SCIS 2002
The 2002 Symposium on
Cryptography and Information Security
Shirahama,Japan, Jan.29-Feb.1,2002
The Institute of Electronics,
Information and Communication Engineers

電子権利流通方式対に関する特性分析副島 晋∗松浦 幹太 ∗

今井 秀樹 ∗Abstract— 電子権利を安全に流通させる技術は、電子社会を構成する上で極めて重要である。電子マネーもその一種であると見なせる。従来、個々の電子権利流通方式それぞれ単体で研究がされてきた。
しかし本来、権利を渡す場合には何らかの対価となるものとの交換がなされると考えるのが自然である。
その対価も広義には権利であり、電子権利流通方式は、２つのシステムが稼働している環境で考察すべき研究対象である。本論文では，ある具体的な電子権利流通方式について方式単独では可能となってしまう攻撃例を取り上げ，対価と交換するという状況での攻撃防止法を提示して方式対を考察することの重要性を説く．
Keywords: 電子権利 対価 耐タンパー性 権利定義 トークン

1

はじめに

2

汎用的な原本性保証方式 [4]広義の電子権利を流通させる技術は，電子社会を構成

文献 [4] の方式（ 以後，同文献著者の頭文字を 並べする上できわめて重要である．例えば電子マネー [1]–[3]もその一種であるとみなせる．従来，個々の電子権利流THFS 方式と記す）の特徴は，バランス型の電子現金システムの問題点を解決し，様々な権利の発行者が，様々通方式は各々単体で研究がされてきた．しかし本来，権な種類の権利を発行することを可能にした点である．

利を渡す場合には何らかの対価との交換がなされると考文献 [4] で著者は電子権利の流通を可能にするためのえるのが自然である．その対価も広義には権利であり，条件として，多様性への対応，安全性の確保，実用性の電子権利流通方式は，2 つのシステムが稼動している環確保をあげている．多様性への対応のための要素は，権境で考察すべき研究対象である．しかし，電子権利の流利の多様性，発行者の多様性，安全性の確保に必要な要通に関して，このような視点での本格的な分析はなされ素に，改竄防止，偽造防止，複製防止，プライバシーのてこなかった．

保護，公平性の確保，実用上の確保のための要素として，例えば ，ある電子権利流通方式に，何らかのセキュリオフライン性，スケイラビ リティ，プライバシーの保護ティ上の問題点があったと仮定する．この場合でも，対である．公平性の確保とは，権利の移送が完了したにも価を構成するための流通方式と同時に稼動させる際に何かかわらず，権利を受け取った人物がまだ，受け取ってらかの工夫をすれば，その問題点を解決できる可能性がいないと主張することを防ぐことにより，権利の送信者ある．本論文では，その具体例を挙げ ることによって，にとって不公平な状態になることを防ぐことである．こ

電子権利流通方式の研究で二つのシステムの組み合わせ

れらは従来の電子証明書，電子現金に求められる安全性方が実際の安全性にとって重要であることを示す．の要素と同じである．しかし，両者ともに，そのままでそのために，まず第二章で，電子権利流通方式基盤のための汎用的な原本保証方式 [4] を紹介し，その方式単電子権利流通に適しているわけではない．
まず，電子証明書について考える．電子証明書とは，独で考えた場合の問題点を指摘する．続いて第三章では，

文献 [4] では電子署名を施された電子情報と位置付けら対価と交換されながら，その電子権利が流通していくモれている．電子署名は誰でも利用できるので，多様性へデルを記述し，そのモデルの下で問題点を克服する仕組の対応を満たす．また，電子署名は改竄防止，偽造防止みを提案する．

も満たす．しかし，電子署名は複製を防止する手段をもたない．複製を防止する方法には，PKIX[5] や SPKI[6],[7] などがあるが，PKIX は権利の所有者は，その権利を∗

東京大学生産技術研究所 情報システム部門 〒 153-8505 東
京 都 目 黒 区 駒 場 4-6-1 , Infomation and Systems Department , Institute of Industrial Science, The Univercity ofTokyo, 4-6-1 Komaba, Meguro-ku, Tokyo 153-8505, Japan,
Email:soejima@imailab.iis.u-tokyo.ac.jp,{imai,kanta}@iis.utokyo.ac.jp

発行された人物に限定され，SPIK は権利を他社に委譲するときに，委譲元に権利が残ってし まうという欠点がある．
次に，電子現金システムについて整理する．電子現金システムは，文献 [2] によると，口座型，履歴検証型，バデバイスに記録する．権利定義とは，権利を行使して得ラン ス型の 3 種類のシステムに大別される．口座型は，られる対価の内容を記述した情報である．また，トーク電子現金等の電子権利の所持，使用記録をサーバー上でンとは権利の発行者が利用者に対して，権利の原本性を集中管理するシステムである．二重使用の検出は，口座保証する情報である．権利を発行するとき，および譲渡に対する更新処理の矛盾をつくことによりできる．しかするときは，まず発行元および譲渡元の人物が，発行先し，このシステムでは利用時にサーバーと交信する必要

および 譲渡先の人物に権利の定義を渡し，相手のフィンがあるので，オフライン性が損なわれてしまう．また，ガープ リントなどを受け取ったあと，トークンを自身か履歴検証型は電子権利の流通時に，権利に流通履歴を付ら削除，移送するという手順を踏む．フィンガープ リン

随させ，還流時に流通履歴を検証することにより二重使

トは，権利を発行される人物および譲渡される人物が権用を事後検出する．しかし，この方式では二重使用を事利を複製することを防ぐ ために発行するものである．本後検出するので，流通時に不正を検出できず，権利の有論の以下の節では，権利の譲渡処理が行なわれる過程を効性を流通時に保証できない．バランス型の電子現金シまとめる．そして，この方式単独で考えた場合に可能とステムは耐タンパー性が権利の二重使用を防ぐので，流なる攻撃を 1 つ指摘する．

通中の権利の有効性が保たれる．しかし，このシステムでは限られた発行者に発行された権利を，限られた発行者の認証情報を固定的に記録した耐タンパーデバイスで扱うことを前提としているので，限られた発行者が発行した権利しか扱えない．

THFS 方式は，従来方式では完全に満たすことができなかった電子権利流通を可能にするために，バラン ス型
電子現金方式に近いけれどもその問題点を解決したものとなっている．これにより電子権利の改竄，偽造，複製を防いでいる．さらに，トークンの移送には電子署名を

図 1: 権利の流通過程用いて権利，発行者の多様性を確保している．

2.1

方式の概要

THFS 方式は，電子化した証券やチケットなど の権利を，権利の原本性を保証した状態で送信するための手法である。複製など の不正を防止するために，IC カードなどの耐タンパー性を有するデバイスを用いて権利を保持し，取引に利用する．このシステムでは，発行者，利用者，改札者が存在する．

• 発行者：

利用者へ電子権利を発行し，発行した権利を保証する• 利用者：

権利の所有者で，改札者に対し権利を行使したり，他の利用者に権利を譲渡することができる• 改札者：

2.2

権利の譲渡処理

プロトコルの説明にあたり，以下の用語と記号と定義する．

• トークン交換形式 (TEF)：
トークン，チャレンジ，権利の送り手の公開鍵と電子署名• チャレンジ：

権利の受け手のフィンガープ リントと受け手が任意に生成するセッション番号• 信任情報： IC カード の耐タンパー性を証明する
情報．耐タンパー性を保証する第 3 者のフィンガー
プ リントの集合，これらの情報のほかに，利用者と改札者が保有する利用者から電子権利を回収し，権利の内容に応じた対価を提供する

セッション集合 S と，発行者リスト L がある．
有効セッション集合 S は，有効なチャレンジを識別するためのセッション番号の集合である．これは，利用者発行者は権利を発行する役割を，利用者は権利の譲渡，や改札者が各々管理するもので，セッション番号を発行実行を，改札者は権利を行使した利用者に対し，対価をするごとに，有効セッション集合に付け加える．有効セッ提供する役割を果たす．また，発行者の認証情報を ICション集合は IC カード によって管理され，不正に削除カード に固定させないため，任意の発行者が IC カードされることはないものとする．セッション番号についてに対して，権利を発行できる．以下，図 1 に権利の流通は後で述べる．

過程を示す．

また，発行者リスト L は，利用者，改札者が信頼してこの方式では電子権利を権利定義とトークンに分割し扱える権利を発行する発行者が掲載されているリストでて，トークンを IC カード などの耐タンパー性を有するある．このリストは，発行者のフィンガープ リントの集合であり，発行者リスト L に自身のフィンガープ リントた受け渡しで U2 が発行したセッション番号を s’:=c2 とが含まれる発行者が発行した権利だけが，利用者，改札する．
図 2 の の通信している過程で U2 がセッション番号者ともに扱うことができる．原本の汎用性は，このリストによって確保されるものと考えられる．

2.3

譲渡プロト コルs を昔の s’ にすりかえるとする．次に， のトークン交換形式が U1 から送信されてきたときに，EU1 の中に含まれる s’ を s に戻す．戻す理由は，もともと U2 は s を権利の譲渡は，権利定義とその権利の発行者 I に対応

セッション番号として生成しており，さらに自身の IDするトークンを，権利を譲渡する利用者から譲渡を受けカード の耐タンパー性によって自身の ID カード に収納る利用者へ移送することで，成立する．ここでは，権利されている s を s’ に変更することができないからであを譲渡する利用者を U1 ，権利を譲渡される利用者を U2る．そのまま，U1 からの TEF に s’ が含まれたままであとして，譲渡の過程を説明する．

れば，TEF 受け取りができないので，通信路上で s’ を

1. U1 は，耐タンパー証明と，譲渡する権利の権利定義，信任情報を U2 に送信する．

2. U2 は，チャレンジを作成し，チャレンジの中のセッション番号を有効セッション集合 SU2 に加える．チャレンジは，U2 のフィンガープ リントと，セッション番号の組み合わせで，セッション番号は譲渡を受ける利用者が生成する．

3. U2 が U1 に対し，チャレンジ CU2 を送信する．
4. U1 はトークンを削除し ，TEF である EU1 を作成する．

5. U1 は U2 に EU1 を送信する．U1 は EU1 を保持する．
6. U2 は EU1 を検証する．
7. 上記の検証によって，EU1 の正当性が確認されたら，U2 は有効セッション集合 SU2 からセッション番号を削除し，トークンを IC カード に格納する．
8. U2 から U1 に対して，受領証 RU2 を送信する．受領証 RU2 は，U2 の公開鍵と，U2 がチャレンジに対して電子署名したものである．

9. U1 は RU2 を確認し，正当性が認められたら保持していた EU1 の複製を消去する．
以上のプ ロセスを通じて，権利が U1 から U2 に譲渡される．上記のプロセスを図 2 に示す．

2.4

セキュリティ上の問題点

この方式には，不正な受領証で引き起こされるセキュリティ上の欠陥がある．権利を受領するユーザーがセッション番号を一意的に作成でき，かつ耐タンパー性を有するデバイスでセッション番号 s を管理したとしても，チャレンジ s を平文で送信する以上，通信路上で複製・再送される攻撃にあう恐れがある．

U2 が権利を受け取っていながら，受け取っていないと主張する場合を説明する．U1 から U2 へ権利定義 m であらわされる権利の受け渡しが，今行なわれているとする．また，同じ権利定義 m であらわされる権利の受け渡しが過去に U1 以外の相手である U3 とあったとする．
今行なわれている受け渡しで U2 が発行するセッション
番号を s:=c2now ，過去に U3 から U2 に対して行なわれs に戻す必要があるのである．そして， の過程で受領証 RU2 の SP kU2 (c1now ||c2now ) を SP kU2 (c1now ||c2) にすり替える．ここで，SP kU2 (a) とは，U2 が メッセージ aに対して電子署名を行なったという意味である．こうして，U2 は U1 から権利を受け取って，U1 にかつて U1 以外の人に対して発行した受領証とまったく同じ物を発行できる．
権利の譲渡処理が終わったあと，権利を受け取ったはずの U2 が「 権利をまだ受け取ってない」と U1 に対して主張する．U1 は権利を渡した証拠として，U2 に対し，受領証 RU2 を提示する．すると，U2 はその受領証を見て，「 それは昔，U3 から権利を受け取ったときに発行した受領証だ．
」と主張できる．

2.5

問題の解決法

耐タンパー性をもつデバ イスの中で，すべてのエンティティで同期している時計を共有していれば，チャレンジにタイムスタンプを添えることによって，先ほど 指摘した攻撃を防ぐ ことができる．しかし，そのような信頼できる時計の仮定は，大変強い仮定である．そこで，本論文では，そのような強い仮定に頼らず，権利を交換するもうひとつのプロセスとのリンク関係を巧みに利用することにより，実現できる対策を示す．

3

権利交換プロト コル

3.1

概要

前のセクションで述べた安全性に対する問題点を解決するために，図 2 で説明したプロトコルに，U2 から U1に対して電子的な対価を送信するプロトコルを組み合わせた権利の交換プロトコルを提案する．
実際の電子商取引などの権利の流通に際しては，例えば図 2 のケースで言えば，U1 と U2 の間では U1 から U2へ単に権利の譲渡が行なわれるよりは，U2 から U1 に対して何らかの対価が渡されることが自然であると考えられる．そこで，権利交換プロトコルでは，電子権利とそれに対する電子権利の対価の交換が行なわれ るとする．
以降，電子権利に対する対価を「電子対価」と記述する．

TEF

TEF
TEF
TEF
TEF

図 2: 権利の譲渡プロトコル

3.2

プロト コルの詳細提案するプロトコルは図 2 で説明したプロトコルと原理は同じである．ただし，U2 から U1 に対して電子対価が送信されるプロトコルは，U1 から U2 に対して電子権利が送信されるプロトコルより一往復の半分だけ遅れてと U2 のフィンガープ リントに対して電子署名（ 以下これを c2now とする）をしたものを送信する．

4. U1 → U2：U1 はチャレンジを確認し，TEFU1 を作成し自身に複製を記録する．また，トークン T1 を消去する．ここで TEFU1 は U1 から U2 へ渡す権利始まり，一往復遅れて終了する．ここでは，権利を送信のトークン交換形式で，T1 は U1 から U2 へ渡す権する側の人物を図 2 と同じく U1 ，権利を受け取り対価を利のトークンである．

U1 に対して送信する人物を U2 とする．また，U1 が生成するセッション番号を s1now ，U2 が生成するセッション番号を s2now とする．以下図 3 にプロトコルの説明図を掲載する．図 3 の中で網掛けをして説明している部分は，U2 から U1 へ権利を渡すプロセスである．また，以下の説明では，分かりやすいように U1 から U2 へ権利を渡すプロセスはプロセスの説明の前に U1 → U2 ，U2から U1 へ権利を渡すプロセスはプロセスの説明の前にU2 → U1 と記述する．なお，以下の説明番号が同じ物に関しては，U1 → U2 と U2 → U1 のプロセスが同時に行なわれるものとする．

U2 → U1：U1 は，U2 から受ける電子対価に関するチャレンジを作成する．このチャレンジを CU1 とする．CU1 の中身は，U1 のフィンガ ープ リント，U1が作成したセッション 番号 s1now ，そし て c2now である．

5. U1 → U2：U1 から U2 へ TEFU1 を渡す．
U2 → U1：U1 から U2 へ CU1 を送信する．
6. U1 → U2：U2 は TEFU1 を確認し，T1 を記録する．
さらに，U1 から T1 を受け取った受領証である RU2を作成する．RU2 は U2 のチャレンジ C2 に対する電子署名と，U2 の公開鍵の組み合わせである．

1. U1 → U2：U1 は U2 へ自身の耐タンパー証明と，U2U2 → U1：U2 はチャレンジを確認し，TEFU2 を作成し自身に複製を記録する．また，トークン T2 をへ渡す権利の権利定義，信任情報とセッション番号消去する．ここで TEFU2 は U2 から U1 へ渡す電子s1now と U1 のフィンガープリントに対して電子署名（ 以下これを c1now とする）をしたものを送信する．

2. U1 → U2：U2 はチャレンジを作成する．このチャレンジを CU2 とする．CU2 の中身は，U2 のフィンガープ リント，U2 が作成したセッション番号 s2now ，
そして c1now である．

3. U1 → U2：U2 から U1 に対して，チャレンジを送信する．
U2 → U1：U2 は自身の耐タンパー証明，U1 に渡す
電子対価の定義，信任情報とセッション番号 s2now

対価のトークン交換形式で，T2 は U2 から U1 へ渡す電子対価のトークンである．

7. U1 → U2：U2 から U1 へ RU2 を渡す．
U2 → U1：U2 から U1 へ TEFU2 を渡す．
8. U1 → U2：U1 は RU2 を受け取る．
U2 → U1：U1 は TEFU2 を確認し，T2 を記録する．
さらに，U2 から T2 を受け取った受領証である RU1を作成する．RU1 は U1 のチャレンジ C1 に対する電子署名と，U1 の公開鍵の組み合わせである．

9. U2 → U1：U1 から U2 へ RU1 を渡す．

U1

U2

U1
c1 now

CU2
EU1

T1

CU2

CU2
U2

c2 now

CU1
TEFU1

TEFU1

CU1
RU2
TEFU2

T1
RU2
RU2

CU1
EU2
T2

RU1

RU1

TEFU1T2RU1

図 3: 権利交換プロトコル

10. U2 → U1：U2 は RU1 を受け取る．
なお，U1 と U2 が所有するデバイスは耐タンパー性がに際して生成したセッション番号を s2old ，U1 が過去に電子対価の受け取りに生成したセッション番号を s1old ，また s1old ，s2old に U1 ，U2 がそれぞれ電子署名を施し保証されるものとする．

たものを c1old ，c2old とし，以後この表記を用いて説明

4する．

安全性解析
図 3 で説明したプ ロトコルで利用され る利用され る

U2 が過去に U1 から今回受け取るのと同じ権利 m を受け取ったことがあり，そのとき利用した s2old を U2 はセッション 番号は，s1now と s2now で，セッション番号どこかにとっておいてあったとする．図 3 の で U2 はを含むパラメタは c1now と c2now である．従って，攻撃セッション番号 s2now を作成する．それによって U2 はの対象となるものは上記の四つである．

自身の耐タンパーデバイスの中に s2now をもつことにな

このプロトコルで防ぐ べき攻撃は，受領証を改竄し，る．しかし，U2 は U1 に昔のセッション情報を受け取ら権利を受け取ったのに，受け取っていないと主張する攻せたいので，ネットワーク層で s2now と s2old を入れ替撃である．

える．すると， で U1 は s2old を受け取り，これを記

U1 から U2 へ権利を送信する場合，権利を持ち逃げしようとする U2 が攻撃対象とするのは U2 が受領証に書録する．U2 は で受け取る U1 からのチャレンジを含む

き込む CU2 に含まれる s2now ，c1now である．以下では，TEFU1 には s2old が含まれているので，s2now に戻す．さらに， で U1 に渡す RU2 に含まれるチャレンジに含まここで挙げた四つのパターンの攻撃に対する耐性を示す．

れる s2now を s2old に変えて U1 に渡す．

なお攻撃を受ける側はできる限りの防御策をとっているものとする．

4.1

U2 の s2now に対する攻撃

U2 は までのプロセスが完了してから，受け取っているにもかかわらず「 U1 からは権利を受け取っていない，U1 が今もっている受領証はかつて権利を受け取ったときの受領証だ」と主張する．すると U1 は今回受け取っ

s2now に対する攻撃は U1 ，U2 の利用しているデバイた受領証と過去に受け取った受領証を証拠として調停者

スに耐タンパー性があるので，U1 U2 間のネットワークに提示する．U1 が s1old と s1now をまったく変えないで層で行なわれる．ここで，U2 が過去の権利の受け取り権利を渡していた場合には，U2 が今回作成した偽の受領証と過去の受領証が一致してし まい，攻撃が成立してこで，電子権利の譲渡と電子対価の受け取り双方に両方し まうが，U1 は攻撃から自身を守るべきなので，s1old式を用いて，組み合わせ方を工夫した．それにより，指と s1now は別なものを利用していると考えるのが自然で摘した安全性問題を解決した．

ある．従って，U1 がセッション番号を間違えて重複利用しない限り，U2 の主張は退けられる．

4.2

U2 の c1now に対する攻撃

第 2 章の冒頭で触れたとおり，実用化されているものも含め，電子権利流通方式には様々なものが存在する．
電子権利の譲渡に利用するシステムと電子対価の受け取りに利用するシステムの組み合わせは様々なものが考え4.1 では，U1 がセッション番号を再利用しないというられ，それらの組み合わせによって様々な問題が起こり仮定の下で攻撃をふせげた．そこで，c1now を c1old と入うると考えられる．今後は，種々の場合の特徴をまとめ，れ替える攻撃を U2 が行なう場合を考える．

それぞれのシステムの安全面の問題点を指摘し，改善策

U2 は，U1 にかつて権利を受け取ったときとまったく同じ受領証を渡すことができれば攻撃が成功したことにを提案してゆく予定である．そして可能ならば，汎用性の高い組み合わせ方を探求したい．

なる．U2 が生成するセッション 番号に対する攻撃だけ
では，攻撃が成功しないので，U1 が発行するセッション番号に対する電子署名も同様の改竄攻撃を行なう必要がある．しかし ，U1 はにおいて電子署名をすでに発行しているので，その後 U2 から C1now をすり替える攻撃を受けても U1 自身が受領証を送付する前に気づくことができる．従って，U2 が U1 の発行するセッション番号に対する電子署名へ攻撃しても，成功することはない．

4.3

U1 の s1now に対する攻撃

次に U1 が U2 に対する攻撃をする場合を考える．この場合の攻撃が成功すると，U1 は U2 から受け取った電子対価を持ち逃げすることができる．
かつて U1 から U2 の間で電子対価 n の受け渡しが成功したとする．U2 が U1 に電子対価を送信するプロセスを開始するのは，図 3 の からである． において U1はセッション番号 s1now を作成するが，攻撃を成功させるためには昔のセッション番号 s1old を最終的に受領証RU1 に U2 に（ 気がつかれないように）内包させて，U2に渡す必要がある．
しかし 4.1 と同様に，U2 がセッション番号の再利用をしなければ，U1 が仮に s1old を U2 に対して渡すことができたとしても，かつての受領証と一致することはない

参考文献[1] 中山靖司，太田和夫，松本勉：電子マネーを構成する情報セキュリティ技術と安全性評価，日本銀行金融研究所，IMES Discussion Paper Series, 98-J-26,Nov. 1998
[2] Wayner, P.:Digital Cash, AP Professional, Chestnut Hill, Mar.1997[3] Mondex International:

Mondex electronic cash.

http://www.mondex.com/[4] 寺田雅之，花舘蔵之，藤村孝，関根純:電子権利流通基盤のための汎用的な原本性保証方式，情報処理学会論文誌，Vol.42 No.8 Aug.2001[5] Farrell, S. and Housley, R.: An Internet Attribute Certificate Profile for Authorization, Internet Draft, IETF PKIX Working Group 2001. draftieft-pkix ac509prof-09.txt[6] Ellison, C.M., Frantz, B., Lampson, B., Rivest, R.,
Thomas, B. and Ylonen, T.: RFC 2693: SPKI Certificate Theory 1999.

ので，攻撃は成功しない．

4.4

U1 の c2now に対する攻撃

4.2 で示した場合と同様に，c2now が改竄された場合，プロセスの途中で U2 は c2now が改竄されていることに気がつき，U2 自身の受領証を発行する前にプロセスを断つ事ができる．従って，U1 の c2now に対する攻撃も成り立たない．

5

まとめ
本論文では，電子権利流通方式の研究において 2 つのシステムが組み合わせた電子権利交換システムを考察することの重要性を示すために，汎用性のある代表的な方式 [4] を単独で用いた場合の安全性問題を指摘した．そ[7] 菊池浩明，川倉康嗣：SPKI/SDSI の承認証明書のフ
レームワークを利用した電子学生割引証．情報処理学会研究報告，99-CSEC-5-5, pp.25–30, May 1999