JP2000165374A - ユーザー装置への秘密の固有情報の配送方法、暗号送信装置、暗号受信装置 - Google Patents

Abstract

(57)【要約】 【課題】 秘密に保持するデータが少なく秘密保持が容
易であり、メモリー容量も少なくてすむ、ユーザー装置
への秘密の固有情報の配送方法を提供する。 【解決手段】 センター１と各ユーザーＡ２，Ｂ３，
・・・間、および、各ユーザーＡ２，Ｂ３・・・間の通
信をするネットワークが構成されている。各ユーザーＡ
２，Ｂ３，Ｃ４・・・は、固有のＩＤ情報を、センター
１へ登録すると同時に公開する。センター１は、各ユー
ザー固有のＩＤ情報に対応する第１および第２の秘密の
固有情報ｅ_φ，ｓ_φを計算するアルゴリズムを用いて、
配送用の秘密の固有情報ｄ_φ（φ＝Ａ，Ｂ，Ｃ・・・）
を計算して、十分安全な通信路あるいはＩＣカードへ入
れて各ユーザーＡ２，Ｂ３，Ｃ４へ配送する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号システム、鍵
共有システム、証明通信システム、ディジタル署名シス
テム等において、センターがあらかじめ複数のユーザー
に、初期値として各ユーザーに固有の秘密の固有情報を
配送しておくことにより、統一的にシステムを管理する
技術に関するものである。一例として、暗号通信システ
ムでは、各ユーザーが、例えば、共有鍵を持ち、メッセ
ージを平文として暗号化して送信し、受信側で同一の共
有鍵によって復号して安全な通信を行うことができる。
ここでユーザーとは、情報をやり取りする主体を示し、
通信装置、通信端末、機械、計算機などの装置である。
ＣＰＵおよびメモリー等を内蔵するメモリーカード、チ
ップカード等のＩＣカードを含む。メッセージとは、テ
キスト，音声，画像，プログラムリストなどのデータで
ある。

【０００２】

【従来の技術】統一的な暗号方式の一つとして、従来よ
り公開鍵暗号方式が知られている。その一例として、Ｒ
ＳＡ暗号方式がある。Ｐ，Ｑを２つの大きな素数とし、
Ｎ＝ＰＱとする。すると、Ｎのカーマイケル関数（Carm
ichael function）は、Ｌ＝lcm｛Ｐ−１，Ｑ−１｝で与
えられる。ここでlcmは最小公倍数を表す。ｅをＬと互
いに素な正数とし、ｅの逆元としてｄをｄ＝ｅ^-1（mod
Ｌ）として定義する。ここでメッセージブロックＭが
与えられたとして、暗号化と復号が次のように実行され
る。 暗号化 Ｃ＝Ｍ^e （mod Ｎ） 復号 Ｍ＝Ｃ^d （mod Ｎ）

【０００３】また、公開鍵暗号方式の別の一例として、
エルガマル（ElGamal）の公開鍵暗号方式がある。Ｐを
大きな素数とし、ｇをガロア体ＧＦ（Ｐ）の原始元と
し、Ｐとｇは公開する。ユーザーＡがユーザーＢに対し
てメッセージＭの暗号Ｃを送りたいとする。まず、Ｂは
Ｂの秘密の固有情報ｓ_B（ｓ_Bは１≦ｓ_B≦Ｐ−２）なる
乱数を選び、次式のｈを公開鍵として公開する。

【数１】

【０００４】それからユーザーＡは、乱数ｒ（ｒは０≦
ｒ≦Ｐ−２）を発生し、メッセージＭを暗号化して暗号
Ｃ＝（Ｃ₁，Ｃ₂）を得る。ここで、

【数２】 であり、この暗号文ＣをユーザーＢへ送信する。

【０００５】最終的にＣ＝（Ｃ₁，Ｃ₂）を受信したユー
ザーＢは、Ｂの秘密の固有情報ｓ_Bを使って、以下のよ
うに、メッセージＭを復号する。

【数３】

【０００６】上述した「公開鍵暗号方式」では、暗号化
鍵と復号化鍵とが異なっており、暗号化鍵から復号化鍵
を容易に求められない特徴がある。暗号化鍵は、公開鍵
として公開されたファイルなどに登録されており、通信
の際に、相手の公開鍵を利用して暗号をかけて通信する
ことができる。この方式は、公開ファイルを参照すれ
ば、どのユーザーとも暗号化鍵の共有が可能である。し
かしながら公開ファイルに対する管理が必要である。

【０００７】これに対し、いわゆる「ＩＤベース暗号シ
ステム」という鍵配送方式があり、通信相手のＩＤ情報
（住所や生年月日、電子メールアドレス、顔写真、指紋
など、ユーザーの固定情報）を用いるだけで、公開ファ
イルを参照することなく暗号鍵を共有する方式がある。
この方式の一例が、例えば、特開昭６３―３６６３４
「暗号鍵共有方式並びに同方式用装置」として知られて
いる。

【０００８】図８は、従来のＩＤベース暗号システムの
説明図である。図中、１はセンター、２はユーザーＡ、
３はユーザーＢ、４はユーザーＣである。まず、センタ
ー１は、センターのアルゴリズムＧを生成し、秘密に保
つ。ネットワーク内のユーザーＡ２，ユーザーＢ３，ユ
ーザーＣ４，・・・のＩＤ情報を、それぞれ、ｙ_A，
ｙ_B，ｙ_Cとする。センター１は、ユーザーの秘密のアル
ゴリズムＸ_A，Ｘ_B，Ｘ_Cを、Ｘ_A＝Ｇ（ｙ_A），Ｘ_B＝Ｇ
（ｙ_B），Ｘ_C＝Ｇ（ｙ_C）のように、センター１のアル
ゴリズムＧとＩＤ情報とを用いて生成する。すなわち、
Ｘ_AはＡだけに、Ｘ_BはＢだけにというように、各ユーザ
ーＡ２，Ｂ３，Ｃ４，・・・に固有のユーザーアルゴリ
ズムＸ_A，Ｘ_B，Ｘ_Cを生成し、該当ユーザーへ配る。こ
のような準備を行った後、自分を除く各ユーザーの全て
のＩＤ情報ｙ_A，ｙ_B，ｙ_Cを、自分のユーザーアルゴリ
ズムＸ_A，Ｘ_B，Ｘ_Cに入力して、共有の鍵ｋ＝Ｘ
_A（ｙ_B，ｙ_C），Ｘ_B（ｙ_A，ｙ_C），Ｘ_C（ｙ_A，ｙ_B）を
得る方式である。各ユーザーはセンターからのユーザー
アルゴリズムを秘密に保管する。

【０００９】この方式は、センター１においては、セン
ターアルゴリズムＧを秘密に保持しなければならない。
一方、各ユーザーＡ２，Ｂ３，Ｃ４は、各ユーザーに固
有のアルゴリズムＸ_A，Ｘ_B，Ｘ_Cを秘密に保持しなけれ
ばならないという不便がある。また、一般に結託しきい
値が存在し、何人かのユーザーが結託するとシステムの
秘密が明らかになり、暗号通信が役に立たなくなる。ま
た、センターが各ユーザー専用のアルゴリズムを秘密に
保持しなければならないので、秘匿しておくべきデータ
量を記憶するためのメモリー容量が大きくなるという問
題もある。

【００１０】次に、従来の署名システムおよび認証シス
テムについて説明する。従来の署名システムとしては、
上述したＲＳＡ暗号方式，エルガマル暗号方式などを適
用した署名が知られている。また、従来の認証システム
としては、メッセージ認証とユーザー認証がある。メッ
セージ認証には、認証子を用いる方法が用いられてい
る。証明者（prover）は、認証子（メッセージオーセン
ティケーションコード、ＭＡＣとも呼ばれる）を作成
し、これをメッセージとともに送信する。検証者（veri
fier）は、それを受けてメッセージから認証子を作成
し、これが送られてきた認証子と一致するかどうかでメ
ッセージが改竄されてないかどうかを確かめる。認証子
を作成するには、一般的に、秘密鍵をパラメータとする
ハッシュ関数を使う。送信側と受信側とで鍵を共有し、
鍵を知らなければメッセージに対する認証子が作れな
い。このように、署名方法、認証方法について種々のも
のが従来より知られているが、上述したＩＤベース暗号
システムと共通性のあるものがなかった。

【００１１】

【発明が解決しようとする課題】本発明は、上述した問
題点を解決するためになされたもので、アルゴリズムを
公開してもよいため、秘密に保持するデータが少なくな
り、秘密保持が容易であり、データを保持するメモリー
容量も少なくてすむ、ユーザー装置への秘密の固有情報
の配送方法を提供することを目的とするものである。

【００１２】この秘密の固有情報は、暗号システムのみ
ならず、鍵共有システム、認証システム、ディジタル署
名システムにも幅広く適用できる。本発明は、また、こ
の秘密の固有情報を用いた、暗号システム、鍵共有シス
テム、認証システム、ディジタル署名システムのユーザ
ー装置を提供することを目的とするものである。

【００１３】

【課題を解決するための手段】本発明は、請求項１に記
載の発明においては、ユーザー装置への秘密の固有情報
の配送方法において、メッセージを送受信する複数のユ
ーザー装置の前記各ユーザー装置のそれぞれに対し、セ
ンター装置において、第１および第２の秘密の固有情報
が割り当てられ、前記第１の秘密の固有情報を有する羃
指数としたガロア体ＧＦ（Ｐ）の原始元ｇの羃に基づい
た第１の公開情報、および、前記第２の秘密の固有情報
を有する羃指数とした前記原始元ｇの羃に基づいた第２
の公開情報を、前記複数のユーザー装置に対して公開状
態にするとともに、前記第１の秘密の固有情報および前
記第２の秘密の固有情報が割り当てられた前記各ユーザ
ー装置に対し、前記センター装置から、前記第２の公開
情報の前記羃指数を前記第１の公開情報の前記羃指数で
除算した値に等しくなる値を配送用の秘密の固有情報と
して、あらかじめ配送するものである。したがって、第
１，第２の秘密の固有情報が、全てのユーザー装置に対
する第１，２の公開情報と、この固有情報に対応するユ
ーザー装置のみに対する配送用の秘密の固有情報とし
て、実質的に配送されるため、配送が簡単である。ま
た、第１，第２の秘密の固有情報が、そのまま直接には
各ユーザー装置に提供されないため、秘密保持の安全性
が高い。アルゴリズムを公開してもよいため、秘密に保
持するデータが少なくなり、秘密保持が容易であり、デ
ータを保持するメモリー容量も少なくてすむ。

【００１４】請求項２に記載の発明においては、請求項
１に記載のユーザー装置への秘密の固有情報の配送方法
において、Ｐを第１の素数、ｐ，ｑを第２，第３の素数
としてＰ＝２ｐｑ＋１とし、前記第１の公開情報の前記
羃指数は、前記第１の秘密の固有情報にｐまたは−ｐを
乗算したｍｏｄ（Ｐ−１）の演算値であり、前記第２の
公開情報の前記羃指数は、前記第２の秘密の固有情報に
ｐを乗算したｍｏｄ（Ｐ−１）の演算値であり、前記配
送用の秘密の固有情報は、前記第２の秘密の固有情報を
前記第１の秘密の固有情報で除算した値に、前記第３の
素数ｑに前記各ユーザー装置に割り当てられた秘密の乱
数の２倍を加算したｍｏｄ（Ｐ−１）の演算値である。
したがって、各ユーザー装置に割り当てられた秘密の乱
数を用いることによって未知数が１つ増え、攻撃に強く
なる。

【００１５】請求項３に記載の発明においては、請求項
１または２に記載のユーザー装置への秘密の固有情報の
配送方法において、前記複数のユーザー装置に対し、前
記センター装置において、前記複数のユーザー装置に共
通の第１および第２の秘密ベクトルが割り当てられ、前
記複数のユーザー装置の公開された固有情報および公開
された２つの関数に基づいて、それぞれ、第１および第
２のＩＤベクトルが作成され、前記第１の秘密の固有情
報は、前記第１の秘密ベクトルと前記ユーザー装置の第
１のＩＤベクトルとの内積に基づいたものであり、前記
第２の秘密の固有情報は、前記第２の秘密ベクトルと前
記ユーザー装置の第２のＩＤベクトルの内積に基づいた
ものである。したがって、各ユーザー装置の公開された
固有情報によるＩＤベクトルとセンター装置の秘密ベク
トルに基づいて各ユーザー装置の秘密の固有情報を作成
するため、アルゴリズムが簡単である。また、公開鍵の
ファイル管理のような管理の煩わしさを軽減することが
できる。

【００１６】請求項４に記載の発明においては、請求項
３に記載のユーザー装置への秘密の固有情報の配送方法
において、前記第１の秘密ベクトルは、０＜ｘ_i＜（ｐ
／ｍ）^1/2なる奇数のｍ個の奇数化された乱数の要素ｘ_i
からなる、Ｘ＝｛ｘ₀，ｘ₁，…，ｘ_m-1｝であり、前記
第２の秘密ベクトルは、０＜ｙ_i＜Ｐなるｎ個の乱数の
要素ｙ_iからなるＹ＝｛ｙ₀，ｙ₁，…，ｙ_n-1｝であり、
前記第１のＩＤベクトルは、ユーザー装置φの前記公開
された固有情報ＩＤ_φをハッシュ関数ｆに入力して作成
された、α＜（ｐ／ｍ）^1/2なるα進数で表わされるｍ
個の奇数化された要素φ_i ^(f)からなる、ｆ（ＩＤ_φ）＝
（φ₀ ^(f)，φ₁ ^(f)，・・・φ_m-1 ^(f)）であり、前記第２
のＩＤベクトルは、ユーザー装置φの前記公開された固
有情報ＩＤ _φをハッシュ関数ｈに入力して作成された、
ｑ進数で表わされるｎ個の要素φ_i ^{( h)}からなるｈ（ＩＤ
_φ）＝（φ₀ ^(h)，φ₁ ^(h)，・・・φ_n-1 ^(h)）である。し
たがって、請求項３に記載のユーザー装置への秘密の固
有情報の配送方法を容易に実施することができる。

【００１７】請求項５に記載の発明においては、暗号受
信装置に、第１および第２の秘密の固有情報が割り当て
られ、前記第１の秘密の固有情報を有する羃指数とした
ガロア体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公
開情報、および、前記第２の秘密の固有情報を有する羃
指数とした前記原始元ｇの羃に基づいた第２の公開情報
が公開状態にあり、前記第２の公開情報の前記羃指数を
前記第１の公開情報の前記羃指数で除算した値に等しく
なる値が、配送用の秘密の固有情報として前記暗号受信
装置にあらかじめ配送されており、暗号送信装置から前
記暗号受信装置に暗号文を送信する暗号システムにおけ
る前記暗号送信装置であって、乱数を羃指数とした前記
第１の公開情報の羃に基づいた第１の送信情報、およ
び、前記乱数を羃指数とした前記第２の公開情報の羃に
メッセージを乗算した第２の送信情報を計算し、前記第
１の送信情報および前記第２の送信情報を送信するもの
である。また、請求項６に記載の発明においては、請求
項４に記載の発明と同じ暗号システムにおける前記暗号
受信装置であって、第１の送信情報、および、第２の送
信情報を受信し、前記配送用の秘密の固有情報を羃指数
とした前記第１の送信情報の羃と、前記第２の送信情報
とに基づいて前記メッセージを復号するものである。し
たがって、請求項５に記載の暗号送信装置においては、
第１，２の公開情報を用いるだけであるので、秘密に保
持しなければならない情報がない。乱数は、任意に変更
できる。また、請求項６に記載の暗号受信装置において
は、配送用の秘密の固有情報を用いるだけで、第１，第
２の秘密の固有情報を直接には必要としないので、秘密
保持の安全性が高い。

【００１８】請求項７に記載の発明においては、共有鍵
受信装置に、第１および第２の秘密の固有情報が割り当
てられ、前記第１の秘密の固有情報を有する羃指数とし
たガロア体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の
公開情報、および、前記第２の秘密の固有情報を有する
羃指数とした前記原始元ｇの羃に基づいた第２の公開情
報が公開状態にあり、前記第２の公開情報の前記羃指数
を前記第１の公開情報の前記羃指数で除算した値に等し
くなる値が、配送用の秘密の固有情報として、前記共有
鍵受信装置にあらかじめ配送されており、共有鍵送信装
置から前記共有鍵受信装置に共有鍵を送信する鍵共有シ
ステムにおける前記共有鍵送信装置であって、乱数を羃
指数とした前記第１の公開情報の羃に基づいた第１の送
信情報、および、前記乱数を羃指数とした前記第２の公
開情報の羃に共有鍵を乗算した第２の送信情報を計算
し、前記第１の送信情報および前記第２の送信情報を送
信するものである。また、請求項８に記載の発明におい
ては、前記請求項７に記載の発明と同じ鍵級友システム
における前記共有鍵受信装置であって、第１の送信情
報、および、第２の送信情報を受信し、前記配送用の秘
密の固有情報を羃指数とした前記第１の送信情報の羃
と、前記第２の送信情報とに基づいて前記共有鍵を復元
するものである。したがって、請求項７に記載の共有鍵
送信装置においては、第１，２の公開情報を用いるだけ
であるので、秘密に保持しなければならない情報がな
い。乱数は、任意に変更できる。また、請求項８に記載
の共有鍵受信装置においては、配送用の秘密の固有情報
を用いるだけで、第１，第２の秘密の固有情報を直接に
は必要としないため、秘密保持の安全性が高い。

【００１９】請求項９に記載の発明においては、共有鍵
受信装置に、第１および第２の秘密の固有情報が割り当
てられ、前記第１の秘密の固有情報を有する羃指数とし
たガロア体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の
公開情報、および、前記第２の秘密の固有情報を有する
羃指数とした前記原始元ｇの羃に基づいた第２の公開情
報が公開状態にあり、前記第２の公開情報の前記羃指数
を前記第１の公開情報の前記羃指数で除算した値に等し
くなる値が、配送用の秘密の固有情報として、前記共有
鍵受信装置にあらかじめ配送されており、共有鍵送信装
置から前記共有鍵受信装置に共有鍵を送信する鍵共有シ
ステムにおける前記共有鍵送信装置であって、乱数を羃
指数とした前記第１の公開情報の羃を計算し、前記共有
鍵として格納するとともに、前記乱数を負の羃指数とし
た前記第２の公開情報の羃を計算して、送信情報とし、
該送信情報を前記共有鍵受信装置に送信するものであ
る。また、請求項１１に記載の発明においては、請求項
９に記載の発明と同じ鍵共有システムにおける共有鍵受
信装置であって、送信情報を受信し、前記配送用の秘密
の固有情報を羃指数とした前記送信情報に基づいて前記
共有鍵を復元するものである。したがって、請求項９に
記載の共有鍵送信装置においては、第１，２の公開情報
を用いるだけであるので、秘密に保持しなければならな
い情報がない。乱数は、任意に変更できる。また、請求
項１１に記載の共有鍵受信装置においては、配送用の秘
密の固有情報を用いるだけで、第１，第２の秘密の固有
情報を直接には必要としないため、秘密保持の安全性が
高い。

【００２０】請求項１０に記載の発明においては、請求
項７または９に記載の共有鍵送信装置において、前記共
有鍵を用いて平文を暗号文に変換するとともに、前記共
有鍵を最初に送信した後、前記暗号文を送信するまでの
間にダミー情報を送信するものである。したがって、共
有鍵受信装置においては、即時性を要求するシステム等
において、先頭の鍵情報の部分を受け取って共有鍵を計
算し終わったときに暗号文を受け取ることができる。

【００２１】請求項１２に記載の発明においては、証明
ユーザー装置に、第１および第２の秘密の固有情報が割
り当てられ、前記第１の秘密の固有情報を有する羃指数
としたガロア体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第
１の公開情報、および、前記第２の秘密の固有情報を有
する羃指数とした前記原始元ｇの羃に基づいた第２の公
開情報が公開状態にあり、前記第２の公開情報の前記羃
指数を前記第１の公開情報の前記羃指数で除算した値に
等しくなる値が、配送用の秘密の固有情報として、前記
証明ユーザー装置にあらかじめ配送されており、前記証
明ユーザー装置から検証ユーザー装置に前記証明ユーザ
ー装置の公開された固有情報を第１の送信情報として送
信することにより、前記検証ユーザー装置が前記証明ユ
ーザー装置の認証を行う３パスの零知識証明システムに
おける前記証明ユーザー装置であって、前記証明ユーザ
ー装置の公開された固有情報を送信した後に、返送情報
を受信し、前記配送用の秘密の固有情報を羃指数とした
前記返送情報の羃に基づいた第２の送信情報を計算し、
該第２の送信情報を前記検証ユーザー装置に送信するも
のである。また、請求項１３に記載の発明においては、
請求項１２に記載の発明と同じ３パスの零知識証明シス
テムにおける前記検証ユーザー装置であって、乱数を羃
指数とした前記第１の公開情報の羃に基づいた返送情
報、および、前記乱数を羃指数とした前記第２の公開情
報の羃に基づいた検証情報を計算し、前記返送情報を送
信し、第２の受信情報を前記検証情報に基づいて検証す
ることにより、前記証明ユーザー装置の認証を行うもの
である。したがって、請求項１２に記載の証明ユーザー
装置においては、配送用の秘密の固有情報を用いるだけ
で、第１，第２の秘密の固有情報を直接には必要としな
いため、秘密保持の安全性が高い。また、請求項１３に
記載の検証ユーザー装置においては、第１，２の公開情
報を用い、秘密に保持しなければならない情報がない。
乱数は、任意に変更できる。

【００２２】請求項１４に記載の発明においては、ディ
ジタル署名ユーザー装置に、第１および第２の秘密の固
有情報が割り当てられ、前記第１の秘密の固有情報を有
する羃指数としたガロア体ＧＦ（Ｐ）の原始元ｇの羃に
基づいた第１の公開情報、および、前記第２の秘密の固
有情報を有する羃指数とした前記原始元ｇの羃に基づい
た第２の公開情報が公開状態にあり、前記第２の公開情
報の前記羃指数を前記第１の公開情報の前記羃指数で除
算した値に等しくなる値が、配送用の秘密の固有情報と
してあらかじめ配送されており、前記ディジタル署名ユ
ーザー装置からディジタル署名検証ユーザー装置にディ
ジタル署名付きメッセージを送信するディジタル署名シ
ステムにおける前記ディジタル署名ユーザー装置であっ
て、乱数と前記配送用の秘密の固有情報との積に基づい
た第１の送信情報と、前記乱数を羃指数とした前記第２
の公開情報の羃に、前記メッセージがハッシュ関数を用
いて圧縮された圧縮情報が乗算された第２の送信情報と
を、前記メッセージとともに、前記ディジタル署名検証
ユーザー装置に送信するものである。また、請求項１５
に記載の発明においては、請求項１４に記載の発明と同
じディジタル署名システムにおける前記ディジタル署名
検証ユーザー装置であって、受信された第１の送信情報
を羃指数とした前記第１の公開情報と第２の送信情報と
に基づいて検証式を計算し、該検証式が受信された前記
メッセージをハッシュ関数で圧縮された値になるとき
に、前記メッセージが前記ディジタル署名ユーザー装置
によって送信されたことを検証するものである。したが
って、請求項１４に記載のディジタル署名ユーザー装置
においては、第２の公開情報と配送用の秘密の固有情報
を用いるだけで、第１，第２の秘密の固有情報を直接に
は必要としないため、秘密保持の安全性が高い。乱数
は、任意に変更できる。また、請求項１５に記載のディ
ジタル署名検証ユーザー装置においては、第１の公開情
報を用いるだけであるので、秘密に保持しなければなら
ない情報がない。

【００２３】

【発明の実施の形態】図１は、本発明のユーザー装置へ
の秘密の固有情報の配送方法の実施の一形態の説明図で
ある。この図は、センター１の準備フェーズを示す図で
ある。センター１と各ユーザーＡ２，Ｂ３，・・・間、
および、各ユーザーＡ２，Ｂ３・・・間の通信をするネ
ットワークが構成されている。各ユーザーＡ２，Ｂ３，
Ｃ４・・・は、固有のＩＤ情報、例えば住所、生年月
日、電子メールアドレス等のＩＤ情報を、センター１へ
登録すると同時に公開し、他のユーザーＡ２，Ｂ３，・
・・Ｃ４も通信時に利用できるようにする。

【００２４】センター１は、各ユーザー固有のＩＤ情報
に対応する第１および第２の秘密の固有情報ｅ_φ，ｓ_φ
を計算するアルゴリズムを用いて、配送用の秘密の固有
情報ｄ_φ（φはユーザーを表わす。すなわち、φ＝Ａ，
Ｂ，Ｃ，・・・）を計算して、十分安全な通信路あるい
はＩＣカードへ入れて各ユーザーＡ２，Ｂ３，Ｃ４へ配
送する。各ユーザーは、配送された配送用の秘密の固有
情報ｄ_A，ｄ_B，ｄ_C，・・・をそれぞれのメモリーに格
納する。まず、センター１の基礎的なアルゴリズムを説
明した上で、センター１が各ユーザーＡ２，Ｂ３・・・
用の、データｄ_φを計算する手順を説明する。

【００２５】ＰをＰ＝２ｐｑ＋１なる大きな素数とす
る。ここで、ｐ，ｑ（ｐ＜ｑ）は素数である。ｇは、ガ
ロア体ＧＦ（Ｐ）における原始元とする。Ｘを、Ｘ＝
｛ｘ₀，ｘ₁，…，ｘ_m-1｝なる集合とする。ただし、ｍ
は奇数とする。ｘ_iは、

【数４】 なる乱数とする。もし、ｘ_iが偶数なら、１を加算して
奇数に修正しておく。Ｙを、Ｙ＝｛ｙ₀，ｙ₁，…，ｙ
_n-1｝なる集合とする。ただし、ｙ_iは、０＜ｙ _i＜Ｐな
る任意の乱数とする。

【００２６】次に、ユーザーのＩＤ情報を変形するため
の、第１の一方向性ハッシュ関数ｆ（ＩＤ_φ）を導入す
る。

【数５】 ここで、αは正整数である。上式において、ベクトル表
現の各要素は、例えばα進数で表した各桁となってい
る。もし、φ_i ^(f)が偶数なら、１を加算して奇数に修正
しておく。これをここでは、奇数化とよぶ。

【００２７】次に、ユーザーのＩＤ情報を変形するため
の、第２の一方向性ハッシュ関数ｈを導入する。

【数６】 次に、乱数Ｘの各要素ｘ_iを原始元ｇの指数とする次の
式を導入する。

【数７】

【００２８】上述したｇ_f（ｉ）を要素とする集合を次
のように表現する。 Ｇ_f＝｛ｇ_f（ｉ）：０≦ｉ≦ｍ―１｝

【００２９】同様に、乱数Ｙの各要素ｙ_iを原始元ｇの
指数とする次の方程式を計算する。

【数８】 上述したｇ_h（ｊ）を要素とする集合を次のように表現
する。 Ｇ_h＝｛ｇ_h（ｊ）：０≦ｊ≦ｎ−１｝

【００３０】さらに、第１の一方向性ハッシュ関数fと
集合Ｇ_fの各要素とに基づいて、次式の第１の秘密の固
有情報を生成する。

【数９】 なお、ｅ_φがｐ未満となる理由は、ｘ_iφ_i＜（ｐ／ｍ）
であり、元の数がｍであるからである。また、ｅ_φが奇
数となるのは、φ_i ^(f)，ｘ_iとも奇数で、かつ、ｍも奇
数であるからである。

【００３１】同様に、第２の一方向性ハッシュ関数ｈと
集合Ｇ_hの各要素とに基づいて、次式の第２の秘密の固
有情報を生成する。

【００３２】

【数１０】 また、上述した２つの秘密の固有情報ｅ_φ，ｓ_φから、
次の配送用の秘密の固有情報ｄ_φを生成する。 ｄ_φ＝ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ （mod Ｐ−１） ここで、ｅ_φ ^-1は常に存在する。なぜならｅ_φはｐより
小さい奇数であり、かつ、ｅ_φのmodulusは、Ｐ−１＝
２ｐｑ （ｐ＜ｑ）、すなわち、偶数であるから、０に
ならない。なお、ｒ_φの値に特に制約はないが、ｄ
_φは、mod Ｐの演算をするため、ｒ _φについても、も
ともとｒ_φ＜Ｐ−１としておけば、一意に決まるから演
算上好ましい。センター１は、どのｒ_φをどのユーザー
φのｄ_φに用いたかを特定できるようにしている。この
ｒ_φは、乱数を用いて、かつ、ユーザーφごとに異なら
せた方が無難である。しかし、必ずしもユーザφごとに
異なる値とする必要はない。

【００３３】最終的に信頼できるセンター１は、｛Ｐ，
ｆ，ｈ，ｍ，ｎ，α，Ｇ_f，Ｇ_h，ＩＤ_φ（φ＝Ａ、Ｂ、
Ｃ、…）｝を公開し、ｄ_φをユーザーφに十分安全な通
信路またはＩＣカードに入れて、各ユーザーＡ２，Ｂ
３，Ｃ４へ配送する。各ユーザーは、配送された鍵
ｄ_A，ｄ_B，ｄ_C，・・・をそれぞれのメモリーに格納す
る。ユーザーの鍵を求めるアルゴリズムＧ_f，Ｇ_hは、ユ
ーザーに共通であり、かつ、このアルゴリズムは公開し
ても安全性に影響がない。第１の秘密の固有情報ｅ_φ、
および、第２の秘密の固有情報ｓ_φを保持していても良
いが、最小限保持する必要があるのは、乱数の値Ｘ，Ｙ
の組だけですむ。したがって、設計ならびに秘密を保持
するメモリー領域を大幅に減らすことが可能である。各
ユーザーφ（φ＝Ａ，Ｂ，Ｃ，・・・）においては、上
述した公開情報に基づいて、後述する第１の公開情報ｇ
_φfおよび第２の公開情報ｇ_φhを作成する。各ユーザー
φは、これら第１，第２の公開情報ｇ_φf，ｇ_φh、およ
び、配送用の秘密の固有情報を用いて、暗号システム、
鍵共有システム，３パスプロトコルの零知識証明を用い
た認証システム、ディジタル署名システムを構築するこ
とができる。以下、各システムについて説明する。な
お、第１，第２の公開情報ｇ_φf，ｇ_φhについては、各
ユーザーφにおいて、他の公開情報に基づいて、所望の
ユーザの第１，第２の公開情報ｇ_φf，ｇ_φhを計算す
る。しかし、これらをセンターにおいて計算しておき、
第１，第２の公開情報ｇ_φf，ｇ_φh自体を直接的に公開
することもできる。

【００３４】図２は、本発明の暗号送信装置および暗号
受信装置を説明するための暗号システムのブロック図で
ある。ユーザーＡ２が平文（メッセージ）Ｍ（Ｍは０＜
Ｍ＜Ｐなる整数とする）をユーザーＢ３へ安全に送信す
る場合を示す。まず、ユーザーＡ２の側について説明す
る。ユーザーＢ３の公開ＩＤ情報ＩＤ_Bを、公開された
一方向性関数ｆ（ＩＤ _φ）によって変形して、ＩＤベク
トルｖ_B ^(f)＝ｆ（ＩＤ_B）とする。各要素を、秘密の乱
数Ｘに由来する公開情報Ｇ_fの各要素の指数としたも
の、の乗積を計算することにより、第１の公開情報（公
開鍵）ｇ_Bfを計算する。

【００３５】計算結果は、第１の秘密の固有情報ｅ
_φ（φ＝Ｂ）に（−１）を乗算した−ｅ _Bを原始元ｇの
指数とした値になっている。

【数１１】 同様に、ユーザーＢ３の公開ＩＤ情報ＩＤ_Bを公開され
た一方向性関数ｈ（ＩＤ_φ）によって変形して、ＩＤベ
クトルｖ_B ^(h)＝ｈ（ＩＤ_B）とする。各要素を秘密の乱
数Ｙに由来する公開情報Ｇ_hの各要素の指数としたもの
の乗積を計算することによって、第２の公開情報（公開
鍵）ｇ_Bhを計算する。計算結果は、第２の秘密の固有情
報ｓ_φ（φ＝Ｂ）を原始元ｇの指数とした値になってい
る。

【数１２】 それから、ユーザーＡ２は、上述した公開鍵ｇ_Bf，ｇ_Bh
を安全に伝送するために、乱数ｒを発生して、ｒを
ｇ_Bf，ｇ_Bhの指数とする次のＣ₁，Ｃ₂の２式を計算す
る。ただし、Ｃ₂には平文Ｍが乗算される。なお、この
乱数ｒは、ユーザＡ２が決める値であって、先に説明し
た、センター１から配送される配送用の秘密の固有情報
ｄ_φ中の乱数ｒ_φとは、独立した乱数である。

【数１３】 ユーザーＡ２は、暗号文Ｃ＝（Ｃ₁，Ｃ₂）を得て、Ｃを
ユーザーＢ３へ送信する。

【００３６】次に、ユーザーＢ３の側について説明す
る。暗号文Ｃを受け取ったユーザーＢ３は、図１を参照
して説明したセンター１の準備フェーズにおいて、セン
ター１からユーザーＢ３に、安全な伝送路によって送ら
れた配送用の秘密の固有情報ｄ _Bを使って、次式のよう
に平文Ｍを復号する。

【数１４】

【００３７】なお、指数部においては、mod（Ｐ−１）
の演算を行う。−（Ｐ−１）ｒｅ_Bｒ _Bにmod（Ｐ−１）
の演算をすると０になることから、右辺がＭとなる。し
たがって、配送用の秘密の固有情報ｄ_φの ｄ_φ＝ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ の右辺第２項のユーザーφの乱数ｒ_φは、上述した演算
過程において、第１の秘密の固有情報ｅ_φ，第２の秘密
の固有情報ｓ_φのキャンセルとともに、消失してしま
う。その結果、マスクされた平文Ｍが復号される。

【００３８】上述した説明から明らかなように、本発明
は、どのユーザーφ（φ＝Ａ，Ｂ，Ｃ，・・・）も、そ
の公開情報（公開鍵）ｇ_Bf，ｇ_Bhを、センター１の秘密
の乱数Ｘ，Ｙに由来する公開情報Ｇ_f，Ｇ_h、および、送
信先のユーザーφのＩＤ情報に基づくＩＤベクトルｖ_φ
^(f)＝ｆ（ＩＤ_φ），ｖ_φ ^(h)＝ｈ（ＩＤ_φ）によって与
えられ、この公開鍵ｇ_φf＝ｇ^-p×eφ，ｇ_φh＝ｇ
^p×sφを使って、平文Ｍから暗号文Ｃ＝（Ｃ₁，Ｃ₂）を
生成して送信することができる。この暗号文Ｃを受信し
たユーザーφ（φ＝Ａ，Ｂ，Ｃ，・・・）は、センター
１から安全に配送された配送用の秘密の固有情報(秘密
鍵)ｄ_φを、ｄ_φ＝ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ （mod
Ｐ−１）として与えられることに特徴がある。

【００３９】図３は、本発明の共有鍵送信装置および共
有鍵受信装置を説明するための予備通信不要（Non-inte
ractive）な鍵共有（タイプ１）システムの説明図であ
る。図２を参照して説明した暗号システムにおいて、平
文Ｍの代わりに、ユーザーＡ２からＫ_ABなる鍵を送信す
ることにより、ユーザーＢ３は、鍵Ｋ_ABを復号する。そ
の結果、ユーザーＡ２とユーザーＢ３との間で、鍵Ｋ_AB
を共有することができる。この鍵共有（タイプ１）方式
では、ユーザーＡは共有鍵Ｋ_ABの値を任意に決めること
ができる。ここで共有鍵とは、ユーザーＡ２、ユーザー
Ｂ３間で共有したい鍵をいい、鍵自体は共通鍵、公開鍵
を問わない。すなわち、ＤＥＳ暗号などの共通鍵方式の
時は共通鍵を、ＲＳＡ暗号などの公開鍵方式のときは秘
密鍵（公開鍵は公開ファイルによってすでに共有されて
いると考えられる）を意味する。

【００４０】図４は、本発明の共有鍵受信装置および共
有鍵送信装置を説明するための予備通信不要（Non-inte
ractive）な鍵共有（タイプ２）システムの説明図であ
る。共有鍵を任意に決める必要がないときに、図３に示
した鍵共有（タイプ１）よりも簡単になる。ユーザーＡ
２の側において、ユーザーＢ３の公開情報(公開鍵)ｇ_Bf
＝ｇ^-p×eB（mod Ｐ）およびｇ_Bh＝ｇ^p×sB（mod
Ｐ）（mod Ｐ）を、図２の暗号システムと同様に、公開
情報Ｇ_fとＧ_hと、ユーザーＢ３のＩＤベクトルｖ_B ^(f)と
ｖ_B ^(h)より計算する。それからユーザーＡ２は、乱数ｒ
を発生し、次式を計算する。 Ｋ_AB＝ｇ_Bh ^r＝ｇ^p×r×sB （mod Ｐ）

【００４１】共有鍵Ｋ_ABの情報を含んだ鍵情報Ｓは、Ｂ
の公開鍵ｇ_Bf＝ｇ^-p×eB（mod Ｐ）の（―ｒ）乗の冪
で与えられる。すなわち、 Ｓ＝ｇ_Bf ^-r＝ｇ^p×r×eB （mod Ｐ） そして、鍵情報ＳをユーザーＢ３に送信する。すなわ
ち、ユーザーＡ２は、ユーザーＢ３のＩＤ情報であるＩ
Ｄ_Bを、公開ファイルより得て共通鍵Ｋ_ABを作成する。
ユーザーＡ２は、共有鍵作成のためのパラメータＳと、
ユーザーＢ３へ送信する平文を共通鍵Ｋ_ABを用いて既に
暗号化した暗号文とを、ともに送信する。

【００４２】ユーザーＢにおいては、鍵情報Ｓを受け取
る。この鍵情報Ｓと、センター１から安全に配送された
ユーザーＢ３の配送用の秘密の固有情報ｄ_Bとを使っ
て、簡単な計算で、ユーザーＡ２との共有鍵Ｋ_ABを得
る。すなわち、共有鍵Ｋ_ABは、伝送された鍵情報Ｓのｄ
_B乗の冪によって与えられる。 Ｓ^dB＝（ｇ^p×r×eB）^dB （mod Ｐ） ＝ｇ^p×r×sB （mod Ｐ） ＝Ｋ_AB すなわち、ユーザＢ３は、パラメータＳにセンターから
配送された鍵ｄ_Bを用いて共通鍵Ｋ_ABを計算し、この共
通鍵Ｋ_ABを用いて、ユーザーＢ３に送信された暗号文か
ら平文Ｍを復号する。

【００４３】この鍵共有（タイプ１）システムおよび鍵
共有（タイプ２）システムにおいては、ユーザーＡ２
が、共有鍵Ｋ_ABの情報を含んだ鍵情報Ｓを先頭に配置
し、その後に、ユーザーＢ３との共有鍵となるはずの値
Ｋ_ABをあらかじめ計算して平文Ｍを暗号化した暗号文
を、同時に送信することができる。したがって、ユーザ
ーＢ３は、先頭部分より共有鍵Ｋ_ABを取り出して、この
鍵で暗号化された暗号文を平文Ｍに復号することにな
る。これは、電子メールのような蓄積系では容易に実現
できる。しかし、即時性を要求するシステム等では、先
頭の鍵情報Ｓの部分を受け取って共有鍵Ｋ_ABを計算する
までの遅延時間を考慮しなければならない。

【００４４】図５は、鍵共有（タイプ１）システムおよ
び鍵共有（タイプ２）システムに用いる伝送フォーマッ
トの説明図である。鍵情報Ｓのデータと暗号文のデータ
との間に、共有鍵Ｋ_ABを計算する時間に相当するダミー
データを挿入することにより、共有鍵Ｋ_ABを計算する時
間だけ遅らせて暗号文を送信している。

【００４５】図６は、本発明の証明ユーザー装置および
検証ユーザー装置を有する３パスプロトコルの零知識証
明を用いた認証システムの説明図である。ユーザーＡ２
を、秘密の情報を持っている証明者(Prover)とし、ユー
ザーＢ３を、検証者（verifier）とする。まず、ユーザ
ーＡ２は、ユーザー１２のＩＤ情報ＩＤ_AをユーザーＢ
３に送信する。ユーザーＢ３は、図５に示した暗号シス
テムと同様に、ユーザーＡ２の公開ＩＤ情報ＩＤ_Aを、
公開された一方向性関数ｆ（ＩＤ_φ）によって変形し
て、ＩＤベクトルｖ_A ^(f)＝ｆ（ＩＤ_B）を計算する。各
要素を秘密の乱数Ｘに由来する公開情報Ｇ_fの各要素の
指数としたものの乗積を計算することにより、ユーザー
Ａ２の第１の公開鍵ｇ_Af＝ｇ^-peA （mod Ｐ）を計算
する。

【００４６】また、ユーザーＡ２の公開ＩＤ情報ＩＤ_A
を、公開された一方向性関数ｈ（ＩＤ_φ）によって変形
して、ＩＤベクトルｖ_A ^(h)＝ｈ（ＩＤ_B）を計算する。
そして、秘密の乱数Ｙに由来する一般的な公開情報Ｇ_h
とから、 ｇ_Ah＝ｇ^psA（mod Ｐ） を計算する。次に、乱数ｒを発生してユーザーＡ２は、
次式を計算する。 Ｒ＝（ｇ^-p×eA）^r＝ｇ^-p×r×eA （mod Ｐ） Ｖ＝（ｇ^p×sA）^r＝ｇ^p×r×sA （mod Ｐ）

【００４７】ユーザーＢは、情報ＲをユーザーＡに送信
する。ユーザーＡは、情報Ｒを受け取って、図１に示し
たセンター準備フェーズにおいてセンター１から安全に
配送されたＡの配送用の秘密の固有情報ｄ_Aを用いて次
式を計算する。 Ｕ＝Ｒ^dA＝ｇ^{-p×r×eA×dA}＝ｇ^-p×r×sA （mod
Ｐ） 次に、ユーザーＡ２は、情報ＵをユーザーＢ３に返信す
る。最終的に、ユーザーＢ３は、次式をチェックする。 Ｕ・Ｖ＝１ （mod Ｐ）

【００４８】もし、ユーザーＡ２が、配送用の秘密の固
有情報ｄ_Aを保持する、正当なユーザーであるなら、次
式が満足される。 Ｕ・Ｖ＝ｇ^-p×r×sA・ｇ^p×r×sA＝１ （mod Ｐ） もしユーザＡ２が配送用の秘密の固有情報ｄ_Aを持たな
い不正なユーザーであるなら、正しい情報Ｕ＝ｇ
^-p×r×sA （mod Ｐ）を得ることができない。ゆえ
に、Ｕ・Ｖ＝１ （mod Ｐ）が成立しない。すなわ
ち、ユーザー認証においては、ユーザーＡ２は通信相手
のユーザーＢ３に、自分のＩＤベクトル（ＩＤ_A）を送
り、ユーザーＢ３は、それを基に２種類の式Ｒ，Ｖを作
り、その一つＲをユーザーＡ２に返して秘密の情報（ｄ
_A＝ｅ_A ^-1・ｓ_A＋２ｑ・ｒ_A）を操作（Ｒ）^dAしてもら
い、返送してもらう。ユーザーＢ３は、チェック式Ｕ・
Ｖ＝１をたてて検査を行う。

【００４９】図７は、本発明のディジタル署名ユーザー
装置およびディジタル署名検証ユーザー装置を有するデ
ィジタル署名システムの説明図である。ユーザーＡ２が
ユーザーＢ３にディジタル署名付きメッセージＭを送信
するとする。まず、大きなメッセージＭのブロックを、
Ｐより小さなブロックｍに、一方向性ハッシュ関数Ｈ
（Ｍ）＝ｍを用いて圧縮する。この関数Ｈは公開情報と
する。Ｐ−１と互いに素な乱数ｒを導入して、検証式
は、次式のように定義される。 Ｈ（Ｍ）＝ｕ・ｖ^t （mod Ｐ） ここで、 ｔ＝ｒ・ｄ_A （mod Ｐ−１） ｕ＝ｍ・ｇ^p×r×sA （mod Ｐ） ｖ＝ｇ^-p×eA （mod Ｐ）である。ペアー
（ｔ，ｕ）がＭのディジタル署名である。

【００５０】メッセージブロックＭに署名するアルゴリ
ズムは次のようになる。ユーザーＡ２は、公開ＩＤ情報
ＩＤ_Aを、公開された一方向性関数ｈ（ＩＤ_φ）によっ
て変形して、ＩＤベクトルｖ_A ^(h)＝ｈ（ＩＤ_B）を計算
する。そして、秘密の乱数Ｙに由来する一般的な公開情
報Ｇ_hから、第２の公開情報（公開鍵）ｇ_Ah＝ｇ
^p×sA（mod Ｐ）を計算する。また、Ｐ−１と互いに素
なる乱数ｒを発生し、図４においてセンター１から安全
に配送されたユーザーＡの配送用の秘密の固有情報ｄ _A
を用いて、メッセージＭのディジタル署名（ｔ，ｕ）を
得るために、次式を計算する。 ｔ＝ｒ・ｄ_A （mod Ｐ） ｕ＝Ｈ（Ｍ）・（ｇ^p×sA）^r＝ｍ・ｇ^p×r×sA （mod
Ｐ） 署名されたメッセージは、｛Ｍ，（ｔ，ｕ）｝となる。

【００５１】このメッセージを受信したユーザーＢ３
は、ユーザーＡ２の公開ＩＤ情報ＩＤ _Aを、公開された
一方向性関数ｆ（ＩＤ_φ）によって変形して、ＩＤベク
トルｖ_A ^(f)＝ｆ（ＩＤ_A）とする。各要素を秘密の乱数
Ｘに由来する公開情報Ｇ_fの各要素の指数としたものの
乗積を計算することにより、ユーザーＡの第１の公開情
報 （公開鍵） ｇ_Af＝ｇ^-p×eA （mod Ｐ） を計算する。この第１の公開情報（公開鍵）を用いて、
情報ｖ ｖ＝ｇ^-p×eA を求めて、そして次の検証式が満足されるかどうかチェ
ックする。

【００５２】Ｈ（Ｍ）＝ｕ・ｖ^t （mod Ｐ） もし、署名（ｔ，ｕ）が、上述した検証式を満足すれ
ば、メッセージＭは、ユーザーＡ２によって送信され、
署名（ｔ，ｕ）は、ユーザーＡ２によって作成されたも
のである。なぜなら、配送用の秘密の固有情報ｄ_Aは、
ユーザーＡ２以外のどのユーザーφにも知らされず、か
つ、署名（ｔ，ｕ）を得るために必要な値であるからで
ある。ゆえに、ユーザーＡ２は、ユーザーＡ２自身が、
メッセージＭを送信したことを後で拒否できない。すな
わち、ディジタル署名においては、メッセージＭを、ハ
ッシュ関数（ｍ）を用いて圧縮し、その値がユーザーＡ
２しか持たない配送用の秘密の鍵（ｄ_φ＝ｅ_φ ^-1・ｓ_φ
＋２ｑ・ｒ_φ）によって生成されていることを、ユーザ
ーＢ３が第１の公開情報（公開鍵）（ｇ^-p×eA）を用い
て検証することができる。

【００５３】上述した説明では、どの発明の実施の形態
においても、ＩＤベクトルｖ_φ ^(f)＝ｆ（ＩＤ_φ）の各
要素φ_i ^fを任意のα進数とし，ｖ_φ ^(h)＝ｈ（ＩＤ_φ）
の各要素φ_j ^hを任意のｑ進数としたが、α＝ｑ＝２とし
て２進数の場合にも適用できる。α＝ｑ＝２の場合、各
要素φ_i ^f，φ_j ^hは、すべて０または１になるので、ｇ_Bf
,ｇ_Bhを計算する際に、羃乗の項がなくなり、各要素ｇ_f
（ｉ），ｇ_h（ｊ）を、対応する“１”のところだけ乗
算すればよく、計算が著しく簡単になる。

【００５４】上述した説明では、図１のセンターの準備
フェーズにおいて説明したように、Ｇ _fの要素であるｇ_f
(i)は、ｇ_f(i)＝ｇ^-xiと定義していた。これに代えて、 ｇ_f(i)＝ｇ^+xi と定義してもよい。このように定義した場合、第１の公
開情報（公開鍵）ｇ_Bfは、 ｇ_Bf＝ｇ^eB となる。配送用の秘密の固有情報ｄ_φを、 ｄ_φ＝−ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ として、各ユーザに配送する。あるいは、 ｄ_φ＝ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ を配送しても、各ユーザーにおいて、（−ｄ_φ）を用い
て暗号文の復号等を行えばよい。例えば、図２を参照し
て説明した暗号システムにおいて、平文Ｍに復号する際
に、Ｃ₂・Ｃ₁ ^dBに代えて、 Ｃ₂・Ｃ₁ ^-dB＝Ｍ （mod Ｐ） とすればよい。このように、原始元ｇの指数に（−１）
を掛けるかどうかは、他の式との関係で決まるものであ
り、どちらでもよい。また、送信情報であるＣ１，Ｃ
２，Ｓ，Ｕ，ｕにおいて、指数を−ｒとして送信しても
よく、この場合、受信側の装置で行う演算を変更すれば
よい。指数の極性を変更しても、結局、同じものに基づ
いて送信情報を作成している。

【００５５】最後に、安全性について検討する。本発明
は、離散対数問題を解くことは困難であるという仮定の
下に暗号システム等が構成されている。この仮定の下
に、ユーザー間の共謀があっても、任意のユーザーαの
秘密の情報を暴くことはできないことを示す。まず、 ｄ_φ＝ｅ_φ ^-1・ｓ_φ＋２ｑ・ｒ_φ （mod Ｐ−
１） つまり、 ｅ_φ・ｄ_φ＝ｓ_φ＋２ｑ・ｒ_φ・ｅ_φ （mod Ｐ−
１） である。

【００５６】ここで、第１，第２の秘密の固有情報ｅ_φ
とｓ_φとは未知であり、固有のユーザー φに特有のも
のである。その結果、方程式は、第１，第２の秘密の固
有情報ｅ_φとｓ_φと に関して解けない。しかし、第
１，第２の秘密の固有情報ｅ_φとｓ_φは、次の線形方程
式によって与えられる。

【数１５】 すると次の攻撃が考えられる。任意のユーザーαの秘密
の固有情報ｄ_αは次の方程式を解いて得られる。

【数１６】

【００５７】ここで、ｘ_i（０≦ｘ_i≦ｍ−１），ｙ
_i（０≦ｙ_i≦ｎ−１）なる（ｍ＋ｎ）個の未知数があ
り，ユーザーαのＩＤベクトルｖ_α ^(f)とｖ_α ^(h)を使っ
て、ｅ_αとｓ_αを計算する。最終的にどのようなαの秘
密の情報でも次式で計算される

【数１７】 この攻撃は成功するように思える。しかし、集めうる方
程式が特異（あるいは非決定的non-deterministic）な
方程式に限られる。また、ｒ_αは秘密であるから、未知
数は１つ増えｍ＋ｎ＋１となる。上で得られた斎次方程
式は、単なる特異（non-deterministic）な方程式であ
り、それゆえ、われわれはそれらを解くことができな
い。

【００５８】別の任意のユーザーαの配送用の秘密の固
有情報（鍵）ｄ_αを暴くには、まず、公開情報Ｇ_fとＧ_h
で与えられている方程式の集合を解くことである。

【数１８】

【００５９】ｘ_iとｙ_jについて解いて、Ｘ＝｛ｘ₀，
ｘ₁，…，ｘ_m-1｝とＹ＝｛ｙ₀，ｙ₁，…，ｙ_n-1｝を得
て、上の攻撃法の（Ａ）式以降に適用すればよい。しか
し、これは、ｇ，ｐが未知数であるから離散対数問題よ
りも難しいため解けない。上述した２つ以外に攻撃法が
なく、離散対数問題が解けない以上、ユーザーの共謀に
よっては解けない。

【００６０】次に、計算量の見積もりを行う。羃乗演算
をＥ、乗算をＭ、除算をＤ、加算をＡで示す。結果は次
のとおりである。（Ｐ）と（Ｐ−１）は、計算のmodulu
sを示し、（Ｄｉｖ）は除算を意味する。センターのア
ルゴリズム

【表１】 暗号システム

【表２】 鍵共有(タイプ２)

【表３】 ここで、鍵シード（Key seed）とは、図４を参照して説
明したタイプ２の鍵共有におけるＳのことである。３パ
ス零知識証明プロトコル

【表４】 ディジタル署名

【表５】

【００６１】なお、上述した説明では、Ｐ＝２ｐｑ＋１
とした。これに代えて、Ｐ＝２ｐ＋１（Ｐは大きな素
数、ｐは素数）とし、 ｇ_f（ｉ）＝ｇ^-xi （mod Ｐ），ｇ_h＝ｇ^yi （mod
Ｐ） ｇ_φf＝ｇ^-eφ （mod Ｐ），ｇ_φh＝ｇ^sφ （mod
Ｐ） ｄ_φ＝（ｅ^φ）^-1・ｓ_φ （mod Ｐ−１） としてもよい。このｄ_φは、上述した説明のｄ_φの第２
項を最初からなくしたものに等しい。この場合、攻撃に
対する強さは低下するが、演算は簡単になる。上述した
暗号システムおよびタイプ１の鍵共有システムにおいて
は、Ｃ₁＝ｇ^-r×eB （mod Ｐ），Ｃ２＝Ｍ・ｇ^r×sB
（mod Ｐ）となる。上述したイプ２の鍵共有システ
ムにおいては、Ｋ_AB＝ｇ^r×sB （mod Ｐ），Ｓ＝ｇ
^r×eB （mod Ｐ）となる。上述した３パスの零知識証
明システムにおいては、Ｒ＝ｇ^-r×eA （mod Ｐ），
Ｖ＝ｇ^r×sA （mod Ｐ）となる。上述したディジタル
署名システムにおいては、ｕ＝ｍ・ｇ^r×sA （mod
Ｐ），ｖ＝ｇ^-eA （mod Ｐ）となる。

【００６２】上述した説明では、通信における秘密の固
有情報の配送方法等について説明したが、複数のユーザ
ー間で、メッセージを、光ディスク，磁気ディスク，半
導体メモリー等の記録媒体に、書き込み装置を用いて書
き込むことにより、メッセージを蓄積し、蓄積されたメ
ッセージを読み出し装置を用いて読み出す場合の、秘密
の固有情報の配送方法，暗号システム，鍵共有システ
ム，３パスのゼロ知識証明システム，ディジタル署名シ
ステム等に本発明を用いても好適である。この場合、書
き込みが送信、読み出しが受信に対応することになる。

【００６３】

【発明の効果】上述した説明から明らかなように、本発
明のユーザー装置への秘密の固有情報の配送方法は、秘
密保持が容易であり、データを保持するメモリー容量も
少なくてすむという効果がある。この秘密の固有情報を
用いることにより、暗号システムのみならず、鍵共有シ
ステム、認証システム、ディジタル署名システムにも幅
広く適用できる。相手のＩＤ情報さえ入力すれば、通信
したい相手へ暗号通信ができ、相手との共有鍵が容易に
得られ、ディジタル署名も可能で、相手認証等も可能で
ある。

【図面の簡単な説明】

【図１】本発明のユーザー装置への秘密の固有情報の配
送方法の実施の一形態の説明図である。

【図２】本発明の暗号送信装置および暗号受信装置を説
明するための暗号システムのブロック図である。

【図３】本発明の共有鍵送信装置および共有鍵受信装置
を説明するための予備通信不要な鍵共有（タイプ１）シ
ステムの説明図である。

【図４】本発明の共有鍵受信装置および共有鍵送信装置
を説明するための予備通信不要な鍵共有（タイプ２）シ
ステムの説明図である。

【図５】鍵共有（タイプ２）システムに用いる伝送フォ
ーマットの説明図である。

【図６】本発明の証明ユーザー装置および検証ユーザー
装置を有する３パスプロトコルの零知識証明を用いた認
証システムの説明図である。

【図７】本発明のディジタル署名通信システムおよびデ
ィジタル署名検証ユーザー装置を有するディジタル署名
システムの説明図である。

【図８】従来のＩＤベース暗号システムの説明図であ
る。

【符号の説明】

１はセンター、２はユーザーＡ、３はユーザーＢ、４は
ユーザーＣ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 井上 徹 神奈川県横浜市港北区新横浜三丁目20番地 ８ 株式会社高度移動通信セキュリティ技 術研究所内 Ｆターム(参考） 5J104 AA07 AA09 AA16 EA01 EA19 EA21 EA22 EA26 EA27 JA22 KA08 LA06 MA06 NA02 NA07 NA12 NA16 NA22 NA24 NA35 PA07

Claims (15)

【特許請求の範囲】
1. 【請求項１】 メッセージを送受信する複数のユーザー
   装置の前記各ユーザー装置のそれぞれに対し、センター
   装置において、第１および第２の秘密の固有情報が割り
   当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
   体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
   報、および、前記第２の秘密の固有情報を有する羃指数
   とした前記原始元ｇの羃に基づいた第２の公開情報を、
   前記複数のユーザー装置に対して公開状態にするととも
   に、 前記第１の秘密の固有情報および前記第２の秘密の固有
   情報が割り当てられた前記各ユーザー装置に対し、前記
   センター装置から、前記第２の公開情報の前記羃指数を
   前記第１の公開情報の前記羃指数で除算した値に等しく
   なる値を配送用の秘密の固有情報として、あらかじめ配
   送する、 ことを特徴とするユーザー装置への秘密の固有情報の配
   送方法。
2. 【請求項２】 Ｐを第１の素数、ｐ，ｑを第２，第３の
   素数としてＰ＝２ｐｑ＋１とし、 前記第１の公開情報の前記羃指数は、前記第１の秘密の
   固有情報にｐまたは−ｐを乗算したｍｏｄ（Ｐ−１）の
   演算値であり、 前記第２の公開情報の前記羃指数は、前記第２の秘密の
   固有情報にｐを乗算したｍｏｄ（Ｐ−１）の演算値であ
   り、 前記配送用の秘密の固有情報は、前記第２の秘密の固有
   情報を前記第１の秘密の固有情報で除算した値に、前記
   第３の素数ｑに前記各ユーザー装置に割り当てられた秘
   密の乱数の２倍を加算したｍｏｄ（Ｐ−１）の演算値で
   あることを特徴とする請求項１に記載のユーザー装置へ
   の秘密の固有情報の配送方法。
3. 【請求項３】 前記複数のユーザー装置に対し、前記セ
   ンター装置において、前記複数のユーザー装置に共通の
   第１および第２の秘密ベクトルが割り当てられ、 前記複数のユーザー装置の公開された固有情報および公
   開された２つの関数に基づいて、それぞれ、第１および
   第２のＩＤベクトルが作成され、 前記第１の秘密の固有情報は、前記第１の秘密ベクトル
   と前記ユーザー装置の第１のＩＤベクトルとの内積に基
   づいたものであり、 前記第２の秘密の固有情報は、前記第２の秘密ベクトル
   と前記ユーザー装置の第２のＩＤベクトルの内積に基づ
   いたものである、 ことを特徴とする請求項１または２に記載のユーザー装
   置への秘密の固有情報の配送方法。
4. 【請求項４】 前記第１の秘密ベクトルは、０＜ｘ_i＜
   （ｐ／ｍ）^1/2なる奇数のｍ個の奇数化された乱数の要
   素ｘ_iからなる、Ｘ＝｛ｘ₀，ｘ₁，…，ｘ_m-1｝であり、 前記第２の秘密ベクトルは、０＜ｙ_i＜Ｐなるｎ個の乱
   数の要素ｙ_iからなるＹ＝｛ｙ₀，ｙ₁，…，ｙ_n-1｝であ
   り、 前記第１のＩＤベクトルは、ユーザー装置φの前記公開
   された固有情報ＩＤ_φをハッシュ関数ｆに入力して作成
   された、α＜（ｐ／ｍ）^1/2なるα進数で表わされるｍ
   個の奇数化された要素φ_i ^(f)からなる、ｆ（ＩＤ_φ）＝
   （φ₀ ^(f)，φ₁ ^{( f)}，・・・φ_m-1 ^(f)）であり、 前記第２のＩＤベクトルは、ユーザー装置φの前記公開
   された固有情報ＩＤ_φをハッシュ関数ｈに入力して作成
   された、ｑ進数で表わされるｎ個の要素φ_i ^(h)からなる
   ｈ（ＩＤ_φ）＝（φ₀ ^(h)，φ₁ ^(h)，・・・φ_n-1 ^(h)）で
   ある、 ことを特徴とする請求項３に記載のユーザー装置への秘
   密の固有情報の配送方法。
5. 【請求項５】 暗号受信装置に、第１および第２の秘密
   の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
   体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
   報、および、前記第２の秘密の固有情報を有する羃指数
   とした前記原始元ｇの羃に基づいた第２の公開情報が公
   開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
   の前記羃指数で除算した値に等しくなる値が、配送用の
   秘密の固有情報として前記暗号受信装置にあらかじめ配
   送されており、 暗号送信装置から前記暗号受信装置に暗号文を送信する
   暗号システムにおける前記暗号送信装置であって、 乱数を羃指数とした前記第１の公開情報の羃に基づいた
   第１の送信情報、および、前記乱数を羃指数とした前記
   第２の公開情報の羃にメッセージを乗算した第２の送信
   情報を計算し、前記第１の送信情報および前記第２の送
   信情報を送信する、 ことを特徴とする暗号送信装置。
6. 【請求項６】 暗号受信装置に、第１および第２の秘密
   の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
   体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
   報、および、前記第２の秘密の固有情報を有する羃指数
   とした前記原始元ｇの羃に基づいた第２の公開情報が公
   開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
   の前記羃指数で除算した値に等しくなる値が、配送用の
   秘密の固有情報として、前記暗号受信装置にあらかじめ
   配送されており、 暗号送信装置から前記暗号受信装置に暗号文を送信する
   暗号システムにおける前記暗号受信装置であって、 第１の送信情報、および、第２の送信情報を受信し、前
   記配送用の秘密の固有情報を羃指数とした前記第１の送
   信情報の羃と、前記第２の送信情報とに基づいて前記メ
   ッセージを復号することを特徴とする暗号受信装置。
7. 【請求項７】 共有鍵受信装置に、第１および第２の秘
   密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
   体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
   報、および、前記第２の秘密の固有情報を有する羃指数
   とした前記原始元ｇの羃に基づいた第２の公開情報が公
   開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
   の前記羃指数で除算した値に等しくなる値が、配送用の
   秘密の固有情報として、前記共有鍵受信装置にあらかじ
   め配送されており、 共有鍵送信装置から前記共有鍵受信装置に共有鍵を送信
   する鍵共有システムにおける前記共有鍵送信装置であっ
   て、 乱数を羃指数とした前記第１の公開情報の羃に基づいた
   第１の送信情報、および、前記乱数を羃指数とした前記
   第２の公開情報の羃に共有鍵を乗算した第２の送信情報
   を計算し、前記第１の送信情報および前記第２の送信情
   報を送信する、ことを特徴とする共有鍵送信装置。
8. 【請求項８】 共有鍵受信装置に、第１および第２の秘
   密の固有情報が割り当てられ、 前記第１の秘密の固有情報有する羃指数としたガロア体
   ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情報、
   および、前記第２の秘密の固有情報を有する羃指数とし
   た前記原始元ｇの羃に基づいた第２の公開情報が公開状
   態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
   の前記羃指数で除算した値に等しくなる値が、配送用の
   秘密の固有情報として、前記共有鍵受信装置にあらかじ
   め配送されており、 共有鍵送信装置から前記共有鍵受信装置に共有鍵を送信
   する鍵共有システムにおける前記共有鍵受信装置であっ
   て、 第１の送信情報、および、第２の送信情報を受信し、前
   記配送用の秘密の固有情報を羃指数とした前記第１の送
   信情報の羃と、前記第２の送信情報とに基づいて前記共
   有鍵を復元する、 ことを特徴とする共有鍵受信装置。
9. 【請求項９】 共有鍵受信装置に、第１および第２の秘
   密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
   体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
   報、および、前記第２の秘密の固有情報を有する羃指数
   とした前記原始元ｇの羃に基づいた第２の公開情報が公
   開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
   の前記羃指数で除算した値に等しくなる値が、配送用の
   秘密の固有情報として、前記共有鍵受信装置にあらかじ
   め配送されており、 共有鍵送信装置から前記共有鍵受信装置に共有鍵を送信
   する鍵共有システムにおける前記共有鍵送信装置であっ
   て、 乱数を羃指数とした前記第１の公開情報の羃を計算し、
   前記共有鍵として格納するとともに、前記乱数を負の羃
   指数とした前記第２の公開情報の羃を計算して、送信情
   報とし、該送信情報を前記共有鍵受信装置に送信する、 ことを特徴とする共有鍵送信装置。
10. 【請求項１０】 前記共有鍵を用いて平文を暗号文に変
    換するとともに、前記共有鍵を最初に送信した後、前記
    暗号文を送信するまでの間にダミー情報を送信する、 ことを特徴とする請求項７または９に記載の共有鍵送信
    装置。
11. 【請求項１１】 共有鍵受信装置に、第１および第２の
    秘密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
    体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
    報、および、前記第２の秘密の固有情報を有する羃指数
    とした前記原始元ｇの羃に基づいた第２の公開情報が公
    開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
    の前記羃指数で除算した値に等しくなる値が、配送用の
    秘密の固有情報として、前記共有鍵受信装置にあらかじ
    め配送されており、 共有鍵送信装置から前記共有鍵受信装置に共有鍵を送信
    する鍵共有システムにおける共有鍵受信装置であって、 送信情報を受信し、前記配送用の秘密の固有情報を羃指
    数とした前記送信情報に基づいて前記共有鍵を復元す
    る、 ことを特徴とする共有鍵受信装置。
12. 【請求項１２】 証明ユーザー装置に、第１および第２
    の秘密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
    体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
    報、および、前記第２の秘密の固有情報を有する羃指数
    とした前記原始元ｇの羃に基づいた第２の公開情報が公
    開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
    の前記羃指数で除算した値に等しくなる値が、配送用の
    秘密の固有情報として、前記証明ユーザー装置にあらか
    じめ配送されており、 前記証明ユーザー装置から検証ユーザー装置に前記証明
    ユーザー装置の公開された固有情報を第１の送信情報と
    して送信することにより、前記検証ユーザー装置が前記
    証明ユーザー装置の認証を行う３パスの零知識証明シス
    テムにおける前記証明ユーザー装置であって、 前記証明ユーザー装置の公開された固有情報を送信した
    後に、返送情報を受信し、前記配送用の秘密の固有情報
    を羃指数とした前記返送情報の羃に基づいた第２の送信
    情報を計算し、該第２の送信情報を前記検証ユーザー装
    置に送信する、 ことを特徴とする証明ユーザー装置。
13. 【請求項１３】 証明ユーザー装置に、第１および第２
    の秘密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
    体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
    報、および、前記第２の秘密の固有情報を有する羃指数
    とした前記原始元ｇの羃に基づいた第２の公開情報が公
    開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
    の前記羃指数で除算した値に等しくなる値が、配送用の
    秘密の固有情報として、前記証明ユーザー装置にあらか
    じめ配送されており、 前記証明ユーザー装置から検証ユーザー装置に前記証明
    ユーザー装置の公開された固有情報を第１の送信情報と
    して送信することにより、前記検証ユーザー装置が前記
    証明ユーザー装置の認証を行う３パスの零知識証明シス
    テムにおける前記検証ユーザー装置であって、 乱数を羃指数とした前記第１の公開情報の羃に基づいた
    返送情報、および、前記乱数を羃指数とした前記第２の
    公開情報の羃に基づいた検証情報を計算し、前記返送情
    報を送信し、第２の受信情報を前記検証情報に基づいて
    検証することにより、前記証明ユーザー装置の認証を行
    う、 ことを特徴とする検証ユーザー装置。
14. 【請求項１４】 ディジタル署名ユーザー装置に、第１
    および第２の秘密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
    体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
    報、および、前記第２の秘密の固有情報を有する羃指数
    とした前記原始元ｇの羃に基づいた第２の公開情報が公
    開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
    の前記羃指数で除算した値に等しくなる値が、配送用の
    秘密の固有情報としてあらかじめ配送されており、 前記ディジタル署名ユーザー装置からディジタル署名検
    証ユーザー装置にディジタル署名付きメッセージを送信
    するディジタル署名システムにおける前記ディジタル署
    名ユーザー装置であって、 乱数と前記配送用の秘密の固有情報との積に基づいた第
    １の送信情報と、前記乱数を羃指数とした前記第２の公
    開情報の羃に、前記メッセージがハッシュ関数を用いて
    圧縮された圧縮情報が乗算された第２の送信情報とを、
    前記メッセージとともに、前記ディジタル署名検証ユー
    ザー装置に送信する、 ことを特徴とするディジタル署名ユーザー装置。
15. 【請求項１５】 ディジタル署名ユーザー装置に、第１
    および第２の秘密の固有情報が割り当てられ、 前記第１の秘密の固有情報を有する羃指数としたガロア
    体ＧＦ（Ｐ）の原始元ｇの羃に基づいた第１の公開情
    報、および、前記第２の秘密の固有情報を有する羃指数
    とした前記原始元ｇの羃に基づいた第２の公開情報が公
    開状態にあり、 前記第２の公開情報の前記羃指数を前記第１の公開情報
    の前記羃指数で除算した値に等しくなる値が、配送用の
    秘密の固有情報としてあらかじめ配送されており、 前記ディジタル署名ユーザー装置からディジタル署名検
    証ユーザー装置にディジタル署名付きメッセージを送信
    するディジタル署名システムにおける前記ディジタル署
    名検証ユーザー装置であって、 受信された第１の送信情報を羃指数とした前記第１の公
    開情報と第２の送信情報とに基づいて検証式を計算し、
    該検証式が受信された前記メッセージがハッシュ関数で
    圧縮された値になるときに、前記メッセージが前記ディ
    ジタル署名ユーザー装置によって送信されたことを検証
    する、 ことを特徴とするディジタル署名検証ユーザー装置。