(57)【要約】【課題】通信ネットワークにおける利用者認証システム及びその方法を提供する。【解決手段】信用証明機関側装置が、アキュムレータを発行し、サービスへのアクセスを許可される利用者にトークンと信用証明書を発行する。利用者端末は、発行された信用証明書に基づいて計算した派生信用証明書を用いて検証者端末に証明する。新規利用者が認定される場合、他の利用者端末と検証者端末はデータを更新する必要がない。利用者が取り消される場合、信用証明機関側装置は、取り消された利用者のトークンに基づいて更新済みアキュムレータを計算し、更新済みアキュムレータ及び取り消されたトークンに関するインクリメントデータを含む失効インクリメントデータを発行する。他の利用者端末は、受信した更新失効インクリメントデータに基づき更新済み信用証明書を計算し、失効インクリメントデータは、信用証明機関側装置、利用者端末及び検証者端末間で伝送される。【選択図】  図２
2007143163.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークにおける利用者認証データを生成更新するための装置であって、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新するアキュムレータ計算ユニットと、
認定される利用者のトークンを選択するトークン選択モジュールと、前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成する、前記トークン選択モジュールに接続された証明書生成モジュールを備える、前記アキュムレータ計算ユニットに接続された認定ユニットと、
前記アキュムレータ計算ユニット、前記認定ユニットおよび前記ネットワークに接続され、前記ネットワークを介して前記アキュムレータを発行し、利用者端末に前記トークンと前記信用証明書を送信する通信ユニットと
を備えることを特徴とする装置。
【請求項２】
前記アキュムレータ計算ユニットが、
初期のアキュムレータを生成するための初期アキュムレータ生成モジュールと、１つ以上の取り消されたトークンに基づいてアキュムレータを更新するアキュムレータ更新モジュールとを備え、
さらに、失効インクリメント・データを生成し発行する、前記アキュムレータ計算ユニットに接続された失効インクリメントユニットを備え、
前記失効インクリメント・データが、前記取り消されたトークンに関する更新済みアキュムレータ及びインクリメント・データからなることを特徴とする請求項１に記載の装置。
【請求項３】
前記失効インクリメントユニットが、
１組の失効インクリメントであって、各失効インクリメントが前記取り消されたトークンの１つと前記トークンが取り消された後に計算された対応するアキュムレータを含む、１組の失効インクリメント、
前記更新済みアキュムレータと前記取り消されたトークンを含む圧縮した失効インクリメント、
前記更新済みアキュムレータと前記取り消された各トークンの積を含む失効パッキング
の少なくとも１つを前記失効インクリメント・データとして生成することを特徴とする請求項２に記載の装置。
【請求項４】
通信ネットワークにおける利用者認証データを生成更新するための方法であって、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新するステップと、
認定される利用者のトークンを選択するステップと、
前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成するステップと、
前記認定された利用者に、前記トークンと前記信用証明書を送信するステップと
を有することを特徴とする方法。
【請求項５】
１つ以上のトークンが取り消される場合に、
取り消されたトークンに基づいてアキュムレータを更新するステップと、
最後の更新時から計算された、前記取り消されたトークンに関する更新済みアキュムレータ及びインクリメント・データからなる失効インクリメント・データを生成し発行するステップとを有することを特徴とする請求項４に記載の方法。
【請求項６】
前記失効インクリメント・データが、
１組の失効インクリメントであって、各失効インクリメントが前記取り消されたトークンの１つと前記トークンが取り消された後に計算された対応するアキュムレータを含む、１組の失効インクリメント、
前記更新済みアキュムレータと前記取り消されたトークンを含む圧縮した失効インクリメント、
前記更新済みアキュムレータと前記取り消された各トークンの積を含む失効パッキング
の少なくとも１つの形式で発行されることを特徴とする請求項５に記載の方法。
【請求項７】
通信ネットワーク上で検証者に対して証明を行なう利用者端末であって、
前記ネットワークには、少なくとも１つの信用証明機関側装置を含み、
前記端末が、
前記ネットワークに接続された通信ユニットと、
信用証明機関側装置によって生成されたアキュムレータを記憶する、前記通信ユニットに接続されたアキュムレータ記憶ユニットと、
前記信用証明機関側装置から発行されたトークンを記憶する、前記通信ユニットに接続されたトークン記憶ユニットと、
前記信用証明機関側装置によって前記アキュムレータと前記トークンから生成された信用証明書を記憶する、前記通信ユニットに接続された信用証明書記憶ユニットと、
前記信用証明書記憶ユニットに記憶された信用証明書から派生信用証明書を生成する、前記信用証明書記憶ユニットに接続された派生信用証明書生成ユニットと、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより前記トークンが前記アキュムレータにおいて集積されていることを証明するために前記検証者に対して知識証明を行なう、前記アキュムレータ記憶ユニット、前記トークン記憶ユニットおよび派生信用証明書生成ユニットに接続された証明ユニットを備えることを特徴とする利用者端末。
【請求項８】
前記信用証明機関側装置と前記検証者端末のうちの１つから受信した失効インクリメント・データに基づいて、前記アキュムレータ記憶ユニットに記憶されたアキュムレータと前記信用証明書記憶ユニットに記憶された信用証明書を更新する、前記アキュムレータ記憶ユニットと前記信用証明書記憶ユニットに接続された更新ユニットをさらに備えることを特徴とする請求項７に記載の利用者端末。
【請求項９】
前記アキュムレータ記憶ユニットは、最も新しい更新済みアキュムレータに加えて予め定義した量の過去のアキュムレータを記憶し、
前記信用証明書記憶ユニットは、最も新しい更新済み信用証明書に加えて予め定義した量の過去の信用証明書を記憶することを特徴とする請求項８に記載の利用者端末。
【請求項１０】
通信ネットワーク上で利用者が検証者に対して証明を行なう方法であって、
前記ネットワークには、少なくとも１つの信用証明機関側装置を含み、
前記信用証明機関側装置によって生成されたアキュムレータを受信するステップと、
前記信用証明機関側装置によって発行されたトークンを受信するステップと、
前記信用証明機関側装置によって前記トークンとアキュムレータから生成された信用証明書を受信するステップと、
前記信用証明書からの派生信用証明書を計算するステップと、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより、前記アキュムレータに前記トークンが集積されていることを証明するために前記検証者に知識証明を行なうステップとを有することを特徴とする証明方法。
【請求項１１】
前記信用証明機関側装置と前記検証者端末のうちの１つから失効インクリメント・データを受信するステップと、
前記失効インクリメント・データに基づいて前記アキュムレータおよび前記信用証明書を更新するステップとをさらに有することを特徴とする請求項１０に記載の証明方法。
【請求項１２】
最も新しい更新済みアキュムレータおよび信用証明書に加えて予め定義した量の過去のアキュムレータと信用証明書を記憶するステップを有し、
前記知識証明の実行ステップが、
検証者端末によって保持されたアキュムレータに対応する信用証明書から計算した派生信用証明書を用いることにより、前記検証者に知識証明を行なうことを特徴とする請求項１１に記載の証明方法。
【請求項１３】
ネットワークによって接続された少なくとも１つの信用証明機関側装置、少なくとも１つの利用者端末及び少なくとも１つの検証者端末を備える通信システムであって、
前記信用証明機関側装置が、
認定利用者のトークンを集積するためのアキュムレータを生成し更新するアキュムレータ計算ユニットと、前記アキュムレータ計算ユニットに接続された認定ユニットを備え、
前記認定ユニットが、トークン選択モジュールと、前記トークン選択モジュールに接続された証明書生成モジュールを備え、
前記利用者端末が、派生信用証明書生成ユニットと証明ユニットを備え、
前記検証者端末が、検証ユニットを備え、
前記利用者が認定される場合、前記トークン選択モジュールがトークンを選択し、前記証明書生成モジュールが、前記トークンとアキュムレータから信用証明書を生成し、前記信用証明機関側装置から前記利用者端末に前記トークンおよび前記信用証明書を送信し、
前記派生信用証明書生成ユニットが、前記信用証明書から派生信用証明書を生成し、
前記利用者端末の証明ユニットと前記検証者端末の検証ユニットが、前記トークンを明かすことなく、前記トークンが前記アキュムレータに集積されていることを証明するために前記派生信用証明書を用いて知識証明を行なうことを特徴とする通信システム。
【請求項１４】
前記信用証明機関側装置が、さらに失効インクリメントユニットを備え、
１つ以上のトークンが取り消される場合、前記アキュムレータ計算ユニットが取り消されたトークンに基づいてアキュムレータを更新し、前記失効インクリメントユニットが、更新済みアキュムレータと前記取り消されたトークンに関するインクリメント・データを含む失効インクリメント・データを生成し発行することを特徴とする請求項１３に記載の通信システム。
【請求項１５】
前記失効インクリメント・データが、
１組の失効インクリメントであって、各失効インクリメントが前記取り消されたトークンの１つと前記トークンが取り消された後に計算された対応するアキュムレータを含む、１組の失効インクリメント、
前記更新済みアキュムレータと前記取り消されたトークンを含む圧縮した失効インクリメント、
前記更新済みアキュムレータと前記取り消された各トークンの積を含む失効パッキング
の少なくとも１つの形式で発行されることを特徴とする請求項１４に記載の通信システム。
【請求項１６】
前記利用者端末が、
信用証明機関側装置および前記検証者端末のうちの１つから受信した失効インクリメント・データに基づいて前記利用者端末に保持されたアキュムレータと信用証明書を更新する更新ユニットをさらに備えることを特徴とする請求項１４に記載の通信システム。
【請求項１７】
前記検証者端末が、
前記信用証明機関側装置および前記利用者端末のうちの１つから受信した更新済みアキュムレータによって前記検証者端末に保持されたアキュムレータを更新する更新ユニットをさらに備えることを特徴とする請求項１４に記載の通信システム。
【請求項１８】
通信ネットワーク上で利用者を認証する方法であって、
前記ネットワークには少なくとも１つの信用証明機関側装置と少なくとも１つの検証者端末を含み、
前記信用証明機関側装置による認定利用者のトークンを集積するためのアキュムレータを生成し発行するステップと、
信用証明機関側装置によって発行されたトークンと、信用証明機関側装置によって前記トークンおよびアキュムレータから生成される認定される利用者に対する信用証明書を送信するステップと、
利用者端末によって前記信用証明書からの派生信用証明書を計算するステップと、
前記検証者端末に前記利用者端末から前記派生信用証明書を送信するステップと、
トークンを明かすことなく、前記トークンが前記アキュムレータに集積されていることを証明するために前記派生信用証明書を用いて利用者端末と検証者端末との間の知識証明を行なうステップとを有することを特徴とする認証方法。
【請求項１９】
１つ以上のトークンが前記信用証明機関側装置によって取り消される場合に、
前記信用証明機関側装置によって前記取り消されたトークンに基づいてアキュムレータを更新するステップと、
前記信用証明機関側装置による最後の更新時から計算された、前記取り消されたトークンに関する更新済みアキュムレータ及びインクリメント・データからなる失効インクリメント・データを生成し発行するステップとを有することを特徴とする請求項１８に記載の認証方法。
【請求項２０】
前記失効インクリメント・データが、
１組の失効インクリメントであって、各失効インクリメントが前記取り消されたトークンの１つと前記トークンが取り消された後に計算された対応するアキュムレータを含む、１組の失効インクリメント、
前記更新済みアキュムレータと前記取り消されたトークンを含む圧縮した失効インクリメント、
前記更新済みアキュムレータと前記取り消された各トークンの積を含む失効パッキング
の少なくとも１つの形式で発行されることを特徴とする請求項１９に記載の認証方法。
【請求項２１】
前記利用者端末が、前記信用証明機関側装置と検証者端末のうちの１つから受信した前記失効インクリメント・データに基づいて保持するアキュムレータと信用証明書を更新することを特徴とする請求項１９に記載の認証方法。
【請求項２２】
検証者端末が、前記信用証明機関側装置と利用者端末のうちの１つから受信した更新済みアキュムレータによって保持するアキュムレータを更新することを特徴とする請求項１９に記載の認証方法。
【請求項２３】
コンピュータ上で実行され、通信ネットワークにおける利用者認証データを生成し更新するプログラムであって、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新する処理と、
認定される利用者のトークンを選択する処理と、
前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成する処理と、
前記認定された利用者に、前記トークンと前記信用証明書を送信する処理を、前記コンピュータに実行させることを特徴とするプログラム。
【請求項２４】
１つ以上のトークンが取り消される場合に、
取り消されたトークンに基づいてアキュムレータを更新する処理と、
最後の更新時から計算された、前記取り消されたトークンに関する更新済みアキュムレータ及びインクリメント・データからなる失効インクリメント・データを生成し発行する処理を、前記コンピュータに実行させることを特徴とする請求項２３に記載のプログラム。
【請求項２５】
コンピュータ上で実行され、通信ネットワーク上で利用者を検証者に対して証明するプログラムであって、
前記ネットワーク上の信用証明機関側装置によって生成されたアキュムレータを受信する処理と、
前記信用証明機関側装置によって発行されたトークンを受信する処理と、
前記信用証明機関側装置によって前記トークンとアキュムレータから生成された信用証明書を受信する処理と、
前記信用証明書からの派生信用証明書を計算する処理と、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより、前記アキュムレータに前記トークンが集積されていることを証明するために前記検証者に知識証明を行なう処理を、前記コンピュータに実行させることを特徴とするプログラム。
【請求項２６】
前記信用証明機関側装置と前記検証者端末のうちの１つから失効インクリメント・データを受信する処理と、
前記失効インクリメント・データに基づいて前記アキュムレータおよび前記信用証明書を更新する処理を、前記コンピュータに実行させることを特徴とする請求項２５に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに関し、特に、通信ネットワークにおける利用者プライバシーを保護しつつ利用者認証を実行するためのシステム及びその方法に関する。
【背景技術】
【０００２】
今日、電子商取引ウェブサイトにより提供される入札サービス、インターネット電子メールサーバにより提供される電子メールサービス、インスタント・メッセージング・サーバにより提供されるＰ２Ｐチャット・サービス等の多くのオンライン・サービスでは、それらのサービスを使用するため利用者に対して登録または申し込みを要求している。登録または申し込みがサービス・プロバイダにより定められるような種類のサービスは、上記以外にも多くの例がある。一般に、サービス・プロバイダのために利用者認証を処理するのを支援する認証機関が存在する。
【０００３】
１組の利用者が特別のサービスへのアクセスを認められたと想定する。この１組の利用者は「ホワイトリスト」と呼ばれている。利用者Ａがあるサービス（例えばＰ２Ｐファイルシェアリング・サービス）にアクセスしようとしている場合、検証者（例えば、利用者Ａがファイルを検索したい仲間）は、利用者Ａがホワイトリストに載っていることを確かめなければならない。検証者が信用証明機関側装置と毎回通信する必要があるとすると、検証者と信用証明機関の双方にとって、計算と通信に要する費用がかなり大きくなる。また、サービス・プロバイダは、信用証明機関をターゲットとするサービス妨害攻撃をより受けやすい。
【０００４】
検証者は、ホワイトリストのローカルコピーを保持することができ、利用者Ａがそのリスト上に載っていることを確かめることが可能である。しかしながら、検証者が、信用証明機関側装置の最新のホワイトリストをそのローカルコピーと同期させることができなければ、本物の利用者が検証者によって間違って否認されることになる。同期が必要な理由は、検証者がホワイトリストのローカルコピーを設けた後、認証された利用者の組に、信用証明機関によって新規の利用者が加えられるかもしれないからである。直接的な解決法は、検証者が信用証明機関と常に同期させるよう要求することである。しかしながら、同期の間隔を予測することが難しいので、それは総合的コストパフォーマンスが低くなることを意味する。さらに、莫大な数の検証者が存在する場合、それらは信用証明機関に対して大きな負荷をかけることになる。
【０００５】
より厳しい例では、利用者が検証者端末に対して秘匿化される傾向があることである。利用者は、自身の名前、識別情報、その他の情報を秘密にすることを望む。それは、検証者端末に首尾よく立証されたとしても、それらの情報が、ホワイトリスト中に、或いは検証者端末に対して既に発行されているかも知れないからである。明らかに、利用者プライバシー保護が望まれる場合、検証者端末が調べる簡易なホワイトリストは有効な解決法ではない。
【０００６】
他の難しい問題は、サービスに対する何人かの既存の利用者のアクセス権が信用証明機関側装置によって取り消されるかもしれないという事実によって提起される。実際のアプリケーションシステム（application system）において、取り消された利用者を受け入れることは明らかに承諾しがたいことである。一見して、その解決法は、取り消された利用者がすべてリストされる信用証明機関側装置によって保存された簡易なブラックリストであるかもしれない。利用者Ａがサービスにアクセスしようとしている場合、検証者側はこの利用者がブラックリスト内に存在しないことを確かめる。問題は、時間の経過とともに、取り消された利用者の数につれてブラックリストが直線的に増加するであろうということである。検証者端末は、利用者Ａをブラックリスト中に発表されている利用者と一々比較するためにますます多くのコンピュータ資源をつぎ込まなければならない。これは信じられないほどに非能率的である。さらに、検証者端末は、ブラックリストのローカルコピーを保持する必要がある。その結果、検証者端末と信用証明機関側装置との間のブラックリストの効率的な同期についての問題がある。常に増加するブラックリストに対処するために、信用証明機関は、一定の時期に、全ての本物の利用者のためにそのセッティングを更新する可能性がある。その結果、取り消された利用者をすべて削除することにより空のブラックリストを取得する。これは、膨大なブラックリストによって検証者端末に課された効率上の問題をある程度まで緩和するかもしれない。しかしながら、膨大な数の本物の利用者が信用証明機関側装置に登録されたままである場合、信用証明機関側装置がその本物の利用者の全てを更新することは非常に困難である。それで全てではない。利用者端末は匿名で検証者端末に認証される傾向がある場合、簡易なブラックリストでは効果がないかもしれない。なぜなら、この場合、取り消された利用者がブラックリストに入れることができる一意の識別名を所有していないからである。また、そうでなければ、秘匿化された認証の要求と矛盾する。明らかに、利用者の一意の識別名は常に自身のプライバシーを暴露する。
【０００７】
学界において、プライバシーが保護された認証のためのブラックリストのみならずホワイトリストについて問題が、値の集積として研究されている。簡単に言えば、一組の値がアキュムレータの中に集積される。ここで、値の集積とは、値の内在素性を考慮に入れるか、あるいはプール(pool)に値を入れることを意味する。アキュムレータは値を参照する。それは、１組の値において計算するか、１組の値の内在素性を組み合わせることである。証明者は、いずれにしても証明する値を示すことなく、特定の値がアキュムレータに集積されていることを検証者側に証明することが可能である。この種の調査はおそらくホワイトリストの実行と解釈することが可能である。同様に、証明者は、いずれにしても証明される値を示すことなく、自身が保持する特定の値がアキュムレータに集積されていないことを検証者側に証明することが可能である。この種の調査は、多分ブラックリストの実行と解釈することが可能である。数学上、アキュムレータ内に値が存在しないことを証明するのは可能であるが、それは値がアキュムレータ内に集積されていることを証明することほど効率的ではない。
【０００８】
アキュムレータは、最初に、J. Benaloh とM. de Mare によって、"One‐way accumulators: A decentralized
alternative to digital signatures”, Advances in Cryptology‐EUROCRYPT '93,
volume 765 of LNCS, pages 274‐285, Springer‐Verlag, 1994  において、１つの短いアキュムレータに１組の値を組み合わせる方法として導入された。その考えは、"Collision‐free
accumulators and fail‐stop signature schemes without trees,” Advances in
Cryptology‐EUROCRYPT '97, volume 1233 of LNCS, pages 480〜494  Springer Verlag,
1997  において、Benaloh 、de Mare, N. Baric、B. Pfitzmann によって拡張される。そこでは、強ＲＳＡ仮定に基づいた、いわゆる耐抵触性のアキュムレータの構築を提案している。引用した文献に定義されるように、アキュムレータの便利な特性は、一つずつ値を加えることが可能であるということである。しかしながら、アキュムレータからの値の削除は、集積された値の数と無関係に行なうことはできない。さらに、J.
Camenisch とA. Lysyanskayaによる文献がある。彼らの論文、“Dynamic accumulators and application to efficient revocation
of anonymous credentials”, Advances in Cryptology‐CRYPTO '2002, volume 2442 of
LNCS, pages 61〜76, 2002,  において、動的なアキュムレータが提案されている。それは、動的に入力を加えまた削除することを許可するアキュムレータであり、追加又は削除の処理コストは集積された値の数に依存しない。J. Camenisch とA. Lysyanskayaによって出願された、米国特許Ｎｏ．２００３１０１７７３５２は、動的なアキュムレータに関して、「秘匿化された証明書、信用証明書およびアクセス権の失効」を開示している。
【特許文献１】米国特許Ｎｏ．２００３１０１７７３５２
【非特許文献１】J. Benaloh 、M. de Mare著 "One‐way accumulators: A decentralizedalternative to digital signatures”, Advances in Cryptology‐EUROCRYPT '93,volume 765 of LNCS, pages 274〜285, Springer‐Verlag, 1994
【非特許文献２】Benaloh 、de Mare, N. Baric、B. Pfitzman著"Collision‐freeaccumulators and fail‐stop signature schemes without trees,” Advances inCryptology‐EUROCRYPT '97, volume 1233 of LNCS, pages 480〜494  Springer Verlag,1997
【非特許文献３】J. Camenisch 、A. Lysyanskaya著“Dynamic accumulators and application to efficient revocationof anonymous credentials”, Advances in Cryptology‐CRYPTO '2002, volume 2442 ofLNCS, pages 61〜76, 2002,
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上述した文献に開示される動的なアキュムレータは、値の追加又は削除の処理コストが集積された値の数に依存しない、言い換えれば、認定利用者の数に依存しないという利点がある。しかしながら、この結論は、ほとんど信用証明機関側装置の視点から引き出されるものである。利用者がアキュムレータに加えられるか、アキュムレータから削除される場合、検証者端末だけでなく既存の利用者端末も、それらに既に保持されているアキュムレータおよび他のデータを更新しなければならない。検証者端末だけでなく利用者端末にとってそのようなデータを更新するために不可欠な計算が、自身に費やされ、信用証明機関側装置の視点から見て集積された値の数に依存しないことは注目すべきである。しかし、検証者側端末だけでなく利用者端末にとっても、新しく集積された値および更新済みアキュムレータのために信用証明機関側装置を時々調べることについて、追加の処理コストが発生する。削除された利用者に関して、検証者端末は、新しく削除された利用者によって偽られることから自身を守るために、最も新しいアキュムレータのための時間を超えて信用証明機関側装置を調べなければならない。利用者端末が、計算リソースおよびネットワーク資源の消費量の点から利用者端末についての処理コストを減らすために、必ずしも同じことをすることは必要ではない。さらに、一定の状況の下では、本物の利用者の集積値は秘密であると判断され、発表すべきではない。従来の動的なアキュムレータ方式は、そのような状況に対処することができない。
【００１０】
本発明は、通信ネットワークにおける利用者プライバシーを保護することができる非常に効率的な利用者認証システムおよび方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明による通信ネットワークにおける利用者認証データを生成更新するための装置は、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新するアキュムレータ計算ユニットと、
認定される利用者のトークンを選択するトークン選択モジュールと、前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成する、前記トークン選択モジュールに接続された証明書生成モジュールを備える、前記アキュムレータ計算ユニットに接続された認定ユニットと、
前記アキュムレータ計算ユニット、前記認定ユニットおよび前記ネットワークに接続され、前記ネットワークを介して前記アキュムレータを発行し、利用者端末に前記トークンと前記信用証明書を送信する通信ユニットと
を備えることを特徴とする。
【００１２】
他の本発明による通信ネットワークにおける利用者認証データを生成更新するための方法は、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新するステップと、
認定される利用者のトークンを選択するステップと、
前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成するステップと、
前記認定された利用者に、前記トークンと前記信用証明書を送信するステップと
を有することを特徴とする。
【００１３】
他の本発明による通信ネットワーク上で検証者に対して証明を行なう利用者端末は、
前記ネットワークには、少なくとも１つの信用証明機関側装置を含み、
前記端末が、
前記ネットワークに接続された通信ユニットと、
信用証明機関側装置によって生成されたアキュムレータを記憶する、前記通信ユニットに接続されたアキュムレータ記憶ユニットと、
前記信用証明機関側装置から発行されたトークンを記憶する、前記通信ユニットに接続されたトークン記憶ユニットと、
前記信用証明機関側装置によって前記アキュムレータと前記トークンから生成された信用証明書を記憶する、前記通信ユニットに接続された信用証明書記憶ユニットと、
前記信用証明書記憶ユニットに記憶された信用証明書から派生信用証明書を生成する、前記信用証明書記憶ユニットに接続された派生信用証明書生成ユニットと、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより前記トークンが前記アキュムレータにおいて集積されていることを証明するために前記検証者に対して知識証明を行なう、前記アキュムレータ記憶ユニット、前記トークン記憶ユニットおよび派生信用証明書生成ユニットに接続された証明ユニットを備えることを特徴とする。
【００１４】
他の本発明による通信ネットワーク上で利用者が検証者に対して証明を行なう方法は、
前記ネットワークには、少なくとも１つの信用証明機関側装置を含み、
前記信用証明機関側装置によって生成されたアキュムレータを受信するステップと、
前記信用証明機関側装置によって発行されたトークンを受信するステップと、
前記信用証明機関側装置によって前記トークンとアキュムレータから生成された信用証明書を受信するステップと、
前記信用証明書からの派生信用証明書を計算するステップと、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより、前記アキュムレータに前記トークンが集積されていることを証明するために前記検証者に知識証明を行なうステップとを有することを特徴とする。
【００１５】
他の本発明によるネットワークによって接続された少なくとも１つの信用証明機関側装置、少なくとも１つの利用者端末及び少なくとも１つの検証者端末を備える通信システムは、
前記信用証明機関側装置が、
認定利用者のトークンを集積するためのアキュムレータを生成し更新するアキュムレータ計算ユニットと、前記アキュムレータ計算ユニットに接続された認定ユニットを備え、
前記認定ユニットが、トークン選択モジュールと、前記トークン選択モジュールに接続された証明書生成モジュールを備え、
前記利用者端末が、派生信用証明書生成ユニットと証明ユニットを備え、
前記検証者端末が、検証ユニットを備え、
前記利用者が認定される場合、前記トークン選択モジュールがトークンを選択し、前記証明書生成モジュールが、前記トークンとアキュムレータから信用証明書を生成し、前記信用証明機関側装置から前記利用者端末に前記トークンおよび前記信用証明書を送信し、
前記派生信用証明書生成ユニットが、前記信用証明書から派生信用証明書を生成し、
前記利用者端末の証明ユニットと前記検証者端末の検証ユニットが、前記トークンを明かすことなく、前記トークンが前記アキュムレータに集積されていることを証明するために前記派生信用証明書を用いて知識証明を行なうことを特徴とする。
【００１６】
他の本発明による通信ネットワーク上で利用者を認証する方法は、
前記ネットワークには少なくとも１つの信用証明機関側装置と少なくとも１つの検証者端末を含み、
前記信用証明機関側装置による認定利用者のトークンを集積するためのアキュムレータを生成し発行するステップと、
信用証明機関側装置によって発行されたトークンと、信用証明機関側装置によって前記トークンおよびアキュムレータから生成される認定される利用者に対する信用証明書を送信するステップと、
利用者端末によって前記信用証明書からの派生信用証明書を計算するステップと、
前記検証者端末に前記利用者端末から前記派生信用証明書を送信するステップと、
トークンを明かすことなく、前記トークンが前記アキュムレータに集積されていることを証明するために前記派生信用証明書を用いて利用者端末と検証者端末との間の知識証明を行なうステップとを有することを特徴とする。
【００１７】
他の本発明によるコンピュータ上で実行され、通信ネットワークにおける利用者認証データを生成し更新するプログラムは、
認定された利用者のトークンを集積するためのアキュムレータを生成し更新する処理と、
認定される利用者のトークンを選択する処理と、
前記トークンと前記アキュムレータから、前記トークンが前記アキュムレータに集積されていることを前記利用者が証明するために用いられる信用証明書を生成する処理と、
前記認定された利用者に、前記トークンと前記信用証明書を送信する処理を、前記コンピュータに実行させることを特徴とする。
【００１８】
他の本発明によるコンピュータ上で実行され、通信ネットワーク上で利用者を検証者に対して証明するプログラムは、
前記ネットワーク上の信用証明機関側装置によって生成されたアキュムレータを受信する処理と、
前記信用証明機関側装置によって発行されたトークンを受信する処理と、
前記信用証明機関側装置によって前記トークンとアキュムレータから生成された信用証明書を受信する処理と、
前記信用証明書からの派生信用証明書を計算する処理と、
前記トークンを明かすことなく、前記派生信用証明書を用いることにより、前記アキュムレータに前記トークンが集積されていることを証明するために前記検証者に知識証明を行なう処理を、前記コンピュータに実行させることを特徴とする。
【発明の効果】
【００１９】
本発明によれば、認定利用者の集積されたトークンは決して発行することなく秘密にすることが可能である。新規の利用者が信用証書機関ＣＡによって認定される場合、利用者端末と検証者端末はアキュムレータを更新する必要がない。このことは、ネットワーク帯域の消費の面からも計算量の面からも信用証書機関側装置ＣＡ、利用者端末及び検証者端末にとって意味がある。
【００２０】
さらに、失効更新情報は圧縮形式において検索することが可能である。これは、ネットワーク帯域の消費の面からも計算量の面からも有利である。また、失効更新情報は圧縮形式において発行することが可能である。これは、ネットワーク帯域の消費の面からも計算量の面からも有利である。
【００２１】
さらに、検証者端末は、信用証書機関側装置ＣＡからの代わりに利用者端末から最も新しいアキュムレータを受信することが可能である。また、利用者端末は、信用証書機関側装置ＣＡからの代わりに検証者端末から失効更新情報を受信することが可能である。これにより、より新しいアキュムレータへの同期が可能となる。
【００２２】
その結果、信用証書機関側装置ＣＡの負荷が極めて減少され、一方、新しい利用者認証データを迅速に伝えることが可能となる。
【発明を実施するための最良の形態】
【００２３】
本発明は、従来技術における上述した問題点に鑑みてなされたものである。
【００２４】
以下、図面を参照して、本発明の好ましい実施の形態について例をあげて詳細に説明する。
【００２５】
図１は、通信システムの例を示すブロック図である。ここでは、３種類の参加者である、信用証明機関側装置（ＣＡ）１１０、利用者端末１２０、検証者端末１３０が、ネットワーク１００を介して通信する。
【００２６】
ここで、ネットワーク１００は、任意のコンピュータ通信ネットワークあるいは電気通信ネットワークを含み、これらに限定されずどのような種類のネットワークであってもよい。利用者端末は、コンピュータ装置、携帯型端末装置、携帯電話等のようなネットワークに接続するのに適している任意のクライアント装置である。信用証明機関側装置ＣＡは、ネットワークに接続するのに適合された装置であり、サービスの信用証明書を管理する。検証者端末は、正しく利用者を認証した後に利用者の要求を受け入れるホスト装置あるいは端末である。
【００２７】
特に、信用証明機関側装置ＣＡは、利用者の申し込みを受け取り、利用者がネットワークを介して所定のサービスを享有することを可能にするためにトークンと信用証明書を発行する主体である。検証者端末は、利用者がサービスを利用し或いは享有することを試みる場合に、利用者の認証データを確認し、利用者の要求を受け入れるか又は拒絶するサービスに含まれる検証者端末である。
【００２８】
図示していないが、検証者端末としては、サービスを提供するサービス・プロバイダの装置が考えられる。論理的には、信用証明機関側装置ＣＡは、サービス・プロバイダの外のサーバあるいはホスト、若しくは加入者の情報を保存するサービス・プロバイダに組み込まれたモジュールであるかも知れない。さらに、検証者端末は、サービスの関係者端末、あるいはサービス・プロバイダのモジュールであるかも知れない。実際には、検証者端末は、オークションのようなオンライン・サービスを提供するサービス・プロバイダであるかも知れないし、あるいはＰ２Ｐネットワーク内の通信相手であるかも知れない。例えば、サービス・プロバイダがインスタント・メッセージング・サーバであり、検証者端末が利用者がチャットしたい通信相手である場合が考えられる。利用者（利用者側端末）が検証者端末とチャットすることを要求する場合、検証者端末は、利用者がＣＡにより認可されているかどうかを判定する。他の例においては、検証者端末はオンラインデータベース・サーバである。利用者が検証者端末に設置されたデータベースにアクセスすることを要求する場合、検証者端末は、信用証明機関側装置ＣＡにより発行された利用者の認証データを照合した後に利用者の要求を受け入れる。この例において、検証者端末はサービス・プロバイダの装置自体である。さらに他の例としては、信用証明機関側装置ＣＡと検証者端末とが、サービス・プロバイダ側装置内のモジュールとして共存する構成も可能である。すなわち、信用証明機関側装置ＣＡ、検証者端末、サービス・プロバイダ側装置を、任意に１つ又は複数の装置に組み合わせることも可能であるし、それぞれ異なる装置として分離させることも可能である。本発明のこれらの実際上かつ概念上の設計変形については、本発明の属する技術分野における当業者にとって一般的に行なわれる点である。
【００２９】
説明を分かり易くするために、図面上、１つの信用証書機関側装置ＣＡ、１つの利用者端末及び１つの検証者端末を示しているが、それぞれの種類ごとに複数の参加者が含まれていてもよい。
【００３０】
本発明の１実施の形態によれば、利用者が信用証書機関によってどのように認定され、検証者によってどのように確認されるかの方法について、図２を参照して以下に説明する。
【００３１】
最初に、初期化ステップ（ステップ１）において、信用証書機関側装置ＣＡが、強ＲＳＡ仮定が基づくのに適切な係数ｎと、Ｚｎ＊における乱数であるアキュムレータｗを初期化する。好ましくは、ｎは２つの安全な素数の積である。また、ｗは、Ｚｎ＊の平方剰余サブグループであるＱＲ（ｎ）に属する。さらに、信用証書機関側装置ＣＡは境界ｂ＜ｆｉ（ｎ）を選択する。ここで、ｆｉ（…）  はｎについてのオイラーのφ関数の値を出力する。信用証書機関側装置ＣＡは任意にコミットメント(commitment)ｚを選択する。また、信用証書機関側装置ＣＡは、調べるサービスの利用者と可能性のある検証者のための空の失効データを初期化する。その後、信用証書機関側装置ＣＡは安全な手段によってｎ、ｗ、ｂ、ｚおよび失効データを発行する。例えば、信用証書機関側装置ＣＡは、公開鍵により証明することができるｎ，  ｗ，  ｚにデジタル的に署名することも可能である。
【００３２】
その後、認定ステップ（ステップ２）では、利用者が信用証書機関ＣＡによって認定されたいと望む場合、利用者は、例えば、直接自身の社会保障番号を示すか、あるいは、ネットワークを介して信用証明機関側にデジタル情報を送信することにより、信用証明機関での一定の審査を通過する。その後、信用証書機関側装置ＣＡが、ｆｉ（ｎ）に対して互いに素である適切な素数ｅを選択し、c = w1/e (mod n)を計算する。２つの組（ｃ、ｅ）が、信用証明書と、トークンとして利用者端末にそれぞれ提供される。強いＲＳＡ仮定の下では、共謀攻撃の場合、他の利用者がｗで与えられる２つの組（ｃ、ｅ）とおそらく２組の多項式的に境界のある集合を見出すことは非常に困難である。さらに、信用証書機関側装置ＣＡは、データベースにｅを格納する。
【００３３】
検証者端末がある利用者を確認する前に、検証者端末は、ｎ、ｗ、ｂおよびｚに関して信用証書機関側装置ＣＡと通信する。確認ステップ（ステップ３）では、利用者が検証者に確認されるのを望む場合、利用者端末が任意のｔ＜ｂを選択し、派生信用証明書と呼ばれる、ｃ１  ＝  ｃ  ＊  ｚｔ  （ｍｏｄ  ｎ）を計算する。利用者端末は、検証者端末に対して派生信用証明書ｃ１を送信し、ｗ  ＝  ｃ１ｘ１  ＊  ｚｘ２の表現を識別していることを検証者端末に証明する。
【００３４】
ここで、ｘ１＝ｅかつｘ２＝−ｔ＊ｅであり、従って、ｃ１ｅ  ＊  ｚ  ‐ｔ＊ｅ  ＝  （ｃ  ＊  ｚｔ）  ｅ  ＊  ｚ  ‐ｔ＊ｅ  ＝  ｃｅ  ＝  ｗ  （ｍｏｄ  ｎ）である。
【００３５】
ｘ１  と  ｘ２  を明らかにせずにｘ１  と  ｘ２に関する知識を証明することは、以下の文献に開示される従来の手法によって効果的に実行することが可能である。
“D. Chaum, J. H. Evertse, J. van de Graaf, An
Improved Protocol for Demonstrating Possession of Discrete Logarithms and Some
Generalizations”, Advances in Cryptology ‐ EUROCRYPTO’87, pp. 127〜141, 1987
その知識証明方法は、本発明の属する技術分野における当業者に広く知られている。
【００３６】
上述した方法によれば、新規の利用者を認定することが既存の利用者に影響を与えないことが理解できる。言いかえれば、それは、蓄積された値の数に依存しないだけでなく蓄積される値の数に依存しないことである。
【００３７】
本発明の実施の形態によって、それまで認定されていた利用者がどのように取り消されるか（つまり、利用者のトークンを取り消す）の方法について、図３を参照して以下に説明する。
【００３８】
信用証書機関ＣＡから発行された（ｃａ，ｅａ）を所有する利用者Ａが否認されることを想定すると、信用証書機関側装置ＣＡは、その失効データにおけるｅａを発行し、ｗａ  ＝  ｗ１／ｅａ  （ｍｏｄ  ｎ）にアキュムレータｗを更新する。２つの組（ｅａ，  ｗａ）は、失効インクリメントを形成する。失効インクリメント（ｅａ，  ｗａ）を見ることで、利用者端末Ａ以外の既存の利用者端末、例えば、（ｃｂ、ｅｂ）を所有する利用者端末Ｂが、拡張ユークリッドアルゴリズムに従って、ｕ＊ｅｂ  ＋  ｖ＊ｅａ  ＝  １を計算する。信用証書機関側装置ＣＡが異なる利用者について異なる素数ｅを選択する条件の下では、ｕ＊ｅｂ  ＋  ｖ＊ｅａ  ＝  １を満足する一意のｕ  と  ｖが存在する。最後に、利用者端末Ｂは、ｃｂをｃｂ１  ＝  ｗａｕ  ＊  ｃｂｖ  （ｍｏｄ  ｎ）に更新する。また、利用者端末Ｂによって保持された新しい２つの組は、（ｃｂ１，  ｅｂ）である。ここで、ｃｂ１が信用証明書であり、ｅｂがトークンである。ｃｂ１ｅｂ  ＝  ｗａｕ＊ｅｂ  ＊  ｃｂｖ＊ｅｂ  ＝  ｗａｕ＊ｅｂ  ＊  ｗｖ  ＝  ｗａｕ＊ｅｂ  ＊  （ｗａｅａ）ｖ  ＝ｗａ（ｕ＊ｅｂ  ＋  ｖ＊ｅａ）  ＝  ｗａ  （ｍｏｄ  ｎ）を証明することは容易である。このことは、利用者端末Ｂが更新済みアキュムレータに対応する新しい信用証明書を自身で計算することを意味する。一方、失効インクリメント（ｅａ，  ｗａ）が与えられた場合、ＲＳＡ問題が困難であるならば、ｃａ１  ｓ．ｔ．  ｃａ１ｅａ  ＝  ｗａ  （ｍｏｄ  ｎ）を計算することは不可能である。
【００３９】
新規の利用者が信用証明機関側装置によって認定されることになっている場合、アキュムレータｗがｗａ，に更新された後、新規の利用者のための信用証明書およびトークンを計算するために、ｗａ，が用いられることは明白である。以前のｗは再び用いられるべきでない。
【００４０】
概念的に、本発明によって利用されるアキュムレータは、あらゆるトークンを前もって蓄積している。
しかしながら、先行技術において、新規の利用者が認定されることになっている場合、常にアキュムレータを更新するための明示的な要求がある。本発明においては、あらゆるトークンが予め蓄積されているが、信用証書機関ＣＡの助力なしで、信用証明書のどれも利用可能ではないことを強調する。このことは、強ＲＳＡ仮定によって保証される。
【００４１】
前述の根本的な無効方法に加えて、利用者Ｂが自身の信用証明書およびアキュムレータを最後に更新した後（従って、利用者Ｂはｃｂｅｂ  ＝  ｗ  （ｍｏｄ  ｎ）を所有する）に、ｋ人の利用者が取り消される場合、すなわち、信用証書機関側装置ＣＡは、ｋ個の失効インクリメント（ｅ１，  ｗ１），  （ｅ２，  ｗ２），  …  ，  （ｅｋ，  ｗｋ）を発行した場合を想定する。ここで、利用者端末Ｂが自身の信用証明書を更新するために信用証書機関側装置ＣＡと通信する場合、利用者端末Ｂは以下の処理を実行する。
１）  信用証書機関側装置ＣＡからｅ１，  ｅ２，…，ｅ（ｋ−１）と（ｅｋ，  ｗｋ）を検索する。
２）  Ｅ＝（ｅ１  ＊  ｅ２  ＊  …  ＊  ｅｋ）を計算する。
３）ｕ，  ｖ  ｓ．ｔ．  ｕ＊ｅｂ  ＋  ｖ＊Ｅ  ＝  １を見出す。
信用証書機関側装置ＣＡが異なる利用者について異なる素数ｅを選択する条件の下では、ｅｂ  と  Ｅの最大公約数は１である。従って、拡張ユークリッドアルゴリズムに従ってｕ＊ｅｂ  ＋  ｖ＊Ｅ  ＝  １を満たす一意のｕ  とｖが存在する。利用者端末Ｂは、そのｃｂ  をｃｂ１  ＝  ｗｋｕ  ＊  ｃｂｖ  （ｍｏｄ  ｎ）に更新する。ｗｋ  ＝  （ｗ（ｋ−１））１／ｅ（ｋ−１）  ＝  （（ｗ（ｋ−２））１／ｅ（ｋ−２））１／ｅ（ｋ−１）＝  …  ＝  ｗ１／Ｅ  （ｍｏｄ  ｎ）である場合、ｃｂ１ｅｂ  ＝  ｗｋｕ＊ｅｂ  ＊  ｃｂｖ＊ｅｂ  ＝  ｗｋｕ＊ｅｂ  ＊  ｗｖ  ＝  ｗｋｕ＊ｅｂ  ＊  （ｗｋＥ）ｖ  ＝ｗｋ（ｕ＊ｅｂ  ＋  ｖ＊Ｅ）  ＝  ｗｋ  （ｍｏｄ  ｎ）を証明することは容易である。これは、利用者端末Ｂが最も新しいアキュムレータに対応する信用証明書を取得したことを意味している。
【００４２】
計算量だけでなくネットワーク帯域利用の点から、この圧縮した失効インクリメント方法の利点は重要である。従来の技術によって信用証書機関側装置ＣＡから  （ｅ１，  ｗ１），  （ｅ２，  ｗ２），  …  ，  （ｅｋ，  ｗｋ）  を検索する代わりに、利用者端末Ｂは  ｅ１，  ｅ２，  …  ，  ｅｋ  ａｎｄ  ｗｋをただ検索することを必要とする。言うまでもなく、データの(k-1)/2kパーセントは送信から省かれる。例えば、ｋ＝１０の場合、ネットワーク利用率は４５％  カットされる。計算量に関しては、失効インクリメントがそれぞれ従来の技術に従って２つのモジュールの累乗を要するので、２ｋモジュールの累乗が不可避である。圧縮した失効インクリメント手法は２つのモジュールの累乗を必ず必要としている。明らかに、(2k-2)/2kパーセント、すなわち、最も計算量のかかるモジュールの累乗の．  (k-1)/kパーセントが省かれる。例えば、ｋ＝１０の場合、計算量が９０％カットされる。
【００４３】
信用証書機関側装置ＣＡの処理に従って、信用証書機関側装置ＣＡは、上述した（ｅ，  ｗ）の形式として失効インクリメントを発行する。ここで、ｅは無効にされたトークンであり、ｗはｅが無効にされた後の更新済みアキュムレータである。あるいは、信用証書機関側装置ＣＡは、（ｅ１，ｅ２，…，ｅｋ，ｗ）の圧縮形式として失効インクリメントを発行する。ここで、ｅｉ，  ｉ＝１，２，  …，  ｋ，は、取り消されているｋ人の利用者が所有するトークンであり、ｗはこれらの利用者が取り消された後の更新済みアキュムレータである。
【００４４】
信用証書機関側装置ＣＡの処理に従って、信用証書機関側装置ＣＡは失効パッキングを発行する。ここで、最新の失効パッキングは、以前の失効パッキングの後に発生した失効インクリメントの圧縮形式である。特に、最新の失効パッキングは、更新済みアキュムレータと、以前の失効パッキングの後に発生した無効トークンの積を含む。以前の失効パッキングＰｉ  が発行された後、トークンがｅｉ，  ｉ＝１，２，  …，  ｋであるｋ利用者が取り消された場合を想定する。最新の失効パッキングＰ（ｉ＋１）  は  （Ｅ（ｉ＋１），  ｗ（ｉ＋１））である。ここで、Ｅ（ｉ＋１）＝ｅ１  ＊  ｅ２  ＊  …  ＊  ｅｋ  と  ｗ（ｉ＋１）は、これらの利用者が取り消された後の更新済みアキュムレータである。上述した圧縮した失効インクリメント手法と比較して、利用者は、ｅ１，  ｅ２，  …  ，  ｅｋの代わりに、Ｅ（ｉ＋１）を検索し、e1
* e2 * … * ekを計算するためのステップが省略される。
【００４５】
信用証書機関側装置ＣＡの処理は、例えば、毎週失効パッキングを発行し、あるいは、１０の利用者が取り消される毎に失効パッキングを発行することである。
【００４６】
図４は、２つの失効インクリメントが２つの失効パッキングの間で発生する例を示している。
【００４７】
最新の失効パッキングが、以前の失効パッキングの後に発生した失効インクリメントをすべて吸収するので、図４において、Ｅ（ｉ＋１）  ＝  ｅｊ  ＊  ｅ（ｊ＋１）  と  ｗ（ｉ＋１）  ＝  ｗ（ｊ＋１）であることが推測できる。長所はネットワーク利用の重要性にある。重大なサービスに関係しない検証者端末が、失効パッキングにただ更新する処理を選択すると想定する。検証者端末が、失効パッキング  Ｐｉ，に更新されていれば、時間Ｔで検証者が信用証書機関ＣＡに再び更新するつもりである場合、検証者端末は、信用証書機関側装置ＣＡから（Ｅ（ｉ＋１），  ｗ（ｉ＋１））を検索する必要があることを示す失効波キングＰ（ｉ＋１）に更新する。比較として、圧縮した失効インクリメント手法を利用する場合、利用者は、ｅｊ，ｅ（ｊ＋１）及びｗ（ｊ＋１）を検索する必要がある。計算量の節約は簡単ではない。Ｅ（ｉ＋１）  ＝  ｅｊ  ＊  ｅ（ｊ＋１）であるので、Ｅ（ｉ＋１）  と、ｅｊ  及びｅ（ｊ＋１）のために転送されるバイトは同じである。しかしながら、信用証書機関側装置ＣＡが安全な方法で失効情報を発行するに違いないので、そこでいくらかが送信から省かれている。例えば、信用証書機関側装置ＣＡが失効情報にデジタル的に署名する場合、ｅｊ  とｅ（ｊ＋１）には、それぞれデジタル署名が添附される。ここで、失効パッキングを導入する場合、ｅｊ  とｅ（ｊ＋１）の代わりにＥ（ｉ＋１）を送信することが、１つのデジタル署名を省くことになるのは明らかである。減らされたデジタル署名の点での節約は、この例において約３３パーセントである。一般に、２つの失効パッキング間にｋの失効インクリメントが発生すると、圧縮した失効インクリメント手法に匹敵する節約は、(k-1)/(k+1)  パーセントとなる。例えば、ｋ＝１０の場合、送信されるデジタル署名は約８２％カットされる。
【００４８】
図５は、信用証書機関側装置ＣＡの信用証明書およびアキュムレータを更新するために利用者により実行される処理手順フローを図示している。図５に示されるように、ステップ５０１で、利用者端末が、アップデートが必要であるかどうかを判定する。アップデートが必要である場合、利用者端末が、ステップ５０２で、アップデートのための方法を決定する。ステップ５０２で、方法が取り消しパッキングへの単なる更新であることが決定されると、利用者端末は、ステップ５０３で、最後の更新後に信用証書機関側装置ＣＡによって発行された取り消しパッキングを検索する。そして、ステップ５０５で、検索された取り消しパッキングによって保存されている信用証明書とアキュムレータを更新する。そうでなければ、利用者端末は、ステップ５０４で、最後の更新後に信用証書機関側装置ＣＡによって発行された取り消しパッキング及び圧縮された取り消しインクリメントを検索する。そして、ステップ５０５で、検索された取り消しパッキング及び圧縮された取り消しインクリメントによって保存されている信用証明書とアキュムレータを更新する。
【００４９】
図６は、本発明の実施の形態による、信用証書機関側装置ＣＡ、利用者端末及び検証者端末間の動作と協同関係をシステム全体の観点から示す図である。
【００５０】
図６に示されるように、信用証書機関側装置ＣＡは、利用者端末（６０１）に対して信用証明書及びトークンを発行する。検証者端末は最も最新のアキュムレータ（６０３）のためだけに信用証書機関側装置ＣＡと通信する必要があるが、利用者端末が必要とするものは取り消しインクリメント或いは取り消しパッキング（６０２）である。利用者端末が新たに取り消された場合に限り、信用証書機関側装置ＣＡによって発行された取り消しインクリメントが存在し、利用者端末に受信されることが重要である。同様に、利用者が新たに取り消された場合に限り、信用証書機関側装置ＣＡによって発行された最も最新のアキュムレータが存在し、検証者端末に受信される。利用者が取り消されている場合に限り、更新のために信用証書機関側装置ＣＡと通信することが必要となるため、より大きな更新間隔が可能であるという効果が得られる。例えば、毎日１０人の利用者が認定され一人の利用者が取り消される成長するシステムにおいて、その利点は明白である。さらに、単に取消し履歴に基づいて更新間隔を予定することが可能である。例えば、以前のトークンが無効にされた時、検証者は、時系列の履歴に基づいて次の更新時を予測することが可能である。新規の利用者が認定される場合に、更新のために信用証書機関側装置ＣＡと通信しなければならない先行技術では、簡易化された方式からの利益を得ることはできない。
【００５１】
利用者は、更新されたデータで、検証者（６０４）に立証することが可能である。
【００５２】
図６に示されるように、信用証書機関側装置ＣＡから最も新しいアキュムレータを受信するのみならず、検証者端末は利用者端末（６０５）から更新されたアキュムレータを受信することも可能である。例えば、利用者が以前に検証者端末を勤め、信用証書機関側装置ＣＡから最も新しいアキュムレータを取得した時、このようなことが起こる可能性がある。利用者が最新のアキュムレータを持っていない検証者端末に対して立証しようとする場合に、利用者は検証者端末に対してそのような情報（最新のアキュムレータ）を送信することも可能である。更新されたアキュムレータが信用証書機関側装置ＣＡによって安全に発行されるので（例えば、信用証書機関側装置ＣＡによってデジタル的に署名されて）、検証者端末にとって、信用証書機関側装置ＣＡではなく検査すべき利用者から更新されたアキュムレータを受理することは安全である。
【００５３】
他の実施の形態においては、図７に示されるように、検証者端末がある量の失効データを貯える場合であって、必要な失効情報が検証者端末から受け取られる場合、利用者は自身の信用証書を更新することができる。
【００５４】
このような状況は、例えば、利用者端末が２００５年６月１日に信用証書機関側装置ＣＡによって発行されたアキュムレータに更新し、検証者端末が２００５年６月１０日に信用証書機関側装置ＣＡによって発行されたアキュムレータに更新した場合に発生する。６月１日から６月１０日の間に、２つの利用者、すなわち、利用者Ｐと利用者Ｑが、信用証書機関側装置ＣＡによって取り消されている。従って、２つのトークンがｅｐとｅｑとして６月１日の後に無効にされる。検証者端末が失効インクリメント（ｅｐ，ｗｐ）と（ｅｑ，ｗｑ）を貯えると想定する（７０３）と、検証者端末が１５日目のアキュムレータを受理するならば、利用者によって保持されたアキュムレータが１０日目であるので、利用者は１０日前に発行されたアキュムレータに基づいて検証者端末に直接立証することができる。他方、検証者端末が長くとも７日目のアキュムレータを受理するならば、検証者端末は、圧縮した失効インクリメント方法によって、利用者のもとへｅｐ，ｅｑ，ｗｑを送信する（７０５）。失効インクリメントが信用証書機関側装置ＣＡによって安全に発行されるので（例えば、信用証書機関側装置ＣＡによってデジタル的に署名されて）、利用者はそれらを受け取り、それによって自身の信用証明書を計算し、最も新しいアキュムレータに更新することが可能である。その後、利用者は再び検証者端末と通信し、最も新しいアキュムレータに基づいて再立証することができる。この時、本物の利用者は認証にパスするのは明らかである。利用者が検証者端末から失効パッキングを受信する場合も、同じような例を考えることができる。
【００５５】
多くの悪意のある利用者がいないシステムにおいて、ある時間的なしきい値内の失効情報だけが検証者端末に格納されるので、検証者端末の記憶に要するコストは比較的小さく手頃である。活動的な検証者端末が最も新しいアキュムレータを信用証書機関側装置ＣＡと同期させ、適切な量の失効情報を記憶する場合（７０３）、利用者端末や検証者端末が信用証書機関側装置ＣＡと通信しなくとも、そのような情報は利用者端末および他の検証者端末に直ちに伝えられる。このことは、特にＰ２Ｐ環境において、信用証書機関側装置ＣＡの負荷の減少の点で極めて効果的である。
【００５６】
図８は、信用証書機関側装置ＣＡに対して更新するために検証者端末によって実行される典型的な処理手順を示すフローチャートである。
【００５７】
図８に示されるように、ステップ８０１において、検証者端末は、更新が必要であるかどうかを判定する。更新が必要である場合、検証者端末は、ステップ８０２において、アキュムレータのみを更新すべきかどうかを判定する。アキュムレータのみの更新であれば、検証者端末は、ステップ８０３において、信用証書機関側装置ＣＡによって発行された更新済みアキュムレータを検索する。そうでなければ、検証者端末は、ステップ８０４において、最後の更新後に信用証書機関側装置ＣＡによって発行された失効パッキングおよび圧縮した失効インクリメントを検索する。
【００５８】
図９は、利用者が保持しているアキュムレータが失効しているために検証者端末へ立証できない場合に利用者端末によって実行される処理手順を示すフローチャートである。利用者端末によって保持されたアキュムレータが失効している場合、すなわち、検証者端末によって保持されたものより古い場合、利用者は検証者に対して立証することができない（ステップ９０１）。図９に示すように、ステップ９０２において、利用者端末は、利用者のアキュムレータが期限切れかどうかを検査する。期限切れであれば、利用者端末は、ステップ９０３において、検証者端末から適切な失効更新情報を取得し、ステップ９０４において、自身が保持する信用証明書とアキュムレータを更新する。その後、利用者端末は、更新済みのデータによって検証者端末へ立証することが可能となる（ステップ９０５）。ステップ９０２において、利用者によって保持されたアキュムレータが期限切れではないと判定すると、後処理へ処理が進む（ステップ９０５）。そこで、例えば、利用者は、信用証書機関側装置ＣＡからの新しいトークンおよび信用証明書を取得するか、あるいは検証者側によって保持されたデータが失効しているなら、検証者側が自身のデータを更新するのを待つ。
【００５９】
図１０は、利用者端末が保持するアキュムレータが失効しているために、利用者側が検証者側に対して立証できない場合（ステップ１００１）に、検証者端末によって実行される典型的な処理手順を示すフローチャートである。図９に示した処理手順と同様に、利用者側によって保持されたアキュムレータが期限切れであることが判定されると（ステップ１００２）、検証者端末は、ステップ１００３において、自身の記録した失効更新情報を検査する。記録した失効更新情報が利用者側が更新するのに適している場合、検証者端末は、ステップ１００４において、利用者端末のもとへその失効更新情報を送信する。自身のデータを更新した後、利用者端末は、検証者端末に対して再立証することが可能となる（ステップ１００５）。ステップ１００２において、利用者端末によって保持されたアキュムレータが期限切れではないことが判定されると、後処理へ処理が進む（ステップ１００５）。例えば、検証者側が利用者側を否認するか、あるいは自身が保持するデータを更新する。
【００６０】
また、検証者端末によって保持されたアキュムレータが失効しているために、すなわち、利用者側が保持するアキュムレータより古いために、利用者側が検証者端末へ立証できない可能性もある。同様に、検証者端末によって保持されたアキュムレータが失効していると判定される場合、検証者端末は、利用者端末によって保持されたアキュムレータによって自身が保持するアキュムレータを更新し、検査を再実行することができる。この場合、上述したように、検証者端末は、利用者端末あるいは信用証書機関側装置ＣＡから更新済みのデータを受信する。
【００６１】
本発明の他の実施の形態においては、利用者は、最も最近に更新されたものに加えてある一定数の古いデータ（例えば、過去のアキュムレータ及びそれらの対応する信用証明書）を保持することも可能である。検証者端末によって保持されたアキュムレータが検証の間に失効していることが判明した場合、利用者端末は、検証者端末によって保持されたアキュムレータに対応する古いデータを用いて再度証明を行なうことができる。同様に、検証者端末は、一定数の過去のアキュムレータを保持することも可能である。利用者によって保持されたデータが証明の間に失効していることが判明した場合、検証者端末は、利用者端末によって保持されたデータに対応する古いアキュムレータを用いて再度検査を行なうことが可能である。検証者端末が危険を冒すか、あるいは前記古いデータが発行された後の信用証書機関側装置ＣＡの行為がその利用者に対する信用に影響がないと確信している場合に、上述した状況が起こる可能がある。
【００６２】
上述したように、利用者が検証者端末に証明することができない場合、利用者は検証者端末から最新の情報を取得することができるし、あるいは、検証者が利用者端末から最新の情報を取得することができる。しかしながら、認証が失敗される場合、検証者端末と利用者のどちらも、信用証書機関側装置ＣＡと共に更新することが可能である。更新処理は、個々の状況に応じて変えることができる。
【００６３】
本発明によれば、蓄積された値は発行することなく秘密にすることが可能である。新規の利用者が信用証書機関側装置ＣＡによって認可される場合、利用者と検証者端末はアキュムレータを更新する必要はない。このことは、ネットワーク帯域の消費の点からもより少ない計算量の点からも信用証書機関側装置ＣＡ、利用者および検証者端末にとって意味がある。
【００６４】
さらに、失効更新情報を圧縮したフォーマットで検索することが可能である。これは、ネットワーク帯域の消費の点からもより少ない計算量の点からも有利である。また、失効更新情報を圧縮したフォーマットで発行することが可能である。これは、ネットワーク帯域の消費の点からもより少ない計算量の点からも有利である。
【００６５】
さらに、検証者端末は、信用証書機関側装置ＣＡからの代わりに利用者端末から最も最近のアキュムレータを受信することが可能である。また、利用者端末は、信用証書機関側装置ＣＡからの代わりに検証者端末から失効更新情報を受信することが可能である。これにより、より最近のアキュムレータに同期させることができる。その結果、信用証書機関側装置ＣＡの負荷は非常に減少すると共に、新しい利用者認証データを迅速に広めることができる。
【００６６】
図１１は、本発明の１実施の形態による信用証書機関側装置１１０の構成例を示すブロック図である。
【００６７】
信用証書機関側装置１１０は、主に、アキュムレータを生成し更新するためのアキュムレータ計算ユニット１１１、利用者端末がサービスにアクセスすることを許可するための認定ユニット１１２、アキュムレータ計算ユニット１１１および認定ユニット１１２と接続され、データを発行し、ネットワーク上の利用者端末と通信する通信ユニット１１４とを備えて構成される。
【００６８】
認定ユニット１１２は、互いに接続されているトークン選択モジュール１１７と、証明書生成モジュール１１８を有している。新規の利用者端末がサービスにアクセスすることを許可する場合、トークン選択モジュール１１７が、その利用者端末のためのトークンを選択し、また、証明書生成モジュール１１８が、アキュムレータとトークン選択モジュール１１７によって選択されたトークンを用いることにより、利用者端末のための信用証明書を計算する。その後、通信ユニット１１４が、選択されたトークンと計算された信用証明書を利用者端末に送信する。
【００６９】
アキュムレータ計算ユニット１１１は、信用証書機関側装置ＣＡが初期化する場合に最初のアキュムレータを生成するための初期アキュムレータ生成モジュール１１５と、１つ以上のトークンが取り消される場合にアキュムレータを更新するためのアキュムレータ更新モジュール１１６を有する。
【００７０】
信用証書機関側装置１１０は、アキュムレータ計算ユニット１１１に接続された失効インクリメントユニット１１３をさらに有する。１つ以上のトークンが無効にされる場合、失効インクリメントユニット１１３は本発明による方法に従って失効インクリメント・データを生成し、通信ユニット１１４を介して発行する。例えば、失効インクリメントユニット１１３は、上述したように、１組の失効インクリメント、圧縮した失効インクリメントあるいは失効パッキングに、失効インクリメント・データを組み立てる。
【００７１】
利用者端末がサービスにアクセスすることを許可される前にある種類の検査にパスしなければならない場合、信用証書機関側装置１１０はそのような検査を実行するためにさらに検査ユニットを有することもできる。
【００７２】
また、装置１１０は、信用証書機関側装置によって用いられるデータ、例えば、利用者端末に発行されたトークン、システムパラメータ、各ユニットによって使用されるデータ等を記憶のための記憶ユニット１１９を備えている。
【００７３】
装置１１０は、さらに、信用証書機関側装置ＣＡの処理、および各ユニットや構成要素の全体的な動作を制御するための制御ユニット１０１を備えている。例えば、制御ユニット１０１は、更新する時間、および失効インクリメント・データの形式を決定する。装置１１０は、さらに特定用途に応じて他のユニットを備えることが可能である。例えば、利用者端末からの認定要求を受信し分析するためのユニットや、ＲＳＡパラメータや他のシステムパラメータ等を選択し計算するためのユニットなどである。そのようなユニットあるいは構成要素については、当業者によって容易に追加できるものであるので、その詳細な説明は省略する。
【００７４】
装置１１０は、ネットワークに接続された個別の装置、あるいはサーバの一部であってもよい。それは専用のハードウェアとして実現してもよいし、あるいは通常のハードウェア機能に基づいたプログラムされた機能モジュール(programmed function modules)として実現することが可能である。
【００７５】
図１２は、本発明の１実施の形態による利用者端末１２０の構成例を示すブロック図である。
【００７６】
利用者端末１２０は、主に、アキュムレータを記憶するためのアキュムレータ記憶ユニット１２１、信用証書機関側装置ＣＡによって発行されたトークンを記憶するためのトークン記憶ユニット１２３、信用証書機関側装置ＣＡによって発行された信用証明書を記憶するための信用証明書記憶ユニット１２２、信用証明書記憶ユニット１２３に接続された派生信用証明書生成ユニット１２５、アキュムレータ記憶ユニット１２１とトークン記憶ユニット１２３および派生信用証明書生成ユニット１２５に接続された証明ユニット１２６、上記のユニットに接続された、信用証書機関側装置ＣＡおよび検証者端末と通信するための通信ユニット１２７とを備えて構成されている。本発明の１実施の形態によれば、アキュムレータ記憶ユニット１２１および信用証明書記憶ユニット１２２は、最も新しいアキュムレータおよび信用証明書だけをそれぞれ記憶する。しかしながら、本発明の他の実施の形態においては、アキュムレータ記憶ユニット１２１および信用証明書記憶ユニット１２２は、最も新しいものに加えて一定数の過去のアキュムレータおよび信用証明書をそれぞれ記憶する。
【００７７】
利用者が信用証書機関側装置ＣＡによってサービスにアクセスすることを許可された後、派生信用証明書生成ユニット１２５が、信用証明書記憶ユニット１２２に記憶された信用証明書から派生信用証明書を生成する。証明ユニット１２６は、この派生信用証明書によって、上述したように、検証者端末に知識証明（knowledge proof）を行なうものである。
【００７８】
利用者端末１２０は、さらに、アキュムレータ記憶ユニット１２１および信用証明書記憶ユニット１２２に接続された更新ユニット１２４を備えている。通信ユニット１２７を介して信用証書機関側装置ＣＡあるいは検証者端末から失効インクリメント・データを受信した後、更新ユニット１２４は、失効インクリメント・データに基づいて更新済み信用証明書を計算し、アキュムレータ記憶ユニット１２１に記憶されたアキュムレータ、信用証明書記憶ユニット１２２に記憶された信用証明書を更新する。その後、派生信用証明書生成ユニット１２５は、更新済み信用証明書からの派生信用証明書を計算する。新しい派生信用証明書は、検証者端末に対する知識証明において用いられる。
【００７９】
また、利用者端末１２０は、さらに、各ユニットの動作を制御するための制御ユニット１２８を備えている。例えば、制御ユニット１２８は、データを更新する時間かどうかを判定し、信用証書機関側装置ＣＡあるいは検証者端末から更新情報を受信するかどうかを判定する。上述の記憶ユニットに加えて、利用者端末１２０は、他のデータおよび端末の動作に必要とされる情報を記憶するために別の記憶ユニットを備えることも可能である。これらの記憶ユニットは、互いから独立して設けられてもよいし、異なる記憶エリアとして主要なメモリ内に組み込まれていてもよい。
【００８０】
図１３は、本発明の１実施の形態による検証者端末１３０の構成例を示すブロック図である。
【００８１】
図１３に示すように、検証者端末１３０は、主に、更新ユニット１３１、検証ユニット１３２、サービス提供ユニット１３３、通信ユニット１３４、記憶ユニット１３５及び制御ユニット１３６を備えて構成されている。検証ユニット１３２は、通信ユニット１３４に接続され、知識証明によって利用者を検査するための機能を有する。利用者が信用証書機関ＣＡによって認定されることを検証ユニット１３２が判別すると、すなわち、利用者のトークンがアキュムレータに蓄積されることが証明され、それはサービス提供ユニット１３３に通知される。その後、サービス提供ユニット１３３は、利用者端末に対してサービスの提供を開始する。例えば、利用者端末が検証者端末１３０の特定の内容にアクセスすることを許可し、あるいは利用者端末とインスタントの対話を開始する。更新ユニット１３１は、検証ユニット１３２に接続されている。制御ユニット１３６の制御の下で、更新ユニット１３１は、更新済みアキュムレータあるいは失効インクリメント・データを、信用証書機関側装置ＣＡあるいは利用者端末から検索する。更新済みアキュムレータは利用者を検査するために検証ユニット１３２によって用いられる。記憶ユニット１３５は、検証者端末１３０の動作のために必要なデータを記憶するために用いられる。本発明の１実施の形態によれば、記憶ユニット１３５は、信用証書機関側装置ＣＡによって発行された失効データ（例えば、失効パッキングあるいは圧縮した失効インクリメント）を記憶する。さらに、本発明の他の実施の形態によれば、記憶ユニット１３５は最も新しいデータに加えて、一定量の履歴データ（例えば、一連の過去のアキュムレータ）を記憶する。制御ユニット１３６は、各ユニットの動作を制御する。例えば、制御ユニット１３６は、更新のための時間と方法を決定する。本発明の１実施の形態によれば、制御ユニット１３６は、利用者端末または信用証書機関側装置ＣＡから更新済みアキュムレータを受信するかどうか、あるいは、記憶した失効データを利用者端末に提供するかどうかを判別する。
【００８２】
以上、信用証書機関側装置、利用者端末及び検証者端末について説明した。しかしながら、それらの構成は上述した実施の形態に限定されるものではない。これらの装置については、多くの代替の構成あるいは変形が可能である。例えば、説明した２以上のユニットは、単一のハードウェアで組み合わせることが可能である。例えば、図１２に示されるアキュムレータ記憶ユニット１２１、信用証明書記憶ユニット１２２及びトークン記憶ユニット１２３は、単一のメモリで構成できる。また、１つのユニットは、種々のユニットに分割することも可能である。例えば、図１３に示される記憶ユニット１３５は、更新ユニット１３１、検証ユニット１３２、サービス提供ユニット１３３、制御ユニット１３６等に組み込まれた幾つかの記憶装置にそれぞれ分割することができる。また、利用者端末１２０および検証者端末１３０については、１つの端末に組み合わせることも可能である。利用者が、ネットワーク上で検証者としての役割を実行することがあるからである。
【００８３】
信用証書機関側装置、利用者端末および検証者端末は特定のハードウェアに基づいて実現するか、あるいは一般のハードウェアに基づいて実現することが可能である。例えば、端末が汎用計算機として実現される場合、端末は、キーボード、ディスプレイ、データバス等の、汎用計算機に設けられる一般的なユニットをさらに備える。そのような実施例においては、上述した制御ユニットはコンピュータの中央処理装置（ＣＰＵ）で実現することが可能ある。また、各ユニットは、実行された時、ＣＰＵに予め定義した処理手順を行なわせるソフトウェアモジュールで実現することが可能である。
【００８４】
本発明は、ハードウェア、ソフトウェア、ファームウェア或いはそれらの組合せによって実現することができ、システム、サブシステム、構成要素あるいはサブ構成要素において利用することができる。ソフトウェアで実現される場合、本発明の要素は本質的にプログラム、あるいは必要なタスクを実行するのに使用される命令セグメントである。プログラム又は命令セグメントは、コンピュータ読み取り可能な媒体に格納されるか、あるいは伝送ケーブル又は通信リンク上の搬送波であるたデータ信号によって送信される。「コンピュータ読み取り可能な媒体」は、情報を格納するか転送することができる任意の媒体を含む。コンピュータ読み取り可能な媒体の例としては、電子回路、半導体記憶装置、ＲＯＭ、フラッシュ・メモリ、消去可能なＲＯＭ（ＥＲＯＭ）、フロッピー（登録商標）ディスケット、ＣＤ−ＲＯＭ、光ディスク、ハードディスク、光ファイバー媒体、無線（ＲＦ）リンクなどが含まれる。命令セグメントは、インターネット、イントラネット等のようなコンピュータネットワークを介してダウンロードすることが可能である。
【００８５】
本発明は、その思想あるいは本質的特徴から外れない範囲で、他の特定の態様において具体化されることも可能である。例えば、システムアーキテクチャーが本発明の基本的な特徴を外れない限り、実施の形態において説明したアルゴリズムは変更することができる。また、本実施例は、全ての点において具体的な例として考慮され、限定的に考慮されるものではない。また、本発明の範囲は、実施例の記載ではなく請求の範囲によって示される。さらにクレームと同等の意味及び範囲内に含まれる全ての変形例は本発明に包含される。
【図面の簡単な説明】
【００８６】
本発明の前述の目的及び他の目的、本発明の本質及び本発明の各特徴は、以下に述べる説明を添付図面と共に読むことにより十分に理解されるであろう。
【図１】本発明による通信システムの構成例を示すブロック図である。
【図２】本発明の１実施の形態によって利用者が信用証明機関によってどのように認定され、検証者によってどのように検証されるかを説明するための図である。
【図３】本発明の１実施の形態よって、認定利用者が取り消される場合の処理手順を示す図である。
【図４】２つの失効インクリメントが２つの失効パッキングの中で発生する場合を説明する図である。
【図５】本発明の１実施の形態よって、利用者端末が、信用証明機関側装置と共に、信用証明書及びアキュムレータを更新する処理手順を示すフローチャートである。
【図６】本発明の１実施の形態に従った、信用証明機関側装置と利用者端末と検証者端末との間における動作例を説明する図である。
【図７】本発明の１実施の形態に従った、信用証明機関側装置と利用者端末と検証者端末との間における他の動作例を説明する図である。
【図８】本発明の１実施の形態に従って、信用証書機関側装置ＣＡに対して更新するために検証者端末によって実行される典型的な処理手順を示すフローチャートである。
【図９】利用者が保持しているアキュムレータが失効しているために検証者端末へ立証できない場合に利用者端末によって実行される処理手順を示すフローチャートである。
【図１０】利用者端末が保持するアキュムレータが失効しているために、利用者側が検証者側に対して立証できない場合に、検証者端末によって実行される典型的な処理手順を示すフローチャートである。
【図１１】本発明の１実施の形態による信用証書機関側装置の構成例を示すブロック図である。
【図１２】本発明の１実施の形態による利用者端末の構成例を示すブロック図である。
【図１３】本発明の１実施の形態による検証者端末の構成例を示すブロック図である。
【符号の説明】
【００８７】
１１０：信用証書機関側装置
１０１：制御ユニット
１１１：アキュムレータ計算ユニット
１１２：認定ユニット
１１３：失効インクリメントユニット
１１４：通信ユニット
１１５：初期アキュムレータ生成モジュール
１１６：アキュムレータ更新モジュール
１１７：トークン選択モジュール
１１８：証明書生成モジュール
１１９：記憶ユニット
１２０：利用者端末
１２１：アキュムレータ記憶ユニット
１２２：信用証明書記憶ユニット
１２３：トークン記憶ユニット
１２４：更新ユニット
１２５：派生信用証明書生成ユニット
１２６：証明ユニット
１２７：通信ユニット
１２８：制御ユニット
１３０：検証者端末
１３１：更新ユニット
１３２：検証ユニット
１３３：サービス提供ユニット
１３４：通信ユニット
１３５：記憶ユニット
１３６：制御ユニット
【図１】
2007143163.tif 000003
【図２】
2007143163.tif 000004
【図３】
2007143163.tif 000005
【図４】
2007143163.tif 000006
【図５】
2007143163.tif 000007
【図６】
2007143163.tif 000008
【図７】
2007143163.tif 000009
【図８】
2007143163.tif 000010
【図９】
2007143163.tif 000011
【図１０】
2007143163.tif 000012
【図１１】
2007143163.tif 000013
【図１２】
2007143163.tif 000014
【図１３】
2007143163.tif 000015
【外国語明細書】
2007143163000001.pdf