JPH11205306A - 認証装置および認証方法 - Google Patents

Abstract

(57)【要約】 【課題】 ユーザの正当性を認証する認証装置において
個人に属しない特徴情報とユーザ固有の情報とから生成
されるアクセスチケットを用いることで多様なサービス
を実現できる装置および方法を提供する。 【解決手段】 検証装置から証明装置に対して、認証用
データおよびチケット識別子を送信し、証明装置から認
証用データを検証装置に送り、検証装置において、チケ
ット属性変更要求μおよび検証装置認証用データχとに
より検証装置チャレンジρを計算する。証明装置は、ρ
と（ε，ν）を受信し、入力データと検証装置公開鍵識
別子ν’とにより、検証装置公開鍵を検証し、さらに検
証装置チャレンジを検証し、チケット属性変更要求μに
応じてチケット属性レコードＶｉの内容を変更する。さ
らに、証明データ生成部においてリスポンスＲを計算
し、検証装置において、リスポンスＲの正当性を検証す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は認証装置および認証
方法に関する。特に個人に帰属しない性格を有する認証
の特徴情報を公開可能かつ多様な機能を付与した形式で
配布し利用することを可能とする装置および方法を提供
する。本発明の認証装置および認証方法を用いれば、複
雑な証明機構を構築する必要のないディジタルチケット
システムを実現することが可能となる。

【０００２】

【従来の技術】近年のネットワーク技術の発達により、
さまざまな情報がディジタル化され通信ネットワークを
介して世界中を流通する時代が到来している。その中で
世界中に張り巡らされたネットワークであるインターネ
ットを利用したビジネスが急速に立ち上がりつつある。
インターネットによるチケット予約サービス等はその一
例であり、ユーザは航空券、ホテルまたは映画館の予約
をインターネットで行うことも現実となりつつある。し
かし、ネットワークを流通するディジタル情報には、偽
造や改ざんといった問題がつきまとうため、ディジタル
情報の正当性を保証する技術が重要となっている。

【０００３】本発明と同じ認証に関する分野に属する従
来技術として、ディジタル署名技術が挙げられる。ディ
ジタル署名技術の代表的な例として、離散対数問題の困
難性に安全性の根拠をおくエルガマル署名法（ＥｌＧａ
ｍａｌ，Ｔ．：Ａ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔ
ｏｓｙｓｔｅｍ ａｎｄ ａ ｓｉｇｎａｔｕｒｅｓｃ
ｈｅｍｅ ｂａｓｅｄ ｏｎ ｄｉｓｃｒｅｔｅ ｌｏ
ｇａｒｉｔｈｍｓ，ＩＥＥＥ Ｔｒａｎｓ．ｏｎ Ｉｎ
ｆｏｍｅ．Ｔｈｅｏｒｙ，Ｖｏｌ．ＩＴ−３１，Ｎｏ．
４，ｐｐ．４９６−４７２，１９８５）がある。以下、
エルガマル署名法について説明する。

【０００４】署名鍵を（ｘ，α，ｐ）、検証鍵を（ｙ，
α，ｐ）とする。ここでｘは秘密整数、ｙは公開整数、
ｐは素数、αはｐ未満のある正定数である。これらの整
数の間には、式（１）で示す関係がある。

【０００５】

【数１】（１）ｙ＝α^x（ｍｏｄ ｐ）

【０００６】公開整数ｙから秘密整数ｘを求めるのは離
散対数問題であり、ｐが十分大きければ（例えば５００
ビット以上）、秘密整数ｘを計算により求めることは困
難である。証明者はｐ−１と互いに素な乱数ｋを生成
し、式（２）（３）により、メッセージｍに対する署名
（ｒ，ｓ）を計算する。

【０００７】

【数２】（２）ｒ＝α^k（ｍｏｄ ｐ）

【０００８】

【数３】 （３）ｓ＝（ｈ（ｍ）−ｘｒ）ｋ^-1（ｍｏｄ ｐ−１）

【０００９】ここで、ｈは一方向性ハッシュ関数を表
す。証明者はメッセージｍと署名（ｒ，ｓ）を検証側に
送る。検証者はｍ，（ｒ，ｓ）を受け取って、以下に示
す式（４）が成立するかを確認する。

【００１０】

【数４】（４）α^h(m)＝ｙ^rｒ^s（ｍｏｄ ｐ）

【００１１】式（４）が成立することで、ｍが証明者に
より作成されたメッセージであることが証明される。デ
ィジタル署名法には、この他に同様に離散対数問題の困
難さに安全性の根拠を置くＤＳＡ（Ｄｉｇｉｔａｌ Ｓ
ｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）、Ｓｃｈｎｏ
ｒｒ署名法や、零知識証明法に基づいたＧ−Ｑ（Ｇｕｉ
ｌｌｏｕ， Ｑｕｉｓｑｕａｔｅｒ）および、一般的に
よく知られるＲＳＡ（Ｒｉｖｅｓｔ，Ｓｈａｍｉｒ，Ａ
ｄｌｅｍａｎ）署名法等が挙げられる。

【００１２】しかし、以上で説明したようなディジタル
署名法を上記チケット予約サービスに用いた場合は、次
のような問題がある。

【００１３】検証者は、証明者各々に対する固有の検証
鍵が正しいもの、すなわち間違いなくその証明者に対す
る正しい検証鍵であるかを確認しなければならない。そ
の確認のためには、認証局（Ｃｅｒｔｉｆｉｃａｔｅ
Ａｕｔｈｏｒｉｔｙ）が発行した、証明者の検証鍵に対
する証明書（Ｃｅｒｔｉｆｉｃａｔｅ）が必要となる。
検証者は認証を行う証明者に対する証明書を入手して、
予めテーブルに保管しておくか、あるいは検証時に何ら
かの方法で入手する必要がある。予めテーブルに保管す
る場合は、検証者は予め検証鍵の正当性を確認しておく
ことが可能となるが、検証時に入手する方法では、検証
の際の手順が１ステップ増えることとなる。また、検証
者は証明者全てに対して、検証鍵を用意し、その正当性
を確認する必要があり、たとえば駅の改札のように不特
定多数のユーザを対象として個々の認証を行う場合など
には対応が困難となる。

【００１４】また、ディジタル署名法式では、ユーザが
正しい証明鍵を所有していることは確認できるが、ユー
ザがどのような権利を有しているかを確認するには、別
の機構が必要となる。たとえば、ユーザにより署名され
たメッセージでユーザの権利を表す場合は、メッセージ
に権利を与えた者の署名が含まれている必要がある。従
って、検証者は証明鍵の検証と、メッセージの内容の検
証を同時に行う必要があり、検証者に過大な負担がかか
ることとなる。

【００１５】さらに、検証者の方から、証明者に何らか
の作用（たとえばプリペイドの度数を引き落とすなど）
を起こさせる場合にも、証明者の方で検証者の検証鍵を
用意する、すなわち検証者が正しい検証者であるかを確
認するといった追加の認証が必要となり、このために検
証者に対する証明書が必要となる。従って、上記ディジ
タル署名法のみで、プリペイド機能や回数券機能および
キャンセル機能などを持ったチケットを実現するには、
多くの認証鍵や証明鍵を必要とする複雑な認証構成を構
築せざるおえないという問題がある。

【００１６】

【発明が解決しようとする課題】本発明は、このような
問題に鑑みなされたものであり、認証時に検証鍵の証明
書を必要としない、ユーザ認証方式を提供することを目
的とする。

【００１７】また、ユーザとユーザが所有する権利を同
時に検証することが可能な、ユーザ認証方式を提供する
ことを目的とする。

【００１８】また、プリペイド機能や回数券機能および
キャンセル機能等の一般的なチケットの機能を実現する
ことのできるディジタル・チケットを提供することを目
的とする。

【００１９】

【課題を解決するための手段】本発明によれば、上記の
目的を達成するためになされたものであり、本発明のデ
ータ交換システムにおける認証装置中の証明装置は、ユ
ーザの正当性を証明する証明装置および該ユーザが正当
な権利を有することを検証する検証装置とを有するデー
タ交換システムにおける証明装置であり、前記検証装置
認証用データを記憶する証明装置第１の記憶手段と、前
記証明装置の証明装置認証用データと前記検証装置の検
証装置証明データとを記憶する証明装置第２の記憶手段
と、前記証明装置を管理するユーザの固有情報を記憶す
る証明装置第３の記憶手段と、前記検証装置の検証装置
検証鍵を記憶する証明装置第４の記憶手段と、前記検証
装置の要求データと前記検証装置認証用データとに施さ
れた検証装置署名を前記検証装置検証鍵を用いて検証す
る検証装置署名検証手段と、前記ユーザ固有情報と前記
証明装置の証明装置認証用データとに所定の計算を施し
て証明データを生成する証明データ生成手段とを有する
ことを特徴とする。

【００２０】また、本発明の証明装置は、さらに乱数生
成手段と、前記乱数生成手段により生成された乱数を記
憶する証明装置第５の記憶手段とを有し、前記検証装置
認証用データは、前記乱数生成手段により生成された乱
数に所定の演算を施した値であることを特徴とする。

【００２１】また、本発明の証明装置は、さらに前記ユ
ーザの固有情報とアクセス資格認証の特徴情報とに対
し、所定の計算を実行した結果である証明用補助情報を
記憶する証明用補助情報記憶手段を有し、前記証明デー
タ生成手段は、前記ユーザ固有情報と、前記証明装置認
証用データ及び前記証明用補助情報とに所定の計算を施
して証明データを生成することを特徴とする。

【００２２】また、本発明の証明装置は、さらに、ユー
ザの有する権利の種類を記述する権利記述を記憶する権
利記述記憶手段を有し、前記証明データ生成手段は、前
記ユーザ固有情報、前記証明装置認証用データ及び前記
権利記述とに所定の計算を施して前記証明データを生成
することを特徴とする。

【００２３】また、本発明の証明装置は、少なくとも、
前記証明装置第３の記憶手段および前記証明データ生成
手段は、内部データ及び処理手続きを外部から観測する
ことを困難ならしめる防御手段中に保存されていること
を特徴とする。

【００２４】また、本発明の証明装置は、少なくとも、
前記証明装置第３の記憶手段および前記証明データ生成
手段は、ＩＣカード等の携帯可能な小型演算装置として
構成されていることを特徴とする。

【００２５】また、本発明のデータ交換システムにおけ
る認証装置中の検証装置は、ユーザの正当性を証明する
証明装置および該ユーザが正当な権利を有することを検
証する検証装置とを有するデータ交換システムにおける
検証装置において、前記証明装置認証用データを記憶す
る検証装置第１の記憶手段と、前記検証装置認証用デー
タと前記証明装置の証明装置証明データとを記憶する検
証装置第２の記憶手段と、前記検証装置署名鍵を記憶す
る検証装置第３の記憶手段と、前記検証装置の要求デー
タと前記検証装置認証用データとを結合し、前記検証装
置署名鍵により検証装置署名を生成するする検証装置署
名生成手段と、前記証明装置の証明装置証明データを検
証する検証手段とを有することを特徴とする。

【００２６】また、本発明の検証装置は、さらに乱数生
成手段を有し、前記検証装置署名生成手段は、前記乱数
生成手段により生成された乱数と、前記検証装置要求デ
ータおよび前記検証装置認証用データとを結合し、前記
検証装置署名鍵により検証装置署名を生成することを特
徴とする。

【００２７】また、本発明のデータ交換システムにおけ
る認証装置は、ユーザの正当性を証明する証明装置およ
び該ユーザが正当な権利を有することを検証する検証装
置とを有し、ユーザが正当な権利を有することを認証す
る認証装置であり、前記検証装置は、前記証明装置認証
用データを記憶する検証装置第１の記憶手段と、前記検
証装置認証用データと前記証明装置の証明装置証明デー
タとを記憶する検証装置第２の記憶手段と、前記検証装
置署名鍵を記憶する検証装置第３の記憶手段と、前記検
証装置の要求データと前記検証装置認証用データとを結
合し、前記検証装置署名鍵により検証装置署名を生成す
るする検証装置署名生成手段と、前記証明装置の証明装
置証明データを検証する検証手段とを有し、前記証明装
置は、前記検証装置認証用データを記憶する証明装置第
１の記憶手段と、前記証明装置の証明装置認証用データ
と前記検証装置の検証装置証明データとを記憶する証明
装置第２の記憶手段と、前記証明装置を管理するユーザ
の固有情報を記憶する証明装置第３の記憶手段と、前記
検証装置の検証装置検証鍵を記憶する証明装置第４の記
憶手段と、前記検証装置の要求データと前記検証装置認
証用データとに施された検証装置署名を前記検証装置検
証鍵を用いて検証する検証装置署名検証手段と、前記ユ
ーザ固有情報と前記証明装置の証明装置認証用データと
に所定の計算を施して証明データを生成する証明データ
生成手段とを有することを特徴とする。

【００２８】また、前記認証装置における証明装置は、
さらに前記ユーザの固有情報とアクセス資格認証の特徴
情報とに対し、所定の計算を実行した結果である証明用
補助情報を記憶する証明用補助情報記憶手段を有し、前
記証明データ生成手段は、前記ユーザ固有情報と、前記
証明装置認証用データ及び前記証明用補助情報とに所定
の計算を施して証明データを生成することを特徴とす
る。

【００２９】また、前記認証装置における証明装置は、
さらに、ユーザの有する権利の種類を記述する権利記述
を記憶する権利記述記憶手段を更に有し、前記証明デー
タ生成手段は、前記ユーザ固有情報、前記証明装置認証
用データ及び前記権利記述とに所定の計算を施して前記
証明データを生成することを特徴とする。

【００３０】さらに、本発明のデータ交換システムにお
ける認証方法は、ユーザの正当性を証明する証明装置お
よび該ユーザが正当な権利を有することを検証する検証
装置とを有するデータ交換システムにおける認証方法で
あり、前記証明装置において入手したアクセスチケット
を証明装置中のチケット格納ファイルへ入力するステッ
プと、前記検証装置から前記証明装置に対して、前記証
明装置の証明装置認証用データＣおよびチケット識別子
ｎを送信するステップと、前記証明装置において、前記
検証装置から受領したチケット識別子ｎに対応するチケ
ットを前記チケット格納ファイルから検索するステップ
と、前記証明装置の乱数発生部において、乱数χを生成
し乱数記憶部に記憶すると共に、前記検証装置に送るス
テップと、前記検証装置において、前記証明装置から受
信した乱数χを前記検証装置中のデータ記憶部に記憶す
るステップと、前記検証装置中の検証装置チャレンジ計
算部において、少なくともチケット属性変更要求μおよ
び乱数χとにより検証装置チャレンジρを計算するステ
ップと、前記検証装置中の検証装置チャレンジ計算部に
おいて計算された検証装置チャレンジρと検証装置公開
鍵（ε，ν）とを前記証明装置に送信するステップと、
前記証明装置において、前記検証装置から受領した検証
装置チャレンジρ、および検証装置公開鍵（ε，ν）を
データ記憶部に記憶すると共に、該受領した検証装置公
開鍵（ε，ν）を検証装置公開鍵検証部へ入力するステ
ップと、前記証明装置中の前記検証装置公開鍵検証部に
おいて、入力されたデータと検証装置公開鍵識別子ν’
とにより、検証装置公開鍵を検証するステップと、前記
証明装置中の検証装置チャレンジ検証部において、検証
装置チャレンジの検証を実行するステップと、前記検証
装置公開鍵検証部において前記検証装置公開鍵の検証に
成功したこと、および前記検証装置チャレンジ検証部に
おいて前記検証装置チャレンジの検証に成功したことを
条件として、前記チケット属性変更要求μに応じてチケ
ット属性レコードＶｉの内容を変更するステップと、前
記証明装置から前記検証装置に送るメッセージＭと前記
証明装置の証明装置認証用データＣとに基づいて、前記
証明装置中の証明データ生成部においてレスポンスＲを
計算するステップと、前記検証装置において、前記証明
装置から受信したレスポンスＲをデータ記憶部に記憶す
ると共に、レスポンスＲの正当性を検証するステップ
と、を有することを特徴とする。

【００３１】さらに、本発明のデータ交換システムにお
ける認証方法において、証明装置中の証明データ生成部
においてレスポンスＲを計算するステップにおける前記
レスポンスＲの計算は、さらにチケット鍵ｔ、ユーザ固
有情報ｄｕ、チケット仕様Ｌ、およびチケット識別子ｎ
に基づいて実行されるステップであることを特徴とす
る。

【００３２】さらに、本発明のデータ交換システムにお
ける認証方法において、前記検証装置公開鍵を検証する
ステップは、入力されたデータと検証装置公開鍵識別子
ν’とにより、式：ν’＝ｈ（ε‖ν）が成り立つこと
を検証するステップであり、前記検証装置チャレンジを
検証するステップは、式：ρ^e ｍｏｄ ν＝χ‖μ
（式の表記中、ｅはεの代替使用であり、εを意味す
る。）が成り立つことを検証するステップであることを
特徴とする。

【００３３】さらに、本発明のデータ交換システムにお
ける認証方法において、前記証明データ生成部において
レスポンスＲを計算するステップのレスポンスＲの計算
は、式：Ｒ＝（Ｃ‖Ｍ）^t+f(du,L,n)ｍｏｄ ｎに基づ
いて実行されることを特徴とする。

【００３４】さらに、本発明のデータ交換システムにお
ける認証方法は、ユーザの正当性を証明する証明装置お
よび該ユーザが正当な権利を有することを検証する検証
装置とを有するデータ交換システムにおける認証方法で
あり、前記証明装置において入手したアクセスチケット
を証明装置中のチケット格納ファイルへ入力するステッ
プと、前記検証装置から前記証明装置に対して、チケッ
ト公開鍵ｙもしくはチケット識別情報ｙｉｄの少なくと
もいずれかを送信するステップと、前記証明装置におい
て、前記検証装置から受領したチケット公開鍵ｙもしく
はチケット識別情報ｙｉｄに対応するチケットを前記チ
ケット格納ファイルから検索するステップと、前記証明
装置の乱数発生部において、乱数ｋを生成し前記証明装
置中の乱数記憶部に記憶すると共に、該証明装置中の証
明装置チャレンジ計算部に送るステップと、前記証明装
置チャレンジ計算部において、証明装置チャレンジχを
計算し、該証明装置中のチャレンジ記憶部に記憶すると
共に前記検証装置に送信するステップと、前記検証装置
において、前記証明装置から受信したチャレンジχを前
記検証装置中のデータ記憶部に記憶するステップと、前
記検証装置において、乱数発生部で乱数ｒを生成し、前
記検証装置中の乱数記憶部に記憶すると共に検証装置チ
ャレンジ計算部に送るステップと、前記検証装置チャレ
ンジ計算部において、チケット属性変更要求μと乱数ｒ
およ証明装置チャレンジχとにより検証装置チャレンジ
ρを計算するステップと、前記検証装置において、検証
装置チャレンジρと検証装置公開鍵（ε，ν）とを証明
装置に送信するステップと、前記証明装置において、受
領した検証装置チャレンジρ、検証装置公開鍵（ε，
ν）をデータ記憶部に記憶すると共に、該受領した検証
装置公開鍵（ε，ν）を検証装置公開鍵検証部へ入力す
るステップと、前記検証装置公開鍵検証部において、入
力されたデータと検証装置公開鍵識別子ν’とにより、
検証装置公開鍵を検証するステップと、検証装置チャレ
ンジ検証部において、検証装置チャレンジを検証するス
テップと、前記検証装置公開鍵の検証に成功したこと、
および検証装置チャレンジの検証に成功したことを条件
として、前記チケット属性変更要求μに応じてチケット
属性レコードＶｉの内容を変更するステップと、前記証
明装置から前記検証装置に送るメッセージＭと乱数ｒと
に基づいて、署名ｓを計算するステップと、前記検証装
置において、受信した署名ｓをデータ記憶部に記憶する
と共に、署名ｓの正当性を検証するステップと、を有す
ることを特徴とする。

【００３５】さらに、本発明のデータ交換システムにお
ける認証方法において、前記証明装置中の証明データ生
成部において署名ｓを計算するステップにおける計算
は、さらにチケット鍵ｔ、ユーザ固有情報ｄｕ、チケッ
ト仕様Ｌ、およびチケット公開鍵ｙに基づいて実行され
るステップであることを特徴とする。

【００３６】さらに、本発明のデータ交換システムにお
ける認証方法において、前記検証装置公開鍵を検証する
ステップは、入力されたデータと検証装置公開鍵識別子
ν’とにより、式：ν’＝ｈ（ε‖ν）が成り立つこと
を検証するステップであり、前記検証装置チャレンジを
検証するステップは、式：ρ^e ｍｏｄ ν＝χ‖ｒ‖
μ（式の表記中、ｅはεの代替使用であり、εを意味す
る。）が成り立つことを検証するステップであることを
特徴とする。

【００３７】さらに、本発明のデータ交換システムにお
ける認証方法において、前記証明データ生成部において
署名ｓを計算するステップの署名ｓの計算は、式：ｓ＝
ｋ＋ｈ（ｒ‖Ｍ）（ｆ（ｄｕ，Ｌ，ｙ）＋ｔ）ｍｏｄ
ｑに基づいて実行されることを特徴とする。

【００３８】

【発明の実施の形態】［実施例１］まず、本発明の原理
的な構成の概要について図１に示すチケット認証システ
ムの構成ブロック図を用いて説明する。図１においてチ
ケット認証システムは検証装置１１０および証明装置１
５０を有している。証明装置１５０はユーザが所有して
おり、たとえば携帯可能なＩＣカード等として実現さ
れ、アクセスチケット生成装置１８０からアクセスチケ
ット（証明用補助データ）１８１を受領するようになっ
ている。アクセスチケットの受領は、通信による方法、
またはフロッピーディスケット等の記憶媒体の送付によ
ることができる。検証装置１１０は検証ルーチン１１２
を実行する。証明装置１５０はユーザ固有情報１５２お
よびチケット格納ファイル１５４に格納したアクセスチ
ケットを保持し、証明データ生成プログラム１５１を実
行する。

【００３９】アクセスチケット生成装置１８０はアクセ
ス資格認証の特徴情報１８３およびユーザの固有情報１
８２に基づいてアクセスチケット１８１を生成する。ア
クセスチケット１８１は、例えばネットワークや記憶媒
体等を通してユーザに送付することが可能であり、送付
されたチケットはユーザの証明データ生成装置内のチケ
ット格納ファイル１５４に保持される。

【００４０】検証装置１１０は認証用データまたはチケ
ット属性変更要求１１１を証明データ生成装置に送信す
る。検証装置１１０の検証ルーチン１１２は、ユーザの
証明装置１５０が保持する証明データ生成プログラム１
５１と通信し、返信結果が正しい場合に限りユーザにサ
ービスを提供する。従って、検証装置１１０から証明装
置１５０に対する認証用データに対して、証明装置１５
０から返信される検証用データについて、その正当性を
評価するために例えば各種の計算を実行するように構成
される。ユーザからの返信データの正当性が検証ルーチ
ンによって認められなかった場合には、ユーザはサービ
スを受けることができない。

【００４１】証明装置１５０はアクセスチケットおよび
ユーザ固有情報１５２を用いて証明用データを生成し、
これを検証装置１１０に送信する。ユーザ固有情報は、
パスワード認証におけるパスワードに相当するものであ
り、ユーザの身許を証明する重要な情報である。ユーザ
がユーザ固有情報をコピーして配布することができる
と、正当な利用権を持たないユーザにもサービスの不正
を許すことになるので、ユーザ固有情報はその正当な保
持者であるユーザもこれを窃取することができないよう
に、適切な防御手段によって保護されることが望まし
い。この防御手段は耐タンパーハードウェアと呼ばれる
ハードウェアによって実現可能である。耐タンパーハー
ドウェアについては後段で詳述する。

【００４２】証明装置１５０には、ユーザ固有情報１５
２に加えて、所定の計算手続きを実行する証明データ生
成プログラム１５１が与えられる。このプログラムは、
検証装置１１０の検証ルーチン１１２と通信を行い、ユ
ーザ固有情報１５２およびアクセスチケット情報に基づ
いて計算を実行し、ユーザの所有する権利を証明するデ
ータを生成する。

【００４３】また、証明装置１５０はチケット属性変更
要求１１１に基づいてチケット属性の変更を行う。検証
装置１１０は検証用データの正当性を検証する。検証用
データの正当性が検証されれば、ユーザが正当な権利
（チケット）を有することが認証される。このように検
証装置１１０と証明装置１５０は互いに認証を行って、
ユーザが正当な権利を有することを証明すると共に、証
明装置１５０内のチケット属性に作用を及ぼすことでデ
ィジタルチケットの機能を実現する。

【００４４】以下、図２乃至図６を用いて本発明の第１
の実施例を詳細に説明する。図２及び図３において、検
証装置２１０はアクセスチケット公開鍵記憶部２１１、
検証器公開鍵記憶部２１２、乱数発生部１，２１３、乱
数記憶部１，２１４、データ送信部１，２１５、データ
受信部１，２１６、データ記憶部１，２１７、検証器チ
ャレンジ計算部２１８、及び検証部２１９とから構成さ
れる。

【００４５】また、証明装置２５０は、乱数発生部２，
２５２、乱数記憶部２，２５１、チケット格納部２５
４、チケット属性格納部２５５、ユーザ固有情報記憶部
２５８、データ受信部２，２５３、データ送信部２，２
５６、データ記憶部２，２５７、検証器公開鍵検証部２
５９、検証器チャレンジ検証部２６０及び証明データ生
成部２６１とから構成される。

【００４６】証明装置２５０は、ユーザが所有してお
り、たとえば携帯可能なＩＣカード等で構成される。検
証装置２１０は、たとえば駅の改札ゲート、あるいは会
員制のショッピングカード認識システム等であり、ユー
ザが例えばＩＣカードによって構成される証明装置２５
０の使用に関して正当な権利を有するか否かを検証す
る。ユーザが正当な権利を有することは、アクセスチケ
ットを所有することで証明される。アクセスチケット
は、図４に示すようにユーザ識別子Ｕ、チケット識別子
ｎ（この実施例ではアクセスチケット公開鍵の法数を用
いている）、チケット鍵ｔ、チケット仕様Ｌ、チケット
属性識別子ｉ及びセンタの署名Ｓｃから構成される。チ
ケット仕様Ｌについては後段で図６を用いて詳細に説明
する。チケット鍵ｔは、アクセスチケット秘密鍵をＤと
すると、以下に示す式（５）により計算される。

【００４７】

【数５】（５）ｔ＝Ｄ−ｆ（ｄｕ，Ｌ，ｎ） ここで、ｄｕはユーザの固有情報を表し、秘密の値とし
てチケット発行センター及び証明装置に記憶されてい
る。関数ｆは、秘密の一方向性関数を表す。

【００４８】チケット発行センターは図１で示したアク
セスチケット生成装置１８０を有しており、アクセスチ
ケットを利用するユーザ又はサービスプロバイダからの
要求により、アクセスチケットを生成してユーザへ送信
する。アクセスチケットは、前述のように例えばネット
ワークや記憶媒体等を通してユーザに送付する。ユーザ
はアクセスチケットを受け取ると証明装置に入力する。
証明装置は、チケットが入力されるとユーザ識別子Ｕと
センターの署名をＳｃ検証し、チケット識別子ｎ、チケ
ット鍵ｔ、チケット仕様Ｌ及びチケット属性識別子ｉを
チケット格納ファイル１５４へ格納する。

【００４９】証明装置１５０内のチケット格納ファイル
１５４には複数のアクセスチケットを格納することが可
能であり、格納されたアクセスチケットの検索は、チケ
ット識別子ｎによって行われる。アクセスチケット格納
に伴って、証明装置内で格納アクセスチケットに対応す
るチケット属性レコードＶｉが生成されチケット属性格
納ファイル１５３に格納される。チケット属性レコード
はチケット属性識別子ｉにより検索される。

【００５０】チケット属性レコードはたとえば図５に示
すような構成になっている。図５に示す例において、ｉ
はチケット属性識別子、Ｔは有効期限、Ｖａは度数、Ｍ
ｅはメッセージをそれぞれ表す。これらのチケット属性
レコードは、図５に示す例以外にもチケットに特有の各
種の属性レコード、例えばプリペイド機能を有するもの
であれば使用可能金額等、チケットに対応する各種の属
性情報を含ませることが可能である。

【００５１】また、図６にチケット仕様Ｌの構造を示
す。チケット仕様Ｌはチケット属性中のそれぞれの値が
変更可能かどうかを表す情報Ｔ’、Ｖａ’、Ｍｅ’を含
む。ここで、Ｔは有効期限、Ｖａは度数、Ｍｅはメッセ
ージであり、図６中のＴ’、Ｖａ’、Ｍｅ’は、これら
各々の情報の書き換えの可否を示している。仕様Ｌは、
さらにチケットが有効かどうかを表す情報Ａ、及び検証
器公開鍵識別子ν’とを有している。検証器公開鍵識別
子ν’は、以下に示す式（６）を満たすように計算され
る。

【００５２】

【数６】（６）ν’＝ｈ（ε‖ν） ここで、ｈは一方向性関数を表し、‖はビット列の結合
を表す。

【００５３】以下、図２及び図３に示す本発明の認証シ
ステムの構成ブロック図を用いてチケット認証の手順を
説明する。図２は本発明の認証システムの検証装置およ
び証明装置における認証ステップの前半のデータの生成
およびデータの流れを示す図であり、図３は、認証シス
テムにおける認証ステップの後半の各構成要素間でのデ
ータのながれを詳細に示したブロック図である。図２お
よび図３において、同一構成要素については同一番号を
付している。

【００５４】図２に示すように、検証装置２１０は、乱
数Ｃを生成し、生成した乱数Ｃとチケット識別子ｎを証
明装置２５０に送信する。また生成した乱数Ｃは、乱数
記憶部１，２１４に記憶される。証明装置２５０では、
乱数Ｃとチケット識別子ｎ（Ｃ，ｎ）を受信すると、乱
数Ｃをデータ記憶部２，２５７に記憶すると共に、チケ
ット識別子ｎを用いてチケットを検索し、チケット識別
子ｎに対応するチケットが存在することを確認する。チ
ケットが確認されると、チケット識別子ｎに対応するチ
ケット属性ｉをもとにチケット属性格納部２５５からチ
ケット属性レコードを検索する。次に証明装置２５０で
は乱数発生部２５２により乱数χを生成し、乱数記憶部
２，２５１に乱数χを記憶すると共に検証装置２１０に
送信する。検証装置２１０では、乱数χを受信するとデ
ータ記憶部１，２１７に記憶する。

【００５５】次に、図３に示すように検証装置２１０
は、検証器チャレンジ計算部２１８おいて、チケット属
性変更要求μと乱数χとにより検証器チャレンジρを式
（７）に従って計算する。

【００５６】

【数７】（７）ρ＝（χ‖μ）^d ｍｏｄ ν （式の表記中、ｄはδの代替使用であり、δを意味す
る。）ここで、（δ，ν）は検証器秘密鍵である。

【００５７】次に、検証装置２１０は、、検証器チャレ
ンジ計算部２１８おいて計算された検証器チャレンジρ
と検証器公開鍵記憶部２１２に記憶された検証器公開鍵
（ε，ν）とをデータ送信部２１５を介して証明装置２
５０に送信する。証明装置２５０では、データ受信部２
５３において検証器チャレンジρ、検証器公開鍵（ε，
ν）を受信すると、これらの値をデータ記憶部２，２５
７に記憶すると共に、検証器公開鍵（ε，ν）を検証器
公開鍵検証部２５９へ入力する。検証器公開鍵検証部２
５９では、入力されたデータと検証器公開鍵識別子ν’
とにより式（６）が成り立つことを検証する。式（６）
の検証に成功したら、検証器チャレンジ検証部２６０に
より、以下に示す式（８）が成り立つことを検証する。

【００５８】

【数８】（８）ρ^e ｍｏｄ ν＝χ‖μ （式の表記中、ｅはεの代替使用であり、εを意味す
る。） 式（６）及び式（８）が成り立つことで証明装置２５０
は、正当な検証装置と通信していることが確認できる。
式（６）が成り立たない場合は、検証装置が不正である
ことを示している。また、式（８）が成り立たない場合
は、証明装置が直前に送った乱数χに対応したチケット
属性変更要求μでないことを示しており、リプレイアタ
ック等の不正が考えられる。リプレイアタックとは、正
常な実行過程における通信内容を記憶保持しておいて、
以後のプログラム実行の際に、記憶した通りにアプリケ
ーションプログラムへの応答を行うことでプログラムを
実行させる不正行為である。

【００５９】検証器チャレンジ検証部２６０により、上
記式（８）が成り立つことが検証され、検証器チャレン
ジρの検証に成功すると、チケット属性変更要求μに応
じてチケット属性レコードＶｉの内容が変更される。次
に、証明データ生成部２６１で、以下に示す式（９）に
従って、レスポンスＲが計算される。

【００６０】

【数９】（９）Ｒ＝（Ｃ‖Ｍ）^t+f(du,L,n)ｍｏｄ ｎ ここで、Ｍは証明装置２５０から検証装置２１０に送る
メッセージを表す。

【００６１】前述の式（５）を用いると、上記式（９）
は、以下の式（１０）のように変形できる。

【００６２】

【数１０】（１０）Ｒ＝（Ｃ‖Ｍ）^D ｍｏｄ ｎ

【００６３】上記式（１０）により、計算されたレスポ
ンスＲは、（Ｃ‖Ｍ）をアクセスチケットの秘密鍵
（Ｄ，ｎ）で暗号化したものであることがわかる。レス
ポンスＲは検証装置２１０へ送信される。検証装置２１
０では、受信したレスポンスＲをデータ記憶部１，２１
７に記憶すると共に、検証部２１９で、以下に示す式
（１１）を実行し、レスポンスＲの正当性を検証する。

【００６４】

【数１１】（１１）Ｒ^E ｍｏｄ ｎ＝Ｃ‖Ｍ ここで、Ｅはアクセスチケット公開鍵指数を表す。

【００６５】上記式（１１）において、検証装置２１０
はレスポンスＲをアクセスチケット公開鍵（Ｅ，ｎ）で
復号することになる。検証装置２１０はメッセージＭの
値は知らないが、復号した値の先頭に乱数記憶部１，２
１４に記憶されている乱数Ｃが含まれていることで、検
証が成功したことを確認する。メッセージＭには、認証
装置での作用の結果、たとえばチケット属性レコードの
変更後の値等を入れることで、検証装置２１０が認証装
置の内部状態を知ることができるようにしてもよい。

【００６６】上記実施例１における説明に用いた図２お
よび図３に示す証明装置２５０および検証装置２１０の
各構成要素および各データを、本発明の特許請求の範囲
に記載された要素とを対応づけると以下のようになる。

【００６７】証明装置２５０は、検証装置認証用データ
χを記憶する証明装置第１の記憶手段（乱数記憶部２５
１）と、証明装置２５０の証明装置認証用データＣと検
証装置２１０の検証装置証明データρとを記憶する証明
装置第２の記憶手段（データ記憶部２５７）と、証明装
置２５０を管理するユーザの固有情報ｄｕを記憶する証
明装置第３の記憶手段（ユーザ固有情報記憶部２５８）
と、検証装置２１０の検証装置検証鍵（ε，ν）を記憶
する証明装置第４の記憶手段（データ記憶部２５７）
と、検証装置２１０の要求データμと検証装置認証用デ
ータχとに施された検証装置署名を前記検証装置検証鍵
（ε，ν）を用いて検証する検証装置署名検証手段（検
証器チャレンジ検証部２６０）と、ユーザ固有情報ｄｕ
と証明装置２５０の証明装置認証用データＣとに所定の
計算を施して証明データを生成する証明データ生成手段
（証明データ生成部２６１）とを有する。

【００６８】証明装置２５０は、さらに乱数生成手段
（乱数発生部２５２）と、乱数生成手段により生成され
た乱数を記憶する証明装置第５の記憶手段（図示せず）
とを有する。

【００６９】一方、検証装置２１０は、証明装置認証用
データＣを記憶する検証装置第１の記憶手段（乱数記憶
部２１４）と、検証装置認証用データχと証明装置の証
明装置証明データＲとを記憶する検証装置第２の記憶手
段（データ記憶部１，２１７）と、検証装置署名鍵
（δ，ν）を記憶する検証装置第３の記憶手段（検証部
公開鍵記憶部２１２）と、検証装置２１０の要求データ
μと検証装置認証用データχとを結合し、検証装置署名
鍵（δ，ν）により検証装置署名を生成するする検証装
置署名生成手段（検証器チャレンジ計算部２１８）と、
証明装置２５０の証明装置証明データＣを検証する検証
手段（検証部２１９）とを有する。

【００７０】検証装置は、さらに乱数生成手段２１３を
有し、検証装置署名生成手段（検証器チャレンジ計算部
２１８）は、乱数生成手段２１５により生成された乱数
と、検証装置要求データμおよび検証装置認証用データ
μとを結合し、検証装置署名鍵（δ，ν）により検証装
置署名を生成する。

【００７１】以上の説明では、式（１０）および式（１
１）を見てもわかるように、ＲＳＡ署名法を利用したチ
ケット認証を説明した。しかし、本発明とＲＳＡ署名法
とは以下のような明確な相違がある。

【００７２】まず、ＲＳＡの署名鍵（秘密鍵）（Ｄ，
ｎ）は、ユーザすなわち証明装置ごとに割り当てられて
おらず、たとえば一つの検証装置に対して唯一のＲＳＡ
署名鍵を対応させることができる。本発明において、Ｒ
ＳＡの署名鍵（Ｄ，ｎ）はアクセス資格認証の特徴情報
であり、式（５）でユーザの固有情報ｄｕでカスタマイ
ズされた、証明用補助情報（チケット鍵）ｔに変換され
ている。ここで、証明用補助情報（チケット鍵）ｔから
署名鍵Ｄを求めること、また、複数の証明用補助情報
（チケット鍵）ｔから他のユーザの証明用補助情報（チ
ケット鍵）ｔを求めることは計算量的に困難であること
が証明されている（申吉浩，小島俊一，ディジタル著作
物流通の為のアクセス制御スキーム．電子情報通信学
会：信学技報，ＩＳＥＣ９７−２０，ｐｐ．６５−７３
（１９９７））。従って、署名鍵Ｄは検証装置すら知っ
ている必要はなく、アクセスチケット発行センター等で
一元的に管理すればよい。従って検証装置は、ユーザ毎
に、ＲＳＡ検証鍵（公開鍵）（Ｅ，ｎ）の証明書を保管
しておく必要はなく、唯一のアクセスチケット検証鍵
（Ｅ，ｎ）のみを安全な方法でアクセスチケット発行セ
ンターから入手すればよい。また、チケット鍵ｔは安全
であるため公開可能である。

【００７３】検証装置は複数のユーザを認証する場合で
も唯一の検証鍵を使用することができ、ユーザはアクセ
スチケットを所有していることで、正当な権利があるこ
とが証明される。アクセスチケット中のチケット鍵ｔ
は、証明装置内の秘密情報ｄｕでカスタマイズされてい
るので、アクセスチケットは対応するｄｕを持つ証明装
置でないとチケット認証は成功しない。従って、あるユ
ーザに発行されたアクセスチケットを他のユーザが使用
することはできない。

【００７４】さらに、ディジタル署名方式にはない、ユ
ーザの匿名性を実現することも可能である。ディジタル
署名法式では、検証鍵がユーザごとに割り当てられるの
で、検証鍵を使用した時点で、どのユーザを認証したか
が分かってしまう。しかし、本発明では、すべてのユー
ザに対して同一の検証鍵を用いるので、検証時に認証装
置から渡されるメッセージＭにユーザを特定する情報を
含ませるかどうかを決めておけば、ユーザを特定するこ
とも可能であるし、匿名にすることも可能である。

【００７５】また、チケット仕様（Ｌ：図６参照）およ
びチケット属性レコード（図５参照）を導入したことに
より、以下に示すようなディジタルチケットのさまざま
な機能を実現することが可能になる。ここで、チケット
仕様Ｌは、式（９）にＬが含まれていることで改ざん不
可能となっている。チケット仕様Ｌには、検証器公開鍵
の識別子ν’が含まれおり、上述の式（６）及び式
（７）により検証器の正当性が保証されるので、証明装
置はチケット属性要求μが正しい検証装置からの命令で
あることが認証でき、チケット属性変更要求に従ってチ
ケット属性レコードＶｉを変更しても安全であることが
わかる。この場合の認証も例えば外部の証明機関（Ｃｅ
ｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ）等から検証
装置の証明書（Ｃｅｒｔｉｆｉｃａｔｅ）を入手する必
要はない。

【００７６】チケット属性レコードには、図５に示すよ
うに有効期限Ｔ、度数Ｖａ及びメッセージＭｅを含ませ
て構成することができる。これら各種の情報を組み合わ
せればさまざまなチケットの機能を実現することができ
る。たとえば、有効期限Ｔにより、定期券や期限付きの
会員証等を実現でき、度数Ｖａにより、プリペイドや回
数券が実現可能である。さらにメッセージＭｅにチケッ
トに必要なさまざまな情報たとえば座席番号やオプショ
ン情報を書き込むことにより、映画鑑賞券や航空券とい
ったチケットを実現することができる。さらに、チケッ
ト仕様Ｌに含まれるチケットが有効かどうかを表す情報
Ａを無効にすることでチケットのキャンセルを実現する
ことが可能である。

【００７７】なお、少なくとも証明装置２５０中のユー
ザ固有情報記憶部２５８および証明データ生成部２６１
は、内部データ及び処理手続きを外部から観測すること
を困難ならしめるために所定の防御手段中に保存される
ことが望ましい。この防御手段は、例えばプローブによ
る内部状態の窃取への防御力を有するハードウェア（以
下、耐タンパーハードウェアと呼ぶ）により構成するこ
とができる。

【００７８】耐タンパーハードウェア（タンパーレジス
トハードウェア）の構成法としては、例えば、特許第１
８６３９５３号、特許第１８６０４６３号、特開平３−
１００７５３号公報がある。

【００７９】特許第１８６３９５３号には、情報記憶媒
体の周囲に各種の動体パターンを持つ複数のカードから
なる包囲体を設ける。検出される動体パターンが予測さ
れるパターンと異なるときに記憶情報を破壊する。

【００８０】特許第１８６０４６３号においては、情報
記憶媒体の周囲に動体巻線を形成するとともに積分回路
等からなる検知回路を設けることで、電子回路領域への
侵入があった場合には電磁エネルギーの変動を検知し、
記憶情報を破壊する。

【００８１】特開平３−１００７５３号公報において
は、ハードウェア内部に光検知器を設け、ハードウェア
に力が加えられては買いされた場合や穿孔されたときに
入る外光を光検知器が検知し、記憶破壊装置が記憶情報
をリセットする。

【００８２】これらの耐タンパーハードウェアを、ＩＣ
カードやＰＣカード（ＰＣＭＣＩＡカード）のような携
帯可能な演算装置として実現することにより、ユーザに
対する更なる利便性を提供することができる。また、Ｉ
Ｃカードに実相されるマイクロコントローラは、高密度
実装ゆえに、それ自体で相当の耐タンパー特性を有して
いるとされている。

【００８３】［実施例２］第１の実施例の説明では、Ｒ
ＳＡ署名法を例に本発明を説明してきたが、以下、Ｓｃ
ｈｎｏｒｒ署名法（Ｃ．Ｐ．Ｓｃｈｎｏｒｒ，Ｅｆｆｉ
ｃｉｅｎｔ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ
ｓｉｇｎａｔｕｒｅｓ ｆｏｒ ｓｍａｒｔ ｃａｒｄ
ｓ．Ｐｒｏｃｅｅｄｉｎｇｓ Ｃｒｙｐｔｏ ８９，
Ｕ．Ｓａｎｔａ Ｂａｒｂａｒａ，２０．−２４．８．
１９８９）を例に本発明の第２の実施例を詳細に説明す
る。

【００８４】図７及び図８は、本発明の第２の実施例を
説明するための図である。図７は、本発明の第２の実施
例に係る認証システムの検証装置および証明装置におけ
る認証ステップの前半のデータの生成およびデータの流
れを示すを示す図であり、図８は、認証ステップの後半
の各構成要素間でのデータのながれを詳細に示したブロ
ック図である。図７および図８において、同一構成要素
については同一番号を付している。図７及び図８におい
て、図２及び図３と対応する部分は同じ名前で示してあ
る。異なる部分は、証明装置７５０に証明器チャレンジ
計算部７５３とチャレンジ記憶部７５４とが追加さてい
るところである。

【００８５】証明装置７５０は、ユーザが所有してお
り、たとえば携帯可能なＩＣカード等で構成される。検
証装置７１０は、たとえば駅の改札ゲート等であり、ユ
ーザが正当な権利を有することを検証する。ユーザが正
当な権利を有することは、アクセスチケットを所有する
ことで証明される。アクセスチケットは、図９に示すよ
うにユーザ識別子Ｕ、アクセスチケットの公開鍵ｙ、チ
ケット鍵ｔ、チケット仕様Ｌ、チケット属性識別子ｉ及
びセンタの署名Ｓｃから構成される。チケット鍵ｔは、
アクセスチケット秘密鍵をｘとすると、以下に示す式
（１２）により計算される。

【００８６】

【数１２】 （１２）ｔ＝−（ｘ＋ｆ（ｄｕ，Ｌ，ｙ））ｍｏｄ ｑ ここで、ｄｕはユーザの固有情報を表し、秘密の値とし
てチケット発行センター及び証明装置に記憶されてい
る。関数ｆは、秘密の一方向性関数を表す。ｑは素数を
表し、ｇはｑ未満のある正整数（原始根であることが望
ましい）を表す。また、後述する素数ｐに対し、素数ｑ
はｐ−１を割り切るように生成される。ｘはアクセスチ
ケットの秘密鍵を表し、アクセスチケットの公開鍵ｙと
に、以下に示す式（１３）の関係が成り立つ。

【００８７】

【数１３】（１３）ｙ＝ｇ^x ｍｏｄ ｐ

【００８８】チケット発行センターは図１で示したアク
セスチケット生成装置１８０を有しており、ユーザ又は
サービスプロバイダからの要求により、アクセスチケッ
トを生成してユーザへ送信する。ユーザはアクセスチケ
ットを受け取ると証明装置に入力する。証明装置は、チ
ケットが入力されるとユーザ識別子とセンターの署名を
検証し、チケット公開鍵ｙ、チケット鍵ｔ、チケット仕
様Ｌ及びチケット属性識別子ｉをチケット格納部７５８
へ格納する。チケット格納部には複数のアクセスチケッ
トが格納され、アクセスチケットの検索は、チケット公
開鍵ｙによって行われる。チケット格納部７５８へのア
クセスチケット格納に伴って、証明装置内でチケット属
性レコードＶｉが生成されチケット属性格納部７５９に
格納される。

【００８９】チケット属性レコードはチケット属性識別
子ｉにより検索される。チケット属性レコードはたとえ
ば図５に示すような構成になっている。図５においてい
ｉはチケット属性識別子、Ｔは有効期限、Ｖａは度数、
Ｍｅはメッセージをそれぞれ表す。また、チケット仕様
Ｌも図６に示すような構造になっており、チケット属性
中のそれぞれの値が変更可能かどうかを表す情報Ｔ’、
Ｖａ’、Ｍｅ’、チケットが有効かどうかを表す情報Ａ
及び検証器公開鍵識別子ν’とで構成される。検証器公
開鍵識別子ν’は上述の式（６）を満たすように計算さ
れる。式（６）において、ｈは一方向性関数を表す。

【００９０】以下図７及び図８を用いて、チケット認証
の手順を説明する。検証装置７１０は、チケット公開鍵
ｙを証明装置７５０に送信する。ここで送信するチケッ
ト公開鍵ｙの代わりに、チケットを識別する情報ｙｉｄ
を送信してもよい。また、チケットが１種類しか存在し
なく、チケットの識別が不要である場合は、チケットの
識別情報としては何も送信しなくてよい。

【００９１】証明装置７５０では、チケット公開鍵ｙを
受信すると、チケット公開鍵ｙを用いてチケットを検索
しチケット公開鍵ｙに対応するチケットが存在すること
を確認する。チケットが確認されると、チケット属性ｉ
をもとにチケット属性格納部７５９からチケット属性レ
コードを検索する。次に証明装置７５０では乱数発生部
２，７５２により乱数ｋを生成し、乱数記憶部２，７５
１に記憶すると共に、証明器チャレンジ計算部７５３に
送る。証明器チャレンジ計算部７５３では、以下に示す
式（１４）に従って、証明器チャレンジχを計算し、チ
ャレンジ記憶部７５４に記憶すると共に検証装置７１０
に送信する。

【００９２】

【数１４】（１４）χ＝ｈ（ｇ^k ｍｏｄ ｐ）

【００９３】検証装置７１０では、チャレンジχを受信
するとデータ記憶部１，７１７にチャレンジχを記憶す
る。次に、検証装置７１０は、乱数発生部１，７１３で
乱数ｒを生成し、生成した乱数ｒを乱数記憶部１，７１
４に記憶すると共に、検証器チャレンジ計算部７１８に
送る。検証器チャレンジ計算部７１８では、チケット属
性変更要求μと乱数ｒおよ証明器チャレンジχとにより
検証器チャレンジρを以下に示す式（１５）に従って計
算する。

【００９４】

【数１５】（１５）ρ＝（χ‖ｒ‖μ）^d ｍｏｄ ν （式の表記中、ｄはδの代替使用であり、δを意味す
る。）ここで、（δ，ν）は検証器秘密鍵である。

【００９５】次に、検証装置７１０は、検証器チャレン
ジρと検証器公開鍵（ε，ν）とを証明装置７５０に送
信する。証明装置７５０ではρ、（ε，ν）を受信する
とデータ記憶部２，７５７に記憶すると共に、検証器公
開鍵（ε，ν）を検証器公開鍵検証部７６１へ入力す
る。検証器公開鍵検証部７６１では、入力されたデータ
と検証器公開鍵識別子ν’とにより式上述の（６）が成
り立つことを検証する。式（６）の検証に成功したら、
検証器チャレンジ検証部７６２により、以下に示す式
（１６）が成り立つことを検証する。

【００９６】

【数１６】（１６）ρ^e ｍｏｄ ν＝χ‖ｒ‖μ （式の表記中、ｅはεの代替使用であり、εを意味す
る。）式（６）及び式（１６）が成り立つことで証明装
置７５０は、正当な検証装置７１０と通信していること
が確認できる。

【００９７】検証器チャレンジρの検証に成功すると、
チケット属性変更要求μに応じてチケット属性レコード
Ｖｉの内容が変更される。次に、証明装置７５０から検
証装置７１０に送るメッセージＭと乱数ｒとにより、証
明データ生成部７６３で、以下に示す式（１７）に従っ
て、署名ｓが計算される。

【００９８】

【数１７】（１７）ｓ＝ｋ＋ｈ（ｒ‖Ｍ）（ｆ（ｄｕ，
Ｌ，ｙ）＋ｔ）ｍｏｄ ｑ

【００９９】検証装置７１０では、受信した署名ｓをデ
ータ記憶部１，７１７に記憶すると共に、検証部７１９
で式（１８）を実行し署名ｓの正当性を検証する。

【０１００】

【数１８】（１８）χ＝ｈ（ｇ^sｙ^h(rIIM)ｍｏｄ ｐ） （式の表記中、（ｒＩＩＭ）は（ｒ‖Ｍ）の代替使用で
あり、（ｒ‖Ｍ）を意味する。）ここで、ｙはアクセス
チケット公開鍵を表す。

【０１０１】なお、メッセージＭには、認証装置での作
用の結果、たとえばチケット属性レコードの変更後の値
等を入れることで、検証装置が認証装置の内部状態を知
ることができるようにしてもよい。

【０１０２】以上の説明において、上述した式（１
４）、式（１７）及び式（１８）に用いられるハッシュ
関数はデータを短くして取り扱い易くする目的で用いて
おり、省略することも可能である。さらに、多少の式の
変形も可能であり、たとえば式（１２）、式（１７）及
び式（１８）をそれぞれ式（１９）、式（２０）および
式（２１）のように変形しても同様の効果を得ることが
できる。

【０１０３】

【数１９】式（１２）の変形態様 （１９）ｔ＝ｘ−ｆ（ｄｕ，Ｌ，ｙ）ｍｏｄ ｑ

【０１０４】

【数２０】式（１７）の変形態様 （２０）ｓ＝ｋ−（ｒ‖Ｍ）ｆ（ｄｕ，Ｌ，ｙ）ｍｏｄ
ｑ

【０１０５】

【数２１】式（１８）の変形態様 （２１）χ＝ｈ（ｇ^s-(rIIM)tｙ^rIIM ｍｏｄ ｐ） （式の表記中、ｒＩＩＭはｒ‖Ｍの代替使用であり、ｒ
‖Ｍを意味する。）この場合はチケット鍵ｔを検証装置
が何らかの形（例えば証明装置から取得する。）で入手
する必要がある。

【０１０６】Ｓｃｈｎｏｒｒ署名法を用いた場合は、証
明装置側の署名を計算する式（１８）にべき乗剰余演算
が含まれていないので、ＲＳＡ署名法の場合の式（９）
に比べ著しく計算時間を短縮することができ、ＩＣカー
ド等に適用した場合非常に有用である。べき乗剰余専用
のコプロセッサの搭載されたＩＣカードで実現した場合
でも、計算時間をＲＳＡに比べ約１０分の１に短縮でき
る。

【０１０７】図１０、１１に上述した本発明の実施例２
におけるフローチャートを示す。以下、各ステップにつ
いて各々説明する。

【０１０８】ステップ１（Ｓ１）：ユーザは事前にチケ
ットセンターから、検証装置に対するチケットを入手し
証明装置へ入力しておく。この時ユーザは、チケットに
対応する料金をチケットセンターへ支払うか、後で口座
から利用した分だけ引き落とすかを選択できるようにな
っている。チケットは、サービスプロバイダに対応した
ものであり、例えばサービスプロバイダを商店Ａとする
と、ユーザは商店Ａの所有する検証器に対して同じチケ
ットを使用することが可能である。ユーザは、商店Ａで
買い物をすると商店Ａに置いてある検証装置で清算をす
る。その際にユーザは、認証装置（例えばＩＣカード）
を検証装置に差し込む。

【０１０９】ステップ２（Ｓ２）：検証装置は、認証装
置が差し込まれると、チケットｙもしくはチケット識別
情報ｙｉｄを認証装置に送信する。

【０１１０】ステップ３（Ｓ３）：証明装置はｙもしく
はｙｉｄを受信すると、ｙもしくはｙｉｄに対応するチ
ケットを検索する。対応するチケットが存在しない場合
は、エラーを返し処理を終了する。

【０１１１】ステップ４（Ｓ４）：証明装置は乱数発生
部により乱数ｋを生成し、乱数記憶部２に記憶すると共
に、証明器チャレンジ計算部に送る。証明器チャレンジ
計算部では、式（１４）に従って、証明器チャレンジχ
を計算し、チャレンジ記憶部に記憶すると共に検証装置
に送信する。

【０１１２】ステップ５（Ｓ５）：検証装置では、チャ
レンジχを受信するとデータ記憶部２に記憶する。次
に、検証装置は、乱数発生部１で乱数ｒを生成し、乱数
記憶部１に記憶すると共に、検証器チャレンジ計算部に
送る。検証器チャレンジ計算部では、チケット属性変更
要求μと乱数ｒおよ証明器チャレンジχとにより検証器
チャレンジρを式（１５）に従って計算する。ここで、
チケット属性要求μは、証明装置に起こさせる作用を記
述したものであり、例えばプリペイド度数を幾ら引き落
とすとか、利用回数をインクリメントする等の作用をチ
ケット属性レコードにおよぼす。

【０１１３】ステップ６（Ｓ６）：検証装置は、検証器
チャレンジρと検証器公開鍵（ε，ν）とを証明装置に
送信する。

【０１１４】ステップ７（Ｓ７）：証明装置ではρ、
（ε，ν）を受信するとデータ記憶部２に記憶すると共
に、検証器公開鍵（ε，ν）を検証器公開鍵検証部へ入
力する。検証器公開鍵検証部では、入力されたデータと
検証器公開鍵識別子ν’とにより式（６）が成り立つこ
とを検証する。

【０１１５】ステップ８（Ｓ８）：証明装置は、式
（６）の検証に成功したら、検証器チャレンジ検証部に
より、式（１６）が成り立つことを検証する。式（６）
及び式（１６）が成り立つことで証明装置は、正当な検
証装置と通信しており、チケット属性要求μが正しいこ
とが確認できる。検証器チャレンジρの検証に成功する
と、チケット属性変更要求μに応じてチケット属性レコ
ードＶｉの内容が変更される。

【０１１６】ステップ９（Ｓ９）：証明装置から検証装
置に送るメッセージＭと乱数ｒとにより、証明データ生
成部で式（１７）に従って、署名ｓが計算される。メッ
セージＭには、チケット属性レコードに及ぼした作用の
結果や、チケットの情報が記入されている。

【０１１７】ステップ１０（Ｓ１０）：検証装置では、
受信した署名ｓをデータ記憶部１に記憶すると共に、検
証部で式（１８）を実行し署名ｓの正当性を検証する。

【０１１８】サービスプロバイダは、署名ｓの検証に成
功すると、メッセージＭと共にログとして保存してお
き、チケットセンターからログに対する料金を受け取
る。

【０１１９】

【発明の効果】本発明によれば、署名鍵をユーザすなわ
ち証明装置ごとに割り当てる必要がなく、たとえば一つ
の検証装置に対して唯一の署名鍵を対応させればよいの
で、検証装置は、ユーザ毎に検証鍵の証明書を保管して
おく必要がない。

【０１２０】また、本発明によれば、ユーザの確認とユ
ーザの所有する権利の確認を同時におこなうことが可能
である。

【０１２１】また、本発明によれば、ユーザの匿名性を
満たしたまま、ユーザの所有する権利の確認を行うこと
が可能となる。

【０１２２】また、本発明によれば、プリペイド機能や
回数券機能およびキャンセル機能等の一般的なチケット
の機能を実現することのできるディジタル・チケットを
提供することができる。

【図面の簡単な説明】

【図１】 本発明の原理的な構成例を示すブロック図で
ある。

【図２】 本発明の第１の実施例の構成およびデータの
流れ（その１）を示すブロック図である。

【図３】 本発明の第１の実施例の構成およびデータの
流れ（その２）を示すブロック図である。

【図４】 本発明で用いられるアクセスチケット構成を
示す図である。

【図５】 本発明で用いられるチケット属性レコードの
構成を示す図である。

【図６】 本発明で用いられるチケット仕様Ｌの構成を
示す図である。

【図７】 本発明の第２の実施例の構成およびデータの
流れ（その１）を示すブロック図である。

【図８】 本発明の第２の実施例の構成およびデータの
流れ（その２）を示すブロック図である。

【図９】 本発明で用いられるアクセスチケット構成を
示す図である。

【図１０】 本発明の第２の実施例の処理フロー（その
１）を示す図である。

【図１１】 本発明の第２の実施例の処理フロー（その
２）を示す図である。

【符号の説明】

１１０、２１０、７１０ 検証装置 １５０、２５０，７５０ 証明装置 １８０ アクセスチケット生成装置 ２１１、７１１ アクセスチケット公開鍵記憶部 ２１２、７１２ 検証器公開鍵記憶部 ２１３、７１３ 乱数発生部１ ２１４、７１４ 乱数記憶部１ ２１５、７１５ データ送信部１ ２１６、７１６ データ受信部１ ２１７、７１７ データ記憶部１ ２１８、７１８ 検証器チャレンジ計算部 ２１９，７１９ 検証部 ２５１ 乱数記憶部２ ２５２ 乱数発生部２ ２５３ データ受信部２ ２５４ チケット格納部 ２５５ チケット属性格納部 ２５６ データ送信部２ ２５７ データ記憶部２ ２５８ ユーザ固有情報記憶部 ２５９ 検証器公開鍵検証部 ２６０ 検証器チャレンジ検証部 ２６１ 証明データ生成部 ７５１ 乱数記憶部２ ７５２ 乱数発生部２ ７５３ 証明器チャレンジ計算部 ７５４ チャレンジ記憶部 ７５５ データ受信部２ ７５６ データ送信部２ ７５７ データ記憶部２ ７５８ チケット格納部 ７５９ チケット属性格納部 ７６０ ユーザ固有情報記憶部 ７６１ 検証器公開鍵検証部 ７６２ 検証器チャレンジ検証部 ７６３ 証明データ生成部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 寺尾 太郎 神奈川県足柄上郡中井町境430 グリーン テクなかい 富士ゼロックス株式会社内

Claims (19)

【特許請求の範囲】
1. 【請求項１】 ユーザの正当性を証明する証明装置およ
   び該ユーザが正当な権利を有することを検証する検証装
   置とを有するデータ交換システムにおける証明装置であ
   り、 前記検証装置認証用データを記憶する証明装置第１の記
   憶手段と、 前記証明装置の証明装置認証用データと前記検証装置の
   検証装置証明データとを記憶する証明装置第２の記憶手
   段と、 前記証明装置を管理するユーザの固有情報を記憶する証
   明装置第３の記憶手段と、 前記検証装置の検証装置検証鍵を記憶する証明装置第４
   の記憶手段と、 前記検証装置の要求データと前記検証装置認証用データ
   とに施された検証装置署名を前記検証装置検証鍵を用い
   て検証する検証装置署名検証手段と、 前記ユーザ固有情報と前記証明装置の証明装置認証用デ
   ータとに所定の計算を施して証明データを生成する証明
   データ生成手段と、を有することを特徴とする証明装
   置。
2. 【請求項２】 前記証明装置は、さらに乱数生成手段
   と、 前記乱数生成手段により生成された乱数を記憶する証明
   装置第５の記憶手段とを有し、 前記検証装置認証用データは、前記乱数生成手段により
   生成された乱数に所定の演算を施した値であることを特
   徴とする請求項１記載の証明装置。
3. 【請求項３】 前記証明装置は、さらに前記ユーザの固
   有情報とアクセス資格認証の特徴情報とに対し、所定の
   計算を実行した結果である証明用補助情報を記憶する証
   明用補助情報記憶手段を有し、 前記証明データ生成手段は、前記ユーザ固有情報と、前
   記証明装置認証用データ及び前記証明用補助情報とに所
   定の計算を施して証明データを生成することを特徴とす
   る請求項１または２記載の証明装置。
4. 【請求項４】 前記証明装置は、さらに、 ユーザの有する権利の種類を記述する権利記述を記憶す
   る権利記述記憶手段を有し、 前記証明データ生成手段は、前記ユーザ固有情報、前記
   証明装置認証用データ及び前記権利記述とに所定の計算
   を施して前記証明データを生成することを特徴とする請
   求項１乃至３いずれかに記載の証明装置。
5. 【請求項５】 前記証明装置において、 少なくとも、前記証明装置第３の記憶手段および前記証
   明データ生成手段は、内部データ及び処理手続きを外部
   から観測することを困難ならしめる防御手段中に保存さ
   れていることを特徴とする請求項１乃至４いずれかに記
   載の証明装置。
6. 【請求項６】 前記証明装置において、 少なくとも、前記証明装置第３の記憶手段および前記証
   明データ生成手段は、ＩＣカード等の携帯可能な小型演
   算装置として構成されていることを特徴とする請求項１
   乃至５いずれかに記載の証明装置。
7. 【請求項７】 ユーザの正当性を証明する証明装置およ
   び該ユーザが正当な権利を有することを検証する検証装
   置とを有するデータ交換システムにおける検証装置にお
   いて、 前記証明装置認証用データを記憶する検証装置第１の記
   憶手段と、 前記検証装置認証用データと前記証明装置の証明装置証
   明データとを記憶する検証装置第２の記憶手段と、 前記検証装置署名鍵を記憶する検証装置第３の記憶手段
   と、 前記検証装置の要求データと前記検証装置認証用データ
   とを結合し、前記検証装置署名鍵により検証装置署名を
   生成するする検証装置署名生成手段と、 前記証明装置の証明装置証明データを検証する検証手段
   と、を有することを特徴とする検証装置。
8. 【請求項８】 前記検証装置は、さらに乱数生成手段を
   有し、 前記検証装置署名生成手段は、前記乱数生成手段により
   生成された乱数と、前記検証装置要求データおよび前記
   検証装置認証用データとを結合し、前記検証装置署名鍵
   により検証装置署名を生成することを特徴とする請求項
   ７記載の検証装置。
9. 【請求項９】 ユーザの正当性を証明する証明装置およ
   び該ユーザが正当な権利を有することを検証する検証装
   置とを有し、ユーザが正当な権利を有することを認証す
   る認証装置であり、 前記検証装置は、 前記証明装置認証用データを記憶する検証装置第１の記
   憶手段と、 前記検証装置認証用データと前記証明装置の証明装置証
   明データとを記憶する検証装置第２の記憶手段と、 前記検証装置署名鍵を記憶する検証装置第３の記憶手段
   と、 前記検証装置の要求データと前記検証装置認証用データ
   とを結合し、前記検証装置署名鍵により検証装置署名を
   生成するする検証装置署名生成手段と、 前記証明装置の証明装置証明データを検証する検証手段
   と、を有し、 前記証明装置は、 前記検証装置認証用データを記憶する証明装置第１の記
   憶手段と、 前記証明装置の証明装置認証用データと前記検証装置の
   検証装置証明データとを記憶する証明装置第２の記憶手
   段と、 前記証明装置を管理するユーザの固有情報を記憶する証
   明装置第３の記憶手段と、 前記検証装置の検証装置検証鍵を記憶する証明装置第４
   の記憶手段と、 前記検証装置の要求データと前記検証装置認証用データ
   とに施された検証装置署名を前記検証装置検証鍵を用い
   て検証する検証装置署名検証手段と、 前記ユーザ固有情報と前記証明装置の証明装置認証用デ
   ータとに所定の計算を施して証明データを生成する証明
   データ生成手段と、を有する、 ことを特徴とする認証装置。
10. 【請求項１０】 前記証明装置は、さらに前記ユーザの
    固有情報とアクセス資格認証の特徴情報とに対し、所定
    の計算を実行した結果である証明用補助情報を記憶する
    証明用補助情報記憶手段を有し、前記証明データ生成手
    段は、前記ユーザ固有情報と、前記証明装置認証用デー
    タ及び前記証明用補助情報とに所定の計算を施して証明
    データを生成することを特徴とする請求項９記載の認証
    装置。
11. 【請求項１１】 前記証明装置は、さらに、 ユーザの有する権利の種類を記述する権利記述を記憶す
    る権利記述記憶手段を更に有し、 前記証明データ生成手段は、前記ユーザ固有情報、前記
    証明装置認証用データ及び前記権利記述とに所定の計算
    を施して前記証明データを生成することを特徴とする請
    求項９または１０記載の認証装置。
12. 【請求項１２】 ユーザの正当性を証明する証明装置お
    よび該ユーザが正当な権利を有することを検証する検証
    装置とを有するデータ交換システムにおける認証方法で
    あり、 前記証明装置において入手したアクセスチケットを証明
    装置中のチケット格納ファイルへ入力するステップと、 前記検証装置から前記証明装置に対して、前記証明装置
    の証明装置認証用データＣおよびチケット識別子ｎを送
    信するステップと、 前記証明装置において、前記検証装置から受領したチケ
    ット識別子ｎに対応するチケットを前記チケット格納フ
    ァイルから検索するステップと、 前記証明装置の乱数発生部において、乱数χを生成し乱
    数記憶部に記憶すると共に、前記検証装置に送るステッ
    プと、 前記検証装置において、前記証明装置から受信した乱数
    χを前記検証装置中のデータ記憶部に記憶するステップ
    と、 前記検証装置中の検証装置チャレンジ計算部において、
    少なくともチケット属性変更要求μおよび乱数χとによ
    り検証装置チャレンジρを計算するステップと、 前記検証装置中の検証装置チャレンジ計算部において計
    算された検証装置チャレンジρと検証装置公開鍵（ε，
    ν）とを前記証明装置に送信するステップと、 前記証明装置において、前記検証装置から受領した検証
    装置チャレンジρ、および検証装置公開鍵（ε，ν）を
    データ記憶部に記憶すると共に、該受領した検証装置公
    開鍵（ε，ν）を検証装置公開鍵検証部へ入力するステ
    ップと、 前記証明装置中の前記検証装置公開鍵検証部において、
    入力されたデータと検証装置公開鍵識別子ν’とによ
    り、検証装置公開鍵を検証するステップと、 前記証明装置中の検証装置チャレンジ検証部において、
    検証装置チャレンジの検証を実行するステップと、 前記検証装置公開鍵検証部において前記検証装置公開鍵
    の検証に成功したことおよび前記検証装置チャレンジ検
    証部において前記検証装置チャレンジの検証に成功した
    ことを条件として、前記チケット属性変更要求μに応じ
    てチケット属性レコードＶｉの内容を変更するステップ
    と、 前記証明装置から前記検証装置に送るメッセージＭと前
    記証明装置の証明装置認証用データＣとに基づいて、前
    記証明装置中の証明データ生成部においてレスポンスＲ
    を計算するステップと、 前記検証装置において、前記証明装置から受信したレス
    ポンスＲをデータ記憶部に記憶すると共に、レスポンス
    Ｒの正当性を検証するステップと、 を有することを特徴とするデータ交換システムにおける
    認証方法。
13. 【請求項１３】 前記証明装置中の証明データ生成部に
    おいてレスポンスＲを計算するステップにおいて、 前記レスポンスＲの計算は、さらにチケット鍵ｔ、ユー
    ザ固有情報ｄｕ、チケット仕様Ｌ、およびチケット識別
    子ｎに基づいて実行されるステップであることを特徴と
    する請求項１２記載のデータ交換システムにおける認証
    方法。
14. 【請求項１４】 前記検証装置公開鍵を検証するステッ
    プは、入力されたデータと検証装置公開鍵識別子ν’と
    により、式：ν’＝ｈ（ε‖ν）が成り立つことを検証
    するステップであり、 前記検証装置チャレンジを検証するステップは、式：ρ
    ^e ｍｏｄ ν＝χ‖μ（式の表記中、ｅはεの代替使
    用であり、εを意味する。）が成り立つことを検証する
    ステップであることを特徴とする請求項１２または１３
    記載のデータ交換システムにおける認証方法。
15. 【請求項１５】 前記証明データ生成部においてレスポ
    ンスＲを計算するステップのレスポンスＲの計算は、
    式：Ｒ＝（Ｃ‖Ｍ）^t+f(du,L,n)ｍｏｄ ｎに基づいて
    実行されることを特徴とする請求項１３または１４に記
    載のデータ交換システムにおける認証方法。
16. 【請求項１６】 ユーザの正当性を証明する証明装置お
    よび該ユーザが正当な権利を有することを検証する検証
    装置とを有するデータ交換システムにおける認証方法で
    あり、 前記証明装置において入手したアクセスチケットを証明
    装置中のチケット格納ファイルへ入力するステップと、 前記検証装置から前記証明装置に対して、チケット公開
    鍵ｙもしくはチケット識別情報ｙｉｄの少なくともいず
    れかを送信するステップと、 前記証明装置において、前記検証装置から受領したチケ
    ット公開鍵ｙもしくはチケット識別情報ｙｉｄに対応す
    るチケットを前記チケット格納ファイルから検索するス
    テップと、 前記証明装置の乱数発生部において、乱数ｋを生成し前
    記証明装置中の乱数記憶部に記憶すると共に、該証明装
    置中の証明装置チャレンジ計算部に送るステップと、 前記証明装置チャレンジ計算部において、証明装置チャ
    レンジχを計算し、該証明装置中のチャレンジ記憶部に
    記憶すると共に前記検証装置に送信するステップと、 前記検証装置において、前記証明装置から受信したチャ
    レンジχを前記検証装置中のデータ記憶部に記憶するス
    テップと、 前記検証装置において、乱数発生部で乱数ｒを生成し、
    前記検証装置中の乱数記憶部に記憶すると共に検証装置
    チャレンジ計算部に送るステップと、 前記検証装置チャレンジ計算部において、チケット属性
    変更要求μと乱数ｒおよ証明装置チャレンジχとにより
    検証装置チャレンジρを計算するステップと、前記検証
    装置において、検証装置チャレンジρと検証装置公開鍵
    （ε，ν）とを証明装置に送信するステップと、 前記証明装置において、受領した検証装置チャレンジ
    ρ、検証装置公開鍵（ε，ν）をデータ記憶部に記憶す
    ると共に、該受領した検証装置公開鍵（ε，ν）を検証
    装置公開鍵検証部へ入力するステップと、 前記検証装置公開鍵検証部において、入力されたデータ
    と検証装置公開鍵識別子ν’とにより、検証装置公開鍵
    を検証するステップと、 検証装置チャレンジ検証部において、検証装置チャレン
    ジを検証するステップと、 前記検証装置公開鍵の検証に成功したこと、および検証
    装置チャレンジの検証に成功したことを条件として、前
    記チケット属性変更要求μに応じてチケット属性レコー
    ドＶｉの内容を変更するステップと、 前記証明装置から前記検証装置に送るメッセージＭと乱
    数ｒとに基づいて、署名ｓを計算するステップと、 前記検証装置において、受信した署名ｓをデータ記憶部
    に記憶すると共に、署名ｓの正当性を検証するステップ
    と、 を有することを特徴とするデータ交換システムにおける
    認証方法。
17. 【請求項１７】 前記証明装置中の証明データ生成部に
    おいて署名ｓを計算するステップにおいて、 前記レスポンスｓの計算は、さらにチケット鍵ｔ、ユー
    ザ固有情報ｄｕ、チケット仕様Ｌ、およびチケット公開
    鍵ｙに基づいて実行されるステップであることを特徴と
    する請求項１６記載のデータ交換システムにおける認証
    方法。
18. 【請求項１８】 前記検証装置公開鍵を検証するステッ
    プは、入力されたデータと検証装置公開鍵識別子ν’と
    により、式：ν’＝ｈ（ε‖ν）が成り立つことを検証
    するステップであり、 前記検証装置チャレンジを検証するステップは、式：ρ
    ^e ｍｏｄ ν＝χ‖ｒ‖μ（式の表記中、ｅはεの代
    替使用であり、εを意味する。）が成り立つことを検証
    するステップであることを特徴とする請求項１６または
    １７記載のデータ交換システムにおける認証方法。
19. 【請求項１９】 前記証明データ生成部において署名ｓ
    を計算するステップの署名ｓの計算は、式：ｓ＝ｋ＋ｈ
    （ｒ‖Ｍ）（ｆ（ｄｕ，Ｌ，ｙ）＋ｔ）ｍｏｄ ｑに基
    づいて実行されることを特徴とする請求項１７または１
    ８に記載のデータ交換システムにおける認証方法。