(57)【特許請求の範囲】
【請求項１】
通信線と、
前記通信線に接続された端末Ａ及び端末Ｂと、
前記端末Ａは、
初期値として、[ＸＡｎ]、[ＹＡｎ]、[ＺＡｎ]の互いに独立な３つの整数を有し、
前記初期値[ＸＡｎ]と同じ桁の自然乱数[ＸＡｎ＋１]を発生する第１の乱数発生源（Ｘ）と、
前記初期値[ＺＡｎ]と同じ桁の自然乱数「ＺＡｎ＋１」を発生する第２の乱数発生源（Ｚ）とを備え、
前記端末Ｂは、
初期値として、前記初期値[ＸＡｎ]と同じ値の[ＸＢｎ]、前記初期値[ＹＡｎ]と同じ値の[ＹＢｎ]、前記初期値[ＺＡｎ]と同じ値の[ＺＢｎ]とした互いに独立な３つの整数を有し、
前記初期値[ＹＢｎ]と同じ桁の乱数[ＹＢｎ＋１]だけを発生する第３の乱数発生源（Ｙ）を備えて、
前記通信線を介して前記端末Ａ及び前記端末Ｂがスリーウェイ・ハンドシェイクの３種類のパケットで通信を確立する通信路システムであって、
前記端末Ａと前記端末Ｂとの通信を確立する際に、
前記端末Ａは、
前記初期値[ＸＡｎ]を暗号鍵として前記自然乱数[ＸＡｎ＋１]を暗号化すると共に、この第１の暗号文{[ＸＡｎ]＋[ＸＡｎ＋１]を含む情報を第１のパケットにして前記通信線を介して前記端末Ｂに送信し、並びに前記初期値[ＺＡｎ]を暗号鍵として前記自然乱数[ＸＡｎ＋１]を暗号化し、この第３の暗号文{[ＺＡｎ]＋[ＺＡｎ＋１]}を含む情報を第３のパケットにして前記通信線を介して前記端末Ｂに送信し、
前記端末Ｂからの第２のパケットを受信し、
前記端末Ｂは、
前記第１のパケットを受信したら、前記初期値[ＹＢｎ]で前記乱数[ＹＢｎ＋１]を暗号化した前記第２の暗号文{[ＹＢｎ]＋[ＹＢｎ＋１]}を含む情報を前記第２のパケットにして前記端末Ａに送信し、
前記第３のパケットを受信し、
このように前記３種類のパケットに依る３つのパケットの交換により、前記自然乱数由来の乱数[ＸＡｎ＋１]と乱数[ＹＢｎ＋１]と自然乱数由来の乱数[ＺＡｎ＋１]の値を共有させることを特徴とする通信路システム。
【請求項２】
前記端末Ａと端末Ｂにおいて共有された前記値を次回の初期値とすることを特徴とする請求項１に記載の通信路システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スリーウェイ・ハンドシェイクによる通信セッション確立のための通信路システムに関し、より詳細には、共有乱数を自動更新する符号化通信を実装するための通信路システムに関する。
【背景技術】
【０００２】
一般に、認証システムは、秘密を予め共有し、この予め共有した秘密を見せ合うことにより、秘密共有者の間で相互の認証が為される。
【０００３】
しかしながら、従来の認証システムでは、秘密の共有にコストが掛かり、共有する秘密を頻繁に更新することが難しかった。
【０００４】
このため、従来は、（１）共有した秘密を更にコストを掛けて維持するようにしており、その結果（２）万一、秘密が漏れ、それが不正に利用された時に、その不正利用者を見破ることが極めて困難であった。
【０００５】
この点、秘密の漏洩は、現実には人が神ならざることに起因する。
【０００６】
即ち、暗号の数理的強度以前の、それを運用する仕組みの中に問題があり、そこに人が介在することに起因している。
【０００７】
例えば、現代の暗号の鍵が漏れるとしたら、それは多分に人の介在を原因とし、同様に、カード番号或いはクレジット番号等のID情報の漏れにも、人的要素が絡む。
【０００８】
この種の情報漏れは、システムもユーザも認識できず、情報漏れに基づく被害がクローズアップされるのを座して待つことになる。
【０００９】
つまり、ＩＤ情報の保管に絡む場合を含め、認証のための秘密共有は、常に、
1) その値を一定不変に保ち、
2) その値を秘密に保管する
というメンテナンスを伴って、初めて完遂できる。
【００１０】
しかるに、この共有乱数（秘密）のメンテナンスは、今のところまだ人の規範に託されており、それが情報漏れの温床になっている。
【００１１】
こうしたメンテナンスにおける人的規範への依存性を緩和する手法として、チャレンジ・アンド・レスポンス（Challenge & Response）方式の１：１認証子であるチャップ(ＣＨＡＰ：非特許文献参照)が知られている。
【非特許文献１】CHAP（PPP Challenge Handshake Authentication Protocol）Network Working Group: W. SimpsonRequest for Comments: 1994 DayDreamerObsoletes: 1334 in August 1996Category: Standards Track
【００１２】
非特許文献１によると、ＰＰＰ（ポイント・ツー・ポイント・プロトコル）は、ポイント・ツー・ポイント・リンクを介してマルチプロトコル・データグラムを移送する標準方式を与える。ＰＰＰはまた、延長可能なリンク・コントロール・プロトコルを規定し、これは、ネットワーク・レイヤー・プロトコルにリンクを介した伝送を許可する前に、そのピアの認証を行う認証プロトコルの折衝を許可する。この文書は、ＰＰＰを用いた認証の方法を規定し、これはランダムなチャレンジを行い、その際、秘密鍵とそのチャレンジに依存した暗号学的ハッシュ応答を用いる。RFC1994,PPPチャップ：この認証方式は、認証者及びそのピアにのみ知られた“秘密”に依存し、この秘密はリンクを介して送信されない。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
しかしながら、このチャップは、前記1)と2)の秘密（共有乱数）のメンテナンスを、人が行うものであり、後述の記載より明らかなごとく、人工的な要素が残存し、安全性に難がある。
【００１４】
本願は、前記1)と2)の秘密のメンテナンスを、人から通信システムへ、実用上は当然、理論面でも安全に移行することが可能な、いわば神の手に委ねた１：１認証子を備える認証システムの技術を模索する。
【００１５】
そして、秘密共有を通信のセッション毎に安全に更新する情報技術を考える。
【００１６】
この技術によれば、通信の終了時に、新しい秘密共有が成立し、通信の開始時に使われた秘密共有を使い捨てにできる。すなわち、秘密の共有が過去の出来事になり、その秘密が漏洩したとしても、それは過去の秘密になる。
【００１７】
この点、過去の秘密と現在の秘密とが情報論的に独立していれば、もはや情報漏れは恐れるに足らない。
【００１８】
それだと、正規ユーザだけを認証するシステムの構成も可能になる。
【００１９】
本発明は、以上の点に鑑み為された。
【００２０】
なお、本発明において、1:1認証子とは：
自然乱数による乱数の暗号化と復号化を行うシステム要素又はその入出力情報（例えば、暗号文）と；
自然乱数による乱数の暗号文をハッシュ関数に入力するシステム要素又はその入出力情報と；
乱数の暗号文とハッシュ関数値とを1対にして送信及び受信する通信部分としてのシステム要素又はその入出力情報（例えば、識別子及び確認子）と、を備えて構成される。
【００２１】
また、説明を明瞭に行うため、本明細書に、次の記号を援用する。
【００２２】
[X]:   自然乱数発生源である。
【００２３】
[Y]:   乱数発生源(自然乱数または擬似乱数)である。
【００２４】
[Z]:   自然乱数発生源である。
【００２５】
Yn :   一定の桁数の確率変数である。
【００２６】
但し、n : インデックス、n = 1,2,……,n
[Xn] :  一定の桁数の自然乱数のブロックをである。
【００２７】
[Yn] :  一定の桁数の乱数のブロックである。
【００２８】
[Zn] :  一定の桁数の自然乱数のブロックである。
【００２９】
|[Xn]| : 自然乱数ブロックの桁数である。
【００３０】
H() : (）内の変数のシャノンエントロピ（Shannon entropy）を求める関数である。
【００３１】
h(): （）内の変数のハッシュ値を求める関数である。
【００３２】
+:    排他的論理和である。
【課題を解決するための手段】
【００３３】
本発明の通信路システムは、
通信線と、
前記通信線に接続された端末Ａ及び端末Ｂと、
前記端末Ａは、
初期値として、[ＸＡｎ]、[ＹＡｎ]、[ＺＡｎ]の互いに独立な３つの整数を有し、
前記初期値[ＸＡｎ]と同じ桁の自然乱数[ＸＡｎ＋１]を発生する第１の乱数発生源（Ｘ）と、
前記初期値[ＺＡｎ]と同じ桁の自然乱数「ＺＡｎ＋１」を発生する第２の乱数発生源（Ｚ）とを備え、
【００３４】
前記端末Ｂは、
初期値として、前記初期値[ＸＡｎ]と同じ値の[ＸＢｎ]、前記初期値[ＹＡｎ]と同じ値の[ＹＢｎ]、前記初期値[ＺＡｎ]と同じ値の[ＺＢｎ]とした互いに独立な３つの整数を有し、
前記初期値[ＹＢｎ]と同じ桁の乱数[ＹＢｎ＋１]だけを発生する第３の乱数発生源（Ｙ）を備えて、
【００３５】
前記通信線を介して前記端末Ａ及び前記端末Ｂがスリーウェイ・ハンドシェイクの３種類のパケットで通信を確立する通信路システムであって、
前記端末Ａと前記端末Ｂとの通信を確立する際に、
前記端末Ａは、
前記初期値[ＸＡｎ]を暗号鍵として前記自然乱数[ＸＡｎ＋１]を暗号化すると共に、この第１の暗号文{[ＸＡｎ]＋[ＸＡｎ＋１]を含む情報を第１のパケットにして前記通信線を介して前記端末Ｂに送信し、並びに前記初期値[ＺＡｎ]を暗号鍵として前記自然乱数[ＸＡｎ＋１]を暗号化し、この第３の暗号文{[ＺＡｎ]＋[ＺＡｎ＋１]}を含む情報を第３のパケットにして前記通信線を介して前記端末Ｂに送信し、
前記端末Ｂからの第２のパケットを受信し、
【００３６】
前記第３のパケットを受信し、
このように前記３種類のパケットに依る３つのパケットの交換により、前記自然乱数由
来の乱数[ＸＡｎ＋１]と乱数[ＹＢｎ＋１]と自然乱数由来の乱数[ＺＡｎ＋１]の値を共有
させることを要旨とする。
【発明の効果】
【００３７】
本発明は二者間の秘密共有やユーザＩＤの安全性を確保しつつ更新する問題を解決したものである。すなわち、二者間の秘密共有のメンテナンスを人の手からシステムに安全に移行させる技術である。
【００３８】
効用は、次の点にある。
【００３９】
（１） 漏れたＩＤ情報を無効にする。
（２） 人からの情報漏れを困難にする。
【００４０】
なお、以下の説明では、認証子を備える認証システムを、しばしば、認証子システム、又は単に認証子と簡略に表現する。
【００４１】
本発明に関し、通常の暗号化の仕組みにおいては、鍵と平文は別の確率事象に属するが、当該1:1認証子は同じ乱数発生源から出力されるところの「乱数による乱数自体の暗号と復号の仕組み」の上に構成される。
【００４２】
すなわち、自然乱数ブロックの独立性を鍵と平文の関係に反映させる乱数の配送法である。これが1:1の認証子を構成する基礎である。
【００４３】
通信路をはさんだ二者（ピア）の片方または両者とも乱数発生源[X]を備える環境にて、発生源[X]から得た(1-1)式に示す二つの乱数ブロック[Xn]と[Xn+1]の桁数が等しく
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
(1-1)式のペアが下記(1-２)式の独立性
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
H(): Shannon entropyを計算する関数
を満たす時、あるいは(1-1)式のペアが(1-2)式に代わる予測困難性を満たす時、下記(1-3)(1-4)式に示すように、インデックス nが示す順に発生源[X]が出力した乱数[Xn]を鍵Ｋに用い、その後に出力した乱数[Xn+1] を平文に用いる。
【００４４】
即ち、
鍵Ｋ = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
これにより、乱数ブロックの独立性(1-２)式を暗号化と復号化の必須要件に反映させる一方、通信路をはさんだ二者に対し、予め人が初期値[X1]を設定する秘密共有を行い、それによって二者を特定の1:1関係にする「自然乱数による乱数の暗号と復号の仕組み」（図１参照）である。
【００４５】
本発明の暗号化と復号化の必須要件とは鍵と平文が独立に選ばれることである。この要件を乱数の配送の都度満たしたのが「自然乱数による乱数の暗号と復号の仕組み」である。この仕組みのアルゴリズム上のポイントは二つある：第一に、ランダムに選ばれた初期値[X1]が鍵の機能を果した後、[X1]に代わってn = 2の乱数ブロック[X2]が鍵になることである。第二に、鍵[X2]が設定された後に、新たな平文乱数ブロック[X3]が乱数発生源[X]から与えられることである、その結果として、鍵と平文の独立性(1-2)式を常に維持することの二点である。
【００４６】
上記仕組みの結果、乱数の配送の都度、次の安全性を達成する：
まず、(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００４７】
なお、(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和は、常に、
H([X1] + H([Xn]) ---------(1-9)
だけのエントロピーを持つことが容易に計算できる。
【００４８】
(1-9)式の意味するところは、本発明の「乱数による乱数の暗号と復号の仕組み」によって乱数ブロック[Xn]が安全に配送されること、初期値[X1]のエントロピーは常に維持されていることである。
【００４９】
つまり、暗号のエントロピーは初期値[X1]に依存するが、乱数ブロック[Xn]の系列は初期値[X1]から派生したものではない。
【００５０】
また、本発明においては、上記の1:1関係を基礎とし、初期値を2個持った1:1の関係を規定する。
【００５１】
すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め秘密に共有することを特長として、二者を特定の1:1関係に規定する。
【００５２】
初期値[X1]及び初期値[Y1]の役割は異なる、初期値[X1]と初期値[Y1]も互いに独立であるから、請求２に係る発明は後述の図１と図２の1:1関係を重ね合わせた状態になる。
【００５３】
通信路の両端に居る二者AとBの内、一方のＡは(1-2)式を満たすと考えられる乱数発生源[X]を備え、他方のＢも(2-1)式を満たすと考えられる乱数発生源[Y]を備え、各々の乱数ブロックは、請求項１に係る発明の(1-2)式と下記(2-1)式の意味する独立性を満足する一方、あるいは、予測困難性を満足する一方、次の式を満たす。
【００５４】
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
H([[Yn+1]] = H([Yn+1] | [Yn]) ---------(2-1)
これは、AとB両者ともに、予めランダムに選ばれた[X1]と[Y1]を初期値として共有する「自然乱数による乱数の暗号と復号の仕組み」に相当する。
【００５５】
また、本発明においては、上記の乱数発生源[X]と[Y]の乱数ブロックとハッシュ関数とから1:1認証子を構成することになり、上記のように規定された1:1関係において、ハッシュ関数の鍵を乱数ブロック[Xn]又は[Yn]とした時に、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを1:1認証子とし、或いは、配送される[Yn+1]とそのハッシュ値h([Yn+1])のペアを1:1認証子とする認証子システムである。
【００５６】
この1:1認証子は、前記チャレンジ・アンド・レスポンス方式と以下の点で異なる。
Request for Comments 1994のResponseは秘密鍵とChallengeに依存する。ChallengeとResponseは独立ではない。
【００５７】
なお、秘密共有を二つの初期値で行うタイプもあるが、やはりChallengeとResponseは独立ではない。
【００５８】
一方、本発明の1:1認証子では、ChallengeとResponseに相当する「行きと帰り」の二種類の認証子があり、以下しばしば、行きを識別子、帰りを確認子と呼ぶ。識別子と確認子は互いに独立である。
【００５９】
また、本発明に関し、上記の認証システムは、上記のような認証子の交換で秘密共有をも自動的に更新する。
【００６０】
すなわち、従来は、秘密共有の更新を人間系に頼っていたが、それを不要にしている。
【００６１】
本発明の認証子の交換により、初期値[X1]と[Y1]に始まる秘密共有は通信のセッション毎に更新される。
【００６２】
すなわち、識別子と確認子を経由して、セッション単位に下記のように更新される：
[X1] ---> [X2] ---> [X3] --->…---> [Xn]
[Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]
この安全性は請求項１に係る発明に基づく。
【００６３】
つまり、盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、乱数ブロック群[Xn]は初期値[X1]から派生した値ではない。また、識別子と確認子は互いに独立である。
【００６４】
このようにして、通信の終了時には、新しい秘密共有が成立するから、通信開始時の秘密共有は過去のものになり、秘密が漏洩したとしても、その時点から過去の秘密になる。
【発明を実施するための最良の形態】
【００６５】
以下に、図面を参照し、本発明を実施するための最良の形態を説明する。
【００６６】
先ず、図１及び図４を参照して、本発明の実施の形態を説明する。
【００６７】
図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００６８】
図１に、鍵、平文、暗号文という３つの確率変数との関係を示す。乱数発生源［Ｘ］が端末Ａにあり、乱数ブロックがＡからＢに送られる。この仕組みは、初期値［Ｘ１］はランダムに選ばれる確率事象で、この［Ｘ１］は暗号化・復号化の後に、ｎ＝２の乱数ブロック［Ｘ２］で置き換わる。そして、常に、鍵［Ｘｎ］が設定された後に、平文の乱数ブロック［Ｘｎ＋１］が乱数発生源［Ｘ］から与えられ、その結果、鍵と平文の独立性の（１−２）式が成立する。なお、暗号化と復号化の鍵と平文とが独立に選ばれる。自然乱数を用いることで、この要件が常に達成される。
【００６９】
（１）自然乱数による乱数の暗号と復号の仕組み
自然乱数発生源[X]の出力を一定の桁数に揃えて乱数ブロック[Xn]を得る：
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
どの乱数ブロックも下記(1-２)式の独立式を満たす時、
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
(1-3)と(1-4)式に示すように、インデックス nの順に[X]が出力した乱数ブロック[Xn]を鍵Kに用い、[Xn]に続く乱数ブロック[Xn+1]を平文に用いることによって
鍵K = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
鍵と平文が独立に選択されることを自動的に満たす。
【００７０】
一方、通信路をはさんだ二者AとBは予め[X1]を初期値として秘密に共有することによって、当該二者は暗号化と復号化の1:1の関係に入る。これが図１に示す「自然乱数による乱数の暗号と復号の仕組み」である。
【００７１】
（２）暗号文の安全性の証明
この認証システムの暗号システムとしての安全性のポイントは以下の通りである。
【００７２】
(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
(1-6)式は、自然乱数[Xn]と[Xn+1]を条件として、暗号文Cn+1を一つに決めるということを表す。ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００７３】
当然、乱数[Xn+1]の情報も漏れない。(1-6)式のアルゴリズムを排他的論理和にする。この場合、暗号文Cn+1は
Cn+1=[Xn]+[Xn+1] ---------(1-6)’
で計算される。
【００７４】
(1-8)式が意味する特徴は重要である、何故なら、通常の共通鍵暗号系では「意味のある平文」を暗号化する関係上、鍵の情報を漏らすからである。しかし、(1-8)式では鍵の情報が漏れない。その原因は、
1) 鍵と平文が共に自然乱数であるが故に独立になること、
2) 鍵も平文も共に乱数であること(意味を持たない)、
以上2点の理由に拠る。
【００７５】
なお、通常の共通鍵暗号系で鍵の情報が漏れる理由は、平文が意味を担うからである。例えば、alphabetなら4.7bit/1characterあるが、意味のある文章では1.0bitから1.5bitになるであることが知られている。この4.7bitと1.5bitの差だけ鍵の情報が暗号文から漏れる。
【００７６】
（３）通信路を流れる暗号文の総和
(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和を計算すると、常に、
H([X1]) + H([Xn]) ---------(1-9)
となる：(1-9)式は暗号文のエントロピーの総和を示す。
[X1]と[Xn]は独立であるから、[X1]と[Xn]の同時確率エントロピーをH([X1], [Xn])と表すと、
H([X1], [Xn]) = H([X1]) + H([Xn]) ---------(1-10)
ここで、鍵[X1]と平文[Xn]を独立に選んで暗号文[Cn+1]を一つに決定する式、
H(Cn+1 | [X1], [Xn]) = 0 ---------(1-11)
(1-11)式を(1-10)式の両辺に加える：
H([X1]) + H([Xn]) = H(Cn+1| [X1], [Xn]) + H([X1], [Xn]) = H(Cn+1, [X1], [Xn]) 
---------(1-12)
H(Cn+1, [X1], [Xn])は暗号系を構成する三つの確率変数の同時確率エントロピーである。(1-12)式は以下の事柄の証明である：
1) 初期値[X1]で
2) 任意の乱数[Xn]を
3)１回だけ暗号化し
4) 任意の乱数[Xn]を安全に配送した
ことを示す。その途中で使われる乱数ブロック[Xn-1]は消えることに注意する。
【００７７】
(1-12)式は、任意の[Xn]について成立しており、鍵としての初期値[X1]のエントロピーを常に維持する。言い変えると、通信路を流れる暗号文Cn+1のエントロピーは初期値[X1]に依存する一方、配送された乱数ブロック[Xn]は初期値[X1]から派生したものでない、ということである。この関係には十分注意する必要がある。
【００７８】
（４）乱数ブロック[Xn]に対する端末ＡとBの対称性
(1-1)から(1-9)式は、乱数ブロック[Xn]に対して対称形である。[Xn]が端末Ａの乱数発生源の乱数であるとしても、その次の[Xn+1]が端末Ｂの発生源の乱数としても、(1-1)から(1-9)式には何ら変わりない。従って、3.1.項の仕組みは両端に乱数発生源[X]を備える場合も含む。
【００７９】
さらに、端末Ａの乱数発生源[X]が自然乱数であり、端末Ｂの乱数発生源[X]が擬似乱数源としても、(1-1)から(1-9)式に何ら変わりない。ただし、その場合、(1-2)式は予測困難性という概念の安全性に置き換わる。
【００８０】
次に、図２〜４を参照して、本発明の実施の形態についてさらに説明する。
【００８１】
図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図、図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００８２】
図４に記載の実施の形態は、上述した1:1 認証子を前提にする。
【００８３】
まず、上記の1:1 関係を基礎にして初期値を2 個持った1:1 の関係を規定する。すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め共有して、二者を特定の1:1 関係に規定する。
【００８４】
初期値[X1]及び[Y1]の役割は異なる。一方が送信専用なら、他方は受信専用の初期値
である。初期値[X1]と[Y1]も互いに独立であるから、この実施の形態は、図１と図２の1:1 関係を重ね合わせた状態になる。
【００８５】
また、ハッシュ関数hと上述の乱数ブロックとのペアで1:1 認証子を規定する。
【００８６】
この実施の形態においては、このように構成された認証子の交換で秘密共有を自動的に更新する。すなわち、従来、秘密共有の更新は人間系に頼るしかなかったが、それを不要にしている。
【００８７】
（１）1:1 認証子システム
以上の実施の形態に係る発明は1:1 認証子システムを構成する。これに相当する従来技術は、CHAP(Request for Comments 1994)である。
【００８８】
この1:1 認証子システムは、CHAP或いは従来のID 番号、パスワード等に置き換えられ、情報漏れによる被害を未然に防ぐ。
【００８９】
（２）初期値[X1]と[Y1]を携帯メディアに格納する。
【００９０】
初期値[X1]と[Y1]は、ホストとユーザを特定の1:1 関係に結びつける秘密である。
【００９１】
その後、ホストとユーザ間の通信は初期値[X1]に始まる1:1 暗号・復号と、初期値[Y1]に始まる1:1 暗号・復号との重ね合わせになる (図1 と図2 とを重ね合わせる)。
【００９２】
（３）1:1 認証子の交換
図４に示す通り、乱数ブロック[Xn]はホストからユーザへ流れ、[Yn]はユーザからホストへ流れる。
【００９３】
なお、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを「ランダムカード携帯メデイア」へ初期値[X1] = 512 bit、初期値[Y1]= 512 bitとして保存し、それを更新するようにしても良い。
【００９４】
（４）識別子と確認子
識別子と確認子中の鍵に対応する部分はセッション毎に以下のように変化する：
ホストからユーザへ: [X1] ---> [X2] ---> [X3] --->…---> [Xn]: ---> 識別子の系列
ユーザからホストへ: [Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]: ---> 確認子の系列
図４で、配送する乱数ブロックが[X2]の時、乱数[X1]を鍵にして、乱数[X2]の暗号文[X1]+[X2]が端末Ａにて作られる。この暗号文[X1]+[X2]がハッシュ関数の入力になる。この暗号文[X1]+[X2]とハッシュ値h([X1]+[X2])とのペアが識別子である。
【００９５】
端末Ｂでは、暗号文を復号した後、再度、端末Ａと同じ暗号化手続を実行し、ハッシュ値を生成する。
【００９６】
そして、端末Ａでのハッシュ値と、端末Ｂでのハッシュ値とを比較する。
【００９７】
両方のハッシュ値が等しければ、ハッシュ関数の衝突困難性に基づき、端末Ａが持つ鍵[X1] と、端末Ｂが持つ鍵[X1]とが、圧倒的な確率で等しいと判定される。
【００９８】
（５）1:1 の認証子の機能
識別子と確認子は、以下の機能を果したことになる：
二者間の秘密共有(鍵)
ユーザID
合言葉、パスワード
三つの機能を総称して「自然乱数による1:1 認証子」と言う。
【００９９】
（６）初期値[X1]と[Y1]の保存は不要
通信路を挟んだ二者は、初期値[X1]と[Y1]を与えられることにより、特定の1:1 関係になるが、その初期値を、再度の認証のために継続して保存する必要はない。初期値[X1]と[Y1]は乱数[X2]と[Y2]に変わり、一度、認証子システムに投入されたら、二度と初期値[X1]と[Y1]とが参照されることがないからである。
【０１００】
この時、乱数[X1]と[X2]、乱数[Y1]と[Y2]とは互いに独立である。ゆえに、認証子システムから初期値[X1]と[Y1]が漏れたとしても、乱数[X1]と[Y1]が乱数[X2]と[Y2]に変化した後では、それは過去の事件になる。漏れた[X1]と[Y1]は既に無効である。
【０１０１】
（７）初期値[X1]と初期値[Y1]の通信のセッション毎の更新
初期値[X1]と初期値[Y1]の秘密共有は、自然乱数[Xn]に引き継がれる。
【０１０２】
[X1] ---> [X2] ---> [X3]…---> [Xn]
[Y1] ---> [Y2] ---> [Y3]…---> [Yn]
このセッション単位にメンテナンスされる場合の安全性は、上述のように、以下の手順に基づく。つまり、1) 盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、2) 乱数ブロック群[Xn]は初期値[X1]から派生した乱数値ではない、また、3) 識別子と確認子が互いに独立であり、さらに、4) 過去の秘密[X1]と[Y1]と現在の秘密[Xn]と[Yn]は、互い暗号学的に独立である。ゆえに、もはや情報漏れは恐れるに足らない、ということになる。
【０１０３】
（８）最大の特徴
この点、従来のセキュリテイ技術では、人間系からの情報漏れを防ぐことは不可能であった。暗号の強度を上げても人間系からの情報漏れを防げない。これは暗号の仕組みが原因である。しかし、本発明に係る自然乱数による認証子システムは、通信セッションが終了する度、自然乱数の安全性に基づいて認証用の秘密を随時更新する。秘密は、随時、自動的に、人の手を経ないで、更新される。過去の秘密と現在の秘密が独立であるから、もはや情報漏れは恐れるに足らない、漏れた情報は無効になる、従って、認証子システムは、暗証番号等が漏れても被害を未然に防ぐシステムの構築を可能にする。
【０１０４】
人間系からの情報漏れを無効にするということは、これはセキュリテイの概念に入らない。セキュリテイは利便性を犠牲にして成り立つが、自然乱数の識別子は、その逆で、むしろ、利便性の生き残りのためのI.T だからである。
【産業上の利用可能性】
【０１０５】
本発明は、１：１認証子を備える認証システムに利用できる。
【図面の簡単な説明】
【０１０６】
【図１】図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図。
【図２】図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図。
【図３】図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図。
【図４】図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【符号の説明】
【０１０７】
[X]:   自然乱数発生源
[Y]:   乱数発生源
[Z]:   自然乱数発生源
Yn :   確率変数
n :   インデックス
[Xn] :  自然乱数のブロック
[Yn] :  乱数のブロック
[Zn] :  自然乱数のブロック
|[Xn]| : 自然乱数ブロックの桁数
H() :  （）内の変数のシャノンエントロピを求める関数
h():   （）内の変数のハッシュ値を求める関数
+:    排他的論理和
【図１】
0005314240.tif 000002
【図２】
0005314240.tif 000003
【図３】
0005314240.tif 000004
【図４】
0005314240.tif 000005