認証システム
【課題】認証システムの秘密共有のメンテナンスを、人から通信システムへ移行する。
【解決手段】自然乱数を発生する第１の乱数発生源([X])と、前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した第１の暗号文([X1]+[X２])を含む識別子を有する１：１認証子とを備える。
【解決手段】自然乱数を発生する第１の乱数発生源([X])と、前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した第１の暗号文([X1]+[X２])を含む識別子を有する１：１認証子とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証システムに関し、より詳細には、１：１認証子を備える認証システムに関する。
【背景技術】
【０００２】
一般に、認証システムは、秘密を予め共有し、この予め共有した秘密を見せ合うことにより、秘密共有者の間で相互の認証が為される。
【０００３】
しかしながら、従来の認証システムでは、秘密の共有にコストが掛かり、共有する秘密を頻繁に更新することが難しかった。
【０００４】
このため、従来は、（１）共有した秘密を更にコストを掛けて維持するようにしており、その結果（２）万一、秘密が漏れ、それが不正に利用された時に、その不正利用者を見破ることが極めて困難であった。
【０００５】
この点、秘密の漏洩は、現実には人が神ならざることに起因する。
【０００６】
即ち、暗号の数理的強度以前の、それを運用する仕組みの中に問題があり、そこに人が介在することに起因している。
【０００７】
例えば、現代の暗号の鍵が漏れるとしたら、それは多分に人の介在を原因とし、同様に、カード番号或いはクレジット番号等のID情報の漏れにも、人的要素が絡む。
【０００８】
この種の情報漏れは、システムもユーザも認識できず、情報漏れに基づく被害がクローズアップされるのを座して待つことになる。
【０００９】
つまり、ＩＤ情報の保管に絡む場合を含め、認証のための秘密共有は、常に、
1) その値を一定不変に保ち、
2) その値を秘密に保管する
というメンテナンスを伴って、初めて完遂できる。
【００１０】
しかるに、このメンテナンスは、今のところまだ人の規範(best effort)に託されており、それが情報漏れの温床になっている。
【００１１】
こうしたメンテナンスにおける人的規範への依存性を緩和する手法として、チャレンジ・アンド・レスポンス（Challenge & Response）方式の１：１認証子であるチャップ(ＣＨＡＰ：非特許文献参照)が知られている。
【非特許文献１】CHAP（PPP Challenge Handshake Authentication Protocol）
【００１２】
Network Working Group: W. Simpson
Request for Comments: 1994 DayDreamer
Obsoletes: 1334 in August 1996
Category: Standards Track
（要約）The Point-to-Point Protocol (PPP) provides a standard method for transporting multi-protocol datagrams over point-to-point links. PPP also defines an extensible Link Control Protocol, which allows negotiation of an Authentication Protocol for authenticating its peer before allowing Network Layer protocols to transmit over the link. This document defines a method for Authentication using PPP, which uses a random Challenge, with a cryptographically hashed Response which depends upon the Challenge and a secret key. RFC 1994, PPP CHAP: This authentication method depends upon a "secret" known only to the authenticator and that peer. The secret is not sent over the link.（ポイント・ツー・ポイント・プロトコルＰＰＰは、ポイント・ツー・ポイント・リンクを介してマルチプロトコル・データグラムを移送する標準方式を与える。ＰＰＰはまた、延長可能なリンク・コントロール・プロトコルを規定し、これは、ネットワーク・レイヤー・プロトコルにリンクを介した伝送を許可する前に、そのピアの認証を行う認証プロトコルの折衝を許可する。この文書は、ＰＰＰを用いた認証の方法を規定し、これはランダムなチャレンジを行い、その際、秘密鍵とそのチャレンジに依存した暗号学的ハッシュ応答を用いる。RFC1994,PPPチャップ：この認証方式は、認証者及びそのピアにのみ知られた“秘密”に依存し、この秘密はリンクを介して送信されない。）
【発明の開示】
【発明が解決しようとする課題】
【００１３】
しかしながら、このチャップは、前記1)と2)の秘密のメンテナンスを、人が行うものであり、後述の記載より明らかなごとく、人工的（artificial）要素が残存し、安全性に難がある。
【００１４】
本願は、前記1)と2)の秘密のメンテナンスを、人から通信システムへ、実用上は当然、理論面でも安全に移行することが可能な、いわば神の手に委ねた１：１認証子を備える認証システムの技術を模索する。
【００１５】
そして、秘密共有を通信のセッション毎に安全に更新する情報技術を考える。
【００１６】
この技術によれば、通信の終了時に、新しい秘密共有が成立し、通信の開始時に使われた秘密共有を使い捨てにできる。すなわち、秘密の共有が過去の出来事になり、その秘密が漏洩したとしても、それは過去の秘密になる。
【００１７】
この点、過去の秘密と現在の秘密とが情報論的に独立していれば、もはや情報漏れは恐れるに足らない。
【００１８】
それだと、正規ユーザだけを認証するシステムの構成も可能になる。
【００１９】
本発明は、以上の点に鑑み為された。
【００２０】
なお、本発明において、1:1認証子とは：
自然乱数による乱数の暗号化と復号化を行うシステム要素又はその入出力情報（例えば、暗号文）と；
自然乱数による乱数の暗号文をハッシュ関数に入力するシステム要素又はその入出力情報と；
乱数の暗号文とハッシュ関数値とを1対にして送信及び受信する通信部分としてのシステム要素又はその入出力情報（例えば、識別子及び確認子）と、を備えて構成される。
【００２１】
また、説明を明瞭に行うため、本明細書に、次の記号を援用する。
【００２２】
[X]: 自然乱数発生源である。
【００２３】
[Y]: 乱数発生源(自然乱数または擬似乱数)である。
【００２４】
[Z]: 自然乱数発生源である。
【００２５】
Yn : 一定の桁数の確率変数である。
【００２６】
但し、n : インデックス、n = 1,2,……,n
[Xn] : 一定の桁数の自然乱数のブロックをである。
【００２７】
[Yn] : 一定の桁数の乱数のブロックである。
【００２８】
[Zn] : 一定の桁数の自然乱数のブロックである。
【００２９】
|[Xn]| : 自然乱数ブロックの桁数である。
【００３０】
H() : (）内の変数のシャノンエントロピ（Shannon entropy）を求める関数である。
【００３１】
h(): （）内の変数のハッシュ値を求める関数である。
【００３２】
+: 排他的論理和である。
【課題を解決するための手段】
【００３３】
請求項１に係る認証システムは、自然乱数を発生する第１の乱数発生源([X])と、前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した第１の暗号文([X1]+[X２])を含む識別子を有する１：１認証子とを備えることを特徴とする。
【００３４】
また請求項２に係る認証システムは、請求項１記載の認証システムにおいて、乱数を発生する第２の乱数発生源([Ｙ])を更に備え、前記１：１認証子は、前記第２の乱数発生源で発生した第１の乱数のブロック([Ｙ1])により前記第２の乱数発生源で発生した第２の乱数のブロック([Ｙ２])を暗号化した第２の暗号文([Ｙ1]+[Ｙ２])を含む確認子を有することを特徴とする。
【００３５】
また請求項３に係る認証システムは、請求項１又は２に記載の認証システムにおいて、前記識別子は、前記第１の暗号文のハッシュ値を含むことを特徴とする。
【００３６】
また、請求項４に係る認証システムは、請求項１乃至３のいずれかに記載の認証システムにおいて、前記１：１認証子の交換により秘密の共有状態を自動的に更新することを特徴とする。
【発明の効果】
【００３７】
本発明は二者間の秘密共有やユーザＩＤの安全性を確保しつつ更新する問題を解決したものである。すなわち、二者間の秘密共有のメンテナンスを人の手からシステムに安全に移行させる技術である。
【００３８】
効用は、次の点にある。
【００３９】
（１） 漏れたＩＤ情報を無効にする。
（２） 人からの情報漏れを困難にする。
【００４０】
なお、以下の説明では、認証子を備える認証システムを、しばしば、認証子システム、又は単に認証子と簡略に表現する。
【００４１】
請求項１に係る発明に関し、通常の暗号化の仕組みにおいては、鍵と平文は別の確率事象に属するが、当該1:1認証子は同じ乱数発生源から出力されるところの「乱数による乱数自体の暗号と復号の仕組み」の上に構成される。
【００４２】
すなわち、自然乱数ブロックの独立性を鍵と平文の関係に反映させる乱数の配送法である。これが1:1の認証子を構成する基礎である。
【００４３】
通信路をはさんだ二者（ピア）の片方または両者とも乱数発生源[X]を備える環境にて、発生源[X]から得た(1-1)式に示す二つの乱数ブロック[Xn]と[Xn+1]の桁数が等しく
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
(1-1)式のペアが下記(1-２)式の独立性
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
H(): Shannon entropyを計算する関数
を満たす時、あるいは(1-1)式のペアが(1-2)式に代わる予測困難性を満たす時、下記(1-3)(1-4)式に示すように、インデックス nが示す順に発生源[X]が出力した乱数[Xn]を鍵Ｋに用い、その後に出力した乱数[Xn+1] を平文に用いる。
【００４４】
即ち、
鍵Ｋ = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
これにより、乱数ブロックの独立性(1-２)式を暗号化と復号化の必須要件に反映させる一方、通信路をはさんだ二者に対し、予め人が初期値[X1]を設定する秘密共有を行い、それによって二者を特定の1:1関係にする「自然乱数による乱数の暗号と復号の仕組み」（図１参照）である。
【００４５】
請求項１に係る発明の暗号化と復号化の必須要件とは鍵と平文が独立に選ばれることである。この要件を乱数の配送の都度満たしたのが「自然乱数による乱数の暗号と復号の仕組み」である。この仕組みのアルゴリズム上のポイントは二つある：第一に、ランダムに選ばれた初期値[X1]が鍵の機能を果した後、[X1]に代わってn = 2の乱数ブロック[X2]が鍵になることである。第二に、鍵[X2]が設定された後に、新たな平文乱数ブロック[X3]が乱数発生源[X]から与えられることである、その結果として、鍵と平文の独立性(1-2)式を常に維持することの二点である。
【００４６】
上記仕組みの結果、乱数の配送の都度、次の安全性を達成する：
まず、(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００４７】
なお、(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和は、常に、
H([X1] + H([Xn]) ---------(1-9)
だけのエントロピーを持つことが容易に計算できる。
【００４８】
(1-9)式の意味するところは、本発明の「乱数による乱数の暗号と復号の仕組み」によって乱数ブロック[Xn]が安全に配送されること、初期値[X1]のエントロピーは常に維持されていることである。
【００４９】
つまり、暗号のエントロピーは初期値[X1]に依存するが、乱数ブロック[Xn]の系列は初期値[X1]から派生したものではない。
【００５０】
請求項２に係る発明に関し、これは、請求項１に係る発明の1:1関係を基礎とし、初期値を2個持った1:1の関係を規定する。
【００５１】
すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め秘密に共有することを特長として、二者を特定の1:1関係に規定する。
【００５２】
初期値[X1]及び初期値[Y1]の役割は異なる、初期値[X1]と初期値[Y1]も互いに独立であるから、請求２に係る発明は後述の図１と図２の1:1関係を重ね合わせた状態になる。
【００５３】
通信路の両端に居る二者AとBの内、一方のＡは(1-2)式を満たすと考えられる乱数発生源[X]を備え、他方のＢも(2-1)式を満たすと考えられる乱数発生源[Y]を備え、各々の乱数ブロックは、請求項１に係る発明の(1-2)式と下記(2-1)式の意味する独立性を満足する一方、あるいは、予測困難性を満足する一方、次の式を満たす。
【００５４】
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
H([[Yn+1]] = H([Yn+1] | [Yn]) ---------(2-1)
これは、AとB両者ともに、予めランダムに選ばれた[X1]と[Y1]を初期値として共有する「自然乱数による乱数の暗号と復号の仕組み」に相当する。
【００５５】
請求項３に係る発明に関し、これは、請求項１又は請求項２に係る発明の乱数発生源[X]と[Y]の乱数ブロックとハッシュ関数とから1:1認証子を構成することになり、請求項１又は２に係る発明で規定された1:1関係において、ハッシュ関数の鍵を乱数ブロック[Xn]又は[Yn]とした時に、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを1:1認証子とし、或いは、配送される[Yn+1]とそのハッシュ値h([Yn+1])のペアを1:1認証子とする認証子システムである。
【００５６】
この1:1認証子は、前記チャレンジ・アンド・レスポンス方式と以下の点で異なる。
Request for Comments 1994のResponseは秘密鍵とChallengeに依存する。ChallengeとResponseは独立ではない。
【００５７】
なお、秘密共有を二つの初期値で行うタイプもあるが、やはりChallengeとResponseは独立ではない。
【００５８】
一方、本発明の1:1認証子では、ChallengeとResponseに相当する「行きと帰り」の二種類の認証子があり、以下しばしば、行きを識別子、帰りを確認子と呼ぶ。識別子と確認子は互いに独立である。
【００５９】
請求項４に係る発明に関し、この認証システムは、請求項３に係る発明の認証子の交換で秘密共有をも自動的に更新する。
【００６０】
すなわち、従来は、秘密共有の更新を人間系に頼っていたが、それを不要にしている。
【００６１】
請求３に係る発明の認証子の交換により、初期値[X1]と[Y1]に始まる秘密共有は通信のセッション毎に更新される。
【００６２】
すなわち、識別子と確認子を経由して、セッション単位に下記のように更新される：
[X1] ---> [X2] ---> [X3] --->…---> [Xn]
[Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]
この安全性は請求項１に係る発明に基づく。
【００６３】
つまり、盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、乱数ブロック群[Xn]は初期値[X1]から派生した値ではない。また、識別子と確認子は互いに独立である。
【００６４】
このようにして、通信の終了時には、新しい秘密共有が成立するから、通信開始時の秘密共有は過去のものになり、秘密が漏洩したとしても、その時点から過去の秘密になる。
【発明を実施するための最良の形態】
【００６５】
以下に、図面を参照し、本発明を実施するための最良の形態を説明する。
【００６６】
請求項１に係る発明の実施の形態
先ず、図１及び図４を参照して、請求項１に係る発明の実施の形態を説明する。
【００６７】
図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００６８】
図１に、鍵、平文、暗号文という３つの確率変数と請求項１に記載されている式との関係を示す。乱数発生源［Ｘ］が端末Ａにあり、乱数ブロックがＡからＢに送られる。この仕組みは、初期値［Ｘ１］はランダムに選ばれる確率事象で、この［Ｘ１］は暗号化・復号化の後に、ｎ＝２の乱数ブロック［Ｘ２］で置き換わる。そして、常に、鍵［Ｘｎ］が設定された後に、平文の乱数ブロック［Ｘｎ＋１］が乱数発生源［Ｘ］から与えられ、その結果、鍵と平文の独立性の（１−２）式が成立する。なお、暗号化と復号化の鍵と平文とが独立に選ばれる。自然乱数を用いることで、この要件が常に達成される。
【００６９】
（１）自然乱数による乱数の暗号と復号の仕組み
自然乱数発生源[X]の出力を一定の桁数に揃えて乱数ブロック[Xn]を得る：
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
どの乱数ブロックも下記(1-２)式の独立式を満たす時、
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
(1-3)と(1-4)式に示すように、インデックス nの順に[X]が出力した乱数ブロック[Xn]を鍵Kに用い、[Xn]に続く乱数ブロック[Xn+1]を平文に用いることによって
鍵K = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
鍵と平文が独立に選択されることを自動的に満たす。
【００７０】
一方、通信路をはさんだ二者AとBは予め[X1]を初期値として秘密に共有することによって、当該二者は暗号化と復号化の1:1の関係に入る。これが図１に示す「自然乱数による乱数の暗号と復号の仕組み」である。
【００７１】
（２）暗号文の安全性の証明
この認証システムの暗号システムとしての安全性のポイントは以下の通りである。
【００７２】
(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
(1-6)式は、自然乱数[Xn]と[Xn+1]を条件として、暗号文Cn+1を一つに決めるということを表す。ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００７３】
当然、乱数[Xn+1]の情報も漏れない。(1-6)式のアルゴリズムを排他的論理和にする。この場合、暗号文Cn+1は
Cn+1=[Xn]+[Xn+1] ---------(1-6)’
で計算される。
【００７４】
(1-8)式が意味する特徴は重要である、何故なら、通常の共通鍵暗号系では「意味のある平文」を暗号化する関係上、鍵の情報を漏らすからである。しかし、(1-8)式では鍵の情報が漏れない。その原因は、
1) 鍵と平文が共に自然乱数であるが故に独立になること、
2) 鍵も平文も共に乱数であること(意味を持たない)、
以上2点の理由に拠る。
【００７５】
なお、通常の共通鍵暗号系で鍵の情報が漏れる理由は、平文が意味を担うからである。例えば、alphabetなら4.7bit/1characterあるが、意味のある文章では1.0bitから1.5bitになるであることが知られている。この4.7bitと1.5bitの差だけ鍵の情報が暗号文から漏れる。
【００７６】
（３）通信路を流れる暗号文の総和
(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和を計算すると、常に、
H([X1]) + H([Xn]) ---------(1-9)
となる：(1-9)式は暗号文のエントロピーの総和を示す。
[X1]と[Xn]は独立であるから、[X1]と[Xn]の同時確率エントロピーをH([X1], [Xn])と表すと、
H([X1], [Xn]) = H([X1]) + H([Xn]) ---------(1-10)
ここで、鍵[X1]と平文[Xn]を独立に選んで暗号文[Cn+1]を一つに決定する式、
H(Cn+1 | [X1], [Xn]) = 0 ---------(1-11)
(1-11)式を(1-10)式の両辺に加える：
H([X1]) + H([Xn]) = H(Cn+1| [X1], [Xn]) + H([X1], [Xn]) = H(Cn+1, [X1], [Xn])
---------(1-12)
H(Cn+1, [X1], [Xn])は暗号系を構成する三つの確率変数の同時確率エントロピーである。(1-12)式は以下の事柄の証明である：
1) 初期値[X1]で
2) 任意の乱数[Xn]を
3)１回だけ暗号化し
4) 任意の乱数[Xn]を安全に配送した
ことを示す。その途中で使われる乱数ブロック[Xn-1]は消えることに注意する。
【００７７】
(1-12)式は、任意の[Xn]について成立しており、鍵としての初期値[X1]のエントロピーを常に維持する。言い変えると、通信路を流れる暗号文Cn+1のエントロピーは初期値[X1]に依存する一方、配送された乱数ブロック[Xn]は初期値[X1]から派生したものでない、ということである。この関係には十分注意する必要がある。
【００７８】
（４）乱数ブロック[Xn]に対する端末ＡとBの対称性
(1-1)から(1-9)式は、乱数ブロック[Xn]に対して対称形である。[Xn]が端末Ａの乱数発生源の乱数であるとしても、その次の[Xn+1]が端末Ｂの発生源の乱数としても、(1-1)から(1-9)式には何ら変わりない。従って、3.1.項の仕組みは両端に乱数発生源[X]を備える場合も含む。
【００７９】
さらに、端末Ａの乱数発生源[X]が自然乱数であり、端末Ｂの乱数発生源[X]が擬似乱数源としても、(1-1)から(1-9)式に何ら変わりない。ただし、その場合、(1-2)式は予測困難性という概念の安全性に置き換わる。
【００８０】
請求項２〜４に係る発明の実施の形態
次に、図２〜４を参照して、請求項２〜４に係る発明の実施の形態を説明する。
【００８１】
図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図、図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００８２】
この実施の形態に係る1:1 認証子は、図４から明らかなように、請求１項に係る発明と不可分であり、それを前提にする。
【００８３】
請求項２に係る発明は、請求項１の1:1 関係を基礎にして初期値を2 個持った1:1 の関係を規定する。すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め共有して、二者を特定の1:1 関係に規定する。
【００８４】
初期値[X1]及び[Y1]の役割は異なる。一方が送信専用なら、他方は受信専用の初期値
である。初期値[X1]と[Y1]も互いに独立であるから、請求２に係る発明は、図１と図２の1:1 関係を重ね合わせた状態になる。
【００８５】
請求項３に係る発明は、ハッシュ関数h()と請求項１又は２の乱数ブロックとのペアで1:1 認証子を規定する。
【００８６】
請求項４に係る発明は、請求項３の認証子の交換で秘密共有を自動的に更新する。すなわち、従来、秘密共有の更新は人間系に頼るしかなかったが、それを不要にしている。
【００８７】
（１）1:1 認証子システム
請求項２〜４に係る発明は1:1 認証子システムを構成する。これに相当する従来技術は、CHAP(Request for Comments 1994)である。
【００８８】
請求項２〜４に係る1:1 認証子システムは、CHAP或いは従来のID 番号、パスワード等に置き換えられ、情報漏れによる被害を未然に防ぐ。
【００８９】
（２）初期値[X1]と[Y1]を携帯メデイアに格納する。
【００９０】
初期値[X1]と[Y1]は、ホストとユーザを特定の1:1 関係に結びつける秘密である。
【００９１】
その後、ホストとユーザ間の通信は初期値[X1]に始まる1:1 暗号・復号と、初期値[Y1]に始まる1:1 暗号・復号(請求1)との重ね合わせになる (図1 と図2 とを重ね合わ
せる)。
【００９２】
（３）1:1 認証子の交換
図４に示す通り、乱数ブロック[Xn]はホストからユーザへ流れ、[Yn]はユーザからホストへ流れる。1:1 認証子は請求３で定義される。
【００９３】
なお、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを「ランダムカード携帯メデイア」へ初期値[X1] = 512 bit、初期値[Y1]= 512 bitとして保存し、それを更新するようにしても良い。
【００９４】
（４）識別子と確認子
識別子と確認子中の鍵に対応する部分はセッション毎に以下のように変化する：
ホストからユーザへ: [X1] ---> [X2] ---> [X3] --->…---> [Xn]: ---> 識別子の系列
ユーザからホストへ: [Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]: ---> 確認子の系列
図４で、配送する乱数ブロックが[X2]の時、乱数[X1]を鍵にして、乱数[X2]の暗号文[X1]+[X2]が端末Ａにて作られる。この暗号文[X1]+[X2]がハッシュ関数の入力になる。この暗号文[X1]+[X2]とハッシュ値h([X1]+[X2])とのペアが識別子である。
【００９５】
端末Ｂでは、暗号文を復号した後、再度、端末Ａと同じ暗号化手続を実行し、ハッシュ値を生成する。
【００９６】
そして、端末Ａでのハッシュ値と、端末Ｂでのハッシュ値とを比較する。
【００９７】
両方のハッシュ値が等しければ、ハッシュ関数の衝突困難性に基づき、端末Ａが持つ鍵[X1] と、端末Ｂが持つ鍵[X1]とが、圧倒的な確率で等しいと判定される。
【００９８】
（５）1:1 の認証子の機能
識別子と確認子は、以下の機能を果したことになる：
二者間の秘密共有(鍵)
ユーザID
合言葉、パスワード
三つの機能を総称して「自然乱数による1:1 認証子」と言う。
【００９９】
（６）初期値[X1]と[Y1]の保存は不要
通信路を挟んだ二者は、初期値[X1]と[Y1]を与えられることにより、特定の1:1 関係になるが、その初期値を、再度の認証のために継続して保存する必要はない。初期値[X1]と[Y1]は乱数[X2]と[Y2]に変わり、一度、認証子システムに投入されたら、二度と初期値[X1]と[Y1]とが参照されることがないからである。
【０１００】
この時、乱数[X1]と[X2]、乱数[Y1]と[Y2]とは互いに独立である。ゆえに、認証子シス
テムから初期値[X1]と[Y1]が漏れたとしても、乱数[X1]と[Y1]が乱数[X2]と[Y2]に変化した後では、それは過去の事件になる。漏れた[X1]と[Y1]は既に無効である。
【０１０１】
（７）初期値[X1]と初期値[Y1]の通信のセッション毎の更新
初期値[X1]と初期値[Y1]の秘密共有は、自然乱数[Xn]に引き継がれる。
【０１０２】
[X1] ---> [X2] ---> [X3]…---> [Xn]
[Y1] ---> [Y2] ---> [Y3]…---> [Yn]
このセッション単位にメンテナンスされる場合の安全性は請求項１に係る発明に基づく。つまり、1) 盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、2) 乱数ブロック群[Xn]は初期値[X1]から派生した乱数値ではない、また、3) 識別子と確認子が互いに独立であり、さらに、4) 過去の秘密[X1]と[Y1]と現在の秘密[Xn]と[Yn]は、互い暗号学的に独立である。ゆえに、もはや情報漏れは恐れるに足らない、ということになる。
【０１０３】
（８）最大の特徴
この点、従来のセキュリテイ技術では、人間系からの情報漏れを防ぐことは不可能であった。暗号の強度を上げても人間系からの情報漏れを防げない。これは暗号の仕組みが原因である。しかし、本発明に係る自然乱数による認証子システムは、通信セッションが終了する度、自然乱数の安全性に基づいて認証用の秘密を随時更新する。秘密は、随時、自動的に、人の手を経ないで、更新される。過去の秘密と現在の秘密が独立であるから、もはや情報漏れは恐れるに足らない、漏れた情報は無効になる、従って、認証子システムは、暗証番号等が漏れても被害を未然に防ぐシステムの構築を可能にする。
【０１０４】
人間系からの情報漏れを無効にするということは、これはセキュリテイの概念に入らない。セキュリテイは利便性を犠牲にして成り立つが、自然乱数の識別子は、その逆で、むしろ、利便性の生き残り(サーバイバル)のためのI.T だからである。
【産業上の利用可能性】
【０１０５】
本発明は、１：１認証子を備える認証システムに利用できる。
【図面の簡単な説明】
【０１０６】
【図１】図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図。
【図２】図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図。
【図３】図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図。
【図４】図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【符号の説明】
【０１０７】
[X]: 自然乱数発生源
[Y]: 乱数発生源
[Z]: 自然乱数発生源
Yn : 確率変数
n : インデックス
[Xn] : 自然乱数のブロック
[Yn] : 乱数のブロック
[Zn] : 自然乱数のブロック
|[Xn]| : 自然乱数ブロックの桁数
H() : （）内の変数のシャノンエントロピを求める関数
h(): （）内の変数のハッシュ値を求める関数
+: 排他的論理和
【技術分野】
【０００１】
本発明は、認証システムに関し、より詳細には、１：１認証子を備える認証システムに関する。
【背景技術】
【０００２】
一般に、認証システムは、秘密を予め共有し、この予め共有した秘密を見せ合うことにより、秘密共有者の間で相互の認証が為される。
【０００３】
しかしながら、従来の認証システムでは、秘密の共有にコストが掛かり、共有する秘密を頻繁に更新することが難しかった。
【０００４】
このため、従来は、（１）共有した秘密を更にコストを掛けて維持するようにしており、その結果（２）万一、秘密が漏れ、それが不正に利用された時に、その不正利用者を見破ることが極めて困難であった。
【０００５】
この点、秘密の漏洩は、現実には人が神ならざることに起因する。
【０００６】
即ち、暗号の数理的強度以前の、それを運用する仕組みの中に問題があり、そこに人が介在することに起因している。
【０００７】
例えば、現代の暗号の鍵が漏れるとしたら、それは多分に人の介在を原因とし、同様に、カード番号或いはクレジット番号等のID情報の漏れにも、人的要素が絡む。
【０００８】
この種の情報漏れは、システムもユーザも認識できず、情報漏れに基づく被害がクローズアップされるのを座して待つことになる。
【０００９】
つまり、ＩＤ情報の保管に絡む場合を含め、認証のための秘密共有は、常に、
1) その値を一定不変に保ち、
2) その値を秘密に保管する
というメンテナンスを伴って、初めて完遂できる。
【００１０】
しかるに、このメンテナンスは、今のところまだ人の規範(best effort)に託されており、それが情報漏れの温床になっている。
【００１１】
こうしたメンテナンスにおける人的規範への依存性を緩和する手法として、チャレンジ・アンド・レスポンス（Challenge & Response）方式の１：１認証子であるチャップ(ＣＨＡＰ：非特許文献参照)が知られている。
【非特許文献１】CHAP（PPP Challenge Handshake Authentication Protocol）
【００１２】
Network Working Group: W. Simpson
Request for Comments: 1994 DayDreamer
Obsoletes: 1334 in August 1996
Category: Standards Track
（要約）The Point-to-Point Protocol (PPP) provides a standard method for transporting multi-protocol datagrams over point-to-point links. PPP also defines an extensible Link Control Protocol, which allows negotiation of an Authentication Protocol for authenticating its peer before allowing Network Layer protocols to transmit over the link. This document defines a method for Authentication using PPP, which uses a random Challenge, with a cryptographically hashed Response which depends upon the Challenge and a secret key. RFC 1994, PPP CHAP: This authentication method depends upon a "secret" known only to the authenticator and that peer. The secret is not sent over the link.（ポイント・ツー・ポイント・プロトコルＰＰＰは、ポイント・ツー・ポイント・リンクを介してマルチプロトコル・データグラムを移送する標準方式を与える。ＰＰＰはまた、延長可能なリンク・コントロール・プロトコルを規定し、これは、ネットワーク・レイヤー・プロトコルにリンクを介した伝送を許可する前に、そのピアの認証を行う認証プロトコルの折衝を許可する。この文書は、ＰＰＰを用いた認証の方法を規定し、これはランダムなチャレンジを行い、その際、秘密鍵とそのチャレンジに依存した暗号学的ハッシュ応答を用いる。RFC1994,PPPチャップ：この認証方式は、認証者及びそのピアにのみ知られた“秘密”に依存し、この秘密はリンクを介して送信されない。）
【発明の開示】
【発明が解決しようとする課題】
【００１３】
しかしながら、このチャップは、前記1)と2)の秘密のメンテナンスを、人が行うものであり、後述の記載より明らかなごとく、人工的（artificial）要素が残存し、安全性に難がある。
【００１４】
本願は、前記1)と2)の秘密のメンテナンスを、人から通信システムへ、実用上は当然、理論面でも安全に移行することが可能な、いわば神の手に委ねた１：１認証子を備える認証システムの技術を模索する。
【００１５】
そして、秘密共有を通信のセッション毎に安全に更新する情報技術を考える。
【００１６】
この技術によれば、通信の終了時に、新しい秘密共有が成立し、通信の開始時に使われた秘密共有を使い捨てにできる。すなわち、秘密の共有が過去の出来事になり、その秘密が漏洩したとしても、それは過去の秘密になる。
【００１７】
この点、過去の秘密と現在の秘密とが情報論的に独立していれば、もはや情報漏れは恐れるに足らない。
【００１８】
それだと、正規ユーザだけを認証するシステムの構成も可能になる。
【００１９】
本発明は、以上の点に鑑み為された。
【００２０】
なお、本発明において、1:1認証子とは：
自然乱数による乱数の暗号化と復号化を行うシステム要素又はその入出力情報（例えば、暗号文）と；
自然乱数による乱数の暗号文をハッシュ関数に入力するシステム要素又はその入出力情報と；
乱数の暗号文とハッシュ関数値とを1対にして送信及び受信する通信部分としてのシステム要素又はその入出力情報（例えば、識別子及び確認子）と、を備えて構成される。
【００２１】
また、説明を明瞭に行うため、本明細書に、次の記号を援用する。
【００２２】
[X]: 自然乱数発生源である。
【００２３】
[Y]: 乱数発生源(自然乱数または擬似乱数)である。
【００２４】
[Z]: 自然乱数発生源である。
【００２５】
Yn : 一定の桁数の確率変数である。
【００２６】
但し、n : インデックス、n = 1,2,……,n
[Xn] : 一定の桁数の自然乱数のブロックをである。
【００２７】
[Yn] : 一定の桁数の乱数のブロックである。
【００２８】
[Zn] : 一定の桁数の自然乱数のブロックである。
【００２９】
|[Xn]| : 自然乱数ブロックの桁数である。
【００３０】
H() : (）内の変数のシャノンエントロピ（Shannon entropy）を求める関数である。
【００３１】
h(): （）内の変数のハッシュ値を求める関数である。
【００３２】
+: 排他的論理和である。
【課題を解決するための手段】
【００３３】
請求項１に係る認証システムは、自然乱数を発生する第１の乱数発生源([X])と、前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した第１の暗号文([X1]+[X２])を含む識別子を有する１：１認証子とを備えることを特徴とする。
【００３４】
また請求項２に係る認証システムは、請求項１記載の認証システムにおいて、乱数を発生する第２の乱数発生源([Ｙ])を更に備え、前記１：１認証子は、前記第２の乱数発生源で発生した第１の乱数のブロック([Ｙ1])により前記第２の乱数発生源で発生した第２の乱数のブロック([Ｙ２])を暗号化した第２の暗号文([Ｙ1]+[Ｙ２])を含む確認子を有することを特徴とする。
【００３５】
また請求項３に係る認証システムは、請求項１又は２に記載の認証システムにおいて、前記識別子は、前記第１の暗号文のハッシュ値を含むことを特徴とする。
【００３６】
また、請求項４に係る認証システムは、請求項１乃至３のいずれかに記載の認証システムにおいて、前記１：１認証子の交換により秘密の共有状態を自動的に更新することを特徴とする。
【発明の効果】
【００３７】
本発明は二者間の秘密共有やユーザＩＤの安全性を確保しつつ更新する問題を解決したものである。すなわち、二者間の秘密共有のメンテナンスを人の手からシステムに安全に移行させる技術である。
【００３８】
効用は、次の点にある。
【００３９】
（１） 漏れたＩＤ情報を無効にする。
（２） 人からの情報漏れを困難にする。
【００４０】
なお、以下の説明では、認証子を備える認証システムを、しばしば、認証子システム、又は単に認証子と簡略に表現する。
【００４１】
請求項１に係る発明に関し、通常の暗号化の仕組みにおいては、鍵と平文は別の確率事象に属するが、当該1:1認証子は同じ乱数発生源から出力されるところの「乱数による乱数自体の暗号と復号の仕組み」の上に構成される。
【００４２】
すなわち、自然乱数ブロックの独立性を鍵と平文の関係に反映させる乱数の配送法である。これが1:1の認証子を構成する基礎である。
【００４３】
通信路をはさんだ二者（ピア）の片方または両者とも乱数発生源[X]を備える環境にて、発生源[X]から得た(1-1)式に示す二つの乱数ブロック[Xn]と[Xn+1]の桁数が等しく
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
(1-1)式のペアが下記(1-２)式の独立性
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
H(): Shannon entropyを計算する関数
を満たす時、あるいは(1-1)式のペアが(1-2)式に代わる予測困難性を満たす時、下記(1-3)(1-4)式に示すように、インデックス nが示す順に発生源[X]が出力した乱数[Xn]を鍵Ｋに用い、その後に出力した乱数[Xn+1] を平文に用いる。
【００４４】
即ち、
鍵Ｋ = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
これにより、乱数ブロックの独立性(1-２)式を暗号化と復号化の必須要件に反映させる一方、通信路をはさんだ二者に対し、予め人が初期値[X1]を設定する秘密共有を行い、それによって二者を特定の1:1関係にする「自然乱数による乱数の暗号と復号の仕組み」（図１参照）である。
【００４５】
請求項１に係る発明の暗号化と復号化の必須要件とは鍵と平文が独立に選ばれることである。この要件を乱数の配送の都度満たしたのが「自然乱数による乱数の暗号と復号の仕組み」である。この仕組みのアルゴリズム上のポイントは二つある：第一に、ランダムに選ばれた初期値[X1]が鍵の機能を果した後、[X1]に代わってn = 2の乱数ブロック[X2]が鍵になることである。第二に、鍵[X2]が設定された後に、新たな平文乱数ブロック[X3]が乱数発生源[X]から与えられることである、その結果として、鍵と平文の独立性(1-2)式を常に維持することの二点である。
【００４６】
上記仕組みの結果、乱数の配送の都度、次の安全性を達成する：
まず、(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００４７】
なお、(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和は、常に、
H([X1] + H([Xn]) ---------(1-9)
だけのエントロピーを持つことが容易に計算できる。
【００４８】
(1-9)式の意味するところは、本発明の「乱数による乱数の暗号と復号の仕組み」によって乱数ブロック[Xn]が安全に配送されること、初期値[X1]のエントロピーは常に維持されていることである。
【００４９】
つまり、暗号のエントロピーは初期値[X1]に依存するが、乱数ブロック[Xn]の系列は初期値[X1]から派生したものではない。
【００５０】
請求項２に係る発明に関し、これは、請求項１に係る発明の1:1関係を基礎とし、初期値を2個持った1:1の関係を規定する。
【００５１】
すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め秘密に共有することを特長として、二者を特定の1:1関係に規定する。
【００５２】
初期値[X1]及び初期値[Y1]の役割は異なる、初期値[X1]と初期値[Y1]も互いに独立であるから、請求２に係る発明は後述の図１と図２の1:1関係を重ね合わせた状態になる。
【００５３】
通信路の両端に居る二者AとBの内、一方のＡは(1-2)式を満たすと考えられる乱数発生源[X]を備え、他方のＢも(2-1)式を満たすと考えられる乱数発生源[Y]を備え、各々の乱数ブロックは、請求項１に係る発明の(1-2)式と下記(2-1)式の意味する独立性を満足する一方、あるいは、予測困難性を満足する一方、次の式を満たす。
【００５４】
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
H([[Yn+1]] = H([Yn+1] | [Yn]) ---------(2-1)
これは、AとB両者ともに、予めランダムに選ばれた[X1]と[Y1]を初期値として共有する「自然乱数による乱数の暗号と復号の仕組み」に相当する。
【００５５】
請求項３に係る発明に関し、これは、請求項１又は請求項２に係る発明の乱数発生源[X]と[Y]の乱数ブロックとハッシュ関数とから1:1認証子を構成することになり、請求項１又は２に係る発明で規定された1:1関係において、ハッシュ関数の鍵を乱数ブロック[Xn]又は[Yn]とした時に、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを1:1認証子とし、或いは、配送される[Yn+1]とそのハッシュ値h([Yn+1])のペアを1:1認証子とする認証子システムである。
【００５６】
この1:1認証子は、前記チャレンジ・アンド・レスポンス方式と以下の点で異なる。
Request for Comments 1994のResponseは秘密鍵とChallengeに依存する。ChallengeとResponseは独立ではない。
【００５７】
なお、秘密共有を二つの初期値で行うタイプもあるが、やはりChallengeとResponseは独立ではない。
【００５８】
一方、本発明の1:1認証子では、ChallengeとResponseに相当する「行きと帰り」の二種類の認証子があり、以下しばしば、行きを識別子、帰りを確認子と呼ぶ。識別子と確認子は互いに独立である。
【００５９】
請求項４に係る発明に関し、この認証システムは、請求項３に係る発明の認証子の交換で秘密共有をも自動的に更新する。
【００６０】
すなわち、従来は、秘密共有の更新を人間系に頼っていたが、それを不要にしている。
【００６１】
請求３に係る発明の認証子の交換により、初期値[X1]と[Y1]に始まる秘密共有は通信のセッション毎に更新される。
【００６２】
すなわち、識別子と確認子を経由して、セッション単位に下記のように更新される：
[X1] ---> [X2] ---> [X3] --->…---> [Xn]
[Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]
この安全性は請求項１に係る発明に基づく。
【００６３】
つまり、盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、乱数ブロック群[Xn]は初期値[X1]から派生した値ではない。また、識別子と確認子は互いに独立である。
【００６４】
このようにして、通信の終了時には、新しい秘密共有が成立するから、通信開始時の秘密共有は過去のものになり、秘密が漏洩したとしても、その時点から過去の秘密になる。
【発明を実施するための最良の形態】
【００６５】
以下に、図面を参照し、本発明を実施するための最良の形態を説明する。
【００６６】
請求項１に係る発明の実施の形態
先ず、図１及び図４を参照して、請求項１に係る発明の実施の形態を説明する。
【００６７】
図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００６８】
図１に、鍵、平文、暗号文という３つの確率変数と請求項１に記載されている式との関係を示す。乱数発生源［Ｘ］が端末Ａにあり、乱数ブロックがＡからＢに送られる。この仕組みは、初期値［Ｘ１］はランダムに選ばれる確率事象で、この［Ｘ１］は暗号化・復号化の後に、ｎ＝２の乱数ブロック［Ｘ２］で置き換わる。そして、常に、鍵［Ｘｎ］が設定された後に、平文の乱数ブロック［Ｘｎ＋１］が乱数発生源［Ｘ］から与えられ、その結果、鍵と平文の独立性の（１−２）式が成立する。なお、暗号化と復号化の鍵と平文とが独立に選ばれる。自然乱数を用いることで、この要件が常に達成される。
【００６９】
（１）自然乱数による乱数の暗号と復号の仕組み
自然乱数発生源[X]の出力を一定の桁数に揃えて乱数ブロック[Xn]を得る：
|[X1]| = |[Xn+1]| ---------(1-1)
インデックス n = 1,2,……,n
どの乱数ブロックも下記(1-２)式の独立式を満たす時、
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-２)
(1-3)と(1-4)式に示すように、インデックス nの順に[X]が出力した乱数ブロック[Xn]を鍵Kに用い、[Xn]に続く乱数ブロック[Xn+1]を平文に用いることによって
鍵K = [Xn] ---------- (1-3)
平文 = [Xn+1] --------- (1-4)
鍵と平文が独立に選択されることを自動的に満たす。
【００７０】
一方、通信路をはさんだ二者AとBは予め[X1]を初期値として秘密に共有することによって、当該二者は暗号化と復号化の1:1の関係に入る。これが図１に示す「自然乱数による乱数の暗号と復号の仕組み」である。
【００７１】
（２）暗号文の安全性の証明
この認証システムの暗号システムとしての安全性のポイントは以下の通りである。
【００７２】
(1-2)式の独立性と
H([[Xn+1]) = H([Xn+1] | [Xn]) ---------(1-2)
暗号と復号とが1:1写像になる要請から、次の(1-5)式が導かれる:
H(Cn+1) - H([Xn+1]) = H(K) - H(K|Cn+1) ---------(1-5)
ここで、暗号文Cn+1は下記で決定された乱数である：
H(Cn+1 | [Xn], [Xn+1]) = 0 ---------(1-6)
(1-6)式は、自然乱数[Xn]と[Xn+1]を条件として、暗号文Cn+1を一つに決めるということを表す。ゆえに、暗号文Cn+1も乱数になるから、
H(Cn+1) - H(Xn+1) = 0 ---------(1-7)
同時に(1-8)式を導く：
H(K) - H(K|Cn+1) = 0 ---------(1-8)
(1-8)式は暗号文ブロックCn+1から鍵Kの情報は漏れないことを示す。
【００７３】
当然、乱数[Xn+1]の情報も漏れない。(1-6)式のアルゴリズムを排他的論理和にする。この場合、暗号文Cn+1は
Cn+1=[Xn]+[Xn+1] ---------(1-6)’
で計算される。
【００７４】
(1-8)式が意味する特徴は重要である、何故なら、通常の共通鍵暗号系では「意味のある平文」を暗号化する関係上、鍵の情報を漏らすからである。しかし、(1-8)式では鍵の情報が漏れない。その原因は、
1) 鍵と平文が共に自然乱数であるが故に独立になること、
2) 鍵も平文も共に乱数であること(意味を持たない)、
以上2点の理由に拠る。
【００７５】
なお、通常の共通鍵暗号系で鍵の情報が漏れる理由は、平文が意味を担うからである。例えば、alphabetなら4.7bit/1characterあるが、意味のある文章では1.0bitから1.5bitになるであることが知られている。この4.7bitと1.5bitの差だけ鍵の情報が暗号文から漏れる。
【００７６】
（３）通信路を流れる暗号文の総和
(1-1)から(1-8)式の実行の結果、通信路を流れる暗号文の総和を計算すると、常に、
H([X1]) + H([Xn]) ---------(1-9)
となる：(1-9)式は暗号文のエントロピーの総和を示す。
[X1]と[Xn]は独立であるから、[X1]と[Xn]の同時確率エントロピーをH([X1], [Xn])と表すと、
H([X1], [Xn]) = H([X1]) + H([Xn]) ---------(1-10)
ここで、鍵[X1]と平文[Xn]を独立に選んで暗号文[Cn+1]を一つに決定する式、
H(Cn+1 | [X1], [Xn]) = 0 ---------(1-11)
(1-11)式を(1-10)式の両辺に加える：
H([X1]) + H([Xn]) = H(Cn+1| [X1], [Xn]) + H([X1], [Xn]) = H(Cn+1, [X1], [Xn])
---------(1-12)
H(Cn+1, [X1], [Xn])は暗号系を構成する三つの確率変数の同時確率エントロピーである。(1-12)式は以下の事柄の証明である：
1) 初期値[X1]で
2) 任意の乱数[Xn]を
3)１回だけ暗号化し
4) 任意の乱数[Xn]を安全に配送した
ことを示す。その途中で使われる乱数ブロック[Xn-1]は消えることに注意する。
【００７７】
(1-12)式は、任意の[Xn]について成立しており、鍵としての初期値[X1]のエントロピーを常に維持する。言い変えると、通信路を流れる暗号文Cn+1のエントロピーは初期値[X1]に依存する一方、配送された乱数ブロック[Xn]は初期値[X1]から派生したものでない、ということである。この関係には十分注意する必要がある。
【００７８】
（４）乱数ブロック[Xn]に対する端末ＡとBの対称性
(1-1)から(1-9)式は、乱数ブロック[Xn]に対して対称形である。[Xn]が端末Ａの乱数発生源の乱数であるとしても、その次の[Xn+1]が端末Ｂの発生源の乱数としても、(1-1)から(1-9)式には何ら変わりない。従って、3.1.項の仕組みは両端に乱数発生源[X]を備える場合も含む。
【００７９】
さらに、端末Ａの乱数発生源[X]が自然乱数であり、端末Ｂの乱数発生源[X]が擬似乱数源としても、(1-1)から(1-9)式に何ら変わりない。ただし、その場合、(1-2)式は予測困難性という概念の安全性に置き換わる。
【００８０】
請求項２〜４に係る発明の実施の形態
次に、図２〜４を参照して、請求項２〜４に係る発明の実施の形態を説明する。
【００８１】
図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図、図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図、図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【００８２】
この実施の形態に係る1:1 認証子は、図４から明らかなように、請求１項に係る発明と不可分であり、それを前提にする。
【００８３】
請求項２に係る発明は、請求項１の1:1 関係を基礎にして初期値を2 個持った1:1 の関係を規定する。すなわち、通信路を挟んで空間的に離れた二者が、初期値[X1]及び初期値[Y1]の二つを予め共有して、二者を特定の1:1 関係に規定する。
【００８４】
初期値[X1]及び[Y1]の役割は異なる。一方が送信専用なら、他方は受信専用の初期値
である。初期値[X1]と[Y1]も互いに独立であるから、請求２に係る発明は、図１と図２の1:1 関係を重ね合わせた状態になる。
【００８５】
請求項３に係る発明は、ハッシュ関数h()と請求項１又は２の乱数ブロックとのペアで1:1 認証子を規定する。
【００８６】
請求項４に係る発明は、請求項３の認証子の交換で秘密共有を自動的に更新する。すなわち、従来、秘密共有の更新は人間系に頼るしかなかったが、それを不要にしている。
【００８７】
（１）1:1 認証子システム
請求項２〜４に係る発明は1:1 認証子システムを構成する。これに相当する従来技術は、CHAP(Request for Comments 1994)である。
【００８８】
請求項２〜４に係る1:1 認証子システムは、CHAP或いは従来のID 番号、パスワード等に置き換えられ、情報漏れによる被害を未然に防ぐ。
【００８９】
（２）初期値[X1]と[Y1]を携帯メデイアに格納する。
【００９０】
初期値[X1]と[Y1]は、ホストとユーザを特定の1:1 関係に結びつける秘密である。
【００９１】
その後、ホストとユーザ間の通信は初期値[X1]に始まる1:1 暗号・復号と、初期値[Y1]に始まる1:1 暗号・復号(請求1)との重ね合わせになる (図1 と図2 とを重ね合わ
せる)。
【００９２】
（３）1:1 認証子の交換
図４に示す通り、乱数ブロック[Xn]はホストからユーザへ流れ、[Yn]はユーザからホストへ流れる。1:1 認証子は請求３で定義される。
【００９３】
なお、配送される乱数ブロック[Xn+1]とそのハッシュ値h([Xn+1])のペアを「ランダムカード携帯メデイア」へ初期値[X1] = 512 bit、初期値[Y1]= 512 bitとして保存し、それを更新するようにしても良い。
【００９４】
（４）識別子と確認子
識別子と確認子中の鍵に対応する部分はセッション毎に以下のように変化する：
ホストからユーザへ: [X1] ---> [X2] ---> [X3] --->…---> [Xn]: ---> 識別子の系列
ユーザからホストへ: [Y1] ---> [Y2] ---> [Y3] --->…---> [Yn]: ---> 確認子の系列
図４で、配送する乱数ブロックが[X2]の時、乱数[X1]を鍵にして、乱数[X2]の暗号文[X1]+[X2]が端末Ａにて作られる。この暗号文[X1]+[X2]がハッシュ関数の入力になる。この暗号文[X1]+[X2]とハッシュ値h([X1]+[X2])とのペアが識別子である。
【００９５】
端末Ｂでは、暗号文を復号した後、再度、端末Ａと同じ暗号化手続を実行し、ハッシュ値を生成する。
【００９６】
そして、端末Ａでのハッシュ値と、端末Ｂでのハッシュ値とを比較する。
【００９７】
両方のハッシュ値が等しければ、ハッシュ関数の衝突困難性に基づき、端末Ａが持つ鍵[X1] と、端末Ｂが持つ鍵[X1]とが、圧倒的な確率で等しいと判定される。
【００９８】
（５）1:1 の認証子の機能
識別子と確認子は、以下の機能を果したことになる：
二者間の秘密共有(鍵)
ユーザID
合言葉、パスワード
三つの機能を総称して「自然乱数による1:1 認証子」と言う。
【００９９】
（６）初期値[X1]と[Y1]の保存は不要
通信路を挟んだ二者は、初期値[X1]と[Y1]を与えられることにより、特定の1:1 関係になるが、その初期値を、再度の認証のために継続して保存する必要はない。初期値[X1]と[Y1]は乱数[X2]と[Y2]に変わり、一度、認証子システムに投入されたら、二度と初期値[X1]と[Y1]とが参照されることがないからである。
【０１００】
この時、乱数[X1]と[X2]、乱数[Y1]と[Y2]とは互いに独立である。ゆえに、認証子シス
テムから初期値[X1]と[Y1]が漏れたとしても、乱数[X1]と[Y1]が乱数[X2]と[Y2]に変化した後では、それは過去の事件になる。漏れた[X1]と[Y1]は既に無効である。
【０１０１】
（７）初期値[X1]と初期値[Y1]の通信のセッション毎の更新
初期値[X1]と初期値[Y1]の秘密共有は、自然乱数[Xn]に引き継がれる。
【０１０２】
[X1] ---> [X2] ---> [X3]…---> [Xn]
[Y1] ---> [Y2] ---> [Y3]…---> [Yn]
このセッション単位にメンテナンスされる場合の安全性は請求項１に係る発明に基づく。つまり、1) 盗聴者から見た暗号のエントロピーはランダムに選ばれた初期値に依存するが、2) 乱数ブロック群[Xn]は初期値[X1]から派生した乱数値ではない、また、3) 識別子と確認子が互いに独立であり、さらに、4) 過去の秘密[X1]と[Y1]と現在の秘密[Xn]と[Yn]は、互い暗号学的に独立である。ゆえに、もはや情報漏れは恐れるに足らない、ということになる。
【０１０３】
（８）最大の特徴
この点、従来のセキュリテイ技術では、人間系からの情報漏れを防ぐことは不可能であった。暗号の強度を上げても人間系からの情報漏れを防げない。これは暗号の仕組みが原因である。しかし、本発明に係る自然乱数による認証子システムは、通信セッションが終了する度、自然乱数の安全性に基づいて認証用の秘密を随時更新する。秘密は、随時、自動的に、人の手を経ないで、更新される。過去の秘密と現在の秘密が独立であるから、もはや情報漏れは恐れるに足らない、漏れた情報は無効になる、従って、認証子システムは、暗証番号等が漏れても被害を未然に防ぐシステムの構築を可能にする。
【０１０４】
人間系からの情報漏れを無効にするということは、これはセキュリテイの概念に入らない。セキュリテイは利便性を犠牲にして成り立つが、自然乱数の識別子は、その逆で、むしろ、利便性の生き残り(サーバイバル)のためのI.T だからである。
【産業上の利用可能性】
【０１０５】
本発明は、１：１認証子を備える認証システムに利用できる。
【図面の簡単な説明】
【０１０６】
【図１】図１は、本発明の実施の形態に係る認証システムの自然乱数［Ｘn］による乱数の暗号と復号の仕組みを示すブロック図。
【図２】図２は、本発明の実施の形態に係る認証システムの乱数［Ｙn］による乱数の暗号と復号の仕組みを示すブロック図。
【図３】図３は、本発明の実施の形態に係る認証システムの自然乱数［Ｚn］による乱数の暗号と復号の仕組みを示すブロック図。
【図４】図４は、本発明の実施の形態に係る認証システムの認証子の連続したトランザクションにおけるスリーウェイ動作を示すタイムチャートである。
【符号の説明】
【０１０７】
[X]: 自然乱数発生源
[Y]: 乱数発生源
[Z]: 自然乱数発生源
Yn : 確率変数
n : インデックス
[Xn] : 自然乱数のブロック
[Yn] : 乱数のブロック
[Zn] : 自然乱数のブロック
|[Xn]| : 自然乱数ブロックの桁数
H() : （）内の変数のシャノンエントロピを求める関数
h(): （）内の変数のハッシュ値を求める関数
+: 排他的論理和
【特許請求の範囲】
【請求項１】
自然乱数を発生する第１の乱数発生源([X])と、
前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により
前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した
第１の暗号文([X1]+[X２])を含む
識別子を有する
１：１認証子と
を備える
ことを特徴とする認証システム。
【請求項２】
乱数を発生する第２の乱数発生源([Ｙ])を、
更に備え、
前記１：１認証子は、
前記第２の乱数発生源で発生した第１の乱数のブロック([Ｙ1])により
前記第２の乱数発生源で発生した第２の乱数のブロック([Ｙ２])を暗号化した
第２の暗号文([Ｙ1]+[Ｙ２])を含む
確認子を有する
ことを特徴とする請求項１記載の認証システム。
【請求項３】
前記識別子は、前記第１の暗号文のハッシュ値を含む
ことを特徴とする請求項１又は２に記載の認証システム。
【請求項４】
前記１：１認証子の交換により秘密の共有状態を自動的に更新する
ことを特徴とする請求項１乃至３のいずれかに記載の認証システム。
【請求項１】
自然乱数を発生する第１の乱数発生源([X])と、
前記第１の乱数発生源で発生した第１の乱数のブロック([X1])により
前記第１の乱数発生源で発生した第２の乱数のブロック([X２])を暗号化した
第１の暗号文([X1]+[X２])を含む
識別子を有する
１：１認証子と
を備える
ことを特徴とする認証システム。
【請求項２】
乱数を発生する第２の乱数発生源([Ｙ])を、
更に備え、
前記１：１認証子は、
前記第２の乱数発生源で発生した第１の乱数のブロック([Ｙ1])により
前記第２の乱数発生源で発生した第２の乱数のブロック([Ｙ２])を暗号化した
第２の暗号文([Ｙ1]+[Ｙ２])を含む
確認子を有する
ことを特徴とする請求項１記載の認証システム。
【請求項３】
前記識別子は、前記第１の暗号文のハッシュ値を含む
ことを特徴とする請求項１又は２に記載の認証システム。
【請求項４】
前記１：１認証子の交換により秘密の共有状態を自動的に更新する
ことを特徴とする請求項１乃至３のいずれかに記載の認証システム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２００８−１２４９０６（Ｐ２００８−１２４９０６Ａ）
【公開日】平成２０年５月２９日（２００８．５．２９）
【国際特許分類】
【出願番号】特願２００６−３０８１６４（Ｐ２００６−３０８１６４）
【出願日】平成１８年１１月１４日（２００６．１１．１４）
【出願人】（５９１２２３２３１）メテオ―ラ・システム株式会社 (3)
【出願人】（５００４６３５４３）
【Ｆターム（参考）】
【公開日】平成２０年５月２９日（２００８．５．２９）
【国際特許分類】
【出願日】平成１８年１１月１４日（２００６．１１．１４）
【出願人】（５９１２２３２３１）メテオ―ラ・システム株式会社 (3)
【出願人】（５００４６３５４３）
【Ｆターム（参考）】
[ Back to top ]