JPH0265542A - 資格認証方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 「産業上の利用分野」 この発明は、ネットワークやコンピュータシステムにお
いて、通信相手やユーザが本当に自分の思っている＋ａ
手であるかどうか、その資格を認証する方式に関するも
のである。

「従来の技術」 通信相手やユーザの資格を認証する最も基本的な方式と
して従来のパスワード認証方式があげられる。

第５図は、最も基本的なパスワード認証方式を示す図で
ある。第５図において、χはパスワードであり、Ａをシ
ステム、Ｂをユーザとする。第５図に示すように、ユー
ザＢはあらかじめシステムＡにパスワードＸを登録して
おき、認証に際して、ユーザＢはパスワードＸをシステ
ムＡに送る。システムＡは受け取ったパスワードＸを登
録されているユーザＢのパスワードＸと比較し、ユーザ
Ｂの正当性を判断する。

第５図に示したパスワード方式には以下のような問題点
がある。

■　システム内にパスワードがそのままの形で保管され
ているため、パスワードファイルの盗見によって秘！情
報であるパスワードが盗まれてしまう。

■　パスワードＸをそのままの形でシステムに送るため
、通信中に回線を盗聴することによってパスワードχを
盗まれる。

これらの問題を解決する方式として、一方向性関数を用
いる方式がある。第６図を用いて、一方向性関数を用い
る方式を説明する。第６図において、ｆは一方向性関数
であり、χを入力としてｙを出力とするとき、ｙ＝ｆ　
（ｘ）と書く、第６図に示すように、ユーザＢはあらか
じめシステム八にパスワードＸを送信する。システムＡ
はχを一方向性変換したｙをユーザＢのパスワードとし
て登録しておく。そして、認証に際して、ユーザＢはパ
スワードＸをシステム八に送る。システムＡは受け取っ
たパスワードＸを一方向性変換しｙを算出し、登録され
ているｙと比較し、ユーザＢの正当性を判断する。

第６図に示したパスワード方式は、第５図に示したパス
ワード方式の■の問題点を解決する。すなわち、一方向
性関数は入力のしらみ潰し以外に出力から入力を得る存
効な手段が存在しない関数であるため、不正行為者がパ
スワードファイルを盗見したとしてももとのパスワード
を推測することが困難である。ただし、依然として■の
問題点は解決されていない。

■の問題点を解決するには通信するパスワードに暗号方
式を適用することが考えられるが、秘密鍵をいかに共存
するかなど、種々の問題がある。

これをニレガントに解決する方式が１９８１年にＬａ＊
ｐｏｒｔにより［されている　（Ｌ、Ｌａｍｐｏｒｔ＋
”Ｐａｓｓｗｏｒｄ　　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
　　ｗＨｈ　　ＩｎｓｅｃｕｒｅＣｏｌｌｍｕｎｉｃａ
ｔｉｏｎｓ　　　Ｃｏ１１＠、　　八ＣＭ、Ｎｏｖ、ｌ
９８１　１１ｏ１．２４゜Ｎｃｉｌ　１．　ｐｐ、７７
０−７７２．）、第７図にＬａ＋＊ｐｏｒｔの方式を示
す、第７図において、（ｎ（ｎ　−１・・・）はパスワ
ードＸに対して一方向性関数ｒを０回連続して適用した
結果を示す。たとえば、ｆ　３＝ｆ（ｆ　（ｆ　（ｘ）
））である。ユーザＢは、システムＡに対して、たとえ
ばｒ　ｔｏｏｏを送信する。システムＡはこれを記録し
ておく。そして、最初の認証時に、ＢはＡに「９９９を
計算して送信する。システムＡは受信したｆ９９９を一
方向性変換して［１０００を算出し、前回Ｂから受け取
っているｆ　１０００と比較し、一致すればＢを正当と
判断する。さらにｒ　１ｏｏｏにかわってｆ９９９を新
しく記録しておく。

次の認証に際して、Ｂは、ｆ９９８、その次にはｆ９９
７というように一方向性変換する回数を順次減らしてい
く。Ａもつぎつぎ認証データを再登録する。そして、Ｂ
は最後にＡに対してｒＯと考えられるＸを示すまで、Ａ
からの認証を受け取られる。すなわち、最初にｆ　１０
００を用意すれば１０００回の認証を受けられるという
方式である。

Ｌａｍｐｏｒ　ｔの方式の特徴は以下の通りである。

■　パスワードの一方向性変換結果を使い捨てで使って
いるので、不正行為者が回＆１！盗聴によって通信中の
データを取得したとしても、もとのパスワードを逆算で
きない。さらに、以降の認証に使用できない。

■　相手に自分の秘密の情報を教えないで自分を認証さ
せることができる。

Ｌａｍｐｏｒ　ｔの方式の問題点は以下の通りである。

■　ユーザＢの側が、認証時にかなり多くの回数一方向
性変換処理を行わなければならない。

（ｆ　１０００を初期設定すれば、次回は９９９回、次
々回は９９８回） ■　一方向性変換結果を使い捨てするので、使いきって
しまう毎に再度新しいパスワードを設定しなければなら
ない。

特に、■の問題点は、ユーザＢの処理能力が小さい場合
、たとえばＢがＩＣカードや小規模の端末などに対して
、ＬａｍｐｏｒＬＯ方弐が適用できないということを示
している。

この発明の目的は、システム内のパスワードファイルの
盗見、通信回線の盗聴に対して安全であり、自分の秘密
情報を相手に公開しないで、さらに計算量が少なく、使
い捨てでないパスワード認証方式を実現できるような資
格認証方式を提供することにある。

「課題を解決するための手段」 この発明の資格認証方式は、一方向性変換を用い、認証
される側が認証する側に対して、自分の資格を証明する
情報と、事前に送付しである資格証明の根拠になる情報
の正当性を証明する情報と、以降の資格証明の根拠にな
る情報とを送付することを特徴としている。これによっ
て、すくない計算量で、自分の秘密情報を相手に公開せ
ず、かつ、使い捨てでないパスワード認証方式を実現で
きる。

「実施例」 第１図はこの発明の資格認証方式を実現する機能ブロッ
クの実施例を示す、第１図において、１は認証制御機構
、２は被認証制御機構、３は公開溝、４は秘密情報入力
機構、５は乱数生成機構、６は一方向性情報生成機構、
７は乱数記録機構、８は情報送信機構、９は情報受信機
構、ｌＯは情報記録機構、ｉｔは情報比較機構である。

第１図に示した機能ブロックの動作を以下に説明する。

認証方式の説明に先だって、まず一方向性関数について
説明する。

一方向性関数とは、入力データのしらみ潰し以外に、出
力データから入力データＸを逆算する存効な方法のない
関数をいう、このように、計算量的に、出力データから
入力データを求めることが困難であることを、単に出力
データから入力データを逆算できないと書くことにする
。　ＤＢＳ、ＦＥＡＬなとの秘密鍵暗号アルゴリズムを
用いて、このような性質を実現できる。特に、ＦＥＡＬ
は、１６ビツトのパーソナルコンピュータ上のソフトウ
ェアで２００Ｘｂｐｓ、　Ｌ　Ｓ　Ｉとして９６Ｘｂｐ
ｓ　（クロック１０Ｍ１ｌｚ）の暗号化処理速度を実現
しているすぐれた秘密鍵暗号方式である。

秘密鍵暗号アルゴリズムをＣ＝Ｅ　（Ｐ、Ｋ）で表す。

Ｃは暗号文、Ｐは平文、Ｋは秘Ｖ！鍵である。

この場合、Ｐを定数、Ｋを入力データ、Ｃを出力データ
とするとＥは一方向性関数である。すなわち、ＰとＣが
分かっていても入力データであるＫを逆算できない。

続いて本発明の認証手順の実施例を説明する。

エンティティＡがエンティティＢを認証する場合の認証
手順として示す。手順は、初期手順と一般手順に分けら
れる。認証する側であるＡの認証制御は、Ｌ２証制′４
′Ｂ機構ｌが行う、また、認証される側であるＢの被認
証制御は、被認証制御機構２が行う。

理解を容易にするために、初期手順におけるデータの流
を第２図に示す、また、−ａ手順におけるデータの流れ
を第３図に示す。さらに、初期手順と一般手順をあわせ
た、ＡおよびＢ側それぞれの算出データとＢ側からＡ側
への送信データを第４図に示す。

第２図、第３図および第４図面の簡単な説明においては
、以下の表記を用いる。

巳：上記秘密鍵暗号、第２パラメータが鍵Ｓｌｌ：Ａの
秘密情報 Ｎ、、：変数（センジョンＮα（ｎ＝０・・・）として
任意に設定できる） ＰＡ　一定数（認証者がＡであることを識別する）Ｍ７
　：認証子 ■＝ビット毎の排他的論理和 〔初期手順］ ■Ａ； 自分のＩＤとして、ＰＡを公開１３に登録しておく。

■Ｂ： 秘密情報Ｓ１は秘密情報入力機構４によって取り込まれ
る　ｐＡを公開Ｍ３から読み、Ｎｏ、Ｎ＋を乱数生成機
構５によって任意に設定し、一方向性情報生成機構６に
よって以下のデータを算出する。一方向性変換処理は上
記説明の通り、秘密鍵暗号化処理Ｅを用いる。

Ｅ、−Ｅ　（Ｐ’　、Ｓ’　ｅＮ、） Ｅ、’　　−Ｅ　　（ＰＡ　、　　ＩＥ、）Ｅ、＝Ｅ　
　（Ｐ’　、Ｓｌ　ＯＮ、）Ｅ、’　　＝Ｅ　　（Ｐ’
　、Ｅｌ　　）さらに、次の認証子を算出する。

Ｍ、　−Ｅ　（Ｅｌ’　、　　Ｅａ　）乱数記録機構７
によってＮ、、Ｎ、を記録しておく。

■Ｂ： 以上の準備をした上で、情報送信機構８によってＡに以
下のデータを送付する。

Ｅ、’　、Ｅ、’　、Ｍ。

■Ａ： 情報受信機構９で受信したデータを情報記録機構ＩＯで
以下のように記録する。

次回認証用データとしてＥ６′を記録する。

次々回認証用データとしてＥ　、　Ｉを記録する。

Ｅ＋’の正当性を検証するためにＭｏを記録する。

〔一般手順〕

初期手１（（終了後の第ｎ回目（ｎ＝１・・・）の認証
子１＠は以下の通りである。

■Ｂ： 乱数記録機構７からＮａ−、、Ｎ、を読みだし、乱数生
成機構５によりＮ　１１４１を任意に設定し、一方向性
情報生成機構６によって以下のデータを算出する。秘密
情報Ｓ６は秘密情報入力機構４によって取り込まれる。

ＥＲ−１＝Ｅ　（ＰＡ　Ｓｌｌ■Ｎ、ｌ−、）巳、−Ｅ
　（ＰＡ、Ｓｌ■Ｎ、、） Ｅｆｉ、、　＝Ｅ　（ＰＡ　ＳｌのＮ、、、　）Ｅ、、
、、’　＝Ｅ　（ＰＡ、Ｅ、、、）さらに、次の認証子
を算出する。

Ｍ、＝Ｅ（巳Ａｌｌ’　＋　　Ｅｈ　）■Ｂ： 情報送信機構８によってＡに以下のデータを送付する。

Ｅ、ｌ−、、Ｅ、１．、’　、　Ｍ１１■Ａ： 情報受信機構９で受信したＥ７−１でＥ□、′＝Ｅ（Ｐ
Ａ、Ｅい−１）を算出する。

算出したＥ　１１−１′　と、情報記録機構１０で前回
登録されているＥｎ−１′　とを情報比較機構１１によ
り比較し、一致したらＡが正当であるとする。

さらに、Ｅ＋＋−１と情報記録機構１０で記録しである
巳。′により一方向性情報生成機構６によってＭｆｉ−
、＝Ｅ（Ｅ、’　、Ｅ、、）を算出し、情報記録機構Ｉ
Ｏで前回記録しであるＭＭ−、と情報比較機構１１によ
り比較する。一致したら先に受け取ったＥ、、′が正当
であるとする。

■Ａ： 情報記録機構１０で以下のように記録する。

次回認証用データとしてＥ９′を記録する。

次々回認証用データとして巳１．．′を記録する。

巳６．１′の正当性を検証するためにＭ７を記録する。

「発明の効果」 以上説明したこの発明の資格認証方式は、認証される側
が認証する側に対して、自分の資格を証明し、かつ、事
前に送付しである資格証明の根拠になる情報の正当性を
証明する情報と、以降の資格証明に用いる情報を送付す
るようにしている。

したがって、不正行為者が通信中の認証情報を自分ζこ
都合のいいものに改ざんしたとしても、その正当性を保
証できないので次回の認証は受けられない。また、実施
例で示した認証手順では、認証される側の一方向性情報
生成処理は、−回の認証につき５回で済む。これはＬａ
ｍｐｏｒｔの方式の数１００〜ｔｏｏｏ回に比べて著し
く小さい、また、一方向性変換の性質から、自分の秘密
情報を相手に示すことなく、さらに使い捨てでないパス
ワード認証方式を実現できる。

本実施例で示した認証子ｊ頭では、簡単のために、認証
される側Ｂは認証する側Ａに対して、一方向性変換情報
生成のもとになっている乱数情報を送信しない場合を示
した。乱数をセツション管理番号とし、これを認証側に
送るようにすれば、何らかの障害が生じた場合に、この
番号をもとに前の状態に復旧させることができるように
することができる。

この発明の実施例では、秘密情報に対して一方向性関数
を２回連続適用させ、１回の適用データを相手に示すこ
とによって、事前に送付しである２回適用のデータの送
信者であることを認証させる方式を示した。この応用と
して、上記一方向性関数通用部分にＬａｍｐｏｒｔの方
式を用いることが考えられる。すなわち、一方向性関数
を複数回適用させ、これを逆順に認証に用いていくわけ
である。

この応用方式は、この発明の安全性をさらに向上させる
ことができる。ただし、処理量が増加する。

この発明の機能ブロックの実施例において機構として示
した部分は、適用形態によっては一部ソフトウエアで実
現される場合もある。

この発明の資格認証方式は、ネックワーク、通信、コン
ピュータシステムにおけるあらゆる状況の相手資格認証
に通用することができる。たとえば、認証される側の処
理量が少なくて済むため、ＩＣカードの認証ンステムに
適用することができる。これを応用して、ＩＣカード電
話機などのシステムに通用できる。また、ネットワーク
上の同一レベルのユーザ同士の相互認証に適用できる。

データベースの情報へのアクセス資格の認証へ通用でき
る。さらに、利害関係の異なるユーザグループが同一の
ＬＡＮ上に共存しているような場合の、それぞれのグル
ープの望報へのアクセス資格の認証への適用も可能であ
る。この場合には、かなりの高速性が要求されるので、
一方向性変換処理を実現する秘密鍵暗号はＬＳＩを用い
ることが必要である。

この発明は、ある認証時に送付した認証用情報について
、その情報の正当性を次回に検証し、さらに次々回にそ
の情報を実際の認証に用いる認証方式を実現するもので
ある。すなわち、認証用情報の送付時と正当性確認時に
１回、さらに正当性確認時と実際の認証使用時に１回の
時間差がそれぞれあるわけである。この発明の応用とし
て、この時間差を複数回に増加させることが容易に考え
られる。この場合には、認証、被認証の各側での記憶情
報の量が増加する。

【図面の簡単な説明】

第１図はこの発明の機能ブロックの実施例を示す図、第
２図はこの発明の認証手順における初期手順の説明図、
第３図はこの発明の認証手順における一般手順の説明図
、第４図はこの発明の認証子１頓における算出データと
送信データの一覧図、第５図は従来技術として最も基本
的なパスワード認証方式の説明図、第６図は従来技術と
して一方向性関数を用いているパスワード認証方式の説
明図、第７図は従来技術であるＬａｍｐｏｒＬのパスワ
ード認証方式の説明図である。 特許出願人　　日本電信電話株式会社

Claims (6)

【特許請求の範囲】
1. （１）認証者Ａが被認証者Ｂの資格を認証する方式にお
   いて、 被認証者Ｂが、前々回送付済みの認証用情報の作成者で
   あることを証明する情報であってさらに前回送付済みの
   認証用情報の正当性を証明する情報Ｉと、次々回認証用
   情報と、次々回認証用情報の正当性確認のための根拠と
   なる情報を作成して認証者Ａに送付し、 認証者Ａは、受け取った情報Ｉを用いて、被認証者Ｂが
   前々回受け取っている認証用情報の作成者であることを
   確認し、さらに情報Ｉによって前回受け取っている認証
   用情報の正当性を確認し、被認証者から送付されてきた
   Ｉ以外の情報を保存し、 以上の認証手順を次々と順に続けて相手の資格認証を行
   うことを特徴とする資格認証方式。
2. （２）Ｂ側が、秘密に保持する情報を入力する秘密情報
   入力機構と、乱数を生成する乱数生成機構と、生成した
   乱数を記録しておく乱数記録機構と、任意のパラメータ
   情報を用い入力情報を算出することが計算量的に困難で
   あるような一方向性を有する出力情報を生成する一方向
   性情報生成機構と、情報をＡに送信する情報送信機構を
   有し、 Ａ側が、Ｂからの情報を受信する情報受信機構と、Ｂか
   らの受信情報を記録しておく受信情報記録機構と、前記
   一方向性情報生成機構と、Ｂからの受信情報と生成した
   一方向性情報とを比較する情報比較機構を有し、 初期手続き（ｎ＝０）として、 Ｂ側が、 ある定数をパラメータとし、秘密情報入力機構により入
   力された秘密情報と乱数生成機構によって生成したｎ＝
   ０対応乱数を融合処理した情報を入力情報とし、一方向
   性情報生成機構によってｎ＝０対応認証情報検証用情報
   を生成し、同じパラメータでこのｎ＝０対応認証情報検
   証用情報を入力情報とし一方向性情報生成機構によって
   ｎ＝０対応認証情報を生成し、 次に、乱数生成機構によって生成したｎ＝１対応乱数に
   よって、同様の手順で、ｎ＝１対応認証情報検証用情報
   とｎ＝１対応認証情報を生成し、さらに、ｎ＝１対応認
   証情報をパラメータ、ｎ＝０対応認証情報検証用情報を
   入力情報としてｎ＝１対応認証情報の正当性確認情報を
   生成し、情報送信機構によって、ｎ＝０対応認証情報、
   ｎ＝１対応認証情報およびｎ＝１対応認証情報の正当性
   確認情報をＡへ送信し、 Ａ側が、 情報受信機構によって、ｎ＝０対応認証情報、ｎ＝１対
   応認証情報およびｎ＝１対応認証情報の正当性確認情報
   を受信し、それらの情報を受信情報記録機構によって記
   録し、初期手続き後、第ｍ回目の認証時（ｎ＝ｍ；ｍは
   １以上）において、Ｂ側が、 初期手続きと同じ定数をパラメータとし、秘密情報入力
   機構により入力された秘密情報と乱数記録機構により記
   録してあってｎ＝ｍ−１対応乱数を融合処理した情報を
   入力情報とし、一方向性情報生成機構によってｎ＝ｍ−
   １対応認証情報検証用情報を生成し、 乱数記録機構により記録してあったｎ＝ｍ対応乱数によ
   り、同様の手順で、ｎ＝ｍ対応認証情報検証用情報を生
   成し、 同じ定数をパラメータとし、秘密情報入力機構により入
   力された秘密情報と乱数生成機構によって新たに生成し
   たｎ＝ｍ＋１対応乱数を融合処理した情報を入力情報と
   し、一方向性情報生成機構によってｎ＝ｍ＋１対応認証
   情報検証用情報を生成し、同じパラメータでこのｎ＝ｍ
   ＋１対応認証情報検証用情報を入力情報とし一方向性情
   報生成機構によってｎ＝ｍ＋１対応認証情報を生成し、
   さらに、ｎ＝ｍ＋１対応認証情報をパラメータ、ｎ＝ｍ
   対応認証情報検証用情報を入力情報としてｎ＝ｍ＋１対
   応認証情報の正当性確認情報を生成し、 情報送信機構によって、ｎ＝ｍ−１対応認証情報検証用
   情報、ｎ＝ｍ＋１対応認証情報およびｎ＝ｍ＋１対応認
   証情報の正当性確認情報をＡへ送信し、 Ａ側が、 情報受信機構によって、ｎ＝ｍ−１対応認証情報検証用
   情報、ｎ＝ｍ＋１対応認証情報およびｎ＝ｍ＋１対応認
   証情報の正当性確認情報を受信し、ｎ＝ｍ＋１対応認証
   情報およびｎ＝ｍ＋１対応認証情報の正当性確認情報に
   ついては受信情報記録機構によって記録し、ｎ＝ｍ−１
   対応認証情報検証用情報を入力情報とし、Ｂが用いたの
   と同じ定数をパラメータとし、一方向性情報生成機能に
   よってｎ＝ｍ−１対応認証情報を生成し、先にＢから送
   信され、受信情報記録機構で記録しているｎ＝ｍ−１対
   応認証情報と情報比較機構によって比較し、一致する場
   合、Ｂを正当と判断し、一致しない場合、Ｂを正当と判
   断しない、さらに、Ｂが正当と判断された場合、同じく
   ｎ＝ｍ−１対応認証情報検証用情報を入力情報とし、ｎ
   ＝ｍ対応認証情報をパラメータとし、一方向性情報生成
   機能によってｎ＝ｍ対応認証情報の正当性確認情報を生
   成し、先にＢから送信され、受信情報記録機構で記録し
   ているｎ＝ｍ対応認証情報の正当性確認情報と情報比較
   機構によって比較し、一致する場合、ｎ＝ｍ対応認証情
   報を正当と判断し、一致しない場合、ｎ＝ｍ対応認証情
   報を正当と判断しない という手順で認証を行うことを特徴とする請求項第１項
   記載の資格認証方式。
3. （３）パラメータとして用いる定数として、認証する側
   すなわちＡの識別情報を用いることを特徴とする請求項
   第２項記載の資格認証方式。
4. （４）秘密情報と乱数の融合処理として、両者の排他的
   論理和を用いることを特徴とした請求項第２項記載の資
   格認証方式。
5. （５）一方向性情報生成機構として秘密鍵暗号方式を用
   い、パラメータを秘密鍵暗号方式の平文情報、入力情報
   を秘密鍵暗号方式の秘密鍵情報として、一方向性を有す
   る出力情報として暗号文情報を用いることを特徴とする
   請求項第２項記載の資格認証方式。
6. （６）Ｂ側は、乱数生成機構で生成した乱数を、情報送
   信機構でＡに送信し、Ａ側は、これを情報受信機構で受
   信し、受信情報記録機構によって記録することを特徴と
   する請求項第２項記載の資格認証方式。