JPH10506727A - 特にスマートカードのための、電子的署名を生成する方法 - Google Patents

Abstract

(57)【要約】 この発明は、電子的メッセージに対してディジタル署名を生成する方法に関する。この発明では、ＤＳＡ（digital Signature Algorithms）のような署名生成アルゴリズムを変更することにより、スマートカードに計算及び記憶資源の減少をもたらして、このような減少にも拘わらず、高度の機密保護性をもってディジタル署名を生成することができる。署名検証端末は、ランダム数ａを送り、このランダム数を用いる信号を返送するのにカードによりとられる時間を計測する。この時間が所定時間より長い場合は、たとえ認証管理部が肯定的であっても、署名が排除される。さらに、署名の一部（秘密カードキーを使用するだけでなく公開アルゴリズムパラメータを使用する部分）は、予め計算され、その部分を短くするような圧縮関数により生成される署名部分の形式でカードに格納される。署名第２の部分だけは、カードにより計算されなければならない。この発明によると、計算が単純に行われるので、カードには大きい計算及びメモリ資源が必要とされないようになっている。

Description

【発明の詳細な説明】 特にスマートカードのための、電子的署名を生成する方法 〔発明の属する技術分野〕 本発明は、電子的メッセージのためのディジタル署名（サイン）を生成する方 法にに関する。 この方法は、特に、マイクロプロセッサベースのスマートカード形の携帯可能 な装置によりメッセージに署名するのに適用することができる。 例えば、カードによって読取り端末又は中央認証管理部に送られるメッセージ に署名するのが必要になることがある。或いは、取引（電子小切手取引）を実行 し、この取引に署名して、この取引がまず最初に読取り端末によって認証される ようにする必要があることもあり、その取引は、読取り端末で行われそれから中 央認証管理部により管理される。 〔従来の技術〕 これから説明する方法は、特に、アメリカ合衆国国立標準技術研究所（ＵＳ N ational Institute of Standard and Technology）により、近年発行されたディ ジタル署名の生成アルゴリズムに関係しており、このアルゴリズムは、例えば、 米国特許出願第07/ 738431号に記載されており、そして、前記研究所により記録 された連邦登録（Federal Register）の第 42980-42982頁にて1991年８月30日に 公表されているＤＳＡ（ディジタル署名アルゴリズム= Digital Signature Argo rithm）のようなものである。 〔発明が解決しようとする課題〕 本発明の目的は、このような公知の方法を変更して、特に、数学的演算を大き い数値について高速に実行するのに十分な物理的資源（プロセッサ、メモリ）を 備えていないプロマイクロプロセッサベースのカードに適した方法にすることに ある。公知のアルゴリズム、特に、ＤＳＡのアルゴリズムは、大きい数値を用い て、十分な機密保護性をもつ署名を生成させるようにしている。 本発明を明確に理解するために、まず最初に、ＤＳＡのアルゴリズムがどのよ うなものであるかを再述してみよう。 ＤＳＡの署名は、コンピュータ内で２進ディジット（数）の長いストリング（ 列）（160ディジット）により表現される大きい数値の対｛ｒ，ｓ｝から成って いる。このようなディジタル署名は、このアルゴリズムにより規定される一連の 計算規則を用いて計算され、これらの計算には一組のパラメータが使用される。 この署名によって、〔この署名により署名者（signataire= 「署名するもの」と いう意味）に固有の秘密（secret）キーが作動させられる理由から〕署名者の同 定、及び、〔この署名によりメッセージそれ自体が作動させされる理由から〕署 名されたメッセージの完全性の双方を証明することを可能にする。このアルゴリ ズムによって、先ず署名を生成し、次に署名を検証する。 ＤＳＡ署名の生成により秘密キーが作動させられ、検証により、秘密キーに対 応するが秘密キーと同一ではない公開（publique）キーが作動させられる。各ユ ーザは、一対のキー｛（秘 密），（公開）｝を有している。公開キーは、秘密キーが漏れない限り全ての人 が知ることはできない。誰でも、或るユーザの公開キーを利用することによって このユーザの署名を検証する能力をもっているが、秘密キーのプロセッサは、キ ー対に対応する署名を生成するだけである。 ＤＳＡパラメータは次のとおりである： 512〜1024の範囲にあるＬに対して２^L-1＜ｐ＜２^L（制限を含む）、且つ、任 意の整数に対してＬ＝６４ａであるような主要な数ｐ、 ２¹⁵⁹＜ｑ＜２¹⁶⁰であり、（ｐ−１）がｑの倍数であるような主要な数ｑ、 次のような関係にある「ｑモジュロｐ」位の（d'ordre q modulo p）の数ｇ； ｇ ＝ ｈ^(P-1)/q modulo ｐ ここで、ｈは、 １＜ｈ＜ｐ−１ 且つ ｇ＞１ を検証する任意の整数である。 ランダム的に、又は、擬似ランダム的に生成される数ｘ（これは、秘密キーで あり、所定のユーザに対して固定される）、 次の関係により定義される数ｙ（これは、公開キーであり、秘密キーに連継さ れる）； ｙ ＝ ｇ^x modulo ｐ なお、本明細書では、「モジュロｐ」又は「モジュロｑ」のようなモジュロ演算 は、以下、夫々「mod ｐ」又は「mod ｑ」のように示される。 整数ｐ，ｑ，ｇは、ユーザグループごとに公開乃至分割される。署名者の秘密 キー及び公開キーは、夫々ｘ及びｙである。 ランダムなパラメータｋは、新しい署名のそれぞれに対して再生成させられる。 パラメータｘ，ｙは、署名の生成のために使用されるが、秘密状態が維持されな ければならない。 メッセージｍ〔これは、一般に、初期ファイルのハッシュされた値（valeur h achee）になる〕に署名するために、署名者は次式によって署名を計算する： ｒ ＝（ｇ^k mod ｐ） mod ｑ かつ、ｓ ＝（ｍ＋ｘｒ）／ｋ mod ｑ （ここで、ｋによる除算は、モジュロｑであるようになされる。即ち、１／ｋ は、ｋｋ’＝１ mod ｑとするような数ｋ’となる、例えば、ｑ＝５，ｋ＝３の 場合、「１ mod ５」を与える３×２＝６に対して、１／ｋ＝２となる。） ｒ及びｓがゼロでないことが検査された後、署名｛ｒ，ｓ｝は、検証者（Veri fieur = 「検証するもの」という意味）に送られる。この検証者は、一般に、メ ッセージｍ及び署名｛ｒ，ｓ｝を送るスマートカードが挿入される端末である。 この検証者は、ｐ，ｑ及びｇ（これらは、適用業務に関係する）、並びに、ｍ（ 端末がカードから受けたメッセージ）を知ることであり、次の計算を行う： ａ． ｗ ＝（１／ｓ） mod ｑ ｂ． ｕ１＝ ｍｗ mod ｑ ｃ． ｕ２＝ ｒｗ mod ｑ ｄ． ｖ ＝［ｇ^u1・ｙ^u2 mod ｐ］mod ｑ そこで、この値「［ｇ^u1・ｙ^u2 mod ｐ］mod ｑ」は、ｓが値「（ｍ＋ｘｒ） ／ｓ mod ｑ」をもつ場合、精確に、ｒに等しい。 従って、端末は、ｒ及びｓを受け、ｖが実際にｒに等しくて 署名を受容すべきであるのか、さもなくて、排除すべきであるのかを確かめる。 以下において、「署名者」又は署名者ユニット又は供給装置又はスマートカー ドという用語は、署名を送り出す装置、そして、一般的にはスマートカードにな るであろう装置を示すのに無差別に用いられる。また、「検証者」又は検証者ユ ニット又は検証者装置又は検証者端末又は認証管理部という用語は、署名を受け てその署名を検証し取引又はメッセージを受容するか或いは排除する装置を示す のに無差別に用いられる。本発明の最も単純な適用形態は、カードが挿入された 読取り端末にスマートカードを用いて署名を送ると共に、この端末が検証操作を 実行し中央認証管理部に接続されるか或いは接続されなくすることである。 本発明の目的の一つは、生成の機密保護機能及び電子的ディジタル署名の検証 機能を増大させると共に、署名を生成するためにスマートカードに内蔵させなけ ればならない計算及び記憶手段を最小化することにある。 特に、８ビットマイクロプロセッサでは大きい数値を容易に処理することがで きないという事実に拘わらず、カードには、パワーフルで高価というよりはむし ろ低コストの８ビットマイクロプロセッサを使用することができるのが望ましい 。しかしながら、このことは、機密保護を犠牲にしてなされるべきではない。 〔課題を解決するための手段〕 本発明は、第一の大きな局面に従うと、署名者（カード）に より送られる署名の検証者（端末）による検証が、データ（主として、ランダム なデータ）が検証者によって署名者（カード）に送られる時間と（このランダム なデータを使用する）署名が検証者に戻ってくる時間との間に経過する期間の時 間を決定するステップを用いることを提案するものである。経過した時間の長さ が過剰である場合は、署名者による署名の計算処理が異常になされていることを 意味し、署名は、その真実性が検証者により確認されている場合でさえ、排除さ れる。 間接的には、この解決法によって、薯名の同一機密保護を維持すると同時に、 スマートカードにおいて（計算及び記憶のパワーの点で）小さい物理的資源を使 用することができることが分かるであろう。小さい資源に伴って、署名の生成及 び検証の方法を変更する必要が必然的に生じるが、これは機密保護の犠牲につな がる。本発明による時間決定ステップによって、十分なレベルの機密保護性が回 復される。 この解決法は、先に再述したＤＳＡアルゴリズムから得られるアルゴリズムに 基づいて詳しく説明することになるが、本発明の第一の局面が、ＤＳＡアルゴリ ズムと非常に異なっている他のアルゴリズムとでさえ適用可能であるということ を理解されたい。 簡単にいうと、本発明の第一の局面を構成する電子的署名方法は、検証者ユニ ットにより送られたランダムなデータを使用して署名を計算する署名者ユニット によって、ディジタル署名を生成すること、及び、送られた署名及びランダムな データを作動させる数学的な条件が満たされていることを確かめる検証者によっ て、この署名を検証することから成っており、署名者により検証者に送られる署 名の検証は、さらに、ランダムなデ ータが検証者によって署名者に送られる時間と、署名者による計算後、このラン ダムなデータを使用する署名が検証者に戻ってくる時間との間に経過する期間の 時間を決定するステップを用いており、経過した時間が所定の閾値を下回ってい る場合であって、しかも、数学的条件が検証された場合に、署名が受容されるこ とを特徴としている。 好ましくは、使用されるアルゴリズムは、署名の生成が、２つの値｛ｒ，ｓ｝ （ここで、ｓは、ｒ及び秘密キーｘに基づいて計算される）を創り出し、署名｛ ｒ，ｓ｝の検証が、ｒと、ｒ及びｓの関数ｆとの間の均等性ｖ＝ｆ（ｒ，ｓ）＝ ｒの検証で成るタイプのものである。それから、本発明によると、秘密キーにつ いて知識がないときこの均等性に基づいて行われる或る値ｓの探索の期間が、た とえパワーフルなコンピュータにより実行される場合でさえ、ｒ及び秘密キーに 基づいてカードにより行われる値ｓの計算及び伝送の期間−このケースは、カー ドに低価格のマイクロプロセッサ（例えば、２０ＭＨｚ８ビットマイクロプロセ ッサ）が使用される場合でさえある−より、はるかに大きくなるように、関数ｆ が十分に複雑な（complexe）ものに選択されるようになっている。それで、前記 時間選定により時間条件の精確な選択を行うことによって、秘密キーについて知 識がないときこの条件が満たされること、特に、均等性ｒ＝ｆ（ｒ，ｓ）をもと にしたｓの探索によりこの条件が満たされることが分かる。 実際には、関数ｆ（ｒ，ｓ）は、また、この関数をｆ（ｒ，ｓ，ｍ）で表すこ とができるように署名操作を行うために、メッセージｍをも作動させる。 好ましくは、関数ｆは、数学的計算及びそれに後続する複雑 なハッシュ関数から成る。署名ｒの第１部分は、他の数学的計算及びそれに後続 する同一の複雑なハッシュ関数によって確立される。 この複雑なハッシュ関数は、以下に述べるように、複雑な圧縮関数であること が好ましく、この圧縮関数によって、実行される数学的計算により得られるビッ トストリング長の減少をもたらされる。 想起されるのは、ハッシュ関数は、所定の長さをもつ文字ストリングを、同一 の長さ又は異なる長さをもつ別の文字ストリングに基づいて取得するために用い ることができる２進ストリングを論理的に処理する関数であることである。複雑 なハッシュ関数は、複数のハッシュ演算を含むハッシュ的乃至数学的な諸計算か らなる一連の演算により得ることができる。最終的に圧縮が得られるのは、結果 的として、モジュロ値 modulo ２^e（ここで、ｅは最終的所望ストリング長であ る）をとることによる。 さらに、本発明の別の主要な局面によると、署名操作により２つの数ｒ，ｓが 作動させられ、送られるべきメッセージ及びカードの秘密キーが数ｓのみで作動 させられるタイプのディジタル署名操作アルゴリズムにおいて、スマートカード 内で最小数の処理を行う新規な解決法が提供される。 本発明のこの第２の局面は、フランス国特許出願第93 14466号に記載されてい る署名生成方法の改良である。この特許出願には、このタイプの（ＤＳＡがその 例になっている）アルゴリズムにおいて、数ｒが、カードにより送られるメッセ ージｍにもカードに内蔵される秘密キーにも依存しないことが記載され ている。この数が依存するのは、考慮されている適用業務のために非変化である 数、及び、ランダムな数だけであり、これらの数は、例えば、ＤＳＡアルゴリズ ムにおけるｇ，ｐ，ｑ及びｋである。それで、カードによりｒの計算を行うこと が不要になっているが、それは実質的な計算時間量を消費するからである。むし ろ、ｒｉで表される一連のｎ個の可能な値ｒ（ここで、ｉは１〜ｎの範囲の指標 である）を、認証された中央認証管理部により前もって計算するようになされる 。値ｒｉは、カードに格納されている。カードを新たに使用するごとに、値の１ つｒｉが用いられる（そして、好ましくは、この値はもはや次のときには用いら れない）。署名操作の際には、カードによって、値ｒｉとメッセージｍの秘密キ ーｘとに基づいて署名ｓの他の部分だけが計算され、それから、考慮されている アルゴリズムにより予定された手法でそのとき検証者が検証することができる署 名を表す対｛ｒ，ｓ｝及びメッセージｍが、検証者に送られる。 数ｒｉは、「署名クーポン」（coupons de signature）とも呼ばれる予め計算 された認証書である。これらの数は、送られるべき署名のみの一部分を形成し、 前もってカードに準備され格納することができる。指標ｉは、所定の署名操作の 期間中に用いられる署名クーポンを表す。 しかしながら、難題の一つとして、これらの署名クーポンが非常に大きい長さ （上述したＤＳＡアルゴリズムでは１６０ビット）をもつということがある。こ れらの署名クーポンは、カード内の不揮発性メモリの大部分の空間を占める。限 られたサイズの不揮発性メモリしか使用可能でない場合には、カード内にそれら のの大きい数を保管することは不可能である。さらに、 これらの署名クーポンは、８ビットマイクロプロセッサの採用に伴って非常な長 さの計算時間を必要とするが、これは、これらの数を小さく細片的に探索する必 要があるからである。しかし、より小さい署名クーポンが使用され格納される場 合には、署名の認証の保証が更に低下するというリスクが生じることになる。 ここに説明される本発明によると、より小さい署名クーポンｒｉを使用すると 共に、併せて認証の保証を配慮することができる。 従って、本発明は、ディジタル署名アルゴリズムを用いて、署名者ユニットに より電子的署名を生成し検証者ユニットにより検証する方法であって、このディ ジタル署名アルゴリズムでは、署名者により送られる署名は、少なくとも１つの 署名クーポンｒｉ、並びに、署名クーポンｒｉ及びカードの秘密キーｘに基づい て計算される１つの署名補数ｓから成っており、このアルゴリズムは、検証者に より次の形の検証式 ｖ ＝ ｆ（ｒｉ，ｓ） ＝ ｒｉ を用いることによって署名の検証を可能にする方法において、 ａ．署名クーポンは、認証管理部により次の２つのステップにて前もって確立さ れ： （１）数学式を用いて大きな２進数を作動させことによって、長い２進ストリ ングで表現される数を計算するステップ、及び、 （２）この結果の長さを大幅に減少する複雑な圧縮関数によって、この計算結 果を変更するステップ、 ｂ．短い長さをもつ一連の異なる署名クーポンが、このようにして前もって準備 され、そして、署名者ユニット（メモリ及びマイクロプロセッサを備えるスマー トカード）に格納され、 ｃ．署名生成は、クーポンｒｉ、並びに、少なくともｒｉ及びｘに基づいて計算 された署名補数ｓを送ることでなり、 ｄ．署名検証アルゴリズムは、数学的計算、及び、この数学的計算に後続し、ク ーポンを準備するのに用いられたその一つに応じた同一の複雑な圧縮関数より成 り、その結果が、署名検証のためにクーポンと比較される ことを特徴とする方法を提案するものである。 圧縮関数は、好ましくは、十分に長い計算時間を要求する複雑なハッシュ関数 である。これによって、署名の生成及び検証の方法に大きい機密保護性が与えら れる。それ故、署名の認証を効果的に保証するという利点は、小さいサイズのク ーポンのカードに保管する可能性に、従って、これらの多くのクーポンを保管す る可能性に結びつく。さらに、上述した時間選定が用いられる場合には、認証の 保証を格段に許可することができることが分かる。 さらに、次の特性を１つ以上によって、機密保護を改良することができる： クーポンｒｉを計算するための式は、好ましくは、カードにより最初に生成さ れ、クーポンｒｉが署名を確立するのに用いられるときに再使用されるために、 カード内に格納されるランダムな数Ｊに基づいて確立される。 署名の生成を活性化するために、検証者端末によって、ランダムな数がカード に送られ、それから、タイマが活性化される状況を用意することができる。そし てまた、署名補数を確立するのに、必然的に、このランダムな数ａを使用するこ と、及び、署名の検証にもこのランダムな因子ａが必要とされることも理解する ことができる。 署名補数ｓは、好ましくは、メッセージ及びこのランダムな因子ａのハッシュ 関数ＳＨＡ（ｍ，ａ）を作動させる計算によって確立され、同一のハッシュ関数 が署名検証のために用いられる。 署名補数ｓは、好ましくは、カードに格納されており、署名クーポンを確立す るのに使用されたランダムな数Ｊを作動させる計算によって確立される。さらに 、このｓの計算によって、このランダムな数Ｊ、及び、使用されるクーポンの数 を表す指標ｉに関するハッシュ関数ＳＨＡ（ｘ，Ｊ，ｉ）を作動させるのが好ま しいが、これは、それ以前に、対応するクーポンの計算に用意された長い２進ス トリングの計算期間中に使用された同一のハッシュ関数である。また、このハッ シュ関数によりカードの秘密キーｘを作動させることが好ましい。 署名関数ｓは、好ましくは、クーポンのハッシュ関数ＳＨＡ（ｒｉ）を作動さ せる計算によって確立されるが、これは、署名検証のために使用された同一のハ ッシュ関数ＳＨＡ（ｒｉ）である。また、このハッシュ関数によりカードの秘密 キーｘを作動させることが好ましい。 それで、本発明の特別の局面によると、署名者ユニットによりメッセージのデ ィジタル署名を生成し検証者ユニットによりこれらの署名を検証する方法であっ て、署名者ユニットは、データの計算、通信及び保持を行うための手段であって 、少なくとも１つの電気的にプログラム可能な不揮発性メモリを備える手段を具 備し、不揮発性メモリには、検証者ユニットに従って、署名クーポンｒｉを構成 する暗合化データが用意されており、署名クーポンが、不揮発性メモリ内にロー ディングされており メッセージに署名するために署名者により使用される方法において、 クーポンは、メモリにローディングされる前に、ハッシュ関数とも呼ばれる圧 縮関数の適用によって認証管理部により圧縮されること、並びに、 署名により認証されなければならないメッセージｍが伝送され、 署名者はクーポンｒｉを署名者に送り、 署名者は、ランダムな数を署名者に送り、そして、タイマを活性化し、 署名者は、メッセージの署名ｓを計算し、そして、この署名を検証者に送り、 検証者は、この署名が、カード内に保持された秘密キー及びクーポンｒｉによ って得られたことを確かめ、この検証が次の等式 ｖ ＝ ｆ（ｒｉ，ｓ，ｍ） ＝ ｒｉ を検証することによってなされ、 検証者は、検証条件ｖ＝ｒｉが満たされている場合で、しかも、計測された時 間が予め決定された割当て時間を超過していない場合に、署名を受容する という諸交換により成ること を特徴とする方法が提案される。 説明を簡単にするために、以下の説明においては、特に、カードを署名者とし て扱うものとする。 〔図面の簡単な説明〕 本発明の他の特徴及び利点は、添付した次の図面にを参照してなされる以下の 詳細な説明によって、明らかになるだろう： 図１は、本発明により提案されるシステムを実装するカードのフローチャート を示し、 図２は、クーポン使用時にカードと端末との間で伝送されるデータを示し、 図３は、本発明により提案されるシステムを実装する端末のフローチャートを 示し、 図４は、クーポンのローディング及びｎ個のクーポンのローディング後カード のメモリの組織化のステップの期間中に、カードと認証管理部との間で伝送され るデータを示す。 〔発明の実施の形態〕 導入部において行った説明から、本発明の方法に従って予め計算された署名ク ーポンの主たる利点が、単純な８ビットマイクロプロセッサをベースにしたカー ドによる署名の計算が速いこと、及び、格納されるクーポンによるメモリ占有率 が低いことにあるということが理解されよう。典型的には、署名計算は、伝送時 間を含めて、およそ300 ｍｓで行われ、各クーポンは、ＥＰＲＯ又はＥＥＰＲＯ Ｍタイプメモリの２〜４バイトを使用している。 本発明はこの実施例で説明されるが、これは、最大の利点が得られる場合でさ え、単なる例に過ぎないことが了解されるよう。 署名生成のための方法は、このケースでは、明確に区別される２つのステップ に小分けすることができる。つまり、カードを発行した認証管理部によるクーポ ンのローディングすること、 及び、その後、端末がカードの秘密キーｘを知らない前に、カードにより、これ らのクーポンを使用することである。 この２つのステップには、ここでは、２つの異なるタイプのハッシュ関数が使 用される。或る数のハッシュ化のための関数は、ビットストリングにより表現さ れ、初期ストリングの長さと同じであるか或いは同じでなくてよい特定の長さを もつ別のビットストリングの生成で成っており、この生成は、初期ストリングの ビットグループ上に実行される論理関数に基づいて行われる。 或るストリングｃｈのハッシュ化のためには、ＳＨＡ（ｃｈ）で表される単純 なハッシュ関数が使用される。これらの関数は、最近の米国の標準ＳＨＡ（Secu re Hash Algorithm - FIB PUBXX，1993年２月１日、“Digital Signature Stand ard”より）で公表されたもののような標準的なハッシュ関数であってよい。こ れらの関数は、ＭＤＡ又はＭＤ５関数又はＤＥＳ（Data Encryption Standard） アルゴリズムに基づいたハッシュ演算であってよい。 複雑なハッシュ関数として知られているたの関数も使用されることがある。こ こで使用されるハッシュ関数の特性は、所定の信号処理操作の期間中に要求され る減速関数、さらには、スマートカード内に保管されるべき署名クーポンの長さ を減少する圧縮関数ほど多くはない。 この減速及び圧縮関数は、ストリングｃｈを処理するために、以後、Ｈ（ｃｈ ）で表される。 本発明では、減速及び圧縮関数の全ソートを使用することができる。標準的な ハッシュ関数をＳＨＡ（ｃｈ）で示すと、例えば、次の関数が関数Ｈ（ｃｈ）と して採用される： ＨＣＨ＝ＳＨＡ〔ＳＨＡ｛ＳＨＡ（ｃｈ）｝^SHA(ch) mod ｐ〕mod ２^e ここで、ｅは、例えば16〜40ビット、つまり数バイトのクーポンに対する所望の 長さである。 以下、ＤＳＡアルゴリズムから直接的に得られるアルゴリズムを採り上げて、 どのようにして本発明の独創的な特定的な特徴が実現されるのかを示すことにし よう。パラメータｐ，ｑ，ｇ，ｘ，ｙについては、ＤＳＡアルゴリズムに関して 既述のように定義されたものがそのまま用いられる。 カードへのクーポンのローディング これは、予備的なステップであり、もちろん、カードの外側で前もって署名｛ ｒ，ｓ｝の第１部分ｒが計算されるとき、及び、複数の可能な値ｒｉがカードに ローディングされるときにだけ行われる。 １．カードは、不揮発性メモリ（ＥＰＲＯＭ又はＥＥＰＲＯＭ）でカウンタを ゼロにリセットし、（例えば、10〜20バイトの）ランダムな数Ｊを発生し、それ を認証管理部に送ると、認証管理部は、化の秘密キーｘを知り、ｉ＝１〜ｎにつ いて、次のような複数の数ｋｉ及び複数の数ｒｉの計算を行う： ｋｉ＝｛１／〔ＳＨＡ（ｘ，Ｊ，ｉ）〕｝mod ｑ ｒｉ＝ Ｈ（ｇ^ki mod ｐ） ここで、Ｈは、減速及び圧縮関数である。 カードは、各ｉについて値ＳＨＡ（ｘ，Ｊ，ｉ）の計算を行い、それを認証管 理部に送ることも考えられ、この認証管理部は数ｒｉを計算する。 ２．認証管理部は数ｒｉをカードに送り、カードは、これらの数を参照番号ｉ とのリンクを保存しつつメモリに格納する。数ｋｉは保存されない。 アルゴリズムＤＳＡに言及すると、ｋｉは、新しい各署名毎に変更されるラン ダムな数ｋを表す。しかしながら、署名のときに検証者端末により送出する代わ りに、適切な時点にカードにより再計算されることがある。この数はｉに依存し 、指標ｉをもつクーポンは一度しか使用されないので、ｋｉは各時間毎に更新さ れる。 メッセージに署名するためのクーポンの使用 メッセージに署名するためにカードがシークするとき、（好ましくは、メッセ ージを受ける端末の公知のハッシュ関数に従って、真のメッセージのハッシュ関 数の形式で）メッセージｍを伝送した後、次のプロトコルが使用される： １．カードは、 カウンタから状態ｉ（作り出されるであろう署名の現在の指標を表す）を抽出 し、 不揮発性メモリからランダムな数Ｊ、秘密キーｘ、指標ｉに対応するクーポン ｒｉを抽出し、 Ｉ＝ＳＨＡ（ｘ，Ｊ，ｉ）を計算し（Ｉは、クーポンｒｉの計算のために使用 したｋｉのモジュロ反転以外のなにものでもない）、 Ａ＝ｘＳＨＡ（ｒｉ）mod ｑ を計算し、 ｒｉを検証者端末に送る（このディスパッチは署名の第１部分を表す）。 ２．それから、端末はランダムな数ａを発生して、署名ｓの第２部分の生成を 活性化する。このディスパッチは検証者端末カードに挑戦の送出を伝えるように 構成する。というのは、端末ハッシュ関数、同時に、タイマを起動して、この挑 戦に対するカードの応答時間が計測されるようにするからである。 カードが送らなければならない署名ｓは、検証者内に備えられる検証式 ｆ（ ｒｉ，ｍ，ｓ，ａ）＝ｒｉに与えられるが、次式で表される： ｓ＝〔ｘＳＨＡ（ｒｉ）mod ｑ＋ＳＨＡ（ｍ，ａ）〕／ｋｉ mod ｑ この式によってクーポンｒｉ、カードの秘密キーｘ、送られたメッセージｍ、 数ｋｉ、及び、検証者により挑戦として送られたランダムな数が作動させられる 。この式は、ＤＳＡアルゴリズムにより与えられる式ｓ＝（ｍ＋ｘｒ）／ｋとは 、いくつかの理由で、異なっている。つまり、この式はランダムな数を作動させ て挑戦として送られて、検証者によって、ランダムな数ａがカードに到着したと きに署名ｓの時間選定計算が開始するのを確実にするようにしている。その理由 は、ｍ及びランダムな数ａをハッシュ化したもの、即ち、ＳＨＡ（ｍ，ａ）が、 ｍをハッシュ化したものに代えて使用されたからである。さらに、非常に短いス トリングｒｉより長いストリングの形でクーポン値を使用するには、ｒｉよりも むしろＳＨＡ（ｒｉ）を使用するのが好ましい。しかし、本来、ｘｒｉ及びＳＨ Ａ（ｍ，ａ）の代わりにｘＳＨＡ（ｒｉ）を使用した場合、検証式にはそれが考 慮されなければならないが、これをなすことはさらに離れたものになることが分 かる。署名計算は、検証式がこれら のことを考慮するという条件で、他に種々変形することができる。 ３．カードは、できるかぎり高速で署名ｓを計算する。しかしながら、タイマ の起動前には、既に、Ａ＝ｘＳＨＡ（ｒｉ）mod a ｑ 及び Ｉ＝１／ｋｉ−Ｓ ＨＡ（ｘ，Ｊ，ｉ）を計算してしまっているので、次の計算を行う以外に何も残 っていない： ｓ＝Ｉ・〔ＳＨＡ（ｍ，ａ）＋Ａ〕mod ｑ この計算は、例えば、Intel 8051形又はMotorola 6805形のような、単純で低 価格の８ビットマイクロコントローラに対してさえ、迅速に行われる。計算が完 了すると、カードは署名ｓを送り返す。 ４．ｓの受信の際、端末は、タイマを停止し、署名認証の検証のための計算を 実行する。署名が前述の式に従って精確に計算された場合は、次の等式が得られ なければならないことが検証される： 〔ｙ^{[SHA(ri)/s]mod q} ｑ^{[SHA(m,a)/s]mod q} mod ｐ〕＝ｇ^ki mod ｐ 検証者は、ｋｉを保持していない。検証者が保持するのは、ｒｉ＝Ｈ（ｇ^ki mod ｐ）であり、ここで、Ｈは減速及び圧縮関数である。 従って、上の等式は、次のように変換される： Ｇ〔ｙ^{[SHA(ri)/s]mod q} ｑ^{[SHA(m,a)/s]mod q} mod ｐ〕＝Ｈ（ｇ^ki mod ｐ ）＝ｒｉ 検証者は、利用可能なｒｉ，ｓ，ａ，ｐ，ｑ，ｍ，ａ、単純なハッシュ関数、 並びに、減速及び圧縮関数Ｈを有している。従って、検証者は上述の等式を検証 する。 等式が得られた場合、及び、署名が所定閾値より短い期間内に送られた場合に は、署名は検証者により受容される。これらの２つの条件の１つが満たされない 場合は、受容されない。 期間の評価のための一例として、次の指示を与えることができる。つまり、現 在知られている最もパワーフルなコンピュータでさえ可能な極端にパワーフルな コンピュータ上で、Ｈ（ｃｈ）を評価するのに必要な時間をＴとする。長さｅを 有するストリングに帰着する減速関数Ｈ（Ｈは圧縮関数でもある）が、十分に複 雑であるとし、そして、任意の値ｚ及び任意の現存コンピュータに対し、ｚ＝Ｈ （ｃｈ’）のような新しい値ｃｈ’の探索に時間Ｔ・２^eが要求されるようにす るために、どんな場合にも十分に複雑であるように選ばれなくてはならないと仮 定する。 カードの秘密キーを知らない者が、検証式に基ついて（即ち、徹底的な探索に よって）試行錯誤的にｓの探索を行った場合、この者は、この値Ｔ・２^eより非 常に小さい例えば、この値の100万分の１のレベルの時間閾値を設定するように 選ばれているときには、単純な試みをもってしても、ｓの精確な値を見つけるこ とができない。 このことは、減速関数及び閾値期間を選ぶために追従すべき方法論を指示して いる。 一般に、ここで説明しそして一例として図示されている原理は、他の署名プロ トコルに適用可能である。特定的には、署名 クーポンの予備計算が可能である他のプロトコル、特に、次のようなプロトコル に適用可能である： Rueppel-Nyberg:“New signature schemes based on the discrete logarithm problem”（Eurocrypt'94シンポジウム報告書で公表）、 Schnorr:“Efficient identification and signatures for smart-cards”（C rypt'89シンポジウム報告書で公表）、 El-Gamal:“A public-key cryptosystem and a signature scheme based on d iscrete logarithms”（“IEEE Transactiom on Information Theory”誌，Vol ．IT30，No．4，第469〜 472頁にて公表）、 Guiiiou-Quisquater:“A practical zero-knowledge protocol fitted to sec urity microprocessors minimizing both transmission and memory”（Eurocry pt'88シンポジウム報告書で公表）、及び、“A paradoxical identity-based si gnature scheme resulting from zero-knowledge”（Crypt'88シンポジウム報告 書で公表）、 離散的な対数に基づく他の公開キーシステム、このシステムでは、〔Horster 外により、“meta Message Recovery and Meta Blind Signature schemes based on the discrete logarithm problem and their applications”（Asiacrypt'8 8シンポジウム報告書で公表）で説明されているように〕式（ｍ＋ｘｒ）／ｋ m od ｑが、ｍ，ｘ，及びｋを作動させる別の均等物に置換されており、さらに、 同一署名において複数の個別ランダム数ｋ又は複数の個別秘密キーｘを使用する 。 本発明は、電子的小切手の署名操作に適用することができ、 それから、このような小切手を低価格のスマートカードを使って作成するのに適 用することができる（これは、８ビットマイクロプロセッサ及び限られたサイズ の不揮発性メモリを使用する結果生じる）。 もちろん、メッセージｍは、カードにより端末を使って実行される取引を表す ことができ、このような端末は、例えば、小売商人の支払端末である。好ましく は、メッセージｍには署名が行われる。端末は、メッセージを受容しそれによっ て取引をするために署名を検証するが、この端末は、また、中央認証管理部（例 えば、銀行）にも接続され、この管理部は、一方では署名者の勘定の借方を記入 し他方では小売商人の勘定の貸方を記入する前に、自身で、メッセージ及び署名 の認証を管理することができる。 それで、先に詳述したように署名操作及び署名検証の全手続が完了した後、端 末は、認証管理部に電子的小切手｛ｉ，ｒｉ，ａ，ｓ，ｍ｝を送り、認証管理部 は、署名ｓが正しい署名であること、即ち、 ｓ＝ＳＨＡ（ｘ，Ｊ，ｉ）〔ＳＨＡ（ｍ，ａ）＋ｘＳＨＡ（ｒｉ）〕mod ｑ を確かめ、認証管理部は、メッセージｍで規定されている取引額により端末の勘 定の貸方を記入する。 注目されるのは、カードによる署名の計算において、ＳＨＡ（ｍ，ａ）に代え て式ＳＨＡ（ｍ，ａ，ｉ）を使用することができるということである。この場合 、端末による検証の式は、これを考慮すべきであるから、 Ｈ〔ｙ^{[SHA(ri)/s]mod q} ｑ^{[SHA(m,i,a)/s]mod q} mod ｐ〕＝ｒｉ とすべきであり、認証管理部による署名の検証のための式もこれを考慮して次の ようになる： ｓ＝ＳＨＡ（ｘ，Ｊ，ｉ）〔ＳＨＡ（ｍ，ｉ，ａ）＋ｘＳＨＡ（ｒｉ）〕mo d ｑ 図面を参照すると、各スマートカードは、処理ユニット（ＣＰＵ）１１、ラン ダムアクセスメモリ（ＲＡＭ）１３、及び／又は、読出専用メモリ（ＲＯＭ）１ ４、及び／又は、消去可能乃至電気的に消去可能でプログラム可能な読出専用メ モリ（ＥＰＲＯＭ乃至ＥＥＰＲＯＭ）１５を備えている。 スマートカードの処理ユニット１１及び／又はＲＯＭ１４には、クーポンのロ ーディングの間、及び、メッセージの署名操作及び電子的小切手の送出の間にカ ードにより実行される計算ステップの実行に対応する計算プログラム又は資源が 格納されている。これらのプログラムには、特に、ｓを生成するための計算規則 及びハッシュ関数ＳＨＡの使用規則が含まれている。計算ユニット及びＲＯＭプ ログラムには、また、乗算、加算及びモジュロ変換（reduction modulaire）の 演算に必要な資源が備えられる。これらの演算は組み合せることができる（例え ば、モジュロ変換は、直接、乗算に統合される）。 ＤＳＡアルゴリズムの場合と同じように、カードのＲＡＭは、例えば、ハッシ ュ関数ＳＨＡ（ｍ，ａ）又はＳＨＡ（ｍ，ｉ，ａ）が適用されるメッセージｍ及 びランダムな数ａを格納している。不揮発性メモリメモリ１５は、典型的には、 パラメータｑ，ｘ，Ｊ及び予め計算されたクーポン（ｒｉ）を格納している。指 標は、署名の新しい生成の度毎に増分されクーポンのローディングの間リセット される不揮発性カウンタ内にある。 カードの処理ユニットは、アドレス及びデータバス１６並びに通信インターフ ェイス１０を介して、メモリ１３，１４，１５における読出及び書込操作を活性 化する。 各スマートカードは、物理的な保護機構１７によって外部から保護されている 。これらの保護機構は、認証されていないどんな実体も秘密キーｘを得られない ようにするのに十分なものとすべきである。現時点でこの技術分野で最も普通に 用いられている技術は、チップを集積化して安全モジュールとし、異常な電圧や クロック周波数だけでなく、温度、光の変化を検出することができる装置をチッ プに装備することである。メモリアクセスを混乱させるような特別に設計された 技術も、用いられる。 端末は、少なくとも１つの処理ユニット（ＣＰＵ）３０及びメモリ資源３２， ３３，３４を備えている。 ＣＰＵ３０は、アドレス及びデータバス３５並びに通信インターフェイス３１ を介して、メモリ３２，３３，３４における読出及び書込操作を制御する。 認証管理部のＣＰＵ３０及び／又はＲＯＭ３４には、クーポンの計算及び署名 の検証に必要な、ハッシュ、減速及び圧縮、乗算、加算、モジュロ逆変換（inve rsion modulaire）、べき乗（指数化）並びにモジュロ変換というような計算や 機能を実行するのを可能にする計算プログラム又は資源が格納されている。これ の演算のうちのあるもの（例えば、乗算及びモジュロ変換）は、組み合わせるこ とができる。 本発明は、すべて、スマートカードに言及して説明されてきたが、署名者ユニ ットが別の物体であるとき、特に、並列及び非直列伝送プロトコルをもつタイプ のスマートカードであるＰ ＣＭＣＩＡカード、又は、バッジ、無接点カードのような可搬体であるときに、 適用することができることが理解されよう。カードと端末との間の通信は、電子 的署名を用いて直接的に行うことも、或いは、無線周波数又は赤外線伝送により 遠隔的に行うこともできる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＪＰ，ＵＳ

Claims (1)

1. 【特許請求の範囲】 １．検証者ユニットにより送られたランダムなデータを使用してディジタル署名 を計算する署名者ユニットによって、ディジタル署名を生成すること、及び、送 られた署名及びランダムなデータを作動させる数学的な条件が満たされているこ とを確かめる検証者ユニットによって、この署名を検証することから成る電子的 署名方法において、 署名者ユニットにより検証者ユニットに送られる署名の検証は、さらに、ラン ダムなデータが検証者ユニットによって署名者ユニットに送られる時間と、署名 者ユニットによる計算後、このランダムなデータを使用する署名が検証者ユニッ トに戻ってくる時間との間に経過する期間の時間を決定するステップを用いてお り、経過した時間が所定の閾値を下回っており、しかも、数学的条件が検証され た場合に、署名が受容されることを特徴とする方法。 ２．署名の計算及び検証は、署名の生成が、２つの値｛ｒ，ｓ｝（ここで、ｓは 、ｒ及び秘密キーｘに基づいて計算される）を創り出し、署名｛ｒ，ｓ｝の検証 が、ｒと、ｒ及びｓの関数ｆとの間の均等性ｖ＝ｆ（ｒ，ｓ）＝ｒの検証で構成 されるタイプのアルゴリズムに基づいて行われ、 秘密キーについて知識がないときこの均等性に基づいて行われる或る値ｓの探 索の期間が、たとえパワーフルなコンピュータにより実行される場合でさえも、 かりにカードに低価格のマイクロプロセッサが使用されるものとしてｒ及び秘密 キーに基づいてカードにより行われる値ｓの計算及び伝送の期間より、 はるかに大きくなるように、関数ｆが十分に複雑に選択されることを特徴とする 請求項１に記載の方法。 ３．関数ｆ（ｒ，ｓ）は、また、署名されるべきメッセージｍを作動させること を特徴とする請求項２に記載の方法。 ４．関数ｆは、数学的計算、及び、これに後続し、計算結果の取得の減速及びこ の結果の長さの圧縮の双方を達成する複雑なハッシュ関数（Ｈ）から成ることを 特徴とする請求項２又は３に記載の方法。 ５．第１署名部分ｒは、同一の複雑なハッシュ関数（Ｈ）が後続する他の数学的 計算により確立されることを特徴とする請求項４に記載の方法。 ６．署名者ユニットより送られる署名は、少なくとも１つの署名クーポンｒｉ、 並びに、署名クーポンｒｉ及びカードの秘密キーｘに基づいて計算される１つの 署名補数ｓから成っており、このアルゴリズムは、検証者により、 ｖ ＝ ｆ（ｒｉ，ｓ） ＝ ｒｉ の形の検証式を用いることによって署名の検証を可能にするものであり、 ａ．署名クーポンは、認証管理部により、 （１）数学式を用いて大きな２進数を作動させことによって、長い２進ストリ ングで表現される数を計算するステップ、及び、 （２）この結果の長さを大幅に減少する複雑な圧縮関数によって、この計算結 果を変更するステップ という２つのステップにて前もって確立され、 ｂ．短い長さをもつ一連の異なる署名クーポンが、このようにして前もって準備 され、そして、署名者ユニット（メモリ及びマイクロプロセッサを備えるスマー トカード）に格納され、 ｃ．署名生成は、クーポンｒｉ、並びに、少なくともｒｉ及びｘに基づいて計算 された署名補数ｓを送ることでなり、 ｄ．署名検証は、数学的計算、及び、この数学的計算に後続し、クーポンを準備 するのに用いられたその一つに応じた同一の複雑な圧縮関数より成り、その結果 が、署名検証のためにクーポンと比較される ことを特徴とする請求項１〜５の何れか一項に記載の署名生成及び検証方法。 ７．署名者ユニットよる署名の生成及び検証者ユニットによる署名の検証から成 っており、 署名者ユニットより送られる署名は、少なくとも１つの署名クーポンｒｉ、並 びに、署名クーポンｒｉ及びカードの秘密キーｘに基づいて計算される１つの署 名補数ｓから成っており、このアルゴリズムは、検証者により、 ｖ ＝ ｆ（ｒｉ，ｓ） ＝ ｒｉ の形の検証式を用いることによって署名の検証を可能にするものであり、 ａ．署名クーポンは、認証管理部により、 （１）数学式を用いて大きな２進数を作動させことによって、長い２進ストリ ングで表現される数を計算するステップ、及び、 （２）この結果の長さを大幅に減少する複雑な圧縮関数によって、この計算結 果を変更するステップ という２つのステップにて前もって確立され、 ｂ．短い長さをもつ一連の異なる署名クーポンが、このようにして前もって準備 され、そして、署名者ユニット（メモリ及びマイクロプロセッサを備えるスマー トカード）に格納され、 ｃ．署名生成は、クーポンｒｉ、並びに、少なくともｒｉ及びｘに基づいて計算 された署名補数ｓを送ることでなり、 ｄ．署名検証は、数学的計算、及び、この数学的計算に後続し、クーポンを準備 するのに用いられたその一つに応じた同一の複雑な圧縮関数より成り、その結果 が、署名検証のためにクーポンと比較される ことを特徴とする請求項１に記載の方法による時間選定ステップを用いることが できる電子的署名生成方法。 ８．圧縮関数は複雑なハッシュ関数であることを特徴とする請求項７に記載の方 法。 ９．クーポンの計算は、カードにより最初に生成され、クーポンｒｉが署名を確 立するのに用いられるときに再使用されるために、カード内に格納されるランダ ムな数Ｊに基づいて行われることを特徴とする請求項７又は８に記載の方法。 １０．カードにより署名の生成を活性化するために、検証者端末は、ランダムな 数ａをカードに送り、それから、タイマを活性化し、少なくともランダムなデー タａ及びカードの秘密キーｘに基づいて署名補数ｓを送り返すのにカードにより とられる時間を計測し、少なくとも署名ｓ及びランダムデータａに基づいて署名 検証計算を実行し、そして、この計算が予め定められ た条件を検証し、且つ、このランダムデータをを使用する署名ｓを送り返すのに カードによりとられる時間が、予め定められた閾値を下回る場合に、署名を受容 することを特徴とする請求項７〜９の何れか一項に記載の方法。 １１．署名補数ｓは、署名されるべきメッセージのハッシュ関数ＳＨＡ（ｍ，ａ ）及びランダムデータａに基づいて確立され、同一のハッシュ関数が署名検証の ために用いられることを特徴とする請求項７〜１０の何れか一項に記載の方法。 １２．署名補数ｓは、カードに格納され、署名クーポンを確立するのに使用され たランダムなデータ（Ｊ）を作動させる計算によって確立されることを特徴とす る請求項７〜１１の何れか一項に記載の方法。 １３．カードに格納されたランダムなデータ（Ｊ）を作動させるこの計算は、ま た、少なくともこのランダムな数（Ｊ）及び使用されるクーポンの数を表す指標 ｉに関するハッシュ関数ＳＨＡ（ｘ，Ｊ，ｉ）をも作動させ、これは、それ以前 に、対応するクーポンの計算に用意された長い２進ストリングの計算期間中に使 用された同一ハッシュ関数（ｘ，Ｊ，ｉ）であることを特徴とする請求項１２に 記載の方法。 １４．署名関数ｓは、クーポンのハッシュ関数を作動させる計算によって確立さ れ、これは、署名検証のために使用された同一のクーポンのハッシュ関数ＳＨＡ （ｒｉ）であることを特徴とする請求項７〜１３の何れか一項に記載の方法。 １５．署名者装置によりメッセージのディジタル署名を生成し検証者装置により これらの署名を検証する方法であって、署名者装置は、少なくとも１つの電気的 にプログラム可能な不揮発性メモリを備え、データの計算、通信及び保持を行う ための手段を具備しており、この不揮発性メモリには、検証者装置に従って署名 クーポンｒｉを構成する暗合化データが用意されており、これらの署名クーポン は不揮発性メモリ内にローディングされておりメッセージに署名するために署名 者により使用される方法において、 クーポンは、メモリにローディングされる前に、ハッシュ関数とも呼ばれる圧 縮関数（Ｈ）の適用によって認証管理部により圧縮されること、並びに、 （Ｂ）署名により認証されなければならないメッセージｍが伝送され、 署名者はクーポンｒｉを署名者に送り、 署名者は、ランダムな数を署名者に送り、そして、タイマを活性化し、 署名者は、メッセージの署名ｓを計算し、そして、この署名を検証者に送り、 検証者は、この署名が、カード内に保持された秘密キー及びクーポンｒｉによ って得られたことを確かめ、この検証が等式 ｖ ＝ ｆ（ｒｉ，ｓ，ｍ） ＝ ｒｉ を検証することによってなされ、そして、 検証者は、検証条件ｖ＝ｒｉが満たされ、しかも、計測された時間が予め決定 された割当て時間を超過していない場合に、署名を受容する という諸交換により成ること を特徴とする方法。