JP5580318B2

JP5580318B2 - 仮名の発生及び認証のための方法及び装置

Info

Publication number: JP5580318B2
Application number: JP2011530625A
Authority: JP
Inventors: フェイリー; ジンチュー
Original assignee: Koninklijke Philips NV; Koninklijke Philips Electronics NV
Current assignee: Koninklijke Philips NV
Priority date: 2008-10-14
Filing date: 2009-10-13
Publication date: 2014-08-27
Anticipated expiration: 2029-10-13
Also published as: RU2011119499A; JP2012505588A; EP2359524B1; CN102187618A; EP2359524A2; US20110202767A1; RU2512139C2; CN102187618B; WO2010044056A2; WO2010044056A3; US8683209B2

Description

本発明は、広くはユーザのプライバシを保護する方法及び装置に係り、更に詳細にはユーザのプライバシを仮名により保護する方法及び装置に関する。

電子技術の発展により、電子医療システムは近代的医療組織において広く採用されるようになっており、ユーザ（例えば、患者）の個人情報及び医療記録（病状履歴及び検査記録等の）を維持及び管理するようになっている。しかしながら、電子記録は盗み及び流布に対して弱い。従って、近代的医療システムのセキュリティ問題は、重大な関心事である。

電子医療システムのセキュリティを改善するために、ユーザのプライバシを保護する２つの方法、即ち匿名化及び仮名化が提案されている。匿名化の目的は、ユーザの本当の素性（アイデンティティ）と該ユーザの医療記録との間の関連を除くことである。言い換えると、匿名化方法においては、ユーザに関する個人情報は記録されず、医療記録のみが保持される。このような匿名化方法では、ユーザの素性は安全に保護されるが、ユーザを、医療記録を介して追跡することはできない。仮名化方法が、匿名化方法に基づいて開発されている。仮名化方法では、ユーザの実際の（本当の）素性と該ユーザの医療記録との間の関係は除かれており、ユーザの医療記録と該ユーザの仮名の１以上との間で、対応関係が確立される。従って、該仮名化方法は、ユーザの個人情報の保護及び該ユーザの医療記録の追跡可能性をもたらす。

図１は、医療情報技術規格委員会（Health Information Technology Standards Panel: HITSP）により開発された現在の仮名化メカニズムを図示している。図１に示されたように、ユーザＵ１００が病院に行った場合、ステップＳ１１０において、該ユーザは当該病院の医療システムＤ１１０に対して該ユーザの本当の素性を識別するユーザアイディＩＤuserを提供する。ステップＳ１２０において、医療システムＤ１１０は上記ＩＤuserを個人識別子相互参照（ＰＩＸ）マネージャＤ１２０に送る。ステップＳ１３０において、ＰＩＸマネージャＤ１２０は上記ＩＤuserを記憶すると共に、ステップＳ１４０において仮名サーバＤ１４０に当該ユーザに対して仮名を割り当てるべく仮名の発生を要求する。ステップＳ１５０において、仮名サーバＤ１４０は上記要求に応じて当該ユーザのための仮名Ｐpseuを発生する。そして、ステップＳ１６０において、仮名サーバＤ１４０は、発生された仮名ＰpseuをＰＩＸマネージャＤ１２０に返送する。ステップＳ１７０において、ＰＩＸマネージャＤ１２０は、受信された仮名Ｐpseuを、前記ＩＤuserと１対１の関連で記憶し、ステップＳ１８０において、該仮名Ｐpseuを含む仮名証明を医療システムＤ１１０に返送する。次いで、当該病院の医療システムＤ１１０はステップＳ１９０において該仮名証明を登録し、ステップＳ１９５において該仮名証明をユーザＵ１００に返送する。このようにして、ユーザＵ１００は当該病院において該割り当てられた仮名を用いて診断又は治療を受けることができ、該ユーザの医療記録は該仮名の名前で記録される。代わりに、上記病院は、所望に応じて、ＰＩＸマネージャＤ１２０から上記ユーザの本当の素性を、この仮名証明を用いて得ることができ、かくして、追跡可能性を達成することができる。

残念ながら、図１に示されたような現在の仮名化方法は幾つかの欠点を有している。

第１に、セキュリティ若しくはプライバシを考慮して、又は以前に発生された仮名をユーザが失ってしまったために、ユーザは病院に行くたびに新たな仮名の発生を要求し得るか、又は種々の病気に対して同一の病院で診断及び／又は治療が行われるように複数の異なる新たな仮名の発生をも要求しかねない。この場合、図１の仮名サーバＤ１４０は当該ユーザに対して頻繁に仮名を発生しなければならず、これは該仮名サーバに対する重い作業負荷となる。一方、前記ＰＩＸマネージャ（ＰＩＭ）も、ユーザの本当の素性と多数の仮名との間の対応関係を記憶しなければならない。従って、該ＰＩＭは大記憶容量のデータベースを備えなければならず、これは該サーバのコストを増加させることになる。

第２に、仮名サービスの提供は、一般的に極めて地域的なものである。即ち、ローカル仮名サーバ及びアイデンティティマネージャは、仮名サービスを、これらのサービス範囲内のローカルな病院における医療システム又は同一の仮名化サービスメカニズムを採用している医療システムに対してしか提供することができない。言い換えると、医療システムがユーザに対して仮名を発生すると、異なる地域における又は異なる仮名化メカニズムを持つ医療システムは、同じユーザに対して仮名を識別することができない。従って、ユーザが或る地域から他の新しい地域へと移動する毎に、該ユーザは、この新しい地域において有効な仮名を取得するために、該新しい地域におけるＰＩＭに対し自身の本当の素性を開示しなければならず、その後に、該ユーザは当該病院において扱われるべき該仮名を使用することになる。これは、ユーザに対して大きな不便を与える。

第３に、幾つかの信頼に基づく場合において、ユーザは、自身の本当の素性を、他の見知らぬ地域におけるＰＩＭに対してではなく、自身で信頼の置けるローカルなＰＩＭに対してのみ開示したいものである。この点に関して、現在の仮名化方法は、非常に限られた地域においてしか適用することができない。

従って、ユーザが地域間共通の医療サービスを容易且つ安全に受けるのを助ける、仮名発生及び認証のための改善された方法及び装置に対する需要が存在する。

本発明の一つの目的は、地域にまたがるアイデンティティ識別がなされ得る、仮名発生及び認証のための方法及び装置を提供することにある。

本発明の他の目的は、サーバの作業負荷を軽減することが可能な、仮名発生及び認証のための方法及び装置を提供することにある。

上記目的を達成するため、本発明は、個人アイデンティティマネージャ（ＰＩＭ）における仮名発生のための方法を提供する。該方法は、一群の公開パラメータ（public parameters）及び一群の秘密パラメータ（private parameters）を決定するステップと、ユーザ装置からユーザアイデンティティＩＤuserを受信するステップと、主仮名（prime pseudonym）

（ここで、Ｈ_１は一方向性ハッシュ関数であり、∂はドメインＺｐから選択されたランダム数であり、ｐは選択された素数である）を前記決定された一群の秘密パラメータ及び前記ＩＤuserに基づいて発生するステップと、前記主仮名Ｐprime及び前記一群の公開パラメータを前記ユーザ装置に送信するステップとを有する。

この方法によれば、ユーザは、上記ＰＩＭに対して初期登録をする場合に、一度だけ主仮名が提供されるのみである。同じユーザのために頻繁に複数の仮名を発生する必要はない。このようにして、この方法により、上記ＰＩＭの作業負荷は軽減され得る。

前記目的を達成するため、本発明は、ユーザ装置における仮名発生のための方法を提供する。該方法は、ユーザアイデンティティＩＤuserを個人アイデンティティマネージャ（ＰＩＭ）に送信するステップと、該ＰＩＭから一群の公開パラメータ及び前記ＩＤuserに対応する主仮名Ｐprimeを受信するステップと、少なくとも２つのランダムパラメータを選択するステップと、前記少なくとも２つのランダムパラメータ、前記一群の公開パラメータ及び前記主仮名Ｐprimeを用いて副仮名（sub-pseudonym）Ｐpseuを発生するステップとを有する。

この方法によれば、上記ユーザ装置は副仮名を上記ＰＩＭから得られた主仮名に基づいて自ら発生することができる。更に、上記副仮名は少なくとも２つのランダムパラメータを用いることにより発生されるので、発生された副仮名は主仮名に関する情報を非常に良好に覆い隠し、発生される複数の副仮名の間には何の関連も存在しない。この場合において、たとえ1以上の副仮名が盗聴されたとしても、盗聴者は、これら盗聴された副仮名を用いて当該ユーザの主仮名を逆導出することはできない、このようにして、該仮名発生メカニズムは高いレベルの安全性を有する。

前記目的を達成するため、本発明は、第三者装置における仮名認証のための方法を提供する。該方法は、副仮名Ｐpseu及びユーザ装置から個人アイデンティティマネージャ（ＰＩＭ）を識別するための識別子ＩＤserverを受信するステップと、前記識別子ＩＤserverに基づいて前記ＰＩＭから一群の公開パラメータを取得するステップと、前記副仮名Ｐpseuの有効性（validation）を前記一連の公開パラメータに基づいて前記ユーザ装置と対話することにより認証（authenticate）するステップとを有する。

この方法によれば、上記ＰＩＭに依存する又は該ＰＩＭとは独立の如何なる第三者装置も、ユーザ装置から供給される副仮名の有効性を、該ＰＩＭから取得された一群の公開パラメータに基づいて該ユーザ装置と対話することにより認証することができる。このようにして、上記副仮名の使用は、最早、地域限定的ではない。上述した方法によれば、如何なる地域内の病院における医療システムも、ユーザの副仮名を識別することができると共に、次いで、該ユーザの本当の素性を、該ユーザに前記主仮名を割り当てた対応するＰＩＭを用いて追跡することができる。

本発明の他の態様によれば、個人アイデンティティマネージャ（ＰＩＭ）が提供され、該ＰＩＭは、一群の公開パラメータ及び一群の秘密パラメータを決定するように構成された決定ユニットと、ユーザアイデンティティＩＤuserを受信するように構成された受信ユニットと、主仮名（prime pseudonym）

（ここで、Ｈ_１は一方向性ハッシュ関数であり、∂はドメインＺｐから選択されたランダム数であり、ｐは選択された素数である）を前記一群の秘密パラメータ及び前記ＩＤuserに基づいて発生するように構成された発生ユニットと、前記主仮名Ｐprimeをユーザ装置に送信するように構成された送信ユニットとを有する。

本発明の他の態様によれば、ユーザ装置が提供され、該ユーザ装置は、ユーザアイデンティティＩＤuserを個人アイデンティティマネージャ（ＰＩＭ）に送信するように構成された送信ユニットと、該ＰＩＭから一群の公開パラメータ及び前記ＩＤuserに対応する主仮名Ｐprimeを受信するように構成された受信ユニットと、少なくとも２つのランダムパラメータを選択すると共に、これら少なくとも２つのランダムパラメータ、前記公開パラメータ及び前記主仮名Ｐprimeを用いて副仮名Ｐpseuを発生するように構成された発生ユニットとを有する。

本発明の他の態様によれば、ユーザがサービスを要求することができる第三者装置が提供され、該第三者装置は、副仮名Ｐpseu及びユーザ装置から個人アイデンティティマネージャ（ＰＩＭ）を識別するための識別子ＩＤserverを受信するように構成された受信ユニットと、前記ユーザ装置に情報を送信するように構成された送信ユニットと、前記識別子ＩＤserverに基づいて前記ＰＩＭから一群の公開パラメータを取得するように構成された取得ユニットと、前記副仮名Ｐpseuの有効性を前記一連の公開パラメータに基づいて前記送信ユニット及び前記受信ユニットを介して前記ユーザ装置と対話することにより認証するよう構成された認証ユニットとを有する。

他の目的及び成果並びに本発明の一層完全な理解は、添付図面との関連でなされる下記の説明及び請求項から明らかとなり、これらを参照して解説されるであろう。

図１は、現在の仮名化方法のフローチャートの一例を示す。図２は、本発明の一実施例による仮名発生及び認証のための方法のフローチャートを示す。図３は、本発明の一実施例による副仮名の認証のための方法のフローチャートを示す。図４は、本発明の一実施例による仮名発生及び認証のための方法における種々の主体間で供給されるメッセージを示す。図５は、本発明の一実施例によるアイデンティティマネージャの構成を示す。図６は、本発明の一実施例によるユーザ装置の構成を示す。図７は、本発明の一実施例による第三者装置の構成を示す。

以下、本発明を、添付図面を参照して例示として更に詳細に説明する。尚、全図を通して、同一の符号は、同様の若しくは対応するフィーチャ又は機能を示すものと理解されたい。

本発明の一実施例による仮名発生及び認証のための方法及び装置を説明するために、医療システムを一例として挙げる。しかしながら、当業者であれば、本発明による仮名発生及び認証のための方法及び装置は病院における適用例に限定されるものではなく、ユーザの本当の素性が保護されるべき他の分野にも等しく適用され得ることが分かるであろう。例えば、仮名発生及び認証のための本方法及び装置は、電子取引（cyber shopping）、図書管理（book management）等の分野にも等しく適用可能であり得る。

図２は、本発明の一実施例による仮名発生及び認証のための方法を図示している。図１とは対照的に、図２に示された方法は、３つの主体、即ち病院で使用するための医療システムＤ２１０、個人アイデンティティマネージャ（ＰＩＭ）Ｄ２２０及びユーザ装置Ｄ２３０を含んでいる。

図２において、医療システムＤ２１０は、病院に設置され、該病院のユーザの医療記録（health records）等を管理及び記憶するように構成されている。ＰＩＭＤ２２０は、ユーザの本当の素性（アイデンティティ）を管理及び記憶するように構成されたサーバである。図２に示された実施例において、該ＰＩＭＤ２２０は、仮名割り当て機能が組み込まれ、登録されたユーザに対して固有の主仮名（prime pseudonym）Ｐprimeを発生することができる。しかしながら、本発明において、該主仮名は当該病院内での使用に限定されるものではない。他の例として、上記仮名割り当て機能は、ＰＩＭＤ２２０とは独立の装置で実施化することもできる。例えば、図１に示されたHITSPシステムにおいて、ＰＩＸマネージャはユーザの本当の素性を記憶及び管理することができる一方、仮名サーバは主仮名割り当て機能を実施化することができる。HITSPシステムの場合、このように、図２のＰＩＭＤ２２０は前記ＰＩＸマネージャと前記仮名サーバとの組み合わせに対応する。

図２におけるユーザ装置Ｄ２３０は、ＰＩＭＤ２２０により発生された主仮名Ｐprimeに基づいて1以上の副仮名Ｐpseuを自動的に発生するように構成された処理能力を持つ、携帯電話、ＰＤＡ、ノートブック又はスマートカード等の如何なる装置とすることもできる。上記副仮名Ｐpseuは、当該ユーザが該病院に行ったときに医療システムＤ２１０に登録される。ユーザ装置Ｄ２３０の副仮名発生機能は、例えば、該ユーザ装置Ｄ２３０にロードされたアプリケーションソフトウェア内で、又は該ユーザ装置に接続することが可能な機能ハードウェアモジュール内で実施化することができ。

図２を参照して、本発明の一実施例による仮名発生及び認証方法の動作を詳細に説明する。図２に示された実施例において、本発明による仮名発生及び認証のための本方法は、５つのフェーズに分割することができる。即ち、準備（セットアップ）フェーズＳ２１０、主仮名登録フェーズＳ２３０、副仮名発生フェーズＳ２５０、副仮名認証フェーズＳ２７０及びユーザアイデンティティ追跡フェーズＳ２９０である。しかしながら、当業者であれば、本発明は該実施例に限定されるものではないことが分かるであろう。むしろ、該実施例における幾つかのステップ（例えば、ユーザアイデンティティ追跡フェーズ）は必要に応じて省略され得るか、又は幾つかのステップは互いに交じり合うことができる。上記５つのフェーズの固有の処理を図２を参照して説明する。

［準備］
図２に示される仮名発生及び認証のための方法は、アイデンティティに基づく暗号化（ＩＢＥ）方法に基づいて提案される。初期準備フェーズＳ２１０において、ＰＩＭＤ２２０は、ＩＢＥ方法に基づいて仮名発生及び認証のために使用される一群の秘密パラメータ（private parameters）及び一群の公開パラメータ（public parameters）を決定する。

ステップＳ２１１において、ＰＩＭＤ２２０は基本パラメータを選択する。即ち、ＰＩＭＤ２２０は、先ず２つの素数ｐ及びｑを選択すると共に、整数mod pのドメイン（即ち、ドメインＺ_ｐ）からランダム数∂∈Ｚ_ｐを選択する。次いで、ＰＩＭＤ２２０はq mod p次の２つの群Ｇ_１及びＧ_２を選択する。言い換えると、選択された群Ｇ_１及びＧ_２の各々は、ｑ個の有限の要素を有し、群Ｇ_１又はＧ_２はドメインＺ_ｐの部分集合である。また、ＰＩＭＤ２２０は、Ｇ_１とＧ_２との間で使用されるべき双線形マップ

を選択する。ここで、双線形マップ

は、全ての

に対しては、

が群Ｇ_２における要素であることを示し、即ち、

であり、如何なる

に対しても、

であることを示す。次いで、ＰＩＭＤ２２０は、群Ｇ_１からランダム生成元（random generator）

を選択すると共に、２つの一方向性ハッシュ関数Ｈ_１及びＨ_２を選択する。これら２つのハッシュ関数は、

及び

なる条件を満足する。言い換えると、Ｈ_１は任意の長さを持つ０及び１の系列（例えば、文字列を表す）を群Ｇ_１内の要素にマッピングする第１の一方向性ハッシュ関数であり、Ｈ_２は群Ｇ_２内の要素を任意の長さを持つ０及び１の系列にマッピングする第２の一方向性ハッシュ関数である。

上記の基本的パラメータを選択した後に、ステップ２１３において、ＰＩＭＤ２２０は、上記パラメータから

を選択して一群の公開パラメータを形成すると共に、∂及びＨ_１を一群の秘密パラメータとして選択する。ここで、上記公開パラメータの群

は公開され、他の装置のうちの如何なるものも該公開パラメータの群をＰＩＭＤ２２０から得ることができる。一方、上記秘密パラメータの群｛∂，Ｈ_１｝は秘密に保たれ、従って、主仮名Ｐprimeは、ユーザにより登録がなされた場合に該ユーザのために安全に発生することができる。

［登録］
ユーザは、初めて病院に行く前に、主仮名を得るべく、登録フェーズＳ２３０において信頼のおけるローカルなＰＩＭＤ２２０に対し登録することを選択することができる。

詳細には、ステップＳ２３１において、ユーザは、自身が持つユーザ装置Ｄ２３０（ＰＤＡ等の）を使用して、登録リクエストにおいてＰＩＭＤ２２０に対し自身の本当の素性を識別するユーザアイデンティティＩＤuserを送信することができる。ステップＳ２３３において、ＰＩＭＤ２２０は、受信されたＩＤuserをユーザアイデンティティデータベースに記憶すると共に、該受信されたＩＤuser及び先に決定された一群の秘密パラメータ｛∂，Ｈ_１｝を用いて主仮名

を発生する。該主仮名は、一方の項がＩＤuserに対し秘密第１一方向性ハッシュ関数を適用することにより計算される第１ハッシュ値であり、他方の項が該第１ハッシュ値の∂乗であるような二進群である。次いで、ステップ２３５において、ＰＩＭＤ２２０は、該発生された主仮名Ｐprimeを一群の公開パラメータと一緒に、成功した登録を示す応答として上記ユーザ装置Ｄ２３０に送信する。ステップＳ２３７において、ユーザ装置Ｄ２３０は、該受信された主仮名Ｐprime及び上記一群の公開パラメータを記憶し、かくして、対応する副仮名を将来所望に応じて発生することができる。そして、当該登録処理は終了する。

［副仮名の発生］
図２に示された実施例においてＰＩＭＤ２２０がユーザに対して頻繁に仮名を発生するのを防止するために、該ＰＩＭＤ２２０により発生された主仮名Ｐprimeは実際に病院においては使用されない。逆に、フェーズＳ２５０において、ユーザが病院に行く都度、ユーザ装置Ｄ２３０はＰＩＭＤ２２０から得られた主仮名Ｐprimeに基づいて少なくとも１つの副仮名を自ら発生する。

詳細には、ステップＳ２５１において、ユーザ装置Ｄ２３０は、記憶された公開パラメータの群に基づいて、例えばドメインＺｐから２つのランダム数ｋ_１，ｋ_２∈Ｚｐを選択する。次いで、ステップＳ２５３において、ユーザ装置Ｄ２３０は、上記の２つの選択されたランダム数、前記一群の公開パラメータ及び主仮名Ｐprimeを用いて副仮名を発生する。このステップにおいて、ユーザ装置Ｄ２３０は先ず下記のパラメータを計算することができる：

ここで、

であり、ｋ₂ ^-1はランダム数ｋ_２の逆数、即ちｋ₂ｋ₂ ^-1mod p＝１である。

次いで、ユーザ装置Ｄ２３０は、上記の計算されたパラメータに基づいて３つの項を含む副仮名

を発生する。

上記ステップＳ２５１〜Ｓ２５３により、ユーザ装置Ｄ２３０は、異なるランダム数ｋ_１，ｋ_２∈Ｚｐを選択することにより異なる副仮名を自ら発生することができる。ここで、前記主仮名に関する情報は斯かる副仮名において安全に隠されている。何故なら、ランダム数ｋ_１，ｋ_２∈Ｚｐが副仮名の発生に使用されるからである。他者にとり、主仮名に関する情報を、盗まれた副仮名に基く逆計算により計算することは困難であろう。更に、ｋ_１及びｋ_２はランダムに選択されるので、同一のユーザ装置Ｄ２３０により発生される幾つかの副仮名の間には関連する特性は存在しない。このようにして、ユーザ装置Ｄ２３０により発生された副仮名が他者により盗まれたとしても、該ユーザ装置にＰＩＭにより割り当てられた主仮名を、これらの副仮名に基づいて導出することは不可能である。このように、ユーザは、自身に対して発生された副仮名を安全に使用することができる。

更に、この実施例では副仮名の発生のために２つのランダム数が使用されているが、当業者であれば、計算ずくの設計で3以上のランダムパラメータを用いて副仮名を発生することもできることが分かるであろう。従って、本発明は、この実施例に示されたような２つのランダム数に限定されるものではない。

［副仮名の認証］
ユーザが病院に行く度に、該ユーザは、該病院の医療システムに登録すべく前記の発生された副仮名を使用する。フェーズ２７０において、当該病院の医療システムＤ２１０は、先ず、ユーザ装置Ｄ２３０により供給された副仮名の有効性を認証する。即ち、医療システムＤ２１０は、当該ユーザの本当の素性を対応するＰＩＭから追跡することができることを裏付けるために、当該副仮名が上記ＰＩＭにより該ユーザに割り当てられた主仮名に基づいて発生されているかを確認する。

図２に示されたように、認証処理はステップＳ２７１で開始する。ステップＳ２７１において、ユーザ装置Ｄ２３０は医療システムＤ２１０へ、自力発生した副仮名

及びローカルＰＩＭＤ２２０の識別子ＩＤserver（例えば、ＰＩＭＤ２２０の名前又はアドレス）を送信する。ステップＳ２７２において、医療システムＤ２１０は、受信されたＩＤserverに基づいて、対応するＰＩＭＤ２２０から一群の公開パラメータ

を取得する。該一群の公開パラメータが取得された後、医療システムＤ２１０は、ユーザ装置Ｄ２３０により供給された副仮名の有効性（validation）を、ステップＳ２７３において当該ユーザ装置と対話することにより認証することができる。

ステップＳ２７３における認証処理は、種々の態様で実施することができる。例えば、当該ユーザが医療システムＤ２１０（例えば、ローカル医療システム）を完全に信頼する場合、該医療システムＤ２１０は主仮名をユーザ装置Ｄ２３０から取り出すことができる。ユーザ装置Ｄ２３０から主仮名が得られた後、医療システムＤ２１０は、当該副仮名が上記主仮名に基づいて発生されていること、及び該主仮名がＩＤserverにより識別されるＰＩＭＤ２２０により割り当てられていることを、当該ユーザにより供給される主仮名及び副仮名に基づいて認証することができる。もっと好ましくは、ステップＳ２７３において、医療システムＤ２１０は、上記副仮名を、ユーザ装置Ｄ２３０と零知識証明を交換することにより認証することもできる。ユーザ装置Ｄ２３０にとり、該零知識交換過程において、医療システムＤ２１０に対し自身の主仮名に関する情報を開示する必要はないので、該方法は一層安全である。零知識証明の交換は、種々の態様で実施化することができる。図３は、斯かる実施化の一例のみを示す。

図３に示されるように、ステップＳ３７３において、医療システムＤ２１０は、前記一群の公開パラメータにおけるパラメータｐに基づいて、ドメインＺｐからランダム数ｔを、即ちｔ∈Ｚｐを選択する。一方、医療システムＤ２１０は、オリジナルセッションキーＫses及び質問内容（query content）Ｎａをランダムに選択することができる。質問内容Ｎａはランダム数、又は０及び１の系列により表された任意の列（string）とすることができる。パラメータが選択された後、医療システムＤ２１０は、ステップＳ３７４において、選択されたパラメータｔ、Ｋses及びＮａ、前記一群の公開パラメータにおけるｇ及びＨ_２、並びに受診された副仮名

に基づいて、３つの項を含む質問メッセージを発生することができる：

ここで、

である。

この質問メッセージにおいて、第1項ｇ^ｔはランダム数ｔに関する方法を伝達し、第2項

は暗号化されたセッションキーと等価であり、第3項

は質問内容ＮａをオリジナルのセッションキーＫsesによって暗号化することにより得られる暗号化内容を表す。次いで、ステップＳ３７５において、医療システムＤ２１０は上記質問メッセージをユーザ装置Ｄ２３０に送信し、該ユーザ装置Ｄ２３０からの返答を待つ。

ステップＳ３７６ａにおいて、上記質問メッセージを受信すると、ユーザ装置Ｄ２３０は下記の式により上記質問メッセージからセッションキーＫ^* _sesを計算する：

ここで、丸で囲んだ十字の記号はＸＯＲ演算を表す。

上記式から、該式の右側の項

は当該質問メッセージに含まれる暗号化されたセッションキーであり、該式の右側の項

はユーザ装置Ｄ２３０により主仮名、一群の公開パラメータ及び質問メッセージに基づいて発生された基準ターム（reference term）であることが分かる。ユーザ装置Ｄ２３０がＰＩＭＤ２２０により割り当てられた主仮名Ｐprimeを記憶している、即ち

が記憶されている場合、前記一群の公開パラメータにおける双線形マップｅ＾は、上記式における

の結果が正確に零であるようなものとなる。ここで、上記セッションキーの暗号化された項

は削除することができ、かくして、オリジナルのセッションキーＫses、即ちＫ^* _ses＝Ｋsesを得る。次いで、ステップＳ３７４ｂにおいて、暗号化された内容Enc(Ｋses，Ｎａ)が上記の計算されたセッションキーＫ^* _sesにより解読され、解読された内容Ｎ_a ^*を得る。ステップＳ３７６ａにおいてセッションキーＫ^* _ses＝Ｋsesが正しく得られたなら、解読される内容は、ステップＳ３７６ｂにおいてＮ_a ^*＝Ｎａとして正しく解読され得る。その後、ステップＳ３７６ｃにおいて、ユーザ装置Ｄ２３０は、解読された内容Ｎ_a ^*に対応する返答内容Ｎｂを、当該病院の医療システムＤ２１０と事前に協議された所定の規則に従って選択する。この実施例において、該所定の規則とは、例えば、Ｎｂ＝Ｎ_a ^*＋１であり得る。勿論、該所定の規則は、この場合に限られるものではない。返答内容が選択された後、ユーザ装置Ｄ２３０は、ステップＳ３７６ｄにおいて、計算されたＫ^* _sesにより上記返答内容Ｎｂを暗号化し、かくして、返答メッセージEnc(Ｋ^* _ses，Ｎｂ)を得ることができる。ステップＳ３７７において、ユーザ装置Ｄ２３０は、前記質問メッセージに対する返答として、上記返答メッセージEnc(Ｋ^* _ses，Ｎｂ)を当該病院の医療システムＤ２１０に送信する。

ステップＳ３７８において、上記返答メッセージを受信すると、医療システムＤ２１０は、受診された返答メッセージEnc(Ｋ^* _ses，Ｎｂ)をオリジナルのキーＫsesにより解読し、解読された返答内容Ｎ_b ^*を得る。ステップＳ３７９において、医療システムＤ２１０は、解読された返答内容Ｎ_b ^*とオリジナルの内容Ｎａとの間で上述した所定の規則が満たされるかを判定する。例えば、この実施例では、医療システムＤ２１０はＮ_b ^*がＮａ＋１に等しいかを判定する。前述したように、ユーザ装置Ｄ２３０がオリジナルのセッションキーを正しく計算することができるなら（即ち、Ｋ^* _ses＝Ｋses）、医療システムＤ２１０は、該オリジナルのセッションキーＫsesを用いてＮ_b ^*＝Ｎｂ＝Ｎａ＋１を正しく解読することができる。言い換えると、前記所定の規則が、解読された返答内容Ｎ_b ^*と質問内容Ｎａとの間で満足される。ステップＳ３７９において、解読された返答内容Ｎ_b ^*と質問内容Ｎａとの間で前記所定の規則が満足されると判定された場合、これは、ユーザ装置Ｄ２３０の前記副仮名が有効であることを意味する。等価的に、該副仮名が、ＩＤserverにより識別されるＰＩＭにより割り当てられた主仮名に基づいて発生されていることが証明される。

上記認証によれば、当該副仮名が有効であると認証された場合、ユーザは医療システムＤ２１０に成功裏の登録を行っていることになる。この場合、該ユーザは上記副仮名で当該病院へ行くことができ、該ユーザの医療記録は該副仮名

の名前で記憶及び管理され得る。

上記認証処理において、有効であると認証されるべきユーザ装置Ｄ２３０の副仮名は、該ユーザ装置Ｄ２３０がＰＩＭＤ２２０により割り当てられた主仮名

に関しての情報を得ているという前提条件を有している。ここで前記一群の秘密パラメータ∂及びＨ_１は秘密であり、第１ハッシュ関数Ｈ_１は一方向性であるから、他の権限のないユーザは、主仮名

を、∂及びＨ_１についての知識なしに前記副仮名及び一群の公開パラメータに基づいて逆計算することはできない。従って、ステップＳ３７３〜Ｓ３７９における零知識証明交換により得られた認証結果は、信頼性があり且つ安全である。

図２に戻ると、上記認証処理は医療システムＤ２１０とユーザ装置Ｄ２３０との間で実行される。ＰＩＭＤ２２０は、該認証には関わることはなく、医療システムＤ２１０に一群の公開パラメータを供給するのみである。医療システムＤ２１０が当該ＰＩＭの領域内にあるか否かに拘わらず、ユーザにより供給される副仮名の有効性は、該医療システムＤ２１０が例えばネットワークを介してＰＩＭＤ２２０により公開される一群の公開パラメータを得ることができる限り、斯様にして認証され得る。従って、図３に示された実施例において、前記病院の医療システムＤ２１０は当該ＰＩＭとは独立した如何なる領域内の第三者装置とすることもできる。従って、図２に示された仮名の発生及び認証のための本方法により、ユーザに対して地域間共通の仮名サービスを安全に提供することができる。

ユーザ装置Ｄ２３０から供給される副仮名は図２に示された実施例では医療システムＤ２１０により認証されているが、本発明は斯様なケースに限定されるものではない。代わりに、認証処理は、ＰＩＭＤ２２０により実施することもできる。この場合、ユーザ装置Ｄ２３０は副仮名

をＰＩＭＤ２２０に送信することができる。この場合、該ＰＩＭＤ２２０はユーザ装置Ｄ２３０と対話して、該副仮名を認証する。ＰＩＭＤ２２０は全ての秘密パラメータを知っているので、ユーザ装置Ｄ２３０は自身の主仮名を該ＰＩＭＤ２２０に供給することにより認証を実行することができる。他の例として、認証は、ＰＩＭＤ２２０とユーザ装置Ｄ２３０との間で零知識証明を交換することにより実行することもできる。

［ユーザアイデンティティの追跡］
再び図２を参照すると、上述したようにユーザ装置Ｄ２３０により供給された副仮名が有効であると認証された後、ユーザは当該病院における種々の医療サービスを該副仮名の名前で享受することができる。しかしながら、幾つかの状況では、該病院の医療システムＤ２１０は、当該ユーザの本当の素性（アイデンティティ）ＩＤuserを得たいと欲し得る（フェーズＳ２９０）。

当該ユーザの本当のアイデンティティが所望される場合、図２に示される実施例において、医療システムＤ２１０は、ユーザ装置Ｄ２３０により供給される副仮名

をステップＳ２９１においてＰＩＭＤ２２０に送信する。次いで、ステップＳ２９３において、ＰＩＭＤ２２０は上記副仮名に対応する質問パラメータ

を、受診された副仮名

及び前記一連の公開パラメータにおけるｇ^∂に基づいて計算する。次いで、ステップＳ２９５において、ＰＩＭＤ２２０は、上記質問パラメータ

を用いて、ＩＤuserを記憶するデータベースを検索する。例えば、斯かるデータベースにおける各ＩＤuserに関して、ＰＩＭＤ２２０は下記の式を満足するＩＤ'userが存在するかをチェックする：

前記質問パラメータＶerにより上記式を満足するＩＤ'userが見付かったら、結果としてのＩＤuserが、医療システムＤ２１０から送信された前記副仮名に対応するユーザの本当のアイデンティティとされる。最後に、ステップＳ２９７において、ＰＩＭＤ２２０は上述した結果としてのＩＤ'userを当該病院の医療システムＤ２１０に返送する。従って、該医療システムＤ２１０は、必要とされた場合に、ＰＩＭＤ２２０から得られた当該ユーザの本当のアイデンティティに基づいて、該ユーザに、適時、連絡することができる。

上述した追跡処理において、副仮名に対応するユーザアイデンティティＩＤuserは、データベース内のユーザアイデンティティを走査（traverse）することにより見付けることができる。本発明の実施例においてＰＩＭＤ２２０がユーザアイデンティティＩＤuserに対応する主仮名を記憶していないとしても、該ユーザの対応する本当のアイデンティティは、このようにして、医療システムＤ２１０からの副仮名に基づいて見付けることができる。このメカニズムはＰＩＭＤ２２０に対するワークロードを低減する一方、該ＰＩＭのコストを低減する。勿論、本発明の上記追跡方法は、このようなケースに限定されるものではなく、他の代替的方法をユーザアイデンティティを見付けるために使用することもできる。

以上、本発明の一実施例による仮名の発生及び認証のための方法を、図２を参照して詳細に説明した。図２のフローチャートにおける各ステップはソフトウェア、ハードウェア又はこれら両方の組み合わせで実施化することができる。

図４は、図２の方法がハードウェアで実施化された場合に、メッセージが３つの主体間で供給されるような一例を図示している。図４に示されるように、ＰＩＭＤ２２０は、ユーザ装置Ｄ２３０及び病院の医療システムＤ２１０に一群の公開パラメータ（メッセージＭ１）を供給すると共に、ユーザ装置Ｄ２３０からの仮名登録リクエスト（ＩＤuser）（メッセージＭ２）に応答して該ユーザに主仮名（Ｐprime）（メッセージＭ３）を割り当てる。ユーザ装置Ｄ２３０は、割り当てられた主仮名Ｐprimeに基づいて自身で副仮名Ｐpseu発生すると共に、該副仮名Ｐpseu及びＰＩＭＤ２２０の識別子ＩＤserver（メッセージＭ４）を病院登録リクエストとして医療システムＤ２１０に送信する。受信された副仮名Ｐpseu及びＩＤserverにより識別されるＰＩＭＤ２２０から得られた一群の公開パラメータに基づいて、医療システムＤ２１０は、ユーザ装置Ｄ２３０に質問メッセージ（メッセージＭ５）を送信すると共に該ユーザ装置Ｄ２３０から返答メッセージ（メッセージＭ６）を受信することにより、上記副仮名Ｐpseuの有効性を認証することができる。また、該医療システムＤ２１０は、上記副仮名Ｐpseuを含む質問リクエスト（メッセージＭ７）をＰＩＭＤ２２０に送信して、該ＰＩＭＤ２２０から上記副仮名に対応するユーザの本当のアイデンティティＩＤ'userを得ることもできる。尚、図４に示されたメッセージは単なる例であって、本発明は種々の変更を有することができ、この点で限定されるものではない。

図５〜７は、図４における３つの主体の各々のブロック図を示す。当業者であれば、図５〜７のブロック図における各ユニットは、所望に応じて、各ユニットの機能に従って互いに組み合わせることができるか、又はより多くのものに分割することもできることが分かる。従って、図５〜７に示されたハードウェア構成は、単なる例であって、限定するものではない。

図５は、ＰＩＭＤ２２０のブロック図を示す。図５において、ＰＩＭＤ２２０は、受信ユニット５１０と、発生ユニット５２０と、決定ユニット５３０と、送信ユニット５４０と、記憶ユニット５５０と、検索ユニット５６０と、計算ユニット５７０とを有している。

図５に示されるように、決定ユニット５３０は、仮名の発生及び認証のために使用されるべき一群の公開パラメータ

及び一群の秘密パラメータを決定することができる。上記一群の公開パラメータは、送信ユニット５４０を介して、ユーザ装置Ｄ２３０又は何れかの地域内の病院の医療システムＤ２１０等の如何なる他の装置へも送信することができる。

一方、図５に示された受信ユニット５１０は、ユーザ装置Ｄ２３０からＩＤuser（メッセージＭ２）を受信する。受信されたＩＤuserは、病院からの問合せ（質問）のために、記憶ユニット５５０のデータベース内に記憶される。同時に、上記の受信されたＩＤuserは、発生ユニット５２０へと供給される。入力されたＩＤuser及び決定ユニット５３０により決定された一群の秘密パラメータに基づいて、該発生ユニット５２０は、ＩＤuserに対応する主仮名

を発生することができる。該発生ユニット５２０により発生された上記主仮名Ｐprime（メッセージＭ３）は、送信ユニット５４０を介してユーザ装置Ｄ２３０に送信することができる。

他方、受信ユニット５１０は、当該病院の医療システムＤ２１０から副仮名Ｐpseu（メッセージＭ７）を受信する。図５に示されるように、受信された副仮名Ｐpseuは計算ユニット５７０へと供給され、これにより質問パラメータ

を計算する。計算ユニット５７０は、計算された質問パラメータＶerを検索ユニット５６０へと出力する。入力された該質問パラメータＶerに基づいて、検索ユニット５６０は、

となるようなＩＤ'userを求めて記憶ユニット５５０のデータベースを検索することができる。これが見付けられた場合、検索ユニット５６０は、該見付かったＩＤ'userを送信ユニット５４０を介して医療システムＤ２１０へ、前記副仮名Ｐpseu（メッセージＭ８）に対応するユーザのアイデンティティとして送信することができる。

図６は、本発明の一実施例によるユーザ装置Ｄ２３０のブロック図を示す。図６において、ユーザ装置Ｄ２３０は、受信ユニット６１０と、記憶ユニット６２０と、選択ユニット６３２及び計算ユニット６３６を含む発生ユニット６３０と、送信ユニット６４０と、セッションキー取得ユニット６５２、解読ユニット６５４及び暗号化ユニット６５６を含む認証ユニット６５０とを有する。

一方、図６に示された送信ユニット６４０は、記憶ユニット６２０に事前に記憶されたユーザの本当のアイデンティティＩＤuserを登録リクエスト（メッセージＭ２）としてＰＩＭＤ２２０に送信する。次いで、受信ユニット６１０はＰＩＭＤ２２０から登録返答、即ち主仮名

（メッセージＭ３）を受信する。同時に、受信ユニット６１０はＰＩＭＤ２２０から一群の公開パラメータ

（メッセージＭ１）も受信する。受信された一連の公開パラメータ及び主仮名Ｐprimeは、副仮名の発生のために記憶ユニット６２０に記憶される。発生ユニット６３０において、選択ユニット６３２は、上記の記憶された一連の公開パラメータに基づいて２つのランダム数ｋ_１及びｋ_２、即ちｋ_１，ｋ_２∈Ｚｐを選択すると共に、これらランダム数を計算ユニット６３６に送る。計算ユニット６３６は、副仮名

を、ｋ_１及びｋ_２、並びに前記記憶ユニットに記憶された一連の公開パラメータ及び主仮名Ｐprimeに基づいて自ら発生することができる。発生された副仮名

及びＰＩＭＤ２２０の識別子ＩＤserver（メッセージＭ４）は、当該病院で使用するために、送信ユニット６４０を介して医療システムＤ２１０に送信することができる。

他方、送信ユニット６４０が上記副仮名

を医療システムＤ２１０に送信した後、該医療システムＤ２１０は該副仮名の有効性を認証することができる。例えば、図６における受信ユニット６１０は、医療システムＤ２１０から、認証のための質問メッセージ

（メッセージＭ５）を受信する。受信された質問メッセージは、認証ユニット６５０におけるセッションキー取得ユニット６５２へと供給される。該セッションキー取得ユニット６５２は、記憶ユニット６２０に記憶された前記一連の公開パラメータ及び主仮名に基づいて、下記式により、

セッションキーＫ^* _sesを計算する。

計算されたセッションキーＫ^* _sesは、解読ユニット６５４へと供給される。解読ユニット６５４は、前記質問メッセージ内の暗号化された内容

を上記の計算されたセッションキーＫ^* _sesで解読して、解読された内容Ｎ_a ^*を得る。解読された内容Ｎ_a ^*は、暗号化ユニット６５６へと供給される。該暗号化ユニット６５６は、上記の解読された内容Ｎ_a ^*に対応する返答内容Ｎｂを所定の規則に従って選択し、該返答内容Ｎｂを前記の計算されたセッションキーＫ^* _sesで暗号化して、返答メッセージ

を得る。該返答メッセージ

（メッセージＭ６）は、認証のために、送信ユニット６４０を介して医療システムＤ２１０に送信することができる。ここで、上記認証ユニットは多くの他の態様で構成することもでき、図６に示された構成に限定されるものではない。

図７は、本発明の一実施例による医療システムＤ２１０の構成を図示している。図７において、該医療システムＤ２１０は、受信ユニット７１０と、記憶ユニット７３０と、認証ユニット７４０と、送信ユニット７５０とを有している。上記認証ユニット７４０は、選択ユニット７４１と、質問メッセージ発生ユニット７４３と、解読ユニット７４５と、判定ユニット７４７とを有している。

図７に示されるように、受信ユニット７１０は、副仮名Ｐpseuと、当該ユーザが登録したＰＩＭＤ２２０を識別するための識別子ＩＤserverとを受信する。図７に示されるように、受信ユニット７１０は、副仮名Ｐpseuと、当該ユーザが登録したＰＩＭＤ２２０を識別するための識別子ＩＤserverと（メッセージＭ４）をユーザ装置Ｄ２３０から受信する。取得ユニット（図示略）は、上記の受信されたＩＤserverに基づいて、対応するＰＩＭＤ２２０から公開された一群の公開パラメータ

（メッセージＭ１）を該受信ユニット７１０を介して取得する。受信されたＰpseu及び一群の公開パラメータは、記憶ユニット７３０に記憶されると共に、同時に認証ユニット７４０に送られ、これにより、Ｐpseuの有効性を該認証ユニット７４０において認証することができる。図７の認証ユニットは、多くの態様で実施化することができる。図７は、これら態様のうちの１つを示しているのみである。

詳細には、認証ユニット７４０内の選択ユニット７４１は、質問メッセージを発生するために、ランダム数ｔ∈Ｚｐ、オリジナルのセッションキーＫses及び質問内容Ｎａを選択する。上記オリジナルのセッションキーＫsesは、上記質問内容Ｎａを暗号化して、暗号化された内容

を得るために使用される。選択ユニット７４１により選択されたパラメータ、前記副仮名及び前記一群の公開パラメータに基づいて、質問メッセージ発生ユニット７４３は、質問メッセージ

を発生し、該質問メッセージ（メッセージＭ５）を送信ユニット７５０を介してユーザ装置Ｄ２３０に送信する。次いで、ユーザ装置Ｄ２３０から返答メッセージ

（メッセージＭ６）を受信した後、受信ユニット７１０は該返答メッセージを認証ユニット７４０に送る。該認証ユニット７１０内の解読ユニット７４５は、上記返答メッセージ

をオリジナルのセッションキーＫsesにより解読する。判定ユニット７４７は、上記の解読された返答内容Ｎ_b ^*と質問内容Ｎａとの間で所定の規則が満たされるかを判定すると共に、該所定の規則が満たされた場合に上記副仮名Ｐpseuが有効であると認証されたと判定する。

以上、本発明の特定の実施例を図１〜７を参照して説明した。これらの実施例において、ユーザ装置は、何時病院が訪問されても、ＰＩＭＤ２２０からの主仮名に基づいて少なくとも１つの副仮名を安全に発生することができる。従って、本発明の上記実施例において、ＰＩＭＤ２２０は当該ユーザに対して頻繁に仮名を発生する必要がなく、該ＰＩＭに対するワークロードが軽減される。

更に、上述した実施例において、病院の医療システムＤ２１０は、ユーザにより発生された副仮名を、ＰＩＭＤ２２０から得られる一群の公開パラメータに基づいてユーザ装置Ｄ２３０と対話することにより認証することができる。このようにして、ユーザにより発生された仮名を異なる地域内の病院において使用することができ、かくして、地域間共通のサービスを実施することができる。

更に、上述した実施例において、ＰＩＭＤ２２０は、対応するユーザのアイデンティティを、データベース内に記憶されたＩＤuserを医療システムＤ２１０により供給される副仮名に基づいて対応するユーザのアイデンティティを求めて走査することにより見付けることができる。このようにして、ＰＩＭＤ２２０は、各ユーザに対して主仮名を記憶する必要がなく、このことは、ＰＩＭＤ２２０にとってのデータベース要件を更に減少させ、かくして該ＰＩＭのコストを低減する。

以上、本発明の特定の実施例を添付図面を参照して説明したが、上述した実施例は本発明を限定するというよりは、解説しようとするものであることに注意されたい。また、当業者であれば、本発明の装置及び方法に対して、添付請求項により範囲が定義されるべき本発明の原理から逸脱することなしに種々の改善及び変更をなすことができると理解されるべきである。更に、請求項における如何なる符号も、該請求項を限定するものと見なしてはならない。

Claims

個人アイデンティティマネージャ（ＰＩＭ）において仮名を発生する方法であって、該方法が、
一群の公開パラメータ及び一群の秘密パラメータを決定するステップであって、前記一群の公開パラメータは、

であり、ここで、
Ｇ _１及びＧ _２は２つの選択されたｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１から選択されるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

であり；

である；ステップと、
ユーザのアイデンティティＩＤuserをユーザ装置から受信するステップと、
主仮名

を、前記決定された一群の秘密パラメータ及び前記ＩＤuserに基づいて発生するステップであって、Ｈ_１は一方向性ハッシュ関数であり、∂はドメインＺｐから選択されるランダム数であり、ｐは選択された素数であるステップと、
前記主仮名Ｐprime及び前記一群の公開パラメータを前記ユーザ装置に送信するステップと、
第三者装置から副仮名

を受信するステップと；
前記副仮名Ｐpseu及び前記一群の公開パラメータを用いて、質問パラメータ

を計算するステップと；
前記質問パラメータＶerに基づいて

となるような、記憶されたユーザアイデンティティにおけるユーザアイデンティティＩＤ'userを検索するステップと；
前記ＩＤ'userを前記第三者装置に前記副仮名Ｐpseuに対応するユーザアイデンティティとして送信するステップと；
を有する方法。
請求項１に記載の方法において、
前記第三者装置から取得リクエストを受信するステップと、
前記取得リクエストに応答して、前記一群の公開パラメータを前記第三者装置に送信するステップと、
を更に有する方法。
請求項１に記載の方法において、
前記ユーザ装置から副仮名Ｐpseuを受信するステップと、
前記副仮名Ｐpseuの有効性を、前記ユーザ装置と対話することにより認証するステップと、
を更に有する方法。
ユーザ装置において仮名を発生する方法であって、該方法が、
ユーザのアイデンティティＩＤuserを個人アイデンティティマネージャ（ＰＩＭ）に送信するステップと、
前記ＰＩＭから、一群の公開パラメータ及び前記ＩＤuserに対応する主仮名Ｐprimeを受信するステップであって、前記一群の公開パラメータが、

であり、ここで：
ｐは素数である一方、∂はドメインＺｐから選択されるランダム数であり；
Ｇ _１及びＧ _２は２つのｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１におけるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

であり、
前記主仮名は、

であり、ここで、
Ｈ _１は一方向性ハッシュ関数であって、

である、ステップと、
少なくとも２つのランダムパラメータを選択すると共に、これら少なくとも２つのランダムパラメータ、前記一群の公開パラメータ及び前記主仮名Ｐprimeを用いて副仮名Ｐpseuを発生するステップと、
を有し、前記副仮名Ｐpseuを発生するステップは、
前記ドメインＺｐから２つのランダム数ｋ _１及びｋ _２を前記一群の公開パラメータに基づいて選択するステップと、
前記選択されたランダム数ｋ _１及びｋ _２、前記一群の公開パラメータ及び前記主仮名Ｐprimeを用いて下記のパラメータ：

（ここで、

及びｋ ₂ ｋ ₂ ^-1 mod p＝１である）を計算するステップと、
前記計算されたパラメータに基づいて、副仮名

を発生するステップと、
を有する方法。
請求項４に記載の方法において、
前記副仮名Ｐpseu及び前記ＰＩＭを識別する識別子ＩＤserverを第三者装置に送信するステップと、
前記副仮名Ｐpseuの有効性を、認証者としての前記第三者装置と対話することにより認証するステップと、
を更に有する方法。
請求項４に記載の方法において、
前記副仮名Ｐpseuを前記ＰＩＭに送信するステップと、
前記副仮名Ｐpseuの有効性を、認証者としての前記ＰＩＭと対話することにより認証するステップと、
を更に有する方法。
請求項５又は請求項６に記載の方法において、前記認証するステップが、
前記副仮名Ｐpseuの有効性を前記認証者と零知識証明を交換することにより認証するステップ、
を有する方法。
請求項７に記載の方法において、前記認証者と零知識証明を交換するステップは、
前記認証者から質問メッセージを受信するステップであって、該質問メッセージは前記一群の公開パラメータ及び前記副仮名Ｐpseuに基づいて発生されると共に、

として表され、ここで：
ｔはＺｐから前記認証者により選択されるランダム数であり；

であり；
Ｋsesは前記認証者により選択されたオリジナルのセッションキーであり；
Ｎａは前記認証者によりランダムに選択された質問内容であり；

は前記オリジナルのセッションキーＫsesにより前記質問内容Ｎａを暗号化することにより得られる暗号化された内容を表す；
ようなステップと、
セッションキーＫ^*sesを前記質問メッセージ及び前記主仮名Ｐprimeに基づいて

を用いて計算するステップと、
前記暗号化された内容

を前記セッションキーＫ^*sesにより解読して、解読された内容Ｎa^*を得るステップと、
前記解読された内容Ｎa^*に対応する返答内容Ｎｂを所定の規則に従って選択すると共に、該返答内容Ｎｂを前記セッションキーＫ^*sesにより暗号化して返答メッセージ

を得るステップと、
前記返答メッセージ

を送信するステップと、
を有する方法。
第三者装置において仮名を認証する方法であって、該方法が、
ユーザ装置から、副仮名Ｐpseu及び個人アイデンティティマネージャ（ＰＩＭ）を識別する識別子ＩＤserverを受信するステップと、
前記識別子ＩＤserverに基づいて前記ＰＩＭから一群の公開パラメータを得るステップであって、前記一群の公開パラメータが、

であり、ここで：
ｐは素数である一方、∂はドメインＺｐから選択されるランダム数であり；
Ｇ _１及びＧ _２は２つのｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１におけるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

である、ステップと、
前記副仮名Ｐpseuの有効性を、前記一群の公開パラメータに基づいて前記ユーザ装置と対話することにより認証するステップと、
を有し、前記認証するステップが、
前記副仮名Ｐpseuの有効性を、前記ユーザ装置と零知識証明を交換することにより認証するステップ、
を有し、
前記零知識証明を交換するステップは、
前記ドメインＺｐからランダム数ｔを選択するステップと、
オリジナルのセッションキーＫses及び質問内容Ｎａを選択すると共に、該質問内容Ｎａを前記オリジナルのセッションキーＫsesにより暗号化して、暗号化された内容

を得るステップと、
質問メッセージ

を、前記ランダム数ｔ、前記一群の公開パラメータ、前記副仮名Ｐpseu及び前記暗号化された内容

により発生する（ここで、

である）ステップと、
前記質問メッセージを前記ユーザ装置に送信するステップと、
返答メッセージ

を前記ユーザ装置から受信するステップであって、ここで、Ｋ ^* sesは前記質問メッセージから前記ユーザ装置により計算されたセッションキーであり、Ｎｂは

から解読された質問内容に基づく所定の規則に従って前記ユーザ装置により選択された返答内容であるようなステップと、
前記返答内容を前記オリジナルのセッションキーＫsesにより解読するステップと、
前記解読された返答内容Ｎb ^* と前記質問内容Ｎａとの間で前記所定の規則が満足されるかを判定して、前記副仮名Ｐpseuの有効性を認証するステップと、
を有する方法。
請求項９に記載の方法において、
前記副仮名Ｐpseuは前記ＰＩＭに送信され、
前記ＰＩＭから、前記副仮名Ｐpseuに対応するユーザのアイデンティティＩＤuserとして、ユーザアイデンティティＩＤ'userが受信される、
方法。
一群の公開パラメータ及び一群の秘密パラメータを決定する決定ユニットであって、前記一群の公開パラメータが、

であり、ここで：
ｐは素数である一方、∂はドメインＺｐから選択されるランダム数であり；
Ｇ _１及びＧ _２は２つのｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１におけるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

であり、
前記主仮名は、

であり、ここで、
Ｈ _１は一方向性ハッシュ関数であって、

である、決定ユニットと、
ユーザのアイデンティティＩＤuserを受信する受信ユニットと、
主仮名

を、前記決定された一群の秘密パラメータ及び前記ＩＤuserに基づいて発生する発生ユニットであって、Ｈ_１は一方向性ハッシュ関数であり、∂はドメインＺｐから選択されるランダム数であり、ｐは選択された素数である発生ユニットと、
前記主仮名Ｐprimeをユーザ装置に送信する送信ユニットと、
を有する個人アイデンティティマネージャ（ＰＩＭ）であって、
前記受信ユニットが第三者装置から副仮名

を更に受信し、
前記ＰＩＭが、
前記副仮名Ｐpseu及び前記一群の公開パラメータを用いて、質問パラメータ

を計算する計算ユニットと、
前記質問パラメータに基づいて

となるような前記ＩＤuserを記憶する記憶ユニット内のユーザアイデンティティＩＤ'userを検索する検索ユニットと、
を有し、
前記送信ユニットが、前記ＩＤ'userを前記第三者装置に前記副仮名Ｐpseuに対応するユーザアイデンティティとして送信する、個人アイデンティティマネージャ（ＰＩＭ）。
ユーザのアイデンティティＩＤuserを個人アイデンティティマネージャ（ＰＩＭ）に送信する送信ユニットと、
前記ＰＩＭから、一群の公開パラメータ及び前記ＩＤuserに対応する主仮名Ｐprimeを受信する受信ユニットであって、前記一群の公開パラメータは、

であり、ここで：
ｐは素数である一方、∂はドメインＺｐから選択されるランダム数であり；
Ｇ _１及びＧ _２は２つのｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１におけるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

であり、
前記主仮名は、

であり、ここで、
Ｈ _１は一方向性ハッシュ関数であって、

である、受信ユニットと、
少なくとも２つのランダムパラメータを選択すると共に、これら少なくとも２つのランダムパラメータ、前記公開パラメータ及び前記主仮名Ｐprimeを用いて副仮名Ｐpseuを発生する発生ユニットと、
を有し、前記発生ユニットが、
前記ドメインＺｐから２つのランダム数ｋ _１及びｋ _２を選択する選択ユニットと、
前記副仮名

を、前記選択されたランダム数ｋ _１及びｋ _２、前記一群の公開パラメータ及び前記主仮名Ｐprimeを用いて計算する計算ユニットと、
を有し、ここで、

である（ここで、

及びｋ ₂ ｋ ₂ ^-1 mod p＝１である）、ユーザ装置。
請求項１２に記載のユーザ装置において、
前記送信ユニットは、更に、前記副仮名Ｐpseu及び前記ＰＩＭを識別する識別子ＩＤserverを第三者装置に送信し、
当該ユーザ装置は、更に、前記副仮名Ｐpseuを前記送信ユニット及び前記受信ユニットを介して前記第三者装置と対話することにより認証する認証ユニットを有している、
ユーザ装置。
請求項１３に記載のユーザ装置において、前記認証ユニットが前記副仮名Ｐpseuの有効性を前記第三者装置と零知識証明を交換することにより認証するユーザ装置。
請求項１４に記載のユーザ装置において、前記認証ユニットは前記受信ユニットを介して前記第三者装置から質問メッセージを受信し、該質問メッセージは前記一群の公開パラメータ及び前記副仮名Ｐpseuに基づいて発生されると共に、

として表され、ここで：
ｔはドメインＺｐにおけるランダム数、即ちｔ∈Ｚｐであり；

であり；
Ｋsesは前記第三者装置により選択されたオリジナルのセッションキーであり；
Ｎａは前記第三者装置によりランダムに選択された質問内容であり；

は前記オリジナルのセッションキーＫsesにより前記質問内容Ｎａを暗号化することにより得られる暗号化された内容であり、
前記認証ユニットは、
セッションキーＫ^*sesを前記受信された質問メッセージに基づいて

なる式を用いて計算するセッションキー取得ユニットと、
前記暗号化された内容

を前記セッションキーＫ^*sesにより解読して、解読された内容Ｎa^*を得る解読ユニットと、
前記解読された内容Ｎa^*に対応する返答内容Ｎｂを所定の規則に従って選択すると共に、該選択された返答内容Ｎｂを前記セッションキーＫ^*sesにより暗号化して返答メッセージ

を得る暗号化ユニットと、
を有し、
前記送信ユニットは、更に、前記返答メッセージ

を前記第三者装置に送信する、
ユーザ装置。
ユーザがサービスを要求する第三者装置において、該第三者装置が、
ユーザ装置から副仮名Ｐpseu及び個人アイデンティティマネージャ（ＰＩＭ）を識別する識別子ＩＤserverを受信する受信ユニットと、
前記ユーザ装置に情報を送信する送信ユニットと、
前記識別子ＩＤserverに基づいて前記ＰＩＭから一群の公開パラメータを取得する取得ユニットであって、前記一群の公開パラメータは、

であり、ここで：
ｐは素数である一方、∂はドメインＺｐから選択されるランダム数であり；
Ｇ _１及びＧ _２は２つのｑモジュロｐ次の群であって、ｑは素数であり；
ｅ＾は双線形マップであって、

であり；
ｇは群Ｇ _１におけるランダム生成元であり;
Ｈ _２は一方向性ハッシュ関数であって、

である、取得ユニットと、
前記副仮名Ｐpseuの有効性を、前記一群の公開パラメータに基づいて前記送信ユニット及び前記受信ユニットを介して前記ユーザ装置と対話することにより認証する認証ユニットと、
を有する第三者装置。
請求項１６に記載の第三者装置において、前記認証ユニットは前記副仮名Ｐpseuの有効性を前記ユーザ装置と零知識証明を交換することにより認証する第三者装置。
請求項１７に記載の第三者装置において、前記認証ユニットは、
前記ドメインＺｐからランダム数ｔを選択すると共に、オリジナルのセッションキーＫses及び質問内容Ｎａを選択し、該質問内容Ｎａを前記オリジナルのセッションキーＫsesにより暗号化して、暗号化された内容

を得る選択ユニットと、
質問メッセージ

を、前記ランダム数ｔ、前記一群の公開パラメータ、前記副仮名Ｐpseu及び前記暗号化された内容

により発生する（ここで、

である）と共に、該質問メッセージを前記送信ユニットを介して前記ユーザ装置へ送信する質問メッセージ発生ユニットと、
前記受信ユニットを介して前記ユーザ装置から受信された返答メッセージ

を、前記オリジナルのセッションキーＫsesにより解読する解読ユニットであって、Ｋ^*sesは前記質問メッセージから前記ユーザ装置により計算されたセッションキーであり、Ｎｂは

から解読された質問内容に基づき所定の規則に従って前記ユーザ装置により選択された返答内容である解読ユニットと、
前記解読された返答内容Ｎb^*と前記質問内容Ｎａとの間で前記所定の規則が満足されるかを判定すると共に、該所定の規則が満足される場合に前記副仮名Ｐpseuが有効であると認証する判定ユニットと、
を有する第三者装置。
請求項１８に記載の第三者装置において、
前記送信ユニットは、更に、前記副仮名Ｐpseuを前記ＰＩＭに送信し、
前記受信ユニットは、更に、前記ＰＩＭから前記副仮名Ｐpseuに対応するユーザアイデンティティを受信する、
第三者装置。
請求項１６に記載の第三者装置において、該第三者装置が病院における医療システムである第三者装置。