JPH05347617A - 無線通信システムの通信方法 - Google Patents

Abstract

(57)【要約】 【目的】 無線通信システムにおける無線端末の認証と
基地局と無線端末間の暗号鍵の共有を通信量少なく実現
することを目的とする。 【構成】 認証に必要な乱数情報を鍵共有情報として共
用する。さらに、ランダム関数を用意し、この出力を乱
数として扱うことにより、乱数情報の通信を減らす。 【効果】 鍵共有のために余分な通信がないこと、交換
する乱数情報の数が減ることから通信量が少なくなる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、端末の認証および通信
内容の暗号化を要する自動車電話や携帯電話などの無線
通信システムの通信方法に関する。

【０００２】

【従来の技術】無線通信システムにおいては、有線系の
システムに比べ、通話内容の盗聴及び不正アクセスとい
った行為が容易となるため、これらを防止するためのセ
キュリティ対策が重要となる。具体的には、情報チャネ
ルの暗号化及び無線端末の正当性の確認を行う必要が生
じる。

【０００３】このような無線通信システムのセキュリテ
ィを実現する方式は、次の点を満たすことが望ましい。

【０００４】（１）無線端末の正当性の確認および基地
局との間の無線回線の秘匿に必要な暗号鍵の共有のため
に必要な通信量が少ないこと。

【０００５】（２）無線端末の正当性の確認は、基地局
と無線端末の間のみで実行でき、かつ全無線端末に対応
した情報を格納するデータベースは制御局に持たせ、基
地局にはデータベースを置かないこと。

【０００６】一般に認証や鍵共有のために伝送される情
報は１ビットの誤りも許されない場合が多い。一方、基
地局と無線端末の間の伝送路は無線回線であるため、誤
り率が大きい。誤り訂正符号の利用や誤り検出と再送手
順の組み合わせなどにより伝送路の誤り率を低くするこ
とはできるが、一般に許容誤り率を小さく抑えることに
より、伝送路のスループットが低下し、通話開始までに
時間を要する。従って、認証や鍵共有のために伝送され
る情報は極力少なくする必要がある。これが（１）の要
求項目である。

【０００７】（２）は、発呼、着呼の度に生じる認証手
順を簡略化する目的で必要となる。発呼、着呼の度に無
線端末を認証するために制御局へのアクセスを必要とす
るのでは制御局への負荷の集中といった問題が生じる。
一方、無線端末のデータベースを基地局に持たせる解決
法が考えられるが、この場合には基地局の装置規模が大
きくなることや基地局のデータベースの一貫性を保つた
めに制御が複雑化することなどの問題が生じる。

【０００８】さらに、将来、マイクロ・セル方式などに
よる基地局の小型化・セルの小ゾーン化が一層進み、多
数の基地局が街頭に設置された状況を想定すると、基地
局に対する物理的な攻撃も考慮する必要が生じる。物理
的な攻撃とは、例えば、基地局の盗難・分解による基地
局内秘密情報の漏洩や、基地局の複製などが挙げられ
る。このような状況では、次の要求項目が考えられる。

【０００９】（３）基地局の分解あるいは基地局の複製
という状況が生じても、無線端末の正当性確認に利用す
る秘密情報の漏洩は生じないこと。

【００１０】無線端末の正当性確認に利用する秘密情報
を取得した利用者は、本来の利用者に“なりすまし”て
通信サービスを享受することができる。この“なりすま
し”は、課金処理の根底を脅かすものであり、（３）を
満たすことは必須条件となる。 このような無線通信シ
ステムのセキュリティ機能を実現する場合、暗号技術を
利用することが一般的である。以上の要求項目のうち、
（２）と（３）は公開鍵暗号技術の利用により解決でき
る。

【００１１】具体的には、例えばFiat-Shamir 法で無線
端末の正当性を確認できる。Fiat-Shamir 法の詳細は、
Fiat,A. and Shmir,A.“How to Prove Yourself:Practi
calSolutions to Identification and Signature Probl
ems”,Proc. of CRYPTO'86,Lecture Notes on Computer
Science 263,Springer-Verlag, pp.186-194 に詳し
い。

【００１２】しかしながら、Fiat-Shamir 法を無線端末
の認証に用いた場合、発呼（あるいは着呼）時の認証処
理においては、正当な端末が確かに基地局にアクセスし
たことが保証されるが、その認証処理終了後に不正端末
が回線に割り込んで不正にアクセスする可能性が残る。

【００１３】また、認証処理終了後、暗号鍵の共有を行
い、以降の通信は共有された暗号鍵を用いて、メッセー
ジ認証を行う方法が考えられるが、暗号鍵の共有手続き
のために新たな通信が必要となる。暗号鍵の共有のため
に通信される情報も誤りが許されないため、通話開始ま
でに時間を要する原因となる可能性がある。

【００１４】この問題点に対し、認証処理と暗号鍵共有
処理を融合した構成が次の文献に提案されている：T.Ok
amoto and K.Ohta, “How to Utilize the Randomness
of Zero-Knowledge Proofs”, Proc. of CRYPTO'90。認
証処理で利用される乱数情報を鍵共有情報で構成してい
ることがポイントである。提案されている方式の中で通
信量が少ないものを次に示す。

【００１５】文献の方式は、ユーザ１とユーザ２が相互
に認証を行い、さらに暗号鍵の共有を行うものである。
認証部分に拡張Fiat-Shamir 法による相手確認を用い、
鍵共有部分にＤＨ方式を用いている。

【００１６】拡張Fiat-Shamir 法の詳細は、K.Ohta and
T.Okamoto ,“ A Modification ofthe Fiat-Shamir Sc
heme”Proc. of CRYPTO'88 もしくは、L.C.Guillou an
d J.J. Quisquater,“A Practical Zero-Knowledge Pro
tocol Fitted to Security Microprocessors Both Tran
smission and Memory ”,Proc. of EUROCRYPT'88. に詳
しい。

【００１７】また、ＤＨ鍵共有法の詳細は、W.Diffie a
nd M.Hellman, “New Directions in Cryptography”,
IEEE Trans. IT-22, No.6, pp.644-654.に詳しい。

【００１８】サービス提供者は素数ｐ，ｑを生成し、Ｎ
＝ｐ・ｑを公開の法の値とする。また、（ｐ−１）およ
び（ｑ−１）と互いに素である整数ｅと公開の底の値ｇ
を定める。さらに、各ユーザに対し、次式を満たす秘密
情報を求め、発行する。

【００１９】 Ｓｉ^e ＝１／Ｉｉmod Ｎ （ｉ＝１、２、…） 但し、Ｉｉはユーザｉの識別番号 処理手順は次の通りである。

【００２０】（１）ユーザ１とユーザ２は互いに識別番
号Ｉ１、Ｉ２を交換する。

【００２１】（２）ユーザ１は乱数ｒ１（１＜ｒ１＜
Ｎ）を生成し、次式によりＸ１を求め、これをユーザ２
に送信する。

【００２２】Ｘ１＝ｇ^{e ・r1}mod Ｎ （３）ユーザ２は乱数ｒ２（１＜ｒ２＜Ｎ）を生成し、
次式によりＸ２を求める。 Ｘ２＝ｇ^{e ・r2}mod
Ｎ さらに、乱数Ｅ１（１＜Ｅ１＜ｅ）を生成し、Ｅ１とＸ
２をユーザ１に送信する。

【００２３】（４）ユーザ１は次式により、認証情報Ｙ
１を計算する。

【００２４】Ｙ１＝Ｓ１^E1・ｇ^r1mod Ｎ さらに、乱数Ｅ２（１＜Ｅ２＜ｅ）を生成し、Ｅ２とＹ
１をユーザ２に送る。

【００２５】（５）ユーザ２は次式の検査を行う。

【００２６】Ｘ１＝？Ｙ１^e ・Ｉ１^E1mod Ｎ 検査式が成立する場合には、ユーザ１を正当であると判
断する。

【００２７】さらに、鍵Ｋを次式により計算する。

【００２８】Ｋ＝Ｘ１^r2mod Ｎ＝ｇ^{e ・r1・r2}mod Ｎ また、認証情報Ｙ２を次式により計算し、ユーザ１に送
信する。

【００２９】Ｙ２＝Ｓ２^E2・ｇ^r2mod Ｎ （６）ユーザ１は次式の検査を行う。

【００３０】Ｘ２＝？Ｙ２^e ・Ｉ２^E2mod Ｎ 検査式が成立する場合には、ユーザ２を正当であると判
断する。さらに、鍵Ｋを次式により計算する。

【００３１】Ｋ＝Ｘ２^r1mod Ｎ＝ｇ^{e ・r1・r2}mod Ｎ 上記手順によれば、認証処理を行い、その正当性が確認
された場合にのみ鍵共有を行うことができる。鍵共有の
ために新たに通信を必要とすることはない。しかしなが
ら、この方式は、不特定多数の通信者間の鍵生成を、平
等に行うために設計されたものであり、相互の認証を行
っている。実際の無線端末と基地局の間では、例えば無
線端末の認証は必要とされるが基地局の認証は必要とし
ない場面が多い。また、上記手順では（Ｘ１，Ｅ１，Ｙ
１，Ｘ２，Ｅ２，Ｙ２）の通信が必要であり、仮に法Ｎ
のサイズを512 ビットとし、ｅのサイズを64ビットとす
ると全通信量は2176ビットとなり、通信量がやや多い。
なお、この通信量には、識別番号Ｉ１、Ｉ２の通信は含
んでいない。識別番号の通信は、認証処理以前に送信さ
れるものと考えられるからである。

【００３２】

【発明が解決しようとする課題】以上述べてきたよう
に、従来技術による端末の正当性確認を無線通信システ
ムに適用した場合、正当な無線端末が認証された後で、
不正端末がその回線に割り込んでアクセスする可能性が
あった。これを防止する方法として、無線端末の認証と
暗号鍵の共有を同時に実現する方式も存在するが、対等
な２者間での相互認証・鍵共有を前提としているため、
通信量が多いことが欠点であった。

【００３３】本発明の目的は、認証部分では無線端末の
認証のみを行い、これと基地局−無線端末間の暗号鍵の
共有を同時に実現する方式を提供するとともに、基地局
−無線端末の相互認証と暗号鍵の共有を同時に実現する
方式であって、従来よりも通信量の少ない方式を提供す
ることにある。

【００３４】

【課題を解決するための手段】前述した目的を達成する
ために、本発明は複数の無線端末と該無線端末からの通
信情報を伝送・交換するネットワーク側装置としての複
数の基地局および制御局から構成され、各無線端末は装
置固有の第１の秘密情報とシステムの公開情報を有し、
前記各基地局は、基地局の第２の秘密情報を有する無線
通信システムであって、前記基地局が第１の乱数を生成
して前記無線端末に送信する工程と、前記無線端末が第
２の乱数を生成し、基地局の公開情報を用いて変換する
ことにより鍵配送情報を生成し、前記第１の乱数と前記
鍵配送情報と前記第１の秘密情報から認証情報を生成し
て前記基地局に送信する工程と、前記基地局が、前記第
１の乱数と前記鍵配送情報と前記認証情報が、所定の関
係を満たすことを確認する工程と、前記基地局が前記第
１の乱数と前記鍵配送情報と前記認証情報が、所定の関
係を満たすことを確認すると、前記無線端末が前記第２
の乱数と前記基地局の公開情報から暗号鍵を求める工程
と、前記基地局が、鍵配送情報と基地局の秘密情報から
暗号鍵を求める工程と、を具備し、前記基地局が前記無
線端末の正当性を確認することを特徴とする無線通信シ
ステムの通信方法である。

【００３５】

【作用】本発明は、基地局による無線端末の認証と鍵共
有を融合した方式である。各無線通信端末には、自装置
固有の秘密情報と基地局の公開情報が発行される。一
方、基地局には、基地局の秘密情報が発行される。認証
は次の手順で行う。まず、基地局が第１の乱数を生成
し、無線端末に送信する。無線端末は、第２の乱数を生
成し、これを基地局の公開情報で暗号化して鍵配送情報
を生成する。さらに、無線端末は第１の乱数と鍵配送情
報に対し、自装置の秘密情報を作用させ認証情報を作成
し、鍵配送情報と認証情報を基地局に送信する。基地局
は、第１の乱数と鍵配送情報と認証情報が所定の関係式
を満たすことを確認することによって無線端末の認証を
行う。認証後に、基地局は認証時の鍵配送情報と基地局
の秘密情報から暗号鍵を得る。一方、無線端末は、第１
の乱数と基地局の公開情報から暗号鍵を得る。

【００３６】さらに、基地局による無線端末の認証と鍵
共有を融合することもできる。この場合、無線端末と基
地局には、それぞれ、通信相手の識別番号により共有情
報を出力する鍵共有関数を発行しておく。この鍵共有関
数はそれぞれの装置ごとに異なる。また、各無線端末に
は自装置固有の秘密情報を発行しておく。基地局による
無線端末の認証は、次の手順で行う。基地局と無線端末
が共に乱数を生成する。無線端末は、この２種類の乱数
に秘密情報を作用させて認証情報を生成する。基地局
は、前記２種類の乱数と認証情報が所定の関係式を満た
すことを確認することで行う。これが確認された場合
に、認証時に交換した情報と相手識別番号により無線端
末と基地局が暗号鍵を共有する。認証時に交換した情報
を鍵共有関数の入力の一つとすることにより、共有され
る鍵の値が毎回変わり、認証処理と鍵共有処理が連結さ
れる。

【００３７】また、無線端末と基地局の相互認証と鍵共
有を融合することもできる。この場合、無線通信端末お
よび基地局には、それぞれ自装置固有の秘密情報を発行
しておく。さらに各々の装置に共通の乱数生成関数を備
える。無線端末と基地局が相互に正当性を確認する手順
を次の考え方のもとに行う。基地局と無線端末は、相互
の鍵共有に必要な鍵共有情報を作成し、これを相互に通
信する。相互認証時に必要な乱数は、前記鍵共有情報と
乱数生成関数から生成する。相互の装置の正当性が確認
された場合に前記鍵共有情報から共通の暗号鍵を生成す
る。相互認証に必要な乱数を鍵共有情報と装置内の関数
から構成するために、通信により交換する乱数の数を減
らすことができ、通信量の削減になる。

【００３８】

【実施例】以下、図面を参照して本発明の実施例を説明
する。

【００３９】まず、無線通信システムの構成を図２に示
す。無線端末には、それぞれ固有の識別番号（PSi ）が
与えられ、さらに固有の秘密情報（Ｓ_PSi ）が発行され
る。ネットワーク側は、制御局ＣＣと複数の基地局ＣＳ
₁ 、…ＣＳ_m からなる。全基地局には共通の基地局秘密
情報が発行される。制御局ＣＣには、各々の無線端末に
対する課金情報などを蓄積したデータベースが存在す
る。基地局ＣＳ_i にはデータベースは存在しない。基地
局ＣＳ_i と無線端末ＰＳ_i 間の通信は、無線が利用され
るが、基地局ＣＳ_i と制御局ＣＣの間の通信は、有線も
しくは無線である。無線端末ＰＳ_i の正当性の確認およ
び無線回線で用いる暗号方式用の暗号鍵の共有は、無線
端末ＰＳ_i と基地局ＣＳ_i の間で行われ、中央の制御局
ＣＣにアクセスする必要はない。このような認証方式が
実行されるのは、無線端末ＰＳ_i からの発信時、別の無
線端末ＰＳ_k への着信時などである。

【００４０】図１に本発明による無線端末の認証・鍵共
有方式を示す。

【００４１】（１）無線端末から基地局へ、無線端末の
識別番号PSi が送信される。

【００４２】…（ステップ101 ） （２）基地局は、第１の乱数Ｒ１を生成し、無線端末に
送信する。

【００４３】…（ステップ102 ） （３）無線端末は、第２の乱数Ｒ２を生成し、Ｒ１とＲ
２と秘密情報Ｓ_PSi とを認証情報作成手段１０３により
合成し、認証情報σ_PSを得る。

【００４４】…（ステップ103 ） 認証情報σ_PSと第２の乱数Ｒ２を基地局に送信する。…
（ステップ104 ） （４）基地局は、第１の乱数Ｒ１と第２の乱数Ｒ２と無
線端末の識別番号PSi と認証情報σ_PSを認証情報検査手
段１０５に通し、結果がＯＫの場合には、無線端末をPS
i であるものと認証する。結果がＮＧの場合には、不正
端末であるとして、処理を終了する。
…（ステップ105 ） （５）上記認証処理に成功した場合、無線端末と基地局
は、共通の暗号鍵を鍵共有手段１０６ａ、１０６ｂによ
り生成する。このとき、新たに情報の交換を行わず、上
記認証処理で交換した情報および自装置内に予め格納さ
れていた情報のみを利用する。
…（ステップ106 ） 上記手順のうち、（２）から（４）の無線端末の正当性
確認部分は、ＩＤ情報に基づく相手確認法あるいは、Ｉ
Ｄ情報に基づくディジタル署名法を利用したチャレンジ
・レスポンス方式で構成する。このような方法で構成す
ることの利点として次のことが挙げられる。 基地局側に必要な情報は、無線端末の識別番号と基地
局の公開情報、基地局の秘密情報のみであり、基地局が
分解されても無線端末の秘密情報は存在しない。さら
に、通信情報から無線端末の秘密情報は漏洩しない。従
って、無線回線上の情報の盗聴やニセ基地局相手に認証
処理を行った場合にも安全性が確保できる。無線端末の
作用させる乱数が秘密情報の漏洩を防ぐ。

【００４５】互いの装置が毎回乱数を作用させるの
で、ある時点で正当な無線端末から送信された認証情報
を通信回線上で盗み、それを再送したとしても、認証処
理を通過できない。

【００４６】で指摘したように、認証時に相手装置
の識別番号の送信が必要となるが、この情報は、認証処
理以前に送信される可能性があるため、通信量が削減で
きる。ＩＤ情報に基づく方式でないディジタル署名方式
（例えばＲＳＡ暗号など）を利用する場合には、無線端
末固有の公開情報とその正当性証明情報（Kohnfelderに
よるPublic Key Certificateなど）の送信が必要であ
り、その分通信量が増加する。

【００４７】ＩＤ情報に基づく相手確認法およびディジ
タル署名法の具体例には、次の方式がある。

【００４８】・Fiat-Shamir 法：A Fiat and A.Shamir,
“How to Prove Yourself ”,Proc.ofCRYPTO'86 ． ・拡張Fiat-Shamir 法：K.Ohta and T.Okamoto ,“ A M
odification of the Fiat-Shamir Scheme ”, Proc. of
CRYPTO'88． もしくは、L.C.Guillou and J.J. Quisquater,“A Prac
tical Zero-Knowledge Protocol Fitted to Security M
icroprocessors Both Transmission and Memory”,Pro
c. of EUROCRYPT'88. ・拡張Fiat-Shamir 法２：太田和夫、“ＲＳＡ暗号を利
用したＩＤに基づく認証方式とその応用”，第１１回情
報理論とその応用シンポジウム予稿集，pp.567-572. ・Beth法：T.Beth, “Efficient Zero-Knowledge Ident
ification Scheme for Smart Cards”, Proc. of EUROC
RYPT'88. 上記の中で通信量が少なく、無線端末システムの認証に
適する方式として、拡張Fiat-Shamir 法１と２が挙げら
れる。以降の実施例では、拡張Fiat-Shamir 法１による
相手確認法およびディジタル署名法を認証部分に利用し
ている。

【００４９】図１の手順（５）の鍵共有処理では、余分
な通信を必要としないため、全体の通信量は、（２）か
ら（４）の認証部分の通信量に等しい。認証部分の通信
量は、通常の相手確認の通信量と同じであるので、全体
の通信量が少ない。

【００５０】図３には、認証手順を拡張Fiat-Shamir 法
による署名により実現し、鍵共有手順をＤＨ鍵共有法に
より実現した実施例を示す。

【００５１】まず、サービス提供者は次の準備を行う必
要がある。まず、２つの素数ｐ，ｑを定め、その積をＮ
とする。また、（ｐ−１）と（ｑ−１）の最小公倍数を
Ｌとし、Ｌと互いに素である整数ｅを定める。さらに、
GF(p) ，GF(q) で共に原始根となる整数ｇを定める。ま
た、基地局の秘密情報ｔ（１＜ｔ＜Ｌ）を定め、基地局
の公開鍵Ｇを Ｇ＝ｇ^etmod Ｎ で求める。無線端末PSi に対しては、次式を満たす秘密
情報Ｓ_PSi を求め、秘密に発行する。

【００５２】Ｓ_PSi ^e ＝PSi mod Ｎ 但し、PSi は無線端末PSi の識別番号 さらに、一方向性の圧縮関数ｈ（）を定める。例えば、
ブロック暗号ＤＥＳ(Data Encryption Standard)のＣＢ
Ｃモードで構成した関数をｈ（）とする。

【００５３】以上で生成した情報を次のように管理す
る。 基地局の公開情報（全無線端末と全基地局に発行す
る）：Ｎ，ｇ，Ｇ，ｅ，ｈ（） 基地局の秘密情報（全基地局に発行する）：ｔ 無線端末の秘密情報（無線端末PSi に発行する）：Ｓ
_PSi サービス提供者の秘密情報：ｐ，ｑ，Ｌ 処理の手順は次のようになる。

【００５４】（１）無線端末は、基地局に自装置の識別
番号PSi を送信する。

【００５５】…（ステップ301 ） （２）基地局は、第１の乱数Ｒ１（１＜Ｒ１＜Ｎ）を生
成し、Ｒ１を無線端末に送信する。
…（ステップ302 ） （３）無線端末は、乱数ｒ（１＜ｒ＜Ｎ）を生成し、次
式の計算を実行する。

【００５６】 Ｒ２＝ｇ^r mod Ｎ Ｘ＝Ｒ２^e mod Ｎ Ｅ＝ｈ（Ｘ，Ｒ１） σ_PS＝Ｓ_PSi ^E ・Ｒ２mod Ｎ …（ステップ303 ） 認証情報σ_PSおよびＥを基地局に送信する。 …
（ステップ304 ） （４）基地局は、次式の計算を行う。

【００５７】Ｘ´＝σ_PS ^e ／ PSi^E mod Ｎ 無線端末から送信されたＥと次式の右辺が一致するかど
うか確認する。

【００５８】 Ｅ＝？ｈ（Ｘ´，Ｒ１） …（ステップ305 ） （５）基地局は、（４）において無線端末の正当性を確
認した場合、次の計算により暗号鍵Ｋを求める。

【００５９】 Ｋ＝Ｘ´^t mod Ｎ＝ｇ^{e ・r ・t} mod Ｎ …（ステップ306 ） 一方、無線端末は、次の計算により暗号鍵Ｋを求める。

【００６０】 Ｋ＝Ｇ^r mod Ｎ＝ｇ^{e ・r ・t} mod Ｎ …（ステップ307 ） 上記方式の鍵共有方式では、離散対数問題（Ｇ＝(g^e )
^t mod Ｎの値からｔの値を求めること。もしくは、Ｘ＝
(g^e ) ^r mod Ｎの値からｒの値を求めること）が困難で
ある限り、第三者は暗号鍵の値を求められない。

【００６１】上記方式の通信量は、法Ｎのサイズを512
ビット、一方向性関数ｈの出力を64ビット、乱数Ｒ１を
64ビットと仮定すると、640 ビットである。

【００６２】図４には、認証手順を拡張Fiat-Shamir 法
の署名方式で実現し、さらに、無線端末と基地局の安全
な装置構成を前提とした鍵共有方式による実施例を示
す。

【００６３】（１）無線端末は、基地局に自装置の識別
番号PSi を送信し、基地局は、無線端末に自装置の識別
番号CSj を送信する。 …（ステップ401 ） （２）基地局は、乱数Ｒ１（１＜Ｒ１＜Ｎ）を生成し、
無線端末に送信する。

【００６４】…（ステップ402 ） （３）無線端末は、乱数Ｒ２（１＜Ｒ２＜Ｎ）を生成
し、次式の計算を実行する。 Ｘ＝Ｒ２^e mod Ｎ Ｅ＝ｈ（Ｘ，Ｒ１） σ_PS＝Ｓ_PSi ^E ・Ｒ２mod Ｎ …
（ステップ403 ） 認証情報σ_PSおよびＥを基地局に送信する。 …
（ステップ404 ） （４）基地局は、次式の計算を行う。

【００６５】Ｘ´＝σ_PS ^e ／ PSi^E mod Ｎ 無線端末から送信されたＥと次式の右辺が一致するかど
うか確認する。

【００６６】 Ｅ＝？ｈ（Ｘ´，Ｒ１） …（ステップ405 ） （５）基地局は、（４）において無線端末の正当性を確
認した場合、自装置内の関数ｆ_CSj に無線端末の識別番
号PSi と乱数Ｒ１とＸ´を入力して共有鍵Ｋを求める。
…（ステップ40
6 ） 一方、無線端末は、自装置内の関数ｆ_PSi に基地局の識
別番号CSj と乱数Ｒ１とＸを入力して共有鍵Ｋを求め
る。 …（ステップ407 ） なお、乱数Ｒ１とＸ（あるいはＸ´）を利用する代わり
にＥを入力するようにしてもよい。

【００６７】上記方式の通信量は、図３に示す実施例と
同様640 ビットである。

【００６８】図４に示す実施例において（４）の鍵共有
部で利用する関数ｆ_psi (501) とｆ_CSj (502) の一例を
図５に示す。図５における関数ｆ(503) は秘密であり、
多入力の関数である。無線端末の識別番号PSi(504)と基
地局の識別番号CSj(505)、さらに認証処理で使用された
乱数情報(506) を入力する構成である。これらの乱数情
報の入力により、認証処理ごとに異なる鍵Ｋ(507) が共
有される。無線端末側の関数ｆ_PSi は、自装置の識別番
号PSi の関数ｆへの入力が変更できないように装置構成
されている。すなわち、PSi の入力(504) の部分に、他
の無線端末の識別番号PSj を入力することができないよ
うに構成されている。基地局側の関数ｆ_CSj も同様に、
自装置の識別番号CSj が変更できないように装置構成さ
れる。このように構成することにより、不正端末が無線
端末PSi と基地局CSj の間の鍵を共有することが不可能
になる。

【００６９】このような装置構成により暗号鍵の共有部
分を実現した場合、その装置構成を破られると鍵共有の
安全性は保証されない。しかし、このことは、認証部分
の安全性には、影響しない。

【００７０】次に、基地局と無線端末が相互に認証を行
いながら、鍵共有を行う方式の実施例を説明する。この
場合には、基地局にも、それぞれ固有の秘密情報Ｓ_CSj
が発行される。

【００７１】図６に無線端末と基地局の相互認証・鍵共
有方式の一基本構成を示す。

【００７２】（１）無線端末から基地局へ、無線端末の
識別番号PSi が送信される。また、基地局から無線端末
へ、基地局の識別番号CSj が送信される。

【００７３】…（ステップ601 ） （２）基地局は、第１の乱数Ｒ１を生成し、無線端末に
送信する。

【００７４】…（ステップ602 ） （３）無線端末は、第２の乱数Ｒ２を生成し、Ｒ１とＲ
２と秘密情報Ｓ_PSi とを認証情報作成手段により合成
し、認証情報σ_PSを得る。

【００７５】…（ステップ603 ） この認証情報σ_PSと第２の乱数Ｒ２を基地局に送信す
る。

【００７６】…（ステップ604 ） （４）基地局は、Ｒ１とＲ２と無線端末の識別番号PSi
と認証情報σ_PSを認証情報検査手段に通し、結果がＯＫ
の場合には、無線端末をPSi であるものと認証する。結
果がＮＧの場合には、不正端末であるとして、処理を終
了する。
…（ステップ605 ） さらに、Ｒ１とＲ２と秘密情報Ｓ_CSj とを認証情報作成
手段により合成し認証情報σ_CSを得る。
…（ステップ606 ） この認証情報σ_CSを無線端末に送信する。 …
（ステップ607 ） （５）無線端末は、Ｒ１とＲ２と基地局の識別番号CSj
と認証情報σ_CSを認証情報検査手段に通し、結果がＯＫ
の場合には、基地局をCSj であるものと認証する。結果
がＮＧの場合には、不正基地局であるとして、処理を終
了する。
…（ステップ608 ） （６）上記認証処理に成功した場合、無線端末と基地局
は、共通の暗号鍵を鍵共有手段により生成する。このと
き、新たに情報の交換を行わず、上記認証処理で交換し
た情報および自装置内に予め格納されていた情報のみを
利用する。
…（ステップ609 ） この手順は、図１の基本構成を双方向にしたものであ
る。図１の基本構成では、無線端末のみの認証を行う目
的で、乱数を基地局と無線端末のそれぞれが生成し、相
手装置に送信していた。上記手順では、相互の認証を行
う目的に対して、無線端末の認証のみを行う場合と同数
の乱数を利用することにとどめている。このときに不足
する乱数を補うために、一方向性のランダム関数を全装
置に備えておき、相手装置からの送信情報をランダム関
数に作用させた結果を利用する。通信により交換する乱
数が少なくなる分、通信量が減少する。

【００７７】図７には、拡張Fiat-Shamir 法による相手
確認による相互認証とＤＨ法による鍵共有法を融合した
実施例を示す。

【００７８】まず、サービス提供者は次の準備を行う必
要がある。まず、２つの素数ｐ，ｑを定め、その積をＮ
とする。また、（ｐ−１）と（ｑ−１）の最小公倍数を
Ｌとし、Ｌと互いに素である整数ｅを定める。さらに、
GF(p) ，GF(q) で共に原始根となる整数ｇを定める。無
線端末PSi に対しては、次式を満たす秘密情報Ｓ_PSiを
求め、秘密に発行する。

【００７９】Ｓ_psi ^e ＝PSi mod Ｎ 但し、PSi は無線端末PSi の識別番号 また、基地局CSj に対しても同様に次式を満たす秘密情
報Ｓ_CSj を求め、秘密に発行する。

【００８０】Ｓ_CSj ^e ＝CSj mod Ｎ 但し、CSj は基地局CSj の識別番号 さらに、一方向性の圧縮関数ｈ（）を定める。例えば、
ブロック暗号ＤＥＳ(Data Encryption Standard)のＣＢ
Ｃモードで構成した関数をｈ（）とする。

【００８１】以上で生成した情報を次のように管理す
る。

【００８２】システムの公開情報（全無線端末と全基
地局に発行する）：Ｎ，ｇ，ｅ，ｈ() 基地局の秘密情報（基地局CSj に発行する）：Ｓ_CSj 無線端末の秘密情報（無線端末PSi に発行する）：Ｓ
_PSi サービス提供者の秘密情報：ｐ，ｑ，Ｌ 処理手順は次の通り。

【００８３】（１）無線端末から基地局へ識別番号PSi
が送信される。一方、基地局から移動端末へ識別番号CS
j が送信される。 …（ステップ701 ） （２）基地局は、乱数ｒ１（１＜ｒ１＜Ｎ）を生成し、
次式の計算を行う。

【００８４】 Ｒ１＝ｇ^r1mod Ｎ Ｘ１＝Ｒ１^e mod Ｎ …（ステップ702 ） Ｘ１を無線端末に送信する。 …
（ステップ703 ） （３）無線端末は、乱数ｒ２（１＜ｒ２＜Ｎ）を生成
し、次式の計算を行う。

【００８５】 Ｒ２＝ｇ^r2mod Ｎ Ｘ２＝Ｒ２^e mod Ｎ …（ステップ704 ） Ｘ２を基地局に送信する。 …
（ステップ705 ） （４）基地局は、関数ｈにＸ２を入力することにより、
Ｅ１を得る。

【００８６】Ｅ１＝ｈ（Ｘ２） このＥ１と秘密情報Ｓ_CSj ，Ｒ１とから次式の計算を行
う。

【００８７】 Ｙ_CS＝Ｓ_CSj ^E1・Ｒ１mod Ｎ …（ステップ706 ） 認証情報Ｙ_CSを無線端末に送信する。 …
（ステップ707 ） （５）無線端末は、基地局CSj の正当性を次式の計算・
検査により行う。

【００８８】 Ｅ１＝ｈ（Ｘ２） Ｙ_CSe ＝？ CSj^E1・Ｘ１mod Ｎ この関係式が成立した場合には、基地局を正当であると
判断する。

【００８９】…（ステップ708 ） 検査が成功した場合、次式により認証情報Ｙ_PSを計算す
る。

【００９０】 Ｅ２＝ｈ（Ｙ１） Ｙ_PS＝Ｓ_PSi ^E2・Ｒ２mod Ｎ …（ステップ709 ） 認証情報Ｙ_PSを基地局に送信する。 …
（ステップ710 ） さらに、暗号鍵Ｋを次式の計算により求める。

【００９１】 Ｋ＝Ｘ１^r2mod Ｎ ＝ｇ^{e ・r1・r2}mod Ｎ …（ステップ711 ） （６）基地局は、無線端末PSi の正当性を次式の計算・
検査により行う。

【００９２】 Ｅ２＝ｈ（Ｙ１） Ｙ_CS ^e ＝？ PSi^E2・Ｘ２mod Ｎ この関係式が成立した場合には、無線端末を正当である
と判断する。

【００９３】…（ステップ712 ） さらに、暗号鍵Ｋを次式の計算により求める。

【００９４】 Ｋ＝Ｘ２^r1mod Ｎ ＝ｇ^{e ・r1・r2}mod Ｎ …（ステップ713 ） 上記方式の、ステップ702,706,708 は、基地局の正当性
に対する拡張Fiat-Shamir の相手確認法とみなすことが
できる。この中でＸ２を相手確認に利用する検証者の乱
数情報とみなしている。一方、ステップ704,709,712
は、無線端末の正当性に関する拡張Fiat-Shamir の相手
確認法とみなすことができる。この中で、Ｙ_CSを検証者
乱数情報とみなしている。Ｙ_CSの値は、ステップ707 の
時点まで無線端末には予測ができないので、こうした利
用が可能である。なお、上記方式では、基地局が先にそ
の正当性を証明する手順であるが、逆に無線端末が先に
正当性を証明する手順にしてもよい。

【００９５】上記方式は、従来技術の項に記述した岡本
−太田による鍵共有法とほぼ同様の手順であるが、上記
方式の特徴は、検証者の乱数Ｅ１、Ｅ２をそれぞれＸ
２、Ｙ１（前記手順ではＹ_CS）から生成するようにして
いる点である。このことにより、Ｅ１、Ｅ２の伝送が不
要となっている。Ｅ１、Ｅ２も伝送誤りの許されない情
報であることから、無線通信システムの認証・鍵共有で
は、前記図７の手順の方が通信量の少ない分だけ有効と
なる。

【００９６】上記方式の通信量は、法Ｎのサイズを512
ビットと仮定すると、2048ビットである。

【００９７】図８には、拡張Fiat-Shamir 法によるディ
ジタル署名と相手確認をそれぞれの認証方式に利用し、
鍵共有方式にＤＨ方式を利用した実施例を示す。

【００９８】処理手順は次の通り。

【００９９】（１）無線端末から基地局へ識別番号PSi
が送信される。一方、基地局から移動端末へ識別番号CS
j が送信される。 …（ステップ801 ） （２）基地局は、乱数ｒ１（１＜ｒ１＜Ｎ）を生成し、
次式の計算を行う。

【０１００】 Ｒ１＝ｇ^r1mod Ｎ Ｘ１＝Ｒ１^e mod Ｎ …（ステップ802 ） Ｘ１を無線端末に送信する。 …
（ステップ803 ） （３）無線端末は、乱数ｒ２（１＜ｒ２＜Ｎ）を生成
し、次式の計算により認証情報Ｙ_PSを求める。

【０１０１】 Ｒ２＝ｇ^r2mod Ｎ Ｘ２＝Ｒ２^e mod Ｎ Ｅ２＝ｈ（Ｘ１，Ｘ２） Ｙ_PS＝Ｓ_PSi ^E2・Ｒ２mod Ｎ …（ステップ804 ） Ｙ_PSとＥ２を基地局に送信する。 …
（ステップ805 ） （４）基地局は、次の手順により無線端末の認証を行
う。

【０１０２】 Ｘ２´＝Ｙ_PS ^e ／ PSi^E2mod Ｎ Ｅ２＝？ｈ（Ｘ１，Ｘ２´） この関係式が成立した場合には、無線端末を正当である
と判断する。

【０１０３】…（ステップ806 ） 検査に通った場合、次式により認証情報Ｙ_CSを計算す
る。

【０１０４】 Ｅ１＝ｈ（Ｙ_PS） Ｙ_CS＝Ｓ _CSj ^E1・Ｒ１mod Ｎ …（ステップ807 ） 認証情報Ｙ_CSを無線端末に送信する。 …
（ステップ808 ） さらに、暗号鍵Ｋを次式の計算により求める。

【０１０５】 Ｋ＝Ｘ２^r1mod Ｎ＝ｇ^{e ・r1・r2}mod Ｎ …（ステップ809 ） （５）無線端末は、基地局CSj の正当性を次式の計算・
検査により行う。

【０１０６】 Ｅ１＝ｈ（Ｙ_PS） Ｙ_CS ^e ＝？ CSj^E1・Ｘ１mod Ｎ この関係式が成立した場合には、基地局を正当であると
判断する。

【０１０７】…（ステップ810 ） さらに、暗号鍵Ｋを次式の計算により求める。

【０１０８】 Ｋ＝Ｘ１^r2mod Ｎ＝ｇ^{e ・r1・r2}mod Ｎ …（ステップ811 ） 図８の手順において、ステップ804 のＹ_PSは、Ｘ１に対
する拡張Fiat-Shamir署名となっている。一方、ステッ
プ802 のＸ１とステップ807 のＹ_CSは、拡張Fiat-Shami
r の相手確認法となっているとみなすことができる。こ
のとき、Ｙ_PSの値は基地局にとって予測できないもので
あり、これを相手確認法における乱数として利用してい
る。

【０１０９】上記方式の通信量は、法Ｎのサイズを512
ビット、一方向性関数ｈの出力値を64ビットと仮定する
と、1600ビットである。

【０１１０】次に、無線端末ＰＳが、制御局ＣＣによっ
て自分の公開鍵と無線端末のＩＤに関してなされたディ
ジタル署名をされたものを、基地局ＣＳに送信し、基地
局ＣＳがこれを無線端末ＰＳの認証に用いることで、不
正使用を防止する方式について述べる。

【０１１１】図９において、制御局ＣＣで、無線端末Ｐ
Ｓｉの公開鍵Ｋｅｉ及びＰＳｉのＩＤ番号ＩＤｉに対し
て、制御局ＣＣの秘密鍵Ｋｄｃｃによって署名を行う。
署名の結果Ｓ１をあらかじめ無先端末ＰＳｉに持たせ
る。

【０１１２】無線端末ＰＳｉは、認証開始時に、自らの
ＩＤ番号ＩＤｉと上記の署名の結果Ｓ１を、基地局ＣＳ
ｉに送信する。あらかじめ制御局ＣＣの公開鍵Ｋｅｃｃ
を記憶している基地局ＣＳｉは、署名の結果、Ｓ１を公
開鍵Ｋｅｃｃで検査を行い、出力された結果のうち、Ｉ
Ｄ番号にあたる部分が無線端末ＰＳｉのＩＤ番号ＩＤｉ
と同一か否かを比較する。この比較により、先の検査の
出力結果のうち残りの公開鍵の部分を無線端末ＰＳｉの
公開鍵Ｋｅｉと認識する。

【０１１３】次に、基地局ＣＳｉはあるメッセージＭを
無線端末ＰＳｉに送出する。受信した無線端末ＰＳｉ
は、メッセージＭに対してハッシュ関数を用いて圧縮処
理した結果に対して、無線端末ＰＳｉの秘密鍵Ｋｄｉを
用いて署名を行う。署名結果Ｓ２を基地局ＣＳｉへ送出
する。ＣＳｉは、署名結果Ｓ２を先の検査で出力された
無線端末ＰＳｉの公開鍵Ｋｅｉを用いて検査する。この
検査結果を、メッセージＭに対して無線端末ＰＳｉと同
一のハッシュ関数で圧縮処理した結果と比較し、認証に
用いることで、不正使用を防止することができる。

【０１１４】ここで、単純化のためハッシュ関数による
双方での圧縮処理を省略することも考えられる。また、
無線端末ＰＳｉに関する認証を考えたが、契約している
無線端末の使用者に関する認証に関しても、パーソナル
ＩＤの入ったＩＣカードを無線端末に挿入などの作用を
することにより、同様の効果を得ることができる。以下
の実施例でも同じことが言える。

【０１１５】本実施例に拠れば、制御局ＣＣ側に公開鍵
のＤＢを持たせたり、制御局ＣＣにアクセスすることな
く、公開鍵による認証を行うことができる。したがっ
て、マイクロセル方式を用いた場合に飛躍的に増大する
基地局ＣＳと制御局ＣＣや交換機などとの間でやりとり
される情報量を極力減らすことができる。

【０１１６】一方、マイクロセル方式では基地局ＣＳは
小形になり、設置場所も従来のビルの屋上などから、建
物の壁の低い位置など一般の通行人の目に触れやすい場
所になり、盗難の恐れが増える。また、一部は、電池駆
動になったり、制御局とのリンクを無線で張ったりする
ことが考えられ、この場合は、盗難の恐れがさらに増大
し、盗難された時の悪意を持った改造がより簡単になる
恐れがある。しかし、本実施例に拠れば、基地局ＣＳが
盗難されたとしても、慣用暗号を用いた認証のために用
いる秘密鍵をＲＯＭなどから読み出された場合に比べ、
偽の認証データの捏造や悪用の可能性は極めて低くな
る。

【０１１７】また、慣用暗号を用いた認証を採用した場
合、悪意をもって偽の基地局ＣＳを構成し、通話開始前
の認証用情報のやり取りから、端末に記憶されている秘
密鍵などの秘密情報を吸い上げてしまう行為を許してし
まう可能性がある。しかし、公開鍵暗号を用いた本実施
例に拠れば、このような行為を許す可能性はなくなる。
さらに、複数のサービス提供者の間で、相互ハンドオ
フサービスを行う場合、ハンドオフの際にあらためて認
証を必要とする可能性がある。このときも、制御局側に
アクセスすることなく認証が行えるため、ハンドオフに
かかる時間の短縮化にも寄与する。

【０１１８】加えて、無線端末ＰＳによる基地局ＣＳの
認証にも同様の手続きを適用することも考えられる。

【０１１９】図１０に示す実施例は、片方向のみの送受
信を用いることで、認証に要する時間の低減を図ったも
のである。

【０１２０】前半の署名の結果Ｓ１とＩＤ番号ＩＤｉの
伝送にかかわる処理は、図９に示す実施例と同様であ
る。

【０１２１】次に、無線端末ＰＳｉはあるメッセージＭ
に対してハッシュ関数を用いて圧縮処理した結果に対し
て、無線端末ＰＳｉの秘密鍵Ｋｄｉを用いて署名を行
う。署名結果Ｓ２とメッセージＭを基地局ＣＳｉへ送出
する。基地局ＣＳｉは、署名結果Ｓ２を先の検査で出力
された無線端末ＰＳｉの公開鍵Ｋｅｉを用いて検査す
る。この検査結果、メッセージＭに対して無線端末ＰＳ
ｉと同一のハッシュ関数で圧縮処理した結果と比較し、
認証に用いることで、不正使用を防止することができ
る。

【０１２２】ここで、単純化のためハッシュ関数による
双方での圧縮処理を省略することも考えられる。

【０１２３】本実施例では、署名結果Ｓ２とメッセージ
Ｍとの送出を連続して行い、署名結果Ｓ２の処理とメッ
セージＭの送出を時間的に並列に行うことができるた
め、認証に要する時間が低減できる。

【０１２４】ただし本実施例では、片方向のみの伝送が
行われるため、この一連の伝送の履歴を盗聴された場合
に、同一手順を踏むことによって認証手続きが破られる
恐れがある。しかし、メッセージＭに現在の年月日およ
び時刻を用いることなどによって、ある程度の安全性を
与えることができる。

【０１２５】図１１に示す実施例では、認証に要する情
報（以下、これを認証用情報と称する）を、適当な長さ
のバーストに分割し、個々のバーストについて自動再送
手順を用いるものである。

【０１２６】図１２、図１３に、仮定する２種類のバー
スト構成を示す。

【０１２７】図１２に示すバーストは、過渡応答用ラン
プタイムＲ（４ビット）、スタートシンボルＳＳ（２ビ
ット）、プリアンブルＰＲ（６ビット）、同期ワードＵ
Ｗ（１６ビット）、情報ビットＩ（１９６ビット）と１
６ビットのガードビットからなる。情報ビットＩは、図
１２（ｂ）に示すように、チャネル種別ＣＩ（４ビッ
ト）、低速付随制御チャネルＳＡ（１６ビット）、トラ
ヒックチャネルＴＣＨ（１６０ビット）、ＣＲＣ（１６
ビット）からなる。

【０１２８】図１３に示すバーストは、過渡応答用ラン
プタイムＲ（４ビット）、スタートシンボルＳＳ（２ビ
ット）、制御信号ＣＡＣ（６２ビット）、同期ワードＵ
Ｗ（３２ビット）、制御信号ＣＡＣ（１２４ビット）と
１６ビットのガードビットからなる。６２ビットの制御
信号ＣＡＣは、図１３（ｂ）に示すユーザ特定制御チャ
ネルＵＳＣＣＨであり、１２４ビットの制御信号ＣＡＣ
は、チャネル識別ＣＩ（４ビット）、発識別符号（４２
ビット）、着識別符号（２８ビット）、ユーザ特定制御
チャネルＵＳＣＣＨ（３４ビット）、ＣＲＣ（１６ビッ
ト）からなる。 図１２および図１３に示すバーストの
うちいずれのフォーマットも１６ビットのＣＲＣの検出
ビットを備えており、誤り検出が可能である。

【０１２９】図１２に示すフォーマットでは、１バース
トあたり情報ビットＩの１９６ビットがＣＲＣ検査ビッ
トとＣＲＣを掛けられるビットを加えた値である。図１
３に示すフォーマットでは、１バーストあたり制御信号
ＣＡＣの６２＋１２４＝１８６ビットがＣＲＣ検査ビッ
トとＣＲＣを掛けられるビットを加えた値である。

【０１３０】このうち、図１２に示すフォーマットで
は、１バーストあたり低速付随制御チャネルＳＡとトラ
ヒックチャネルＴＣＨの１６＋１６０＝１７６ビットが
認証用情報の送受に使用できる。また、図１３に示すフ
ォーマットでは、１バーストあたりユーザ特定制御チャ
ネルＵＳＣＣＨの６２＋３４＝９６ビットが認証用情報
の送受に使用できる。

【０１３１】このバースト構成に沿ったＣＲＣで誤りを
検出する機能を用いた時に、認証用情報を全て送り終え
るまでの時間を見積もる。ここでは、通信における呼損
率を１％とし、これと同じ程度の確率の失敗は許容する
ものとする。

【０１３２】ＣＲＣ１６ｂｉｔを用いたとき、本当は誤
りがあるのに見逃す確率は、２^-16、おおよそ1.5 ×10
^-5でおさえられる。これは上記の１％より十分小さいの
で、ＣＲＣはほぼ完全に誤りを発見できると仮定する。

【０１３３】このとき、伝送路の平均ビット誤り率をε
とすると、ＣＲＣ検査ビットとＣＲＣをかけられるビッ
トの計ｎビットが全て誤りなしで伝送できる確率（スル
ープット）ηは、η＝（１−ε）ⁿ となる。

【０１３４】ここで、伝送路のビット誤り率の最悪値10
^-2を当該伝送路がとるとすると、スループットηは、図
１２のフォーマットを用いた場合では、０．１３９，図
１３のフォーマットでは、０．１５４となる。

【０１３５】一方、認証方式として、ＲＳＡ、エルガマ
ルの両方式を候補とすると、署名をして送り返すビット
数は、５１２、１０２４、２０４８の３通りが考えられ
る。これだけのビット数を前述のフォーマットを用いて
分割して送る場合に必要なバーストの数をＫとすると、
図１２のフォーマットで５１２ビット送受するにはＫ＝
３であり、図１３のフォーマットで２０４８ビット送受
するには、Ｋ＝２２である。

【０１３６】また、認証に費やしてよい時間をｔ秒とす
ると、図１２、図１３のフォーマットとも１バースト送
信するのに５ミリ秒を要するから、ｔ秒間に送信できる
バーストの数はＮは、Ｎ＝ｔ／（５×10^-3）＝200tであ
る。

【０１３７】ここで、上記のビット数だけの認証用情報
を誤り無く全てを送ることに失敗する確立は、「スルー
プットηのパケット通進路で、Ｎ回パケットを送信した
が、Ｋ回未満しか誤り無く送れない確率Ｐ」に等しい。
すなわち、 Ｐ＝（１−η）^Ｎ＋_Ｎ ^Ｃ _１×η×（１−η）^Ｎ−１＋……… ………＋_Ｎ ^Ｃ _Ｋ−１×η^Ｋ−１×（１−η）^{Ｎ−Ｋ＋１} （１） このＰを計算すると、図１２のフォーマットで５１２ビ
ット送受する場合、Ｎ＝３０でＰは約６．９％、Ｎ＝６
０でＰは約０．７％となる。したがって９９．３％の確
率で認証用情報の送信を完了するには約０．３秒かか
る。図１３のフォーマットで２０４８ビット送受するに
は、Ｎ＝２００でＰは約２．９％、Ｎ＝２２５でＰは約
０．０５％となり、９９．９５％の確率で認証用情報の
送信を完了するには約１．１２５秒かかる。

【０１３８】なお、認証を受ける側が上記のような認証
用情報を送り返す前に、認証をする側が認証を受ける側
に送るデータの長さは、せいぜい上記の送り返す情報の
長さ以下である。

【０１３９】（１）の計算からわかるように、確率Ｐ
は、送信完了に必要なバーストの数によって大きく左右
される。

【０１４０】したがって、認証に関わる往復の伝送に必
要な時間は、図１２のフォーマットで５１２ビット送受
する場合では、最小０．３秒、最大０．６秒、図１３の
フォーマットで２０４８ビット送受する場合では、最小
１．１２５秒、最大２．２５秒となる。 また、通常の
ハードウェアで処理を行うＲＳＡ暗号を用いた認証の場
合、認証を受ける側が上記のような認証用情報を生成す
るのに必要な計算処理の時間は、０．１〜２秒程度であ
る。

【０１４１】したがって、認証に伴う情報の送受と処理
に要する時間は、合計すると０．４〜４．２５秒程度と
なる。

【０１４２】本実施例に拠れば、確実な認証用情報の送
受が、比較的短い時間で可能となる利点がある。

【０１４３】なお、ここでは誤り検出符号のみを適用し
たが、誤り訂正符号を併用し、伝送路のスループットを
向上することも考えられる。

【０１４４】図１４に示す実施例では、認証用情報を、
適当な長さのバーストに分割し、複数回送信するもので
ある。

【０１４５】ここでは、既述の第２の実施例のバースト
構成例を利用して説明する。

【０１４６】既述の通り、認証方式として、ＲＳＡ、エ
ルガマルの両方式を候補とすると、署名をして送り返す
ビット数は、５１２、１０２４、２０４８の３通りが考
えられる。これだけのビット数を前述のフォーマットを
用いて分割して送る場合に必要なバーストの数をＫとす
ると、図１２のフォーマットで５１２ビット送受するに
はＫ＝３であり、図１３のフォーマットで２０４８ビッ
ト送受するには、Ｋ＝２２である。

【０１４７】ここで、必要な各バーストの送出回数をＮ
とする。スループットηのパケット通進路で、Ｎ回パケ
ットを送信して少なくとも１回誤り無く送ることのでき
る確率は、１−（１−η）^Ｎである。

【０１４８】このＮ回の送出を分割数Ｋだけ繰り返した
とき、Ｋ個の分割したバーストが全て少なくとも１回誤
り無く送ることのできる確率は、 ｛１−（１−η）^Ｎ｝^Ｋ （２） この確率を９９％以上にするために必要な各バーストの
送出回数Ｎを（２）式から計算すると、図１２のフォー
マットで５１２ビット送受する場合、３９回となる。し
たがって９９％の確率で認証用情報の送信を完了するに
は （０．００５秒×３９）×３＝０．５８５秒 かかる。図１３のフォーマットで２０４８ビット送受す
るには、４６回となり、９９％の確率で認証用情報の送
信を完了するには （０．００５秒×４６）×２２＝５．０６５秒 かかる。

【０１４９】また既述の通り、認証を受ける側が上記の
ような認証用情報を送り返す前に、認証をする側が認証
を受ける側に送るデータの長さは、せいぜい上記の送り
返す情報の長さ以下である。

【０１５０】（２）の計算からわかるように、認証用情
報送出に必要な時間は、分割バースト数Ｋに大きく左右
される。

【０１５１】したがって、認証に関わる往復の伝送に必
要な時間は、図１２のフォーマットで５１２ビット送受
する場合では、最小０．６秒、最大１．２秒、図１３の
フォーマットで２０４８ビット送受する場合では、最小
５．１秒、最大１０．２秒となる。

【０１５２】また、通常のハードウェアで処理を行うＲ
ＳＡ暗号を用いた認証の場合、認証を受ける側が上記の
ような認証用情報を生成するのに必要な計算処理の時間
は、０．１〜２秒程度である。

【０１５３】したがって、認証に伴う情報の送受と処理
に要する時間は、合計すると０．７〜１２．２秒程度と
なる。

【０１５４】この実施例に拠ると、送出回数が固定であ
るため、あらかじめ処理時間が算出できるという利点が
ある。これを生かすと、認証情報の処理と他の制御情報
の処理とを並列処理する際にスケジューリングを用意に
行うことができる。

【０１５５】また、図１１に示す実施例と比較して、比
較的認証用情報の長さが短い場合に適しているといえ
る。

【０１５６】図１５に示す実施例では、暗号化情報の復
号に伴う誤り検出機能を用いるものである。

【０１５７】認証にＲＳＡ暗号を用いる場合、暗号利用
モードのうち、ＥＣＢ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｄ
ｅ Ｂｏｏｋ）モードとＣＢＣ（Ｃｉｐｈｅｒ Ｂｌｏ
ｃｋＣｈａｉｎｉｎｇ）モードを用いることが考えら
る。この二つのモードを利用した場合、伝送路上で１ビ
ット誤った場合、復号側ではブロック全体、あるいはブ
ロック全体および次のブロックにわたって誤りが波及す
る。

【０１５８】通常、暗号化する前のデータは、例えばＡ
ＳＣＩＩコード表に従う、あるいは２進化１０進数を用
いるなど、なんらかのフォーマットに従うようにされ
る。

【０１５９】したがって、ブロック全体に誤りが拡散し
た復号後のデータは、フォーマットに合わないことで、
当該ブロックの伝送の際に誤りが発生したことを検出で
きる。 図１５は、ＥＣＢモードで、図１２に示すフォ
ーマットを用いた場合の例を示す。認証方式としてＲＳ
Ａ方式を考える場合、署名をして送り返すビット数は、
５１２、１０２４の２通りが考えられる。ここでは５１
２ビットを考えると、分割して送る場合に必要なバース
トの数Ｋは３となる。これを連続して送信し、受信側で
は順次復号し、フォーマットに合うか否かを判断する。
ここで、全てのバーストが送られてくるまで待つことな
く、フォーマットに合うか否かを判断できる部分から判
断をあらかじめ行うことで誤り発生検出を早い段階で行
うことも考えられる。誤り発生を検出した場合には、認
証を行う側に再送要求を出す。

【０１６０】また、無線端末ＰＳから基地局ＣＳへの認
証用情報の送信には、ＣＲＣなどの誤り訂正ビットを設
け、基地局ＣＳから無線端末ＰＳへの認証用情報の送信
には、誤り訂正ビットを設けず、暗号の復号に伴う誤り
検出機能を用いることも考えられる。

【０１６１】また上述の例とは逆に、基地局ＣＳから無
線端末ＰＳへの認証用情報の送信には、ＣＲＣなどの誤
り訂正ビットを設け、無線端末ＰＳから基地局ＣＳへの
認証用情報の送信には、誤り訂正ビットを設けず、暗号
の復号に伴う誤り検出機能を用いることも考えられる。

【０１６２】この実施例に拠ると、ＣＲＣなどの誤り検
出専用のビットをバーストの中に設ける必要がなくな
り、情報速度の向上、あるいは信号の狭帯域化が可能に
なる。暗号専用の処理装置や高速の演算装置を用いる
と、認証処理と誤り検出が同時に非常に短時間で行うこ
とができる。

【０１６３】

【発明の効果】以上述べたように本発明によれば、無線
通信システムにおける無線端末の正当性確認と鍵共有を
同時に、通信量少なく実現できる。また、無線端末と基
地局相互の正当性確認と鍵共有を実現する場合にも、従
来方式よりも通信量が少なくなる。

【図面の簡単な説明】

【図１】 無線端末の認証方式および無線端末と基地局
の鍵共有方式の基本構成を表す図

【図２】 無線通信システムの構成図

【図３】 第１の実施例である無線端末の認証・鍵共有
手順を示す図

【図４】 第２の実施例である無線端末の認証・鍵共有
手順を示す図

【図５】 第２の実施例中の鍵共有関数の構成を示す図

【図６】 無線端末と基地局の相互認証方式と鍵共有方
式の基本構成を表す図

【図７】 第３の実施例である無線端末と基地局の相互
認証・鍵共有手順を示す図

【図８】 第４の実施例である無線端末と基地局の相互
認証・鍵共有手順を示す図

【図９】 認証のシーケンスを示す図。

【図１０】 片方向のみの送受信を用いた認証のシーケ
ンスを示す図。

【図１１】 認証用情報をバーストに分割し、自動再送
手順を用いた場合の説明図。

【図１２】 バーストのフォーマット図

【図１３】 バーストのフォーマット図

【図１４】 認証用情報をバーストに分割し、複数回送
信する場合の説明図。

【図１５】 暗号化情報の復号に誤り検出機能を用いる
場合の説明図。

【符号の説明】

ＣＣ……制御局 ＣＳ……基地局 ＰＳ……無線端末

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小倉 浩嗣 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝総合研究所内

Claims (1)

【特許請求の範囲】
1. 【請求項１】 複数の無線端末と該無線端末からの通信
   情報を伝送・交換するネットワーク側装置としての複数
   の基地局および制御局から構成され、各無線端末は装置
   固有の第１の秘密情報と基地局の公開情報を有し、前記
   各基地局は、基地局の第２の秘密情報を有する無線通信
   システムであって、 前記基地局が第１の乱数を生成して前記無線端末に送信
   する工程と、 前記無線端末が第２の乱数を生成し、基地局の公開情報
   を用いて変換することにより鍵配送情報を生成し、前記
   第１の乱数と前記鍵配送情報と前記第１の秘密情報から
   認証情報を生成して鍵配送情報と認証情報を前記基地局
   に送信する工程と、 前記基地局が、前記第１の乱数と前記鍵配送情報と前記
   認証情報が、所定の関係を満たすことを確認する工程
   と、 前記基地局が前記第１の乱数と前記鍵配送情報と前記認
   証情報が、所定の関係を満たすことを確認すると、前記
   無線端末が前記第２の乱数と前記システムの公開情報か
   ら暗号鍵を求める工程と、 前記基地局が、鍵配送情報と基地局の秘密情報から暗号
   鍵を求める工程と、を具備し、 前記基地局が前記無線端末の正当性を確認することを特
   徴とする無線通信システムの通信方法。