JPH02181537A - 利用者認証方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、情報通信システムにおいて、送信者の身元を
確認する利用者認証方式に関する。

〔従来の技術〕

従来、認証方式の代表的なものとしては、Ｒ８Ａ暗号系
を利用した方式がある。Ｒ８Ａ暗号系は、例えばＣｏｍ
ｍｕｎｉｃａｔｉｏｎ　ｏｆ　ｔｈｅ　ＡＣＭ、　Ｖｏ
ｌ、　２ｉｓ　＆２ｔ　ｐｐ−１２０〜１２６　（１９
７８）においてＲｉｖｅｓｔ、　Ｒ，Ｌ、らにより”Ａ
　Ｍｅｔｈｏｄ　ｆｏｒＯｂｔａｉｎｉｎｇ　　Ｄｉｇ
ｉｔａｌ　　Ｓｉｇｎａｔｕｒｅｓ　ａｎｄ　　Ｐｕｂ
ｌｉｃ−Ｋ　ａｙ　Ｃｒｙｐｔｏｓｙｓｔｅｍｓ”と題
して詳述されているが、その概要は以下の通りである。

利用者Ａは、署名用鍵（ｄ、Ｎ）と検査用鍵（ａ、Ｎ）
を Ｎ＝ＰＸＱ ｅＸＤミ１　　（ｓｏｄ　Ｌ） たゾし、Ｌ＝ＬＣＭ　（（Ｐ−１）、（Ｑ−１））をみ
たすように生成し、検査用鍵を公開し、署名用鍵を秘密
を管理する。こ＼で、ＬＣＭ（ａ、ｂ）は整数ａとｂの
最小公倍数を表して、ＰとＱは相異なる２つの大きな素
数とする。また、ａミｂ（ｎｏｄ　Ｌ）は、ａ−ｂがＬ
の倍数であることを表す。

認証者Ｂは、利用者の検査用１！（ｅ、Ｎ）を個人識別
情報（ＩＤ）と組合わせて検査用鍵ファイルとして管理
する。

署名関数りと検査関数Ｅを Ｄ　　（Ｐ）＝Ｐ　’（ｎｏｄ　　Ｎ）Ｅ　　（Ｃ）＝
Ｃ”　（ｓｏｄ　　Ｎ）で定義すると、０≦Ｐ≦Ｎをみ
たす整数Ｐに対して Ｅ　　（Ｄ　　（Ｐ）　　）　　＝ｐ が成り立つことが示せる。こ−で、ａ　（ｓｏｄ　Ｎ）
は、ａをＮで割ったときの余りを表す。

Ｒ５Ａ暗号系は、Ｎが大きいときＮの素因数分解が困難
なことに安全性の根拠を持つ暗号系であり、公開された
検査用鍵（Ｎ、ｅ）から秘密の署名分備のｄ成分を求め
ることは困難である。このＲ８Ａ暗号系を利用した認証
方式は以下の通りである。

利用者Ａは、一方向性関数ｆを用いてＭから生成したｆ
　（Ｍ）に対して、秘密の署名関数りを適用してＣ＝Ｄ
　（ｆ　（Ｍ）　）で署名文Ｃを生成し。

個人識別情報ＩＤとＭと署名文Ｃの組合せを（より、Ｍ
、Ｃ）を署名文として認証者Ｂに送信する。

認証者Ｂは、よりをキーに検査用鍵ファイルを検索して
検査関数Ｅを求めて、署名文ＣからＥ（Ｃ）で復号文を
求め、Ｍから求めたｆ　（Ｍ）と一致するか検査する。

　Ｅ　（Ｃ）　＝ｆ　（Ｍ）が成り立てば、Ｄを知って
いるのは真の利用者Ａだけなので、送信者が本物であり
、（ＩＤ、Ｍ、Ｃ）は改ざんされていないと判断する。

こぎで、ｆが一方向性関数とは、ｆ　（ｘ）の計算は容
易であるが、ｆ　（ｘ）からＸを求めるのが困難な関数
である。ｆは高速な慣用暗号化装置。

例えばＤＥＳ暗号（Ｄ　ａｔａ　Ｅ　ｎｃｒｙｐｔｉｏ
ｎ　Ｓ　ｔａｎｄａｒｄＦ　ｅｄａｒａｌ　Ｉ　ｎｆｏ
ｒｍａｔｉｏｎ　Ｐ　ｒｏｃｅｓｓｉｎｇ　Ｓ　ｔａｎ
ｄａｒｄｓＰｕｂｌｉｃａｔｉｏｎ　４６　、１９７７
　）による慣用暗号化装置を用いて生成できる。高速な
構成要素を用いれば、ｆの計算時間はほとんど無視でき
る。

以上で述べたＲ８Ａ暗号を利用した認証方式は。

通信文の冗長度が小さく、秘密に管理する情報量が少な
いが、その安全性が計算量理論的に証明されていない、
つまり、相手に自分の秘密情報に関する情報を漏らさな
いという保証がない。

安全性が計算量理論的に証明されている方式としてＦ　
ｉａｔとＳ　ｈａｍｉｒの方式がある（Ｆｉａｔ、　Ａ
。

ａｎｄ　　Ｓｈａｍｉｒ、Ａ　：　　“Ｈｏｗ　ｔｏ　
ｐｒｏｖｅ　ｙｏｕｒｓｅｌｆ　：ｐｒａｃｔｉｃａｌ
　　５ｏｌｕｔｉｏｎｓ　　ｔｏ　　１ｄｅｎｔｉｆｉ
ｃａｔｉｏｎ　　ａｎｄｓｉｇｎａｔｕｒｅ　ｐｒｏｂ
ｌｅｍｓ”、Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　　Ｃｒｙ
ｐｔ。

８６．５ａｎｔａ　　Ｂａｒｂａｒａ、Ａｕｇｕｓｔ　
　１９８６．ｐｐ。

１８−１〜１８−７）、ＦｉａｔとＳ　ｈａｍｉｒの認
証方式は以下の通りである。

信頼できるセンタが、個人識別情報としてよりを用いる
利用者に対して、次の手順でに個の秘密情報Ｓｉ　（１
≦ｊ≦ｋ）を生成する（ｋは安全性を定めるパラメータ
であり１以上の値）。

ステップ１ニ一方向性関数ｆを用いて ■ｊ＝ｆ（より、ｊ）　　　（１≦ｊ≦ｋ）を計算する
。

ステップ２：各ｖｊに対してＮの素因数ＰとＱを用いて
ｓ　ｊ　＝Ｖ’　１　／　ｖ　ｊ　　　　（ｍｏｄ　Ｎ
）を計算する。すなわち、　ｓ　ｊ　”　＝　１　／　
ｖ　ｊ（ｍａｄ　Ｎ）となる。

ステップ３：利用者に対してに個のｓｊを秘密に発行し
、合成数Ｎを公開する。

（Ｉｌｏｄ　Ｎ）における平方根の計算は、Ｎの素因数
（ＰとＱ）が分かっているときのみ実行できる。

その方法は、例えばＲａｂｉｎ　、　Ｍ　、○：“Ｄ　
ｉｇｉｔａｌｉｚｅｄＳｉｇｎａｔｕｒｅｓ　ａｎｄ　
Ｐｕｂｌｉｃ−Ｋｅｙ　Ｆｕｎｃｔｉｏｎｓ　ａｓＩｎ
ｔｒａｃｔａｂｌｅ　ａｓ　Ｆａｃｔｏｒｉｚａｔｉｏ
ｎ”、Ｔｅｃｈ、　Ｒｅｐ。

ＭＩＴ／ＬＣ３／ＴＲ−２１２ＭＩＴ　　Ｌａｂ。

Ｃｏｍｐｕｔ、　Ｓｃｉ、　１９７９に示されている。

平方根の計算装置の具体的な構成例は、特開昭６３−２
６３７号″公開鍵暗号システム″に示されている。

送信者Ａは認証者Ｂに対して、Ａが本物であることを、
次の手順で証明する。

ステップ１：ＡがよりをＢに送る。

ステップ２：Ｂがｖｊ＝ｆ　（ＩＤ、ｊ）　　　（１≦
ｊ≦ｋ）を計算する。

次に、ｉ＝１．・・・　ｔについて３〜６のステップを
ｔ回繰り返す（ｔは安全性を定めるパラメータであり、
１以上の値）。

ステップ３：乱数ｒｉを生成して、 ｘｉ＝ｒｉ”　　（ｍｏｄＮ） を計算して、Ｂに送る。

ステップ４：Ｂが０．１のビット列（ｅ□０．・・・＋
ｅｉｋ）を生成して、Ａに送る。

ステップ５：Ａが署名文ｙｉを ｙｉ＝ｒｉｒＩｓｊ　　　（ｍａｄ　Ｎ）ｅｉｊ＝１ で生成して、Ｂに送る。

ステップ６：Ｂは、 ｘｉ＝ｙｉ”ｒＩｖｊ　　　（ｍｏｄＮ）ｅｉｊ＝１ を検査する。

査にすべて合格した場合、認証者ＢはＡが本物であると
認める。このとき、認証者Ｂが、偽の利用者を本物のＡ
と認めてしまう誤りの生じる確率は１／２ｋｔである。

ニーで、には利用者が秘密に管理する秘密情報（ｓｊ）
の個数であり、ｔは通信文（Ｘ　ｉ　、　（ｅ　１１．
−、　ｅ　１ｋ）　、Ｙ　ｉ　）の通信回数を定めてい
る。

このＦｉａｔとＳ　ｈａｍｉｒの方式は、計算量理論的
や手法で安全性が証明されている。つまり、この方式は
、零知識証明となることが前述したＦ　ｉａｔとＳ　ｈ
ａ＋ｍｉｒらの論文で証明されている。利用者認証方式
が零知識証明であるならば、いかなる不正行為も困難で
あることが計算量理論的観点より保証される０通信文の
ビット数は（１０００Ｘｔ＋ｋＸｔ）ビットであり、安
全性を確保するにはある程度の大きさのｋとｔを選ぶ必
要があるので１通信量が大きくなる。

以上では、利用者認証について説明したが、ディジタル
署名は上記の手順を次の様に変更して実現できる。

平文（Ｍ）と（ｘｌ、・・・＋Ｘｔ）に一方向性関数ｆ
を施こして得たｆ　（Ｍ、　Ｘｌ、・・・ｐＸｔ）の先
頭のｋＸｔビットを上記手順のビット列（ｅ、、）とみ
なして、署名つき認証文として、（ＩＤ、Ｍ。

（ｅｉｒ）　＋　ｙｔｔ・・・ｔ　ｙｔ）を署名つき通
信文として認証者に送信するｍＦｘａｔとＳ　ｈａｍｉ
ｒの方式によるディジタル署名は、利用者認証法と同様
に処理量を大幅に削減できるが、通信文の冗長度が大き
いことが問題となる。

〔発明が解決しようとする課題〕

以上のように、Ｒ８Ａ暗号を利用した認証方式は、通信
文の冗長度が小さく、秘密に管理する情報量が少ないが
、その安全性が計算量理論的に証明されていない（つま
り、相手に自分の秘密情報に関する情報を漏らさないと
いう保証がない）。

一方、Ｆ　ｉａｔとＳ　ｈａｍｉｒの方式は、その安全
性が計算量理論的に証明されており、安全であるが、転
送情報量が大きいことが問題である。

本発明の目的は、安全性が高くかつ通信量を削減できる
、効率のよい利用者認証方式を提案することにある。

〔課題を解決するための手段〕

上記目的を達成するために１本発明の第１の方式では、
利用者のシステム加入時に基本的に一度だけ行う初期情
報設定段階において、被認証側は、暗号関数（Ａ）及び
その逆関数（復号関数）（Ｂ）及びＡと独立の一方向性
関数（Ｆ）を生成し、Ｂを秘密に保持し、Ａ及びＦを公
開情報として、利用者の識別情報（Ｉ　Ｄ）と対にして
、公開管理簿もしくは認証側の管理簿に登録し、該初期
情報設定段階以降の認証処理段階においては、被認証側
は、よりを認証側に送信し、よりを受信した認証側は、
よりに基づき管理簿よりＡ、Ｆを検索した後、関数Ａの
定義域よりランダムに１つの変数（Ｘ）を選び、それよ
り関数値Ｙ＝Ａ　（Ｘ）及びＺ＝Ｆ（Ｘ）を計算し、認
証情報１　（Ｙ、Ｚ）として被認証側に送信し、（Ｙ，
Ｚ）を受信した被認証側は、秘密のＢを用いてＸ’　＝
Ｂ　（Ｙ）を計算し、さらに公開のＦを用いてＺ’　＝
Ｆ　（Ｘ’　）を計算し、２と２′が一致するかどうか
を検証し、一致しなければ処理を中断し、一致すればＸ
′を認証情報２として認証側に送信し、Ｘ′を受信した
認証側は、Ｘ′がＸと一致するかどうかを検査し、一致
すれば正当とみなすことにより被認証側の正当性を確認
する。

また１本発明の第２の方式では、初期情報設定段階にお
いては、被認証側は、暗号関数（Ａ）及びその逆関数（
復号関数）（Ｂ）及びＡと独立の２つの一方向性関数（
ＦとＧ）を生成し、Ｂを秘密に保持し、Ａ及びＦ及びＧ
を公開情報として。

利用者の識別情報（ＩＤ）と対にして、公開管理簿もし
くは認証側の管理簿に登録し、認証処理段階においては
、被認証側は、よりを認証側に送信し、よりを受信した
認証側は、よりに基づき管理簿よりＡ、Ｆ、Ｇを検索し
た後、関数Ａの定義域よりランダムに１つの変数（Ｘ）
を選び、それより関数値Ｙ＝Ａ　（Ｘ）及びＺ＝Ｆ　（
Ｘ）を計算し、認証情報ｉ　（ｙ、ｚ）として被認証側
に送信し。

（Ｙ，Ｚ）を受信した被認証側は、秘密のＢを用いてＸ
’　＝Ｂ　（Ｙ）を計算し、さらに公開のＦを用いてＺ
’　＝Ｆ　（Ｘ’　）を計算し、Ｚと２′が一致するか
どうかを検証し、一致しなければ処理を中断し、一致す
ればＷ’　＝Ｇ　（Ｘ’　）を計算し、Ｗ′を認証情報
２として認証側に送信し、Ｗ′を受信した認証側は、Ｗ
＝Ｇ　（Ｘ）を計算し、Ｗ′がＷと一致するかどうかを
検査して、一致すれば正当とみなすことにより被認証側
の正当性を確認する。

〔作　用〕

本発明では、安全性を保証するため、　Ｆｉａｔ−８ｈ
ａｍｉｒ法等の安全性の証明で用いられている零知識証
明の手法を用いる。また、Ｆ　１ａｔ−Ｓ　ｈａｍｉｒ
法が認証処理においてＹｅｓ／Ｎｏ　（１ビツト）の質
問応答を繰返した形を基本に構成するため通信量が多く
なるのに対し１本発明では数１００ビツトの質問応答を
１回だけ行う形を基本に構成するため１通信量を削減す
ることができる。なお、Ｆｉａｔ−Ｓ　ｈａ＋ｓｉｒ法
がべき乗演算に限定された方式であるのに比べ１本発明
は、多くの暗号関数を基本にして構成することができる
。

【実施例〕

以下、本発明の一実施例について図面により説明する。

第１図は本発明で対象とする通信システムの概略ブロッ
ク図である。第１図において、１００は認証を受ける利
用者局（被認証局）、２００は認証を行う認証者局（認
証局）であり、両者は安全でない通信路３００を介して
結合されている。

最初に、本発明の利用者認証方式の第１の実施例につい
て説明する。

先ず、システムに加入した局１００は、システム加入時
に局が基本的に一度だけ行う初期情報設定段階において
、公開情報と秘密情報を生成し、公開情報を利用者の識
別情報（Ｉ　Ｄ）と対にして、公開情報管理簿もしくは
局２００に登録する。

第２図を用いて、この手順を説明する。まず、こ＼で用
いる暗号アルゴリズム（Ｐ）１３０を定め、暗号鍵生成
器１２０を用いて、暗号化Ｎ　（Ｅ）と復号化鍵（Ｄ）
を生成する。Ｒ８Ａ暗号の場合の生成例は、従来技術で
示した通りである。二５で、暗号関数Ａ＝Ｐ［、、その
逆関数Ｂ＝ＰＤとし、さらにＡと独立な一方向性関数（
Ｆ）１４０を定める。このようにして、定めたものＮう
ち、Ａ。

Ｆを公開情報とし、Ｂを秘密情報とする。

次に、局１００が局２００に対して自分の正当性を証明
する利用者認証手順について説明する。

以下では、局１００を被認証者、局２００を認証者と呼
ぶことにするが、同様にして１局２００が被認証者、局
１００が認証者として動作することも可能である。以下
、第３図、第４図、及び第５図を用いて、認証手順を示
す。利用者認証における被認証者（局）１００と認証者
（局）２００の通信文の交信の様子を第３図に、被認証
者１００のブロック図を第４図に、認証者２００のブロ
ック図を第５図に示す。

ステップ１：被認証者１００は、自分のよりを認証者２
００に送信する。

ステップ２：認証者２００は、よりに基づき管理簿２７
０よりＡ、Ｆを検索した後、乱数発生器２１０を用いて
関数Ａの定義域内の乱数Ｘを生成し、公開情報の暗号演
算器２５０及び一方向性関数演算器２４０に入力してＹ
＝Ａ　（Ｘ）及びＺ＝Ｆ　（Ｘ）を計算し、このＹ、Ｚ
を認証情報１として被認証者１００に送信する。

ステップ３：被認証者１００は、秘密の復号演算器１８
０を用いてＸ’　＝Ｂ　（Ｙ）を計算し、さらに一方向
性関数演算器１４０を用いて２′＝Ｆ　（Ｘ’　）を計
算し、ｚ′とＺを一致検査器１９０に入力して一致する
ことを検査する。一致しなければ処理を中断し、一致す
れば、Ｘ″を認証情報２として認証者２００に送信する
。

ステップ４：認証者２００は、Ｘ′とＸを一致検査器２
９０に入力して一致することを検査する。

一致検査器２９０は、２つの値が同じなら“合格”、異
なれば“不合格″を出力する。

次に、本発明の利用者認証方式の第２の実施例について
説明する。

先ず、システムに加入した局１００は、システム加入時
に局が基本的に一度だけ行う初期情報設定段階において
、公開情報と秘密情報を生成し、公開情報を利用者の識
別情報ＩＤと対にして、公開情報管理簿もしくは局２０
０に登録する。

第６図を用いて、この手順を説明する。まず、二Ｎで用
いる暗号アルゴリズム（Ｐ）１３０を定め、暗号鍵生成
器１２０を用いて、暗号化鍵Ｅと復号化＃！Ｄを生成す
る。Ｒ５Ａ暗号の場合の生成例は、従来技術で示した通
りである。二Ｎで、暗号関数Ａ＝ＰＥ、その逆関数Ｂ＝
ＰＤとし、さらにＡと独立な一方向性関数（Ｆ）１４０
及び一方向性関数（Ｇ）１６０を定める。このようにし
て、定めたもの＼うち、Ａ、Ｆ、Ｇを公開情報とし、Ｂ
を秘密情報とする。

次に、局１００が局２００に対して自分の正当性を証明
する利用者認証手順について説明する。

以下では１局１００を被認証者１局２００を認証者と呼
ぶことにするが、同様にして、局２００が被認証者、局
１００が認証者として動作することも可能である。以下
、第７図、第８図、及び第９図を用いて、認証手順を示
す。利用者認証における、被認証者（局）１００と認証
者（局）２００の通信文の交信の様子を第７図に、被認
証者１００のブロック図を第８図に、認証者２００のブ
ロック図を第９図に示す。

ステップ１：被認証者１００は、自分のよりを認証者２
００に送信する。

ステップ２：認証者２００は、よりに基づき管理簿２７
０よりＡ、ＦＧを検索した後、乱数発生器２１０を用い
て関数Ａの定義域内の乱数Ｘを生成し、公開情報の暗号
演算器２５０及び一方向性関数演算器２４０に入力して
Ｙ＝Ａ　（Ｘ）及びＺ＝Ｆ　（Ｘ）を計算し、とのＹ、
ｚを認証情報１．として被認証者１００に送信する。

ステップ３：被認証者１００は、秘密の復号演算器１８
０を用いてＸ’　＝Ｂ　（Ｙ）を計算し、さらに一方向
性関数演算器１４０を用いてＺ′＝Ｆ　（Ｘ’　）を計
算し、Ｚ′とＺを一致検査器１９０に入力して一致する
ことを検査する。一致しなければ処理を中断し、一致す
れば、一方向性関数演算器１６０を用いてＷ’　＝Ｇ　
（Ｘ’　）を計算し、このＷ″を認証情報２として認証
者２００に送信するゆステップ４：認証者２００は、一
致検査器２６０を用いてＷ＝Ｇ　（Ｘ）を計算した後、
ＷｌとＷを一致検査器２９０に入力して一致することを
検査する。一致検査器２９０は、２つの値が同じなら゛
合格″、異なれば“不合格″を出力する。

次に、本発明の方式が、安全性が計算量理論的に保証さ
れ、且つ、転送情報量を少なくできることを説明する。

（ｉ）　　安全性 以下の仮定の下で１本発明は、零知識証明となり、安全
である。ニーでは、第１の実施例について説明するが、
第２の実施例も同様に説明できる。

［仮定］ 関数Ｂを知らない場合、関数Ｆ、Ｇは、以下のような性
質を持つ。

（ｉ）Ｙ、ＺよりＸを求めることが困難。

（ｉｉ）　Ｘを知らずに、Ｙ、Ｚを生成すことが困難。

［零知識証明の証明］ 零知識証明であることを証明するには、完全性。

健全性、零知識性を証明すればよい。

（完全性）　正当な被認証者は、確率１で合格する。

（健全性）　仮定（ｉ）より、不正な被認証者が合格す
る確率は無視できるくらい低い。

（零知識性）仮定（…）より、Ｘを用いずに、検査に合
格するＹ、Ｚを生成することが困難、従って、あらゆる
認証者に対して、認証者の内部変数を含む被認証者との
交信をシミュレートできる。

（五）通信量 Ｆ　ｉａｔとＳ　ｈａｍｉｒの方式での通信文は（ＩＤ
ｅＸｘ＋・・・＋　Ｘｔｔ　（ｅｉｊＬ　Ｘｔｔ・・・
ｅ’／ｌ）であり１本発明での通信文は（ＩＤ、Ｙ、Ｚ
、Ｘ’　）もしくは（ＩＤ、Ｙ、Ｚ、Ｗ’　）である、
二Ｎで（ｅ　ｉｔ）のビット数は（ｋｘｔ）ビットで、
ｘｌ、・・・、　”Ｘｔ。

’ｌ　ｔ　ｙ・・・ｐ３’ｔのビット数はＮのビット数
に等しい。

本発明の場合、ビット数は用いた暗号関数等の入力サイ
ズに依存するが、　ＦｉａｔとＳ　ｈａｍｉｒの方法の
Ｎビットが暗号関数等の入力サイズに相当する。

そこで、Ｙ、Ｚ、Ｘ’、Ｗ’は、いずれもＮのビット数
と同等である。

通信文のビット数をＮが５１２ビツトでに＝４゜ｙ＝５
の場合（彼らの論文での推奨値）で比較すると Ｆ　ｉａｔとＳ　ｈａｍｉｒの方式： ５１２０＋２０＋ＩＤのビット数 本発明方式：　１５３６＋ＩＤのビット数となる。した
がって１、本発明の方式の通信量は、Ｆ　ｉａｔとＳｈ
ａ膳ｉｒの方式より改善されていることが分かる。

〔発明の効果〕

以上説明したように、本発明によれば、従来方式に比べ
て安全性が高く通信量が削減できる効率のよい利用者認
証方式を実現できる。

【図面の簡単な説明】

第１図は本発明で対象とする通信システムの概略ブロッ
ク図、第２図は第１の実施例における局の初期情報設定
段階の処理を示すブロック図、第３図は同じく利用者認
証における被認証局と認証局の通信文の交信の様子を示
す図、第４図は同じく被認証局の利用者認証処理を示す
ブロック図、第５図は同じく認証局の利用者認証処理を
示すブロック図、第６図は第２の実施例における局の初
期情報設定段階の処理を示すブロック図Ｊ第７図は同じ
く利用者認証における被認証局と認証局の通信文の交信
の様子を示す図、第８図は同じく被認証局の利用者認証
処理を示すブロック図、第９図は同じく認証局の利用者
認証処理を示すブロック図である。 １００・・・被認証局（署名作成局）、２００・・・認
証局（署名検証局）、 ３００・・・安全でない通信路、 １２０・・・暗号鍵生成器。 １３０・・・暗号アルゴリズム、 １４０．１６０，２４０・・・一方向性関数演算器、１
８０・・・復号演算器、 １９０．２９０・・・一致検査器。 ２１０・・・乱数発生器、　２５０・・・暗号演算器、
２７０・・・（公開）管理簿。 第３ 図 第４ 図 第６図 第８図 第９図

Claims (2)

【特許請求の範囲】
1. （１）通信路を介して情報を送信する利用者の正当性を
   確認する方式において、 初期情報設定処理時、被認証側は、暗号関数（Ａ）及び
   その逆関数（復号関数）（Ｂ）及びＡと独立の一方向性
   関数（Ｆ）を生成し、Ｂを秘密に保持し、Ａ及びＦを公
   開情報として、利用者の識別情報（ＩＤ）と対にして、
   公開管理簿もしくは認証側の管理簿に登録し、 認証処理時、被認証側は、ＩＤを認証側に送信し、より
   を受信した認証側は、よりに基づき管理簿よりＡ，Ｆを
   検索した後、関数Ａの定義域よりランダムに１つの変数
   （Ｘ）を選び、それより関数値Ｙ＝Ａ（Ｘ）及びＺ＝Ｆ
   （Ｘ）を計算し、認証情報１（Ｙ，Ｚ）として被認証側
   に送信し、（Ｙ，Ｚ）を受信した被認証側は、秘密のＢ
   を用いてＸ′＝Ｂ（Ｙ）を計算し、さらに公開のＦを用
   いてＺ′＝Ｆ（Ｘ′）を計算し、ＺとＺ′が一致するか
   どうかを検証し、一致しなければ処理を中断し、一致す
   ればＸ′を認証情報２として認証側に送信し、Ｘ′を受
   信した認証側は、Ｘ′がＸと一致するかどうかを検査し
   、一致すれば正当とみなすことを特徴とする利用者認証
   方式。
2. （２）通信路を介して情報を送信する利用者の正当性を
   確認する方式において、 初期情報設定処理時、被認証側は、暗号関数（Ａ）及び
   その逆関数（復号関数）（Ｂ）及びＡと独立の２つの一
   方向性関数（ＦとＧ）を生成し、Ｂを秘密に保持し、Ａ
   及びＦ及びＧを公開情報として、利用者の識別情報（Ｉ
   Ｄ）と対にして、公開管理簿もしくは認証側の管理簿に
   登録し、 認証処理時、被認証側は、ＩＤを認証側に送信し、ＩＤ
   を受信した認証側は、ＩＤに基づき管理簿よりＡ、Ｆ、
   Ｇを検索した後、関数Ａの定義域よりランダムに１つの
   変数（Ｘ）を選び、それより関数値Ｙ＝Ａ（Ｘ）及びＺ
   ＝Ｆ（Ｘ）を計算し、認証情報１（Ｙ，Ｚ）として被認
   証側に送信し、（Ｙ，Ｚ）を受信した被認証側は、秘密
   のＢを用いてＸ′＝Ｂ（Ｙ）を計算し、さらに公開のＦ
   を用いてＺ′＝Ｆ（Ｘ′）を計算し、ＺとＺ′が一致す
   るかどうかを検証し、一致しなければ処理を中断し、一
   致すればＷ′＝Ｇ（Ｘ′）を計算し、Ｗ′を認証情報２
   として認証側に送信し、Ｗ′を受信した認証側は、Ｗ＝
   Ｇ（Ｘ）を計算し、Ｗ′がＷと一致するかどうかを検査
   して、一致すれば正当とみなすことを特徴とする利用者
   認証方式。