JPH027638A - 認証方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野コ この発明は、電気通信システムを介して資金移動を行な
う際に、消費者のプライバシイを保護できる通信プロト
コルを実現することが出来る機能を備えたシステムによ
る認証方式に関する。

［従来の技術］ 近年、電気通信システムを仲介した電子資金移動や、Ｉ
Ｃカードを使用した決済が普及してきている。また、現
金の代替手段として汎用プリペイドカードや、電子財布
を利用することも研究されている。

この様なシステムを介した資金の流れが特定の組織に管
理されると、消費者の消費動向などの個人情報が組織の
システム内に蓄積され、プライバシイ保護の観点から問
題となる。

これを解決するために、Ｄ、　Ｃｈａｕｍの暗号技術を
用いて資金移動の追跡を不可能とする方式があるが、情
報処理装置におけるＲ３Ａ暗号の処理量が大きいため負
担がかかる欠点がある。

［発明が解決しようとする課題］ この発明は、システム設計者が処理速度を考慮して安全
性のパラメータを選択できるようにして、従来方式より
も高速な、追跡が不可能な認証方式を提供することを目
的とする。

［課題を解決するための手段］ 処理量を削減するために、問い合わせ文と応答文を用い
るＦｉａｔ−３ｈａｍｉｒ法をベースとして、高速な認
証処理方式を実現する。また、第三者にＡ−８間及びＢ
−Ｃ間において通信が行なわれるデータの対応関係を秘
匿して、追跡を不可能とするために、Ｂが問い合わせ文
の対応関係と応答文の対応関係を乱数に依って与え、そ
の乱数を秘密に保つことにより、従来より少ない処理量
よって、追跡が不可能な認証処理を可能としている。

［実施例］ 第１図は、この発明の原理を示す構成図である。

証明者Ａ（１００）が設備する装置、被検証者Ｂ（２０
０）が設備する装置、及び検証者Ｃが設備する装置は、
それぞれ通信回線を介して接続されている。第１図（ａ
）は利用者の認証方式、また同図（ｂ）はメツセージの
認証方式において目的を達成するための交信状態を示し
ている。なお、第１図において、Ｂから八への破線は、
破線の後の手順を実行する前に必要とする場合の手順を
象徴的に示したものである。

以下の説明においては、Ａは証明者（例えば銀行）、Ｂ
は被検証者（例えば消費者）、Ｃは検証者（例えば商店
）であり、まず、ＡがＢの身元を確認したことをＣに対
して証明するＳ８証方式を説明し、次にＢがＡの介助の
もとにメツセージｍに署名するメツセージの認証方式を
説明する。

ここで、上記のＤａｖｉｄ　Ｃｈａｕｍの資金移動方式
％式％ Ｎｏ、　１０）について概説する。

なお、Ａ％Ｂ、Ｃ，・ｍｌについては、それぞれ前述し
た意味で使用される。

（ア）Ｂは、金額等の取引内容を含む文書ｍを乱数によ
り撹乱して通信文２を作成し、これを八に送信する。

（イ）ＡはＢの正当性を認証した後に、Ｂの口座から金
額を引き落とし、金額に対応した署名を２に施して、署
名付き通信文ｚ′を已に返送する。

（つ）Ｂは、２゛から乱数の影響を取り除いて、ｍに署
名を施した値としてｍｏを求め、これを現金にかわる手
段としてＣに支払う。

（１）Ｃは、ｍｏがＡによって署名されていることを確
認し、ｍｏに表示がある金額の価値があると判断する。

（オ）Ｃは、後日ｍ°をＡに提出することによって、対
応する金額を受は取る。

このように、ｍ“は、金券としての機能を備えている。

この場合、２はｍに乱数が付加されているので、Ａ及び
第三者には、２からｍを推定することは不可能である。

また、ＡがＣと結託しても、ｍ　と２の対応を知ること
はできないから、誰がｍｏを発行したかは、秘密に保た
れる。従って、金券ｍ゛の発行元は追跡不可能であるか
ら、消費者の消費動向等のプライバシイを守ることがで
きる。

しかし、この方式においては、２から２゛を求めるため
にＲ３Ａ暗号を利用するから、例えば、２００桁同上の
整数の乗法（剰余計算を含む）が平均して７６８回必要
になるというように、処理量が大きいことが問題であり
、この場合には、銀行Ａの負担が重いことが欠点となる
。

次に、高速な認証方式として、ＦｉａｔとＳｈａ…Ｉ「
の方式を説明する（　＾、Ｆｉａｔ、　ａｎｄ＾、　Ｓ
ｈａｍｉｒ、　”Ｈｏｗｔｏ　ｐｒｏｖｅ　　ｙｏｕｒ
ｓｅｌｆ：　　ｐｒａｃｔｉｃａｌ　５ｏｌｕｔｉｏｎ
ｓ　ｔ。

１ｄｅｎｔｉｆｉｃａｔｉｏｎ　　ａｎｄ　　ｓｉｇｎ
ａｔｕｒｅ　ｐｒｏｂｌｅｍｓ　。

Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　Ｃｒｙｐｔｏ　８６，
５ａｎｔａ　Ｂａｒｂａｒａ、Ａｕｇ。

１９８６、　ｐｐ、　１８−ｌ−１８−７）。

Ｆｉａｔ−Ｓｈａｍｉｒ法によると、処理量は、平均し
てｔ　（ｋ＋２）　／２　　回の乗算（但し法Ｎにおけ
る剰余計算を含む）で済み、特にに＝５、ｔ＝４に選ぶ
ことが推奨されているので、乗算回数は１４回となるか
ら、ＲＳＡ暗号による署名法に比較して処理量を大幅に
削減できる。具体的には、１４／７６８＝０．０２であ
るから、２％で実現できることになる。

信頼できるセンタが、個人識別情報としてＩＤを使用す
る個人に対して、次の手順により　ｋ個（ｋは安全性を
定めるパラメータであり、１以上の値）の秘密情報５ｊ
（１≦ｊ≦ｋ）を生成する。

ここで、Ｎは公開情報であり、秘密の素数ＰとＱを用い
てＮ＝ＰＸＱと表せる。またｆは一方向性関数であり、
公開されている。

５ｔｅｐｌ：　　一方向性関数ｆを用いてｖｊ＝ｆ　　
（ＩＤ、ｊ）　　　　（１≦ｊ≦ｋ）を計算する。

５ｔｅｐ２：　　各ｖｊに対してＮの素因数ＰとＱを用
いて ｓｊ＝めフー了　　　　（ｍｏｄ　　Ｎ）を計算する。

変形すれば次式となる。

ｓ　ｊ２＝１／ｖ　ｊ　　　　　　（ｍｏｄ　　Ｎ）ｓ
ｔｅｐ３：利用者に対してに個のｓｊを秘密に発行し、
一方向性関数「と合成数Ｎを公開する。

（ｍｏｄ　　Ｎ）における平方根の計算は、Ｎの素因数
（ＰとＱ）が分かっているときのみ実行できる。その方
法は例えばＲａｂｉｎ、　Ｍ、口、：’Ｄｉｇｉｔａｌ
ｉｚｅｄＳｉｇｎａｔｕｒｅｓ　　ａｎｄ　　ｐｕｂｌ
ｉｃ−ｋｅｙ　　Ｆｕｎｃｔｉｏｎｓ　　ａｓ　　Ｉｎ
ｔｒａｃｔａｂｌｅ　ａｓ　Ｆａｃｔｏｒｉｚａｔｉｏ
ｎ”、Ｔｅｃｈ、Ｒｅｐ、旧Ｔ／ＬＣＳ／ＴＲ−２１２
ＭＡＴ　Ｌａｂ、　Ｃｏｍｐｕｔ、　Ｓｃｉ、１９７９
　　に記載されている。平方根の計算装置の具体的な構
成は、公開鍵暗号システム（特願昭６ｌ−１６９３５０
）に示されている。

利用者の認証方式は、以下に示すとおりである。

認証者Ａは、□”検証者Ｃに灯して、Ａが本物であるこ
とを、次の手順で証明する。

５ｔｅｐ１：　ＡがＩＤをＣに送る。

５ｔｅｐ２：　　Ｃが、　ｖ’　ｊ＝　ｆ　（１’　Ｄ
　、　　ｊ　）（１′≦ｊ≦ｋ）を計算する。

次に、”＋　”　１．・・□・・、ｔについて３−６の
ステップを繰り返す（ｔは安全性を定めるパラメータで
あり、１以上の数）。

５ｔｅｐ３：　　乱数ｒｉを生成して、ｘｉ＝ｒｉ２　
（ｍａｄ　　Ｎ） □　　　　　　　を計算して、Ｃに送る。

５ｔｅｐ４：　Ｃが、０．１のビット列（ｅｉｌ。

・・・・、ｅｉｋ）を生成して、八に送る。

５ｔｅｐ５：　　Ａが署名文ｙｉを により生成して、Ｃに送る。

５ｔｅｐ６： Ｃは、 が成り立つことを検査する。

ｙｉの作り方より ＝Ｘｉ’　　（ｎ４＋　ｏ　ｄ　Ｎ） が成立するから、を回の検査にすべて合格した場合、Ｃ
は八が本物であるとλ忍める。

このとき、検証者Ｃが、・偽の証明者を本物のＡと認め
てしまう誤りの生じる確率は１／２肛である。ここで、
ｋは証明者が秘密１と管理するｓｊの個数であり、ｔは
通信分の通信回数を定めている。

以上の説明では、利用者のδ瀧証方式について説明した
が、メツセージの認証方式は、上記の手順を次のように
変更して実現できる。

すなわち、メツセージｍと（、ｘｉ、　　・・・・（’
　ｘ　ｔ）　ｌ＋ｌニ一方向性関数ｆを施して得たｆ”
　（ｍ、　　ｘｌ：　・・・・・ｘ’ｔ）の先頭のに層
上ビットを上記手順のビット列（ｅｉｉ）とみなして、
署名文どして、（Ｉ−Ｄ、ｍ。

（ｅ目’）　’＋　”’Ｖ”Ｉ：　　・・・・・、ｙｔ
）を署名付き通倍文として検証者に・送信する。

このようにＦｉａｔ−Ｓｈａｍｉｒ法は高速な認証方式
であるが、現在までのところ、この方式を用いた追跡不
可能な認証方式はＪ案出されていない。

この発明は、第１図（ａ）に示すように、ＡＢ間とＢ−
Ｃ間でそ・れぞれ’Ｆｌｉ、ａ　ｔ−Ｓｈａｍ　ｉ　ｒ
法の利用者認証方□式を・採用し、２つ１のＦｉａ・ｔ
−３ｈａｍｉｒ法を対応づける情報を已において秘密に
することにより、追跡不可能な利用者の認証方式を実現
できる。

Ｆ　ｉａｔ−３ｈａｍ”ｉ　ｒ’法の場合□と同様に、
偏傾できるセンタが、□合成数Ｎと一方向性関数ゴを公
開し、さらに証明者Ａの・識別情報ＬＤ・に対応する秘
密情報Ｓを計算□して、Ｓを・Ａに配送す□る。以下、
ｋ＝１の場合１どｐいて゛証明す・る計 Ａ（ｌ・Ｏ’　Ｏ’）”の概略□を第２図、Ｂ（２００
）・の概略を第３図、Ｃ□（３００□）′・・・の概略
を第４図、にそれぞれ示す。　　　パ・ 認証者Ａは、被検証者Ｂの・正当性を、検証者Ｃに対し
て、次の手順でミーする□。

ｓ’ｔｅｐｌプＡがＩ’ＤをＢとＣに送る。

ｓ　ｔ′ｅ　ｐ　２　：’ＡとＢとＣは、それぞれ一方
向性関数計算器（１０５，２０５，３０５）を用いて、
ｘ　＝　ｆ　　（Ｉ　Ｄ＞を計算する。

次に、３−６のステップをｔ回繰り返す。

３ｔ’ｅｐ３：　　Ａは初期応答文発生器（ｔｔｏ＞を
用いて初期応答文Ｘ゛を発生して已に送る。

初期応答文発生器１１０は、乱数発生器１．１１と、剰
余付き乗算器１１２により構成することができる。′１
１１を用いて乱数ｒを発生し、１１２を用い□て、 ｘ’　　＝ｘＸｒ”　（’ｍ６”ｄ　　Ｎ）によりＸｏ
を計□算する。

剰余付き乗算の効率のよい計算方法は、例えば池野、小
山著「゛現代暗号理−」、電□子通信学□会、ｐｐ、：
’　Ｌ−６−１７、（１９８６）、に示されている。

５ｔｅｐ４：　Ｂは、Ｘｏを受信すると、乱数発生器２
１Ｏ，！：′初期応答文撹乱器２１５を用いて、２１０
で発生したＯ、］のピッ）ｅと乱数Ｕを、Ｘｏ及び先に
生成したｘ′と共に２１５に入力し、撹乱された初期応
答文Ｘ″を計算してＣに送る。

初期応答文撹乱器２１５は、剰余付き乗算器として構成
し、受信した初期応答文ｘ’　　　ｘ、ｅ。

及びＵから ｘ　　＝ｕ’ｘｘ−＠ｘｘ’　　　（ｍａｄ　　Ｎ）に
よりＸｏを計算する。

５ｔｅｐ５：　　Ｃは、ｘ”を受信すると、Ｘを秘密情
報格納器３１０に格納した後に、乱数発生器３２０を用
いて、０．１のビットβを生成して問い合わせ文として
已に送る。

５ｔｅｐ６：　　Ｂはβを受信すると、βと先に生成し
たｅを問い合わせ文撹乱器２２０に入力して、撹乱され
た問い合わせ文β′を計算してＡに送る。２２０は、例
えば、排他的論理和計算器により構成し、 β′　＝β＋ｅ　　（ｍｏｄ　　２） により計算する。

５ｔｅｐ７：　　Ａは、β′を受信すると、先に生成し
た乱数ｒと、受信した問い合わせ文β′を証明器１２０
に入力して、応答文２を計算してＢに送る。

証明器１２０は、秘密情報格納器１２１と剰余付き乗算
器１．２２により構成し、１２１がら秘密情報Ｓを読み
だして、１１０から引き継いだｒと、受信したβ′を剰
余付き乗算器１２２に入力して、ｚ＝ｒ’ｘｓβ　　（
ｍｏｄ　　Ｎ） により２を計算する。

５ｔｅｐ８：　　Ｂは、２を受信すると、Ｚと先に生成
したｘ、ｅ、及びＵを乱数成分除去器２３０に入力して
、応答文Ｚ′を計算してＣに送る。

乱数成分除去器２３０は、例えば、条件判定器２３＋と
、剰余付き乗算器２３２によって構成し、によりＺ″を
計算する。

５ｔｅｐ９：　　Ｃは、Ｚ゛を受信すると、検査器３３
０を用いて２°の正当性を検査する。

検査器３３０は、剰余付き乗算器３３１と比較器３３２
により構成し、３１０から引き継いだ、Ｘｏと、３０５
から引き継いだｘ′と、、３２０から引き継いだβに対
して、 ｘ　　＝ｚ”　　ｘｘβ　　（ｍａｄ　　　Ｎ）が成立
するか否かを検査する。

ここでは、を回の問い合わせ一応答のやりとりを順次行
う例を示したが、問い合わせ一応答のやりとりを同時に
行ってもよい。

次に、第１図（ｂ）を用いて、ＢがΔの力を借りてメツ
セージｍに署名するメツセージの認証方式について説明
する。

Ａ−Ｂ間ではＦｉａｔ−３ｈａｍｉｒ法の利用者認証方
式を、Ｂ−Ｃ間ではＦｉａｔ−８ｈｍｉｒ法のメツセー
ジＪ忍証方式を採用する。２つの認証方式を対応付ける
情報を已において秘密にすることで、追跡不可能なメツ
セージの認証処理を実現する。

Ｆｉａｔ−３ｈａｍｉｒ法と同様に、信頼できるセンタ
が、合成数Ｎと一方向性関数ｒを公開し、さらに、証明
者への識別情報ＩＤに対応する秘密情報Ｓを計算して、
Ｓを八に配送する。以下においては、ｋｌの場合につい
て説明する。

Ａ（＋００）の概略を第２図、Ｂ（２００）の概略を第
５図、Ｃ（３００）の概略を第６図に示す。

Ｂは、Ａの力を借りて、次の手順で文書ｍに署名する。

５ｔｅｐｌ：　　ＡがＩＤをＢとＣに送る。

３ｔｅｐ２：　　ＡとＢとＣは、それぞれ一方向性関数
計算器（１０５，２０５，３０５）を用いて　ｘ＝ｆ　
　（ＩＤ）　　を計算する。

５ｔｅｐ３：　　Ａは初期応答文発生器１１０を用いて
ｔ個の初期応答文Ｘ“　ｉ　（ｉ＝１．２．・・・、１
）からなるＸ　を計算して已に送る。

初期応答文発生器１１０は、例えば、乱数発生器１．１
１と剰余付き乗算器１１２により構成し、Ｉｌｌを用い
てｔ個の乱数ｒ１を発生し、１１２を用いて、 ｘ’　　１＝ｘｘｒｉ’　　（ｍａｄ　　Ｎ）（ｉ＝１
．２．１・、ｔ）により、を個のｘ′　ｌを計算する。

５ｔｅｐ４：　　ＢはＸｏを受信すると、乱数発生器２
１０を用いてｔ組のビットｅｌと乱数　ｕｉのペアを発
生しその値を、受信したｔ個のｘ′と先に生成したｘ′
と共に初期応答文撹乱器２１５に入力し、を個の撹乱さ
れた初期応答文ｘｉを計算してｘ　　＝（ｘ’ｌ、・・
・・、Ｘｏｔ）を問い合わせ文発生器２５０に引き継ぐ
。

初期応答文撹乱器２１５は、例えば、剰余付き乗算器に
より構成し、２１０が生成したｔ組の０１とｕ１１受信
したｔ個の初期応答文ｘ′ｌとＸを２１５に入力して ｘ　　１＝ｕｉ”　　ｘｘ−”ｘｘ’　　ｉ　　（ｍｏ
ｄ　　Ｎ）（ｉ＝１．２．・・・、１） によりｔ個のｘｉを計算する。

５ｔｅｐ５：　　Ｂは、メツセージｍとｔ個のＸｏｉを
問い合わせ文発生器２５０に入力して、問い合わせ文（
βとβ′）を作成してβ′を証明老人に送信し、βを乱
数成分除去器２６０に引き継ぐ。

問い合わせ文発生器２５０は、例えば、一方向性関数計
算器２５１と排他的論理和計算器２５２で構成し、 （β１．　・・−・、βｔ）＝ｆ　　（ｍ、ｘ”ｌ、　
・−、ｘ　’　ｔ）β　’ｉ＝　　β　ｉ＋ｅｉ　　　
　　　　（ｍｏｄ　　　　　２）　　　（ｉ＝１．２．
・・・、し）　　によって、 β−（β１．・・・・、βｔ）と、β′＝（β′１．・
・・・β’ｔ）を求める。

５ｔｅｐ６：　　Ａは、β′を受信すると、証明器１２
０を用いて、先に発生した乱数ｒｉと、受信した問い合
わせ文β′から、応答文２を計算して已に送る。

証明器１２０は、例えば、秘密情報格納器１２１と剰余
付き乗算器１２２により構成し、１２１から秘密情報Ｓ
を読み出し、１１０から引き継いだ「と、受信したβ′
を剰余付き乗算器１２２に入力して、 ｚｉ　＝ｒｉ　ｘｓβ”（ｍａｄ　　Ｎ）（ｉ＝１．２
．・・・、ｔ）により計算したｚｉを用いて、 ｚ＝（ｚｌ、・・・・・・、ｚｔ　）　　を求める。

５ｔｅｐ７：　　Ｂは、２を受信すると、２と、先に生
成したｘ′とｔ組の（ｅｉ、ｕｉ）を乱数成分除去器２
６０に入力して、応答文２′　を計算してβ１ｍと共に
Ｃに送る。

乱数成分除去器２６０は、例えば、条件判定器２６１と
剰余付き乗算器２６２によって構成し、（ｉ＝１．２．
・・・、１） により計算したｚ′　ｉを用いて、 ｚ’　＝　（ｚ’　１．・・・・、ｚ’ｔ）　　を求め
る。

ｓｔｅｐｇ：　　Ｃは、（ｍ、　　β、２°）を受信す
ると、検査器３４０を用いて（ｍ、　β、２°）の正当
性を検査する。

検査器３４０は、例えば、剰余付き乗算器３４１と一方
向性関数計算器３４２と比較器３４３によって構成し１ 、βｉ ｘ”ｉ＝ｚ’ｉ’　　Ｘｘ＋　　　（ｍｏｄ　　Ｎ）に
よりＸＩを求めて、 β＝ｆ（ｍ、ｘ”ｌ、　＝、　ｘ″ｔ）が成立するか否
かを検査する。

以上のように、Ｆｉａｔ−３ｈａｍｉｒ法をベースとし
た追跡不可能な認証方式について説明したが、この方式
においては、Ｎの素因数分解が困難な場合に（ｍｏｄ　
　Ｎ）での平方根の計算が困難であるという事実に基づ
いている。

離散対数問題等の困難性を利用した認証法をベースにし
ても、同様の議論は成立する。この認証法については、
例えば、　Ｍ、Ｔｏｍｐａ　ａｎｄ　Ｈ，Ｗａｌｌ。

’Ｒａｎｄｏｍ　５ｅｌｆ−Ｒｅｄｕｃｉｂｉｌｉｔｙ
　ａｎｄ　Ｚｅｒｏ　Ｋｎｏｗｌｅｄｇｅ　Ｉｎｔｅｒ
ａｃｔｉｖｅ　Ｐｒｏｏｆｓ　ｏｆ　Ｐｏ５ｓｅｓｓｉ
ｏｎ　ｏｆ　Ｉｎｆ。

ｒｍａｔｉｏｎ″、　ＦＯＣ８，ｐｐ、　４７２−４８
２　（１９８７）及び、開本、太田共著［零知識証明問
題の不正使用法とその対策及び応用についてＪ　　（１
９８８年暗号色情報セキュリティシンポジウムワークシ
ョップ）に示されている。

また、後述の発明の効果においても記載した、零知識対
話型証明システム性及び非転移性については、例えば、
１１．Ｆｅｉｇｅ、　Ａ、Ｆｉａｔ　ａｎｄ　Ａ、Ｓｈ
ａｍｉｒ。

”　Ｚ　ｅ　ｒ　ｏにｎｏｗｌｅｄｇｅ　Ｐｒｏｏｆｓ
　ｏｆ　Ｉｄｅｎｔｉｔｙ’、　Ｐｒｏｃｅｅｄｉｎｇ
ｓ　　ｏｆ　　ｔｈｅ　　１９ｔｈ　　Ａｎｎｕａｌ　
　ＡＣＭ　　Ｓｙｍｐｏｓｉｕｍ　　ｏｎＴｈｅｏｒｙ
　ｏｆ　Ｃｏｍｐｕｔｉｎｇ、１９８７．ｐｐ、２１０
−２１７の文献がある。

［発明の効果］ 本発明は、Ｆｉａｔ−Ｓｈａｍｉｒ法をベースにしてい
るため、認証処理が高速に実現できる。また、Ｂが、問
い合わせ文の対応関係と応答文の対応関係を、秘密の乱
数で与えているから、その値を秘密に保つことにより、
Ａ−８間とＢ−Ｃ間で通信されるデータの対応関係を隠
すことができる。すなわち、利用者の認証処理において
は、ＡがＢの身元を保障していることを、Ｂの身元を明
かすことなくＣに証明することができる。メツセージの
認証処理においては、Ｂはメツセージｍの内容を知られ
ることなしにＡに署名をさせることができる。その結果
として、ＡとＣが結託したとしても、Ｂの身元は明かと
はならず、Ｂがｍを送信したことも検出することはでき
ない。従って追跡不可能な認証処理を実現できる効果を
得られる。

なお、本発明の方式の安全性は、計算量理論の理論的な
研究成果である零知識対話型証明システム性や非転移性
をみたすことによって保障することができる。

【図面の簡単な説明】

第１図は、この発明の原理構成図、第２図は証明老人が
設備する装置のブロック図、第３図は利用者の認証方式
における被検証者Ｂが設置する装置のブロック図、第４
図は利用者の認証方式における検証者Ｃが設置する装置
のブロック図、第５図はメツセージの認証方式における
被検証者Ｂが設置する装置のブロック図、第６図は検証
者Ｃが設置する装置のブロック図である。 １０５、　２０５．　３０５．　２５１．　３４２ニ一
方向性関数計算器 １１０：初期応答文発生器 １１１．２１０，３２０：乱数発生器 １１２．１２２，２３２，２６２　３３１，３４１：剰
余付き乗算器 ２１５：初期応答文撹乱器 ３１０：秘密情報格納器 問い合わせ文撹乱器 証明器 ２６０：乱数成分除去器 ２６１：条件判定器 問い合わせ文発生器 排他的論理和計算器 ３４０：検査器 ３４３：比較器 Ａ（１００） Ｂ　（２００）　　　Ｃ（３００） （ａ）利用者の認証方式

Claims (2)

【特許請求の範囲】
1. （１）証明者Ａ、被検証者Ｂ及び検証者Ｃが当事者とし
   て関与するシステムであって、 証明者Ａは、初期応答文発生器及び証明器；被検証者Ｂ
   は、乱数発生器、初期応答文撹乱器、問い合わせ文撹乱
   器、及び乱数成分除去器；検証者Ｃは、検査器；をそれ
   ぞれ備え、証明者Ａは、初期応答文発生器を用いて生成
   した初期応答文ｘ′を被検証者Ｂに送信し、被検証者Ｂ
   は、Ａから受信した初期応答文ｘ′と乱数発生器を用い
   て生成した乱数成分を初期応答文撹乱器に入力して初期
   応答文ｘ″を作成して検証者Ｃに送信し、 検証者Ｃは、被検証者Ｂに問い合わせ文βを送信し、 被検証者Ｂは、Ｃから受信した問い合わせ文βと先に生
   成した乱数成分を問い合わせ文撹乱器に入力して問い合
   わせ文β′を作成して証明者Ａに送信し、 証明者Ａは、初期応答文ｘ′と問い合わせ文β′に対応
   した応答文ｚを証明器を用いて生成して被検証者Ｂに送
   り返し、 被検証者Ｂは応答文ｚを乱数成分除去器に入力して乱数
   成分の影響を取り除いて応答文ｚ′を求め、その値を検
   証者Ｃに送信し、 検証者Ｃは応答文ｚ′を検査器に入力してｚ′が先に受
   信した初期応答文ｘ″と先に送信した問い合わせ文βに
   対する正しい応答にをなっていることを検査し、 この手順を、１回か、または、安全性を向上する場合に
   は、複数回繰り返すようにした、被検証者Ｂが、乱数成
   分を秘密にすることによって、被検証者Ｂと証明者Ａ間
   で通信が行われる（ｘ′、β′、ｚ）と、検証者Ｃと被
   検証者Ｂ間で通信が行われる（ｘ″、β、ｚ′）の対応
   関係の秘密保持を可能ならしめることを特徴とする利用
   者の認証方式。
2. （２）通信文の正当性を確認するメッセージの認証方式
   において、 証明者Ａと、被検証者Ｂと、検証者Ｃとにそれぞれ設置
   される装置が通信線を介して接続されるシステムにおい
   て、 証明者Ａは、初期応答文発生器と証明器を備え、被検証
   者Ｂは乱数発生器、初期応答文撹乱器、問い合わせ文発
   生器、及び乱数成分除去器を備え、検証者Ｃは検査器を
   備え、 証明者Ａは、初期応答文発生器を用いて生成した初期応
   答文ｘ′を被検証者Ｂに送信し、被検証者Ｂは、Ａから
   受信した初期応答文ｘ′と乱数発生器を用いて生成した
   乱数成分と署名対象のメッセージｍを問い合わせ文発生
   器に入力して問い合わせ文（βとβ′）を作成してβ′
   を証明者Ａに送信し、 証明者Ａは、先に送信した初期応答文ｘ′と受信した問
   い合わせ文β′に対応した応答文ｚを証明器を用いて生
   成して被検証者Ｂに送り返し、被検証者Ｂは、応答文ｚ
   と先に生成した乱数成分と問い合わせ文βを乱数成分除
   去器に入力して乱数成分の影響を取り除いてメッセージ
   ｍに対応した値ｚ′を求め、ｚ′をｍ、βと共に検証者
   Ｃに送信し、 検証者Ｃは、ｚ′と、メッセージｍと、問い合わせ文β
   を検査器に入力して、βとｚ′がｍに対する正しい署名
   になっていることを検査するという段階を有し、 被検証者Ｂが、乱数成分を秘密にすることによって、被
   検証者Ｂと証明者Ａ間で通信が行われる（ｘ′、β′、
   ｚ）と、検証者Ｃと被検証者Ｂ間で通信が行われる（ｍ
   、β、ｚ′）の対応関係を秘密にできることを特徴とす
   るメッセージの認証方式。