JP2006109244A

JP2006109244A - Encryption key sharing method and encryption key sharing apparatus

Info

Publication number: JP2006109244A
Application number: JP2004295002A
Authority: JP
Inventors: Eiji Okamoto; 栄司岡本; Takeshi Okamoto; 健岡本; Atsuo Inomata; 敦夫猪俣; Tadahiko Ito; 忠彦伊藤
Original assignee: Individual
Current assignee: Individual
Priority date: 2004-10-07
Filing date: 2004-10-07
Publication date: 2006-04-20

Abstract

<P>PROBLEM TO BE SOLVED: To provide a group key sharing method and apparatus which enable a third person to detect, based on information flowing on a communication path, whether or not a parameter resulting from encrypting a group key is surely distributed to all users in a group completely without using private information of the group key or private keys of members of the group. <P>SOLUTION: An encryption key sharing method is characterized in that, in a key sharing system for a key creator to allow recipients to share a group key for encryption communication, the third person can verify, based on information flowing on the communication path, whether or not group key distribution is normally carried out, completely without using the private information of the group key or the private keys of members of the group. <P>COPYRIGHT: (C)2006,JPO&NCIPI

Description

本発明は、第三者により検出可能なグループ鍵の共有方法及び装置に関する。 The present invention relates to a group key sharing method and apparatus that can be detected by a third party.

通信者双方が秘密の鍵を共有する共通鍵暗号方式は、歴史も長く一般にも広く使われているが、その共通の鍵を初めに通信者同士が交換しなければならない。そこで共通鍵の交換に使われるのが、ＲＳＡ暗号に代表される公開鍵暗号系である。ＲＳＡ暗号は素因数分解の計算量的観点からの困難性を根拠にしているが、同じように計算量的困難性を根拠にしている暗号に、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題（以下、ＤＨ問題という）を利用した公開鍵暗号がある。
ＤＨ問題には、ＤＨ判定問題、ＤＨ計算問題、ＤＨギャップ問題、バイリニアＤＨ問題などの種類がある。
楕円曲線のペアリングという特徴を満たすように構成すると、ＤＨ計算問題及びバイリニアＤＨ問題は困難であるが、ＤＨ判定問題は容易に解けるという性質が存在し、その困難性のギャップを使った問題をＤＨギャップ問題と呼ぶ。 A common key cryptosystem in which both communicators share a secret key has a long history and is widely used in general. However, communicators must first exchange the common key. Therefore, a public key cryptosystem represented by RSA cryptography is used for exchanging the common key. The RSA cipher is based on the difficulty from the viewpoint of computational complexity of prime factorization, but the Diffie-Hellman problem (hereinafter referred to as the DH problem) is used for the cipher based on the computational difficulty as well. There is public key cryptography.
Examples of the DH problem include a DH determination problem, a DH calculation problem, a DH gap problem, and a bilinear DH problem.
When configured to satisfy the feature of elliptic curve pairing, the DH calculation problem and the bilinear DH problem are difficult, but the DH decision problem has the property of being easily solved. This is called the DH gap problem.

ＤＨ計算問題及びＤＨ判定問題は、具体的には、次の（ａ）〜（ｅ）のように表せる。
（ａ）Ｐを、Ｙ＾２＝Ｘ＾３＋αＸ＋β（ｍｏｄＴ）で表される楕円曲線Ｅ上の点とする
（ここでＴは素数）。
（ｂ）Ｐをジェネレーターとして生成される部分群の要素数をｑとする。
（ｃ）ａ，ｂ共にＺｑの要素とする。
（ｄ）上記（a）〜(c)の仮定の元で、Ｐ，ａＰ，ｂＰ，Ｔ，α，βが与えられたとき、ａｂＰという楕円曲線Ｅ上の要素を見つけることがＤＨ計算問題となる。
（ｅ）上記(a)〜(c)の仮定の元で、Ｘ，ａＰ，ｂＰ，Ｔ，α，βが与えられた時、Ｘ＝ａｂＰが成立するかどうかを判断することがＤＨ判定問題である。
なお、ＤＨ問題については
に詳しい記述がある。また、上記（ａ）〜(ｃ)の仮定の元で、Ｐにより生成される上記部分群をＧ１とし、同じ位数ｑを持つ循環群をＧ２とすると、Ｇ１×Ｇ１→Ｇ２の楕円曲線のバイリニアペアリングｅ（，）は、下式（ｉ）の性質を満たす。ｅ（ａＰ，ｂＰ）＝ｅ（Ｐ，ａｂＰ）＝ｅ（Ｐ，Ｐ）＾ａｂ ………（ｉ）なお、楕円曲線及びその特性についてはに詳しい記述がある。また、従来技術によりグループ鍵の共有を行う場合は、鍵生成者が、ＲＳＡ暗号などに代表される公開鍵暗号系を用いて暗号鍵を作成し、それぞれのユーザに暗号化されたグループ鍵を配布する形式となる。従来手法でも公開鍵暗号系やハッシュ関数を使うことにより、全員に正当なパラメータが配布されたことを、鍵生成者又はユーザが検知することは可能である。しかしながら、第三者が秘密情報を用いずに検知することは不可能である。 Specifically, the DH calculation problem and the DH determination problem can be expressed as the following (a) to (e).
(A) Let P be a point on an elliptic curve E represented by Y ^ 2 = X ^ 3 + αX + β (modT) (where T is a prime number).
(B) Let q be the number of elements in the subgroup generated using P as a generator.
(C) Both a and b are elements of Zq.
(D) Under the assumptions (a) to (c) above, when P, aP, bP, T, α, and β are given, finding an element on the elliptic curve E called abP is a DH calculation problem. Become.
(E) It is a DH determination problem to determine whether X = abP is satisfied when X, aP, bP, T, α, β are given under the assumptions of (a) to (c) above. It is.
Regarding the DH problem
Has a detailed description. Also, assuming that the subgroup generated by P is G1 and the circulation group having the same order q is G2 under the assumptions of (a) to (c) above, the elliptic curve of G1 × G1 → G2 The bilinear pairing e (,) satisfies the property of the following formula (i). e (aP, bP) = e (P, abP) = e (P, P) ^ ab (i) For the elliptic curve and its characteristics Has a detailed description. In addition, when sharing a group key according to the prior art, the key generator creates an encryption key using a public key cryptosystem represented by RSA encryption and the like, and sends an encrypted group key to each user. The format will be distributed. Even in the conventional method, by using a public key cryptosystem or a hash function, it is possible for the key generator or the user to detect that a valid parameter has been distributed to all. However, it is impossible for a third party to detect without using confidential information.

Alfred. Menezes,Paul C. van Oorschout, Scott A.Vanstone’Handbook of Applied Cryptography’, １９９７CRC Press,Inc., pp１１３-１１４,pp５１５-５２４, ISBN:０-８４９３-８５２３-７Alfred. Menezes, Paul C. van Oorschout, Scott A. Vanstone’Handbook of Applied Cryptography ’, 1997 CRC Press, Inc., pp113-114, pp515-524, ISBN: 0-8493-8523-7 Lawrence C.washington,’ELLIPTIC CURVES’, ２００３, CHAPMAN&HALL/CRC, ISBN:１-５８４８８-３６５-０Lawrence C. washington, 'ELLIPTIC CURVES', 2003, CHAPMAN & HALL / CRC, ISBN: 1-58488-365-0

特定のグループ内で外部の人間に通信内容を知られないように通信をする場合、グループメンバ全員が共有するグループ鍵と呼べるものが必要となる。例えば、後述する図１の場合、各々のユーザ（３０〜３２）が同一の鍵を保持しなくてはならない。
このグループ鍵の共有について、今まではグループ鍵が共有されているかどうかを外部から確認する手段はなかった。何故ならばグループ鍵が全員に確実に届いていることを外部から確認するには、グループ鍵又はユーザの秘密鍵を知る必要があり、外部の人間に知られたグループ鍵は適切なグループ鍵とはなり得ないし、また秘密鍵を公開することは、全ての秘密情報を公開することにつながるためである。従って、従来は信頼できる第三者機関又はグループ内の１ユーザが作成したグループ鍵を使っていたが、その第三者機関もグループ鍵を知らない方が望ましい。また、後述するようにグループ内の１ユーザが鍵を生成した場合、鍵生成者が、故意に特定のユーザに鍵を送らないでおくという不正をしても検知できない。 When communicating in a specific group so that external people do not know the communication contents, a group key shared by all group members is required. For example, in the case of FIG. 1 described later, each user (30 to 32) must hold the same key.
Until now, there has been no means for confirming whether the group key is shared or not from the outside. Because it is necessary to know the group key or the user's private key from the outside in order to confirm that the group key is surely delivered to everyone, the group key known to the outside person is the appropriate group key. This is because the secret key cannot be disclosed, and all secret information is disclosed. Therefore, in the past, a trusted third party or a group key created by one user in the group was used, but it is desirable that the third party also does not know the group key. Further, as described later, when one user in the group generates a key, even if the key generator deliberately does not send the key to a specific user, it cannot be detected.

特定のグループ内で仮にグループ鍵の共有が行われたにもかかわらず、何らかの損害が発生した場合に、鍵生成者が故意に正しいパラメータを特定のユーザに送らなかったのか、通信路上で情報伝達に問題があったために届かなかったのか、鍵受信者が届かなかったと偽っているのかなどを判断できない。そのため、その損害が誰の責任なのかを判断できなかった。従って、グループ鍵使用において何らかの問題が発生した場合に、外部の人間がその問題の責任の所在を判断できないという問題があった。公開鍵暗号系を使うことにより特定の人間に責任がないことを証明することは可能であるが、誰に責任があるかは判断できない。鍵生成者が信頼できる第三者機関であっても、この問題は解決しない。現状では、このような問題が発生した場合には、調停者を立てるしかなかった。
本発明では上記の問題を解決し、グループ鍵に変換できるパラメータが、確実にグループ内の全てのユーザに配布されたかどうかを、第三者が、通信路上で流れている情報を元に、グループ鍵の秘密情報又はグループメンバの秘密鍵を一切用いることなく検知できるグループ鍵配布方法及び装置の提供を目的とする。 If a group key is shared within a specific group and some damage occurs, the key generator intentionally did not send the correct parameters to the specific user. It is not possible to determine whether it was not received because of a problem with the key, or whether the key recipient was false. Therefore, it was impossible to determine who was responsible for the damage. Therefore, when a problem occurs in the use of the group key, there is a problem that an external person cannot determine the responsibility of the problem. It is possible to prove that a specific person is not responsible by using a public key cryptosystem, but it is not possible to determine who is responsible. Even if the key generator is a trusted third party, this problem cannot be solved. At present, when such a problem occurs, there is no choice but to establish a mediator.
In the present invention, the above problem is solved, and whether a parameter that can be converted into a group key is surely distributed to all users in the group is determined based on information that a third party flows on the communication path. It is an object of the present invention to provide a group key distribution method and apparatus capable of detecting without using any secret information of a key or a secret key of a group member.

上記課題は、次の１）〜４）の発明によって解決される。
１）鍵生成者が、あるグループ内のユーザ全員にパラメータを配布し、同一のグループ鍵を共有させる鍵配布方式において、通信路上で流れている情報を元に、グループ鍵の秘密情報又はグループメンバの秘密鍵を一切用いることなく、第三者が上記パラメータはグループ鍵に変換できる値か否かを検証できることを特徴とする鍵共有方法。
２）楕円曲線上のペアリングの特性を利用することを特徴とする１）記載の暗号鍵共有方法。
３）Ｐを楕円曲線上の点、Ｐを生成元とする部分群の位数をｑとし、あるグループ内のユーザＡｉ（ｉは１〜ｎの自然数）が、それぞれ公開鍵Ｖｉ＝ＳｉＰと秘密鍵Ｓｉを持つ場合において、乱数ｒを生成する手段と、鍵生成者が各ユーザＡｉにｒＶｉを送る手段と、各ユーザＡｉが各々の秘密鍵Ｓｉを用いてｒＰ又はｅ（ｐ，ｐ）＾ｒを計算し、それらのパラメータをグループ鍵として使うことにより、配られたパラメータが正当なものであることをｅ（ｒＳｉＰ，ＳｎＰ）＝ｅ（ＳｎＰ，ＳｉＰ）を計算することにより検証することができる手段を具備することを特徴とする２）記載の暗号鍵共有方法。
４）少なくとも鍵生成手段、鍵取得手段、鍵検証手段を備えた１）〜３）の何れかに記載の暗号鍵配布方法を実施することが可能な装置。 The above problems are solved by the following inventions 1) to 4).
1) In a key distribution method in which a key generator distributes parameters to all users in a group and shares the same group key, the secret information of the group key or the group member based on the information flowing on the communication path A key sharing method characterized in that a third party can verify whether the parameter is a value that can be converted into a group key without using any secret key.
2) The encryption key sharing method according to 1), wherein pairing characteristics on an elliptic curve are used.
3) Let P be a point on an elliptic curve, and the order of a subgroup with P as a generator be q, and a user Ai (i is a natural number from 1 to n) in a certain group has a public key Vi = SiP and a secret, respectively. In the case of having the key Si, a means for generating a random number r, a means for the key generator to send rVi to each user Ai, and each user Ai using each secret key Si, rP or e (p, p) ^ By calculating r and using those parameters as group keys, it is possible to verify that the distributed parameters are valid by calculating e (rSiP, SnP) = e (SnP, SiP). The encryption key sharing method according to 2), characterized in that the encryption key sharing method is provided.
4) An apparatus capable of carrying out the encryption key distribution method according to any one of 1) to 3) including at least a key generation unit, a key acquisition unit, and a key verification unit.

以下、上記本発明について詳しく説明する。
本発明を実現するための手段は種々考えられるが、楕円曲線上のペアリングとＤＨギャップ問題を用いる手段が好ましい。
図１は、本発明の鍵共有方法を実施する際の構成要素を概略的に示した全体構成図である。この図において、ｎ人のメンバからなるグループ内の各ユーザＡ１〜Ａｎはそれぞれ鍵取得装置を持ち、鍵生成者は鍵生成装置を持ち、鍵検証者は鍵検証装置を持つ。またグループ内のユーザが鍵生成を行っても構わない。
鍵生成者は各ユーザにパラメータを送ることにより、特定のグループ鍵を各ユーザに共有させ、鍵検証者はそのパラメータが確かに共有されたかどうかを検証する。 Hereinafter, the present invention will be described in detail.
Various means for realizing the present invention are conceivable, but means using pairing on the elliptic curve and the DH gap problem is preferable.
FIG. 1 is an overall configuration diagram schematically showing components when implementing the key sharing method of the present invention. In this figure, each user A1 to An within a group of n members has a key acquisition device, a key generator has a key generation device, and a key verifier has a key verification device. Users in the group may generate keys.
The key generator sends a parameter to each user to cause each user to share a specific group key, and the key verifier verifies that the parameter is indeed shared.

また、図１では、グループ内のメンバＡｉ（ｉは１〜ｎの自然数）は、それぞれ秘密鍵Ｓｉと公開鍵Ｖｉ＝ＳｉＰを持つが、それらの鍵は、次の（ａ）〜（ｃ）のような特徴を有する。
（ａ）Ｐを、Ｙ＾２＝Ｘ＾３＋αＸ＋β（ｍｏｄＴ）で表される楕円曲線Ｅ上の点とする
（ここでＴは素数）。
（ｂ）Ｐをジェネレーターとして生成される部分群の要素数をｑとする。
（ｃ）ＳｉはＺｑの要素とする。
ペアリング演算ｅ（，）については、背景技術の項で述べた定義と同じものを用いる。 In FIG. 1, members Ai (i is a natural number of 1 to n) in the group have a secret key Si and a public key Vi = SiP, respectively. These keys are the following (a) to (c): It has the following features.
(A) Let P be a point on an elliptic curve E represented by Y ^ 2 = X ^ 3 + αX + β (modT) (where T is a prime number).
(B) Let q be the number of elements in the subgroup generated using P as a generator.
(C) Si is an element of Zq.
For the pairing operation e (,), the same definition as described in the background art section is used.

以下の（１）〜（１２）は具体的な鍵共有の手順である。

鍵生成、取得、検証装置のブロック図がそれぞれ図２、図３、図４であり、それらの装置に対応するフローチャートが、それぞれ図５、図６、図７である。
それぞれの手順（１）〜（１２）では、装置のブロック図内での位置付けを文中で示すとともに、フローチャートでの位置付けを括弧内で示している

（１）図２で鍵生成装置１１０は、入力装置１１１からグループのメンバ情報を受け取る。
（２）図２で鍵生成装置１１０が、乱数生成装置１１３でグループ鍵の元となる乱数ｒを作成する。（図５では、Ｓ１２１に相当する）
（３）図２で鍵生成装置１１０は、鍵生成装置１１４及びパラメータ生成装置１１５で、Ａ１〜Ａｎのユーザに対し、それぞれの公開鍵を用いた配布パラメータを計算し、図２の出力装置１１６から送信する。（図５では、Ｓ１２３，Ｓ１２４に相当する）
配布パラメータは具体的には、ｒＶｉの数値を用いる。
（４）図３で各々のユーザの鍵取得装置２１０が、入力装置２１１から配布パラメータを受け取る。（図６では、Ｓ２２１に相当する）
（５）図３で各々のユーザの鍵取得装置２１０は、演算装置２１２において配布パラメータからグループ鍵ｋを計算する。計算方法は選んだ方式により異なるが、何れの場合も自分の秘密鍵Ｓｉを用いて行う。具体的には以下のようにしてｋを求める。（図６では、Ｓ２２３に相当する）
（イ）ｋ＝ｒＶｉ×Ｓｉ＾−１＝ｒＳｉＰ×Ｓｉ＾−１＝ｒＰ
（ロ）ｋ＝ｅ（ｒＶｉ，Ｐ）＾（１／Ｓｉ）＝ｅ（ｒＰ，Ｐ）＾（Ｓｉ×１／Ｓｉ）
＝ｅ（ｒＰ，Ｐ）
（イ）の数値の取りうる領域はG１で（ロ）の数値の取りうる領域はG２だがどちらを使用しても良い。 The following (1) to (12) are specific key sharing procedures.

2, 3, and 4 are block diagrams of the key generation, acquisition, and verification devices, and FIGS. 5, 6, and 7 are flowcharts corresponding to these devices, respectively.
In each procedure (1) to (12), the position of the device in the block diagram is shown in the sentence, and the position in the flowchart is shown in parentheses.

(1) In FIG. 2, the key generation device 110 receives group member information from the input device 111.
(2) In FIG. 2, the key generation device 110 creates a random number r that is a source of the group key in the random number generation device 113. (In FIG. 5, this corresponds to S121)
(3) In FIG. 2, the key generation device 110 calculates distribution parameters using the public keys for the users A1 to An by the key generation device 114 and the parameter generation device 115, and outputs the output device 116 in FIG. Send from. (In FIG. 5, it corresponds to S123 and S124)
Specifically, a numerical value of rVi is used as the distribution parameter.
(4) In FIG. 3, each user's key acquisition device 210 receives a distribution parameter from the input device 211. (In FIG. 6, this corresponds to S221)
(5) In FIG. 3, each user's key acquisition device 210 calculates a group key k from the distribution parameters in the arithmetic device 212. The calculation method varies depending on the selected method, but in any case, it is performed using its own secret key Si. Specifically, k is obtained as follows. (In FIG. 6, this corresponds to S223)
(A) k = rVi × Si ^ −1 = rSiP × Si ^ −1 = rP
(B) k = e (rVi, P) ^ (1 / Si) = e (rP, P) ^ (Si × 1 / Si)
= E (rP, P)
The area that the value of (b) can take is G1, and the area that the value of (b) can take is G2, but either can be used.

（６）各々のユーザは、先のステップで取得したｋをグループ鍵候補として保持し、検証
結果を待つ。
（７）図４で検証装置３１０は、予め入力装置３１１からグループのメンバ情報を受け取る。
（８）図４で検証装置３１０は、通信路上で流れた各々のユーザに送られた配布パラメータを、パラメータ取得装置３１２で観測する。（図７では、Ｓ３２１に相当する）
（９）図４の検証装置３１０は、演算装置３１３において、全てのユーザの配布パラメータが正しく配布されたかどうかを、各々のユーザの配布パラメータと公開鍵を用いて、次のようにして検証する。（図７では、Ｓ３２２，Ｓ３２３に相当する）
即ち、２人のユーザに配布されたグループ鍵が同一であるか否かを確かめるため
に、１人のユーザの配布パラメータと、もう１人の通信者の公開鍵に対してペアリング計算を行い、次の等式（ii）が成り立つかどうかを検証する。
ｅ（ｒＳｉＰ，ＳｎＰ）＝ｅ（ＳｎＰ，ＳｉＰ） ………（ii）
（１０）図４で検証装置３１０は、検証の結果、鍵生成が正しければ、出力装置３１４から正しかったことをユーザＡｉ〜Ａｎ及び鍵生成者に通知する。（図７では、Ｓ３２４，Ｓ３２６に相当する）
（１１）図４で検証装置３１０は、検証の結果、鍵共有に問題がある場合には、出力装置３１４から、ユーザＡｉ及び鍵生成者に、問題があるパラメータを受信したユーザを通知する。（図７では、Ｓ３２５，Ｓ３２６に相当する）
（１２）図３で各々のユーザの鍵取得装置２１０は、入力装置２１１から検証結果を受け取り、検証が正しければ、出力装置２１３から共有されたグループ鍵ｋを出力する。正しくなければ、出力装置２１３からの問題の原因を出力する。 (6) Each user holds k acquired in the previous step as a group key candidate and waits for a verification result.
(7) In FIG. 4, the verification device 310 receives group member information from the input device 311 in advance.
(8) The verification device 310 in FIG. 4 observes the distribution parameter sent to each user that has flowed on the communication path by the parameter acquisition device 312. (In FIG. 7, this corresponds to S321)
(9) The verification device 310 of FIG. 4 verifies whether or not the distribution parameters of all the users are correctly distributed in the arithmetic device 313 using the distribution parameters and the public key of each user as follows. . (In FIG. 7, it corresponds to S322 and S323)
That is, in order to check whether the group keys distributed to two users are the same, a pairing calculation is performed on the distribution parameters of one user and the public key of the other communicator. Verify whether the following equation (ii) holds.
e (rSiP, SnP) = e (SnP, SiP) (ii)
(10) If the verification result in FIG. 4 shows that the key generation is correct, the verification device 310 notifies the users Ai to An and the key generator that the output device 314 was correct. (In FIG. 7, it corresponds to S324 and S326)
(11) If there is a problem in key sharing as a result of the verification, the verification apparatus 310 in FIG. 4 notifies the user who received the problematic parameter from the output apparatus 314 to the user Ai and the key generator. (In FIG. 7, it corresponds to S325 and S326)
(12) In FIG. 3, each user's key acquisition device 210 receives the verification result from the input device 211, and outputs the group key k shared from the output device 213 if the verification is correct. If not correct, the cause of the problem from the output device 213 is output.

以上の手段により、グループ鍵の共有に関して、当事者の過失による損害をパラメータの配布ミスだと主張したり、特定の相手にグループ鍵を送らないで損害を与えようとするなどの不正や、通信路上での情報伝達に問題がある場合の検知などが可能となる。また、信用のある第三者機関でなくても、グループ内でグループ鍵を生成可能であり、その鍵を検証する第三者にグループ鍵に関する秘密情報が漏れることもない。
このような効果が得られる理由を説明すると、鍵検証者が持つパラメータは、グループ内のユーザの公開鍵Ｖ１〜Ｖｎ及び配布パラメータｒＶ１〜ｒＶｎであるが、その値からはｒ又はＳ１〜Ｓｎを求めることはできない。何故ならば、それらの値を求めることは、ＤＨ計算問題及びバイリニアＤＨ問題となり、効率的な計算方法が存在しないためである。しかし、上記（９）の等式、ｅ（ｒＳｉＰ，ＳｎＰ）＝ｅ（ＳｎＰ，ＳｉＰ）が成立するか否かを確認することはＤＨ判定問題となり、楕円曲線のペアリング計算を使用することにより計算は容易となる。よって、鍵検証者は、グループメンバの秘密鍵Ｓ１〜Ｓｎ及びグループ鍵ｒの秘密情報を知らなくても、鍵配布の検証ができる。従って、鍵生成者は、仮に特定の相手に誤ったパラメータを送っても、そのことを検証されてしまうため、正しいパラメータを配布することになる。また、各ユーザは、鍵検証者によって正しく配布されていると検証された以上、配布ミスであると主張することはできない。 By using the above means, regarding group key sharing, fraud such as claiming that the damage caused by the negligence of the party is a parameter distribution error or trying to cause damage without sending the group key to a specific party, It is possible to detect when there is a problem in information transmission. Even if the third party is not a trusted third party, a group key can be generated within the group, and secret information about the group key is not leaked to a third party who verifies the key.
The reason why such an effect is obtained will be described. The parameters of the key verifier are the public keys V1 to Vn of the users in the group and the distribution parameters rV1 to rVn. I can't ask for it. This is because obtaining these values becomes a DH calculation problem and a bilinear DH problem, and there is no efficient calculation method. However, confirming whether or not the equation (9) above, e (rSiP, SnP) = e (SnP, SiP), is a DH decision problem, and by using an elliptic curve pairing calculation, Calculation is easy. Therefore, the key verifier can verify the key distribution without knowing the secret information of the group members' secret keys S1 to Sn and the group key r. Therefore, even if an incorrect parameter is sent to a specific partner, the key generator is verified, so that the correct parameter is distributed. In addition, each user cannot claim to be a distribution mistake as long as it is verified that the key verifier has correctly distributed.

本発明によれば、グループ鍵に変換できるパラメータがグループ内の全てのユーザに配布されたかどうかを、第三者が、通信路上で流れている情報を元に、グループ鍵の秘密情報又はグループメンバの秘密鍵を一切用いることなく検知できるグループ鍵配布方法及び装置を提供できる。
また、グループ鍵を検証する第三者にグループ鍵に関する秘密情報が漏れることがないので、権利問題や責任問題が発生する場面でもグループ鍵を使った通信が可能となる。 According to the present invention, whether or not a parameter that can be converted into a group key has been distributed to all users in the group, based on the information that the third party flows on the communication path, the secret information of the group key or the group member It is possible to provide a group key distribution method and apparatus capable of detecting without using any secret key.
In addition, since the secret information about the group key is not leaked to a third party who verifies the group key, communication using the group key is possible even in a situation where a right problem or responsibility problem occurs.

本発明の鍵配共有法を実施する際の構成要素を概略的に示した全体構成図。The whole block diagram which showed schematically the component at the time of implementing the key distribution method of this invention. 本発明の鍵生成装置の一例を示すブロック構成図。The block block diagram which shows an example of the key generation apparatus of this invention. 本発明の鍵取得装置の一例を示すブロック構成図。The block block diagram which shows an example of the key acquisition apparatus of this invention. 本発明の鍵検証装置の一例を示すブロック構成図。The block block diagram which shows an example of the key verification apparatus of this invention. 本発明の鍵生成装置の一例の手順を示すフローチャート。The flowchart which shows the procedure of an example of the key generation apparatus of this invention. 本発明の鍵取得装置の一例の手順を示すフローチャート。The flowchart which shows the procedure of an example of the key acquisition apparatus of this invention. 本発明の鍵検証装置の一例の手順を示すフローチャート。The flowchart which shows the procedure of an example of the key verification apparatus of this invention.

Explanation of symbols

１１０鍵生成装置
１１１入力装置
１１２演算装置
１１３乱数生成装置
１１４鍵生成装置
１１５パラメータ生成装置
１１６出力装置
２１０鍵取得装置
２１１入力装置
２１２演算装置
２１３出力装置
３１０鍵検証装置
３１１入力装置
３１２パラメータ取得装置
３１３演算装置
３１４出力装置
Ｓ１２３パラメータ送信、（S２２１,S３２１と対応関係）
Ｓ２２１パラメータ受信、（S１２３,S３２１と対応関係）
Ｓ３２１パラメータ受信、（S１２３,S２２１と対応関係）
Ｓ３２６検証結果送信、（S２２３と対応関係）
Ｓ２２３検証結果受信、（S３２６と対応関係）
DESCRIPTION OF SYMBOLS 110 Key generation apparatus 111 Input apparatus 112 Arithmetic apparatus 113 Random number generation apparatus 114 Key generation apparatus 115 Parameter generation apparatus 116 Output apparatus 210 Key acquisition apparatus 211 Input apparatus 212 Operation apparatus 213 Output apparatus 310 Key verification apparatus 311 Input apparatus 312 Parameter acquisition apparatus 313 Arithmetic unit 314 Output unit S123 Parameter transmission (corresponding to S221 and S321)
S221 Parameter reception (corresponding to S123, S321)
S321 Parameter reception (corresponding to S123, S221)
S326 Verification result transmission, (corresponding to S223)
S223 Verification result reception (corresponding to S326)

Claims

In a key distribution method in which a key generator distributes parameters to all users in a group and shares the same group key, the secret information of the group key or the secret of the group member is based on the information flowing on the communication path. An encryption key sharing method characterized in that a third party can verify whether or not the parameter is a parameter that can be converted into a group key without using any key.

2. The encryption key distribution method according to claim 1, wherein pairing characteristics on an elliptic curve are used.

Let P be a point on an elliptic curve, and the order of a subgroup with P as a generator be q, and a user Ai (i is a natural number from 1 to n) in a certain group will have a public key Vi = SiP and a secret key Si, respectively. , A means for generating a random number r, a means for the key generator to send rVi to each user Ai, and each user Ai using the secret key Si for rP or e (p, p) ^ r Means that can be calculated by calculating e (rSiP, SnP) = e (SnP, SiP) that a distributed parameter can be converted into a group key by calculating and using those parameters as a group key. 3. The encryption key sharing method according to claim 2, further comprising:

The apparatus which can implement the encryption key sharing method in any one of Claims 1-3 provided with the key generation means, the key acquisition means, and the key verification means at least.