Ｃ０プロトコル
１．アリスは、ボブの公開鍵
【０４１３】
【数１６４】

【０４１４】
を再構成し、整数ｘをランダムに選択し、（α^b）^xを計算し、ボブに送信する。
【０４１５】
２．ボブは、アリスのの公開鍵
【０４１６】
【数１６５】

【０４１７】
を再構成し、整数ｙをランダムに選択し、（α^a）^yを計算し、アリスに送信する。
【０４１８】
３．アリスは、共有鍵（shared key）
【０４１９】
【数１６６】

【０４２０】
を計算する。
【０４２１】
４．ボブは、共有鍵（shared key）
【０４２２】
【数１６７】

【０４２３】
を計算する。
【０４２４】
これは２パス・プロトコルである。本発明の内在的証明書方式を用いると、各当事者は、３つの累乗演算を実行するだけで共有鍵（shared key）を得ると同時に、認証鍵共有および内在的公開鍵検証を実行する。
【０４２５】
以下は、サインクリプション（signcryption）方式の例である。ＣＡの署名方程式として方式３（または方式７）を使用する。というのは、この方式では、全員が同一のジェネレータを共用するからである。その後の方式では、ＣＡの署名方程式として方式１３を使用する。この節のすべての方式について、各ユーザーは、ＣＡが同一のシステム・パラメータ（ｐ、ｑ、α）を使用し、各ユーザーが同一のジェネレータを使用する限り、異なるＣＡを有することができる。
【０４２６】
セット・アップ：
ＣＡ１： システム・パラメータ（α、β₁、ｐ、ｑ）
アリス： 秘密鍵ａ、ジェネレータα、および公開ドメインの（α、Ｉ_A、β₁、γ_A、ｐ、ｑ）。
ＣＡ２： システム・パラメータ（α、β₂、ｐ、ｑ）
ボブ： 秘密鍵ｂ、ジェネレータα、および公開ドメインの（α、Ｉ_B、β₂、γ_B、ｐ、ｑ）。
ボブは、署名され暗号化されたメッセージＭをアリスに送信したいと思っている。
【０４２７】
サインクリプション・プロトコル１：
ボブが、署名され暗号化されたメッセージＭをアリスに送信したいと思っていると仮定する。
ボブは、下記を実行する。
１．アリスの公開鍵
【０４２８】
【数１６８】

【０４２９】
を再構成する。
２．整数ｘをランダムに選択し、鍵ｒ＝（α^a）^x（ｍｏｄ ｐ）を計算する。
３．Ｃ＝ＤＥＳ_r（Ｍ）を計算する。
４．ｅ＝ｈａｓｈ（Ｃ Ｉ_A）を計算する。
５．ｓ＝ｂｅ＋ｘ（ｍｏｄ ｑ）を計算する。
６．対（Ｃ、ｓ）をアリスに送信し、したがって、Ｃは、暗号化されたメッセージであり、ｓは、署名である。
【０４３０】
メッセージを復元するために、アリスは下記を実行する。
１．ｅ＝ｈａｓｈ（Ｃ Ｉ_A）を計算する。
２．ボブの公開鍵
【０４３１】
【数１６９】

【０４３２】
を再構成する。
３．α^as（α^b）^-ac（ｍｏｄ ｐ）を計算する。これはｒである。
４．メッセージＭ＝ＤＥＳ_r（Ｃ）を非暗号化する。
５．冗長性に関する検査を行う。
したがって、ボブは、２回の累乗演算だけを行い、アリスは、３回の累乗演算を行う。しかし、アリスとボブの両方が、お互いの認証を確信している。この方式の場合、メッセージＭが、なんらかの冗長性またはパターンを有しなければならないことに留意されたい。
【０４３３】
サインクリプション・プロトコル２（一般的な場合）：
セット・アップ：
ＣＡ１： システム・パラメータ（α、β₁、ｐ、ｑ）
アリス： 秘密鍵ａ、ジェネレータα、および公開ドメインの（α、Ｉ_A、β₁、γ_A、ｐ、ｑ）。
ＣＡ２： システム・パラメータ（α、β₂、ｐ、ｑ）
ボブ： 秘密鍵ｂ、ジェネレータα、および公開ドメインの（α、Ｉ_B、β₂、γ_B、ｐ、ｑ）。
【０４３４】
注：このセット・アップは、内在的証明書用である。通常の証明書方式システムの場合、アリスとボブが同一のジェネレータを有することだけが必要である。
【０４３５】
アリスへのメッセージをサインクリプト(signcrypt)するために、ボブは下記を実行する。
【０４３６】
１．アリスの公開鍵α^aを得る（内在的証明書方式の場合、アリスの公開鍵
【０４３７】
【数１７０】

【０４３８】
を再構成する）。
２．整数ｘをランダムに選択し、ｒ＝（α^a）^x（ｍｏｄ ｐ）を計算する。
３．Ｃ＝ＤＥＳ_r（Ｍ）を計算する。
４．ｅ＝ｈａｓｈ（Ｃ‖α^a）を計算する。
５．ｓ＝ｂｅ＋ｘ（ｍｏｄ ｑ）を計算する。
６．（Ｃ、ｓ）をアリスに送信する。Ｃは、暗号化されたメッセージであり、ｓは、署名である。
メッセージを復元するために、アリスは下記を実行する。
１．ｅ＝ｈａｓｈ（Ｃ‖α^a）を計算する。
２．ボブの公開鍵α^bを得る（内在的証明書方式の場合、ボブの公開鍵
【０４３９】
【数１７１】

【０４４０】
を再構成する）。
３．α^as（α^b）^-ae（ｍｏｄ ｐ）を計算する。これはｒである。
４．メッセージＭ＝ＤＥＳ_r（Ｃ）を非暗号化する。
【０４４１】
注：
１．証明書方式が、本明細書に記載の内在的証明書でない場合には、アリスおよびボブの公開鍵を検証しなければならない。
２．メッセージＭが、なんらかの冗長性またはパターンを有しなければならない。
【０４４２】
３．１つの値ｒを知っているアリスは、値α^abが露出されるので、ボブからアリスへのすべてのメッセージを非暗号化することができる。
４．一般に、ハッシュｅにオプション・パラメータを含めなければならない、すなわち、ｅ＝ｈａｓｈ（Ｃ‖α^a‖ＯＰ）。たとえば、ＯＰ＝α^bまたはＯＰ＝α^b‖β₁‖β₂。
【０４４３】
上のサインクリプション方式は、署名者が自分の秘密署名鍵を失った場合に、その署名者がサインクリプトしたすべてのメッセージが公衆に露出されるという短所を有する。事後暗号化の保護のために、新しいサインクリプション方式を提案する。新方式では、各ユーザーが、２対の鍵を有し、１対は署名鍵用、もう１対は暗号化鍵である。新方式は、あらゆる証明書方式と共に使用することができる。しかし、本発明の内在的証明書方式と共に使用される場合に、新方式は最も効果的になる。
【０４４４】
サインクリプション・プロトコル３（一般的な場合）：
セット・アップ：
アリス： 秘密署名鍵ａ、秘密暗号化鍵ａ_E、ジェネレータα、および公開ドメインの
【０４４５】
【数１７２】

【０４４６】
。
【０４４７】
ＣＡ２： システム・パラメータ（α、β₂、ｐ、ｑ）
ボブ： 秘密署名鍵ｂ、秘密暗号化鍵ｂ_E、ジェネレータα、および公開ドメインの
【０４４８】
【数１７３】

【０４４９】
。
注：このセット・アップは、方式６．ｃを使用する内在的証明書用である。通常の証明書方式システムの場合、アリスとボブが同一のジェネレータを有することだけが必要である。
【０４５０】
アリスへのメッセージをサインクリプトするために、ボブは下記を実行する。
【０４５１】
１ アリスの公開署名鍵α^aおよび公開暗号化鍵
【０４５２】
【数１７４】

【０４５３】
を得る（内在的証明書方式の場合、アリスの公開署名鍵
【０４５４】
【数１７５】

【０４５５】
を再構成する）。
２ 整数ｘをランダムに選択し、
【０４５６】
【数１７６】

【０４５７】
を計算する。
３ Ｃ＝ＤＥＳ_r（Ｍ）を計算する。
４
【０４５８】
【数１７７】

【０４５９】
を計算する。
５ ｓ＝ｂｅ＋ｘ＋ｂ_E（ｍｏｄ ｑ）を計算する。
６ （Ｃ、ｓ）をアリスに送信する。Ｃは、暗号化されたメッセージであり、ｓは、署名である。
メッセージを復元するために、アリスは下記を実行する。
【０４６０】
１．
【０４６１】
【数１７８】

【０４６２】
を計算する。
２．ボブの公開署名鍵α^bおよび公開暗号化鍵
【０４６３】
【数１７９】

【０４６４】
を得る（内在的証明書方式の場合、ボブの公開署名鍵
【０４６５】
【数１８０】

【０４６６】
を再構成する）。
３．
【０４６７】
【数１８１】

【０４６８】
を計算する。これはｒである。
４．メッセージＭ＝ＤＥＳ_r（Ｃ）を非暗号化する。
【０４６９】
注：
１．受信者アリスの秘密鍵がａ＋ａ_Eであると考えることができる。これは、受信者が、２つの秘密鍵ではなく１つの秘密鍵だけを必要とすることを意味する。しかし、送信者ボブは、２つの秘密鍵を必要とする。通常の証明書の場合、受信者は、１つの秘密鍵だけを必要とする。
２．証明書方式が、本明細書に記載の内在的証明書でない場合には、アリスおよびボブの公開鍵を検証しなければならない。
３．メッセージＭが、なんらかの冗長性またはパターンを有しなければならない。
４．
【０４７０】
【数１８２】

【０４７１】
の中のパラメータＯＰは、空またはＯＰ＝β₁‖β₂とすることができる。
５．１つのｒの値を知っても、ポスト・メッセージの情報は明らかにならない。
６．内在的証明書方式を用いると、ボブは、２回の累乗演算だけを実行し、アリスは、４回の累乗演算を実行する。しかし、双方が認証部分（authentification part）であることを、アリスとボブの双方は秘密にしている（are confidential）。
７．誰かがアリスの秘密鍵ａ＋ａ_Eを知るか、ボブが両方の秘密鍵を失った場合、事後暗号化されたメッセージを保護することはできない。
【０４７２】
通常の署名の場合、１つの問題は、署名者が、自分がその署名を署名したことを否定することである。これを否認（repudiation）と呼ぶ。上のプロトコル１および２は、ジャッジ(judge)を信頼するならば、否認拒否機能（non-repudiation feature）を有する。すなわち、署名者は、自分がサインクリプトされた(signcrypted)メッセージに署名したことを拒否することができない。プロトコル３は、ジャッジが信頼されないときであっても否認拒否機能を有する。次のプロトコルで、ボブが署名を拒否したい場合にジャッジがどのように判断するかを示す。
【０４７３】
否認拒否プロトコル：
１．アリスが（Ｃ、ｓ）をジャッジに送信する。
２．ジャッジは、
【０４７４】
【数１８３】

【０４７５】
を計算する（注：アリスおよびボブの２対の公開鍵を検証しなければならない。内在的証明書方式の場合、再構成公開データから公開鍵を計算しなければならない）。
３．ジャッジは、２つの整数ｒ₁およびｒ₂をランダムに選択し、
【０４７６】
【数１８４】

【０４７７】
を計算し、Ｌをアリスに送信する。
４．アリスは、
【０４７８】
【数１８５】

【０４７９】
を計算し、ジャッジに送り返す。
５．ジャッジは、
【０４８０】
【数１８６】

【０４８１】
を計算し、Ｍ＝ＤＥＳ_r（Ｃ）によってメッセージを復元する。
６．Ｍが正しいフォーマットを有する場合、（Ｃ、ｓ）はボブによってサインクリプトされたものに違いない。
７．ジャッジは、判断を行った後に、値
【０４８２】
【数１８７】

【０４８３】
をアリスおよびボブに送信して、自分の判断を確認する。
【０４８４】
他の２つのサインクリプション・プロトコルの場合、否認拒否（non-repudiation）プロトコルは、ジャッジが完全に信頼されるならば類似したものになる。
【０４８５】
結論として、本発明の方式は、ユーザーの秘密鍵を計算に直接に使用しなければならないアプリケーション・プロトコルと組み合わされたときに、内在的に証明される、ＩＤに基づくユーザーの公開鍵を提供する。これらの方式は、鍵認証センタ（Key Authentication Center、ＫＡＣ）が、内在的に証明される公開鍵をユーザーに配送するのに使用することもできる。
【０４８６】
内在的に証明される公開鍵のもう１つの応用例は、認証機関のビット強度が、証明されるユーザーまたはエンティティの公開鍵と同一であることである。ビット強度によって、相対的な鍵サイズおよび関係するエンティティの処理能力が暗示される。
【０４８７】
この問題に対処する手法の１つが、Ｘ．５０９証明書で指定されるものなどの従来の証明書構造に、内在的に証明される公開鍵を埋め込むことである。この場合、証明書に対する署名は、内在的に証明される公開鍵より高いビット強度になる。したがって、ＣＡは、２つの異なるセキュリティ・レベルでユーザー公開鍵を証明している。公開鍵を取り出す他のエンティティは、受け入れたいセキュリティ・レベルについて決定することができる。一部の応用分野では、必要な性能をもたらすために、内在的な値（implicit value）によって提供される、より低いレベルだけが必要になる可能性がある。
【０４８８】
本発明の特定の実施形態および特定の用途に関して本発明を説明してきたが、請求項に記載された本発明の趣旨から逸脱せずに、当業者は本発明のさまざまな変更形態を思い浮かべるであろう。たとえば、好ましい実施形態の上の説明では、乗法表現（multiplicative notation）を利用したが、本発明の方法は、加法表現（additive notation）を使用しても同様に良好に説明することができる。たとえば、ＥＣＤＳＡで実施された楕円曲線アルゴリズムがＤＳＡと同等であることは周知であり、そして、楕円曲線は離散対数アルゴリズムに類似することは、モジュロ素数の整数（integers moduro a prime）の乗法群Ｆ_p ^*の設定（setting）で通常記述される。群Ｆ_p ^*および楕円曲線群Ｅ（Ｆ_q）の要素および演算の間には対応関係がある。さらに、この署名技法は、Ｆ_pおよびＦ_{2 ”}上で定義されるフィールド（field）の中で実行される関数にも同様に良好に適用可能である。また、上で説明したＤＳＡ署名方式は、当技術分野で既知の一般化されたＥｌＧａｍａｌ署名方式の特定の実例（specific instance）であり、したがって、本発明の技法がこれに適用可能であることに留意されたい。
【図面の簡単な説明】
【図１】 本発明の実施形態に従って構成された第１のシステムの概略図である。
【図２】 本発明の実施形態に従って構成された第２のシステムの概略図である。

Claims (14)

1. 少なくとも１つの信頼できる当事者ＣＡおよび少なくとも１つの加入者エンティティＡを有する安全なディジタル通信システムにおいて公開鍵を生成する方法であって、前記方法は、
   （ａ）前記信頼できる当事者ＣＡが、前記加入者エンティティＡを区別する一意のアイデンティティＩ_Ａを選択するステップと、
   （ｂ）前記信頼できる当事者ＣＡが、前記信頼できる当事者ＣＡおよび前記加入者エンティティＡのそれぞれの秘密値から得られた公開値を数学的に組み合わせることにより前記加入者エンティティＡに対する公開鍵再構成公開データγ_Ａを生成し、前記加入者エンティティＡに対する内在的証明書（Ｉ_Ａ、γ_Ａ）を得るステップと、
   （ｃ）数学関数Ｆ（γ_Ａ、Ｉ_Ａ）に従って前記内在的証明書（Ｉ_Ａ、γ_Ａ）を組み合わせることによりエンティティ情報ｆを導出するステップと、
   （ｄ）前記エンティティ情報ｆを前記信頼できる当事者ＣＡの前記秘密値にバインドすることによって値ｋ_Ａを生成し、前記値ｋ_Ａを前記加入者エンティティＡに送信することにより、前記加入者エンティティＡが、前記値ｋ_Ａ と前記加入者エンティティＡの前記秘密値と前記内在的証明書（Ｉ _Ａ 、γ _Ａ ）とから秘密鍵を生成することを可能にするステップと
   を含み、
   これによって、前記加入者エンティティの公開鍵が、公開情報と前記公開鍵再構成公開データγ_Ａ と前記アイデンティティＩ_Ａ とから再構成されることが可能である、方法。
2. 前記数学関数Ｆは、安全なハッシュ関数である、請求項１に記載の方法。
3. 前記加入者エンティティＡの前記秘密値は、前記加入者エンティティＡにおいて利用可能にされ、前記秘密値から得られたその対応する公開値は、前記信頼できる当事者ＣＡにおいて利用可能にされる、請求項１または請求項２に記載の方法。
4. 前記ステップ（ｂ）において数学的に組み合わせることは、乗算することである、請求項１〜３のいずれか一項に記載の方法。
5. 前記信頼できる当事者ＣＡの前記秘密値は、前記信頼できる当事者ＣＡの秘密鍵と整数値とを含む、請求項１〜４のいずれか一項に記載の方法。
6. 前記ステップ（ｂ）において用いられる前記公開値の１つは、前記信頼できる当事者ＣＡの前記秘密鍵に対応する、請求項５に記載の方法。
7. 前記エンティティ情報ｆに前記整数を乗算することと、その結果に前記信頼できる当事者ＣＡの前記秘密鍵を組み合わせることとを行うことによって、前記値ｋＡが計算される、請求項５または請求項６に記載の方法。
8. ディジタル通信システムにおけるデバイスであって、
   前記デバイスは、信頼できる当事者ＣＡであり、
   前記信頼できる当事者ＣＡは、
   （ａ）加入者エンティティＡを区別する一意のアイデンティティＩ _Ａ を選択するステップと、
   （ｂ）信頼できる当事者ＣＡおよび前記加入者エンティティＡのそれぞれの秘密値から得られた公開値を数学的に組み合わせることにより前記加入者エンティティＡに対する公開鍵再構成公開データγ _Ａ を生成し、前記加入者エンティティＡに対する内在的証明書（Ｉ _Ａ 、γ _Ａ ）を得るステップと、
   （ｃ）数学関数Ｆ（γ _Ａ 、Ｉ _Ａ ）に従って前記内在的証明書（Ｉ _Ａ 、γ _Ａ ）を組み合わせることによりエンティティ情報ｆを導出するステップと、
   （ｄ）前記エンティティ情報ｆを前記信頼できる当事者ＣＡの前記秘密値にバインドすることによって値ｋ _Ａ を生成し、前記値ｋ _Ａ を前記加入者エンティティＡに送信することにより、前記加入者エンティティＡが、前記値ｋ _Ａ と前記加入者エンティティＡの前記秘密値と前記内在的証明書（Ｉ _Ａ 、γ _Ａ ）とから秘密鍵を生成することを可能にするステップと
   を含むステップを実行するように構成されており、
   これによって、前記加入者エンティティの公開鍵が、公開情報と前記公開鍵再構成公開データγ _Ａ と前記アイデンティティＩ _Ａ とから再構成されることが可能である、デバイス。
9. 前記数学関数Ｆは、安全なハッシュ関数である、請求項８に記載のデバイス。
10. 前記加入者エンティティＡの前記秘密値は、前記加入者エンティティＡにおいて利用可能にされ、前記秘密値から得られたその対応する公開値は、前記信頼できる当事者ＣＡにおいて利用可能にされる、請求項８または請求項９に記載のデバイス。
11. 前記ステップ（ｂ）において数学的に組み合わせることは、乗算することである、請求項８〜１０のいずれか一項に記載のデバイス。
12. 前記信頼できる当事者ＣＡの前記秘密値は、前記信頼できる当事者ＣＡの秘密鍵と整数値とを含む、請求項８〜１１のいずれか一項に記載のデバイス。
13. 前記ステップ（ｂ）において用いられる前記公開値の１つは、前記信頼できる当事者ＣＡの前記秘密鍵に対応する、請求項１２に記載のデバイス。
14. 前記エンティティ情報ｆに前記整数を乗算することと、その結果に前記信頼できる当事者ＣＡの前記秘密鍵を組み合わせることとを行うことによって、前記値ｋＡが計算される、請求項１２または請求項１３に記載のデバイス。

Images