JPH11174957A

JPH11174957A - 認証プロトコル

Info

Publication number: JPH11174957A
Application number: JP10131743A
Authority: JP
Inventors: Scott A Vanstone; スコット・エイ・ヴァンストーン; Donald B Johnson; ドナルド・ビー・ジョンソン
Original assignee: Certicom Corp
Current assignee: Certicom Corp
Priority date: 1997-10-31
Filing date: 1998-05-14
Publication date: 1999-07-02
Anticipated expiration: 2018-05-14
Also published as: WO1999023781A1; EP1025674A1; CA2306468A1; AU1015499A; JP4307589B2; JP2001522071A

Abstract

(57)【要約】【課題】計算能力が制限されている場合に、暗号化シ
ステムにおいて署名の確認を行うことを容易にする署名
及び確認プロトコルを提供すること。【解決手段】長期的な鍵と短期的な鍵から成る１対の
秘密鍵を組み入れている署名成分を用いる。長期的な鍵
を署名成分の一方に適用して短期的な鍵を見つける。次
に、短期的な鍵を用いて、署名に含まれる署名成分の値
を計算する。計算された値と受信した値とが一致すれ
ば、真正であることが確認される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ伝送に関
し、更に詳しくは、データを伝送している当事者のアイ
デンティティ（ＩＤ）を確認（認証）するデータ伝送シ
ステムに関する。

【０００２】

【従来の技術】１対の通話者の間で、典型的には、１対
のコンピュータ端末の間やパーソナル・カードとコンピ
ュータ端末との間で、電子的にデータを通信することは
広く知られている。このような通信は、トランザクショ
ンを行うために、バンキング環境で広範囲に用いられて
いる。

【０００３】そのようなトランザクションの完全性（イ
ンテグリティ）を維持するには、当事者のＩＤを確認で
きるシステムを実現することが必要であり、この目的の
ために、多数の署名プロトコルが開発されてきた。これ
らのプロトコルは、ディフィ・ヘルマン（Diffie Hellm
an）公開鍵暗号化方式を用いたエルガマル（El Gamal）
署名プロトコルに基づいている。広く用いられている暗
号化方式の１つに、ＲＳＡがあるが、安全な伝送を得る
には、帯域幅を増加させる比較的大きなモジュラス（mo
dulus）が用いられなければならないが、限定的な計算
能力しか利用可能でない場合には、これは、一般に望ま
しくない。更に堅固な暗号化方式に、楕円曲線暗号シス
テム（ＥＣＣ）として知られているものがあり、このシ
ステムによれば、ＲＳＡ暗号システムに匹敵するセキュ
リティを、より小さなモジュラスで得ることができる。

【０００４】基本的には、それぞれの当事者は、秘密鍵
と、その秘密鍵から導かれる公開鍵とを有する。データ
転送の際には、通常は、メッセージは、意図している受
信者の公開鍵を用いて暗号化され、その受信者は、その
人間だけが知っている秘密鍵を用いることにより、この
メッセージを復号化できる。署名及び確認の目的のため
に、メッセージは、送信者の秘密鍵を用いて署名される
ことにより、記されている送信者の公開鍵を用いた処理
によって確認することができる。送信者の秘密鍵は、送
信者にだけしか知られていないので、送信者の公開鍵を
用いて復号化が成功すれば、送信者のＩＤが確認される
ことになる。

【０００５】エルガマル署名プロトコルは、有限体にお
いて離散対数を計算することが困難であることから、そ
のセキュリティを獲得している。エルガマル型の署名
は、楕円曲線群を含む任意の群（group）で機能する。
例えば、楕円曲線群Ｅ（Ｆ_q）が与えられると、Ｅ
（Ｆ_q）に属するＰと、Ｑ＝ａＰに対しては、離散対数
問題は、整数ａを見つけることに帰着される。基礎とな
る曲線が適切に選択されると、この問題は、計算的に実
行不可能であり、従って、これらの暗号システムは、安
全であると考えられる。

【０００６】

【発明が解決しようとする課題】そのような方式を実現
する様々なプロトコルが存在する。例えば、デジタル署
名アルゴリズムＤＳＡは、エルガマル方式の変形であ
る。この方式では、１対の通話者Ａ及びＢのそれぞれ
が、公開鍵と対応する秘密鍵とを作成する。通話者Ａ
は、自分の秘密鍵を用いて、任意の長さのメッセージｍ
に署名する。通話者Ｂは、この署名を、Ａの公開鍵を用
いて、確認することができる。しかし、それぞれの場合
に、送信者である通話者Ａと受信者である通話者Ｂとの
両方が、典型的には累乗計算であるが、計算的に集約的
な演算を実行して、署名を生成し確認することが要求さ
れる。どちらの当事者も適切な計算能力を有している場
合であれば、これは特に問題を生じないが、一方又は両
方の当事者の計算能力に制限がある場合、例えば、「ス
マート・カード」アプリケーションの場合などには、計
算は、署名及び確認プロセスを遅延させることになる。

【０００７】また、署名者が、自分自身の署名を確認す
ることを要求される場合もある。例えば、公開鍵暗号シ
ステムでは、鍵の配送は、対称（symmetric）鍵システ
ムの場合よりも容易である。しかし、公開鍵の完全性
が、重要である。従って、そのようなシステムの通話者
は、信頼できる第三者を使って、それぞれの通話者の公
開鍵を認証する。この第三者は、証明機関（certifying
authority = CA）であり、秘密の署名アルゴリズムＳ_T
と、すべての通話者が知っているものと想定される確認
アルゴリズムＶ_Tとを有する。その最も単純な形式で
は、ＣＡは、ある通話者のＩＤをその公開鍵に拘束する
証明書を提供する。これは、識別子とその通話者の認証
された公開鍵とから成るメッセージに署名することから
構成される。しかし、時には、ＣＡは、それ自身の証明
書を認証又は確認することを望むこともある。

【０００８】上述したように、署名の確認は、計算的な
集約性を有し、実際的な時間内に完了させるためには、
かなりの計算能力が要求される。通話者の一方の計算能
力に制限がある場合、例えば、「スマート・カード」が
キャッシュ・カードとして用いられている場合などに
は、カード上での計算が最小化されるようなプロトコル
を採用することが好ましい。同様に、多数の署名を確認
しなければならない場合などには、高速の確認方法が、
望ましい。

【０００９】従って、本発明の目的は、通話者の一方の
制限された計算能力を用いて署名の確認を行うことを容
易にする署名及び確認プロトコルを提供することであ
る。

【００１０】

【課題を解決するための手段】一般的な表現を用いる
と、本発明は、それぞれが共通の秘密の整数を共有して
いる１対の通話者の間で、署名を生成し確認する方法を
提供する。この方法は、通話者の一方において、選択さ
れた整数からセッション鍵を生成するステップと、前記
セッション鍵の成分を選択し、その選択した成分を用い
てメッセージを暗号化するステップと、前記選択した成
分のハッシュを生成するステップと、前記共通の秘密の
整数と、前記ハッシュと、前記選択した整数とを含む署
名成分を計算し、その署名成分と、暗号化されたメッセ
ージと、ハッシュとを他方の通話者に送るステップと、
を含む。選択された整数は、共通の秘密の整数と暗号化
されたセッション鍵とを用いて、署名成分に対して回復
される。次に、回復されたセッション鍵のバランスを用
いて、認証を、そしてオプションであるが、質問（chal
lenge）を、受信者に提供する。

【００１１】

【発明の実施の形態】本発明の実施例を、次に、添付の
図面を参照して、説明する。

【００１２】図１を参照すると、データ伝送システム１
０は、データ伝送リンク１６によって相互接続された複
数の通話者１２ａ、１２ｂ、…、１２ｔ（全体として、
参照番号１２で示す）を含む。通話者１２は、典型的に
は、限定的な計算能力を有する電子端末であり、この例
では、通話者１２は、限定的なメモリと計算能力とを有
する「スマート・カード」の形式を有すると考える。デ
ータ伝送システム１０は、また、この実施例では、端末
１２のそれぞれに伝送リンクによって接続された金融機
関における端末である通話者１４を含む。この接続は、
典型的には、通話者１２がシステム１０に周期的にアク
セスする過渡的なものであるのが典型的であるが、恒久
的な接続であってもよい。

【００１３】通話者１２、１４は、それぞれが、共通の
暗号システムを確立する暗号化ユニット１８、２０を有
する。この例では、暗号化ユニット１８、２０は、基礎
となる曲線パラメータとその曲線上のシード（seed）点
Ｐとが確立されている楕円曲線暗号システムを実現して
いる。

【００１４】通話者１２は、それぞれが、この通話者１
２によって長期的な秘密鍵として複数のトランザクショ
ンに用いられる秘密の整数ｄが埋め込まれているメモリ
２２を含む。通話者１４は、公開鍵Ｑ_Bを有し、ｄＱ_Bの
多数の予め計算された値が、署名を容易にするために、
対話者１２のアドレシング可能なメモリ２４に記憶され
ている。

【００１５】数生成器２６が、それぞれのカードに含ま
れており、統計的には一意的であるが予想できない整数
を、それぞれのトランザクションにおいて変化する短期
的な秘密鍵として用いるために、それぞれのセッション
の開始時に生成する。

【００１６】通話者１４は、同様に、それぞれの通話者
１２の長期的な秘密鍵ｄを記憶しそれを通話者のそれぞ
れのＩＤに相関させるデータバンクを有するメモリ２８
を含む。

【００１７】確認プロトコルを開始するには、通話者１
２の一人が、メッセージｍを定式化し、伝送セッション
の間に短期的な秘密鍵として作用するランダムな整数ｋ
を生成器２６から生成する。シード点Ｐを用いて、ｋＰ
に対応するセッション鍵ｒが計算される。ｋＰは、実際
に、座標（ｘ，ｙ）を有する基礎となる曲線上の点であ
る。

【００１８】第１の署名成分ｅは、ｘ座標の２進表現を
用いて、ｅ＝Ｅ_x（ｍ）となるようにメッセージを暗号
化することによって、生成される。

【００１９】第２の署名成分ｅ’は、セッション鍵ｒの
ｘ座標を、ｅ’＝ｈ（ｘ）となるようにハッシュするこ
とによって、生成される。米国の国立標準及び技術局
（ＮＩＳＴ）によって提唱された安全ハッシュ・アルゴ
リズム（ＳＨＡ−１）などの、適切な暗号論的ハッシュ
関数が用いられる。

【００２０】第３の署名成分ｓは、ｓ＝ａｅ＋ｋ（ｍｏ
ｄｎ）の一般的な形式で生成される。ここで、ａは長期
的な秘密鍵であり、ｅはメッセージ・ストリングをハッ
シュすることによって導かれる値であり、ｋは短期的な
秘密鍵である。この実施例では、署名成分ｓは、次の特
定の形式を有している。

【００２１】

【数１】ｓ＝ｄ．ｈ（ｄＱ_B／／ｅ’）＋ｋ（ｍｏｄｎ）ここで、ｎは、基礎となる曲線の位数（オーダー）であ
る。署名成分ｓは、通話者１２のメモリ２４からｄＱＢ
の予め計算された値を検索し、それをｘのハッシュ値に
連接し、結果をハッシュすることによって、得られる。

【００２２】署名成分ｓ、ｅ、ｅ’を含む署名は、次
に、通話者１４に送られる。受信の際に、通話者１４
は、通話者１２の指示されたＩＤに基づいて、データバ
ンク２８から長期的な秘密鍵ｄを検索し、自分自身の公
開鍵とＱＢと検索された成分ｅ’とを用いて、ハッシュ
ｈ＝ｄＱ_B／／ｅ’を計算する。これと署名成分ｓとか
ら、ｋに対応する値ｋ’が得られる。

【００２３】ｋの計算された値とシード点Ｐとを用い
て、短期的な鍵の計算された値、すなわち、ｋＰのｘ座
標の値であるｘ’に関連する関数が得られる。次に、
ｘ’の計算された値がハッシュされ、比較がなされて、
ハッシュの結果的な値がｅ’の受信された値と対応する
ことが確認される。この段階で、通話者の確認が得ら
れ、必要となる累乗計算は、ｋＰの最初の計算だけであ
る。

【００２４】セッション鍵ｒの計算と、そのセッション
鍵の一部分を後で用いることによって、安全な認証が、
通話者１４に返されることが可能になる。座標ｘの値を
計算すると、通話者１４は、次に、座標ｙを計算して、
それを、認証として、メッセージｍ’を暗号化するのに
用いる。従って、通話者１４は、Ｅ_y（ｍ’）を含むメ
ッセージを送ることによって、通話者１２に応答する。
受信の際に、通話者１２は、セッション鍵Ｒのｙ座標を
知っており、質問を含むメッセージｍ’を回復すること
ができる。通話者１２は、メッセージを復号化し、質問
を通話者１４に返し、それによって、両方の通話者は確
認され同期化される。更なるメッセージを、セッション
鍵ｒを暗号化鍵として用いて、通話者１２及び１４の間
で転送することもできる。

【００２５】従って、上述のプロトコルでは、１対の鍵
が用いられ、通話者１４は、長期的な秘密鍵を与える一
方の鍵の制御を保持し、これらを用いて、通話者１２に
よって計算される短期的なセッション鍵を回復する。回
復された短期的な鍵は、次に、例えば、ｅ’をチェック
することによって、伝送された他の署名成分と共に、確
認に用いることができる。

【００２６】また、鍵の回復された値の構造は、例え
ば、パターン、数、又は桁の分布によって、確認を示す
ことができ、それによって、回復された値を、確認のた
めに、所定のパラメータと比較することができる。回復
された成分と送られた情報との間の関係によって、セッ
ション鍵の他の部分を用いて、回答し、同期を確立する
ことができる。

【００２７】この実施例では、署名の確認は、累乗計算
を含まない計算的に好都合な態様で実行されるので、比
較的迅速に行うことができることに注意すべきである。

【００２８】システム１０は、通話者１２の間での、又
は、通話者１２と通話者１４との間での公開鍵暗号化シ
ステムとして機能するが、迅速な確認が要求される場合
には、対称鍵プロトコルの属性を用いることもできるこ
とに注意すべきである。

【００２９】次に説明するように、別の署名を用いるこ
とができるし、一般に、任意のエルガマル署名方程式を
用いることができる。署名確認の別の実施例は、図３に
示されているように、ＤＳＳ署名プロトコルを用いて実
現することができる。このプロトコルでは、短期的な公
開鍵ｒが、群の生成元αのランダムな整数ｋのベキ乗、
すなわち、ｒ＝α^kを計算することによって、導かれ
る。楕円曲線暗号システムが用いられる場合には、累乗
計算は、点Ｐのｋ回の加算、すなわち、ｒ＝ｋＰによっ
て、実行される。

【００３０】ＤＳＳプロトコルでは、署名成分は、次の
形式を有する。ただし、ｄは長期的な秘密鍵であり、ｍ
はメッセージである。

【００３１】

【数２】ｓ＝ｋ^-1（ｈ（ｍ）＋ｄｒ）（ｍｏｄｎ）署名成分ｓ、ｒの値とメッセージｍとは、通話者１２に
よって、通話者１４に送られる。

【００３２】通話者１４は、長期的な秘密鍵ｄを共有し
ているので、ＩＤから、短期的な秘密鍵ｋ＝ｓ（ｈ
（ｍ）＋ｄｒ）を検索することができる。

【００３３】ｒ、ｍ、ｓの値は送られ、ｄは通話者１４
によって知られているので、ｋを計算することができ
る。

【００３４】上述のように、ｋは、例えば、１が特定の
パターンとなったりある数だけ存在するなどのように、
特定の構造を有するように構成することができる。ま
た、確認は、回復したｋからｒの値を計算し（すなわ
ち、ｒ＝α^k）、それを送信されたｒと比較することに
よって、チェックすることができる。このステップに
は、累乗計算が必要であるから、計算的な要求が大きい
が、望まれる場合には用いることができる。

【００３５】再び、長期的な秘密鍵ｄを共有することに
よって、確認は、短期的な秘密鍵ｋを抽出して、単純で
はあるが効果的な態様で、実行することができる。

【００３６】上述の例のそれぞれでは、署名の確認は、
１対の通話者の間で実行される。プロトコルの特性を用
いて、銀行などの証明機関ＣＡが発行した、通話者１４
が作成した署名を確認するのに用いることができる。

【００３７】この実施例では、通話者１４は、それによ
って発行されたと主張する証明書を受け取る。通話者１
４は、長期的な秘密鍵ｄを用いて短期的な秘密鍵ｋを抽
出することによって、証明書の真正を確認する。秘密鍵
ｋの構造を次にチェックすることができ、又は、鍵ｋを
用いて、メッセージに含まれる短期的な公開鍵ｒに関係
する情報を引き出す。再び、確認が、広範な計算を必要
とせず、都合のよい態様で得られ、それによって、通話
者１４、すなわち、銀行などの金融機関が受け取った証
明書の確認が可能になる。

【００３８】この実施例は、エルガマル署名方式の特別
の場合であるデジタル署名アルゴリズムＤＳＡを用い
て、例示することもできる。エルガマル署名方式におけ
る鍵生成のために、それぞれの通話者Ａ及びＢが、公開
鍵と対応する秘密鍵とを作成する。基礎となる暗号シス
テムを群Ｆ_pに設定するために、通話者Ａ及びＢは、ｑ
がｐ−１を割るような素数ｐ及びｑを選択する。生成元
ｇは、それがＦｐにおける位数（order）qの元であり、
用いられる群が、｛ｇ⁰，ｇ¹，ｇ²，…，ｇ^q-1｝である
ように、選択される。

【００３９】デジタル署名アルゴリズム（ＤＳＡ）で
は、鍵の生成は、区間［１，ｑ−１］の中のランダムな
整数ｄを選択し、長期的な公開鍵ｙ＝ｇ^dｍｏｄｐを計
算することによって、行われる。公開鍵情報は、（ｐ，
ｑ，ｇ，ｙ）であり、長期的な秘密鍵はｄであり、他方
で、一般的なエルガマル方式では、公開鍵情報は、
（ｐ，ｇ，ｙ）であり、秘密鍵はｄである。

【００４０】ＤＳＡ署名方式では、署名成分ｒ及びｓ
は、次のように与えられる。

【００４１】

【数３】ｒ＝（ｇ^kｍｏｄｐ）ｍｏｄｑ

【数４】ｓ＝ｋ^-1（ｈ（ｍ）＋ｄｒ）ｍｏｄｑただし、ここで、ｄは、ランダムな整数であり、署名者
の長期的な秘密鍵であって、典型的には１６０ビットで
ある。ｐは、典型的には、１０２４ビットの素数であ
る。ｑは、１６０ビットの素数であり、ｑは、ｐ−１を
割る。ｇは、生成元であり、ｙ＝ｇ^dｍｏｄｐである。
ｈ（ｍ）は、典型的には、メッセージｍのＳＨＡ−１ハ
ッシュである。ｋは、それぞれの署名に対してランダム
に選ばれる１６０ビットの値である。ｍに対する署名
は、対（ｒ，ｓ）である。

【００４２】通常、メッセージｍ上のＡの署名（ｒ，
ｓ）を確認するためには、受信者Ｂは、Ａの真正の公開
鍵情報（ｐ，ｑ，ｇ，ｙ）を取得して、０<ｒ<ｑ及び０
<ｓ<ｑを確認しなければならない。次に、値ｗ＝ｓ^-1ｍ
ｏｄｑと、ｈ（ｍ）とが、計算される。次に、ｕ₁＝ｗ
ｈ（ｍ）ｍｏｄｑと、ｕ₂＝ｒｗｍｏｄｑと、ｖ＝（ｇ
^u1ｙ^u2ｍｏｄｐ）ｍｏｄｑとが計算される。ｖ＝ｒの場
合に、そして、その場合だけに、署名は、受け入れられ
る。従って、署名の所有者が後の段階において自分自身
の署名を確認することを望む場合には、公開鍵情報を検
索し、累乗計算を含む上述のステップを実行するには、
時間がかかることがわかる。

【００４３】図４に示されているように、証明機関ＣＡ
による高速署名確認は、証明機関の長期的な秘密鍵ｄ
を、確認者（検証者、verifier）として用いることによ
って実現される。この場合には、元の署名者は、ｐ、
ｑ、ｇ、ｙ、ｈ（ｍ）、ｒ、ｓの知識を有している。従
って、確認者は、署名において用いられた短期的な秘密
鍵ｋを回復し、署名を確認するために、そのようにして
得られたｋの値を確認するだけでよい。こうして、確認
者は、ｚ＝（ｈ（ｍ）＋ｄｒ）ｍｏｄｑを計算する。値
ｚ^-1が、ｚｍｏｄｑを反転させることによって計算さ
れ、ｋ’^-1＝ｓ（ｚ^-1）ｍｏｄｑを計算するのに用いら
れる。ｋ’は、ｋ’^-1ｍｏｄｑを反転させることによ
って、計算される。確認者は、次に、ｒ＝ｇ^k’ｍｏｄ
ｐｍｏｄｑを評価し、ｋ＝ｋ’であることを確認する。
このようにして、この確認のステップは、長期的な公開
鍵ｙではなく長期的な秘密鍵ｄを用いて、累乗計算を回
避していることがわかる。もちろん、上述の計算の多く
は、予め計算されたテーブルを用いることによって、高
速化することができる。

【００４４】別のエルガマル署名方法が、図５に示され
ており、署名成分（ｓ，ｅ）を有している。ここで、次
の関係が成立している。

【００４５】

【数５】ｒ＝ｇ^kｍｏｄｐ

【数６】ｅ＝ｈ（ｍ｜｜ｒ）

【数７】ｓ＝（ｄｅ＋ｋ）ｍｏｄｐここで、ｐは大きな公開素数であり、ｇは公開生成元で
あり、ｍはメッセージであり、ｈはハッシュ関数であ
り、記号｜｜は連接（concatenation）を意味し、ｄは
長期的な秘密鍵であり、ｙ＝ｇ^dｍｏｄｐは対応する長
期的な公開鍵であり、ｋは短期的な秘密鍵として用いら
れる秘密のランダムな整数である。

【００４６】証明書を生成するためには、通話者１４
は、通話者１２の一人の、公開鍵に対応するＩＤを含む
メッセージｍに署名をする。このメッセージは、通話者
１４の長期的な公開鍵と短期的なセッション鍵ｋとを用
いて署名され、署名成分ｓ及びｅを含む証明書が、通話
者１２に発行される。公開情報は、通話者１４によって
保持される。証明書は、通話者１２によって用いられ、
通話者１４の公開鍵を用いて、受信者によって、確認さ
れる。

【００４７】証明書が通話者１４に提供されると、長期
的な秘密鍵ｄを用いて、迅速な確認が得られる。

【００４８】秘密鍵ｄを用いた高速署名確認では、ｐ、
ｇ、ｙ、ｈ、ｍ、ｒ、ｅの公開情報と、秘密鍵ｄとが、
確認者に知られている。従って、確認者は、短期的な秘
密鍵ｋえい回復し、署名を確認するために、ｋを確認す
るだけでよい。確認者は、ｋ’＝（ｓ−ｄｅ）ｍｏｄ
ｐ、ｒ’＝ｇ^k’ｍｏｄｐ、ｅ’＝ｈ（ｍ｜｜ｒ’）を
計算する。ｅ＝ｅ’である場合には、ｋ＝ｋ’が確認さ
れる。この確認には、処理を容易にするために、ただ１
つの累乗計算しか要求されない。また、回復されたｋの
値の特性は、上述の確認を満足するのに十分である。

【００４９】このように、本発明の特別の効果は、署名
者が、例えば、署名者のコンピュータに存在するデータ
に署名する場合である。これは、後で、対応する公開鍵
を用いることなく確認することができ、署名者は、自分
の秘密鍵を用いてデータを確認することができる。これ
は、また、スマート・カードなどの計算能力が限定的で
ある応用例に対して、非常に有用である。

【００５０】証明機関を含むデータ通信システムでは、
証明機関（ＣＡ）又は鍵配分センタは、それが様々な通
信システムの中にインストールされる前にデータに署名
を行い、後でその署名を確認することがある。従って、
ＣＡは、署名を確認するために公開鍵情報を要求するこ
とはなく、単に、長期的な秘密鍵を用いて確認を行う。
これは、他のすべてのパラメータは、署名者の安全な境
界の内部に記憶されているからである。長期的な秘密鍵
ｄが用いられる際には、システムに関連するオーバヘッ
ドが最小化されるように、短期的な秘密鍵ｋを保持して
おくことは不要であることに注意すべきである。

【００５１】別の応用例として、ペーパーユース（pay-
per-use）型のソフトウェアでのソフトウェアの確認が
ある。サーバへのアクセスの要求は、サーバが発行しソ
フトウェアの使用者によって提示される証明書によっ
て、制御される。証明書の真正は、上述したような適切
な態様で、サーバの秘密鍵を用いて、確認される。

【００５２】本発明は、以上で、特定の実施例と特定の
使用とに関して説明したが、冒頭の特許請求の範囲によ
って定義される発明の範囲から逸脱することなく、様々
な修正が、当業者であれば、想定できよう。例えば、上
述の好適実施例では、乗法に関して述べられているが、
本発明は、加法に関しても成立する。例えば、ＤＳＡの
楕円曲線アルゴリズムと等価であるＥＣＤＳＡは、離散
対数アルゴリズムと類似の楕円曲線であり、これは、通
常は、素数を法とする整数から成る乗法群であるＦ＊_p
に関して説明されうる。Ｆ＊_pの元及び演算と楕円曲線
群Ｅ（Ｆ_q）との間には、対応が存在する。更に、この
署名技術は、Ｆ₂’’上で定義される体において実行さ
れる関数にも等しく適用できる。

【００５３】本発明は、このように、暗号化方法及びシ
ステムに関係し、特に、有限体の元がプロセッサに効率
的な態様で乗算される楕円曲線暗号方法及びシステムに
関係する。この暗号システムは、適切にプログラムされ
た汎用コンピュータなどの任意の適切なプロセッサから
構成することができる。

【図面の簡単な説明】

【図１】データ伝送システムの概略図である。

【図２】署名確認プロトコルの概略的な流れ図である。

【図３】別のプロトコルの概略的な流れ図である。

【図４】更に別のプロトコルの概略的な流れ図である。

【図５】別のエルガマル署名方法の概略を示す流れ図で
ある。

Claims

【特許請求の範囲】

【請求項１】データ通信システムにおいて署名者によ
って生成されたデジタル署名を確認する方法であって、
前記署名は、１対の秘密鍵を組み入れている署名成分を
有している、方法において、前記秘密鍵の第１を前記署名に適用し、前記秘密鍵の第
２に関連する関数と同等の値を回復するステップと、前記回復された値を前記関数と比較し前記署名の真正を
判断するステップと、を含むことを特徴とする方法。
【請求項２】請求項１記載の方法において、前記回復
された値は、前記署名成分の１つの値を計算するのに用
いられ、前記計算された値と前記署名成分とは、比較さ
れて、前記署名を確認することを特徴とする方法。
【請求項３】請求項１記載の方法において、前記回復
された値の構造は、所定のパラメータと比較され、前記
署名を確認することを特徴とする方法。
【請求項４】請求項１記載の方法において、前記鍵の
一方は長期的な鍵であり、前記鍵の他方はそれぞれの署
名によって生成される短期的な鍵であることを特徴とす
る方法。
【請求項５】請求項４記載の方法において、前記回復
された値は、前記短期的な鍵であることを特徴とする方
法。
【請求項６】請求項５記載の方法において、前記回復
された値は、前記秘密鍵から導かれる短期的な公開鍵を
計算するのに用いられ、前記署名成分に含まれることを
特徴とする方法。
【請求項７】請求項５記載の方法において、前記回復
された値の少なくとも一部分は、暗号論的ハッシュ関数
によってハッシュされ、結果的なハッシュ値は、確認の
ために、前記署名成分の１つと比較されることを特徴と
する方法。
【請求項８】コンピュータ・システムにおいて、署名
者によって生成されたデジタル署名を確認する方法であ
って、前記署名者は、秘密鍵ｄと、元ｇと前記秘密鍵ｄ
とから導かれる公開鍵ｙとを有し、この方法は、ａ）第１の数学的関数に従って少なくとも前記元ｇと署
名パラメータｋとを合成することによって、第１の署名
成分を生成し、ｂ）前記第１の署名成分を、前記秘密鍵ｄ、前記メッセ
ージｍ及び前記署名パラメータｋと数学的に合成するこ
とによって、第２の署名成分を生成し、ｃ）前記公開鍵ｙを用いることなく、前記署名から値
ｋ’を回復し、ｄ）前記第１の数学的関数において、前記回復された値
ｋ’を用いて、値ｒ’を導き、前記署名パラメータｋ及
びｋ’が等しいことを確認する、ことによって、前記コンピュータ・システムにおいてメ
ッセージｍに署名するステップを含むことを特徴とする
方法。
【請求項９】請求項８記載の方法において、ｇは体Ｆ
＊_pの位数ｑの元であることを特徴とする方法。
【請求項１０】請求項８記載の方法において、ｇは、
Ｅ（Ｆ_q）における素数位数ｎの点であり、Ｅは、体Ｆ_q
上に定義された楕円曲線であることを特徴とする方法。
【請求項１１】請求項８記載の方法において、ｇ
は、体Ｆ_qn上に定義された楕円曲線上の点であることを
特徴とする方法。
【請求項１２】請求項８記載の方法において、前記署
名パラメータｋは、区間［１，ｑ−１］内のランダムに
選択された整数であり、前記第１の署名成分は、ｐとｑ
とを、ｑがｐ−１を割る素数として、ｒ＝ｇ^kｍｏｄｐ
ｍｏｄｑによって定義される形式を有することを特徴と
する方法。
【請求項１３】請求項１２記載の方法において、ｈを
ハッシュ関数として、ｅ＝ｈ（ｍ）の値を計算するステ
ップを含み、前記第２の署名成分ｓが、ｓ＝ｋ^-1（ｅ＋
ｄｒ）ｍｏｄｑであることを特徴とする方法。
【請求項１４】請求項１３記載の方法において、前記
値ｋ’を回復するステップは、（ａ）値ｚ＝（ｈ（ｍ）＋ｄｒ）ｍｏｄｑを計算するス
テップと、（ｂ）ｚｍｏｄｑを反転するｚ^-1を計算するステップ
と、（ｃ）ｋ’^-1＝ｓ（ｚ^-1）ｍｏｄｑを計算するステップ
と、（ｄ）ｋ^-1ｍｏｄｑを反転することによって、ｋ’を計
算するステップと、を含むことを特徴とする方法。
【請求項１５】請求項１４記載の方法において、ｋを
確認する前記ステップは、ｒ’＝ｇ^k’ｍｏｄｐｍｏｄ
ｑを計算するステップと、ｋ＝ｋ’を確認するために、
ｒ’をｒと比較するステップと、を含むことを特徴とす
る方法。
【請求項１６】請求項１５記載の方法において、前記
計算において、予め計算されたテーブルを用いるステッ
プを含むことを特徴とする方法。
【請求項１７】請求項１０記載の方法において、署名
パラメータｋは、区間［２，ｎ−２］において選択され
た統計的に一意的であり予測不可能な整数ｋであり、前
記第１の署名成分は、ｎを秘密鍵のｎ座標としてｒ＝ｘ
ｍｏｄｎによって定義される形式を有することを特徴と
する方法。
【請求項１８】請求項１７記載の方法において、ｈ
をハッシュ関数として、ｅ＝ｈ（ｍ）の値を計算するス
テップを含み、前記第２の署名成分ｓが、ｓ＝ｋ^-1（ｅ
＋ｄｒ）ｍｏｄｎであることを特徴とする方法。
【請求項１９】請求項１８記載の方法において、前記
値ｋ’を回復するステップは、（ａ）値ｚ＝（ｈ（ｍ）＋ｄｒ）ｍｏｄｎを計算するス
テップと、（ｂ）ｚｍｏｄｎを反転するｚ^-1を計算するステップ
と、（ｃ）ｋ’^-1＝ｓ（ｚ^-1）ｍｏｄｎを計算するステップ
と、（ｄ）ｋ^-1ｍｏｄｎを反転することによって、ｋ’を計
算するステップと、を含むことを特徴とする方法。
【請求項２０】請求項１９記載の方法において、ｋを
確認する前記ステップは、ｒ’＝ｇ^k’ｍｏｄｎを計算
するステップと、ｋ＝ｋ’を確認するために、ｒ’をｒ
と比較するステップと、を含むことを特徴とする方法。
【請求項２１】請求項９記載の方法において、前記署
名パラメータｋは、区間［１，ｐ−１］内のランダムに
選択された整数であり、前記第１の署名成分は、ｒ＝ｇ
^kｍｏｄｐ、ｈをハッシュ関数、｜｜を連接を表すとし
て、ｅ＝ｈ（ｍ｜｜ｒ）によって定義される形式を有す
ることを特徴とする方法。
【請求項２２】請求項２１記載の方法において、前記
第２の署名成分ｓは、ｓ＝（ｄｅ＋ｋ）ｍｏｄｐによっ
て定義されることを特徴とする方法。
【請求項２３】請求項２２記載の方法において、前記
値ｋ’を回復するステップは、（ａ）値ｋ’＝（ｓ−ｄｅ）ｍｏｄｐを計算するステッ
プと、（ｂ）値ｒ’＝ｇ^kｍｏｄｐを計算するステップと、（ｃ）値ｅ’＝ｈ（ｍ｜｜ｒ’）を計算するステップ
と、（ｄ）ｋ’＝ｋを確認するために、前記値ｅ’をｅと比
較するステップと、を含むことを特徴とする方法。
【請求項２４】電子データ通信システムにおいて証明
機関によって発行された証明書の真正を確認する方法で
あって、前記証明機関が前記証明書に１対の秘密鍵から
導かれた１対の署名成分を含ませるステップと、前記証
明機関が前記秘密鍵の一方を保持するステップと、前記
証明機関が前記証明書を受け取り前記秘密鍵を前記署名
成分に適用し、前記秘密鍵の他方の関数に対応する値を
そこから導くステップと、前記導かれた値を前記関数と
比較し前記証明書の真正を判断するステップと、を含む
ことを特徴とする方法。
【請求項２５】請求項２４記載の方法において、前記
導かれた値は、所定のパラメータと比較され、前記証明
書の真正を判断することを特徴とする方法。
【請求項２６】請求項２４記載の方法において、前記
導かれた値は、前記他方の鍵に対応することを特徴とす
る方法。
【請求項２７】請求項２６記載の方法において、前記
一方の鍵は、複数の署名において用いられる長期的な秘
密鍵であり、前記他方の鍵は、それぞれの署名に対して
導かれる短期的な鍵であることを特徴とする方法。
【請求項２８】請求項２６記載の方法において、前記
署名成分は前記他方の鍵から導かれる公開鍵を含み、更
に、前記導かれた値から対応する公開鍵を導くステップ
と、前記署名成分における前記公開鍵を前記対応する公
開鍵と比較するステップとを含むことを特徴とする方
法。
【請求項２９】データ通信リンクによって接続された
１対の通話者を有するデータ通信システムであって、前
記通話者のそれぞれは、１対の秘密鍵を用いる公開鍵暗
号方式を実現する暗号論的関数を有し、前記秘密鍵の一
方は、前記通話者の間の複数の通信に対して用いられ、
前記秘密鍵の他方は、それぞれの通信に対して前記通話
者の一方によって生成され、前記一方の秘密鍵は、前記
通話者によって共有され、前記秘密鍵の前記他方が前記
一方の通話者によって生成されたデジタル署名から前記
他方の通話者によって回復されることを可能にし、前記
デジタル署名の署名成分と比較されて前記一方の通話者
の真正を確認することを可能にすることを特徴とするデ
ータ通信システム。
【請求項３０】請求項２９記載のデータ通信システム
において、前記暗号論的関数は、楕円曲線暗号システム
を実現することを特徴とするデータ通信システム。