JPH09204142A - 範囲認証方法 - Google Patents
範囲認証方法Info
- Publication number
- JPH09204142A JPH09204142A JP8012214A JP1221496A JPH09204142A JP H09204142 A JPH09204142 A JP H09204142A JP 8012214 A JP8012214 A JP 8012214A JP 1221496 A JP1221496 A JP 1221496A JP H09204142 A JPH09204142 A JP H09204142A
- Authority
- JP
- Japan
- Prior art keywords
- verifier
- prover
- range
- sent
- receives
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【課題】 演算回数を少なくし、高速かつ通信量を削減
する。 【解決手段】 ｐ，ｇ，Ｇ，ｑを公開し、かつ素数ｐを
法とする乗法群のｇ及びＧの位数をｑとし、証明者はｎ
ビットの秘密情報ｓからＩ＝ｇs mod ｐを生成して公開
する。乱数ｔ1 ∈Ｚ＜２n+m ＞，ｒ1 ∈Ｚ＜ｑ＞，ｒ２
∈Ｚ＜ｑ＞を生成し、ｔ２＝ｔ１−２n+m ，Ｔ1 ＝ｇt1
Ｇr1mod ｐ，Ｔ2 ＝ｇt2Ｇr2mod ｐを演算してＴ1 ，Ｔ
2 を検証者へ送る。ｚ＜ｑ＞は０以上ｑ−１以下の整数
の集合、ｍに検証者の送るメッセージのサイズである。
検証者は乱数ｅを生成して証明者へ送り、ｉ＝１，２に
対し、ｙｉ＝ｔｉ＋ｓｅを計算し、ｙ１，ｙ２中のｙｉ
∈Ｚ＜２n+m ＞を満すｙｉとｒｉを検証者へ送る。検証
者はｙｉ∈Ｚ＜２n+m ＞，ｇ yiＧri≡Ｔi Ｉe （mod
ｐ）を満すかを検証し、合格すれば、高い確率でｓがｎ
＋ｄ（ｄはマージン）以下であると認定する。
する。 【解決手段】 ｐ，ｇ，Ｇ，ｑを公開し、かつ素数ｐを
法とする乗法群のｇ及びＧの位数をｑとし、証明者はｎ
ビットの秘密情報ｓからＩ＝ｇs mod ｐを生成して公開
する。乱数ｔ1 ∈Ｚ＜２n+m ＞，ｒ1 ∈Ｚ＜ｑ＞，ｒ２
∈Ｚ＜ｑ＞を生成し、ｔ２＝ｔ１−２n+m ，Ｔ1 ＝ｇt1
Ｇr1mod ｐ，Ｔ2 ＝ｇt2Ｇr2mod ｐを演算してＴ1 ，Ｔ
2 を検証者へ送る。ｚ＜ｑ＞は０以上ｑ−１以下の整数
の集合、ｍに検証者の送るメッセージのサイズである。
検証者は乱数ｅを生成して証明者へ送り、ｉ＝１，２に
対し、ｙｉ＝ｔｉ＋ｓｅを計算し、ｙ１，ｙ２中のｙｉ
∈Ｚ＜２n+m ＞を満すｙｉとｒｉを検証者へ送る。検証
者はｙｉ∈Ｚ＜２n+m ＞，ｇ yiＧri≡Ｔi Ｉe （mod
ｐ）を満すかを検証し、合格すれば、高い確率でｓがｎ
＋ｄ（ｄはマージン）以下であると認定する。
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムで秘密・署名交換や電子現金などのプロトコルにおい
て使われ、秘密情報の登録された範囲を認証する範囲認
証方法に関する。
ムで秘密・署名交換や電子現金などのプロトコルにおい
て使われ、秘密情報の登録された範囲を認証する範囲認
証方法に関する。
【０００２】
【従来の技術】従来の範囲認証方法は、Brickellら
（“Gradual and Verifiable Release ofa Secret, ”
Proc. of Crypto'87, LNCS, Springer Verlag, 1988）
及びDamgard （“Practical and Provably Secure Rele
ase of a Secret and Exchange ofSignatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994）に
よって提案されている。これら論文において、範囲認証
方法は、秘密・署名交換に用いられている。一方、岡本
（“An Efficient Divisible Cash Scheme, ”Proc.of
Crypto'95, LNCS, Springer Verlag, 1995 ）は、範囲
認証方法を電子現金方式に適用している。
（“Gradual and Verifiable Release ofa Secret, ”
Proc. of Crypto'87, LNCS, Springer Verlag, 1988）
及びDamgard （“Practical and Provably Secure Rele
ase of a Secret and Exchange ofSignatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994）に
よって提案されている。これら論文において、範囲認証
方法は、秘密・署名交換に用いられている。一方、岡本
（“An Efficient Divisible Cash Scheme, ”Proc.of
Crypto'95, LNCS, Springer Verlag, 1995 ）は、範囲
認証方法を電子現金方式に適用している。
【０００３】
【この発明が解決しようとする課題】上記で示した従来
提案された範囲認証方法は、いずれも、基本的な３回の
やりとりのプロトコルにおいて、検証者が証明者に１ビ
ット送るだけであった。そのため、安全性を高めるた
め、基本プロトコルを多くの回数（例えば、４０回）繰
り返す必要があり、通信量、計算量が膨大になる。つま
り基本プロトコルを例えば４０回も繰り返すことにより
証明者が悪さをしてもばれない確率が１／２40と小さく
なり、悪さをすれば直にわかるようにしたものである。
提案された範囲認証方法は、いずれも、基本的な３回の
やりとりのプロトコルにおいて、検証者が証明者に１ビ
ット送るだけであった。そのため、安全性を高めるた
め、基本プロトコルを多くの回数（例えば、４０回）繰
り返す必要があり、通信量、計算量が膨大になる。つま
り基本プロトコルを例えば４０回も繰り返すことにより
証明者が悪さをしてもばれない確率が１／２40と小さく
なり、悪さをすれば直にわかるようにしたものである。
【０００４】この発明の目的は、従来の方法に比べ、通
信量、計算量の少ない効率的な範囲認証方法を実現する
ことにある。
信量、計算量の少ない効率的な範囲認証方法を実現する
ことにある。
【０００５】
【課題を解決するための手段】請求項１の発明によれば
証明者はパラメータｎで指定される範囲にある秘密情報
ｓより剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、その
Ｉを公開（登録）し、証明者はｎ及びｍ（ｍは検証者の
送るメッセージのサイズ）で関係づけられた２つの乱数
ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰余演
算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ
２，ｒ２）を生成し、それらＴ1 ，Ｔ2を検証者に送
り、検証者はＴ1 ，Ｔ2 を受け取ると、ｍビットの乱数
ｅを証明者に送り、証明者はｅを受け取ると、演算ｈを
用いてｙ１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，ｅ，
ｔ２）を演算し、その演算結果中のｎ及びｍによって定
まる一定の範囲に入る方を選択し（それをｙｉ，ｉは１
又は２とし）、そのｙｉ，ｒｉを検証者へ送り、検証者
は、ｙｉ，ｒｉを受け取ると、ｙｉがｎ及びｍによって
定められた一定の範囲に入っていることを確認した後、
検証式ｖを用いて、ｖ（ｙｉ，ｒｉ，Ｔｉ，Ｉ）＝０を
満足することを確認し、満足していれば、ｓがほぼｎの
範囲に入っていることを認証する。
証明者はパラメータｎで指定される範囲にある秘密情報
ｓより剰余演算ｆを用いてＩ＝ｆ（ｓ）を生成し、その
Ｉを公開（登録）し、証明者はｎ及びｍ（ｍは検証者の
送るメッセージのサイズ）で関係づけられた２つの乱数
ｔ１，ｔ２及び、更に２つの乱数ｒ１，ｒ２から剰余演
算ｇを用いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ
２，ｒ２）を生成し、それらＴ1 ，Ｔ2を検証者に送
り、検証者はＴ1 ，Ｔ2 を受け取ると、ｍビットの乱数
ｅを証明者に送り、証明者はｅを受け取ると、演算ｈを
用いてｙ１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，ｅ，
ｔ２）を演算し、その演算結果中のｎ及びｍによって定
まる一定の範囲に入る方を選択し（それをｙｉ，ｉは１
又は２とし）、そのｙｉ，ｒｉを検証者へ送り、検証者
は、ｙｉ，ｒｉを受け取ると、ｙｉがｎ及びｍによって
定められた一定の範囲に入っていることを確認した後、
検証式ｖを用いて、ｖ（ｙｉ，ｒｉ，Ｔｉ，Ｉ）＝０を
満足することを確認し、満足していれば、ｓがほぼｎの
範囲に入っていることを認証する。
【０００６】請求項２の発明によれば証明者はパラメー
タｎで指定される範囲にある秘密情報ｓより剰余演算ｆ
を用いてＩ＝ｆ（ｓ）を生成し、そのＩを公開（登録）
し、証明者はｎ及びｍ（ｍは検証者の送るメッセージの
サイズ）で関係づけられた２つの乱数ｔ１，ｔ２及び、
更に２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、Ｔ
1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生成
し、更に乱数ｕから剰余演算ｇ′を用いてＪを生成し、
それらＴ1 ，Ｔ2 ，Ｊを検証者に送り、検証者はＴ1 ，
Ｔ2 ，Ｊを受け取ると、ｍビットの乱数ｅと別の乱数ｗ
を証明者に送り、証明者はｅ，ｗを受け取ると、演算ｈ
を用いてｙ１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，
ｅ，ｔ２）を演算し、その演算結果中のｎ及びｍによっ
て定まる一定の範囲に入る方を選択し（それをｙｉ，ｉ
は１又は２とし）、更に剰余演算ｈ′を用いてｚｉ＝
ｈ′（ｕ，ｗ，ｒｉ）を計算し、これらｙｉ，ｒｉ，ｚ
ｉを検証者へ送り、検証者は、ｙｉ，ｒｉ，ｚｉを受け
取ると、ｙｉがｎ及びｍによって定められた一定の範囲
に入っていることを確認した後、検証式ｖを用いて、ｖ
（ｙｉ，ｚｉ，Ｔｉ，Ｉ，Ｊ）＝０を満足することを確
認し、満足していれば、ｓがほぼｎの範囲に入っている
ことを認証する。
タｎで指定される範囲にある秘密情報ｓより剰余演算ｆ
を用いてＩ＝ｆ（ｓ）を生成し、そのＩを公開（登録）
し、証明者はｎ及びｍ（ｍは検証者の送るメッセージの
サイズ）で関係づけられた２つの乱数ｔ１，ｔ２及び、
更に２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、Ｔ
1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生成
し、更に乱数ｕから剰余演算ｇ′を用いてＪを生成し、
それらＴ1 ，Ｔ2 ，Ｊを検証者に送り、検証者はＴ1 ，
Ｔ2 ，Ｊを受け取ると、ｍビットの乱数ｅと別の乱数ｗ
を証明者に送り、証明者はｅ，ｗを受け取ると、演算ｈ
を用いてｙ１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，
ｅ，ｔ２）を演算し、その演算結果中のｎ及びｍによっ
て定まる一定の範囲に入る方を選択し（それをｙｉ，ｉ
は１又は２とし）、更に剰余演算ｈ′を用いてｚｉ＝
ｈ′（ｕ，ｗ，ｒｉ）を計算し、これらｙｉ，ｒｉ，ｚ
ｉを検証者へ送り、検証者は、ｙｉ，ｒｉ，ｚｉを受け
取ると、ｙｉがｎ及びｍによって定められた一定の範囲
に入っていることを確認した後、検証式ｖを用いて、ｖ
（ｙｉ，ｚｉ，Ｔｉ，Ｉ，Ｊ）＝０を満足することを確
認し、満足していれば、ｓがほぼｎの範囲に入っている
ことを認証する。
【０００７】請求項３の発明によれば証明者はパラメー
タｎで指定される範囲にある秘密情報ｓ，ｕより剰余演
算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生成し、そのＩを公開
（登録）し、証明者はｎ及びｍ（ｍは検証者の送るメッ
セージのサイズ）で関係づけられた２つの乱数ｔ１，ｔ
２及び、更に２つの乱数ｒ１，ｒ２から剰余演算ｇを用
いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ
２）を生成し、それらＴ 1 ，Ｔ2 を検証者に送り、検証
者はＴ1 ，Ｔ2 を受け取ると、ｍビットの乱数ｅを証明
者に送り、証明者はｅを受け取ると、演算ｈを用いてｙ
１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を
演算し、その演算結果中のｎ及びｍによって定まる一定
の範囲に入る方を選択し（それをｙｉ，ｉは１又は２と
し）、更に剰余演算ｈ′を用いてｚｉ＝ｈ′（ｕ，ｅ，
ｒｉ）を計算し、これらｙｉ，ｚｉを検証者へ送り、検
証者は、ｙｉ，ｚｉを受け取ると、ｙｉがｎ及びｍによ
って定められた一定の範囲に入っていることを確認した
後、検証式ｖを用いて、ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ）＝
０を満足することを確認し、満足していれば、ｓがほぼ
ｎの範囲に入っていることを認証する。
タｎで指定される範囲にある秘密情報ｓ，ｕより剰余演
算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生成し、そのＩを公開
（登録）し、証明者はｎ及びｍ（ｍは検証者の送るメッ
セージのサイズ）で関係づけられた２つの乱数ｔ１，ｔ
２及び、更に２つの乱数ｒ１，ｒ２から剰余演算ｇを用
いて、Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ
２）を生成し、それらＴ 1 ，Ｔ2 を検証者に送り、検証
者はＴ1 ，Ｔ2 を受け取ると、ｍビットの乱数ｅを証明
者に送り、証明者はｅを受け取ると、演算ｈを用いてｙ
１＝ｈ１（ｓ，ｅ，ｔ１），ｈ２＝（ｓ，ｅ，ｔ２）を
演算し、その演算結果中のｎ及びｍによって定まる一定
の範囲に入る方を選択し（それをｙｉ，ｉは１又は２と
し）、更に剰余演算ｈ′を用いてｚｉ＝ｈ′（ｕ，ｅ，
ｒｉ）を計算し、これらｙｉ，ｚｉを検証者へ送り、検
証者は、ｙｉ，ｚｉを受け取ると、ｙｉがｎ及びｍによ
って定められた一定の範囲に入っていることを確認した
後、検証式ｖを用いて、ｖ（ｙｉ，ｚｉ，Ｔｉ，Ｉ）＝
０を満足することを確認し、満足していれば、ｓがほぼ
ｎの範囲に入っていることを認証する。
【０００８】このようにこの発明ではＴ1 ，Ｔ2 又はＴ
1 ，Ｔ2 ，Ｊと、ｅ又はｅ，ｗと、ｙｉ，ｒｉ又はｙ
ｉ，ｚｉとの基本的な３回のやりとりにおいて、検証者
は証明者にｍビット（例えば、ｍ＝５０）送ることが可
能となり、繰り返し実行しなくても証明者の悪さがばれ
ない確率に１／２m 、例えば１／２50程度であり十分な
安全性を保証できるため、基本的なプロトコルを繰り返
し実行する必要が無くなった。このことにより、処理
量、通信量を圧倒的に小さくすることが可能になった。
1 ，Ｔ2 ，Ｊと、ｅ又はｅ，ｗと、ｙｉ，ｒｉ又はｙ
ｉ，ｚｉとの基本的な３回のやりとりにおいて、検証者
は証明者にｍビット（例えば、ｍ＝５０）送ることが可
能となり、繰り返し実行しなくても証明者の悪さがばれ
ない確率に１／２m 、例えば１／２50程度であり十分な
安全性を保証できるため、基本的なプロトコルを繰り返
し実行する必要が無くなった。このことにより、処理
量、通信量を圧倒的に小さくすることが可能になった。
【０００９】
【発明の実施の形態】図１に示すように証明者１００と
検証者２００とは例えば通信回線等を介して接続されて
いる。請求項１の発明の実施例における証明者、検証者
間の処理手順を図１Ｂ，図２を用いて説明する。
検証者２００とは例えば通信回線等を介して接続されて
いる。請求項１の発明の実施例における証明者、検証者
間の処理手順を図１Ｂ，図２を用いて説明する。
【００１０】まず、システムであらかじめ情報、ｐ，
ｇ，Ｇ，ｑが公開され、ｐを素数とし、ｐを法とする乗
法群におけるｇ及びＧの位数をｑとする。証明者１００
は、ｎビットの秘密情報ｓからＩを生成する。 Ｉ＝ｇs mod ｐ ……（１） この剰余演算の結果Ｉを公開（登録）する。（上記の剰
余演算等については、池野、小山著「現代暗号理論」電
子情報通信学会、等を参照。なお、以下でＺ＜ｑ＞は、
０以上ｑ−１以下の整数の集合を意味する。）１．証明
者１００は、乱数生成器１０１を用いて、乱数ｔ１∈Ｚ
＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。ｍは検証者２００が送るメッセージの長さで
ある。
ｇ，Ｇ，ｑが公開され、ｐを素数とし、ｐを法とする乗
法群におけるｇ及びＧの位数をｑとする。証明者１００
は、ｎビットの秘密情報ｓからＩを生成する。 Ｉ＝ｇs mod ｐ ……（１） この剰余演算の結果Ｉを公開（登録）する。（上記の剰
余演算等については、池野、小山著「現代暗号理論」電
子情報通信学会、等を参照。なお、以下でＺ＜ｑ＞は、
０以上ｑ−１以下の整数の集合を意味する。）１．証明
者１００は、乱数生成器１０１を用いて、乱数ｔ１∈Ｚ
＜２n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。ｍは検証者２００が送るメッセージの長さで
ある。
【００１１】 ｔ２＝ｔ１−２n+m ……（２） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（３） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（４） 証明者１００は、Ｔ1 ，Ｔ2 を順番を決めずに検証者２
００に送る。ここで送る順を固定するとそれだけ秘密が
破られるおそれがある。２．検証者２００は、Ｔ1 ，Ｔ
2 を受けとると、乱数生成器２０１を用いて、乱数ｅ∈
Ｚ＜２m ＞を生成して、ｅを証明者１００に送る。３．
証明者１００は、ｅを受け取ると、ｉ＝１，２に対し
て、乗算器１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（５） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（６） を満足するものを検証者２００に送る。また、同時にｒ
ｉも送る。この場合（６）式を満すのはｙ１，ｙ２の一
方だけである。４．検証者２００は、ｙｉ，ｒｉを受け
取ると、剰余演算器２０３、比較器２０４を用いて、以
下の検証式を満足するかどうか検証する。
００に送る。ここで送る順を固定するとそれだけ秘密が
破られるおそれがある。２．検証者２００は、Ｔ1 ，Ｔ
2 を受けとると、乱数生成器２０１を用いて、乱数ｅ∈
Ｚ＜２m ＞を生成して、ｅを証明者１００に送る。３．
証明者１００は、ｅを受け取ると、ｉ＝１，２に対し
て、乗算器１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（５） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（６） を満足するものを検証者２００に送る。また、同時にｒ
ｉも送る。この場合（６）式を満すのはｙ１，ｙ２の一
方だけである。４．検証者２００は、ｙｉ，ｒｉを受け
取ると、剰余演算器２０３、比較器２０４を用いて、以
下の検証式を満足するかどうか検証する。
【００１２】 ｙｉ∈Ｚ＜２n+m ＞ ……（７） ｇyiＧri≡Ｔi Ｉe （mod ｐ） ……（８） 検証者は、検証に合格すれば、高い確率で、ｓがｎ＋ｄ
bit 以下であると認定する。（ｄは、適当なマージン）
（７）式は、証明者１００が悪さをしていないことの確
認である。
bit 以下であると認定する。（ｄは、適当なマージン）
（７）式は、証明者１００が悪さをしていないことの確
認である。
【００１３】次に請求項２の発明の実施例における証明
者、検証者間の処理手順を図３，図４を用いて説明す
る。まず、システムであらかじめ以下の情報、ｐ，ｇ，
Ｇ，ｑが公開されているものとする。ｐを素数とし、ｐ
を法とする乗法群におけるｇ及びＧの位数をｑとする。
者、検証者間の処理手順を図３，図４を用いて説明す
る。まず、システムであらかじめ以下の情報、ｐ，ｇ，
Ｇ，ｑが公開されているものとする。ｐを素数とし、ｐ
を法とする乗法群におけるｇ及びＧの位数をｑとする。
【００１４】証明者１００は、ｎビットの秘密情報ｓか
ら次式によりＩを生成する。 Ｉ＝ｇs mod ｐ ……（９） このＩを公開（登録）する。１．証明者１００は、乱数
生成器１０１を用いて、乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１
∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞，ｕ∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。
ら次式によりＩを生成する。 Ｉ＝ｇs mod ｐ ……（９） このＩを公開（登録）する。１．証明者１００は、乱数
生成器１０１を用いて、乱数ｔ１∈Ｚ＜２n+m ＞，ｒ１
∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞，ｕ∈Ｚ＜ｑ＞を生成し
て、減算器１０２、剰余演算器１０３を用いて、以下を
計算する。
【００１５】 ｔ２＝ｔ１−２n+m ……（１０） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（１１） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（１２） Ｊ＝Ｇu mod ｐ ……（１３） 証明者１００は、Ｔ1 ，Ｔ2 を順番を決めずに、検証者
２００に送る。また、同時にＪも送る。２．検証者２０
０は、Ｔ1 ，Ｔ2 ，Ｊを受け取ると、乱数生成器２０１
を用いて、乱数ｅ∈Ｚ＜２m ＞，ｗ∈Ｚ＜ｑ＞を生成し
てｅ，ｗを証明者１００に送る。３．証明者１００は、
ｅ，ｗを受け取ると、ｉ＝１，２に対して、乗算器１０
４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（１４） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（１５） を満足するものを検証者２００に送る。さらに、剰余演
算器１０３を用いて ｚｉ＝ｒｉ＋ｕｗ modｑ ……（１６） を計算し、ｚｉも送る。４．検証者２００は、ｙｉ，ｚ
ｉを受け取ると、剰余演算器２０３、比較器２０４を用
いて、以下の検証式を満足するかどうか検証する。
２００に送る。また、同時にＪも送る。２．検証者２０
０は、Ｔ1 ，Ｔ2 ，Ｊを受け取ると、乱数生成器２０１
を用いて、乱数ｅ∈Ｚ＜２m ＞，ｗ∈Ｚ＜ｑ＞を生成し
てｅ，ｗを証明者１００に送る。３．証明者１００は、
ｅ，ｗを受け取ると、ｉ＝１，２に対して、乗算器１０
４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（１４） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（１５） を満足するものを検証者２００に送る。さらに、剰余演
算器１０３を用いて ｚｉ＝ｒｉ＋ｕｗ modｑ ……（１６） を計算し、ｚｉも送る。４．検証者２００は、ｙｉ，ｚ
ｉを受け取ると、剰余演算器２０３、比較器２０４を用
いて、以下の検証式を満足するかどうか検証する。
【００１６】 ｙｉ∈Ｚ＜２n+m ＞ ……（１７） ｇyiＧzi≡Ｔi Ｉe Ｊw （mod ｐ） ……（１８） 検証者は、検証に合格すれば、高い確率で、ｓがｎ＋ｄ
bit 以下であると認定する（ｄは、適当なマージン）。
次に請求項３の発明の実施例における証明者、検証者間
の処理手順を図５，図６を用いて説明する。
bit 以下であると認定する（ｄは、適当なマージン）。
次に請求項３の発明の実施例における証明者、検証者間
の処理手順を図５，図６を用いて説明する。
【００１７】まず、システムであらかじめ以下の情報、
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。証明者１００は、ｎビットの秘密情報ｓ及び乱
数ｕ∈Ｚ＜ｑ＞から Ｉ＝ｇs Ｇu mod ｐ ……（１９） を生成し、このＩを公開（登録）する。１．証明者１０
０は、乱数生成器１０１を用いて、乱数ｔ１∈Ｚ＜２
n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞を生成して、
減算器１０２、剰余演算器１０３を用いて、以下を計算
する。
ｐ，ｇ，Ｇ，ｑが公開されているものとする。ｐを素数
とし、ｐを法とする乗法群におけるｇ及びＧの位数をｑ
とする。証明者１００は、ｎビットの秘密情報ｓ及び乱
数ｕ∈Ｚ＜ｑ＞から Ｉ＝ｇs Ｇu mod ｐ ……（１９） を生成し、このＩを公開（登録）する。１．証明者１０
０は、乱数生成器１０１を用いて、乱数ｔ１∈Ｚ＜２
n+m ＞，ｒ１∈Ｚ＜ｑ＞，ｒ２∈Ｚ＜ｑ＞を生成して、
減算器１０２、剰余演算器１０３を用いて、以下を計算
する。
【００１８】 ｔ２＝ｔ１−２n+m ……（２０） Ｔ1 ＝ｇt1Ｇr1mod ｐ ……（２１） Ｔ2 ＝ｇt2Ｇr2mod ｐ ……（２２） 証明者１００は、Ｔ1 ，Ｔ2 を順番を決めずに、検証者
２００に送る。２．検証者２００は、Ｔ1 ，Ｔ2 を受け
取ると、乱数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m
＞を生成して、ｅを証明者１００に送る。３．証明者１
００は、ｅを受け取ると、ｉ＝１，２に対して、乗算器
１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（２３） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（２４） を満足するものを検証者２００に送る。さらに、剰余演
算器１０３を用いて ｚｉ＝ｒｉ＋ｕｅ modｑ ……（２５） を計算し、ｚｉも送る。４．検証者２００は、ｙｉ，ｚ
ｉを受け取ると、剰余演算器２０３、比較器２０４を用
いて、以下の検証式を満足するかどうか検証する。
２００に送る。２．検証者２００は、Ｔ1 ，Ｔ2 を受け
取ると、乱数生成器２０１を用いて、乱数ｅ∈Ｚ＜２m
＞を生成して、ｅを証明者１００に送る。３．証明者１
００は、ｅを受け取ると、ｉ＝１，２に対して、乗算器
１０４、加算器１０５を用いて、 ｙｉ＝ｔｉ＋ｓｅ ……（２３） を計算し、ｙ１，ｙ２の中、比較器１０６を用いて、 ｙｉ∈Ｚ＜２n+m ＞ ……（２４） を満足するものを検証者２００に送る。さらに、剰余演
算器１０３を用いて ｚｉ＝ｒｉ＋ｕｅ modｑ ……（２５） を計算し、ｚｉも送る。４．検証者２００は、ｙｉ，ｚ
ｉを受け取ると、剰余演算器２０３、比較器２０４を用
いて、以下の検証式を満足するかどうか検証する。
【００１９】 ｙｉ∈Ｚ＜２n+m ＞ ……（２６） ｇyiＧzi≡Ｔi Ｉe （mod ｐ） ……（２７） 検証者２００は、検証に合格すれば、高い確率で、ｓが
ｎ＋ｄbit 以下であると認定する（ｄは、適当なマージ
ン）。
ｎ＋ｄbit 以下であると認定する（ｄは、適当なマージ
ン）。
【００２０】
【発明の効果】例えば、従来のＤａｍｇａｒｄらの方法
では、基本的な３回のやりとりにおいて証明者、検証者
のそれぞれの計算量は、べき乗剰余演算を少なくとも２
回行う必要があるが、１ビットづつ送るため、証明者が
悪さをしてもそれがばれない確率が十分小さく、つまり
悪さをすれば直ぐわかるように３回の基本的やりとりを
多数繰り返すが、その繰り返し回数を４０回とした場
合、べき乗剰余演算を少なくとも４０回行う必要があ
る。
では、基本的な３回のやりとりにおいて証明者、検証者
のそれぞれの計算量は、べき乗剰余演算を少なくとも２
回行う必要があるが、１ビットづつ送るため、証明者が
悪さをしてもそれがばれない確率が十分小さく、つまり
悪さをすれば直ぐわかるように３回の基本的やりとりを
多数繰り返すが、その繰り返し回数を４０回とした場
合、べき乗剰余演算を少なくとも４０回行う必要があ
る。
【００２１】この発明の方法では（いずれの請求項の発
明においても）、証明者、検証者のいずれでも、ｍを例
えば５０にすれば証明者が悪さをするとばれない確率は
１／２50程度と十分小さくなり、基本的やりとりを繰り
返す必要がないから、べき乗剰余演算の回数は２回程度
である。従って、従来の方式に比べ、数１０倍高速で、
かつ同時に通信量が数１０分の１になる。
明においても）、証明者、検証者のいずれでも、ｍを例
えば５０にすれば証明者が悪さをするとばれない確率は
１／２50程度と十分小さくなり、基本的やりとりを繰り
返す必要がないから、べき乗剰余演算の回数は２回程度
である。従って、従来の方式に比べ、数１０倍高速で、
かつ同時に通信量が数１０分の１になる。
【図１】Ａはこの発明の原理構成における証明者と検証
者との接続を示す図、Ｂは請求項１の発明の実施例の処
理手順を示す図である。
者との接続を示す図、Ｂは請求項１の発明の実施例の処
理手順を示す図である。
【図２】請求項１の発明の実施例の構成図。
【図３】請求項２の発明の実施例の処理手順を示す図。
【図４】請求項２の発明の実施例の構成を示す図。
【図５】請求項３の発明の実施例の処理手順を示す図。
【図６】請求項３の発明の実施例の構成を示す図。
Claims (3)
- 【請求項１】 秘密情報を保持する証明者は、パラメー
タｎで指定される範囲にある秘密情報ｓより剰余演算ｆ
を用いてＩ＝ｆ（ｓ）を生成し、そのＩを公開（登録）
し、 上記証明者は、ｎ及びｍ（ｍは検証者の送るメッセージ
のサイズ）で関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、それを上記検証者に送り、 上記検証者は、上記Ｔ1 ，Ｔ2 を受信すると、ｍビット
の乱数ｅを上記証明者に送り、 上記証明者は、上記ｅを受信すると演算ｈを用いて、ｙ
１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，ｅ，ｔ２）を
演算し、その演算結果中のｎ及びｍによって定まる一定
の範囲に入る方を選び（それをｙｉ，ｉ＝１又は２とす
る）、ｙｉ，ｒｉを上記検証者に送り、 上記検証者は、そのｙｉ，ｒｉを受信すると、上記ｙｉ
が上記ｎ及びｍによって定められた一定の範囲に入って
いることを確認した後、検証式ｖを用いて、ｖ（ｙｉ，
ｒｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満足し
ていれば、上記ｓが上記ほぼｎの範囲に入っていると認
証することを特徴とする範囲認証方法。 - 【請求項２】 秘密情報を保持する証明者は、パラメー
タｎで指定される範囲にある秘密情報ｓより剰余演算ｆ
を用いてＩ＝ｆ（ｓ）を生成し、そのＩを公開（登録）
し、 上記証明者は、ｎ及びｍ（ｍは検証者の送るメッセージ
のサイズ）で関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、さらに乱数ｕから剰余演算ｇ′を用いてＪを生成
し、上記Ｔ1 ，Ｔ2 ，Ｊを上記検証者に送り、 上記検証者は、Ｔ1 ，Ｔ2 ，Ｊを受信してｍビットの乱
数ｅと別の乱数ｗを上記証明者に送り、 上記証明者は、上記ｅ，ｗを受信すると、演算ｈを用い
て、ｙ１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，ｅ，ｔ
２）を演算し、その演算結果中の、ｎ及びｍによって定
まる一定の範囲に入る方を選び（それをｙｉ，ｉ＝１又
は２とする）、さらに剰余演算ｈ′を用いてｚｉ＝ｈ′
（ｕ，ｗ，ｒｉ）を計算し、ｙｉ，ｚｉを上記検証者に
送り、 上記検証者は、上記ｙｉ，ｚｉを受信すると、ｙｉが上
記ｎ及びｍによって定められた一定の範囲に入っている
ことを確認した後、検証式ｖを用いて、ｖ（ｙｉ，ｚ
ｉ，Ｔｉ，Ｉ，Ｊ）＝０を満足することを確認し、満足
していれば上記ｓがほぼ上記ｎの範囲に入っていると認
証することを特徴とする範囲認証方法。 - 【請求項３】 秘密情報を保持する証明者は、パラメー
タｎで指定される範囲にある秘密情報ｓ，ｕより剰余演
算ｆを用いてＩ＝ｆ（ｓ，ｕ）を生成し、Ｉを公開（登
録）し、 上記証明者は、ｎ及びｍ（ｍは検証者の送るメッセージ
のサイズ）で関係づけられた２つの乱数ｔ１，ｔ２及び
さらに２つの乱数ｒ１，ｒ２から剰余演算ｇを用いて、
Ｔ1 ＝ｇ（ｔ１，ｒ１），Ｔ2 ＝ｇ（ｔ２，ｒ２）を生
成し、これらＴ 1 ，Ｔ2 を上記検証者に送り、 上記検証者は、上記Ｔ1 ，Ｔ2 を受けると、ｍビットの
乱数ｅを上記証明者に送り、 上記証明者は、上記ｅを受信すると演算ｈを用いて、ｙ
１＝ｈ（ｓ，ｅ，ｔ１），ｙ２＝ｈ（ｓ，ｅ，ｔ２）を
演算し、これら演算結果中の上記ｎ及びｍによって定ま
る一定の範囲に入る方を選び（それをｙｉ，ｉ＝１又は
２とする）、さらに剰余演算ｈ′を用いてｚｉ＝ｈ′
（ｕ，ｅ，ｒｉ）を計算し、これらｙｉ，ｚｉを上記検
証者に送り、 上記検証者は、上記ｙｉ，ｚｉを受信すると、ｙｉが上
記ｎ及びｍによって定められた一定の範囲に入っている
ことを確認した後、検証式ｖを用いて、ｖ（ｙｉ，ｚ
ｉ，Ｔｉ，Ｉ）＝０を満足することを確認し、満足して
いれば上記ｓ，ｕがほぼ上記ｎの範囲に入っていると認
証することを特徴とする範囲認証方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01221496A JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01221496A JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09204142A true JPH09204142A (ja) | 1997-08-05 |
| JP3285190B2 JP3285190B2 (ja) | 2002-05-27 |
Family
ID=11799140
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP01221496A Expired - Fee Related JP3285190B2 (ja) | 1996-01-26 | 1996-01-26 | 範囲認証方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3285190B2 (ja) |
-
1996
- 1996-01-26 JP JP01221496A patent/JP3285190B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP3285190B2 (ja) | 2002-05-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7747865B2 (en) | Method and structure for challenge-response signatures and high-performance secure Diffie-Hellman protocols | |
| Boyd et al. | Off-line fair payment protocols using convertible signatures | |
| JP4545831B2 (ja) | データカード検証装置 | |
| US9160530B2 (en) | Method and apparatus for verifiable generation of public keys | |
| US8433897B2 (en) | Group signature system, apparatus and storage medium | |
| EP3079300B1 (en) | Self-signed implicit certificates | |
| US8116451B2 (en) | Key validation scheme | |
| JP5205398B2 (ja) | 鍵認証方式 | |
| KR0144086B1 (ko) | 인증교환과 전자서명 방법 | |
| Saeednia | A note on Girault's self-certified model | |
| WO2006070682A1 (ja) | 制限付ブラインド署名システム | |
| CN115834056A (zh) | 一种无证书有序聚合签名方法、系统及相关装置 | |
| Goyal | How to re-initialize a hash chain | |
| KR101802826B1 (ko) | Id 기반 인증 및 키 교환 방법 | |
| JP3513324B2 (ja) | ディジタル署名処理方法 | |
| JP4679163B2 (ja) | デジタル署名情報生成装置、デジタル署名情報生成方法及びプログラム | |
| JPH11174957A (ja) | 認証プロトコル | |
| JPH11234263A (ja) | 相互認証方法および装置 | |
| JPH09204142A (ja) | 範囲認証方法 | |
| JP3484069B2 (ja) | 秘密情報認証方法及び合同多項式認証方法並びに当該認証プログラムを記録した記録媒体 | |
| Monnerat et al. | Efficient Deniable Authentication for Signatures: Application to Machine-Readable Travel Document | |
| Goyal | More efficient server assisted one time signatures | |
| JP3435472B2 (ja) | 秘密保持認証方法及びシステム | |
| US20040205337A1 (en) | Digital message signature and encryption | |
| Pavlovski et al. | Attacks based on small factors in various group structures |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090308 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090308 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100308 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110308 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |