WO1988001120A1

WO1988001120A1 - System for generating a shared cryptographic key and a communication system using the shared cryptographic key

Info

Publication number: WO1988001120A1
Application number: PCT/JP1987/000572
Authority: WO
Inventors: Tutomu Matumoto; Hideki Imai
Original assignee: Kabushiki Kaisya Advance
Priority date: 1986-07-31
Filing date: 1987-07-31
Publication date: 1988-02-11
Also published as: DE3789769D1; US5016276A; EP0277247A1; EP0277247A4; DE3789769T2; HK96996A; EP0277247B1

Description

明細書共用暗号鍵生成方式および共用暗号鍵を用いた通信方式技術分野

本発明は暗号鍵を用いた暗号文による通信方式に関するものであり、より特定的には、高度の機密性、安全性を維持しつつ且つ操作性に富み、複数のエンティティが共用し得る、暗号鍵を生成する方式、およびその共用（共有）暗号鍵を用いて暗号文による通信を行う通信方式に関する。

本発明の対象となるエンティティとしては、人間、装置、機械、ソフトウヱァ、あるいはそれらが構成要素と.なつたシステなど、多様な'ものがある。従って、本発明の暗号鍵生成装置はこれらエンティティが共有し得る暗号鍵を生成する , 而して、本発明の通信方式は、前記共有鍵を用いた種々の通信、例えば、 C P Uチップと R 0 Mチップの間の通信、 I C カード同士の通信、 I Cカードと端末と銀行センタと人間との相互間の通信、移動体通信機相互間の通信、パーソナル無線機相互間の通信、電話器相互間の通信、人間同士の通信、ホスト計算機と端末とデータベースとの相互間の通信、並列計算機内の計算機同士の通信、 CATV放送局と加入者の間の通信、衛星放送、等の通信方式に適用され得る。背景技術

情報セキュリティ、すなわちデータの機密保持並びにブラィパシーの確立、エンティティの認証、通 f 相手の認証等の確立のため、従来から種々の暗号技術が提案されている。

暗号技術は、共通鍵暗号化方式と公開鍵方式とに大別される（今并他、「暗号技術 J 、テレビジョン学会誌、 Vol.39、 NOL12Q985)、第 1140〜1147頁）。共通鍵暗号化方式は、メッセージの送信側と受信側とが予め秘密の共通の键を決めておき、送信側が平文を共通键により暗号化して伝送し、受信側が共通鍵で復号して平文に戻すものである。公開鍵方式は、公開鍵配送方式、公開鍵暗号化方式および公開鍵ディジタル署名方式を絵称したものである。尚、これらの暗号技術に関する内容は、 (DA.G. onheim, "Cryptography ：. A Primer", Wi ley, ew York, 1981, (2) C. H. Meyer et al. "Cryptography" , Wiley, New York, 1982, (3) D. E. Denning , "Cryptography and Data Security"Addison- esley_J Reading, 1982, (4) D. W. Davies： e t al . "Securi ty for Computer Networks" , Wiley, Chichester: 1984等に示されている。

前述の共通鍵暗号化方式は、最もポピュラーな方式であるが、各エンティティが、想定されるすべての通信相手と、他の暗号的手段もしくは物理的手法により、倔別に暗号鍵を共有する方であるから、エンティティが多数になると鍵配送の問題が生じる。すなわち、共通缝は頻繁に更新することが望ましいのであるが想定される通信相手の数が多数であるときには多大な手間がかかり、不特定多数との暗号通信には不向きであるという欠点を有する。

前述の公開鍵方式は、上記鍵配送の問題を解決すべく採用されているものであり、その要旨を述べると、各ェンティティが、自分の秘密情報に基づき公開情報を作成し、これを読み出しは自由であるが書き込みや消去は厳重に管理された公開ファイルに登錄し、通信の際に、自分の秘密情報と相手の公開情報から共有すべき暗号鍵を計箕して求めるものである , この方式によれば、通信の際に、必要に応じて公開ファイルを参照すれば、どのエンティティとでも暗号鍵の共有が行えるので、不特定多数相手の暗号通信にも適用可能である、という利点を有する一方、公開ファイル又はそれに相当する、公開情報の管理機構が必要になるという問題がある。更に、各エンティティが相手の公開情報を参照するための作業が相当になり、操作性に劣るという問題がある。

暗号文による通信で達成されるセキュリティは、通信の当. 事者であるヱンティティだけが同一の暗号鍵を持ち、当事者以外のエンティティがその暗号鍵を有さないことに強く依存するので、安全で効率の良い暗号鍵共有方式が望まれている。

発明の開示

本発明は、簡便な操作で機密性の高い暗号文を取り得る共用暗号键生成方式を提供することを目的とする。

また本発明は、上記により生成された暗号鍵を用いて暗号文を伝送し得る通信方式を提供することを目的とする。

本発明の第 1 の形態によれば、暗号鍵を共有すべき複数のエンティティ間で定められた要件の下でセンタだけが秘密に保持するセンタアルゴリズムを生成し、さらに、前記複数のエンティティの各個に固有に定められ、公開され、半固定的に用いられる識別子を前記センタァルゴズムに適用して前記複数のェンティティの各に固有な秘密ァルゴリズムを生成する、秘密アルゴリズム生成装置と、少くとも前記秘密ァルゴリズムを記億するメモリを有し、前記秘密アルゴリズム生成装置における秘密アルゴリズム生成時に秘密アルゴリズム生成装置に接続されて対応するエンティティの秘密アルゴリズムが前記メモリ.に記憶され、暗号文を送受すべき相手工ンティティの識別子を該秘密ァルゴリズムに適用することにより共通の暗号鍵を生成する、複数の暗号鍵生成手段と、を具備する、共用暗号鍵生成方式、が提供される。

好適には、前記秘密アルゴリズム生成装置が、相互に独立に作動しそれぞれ独立な第 1次センタアルゴリズムを生成する複数の第 1次センタァルゴリズム生成装置、および、該第 1次秘密アルゴリズム生成装置で生成された複数の第 1次センタアルゴリズムを統合し、該統合されたセンタアルゴリズムに基いて各ェンティティ固有の秘密アルゴリズムを生成する装置を具備し得る。

本発明の第 2 の形態によれば、上記秘密アルゴリズム生成装置と、上記複数の暗号鍵生成手段と、伝送系を介して接続された少くとも 1対の送信および受信ヱンティティであって送信側ェンティティが前記暗号鍵生成手段と^働し該暗号鍵生成手段からの共通暗号鍵に基いて平文を暗号化する手段を有し、受信側エンティティが前記暗号鍵生成手段と協働し該暗号鍵生成手段からの共通暗号鍵に基いて前記伝送系と介して前記送信側エンティティから送出された暗号文を平文に復号する手段を有するもの、とを具備し、前記共通暗号鍵に基いた暗号文を伝送する、共用暗号鍵を用いた通信方式、が提供される。図面の簡単な説明

第 1図は本癸明の 1実施例としての共用暗号鍵生成方式および共用暗号鍵を用いた通信方式のブロック図、

第 2図は第 1図のセンタに設けられた秘密アルゴリズム生成装置 1 におけるセンタアルゴリズム Gの生成を示す図、第 3図は第 1 図のセンタにおける識別子を用いた各ェンティティ用の秘密アルゴリズムの作成と、その配送を示す。第 4図（a) (b)はそれぞれエンティティ A , Bにお'ける B 号鍵 kの共有方法を示す図、

第 5図は、第 1図の暗号生成手段として I Cカードを使用した場合の実施例であり、エンティティ Aのネットワークへの加入、エンティティ A用の I Cカードの発行、ェンティティ Aにおける暗号鍵 kの計算を示す図、

第 6図および第 7図は、 2つのエンティティの場合のセンタアルゴリズムと秘密アルゴリズムの生成の一例を示す図、第 8図および第 9図は、 3つのエンティティの場合のセンタァルゴリズムと秘密アルゴリズムの生成の一例を示す図、第 1 0図は安全性を向上させるための本発明の秘密アルゴリズムを生成する他の方法を示す概念図、

第 1 1図は本発明の他の実施例の共用暗号鍵生成およびその共用暗号鍵を用いた通信を行う方式のブロック図、第 1 2図（a)〜（c) は、それぞれ、従来の共通鍵暗号化方式、従来の公開鍵方式および本発明にもとづく Key Pred i s t - r i b u t i on Sys tem の概念図、である。発明を実施するた'めの最良の形態第 1図に本発明の一実施例としての共用暗号鍵生成方式および生成した共用暗号鍵を用いて通信を行う通信方式を図解する。

第 1図ばエンティティが 2つ、エンティティ Α , Βの場合について例示する。エンティティ Αおよびエンティティ Bは通信回線 6、例えば公衆回線を介して接繞される。送信側ェンティティ、例えばエンティティ Aは、送信- べき平文を入力する手段 4 1、該入力された平文を後述する共有暗号鍵 k に基いて暗号化する手段 4 2および暗号文を送出する手段 4 3から成る暗号文生成手段 4を具備する。受信側ェンティティ Bは公衆回線 6を介して暗号文を受信し自分宛の通信文であることを判断する手段 5 1、受信暗号文を共有鍵 kを用いて平文に復号する手段 5 2および復号された平文を出力する手段 5 3から成る暗号文復号手段 5を具備する。これら暗号生成手段 4および暗号文復号手段 5それ自体の構成は従来知られている。暗号化手段 4 2および復号手段 5 2は、例えば特公昭 59 - 45269 (1975年 2月 24日、米国特許シリアル番号 552684に基づく優先権主張岀願）の第 8図に開示されたものにより実現され得る。センタ一に管理機構として秘密アルゴリズムを生成する装置 1 が設けられ、エンティティ A -， Bに対してそれぞれ共有暗号鍵 kを発生する手段 2 , 3、例えば I Cカードを介して秘密アルゴリズムを発行する。すなわち秘密アルゴリズム生成装置 1 は、エンティティ A , Bの識別子、例えば名前、住所等を定められた書式で符号化したもの、 y _A , y B を入力し、第 2図に図示の如く、センタアルゴリズム Gを生成し、このアルゴリズム Gを秘密に保つと共に、秘密アルゴリズム X A , X _B を発行する。識別子 y _A , y B は、例えば、テンキイを介して入力する。

エンティティ Α , Βの秘密アルゴリズム X_A , X_B はそれぞれ、自己の識別子 y _A , y 8 を用いて次の如く規定される , X A '= G ( y _A) ' … （ Ir - 1 )

X _B = G ( y _B) … （ 1 — 2 ) 秘密アルゴリズム生成装置 1 には、上記秘密アルゴリズム生成時、 I Cカード等の C P U、およびリードライト可能なメモリを内蔵した暗号鍵生成手段 2又は 3が装着されており、秘密アルゴリズムが対応する暗号鍵生成手段のメモリにストアされて、発行される。第 3図に、エンティティ A〜 D に対応する秘密アルゴリズム X A 〜 X _D を発行する態様を図解する。明らかなように、エンティティ C , Dはそれぞれ自己の識別子 y _c , y o を用いて次の秘密アルゴリズム X _c , X D が発行される。

X c = G ( y _c) … '（ 1 一 3 ) X D = G ( y ο) ·♦· ( 1 — 4 ) 各ェンティティは上記秘密アルゴリズムを秘密に俣眚することば云うまでも-ない。

尚、本発明におけるアルゴリズムとは、計算の方法を、定められた言語で記述したものを意味し、通常の意味での計箕機プログラム、及びデータ、論理回路、グラフ、テューリング機械、分散システムの勖作解折のモデルの 1つとして知られているペトリネット、 L S Iパターン等は、すべて本発明におけるアルゴリズムの一種である。

上述の如く発行された秘密アルゴリズム X _A , X _B が装荷 (ロード）された暗号鍵生成手段 2 , 3をそれぞれ、対応する自己のェンティティに装着する。エンティティ A , Bが瑭号鍵 kを共有したい場合、第 1図および第 4図. (a) (b)に図示の如く、共有チべき相手側の識別子、エンティティ Aにおいては y _B 、エンティティ Bにおいては y _A を、各ェンティティにおけるキイボード等を介して、エンティティに装着された暗号鍵生成手段 2 , 3 に入力する。各暗号鍵生成手段は、メモリに記億されている秘密アルゴリズムと入力された識別子に基いて、内蔵された C P Uによつてそれぞれ下記の如く共有暗号鍵を生成する。

k = X _A ( y _B ) ··· ( 2 - 1 ) k = X ₈ ( y _A》 … ( 2 - 2 ) 暗号文生成手段 4および暗号文復号手段 5 はかゝる共有暗号鍵 kを用いて、暗号又は復号を行う。

尚、アルゴリズム G , X A ， B , …は、上記手順において同じ暗号靆 kを計箕できるように定められている必要がある。

以上の如く構成することによ、センタだけが知っているセンタアルゴリズムにより変換された秘密アルゴリズムを各エンティティに配布することにより機密性を維持する。一方各エンティティは秘密アルゴリズムが装荷された暗号鍵生成手段、例えば I Cカードを装着し、相手倒の識別子を入力するのみで良く操作が非常に簡単となる。この場合、相手側の識別子に基いて発生される暗号鍵 kを用いて暗号化、復号化されるので、機密性が向上する。

更に、いくつかの識別子と秘密アルゴリズムの組、たとえば（ y _A , X _ft ) , ( y _B , X _B ) , ( y c . X _c ) だけから、別の識別子に対する秘密アルゴリズム、たとえば y _n に対する X _D を求める,ことが、莫大な計箕量を要し、実際上実亍不可能であることが一般には望ましい。この条件は、（ y _A , X _A ) , ( y B ， X _B ) , ( y _c , X _c ) ,…だけからセンタのァルゴリズム Gを事実上計算できないことも含む。

本発明の他の実施例としては、上記秘密アルゴリズムを第 5図のように、 1個又は複数個の I Cカード 2 a等の物理的に保護された計算機に収容すると、更に高いセキュリティを有する暗号鍵共有方式が構成できる。

この場合、各ヱンティティは自分の秘密アルゴリズムを取り出すことができず、いくつかのエンティティが結託してそれぞれの秘密アルゴリズムを集めてセンタアルゴリズム G又は Gと等価なアルゴリズムを導くという行為自体をも防止できる。但し、本発明においては Gが、たとえ秘密アルゴリズムを多数利用しても安全が保たれるように構成されるので、仮に I cカード等の ¾ί理的安全性が破れたとしても、システム全体は安全である。

更に、共有暗号鍵を発生させる手順も単に識別子を入力する外は、 I Cカード等の内部で行えるので、暗号鍵共有のためのエンティティの作業上の負担は非常に軽減される。

第 5図において、エンティティ Αがセンタにネフトワークの加入申請を行い、.秘密アルゴリズム発生装置 1を介して秘密アルゴリズムの埋め込まれた I Cカード 2 aが発行され、エンティティ Aに I Cカード 2 aを装着した後エンティティ Bの識別子 y _B を入力して共有の暗号鍵 kを生成している。但し、第 5図では秘密アルゴリズムを 1枚の I Cカードに埋め込んだ例を示しているが、秘密アルゴリズムを任意に分割して I Cカードあるいは磁気カード、磁気テープ、バーコ一ド、光メモリ、 I Cメモリ、あるいはフロッピ一ディスク等いかなるデータ記憶媒体及びノ又はコンビュータシステム、 I Cカード、ワンチップマイコン、演箕プロセッサ及びそれ等を構成したモデム等、計箕能力を有するいかなる装置に分難して構成しても良い。

次に、センタアルゴリズム Gと秘密アルゴリズムの作成方法の例を示す。

まず、 2 つのエンティティ A ， B間での暗号鍵共有の場合を考える。

第 6図はセンタアルゴリズム Gの構成法を示すものであり Gは、はじめに 1入力 1出力のアルゴリズム G t , G ₂ 及び 2入力 1 出力のアルゴリズム H , Φを用意する。但し、 Φは対称関数を表現するものとする。

これらのアルゴリズム G , ， G ₂ , Η , Φを取り扱うアルゴリズム or , , or ₂ , を用意し、 or , により G ₂ と Hを合成してアルゴリズム F , を作成し、 1 により G , と Hを合成してアルゴリズム F ₂ を作成する。

次いで、エンティティ Aの識別子 y _A に , G z を施した結果 2 _A1 , z _A2と前記アルゴリズム F t , F.₂ , Φをアルゴリズムにより結合し、第 7図のようなエンティティ Aの秘密アルゴリズム X A を出力する。

第 6図中でアルゴリズム or , , or ₂ が行う合成は、ァルゴリズム合成法と呼ばれ、 F , , F z はそれぞれ合成アルゴリズムとして下記の.式により表わされる。

F , = H ( - , G₂ ( * )) … （ 3 — 1 )

F ₂ = H ( G , ( · ), *) … （ 3 - 2 ) 但し、 · ， *はそれぞれ識別子（バラメータ）を示す。ここで、合成アルゴリズム F , , F 2 からはアルゴリズム H , G , ， G_z が実際上導けず、 , F 2 の内容を知ることが難しい。すなわち、 OBSCURE であるものを作り出す合成法であることが判る。

第 6図のセンタアルゴリズム Gにより構成された第 7図のエンティティ Aの秘密アルゴリズム X _A 及び、同様に搆成されたエンティティ Bの秘密アルゴリズム X B が、正しく機能することは、以下のようにして確かめられる。 X A ( y ₈) = Φ ( F z _A1 , y _B) , F ₂( y _B , z _AZ))

= ( H (G_t (y _A) , G₂( y _B)) ,

H ( G , (y _B) , G₂( y _A)))

- Φ (H ( G _t ( y _B), G₂( y ) ,

= ( F ₁ ( z B i , y A) , F 2 ( y _A , z _B2))

= X_B (y_A) ··· ( 4 )

OBSCURE なアルゴリズム合成法の他のものとしては、（1) 松本他「暗号化変換の自明でない表現を用いる非対称暗号系 J 昭和 5 8年度電子通信学会情報システム部門全国大会論文集、 1983年 9月、 a S 8 - 5、第 1 -469〜 1 -470 、 (2) 松本他「多変数多項式タプル非対称暗系の構成理論」 1986年 2月 7 日、 1986年暗号と情報セキュリティシンポジウム資料 E 2、暗号と情報セキュリティ研究会、電子通信学会情報セキユリティ時限研究専門委員会、（3)Matsumoto et al. "A crypto- graphical ly useful theorem on the connection between uni and multivariate polynomials, The Transaction of The IECE of Japan, Vol. E68₃ Na3, PP.139- 146 , arch 1985, (4) Imai , et al . Algebraic Method for Constructing Asym - metric Cryp tosys terns , " 3rd International Conference on Ap lied Algebra, Algebraic Algorithms and Symbol ic Compu ation, Error Correcting Codes (Jul 15- 19 , 1985 , Grenoble, France) , Springer Verlag. 等によるものがあヽこれらを適用することも可能である。

次に、 2 つのエンティティ Α , Βについて、センタァルゴリズム G、秘密アルゴリズム X A , X B ， …の行列を用いた具体例を以下に示す。

可換環 R上の n行 m列行列の全体からなる集合を / _a ( n , m) と表す。 Rには、たとえば、正整数 qを法とする剰余環 z <, = { 0 , 1 , 2 , - , q - 1 } などが採用できる。

まず、 G , , G z , H G R ( η , n ) を選び、合成アルゴリズム

F = H G … ( 5 - 1 )

F 2 = G 1 H … ( 5 - 2 ) なる F , ， F 2 € R ( η , n ) を計算する。式（ 5 — 1 ) の Tは転置を示す。

次に、 y _A , y B ≡ H ( 1 , η ) に対し、 ζ _Α1 , ζ A ζ B i , ζ _B2e ^ R ( 1 ， η ) を以下のように計算する。

z _A1 = y _fl G , … （ 6 - 1 ) z _AZ = y _A G ₂ … （ 6 - 2 ) z B . = y B G , … （ 6 — 3 ) z 82 = y B G 2 ― ( 6 - 4 ) 従って、

z A. F , y B^t = ( y _AG ,) (H G _Z ^T) y _B ^T

= y A ( G t.HHGzT y _B ^T)

= 7 A ( G , H) ( y _B G ₂) ^T

= A F 2 z 82 ( 7 )

すなわち、

z A i F i y B = y A F 2 z ( 8 - 1 ) が成立する。同様に次式も成り立つ。

z a 1 F I y _ft ^T = y B F ₂ z A Z ( 8 - 2")

したがって、可換環 Rにおける乗箕を *で表すと、 *の可漠性と式（ 8 — 1 ), ( 8 - 2 ) により、

( z _A1 F , y B^t ) * ( y B F _z z _A2 ^T)

= ( y B F 2 Z B 2 ^T ) * ( Z _{A t} F ! y B ^T )

= ( 2 _{B 1} F ! y A^t) * ( y A F ₂ z B Z ( 9 )

が成り立つ。

そこで、

G ( y _A) = X A (10— 1 )

G ( y _B) = X B (10- 2 )

X_ft ( y B ) = ( 2 _fll F ! y B^t) * ( y B F z z _A2 ^T)

― (If- 1 )

X_B ( y _a) ( z F ! y _a ^T) * ( y A F z z B Z

… (11- 2 ) のようにアルゴリズム G , X _a X_B 、を定めれば、式（ 9 ) より、

X A ( y e ) = X B ( y A ) … （12)

が成り立つ。

3つのェンティティ以上の場会も 2つのェンティティの場合と同様にセンタアルゴリズム G、および秘密アルゴリズム X A , _B , X_c , …を構成できる。一例として 3 ェンティティの場合を第 8図、第 9図に示す。

最後に、上記とは少し異なるが、同様の考え方により構成される具体例を 2つのエンティティの場合につき以下に示す, 対称行列 G e ^ _R ( n , n ) を選ぶ。すなわち、 G = G^T が成り立つものとする。 - センタアルゴリズム G、秘密アルゴリズム： X X を、

G y (13 1 ) G ( y = X (13 2 )

X ( y _B) = x Φ ( y (14 1 ) X _B ( y _A) = x Φ ( y (14 2 ) と定める。但し、

τ Φ ( y ) G … (15- 1 ) ϊ B = Φ ( y a) G … (15- 2 ) であり、 øは、〃 _R ( l , n ) から / / _R ( 1 , n ) への関数 'を表すアルゴリズムで、

Φ ( y ), Ψ ( y ), Φ ( y c ,…

が可換環 R上線形独立となるものとする

このとき、

X ( y

= x Φ ( y _B))^T

= ( Φ ( y _A) G) ( Φ ( y _B))^T

= ( Φ ( y ) G ( Φ ( y ₈) ) ^T ) ^T

= Φ { y G ^T ( y _a) ) ^t

= ( Φ ( y ₈) G) ( Φ ( y _A) ) ^T

= x B ( Φ ( y _A) ) ^T

= X 8 ( y (16) すなわち、

X y _B) = X ( y (17) が成り立つ。したがって、上式の値を共有すべき暗号鍵 kとすればよい。 - 以上詳述したように、本発明の第 1 の形態によれば、一度も会っていない（通信したことがない）相手と共通の暗号鍵を、その相手の識別子を入力するだけで簡単かつ安全に計箕することができ、容易に任意の当事者間での、暗号文による通信を行うことが可能となる。

以上、本発明者により発明された暗号鍵事前分配方式（Key Pred i s tr i bu t i o n Sys tem、以下、 K P S と略す）とも呼ぶベき共用暗号鍵生成装置とその共用暗号鍵を用いた通信方式について述べた。

以上暗号鍵の生成を段階を追って一般的にまとめると、次の 3段階（-手順）に犬別される。

a . 手順 1 ：センタアルゴリズムの作成

b . 手順 2 ：各エンティティ用の秘密アルゴリズムの作成- 配布

c . 手順 3 ：エンティティ相互のグループによる鍵共有手順 1 は、システムの立上げ時又は更新時だけに必要な操作であり、各センタ、センタ p とするが、特別なアルゴリズム、すなわちセンタ p だけが秘密に保持するセンタアルゴリズム G pを生成することを指す。ただし、 G pを生成する方法については、すべてのエンティティもしくはエンティティの代表の間で合意を得ておくものとする。

手順 2 は、各エンティティのネツトワークへの加入時にセンタとエンティティにより行われる操作である。各ェンティティ、エンティティ〖とする、に固有で公開され半固定的に用いられる各エンティティの識別子 y i に、各センタ pがセンタアルゴリズム G pを施して各ェンチイティ専用の秘密ァルゴリズム X pi = G p ( y ί ) を作成する。エンティティ i 用の秘密アルゴリズム X i i , X ₂ i , … , X s iを個別に、もしくは適当な方法により結合して、エンティティ i だけに、たとえば I Cカード等に装荷して、配布する。エンティティ i は受けとつた秘密アルゴリズムの組もしくはそれらの結合されたもの X i を秘密に保管する。

手順 3 は、手順 1 , 2 の終了後に、暗号鍵を共有したいグループにより行われる操作である。グループに属する各々の' エンティティは、グループに属する自分以外の全てのェンティティ ¾識別子を自分の秘密アルゴリズムに入力することにより、同一の暗号鍵 kを共有する。たとえばエンティティ A とエンティティ Bが暗号鍵 k _ABを共有したい場合は、それぞれ次のように k _{A B}を計箕する。 '

k _{A B} = X A ⁽²⁾ ( y _B) · ·· ( 18 - 1 ) k _{A B} = X _B ^<2> ( y _A) · ·· (18 - 2 )

又、エンティティ A、エンティティ B 、エンティティ Cが暗号鍵 k _{A 3 e} を共有したい場合は、

k _{A B C} = X A ^{<3 )} ( y B , y c ) ·' ( 19 - 1 ) k Λ Β Ο = X _B ^{(3 )} ( y c , y _a) ·' ( 19 - 2 ) k _{A B C} = X c ^{(3 )} ( y A . y _B) ·' (19— 3 )

のようにしてそれぞれが k _A8(：を計算するにズ 1 <e) は、 e個のエンティティからなるグループで鍵共有を行う時に用いるエンティティ i の秘密アルゴリズムを表す。

- 次に、 K P S—般の安全性について述べる。

K P Sにおいては、秘密アルゴリズムの配布時に、秘密ァルゴリズムを渡すべきエンティティを正しく認証（同定）する必要があるが、エンティティ認証（本人確認）がきちんと行われていることがすべての暗号的手段の大前提であるからエンティティ認証の問題は K P Sに特有の問題ではない。

K P Sにより各グループが共有する鍵（マスタ键）は各グループに固有のものであり、センタアルゴリズムを更新しない限り、不変である。したがって、 K P Sは、いわゆるマスタ鍵を共有するための方法であるといえる。マスタ鍵がダルーブ外に漏れた場合でも、新しいマスタ鍵に代えることはで -きない。そこで、適当な期間の後にセンタ'アルゴリズムの更新をすることが望ましい。しかし、たとえば 2つのェンティティのグループの鍵共有のために、 3つのエンティティのグループに対する鍵共有用の秘密アルゴリズム X i ^{( 3 )} を用いれば、適当な乱数、例えば凝似乱数、線形合同法等による乱数を交換することにより 2つのエンティティの間で毎回異なる鍵 kを共有することができる。たとえば、ェンティチイ A とエンティティ Bがどのエンティティの識別子とも異なる乱数 rを用いて、

k = X _A ^{< 3 >} ( y _B , r ) - ( 20 - 1 ) k = B ^{< 3 >} ( r , y _A ·) - (20 - 2 ) のように鍵共有鍵 kを共有できる。

さて、 K P Sにおいてはセンタアルゴリズムに関する情報を秘密アルゴリズム X i という形で各エンティティに分散しているわけであるから、単独のェンティティ又は協力した複数のエンティティにより適当な計算量を費やせばセンタアルゴリズム又は ¾力したェンティティ以外のェンティティ用秘密アルゴリズム X t又はその一部を必ず求めることができる。

秘密アルゴリズムを、物理的に保護され計算能力を有する何らかの装置、たとえば C P Uおよびメモリを内蔵する I C カード、の中に埋め込み、各エンティティが、自分の秘密ァルゴリズムを知ることなしに実行できるような工夫を施せば、センタアルゴリズムや他のエンティティの秘密アルゴリズム X t又はその一部'が暴かれることはない。したがって、物理的セキュリティが完全に保たれるような環境においては、いかなる K P S も安全であるといえよう。

しかしながら、現在の I Cカード等の物理的セキュリティは完全とはいえず、実際には完全な物理的セキュリティを期待することは難しいので、多くのエンティティが結託（協力）しなければセンタアルゴリズム又は X t又はその一部を決定するために充分な情報を得られないか、又は、充分な情報が得られてもセンタアルゴリズム又は X t又はその一部を求めるための計箕量が多大となるような工夫が K P Sには要求されると考えられる。 BiJ者ばいわゆる uncond i t i ona 1 security こ、後者ま、わゆる computational secur i ty こ対応すると言る。

unconditional secur i tyの証明は一般に難しくない力く、 computational secur i tvの証明は現在のところ、素因子分解等の適当な問題を解く難しさを仮定せずにはうまく行えない, ある程度の数のヱン-ティティが結託しない限り安全であるとゝぅ意味で unconditional ly secureな K P Sをべクトスレの 1次独立性を利用して構成する場合について述べる。第 1 0 図において、相互に独立な複数のセンタ内の第 1次センタァルゴリズム生成装置 1 a〜 1 dがエンティティ Aの識別子 7 A を入力し、相互にべクトルの 1次独立関孫にある第 1次のセンタアルゴリズム g_P1 ( X ) 〜 g _P4 ( x) を生成する。次いで統合センタ内の装置 1 eが、これら第 1次のセンタァルゴリズムを統合して、統合センタアルゴリズム G _P ( ) を生成する。エンティティ Aの秘密アルゴリズム X_A は装置 1 eにおいてセンタアルゴリズム G _P ( X ) に基いて生成される。 '

この方式ば、センタが 1 つである場合の秘密アルゴリズムを用いた前述の実施例に比し、安全性が向上することはいうまでもない。すなわち、以下、センタが 1つの場合の線形代数に基づく K P Sを拡充し、安全性を向上させる手段について詳述する。

第 1 1図は、第 1図に対応する構成を概略的に図解した K P Sの応用例を示す。同図において、送信側のェンティティ Aが相手の識別子 y _B を入力して秘密アルゴリズム X_a を適用して共有鍵 kを生成し、暗号手段 42 aに印加してメッセージ mから暗号文 Cを生成する。結合手段 44a は暗号文 C、相手側識別子 y _B および自己の識別子 y _a を組合せて、「宛先（ y _B ) 、差出人（ y _A ) 暗号文（ C ) 」から成る情報を送信手段（図示せず）および回線（チャネル） 6を介して相手側に送出する。受信側のエンティティ Bは、受信手段（図示せず）を介して送信情報を入力し、選択手段 54 a において自己の識別子 y _B を用いて自分宛ての通信文であるか否かを判定する。自分宛の通信文ならば相手の識別子 y A と暗号文 Cを分離手段 55 aに送出する。分難手段 55 a は相手の識別子 y A と暗号文 Cとを分離する。相手の識別子 y A は I Cカード等の暗号鍵生成手段 3 a に印加され、秘密アルゴリズム X _B を介して共用暗号鍵 kを発生させる。復号手段 52 a は暗号文 Cに共用暗号鍵 kを適用して送信側からのメッセージ m を復元する。

このよう、に、■ K P Sを用いると、通常の郵便のようにメイル通、すなわち方向の暗，通信が簡単に実現できる'。宛て先が 2つ以上の場合でも、いわゆる ^β 同報性の認証 " を行いつつメイル通信ができる。なお、電話のような対話通信にも適用できることはいうまでもない。

線形代数に基づく K P Sについて述べる。尚、センタが 1 つの場合については、すでに第 1図〜第 8図に関連づけた実施例において前述した。

¾下に定義する方式を「線形スキーム」と名付けることにする。

gを素数べき、および、 m , s ， hを正の整数として、ベクトル Qを

Q = G F ( q ) … ( 2 1 ) とおき、 Q上の m次元横ベクトル全体のなすベクトル空間を Q^m で表す。

各エンティティ、エンティティ i とする、の識別子 y i は集合 I の元であるとし、 i ≠ j ならば y ί ≠ j j であるものとする。

又、 Rvを、 Iから Q^m への单射（ 1対 1写像）を表現するアルゴリズムとする。

各センタ、センタ p , p = 1 , 2 , ··· , s は、 h偭の Q上 m次対称行列 G_Pl , G_Pz , … ， Gphをランダムかつ一榛に他

2

のエンティティとは独立に選び 2、センタアルゴリズム G pを生成する。 G p は、各 y i e I に対して秘密アルゴリズム X p i

Xpi ( I )- = xpi.Rr ( —） ^T … (22).

を作成するアルゴリズムであると定める。ただし X piは、

Xpi R r (yi) G_Pl

R r (yi) Gp₂

(23)

R r (yi) Gph

により定められる Q上の h x m行列である。 ^T は耘置を意味する。は相手の識別子 y j を入力するために設定された変数を示す。

各エンティティ i は各センタからアルゴリズム Xpiを入手し、これからエンティティ〖専用の秘密アルゴリズム X i を次のようにして作る。

X i ( ） = X ί R_r ( ξ ) ^τ , … （24) x ∑ X p i (25) センタ p は、アルゴリズム X p iをエンティティ i だけに渡すことが、重要である。

なお、 I Cカード等を用いれば秘密アルゴリズム X i を自動的に得ることも可能である。たとえば、まず、ェンティティ i が I Cカードを入手し、書き込みは誰でもできるが読み出しはエンティティ i にしかできないように初期化してセンタ側に渡し、各センタに xpiを入力してもらい次々と I C力 ― ド内部で総和をとり、最終的に X i が作られた段階で I C カードをエンティティ i に戻してもらう、という方法による。いずれにしても、最終的にエンティティ i は秘密アルゴリズム X i を持つ。 ·

エンティティ i とエンティティ j が暗号鍵を共有したい場合、エンティティ i は X i (yj)を、エンティティ j は Xj (yi) を、それぞれ鍵として計算する。 X i (yj)と X j (yi)は共に Q上の h次元縦べクトルであり、両者が一致することは、

X i , X j の定義から容易に導ける。

以上はグループが 2つのエンティティからなる場合であるが、一般に e個のエンティティ（ e ^ 2 ) のグループの場合には、前記の Gpi , すなわち双線形写像のかわりに、 e個のエンティティについての重線形写像を用いれば同様な方式が実現できる。

次に、「線形スキーム」の安全性について考える。この方式への攻撃としては、センタによる攻撃とェンティティによる攻撃の両方を考える必要がある。

この方法を完全に破ることば、

G j =∑ G pj ( j = 1 , 2 , … ， h ) ( 26 ) なる行列 G i ， G 2 , ·" , G h を並べた行列

G = C G _t , G ₂ , - , G h ] ··· (27 )

を決定することと等価である。

よって、すべてのセンタが結託しない限り、たとえいくつかのセンタが結託したとしてもセンタアルゴリズム Gを全く决定できない。したがって、いかなるグループの暗号鍵も全く決定できない。，

又、少なくとも rank G偭のエンティティが結託しない限りセンタアルゴリズム Gを完全には决定できない。 rank Gは m 又は mに近い値をとる確率が大きい。

しかし、 rank G "個未満のェンティティの結託によっても、結託ェンティティ数が増えれば增えるだけ、 Gに関する情報. したがって、各エンティティの秘密アルゴリズムに関する情報をより多く入手できることは確かである。そこで、結託したエンティティが、他のエンティティ間の暗号鍵をどの程度決定できるかを考察すると、次の锫論を得る。

システムに加入しているすべてのェンティティの集合を E とおく。このとき、

「 Eの部分集合 E _B に属すすベてのェンティティが結託しても、 E— E _B に属す任意の 2つのエンティティ間で共有される暗号鍵を全ぐ決定できない」という条伴を満足させるためには、

「各 i S E — E _B についてベ-クトノレ R _r (yi)がべクトノレの集合 { R (yi) l j S E_B } に 1 次独立であること」が必要十分である。

したがって、エンティティの結託に対する安全性の問題は、べクトルの集合 U ：

U = { R _r (yi) I i e E }

における 1 次独立性の問題に移して論じることが可能となる。特に、「線形符号の理論」と密接な結びつきが生じる。

実際、べクトルの集合 Uに属すすベてのべクトルの転置べクトルを横に並べてできる行列をパリティ検査行列とする、符号長 n、検査記号数 mの線形符号を C とすると、「 Cに

(Hamming) 重み wの符号語^存在すること」 'と、「（w— 1 ) エンティティの結託により他のエンティティ間の鍵が決定できる場合が存在すること」は同値である。

特に、「 Cの最小（Hamming)重み [最小距離 ] が b + 2以上であること」は、「任意の bエンティティの結託によっても他のエンティティ間の任意の鍵を全く決定できない」ための十分条件である。

したがって、代数的ノ代数幾何学的符号理論に基づいてァルゴリズム R _r を選ぶことができる。この場合、 y i を適当なべクトルとみなすと R_r(yi)は y i の成分に関する単項式を並べたものになる。よって、アルゴリズム X i は項式（タプル）等となる。対応する線形符号としては、（ e ) - G R M符号、 B C H符号、 R S符号、 Goppa符号等を用いることになる（嵩他、「符号理論」コロナ社、 1975年）。しかし、これらの R_r の評価（計寘）をすることは、が大きい場合. あまり効率より行えない。

ところが、符号理論における &ilberい Varsharmovの定理を

K P Sの言葉に翻訳すると、次の如くなる。

素数べき ¾、正整数 m及び bが与えられたとき、

m b

< Φ ( ) … (28)

II n

ただし、

Φ ( X ) = X log_q ( q - 1 ) - X log, x - ( 1 — X ) log, ( 1 — x) … (29)

を満たす、許容結託ェンチイティ数 b以上、秘密アルゴリズムの記憶量 hra— 4og_zq [ bit 】、総エンティティ数 nの線形スキームが存在する。ここに hは任意の正整数である。

又、大部分の線形スキームは^ (28)を満たすパラメ一タを有することも、符号理論の結果から導ける。

そこで、再生可能な疑似乱数系列を高速に発生するァルゴリズムをこ選ぶことができる。

この点では線形符号の通常の利用法と異なっている。逋常の応用では、復号アルゴリズムを効率よく実現する必要上、何らかの構造を利用した符号を用いるが、 K P Sのための線形スキームにおいては、復号に相当するアルゴリズムの効率を考える必要が全くないために、ランダムな符号を甩ぃ得るのである。

線形スキームの安全性に蘭する以上の検討の結果を表 1にまとめた表 1.

次に、線形スキームに関する種々の記億量 · 計箕量を評価する。

各センタは、アルゴリズム R と h個の対称行列 G p , , G p ₂ , … ， Gphを記億しており、各エンティティの加入時に、

R _r (yi)を計算し、更に R (yi)に Gp, , Gp₂ , … ， Gphを掛けて x piを求めるので、表 2 のような記億量 · 計箕量を必要とする。表 2 は、線形スキームの Complexityを記億量と計算量とで表わしたものである。 ' 表 2.

又、各ェンティティは、ァルゴリズム Rと行列 X iを記億しており、鍵共有時に R_r(yi)を計箕し、 R_r(yj)^T に x iを掛けて暗号鍵を求めるので、表 2のような記憶量 · 計算查を必要とする。

なお、 m , b 与たとき、 Gi lber t-Varsharmov bo-undよ

b

り定められる nは、 —— が小さいとき n ^ m 2 ··· (30) と近似できる。

q = 2かつ h = 6 4 としたときの数値例を、表 3 に示す

表 3.

' 表.3より、たとえば m = 2 ¹³ , b = 2⁸ の場合には、各センタが約 4ギガビット（ G b it)を記憶し、各エンティティが約 512キロビット（ Kbit)を記億する線形スキームで、システム全体を破るにはすべてのセンタの結託又は約 8192以上のエンティティの結託が必要であり、 256以下のエンティティが結託しても他の 2エンティティ間の鍵を全く決定できないもので、約 2⁴。 ( = 10¹²) 個までのエンティティのうちの任意の 2 エンティティ間で 6 4 ビットの鍵を共有できるものが存在することがわかる。これに対し、すべてのエンティティとの鍵をあらかじめ共有しておく原始的な方法をとつた場合- 各エンティティは約 6 4テラビット（Tbit)を記憶しなければならない（ 1 [ T b ] = 1024 [ Gbit ] ) 。

本発明に基づく K P Sの特徴を調べるために、従来の他方式と比較してみる。

従来、暗号通信を行うには第 1 2図（a) に図示の共通鍵暗号化方式、および第 1 2図（b) .に図示の公開键方式が用いられてきた。第 1 2図（b) は左から右へそれぞれ、公開鍵配送方式、公開鍵暗号化方式および公開鍵署名方式を示す。

一方、本発明に基づく K P Sは、第 1 2図（c) の如く模式化される。

表 4に以上の諸方式の比較桔果を示す。表 4において、方式 I ， a , bは第 1 2図（a) 内の（a) (b)に対応するもの、方式 , a , b , c は第 1 2図（b) 内の（a) (b) (c) に対応するもの、方式 1は第 1 2図（ど）の本発明の K P Sを示す。評価対象としては各エンティティの Comp l ex i tyを示す、記億量、システム加入時の通信量：通信量（1) 、暗号通信準備のための通信量：通信量（2) および暗号通信準備のための計箕量がある。また、センタ側の評価対象としてば、センタの必要性

(有無）、センタの負担、センタの M g Bro ther 性（B B性）およびメィル通信の難易性を挙げた。

表 4から、本発明の K P Sが、総合的にみて不特性多数のエンティティ間の暗号通信に対して従来の他の方式より優れていることが判る _β

表 4

(±) n ：ネットワークの總エンティティ数、 S ：センタの数、 m :¾^¾バラメ一タ、び：

力されること、

a ： ί§|¾ (authenticity)力^ されること。

+ 0(1) に可能

+⁺ sをば十分小となる。以上、 K P Sのための線形スキ一ムについて詳細に説明した。 -

K P Sの実現法は線形スキームの他にも存在し得る。たとえば、センタアルゴリズムをアルゴリズム合成法による Obs cure なアルゴリズムとして構成することが考えられる。 O bscure ,アルゴリズム合成法についての詳細は前述の諸文献を参照されたい。

Claims

請求の範囲

1. 暗号鍵を共有すべき複数のエンティティ間で定められた要件の下でセンタだけが秘密に保持するセンタァルゴリズム（ G ) を生成し、さらに、前記複数のエンティティの各個に固有に定められ、公開され、半固定的に用いられる識別子

( y A , y a , 〜）を前記センタアルゴリズムに適用して前記複数のエンティティの各々に固有な秘密アルゴリズム

( X A , ₈ , 〜）を生成する、秘密アルゴリズム生成装置

( 1 ) と、

少くとも前記秘密アルゴリズムを記憶するメモリを有し、前記秘密アルゴリズム生成装置における秘密アルゴリズム生成時に秘密アルゴリズム生成装置に接続されで'対応するェンティティの秘密アルゴリズムが前記メモリに記億され、暗号文を送受すべき相手エンティティの識別子を該秘密アルゴリズムに適用することにより共通の暗号鍵（ k ) を生成する、複数の暗号鍵生成手段（ 2 , 3 , 〜）と、

を具備する、共用暗号鍵生成方式。

2. 前記秘密アルゴリズム生成装置が、相互に独立に作動しそれぞれ独立な第 1次センタアルゴリズム ( P . ( ) , g p z ( x ) , ··· ) を生成する複数の第 1次センタァルゴリズム生成装置（ 1 a〜 1 d ) 、および、該第 1次秘密アルゴリズム生成装置で生成された複数の第 1次センタアルゴリズムを統合し、該統合されたセンタアルゴリズムに基いて各ェンティティ固有の秘密アルゴリズムを生成する装置（ 1 e ) を具備する、請求の範囲第 1項に記載の共用暗号鍵生成方式。

3. 前記第 1次センタアルゴリズ-ムをァルゴリズ厶合成法により生成する、請求の範囲第 2項に記載の共用暗号鍵生成方式。

4. 前記第 1次センタアルゴリズムは、ベクトルの 1次独立性を保って生成される、請求の範囲第 3項に記載の共用暗号鍵生成方式。

5. 前記第 1次センタアルゴリズムは、べクトルの 1次独立性を保って生成される、請求の範囲第 2項に記載の共用暗号鍵生成方式。

6. 前記センタアルゴリズムをァルゴ "ズム合成法により生成する、請求の範囲第 1項に記載の共用暗号鍵生成方式。

7. 前記複数の暗号鍵生成手のそれぞれが、秘密アルゴリズムを記億し、物理的に保護し、暗号鍵生成のための計算能力を有する手段を具備する、請求の範囲第 1項に記載の共用暗号鍵生成方式。

8. 前記暗号鍵生成手段が、メモリおよび演箕装置を有して成る半導体集積カードである、請求の範囲第 7項に記載の共用暗号鍵生成方式。

9. 暗号鍵を共有すべき複数のエンティティ間で定められた要件の下でセンタだけが秘密に保持するセンタアルゴリズム（ G ) を生成し、さらに、前記複数のェンティティの各偭に固有に定められ、公開され、半固定的に用いられる識別子 ( y A , y 8 , ··' ) を前記センタアルゴリズムに適用して前記複数のエンティティの各々に固有な秘密ァルゴズム ( X _A , B , 一）を生成する、秘密アルゴリズム生成装置

( 1 ) と、 - 少くとも前記秘密アルゴリズムを記憶するメモリを有し、前記秘密アルゴリズム生成装置における秘密アルゴリズム生成時に秘密アルゴリズム生成装置に接続されて対応するェンティティの秘密アルゴリズムが前記メモリに記憶され、暗号文を送受すべき相手エンティティの識別子を該秘密アルゴリズムに適用するとにより共通の暗号鍵（ k ) を生成する、複数の暗号鍵生成手段（ 2 , 3 , ··· ) と、

伝送系（ 6 ) を介して接続された少くとも 1対の送信および受信ェンティティ（Α , Β ) であって、送信側ェンテ < ティが前記暗号準生成手段と協働し該暗号鼙生成手段からの共通暗号鍵に基いて平文（m) を暗号化する手段（42 , 42 a ) を有し、受信側エンティティが前記暗号鍵生成手段と協働し該暗号鍵生成手段からの共通暗号鍵に基いて前記伝送系と介して前記送信側エンティティから送出された暗号文（ C ) を平文に復号する手段（52 , 52 a ) を有するもの、

とを具備し、前記共通暗号鍵に基いた暗号文を伝送する、共用暗号鍵を用いた通信方式。

10. 前記送信側エンティティが、前記暗号文の外、受信側識別子および自己の識別子を送出し、

前記受信側ェンチイティが受信情報から前記受信側識別子を抽出して自己宛の情報であることを確認後、送信側の識別子を抽出して前記暗号鍵生成手段に印加することにより共通暗号鍵を生成させるようにした、請求の範囲第 9項に記載の通 ft方式,