JPH09298538A - 秘密保持認証方法及びシステム - Google Patents
秘密保持認証方法及びシステムInfo
- Publication number
- JPH09298538A JPH09298538A JP8110997A JP11099796A JPH09298538A JP H09298538 A JPH09298538 A JP H09298538A JP 8110997 A JP8110997 A JP 8110997A JP 11099796 A JP11099796 A JP 11099796A JP H09298538 A JPH09298538 A JP H09298538A
- Authority
- JP
- Japan
- Prior art keywords
- random number
- verifier
- remainder
- generated
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【課題】 従来の方式に比べて、通信量、計算量の少な
い効率的な範囲認証方法を実現できる秘密保持認証方法
及びシステムを提供することを目的とする。 【解決手段】 本発明は、秘密情報より生成された公開
鍵を公開し、剰余演算結果を第１の検証情報として証明
者から検証者に送信し、検証者から取得した乱数に基づ
いて、乗算器、加算器を用いて第２の検証情報を生成し
て検証者に送信し、検証者側において、所定の検証式に
基づいて証明者が秘密情報を保持しているかを認証す
る。
い効率的な範囲認証方法を実現できる秘密保持認証方法
及びシステムを提供することを目的とする。 【解決手段】 本発明は、秘密情報より生成された公開
鍵を公開し、剰余演算結果を第１の検証情報として証明
者から検証者に送信し、検証者から取得した乱数に基づ
いて、乗算器、加算器を用いて第２の検証情報を生成し
て検証者に送信し、検証者側において、所定の検証式に
基づいて証明者が秘密情報を保持しているかを認証す
る。
Description
【０００１】
【発明の属する技術分野】本発明は、秘密保持認証方法
及びシステムに係り、特に、電気通信システムにおいて
秘密・署名交換や電子現金等のプロトコルにおいて使わ
れる秘密保持認証方法及びシステムに関する。
及びシステムに係り、特に、電気通信システムにおいて
秘密・署名交換や電子現金等のプロトコルにおいて使わ
れる秘密保持認証方法及びシステムに関する。
【０００２】
【従来の技術】従来の秘密保持認証方法は、Brickellら
（“Gradual and Verifiable Releaseof a Secret, ”P
roc. of Crypto'87, LNCS, Springer Verlag, 1988)及
びDamgard （“Practical and Provably Secure Releas
e of a Secret and Exchange of Signatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994) によ
って提案されている。これら論文において、範囲認証方
式は、秘密・署名交換に用いられている。
（“Gradual and Verifiable Releaseof a Secret, ”P
roc. of Crypto'87, LNCS, Springer Verlag, 1988)及
びDamgard （“Practical and Provably Secure Releas
e of a Secret and Exchange of Signatures, ”Proc.
of Eurocrypt'93, LNCS, Springer Verlag, 1994) によ
って提案されている。これら論文において、範囲認証方
式は、秘密・署名交換に用いられている。
【０００３】一方、岡本（“An Efficient Divisible C
ash Scheme, ”Proc. of Crypto'95, LNCS, Springer V
erlag, 1995)は、このような秘密保持認証方式を電子現
金方式に適用している。
ash Scheme, ”Proc. of Crypto'95, LNCS, Springer V
erlag, 1995)は、このような秘密保持認証方式を電子現
金方式に適用している。
【０００４】
【発明が解決しようとする課題】しかしながら、上記従
来の秘密保持認証方式は、いずれも、３回のやりとりの
ある基本プロトコルを多くの回数（例えば、４０回）繰
り返す必要があり、通信量、計算量が膨大になるという
問題がある。
来の秘密保持認証方式は、いずれも、３回のやりとりの
ある基本プロトコルを多くの回数（例えば、４０回）繰
り返す必要があり、通信量、計算量が膨大になるという
問題がある。
【０００５】本発明は、上記の点に鑑みなされたもの
で、従来の方式に比べて、通信量、計算量の少ない効率
的な範囲認証方法を実現できる秘密保持認証方法及びシ
ステムを提供することを目的とする。
で、従来の方式に比べて、通信量、計算量の少ない効率
的な範囲認証方法を実現できる秘密保持認証方法及びシ
ステムを提供することを目的とする。
【０００６】
【課題を解決するための手段】図１は、本発明の原理を
説明するための図である。本発明は、登録された秘密情
報を保持していることを示す認証方法において、検証者
が秘密情報保持者である証明者の秘密情報を認証する秘
密保持認証方法において、証明者は、ある秘密情報ｓ，
Ｒより剰余演算ｆを用いて Ｉ＝ｆ（ｓ，Ｒ） を生成し、公開情報Ｉを公開（登録）し（ステップ
１）、証明者は、安全係数ｍとし、剰余演算の法をＮと
したとき、該ｍ、該ｎで関係付けられた２つの乱数
ｔ1 ，ｔ2 及び、同様に、該ｍ、該Ｎで関係付けられた
乱数ｕ1 ，ｕ2 及び、４つの乱数ｒi,j （ｉ＝１，２；
ｊ＝１，２）を生成し（ステップ２）、それらの乱数
からＮを法とする剰余演算ｆN を用いて、４つの値 Ｔij＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成し（ステップ３）、生成された値を検証者に送信
し（ステップ４）、検証者は、ｍビットの乱数ｅを生成
して（ステップ５）、証明者に送信し（ステップ６）、
証明者は、所定の演算ｈを用いて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、ｍ及びＮによって定まる一定の範囲
に入る方を選択し、ｙiとし（ステップ７）、所定の演
算ｈ’を用いて、 ｚ1 ＝ｈ’（Ｒ，ｅ，ｕ1 ） ｙ2 ＝ｈ’（Ｒ，ｅ，ｕ2 ） のいずれか一方で、ｍ及びＮによって定まる一定の範囲
に入る方を選択し、ｚjとし（ステップ８）、（ｙi ，
ｚj ，ｒi,j ）を検証者に送信し（ステップ９）、検証
者は、検証式ｖを用いて、ｖ（ｙi ，ｚj ，ｒi,j ，Ｔ
i,j ，Ｉ，ｅ Ｎ）＝０を満足していれば、証明者が秘
密情報ｓ，Ｒを保持していると認証する（ステップ１
０）。
説明するための図である。本発明は、登録された秘密情
報を保持していることを示す認証方法において、検証者
が秘密情報保持者である証明者の秘密情報を認証する秘
密保持認証方法において、証明者は、ある秘密情報ｓ，
Ｒより剰余演算ｆを用いて Ｉ＝ｆ（ｓ，Ｒ） を生成し、公開情報Ｉを公開（登録）し（ステップ
１）、証明者は、安全係数ｍとし、剰余演算の法をＮと
したとき、該ｍ、該ｎで関係付けられた２つの乱数
ｔ1 ，ｔ2 及び、同様に、該ｍ、該Ｎで関係付けられた
乱数ｕ1 ，ｕ2 及び、４つの乱数ｒi,j （ｉ＝１，２；
ｊ＝１，２）を生成し（ステップ２）、それらの乱数
からＮを法とする剰余演算ｆN を用いて、４つの値 Ｔij＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成し（ステップ３）、生成された値を検証者に送信
し（ステップ４）、検証者は、ｍビットの乱数ｅを生成
して（ステップ５）、証明者に送信し（ステップ６）、
証明者は、所定の演算ｈを用いて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、ｍ及びＮによって定まる一定の範囲
に入る方を選択し、ｙiとし（ステップ７）、所定の演
算ｈ’を用いて、 ｚ1 ＝ｈ’（Ｒ，ｅ，ｕ1 ） ｙ2 ＝ｈ’（Ｒ，ｅ，ｕ2 ） のいずれか一方で、ｍ及びＮによって定まる一定の範囲
に入る方を選択し、ｚjとし（ステップ８）、（ｙi ，
ｚj ，ｒi,j ）を検証者に送信し（ステップ９）、検証
者は、検証式ｖを用いて、ｖ（ｙi ，ｚj ，ｒi,j ，Ｔ
i,j ，Ｉ，ｅ Ｎ）＝０を満足していれば、証明者が秘
密情報ｓ，Ｒを保持していると認証する（ステップ１
０）。
【０００７】図２は、本発明の原理構成図である。本発
明は、登録された秘密情報を保持していることを示す認
証システムにおいて、証明手段（秘密情報保持者）１０
０と、該証明手段１００の秘密情報を認証する検証手段
２００からなる秘密保持認証システムであって、証明手
段１００は、乱数ｔ1 ，ｔ2 ，ｕ1 ，ｕ2 ，ｒi,j を生
成する第１の乱数生成手段１０１と、秘密情報ｓ，Ｒよ
り剰余演算ｆを用いて、 Ｉ＝ｆ（ｓ，Ｒ） を生成し、該Ｉを登録する登録手段１１０と、安全係数
をｍとし、剰余演算の法をＮとしたとき、該ｍ、該Ｎで
関係付けられた２つの乱数ｔ1 ，ｔ2 及び、ｕ1 ，ｕ2
及び４つの乱数ｒi,j （ｉ＝１，２；ｊ＝１，２）から
Ｎを法とする剰余演算ｆN を用いて、剰余演算値 Ｔi,j ＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成する剰余演算手段１０３と、検証手段２００から
受信した乱数ｅと第１の乱数生成手段により生成された
ｔ 1 ，ｔ2 を用いて、所定の第１の演算ｈに基づいて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、安全係数ｍ及び剰余演算の法Ｎによ
って定まる一定の範囲に入る方を選択してｙi とする第
１の選択手段１２０と、検証手段２００から受信した乱
数ｅと第１の乱数生成手段１２０により生成された乱数
ｕ1 ，ｕ2 を用いて、所定の第２の演算ｈ’に基づい
て、 ｚ1 ＝ｈ’（ｓ，ｅ，ｕ1 ），ｚ2 ＝ｈ’（ｓ，ｅ，ｕ
2 ） のいずれか一方で、安全係数ｍ及び剰余演算の法Ｎによ
って定まる一定の範囲に入る方を選択してｚj する第２
の選択手段１３０と、剰余演算手段１０３により求めら
れた剰余演算値Ｔi,j 及び、第１の選択手段１２０、第
２の選択手段１３０により取得したｙi ，ｚj 、第１の
乱数生成手段１０１により生成された乱数ｒi,j を検証
情報として検証手段２００に送信すると共に、検証手段
２００からの情報を受信する第１の送受信手段１４０と
を有し、検証手段２００は、乱数ｅを生成する第２の乱
数生成手段２０１と、第２の乱数生成手段２０１により
生成された乱数ｅを証明手段に送信すると共に、前記証
明手段からの情報を受信する第２の送受信手段２１０
と、証明手段１００から受信した検証情報ｙi ，ｚj ，
ｒi,j 、及び剰余演算手段１０３により求められた剰余
演算値Ｔi,j 、登録手段１１０により登録されている
Ｉ、剰余演算の法Ｎ、第２の乱数生成手段２０１により
生成された乱数ｅを所定の検証式ｖに基づいて、 ｖ（ｙi ，ｚj ，ｒi,j ，Ｔi,j Ｉ，ｅ，Ｎ） を満足するかを確認し、満足していれば、証明手段１０
０が秘密情報ｓ，Ｒを保持していることを認証する認証
手段２２０を有する。
明は、登録された秘密情報を保持していることを示す認
証システムにおいて、証明手段（秘密情報保持者）１０
０と、該証明手段１００の秘密情報を認証する検証手段
２００からなる秘密保持認証システムであって、証明手
段１００は、乱数ｔ1 ，ｔ2 ，ｕ1 ，ｕ2 ，ｒi,j を生
成する第１の乱数生成手段１０１と、秘密情報ｓ，Ｒよ
り剰余演算ｆを用いて、 Ｉ＝ｆ（ｓ，Ｒ） を生成し、該Ｉを登録する登録手段１１０と、安全係数
をｍとし、剰余演算の法をＮとしたとき、該ｍ、該Ｎで
関係付けられた２つの乱数ｔ1 ，ｔ2 及び、ｕ1 ，ｕ2
及び４つの乱数ｒi,j （ｉ＝１，２；ｊ＝１，２）から
Ｎを法とする剰余演算ｆN を用いて、剰余演算値 Ｔi,j ＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成する剰余演算手段１０３と、検証手段２００から
受信した乱数ｅと第１の乱数生成手段により生成された
ｔ 1 ，ｔ2 を用いて、所定の第１の演算ｈに基づいて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、安全係数ｍ及び剰余演算の法Ｎによ
って定まる一定の範囲に入る方を選択してｙi とする第
１の選択手段１２０と、検証手段２００から受信した乱
数ｅと第１の乱数生成手段１２０により生成された乱数
ｕ1 ，ｕ2 を用いて、所定の第２の演算ｈ’に基づい
て、 ｚ1 ＝ｈ’（ｓ，ｅ，ｕ1 ），ｚ2 ＝ｈ’（ｓ，ｅ，ｕ
2 ） のいずれか一方で、安全係数ｍ及び剰余演算の法Ｎによ
って定まる一定の範囲に入る方を選択してｚj する第２
の選択手段１３０と、剰余演算手段１０３により求めら
れた剰余演算値Ｔi,j 及び、第１の選択手段１２０、第
２の選択手段１３０により取得したｙi ，ｚj 、第１の
乱数生成手段１０１により生成された乱数ｒi,j を検証
情報として検証手段２００に送信すると共に、検証手段
２００からの情報を受信する第１の送受信手段１４０と
を有し、検証手段２００は、乱数ｅを生成する第２の乱
数生成手段２０１と、第２の乱数生成手段２０１により
生成された乱数ｅを証明手段に送信すると共に、前記証
明手段からの情報を受信する第２の送受信手段２１０
と、証明手段１００から受信した検証情報ｙi ，ｚj ，
ｒi,j 、及び剰余演算手段１０３により求められた剰余
演算値Ｔi,j 、登録手段１１０により登録されている
Ｉ、剰余演算の法Ｎ、第２の乱数生成手段２０１により
生成された乱数ｅを所定の検証式ｖに基づいて、 ｖ（ｙi ，ｚj ，ｒi,j ，Ｔi,j Ｉ，ｅ，Ｎ） を満足するかを確認し、満足していれば、証明手段１０
０が秘密情報ｓ，Ｒを保持していることを認証する認証
手段２２０を有する。
【０００８】従来は、基本的な３回のやりとりのプロト
コルにおいて、検証者が証明者に１ビット送るだけであ
るため、安全性を高めるため、繰り返しプロトコルを実
行する必要がある。しかし、本発明では、基本的な３回
のやりとりにおいて、検証者は、証明者にｍビット（例
えば、ｍ＝５０）送ることが可能となり、繰り返し実行
しなくとも、十分な安全性を保証できるため、基本的な
プロトコルを繰り返し実行する必要がない。これによ
り、処理量、通信量を圧倒的に縮小することが可能とな
る。
コルにおいて、検証者が証明者に１ビット送るだけであ
るため、安全性を高めるため、繰り返しプロトコルを実
行する必要がある。しかし、本発明では、基本的な３回
のやりとりにおいて、検証者は、証明者にｍビット（例
えば、ｍ＝５０）送ることが可能となり、繰り返し実行
しなくとも、十分な安全性を保証できるため、基本的な
プロトコルを繰り返し実行する必要がない。これによ
り、処理量、通信量を圧倒的に縮小することが可能とな
る。
【０００９】
【発明の実施の形態】図３は、本発明のシステム構成を
示す。同図に示すシステムは、証明１００と検証者２０
０が通信回線３００等を介して接続している場合を表
す。図４は、本発明の証明者側装置と検証者側装置の構
成を示す。同図において、証明者側装置１００は、乱数
生成器１０１、減算器１０２、剰余演算器１０３、乗算
器１０４、加算器１０５及び比較器１０６より構成され
る。検証者側装置２００は、乱数生成器２０１、剰余演
算器２０３及び比較器２０４より構成される。
示す。同図に示すシステムは、証明１００と検証者２０
０が通信回線３００等を介して接続している場合を表
す。図４は、本発明の証明者側装置と検証者側装置の構
成を示す。同図において、証明者側装置１００は、乱数
生成器１０１、減算器１０２、剰余演算器１０３、乗算
器１０４、加算器１０５及び比較器１０６より構成され
る。検証者側装置２００は、乱数生成器２０１、剰余演
算器２０３及び比較器２０４より構成される。
【００１０】乱数生成器１０１は、乱数ｔ1 ∈［０，２
m Ｎ），ｕ1 ∈［０，２m Ｎ，ｒi, j ∈［０，Ｎ）（ｉ
∈｛１，２｝）を生成する。但し、ｍは安全係数とし、
Ｎは乗算の法（Ｎ＝ｐｑ）（但し、ｐ，ｑは素数）とす
る。減算器１０２は、乱数生成器１０１で生成された乱
数ｔ1 から２m Ｎを減算してｔ2 とし、また、乱数ｔ2
から２m Ｎを減算してｕ2 とする。
m Ｎ），ｕ1 ∈［０，２m Ｎ，ｒi, j ∈［０，Ｎ）（ｉ
∈｛１，２｝）を生成する。但し、ｍは安全係数とし、
Ｎは乗算の法（Ｎ＝ｐｑ）（但し、ｐ，ｑは素数）とす
る。減算器１０２は、乱数生成器１０１で生成された乱
数ｔ1 から２m Ｎを減算してｔ2 とし、また、乱数ｔ2
から２m Ｎを減算してｕ2 とする。
【００１１】剰余演算器１０３は、乱数生成器１０１、
減算器１０２で減算された結果を用いて、 ｆN （ｔi ，ｕj ，ｒi,j ）＝Ｔi,j ＝ｇtiＧa ujＧb
ri,jmod Ｎ による剰余演算を行う。但し、ｇ∈［１，Ｎ）、Ｇa ∈
［１，Ｎ）、Ｇb ∈［１，Ｎ）（また、［１，Ｎ）は、
１以上Ｎ未満の整数の集合を意味するものとする）。
減算器１０２で減算された結果を用いて、 ｆN （ｔi ，ｕj ，ｒi,j ）＝Ｔi,j ＝ｇtiＧa ujＧb
ri,jmod Ｎ による剰余演算を行う。但し、ｇ∈［１，Ｎ）、Ｇa ∈
［１，Ｎ）、Ｇb ∈［１，Ｎ）（また、［１，Ｎ）は、
１以上Ｎ未満の整数の集合を意味するものとする）。
【００１２】乗算器１０４は、秘密情報ｓ，Ｒと、検証
者側装置２００から送信された乱数ｅを用いて、ｓ＊ｅ
及びＲ＊ｅを計算し、加算器１０５に転送する。加算器
１０５は、乗算器１０４で取得した乗算結果ｓｅ及びＲ
ｅを用いて、ｉ＝１，２，ｊ＝１，２に対して以下の計
算を行う。
者側装置２００から送信された乱数ｅを用いて、ｓ＊ｅ
及びＲ＊ｅを計算し、加算器１０５に転送する。加算器
１０５は、乗算器１０４で取得した乗算結果ｓｅ及びＲ
ｅを用いて、ｉ＝１，２，ｊ＝１，２に対して以下の計
算を行う。
【００１３】ｈ（ｓ，ｅ，ｔi ）＝ｙi ＝ｔi ＋ｓｅ， ｈ（Ｒ，ｅ，ｔi ）＝ｚi ＝ｕi ＋Ｒｅ， を計算する。比較器１０６は、ｙ1 ，ｙ2 ，ｚ1 ，ｚ2
中のうち、以下の条件を満足するものを選択し、これを
ｙi ，ｚj とし、ｒi,j と共に検証者装置２００に転送
する。
中のうち、以下の条件を満足するものを選択し、これを
ｙi ，ｚj とし、ｒi,j と共に検証者装置２００に転送
する。
【００１４】ｙi ∈［０，２m Ｎ） ｚj ∈［０，２m Ｎ） 検証者側装置２００は、乱数生成器２０１、剰余演算器
２０３及び比較器２０４より構成される。
２０３及び比較器２０４より構成される。
【００１５】乱数生成器２０１は、乱数ｅ∈［０，
２m ）を生成し、証明者側装置１００に送出する。剰余
演算器２０３は、以下の演算を行う。 ｇyiＧa zjＧb ri,j≡Ｔi,j Ｉe （mod Ｎ） 但し、Ｉは証明者側装置１００により剰余演算により生
成されたｆ（ｓ，Ｒ）であり（Ｉ＝ｆ（ｓ，Ｒ））、公
開されている。
２m ）を生成し、証明者側装置１００に送出する。剰余
演算器２０３は、以下の演算を行う。 ｇyiＧa zjＧb ri,j≡Ｔi,j Ｉe （mod Ｎ） 但し、Ｉは証明者側装置１００により剰余演算により生
成されたｆ（ｓ，Ｒ）であり（Ｉ＝ｆ（ｓ，Ｒ））、公
開されている。
【００１６】比較部２０４は、所定の検証式ｖを用い
て、証明者側装置１００がｓ，Ｒを保持しているかを判
定する。
て、証明者側装置１００がｓ，Ｒを保持しているかを判
定する。
【００１７】
【実施例】以下、図面と共に、本発明の実施例を説明す
る。図５は、本発明の一実施例の秘密保持認証システム
の構成を示す。同図中、図２及び図４と同一構成部分に
は同一符号を付し、その説明を省略する。
る。図５は、本発明の一実施例の秘密保持認証システム
の構成を示す。同図中、図２及び図４と同一構成部分に
は同一符号を付し、その説明を省略する。
【００１８】証明者側装置１００は、乱数生成器１０
１、減算器１０２、剰余演算器１０３、乗算器１０４、
加算器１０５、比較器１０６、送受信部１４０、及びデ
ータ保持部１５０より構成される。送受信部１４０は、
検証者側装置２００に公開情報であるＩを検証者側装置
２００に登録する、剰余演算器で生成された検証情報Ｔ
i,j を送信する、比較器１０６により比較された結果ｙ
i ，ｚj を送信するまたは、検証者側装置２００から乱
数ｅを受信する。
１、減算器１０２、剰余演算器１０３、乗算器１０４、
加算器１０５、比較器１０６、送受信部１４０、及びデ
ータ保持部１５０より構成される。送受信部１４０は、
検証者側装置２００に公開情報であるＩを検証者側装置
２００に登録する、剰余演算器で生成された検証情報Ｔ
i,j を送信する、比較器１０６により比較された結果ｙ
i ，ｚj を送信するまたは、検証者側装置２００から乱
数ｅを受信する。
【００１９】データ保持部１５０は、秘密情報ｓ，Ｒに
加え、公開情報であるＮ，ｇ，Ｇa，Ｇb ，ｍを保持す
る。検証者側装置２００は、乱数生成器２０１、剰余演
算器２０３及び比較器２０４を有する検証部２２０、送
受信部２１０、結果出力部２３０及びデータ保持部２４
０より構成される。
加え、公開情報であるＮ，ｇ，Ｇa，Ｇb ，ｍを保持す
る。検証者側装置２００は、乱数生成器２０１、剰余演
算器２０３及び比較器２０４を有する検証部２２０、送
受信部２１０、結果出力部２３０及びデータ保持部２４
０より構成される。
【００２０】送受信部２１０は、証明者側装置１００か
ら、公開情報、検証情報であるＴi, j 、ｙi ，ｚj を受
信すると共に、証明者側装置１００に乱数ｅを送信す
る。結果出力部２３０は、検証部２２０で検証された結
果を出力する。データ保持部２４０は、公開されている
情報を保持する。
ら、公開情報、検証情報であるＴi, j 、ｙi ，ｚj を受
信すると共に、証明者側装置１００に乱数ｅを送信す
る。結果出力部２３０は、検証部２２０で検証された結
果を出力する。データ保持部２４０は、公開されている
情報を保持する。
【００２１】なお、データ保持部１５０、２４０で保持
されている公開情報は以下の通りである。 ｍ：安全係数 Ｎ：剰余演算の法（＝ｐｑ：但し、ｐ，ｑは素数） ｇ∈［１，Ｎ） Ｇa ∈［１，Ｎ） Ｇb ∈［１，Ｎ） なお、［ｘ，ｙ）は、ｘ以上ｙ未満の整数の集合を意味
する。
されている公開情報は以下の通りである。 ｍ：安全係数 Ｎ：剰余演算の法（＝ｐｑ：但し、ｐ，ｑは素数） ｇ∈［１，Ｎ） Ｇa ∈［１，Ｎ） Ｇb ∈［１，Ｎ） なお、［ｘ，ｙ）は、ｘ以上ｙ未満の整数の集合を意味
する。
【００２２】図６は、本発明の一実施例の秘密保持認証
方法の動作を示すシーケンスチャートである。以下に示
す処理の前提として、システムでは、予め上記に示す公
開情報が公開されているものとする。
方法の動作を示すシーケンスチャートである。以下に示
す処理の前提として、システムでは、予め上記に示す公
開情報が公開されているものとする。
【００２３】ステップ１０１） 証明者側装置１００
は、データ保持部１５０から公開鍵Ｉを以下の剰余演算
により生成し、Ｉを公開する。 ｆ（ｓ，Ｒ）＝Ｉ＝ｇs Ｇa R mod Ｎ なお、上記の剰余演算等については、池野、小山著「現
代暗号理論」電子情報通信学会、等を参照されたい。
は、データ保持部１５０から公開鍵Ｉを以下の剰余演算
により生成し、Ｉを公開する。 ｆ（ｓ，Ｒ）＝Ｉ＝ｇs Ｇa R mod Ｎ なお、上記の剰余演算等については、池野、小山著「現
代暗号理論」電子情報通信学会、等を参照されたい。
【００２４】ステップ１０２） 証明者側装置１００
は、乱数生成器１０１を用いて、乱数ｔ1 ∈［０，２m
Ｎ），ｕ1 ∈［０，２m Ｎ），ｒi,j ∈［０，Ｎ）（ｉ
∈｛１，２｝、ｊ∈｛１，２｝）を生成して、減算器１
０２、剰余演算器１０３を用いて、以下の演算を行う。
は、乱数生成器１０１を用いて、乱数ｔ1 ∈［０，２m
Ｎ），ｕ1 ∈［０，２m Ｎ），ｒi,j ∈［０，Ｎ）（ｉ
∈｛１，２｝、ｊ∈｛１，２｝）を生成して、減算器１
０２、剰余演算器１０３を用いて、以下の演算を行う。
【００２５】ｔ2 ＝ｔ1 − ２m Ｎ， ｕ2 ＝ｕ1 − ２m Ｎ， ｆN （ｔi ，ｕj ，ｒi,j ）＝Ｔi,j ＝ｇtiＧa uj Ｇ
b ri,j mod Ｎ ステップ１０３） 証明者側装置１００の送受信部１４
０は、上記の剰余演算器１０３から出力された結果Ｔ
1,1 ，Ｔ1,2 ，Ｔ2,1 ，Ｔ2,2 をランダムな順序で検証
者側装置２００に送信する。
b ri,j mod Ｎ ステップ１０３） 証明者側装置１００の送受信部１４
０は、上記の剰余演算器１０３から出力された結果Ｔ
1,1 ，Ｔ1,2 ，Ｔ2,1 ，Ｔ2,2 をランダムな順序で検証
者側装置２００に送信する。
【００２６】ステップ１０４） 検証者側装置２００の
乱数生成器２０１は、乱数ｅ∈［０，２m ）を生成し
て、送受信部２１０を介して証明者側装置１００に送信
する。 ステップ１０５） 証明者側装置１００は、ｉ＝１，
２、ｊ＝１，２に対して乗算器１０４、加算器１０５を
用いて、ｈ，ｈ’の計算を行う。
乱数生成器２０１は、乱数ｅ∈［０，２m ）を生成し
て、送受信部２１０を介して証明者側装置１００に送信
する。 ステップ１０５） 証明者側装置１００は、ｉ＝１，
２、ｊ＝１，２に対して乗算器１０４、加算器１０５を
用いて、ｈ，ｈ’の計算を行う。
【００２７】ｈ（ｓ，ｅ，ｔi ）＝ｙi ＝ｔi ＋ｓｅ， ｈ’（Ｒ，ｅ，ｕj ）＝ｚj ＝ｕj ＋Ｒｅ 上記で求められたｙ1 ，ｙ2 ，ｚ1 ，ｚ2 の中で、比較
器１０４を用いて、 ｙi ∈［０，２m Ｎ） ｚi ∈［０，２m Ｎ） を満足するものを選択する。選択されたものをｙi ，ｚ
j とする。
器１０４を用いて、 ｙi ∈［０，２m Ｎ） ｚi ∈［０，２m Ｎ） を満足するものを選択する。選択されたものをｙi ，ｚ
j とする。
【００２８】ステップ１０６） 送受信部１４０は、選
択されたｙi ，ｚj 及び、乱数ｒi, j を検証者側装置２
００に送信する。また、上記のステップ１０３において
ランダムな順序で送信した４つのＴ1,1 ，Ｔ1,2 ，Ｔ
2,1 ，Ｔ2,2 の中で何番目のものがＴi,j に相当するか
を示す情報も送信する。
択されたｙi ，ｚj 及び、乱数ｒi, j を検証者側装置２
００に送信する。また、上記のステップ１０３において
ランダムな順序で送信した４つのＴ1,1 ，Ｔ1,2 ，Ｔ
2,1 ，Ｔ2,2 の中で何番目のものがＴi,j に相当するか
を示す情報も送信する。
【００２９】ステップ１０７） 検証者側装置２００
は、証明者側装置１００から受信した情報に基づいて剰
余演算器２０２と比較器２０４を用いて、以下の検証式
を満足するか否かを判定する。 ｇyiＧa zjＧb ri,j≡Ｔi,j Ｉe （mod Ｎ） 検証者側装置２００は、上記の式を満足する、つまり合
格すれば、証明者が秘密情報ｓ，Ｒを保持していると認
証する。
は、証明者側装置１００から受信した情報に基づいて剰
余演算器２０２と比較器２０４を用いて、以下の検証式
を満足するか否かを判定する。 ｇyiＧa zjＧb ri,j≡Ｔi,j Ｉe （mod Ｎ） 検証者側装置２００は、上記の式を満足する、つまり合
格すれば、証明者が秘密情報ｓ，Ｒを保持していると認
証する。
【００３０】なお、検証処理においては、 ｖ（ｙi ，ｚj ，ｒi,j ，Ｔi,j Ｉ，ｅ，Ｎ） ＝ｇyi Ｇa zj Ｇb ri,j−Ｔi,j Ｉe （mod Ｎ） ＝０ という検証式を用いて確認してもよい。
【００３１】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内で種々変更・応用が可能
である。
ることなく、特許請求の範囲内で種々変更・応用が可能
である。
【００３２】
【発明の効果】例えば、従来のDamgrdらの方法では、基
本的な３回のやりとりにおいて、証明者及び検証者のそ
れぞれの計算量は、べき乗剰余演算を少なくとも２回行
う必要があるため、繰り返し回数を４０回とした場合、
べき乗剰余演算を少なくとも４０回行う必要がある。
本的な３回のやりとりにおいて、証明者及び検証者のそ
れぞれの計算量は、べき乗剰余演算を少なくとも２回行
う必要があるため、繰り返し回数を４０回とした場合、
べき乗剰余演算を少なくとも４０回行う必要がある。
【００３３】上述のように、本発明の秘密保持認証方法
及びシステムによれば、証明者、検証者のいずれでも、
べき乗剰余演算の回数は２回程度である。従って、従来
の方式に比べ、数１０倍高速で、かつ同時に通信量が数
１０分の１になる。
及びシステムによれば、証明者、検証者のいずれでも、
べき乗剰余演算の回数は２回程度である。従って、従来
の方式に比べ、数１０倍高速で、かつ同時に通信量が数
１０分の１になる。
【図１】本発明の原理を説明するための図である。
【図２】本発明の原理構成図である。
【図３】本発明のシステム構成図である。
【図４】本発明の証明者側装置と検証者側装置の構成図
である。
である。
【図５】本発明の一実施例の秘密保持認証システムの構
成図である。
成図である。
【図６】本発明の一実施例の秘密保持認証方法の動作を
示すシーケンスチャートである。
示すシーケンスチャートである。
１００ 認証手段、認証者側装置 １０１ 第１の乱数生成手段、乱数生成器 １０２ 減算器 １０３ 剰余演算手段、剰余演算器 １０４ 乗算器 １０５ 加算器 １０６ 比較器 １１０ 登録手段 １２０ 第１の選択手段 １３０ 第２の選択手段 １４０ 第１の送受信手段、送受信部 １５０ データ保持部 ２００ 検証手段、検証者側装置 ２０１ 乱数生成器 ２０３ 剰余演算器 ２０４ 比較器 ２１０ 送受信部 ２２０ 認証手段、認証部 ２３０ 結果出力部 ２４０ データ保持部
Claims (2)
- 【請求項１】 登録された秘密情報を保持していること
を示す認証方法において、検証者が秘密情報保持者であ
る証明者の秘密情報を認証する秘密保持認証方法におい
て、 前記証明者は、ある秘密情報ｓ，Ｒより剰余演算ｆを用
いて Ｉ＝ｆ（ｓ，Ｒ） を生成し、Ｉを公開（登録）し、 前記証明者は、安全係数ｍとし、剰余演算の法をＮとし
たとき、該ｍ、該ｎで関係付けられた２つの乱数ｔ1 ，
ｔ2 及び、同様に、該ｍ、該Ｎで関係付けられた乱数ｕ
1 ，ｕ2 及び、４つの乱数ｒi,j （ｉ＝１，２； ｊ＝
１，２）を生成し、 前記乱数からＮを法とする剰余演算ｆN を用いて、４つ
の値 Ｔij＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成し、生成された値を前記検証者に送信し、 前記検証者は、ｍビットの乱数ｅを前記証明者に送信
し、 前記証明者は、演算ｈを用いて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、前記ｍ及び前記Ｎによって定まる一
定の範囲に入る方を選択し、ｙi とし、 演算ｈ’を用いて、 ｚ1 ＝ｈ’（Ｒ，ｅ，ｕ1 ） ｙ2 ＝ｈ’（Ｒ，ｅ，ｕ2 ） のいずれか一方で、前記ｍ及び前記Ｎによって定まる一
定の範囲に入る方を選択し、ｚj とし、（ｙi ，ｚj ，
ｒi,j ）を検証者に送信し、 前記検証者は、検証式ｖを用いて、ｖ（ｙi ，ｚj ，ｒ
i,j ，Ｔi,j ，Ｉ，ｅ，Ｎ）＝０を満足していれば、前
記証明者が前記秘密情報ｓ，Ｒを保持していると認証す
ることを特徴とする秘密保持認証方法。 - 【請求項２】 登録された秘密情報を保持していること
を示す認証システムにおいて、証明手段（秘密情報保持
者）と、該証明手段の秘密情報を認証する検証手段から
なる秘密保持認証システムであって、 前記証明手段は、 乱数ｔ1 ，ｔ2 ，ｕ1 ，ｕ2 ，ｒi,j を生成する第１の
乱数生成手段と、 秘密情報ｓ，Ｒより剰余演算ｆを用いて、 Ｉ＝ｆ（ｓ，Ｒ） を生成し、該Ｉを登録する登録手段と、 安全係数をｍとし、剰余演算の法をＮとしたとき、該
ｍ、該Ｎで関係付けられた２つの乱数ｔ1 ，ｔ2 及び、
ｕ1 ，ｕ2 及び４つの乱数ｒi,j （ｉ＝１，２；ｊ＝
１，２）からＮを法とする剰余演算ｆN を用いて、剰余
演算値 Ｔi,j ＝ｆN （ｔi ，ｕj ，ｒi,j ） を生成する剰余演算手段と、 前記検証手段から受信した乱数ｅと前記第１の乱数生成
手段により生成されたｔ1 ，ｔ2 を用いて、所定の第１
の演算ｈに基づいて、 ｙ1 ＝ｈ（ｓ，ｅ，ｔ1 ），ｙ2 ＝ｈ（ｓ，ｅ，ｔ2 ） のいずれか一方で、安全係数ｍ及び剰余演算の法Ｎによ
って定まる一定の範囲に入る方を選択してｙi とする第
１の選択手段と、 前記検証手段から受信した乱数ｅと前記第１の乱数生成
手段により生成された乱数ｕ1 ，ｕ2 を用いて、所定の
第２の演算ｈ’に基づいて、 ｚ1 ＝ｈ’（ｓ，ｅ，ｕ1 ），ｚ2 ＝ｈ’（ｓ，ｅ，ｕ
2 ） のいずれか一方で、前記安全係数ｍ及び前記剰余演算の
法Ｎによって定まる一定の範囲に入る方を選択してｚj
する第２の選択手段と、 前記剰余演算手段により求められた剰余演算値Ｔi,j 及
び、前記第１の選択手段、前記第２の選択手段により取
得したｙi ，ｚj 、前記第１の乱数生成手段により生成
された乱数ｒi,j を検証情報として前記検証手段に送信
すると共に、前記検証手段からの情報を受信する第１の
送受信手段とを有し、 前記検証手段は、 乱数ｅを生成する第２の乱数生成手段と、 前記第２の乱数生成手段により生成された前記乱数ｅを
前記証明手段に送信すると共に、前記証明手段からの情
報を受信する第２の送受信手段と、 前記証明手段から受信した前記検証情報ｙi ，ｚj ，ｒ
i,j 、及び前記剰余演算手段により求められた剰余演算
値Ｔi,j 、前記登録手段により登録されているＩ、剰余
演算の法Ｎ、前記第２の乱数生成手段により生成された
前記乱数ｅを所定の検証式ｖに基づいて、 ｖ（ｙi ，ｚj ，ｒi,j ，Ｔi,j Ｉ，ｅ，Ｎ） を満足するかを確認し、満足していれば、前記証明手段
が秘密情報ｓ，Ｒを保持していることを認証する認証手
段を有することを特徴とする秘密保持認証システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11099796A JP3435472B2 (ja) | 1996-05-01 | 1996-05-01 | 秘密保持認証方法及びシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11099796A JP3435472B2 (ja) | 1996-05-01 | 1996-05-01 | 秘密保持認証方法及びシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09298538A true JPH09298538A (ja) | 1997-11-18 |
| JP3435472B2 JP3435472B2 (ja) | 2003-08-11 |
Family
ID=14549789
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP11099796A Expired - Fee Related JP3435472B2 (ja) | 1996-05-01 | 1996-05-01 | 秘密保持認証方法及びシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3435472B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001136162A (ja) * | 1999-11-09 | 2001-05-18 | Kyocera Corp | 移動無線通信システムにおける認証方法 |
| JP2002502186A (ja) * | 1998-01-30 | 2002-01-22 | サーティコム コーポレーション | １方向認証通信システム |
-
1996
- 1996-05-01 JP JP11099796A patent/JP3435472B2/ja not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002502186A (ja) * | 1998-01-30 | 2002-01-22 | サーティコム コーポレーション | １方向認証通信システム |
| JP2001136162A (ja) * | 1999-11-09 | 2001-05-18 | Kyocera Corp | 移動無線通信システムにおける認証方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3435472B2 (ja) | 2003-08-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9967239B2 (en) | Method and apparatus for verifiable generation of public keys | |
| US8856524B2 (en) | Cryptographic methods, host system, trusted platform module, computer arrangement, computer program product and computer program | |
| JP5201136B2 (ja) | 匿名認証システムおよび匿名認証方法 | |
| US7590850B2 (en) | Digital signature method based on identification information of group members, and method of acquiring identification information of signed-group member, and digital signature system for performing digital signature based on identification information of group members | |
| JP5205398B2 (ja) | 鍵認証方式 | |
| US8661240B2 (en) | Joint encryption of data | |
| Camenisch | Better privacy for trusted computing platforms | |
| CN110545279A (zh) | 兼具隐私和监管功能的区块链交易方法、装置及系统 | |
| US20110264917A1 (en) | Method for two step digital signature | |
| KR20040099943A (ko) | 컨텐츠 사용자 인증 시스템 및 방법 | |
| JP3513324B2 (ja) | ディジタル署名処理方法 | |
| JP4679163B2 (ja) | デジタル署名情報生成装置、デジタル署名情報生成方法及びプログラム | |
| CN114978622A (zh) | 一种基于区块链和零知识证明的匿名凭证验证方法及系统 | |
| JPH11234263A (ja) | 相互認証方法および装置 | |
| JP5004086B2 (ja) | 短い系列を用いた認証システム | |
| JPH09298538A (ja) | 秘密保持認証方法及びシステム | |
| JP4354808B2 (ja) | 公開鍵を用いた暗号化タスク実行方法 | |
| JP5099771B2 (ja) | 二要素認証システム | |
| JP4629889B2 (ja) | 検証可暗号方法、その装置、そのプログラム及びその記録媒体 | |
| JPH09200198A (ja) | メッセージ認証システム | |
| Kiyomoto et al. | Design of anonymous attribute authentication mechanism | |
| CN113014399A (zh) | 针对资源受限装置的配对运算方法及系统 | |
| Zhu et al. | Efficient anonymous sever-supported signature protocol based on multipath hash chain | |
| JPH09204142A (ja) | 範囲認証方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090606 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |