JPH08160857A - 楕円曲線に基づく認証方法及び認証システム - Google Patents

楕円曲線に基づく認証方法及び認証システム

Info

Publication number
JPH08160857A
JPH08160857A JP6323921A JP32392194A JPH08160857A JP H08160857 A JPH08160857 A JP H08160857A JP 6323921 A JP6323921 A JP 6323921A JP 32392194 A JP32392194 A JP 32392194A JP H08160857 A JPH08160857 A JP H08160857A
Authority
JP
Japan
Prior art keywords
prover
elliptic curve
center
certifier
confirmer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP6323921A
Other languages
English (en)
Inventor
Genji Nishioka
玄次 西岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP6323921A priority Critical patent/JPH08160857A/ja
Publication of JPH08160857A publication Critical patent/JPH08160857A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/3013—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the discrete logarithm problem, e.g. ElGamal or Diffie-Hellman systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H04L2209/463—Electronic voting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Abstract

(57)【要約】 （修正有） 【目的】身元を証明するような認証システムにおいて、
有限体上の離散対数問題に基づく零知識認証方式に比
べ、認証処理効率を下げることなく、安全性のより高い
零知識認証方式を提案する。 【構成】有限体上の離散対数問題よりも難しい問題であ
る楕円曲線上の離散対数問題を暗号学的仮定として認証
プロトコルを構築する。予め楕円曲線Ｅ及び該楕円曲線
Ｅ上における加法を定義しておき、センタにおいて該楕
円曲線Ｅ及び該楕円曲線Ｅ上の点Ｐ、Ｑを公開し、セン
タにおいて上記楕円曲線Ｅ上の点Ｐ、Ｑに関し、Ｑ＝ｘ
Ｐ（ただしｘＰは、楕円曲線Ｅ上の点Ｐに対して、Ｐを
ｘ回加える倍計算を意味する）を満足する整数ｘを証明
者に配布し、証明者が確認者に対してｘを所持すること
をｘに関する知識を漏らすことなく証明することによ
り、認証を行なう。

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、楕円曲線に基づく認証
方式及び装置に関し、特に情報セキュリティの分野にお
いて、証明者が確認者に対して自分の身元の正当性を証
明する認証技術に関する発明である。
【０００２】
【従来の技術】近年、暗号の分野では、公開鍵暗号の安
全性をより高めることを主な目的として、有限体上の問
題（例えば、離散対数問題）を楕円曲線上の問題に置き
換えて暗号アルゴリズムを構築する試みが起ってきた。
【０００３】そこで、まず楕円曲線の基本的事項につい
て説明し、さらに楕円曲線上の離散対数問題の困難性に
安全性の根拠を置くDiffie-Hellmannタイプの鍵共有方
式について説明する。
【０００４】Ｋを体とする。このとき、Ｐ＝（ａ0,ａ1,
…,ａn），Ｑ＝（ｂ0,ｂ1,…,ｂn）∈Ｋn+1−{(０，
０，…，０)} に対して、関係〜を次の様に定義する。 Ｐ〜Ｑ ⇔ ∃λ≠０∈Ｋ s.t ａi＝λｂi for ｉ＝
０，…，ｎ なお、記号⇔は、定義を意味するものとする。
【０００５】このとき、関係〜は同値関係になり、商空
間(Ｋn+1 −{(０，０，…，０)})/〜をｎ次元射影空間
（ｎ＝２のとき、射影平面）と呼び、Ｐn(Ｋ）、また
は、単にＰnで表わす。また、Ｐnにおいて、Ｐ＝
（ａ0，ａ1，…，ａn）を代表元とする同値類を（ａ0：
ａ1：…：ａn）と書き、Ｐ＝（ａ0：ａ1：…：ａn）で
表わす。さらに、Ｐnの部分空間｛（ａ0：ａ1：…：
ａn）∈Ｐn｜Ｘn+1＝０｝を無限遠超平面（ｎ＝２のと
きは、無限遠直線）と呼ぶ。
【０００６】体Ｋの標数が３より大きいとき、Ｋ上の楕
円曲線ＥK(ａ、ｂ)を次の様に定義する。
【０００７】ＥK(ａ，ｂ)＝{（ｘ：ｙ：ｚ)∈Ｐ2｜ｙ2
ｚ＝ｘ3＋ａｘｚ2＋ｂｚ3，4ａ3＋27ｂ2≠０，ａ,ｂ∈
Ｋ} また、Ｅ＝ＥK(ａ，ｂ)と無限遠直線との交点（０：
１：０）を無限遠点と呼び、Ｏによって表わす。
【０００８】このとき、定義から、楕円曲線ＥK(ａ，
ｂ)は、 ＥK(ａ，ｂ)＝｛（ｘ，ｙ）∈Ｋ2｜ｙ2＝ｘ3＋ａｘ＋
ｂ，4ａ3＋27ｂ2≠０，ａ,ｂ∈Ｋ}∪Ｏ と表わすこともできる（以降、簡単のため、この表記を
とる）。
【０００９】Ｋ上の楕円曲線Ｅにおいて、次の（１）か
ら（４）のように加法＋を定義する。このとき、（Ｅ，
＋）はアーベル群をなす。
【００１０】（１）Ｐ＝Ｏ，Ｑ∈Ｅのとき、−Ｐ＝Ｏ，
Ｐ＋Ｑ＝Ｑとする。すなわち、無限遠点Ｏを単位元とす
る。
【００１１】（２）Ｐ＝（ｘ，ｙ）∈Ｅのとき、−Ｐ＝
（ｘ，−ｙ）とする。
【００１２】（３）Ｑ＝−Ｐのとき、Ｐ＋Ｑ＝Ｏとす
る。
【００１３】（４）Ｐ＝(ｘ1，ｙ1)，Ｑ＝(ｘ2，ｙ2）
∈Ｅに対して、Ｐ＋Ｑ＝(ｘ3，ｙ3）を、 ｘ3＝λ2−ｘ1−ｘ2 ｙ3＝−ｙ1＋λ(ｘ1−ｘ3) により、定義する。ただし、 λ＝ (ｙ2−ｙ1)/(ｘ2−ｘ1) if ｘ1≠ｘ2 (３ｘ1 2＋ａ)/２ｙ1 if Ｐ＝Ｑ とする。
【００１４】素体Ｚp（素数ｐを法とする剰余体）上の
楕円曲線Ｅ＝Ｅp(ａ，ｂ)とＢ∈Ｅにおいて、（Ｂをベ
ースとする）Ｅ上の離散対数問題とは、「Ｐ∈Ｅが与え
られたとき、Ｐ＝ｘＢを満たす整数ｘを求めよ。」なる
問題を意味する。ただし、ｘＢとは、Ｅ上において定義
された加法の下で、Ｂをｘ回加える倍計算を意味する。
また、位数がｑのＰ∈Ｅに対して、すなわち、ｘＰ＝Ｏ
となる最小の正数ｘがｑとなるＰ∈Ｅに対して、Ｎを整
数ｎを代表元とするＺqの元とするとき、ＮＰ＝ｎＰと
定義できることに注意する。
【００１５】一般に、楕円曲線上の離散対数問題のほう
が、有限体上の離散対数問題よりも難しい問題であると
予想されている。
【００１６】体上の離散対数問題に基づくDiffie-Hellm
ann鍵配送方式は、公開鍵暗号の概念を実現する具体的
な方法として良く知られている。次に、文献「N.Koblit
z: Elliptic Curve Cryptosystems; Mathematics of Co
mputation, Vol.48 (1987)」に記載の楕円曲線版Diffie
-Hellmann鍵配送方式について説明する。
【００１７】センタの公開情報を用いて、ＡとＢが鍵共
有する場合を考える。
【００１８】１．センタの準備処理 センタは、素数ｐとＺp上の楕円曲線を表わす係数部の
パラメータ（ａ,ｂ）、及び、位数がｑとなる楕円曲線
上のベース点Ｐを定めて、Ａ及びＢに公開する。
【００１９】２．鍵共有処理 １）ＡはｓA∈Ｚqをランダムに選び、 ＣA＝ｓAＰ を計算し、点ＣAをＢに送る。ＢはｓB∈Ｚqをランダム
に選び、 ＣB＝ｓBＰ を計算し、点ＣBをＡに送る。
【００２０】２）ＡはＣBとｓAから鍵ＫABを、 ＫAB＝ｓAＣB と計算する。ＢはＣAとｓBから鍵ＫBAを、 ＫBA＝ｓBＣA と計算する。
【００２１】このとき、ＫAB＝ＫBAが成立し、ＡとＢの
間で鍵共有が行なわれたことになる。
【００２２】
【発明が解決しようとする課題】高度情報化社会におい
ては、通信ネットワーク上で、電子投票を行なったり重
要な契約などを行なう等のほか、様々なサービスが行な
われることが予想される。この際、ネットワークの利用
者が自分の身元を安全に相手に証明する認証技術が必要
不可欠になる。
【００２３】また、今後は、大きな加入者数を持つネッ
トワークが増えるものと予想され、センタの集中管理が
難しくなると考えられる。そこで、大規模分散環境下で
の使用を前提とした高安全・高効率の認証技術が要求さ
れる。
【００２４】零知識証明を用いた認証方式は、認証プロ
トコルから秘密情報を漏らさないことが保証されている
安全性の高い認証方式であるが、さらに、証明者のＩＤ
情報とセンタの公開情報のみで認証処理を行なうことが
できるため、公開鍵ファイルの必要がなく、また、セン
タの負荷が少なくなる点において、大規模分散環境下に
適した認証方式の１つである。
【００２５】しかし、従来の零知識証明が暗号学的仮定
としている有限体上の離散対数問題や平方剰余問題につ
いては、コンピュータの計算処理能力の向上やアルゴリ
ズムの研究に伴い、問題のサイズを大きくする必要が生
じている。
【００２６】本発明の目的は、センタが作成した認証用
の秘密情報を利用して、証明者が確認者に対して自分の
身元を証明する認証システムにおいて、従来知られてい
る零知識認証方式に比べ、より難しい問題を暗号学的仮
定とする効率の良い零知識認証方式、及び、装置を提供
することにある。
【００２７】
【課題を解決するための手段】本発明は、零知識証明を
用いた認証方式のさらなる安全性の向上を目的として、
楕円曲線上の離散対数問題に基づく零知識認証方式を提
案するものである。すなわち、本発明では、予め楕円曲
線Ｅ及び該楕円曲線Ｅ上における加法を定義しておき、
センタにおいて該楕円曲線Ｅ及び該楕円曲線Ｅ上の点
Ｐ，Ｑを公開し、センタにおいて上記楕円曲線Ｅ上の点
Ｐ，Ｑに関し、Ｑ＝ｘＰ（ただしｘＰは、楕円曲線Ｅ上
の点Ｐに対して、Ｐをｘ回加える倍計算を意味する）を
満足する整数ｘを証明者に配布し、証明者が確認者に対
してｘを所持することをｘに関する知識を漏らすことな
く証明することにより、認証を行なう。
【００２８】具体的実現方法の１つとしては、センタに
おける準備処理として、秘密情報ｓ（ただし、ｓは０＜
ｓ＜ｑなる整数）を生成して保持するステップと、素数
ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，Ｖ
（ただし、Ｖ＝ｓＧで、ｓＧは楕円曲線Ｅ上において定
義された加法により、Ｇをｓ回加える倍計算を意味す
る）を生成して公開するステップとを備え、証明者のセ
ンタへの登録処理として、証明者からセンタに、該証明
者のＩＤ情報IDAを送るステップと、センタにおいて、
乱数ｔA（ただし、ｔAは０＜ｔA＜ｑなる整数）、セン
タの秘密情報ｓ、並びに、センタの公開情報である素数
ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，Ｖを
用いて、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ｘA，ｙA）
と０＜ｚA＜ｑなる整数ｚAを作成し、ＸAとｚAを認証用
の情報として証明者に配付するステップとを備え、証明
者と確認者の間の認証処理として、証明者から確認者
に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）とを送るステップ
と、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
選び、楕円曲線Ｅ上の点Ｕiを Ｕi＝ｒiＧ にて計算し、Ｕiを確認者に送る； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 Ｕi＝ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA) が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
１からｔ（ｔはセキュリティパラメータ）まで繰り返す
ことにより、証明者の認証を行なうステップとを備える
ようにする。
【００２９】上記（ｉ）では楕円曲線Ｅ上の点Ｕiのｘ
座標及びｙ座標を証明者から確認者に送り、（iv）でＵ
i＝ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA)を確かめたが、点Ｕ
iのｘ座標のみを用いるようにしてもよい。また、所定
の正定数ｒを用いて点Ｕiのｘ座標の（mod ｒ）により
確認するようにしてもよい。これらについては、実施例
により具体的に説明する。
【００３０】
【作用】本発明における認証方式では、楕円曲線上の離
散対数問題に基づいて零知識認証スキームを構築してい
る。楕円曲線上の離散対数問題は、有限体Ｚp上の離散
対数問題よりも難しいと予想されているため、従来方式
である体上の離散対数問題に基づく零知識認証方式に比
べ、認証スキーム自体の安全性が向上する。さらに、証
明者と確認者間の認証プロトコルにおいては、楕円曲線
上の点のｘ座標のみの通信内容で認証プロトコルを構築
することもできるので、従来方式と同程度の通信量・通
信回数で認証処理が実現できる。また、本発明における
認証方式では、確認者が証明者を試すために送る乱数の
範囲を大きく取れるため、少ない通信回数で不正者の証
明者へのなりすまし確率を低く設定することができる。
【００３１】
【実施例】以下、図面を用いて、本発明の実施例につい
て詳しく説明する。
【００３２】図１は、本発明の一実施例に係る認証シス
テムのシステム構成を示す図である。このシステムは、
センタ側装置100と証明者側装置200と確認者側装置300
とＩＣカード400とから構成されている。センタ側装置1
00と証明者側装置200と確認者側装置300は、通信回線50
0を介して接続されている。
【００３３】証明者は、確認者に自分の身元を証明する
ことを目的として、認証用の秘密情報を搭載したセンタ
発行のＩＣカード400を所持し、このＩＣカード400を利
用して証明者側装置200と確認者側装置300との間で通信
回線500を介して認証処理を行なう。
【００３４】図２は、センタ側装置100の内部構成を示
す。センタ側装置100は、入力装置101、演算装置102、
メモリ103、乱数生成装置104、素数生成装置105、通信
装置106、及び、出力装置107を備えている。
【００３５】図３は、証明者側装置200の内部構成を示
す。証明者側装置200は、入力装置201、ＩＣカード読み
書き装置202、通信装置203、及び、出力装置204を備え
ている。
【００３６】図４は、確認者側装置300の内部構成を示
す。確認者側装置300は、入力装置301、演算装置302、
メモリ303、乱数生成装置304、通信装置305、及び、出
力装置306を備えている。
【００３７】図５は、ＩＣカード400の内部構成を示
す。ＩＣカード400は、入力装置401、演算装置402、メ
モリ403、乱数生成装置404、及び、出力装置405を備え
ている。以下、実施例１〜６により具体的な認証の手順
について説明する。なお、これらの実施例１〜６は、何
れも上記図１〜図５の構成のシステム上で実現されるも
のとする。
【００３８】（実施例１）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者は信頼
できるセンタを訪ねる。
【００３９】１．センタの準備処理 センタは、センタ側装置100内の入力装置101と演算装置
102とメモリ103と乱数生成装置104と素数生成装置105を
用いて、秘密情報と公開情報を次の要領で作成し、通信
装置106及び出力装置107を用いて公開情報のみを通信回
線500を介して公開する。また、秘密情報はメモリ103に
格納する。
【００４０】秘密情報： ・ｓ∈Ｚ s.t ０＜ｓ＜ｑ
【００４１】公開情報： ・ｐ：512ビット程度の素数 ・ｑ：160ビット程度の素数 ・（ａ，ｂ）∈Ｚp 2 s.t ４ａ3＋２７ｂ2≠０ ・Ｇ∈Ｅ s.t ord(Ｇ)＝ｑ ・Ｖ＝ｓＧ∈Ｅ
【００４２】ここで、Ｚpは素数ｐを法とする剰余体を
表わす。さらに、（ａ，ｂ）∈Ｚp 2により、楕円曲線Ｅ
＝Ｅp(ａ，ｂ)＝｛（ｘ，ｙ）∈Ｚp 2｜ｙ2＝ｘ3＋ａｘ
＋ｂ，4ａ3＋27ｂ2≠０，ａ,ｂ∈Ｚp}∪Ｏを表わす。ま
た、Ｐ∈Ｅに対して、ord(Ｐ)＝ｎとは、Ｐの位数がｎ
であることを意味する。すなわち、ｘＰ＝Ｏとなる最小
の正整数ｘがｎである。ｘＰとは、点Ｐをｘ回加える倍
計算を意味する（計算方法については、「従来の技術」
を参照）。特に断わらないかぎり、以降についても同様
の表現をとる。
【００４３】２．証明者の登録処理 証明者は、確認者に対して自分の身元を証明することを
目的にセンタを訪ねる。証明者は、自分のＩＤ情報IDA
をセンタに登録する。センタは、センタ側装置100内の
乱数生成装置104を用いて、０＜ｔA＜ｑなる整数ｔAを
ランダムに選び、演算装置102及びメモリ103を用いて、
楕円曲線Ｅ上の点ＸAと整数ｚAを ＸA＝ｔAＧ＝（ｘA，ｙA） ｚA＝ｓ(IDA＋ｘA)＋ｔA（mod ｑ） にて計算する。そして、楕円曲線Ｅ上の点ＸAとｚAと証
明者のＩＤ情報IDAをＩＣカード400内のメモリ403に格
納して、ＩＣカード400を証明者に配布する。
【００４４】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して次のプロトコ
ルを実行することにより、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する整数ｚAを所持することを証明する。
【００４５】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ｘA，ｙA）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、通
信装置203及び出力装置204を用いて通信回線500を介し
て、ＩＤ情報IDAとＸA＝（ｘA，ｙA）を確認者側装置30
0に送る。
【００４６】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【００４７】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、楕円曲線Ｅ上の点Ｕiを Ｕi＝ｒiＧ にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の出力装置
203と通信装置204を用いて、通信回線500を介して、Ｕi
を確認者側装置300に送る。
【００４８】３）確認者側装置300は、Ｕiを受信後、Ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、通信装置305及び出力装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【００４９】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の通信装置203及び出力装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。
【００５０】５）確認者側装置300は、演算装置302及び
メモリ303を用いて、 Ｕi＝ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA) が成立することを確かめる。
【００５１】（実施例２）図６は、実施例２の認証方式
の処理手順の概要を示す図である。証明者は、確認者に
対して自分の身元を証明したい。この目的の下で、証明
者は信頼できるセンタを訪ねる。
【００５２】１．センタの準備処理 実施例１と同じ。
【００５３】２．証明者の登録処理 実施例１と同じ。
【００５４】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して次のプロトコ
ルを実行することにより、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する整数ｚAを所持することを証明する。
【００５５】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ｘA，ｙA）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、通
信装置203及び出力装置204を用いて通信回線500を介し
て、ＩＤ情報IDAとＸA＝（ｘA，ｙA）を確認者側装置30
0に送る。
【００５６】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【００５７】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、整数ｕiを ｕi＝（ｒiＧ)x にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の通信装置
203と出力装置204を用いて、通信回線500を介して、ｕi
を確認者側装置300に送る。
【００５８】３）確認者側装置300は、ｕiを受信後、ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、出力装置305及び通信装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【００５９】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の通信装置203及び出力装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。
【００６０】５）確認者側装置300は、演算装置302及び
メモリ303を用いて、 ｕi＝（ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA）)x が成立することを確かめる。
【００６１】但し、射影平面で定義された楕円曲線上の
点Ｐ＝（ｘ：ｙ：ｚ）に対して、ｚ≠０のとき、Ｐx＝
ｘ/ｚとし、Ｐのｘ座標と呼ぶ。以降についても、同様
とする。
【００６２】上記実施例１では、証明者から確認者に楕
円曲線Ｅ上の点Ｕiのｘ座標及びｙ座標を送り、確認者
側でそのｘ座標及びｙ座標について所定の式が成立する
ことを確かめた。これに対し、本実施例２では、証明者
から確認者にｘ座標（実施例のｕi）のみを送り、確認
者側でそのｘ座標について所定の式が成立することを確
かめるようになっている。したがって、実施例１よりも
通信路を流れる情報量が少なくなり効率が上がる。
【００６３】（実施例３）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者は信頼
できるセンタを訪ねる。
【００６４】１．センタの準備処理 センタは、センタ側装置内100内の入力装置101と演算装
置102とメモリ103と乱数生成装置104と素数生成装置105
を用いて、秘密情報と公開情報を次の要領で作成し、通
信装置106及び出力装置107を用いて公開情報のみを通信
回線500を介して公開する。また、秘密情報はメモリ103
に格納する。
【００６５】秘密情報： ・ｓ∈Ｚ s.t ０＜ｓ＜ｑ
【００６６】公開情報： ・ｐ：512ビット程度の素数 ・ｑ：160ビット程度の素数 ・ｒ：ｒ≦ｑなる正定数、 ・（ａ，ｂ）∈Ｚp 2 s.t ４ａ3＋２７ｂ2≠０ ・Ｇ∈Ｅ s.t ord(Ｇ)＝ｑ ・Ｖ＝ｓＧ∈Ｅ
【００６７】２．証明者の登録処理 証明者は、確認者に対して自分の身元を証明することを
目的にセンタを訪ねる。証明者は、自分のＩＤ情報IDA
をセンタに登録する。センタは、センタ側装置100内の
乱数生成装置104を用いて、０＜ｔA＜ｑなる整数ｔAを
ランダムに選び、演算装置102及びメモリ103を用いて、
楕円曲線Ｅ上の点ＸAと整数ｘA，ｙAを ＸA＝ｔAＧ＝（ａx，ａy） ｘA＝ａx（mod ｒ） ｙA＝ｓ(IDA＋ｘA)＋ｔA（mod ｑ） にて計算する。そして、ＸAとｙAと証明者のＩＤ情報ID
AをＩＣカード400内のメモリ403に格納して、ＩＣカー
ド400を証明者に配布する。
【００６８】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して、次のプロト
コルを実行することにより、 ｙAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足するｙAを所持することを証明する。
【００６９】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ａx、ａy）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、通
信装置203及び出力装置204を用いて、通信回線500を介
して、ＩＤ情報IDAとＸA＝（ａx、ａy）を確認者側装置
300に送る。
【００７０】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【００７１】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、整数ｕiを ｕi＝（ｒiＧ)x（mod ｒ） にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の通信装置
203と出力装置204を用いて、通信回線500を介して、ｕi
を確認者側装置300に送る。
【００７２】３）確認者側装置300は、ｕiを受信後、ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、出力装置305及び通信装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【００７３】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｙA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の通信装置203及び出力装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。
【００７４】５）確認者側装置300は、演算装置302及び
メモリ303を用いて、 ｕi＝（ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA）)x（mod ｒ） が成立することを確かめる。
【００７５】但し、楕円曲線Ｅ上の点Ｐ（≠Ｏ）に対し
て、Ｐx∈ＺqによりＰのｘ座標を表わす（実施例２参
照）。
【００７６】上記実施例２では、証明者から確認者に楕
円曲線Ｅ上の点Ｕiのｘ座標（512ビットのデータ）を送
り、確認者側で所定の式が成立することを確かめた。こ
れに対し、本実施例２では、証明者から確認者にｘ座標
の(mod r)を取ったデータを送るようにしている。(mod
r)を取ることによりデータ値が小さくなるので、通信路
を流れる情報量が少なくなり効率が上がる。
【００７７】（実施例４）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者は信頼
できるセンタを訪ねる。
【００７８】１．センタの準備処理 センタは、センタ側装置内100内の入力装置101と演算装
置102とメモリ103と乱数生成装置104と素数生成装置105
を用いて、秘密情報と公開情報を次の要領で作成し、通
信装置106および出力装置107を用いて公開情報のみを通
信回線500を介して公開する。また、秘密情報はメモリ1
03に格納する。
【００７９】秘密情報： ・ｓ∈Ｚ s.t ０＜ｓ＜ｑ
【００８０】公開情報： ・ｐ：512ビット程度の素数 ・ｑ：160ビット程度の素数 ・（ａ，ｂ）∈Ｚp 2 s.t ４ａ3＋２７ｂ2≠０ ・Ｇ∈Ｅ s.t ord(Ｇ)＝ｑ ・Ｖ＝ｓＧ∈Ｅ
【００８１】２．証明者の登録処理 証明者は、確認者に対して自分の身元を証明することを
目的にセンタを訪ねる。証明者は、自分のＩＤ情報IDA
をセンタに登録する。センタは、センタ側装置100内の
乱数生成装置104を用いて、０＜ｔA＜ｑなる整数ｔAを
ランダムに選び、演算装置102及びメモリ103を用いて、
楕円曲線Ｅ上の点ＸAと整数ｚAを ＸA＝ｔAＧ＝（ｘA，ｙA） ｚA＝（IDA＋ｓｘA)/ｔA（mod ｑ） にて計算する。そして、ＸAとｚAと証明者のＩＤ情報ID
AをＩＣカード400内のメモリ403に格納して、ＩＣカー
ド400を証明者に配布する。
【００８２】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して、次のプロト
コルを実行することにより、 ｚAＸA＝IDAＧ＋ｘAＶ を満足するｚAを所持することを証明する。
【００８３】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ｘA、ｙA）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、出
力装置203及び通信装置204を用いて、通信回線500を介
して、ＩＤ情報IDAとＸA＝（ｘA、ｙA）を確認者側装置
300に送る。
【００８４】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【００８５】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、楕円曲線Ｅ上の点Ｕiを Ｕi＝ｒiＸA にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の出力装置
203と通信装置204を用いて、通信回線500を介して、Ｕi
を確認者側装置300に送る。
【００８６】３）確認者側装置300は、Ｕiを受信後、Ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、出力装置305及び通信装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【００８７】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の出力装置203及び通信装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。５）
確認者側装置300は、演算装置302及びメモリ303を用い
て、 Ｕi＝ｗiＸA−ｅi(IDAＧ＋ｘAＶ) が成立することを確かめる。
【００８８】（実施例５）図７は、実施例５の認証方式
の処理手順の概要を示す図である。証明者は、確認者に
対して自分の身元を証明したい。この目的の下で、証明
者は信頼できるセンタを訪ねる。
【００８９】１．センタの準備処理 実施例４と同じ。
【００９０】２．証明者の登録処理 実施例４と同じ。
【００９１】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して、次のプロト
コルを実行することにより、 ｚAＸA＝IDAＧ＋ｘAＶ を満足するｚAを所持することを証明する。
【００９２】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ｘA、ｙA）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、出
力装置203及び通信装置204を用いて、通信回線500を介
して、ＩＤ情報IDAとＸA＝（ｘA、ｙA）を確認者側装置
300に送る。
【００９３】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【００９４】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、整数ｕiを ｕi＝（ｒiＸA)x にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の出力装置
203と通信装置204を用いて、通信回線500を介して、ｕi
を確認者側装置300に送る。
【００９５】３）確認者側装置300は、ｕiを受信後、ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、出力装置305及び通信装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【００９６】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の出力装置203及び通信装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。
【００９７】５）確認者側装置300は、演算装置302及び
メモリ303を用いて、 ｕi＝（ｗiＸA−ｅi(IDAＧ＋ｘAＶ）)x が成立することを確かめる。
【００９８】但し、楕円曲線Ｅ上の点Ｐ（≠Ｏ）に対し
て、Ｐx∈ＺqによりＰのｘ座標を表わす（実施例２参
照）。
【００９９】（実施例６）証明者は、確認者に対して自
分の身元を証明したい。この目的の下で、証明者は信頼
できるセンタを訪ねる。
【０１００】１．センタの準備処理 センタは、センタ側装置内100内の入力装置101と演算装
置102とメモリ103と乱数生成装置104と素数生成装置105
を用いて、秘密情報と公開情報を次の要領で作成し、通
信装置106および出力装置107を用いて公開情報のみを通
信回線500を介して公開する。また、秘密情報はメモリ1
03に格納する。
【０１０１】秘密情報： ・ｓ∈Ｚ s.t ０＜ｓ＜ｑ
【０１０２】公開情報： ・ｐ：512ビット程度の素数 ・ｑ：160ビット程度の素数 ・ｒ：ｒ≦ｑなる正定数、 ・（ａ，ｂ）∈Ｚp 2 s.t ４ａ3＋２７ｂ2≠０ ・Ｇ∈Ｅ s.t ord(Ｇ)＝ｑ ・Ｖ＝ｓＧ∈Ｅ
【０１０３】２．証明者の登録処理 証明者は、確認者に対して自分の身元を証明することを
目的にセンタを訪ねる。証明者は、自分のＩＤ情報IDA
をセンタに登録する。センタは、センタ側装置100内の
乱数生成装置104を用いて、０＜ｔA＜ｑなる整数ｔAを
ランダムに選び、演算装置102及びメモリ103を用いて、
楕円曲線Ｅ上の点ＸAと整数ｘA，ｙAを ＸA＝ｔAＧ＝（ａx，ａy） ｘA＝ａx（mod ｒ） ｙA＝（IDA＋ｓｘA)/ｔA（mod ｑ） にて計算し、ＸAとｙAと証明者のＩＤ情報IDAをＩＣカ
ード400内のメモリ403に格納して、ＩＣカード400を証
明者に配布する。
【０１０４】３．認証プロトコル 証明者は、証明者側装置200を用いて、確認者側装置300
の確認者に対して、通信回線500を介して、次のプロト
コルを実行することにより、 ｙAＸA＝IDAＧ＋ｘAＶ を満足するｙAを所持することを証明する。
【０１０５】１）証明者は、ＩＣカード400を証明者側
装置200内のＩＣカード読み書き装置202に差し込む。Ｉ
Ｃカード400は、メモリ403に格納されている証明者のＩ
Ｄ情報IDAとＸA＝（ａx、ａy）を、出力装置405を用い
て証明者側装置200に出力する。証明者側装置200は、出
力装置203及び通信装置204を用いて、通信回線500を介
して、確認者側装置300に送る。
【０１０６】次に、２)から５)のステップをｉ＝１から
ｋまで繰り返し、全てのｉについてステップ５)の等式
が成立すれば、確認者は証明者を受理する（ｋはセキュ
リティパラメータ）。
【０１０７】２）証明者は、ＩＣカード400内の乱数生
成装置404を用いて、０＜ｒi＜ｑなる整数ｒiをランダ
ムに選び、整数ｕiを ｕi＝（ｒiＸA)x（mod ｒ） にて演算装置402及びメモリ403を用いて計算した後、証
明者側装置200に出力し、証明者側装置200内の出力装置
203と通信装置204を用いて、通信回線500を介して、ｕi
を確認者側装置300に送る。
【０１０８】３）確認者側装置300は、ｕiを受信後、ｕ
iをメモリ303に格納し、乱数生成装置304を用いて、乱
数ｅi∈Ｒを選び、出力装置305及び通信装置306を用い
て、通信回線500を介して、ｅiを証明者側装置200に送
る（ただし、ＲはＺqの適当な部分集合）。
【０１０９】４）証明者側装置200は、ｅiを受信後、ｅ
iをＩＣカード400内のメモリ403に出力し、ＩＣカード4
00は演算装置402及びメモリ403を用いて、 ｗi＝ｒi＋ｅiｙA（mod ｑ） を計算した後、証明者側装置200に出力し、証明者側装
置200内の出力装置203及び通信装置204を用いて、通信
回線500を介して、ｗiを確認者側装置300に送る。
【０１１０】５）確認者側装置300は、演算装置302及び
メモリ303を用いて、 ｕi＝（ｗiＸA−ｅi(IDAＧ＋ｘAＶ）)x（mod ｒ） が成立することを確かめる。
【０１１１】但し、楕円曲線Ｅ上の点Ｐ（≠Ｏ）に対し
て、Ｐx∈ＺqによりＰのｘ座標を表わす（実施例２参
照）。
【０１１２】
【発明の効果】本発明における認証方式によれば、楕円
曲線上の離散対数問題に基づいて零知識認証スキームを
構築しているので、従来の体上の離散対数問題に基づく
零知識認証方式に比べて安全性が向上している。
【０１１３】さらに、証明者と確認者の間の認証処理に
おいて、楕円曲線上の点のｘ座標のみの通信で認証プロ
トコルを構築することができるので、従来の体上の離散
対数問題に基づく零知識認証方式と同程度の通信コスト
で実現できる特徴を持つ。
【０１１４】また、本発明における認証方式では、確認
者が証明者を試すために送る乱数の範囲を大きく取れる
ため、少ない通信回数で不正者の証明者へのなりすまし
確率を低く設定することができる。
【０１１５】本発明は、認証処理全般の幅広い範囲に適
用できる。特に、本発明は、従来の方式に比べて高い安
全性を実現できるため、高度のセキュリティレベルが要
求されるシステム、例えば電子投票システムや電子現金
システムにおける認証処理に用いて好適である。
【０１１６】また、本発明では、証明者側の秘密情報が
少なく、かつ、計算処理負担が小さいため、証明者がＩ
Ｃカードを所持し、ＩＣカード内部の秘密情報を利用し
て認証を行なうシステムにおいても有効である。
【図面の簡単な説明】
【図１】本発明の実施例におけるシステム構成を示す図
である。
【図２】本発明のシステム構成内のセンタ側装置の内部
構成を示す図である。
【図３】本発明のシステム構成内の証明者側装置の内部
構成を示す図である。
【図４】本発明のシステム構成内の確認者側装置を示す
図である。
【図５】本発明のシステム構成内のＩＣカードの内部構
成を示す図である。
【図６】実施例２の認証方式の概要を示す図である。
【図７】実施例５の認証方式の概要を示す図である。
【符号の説明】
100…センタ側装置、101…センタ側装置100内の入力装
置、102…センタ側装置100内の演算装置、103…センタ
側装置100内のメモリ、104…センタ側装置100内の乱数
生成装置、105…センタ側装置100内の素数生成装置、10
6…センタ側装置100内の通信装置、107…センタ側装置1
00内の出力装置、200…証明者側装置、201…証明者側装
置200内の入力装置、202…証明者側装置200内のＩＣカ
ード読み書き装置、203…証明者側装置200内の通信装
置、204…証明者側装置200内の出力装置、300…確認者
側装置、301…確認者側装置300内の入力装置、302…確
認者側装置300内の演算装置、303…確認者側装置300内
のメモリ、304…確認者側装置300内の乱数生成装置、30
5…確認者側装置300内の通信装置、306…確認者側装置3
00内の出力装置、400…ＩＣカード、401…ＩＣカード40
0内の入力装置、402…ＩＣカード400内の演算装置、403
…ＩＣカード400内のメモリ、404…ＩＣカード400内の
乱数生成装置、405…ＩＣカード400内の出力装置、500
…通信回線。

Claims (8)

    【特許請求の範囲】
  1. 【請求項１】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 予め、楕円曲線Ｅ、及び該楕円曲線Ｅ上における加法を
    定義しておくステップと、 センタにおいて、該楕円曲線Ｅ、及び該楕円曲線Ｅ上の
    点Ｐ，Ｑを公開するステップと、 センタにおいて、上記楕円曲線Ｅ上の点Ｐ，Ｑに関し、 Ｑ＝ｘＰ （ただしｘＰは、楕円曲線Ｅ上の点Ｐに対し
    て、Ｐをｘ回加える倍計算を意味する） を満足する整数ｘを証明者に配布するステップと、 証明者が、確認者に対して、ｘを所持することをｘに関
    する知識を漏らすことなく証明することにより、認証を
    行なうステップとを備えたことを特徴とする認証方法。
  2. 【請求項２】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，
    Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは楕円曲線Ｅ上において
    定義された加法により、Ｇをｓ回加える倍計算を意味す
    る）を生成して公開するステップとを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線
    Ｅ上の点Ｇ，Ｖを用いて、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ｘA，ｙA）
    と０＜ｚA＜ｑなる整数ｚAを作成し、ＸAとｚAを認証用
    の情報として証明者に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、楕円曲線Ｅ上の点Ｕiを Ｕi＝ｒiＧ にて計算し、Ｕiを確認者に送る； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 Ｕi＝ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA) が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  3. 【請求項３】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，
    Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは楕円曲線Ｅ上において
    定義された加法により、Ｇをｓ回加える倍計算を意味す
    る）を生成して公開するステップとを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線
    Ｅ上の点Ｇ，Ｖを用いて、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ｘA，ｙA）
    と０＜ｚA＜ｑなる整数ｚAを作成し、ＸAとｚAを認証用
    の情報として証明者に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、整数ｕiを ｕi＝（ｒiＧ)x にて計算し、ｕiを確認者に送る（ただし、括弧の右下
    にxを付した表記は括弧内の点のｘ座標を表わし、射影
    平面で定義された楕円曲線Ｅ上の点Ｐ＝（ｘ：ｙ：ｚ）
    に対して、ｚ≠０のとき、点Ｐのｘ座標（Ｐ)xは（Ｐ)x
    ＝ｘ/ｚであるものとする）； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 ｕi＝（ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA）)x が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  4. 【請求項４】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、正定数ｒ（ｒ≦ｑ）、楕円曲線Ｅ、及び該
    楕円曲線Ｅ上の点Ｇ，Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは
    楕円曲線Ｅ上において定義された加法により、Ｇをｓ回
    加える倍計算を意味する）を生成して公開するステップ
    とを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、正定数ｒ、楕円曲線Ｅ、及び
    該楕円曲線Ｅ上の点Ｇ，Ｖを用いて、 ｙAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ａx，
    ａy）、ｘA＝ａx（mod ｒ）、及び、０＜ｙA＜ｑなる整
    数ｙAを作成し、ＸAとｙAを認証用の情報として証明者
    に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、整数ｕiを ｕi＝（ｒiＧ)x（mod ｒ） にて計算し、ｕiを確認者に送る（ただし、括弧の右下
    にxを付した表記は括弧内の点のｘ座標を表わし、射影
    平面で定義された楕円曲線Ｅ上の点Ｐ＝（ｘ：ｙ：ｚ）
    に対して、ｚ≠０のとき、点Ｐのｘ座標（Ｐ)xは（Ｐ)x
    ＝ｘ/ｚであるものとする）； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｙA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 ｕi＝（ｗiＧ−ｅi((IDA＋ｘA)Ｖ＋ＸA）)x（mod ｒ） が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  5. 【請求項５】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，
    Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは楕円曲線Ｅ上において
    定義された加法により、Ｇをｓ回加える倍計算を意味す
    る）を生成して公開するステップとを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線
    Ｅ上の点Ｇ，Ｖを用いて、 ｚAＸA＝IDAＧ＋ｘAＶ を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ｘA，ｙA）
    と０＜ｚA＜ｑなる整数ｚAを作成し、ＸAとｚAを認証用
    の情報として証明者に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、楕円曲線Ｅ上の点Ｕiを Ｕi＝ｒiＸA にて計算し、Ｕiを確認者に送る； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 Ｕi＝ｗiＸA−ｅi(IDAＧ＋ｘAＶ) が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  6. 【請求項６】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線Ｅ上の点Ｇ，
    Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは楕円曲線Ｅ上において
    定義された加法により、Ｇをｓ回加える倍計算を意味す
    る）を生成して公開するステップとを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、楕円曲線Ｅ、及び該楕円曲線
    Ｅ上の点Ｇ，Ｖを用いて、 ｚAＧ＝(IDA＋ｘA)Ｖ＋ＸA を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ｘA，ｙA）
    と０＜ｚA＜ｑなる整数ｚAを作成し、ＸAとｚAを認証用
    の情報として証明者に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、整数ｕiを ｕi＝（ｒiＸA)x にて計算し、ｕiを確認者に送る（ただし、括弧の右下
    にxを付した表記は括弧内の点のｘ座標を表わし、射影
    平面で定義された楕円曲線Ｅ上の点Ｐ＝（ｘ：ｙ：ｚ）
    に対して、ｚ≠０のとき、点Ｐのｘ座標（Ｐ)xは（Ｐ)x
    ＝ｘ/ｚであるものとする）； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｚA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 ｕi＝（ｗiＸA−ｅi(IDAＧ＋ｘAＶ）)x が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  7. 【請求項７】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証方法であって、 センタにおける準備処理として、 秘密情報ｓ（ただし、ｓは０＜ｓ＜ｑなる整数）を生成
    して保持するステップと、 素数ｐ，ｑ、正定数ｒ（ｒ≦ｑ）、楕円曲線Ｅ、及び該
    楕円曲線Ｅ上の点Ｇ，Ｖ（ただし、Ｖ＝ｓＧで、ｓＧは
    楕円曲線Ｅ上において定義された加法により、Ｇをｓ回
    加える倍計算を意味する）を生成して公開するステップ
    とを備え、 証明者のセンタへの登録処理として、 証明者からセンタに、該証明者のＩＤ情報IDAを送るス
    テップと、 センタにおいて、乱数ｔA（ただし、ｔAは０＜ｔA＜ｑ
    なる整数）、センタの秘密情報ｓ、並びに、センタの公
    開情報である素数ｐ，ｑ、正定数ｒ、楕円曲線Ｅ、及び
    該楕円曲線Ｅ上の点Ｇ，Ｖを用いて、 ｚAＸA＝IDAＧ＋ｘAＶ を満足する楕円曲線Ｅ上の点ＸA＝ｔAＧ＝（ａx，
    ａy）、ｘA＝ａx（mod ｒ）、及び、０＜ｙA＜ｑなる整
    数ｙAを作成し、ＸAとｙAを認証用の情報として証明者
    に配付するステップとを備え、 証明者と確認者の間の認証処理として、 証明者から確認者に、ＩＤ情報IDAとＸA＝（ｘA，ｙA）
    とを送るステップと、 （ｉ）証明者は、０＜ｒi＜ｑなる整数ｒiをランダムに
    選び、整数ｕiを ｕi＝（ｒiＸA)x（mod ｒ） にて計算し、ｕiを確認者に送る（ただし、括弧の右下
    にxを付した表記は括弧内の点のｘ座標を表わし、射影
    平面で定義された楕円曲線Ｅ上の点Ｐ＝（ｘ：ｙ：ｚ）
    に対して、ｚ≠０のとき、点Ｐのｘ座標（Ｐ)xは（Ｐ)x
    ＝ｘ/ｚであるものとする）； （ii)確認者は、ｅi∈Ｒ（ただし、Ｒは素体Ｚqの適当
    な部分集合）をランダムに選び、ｅiを証明者に送る； （iii）証明者は、 ｗi＝ｒi＋ｅiｙA（mod ｑ） を計算して、ｗiを確認者に送る； （iv）確認者は、 ｕi＝（ｗiＸA−ｅi(IDAＧ＋ｘAＶ）)x（mod ｒ） が成立することを確かめる；上記（ｉ）〜（iv）をｉ＝
    １からｔ（ｔはセキュリティパラメータ）まで繰り返す
    ことにより、証明者の認証を行なうステップとを備えた
    ことを特徴とする認証方法。
  8. 【請求項８】証明者が確認者に対して自分の身元を証明
    する目的で信頼できるセンタを訪れ、センタが作成した
    証明者用の秘密の情報を利用して、証明者が確認者に身
    元を証明する認証システムにおいて、 予めセンタ側装置において、楕円曲線Ｅ、及び該楕円曲
    線Ｅ上における加法を定義する手段と、 センタ側装置において定義した楕円曲線Ｅ、及び該楕円
    曲線Ｅ上の点Ｐ，Ｑを公開情報として証明者側装置及び
    確認者側装置に送る手段と、 センタ側装置において、上記楕円曲線Ｅ上の点Ｐ，Ｑに
    関し、 Ｑ＝ｘＰ （ただしｘＰは、楕円曲線Ｅ上の点Ｐに対し
    て、Ｐをｘ回加える倍計算を意味する） を満足する整数ｘを証明者に配布する手段と、 証明者側装置と確認者側装置との間で、証明者が、確認
    者に対して、ｘを所持することをｘに関する知識を漏ら
    すことなく証明することにより、認証を行なう手段とを
    備えたことを特徴とする認証システム。
JP6323921A 1994-11-30 1994-11-30 楕円曲線に基づく認証方法及び認証システム Pending JPH08160857A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP6323921A JPH08160857A (ja) 1994-11-30 1994-11-30 楕円曲線に基づく認証方法及び認証システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP6323921A JPH08160857A (ja) 1994-11-30 1994-11-30 楕円曲線に基づく認証方法及び認証システム

Publications (1)

Publication Number Publication Date
JPH08160857A true JPH08160857A (ja) 1996-06-21

Family

ID=18160118

Family Applications (1)

Application Number Title Priority Date Filing Date
JP6323921A Pending JPH08160857A (ja) 1994-11-30 1994-11-30 楕円曲線に基づく認証方法及び認証システム

Country Status (1)

Country Link
JP (1) JPH08160857A (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000035223A1 (en) * 1998-12-04 2000-06-15 Certicom Corp. Enhanced subscriber authentication protocol
JP2002502186A (ja) * 1998-01-30 2002-01-22 サーティコム コーポレーション １方向認証通信システム
CN113037479A (zh) * 2021-03-25 2021-06-25 支付宝(杭州)信息技术有限公司 数据验证方法和装置
US11797984B2 (en) 2018-03-23 2023-10-24 Nchain Licensing Ag Computer-implemented system and method for exchange of data

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002502186A (ja) * 1998-01-30 2002-01-22 サーティコム コーポレーション １方向認証通信システム
WO2000035223A1 (en) * 1998-12-04 2000-06-15 Certicom Corp. Enhanced subscriber authentication protocol
US7123721B2 (en) 1998-12-04 2006-10-17 Certicom Corp. Enhanced subscriber authentication protocol
US7352866B2 (en) 1998-12-04 2008-04-01 Certicom Enhanced subscriber authentication protocol
US11797984B2 (en) 2018-03-23 2023-10-24 Nchain Licensing Ag Computer-implemented system and method for exchange of data
CN113037479A (zh) * 2021-03-25 2021-06-25 支付宝(杭州)信息技术有限公司 数据验证方法和装置
CN113037479B (zh) * 2021-03-25 2022-04-12 支付宝(杭州)信息技术有限公司 数据验证方法和装置

Similar Documents

Publication Publication Date Title
Xiong et al. Efficient and provably secure certificateless parallel key-insulated signature without pairing for IIoT environments
Yang et al. An ID-based remote mutual authentication with key agreement scheme for mobile devices on elliptic curve cryptosystem
Xiong Cost-effective scalable and anonymous certificateless remote authentication protocol
Zhang et al. Efficient verifiably encrypted signature and partially blind signature from bilinear pairings
US20120324231A1 (en) Attributes in cryptographic credentials
US20050135606A1 (en) Method and apparatus for verifiable generation of public keys
Wang Designated-verifier proxy signature schemes
KR20070033289A (ko) 변용성있는 가명 인증 시스템 및 방법
JP2004208263A (ja) バイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置及び方法
CN101641905A (zh) 隐式证书验证
Hwang et al. Generalization of proxy signature based on elliptic curves
Li et al. Generalization of proxy signature-based on discrete logarithms
Vo et al. A new threshold blind signature scheme from pairings
Xiaofeng et al. Direct anonymous attestation for next generation TPM
Tsai et al. An ECC-based blind signcryption scheme for multiple digital documents
CN108880803A (zh) 一种使用数字签名对区块链事务进行签名的方法及系统
Waheed et al. Novel blind signcryption scheme for e-voting system based on elliptic curves
Ray et al. An ECC based public key infrastructure usable for mobile applications
Tso A new way to generate a ring: Universal ring signature
JPH08160857A (ja) 楕円曲線に基づく認証方法及び認証システム
Yang et al. Certificateless universal designated verifier signature schemes
Mangipudi et al. Authentication and Key Agreement Protocols Preserving Anonymity.
Hanaoui et al. MULTI-AGENT identity combined key Signature authentication PROTOCOL based schnorr signature with provable security under AVISPA
Fajiang et al. An efficient anonymous remote attestation scheme for trusted computing based on improved CPK
JP2868104B2 (ja) 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置