JPH07281595A - 認証方式 - Google Patents

認証方式

Info

Publication number
JPH07281595A
JPH07281595A JP6068313A JP6831394A JPH07281595A JP H07281595 A JPH07281595 A JP H07281595A JP 6068313 A JP6068313 A JP 6068313A JP 6831394 A JP6831394 A JP 6831394A JP H07281595 A JPH07281595 A JP H07281595A
Authority
JP
Japan
Prior art keywords
center
prover
confirmer
certifier
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP6068313A
Other languages
English (en)
Inventor
Genji Nishioka
玄次 西岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP6068313A priority Critical patent/JPH07281595A/ja
Publication of JPH07281595A publication Critical patent/JPH07281595A/ja
Pending legal-status Critical Current

Links

Abstract

(57)【要約】 【目的】証明者側装置と確認者側装置と通信回線とを介
して行われる認証処理において、認証に必要な最小限の
情報量と通信量・通信回数で通信系列がそのまま認証の
証拠となる認証方式を提供する。 【構成】センタは二つの素数ｐ，ｑの積であるｎを公開
し、センタの秘密情報ｐ，ｑを用いることにより、前記
証明者の認証のための秘密情報を作成した後、前記証明
者に前記秘密情報を配布し、前記証明者は、前記秘密情
報ｓを所持することを他者にとって有用な情報を漏らす
ことなく、ｎを法とする剰余環Ｚn 上の離散対数問題の
困難性を利用した認証プロトコルにより、前記確認者に
対して証明を行うことにより認証処理を行う。

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、本人認証や端末認証等
の認証処理一般に適用できる認証基本技術に関する。
【０００２】
【従来の技術】１９８５年に、ゴールドワッサー(Ｇold
wasser）らによって提案された零知識証明は暗号理論の
分野に大きな影響を及ぼした。特に、零知識証明は本人
認証等の認証技術に応用された。
【０００３】現在まで、零知識認証方式は、平方剰余問
題の困難性を暗号学的仮定とするフィアト−シャミール
（Ｆiat-Ｓhamir)法，離散対数問題の困難性を暗号学的
仮定とするＢethの方式等が知られている。特に、Ｆiat
-Ｓhamir法は、証明者と確認者双方の計算負担が小さく
効率の良い方式である。
【０００４】以下、文献「エイ,フィアト アンド エイ
シャミール ハウ トウ プルーブ ユアセルフ；プ
ラクティカル ソルーションズ オブ アィデンティフ
ィケーション アンド シグネイチャー プロブレムズ
（Ａ.Ｆiat and Ａ.Ｓhamir,Ｈow to prove yourself：
Ｐractical solutions of identification and sig
nature problems.), Ａdvances in Ｃryptology−Ｐroc
eedings of Ｃrypto'86,Ｌecture Ｎotes in Ｃomputer
Ｓcience, Ｖol.263, Ｓpringer Ｖerlag,Ｂerlin, 19
87, pp.186−194.」に記載のＦiat-Ｓhamir法について
詳しく述べる。
【０００５】ここでは、Ｚは整数環を表わし、Ｚn は正
数ｎを法とする剰余環を表わす。
【０００６】〔Ｆiat-Ｓhamir法〕センタは、センタの
秘密情報を作成する。すなわち、 ・ｐ，ｑ：二つの素数 s.t ｐ，ｑ≧２256． センタの公開情報
【０００７】
【数１４】 ・ｎ＝ｐ・ｑ， ・ｆ：値域が〔０，ｎ〕の擬似ランダム関数 …（数１４） 証明者のセンタへの登録： １）証明者はセンタに自分のＩＤ情報ＩＤAを登録す
る。
【０００８】２）センタは、次式
【０００９】
【数１５】 ｖj≡ｆ(ＩＤA，ｊ)， ｓj 2≡１／ｖj（mod ｎ) ｊ＝１，…，ｋ， …（数１５） から、ｓj（ｊ＝１，…，ｋ）を計算し、ＩＤA，ｎと共
にＩＣカードに搭載して証明者に配付する（簡単のた
め、ｊ＝１，…，ｋでｖj（mod ｎ)は平方剰余になると
仮定している。）。
【００１０】認証処理： １）証明者は、自分のＩＤ情報ＩＤAを確認者に送る。
【００１１】２）確認者は、
【００１２】
【数１６】 ｖj＝ｆ(ＩＤA，ｊ) ｊ＝１，…，ｋ …（数１６） を計算する。
【００１３】次の３）から６）をｉ＝１，…，ｔまで繰
り返し、全てのｉについて６）の等式が成立すれば、確
認者は証明者を受理する。
【００１４】３）証明者は、乱数ｒi∈Ｚnを選び、ｘi
≡ｒi 2（mod ｎ)を確認者に送る。
【００１５】４）確認者は、ｋ個のランダムビットの列
（ｅi1，…，ｅik）を証明者に送る。
【００１６】５）証明者は、
【００１７】
【数１７】 ｙi≡ｒiΠ{ｓj|ｅij＝１} （mod ｎ) …（数１７） を確認者に送る。
【００１８】６）確認者は、
【００１９】
【数１８】 ｘi≡ｙi 2Π{ｖj|ｅij＝１} （mod ｎ) …（数１８） を検査する。
【００２０】Ｆiat-Ｓhamir 法において、平方剰余問題
を多項式時間で解けないという仮定の下で、秘密情報ｓ
jを持たない偽の証明者が確認者を騙せる確率ｐ1は、
【００２１】
【数１９】 ｐ1≦exp(２，−ｋｔ) …（数１９） となる（但し、ここで、exp(ａ，ｂ）はａのｂ乗を意味
する。）。
【００２２】ｋｔ＝１００の場合について、Ｆiat-Ｓha
mir法に関して考察を行う。まず、ｔ＝１にすると（こ
のとき、通信回数は３回）、ｋ＝１００になる。する
と、証明者側の秘密情報は、ｓ1,ｓ2,…,ｓ100となり、
各ｓi は５１２ビットなので全部で５１２×１００＝５
１２００ビットとなり、記憶容量の小さいＩＣカードで
は実現が難しい。逆に、ｋ＝１にすると、ｔ＝１００と
なり、証明者側の秘密情報は５１２ビットだけである
が、通信回数が３００回も必要となり、認証処理にかな
りの時間がかかってしまう。
【００２３】Ｆiat-Ｓhamir 法は、プロトコル１回につ
き、認証用の秘密情報を持たない偽の証明者が確認者を
騙す確率が１／２と比較的大きいため、認証処理に高い
安全性を設定すると必然的に通信回数または秘密情報を
増大させる必要があるので、効率の良い認証が難しい。
【００２４】その他の零知識認証方式は、体上の離散対
数問題の困難性を暗号学的仮定とする文献「ティ ベス
エフィシェント ゼロナリジ スキーム フォー ス
マート カーズ，アドヴァンセズ イン クリプトロジ
ー（Ｔ.Ｂeth, Ｅfficientzero-knowledge scheme for
smart cards, Ａdvances in Ｃryptology）− Ｐroce
edings of Ｅurocrypt'88, Ｌecture Ｎotes in Ｃompu
ter Ｓcience, vol.330, Ｓpringer-Ｖerlag, Ｂerlin,
1989, pp.77−84.」に記載のＢethの方式があるが、こ
の方式の場合は、Ｆiat-Ｓhamir 法のように通信回数の
増大の問題は起こらないが、計算負担の大きいべき乗計
算が数回存在し、結果として認証処理時間が長くなると
いう欠点がある。
【００２５】また、零知識証明プロトコルを用いた認証
方式は秘密情報の漏洩という面についての安全性では申
し分ないが、その性質から認証処理の際に生じる通信系
列が認証を行った証拠とはならない。そのため、証明者
と確認者間で正当な認証が行われた後、証明者が認証の
事実を否定するという不正が行われる可能性がある。
【００２６】
【発明が解決しようとする課題】高度情報化社会では、
通信ネットワーク上で電子投票を行ったり、重要な契約
などを行う等の他、様々なサービスが行われることが予
想される。この際、ネットワークの利用者が自分の身元
を安全に相手に証明する認証技術が必要不可欠になる。
零知識証明を用いた認証方式は、秘密情報の漏洩という
面についての安全性では申し分のない方式であるが、一
般に、何回かの通信を必要とし、認証時間が長いという
問題点がある。また、零知識証明による認証は、その性
質から、認証を行った証拠が残らない。そのため、証明
者と確認者間で正当な認証が行われた後、証明者が認証
の事実を否定するというような不正が行われる可能性が
ある。
【００２７】そこで、本発明の目的は、 （１）認証の証拠となる情報を新たに増やすことなく、
認証処理に必要な最小限の情報と通信で通信系列がその
まま認証の証拠となる。
【００２８】（２）センタの公開情報と証明者のＩＤ情
報のみの公開情報で認証処理が可能。
【００２９】（３）証明者が他者にとって有用な情報を
一切漏らすことのない高い安全性。
【００３０】（４）通信回数，通信量、及び、計算負担
の大きい計算が少ない高効率認証処理。
【００３１】を満足する認証方式を提供することにあ
る。
【００３２】
【課題を解決するための手段】上記目的を達成するため
に、本発明は、二つの大きな素数ｐ，ｑの積からなる合
成数ｎを法とする剰余環Ｚn 上の離散対数問題の困難性
を利用した認証プロトコルを用いることで、証明者と確
認者間で行われる認証処理の際に現れる通信系列におい
て、他者にとって有用な情報は一切漏らさないが、証明
者以外の者が作成困難な情報が存在するようにプロトコ
ルを設計した。具体的には、証明者のセンタへの登録処
理として、証明者はセンタに自分のＩＤ情報ＩＤA を送
り、センタはセンタの秘密情報である十分大きな二つの
素数ｐ，ｑと、センタの公開情報であるｎ＝ｐ・ｑ及び
αを用いて、
【００３３】
【数２０】 ＩＤA≡ｙA・ｚA 2 (mod ｎ）， ｙA≡exp(α，ｘA） (mod ｎ） …（数２０） を満たす（ｘA，ｙA，ｚA）を作成し、(ＩＤA，ｘA，ｙ
A，ｚA）をＩＣカードに搭載するなどして証明者に配付
する。
【００３４】証明者と確認者の間の認証処理では、証明
者は確認者に対して（ＩＤA，ｙA，ｚA）を送付した
後、確認者は、センタの公開情報であるｎを用いて、
【００３５】
【数２１】 ＩＤA≡ｙA・ｚA 2 (mod ｎ） …（数２１） の成立を確かめ、証明者は、センタの公開情報である正
定数ｋに対し、ｒi∈{０，１，…，ｋ｝をランダムに選
び、
【００３６】
【数２２】 ｕi≡exp(α，ｒi／２） (mod ｎ） …（数２２） を計算し、ｕi を確認者に送る。確認者は、センタの公
開情報である正定数ζに対し、ｅi∈｛０，１，…，
ζ｝をランダムに選び、ｅiを証明者に送る。
【００３７】証明者はｅiを受け取った後、
【００３８】
【数２３】 ｗi＝ｒi＋ｅi・ｘA …（数２３） を計算し、ｗiを確認者に送る。確認者は、
【００３９】
【数２４】exp(α，ｗi）(mod ｎ）＝ｕi 2・exp(ｙA，
ｅi）(mod ｎ） …（数２４）の成立を確かめる。以上
のプロトコルを、ｉ＝１からｔまで繰り返すことによ
り、証明者の認証を行う（但し、ここで、ｔはセキュリ
ティパラメータ，exp(ａ，ｂ）はａのｂ乗を意味す
る。）。
【００４０】
【作用】本発明における認証方式では、二つの素数ｐ，
ｑの積からなる合成数ｎを法とする剰余環Ｚn 上の離散
対数問題の困難性を利用した認証プロトコルを用いるこ
とで、証明者と確認者間で行われる認証処理の際に生じ
る通信系列の中に有用な情報は一切漏らさないが、証明
者以外の者が作成困難な情報が存在するようにして、認
証の証拠となる情報を新たに増やすことなく、認証処理
に必要な最小の情報および通信で通信系列がそのまま認
証の証拠となるようにすることができる。
【００４１】また、認証処理において、計算負担の大き
いべき乗計算、及び、通信回数を削減することで、効率
の良い認証処理が可能となった。特に、通信ネットワー
ク上での認証処理において、証明者がＩＣカードのよう
な記憶容量および計算能力の小さい媒体を用いても、効
率の良い認証が可能である。
【００４２】さらに、本発明によると、秘密鍵暗号や公
開鍵暗号を用いた認証方式の場合とは異なり、センタの
公開情報と証明者のＩＤ情報のみの公開情報で認証処理
が可能なので、面倒な鍵配送や公開鍵ファイルの作成が
不要となる。
【００４３】
【実施例】図１は、本発明のシステム構成を示すブロッ
ク図である。図１は、センタ側装置１００と証明者側装
置２００と確認者側装置３００とから構成されており、
それぞれは通信回線５００を介して接続されている。
【００４４】証明者はセンタ発行のＩＣカード４００を
所持し、ＩＣカード４００を利用して証明者側装置２０
０と確認者側装置３００間で通信回線５００を介して認
証処理を行う。
【００４５】図２は、センタ側装置１００の内部構成を
示す。センタ側装置１００は、入力装置１０１，演算装
置１０２，メモリ１０３，乱数発生装置１０４，素数発
生装置１０５，通信装置１０６、及び、出力装置１０７
を備えている。
【００４６】図３は、証明者側装置２００の内部構成を
示す。証明者側装置２００は、入力装置２０１，演算装
置２０２，メモリ２０３，ＩＣカード差し込み口２０
４，通信装置２０５、及び、出力装置２０６を備えてい
る。
【００４７】図４は、確認者側装置３００の内部構成を
示す。確認者側装置３００は、入力装置３０１，演算装
置３０２，メモリ３０３，乱数発生装置３０４，通信装
置３０５、及び、出力装置３０６を備えている。
【００４８】図５は、ＩＣカード４００の内部構成を示
す。ＩＣカード４００は、入力装置４０１，演算装置４
０２，メモリ４０３，乱数発生装置４０４、及び、出力
装置４０５を備えている。
【００４９】（実施例１）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者はセン
タを訪ねる。
【００５０】センタの準備処理：センタはセンタ側装置
内１００内の入力装置１０１と演算装置１０２とメモリ
１０３と乱数生成装置１０４と素数生成装置１０５を用
いて、秘密情報と公開情報を次の要領で作成し、通信装
置１０６および出力装置１０７を用いて公開情報のみを
通信回線５００を介して公開する。また、秘密情報はメ
モリ１０３に格納する（但し、ここで、Ｚnは合成数ｎ
を法とする剰余環を表わし、exp(ａ，ｂ)はａのｂ乗を
意味する）。
【００５１】秘密情報：
【００５２】
【数２５】 ・ ｐ，ｑ：二つの素数 ｓ.ｔ ｐ，ｑ≧２256． …（数２５） 公開情報：
【００５３】
【数２６】 ・ ｎ＝ｐ・ｑ， ・ α：位数がｌ.ｃ.ｄ(ｐ−１，ｑ−１)のＺnの元， …（数２６） ・ ｋ：２160程度の正定数， ・ ζ：セキュリティ・パラメータ（ζは２100程度）． ただし、ここで、ｌ.ｃ.ｄ(ｘ，ｙ)はｘとｙの最小公倍
数を表わす。
【００５４】証明者の登録：図６は、本実施例における
認証方法の説明図である。
【００５５】証明者は、自分のＩＤ情報ＩＤA(ｅ.ｇ.
名前, 住所, 電話番号，等)をセンタに渡す。センタ
は、センタ側装置内１００内の演算装置１０２とメモリ
１０３と乱数発生装置１０４とを用いて、
【００５６】
【数２７】 ＩＤA≡ｙA・ｚA 2 （mod ｎ)， …（数２７） となるように、ｘA∈Ｚkと、
【００５７】
【数２８】 ｙA≡exp(α，ｘA) （mod ｎ)， …（数２８） と、ｚA（mod ｎ)をランダムに選ぶ。
【００５８】その後、センタは（ＩＤA,ｘA,ｙA,ｚA,
α,ｎ,ｋ）をＩＣカード４００内のメモリ４０３に格納
して、ＩＣカード４００を証明者に配布する。
【００５９】認証処理：証明者は、ＩＣカード４００内
にある秘密情報ｘA を所持することを証明者側装置２０
０を用いて、確認者側装置３００の確認者に対してｘA
を示すことなく証明することにより証明者の認証を行う
ことを目的として、次の手順を実行する。
【００６０】１．セットアップ 証明者は確認者に対して自分自身の身元を証明するため
に、ＩＣカード４００を証明者側装置２００のＩＣカー
ド差し込み口２０４に差し込み、ＩＣカード４００内の
メモリ４０３に格納された証明者のＩＤ情報ＩＤA と情
報ｙA，ｚAを出力装置４０５を用いて、証明者側装置２
００に出力し、通信装置２０５を用いることで通信回線
５００を介して確認者側装置３００に送る。
【００６１】確認者側装置３００は、演算装置３０２と
メモリ３０３を用いて、送られてきた情報が
【００６２】
【数２９】 ＩＤA≡ｙA・ｚA 2 （mod ｎ) …（数２９） を満足することを確かめる。上式が成立すれば、次の認
証プロトコルを実行する。もし、上式が成立しなけれ
ば、確認者は証明者を拒否する。
【００６３】２．認証プロトコル 次のプロトコルを証明者側装置２００と確認者側装置３
００の間で通信回線５００を介してｉ＝１，…，ｔまで
繰り返し、全てのｉについて、４）の式が常に正しく成
立するならば、確認者は証明者を本人であると認める。
【００６４】１）ＩＣカード４００内の乱数発生装置40
4を用いて、乱数ｒi∈Ｚkを選び、
【００６５】
【数３０】 ｕi≡exp(α，ｒi／２) (mod ｎ) …（数３０） を演算装置４０２を用いて計算して、ｕi を出力装置４
０６から出力し、証明者側装置２００内の通信装置２０
５および出力装置２０６を用い、通信回線５００を介し
て確認者側装置３００に送る。
【００６６】２）確認者側装置３００はｕiを受け取っ
た後、乱数発生装置３０３を用いて、乱数ｅi∈｛０，
１，…，ζ｝を選び、ｅiを通信装置３０５および出力
装置３０６を用い、通信回線４００を介して証明者側装
置２００に送る。
【００６７】３）証明者側装置２００はｅiを受け取っ
た後、演算装置２０２を用いて、
【００６８】
【数３１】 ｗi＝ｒi＋ｅi・ｘA, …（数３１） を計算し、ｗi を通信装置２０５および出力装置２０６
を用い、通信回線400を介して確認者側装置３００に送
る。
【００６９】４）確認者側装置300は演算装置302とメモ
リ303を用いて、
【００７０】
【数３２】 ｕi 2・exp(ｙA，ｅi)（mod ｎ）＝exp(α，ｗi)（mod ｎ) …（数３２） を検査する。
【００７１】本実施例で説明した認証方式を実現するに
当って、安全面・効率面等の考察から次の様に設定する
のが望ましい。
【００７２】（ａ）前処理計算できる箇所は計算してお
く。例えば、認証プロトコル中の１）におけるｕiの計
算。
【００７３】（ｂ）ＩＤ情報ＩＤA を大きく取りたい場
合などには、センタは一方向性ハッシュ関数ｆを公開
し、ＩＤA単独かまたは適当な値とハッシュ値を取る。
【００７４】本実施例で述べた認証方式の特徴として、
次の諸点を挙げることができる。
【００７５】本認証方式では、少ない通信回数でも十分
な安全性が得られる体上の離散対数問題の零知識プロト
コルを改良した認証プロトコルを用いている。体上の離
散対数ベースで認証方式を構築すると、認証方式全体と
して計算負担の大きいべき乗計算が数回出現する。そこ
で、べき乗計算を最大限に抑えるために、二つの素数の
積ｎを法とする剰余環Ｚn 上の離散対数問題に基づき認
証プロトコルを設計した。このことにより、計算負担の
大きいべき乗計算が最大限に抑えられ、また、認証の証
拠を残すプロトコルを構築する上においても有効であ
る。
【００７６】証明者と確認者間の認証の際に生じる通信
系列（ｕi，ｅi，ｗi）は、関係式
【００７７】
【数３３】 ｕi 2・exp(ｙA，ｅi)（mod ｎ）＝exp(α，ｗi)（mod ｎ) …（数３３） を満たし、この関係を満足するｕi，ｅi，ｗiを作成す
るのはｘAを知らないと困難なことから、通信系列
（ｕi，ｅi，ｗi）は証明者との認証の証拠となる。
【００７８】本認証方式は、認証の際に必要となる通信
量や鍵の長さが比較的少なく、容易に実現できる特徴を
持つ。
【００７９】秘密鍵暗号や公開鍵暗号を用いた認証方式
の場合と異なり、面倒な鍵配送や公開鍵ファイルの作成
が不要となる。
【００８０】実システムで零知識認証を適用する場合、
証明者は自分のＩＣカードを所持し、自分の身元を証明
する目的でＩＣカードを端末に差し込むことで、確認者
側装置と通信回線を介して認証処理を行うようなケース
が多いと考えられるが、この際、確認者側装置はある程
度以上の計算・記憶能力を仮定できる（例えば、パソコ
ンやワークステーション等）。本認証方式の場合、上記
認証処理中の１）の計算は前処理が可能で、実際のやり
とりの中で行う必要のある計算は３）のみであるので、
ＩＣカードのような計算能力の小さい媒体でも高速に処
理を行うことができる。認証処理で、計算負担の大きい
箇所は全て確認者側で行われ、確認者側はある程度以上
の計算・記憶能力を期待できるので、全体として非常に
高速に処理できる。
【００８１】（実施例２）実施例１において、セットア
ップにおける
【００８２】
【数３４】 ＩＤA≡ｙA・ｚA 2 （mod ｎ) …（数３４） の検査と、プロトコルの実施を並列で実行する。これに
より、認証時間がさらに短縮される。
【００８３】（実施例３）実施例１において、認証プロ
トコルの繰返し回数ｔが１の場合はセンタはｚAの作成
を行わず、（ＩＤA,ｘA,ｙA,α,ｎ,ｋ）をＩＣカード４
００内のメモリ４０３に格納して、ＩＣカード４００を
証明者に配付し、認証処理では、セットアップは不要と
なり、認証プロトコル中の４）の
【００８４】
【数３５】 ｕ1・exp(ｙA，ｅ1)≡exp(α，ｗ1) （mod ｎ) …（数３５） の検査の代わりに、
【００８５】
【数３６】 ｕ1・exp(ＩＤA／ｚA 2，ｅ1）≡exp(α，ｗ1） (mod ｎ)…（数３６） を検査する。この様にすることにより、ｚA が不要にな
るので、通信量・計算量が削減される。
【００８６】（実施例４）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者はセン
タを訪ねる。
【００８７】センタの準備処理：センタはセンタ側装置
内１００内の入力装置１０１と演算装置１０２とメモリ
１０３と乱数発生装置１０４と素数生成装置１０５を用
いて、秘密情報と公開情報を次の要領で作成し、通信装
置１０６および出力装置１０７を用い、通信回線５００
を介して公開情報のみ公開する。また、秘密情報はメモ
リ１０３に格納する（但し、ここで、Ｚnは正数ｎを法
とする剰余環を表わし、exp(ａ，ｂ)はａのｂ乗を意味
する）。
【００８８】秘密情報：
【００８９】
【数３７】 ・ ｐ，ｑ：二つの素数 s.t ｐ，ｑ≧２256， …（数３７） ・ Ｓ：署名用の秘密情報． 公開情報：
【００９０】
【数３８】 ・ ｎ＝ｐ・ｑ， …（数３８） ・ α：位数がｌ.ｃ.ｄ(ｐ−１，ｑ−１)のＺnの元， ・ ｋ：２160程度の正定数， ・ ζ：セキュリティ・パラメータ（ζは２100程度）， ・ Ｐ：署名用の公開情報． ただし、ここで、ｌ.ｃ.ｄ(ｘ，ｙ)はｘとｙの最小公倍
数を表わす。署名用の秘密情報Ｓがｐ，ｑと一致する場
合は、公開情報Ｐは不要となる。
【００９１】証明者の登録：図５は、本実施例における
認証方法のブロック図である。
【００９２】センタ側装置１００内の乱数発生装置１０
４（または、ＩＣカード４００内の乱数発生装置４０
４）を用いて、ｘA∈Ｚkをランダムに選び、演算装置１
０２（または、演算装置４０２）を用いて、
【００９３】
【数３９】 ｙA≡exp(α，ｘA) （mod ｎ)， …（数３９） を計算する。
【００９４】証明者は、自分のＩＤ情報ＩＤA (e.g. 名
前, 住所, 電話番号，等）をセンタに登録する。センタ
は、署名用の秘密情報Ｓから、センタ側装置内１００内
の演算装置１０２を用いて、（ＩＤA，ｙA）に対する署
名ＳAを作成する。
【００９５】その後、センタは(ＩＤA,ｘA,ｙA,ＳA,ｎ,
ｋ）をＩＣカード４００内のメモリ４０３に格納して、
ＩＣカード４００を証明者に配布する。
【００９６】認証処理：証明者は、ＩＣカード４００内
にある秘密情報ｘＡを所持することを証明者側装置２０
０を用いて、確認者側装置３００の確認者に対してｘＡ
を示すことなく証明することにより証明者の認証を行う
ことを目的として、次の手順を実行する。
【００９７】１．セットアップ. 証明者は確認者に対して自分自身の身元を証明するため
に、ＩＣカード４００を証明者側装置２００のＩＣカー
ド差し込み口２０４に差し込み、ＩＣカード４００内の
メモリ４０３に格納された証明者のＩＤ情報ＩＤA と情
報ｙA，ＳAを出力装置４０５を用いて、証明者側装置２
００に出力し、通信装置２０５を用いることで通信回線
５００を介して確認者側装置３００に送る。
【００９８】確認者側装置３００は、センタの署名用の
公開情報Ｐと演算装置３０２とメモリ３０３を用いて、
送られてきた署名ＳＡが正当なものであることを確かめ
る。
【００９９】２．認証プロトコル. 次のプロトコルを証明者側装置２００と確認者側装置３
００の間で通信回線４００を介してｉ＝１，…，ｔまで
繰り返し、全てのｉについて、数４１が常に正しく成立
するならば、証明者を本人であると認める。
【０１００】ＩＣカード４００内の乱数発生装置４０４
を用いて、乱数ｒi∈Ｚkを選び、
【０１０１】
【数４０】 ｕi≡exp(α，ｒi／２) (mod ｎ) …（数４０） を演算装置４０２を用いて計算し、出力装置４０５を用
いてｕi を証明者側装置２００に出力し、通信装置２０
５および出力装置２０６を用いて、通信回線400を介し
て確認者側装置３００に送る。
【０１０２】確認者側装置３００はｕi を受け取った
後、乱数発生装置３０３を用いて乱数ｅi∈｛０，１，
…，ζ｝を選び、ｅiを通信装置３０５および出力装置
３０６を用いて、通信回線４００を介して証明者側装置
２００に送る。
【０１０３】証明者側装置２００はｅiを受け取った
後、演算装置２０２を用いて、 ｗi＝ｒi＋ｅi・ｘA, を計算し、通信装置２０５および出力装置２０６を用い
て、ｗi を通信回線400を介して確認者側装置３００に
送る。
【０１０４】確認者側装置３００内は演算装置３０２を
用いて、
【０１０５】
【数４１】 ｕi 2・exp(ｙA，ｅi)（mod ｎ）＝exp(α，ｗi)（mod ｎ) …（数４１） を検査する。
【０１０６】（実施例５）実施例４で、セットアップに
おける署名ＳA の正当性の確認と、上記認証プロトコル
の実施を並列で実行する。これにより、認証時間がさら
に短縮される。
【０１０７】
【発明の効果】本発明における認証方式は、二つの素数
ｐ，ｑの積からなる合成数ｎを法とする剰余環Ｚn 上の
離散対数問題に基づく認証プロトコルで認証スキームを
構築することにより、安全性が高く、通信回数及び通信
量が少なく効率の良い認証が可能となった。
【０１０８】さらに、認証の証拠となる情報を新たに増
やすことなく、認証に必要な最小の情報，通信で通信系
列がそのまま認証処理の証拠となることができる。この
ことにより、証明者と確認者間で正当な認証が行われた
後、証明者が認証の事実を否定するといった不正が防止
できる。
【０１０９】また、本発明における認証方式は、センタ
の公開情報と証明者のＩＤ情報のみの公開情報で認証処
理が実行できるので、秘密鍵暗号や公開鍵暗号を用いた
認証方式の場合と異なり、面倒な鍵配送や公開鍵ファイ
ルの作成の必要がなくなる。
【図面の簡単な説明】
【図１】本発明の実施例におけるシステム構成を示すブ
ロック図。
【図２】本発明のシステム構成内のセンタ側装置の内部
構成を示すブロック図。
【図３】本発明のシステム構成内の証明者側装置の内部
構成を示すブロック図。
【図４】本発明のシステム構成内の確認者側装置を示す
ブロック図。
【図５】本発明のシステム構成内のＩＣカードの内部構
成を示すブロック図。
【図６】実施例１の認証方式の概要を示す説明図。
【図７】実施例４の認証方式の概要を示す説明図。
【符号の説明】
１００…センタ側装置、２００…証明者側装置、３００
…確認者側装置、400…ＩＣカード、５００…通信回
線。
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/12

Claims (5)

    【特許請求の範囲】
  1. 【請求項１】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、前記センタが作成
    した前記証明者用の秘密の情報を利用して、前記証明者
    が前記確認者に身元を証明する認証システムにおいて、
    前記証明者と前記確認者は、前記センタの公開情報と前
    記証明者のＩＤ情報のみの公開情報で認証処理を実行す
    ることができ、前記証明者と前記確認者間の認証処理の
    際に生じる通信系列が、前記認証処理に必要な最小限の
    情報および通信で、認証の通信系列がそのまま認証処理
    の証拠となることができることを特徴とする認証方式。
  2. 【請求項２】請求項１において、前記センタは二つの素
    数ｐ，ｑの積であるｎを公開し、センタの秘密情報ｐ，
    ｑを用いることにより、前記証明者の認証のための秘密
    情報を作成した後、前記証明者に前記秘密情報を配布
    し、前記証明者は、前記秘密情報ｓを所持することを他
    者にとって有用な情報を漏らすことなく、ｎを法とする
    剰余環Ｚn 上の離散対数問題の困難性を利用した認証プ
    ロトコルにより、前記確認者に対して証明を行うことに
    より認証処理を行うことを特徴とする認証方式。
  3. 【請求項３】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、前記センタが作成
    した前記証明者用の秘密の情報を利用して、前記証明者
    が前記確認者に身元を証明する認証システムにおいて、
    前記証明者の前記センタへの登録処理として、前記証明
    者はセンタに自分のＩＤ情報ＩＤA を送り、前記センタ
    は前記センタの秘密情報である二つの素数ｐ，ｑと、セ
    ンタの公開情報であるｎ＝ｐ・ｑ及びαを用いて、 【数１】 ＩＤA≡ｙA・ｚA 2 (mod ｎ）， ｙA≡exp(α，ｘA） (mod ｎ） …（数１） を満たす（ｘA，ｙA，ｚA）を作成し、(ＩＤA，ｘA，ｙ
    A，ｚA）を計算機能付記憶媒体に搭載するなどして証明
    者に配付し、前記証明者と前記確認者間の認証処理で
    は、前記証明者は前記確認者に対して(ＩＤA，ｙA，
    ｚA）を送付した後、前記確認者は、前記センタの公開
    情報であるｎを用いて、 【数２】 ＩＤA≡ｙA・ｚA 2 (mod ｎ） …（数２） の成立を確かめ、前記証明者は、前記センタの公開情報
    である正定数ｋに対し、ｒi∈｛０，１，…，ｋ｝をラ
    ンダムに選び、 【数３】 ｕi≡exp(α，ｒi/２） (mod ｎ） …（数３） を計算し、ｕiを確認者に送り、前記確認者はｕiを受け
    取った後、センタの公開情報である正定数ζに対し、ｅ
    i∈｛０，１，…，ζ｝をランダムに選び、ｅiを前記証
    明者に送り、前記証明者はｅiを受け取った後、 【数４】 ｗi＝ｒi＋ｅi・ｘA …（数４） を計算し、ｗiを確認者に送り、前記確認者は、 【数５】 exp(α，ｗi）(mod ｎ）＝ｕi 2・exp(ｙA，ｅi）(mod ｎ） …（数５） の成立を確かめることを、ｉ＝１からｔまで繰り返すこ
    とにより、前記証明者の認証を行う（但し、ここで、ｔ
    はセキュリティパラメータ，exp(ａ，ｂ）はａのｂ乗を
    意味する）ことを特徴とする認証方式。
  4. 【請求項４】証明者が確認者に対して自分の身元を証明
    するためセンタを訪れ、前記センタが作成した前記証明
    者用の秘密の情報を利用して、前記証明者が前記確認者
    に身元を証明する認証システムにおいて、 前記証明者の前記センタへの登録処理として、 前記証明者は前記センタに自分のＩＤ情報ＩＤAを送
    り、前記センタは前記センタの秘密情報である二つの素
    数ｐ，ｑと、前記センタの公開情報であるｎ＝ｐ・ｑ及
    びαを用いて、 【数６】 ＩＤA≡ｙA 2・exp(α，ｘA） (mod ｎ）， …（数６） を満たす（ｘA，ｙA）を作成し、(ＩＤA，ｘA，ｙA）を
    計算機能付記憶媒体に搭載するなどして前記証明者に配
    付し、 前記証明者と前記確認者の間の認証処理では、前記証明
    者は確認者に対して（ＩＤA，ｙA）を送付し、前記証明
    者は、センタの公開情報である正定数ｋに対し、ｒ∈
    ｛０，１，…，ｋ｝をランダムに選び、 【数７】 ｕ≡exp(α，ｒ/２） (mod ｎ） …（数７） を計算し、ｕを前記確認者に送り、前記確認者はｕを受
    け取った後、前記センタの公開情報である正定数ζに対
    し、ｅ∈｛０，１，…，ζ｝をランダムに選び、ｅを証
    明者に送り、 前記証明者はｅを受け取った後、 【数８】 ｗ＝ｒ＋ｅ・ｘA …（数８） を計算し、ｗを確認者に送り、前記確認者は、 【数９】 exp(α，ｗ）(mod ｎ）＝ｕ2・exp(ｙA，ｅ）(mod ｎ） …（数９） の成立を確かめることにより、前記証明者の認証を行う
    （但し、ここで、ｔはセキュリティパラメータ，exp
    (ａ，ｂ）はａのｂ乗を意味する。）ことを特徴とする
    認証方式。
  5. 【請求項５】証明者が確認者に対して自分の身元を証明
    するため信頼できるセンタを訪れ、前記センタが作成し
    た前記証明者用の秘密の情報を利用して、前記証明者が
    前記確認者に身元を証明する認証システムにおいて、前
    記センタは、前記センタの秘密情報である二つの素数
    ｐ，ｑからｎ＝ｐ・ｑを前記センタの公開情報とし、 前記証明者の前記センタへの登録処理として、前記セン
    タ、または、前記証明者は認証用の秘密情報ｘAをラン
    ダムに作成し、前記証明者のＩＤ情報ＩＤAと、 【数１０】 ｙA≡exp(α，ｘA） (mod ｎ） …（数１０） の組（ＩＤA，ｙA）に対して、前記センタの秘密情報を
    用いることにより署名ＳAを作成し、前記センタは、前
    記証明者に対して、（ＩＤA，ｘA，ＳA）を計算機能付
    記憶媒体に搭載するなどして前記証明者に配付し、前記
    証明者と前記確認者の間の認証処理では、前記証明者は
    前記確認者に対して(ＩＤA，ｙA，ＳA）を送付した後、
    前記確認者は、前記センタの公開情報を用いて、署名Ｓ
    A の正当性を確かめ、前記証明者は、前記センタの公開
    情報である正定数ｋに対し、ｒi∈｛０，１，…，ｋ｝
    をランダムに選び、 【数１１】 ｕi≡exp(α，ｒi/２） (mod ｎ） …（数１１） を計算し、ｕiを前記確認者に送り、前記確認者はｕiを
    受け取った後、前記センタの公開情報である正定数ζに
    対し、ｅi∈{０，１，…，ζ｝をランダムに選び、ｅi
    を前記証明者に送り、前記証明者はｅiを受け取った
    後、 【数１２】 ｗi＝ｒi＋ｅi・ｘA …（数１２） を計算し、ｗiを前記確認者に送り、前記確認者は、 【数１３】 exp(α，ｗi）(mod ｎ）＝ｕi 2・exp(ＩＤA/ｙA 2，ｅi）(mod ｎ） …（数１３） の成立を確かめることをｉ＝１からｔまで繰り返すこと
    により、前記証明者の認証を行う（但し、ここで、αは
    センタの公開情報，ｔはセキュリティパラメータ，exp
    (ａ，ｂ）はａのｂ乗を意味する。）ことを特徴とする
    認証方式。
JP6068313A 1994-04-06 1994-04-06 認証方式 Pending JPH07281595A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP6068313A JPH07281595A (ja) 1994-04-06 1994-04-06 認証方式

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP6068313A JPH07281595A (ja) 1994-04-06 1994-04-06 認証方式

Publications (1)

Publication Number Publication Date
JPH07281595A true JPH07281595A (ja) 1995-10-27

Family

ID=13370209

Family Applications (1)

Application Number Title Priority Date Filing Date
JP6068313A Pending JPH07281595A (ja) 1994-04-06 1994-04-06 認証方式

Country Status (1)

Country Link
JP (1) JPH07281595A (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007007836A1 (ja) * 2005-07-13 2007-01-18 Nippon Telegraph And Telephone Corporation 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007007836A1 (ja) * 2005-07-13 2007-01-18 Nippon Telegraph And Telephone Corporation 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体
JPWO2007007836A1 (ja) * 2005-07-13 2009-01-29 日本電信電話株式会社 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体
JP4555859B2 (ja) * 2005-07-13 2010-10-06 日本電信電話株式会社 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体
US8001384B2 (en) 2005-07-13 2011-08-16 Nippon Telegraph And Telephone Corporation Authentication system, authentication method, attesting device, verification device, their programs, and recording medium

Similar Documents

Publication Publication Date Title
US9967239B2 (en) Method and apparatus for verifiable generation of public keys
Brickell et al. Enhanced privacy ID: A direct anonymous attestation scheme with enhanced revocation capabilities
Damgård Payment systems and credential mechanisms with provable security against abuse by individuals
JP3522447B2 (ja) 認証交換方法および付加型公衆電子署名方法
US4969189A (en) Authentication system and apparatus therefor
EP0786178B1 (en) Secret-key certificates
US7716484B1 (en) System and method for increasing the security of encrypted secrets and authentication
Gennaro et al. RSA-based undeniable signatures
EP0697776A2 (en) Method and apparatus for secure electronic voting
US20020174339A1 (en) Data card verification system
US20160269397A1 (en) Reissue of cryptographic credentials
JP3513324B2 (ja) ディジタル署名処理方法
JP4772965B2 (ja) エンティティの真正性および／またはメッセージの完全性を証明するための方法
Gaud et al. On the anonymity of fair offline e-cash systems
US6978372B1 (en) Verification of correct exponentiation or other operations in cryptographic applications
WO2016187689A1 (en) Signature protocol
Lei et al. Provably secure blind threshold signatures based on discrete logarithm
JPH11234263A (ja) 相互認証方法および装置
JPH07281595A (ja) 認証方式
JP3316895B2 (ja) 正当性の確認システム
JP3292342B2 (ja) ディジタル署名方式
JPH0777934A (ja) 離散対数ベース認証方式
Ng et al. ECDSA-compatible privacy preserving signature with designated verifier
JPH07336348A (ja) 認証装置および認証方法
Yu et al. An online/offline signature scheme based on the strong rsa assumption