JP4911504B2 - 匿名認証システム - Google Patents

Description

本発明は、匿名認証システムに関するものである。また、匿名認証システムを用いて構成する匿名通信路の匿名サービス利用ネットワーク、および秘匿性の高い匿名マッチングシステムに関するものである。

ＩＴ化や個人情報保護法の施行などに伴い、匿名性を要するアプリケーションが増えている。従来の技術で、その匿名性や秘匿性を高めようとすると計算量と通信量が多くなり非常に使い勝手の悪いものとなる。例えば、非特許文献１の技術においては、ＯＴ（Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒ）とＰＡＫＥ（Ｐａｓｓｗｏｒｄ−Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｋｅｙ Ｅｘｃｈａｎｇｅ）の組み合わせで匿名認証を実現しているが、サーバ側の計算量と通信量が多いという欠点がある。

非特許文献２の技術においては、暗号文の状態でその平文中のキーワードを検索できるが、その暗号文の作成者は利用者が何を検索しているのかを知ることができる。このために、十分な秘匿性が保証されない。非特許文献３の技術における「Ｐｒｉｖａｔｅ Ｉｎｆｏｒｍａｔｉｏｎ Ｒｅｔｒｉｅｖａｌ」は、利用者が何を検索したかをサーバに秘匿できるが、利用者はサーバに置いてある情報を知ることができる。このため、ここでも、十分な秘匿性を保証することはできない。

匿名認証の技術として、また、特許文献１〜特許文献３の技術が参照できる。特許文献１の技術では、管理装置であるグリッドシステムが、ＳＳＬでユーザのＩＤやパスワードに基づいてクライアント装置の認証を行う。その認証が成功したら管理装置はユーザの匿名プロキシ証明書を発行し、それに基いて計算機に対するユーザの認証を代わりに行う。特許文献２の技術は、ピアツーピア型匿名プロキシにおける安全性の高い匿名通信路の検証及び構築する方法であり、ユーザとサーバの間に匿名通信路を作るために、自分が立ち上げたピアツーピア型匿名プロキシと他人が立ち上げたピアツーピア型匿名プロキシを繋ぐことでルートができる。そのルートにある他人のピアツーピア型匿名プロキシが信頼できるかどうかを検証するためにパスワードを多重暗号化して送ってもらい、また、別のルートでそのピアツーピア型匿名プロキシとパスワードを送受信することで認証を行う。また、特許文献３の技術は、電子掲示板システム及びそれに用いる投稿管理方法の技術である。ここでは、クライアントが匿名を悪用して電子掲示板に投稿するのを防ぐために、クライアントのパスワード認証をホストコンピュータではなく、すべてのクライアントが協力することで認証ができる。
D. Q. Viet, A. Yamamura, and H. Tanaka, "AnonymousPassword-Based Authenticated Key Exchange" Proc. of INDOCRYPT 2005, LNCS 3797,pp. 244-257, 2005. D. Boneh, G. D. Crescenzo, R. Ostrovsky, and G.Persiano, "Public Key Encryption with Keyword Search" Proc. of EUROCRYPT 2004,LNCS 3027, pp. 506-522, 2004. W. Gasarch, "A Survey on Private InformationRetrieval" http://theorie.informatik.uni-ulm.de/Personen/toran/beatcs/column82.pdf 特開２００６−３０１８３１号公報 特開２００５−２３６９３９号公報 特開２００１−３３１４１１号公報

上述したように、匿名性を要するアプリケーションが増えているが、これに対して、従来の技術で匿名性や秘匿性を高めようとすると、計算量と通信量が多くなり非常に使い勝手の悪いものとなる。

例えば、パスワードを用いた従来の匿名認証の処理では、それを実行する度にグループのメンバ数をｎとすると、ｎに比例した計算量や通信量が必要であり、匿名性や秘匿性を高めようとすると、計算量と通信量が膨大なものとなり、匿名性を要するアプリケーションおける計算コストが高くなるという問題がある。

また、従来技術による匿名通信路においては、
（１）経由するノード数に応じて処理が重くなる、
（２）ファイヤーウォールやＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）などで送信者を特定できる、
（３）コンテンツの不正配布、不法薬物の売買、テロ活動など公序良俗に反する目的で利用される恐れがある、
といった問題点があった。

本発明は、これらの問題点を解決するためになされたものであり、本発明の目的は、十分な匿名性で、しかも計算コストと通信コストが高くならない匿名認証システムを提供することにある。また、そのような匿名認証システムを用いて構成する匿名通信路の匿名サービス利用ネットワーク、および秘匿性の高い匿名マッチングシステムを提供することにある。

上記のような目的を達成するため、本発明による匿名認証システムにおいては、基本的な概念として、パスワードを用いた匿名認証に対して過去に生成したデータを再利用したとしても安全性を損なわないようにして、匿名認証システムを構成する。これにより、２回目以降の処理を軽くする。

また、本発明による匿名認証システムを用いて匿名サービス利用ネットワークを構成する場合には、認証された利用者のみに通信の際に必要となる特定のアドレスを割り振ると共にそのアドレスでは特定のサーバにしか接続させないようにする。これにより、乱用ができなく、かつ効率のよい匿名サービス利用ネットワークを構成する。

また、本発明による匿名認証システムを用いて、秘匿性の高い匿名マッチングシステムを構成する場合においては、パスワードを用いた匿名認証により提供される匿名性を応用することにより、「サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることのできる」匿名マッチングシステムが提供される。

具体的には、本発明は、第１の態様として、本発明による匿名認証システムは、利用者端末装置に設けられて、利用者からのパスワード入力を受け付け、ユーザ側の認証用データを生成する第１の認証データ生成装置と、利用者端末装置に設けられて、前記第１認証データ生成装置により生成されたユーザ側の認証用データを認証サーバに送信するとともに、前記認証サーバからサーバ側の認証用データを受信する第１の通信処理部と、利用者端末装置に設けられて、前記第１認証データ生成装置から出力される認証用データおよび認証サーバから受信した認証用データに基づいて、認証結果を判断し、認証子を生成すると共に、セッション鍵を生成する第１のセッション鍵生成装置と、認証サーバに設けられて、ユーザ側の認証用データを受け付けて、認証サーバ側の認証用データを生成する第２の認証データ生成装置と、認証サーバに設けられて、前記利用者端末装置からユーザ側の認証用データを受信すると共に、前記第２認証データ生成装置により生成されたサーバ側の認証用データを利用者端末装置に送信する第２の通信処理部と、認証サーバに設けられて、前記第２認証データ生成装置から出力される認証用データおよび利用者端末装置から受信した認証用データに基づいて、認証結果を判断し、セッション鍵を生成する第２のセッション鍵生成装置と、を備えることを特徴とする匿名認証システムであって、利用者端末装置からユーザＩＤ及びパスワード入力があった場合に、認証サーバに設けられた第２の認証データ生成装置の初期化処理を行い、初期化処理データをメモリに格納し、以降の処理では前記メモリに格納したデータを用いる、ことを特徴とするものである。

本発明は、第２の態様として、匿名認証システムを用いて構成する匿名サービス利用ネットワークであって、利用者端末装置からのセッション鍵に基づいて利用者に対してサービスを提供する匿名サービス提供サーバと、利用者端末装置からユーザの匿名認証を行った際に共有したセッション鍵を認証サーバから受け取り、前記匿名サービス提供サーバがサービスを提供するための通信路のアドレスを割り付ける通信アドレス割り当て装置と、利用者端末装置と前記匿名サービス提供サーバとの間のパケットの認証を行い、認証されていないパケットをネットワーク外に送信することを防止するネットワークフィルタリング装置と、を備えることを特徴とするものである。

この場合に、前記匿名サービス提供サーバは、認証サーバによりユーザを匿名認証した際に共有したセッション鍵と、ユーザを特定するＩＤの通知を予め受けて、前記ＩＤおよびセッション鍵に基づく通信のみを受け付けるように構成される。

また、本発明は、第３の態様として、匿名認証システムを用いて、サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることのできる匿名マッチングシステムであって、自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置およびユーザ側認証用データ生成装置から構成される条件検索者の匿名マッチングシステムと、自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置およびサーバ側認証用データ生成装置から構成される条件提供者の匿名マッチングシステムと、を備え、条件提供者の匿名マッチングシステムの検索語・条件式処理装置が、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各サーバ側認証用データ生成装置に設定し、サーバ側認証用データ生成装置が、ユーザ側認証用データ生成装置からの接続に応答して、その出力を前記検索語・条件式処理装置に伝え、条件提供者の匿名マッチングシステムの検索語・条件式処理装置が、各サーバ側認証用データ生成装置の出力を集め、条件検索者の匿名マッチングシステムの検索語・条件式処理装置と通信し、マッチング結果を出力すると共に、条件検索者の匿名マッチングシステムの検索語・条件式処理装置が、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各ユーザ側認証用データ生成装置に設定し、ユーザ側認証用データ生成装置はサーバ側認証用データ生成装置に接続し、その出力を検索語・条件式処理装置に伝え、条件検索者の匿名マッチングシステムの検索語・条件式処理装置が、各ユーザ側認証用データ生成装置の出力を集め、条件提供者の匿名マッチングシステムの検索語・条件式処理装置と通信し、マッチング結果を出力する、ことを特徴とするものである。

このような特徴を有する本発明の匿名認証システムによれば、従来のパスワードを用いた匿名認証では、それを実行する度にグループのメンバ数をｎとしてｎに比例した計算量や通信量が必要であったが、本発明の匿名認証システムでは、２回目以降の実行における計算量や通信量を一定にすることができ、非常に効率よく実行できる。

また、本発明による匿名認証システムを用いて、送信元ＩＰアドレスなどからデータの送信者を特定することを防止する匿名通信路である匿名サービス利用ネットワークが提供され、この匿名通信路では、別ノードを必要としないため、経由するノード数に応じて処理が重くなることはなく、また、ネットワークの管理者も利用者を特定できないため、従来の通信路のように、ファイヤーウォールやＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）などで送信者を特定できることはなく、利用目的を限定できるため、コンテンツの不正配布、不法薬物の売買、テロ活動など公序良俗に反する目的で利用される恐れがあるといった問題点が解決される。

さらに、また、本発明による匿名認証システムを用いることにより、サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることができるため、高い秘匿性を確保しながら検索やマッチングを行うことができる匿名マッチングシステムが提供される。

以下に、図面を参照しつつ、本発明の好適な実施例について説明する。ただし、本発明は以下の各実施例に限定されるものではなく、例えば、これら実施例の構成要素同士を適宜に組み合わせてもよい。

図１は、本発明に係る匿名認証システムの概略のシステム構成を説明する図である。図１に示すように、匿名認証システム１００は、ユーザの端末装置（利用者端末装置）２００とサーバの認証装置（認証サーバ）３００が、インターネットのような安全ではない通信路１１０により接続されて互いに通信を行い、個人を特定しないで利用者を認証するシステムである。

すなわち、匿名認証システム１００は、ユーザの端末装置２００とサーバの認証装置３００がお互いに相互認証しながら同じセッション鍵を確保するためのシステムであり、ここで、例えば、利用者サービスを提供するサーバは、セッション鍵を共有したユーザが自分に登録しているユーザの中で一人であることは確認できるものの、そのユーザが誰かは特定できない。利用者は、パスワード入力を行うことでサーバからのサービスを利用することができるようになる。

まず、以下の説明において用いる整数論と記号について、概略を説明しておく。ｐ，ｑは素数であり、ｑ｜ｐ−１という関係がある。ｑ｜ｐ−１は、ｑはｐ−１を割りきることのできる値であることを意味する。また、ｇはｍｏｄ ｐ上の位数ｑの有限体（群）Ｇ＝｛ｇ^ｊ ｍｏｄ ｐ： ０≦ｊ＜ｑ｝の生成元である（楕円曲線上の群でも同じように構成できる）。

ここで、“ｇ^ｊ ｍｏｄ ｐ”は、法指数演算で、ｇをｊ乗した値をｐで割った残り（Ｒｅｍａｉｎｄｅｒ）という意味である。また、ここで、ｇは（１＜ｇ＜ｐ−１，ｇ^ｑ＝１ ｍｏｄ ｐ，ｇ^ｊ≠１ ｍｏｄ ｐ（０＜ｊ＜ｑ））である。

つまり、ｐ，ｑは演算体系（素体の標数）を示す。例えば、Ｘ＝ｇ^ｘ ｍｏｄ ｐ(０＜ｘ＜ｑ)でｘは秘密情報であり、Ｘが与えられた時、ｘ＝ｌｏｇ_ｇＸを求めるのは数学的に難しい問題（Ｘの生成元ｇに対する離散対数問題という）である。

また、乱数発生器から発生される乱数はＲ∈（Ｚ／ｑＺ）^＊を無作為に生成する。ここで、（Ｚ／ｑＺ）^＊は｛１，２，・・・，ｑ−１｝の集合を示す。マスタ鍵発生器から発生されるマスタ鍵はＭＳ∈｛０，１｝^ｍを無作為に生成する。ここで、｛０，１｝^ｍは長さがｍの二進数列の集合を示す。また、Ｅ_Ｋｅｙ（Ｍ）は対称鍵Ｋｅｙを使ってメッセージＭを暗号化し、Ｄ_Ｋｅｙ（Ｃ）は対称鍵Ｋｅｙを使って暗号文Ｃからメッセージを復号する。例えば、対象鍵暗号方式としてＡＥＳ−ｘｘｘなどが使われる。ここで、ｘｘｘはＣＢＣ、ＣＣＭなどのような対称鍵暗号方式の利用モードを意味する。

以下の説明では、複数の安全な一方向性ハッシュ関数Ｆ，Ｈ_１，Ｈ_２，Ｈ_３，Ｈ_４，Ｈ_５を使う（例えば、ＳＨＡ２５６或いはＲＩＰＥＭＤ１６０など）。また、ｌはハッシュ関数のセキュリティパラメータを意味する。

ハッシュ関数Ｆは、｛０，１｝^＊ →（Ｚ／ｑＺ）^＊にマッピングするＦＤＨ（Ｆｕｌｌ Ｄｏｍａｉｎ Ｈａｓｈ）関数である。ここで、｛０，１｝^＊は有限の二進数列の集合を示す。他のハッシュ関数Ｈ_ｋ（１≦ｋ≦５）は｛０，１｝^＊→｛０，１｝^ｌｋのようにマッピングする。ここで、｛０，１｝^ｌｋは長さがｌ_ｋの二進数列の集合を示す。

また、‖は値を連結（ｃｏｎｃａｔｅｎａｔｉｏｎ）するという意味である。また、各ユーザはユーザＩＤ（Ｕ_ｉ）を持ち、そのグループＩＤはＵ＝｛Ｕ_１，・・・，Ｕ_ｎ｝で表す。例えば、ユーザＩＤは一連番号（Ｓｅｒｉａｌ ｎｕｍｂｅｒ）あるいはＰｕｂｌｉｃ ａｃｃｏｕｎｔ ｎａｍｅにしてもよい。また、ユーザＵ_ｉは自分のパスワードｐｗ_ｉを覚えていて、サーバはすべてのユーザのＩＤとパスワード対｛Ｕ_ｊ，ｐｗ_ｊ｝（１≦ｊ≦ｎ）をデータベースに保存している。また、ＳはサーバＩＤを表す。そして、ｐａｒａｍ＝（ｇ，ｐ，ｑ），Ｆ，Ｈ_１，Ｈ_２，Ｈ_３，Ｈ_４，Ｈ_５，Ｕ＝｛Ｕ_１，・・・，Ｕ_ｎ｝，Ｓは公開情報であり、例えばサーバの掲示板などに公開する。

図２は、本発明に係る匿名認証システムにおけるユーザの端末装置の概略のシステム構成を説明するブロック図である。図２に示すように、ユーザの端末装置２００は、ユーザ側認証用データ生成装置２０１と，通信処理部２０２と、ユーザ側認証結果判定及びセッション鍵生成装置２０３とから構成される。

ユーザの端末装置２００において、ユーザ側認証用データ生成装置２０１は、利用者からのパスワード入力を受け付け、ユーザ側の認証用データを生成する。通信処理部２０２は、ユーザ側認証用データ生成装置２０１により生成されたユーザ側の認証用データを、サーバの認証装置３００に送信するとともに、サーバの認証装置３００からサーバ側の認証用データを受信する。ユーザ側認証結果判定及びセッション鍵生成装置２０３は、後述するように、ユーザ側認証用データ生成装置２０１から出力される認証用データおよびサーバの認証装置３００から受信した認証用データに基づいて、認証結果を判断し、認証子を生成すると共に、セッション鍵を生成する。

図３は、本発明に係る匿名認証システムにおけるサーバの認証装置の概略のシステム構成を説明するブロック図である。図３に示すように、サーバの認証装置３００は、サーバ側認証用データ生成装置３０１と，通信処理部３０２と、サーバ側認証結果判定及びセッション鍵生成装置３０３とから構成される。

サーバの認証装置３００において、サーバ側認証用データ生成装置３０１は、ユーザ側の認証用データを受け付けて、認証サーバ側の認証用データを生成する。通信処理部３０２は、ユーザの端末装置２００からユーザ側の認証用データを受信すると共に、サーバ側認証用データ生成装置３０１により生成された認証サーバ側の認証用データをユーザの端末装置２００に送信する。また、サーバ側認証結果判定及びセッション鍵生成装置３０３は、後述するように、サーバ側認証用データ生成装置３０１から出力される認証用データおよびユーザの端末装置２００から受信した認証用データに基づいて、認証結果を判断し、セッション鍵を生成する。

次に、図２および図３を参照して、ユーザの端末装置２００とサーバの認証装置３００との間で匿名を保ちながら相互認証及び鍵交換を行う動作を説明する。

＜ユーザの端末装置の動作＞
図２を参照すると、ユーザの端末装置２００は、ユーザ側認証用データ生成装置２０１と、通信処理部２０２と、ユーザ側認証結果判定及びセッション鍵生成装置２０３で構成されている。ユーザ側認証用データ生成装置２０１は、ＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルなどで構成される。それぞれのプロトコルよる構成および動作については、後に詳述する。

＜サーバの認証装置の動作＞
また、図３を参照すると、サーバの認証装置３００は、サーバ側認証用データ生成装置３０１と、通信処理部３０２と、サーバ側認証結果判定及びセッション鍵生成装置３０３で構成される。サーバ側認証用データ生成装置３０１は、ＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルなどで構成する。これらは、ユーザの端末装置２００の各プロトコルに対応したものであり、それぞれのプロトコルにおける構成および動作については、後に詳述する。

本発明による匿名認証システム１００は、サーバの認証装置３００において、まず、サーバ側認証用データ生成装置３０１が、匿名認証のサービスを行う場合の前処理として初期化処理を行う。図４を参照して説明する。

＜サーバ側認証用データ生成装置の初期化及び更新化＞
利用者に対してサービスを提供するための認証サーバは、ユーザのＩＤとパスワード対｛Ｕ_ｊ，ｐｗ_ｊ｝（１≦ｊ≦ｎ）に対して、まず、サーバの認証装置３００において、サーバ側認証用データ生成装置３０１の初期化（更新化）の処理を行う。この初期化の処理は、以下に説明するすべてのプロトコルの実行前に必ず行われる。ＢＡＳＩＣプロトコルの実行前では毎回初期化処理を行う。

また、初期化と同じ処理であるが、初期化以降の更新化（２回目からの初期化）はＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルの実行前に行われる。また、更新化は周期的な期間（例えば、一日あるいは一ヵ月）単位で行うように設定されても良い。

図４は、サーバ側認証用データ生成装置の初期化及び更新化の処理を説明するデータの流れを示すブロック図である。

初期化の処理は、乱数発生器により発生される乱数に基づいて処理を行う。図４を参照すると、まず、乱数発生器４０１により、ランダムに乱数ｘを発生する。また、マスタ鍵発生器４０２により、ランダムにマスタ鍵ＭＳを発生する。暗号処理演算器４０３は、乱数発生器４０１において発生させた乱数ｘから、公開値Ｘを、Ｘ＝ｇ^ｘ ｍｏｄ ｐにより計算する。暗号鍵生成器４０５は、サーバ側認証用データ生成装置３０１に備えられたたメモリ４０４から記憶されたユーザＩＤとパスワード対｛Ｕ_ｊ，ｐｗ_ｊ｝（１≦ｊ≦ｎ）を読み出す。暗号鍵生成器４０５は、メモリ４０４から読み出した｛Ｕ_ｊ，ｐｗ_ｊ｝（１≦ｊ≦ｎ）と、乱数発生器４０１において発生させた乱数ｘにより、暗号鍵Ｋ_ｊを、Ｋ_ｊ＝Ｆ（Ｕ_ｊ，ｐｗ_ｊ）^ｘ ｍｏｄ ｐ（１≦ｊ≦ｎ）により計算して出力する。

暗号器４０６では、暗号鍵生成器４０５から生成された暗号鍵Ｋ_ｊとマスタ鍵発生器４０２において発生させたマスタ鍵ＭＳとから暗号文Ｃ_ｊを、Ｃ_ｊ＝Ｅ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（ＭＳ）（１≦ｊ≦ｎ）により計算する。サーバ側認証用データ生成装置３０１の内部にあるメモリ４０４は乱数発生器４０１から発生された乱数ｘと、暗号処理演算器４０３から生成されたＸと、ｉｎｄｅｘ＝Ｈ_５（Ｘ）と、暗号鍵生成器４０４から生成された暗号鍵Ｋ_ｊ（１≦ｊ≦ｎ）と暗号器４０６から生成された暗号文Ｃ_ｊ（１≦ｊ≦ｎ）を記憶して保存する。

前述したように、ユーザの端末装置２００におけるユーザ側認証用データ生成装置２０１は、各プロトコルによる認証データの生成を行うように構成される。次に、ユーザ側認証用データ生成装置２０１の動作を、ＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルについて、それぞれ動作について説明する。

＜ユーザ側認証用データ生成装置の動作＞
（１）ＢＡＳＩＣプロトコルの場合、
図５は、ユーザ側認証用データ生成装置のＢＡＳＩＣプロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。初めに、図５を参照してＢＡＳＩＣプロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。

まず、乱数発生器２１１により、ランダムに乱数ａを発生し、暗号処理演算器２１２に乱数ａを入力する。暗号処理演算器２１２は、乱数発生器２１１において発生させた乱数ａから、公開値ｇ^ａ ｍｏｄ ｐを計算する。マスク演算器２１３は、ユーザＵ_ｉが入力したパスワードｐｗ_ｉと暗号処理演算器２１２から入力された公開値ｇ^ａから、データＡを、Ａ＝ｇ^ａ・Ｆ（Ｕ_ｉ，ｐｗ_ｉ） ｍｏｄ ｐにより計算して出力する。出力されたデータＡは、通信処理部２０２によって、サーバの認証装置３００に送信される。また、サーバの認証装置３００から、通信処理部２０２を介して、サーバの認証装置３００から、認証用データのＸ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}，Ｖ_Ｓを受信する。

図５を参照すると、復号鍵生成器２１４は、乱数発生器２１１から出力される乱数ａと受信した認証用データの（Ｘ，Ａ^ｘ）を入力として、復号鍵Ｋ_ｉを、Ｋ_ｉ＝Ａ^ｘ／Ｘ^ａ ｍｏｄ ｐにより計算して出力する。復号器２１５は、復号鍵生成器２１４から生成された復号鍵Ｋ_ｉと、受信したｉ番目のＣ_ｊ（つまり、ｉ＝ｊ）から、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｉ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。セッション固有化器２１６は、マスク演算器から入力されたデータＡと受信した認証用データのＸ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＢＡＳＩＣ”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｘ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）と、復号器２１５から生成されたマスタ鍵ＭＳを出力する。ここでの“ＢＡＳＩＣ”は、ＢＡＳＩＣプロトコルの名前を示している。ユーザ側認証用データ生成装置２０１の内部にあるメモリ２１７は、ＣＥ１とＣＥ２プロトコルのために、受信した認証用データのＸ，Ｃ_ｉを記憶して保存する。

また、ユーザ側認証用データ生成装置２０１の内部にあるメモリ２１７は、ＣＥ３とＣＥ４プロトコルのために、受信したＸと復号器２１５から生成されたマスタ鍵ＭＳを記憶して保存する。それ以外には、ユーザ側認証用データ生成装置２０１の内部にあるメモリ２１７に何も保存しない。

（２）ＥＸＴＥＮＤＥＤ１プロトコルの場合、
図６は、ユーザ側認証用データ生成装置のＥＸＴＥＮＤＥＤ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図６を参照して、次に、ＥＸＴＥＮＤＥＤ１プロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。

まず、乱数発生器２２１によりランダムに２つの乱数ａと乱数ｂを発生する。暗号処理演算器２２２は、乱数発生器２２１において発生させた乱数ａと乱数ｂから、公開値ｇ^ａ ｍｏｄ ｐと公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐをそれぞれ計算する。マスク演算器２２３では、ユーザＵ_ｉが入力したパスワードｐｗ_ｉと、暗号処理演算器２２２から入力された公開値ｇ^ａとから、データＡを、Ａ＝ｇ^ａ・Ｆ（Ｕ_ｉ，ｐｗ_ｉ） ｍｏｄ ｐにより計算して出力する。通信処理部２０２は、データＡと公開値Ｂをサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証用データのＸ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}，Ｖ_Ｓを受信する。復号鍵生成器２２５は、乱数発生器２２１から出力される乱数ａと受信した認証用データのＸ，Ａ^ｘを入力として、復号鍵Ｋ_ｉを、Ｋ_ｉ＝Ａ^ｘ／Ｘ^ａ ｍｏｄ ｐにより計算して出力する。復号器２２６は、復号鍵生成器２２５から生成された復号鍵Ｋ_ｉと受信したｉ番目のＣ_ｊ（つまり、ｉ＝ｊ）から、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｉ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

また、暗号処理演算器２２４は、乱数発生器２２１から出力される乱数ｂと、受信した認証用データのＸを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵（Ｘ^ｂ ｍｏｄ ｐ）を計算して出力する。セッション固有化器２２７は、マスク演算器２２３から出力されたデータＡと、暗号処理演算器２２２から入力された公開値Ｂと、暗号処理演算器２２４から入力されたＸ^ｂと、受信した認証用データのＸ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＥＸＴＥＮＤＥＤ１”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｘ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）と、復号器２２６から生成されたマスタ鍵ＭＳを出力する。ここで、“ＥＸＴＥＮＤＥＤ１”はＥＸＴＥＮＤＥＤ１プロトコルの名前を示している。

（３）ＥＸＴＥＮＤＥＤ２プロトコルの場合、
図７は、ユーザ側認証用データ生成装置のＥＸＴＥＮＤＥＤ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図７を参照して、ＥＸＴＥＮＤＥＤ２プロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。

まず、乱数発生器２３１によりランダムに２つの乱数ａと乱数ｂを発生する。暗号処理演算器２３２は、乱数発生器２３１において発生させた乱数ａと乱数ｂから、公開値ｇ^ａ ｍｏｄ ｐと公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐをそれぞれ計算する。マスク演算器２３３では、ユーザＵ_ｉが入力したパスワードｐｗ_ｉと、暗号処理演算器２３２から入力された公開値ｇ^ａから、データＡを、Ａ＝ｇ^ａ・Ｆ（Ｕ_ｉ，ｐｗ_ｉ） ｍｏｄ ｐにより計算して出力する。通信処理部２０２は、データＡと公開値Ｂをサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証用データのＸ，Ａ^ｘ，Ｙ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}，Ｖ_Ｓを受信する。復号鍵生成器２３５は、乱数発生器２３１から出力される乱数ａと受信した認証用データのＸ，Ａ^ｘを入力として、復号鍵Ｋ_ｉを、Ｋ_ｉ＝Ａ^ｘ／Ｘ^ａ ｍｏｄ ｐにより計算して出力する。復号器２３６は、復号鍵生成器２３５から生成された復号鍵Ｋ_ｉと、受信したｉ番目のＣ_ｊ（つまり、ｉ＝ｊ）から、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｉ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

また、暗号処理演算器２３４は、乱数発生器２３１から出力される乱数ｂと、受信した認証用データのＸ，Ｙを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵の（Ｘ^ｂ ｍｏｄ ｐ）と（Ｙ^ｂ ｍｏｄ ｐ）とをそれぞれに計算して出力する。セッション固有化器２３７は、マスク演算器２３３から入力されたデータＡと、暗号処理演算器２３２から入力された公開値Ｂ，暗号処理演算器２３４から入力された（Ｘ^ｂ，Ｙ^ｂ）と、受信した認証用データのＸ，Ａ^ｘ，Ｙ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＥＸＴＥＮＤＥＤ２”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｙ^ｂ｜｜Ｘ｜｜Ｙ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）と、復号器２３６から生成されたマスタ鍵ＭＳを出力する。ここでの“ＥＸＴＥＮＤＥＤ２”はＥＸＴＥＮＤＥＤ２プロトコルの名前を示している。

（４）ＣＥ１プロトコルの場合、
図８は、ユーザ側認証用データ生成装置のＣＥ（Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｅｆｆｉｃｉｅｎｔ）１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図８を参照して、ＣＥ１プロトコルを使ったユーザ側認証用データ生成装置の動作を説明する。ここで、一回だけＣＥ１プロトコルの実行前は、前述したユーザ側認証用データ生成装置２０１のＢＡＳＩＣプロトコル（図５）を行う。その後、ユーザ側認証用データ生成装置２０１にあるメモリ２４８に保存されているデータ（つまり、ＸとＣ_ｉ）は固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したユーザ側認証用データ生成装置２０１のＢＡＳＩＣプロトコル（図５）を行う。

まず、乱数発生器２４１によりランダムに２つの乱数ａと乱数ｂを発生する。暗号処理演算器２４２は、乱数発生器２４１において発生させた乱数ａと乱数ｂから、公開値ｇ^ａ ｍｏｄ ｐと公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐをそれぞれ計算する。マスク演算器２４３では、ユーザＵ_ｉが入力したパスワードｐｗ_ｉと、暗号処理演算器２４２から入力された公開値ｇ^ａから、データＡを、Ａ＝ｇ^ａ・Ｆ（Ｕ_ｉ，ｐｗ_ｉ） ｍｏｄ ｐにより計算して出力する。通信処理部２０２は、データＡと公開値Ｂをサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証用データのＡ^ｘ，Ｖ_Ｓを受信する。復号鍵生成器２４５は、乱数発生器２４１から出力される乱数ａと、メモリ２４８から読み出したＸと、受信した認証用データのＡ^ｘを入力として、復号鍵Ｋ_ｉを、Ｋ_ｉ＝Ａ^ｘ／Ｘ^ａ ｍｏｄ ｐにより計算して出力する。復号器２４６は、復号鍵生成器２４５から生成された復号鍵Ｋ_ｉと、メモリ２４８から読み出したＣ_ｉから、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｉ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｉ）により計算する。

また、暗号処理演算器２４４は、乱数発生器２４１から出力される乱数ｂと、メモリ２４８から読み出したＸを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵（Ｘ^ｂ ｍｏｄ ｐ）を計算して出力する。セッション固有化器２４７は、マスタ演算器２４３から入力されたデータＡと、暗号処理演算器２４２から入力された公開値Ｂ，暗号処理演算器２４４から入力されたＸ^ｂと、メモリ２４８から読み出したＸと、受信した認証用データのＡ^ｘからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ１”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｘ）と、復号器２３６から生成されたマスタ鍵ＭＳを出力する。ここでの“ＣＥ１”はＣＥ１プロトコルの名前を示している。

（５）ＣＥ２プロトコルの場合、
図９は、ユーザ側認証用データ生成装置のＣＥ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図９を参照して、ＣＥ２プロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。ここで、一回だけＣＥ２プロトコルの実行前は、前述したユーザ側認証用データ生成装置２０１のＢＡＳＩＣプロトコル（図５）を行う。その後、ユーザ側認証用データ生成装置２０１にあるメモリ２５８に保存されたデータ（つまり、ＸとＣ_ｉ）は固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したユーザ側認証用データ生成装置のＢＡＳＩＣプロトコル（図５）を行う。

まず、乱数発生器２５１によりランダムに２つの乱数ａと乱数ｂを発生する。暗号処理演算器２５２は、乱数発生器２５１において発生させた乱数ａと乱数ｂから、公開値ｇ^ａ ｍｏｄ ｐと公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐを計算する。マスク演算器２５３は、ユーザＵ_ｉが入力したパスワードｐｗ_ｉと、暗号処理演算器２５２から入力された公開値ｇ^ａとから、データＡを、Ａ＝ｇ^ａ・Ｆ（Ｕ_ｉ，ｐｗ_ｉ） ｍｏｄ ｐにより計算して出力する。通信処理部２０２は、データＡと公開値Ｂをサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証用データのＡ^ｘ，Ｙ，Ｖ_Ｓを受信する。復号鍵生成器２５５は、乱数発生器２５１から出力される乱数ａと、メモリ２５８から読み出したＸと、受信した認証用データのＡ^ｘを入力として、復号鍵Ｋ_ｉを、Ｋ_ｉ＝Ａ^ｘ／Ｘ^ａ ｍｏｄ ｐにより計算して出力する。復号器２５６は、復号鍵生成器２５５から生成された復号鍵Ｋ_ｉと、メモリ２５８から読み出したＣ_ｉから、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｉ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｉ）により計算する。

また、暗号処理演算器２５４は、乱数発生器２５１から出力される乱数ｂと、メモリ２５８から読み出したＸと、受信した認証用データのＹを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵の（Ｘ^ｂ ｍｏｄ ｐ）と（Ｙ^ｂ ｍｏｄ ｐ）を計算して出力する。セッション固有化器２５７は、マスタ演算器２５３から入力されたデータＡと、暗号処理演算器２５２から入力された公開値Ｂ，暗号処理演算器２５４から入力された（Ｘ^ｂ，Ｙ^ｂ）と、メモリ２５８から読み出したＸと、受信した認証用データのＡ^ｘ，ＹからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ２”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｙ^ｂ｜｜Ｘ｜｜Ｙ）と、復号器２５６から生成されたマスタ鍵ＭＳを出力する。ここでの“ＣＥ２”はＣＥ２プロトコルの名前を示している。

（６）ＣＥ３プロトコルの場合、
図１０は、ユーザ側認証用データ生成装置のＣＥ３プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図１０を参照して、ＣＥ３プロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。ここで、一回だけＣＥ３プロトコルの実行前は、前述したユーザ側認証用データ生成装置のＢＡＳＩＣプロトコル（図５）を行う。その後、ユーザ側認証用データ生成装置２０１にあるメモリ２６５に保存されたデータ（つまり、ＸとＭＳ）は固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したユーザ側認証用データ生成装置のＢＡＳＩＣプロトコルを行う。

乱数発生器２６１によりランダムに乱数ｂを発生する。暗号処理演算器２６２は、乱数発生器２６１において発生させた乱数ｂから、公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐを計算する。通信処理部２０２は暗号処理演算器２６２から生成された公開値Ｂと、メモリ２６５から読み出したｉｎｄｅｘ＝Ｈ_５（Ｘ）を、通信処理部２０２を介してサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証子のＶ_Ｓを受信する。暗号処理演算器２６３は、乱数発生器２６１から出力される乱数ｂと、メモリ２６５から読み出したＸを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵（Ｘ^ｂ ｍｏｄ ｐ）を計算して出力する。セッション固有化器２６４は、暗号処理演算器２６２から入力されたＢ，暗号処理演算器２６３から入力されたＸ^ｂと、メモリ２６５から読み出したＸからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ３”｜｜Ｕ｜｜Ｓ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｘ）と、メモリ２６５から読み出したマスタ鍵ＭＳを出力する。ここでの“ＣＥ３”はＣＥ３プロトコルの名前を示している。

（７）ＣＥ４プロトコルの場合、
図１１は、ユーザ側認証用データ生成装置のＣＥ４プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図１１を参照して、ＣＥ４プロトコルを使ったユーザ側認証用データ生成装置２０１の動作を説明する。ここで、一回だけＣＥ４プロトコルの実行前は、前述したユーザ側認証用データ生成装置のＢＡＳＩＣプロトコル（図５）を行う。その後、ユーザ側認証用データ生成装置２０１にあるメモリ２７５に保存されたデータ（つまり、ＸとＭＳ）は固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したユーザ側認証用データ生成装置のＢＡＳＩＣプロトコルを行う。

まず、乱数発生器２７１によりランダムに乱数ｂを発生する。暗号処理演算器２７２は、乱数発生器において発生させた乱数ｂから、公開値Ｂ＝ｇ^ｂ ｍｏｄ ｐを計算する。通信処理部２０２は、暗号処理演算器２７２から生成された公開値Ｂと、メモリ２７５から読み出したｉｎｄｅｘ＝Ｈ_５（Ｘ）をサーバの認証装置３００へ送信する。

サーバの認証装置３００からは、通信処理部２０２を介して認証用データのＹ，Ｖ_Ｓを受信する。暗号処理演算器２７３は、乱数発生器２７１から出力される乱数ｂと、メモリ２７５から読み出したＸと、受信したＹを入力として、ＤＨ（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵の（Ｘ^ｂ ｍｏｄ ｐ）と（Ｙ^ｂ ｍｏｄ ｐ）を計算して出力する。セッション固有化器２７４は、暗号処理演算器２７２から入力された公開値Ｂ，暗号処理演算器２７３から入力された（Ｘ^ｂ，Ｙ^ｂ）と、メモリ２７５から読み出したＸと、受信したＹからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ４”｜｜Ｕ｜｜Ｓ｜｜Ｂ｜｜Ｘ^ｂ｜｜Ｙ^ｂ｜｜Ｘ｜｜Ｙ）とメモリから読み出したマスタ鍵ＭＳを出力する。ここでの“ＣＥ４”はＣＥ４プロトコルの名前を示している。

＜ユーザ側認証結果判定及びセッション鍵生成装置の動作＞
図１２は、ユーザ側認証結果判定及びセッション鍵生成装置２０３の処理の動作を説明するデータの流れを示すブロック図である。図１２を参照して、ユーザ側認証結果判定及びセッション鍵生成装置２０３の動作を説明する。ユーザ側認証結果判定及びセッション鍵生成装置２０３は、前述したＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルの場合に関わらず、次のように動作する。

認証結果判断部５１は、ユーザ側認証用データ生成装置２０１からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒとマスタ鍵ＭＳを入力として、Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）を計算して、これを通信処理部２０２により、サーバの認証装置３００から受信したＶ_Ｓと比較する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。認証結果判断部５１において、Ｖ_ＳとＨ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）が一致しない場合、認証結果判断部５１は、エラー発生器５２に対して、一致しないことを通知する。これを受けて、エラー発生器５２はエラーを発生して処理を中断する。

一方、認証結果判断部５１において、Ｖ_ＳとＨ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）が一致した場合は、サーバが正当な装置として認証する。認証子生成器５３は、ユーザ側認証用データ生成装置２０１からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒとマスタ鍵ＭＳを入力として、Ｖ_Ｕ＝Ｈ_３（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｕを計算して、このＶ_Ｕを通信処理部２０２によりサーバの認証装置３００へ送信する。ここで、Ｈ_３の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。

そして、セッション鍵生成器５４は、ＳＫ＝Ｈ_４（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりセッション鍵ＳＫを生成して出力する。ここで、必要とするセッション鍵の長さに応じてＨ_４の代わりにＲＲＦ（Ｐｓｅｕｄｏ−Ｒａｎｄｏｍ Ｆｕｎｃｔｉｏｎ）を使ってもよい。

前述したように、サーバの認証装置３００は、サーバ側認証用データ生成装置３０１、通信処理部３０２，およびサーバ側認証結果判定及びセッション鍵生成装置３０３で構成されており、サーバ側認証用データ生成装置３０１は、ユーザ側認証用データ生成装置２０１に対応して、それぞれ、ＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルなどで構成される。

＜サーバの認証装置の動作＞
次に、サーバ側認証用データ生成装置３０１の動作を、ＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルについて、それぞれ動作について説明する。

＜サーバ側認証用データ生成装置の動作＞
（１）ＢＡＳＩＣプロトコルの場合、
図１３は、サーバ側認証用データ生成装置のＢＡＳＩＣプロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図１３を参照して、ＢＡＳＩＣプロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、毎回ＢＡＳＩＣプロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。

まず、サーバ側認証用データ生成装置３０１に備えたメモリ３１１から記憶された乱数ｘを読み出す。ここでの乱数ｘは一回使い捨て用の乱数である。暗号処理演算器３１２では、メモリ３１１から読み出したｘと、通信処理部３０２により受信したデータＡを入力として、Ａ^ｘ ｍｏｄ ｐを計算して出力する。セッション固有化器３１３は、暗号処理演算器３１２から入力されたＡ^ｘと、受信したデータＡとメモリ３１１から読み出したＸ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＢＡＳＩＣ”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｘ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）を出力する。ここでの“ＢＡＳＩＣ”はＢＡＳＩＣプロトコルの名前を示している。復号器３１４は、メモリ３１１から読み出した復号鍵Ｋ_ｊと、暗号文Ｃ_ｊからマスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３１５が、セッション固有化器３１３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３１４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_ＳとＸ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}を、認証用データとして、通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３１５は、セッション固有化器３１５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと復号器３１４から生成されたマスタ鍵ＭＳを出力する。

（２）ＥＸＴＥＮＤＥＤ１プロトコルの場合、
図１４は、サーバ側認証用データ生成装置のＥＸＴＥＮＤＥＤ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図１４を参照して、ＥＸＴＥＮＤＥＤ１プロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、一回だけＥＸＴＥＮＤＥＤ１プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３２１に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、サーバ側認証用データ生成装置３０１に備えたメモリ３２１から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３２２では、メモリ３２１から読み出したｘと、通信処理部３０２により受信したデータＡと公開値Ｂを入力として、Ａ^ｘ ｍｏｄ ｐとＢ^ｘ ｍｏｄ ｐを計算して出力する。セッション固有化器３２３は、暗号処理演算器３２２から入力された（Ａ^ｘ，Ｂ^ｘ）と受信したデータＡ，公開値Ｂと、メモリ３２１から読み出したＸ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＥＸＴＥＮＤＥＤ１”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｘ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）を出力する。ここでの“ＥＸＴＥＮＤＥＤ１”はＥＸＴＥＮＤＥＤ１プロトコルの名前を示している。復号器３２４は、メモリ３２１から読み出した復号鍵Ｋ_ｊと暗号文Ｃ_ｊから、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３２５が、セッション固有化器３２３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３２４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）により、Ｖ_Ｓを計算して、このＶ_Ｓと、Ｘ，Ａ^ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}を、認証用データとして、通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３２５は、セッション固有化器３２３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３２４から生成されたマスタ鍵ＭＳを出力する。

（３）ＥＸＴＥＮＤＥＤ２プロトコルの場合、
図１５は、サーバ側認証用データ生成装置のＥＸＴＥＮＤＥＤ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図１５を参照して、ＥＸＴＥＮＤＥＤ２プロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、一回だけＥＸＴＥＮＤＥＤ２プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３３３に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って、周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、乱数発生器３３１によりランダムに乱数ｙを発生する。サーバ側認証用データ生成装置３０１に備えたメモリ３３３から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３３２は、乱数発生器３３１において発生させた乱数ｙと、メモリ３３３から読み出した乱数ｘと、通信処理部３０２により受信したデータＡと、公開値Ｂを入力として、Ｙ＝ｇ^ｙ ｍｏｄ ｐ，Ａ^ｘ ｍｏｄ ｐ，Ｂ^ｘ ｍｏｄ ｐ，Ｂ^ｙ ｍｏｄ ｐを計算して出力する。セッション固有化器３３５は、暗号処理演算器３３２から入力された（Ｙ，Ａ^ｘ，Ｂ^ｘ，Ｂ^ｙ）と、受信したデータＡ，公開値Ｂと、メモリ３３３から読み出した（Ｘ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）からなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＥＸＴＥＮＤＥＤ２”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｂ^ｙ｜｜Ｘ｜｜Ｙ｜｜｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}）を出力する。ここでの“ＥＸＴＥＮＤＥＤ２”はＥＸＴＥＮＤＥＤ２プロトコルの名前を示している。復号器３３４は、メモリ３３３から読み出した復号鍵Ｋ_ｊと暗号文Ｃ_ｊから、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３３６が、セッション固有化器３３５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３３４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_Ｓと、Ｘ，Ａ^ｘ，Ｙ，｛Ｃ_ｊ｝_{１≦ｊ≦ｎ}を、認証用データとして通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３３６は、セッション固有化器３３５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３３４から生成されたマスタ鍵ＭＳを出力する。

（４）ＣＥ１プロトコルの場合、
図１６は、サーバ側認証用データ生成装置のＣＥ（Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｅｆｆｉｃｉｅｎｔ）１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。次に、図１６を参照して、ＣＥ１プロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、一回だけＣＥ１プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３４１に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、サーバ側認証用データ生成装置３０１に備えたメモリ３４１から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３４２は、メモリ３４１から読み出したｘと、通信処理部３０２により受信したデータＡと公開値Ｂを入力として、Ａ^ｘ ｍｏｄ ｐとＢ^ｘ ｍｏｄ ｐを計算して出力する。セッション固有化器３４３は、暗号処理演算器３４２から入力された（Ａ^ｘ，Ｂ^ｘ）と、受信した（Ａ，Ｂ）と、メモリ３４１から読み出したＸからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ１”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｘ）を出力する。ここでの“ＣＥ１”はＣＥ１プロトコルの名前を示している。復号器３４４は、メモリ３４１から読み出した復号鍵Ｋ_ｊと、暗号文Ｃ_ｊからマスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３４５は、セッション固有化器からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３４４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_ＳとＡ^ｘを、認証用データとして通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３４５は、セッション固有化器３４３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３４４から生成されたマスタ鍵ＭＳを出力する。

（５）ＣＥ２プロトコルの場合、
図１７は、サーバ側認証用データ生成装置のＣＥ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図１７を参照して、ＣＥ２プロトコルを使ったサーバ側認証用データ生成装置の動作を説明する。ここで、一回だけＣＥ２プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３５３に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、乱数発生器３５１によりランダムに乱数ｙを発生する。サーバ側認証用データ生成装置３０１に備えたメモリ３５３から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３５２は、乱数発生器３５１において発生させた乱数ｙと、メモリ３５３から読み出した乱数ｘと、通信処理部３０２により受信したデータＡと、公開値Ｂを入力として、Ｙ＝ｇ^ｙ ｍｏｄ ｐ，Ａ^ｘ ｍｏｄ ｐ，Ｂ^ｘ ｍｏｄ ｐ，Ｂ^ｙ ｍｏｄ ｐを計算して出力する。セッション固有化器３５５は、暗号処理演算器３５２から入力された（Ｙ，Ａ^ｘ，Ｂ^ｘ，Ｂ^ｙ）と受信した（Ａ，Ｂ）と、メモリ３５３から読み出したＸからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ２”｜｜Ｕ｜｜Ｓ｜｜Ａ｜｜Ａ^ｘ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｂ^ｙ｜｜Ｘ｜｜Ｙ）を出力する。ここでの“ＣＥ２”はＣＥ２プロトコルの名前を示している。復号器３５４は、メモリ３５３から読み出した復号鍵Ｋ_ｊと暗号文Ｃ_ｊから、マスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３５６は、セッション固有化器３５５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３５４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_ＳとＡ^ｘ，Ｙを、認証用データとして通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３５６は、セッション固有化器３５５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３５４から生成されたマスタ鍵ＭＳを出力する。

（６）ＣＥ３プロトコルの場合、
図１８は、サーバ側認証用データ生成装置のＣＥ３プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図１８を参照して、ＣＥ３プロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、一回だけＣＥ３プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３６１に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、サーバ側認証用データ生成装置３０１に備えたメモリ３６１から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３６２は、メモリ３６１から読み出した乱数ｘと、通信処理部３０２により受信した公開値Ｂを入力として、Ｂ^ｘ ｍｏｄ ｐを計算して出力する。セッション固有化器３６３は、暗号処理演算器３６２から入力されたＢ^ｘと、受信した公開値Ｂと、メモリ３６１から読み出したＸからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ３”｜｜Ｕ｜｜Ｓ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｘ）を出力する。ここでの“ＣＥ３”はＣＥ３プロトコルの名前を示している。復号器３６４は、メモリ３６１から読み出した復号鍵Ｋ_ｊと、暗号文Ｃ_ｊからマスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３６５が、セッション固有化器３６３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３６４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_Ｓを通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３６５は、セッション固有化器３６３からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３６４から生成されたマスタ鍵ＭＳを出力する。

（７）ＣＥ４プロトコルの場合、
図１９は、サーバ側認証用データ生成装置のＣＥ４プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。図１９を参照して、ＣＥ４プロトコルを使ったサーバ側認証用データ生成装置３０１の動作を説明する。ここで、一回だけＣＥ４プロトコルの実行前は、前述したサーバ側認証用データ生成装置３０１の初期化処理（図４）を行う。その後、サーバ側認証用データ生成装置３０１にあるメモリ３７３に保存されたデータは固定されて使われるが、システムのセキュリティポリシーに従って周期的に前述したサーバ側認証用データ生成装置３０１の更新化処理（図４）を行う。

まず、乱数発生器３７１によりランダムに乱数ｙを発生する。サーバ側認証用データ生成装置３０１に備えたメモリ３７３から記憶された乱数ｘを読み出す。ここでの乱数ｘは固定された乱数であり、周期的に更新化される。暗号処理演算器３７２は、乱数発生器３７１において発生させた乱数ｙと、メモリ３７３から読み出した乱数ｘと、通信処理部３０２により受信した公開値Ｂを入力として、Ｙ＝ｇ^ｙ ｍｏｄ ｐ，Ｂ^ｘ ｍｏｄ ｐ，Ｂ^ｙ ｍｏｄ ｐを計算して出力する。セッション固有化器３７５は、暗号処理演算器３７２から入力された（Ｙ，Ｂ^ｘ，Ｂ^ｙ）と、受信した公開値Ｂと、メモリ３７３から読み出したＸからなるＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ＝（“ＣＥ４”｜｜Ｕ｜｜Ｓ｜｜Ｂ｜｜Ｂ^ｘ｜｜Ｂ^ｙ｜｜Ｘ｜｜Ｙ）を出力する。ここでの“ＣＥ４”はＣＥ４プロトコルの名前を示している。復号器３７４は、メモリ３７３から読み出した復号鍵Ｋ_ｊと、暗号文Ｃ_ｊからマスタ鍵ＭＳを、ＭＳ＝Ｄ_{Ｈ１（Ｋｊ｜｜ｐａｒａｍ｜｜Ｓ）}（Ｃ_ｊ）により計算する。

そして、認証子生成器３７６は、セッション固有化器３７５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３７４から生成されたマスタ鍵ＭＳを入力として、Ｖ_Ｓ＝Ｈ_２（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりＶ_Ｓを計算して、このＶ_ＳとＹを、認証用データとして通信処理部３０２によりユーザの端末装置２００へ送信する。ここで、Ｈ_２の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。また、認証子生成器３７６は、セッション固有化器３７５からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒと、復号器３７４から生成されたマスタ鍵ＭＳを出力する。

＜サーバ側認証結果判定及びセッション鍵生成装置の動作＞
図２０は、サーバ側認証結果判定及びセッション鍵生成装置３０３の処理の動作を説明するデータの流れを示すブロック図である。図２０を参照してサーバ側認証結果判定及びセッション鍵生成装置３０３の動作を説明する。サーバ側認証結果判定及びセッション鍵生成装置３０３は、前述したＢＡＳＩＣ，ＥＸＴＥＮＤＥＤ１，ＥＸＴＥＮＤＥＤ２，ＣＥ１，ＣＥ２，ＣＥ３，ＣＥ４プロトコルの場合に関わらず、次のように動作する。

認証結果判断部７１は、サーバ側認証用データ生成装置３０１からのＳｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒとマスタ鍵ＭＳを入力として、Ｈ_３（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）を計算して、これを通信処理部３０２によりユーザの端末装置２００から受信したＶ_Ｕと比較する。ここで、Ｈ_３の代わりにＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使ってもよい。認証結果判断部７１において、Ｖ_ＵとＨ_３（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）が一致しない場合、認証結果判断部７１は、エラー発生器７２に対して、一致しないことを通知する。これを受けて、エラー発生器７２はエラーを発生して処理を中断する。一方、認証結果判断部７１において、Ｖ_ＵとＨ_３（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）が一致した場合には、ユーザが正当な利用者として認証する。そして、セッション鍵生成器７３は、ＳＫ＝Ｈ_４（Ｓｅｓｓｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ‖ＭＳ）によりセッション鍵ＳＫを生成して出力する。ここで、必要とするセッション鍵の長さに応じて、Ｈ_４の代わりにＲＲＦ（Ｐｓｅｕｄｏ−Ｒａｎｄｏｍ Ｆｕｎｃｔｉｏｎ）を使ってもよい。

次に、本発明に係る匿名認証システムを応用して、匿名通信路を構成する場合の実施例について説明する。この実施例のネットワークシステムでは、具体的には、通信アドレス（ＩＰアドレスなど）の匿名割り当てを行うことで、そのアドレスの乱用防止ができる特徴がある。

図２１は、本発明の実施例に係る匿名認証システムを用いて構成する匿名サービス利用ネットワークのシステム構成を説明する図である。次に、図２１を参照して、前述した匿名認証システムを応用して、通信アドレス（ＩＰアドレスなど）の匿名割り当てを行い、そのアドレスの乱用を防止する構成について説明する。

このシステム構成は、サーバの認証装置３００と、匿名サービス利用ネットワーク５００と、匿名サービス提供サーバ４００から構成される。ここで、一つのサーバの認証装置３００は、複数の匿名サービス利用ネットワーク５００と、複数の匿名サービス提供サーバ４００とから構成されてもよく、また、匿名サービス提供サーバ４００が、匿名サービス利用ネットワーク５００の内に置かれてもよい。また、一つのサーバの認証装置３００は別のサーバの認証装置３００と匿名認証のローミングを行ってもよい。

匿名サービス利用ネットワーク５００は、ユーザの端末装置２００、通信アドレス割り当て装置５０１、ネットワークフィルタリング装置５０２から構成される。ただし、ユーザの端末装置２００以外については、各装置が他の装置を含めてもよい。例えば、通信アドレス割り当て装置５０１が、ネットワークフィルタリング装置５０２を含む構成、サーバの認証装置３００が通信アドレス割り当て装置５０１を含む構成としてシステムが構成されていてもよい。

匿名サービス利用ネットワーク５００における通信アドレス割り当て装置５０１は、サーバの認証装置３００と、ユーザの端末装置２００とが、匿名認証を行った際に共有した鍵をサーバの認証装置３００から受け取り、それとユーザの端末装置２００に割り当てたアドレスを、ネットワークフィルタリング装置５０２に通知する。なお、サーバの認証装置３００と通信アドレス割り当て装置５０１との間、通信アドレス割り当て装置５０１とネットワークフィルタリング装置５０２との間は安全な通信路で結ばれているとする。

ネットワークフィルタリング装置５０２は、ユーザの端末装置２００との間でパケットの認証を行い、認証されていないパケットをＬＡＮ外へ送信することを防止する。また、匿名認証により割り当てられたアドレスからのパケットについては、匿名サービス提供サーバ４００宛のパケットのみを通過させそれ以外をブロックする。これにより、匿名アドレスが（ＤｏＳ攻撃やスパムメールの送信など）不適切な用途に利用されることを防止する。（なお、匿名サービス提供サーバのアドレスは予めネットワークフィルタリング装置に登録するかサーバの認証装置から通知されるとする。）

匿名サービス提供サーバ４００は、サーバの認証装置３００がユーザを匿名認証した際に共有した鍵とそれを特定するためのＩＤをサーバの認証装置から通知してもらい、そのＩＤと鍵を知っているユーザからの通信のみを受け付ける。なお、匿名サービス提供サーバ４００とサーバの認証装置３００との間は安全な通信路で結ばれているとする。

次に、本発明に係る匿名認証システムを応用して、サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることのできる匿名マッチングシステムを構成する場合の実施例について説明する。

＜匿名マッチングシステム＞
図２２は、本発明の実施例に係る匿名認証システムを用いて構成する匿名マッチングシステムのシステム構成を示す図である。次に、図２２参照して、匿名認証システムを応用した匿名マッチングシステムについて説明する。

匿名マッチングシステム６００は、条件検索者の匿名マッチングシステム６０１と条件提供者の匿名マッチングシステム６０２から構成され、条件検索者と条件提供者は自分の希望する検索語や条件式を各自の匿名マッチングシステムに入力する。条件検索者の匿名マッチングシステム６０１は条件提供者の匿名マッチングシステム６０２と互いに通信（匿名通信）を行い、お互いの条件が合意できるか否かを出力する。

なお、このシステム構成の特徴は、お互いの条件が合意できなかった場合に、通信相手の指定した条件を、それぞれの匿名マッチングシステム（６０１，６０２）が知りえないことにある。これによりお互いの条件を相手に秘匿した状態で、条件に合う相手を見つけることが可能となる。

図２３は、本発明の実施例に係る匿名認証システムを用いて構成する匿名マッチングシステムのシステム構成および動作を詳細に説明する図である。図２３に示すように、匿名マッチングシステム６００のシステム構成は、自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置６１１およびユーザ側認証用データ生成装置２０１から構成される条件検索者の匿名マッチングシステム６０１と、自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置６１２およびサーバ側認証用データ生成装置３０１から構成される条件提供者の匿名マッチングシステム６０２とが備えられたシステム構成とされる。

条件検索者の匿名マッチングシステム６０１と条件提供者の匿名マッチングシステム６０２とは、条件検索者の匿名マッチングシステム６０１の検索語・条件式処理装置６１１からの条件を、ユーザ側認証用データ生成装置２０１が受け付けて、条件提供者の匿名マッチングシステム６０２の検索語・条件式処理装置６１２からの提示条件を、サーバ側認証用データ生成装置３０１が受け付けて、ユーザ側認証用データ生成装置２０１とサーバ側認証用データ生成装置３０１との間で匿名通信を行い、マッチングの処理を行う。

つまり、条件提供者の匿名マッチングシステム６０２は、検索語・条件式入力６３２により、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各サーバ側認証用データ生成装置３０１に設定する。サーバ側認証用データ生成装置３０１は、ユーザ側認証用データ生成装置２０１からの接続に応答し、その出力を検索語・条件式処理装置６１２に伝える。検索語・条件式処理装置６１２は各サーバ側認証用データ生成装置３０１の出力を集め、条件検索者の匿名マッチングシステム６０１の検索語・条件式処理装置６１１と通信し、マッチング結果６２２を出力する。

条件検索者の匿名マッチングシステム６０１は、検索語・条件式入力６３１により、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各ユーザ側認証用データ生成装置２０１に設定する。ユーザ側認証用データ生成装置２０１は、サーバ側認証用データ生成装置３０１に接続し、その出力を検索語・条件式処理装置６１１に伝える。検索語・条件式処理装置６１１は各ユーザ側認証用データ生成装置２０１の出力を集め、条件提供者の匿名マッチングシステム６０２の検索語・条件式処理装置６１２と通信し、マッチング結果６２１を出力する。

このように、本発明に係る匿名認証システムを応用した匿名マッチングシステムによれば、サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることのできる匿名マッチングシステムを構成することができる。

個人情報保護法の施行やＩＴ化および現実社会・ネット上での監視が強化されるなか、個人情報保護や匿名性を確保できるアプリケーションの重要性は今後増すことが予想される。本発明による匿名認証システムは、さまざまなアプリケーションにおいて匿名性を確保する際の基盤技術として利用できる。例えば、匿名でのカウンセリング（医療相談、なやみ相談、いじめ相談）、内部告発、内容を秘匿した状態での検索やマッチング（特許あるいはアイデアの検索、企業間のマッチング、結婚相手の検索）など。また、通常の匿名でない認証用の情報をサーバに登録しておけば特別な登録手続き不要で匿名サービスを利用できるため、例えば、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）などにおいて顧客獲得のための付加的なサービスとしての活用も期待できる。

本発明に係る匿名認証システムの概略のシステム構成を説明する図である。 本発明に係る匿名認証システムにおけるユーザの端末装置の概略のシステム構成を説明するブロック図である。 本発明に係る匿名認証システムにおけるサーバの認証装置の概略のシステム構成を説明するブロック図である。 サーバ側認証用データ生成装置の初期化及び更新化の処理を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＢＡＳＩＣプロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＥＸＴＥＮＤＥＤ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＥＸＴＥＮＤＥＤ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＣＥ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＣＥ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＣＥ３プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証用データ生成装置のＣＥ４プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 ユーザ側認証結果判定及びセッション鍵生成装置２０３の処理の動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＢＡＳＩＣプロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＥＸＴＥＮＤＥＤ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＥＸＴＥＮＤＥＤ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＣＥ１プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＣＥ２プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＣＥ３プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証用データ生成装置のＣＥ４プロトコルに基づく処理動作を説明するデータの流れを示すブロック図である。 サーバ側認証結果判定及びセッション鍵生成装置３０３の処理の動作を説明するデータの流れを示すブロック図である。 本発明の実施例に係る匿名認証システムを用いて構成する匿名サービス利用ネットワークのシステム構成を説明する図である。 本発明の実施例に係る匿名認証システムを用いて構成する匿名マッチングシステムのシステム構成を示す図である。 本発明の実施例に係る匿名認証システムを用いて構成する匿名マッチングシステムのシステム構成および動作を詳細に説明する図である。

符号の説明

１００ 匿名認証システム
１１０ 通信路
２００ ユーザの端末装置
２０１ ユーザ側認証用データ生成装置
２０２ 通信処理部
２０３ ユーザ側認証結果判定及びセッション鍵生成装置
３００ サーバの認証装置
３０１ サーバ側認証用データ生成装置
３０２ 通信処理部
３０３ サーバ側認証結果判定及びセッション鍵生成装置
４００ 匿名サービス提供サーバ
５００ 匿名サービス利用ネットワーク
５０１ 通信アドレス割り当て装置
５０２ ネットワークフィルタリング装置
６００ 匿名マッチングシステム
６０１ 条件検索者の匿名マッチングシステム
６０２ 条件提供者の匿名マッチングシステム
６１１ 検索語・条件式処理装置
６１２ 検索語・条件式処理装置

Claims (4)

1. 利用者端末装置に設けられて、利用者からのパスワード入力を受け付け、ユーザ側の認証用データを生成する第１の認証データ生成装置と、
   利用者端末装置に設けられて、前記第１認証データ生成装置により生成されたユーザ側の認証用データを認証サーバに送信するとともに、前記認証サーバからサーバ側の認証用データを受信する第１の通信処理部と、
   利用者端末装置に設けられて、前記第１認証データ生成装置から出力される認証用データおよび認証サーバから受信した認証用データに基づいて、認証結果を判断し、認証子を生成すると共に、セッション鍵を生成する第１のセッション鍵生成装置と、
   認証サーバに設けられて、ユーザ側の認証用データを受け付けて、認証サーバ側の認証用データを生成する第２の認証データ生成装置と、
   認証サーバに設けられて、前記利用者端末装置からユーザ側の認証用データを受信すると共に、前記第２認証データ生成装置により生成されたサーバ側の認証用データを利用者端末装置に送信する第２の通信処理部と、
   認証サーバに設けられて、前記第２認証データ生成装置から出力される認証用データおよび利用者端末装置から受信した認証用データに基づいて、認証結果を判断し、セッション鍵を生成する第２のセッション鍵生成装置と、
   を備えることを特徴とする匿名認証システムであって、
   利用者端末装置からユーザＩＤ及びパスワード入力があった場合に、認証サーバに設けられた第２の認証データ生成装置の初期化処理として、前記ユーザＩＤ及びパスワードを乱数ｘでｘ乗する法指数演算をして暗号鍵Ｋｊの生成を行うとともに、マスタ鍵ＭＳを前記暗号鍵Ｋｊにより暗号化した暗号文を生成し、暗号鍵Ｋｊ及び暗号文を初期化処理データとしてメモリに格納し、前記認証サーバ側の認証用データ生成処理、前記認証結果の判断処理、前記セッション鍵の生成処理において前記メモリに格納したデータを用いる、
   ことを特徴とする匿名認証システム。
2. 請求項１に記載の匿名認証システムを用いて構成する匿名サービス利用ネットワークであって、
   利用者端末装置からのセッション鍵に基づいて利用者に対してサービスを提供する匿名サービス提供サーバと、
   利用者端末装置からユーザの匿名認証を行った際に共有したセッション鍵を認証サーバから受け取り、前記匿名サービス提供サーバがサービスを提供するための前記利用者端末装置にアドレスを割り付ける通信アドレス割り当て装置と、
   利用者端末装置と前記匿名サービス提供サーバとの間のパケットの認証を行い、認証されていないパケットをネットワーク外に送信することを防止するネットワークフィルタリング装置と、
   を備えることを特徴とする匿名サービス利用ネットワーク。
3. 請求項２に記載の匿名サービス利用ネットワークにおいて、
   前記匿名サービス提供サーバは、認証サーバによりユーザを匿名認証した際に共有したセッション鍵と、ユーザを特定するＩＤの通知を予め受けて、前記ＩＤおよびセッション鍵に基づく通信のみを受け付ける
   ことを特徴とする匿名サービス利用ネットワーク。
4. 請求項１に記載の匿名認証システムを用いて、サーバに置いてあるデータを検索者に秘匿し、かつ検索者の検索内容をサーバに秘匿し、かつ検索結果がヒットした場合にはそのことをサーバと検索者が知ることのできる匿名マッチングシステムであって、
   自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置およびユーザ側認証用データ生成装置から構成される条件検索者の匿名マッチングシステムと、
   自己の希望する検索語または条件式の入力を受け付ける検索語・条件式処理装置およびサーバ側認証用データ生成装置から構成される条件提供者の匿名マッチングシステムと、
   を備え、
   条件提供者の匿名マッチングシステムの検索語・条件式処理装置が、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各サーバ側認証用データ生成装置に設定し、
   サーバ側認証用データ生成装置が、ユーザ側認証用データ生成装置からの接続に応答して、その出力を前記検索語・条件式処理装置に伝え、
   条件提供者の匿名マッチングシステムの検索語・条件式処理装置が、各サーバ側認証用データ生成装置の出力を集め、条件検索者の匿名マッチングシステムの検索語・条件式処理装置と通信し、マッチング結果を出力すると共に、
   条件検索者の匿名マッチングシステムの検索語・条件式処理装置が、検索語および条件式を受け入れ、それを加工し、その加工データを秘密情報として各ユーザ側認証用データ生成装置に設定し、
   ユーザ側認証用データ生成装置はサーバ側認証用データ生成装置に接続し、その出力を検索語・条件式処理装置に伝え、
   条件検索者の匿名マッチングシステムの検索語・条件式処理装置が、各ユーザ側認証用データ生成装置の出力を集め、条件提供者の匿名マッチングシステムの検索語・条件式処理装置と通信し、マッチング結果を出力する、
   ことを特徴とする匿名マッチングシステム。