JPH02266464A - 認証方法及びそれに用いる装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 「産業上の利用分野」 この発明は、電気通信システムで電子資金移動等を行う
場合に、消費者のプライバシイを保護できる通信プロト
コルを実現できる認証方式である。

「従来の技術」 電気通信システムを用いた電子資金移動やＩＣカードを
用いた決済が普及している。また、現金の代替手段とし
ての汎用プリペイドカードの利用法や、電子財布の使用
法が研究されている。このとき、資金の流れが特定の組
織に管理されると、消費者の消費動向等の個人情報がそ
の組繊に蓄積され、ブライバシイ保護の観点から問題と
なる。

この問題の解決策として、暗号技術を用いて、資金移動
の追跡を不可能とする安全な資金移動方式がある０例え
ば、Ｄａｖｉｄ　Ｃｈａｕｍ　：　　”Ｓｅｃｕｒｉｔ
ｙｗｉｔｈｏｕｔ　Ｉｄｅｎｔｉ　ｆｔｃａｔｉｏｎ　
：　Ｔｒａｎｓａｃｔｉｏｎ　ｓｙｓｔｅｍｓｔｏ　ｍ
ａｋｅ　Ｂｉｇ　ＢｒｏＬｈｅｒ　０ｂＳｏｌｕｔｅ”
、　Ｃｏｍｍｕｎｉｃａｔｉｏｎｏｆ　　ｔｈｅ　　Ａ
ＣＭ、０ｃｔｏｂｅｒ　　１９８５．Ｖｏｌ、２８　　
Ｎ１１１１０（：ｈａｕｍＯ方式の概要は以下の遺りで
ある。

消費者（被検証者二Ｂ）が金額等の取引内容を含んだ文
書ｍを乱数で撹乱して通信文Ｚを作成して、２を銀行（
証明者：Ａ）に送信する。銀行Ａは、消費者Ｂの正当性
を認証した後にその消費者の口座から金額を引き落とし
、金額に対応した署名を２に施して、署名付き通信文２
゛を消費者Ｂに送り返す。消費者Ｂは、Ｚ′から乱数の
影響を取り除いて、ｍに署名を施した値としてｍｏを求
め、これを現金にかわる手段として商店（検証者二〇）
へ支払う。検証者Ｃは、ｍｏが銀行Ａによって署名され
ていることをｌ＋Ｉ　ＬＷして、ｍｏがある金額の価値
があると判断する。Ｃは後日ｍ゛を銀行Ａに提出するこ
とによって、対応する金額を受は取る。すなわち、ｍｏ
は金券としての機能を備えている。

ここで、Ｚはｍに乱数が付加されているので、銀行およ
び第三者はＺからｍを推定できないし、また、銀行と商
店が結託してもｍ゛と２の対応を知ることができない。

従って誰がｍ゛を発行したかを知ることができない。こ
れより、Ｃｈａｕｍの方法では金券ｍ゛の発行元（消費
４ｆ）を推定できない（すなわち、追跡不可能）ので、
消費者の消費動向等のプライハシイを守ることができる
。

しかし、この方式は処理量の大きいＲ３Ａ暗号をヘース
にしているので、２からＺ゛を求めるための処理量の大
きいことが問題となる（この例では銀行Ａの処理量が大
きくなる）、具体的には、Ｒ３Ａ暗号では、２００桁同
志の整数の乗法（ただし剰余計算を含む）が平均７６８
回必要である。

ところで、秘密情報を保持するためのメモリ量が少なく
、通信効率に優れ、かつ高速な認証方式として拡張Ｆｉ
ａｔ−５ｈａｍｉｒ法がある（太田、開本：「ｋ乗根の
計算の困難性を用いた効率のよい認証方式Ｊ　　（１９
８８年暗号と情報セキュリティシンポジウム））。

拡張Ｆｉａｔ−５ｈａｍｉｒ法では、処理量は、平均し
て（５ｆｉ＋２）／２回の乗算（ただし法Ｎにおける剰
余計算を含む）で済む（尼の意味は後述）。特に、！−
２０に選ぶことが推奨されているので、この場合には、
拡張Ｆｉａｔ−５ｈａｍｉｒ法の乗算回数は５１回とな
り、Ｒ３Ａ暗号による署名法に比較して処理量を大幅に
削減できる。具体的には、５Ｉ／７６８＝０．０６６な
のでＲ３Ａ暗号に比べて約７％の処理量で実現できる。

拡張Ｆｉａｔ−３ｈａｍｉｒ法の概要は、以下の通りで
ある。

信頬できるセンタが、個人識別情報としてＩＤを用いる
利用者に対して、次の手順で秘密情報Ｓを生成する。こ
こでＮは公開情報であり、秘密の素数ＰとＱを用いてＮ
＝ＰＸＱと表せる。また、Ｌは整数、ｆは一方向性関数
であり、公開されている。

５ｔｅｐｌ　ニ一方向性関数ｆを用いてｘ＝ｆ　（ＩＤ
） を計算する。

５ｔｅｐ２　：　　Ｘに対してＮの素因数ＰとＱを用い
て５Ｌ＝ｘ　（ｍｏｄ　　Ｎ） をみたすＳを計算する（すなわち、Ｓ はＸの１５乗ｍ）。

３ｔｅｐ３　：利用者に対してＳを秘密に発行し、方向
性関数ｆと合成数Ｎを公開する。

（ｍｏｄ　　Ｎ）におけるＬ乗根の計算は、Ｎの素因数
（ＰとＱ）が分かっているときのみ実行できる。その方
法は、例えばＲａｂｉｎ、Ｍ、Ｏ，＋　”ｆｌｉｇｉｔ
ａｌｉｚｅｄ　Ｓｉｇｎａｔｕｒｅｓ　ａｎｄ　Ｐｕｂ
ｌｉｃ−ｋｅｙ　Ｆｕｎｃｔｉｏｎｓ　ａｓＩｎｔｒａ
ｃｔａｂｌｅ　ａｓ　Ｆａｃｔｏｒｉｚａｔｉｏｎ　　
、　Ｔｅｃｈ、　Ｒｅｐ旧Ｔ／ＬＣ５／ＴＲ−２１２Ｍ
ＩＴ　Ｌａｂ、’　Ｃｏｍｐｕｔ、　Ｓｃｉ、　１９７
９に示されている。

利用者の認証方式は以下の通りである。

証明者Ａは、検証者Ｃに対して、Ａが本物であることを
、次の手順で証明する。

５ｔｅｐｌ　：　ＡがＩＤをＣに送る。

５Ｌｅｐ２　：　Ｃがｘ＝ｆ　（ＩＤ）を計算する。

下記の、３〜６のステップを０回繰り返す、Ｄは安全性
を定めるパラメータであり、１以上の値）。

５Ｌｅｐ３　：乱数ｒを生成して、 ｘ　　　＝ｒ’　　（ｍｏｄ　　　Ｎ）を計算して、Ｃ
に送る。

５ｔｅｐ４　：　Ｃが、０以上、Ｌ未満の整数ｅを生成
して、Ａに送る。

５ｔｅｐ５　二Ａが署名文２を ｚ＝ｒＸｓ”　　（ｍｏｄ　　Ｎ） で生成して、Ｃに送る。

５ｔｅｐ６　：　Ｃは、 ｘ　　＝ｚ”　　Ｘｘ−’　　（ｍｏｄ　　Ｎ）が成り
立つことを検査する。（ｘ−１は、ｍａｄ　　ＮでのＸ
の送元） ２の作り方よりｚ’ｘｘ−”＝ｒ’ｘ（ｓ’ｘｘ−’）
ａ＝ｒ’　＝ｘ’　　（ｍｏｄ　　Ｎ）であるから、５
ｔｅｐ６の検査に合格した場合、検証者ＣはＡが本物で
あると認める。このとき、検証者Ｃが、偽の証明者を本
物のＡと認めてしまう誤りの生じる確立は１／Ｌｔであ
る。

拡張Ｆｉａｔ−３ｈａｍｉｒ法では、１個の秘密情報Ｓ
と、５ｔｅｐ３〜６の繰り返し回数を１としても、整数
りを適切に選ぶことで安全性を保障できる。

以上では、利用者の認証方式について説明したが、メン
セージの認証方式は上記の手順を次の欅に変更して実現
できる。

メンセージｍとＸｏに一方向性関数ｒを施して得たｆ　
（ｍ、ｘ’　）の先頭の！ビットを整数ｅの２進表示と
みなして、署名文として、（ＩＤ、ｍｅ、ｚ）を署名つ
き通信文として検証者に送信する。

このように拡張Ｆｉａｔ−５ｈａｍｉｒ法は秘密情報を
保持するためのメモリ量を小さくでき、かつ通信効率に
優れた高速な認証方式である。しかし、現在までのとこ
ろ拡張Ｆｉａｔ−３ｈａｍｉｒ法を用いた追跡不可能な
認証方式は提案されていない。

「発明が解決しようとする課題」 この発明の目的は、拡張Ｆｉａｔ−５ｈａｍｊｒ法をベ
ースにして、従来方式よりも高速な追跡不可能な認証方
式を提供することにある。

「課題を解決するための手段」 この発明では、秘密情報のメモリ量を削減し、通信効率
を向上させ、かつ処理量を削減するために、問い合わせ
文と応答文を用いる拡張ＦｉａｔＳｈａｍｉｒ法をベー
スにして、認証処理を実現する。

また、第三者にＡ−Ｂ間とＢ−Ｃ間で通信されるデータ
の対応関係を隠して、追跡不可能とするために、Ｂが問
い合わせ文の対応関係と応答文の対応関係を乱数によっ
て与え、その乱数を秘密にする。これによって、この発
明では、追跡不可能な認証処理を実現する。

「実施例」 第１図はこの発明の原理図である。第１図は証明者Ａ（
１００）と被検証者Ｂ（２００）と検証者Ｃ（３００）
が通信回線等を介して接続しており、利用者の認証方式
（図（ａ））とメツセージの認証方式（図（ｂ））を実
現するための交信例を表している。以下では、先ず、Ａ
がＢの身元を確認したことをＣに対して証明する利用者
の認証方式を示し、その後に、ＢがＡの力を借りてメツ
セージｍに署名するメンセージの認証方式について説明
する。

第１図の（ａ）では、Ａ−Ｂ間とＢ−Ｃ間でそれぞれ拡
張Ｆ１ａｔ−５ｈａｓ＋ｉｒ法の利用者認証法を採用し
、２つの拡張Ｆｉａｔ−３ｈａｍｉｒ法を対応づける情
報をＢにおいて秘密にすることで、追跡不可能な利用者
の認証処理を実現する。

拡張Ｆｉａｔ−５ｈａｍｉｒ法の場合と同様に、信頼で
きるセンタが、合成数Ｎと一方向性関数ｆと整数りを公
開し、さらに証明者Ａの識別情報ＩＤに対応する秘密情
報Ｓを計算して、ＳをＡに配送する。

ここで、Ｓは５Ｌｒａｏｄ　Ｎ＝ｘ＝ｆ　（ＪＤ）をみ
たす。

証明者Ａ（１００）の概略を第２図に、被検証者Ｂ　（
２００）の概略を第３図に、検証者Ｃ（３００）の概略
を第４図にそれぞれ示す。

証明者Ａは、被検証者Ｂの正当性を、検証者Ｃに対して
、次の手順で証明する。

５ｔｅｐｌ　：　Ａカ月りをＢとＣに送る。

５ｔｅｐ２　：　ＢとＣは、それぞれ一方向性関数計算
器２０５，３０５を用いてｘ＝ｆ　（ＩＤ）を計算する
。

次に、３〜６のステップをｔ回繰り返す。１−１のとき
が特許請求範囲の請求項（１）に対応し、ｔ＞１のとき
が請求項（２）に対応する。

５ｔｅｐ３　：　Ａは初期応答文発生器１１０を用いて
初期応答文Ｘ“を発生してＢに送る。例えば初期応答文
発生器１１０を、乱数発生器ＩＩＩと剰余付き乗算Ｂ１
１２で構成して、乱数発生器１１１を用いて乱数ｒを発
生し、剰余付き乗算器１１２を用いて ｘ　　−ｒ”　　（ｍｏｄ　　Ｎ） でχ゛を計算する。

剰余付き乗算の効率のよい計算方法は、例えば池野、小
山゛現代暗号理論”電子通信学会、　ｐｐ、　＋６−１
７．　　（１９８６）、に示されている。

５ｔｅｐ４　：　ＢはＸｏを受信すると、乱数発生器２
１０と初期応答文撹乱器２１５を用いて。

乱数発生器２１０で発生した０以上、Ｌ未満の整数ｅと
１以上Ｎ未満の乱数ＵとＸｏと先に生成したＸを初期応
答文撹乱器２１５に入力し、撹乱された初期応答文χ′
を計算してＣに送る。

例えば初期応答文撹乱器２１５を剰余付き乗算器として
構成し、受信した初期応答文ＸとＸとｅとＵから ｘ　　＝ｘ’　Ｘｕ’Ｘｘ”　　（ｍｏｄ　　Ｎ）でｘ
”を計算する。

５ｔｅｐ５　：　Ｃはｘ　”を受信すると、ｘ”を情報
格納器３１０に格納した後に、乱数発生器３２０を用い
て、０以上、Ｌ未満の整数βを生成して問い合わせ文と
してＢに送る。

５ｔｅｐ６　：　　Ｂはβを受信すると、βと先に生成
したｅを問い合わせ文撹乱器２２０に入力して、撹乱さ
れた問い合わせ文β’を計算してＡに送る。

例えば問い合わせ文撹乱器２２０を剰余付き加算器とし
て構成して、 β　−ｅ＋β　（ｍｏｄ　　Ｌ） を計算する。

３ｔｅｐ７　：　Ａはβ”を受信すると、先に生成した
乱数ｒと受信した問い合わせ文β”を証明器１２０に入
力して、応答文Ｚを計算してＢに送る。

例えば証明器１２０を、秘密情報格納器１２１と剰余付
き乗算器１２２で構成し、秘密情報格納器１２１から秘
密情報Ｓを読み出して、初期応答文発生器１１０から引
き継いだｒと受信したβ’を剰余付き乗算器１２２に入
力して β ｚ＝ｒＸｓ　　　　（ｍｏｄ　　　Ｎ）でＺを計算する
。

５ｔｅｐ８　　：　ＢはＺを受信すると、２と先に生成
したχとｅとＵを乱数成分除去器２３０に入力して、応
答文ｚ’を計算し？ＰＣに送る。

例えば乱数成分除去器２３０を、条件判定器２３１と剰
余付き乗算器２３２で構成し、ｚ　　−ｕｘｚ￥ｘＣ（
ｍｏｄ　　Ｎ）ただし、ｃ＝１　（β’くｅ） ｃ−０（上記以外） を計算する。

５Ｌｅｐ９　　：　Ｃは２°を受信すると、検査器３３
０を用いて２′の正当性を検査する。

例えば検査器３３０を、剰余付き乗算器３３１と比較器
３３２で構成し、情報格納器３１０から引き継いだｘ”
と一方向性関数計算器３０５から引き継いだＸと乱数発
生器３２０から引き継いだβに対して が成立するかを検査する。

ここでは問い合わせ一応答のやりとりをＬ回繰り返して
順次行う例を示したが、問い合わせ一応答のやりとりの
１個の成分を並列に並べて同時に行ってもよい。

次に、第１図の（ｂ）を用いて、Ｂがへの力をＩｇりて
メンセージｍに署名するメツセージの認証方式について
説明する。

Ａ−Ｂ間では拡彊Ｆ１ａｔ−３ｈａが１ｒ法の利用者認
証法を、Ｂ−Ｃ間では拡張Ｆｉａｔ−５ｈａｍｔｒ法の
メンセージ認証法を採用する。２つの認証法を対応づけ
る情報をＢにおいて秘密にすることで、追跡不可能なメ
ツセージの認証処理を実現する。

拡張Ｆｉａｔ−３ｈａｍｉｒ法と同様に、信頼できるセ
ンタが、合成数Ｎと一方向性関数ｒと整数りを公開し、
さらに、証明者Ａの識別情報ＩＤに対応する秘密情報Ｓ
を計算して、ＳをＡに配送する。

Ａ（１００）の概略を第２回に、Ｂ　（２００）の概略
を第５図に、Ｃ（３００）の概略を第６図にそれぞれ示
す。

Ｂは、Ａの力を借りて、次の手順で文書ｍに署名する。

５ｔｅｐｌ　：　ＡがＩＤをＢとＣに送る。

５Ｌｅｐ２　：　ＢとＣは、それぞれ一方向性関数計算
器２０５．３０５を用いてｘ−ｒ　（ＩＤＪを計算する
。

５ｔｅｐ３　：　Ａは初期応答文発生器１．　Ｉ　Ｏを
用いて１個の初期応答文ｘ’ｒ　（ｉ＝］、　　２．・
・・、１）からなるＸｏを計算してＢに送る。

例えば初期応答文発生器１１０を、乱数発生器１．１１
と剰余付き乗算器１１２で構成し、乱数発生器１１１を
用いて１個のｒｉを発生し、剰余付き乗算器１１２を用
いて Ｘ’ｒ　＝ｒ、Ｌ　　（ｍｏｄ　　Ｎ）（ｉ＝１　２．
・・・、１） で、Ｌ個のＸ　’　ｔを計算する。

５ｔｅｐ４　：　ＢはＸ゛を受信すると、乱数発生器２
１０を用いて１＆ｉｌの０以上り未満のｅ、と１以上Ｎ
未満の乱数ｕＩのベアを発生し、その値を受信したＬ個
のｘ゛、と先に生成したＸと共に初期応答文撹乱器２１
５に入力し、Ｌ個の撹乱された初期応答文Ｘ”、を計算
して問い合わせ文発生器２５０に引き継ぐ。

例えば初期応答文撹乱器２１５を剰余付き乗算器で構成
し、乱数発生器２１０が生成したＬ組のｅ、とｕｌ、受
信したＬ個の初期応答文χ゛、とＸを初期応答文撹乱器
２１５に入力して ｘ　１＝ｕｌＬＸＸ”ＸＸ’＋　　（ｍａｄ　　Ｎ）（
ｉ＝１．２．・・・、１） でむ個のＸ”、を計算する。

５ｔｅｐ５　：　Ｂは、メンセージｍとＬ個のＸ′ｌを
問い合わせ文発生器２５０に入力して、問い合わせ文β
とβ’を作成してβ’をＡに送信し、β’を乱数成分除
去器２６０に引き継ぐ。

例えば、問い合わせ文発生器２５０を一方向性関数計算
器２５１と剰余付き加算器２５２で構成して、 （β１．・・・、　βＬ）＝ｆ（ｍ、ｘ″、。

Ｘ″ｔ　） β＋、””ｅ、　　＋β、　　（ｎｏｄ　　　Ｌ）（ｉ
＝１．　２．　　・・・、１） で、β’＝（β’１．・・・、β’ｔ）とβ＝（β、。

・・・、βｔ）を求めるや ここで、β’、とβ、は０以上、Ｌ未満の整数。

５ｔｅｐ６　：　Ａはβ’を受信すると、証明器１２０
を用いて、先に発生した乱数ｒ、と受信した問い合わせ
文β’から、応答文Ｚを計算してＢに送る。

例えば証明器１２０を、秘密情報格納器１２１と剰余付
き乗算器１２２で構成し、秘密情報格納器１２１から秘
密情報Ｓを読み出し、初期応答文発生器１１０から引き
継いだｒ、と受信したβ’−（β’１．・・・、β’ｔ
）を剰余付き乗算器１２２に入力して （ｉ＝１．２．　　・・・、１） でＺ、を計算し、ｚ＝（ｚ、、　・・・、Ｚ、）を求め
る。

５ｔｅｐ７　：　　ＢはＺを受信すると、２と先に生成
したＸとＬ組の（ｅ、、ｕ、）を乱数成分除去器２６０
に入力して、応答文Ｚ′を計算して、β１ｍと共にＣに
送る。

例えば乱数成分除去器２６０を、条件判定器２６１と剰
余付き乗算器２６２で構成し、ｚ　　、ｗｕＩＸｚ、Ｘ
ｘ”　（ｍａｄ　　Ｎ）ただし、Ｃ”−１（β’這〈ｅ
、） Ｃ・−０（上記以外） でｚｌ、を計算して、２″−（ｚ　Ｚ、・・・、２″、
）を求める。

５ｔｅｐ８　：　Ｃはｍ、β、Ｚ″を受信すると、検査
器３４０を用いてｍ、β、Ｚ゛の正当性を検査する。

例えば検査器３４０を、剰余付き乗算器３４１と一方向
性関数計算器３４２と比較器３４３でｘ”　”　（ｘ”
ｌ、−・・、ｘ″１）を求めて、β＝ｆ　　（ｍ、　　
ｘ”　　） が成立するかを検査する。

以上では、拡張Ｆｉａｔ−３ｈａｍｉｒ法をベースにし
た追跡不可能な認証方式について説明した。拡張Ｆｉａ
ｔ−５ｈａｍｉｒ法は、Ｎの素因数分解が困難な場合に
（ｍｏｄ　Ｎ）でのＬ乗根の計算が困難なことに基づい
ている。離散対数問題等の困難性を利用した認証法をベ
ースにしても、同様のｔｉｌｔ論が成り立つ。

離散対数問題等に基づく認証法については、例えばＭ、
Ｔｏｍｐａ　＆　Ｈ，Ｗｏｌｌ＋’Ｒａｎｄｏｍ　５ｅ
ｌｆ−Ｒｅｄｕｃｉｂｔｌｉｔｙａｎｄ　Ｚｅｒｏ　Ｋ
ｎｏｗｌｅｄｇｅ　Ｉｎｔｅｒａｃｔｉｖｅ　Ｐｒｏｏ
ｆｓ　ｏｆ　Ｐｏ５−ｓｅｓｓｉｏｎ　ｏｆ　Ｉｎｆｏ
ｒｍａｔｉｏｎ、’　ＦＯＣ５１１）ｐ４７２−４８２
（１９Ｂ７）や開本、太田、“零知識証明問題の不正使
用法とその対策及び応用について”　　（１９８８年暗
号と情報セキュリティシンポジウムワークショップ）に
示されている。

「発明の効果」 この発明では、拡張Ｆｉａｔ−５ｈａｍｉｒ法をベース
にしたので、秘密情報保持のためのメモリ量を削減でき
、通信効率を向上でき、かつ高速な認証処理を実現でき
る。

また、Ｂが問い合わせ文の対応関係と応答文の対応関係
を秘密の乱数で与えておりその値を秘密にすると、Ａ−
Ｂ間とＢ−Ｃ間で通信されるデータの対応関係を隠すこ
とができる。すなわち、利用者の認証処理においては、
ＡがＢの身元を保障していることを、Ｂの身元を明かさ
ずに、Ｃに証明できる。メツセージの認証処理において
は、Ｂはメツセージｍの内容を知られることなしにＡに
署名させることができる。その結果として、ＡとＣが結
託しても、Ｂの身元は明らかとならず、Ｂがｍを送信し
たことも検出できない、すなわち、証明者Ａと検証者Ｃ
が結託しても、被認証者が誰であるかを判断したり、メ
ツセージｍの送信者カ誰であるかを判断したりできない
ことは、この発明の方式が計算量理論の理論的な研究成
果である零知識対話型証明システム性や非転移性をみた
すことによって保障できる。

零知識対話型証明システム性および非転移性については
、例えばＦｅｉｇｅ、Ｕ、、Ｆｉａｔ、Ａ、　ａｎｄ　
ＳｈａｍｉｒＡ、　”Ｚｅｒｏ　Ｋｎｏｗｌｅｄｇｅ　
Ｐｒｏｏｆｓ　ｏｆ　Ｉｄｅｎｔｉｔｙ″Ｐｒｏｃｅ−
ｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１９ｔｈ　Ａｎｎｕａｌ
　ＡＣＭ　Ｓｙｍｐｏｓｉｕｍ　ｏｎＴｈｅｏｒｙ　ｏ
ｒ　Ｃｏｍｐｕｔｉｎｇ、　１９８７．　ｐｐ、２１０
−２１７．を参照。

【図面の簡単な説明】

第１図はこの発明の実施例の交信例を示す図、第２図は
証明者Ａのブロック図、第３図は利用者の認証方式にお
ける被検証者Ｂのブロック図、第４図は利用者の認証方
式における検証者Ｃのブロック図、第５図はメツセージ
の認証方式における被検証者Ｂのブロック図、第６図は
メツセージの認証方式における検証者Ｃのブロック図で
ある。

Claims (3)

【特許請求の範囲】
1. （１）通信相手の身元を確認する利用者の認証方式にお
   いて、 証明者Ａと被検証者Ｂと検証者Ｃから構成されたシステ
   ムで、 証明者Ａは初期応答文発生器と証明器を備え、被検証者
   Ｂは乱数発生器、初期応答文撹乱器、問い合わせ文撹乱
   器と乱数成文除去器を備え、検証者Ｃは検査器を備え、 証明者Ａは、初期応答文発生器を用いて生成した初期応
   答文ｘ’を個人識別情報ＩＤと共に被検証者Ｂに送信し
   、 被検証者Ｂは、証明者Ａから受信した初期応答文ｘ’と
   乱数発生器を用いて生成した乱数成分とを初期応答文撹
   乱器に入力して初期応答文ｘ”を作成して受信したＩＤ
   と共に検証者Ｃに送信し、検証者Ｃは、被検証者Ｂに問
   い合わせ文βを送信し、 被検証者Ｂは、検証者Ｃから受信した問い合わせ文βと
   先に生成した乱数成分を問い合わせ文撹乱器に入力して
   問い合わせ文β’を作成して証明者Ａに送信し、 証明者Ａは、初期応答文ｘ’と問い合わせ文β’に対応
   した応答文ｚを、ＩＤに対した関係式ｓ＾１ｍｏｄＮ＝
   ｆ（ＩＤ）をみたす秘密情報ｓを用いて動作する証明器
   を用いて生成して被検証者Ｂに送り返し（ここで、整数
   Ｎ、整数Ｌと関数ｆは公開情報）、 被検証者Ｂは応答文ｚとＩＤと先に生成した乱数成分と
   問い合わせ文βを乱数成分除去器に入力して乱数成分の
   影響を取り除いて応答文ｚ’を求め、その値を検証者Ｃ
   に送信し、 検証者Ｃは応答文ｚ’とＩＤを検査器に入力してｚ’が
   先に受信した初期応答文ｘ”先に送信した問い合わせ文
   βに対する正しい応答になっていることを検査して、 被検証者Ｂが乱数成分を秘密にすることで、被検証者Ｂ
   と証明者Ａ間で通信されるｘ’、β’、ｚと、検証者Ｃ
   と被検証者Ｂ間で通信されるｘ”、β、ｚ’の対応関係
   を秘密にできることを特徴とする利用者の認証方式。
2. （２）請求項（１）に記載の手順を繰り返して、安全性
   を向上する利用者の認証方式。
3. （３）通信文の正当性を確認するメッセージの認証方式
   において、 証明者Ａと被検証者Ｂと検証者Ｃから構成されたシステ
   ムで、 証明者Ａは初期応答文発生器と証明器を備え、被検証者
   Ｂは乱数発生器、初期応答文撹乱器、問い合わせ文発生
   器と乱数成文除去器を備え、検証者Ｃは検査器を備え、 証明者Ａは、初期応答文発生器を用いて生成した初期応
   答文ｘ’を個人識別情報ＩＤと共に被検証者Ｂに送信し
   、 被検証者Ｂは、証明者Ａから受信した初期応答文ｘ’と
   ＩＤと乱数発生器を用いて生成した乱数成分とを初期応
   答文撹乱器に入力して初期応答文ｘ”を作成し、その初
   期応答文ｘ”と署名対象のメッセージｍを問い合わせ文
   発生器に入力して問い合わせ文β’とβを作成してβ’
   を証明者Ａに送信し、 証明者Ａは、先に送信した初期応答文ｘ’と受信した問
   い合わせ文β’に対応した応答文ｚを、ＩＤに対した関
   係式ｓ＾ＬｍｏｄＮ＝ｆ（１Ｄ）をみたす秘密情報ｓを
   用いて動作する証明器を用いて生成して被検証者Ｂに送
   り返し（ここで、整数Ｎ、整数Ｌと関数ｆは公開情報）
   、 被検証者Ｂは応答文ｚとＩＤと先に生成した乱数成分と
   問い合わせ文β’を乱数成分除去器に入力して乱数成分
   の影響を取り除いてメッセージｍに対応した値ｚ’を求
   め、ｚ’をｍ、ＩＤ、βと共に検証者Ｃに送信し、 検証者Ｃはｚ’とメッセージｍと問い合わせ文βとＩＤ
   を検査器に入力してβとｚ’がｍに対する正しい署名に
   なっていることを検査して、被検証者Ｂが乱数成分を秘
   密にすることで、被検証者Ｂと証明者Ａ間で通信される
   ｘ’、β’、ｚと、検証者Ｃと被検証者Ｂ間で通信され
   るｍ、β、ｚ’の対応関係を秘密にできることを特徴と
   するメッセージの認証方式。