知財求人 - 知財ポータルサイト「IP Force」
▶ 独立行政法人情報通信研究機構の特許一覧 ▶ 三菱電機株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024064581
(43)【公開日】2024-05-14
(54)【発明の名称】認証システム
(51)【国際特許分類】
H04L 9/32 20060101AFI20240507BHJP
G09C 1/00 20060101ALI20240507BHJP
【ＦＩ】
H04L9/32 200B
H04L9/32 200E
G09C1/00 650Z
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2022173274
(22)【出願日】2022-10-28
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和３年度 総務省、情報通信技術の研究開発「グローバル量子暗号通信網構築のための研究開発」に係る委託研究、産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110001807
【氏名又は名称】弁理士法人磯野国際特許商標事務所
(72)【発明者】
【氏名】藤原 幹生
(72)【発明者】
【氏名】加藤 豪
(72)【発明者】
【氏名】佐々木 雅英
(72)【発明者】
【氏名】鶴丸 豊広
(57)【要約】 （修正有）
【課題】鍵の管理が容易で、送信ユーザ又は受信ユーザの真偽を判定する認証システムを提供する。
【解決手段】認証システム１は、メッセージを送信するユーザＡのノード、メッセージを受信するユーザＢのノード及びユーザ間の相手認証及びメッセージ認証を行う中央管理ノードを量子鍵配送ネットワーク内に備える。送信ノード２は、相手認証要求部と、ＯＴＰで秘密データを暗号化して送信する秘密データ送信部及びメッセージ認証を行うメッセージ認証部を備える。管理ノード３は、秘匿通信制御部、暗号化された秘密データを受信して復号する秘密データ受信部、閾値秘密分散を用いて、ＯＴＰで受信ユーザのシェアを暗号化して受信ノードに送信するシェア送信部及びメッセージ認証を行うメッセージ認証部を備える。受信ノード４は、相手認証処理部、暗号化されたシェアを復号するシェア受信部及びメッセージ認証を行うメッセージ認証部を備える。
【選択図】図１
【解決手段】認証システム１は、メッセージを送信するユーザＡのノード、メッセージを受信するユーザＢのノード及びユーザ間の相手認証及びメッセージ認証を行う中央管理ノードを量子鍵配送ネットワーク内に備える。送信ノード２は、相手認証要求部と、ＯＴＰで秘密データを暗号化して送信する秘密データ送信部及びメッセージ認証を行うメッセージ認証部を備える。管理ノード３は、秘匿通信制御部、暗号化された秘密データを受信して復号する秘密データ受信部、閾値秘密分散を用いて、ＯＴＰで受信ユーザのシェアを暗号化して受信ノードに送信するシェア送信部及びメッセージ認証を行うメッセージ認証部を備える。受信ノード４は、相手認証処理部、暗号化されたシェアを復号するシェア受信部及びメッセージ認証を行うメッセージ認証部を備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
メッセージを送信する送信ユーザの送信ノードと、前記メッセージを受信する受信ユーザの受信ノードと、ユーザ間の相手認証及びメッセージ認証を行う管理ノードと、を量子鍵配送ネットワーク内に備える認証システムであって、
前記送信ノードは、
前記受信ユーザとの相手認証を前記管理ノードに要求する相手認証要求部と、
所定の秘密データを生成し、ＯＴＰで前記秘密データを暗号化して前記管理ノードに送信する秘密データ送信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記管理ノードは、
前記送信ノードからの要求に応じて、前記相手認証の開始を前記受信ノードに指令する秘匿通信制御部と、
暗号化された前記秘密データを前記送信ノードから受信して復号する秘密データ受信部と、
閾値秘密分散を用いて、ユーザ数に応じた多項式及びシェアを前記秘密データから生成し、ＯＴＰで前記受信ユーザのシェアを暗号化して前記受信ノードに送信するシェア送信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記受信ノードは、
前記管理ノードからの指令に応じて、前記相手認証を開始する相手認証処理部と、
暗号化された前記受信ユーザのシェアを前記管理ノードから受信して復号するシェア受信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記送信ノードは、
予めＷＣ認証された公開通信路を介して、前記秘密データを前記受信ノード及び前記管理ノードに公開し、前記多項式の成立を確認する多項式判定部、を備え、
前記受信ノードは、
前記公開通信路を介して、前記受信ユーザのシェアを前記送信ノード及び前記管理ノードに公開し、前記多項式の成立を判定する多項式判定部、を備え、
前記管理ノードは、
前記公開通信路を介して、前記送信ユーザのシェアを前記送信ノード及び前記受信ノードに公開し、前記多項式の成立を判定する多項式判定部と、
前記送信ノード、前記受信ノード及び前記管理ノードの全てで前記多項式が成立した場合、前記相手認証に成功したと判定する相手認証判定部と、
を備えることを特徴とする認証システム。
前記送信ノードは、
前記受信ユーザとの相手認証を前記管理ノードに要求する相手認証要求部と、
所定の秘密データを生成し、ＯＴＰで前記秘密データを暗号化して前記管理ノードに送信する秘密データ送信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記管理ノードは、
前記送信ノードからの要求に応じて、前記相手認証の開始を前記受信ノードに指令する秘匿通信制御部と、
暗号化された前記秘密データを前記送信ノードから受信して復号する秘密データ受信部と、
閾値秘密分散を用いて、ユーザ数に応じた多項式及びシェアを前記秘密データから生成し、ＯＴＰで前記受信ユーザのシェアを暗号化して前記受信ノードに送信するシェア送信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記受信ノードは、
前記管理ノードからの指令に応じて、前記相手認証を開始する相手認証処理部と、
暗号化された前記受信ユーザのシェアを前記管理ノードから受信して復号するシェア受信部と、
前記メッセージ認証を行うメッセージ認証部と、を備え、
前記送信ノードは、
予めＷＣ認証された公開通信路を介して、前記秘密データを前記受信ノード及び前記管理ノードに公開し、前記多項式の成立を確認する多項式判定部、を備え、
前記受信ノードは、
前記公開通信路を介して、前記受信ユーザのシェアを前記送信ノード及び前記管理ノードに公開し、前記多項式の成立を判定する多項式判定部、を備え、
前記管理ノードは、
前記公開通信路を介して、前記送信ユーザのシェアを前記送信ノード及び前記受信ノードに公開し、前記多項式の成立を判定する多項式判定部と、
前記送信ノード、前記受信ノード及び前記管理ノードの全てで前記多項式が成立した場合、前記相手認証に成功したと判定する相手認証判定部と、
を備えることを特徴とする認証システム。
【請求項2】
前記管理ノードの多項式判定部は、
公開された前記秘密データと前記受信ユーザのシェアと前記送信ユーザのシェアとの全てが前記多項式を表す線上に位置する場合、前記多項式が成立すると判定することを特徴とする請求項１に記載の認証システム。
公開された前記秘密データと前記受信ユーザのシェアと前記送信ユーザのシェアとの全てが前記多項式を表す線上に位置する場合、前記多項式が成立すると判定することを特徴とする請求項１に記載の認証システム。
【請求項3】
前記管理ノードのメッセージ認証部は、
第１乱数と第２乱数と第３乱数とを生成し、ＯＴＰで前記第１乱数と前記第２乱数と前記第３乱数とを暗号化し、暗号化した前記第１乱数及び前記第２乱数を前記送信ノードに送信し、暗号化した前記第１乱数及び前記第３乱数を前記受信ノードに送信する乱数送信部、を備え、
前記送信ノードのメッセージ認証部は、
暗号化された前記第１乱数及び前記第２乱数を前記管理ノードから受信して復号する乱数受信部と、
ＯＴＰで前記メッセージを暗号化して前記受信ノードに送信するメッセージ送信部と、
前記メッセージから前記第１乱数を用いた第１ＭＡＣ値と暗号学的ハッシュ関数を用いたハッシュ値とを算出し、前記第１ＭＡＣ値と前記ハッシュ値との連接又は排他的論理和を演算し、当該演算結果をＯＴＰで暗号化して前記管理ノードに送信する演算部と、
前記メッセージから前記第２乱数を用いた第２ＭＡＣ値を算出し、ＯＴＰで前記第２乱数ＭＡＣ値を暗号化して前記管理ノードに送信するＭＡＣ値算出部と、を備え、
前記受信ノードのメッセージ認証部は、
暗号化された前記第１乱数及び前記第３乱数を前記管理ノードから受信して復号する乱数受信部と、
暗号化された前記メッセージを前記送信ノードから受信して復号するメッセージ受信部と、
受信した前記メッセージから前記第１乱数を用いた第１ＭＡＣ値と暗号学的ハッシュ関数を用いたハッシュ値とを算出し、前記第１ＭＡＣ値と前記ハッシュ値との連接又は排他的論理和を演算し、当該演算結果をＯＴＰで暗号化して前記管理ノードに送信する演算部と、
前記メッセージから前記第３乱数を用いた第３ＭＡＣ値を算出し、ＯＴＰで前記第３ＭＡＣ値を暗号化して前記管理ノードに送信するＭＡＣ値算出部と、を備え、
前記管理ノードのメッセージ認証部は、
前記送信ノード及び前記受信ノードから前記演算結果と前記第２ＭＡＣ値と前記第３ＭＡＣ値とを受信して復号し、受信した前記演算結果と前記第２ＭＡＣ値と前記第３ＭＡＣ値とに基づいて、前記メッセージ認証が成功したか否かを判定する一致判定部と、
を備えることを特徴とする請求項１に記載の認証システム。
第１乱数と第２乱数と第３乱数とを生成し、ＯＴＰで前記第１乱数と前記第２乱数と前記第３乱数とを暗号化し、暗号化した前記第１乱数及び前記第２乱数を前記送信ノードに送信し、暗号化した前記第１乱数及び前記第３乱数を前記受信ノードに送信する乱数送信部、を備え、
前記送信ノードのメッセージ認証部は、
暗号化された前記第１乱数及び前記第２乱数を前記管理ノードから受信して復号する乱数受信部と、
ＯＴＰで前記メッセージを暗号化して前記受信ノードに送信するメッセージ送信部と、
前記メッセージから前記第１乱数を用いた第１ＭＡＣ値と暗号学的ハッシュ関数を用いたハッシュ値とを算出し、前記第１ＭＡＣ値と前記ハッシュ値との連接又は排他的論理和を演算し、当該演算結果をＯＴＰで暗号化して前記管理ノードに送信する演算部と、
前記メッセージから前記第２乱数を用いた第２ＭＡＣ値を算出し、ＯＴＰで前記第２乱数ＭＡＣ値を暗号化して前記管理ノードに送信するＭＡＣ値算出部と、を備え、
前記受信ノードのメッセージ認証部は、
暗号化された前記第１乱数及び前記第３乱数を前記管理ノードから受信して復号する乱数受信部と、
暗号化された前記メッセージを前記送信ノードから受信して復号するメッセージ受信部と、
受信した前記メッセージから前記第１乱数を用いた第１ＭＡＣ値と暗号学的ハッシュ関数を用いたハッシュ値とを算出し、前記第１ＭＡＣ値と前記ハッシュ値との連接又は排他的論理和を演算し、当該演算結果をＯＴＰで暗号化して前記管理ノードに送信する演算部と、
前記メッセージから前記第３乱数を用いた第３ＭＡＣ値を算出し、ＯＴＰで前記第３ＭＡＣ値を暗号化して前記管理ノードに送信するＭＡＣ値算出部と、を備え、
前記管理ノードのメッセージ認証部は、
前記送信ノード及び前記受信ノードから前記演算結果と前記第２ＭＡＣ値と前記第３ＭＡＣ値とを受信して復号し、受信した前記演算結果と前記第２ＭＡＣ値と前記第３ＭＡＣ値とに基づいて、前記メッセージ認証が成功したか否かを判定する一致判定部と、
を備えることを特徴とする請求項１に記載の認証システム。
【請求項4】
前記管理ノードのメッセージ認証部は、
前記送信ノード又は前記受信ノードの少なくとも一方から前記メッセージが一致しない通知があった場合、前記送信ノード及び前記受信ノードより受信したメッセージから前記第１ＭＡＣ値と前記第２ＭＡＣ値と前記第３ＭＡＣ値と前記ハッシュ値とを再計算し、当該再計算の結果に基づいて、前記ユーザの真偽を判定する真偽判定部、
を備えることを特徴とする請求項３に記載の認証システム。
前記送信ノード又は前記受信ノードの少なくとも一方から前記メッセージが一致しない通知があった場合、前記送信ノード及び前記受信ノードより受信したメッセージから前記第１ＭＡＣ値と前記第２ＭＡＣ値と前記第３ＭＡＣ値と前記ハッシュ値とを再計算し、当該再計算の結果に基づいて、前記ユーザの真偽を判定する真偽判定部、
を備えることを特徴とする請求項３に記載の認証システム。
【請求項5】
前記管理ノードのメッセージ認証部は、
乱数列を生成する乱数列生成部と、
一致する要素数と一致しない要素数とが同数となる置換を同定する関数を前記送信ユーザ及び前記受信ユーザ毎に予め設定し、前記乱数列を前記送信ユーザの置換を同定する関数で数列に変換し、変換した前記送信ユーザの数列をＯＴＰで暗号化して前記送信ノードに送信する第１置換部と、
前記乱数列を前記受信ユーザの置換を同定する関数で数列に変換し、変換した前記受信ユーザの数列をＯＴＰで暗号化して前記受信ノードに送信する第２置換部と、を備え、
前記送信ノードのメッセージ認証部は、
暗号化された前記送信ユーザの数列を前記管理ノードから受信して復号する数列受信部と、
ＯＴＰで前記メッセージを暗号化して前記受信ノードに送信するメッセージ送信部と、
前記メッセージから前記送信ユーザの数列を用いた第１ＭＡＣ値数列を算出し、算出した前記第１ＭＡＣ値数列をＯＴＰで暗号化して前記管理ノードに送信するＭＡＣ値数列算出部と、を備え、
前記受信ノードのメッセージ認証部は、
暗号化された前記受信ユーザの数列を前記管理ノードから受信して復号する数列受信部と、
暗号化された前記メッセージを前記送信ノードから受信して復号するメッセージ受信部と、
受信した前記メッセージから前記受信ユーザの数列を用いた第２ＭＡＣ値数列を算出し、算出した前記第２ＭＡＣ値数列をＯＴＰで暗号化して前記管理ノードに送信するＭＡＣ値数列算出部と、を備え、
前記管理ノードのメッセージ認証部は、
前記送信ノード及び前記受信ノードから前記第１ＭＡＣ値数列と前記第２ＭＡＣ値数列とを受信して復号し、前記第１ＭＡＣ値数列と前記第２ＭＡＣ値数列との要素が全て一致するか否かにより、前記メッセージ認証が成功したか否かを判定する一致判定部、
を備えることを特徴とする請求項１に記載の認証システム。
乱数列を生成する乱数列生成部と、
一致する要素数と一致しない要素数とが同数となる置換を同定する関数を前記送信ユーザ及び前記受信ユーザ毎に予め設定し、前記乱数列を前記送信ユーザの置換を同定する関数で数列に変換し、変換した前記送信ユーザの数列をＯＴＰで暗号化して前記送信ノードに送信する第１置換部と、
前記乱数列を前記受信ユーザの置換を同定する関数で数列に変換し、変換した前記受信ユーザの数列をＯＴＰで暗号化して前記受信ノードに送信する第２置換部と、を備え、
前記送信ノードのメッセージ認証部は、
暗号化された前記送信ユーザの数列を前記管理ノードから受信して復号する数列受信部と、
ＯＴＰで前記メッセージを暗号化して前記受信ノードに送信するメッセージ送信部と、
前記メッセージから前記送信ユーザの数列を用いた第１ＭＡＣ値数列を算出し、算出した前記第１ＭＡＣ値数列をＯＴＰで暗号化して前記管理ノードに送信するＭＡＣ値数列算出部と、を備え、
前記受信ノードのメッセージ認証部は、
暗号化された前記受信ユーザの数列を前記管理ノードから受信して復号する数列受信部と、
暗号化された前記メッセージを前記送信ノードから受信して復号するメッセージ受信部と、
受信した前記メッセージから前記受信ユーザの数列を用いた第２ＭＡＣ値数列を算出し、算出した前記第２ＭＡＣ値数列をＯＴＰで暗号化して前記管理ノードに送信するＭＡＣ値数列算出部と、を備え、
前記管理ノードのメッセージ認証部は、
前記送信ノード及び前記受信ノードから前記第１ＭＡＣ値数列と前記第２ＭＡＣ値数列とを受信して復号し、前記第１ＭＡＣ値数列と前記第２ＭＡＣ値数列との要素が全て一致するか否かにより、前記メッセージ認証が成功したか否かを判定する一致判定部、
を備えることを特徴とする請求項１に記載の認証システム。
【請求項6】
前記管理ノードのメッセージ認証部は、
前記送信ノード又は前記受信ノードの少なくとも一方から前記メッセージが一致しない通知があった場合、前記送信ノード及び前記受信ノードより受信したメッセージから前記第１ＭＡＣ値数列及び前記第２ＭＡＣ値数列を再計算し、当該再計算の結果に基づいて、前記ユーザの真偽を判定する真偽判定部、
を備えることを特徴とする請求項５に記載の認証システム。
前記送信ノード又は前記受信ノードの少なくとも一方から前記メッセージが一致しない通知があった場合、前記送信ノード及び前記受信ノードより受信したメッセージから前記第１ＭＡＣ値数列及び前記第２ＭＡＣ値数列を再計算し、当該再計算の結果に基づいて、前記ユーザの真偽を判定する真偽判定部、
を備えることを特徴とする請求項５に記載の認証システム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、量子鍵配送ネットワークにおいて、相手認証及びメッセージ認証を行う認証システムに関する。
【背景技術】
【0002】
現在、量子コンピュータの開発が世界各国で精力的に進められており、現在インターネットで利用されている暗号技術の危殆化が懸念されている。またスーパーコンピュータの高性能化も暗号技術の危殆化リスクを高めている。それに対し、出願人らは、次世代の暗号の標準化を目指し、量子コンピュータでも解読が難しい暗号方式の評価をすすめているが、未だ最終決定されていない。また、どのような暗号方式であっても、計算量的な安全性であり、将来にわたり安全との確約はない。
【0003】
それに対し、量子鍵配送（ＱＫＤ：Quantum Key Distribution）は、情報理論的安全な乱数の遠隔地への伝送を可能としており、ＯＴＰ（one time pad）と組み合わせることにより、将来どのような計算機でも解読が不可能な暗号通信が可能と考えられる。量子鍵配送ネットワークを真に情報理論的安全なインフラとするためには、ユーザ（拠点）の認証も情報理論的安全に実施する必要がある。
【0004】
例えば、従来技術として、１対１で情報理論的安全な相手認証を可能とするＷＣ（Wegman-Carter）認証技術が提案されている（非特許文献１）。この従来技術は、予め共有しておいた鍵を用いて、最後のセッションで交わした文章内容のＭＡＣ値を計算して相手に伝送し、互いのＭＡＣ値が正しいことを確認することで、情報理論的な相手認証を可能とする。
【先行技術文献】
【特許文献】
【0005】
【非特許文献1】M. N. Wegman and J. L. Carter, “New Hash Functions and Their Use in Authentication and Set Inequality,” J. Comput. System Sci. 22, pp.265-279, 1981.
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかし、前記した従来技術は、対称鍵を必要とし、ユーザがｎ人の場合、各ユーザがｎ（ｎ－１）／２種類の鍵を保持する必要があり、鍵の管理が煩雑になるという問題がある。
【0007】
さらに、相手認証後のメッセージ認証技術についても、量子鍵配送やＯＴＰに備わっていない。このため、ＱＫＤにより共有した乱数を用いて、互いのメッセージについての完全性の認証を情報理論的安全に実施する必要がある。しかしながら、メッセージ改竄の有無について、送受信ユーザ間で争議が発生した場合、送信ユーザ又は受信ユーザの真偽を判定できていない。
【0008】
本発明は、鍵の管理が容易で、送信ユーザ又は受信ユーザの真偽を判定できる認証システムを提供することを課題とする。
【課題を解決するための手段】
【0009】
前記課題を解決するため、本発明に係る認証システムは、メッセージを送信する送信ユーザの送信ノードと、前記メッセージを受信する受信ユーザの受信ノードと、ユーザ間の相手認証及びメッセージ認証を行う管理ノードと、を量子鍵配送ネットワーク内に備える。
【0010】
送信ノードは、前記受信ユーザとの相手認証を前記管理ノードに要求する相手認証要求部と、所定の秘密データを生成し、ＯＴＰで前記秘密データを暗号化して前記管理ノードに送信する秘密データ送信部と、前記メッセージ認証を行うメッセージ認証部と、を備える。
【0011】
また、管理ノードは、前記送信ノードからの要求に応じて、前記相手認証の開始を前記受信ノードに指令する秘匿通信制御部と、暗号化された前記秘密データを前記送信ノードから受信して復号する秘密データ受信部と、閾値秘密分散を用いて、ユーザ数に応じた多項式及びシェアを前記秘密データから生成し、ＯＴＰで前記受信ユーザのシェアを暗号化して前記受信ノードに送信するシェア送信部と、前記メッセージ認証を行うメッセージ認証部と、を備える。
【0012】
また、受信ノードは、管理ノードからの指令に応じて、前記相手認証を開始する相手認証処理部と、暗号化された前記受信ユーザのシェアを前記管理ノードから受信して復号するシェア受信部と、前記メッセージ認証を行うメッセージ認証部と、を備える。
【0013】
また、送信ノードは、予めＷＣ認証された公開通信路を介して、前記秘密データを前記受信ノード及び前記管理ノードに公開し、前記多項式の成立を確認する多項式判定部、を備える。
【0014】
そして、受信ノードは、前記公開通信路を介して、前記受信ユーザのシェアを前記送信ノード及び前記管理ノードに公開し、前記多項式の成立を判定する多項式判定部、を備える。
【0015】
さらに、管理ノードは、前記公開通信路を介して、前記送信ユーザのシェアを前記送信ノード及び前記受信ノードに公開し、前記多項式の成立を判定する多項式判定部と、前記送信ノード、前記受信ノード及び前記管理ノードの全てで前記多項式が成立した場合、前記相手認証に成功したと判定する相手認証判定部と、を備える。
【0016】
すなわち、認証システムでは、量子鍵配送ネットワーク内の認証を司る管理ノードを設け、全てのノードが管理ノードとＯＴＰの鍵ペアを共有するので、鍵の管理が容易である。そして、認証システムでは、全てのノードとＷＣ認証により、情報理論的安全な相手認証及びメッセージ認証が可能となり、送信ユーザ又は受信ユーザの真偽を判定できる。
【発明の効果】
【0017】
本発明によれば、鍵の管理が容易で、送信ユーザ又は受信ユーザの真偽を判定できる。
【図面の簡単な説明】
【0018】
【図1】第１実施形態に係る認証システムにおいて、相手認証に関連した構成を示すブロック図である。
【図2】第１実施形態に係る認証システムにおいて、メッセージ認証に関連した構成を示すブロック図である。
【図3】第１実施形態に係る認証システムにおいて、相手認証の動作を示すシーケンス図である。
【図4】第１実施形態において、一次多項式の確認方法を説明する説明図である。
【図5】第１実施形態に係る認証システムにおいて、メッセージ認証の動作を示すシーケンス図である。
【図6】第２実施形態に係る認証システムにおいて、メッセージ認証に関連した構成を示すブロック図である。
【図7】第２実施形態に係る認証システムにおいて、メッセージ認証の動作を示すシーケンス図である。
【図8】実施例において、量子鍵配送ネットワークの概念図である。
【発明を実施するための形態】
【0019】
以下、本発明の各実施形態について図面を参照して説明する。但し、以下に説明する各実施形態は、本発明の技術思想を具体化するためのものであって、特定的な記載がない限り、本発明を以下のものに限定しない。また、同一の手段には同一の符号を付し、説明を省略する場合がある。
【0020】
（第１実施形態）
［認証システムの構成］
図１及び図２を参照し、第１実施形態に係る認証システム１の構成について説明する。
図１に示すように、認証システム１は、メッセージを送信する送信ユーザのノード（送信ノード）２と、メッセージを受信する受信ユーザのノード（受信ノード）４と、ユーザ間の相手認証及びメッセージ認証を行う中央管理ノード（管理ノード）３と、を量子鍵配送ネットワーク内に備えるものである。
［認証システムの構成］
図１及び図２を参照し、第１実施形態に係る認証システム１の構成について説明する。
図１に示すように、認証システム１は、メッセージを送信する送信ユーザのノード（送信ノード）２と、メッセージを受信する受信ユーザのノード（受信ノード）４と、ユーザ間の相手認証及びメッセージ認証を行う中央管理ノード（管理ノード）３と、を量子鍵配送ネットワーク内に備えるものである。
【0021】
以後、メッセージを送信する送信ユーザを「ユーザＡ」と記載し、メッセージを受信する受信ユーザを「ユーザＢ」と記載する場合がある。また、送信ノード及び受信ノードを単に「ノード」と記載する場合がある。
【0022】
認証システム１は、情報理論的安全な相手認証を少数の鍵ペアで実現する。その手法として、認証システム１は、量子鍵配送ネットワーク内に認証を司る中央管理ノード３を配置し、全てのユーザが中央管理ノード３と鍵ペアを共有する。中央管理ノードは全てのユーザ（ノード）とのＷＣ認証により、情報理論的安全な相手認証が可能となる。さらに、認証システム１は、相手認証が完了した後、ユーザ間で送受信するメッセージについてのメッセージ認証を行う。
なお、中央管理ノード３が信頼できるものとし、鍵情報の流出を防止する実装が行われていることとする。
なお、中央管理ノード３が信頼できるものとし、鍵情報の流出を防止する実装が行われていることとする。
【0023】
ここで、認証システム１は、量子鍵配送ネットワークを介して、ノード２、中央管理ノード３及びノード４が接続されている。この量子鍵配送ネットワークは、インターネットのようなオープンなネットワークと異なり、クローズなネットワークである。また、認証システム１は、予めＷＣ認証された公開通信路（不図示）を介して、ノード２、中央管理ノード３及びノード４が接続されている。
【0024】
以下、認証システム１の各装置の構成を説明する。なお、図面を見やすくするため、図１ではメッセージ認証部の詳細を省略し（概略構成として破線で図示）、図２では相手認証部の詳細を省略した（概略構成として破線で図示）。つまり、図１及び図２は、同一の装置を示しており、図１では、相手認証部１０の各構成を実線で示し、メッセージ認証部２０を破線にして各構成を省略した。また、図２では、メッセージ認証部２０の各構成を実線で示し、相手認証部１０を破線にして各構成を省略した。
【0025】
＜送信ノード＞
ノード２は、相手認証を行う相手認証部２０と、メッセージ認証を行うメッセージ認証部２１とを備える。
図１に示すように、相手認証部２０は、相手認証要求部２００と、秘密データ送信部２０１と、多項式判定部２０２とを備える。
ノード２は、相手認証を行う相手認証部２０と、メッセージ認証を行うメッセージ認証部２１とを備える。
図１に示すように、相手認証部２０は、相手認証要求部２００と、秘密データ送信部２０１と、多項式判定部２０２とを備える。
【0026】
相手認証要求部２００は、ユーザＢとの相手認証を中央管理ノード３に要求するものである。
秘密データ送信部２０１は、所定の秘密データを生成し、ＯＴＰで秘密データを暗号化して中央管理ノード３に送信するものである。
多項式判定部２０２は、予めＷＣ認証された公開通信路を介して、秘密データをノード４及び中央管理ノード３に公開し、多項式の成立を確認するものである。
秘密データ送信部２０１は、所定の秘密データを生成し、ＯＴＰで秘密データを暗号化して中央管理ノード３に送信するものである。
多項式判定部２０２は、予めＷＣ認証された公開通信路を介して、秘密データをノード４及び中央管理ノード３に公開し、多項式の成立を確認するものである。
【0027】
図２に示すように、メッセージ認証部２１は、乱数受信部２１０と、メッセージ送信部２１１と、演算部２１２と、ＭＡＣ値算出部２１３とを備える。
乱数受信部２１０は、暗号化された第１乱数及び第２乱数を中央管理ノード３から受信して復号するものである。
メッセージ送信部２１１は、ＯＴＰでメッセージを暗号化してノード４に送信するものである。
乱数受信部２１０は、暗号化された第１乱数及び第２乱数を中央管理ノード３から受信して復号するものである。
メッセージ送信部２１１は、ＯＴＰでメッセージを暗号化してノード４に送信するものである。
【0028】
演算部２１２は、メッセージから第１乱数を用いた第１ＭＡＣ(Message Authentication Code)値とＳＨＡ（Secure Hash Algorithm）等の暗号学的ハッシュ関数を用いたハッシュ値とを算出し、第１ＭＡＣ値とハッシュ値との連接又は排他的論理和を演算し、演算結果をＯＴＰで暗号化して中央管理ノード３に送信するものである。
ＭＡＣ値算出部２１３は、メッセージから第２乱数を用いた第２ＭＡＣ値を算出し、ＯＴＰで第２乱数ＭＡＣ値を暗号化して中央管理ノード３に送信するものである。
なお、ノード２の具体的処理内容については、後記する。
ＭＡＣ値算出部２１３は、メッセージから第２乱数を用いた第２ＭＡＣ値を算出し、ＯＴＰで第２乱数ＭＡＣ値を暗号化して中央管理ノード３に送信するものである。
なお、ノード２の具体的処理内容については、後記する。
【0029】
＜中央管理ノード＞
中央管理ノード３は、相手認証を行う相手認証部３０と、メッセージ認証を行うメッセージ認証部３１とを備える。
図１に示すように、相手認証部３０は、秘匿通信制御部３００と、秘密データ受信部３０１と、シェア送信部３０２と、多項式判定部３０３と、相手認証判定部３０４とを備える。
中央管理ノード３は、相手認証を行う相手認証部３０と、メッセージ認証を行うメッセージ認証部３１とを備える。
図１に示すように、相手認証部３０は、秘匿通信制御部３００と、秘密データ受信部３０１と、シェア送信部３０２と、多項式判定部３０３と、相手認証判定部３０４とを備える。
【0030】
秘匿通信制御部３００は、ノード２からの要求に応じて、相手認証の開始をノード４に指令するものである。
秘密データ受信部３０１は、暗号化された秘密データをノード２から受信して復号するものである。
シェア送信部３０２は、閾値秘密分散を用いて、ユーザ数に応じた多項式及びシェアを秘密データから生成し、ＯＴＰでユーザＢのシェアを暗号化してノード４に送信するものである。
秘密データ受信部３０１は、暗号化された秘密データをノード２から受信して復号するものである。
シェア送信部３０２は、閾値秘密分散を用いて、ユーザ数に応じた多項式及びシェアを秘密データから生成し、ＯＴＰでユーザＢのシェアを暗号化してノード４に送信するものである。
【0031】
多項式判定部３０３は、公開通信路を介して、ユーザＡのシェアをノード２及びノード４に公開し、多項式の成立を判定するものである。
相手認証判定部３０４は、ノード２、ノード４及び中央管理ノード３の全てで多項式が成立した場合、相手認証に成功したと判定するものである。
相手認証判定部３０４は、ノード２、ノード４及び中央管理ノード３の全てで多項式が成立した場合、相手認証に成功したと判定するものである。
【0032】
図２に示すように、メッセージ認証部３１は、乱数送信部３１０と、一致判定部３１１と、真偽判定部３１２とを備える。
乱数送信部３１０は、第１乱数と第２乱数と第３乱数とを生成し、ＯＴＰで第１乱数と第２乱数と第３乱数とを暗号化し、暗号化した第１乱数及び第２乱数をノード２に送信し、暗号化した第１乱数及び第３乱数をノード４に送信するものである。
乱数送信部３１０は、第１乱数と第２乱数と第３乱数とを生成し、ＯＴＰで第１乱数と第２乱数と第３乱数とを暗号化し、暗号化した第１乱数及び第２乱数をノード２に送信し、暗号化した第１乱数及び第３乱数をノード４に送信するものである。
【0033】
一致判定部３１１は、ノード２及びノード４から演算結果と第２ＭＡＣ値と第３ＭＡＣ値とを受信して復号し、受信した演算結果と第２ＭＡＣ値と第３ＭＡＣ値とに基づいて、メッセージ認証が成功したか否かを判定するものである。
【0034】
真偽判定部３１２は、ノード２又はノード４の少なくとも一方からメッセージが一致しない通知があった場合、ノード２及びノード４より受信したメッセージから第１ＭＡＣ値と第２ＭＡＣ値と第３ＭＡＣ値とハッシュ値とを再計算し、当該再計算の結果に基づいて、ユーザの真偽を判定するものである。
なお、中央管理ノード３の具体的処理内容については、後記する。
なお、中央管理ノード３の具体的処理内容については、後記する。
【0035】
＜受信ノード＞
ノード４は、相手認証を行う相手認証部４０と、メッセージ認証を行うメッセージ認証部４１とを備える。
図１に示すように、相手認証部４０は、相手認証処理部４００と、シェア受信部４０１と、多項式判定部４０２とを備える。
相手認証処理部４００は、中央管理ノード３からの指令に応じて、相手認証を開始するものである。
シェア受信部４０１は、暗号化されたユーザＢのシェアを中央管理ノード３から受信して復号するものである。
多項式判定部４０２は、公開通信路を介して、ユーザＢのシェアをノード２及び中央管理ノード３に公開し、多項式の成立を判定するものである。
ノード４は、相手認証を行う相手認証部４０と、メッセージ認証を行うメッセージ認証部４１とを備える。
図１に示すように、相手認証部４０は、相手認証処理部４００と、シェア受信部４０１と、多項式判定部４０２とを備える。
相手認証処理部４００は、中央管理ノード３からの指令に応じて、相手認証を開始するものである。
シェア受信部４０１は、暗号化されたユーザＢのシェアを中央管理ノード３から受信して復号するものである。
多項式判定部４０２は、公開通信路を介して、ユーザＢのシェアをノード２及び中央管理ノード３に公開し、多項式の成立を判定するものである。
【0036】
図２に示すように、メッセージ認証部４１は、乱数受信部４１０と、メッセージ受信部４１１と、演算部４１２と、ＭＡＣ値算出部４１３とを備える。
乱数受信部４１０は、暗号化された第１乱数及び第３乱数を中央管理ノード３から受信して復号するものである。
メッセージ受信部４１１は、暗号化されたメッセージをノード２から受信して復号するものである。
乱数受信部４１０は、暗号化された第１乱数及び第３乱数を中央管理ノード３から受信して復号するものである。
メッセージ受信部４１１は、暗号化されたメッセージをノード２から受信して復号するものである。
【0037】
演算部４１２は、受信したメッセージから第１乱数を用いた第１ＭＡＣ値とＳＨＡ等の暗号学的ハッシュ関数を用いたハッシュ値とを算出し、第１ＭＡＣ値とハッシュ値との連接又は排他的論理和を演算し、演算結果をＯＴＰで暗号化して中央管理ノード３に送信するものである。
ＭＡＣ値算出部４１３は、メッセージから第３乱数を用いた第３ＭＡＣ値を算出し、ＯＴＰで第３ＭＡＣ値を暗号化して中央管理ノード３に送信するものである。
なお、ノード４の具体的処理内容については、後記する。
ＭＡＣ値算出部４１３は、メッセージから第３乱数を用いた第３ＭＡＣ値を算出し、ＯＴＰで第３ＭＡＣ値を暗号化して中央管理ノード３に送信するものである。
なお、ノード４の具体的処理内容については、後記する。
【0038】
［認証システムの動作：相手認証］
図３を参照し、認証システム１が相手認証を行うときの動作を説明する（適宜図１参照）。
図３に示すように、ステップＳ１において、ノード２の相手認証要求部２００は、量子鍵配送ネットワーク内のユーザＡ，Ｂ間で秘匿通信を行いたい場合、ユーザＢとの相手認証を中央管理ノード３に要求する。
図３を参照し、認証システム１が相手認証を行うときの動作を説明する（適宜図１参照）。
図３に示すように、ステップＳ１において、ノード２の相手認証要求部２００は、量子鍵配送ネットワーク内のユーザＡ，Ｂ間で秘匿通信を行いたい場合、ユーザＢとの相手認証を中央管理ノード３に要求する。
【0039】
ステップＳ２において、中央管理ノード３の秘匿通信制御部３００は、ノード２からの要求に応じて、ユーザＢとの相手認証の開始をノード２に通知すると共に、相手認証の開始をノード４に指令する。
【0040】
ステップＳ３において、ノード２の秘密データ送信部２０１は、既知の手法で秘密データＳを生成する。そして、秘密データ送信部２０１は、ＯＴＰで秘密データＳを暗号化する。
【0041】
例えば、認証システム１では、ＯＴＰとして、Vernam’s one time pad暗号を利用できる。なお、ＯＴＰで暗号化する場合、データの送受信者間で暗号鍵を予め共有しておくこととする。また、認証システム１では、ＯＴＰの代わりに、量子鍵配送ネットワークから取得したＡＥＳ（Advanced Encryption Standard）等の標準化された対称鍵暗号を用いて暗号化してもよい。
【0042】
ステップＳ４において、ノード２の秘密データ送信部２０１は、量子鍵配送ネットワークを介して、暗号化した秘密データＳを中央管理ノード３に送信する。すると、中央管理ノード３の秘密データ受信部３０１は、暗号化された秘密データＳをノード２から受信し、ＯＴＰで秘密データＳを復号する。
【0043】
ステップＳ５において、中央管理ノード３のシェア送信部３０２は、閾値秘密分散（例えば、Ｓｈａｍｉｒの秘密分散）を用いて、ユーザ数に応じた多項式を生成する。本実施形態では、ユーザ数がユーザＡ，Ｂの２人であるため、シェア送信部３０２は、閾値秘密分散の閾値を２とし、一次多項式を生成する。なお、シェア送信部３０２は、Ｓｈａｍｉｒの秘密分散の他、排他的論理和での秘密分散を用いてもよい。
【0044】
参考文献１：Shamir, Adi, “How to share a secret”, Communications of the ACM 22 (11), 1979.Nov.,612-613
【0045】
ステップＳ６において、中央管理ノード３のシェア送信部３０２は、閾値秘密分散を用いて、ユーザ数に応じたシェアを生成する。例えば、シェア送信部３０２は、ユーザＡ，Ｂそれぞれのシェアを生成する。そして、シェア送信部３０２は、ＯＴＰでユーザＢのシェアを暗号化する。
【0046】
ステップＳ７において、中央管理ノード３のシェア送信部３０２は、量子鍵配送ネットワークを介して、暗号化したユーザＢのシェアをノード４に送信する。すると、ノード４のシェア受信部４０１は、暗号化されたユーザＢのシェアを中央管理ノード３から受信し、ＯＴＰでユーザＢのシェアを復号する。
【0047】
ステップＳ８において、ノード２の多項式判定部２０２は、公開通信路を介して、秘密データＳをノード４及び中央管理ノード３に公開する。
また、中央管理ノード３の多項式判定部３０３は、公開通信路を介して、ユーザＡのシェアをノード２及びノード４に公開する。
また、ノード４の多項式判定部４０２は、公開通信路を介して、ユーザＢのシェアをノード２及び中央管理ノード３に公開する。
また、中央管理ノード３の多項式判定部３０３は、公開通信路を介して、ユーザＡのシェアをノード２及びノード４に公開する。
また、ノード４の多項式判定部４０２は、公開通信路を介して、ユーザＢのシェアをノード２及び中央管理ノード３に公開する。
【0048】
ステップＳ９において、中央管理ノード３の多項式判定部３０３は、一次多項式の成立を判定する。
ステップＳ１０において、ノード２の多項式判定部２０２は、一次多項式の成立を追認する。
ステップＳ１１において、ノード４の多項式判定部４０２は、一次多項式の成立を追認する。
ステップＳ１０において、ノード２の多項式判定部２０２は、一次多項式の成立を追認する。
ステップＳ１１において、ノード４の多項式判定部４０２は、一次多項式の成立を追認する。
【0049】
＜一次多項式の成立判定及び追認手法＞
図４を参照し、多項式判定部２０２，３０３，４０２における一次多項式の成立判定手法及び追認手法を説明する。
図４を参照し、多項式判定部２０２，３０３，４０２における一次多項式の成立判定手法及び追認手法を説明する。
【0050】
図４には、一次多項式の一例を表す直線Ｌを図示した。図４には、公開された秘密データＳ、ユーザＡのシェアＤ１及びユーザＢのシェアＤ２を図示した。図４のＸ軸は各ノードの位置を表し、例えば、中央管理ノード３がＸ＝０、ノード２がＸ＝１、ノード４がＸ＝２である。図４のＹ軸は秘密データＳやシェアＤ１，Ｄ２の数値を表す。
【0051】
図４に示すように、多項式判定部３０３は、公開された秘密データＳとユーザＢのシェアＤ２とユーザＡのシェアＤ１との全てが直線Ｌ上に位置する場合、一次多項式が成立すると判定する。一方、多項式判定部３０３は、公開された秘密データＳとユーザＢのシェアＤ２とユーザＡのシェアＤ１との何れか１以上が直線Ｌ上に位置しない場合、一次多項式が成立しないと判定する。
【0052】
そして、多項式判定部３０３は、一次多項式の成立判定結果を多項式判定部２０２，４０２に通知する。すると、多項式判定部２０２，４０２は、多項式判定部３０３による一次多項式の成立判定結果を追認する。
【0053】
図３に戻り、認証システム１の動作の説明を続ける。
ステップＳ１２において、ノード２の多項式判定部２０２は、公開通信路を介して、一次多項式の追認結果を中央管理ノード３に送信する。
ステップＳ１３において、ノード４の多項式判定部４０２は、公開通信路を介して、一次多項式の追認結果を中央管理ノード３に送信する。
ステップＳ１２において、ノード２の多項式判定部２０２は、公開通信路を介して、一次多項式の追認結果を中央管理ノード３に送信する。
ステップＳ１３において、ノード４の多項式判定部４０２は、公開通信路を介して、一次多項式の追認結果を中央管理ノード３に送信する。
【0054】
ステップＳ１４において、中央管理ノード３の相手認証判定部３０４は、ノード２、ノード４及び中央管理ノード３の全てで多項式が成立した場合、相手認証に成功したと判定する。つまり、相手認証判定部３０４は、ステップＳ９で一次多項式が成立し、かつ、ステップＳ１０，Ｓ１１で追認された場合、相手認証に成功したと判定する。相手認証に成功した場合、認証システム１は、メッセージ認証を行う。
【0055】
一方、相手認証判定部３０４は、ステップＳ９～Ｓ１１の１以上で一次多項式が成立しないと判定された場合、相手認証に失敗したと判定する。つまり、相手認証判定部３０４は、ステップＳ９で一次多項式が成立しない場合、又は、ステップＳ１０，Ｓ１１で追認されない場合、相手認証に失敗したと判定する。
【0056】
なお、相手認証に成功した場合、認証システム１では、ノード２及びノード４で秘匿通信を行うことができる。この場合、中央管理ノード３に予め依頼し、ＡとＢに共通の乱数を鍵リレーで共有すればよい。
【0057】
［認証システムの動作：メッセージ認証］
図５を参照し、認証システム１がメッセージ認証を行うときの動作を説明する（適宜図２参照）。
図５に示すように、ステップＳ２０において、中央管理ノード３の乱数送信部３１０は、既知の手法で第１乱数Ｒ１、第２乱数Ｒ２及び第３乱数Ｒ３を生成する。
図５を参照し、認証システム１がメッセージ認証を行うときの動作を説明する（適宜図２参照）。
図５に示すように、ステップＳ２０において、中央管理ノード３の乱数送信部３１０は、既知の手法で第１乱数Ｒ１、第２乱数Ｒ２及び第３乱数Ｒ３を生成する。
【0058】
ステップＳ２１において、中央管理ノード３の乱数送信部３１０は、第１乱数Ｒ１及び第２乱数Ｒ２をＯＴＰで暗号化する。そして、乱数送信部３１０は、量子鍵配送ネットワークを介して、暗号化した第１乱数Ｒ１及び第２乱数Ｒ２をノード２に送信する。すると、ノード２の乱数受信部２１０は、暗号化された第１乱数Ｒ１及び第２乱数Ｒ２を中央管理ノード３から受信し、受信した第１乱数Ｒ１及び第２乱数Ｒ２をＯＴＰで復号する。
【0059】
ステップＳ２２において、中央管理ノード３の乱数送信部３１０は、第１乱数Ｒ１をＯＴＰで暗号化する。そして、乱数送信部３１０は、量子鍵配送ネットワークを介して、暗号化した第１乱数Ｒ１をノード４に送信する。すると、ノード４の乱数受信部４１０は、暗号化された第１乱数Ｒ１を中央管理ノード３から受信し、受信した第１乱数Ｒ１をＯＴＰで復号する。
【0060】
ステップＳ２３において、ノード２のメッセージ送信部２１１は、ＯＴＰで任意のメッセージｍを暗号化する。そして、メッセージ送信部２１１は、量子鍵配送ネットワークを介して、暗号化したメッセージｍをノード４に送信する。以後、ノード４が受信したメッセージをメッセージｍ´と記載する場合がある。すると、ノード４のメッセージ受信部４１１は、暗号化されたメッセージｍ´をノード２から受信し、受信したメッセージｍ´をＯＴＰで復号する。
【0061】
ステップＳ２４において、ノード２の演算部２１２は、メッセージｍから、第１乱数Ｒ１を用いた第１ＭＡＣ値ｈＲ１（ｍ）を算出する。なお、第１ＭＡＣ値ｈＲ１（ｍ）は、第１乱数Ｒ１を用いた鍵付きハッシュ値である。例えば、演算部２１２は、メッセージｍから、暗号学的ハッシュ関数であるＳＨＡ－３を用いたハッシュ値ｈＳＨＡ３（ｍ）を算出する。なお、認証システム１では、暗号学的ハッシュ関数として、ＳＨＡ－３の代わりにＳＨＡ-２を用いてもよい。
【0062】
続いて、演算部２１２は、第１ＭＡＣ値ｈＲ１（ｍ）とハッシュ値ｈＳＨＡ３（ｍ）との連接ｈＲ１（ｍ）｜ｈＳＨＡ３（ｍ）又は排他的論理和ｈＲ１（ｍ）ＥＯＲｈＳＨＡ３（ｍ）を演算する。ここで、連接又は排他的論理和の何れで演算するかは、認証システム１の管理者が設定できる。例えば、排他的論理和で演算する場合、メモリを半分程度に節約でき、連接で演算する場合、後の検算が容易になる。
その後、演算部２１２は、その演算結果をＯＴＰで暗号化する。
その後、演算部２１２は、その演算結果をＯＴＰで暗号化する。
【0063】
ステップＳ２５において、ノード２の演算部２１２は、量子鍵配送ネットワークを介して、暗号化した演算結果を中央管理ノード３に送信する。すると、中央管理ノード３の一致判定部３１１は、暗号化された演算結果をノード２から受信し、受信した演算結果をＯＴＰで復号する。
【0064】
ステップＳ２６において、ノード２のＭＡＣ値算出部２１３は、メッセージｍから第２乱数Ｒ２を用いた第２ＭＡＣ値ｈＲ２（ｍ）を算出する。そして、ＭＡＣ値算出部２１３は、算出した第２ＭＡＣ値ｈＲ２（ｍ）をＯＴＰで暗号化する。
【0065】
ステップＳ２７において、ノード２のＭＡＣ値算出部２１３は、量子鍵配送ネットワークを介して、暗号化した第２ＭＡＣ値ｈＲ２（ｍ）を中央管理ノード３に送信する。すると、中央管理ノード３の一致判定部３１１は、暗号化された第２ＭＡＣ値ｈＲ２（ｍ）をノード２から受信し、受信した第２ＭＡＣ値ｈＲ２（ｍ）をＯＴＰで復号する。
【0066】
ステップＳ２８において、ノード４の演算部４１２は、メッセージｍ´から、第１乱数Ｒ１を用いた第１ＭＡＣ値ｈＲ１（ｍ´）を算出する。また、演算部４１２は、メッセージｍ´から、ＳＨＡ－３を用いたハッシュ値ｈＳＨＡ３（ｍ´）を算出する。なお、ＳＨＡ-３の代わりにＳＨＡ-２を用いてもよい。
【0067】
続いて、演算部４１２は、第１ＭＡＣ値ｈＲ１（ｍ´）とハッシュ値ｈＳＨＡ３（ｍ´）との連接ｈＲ１（ｍ´）｜ｈＳＨＡ３（ｍ´）又は排他的論理和ｈＲ１（ｍ´）ＥＯＲｈＳＨＡ３（ｍ´）を演算する。ここで、連接又は排他的論理和の何れで演算するかは、ノード２の演算部２１２と一致させる。その後、演算部４１２は、その演算結果をＯＴＰで暗号化する。
【0068】
ステップＳ２９において、ノード４の演算部４１２は、量子鍵配送ネットワークを介して、暗号化した演算結果を中央管理ノード３に送信する。すると、中央管理ノード３の一致判定部３１１は、暗号化された演算結果をノード４から受信し、受信した演算結果をＯＴＰで復号する。
【0069】
ステップＳ３０において、中央管理ノード３の乱数送信部３１０は、第３乱数Ｒ３をＯＴＰで暗号化する。そして、乱数送信部３１０は、量子鍵配送ネットワークを介して、暗号化した第３乱数Ｒ３をノード４に送信する。すると、ノード４の乱数受信部４１０は、暗号化された第３乱数Ｒ３を中央管理ノード３から受信し、暗号化された第３乱数Ｒ３をＯＴＰで復号する。
【0070】
ステップＳ３１において、ノード４のＭＡＣ値算出部４１３は、メッセージｍ´から、第３乱数Ｒ３を用いた第３ＭＡＣ値ｈＲ３（ｍ´）を算出する。そして、ＭＡＣ値算出部４１３は、算出した第３ＭＡＣ値ｈＲ３（ｍ´）をＯＴＰで暗号化する。
【0071】
ステップＳ３２において、ノード４のＭＡＣ値算出部４１３は、量子鍵配送ネットワークを介して、暗号化した第３ＭＡＣ値ｈＲ２（ｍ´）を中央管理ノード３に送信する。すると、中央管理ノード３の一致判定部３１１は、暗号化された第３ＭＡＣ値ｈＲ２（ｍ´）をノード４から受信し、受信した第３ＭＡＣ値ｈＲ２（ｍ´）をＯＴＰで復号する。
【0072】
ステップＳ３３において、中央管理ノード３の一致判定部３１１は、ノード２又はノード４からメッセージの不一致に関する判定の依頼があった場合、ノード２及びノード４から受信した演算結果が一致するか否かを判定する。つまり、連接で演算した場合、一致判定部３１１は、ノード２の連接ｈＲ１（ｍ）｜ｈＳＨＡ３（ｍ）と、ノード４の連接ｈＲ１（ｍ´）｜ｈＳＨＡ３（ｍ´）とが一致するか否かを判定する。また、排他的論理和で演算した場合、一致判定部３１１は、ノード２の排他的論理和ｈＲ１（ｍ）ＥＯＲｈＳＨＡ３（ｍ）と、ノード４の排他的論理和ｈＲ１（ｍ´）ＥＯＲｈＳＨＡ３（ｍ´）が一致するか否かを判定する。
【0073】
ノード２及びノード４の演算結果が一致する場合、一致判定部３１１は、メッセージ認証が成功したと判定する。
ノード２及びノード４の演算結果が一致しない場合、一致判定部３１１は、メッセージ認証が失敗したと判定する。
ノード２及びノード４の演算結果が一致しない場合、一致判定部３１１は、メッセージ認証が失敗したと判定する。
【0074】
ステップＳ３４において、中央管理ノード３の一致判定部３１１は、公開通信路を介して、メッセージ認証の判定結果をノード２に送信する。
ステップＳ３５において、中央管理ノード３の一致判定部３１１は、公開通信路を介して、メッセージ認証の判定結果をノード４に送信する。
ステップＳ３５において、中央管理ノード３の一致判定部３１１は、公開通信路を介して、メッセージ認証の判定結果をノード４に送信する。
【0075】
ステップＳ３６において、ノード２の演算部２１２は、ノード２のメッセージｍとノード４のメッセージｍ´とが一致するか否かを判定する。
ステップＳ３７において、ノード２の演算部２１２は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
ステップＳ３７において、ノード２の演算部２１２は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
【0076】
ステップＳ３８において、ノード４の演算部４１２は、ノード２のメッセージｍとノード４のメッセージｍ´とが一致するか否かを判定する。
ステップＳ３９において、ノード４の演算部４１２は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
ステップＳ３９において、ノード４の演算部４１２は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
【0077】
ステップＳ４０において、中央管理ノード３の真偽判定部３１２は、メッセージｍ，ｍ´が一致しない通知があった場合、ノード２及びノード４からノード３に改めてメッセージを送るように指示し、第１ＭＡＣ値と第２ＭＡＣ値と第３ＭＡＣ値とハッシュ値とを再計算する。ここで、ノード２から改めて受信したメッセージをメッセージｍ￣とし、ノード４から改めて受信したメッセージをメッセージｍ￣´とする。
【0078】
そして、真偽判定部３１２は、中央管理ノード３が受信した値と一致しないＭＡＣ値又はハッシュ値の有無を確認し、ユーザＡ，Ｂのどちらが正しいかを判定する。その判定条件は、以下のとおりである。
【0079】
条件Ａ）連接で演算した場合、ｈＲ１（ｍ）｜ｈＳＨＡ３（ｍ）＝ｈＲ１（ｍ￣）｜ｈＳＨＡ３（ｍ￣）、かつ、ｈＲ２（ｍ）＝ｈＲ２（ｍ￣）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣）
排他的論理和で演算した場合、ｈＲ１（ｍ）ＥＯＲｈＳＨＡ３（ｍ）＝ｈＲ１（ｍ￣）ＥＯＲｈＳＨＡ３（ｍ￣）、かつ、ｈＲ２（ｍ）＝ｈＲ２（ｍ￣）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣）
排他的論理和で演算した場合、ｈＲ１（ｍ）ＥＯＲｈＳＨＡ３（ｍ）＝ｈＲ１（ｍ￣）ＥＯＲｈＳＨＡ３（ｍ￣）、かつ、ｈＲ２（ｍ）＝ｈＲ２（ｍ￣）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣）
【0080】
条件Ｂ）連接で演算した場合、ｈＲ１（ｍ´）｜ｈＳＨＡ３（ｍ´）＝ｈＲ１（ｍ￣´）｜ｈＳＨＡ３（ｍ￣´）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣´）、かつ、ｈＲ２（ｍ）＝ｈＲ３（ｍ￣´）
排他的論理和で演算した場合、ｈＲ１（ｍ´）ＥＯＲｈＳＨＡ３（ｍ´）＝ｈＲ１（ｍ￣´）ＥＯＲｈＳＨＡ３（ｍ￣´）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣´）、かつ、ｈＲ２（ｍ）＝ｈＲ３（ｍ￣´）
排他的論理和で演算した場合、ｈＲ１（ｍ´）ＥＯＲｈＳＨＡ３（ｍ´）＝ｈＲ１（ｍ￣´）ＥＯＲｈＳＨＡ３（ｍ￣´）、かつ、ｈＲ３（ｍ´）＝ｈＲ３（ｍ￣´）、かつ、ｈＲ２（ｍ）＝ｈＲ３（ｍ￣´）
【0081】
ここで、真偽判定部３１２は、条件Ａ，Ｂの両方が真又は偽の場合、ユーザＡ，Ｂのどちらが正しいか不明と判定する。また、真偽判定部３１２は、条件Ａのみが真の場合、ユーザＡが正しいと判定する。また、真偽判定部３１２は、条件Ｂのみが真の場合、ユーザＢが正しいと判定する。その後、真偽判定部３１２は、ユーザＡ，Ｂに判定結果を通知してもよい。
【0082】
［作用・効果］
以上のように、第１実施形態に係る認証システム１によれば、鍵の管理が容易で、ユーザＡ，Ｂの真偽を判定できる。
認証システム１では、隣接していない任意のユーザ（ノード）間の相手認証が情報理論的安全に実施できる。また、認証システム１では、中央管理ノード３が相手認証の完了に立ち会うことができ、ユーザが事後にその事実を否定するようなサービス否認を防止できる。すなわち、認証システム１では、量子鍵配送ネットワークの認証プロセスの情報理論的安全性を担保するのみならず、課金などのビジネスを容易に展開できる。さらに、認証システム１では、ユーザ間でやり取りされたメッセージの完全性も中央管理ノード３で担保できる。
以上のように、第１実施形態に係る認証システム１によれば、鍵の管理が容易で、ユーザＡ，Ｂの真偽を判定できる。
認証システム１では、隣接していない任意のユーザ（ノード）間の相手認証が情報理論的安全に実施できる。また、認証システム１では、中央管理ノード３が相手認証の完了に立ち会うことができ、ユーザが事後にその事実を否定するようなサービス否認を防止できる。すなわち、認証システム１では、量子鍵配送ネットワークの認証プロセスの情報理論的安全性を担保するのみならず、課金などのビジネスを容易に展開できる。さらに、認証システム１では、ユーザ間でやり取りされたメッセージの完全性も中央管理ノード３で担保できる。
【0083】
（第２実施形態）
［認証システムの構成］
図６を参照し、第２実施形態に係る認証システム１Ｂの構成について、第１実施形態と異なる点を説明する。
図６に示すように、認証システム１は、ノード（送信ノード）２Ｂと、ノード（受信ノード）４Ｂと、中央管理ノード（管理ノード）３Ｂと、を量子鍵配送ネットワーク内に備えるものである。
［認証システムの構成］
図６を参照し、第２実施形態に係る認証システム１Ｂの構成について、第１実施形態と異なる点を説明する。
図６に示すように、認証システム１は、ノード（送信ノード）２Ｂと、ノード（受信ノード）４Ｂと、中央管理ノード（管理ノード）３Ｂと、を量子鍵配送ネットワーク内に備えるものである。
【0084】
この認証システム１Ｂでは、メッセージ認証の手法が第１実施形態と異なるが、相手認証の手法は第１実施形態と同様である。つまり、相手認証部２０，３０，４０は、第１実施形態と同様のため、説明を省略する。また、図面を見やすくするため、図６では相手認証部２０，３０，４０の詳細を省略した（破線で図示）。
【0085】
＜送信ノード＞
ノード２Ｂは、相手認証を行う相手認証部２０と、メッセージ認証を行うメッセージ認証部２２とを備える。
メッセージ認証部２２は、数列受信部２２０と、メッセージ送信部２２１と、ＭＡＣ値数列算出部２２２とを備える。
ノード２Ｂは、相手認証を行う相手認証部２０と、メッセージ認証を行うメッセージ認証部２２とを備える。
メッセージ認証部２２は、数列受信部２２０と、メッセージ送信部２２１と、ＭＡＣ値数列算出部２２２とを備える。
【0086】
数列受信部２２０は、暗号化されたユーザＡの数列を中央管理ノード３Ｂから受信して復号するものである。
メッセージ送信部２２１は、ＯＴＰでメッセージを暗号化してノード４Ｂに送信するものである。
ＭＡＣ値数列算出部２２２は、メッセージからユーザＡの数列を用いた第１ＭＡＣ値数列を算出し、算出した第１ＭＡＣ値数列をＯＴＰで暗号化して中央管理ノード３Ｂに送信するものである。
なお、ノード２Ｂの具体的処理内容については、後記する。
メッセージ送信部２２１は、ＯＴＰでメッセージを暗号化してノード４Ｂに送信するものである。
ＭＡＣ値数列算出部２２２は、メッセージからユーザＡの数列を用いた第１ＭＡＣ値数列を算出し、算出した第１ＭＡＣ値数列をＯＴＰで暗号化して中央管理ノード３Ｂに送信するものである。
なお、ノード２Ｂの具体的処理内容については、後記する。
【0087】
＜中央管理ノード＞
中央管理ノード３Ｂは、相手認証を行う相手認証部３０と、メッセージ認証を行うメッセージ認証部３２とを備える。
メッセージ認証部３２は、乱数列生成部３２０と、第１置換部３２１と、第２置換部３２２と、一致判定部３２３と、真偽判定部３２４とを備える。
中央管理ノード３Ｂは、相手認証を行う相手認証部３０と、メッセージ認証を行うメッセージ認証部３２とを備える。
メッセージ認証部３２は、乱数列生成部３２０と、第１置換部３２１と、第２置換部３２２と、一致判定部３２３と、真偽判定部３２４とを備える。
【0088】
乱数列生成部３２０は、乱数列を生成するものである。
第１置換部３２１は、一致する要素数と一致しない要素数とが同数となる置換を同定する関数をユーザＡ及びユーザＢに予め設定し、乱数列をユーザＡの置換を同定する関数で数列に変換し、変換したユーザＡの数列をＯＴＰで暗号化してノード４Ｂに送信するものである。
第２置換部３２２は、乱数列をユーザＢの置換を同定する関数で数列に変換し、変換したユーザＢの数列をＯＴＰで暗号化してノード４Ｂに送信するものである。以後、置換を同定する関数を置換関数と略記する場合がある。
第１置換部３２１は、一致する要素数と一致しない要素数とが同数となる置換を同定する関数をユーザＡ及びユーザＢに予め設定し、乱数列をユーザＡの置換を同定する関数で数列に変換し、変換したユーザＡの数列をＯＴＰで暗号化してノード４Ｂに送信するものである。
第２置換部３２２は、乱数列をユーザＢの置換を同定する関数で数列に変換し、変換したユーザＢの数列をＯＴＰで暗号化してノード４Ｂに送信するものである。以後、置換を同定する関数を置換関数と略記する場合がある。
【0089】
一致判定部３２３は、ノード２Ｂ及びノード４Ｂから第１ＭＡＣ値数列と第２ＭＡＣ値数列とを受信して復号し、第１ＭＡＣ値数列と第２ＭＡＣ値数列との要素が全て一致するか否かにより、メッセージ認証が成功したか否かを判定するものである。
真偽判定部３２４は、ノード２Ｂ及びノード４Ｂの少なくとも一方からメッセージが一致しない通知があった場合、ノード２Ｂ及びノード４Ｂより受信したメッセージから第１ＭＡＣ値数列及び第２ＭＡＣ値数列を再計算し、当該再計算の結果に基づいて、ユーザの真偽を判定するものである。
なお、中央管理ノード３Ｂの具体的処理内容については、後記する。
真偽判定部３２４は、ノード２Ｂ及びノード４Ｂの少なくとも一方からメッセージが一致しない通知があった場合、ノード２Ｂ及びノード４Ｂより受信したメッセージから第１ＭＡＣ値数列及び第２ＭＡＣ値数列を再計算し、当該再計算の結果に基づいて、ユーザの真偽を判定するものである。
なお、中央管理ノード３Ｂの具体的処理内容については、後記する。
【0090】
＜受信ノード＞
ノード４Ｂは、相手認証を行う相手認証部４０と、メッセージ認証を行うメッセージ認証部４２とを備える。
メッセージ認証部４２は、数列受信部４２０と、メッセージ受信部４２１と、ＭＡＣ値数列算出部４２２とを備える。
数列受信部４２０は、暗号化されたユーザＢの数列を中央管理ノード３Ｂから受信して復号するものである。
メッセージ受信部４２１は、暗号化されたメッセージをノード２Ｂから受信して復号するものである。
ＭＡＣ値数列算出部４２２は、受信したメッセージからユーザＢの数列を用いた第２ＭＡＣ値数列を算出し、算出した第２ＭＡＣ値数列をＯＴＰで暗号化して中央管理ノード３Ｂに送信するものである。
なお、ノード４Ｂの具体的処理内容については、後記する。
ノード４Ｂは、相手認証を行う相手認証部４０と、メッセージ認証を行うメッセージ認証部４２とを備える。
メッセージ認証部４２は、数列受信部４２０と、メッセージ受信部４２１と、ＭＡＣ値数列算出部４２２とを備える。
数列受信部４２０は、暗号化されたユーザＢの数列を中央管理ノード３Ｂから受信して復号するものである。
メッセージ受信部４２１は、暗号化されたメッセージをノード２Ｂから受信して復号するものである。
ＭＡＣ値数列算出部４２２は、受信したメッセージからユーザＢの数列を用いた第２ＭＡＣ値数列を算出し、算出した第２ＭＡＣ値数列をＯＴＰで暗号化して中央管理ノード３Ｂに送信するものである。
なお、ノード４Ｂの具体的処理内容については、後記する。
【0091】
【0092】
図７に示すように、ステップＳ６０において、中央管理ノード３Ｂの乱数列生成部３２０は、乱数列Ｒ１，Ｒ２，…，Ｒ３ｎを生成する（但し、ｎは２以上の整数）。
【0093】
ステップＳ６１において、中央管理ノード３Ｂの第１置換部３２１は、乱数列Ｒ１，Ｒ２，…，Ｒ２ｎをユーザＡの置換関数σＡで数列ＲＡ
１＝ＲσＡ（１），ＲＡ
２＝ＲσＡ（２），…，ＲＡ
２ｎ＝ＲσＡ（２ｎ）に変換する。
【0094】
続いて、中央管理ノード３Ｂの第２置換部３２２は、乱数列Ｒ１，Ｒ２，…，Ｒｎ，Ｒ２ｎ＋１，Ｒ２ｎ＋２，…，Ｒ３ｎをユーザＢの置換関数σＢで数列ＲＢ
１＝ＲσＢ（１），ＲＢ
２＝ＲσＢ（２），…，ＲＢ
２ｎ＝ＲσＢ（２ｎ）に変換する。なお、置換関数σＡ，σＢ及びユーザＡ，Ｂの数列については、詳細を後記する。
【0095】
＜置換関数及びユーザＡ，Ｂの数列＞
置換関数σＡ，σＢは、一致する要素数と一致しない要素数とが同数となる関数である。つまり、置換関数σＡ，σＢは、以下の式（１）及び式（２）に示すように、ｎ個の要素１，２，…，ｎが一致し、かつ、ｎ個の要素（ｎ＋１，ｎ＋２，…，２ｎ）及び（２ｎ＋１，２ｎ＋２，…，３ｎ）が一致しない関数である。ここで、置換関数σＢの値域は、式（２）に示すように、連続した整数とはならない。結果として、例えば、置換関数σＡ、σＢは、入力が（１，…，２ｎ）、出力が式（１）又は式（２）で表される一対一関数となるようにランダムに選ぶ必要がある。なお、置換関数σＡ，σＢは、ユーザＡ，Ｂのそれぞれに予め設定しておき、秘密であることとする。
置換関数σＡ，σＢは、一致する要素数と一致しない要素数とが同数となる関数である。つまり、置換関数σＡ，σＢは、以下の式（１）及び式（２）に示すように、ｎ個の要素１，２，…，ｎが一致し、かつ、ｎ個の要素（ｎ＋１，ｎ＋２，…，２ｎ）及び（２ｎ＋１，２ｎ＋２，…，３ｎ）が一致しない関数である。ここで、置換関数σＢの値域は、式（２）に示すように、連続した整数とはならない。結果として、例えば、置換関数σＡ、σＢは、入力が（１，…，２ｎ）、出力が式（１）又は式（２）で表される一対一関数となるようにランダムに選ぶ必要がある。なお、置換関数σＡ，σＢは、ユーザＡ，Ｂのそれぞれに予め設定しておき、秘密であることとする。
【0096】
【数1】
【0097】
以後、ユーザＡの数列ＲＡ
ｊ、ユーザＢの数列ＲＢ
ｊと記載する場合がある（但し、ｊ＝１，２，…，２ｎ）。ユーザＡ，Ｂの数列ＲＡ
ｊ，ＲＢ
ｊは、以下の式（３）及び式（４）に示すような関係となる。
【0098】
【数2】
【0099】
認証システム１Ｂでは、式（１）及び式（２）に示すように、ｎ個の要素が共通し、かつ、ｎ個の要素が別々となる置換関数σＡ，σＢを予め設定する。さらに、認証システム１Ｂでは、式（３）及び式（４）に示すように、ユーザＡ，Ｂが、互いに共通する要素ｎを知ることができない。このような性質により、認証システム１Ｂでは、メッセージを改竄した場合に改竄が明らかとなる。ユーザＡ，Ｂの何れであっても、中央管理ノード３に預けたコミットメントに矛盾しないメッセージを作成することは原理的に可能である。しかし、改竄される前のメッセージが他方のユーザと共有しているため、改竄前後のハッシュ値を計算すれば、改竄した方のメッセージが明らかとなる。
【0100】
図７に戻り、認証システム１Ｂの動作の説明を続ける。
ステップＳ６２において、中央管理ノード３Ｂの第１置換部３２１は、変換したユーザＡの数列ＲＡ ｊをＯＴＰで暗号化する。そして、第１置換部３２１は、量子鍵配送ネットワークを介して、暗号化したユーザＡの数列ＲＡ ｊをノード２Ｂに送信する。すると、ノード２Ｂの数列受信部２２０は、暗号化されたユーザＡの数列ＲＡ ｊを中央管理ノード３Ｂから受信し、受信したユーザＡの数列ＲＡ ｊをＯＴＰで復号する。
ステップＳ６２において、中央管理ノード３Ｂの第１置換部３２１は、変換したユーザＡの数列ＲＡ ｊをＯＴＰで暗号化する。そして、第１置換部３２１は、量子鍵配送ネットワークを介して、暗号化したユーザＡの数列ＲＡ ｊをノード２Ｂに送信する。すると、ノード２Ｂの数列受信部２２０は、暗号化されたユーザＡの数列ＲＡ ｊを中央管理ノード３Ｂから受信し、受信したユーザＡの数列ＲＡ ｊをＯＴＰで復号する。
【0101】
ステップＳ６３において、中央管理ノード３Ｂの第２置換部３２２は、変換したユーザＢの数列ＲＢ
ｊをＯＴＰで暗号化する。そして、第２置換部３２２は、量子鍵配送ネットワークを介して、暗号化したユーザＢの数列ＲＢ
ｊをノード４Ｂに送信する。すると、ノード４Ｂの数列受信部４２０は、暗号化されたユーザＢの数列ＲＢ
ｊを中央管理ノード３Ｂから受信し、受信したユーザＢの数列ＲＢ
ｊをＯＴＰで復号する。
【0102】
ステップＳ６４において、ノード２Ｂのメッセージ送信部２２１は、ＯＴＰで任意のメッセージｍを暗号化する。そして、メッセージ送信部２２１は、量子鍵配送ネットワークを介して、暗号化したメッセージｍをノード４Ｂに送信する。すると、ノード４Ｂのメッセージ受信部４２１は、暗号化されたメッセージｍをノード２Ｂから受信し、受信したメッセージｍをＯＴＰで復号する。
【0103】
ステップＳ６５において、ノード２ＢのＭＡＣ値数列算出部２２２は、以下の式（５）に示すように、メッセージｍから、ユーザＡの数列ＲＡ
ｊを用いた第１ＭＡＣ値数列を算出する。この第１ＭＡＣ値数列は、数列ＲＡ
ｊの各要素のＭＡＣ値（鍵付きハッシュ値）で構成されている。
【0104】
【数3】
【0105】
ステップＳ６６において、ノード２ＢのＭＡＣ値数列算出部２２２は、算出した第１ＭＡＣ値数列をＯＴＰで暗号化する。そして、ＭＡＣ値数列算出部２２２は、量子鍵配送ネットワークを介して、暗号化した第１ＭＡＣ値数列を中央管理ノード３Ｂに送信する。すると、中央管理ノード３Ｂの一致判定部３２３は、暗号化された第１ＭＡＣ値数列をノード２Ｂから受信し、受信した第１ＭＡＣ値数列をＯＴＰで復号する。
【0106】
ステップＳ６７において、ノード４ＢのＭＡＣ値数列算出部４２２は、以下の式（６）に示すように、メッセージｍ´から、ユーザＢの数列ＲＢ
ｊを用いた第２ＭＡＣ値数列を算出する。
【0107】
【数4】
【0108】
ステップＳ６８において、ノード４ＢのＭＡＣ値数列算出部４２２は、算出した第２ＭＡＣ値数列をＯＴＰで暗号化する。そして、ＭＡＣ値数列算出部４２２は、量子鍵配送ネットワークを介して、暗号化した第２ＭＡＣ値数列を中央管理ノード３Ｂに送信する。すると、中央管理ノード３Ｂの一致判定部３２３は、暗号化された第２ＭＡＣ値数列をノード４Ｂから受信し、受信した第２ＭＡＣ値数列をＯＴＰで復号する。
【0109】
ステップＳ６９において、中央管理ノード３Ｂの一致判定部３２３は、第１ＭＡＣ値数列と第２ＭＡＣ値数列との要素が全て一致するか否かを判定する。すなわち、一致判定部３２３は、第１ＭＡＣ値数列のσＡ－１（ｊ）番目の要素と第２ＭＡＣ値数列のσＢ－１（ｊ）番目の要素とがｊ＝１，２，…，ｎで全て一致するか否かを判定する。
【0110】
要素が全て一致する場合、一致判定部３２３は、メッセージ認証が成功したと判定する。
何れか１以上の要素が一致しない場合、一致判定部３２３は、ステップＳ６４以降の処理を再度実施する。
何れか１以上の要素が一致しない場合、一致判定部３２３は、ステップＳ６４以降の処理を再度実施する。
【0111】
ステップＳ７０において、中央管理ノード３Ｂの一致判定部３２３は、公開通信路を介して、メッセージ認証の判定結果をノード２Ｂに送信する。
ステップＳ７１において、中央管理ノード３Ｂの一致判定部３２３は、公開通信路を介して、メッセージ認証の判定結果をノード４Ｂに送信する。
ステップＳ７１において、中央管理ノード３Ｂの一致判定部３２３は、公開通信路を介して、メッセージ認証の判定結果をノード４Ｂに送信する。
【0112】
ステップＳ７２において、ノード２Ｂのメッセージ送信部２２１は、ノード２Ｂのメッセージｍとノード４Ｂのメッセージｍ´とが一致するか否かを判定する。
ステップＳ７３において、ノード２Ｂのメッセージ送信部２２１は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
ステップＳ７３において、ノード２Ｂのメッセージ送信部２２１は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
【0113】
ステップＳ７４において、ノード４Ｂのメッセージ受信部４２１は、ノード２Ｂのメッセージｍとノード４Ｂのメッセージｍ´とが一致するか否かを判定する。
ステップＳ７５において、ノード４Ｂのメッセージ受信部４２１は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
ステップＳ７５において、ノード４Ｂのメッセージ受信部４２１は、メッセージｍ，ｍ´が一致しない場合、公開通信路を介して、その旨を中央管理ノード３に通知する。
【0114】
ステップＳ７６において、中央管理ノード３Ｂの真偽判定部３２４は、メッセージｍ，ｍ´が一致しない通知があった場合、ノード２Ｂ及びノード４Ｂからノード３Ｂに改めてメッセージを送るように指示し、第１ＭＡＣ値数列及び第２ＭＡＣ値数列を再計算する。
【0115】
ここで、真偽判定部３２４は、ユーザＡから受信した第１ＭＡＣ値数列（式（５））と、以下の式（７）で再計算した第１ＭＡＣ値数列とを比較し、一致する要素数をｎＡとする。
【0116】
【数5】
【0117】
また、真偽判定部３２４は、ユーザＢから受信した第２ＭＡＣ値数列（式（６））と、以下の式（８）で再計算した第２ＭＡＣ値数列とを比較し、一致する要素数をｎＢとする。
【0118】
【数6】
【0119】
そして、真偽判定部３２４は、一致する要素数をｎＡ，ｎＢを確認し、ユーザＡ，Ｂのどちらが正しいかを判定する。具体的には、ｎＡ＝ｎＢの場合、真偽判定部３２４は、ユーザＡ，Ｂのどちらが正しいか不明と判定する。ｎＡ＜ｎＢの場合、真偽判定部３２４は、ユーザＡが正しいと判定する。ｎＡ＞ｎＢの場合、真偽判定部３１２は、ユーザＢが正しいと判定する。
【0120】
［作用・効果］
以上のように、第２実施形態に係る認証システム１Ｂによれば、第１実施形態と同様、鍵の管理が容易で、ユーザＡ，Ｂの真偽を判定できる。
以上のように、第２実施形態に係る認証システム１Ｂによれば、第１実施形態と同様、鍵の管理が容易で、ユーザＡ，Ｂの真偽を判定できる。
【0121】
（変形例）
以上、実施形態を詳述してきたが、本発明は前記した実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
以上、実施形態を詳述してきたが、本発明は前記した実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【0122】
前記した実施形態では、ユーザが２人であることとして説明したが、ユーザがｍ人以上であってもよい（但し、ｍ≧２以上の整数）。この場合、認証システムは、（ｍ－１）次の多項式を生成し、その多項式の成立を判定すればよい。
【実施例0123】
図８を参照し、認証システムの実施例について説明する。
情報理論的安全な鍵共有が可能な量子鍵配送ネットワークとＯＴＰ暗号とを組み合わせることで、情報理論的安全なデータ伝送が可能となる。しかし、情報理論的な相手認証でない場合、その部分への攻撃により情報理論的安全性が確保できないので、相手認証にも情報理論的安全性が強く求められる。
情報理論的安全な鍵共有が可能な量子鍵配送ネットワークとＯＴＰ暗号とを組み合わせることで、情報理論的安全なデータ伝送が可能となる。しかし、情報理論的な相手認証でない場合、その部分への攻撃により情報理論的安全性が確保できないので、相手認証にも情報理論的安全性が強く求められる。
【0124】
図８に示すように、ユーザ数が増加し、日本全国に量子鍵配送ネットワークが構築された場合を考える。例えば、量子鍵配送ネットワークは、衛星局９０と、海上局９１と、大規模な中継ノード９２と、アップリンク局９３と、小規模な中継ノード９４とで構成されている。この場合、従来技術では、多数の鍵を管理しなければならないので、通常の１対１での情報理論的安全な相手認証技術は適用が困難である。これに対し、認証システムを用いた場合、中央管理ノードがユーザ数（拠点数）のみの鍵列を管理し、各ユーザ（拠点）が１つの鍵列を管理するだけでよく、ユーザ数の増加に対応可能である。
【符号の説明】
【0125】
１，１Ｂ 認証システム
２，２Ｂ ノード（送信ノード）
３，３Ｂ 中央管理ノード（管理ノード）
４，４Ｂ ノード（受信ノード）
２０ 相手認証部
２１，２２ メッセージ認証部
２００ 相手認証要求部
２０１ 秘密データ送信部
２０２ 多項式判定部
２１０ 乱数受信部
２１１ メッセージ送信部
２１２ 演算部
２１３ ＭＡＣ値算出部
２２０数列受信部
２２１ メッセージ送信部
２２２ ＭＡＣ値数列算出部
３０ 相手認証部
３１，３２ メッセージ認証部
３００ 秘匿通信制御部
３０１ 秘密データ受信部
３０２ シェア送信部
３０３ 多項式判定部
３０４ 相手認証判定部
３１０ 乱数送信部
３１１ 一致判定部
３１２ 真偽判定部
３２０ 乱数列生成部
３２１ 第１置換部
３２２ 第２置換部
３２３ 一致判定部
３２４ 真偽判定部
４０ 相手認証部
４１ メッセージ認証部
４００ 相手認証処理部
４０１ シェア受信部
４０２ 多項式判定部
４１０ 乱数受信部
４１１ メッセージ受信部
４１２ 演算部
４１３ ＭＡＣ値算出部
４２０ 数列受信部
４２１ メッセージ受信部
４２２ ＭＡＣ値数列算出部
２，２Ｂ ノード（送信ノード）
３，３Ｂ 中央管理ノード（管理ノード）
４，４Ｂ ノード（受信ノード）
２０ 相手認証部
２１，２２ メッセージ認証部
２００ 相手認証要求部
２０１ 秘密データ送信部
２０２ 多項式判定部
２１０ 乱数受信部
２１１ メッセージ送信部
２１２ 演算部
２１３ ＭＡＣ値算出部
２２０数列受信部
２２１ メッセージ送信部
２２２ ＭＡＣ値数列算出部
３０ 相手認証部
３１，３２ メッセージ認証部
３００ 秘匿通信制御部
３０１ 秘密データ受信部
３０２ シェア送信部
３０３ 多項式判定部
３０４ 相手認証判定部
３１０ 乱数送信部
３１１ 一致判定部
３１２ 真偽判定部
３２０ 乱数列生成部
３２１ 第１置換部
３２２ 第２置換部
３２３ 一致判定部
３２４ 真偽判定部
４０ 相手認証部
４１ メッセージ認証部
４００ 相手認証処理部
４０１ シェア受信部
４０２ 多項式判定部
４１０ 乱数受信部
４１１ メッセージ受信部
４１２ 演算部
４１３ ＭＡＣ値算出部
４２０ 数列受信部
４２１ メッセージ受信部
４２２ ＭＡＣ値数列算出部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】