[P2P][DHT]ゼロ知識証明によるP2P認証方法の提案

□はじめに
セキュリティの興味深いトピックとしてゼロ知識証明というテクニックがある。
ゼロ知識証明
http://www.venture.nict.go.jp/series/cryptography/chapter2/2_4.html

ゼロ知識証明は簡単に言うとつぎのようなものである。
[1]ユーザＡは大きな素数A,BよりC=Ａ×Ｂを作成する。
[2]ユーザＢはユーザＡとある通信をすることで、ユーザＡがＣの素因数分解ができるか否かを検証することができる。（それもユーザＡがユーザＢにＡ，Ｂの情報を提示せず！）

筆者はゼロ知識証明について昔から興味を頂き、この技術の応用を模索していた。今回はゼロ知識証明を使う事でP2P(具体的にはＤＨＴ）認証方法として応用する事を提案する。

以下については11/4に大幅修正を加えています。

□認証プトロコル
プロトコルは次のとおり

☆ノードＩＤ作成プロトコル
[1]各ユーザは大きな素数Ａ，ＢよりＣ＝Ａ×Ｂを作成する。ただし、Ｃはハッシュ空間Ｈの最大値よりも小さい事が必要である。今、ユーザＡがＣを作成したとする。
[2]ＩＰアドレスとポート番号の組み合わせをDとしてこのハッシュ値Z＝Hash(D)をノード固有情報とする。
[3]ユーザＡはＤＨＴに参加する際に、ノードＩＤ＝Hash(C^m×Z mod T)とする。ここでHash()とはハッシュ関数である。今、C^mとはCのm乗を意味する。mはべき乗数と呼ぶ事にしよう。mは各ノードが乱数で決定し、十分大きい数とする。またID、Z、mをDHTノードに公開する。Tは各ノード共通である。

なおノードＩＤにZという要素が必要な理由は、大きく分けて２つである。
理由１：たまたまノードＩＤ＝ＣでユーザＡとユーザＢが一致した場合、ユーザＢはユーザＡの成りすましが可能である。（ユーザＡもユーザＢもＣを素因数分解できるため。ちなみにある数Ｒは一意に素因数分解できることが知られている）
理由２：ノードＩＤ＝Ｃとすると、ノードＩＤは相当大きな数になってしまい、ハッシュ空間にノードＩＤを均一に存在させる事が難しくなる。
＊こちらの理由は正しくありませんでした。削除します。（11/4)
☆認証プロトコル
今、ユーザＢがユーザＡを認証しようとする。ユーザAはノードID=P、固有情報=Q,べき乗数＝RをDHT参加ノードに公開している。

[1]ユーザＢはユーザAを認証したい。ユーザBはDHTよりユーザAの公開情報（P,Q,R)を入手する。このとき、ユーザBはユーザAと直接通信することで、ユーザのIPアドレス及びポート番号の情報Eを手に入れ、Q=Hash(E)を検証する。Q≠Hash(E)ならMan-in-the-middle atatckをされる可能性がある。
[2]ユーザAは（ユーザBの求めに応じて）ユーザBにCを通知する。ここでユーザBはHash(C^R×Q mod T）を計算しPと合致するか計算する。
[3]ユーザＢはゼロ知識証明よりユーザＡが確かにCを素因数分解できることを証明する。
[4]結果としてユーザＢはユーザＡが（P,Q,R..C）の組を保有し且つCの素因数分解ができる正当性を検証できる。

□終わりに

今回提案したプロトコルを使えば、認証の際にＰＫＩやＰＧＰを使う必要がない。非常にシンプルなプロトコルなので、実装も容易である。簡易なＰ２Ｐの認証方法として期待できそうだ。

なお、この提案に対するBlogコメントがあります。コメントに対するレスは後ほど書いてみます。(11/4追記）
http://d.hatena.ne.jp/smoking186/20061104