JPH1041932A - 暗号キー回復方法及び装置 - Google Patents

暗号キー回復方法及び装置

Info

Publication number
JPH1041932A
JPH1041932A JP9071500A JP7150097A JPH1041932A JP H1041932 A JPH1041932 A JP H1041932A JP 9071500 A JP9071500 A JP 9071500A JP 7150097 A JP7150097 A JP 7150097A JP H1041932 A JPH1041932 A JP H1041932A
Authority
JP
Japan
Prior art keywords
key
shared
value
generating
recovery
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP9071500A
Other languages
English (en)
Other versions
JP3560439B2 (ja
Inventor
Donald B Johnson
ドナルド・バイロン・ジョンソン
Paul A Karger
ポール・アシュレイ・カーガー
Charles W Kaufman Jr
チャールズ・ウィリアム・カウフマン、ジュニア
Stephen M Matyas Jr
ステファン・マイケル・メイトヤズ、ジュニア
Marcel M Yung
マーセル・モードシェイ・ユング
Nevenko Zunic
ネベンコ・ズニック
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JPH1041932A publication Critical patent/JPH1041932A/ja
Application granted granted Critical
Publication of JP3560439B2 publication Critical patent/JP3560439B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Abstract

(57)【要約】 （修正有） 【課題】 異なるエンティティの競合する要求を取り扱
うキー回復システムを提供する。 【解決手段】 複数のｍビット共有キー部分（Ｐ、Ｑ）
が発生され個々のキー回復エージェントに共有される。
一方、共有されないｎビットの非共有キー部分（Ｒ）が
発生される。共有キー部分（Ｐ、Ｑ）が結合されたｍビ
ット値と非共有キー部分（Ｒ）とが連結された（ｍ＋
ｎ）ビット値により暗号キーが発生される。暗号システ
ムは第三者のいずれの結合に対しても（ｍ＋ｎ）ビット
の効果的作業ファクタを有する。ｎの量は、権限あるキ
ー回復を容易にするために選択され、ｍの量は、第三者
による解読を困難とするために選択される。発生された
キーを用いて暗号通信を許可する前に、共有キー部分が
キー回復エージェントに共有されていたことを検証す
る。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、暗号キー回復シス
テムに関し、特に、一対の通信パーティにより使用され
る暗号キーを発生すると同時に１又は複数のキー回復エ
ージェントを用いてその回復を行う方法及び装置に関す
る。
【０００２】
【従来の技術】データ暗号システムは、データ処理シス
テムにおいて周知である。一般に、これらのシステム
は、平文入力ブロックに対して暗号キーを用いて暗号文
出力ブロックを発生する暗号化オペレーションを実行す
ることにより動作する。暗号化されたメッセージの受信
者は、平文ブロックを再生するために対応する復号キー
を用いて復号化オペレーションを実行する。
【０００３】暗号システムは、一般的に２つの範疇に包
含される。対称（すなわち、専用キー）暗号システムに
は、ＤＥＳ(Data Encryption Standard)システム等があ
り、メッセージの暗号化及び復号化の双方において同じ
秘密キーを用いる。ＤＥＳシステムにおいては、６４ビ
ットの平文ブロックを暗号文ブロックへ変換するため
に、あるいはその逆の変換をするために、独立に指定可
能な５６ビットのキーが用いられる。
【０００４】一方、非対称（すなわち、公開キー）暗号
システムでは、暗号化及び復号化において互いのキーか
らは容易に導出できない別々のキーを用いる。メッセー
ジを受信しようとする者は、一対の対応する暗号キーと
復号キーを発生する。暗号キーは公開的なものとされる
が、その対応する復号キーは秘密のまま保持される。受
信者と通信しようとする者は誰でも、その受信者の公開
キーを用いてメッセージを暗号化することができる。一
方、専用キーをもっているのは受信者のみなので、受信
者のみがそのメッセージを復号化することができる。お
そらく最もよく知られた非対称暗号システムは、その創
作者であるRivest、Shamir、及びAdlemanにちなんで名
付けられたＲＳＡシステムである。
【０００５】非対称暗号システムは、一般的に、対称暗
号システムよりも演算上の負担が大きいが、暗号キー伝
送用の安全なチャネルを必要としないという利点を有す
る。それ故に、対称暗号キー等の非常に不安定なデータ
の同時伝送のために非対称暗号システムがしばしば用い
られている。
【０００６】全てのタイプのデータ暗号システムが、政
府情報機関及び法執行機関から関心をもたれてきた。な
ぜなら、権限のない第三者による解読を防止するのと同
じ暗号の強固さによって、平文データへアクセスしよう
とする合法的根拠をもつ情報機関や法執行機関の職員に
よる解読も防止されるからである。このような観点から
政府は、強力な暗号システムの使用若しくは輸出を禁止
したり、キー全数探索（すなわち、正しいキーが見つか
るまで系統的に全ての可能なキーを試験すること）によ
る攻撃を受け易い弱体化したキーの使用に対する認可を
調整したりしてきた。このような弱い暗号システムは、
権限のある政府職員に対すると同様に権限のない第三者
に対しても脆弱であるという明白な欠点を有する。
【０００７】このジレンマの解決策の１つは、暗号キー
をキー回復エージェントと共有する、いわゆるキー回復
システムを使用することである。キー回復エージェント
は、十分な信任（例えば、裁判所命令等）を提示された
場合に政府要求者に対してそのキーを明らかにするが、
その他の場合にはそのキーを秘密状態に保持する。キー
回復システムは、情報機関及び法執行機関の職員による
合法的な関心の問題を解決すると同時に、無権限の第三
者による攻撃に対して強力に対抗する暗号システムの使
用を可能とする。このようなシステムの幾つかは、D.
E. Denning及びD. K. Branstadによる「A Taxonomy for
Key Escrow Encryption Systems」（Communications o
f the ACM, vol. 39, no. 3, Mar. 1996, pp. 34-40）
に記載されている。
【０００８】最近開発されたキー回復システムの１つ
は、１９９５年１２月１５日出願の米国特許出願第０８
／５７３２２８号「DIFFERENTIAL WORK FACTOR METHOD
AND SYSTEM」、並びに、同じ発明の名称による同日出願
の米国特許出願第０８／５７３１１０号に開示されてい
る。
【０００９】上記米国特許出願に記載のシステムでは、
１又は複数の国の各々におけるキー回復エージェントに
対して、暗号キーの一部のみが開示される。従って、当
該出願に記載のように、暗号キーの一部がキー回復エー
ジェントに与えられることにより、（裁判所命令に従っ
て）そのキー部分に対するアクセスを有するエンティテ
ィは、その暗号キー全体ではなく残りのキー・ビットを
確認するするだけでよい。キー回復エージェントへ与え
られるこのキー部分のサイズは、残りのキー部分の回復
に包含される作業ファクタを完全に排除するのではない
が実行容易なレベルにまで低減させるようなサイズとさ
れる。一方、権限のない第三者に対する作業ファクタ
は、この「差動作業ファクタ」の概念では同じレベルの
ままとなる。
【００１０】上記米国特許出願に開示されたシステム
は、それ以前のキー回復システムの欠点の多くを解決す
るが、不正なすなわち信用できないキー回復エージェン
トの問題が残されている。キー回復エージェントへ与え
られる部分キー情報へのアクセスにより、（ある程度の
困難はあるが）暗号キー全体の発見が可能だからであ
る。このセキュリティの暴露は、暗号システムの所与の
ユーザにとっては重大な問題である。彼らは、自らが制
御できないキー回復エージェントへ重要なキー情報を託
すことを躊躇するであろう。
【００１１】
【発明が解決しようとする課題】本発明の目的は、政
府、企業顧客、ハードウェア及びソフトウェアの提供
者、法執行機関、並びに個人を含む数名の異なるエンテ
ィティの競合する要求を取り扱うキー回復システムを提
供することである。
【００１２】本発明の更なる目的は、ソフトウェア又は
ハードウェアにより実施可能なキー回復システムを提供
することである。
【００１３】本発明の更なる目的は、メッセージ作成又
は接続セットアップの間、第三者との通信を必要としな
いキー回復システムを提供することである。
【００１４】本発明の更なる目的は、複数の権限保持者
に対して同時にキーを与えることが必要な場合であって
も、異なる国々におけるユーザ間の相互操作機能を実現
するキー回復システムを提供することである。
【００１５】本発明の更なる目的は、公開されている周
知のアルゴリズムを用いるキー回復システムを提供する
ことである。
【００１６】本発明の更なる目的は、設計が開放されて
おりかつ公開された仕様に基づいて多数のベンダーによ
り実施可能なキー回復システムを提供することである。
【００１７】本発明の更なる目的は、各国について独立
したキー回復機能を行うキー回復システムを提供するこ
とである。
【００１８】本発明の更なる目的は、単一のシステムに
おいて、異なる環境におけるセキュリティの異なるレベ
ルに対するフレキシビリティを実現するキー回復システ
ムを提供することである。
【００１９】本発明の更なる目的は、法律により許可さ
れ得る最高レベルの暗号セキュリティを実現するキー回
復システムを提供することである。
【００２０】本発明の更なる目的は、単一の不正ポイン
ト（すなわち、不正なキー回復エージェント）に対して
防御するキー回復システムを提供することである。
【００２１】本発明の更なる目的は、全ての形態の電子
通信をサポートするキー回復システムを提供することで
ある。
【００２２】本発明の更なる目的は、スケーラブルな解
決手段を実現するキー回復システムを提供することであ
る。
【００２３】本発明の更なる目的は、蓄積交換型環境及
び対話型環境の双方をサポートするキー回復システムを
提供することである。
【００２４】本発明の更なる目的は、導入のために第三
者との通信を必要としない（すなわち、「箱から出して
直ちに」稼動する）キー回復システムを提供することで
ある。
【００２５】本発明の更なる目的は、キーを回復させる
ために複数のキー回復エージェントの協同を必要とする
ポリシー・オプションをサポートするキー回復システム
を提供することである。
【００２６】本発明の更なる目的は、外部の検証者が
（キー回復キーへのアクセスなしで）、キー回復値が本
発明の修整なしのシステムに従っているというある程度
の信頼性を得ることができるキー回復システムを提供す
ることである。
【００２７】本発明の更なる目的は、キー回復値の送信
を避ける本発明の修整されたシステムが、キー回復値を
有効と認める必要のある修整なしのシステムと相互に動
作できないようなキー回復システムを提供することであ
る。
【００２８】
【課題を解決するための手段】本発明は、前述の米国特
許出願に開示された「差動作業ファクタ」のシステムに
基づく。本発明においては、通信の行われている国の法
令及び規則に従って、ホストの国々内のキー回復エージ
ェントに対して１又は複数のキー部分を与える。それで
も尚ユーザは、いずれのキー回復エージェントにも知ら
れていないそのキーの一部を保持することができる。こ
の特徴は、仮にこの特徴がないとすればキー回復システ
ムの使用を躊躇するユーザも満足させるはずである。
【００２９】単純な例により、本発明を簡単に説明す
る。この例は、政府に対しては単一ＤＥＳ作業ファクタ
のみを提示しながら、権限のない第三者に対しては三段
ＤＥＳ保護を実現する方法を実証する。Ｘ国内の通信パ
ーティが、１６８ビット・キーのＹ国内の通信パーティ
と通信しようとすることを想定する。これを実行するた
めに２つの通信パーティは、それらがランダムに発生す
る２８０ビット値（ＰＱＲ）を使用する。最初の２つの
１１２ビット部分（Ｐ及びＱ）が、排他的ＯＲ論理によ
り処理されて１つの１１２ビット値が発生される。この
１１２ビット値が残りの５６ビット部分（Ｒ）へ付加さ
れて、１６８ビットの結果値が発生される。５６ビット
のＲ値は、いずれの者に対しても明らかにされることは
ない。そして、１６８ビット結果値に対して単方向ハッ
シュ関数を用いることにより、セッション・キー（又
は、これらの通信パーティにより用いられる他のいずれ
かのキー）が導出される。
【００３０】Ｐ値は、各国内の一人のキー回復エージェ
ントの公開キーを用いて暗号化される。Ｑ値は、各国内
の別のキー回復エージェントの公開キーを用いて暗号化
される。従って、一人のキー回復エージェントが不正で
あってＰ値が漏れた場合でも、まだＱ値が攻撃者に知ら
れていなければ問題を生じない。Ｑ値又はＲ値のいずれ
も知られていなければ、攻撃者は、通信を解読するため
になお１６８ビット・キーを破る必要がある。ユーザに
とってこの解決手段は、キー全体が１又は複数のキー回
復エージェントに知られているシステムに比べてより好
ましいものである。２つの国が通信するとき、Ｐ及びＱ
の暗号化された値が、暗号化ファイルに先行する。この
解決手段は、電子メッセージを傍受可能であることを前
提とする。
【００３１】上記の例では、説明のために１６８ビット
・キーが用いられた。しかしながら、一般的には、Ｐ及
びＱの値と、Ｒの値とは、独立して変えることができか
つ各国について調整することができる。
【００３２】本発明の好適な実施例においては、大きな
フレキシビリティが得られる。例えば、本発明は、各国
の法令及び規則に適応可能でありかつ適応させやすい。
キーの共有部分（Ｐ、Ｑ）の長さ及び非共有部分（Ｒ）
の長さについては、構造的フレキシビリティがある。二
国間の通信については、Ｒの長さの下限に関してキー回
復規約をデフォールトにできるため、作業ファクタを軽
減することができる。キー管理は、今日の標準的技術慣
習に従って様々な方法で行うことができる。
【００３３】法執行機関は、確実に、キー回復エージェ
ントから常に正しい情報を与えられる。法執行機関は、
その情報を暗号化し、その暗号化情報と傍受された暗号
化ブロックとの一致性を比較するだけでよい。これによ
り政府は、潜在的に「不正な」キー回復エージェントを
識別することができる。
【００３４】キーは、セッション・レベルにおいて「使
用可能とされる」。これにより、コンパートメント化を
実現し、権限のある裁判所命令を介して暗号化データへ
の適切なアクセスを実現する。公開キー・アルゴリズム
の専用キーをキー回復エージェントと共有することは、
良いアイデアではない。なぜなら、それは、他へ送信さ
れるメッセージではなく他から受信された暗号化メッセ
ージへのアクセスを行うものだからである。さらに、こ
のことは、適切なコンパートメント化を強要するために
これらのキーをしばしばロールオーバーさせてしまう。
これについては、Y. Frankel及びM. Yungによる「Escro
w Encryption Systems Visited: Attacks, Analysis an
d Designs」(Crypto '95 Conference Proceedings, Au
g. 1995)を参照されたい。
【００３５】本発明は、暗号化データへの権限あるアク
セスに関する政府の要望に対し、商業的に受け入れ可能
な解決策を提供する。
【００３６】本明細書では、「回復」という用語は、大
体において「使用可能とする」ことを意味するために用
いられる。秘密の値は、様々な方法で使用可能とするこ
とができる。それは、暗号化されて第三者に対して使用
可能とされるか、あるいは、暗号化されて暗号化データ
と共に伝送される。この場合、それは、電子的手段を介
してアクセスされなければならない。この明細書中の実
施例では、後者の手法を説明する。
【００３７】本発明においては、十分な情報を含むセッ
ション・コンテキストを送信する。これにより、（１）
受信者がキーを導出することができ、（２）受信者が関
連するキー回復情報を検証することができ、（３）権限
あるエンティティがキーの構成要素を回復することがで
きる。
【００３８】「差動作業ファクタ」は、政府又は機関の
方針決定の一部として設定することができる。すなわ
ち、政府又は機関は、いずれのキー回復エージェントに
も知られていないキーの一部をユーザが保持することを
認める。この特徴は、キー回復システムの使用に関して
懸念を抱いていたユーザを満足させるものであろう。
【００３９】本発明は、別々の国に所在するユーザと権
限あるキー回復エージェントとの通信の必要性の問題を
解決する。本発明は、多様な暗号アルゴリズム及びキー
の長さに対して適用可能である。しかしながら、本明細
書の目的から、キーの全長が１６８ビットである三段Ｄ
ＥＳの例を用いることとする。
【００４０】本発明は、キー回復エージェントと共に機
能する公開キー暗号を想定する。本発明は、ユーザ間で
のキー分散のための公開キー暗号の使用を想定しない。
本明細書中でのキー分散の例は公開キー暗号のみを用い
るけれども、ソフトウェアをある程度修正すればケルベ
ロス(Kerberos)・システム等の対称キー・システムも同
様に使用できる。
【００４１】本発明は、ユーザ及びキー回復エージェン
トの公開キーが認証されることを想定する。これを実現
する手順及び機構は、技術的に周知であり、本発明には
含まれない。
【００４２】各国が多数のキー回復エージェントを使用
していると想定する。各キー回復エージェントは、それ
自身の公開キーと専用キーの対（例えば、１０２４ビッ
トのＲＳＡキー）を作成する。使用される暗号設備は、
様々なサイズのキーを処理することができる。各キー回
復エージェントは、専用キーを秘密状態に保持し、公開
キーを公開する。
【００４３】好適には、キー回復エージェントの公開キ
ー、それらの認証者の公開キー、又はこれらの公開キー
を取得するための安全な手段が、クライアントのハード
ウェア若しくはソフトウェアに設けられる。これによ
り、「箱から出して直ちに」稼動できるターンキー・シ
ステムとして暗号製品を出荷することができる。本発明
のキー回復システムを構成するシステムは、好適には、
そのシステムが設置されて稼動することになる国を示す
国別ＩＤにより予めコンフィギュレーションされる。さ
らに、ユーザもまた、キー回復プロトコルにより必要と
される他の情報を用いてシステムをコンフィギュレーシ
ョンできる。
【００４４】キー回復機能のみを具備する暗号製品にお
いては、本発明は、アプリケーション・プログラムが直
接暗号アルゴリズムを呼び出すことによりキー回復シス
テムを迂回することを防止する。暗号アルゴリズムが呼
び出されると、キー回復システムは、必ずキー回復プロ
トコルの各ステップを踏ませるようにする。すなわち、
このプロトコル・ステップが無事に完了するまでは、ア
プリケーション・プログラムやユーザがデータの専用暗
号化に用いられるキーを使用できないようにされてい
る。
【００４５】ロールオーバーによる公開キーの置き換え
においても注意を払うべきである。
【００４６】本発明は、２つの修整されたシステムが相
互動作できるようにすることは課題としない。二人のユ
ーザは、常に、本発明とは関係なく「彼ら自身のことを
する」ことができる。加えて本発明は、喪失したキー若
しくは忘却されたキーの問題を解決するものでもない。
この問題を解決するとすれば、他の機構により解決しな
ければならない。
【００４７】本発明は、専用ハードウェアとして、汎用
デジタル・コンピュータ上で実行されるソフトウェアと
して、又は、これら２つの組合せとして実施可能であ
る。「ソフトウェア」とは、本明細書に記載の方法ステ
ップを実行するべくマシンにより読取り可能でありかつ
マシンにより実行可能な命令のプログラムを具現化する
直接アクセス記憶装置（ＤＡＳＤ）若しくは読取り専用
メモリ（ＲＯＭ）等のプログラム記憶装置によることを
意味する。
【００４８】
【発明の実施の形態】図１は、別々の国に所在して個人
的に通信したいと考えている二人のユーザのために暗号
キーを発生する本発明の手順１００を簡単に示した図で
ある。慣用的に、これらの通信者を、「アリス」及び
「ボブ」と称することとする。図２では、アリスがＸ国
に、ボブがＹ国に所在しており、そして２つのシステム
は通信チャネルを介して接続されていると仮定してい
る。（本明細書では、特に明示しない限り、「アリス」
及び「ボブ」はそれらのシステムを称している。）
【００４９】この例では、二人のユーザ（アリスとボ
ブ）のみを含むが、通信は、三人以上のユーザの間でも
可能である。さらに、Ｘ国及びＹ国を例として示した
が、本発明は、１つの国内（及び１組のキー回復エージ
ェント）全体で使用することも可能である。
【００５０】互いに通信するためにアリスとボブは、先
ず、（明確にするために）ＰＱＲ値と称されるランダム
に発生された秘密の値１０２に関して同意する。ＰＱＲ
値１０２は、ｍビットのＰ値１０４と、ｍビットのＱ値
１０６と、ｎビットのＲ値１０８とからなる。図１に示
す例では、ｍが１１２であり、ｎが５６であるが、ｍ及
びｎは、他の値を用いてもよい。
【００５１】後述する方法により、Ｐ値１０４が各国に
おける第１のキー回復エージェントに共有される一方、
Ｑ値１０６が各国における第２のキー回復エージェント
に共有される。Ｒ値１０８は、ユーザであるアリスとボ
ブの間で共有される秘密として保持され、他のいずれの
エンティティへも明かされない。Ｒ値１０８は、ＰＱＲ
値１０２の一部を構成しており、これは、Ｐ値１０４及
びＱ値１０６をキー回復エージェントから取得した後で
あっても権限ある通信パーティ（情報機関及び法執行機
関等）が使用可能な暗号手段を用いて確認しなければな
らない。従って、Ｒ値１０８の長さは、協調して行動す
る特定の国のキー回復エージェントに対する暗号手順の
強固さを決定する。この例では、Ｐ、Ｑ、及びＲのサイ
ズは、Ｘ国及びＹ国において同じである。
【００５２】暗号キーを発生するために、Ｐ値１０４及
びＱ値１０６は、互いに排他的ＯＲ（ＸＯＲ）論理によ
り、すなわち、ビット単位モジュロ２加算（符号１１
０）により処理され、１１２ビットの結果値（符号１１
２）を生成する。 Ｐ ＸＯＲ Ｑ この例ではＸＯＲオペレーションを用いたが、他の結合
オペレーションを替わりに用いることもできる。
【００５３】その後、結果値１１２はＲ値１０８と連結
され、１６８ビットの中間値１１４を生成する。 （Ｐ ＸＯＲ Ｑ）‖Ｒ （特に明示しない限り、本明細書中において「連結」
は、ビットを交互配置することを含む。）
【００５４】その後、中間値１１４は、１又は複数回
（予測可能な方法で僅かに入力を変えつつ）ハッシュ処
理され（符号１１６）、そして発生されたハッシュ値か
ら最終的なキー値１１８が抽出される。例えば、単一Ｄ
ＥＳ暗号化においては５６ビットのキー値１１８が抽出
され、三段ＤＥＳ暗号化においては５６ビットのキー値
が３個抽出される。
【００５５】図１に示した例では、ＰＱＲ値１０２は、
Ｘ国及びＹ国の各々についてＰ値１０４、Ｑ値１０６、
及びＲ値１０８へ同じように分割される。しかしながら
一般的には、図３乃至図５に示すように国によって分割
の仕方を変えてもよい。
【００５６】図３乃至図５の例では、アリスが、秘密の
開始ＰＱＲ（ＳＰＱＲ）値２０２を発生する。ＳＰＱＲ
値は、（２ｍ＋２ｎ）ビットを含む。すなわち（上記の
例で仮定したように）ｍを１１２としｎを５６とする
と、ＳＰＱＲ値は３３６ビットを含む。ＳＰＱＲ値２０
２は、等しい長さの２つの部分からなる。すなわち、１
６８ビットの左半分２０４及び１６８ビットの右半分２
０６である。（一般に、ＳＰＱＲを半分に分割すること
は、偶数ビットを一方の半分とし奇数ビットを他方の半
分とする等、任意の方法で行われる。）左半分２０４は
さらに分割されて、Ｐ部分２０８とＲ１部分２１０を生
成する。一方、右半分２０６もさらに分割されて、Ｑ部
分２１２とＲ２部分２１４を生成する。（同様に、左右
の半分２０４及び２０６をさらに分割することも任意の
方法で行われる。）Ｒ１とＲ２とを排他的ＯＲ（ＸＯ
Ｒ）論理で処理することにより（符号２１６）、Ｒ値２
１８が得られる。 Ｒ＝Ｒ１ ＸＯＲ Ｒ２ Ｐ部分２０８及びＱ部分２１２は、権限あるキー回復エ
ージェントに対して使用可能とされる。Ｒ１部分２１０
及びＲ２部分２１４並びに導出されたＲ値２１８は、ユ
ーザにより保持される。
【００５７】この例においてＲ値２１８を発生する方法
では、Ｐ、Ｑ、及びＲの長さを国によって変えることが
できる。従って、Ｒ１、Ｒ２及びＲの長さは、「０」で
もよい。この場合、ＰがＳＰＱＲ値２０２の１６８ビッ
ト左半分２０４の全体からなり、Ｑが１６８ビットの右
半分２０６の全体からなる。一方、Ｐ及びＱの長さを
「０」としてもよい。この場合、Ｒ１がＳＰＱＲ値２０
２の１６８ビット左半分２０４の全体からなり、Ｒ２が
１６８ビットの右半分２０６の全体からなる。さらに一
般的には、その国の要件に従って、Ｒの長さを、「０」
から左右の半分２０４及び２０６の長さ（この例では、
１６８ビット）までの範囲で変えてもよい。
【００５８】図３に示す例では、各国の二人のキー回復
エージェントへそれぞれの共有キー部分（Ｐ及びＱ）を
与えるために、２つの（ｍ＋ｎ）ビット量が発生され
る。しかしながら、この手順は、各国に三人以上のキー
回復エージェントが存在する場合には、３個以上の共有
キー値を与えるように容易に適応させられる。図１５を
参照すると、共有キー部分にｍビットあり、非共有キー
部分にｎビットあり、そして各国にＮ個のキー回復エー
ジェントがある場合、ユーザはＮ個の（ｍ＋ｎ）ビット
値Ｈ１〜ＨＮを発生する。そして、各（ｍ＋ｎ）ビット
値であるＨｉのｍビット（Ｐｉ）を共有キー部分として
異なるキー回復エージェントへ与える。そして各（ｍ＋
ｎ）ビット値Ｈｉの残りのｎビットをＸＯＲ処理して非
共有キー値Ｒを発生する。そして、ｍビットの共有キー
部分Ｐｉを互いにＸＯＲ処理（符号８０４）し、その結
果（Ｐ）をＲと連結して値（符号８０６）を発生し、さ
らに値８０６を１又は複数回ハッシュ処理する（符号８
０８）ことにより、キーＫが発生される。
【００５９】図４及び図５は、国によるＳＰＱＲ値２０
２の分割の仕方の例を示す。この例では、Ｘ国に所在す
るアリスが５６ビットのＲ値２１８（＝ｒ１ ＸＯＲ ｒ
２）を用いる（図４参照）。アリスは、ＳＰＱＲ２０２
の左半分２０４を１１２ビットのＰｘ部分２２０と５６
ビットのｒ１ｘ部分２２２へ分割し、同様に、右半分２
０６を１１２ビットのＱｘ部分２２４と５６ビットのｒ
２ｘ部分２２６へ分割することによりこれを行う。
【００６０】一方、Ｙ国に所在するボブは、０ビットの
Ｒ値を用いる（図５参照）。ボブは、ＳＰＱＲ２０２の
左半分２０４を１６８ビットのＰｙ部分２２８と長さ
「０」のｒ１ｙ部分（図示せず）へ（名目上の意味にお
いて）分割し、同様に、右半分２０６を１６８ビットの
Ｑｙ部分２３０と長さ「０」のｒ２ｙ部分（図示せず）
へ（名目上）分割することによりこれを行う。
【００６１】アリスのＰ値及びＱ値であるＰｘ（２２
０）及びＱｘ（２２４）は、Ｘ国により権限を認められ
たキー回復エージェントの公開キーを用いて暗号化され
る。一方、ボブのＰ値及びＱ値であるＰｙ（２２８）及
びＱｙ（２３０）は、Ｙ国により権限を認められたキー
回復エージェントの公開キーを用いて暗号化される。暗
号化されたＰ値及びＱ値は、後述するように、暗号化デ
ータと共に伝送されることによりキー回復エージェント
に対して「使用可能とされる」。図３乃至図５に示した
例においては、アリスが、ｒ１ｘ（２２２）及びｒ２ｘ
（２２６）から計算された５６ビットのＲ値（Ｒｘ）を
有し、アリスはこのＲ値をいずれの第三者に対しても明
かさない。ボブのｒ１ｙ及びｒ２ｙは長さ「０」（すな
わち、ヌル）であるので、ボブは対応するＲｙ値をもた
ない。
【００６２】図６乃至図１３は、アリスとボブとの間で
ＰＱＲ値を確立する手順を示している。この例では、Ｘ
国にいるアリス（送信者）が、Ｙ国にいるボブ（受信
者）に対して暗号化メッセージを送ろうとしている。こ
の場合、Ｘ国及びＹ国は、異なるサイズのＲ値（ＳＰＱ
Ｒの明かされない部分）を要求する。
【００６３】概略を述べると、アリスのシステムは、プ
ロトコル情報を格納するセッション・ヘッダ３１２を作
成し（図７参照）、セッション・ヘッダ３１２に記憶さ
れた情報から暗号キーＫ（１１８）を発生し、キーＫを
用いて第１のメッセージ（メッセージ１）を暗号化する
ことにより暗号化メッセージ１を発生する（図８参
照）。セッション・ヘッダ３１２及び暗号化メッセージ
１（３１４）は、ボブへ送られる。ボブのシステムは、
先ず、ヘッダ３１２内のプロトコル情報に対して整合性
検査を行う。検査を無事終えると、ボブのシステムは、
セッション・ヘッダ３１２内の情報を用いて暗号キーＫ
を再発生する。その後、キーＫは、アリスから受信され
たメッセージ１（３１４）を復号化するために用いられ
る。
【００６４】開示された例では、セッション・ヘッダ３
１２は、セッションを構成する１又は複数のメッセージ
のうち最初のメッセージ３１４のみへ付加される。別の
例としては、各メッセージがそれ自身のヘッダ３１２を
有してもよい（この場合、セッション・ヘッダというよ
りもむしろメッセージ・ヘッダというべきであろう）。
【００６５】この手順を、さらに詳細に説明する。図１
０を参照すると、ステップ５０２においてアリスのシス
テムが、３３６ビットの秘密の開始ＰＱＲ（ＳＰＱＲ）
値２０２（図３参照）を発生することにより開始され
る。ＳＰＱＲ値２０２は、図１に示す手順を用いて秘密
キーＫ（１１８）を発生するためにアリスとボブの双方
により用いられる。キーＫは、メッセージを暗号化及び
復号化するために用いられる。これは、ＳＰＱＲの１６
８ビットの左半分と１６８ビットの右半分とを排他的Ｏ
Ｒ論理で処理して図１に示す中間値（Ｐ ＸＯＲ Ｒ）‖
Ｒを形成することにより実行される。その後、図１に示
すキー導出プロセスが続けられる。
【００６６】次にステップ５０４においてアリスは、本
質的にキー配送用であるボブの公開キーを用いてＳＰＱ
Ｒ値２０２を暗号化し、暗号化ＳＰＱＲ値であるＳＰＱ
Ｒ′を発生する。（各ユーザは、キー配送用に１つの公
開キーと専用キーの対を用い、そして署名用に別の公開
キーと専用キーの対を用いると想定する。）暗号化され
たＳＰＱＲ′値は、暗号キーと論理的に等価であり、次
のように評価される。 ＳＰＱＲ′＝ｅＰＵｂ(ＨＡＳＨ(Ｔ１)；ＳＰＱＲ；Ｓ
ＡＬＴ０) ここで、ＰＵｂは、受信者（ボブ）の公開キーであり、
ＳＰＱＲは、ステップ５０２で発生されたＳＰＱＲ値２
０２（図３参照）であり、ＳＡＬＴ０は、１６０ビット
の秘密のランダム値であり、ＨＡＳＨ(Ｔ１)は、秘密で
はないハッシュ値（好適には、１２８若しくは１６０ビ
ット）であり、そしてＴ１は、後述する秘密ではない回
復情報である。
【００６７】ＳＡＬＴ０は、暗号化ＳＰＱＲ値であるＳ
ＰＱＲ′を保護する。たとえ元のＳＰＱＲ値２０２の一
部が知られたとしても、残りの部分については、暗号化
値ＳＰＱＲ′に対して全数探索を行う攻撃を介しては見
出すことはできない。さらにＳＡＬＴ０は、公開単方向
関数への入力としても用いられ（ここで、「単方向」は
通常の暗号の意味で用いられる）、４個の更なるＳＡＬ
Ｔ値（ＳＡＬＴ１、ＳＡＬＴ２、ＳＡＬＴ３、及びＳＡ
ＬＴ４）を発生する。４個のＳＡＬＴ値は、後述する方
法でＰ値及びＱ値を暗号化するために用いられる。単方
向関数は、ＳＡＬＴ０からＳＡＬＴ１〜ＳＡＬＴ４を容
易に計算するが、これらの導出されたＳＡＬＴ値のいず
れからもＳＡＬＴ０は演算上容易に発生できないように
する。
【００６８】ＨＡＳＨ(Ｔ１)は、公開単方向ハッシュ関
数を用いて回復情報Ｔ１に対して計算されたハッシュ値
である。ＨＡＳＨ(Ｔ１)は、Ｔ１内の情報に対する「逆
署名」の形態を与える。逆署名は、情報を１つの秘密へ
強固に結合させる。何人も逆署名を計算することができ
るが、暗号化ブロックの中の全ての秘密を知っている
（そしてそれにより公開キーを用いて暗号化ブロックを
再生できる）か又は公開キーを知っている（そしてそれ
によりそれらの秘密を直接回復できる）ユーザのみが、
逆署名を検証することができる。逆署名に関する更なる
詳細は、D. B. Johnson及びS. M. Matyasによる「Enhan
ced Optimal Asymmetric Encryption: Reverse Signatu
res and ANSI X9.44」(Proceedings of the 1996 RSA D
ata Security Conference, San Francisco, CA, 1996)
を参照されたい。
【００６９】ＳＰＱＲ、ＳＡＬＴ０、及びＨＡＳＨ(Ｔ
１)の値は、ブロックの形にされ（図１１参照）、処理
され、そしてボブの公開キーを用いて暗号化される。好
適には、これは上記文献に記載の拡張最適非対称暗号手
順(enhanced optimal asymmetric encryption procedur
e)を用いて行われるが、他の手順も同様に用いることが
できる。
【００７０】次にステップ５０６においてアリスは、ス
テップ５０２で発生されたＳＰＱＲ値２０２を用いて、
Ｘ国及びＹ国について適切なＰｘ値２２０、Ｑｘ値２２
４、Ｐｙ値２２８、及びＱｙ値２３０（図４及び図５参
照）を導出する。そして、Ｘ国及びＹ国のそれぞれにつ
いて権限あるキー回復エージェントの公開キーを用いて
これらの値を暗号化し、暗号化されたＰ値及びＱ値であ
るＰｘ′値、Ｑｘ′値、Ｐｙ′値、及びＱｙ′値を発生
する。
【００７１】暗号化されたＰ値及びＱ値は、秘密のＳＰ
ＱＲ値２０２の、キー回復エージェントに対して「使用
可能とされた」部分である。すなわち、これらは、権限
ある裁判所命令若しくは他の公的機構によりキー回復エ
ージェントから得ることができる。暗号化されたＰ値及
びＱ値は、次のように定義される。 Ｐｘ′＝ｅＰＵｘ１(ＨＡＳＨ(Ｔ１);Ｐｘ;ＳＡＬＴ１) Ｑｘ′＝ｅＰＵｘ２(ＨＡＳＨ(Ｔ１);Ｑｘ;ＳＡＬＴ２) Ｐｙ′＝ｅＰＵｙ１(ＨＡＳＨ(Ｔ１);Ｐｙ;ＳＡＬＴ３) Ｑｙ′＝ｅＰＵｙ２(ＨＡＳＨ(Ｔ１);Ｑｙ;ＳＡＬＴ４) ここで、ＰＵｘ１はＸ国についてのキー回復エージェン
ト１の公開キー、ＰＵｘ２はＸ国についてのキー回復エ
ージェント２の公開キー、ＰＵｙ１はＹ国についてのキ
ー回復エージェント１の公開キー、そしてＰＵｙ１はＹ
国についてのキー回復エージェント２の公開キーであ
る。
【００７２】Ｐｘ及びＱｘは、Ｘ国における権限あるキ
ー回復エージェントに対して「使用可能とされた」Ｐ値
２２０及びＱ値２２４（図４参照）である。Ｐｙ及びＱ
ｙは、Ｙ国における権限あるキー回復エージェントに対
して「使用可能とされた」Ｐ値２２８及びＱ値２３０
（図５参照）である。ＳＡＬＴ１、ＳＡＬＴ２、ＳＡＬ
Ｔ３、及びＳＡＬＴ４は、ステップ５０４において発生
された１６０ビットの秘密の導出値である。ＨＡＳＨ
(Ｔ１)は、ステップ５０４において発生された１２８ビ
ット又は１６０ビットの秘密でないハッシュ値である。
Ｔ１は、ステップ５０４における秘密でない回復情報で
ある。
【００７３】ＳＡＬＴ１〜ＳＡＬＴ４は、暗号化された
Ｐ値及びＱ値を保護する。仮にＰ値又はＱ値の一部が知
られたとしても、残りの部分は、暗号化されたＰ値又は
暗号化されたＱ値に対して全数探索を行う攻撃を介して
は見出すことができない。例えば、Ｐｘ及びＱｘが、そ
れぞれＰｙ及びＱｙの正式のサブセットである状況を考
える。仮にＰｘ及びＱｘが権限ある裁判所命令を介して
キー回復エージェントから取得されたとしても、Ｒを回
復するタスクは、先ず（Ｒの部分を回復するために）Ｐ
ｙ及びＱｙを探りその後Ｒの残りの部分を探ることによ
り、それほど簡単にはならない。等しい値の２つのブロ
ックが異なる公開キーを用いて暗号化される状況を避け
るべく、ＳＡＬＴ１〜ＳＡＬＴ４の値が異なるように特
に設定されている。
【００７４】暗号化ＳＰＱＲ値に存在するＨＡＳＨ(Ｔ
１)もまた、暗号化されたＰ値及びＱ値に含まれる。こ
れにより、暗号化されたＰ値又はＱ値に対する回復情報
Ｔ１の強固な結合が得られる。従って、キー回復エージ
ェントは、暗号化されたＰ値又はＱ値が提示された裁判
所命令に記載された条件を満足するか否かを判断するた
めの手段を与えられる。
【００７５】Ｐ値又はＱ値、ＳＡＬＴ値、及びＨＡＳＨ
(Ｔ１)は、ブロックの形とされ（図１２参照）、処理さ
れ、そしてキー回復エージェントの公開キーを用いて暗
号化される。好適には、これは、上述のD. B. Johnson
らによる文献に記載の拡張最適非対称暗号化手順を用い
て行われるが、他の手順を用いることもできる。
【００７６】暗号化ステップ５０４及び５０６に続いて
アリスは、ステップ５０８において、暗号化ＳＰＱＲ′
値（３０４）、暗号化Ｐ値及びＱ値（３０６）、及び回
復情報Ｔ１（３０８）を含むセッション・コンテキスト
・ブロック３０２を発生する（図６参照）。
【００７７】ステップ５１０においてアリスは、彼女の
個人的署名を用いてセッション・コンテキスト３０２に
デジタル的に署名し、署名３１０を発生する（図７参
照）。署名３１０は伝送される分量を互いに結合させ、
そして署名３１０によりボブは、受信された暗号化ＳＰ
ＱＲ３０４が、承認を求めた送信者アリスから発せられ
たことを認める。ステップ５１２において署名３１０が
セッション・コンテキスト３０２へ付加され、セッショ
ン・ヘッダ３１２を構成する（図７参照）。（別の例と
して、署名を避けたい場合には署名を省略してもよ
い。）
【００７８】最後に、ステップ５１８において、セッシ
ョン・ヘッダ３１２及び暗号化メッセージ１（３１４）
を含むパケット３１６がボブへ送信される。
【００７９】図１３では、パケット３１６（図８参照）
をアリスから受信したボブのシステムが、先ずステップ
６０２において、アリスの公開署名キーを用いてセッシ
ョン・コンテキスト３０２に対して署名３１０の有効性
を検証する。
【００８０】その後ステップ６０４において、ボブは、
彼の専用復号キーを用いて暗号化されたＳＰＱＲ値３０
４（図６参照）を復号化し、元のＳＰＱＲ値２０２（図
３参照）を取得する。
【００８１】その後ステップ６０６において、ボブは、
受信された暗号化Ｐ値及びＱ値３０８を有効と認める。
これは、復号化されたＳＰＱＲ値２０２からＰｘ、Ｑ
ｘ、Ｐｙ、及びＱｙの値を再構成し、各国（Ｘ及びＹ）
の権限あるキー回復エージェントの公開キーを用いてこ
れらの値を暗号化し、そしてこれらの生成された値がア
リスから受信された暗号化Ｐ値及びＱ値と等しいことを
比較することにより行われる。
【００８２】その後ステップ６０８において、ボブは、
以前にアリスにより用いられた手順を用いて復号化され
たＳＰＱＲ値２０２からキー１１８（図１）を再生す
る。これは、ステップ６０６においてアリスから正しい
暗号化Ｐ値及びＱ値を受信したことを判断した後にのみ
行われる。ステップ６１０において、ボブのシステムに
対して要求しているアプリケーション・プログラムにキ
ー１１８が与えられることにより、そのプログラムがア
リスからの暗号化メッセージ１（３１４）を復号化する
ことができる。
【００８３】回復情報Ｔ１が設けられることにより、
（１）ボブは、各キー回復エージェントにおける暗号化
ＳＰＱＲ値３０４並びに暗号化Ｐ値及びＱ値３０６を有
効と認めることができ、（２）キー回復エージェント
は、それぞれ自身の暗号化Ｐ値及びＱ値を有効と認める
ことができる。
【００８４】図９は、回復情報Ｔ１の構成を示す図であ
る。送信者ＩＤ４０２により受信者は、セッション・コ
ンテキスト３０２に関して送信者により発生された署名
３１０を有効と認めるために必要な認証された公開キー
を取得することができる。
【００８５】受信者ＩＤ４０６により受信者は、メッセ
ージ３１４が実際に彼若しくは彼女宛てのものであるこ
とを判断することができる。
【００８６】発信国の国別ＩＤ４０４及び宛先国の国別
ＩＤ４０８により、受信者は、同等の暗号化Ｐ値及びＱ
値を再生してそれらが受信された暗号化Ｐ値及びＱ値３
０６と等しいことを比較することによりそのセッション
・コンテキスト３０２の内容を有効と認めることができ
る。
【００８７】送信者及び受信者のキー回復エージェント
ＩＤ４１０及び４１２により、受信者は、真正のキー回
復エージェントが本発明の手順に従って用いられたこと
を認めることができる。さらに、これらのＩＤ４１０及
び４１２により、取得される各キー回復エージェントの
公開キーの認証ができる。またさらに、キー回復エージ
ェントＩＤ４１０及び４１２によって法執行機関は、い
ずれのキー回復エージェントがユーザの暗号化Ｐ値及び
Ｑ値３０６を復号化できるかを知ることができる。各ユ
ーザについてデフォールトのキー回復エージェントＩＤ
４１０及び４１２を、Ｘ．５０９バージョン３認証(X.5
09 version 3 certificate)の付加部分として伝送する
ことができる。
【００８８】（任意の）固有セッションＩＤ４１４によ
り、送信者及び受信者がそのセッションを識別すること
ができる。
【００８９】暗号期間４１６は、キー使用の開始及び終
了の日付及び時間により指定される。Ｐ値及びＱ値は、
裁判所命令の期間がキーの暗号期間の一部と重ならない
限り渡されない。キー回復システムは、比較的短い暗号
期間（例えば、１日未満）を設定し得る。この期間は国
の方針決定による場合もある。このことからセッション
・コンテキスト３０２は、必然的に動的にセットアップ
され、送信者と受信者との間で伝送されなければならな
い。
【００９０】作成日／時間４１８は、セッション・コン
テキスト３０２が作成された日付及び時間（ＵＴＣコー
ド化）を表す。受信者は、整合性検査の一部としてその
日付及び時間を検査する。Ｐ値及びＱ値へアクセスする
ためには、その日付及び時間が裁判所命令の期間内に含
まれていなければならない。
【００９１】暗号アルゴリズムＩＤ４２０により、本発
明の手順をパラメータ化することができる。すなわち、
Ｐ値、Ｑ値、及びＲ値のサイズを、データ暗号化に用い
られる暗号アルゴリズムに依存させることができる。
【００９２】各ユーザについての公開キー認証は、Ｘ．
５０９バージョン３認証標準(X.509version 3 Certific
ate Standard)に従うと想定する。バージョン３の拡張
により、ユーザＩＤ、国別ＩＤ、第１のキー回復エージ
ェントＩＤ及び第２のキー回復エージェントＩＤ等、Ｐ
ＱＲプロトコルについての所与の必要な情報を保持でき
ることが望ましい。さらに、送信者及び受信者の公開キ
ー認証が、ＰＱＲシステムに対して使用可能とされなけ
ればならない。従って、キー配送を実行する目的でユー
ザの公開キーが使用可能とされるとき、キー回復を行う
ために必要な情報もまた使用可能となり、有効と認めら
れる。認証は、この情報を伝送するに自然な場所と考え
られる。ユーザのキー回復情報をユーザの公開キー認証
に一体化することにより、ユーザがＰＱＲシステムを誤
って使用する場合が少なくなる。誤った使用とは、例え
ば、好都合なキー回復オプションを用いて異なる国別Ｉ
Ｄを要求すること等である。
【００９３】対称キー暗号システム（Kerberos等）を用
いてキー配送が実行されるシステムにおいては、キー配
送センター（ＫＤＣ）により同じ情報を記憶しかつ与え
られることができる。さらにＫＤＣは、暗号化Ｐ値及び
Ｑ値を準備することができる。暗号化Ｐ値及びＱ値に対
して整合性検査を実行するためには、Kerberosの特殊な
バーションが必要とされる。
【００９４】本発明のシステムにより必要とされる情報
は、図１４に示す大域通信テーブル７００と称されるテ
ーブルに記憶される。大域通信テーブル７００は、特定
のアルゴリズム及び異なる国々に所在するユーザについ
てのキー並びにＰ、Ｑ、及びＲのサイズをシステムが計
算できるように情報を格納する。さらに大域通信テーブ
ル７００は、各国で権限を認められたキー回復エージェ
ントの公開キーも格納できる。テーブル中の数字は、本
発明の許容するフレキシビリティを実証するためだけの
例示である。変形については、事実上制限がない。特
に、各国は多数のキー回復エージェントを有することが
できる。
【００９５】各国間通信においては、本発明のシステム
は、ボブの公開キー認証又は相当するシステム・コンフ
ィギュレーション情報からボブの国別ＩＤを決定するこ
とができる。アリスの発信国の国別ＩＤ及びボブの宛先
国の国別ＩＤを用いて、システムは、アリス及びボブが
使用できる最大のキー長さを計算する。この値は、２つ
のキーの値のうち小さい方である。例えば、ＤＥＳにお
けるＸ国についてのキー値が６４ビット、Ｙ国について
のキー値が１２８ビットの場合、６４ビットが選択され
る。
【００９６】国別ＩＤ＝ＸのアリスについてのＰｘ、Ｑ
ｘ及びＲｘの長さ、並びに、国別ＩＤ＝Ｙのボブについ
てのＰｙ、Ｑｙ及びＲｙの長さが計算される。この場
合、ＰＱＲシステムでは、発信国及び宛先国により必要
とされるビット数のみの回復が可能である。従って、
Ｐ、Ｑ及びＲのサイズは、国によって変化する可能性が
ある。しかしながら、(Ｐｘ ＸＯＲ Ｑｘ)‖Ｒｘのサイ
ズ及び値は、常に、(ＰｙＸＯＲ Ｑｙ)‖Ｒｙのサイズ
及び値と等しくなるので、アリス及びボブにより確実に
同じキー値が計算される。
【００９７】本発明は、関連する国々の輸出入規定に従
って、本発明を組み込んだシステムと本発明を省いたシ
ステムとの間の相互動作性を実現する。非ＰＱＲシステ
ムは、双方の国にキー回復の必要性がない場合以外は、
送信者として動作することができずかつＰＱＲシステム
と通信することができない。これは、受信するＰＱＲシ
ステムが、セッション・コンテキストを有効と認めるた
めに必要なセッション・コンテキスト内の暗号化Ｐ値及
びＱ値を調べようとするからである。ＰＱＲシステム
は、送信者にとって受信者についてのデフォールトのキ
ー回復情報セットを決定する手段がない限り、送信者と
して動作できずかつ非ＰＱＲシステムと通信することが
できない。仮に送信者が受信者についての国別ＩＤを決
定することができ、そしてＰＱＲスキームが各国につい
ての２つのデフォールトのキー回復エージェントのＩＤ
を与えたとすれば、ＰＱＲシステムは、送信者として動
作でき、そして受信者として動作する非ＰＱＲシステム
と通信できるであろう。しかしながら、それでもなお受
信者は、セッション・コンテキスト内の受信したＰＱＲ
値を用いて同じキー導出アルゴリズムを使用する必要が
あるであろう。
【００９８】暗号化ＳＰＱＲ及び暗号化Ｐｘ、Ｑｙ、Ｐ
ｙ、及びＱｙの値に用いられるランダム態様のＳＡＬＴ
１〜ＳＡＬＴ４は、これらが正しいとボブが検証できる
ような方法で発生されなければならない。ボブは、キー
回復エージェントに属する専用キーを知らないので、こ
れを行う唯一の方法は、キー回復エージェントの公開キ
ーを用いて平文値を暗号化し、それらが受信された値と
等しいか否かを比較することである。
【００９９】このことは、暗号化されたＰｘ、Ｑｘ、Ｐ
ｙ、及びＱｙの値の中のＳＡＬＴ値が、暗号化ＳＰＱＲ
値の中のＳＡＬＴ値から導出可能でなければならないこ
とを意味する。これを行う方法の１つは、ＳＡＬＴ０に
対してカウント・フィールドを付加し、その結果を単方
向ハッシュ関数によりハッシュ処理することにより、暗
号化Ｐｘ、Ｑｘ、Ｐｙ、及びＱｙの値のそれぞれについ
て疑似ランダムＳＡＬＴ値（ＳＡＬＴ１、ＳＡＬＴ２、
ＳＡＬＴ３、及びＳＡＬＴ４）を生成することである。
カウントは、セッション・コンテキスト内の暗号化Ｐ値
又はＱ値の順序を表す数値を含む。この方法を行うこと
により、暗号化Ｐｘ、Ｑｘ、Ｐｙ、及びＱｙの値の中の
導出される全てのＳＡＬＴ値が独立に現れる。不正なキ
ー回復エージェントは、導出された１つのＳＡＬＴ値を
用いて別の暗号化Ｐ値又はＱ値のセキュリティを弱める
ことができない。権限ある要求者にＰ値又はＱ値を供給
することに加えて、キー回復エージェントは、使用済み
の導出されたＳＡＬＴ値もまた供給することができる。
これにより権限ある要求者は、キー回復公開キーを用い
て、キー回復エージェントにより正しい復号化が行われ
たことを検証することができる。
【０１００】権限ある要求者は、セッション・コンテキ
ストへアクセスする。これを行う手段は、ＰＱＲフレー
ムワークにおいて特定されない。権限ある要求者及びキ
ー回復エージェントの双方が、セッション・コンテキス
トに対するデジタル署名を検証することにより、そのセ
ッション・コンテキストがＰＱＲフレームワークに従っ
ているというある程度の信頼性を得ることができる。こ
こで、この検証は、いつでも誰でも、そして所望すれば
何度でも行うことができる。なぜなら、秘密でない値の
みが署名プロセスへ入力されるからである。
【０１０１】権限ある要求者及びキー回復エージェント
の双方は、ユーザＩＤ及び日付／時間値が有効であるこ
と、すなわち、キー回復要求を処理するための許可の際
に指定されたことを検証することができる。他の公開情
報もまた、適切であるとして有効性を認められる。
【０１０２】本発明に基づいて暗号化された情報に対し
て合法的にアクセスするために、法執行機関は、先ず、
指定された期間に指定された目標に対して盗聴を行うた
めの許可証すなわち裁判所命令を取得する。次に、法執
行機関は、暗号化データを収集するために通信を傍受し
なければならない。次に、法執行機関は、裁判所命令と
共に暗号化Ｐ値及びＱ値をキー回復エージェントへ持ち
込む。キー回復エージェントは、個人的にＰ値及びＱ値
を復号化し、裁判所命令に対してＩＤ及び日付を検査す
る。裁判所命令の全ての要件に適合していたならば、エ
ージェントは、復号化されたＰ値及びＱ値を法執行機関
に渡す。その後、法執行機関は、Ｐ値とＱ値とを互いに
ＸＯＲ処理し、全キーを導出するためにＲ値に関して全
数探索を行い、そして導出されたキーを用いてその情報
を復号化する。Ｒ値に関する全数探索の必要性は、広範
囲のキー回復を行うためにキー回復エージェントが法執
行機関と共謀しているかもしれないという潜在的問題に
対処するためである。この全数探索の必要性は、そのよ
うな広範囲の乱用をコストが高すぎて実行できないもの
とするために設定されている。
【０１０３】本発明を評価する場合、幾つかの種類の攻
撃が考えられる。その１つは、不正なキー回復エージェ
ントによるものである。仮にキー回復エージェントの一
人が不正を行いそのＰ値を明かしたとしても、問題にな
らない。なぜなら、Ｑ値はまだその攻撃者に知られてい
ないからである。Ｑ値又はＲ値を知らないので、攻撃者
はなお、１６８ビットの中間値（Ｐ ＸＯＲ ＱとＲとの
連結）を破ることが必要である。この解決方法は、キー
全体をキー回復エージェントにより回復させる方法より
も、ユーザにとって好ましいはずである。キー回復エー
ジェントたちが共謀していない限り、いかなる不正も不
可能である。
【０１０４】不正なキー回復エージェントは、別の暗号
化Ｐ値又はＱ値を解析しようとしても、彼の暗号化Ｐ値
又はＱ値に関係するＳＡＬＴ値を用いることはできな
い。各ＳＡＬＴ値はＰＱＲのＳＡＬＴ値を単方向関数に
通すことにより導出されるので、各ＳＡＬＴ値が独立に
現れるからである。
【０１０５】別の種類の攻撃は、不正なユーザによるも
のである。本発明は、双方のユーザが不正である場合、
彼らが彼ら自身の暗号化方法を用いることができるか又
はいずれのソフトウェア・システム検査も迂回できるこ
とを基本的に仮定している。従って、本発明は、双方の
ユーザが不正である場合の攻撃を防ごうとするものでは
ない。これは、根本的な簡易化仮定である。
【０１０６】送信者が不正であってそのキー回復値を送
信しない場合、受信者がそれらの有効性を認めることが
できなくなる。不正な伝送を検知することにより、解読
プロセスは起動されなくなる。
【０１０７】受信者が不正であってそのキー回復値を検
証しない場合でも、送信者はそれらを伝送し終えてお
り、必要に応じてキー回復エージェントがそれらのキー
回復値へアクセスできる。
【０１０８】非常に長い暗号期間が認められる場合、一
対のユーザは安全なチャネル（例えば、直接会うこと）
を通してセッション・コンテキストを送ることができ、
このセッション・コンテキストを長時間用いることがで
きる。この場合、セッション・コンテキストへのアクセ
スにおける問題が生じるかもしれない。１つの解決策
は、限定された暗号期間を指定することにより動的セッ
ション・コンテキストを用いるように求めることであ
る。
【０１０９】公開キーの認証ができるクライアント装置
における認証管理のための公開キー・インフラストラク
チャが存在することが想定されている。さらに、各通信
パーティは、その配置される国を決定できると想定され
ている。これは、移動性のあるユーザにとって重要であ
る。
【０１１０】本発明は、個人においては、権限なきエン
ティティによるキー全数探索攻撃に対して非常に耐性の
あるデータ・プライバシーを提供する。権限ある回復に
おいてさえ、残りの作業ファクタは容易なものではな
い。従って、法執行機関は、（キー回復を介して）選択
された個人を監視することができるが、多くの人を監視
することはあまり実際的ではない。同時に、本発明は、
犯罪行為を監視するという法執行機関の必要性に対処す
る。なぜなら、疑わしい犯罪者を対象とすることがで
き、回復された彼又は彼女の暗号化メッセージにより情
報を判断できるからである。
【０１１１】セッション・レベルにおけるキー回復を設
けることには、幾つかの利点がある。第１は、それがコ
ンパートメント化される点である。権限あるキー回復の
期間にほぼ一致することが望ましい、キーの有効期間が
ある。第２は、それが適切である点である。疑わしい悪
意の送信者からのメッセージを受け取るために受信者の
専用復号キーを開放することは、不適切である。誰でも
高位の官僚へメッセージを送ることができる。このこと
は、これらの官僚が彼らのキーを開放してしまったこと
を意味しない。
【０１１２】まとめとして、本発明の構成に関して以下
の事項を開示する。
【０１１３】（１）一対の通信パーティにより使用され
る暗号キーを発生すると共に複数の協同的なキー回復エ
ージェントを用いて前記暗号キーの回復を実行する方法
であって、前記キー回復エージェントの各々に共有され
る複数の共有キー部分を発生するステップと、前記複数
の共有キー部分の関数として前記暗号キーを発生するス
テップと、前記キー回復エージェントを用いた前記暗号
キーの回復を容易とするために、前記複数のキー回復エ
ージェントに対して前記複数の共有キー部分の各々を使
用可能とするステップとを含む暗号キー発生及び回復方
法。 （２）前記暗号キーを発生するステップが、合成キー部
分を発生するために前記共有キー部分を結合させるステ
ップと、前記合成キー部分の関数として前記暗号キーを
発生するステップとを含む上記（１）に記載の方法。 （３）前記共有キー部分及び前記合成キー部分が、共通
の長さを有する上記（２）に記載の方法。 （４）前記共有キー部分が、モジュロ２加算により結合
される上記（２）に記載の方法。 （５）前記キー回復エージェントの各々が公開暗号キー
及び対応する専用復号キーを有し、前記複数のキー回復
エージェントに対して前記複数の共有キー部分の各々を
使用可能とするステップが、複数の暗号化共有キー部分
を発生するために、前記キー回復エージェントの前記公
開暗号キーを用いて前記共有キー部分を暗号化するステ
ップと、前記キー回復エージェントがアクセス可能な通
信チャネルを通して前記暗号化共有キー部分を伝送する
ステップとを含む上記（１）に記載の方法。 （６）いずれのキー回復エージェントとも共有されない
非共有キー部分を発生するステップを含み、前記暗号キ
ーが前記共有キー部分及び前記非共有キー部分の関数と
して発生される上記（１）に記載の方法。 （７）前記暗号キーを発生するステップが、合成キー部
分を発生するために前記共有キー部分を結合させるステ
ップと、結果値を発生するために前記合成キー部分を前
記非共有キー部分へ連結するステップと、前記結果値の
関数として前記暗号キーを発生するステップとを含む上
記（６）に記載の方法。 （８）一対の通信パーティにより使用される暗号キーを
発生すると共に複数の協同的なキー回復エージェントを
用いて前記暗号キーの回復を実行する装置であって、前
記キー回復エージェントの各々に共有される複数の共有
キー部分を発生する手段と、前記複数の共有キー部分の
関数として前記暗号キーを発生する手段と、前記キー回
復エージェントを用いた前記暗号キーの回復を容易とす
るために、前記複数のキー回復エージェントに対して前
記複数の共有キー部分の各々を使用可能とする手段とを
含む暗号キー発生及び回復装置。 （９）前記暗号キーを発生する手段が、合成キー部分を
発生するために前記共有キー部分を結合させる手段と、
前記合成キー部分の関数として前記暗号キーを発生する
手段とを含む上記（８）に記載の装置。 （１０）前記共有キー部分及び前記合成キー部分が、共
通の長さを有する上記（９）に記載の装置。 （１１）前記共有キー部分が、モジュロ２加算により結
合される上記（９）に記載の装置。 （１２）前記キー回復エージェントの各々が公開暗号キ
ー及び対応する専用復号キーを有し、前記複数のキー回
復エージェントに対して前記複数の共有キー部分の各々
を使用可能とする手段が、複数の暗号化共有キー部分を
発生するために、前記キー回復エージェントの前記公開
暗号キーを用いて前記共有キー部分を暗号化する手段
と、前記キー回復エージェントがアクセス可能な通信チ
ャネルを通して前記暗号化共有キー部分を伝送する手段
とを含む上記（８）に記載の装置。 （１３）いずれのキー回復エージェントとも共有されな
い非共有キー部分を発生する手段を含み、前記暗号キー
が前記共有キー部分及び前記非共有キー部分の関数とし
て発生される上記（８）に記載の装置。 （１４）前記暗号キーを発生する手段が、合成キー部分
を発生するために前記共有キー部分を結合させる手段
と、結果値を発生するために前記合成キー部分を前記非
共有キー部分へ連結する手段と、前記結果値の関数とし
て前記暗号キーを発生する手段とを含む上記（１３）に
記載の装置。 （１５）一対の通信パーティにより使用される暗号キー
を発生すると共に複数の協同的なキー回復エージェント
を用いて前記暗号キーの回復を行う方法の各ステップを
実行するための、マシンにより読取り可能でかつ前記マ
シンにより実行可能な命令のプログラムを具現化したプ
ログラム記憶装置であって、前記方法が、前記キー回復
エージェントの各々に共有される複数の共有キー部分を
発生するステップと、前記複数の共有キー部分の関数と
して前記暗号キーを発生するステップと、前記キー回復
エージェントを用いた前記暗号キーの回復を容易とする
ために、前記複数のキー回復エージェントに対して前記
複数の共有キー部分の各々を使用可能とするステップと
を含むプログラム記憶装置。 （１６）前記暗号キーを発生するステップが、合成キー
部分を発生するために前記共有キー部分を結合させるス
テップと、前記合成キー部分の関数として前記暗号キー
を発生するステップとを含む上記（１５）に記載のプロ
グラム記憶装置。 （１７）前記共有キー部分及び前記合成キー部分が、共
通の長さを有する上記（１６）に記載のプログラム記憶
装置。 （１８）前記共有キー部分が、モジュロ２加算により結
合される上記（１６）に記載のプログラム記憶装置。 （１９）前記キー回復エージェントの各々が公開暗号キ
ー及び対応する専用復号キーを有し、前記複数のキー回
復エージェントに対して前記複数の共有キー部分の各々
を使用可能とするステップが、複数の暗号化共有キー部
分を発生するために、前記キー回復エージェントの前記
公開暗号キーを用いて前記共有キー部分を暗号化するス
テップと、前記キー回復エージェントがアクセス可能な
通信チャネルを通して前記暗号化共有キー部分を伝送す
るステップとを含む上記（１５）に記載のプログラム記
憶装置。 （２０）いずれのキー回復エージェントとも共有されな
い非共有キー部分を発生するステップを含み、前記暗号
キーが前記共有キー部分及び前記非共有キー部分の関数
として発生される上記（１５）に記載のプログラム記憶
装置。 （２１）前記暗号キーを発生するステップが、合成キー
部分を発生するために前記共有キー部分を結合させるス
テップと、結果値を発生するために前記合成キー部分を
前記非共有キー部分へ連結するステップと、前記結果値
の関数として前記暗号キーを発生するステップとを含む
上記（２０）に記載のプログラム記憶装置。
【図面の簡単な説明】
【図１】Ｐ、Ｑ及びＲの値から暗号キーを発生する本発
明による基本手順を示す概略的構成図である。
【図２】本発明により実施された基本的通信システムの
概略的構成図である。
【図３】Ｒ値の長さを国毎に変更可能とした図１の手順
を修整した概略的構成図である。
【図４】図３に示したＳＰＱＲ値の左半分及び右半分の
１つの可能な分割を示す概略的構成図である。
【図５】図３に示したＳＰＱＲ値の左半分及び右半分の
別の可能な分割を示す概略的構成図である。
【図６】目的の受信者へ伝送されるセッション・コンテ
キストの概略的構成図である。
【図７】目的の受信者へ伝送されるセッション・ヘッダ
の概略的構成図である。
【図８】目的の受信者へ伝送されるメッセージ・パケッ
トの概略的構成図である。
【図９】セッション・コンテキスト・ブロックにより目
的の受信者へ伝送される回復情報の概略的構成図であ
る。
【図１０】目的の受信者へ伝送されるメッセージ・パケ
ットを作成するために、送信者により実行されるステッ
プの流れ図である。
【図１１】暗号化前のＳＰＱＲブロックの形式を示す図
である。
【図１２】暗号化前のＰブロック及びＱブロックの形式
を示す図である。
【図１３】送信者から受信されたメッセージ・パケット
を処理するために、目的の受信者により実行されるステ
ップの流れ図である。
【図１４】通信パーティにより用いられる国特有のデー
タを含む大域通信テーブルを示す図である。
【図１５】図３に示した手順の発生を示す概略的構成図
である。
【符号の説明】
１００ 暗号化手順 １０２ ＰＱＲ値 １０４ Ｐ値 １０６ Ｑ値 １０８ Ｒ値 １１０ モジュロ２加法 １１２ 結果値 １１４ 中間値 １１６ 単方向ハッシュ関数 １１８ 暗号キー
───────────────────────────────────────────────────── フロントページの続き (72)発明者 ポール・アシュレイ・カーガー アメリカ合衆国01720、マサチューセッツ 州、アクトン、ドラマー・ロード 29 (72)発明者 チャールズ・ウィリアム・カウフマン、ジ ュニア アメリカ合衆国01532、マサチューセッツ 州、ノースボロー、インディアン・ミード ウ・ドライブ 185 (72)発明者 ステファン・マイケル・メイトヤズ、ジュ ニア アメリカ合衆国12601、ニューヨーク州、 ポキプシー、バルキル・ドライブ 24 (72)発明者 マーセル・モードシェイ・ユング アメリカ合衆国10025、ニューヨーク州、 ニューヨーク、ウェスト・ワンハンドレッ ドアンドトゥエルブス・ストリート 605 (72)発明者 ネベンコ・ズニック アメリカ合衆国12590、ニューヨーク州、 ワッピンガーズ・フォールズ、レギー・ド ライブ 45

Claims (21)

    【特許請求の範囲】
  1. 【請求項１】一対の通信パーティにより使用される暗号
    キーを発生すると共に複数の協同的なキー回復エージェ
    ントを用いて前記暗号キーの回復を実行する方法であっ
    て、 前記キー回復エージェントの各々に共有される複数の共
    有キー部分を発生するステップと、 前記複数の共有キー部分の関数として前記暗号キーを発
    生するステップと、 前記キー回復エージェントを用いた前記暗号キーの回復
    を容易とするために、前記複数のキー回復エージェント
    に対して前記複数の共有キー部分の各々を使用可能とす
    るステップとを含む暗号キー回復方法。
  2. 【請求項２】前記暗号キーを発生するステップが、 合成キー部分を発生するために前記共有キー部分を結合
    させるステップと、 前記合成キー部分の関数として前記暗号キーを発生する
    ステップとを含む請求項１に記載の方法。
  3. 【請求項３】前記共有キー部分及び前記合成キー部分
    が、共通の長さを有する請求項２に記載の方法。
  4. 【請求項４】前記共有キー部分が、モジュロ２加算によ
    り結合される請求項２に記載の方法。
  5. 【請求項５】前記キー回復エージェントの各々が公開暗
    号キー及び対応する専用復号キーを有し、前記複数のキ
    ー回復エージェントに対して前記複数の共有キー部分の
    各々を使用可能とするステップが、 複数の暗号化共有キー部分を発生するために、前記キー
    回復エージェントの前記公開暗号キーを用いて前記共有
    キー部分を暗号化するステップと、 前記キー回復エージェントがアクセス可能な通信チャネ
    ルを通して前記暗号化共有キー部分を伝送するステップ
    とを含む請求項１に記載の方法。
  6. 【請求項６】いずれのキー回復エージェントとも共有さ
    れない非共有キー部分を発生するステップを含み、前記
    暗号キーが前記共有キー部分及び前記非共有キー部分の
    関数として発生される請求項１に記載の方法。
  7. 【請求項７】前記暗号キーを発生するステップが、 合成キー部分を発生するために前記共有キー部分を結合
    させるステップと、 結果値を発生するために前記合成キー部分を前記非共有
    キー部分へ連結するステップと、 前記結果値の関数として前記暗号キーを発生するステッ
    プとを含む請求項６に記載の方法。
  8. 【請求項８】一対の通信パーティにより使用される暗号
    キーを発生すると共に複数の協同的なキー回復エージェ
    ントを用いて前記暗号キーの回復を実行する装置であっ
    て、 前記キー回復エージェントの各々に共有される複数の共
    有キー部分を発生する手段と、 前記複数の共有キー部分の関数として前記暗号キーを発
    生する手段と、 前記キー回復エージェントを用いた前記暗号キーの回復
    を容易とするために、前記複数のキー回復エージェント
    に対して前記複数の共有キー部分の各々を使用可能とす
    る手段とを含む暗号キー回復装置。
  9. 【請求項９】前記暗号キーを発生する手段が、 合成キー部分を発生するために前記共有キー部分を結合
    させる手段と、 前記合成キー部分の関数として前記暗号キーを発生する
    手段とを含む請求項８に記載の装置。
  10. 【請求項１０】前記共有キー部分及び前記合成キー部分
    が、共通の長さを有する請求項９に記載の装置。
  11. 【請求項１１】前記共有キー部分が、モジュロ２加算に
    より結合される請求項９に記載の装置。
  12. 【請求項１２】前記キー回復エージェントの各々が公開
    暗号キー及び対応する専用復号キーを有し、前記複数の
    キー回復エージェントに対して前記複数の共有キー部分
    の各々を使用可能とする手段が、 複数の暗号化共有キー部分を発生するために、前記キー
    回復エージェントの前記公開暗号キーを用いて前記共有
    キー部分を暗号化する手段と、 前記キー回復エージェントがアクセス可能な通信チャネ
    ルを通して前記暗号化共有キー部分を伝送する手段とを
    含む請求項８に記載の装置。
  13. 【請求項１３】いずれのキー回復エージェントとも共有
    されない非共有キー部分を発生する手段を含み、前記暗
    号キーが前記共有キー部分及び前記非共有キー部分の関
    数として発生される請求項８に記載の装置。
  14. 【請求項１４】前記暗号キーを発生する手段が、 合成キー部分を発生するために前記共有キー部分を結合
    させる手段と、 結果値を発生するために前記合成キー部分を前記非共有
    キー部分へ連結する手段と、 前記結果値の関数として前記暗号キーを発生する手段と
    を含む請求項１３に記載の装置。
  15. 【請求項１５】一対の通信パーティにより使用される暗
    号キーを発生すると共に複数の協同的なキー回復エージ
    ェントを用いて前記暗号キーの回復を行う方法の各ステ
    ップを実行するための、マシンにより読取り可能でかつ
    前記マシンにより実行可能な命令のプログラムを具現化
    したプログラム記憶装置であって、前記方法が、 前記キー回復エージェントの各々に共有される複数の共
    有キー部分を発生するステップと、 前記複数の共有キー部分の関数として前記暗号キーを発
    生するステップと、 前記キー回復エージェントを用いた前記暗号キーの回復
    を容易とするために、前記複数のキー回復エージェント
    に対して前記複数の共有キー部分の各々を使用可能とす
    るステップとを含むプログラム記憶装置。
  16. 【請求項１６】前記暗号キーを発生するステップが、 合成キー部分を発生するために前記共有キー部分を結合
    させるステップと、 前記合成キー部分の関数として前記暗号キーを発生する
    ステップとを含む請求項１５に記載のプログラム記憶装
    置。
  17. 【請求項１７】前記共有キー部分及び前記合成キー部分
    が、共通の長さを有する請求項１６に記載のプログラム
    記憶装置。
  18. 【請求項１８】前記共有キー部分が、モジュロ２加算に
    より結合される請求項１６に記載のプログラム記憶装
    置。
  19. 【請求項１９】前記キー回復エージェントの各々が公開
    暗号キー及び対応する専用復号キーを有し、前記複数の
    キー回復エージェントに対して前記複数の共有キー部分
    の各々を使用可能とするステップが、 複数の暗号化共有キー部分を発生するために、前記キー
    回復エージェントの前記公開暗号キーを用いて前記共有
    キー部分を暗号化するステップと、 前記キー回復エージェントがアクセス可能な通信チャネ
    ルを通して前記暗号化共有キー部分を伝送するステップ
    とを含む請求項１５に記載のプログラム記憶装置。
  20. 【請求項２０】いずれのキー回復エージェントとも共有
    されない非共有キー部分を発生するステップを含み、前
    記暗号キーが前記共有キー部分及び前記非共有キー部分
    の関数として発生される請求項１５に記載のプログラム
    記憶装置。
  21. 【請求項２１】前記暗号キーを発生するステップが、 合成キー部分を発生するために前記共有キー部分を結合
    させるステップと、 結果値を発生するために前記合成キー部分を前記非共有
    キー部分へ連結するステップと、 前記結果値の関数として前記暗号キーを発生するステッ
    プとを含む請求項２０に記載のプログラム記憶装置。
JP07150097A 1996-04-10 1997-03-25 暗号キーの回復を実行する装置 Expired - Fee Related JP3560439B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US08/629815 1996-04-10
US08/629,815 US5815573A (en) 1996-04-10 1996-04-10 Cryptographic key recovery system

Publications (2)

Publication Number Publication Date
JPH1041932A true JPH1041932A (ja) 1998-02-13
JP3560439B2 JP3560439B2 (ja) 2004-09-02

Family

ID=24524609

Family Applications (1)

Application Number Title Priority Date Filing Date
JP07150097A Expired - Fee Related JP3560439B2 (ja) 1996-04-10 1997-03-25 暗号キーの回復を実行する装置

Country Status (4)

Country Link
US (1) US5815573A (ja)
EP (1) EP0801478A3 (ja)
JP (1) JP3560439B2 (ja)
CA (1) CA2197915C (ja)

Families Citing this family (75)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU706247B2 (en) * 1995-07-27 1999-06-10 Nextlevel Systems, Inc. Cryptographic system with concealed work factor
US6026163A (en) * 1995-12-13 2000-02-15 Micali; Silvio Distributed split-key cryptosystem and applications
US5937066A (en) * 1996-10-02 1999-08-10 International Business Machines Corporation Two-phase cryptographic key recovery system
US20060195595A1 (en) 2003-12-19 2006-08-31 Mendez Daniel J System and method for globally and securely accessing unified information in a computer network
US6708221B1 (en) 1996-12-13 2004-03-16 Visto Corporation System and method for globally and securely accessing unified information in a computer network
US5920630A (en) * 1997-02-25 1999-07-06 United States Of America Method of public key cryptography that includes key escrow
US6766454B1 (en) 1997-04-08 2004-07-20 Visto Corporation System and method for using an authentication applet to identify and authenticate a user in a computer network
US6249585B1 (en) * 1998-04-08 2001-06-19 Network Associates, Inc Publicly verifiable key recovery
US6694433B1 (en) * 1997-05-08 2004-02-17 Tecsec, Inc. XML encryption scheme
US6202150B1 (en) 1997-05-28 2001-03-13 Adam Lucas Young Auto-escrowable and auto-certifiable cryptosystems
IL132961A0 (en) * 1997-05-28 2001-03-19 Young Adam Lucas Auto-recoverable auto-certifiable cryptosystems
US6122742A (en) * 1997-06-18 2000-09-19 Young; Adam Lucas Auto-recoverable and auto-certifiable cryptosystem with unescrowed signing keys
US6389136B1 (en) 1997-05-28 2002-05-14 Adam Lucas Young Auto-Recoverable and Auto-certifiable cryptosystems with RSA or factoring based keys
US6243466B1 (en) 1997-08-29 2001-06-05 Adam Lucas Young Auto-escrowable and auto-certifiable cryptosystems with fast key generation
US6314190B1 (en) 1997-06-06 2001-11-06 Networks Associates Technology, Inc. Cryptographic system with methods for user-controlled message recovery
JPH1131105A (ja) * 1997-07-10 1999-02-02 Fuji Xerox Co Ltd データカプセル生成装置および方法
US6058188A (en) * 1997-07-24 2000-05-02 International Business Machines Corporation Method and apparatus for interoperable validation of key recovery information in a cryptographic system
US7328350B2 (en) * 2001-03-29 2008-02-05 Arcot Systems, Inc. Method and apparatus for secure cryptographic key generation, certification and use
US6170058B1 (en) * 1997-12-23 2001-01-02 Arcot Systems, Inc. Method and apparatus for cryptographically camouflaged cryptographic key storage, certification and use
US6181795B1 (en) * 1998-02-27 2001-01-30 International Business Machines Corporation Portable cryptographic key
US6233341B1 (en) 1998-05-19 2001-05-15 Visto Corporation System and method for installing and using a temporary certificate at a remote site
US6317829B1 (en) * 1998-06-19 2001-11-13 Entrust Technologies Limited Public key cryptography based security system to facilitate secure roaming of users
US7111173B1 (en) 1998-09-01 2006-09-19 Tecsec, Inc. Encryption process including a biometric unit
US6684330B1 (en) 1998-10-16 2004-01-27 Tecsec, Inc. Cryptographic information and flow control
US6535607B1 (en) 1998-11-02 2003-03-18 International Business Machines Corporation Method and apparatus for providing interoperability between key recovery and non-key recovery systems
JP2000165373A (ja) * 1998-11-25 2000-06-16 Toshiba Corp 暗号装置、暗号通信システム及び鍵復元システム並びに記憶媒体
US6473508B1 (en) 1998-12-22 2002-10-29 Adam Lucas Young Auto-recoverable auto-certifiable cryptosystems with unescrowed signature-only keys
US6877092B2 (en) 1998-12-31 2005-04-05 International Business Machines Corporation Apparatus, method, and computer program product for achieving interoperability between cryptographic key recovery enabled and unaware systems
US6396929B1 (en) * 1998-12-31 2002-05-28 International Business Machines Corporation Apparatus, method, and computer program product for high-availability multi-agent cryptographic key recovery
CA2259738C (en) * 1999-01-20 2012-10-16 Certicom Corp. A resilient cryptographic scheme
AU753951B2 (en) * 1999-03-11 2002-10-31 Tecsec, Incorporated Voice and data encryption method using a cryptographic key split combiner
US7095851B1 (en) 1999-03-11 2006-08-22 Tecsec, Inc. Voice and data encryption method using a cryptographic key split combiner
US6947560B1 (en) * 1999-04-26 2005-09-20 Telefonaktiebolaget L M Ericsson (Publ) Method and device for effective key length control
WO2000074298A1 (en) * 1999-05-26 2000-12-07 Ascom Hasler Mailing Systems, Inc. Technique for split knowledge backup and recovery of a cryptographic key
US7373517B1 (en) * 1999-08-19 2008-05-13 Visto Corporation System and method for encrypting and decrypting files
DE19946127A1 (de) * 1999-09-20 2001-04-12 Deutsche Telekom Ag Verfahren zur Entschlüsselung von mit einem hybriden Verschlüsselungsverfahren verschlüsselten Dokumenten nach Verlust des privaten kryptografischen Schlüssels
US7269261B1 (en) * 1999-09-22 2007-09-11 Raytheon Company Key escrow systems
US6925563B1 (en) 1999-09-22 2005-08-02 Raytheon Company Multiplication of modular numbers
KR100586030B1 (ko) * 1999-11-03 2006-06-01 한국전자통신연구원 암호키 복구 정보 관리 방법
US7739334B1 (en) 2000-03-17 2010-06-15 Visto Corporation System and method for automatically forwarding email and email events via a computer network to a server computer
US6823070B1 (en) * 2000-03-28 2004-11-23 Freescale Semiconductor, Inc. Method for key escrow in a communication system and apparatus therefor
CN1142653C (zh) * 2000-04-28 2004-03-17 杨宏伟 动态口令认证系统及方法
US20040073617A1 (en) 2000-06-19 2004-04-15 Milliken Walter Clark Hash-based systems and methods for detecting and preventing transmission of unwanted e-mail
US6907524B1 (en) 2000-10-13 2005-06-14 Phoenix Technologies Ltd. Extensible firmware interface virus scan
US7362868B2 (en) * 2000-10-20 2008-04-22 Eruces, Inc. Hidden link dynamic key manager for use in computer systems with database structure for storage of encrypted data and method for storage and retrieval of encrypted data
US20030021417A1 (en) 2000-10-20 2003-01-30 Ognjen Vasic Hidden link dynamic key manager for use in computer systems with database structure for storage of encrypted data and method for storage and retrieval of encrypted data
KR100377196B1 (ko) * 2000-12-05 2003-03-26 한국전자통신연구원 다중 에이전트를 이용한 키 복구 시스템 및 그 방법
WO2002065694A1 (en) * 2001-02-12 2002-08-22 Accelerated Encryption Processing Limited A key management system and method
US7711122B2 (en) * 2001-03-09 2010-05-04 Arcot Systems, Inc. Method and apparatus for cryptographic key storage wherein key servers are authenticated by possession and secure distribution of stored keys
US7095858B2 (en) 2001-05-10 2006-08-22 Ranco Incorporated Of Delaware System and method for securely upgrading firmware
US7116786B2 (en) * 2001-09-10 2006-10-03 Motorola, Inc. Interception of secure data in a mobile network
IL162008A0 (en) 2001-11-15 2005-11-20 Visto Corp System and methods for asychronous synchronization
KR20040069339A (ko) * 2001-12-21 2004-08-05 인터내셔널 비지네스 머신즈 코포레이션 인터넷 상의 전자 상거래를 안전하게 처리하기 위한 방법및 시스템
GB2390270A (en) * 2002-06-27 2003-12-31 Ericsson Telefon Ab L M Escrowing with an authority only part of the information required to reconstruct a decryption key
US20060179305A1 (en) * 2004-03-11 2006-08-10 Junbiao Zhang WLAN session management techniques with secure rekeying and logoff
US8015211B2 (en) * 2004-04-21 2011-09-06 Architecture Technology Corporation Secure peer-to-peer object storage system
US7681042B2 (en) * 2004-06-17 2010-03-16 Eruces, Inc. System and method for dis-identifying sensitive information and associated records
WO2006012638A2 (en) * 2004-07-29 2006-02-02 Vadium Technology, Inc. Techniques to strengthen one-time pad encryption
KR100769439B1 (ko) 2005-03-10 2007-10-22 (주)케이사인 공개 키 기반 구조 기술 기반의 키 프로파일 기법을 이용한 데이터베이스 보안 시스템
US7873166B2 (en) * 2005-09-13 2011-01-18 Avaya Inc. Method for undetectably impeding key strength of encryption usage for products exported outside the U.S
US7606769B2 (en) * 2005-10-12 2009-10-20 Kabushiki Kaisha Toshiba System and method for embedding user authentication information in encrypted data
US8296827B2 (en) * 2005-12-29 2012-10-23 International Business Machines Corporation Method for enabling an administrator to configure a recovery password
US20080037775A1 (en) * 2006-03-31 2008-02-14 Avaya Technology Llc Verifiable generation of weak symmetric keys for strong algorithms
ATE545914T1 (de) * 2007-06-26 2012-03-15 G3 Vision Ltd Authentifikationssystem und -verfahren
FR2931336B1 (fr) * 2008-05-19 2011-02-11 Eads Secure Networks Procedes et dispositifs d'emission et d'authentification de messages pour garantir l'authenticite d'un systeme
EP2461534A1 (en) * 2010-12-01 2012-06-06 Irdeto B.V. Control word protection
US9754130B2 (en) 2011-05-02 2017-09-05 Architecture Technology Corporation Peer integrity checking system
US20150254640A1 (en) * 2014-03-05 2015-09-10 Cryptographi, Inc. Method and apparatus for digital currency paper wallet
GB2513260B (en) 2014-06-27 2018-06-13 PQ Solutions Ltd System and method for quorum-based data recovery
KR101685042B1 (ko) * 2014-12-19 2016-12-12 주식회사 비즈모델라인 매체 분리 기반 일회용 인증코드 구현 방법
US10237073B2 (en) 2015-01-19 2019-03-19 InAuth, Inc. Systems and methods for trusted path secure communication
US11057210B1 (en) 2015-09-30 2021-07-06 Apple Inc. Distribution and recovery of a user secret
JP6834771B2 (ja) * 2017-05-19 2021-02-24 富士通株式会社 通信装置および通信方法
FR3085815B1 (fr) 2018-07-11 2022-07-15 Ledger Gouvernance de securite du traitement d'une requete numerique
CN111711515B (zh) * 2020-05-18 2022-04-26 冠群信息技术(南京)有限公司 一种三方aes密钥合成方法、加密方法和解密方法

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
SE448810B (sv) * 1985-03-28 1987-03-23 Sture Schenstrom Sittbadkar med en i ena sidoveggen, av en lucka tillslutbar oppning
US5276737B1 (en) * 1992-04-20 1995-09-12 Silvio Micali Fair cryptosystems and methods of use
US5315658B1 (en) * 1992-04-20 1995-09-12 Silvio Micali Fair cryptosystems and methods of use
US5436972A (en) * 1993-10-04 1995-07-25 Fischer; Addison M. Method for preventing inadvertent betrayal by a trustee of escrowed digital secrets
FR2713419B1 (fr) * 1993-12-02 1996-07-05 Gemplus Card Int Procédé de génération de signatures DSA avec des appareils portables à bas coûts.
NZ279622A (en) * 1994-01-13 1998-04-27 Certco Llc Encrypted secure and verifiable communication: cryptographic keys escrowed
US5557346A (en) * 1994-08-11 1996-09-17 Trusted Information Systems, Inc. System and method for key escrow encryption
WO1996005674A1 (en) * 1994-08-12 1996-02-22 Frank Thomson Leighton Failsafe key escrow system
US5553145A (en) * 1995-03-21 1996-09-03 Micali; Silvia Simultaneous electronic transactions with visible trusted parties
US5764772A (en) * 1995-12-15 1998-06-09 Lotus Development Coporation Differential work factor cryptography method and system
US5768388A (en) * 1996-03-01 1998-06-16 Goldwasser; Shafi Time delayed key escrow
US5666414A (en) * 1996-03-21 1997-09-09 Micali; Silvio Guaranteed partial key-escrow

Also Published As

Publication number Publication date
US5815573A (en) 1998-09-29
CA2197915A1 (en) 1997-10-11
EP0801478A3 (en) 2000-08-30
JP3560439B2 (ja) 2004-09-02
EP0801478A2 (en) 1997-10-15
CA2197915C (en) 2002-12-10

Similar Documents

Publication Publication Date Title
JP3560439B2 (ja) 暗号キーの回復を実行する装置
JP3872107B2 (ja) 暗号キー回復システム
US5907618A (en) Method and apparatus for verifiably providing key recovery information in a cryptographic system
US5937066A (en) Two-phase cryptographic key recovery system
US8670563B2 (en) System and method for designing secure client-server communication protocols based on certificateless public key infrastructure
US8687812B2 (en) Method and apparatus for public key cryptography
US20060195402A1 (en) Secure data transmission using undiscoverable or black data
US6535607B1 (en) Method and apparatus for providing interoperability between key recovery and non-key recovery systems
CN110336673B (zh) 一种基于隐私保护的区块链设计方法
GB2490407A (en) Joint encryption using base groups, bilinear maps and consistency components
JP6041864B2 (ja) データの暗号化のための方法、コンピュータ・プログラム、および装置
GB2603495A (en) Generating shared keys
CN114866244A (zh) 基于密文分组链接加密的可控匿名认证方法、系统及装置
Prabhu et al. Security in computer networks and distributed systems
CN112035820A (zh) 一种用于Kerberos加密环境下的数据解析方法
WO2005039102A1 (ja) 情報の暗号化送受信方法
JP2001203687A (ja) データ伝送方法
Gennaro et al. Secure key recovery
US11917056B1 (en) System and method of securing a server using elliptic curve cryptography
JP2000349748A (ja) 秘密情報共有方法
JPH0787081A (ja) 鍵公開センタへのエンティティ登録方法
JP4000899B2 (ja) 認証付暗号方法及び認証付復号方法及び装置及びプログラム及びコンピュータが読み取り可能な記録媒体
JP3862397B2 (ja) 情報通信システム
WO2023043793A1 (en) System and method of creating symmetric keys using elliptic curve cryptography
CN115865313A (zh) 一种轻量级隐私保护纵向联邦学习模型参数聚合方法

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20040518

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20040525

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20080604

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20080604

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20090604

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100604

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110604

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110604

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120604

Year of fee payment: 8

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120604

Year of fee payment: 8

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130604

Year of fee payment: 9

LAPS Cancellation because of no payment of annual fees