JP6025160B2

JP6025160B2 - 二つで一つのパスワード

Info

Publication number: JP6025160B2
Application number: JP2015544660A
Authority: JP
Inventors: 榮治渡邊; 義浩関口
Original assignee: 榮治渡邊; メテオ—ラ・システム株式会社; メテオ―ラ・システム株式会社
Priority date: 2014-07-18
Filing date: 2014-07-18
Publication date: 2016-11-16
Anticipated expiration: 2034-07-18
Also published as: US20170237564A1; JPWO2016009570A1; WO2016009570A1; GB2546639A; GB201702568D0

Description

パスワード周辺に起きる犯罪の温床を一掃する「二つで一つのパスワード」と、そのログイン方法に関する。従来のログイン方法から脱却するパスワードの実装手段に関する。
［背景］

１．従来のパスワードの特徴
従来ＩＴの常識は「パスワードは一つ」である。「二つで一つ」というパスワードは無い。「パスワードは一つ」だから、サービス提供者はこのパスワードの登録を求める。登録パスワードは単なるデータである。このデータを狙ってサービス側を攻撃する事件は規模が大きいし、今もどこかで起きている。

従来のログイン機構は、表向き、ハッシュ関数を用いて二つのパスワードを運用しているように見える；図１の１０と２０は互いに「≠」である。
しかし、ハッシュ方式も「パスワードは一つ」である；
［数２］はトートロジーである。これでサービス提供者側はアクセス制限を試みる；図１の３０の通りである。第２パスワードを設けても、それがトートロジーを改善することはない。

サービス提供者側はトートロジーでアクセス制限を行うから、サイバー攻撃に別の武装手段が必要になる、それには相当な費用を掛ける。それはＩＴ業界が他の産業に当然のごとく請求しＩＴ業界の収入源であり、ユーザには見えないコストである。そのＩＴを導入したサービス提供者は訴訟リスクを抱え込む。もしも、トートロジーに依存しない（ｓｔａｔｅｌｅｓｓ）、実装の容易なログイン方法が有るなら、ＩＴ業界のリストラを避けられない。

２．責任分解点の欠如
表に出ない隠れた事件が有る。それは「パスワードは一つ」だからユーザとサービス側はパスワードを共有する；情報を共有すれば、サービス側が責任を負うハメになる；トートロジーだから二者の間に責任分解点が無い；訴訟を起された時、被告側は反証を示せない。これが法外な訴訟額を提示する誘惑の引き金である。サービス提供者は「賠償金」を払うしか事業継続の手が無い。

ソニーエンタープライズは、２０１１年の事件以来、１千億近い訴訟費用をバラ撒いて来た。こういう現実が有るにも拘わらず、トートロジーでアクセス制限を行う以外のロジックが今のところ無い。

３．本格化するＭＩＴＢ攻撃［非特許文献参照］
不正送金の被害が最近増えている。オンラインバンキングのＰＣに侵入したマルウェアは、人が特定のページにアクセスした時だけ動作する；Ｗｅｂページの表示を改ざんし、ＩＤやパスワードが入力されるや否や、即時、送金先口座を変更してしまう。これはＭＩＴＢ「Ｍａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ」攻撃と名付けられた。支払いカード専門のウイルスをフィッシングと言う。どちらも技術面の対策は無いと言われている。［非特許文献参照］

ウイルスがやることだから、ブラウザー利用者にもサービス側管理者にも見抜くことは難しい。ウイルスのターゲットになっている現在のログイン方法には以下の特徴が有る；
１）トートロジーでアクセス制限を行うこと、
２）そのパスワードにアクセス権限を与えていること、
３）トートロジーでアクセス制限を行わねばならないサービス提供者に対して、ユーザ側にはパスワードの利用制限を設けた；パスワードの入力インターフェースを所定の画面に設けねばならない。
この三つの要因でＭＩＴＢもフィッシングもブラウザーの中で完結してしまう。この三つの要因が現在のログイン方法の特徴である。

ウイルスはブラウザーに取り付きせすれば、ページの改ざん、盗聴、データの書き換え、送信作業を完結する。

Ｇｏｏｇｌｅ（登録商標）の２ステップ検査のイメージ図（図２参照）を見てみよう。通常のユーザ名とパスワードに加えてワンタイムパスワードを所定の画面に入力する。ワンタイムではあるが、やっていることはトートロジーでアクセス制限を行うものだから、やはり、「パスワードは一つ」である。

ワンタイムパスワード、生体情報、Ｘ．５０９証明書、相互認証、これら従来の技術を総動員してもパスワードを使えば「パスワードは一つ」になる；トートロジーでアクセス制限を行うことに変わりない。

ＰＣＴ／ＪＰ２０１１／００５８３０”人に依存しない鍵管理のシステム”
ＰＣＴ／ＪＰ２０１３／６８１８１”非対称パスワード、非対称な認証コード、非対称な検査コード”

本格化するＭＩＴＢ攻撃；ｈｔｔｐ：／／ｗｗｗ．ａｔｍａｒｋｉｔ．ｃｏ．ｊｐ／ａｉｔ／ａｒｔｉｃｌｅｓ／１４０４／０４／ｎｅｗｓ１１０．ｈｔｍｌ
［発明の開示］

ウイルスがブラウザーに取り付きさえすれば［０００９］、パスワードのアクセス権限を奪い、ページの改ざん、データの書き換え、送信作業を完結する。所定画面の取引データの入力インターフェースとパスワードの入力インターフェースを分離する必要がある；これがセキュリテイ要件である。

前記課題に関連して、送金決済前に取引確認を実施する、そのようなＭＩＴＢ対策が既に有る；ＩＢＭ（登録商標）の「ＺＴＩＣ」とＶＡＳＣＯＤａｔａＳｅｃｕｒｉｔｙ（登録商標）の「ＤＩＧＩＰＡＳＳ（登録商標）」である。これら既存の手段には難点がある；従来のログイン機構の外付けとし機能し、ログイン機構の内側では機能しない。一般のユーザには無縁である。［非特許文献参照］。

手段１
ブラウザーにウイルスが取り付いて、ブラウザーの所定の画面をウイルスが監視するのは容易であり、又、任意端末にウイルスが取り付いて、その端末の所定の画面をウイルスが監視するのは容易であり、それ故、パスワードの入力インターフェースを所定の画面から分離するログイン方法を確立するために、
互いに圧倒的な確率で異なる二つの暗号（コード）群を用意し、すなわち、［数３］のコードＣｉとＣｊを創る認証サーバを備え、
ユーザとサービス提供者側は前記コードＣｉとＣｊをパスワードＣｉとＣｊとして用いる一方、前記認証サーバは任意のコードＣｉとＣｊが二つとも揃った時に限り、［数３］の暗号を解除しようと試みる機能を備え、
このように任意のコードＣｉとＣｊが「二つとも揃う」という暗号解除の条件の下に、所定の画面に入力しなければならないというパスワードに対する従来の利用制限を取り除いたこと、及び、
［数３］のコードＣｉとＣｊのどちらか一方をパスワードとして携帯端末または携帯メモリに記録し所持すること
を特徴とする「二つで一つのパスワード」システムである。

手段２
請求１記載の携帯端末または携帯メモリのパスワードＣｉとＣｊのどちらか一方を認証サーバへ送る通信セッションは適用業務のセッションＩＤ（パケットが運ぶ乱数）を引き継ぐこと
を特徴とする「二つで一つのパスワード」システムである。

手段３
手段１記載の認証サーバは鍵の知識分割を実装し、パスワードＣｉとＣｊを生成することを特徴とする；すなわち、
鍵の知識分割の実装とは
二つの一方向関数Ｙ_１（）とＹ_２（）を備え、鍵データＫについて下記［数４］の計算を行い、その値を前記［数３］のパスワードＣｉとＣｊの値にする一方、
前記パスワードＣｉとＣｊを携帯端末または移動メモリとサービスサーバ側のメモリに記録した直後に、前記鍵データＫをシステムから消去して、前記鍵データＫを入手不可能にすることである；なお、鍵の知識分割はＰＣＩＤＳＳ（非特許文献）に由来する用語である。

手段４
手段１の認証サーバは、
手段３記載の二つの一方向関数Ｙ_１（）とＹ_２（）のトラップドアを利用する手続きを備え、
前記［数３］のパスワードＣｉとＣｊの二つが揃った時に限り、前記トラップドアを使って［二つが一つに成る確率］を計算する確率計算手段［数７］を備え、
［二つで一つに成る確率］＝１．０の時にはユーザ側とサービスサーバ側の両者に認証通知を返し、
［二つで一つに成る確率］〈〈１．０の時には両者にエラー通知を返すこと
を特徴とする；なお、Ｙ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）は一方向関数Ｙ_１（）とＹ_２（）のトラップドアである。

図１は、表向き二つのパスワード、Cj=h(P)≠P、を説明する図である。図２は、Google の２段階認証(two steps verification）のイメージを示す。図３は、二つで一つのパスワードの実装形態を説明する図である。図４は、ログイン機構の内部で実現するMITB対策を説明する図である。図５は、人の職務分離を根拠にした「鍵の知識分割」のフレームワークである。図６は、運用中の「鍵の知識分割」のフレームワークである。図７は、初期化の実装形態である。図８は、[数5]の実装形態である。図９−１は、MFKの暗号トポロジーである。図９−２は、常識的な暗号トポロジーである。

［手段１記載のログイン方法］
ブラウザーにウイルスが取り付いて、ブラウザーの所定の画面をウイルスが監視するのは容易であり、又、任意端末にウイルスが取り付いて、その端末の所定の画面をウイルスが監視するのは容易であり、それゆえ、パスワードの入力インターフェースを適用業務の所定の画面から分離するログイン方法を確立することが急務である。図３に、パスワードがブラウザーの通信セッション又は任意端末の通信セッションを経由しないログイン方法を図解する。

前記ログイン方法は、大きく分けて、三つのネットワークセグメントから成る；ＰＣセグメント（１）４２とサービス・サーバセグメント（２）４１と認証セグメント（３）４０である。

図３の主要な構成要素は以下の通りである；記号Ｓはサービスサーバ３２を、ＰＣはパソコン３１を、記号Ｍはスマートフォン３５を、それぞれ代表する。パソコン３１とサービスサーバ３２を終端点にするアプリケーションの通信セッション３３と、携帯端末３５と認証サーバ３６を終端点にするパスワードの通信セッション３４と、［３］式の二つのコードＣｉとＣｊが有る。
［３］の内のコードＣｉを携帯端末あるいは携帯メモリに所持し、コードＣｊの方をサービスサーバが持ち、両者がコードＣｉとＣｊをパスワードとして用いるシナリオを進める。

図３のパスワードの通信セッションは、スマートフォン３５が持つパスワードＣｉと認証サーバ３６間の経路《１》と、サービスサーバ３２が持つパスワードＣｊと前記認証サーバ３６の間の経路《３》と、前記経路《１》と経路《３》のタイミングを揃える経路《２》と、少なくも経路《１》と《２》と《３》から構成される。

［ログイン時におけるパスワードの入力画面が無い］
人がパソコン３１にユーザＩＤを入力すると、従来通り、画面転換するが３７、そこにパスワードの入力画面が無い。なお、ユーザＩＤはカード挿入に依る場合も有る。

従来のパスワード入力画面に代わって、本願の実装は、適用業務の通信セッション３３のセッションＩＤを表示する画面３７に転換する；この表示形式はＱＲコード（登録商標）３８である。

［手段２記載のセッションＩＤ］
パスワードの入力画面に代わって、前記ＱＲコード３８が出現する。スマートフォン３５が前記ＱＲコード３８を読み取る。１秒程度の作法である。セッションＩＤはパケットが運ぶ乱数である。

［パスワードの通信セッション］
前記セッションＩＤを引き継いで、［３］式のコードＣｉとＣｊの入力をブラウザーの通信セッションと独立のパスワードの通信セッションで実現する。通信セッションとは同一のアドレス間伝送路または、同一のポート間の伝送路のことである。このＱＲコード３８でセッションＩＤを受け取ったスマートフォン３５は経路《１》で前記パスワードＣｉを認証サーバ３６に送信する。

前記パスワードＣｉの経路《１》はブラウザーの伝送経路ではない。手段１記載の「所定の画面に入力しなければならないというパスワードに対する従来の利用制限を取り除いた」伝送経路である。パスワードの通信セッションが創る伝送経路である。

前記二つの通信セッションが独立であるから、「携帯端末または携帯メモリのパスワードＣｉを認証サーバへ送る通信セッションは適用業務のセッションＩＤを引き継ぐ」必要がある、これが手段２である。

［手段１と手段２の達成するセキュリテイ］
その効果はパスワード周辺に起きる犯罪の温床を一掃する。以下の通りである。

１．パスワード流出事件への耐性＿サービス側のリスクを消す＿
前記スマートフォン３５はパスワードＣｉを持つ一方、前記サービスサーバ３２はもう一つ方のパスワードＣｊを持つ。前記サービスサーバ３２のパスワードＣｊがサイバー攻撃の的である。このＣｊが流出して、任意のスマートフォン３５がこれを持ち、経路《１》を経由して認証サーバ３６に入ったと仮定してみよう。そうすると、
認証サーバ３６は（２）を検査する。これはトートロジー［数２］と同一である。［数２］のトートロジーには認証サーバ３６はエラーを返す（［数３］のコードＣｉとＣｊではないから）。

前記エラーの返送は「二つのコードＣｉとＣｊ」のロジック自体がエラーを返していることに注目する。スマートフォンを偽造しても認証サーバ３６はエラーを返す。

２．責任分解点の存在＿訴訟リスクを消す＿
認証サーバ３６はトートロジー（２）に対してはエラーを返す。トートロジー（２）は元々責任分解点を持たない。

他方、［数３］は責任分解点のロジックそのものである。二つのコードＣｉとＣｊそれぞれを二者がパスワードとして持つことによって、持った瞬間に、二者の責任が分解されてしまうのである。サービス側の訴訟リスクが消える。

３．認証セグメント（３）にパスワードファイルが無い＿サービス提供者のコスト低減＿
サービスサーバ３２はもう一つ方のパスワードＣｊが流出しても無害である。ということはパスワードファイルを持たないことに等しい。

認証サーバは単にデータの流れを処理するだけの装置になる。したがって、サービス提供者側に掛かる実装や運用のコストは極めて軽くなる。

４．取引確認をログイン方法の内部に含める＿本格化するＭＩＴＢ攻撃への対策＿
手段２の「パスワードＣｉの通信セッションが適用業務の通信セッションのパケットが運ぶセッションＩＤ（乱数）を引き継いだこと」の効果を図４に示す；これはＭＩＴＢ攻撃への対策である。すなわち、送金口座と金額データ４１をサービスサーバ３２が受け取ったら、それをスマートフォン３５にフィードバックして、ユーザに取引の確認をさせるものである。

今回の画面転換３７は、送金口座と金額を入力する画面である。サービスサーバ３２が送金口座と金額データ４１を受け取ったら、セッションＩＤをＰＣ（適用業務の）３１に与え、同時に送金口座と金額データ４１をバッファに保存する。

スマートフォン３５はセッションＩＤ３８を引き継ぐ。この後、サービスサーバ３２がバッファに保存している取引データを経路《３》と《４》経由でユーザに通知する。当然、認証４２と４３の事象として取引データをユーザに通知する。

送金口座と金額データがスマホに表示される。ユーザがＰＣ上の確認操作を行えば、承認通知４４がサービスサーバ３２に届く。

このように、経路《１》と《２》と《３》と《４》と《５》を使って取引確認をログイン方法の内部に含める事が出来る。従来の対策［００１６］は、例えばＩＢＭ（登録商標）の「ＺＴＩＣ」やＶＡＳＣＯＤａｔａＳｅｃｕｒｉｔｙ（登録商標）の「ＤＩＧＩＰＡＳＳ（登録商標）」はログイン方法の外付けにする手段である一方、本願の「パスワードＣｉの通信セッション」はログイン方法の内部に含まれる。
［手段３と手段４の実装例］

本願の認証サーバは、ＰＣＩＤＳＳバージョン１．２．１が求めた「鍵の知識分割」に由来する。手段３と手段４はその「鍵の知識分割」の実装を矛盾なく可能にする手段である。
１．ＰＣＩＤＳＳが求めた鍵の知識分割
初めに、「鍵の知識分割」について説明する。「鍵の知識分割」はＰＣＩＤＳＳ（［非特許文献参照］）に由来する用語である。

業界団体ＰＣＩＳＳＣ^注１は、運用中の鍵を二つの鍵に知識分割し、その二つが揃えば、鍵の働きが復活する、そういうリスク管理を求めた、２００９年６月のＰＣＩＤＳＳバージョン１．２．１である。以下原文に明らかである；
・ＰＣＩＤＳＳｖ１．２．１Ｒｅｑｕｉｒｅｍｅｎｔｓ３．６．６”Ｓｐｌｉｔｋｎｏｗｌｅｄｇｅａｎｄｅｓｔａｂｌｉｓｈｍｅｎｔｏｆｄｕａｌｃｏｎｔｒｏｌｏｆｃｒｙｐｔｏｇｒａｐｈｉｃｋｅｙｓ”
・ＴｅｓｔｉｎｇＰｒｏｃｅｄｕｒｅｓｖ１．２．１”Ｖｅｒｉｆｙｔｈａｔｋｅｙｍａｎａｇｅｍｅｎｔｐｒｏｃｅｄｕｒｅｓａｒｅｉｍｐｌｅｍｅｎｔｅｄｔｏｒｅｑｕｉｒｅｓｐｌｉｔｋｎｏｗｌｅｄｇｅａｎｄｄｕａｌｃｏｎｔｒｏｌｏｆｋｅｙｓ”
注１；ＰＣＩＳＳＣ；ＰａｙｍｅｎｔＣａｒｄＩｎｄｕｓｔｒｙＳｅｃｕｒｉｔｙＳｔａｎｄａｒｄｓＣｏｕｎｃｉｌ

ＩＴ業界はこの要件に困惑した、すなわち、運用中の鍵を複数に分けるなどということは出来ない相談である、という現実があったからである。

この現実を見てＰＣＩＳＳＣ^注１は、要件に記載されている通りでなくても、リスク分析を行い対策が施されている、と判断した場合には「代替コントロール”ＣｏｍｐｅｎｓａｔｉｎｇＣｏｎｔｒｏｌｓ”」としてＰＣＩＤＳＳ対応済みにする、という配慮をした。が、結局、現在ではバージョン１．２．１の要件３．６．６の実装を断念して、バージョン２．０に改定した。（Ｏｃｔｏｂｅｒ２０１０）

前記改定バージョン２．０の要件３．６．６は「運用中の鍵の知識分割」ではなく、人の職務分離に基づき人の手で行う「鍵の知識分割」である。以下、原文に明らかである；”Ｉｆｍａｎｕａｌｃｌｅａｒ−ｔｅｘｔｃｒｙｐｔｏｇｒａｐｈｉｃｋｅｙｍａｎａｇｅｍｅｎｔｏｐｅｒａｔｉｏｎｓａｒｅｕｓｅｄ，ｔｈｅｓｅｏｐｅｒａｔｉｏｎｓｍｕｓｔｂｅｍａｎａｇｅｄｕｓｉｎｇｓｐｌｉｔｋｎｏｗｌｅｄｇｅａｎｄｄｕａｌｃｏｎｔｒｏｌ”

この実体は運用中の「鍵の知識分割」ではなく、人の職務分離を基にした「鍵の合成」である。図５に示す。

例えば、二人の管理者が所持している鍵素材を合成し、オフラインからオンラインに設定する；図５に「文書化された管理プロセスおよび手順」５１として要件３．６を表現した。人の手で合成するということを太い点線５２と５３で表現している。

上述のように、２０１４年現在、運用中の「鍵の知識分割」は未だ実施不可能の扱いを受けている。

２．鍵の知識分割の実装の手段
鍵の知識分割の実装を想像することは難解である。が、図５の「鍵の合成」フレームワークを基に、そこに情報科学の知恵を加えれば、その実装の形態が姿を現して来る。

まず、図５の５１「文書化された管理プロセスおよび手順」を図６の６１「二つの一方向関数Ｙ_１（）とＹ_２（）」に置き替える。次に、図５の「人の手」５２と５３の矢印を逆向きにして図６の「オンライン」６２と６３に置き替える。この図６が「運用中の鍵の知識分割」フレームワークになる。二つの一方向関数Ｙ_１（）とＹ_２（）の導入が図５の幾何学に補助線を引いたような効果をもたらす。

図６において、鍵Ｋ６４はアプリケーションが参照するオンライン上に在る。鍵Ｋ６４を二つの関数Ｙ_１（）とＹ_２（）に入力し；
［数４］を計算する；鍵Ｋ６４はコードＣｉとコードＣｊに姿を変え、メモリ６５と６６に記録され、各々を管理者ＡとＢが所持する。

鍵K 64はコードCiとコードCjに姿を変えた。その二つがパスワード（知識分割）であると言えるためには鍵K 64をシステムから消去する必要がある。

そうすれば、二つの一方向関数の出力について、管理者ＡとＢは互いに相手のコードを知り得ない。それで、手段１記載の［数３］が圧倒的な確率で成立するのである；
互いに相手のコードを「知り得ない」というのは定義ではなく、圧倒的な確率の性質である。圧倒的な確率を担保するために、コードＣｉとＣｊのビット長さを１２８ビット以上にする。

鍵Ｋ６４をオンラインから消去するタイミングは、前記コードＣｉとＣｊをメモリ６５と６６に記録した時である；前記コードＣｉとＣｊだけがシステムに残る。

鍵の知識分割においてはオンラインから消去する機能をＭａｋｅ−ｐａｓｔ（）という記号で表わす；
この等式は「消去された鍵Ｋが過去の世界に存在する」ことを表現する；端的に言えば、消去されたが「過去の世界には存在する」。

以上の［数３］と［数４］と［数５］が運用中の鍵の知識分割に関する数理科学上の定義である。

３．鍵の知識分割の実装の形態
[数3]と[数4]と[数5]の実装の形態が、実は、図３のパスワードの通信セッション34である。すなわち、手段１記載の認証サーバは、運用中の「鍵の知識分割」を備えることが請求されている。その実装の形態が図３の経路《1》と《2》と《3》と《3》と《4》に依って表現されるものである。

図７と図８に実装の形を示す；図７は手段４記載の鍵データＫの知識分割を表現する、図８の方は手段４記載の確率計算手段を表現する。

確率計算手段には一方向関数のトラップドアが用いられる。その一方向関数とトラップドアを実現する手段そのものについては請求をしていない。何故なら、どのような手段にしろ、図３のアプリケーションの通信セッション３３と独立なパスワードの通信セッション３４に実装する手段であるから、請求の必要が無い。パスワードの通信セッション３４はログイン方法（手段１）とセッションＩＤ（手段２）の実装の結果である。なお、実現方法を［書類２］に記載した。

［鍵データＫの知識分割＝初期化］
図７のユーザの記憶パスワード”ｐａｓｓｗｏｒｄ”を経路《１》経由で認証サーバへ送付し、サービスサーバは経路《３》経由で比較的に長い乱数”ｒａｎｄｏｍ”を認証サーバへ送付する。
前記認証サーバは［６］式を計算する。このＫが鍵データである。この鍵データＫを知識分割３６に与え［数４］、そのコードＣｉとＣｊを経路《４》と経路《５》経由で、図３の３５と３９のメモリに保存する。左記を初期化という。初期化の直後に、前記鍵データＫは消去される。それは［００５５］に記載したように、
この等式は鍵データＫを「過去の世界に隠した」、だから「過去の世界に存在する」という意味である。記憶パスワード”ｐａｓｓｗｏｒｄ”と鍵データＫを保存する備えはシステムの何処にも無い。しかし、鍵データに関する限り「過去の世界に存在する」。なお、この図にはセッションＩＤの機能を省略している。

以上の開示は、記憶パスワード”ｐａｓｓｗｏｒｄ”とその鍵データＫが姿を変え、パスワードＣｉとＣｊに成ったということの内容である。

［過去の世界に存在する鍵データＫの利用］
鍵データＫは「過去の世界に存在する」。その利用の手続きが手段４である；「パスワードＣｉとＣｊから鍵データＫを再現するトラップドアの利用手続きを備える」；その手続きを図８に示す。トラップドアとは一方向関数Ｙ_１（Ｋ）とＹ_２（Ｋ）の「逆関数値を求める隠されたドア」の意である。

手段１の認証サーバは、手段３記載の二つの一方向関数Ｙ_１（）とＹ_２（）のトラップドアを利用する手続きを備える。この手続きの形態を以下に示す。

スマホ３５のパスワードＣｉを経路《１》経由で認証サーバ３６へ送り、同じく、サービスサーバ３２のＤＢ３９のパスワードＣｊを経路《３》経由で認証サーバ３６へ送る。二つが揃った時、その時に限り、それぞれのトラップドア８２（下向き矢印）の利用を許可し「二つが一つに成る確率」を計算する。

一方向関数Ｙ_１（Ｋ）とＹ_２（Ｋ）の逆関数をＹ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）と表記する；一方向関数には存在してはならない関数であるのでトラップドアと言う。［数７］にトラップドア８２（下向き矢印）の利用から「二つが一つになる確率計算」手段８３を示す；

二つのパスワードＣｉとＣｊが揃った時に、認証サーバはトラップドアの利用を許可し、Ｙ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）を計算する。トラップドアの利用は無条件には出来ない。二つが一つに成るとは次の計算式［７］の［＝Ｋ］８３の部分である：
逆関数Ｙ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）が鍵データＫになる確率＝１．０の時には、ユーザ側とサービスサーバ側の両者に認証通知を返し、確率〈〈１．０の時には両者にエラー通知を返す。

従来のトートロジーでは、二つが元々一つである；［数２］より、
流出したパスワードをクラックして（２）式へ投げ込むと、アクセス制限（２）を騙すことが出来る。本願の場合の（２）式は、［００３２］から引用すると、下記の通りである；
これの［数７］の［７］式を計算すると、［二つが一つに成る確率］〈〈１．０の扱いに入る。エラー通知が返送される。

［７］式の［＝Ｋ］８３の部分について、パスワードＣｉとＣｊのビット長を１２８ビットとした場合、パスワードＣｉとＣｊの組み合わせ数は、［２^１２８＊２^１２８］個になる。その内、
〈１〉［２^１２８＊２^１２８−１］個がエラーになる；［２^１２８＊２^１２８−１］個のパスワードＣｉとＣｊの組みは、逆関数Ｙ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）を利用できなかった；つまり、一方向関数の性質は担保されていた、ということである。
〈２〉トラップドアの利用に成功したのはたった一組のコードＣｉとＣｊである。そのコードＣｉとＣｊを所持する者達が認証の対象である。

この後、認証サーバ３６は認証通知８１を受け取ったら、サービスサーバ３２の方はＡＣＫ８４をＰＣ３１に送付する。

なお、一方向関数とそのトラップドアそのものの数理については請求していない。その参照については、後述する［先行技術との対比］に回した。
［発明の効果］
１．「責任分解点の存在」…二つで一つのパスワードを持つだけで、ユーザとサービス事業者の間に責任分解点を与える。
２．「訴訟リスクゼロ％」…責任分解点の存在証明に依り、訴訟を起す側が不利になる。
３．「ウイルス対策」…パスワードの入力インターフェースが業務端末には無い；それで、ウイルスの活動は制限される。
４．「維持管理コスト不要」…パスワードの維持管理コストが不要である。
５．「パスワードのバックアップ不要」…初期化の連鎖を創り、認証サーバへのパスワード入力をワンタイムにすることが可能である。パスワードのバックアップは不要である。
６．「システムダウン時の切り替え時間」…認証サーバは単にデータの流れを処理している装置である、つまり、ＤＢが無い分、システムダウン時の切り替え時間は問題に成らない。
７．「通信インフラのバックドア」…”ＨＵＡＷＥＩ”などの「バックドア」でも、パスワードＣｉとＣｊの二重コントロールを破ることは出来ない。
８．「情報は漏えいしない」…データセンターやクラウドの管理者のＩＤやパスワードが何らかの事件で漏洩したり、悪用されることが有る。例えば、下請けＳＥにもパスワードを持たせる；そうしないと業務が止まるという場合、パスワードＣｉとＣｊの一方を本社スタッフが持ち、他方を下請けに持たせるスキーム（ミドルウエア）にすれば、２人の管理者またはユーザのパスワードが「同時に」事件に絡むことは困難になる。犯罪の抑止力である。
９．「パスワードの革新事業」…現状のログイン方法を革新する。
［先行技術との対比］
ＩＴ業界は、［００４３］の記事に見えるように、ＰＣＩＤＳＳが求めた運用中の「鍵の知識分割」を敬遠したままである。鍵の知識分割の実装を想像することは難解である。しかし、［００５２］の開示に依れば、図５をヒントにして、その実装の形態が姿を現して来る。

［暗号学的な分割と利用は互いに矛盾する］
すなわち、鍵の知識分割は、二つの一方向関数Ｙ_１（）とＹ_２（）で実装されることが判ったが、その狙いは、鍵データＫを二つの一方向関数で暗号学的に分割してから利用することに在る。ＰＣＩＤＳＳの用語を用いれば、「鍵の二重コントロール下の利用」が目的である。

一方向関数の性質から、その分割と利用は互いに矛盾する。つまり、一方向関数Ｙ_１（）の逆関数値Ｙ_１ ^−１（Ｃｉ）が一意に決まるなどのことは有っては成らないことである。鍵の知識分割と二重コントロール下の利用は互いに矛盾する。この矛盾こそ「ＩＴ業界を困惑させる」に十分であった。これが代替えコントロールの出番になった原因である。

その分割と利用の矛盾を救った数理が有る。それが［数７］の「二つが一つになる確率計算」［７］である。それに依れば、［００６９］〈１〉パスワードＣｉとＣｊの組み合わせの数、［２^１２８＊２^１２８−１］個は逆関数Ｙ_１（Ｃｉ）^−１とＹ_２ ^−１（Ｃｊ）を利用できなかった；つまり、一方向関数の性質を担保したのである。鍵の知識分割と二重コントロール下の利用の矛盾の解消がここに実現を見たのである。

上述の確率計算手段［７］を請求４に含めているが、一方向関数とトラップドア（逆関数）そのものの暗号学的な手段については請求していない。確率計算手段［７］は「ＩＴ業界の困惑」を救済するに十分な力を持っているからである。一方向関数とトラップドア（逆関数）の矛盾を解消した確率計算手段［７］がＰＣＩＤＳＳに貢献する新規性である。

［先願ＰＣＴ／ＪＰ２０１１／００５８３０との対比］
先願”人に依存しない鍵管理のシステム”（以降ＭＦＫと参照する）は「受信者側にも復号鍵の備えが無い」異様なネットワークである；従来の暗号通信は、復号鍵を伴うことが常識である；復号鍵の備えが無いことは、受信者に意味が伝わらない、全く役に立たない代物である。参照されたＯＮＩＯＮにしろ、必ず受信者側に復号鍵や復号手段が存在する。復号鍵が無ければ、誰もＴｏｒ（トーア、ＴｈｅＯｎｉｏｎＲｏｕｔｅｒ）に金を払う者は居ない。しかし、Ｔｏｒは実用化されている。その常識とＭＦＫとの対比を図１０−１と図１０−２に図解した。

受信者側に復号鍵が存在しないことは、受信者から見れば、届いた暗号は一方向関数の出力に等しい。先願のネットワークは仮想化技術で容易に一台のサーバに実装される。そういう点で本願の実装に役立ったが、他の手段でも本願の実装は可能かも知れない；もし、前記「分割と利用の矛盾」を克服できるなら。それ故、一方向関数とトラップドア（逆関数）の暗号学的な手段については請求をしない。
［適用分野］
全産業

Claims

任意端末の所定画面を通じて適用業務に係るサービスサーバにログインするためのパスワードの入力インターフェースを前記所定画面から分離するログイン方法を実装するネットワークシステムにおいて、
前記ネットワークシステムは、前記任意端末が属するクライアントセグメント(1)と、前記サービスサーバが属するサービスセグメント(2)と、認証サーバが属する認証セグメント(3)とで構成され、
前記ネットワークシステムの前記任意端末は、
前記適用業務にログインするための通信セッションのセッションIDを取得する機能を有し、
前記ネットワークシステムの前記認証サーバは、
[数3]に示す互いに圧倒的な確率で異なる二つの暗号（コード）CiとCjを創る機能を有し、
[数３]
コードCi≠コードCj -----[3]
前記[数３]のコードCiとCjのどちらか一方(Ci)をクライアントセグメント側の携帯メモリに記録し、他方(Cj)を前記サービスセグメント(2)側のメモリに記録する一方、
前記ログインに際し、
前記携帯メモリに前記セッションIDを引き継ぎ、前記適用業務の通信セッションと独立な通信セッションを使って、前記クライアントセグメント(1)側のメモリに記録したコードCi又はCjの一方(Ci)の前記認証サーバへの送信と、
前記サービスセグメント(2)側のメモリに記録したコードCi又はCjの他方(Cj) の前記認証サーバへの送信と、
前記認証サーバーへのCi又はCjの送信を同時に前記認証サーバに集める二重コントロールの下に、
前記認証サーバーは、コードCiとCjが[二つで一つになる確率]を計算し、
確率=1.0の時には、前記クライアントセグメントと前記サービスセグメントに認証通知を返し、
確率<<1.0の時には、両者にエラー通知を返す
ことを特徴とする知識分割に依る鍵データの消去と二重コントロール下の利用のシステムである；
なお、前記認証サーバは、以下の「鍵データＫの知識分割」を実装する；
すなわち、
二つの一方向関数Y₁()とY₂()を備え、任意鍵データKについて[数4]の計算を行い、その値を前記[数3]のコードCiとCjの値にする一方、
[数４]
Ci= Y₁(K) -------[4]
Cj= Y₂(K) -------[5]
前記コードCiとCj各々を前記クライアントセグメント(1)側の携帯メモリと前記サービスセグメント(2)側のメモリに記録した直後に、前記任意鍵データKを消去して前記任意鍵データKを入手不可能にする「鍵データKの知識分割」である。
なお、前記コードCiとCjが[二つで一つになる確率]とは、下記[数７]の関係が成立する確率である。
[数７]
Y ₁ ^-1 (Ci)=Y ₂ ^-1 (Cj)=K
請求項１記載の認証サーバの備える計算によって決定する手段は、
前記コードCiとCjの二つから請求項１記載の鍵データKを再現する[数４]一方向関数Y₁()とY₂()のトラップドアを利用する手続きと、
前記[数3]のコードCiとCjの二つが揃った時に限り、前記二つのコードが一つに成る確率計算手段[数7]と
を備え、
[数７]
Y₁ ^-1(Ci)=Y₂ ^-1(Cj)=K ----------→[二つが一つに成る確率計算式]
[二つで一つに成る確率]=1.0------[認証通知]
[二つで一つに成る確率]<<1.0---→[エラー通知]
[二つで一つに成る確率]=1.0の時には、すなわち、前記確率計算式を確率=1.0で満たす時には、前記クライアントセグメント(1)側と前記サービスセグメント(2)側の両者に認証通知を返し、
[二つで一つに成る確率]<<1.0の時には、すなわち、前記確率計算式を確率<<1.0で満たす時には、両者にエラー通知を返すこと、
を特徴とする知識分割に依る鍵データの消去と二重コントロール下の利用のシステムである：ここで、[数７]確率計算式の中の計算式Y₁ ^-1(Ci)=Y₂ ^-1(Cj)が前記一方向関数Y₁()とY₂()のトラップドアの存在を示す。