JP2001036516A

JP2001036516A - 秘密鍵生成方法，暗号化方法及び暗号通信方法

Info

Publication number: JP2001036516A
Application number: JP11203903A
Authority: JP
Inventors: Ryuichi Sakai; 隆一境; Yasumichi Murakami; 恭通村上; Masao Kasahara; 正雄笠原
Original assignee: Murata Machinery Ltd
Current assignee: Murata Machinery Ltd
Priority date: 1999-07-16
Filing date: 1999-07-16
Publication date: 2001-02-09
Anticipated expiration: 2019-07-16
Also published as: JP3953235B2

Abstract

(57)【要約】【課題】ＬＬＬアルゴリズムに基づく攻撃に対して安
全性が高い暗号化方式を提供する。【解決手段】各エンティティのＩＤ情報に基づく各エ
ンティティ固有の公開鍵と各エンティティ固有の乱数と
を用いて、各エンティティ固有の法により、秘密鍵（ベ
クトルｓ）が生成されて各エンティティへ送付される。
各エンティティは、その送付された自身の秘密鍵と公開
された通信対象のエンティティの公開鍵とを用いて、両
エンティティ間に固有の共通の法により、暗号化処理及
び復号処理に使用する両エンティティ間に共有の共有鍵
を生成する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、エンティティ間で
暗号通信を行う暗号通信システムにおける秘密鍵生成方
法，暗号化方法及び暗号通信方法に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化鍵と復号鍵とは、等しくても良い
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザ（エンティティ）が
暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開
鍵リストにて公開し、復号鍵のみを秘密に保持するとい
う暗号系である。公開鍵暗号系では、この一対となる暗
号化鍵と復号鍵とが異なり、一方向性関数を利用するこ
とによって暗号化鍵から復号鍵を割り出せないという特
徴を持たせている。

【０００５】公開鍵暗号系は、暗号化鍵を公開するとい
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さを利用して実現されている。また、離
散対数問題を解くことの困難さ（離散対数問題）を利用
した公開鍵暗号系も種々の手法が提案されてきた。

【０００６】また、各エンティティの住所，氏名等の個
人を特定するＩＤ（Identity）情報を利用する暗号系が
提案された。この暗号系では、ＩＤ情報に基づいて送受
信者間で共通の暗号化鍵を生成する。また、このＩＤ情
報に基づく暗号技法には、（１）暗号文通信に先立って
送受信者間での予備通信を必要とする方式と、（２）暗
号文通信に先立って送受信者間での予備通信を必要とし
ない方式とがある。特に、（２）の手法は予備通信が不
要であるので、エンティティの利便性が高く、将来の暗
号系の中枢をなすものと考えられている。

【０００７】この（２）の手法による暗号系は、ＩＤ−
ＮＩＫＳ（ID-based non-interactive key sharing sch
eme)と呼ばれており、通信相手のＩＤ情報を用いて予備
通信を行うことなく暗号化鍵を共有する方式を採用して
いる。ＩＤ−ＮＩＫＳは、送受信者間で公開鍵，秘密鍵
を交換する必要がなく、また鍵のリスト及び第三者によ
るサービスも必要としない方式であり、任意のエンティ
ティ間で安全に通信を行える。

【０００８】図４は、このＩＤ−ＮＩＫＳのシステムの
原理を示す図である。信頼できるセンタの存在を仮定
し、このセンタを中心にして共有鍵生成システムを構成
している。図４において、エンティティＸの特定情報で
あるエンティティＸの名前，住所，電話番号等のＩＤ情
報は、ハッシュ関数ｈ（・）を用いてｈ（ＩＤ_X）で表
す。センタは任意のエンティティＸに対して、センタ公
開情報｛ＰＣ_i｝，センタ秘密情報｛ＳＣ_i｝及びエン
ティティＸのＩＤ情報ｈ（ＩＤ_X）に基づいて、以下の
ように秘密情報Ｓ_Xiを計算し、秘密裏にエンティティＸ
へ配布する。Ｓ_Xi＝Ｆ_i（｛ＳＣ_i｝，｛ＰＣ_i｝，ｈ（ＩＤ_X））

【０００９】エンティティＸは他の任意のエンティティ
Ｙとの間で、暗号化，復号のための共有鍵Ｋ_XYを、エン
ティティＸ自身の秘密情報｛Ｓ_Xi｝，センタ公開情報
｛ＰＣ _i｝及び相手先のエンティティＹのＩＤ情報ｈ
（ＩＤ_Y）を用いて以下のように生成する。Ｋ_XY＝ｆ（｛Ｓ_Xi｝，｛ＰＣ_i｝，ｈ（ＩＤ_Y））また、エンティティＹも同様にエンティティＸへの鍵を
共有鍵Ｋ_YXを生成する。もし常にＫ_XY＝Ｋ_YXの関係が成
立すれば、この鍵Ｋ_XY，Ｋ_YXをエンティティＸ，Ｙ間で
暗号化鍵，復号鍵として使用できる。

【００１０】上述した公開鍵暗号系では、例えばＲＳＡ
暗号系の場合にその公開鍵の長さは現在の電話番号の十
数倍となり、極めて煩雑である。これに対して、ＩＤ−
ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録して
おけば、この名簿を参照して任意のエンティティとの間
で共有鍵を生成することができる。従って、図４に示す
ようなＩＤ−ＮＩＫＳのシステムが安全に実現されれ
ば、多数のエンティティが加入するコンピュータネット
ワーク上で便利な暗号系を構築できる。このような理由
により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると
期待されている。

【００１１】

【発明が解決しようとする課題】通信相手のＩＤ情報を
用いて予備通信を行うことなく暗号化鍵及び復号鍵とな
る共有鍵を互いに共有するようなＩＤ−ＮＩＫＳにあっ
ては、複数のエンティティの結託等の攻撃に対して十分
に安全であることが望まれる。しかしながら、以上のよ
うなＩＤ−ＮＩＫＳにおいては、攻撃法が検討されて、
適当な人数のエンティティが結託すればセンタの秘密パ
ラメータが露呈するという問題を含んでいる。暗号学的
に安全なＩＤ−ＮＩＫＳを構築できるか否かは、高度情
報化社会に重要な問題であり、より理想的な暗号方式の
探究が進められている。

【００１２】上述したような結託攻撃に対して安全性を
高めるために、センタから各エンティティへ配布される
秘密鍵に予め乱数成分を加えておき、鍵共有の際の非線
形操作によってこの乱数成分を除去して共有鍵を得るよ
うにした方式（以下、先行例１という），２つの有限体
上での演算により各エンティティ毎に乱数成分を含む複
数個１組の秘密鍵を生成し、鍵共有の際に整数環上でこ
れらの秘密鍵を加算することにより乱数成分を除去して
共有鍵を得るようにした方式（特願平10−262035号，特
願平10−338190号等、以下、先行例２という）等が、本
発明者等によって考案されている。

【００１３】このような先行例１，先行例２は何れも、
秘密鍵生成関数及び鍵共有関数が分離不可能であり、鍵
共有が十分に高い確率で成功するという特徴があり、従
来のＩＤ−ＮＩＫＳに比較して結託攻撃に対して強い。
しかしながら、ＩＤベクトルの次元が比較的小さい場合
には、ＬＬＬ（Lenstra-Lenstra-Lovasz）アルゴリズム
の適用によって、第三者の秘密鍵を偽造する攻撃ばかり
でなく、センタの秘密行列を導く攻撃も行える可能性が
あるということが解明された。

【００１４】本発明は斯かる事情に鑑みてなされたもの
であり、ＬＬＬアルゴリズムに基づく攻撃に対して安全
性が高い秘密鍵生成方法，暗号化方法及び暗号通信方法
を提供することを目的とする。

【００１５】

【課題を解決するための手段】請求項１に係る秘密鍵生
成方法は、平文を暗号文に暗号化する際に使用される各
エンティティ固有の秘密鍵を、整数を法とした合同演算
により生成する方法において、各エンティティ毎に固有
の法を設定し、設定した法に従って各エンティティ固有
の秘密鍵を生成することを特徴とする。

【００１６】請求項２に係る暗号化方法は、センタから
一方のエンティティへ送付された該一方のエンティティ
固有の秘密鍵と公開された他方のエンティティの公開鍵
とから求めた共有鍵を利用して平文を暗号文に暗号化す
る暗号化方法において、前記一方及び他方のエンティテ
ィ夫々で固有の法を設定し、設定した両エンティティの
固有の法に基づいて共通の法を求め、求めた共通の法に
より前記共有鍵を生成することを特徴とする。

【００１７】請求項３に係る暗号通信方法は、センタか
ら各エンティティへ各エンティティ固有の秘密鍵を送付
し、一方のエンティティが前記センタから送付された該
エンティティ固有の秘密鍵と公開された他方のエンティ
ティの公開鍵とから求めた共有鍵を利用して平文を暗号
文に暗号化して他方のエンティティへ伝送し、該他方の
エンティティが伝送された暗号文を、前記センタから送
付された該エンティティ固有の秘密鍵と公開された前記
一方のエンティティの公開鍵とから求めた、前記共有鍵
と同一の共有鍵を利用して元の平文に復号することによ
り、エンティティ間で情報の通信を行う暗号通信方法に
おいて、前記各エンティティ毎に固有の法を設定し、設
定した前記各エンティティ固有の法により前記各エンテ
ィティ固有の秘密鍵を生成し、通信対象の両エンティテ
ィ固有の法に基づいて共通の法を求め、求めた共通の法
により前記共有鍵を生成することを特徴とする。

【００１８】本発明では、、各エンティティ毎に各エン
ティティ固有の法を設定し、設定した法により各エンテ
ィティ固有の秘密鍵を生成する。よって、先行例１，２
も含めた従来のＩＤ−ＮＩＫＳのように、秘密鍵を生成
する際に全エンティティで共通の法を用いることがない
ので、ＬＬＬアルゴリズムを用いた攻撃に対して強力と
なる。

【００１９】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、本発明の暗号通信システ
ムの構成を示す模式図である。情報の隠匿を信頼できる
１個の統括センタ１とｄ_g個の分割センタ10とが設定さ
れている。これらの統括センタ１及び分割センタ10とし
ては、例えば社会の公的機関を該当できる。この統括セ
ンタ１と、この暗号系システムを利用するユーザとして
の複数の各エンティティａ，ｂ，…，ｚとは秘密通信路
２ａ，２ｂ，…，２ｚにより接続されており、この秘密
通信路２ａ，２ｂ，…，２ｚを介してセンタ１から秘密
の鍵情報が各エンティティａ，ｂ，…，ｚへ伝送される
ようになっている。また、２人のエンティティの間には
通信路３ab，３az，３bz，…が設けられており、この通
信路３ab，３az，３bz，…を介して通信情報を暗号化し
た暗号文が互いのエンティティ間で伝送されるようにな
っている。

【００２０】本発明は、先行例１の手法を基本とした方
式及び先行例２の手法を基本とした方式の何れにも適用
可能であるが、以下の例では先行例１の手法を基本とし
た方式に本発明を適用した場合について説明する。

【００２１】（統括センタ１での準備処理）第１ＩＤベクトル（ｄ_f次元，各成分はＬ_fビッ
ト）を生成するための一方向性関数ｆ（・）を公開す
る。第２ＩＤベクトル（ｄ_g次元，各成分はＧＦ（２）
の元）を生成するための一方向性関数ｇ（・）を公開す
る。エンティティｉの固有の乱数ベクトルｒ_i（ｄ_r次
元，各成分はＬ_rビット）を生成する。

【００２２】但し、エンティティｉの第１ＩＤベクト
ル，第２ＩＤベクトルは夫々、下記（１），（２）で表
すものとし、第２ＩＤベクトルｗ_iに対して成分が１と
なるインデックスの集合をＷ_i＝｛ｊ｜ｗ_ij＝１｝とす
る。

【００２３】

【数１】

【００２４】（ｊ番目（ｊ＝１，２，・・・，ｄ_g）の
分割センタ10での準備処理）素数Ｐ^(j)を生成して、これを公開する。秘密対称行列Ｔ^(j)を生成する。

【００２５】（エンティティの登録処理）エンティティ
ｉに登録を依頼された統括センタ１及び各分割センタ10
は、以下のような処理を行う。統括センタ１は、ｊ∈Ｗ_iなるｊ番目の分割センタ
10に対して、エンティティｉ用の秘密ベクトルｘ_iの計
算を依頼する。ｊ番目の分割センタ10は、ベクトルｖ_iを用いて、
エンティティｉ用の秘密ベクトルｘ_i ^(j)を下記（３）
に従って計算し、これを統括センタ１へ送付する。ベクトルｘ_i ^(j)≡Ｔ^(j)ベクトルｖ_i（mod Ｐ^(j)） …（３）統括センタ１は、エンティティｉに固有の法Ｐ_iを
下記（４）に従って求めた後、中国人の剰余定理を用い
て秘密ベクトルｘ_iを下記（５）に従って計算する。こ
こで、秘密ベクトルｘ_iはＰ_iを法として一意に定ま
る。

【００２６】

【数２】

【００２７】統括センタ１は、更に、個人秘密乱数
ベクトルｒ_iを用いてエンティティｉの秘密鍵ｓ_iを下
記（６）に従って計算し、これをエンティティｉへ秘密
裏に送る。

【００２８】

【数３】

【００２９】（エンティティ間の共有鍵の生成処理）エ
ンティティｉは、以下のような計算手順によって、通信
対象のエンティティｍとの共有鍵Ｋ_imを求める。エンティティｉとエンティティｍとの間での共通の
法Ｐ_imを下記（７）に従って求める。

【００３０】

【数４】

【００３１】下記（８）に従ってＫ_im′を計算す
る。

【００３２】

【数５】

【００３３】下記（９）に従って共有鍵Ｋ_imを計算
する。但し、Ｄは統括センタ１が予め公開している自然
数であり、下記（10）の条件を満たす。

【００３４】

【数６】

【００３５】次に、上述した暗号システムにおけるエン
ティティ間の情報の通信について説明する。図２は、２
人のエンティティｉ，ｍ間における情報の通信状態を示
す模式図である。図２の例は、エンティティｉが平文
（メッセージ）Ｍを暗号文Ｃに暗号化してそれをエンテ
ィティｍへ伝送し、エンティティｍがその暗号文Ｃを元
の平文（メッセージ）Ｍに復号する場合を示している。

【００３６】エンティティｉ側には、エンティティｍの
個人識別情報ＩＤ_mを入力し、関数ｈ（・）を利用して
ベクトルｖ_m（公開鍵）を得る公開鍵生成器11と、統括
センタ１から送られる秘密鍵ベクトルｓ_iと公開鍵生成
器11からの公開鍵であるベクトルｖ_mと公開された自然
数Ｄとに基づいてエンティティｉが求めるエンティティ
ｍとの共有鍵Ｋ_imを生成する共有鍵生成器12と、共有鍵
Ｋ_imを用いて平文（メッセージ）Ｍを暗号文Ｃに暗号化
して通信路30へ出力する暗号化器13とが備えられてい
る。

【００３７】また、エンティティｍ側には、エンティテ
ィｉの個人識別情報ＩＤ_iを入力し、関数ｈ（・）を利
用してベクトルｖ_i（公開鍵）を得る公開鍵生成器21
と、統括センタ１から送られる秘密のベクトルｓ_mと公
開鍵生成器21からの公開鍵であるベクトルｖ_iと公開さ
れた自然数Ｄとに基づいてエンティティｍが求めるエン
ティティｉとの共有鍵Ｋ_miを生成する共有鍵生成器22
と、共有鍵Ｋ_miを用いて通信路30から入力した暗号文Ｃ
を平文（メッセージ）Ｍに復号して出力する復号器23と
が備えられている。

【００３８】次に、動作について説明する。エンティテ
ィｉからエンティティｍへ情報を伝送しようとする場
合、まず、エンティティｍの個人識別情報ＩＤ_mが公開
鍵生成器11に入力されてベクトルｖ_m（公開鍵）が得ら
れ、得られたベクトルｖ_mが共有鍵生成器12へ送られ
る。また、統括センタ１及び分割センタ10にて上記
（３）〜（６）に従って求められたベクトルｓ_iが共有
鍵生成器12へ入力される。そして、上記式（７）〜
（９）に従って共有鍵Ｋ_imが求められ、暗号化器13へ送
られる。暗号化器13において、この共有鍵Ｋ_imを用いて
平文（メッセージ）Ｍが暗号文Ｃに暗号化され、暗号文
Ｃが通信路30を介して伝送される。

【００３９】通信路30を伝送された暗号文Ｃはエンティ
ティｍの復号器23へ入力される。エンティティｉの個人
識別情報ＩＤ_iが公開鍵生成器21に入力されてベクトル
ｖ_i（公開鍵）が得られ、得られたベクトルｖ_iが共有
鍵生成器22へ送られる。また、統括センタ１及び分割セ
ンタ10にて上記（３）〜（６）に従って求められたベク
トルｓ_mが共有鍵生成器22へ入力される。そして、上記
式（７）〜（９）に従って共有鍵Ｋ_miが求められ、復号
器23へ送られる。復号器23において、この共有鍵Ｋ_miを
用いて暗号文Ｃが平文（メッセージ）Ｍに復号される。

【００４０】なお、先行例１の手法を基本とした方式に
本発明を適用した場合について説明したが、本発明は先
行例２の手法を基本とした方式にも適用できる。この場
合には、例えば、上記（６）に加えて下記（11）のよう
な秘密鍵ベクトルｓ_i′を用いて、鍵共有を行うように
すれば良い。但し、Ｑ_iはエンティティｉ固有の法であ
る。この場合には、鍵共有の段階で個人秘密乱数ベクト
ルｒ_iが消去されるので、そのベクトルｒ_iの成分を大
きく設定することが可能である。

【００４１】

【数７】

【００４２】以下、本発明の方式におけるエンティティ
間での鍵共有に必要な諸条件について説明する。

【００４３】（各要素のビット数）十分に高い確率で鍵
共有を成功させるためには、エンティティｉに固有の秘
密乱数ベクトルｒ_iの各成分の大きさＬ_rを log₂（Ｐ
_im），Ｄよりも十分小さく設定する必要がある。即ち、
下記（12）とし、更に下記（13）となるようにすれば良
い。また、ＬＬＬ法による結託攻撃に対してより安全に
するためには、下記（14）を満たすようにＬ_rを設定す
る。なお、ｅは桁上がりのための余裕、ｋは設計値であ
る。

【００４４】

【数８】

【００４５】（関数ｇ）関数ｇにより、第２ＩＤベクト
ルｗ_iが定まるが、ベクトルｗ_iは、秘密鍵ベクトルｘ
_iの法Ｐ_i及び鍵共有の際に用いる法Ｐ_imの設定に用い
られる。従って、法Ｐ_i及び法Ｐ_imがある程度以上の大
きさになるように、ベクトルｗ_iの成分が１となる個数
（ベクトルｗ_iの重み＝＃Ｗ_i）及び＃｛Ｗ_i∩Ｗ_m｝
の大きさを適切に与える必要がある。

【００４６】＃Ｗ_i及び＃｛Ｗ_i∩Ｗ_m｝がある一定の
大きさよりも必ず大きくなるようなベクトルｗ_i，ベク
トルｗ_mを生成するためには、例えばＩＤ情報をある一
方向性関数ｈ（・）に通したデータをＭ系列符号のよう
な定重み符号で符号化すれば良い。符号長ｎビット，重
み２ｄの定重み符号語を第２ＩＤベクトルとした場合、
異なる２つの符号語の１の位置はｄ箇所で必ず一致す
る。従って、この定重み２ｄの符号語を用いることによ
り、法Ｐ_imの大きさをある大きさ以上にすることが可能
である。

【００４７】例えば、３ビットの情報記号に対して、符
号長ｎ＝２³−１＝７，重み２ｄ＝２^k-1＝４となる定
重み符号を考える。この場合、情報記号は（０，０，
０）を除いて３ビットで表せるので、７種類存在する。
エンティティｉの第２ＩＤベクトルが符号語（１，１，
１，０，０，１，０）、エンティティｍの第２ＩＤベク
トルが符号語（１，０，０，１，０，１，１）で与えら
れた場合、Ｐ_im＝Ｐ⁽¹⁾Ｐ⁽⁶⁾となる。

【００４８】（定重み符号による第２ＩＤベクトルの生
成）後述するように、第２ＩＤベクトルの０の成分の割
合が高ければ高い程、ＬＬＬ法を用いた結託攻撃に対す
る安全性は高くなるが、０の成分の割合を高くすれば、
＃｛Ｗ_i∩Ｗ_m｝をある値以上に保つことは容易でな
い。これを実現するために、以下のような定重み符号を
階層的に適用する。

【００４９】ｈ（・）を一方向性関数として、エン
ティティのＩＤ情報から生成した値をｂ＝２^k−１進数
で表記する。即ち、下記（15）のように定義する。

【００５０】

【数９】

【００５１】ｗ_ij′を符号化し、この符号語をｃ_ij
とする。但し、符号化は、Ｍ系列（例：ｋ＝３の場合に
(1001011))をｗ_ij′ビットだけ左巡回シフトすることに
よって行う。ｃ_i0の０の位置をｂビットの０に置き換え、１の位
置を左から順に下記（16）に示すｂビットの符号語で置
き換える。これにより、符号長ｂ²，重み（２ ^k-1）²
の符号語に拡大することができる。

【００５２】

【数１０】

【００５３】以上の処理をｔ回階層的に繰り返すこ
とにより、符号長ｂ^t，重み（２^k- ¹）^tの符号語に拡
大することができる。なお、異なる第２ＩＤベクトルの
ビットＡＮＤをとった場合の１の個数、即ち＃Ｗ_imは必
ず（２^k-2）^t以上となる。

【００５４】上記〜を簡単な例で説明する。ｋ＝
３，ｂ＝２^k−１＝７，ｔ＝２とした場合、以下のよう
になる。ｈ（ＩＤ_A）＝14761 ＝６＋３・７＋０・７²＋１・７
³＋２・７⁴ ベクトルｗ_A′＝（６，３，０，１，２）ベクトルｗ_A′の符号化：（６，３，０，１，２）→(1100101, 1011100, 100101
1, 0010111, 0101110) この場合、ｇ（ＩＤ_A）の計算結果は、下記（17）で与
えられる。

【００５５】

【数１１】

【００５６】次に、本発明のＩＤ−ＮＩＫＳに対するＬ
ＬＬアルゴリズムを用いた攻撃手法について考察する。

【００５７】（第三者の秘密ベクトルの偽造攻撃）ＬＬ
Ｌアルゴリズムを用いて犠牲エンティティｖの秘密鍵ベ
クトルｓ_vの近似値を求める手法について検討する。犠
牲エンティティｖの秘密鍵ベクトルｓ_vの近似値を求め
るためには、犠牲エンティティｖと同じ法Ｐ_vまたはそ
れを因数に含む法で生成された結託エンティティの秘密
鍵ベクトルが必要である。即ち、第２ＩＤベクトルが犠
牲エンティティｖのそれと同じか、それを含むような第
２ＩＤベクトルを有する結託エンティティが必要であ
り、第２ＩＤベクトルの構成を工夫することにより、こ
の攻撃法を不可能とすることができる。

【００５８】また、犠牲エンティティｖの法Ｐ_vの因数
を部分的に含む法を有する結託エンティティによる攻撃
法も考えられるが、もし各Ｐ^(j)における法で攻撃を行
おうとしても、ベクトルｒ_iの成分がＰ^(j)よりも大き
くなり、攻撃は不可能である。また、先行例２の手法に
基づく方式では、ベクトルｒ_iの成分がより大きく設定
可能であり、この攻撃法はより困難となる。更に、攻撃
の最終段階で中国人の剰余定理を適用する必要があり、
そのときに各結託エンティティ固有の小さな乱数項に大
きな値が乗じられるので、このような攻撃手法も成功す
る確率は十分低い。

【００５９】（センタ秘密行列を求める結託攻撃法）Ｌ
ＬＬアルゴリズムを適用して、直接センタの秘密対称行
列Ｔを導く攻撃に関して検討する。ここで、ｔ_p,jは対
称行列Ｔの第ｐ行第ｊ列の成分であり、対称行列Ｔは、
Ｔ≡Ｔ^(j)（mod Ｐ^(j)）（ｊ＝１，２，・・・，
ｄ_g）を満たす。

【００６０】結託エンティティｉの秘密鍵ベクトルｓ_i
の第１成分は、下記（18）で表せる。これをｒ_i1につい
て解くと、下記（19）となる。式（19）における既知項
は下記（20）であり、未知項は下記（21）である。

【００６１】

【数１２】

【００６２】ここで、ｎ人の結託エンティティ（ｉ＝
１，２，・・・，ｎ）の上記式（19）における既知項と
未知項とから、下記（22）の行列方程式を構成する。

【００６３】

【数１３】

【００６４】上記（22）の右辺の［−ｒ₁₁，−ｒ₁₂，・
・・，−ｒ_1n］は小さなベクトルであるため、これを格
子の最小基底ベクトルと見なしてＬＬＬアルゴリズムを
適用した場合には、下記（23）に示す未知項が求まる可
能性がある。

【００６５】

【数１４】

【００６６】下記（24）に示す未知項は、下記（25）に
示す法のもとに一意に定まり、それらの桁数は下記（2
6）に示すものの桁数にほぼ等しくなる。

【００６７】

【数１５】

【００６８】一方、エンティティｉが保有する秘密成分
は、法Ｐ_iを用いて導出されており、未知項ｔ_p,jと結
託エンティティｉが保有する秘密成分との桁数の大きさ
の比は、関数ｇ（・）の次元数ｄ_gとその成分が１であ
る個数との比にほぼ等しくなる。この比をＲとした場
合、このような結託攻撃が成功するためには、少なくと
もｄ_fＲの結託エンティティが必要となる。

【００６９】従って、結託攻撃に対してより安全な方式
にするためには、この比Ｒを大きくすれば良い。例え
ば、前述したようなＭ系列定重み符号を階層的に用いて
ｇ（・）を構成する場合、各パラメータをｋ＝３，ｔ＝
４としたとき、その次元ｄ_gは７⁴＝2401となるのに対
して、その重みは４⁴＝256 であり、比Ｒは約9.38とな
る。この場合、鍵共有の際に用いる法Ｐ_iwの大きさを規
定するパラメータ＃Ｗ_imは２⁴＝16となる。更に、Ｐ
^(j)を20ビット程度の素数とした場合、 log₂（Ｐ _im）
は約320 であり、結託攻撃に用いる共通の法の大きさ
は、下記（27）となる。

【００７０】

【数１６】

【００７１】この場合の本発明の方式に対する結託攻撃
では、結託エンティティ数を９ｄ_f以上必要とし、ＬＬ
Ｌアルゴリズムを用いた攻撃の際の計算は48020 ビット
程度の演算になって、膨大な計算量を必要とする。

【００７２】このように本発明の方式は、結託閾値と個
々の乗除算の計算量との二点に関して、先行例１，２に
比べて、ＬＬＬアルゴリズムを用いた結託攻撃に対して
より安全な方式となっている。

【００７３】図３は、本発明の記録媒体の実施の形態の
構成を示す図である。以下に説明する記録媒体に記録さ
れており、上記（４）に示す各エンティティ固有の法を
求める処理と、上記（５），（６）に示す各エンティテ
ィ固有の秘密鍵を計算する処理とを含むプログラムがロ
ードされるコンピュータ40は、統括センタ１側に設けら
れている。また、以下に説明する記録媒体に記録されて
おり、上記（７）に示すエンティティ間での共通の法を
求める処理と、上記（８），（９）に示すエンティティ
間の共有鍵を計算する処理とを含むプログラムがロード
されるコンピュータ40は、各エンティティ側に設けられ
ている。

【００７４】図３において、コンピュータ40とオンライ
ン接続する記録媒体41は、コンピュータ40の設置場所か
ら隔たって設置される例えばＷＷＷ(World Wide Web)の
サーバコンピュータを用いてなり、記録媒体41には前述
の如きプログラム41a が記録されている。記録媒体41か
ら読み出されたプログラム41a がコンピュータ40を制御
することにより、統括センタ１において各エンティティ
固有の秘密鍵を生成し、各エンティティにおいて通信対
象のエンティティに対する共有鍵を生成する。

【００７５】コンピュータ40の内部に設けられた記録媒
体42は、内蔵設置される例えばハードディスクドライブ
またはＲＯＭなどを用いてなり、記録媒体42には前述の
如きプログラム42a が記録されている。記録媒体42から
読み出されたプログラム42aがコンピュータ40を制御す
ることにより、統括センタ１において各エンティティ固
有の秘密鍵を生成し、各エンティティにおいて通信対象
のエンティティに対する共有鍵を生成する。

【００７６】コンピュータ40に設けられたディスクドラ
イブ40ａに装填して使用される記録媒体43は、運搬可能
な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフレキシ
ブルディスクなどを用いてなり、記録媒体43には前述の
如きプログラム43a が記録されている。記録媒体43から
読み出されたプログラム43a がコンピュータ40を制御す
ることにより、統括センタ１において各エンティティ固
有の秘密鍵を生成し、各エンティティにおいて通信対象
のエンティティに対する共有鍵を生成する。

【００７７】

【発明の効果】以上詳述したように、本発明では、各エ
ンティティ毎に各エンティティ固有の法を設定し、設定
した法により各エンティティ固有の秘密鍵を生成するよ
うにしたので、ＬＬＬアルゴリズムに基づく攻撃に対し
て安全性を高くすることが可能となる。

【００７８】また、本発明の暗号通信システムでは、１
つの統括センタと複数の分割センタとが設けられ、各分
割センタがエンティティの秘密ベクトルを求めるように
したので、全てのエンティティの秘密を１つのセンタが
握るようなことはなく、BigBrother 問題を解決できて
いる。

【００７９】（付記）なお、以上の説明に対して更に以
下の項を開示する。（１）請求項１に記載の秘密鍵生成方法であって、前
記各エンティティ固有の秘密鍵を、各エンティティの公
開鍵と各エンティティ固有の乱数とを用いて、前記設定
した法による合同演算によって生成する秘密鍵生成方
法。（２）第（１）項に記載の秘密鍵生成方法であって、
前記各エンティティの公開鍵は、各エンティティの特定
情報に基づいて求める秘密鍵生成方法。（３）請求項１，第（１），（２）項の何れかに記載
の秘密鍵生成方法であって、各エンティティ毎に固有の
法を、階層的符号化手法を用いて設定する秘密鍵生成方
法。（４）請求項２に記載の暗号化方法であって、前記各
エンティティ固有の秘密鍵を、各エンティティの公開鍵
と各エンティティ固有の乱数とを用いて、前記各エンテ
ィティ固有の法により生成する暗号化方法。（５）請求項２，第（４）項の何れかに記載の暗号化
方法であって、前記各エンティティの公開鍵は、各エン
ティティの特定情報に基づいて求める暗号化方法。（６）請求項２，第（４），（５）項の何れかに記載
の暗号化方法であって、各エンティティ固有の法、及び
／または、両エンティティ共通の法を、階層的符号化手
法を用いて設定する暗号化方法。（７）請求項３に記載の暗号通信方法であって、前記
各エンティティ固有の秘密鍵を、各エンティティの公開
鍵と各エンティティ固有の乱数とを用いて、前記各エン
ティティ固有の法により生成する暗号通信方法。（８）請求項３，第（７）項の何れかに記載の暗号通
信方法であって、前記各エンティティの公開鍵は、各エ
ンティティの特定情報に基づいて求める暗号通信方法。（９）請求項３，第（７），（８）項の何れかに記載
の暗号通信方法であって、各エンティティ固有の法、及
び／または、両エンティティ共通の法を、階層的符号化
手法を用いて設定する暗号通信方法。（１０）送信すべき情報である平文を暗号文に暗号化
する処理、及び、送信された暗号文を元の平文に復号す
る処理を、複数のエンティティ間で相互に行う暗号通信
システムにおいて、前記各エンティティ毎に固有の法を
設定し、設定した法により各エンティティ固有の秘密鍵
を生成して各エンティティへ送付するセンタと、該セン
タから送付された自身固有の秘密鍵と通信対象のエンテ
ィティ固有の公開鍵とを用いて、前記暗号化処理及び復
号処理を行うための共有鍵を生成する複数のエンティテ
ィとを有する暗号通信システム。（１１）第（１０）項に記載の暗号通信システムであ
って、両エンティティの設定した固有の法に基づいて共
通の法を求め、求めた共通の法により前記共有鍵を生成
するようにした暗号通信システム。（１２）コンピュータに、平文を暗号文に暗号化する
際に使用されるエンティティに固有の秘密鍵を、整数を
法とした合同演算により生成させるためのプログラムが
記録されているコンピュータでの読み取りが可能な記録
媒体において、前記エンティティに固有の法を設定する
ことをコンピュータに実行させるプログラムコード手段
と、設定した法に従って前記エンティティに固有の秘密
鍵を生成することをコンピュータに実行させるプログラ
ムコード手段とを含むプログラムが記録されている記録
媒体。（１３）コンピュータに、平文を暗号文に暗号化する
処理、及び、暗号文を元の平文に復号する処理を行う際
に用いられる通信対象の両エンティティ間の共有鍵を生
成させるためのプログラムが記録されているコンピュー
タでの読み取りが可能な記録媒体において、設定された
前記両エンティティ夫々の固有の法に基づいて共通の法
を求めることをコンピュータに実行させるプログラムコ
ード手段と、求めた共通の法により前記共有鍵を生成す
ることをコンピュータに実行させるプログラムコード手
段とを含むプログラムが記録されている記録媒体。

【図面の簡単な説明】

【図１】本発明の暗号通信システムの構成を示す模式図
である。

【図２】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図３】記録媒体の実施の形態の構成を示す図である。

【図４】ＩＤ−ＮＩＫＳのシステムの原理構成図であ
る。

【符号の説明】

１統括センタ 10 分割センタ 11，21 公開鍵生成器 12，22 共有鍵生成器 13 暗号化器 23 復号器 30 通信路 40 コンピュータ 41，42，43 記録媒体

───────────────────────────────────────────────────── フロントページの続き (72)発明者村上恭通京都府京都市伏見区竹田向代町136番地村田機械株式会社本社工場内 (72)発明者笠原正雄大阪府箕面市粟生外院４丁目15番３号Ｆターム(参考） 5J104 AA16 AA41 EA04 EA24 EA26 JA03 JA21 NA02

Claims

【特許請求の範囲】

【請求項１】平文を暗号文に暗号化する際に使用され
る各エンティティ固有の秘密鍵を、整数を法とした合同
演算により生成する方法において、各エンティティ毎に
固有の法を設定し、設定した法に従って各エンティティ
固有の秘密鍵を生成することを特徴とする秘密鍵生成方
法。
【請求項２】センタから一方のエンティティへ送付さ
れた該一方のエンティティ固有の秘密鍵と公開された他
方のエンティティの公開鍵とから求めた共有鍵を利用し
て平文を暗号文に暗号化する暗号化方法において、前記
一方及び他方のエンティティ夫々で固有の法を設定し、
設定した両エンティティの固有の法に基づいて共通の法
を求め、求めた共通の法により前記共有鍵を生成するこ
とを特徴とする暗号化方法。
【請求項３】センタから各エンティティへ各エンティ
ティ固有の秘密鍵を送付し、一方のエンティティが前記
センタから送付された該エンティティ固有の秘密鍵と公
開された他方のエンティティの公開鍵とから求めた共有
鍵を利用して平文を暗号文に暗号化して他方のエンティ
ティへ伝送し、該他方のエンティティが伝送された暗号
文を、前記センタから送付された該エンティティ固有の
秘密鍵と公開された前記一方のエンティティの公開鍵と
から求めた、前記共有鍵と同一の共有鍵を利用して元の
平文に復号することにより、エンティティ間で情報の通
信を行う暗号通信方法において、前記各エンティティ毎
に固有の法を設定し、設定した前記各エンティティ固有
の法により前記各エンティティ固有の秘密鍵を生成し、
通信対象の両エンティティ固有の法に基づいて共通の法
を求め、求めた共通の法により前記共有鍵を生成するこ
とを特徴とする暗号通信方法。