JPH07131455A

JPH07131455A - 相互証明システム

Info

Publication number: JPH07131455A
Application number: JP5278057A
Authority: JP
Inventors: Genji Nishioka; 玄次西岡
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1993-11-08
Filing date: 1993-11-08
Publication date: 1995-05-19

Abstract

(57)【要約】【目的】証明者Ａ側装置の証明者Ａと証明者Ｂ側装置の
証明者Ｂが同じ知識ｘを所有し、互いに同時に知識ｘの
所有を証明する相互証明システムを提供する。【構成】証明者Ａ（または、証明者Ｂ）は共通知識ｘに
乱数を施して証明者Ｂ（または、証明者Ａ）に送り、同
じ共通知識ｘを持つ証明者Ｂ（または、証明者Ａ）だけ
がその乱数を言い当てることができることを利用して証
明を行う。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、互いに同じ知識ｘを所
有する二者が同時にその知識の所有を知識ｘを漏らすこ
となく証明する相互証明システムに関する

【０００２】

【従来の技術】従来より、証明者が確認者に対して、命
題の正当性を証明する証明システムは数多く知られてい
る。例えば、証明者がある知識ｘの所有を確認者に対し
て証明したい場合、一番簡単な方法は知識ｘを確認者に
見せてしまえばよい。しかし、この証明方法では、証明
後に確認者は知識ｘを手に入れることができる。これに
対して、証明者は知識ｘの所有を確認者に対して証明し
たいが、知識ｘを確認者に対して教えたくないという要
求が出て来る。

【０００３】このような要求を満足する証明方式に零知
識証明がある。零知識証明は、文献ザナリジコンプ
レクシティオブインタラクティブプルーフシス
テムズ（The knowledge complexity of interactive pr
oof systems)プロシーディングズオブセブンティー
ンスエスティーオーシー（Proc.17th STOC）1985，pp
291−304.）に記載されている。

【０００４】零知識証明を用いると、知識ｘの所有のみ
を証明でき、その他の情報を一切漏らさない証明が可能
となる。現在、零知識証明は、暗号の分野で、特に認証
技術に応用されている。

【０００５】以下に、平方剰余問題の零知識証明プロト
コルを零知識証明の一例として挙げる。

【０００６】証明者は、公開情報

【０００７】

【数１７】ｙ≡ｘ²(mod ｎ) に対して、知識ｘの所有を確認者に証明する。ただし、
ｎ＝ｐ・ｑ（ｐ，ｑは素数）は公開情報とする。

【０００８】次のステップ１から４をｉ＝１，…，ｔま
で繰り返し、全てのｉについてステップ４の等式が成立
すれば、確認者は証明者を受理する。すなわち、確認者
は証明者が知識ｘを所有していることを認める。

【０００９】１）証明者は、乱数ｒ_i∈Ｚ_nを選び、ｕ_i
≡ｒ_i ²（mod ｎ)を確認者に送る。

【００１０】２）確認者は、ランダムビットｅ_iを証明
者に送る。

【００１１】３）証明者は、

【００１２】

【数１８】ｗ_i≡ｒ_i（mod ｎ) if ｅ_i＝０， ≡ｘ・ｒ_i（mod ｎ) if ｅ_i＝１を確認者に送る。

【００１３】４）確認者は、

【００１４】

【数１９】ｕ_i≡ｗ_i ²（mod ｎ) if ｅ_i＝０， ≡ｗ_i ²／ｙ（mod ｎ) if ｅ_i＝１を検査する。

【００１５】

【発明が解決しようとする課題】従来の技術で述べた証
明方式は、証明者が確認者に対して証明を行うものであ
る。よって、証明者は正しい確認者に対して証明を行っ
ているのかどうかは分からない。しかし、このような証
明系を暗号システムへ応用する場合、不正者が確認者に
なりすましている場合等も考えられ、この問題をクリア
することは重要である。

【００１６】本発明の目的は、次に挙げる条件を満足す
る証明系を提案することにある。

【００１７】（１）同じ知識ｘを所有する二者が互いに
同時に知識ｘの所有を証明する。

【００１８】（２）この相互証明システムにおいては、
知識ｘを持たない者が知識ｘを持つ者から、いかなる手
段によっても知識ｘを引き出すことは困難である。

【００１９】（３）知識ｘを所有する証明者が知識ｘを
所有しない確認者に知識ｘの所有を証明する証明方式、
例えば零知識証明、を証明者Ａが証明者Ｂに証明を行っ
た後、証明者Ｂが証明者Ａに証明を行う、と言ったよう
に証明を２回行うよりも効率が良い。

【００２０】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、証明者間の共通知識ｘに乱数を施して相
手に送り、同じ共通知識ｘを持つ者だけがその乱数を言
い当てることができることを利用している。

【００２１】具体的には、公開情報である二つの素数
ｐ，ｑ（ただし、ｑはｐ−１を割り切る。）と正定数α
に対して、同じ共通知識ｘを持つ証明者Ａと証明者Ｂは
次のプロトコルに従い、互いに共通知識ｘの所有の証明
を行う。

【００２２】証明者Ａは、ｒ₁∈Ｚ_qをランダムに選び、

【００２３】

【数２０】ｕ₁≡ｒ₁・ｘ（mod ｑ）を計算して、証明者Ｂに送る。証明者Ｂは、ｒ₂∈Ｚ_qを
ランダムに選び、

【００２４】

【数２１】ｕ₂≡ｒ₂・ｘ（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ）（mod ｐ）を計算して、証明者Ａに送る。証明者Ａは、

【００２５】

【数２２】exp(ｗ₁，ｘ)≡exp(α，ｕ₁）（mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、

【００２６】

【数２３】ｗ₂≡exp(α，ｕ₂／ｘ）（mod ｐ）を証明者Ｂに送る。証明者Ｂは、

【００２７】

【数２４】exp(ｗ₂，ｘ)≡exp(α，ｕ₂）（mod ｐ）の成立を確かめ、成立すれば、証明者Ａを受理する。

【００２８】ただし、ここで、Ｚ_pは素数ｐを法とする
剰余体を意味し、exp(ａ，ｘ）はａのｘ乗を意味するも
のとする。

【００２９】

【作用】本発明では、同じ共通知識ｘを持つ二者間で同
時に共通知識ｘの所有を証明しているために、双方とも
相手の正当性を確認することができる。

【００３０】また、証明者間の共通知識ｘに乱数を施し
て相手に送り、同じ共通知識ｘを持つ者だけがその乱数
を言い当てることができることを利用して証明を行って
いるため、共通知識ｘを知らない者は不正に共通知識ｘ
を手に入れることは困難である。

【００３１】さらに、共通知識ｘの所有を前提に証明方
式を構築しているので、従来方式である知識ｘを所有す
る証明者が知識ｘを所有しない確認者に知識ｘの所有を
証明する証明方式、例えば零知識証明、を証明者Ａが証
明者Ｂに証明を行った後、証明者Ｂが証明者Ａに証明を
行う、と言ったように証明を２回行うよりも効率が良い
証明が可能となる。

【００３２】

【実施例】（実施例１）図１は、本発明の実施例１のシ
ステム構成を示す図である。同図のシステムは、証明者
Ａ側装置１００と証明者Ｂ側端末２００とから構成され
ている。証明者Ａ側装置２００と証明者Ｂ側端末３００
は、互いに通信回線３００を介して接続されている。

【００３３】図２は、証明者Ａ側装置１００の内部構成
を示す。証明者Ａ側装置１００は、入力装置１０１，メ
モリ１０２，乱数生成装置１０３，演算装置１０４，出
力装置１０５，通信装置１０６を備えている。

【００３４】図３は、証明者Ｂ側装置２００の内部構成
を示す。証明者Ａ側装置２００は、入力装置２０１，メ
モリ２０２，乱数生成装置２０３，演算装置２０４，出
力装置２０５，通信装置２０６を備えている。

【００３５】図４は、本発明の実施例１の概要を示す説
明図である。

【００３６】図中、Ｚは整数環を表わし、Ｚ_pは素数ｐ
を法とする剰余体を表わす。また、ａ∈Ｚ_pのオーダー
がｎであるとは、|〈ａ〉|＝ｎを意味し、ord(ａ)＝ｎ
と書く。ここで、〈ａ〉はａで生成される巡回群を表わ
し、|Ｓ|は集合Ｓの元の個数を表わす。

【００３７】証明者Ａと証明者Ｂは、共通知識ｘを所有
していて、互いに同時に共通知識ｘの所持を証明する。
ただし、ここで、ｐ：素数（５１２ビット程度），ｑ：
ｐ−１を割り切る素数（１６０ビット程度）として、

【００３８】

【数２５】α∈Ｚ_qs.t ord(α)＝ｑは公開情報とする。

【００３９】〔プロトコル〕１）証明者Ａは、証明者Ａ側装置１００内の乱数生成装
置１０３を用いて、ｒ₁∈Ｚ_qをランダムに選び、メモリ
１０２，演算装置１０４を用いて、

【００４０】

【数２６】ｕ₁≡ｒ₁・ｘ（mod ｑ）を計算して、出力装置１０５及び通信装置１０６を用い
て、通信回線３００を介して証明者Ｂに送る。

【００４１】２）証明者Ｂは、証明者Ｂ側装置２００内
の乱数生成装置２０３を用いて、ｒ₂∈Ｚ_qをランダム
に選び、メモリ２０２，演算装置２０４を用いて、

【００４２】

【数２７】ｕ₂≡ｒ₂・ｘ（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ) （mod ｐ）を計算して、出力装置２０５及び通信装置２０６を用い
て、通信回線３００を介して証明者Ａに送る。

【００４３】３）証明者Ａは、証明者Ａ側装置１００内
のメモリ１０２，演算装置１０４を用いて、

【００４４】

【数２８】exp(ｗ₁，ｘ)≡exp(α，ｕ₁) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、

【００４５】

【数２９】ｗ₂≡exp(α，ｕ₂／ｘ) （mod ｐ）を出力装置１０５及び通信装置１０６を用いて、通信回
線３００を介して証明者Ｂに送る。

【００４６】４）証明者Ｂは、証明者Ｂ側装置２００内
のメモリ２０２，演算装置２０４を用いて、

【００４７】

【数３０】exp(ｗ₂，ｘ)≡exp(α，ｕ₂) （mod ｐ）の成立を確かめ、成立すれば、証明者Ａを受理する。

【００４８】ただし、ここで、exp(ａ，ｘ）はａのｘ乗
を意味するものとする。

【００４９】（実施例２）本発明を通信ネットワーク上
での利用者の認証に適用した場合の実施例について以下
に述べる。

【００５０】図５は、本発明の実施例２のシステム構成
を示すブロック図である。同図のシステムは、利用者が
所持するＩＣカード４００とセンタ側装置５００と複数
の端末６００とから構成されている。センタ側装置５０
０と複数の端末６００は、互いに通信回線７００を介し
て接続されている。

【００５１】図６はＩＣカード４００の内部構成を示
す。ＩＣカード４００は、入力装置４０１，メモリ４０
２，乱数生成装置４０３，演算装置４０４，出力装置４
０５を備えている。

【００５２】図７は、センタ側装置５００の内部構成を
示す。センタ側装置５００は、入力装置５０１，メモリ
５０２，乱数生成装置５０３，演算装置５０４，出力装
置５０５，通信装置５０６を備えている。

【００５３】図８は、端末６００の内部構成を示す図で
ある。端末６００は、入力装置601，ＩＣカード読み取
り装置６０２，通信装置６０３，出力装置６０４を備え
ている。

【００５４】登録処理利用者は自分の暗証番号ｘをセンタに登録する。センタ
は、ｘを搭載したＩＣカード４００を利用者に配布す
る。

【００５５】認証処理利用者は自分のＩＣカード４００を端末６００のＩＣカ
ード読み取り装置602に差し込み、次のステップ１から
ステップ４のプロトコルを実行することでセンタのセン
タ側装置５００との間で通信回線７００を介して認証処
理を行う。

【００５６】１）利用者は、ＩＣカード４００内の乱数
生成装置４０３を用いて、ｒ₁∈Ｚ_qをランダムに選び、
メモリ４０２，演算装置４０４を用いて、

【００５７】

【数３１】ｕ₁≡ｒ₁・ｘ（mod ｑ）を計算して、出力装置４０５、及び端末６００内の通信
装置６０３を用いて、通信回線７００を介してセンタ側
装置５００に送る。

【００５８】２）センタは、センタ側装置５００内のセ
ンタ側装置５００の乱数生成装置503を用いて、ｒ₂∈Ｚ
_qをランダムに選び、メモリ５０２，演算装置５０４を
用いて、

【００５９】

【数３２】ｕ₂≡ｒ₂・ｘ（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ) （mod ｐ）を計算して、出力装置５０５及び通信装置５０６を用い
て、通信回線７００を介して利用者に送る。

【００６０】３）利用者は、ＩＣカード４００内のメモ
リ４０２、演算装置４０４を用いて、

【００６１】

【数３３】exp(ｗ₁，ｘ)≡exp(α，ｕ₁) （mod ｐ）の成立を確かめ、成立すれば、センタを受理して、

【００６２】

【数３４】ｗ₂≡exp(α，ｕ₂／ｘ) （mod ｐ）を端末６００内の通信装置６０３を用いて、通信回線７
００を介してセンタ側装置５００に送る。

【００６３】４）センタは、センタ側装置５００内のメ
モリ５０２，演算装置５０４を用いて、

【００６４】

【数３５】exp(ｗ₂，ｘ)≡exp(α，ｕ₂) （mod ｐ）の成立を確かめ、成立すれば、利用者を受理する。

【００６５】ただし、ここで、exp(ａ，ｘ）はａのｘ乗
を意味するものとする。

【００６６】従来方式では、利用者は本当に正しいセン
タを相手に認証を行っているかが分からなかったが、本
方式では、相手の正当性も同時に証明されるのでより安
全な認証が可能となる。

【００６７】（実施例３）本発明をグループ内の認証に
適用した場合の実施例について以下に述べる。

【００６８】本実施例のシステム構成は実施例２のシス
テム構成と同じである。ただし、本実施例ではセンタ側
装置５００は不要である。

【００６９】登録処理あるグループに属する各メンバーはグループに特有の秘
密情報ｘをＩＣカード４００に搭載して所持する。

【００７０】認証処理グループに属するメンバーは、自分のＩＣカード４００
を端末６００のＩＣカード差し込み口６０２に差し込
み、実施例１で説明したステップ１からステップ４のプ
ロトコルを実行することで、通信回線７００を介して他
の端末６００の同一のグループに属する他のメンバーと
の間で認証処理を行う。

【００７１】（実施例４）本発明を、鍵共有方式に適用
した場合の実施例について以下に述べる。

【００７２】本実施例のシステム構成は実施例１のシス
テム構成と同じである。ただし、本実施例では、証明者
Ａ側端末１００が鍵配送者Ａ側装置１００に代わり、証
明者Ｂ側端末２００が鍵受取者Ｂ側装置２００に代わ
る。

【００７３】鍵配送鍵配送者Ａは、鍵受取者Ｂの公開鍵Ｋ_Bを用いて、共有
したい鍵Ｋ（∈Ｚ_q）を暗号化して鍵受取者Ｂに送る。

【００７４】この操作のみでも、鍵共有は実現できる
が、鍵受取者Ｂは鍵Ｋが誰から送られてきたものである
かは確認する事はできない。また、本当に正しい値で鍵
共有が行われているかも確認する事はできない。そこ
で、鍵配送の後、次の認証処理を行うことにより、これ
らの問題をクリアする。

【００７５】認証処理１）鍵配送者Ａは、鍵配送者Ａ側装置１００内の乱数生
成装置１０３を用いて、ｒ₁∈Ｚ_qをランダムに選び、メ
モリ１０２，演算装置１０４を用いて、

【００７６】

【数３６】ｕ₁≡ｒ₁・Ｋ（mod ｑ）を計算して、ｕ₁を鍵受取者Ｂの公開鍵で暗号化した暗
号文を出力装置１０５及び通信装置１０６を用いて、通
信回線３００を介して鍵受取者Ｂに送る。

【００７７】２）鍵受取者Ｂは、鍵受取者Ｂ側装置２０
０内の乱数生成装置２０３を用いて、ｒ₂∈Ｚ_qをランダ
ムに選び、自分の秘密鍵とメモリ２０２，演算装置２０
４を用いて、

【００７８】

【数３７】ｕ₂≡ｒ₂・Ｋ（mod ｑ），ｗ₁≡exp(α，ｕ₁／Ｋ) （mod ｐ）を計算して、ｕ₁，ｗ₁を鍵配送者Ａの公開鍵Ｋ_Aで暗号
化した暗号文を出力装置２０５及び通信装置２０６を用
いて、通信回線３００を介して鍵配送者Ａに送る。

【００７９】３）鍵配送者Ａは、自分の秘密鍵と鍵配送
者Ａ側装置１００内のメモリ１０２，演算装置１０４を
用いて、

【００８０】

【数３８】exp(ｗ₁，Ｋ)≡exp(α，ｕ₁) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、

【００８１】

【数３９】ｗ₂≡exp(α，ｕ₂／Ｋ) （mod ｐ）を出力装置１０５及び通信装置１０６を用いて、通信回
線３００を介して鍵受取者Ｂに送る。

【００８２】４）鍵受取者Ｂは、鍵受取者Ｂ側装置２０
０内のメモリ２０２、演算装置２０４を用いて、

【００８３】

【数４０】exp(ｗ₂，Ｋ)≡exp(α，ｕ₂) （mod ｐ）の成立を確かめ、成立すれば、鍵配送者Ａを受理する。

【００８４】（実施例５）本実施例では、証明者のラン
クが複数の階層からなる場合の相互証明方式について述
べる。

【００８５】システム構成は図１のシステム構成と同じ
である。

【００８６】記号は実施例１と同様であるが、さらに、
ｎを二つの素数の積として公開する（ｎは５１２ビット
程度とする）。

【００８７】図１０の様に証明者はｋ（＞１）層のラン
クに分けられている。各階層毎の証明者の共通知識は次
のように定める。

【００８８】

【数４１】・ランク１：（ｘ₁，ｓ） s.t ｘ₁，ｓ∈Ｚ_nand exp
(２，ｋ−１)｜ｓ，・ランク２：（ｘ₂，ｓ） s.t ｘ₂≡ｘ₁ ²（mod
ｎ），・ランク３：（ｘ₂，ｓ） s.t ｘ₃≡ｘ₂ ²（mod
ｎ），・・・・・・・・・・ランクｋ：（ｘ_k，ｓ） s.t ｘ_k≡ｘ_k-1
²（mod ｎ）このことから、上位の階層に属する証明者は下位の階層
に属する証明者の知識を簡単に計算できるので、上位の
証明者は下位の証明者として証明することは可能であ
る。逆に、下位の証明者が上位の証明者の知識を得るた
めには、離散対数問題を解く必要があり、これは計算量
的に困難なために下位の証明者は上位の証明者として証
明することは困難である。

【００８９】次に証明者間で行われる相互証明プロトコ
ルについて説明する。

【００９０】〔プロトコル〕（１）同じランクに属する証明者として相互証明を行う
場合。

【００９１】証明者Ａ，Ｂはランクｍに属しているもの
とする。

【００９２】１）証明者Ａは、証明者Ａ側装置１００内
の乱数生成装置１０３を用いて、ｒ₁∈Ｚ_qをランダムに
選び、メモリ１０２，演算装置１０４を用いて、

【００９３】

【数４２】ｕ₁≡ｒ₁・ｘ_m（mod ｑ）を計算して、出力装置１０５，通信装置１０６を用い
て、通信回線３００を介して証明者Ｂに送る。

【００９４】２）証明者Ｂは、証明者Ｂ側装置２００内
の乱数生成装置２０３を用いて、ｒ₂∈Ｚ_qをランダムに
選び、メモリ２０２，演算装置２０４を用いて、

【００９５】

【数４３】ｕ₂≡ｒ₂・ｘ_m（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ_m) （mod ｐ）を計算して、出力装置２０５，通信装置２０６を用い
て、通信回線３００を介して証明者Ａに送る。

【００９６】３）証明者Ａは、証明者Ａ側装置１００内
のメモリ１０２，演算装置１０４を用いて、

【００９７】

【数４４】exp(ｗ₁，ｘ_m)≡exp(α，ｕ₁) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、ｗ₂≡exp(α，ｕ₂／ｘ_m) （mod ｐ）を出力装置１０５，通信装置１０６を用いて、通信回線
３００を介して証明者Ｂに送る。

【００９８】４）証明者Ｂは、証明者Ｂ側装置２００内
のメモリ２０２，演算装置２０４を用いて、

【００９９】

【数４５】exp(ｗ₂，ｘ_m)≡exp(α，ｕ₂) （mod ｐ）の成立を確かめ、成立すれば、証明者Ａを受理する。

【０１００】ただし、ここで、exp(ａ，ｘ）はａのｘ乗
を意味するものとする。

【０１０１】（２）異なるランクに属する証明者間で相
互証明を行う場合。

【０１０２】ここでは、証明者Ａはランクｆに属し、証
明者Ｂはランクｇに属すると仮定する（ｆ＜ｇ）。

【０１０３】１）証明者Ａは、証明者Ａ側装置１００内
の乱数生成装置１０３を用いて、ｒ_i∈Ｚ_n(ｉ＝１,２,
…,ｔ），ｒ_t+1∈Ｚ_qをランダムに選び、メモリ１０
２，演算装置１０４を用いて、

【０１０４】

【数４６】ｕ_i≡exp(ｒ_i，ｓ・exp(２，ｇ−ｆ））（mod ｎ），ｕ_t+1≡ｒ_t+1・exp(ｘ_f，exp(２，ｇ−ｆ））（mod
ｑ）を計算して、出力装置１０５及び通信装置１０６を用い
て、通信回線３００を介して証明者Ｂに送る。

【０１０５】２）証明者Ｂは、証明者Ｂ側装置２００内
の乱数生成装置２０３を用いて、ｅ₁,…,ｅ_t∈｛０，
１｝，ｒ₂∈Ｚ_qをランダムに選び、メモリ２０２，演算
装置２０４を用いて、

【０１０６】

【数４７】ｗ₁≡exp(α，ｕ_t+1／ｘ_g) （mod ｐ）を計算して、出力装置２０５及び通信装置２０６を用い
て、通信回線３００を介してｅ₁,…,ｅ_tと共に証明者Ａ
に送る。

【０１０７】３）証明者Ａは、証明者Ａ側装置１００内
のメモリ１０２，演算装置１０４を用いて、

【０１０８】

【数４８】 exp(ｗ₁，exp(ｘ_f，exp(２，ｇ−ｆ）)≡exp(α，ｕ_t+1) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、

【０１０９】

【数４９】ｚ_i≡ｒ_i・exp(ｘ_f，ｅ_i）（mod ｎ）を出力装置１０５及び通信装置１０６を用いて（ｉ＝
１，２，…，ｔ）、通信回線３００を介して証明者Ｂに
送る。

【０１１０】４）証明者Ｂは、証明者Ｂ側装置２００内
のメモリ２０２，演算装置２０４を用いて、

【０１１１】

【数５０】 exp(ｚ_i，ｓ・exp(２，ｇ−ｆ）)≡ｕ_i・exp(ｘ_g，ｓ・ｅ_i）（mod ｎ）の成立を確かめ（ｉ＝１,２,…,ｔ）、成立すれば、証
明者Ａを受理する。ただし、ここで、exp(ａ，ｘ）はａ
のｘ乗を意味するものとする。

【０１１２】

【発明の効果】本発明における相互証明システムでは、（１）互いに同じ共通知識を所有している２者間で、互
いに同時に共通知識の所有を証明することが可能であ
る。

【０１１３】また、この際、共通知識を持たない第３者
はいかなる手段によっても共通知識を持つ証明者から共
通知識を引き出すことは困難であるので、安全な相互証
明が実現できる。

【０１１４】（２）上記の実施例では、通信系列がシュ
ミレートできるかどうかの意味において、零知識ではな
い。よって、離散対数問題（実施例５においては、さら
に平方剰余問題）の困難性を仮定すれば、証明者間の通
信系列は証明を行った証拠となる。

【０１１５】（３）知識ｘを所持する証明者が知識ｘを
所持しない確認者に一方的に証明する証明方式、例えば
零知識証明、を２回用いて相互証明をするより、通信回
数が少なくて済むので、効率が良い証明が可能となる。

【０１１６】（４）証明者のランクが複数の階層に分か
れており、同じ階層に属する証明者は同一の知識を所有
している。ランク分けされた証明者間で相互証明を行う
際、上位の階層に所属する証明者は下位の階層に所属す
る証明者として証明をすることが可能であり、下位の階
層に所属する証明者は上位の階層に所属する証明者とし
て証明をすることは困難であるような階層化されたグル
ープにおける証明システムにも適用が可能である。

【図面の簡単な説明】

【図１】本発明の実施例１におけるシステム構成を示す
ブロック図。

【図２】実施例１のシステム構成内の証明者Ａ側装置内
部構成を示すブロック図。

【図３】実施例１のシステム構成内の証明者Ｂ側装置内
部構成を示すブロック図。

【図４】実施例１の概要を示す説明図。

【図５】実施例２のシステム構成を示すブロック図。

【図６】実施例２のシステム構成内のＩＣカード内部構
成を示すブロック図。

【図７】実施例２のシステム構成内のセンタ側装置内部
構成を示すブロック図。

【図８】実施例２のシステム構成内の端末内部構成を示
すブロック図。

【図９】実施例４の概要を示す説明図。

【図１０】実施例５における証明者の階層化を示す説明
図。

【符号の説明】１００…証明者Ａ側端末、２００…証明者Ｂ側端末、３
００…通信回線。

Claims

【特許請求の範囲】

【請求項１】証明者が、ある知識を所持することを確認
者に対して証明する証明システムにおいて、証明者Ａと証明者Ｂが同一の知識ｘを所有し、証明者Ａ
と証明者Ｂの二者間で互いに同時に知識ｘの所有を証明
することを特徴とする相互証明システム。
【請求項２】請求項１において、証明者Ａと証明者Ｂ以
外の第三者が証明者Ａと証明者Ｂ間の証明過程における
通信系列から知識ｘを推測することが困難である相互証
明システム。
【請求項３】請求項１または２において、知識ｘを所有する正当な証明者Ａに対して、知識ｘを所
有しない不正な証明者Ｃは如何なる方法によっても、証
明者Ａがプロトコルに従っている限り、証明者Ｃは知識
ｘを証明者Ａから引き出すことが困難である相互証明シ
ステム。
【請求項４】請求項１，２または３において、同一の知識ｘを所有する証明者Ａと証明者Ｂの間で、知
識ｘを所有する証明者が知識ｘを所有しない確認者に証
明する証明方式を、証明者Ａから証明者Ｂに証明した
後、証明者Ｂから証明者Ａに証明する場合に比べて、通
信回数が少ない相互証明システム。
【請求項５】証明者が、ある知識を所持することを確認
者に対して証明を行う証明システムにおいて、証明者Ａと証明者Ｂは同じ共通知識ｘを持ち、公開情報
である二つの素数ｐ，ｑと正定数αを用いて、互いに共
通知識ｘの所有の証明を同時に行う目的で、証明者Ａは、乱数ｒ₁を選び、【数１】ｕ₁≡ｒ₁・ｘ（mod ｑ）を計算して、証明者Ｂに送り、証明者Ｂは、乱数ｒ₂を
選び、【数２】ｕ₂≡ｒ₂・ｘ（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ）（mod ｐ）を計算して、証明者Ａに送り、証明者Ａは、【数３】exp(ｗ₁，ｘ)≡exp(α，ｕ₁）（mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、【数４】ｗ₂≡exp(α，ｕ₂／ｘ）（mod ｐ）を証明者Ｂに送り、証明者Ｂは、【数５】exp(ｗ₂，ｘ)≡exp(α，ｕ₂）（mod ｐ）の成立を確かめ、成立すれば、証明者Ａを受理すること
により、相互証明を行うことを特徴とする相互証明シス
テム（ただし、ここで、exp(ａ，ｘ）はａのｘ乗を意味
するものとする。）。
【請求項６】証明者が、ある知識を所持することを確認
者に対して証明を行う証明システムにおいて、証明者のランクが複数の階層に分かれており、同じ階層
に属する証明者は同一の知識を所有し、ランク分けされ
た証明者間で相互証明を行う際、上位の階層に所属する
証明者は下位の階層に所属する証明者として証明をする
ことが可能であり、下位の階層に所属する証明者は上位
の階層に所属する証明者として証明をすることは困難で
あることを特徴とする階層化されたグループにおける相
互証明システム。
【請求項７】請求項５において、互いに証明を行ってい
る証明者以外の第３者が証明者間の証明過程における通
信系列から他の証明者の知識を推測することが困難であ
る相互証明システム。
【請求項８】請求項５または６において、不正な証明者は如何なる方法によっても、正当な証明者
がプロトコルに従っている限り、不正な証明者は正当な
証明者の知識を引き出すことが困難である相互証明シス
テム。
【請求項９】請求項５，６または７において、同一の知識ｘを所有する証明者Ａと証明者Ｂの間で、知
識ｘを所有する証明者が知識ｘを所有しない確認者に証
明する証明方式を、証明者Ａから証明者Ｂに証明した
後、証明者Ｂから証明者Ａに証明する場合に比べて、通
信回数が少ない証明システム。
【請求項１０】証明者が、ある知識を所持することを確
認者に対して証明を行う証明システムにおいて、証明者
のランクが複数の階層に分かれており、同じ階層に属す
る証明者は同一の知識を所有し、例えば、最上位である
ランク１に属する証明者には（ｘ₁，ｓ）なる共通の知
識が、第２上位であるランク２に属する証明者には（ｘ
₂，ｓ）なる共通の知識が、階層数ｋと公開情報ｎを用
いて、【数６】ｘ₂≡ｘ₁ ²（mod ｎ），exp(２，ｋ−１)|ｓと与えられて、また、以下のランクについても同様に与
えられており、同じランクｍに属する証明者として証明者Ａと証明者Ｂ
が相互証明を行う場合は、証明者Ａは、乱数ｒ₁を選び、【数７】ｕ₁≡ｒ₁・ｘ_m（mod ｑ）を計算して、証明者Ｂに送り、証明者Ｂは、乱数ｒ₂を選び、【数８】ｕ₂≡ｒ₂・ｘ_m（mod ｑ），ｗ₁≡exp(α，ｕ₁／ｘ_m) （mod ｐ）を計算して、証明者Ａに送り、証明者Ａは、【数９】exp(ｗ₁，ｘ_m)≡exp(α，ｕ₁) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、【数１０】ｗ₂≡exp(α，ｕ₂／ｘ_m) （mod ｐ）を証明者Ｂに送り、証明者Ｂは、【数１１】exp(ｗ₂，ｘ_m)≡exp(α，ｕ₂) （mod ｐ）の成立を確かめ、成立すれば、証明者Ａを受理し、異なるランクに属する証明者間で相互証明を行う場合
は、証明者Ａはランクｆに属し、証明者Ｂはランクｇに属す
ると仮定する(ｆ＜ｇ)と、証明者Ａは、乱数ｒ_i（ｉ＝１,２,…,ｔ＋１）を選び、【数１２】ｕ_i≡exp(ｒ_i，ｓ・exp(２，ｇ−ｆ））（mod ｎ），ｕ_t+1≡ｒ_t+1・exp(ｘ_f，exp(２，ｇ−ｆ））（mod
ｑ）を計算して、証明者Ｂに送り、証明者Ｂは、ｅ₁,…,ｅ_t∈｛０，１｝，ｒ₂をランダム
に選び、【数１３】ｗ₁≡exp(α，ｕ_t+1／ｘ_g) （mod ｐ）を計算して、ｅ₁,…,ｅ_tと共に証明者Ａに送り、証明者Ａは、【数１４】 exp(ｗ₁，exp(ｘ_f，exp(２，ｇ−ｆ）)≡exp(α，ｕ_t+1) （mod ｐ）の成立を確かめ、成立すれば、証明者Ｂを受理して、【数１５】ｚ_i≡ｒ_i・exp(ｘ_f，ｅ_i）（mod ｎ）を証明者Ｂに送り（ｉ＝１,２,…,ｔ）、証明者Ｂは、【数１６】 exp(ｚ_i，ｓ・exp(２，ｇ−ｆ））≡ｕ_i・exp(ｘ_g，ｓ・ｅ_i）（mod ｎ）の成立を確かめ（ｉ＝１,２,…,ｔ）、成立すれば、証
明者Ａを受理することにより、相互証明を行うことを特
徴とする相互証明システム（ただし、ここで、exp(ａ，
ｘ）はａのｘ乗を意味するものとする）。