JP2001237822A - 鍵供託装置 - Google Patents

Abstract

(57)【要約】 【課題】 暗号鍵の供託漏れを防止するとともに、オン
ラインで自由にダイナミックに暗号鍵を変更できるよう
にする。 【解決手段】 供託センター１は暗号鍵ｅ,ｄ,ｐを親端
末機３へ与える。親端末機３は、暗号鍵を子端末機４に
配信する。供託センター１は、管理情報ｘ,ｂ,ｐ(ｅ×
(ｄ×ｘ＋ｂ)≡１(mod(ｐ−１)))を基地局２に与える。
基地局２は、送信端末機３，４からの通信情報Ｃ(＝Ｍ^e
modｐ)を、管理情報で、Ｃ₁(＝Ｃ^x modｐ),Ｃ₂(＝Ｃ^b
modｐ)に変換して中継する。受信端末機３，４は、Ｃ₁ ^d
×Ｃ₂で、Ｍに復号する。端末機は、与えられた暗号鍵
を使用しないと復号できない。暗号鍵ｅ,ｄを交換する
誤魔化しはできない。オンラインでの暗号鍵変更は容易
にできる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、鍵供託装置に関
し、特に、供託センターに供託した暗号鍵を使用しなか
ったときに通信を物理的に困難にする鍵供託装置に関す
る。

【０００２】

【従来の技術】暗号通信技術が、テロや麻薬取引などの
重大犯罪に用いられないように、暗号鍵を強制的に供託
することを法律で規制することが、多くの国で検討され
てきた。すなわち、重大犯罪に使用されていることが判
明したとき、裁判所の令状により暗号鍵供託機関（以下
「供託センター」という）から暗号鍵を取り寄せ、捜査
機関が通信を傍受しようというのである。

【０００３】よく知られた鍵供託機器に、アメリカのク
リッパーチップがある。クリッパーチップでは、特殊な
暗号用ＬＳＩを総ての通信機器に取り付けさせること
で、暗号鍵を供託させようとするものである。クリッパ
ーチップは、法律で定めて取付けを強制するものであっ
ても、指定のクリッパーチップを取り付けないで、別の
暗号によって暗号通信が可能になるという問題がある。
また、暗号鍵を変更する場合は、クリッパーチップを取
り寄せて、各端末機の暗号鍵を変更するので、グループ
通信システムにとって、時間と手間が掛かりすぎるとい
う問題がある。

【０００４】一方、無線通信の一斉指令などで多数の端
末機に対するグループ通信を行うときにおいて、端末機
を紛失したときには、紛失した端末機では受信できない
ように暗号鍵を速やかに変更する必要がある。

【０００５】このような問題を解決するために、本発明
者が特願平11-300530号と特願平11-380383号で提案した
一方向関数を利用する暗号鍵供託装置がある。これらの
暗号鍵供託装置では、素数ｐを法として、送信端末でメ
ッセージＭを暗号鍵ｅで暗号化し、 Ｃ＝Ｍ^e modｐ として基地局に送り、基地局で Ｃ₁＝Ｃ^F modｐ として受信端末に送り、受信端末で、 Ｍ＝Ｃ₁ ^d modｐ として復号する。このように、 ｅ×Ｆ×ｄ≡１（mod(p-1)） が成立するようにして、供託した暗号鍵を使わないと復
号できないようにする。

【０００６】または、素数の積ｎ（＝ｐ×ｑ）を法と
し、Ｌ（＝ＬＣＭ（ｐ−１,ｑ−１））とし、送信端末
でメッセージＭを暗号鍵ｅで暗号化し、 Ｃ＝Ｍ^e modｎ として基地局に送り、基地局で Ｃ₁＝Ｃ^F modｎ として受信端末に送り、受信端末で、 Ｍ＝Ｃ₁ ^d modｎ として復号する。このように、 ｅ×Ｆ×ｄ≡１（modＬ） が成立するようにして、供託した暗号鍵を使わないと復
号できないようにする。

【０００７】

【発明が解決しようとする課題】しかし、上記従来の暗
号鍵供託装置では、合成数ｎを法とする場合には、Ｌを
端末に秘密にする必要があるので、端末側で暗号鍵の一
部を生成することができないという問題があった。原理
的に因数分解の困難性に依存するので、暗号化する平文
のブロックサイズを大きくしなければならないという問
題もあった。また、暗号鍵と復号鍵が対称であるので、
暗号鍵と復号鍵を入れ替えることにより、簡単に誤魔化
すことができるという問題があった。

【０００８】本発明は、上記従来の問題を解決して、所
定の暗号鍵を使用しないと通信できないようにして暗号
鍵の供託漏れを防止するとともに、端末側で暗号鍵の一
部を生成して供託できるようにし、なおかつ、オンライ
ンで自由にダイナミックに暗号鍵を変更できるようにす
ることを目的とする。なお、本発明は、２重に暗号化す
ることで供託を誤魔化す不正や、２重暗号化と同等以上
に複雑な手順を要する誤魔化しについてまで防止するも
のではない。

【０００９】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、暗号鍵の供託先である供託センター
と、通信を中継する基地局と、暗号鍵管理を行なうとと
もに基地局を介して通信を行なう複数の親端末機と、基
地局を介して通信を行なう複数の子端末機とからなる鍵
供託装置を、供託センターに、素数ｐと整数ｄを生成す
る手段と、(ｐ−１)とは互いに素なる整数ｅを生成する
手段と、ｐ,ｅ,ｄを暗号鍵として親端末機へ秘密裏に配
信する手段と、 ｅ×(ｄ×ｘ＋ｂ)≡１（mod(ｐ−１)） を満たす整数ｘ,ｂを求める手段と、管理情報として整
数ｘ,ｂ,ｐを基地局へ秘密裏に与える手段と、ｐ,ｅ,
ｄ,ｘ,ｂを記憶する手段とを備え、親端末機に、供託セ
ンターから与えられた暗号鍵ｐ,ｅ,ｄを子端末機へ秘密
裏に配信する手段と、アプリケーション情報Ｍを暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
ション情報Ｃ₁,Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
手段とを備え、子端末機に、アプリケーション情報Ｍを
暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
ション情報Ｃ₁、Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
手段とを備え、基地局に、受信した暗号文Ｃを、変換ア
プリケーション情報 Ｃ₁＝Ｃ^x modｐ Ｃ₂＝Ｃ^b modｐ に変換する手段と、変換アプリケーション情報Ｃ₁,Ｃ₂
を送信する手段とを備えた構成とした。

【００１０】このように構成したことにより、所定の暗
号鍵を使用しないと通信できないようにしながら、オン
ラインで自由にダイナミックに暗号鍵を変更できるよう
にするとともに、暗号鍵の供託漏れを防止することがで
きる。また、暗号化する平文のブロックサイズを小さく
できる。

【００１１】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１〜図５を参照しながら詳細に説明する。

【００１２】（第１の実施の形態）本発明の第１の実施
の形態は、供託センターで暗号鍵ｅ,ｄ,ｐを生成して端
末に配信し、管理情報ｘ,ｂ（ｅ×（ｄ×ｘ＋ｂ）≡１
（mod(ｐ−１)））を生成して基地局に配信し、送信端
末でＣ(＝Ｍ^e)を送信し、基地局でＣ₁(＝Ｃ^x)とＣ₂(＝
Ｃ^b)に変換し、受信端末で、Ｃ₁ ^d×Ｃ₂からＭを求める
鍵供託装置である。

【００１３】図１は、本発明の第１の実施の形態におけ
る鍵供託装置の概念図である。図１において、供託セン
ター１は、暗号鍵の供託先であり、暗号鍵を秘密に保管
できる政府機関や第三者機関である。

【００１４】基地局２は、無線通信の基地局であり、高
いアンテナや高出力の送信回路を備え、端末機間の通信
を中継し、円滑に端末機間の通信ができるようにするも
のである。基地局２は、民間業者によって自由に設置さ
れるものである。基地局２の情報は、善意に管理される
ものの、基地局２の従業員であれば、不正にアクセスで
きる。それを防ぐために、必要な部分を耐タンパー性に
する。無線通信の基地局として説明するが、電話の市内
交換機や、携帯電話の基地局や、インターネットプロバ
イダーのアクセスポイント装置など、通信が必ず経由す
る装置であればよい。

【００１５】子端末機４は、通常の端末機である。ここ
では、無線機の端末機として説明している。多数の端末
機が存在すると想定している。親端末機３は、子端末機
４の機能に加えて、その傘下の子端末機４へ暗号鍵を配
信する機能を有する。また、端末側で暗号鍵の一部を生
成するときは、配信機能に併せて、暗号鍵の生成／供託
依頼機能も有する。通信システム全体では、複数の親端
末機が存在すると想定している。

【００１６】基地局２と親端末機３間、および基地局２
と子端末機４間は、無線による伝送路がある。この伝送
路では、盗聴される恐れがあり、秘密保持が必要なとき
は、暗号に依存して秘密を守る。また、供託センター１
と基地局２間にも伝送路がある。この伝送路は、有線伝
送路を想定している。やはり盗聴される恐れがある。

【００１７】図２は、本発明の第１の実施の形態におけ
る鍵供託装置の機能ブロック図である。実際には、各装
置に、有線や無線の送受信回路が必要であるが、説明を
省略している。図２において、供託センター１は、計算
部11、メモリ12、乱数発生器13、鍵出力19等で構成され
ている。計算部11は、暗号鍵と管理情報を生成し、その
メモリ12へ記憶させたり、生成した暗号鍵を親端末機３
へ送ったり、生成した管理情報を基地局２へ与えるもの
であり、通常は、マイクロコンピュータで構成する。メ
モリ12は、生成した暗号鍵および管理情報を供託のため
に記憶するものであって、通信システム全体の中で使用
される多数の暗号鍵を記憶する。乱数発生器13は、乱数
を生成する。乱数発生器13の一例として、熱雑音がラン
ダムに発生することを原理とした乱数発生器で乱数を発
生する方法がある。また、マイクロコンピュータで数学
的に疑似乱数を発生するものでもよい。鍵出力19は、強
制執行の折に、メモリ12に記憶している暗号鍵を出力す
るものである。

【００１８】基地局２は、変換部21等で構成されてい
る。変換部21は、中継する暗号化されたアプリケーショ
ン情報を、供託センター１から与えられた管理情報に基
づき変換するものであり、通常は、マイクロコンピュー
タで構成する。親端末機３は、暗号化部31、メモリ32、
鍵管理部34、入出力39等で構成されている。暗号化部31
は、入出力39からアプリケーション情報を受けて、メモ
リ32に記憶している暗号鍵で暗号化し、基地局２経由で
他の端末機４へ送る。また、基地局２経由で他の端末機
４から受信したアプリケーション情報をメモリ32に記憶
している暗号鍵で復号し、入出力39へ出力するもので、
通常は、マイクロコンピュータで構成する。メモリ32
は、供託センター１から与えられた暗号鍵を記憶する記
憶素子で、複数の通信グループに所属して通信を行なう
ときは、複数の暗号鍵を記憶する。鍵管理部34は、新た
に暗号鍵が必要になったときや、暗号鍵を変更すると
き、供託センター１へ要求を出し、新しい暗号鍵を受け
取り、自らのメモリ32に記憶するとともに、端末機４
へ、新しい暗号鍵を配信する。入出力39は、送受信する
アプリケーション情報を入出力する手段である。情報は
音声、文字、画像などであり、いずれもディジタル信号
として入出力される。

【００１９】端末機４は、暗号化部41、メモリ42、入出
力49等で構成されている。暗号化部41は、基地局２経由
で他の端末機４から受信したアプリケーション情報を、
メモリ42に記憶している暗号鍵で復号し、入出力49へ出
力する。また、入出力49からアプリケーション情報を受
けて、メモリ42に記憶している暗号鍵で暗号化し、基地
局２経由で他の端末機４へ送る。通常は、マイクロコン
ピュータで構成する。また、親端末機３から暗号鍵を受
信し、メモリ42へ記憶させる機能も有する。メモリ42
は、親端末機から送ってくる暗号鍵を記憶する記憶素子
で、複数のグループの通信を行なうときは、複数の暗号
鍵を記憶する。入出力49は、送受信するアプリケーショ
ン情報を入出力する手段である。情報は音声、文字、画
像などであり、いずれもディジタル信号として入出力さ
れる。

【００２０】図４は、本発明の第１の実施の形態におけ
る鍵供託装置の動作を示す流れ図である。図４におい
て、供託センター１と、基地局２と、親端末機３は、図
１と同じである。端末機３，４は、親端末機３または子
端末機４を意味する。

【００２１】上記のように構成された本発明の第１の実
施の形態における鍵供託装置の動作を、図２と図４を参
照しながら説明する。最初に、暗号鍵の生成配信方法を
説明する。親端末機３から新しい暗号鍵の要求があった
ときは、供託センター１は、乱数発生器13で発生した乱
数から、暗号鍵ｅ,ｄ,ｐを生成し、自らのメモリ12へ記
憶する。ここで、ｐは十分に大きな素数で、整数ｅ,ｄ
（＜（ｐ−１））は十分に大きな整数で、かつ、ｅは、
（ｐ−１）と互いに素な数とする。十分に大きいとは、
解読が難しくなる大きさを指す。ｄも（ｐ−１）と互い
に素な数にすると、後述するｂの値が片寄った値になら
なくて済む。

【００２２】供託センター１は、暗号鍵ｅ,ｄ,ｐを、親
端末機３へ秘密裏に送る。親端末機３は、受信した暗号
鍵ｅ,ｄ,ｐをそのメモリ32に記憶する。親端末機３は、
供託センター１から受け取った暗号鍵ｅ,ｄ,ｐを、子端
末機４へ秘密裏に送り、そのメモリ42に記憶させる。な
お、端末機４が受信のみの機能を持つときは、暗号鍵ｅ
の配信を省略してもよい。

【００２３】供託センター１から親端末機３へ秘密裏に
送る方法は、本発明の対象外であるが、一例として、親
端末機３から新しい暗号鍵を要求する情報に併せて公開
鍵暗号方式の公開鍵を供託センター１へ送り、供託セン
ター１はこの公開鍵で暗号化して、配信する暗号鍵を親
端末機３へ送るよく知られた方法がある。供託センター
１から基地局２へ管理情報を送るときも、これと同じ要
領で秘密裏に送ることができる。端末機４へ秘密裏に配
信する方法は、本発明の対象外であるが、一例として、
本発明のアプリケーション情報を伝送する暗号方式を利
用する方法がある。

【００２４】供託センター１は、 ｅ×(ｄ×ｘ＋ｂ)≡１（mod(ｐ−１)） を満たす整数ｘ,ｂを求め、管理情報として、ｘ,ｂ,ｐ
を基地局２へ秘密裏に与えるとともに、ｐ,ｅ,ｄ,ｘ,ｂ
を記憶する。親端末機３は、供託センター１から与えら
れた暗号鍵ｐ,ｅ,ｄを子端末機４へ秘密裏に配信する。

【００２５】ｘ,ｂを計算する第１の計算方法は、乱数
から任意の整数ｘ（０＜ｘ＜(ｐ−１)）を求めて、法
(ｐ−１)に関するｅの逆数（乗法的逆元）ｅ^-1を求め、 ｂ₀＝ｅ^-1−ｄ×ｘ mod(ｐ−１) とし、ｂ₀≧０のときは、 ｂ＝ｂ₀ とし、ｂ₀＜０のときは、 ｂ＝ｂ₀＋(ｐ−１) とすることにより、ｂを求める。あるいは、mod(ｐ−
１)の結果が常に正となる計算方法を使用してもよい。

【００２６】逆数を求めるときは、 ｅ×ｙ₀＝（ｐ−１）×ａ＋１ を満たす整数ａ,ｙ₀を求める。このｙ₀が逆数ｅ^-1であ
る（ｙ₀＝ｅ^-1）。互いに素である整数ｅ,（ｐ−１）に
対して、上式を満たす整数ａ,ｙ₀が存在し、拡張ユーク
リッドの互除法でａ,ｙ₀を求める方法があることは、よ
く知られている。例えば、池野信一、小山謙二著「現代
暗号理論」（電子情報通信学会発行）17頁〜18頁参照。

【００２７】なお、ｂ＝１のときは、後述する基地局２
での変換が行われないことと同じことになるし、ｂが小
さな数字のときは、全数探索でｂの値を知られる可能性
があるので、ｂは、ある程度以上の大きな数であること
が安全上望ましい。ｂが小さな数になったときは、ｘを
−１し、ｂにｄを加えてもよい。ｘが小さいときも、安
全のために、大きい数に変更する。

【００２８】アプリケーション情報を伝送するときは、
送信側の端末機３、４は、アプリケーション情報のビッ
ト列を整数とみて、Ｍ＜ｐとなるように分割し、 Ｃ＝Ｍ^e modｐ で、平文Ｍから暗号文Ｃを生成し、中継のため基地局２
へ送る。

【００２９】基地局２は、中継再送するために、端末機
３、４から送られてきた暗号化されたアプリケーション
情報Ｃを、 Ｃ₁＝Ｃ^x modｐ Ｃ₂＝Ｃ^b modｐ で変換し、Ｃ₁とＣ₂の２つのデータを、受信側の端末機
３、４へ送る。

【００３０】端末機３、４は、変換アプリケーション情
報Ｃ₁,Ｃ₂を受信し、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で平文へ復号する。

【００３１】このように、送信する暗号文Ｍは、送信側
で暗号文Ｃへ暗号化され、基地局２で暗号文Ｃ₁とＣ₂へ
変換され、受信側で再び平文Ｍへ復号される。ｐとｄ
が、供託センター１から与えられた所定の数でないとき
は、復号できない。すなわち、正しい暗号鍵を使わない
と、暗号化されたアプリケーション情報を復号できなく
なる。

【００３２】送信端末機の暗号化計算と、基地局の変換
計算と、受信端末機の復号計算を、計算全体を通して数
学的に見れば、 (Ｃ₁ ^d×Ｃ₂)modｐ ＝{(Ｃ^x modｐ)^d×(Ｃ^b modｐ)}modｐ ＝{(Ｃ^x×d modｐ)×(Ｃ^b modｐ)}modｐ ＝Ｃ^x×d+b modｐ ＝Ｍ^e×(x×d+b) modｐ となる。ここで、 ｅ×(ｘ×ｄ＋ｂ)≡１（mod(ｐ−１)） であるから、 ｅ×(ｘ×ｄ＋ｂ)＝(ｐ−１)×ｎ＋１（ｎ：整数） と置き換えると、 Ｍ^e×(x×d+b) modｐ ＝Ｍ^(p-1)×n+1modｐ ＝Ｍ となる。最後の式は、フェルマーの小定理（例えば、池
野信一、小山謙二著「現代暗号理論」（電子情報通信学
会発行）242頁に記載）から求めた。このように、 Ｍ^(p-1)×n+1 modｐ＝Ｍ という性質を利用して暗号化と復号をしているので、べ
き指数となる暗号鍵ｅ,ｄ,ｘ,ｂは、（ｐ−１）より大
きくても、（ｐ−１）より小さくした場合と結果は同じ
になる。べき乗計算のむだを省くために、mod(ｐ−１)
で（ｐ−１）より小さくした暗号鍵ｅ,ｄ,ｘ,ｂで、べ
き乗計算を行なう。

【００３３】ここで、管理情報の他の計算方法を説明す
る。第２の計算方法では、供託センター１は、 ｅ×ｙ₀＝(ｐ−１)×ａ＋１ が成立する整数ａ,ｙ₀を求める。この式を満足するｙ₀
は多数存在するが、ｙ₀＜（ｐ−１）とする。

【００３４】乱数から整数ｍを生成し、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ によってｙを求める。さらに、 ｙ＝ｄ×ｘ＋ｂ により、ｘとｂを求める。ｙをｄで割った商と剰余を、
それぞれｘとｂとする。このようにして求めたｘ,ｂに
ついて、 ｅ×（ｘ×ｄ＋ｂ）≡１（mod(ｐ−１)） が成立することは自明である。

【００３５】第３の計算方法では、供託センター１は、
(ｐ−１)とは互いに素なる整数ｙを生成し、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める。

【００３６】第４の計算方法では、供託センター１は、
ｐ−１とは互いに素なる整数ｓ，ｒを生成し、 ｙ＝ｓ×ｒ により整数ｙを求め、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂ求める。

【００３７】第５の計算方法では、供託センター１は、
ｙとして、(ｐ−１)とは互いに素なる３以上の整数の積
を用いる。

【００３８】第６の計算方法では、供託センター１は、
整数ｍを生成し、(ｐ−１)とは互いに素でかつｐ＞ｙ₀
なる整数ｙ₀を生成し、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ により整数ｙを求め、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める。

【００３９】第７の計算方法では、供託センター１は、
整数ｍを生成し、（ｐ−１）とは互いに素なる整数ｆを
生成し、 ｅ×ｙ₀×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｙ₀を求め、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ により整数ｙを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める。

【００４０】以上のように、 ｅ×（ｘ×ｄ＋ｂ）≡１（mod(ｐ−１)） を満たすｘ,ｂの生成法は、いくつも存在する。以上の
暗号鍵生成過程では、暗号鍵の数値が特定の条件に偏ら
ないようにするため、数ｅ,ｄ,ｐ,ｍは、乱数を生成
し、その中から条件を満足する数を選択する方法で生成
する。

【００４１】強制執行のときは、暗号鍵を供託センター
から暗号鍵ｅ,ｄ,ｐを入手し、基地局２の計算や端末機
の計算要領で、傍受した通信を復号する。端末機４の送
信側（基地局の受信側）で傍受したときは、 ｅ×ｄ'＝(ｐ−１)×ａ＋１ が成立するｄ'を求めた後、 Ｍ＝Ｃ^d' modｐ で、傍受した通信を復号してもよい。

【００４２】強制執行のときは、供託センターで暗号鍵
を出力することで、執行官は暗号鍵ｅ,ｄ,ｐを入手し、
基地局２等で通信を傍受し、暗号鍵によりアプリケーシ
ョン情報の通信文を解読する。強制執行の方法も、本発
明の対象外とする。

【００４３】安全性について説明する。第三者に対して
は、暗号鍵は一切公開されないので、解読には暗号文を
多数入手して解析する方法（既知暗号文攻撃）しかな
く、暗号化されたアプリケーション情報を解読するのは
難しい。

【００４４】基地局や基地局関係者は、暗号鍵の一部と
して、ｐとｘおよびｂが基地局に与えられるので、不正
入手の可能性がある。ｐ,ｘ,ｂを入手したとしても、ｅ
やｄはｐ,ｘ,ｂとは独立に決定されるので、ｐ,ｘ,ｂか
らｅやｄを数学的に求めることはできない。また、ｐを
知ったとしても、ｐが十分に大きな数のとき、少数の暗
号文Ｃや、変換された暗号文Ｃ₁,Ｃ₂を入手して解析し
ても、Ｍを逆算することが難しい。したがって、基地局
関係者であっても、通信の秘密を盗むことは難しい。

【００４５】計算量について説明する。フェルマーの定
理を利用した暗号方式に有名なＲＳＡ暗号方式（公開鍵
暗号）があり、現在512ビット長の鍵が推奨されてい
る。将来はもっと長い鍵が必要だといわれている。しか
し、本発明は、ＲＳＡ暗号のように大きな数の因数分解
の困難性には関係がない上、本質的には秘密鍵暗号方式
であるので、ＲＳＡ暗号の512ビットの鍵より短いビッ
ト長の鍵で安全に使用できる。56ビット長の鍵を使う標
準暗号ＤＥＳが解読されたといわれるので、ｅ,ｄ,ｐ,
ｘ,ｂなどに関して、64ビット長の鍵は無理としても、1
28ビット長の鍵で充分に安全が保たれる。したがって、
ＲＳＡ暗号より少ない計算量で暗号化、復号できる。

【００４６】暗号鍵を128ビットにしたとき、伝送する
ブロックの大きさは、その２倍の256ビットになる。暗
号化／復号するブロックサイズを公開鍵暗号ほど大きく
しないで済む。

【００４７】誤魔化しについて説明する。端末機３、４
は、供託センター１から与えられた暗号鍵以外の数値を
暗号鍵として使用し、強制執行の際に傍受解読を難しく
するという不正の可能性がある。ここでは、これを誤魔
化しと呼ぶ。

【００４８】与えられたｐを別の数値に変えたときは、
受信側で正常に復号できない。また、ｅを単純に別の数
に変えても、供託センター１の計算過程で使われるｙや
ｍ、また、基地局２に与えられるｘ,ｂを知ることがで
きない端末側では、やはり、Ｃ₁とＣ₂から受信側で正常
に復号する方法を見つけることができない。暗号鍵ｅ,
ｄ,ｐとは独立に定めることができるｙやｍ、ないしは
ｘやｂが、端末側に対しての秘密情報として存在するこ
とが、端末側で簡単には誤魔化せない根拠となってい
る。暗号鍵ｅと復号鍵ｄに対称性がないので、暗号鍵と
復号鍵を入れ替えることにより傍受解読を困難にすると
いう誤魔化しができない。

【００４９】２重暗号化をすれば、傍受解読は困難にな
るが、相当複雑な処理が必要であり、そのような供託逃
れまで防ぐことはできない。また、それと同程度の複雑
な処理を行なえば誤魔化しは可能になるが、そこまでの
誤魔化し対策は無意味であるから行なわない。

【００５０】基地局の関係者と端末側が結託し、ｘとｂ
を盗めば、ｅ,ｄ,ｐ,ｘ,ｂが揃い、容易に誤魔化すこと
ができる。すなわち、ｂが分かれば、任意のｅ'を定
め、 ｅ'×ｂ×ｄ'＝(ｐ−１)×ａ＋１ なるｄ'を求めることで、ｅ'で暗号化し、受信したＣ₂
からさらにｄ'で復号することで誤魔化すことができ
る。また、ｘを知ったときにも同様な誤魔化しの方法が
ある。このため、基地局では、ｘやｂを耐タンパー性の
記憶装置に記憶させる。

【００５１】上記のように、本発明の第１の実施の形態
では、鍵供託装置を、供託センターで暗号鍵ｅ,ｄ,ｐを
生成して端末に配信し、管理情報ｘ,ｂ（ｅ×（ｄ×ｘ
＋ｂ）≡１（mod(ｐ−１)））を生成して基地局に配信
し、送信端末でＣ(＝Ｍ^e)を送信し、基地局でＣ₁(＝
Ｃ^x)とＣ₂(＝Ｃ^b)に変換し、受信端末で、Ｃ₁ ^d×Ｃ₂か
らＭを求める構成としたので、誤魔化しを防ぎつつ、効
率的な暗号通信とダイナミックな暗号鍵更新ができる。

【００５２】（第２の実施の形態）本発明の第２の実施
の形態は、親端末機で暗号鍵ｅ,ｄ,ｐを生成して供託セ
ンターに供託し、子端末に配信する鍵供託装置である。

【００５３】図３は、本発明の第２の実施の形態におけ
る鍵供託装置の機能ブロック図である。図３において、
乱数発生器33は、暗号鍵ｅ,ｄ,ｐを生成するために乱数
を発生する手段である。熱雑音がランダムに発生する原
理を利用して乱数を発生する。鍵管理部34は、乱数発生
器33で発生した乱数から所定の条件を備えた数を選択す
ることで暗号鍵ｅ,ｄ,ｐを生成し、供託のために供託セ
ンター１へ秘密裏に送信する手段である。供託センター
１の計算部11は、暗号鍵ｅ,ｄ,ｐを生成する機能は有し
ない。親端末機３が誤魔化しの供託をすることを防止す
るため、供託センターには、供託した暗号鍵が正規の暗
号鍵であるか検定する手段を設ける。その他は、図２と
同じである。

【００５４】図５は、本発明の第２の実施の形態におけ
る鍵供託装置の動作を示す流れ図である。図５におい
て、供託センター１と、基地局２と、親端末機３は、図
３と同じである。端末機３，４は、親端末機３または子
端末機４を意味する。

【００５５】上記のように構成された本発明の第２の実
施の形態における鍵供託装置の動作を、図５を参照しな
がら説明する。暗号鍵の生成、供託時においては、親端
末機３は、暗号鍵ｅ,ｄ,ｐを生成し、供託センター１へ
秘密裏に送る。暗号鍵ｅ,ｄ,ｐと、基地局２へ与える管
理情報ｘ,ｂの生成条件、計算方法、暗号化／変換／復
号の計算式は、供託センター１で総ての暗号鍵を生成し
たときと同じである。また、親端末機３は、生成した暗
号鍵ｅ,ｄ,ｐを、そのメモリ32に記憶するとともに、子
端末機４へも送る。なお、子端末機４が受信のみの機能
を持つときは、暗号鍵ｅの配信を省略してもよい。

【００５６】供託センター１は、暗号鍵ｅ,ｄ,ｐを受信
すると、暗号鍵ｅ,ｄ,ｐが所定の条件を備えた数である
か検定し、ＯＫならばそのメモリ12へ暗号鍵ｅ,ｄ,ｐを
記憶する。条件を備えていなければ、適当な管理情報を
基地局へ送り、以降通信ができなくする。供託センター
１は、暗号鍵ｅ,ｄ,ｐを受信したとき、管理情報ｘ，ｂ
を求める。暗号鍵ｅ,ｄの値によっては、管理情報ｂが
０または小さな値になることがあるので、その場合は、
親端末機３に指示して、暗号鍵ｅを変更して、ｂが適当
な値になるようにする。

【００５７】ところで、ｅを因数分解可能な数、例え
ば、素数ｅ₁,ｅ₂の積にしたときは、 ｅ＝ｅ₁×ｅ₂ となり、 Ｍ^e×y0 modｐ ＝Ｍ^e1×e2×y0 modｐ ＝Ｍ^e1×y0×e2 modｐ となる。この式は、Ｍをｅで暗号化し、ｙ₀で変換／復
号する場合と、Ｍをｅ₁で暗号化し、ｙ₀×ｅ₂で変換／
復号する場合とで、結果が同じ値Ｍになることを意味す
る。よって、端末側がｅを因数分解が困難な大きな素数
の積として生成し、供託した後、因数分解した数ｅ₁で
暗号化することで、誤魔化すことができる。

【００５８】また、ｅが多数の素数の積の数であれば、
ｅ＝ｅ₁×ｅ₂なる２つの数の積に因数分解することがで
き、かつ、ｅ＝ｅ₁×ｅ₂なるｅ₁,ｅ₂の組合せは多数存
在する。端末側で適当に因数分解されたら、供託センタ
ー側では因数分解されたｅ₁,ｅ₂なる値を解読すること
が難しい。よって、誤魔化しを防ぐために、ｅは、素数
であることを条件にする。

【００５９】供託センター１は、暗号鍵が揃うと、第１
の実施の形態と同様にして、管理情報ｘ，ｂを求めて、
基地局２へ秘密裏に送信する。アプリケーション情報の
伝送と強制執行の方法は、第１の実施の形態と同様であ
る。

【００６０】総ての暗号鍵を供託センター１で生成して
配信すると、通信の秘密保持が全面的に供託センター１
に依存することになり、利用者側では、本当に秘密が守
れるか心配になる。供託センター１が手抜きをするので
はないか、供託センター１がミスを犯すのではないかな
どの心配がある。暗号鍵を親端末機側で生成すること
で、この心配をなくすことができる。

【００６１】親端末機側で、暗号鍵ｅ,ｄ,ｐの一部を生
成して供託し、供託センターで残りを生成するようにし
てもよい。

【００６２】本発明で使用する暗号鍵ｅ,ｄ,ｐは独立性
が強い。すなわち、暗号鍵ｅ、暗号鍵ｄ、暗号鍵ｐは、
GCD(ｅ，ｐ−１)＝１という条件があるだけで、他の暗
号鍵に関係なく独立に乱数から生成できる。端末機を紛
失するなどの原因で暗号鍵を変更しなければならなくな
ったとき、暗号鍵ｅ,ｄ,ｐの総てを変えなくても、１つ
を変えるだけで、安全な新しい暗号鍵に変えることがで
きる。この特性は、暗号鍵の変更における情報伝送量の
削減に役立つ。

【００６３】ｅのみを変更する場合は、(ｐ−１)とは互
いに素なる整数ｅを生成して、それに応じて管理情報の
ｂを変更すればよい。ｄのみを変更する場合は、乱数か
らｄを生成して、それに応じて管理情報のｂを変更すれ
ばよい。ｐを変更した場合、ｅが(ｐ−１)と互いに素で
あるか検査して、素であればｅを変更する必要はない。
素でなければ、改めてｅを生成する。その結果に応じて
管理情報のｂを変更する。

【００６４】上記のように、本発明の第２の実施の形態
では、鍵供託装置を、親端末機で暗号鍵ｅ,ｄ,ｐを生成
して供託センターに供託し、子端末機に配信する構成と
したので、利用者が安全面で安心できる。

【００６５】

【発明の効果】以上の説明から明らかなように、本発明
では、暗号鍵の供託先である供託センターと、通信を中
継する基地局と、暗号鍵管理を行なうとともに基地局を
介して通信を行なう複数の親端末機と、基地局を介して
通信を行なう複数の子端末機とからなる鍵供託装置を、
供託センターに、素数ｐと整数ｄを生成する手段と、
(ｐ−１)とは互いに素なる整数ｅを生成する手段と、
ｐ,ｅ,ｄを暗号鍵として親端末機へ秘密裏に配信する手
段と、 ｅ×(ｄ×ｘ＋ｂ)≡１（mod(ｐ−１)） を満たす整数ｘ,ｂを求める手段と、管理情報として整
数ｘ,ｂ,ｐを基地局へ秘密裏に与える手段と、ｐ,ｅ,
ｄ,ｘ,ｂを記憶する手段とを備え、親端末機に、供託セ
ンターから与えられた暗号鍵ｐ,ｅ,ｄを子端末機へ秘密
裏に配信する手段と、アプリケーション情報Ｍを暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
ション情報Ｃ₁,Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
手段とを備え、子端末機に、アプリケーション情報Ｍを
暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
ション情報Ｃ₁、Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
手段とを備え、基地局に、受信した暗号文Ｃを、変換ア
プリケーション情報 Ｃ₁＝Ｃ^x modｐ Ｃ₂＝Ｃ^b modｐ に変換する手段と、変換アプリケーション情報Ｃ₁,Ｃ₂
を送信する手段とを備えた構成としたので、所定の暗号
鍵を使用しないと通信できないようにしながら、オンラ
インで自由にダイナミックに暗号鍵を変更できるように
するとともに、暗号鍵の供託漏れを防止することがで
き、また、暗号化する平文のブロックサイズを小さくで
きるという効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態における鍵供託装置
の概念図、

【図２】本発明の第１の実施の形態における鍵供託装置
の機能ブロック図、

【図３】本発明の第２の実施の形態における鍵供託装置
の機能ブロック図、

【図４】本発明の第１の実施の形態における鍵供託装置
の動作を示す流れ図、

【図５】本発明の第２の実施の形態における鍵供託装置
の動作を示す流れ図である。

【符号の説明】

１ 供託センター ２ 基地局 ３ 親端末機 ４ 子端末機 12 メモリ 13 乱数発生器 19 鍵出力 21 変換部 31 暗号化部 32 メモリ 33 乱数発生器 34 鍵管理部 39 入出力 41 暗号化部 42 メモリ 49 入出力

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA01 AA34 BA02 EA04 EA12 EA16 JA03 MA08 NA02 NA18 PA01 PA07 9A001 BB04 CC05 CC07 EE03 JJ12 KK56 LL03

Claims (13)

【特許請求の範囲】
1. 【請求項１】 暗号鍵の供託先である供託センターと、
   通信を中継する基地局と、暗号鍵管理を行なうとともに
   前記基地局を介して通信を行なう複数の親端末機と、前
   記基地局を介して通信を行なう複数の子端末機とからな
   る鍵供託装置において、前記供託センターは、素数ｐと
   整数ｄを生成する手段と、(ｐ−１)とは互いに素なる整
   数ｅを生成する手段と、前記ｐ,ｅ,ｄを暗号鍵として前
   記親端末機へ秘密裏に配信する手段と、 ｅ×(ｄ×ｘ＋ｂ)≡１（mod(ｐ−１)） を満たす整数ｘ,ｂを求める管理情報生成手段と、管理
   情報として前記整数ｘ,ｂ,ｐを前記基地局へ秘密裏に与
   える手段と、前記ｐ,ｅ,ｄ,ｘ,ｂを記憶する手段とを備
   え、前記親端末機は、前記供託センターから与えられた
   前記暗号鍵ｐ,ｅ,ｄを前記子端末機へ秘密裏に配信する
   手段と、アプリケーション情報Ｍを暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
   ション情報Ｃ₁,Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
   手段とを備え、前記子端末機は、アプリケーション情報
   Ｍを暗号文 Ｃ＝Ｍ^e modｐ へ暗号化して送信する手段と、受信した変換アプリケー
   ション情報Ｃ₁、Ｃ₂を、 Ｍ＝(Ｃ₁ ^d×Ｃ₂) modｐ で復号して平文のアプリケーション情報として出力する
   手段とを備え、前記基地局は、受信した暗号文Ｃを、変
   換アプリケーション情報 Ｃ₁＝Ｃ^x modｐ Ｃ₂＝Ｃ^b modｐ に変換する手段と、前記変換アプリケーション情報Ｃ₁,
   Ｃ₂を送信する手段とを備えたことを特徴とする鍵供託
   装置。
2. 【請求項２】 前記管理情報生成手段に、任意の整数ｘ
   を生成する手段と、法(ｐ−１)に関する前記ｅの逆数ｅ
   ^-1を求める手段と、 ｂ₀＝ｅ^-1−ｄ×ｘ mod(ｐ−１) とし、ｂ₀≧０のときは、 ｂ＝ｂ₀ とし、ｂ₀＜０のときは、 ｂ＝ｂ₀＋(ｐ−１) とすることによりｂを求める手段とを設けたことを特徴
   とする請求項１記載の鍵供託装置。
3. 【請求項３】 前記管理情報生成手段に、任意の整数ｍ
   を生成する手段と、 ｅ×ｙ₀＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｙ₀を求め、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ ｙ＝ｄ×ｘ＋ｂ を満たす整数ｘ，ｂを求める手段とを設けたことを特徴
   とする請求項１記載の鍵供託装置。
4. 【請求項４】 前記管理情報生成手段に、(ｐ−１)とは
   互いに素なる整数ｙを生成する手段と、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める手段とを設けたことを特徴と
   する請求項１記載の鍵供託装置。
5. 【請求項５】 前記管理情報生成手段に、(ｐ−１)とは
   互いに素なる整数ｓ，ｒを生成する手段と、 ｙ＝ｓ×ｒ により整数ｙを求め、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める手段とを設けたことを特徴と
   する請求項１記載の鍵供託装置。
6. 【請求項６】 前記管理情報生成手段に、前記ｙとし
   て、(ｐ−１)とは互いに素なる３つ以上の整数の積を用
   いることを特徴とする請求項５記載の鍵供託装置。
7. 【請求項７】 前記管理情報生成手段に、任意の整数ｍ
   を生成する手段と、(ｐ−１)とは互いに素でかつｐ＞ｙ
   ₀なる整数ｙ₀を生成する手段と、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ により整数ｙを求め、 ｅ×ｙ×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｆを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める手段とを設けたことを特徴と
   する請求項１記載の鍵供託装置。
8. 【請求項８】 前記管理情報生成手段に、任意の整数ｍ
   を生成する手段と、(ｐ−１)とは互いに素なる整数ｆを
   生成する手段と、 ｅ×ｙ₀×ｆ＝(ｐ−１)×ａ＋１ を満たす整数ａ，ｙ₀を求め、 ｙ＝(ｐ−１)×ｍ＋ｙ₀ により整数ｙを求め、 ｙ＝ｄ×ｘ'＋ｂ' を満たす津整数ｘ'，ｂ'を求め、 ｘ＝ｆ×ｘ' mod(ｐ−１) ｂ＝ｆ×ｂ' mod(ｐ−１) で管理情報ｘ，ｂを求める手段とを設けたことを特徴と
   する請求項１記載の鍵供託装置。
9. 【請求項９】 前記供託センターに、前記暗号鍵ｅを素
   数として生成する手段を設けたことを特徴とする請求項
   １記載の鍵供託装置。
10. 【請求項１０】 前記供託センターに、前記管理情報ｂ
    が所定の数値より小さいことを判定する手段と、小さい
    場合に再度計算をやり直す手段とを設けたことを特徴と
    する請求項１記載の鍵供託装置。
11. 【請求項１１】 前記親端末機に、前記暗号鍵ｅ,ｄ,ｐ
    の一部または全部を生成する手段と、生成した暗号鍵
    ｅ,ｄ,ｐの一部または全部を前記供託センターへ送信す
    る手段とを設けたことを特徴とする請求項１記載の鍵供
    託装置。
12. 【請求項１２】 前記親端末機に、前記暗号鍵ｅを素数
    として生成する手段を設け、前記供託センターに、前記
    暗号鍵ｅ,ｐが素数であることを判定する手段を設けた
    ことを特徴とする請求項１１記載の鍵供託装置。
13. 【請求項１３】 前記供託センターまたは前記親端末機
    に、使用中の暗号鍵ｅ,ｄ,ｐの一部のみを変更する手段
    を設けたことを特徴とする請求項１または１１記載の鍵
    供託装置。