JPH06505343A

JPH06505343A - 識別および／またはディジタル署名を行うための方法および識別装置並びに検証装置

Info

Publication number: JPH06505343A
Application number: JP4502460A
Authority: JP
Inventors: ナカシュ，　ダヴィド
Original assignee: トムソン　マルチメデイア　ソシエテ　アノニム
Priority date: 1991-02-07
Filing date: 1992-01-11
Publication date: 1994-06-16
Anticipated expiration: 2018-10-14
Also published as: EP0502559A2; AU648643B2; EP0570388A1; CA2101322A1; WO1992014318A1; US5502764A; DE69202699D1; EP0570388B1; EP0502559A3; DE69202699T2; AU1159292A; JP3456993B2

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】識別および／またはディジタル署名を行うための方法および識別装置並びに検証装置本発明は、識別および／または零認織（ｚｅｒＯ−ｋｎｏｗｌｅｄｅｇｅ　）アクセスコントロールを許可するディジタル署名を行うための方法、識別装置および検証装置に関する。

！アクセルコントロールシステムでは、ルートモジュロＸが用いられ、この場合、Ｘは少なくとも２つの大きな素因数を有する合成（コンポジット）数である。

Ｘの因数分解が若干のユーザに既知であるようなアクセスコントロールシステムが存在する。１つの実例は、Ｒａｂｉｎによるアルゴリズムであり、これは”Ｐｒｏｂａｂ　ｉ　１ｉｓｔｉｃ　Ａｌｇｏｒｉｔｈｍｓ”　ｉｎ　Ｓ、　Ｔｒａｕｂ　Ｅｄ、、　’Ａ１ｇｏｒｉｔｈｍｓａｎｄ　Ｃｏｍｐｌｅｘｉｔｙ、Ｎｅｗ　Ｄｉｒｅｃｔｉｏｎｓ　ａｎｄ　Ｒｅｃｅｎｔ　Ｒｅ５ｕｌｔｓ″′、　Ａｃａｄｅｍｉｃ　Ｐｒｅｓｓ、　Ｎｅｗ　Ｙｏｒｋ、　１９７６．２１−２４　に開示されている。

本発明の１つの目的は、識別および／または零認識アクセスコントロールを可能にするディジタル署名を準備処理するための方法を提供することにある。

この目的は、請求項１記載の本発明による方法により解決される。

さらに本発明の別の目的は、識別および／またはディジタル署名を行うための方法を提供することにある。

この目的は、本発明による方法により解決され、この方法の有利な実施形態は１個々の従属請求項に示されている。

基本的に本発明による方法は、資格性付与主体によるデータ算出と、識別装置Ｕにおける記録により構成されており、以下の第１のステップを有する。すなわち、モジュロＸ、べき乗指数ｄおよび関数Ｈを選択して公開し、ここにおいて、Ｘは少なくとも２つの大きな素数の積であり、Ｈは一方向性疑似ランダム関数であり；各ＰＫ、がルートモジュロＸを有するようなに個の小さな素数ＰＫ１の集合（ＰＫ、　、、、、、　ＰＫｋ）を算出し：前記の小さな素数ＰＫ、　を、パターンデータＰＮたとえばＸの一部と、ならびに前記識別装置Ｕに関する情報を含む固有情報データＩＤと連結し、−ドデータＳＤを生成し、ここにおいて（ＰＫ、　＆、、、＆　ＰＫｋ＆　ＰＮ　＆　ＩＤ）がｄ乗根を有していなければ、べき乗根が見つけられるまでＰＫ、のオーダを転置ないし選択し、または小さな任意のストリングＪを（ＰＫ、　＆、、。

Ａ　ＰＫｋ＆　ＰＮ　＆　ＩＤ）に付加して、（Ｊ　＆　ＰＫ、＆、、、ｌ　ＰＫｋ　＆ＰＮ　＆　ＩＤ）がｄ乗根を有するようにし、；前記識別装置Ｕ（１８）において、前記シードデータＳＤを、および／または前記モジュロＸを、および／または前記関数Ｈを、および／または合（ＳＫ、　、、、、、　５Ｋｋ）を記録する。

その後、識別を行う場合、前記の識別装置Ｕ（１８）および／または検証装置Ｖ（１７）において、以下の第２のステップ（第２図）が実行される。すなわち、ａ）Ｕは前記シードデータＳＤをＶへ送信し：選択し、数値Ｚを算出してＶへ送信し；りＰＮが有効であるかを検査し、ＳＤｍｏｄＸ以内の前記の小さな素数ＰＫ、を分離し、それぞれＯ≦０１≦にであるようなｈ個の数値Ｃ９の集合（ＣＩ　＋” ’Ｉ　Ｃ１）を選択し、それらをＵへ送信し。

ｄ）Ｕはｈ個の値ＲＥＳＰ＋　＝　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　Ｒｔ　ｅｌｓｅ　ＲＩＳＫ、。

ｍａｄ　Ｘ）を算出し、前記のｈ個の値ＲＥＳＰ、の集合（ＲＥＳＰ＋　＝、、、　ＲＥＳＰ、）をＶへ送信し；ｅ）Ｖは、Ｚ　＝　Ｈ（＆＆（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫ、＋）の検証によりＵの身元を検査する。

さらに、メツセージｍのディジタル署名を行う場合、前記識別装置Ｕ　（１８）および／または検証装置Ｖ（１７）において、以下の第２のステップが実行される。すなわち、ａ）Ｕは前記シードデータＳＤをＶへ送信し；ある小さな素数ＰＫ、を分離し：択し、により規定された数値Ｚを算出し、前記数値Ｚを、それぞれが０≦Ｃ２≦にであるようなｈ個の数値Ｃ４の集合（ｃ＋＋　−−−＋　ｃｈ）　として読み出し；ｄ）Ｕはｈ個の値ＲＥＳＰ＋　＝　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　Ｒｔ　ｅｌｓｅ　Ｒｔ５Ｋｃ１ｎｏｄ　Ｘ）を算出し、集合（Ｚ、　ｍ、　ＲＥＳＰ、、　、、、、　ＲＥＳＰｈ）を■へ送信し；Ｚ　ｓ　Ｈ（＆＆（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫ、、）ＲＥＳＰ＋　ｍａｄ　Ｘ　ｍ）の検証により、ｍにおけるＵの署名を検査する。

本発明の別の目的は、本発明による方法のためにそれぞれ識別装置と検証装置を提供することにある。この目的は、請求項１１および１２にそれぞれ記載の本発明による識別装置および検証装置により解決される。

本発明による識別装置は基本的に、第１計算手段（１５）、該第１計算手段と接続された第１記憶手段（１６）、および前記第１計算手段と接続された第１データ交換手段（１４）を有しており、前記第１記憶手段は、前記シードデータＳＤ、前記モジュロＸ、前記関数Ｈ１および前記の数値Ｓ　Ｋ　＋　の集合（ＳＫ、、　、、、。

ｓＫｍ）を記憶し、前記データ交換手段はデータを送信し、前記検証装置Ｖ（１７）からデータを受信する。

本発明による検証装置は基本的に、第２計算手段（１２）、該第２計算手段と接続された第２記憶手段（１１）、前記第２計算手段と接続された第２データ交換手段（１３）を有しており、前記第２記憶手段は、前記モジュロＸおよび前記間数を記憶し、前記データ交換手段はデータを送信し、前記識別装置Ｕ　（１８）からデータを受信し、前記第２計算手段は、前記識別装置Ｕ（１８）から受信したデータを検証する。

個々の従属請求項には、本発明による識別装置の有利な実施形態が示されている。

本発明によるアクセスコントロールシステムにより、検証装置と交信する偽造不可能な識別装置を提供することができ、これは有料ＴＶ、クレジットカード、ｄｏｎｇｌｅｓ、パスポート、ドアキー、コンピュータ、端末等、実践での適用は多数ある。

このアルゴリズムは、有限環における平方剰余に基づくものであり、つまり平方（またはそれ以上の）根モジュロＸの計算は困難であることに基づいている。

この場合、Ｘは少なくとも２つの素因数を有する合成数である。これらの素因数は、次の条件を満たしていなければならない、すなわち、１）Ｘ＝ｐｑ、ここにおいて長さくｐ）は長さくｑ）とほぼ等しい。

２）（ｐ−１）も（ｑ−１）も両方とも大きい素因数である。

３）（ｐ−１）と（ｑ−１）の最大公約数は小さい。

このアクセスコントロールシステムの主要な特徴は次の点にある。すなわち、１）アルゴリズムは、証明可能に零認識である。

２）無制限の数のユーザ（ｍ別装置）が、検証装置へ通報することもなくかつシステムの安全性を危うくすことなく、このシステムに加入できる。

３）資格性付与主体だけしかＸの因数分解を知らない。

４）モジュラ指数関数化は不要であり、乗法および自乗だけでよい。

５）ひとりのユーザに対する攻撃によっても設計全体の安全性は危うくされない。

本発明全般にわたる取り決めは、以下のとおりである：１）”＆“は連結演算子を表わす。

２）＆＆Ｅｘｐｒ、”は”　ＥＸｐ　ｒ＋　＆ＥＸｐ　ｒ。

＆、、、＆　Ｅｘｐ　ｒ、’ｌを表わす。

３）Ｈは暗号的に耐久性のある一方向性疑似ランダムハツシュ関数であり、これはｗｌ、ｗ、、、、、。

Ｗｂ　を長い任意のストリングＨ（ｗｌ　＆　ｗ２　＆。

、、＆　ｗｈ）に対応づける。

たとえばスマートカードのような、資格性の付与されたあらゆる識別装置Ｕは、（代表的には範囲［８゜２０］内の種々のに乗根を検証装置Ｖに提示できなければならないつ検証装置は、これらルートの逆数のうち（代表的には範囲［３，１０］内の）ｈ個を選択し、それらはｈ個の乱数により隠され（これにより、ルートモジュロＸを算出することはＸを因数分解するのと同じくらい困難であるので設計の零認識特性が保証される）、スマートカードにより提示される。

スマートカードを発行する前に、資格性付与主体は、ＰＫ、、ＰＫ、、、、、、ＰＫ、で表わされる、ルートモジュロＸを有する小さなランダムな素数の集合を選択し、それらを（たとえばＸの一部であるような）公開のパターンデータＰＮおよび（有効期限、氏名、資格等のような）有用情報と連結し、ＰＫ、＆、、。

＆ＰＫ、＆ＰＮ＆ＩＤ　のルートモジュロＸを算出する（このルートはＳＤを表わす）、　ＰＫ、＆、　、　。

＆ＰＫ、ＡＰＮ＆ＩＤ　がルートを有さなければ、ルートの値が見つかるまでＰＫ、の順序を入れ替えることができる。適切なルートの見出されない確率は、試行される転置の回数にしたがって指数関数的に低減する。

ＳＤが最終的に見つかると、資格性付与主体は前記のスマートカードにＳＤ、Ｘおよび擬似ランダム関数−トはモジュロＸである。

識別装置Ｕが検証波Ｗｌｖに対し、これらの値を開示することなく検証装置がＳＫ、を認識していることの証明を要求する場合、以下のプロトコルが実施される。

すなわち、１）ＵはシードデータＳＤをＶへ送信する。

２）Ｕ＋、ｔ、範囲［Ｊ−（Ｘ）、Ｘ］内のｈ個の乱数Ｒ。

を選択し、Ｚ　＝　Ｈ（Ｒ＋！ｍａｄ　Ｘ　＆、、、＆　Ｒｈ”　ｎｏｄ　Ｘ）を算出し、 ■へ送信する：３）ＶはＳＤ”ｍｏｄＸを算出し、パターンデータＰＮが有効であるかを検査し、（ＳＤ”ｍｏｄＸ内で見つけられた）ＰＫＩ　を分離し、それぞれ０ＳＣＩ≦ にであるようなｈ個の数値Ｃ＋　の集合（Ｃ＋、　０１．。

ｃｈ）を選択し、それらをＵへ送信する。：４）Ｕはｈ個の値ＲＥＳＰ＋＝　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ’Ｒ＋　ｅｌｓｅ　Ｒ，ＳＫ、＋朧ｏｄ　Ｘ）ヲ算出シ、集合＜　ＲＥＳＰ、　、、、、、　ＲＥｓｐｈ　）ヲｖへ送信する：５）Ｖは、ｚ−旧＆＆　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　ｌ　ｅｌｓｅ　Ｐｌ［，１）ＲＥＳＰ＋”　ｎｏｄ　Ｘ）の検証により、Ｕの身元を検査する。

メツセージｍのディジタル署名は、以下のプロトコルにより実施される。すなわち、１）ＵはＶヘシードデータＳＤを送信する：２）ＶはＳＤ’ｍｏｄＸを算出し、前記のノ曵ターンデータＰＮが有効であるかを検査し、ＳＤ’ｎ＋ｏｄＸ以内の前記の小さな素数ＰＫ、　を分離する；３）ｕ＋＊、範囲［Ｊ　（Ｘ）、Ｘｌ内のｈ個の乱数Ｒ１を選択し、Ｚ　＝　Ｈ（Ｒ，’　ｍｏｄ　Ｘ　＆、、、＆　Ｒｈ”　ｍａｄ　Ｘ　＆　ｍ）により規定された数値Ｚを算出し、前記数値Ｚを、それぞれ０≦０１≦にであるようなｈ個の数（直ＣＩの集合（Ｃ，、、９，、ｃｈ）として読む：４）Ｕはｈ個の値ＲＥＳＰ、ｘ　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　Ｒ＋　ｅｌｓｅ　Ｒ＋ＳＫ、＋ｎｏｄ　Ｘ）を算出し、集合（Ｚ、ｍ、ＲＥＳＰ＋＋、、、、ＲＥＳＰｈ　）　ヲＶへ送信する；５）Ｖは、Ｚ　！ＩＨ（＆＆　（ｉｆ　（ｃ、　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　１　ｅｌｓｅ　ＰＩ、、）ＲＥＳＰ＋”　ｎｏｄ　Ｘ　＆　ｍ）の検証により、Ｕの身元を検査する。

Ｉ次に、本発明の有利な実施形態を添付の図面に基づき説明する。

第１図は、識別装置および検証装置を示す図である。

第２図は、識別装置と検証装置の間の第１の認証プロトコルを示す図である。

第３図は、識別装置のための、記憶され算出されるデータとフローチャートを示す図である。

第４図は、検証装置のための、記憶され算出されるデータおよびフローチャートを示す図である。

−有Ｊレタス」１匹第１図には、検証装置１７と識別装置１８が示されている。識別装置は第１マイクロプロセツサ１５、この＄１マイクロプロセッサ１５と接続された第１メモリ１６、および検証装置１７とデータ交換するための第１コネクタ１４を有している。検証装置１７は第２マイクロプロセツサ１２、この第２マイクロプロセツサ１２と接続された第２メモリ１１、および識別装置１８とデータ交換するための第２コネクタ１３を有している。第１メモリ１６はシードデータＳＤ、モジュロｘ、関数Ｈ１および数値ＳＫ、（７）集合（ＳＫＩ、　、　。

、、ＳＫｈ　）を記憶する。第１マイクロプロセツサ１５は、第３図に示されているようなデータを算出する。

第１メモリ１６は、中間結果の記憶にも使える。データは、第１コネクタ１４を介して第３図の識別装置Ｉ１０インターフェースから送／受信される。第２メモリ１１はモジュロＸおよび関数Ｈを記憶する。第２マイクロプロセツサ１２は、第４図に示されているようなデータを算出する。第２メモリは、中間結果の記憶にも使える。データは、第２コネクタ１３を介して第４図の検証装置Ｉ１０インターフェースから送／受信される。

第２図には、いずれのデータを算出でき、識別装置１８と検証装置１７との間で交換できるかが、第１のプロトコルとして示されている。識別装置Ｕ１８　と検証装置Ｖ１７　において以下のステップが実行される：ＵはシードデータＳＤをＶへ送信する。ＶはＳＤ”ｍａｄ　Ｘを算出し、パターンデータＰＮが有効であるかを検査し、ＳＤ”ｍｏｄＸ以内の小さな素数Ｐ　Ｋ　＋　を分離する。Ｕは、［Ｊ（Ｘ）、ｘｌの範囲内のｈ個の乱数Ｒ１を選択し、Ｚ　＝　Ｈ（Ｒ，”　ｎｏｄ　Ｘ　＆、、、＆　Ｒ，”　ｍａｄ　Ｘ）により規定されたＺを算出し、■へ送信する。■は、それぞれ０≦０１≦にであるようなｈ個の０１の集合（Ｃ１１１０，、ｃ、）を選択し、それらをＵへ送信する。Ｕはｈ個の値ＲＥＳＰ＋＝　（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　Ｒ＋　ｅｌｓｅ　Ｒ＋ＳＫｃ＋ｎｏｄ　Ｘ）を算出し、前記のｈ個の値ＲＥＳＰ、の集合Ｙ＝　（ＲＥＳＰ、、、、、、ＲＥＳＰ、）をｖへ送信する。■は、ＺとＨ（＆＆（ｉｆ　（ｃ＋　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫ１１＋）ＲＥＳＰｉ’ｎｏｄ　Ｘ）の値の比較により、Ｕの身元を検査する。これらの値が等しければ、Ｕの要求した身元が承認される。

疑似ランダム間数Ｈは、代数関数Ｐにおいて適用される疑似ランダムハツシュ関数Ｈと置き換えることができる。この場合、数値Ｚは、Ｚ　＝　Ｈ（Ｐ（Ｒ，！＆、、、＆　Ｒｈｔｈ）　ｍａｄ　Ｘ）により規定される。Ｕの身元を検査するために、■は、Ｌｌ讃（ｉｆ　（ａｔ　ｅｑｕａｌ　Ｏ）　ｔｈｅｎ　ｌ　ｅｌｓｅ　Ｐｌ、）　ＲＥＳＰ−ｎｏｄ　Ｘ）により規定さｈたｈ個の値（Ｌ、、　、　、　、　、　Ｌｋ）を算出し、ｚ富１（Ｐ（Ｌ、　、、、、、　１．）　ｎｏｄ　Ｘ）を検証する。

第３図には、第１マイクロプロセツサ１５においていずれのデータが算出され、検証装置と交換されるかが示されている。

第４図には、第２マイクロプロセツサ１２においていずれのデータが算出され、識別装置と交換されるかが示されている。

ｋに対しては、［ｌＩ［８，２０］が有利である。

ｈに対しては、範１１［３，１０］が有利である。

有利には、Ｓは値ｓｗ２＊ｈを有する。

有利には、数値ＳＫ、の長さは、１ｂｙｔｅ以上８ｂｙｔｅ以下である。

本発明は、種々異なる手法で一般化可能である。主なものは以下の通りであるニー小さな素数ＰＫを公開ディレクトリに記録できる；−２乗の代わりに３乗根またはそれ以上の乗根を用いる； −３つ以上の大きな素数の積であるモジュロＸを用いる； −Ｘのサイズを増加させる。有利には５１２ｂｉｔ＝６４ｂｙｔｅ；一モジュロＸをその他の有限体と置き換える。

−ＩＤにおいてランダム関数を適用することにより得られる他のＰｌ値を用いる。たとえばｔ個の小さな素数のテーブルを検証装置において生成し記録でき。

ｆ（ＩＤ）のｔ番目のビットを、ＰＫｔを表すために用いることができる（たとえば。−これは公開鍵ではない、ｌ−これは公開鍵である）、この場合。

ｆはＭ似うンダム関数である。ｔに対してはｌ［囲［８，２０］が有利である；一耐久力を指数関数的に増加させるために、プロトコルをｅ回（ｅ　）　１　）反復できる；−有利には、疑似ランダム関数Ｈを、（たとえば線形結合または多屓式のような）代数関数において適用されるハツシュ関数により置き換えることができる。

Ｚ　＝　Ｈ（Ｐ（Ｒ，、１１，、Ｒｈ　）　ｌ１ｏｄ　Ｘ）。

このことにより、Ｕに対するｈ−１個のモジュラリダクションが回避され、他方、■は、Ｚ　＝　Ｈ（Ｐ（Ｒ，ｎｏｄ　Ｘ、、、、、Ｒ，）　ＩＩｏｄ　Ｘ）　ｍａｄ　Ｘ）を検査する。

特表千６−５０５３４３　（８）補正書の翻訳文提出書（特許法第１８４条の８）

Claims

【特許請求の範囲】

１．資格性付与主体によりデータが算出され、識別装置Ｕ（１８）に記録される形式の、識別および／またはディジタル署名を行うための方法において、以下の第１のステップを有する、すなわち、モジュロＸ、べき乗指数ｄおよび関数Ｈを選択して公開し、ここにおいて、Ｘは少なくとも２つの大きな素数の積であり、Ｈは一方向性疑似ランダム関数であり；各ＰＫ１がルートモジュロＸを有するようなｋ個の小さな素数ＰＫ１の集合｛ＰＸ１．．．．，ＰＫｋ｝を算出し；前記の小さな素数ＰＫ１を、パターンデータＰＮたとえばＸの一部と、ならびに前記識別装置Ｕに関する情報を含む固有情報データＩＤと連結し、ＳＤｄ　ｍｏｄ　Ｘ＝（ＰＫ１　＆．．．＆　ＰＫｋ　＆　ＰＮ　＆　ＩＤ）のようなシードデータＳＤを生成し、ここにおいて（ＰＸ１　＆．．．＆ＰＫｋ　＆　ＰＮ　＆　ＩＤ）がｄ乗根を有していなければ、べき乗根が見つけられるまでＰＫ１のオーダを転置ないし選択し、または小さな任意のストリングＪを（ＰＫ１　＆．．．＆　ＰＫｋ　＆　ＰＮ　＆　ＩＤ）に付加して、（Ｊ　＆　ＰＫ１＆．．．＆　ＰＫｋ　＆　ＰＮ　＆ＩＤ）がｄ乗根を有するようにし、；前記識別装置Ｕ（１８）において、前記シードデータＳＤを、および／または前記モジュロＸを、および／または前記関数Ｈを、および／またはＳＫｉｄ　ＰＫ１　ｍｏｄ　Ｘ＝１により規定される数値ＳＫｉの集合｛ＳＫ１，．．．，ＳＸｋ｝を記録することを特徴とする、識別および／またはディジタル署名を行うための方法。
２．識別を行う場合、前記識別装置Ｕ（１８）および／または検証装置Ｖ（１７）において、以下の第２のステップ（第２図）が実行される、すなわち、ａ）Ｕは前記シードデータＳＤをＶへ送信し；ｂ）Ｕは、範囲［４√（Ｘ），Ｘ］内のｈ個の乱数Ｒ１を選択し、Ｚ＝Ｈ（Ｒ１　ｍｏｄ　Ｘ　＆．．．＆　Ｒｈ６　ｍｏｄ　Ｘ）により規定された数値Ｚを算出してＶへ送信し；ｃ）ＶはＳＤ４　ｍｏｄＸを算出し、前記パターンデータＰＮが有効であるかを検査し、ＳＤ４　ｍｏｄ　Ｘ以内の前記の小さな素数ＰＫ１を分離し、それぞれ０≦ｃ１≦ｋであるようなｈ個の数値Ｃ１の集合（Ｃ１，．．．，　Ｃｈ）を選択し、それらをＵへ送信し；ｄ）Ｕはｈ個の値ＲＥＳＰ１＝（ｉｆ（ｃｉ　ｅｑｕａｌ　０）ｔｈｅｎ　Ｒ１　ｅｌｓｅ　Ｒ１ＳＫｃ１ｍｏｄ　Ｘ）を算出し、前記のｈ個の値ＲＥＳＰ１の集合（ＲＥＳＰ１，．．．，ＲＥＳＰｎ）をＶへ送信し；ｅ）Ｖは、Ｚ＝Ｈ（＆＆（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫｃ１）ＲＥＳＰ１４　ｍｏｄ　Ｘ）の検証によりＵの身元を検査する、請求項１記載の方法。
３．メッセージｍのディジタル署名を行う場合、識別装置Ｕ（１８）および／または検証装置Ｖ（１７）において、以下の第２のステップが実行される、すなわち、ａ）Ｕは前記シードデータＳＤをＶへ送信し；ｂ）ＶはＳＤｄ　ｍｏｄ　Ｘを算出し、前記パターンデータＰＮが有効であるかを検査し、ＳＤｄ　ｍｏｄ　Ｘ以内である小さな素数ＰＫ１を分離し；ｃ）Ｕは、範囲［ｄ√（Ｘ），Ｘ］内のｈ個の乱数Ｒ１を選択し、Ｚ＝Ｈ（Ｒ１ｄ　ｍｏｄ　Ｘ　＆．．．＆　Ｒｈｄ　ｍｏｄ　Ｘ　＆　ｍ）により規定された数値Ｚを算出し、前記数値Ｚを、それぞれが０≦ｃ１≦ｋであるようなｈ個の数値Ｃ１の集合｛ｃ１，．．．，ｃｈ｝として読み出し；ｄ）Ｕはｈ個の値ＲＥＳＰ１＝（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　Ｒ１　ｅｌｓｅ　Ｒ１ＳＫｃ１ｍｏｄ　Ｘ）を算出し、集合｛Ｚ，ｍ，ＲＥＳＰ１，．．．，ＲＥＳＰｈ｝をＶへ送信し；ｅ）Ｖは、Ｚ＝Ｈ（＆＆（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫｃ１）ＲＥＳＰ１ｄ　ｍｏｄ　Ｘ　ｍ）の検証により、ｍにおけるＵの署名を検査する、請求項１記載の方法。
４．疑似ランダム関数Ｈを、代数関数Ｐにおいて適用される疑似ランダムハッシュ関数Ｈに置き換え、前記第２のステップのステップｂ）とｅ）を、ｂ）Ｕは、範囲［ｄ√（Ｘ），Ｘ］内の乱数Ｒ１を選択し、Ｚ＝Ｈ（Ｐ（Ｒ１ｄ　＆．．．＆　Ｒｈｄ）ｍｏｄ　Ｘ）により規定された数値を算出してＶへ送信し；ｅ）Ｖはｈ個の値｛Ｌ１，．．．，Ｌｈ｝，Ｌ１＝（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　ｌ　ｅｌｓｅ　ＰＫｅ１）ＲＥＳＰ１　ｍｏｄ　Ｘを算出し、Ｚ＝Ｈ（Ｐ（Ｌ１，．．．，Ｌｈ）ｍｏｄ　Ｘ）の検証によりＵの身元を検査するステップに置き換える、請求項２記載の方法。
５．識別を行う場合、前記識別装置Ｕ（１８）および／または検証装置Ｖ（１７）において、以下の第２のステップ（第５図）が実行される、すなわち、ａ）Ｕは前記シードデータＳＤをＶへ送信し；ｂ）Ｕは、範囲［ｄ√（Ｘ），Ｘ］内のｓ≧ｈ個の乱数Ｒ１および／またはＲ１を選択し、Ｚ＝Ｈ（（Ｒ１＊．．．＊■Ｒ■）ｄ　ｍｏｄ　Ｘ）により規定された第２の数値を算出してＶへ送信し；ｃ）ＶはＳＤ４　ｍｏｄ　Ｘを算出し、前記パターンデータＰＮが有効であるかを検査し、ＳＤｄ　ｍｏｄ　Ｘ以内の前記の小さな素数ＰＫ１を分離し、それそれ０≦ｃ１≦ｋであるようなｈ個の数値ｃ１の集合｛Ｃ１，．．．，Ｃｈ｝を選択し、それらをＵへ送信し；ｄ）Ｖは、ｈ個のバイナリベクトルＶ１および／またはＶ１の集合｛Ｖ１，．．．，Ｖｈ｝の集合をＵへ送信し、ここにおいて各ｖ１の長さは　ｓ　ｂｉｔであり、ここにおいて、（ｉｆ（（ｉ　ｎｏｔ　ｅｑｕａｌ　ｊ）ａｎｄ　（ｕ−ｔｈ　ｂｉｔ　ｏｆ　ｖｉｅｑｕａｌ　‘１’））ｔｈｅｎ（ｕ−ｔｈ　ｂｉｔ　ｏｆ　ｖｊ　ｅｑｕａｌ　‘０’））であり、ここにおいて各Ｖ１における少なくとも１つのピットは′１′にセットされ；ｅ）Ｕはｈ個の値｛ａ１，．．．，ａｈ｝を算出し、ここにおいて、ａ１＝（ｐｒｏｄｕｃｔ　ｆｏｒ　ｊ＝１　ｔｏ　ｓ（ｉｆ（ｊ−ｔｈ　ｂｉｔ　ｏｆｖ１　ｅｑｕａｌ　‘１’）ｔｈｅｎ　Ｒ１　ｅｌｓｅ　Ｉ））であり；ｆ）Ｕはｈ個の値ＲＥＳＰ１＝（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　ａ１　ｅｌｓｃ　ａ１ＳＫｃ１ｍｏｄ　Ｘ）を算出し、前記のｈ個の値ＲＥＳＰ１の集合｛ＲＥＳＰ１，．．．，ＲＥＳＰｈ｝をＶへ送信し；ｇ）Ｖは、Ｚ＝Ｈ（ｐｒｏｄｕｃｔ　ｆｏｒ　ｉ＝１　ｔｏ　ｈ　（ｉｆ　（ｃｌ　ｅｑｕａｌ　０）ｔｈｅｎ　１　ｅｌｓｅ　ＰＫｃ１）ＲＥＳＰ１４　ｍｏｄ　Ｘ）の検証によりＵの身元を検査する、請求項１記載の方法。
６．疑似ランダム関数Ｈを、代数関数Ｐにおいて適用される疑似ランダムハッシュ関数Ｈと置き換え、前記第２のステップのステップｃ）およびＥ）を、ｃ）Ｕは範囲［４√（Ｘ），Ｘ］内のｈ個の乱数Ｒ１を選択し、Ｚ＝Ｈ（（Ｐ（Ｒ１４　ｍｏｄ　Ｘ　＆．．．＆　Ｒｈ４）ｍｏｄ　Ｘ）＆　ｍ）により規定された数値Ｚを算出しＶへ送信し；ｅ）Ｖは、ｈ個の値｛Ｌ１，．．．，Ｌく｝Ｌ１ｄ＝（ｉｆ（ｃ１　ｅｑｕａｌ　０）ｔｈｅｎ　１　ｅｌｓｅ　ＰＫｃ１）ＲＥＳＰ１ｍｏｄ　Ｘを算出し、Ｚ＝Ｈ（（Ｐ（Ｌ１，．．．，Ｌｈ）ｍｏｄ　Ｘ）＆　ｍ）の照合により、ｍにおけるＵの署名をチェックする、ステップに置き換える、請求項３記載の方法。
７．前記の小さな素数ＰＫ１は前記情報データＩＤのランダム関数であり、該関数はたとえば、前記検証装置Ｖにおいてｔ個の小さな素数のテーブルを作成し、ＰＫｔを表すｆ（ＩＤ）のｔ番目のビットを用いることにより得られ、ここにおいてｆは第２の疑似ランダム関数である、請求項１〜６のいずれか１項記載の方法。
８．前記の小さな素数ＰＫ１は、前記検証装置Ｖにとって既知である公開ディレクトリ内に記録される、請求項１〜７のいずれか１項記載の方法。
９．Ｘは約６４ｂｙｔｅ長であり、および／または３≦ｈ≦１０、および／またはｓ＝２＊ｈ、および／または８≦ｋ≦２０、および／または８≦ｔ≦２０、および／または前記ＳＫ１の長さはｌｂｙｔｅ以上８以下である、請求項１〜８のいずれか１項記載の方法。
１０．前記の第２のステップはｅ≧１回反復される、請求項２〜９のいずれか１項記載の方法。
１１．請求項１〜１０のいずれか１項記載の方法を用いる識別装置Ｕ（１８）において、第１計算手段（１５）、該第１計算手段と接続された第１記憶手段（１６）、および前記第１計算手段と接続された第１データ交換手段（１４）を有しており、前記第１記憶手段は、前記シードデータＳＤ、前記モジュロＸ、前記関数Ｈ、および前記の数値ＳＫ１の集合｛ＳＫ１，．．．，ＳＫｋ｝を記憶し、前記データ交換手段はデータを送信し、前記検証装置Ｖ（１７）からデータを受信することを特徴とする識別装置。
１２．請求項１〜１１のいずれか１項記載の方法を用いる検証装置Ｖ（１７）において、第２計算手段（１２）、該第２計算手段と接続された第２記憶手段（１１）、前記第２計算手段と接続された第２データ交換手段（１３）を有しており、前記第２記憶手段は、前記モジュロｘおよび前記関数を記憶し、前記データ交換手段はデータを送信し、前記識別装置Ｕ（１８）からデータを受信し、前記第２計算手段は、前記識別装置Ｕ（１８）から受信したデータを検証することを特徴とする検証装置。
１３．前記識別装置Ｕ（１８）はスマートカードまたはコンピュータまたは端末またはクレジットカードまたはｄｏｎｇｌｅまたはパスポートまたはドアキーである、請求項１１記載の識別装置。