JPH037443A - 認証装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 この発明は、相手認証（例えば電話の話相手が本当に自
分の話したい相手であることを認証する）、本人認証（
例えば自分が本当にその本人であることを相手や他人に
認証してもらう）、データ認証（データが正しいことを
認証してもらう）などを行う認証装置に関するものであ
る。

〔従来の技術〕

従来、暗号通信の分野においては、ある秘密情報Ｓ　（
例えばパスワードやＩＤナンバーなど）を知っている者
（以下、証明者と云う。）を本人と、確認者が認めるこ
とで認証が行なわれている。このような認証方式のなか
でフイアットーシャミャ（Ｆｉａｔ−Ｓｈａｍｉｒ）の
提案した、いわゆるフイアットーシャミャ法は、 １、　確認者は、秘密情報Ｓを知っている者を認証する
。

２６　　確認者は、秘Ｖ情ｔｌｓを知らない者を認証し
ない。

３、証明者は、確認者に、秘密情報Ｓを知っていると云
うことだけを伝え、＃Ｂ密情報Ｓの内容は漏らさない。

という意味で、どんな攻撃（例えばなりすまし、通信回
線の盗聴など）に対しても安全であり、上述した相手認
証、本人認証、データ認証などを行う認証ｇ＆だにおい
て有望な認証方式である。しかし、このフイ７ットーシ
ャミャ法では、認証の信頼性を高めるためには証明者と
確認者との間の通信回数を多くしなければならない。

この点を改良した従来周知の認証方式として、フイアッ
トーシャミャ自身１こよるフイアットーシャミャ・パラ
レル法（なお、上述したフイアットーシャミャ法および
フィアットーシャミャ・パラレル法は、１９８８年５月
３１日付で特許されたアメリカ合衆国特許第４．７４８
，６６８号明Ｉａ書に開示されている。）太田−岡本の
方法（１９８８年暗号と情報セキュリティ・シンポジウ
ム資料に掲載された太田和犬および岡本能明共著の論文
ｍＫ乗根の計算の困難性を用いた効率のよい認証方式″
）、およびギロウーキスケータ（Ｇｕｉｌｌｏｕ−Ｑｕ
ｕｓｑｕａｔｅｒ）の方法〔プロシーデインゲス・オブ
・ユーロクリプト　（Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　
Ｅｕｒｏｃｒｙｐｔ）　８　Ｂの！Ｉ　１２３〜１２８
ベー７（１９８８）に掲載されたルイス・シー・ギロウ
およびホアンージャック・キスケータ　（ＬｏｕｉＳＣ
，Ｃ＋ｕｉｌｌｏｕ　ａｎｄ　Ｊｅａｎ−Ｊａｃｑｕｅ
ｓ　Ｑｕｉｓ−ｑｕａｔｅｒ）共著の論文“伝送および
メモリを極小化する安全マイクロプロセッサに適合され
た実際的な零知識プロトコール”　〕がある。

こ）では、上述したフイアットーシャミャパラレル法を
用いた従来の認証装置を第２図のプロン、り図について
説明する。第２図において、多数のユーザーのうちの特
定の２人例えば上述した証明者Ａと確認者Ｂとが認証を
行うための事前処理として、信頼できるセンター例えば
公共機関や銀行などＣが下記の公開情報およＶ秘密情報
を準備する。詳しく云えば、まずユーザーやセンター〇
を含めたネットワーク内で共通に用いられる公ｒｍｍ報
として、２つの相異なる大きな素数ｐとｑの積Ｎ　（た
ずし、ｐお上りｑは公開しない。）、および一方向性関
数ｒを準備する。また個人の秘密情報として、個人のＩ
Ｄ情報例えば名前、生年月日、住所などＩを準備すると
共に、このＩから得られる数ＩＪを下記の式（１）によ
り計算し、１、＝ｆ　　（Ｉｔｊ）　　　・　・　・　
・　・　・　・　・　・（１）Ｌ　’　Ｌ−、Ｊ＝　’
　Ｉ・・・・・、にである。

このＩＪの法Ｎの下での平方根で最も小さい数ｓＪ、す
なわち、 ＩＪ：５Ｊ２ａｏｄＮ　・・・・・・・（２）を満たす
ＳＪをＭＡ４１Ｉする。その後、センターＣは各ユーザ
ーに５ｌｌＳ２１　　・・・、Ｓにを送る。

証明者へと確認者Ｂとは以下のステップ１〜ステツプ４
を繰り返し実行する。

Ｌムムｎ 証明者Ａは第１の乱数発生器（１）を用いてランダムに
整数Ｒ（０≦Ｒ＜Ｎ）すなわちＲＥＩｏ、１゜・・・、
（Ｎ−１）Ｉを発生させ、この乱数Ｒを第１のメモリ（
２）に記憶させる。更に、このｔｔＳｌのメモリ（２）
に記憶された乱数と、第２のメモリ（３）に予め記憶さ
れでいる公ＷＩＩ情報Ｎおよび秘密情報としてのＩＤ情
情報差びに必要な計算プログラムＣＰＩとを呼び出し、
第１のプロセッサ（４）を用いて Ｘ＝Ｒ２閣ａｄ　　Ｎ　　・　・　・　・　・　・　・
　・　・　（３）を計算し、通信回線（５）を通してデ
ーＰ１．Ｘを確認者Ｂに送る。なお、式（３）はＲを２
乗してＮで割った余りをＸとすることを意味する。

ムｌニとプ」− 確認者Ｂは証明者Ａから送られて来たデータエ。

Ｘを第３のメモリ（６）に記憶させ、また第２の乱数発
生器（７）をｍいてランダムにに個のビット列Ｅ　ｌ　
ｌ　Ｅ　２　＋・・・、ＥにすなわちＥ＋Ｅ（０，１１
を発生させ、このビット列ＥｌｆＥ２１　　・・・＋　
Ｅ　ｋを第３のメモリ（６）に記憶させると共に、更に
このビット列ＥｌｌＥ２１　　・・・＋　Ｅ　ｋを通信
回線（５）を通して証明者へに送る。

ステップ３ 証明者Ａは確認者Ｂから送られて米たビット列ＥｌｌＥ
２１・・・ｗ　Ｅ　Ｋを第１メモリ（２）に記憶させる
。更に第１のメモリ（２）に記憶されている乱数Ｒおよ
び記憶させたばかりのビット列Ｅ＋＋Ｅｚｙ・・・＋　
Ｅ　Ｋと、第２のメモリ（３）に記憶されている上述の
Ｎ、Ｉ、Ｓ、、Ｓ、、・・・、Ｓｋ、ＳＰｌを呼び出し
、第１のプロセッサ（４）を用いてＹ＝Ｒ×■Ｅｊ８．
Ｓｊ　ｍｏｄ　Ｎ　・　・　・　・（４）を計算し、こ
のデータＹを通信回線（５）を通して確認者に送る。な
お、通信回線（５）は実際には１回線であるが、通信回
数を明白にするために第２図では３本示した。

ステップ４ 確認者Ｂは証明者Ａから送られて来たデータＹをＰＡ３
メモリ（６）に記憶させる。更に第３のメモリ（６）に
記憶されているデータ１．Ｘ　　および記憶させたばか
りのデータＹ並びにビット列Ｅ　Ｉ　Ｉ　Ｅ　２　ｆ・
・・＋　Ｅ　ｋを呼び出し、かつ第４のメモリに予め記
憶されている公開情報Ｎおよび必要な計算プログラムＣ
Ｐ２を呼び出し、第２のプロセッサ（９）を用いて ■ｊ＝ｒ（Ｉ、ｊ）ｊ＝１．・・・、ｋ・・（５）を計
算し、次式が成立するかどうかをチエツクする。

Ｙ２＝ＸＸｒＩＥｊ、１　ＩＪ　ｍｏｄ　Ｎ　・　・　
・　・（６）式（６）が成立すれば、確認者Ｂは証明者
Ａを本人であると認証するが、成立しなければ本人であ
ると認証しない。

〔発明が解決しようとする課題〕

従来の認証装置は上述したように構成されているので、
もしステップ２において確認者Ｂが証明者Ａに乱数を送
らないか、あるいは証明者Ａがステップ２において確認
者Ｂが送ってくるビット列Ｅ　ＩＴ　Ｅ　２１・・・、
Ｅにを予め知ることができるとすると、秘密情報Ｓ　１
ｌｓ２＋・・・、Ｓにを知らない第３者りでも次のよう
にして容易に証明者Ａになりすませることができる。

ステップ２で確認者Ｂの送る乱数がＥ、、Ｅ２．・・・
、ＥにすなわちＥ＋ＥＩＯ，１１である場合、ステップ
１において、証明者Ａは乱数Ｒを選び、Ｘ”Ｒ”／ｒＩ
８Ｊ−＋　　ＩＪ　ｍｏｄ　Ｎ　・・・・（７）を送り
、ステップ３において、 Ｙ＝Ｒ・・・・・・・・・・・・（８）を確認者Ｂに送
る。確認者Ｂはステップ４において Ｙ２＝ＸＸＩＴａＪ、＋　　ＩＪ　　論。ｄＮ　　・　
・　・　・（９）が成立するかどうかをチエツクするが
、第３者りの送ってきたデータＸ、Ｙは、このチエツク
をパスする。従って、確認者Ｂの送る乱数ＥＩＩＥ２１
・・・＋　Ｅ　ｋに応じて証明者ＡがデータＸ、Ｙを予
め用意できないようにするためには、証明者Ａがデータ
Ｘを送った後に、確認者Ｂが乱数Ｅ、、Ｅ２１・・・ｒ
　Ｅ　ｋを送らなければならない、そのためには、証明
者Ａと確認者Ｂとの間の通信回数が最低３回必要であす
１．更に通信回数を減らして通信効率を上げることが出
来ないかという問題、直を有していた。また、この問題
点はハードウェアの面からも証明者Ａと確認者Ｂが乱数
発生器を持たなければならないという意味で改善が要求
されていた。

この問題点は太田−四本の方法や、ギロウーキスケータ
の方法でも同様に起こり得る。

この発明は、上述したような問題点を解決するためにな
されたもので、なりすましや盗聴を防ぎ、安全性や認証
のＭｓ′ｌ性の高い、証明者のみしか乱数発生器を必要
とせず、通信回数が１回で済み、しかも通信効率の良い
認証を可能とする認証装置を得ることを目的とする。

〔課厘を解決するための手段〕

この発明に係る認証装置は、証明者の操作により乱数を
発−生する乱数発生器と、現時点のタイムスタンプを生
成する第１の時計と、発生された６Ｌ数および生成され
たタイムスタンプ並びに前記証明者の、予め記憶されて
いる公ｍ情報および秘密情報から所要の認証データを作
成するデータ作成手段と、前記証明者が作成された認証
データを確認者に送る通信回線と、前記タイムスタンプ
を確認する第２の時計と、確認済みのタイムスタンプ並
びに送られて来た認証データおよび予め記憶されている
公開情報から認証を行う認証実行手段とを設けたもので
ある。

〔作　用〕

証明者は乱数を発生させ、認証時の日付時間と乱数と証
明者の秘密情報などとから認証データを作成して確認者
に送る。確認者は証明者から送られて来た認証データの
日付時間が正当であるがどうかを確かめ、更に、認証デ
ータが正当であるがどうかを確かめ、証明者が本人であ
るがどうがを認証する。

〔実施例〕

以下、図面を用いてこの発明の一実施例を詳しく説明す
る。

第１図は、この発明に係る認証装置の一実施例を示すブ
ロック図である。図において、Ａは証明者、Ｂは確認者
、ＣＡは信頼できるセンターであって、公開４ｆｔ報の
１つである２つの相異なる大きな素数１１＋Ｑの積Ｎ、
および公開情報の１つである一方向性関数ｒに加えて公
開情報の１つである疑似乱数ｒ！ｌ数Ｈな準備し、更に
ユーザー個人の秘密情報の１つであるＩＤ情報例えば名
前、生年月日、住所など■、この■から得られる数ＩＪ
＋およびセンターＣＡがユーザーに与える個人の秘密情
報の１つで、ＩＪの法Ｎの下でのＬ乗根の内の１つ、例
えば最も小さい数ＳＪ　をＳ備する。（１）は乱数Ｒを
発生する、第２図の第１の乱数発生器（１）は全く同じ
ものであって、以下単に乱数発生器と云う。（１１）は
現時点のタイムスタンプＴを生成する第１の時計、（１
２）は乱数ＲおよびタイムスタンプＴを一時的に記憶す
る第１のメモリ、（１３）は公開情報ＮやＨ１証明者の
秘密情報ｒや５ＩＩＳ２１・・・＋Ｓｋｙ　それに必要
な計算プログラムＣＰＩを記憶するｆｆ１２のメモリ、
（１４）は証明者Ａ側の回路の動作の制御、データの授
受、各種の判断などを行う第１のプロセッサである。な
お、これら第１のメモリ（１２）、ｆ５２のメモリ（１
３）および第１のプロセッサ（１４）はデータ作成手段
（１５）を形成する。

証明者Ａは後で詳しく説明する認証データを通信回線（
５）を通じて確認者Ｂに送る。（１６）は証明者Ａが送
って米な認証データを一時的に記憶する第３のメモリ、
（１７）は証明者Ａが送って米たタイムスタンプＴを確
認する第２の時計、（１８）は確認者Ｂが必要とする公
開情報Ｎや計算プログラムＣＰ２を記憶する第４のメモ
リ、（１９）は確認者Ｂ側の回路の動作の制御、データ
の授受、各種の判断等を行う第２のプロセッサである。

なお、これら第３のメモリ（１６）、第４のメモリ（１
８）および第２のプロセッサ（１９）は認証実行手段（
２０）を形成する。

上述したような装置構成は例えばスマートカードと計Ｗ
ｆｉシステムによって実現される。

次に、この発明の動作についで説明する。

証明者Ａと確認者Ｂとが認証を行うための事前処理とし
て、信頼できるセンターＣＡが下記の公開情報および秘
密情報を準備する。まずネットワーク内で共通に用いら
れる公開情報としての２つの相異なる大きな素数ｐ＋ｑ
の積Ｎ、一方向性関数ｆおよび疑似乱数関数Ｈを準備し
、また個人の秘密情報としてのＩＤ情報を準備すると共
に、このＩから得られる数ＩＪを Ｉｊ＝ｆ（Ｉ　＋ｊ）ｊ　＝１　＋・・・、ｋ・・・・
（１０）計算し、このＩＪの法Ｎの下でのＬ乗根の内の
１つ、例えば最も小さい数ＳＪｓすなわち□Ｌ ＩＪ＝ＳＪ　　　ｍｏｄＮ　　　　・　・　・　・　・
　・　・（１１）を満りｔ　Ｓ　Ｊ　ｆｔ！！Ａ　＠　
ｔ　ル、　＋　ノａ、センターＣＡは各ユーザーにＩ、
Ｓ、、Ｓ２．　　・・・ｌＳにを送る。

証明者Ａと確認者Ｂとは以下の通信を繰り返す。

第１の時計（１１）が生成する現時点（認証時）の日付
時刻を表すタイムスタンプＴは第１のメモリ（１２）に
記憶され、証明者Ａが乱数発生器（１）を用いて発生さ
せた乱数Ｒも第１のメモリ（１２）に記憶させる。証明
者Ａはこの第１のメモリ（１２）に記憶されているｇＬ
ＷＬＲおよびタイムスタンプＴと、第２のメモリ（１３
）に記憶されてνする公開情報Ｎ、Ｈ１と秘密情報ｒ、
ｓ、、・・・、Ｓにおよび必要とする計算プログラムＣ
ＰＩを呼び出し、第１のプロセッサ（１４）を用いて順
に Ｘ＝ＲｍｏｄＮ・・・・・・・・（１２）（ただし、Ｌ
≧２である。） ＥＲＩＥＳｌｌ　”　−”　ｔＥｓｘ＝　Ｈ（Ｔ＋Ｘ）
　”　”　（１３）ただし、ＥＲＥｉｌ、・・・（Ｌ−
１）ｌかつＥＳＪＥ！０、・・・（Ｌ−１）ｌ、ｊ　＝
　１　、・・・、にである。

ＥＲＥＳＪ Ｙ＝ＲＸＩＴＳＪ　　ｍｏｄＮ・・・・・（１４）を計
算し、認証データＩ　＋　Ｘ＋　Ｔ、＋　ＥＲ＋　ＥＳ
＋ｔ・・ｒ　Ｅ　Ｓに、Ｙを通信口ａ（５）を通しで確
認者Ｂに送る。確認者Ｂは証明者Ａから送られて米た認
証データＩｙ　Ｘ＋　’ｒ＋　ＥＲｔ　ＥＳｚ・・・ｒ
　Ｅ　Ｓに、Ｙを第３のメモリ（１６）に記憶させ、１
２の時計（１７）を用いてタイムスタンプＴが正当かど
うかを確かめる。次に第４のメモリ（１８）にその記憶
すれている公開情報Ｎおよび必要な計算プログラムＣＰ
２と、第３のメモ’Ｊ（１６）に記憶させたばかりの認
証データ　　（Ｌ　　ＸＩ　　Ｔ＋　　　ＥＲＩ　　　
ＥＳＩＩ”　　”＋ＥＳｉ＋Ｙ）　　を呼び出し、第２
のプロセッサ（Ｉ９）を用いてＥＲＩＥＳｌｌ　’　”
　・＋Ｅｓｘ＝Ｈ（Ｔ＋Ｘ）　’　−’　（１５）Ｉｊ
＝ｆ（ＬＪＬ・・・ｊ＝１．・・、ｋ・・（１６）−Ｌ
　　−ＥＲＥＳＪ Ｙ　　＝Ｘ　　　Ｘ［Ｉ４　　　　ａａｏｄ　　Ｎ　　
・・・・（１７）が共に成立するかどうかを確かめ、成
立すれば証明者Ａを本人と認め、成立しなければ本人と
認めない。

特にＥＲ＝１とした場合は認証データがＩ、Ｘ。

Ｔ＋　ｒ　ＥＳ＋＋’　”　’　＋ＥＳｋ　＋Ｙで、確
認者Ｂは−−Ｌ　　　　ＥＳＪ Ｘ＝Ｙ／ＩＴＩＪ　　ｍｏｄＮ・・・・・（１８）Ｉ　
Ｊ　＝　ｆ（Ｉ＋ｊＬｊ＝　Ｌ・・・、ｋ　　・・・（
１９）Ｅｓｚ　　’　　”　　’　　ｙＥｓｋ＝Ｈ（丁
、Ｘ）　　−−−・　（２０）を確かめればよい。

また、Ｅ　Ｓ＋＋　”　”　＋Ｅｓｘ＝Ｌ　”　”　＋
１とした場合は認証データがＩ、Ｘ、Ｔ、Ｙで、確認者
Ｂは ＥＲ＝Ｈ（Ｔ、ｘ）　　・　・　・　・　・　・　・　
・　・　・　（２１）１　ｊ＝ｆ（ＬＪＬ　・　・　・
　ｊ；　１　、・　・　、ｋ・　・　　（２２）　　−
ＥＲ Ｙ　＝Ｘ　　×■ＩＪ　Ｉｏｄ　Ｎ　　・　・　・　・
　・（２３）を確かめればよい。

また、信頼できるセンター〇Ａは個人の秘密情報として
Ｃ１迩）Ｈ・・・＋Ｇ　を選び、公開情報として大きな
素数ＰとＧＦ（Ｐ）の原始根αを選び、△　　介 ＩＪ＝α　　ｍ０ｄＰ・・・・・・・・（２４）を計算
し、各ユーザーにＩ　Ｉ？・・・＋Ｇ　湧）＋’・・ｙ
ｓｋを送ってもよい。

この時、証明者Ａの認証データは、 ハＲ Ｘ＝α　　ｍｏｄ　　Ｐ　　・　・　・　・　・　・　
・　・　・（２５）Ｇｙ　Ｇｌｔ　・・・＋　Ｇ　＝　
Ｈ（Ｔ、力＋　＄　（２６）ただし、ΩＥ（１，・・（
Ｐ−１）ｌかっ（）Ｅ　（０。

・　・（Ｐ−１）） ＧＸ　Ｒ＋ＱｘＣ＋　＋　　＋　　＋　６≧ｘＧ　ｎｏ
ｄ　　ＰＹ＝α ・　・　・　・　・　・　・（２７） より得られるＣＩ　”　”　＋　ｆ′ｉ′ｔ　Ｔ　＋　
９．？ｒ　Ｏｒｆン＋＋・・・、（≧であり、確認者Ｂ
はぞ）、（≧、・・・９台＝ｎ（Ｔ、’ｉ）・・・（２
８）Ｇ＝ｒ＜ｒ、ｊ＞＋　・・・ｊ＝　１１−−１に−
・（２９）を確かめる。

〔発明の効果〕

以上、詳述したように、この発明は、証明者の揉作によ
り乱数を発生する乱数発生器と、現時点のタイムスタン
プを生成する第１の時計と、発生された乱数および生成
されたタイムスタンプ並びに前記証明者の、予め記４ｉ
Ｌされている公開情報および秘密情報から所要の認証デ
ータを作成するデータ作成手段と、前記証明者が作成さ
れた認証データを確認者に送る通信回線と、前記タイム
スタンプを確認するＩ２の時計と、確認済みのタイムス
タンプ並びに送られて米な認証データおよび予め記憶さ
れている公開情報から認証を行う認証実行手段とを備え
ているので、証明者と確認者との間の通信が１回ですむ
通信効率の良い、６Ｌ数発生器が１台しか必要とせず、
しかも安全で信頼性の高い認証が可能な認証が得られる
と云う効果を奏する。

【図面の簡単な説明】

第１図はこの発明の一実施例を示すブロック図、第２図
は従来の認証装置を示すブロック図である。 図において、（＾）は証明者、（［１）は確認者、（Ｃ
八）は信頼できるセンター、（１）は乱数発生器、（５
）は通信回線、（１１）は第１の時計、（１２）は第１
のメモリ、（１３）はＰＩＳ２のメモリ、（１４）はＩ
５１のプロセッサ、（１５）はデータ作成手段、（１６
）は第３のメモリ、（１７）は！Ｒ２の時計、（１８）
は第４のメモリ、（１９）は第２のプロセッサ、（２０
）は灸証実行手段である。 なお、図中、同一符号は同一　または相当部分を示す。

Claims (1)

【特許請求の範囲】
1. （１）証明者の操作により乱数を発生する乱数発生器と
   、現時点のタイムスタンプを生成する第１の時計と、発
   生された乱数および生成されたタイムスタンプ並びに前
   記証明者の、予め記憶されている公開情報および秘密情
   報から所要の認証データを作成するデータ作成手段と、
   前記証明者が作成された認証データを確認者に送る通信
   回線と、前記タイムスタンプを確認する第２の時計と、
   確認済みのタイムスタンプ並びに送られて来た認証デー
   タおよび予め記憶されている公開情報から認証を行う認
   証実行手段とを備えたことを特徴とする認証装置。