KR101050993B1 - 전자 인증서 - Google Patents

Abstract

데이터를 포함하는 인증서를 생성하는 방법에 있어서, 상기 방법은 함수 H를 상기 데이터에 적용한 결과값을 포함한 시드 s를 선택하는 단계; E=F(s,t)가 되도록 키페어(E,D)를 발생시키는 단계; 및 상기 인증서 내에 s 및 t를 포함하는 단계;를 포함하고, F는 공개적으로 알려진 함수이다. 관련된 방법 및 이러한 다양한 방법에 의해 생성된 인증서가 또한 개시되어 있다.

인증서, 해시 함수, 시드, 키 페어, 모듈러스, 공개키, 개인키

Description

전자 인증서{DIGITAL CERTIFICATES}

본 발명은 전자 서명된 인증서에 관한 것이다.

전자 서명된 인증서의 사용은 당업분야에서 잘 알려져 있다.

다음의 예, 즉 당업분야에서 잘 알려진 바와 같이, 공개키 및 개인키를 각각 포함하는 비대칭 키 페어를 2개의 엔티티 A 및 B가 가지고 있는 경우를 생각해보자. 엔티티 A는 엔티티 B를 위한 인증서를 사인하기 위한 것이고, 이 인증서는 엔티티 B의 공개키 및 엔티티 B에 대한 다른 데이터를 포함하고 있다.

광범위하게 사용되고 잘 알려진 X.509 포맷은 보통 상술된 타입의 인증서를 생성할 목적을 위해 종래 기술에서 사용되었다. X.509는 ITU_T(국제통신연합 표준 섹터)로부터 유용한, 2000년 3월에 공개된 X. 509용 ITU-T 권고에 정의되어 있다.

상기에 그리고 본 명세서에 서술된 모든 참고문헌은 여기에 언급되어 통합되어 있다.

본 발명의 목적은 향상된 전자 서명 인증서 및 전자 서명 인증서를 생성하는 방법을 제공하는 것이다.

상술된 바와 같이, 공지된 솔루션은 일부 애플리케이션에 대한 최적의 솔루션을 제공하지 않는다. 예를 들어, 본 발명의 발명자는 상술된 알려진 솔루션은 인증서 검증이 랜덤 로직, 논-CPU 타입 하드웨어(또한 여기에서 "하드웨어"로 불린다)에서 구현되는 적용에 있어서 최적이 아니라고 생각하고, 이러한 적용에 있어서, 본 발명의 발명자는 상기 인증서가 짧고 하드웨어에서 구문해석하기 용이한 폼을 가지는것이 바람직하다고 생각한다. 상술된, 주지된 X.509 포맷은 적어도, X.509 포맷에 따라 생성된 인증서가 하드웨어에서 구문해석하기 어려운 가변 길이의 구조를 가지고 있고, 또한 X.509 포맷 인증서가 보통 길이가 2KB(킬로바이트)로서, 일반적으로 길기 때문에 이러한 목적에 적합하지 않다.

본 발명은 바람직한 실시예에서, 종래 기술의 인증서의 문제를 해결하는 것을 목적으로 한다.

따라서, 본 발명의 바람직한 실시예에 따라, 함수 H를 상기 데이터에 적용한 결과값을 포함한 시드 s를 선택하는 단계; E=F(s,t)가 되도록 키페어(E,D)를 발생시키는 단계; 및 상기 인증서 내에 s 및 t를 포함하는 단계;를 포함하고, F는 공개적으로 알려진 함수인, 데이터를 포함하는 인증서를 생성하는 방법이 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 인증서 내에 s 및 t를 포함하는 단계는 상기 인증서 내에 t와 연결된 s를 포함하는 단계를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 함수 H는 해시 함수를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 함수 H는 체크섬 함수를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 함수 H는 상기 데이터에 리던던시를 추가하는 단계를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 방법에 의해 생성된 인증서가 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, 스캐터링 방법 L; 함수 R; 및 시드 s에 의해 발생된 모듈러스 N을 발생시키는 단계; 및

상기 인증서 내에 s 및 t를 포함하는 단계;를 포함하고,

N은 상기 스캐터링 방법 L을 사용하여 N에 R(s)의 비트를 스캐터링함으로써 부분적으로 발생되고, 상기 스캐터링 방법 L에 의해 스캐터링된 비트 이외의 N의 모든 비트는 t로 표시되는 것을 특징으로 하는 데이터를 포함하는 인증서를 생성하는 방법이 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, R(s)는 상기 인증서의 소유자와 연관된 데이터를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 데이터는 소유자 식별자를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, N은 RSA 모듈러스를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, L은 렌스트라, 렌스트라 및 로바츠(Lenstra, Lenstra and Lovasz; LLL) 방법을 래티스에 적용하는 단계를 포함한다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 래티스는 일반화된 패턴 G에 의해 부분적으로 한정된다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 래티스는

를 포함하고, n,x,z는 정수이고,

S1,...,Sk는 일반화된 2n-비트 패턴 G내의 심볼 "*"의 연속 그룹의 포지션 넘버이고, 포지션은 최하위(0)로부터 최상위 (2n-1)로 넘버링되고, S1≥S2≥...≥Sk이고, L1,...,Lk는 상기 연속 그룹에 상응하도록 넘버링된, 상기 연속 그룹의 길이이고, p는 (n-x)-비트 프라임이고, s는 시드이고, R은 각각의 i에 대하여 ri가 Li와 동일한 길이를 갖도록, 연결을 표시하는 R(s)=r1∥r2∥...∥rk,∥로 s를 전개하는 함수이다.

상기 방법에 의해 생성된 인증서가 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, 복수의 일반화된 패턴을 제공하는 단계; 및 상기 복수의 일반화된 패턴의 각각의 일반화된 패턴 G에 대하여, 다음의 단계: 스캐터링 방법 L; 함수 R; 및 시드 s에 의해 발생된 모듈러스 N을 발생시키는 단계; 및 G와 연관된 인증서에 s 및 t를 포함하는 단계;를 실행하는 단계;를 포함하고, N은 상기 스캐터링 방법 L을 사용하여 N에 R(s)의 비트를 스캐터링함으로써 부분적으로 발생되고, 상기 스캐터링 방법 L에 의해 스캐터링된 비트 이외의 N의 모든 비트는 t로 표시되고, N은 RSA 모듈러스를 포함하고, L은 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계를 포함하고, 그리고, 상기 래티스는 G에 의해 부분적으로 한정되고, 그래서 복수의 인증서를 생성하는 방법이 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, 복수의 일반화된 패턴을 제공하는 단계; 및 상기 복수의 일반화된 패턴의 각각의 일반화된 패턴 G에 대하여, 다음의 단계: 각각 스캐터링 방법 L; 함수 R; 및 시드 S_i에 의해 발생된 복수의 모듈러스 N_i을 발생시키는 단계; 및 각각의 N_i에 대하여, G와 연관된 인증서에 s_i 및 t_i를 포함하는 단계;를 실행하는 단계;를 포함하고, 각각의 N_i은 상기 스캐터링 방법 L을 사용하여 N_i을 통해 R(s)의 비트를 스캐터링함으로써 부분적으로 발생되고, 상기 스캐터링 방법 L에 의해 스캐터링된 비트 이외의 N_i의 모든 비트는 t_i로 표시되고, N_i은 RSA 모듈러스를 포함하고, L은 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계를 포함하고, 그리고, 상기 래티스는 G에 의해 부분적으로 한정되고, 그래서 복수의 인증서를 생성하는 복수의 인증서를 생성하는 방법이 제공된다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 래티스는

를 포함하고, n,x,z는 정수이고,

S1,...,Sk는 일반화된 2n-비트 패턴 G내의 심볼 "*"의 연속 그룹의 포지션 넘버이고, 포지션은 최하위(0)로부터 최상위 (2n-1)로 넘버링되고, S1≥S2≥...≥Sk이고, L1,...,Lk는 상기 연속 그룹에 상응하도록 넘버링된, 상기 연속 그룹의 길이이고, p는 (n-x)-비트 프라임이고, s는 시드이고, R은 각각의 i에 대하여 ri가 Li와 동일한 길이를 갖도록, 연결을 표시하는 R(s)=r1∥r2∥...∥rk,∥로 s를 전개하는 함수이다.

또한, 본 발명의 바람직한 실시예에 따라, 상기 방법에 의해 생성된 복수의 인증서가 제공된다.

본 발명은 다음의 도면과 함께 아래의 상세한 설명으로부터 보다 명확하게 이해될 것이다.

도 1은 본 발명의 바람직할 실시예를 이해하는데 도움이 되는 (k+2) 차원 스페이스내의 래티스에 대한 베이스 벡터를 도시한 도면,

도 2는 본 발명의 바람직한 실시예에 따라 인증서를 생성하는 바람직한 방법의 단순화된 순서도,

도 3은 본 발명의 대안의 바람직한 실시예에 따라 인증서를 생성하는 바람직한 방법의 단순화된 순서도, 및

도 4는 본 발명의 또 다른 대안의 바람직한 실시예에 따라 복수의 인증서를 생성하는 바람직한 방법의 단순화된 순서도.

본 발명의 바람직한 실시예에 다라, 서명자는 복구로 서명된 인증서를 생성한다. 또한, 당업분야에서 잘 알려진 바와 같이, 복구로 서명되지 않은 서명은 "정규 서명" 또는 "정규 비대칭 서명"으로 여기에 용어가 나타나 있다.

인증서 C의 정규 비대칭 서명을 생성하기 위해, 서명자는 다음과 같은 서명 S를 계산한다.

여기에서,

f는 공개된 함수;

h는 공개된 해시 함수;

그리고 D는 서명자의 개인키이다.

서명된 인증서는 C//S이고, 여기에서 "//"는 연결(concatenation)을 나타낸 다.

검사기구는 다음을 검사한다.

여기에서, g는 공개된 함수, 그리고

E는 서명자의 공개키이다.

f,g,D,E는 다음과 같이 선택되는 것이 바람직하다.

1. 허용된 평문의 집합 M이 한정된다; 함수 f는 집합 M에서 한정된다.

2. g(y,E)는 f(x,D)의 역함수이다, 즉 임의의 x∈M에 대하여 g(f(x,D),E) = x이다.

3. g,f,E는 공개되어 있다.

4. 단지 E에만 기초하여 D를 찾는 것은 어렵다.

5. h는 h(x) = h(y)가 되도록 상이한 x,y를 찾는 것이 어렵도록 선택된다. h에 대한 적합한 선택의 제한되지 않는 예는 www.itl/nist.gov/fipspubs/fip180-1.htm에서 유용한, "Secure Hash Standard"로 표제되고 1995년 4월 17일에 공개된, FIPS PUB 180-1에 기술된 SHA-1이다.

다음은 f,g,D,E에 대한 적합한 선택의 특정 예이지만 이에 제한되는 것은 아니다.

N = pq, RSA 넘버, 즉, 2개의 프라임의 프로덕트로 하고,

M은 0 내지 N-1까지의 모든 정수의 집합으로 하고,

e,d는 ed = 1 모듈로 φ(N)가 되는 보조 정수로 하고, φ(N)은 오일러의 토 션트 함수이고,

E는 오더링된 페어 <N,e>으로 하고,

D는 오덩링된 페어 <N,d>으로 하고,

이고,

로 한다.

복구를 가진 서명에 대하여 서명자는 확실히 C가 그 안에 리던던시를 가지고 있거나 이러한 리던던시를 추가하도록 한다. 본 명세서 및 청구범위에서 사용된 용어 "리던던시"는 매우 작은 가능성을 가지고 랜덤 C에 대하여 홀딩하는 컨디션 P(C)를 나타낸다. 예를 들어 그리고 이전의 것의 일반성을 제한하지 않고, 페이로드는 충분히 긴 일정 비트 스트링으로 또는 바람직하게는 임의의 적합한 타입의 페이로드 체크섬으로써 패딩될 수 있고, 이러한 타입의 체크섬은 당업분야에서 잘 얄려져 있다.

다음으로, 서명자는 다음을 계산한다.

여기에서, S는 복구로써 서명된 인증서이다.

검사기구는 먼저 S로부터 아래의 C를 복구시킨다.

그다음 검사기구는 C가 사전에 한정된 리던던시를 가지고 있는 지를 검사한다.

당업자는 복구를 가진 서명을 사용할 때 서명된 전자 서명은 정규 서명을 가지고 생성된 서명보다 짧다는 것을 이해할 것이다. 한편, 정규 서명과 달리 복구를 가진 서명은 집합 M이 제한되어 있기 때문에 C의 길이에 제한을 부여한다. 예를 들어, 상술된 RSA의 특정 예에서, 모듈러스 N보다 적은 수만이 복구를 가지고 서명될 수 있다. 따라서, A에 의해 서명된 B에 대한 인증서 내에 B의 공개키 및 다른 데이터를 위한 충분한 공간이 C안에 충분하지 않을 수 있고, 특히, A 및 B의 키는 동일한 길이인 일반적인 경우에 충분한 공간이 존재하지 않을 것이다.

공간을 절약하고 복구를 가진 서명을 보다 효율적으로 만들기 위해 그리고 상술된 제한을 극복하기 위해, 공개키(및 선택적으로 다른 데이터)가 압축될 수 있다. 데이터가 당업분야에서 주지된 스탠더드 압축 알고리즘을 사용하여 압출될 수 있지만, 많은 비대칭 알고리즘에서 스탠더드 방법으로 발생된 공개키는 높은 엔트로피를 가지고 있다. 당업분야에서 잘 알려진 바와 같이, 높은 엔트로피를 가지고 있는 정보는 압축될 수 없고, 그래서 스탠더드 방법으로 발생된 공개키는 압축될 수 없다.

다음 방법이 압축가능 공개키의 발생을 위해 사용될 수 있다.

1. 보조 시드 s를 선택한다.

2.

의 방식으로 키 페어(E,D)를 발생시킨다.

여기에서 F는 공개적으로 알려진 함수이고 t는 임의의 데이터이다.

예를 들어, t는 (예를 들어, 적어도 E의 최하위 하프, E의 최상위 하프, 또는 E에 스캐터링된 포지션에서의 비트와 같은) E의 비트의 일부일 수 있다.

임의의 적합한 값 s가 사용될 수 있다.

함수 F는

1. 하술된 함수 R의 함수와 유사하게, s를 사전 한정된 수의 비트로 유사 랜덤하게 전개하고,

2. (예를 들어, 전개된 s를 조합 결과의 최하위 파트로서 사용하고, t를 최상위 파트로서 사용하거나 또는 그 반대로 하거나; 또는 임의의 인터리빙 방법과 같은) 사전에 정의된 방법으로 전개된 s와 t를 조합하는,

함수가 되도록 선택되는 것이 바람직하다.

E 대신에, 인증서는 E보다 짧은 s//t를 포함하는 것이 바람직하다.

함수 F의 특정 선택, 적합한 키 페어의 발생의 방법 및 절약되는 공간량은 사용되는 비대칭 알고리즘에 달려 있다.

당업자는 인증서가 보통, 크레덴셜; 캐릭터리스틱; 및 모두 함께 서명된 공개키를 포함한다는 것을 이해할 것이다. 공개키를 제외한 모든 인증서 필드는 여기에서 "데이터"로 불린다. 복구를 가진 서명을 사용할 때, 복구 프로세스는 복구만을 실행하고 인증서를 만든 사람이 개인키를 알았는지는 검사하지 않는다. 인증서를 만든 사람이 개인키를 알았는지를 검사하기 위해, 평문에 임의의 리던던시를 가질 필요가 있다. 즉, 복구된 메시지에 관한 일부 사전 정의된 조건이 충족되어야 하는데, 이 조건은 랜덤 비트 스트링에 대해 충분히 낮은 확률을 가지고 있다. 한 옵션은 고정된 값을 가진 충분히 긴 필드 (즉, 16바이트)를 사용하는 것이다. 또 다른 옵션은 데이터의 체크섬 또는 해시를 사용하는 것이다. 불행하게도, 이 둘다 추가 필드를 필요로 하지 않아, 보다 작은 바이트가 유용한 페이로드에 대하여 남겨진다.

보다 많은 공간을 절약하기 위해, 시드 s는 다음을 설정한다면 리던던시로서 사용될 수 있다.

H는 공개적으로 알려진 함수이다. 따라서, 공간은 s의 더블 사용, 즉, 데이터의 체크섬/해시로서 그리고 상술된 바와 같은 시드로서의 더블 사용에 의해 절약된다.

대안으로, 임의의 리던던시가 추가된 데이터 자체는 시드 s로서 사용될 수 있다.

아래의 설명은 주지된 종래 기술의 RSA 서명 스킴이 사용된다면 유용한, 본 발명의 특정 특별히 상세화된 바람직한 구현예를 설명하고 있다. RSA 서명 스킴은 예를 들어, R.L.Rivest, A.Shamir 및 L.M.Adelman에 의한 "A method for obtaining digital signatures and public-key cryptosystems", Communications of the ACM, 21(1978), 120-126에 기술되어 있다. RSA는 예로서 사용되었을 뿐, 이에 제한된 것은 아니다.

RSA가 서명을 위해 사용된다면, 공개키는 모듈러스 및 공개 지수를 포함한다. 공개 지수에 대한 제한은 매우 느슨하다. 특히, 공개 지수는 인증서 내에 명확하게 포함될 필요가 없는 고정된 공개적으로 알려진 넘버가 되도록 선택될 수 있어서, 공개 지수의 압축에는 아무런 문제가 없다. RSA 모듈러스 압축은 RSA 모듈러스의 길이의 약 절반을 절약하는 것으로 생각된다.

RSA 모듈러스에 대한 몇가지 압축 기술을 이제 설명한다. 본 발명의 일반성을 제한하지 않고 단지 예로서만 사용된, 다음의 기재의 목적을 위해, p 및 q가 n-x 및 n+x 비트를 가지는 프라임인 폼 N= pq이 2n-비트 RSA 모듈라이가 사용되고; z가 하술된 파라미터이고 R이 시드 s를 n+x-z 비트로 전개하는 공개적으로 알려진 함수라고 가정하자. 함수 R은 예를 들어, 시드 s를 수신하고 이것을 의사 난수열로 전개하는 적합한 유사 난수발생기를 포함할 수 있다. 예를 들어, R은 다음을 설정할 수 있다

여기에서 h는 적합한 해시 함수(예를 들어, www.itl/nist.gov/fipspubs/fip180-1.htm에서 유용한 "Secure Hash Standard"로 표제되고 1995년 4월 17일에 공개된 FIPS PUB 180-1 및, www.ietf.org/rfc/rfc3174.txt?number=3174에서 유용한 "US Secure Hash Algorithm 1 (SHA1)로 표제되고 2001년 9월에 공개된 RFC 3174에 기술된 SHA1), 또는 E가 블록 사이퍼를 갖는 인크립션인 E(x) XOR x(예를 들어, csrc.nist.gov/publications/fips/fips197/fips-197.pdf에서 유용한 Announcing the Advanced Encryption Standard (AES), 2001년 11월 26일, AES - FIPS 공개 197)를 포함한다.

먼저, "최상위 하프의 전개"를 생각해보자. 다음의 방법은 압축가능한 RSA 키를 발생한다:

1. 보조 (n-x)-비트 프라임 p 및 y-비트 시드 s를 발생시키는 단계. 이러한 프라임을 발생시키는 방법은 당업분야에서 잘 알려져 있다. 일반적으로, 이러한 방법(이것은 예를 들어, Alfred J.Menezes, Paul C. van Oorschot, Scott A.Vanstone에 의한 Handbook of Applied Cryptography 섹션 4.2 "Probabilistic Primality Tests"에 기술되어 있다.)은 필요한 수의 비트를 갖고 있는 보조 수를 발생시키는 단계; (상술된 Handbook of Applied Cryptography 의 섹션 4.2에 기술된 페르멧의 테스트, 솔로베이-스트라센 테스트 또는 밀러-라빈 테스트와 같은) 적합한 소수 판정법을 사용하여 소수 판정하는 단계; 및 이 수가 프라임이 아니라면, 프라임 수가 발견될 때까지 발생 및 판정을 반복하는 단계를 포함하고 있다.

2. 홀수로 라운딩 업되는

를 설정하는 단계. R(s)의 최상위 비트는 함수 R이 최상위 비트로 0을 생성할 지라도 R(s)의 최상위 비트를 1로 설정함으로써, 강제로 1로 되어야 한다.

3. 상기 단계 1에서 설명된 바와 같이, 적합한 소수 판정법을 사용하여 소수에 대하여 q를 체크하는 단계. 실패한다면(q가 프라임이 아니라면), q=q+2로 설정하고 현 단계를 반복한다. 성공한다면(q가 프라임이라면), 다음 단계로 계속 진 행한다.

4. N= pq의 n+x-z의 최상위 비트가 R(s)인지를 체크하는 단계. N= pq의 n+x-z의 최상위 비트가 R(s)가 아니라면, 처음부터(단계 1로부터) 상기 방법을 반복한다. N= pq의 n+x-z의 최상위 비트가 R(s)이라면, N은 모듈러스이다. 압축된 폼에서, N= pq의 n+x-z의 최상위 비트가 시드 s로 대체되어, 압축된 모듈러스의 길이는 n-x+z+y개의 비트이다.

단계 4에서의 성공의 확률을 1에 가깝도록 하기 위해, z는 log₂(n)보다 약간 커야 하는데, 그 이유는 N 주변의 프라임의 밀도가 1/ln N에 비례한다는 것이 넘버 이론으로부터 알려져 있기 때문이며, 이는 소수에 대한 검색이 평균적으로 c ln N 단계 이후에 성공할 것이라는 것을 의미하는 것이다. 여기에서 c는 상수이다. 예를 들어, x=z=16, y=96을 갖는, n=1024(2048-비트 모듈러스)의 적당한 설정을 위해, 압축된 모듈러스의 길이는 n-x+z+y=1120 비트이다.

이제, "최하위 하트의 전개"에 대해 생각해보자. 아래의 방법은 압축가능 RSA 키를 발생시킨다:

1. 보조 (n-x)-비트 프라임 p 및 y-비트 시드 s를 발생시키는 단계.

2.

를 계산하는 단계.

R(s)의 최하위 비트는 강제로 1로 되어야 하는데, 이는 R(s)가 홀수라는 것을 의미한다. p는 홀수이기 때문에, 반전가능 모듈로 2 ^n+x-z 이고, 그래서 q가 존재 하고 q는 홀수이다.

3. 소수에 대해 q를 체크하는 단계. 만약 실패한다면

를 설정하고 현 단계를 반복한다. 성공한다면, 다음 단계로 계속 진행한다.

4. N이 정확히 2n 비트를 갖고 있는지를 체크하는 단계. 만약 그렇지 않다면, 단계 1에서 본 방법의 초기로부터 반복한다. 만약 갖고 있다면, N은 모듈러스이다. 압축된 폼에서, n+x-z 최하위 비트는 시드 s로 대체되고, 그래서 압축된 모듈러스의 길이는 n-x+z+y 비트이다.

최상위 하프의 팽창의 경우에 상술된 동일한 설정이 사용되는 것이 바람직하다.

상술된 바와 같이 N의 n+x-z 최상위 비트 또는 최하위 비트인 R(s) 대신에, R(s)를 N에 스캐터링시키는 것이 가능하다. 본 발명의 바람직한 실시예에 따라, 이러한 N의 발생을 위한 바람직한 실시예는 (예를 들어, 상기 언급된, Handbook of Applied Cryptography의 섹션 3.10.1에 기술된) LLL(렌스트라, 렌스트라, 및 노바츠)에 기초할 수 있다. 이 LLL 알고리즘은 또한 여기에 "LLL 방법"으로 불리고 있다.

이 LLL 알고리즘을 특별히 적용함으로써 N 에 R(s)의 비트를 스캐터링시키는, 본 발명의 바람직한 실시예에 따른 방법을 이제 설명한다.

다음의 정의를 생각해보자.

- 패턴 P는 알파벳{0,1,1?}로부터의 2n 심볼의 스트링이다. P내의 모든 0에 대하여 N의 상응하는 포지션에 0이 존재하고, P내의 모든 1에 대하여 N의 상응하는 포지션에 1이 존재한다면 그리고 존재하기만 한다면 2n-비트 넘버 N은 패턴 P와 매칭한다고 말할 것이다.

- 일반화된 패턴 G는 알파벳 {*,?}로부터의 2n 심볼의 스트링이다.

- 패턴 P는 G내의 모든 심볼 "?"에 대하여 P의 상응하는 포지션에 "?"이 존재하면 그리고 존재하기만 한다면 일반화된 패턴 G의 인스턴시에이션이다.

G를 일반화된 패턴이라고 하자. G내의 모든 심볼 "*"이 k 연속 시퀀스를 형성한다고 가정하자. 임의의 i에 대하여

i 번째 시퀀스는 포지션

로부터 시작하고

심볼 "*"를 포함하고 있다.

포지션은 0으로부터 (최하위)로부터 2n-1(최상위)로 넘버링된다.

라고 가정하는 것이 가능하다.

(즉, 시퀀스는 최상위 파트로부터 최하위 파트로 나열되어 있다.)

본 발명의 바람직한 실시예에 따라, 다음의 방법은 정확하게 n+x-z 심볼 "*"를 포함하는 주어진 일반화된 패턴 G에 대하여 압축가능한 RSA 키를 발생한다:

1. 상술된 바와 같이, 보조 (n-x)-비트 프라임 p 및 y-비트 시드 s를 발생시키는 단계.

2. 모든 심볼 "*"를 R(s)의 비트로 동일한 순서로 대체함으로써 G의 인스턴시에이션 P를 생성한다.

를 심볼"*"의 i 번째 시퀀스를 대체한, 넘버로서 읽히는,

비트의 시퀀스로 하는 단계.

3. 도 1에 도시된 바와 같은, 베이스 벡터

를 가지고, (k+2) 차원 스페이스에 래티스를 형성하는 단계.

4. LLL 알고리즘을 사용하여, 쇼트 벡터로 구성된, 동일한 래티스에 대하여 또 다른 베이스

를 찾는 단계; 벡터(x ₁ ,x ₂ ,.., x _n )는 x ₁ ² +x ₂ ² +...+x _n ² 가 작다면 "쇼트"로 여겨진다. 당업자는 LLL 알고리즘이 래티스내의 가장 쇼트한 것에 가까운 벡터를 찾도록 의도된 것을 이해할 것이다.

5. (k+2) 번째 좌표가 새로운 베이스로부터 오직 하나의 벡터에 대하여 제로가 아니고, 이 벡터에 대하여

인 것을 검사하는 단계.

이러한 조건이 만족되지 않는다면, 본 방법의 초기로부터(단계 1로부터) 반복한다.

6.

을 (k+2)번째 좌표가 제로가 아니고

가 벡터

의 (k+1) 번째 좌표인 벡터로 하는 단계.

7.

(다른

와 작은 계수와의 리니어 콤비네이션)을 계산하는 단계.

pq 패턴 P를 매칭함을 검사한다. 만약 매칭한다면, q를 소수에 대하여 체크한다. 만약 q가 프라임이라면, N= pq가 모듈러스이다. 만약 매칭하지 않는다면, 또는 pq가 패턴과 매칭하지 않는다면, 또 다른 리니어 콤비네이션을 시도한다. 서치가 실패하였다면, 본 발명의 초기로부터(단계 1로부터) 반복한다.

본 발명자의 발명자는 전개된 파트의 스캐터링이 최상위 비트 또는 최하위 비트의 전개와 비교하여 다음의 장점을 갖고 있다고 생각한다:

1. 모듈러스의 보다 덜 정규적인 구조

R(s)가 임의의 정규 구조를 갖고 있는 경우에, R(s)에 기초한 크립토그래픽 공격은 R(s)의 비트가 스캐터링되어 있다면 보다 적을 가능성이 있다. 크립토그래 픽 공격의 가능성은 보다 더 낮추는 데 비트의 스캐터링 단계가 도움이 될 가능성이 높은 중요한 특별한 경우는 (거의 확실하게 정규 구조를 가지고 있는) 데이터 자체가 R(s)로서 또는 그 일부로서 사용되어, 소유자의 ID 및/또는 그의 공개키내에 단순히 내장된 다른 데이터를 가지는 경우이다. 이러한 데이터를 공개키내에 내장하는 단계는 당업분야에서 주지되어 있다.

2. 시스템 퍼스널리제이션

(예를 들어, 상이한 일반화된 패턴 G를 사용함으로써) R(s)의 비트를 스캐터링시키는 많은 상이한 방법이 존재하기 때문에, 동일한 알고리즘 베이스를 사용하지만, 파라미터의 상이함 때문에 상호동작가능하지 않은 복수의 PKI 시스템을 생성하는 것이 가능하다.

이제 본 발명의 바람직한 실시예 따라 인증서를 생성하는 바람직한 방법의 단순화된 순서도인 도 2에 대해 설명한다. 도 2의 순서도는 자체가 상기 설명에 대하여 설명하고 있다.

이제 본 발명의 대안의 바람직한 실시예에 따라 인증서를 생성하는 바람직한 벙법의 단순화된 순서도인 도 3에 대해 설명한다. 도 3의 순서도는 자체가 상기 설명에 대하여 설명하고 있다.

이제 본 발명의 또 다른 대안의 바람직한 실시예에 따라 복수의 인증서를 생성하는 바람직한 방법의 단순화된 순서도인 도 4에 대해 설명한다. 도 4에서, 각각의 일반화된 패턴 G에 대하여 단일한 모듈러스 N 및 단일 연관된 인증서를 발생시키는 단계에 대해 설명한다. 당업자는 각각의 일반화된 패턴 G에 대하여 복수의 모듈러스 및 복수의 연관된 인증서를 발생시키는 것이 가능하다. 복수의 모듈러스 N 및 복수의 연관된 인증서의 경우가 바람직한 것으로 생각된다. 도 4의 순서도는 자체가 상기 설명에 대해 설명하고 있다.

명료성을 위해, 별개의 실시예의 컨텍스트에서 설명된 본 발명의 다양한 특징이 단일 구현예에서 조합되어 제공될 수 있다는 것을 이해할 수 있다. 반대로, 간결성을 위해 단일 실시예의 콘텍스트내에 설명된 본 발명의 다양한 특징이 또한 별개로 또는 임의의 적합한 서브콤비네이션으로 제공될 수 있다.

본 발명이 여기에 특별히 도시되고 설명된 것에 제한되지 않는다는 것을 이해할 것이다. 본 발명의 범위는 다음의 청구범위에 의해서만 한정된다.

Claims (18)

1. 데이터를 포함하고 하드웨어에서 구문해석하기 위한 인증서 생성 방법에 있어서, 서명자에 의해,

   모듈러스 N을 발생하는 단계로서,

   상기 모듈러스 N은 스캐터링 방법, 함수 R, 및 시드 s에 의해 발생되고,

   상기 모듈러스 N을 발생하는 단계는 상기 스캐터링 방법을 사용하여 N을 통해 R(s)의 비트를 스캐터링하는 단계를 포함하고,

   R(s)의 비트 이외의 N의 모든 비트는 t로 표시되는, 상기 모듈러스 N을 발생하는 단계; 및

   함께 공개키 E 보다 짧은 s 및 t의 함수인 공개키 E 대신에 인증서에 s 및 t를 포함하여 하드웨어에서 구문해석하기 위한 인증서에 공개키 E를 압축시키는 단계;를 실행하는 단계를 포함하는 것을 특징으로 하는 인증서 생성 방법.
2. 제1항에 있어서, 상기 인증서 내에 s 및 t를 포함하는 단계는 상기 인증서 내에 t와 연결된 s를 포함하는 단계를 포함하는 것을 특징으로 하는 인증서 생성 방법.
3. 제1항에 있어서, t는 공개키 E에 포함된 것을 특징으로 하는 인증서 생성 방법.
4. 제1항에 있어서, 상기 인증서를 서명하는 단계를 더 포함하고, s 및 t는 상기 인증서의 서명 이전에 상기 인증서에 포함되어 있는 것을 특징으로 하는 인증서 생성 방법.
5. 제4항에 있어서, 상기 인증서의 서명은 엔티티 B에 대한 엔티티 A에 의한 것이고, 상기 공개키 E는 엔티티 B의 공개키인 것을 특징으로 하는 인증서 생성 방법.
6. 제1항에 있어서, R(s)는 상기 인증서의 소유자와 연관된 데이터를 포함하고 있는 것을 특징으로 하는 인증서 생성 방법.
7. 제6항에 있어서, 상기 데이터는 소유자 식별자를 포함하고 있는 것을 특징으로 하는 인증서 생성 방법.
8. 제1항 내지 제7항중 어느 한 항에 있어서, N은 RSA 모듈러스를 포함하고 있는 것을 특징으로 하는 인증서 생성 방법.
9. 제8항에 있어서, 상기 스캐터링 방법은 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계를 포함하는 것을 특징으로 하는 인증서 생성 방법.
10. 제9항에 있어서, 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계는 N을 통해 R(s)의 비트를 스캐터링하고 t를 발생시키는 것을 특징으로 하는 인증서 생성 방법.
11. 제9항에 있어서, 상기 래티스는 패턴에 의해 정의되는 것을 특징으로 하는 인증서 생성 방법.
12. 제11항에 있어서, 상기 래티스는

    

    를 포함하고, n,x,z는 정수이고,

    S1,...,Sk는 2n-비트 패턴 내의 심볼 "*"의 연속 그룹의 포지션 넘버이고, 포지션은 최하위(0)로부터 최상위 (2n-1)로 넘버링되고, S1≥S2≥...≥Sk이고,

    L1,...,Lk는 상기 연속 그룹에 상응하도록 넘버링된, 상기 연속 그룹의 길이이고,

    p는 (n-x)-비트 프라임이고,

    R은 r1, r2,...,rk가 L1, L2,...Lk, 각각과 동일한 길이를 갖도록 r1, r2,...,rk의 연결인 R(s)로 s를 전개하는 함수인 것을 특징으로 하는 인증서 생성 방법.
13. 각각 데이터를 포함하고 하드웨어에서 구문해석하기 위한 복수의 인증서 생성 방법에 있어서, 서명자에 의해,

    복수의 패턴을 제공하는 단계; 및

    상기 복수의 패턴의 각각의 패턴에 대하여, 다음의 단계:

    스캐터링 방법; 함수 R; 및 시드 s에 의해 발생된 모듈러스 N을 발생시키는 단계로서, N의 발생은 스캐터링 방법을 사용하여 N을 통해 R(s)의 비트를 스캐터링하는 단계를 포함하고, R(s)의 비트 이외의 N의 모든 비트는 t로 표시되는, 상기 모듈러스 N을 발생시키는 단계; 및

    함께 E 보다 짧은 s 및 t의 함수인 공개키 E 대신에 상기 패턴과 연관된 인증서에 s 및 t를 포함하는 단계;를 실행하는 단계;를 포함하고,

    N은 RSA 모듈러스를 포함하고, 상기 스캐터링 방법은 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계를 포함하고, 그리고, 상기 래티스는 상기 패턴에 의해 정의되고,

    그래서 하드웨어에서 구문해석하기 위한 복수의 인증서를 생성하는 것을 특징으로 하는 복수의 인증서 생성 방법.
14. 각각 데이터를 포함하는, 하드웨어에서 구문해석하기 위한 복수의 인증서를 생성하는 방법에 있어서, 서명자에 의해,

    복수의 패턴을 제공하는 단계; 및

    상기 복수의 패턴의 각각의 패턴에 대하여, 다음의 단계:

    각각 스캐터링 방법; 함수 R; 및 시드 S_i에 의해 발생된 복수의 모듈러스 N_i을 발생시키는 단계로서, 각각의 N_i의 발생은 스캐터링 방법을 사용하여 N_i를 통해 R(S_i)의 비트를 스캐터링하는 단계를 포함하고, R(S_i)의 비트 이외의 N_i의 모든 비트는 t_i로 표시되는 복수의 모듈러스 N_i를 발생시키는 단계;

    각각의 N_i에 대하여, 함께 E_i 보다 짧은 s_i 및 t_i 의 함수인 공개키 E_i 대신에 상기 패턴과 연관된 인증서 내에 s_i 및 t_i를 포함하는 단계;를 실행하는 단계;를 포함하고,

    N_i은 RSA 모듈러스를 포함하고, 상기 스캐터링 방법은 렌스트라, 렌스트라 및 로바츠(LLL) 방법을 래티스에 적용하는 단계를 포함하고, 그리고, 상기 래티스는 패턴에 의해 정의되고, 그래서 하드웨어에서 구문해석하기 위한 복수의 인증서를 생성하고, i=1,2,...,k이고, k는 정수인 것을 특징으로 하는 복수의 인증서 생성 방법.
15. 제13항에 있어서, 상기 래티스는

    

    를 포함하고, n,x,z는 정수이고,

    S1,...,Sk는 일반화된 2n-비트 패턴 내의 심볼 "*"의 연속 그룹의 포지션 넘버이고, 포지션은 최하위(0)로부터 최상위 (2n-1)로 넘버링되고, S1≥S2≥...≥Sk이고,

    L1,...,Lk는 상기 연속 그룹에 상응하도록 넘버링된, 상기 연속 그룹의 길이이고,

    p는 (n-x)-비트 프라임이고,

    R은 r1, r2,...,rk가 L1, L2,...Lk, 각각과 동일한 길이를 갖도록 r1, r2,...,rk의 연결인 R(s)로 s를 전개하는 함수인 것을 특징으로 하는 복수의 인증서 생성 방법.
16. 제14항에 있어서, 상기 래티스는

    

    를 포함하고, n,x,z는 정수이고,

    S1,...,Sk는 2n-비트 패턴 내의 심볼 "*"의 연속 그룹의 포지션 넘버이고, 포지션은 최하위(0)로부터 최상위 (2n-1)로 넘버링되고, S1≥S2≥...≥Sk이고,

    L1,...,Lk는 상기 연속 그룹에 상응하도록 넘버링된, 상기 연속 그룹의 길이이고,

    pi는 (n-x)-비트 프라임이고,

    R은 r1_i, r2_i,...,rk_i가 L1, L2,...Lk, 각각과 동일한 길이를 갖도록 r1_i, r2_i,...,rk_i의 연결인 R(s_i)로 s_i를 전개하는 함수인 것을 특징으로 하는 복수의 인증서 생성 방법.
17. 삭제
18. 삭제

Images