JP2002051036A - キーエスクロー方式 - Google Patents

Abstract

(57)【要約】 【課題】 キーエクスロー方式の鍵保管機関を無くして
も、モバイル端末を利用する捜査機関が、リアルタイム
で通信傍受できるようにする。 【解決手段】 プロキシサーバー（Ｐ）を導入して、鍵
配送サーバー（ＫＤＳ）から、ユーザー間の暗号通信用
のセッション鍵を常に同時に配布してもらう。プロキシ
サーバー（Ｐ）は、鍵配送サーバー（ＫＤＳ）から配布
されてくる暗号化された鍵を保管する。捜査機関（Ｉ）
が裁判所の許可や捜査令状をもって、セッション鍵の引
渡しを要求してきたら、プロキシサーバー（Ｐ）は、鍵
生成サーバー（ＫＧＳ）に依頼して、要求してきた捜査
機関端末を認証し、傍聴対象（target person）が間違
いないか認証する。捜査機関（Ｉ）の公開鍵によって暗
号化したセッション鍵を捜査機関（Ｉ）に引き渡す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、キーエスクロー方
式に関し、特に、捜査機関のモバイル暗号通信システム
において、供託されたユーザー暗号鍵を取得して暗号文
を解読するキーエスクロー方式に関する。

【０００２】

【従来の技術】モバイル通信システムにおいては、モバ
イル端末が通信システムの正規の加入者であることを確
認するために、モバイル端末からサービス要求があった
場合に、ユーザー認証を行なう必要がある。

【０００３】サービス機関へのサービス要求に対して、
ユーザーの身元を確認する認証方式として、ケルベロス
（Kerberos）システムがある。このシステムでの認証
は、チケットと呼ばれる暗号化情報を用いて行われる。
しかし、ケルベロスは、ユーザーと種々のサービス機関
との間の認証に重きをおいているため、ユーザー間の暗
号通信に用いる場合、暗号文の作成者の証明（署名者認
証）ができないという欠点がある。つまり、自分に不利
な認証は否認できるという欠点がある。また、ユーザー
と認証サーバー間の秘密鍵が長期にわたって保管される
ため、悪質な攻撃にさらされやすいという欠点もある。

【０００４】これらの欠点を補うために、公開鍵方式を
用いることでディジタル署名を可能にしたシステムに、
ヤシャ（Yaksha）システムがある。図４に、ヤシャ（Ya
ksha）システムを示す。ここで、鍵配送サーバー（ＹＡ
Ｓ）は、Yakshaの鍵配送(初期チケット生成)サーバーで
あり、ユーザーを認証し、正しいユーザーを確認する。
鍵生成機関（ＹＧＳ）は、Yakshaのサービスチケットを
生成し、配送するサーバーである。

【０００５】図４において、初期チケット要求１は、あ
るサービスを受けようとするクライアントのユーザーＣ
1が、鍵配送サーバー（ＹＡＳ）へ出す初期チケット（t
gt ticket＝ticket granting ticket）要求である。初
期チケット送信２は、鍵配送サーバー（ＹＡＳ）がユー
ザーＣ1を認証し、正しいユーザーであることが確認さ
れたら行なう初期チケット（tgt ticket）送信である。
サービスチケット要求３は、鍵配送サーバー（ＹＡＳ）
から初期チケットをもらったユーザーＣ1が鍵生成機関
（ＹＧＳ）へ出すサービスチケット（s-ticket）要求で
ある。サービスチケット送信４は、鍵生成機関（ＹＧ
Ｓ）からユーザーＣ1へ行なうサービスチケット（s-tic
ket）送信である。サービス要求５は、ユーザーＣ1がサ
ービス機関（Ｓ）またはユーザーＣ2へサービスチケッ
トを伝送するサービス要求である。サービス提供６は、
それに対するサービス機関（Ｓ）によるサービス提供で
ある。

【０００６】次に、Yakshaシステムにおける鍵共有・鍵
供出機能について説明する。鍵共有においては、ユーザ
ーＣ1による鍵配布要求を受けた鍵配送サーバー（ＹＡ
Ｓ）は、ユーザーＣ1,Ｃ2に、両者間で使用する共通鍵
Ｋを暗号化（署名）して、ユーザーＣ1に配送する。共
通鍵Ｋを配布してもらったユーザーＣ1は、その鍵をユ
ーザーＣ2に送ることによって、ユーザーＣ1,Ｃ2間の鍵
共有ができる。

【０００７】鍵供出について説明する。犯罪捜査などの
目的で、捜査機関が鍵配送サーバー（ＹＡＳ）に鍵提出
を要求してきた場合、鍵配送サーバー（ＹＡＳ）は、捜
査機関の鍵提出要求文が正当であるかを判断し、ユーザ
ーＣ1,Ｃ2間の共通鍵Ｋを捜査機関向けに暗号化して送
信する。捜査機関は、それを鍵生成機関（ＹＧＳ）に提
示し、ブラインド復号してもらうことによって、ユーザ
ー間の通信傍受が可能になる。したがって、鍵生成機関
（ＹＧＳ）は、捜査機関に通信傍受されているユーザー
を知ることができ、ユーザーのプライバシー侵害の問題
になるという欠点があった。

【０００８】これに対して、従来のYakshaを改良した方
式が、文献１［宮崎真悟、石本関、新保淳、桜井幸一、
“ElGamal型協力署名の構成と鍵管理・鍵寄託システム
への応用”、情報処理学会論文誌、Vol.38,no.10,pp.20
74-2082 Oct.,1997］に紹介されている。図５に、改良
されたシステムを示す。ここでは、鍵保管機関（Ｔ）が
新たに設けられ、鍵生成機関が生成した鍵の保管およ
び、捜査機関が通信傍受した暗号文の復号を行ってい
る。鍵保管機関は、捜査機関が無制限に通信傍受を続け
るのを防ぐために、鍵の貸し出しをしないものである。
また、鍵保管機関に通信傍受した文書の内容を知られる
のを防ぐために、通信傍受文書の復号にはブラインド復
号を用いる。このシステムにおける鍵共有・鍵供出手続
きは以下のようになる。

【０００９】まず、鍵配送のための準備段階として、鍵
生成機関（ＹＧＳ）はセッション鍵を生成し、セッショ
ン鍵のＩＤと共に、自分の秘密鍵で暗号化したセッショ
ン鍵Ｋを、鍵配送サーバー（ＹＡＳ）に送信する。また
同時に、鍵保管機関に、そのセッション鍵と鍵のＩＤを
送信する。鍵生成機関（ＹＧＳ）は、鍵配送サーバーと
鍵保管機関に配送済みのセッション鍵および鍵ＩＤを削
除する。このような鍵配送の準備が終わると、鍵配送サ
ーバー（ＹＡＳ）は、ユーザーからの要求に応じて鍵の
配送を行なう。

【００１０】次に、鍵共有における鍵配送について述べ
る。図５に示す２者間通信を行なうユーザーＣ1,Ｃ2の
鍵共有手続きにおいて、鍵配送要求１は、ユーザーＣ1
から鍵配送サーバー（ＹＡＳ）への鍵配送要求である。
この要求に対して、手続き２で、セッション鍵Ｋを鍵生
成機関（ＹＧＳ）の公開鍵によって暗号化して、ユーザ
ーＣ1,Ｃ2に配送する。手続き３，４において、ユーザ
ーＣ1,Ｃ2は、鍵生成機関に共通鍵Ｋを知られることな
く復号してもらう（ブラインド復号）。

【００１１】鍵供出について説明する。図６に示すよう
に、捜査令状提示７で、捜査機関（Ｉ）が鍵配送サーバ
ー（ＹＡＳ）に捜査令状を提示して、傍受した暗号通信
の復号のための鍵を要求する。この要求に対して、手続
き８で、鍵配送サーバー（ＹＡＳ）が捜査機関（Ｉ）を
認証し、正しい捜査機関であることが確認されたら、そ
の鍵を直接渡さないで、鍵ＩＤを鍵保管機関（Ｔ）の公
開鍵で暗号化して送る。手続き９、10において、捜査機
関（Ｉ）は、セッション鍵の要求は行なわず、鍵保管機
関（Ｔ）に、通信傍受したメッセージをブラインド復号
化してもらう。これは、ユーザーの通信を無制限に通信
傍受されるのを防ぐためである。

【００１２】次に、このシステムの署名方式について述
べる。ここでは、公開鍵暗号の秘密鍵を２つに拡張し
て、サーバーとユーザー間での暗号通信とElGamal協力
署名（巡回署名）を実現している。つまり、２者で１つ
の署名を協力して作成している。ここで用いるパラメー
タｐは素数である。ユーザー１は秘密鍵ｘ₁を持ち、ユ
ーザー２は秘密鍵ｘ₂を持つ。両者共通の公開鍵は、ｙ
＝ｇ^(ｘ₁+ｘ₂) modｐである。秘密鍵ｘ₁、ｘ₂は、ユー
ザーに別々に保管される。鍵のペアーが３つでき、３通
りの署名ができる。秘密鍵ｘ₁のみによる署名（確認に
はｘ₂と公開鍵（ｙ×ｇ^(−ｘ₂),ｇ,ｐ）が必要）と、
秘密鍵ｘ₂のみによる署名（確認にはｘ₁と公開鍵（ｙ×
ｇ^(−ｘ₁),ｇ,ｐ）が必要）と、秘密鍵ｘ₁,ｘ₂の協力
署名（確認には公開鍵（ｙ,ｇ,ｐ）が必要）である。こ
こで、署名者１と署名者２による協力署名は、以下のよ
うに行なう。署名者１をＳ1、署名者２をＳ2とする。

【００１３】（１）Ｓ1は、乱数ｋ₁,Ｋを用意して、 ｒ₁＝ｇ^(−ｋ₁) modｐ を作成し、秘密鍵ｘ₂に対する公開鍵ｙ×ｇ^ｘ₁を用い
て暗号化したメッセージ(Ｃ₁,Ｃ₂)を、ｒ₁とともにＳ2
に送る。メッセージ(Ｃ₁,Ｃ₂)は、 Ｃ₁＝ｇ^Ｋ modｐ Ｃ₂＝Ｍ×(ｙ×ｇ^(−ｘ₁))^Ｋ modｐ である。

【００１４】（２）Ｓ2は Ｍ＝Ｃ₂／Ｃ₁^ｘ₂ modｐ として、Ｓ1から送られてきた暗号文を復号（確認）
し、取り出したＭとｒ₁と乱数ｋ₂から、 ｒ₁₂＝Ｍ×ｒ₁×ｇ^(−ｋ₂) modｐ ｓ₂＝ｋ₂−ｘ₂・×ｒ₁₂ mod(p-1) を作成し、それらをＳ1に送る。

【００１５】（３）Ｓ1は、入手したｒ₁₂,ｓ₂から、 ｓ₁＝ｋ₁−ｘ₁×ｒ₁₂ mod(p-1) ｓ₁₂＝ｓ₁＋ｓ₂ mod(p-1) ｒ₁₂'＝ｒ₁₂ mod(p-1) を作成し、 Ｍ＝ｇ^ｓ₁₂×ｙ^ｒ₁₂'×ｒ₁₂ modｐ として署名を確認して、（ｒ₁₂,ｓ₁₂）を、検証を要求
する人物へ送る。（ｒ₁₂,ｓ₁₂）と公開鍵（ｙ,ｇ,ｐ）
によって、誰でも署名を検証することができる。

【００１６】

【発明が解決しようとする課題】しかし、上記の従来の
方式では、ユーザーのプライバシー保護のため、鍵保管
機関を導入しているが、鍵保管機関は、すべての鍵を長
期にわたり保管しており、ここが攻撃の対象になり易い
という問題がある。また、通信傍受時は、捜査機関が裁
判所の許可や令状をもらって、鍵配送サーバー（ＹＡ
Ｓ）に認証してもらって、傍受した暗号文を鍵保管機関
に提出し、ブラインド復号してもらうので、暗号文復号
までの時間がかかりすぎるという問題がある。

【００１７】また、従来のElgamal方式による巡回署名
方式は、署名すべきメッセージ以外に、付加的に別のメ
ッセージを送ることができなかった。最終的な検証は誰
でも確認できるが、これが不都合な時がある。すなわ
ち、鍵供託システムの場合、裁判所などの許可を得た正
当な捜査機関であることを認証する場合、正当な捜査機
関であることを認証して、メッセージを復元するのが誰
でも可能であるので、誰が捜査されているかという情報
を誰でも入手でき、プライバシー侵害の恐れがある。鍵
供託システムにおいては、鍵管理サーバー、例えば上記
のYakshaシステムでは、鍵生成機関（ＹＧＳ）だけが検
証できればよい。あるいは、捜査機関だけが検証できれ
ば良い。

【００１８】また、ユーザーがモバイル端末を利用する
ケースが増加しており、端末の移動性を考慮し、捜査機
関もモバイル端末に対する移動通信に対応可能にしなけ
ればならない。

【００１９】本発明では、上記従来の問題を解決して、
攻撃の対象になり易い鍵保管機関を無くし、さらに、モ
バイル端末を利用する捜査機関が、いつでもどこでも本
システムにアクセスできるようにし、リアルタイムな通
信傍受が可能なキーエクスロー方式を提供することを目
的とする。

【００２０】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、鍵生成サーバーと鍵配送サーバーと
ダミーユーザー用のプロキシサーバーとを具備する暗号
通信のキーエスクロー方式の鍵生成サーバーに、ユーザ
ー間の暗号通信用のセッション鍵を生成して提供する手
段を備え、鍵配送サーバーに、ユーザーからセッション
鍵の配布要求を受け付ける手段と、ユーザーおよび端末
を認証する手段と、正しいユーザーであることが確認さ
れたことに応じてセッション鍵をユーザーに配布する手
段と、セッション鍵をプロキシサーバーへ送る手段とを
備え、プロキシサーバーに、セッション鍵を保管する手
段と、裁判所などの令状に基づいた捜査機関からのセッ
ション鍵提出要求を受け付ける手段と、セッション鍵提
出要求に応じてセッション鍵を捜査機関に転送する手段
とを備えた構成とした。このように構成したことによ
り、攻撃の対象になり易い鍵保管機関を無くすことがで
きる。

【００２１】また、鍵生成サーバーに、セッション鍵を
鍵生成サーバーの公開鍵で暗号化した暗号化セッション
鍵を鍵配送サーバーに提供する手段を備え、プロキシサ
ーバーに、セッション鍵提出要求に応じて暗号化セッシ
ョン鍵を鍵生成サーバーにブラインド復号してもらい捜
査機関の公開鍵で暗号化したセッション鍵を捜査機関に
転送する手段を備えた。このように構成したことによ
り、蓄積されている鍵への攻撃の危険性が減少する。

【００２２】また、プロキシサーバーに、確認者指定の
一種である証明者限定署名がされたセッション鍵提出要
求を鍵生成サーバーに送って捜査機関を認証してもらう
手段と、捜査機関へ鍵転送するように指示するメッセー
ジを鍵生成サーバーから受け取る手段とを設けた。この
ように構成したことにより、捜査機関のみが最終的に自
分の秘密鍵で署名検証でき、プライバシー保護機能を高
めることができる。ユーザーのプライバシーは保護され
たまま、捜査機関はほとんど瞬時に、傍聴対象の通信鍵
の回復が可能になり、リアルタイムでユーザー間通信と
同時に通信傍受が可能となる。

【００２３】また、プロキシサーバーに、移動通信可能
な捜査機関のモバイル端末からのアクセスを受け付ける
手段を設けた。このように構成したことにより、モバイ
ル端末を利用する捜査機関は、いつでもどこでもシステ
ムにアクセスでき、鍵を取得してリアルタイムな通信傍
受が可能になる。

【００２４】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１〜図３を参照しながら詳細に説明する。

【００２５】（第１の実施の形態）本発明の第１の実施
の形態は、ユーザー間のセッション鍵を鍵配送サーバー
からプロキシサーバーに配布して保管し、捜査機関が要
求したときに認証して、捜査機関の公開鍵によって暗号
化したセッション鍵を捜査機関に渡すキーエスクロー方
式である。

【００２６】図１は、本発明の第１の実施の形態におけ
るキーエスクロー方式のシステム構成図である。図１に
おいて、鍵生成サーバー（ＫＧＳ）は、セッション鍵を
生成する手段である。鍵配送サーバー（ＫＤＳ）は、セ
ッション鍵と鍵ＩＤを保管し、各クライアントにセッシ
ョン鍵を配布する手段である。ユーザーＡ、Ｂは、暗号
通信を行なうクライアントである。プロキシサーバー
（Ｐ）は、鍵配送サーバーにダミーユーザーとして登録
されているプロキシサーバーである。モバイル端末Ｍ
は、捜査機関（Ｉ）のモバイル端末である。

【００２７】図２は、本発明の第１の実施の形態におけ
るキーエスクロー方式の鍵共有プロトコルを示す図であ
る。図２において、生成鍵送信15は、鍵生成サーバー
（ＫＧＳ）から、暗号化したセッション鍵を、鍵配送サ
ーバー（ＫＤＳ）に送信する手順である。鍵配布要求11
は、ユーザーＡから鍵配送サーバー（ＫＤＳ）への鍵配
布要求手順である。暗号化セッション鍵配布12は、暗号
化したセッション鍵を、鍵配送サーバー（ＫＤＳ）から
各ユーザーに配送する手順である。ブラインド復号要求
13は、各ユーザーから鍵生成サーバー（ＫＧＳ）へのセ
ッション鍵のブラインド復号の依頼手順である。ブライ
ンド復号セッション鍵配布14は、ブラインド復号したセ
ッション鍵を配送する手順である。

【００２８】図３は、本発明の第１の実施の形態におけ
るキーエスクロー方式の捜査機関（Ｉ）による鍵取得プ
ロトコルを示す図である。図３において、鍵引渡要求21
は、捜査機関（Ｉ）が鍵引渡要求をプロキシサーバー
（Ｐ）へ出す手順である。捜査機関認証要求22は、プロ
キシサーバー（Ｐ）が、鍵生成サーバー（ＫＧＳ）に、
捜査機関（Ｉ）の確認者限定署名の確認を要求する手順
である。捜査機関認証確認23は、鍵生成サーバーが、正
しい捜査機関であることを確認した結果を回答する手順
である。ブラインド復号要求24は、プロキシサーバー
（Ｐ）が、暗号化されたセッション鍵を、プロキシサー
バー（Ｐ）の公開鍵で暗号化して鍵生成サーバー（ＫＧ
Ｓ）に渡して、ブラインド復号を依頼する手順である。
ブラインド復号鍵送付25は、鍵生成サーバー（ＫＧＳ）
からプロキシサーバー（Ｐ）へ、ブラインド復号したセ
ッション鍵を送付する手順である。セッション鍵配布26
は、プロキシサーバー（Ｐ）が、自分の秘密鍵で復号
し、捜査機関（Ｉ）の公開鍵によって暗号化したセッシ
ョン鍵を捜査機関（Ｉ）に引き渡す手順である。

【００２９】上記のように構成された本発明の第１の実
施の形態におけるキーエスクロー方式の動作を説明す
る。最初に、ユーザー間の鍵共有プロトコルを説明す
る。図１,２の生成鍵送信15において、鍵生成サーバー
（ＫＧＳ）は、セッション鍵を生成して、生成したセッ
ション鍵に鍵ＩＤを与えると共に、鍵生成サーバー（Ｋ
ＧＳ）の公開鍵で暗号化したセッション鍵と鍵ＩＤを、
鍵配送サーバー（ＫＤＳ）に送信する。鍵配送サーバー
（ＫＤＳ）は、鍵生成サーバー（ＫＧＳ）から送られた
暗号化セッション鍵と鍵ＩＤを保管する。暗号化セッシ
ョン鍵は、鍵生成サーバー（ＫＧＳ）の秘密鍵で復号し
ないと使用できないので、安全に保管できる。

【００３０】図１,２のセッション鍵配布要求11におい
て、ユーザーＢと暗号通信しようとするユーザーＡは、
鍵配送サーバー（ＫＤＳ）に、ユーザーＢのＩＤを添え
て、セッション鍵配布要求文を送り、ユーザーＢとの暗
号通信のための鍵配布を要求する。

【００３１】図１,２の暗号化セッション鍵配布12にお
いて、鍵配送サーバー（ＫＤＳ）は、ユーザーおよび端
末を認証し、鍵生成サーバー（ＫＧＳ）の公開鍵で暗号
化してあるセッション鍵を、ユーザーＡとユーザーＢそ
れぞれの公開鍵で暗号化して、ユーザーＡとユーザーＢ
に配送する。また、それと同時に、鍵生成サーバー（Ｋ
ＧＳ）の公開鍵で暗号化してあるセッション鍵を、ダミ
ーユーザーであるプロキシサーバー（Ｐ）へ配送する。
プロキシサーバー（Ｐ）は、鍵配送サーバー（ＫＤＳ）
に、ユーザー間セッション鍵を一時的に保管するための
ダミーサーバーとして登録されている。プロキシサーバ
ー（Ｐ）は、通信傍受を行なわない平時は、暗号化され
た鍵をそのまま保管する。プロキシサーバー（Ｐ）は、
イントラネット内部の管理の行き届いた部屋で管理する
ことにより、安全性を増すことができる。

【００３２】図１,２のブラインド復号要求13では、ユ
ーザーＡとユーザーＢが、鍵生成サーバー（ＫＧＳ）
へ、暗号化されたセッション鍵のブラインド復号を依頼
する。

【００３３】図１,２のブラインド復号セッション鍵配
布14では、ユーザーＡとユーザーＢは、鍵生成サーバー
（ＫＧＳ）から、ブラインド復号したセッション鍵を配
送してもらう。ユーザーＡ、Ｂは、２者間通信を行なう
クライアント同士として、鍵生成サーバー（ＫＧＳ）か
らブラインド復号してもらったセッション鍵を自分の秘
密鍵で復号することによって、共通鍵を得ることができ
る。ユーザーＡ、Ｂは、セッション鍵で暗号通信を行な
うことができる。

【００３４】第２に、図１と図３を参照して、捜査機関
（Ｉ）による鍵取得プロトコルを説明する。捜査機関
（Ｉ）が裁判所の許可や捜査令状をもって、セッション
鍵の引渡しを要求してきたら、プロキシサーバー（Ｐ）
は、要求してきた捜査機関を認証し、傍受対象（target
person）が間違いないか認証する。裁判所などの令状
を提示した捜査機関（Ｉ）を認証し、認証が確認された
捜査機関（Ｉ）の端末だけに、必要なときだけ、セッシ
ョン鍵をブラインド復号して渡す。モバイル端末Ｍは、
捜査機関（Ｉ）が機動性を要する捜査に利用する。

【００３５】図１,３の鍵引渡要求21において、ユーザ
ーＡ、Ｂ間の暗号通信を傍受しようとする捜査機関
（Ｉ）は、裁判所などから交付された捜査令状などを含
む鍵引渡要求文に対して、署名の確認者を鍵生成サーバ
ー（ＫＧＳ）に指定して、自分の秘密鍵によって確認者
限定署名を行ない、プロキシサーバー（Ｐ）へ提出す
る。

【００３６】図１,３の捜査機関認証要求22において、
プロキシサーバー（Ｐ）は、鍵生成サーバー（ＫＧＳ）
に、捜査機関（Ｉ）がした確認者限定署名の確認を要求
する。

【００３７】図１,３の捜査機関認証確認23において、
鍵生成サーバー（ＫＧＳ）は、正しい捜査機関であるこ
とを確認したら、プロキシサーバー（Ｐ）に、ユーザー
Ａ、Ｂ間の暗号化されたセッション鍵を捜査機関（Ｉ）
へ渡すように、メッセージを入れて指示する。

【００３８】図１,３のブラインド復号要求24におい
て、プロキシサーバー（Ｐ）は、鍵生成サーバー（ＫＧ
Ｓ）の公開鍵で暗号化されたセッション鍵を、プロキシ
サーバーの公開鍵で暗号化して、鍵生成サーバー（ＫＧ
Ｓ）にブラインド復号要求を出す。

【００３９】図１,３のブラインド復号鍵送付25におい
て、鍵生成サーバー（ＫＧＳ）は、ブラインド復号した
セッション鍵を、プロキシサーバー（Ｐ）へ送付する。

【００４０】図１,３のセッション鍵引渡26において、
プロキシサーバー（Ｐ）は、ブラインド復号されたセッ
ション鍵を自分の秘密鍵で復号し、捜査機関（Ｉ）の公
開鍵によって暗号化して、捜査機関（Ｉ）に引き渡す。
捜査機関（Ｉ）は、引き渡された暗号化セッション鍵
を、自分の秘密鍵で復号して、傍受したユーザー間の暗
号通信の復号に使用する。

【００４１】上記のように、本発明の第１の実施の形態
では、キーエスクロー方式を、ユーザー間のセッション
鍵を鍵配送サーバーからプロキシサーバーに配布して保
管し、捜査機関が要求したときに認証して、捜査機関の
公開鍵によって暗号化したセッション鍵を捜査機関に引
き渡す構成としたので、攻撃の対象になり易い鍵保管機
関を無くしても、捜査機関はリアルタイムで通信傍受で
きる。

【００４２】（第２の実施の形態）本発明の第２の実施
の形態は、確認者指定の巡回署名を利用したキーエスク
ロー方式である。本発明の第２の実施の形態におけるキ
ーエスクロー方式の基本的な構成は、図１〜３に示した
第１の実施の形態と同じである。

【００４３】本発明の第２の実施の形態におけるキーエ
スクロー方式では、２つのメッセージを持つNyberg-Rue
ppelメッセージ復元型署名を、巡回署名に拡張し、さら
に、確認者指定署名に変形する。捜査機関の認証方式と
しては、複数のメッセージを持つNyberg-Rueppelメッセ
ージ復元型署名[荒木俊輔、上原聡、今村恭己著“制限
された確認者をもつNyberg-Rueppelメッセージ復元型署
名の応用”、The 2000Symposium on Cryptograph and I
nformation Security SCIS-2000,C26, Okinawa, Japan,
Jan.,26-28,2000を参照]を、巡回署名に拡張する。

【００４４】２つのメッセージの一方のメッセージは、
鍵生成サーバー（ＫＧＳ）が捜査機関へ伝えるメッセー
ジとする。認証が正しくなされたら、プロキシサーバー
は、ユーザーＡとＢの共通鍵を、鍵生成サーバー（ＫＧ
Ｓ）にブラインド復号してもらい、捜査機関端末へ伝送
する。したがって、捜査機関のみが最終的に自分の秘密
鍵で署名検証でき、プライバシー保護機能を高めること
ができる。これにより、ユーザーのプライバシーは保護
されたまま、捜査機関はほとんど瞬時に、傍聴対象の通
信鍵の回復が可能になり、リアルタイムでユーザー間通
信と同時に通信傍受が可能となる。

【００４５】本実施の形態では、第１署名者を捜査機関
とし、第２署名者を鍵生成サーバー（ＫＧＳ）とする。
ｍは、鍵生成サーバー（ＫＧＳ）が捜査機関へ鍵を渡せ
るよう伝えるメッセージとする。ｍは、タイムスタンプ
に使ってもよい。

【００４６】以下、２つのメッセージを持つNyberg-Rue
ppelメッセージ復元型署名を、巡回署名に拡張し、さら
に、確認者指定署名に変形する方法を説明する。確認者
Ｂの秘密鍵をｂとする。確認者Ｂの公開鍵ａは ａ＝ｇ^ｂ modｐ で与えられる。ａをｇ,ｐとともに公開する。

【００４７】署名者１をＳ1、署名者２をＳ2とする。Ｓ
1、Ｓ2の秘密鍵をｘ1,ｘ2とする。ｙを共通の公開鍵と
する。ｙは、 ｙ＝ａ^(ｘ1＋ｘ2) modｐ である。また、もうひとつ公開鍵 ｙ_y＝ｇ^(ｘ1＋ｘ2) modｐ を定義する。

【００４８】（１）Ｓ1は、乱数ｋ₁,Ｋを用意して ｒ₁＝ａ^(−ｋ₁) modｐ ｒ₂＝Ｍ×ｒ₁ を作成し、秘密鍵ｘ₂に対する公開鍵ｙ×ａ^ｘ₁を用い
て暗号化したメッセージ(Ｃ₁,Ｃ₂)を、ｒ₁とともにＳ2
に送る。メッセージ(Ｃ₁,Ｃ₂)は、 Ｃ₁＝ａ^Ｋ modｐ Ｃ₂＝Ｍ×(ｙ×ａ^(−ｘ1))^Ｋ modｐ である。

【００４９】（２）Ｓ2は、 Ｍ＝Ｃ₂／Ｃ₁^ｘ₂ modｐ として、Ｓ1から送られてきた暗号文を復号（確認）
し、取り出したＭとｒ₁と乱数ｋ₂から、 ｒ₁₂＝Ｍ×ｒ₁×ａ^(−ｋ₂) modｐ ｓ'₂＝ｋ₂−ｍ×ｘ₂×ｒ₁₂ mod(p-1) を作成し、それら（ｍ,ｒ₁₂,ｓ'₂）をＳ1に送る。ここ
で、ｍは第２のメッセージである。

【００５０】（３）Ｓ1は、入手したｒ₁₂,ｓ'₂から、 ｓ'₁＝ｋ₁−ｍ×ｘ₁×ｒ₁₂ mod(p-1) ｓ₁₂＝ｓ'₁＋ｓ'₂ mod(p-1) を作成し、 Ｍ＝ａ^(−ｓ₁₂)×ｙ_y^(ｒ'₁₂×ｍ×ｂ)×ｒ₁₂ modｐ として署名を確認して、（ｒ₁₂,ｓ₁₂,ｍ）を、検証を要
求する人物Ｂへ送る。ここで、 ｒ₁₂'＝ｒ₁₂ mod(ｐ−１) である。（ｒ₁₂,ｓ₁₂）と公開鍵（ｙ,ｇ,ｐ）とｍとに
より、秘密鍵ｂによってＢだけが署名を検証することが
できる。

【００５１】このｂの代わりに、署名者Ｓ1の秘密鍵ｘ1
を使って生成したａ（＝ｇ^ｘ1）とすると、署名者しか
検証できないので、証明者限定署名となる。

【００５２】上記のように、本発明の第２の実施の形態
では、キーエスクロー方式を、確認者指定の巡回署名を
利用する構成としたので、捜査機関のみが署名検証で
き、プライバシー保護機能を高めることができる。

【００５３】

【発明の効果】以上の説明から明らかなように、本発明
では、鍵生成サーバーと鍵配送サーバーとダミーユーザ
ー用のプロキシサーバーとを具備する暗号通信のキーエ
スクロー方式の鍵生成サーバーに、ユーザー間の暗号通
信用のセッション鍵を生成して提供する手段を備え、鍵
配送サーバーに、ユーザーからセッション鍵の配布要求
を受け付ける手段と、ユーザーおよび端末を認証する手
段と、正しいユーザーであることが確認されたことに応
じてセッション鍵をユーザーに配布する手段と、セッシ
ョン鍵をプロキシサーバーへ送る手段とを備え、プロキ
シサーバーに、セッション鍵を保管する手段と、裁判所
などの令状に基づいた捜査機関からのセッション鍵提出
要求を受け付ける手段と、セッション鍵提出要求に応じ
てセッション鍵を捜査機関に転送する手段とを備えた構
成としたので、鍵保管機関が不要となるため、蓄積され
ている鍵への攻撃の心配がない。プロキシサーバーは、
現在ユーザー間通信で使われている鍵だけを保管してお
り、従来の鍵保管機関に比べて、攻撃の危険性が減少す
るという効果が得られる。

【００５４】また、鍵の回復時には、捜査機関からの鍵
配送サーバーへのプロトコルが一切不要となり、プロキ
シサーバーから鍵を伝送してもらうと同時に、リアルタ
イム通信傍受が可能になるため、従来の鍵保管機関への
ブラインド復号が不要になり、通信プロトコルの大幅な
削減となる。

【００５５】また、捜査機関は、証明者限定署名を用い
ることにより、捜査機関のみが巡回署名を最終確認で
き、よりプライバシー保護機能を高めることができる。
ユーザーのプライバシーは保護されたまま、捜査機関は
ほとんど瞬時に、傍聴対象の通信鍵の回復が可能にな
り、リアルタイムでユーザー間通信と同時に通信傍受が
可能となるという効果が得られる。

【００５６】また、プロキシサーバーは、管理の行き届
いたサーバー側で管理することができ、正当なモバイル
端末は、どこからでも、正当なユーザーとしてプロキシ
サーバーから認証してもらい、鍵を取得できる。さら
に、鍵配布の準備フェーズでも、鍵保管機関へ鍵を配送
するプロトコルが不要になるので、その分安全性が増
す。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態におけるキーエスク
ロー方式の構成図、

【図２】本発明の第１の実施の形態におけるキーエスク
ロー方式の鍵共有プロトコルを示す図、

【図３】本発明の第１の実施の形態におけるキーエスク
ロー方式の捜査機関による鍵取得プロトコルを示す図、

【図４】従来のヤシャ（Yaksha）システムの構成図、

【図５】従来の改良されたヤシャ（Yaksha）システムの
構成図、

【図６】従来の供託鍵取得方法を示す図である。

【符号の説明】

１ 初期チケット要求 ２ 初期チケット送信 ３ サービスチケット要求 ４ サービスチケット送信 ５ サービス要求 ６ サービス提供 ７ 捜査令状提示 ８ 認証ＯＫ ９ 鍵要求 10 鍵送信 11 セッション鍵配布要求 12 暗号化セッション鍵配布 13 暗号化セッション鍵のブラインド復号要求 14 ブラインド復号セッション鍵配布 15 生成鍵送信 21 鍵引渡要求 22 捜査機関認証要求 23 捜査機関認証確認 24 ブラインド復号要求 25 ブラインド復号鍵送付 26 セッション鍵引渡 ＫＧＳ 鍵生成サーバー ＫＤＳ 鍵配送サーバー Ａ,Ｂ,Ｃ1,Ｃ2 ユーザー Ｓ サービス機関 Ｐ プロキシサーバー Ｍ 捜査機関Ｉのモバイル端末 ＹＡＳ 鍵生成機関 ＹＧＳ 鍵配送サーバー Ｔ 鍵保管機関 Ｉ 捜査機関

───────────────────────────────────────────────────── フロントページの続き (72)発明者 井上 徹 神奈川県横浜市港北区新横浜三丁目20番８ 号 株式会社高度移動通信セキュリティ技 術研究所内 Ｆターム(参考） 5J104 AA07 AA16 EA04 EA12 EA16 EA19 KA01 NA03 PA01 PA07 5K067 AA32 BB04 DD17 HH24 HH36

Claims (4)

【特許請求の範囲】
1. 【請求項１】 鍵生成サーバーと鍵配送サーバーとダミ
   ーユーザー用のプロキシサーバーとを具備する暗号通信
   のキーエスクロー方式において、前記鍵生成サーバー
   は、ユーザー間の暗号通信用のセッション鍵を生成して
   提供する手段を備え、前記鍵配送サーバーは、ユーザー
   から前記セッション鍵の配布要求を受け付ける手段と、
   ユーザーおよび端末を認証する手段と、正しいユーザー
   であることが確認されたことに応じて前記セッション鍵
   を前記ユーザーに配布する手段と、前記セッション鍵を
   前記プロキシサーバーへ送る手段とを備え、前記プロキ
   シサーバーは、前記セッション鍵を保管する手段と、裁
   判所などの令状に基づいた捜査機関からのセッション鍵
   提出要求を受け付ける手段と、前記セッション鍵提出要
   求に応じて前記セッション鍵を前記捜査機関に転送する
   手段とを備えたことを特徴とするキーエスクロー方式。
2. 【請求項２】 鍵生成サーバーと鍵配送サーバーとダミ
   ーユーザー用のプロキシサーバーとを具備する暗号通信
   のキーエスクロー方式において、前記鍵生成サーバー
   は、ユーザー間の暗号通信用のセッション鍵を生成する
   手段と、前記セッション鍵を前記鍵生成サーバーの公開
   鍵で暗号化した暗号化セッション鍵を前記鍵配送サーバ
   ーに提供する手段とを備え、前記鍵配送サーバーは、ユ
   ーザーから前記セッション鍵の配布要求を受け付ける手
   段と、ユーザーおよび端末を認証する手段と、正しいユ
   ーザーであることが確認されたことに応じて前記暗号化
   セッション鍵を前記ユーザーに配布する手段と、前記暗
   号化セッション鍵を前記プロキシサーバーへ送る手段と
   を備え、前記プロキシサーバーは、前記暗号化セッショ
   ン鍵を保管する手段と、裁判所などの令状に基づいた捜
   査機関からのセッション鍵提出要求を受け付ける手段
   と、前記セッション鍵提出要求に応じて前記暗号化セッ
   ション鍵を前記鍵生成サーバーにブラインド復号しても
   らい前記捜査機関の公開鍵で暗号化したセッション鍵を
   前記捜査機関に転送する手段とを備えたことを特徴とす
   るキーエスクロー方式。
3. 【請求項３】 前記プロキシサーバーに、確認者指定の
   一種である証明者限定署名がされた前記セッション鍵提
   出要求を前記鍵生成サーバーに送って前記捜査機関を認
   証してもらう手段と、前記捜査機関へ鍵転送するように
   指示するメッセージを前記鍵生成サーバーから受け取る
   手段とを設けたことを特徴とする請求項２記載のキーエ
   スクロー方式。
4. 【請求項４】 前記プロキシサーバーに、移動通信可能
   な捜査機関のモバイル端末からのアクセスを受け付ける
   手段を設けたことを特徴とする請求項１〜３のいずれか
   に記載のキーエスクロー方式。