JP2000216768A - 暗号化方法及び暗号通信方法並びに暗号通信システム - Google Patents

Abstract

(57)【要約】 【課題】 秘密鍵生成関数及び鍵共有関数が分離不可能
であり、確率的に鍵共有が可能であり、安全性が高いべ
き積型のＩＤ−ＮＩＫＳによる暗号通信方法を提供す
る。 【解決手段】 各エンティティのＩＤ情報に基づく各エ
ンティティ固有の公開鍵と各エンティティの乱数とを用
いたべき積演算により、センタ１にて秘密鍵（ベクトル
ｓ）を生成して各エンティティへ送付し、各エンティテ
ィは、送付された該エンティティ固有の秘密鍵と公開さ
れた通信対象のエンティティの公開鍵とを用いたべき積
演算を行い、エンティティ固有の乱数の影響を取り除い
て、平文を暗号文に暗号化する際及び暗号文を平文に復
号する際に使用する２人のエンティティ間に共有な共有
鍵を生成する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報の内容が当事
者以外にはわからないように情報を暗号化する暗号化方
法、その暗号化方法を利用した暗号通信方法、及び、暗
号通信システムに関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化鍵と復号鍵とは、等しくても良い
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザ（エンティティ）が
暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開
鍵リストにて公開し、復号鍵のみを秘密に保持するとい
う暗号系である。公開鍵暗号系では、この一対となる暗
号化鍵と復号鍵とが異なり、一方向性関数を利用するこ
とによって暗号化鍵から復号鍵を割り出せないという特
徴を持たせている。

【０００５】公開鍵暗号系は、暗号化鍵を公開するとい
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さを利用して実現されている。また、離
散対数問題を解くことの困難さ（離散対数問題）を利用
した公開鍵暗号系も種々の手法が提案されてきた。

【０００６】また、各エンティティの住所，氏名等の個
人を特定するＩＤ（Identity）情報を利用する暗号系が
提案された。この暗号系では、ＩＤ情報に基づいて送受
信者間で共通の暗号化鍵を生成する。また、このＩＤ情
報に基づく暗号技法には、（１）暗号文通信に先立って
送受信者間での予備通信を必要とする方式と、（２）暗
号文通信に先立って送受信者間での予備通信を必要とし
ない方式とがある。特に、（２）の手法は予備通信が不
要であるので、エンティティの利便性が高く、将来の暗
号系の中枢をなすものと考えられている。

【０００７】この（２）の手法による暗号系は、ＩＤ−
ＮＩＫＳ（ID-based non-interactive key sharing sch
eme)と呼ばれており、通信相手のＩＤ情報を用いて予備
通信を行うことなく暗号化鍵を共有する方式を採用して
いる。ＩＤ−ＮＩＫＳは、送受信者間で公開鍵，秘密鍵
を交換する必要がなく、また鍵のリスト及び第三者によ
るサービスも必要としない方式であり、任意のエンティ
ティ間で安全に通信を行える。

【０００８】図４は、このＩＤ−ＮＩＫＳのシステムの
原理を示す図である。信頼できるセンタの存在を仮定
し、このセンタを中心にして共有鍵生成システムを構成
している。図４において、エンティティＸの名前，住
所，電話番号等のＩＤ情報は、ハッシュ関数ｈ（・）を
用いてｈ（ＩＤ_X ）で表す。センタは任意のエンティテ
ィＸに対して、センタ公開情報｛ＰＣ_i ｝，センタ秘密
情報｛ＳＣ_i ｝及びエンティティＸのＩＤ情報ｈ（ＩＤ
_X ）に基づいて、以下のように秘密情報Ｓ_Xiを計算し、
秘密裏にエンティティＸへ配布する。 Ｓ_Xi＝Ｆ_i （｛ＳＣ_i ｝，｛ＰＣ_i ｝，ｈ（ＩＤ_X ））

【０００９】エンティティＸは他の任意のエンティティ
Ｙとの間で、暗号化，復号のための共有鍵Ｋ_XYを、エン
ティティＸ自身の秘密情報｛Ｓ_Xi｝，センタ公開情報
｛ＰＣ _i ｝及び相手先のエンティティＹのＩＤ情報ｈ
（ＩＤ_Y ）を用いて以下のように生成する。 Ｋ_XY＝ｆ（｛Ｓ_Xi｝，｛ＰＣ_i ｝，ｈ（ＩＤ_Y ）） また、エンティティＹも同様にエンティティＸへの鍵を
共有鍵Ｋ_YXを生成する。もし常にＫ_XY＝Ｋ_YXの関係が成
立すれば、この鍵Ｋ_XY，Ｋ_YXをエンティティＸ，Ｙ間で
暗号化鍵，復号鍵として使用できる。

【００１０】上述した公開鍵暗号系では、例えばＲＳＡ
暗号系の場合にその公開鍵の長さは現在の電話番号の十
数倍となり、極めて煩雑である。これに対して、ＩＤ−
ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録して
おけば、この名簿を参照して任意のエンティティとの間
で共有鍵を生成することができる。従って、図４に示す
ようなＩＤ−ＮＩＫＳのシステムが安全に実現されれ
ば、多数のエンティティが加入するコンピュータネット
ワーク上で便利な暗号系を構築できる。このような理由
により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると
期待されている。

【００１１】

【発明が解決しようとする課題】通信相手のＩＤ情報を
用いて予備通信を行うことなく暗号化鍵及び復号鍵とな
る共有鍵を互いに共有するようなＩＤ−ＮＩＫＳにあっ
ては、複数のエンティティの結託等の攻撃に対して十分
に安全であることが望まれる。しかしながら、以上のよ
うなＩＤ−ＮＩＫＳにおいては、攻撃法が検討されて、
適当な人数のエンティティが結託すればセンタの秘密パ
ラメータが露呈するという問題を含んでいる。暗号学的
に安全なＩＤ−ＮＩＫＳを構築できるか否かは、高度情
報化社会に重要な問題であり、より理想的な暗号方式の
探究が進められている。

【００１２】このような状況にあって、本発明者等は、
秘密鍵生成関数及び鍵共有関数が分離不可能であって、
確率的に鍵共有が可能である安全性が高いＩＤ−ＮＩＫ
Ｓの暗号方式を提案している。これらの従来の確率的Ｉ
Ｄ−ＮＩＫＳでは、秘密鍵の一部が乱数で覆われてお
り、鍵共有時にその乱数部分を、削除したり、または、
相殺したり（特願平10−262035号，特願平10−338190
号）することにより、分離不可能性を実現している。

【００１３】この乱数を用いた確率的ＩＤ−ＮＩＫＳの
手法は、非常に有効であるが、従来は積和型ＩＤ−ＮＩ
ＫＳに適用されているに過ぎない。この積和型確率的Ｉ
Ｄ−ＮＩＫＳは、結託攻撃における閾値を大幅に向上さ
せたが、結託の問題を完全に解決したとは言えない。

【００１４】本発明は斯かる事情に鑑みてなされたもの
であり、確率的ＩＤ−ＮＩＫＳの手法をべき積型ＩＤ−
ＮＩＫＳへ応用することにより、ＩＤ−ＮＩＫＳに対す
る有力な攻撃法である結託攻撃の問題を含まず、従来例
に比べて安全性を高くできるＩＤ−ＮＩＫＳによる暗号
化方法及び暗号通信方法並びに暗号通信システムを提供
することを目的とする。

【００１５】

【課題を解決するための手段】請求項１に係る暗号化方
法は、センタから各エンティティへ各エンティティ固有
の秘密鍵を送付し、エンティティが前記センタから送付
された該エンティティ固有の秘密鍵を利用して平文を暗
号文に暗号化する暗号化方法において、各エンティティ
の公開鍵と各エンティティ固有の乱数とを用いたべき積
演算により各エンティティ固有の秘密鍵を生成し、この
秘密鍵と暗号文の送信先である相手のエンティティの公
開鍵とを用いてべき積演算を行い、エンティティ固有の
乱数の影響を取り除いて生成した共有鍵を使用して平文
を暗号文に暗号化することを特徴とする。

【００１６】請求項２に係る暗号通信方法は、センタか
ら各エンティティへ各エンティティ固有の秘密鍵を送付
し、一方のエンティティが前記センタから送付された該
エンティティ固有の秘密鍵と公開された他方のエンティ
ティの公開鍵とから求めた共有鍵を利用して平文を暗号
文に暗号化して他方のエンティティへ伝送し、該他方の
エンティティが伝送された暗号文を、前記センタから送
付された該エンティティ固有の秘密鍵と公開された前記
一方のエンティティの公開鍵とから求めた、前記共有鍵
と同一の共有鍵を利用して元の平文に復号することによ
り、エンティティ間で情報の通信を行う暗号通信方法に
おいて、前記センタは、各エンティティの公開鍵と各エ
ンティティ固有の乱数とを用いたべき積演算により各エ
ンティティ固有の秘密鍵を生成し、各エンティティは、
この秘密鍵と相手のエンティティの公開鍵とを用いてべ
き積演算を行い、エンティティ固有の乱数の影響を取り
除いて前記共有鍵を生成するようにしたことを特徴とす
る。

【００１７】請求項３に係る暗号通信システムは、送信
すべき情報である平文を暗号文に暗号化する暗号化処
理、及び、送信された暗号文を元の平文に復号する復号
処理を、複数のエンティティ間で相互に行う暗号通信シ
ステムにおいて、各エンティティ固有の公開鍵と各エン
ティティ固有の秘密の乱数とを用いたべき積演算により
各エンティティ固有の秘密鍵を生成して各エンティティ
へ送付するセンタと、該センタから送付された自身の秘
密鍵と通信対象のエンティティ固有の公開鍵とを用いて
べき積演算を行い、エンティティ固有の乱数の影響を取
り除くことにより、前記暗号化処理及び復号処理を行う
ための共有鍵を生成する複数のエンティティとを有する
ことを特徴とする。

【００１８】本発明では、確率的ＩＤ−ＮＩＫＳの手法
をべき積型ＩＤ−ＮＩＫＳへ応用しており、秘密鍵生成
関数及び鍵共有関数が分離不可能であって確率的に鍵共
有が可能となる確率的ＩＤ−ＮＩＫＳの利点と、結託者
が秘密を計算しようとした場合に計算値の桁数が非常に
大きくなってしまうというと構造的に結託攻撃に強いべ
き積型ＩＤ−ＮＩＫＳの利点とを併せて持っており、結
託攻撃の問題を完全に解決している。

【００１９】

【発明の実施の形態】まず、ＩＤ−ＮＩＫＳを実現する
ための条件及び安全なＩＤ−ＮＩＫＳであるための条件
について考察する。但しｉ，ｊ，ｙ及びｚはエンティテ
ィを表し、ｖ _i は多くの場合にＩＤのハッシュ値である
エンティティｉの公開鍵、ｓ_i はエンティティｉの秘密
鍵、Ｋ_ijはエンティティｉが求めたエンティティｊとの
共有鍵とする。

【００２０】ＩＤ−ＮＩＫＳを実現するためには、以下
の条件１〜３の３つの条件が必要である。

【００２１】〔条件１（秘密鍵生成条件）〕センタは、
秘密鍵生成関数ｆ（・）を用いて、エンティティｉの公
開鍵ｖ_i から対応する秘密鍵ｓ_i を求めることができ
る。 ｓ_i ＝ｆ（ｖ_i ）

【００２２】〔条件２（共有鍵生成条件）〕共有鍵生成
関数ｇ（・）を用いて、エンティティｉの秘密鍵ｓ_i と
エンティティｊの公開鍵ｖ_j とから共有鍵Ｋ_ijを求める
ことができる。 Ｋ_ij＝ｇ（ｓ_i ，ｖ_j ）

【００２３】〔条件３（鍵共有条件）〕エンティティｉ
がエンティティｊに対して生成する共有鍵Ｋ_ijと、エン
ティティｊがエンティティｉに対して生成する共有鍵Ｋ
_jiとは等しい。 Ｋ_ij＝Ｋ_ji 従って、共有鍵生成関数ｇ（・）に秘密鍵生成関数ｆ
（・）を代入して得られる、公開鍵ｖ_i ，ｖ_j を変数と
する鍵共有関数Ｆ（・）は対称関数である。 Ｆ（ｖ_i ，ｖ_j ）＝Ｆ（ｖ_j ，ｖ_i ） 但し、 Ｆ（ｖ_i ，ｖ_j ）＝ｇ（ ｆ（ｖ_i ），ｖ_j ）＝ｇ（ｓ
_i ，ｖ_j ）

【００２４】ここで、分離可能という概念を以下のよう
に定義する。定義：適当な可換算法を○として、以下の
式が必ず満たされる場合に、関数ｆは演算○により分離
可能であると定義する。 ｆ（ｘ＋ｙ）＝ｆ（ｘ）○ｆ（ｙ） 例えば、ｆ（ｘ）＝ａｘ，ｆ（ｘ）＝ａ^x は、以下に示
すように分離可能である。 ｆ（ｘ＋ｙ）＝ａ（ｘ＋ｙ）＝ａｘ＋ａｙ＝ｆ（ｘ）＋
ｆ（ｙ） ｆ（ｘ＋ｙ）＝ａ^x+y ＝ａ^x ・ａ^y ＝ｆ（ｘ）・ｆ
（ｙ） 一方、ｆ（ｘ）＝ａｘ＋ｂは、以下に示すように分離可
能でない。 ｆ（ｘ＋ｙ）＝ａ（ｘ＋ｙ）＋ｂ＝ａｘ＋ａｙ＋ｂ ｆ（ｘ）＋ｆ（ｙ）＝ａｘ＋ｂ＋ａｙ＋ｂ＝ａｘ＋ａｙ
＋２ｂ よって、ｆ（ｘ＋ｙ）≠ｆ（ｘ）＋ｆ（ｙ）

【００２５】攻撃対象のエンティティｚの公開鍵ｖ_z が
結託者の公開鍵ｖ_i の線形結合で表され、しかも、秘密
鍵生成関数または鍵共有関数の何れか一方が多項式時間
で分離可能な関数である場合には、センタ秘密を求める
ことなくエンティティの秘密鍵及び共有鍵を偽造するこ
とができる。この攻撃法は従来より線形攻撃と呼ばれて
きた。

【００２６】従来、公開鍵ｖ_z を線形結合で表すことは
容易と考えられていたが、攻撃したいエンティティの公
開鍵ｖ_z を線形結合で表すことが必ずしも容易でない方
式も開発されている。そこで、線形攻撃を、公開鍵ｖ_z
を線形結合として表すという前段の攻撃部分と、その場
合に関数を分離して鍵を偽造するという後段の攻撃部分
とに分けて考えるべきである。以下の説明では、この線
形攻撃の前段を結合攻撃、後段を分離攻撃と呼んで区別
する。なお、線形攻撃は、この結合攻撃及び分離攻撃の
両攻撃をまとめたものを指すこととする。

【００２７】分離攻撃に対しては以下の定理が成立す
る。 定理１：（秘密鍵に対する分離攻撃） 公開鍵ｖ_z に対して整数係数による結合攻撃が成立し、
秘密鍵生成関数が演算○により多項式時間で分離可能で
あり、しかも、演算○に対する逆元が多項式時間で求ま
る場合には、秘密鍵による分離攻撃により秘密鍵ｓ_z を
多項式時間で偽造できる。 定理２：（共有鍵に対する分離攻撃） 公開鍵ｖ_z に対して整数係数による結合攻撃が成立し、
秘密鍵生成関数が演算○により多項式時間で分離可能で
あり、しかも、演算○に対する逆元が多項式時間で求ま
る場合には、共有鍵のみを用いた分離攻撃により共有鍵
Ｋ_yzを多項式時間で偽造できる。

【００２８】上述したような分離攻撃に対して安全なＩ
Ｄ−ＮＩＫＳを構成するためには、以下の条件４，５を
満たせば良い。

【００２９】〔条件４（分離攻撃に対する秘密鍵の安全
性）〕秘密鍵生成関数ｆ（・）を多項式時間で分離する
ことは困難である。

【００３０】〔条件５（分離攻撃に対する共有鍵の安全
性）〕鍵共有関数Ｆ（・）を多項式時間で分離すること
は困難である。

【００３１】この条件５は非常に厳しく、途中の計算に
かかわらず、鍵共有段階の関数形が分離可能となってい
るだけで安全ではないことを意味する。例えば、積和型
ＩＤ−ＮＩＫＳまたはべき積型ＩＤ−ＮＩＫＳはこの条
件を満たしていない。

【００３２】図１は、本発明の暗号通信システムの構成
を示す模式図である。情報の隠匿を信頼できるセンタ１
が設定されており、このセンタ１としては、例えば社会
の公的機関を該当できる。このセンタ１と、この暗号系
システムを利用するユーザとしての複数の各エンティテ
ィａ，ｂ，…，ｚとは秘密通信路２ａ，２ｂ，…，２ｚ
により接続されており、この秘密通信路２ａ，２ｂ，
…，２ｚを介してセンタ１から秘密の鍵情報が各エンテ
ィティａ，ｂ，…，ｚへ伝送されるようになっている。
また、２人のエンティティの間には通信路３ab，３az，
３bz，…が設けられており、この通信路３ab，３az，３
bz，…を介して通信情報を暗号化した暗号文が互いのエ
ンティティ間で伝送されるようになっている。

【００３３】以下、本発明の確率的に鍵共有可能なべき
積型ＩＤ−ＮＩＫＳの実施の形態について説明する。

【００３４】（センタ１での準備処理）センタ１は以下
の公開鍵及び秘密鍵を準備し、公開鍵を公開する。 公開鍵 Ｐ 大きな素数 Ｄ 正の整数 ベクトルｈ（・） ｎ次元の公開鍵ベクトルを生成する一方向性 ハッシュ関数 秘密鍵 Ｔ ｍビットの乱数からなるｎ×ｎの対称行列 ｙ Ｍビットのセンタ秘密乱数 ベクトルγ_i ｃビットの乱数からなる個人乱数ベクトル δ_i Ｌビットの個人秘密乱数 但し、ハッシュ関数ベクトルｈ（・）を用いて生成した
公開鍵ベクトルの全ての成分の和はｅになるとし、gcd
(ｅ，Ｐ−１）＝１とする。また、各鍵のビット数につ
いては、後述するパラメータの条件（式（９））を満た
すものとする。

【００３５】（エンティティの登録処理）エンティティ
ｉに登録を依頼されたセンタ１は、準備した鍵とエンテ
ィティｉの公開鍵ベクトルｖ_i （＝ベクトルｈ（Ｉ
Ｄ_i ））とを用いて以下の式（１）に従って、エンティ
ティｉの秘密鍵ベクトルｓ_i を求め、求めたベクトルｓ
_i をエンティティｉへ秘密裏に送って、登録を完了す
る。但し、ｍｏｄは、二項演算子のｍｏｄである。即
ち、a mod P はａをＰで割った剰余を求める演算を表す
とする。また、ｄ≡ｅ^-1（mod Ｐ）とおく。更に、指数
部は行列のべき乗演算（べき積演算）を表す。

【００３６】

【数１】

【００３７】（エンティティ間の共有鍵の生成処理）エ
ンティティｉは、以下の計算を行って、エンティティｊ
との共有鍵Ｋ_ijを求める。まず、法Ｐによる式（２）に
従って、Ｔ_ij″を求め、次に整数環上で式（３）の計算
によりＫ_ijを得る。

【００３８】

【数２】

【００３９】（パラーメータ設定）まず、整数環上で、
式（４），式（５）のようにおく。

【００４０】

【数３】

【００４１】そして、これらの有効ビット数がＸとなる
ように個人乱数δ_i ，ベクトルγ_iの大きさを設定す
る。即ち、式（６），式（７）のように設定する。な
お、これらをｅ個掛け合わせても、有効ビット数はｌｏ
ｇ₂ ｅ程度しか減少しない。

【００４２】

【数４】

【００４３】共有鍵Ｋ_ijが有効ビット内に入るように、
使用する各鍵の大きさを、式（８）の条件を満たすよう
に設定する。即ち、式（９）となるように、パラメータ
を設定する。

【００４４】

【数５】

【００４５】ここで、有効ビット数Ｘを、式（10）〜式
（12）に示すようにＸ_H ，Ｘ_M ，Ｘ _L の３つの部分に分
けて考えると、Ｘ_M ビットの共有鍵が得られることが分
かる。 Ｘ_H ＝ｅ² ｍ＋Ｍ−｜Ｐ｜ …（10） Ｘ_M ＝｜Ｐ｜−｜Ｄ｜ …（11） Ｘ_L ＝｜Ｄ｜−（ｅ² ｍ＋Ｍ−Ｘ） …（12）

【００４６】例えば、公開鍵を84ビットの重み７の２進
ベクトル（ｅ＝７）とし、Ｘ_H ＝Ｘ _M ＝Ｘ_L ＝64ビット
（有効ビット数Ｘ＝192 ビット）と設定した場合を考え
る。この場合、センタ１の秘密の大きさをｍ＝64ビット
とし、Ｍ＝ｅｍ，Ｌ＝ｃとすると、式（９）のパラメー
タの条件より、Ｐ，Ｄをそれぞれ3520，3456ビットにす
ればよい。

【００４７】次に、上述した暗号システムにおけるエン
ティティ間の情報の通信について説明する。図２は、２
人のエンティティａ，ｂ間における情報の通信状態を示
す模式図である。図２の例は、エンティティａが平文
（メッセージ）Ｍを暗号文Ｃに暗号化してそれをエンテ
ィティｂへ伝送し、エンティティｂがその暗号文Ｃを元
の平文（メッセージ）Ｍに復号する場合を示している。

【００４８】センタ１には、各エンティティａ，ｂの個
人識別情報ＩＤ_a ，ＩＤ_b に基づきハッシュ関数を利用
してベクトルｖ_a ，ｖ_b （公開鍵）を得る公開鍵生成器
１ａと、前記式（１）に従って各エンティティａ，ｂ固
有のベクトルｓ_a ，ｓ_b （秘密鍵）を求める秘密鍵生成
器１ｂとが備えられている。そして、センタ１から各エ
ンティティａ，ｂへ秘密鍵ベクトルｓ_a ，ｓ_b へ送付さ
れる。

【００４９】エンティティａ側には、エンティティｂの
個人識別情報ＩＤ_b を入力し、ハッシュ関数を利用して
ベクトルｖ_b （公開鍵）を得る公開鍵生成器１１と、セ
ンタ１から送られる秘密のベクトルｓ_a と公開鍵生成器
１１からの公開鍵であるベクトルｖ_b とに基づいてエン
ティティａが求めるエンティティｂとの共有鍵Ｋ_abを生
成する共有鍵生成器１２と、共有鍵Ｋ_abを用いて平文
（メッセージ）Ｍを暗号文Ｃに暗号化して通信路３０へ
出力する暗号化器１３とが備えられている。

【００５０】また、エンティティｂ側には、エンティテ
ィａの個人識別情報ＩＤ_a を入力し、ハッシュ関数を利
用してベクトルｖ_a （公開鍵）を得る公開鍵生成器２１
と、センタ１から送られる秘密のベクトルｓ_b と公開鍵
生成器２１からの公開鍵であるベクトルｖ_a とに基づい
てエンティティｂが求めるエンティティａとの共有鍵Ｋ
_baを生成する共有鍵生成器２２と、共有鍵Ｋ_baを用いて
通信路３０から入力した暗号文Ｃを平文（メッセージ）
Ｍに復号して出力する復号器２３とが備えられている。

【００５１】エンティティａからエンティティｂへ情報
を伝送しようとする場合、まず、エンティティｂの個人
識別情報ＩＤ_b が公開鍵生成器１１に入力されてベクト
ルｖ _b （公開鍵）が得られ、得られたベクトルｖ_b が共
有鍵生成器１２へ送られる。また、センタ１から式
（１）に従って求められたベクトルｓ_a が共有鍵生成器
１２へ入力される。そして、式（２），（３）に従って
共有鍵Ｋ_abが求められ、暗号化器１３へ送られる。暗号
化器１３において、この共有鍵Ｋ_abを用いて平文（メッ
セージ）Ｍが暗号文Ｃに暗号化され、暗号文Ｃが通信路
３０を介して伝送される。

【００５２】通信路３０を伝送された暗号文Ｃはエンテ
ィティｂの復号器２３へ入力される。エンティティａの
個人識別情報ＩＤ_a が公開鍵生成器２１に入力されてベ
クトルｖ_a （公開鍵）が得られ、得られたベクトルｖ_a
が共有鍵生成器２２へ送られる。また、センタ１から式
（１）に従って求められたベクトルｓ_b が共有鍵生成器
２２へ入力される。そして、式（２），（３）に従って
共有鍵Ｋ_baが求められ、復号器２３へ送られる。復号器
２３において、この共有鍵Ｋ_baを用いて暗号文Ｃが平文
（メッセージ）Ｍに復号される。

【００５３】次に、本発明の方式の実現性について説明
する。式（１）を式（２）の右辺に代入して整数環上で
計算すると、式（13）のようになる。

【００５４】

【数６】

【００５５】Ｔ_ij′を乱数がない真の値Ｔ_ijと整数環上
で比較した場合、もし繰り上がりがなければ、上位｛Ｘ
−ｌｏｇ₂ （ｅ＋１）｝ビットが一致していることがわ
かる。即ち、式（14）となる。但し、真の値Ｔ_ijはすべ
ての乱数を０として式（15）のように置いた。

【００５６】

【数７】

【００５７】式（15）で示されるこのＴ_ijは明らかに対
称関数であるので、Ｔ_ij＝Ｔ_jiが成立する。従って、Ｔ
_ij′とＴ_ji′とを比較しても、もし繰り上がりがなけれ
ば、上位｛Ｘ−ｌｏｇ₂ （ｅ＋１）｝ビットが一致して
いることがわかる。

【００５８】よって、｛Ｘ_L −ｌｏｇ₂ （ｅ＋１）｝ビ
ットすべてが繰り上がらない限り、両エンティティで作
成した共有鍵Ｋ_ijとＫ_jiとは等しくなる。｛Ｘ_L −ｌｏ
ｇ₂（ｅ＋１）｝ビットのすべてが繰り上がる確率は、
式（16）で示され、ごく僅かである。従って、Ｘ_L を十
分大きく設定した場合には、圧倒的に高い確率でＫ_ij＝
Ｋ_jiとなることが分かる。例えば、上述した数値例（Ｘ
_L ＝64，ｅ＝７）の場合には、両エンティティとも１／
２⁶⁰の確率でしか誤った共有鍵を生成しないことにな
る。

【００５９】

【数８】

【００６０】次に、本発明の方式の安全性について説明
する。本発明の方式における秘密鍵生成関数，鍵共有関
数はそれぞれ、式（17），式（18）のように表される。

【００６１】

【数９】

【００６２】（分離攻撃に対する秘密鍵の安全性）式
（17）に示す秘密鍵生成関数ｆ（・）にベクトルｘ＋ベ
クトルｙを代入すると、式（19）のようになる。但し、
＊は成分同士の積を表す。一方、式（20）が成立する。

【００６３】

【数１０】

【００６４】よって、式（21）のようになり、秘密鍵生
成関数は分離不可能である。従って、条件４を満たして
おり、秘密鍵は分離攻撃に対して安全である。

【００６５】

【数１１】

【００６６】（分離攻撃に対する共有鍵の安全性）鍵共
有関数Ｆ（・）に関して、式（15）は分離可能である
が、式（18）において右辺の分子はＰで割った剰余に対
し、更に分離不可能な関数である床関数を作用させてい
るため、明らかに分離不可能である。即ち、式（22）と
なっている。従って、条件５を満たしており、共有鍵は
分離攻撃に対して安全である。

【００６７】

【数１２】

【００６８】（有限体上での線形攻撃に対する安全性）
１次独立なｎ人の結託者の公開鍵ベクトルｖ_i を並べた
行列Ｖを式（23）とすると、任意のベクトルｖ_z に対し
てＰを法として、式（24）を求めることができ、式（2
5）に示すように、ベクトルｖ_z をｎ人の結託者による
線形結合で表すことができる。

【００６９】

【数１３】

【００７０】ここで、ベクトルｕ_z を式（26）のように
設定すると、Ｐを法として、式（27）に示すベクトルｓ
_z ′を求めることができる。但し、指数部分は各成分毎
に作用させるものとする。

【００７１】

【数１４】

【００７２】しかしながら、ベクトルｕ_z のすべての成
分の和がｅを超えてしまうと、乱数成分が法Ｐよりも大
きくなり、鍵の全桁を覆い尽くす。従って、式（27）で
生成するベクトルｓ_z ′はエンティティｚの秘密鍵とは
なっていない。よって、ｎ人の結託者による有限体上で
の線形攻撃に対して、本発明の方式は安全である。

【００７３】また、究極に不利な状況として、３人のエ
ンティティによってベクトルｖ_z が、式（28）のように
示された場合であっても、線形攻撃は成立しない。

【００７４】

【数１５】

【００７５】このような場合、通常は以下の式（29）の
ような攻撃が成立する筈である。しかしながら、以下の
ような理由により、本発明の方式では攻撃が成立しな
い。

【００７６】

【数１６】

【００７７】法Ｐを超えずに乗算を行っている間は、有
効ビット数Ｘはほとんど変化しないが、逆数を乗ずるま
たはｅ個以上の数の秘密鍵ベクトルを掛け合わせると、
法Ｐの大きさを超えてしまって、乱数部分がたちまち全
桁を覆うことになる。よって、このような究極に不利な
状況での線形攻撃に対しても、本発明の方式は安全であ
る。

【００７８】（実数体上での線形攻撃に対する安全性）
式（１）にあって（ｙ＋δ_i ）^d という係数がないと仮
定した場合、ベクトルｓ_i の成分が法Ｐよりも小さな値
になるので、実数体上での線形攻撃が成立する。以下、
このことについて説明する。

【００７９】（ｎ＋１）人以上のｎ′人の結託により、
ユークリッドの互除法を応用すれば、整数環上での結合
攻撃が可能であると考えられる。即ち、ｎ′人の結託者
の公開鍵ベクトルｖ_i を並べた行列Ｖを式（30）とする
と、整数環上で式（31）を満たす係数ベクトルｕ_z （成
分は式（32）に示す）を求めることができる。

【００８０】

【数１７】

【００８１】次に、式（33）に従って、実数体上でベク
トルｓ_z ′を求める。但し、求めたベクトルｓ_z ′に関
して小数部分は切り捨てて整数とする。

【００８２】

【数１８】

【００８３】このようにして求めたベクトルｓ_z ′を真
の秘密鍵ベクトルｓ_z と比較すると、有効ビット数が約
（34）に示すビット数に減っており、乱数項が大きくな
っているが、式（35）の関係を満たす場合には、ベクト
ルｓ_z ′は真の秘密鍵ベクトルｓ_z と同等の役割を果た
す。この安全性は積和型確率的ＩＤ−ＮＩＫＳと同程度
である。

【００８４】

【数１９】

【００８５】上述した本発明の方式では、式（１）にお
いて（ｙ＋δ_i ）^d という係数を乗じており、Ｐで法を
取れば完全に全桁を乱数が覆っており、以上のような攻
撃は全く通用しない。よって、本発明の方式は、結託に
よる攻撃を完璧に防いでおり、そのような攻撃の問題を
含まない。

【００８６】次に、本発明の具体例について説明する。
まず、各パラメータの設定を以下のようにする。

【００８７】

【数２０】

【００８８】また、センタ１における秘密情報（Ｔ，
ｙ），公開情報（Ｐ，Ｄ，ｄ）を以下のように設定す
る。

【００８９】

【数２１】

【００９０】また、３人のエンティティの公開鍵ベクト
ル（ベクトルｖ₁ ，ｖ₂ ，ｖ₃ ）を以下のように設定す
る。

【００９１】

【数２２】

【００９２】各エンティティにおける秘密の乱数
（δ₁ ，ベクトルγ₁ 、δ₂ ，ベクトルγ ₂ 、δ₃ ，ベ
クトルγ₃ ）を以下のように設定し、前記式（１）に従
って各エンティティの秘密鍵ベクトル（ベクトルｓ₁ ，
ｓ₂ ，ｓ₃ ）を以下のように求める。

【００９３】

【数２３】

【００９４】

【数２４】

【００９５】

【数２５】

【００９６】以上のように設定した場合、前記式
（２），（３）に従って、２人のエンティティ間で鍵共
有ができる（Ｋ₁₂＝Ｋ₂₁，Ｋ₂₃＝Ｋ₃₂，Ｋ₃₁＝Ｋ₁₃であ
る）ことを以下に示す。

【００９７】

【数２６】

【００９８】この各エンティティでの公開鍵ベクトルの
設定例では、前述したような究極に不利な状況（式（2
8））を満足しているが、以下に示すようにベクトルｓ
_z （mod Ｐ）とベクトルｓ_z ′（mod Ｐ）とが一致せ
ず、線形攻撃に対して安全であることが分かる。

【００９９】

【数２７】

【０１００】図３は、本発明の記録媒体の実施例の構成
を示す図である。ここに例示するプログラムは、ハッシ
ュ関数を用いてベクトルｖ_i を求める処理、及び、式
（１）に従ってベクトルｓ_i を求める処理または式
（１）に従ってＫ_iJを求める処理を含んでおり、以下に
説明する記録媒体に記録されている。なお、コンピュー
タ４０は、センタ１側と各エンティティ側とに設けられ
ている。

【０１０１】図３において、コンピュータ４０とオンラ
イン接続する記録媒体４１は、コンピュータ４０の設置
場所から隔たって設置される例えばＷＷＷ(World Wide
Web)のサーバコンピュータを用いてなり、記録媒体４１
には前述の如きプログラム４１ａが記録されている。記
録媒体４１から読み出されたプログラム４１ａがコンピ
ュータ４０を制御することにより、センタ１においては
各エンティティ固有の秘密鍵を演算し、各エンティティ
においては通信対象のエンティティに対する共有鍵を演
算する。

【０１０２】コンピュータ４０の内部に設けられた記録
媒体４２は、内蔵設置される例えばハードディスクドラ
イブまたはＲＯＭなどを用いてなり、記録媒体４２には
前述の如きプログラム４２ａが記録されている。記録媒
体４２から読み出されたプログラム４２ａがコンピュー
タ４０を制御することにより、センタ１においては各エ
ンティティ固有の秘密鍵を演算し、各エンティティにお
いては通信対象のエンティティに対する共有鍵を演算す
る。

【０１０３】コンピュータ４０に設けられたディスクド
ライブ４０ａに装填して使用される記録媒体４３は、運
搬可能な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフ
レキシブルディスクなどを用いてなり、記録媒体４３に
は前述の如きプログラム４３ａが記録されている。記録
媒体４３から読み出されたプログラム４３ａがコンピュ
ータ４０を制御することにより、センタ１においては各
エンティティ固有の秘密鍵を演算し、各エンティティに
おいては通信対象のエンティティに対する共有鍵を演算
する。

【０１０４】ＲＳＡ暗号の安全性に起因した本発明の他
の実施の形態について説明する。センタ１で準備する公
開鍵の１つとして、前述したＰに代えてＮ＝ｐｑ（ｐ，
ｑ素数）としても良い。この場合には、前述した各式に
おいて、ＰがＮに変わり、Ｐ−１がλ（Ｎ）に変わる
（gcd(ｅ，λ（Ｎ））＝１）。但し、λ（・）をカーマ
イケル関数とし、λ（Ｎ）＝lcm(ｐ−１，ｑ−１）であ
る。他の部分については、前述した実施の形態にと同様
であるので、それらの説明は省略する。

【０１０５】ところで、現実の暗号通信システムにあっ
ては、安全性に加えて簡易性も要求される。よって、式
（１）において個人乱数ベクトルγ_i を除去して各エン
ティティの秘密鍵を生成するようにしたシステム、また
は、式（１）において（ｙ＋δ_i ）^d という係数を除去
して各エンティティの秘密鍵を生成するようにしたシス
テムも有用であると言える。この場合、センタ１が各エ
ンティティの秘密鍵ベクトルｓ_i を生成するための演算
式はそれぞれ式（36），式（37）のようになる。なお、
各エンティティが共有鍵Ｋ_ijを生成するための演算式
は、上述の場合と同様に式（２），（３）となる。式
（36），式（37）にて秘密鍵を生成する方式は、式
（１）にて秘密鍵を生成する方式に比べて安全性は劣る
が、積和型確率的ＩＤ−ＮＩＫＳと同程度の安全性は確
保しており、演算速度は速くなり、実用的な方式であ
る。

【０１０６】

【数２８】

【０１０７】

【発明の効果】以上詳述したように、本発明では、確率
的に鍵共有が可能なべき積型ＩＤ−ＮＩＫＳを提供して
いるので、確率的ＩＤ−ＮＩＫＳの利点及びべき積型Ｉ
Ｄ−ＮＩＫＳの利点を併せて持っており、結託者が秘密
を計算しようとした場合に有効ビットが法を超えてしま
うため、ＩＤ−ＮＩＫＳに対する有力な攻撃法である結
託攻撃の問題を含んでおらず、従来例に比べて安全性を
高くできる。

【０１０８】（付記）なお、以上の説明に対して更に以
下の項を開示する。 （１） センタから各エンティティへ各エンティティ固
有の秘密鍵を送付し、一方のエンティティが前記センタ
から送付された該エンティティ固有の秘密鍵と公開され
た他方のエンティティの公開鍵とから求めた共有鍵を利
用して平文を暗号文に暗号化して他方のエンティティへ
伝送し、該他方のエンティティが伝送された暗号文を、
前記センタから送付された該エンティティ固有の秘密鍵
と公開された前記一方のエンティティの公開鍵とから求
めた、前記共有鍵と同一の共有鍵を利用して元の平文に
復号することにより、エンティティ間で情報の通信を行
う暗号通信方法において、前記センタは、各エンティテ
ィの公開鍵と各エンティティ固有の乱数とを用いたべき
積演算により各エンティティ固有の秘密鍵を生成し、各
エンティティは、この秘密鍵と相手のエンティティの公
開鍵とを用いてべき積演算を行い、エンティティ固有の
乱数の影響を取り除いて前記共有鍵を生成するように
し、前記センタにおける秘密鍵を生成する演算式は以下
である暗号通信方法。

【０１０９】

【数２９】

【０１１０】但し、 ベクトルｓ_i ：エンティティｉの秘密鍵 ベクトルｖ_i ：エンティティｉの公開鍵 Ｔ：センタ秘密の乱数からなる対称行列 ベクトルγ_i ：センタ秘密の乱数からなるエンティティ
ｉの個人乱数ベクトル Ｐ：公開された素数 ｙ：センタ秘密の乱数 δ_i ：センタ秘密であるエンティティｉの個人秘密乱数 ｄ≡ｅ^-1（mod Ｐ−１）（ｅは公開鍵の全ての成分の和
であり、ｅとＰ−１とは互いに素） （２） センタから各エンティティへ各エンティティ固
有の秘密鍵を送付し、一方のエンティティが前記センタ
から送付された該エンティティ固有の秘密鍵と公開され
た他方のエンティティの公開鍵とから求めた共有鍵を利
用して平文を暗号文に暗号化して他方のエンティティへ
伝送し、該他方のエンティティが伝送された暗号文を、
前記センタから送付された該エンティティ固有の秘密鍵
と公開された前記一方のエンティティの公開鍵とから求
めた、前記共有鍵と同一の共有鍵を利用して元の平文に
復号することにより、エンティティ間で情報の通信を行
う暗号通信方法において、前記センタは、各エンティテ
ィの公開鍵と各エンティティ固有の乱数とを用いたべき
積演算により各エンティティ固有の秘密鍵を生成し、各
エンティティは、この秘密鍵と相手のエンティティの公
開鍵とを用いてべき積演算を行い、エンティティ固有の
乱数の影響を取り除いて前記共有鍵を生成するように
し、前記センタにおける秘密鍵を生成する演算式は以下
である暗号通信方法。

【０１１１】

【数３０】

【０１１２】但し、 ベクトルｓ_i ：エンティティｉの秘密鍵 ベクトルｖ_i ：エンティティｉの公開鍵 Ｔ：センタ秘密の乱数からなる対称行列 Ｐ：公開された素数 ｙ：センタ秘密の乱数 δ_i ：センタ秘密であるエンティティｉの個人秘密乱数 ｄ≡ｅ^-1（mod Ｐ−１）（ｅは公開鍵の全ての成分の和
であり、ｅとＰ−１とは互いに素） （３） センタから各エンティティへ各エンティティ固
有の秘密鍵を送付し、一方のエンティティが前記センタ
から送付された該エンティティ固有の秘密鍵と公開され
た他方のエンティティの公開鍵とから求めた共有鍵を利
用して平文を暗号文に暗号化して他方のエンティティへ
伝送し、該他方のエンティティが伝送された暗号文を、
前記センタから送付された該エンティティ固有の秘密鍵
と公開された前記一方のエンティティの公開鍵とから求
めた、前記共有鍵と同一の共有鍵を利用して元の平文に
復号することにより、エンティティ間で情報の通信を行
う暗号通信方法において、前記センタは、各エンティテ
ィの公開鍵と各エンティティ固有の乱数とを用いたべき
積演算により各エンティティ固有の秘密鍵を生成し、各
エンティティは、この秘密鍵と相手のエンティティの公
開鍵とを用いてべき積演算を行い、エンティティ固有の
乱数の影響を取り除いて前記共有鍵を生成するように
し、前記センタにおける秘密鍵を生成する演算式は以下
である暗号通信方法。

【０１１３】

【数３１】

【０１１４】但し、 ベクトルｓ_i ：エンティティｉの秘密鍵 ベクトルｖ_i ：エンティティｉの公開鍵 Ｔ：センタ秘密の乱数からかる対称行列 ベクトルγ_i ：センタ秘密の乱数からなるエンティティ
ｉの個人乱数ベクトル Ｐ：公開された素数 （４） 第（１）〜（３）項の何れかに記載の暗号通信
方法であって、各エンティティにおける共有鍵を生成す
る演算式は以下である暗号通信方法。

【０１１５】

【数３２】

【０１１６】但し、 Ｋ_ij：一方のエンティティｉが他方のエンティティｊに
対して生成する共有鍵 ベクトルｖ_j ：エンティティｊの公開鍵 Ｔ_ij″：共有鍵Ｋ_ijを生成するための中間値 Ｄ：公開された正の整数 （５） 第（１）項記載の暗号通信方法であって、前記
Ｔの乱数をｍビットとし、前記ｙの乱数をＭビットと
し、前記ベクトルγ_i の乱数をｃビットとし、前記δ_i
の乱数をＬビットとした場合に、以下の条件を満たす暗
号通信方法。 ｅ² ｍ＋Ｍ＞｜Ｐ｜＞｜Ｄ｜＞ｅ² ｍ＋Ｍ−Ｘ Ｘ＝Ｍ−Ｌ Ｘ＝ｅｍ−ｃ （６） 第（１）〜（５）項の何れかに記載の暗号通信
方法であって、法として素数Ｐの代わりに素因数分解が
困難な合成数を用いる暗号通信方法。 （７） センタから各エンティティへ各エンティティ固
有の秘密鍵を送付し、一方のエンティティが前記センタ
から送付された該エンティティ固有の秘密鍵と公開され
た他方のエンティティの公開鍵とから求めた共有鍵を利
用して平文を暗号文に暗号化して他方のエンティティへ
伝送し、該他方のエンティティが伝送された暗号文を、
前記センタから送付された該エンティティ固有の秘密鍵
と公開された前記一方のエンティティの公開鍵とから求
めた、前記共有鍵と同一の共有鍵を利用して元の平文に
復号することにより、エンティティ間で情報の通信を行
う暗号通信方法において、前記センタは、各エンティテ
ィの公開鍵と各エンティティ固有の乱数とを用いたべき
積演算により各エンティティ固有の秘密鍵を生成し、各
エンティティは、この秘密鍵と相手のエンティティの公
開鍵とを用いてべき積演算を行い、エンティティ固有の
乱数の影響を取り除いて前記共有鍵を生成するように
し、各エンティティの特定情報をハッシュ関数を利用し
て計算することにより、各エンティティの前記公開鍵を
求める暗号通信方法。 （８） 第（１）〜（６）項の何れかに記載の暗号通信
方法であって、各エンティティの特定情報をハッシュ関
数を利用して計算することにより、各エンティティの前
記公開鍵を求める暗号通信方法。 （９） 暗号通信システムにおける各エンティティ固有
の秘密鍵を生成する秘密鍵生成装置において、各エンテ
ィティの特定情報に基づいて各エンティティの公開鍵を
生成する手段と、生成した公開鍵と各エンティティ固有
の乱数とを用いたべき積演算により前記各エンティティ
固有の秘密鍵を生成する手段とを備える秘密鍵生成装
置。 （10） 暗号通信システムにおける平文から暗号文への
暗号化処理及び暗号文から平文への復号処理を行うため
の共有鍵を生成する共有鍵生成装置において、通信対象
の一方のエンティティの特定情報に基づいて該一方のエ
ンティティの公開鍵を生成する手段と、生成した公開鍵
と通信対象の他方のエンティティ固有の秘密鍵とを用い
てべき積演算を行い、エンティティ固有の乱数の影響を
取り除くことにより前記共有鍵を生成する手段とを備え
る共有鍵生成装置。 （11） 暗号通信システムにおける各エンティティ固有
の秘密鍵を生成するためのプログラムを記録してあるコ
ンピュータでの読み取り可能な記録媒体において、各エ
ンティティの特定情報に基づいて各エンティティの公開
鍵を生成することを前記コンピュータにさせるプログラ
ムコード手段と、生成した公開鍵と各エンティティ固有
の乱数とを用いたべき積演算により前記各エンティティ
固有の秘密鍵を生成することを前記コンピュータにさせ
るプログラムコード手段とを有する記録媒体。 （12） 暗号通信システムにおける平文から暗号文への
暗号化処理及び暗号文から平文への復号処理を行うため
の共有鍵を生成するためのプログラムを記録してあるコ
ンピュータでの読み取り可能な記録媒体において、通信
対象の一方のエンティティの特定情報に基づいて該一方
のエンティティの公開鍵を生成することを前記コンピュ
ータにさせるプログラムコード手段と、生成した公開鍵
と通信対象の他方のエンティティ固有の秘密鍵とを用い
てべき積演算を行い、エンティティ固有の乱数の影響を
取り除くことにより前記共有鍵を生成することを前記コ
ンピュータにさせるプログラムコード手段とを有する記
録媒体。

【図面の簡単な説明】

【図１】本発明の暗号通信システムの構成を示す模式図
である。

【図２】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図３】記録媒体の実施例の構成を示す図である。

【図４】ＩＤ−ＮＩＫＳのシステムの原理構成図であ
る。

【符号の説明】

１ センタ １ａ，１１，２１ 公開鍵生成器 １ｂ 秘密鍵生成器 １２，２２ 共有鍵生成器 １３ 暗号化器 ２３ 復号器 ３０ 通信路 ４０ コンピュータ ４１，４２，４３ 記録媒体

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA01 AA16 AA41 EA02 EA16 EA26 JA23 NA02 NA04 NA08 NA18 PA09

Claims (3)

【特許請求の範囲】
1. 【請求項１】 センタから各エンティティへ各エンティ
   ティ固有の秘密鍵を送付し、エンティティが前記センタ
   から送付された該エンティティ固有の秘密鍵を利用して
   平文を暗号文に暗号化する暗号化方法において、各エン
   ティティの公開鍵と各エンティティ固有の乱数とを用い
   たべき積演算により各エンティティ固有の秘密鍵を生成
   し、この秘密鍵と暗号文の送信先である相手のエンティ
   ティの公開鍵とを用いてべき積演算を行い、エンティテ
   ィ固有の乱数の影響を取り除いて生成した共有鍵を使用
   して平文を暗号文に暗号化することを特徴とする暗号化
   方法。
2. 【請求項２】 センタから各エンティティへ各エンティ
   ティ固有の秘密鍵を送付し、一方のエンティティが前記
   センタから送付された該エンティティ固有の秘密鍵と公
   開された他方のエンティティの公開鍵とから求めた共有
   鍵を利用して平文を暗号文に暗号化して他方のエンティ
   ティへ伝送し、該他方のエンティティが伝送された暗号
   文を、前記センタから送付された該エンティティ固有の
   秘密鍵と公開された前記一方のエンティティの公開鍵と
   から求めた、前記共有鍵と同一の共有鍵を利用して元の
   平文に復号することにより、エンティティ間で情報の通
   信を行う暗号通信方法において、前記センタは、各エン
   ティティの公開鍵と各エンティティ固有の乱数とを用い
   たべき積演算により各エンティティ固有の秘密鍵を生成
   し、各エンティティは、この秘密鍵と相手のエンティテ
   ィの公開鍵とを用いてべき積演算を行い、エンティティ
   固有の乱数の影響を取り除いて前記共有鍵を生成するよ
   うにしたことを特徴とする暗号通信方法。
3. 【請求項３】 送信すべき情報である平文を暗号文に暗
   号化する暗号化処理、及び、送信された暗号文を元の平
   文に復号する復号処理を、複数のエンティティ間で相互
   に行う暗号通信システムにおいて、各エンティティ固有
   の公開鍵と各エンティティ固有の秘密の乱数とを用いた
   べき積演算により各エンティティ固有の秘密鍵を生成し
   て各エンティティへ送付するセンタと、該センタから送
   付された自身の秘密鍵と通信対象のエンティティ固有の
   公開鍵とを用いてべき積演算を行い、エンティティ固有
   の乱数の影響を取り除くことにより、前記暗号化処理及
   び復号処理を行うための共有鍵を生成する複数のエンテ
   ィティとを有することを特徴とする暗号通信システム。