JPH0777934A - 離散対数ベース認証方式 - Google Patents

Abstract

(57)【要約】 【目的】通信回数が少なくても十分な安全性が得られ、
かつ、処理負担の大きい計算の少ない効率の良い零知識
認証方式を提供する。 【構成】少ない通信回数で十分な安全性を得ることがで
きる離散対数問題の零知識プロトコルを用い、認証処理
で計算負担の大きいべき乗計算を少なくすることによ
り、認証全体の効率化を図った。また、認証処理で、認
証用情報の作成手続き正当性を零知識プロトコルを用い
て証明し、より安全な認証を可能にする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、認証の基本技術に係
り、広く認証一般に適用できる。例えば、安全性が保証
されない通信ネットワーク上で、利用者が他の利用者に
対して、自分の身元を安全に証明する必要があるような
場合において特に有効である。

【０００２】

【従来の技術】1985年に、ゴールドワッセル（Goldwass
er）らによって提案された零知識証明は暗号理論の分野
に大きな影響を及ぼした。特に、零知識証明は相手認証
等の認証技術に応用された。

【０００３】現在まで、零知識認証方式は、平方剰余問
題の困難性を暗号学的仮定とするファイアット シャミ
ール(Fiat-Shamir）法，離散対数問題の困難性を暗号学
的仮定とするベス（Beth）の方式等が知られている。特
に、Fiat-Shamir 法は、証明者と確認者双方の計算負担
が小さく効率の良い方式である。

【０００４】以下、文献アドヴアンシス イン クリプ
トロジィ プロシーディングス オブ クリプトロジィ
'８６ レクチャー ノーツ イン コンピュータ サ
イエンス，２６３巻 １８６−１９４頁 シュプリンガ
ー フェルラーク社刊（Advances in Cryptology-Proce
edings of Crypto '86, Lecture Notes inComputer Sci
ence, Vol.263, Springer Verlag, Berlin, 1987, pp.1
86-194.)に記載のFiat-Shamir 法について詳しく述べ
る。

【０００５】記号の説明：Ｚは整数環を表わし、Ｚ_pは
素数ｐを法とする剰余体を表わす。また、ａ∈Ｚ_pのオ
ーダがｎであるとは、|〈ａ〉|＝ｎを意味し、ord(ａ)
＝ｎ と書く。ここで、〈ａ〉はａで生成される巡回群
を表わし、|Ｓ|は集合Ｓの元の個数を表わす。 〔Fiat-Shamir法〕センタは、次の情報を作成する。

【０００６】センタの秘密情報 ・ｐ，ｑ：二つの素数 センタの公開情報 ・ｎ＝ｐｑ， ・ｆ：値域が（０，ｎ）の擬似ランダム関数 証明者のセンタへの登録： １）証明者はセンタに自分のＩＤ情報ＩＤ_Aを登録す
る。

【０００７】２）センタは、

【０００８】

【数５】ｖ_j≡ｆ(ＩＤ_A，ｊ)， ｊ＝１，…，ｋ と置き、 ｓ_j ²≡１/ｖ_j（mod ｎ） から、ｓ_ｊ（ｊ＝１，…，ｋ）を計算し、ＩＤ_A，ｎと
共にＩＣカードに搭載して証明者に配付する（簡単のた
め、ｊ＝１，…，ｋでｖ_j（mod ｎ)は平方剰余になると
仮定している。）。

【０００９】認証処理： １）証明者は、自分のＩＤ情報ＩＤ_Aを確認者に送る。

【００１０】２）確認者は、

【００１１】

【数６】ｖ_j≡ｆ(ＩＤ_A，ｊ)， ｊ＝１，…，ｋ を計算する。

【００１２】次のステップ３から６をｉ＝１，…，ｔま
で繰り返し、全てのｉについてステップ６の等式が成立
すれば、確認者は証明者を受理する。

【００１３】３）証明者は、乱数ｒ_i∈Ｚ_nを選び、ｘ_i
≡ｒ_i ²（mod ｎ)を確認者に送る。

【００１４】４）確認者は、ｋ個のランダムビットの列
（ｅ_i1，…，ｅ_ik）を証明者に送る。

【００１５】５）証明者は、

【００１６】

【数７】ｙ_i≡ｒ_iΠ{ｓ_j|ｅ_ij＝１} （mod ｎ) を確認者に送る。

【００１７】６）確認者は、

【００１８】

【数８】ｘ_i≡ｙ_i ²Π{ｖ_j|ｅ_ij＝１} （mod ｎ) を検査する。

【００１９】Fiat-Shamir法において、偽の証明者が確
認者を騙せる確率ｐ₁は、

【００２０】

【数９】ｐ₁≦exp(２,-kt) となる（但し、ここで、exp(ａ，ｂ）はａのｂ乗を意味
する。）。

【００２１】前記文献には、ｋｔ＝２０程度で十分安全
であると記されている。また、現在のところ、２５６ビ
ット以上の素数ｐ，ｑが推奨されている。

【００２２】一般に、実システムにおいて認証技術を適
用する場合、本質的に認証処理に必要となる通信回数を
なるだけ削減したい。

【００２３】Fiat-Shamir 法の場合、ｔ＝１にすると
（このとき、通信回数は３回）、ｋ＝２０になる。する
と、証明者側の秘密情報は、ｓ₁,ｓ₂,…,ｓ₂₀となり、
各ｓ_iは５１２ビットなので全部で５１２×２０＝１０
２４０ビットとなり、記憶容量の小さいカードでは実現
が難しい。逆に、ｋ＝１にすると、ｔ＝２０となり、証
明者側の秘密情報は５１２ビットだけであるが、通信回
数が６０回も必要となる。ｋ＝５，ｔ＝４のとき、証明
者側の秘密情報は２５６０ビットで通信回数は１２回と
なる。この場合も、通信回数が多いので、認証処理に時
間がかかると予想される。特に、高い安全性が要求され
るようなシステムにおいて、例えば、ｋｔ＝１６０の場
合、Fiat-Shamir 法は必然的に通信回数を増やす必要が
あるので、認証処理に多くの時間を要する。

【００２４】

【発明が解決しようとする課題】高度情報化社会では、
通信ネットワーク上で電子投票を行ったり、重要な契約
などを行う等の他、様々なサービスが行われることが予
想される。この際、ネットワークの利用者が自分の身元
を安全に相手に証明する認証技術が必要不可欠になる。
零知識証明を用いた認証法は、安全性については申し分
のない方式であるが、一般に、何回かの通信を必要と
し、認証時間が長いという問題点がある。

【００２５】本発明の目的は、通信回数が少なくても十
分な安全性が得られ、かつ、処理負担の大きい計算を少
なくした効率の良い零知識認証方式を提供することにあ
る。

【００２６】

【課題を解決するための手段】本発明における認証方式
は、通信回数が少なくても十分な安全性を得ることがで
きる離散対数問題の零知識プロトコルを認証プロトコル
に用い、また、認証処理に必要となる計算負担の大きい
べき乗計算を少なくすることを特徴とする。

【００２７】具体的には、まず証明者のセンタへの登録
処理を行う。登録処理では、証明者はセンタに自分のＩ
Ｄ情報ＩＤ_Aを送り、センタはセンタの公開情報である
正定数α，ｖと、素数ｐと、センタの秘密情報ｓを用い
て、

【００２８】

【数１０】ｚ_A≡exp(α，ｘ_A) (mod ｐ）， exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A (mod ｐ） を満たす（ｘ_A，ｙ_A，ｚ_A）を作成し、（ＩＤ_A，ｘ_A，
ｙ_A，ｚ_A）を記憶媒体等に搭載するなどして証明者に配
付し、証明者と確認者の間の認証処理では、証明者は確
認者に対して（ＩＤ_A，ｙ_A，ｚ_A)を送付した後、確認者
は、センタの公開情報である正定数α，ｖと素数ｐを用
いて、

【００２９】

【数１１】exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A (mod ｐ） の成立を確かめた後、確認者に対して証明者は秘密情報
ｘ_A を所持することを離散対数問題の零知識プロトコル
を用いて証明することにより、証明者の認証を行う（但
し、ここで、exp(ａ，ｂ）はａのｂ乗を意味する）。

【００３０】

【作用】本発明における認証方式では、通信回数が少な
くても十分な安全性が得られる離散対数問題の零知識証
明プロトコルを認証プロトコルに用い、さらに、計算負
担の大きいべき乗計算を少なくすることにより、認証処
理の効率が向上した。

【００３１】また、認証処理で、認証用情報の作成手続
き正当性を証明することにより、より安全な認証が可能
となった。

【００３２】

【実施例】

（実施例１）図１は、本発明のシステム構成を示すブロ
ック図である。図１は、センタ側装置１００と証明者側
装置２００と確認者側装置３００とから構成されてお
り、センタ側装置１００と証明者側装置２００と確認者
側装置３００は通信回線４００を介して接続されてい
る。

【００３３】図２は、センタ側装置１００の内部構成を
示す。センタ側装置１００は、入力装置１０１，演算装
置１０２，メモリ１０３，乱数発生装置１０４，素数発
生装置１０５、及び、出力装置１０６を備えている。

【００３４】図３は、証明者側装置２００の内部構成を
示す。証明者側装置２００は、入力装置２０１，演算装
置２０２，メモリ２０３，乱数発生装置２０４、及び、
出力装置２０５を備えている。

【００３５】図４は、確認者側装置３００の内部構成を
示す。確認者側装置３００は、入力装置３０１，演算装
置３０２，メモリ３０３，乱数発生装置３０４、及び、
出力装置３０５を備えている。

【００３６】証明者は、確認者に対して自分の身元を証
明したい。この目的の下で、証明者はセンタを訪ねる。

【００３７】センタの準備処理：センタはセンタ側装置
内１００内の入力装置１０１と演算装置１０２とメモリ
１０３と乱数生成装置１０４と素数生成装置１０５を用
いて、秘密情報と公開情報を次の要領で作成し、出力装
置１０６を用いて公開情報のみを出力し、公開する。ま
た、秘密情報はメモリ１０３に格納する（但し、ここ
で、Ｚ_p は素数ｐを法とする剰余体を表わし、exp(ａ，
ｂ)はａのｂ乗を意味する）。

【００３８】秘密情報： ｓ：Ｚ_qの元 公開情報：・ ｐ：素数，・ ｑ：ｐ−１を割り切る素数，・ α：位数がｑのＺ_pの元，・ ｖ≡exp(α，ｓ) (mod ｐ)，・ セキュリティ・パラメータ ζ（１≦ζ≦ｑ) 証明者の登録：図５は、本実施例における認証方法の説
明図である。証明者は、自分のＩＤ情報ＩＤ_A (e.g. 名
前, 住所, 電話番号，等）を通信回線４００を介してセ
ンタに送る。センタは、センタ側装置内１００内の乱数
生成装置１０４を用いて、乱数ｔ_A∈Ｚ_qを選び、

【００３９】

【数１２】ｘ_A≡ｓ(ＩＤ_A＋ｙ_A)−ｔ_A （mod ｑ)， ｙ_A≡exp(α，ｔ_A) （mod ｐ)， ｚ_A≡exp(α，ｘ_A) （mod ｐ) を演算装置１０２を用いて計算する。その後、センタは
（ＩＤ_A，ｘ_A，ｙ_A，ｚ_A，ｐ，ｑ，α）を記憶媒体等に
搭載して証明者に配布する。

【００４０】認証処理：証明者は、秘密情報ｘ_Aを所持
することを確認者に対してｘ_Aを知らせることなく証明
することにより証明者の認証を行うため、次の手順を実
行する。

【００４１】１．セットアップ． 証明者は確認者に対して自分自身の身元を証明するため
に証明者側装置２００を用い、通信回線４００を介して
確認者側装置３００にアプローチし、最初に証明者は証
明者側装置２００内の出力装置２０５から通信回線４０
０を介して、自分のＩＤ情報ＩＤ_Aと情報ｙ_A，ｚ_Aを確
認者側装置300に送る。

【００４２】確認者側装置３００は、演算装置３００を
用いて、送られてきた情報が

【００４３】

【数１３】exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A （mod ｐ) を成立することを確かめる。

【００４４】２．認証プロトコル. 次のプロトコルを証明者側装置２００と確認者側装置３
００の間で通信回線４００を介してｉ＝１，…，ｔまで
繰り返す。

【００４５】Step１．証明者は証明者側装置２００内の
乱数生成装置２０４を用いて、乱数ｒ_i∈Ｚ_qを選び、

【００４６】

【数１４】ｕ_i≡exp(α，ｒ_i) (mod ｐ) を演算装置２０２を用いて計算し、ｕを通信回線４００
を介して確認者側側装置３００に送る。

【００４７】Step２．確認者は確認者側装置３００内の
乱数生成装置３０３を用いて、乱数ｅ_i∈｛０，１，
…，ζ｝を選び、ｅ_iを通信回線４００を介して証明者
側装置２００に送る。

【００４８】Step３．証明者は証明者側装置２００内の
演算装置２０２を用いて、

【００４９】

【数１５】ｗ_i≡ｒ_i＋ｅ_i・ｘ_A (mod ｑ) を計算し、ｗ_iを通信回線４００を介して確認者側装置
３００に送る。

【００５０】Step４．確認者は確認者側装置３００内の
演算装置３０２を用いて、

【００５１】

【数１６】 ｕ_i・exp(ｚ_A，ｅ_i)≡exp(α，ｗ_i) （mod ｐ) を検査する。

【００５２】確認者は、プロトコルのｔ回の実行で、St
ep４の式が常に正しく成立するならば、証明者を本人で
あると認める。

【００５３】本実施例で説明した認証方式を実際に実行
するに当って、安全面・効率面等の考察から次の様に設
定するのが望ましい。

【００５４】（１）ｐ≧２⁵¹²，（２）ｑ≧２¹⁶⁰，
（３）前処理計算できる箇所は計算しておく。

【００５５】（４）ＩＤ情報ＩＤ_A を大きく取りたい場
合などには、センタは一方向性ハッシュ関数ｆを公開
し、ＩＤ_A単独かまたは適当な値とハッシュ値を取る。

【００５６】本実施例で述べた認証方式の特徴として
は、 （１）本認証方式では、セキュリティ・パラメータζは
最大で、素数ｑまで取ることができる（ｑは１６０ビッ
トとする。）。ζ＝ｑのとき、偽の証明者が確認者を騙
す確率ｐ₂はプロトコル１回につき、ｐ₂≦１／２¹⁶⁰ と
なることから、通信回数３回で計算量をさほど増加させ
ることなく非常に高い安全性を得ることが出来る。

【００５７】また、認証の際に必要となる通信量や鍵の
長さも比較的少なくて済む特徴を持つ。

【００５８】（２）実システムで零知識認証を適用する
場合、証明者は自分のＩＣカードを所持し、自分の身元
を証明する目的でＩＣカードを端末に差し込むことで、
確認者側装置と通信回線を介して認証処理を行うような
ケースが多いと考えられるが、この際、確認者側装置は
ある程度以上の計算・記憶能力を仮定できる（例えば、
パソコンやワークステーション等）。本認証方式の場
合、認証処理Step１の計算は前処理が可能で、実際のや
りとりの中で行う必要のある計算はStep３のみであるの
で、ＩＣカードのような計算能力の小さい媒体でも高速
に処理を行うことができる。認証処理で、計算負担の大
きい箇所は全て確認者側で行われ、確認者側はある程度
以上の計算・記憶能力を期待できるので、全体として高
速に処理できる。

【００５９】（３）本認証方式の認証処理によって、
(ｘ_A，ｙ_A，ｚ_A）は手続き通りに作られていることが証
明される。このことから、本認証方式は、手続き通りに
（ｘ_A,ｙ_A，ｚ_A）を作成しない限り、不正が困難な安全
性の高い認証方式であると結論付けられる。

【００６０】（４）離散対数問題の零知識証明プロトコ
ルにおける問題点は、計算負担の大きいべき乗計算がプ
ロトコル一回につき３回あることである（実施例１を例
にとると、Step１で一回、Step４で二回の計三回）。証
明者側の一回は前処理が可能なので、実際のやりとりの
中でのべき乗計算は一回削減することができるが、離散
対数ベースで認証方式を構築する場合、この他に、何度
かべき乗計算が必要になってくる。例えば、実施例１の
場合は、セットアップに一回ある。実は、一般的に、こ
れ以上べき乗計算を減らすことは出来ないと予想され
る。

【００６１】（実施例２）実施例１で、セットアップに
おける

【００６２】

【数１７】exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A （mod ｐ) の検査と、Step１から４までのプロトコルの実施を並列
で実行すれば、認証時間がさらに短縮される。

【００６３】（実施例３）実施例１で、認証プロトコル
の繰返し回数ｔが１の場合はセンタはｚ_A の作成を行わ
ず、（ＩＤ_A,ｘ_A,ｙ_A,ｐ,ｑ,α）をＩＣカードに搭載し
て証明者に配付し、認証処理では、セットアップは不要
となり、Step４の

【００６４】

【数１８】 ｕ_i・exp(ｚ_A，ｅ₁)≡exp(α，ｗ₁) （mod ｐ) の検査の代わりに、

【００６５】

【数１９】 ｕ₁・exp(ｙ_A,ｅ₁)・exp(ｖ₁,ＩＤ_A＋ｙ_A）≡exp(α,ｗ₁） （mod ｐ) を検査する。この様にすることにより、ｚ_Aが不要にな
るので、通信量・計算量が削減される。

【００６６】（実施例４）実施例４で用いる記号・情報
は実施例１で使用したものと同一のものである。また、
利用者側装置５００は実施例１における証明者側装置２
００と同じ内部構成を持つ。

【００６７】図６に示すような、ＩＣカードリーダ７０
０を持つ複数の利用者側装置500が通信回線４００を介
して接続されているようなネットワーク上のシステム
で、証明者は利用者端末５００を利用して、他の利用者
端末５００を利用している確認者に自分の身元を証明す
ることを目的として認証を行う。証明者は自分のＩＤ情
報ＩＤ_A を通信回線４００を介してセンタに送り、登録
をする。センタは、センタ側装置１００を用いて証明者
用の情報（ｘ_A，ｙ_A，ｚ_A）を作成し、（ＩＤ_A，ｘ_A，
ｙ_A，ｚ_A，ｐ，ｑ，α)をＩＣカード６００のメモリ６
０３に搭載して証明者に配布する。

【００６８】証明者は、ＩＣカード６００を利用者側端
末５００のＩＣカードリーダ７００に差し込み、ＩＣカ
ード６００内部の入力装置６０１と演算装置６０２と乱
数生成装置６０４と出力装置６０５とメモリ６０３上の
認証用の秘密情報を用いて、他の利用者側端末５００を
利用している確認者との間で実施例１で説明した認証処
理を実行することにより、認証を行う。

【００６９】

【発明の効果】本発明における認証方式は、零知識証明
を利用した認証方式であるので、一切の秘密情報を漏ら
すことなく安全に認証処理ができる。また、認証処理
で、通信回数が少なく、かつ、処理負担の大きい計算が
少ないので効率の良い認証処理が可能である。

【００７０】さらに、認証処理で、認証用情報の作成手
続き正当性を零知識プロトコルを用いて証明することに
より、より安全な認証が可能となった。

【図面の簡単な説明】

【図１】本発明の実施例１におけるシステム構成を示す
ブロック図。

【図２】図１のセンタ側装置を示すブロック図。

【図３】図１の証明者側装置を示すブロック図。

【図４】図１の確認者側装置を示すブロック図。

【図５】本発明の実施例１の認証方式の概要を示す説明
図。

【図６】本発明の第二の実施例のシステム構成を示すブ
ロック図。

【図７】本発明の第二の実施例のＩＣカードを示すブロ
ック図。

【符号の説明】 １００…センタ側装置、２００…証明者側装置、３００
…確認者側装置、400…通信回線。

Claims (3)

【特許請求の範囲】
1. 【請求項１】センタが作成した証明者用の秘密の情報を
   利用して、証明者が確認者に身元を証明する認証システ
   ムにおいて、前記証明者は、前記センタが作成した認証
   用の秘密情報が手続き通りに作成されていることを前記
   確認者に対して証明することにより認証を行うことを特
   徴とする離散対数ベース認証方式。
2. 【請求項２】センタが作成した証明者用の秘密の情報を
   利用して、証明者が確認者に身元を証明する認証システ
   ムにおいて、前記証明者は前記センタに自分のＩＤ情報
   ID_Aを送り、前記センタは前記センタの公開情報である
   正定数α，ｖと、素数ｐと、センタの秘密情報ｓを用い
   て、 【数１】ｚ_A≡exp(α，ｘ_A) (mod ｐ）， exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A (mod ｐ） を満たす（ｘ_A，ｙ_A，ｚ_A）を作成し、(ＩＤ_A，ｘ_A，ｙ
   _A，ｚ_A）を記憶媒体等に搭載するなどして前記証明者に
   配付し、前記証明者と前記確認者の間の認証処理では、
   前記証明者は前記確認者に対して(ＩＤ_A，ｙ_A，ｚ_A）を
   送付した後、前記確認者は、センタの公開情報である正
   定数α，ｖと素数ｐを用いて、 【数２】exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・ｚ_A (mod ｐ） の成立を確かめた後、前記確認者に対して前記証明者は
   秘密情報ｘ_A を所持することを証明することにより、前
   記証明者の認証を行う（但し、ここで、exp(ａ，ｂ）は
   ａのｂ乗を意味する。）ことを特徴とする離散対数ベー
   ス認証方式。
3. 【請求項３】センタが作成した証明者用の秘密の情報を
   利用して、前記証明者が確認者に身元を証明する認証シ
   ステムにおいて、前記証明者は前記センタに自分のＩＤ
   情報ＩＤ_A を送り、前記センタは前記センタの公開情報
   である正定数α，ｖと、素数ｐと、前記センタの秘密情
   報ｓを用いて、 【数３】 exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・exp(α，ｘ_A） (mod ｐ） を満たす（ｘ_A，ｙ_A）を作成し、(ＩＤ_A，ｘ_A，ｙ_A）を
   記憶媒体等に搭載するなどして前記証明者に配付し、前
   記証明者と前記確認者の間の認証処理で、前記証明者は
   前記確認者に対して（ＩＤ_A，ｙ_A）を送付した後、 【数４】 exp(ｖ，ＩＤ_A＋ｙ_A)≡ｙ_A・exp(α，ｘ_A） (mod ｐ） を満たす秘密情報ｘ_A を所持することを前記センタの公
   開情報である正定数α，ｖと素数ｐを用いて証明するこ
   とにより、前記証明者の認証を行う（但し、ここで、ex
   p(ａ，ｂ）はａのｂ乗を意味する。）ことを特徴とする
   離散対数ベース認証方式。