知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-09-26
(54)【発明の名称】認証及び非失効の検証のための方法及び機器
(51)【国際特許分類】
H04L 9/32 20060101AFI20240918BHJP
【ＦＩ】
H04L9/32 200C
H04L9/32 200F
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2024516500
(86)(22)【出願日】2022-09-09
(85)【翻訳文提出日】2024-05-13
(86)【国際出願番号】 FR2022051705
(87)【国際公開番号】W WO2023041863
(87)【国際公開日】2023-03-23
(31)【優先権主張番号】2109677
(32)【優先日】2021-09-15
(33)【優先権主張国・地域又は機関】FR
(81)【指定国・地域】
(71)【出願人】
【識別番号】591034154
【氏名又は名称】オランジュ
(74)【代理人】
【識別番号】100108453
【弁理士】
【氏名又は名称】村山 靖彦
(74)【代理人】
【識別番号】100110364
【弁理士】
【氏名又は名称】実広 信哉
(74)【代理人】
【識別番号】100133400
【弁理士】
【氏名又は名称】阿部 達彦
(72)【発明者】
【氏名】オリヴィエ・サンデ
(57)【要約】
失効リスト（ＬＲ）は、失効したエンティティにより生成された署名から抽出された少なくとも１つのペア（ｈｉ，ｋ）を含み、ｈｉは数学群（Ｇ１）の元であり、ｋ＝ｈｉｘｉであり、ｘｉは前記失効したエンティティのシークレットである。第一のエンティティ（１００）は、第二のエンティティ（２００）に対し、それによってそれ自体を認証することを目的として、この認証のために前記第一のエンティティ（１００）が生成した署名（ＳＩＧ）、文字列（ＳＴＲ）、失効リスト（ＬＲ）の各ペア（ｈｉ，ｋ）のための群（Ｇ１）の元（Ｃｉ）、及び前記失効リスト（ＬＲ）のペアの各々のための前記群の元（Ｃｉ）を取得するためにこの第一のエンティティ（１００）のシークレット（Ｘ１００）と文字列を前記第一のエンティティ（１００）が使用したとのゼロ知識証明（Ｐ）を送信する（Ｅ６０）。第二のエンティティは、前記ゼロ知識証明（Ｐ）が無効である場合、又は少なくとも１つの前記ペア（ｈｉ，ｋ）について、群の元（Ｃｉ）がＣｉ＝ｈｉＡでありＡは既知の値である場合に、前記第一のエンティティ（１００）を拒絶する（Ｆ７０）。
【特許請求の範囲】
【請求項1】
第一のエンティティ（１００）の認証機器（１０）により、前記第一のエンティティ（１００）を第二のエンティティ（２００）に認証するために実行される認証方法であって、前記第一のエンティティ（１００）を前記第二のエンティティ（２００）に認証するために署名（ＳＩＧ）を生成するステップ（Ｅ１０）であって、前記署名（ＳＩＧ）はペア（ｈ，ｈＸ１００）を含み、Ｘ１００は前記第一のエンティティ（１００）に特有のシークレットであり、ｈは数学群（Ｇｉ）の元であるステップ（Ｅ１０）と、
失効リスト（ＬＲ）に含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群（Ｇ１）の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記認証に特有の文字列（ＳＴＲ）から値ａｉを決定論的に取得するステップ（Ｅ３０）と、
（ｉｉ）前記数学群（Ｇ１）の元Ｃｉを式
【数1】
ｈｉ及びｋｉは前記失効リスト（ＬＲ）内の前記インデックスｉのペアの要素であり、
Ａは既知の値であり、
ａｉは前記決定論的に得られた値であり、
Ｘ１００は前記第一のエンティティ（１００）の前記シークレットである）
を使って取得するステップ（Ｅ４０）と、
前記失効リスト（ＬＲ）内の前記ペアの各々について、前記群の元Ｃｉを得るために前記シークレットＸ１００及び前記文字列（ＳＴＲ）を前記機器（１０）が使用したとのゼロ知識証明（Ｐ）を生成するステップ（Ｅ５０）と、
前記第二のエンティティ（２００）に対し、
前記署名（ＳＩＧ）、
前記文字列（ＳＴＲ）、
前記ゼロ知識証明（Ｐ）、及び
前記失効リスト（ＬＲ）内の各ペアについての前記元Ｃｉ
を送信するステップ（Ｅ６０）と、
を含む方法。
【請求項2】
前記数学群が位数ｐの巡回群であり、ｐは素数である、請求項１に記載の認証方法。
【請求項3】
前記文字列（ＳＴＲ）が前記署名（ＳＩＧ）の少なくとも一部である、請求項１又は２に記載の認証方法。
【請求項4】
前記値ａｉがａｉ＝Ｈ（ＳＴＲ││ｉ）により得られ、Ｈはパブリックハッシュ関数である、請求項１～３の何れか１項に記載の認証方法。
【請求項5】
第一のエンティティ（１００）の認証中に第二のエンティティ（２００）の非失効検証機器（２０）により実行される非失効検証方法であって、前記認証のために前記第一のエンティティ（１００）により生成された署名（ＳＩＧ）、
文字列（ＳＴＲ）、
失効リスト（ＬＲ）に含まれる各ペア（ｈｉ，ｋｉ）について同一の、数学群（Ｇ１）の元（Ｃｉ）であって、前記ペア（ｈｉ，ｋｉ）が、失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群（Ｇ１）の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである、元（Ｃｉ）、及び、
前記失効リスト（ＬＲ）に含まれる前記ペアの各々について前記群の元（Ｃｉ）を得るためにこの第一のエンティティ（１００）のシークレット（Ｘ１００）と前記文字列（ＳＴＲ）とを前記第一のエンティティ（１００）が使用したとのゼロ知識証明（Ｐ）
を受け取るステップ（Ｆ６０）と、
前記ゼロ知識証明（Ｐ）が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、前記群の元（Ｃｉ）がＣｉ＝ｈｉ Ａであり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティ（１００）を拒絶するステップ（Ｆ７０）と、
を含む非失効検証方法。
【請求項6】
コンピュータプログラム（ＰＧＡ）であって、前記プログラムがコンピュータにより実行されたときに請求項１～４の何れか１項に記載の認証方法のステップを実行する命令を含むコンピュータプログラム（ＰＧＡ）。
【請求項7】
コンピュータプログラム（ＰＧＶ）であって、前記プログラムがコンピュータにより実行されたときに請求項５に記載の非失効検証方法のステップを実行する命令を含むコンピュータプログラム（ＰＧＶ）。
【請求項8】
第一のエンティティ（１００）の認証機器（１０）であって、前記機器は、前記第一のエンティティ（１００）を第二のエンティティ（２００）に認証するように構成され、前記機器（１０）が、前記第一のエンティティ（１００）を前記第二のエンティティ（２００）に認証するために署名（ＳＩＧ）を生成するためのモジュール（ＭＧＳ）であって、前記署名（ＳＩＧ）はペア（ｈ，ｈＸ１００）を含み、ここでＸ１００は前記第一のエンティティ（１００）に特有のシークレットであり、ｈは数学群（Ｇ１）の元である、モジュール（ＭＧＳ）と、
失効リスト（ＬＲ）に含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群（Ｇ１）の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記認証に特有の文字列（ＳＴＲ）から値ａｉを決定論的に取得し、
（ｉｉ）前記数学群（Ｇ１）の元Ｃｉを式
【数2】
ｈｉ及びｋｉは前記失効リスト（ＬＲ）内のインデックスｉの前記ペアの要素であり、
Ａは既知の値であり、
ａｉは前記決定論的に得られた値であり、
Ｘ１００は前記エンティティ１００の前記シークレットである）
を使って取得する
ように構成された暗号化モジュール（ＣＲＹ）と、
前記失効リスト（ＬＲ）内の前記ペアの各々について前記群の元（Ｃｉ）を得るために前記シークレットＸ１００及び前記文字列（ＳＴＲ）を前記認証機器（１０）が使用したとのゼロ知識証明（Ｐ）を生成するためのモジュール（ＭＧＰ）と、
前記第二のエンティティ（２００）に対し、
前記署名（ＳＩＧ）、
前記文字列（ＳＴＲ）、
前記ゼロ知識証明（Ｐ）、及び
前記失効リスト（ＬＲ）内の各ペアについての前記元Ｃｉ
を送信するためのモジュール（ＣＯＭ１）と、
を含む認証機器（１０）。
【請求項9】
非失効検証機器（２０）であって、前記機器が、第二のエンティティ（２００）への第一のエンティティ（１００）の認証中に、この第一のエンティティが拒絶されるべきか否かを検証するように構成され、前記機器が、この認証のために前記第一のエンティティ（１００）により生成された署名（ＳＩＧ）、
文字列（ＳＴＲ）、
失効リスト（ＬＲ）内の各ペア（ｈｉ，ｋｉ）について同一の、数学群（Ｇ１）の元（Ｃｉ）であって、前記ペア（ｈｉ，ｋｉ）が失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群（Ｇ１）の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである元（Ｃｉ）、及び、
前記失効リスト（ＬＲ）内の前記ペアの各々について前記群の元（Ｃｉ）を得るためにこの第一のエンティティ（１００）のシークレット（Ｘ１００）と前記文字列（ＳＴＲ）とを前記第一のエンティティ（１００）が使用したとのゼロ知識証明（Ｐ）
を受け取るためのモジュール（ＣＯＭ２）と、
前記ゼロ知識証明（Ｐ）が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、前記群の元（Ｃｉ）がＣｉ＝ｈｉ Ａ、であり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティ（１００）を拒絶するためのモジュール（ＭＲ）と、
を含む非失効検証機器（２０）。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、デジタルデータ保護及び暗号化の一般的分野に関する。
【背景技術】
【0002】
本発明は、より詳しくは、認証メカニズムに関する。
【0003】
これらの認証メカニズム、特にデジタル署名又は証明書に基づく認証メカニズムは、今日、非常に広く普及している。
【0004】
デジタル署名の使用により、特定の数の問題、特にそれによって署名者の追跡が可能となる、及びそれによって署名者に関して過多な情報が開示される可能性があるという問題が生じる。
【0005】
実際、デジタル署名が証明済みデータセットに関係する場合、その真正性を確認できるようにするために、その証明済みデータセットを開示しなければならない。
【0006】
こうしたことが、認証時に開示される要素をできるだけ少なくすることを目的とした認証技術の開発につながった。これらの技術は広く採用されており、匿名デジタル署名と呼ばれる。
【0007】
しかしながら、これらの匿名認証システムには、エンティティの失効に関する問題がある。
【0008】
この問題に対処するために、ＥＰＩＤ（Ｅｎｈａｎｃｅｄ Ｐｒｉｖａｃｙ ＩＤ）と呼ばれる認証メカニズムが確立された（例えば、（非特許文献１）を参照のこと）。このメカニズムでは、
－ エンティティは、その署名キーのうちの１つが失効したときに失効しているとされ、これは、このキーを用いて生成された署名のうちの１つを失効リストに載せることによって行われる。
－ 署名を行ったエンティティは、この署名が失効したキーを用いて、すなわち、失効リストに記録された署名のキーを用いて生成されたものではないという証拠を提供し、それゆえ、自分自身を認証するエンティティは権限が失効した者ではないことを証明しなければならない。
－ エンティティは、その署名キーのうちの１つが失効したときに失効しているとされ、これは、このキーを用いて生成された署名のうちの１つを失効リストに載せることによって行われる。
－ 署名を行ったエンティティは、この署名が失効したキーを用いて、すなわち、失効リストに記録された署名のキーを用いて生成されたものではないという証拠を提供し、それゆえ、自分自身を認証するエンティティは権限が失効した者ではないことを証明しなければならない。
【0009】
本発明は、より詳しくは、署名がペア（ｈ，ｈｘ）を含み、ｈは数学群の元であり、ｘは署名エンティティのシークレットであり、このペアが失効リストに書き込まれるということに関する。このペアを以下、（ｈｉ，ｋｉ＝ｈｉ
ｘｉ）と記述する。
【0010】
署名を生成するために使用されたシークレットｘが、失効リスト内の署名（ｈｉ，ｋｉ＝ｈｉ
ｘｉ）を生成するために使用されたシークレットｘｉとは異なるとの証拠を報告するための、これまでに知られている最も有効な手法では、数学群の３つの元を、その証拠を確認するエンティティに送信する必要があり、これは例えば、約８９４ビットである。
【0011】
実際には、失効リストには非常に大きい数Ｎ個のペア（ｈｉ，ｋｉ＝ｈｉ
ｘｉ）、典型的には数万個が含まれ得る。
【0012】
署名するエンティティが失効していないことを証明するために３．Ｎの群の元（すなわち８９４．Ｎビット）を通信しなければならないことは、Ｎが増大すると顕著な欠点となり得る。
【先行技術文献】
【非特許文献】
【0013】
【非特許文献1】“Ｅｎｈａｎｃｅｄ ｐｒｉｖａｃｙ ＩＤ：ａ ｄｉｒｅｃｔ ａｎｏｎｙｍｏｕｓ ａｔｔｅｓｔａｔｉｏｎ ｓｃｈｅｍｅ ｗｉｔｈ ｅｎｈａｎｃｅｄ ｒｅｖｏｃａｔｉｏｎ ｃａｐａｂｉｌｉｔｉｅｓ”
【発明の概要】
【課題を解決するための手段】
【0014】
本発明は、特に、この欠点を生じない認証方法を目的とする。
【0015】
第一の態様によれば、本発明は、第一のエンティティの認証機器により、この第一のエンティティを第二のエンティティに認証するために実行される認証方法に関する。この方法は、
－ 第一のエンティティを第二のエンティティに認証するために署名を生成するステップであって、前記署名はペア（ｈ，ｈＸ１００）を含み、Ｘ１００は第一のエンティティに特有のシークレットであり、ｈは数学群の元であるステップと、
－ 失効リスト（ＬＲ）に含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記認証に特有の文字列から値ａｉを決定論的に取得するステップと、
（ｉｉ）数学群の元を式
（ここで、
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値であり、
－ ａｉは前記決定論的に得られた値であり、
－ Ｘ１００は第一のエンティティのシークレットである）
を使って取得するステップと、
－ 失効リスト内のペアの各々について、前記群の元Ｃｉを得るためにシークレットＸ１００及び前記文字列を前記認証機器が使用したとのゼロ知識証明を生成するステップと、
－ 第二のエンティティに対し、
－ 前記署名、
－ 前記文字列、
－ 前記ゼロ知識証明、及び
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）に関する前記元Ｃｉ
を送信するステップと、
を含む。
－ 第一のエンティティを第二のエンティティに認証するために署名を生成するステップであって、前記署名はペア（ｈ，ｈＸ１００）を含み、Ｘ１００は第一のエンティティに特有のシークレットであり、ｈは数学群の元であるステップと、
－ 失効リスト（ＬＲ）に含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記認証に特有の文字列から値ａｉを決定論的に取得するステップと、
（ｉｉ）数学群の元を式
【数1】
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値であり、
－ ａｉは前記決定論的に得られた値であり、
－ Ｘ１００は第一のエンティティのシークレットである）
を使って取得するステップと、
－ 失効リスト内のペアの各々について、前記群の元Ｃｉを得るためにシークレットＸ１００及び前記文字列を前記認証機器が使用したとのゼロ知識証明を生成するステップと、
－ 第二のエンティティに対し、
－ 前記署名、
－ 前記文字列、
－ 前記ゼロ知識証明、及び
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）に関する前記元Ｃｉ
を送信するステップと、
を含む。
【0016】
これに関して、本発明は、第一のエンティティの認証機器に関し、前記機器は、この第一のエンティティを第二のエンティティに認証するように構成され、この機器は、
－ 第一のエンティティを第二のエンティティに認証するために署名を生成するためのモジュールであって、前記署名はペア（ｈ，ｈＸ１００）を含み、ここでＸ１００は第一のエンティティに特有のシークレットであり、ｈは数学群の元である、モジュールと、
－ 失効リストに含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記署名を生成したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記文字列から、値ａｉを決定論的に取得し、
（ｉｉ）数学群（Ｇ１）の元Ｃｉを式
（ここで、
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値であり、
－ ａｉは前記決定論的に得られた値であり、
－ Ｘ１００はエンティティ１００のシークレットである）
を使って取得する
ように構成された暗号化モジュールと、
－ 前記失効リスト内のペアの各々について前記群の元Ｃｉを得るためにシークレット及び文字列を前記認証機器が使用したとのゼロ知識証明を生成するためのモジュールと、
－ 第二のエンティティに対し、
－ 前記署名、
－ 前記文字列、
－ 前記ゼロ知識証明、及び
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）についての前記元Ｃｉ
を送信するためのモジュールと、
を含む。
－ 第一のエンティティを第二のエンティティに認証するために署名を生成するためのモジュールであって、前記署名はペア（ｈ，ｈＸ１００）を含み、ここでＸ１００は第一のエンティティに特有のシークレットであり、ｈは数学群の元である、モジュールと、
－ 失効リストに含まれるペア（ｈｉ，ｋｉ）の各インデックスｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記署名を生成したエンティティに特有のシークレットである、各インデックスｉについて、
（ｉ）前記インデックスｉから、及び前記文字列から、値ａｉを決定論的に取得し、
（ｉｉ）数学群（Ｇ１）の元Ｃｉを式
【数2】
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値であり、
－ ａｉは前記決定論的に得られた値であり、
－ Ｘ１００はエンティティ１００のシークレットである）
を使って取得する
ように構成された暗号化モジュールと、
－ 前記失効リスト内のペアの各々について前記群の元Ｃｉを得るためにシークレット及び文字列を前記認証機器が使用したとのゼロ知識証明を生成するためのモジュールと、
－ 第二のエンティティに対し、
－ 前記署名、
－ 前記文字列、
－ 前記ゼロ知識証明、及び
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）についての前記元Ｃｉ
を送信するためのモジュールと、
を含む。
【0017】
第二の態様によれば、本発明は、第一のエンティティの認証中に第二のエンティティの非失効検証機器により実行される非失効検証方法に関し、前記方法は、
－ この認証のために第一のエンティティにより生成された署名、
－ 文字列、
－ 失効リストに含まれる各ペア（ｈｉ，ｋｉ）について同一の、数学群の元Ｃｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである元Ｃｉ、及び、
－ 失効リストに含まれるペアの各々について前記群の元を得るためにこの第一のエンティティのシークレットと前記文字列とを前記第一のエンティティが使用したとのゼロ知識証明
を受け取るステップと、
－ 前記ゼロ知識証明が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティを拒絶するステップと、
を含む。
－ この認証のために第一のエンティティにより生成された署名、
－ 文字列、
－ 失効リストに含まれる各ペア（ｈｉ，ｋｉ）について同一の、数学群の元Ｃｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである元Ｃｉ、及び、
－ 失効リストに含まれるペアの各々について前記群の元を得るためにこの第一のエンティティのシークレットと前記文字列とを前記第一のエンティティが使用したとのゼロ知識証明
を受け取るステップと、
－ 前記ゼロ知識証明が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティを拒絶するステップと、
を含む。
【0018】
これに関連して、本発明は、非失効検証機器に関し、この機器は、第二のエンティティへの第一のエンティティの認証中に、この第一のエンティティが失効を根拠として拒絶されるべきか否かを検証するように構成され、この機器は、
－ この認証のために第一のエンティティにより生成された署名、
－ 文字列、
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）について同一の、数学群の元Ｃｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである元Ｃｉ、及び、
－ 失効リスト内のペアの各々について前記群の元を得るためにこの第一のエンティティのシークレットと前記文字列とを前記第一のエンティティが使用したとのゼロ知識証明
を受け取るためのモジュールと、
－ 前記ゼロ知識証明が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティを拒絶するためのモジュールと、
を含む。
－ この認証のために第一のエンティティにより生成された署名、
－ 文字列、
－ 失効リスト内の各ペア（ｈｉ，ｋｉ）について同一の、数学群の元Ｃｉであって、前記ペア（ｈｉ，ｋｉ）は失効したエンティティにより生成された署名から抽出されており、ｈｉは前記群の元であり、ｋｉ＝ｈｉ ｘｉであり、ｘｉは前記失効したエンティティに特有のシークレットである元Ｃｉ、及び、
－ 失効リスト内のペアの各々について前記群の元を得るためにこの第一のエンティティのシークレットと前記文字列とを前記第一のエンティティが使用したとのゼロ知識証明
を受け取るためのモジュールと、
－ 前記ゼロ知識証明が有効でない場合、又は少なくとも１つの前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、ここでＡは既知の値である場合に、失効を根拠として前記第一のエンティティを拒絶するためのモジュールと、
を含む。
【0019】
一般に、本発明は、第二のエンティティに対する第一のエンティティの認証に関し、第一及び第二のエンティティの性質にはいかなる限定も課されない。
【0020】
例えば、
－ 第一のエンティティはプロセッサであり、第二のエンティティはこのプロセッサの製造者のサーバである、
－ 第一のエンティティはクライアント機器であり、第二のエンティティはサーバ機器である、
－ 第一のエンティティは超小型回路カードであり、第二のエンティティはこのようなカードを読み取るリーダである、
－ その他。
－ 第一のエンティティはプロセッサであり、第二のエンティティはこのプロセッサの製造者のサーバである、
－ 第一のエンティティはクライアント機器であり、第二のエンティティはサーバ機器である、
－ 第一のエンティティは超小型回路カードであり、第二のエンティティはこのようなカードを読み取るリーダである、
－ その他。
【0021】
導入部で述べたように、本発明は、自分自身を第二のエンティティに認証しようとする第一のエンティティが、この新規の認証のために、それに特有のシークレットを用いて署名を生成し、この第二のエンティティに対し、このシークレットが、失効リスト内に記録されたペアの抽出元である署名の生成に使用されたシークレットの何れとも異なるとの証明を提供するメカニズムを提案する。
【0022】
１つの特定の実施形態において、失効リストが第二のエンティティにより作成され、更新される。例えば、第二のエンティティが、それに対して署名を用いて自分自身を認証したエンティティが疑わしい挙動を示していると考える場合に、第二のエンティティはこの署名のペア（ｈｉ，ｋｉ）を失効リストに記録する。しかしながら、この実施形態は非限定的であり、失効リストは、第三者によっても、さらには複数の第三者によっても作成又は保持され得る。
【0023】
特筆すべき点として、Ｎが取消リスト内のペアの数を示すために使用される場合、非失効の証明自体は、
－ 第一に、失効リスト内のペアの数に関係なく、文字列とゼロ知識証明、及び
－ 第二に、失効リスト内の各ペアについての数学群の単一の元、Ｃｉ
を含むことに留意されたい。
－ 第一に、失効リスト内のペアの数に関係なく、文字列とゼロ知識証明、及び
－ 第二に、失効リスト内の各ペアについての数学群の単一の元、Ｃｉ
を含むことに留意されたい。
【0024】
この結果は特に興味深く、それは、前述のように、最善の既知の手法では、非失効の証拠が失効リスト内の各ペアの数学群の３つの元を含むからである。
【0025】
提案される手法の中で送信される単一の群の元Ｃｉの最大サイズは３８０ビットであり、それに対して既知の先行技術では、３つの巡回元は合わせて８９４ビットのサイズである。さらに詳しくは、当業者はｈｔｔｐｓ：／／ｅｌｅｃｔｒｉｃｃｏｉｎ．ｃｏ／ｂｌｏｇ／ｎｅｗ－ｓｎａｒｋ－ｃｕｒｖｅ／及びｈｔｔｐｓ：／／ｌｉｎｋ．ｓｐｒｉｎｇｅｒ．ｃｏｍ／ｃｈａｐｔｅｒ／１０．００７％２Ｆ９７８－３－５４０－４５１４６－４＿８，Ｓｅｃｔｉｏｎ ５を参照し得る。
【0026】
本発明により提供される改良は、特に失効した署名の数が増加するときに非常に重要である。
【0027】
本発明の１つの特定の実施形態において、ゼロ知識証明は、Ｅｆｆｉｃｉｅｎｔ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ ｆｏｒ Ｓｍａｒｔ Ｃａｒｄｓ”，ｂｙ Ｃｌａｕｓ－Ｐｅｔｅｒ Ｓｃｈｎｏｒｒ，ＣＲＹＰＴＯ １９８９に記載のシュノアプロトコルを使って生成される。
【0028】
シュノアプロトコルが使用される場合、ゼロ知識証明は２つのスカラのみ（整数モジュロｐ）を含み、その各々は２５６ビットである。したがって、これは、失効リスト内のペアの数Ｎに関係なく、５１２ビットのサイズを有する。
【0029】
さらに、Ｃｉの計算は特に有利である。実際、本発明によれば、
であり、ここで、
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値、例えば１であり、
－ ａｉは決定論的に得られた値であり、
－ Ｘ１００は第一のエンティティのシークレットである。
【数3】
－ ｈｉ及びｋｉは失効リスト内のインデックスｉのペアの要素であり、
－ Ａは既知の値、例えば１であり、
－ ａｉは決定論的に得られた値であり、
－ Ｘ１００は第一のエンティティのシークレットである。
【0030】
この式により、非失効の検証はきわめて簡単になる。
【0031】
実際、第一のエンティティの権限がすでに失効している場合、失効リストはペア（ｈｉ，ｋｉ）を含み、ｋｉ＝ｈｉ
Ｘ１００である。
【0032】
そしてこの場合、Ｃｉ＝ｈｉ
Ａ（例えば、Ａ＝１であればＣｉ＝ｈｉ）である。
【0033】
非失効検証機器はしたがって、単一の受け取った群の元Ｃｉに基づいて、この新たな認証について第一のエンティティが拒絶されるべきか否かを非常に容易に検出することができる。そのためには、ゼロ知識証明の有効性を検証して、元Ｃｉが正しく形成されたことを確認した後、受け取った値Ｃｉをｈｉ
Ａと比較するだけでよい。
【0034】
それに対して、第一のエンティティのシークレットＸ１００が、そのペアが失効リストに保存されている署名の何れにおいても使用されていない場合、元Ｃｉは非失効検証機器にとって擬似ランダム値であるように見える。
【0035】
この特徴は、匿名性を保持する観点から非常に興味深く、なぜなら、元ＣｉがシークレットＸ１００に関するいかなる情報も開示しないからである。
【0036】
前述の文字列は任意であり得る。唯一の制約は、それがこの新たな認証に特有であること、換言すれば、第一のエンティティの過去の認証のための非失効の証明を確立するために使用された他の文字列とは異なることである。
【0037】
実際には、認証機器は、文字列がエンティティの過去の認証のための失効の証明に使用されていないことを明示的には検証しない。しかしながら、文字列を取得するメカニズムは、このような衝突が統計的に起こりにくいものであり、文字列は例えば２５６ビットのランダムである。
【0038】
１つの実施形態において、文字列は署名の少なくとも一部である。この実施形態は特に有利であるが、なぜなら、それによって文字列自体を送信しなくてもよくなるからであり、これは非失効検証機器によって署名から直接推測可能である。
【0039】
１つの実施形態において、値ａｉはａｉ＝Ｈ（ＳＴＲ││ｉ）により得られ、Ｈはパブリックハッシュ関数である。
【0040】
１つの実施形態において、数学群は位数ｐの巡回群であり、ｐは素数である。本発明は特に、ただし限定されないが、署名が双線形群のために生成される場合に適用可能である。
【0041】
１つの特定の実施形態において、認証方法の各種のステップ及び非失効検証方法の各種のステップは、コンピュータプログラム命令によって決定されるか、ハードワイヤードプログラム不能論理回路の論理ゲートを形成するのに適したトランジスタを含むシリコンチップによって実装される。
【0042】
したがって、本発明は情報媒体上のコンピュータプログラムも目的とし、このプログラムは機器において、又はより一般的にはコンピュータにおいて実装でき、このプログラムは、前述の認証方法の、又は非失効検証方法のステップを実行するように設計された命令を含む。
【0043】
このプログラムは、何れのプログラム言語も使用し得、ソースコード、オブジェクトコード、若しくはソースコードとオブジェクトコードとの間の中間コードの形態、例えば部分的にコンパイルされた形態、又は他の何れの所望の形態でもあり得る。
【0044】
本発明はまた、前述のコンピュータプログラムの命令を含むコンピュータ可読情報媒体も目的とする。情報媒体は、プログラムを記憶する何れのエンティティ又は機器でもよい。例えば、媒体は記憶手段、例えばＲＯＭ、フラッシュメモリ等の不揮発性メモリ、又は磁気記録手段、例えばハードディスクを含み得る。さらに、情報媒体は電気又は光信号等の伝送媒体でもあり得、これは電気若しくは光ケーブルを介して、無線によって、又はその他の手段によってルーティングされ得る。本発明によるプログラムは、特にインタネットを通じてダウンロードされ得る。代替案として、情報媒体は集積回路であり得、そこにプログラムが組み込まれ、この回路は、問題の方法を実行するために、又はその実行において使用されるように設計される。
【0045】
本発明の他の特徴と利点は、非限定的にその例示的実施形態を図示する添付の図面に関して以下に示される説明から明らかとなるであろう。
【図面の簡単な説明】
【0046】
【図1】本発明の１つの特定の実施形態による認証機器及び非失効検証機器を示す。
【図2】本発明の１つの特定の実施形態による認証方法の主要ステップ及び非失効検証方法の主要ステップをフローチャートの形態で示す。
【図3】本発明の１つの特定の実施態様による認証機器の機能的アーキテクチャを示す。
【図4】本発明の１つの特定の実施態様による非失効検証機器の機能的アーキテクチャを示す。
【発明を実施するための形態】
【0047】
実施形態の説明
図１は、それらの環境において、本発明の１つの特定の実施形態による認証機器１０及び非失効検証機器２０を示す。
図１は、それらの環境において、本発明の１つの特定の実施形態による認証機器１０及び非失効検証機器２０を示す。
【0048】
本明細書に記載の実施形態において、認証機器１０は第一のエンティティ１００に組み込まれる。エンティティ１００は、機器１０を使ってそれ自体を第二のエンティティ２００に認証する。
【0049】
本明細書に記載の実施形態において、非失効検証機器２０は第二のエンティティ２００に組み込まれる。エンティティ２００は、非失効検証機器２０を使って第一のエンティティ１００がこの新たな認証について拒絶されるべきか否かを検証する。
【0050】
この実施形態では、あるエンティティが第二のエンティティ２００に対して認証を実行するか、それ自体を認証する場合、これはペア（ｈ，ｋ）を含む署名を使用し、ただし、
－ ｈは数学群Ｇ１、例えば位数ｐの巡回群の元であり、ｐは素数であり、
－ ｋ＝ｈｘであり、ｘはこのエンティティのシークレットである。
－ ｈは数学群Ｇ１、例えば位数ｐの巡回群の元であり、ｐは素数であり、
－ ｋ＝ｈｘであり、ｘはこのエンティティのシークレットである。
【0051】
本明細書に記載の実施形態において、第二のエンティティ２００が例えば、このエンティティ１００が疑わしい挙動を示していると考えた場合、これは失効リストＬＲ内にペア（ｈ，ｋ）を記録する。他の実施形態では、失効リストは、それを義務付けられた第三者によって管理される。この失効リストが作成する方法にはいかなる限定も設定されない。
【0052】
したがって、失効リストＬＲはＮ個のペア（ｈｉ，ｋｉ）のリストを含み、ｉ＝１～Ｎであり、ペア（ｈｉ，ｋｉ）は、第二のエンティティ２００によりエンティティ２００が疑わしいと考える挙動を伴う第ｉの署名から得られたものである。このペアの中で、ｈｉは前述の群Ｇ１に属し、ｋｉ＝ｈｉ
ｘｉであり、ｘｉはこの署名を発行したエンティティのシークレットである。
【0053】
本明細書に記載の実施形態において、認証機器１０はコンピュータのハードウェアアーキテクチャを有する。これは、特にプロセッサ１０Ａ、リードオンリメモリ１０Ｂ、ランダムアクセスメモリ１０Ｃ、書き換え可能不揮発性メモリ１０Ｄ、及びエンティティ２００と通信するための通信手段１０Ｅを含む。
【0054】
機器１０のリードオンリメモリ１０Ｂは、プロセッサ１０Ａにより読み取り可能で、その上に本発明によるコンピュータプログラムＰＧＡが記録された本発明による記録媒体を構成し、このプログラムは１つの実施形態において図２に関して後述する本発明による認証方法のステップを実行するための命令を含む。
【0055】
本明細書に記載の実施形態において、認証機器１０はこれらの通信手段１０を使って、第二のエンティティ２００から失効リストＬＲの最新バージョンを取得する。ここで、２つのエンティティ１００及び２００は認証で使用される失効リストのバージョンについて事前に同意していなければならないことが強調される。１つの特定の実施形態において、第二のエンティティ２００は失効リストを認証の前に送信する。他の特定の実施形態において、第一のエンティティ１００は失効リストのバージョンを公共の入手源から取得する。この失効リストを取得する方法にはいかなる限定も設定されない。
【0056】
本明細書に記載の実施形態において、認証機器１０の不揮発性メモリ１０Ｄは、
－ エンティティ１００に特有のシークレットＸ１００と、
－ 失効リストＬＲのコピーと
を含む。
－ エンティティ１００に特有のシークレットＸ１００と、
－ 失効リストＬＲのコピーと
を含む。
【0057】
本明細書に記載の実施形態において、非失効検証機器２０はコンピュータのハードウェアアーキテクチャを有する。これは特に、プロセッサ２０Ａ、リードオンリメモリ２０Ｂ、ランダムアクセスメモリ２０Ｃ、書き換え可能不揮発性メモリ２０Ｄ、及びエンティティ１００と通信するための通信手段２０Ｅを含む。
【0058】
機器１０のリードオンリメモリ２０Ｂは、プロセッサ２０Ａにより読み取り可能な、その上に本発明によるコンピュータプログラムＰＧＶが記録された本発明による記録媒体を構成し、このプログラムは、１つの実施形態において図２に関して後述する本発明による非失効検証方法のステップを実行するための命令を含む。
【0059】
本明細書に記載の実施形態において、非失効検証機器２０の不揮発性メモリ２０Ｄは失効リストＬＲの最新のコピーを含む。
【0060】
通信手段１０Ｅ及び２０Ｅは、機器１０及び２０が相互に通信できるように構成される。
【0061】
ここで、図２を参照しながら、
－ エンティティ１００を第二のエンティティ２００に認証するために認証機器１０が実行する認証方法の主要ステップと、
－ 第一のエンティティ１００がこの認証において失効を根拠として拒絶されるべきか否かを検証するために非失効検証機器２０により実行される非失効検証方法の主要ステップ
を説明する。
－ エンティティ１００を第二のエンティティ２００に認証するために認証機器１０が実行する認証方法の主要ステップと、
－ 第一のエンティティ１００がこの認証において失効を根拠として拒絶されるべきか否かを検証するために非失効検証機器２０により実行される非失効検証方法の主要ステップ
を説明する。
【0062】
この実施形態において、一般的ステップＦ５中、非失効検証機器２０は、それが、自分自身をエンティティ２００に認証するエンティティにより生成された署名に含まれるペア（ｈｉ，ｋｉ）を、これらのエンティティは疑わしい挙動を示しているとエンティティ２００が考えるときに記録する失効リストを作成し、最新の状態に保つ。
【0063】
以下、最新の失効リストＬＲがステップＥ５中に認証機器１０により取得されることを前提とする。
【0064】
ステップＥ１０中、認証機器１０は、エンティティ１００をエンティティ２００に認証するために署名ＳＩＧを生成する。
【0065】
本明細書に記載の実施形態において、この署名ＳＩＧはペア（ｈ，ｈＸ１００）を含み、Ｘ１００はエンティティ１００のシークレットであり、ｈは数学群Ｇ１の元である。
【0066】
本明細書に記載の実施形態において、方法は、エンティティ１００が失効されていないことをエンティティ２００に証明するためのステップＥ２０～Ｅ６０を含む。より正確には、失効されていないことのこの証明は、第二のエンティティ２００に対し、署名ＳＩＧを生成するために使用されたシークレットＸ１００が失効リストＬＲ内のＮ個のペア（ｈｉ，ｋｉ）のうちの１つを含む署名を生成するために使用されたシークレットではないことの証明を提供することを目的とする。
【0067】
ステップＥ２０中、認証機器１０はこの新たな認証に特有の文字列ＳＴＲを取得する。この文字列は、このような証明を生成するために使用されたことがなく、すなわち、これはそれが他の証明に使用したものとは異なる。
【0068】
本明細書に記載の実施形態において、文字列ＳＴＲは、署名ＳＩＧの一部、例えば署名ＳＩＧのうち、ペア（ｈ，ｈＸ１００）を含まない部分である。それによって、非失効の証明を提供するために認証機器により伝送される要素の数を限定することが可能となる。
【0069】
本明細書に記載の実施形態において、認証方法は、各インデックスｉについて２つのステップＥ３０、Ｅ４０を含むループを含み、ｉ＝１～Ｎ、Ｎは失効リストＬＲ内のペアの数である。
【0070】
ステップＥ３０中、認証機器１０は、文字列ＳＴＲから、及びインデックスｉから値ａｉを決定論的に導き出す。
【0071】
この値ａｉが決定論的に導き出されることは、それがランダムを用いずに得られることを意味する。文字列ＳＴＲ及びインデックスｉを知っているエンティティは何れも、ａｉを計算することができる。
【0072】
本明細書に記載の実施形態において、ａｉ＝Ｈ（ＳＴＲ││ｉ）であり、Ｈはパブリックハッシュ関数、例えばＳＨＡ－２５６又はＳＨＡ－３である。
【0073】
ステップＥ４０中、認証機器１０は、数学群Ｇ１の元Ｃｉを次式を使って計算又は取得する：
ここで、
－ ｈｉ及びｋｉは、失効リストＬＲ内のインデックスｉのペアの要素であり、
－ Ａは既知の値、例えば１であり、
－ ａｉはステップＥ３０で決定論的に取得した値であり、
－ Ｘ１００はエンティティ１００のシークレットである。
【数4】
－ ｈｉ及びｋｉは、失効リストＬＲ内のインデックスｉのペアの要素であり、
－ Ａは既知の値、例えば１であり、
－ ａｉはステップＥ３０で決定論的に取得した値であり、
－ Ｘ１００はエンティティ１００のシークレットである。
【0074】
既知の値Ａは、システムのパラメータで全体として、又は例えば認証プロセスにかかわる２つのエンティティのうちの一方によりローカルで定義され得る。
【0075】
本明細書に記載の実施形態において、ステップＥ５０中、認証機器１０は、機器１０が失効リストＬＲ内のペア（ｈｉ，ｋｉ）の各々について群の元Ｃｉを取得するためにエンティティ１００のシークレットＸ１００を使用した、換言すれば、それがｘを知っており、それによってｉの何れの値についても、
となることのゼロ知識証明Ｐを生成する。
【数5】
【0076】
このような証明は、暗号法においてきわめて一般的である。
【0077】
本明細書に記載の実施形態において、これはシュノアプロトコルを使って生成され、すなわちゼロ知識証明Ｐは、失効リストＬＲ内のペアの数Ｎに関係なく、２つのスカラのみ（整数モジュロｐ）のみを含み、これは各々２５６ビットである。
【0078】
本明細書に記載の実施形態において、ステップＥ６０中、認証機器１０は第二のエンティティ２００に、
－ この新たな認証のための署名ＳＩＧ、
－ この新たな認証に特有の文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）の群Ｇ１の元Ｃｉ、ｉ＝１～Ｎ
を送信する。
－ この新たな認証のための署名ＳＩＧ、
－ この新たな認証に特有の文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）の群Ｇ１の元Ｃｉ、ｉ＝１～Ｎ
を送信する。
【0079】
この特定の実施形態において、したがって、第二のエンティティ２００は、ステップＦ６０中に、
－ この新たな認証のための署名ＳＩＧ、
－ この新たな認証に特有の文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）の群Ｇ１の元Ｃｉ、ｉ＝１～Ｎ
を受信する。
－ この新たな認証のための署名ＳＩＧ、
－ この新たな認証に特有の文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）の群Ｇ１の元Ｃｉ、ｉ＝１～Ｎ
を受信する。
【0080】
本明細書に記載の実施形態において、第二のエンティティ２００はステップＦ６５中に署名ＳＩＧが有効か否かを検証する。そうでない場合、これは認証を拒絶する。
【0081】
本明細書に記載の実施形態において、非失効検証機器２０は、ゼロ知識証明Ｐが有効でない場合、又は少なくとも１個の前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ
Ａである場合に、ステップＦ７０中に失効を根拠として第一のエンティティ１００を拒絶する。すると、これは署名ＳＩＧのペア（ｈ，ｈＸ１００）を失効リストＬＲに記録する。
【0082】
実際、エンティティ１００がエンティティ１００の過去の認証における疑わしい動作を伴う署名の生成元であった場合、失効リストＬＲはペア（ｈｉ，ｋｉ）を含むことになり、ｋｉ＝ｈｉ
Ｘ１００である。
【0083】
この場合、Ｃｉ＝ｈｉ
Ａ（例えば、Ａ＝１であると、Ｃｉ＝ｈｉ）である。
【0084】
非失効検証機器２０又は第二のエンティティ２００はしたがって、受け取った群の元Ｃｉのみに基づいて、ゼロ知識証明Ｐが有効であることを条件に、エンティティ１００がこの新たな認証について拒絶されるべきであることをごく簡単に検出できる。それは、受け取った値Ｃｉをｈｉ
Ａと比較するだけでよい。本明細書に記載の実施形態において、元Ｃｉのサイズは最大で３８０ビットである。
【0085】
それに対して、シークレットＸ１００が、そのペアが失効リストに記憶された署名の何れにおいても使用されていない場合、元Ｃｉは擬似ランダム値のように見える。
【0086】
この特徴は、群の元ＣｉがシークレットＸ１００に関する何れの情報も開示しないため、非常に興味深い。
【0087】
１つの特定の実施形態において、署名ＳＩＧは文字列ＳＴＲをさらに含む。
【0088】
コンピュータプログラムＰＧＡは、図３に示される認証機器１０の機能モジュールを規定する。より正確には、第一のエンティティ１００を第二のエンティティ２００に認証するように設計された認証機器１０は、この実施形態において、
－ 前述の失効リストＬＲを取得するためのモジュールＭＯＬ、
－ 第一のエンティティ１００を第二のエンティティ２００に認証するために署名ＳＩＧを生成するためのモジュールＭＧＳであって、この署名ＳＩＧはペア（ｈ，ｈＸ１００）を含み、Ｘ１００は第一のエンティティ１００のシークレットであり、ｈは数学群Ｇ１の元である、モジュールＭＧＳ、
－ 前記認証に特有の文字列ＳＴＲを取得するためのモジュールＭＯＣ、
－ 失効リストＬＲ内のペア（ｈｉ，ｋｉ）の各インデックスｉについて、決定論的な値ａｉと前述の群の元Ｃｉを取得するように構成された暗号モジュールＣＲＹ、
－ 前記機器１０が群の元Ｃｉを得るために第一のエンティティのシークレットＸ１００を使用したとのゼロ知識証明を生成するためのモジュールＭＧＰ、及び
－ 第二のエンティティ２００に、
－ 前記署名ＳＩＧ、
－ 文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペアについての元Ｃｉ
を送信するためのモジュールＣＯＭ１
を含む。
－ 前述の失効リストＬＲを取得するためのモジュールＭＯＬ、
－ 第一のエンティティ１００を第二のエンティティ２００に認証するために署名ＳＩＧを生成するためのモジュールＭＧＳであって、この署名ＳＩＧはペア（ｈ，ｈＸ１００）を含み、Ｘ１００は第一のエンティティ１００のシークレットであり、ｈは数学群Ｇ１の元である、モジュールＭＧＳ、
－ 前記認証に特有の文字列ＳＴＲを取得するためのモジュールＭＯＣ、
－ 失効リストＬＲ内のペア（ｈｉ，ｋｉ）の各インデックスｉについて、決定論的な値ａｉと前述の群の元Ｃｉを取得するように構成された暗号モジュールＣＲＹ、
－ 前記機器１０が群の元Ｃｉを得るために第一のエンティティのシークレットＸ１００を使用したとのゼロ知識証明を生成するためのモジュールＭＧＰ、及び
－ 第二のエンティティ２００に、
－ 前記署名ＳＩＧ、
－ 文字列ＳＴＲ、
－ ゼロ知識証明Ｐ、及び
－ 失効リストＬＲ内の各ペアについての元Ｃｉ
を送信するためのモジュールＣＯＭ１
を含む。
【0089】
コンピュータプログラムＰＧＶは、図４に示される非失効検証機器２０の機能モジュールを規定する。より正確には、第一のエンティティ１００の第二のエンティティ２００への認証中に、この第一のエンティティが失効を根拠として拒絶されるべき否かを検証するように構成された非失効検証機器２０は、本発明のこの実施形態において、
－ この認証のために第一のエンティティ１００が生成した署名ＳＩＧ、
－ 文字列ＳＴＲ、
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）についての群Ｇ１の元Ｃｉ、
－ 及び前記第一のエンティティ１００が失効リストＬＲ内のペアの各々について群の元Ｃｉを取得するためにこの第一のエンティティのシークレットを使用したとのゼロ知識証明Ｐ
を受け取るためのモジュールＣＯＭ２、及び
－ 前記ゼロ知識証明Ｐが有効でない場合、又は少なくとも１個の前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、Ａが既知の値である場合に、第一のエンティティ１００の権限を失効させるためのモジュールＭＲ
を含む。
－ この認証のために第一のエンティティ１００が生成した署名ＳＩＧ、
－ 文字列ＳＴＲ、
－ 失効リストＬＲ内の各ペア（ｈｉ，ｋｉ）についての群Ｇ１の元Ｃｉ、
－ 及び前記第一のエンティティ１００が失効リストＬＲ内のペアの各々について群の元Ｃｉを取得するためにこの第一のエンティティのシークレットを使用したとのゼロ知識証明Ｐ
を受け取るためのモジュールＣＯＭ２、及び
－ 前記ゼロ知識証明Ｐが有効でない場合、又は少なくとも１個の前記ペア（ｈｉ，ｋｉ）について、群の元ＣｉがＣｉ＝ｈｉ Ａであり、Ａが既知の値である場合に、第一のエンティティ１００の権限を失効させるためのモジュールＭＲ
を含む。
【0090】
１つの特定の実施形態において、非失効検証機器２０は、前述のように失効リストＬＲを作成し、更新するためのモジュールＭＣＬをさらに含む。
【図1】
【図2】
【図3】
【図4】
【国際調査報告】