(57)【要約】【課題】  匿名フレキシブル認証による分散型許可のための方法および装置が提供される。【解決手段】  偽名機関は、ルート偽名をユーザに発行する。ユーザは、ルート偽名から大量の派生偽名を生成することができる。ユーザは、派生偽名を使用することによって、リソースプロテクタからリソース認証情報を取得することができる。ユーザは、１組のリソース認証情報を選択し、この１組のリソース認証情報からフレキシブル認証情報を生成し、フレキシブル認証情報および派生偽名を使用して、１組のリソース認証情報に対応するリソースへのアクセスを、リソースプロテクタに要求することができる。リソースごとの取り消しリストは、システムにおいて維持することができ、したがって、任意のユーザのリソース認証情報のうちの任意の１つを、そのユーザの他のリソース認証情報に影響を及ぼすことなく、取り消すことができる。【選択図】  図１
2009033740.tif 000002
【特許請求の範囲】
【請求項１】
通信システムのための方法であって、
ルート偽名を発行するステップと、
１つ以上のリソース認証情報を取得するステップと、
前記ル―ト偽名から第１の派生偽名を生成するステップと、
前記１つ以上のリソース認証情報から１組のリソース認証情報を選択するステップと、
１組の前記リソース認証情報からフレキシブル認証情報を生成するステップと、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、アクセス要求を行うステップと、
前記第１の派生偽名および前記フレキシブル認証情報を検証した後、アクセス要求を承諾するステップと
を含むことを特徴とする方法。
【請求項２】
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記ルート偽名を発行するステップが、
ユーザ偽名鍵を割り当てて保存するステップと、
前記ユーザ偽名鍵に基づいて前記ルート偽名を生成するステップを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名を用いてリソース認証情報を要求するステップと、
【数１】
2009033740.tif 000071
（t はルート偽名、bij はリソースのリソース秘密鍵）を計算するステップと、
リソース毎のリソース認証情報としてvij
を格納するステップとを含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名から第２の派生偽名を生成するステップと、
前記第２の派生偽名を用いてリソース認証情報を取得するステップとを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記第２の派生偽名が、
【数２】
2009033740.tif 000072

（t はルート偽名、
【数３】
2009033740.tif 000073
は整数）として計算され、
前記第２の派生偽名を用いてリソース認証情報を取得するステップが、
認証情報
【数４】
2009033740.tif 000074
（bij はリソースのリソース秘密鍵）を計算し、
【数５】
2009033740.tif 000075
をリソース認証情報として格納するステップとを含むことを特徴とする請求項５に記載の方法。
【請求項７】
前記第１の派生偽名が、
【数６】
2009033740.tif 000076

（t はルート偽名、
【数７】
2009033740.tif 000077
は整数）によって計算され、
前記フレキシブル認証情報が、
【数８】
2009033740.tif 000078
或いは
【数９】
2009033740.tif 000079
（ｖφ１組の認証情報、
【数１０】
2009033740.tif 000080
）
として計算されることを特徴とする請求項１に記載の方法。
【請求項８】
ユーザに一意のパラメータからトレースパラメータを生成するステップを含み、
前記トレースパラメータが、前記ルート偽名又はトレースのために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項１に記載の方法。
【請求項９】
ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを発行するステップと、
前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成するステップを含むことを特徴とする請求項１に記載の方法。
【請求項１０】
前記リソース毎に初期の取り消しリストを生成するステップと、
前記リソース認証情報が取り消された場合に、前記リソース認証情報に対応するリソースの取り消しリストを更新するステップと、
更新された取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新するステップと、
認証情報取り消し検証パラメータを生成するステップとを含み、
前記第１の派生偽名を検証するステップが、リソース毎の前記取り消しリストに基づいて認証情報取り消し検証パラメータを検証するステップを含むことを特徴とする請求項１に記載の方法。
【請求項１１】
通信システムにおいて偽名を管理するための装置であって、
システムパラメータをセットアップするように構成されているシステムパラメータセットアップ手段と、
ユーザ識別検証を行うように構成されている識別検証手段と、
ユーザ偽名鍵をユーザに割り当てるように構成されているユーザ偽名鍵割当手段と、
ユーザ偽名鍵に基づいて、ユ―ザに発行されるべきルート偽名を生成するように構成されているルート偽名生成手段と
を備えることを特徴とする装置。
【請求項１２】
リソース秘密鍵とリソース公開鍵の少なくとも１つを生成するリソース鍵生成手段を備えることを特徴とする請求項１１に記載の装置。
【請求項１３】
ユーザに一意のパラメータを用いて派生偽名を利用するユーザの識別をトレースするトレース手段を備えることを特徴とする請求項１１に記載の装置。
【請求項１４】
前記ユーザに一意のパラメータが、ユーザ偽名鍵又はユーザ秘密鍵であることを特徴とする請求項１３に記載の装置。
【請求項１５】
ユーザの偽名取り消しパラメータを無効化することにより、ユーザのルート偽名及びルート偽名から生成された派生匿名を取り消す取り消し手段を備えることを特徴とする請求項１１に記載の装置。
【請求項１６】
リソース毎にユーザのリソース認証情報を取り消すために、リソース毎に取り消しリストを更新する更新手段を備えることを特徴とする請求項１１に記載の装置。
【請求項１７】
通信システムにおいて偽名を管理するための方法であって、
ユーザ端末からのユーザの要求が受信されると、ユーザ識別を検証するステップと、
ユーザ識別が検証をパスした場合、ユーザ偽名鍵をユーザに割り当てるステップと、
ユーザ偽名鍵に基づいてルート偽名を生成するステップと
を含むことを特徴とする方法。
【請求項１８】
リソース秘密鍵とリソース公開鍵の少なくとも一方を生成するステップをさらに含むことを特徴とする請求項１７に記載の方法。
【請求項１９】
ユーザに一意のパラメータを用いて派生偽名を利用するユーザの識別をトレースするステップを含むことを特徴とする請求項１７に記載の方法。
【請求項２０】
前記ユーザに一意のパラメータが、ユーザ偽名鍵又はユーザ秘密鍵であることを特徴とする請求項１９に記載の方法。
【請求項２１】
ユーザの偽名取り消しパラメータを無効化することにより、ユーザのルート偽名及びルート偽名から生成された派生匿名を取り消すステップを含むことを特徴とする請求項１７に記載の方法。
【請求項２２】
リソース毎にユーザのリソース認証情報を取り消すために、リソース毎に取り消しリストを更新するステップを含むことを特徴とする請求項１７に記載の方法。
【請求項２３】
通信システムにおいて、１つ以上のリソースの認証情報を管理するための装置であって、
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するリソース鍵生成手段と、
ユーザの派生偽名を検証する偽名検証手段と、
ユーザの前記派生偽名に基づいて、ユーザのユーザ端末に送信するリソースの認証情報を生成する認証情報生成手段とを備えることを特徴とする装置。
【請求項２４】
リソース毎に初期の取り消しリストを生成し又は受信する取り消しリスト手段を備えることを特徴とする請求項２３に記載の装置。
【請求項２５】
前記偽名検証手段は、ユーザの偽名取り消し検証パラメータを検証することを特徴とする請求項２３に記載の装置。
【請求項２６】
前記認証情報生成手段が、認証情報
【数１１】
2009033740.tif 000081
（Tはユーザの派生偽名、 bij はリソースのリソース秘密鍵）を計算することを特徴とする請求項請求項２３に記載の装置。
【請求項２７】
通信システムにおいて、１つ以上のリソースの認証情報を管理するための方法であって、
リソース毎にリソース秘密鍵およびリソース公開鍵を生成するステップと、
ユーザ端末からのユーザの要求を受信した場合に、ユーザの派生偽名を検証するステップと、
検証がパスした場合、前記派生偽名に基づいて、ユーザ端末に送信するリソースの認証情報を生成するステップと
を含むことを特徴とする方法。
【請求項２８】
リソース毎に初期の取り消しリストを生成し又は受信するステップを含むことを特徴とする請求項２７に記載の方法。
【請求項２９】
ユーザの偽名取り消し検証パラメータを検証するステップを含むことを特徴とする請求項２７に記載の方法。
【請求項３０】
前記認証情報が、
【数１２】
2009033740.tif 000082
（Tはユーザの派生偽名、 bij はリソースのリソース秘密鍵）として計算されることを特徴とする請求項請求項２７に記載の方法。
【請求項３１】
通信システムにおけるユーザ端末であって、
ルート偽名を取得するルート偽名取得手段と、
１つ以上のリソース認証情報を取得するリソース認証情報取得手段と、
前記ルート偽名から第１の派生偽名を生成する派生偽名生成手段と、
選択された１組のリソース認証情報からフレキシブル認証情報を生成するフレキシブル認証情報生成手段とを備え、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを得ることを特徴とするユーザ端末。
【請求項３２】
リソース毎の取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新する取り消しパラメータ更新手段を備え、
前記フレキシブル認証情報生成手段は、前記認証情報取り消しパラメータから認証情報取り消し検証パラメータを生成することを特徴とする請求項３１に記載のユーザ端末。
【請求項３３】
前記リソース認証情報取得手段は、前記ルート偽名を用いてリソース認証情報を取得することを特徴とする請求項３１に記載のユーザ端末。
【請求項３４】
前記派生偽名生成手段は、前記ルート偽名から第２の派生偽名を生成し、
前記リソース認証情報取得手段は、前記第２の派生偽名を用いてリソース認証情報を取得することを特徴とする請求項３１に記載のユーザ端末。
【請求項３５】
前記派生偽名生成手段は、
前記第２の派生偽名を、
【数１３】
2009033740.tif 000083

（t はルート偽名、
【数１４】
2009033740.tif 000084
は整数）として計算し、
前記リソース認証情報取得手段は、
認証情報vij
を取得し、
【数１５】
2009033740.tif 000085
をリソース認証情報として格納する
ことを特徴とする請求項３４に記載のユーザ端末。
【請求項３６】
前記派生偽名生成手段は、
前記第１の派生偽名として、T'＝tt'（t はルート偽名、t'
は整数）を計算し、
前記フレキシブル認証情報生成手段は、
前記フレキシブル認証情報を、
【数１６】
2009033740.tif 000086
或いは 
【数１７】
2009033740.tif 000087
,（ｖφ１組の認証情報、
【数１８】
2009033740.tif 000088
）
として計算することを特徴とする請求項３１に記載のユーザ端末。
【請求項３７】
前記派生偽名生成手段は、ユーザに一意のパラメータからトレースパラメータを生成し、
前記トレースパラメータが、前記ルート偽名又はトレースのために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項３１に記載のユーザ端末。
【請求項３８】
前記ルート偽名取得手段は、ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを取得し、
前記派生偽名生成手段は、前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成することを特徴とする請求項３１に記載のユーザ端末。
【請求項３９】
通信システムにおけるユーザ端末による方法であって、
ルート偽名を取得するステップと、
１つ以上のリソース認証情報を取得するステップと、
前記ルート偽名から第１の派生偽名を生成し、選択された１組のリソース認証情報からフレキシブル認証情報を生成するステップと、
前記第１の派生偽名および前記フレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを得るステップと
を含むことを特徴とする方法。
【請求項４０】
リソース毎の取り消しリストに従ってリソース毎に認証情報取り消しパラメータを更新するステップと、
前記認証情報取り消しパラメータから認証情報取り消し検証パラメータを生成するステップをさらに含むことを特徴とする請求項３９に記載の方法。
【請求項４１】
前記１つ以上のリソース認証情報を取得するステップが、
前記ルート偽名を用いてリソース認証情報を取得するステップを含むことを特徴とする請求項３９に記載の方法。
【請求項４２】
前記１つ以上のリソース認証情報を取得するステップが、前記ルート偽名から第２の派生偽名を生成し、前記第２の派生偽名を用いてリソース認証情報を取得することを特徴とする請求項３９に記載の方法。
【請求項４３】
前記第２の派生偽名が、
【数１９】
2009033740.tif 000089

（t はルート偽名、
【数２０】
2009033740.tif 000090
は整数）として計算され、
前記１つ以上のリソース認証情報を取得するステップが、
認証情報vij
を取得し、
【数２１】
2009033740.tif 000091
をリソース認証情報として格納するステップとを含むことを特徴とする請求項４２に記載の方法。
【請求項４４】
前記第１の派生偽名を生成するステップは、
前記第１の派生偽名として、
【数２２】
2009033740.tif 000092

（t はルート偽名、
【数２３】
2009033740.tif 000093
は整数）を計算し、
前記フレキシブル認証情報を、
【数２４】
2009033740.tif 000094

或いは 
【数２５】
2009033740.tif 000095
,（ｖφ１組の認証情報、
【数２６】
2009033740.tif 000096
）
として計算することを特徴とする請求項３９に記載の方法。
【請求項４５】
ユーザに一意のパラメータからトレースパラメータを生成するステップを含み、
前記トレースパラメータが、前記ルート偽名又はユーザの識別をトレースするために前記ルート偽名から生成された派生偽名に関して利用されることを特徴とする請求項３９に記載の方法。
【請求項４６】
ルート偽名及びルート偽名から生成された派生匿名を取り消すために利用する偽名取り消しパラメータを取得するステップと、
前記偽名取り消しパラメータから、派生偽名に関して用いる偽名取り消し検証パラメータを生成するステップを含むことを特徴とする請求項３９に記載の方法。
【請求項４７】
通信システムにおける１つ以上のリソースへのアクセスを管理するための装置であって、
ユーザの派生偽名を検証する偽名検証手段と、
ユーザのフレキシブル認証情報を検証するフレキシブル認証情報検証手段と、
前記偽名検証手段および前記フレキシブル認証情報検証手段の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与える許可手段と
を備えることを特徴とする装置。
【請求項４８】
リソース毎の取り消しリストを取得する取り消しリスト取得手段を備えることを特徴とする請求項４７に記載の装置。
【請求項４９】
前記偽名検証手段が、前記取り消しリストのパラメータに基づいてユーザの認証情報取り消し検証パラメータを検証することを特徴とする請求項４８に記載の装置。
【請求項５０】
前記偽名検証手段が、ユーザの偽名取り消し検証パラメータを検証することを特徴とする請求項４７に記載の装置。
【請求項５１】
通信システムにおける１つ以上のリソースへのアクセスを管理するための方法であって、
ユーザの派生偽名を検証するステップと、
ユーザのフレキシブル認証情報を検証するステップと、
前記派生偽名および前記フレキシブル認証情報の検証結果に基づいて、前記フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるステップと
を含むことを特徴とする方法。
【請求項５２】
リソース毎の取り消しリストを取得するステップを含むことを特徴とする請求項５１に記載の方法。
【請求項５３】
前記派生偽名を検証するステップが、前記取り消しリストのパラメータに基づいてユーザの認証情報取り消し検証パラメータを検証するステップを含むことを特徴とする請求項５２に記載の方法。
【請求項５４】
前記派生偽名を検証するステップが、ユーザの偽名取り消し検証パラメータを検証するステップを含むことを特徴とする請求項５２に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にコンピュータ通信ネットワークセキュリティに関し、より詳細には、プライバシを保護する機能を備える分散型許可のための通信方法、システム、および装置に関する。
【背景技術】
【０００２】
様々なアプリケーションが導入され始めたコンピュータ通信ネットワークの普及に伴い、許可ベースのアプリケーションにおける消費者のプライバシの保護は、もはや後回しにすることができない問題である。
【０００３】
認証とは、ユーザが本人であることを確認する事であり、許可とは、ユーザの識別に基づいて、ユーザが様々なサービスにアクセスすることができるようにする事である。従って、論理的に許可より先に認証が行われる。アクセス制御リスト（ＡＣＬ）など、現在の業界の慣行は、ユーザの認証情報をローカルデータベースから取り出し、そのユーザの認証情報が、リソースに関連する所与のアクセス制御ポリシーを満たしていることをチェックすることによって、許可を行う。ユーザの一意の識別をリソースプロテクタに開示することは、ユーザの認証情報を取り出すために必要であるため、こうした慣行は、ユーザのプライバシを犠牲にして、安全な許可を達成する。
【０００４】
図１６に示されているように、許可システムは、機関の種類として、偽名機関（ＰＡ）、ユーザ、リソースホルダー（ＲＨ）、およびリソースプロテクタ（ＲＰ）を有する。ＰＡは、例えば、ネットワークに結合されており、システムにおける偽名の使用を管理するサーバなどである。ＲＨは、例えば、コンテンツデータ、計算リソースなどを有するワークステーション、またはネットワークに結合されている、いくつかのサービスなどを提供するサーバである。ＲＰは、例えば、ネットワークに結合されており、リソースへのアクセスを制御するログインサーバなどである。ユーザは、例えば、パーソナルコンピュータ（ＰＣ）や端末がネットワークに結合されている状態で、偽名を使用することにより、リソースにアクセスすることができる。
【０００５】
ＰＡは、偽名をユーザに付与し、不審なユーザをトレースし、不正を働くユーザを取り消すことができる信頼できる第三者機関としての役割を果たす。
【０００６】
ＲＨは、いくつかのリソースを管理し、アクセス権、すなわち認証情報をユーザに付与する。
【０００７】
ＲＰは、リソースを保護し、ユーザの認証情報を検証する。ユーザは、異なるＲＨによって発行された認証情報をＲＰに対して証明することができ、これは、許可システムの一般的な慣行であることに留意されたい。例えば、あるユーザは、会社Ａ（第１のＲＨからの認証情報を備える）および会社Ｂ（第２のＲＨからの認証情報を備える）のゴールドカスタマーである場合、会社Ｃのリソースに対するゴールドメンバーのアクセス権が（第３のＲＨのＲＰによって）与えられる。
【０００８】
以下の特徴のいずれかを有する高プライバシ許可システムを実現することが望ましい。
【０００９】
（１）リンク不能な匿名性。ユーザとＲＨとの間の複数の対話の後、ＲＨがユーザの識別を確認することは難しい。さらに、ユーザとＲＰとの間の複数の対話の後、ＲＰがユーザの識別を確認することは難しい。
【００１０】
（２）拡張性。ユーザは、匿名で、認証情報をＲＰに対して証明し、第三者機関のオンラインの関与無しにＲＰに確信させる。特に、これによって、ＲＨは、ユーザとＲＰとの間の対話ごとに認証情報を再発行しない。
【００１１】
（３）きめの細かい匿名性。全認証情報をＲＰに対して常に証明する代わりに、ユーザは、認証情報の任意の部分を選択してＲＰに証明することができる。
【００１２】
（4）きめの細かい取り消し可能性。認証情報の取り消しは、ユーザごと、および権利ごとに行うことができる。ユーザの任意のアクセス権、すなわち、ユーザの任意の認証情報は、ユーザの他の認証情報に影響を与えること無く、取り消すことができる。
【００１３】
（５）一定した高価な計算。きめの細かい匿名性が達成されたとき、高価な暗号計算の量は、証明するために選択された認証情報の数に依存しない。例えば、スカラ乗法、モジュラ冪法、および組み合わせ評価は、一般に高価であると考えられる。さらに、きめの細かい取り消し可能性が達成されたとき、高価な暗号計算の量は、取り消しを検証する際に選択される認証情報の数に依存しない。
【００１４】
（６）拡大性。許可システムが新しいＲＨに対応するよう拡大する場合、または既存のＲＨが新しいリソースを管理するよう拡大する場合、ユーザがすでに保持している認証情報を変更する必要はない。特に、発行された任意の認証情報の再発行は、回避すべきである。
【００１５】
これは、最初に、Ｄ．  Ｃｈａｕｍ，  Ｊ．  Ｈ．  Ｅｖｅｒｔｓｔ，  Ａ  Ｓｅｃｕｒｅ  ａｎｄ  Ｐｒｉｖａｃｙ−ｐｒｏｔｅｃｔｉｎｇ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｔｒａｎｓｍｉｔｔｉｎｇ  Ｐｅｒｓｏｎａｌ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂｅｔｗｅｅｎ  Ｏｒｇａｎｉｚａｔｉｏｎｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’８６，  ＬＮＣＳ  ｖｏｌ．  ２６３，  ｐｐ．  １１８−１６７，  １９８６で紹介されており、認証情報をリソースホルダーに要求し、リソースプロテクタに対して認証情報を匿名で証明する複数のユーザに関するシナリオである。この論文およびその後のものでは、「組織」という用語は、リソースホルダーとリソースプロテクタの論理的な組み合わせを表すために使用されている。
【００１６】
Ｃｈａｕｍらによって提案された方式は、信頼できる第三者機関をすべての対話に関与させることに基づく。Ｃｈｅｎ（Ｌ．  Ｃｈｅｎ，  Ａｃｃｅｓｓ  ｗｉｔｈ  Ｐｓｅｕｄｏｎｙｍｓ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｒｙｐｔｏｇｒａｐｈｙ：  Ｐｏｌｉｃｙ  ａｎｄ  Ａｌｇｏｒｉｔｈｍｓ，  ＬＮＣＳ  ｖｏｌ．１０２９，  ｐｐ．  ２３２−２４３，  １９９５参照）およびＬｙｓｙａｎｓｋａｙａら（Ａ．  Ｌｙｓｙａｎｓｋａｙａ，  Ｒ．  Ｒｉｖｅｓｔ，  Ａ．  Ｓａｈａｉ，  Ｓ．  Ｗｏｌｆ，  Ｐｓｅｕｄｏｎｙｍ  Ｓｙｓｔｅｍｓ．    Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ｓｅｌｅｃｔｅｄ  Ａｒｅａｓ  ｉｎ  Ｃｒｙｐｔｏｇｒａｐｈｙ，  ＬＮＣＳ  ｖｏｌ．  １７５８，  ｐｐ．  １８４−１９９，  １９９９参照）によって提案された後の方式も、すべての対話に関与する信頼できる第三者機関に依存する。リンク不能とするために、リソースホルダーに、ユーザとリソースプロテクタとの間の対話ごとに認証情報を再発行させることは、不可避である。したがって、これらの匿名認証情報方式は、拡張可能ではない。
【００１７】
さらに、Ｃａｍｅｎｉｓｃｈらも、２つの匿名認証情報方式（Ｊ．  Ｃａｍｅｎｉｓｃｈ，  Ａ．  Ｌｙｓｙａｎｓｋａｙａ，  Ａｎ  Ｅｆｆｉｃｉｅｎｔ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｎｏｎ−Ｔｒａｎｓｆｅｒａｂｌｅ  Ａｎｏｎｙｍｏｕｓ  Ｃｒｅｄｅｎｔｉａｌｓ  ｗｉｔｈ  Ｏｐｔｉｏｎａｌ  Ａｎｏｎｙｍｉｔｙ  Ｒｅｖｏｃａｔｉｏｎ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＥｕｒｏＣｒｙｐｔｏ  ’０１，  ＬＮＣＳ  ｖｏｌ．  ２０４５，  ｐｐ．  ９３−１１８，  ２００１，  ａｎｄ  Ｊ．  Ｃａｍｅｎｉｓｃｈ，  Ａ．  Ｌｙｓｙａｎｓｋａｙａ．    Ｓｉｇｎａｔｕｒｅ  Ｓｃｈｅｍｅｓ  ａｎｄ  Ａｎｏｎｙｍｏｕｓ  Ｃｒｅｄｅｎｔｉａｌｓ  ｆｒｏｍ  Ｂｉｌｉｎｅａｒ  Ｍａｐｓ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ５６−７２，  ２００４参照）を提案しており、これらは、リンク不能な匿名性および拡張性を達成する。
【００１８】
しかし、上述した従来の方式では、リソースホルダーが管理することができるリソースは、リソースホルダーの公開鍵内のいくつかのパラメータによって決定される。パラメータへのどんな変更も、すでに発行されている認証情報のリフレッシュを必ずもたらす。したがって、拡大性は達成されない。
【００１９】
また、従来の方式では、ユーザの認証情報は、ＲＨによって共に結合されており、ユーザは、全認証情報をＲＰに対して証明しなければならない、または高価な暗号計算の量は、証明された認証情報の数に対して比例する。したがって、きめの細かい匿名性、および一定した高価な計算は、達成されない。
【００２０】
さらに、従来の方式では、図１７に示されているように、ユーザの１つのアクセス権を取り消す唯一の方法は、ユーザの全アクセス権を取り消すこと、すなわち、ユーザのすべての認証情報を無効にし、次いで新しい認証情報をユーザに発行することである。したがって、きめの細かい取り消し可能性は達成されない。
【非特許文献１】Ｄ．  Ｃｈａｕｍ，  Ｊ．  Ｈ．  Ｅｖｅｒｔｓｔ，  Ａ  Ｓｅｃｕｒｅ  ａｎｄ  Ｐｒｉｖａｃｙ−ｐｒｏｔｅｃｔｉｎｇ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｔｒａｎｓｍｉｔｔｉｎｇ  Ｐｅｒｓｏｎａｌ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂｅｔｗｅｅｎ  Ｏｒｇａｎｉｚａｔｉｏｎｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’８６，  ＬＮＣＳ  ｖｏｌ．  ２６３，  ｐｐ．  １１８−１６７，  １９８６
【非特許文献２】Ｌ．  Ｃｈｅｎ，  Ａｃｃｅｓｓ  ｗｉｔｈ  Ｐｓｅｕｄｏｎｙｍｓ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｒｙｐｔｏｇｒａｐｈｙ：  Ｐｏｌｉｃｙ  ａｎｄ  Ａｌｇｏｒｉｔｈｍｓ，  ＬＮＣＳ  ｖｏｌ．１０２９，  ｐｐ．  ２３２−２４３，  １９９５
【非特許文献３】Ａ．  Ｌｙｓｙａｎｓｋａｙａ，  Ｒ．  Ｒｉｖｅｓｔ，  Ａ．  Ｓａｈａｉ，  Ｓ．  Ｗｏｌｆ，  Ｐｓｅｕｄｏｎｙｍ  Ｓｙｓｔｅｍｓ．    Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ｓｅｌｅｃｔｅｄ  Ａｒｅａｓ  ｉｎ  Ｃｒｙｐｔｏｇｒａｐｈｙ，  ＬＮＣＳ  ｖｏｌ．  １７５８，  ｐｐ．  １８４−１９９，  １９９９
【非特許文献４】Ｊ．  Ｃａｍｅｎｉｓｃｈ，  Ａ．  Ｌｙｓｙａｎｓｋａｙａ，  Ａｎ  Ｅｆｆｉｃｉｅｎｔ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｎｏｎ−Ｔｒａｎｓｆｅｒａｂｌｅ  Ａｎｏｎｙｍｏｕｓ  Ｃｒｅｄｅｎｔｉａｌｓ  ｗｉｔｈ  Ｏｐｔｉｏｎａｌ  Ａｎｏｎｙｍｉｔｙ  Ｒｅｖｏｃａｔｉｏｎ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＥｕｒｏＣｒｙｐｔｏ  ’０１，  ＬＮＣＳ  ｖｏｌ．  ２０４５，  ｐｐ．  ９３−１１８，  ２００１
【非特許文献５】Ｊ．  Ｃａｍｅｎｉｓｃｈ，  Ａ．  Ｌｙｓｙａｎｓｋａｙａ．    Ｓｉｇｎａｔｕｒｅ  Ｓｃｈｅｍｅｓ  ａｎｄ  Ａｎｏｎｙｍｏｕｓ  Ｃｒｅｄｅｎｔｉａｌｓ  ｆｒｏｍ  Ｂｉｌｉｎｅａｒ  Ｍａｐｓ，  Ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ５６−７２，  ２００４
【非特許文献６】Ｄ．  Ｂｏｎｅｈ，  Ｍ．  Ｆｒａｎｋｌｉｎ，  Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  ｆｒｏｍ  ｔｈｅ  Ｗｅｉｌ  Ｐａｉｒｉｎｇ，  Ｐｒｏｃ．  Ｃｒｙｐｔｏ  ’０１，  ＬＮＣＳ，  ｖｏｌ．  ２１３９，  ｐｐ．  ２１３−２２９，  ２００１
【非特許文献７】Ｓ．  Ｇａｌｂｒａｉｔｈ，  Ｋ．  Ｈａｒｒｉｓｏｎ，  Ｄ．  Ｓｏｌｄｅｒａ，  Ｉｍｐｌｅｍｅｎｔｉｎｇ  ｔｈｅ  Ｔａｔｅ  ｐａｉｒｉｎｇ，  Ｐｒｏｃ．  ｏｆ  ｔｈｅ  ５ｔｈ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ａｌｇｏｒｉｔｈｍｉｃ  Ｎｕｍｂｅｒ  Ｔｈｅｏｒｙ，  ＬＮＣＳ  ２３６９，  ３２４−３３７，  ２００２
【非特許文献８】Ａ．  Ｍｉｙａｊｉ，  Ｍ．  Ｎａｋａｂａｙａｓｈｉ，  Ｓ．  Ｔａｋａｎｏ，  Ｎｅｗ  Ｅｘｐｌｉｃｉｔ  Ｃｏｎｄｉｔｉｏｎｓ  ｏｆ  Ｅｌｌｉｐｔｉｃ  Ｃｕｒｖｅｓ  ｆｏｒ  ＦＲ−ｒｅｄｕｃｔｉｏｎ，  ＩＥＩＣＥ  Ｔｒａｎｓ．  Ｆｕｎｄａｍｅｎｔａｌｓ，  Ｅ８４−Ａ（５）：  １２３４−１２４３，  ２００１
【非特許文献９】Ｓ．  Ｇｏｌｄｗａｓｓｅｒ，  Ｓ．  Ｍｉｃａｌｉ，  Ｃ，  Ｒａｃｋｏｆｆ，  Ｔｈｅ  ｋｎｏｗｌｅｄｇｅ  Ｃｏｍｐｌｅｘｉｔｙ  ｏｆ  Ｉｎｔｅｒａｃｔｉｖｅ  Ｐｒｏｏｆ  Ｓｙｓｔｅｍｓ，  １７ｔｈ  ＡＣＭ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｔｈｅｏｒｙ  ｏｆ  Ｃｏｍｐｕｔａｔｉｏｎ，  ｐｐ．  ２９１−３０４，  １９８５
【非特許文献１０】Ａ．  Ｆｉａｔ，  Ａ．  Ｓｈａｍｉｒ，  Ｈｏｗ  Ｔｏ  Ｐｒｏｖｅ  Ｙｏｕｒｓｅｌｆ：  Ｐｒａｃｔｉｃａｌ  Ｓｏｌｕｔｉｏｎｓ  ｔｏ  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ａｎｄ  Ｓｉｇｎａｔｕｒｅ  Ｐｒｏｂｌｅｍｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’８６，  ｐｐ．  １８６−１９４，  １９８６
【非特許文献１１】Ｄ．  Ｃｈａｕｍ，  Ｄｅｍｏｎｓｔｒａｔｉｎｇ  Ｐｏｓｓｅｓｓｉｏｎ  ｏｆ  ａ  Ｄｉｓｃｒｅｔｅ  Ｌｏｇａｒｉｔｈｍ  ｗｉｔｈｏｕｔ  Ｒｅｖｅａｌｉｎｇ  Ｉｔ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’８６，  ｐｐ．  ２００−２１２，  １９８７
【非特許文献１２】Ｄ．  Ｃｈａｕｍ，  Ｊ．  Ｈ．  Ｅｖｅｒｔｓｅ，  Ｊ．  ｖａｎ  ｄｅ  Ｇｒａａｆ，  Ａｎ  Ｉｍｐｒｏｖｅｄ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｄｅｍｏｎｓｔｒａｔｉｎｇ  Ｐｏｓｓｅｓｓｉｏｎ  ｏｆ  Ｄｉｓｃｒｅｔｅ  Ｌｏｇａｒｉｔｈｍｓ  ａｎｄ  Ｓｏｍｅ  Ｇｅｎｅｒａｌｉｚａｔｉｏｎｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−  ＥＵＲＯＣＲＹＰＴＯ  ’８７，  ｐｐ．１２７−１４１，  １９８７
【非特許文献１３】Ｄ．  Ｃｈａｕｍ，  Ｔ．  Ｐ．  Ｐｅｄｅｒｓｅｎ，  Ｗａｌｌｅｔ  Ｄａｔａｂａｓｅｓ  ｗｉｔｈ  Ｏｂｓｅｒｖｅｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’９２，  ｐｐ．  ８９−１０５，  １９９３
【非特許文献１４】Ｋ．  Ｓａｋｏ，  Ｊ．  Ｋｉｌｉａｎ，  Ｒｅｃｅｉｐｔ−Ｆｒｅｅ  Ｍｉｘ−Ｔｙｐｅ  Ｖｏｔｉｎｇ  Ｓｃｈｅｍｅ  ―  Ａ  Ｐｒａｃｔｉｃａｌ  Ｓｏｌｕｔｉｏｎ  ｔｏ  ｔｈｅ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ  ｏｆ  ａ  Ｖｏｔｉｎｇ  Ｂｏｏｔｈ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’９８，  ｐｐ．  ３９３−４０３，  １９９８
【非特許文献１５】Ｋｅ  Ｚｅｎｇ，  Ｐｓｅｕｄｏｎｙｍｏｕｓ  ＰＫＩ  ｆｏｒ  Ｕｂｉｑｕｉｔｏｕｓ  Ｃｏｍｐｕｔｉｎｇ，  ＬＮＣＳ  ４０４３，  ｐｐ．  ２０７−２２２，  ＥｕｒｏＰＫＩ  ’０６，  ２００６
【非特許文献１６】Ｄ．  Ｂｏｎｅｈ，  Ｘ．Ｂｏｙｅｎ，  Ｈ．  Ｓｈａｃｈａｍ，  Ｓｈｏｒｔ  Ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ４１−５５，  ２００４
【非特許文献１７】Ａ．  Ｍｅｎｅｚｅｓ，  Ｐ．  ｖａｎ  Ｏｏｒｓｃｈｏｔ，  Ｓ．  Ｖａｎｓｔｏｎｅ，  Ｈａｎｄｂｏｏｋ  ｏｆ  Ａｐｐｌｉｅｄ  Ｃｒｙｐｔｏｇｒａｐｈｙ，  ＣＲＣ  Ｐｒｅｓｓ，  １９９６
【発明の開示】
【発明が解決しようとする課題】
【００２１】
上記の問題を鑑みて、本発明がなされた。
【００２２】
本発明の一態様によれば、ルート偽名を発行するステップと、１つ以上のリソース認証情報を取得するステップと、ル―ト偽名から第１の派生偽名を生成するステップと、前記１つ以上のリソース認証情報から１組のリソース認証情報を選択するステップと、１組のリソース認証情報からフレキシブル認証情報を生成するステップと、第１の派生偽名およびフレキシブル認証情報を使用することによって、アクセス要求を行うステップと、第１の派生偽名およびフレキシブル認証情報を検証した後、アクセス要求を承諾するステップとを含む、通信システムのための方法が提供される。
【００２３】
システムパラメータをセットアップするように構成されているシステムパラメータセットアップ手段と、ユーザ識別検証を行うように構成されている識別検証手段と、ユーザ偽名鍵をユーザに割り当てるように構成されているユーザ偽名鍵割当手段と、ユーザ偽名鍵に基づいて、ユ―ザに発行されるべきルート偽名を生成するように構成されているルート偽名生成手段とを備える、通信システムにおいて偽名を管理するための装置が提供される。
【００２４】
本発明の別の態様によれば、ユーザ端末からのユーザの要求が受信されると、ユーザ識別を検証するステップと、ユーザ識別が検証をパスした場合、ユーザ偽名鍵をユーザに割り当てるステップと、ユーザ偽名鍵に基づいてルート偽名を生成するステップとを含む、通信システムにおいて偽名を管理するための方法が提供される。
【００２５】
本発明の別の態様によれば、リソースごとにリソース秘密鍵およびリソース公開鍵を生成するように構成されているリソース鍵生成手段と、ユーザの派生偽名を検証するように構成されている偽名検証手段と、ユーザの派生偽名に基づいて、ユーザのユーザ端末に送信されるべきリソースの認証情報を生成するように構成されている、認証情報生成手段とを備える通信システムにおいて、１つ以上のリソースの認証情報を管理するための装置が提供される。
【００２６】
本発明の別の態様によれば、リソースごとにリソース秘密鍵およびリソース公開鍵を生成するステップと、ユーザ端末からのユーザの要求が受信されると、ユーザの派生偽名を検証するステップと、検証がパスした場合、派生偽名に基づいて、ユーザ端末に送信されるべきリソースの認証情報を生成するステップとを含む、通信システムにおいて、１つ以上のリソースの認証情報を管理するための方法が提供される。
【００２７】
本発明の別の態様によれば、ルート偽名を取得するように構成されているルート偽名取得手段と、１つ以上のリソース認証情報を取得するように構成されているリソース認証情報取得手段と、ルート偽名から第１の派生偽名を生成するように構成されている派生偽名生成手段と、選択された１組のリソース認証情報からフレキシブル認証情報を生成するように構成されているフレキシブル認証情報生成手段とを備え、ユーザ端末が、第１の派生偽名およびフレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを取得する、通信システムにおけるユーザ端末が提供される。
【００２８】
本発明の別の態様によれば、ルート偽名を取得するステップと、１つ以上のリソース認証情報を取得するステップと、ルート偽名から第１の派生偽名を生成し、選択された１組のリソース認証情報からフレキシブル認証情報を生成するステップと、第１の派生偽名およびフレキシブル認証情報を使用することによって、１組のリソース認証情報に対応する１組のリソースへのアクセスを取得するステップとを含む、通信システムにおけるユーザ端末のための方法が提供される。
【００２９】
本発明の別の態様によれば、ユーザの派生偽名を検証するように構成されている偽名検証手段と、ユーザのフレキシブル認証情報を検証するように構成されているフレキシブル認証情報検証手段と、偽名検証手段およびフレキシブル認証情報検証手段の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるように構成されている許可手段とを備える、通信システムにおける１つ以上のリソースへのアクセスを管理するための装置が提供される。
【００３０】
本発明の別の態様によれば、ユーザの派生偽名を検証するステップと、ユーザのフレキシブル認証情報を検証するステップと、派生偽名およびフレキシブル認証情報の検証結果に基づいて、フレキシブル認証情報に対応する１組のリソースにアクセスする権限をユーザに与えるステップとを含む、通信システムにおける１つ以上のリソースへのアクセスを管理するための方法。
【００３１】
また、本発明は、本発明による方法をプロセッサに実行させる命令を記録した機械可読媒体を有する製品も提供する。
【００３２】
本発明の解決策によれば、ユーザは、許可された後、ユーザがその認証情報をリソースプロテクタに対して何度証明しようと、匿名のままでいることができ、さらにリソースホルダーに連絡する必要はない。同時に、ＰＡの公開鍵が決定され、発行された後、ＰＡが対応することができるＲＨの数は、可変である。また、リソースホルダーの公開鍵が決定され、発行された後、リソースホルダーが管理することができるリソースの数は、固定されず、発行された認証情報の変更は必要ない。
【００３３】
さらに、ユーザは、リソースプロテクタに対して、そのユーザの全組のアクセス権の任意の部分を選択的に証明することができる。また、ユーザがアクセス権の任意の部分を証明するための計算コストは、証明される権利の数に依存しない（１つのみの権利を証明するためのものと同じである）。
【００３４】
さらに、偽名機関は、ユーザの他の権利を変更することなく、ユーザのリソース認証情報のうちの任意の１つを取り消すことができる。また、偽名機関は、リソースホルダーの関与無しに、取り消しを行うことができ、言い換えれば、きめの細かい取り消しは、リソースホルダーの秘密鍵を必要とすることなく達成される。任意の数のリソース認証情報が取り消されるかどうかを検証するために必要な高価な計算の量は、一定しており、すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じである。
【００３５】
以下の詳細な説明および図面から、本発明の他の特徴および利点が明らかになる。本発明は、図面または任意の特定の実施形態に示されている例に決して限定されないことに留意されたい。
【発明を実施するための最良の形態】
【００３６】
図１は、本発明による解決策の一般的概念を概略的に示す。図１に示されるように、偽名機関ＰＡは、ルート偽名をユーザに発行し、ユーザは、ユーザ自身によってルート偽名から計算された派生偽名を使用することによって、リソースホルダーＲＨからリソース認証情報を取得する。ユーザは、１つ以上のリソースにアクセスしたいとき、ユーザが有するすべてのリソース認証情報から、アクセスすることが望まれるリソースに対応する１組のリソース認証情報を選択し、この組のリソース認証情報によって特別な認証情報を生成する。こうした認証情報を、ユーザによって選択された任意のリソース認証情報に基づいて生成することができ、以下、フレキシブル認証情報と呼ぶ。その後、ユーザは、生成されたフレキシブル認証情報、およびルート偽名から計算された派生偽名をリソースプロテクタＲＰに対して証明し、リソースプロテクタＲＰによって検証された後、所望のリソースへのアクセス権を得る。
【００３７】
本発明の解決策によれば、ユーザは、ルート偽名から、互いに異なる多数の派生偽名を生成することができる。また、リソースプロテクタとの各対話において、ユーザは、偽名機関への複数回の要求の必要無く、異なる派生偽名を使用することができる。
【００３８】
図２は、本発明の解決策による認証情報の使用および取り消しを示す概要図である。図２に示されるように、ユーザは、リソース認証情報の一部を選択し、そこからフレキシブル認証情報を生成し、そのフレキシブル認証情報を、検証のためにリソースプロテクタに送信することができ、これは、すべてのリソース認証情報がリソースプロテクタに対して証明される従来の方式とは異なる。さらに、こうしたフレキシブル認証情報により、検証は、単にユーザとリソースプロテクタとの間で行われ、偽名機関またはリソースホルダーは関与しない。さらに、本発明による偽名機関ＰＡは、ユーザのリソース認証情報を取り消すことができる。さらに、偽名機関ＰＡは、きめの細かい取り消しを実現するために、取り消しリストを維持することができる。すなわち、ユーザの１つ以上のリソース認証情報のみが取り消され、他のリソース認証情報は影響を受けない。
【００３９】
以下、図面を参照して、本発明の実施形態例について説明する。実施形態は、単に、例示の目的で記載されているにすぎず、本発明は、記載された任意の特定の実施形態に限定されないことに留意されたい。
（第１の実施形態）
【００４０】
以下の説明では、一例として従来の乗法群表記法が使用される。しかし、楕円曲線設定値にしばしば使用される加法表記法も同様に使用できることを当業者であれば理解されよう。
【００４１】
【数２７】
2009033740.tif 000003
および
【数２８】
2009033740.tif 000004
および追加群
【数２９】
2009033740.tif 000005
は、
【数３０】
2009033740.tif 000006
となるような有限巡回群であるとし、この場合、ｐは、何らかの大きい素数である。双線形マップ
【数３１】
2009033740.tif 000007
（Ｄ．  Ｂｏｎｅｈ，  Ｍ．  Ｆｒａｎｋｌｉｎ，  Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  ｆｒｏｍ  ｔｈｅ  Ｗｅｉｌ  Ｐａｉｒｉｎｇ，  Ｐｒｏｃ．  Ｃｒｙｐｔｏ  ’０１，  ＬＮＣＳ，  ｖｏｌ．  ２１３９，  ｐｐ．  ２１３−２２９，  ２００１；  Ｓ．  Ｇａｌｂｒａｉｔｈ，  Ｋ．  Ｈａｒｒｉｓｏｎ，  Ｄ．  Ｓｏｌｄｅｒａ，  Ｉｍｐｌｅｍｅｎｔｉｎｇ  ｔｈｅ  Ｔａｔｅ  ｐａｉｒｉｎｇ，  Ｐｒｏｃ．  ｏｆ  ｔｈｅ  ５ｔｈ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ａｌｇｏｒｉｔｈｍｉｃ  Ｎｕｍｂｅｒ  Ｔｈｅｏｒｙ，  ＬＮＣＳ  ２３６９，  ３２４−３３７，  ２００２；  ａｎｄ  Ａ．  Ｍｉｙａｊｉ，  Ｍ．  Ｎａｋａｂａｙａｓｈｉ，  Ｓ．  Ｔａｋａｎｏ，  Ｎｅｗ  Ｅｘｐｌｉｃｉｔ  Ｃｏｎｄｉｔｉｏｎｓ  ｏｆ  Ｅｌｌｉｐｔｉｃ  Ｃｕｒｖｅｓ  ｆｏｒ  ＦＲ−ｒｅｄｕｃｔｉｏｎ，  ＩＥＩＣＥ  Ｔｒａｎｓ．  Ｆｕｎｄａｍｅｎｔａｌｓ，  Ｅ８４−Ａ（５）：  １２３４−１２４３，  ２００１参照）は、以下を満たす関数である。
ｉ．双線形：すべての
【数３２】
2009033740.tif 000008
、およびすべての
【数３３】
2009033740.tif 000009
について、ｅ（ｈ１ａ，ｈ２ｂ）＝ｅ（ｈ１，ｈ２）ａｂが成り立つ。
ｉｉ．非縮退性：Ｉが
【数３４】
2009033740.tif 000010
の識別である場合、ｅ（ｈ１，ｈ２）≠Ｉとなるような
【数３５】
2009033740.tif 000011
である。
ｉｉｉ．計算可能性：ｅを計算する効率のよいアルゴリズムが存在する。
【００４２】
セットアップアルゴリズムＳｅｔｕｐ（・）は、入力セキュリティパラメータｌｋにおいて、双線形マップの上記の設定値を出力し、以下のように定義される。
【数３６】
2009033740.tif 000012
この場合、ｌｋは、システムのセキュリティ長さがｋビットとして選択されていることを意味する。
【００４３】
【数３７】
2009033740.tif 000013
および
【数３８】
2009033740.tif 000014
は、同じ素数位数ｐのものであるため、双線形特性および非縮退特性に従って、ｅ（ｇ１，ｇ２）＝ｇであることがわかることは容易である。
（システム構成）
【００４４】
本発明による通信システムは、偽名機関ＰＡ、リソースホルダーＲＨ、リソースプロテクタＲＰ、およびリソースへのアクセスを望んでいるユーザを含み、これらは、互いに通信することができる。
【００４５】
図３は、本発明の第１の実施形態による偽名機関ＰＡ３００の構成の一例を示す。図３に示されるように、ＰＡ３００は、主に、システムパラメータをセットアップするためのシステムパラメータセットアップ手段３１０、ユーザ識別検証を行うための識別検証手段３２０、ユーザ偽名鍵をユーザに割り当てるためのユーザ偽名鍵割当手段３３０、ユーザのルート偽名を生成するためのルート偽名生成手段３４０、ＰＡの操作に必要なデータを格納するための格納手段３５０、およびシステムにおける他の装置と通信するための通信手段３６０を備え、これらは互いに結合されている。
【００４６】
図４は、本発明の第１の実施形態によるリソースホルダーＲＨ４００の構成の一例を示す。図４に示されるように、ＲＨ４００は、主に、リソースごとにリソース秘密鍵およびリソース公開鍵を選択するためのリソース鍵生成手段４１０、ユーザの派生偽名を検証するための偽名検証手段４２０、ユーザの派生偽名に基づいてユーザのリソースの認証情報を生成するための認証情報生成手段４３０、ＲＨの操作に必要なデータを格納するための格納手段４４０、およびシステムにおける他の装置と通信するための通信手段４５０を備え、これらは互いに結合されている。
【００４７】
図５は、本発明の第１の実施形態によるユーザ端末５００の構成の一例を示す。図５に示されるように、ユーザ端末５００は、主に、ルート偽名を取得するためのルート偽名取得手段５１０、ルート偽名から派生偽名を生成するための派生偽名生成手段５２０、リソース認証情報を取得するためのリソース認証情報取得手段５３０、選択されたリソース認証情報からフレキシブル認証情報を生成するためのフレキシブル認証情報生成手段５４０、ユーザ端末５００の操作に必要なデータを格納するための格納手段５５０、およびシステムにおける他の装置と通信するための通信手段５６０を備え、これらは互いに結合されている。
【００４８】
図６は、本発明の第１の実施形態によるリソースプロテクタＲＰ６００の構成の一例を示す。図６に示されているように、リソースプロテクタＲＰ６００は、主に、ユーザの偽名を検証するための偽名検証手段６１０、ユーザのフレキシブル認証情報を検証するためのフレキシブル認証情報検証手段６２０、リソースにアクセスする権限をユーザに与えるための許可手段６３０、リソースプロテクタＲＰ６００の操作に必要なデータを格納するための格納手段６４０、およびシステムにおける他の装置と通信するための通信手段６５０を備え、これらは互いに結合されている。
【００４９】
以下、本発明の第１の実施形態による手順の一例について詳述する。
（偽名機関のセットアップ）
【００５０】
許可システムが起動すると、ＰＡは、それが望むセキュリティ強度を決定し、基本的な代数を選択し、その秘密鍵を生成し、公開鍵を発行する必要がある。図７は、ＰＡがセットアップする特定の手順を示す。
【００５１】
図７に示されるように、ステップＳ７０１で、ＰＡのシステムパラメータセットアップ手段３１０は、それが望むセキュリティ長に従って安全なパラメータｌｋを決定し、セットアップアルゴリズム
【数３９】
2009033740.tif 000015
を呼び出す。
【００５２】
ステップＳ７０２で、システムパラメータセットアップ手段３１０は、整数
【数４０】
2009033740.tif 000016
をＰＡの秘密鍵として無作為に選択し、
【数４１】
2009033740.tif 000017
を計算する。
【００５３】
ステップＳ７０３で、ＰＡは、通信手段３６０を介してその公開鍵
【数４２】
2009033740.tif 000018
を発行する。
（リソースホルダーのセットアップ）
【００５４】
本発明の第１の実施形態によるリソースホルダーがセットアップする特定の手順を図８に示す。図８に示されるように、ＰＡ公開鍵ＰＫＰＡを取得した後、リソースＲｉｊ（ｊ＝１，２，…，ｎｉ）を管理するリソースホルダーＲＨｉは、以下のステップを行う。
【００５５】
ステップＳ８０１で、ＲＨｉのリソース鍵生成手段４１０は、Ｒｉｊごとに整数
【数４３】
2009033740.tif 000019
をＲｉｊのリソース秘密鍵として選択し、リソースｊ＝１，２，…，ｎｉごとにリソース公開鍵
【数４４】
2009033740.tif 000020
を計算する。
【００５６】
ステップＳ８０２で、リソース鍵生成手段４１０は、Ｂｉｊの組ごとに知識証明の署名も生成し、
Σij＝SKP{(xj) : Bij＝g2xj},
j=1, 2, …, ni
それによってＲＨｉは、
【数４５】
2009033740.tif 000021
の知識を証明することができる。
【００５７】
ここで、表記ＳＫＰは、いわゆる知識証明技術を示す（参照により本明細書に組み込む、Ｓ．  Ｇｏｌｄｗａｓｓｅｒ，  Ｓ．  Ｍｉｃａｌｉ，  Ｃ，  Ｒａｃｋｏｆｆ，  Ｔｈｅ  ｋｎｏｗｌｅｄｇｅ  Ｃｏｍｐｌｅｘｉｔｙ  ｏｆ  Ｉｎｔｅｒａｃｔｉｖｅ  Ｐｒｏｏｆ  Ｓｙｓｔｅｍｓ，  １７ｔｈ  ＡＣＭ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｔｈｅｏｒｙ  ｏｆ  Ｃｏｍｐｕｔａｔｉｏｎ，  ｐｐ．  ２９１−３０４，  １９８５を参照）。ゼロ知識における離散対数の知識を証明するために、多くの方法が提案されている（知識証明の計算および実装の特定の例を漸進的に記載しており、参照により本明細書に組み込まれる、Ａ．  Ｆｉａｔ，  Ａ．  Ｓｈａｍｉｒ，  Ｈｏｗ  Ｔｏ  Ｐｒｏｖｅ  Ｙｏｕｒｓｅｌｆ：  Ｐｒａｃｔｉｃａｌ  Ｓｏｌｕｔｉｏｎｓ  ｔｏ  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ａｎｄ  Ｓｉｇｎａｔｕｒｅ  Ｐｒｏｂｌｅｍｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’８６，  ｐｐ．  １８６−１９４，  １９８６；  Ｄ．  Ｃｈａｕｍ，  Ｄｅｍｏｎｓｔｒａｔｉｎｇ  Ｐｏｓｓｅｓｓｉｏｎ  ｏｆ  ａ  Ｄｉｓｃｒｅｔｅ  Ｌｏｇａｒｉｔｈｍ  ｗｉｔｈｏｕｔ  Ｒｅｖｅａｌｉｎｇ  Ｉｔ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’８６，  ｐｐ．  ２００−２１２，  １９８７；  Ｄ．  Ｃｈａｕｍ，  Ｊ．  Ｈ．  Ｅｖｅｒｔｓｅ，  Ｊ．  ｖａｎ  ｄｅ  Ｇｒａａｆ，  Ａｎ  Ｉｍｐｒｏｖｅｄ  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｄｅｍｏｎｓｔｒａｔｉｎｇ  Ｐｏｓｓｅｓｓｉｏｎ  ｏｆ  Ｄｉｓｃｒｅｔｅ  Ｌｏｇａｒｉｔｈｍｓ  ａｎｄ  Ｓｏｍｅ  Ｇｅｎｅｒａｌｉｚａｔｉｏｎｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−  ＥＵＲＯＣＲＹＰＴＯ  ’８７，  ｐｐ．１２７−１４１，  １９８７；  Ｄ．  Ｃｈａｕｍ，  Ｔ．  Ｐ．  Ｐｅｄｅｒｓｅｎ，  Ｗａｌｌｅｔ  Ｄａｔａｂａｓｅｓ  ｗｉｔｈ  Ｏｂｓｅｒｖｅｓ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’９２，  ｐｐ．  ８９−１０５，  １９９３；  Ｋ．  Ｓａｋｏ，  Ｊ．  Ｋｉｌｉａｎ，  Ｒｅｃｅｉｐｔ−Ｆｒｅｅ  Ｍｉｘ−Ｔｙｐｅ  Ｖｏｔｉｎｇ  Ｓｃｈｅｍｅ  ―  Ａ  Ｐｒａｃｔｉｃａｌ  Ｓｏｌｕｔｉｏｎ  ｔｏ  ｔｈｅ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ  ｏｆ  ａ  Ｖｏｔｉｎｇ  Ｂｏｏｔｈ，  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ  ’９８，  ｐｐ．  ３９３−４０３，  １９９８；  ａｎｄ  Ｋｅ  Ｚｅｎｇ，  Ｐｓｅｕｄｏｎｙｍｏｕｓ  ＰＫＩ  ｆｏｒ  Ｕｂｉｑｕｉｔｏｕｓ  Ｃｏｍｐｕｔｉｎｇ，  ＬＮＣＳ  ４０４３，  ｐｐ．  ２０７−２２２，  ＥｕｒｏＰＫＩ  ’０６，  ２００６参照）。例えば、ＳＫＰ｛（ｘｊ）：Ｂｉｊ＝ｇ２ｘｊ｝は、リソースホルダーＲＨｉが、計算においてｘｊの情報を明らかにすること無く、Ｂｉｊ＝ｇ２ｘｊとなるようなｘｊを知っていることを証明することができることを示す。
【００５８】
知識証明を行う従来の様々な方法を、本発明の実施形態に使用することができる。これらは、当分野では知られているため、その詳細は、ここでは説明しない。対話型および非対話型の知識証明を本発明の実施形態に使用することができることは、当業者には明らかである。非対話バージョンの知識証明は、ユーザ装置とサービス装置との間の往復の通信を減らすことができ、したがって、ネットワーク稼働率と時間消費に関して有利である。しかし、ユ―ザ装置とサービス装置は、反射攻撃を防ぐために、同じ時間起点を共有することが必要となり得る。対話型および非対話型の変形体の利点および欠点は、当業者にはよく知られている。
【００５９】
ここで図８に戻る。ステップＳ８０３で、ＲＨｉは、通信手段４３０を介してその公開鍵ＰＫｉＲＨ＝｛（Ｂｉｊ，Σｉｊ）｝、ｊ＝１，２，…，ｎｉを発行する。式中、Ｂｉｊは、リソースＲｉｊの公開鍵である。あるいは、ＲＨｉは、｛（Ｂｉｊ，Σｉｊ）｝、ｊ＝１，２，…，ｎｉをＰＡに送信し、ＰＫｉＲＨをＲＨｉ自体によって発行する代わりに、ＰＡに発行させてもよい。知られているように、Σｉｊは、リソースホルダーＲＨｉがシステムに対する攻撃に対するような方法でＲｉｊを生成することを示す。
【００６０】
実際は、偽名機関が、リソースホルダーによって管理されるリソースに、リソースホルダーの代わりに、リソース秘密鍵を割り当てることも可能である。さらに、リソース秘密鍵およびリソース公開鍵の知識証明の署名は、偽名機関によって計算され、発行されてもよい。本発明の代替実施形態において、偽名機関は、さらに、リソース秘密鍵を割り当て、リソース公開鍵を計算し、かつ／またはリソース秘密鍵の知識証明の署名を生成するためのリソース鍵生成手段（図示せず）を備えていてもよい。
（偽名の発行）
【００６１】
図９は、本発明の第１の実施形態によるルート偽名を発行する特定の手順を示す。図９に示されるように、ＰＡ公開鍵ＰＫＰＡが与えられると、検証可能な識別Ｕを有するユーザは、ＰＡから偽名を取得するために、ＰＡとの次の対話を行う。
【００６２】
ステップＳ９０１で、ユーザ端末のルート偽名取得手段５１０は、ＰＡにルート偽名を要求し、ユーザの検証可能な識別Ｕは、通信手段５６０によってＰＡに送信される。
【００６３】
ステップＳ９０２で、ＰＡの識別検証手段３２０は、ルート偽名をそのユーザに発行するかどうかを決定するために、ユーザの識別Ｕを検証する。ユーザが検証をパスしない場合、ＰＡは、ルート偽名をユーザに発行せず、プロセスは、障害処理のためにステップＳ９０３に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。
【００６４】
ユーザに偽名が発行される資格があることが決定されると、ＰＡのユーザ偽名鍵割当手段３３０は、ステップＳ９０４で、Ｕのために格納するユーザ偽名鍵ｚについて、そのデータベース（例えば格納手段３５０に格納されていてもよい）をチェックする。一致するユーザ偽名鍵が見つかった場合、プロセスはステップＳ９０６に進む。そうでない場合、プロセスはステップＳ９０５に進み、ＰＡのユーザ偽名鍵割当手段３３０は、そのユーザの偽名鍵としてＵのために
【数４６】
2009033740.tif 000022
Ｕを選択する。
【００６５】
ステップＳ９０６で、ＰＡのルート偽名生成手段３４０は、ユーザのルート偽名として、
【数４７】
2009033740.tif 000023
を計算する。
【００６６】
ステップＳ９０７で、ＰＡは、格納手段３５０内のデータベースに（Ｕ，ｚ）を格納し、ユーザ偽名鍵ｚ、およびルート偽名ｔを、通信手段３６０によってユーザに送信する。
【００６７】
ＰＡによって送信されたユーザ偽名鍵ｚおよびルート偽名ｔを受信した後、ユーザ端末のルート偽名取得手段５１０は、ｅ（ｔ，Ａ・ｇ２ｚ）＝ｅ（ｇ１，ｇ２）であるかどうかをチェックする。検証が失敗すると、プロセスはステップＳ９０１に進んで、再度要求を行う。あるいは、ユーザは、データの再送を要求するための通知をＰＡに送信する。
【００６８】
検証が成功すると、ユーザは、ユーザ偽名鍵ｚおよびルート偽名ｔを格納手段５５０に格納する。
【００６９】
ＰＡがユーザの識別を検証し、ユーザの検証可能な識別Ｕと実際のユーザとの間の関連を確実にするための既知の様々な方法があることに留意されたい。ＰＡがこれをどのように達成するかは、本発明に直接関連していないため、その詳細な説明は、ここでは省略する。
（認証情報の発行）
【００７０】
認証情報の発行の手順は、概念上、２つの段階に解釈することができる。第１の段階は、偽名検証を行うことであり、第２の段階は、認証情報を発行することである。図１０は、本発明の第１の実施形態による認証情報の発行の特定の手順を示す。図１０に示されるように、ＰＡ公開鍵ＰＫＰＡ、およびリソースＲｉｊの公開鍵Ｂｉｊが与えられると、ユーザ偽名鍵ｚおよびルート偽名ｔを所有するユーザは、リソースＲｉｊに対するアクセス権を取得するために、リソースＲｉｊを管理するリソースホルダーＲＨｉとの次の対話を行う。
【００７１】
ステップＳ１００１で、ユーザ端末の派生偽名生成手段５２０は、
【数４８】
2009033740.tif 000024
を選択し、派生偽名Ｔ＝ｔtを計算する。
【００７２】
ステップＳ１００２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x1, x2)
: e(T, A)＝e(g1, g2)x1 ・ (e(t―1, g2)t)x2}
【００７３】
ステップＳ１００３で、ユーザ端末のリソース認証情報取得手段５３０は、リソースＲｉｊの認証情報をリソースホルダーＲＨｉに要求し、派生偽名Ｔ、および知識証明の署名が、通信手段５６０を介してリソースホルダーＲＨｉに送信される。
【００７４】
ステップＡ１００４で、Σを受信した後、ＲＨｉは、Σの妥当性をチェックする。Σが無効である場合、ＲＨｉは、ユーザに認証情報を発行せず、プロセスは、障害処理のためにステップＳ１００５に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。
【００７５】
Σが有効である場合、ステップＳ１００６で、ＲＨｉの認証情報生成手段４３０は、認証情報ｖｉｊ’＝Ｔｂｉｊを計算し、認証情報ｖｉｊ’は、ユーザに送信される。
【００７６】
ＲＨｉから認証情報ｖｉｊ’を受信した後、ユーザ端末のリソース認証情報取得手段５３０は、リソース認証情報vij＝vij'1/tを計算する。
【００７７】
次いで、ステップＳ１００８で、ユーザ端末のリソース認証情報取得手段５３０は、ｅ（ｔ，Ｂｊ）＝ｅ（ｖｉｊ，ｇ２）であるかどうかをチェックする。検証が失敗すると、プロセスはステップＳ１００１に戻って、再度要求を行う。そうでない場合、ユーザは、データの再送を要求するための通知をＲＨｉに送信する。
【００７８】
検証が成功すると、ユーザは、ステップＳ１００９で、リソースＲｉｊのリソース認証情報としてｖｉｊを格納手段５５０に格納する。
【００７９】
ユーザがリソースＲｉｊの認証情報を要求することを一例として挙げることによって、認証情報発行手順について上述したが、リソースホルダーが複数のリソースを管理する場合、ユーザが、上記の手順を複数回行うことによって、複数のリソース認証情報を取得する、または手順を一度行うことによって、複数のリソース認証情報の要求、および取得を同時に行うことができることが考えられる。
【００８０】
当然、ユーザが、ルート偽名ｔを直接使用することによって、リソースホルダーからリソース認証情報を取得することも可能である。この場合、上記の派生偽名Ｔは、ルート偽名ｔと置き換えられ、ＲＨｉは、ｔｂｉｊをユーザに送信し、ユーザは、リソース認証情報として直接ｔｂｉｊを格納する。
（許可）
【００８１】
論理的に、許可より先に認証が行われる。そのため、許可の手順は、２つの段階に分けられる。第１の段階は、ユーザの偽名を検証することであり、第２の段階は、ユーザの偽名に関連するユーザの認証情報を検証することである。
【００８２】
図１１は、本発明の第１の実施形態による特定の許可手順を示す。
【００８３】
ＰＡ公開鍵ＰＫＰＡ、リソースホルダーの公開鍵｛ＰＫｉＲＨ｝が与えられ、ユーザがユーザ偽名鍵ｚ、ルート偽名ｔおよび１組の認証情報Λ＝｛ｖｉｊ｝を有している場合、ユーザは、１組の公開鍵Ｂ＝｛Ｂｉｊ｝を有するリソースＲ＝｛Ｒｉｊ｝にアクセスすることができる。図１１を参照して後述する手順は、ユーザが、そのユーザによって選択されたリソースのサブセット
【数４９】
2009033740.tif 000025
に対するアクセス権を有していることをどのようにリソースプロテクタＲＰに確信させるかを示している。
【００８４】
【数５０】
2009033740.tif 000026
に対応する１組の公開鍵
【数５１】
2009033740.tif 000027
に基づいて、ユーザが行わなければならないことは、ユーザが、リソース＊に対するアクセス権を表す認証情報のサブセット
【数５２】
2009033740.tif 000028
を保持していることを証明することである。一般性を損なうことなく、
【数５３】
2009033740.tif 000029
は、
【数５４】
2009033740.tif 000030
と書かれ、
【数５５】
2009033740.tif 000031
は、
【数５６】
2009033740.tif 000032
と書かれる。ユーザの機密としての認証情報のサブセットは、
【数５７】
2009033740.tif 000033
である。
【００８５】
ステップＳ１１０１で、ユーザ端末の派生偽名生成手段５２０は、
【数５８】
2009033740.tif 000034
を選択し、派生偽名T＝ttを計算する。許可手順において、上記の認証情報発行手順で使用された派生偽名と異なる派生偽名を使用することが好ましいことに留意されたい。これは、異なるtを選択することによって行うことができる。説明を簡潔にするために、同じ表記Ｔが様々な派生偽名に使用されている。しかし、認証情報発行手順および許可手順で使用される派生偽名は、その都度異なり得ることを理解されたい。
【００８６】
ステップＳ１１０２で、ユーザ端末のフレキシブル認証情報生成手段５４０は、アクセスされるリソースに対応するリソース認証情報のサブセット
【数５９】
2009033740.tif 000035
を選択する。例えば、ユーザのコマンド（例えば、追加の入力方法からのユーザ入力）に従って、フレキシブル認証情報生成手段５４０によって、アクセスされる１つ以上のリソースを決定することができる。あるいは、ユーザ端末は、さらに、アクセスすることが望まれるリソースを選択するための、フレキシブル認証情報生成手段５４０に結合されている追加のリソース選択手段（図示せず）を備えていてもよい。
【００８７】
ステップＳ１１０３で、ユーザ端末のフレキシブル認証情報生成手段５４０は、認証情報の選択されたサブセットに従ってフレキシブル認証情報
【数６０】
2009033740.tif 000036
を計算する。
【００８８】
ステップＳ１１０４で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x1, x2)
: e(T, A)＝e(g1, g2)x1 ・ (e(t―1, g2)t)x2}
【００８９】
次いで、ステップＳ１１０５で、ユーザは、リソース
【数６１】
2009033740.tif 000037
へのアクセスの許可を要求し、フレキシブル認証情報Ｖ、派生偽名Ｔ、および知識証明の署名ΣをリソースプロテクタＲＰに送信する。
【００９０】
Σおよびフレキシブル認証情報Ｖを受信すると、ＲＰの偽名検証手段６１０は、ステップＳ１１０６で、Σの妥当性をチェックする。Σが無効である場合、ＲＰは、ユーザを拒否し、プロセスは、障害処理のためにステップＳ１１０７に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。
【００９１】
Σが有効である場合、ＲＰのフレキシブル認証情報検証手段６２０は、ステップＳ１１０８で、
【数６２】
2009033740.tif 000038
であるかどうかをチェックする。式が適用されない場合、プロセスは、障害処理のためにステップＳ１１０７に進む。例えば、ユーザに障害の原因が通知され、プロセスが終了するか、ユーザが情報を再送することを求められる。
【００９２】
式が適用される場合、ＲＰは、ユーザがＲのサブセットであるリソース
【数６３】
2009033740.tif 000039
に対するアクセス権を有していることを確信している。次いで、ステップＳ１１０９で、ＲＰの許可手段６３０によって、ユーザは、リソース
【数６４】
2009033740.tif 000040
にアクセスすることができる。
【００９３】
当然、ユーザは、ルート偽名およびフレキシブル認証情報を使用することによってＲＰとの対話を行うことができる。当業者であれば、対応する手順を容易に理解することができ、その詳細な説明は、ここでは省略する。
【００９４】
本発明によれば、ユーザが、認証情報のすべてを証明する必要がある従来の方式とは異なり、認証情報の検証の際に、リソースプロテクタに対して証明するための認証情報の任意の部分を自由に選択できることは明らかである。
【数６５】
2009033740.tif 000041
の一括検証のため、高価な暗号計算の量、特に、加法有限巡回群におけるスカラ乗法、乗法有限巡回群におけるモジュラ冪法、および組み合わせ評価の量は、認証情報のどの部分が証明されるかにかかわらず、常に同じである。
【００９５】
上述した実施形態では、ＰＡのトレース機能には言及していない。しかし、本発明の匿名フレキシブル認証方式によれば、ＰＡは、トレース機能および取り消し機能を備えていてもよい。以下、本発明のトレース機能および取り消し機能を備える追加の実施形態について説明する。
（第２の実施形態）
【００９６】
以下、本発明によるトレース機能を備える第２の実施形態について説明する。
【００９７】
上述したように、認証情報発行手順および許可手順の第１の段階は、ユーザの偽名を検証している。偽名発行および偽名検証に対する２〜３の変更によって、ＰＡにトレース機能が提供される。実際には、トレースおよび取り消しを、追加のトレース機関または取り消し機関に割り当てることができることに留意されたい。これは、本発明の主旨には影響を及ぼさない。
【００９８】
当業者は、様々な解決策を設計することができる。例えば、Ｄ．  Ｂｏｎｅｈ，  Ｘ．Ｂｏｙｅｎ，  Ｈ．  Ｓｈａｃｈａｍ，  Ｓｈｏｒｔ  Ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ４１−５５，  ２００４またはＫ．  Ｚｅｎｇ，  Ｐｓｅｕｄｏｎｙｍｏｕｓ  ＰＫＩ  ｆｏｒ  Ｕｂｉｑｕｉｔｏｕｓ  Ｃｏｍｐｕｔｉｎｇ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  ３ｒｄ  Ｅｕｒｏｐｅａｎ  ＰＫＩ  Ｗｏｒｋｓｈｏｐ：  ｔｈｅｏｒｙ  ａｎｄ  ｐｒａｃｔｉｃｅ  （ＥｕｒｏＰＫＩ  ’０６），  ＬＮＣＳ  ｖｏｌ．  ４０４３，  ｐｐ．  ２０７−２２２，  ２００６に記載されている標準的なやり方が適用可能である。上述した文書を、参照により本明細書に組み込む。
【００９９】
さらに、こうした変更は、取り消し機能を備えるＰＡに権限を与えることもできる。しかし、取り消し機能は、従来の方式による変更によって細粒化されないことに留意されたい。言い換えれば、ＰＡは、ユーザの偽名およびそのユーザのすべての認証情報を同時に取り消すことしかできない。
【０１００】
Ｋ．  Ｚｅｎｇ，  Ｐｓｅｕｄｏｎｙｍｏｕｓ  ＰＫＩ  ｆｏｒ  Ｕｂｉｑｕｉｔｏｕｓ  Ｃｏｍｐｕｔｉｎｇ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  ３ｒｄ  Ｅｕｒｏｐｅａｎ  ＰＫＩ  Ｗｏｒｋｓｈｏｐ：  ｔｈｅｏｒｙ  ａｎｄ  ｐｒａｃｔｉｃｅ  （ＥｕｒｏＰＫＩ  ’０６），  ＬＮＣＳ  ｖｏｌ．  ４０４３，  ｐｐ．  ２０７−２２２，  ２００６に提案されている方法を一例として挙げることによって、以下、本発明のトレース機能を備える一実施形態について説明する。この実施形態の構成は、第１の実施形態にいくつかの変更を加えたものと似ている。簡潔にするために、以下では、この実施形態と上記の第１の実施形態との間の差のみを説明し、同じ参照符号は、類似の部分を示す。ここでの説明は、参照の目的にすぎないことに留意されたい。上述したように、当業者は、本発明の匿名フレキシブル認証方式に基づいて、ＰＡのトレース機能を実現するために、他の方法を使用してもよい。
【０１０１】
以下、本発明の第１の実施形態に加えられた変更の例について説明する。
【０１０２】
偽名発行中、ユーザは、トレースのために、ユーザの公開鍵（ｈ，ｈｘｕ）および
【数６６】
2009033740.tif 000042
を計算し、ＰＡに送信する必要がある。ここでは、ｈは、ＰＡ公開鍵ＰＫＰＡの追加のパラメータであり、ｘｕは、ユーザの秘密鍵である。この計算は、ユーザ端末のルート偽名取得手段５１０、またはユーザの秘密鍵および公開鍵を取得または生成することができる追加の手段によって行うことができる。ユーザの公開鍵および秘密鍵を取得し、使用する方法は、当分野では知られており、その詳細な説明は、ここでは省略する。ユーザは、上述した図９に示されているステップＳ９０１で、ユーザの公開鍵ｈおよびｈｘｕをユーザの識別に含めることによって、それをＰＡに送信することができる。
【０１０３】
さらに、上述した図９に示されているステップＳ９０６で、ＰＡのルート偽名生成手段３４０は、
【数６７】
2009033740.tif 000043
の代わりに、（
【数６８】
2009033740.tif 000044
を計算する。式中、ｔ＝ｔｇ・ｔｈは、ユーザのルート偽名とみなされ、ｈ１は、ＰＡ公開鍵ＰＫＰＡの追加のパラメータ、ｘｕは、ユーザの秘密鍵である。また、ステップＳ９０７で、ＰＡは、ユーザに（ｔｇ，ｔｈ）を送信（またはｔｇおよびｔ＝ｔｇ・ｔｈを送信）し、ユーザの識別に対応するｙ’を格納する。
【０１０４】
次いで、ステップＳ９０９で、ユーザは、ルート偽名ｔ＝ｔｇ・ｔｈだけではなく、取り消しパラメータθ＝ｔｇも格納し、この場合、取り消しパラメータθは、きめの粗い取り消しのためのものである。
【０１０５】
認証情報発行手順および許可手順の偽名検証のため、ユーザ端末の派生偽名生成手段５２０は、整数
【数６９】
2009033740.tif 000045
を選択し、派生偽名Ｔ＝ｔｒを計算する。さらに、ユーザは、トレースパラメータＴｙ＝Ｔｘｕも計算し、偽名取り消しパラメータに従って派生偽名Ｔと共に使用される偽名取り消し検証パラメータΘ＝θｒを生成する（計算は、例えば、上述した図１０に示されるステップＳ１００１、および図１１に示されるステップＳ１１０１、並びに上述した図１０に示されるステップＳ１００３、および図１１に示されるステップＳ１１０５におけるユーザ端末の派生偽名生成手段５２０によって行われ、また、ユーザはＴｙおよびΘをＲＨまたはＲＰに送信する）。認証情報発行手順および許可手順の間、ユーザは、異なる派生偽名を生成するために、異なるｒを選択してもよいことに留意されたい。
【０１０６】
さらに、例えば、上述した図１０に示されるステップＳ１００２および図１１に示されるステップＳ１１０２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x1, x2,
x3) : e(T, A)＝v1x1 ・ (v2r)x2 ・ v3x3 ∧ 1＝(T−1)x3 ・ Tyx1∧e(Θ, A)＝v4x1 ・ (v5r)x2}
この場合、
v1＝e(g1 ・ h1, g2), v2＝e((tg ・ th)−1, g2), v3＝e(h, g2), v4＝e(g1, g2), v5＝e(θ−1, g2)
である。
【０１０７】
したがって、派生偽名を使用したユーザの実際の識別をトレースする必要がある場合、ＰＡは、データベースに格納されているすべてのｙ’について、ｅ（Ｔ，ｙ’）＝ｅ（Ｔｙ，ｇ２）かどうかをチェックし、ユーザ偽名鍵およびユーザの識別を見つける。したがって、こうしたわずかな変更により、ＰＡに、任意のユーザの実際の識別およびユーザ偽名鍵をトレースする機能が提供される。こうした場合、ＰＡは、トレースを行うためのトレース手段（図示せず）を備え得る。
【０１０８】
認証情報発行段階で、リソースプロテクタＲＨｉは、Ｔ＝（ｔｇ・ｔｈ）ｒを使用して、認証情報をユーザに発行し、ユーザのリソース認証情報は、ｖｉｊ＝（ｔｇ・ｔｈ）ｂｊとなることに留意されたい。後でｔｇおよびｔｈを変更することは、すべてのユーザの偽名Ｔを無効にし、したがって、すべてのｖｉｊを無効にする、すなわち、ユーザのすべての認証情報を無効にする。そこで、きめの粗い取り消しのために、偽名取り消しパラメータθおよび関連する知識証明の署名が追加される。したがって、ＰＡは、偽名取り消しパラメータθの上述した方法によってユーザの派生偽名を取り消すための偽名取り消し手段を備え得る。例えば、取り消し手段は、偽名取り消しパラメータθを無効にすることによって、ユーザのルート偽名、およびそのルート偽名から生成された任意の派生偽名を無効にすることができる。当業者は、取り消し機構を容易に設計することができる。例えば、Ｄ．  Ｂｏｎｅｈ，  Ｘ．Ｂｏｙｅｎ，  Ｈ．  Ｓｈａｃｈａｍ，  Ｓｈｏｒｔ  Ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ４１−５５，  ２００４の機構は、偽名取り消しパラメータθに適用される。当然、匿名のユーザの実際の識別をトレースする唯一の目的に関して、偽名取り消しパラメータθは必要ない。
【０１０９】
ユーザのルート偽名、およびルート偽名から生成された派生偽名が取り消された後、ユーザは、もはや偽名検証手順をパスすることができない。必然的に、ユーザのルート偽名および派生偽名に関連する全認証情報が取り消される。したがって、上記の実施形態によって実現される取り消しは、細粒化されない。
【０１１０】
ユーザの秘密鍵ｘｕに基づくトレースの一例については上述した。しかし、ＰＡのトレース機能を達成するために、他のパラメータおよび取り消しアルゴリズムも本発明に使用できることを、当業者であれば理解されよう。例えば、既知のまたは追加で設計されたパラメータ（ユーザに一意のパラメータ）は、こうしたパラメータがそのユーザに一意である限り、使用することができ、認証情報機関は、ユーザの派生偽名および派生偽名と共に使用される情報から、こうしたパラメータを再構築することができ、他の機関にとって、こうしたパラメータは計算できない。
【０１１１】
例えば、Ｄ．  Ｂｏｎｅｈ，  Ｘ．Ｂｏｙｅｎ，  Ｈ．  Ｓｈａｃｈａｍ，  Ｓｈｏｒｔ  Ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ，  ｉｎ  Ｐｒｏｃ．  ｏｆ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ  −  Ｃｒｙｐｔｏ  ’０４，  ＬＮＣＳ  ｖｏｌ．  ３１５２，  ｐｐ．  ４１−５５，  ２００４で提案されている別のトレース機構では、トレース機能を実現するために、ユーザ偽名鍵ｚを本発明に使用することができる。以下、ユーザ偽名鍵ｚに基づくトレースを実現する手順の一例について、簡単に説明する。
【０１１２】
第１に、ＰＡは、追加の公開鍵（ｕ，ｖ，ｈ）を発行する。ＰＡは、ｈ＝ｕｘ＝ｖｖとなるような秘密鍵（ｘ，ｙ）を保持し、この場合、ｕ、ｖ、およびｈはすべて、群
【数７０】
2009033740.tif 000046
の要素である。
【０１１３】
認証情報発行手順および許可手順における偽名検証のために、ユーザは、
【数７１】
2009033740.tif 000047
から整数αおよびβを選択し、上記の例のＴｙの代わりに、トレースパラメータＴ１＝ｕα、Ｔ２＝ｖβ、およびＴ３＝ｇ１ｚｈα＋βを計算する。対応する知識証明（知識証明の署名の計算）において、ユーザは、Ｔ１、Ｔ２、およびＴ３をリソースホルダーまたはリソースプロテクタに送信し、底ｕ、ｖ、ｈ、およびｇ１に関して、それぞれα、β、α＋β和  ｚの知識を提供する。
【０１１４】
例えば、上述した図１０に示されるステップＳ１００２および図１１に示されるステップＳ１１０２で、ユーザ端末の派生偽名生成手段５２０は、知識証明の署名を計算する。
Σ＝SKP{(x1, x2,
x3, x4, x5) : e(T,
A)＝v1x1 ・ (v2r)x2 ・ v3x3 ∧ T1＝u x4 ∧ T2＝v x5 ∧ T3＝g1
x2 hx4+x5∧e(Θ, A)＝v4x1 ・ (v5r)x2}
この場合、
v1＝e(g1 ・ h1, g2), v2＝e((tg ・ th)−1, g2), v3＝e(h, g2), v4＝e(g1, g2), v5＝e(θ−1, g2)
である。
【０１１５】
ユーザの有効な知識証明が与えられると、ＰＡは、ｇ１ｚ＝Ｔ３／（Ｔ１ｘ  Ｔ２ｙ）を計算することによって、Ｔ１、Ｔ２、およびＴ３からｇ１ｚを解読することができる。ｚは、ユーザごとに別個であるため、ｇ１ｚは、ユーザを一意に識別し、したがって、トレースが実現される。
【０１１６】
当業者には理解されるように、トレース機能は、必ずしもユーザ秘密鍵ｘｕまたはユーザ偽名鍵ｚに基づくわけではない。トレースを実現するために、当分野で知られている他の任意の適切なパラメータおよびアルゴリズム、または追加で設計されたパラメータおよびアルゴリズムを使用することができる。したがって、本発明の意図および範囲下で、当業者は、本発明の意図および範囲から逸脱することなく、上述した実施形態に様々な変形、変更、または改良を行うことができる。
【０１１７】
本発明の代替実施形態では、ユーザの認証情報のうちの任意のものを取り消すことができ、ユーザの他の認証情報の妥当性を確保することができるきめの細かい方法を提供する。以下、こうした実施形態の一例について説明する。
（第２の実施形態）
【０１１８】
本発明のきめの細かい取り消し機能、すなわちユーザごと、または権利ごとの取り消しが提供される実施形態の一例が提供される。
【０１１９】
ユーザ
【数７２】
2009033740.tif 000048
は、ユーザ偽名鍵
【数７３】
2009033740.tif 000049
およびリソースＲｉｊに対するアクセス権を有すると仮定する。場合により、リソースＲｉｊに関するユーザのリソース認証情報は、ユーザの不正行為または他の理由のために取り消されるものとする。本発明のこの実施形態によれば、ＰＡは、きめの粗い取り消しによってユーザのすべての認証情報を取り消す代わりに、リソースＲｉｊのみに関する、ユーザ
【数７４】
2009033740.tif 000050
によって所有されているリソース認証情報を取り消すことができる。一般に、ユーザごと、および権利ごとの取り消しの前に、ＰＡは、ユーザ
【数７５】
2009033740.tif 000051
の実際の識別、およびそのユーザのユーザ偽名鍵
【数７６】
2009033740.tif 000052
を開示するために、トレースを行う必要がある。例えば、トレースを行うために、上記の第２の実施形態に記載した方法を使用することができる。
【０１２０】
以下、きめの細かい取り消し機能が提供される第３の実施形態について、簡単に説明する。
【０１２１】
本発明の第３の実施形態によるきめの細かい取り消しの方式は、単に、取り消しおよび更新についての対応する部分を、上記の第１の実施形態におけるＰＡ、ＲＨ、ユーザ端末、およびＲＰに追加することによって実施することができる。図１２〜１５は、本発明の第３の実施形態によるＰＡ、ＲＨ、ユーザ端末、およびＲＰの構成の例を示している。
【０１２２】
特に、図１２に示されるように、本発明の第３の実施形態によるＰＡ１２００は、図３に示されているものに加えて、ユーザのうちの１人のリソース認証情報のうちの任意の１つを取り消すための取り消し手段１２０１を備える。図１３に示されるように、本発明の第３の実施形態によるＲＨ１３００は、図４に示されているものに加えて、取り消しリストを初期化または維持するための取り消しリスト手段１３０１を備える。図１４に示されるように、本発明の第３の実施形態によるユーザ端末１４００は、図５に示されているものに加えて、認証情報取り消しパラメータを更新するための取り消しパラメータ更新手段１４０１を備える。図１５に示されるように、本発明の第３の実施形態によるＲＰ１５００は、図６に示されているものに加えて、最新の取り消しリストを取得するための取り消しリスト取得手段１５０１を備える。
【０１２３】
以下、本発明の第３の実施形態の手順の例について詳しく説明する。
【０１２４】
リソースホルダーのセットアップ手順において、リソースホルダーＲＨｉは、リソースＲｉｊごとに秘密鍵
【数７７】
2009033740.tif 000053
および公開鍵
【数７８】
2009033740.tif 000054

を生成し、その後、その取り消しリスト手段１３０１は、Ｒｉｊごとに取り消しリストＲＬｉｊ＝｛（ｇ１ｉｊ，△）｝を初期化する。この場合、
【数７９】
2009033740.tif 000055
であり、△は、現在取り消しがない、すなわち、タプル（ｇ１ｉｊ，△）がＲＬｉｊ（ｊ＝１，２，…，ｎｉ）の最初の行であることを示す。
【０１２５】
次いで、上述した図８のステップＳ８０２で、リソース鍵生成手段４１０は、以下のように、Ｂｉｊおよびｇ１ｉｊの組ごとに、知識証明の署名を生成する。
Σij＝SKP{(xj) : Bij＝g2xj∧g1ij＝g1xj}，j=1, 2, …, ni
【０１２６】
また、上述した図８のステップＳ８０３で、ＲＨｉは、その公開鍵ＰＫｉＲＨ＝｛（Ｂｉｊ，ＲＬｉｊ，Σｉｊ）｝、ｊ＝１，２，…，ｎｉを発行する。また、それ自体によってＰＫｉＲＨを発行する代わりに、ＲＨｉは、｛（Ｂｉｊ，ＲＬｉｊ，Σｉｊ）｝をＰＡに送信し、代わりにＰＡにそれを発行させてもよい。
【０１２７】
実際に、ＰＡがＲｉｊごとに初期取り消しリストを生成することも可能である。例えば、本発明の代替実施形態において、ＰＡがリソースホルダーからリソース秘密鍵および公開鍵を取得する場合、またはＰＡがリソース秘密鍵および公開鍵を生成する場合、リソースの初期取り消しリストは、例えば、ＰＡの取り消し手段１２０１によって生成されてもよい。
【０１２８】
認証情報発行手順中、ユーザは、上述した図１０のステップＳ１００９のｖｉｊに加えて、ｗｉｊ＝ｖｉｊも格納し、この場合、ｗｉｊは、ユーザごとおよび権利ごとの取り消しの目的で追加される認証情報取り消しパラメータであって、初期値としてユーザ端末の取り消しパラメータ更新手段１４０１によって生成され得る。
【０１２９】
以下、ＰＡによってリソースＲｉｊに関するユーザ
【数８０】
2009033740.tif 000056
のリソース認証情報を取り消す手順について説明する。
【０１３０】
まず、ＰＡの取り消し手段１２０１は、リソースＲｉｊに関連する取り消しリストＲＬｉｊの最後（最新）の行からｇ１ｉｊを取り出す。
【０１３１】
次いで、取り消し手段１２０１は、
【数８１】
2009033740.tif 000057
を計算する。
【０１３２】
次いで、取り消し手段１２０１は、新しい行
【数８２】
2009033740.tif 000058
を取り消しリストＲＬｉｊに追加し、通信手段３４０によって更新された取り消しリストを発行する。
【０１３３】
ユーザ偽名鍵ｚおよび認証情報（ｖｉｊ，ｗｉｊ）を有する別のユーザＵについて考察する。すなわち、ユーザＵは、リソースＲｉｊにアクセスする権限が与えられている。リソースＲｉｊに関するユーザＵのアクセス権は取り消されないため、ユーザＵは、リソースＲｉｊについての更新された取り消しリストが発行されるたびに、すなわち、新しい行が追加されるたびに、リソースＲｉｊについてのその認証情報取り消しパラメータｗｉｊを
【数８３】
2009033740.tif 000059
に更新することができる。
【数８４】
2009033740.tif 000060
であることを検証するのは容易である。
【０１３４】
取り消しリストに新しい行が追加されるたびに、ユーザＵは、それに対応して、関連の認証情報取り消しパラメータを更新することができることに留意されたい。あるいは、ユーザＵは、定期的に、またはリソースの取り消しリストおよび最後の行における取り消し履歴（前の行）に従って、それが必要があるときのみ、更新を行うことができる。
【０１３５】
許可システムによって、ＰＡが
【数８５】
2009033740.tif 000061
をＲｉｊのリソースホルダーに送信し、リソースホルダーにＲＬｉｊを更新するよう頼むことも可能であることに留意されたい。こうした状況において、リソースホルダーの取り消しリスト手段は、取り消しリストの更新を行う。しかし、本発明のきめの細かい取り消しによれば、取り消しは、決してリソースホルダーの任意の機密鍵を使用しない。したがって、リソースホルダーの同意または関与無しに、ＰＡ単独できめの細かい取り消しを行うことができる。
【０１３６】
以下、本発明の第３の実施形態による許可手順について説明する。
【０１３７】
許可手順中、リソースプロテクタＲＰは、特に、リソース
【数８６】
2009033740.tif 000062
に対するユーザのアクセス権が取り消されるかどうかについて知りたがっていると仮定する。次いで、ユーザＵの取り消しパラメータ更新手段１４０１およびリソース保護ＲＰの取り消しリスト取得手段１５０１は、Ｒｉｊに関連する取り消しリストＲＬの最終行からｇ１ｋを取り出す。また、図１１を参照して上述した許可手順におけるステップＳ１１０３で、ユーザＵのフレキシブル認証情報生成手段５４０は、認証情報の選択されたサブセットによるフレキシブル
【数８７】
2009033740.tif 000063
認証情報に加えて、リソースＲｋの認証情報取り消しパラメータによる認証情報取り消し検証パラメータＷ＝ｗｋＴを計算する。
【０１３８】
次いで、図１１を参照して上述したステップＳ１１０４で、ユーザＵは、以下のように、知識証明の署名を計算する。
【数８８】
2009033740.tif 000064
【０１３９】
ここで、有効なΣは、ユーザＵがリソース
【数８９】
2009033740.tif 000065
に対するアクセス権を有することを証明するだけではなく、リソース
【数９０】
2009033740.tif 000066
に関するそのユーザのリソース認証情報が取り消されないことをＲＰに確信させる。一方、リソースＲｋのリソース認証情報が取り消されるユーザは、その認証情報取り消しパラメータを有効に更新することができないため、有効な知識証明の署名を生成することができず、したがって、許可手順をパスすることができない。
【０１４０】
ＲＰが取り消されるリソース認証情報がさらにあるかどうか（例えば、
【数９１】
2009033740.tif 000067
だけでなく
【数９２】
2009033740.tif 000068
も）について知りたがっている場合、ユーザＵの取り消しパラメータ更新手段１４０１は、さらに、リソースＲｍの認証情報取り消しパラメータｗｍを更新し、リソースプロテクタＲＰの取り消しリスト取得手段１５０１は、さらに、リソースＲｍに関連する取り消しリストＲＬの最終行からｇ１ｍを取り出す。さらに、図１１を参照して上述した許可手順におけるステップＳ１１０３で、ユーザＵのフレキシブル認証情報生成手段５４０は、認証情報取り消し検証パラメータＷ＝（ｗｋｗｍ）Ｔを計算する。次いで、図１１を参照して上述したステップＳ１１４０で、ユーザＵは、以下のように知識証明の署名を計算する。
【数９３】
2009033740.tif 000069
【０１４１】
当然、単一の知識証明によって、より多くの認証情報を、取り消されるかどうかについて同様に検証してもよい。高価な計算の必要な量は、本発明のきめの細かい取り消し機能に従って、取り消されるかどうかについて特に検証されるべきリソース認証情報の数に依存しない（すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じ）ことは、容易にわかる。
【０１４２】
本発明によるきめの細かい取り消し機能については上述した。当然、ＰＡによってトレースおよび取り消しを行う代わりに、システム内に追加のトレース機関および取り消し機関を設定して、本発明の上述した方法によりトレースおよび取り消しを行うことも可能である。
【０１４３】
さらに、ＰＡまたは追加の取り消し機関は、本発明に従って、きめの細かい取り消し機能およびきめの粗い取り消し機能（例えば、上記の第２の実施形態における偽名取り消しパラメータθを使用した取り消し）の両方を有することもでき、したがって、きめの細かい取り消しときめの粗い取り消しを選択的に行うことができる。当業者であれば、上記の説明を鑑みて、きめの粗い取り消しおよび関連する知識証明のパラメータを、きめの細かい取り消し機能を備える上記の方式に容易に組み込むことができるため、そのアルゴリズムの特定の説明は、ここでは省略する。本発明の代替実施形態によれば、きめの細かい取り消しおよびきめの粗い取り消しは、ＰＡの取り消し手段１２０１によって行うことができる。
【０１４４】
本発明が以下の影響を及ぼすことが上記の説明からわかる。
【０１４５】
ユーザは、許可された後、ユーザがその認証情報をＲＰに対して何度証明しようと、匿名のままでいることができ、さらにＲＨおよび／またはＰＡに連絡する必要はない。同時に、ＰＡの公開鍵が決定され、発行された後、ＰＡが対応することができるＲＨの数は、可変である。また、ＲＨの公開鍵が決定され、発行された後、ＲＨが管理することができるリソースの数は、固定されず、発行された認証情報の変更は必要ない。
【０１４６】
ユーザは、そのユーザのすべてのアクセス権のうちの任意の１つ以上をＲＰに対して選択的に証明することができると同時に、ユーザがアクセス権の任意の部分を証明するための計算コストは、証明される権利の数に依存しない（１つのみの権利を証明するためのものと同じである）。
【０１４７】
ＰＡは、ユーザの他の権利を変更することなく、ユーザのリソース認証情報のうちの任意の１つを取り消すことができる。また、ＰＡは、ＲＨの関与無しに、ユーザのアクセス権を取り消すことができ、言い換えれば、きめの細かい取り消しは、ＲＨの秘密鍵を必要とすることなく達成される。さらに、任意の数のリソース認証情報が取り消されるかどうかを検証するために必要な高価な計算の量は、一定しており、すなわち、単一のリソース認証情報が取り消されるかどうかを検証するためのものと同じである。
【０１４８】
本発明による特定の実施形態について、図面を参照して上述した。しかし、本発明は、図面に示される特定の構成およびプロセスに限定されない。
【０１４９】
例えば、安全を保証するために、上記の様々な対話に様々な対策を採用することができる。例えば、上記の認証情報発行手順における知識証明の署名を適用するステップでは、時変パラメータを使用して、反射攻撃およびインターリーブ攻撃を抑制して、一意性および適時性の保証を提供し、いくつかの選択文書攻撃を防ぐことができる（参照により本明細書に組み込まれる、Ａ．  Ｍｅｎｅｚｅｓ，  Ｐ．  ｖａｎ  Ｏｏｒｓｃｈｏｔ，  Ｓ．  Ｖａｎｓｔｏｎｅ，  Ｈａｎｄｂｏｏｋ  ｏｆ  Ａｐｐｌｉｅｄ  Ｃｒｙｐｔｏｇｒａｐｈｙ，  ＣＲＣ  Ｐｒｅｓｓ，  １９９６参照）。こうした時変パラメータには、例えば、タイムスタンプや乱数チャレンジなどがある。簡潔にするために、これら既知の方法の詳細な説明は、ここでは省略する。
【０１５０】
上記の実施形態では、一例として従来の乗法群表記法が使用される。しかし、楕円曲線設定値に使用される加法表記法も同様に使用できることを当業者であれば理解されよう。例えば、加法表記法が使用されるとき、上述したフレキシブル認証情報は、
【数９４】
2009033740.tif 000070
と計算される。
【０１５１】
上記の実施形態には、例として、いくつかの特定のステップが記載され、示されている。しかし、本発明の方法のプロセスは、記載されている特定のステップに限定されず、当業者は、本発明の意図を学んだ後、様々な変更、修正、追加を加えることができる。例えば、上記の第１の実施形態におけるステップＳ１１０１〜Ｓ１１−３において、ユーザは、派生偽名Ｔを生成した後、フレキシブル認証情報Ｖを生成する。しかし、ユーザは、tを選択し、最初にフレキシブル認証情報Ｖを生成し、次いで派生偽名Ｔを生成する。
【０１５２】
本発明によるＰＡ、ＲＨ、ユーザ端末、およびＲＰは、例えば、パーソナルコンピュータ、サーバ、携帯電話、携帯端末、ラップトップコンピュータなどのモバイル機器、または上記の様々な装置におけるソフトウェアモジュールのハードウェアなど、ネットワークにおけるまたはネットワークに結合される様々な装置として実装され得る。
【０１５３】
ＰＡ、ＲＨ、ユーザ端末、およびＲＰの構成の例として、いくつかの手段およびモジュールが、図面に互いに結合されているものとして示されているが、各装置に含まれる部分は、記載された手段およびモジュールに限定されず、その特定の構成は、修正または変更されてもよい。例えば、別々に示されているいくつかの手段が共に結合されてもよく、または１つの手段がその機能に従っていくつかの手段に分割されてもよい。例えば、示されている格納手段がいくつかの構成要素として実装されてもよく、そのそれぞれは、その手段のデータを格納する手段に組み込まれる。
【０１５４】
さらに、例示の手段およびモジュールは、それぞれ特定の機能を有するものとして示されているが、手段およびモジュールの機能的な分割は、示されている例に限定されるのではなく、任意に修正し、交換し、結合することができる。例えば、上述した偽名取り消し検証パラメータおよび認証情報取り消し検証パラメータは、ユーザ端末の派生偽名生成手段およびフレキシブル認証情報生成手段によってそれぞれ生成されるが、代わりに、様々な取り消しパラメータの計算が、取り消しパラメータ更新手段および追加手段によって行われてもよい。さらに、上述した関連の手段によって知識証明の署名を生成する代わりに、各装置は、さらに、関連の知識証明を行うための個別の知識証明手段を含んでいてもよい。
【０１５５】
さらに、ＰＡ、ＲＨ，ユーザ端末、およびＲＰのそれぞれは、他のパーティの機能を同時に有することができる。例えば、ＲＨおよびＲＰを、同じサーバに同時に実装することができる。
【０１５６】
さらに、特定の装置として実装されている場合、ＰＡ、ＲＨ、ユーザ端末およびＲＰは、さらに、例えば、情報をオペレータに表示するための表示装置、オペレータから入力を受信するための入力装置、各手段の操作を制御するためのコントローラなど、特定の装置に必要な他の手段を備えていてもよい。これらの構成要素は、当分野では知られているため、その詳細な説明は省略する。当業者であれば、上述した装置にそれらを追加することを容易に思い付くであろう。
【０１５７】
本発明の要素は、ハードウェア、ソフトウェア、ファームウェア、またはその組み合わせに実装することができ、システム、サブシステム、構成要素、またはそのサブ構成要素において使用することができる。ソフトウェアに実装するとき、本発明の要素は、必要なタスクを行うために使用されるプログラムまたはコードセグメントである。プログラムまたはコードセグメントは、機械可読媒体に格納したり、搬送波に組み込まれたデータ信号によって、送信媒体または通信リンクを介して送信したりすることができる。「機械可読媒体」は、情報を格納したり転送したりすることができる任意の媒体を含み得る。機械可読媒体の例には、電子回路、半導体メモリ装置、ＲＯＭ、フラッシュメモリ、消去可能ＲＯＭ（ＥＲＯＭ）、フロッピーディスク、ＣＤ−ＲＯＭ、光ディスク、ハードディスク、光ファイバ媒体、無線周波数（ＲＦ）リンクなどがある。コードセグメントは、インターネット、イントラネットなどのコンピュータネットワークを介してダウンロードすることができる。
【０１５８】
本発明は、その意図または本質的な特徴から逸脱することなく、他の特定の形に組み込むことができる。例えば、特徴が本発明の基本的な意図から逸脱しない限り、特定の実施形態に記載されたアルゴリズムを変更することができる。したがって、本実施形態は、あらゆる点で、限定ではなく例示とみなされるものとし、本発明の範囲は、上記の説明ではなく、添付の特許請求の範囲によって示され、したがって、特許請求の範囲の同等物の主旨および範囲に含まれるすべての変更は、本発明に包含されるものとする。
【図面の簡単な説明】
【０１５９】
本発明は、本発明の好ましい実施形態の以下の詳細な説明と、類似の参照符号が類似の部分を指す添付の図面とを併せ読めば、よりよく理解できる。
【０１６０】
【図１】本発明による解決策の一般的概念を概略的に示す図である。
【図２】本発明による認証情報の使用および取り消しを示す概要図である。
【図３】本発明の第１の実施形態によるＰＡの構成の一例を示すブロック図である。
【図４】本発明の第１の実施形態によるＲＨの構成の一例を示すブロック図である。
【図５】本発明の第１の実施形態によるユーザ端末の構成の一例を示すブロック図である。
【図６】本発明の第１の実施形態によるＲＰの構成の一例を示すブロック図である。
【図７】本発明の第１の実施形態によるＰＡのセットアップ手順を示すフローチャートである。
【図８】本発明の第１の実施形態によるＲＨのセットアップ手順を示すフローチャートである。
【図９】本発明の第１の実施形態によるルート偽名を発行する手順を示すフローチャートである。
【図１０】本発明の第１の実施形態による認証情報を発行する手順を示すフローチャートである。
【図１１】本発明の第１の実施形態による許可の手順を示すフローチャートである。
【図１２】本発明の第３の実施形態によるＰＡの構成の一例を示すブロック図である。
【図１３】本発明の第３の実施形態によるＲＨの構成の一例を示すブロック図である。
【図１４】本発明の第３の実施形態によるユーザ端末の構成の一例を示すブロック図である。
【図１５】本発明の第３の実施形態によるＲＰの構成の一例を示すブロック図である。
【図１６】従来の許可システムを示す図である。
【図１７】許可および取り消しの従来の方式を示す図である。
【符号の説明】
【０１６１】
３１０：システムパラメータセットアップ手段
３２０：識別検証手段
３３０：ユーザ偽名鍵割当手段
３４０：ルート偽名生成手段
３５０：格納手段
３６０：通信手段
４１０：リソース鍵生成手段
４２０：偽名検証手段
４３０：認証情報生成手段
４４０：格納手段
４５０：通信手段
５１０：ルート偽名取得手段
５２０：派生偽名生成手段
５３０：リソース認証情報取得手段
５４０：フレキシブル認証情報生成手段
５５０：格納手段
５６０：通信手段
６１０：偽名検証手段
６２０：フレキシブル認証情報検証手段
６３０：許可手段
６４０：格納手段
６５０：通信手段
１２０１：取り消し手段
１３０１：取り消しリスト手段
１４０１：取り消しパラメータ更新手段
１５０１：取り消しリスト取得手段
【図１】
2009033740.tif 000097
【図２】
2009033740.tif 000098
【図３】
2009033740.tif 000099
【図４】
2009033740.tif 000100
【図５】
2009033740.tif 000101
【図６】
2009033740.tif 000102
【図７】
2009033740.tif 000103
【図８】
2009033740.tif 000104
【図９】
2009033740.tif 000105
【図１０】
2009033740.tif 000106
【図１１】
2009033740.tif 000107
【図１２】
2009033740.tif 000108
【図１３】
2009033740.tif 000109
【図１４】
2009033740.tif 000110
【図１５】
2009033740.tif 000111
【図１６】
2009033740.tif 000112
【図１７】
2009033740.tif 000113
【外国語明細書】
2009033740000001.pdf