(57)【要約】      （修正有）【課題】或る人物に関する様々な識別情報データを管理及び検査する方法及びシステムを提供する。【解決手段】派生識別情報管理サーバは、その人物についての識別情報データの少なくとも一部を生成する。これを用いて、親ドメインからの識別情報データから導出される情報に基づいて、派生識別情報ドメインのサービスプロバイダとの関連で上記人物を認証することができる。識別情報データ生成処理は、リンク情報がない場合に、２つの別個のドメイン内の２つの認証からリンクを確立することができないことを確実にする。必要な場合、上記リンク情報は、親ドメインによって派生識別情報サーバに送信され、それによって派生識別情報サーバは、派生識別情報ドメインの識別情報データと、親ドメインの識別情報データとの間に、例えば様々なドメインからの人物のカスケード失効のためのリンクを確立する。【選択図】図５
2018137788.tif 000002
【特許請求の範囲】
【請求項１】
個人の様々な識別情報データを管理及び検査する方法であって、これらのデータは構造化集合に組織化された幾つかの識別情報ドメインに対応し、
所与の識別情報ドメインにおける個人の識別情報データは、該識別情報ドメインにおける秘密鍵を含み、また、前記識別情報データは、前記識別情報ドメインにおける失効トークンに関連付けられ、
所与の識別情報ドメインにおいて少なくとも１つの制御システムを用いて、個人のこのドメインに関連付けられた識別情報データから該個人の認証を実施することができ、
１つ又は複数の親ドメインの識別情報データが必要とされる派生識別情報ドメインにおいて、識別情報データを生成することができ、
個人の認証処理は、前記派生識別情報ドメインの管理サーバ上で、各親識別情報ドメインについて、該親ドメインにおける前記個人の識別情報データから開始して実施され、その際に：
−  前記親識別情報ドメインにおける個人の秘密鍵（ｓｋｉｋ）に依拠する署名と、前記親識別情報ドメインにおける失効トークン（ｒｔｉｋ）の関数である、前記派生識別情報ドメインにおける失効トークン（ｒｔｉｌ）とが、前記派生識別情報ドメインの管理サーバに通信され、
−  前記派生識別情報ドメインの管理サーバは、前記親ドメインについて前記個人を認証し、前記通信された署名を用いて、前記送信された情報が有効であることを検査し、
前記認証及び検査の結果に依拠して：
−  前記派生識別情報ドメインの管理サーバは、前記親識別情報ドメインにおける個人の失効トークンから、前記識別情報データのうちの少なくとも幾つかを生成し、前記個人はこれらを用いて、サービスプロバイダによって前記派生識別情報ドメインにおいて自身を認証することができ、また、この派生識別情報データは、前記派生識別情報ドメインにおける個人の秘密鍵（ｘｉｌ）を含み、また、前記派生識別情報ドメインの管理サーバは、前記通信された前記派生識別情報ドメインにおける個人の失効トークン（ｒｔｉｌ）を登録し、
−  前記派生識別情報ドメインの管理サーバは、前記認証処理中に交換される情報の全て又は幾つかを含む派生情報を記憶し、それによって、後に必要な場合、前記親ドメインにおける個人の失効トークン（ｒｔｉｋ）に依拠して、前記派生識別情報ドメインの識別情報データと前記親ドメインの識別情報データとの間のリンクを作成することができ、該生成処理は、前記親識別情報ドメインにおける個人の識別情報データが、前記派生識別情報ドメインにおける個人の識別情報データから推測できないように、前記親識別情報ドメインの管理サーバと前記派生識別情報ドメインの管理サーバとによって行われる、個人の様々な識別情報データを管理及び検査する方法。
【請求項２】
識別情報ドメインの管理サーバによって管理される識別情報ドメインにおいて、サービスプロバイダによって個人を認証するために、前記ドメイン識別情報データの関数として求められた情報がこのサービスプロバイダに送信され、
これを求めるために実施される処理によって、このように送信された前記情報が前記識別情報ドメインの管理サーバと自身を認証している個人とを除くいかなるエンティティに対しても匿名になる、請求項１に記載の管理及び検査する方法。
【請求項３】
個人の識別情報データは、該個人の生体データ及び／又は生体データから導出されるデータを含む、請求項１又は２に記載の管理及び検査する方法。
【請求項４】
個人の失効処理は所与の識別情報ドメインの各管理サーバによって用いられ、該識別情報ドメインの各管理サーバを通じて失効情報のアイテムが公開され、
サービスプロバイダによって用いられる前記失効情報のアイテムは、或るドメインから失効された個人が、このドメインに関連付けられた識別情報データを用いて自身を認証することを防ぐ、請求項１〜３のいずれか一項に記載の管理及び検査する方法。
【請求項５】
前記親識別情報ドメインの管理サーバによる失効処理において、このサーバは、失効された個人に関連付けられたリンク情報を、前記親識別情報から導出された派生識別情報ドメインの各管理サーバに送信し、
この情報は、前記個人がこの派生識別情報ドメインの識別情報データを有する場合、前記個人について前記失効処理を実施するように前記サーバによって処理される、請求項１〜４のいずれか一項に記載の識別情報管理方法。
【請求項６】
派生識別情報ドメインの管理サーバによる失効処理において、このサーバは、失効された個人に関連付けられた派生情報を、前記派生識別情報の親識別情報についての親識別情報ドメインの管理サーバに送信し、
この情報は、この親ドメインにおける前記個人の前記失効処理を実施するように前記サーバによって処理される、請求項５に記載の管理及び検査する方法。
【請求項７】
グループ署名タイプのアルゴリズムがサービスプロバイダによる前記認証処理において用いられ、ドメイン識別情報データは該ドメインに固有のグループ署名鍵を含む、請求項１〜６のいずれか一項に記載の方法。
【請求項８】
各識別情報ドメインは、公開失効リストを含む公開データベースに関連付けられ、
識別情報ドメインの管理サーバによって個人を失効させる際に用いられる前記失効処理によって、前記サーバによって前記個人の識別情報データから求められる失効トークンが前記リストに加えられ、
サービスプロバイダによって用いられるこの失効トークンは、この失効された個人がこのドメインに関連付けられた識別情報データを用いて自身を認証することを防ぐのに用いられる、請求項４に記載の方法。
【請求項９】
失効トークンは、派生識別情報ドメインの各管理サーバに送信されるリンク情報である、請求項５又は８に記載の方法。
【請求項１０】
派生データは、前記派生識別情報ドメインに関連付けられたいわゆる一方向性関数を用いて、前記個人に関連付けられたリンク情報から計算される、請求項１に記載の方法。
【請求項１１】
前記派生識別情報ドメインの管理サーバは：
−  新たな識別情報データの生成処理において、各親識別情報ドメインにおいて派生データから識別情報データを計算し、
−  派生情報からこれらのデータを検索するために、派生情報及び新たな識別情報データの双方をプライベートデータベース内に記憶する、請求項１に記載の方法。
【請求項１２】
個人の失効処理において、前記親識別情報ドメインの管理サーバはリンク情報を送信し、
前記派生識別情報ドメインの管理サーバは、このように送信されたリンク情報から派生情報を計算し、それによって、前記個人が前記派生識別情報ドメインの識別情報を有するか否かについて前記関連付けられた識別情報データを探索することができ、これによって前記関連付けられた個人を失効させる、請求項５、１０、又は１１に記載の方法。
【請求項１３】
用いられるグループ署名は、逆方向リンク不能性を有するＶＬＲである、請求項７に記載の方法。
【請求項１４】
様々な前記識別情報ドメインは前記グループ署名の様々な時間周期に一意に関連付けられ、
−  前記様々な識別情報ドメインに関連付けられる一方向性関数は、前記関連付けられたグループ署名の前記時間周期に関連付けられた一方向性関数であり、
−  新たな識別情報を生成する処理において用いられる認証は、前記関連付けられたグループ署名を、前記派生識別情報ドメインに関連付けられた前記時間周期と共に用い、前記グループ署名はこれらのデータの有効性を証明する情報としても用いられ、他の使用事例において用いられる認証は前記逆方向リンク不能性を用いない、請求項１３に記載の方法。
【請求項１５】
前記派生識別情報ドメインの管理サーバによって生成される識別情報データは、前記個人に与えられる個人ポータブル媒体上に記憶される、請求項１〜１４のいずれか一項に記載の方法。
【請求項１６】
前記制御システムは、前記ポータブル媒体上に記憶された識別情報データを読み取ることが可能なリーダーも備え、該リーダー及び／又は前記ポータブル媒体は、認証の生成及び／又は生体データ間の比較の処理手段を備える、請求項１５に記載の方法。
【請求項１７】
前記リーダー及び／又は前記ポータブル媒体は、前記個人の前記生体特性を読み取る手段を備える、請求項１５又は１６に記載の方法。
【請求項１８】
派生識別情報ドメインにおける個人の識別情報データは、この派生識別情報ドメインにおける該個人の識別情報データを生成するのに用いられる認証処理において取得された、及び／又は、親識別情報ドメインにおける該個人の識別情報データを生成するのに用いられる前記認証処理において行われる前記取得から取り出された、該個人の生体特性に対応するデータ項目を含む、請求項３に記載の方法。
【請求項１９】
個人の様々な識別情報データを管理及び検査するシステムであって、これらのデータは構造化集合に組織化された幾つかの識別情報ドメインに対応し、
所与の識別情報ドメインにおける個人の識別情報データは、該識別情報ドメインにおける秘密鍵を含み、また、前記識別情報データは、前記識別情報ドメインにおける失効トークンに関連付けられ、
該システムは、少なくとも１つの派生識別情報ドメインの管理サーバと、少なくとも１つの親識別情報ドメインの管理サーバとを備え、
個人はメモリを備える個人識別デバイスを保持し、該メモリ内には、各識別情報ドメインについて前記個人のこのドメインに関連付けられたデータが記憶され、
このメモリは制御デバイスによって読み取り可能であり、
該システムは、前記親識別情報ドメインにおける個人の秘密鍵に依拠する署名と、前記親識別情報ドメインにおける失効トークン（ｒｔｉｋ）の関数である、前記派生識別情報ドメインにおける失効トークン（ｒｔｉｌ）とを、前記派生識別情報ドメインの管理サーバに送信する手段も備え、
前記派生識別情報ドメインの管理サーバは：
−  前記親ドメインについて前記個人を認証し、該認証は前記派生識別情報ドメインの管理サーバによって行われ、
−  前記証明情報を用いて、前記送信された情報が有効であることを検査し、
−  前記認証及び検査の結果に依拠して、前記派生識別情報データのうちの少なくとも幾つかを生成し、前記個人はこれらを用いて、サービスプロバイダによって前記派生識別情報ドメインにおいて、該個人について自身を認証することができ、ここで、前記派生識別情報データは、派生識別情報秘密鍵（ｘｉｌ）を含み、また、前記派生識別情報データは、前記派生識別情報ドメインにおける個人の失効トークン（ｒｔｉｌ）に関連付けられる、
ことを可能にする処理手段を備え、
前記派生識別情報ドメインの管理サーバは、前記認証処理中に交換される情報の全て又は幾つかを含む派生情報を記憶するデータベースを備え、それによって、後に必要な場合、親識別情報ドメインの管理サーバにおける個人の失効トークン（ｒｔｉｋ）に依拠して、前記派生識別情報ドメインの識別情報データと前記親ドメインの識別情報データとの間のリンクを作成することができ、該生成処理は、親ドメインにおける失効トークン（ｒｔｉｋ）が入手可能でない場合に、前記２つの別個のドメイン内の２つの認証からリンクを作成することができないように、親識別情報ドメインの管理サーバと派生識別情報ドメインの管理サーバとによって行われる、個人の様々な識別情報データを管理及び検査するシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、包括的には個人の認証に関し、より詳細には、個人が自身の主要な識別情報データを漏らす必要なく自身を認証しなくてはならない状況に関する。
【０００２】
本発明は、個人が、それぞれ異なるグループに属する幾つかの「識別情報」を有する状況において特に適用可能である。
【０００３】
本開示及び本明細書全体を通じて用いる「識別情報」とは、個人に固有の１つ又は幾つかの識別データを指す。各識別情報の識別データは、その識別情報が属するグループに依拠する。
【０００４】
このため、特定の個人は、様々なレベルの幾つかの識別情報、換言すれば、以下の意味において、より強力な識別情報又はより強力でない識別情報を有することができる。すなわち、特定の個人は、所与のレベルに従属するレベルに属するグループにおいて別の識別情報を取得することができるようになるのに先立って、上記所与のレベルにおいて或る識別情報を既に有していなくてはならない。例えば、銀行口座又は社会保障カードを取得するには、国民識別情報文書が不可欠である。
【背景技術】
【０００５】
既に見たように、或るグループにおける識別情報を得るためのそのグループにおける個人の登録は、多くの場合、その個人が別のより強力な識別情報を保持していることに依拠する。例えば、インターネットサービスへの登録の場合、電子メールアドレスを保有していることは多くの場合に必須条件である。
【０００６】
しかしながら、特に、強力な識別情報に関する情報の提供によって、新たなグループのメンバー又は管理者が、個人が共有することを望まないその個人のプライベートな識別情報データにアクセスすることが可能になる場合には、これは問題となる可能性がある。
【０００７】
例えば、プライベートなデータ（インターネットアドレス又は他の個人データ）がインターネットサイトを通じて無規制にまず管理者に送信され、次に幾つかの事例では管理者によって他の当事者に送信されるというリスクに、ますます多くの個人が曝されている。
【０００８】
したがって、識別に用いられる識別情報データを逆方向に働くように用いて、個人が漏らすことを望まない主要な識別情報データを得ることを可能にすることなく、個人が新たなグループに属することを可能にするように、この個人を識別することが必要とされている。
【０００９】
欧州特許第１１６４７５号は、グループを管理する方法を開示しており、個人に対するグループ署名の作成と割り当て、及びこの署名による個人の識別を開示している。
【００１０】
しかしながら、この文献では、個人がグループに属することを望む場合、この個人は、自身の主要な識別情報データ、例えば自身の氏名を必然的に漏らさなくてはならない。また、この文献は、個人の主要な識別情報データを用いることなくどのようにその個人を識別することができるのかを記載していない。
【００１１】
また、仏国特許第２９２５７３２号は、生体データと暗号データを組み合わせたものを用いて、個人が匿名で自身を認証することを可能にする生体認証方法を開示している。
【００１２】
この方法は、例えば以下に記載されているグループ署名方式等のグループ署名の使用と組み合わせることができる。
−  D. Boneh、Shacham「Group signatures with verifier-local revocation」IN V. Atluri, B Pzistmann, and P.D. McDaniel, editors, ACM Conference on Computer and Communications Security, pages 168-177, ACM 2004、
及び／又は
−  L. Chen、J. Li「VLR group signatures with indisputable exculpability and efficient revocation」in A.K. Elmagarmid and D. Agrawal, editors, SocialCom/PASSAT, pages 727-734, IEEE Computer Society, 2010、
−  J. Bringer、A. Patey 「Backward unlinkability for a VLR group signature scheme with efficient revocation check」Cryptology ePrint Archive - Report 2011/376。
【００１３】
これらのグループ署名方式によって、個人は匿名状態を保ちながら所与のグループに属することを証明することによって、自身を認証することが可能になる。
【００１４】
したがって、この方法を用いて、個人に固有の生体情報から識別情報を作成し、個人の匿名性を保持しながらその個人を認証することができる。
【発明の概要】
【００１５】
本発明は、既存の識別情報を使用して、いわゆる「派生」識別情報を生成する方法を開示する。派生識別情報は親識別情報に関係しているが、それにもかかわらず、これら２つの識別情報の間のリンクはマスクされている。
【００１６】
それによって、これら識別情報のいずれかの認証から開始して、このリンクを辿ることは不可能になっているが、このリンクは例えば、個人の親識別情報自体が失効された際に、この個人の「派生」識別情報を失効させるのに用いることができる。
【００１７】
特に、個人の様々な識別情報データを管理及び検査する方法が開示される。これらのデータは構造化集合に組織化された幾つかの識別情報ドメインに対応し、所与の識別情報ドメインにおいて少なくとも１つの制御システムを用いて、個人のこのドメインに関連付けられた識別情報データからこの個人の認証を実施することができる。
【００１８】
識別情報データは、個人の認証処理の実施により、１つ又は複数の親ドメインの識別情報データが必要とされる派生識別情報ドメインにおいて生成することができ、個人の認証処理は、派生識別情報ドメインの管理サーバ上で、各親識別情報ドメインについて、その親ドメインにおける個人の識別情報データから開始して実施され、その際に：
−  親ドメイン識別情報データに依拠する情報と、これらのデータの有効性を証明する少なくとも１項目の情報とが、派生識別情報ドメイン管理サーバに送信され、
−  派生識別情報管理サーバは、親ドメインについて個人を認証し、証明情報を用いて、送信された情報が有効であることを検査する。
【００１９】
上記認証及び検査の結果に依拠して：
−  派生識別情報管理サーバは、識別情報データのうちの少なくとも幾つかを生成し、個人はこれらを用いて、その個人について送信される情報の関数として、サービスプロバイダによって派生識別情報ドメインにおいて自身を認証することができ、
−  派生識別情報管理サーバは、認証処理中に交換される情報の全て又は幾つかを含む派生情報を記憶し、それによって、後に必要な場合、親ドメインによって送信されるリンク情報に応じて、派生識別情報ドメインの識別情報データと親ドメインの識別情報データとの間のリンクを作成することができ、この生成処理は、このリンク情報が入手可能でない場合に、２つの別個のドメイン内の２つの認証からリンクを作成することができないように異なる識別情報サーバによって行われる。
【００２０】
したがって、個人はそのような方法を用いて識別情報を導出することができ、換言すれば、個人の匿名性を失うことなく、第２のより強力な識別情報から識別情報を生成することができる。
【００２１】
また、それにより、単一の個人の２つの別個のレベルの２つの識別情報の間のリンクにもかかわらず、個人の認証中の不正が不可能になる。
【００２２】
１つの実施形態では、識別情報ドメインにおいてサービスプロバイダによって個人を認証するために、ドメイン識別情報データの関数として求められた情報がこのサービスプロバイダに送信され、これを求めるために実施される処理によって、このように送信された情報がドメイン管理サーバと自身を認証している個人とを除くいかなるエンティティに対しても匿名になる。
【００２３】
さらに、個人の識別情報データは、その個人の生体データ及び／又は生体データの処理によって得られるデータを含むことができる。
【００２４】
また、開示される方法の実施形態は、失効も可能にする。これにより、個人が或る識別情報について失効されると、その個人はもはやこの識別情報を用いて自身を認証することができない。特に、本方法はカスケード失効に用いることができ、換言すれば、個人がより高い識別情報レベル（ドメイン）において失効された場合、所与の識別情報レベル（ドメイン）において個人を失効させることが可能である（例えば個人が運転免許を紛失した場合、その個人の自動車保険を取り下げることができる）。
【００２５】
このため、個人の失効処理が各識別情報ドメイン管理サーバに提供され、この識別情報管理サーバを通じて失効情報が公開され、失効情報はサービスプロバイダによって用いられ、或るドメインから失効された個人が、このドメインに関連付けられた識別情報データを用いて自身を認証することを防ぐ。
【００２６】
このため、個人のこのドメインに関連付けられた識別情報データを用いて派生識別情報データを生成することが不可能になる。
【００２７】
例えば、親ドメインサーバによる失効処理において、このサーバは、失効された個人に関連付けられたリンク情報を各派生識別情報管理サーバに送信し、この情報は、個人がこの派生識別情報ドメインについての識別情報データを有する場合、その個人の失効処理を実施するようにサーバによって処理される。
【００２８】
任意選択として、幾つかの事例では、個人が派生識別情報ドメインから失効された場合に、その個人を或るドメインから失効させることが可能である。
【００２９】
特に、派生ドメインサーバによる失効処理において、このサーバは、失効された個人に関連付けられた派生情報を選択された親識別情報管理サーバに送信し、この情報は場合によっては、この親ドメインにおける個人の失効処理を実施するように上記サーバによって処理される。
【００３０】
本発明は、開示された方法を実施する管理及び検査システムも開示する。
【００３１】
非限定的な例として与えられる添付の図面を参照して以下の詳細な説明を読めば、本発明の他の特性、目的及び利点が明らかになるであろう。
【図面の簡単な説明】
【００３２】
【図１】本発明による導出方法を用いることができる識別情報の半順序集合を示す図である。
【図２】識別情報の管理の例示的な実施形態を概略的に示す図である。
【図３ａ】識別情報の取得方法の例を示す図である。
【図３ｂ】認証の例を示す図である。
【図４】本発明の１つの可能な実施形態に適合する例示的な識別情報の導出を概略的に示す図である。
【図５】図４に示す導出における様々なステップを概略的に示す図である。
【図６】カスケード失効の例示的な実施形態を示す図である。
【発明を実施するための形態】
【００３３】
・コンテキスト及び定義
図１には、識別情報ドメインの順序集合Ｅが示されている。
【００３４】
この例において、国民識別情報Ｉｊは最高レベルのドメインにある。この識別情報は、社会保障（識別情報ドメインＩｋ）への登録と運転免許の取得に必要である。社会保障への登録が認められるか、又は運転免許が取得されると、秘密の識別情報データが、例えばスマートカードタイプのメモリに記憶されて個人に送られる。
【００３５】
社会保障への登録中に送信される識別情報データは、雇用主が従業員を雇ってそれらの従業員に会社ドメインＩｌへの認可を付与するのに必要である場合がある。
【００３６】
この集合は、半順序となるように組織化され、以下の関係が適用可能である。
−  反射律：∀ｘ∈Ｅ，ｘ≦ｘ、
−  推移律：∀ｘ，ｙ，ｚ∈Ｅ，（ｘ≦ｙ∧ｙ≦ｚ）⇒（ｘ≦ｚ）、
−  反対称律：∀ｘ，ｙ∈Ｅ，（ｘ≦ｙ∧ｙ≦ｘ）⇒（ｘ＝ｙ）
ここで、ｘ≦ｙは識別情報ドメインｘが識別情報ドメインｙよりも下位であることを意味する。
【００３７】
以下において、ｙ≦ｘかつ∀ｚ∈Ｅ，（ｚ≦ｘ∧ｙ≦ｚ）⇒（ｘ＝ｚ∨ｙ＝ｚ）の場合、半順序集合Ｅの識別情報ドメインｘは、別のドメインｙの親であるといえる。
【００３８】
例えば、図１に戻ると、「運転免許」識別情報ドメインは、「自動車保険」ドメインの親であり、国民識別情報は、「社会保障」識別情報の親である。
【００３９】
図において、２つの異なるドメイン間に示されるリンクは、個人Ｍｉが直下のドメインの識別情報を取得することができるために保有しなくてはならない識別情報（複数の場合もある）を示している。例において、個人Ｍｉは、「自動車保険」ドメインＩｌの識別情報を得ることができるようになるのに先立って、社会保障識別情報と運転免許を有していなくてはならない。
【００４０】
以下に説明する実施態様は、既に言及したBringerとPateyによる論文において開示されているようなグループ署名の例を用いる。この論文は有利には参照することができる。なぜならば、以下で詳細に説明される例示的な実施形態が同じ表記を用いるためである。
【００４１】
この論文で開示されるプロトコルでは、各グループにおいて、
−  管理者ＧＭは、秘密鍵ｍｓｋを有する。
−  グループのメンバーである各個人Ｍｉは、秘密鍵ｓｋｉ＝（ｆｉ，ｘｉ、Ａｉ）を有する。ここで、要素ｆｉはＭｉによって選択され、要素ｘｉ及びＡｉは管理者によって提供される。
−  各個人ごとに、管理者によってデータベースＤＢに記憶されたｓｋｉから導出される失効トークンｒｔｉが存在する。以下の例では、ｒｔｉ＝ｘｉである。
−  管理者は、グループから取り消された（失効された）ユーザーの失効トークンを列挙する失効リストＲＬを公開する。
【００４２】
特に、このプロトコルは２つのアルゴリズムを用いる。
−  グループの或るメンバーが、自身の秘密鍵ｓｋｉを用いてメッセージに署名するのに用いる「Ｓｉｇｎ」。
−  失効リストのみを与えられた任意の人物が、署名の有効性を検証するのに用いることができる「Ｖｅｒｉｆｙ」。「Ｖｅｒｉｆｙ」は署名者がグループに属することを証明する。
【００４３】
・例示的な実施形態
実際に以下の例において図２を参照すると、各識別情報ドメインＩは、対応する識別情報管理者ＧＭＩによって管理されている。識別情報管理者ＧＭＩは、個人Ｍｉに識別情報を発行する権限を有しており、上記の論文に規定されているようなグループ管理者である。
【００４４】
この管理者ＧＭＩは、特にこのドメインにおける識別情報を伴う個人の加入データと各個人に固有の失効トークンとを記憶するデータベースＤＢＩの形態をとることができる記憶機能に関連付けられた識別情報管理サーバ内にインストールされる、コンピュータプログラムの形態をとることができる。このプログラムは、以下で説明するように加入及び失効を管理する。このプログラムは、このドメインにおける識別情報の保有を要求するサービスプロバイダに固有のプログラムによって管理される認証には参加しない。
【００４５】
・加入
第１の識別情報Ｉ０、すなわちこの場合には国民識別情報Ｉｊを取得するために、個人Ｍｉは仏国特許第２９２５７３２号に記載されており図３ａに示されるものに類似した加入方法を実施することができる。特に、例えば加入者はセンサ１１を用いて生体特性ｂを取得することができ、生体特性ｂはスマートカード又はＵＳＢキー等の個人カード１２に記憶される。生体特性ｂは紙にプリントすることもできる。
【００４６】
そのような生体特性ｂは、虹彩、顔、指紋等に関係する生体データ等の、任意のタイプの現在使用されている生体特性とすることができる。
【００４７】
そのような加入手順の際に、生体特性は個人Ｍｉによって暗号関数を用いて保護することもでき、例えば暗号関数はハッシュ関数である。
【００４８】
また、生体特性は、この保護された形式ｆｉ０＝Ｈａｓｈ（ｂ）においてもカード１２に記憶され、これはグループ署名鍵ｓｋｉ０の第１の要素を形成する。
【００４９】
この場合、個人Ｍｉの個人カード１２は、グループ署名鍵の以下の２つの他の要素も記憶することができる。
−  ｘｉ０：第１の識別情報の場合には管理者によってランダムに選択され、派生識別情報の場合には後に説明されるように生成される。
−  Ａｉ０：要素ｘｉ０のグループ秘密パラメータｍｓｋと保護された生体データｆｉ０とから管理者ＧＭ０によって生成される。この要素の生成は、上記で言及したグループ署名を扱う論文においてより詳細に説明されている。
【００５０】
個人Ｍｉを認証するのに必要な全体の秘密鍵は、グループ署名鍵ｓｋｉ０＝（ｘｉ０，ｆｉ０，Ａｉ０）である。この例において、署名鍵は生体要素によって得られる。例えば、ｆｉ０をランダムに選択することにより他の実施形態も可能である。
【００５１】
したがって、個人Ｍｉの個人カード１２は、データｂ、ｘｉ０及びＡｉ０、並びに場合によっては生体データの保護された部分ｆｉ０を含むことができる。
【００５２】
・認証
認証方法は図３ｂに概略的に示されている。個人ＭｉをサービスプロバイダＳＰにより認証することができるようになるのに先立って、制御デバイス２１がその個人の生体特性ｂ’を取得すると共にカードに記憶された生体特性ｂを読み取り、２つの生体特性を比較する。
【００５３】
これを達成するために、例えば制御デバイス２１は、生体データセンサと個人記憶デバイス１２のリーダー（例えばスマートカードリーダー）が設けられたデバイスとすることができる。これらは図に示されていない。
【００５４】
代替的には、デバイス２１は個人記憶デバイス１２のリーダーのみを備え、取得及び比較は個人記憶デバイス１２において行われる。
【００５５】
２つの特性ｂとｂ’が一致する場合、制御デバイス２１（又は記憶デバイス１２）は、保持しているハッシュ関数を生体特性ｂに適用し、データｆｉ０を得る。
【００５６】
代替的には、データｆｉ０が個人カード１２に記憶されている場合には、リーダーはこのデータを取得することができる。
【００５７】
最後に、この認証プロセスによってグループ署名の使用が可能になる場合、サービスプロバイダＳＰはメッセージｍを制御デバイス２１に送信することができ、制御デバイス２１はこのメッセージに対する署名を送信することによって応答する。この署名は、リーダーからなる制御デバイス２１又はカード１２によって、Ｓｉｇｎアルゴリズムを用いて生成することができ、秘密鍵は個人Ｍｉのカード内に記憶されている。最終的に、メッセージ署名と関連するドメイン失効リストを入力として用いて、検証アルゴリズムＶｅｒｉｆｙがサービスプロバイダによって実施され、署名が有効であることが検証される。この検証が有効である場合、関連する個人が、関係する識別情報ドメインからまだ失効されていないことが保証される。
【００５８】
この認証原理は、仏国特許第２９２５７３２号にも開示されている。この認証原理は、本明細書のはじめの部分において言及した論文に記載されているグループ署名アルゴリズム（Ｓｉｇｎ及びＶｅｒｉｆｙを含む）に基づく。
【００５９】
サービスプロバイダのサーバに送信される署名は、このようにして送信される情報が、自身を認証している個人及びその個人が属するドメイン（グループ）の管理サーバを除くいかなるエンティティに対しても匿名であるようになっている。
【００６０】
・基準識別情報からの導出
以下では、図４及び図５を参照して、識別情報を導出する方法を説明する。
【００６１】
以下では、個人Ｍｉが国民識別情報Ｉ０と、識別情報Ｉｌを得るのに必要な全ての識別情報Ｉｋとを保持しており、例えば「自動車保険」である識別情報Ｉｌを得ることを望んでいる例を検討する。図４の例は、サーバ又はグループ管理者ＧＭｋ１とＧＭｋ２によってそれぞれ管理される２つの識別情報Ｉｋ１とＩｋ２を示している。
【００６２】
個人Ｍｉが識別情報Ｉｌを得ることを望むとき、個人Ｍｉは加入方法１００を開始する。
【００６３】
ステップ１１０において、グループ管理者ＧＭｌは、個人Ｍｉに要求メッセージｍと識別情報Ｉｌに固有の導出関数Ｈｌとを送信する。この関数は公開することができる。
【００６４】
この要求に応じて、個人は自身の秘密署名鍵ｓｋｉｋを用いて要求メッセージｍに署名する。これは場合によっては、ドメインＩｌにおける識別情報データを得るのに必要な全ての識別情報ドメインｋのグループ署名鍵である。
【００６５】
このステップは、ドメイン管理者Ｉｌの管理サーバをドメインＩｋの識別情報を要求するサービスプロバイダとして、上記で説明した認証段階を繰り返す。
【００６６】
このステップにおいて、識別情報Ｉｋごとのグループ署名に加えて、個人は（その個人が自身の秘密鍵から得る）Ｉｋに関連付けられた失効トークンｒｔｉｋのそれぞれと、Ｉｌに関連付けられた導出関数Ｈｌとから計算される、いわゆる派生トークンＨｌ（ｒｔｉｋ）を送信する。
【００６７】
計算及び交換は、認証の場合と同様に、制御デバイス２１及び／又はカード１２によって行われる。
【００６８】
導出関数Ｈｌの使用は、失効トークンｒｔｉｋの機密性を保証する。
【００６９】
この関数Ｈｌは、いわゆる一方向性関数であることが好ましい。これは、関数によって符号化された信号を遡ることが不可能であることを意味し、したがって、失効トークンｒｔｉｋが個人Ｍｉと識別情報管理者ＧＭｋにのみ知られることを保証する。例えば、この関数はＨｌ（ｘ）＝ｈｌｘによって定義することができる。ここで、ｈｌは代数学の用語における群の生成元であり、離散対数問題は困難である。
【００７０】
・派生トークンの有効性の証明
また、署名は、派生トークンの正当性を確保するために構築され、特にいわゆる派生トークンＨｌ（ｒｔｉｋ）と失効トークンｒｔｉｋとの間のリンクを見つけることが可能であることを確保することによって構築され、それによって、以下で説明するカスケード失効方法を正しく用いることができる。
【００７１】
例えば、これは、検証者ローカル失効（ＶＬＲ：Verifier-Local Revocation）グループ署名がいわゆる逆方向リンク不能性（Backward Unlinkability）を保持することを可能にする、BringerとPateyによる方式を用いて行うことができる。
【００７２】
この特性は、通常の文脈では、認証が時間依存の周期に関連することを暗に意味する。このため、常に同じ署名鍵を用いても、個人が失効される周期もあれば、失効されない周期もある。
【００７３】
この特定の場合には、各周期の失効トークンは上述した派生トークンに対応し、換言すれば、期間ｌごとの一方向性関数Ｈｌが存在し、期間ｌの個人Ｍｉの失効トークンはＨｌ（ｒｔｉ）に等しく、ここでｒｔｉはその大域失効トークンである。周期的失効トークンの知識は、大域失効トークンを知るのには十分でない。また、２つの異なる周期の２つの周期的トークンが同じ大域失効トークンから発生するか否かを知ることは、この大域失効トークンを知ることなしには不可能である。
【００７４】
逆方向リンク不能性を有するグループ署名を用いることによって、派生トークンが実際に署名者に関連付けられていることを検証するのが容易になる。
【００７５】
このため、新たな識別情報を生成する処理中、個人は、関数Ｈｌに関連付けられたダミー周期ｌについて、自身のｓｋｉｌ鍵を用いて署名することになる。このとき、派生トークンＨｌ（ｒｔｉ）は、ダミー周期Ｉの周期的失効トークンである。
【００７６】
他の事例において用いられる認証、特に識別情報管理者以外のサービスプロバイダから得られる認証は、この特性を用いない。
【００７７】
・派生トークンの有効性の検証
したがって、ドメイン管理者Ｉｌは、署名σと派生トークンＨｌを用いるダミー周期ｌに関連付けられた失効テストを用いて、派生トークンＨｌ（ｒｔｉｋ）の有効性を検証する。BringerとPateyによる署名の例において、関連する論文における表記を用いると、ドメイン管理者は、σから要素ＢとＬを取り出し、
【数１】
2018137788.tif 000003
であるか否かを検査する。
【００７８】
親ドメインＩｋのそれぞれについてこれが当てはまる場合、管理者は次の登録ステップに進むことができる。
【００７９】
・他のステップ
このように生成されたグループ署名は、識別情報管理者ＧＭＩがステップ１２０を開始して、個人Ｍｉが実際に全ての識別情報Ｉｋを有し、送信される派生トークンＨｌ（ｒｔｉｋ）が受信された署名に実際にリンクしていることを検証することを可能にする。
【００８０】
これを行うために、識別情報管理者ＧＭｌは、上記で言及したＶｅｒｉｆｙアルゴリズムに、識別情報Ｉｋのそれぞれについて受信された署名と派生トークンとの間のリンクを検証するフェーズを加えたものを用いる。例えば、これは、BringerとPateyによる方式において、Ｖｅｒｉｆｙアルゴリズムを用いることによって行うことができる。
【００８１】
また、識別情報管理者ＧＭｌは、ステップ１３０において、Ｖｅｒｉｆｙアルゴリズムの一部と公開失効リストＲＬｋを用いて、個人Ｍｉがいかなる識別情報Ｉｋからも失効されていないことを検証する。代替的には、この検証は完全にステップ１２０に含めることもできる。
【００８２】
ステップ１２０及び１３０における２つの条件が満たされた場合、識別情報管理者ＧＭｌは、登録ステップ１４０において、派生識別情報ドメインＩｌ内に個人Ｍｉについてのデータ項目を作成することができる。
【００８３】
このステップは、図３ａを参照して上記で説明した方法に対応しているが、識別情報管理者がレベルｌの要素ｘｉｌをランダムに選択するのではなく、ステップ１１０で受信したドメインＩｋとＩｌに関連付けられた派生トークンＨｌ（ｒｔｉｋ）からｘｉｌを導出する点が異なる。
【００８４】
例えば、このようにして、要素
【数２】
2018137788.tif 000004
を得ることができ、ここで、ｍｓｋｌは識別情報管理者ＧＭｌの秘密鍵であり、
【数３】
2018137788.tif 000005
である。
【００８５】
この要素ｘｉｌは、レベルｌの個人Ｍｉの秘密鍵：ｓｋｉｌ＝（ｆ，ｘｉｌ，Ａｉｌ）の第２の部分であり、したがって、個人Ｍｉについて生成された識別情報カード１２内に記憶される。この要素ｘｉｌも、１組の派生トークンＨｌ（ｒｔｉｋ）に加えて、識別情報ｌのデータベースＤＢｌ内に記憶される。
【００８６】
秘密鍵ｓｋｉｌの第１の部分は、個人Ｍｉの生体特性Ｂの取得から導出される。これは新たに保護される取得ｂ’とすることもできるし、親識別情報について既に個人の識別情報カード上に存在する取得ｂの保護された形式ｆとすることもできる。
【００８７】
秘密鍵の第３の部分Ａｉｌは、鍵の残りの部分とグループ秘密鍵ｍｓｋとから開始して、派生識別情報管理者サーバＧＭｌによって生成される。識別情報Ｉｌにおける個人Ｍｉの失効トークンｒｔｉｌはこの秘密鍵から導出され、例えば要素ｘｉｌとすることができる。
【００８８】
このため、個人Ｍｉは、後の時点においてサービスプロバイダＳＰによりドメインＩｌにおいて自身を認証することを望む場合、自身の秘密鍵ｓｋｉｌを用いて、図３ｂを参照して上記で説明した認証方法を用いるのみでよい。
【００８９】
結果として、派生識別情報ドメイン管理サーバＧＭｌは、識別情報データのうちの少なくとも幾つかを生成する。個人はこれらを用いて、認証中にその個人について送信される情報の関数として、サービスプロバイダによって派生識別情報ドメインにおいて自身を認証することができる。
【００９０】
また、サーバＧＭｌは、プライベートデータベースにおける認証処理中に交換される情報（派生情報）のうちの全て又は幾つかを記憶し、それによって、後の時点において必要な場合、親ドメインによって送信されるリンク情報（実際は失効トークン）に依拠して、派生識別情報ドメインの識別情報データと親ドメインの識別情報データとの間のリンクを作成することが可能になる。
【００９１】
それにもかかわらず、上記で説明される様々な識別情報サーバによる生成処理は、このリンク情報が入手可能でない場合に、２つの異なるドメイン内の２つの認証からリンクを作成することができないようになっている。
【００９２】
・失効方法
識別情報管理者ＧＭｌ（親管理者）は、個人を失効させることを望む場合、公開失効リストＲＬｌにおいて失効トークンｒｔｉｌ（失効情報）を公開するだけでよい。
【００９３】
・下方失効
このため、レベルｌの直下の識別情報Ｉｍの識別情報管理者ＧＭｍ（ドメインＩｌ内の派生識別情報の管理者）のサーバは、下方失効方法１５０を開始する。これは、異なるドメイン間のリンク情報（失効トークン）によって可能になる。
【００９４】
失効トークンｒｔｉｌはＲＬｌにおいて公開される。このため、識別情報Ｉｍの各管理者ＧＭｍは、この新たに公開されたトークンｒｔｉｌに導出関数Ｈｍを適用する。得られた結果がデータベースＤＢｍ内に記憶されている場合、これは個人がドメインＩｍの識別情報も有することを意味する。管理者ＧＭｍは、レベルｍにおけるこの個人に関連付けられた識別情報を見つけ、関連付けられた失効トークンｒｔｉｍをＲＬｍにおいて公開する。この方法は、より下位のレベルにおいて再帰的に繰り返される。
【００９５】
一方、導出関数Ｈｌの特性に起因して、異なる識別情報の署名は互いへのリンクを有さない。特に、２つの異なるレベルにおいて作成された２つの署名が、同じ個人によって作成されたか否かを知ることは不可能である。
【００９６】
特に、失効の場合、署名は失効によって影響を受けない識別情報の管理者に対して完全に匿名を保つ。
【００９７】
派生識別情報データは、失効トークン内に含まれる失効データの公開を通じて生成することはできないことにも留意されたい。
【００９８】
・上方失効
任意選択的には、レベルｌの識別情報管理者が、親レベルの識別情報管理者も個人Ｍｉを失効させるべきであると考える場合、上方失効方法１６０も可能である。
【００９９】
この場合、識別情報管理者ＧＭｌは、フェーズ１００で得られた派生トークンＨｌ（ｒｔｉｋ）を識別情報管理者ＧＭｋに送信する。次に、識別情報管理者ＧＭｋは、データが記憶されている自身のプライベートデータベースＤＢｋ内に登録されている個人Ｍｉの失効トークンｒｔｉｋの組に関数Ｈｌを適用し、これらの失効トークンのうちのいずれが派生トークンＨｌ（ｒｔｉｋ）に一致するかを判断する。
【０１００】
次に、管理者ＧＭｋは所望の場合、個人の識別情報を失効させることができる。
【０１０１】
この識別情報管理方法は、個人の匿名性を維持しながら、興味深い下方失効特性及び上方失効特性を有する。
【０１０２】
また、この識別情報管理方法は、上記で言及した論文のように、逆方向リンク不能性を有するＶＬＲグループ署名の使用と互換性がある。後者の場合、本発明による導出方法は、全ての必要なセキュリティ特性（正確性、追跡可能性、有責性、無私匿名性）も検証することができ、それらについてもこれらの文献に記載されている。
【０１０３】
最後に、本明細書に開示される例は、はじめに言及した論文においてBringerとPateyによって記載されているグループ署名の構築を用いているが、本願発明はいわゆる逆方向リンク不能性を有する任意のＶＬＲ（検証者ローカル失効）グループ署名に適用可能である。
【図１】
2018137788.tif 000006
【図２】
2018137788.tif 000007
【図３ａ】
2018137788.tif 000008
【図３ｂ】
2018137788.tif 000009
【図４】
2018137788.tif 000010
【図５】
2018137788.tif 000011
【図６】
2018137788.tif 000012