JP2002519939A

JP2002519939A - 鍵共有攻撃防御方法

Info

Publication number: JP2002519939A
Application number: JP2000557579A
Authority: JP
Inventors: メネゼス，アルフレッド，ジェイ．; ブレイク−ウィルソン，シモン
Original assignee: サーティコムコーポレーション
Priority date: 1998-06-26
Filing date: 1999-06-28
Publication date: 2002-07-02
Anticipated expiration: 2019-06-28
Also published as: US6850620B2; EP1090478B1; EP1090478A1; CA2241705A1; JP4750274B2; WO2000001109A1; CA2241705C; DE69942875D1; US20010021256A1; AU4493599A

Abstract

(57)【要約】２つの通信者間で交換される、身元情報を含んだメッセージによるＳＴＳ(station-to-station)プロトコルにおいて、上記通信者間で共通の共有鍵を設定するための、鍵共有攻撃を防止するための鍵一致プロトコルを提供する。上記情報が、上記通信者のどちらか一方によって身元確認することができるものであり、これによって、共有鍵が設定される。

Description

【発明の詳細な説明】

この発明は、暗号化システムに関するものであり、特に、鍵共有攻撃を防止す
るために、鍵一致プロトコルの改良を行ったものである。

【０００１】〔背景技術〕鍵の設定は、複数の主体(entities)が共有の秘密鍵を確立するプロセスである
。

【０００２】上記鍵は、例えば機密性やデータの正当性などを目的として、暗号化を行う際
に用いられるものである。理想的には、設定された鍵は、両者が面と向かって設
定した鍵としての特性を正確に有しているべきものであり、鍵空間から偏りなく
ランダムに設定されるべきものであり、権利を有していない主体がその鍵につい
て何ら知ることができない（計算上の限界がある）ものであるべきである。

【０００３】広く言えば、鍵設定プロトコルとしては、鍵輸送(key transport) プロトコル
と、鍵一致(key agreement) プロトコルとの２種類の方法が存在する。鍵輸送プ
ロトコルは、第１の主体によって鍵が生成され、この鍵が第２の主体に安全に伝
達される方法である。鍵一致プロトコルは、各主体が情報を提供し合って、これ
らを繋げる(joint) ことによって共有の秘密鍵を設定する方法である。

【０００４】ここで、ＡおよびＢという２者の誠実な（例えば法律に則った）主体を想定す
る。両者は、正確にプロトコルのステップを実行するものとする。簡単に言えば
、主体Ａが、特別に身元が確認された第２の主体Ｂ以外のものが秘密鍵の値を知
ることができないことを確認できる場合には、鍵一致プロトコルは、暗示鍵認証
(implicit key authentication) （Ａに対するＢの認証）を供給することになる
。なお、暗示鍵認証は、Ａが、Ｂが鍵を実際に有しているかを確認できることが
必ずしも必要とされるものではないという特性を有している。関係する両方の主
体に対して暗示鍵認証を供給する鍵一致プロトコルは、認証鍵一致プロトコル（
ＡＫプロトコル）と呼ばれる。

【０００５】また、主体Ａが、第２の主体Ｂが実際に計算された一致鍵を有していることを
確認できる場合には、鍵一致プロトコルは、明示鍵確認(explicit key confirma
tion) （Ａに対するＢの確認）を供給する、と言われる。また、Ａが、Ｂが一致
鍵を計算することができることを確認できる場合には、鍵一致プロトコルは、暗
示鍵確認(implicit key authentication) を供給する、と言われる。暗示鍵確認
は、明示鍵確認よりもＡに対する保証が強くなるが（特に、前者が後者を含む場
合）、全ての実際の目的に対して、実際には保証を同等とすることができる。こ
れは、Ｂは、明示鍵確認プロセスの後に、即座にその鍵を削除することが可能で
あるからである。

【０００６】暗示鍵認証（Ａに対するＢの認証）と（暗示または明示）鍵確認（Ａに対する
Ｂの確認）との両方が供給されるならば、鍵設定プロトコルは明示鍵認証（Ａに
対するＢの認証）を供給すると言われる。関係する両方の主体に対して明示鍵認
証を供給する鍵一致プロトコルは、鍵確認を伴う認証鍵一致プロトコル（ＡＫＣ
プロトコル）と呼ばれる。

【０００７】ＡＫプロトコルまたはＡＫＣプロトコルに対する、未知の鍵共有攻撃（ＵＫＳ
攻撃(unknown key-share attack)）は、主体Ａが、Ａが認識していない（例えば
、Ａが、Ｂではない主体Ｅと鍵を共有していると信じている場合など）うちに、
主体Ｂに対して鍵の共有が強制されることによって行われる。なお、ＡＫプロト
コルまたはＡＫＣプロトコルがＵＫＳ攻撃に屈してしまうとしても、これらのプ
ロトコルの暗示鍵認証特性が否定されるものではない。これは、定義によれば、
暗示鍵認証の供給は、Ａがそのプロトコルによって誠実な主体（Ｅではない）と
関係する場合を前提としたものとなっているからである。

【０００８】 station-to-station（ＳＴＳ）プロトコルは、Diffie-Hellmanの方式を基本に
したＡＫＣプロトコルであり、（相互）暗示鍵認証と（相互）鍵確認との両方を
供給するプロトコルを意味している。また、このＳＴＳプロトコルは、さらに、
所望とする安全性の特性、例えば秘密事項の転送や鍵の妥協(key compromise)に
よるなりすまし(impersonation) などに対する安全性の特性を有するようになっ
ている。W. Diffie et al., “Authentication and authenticated key exchang
es”, Designs, Codes and Cryptography, 2 (1992) 107-125 には、ＳＴＳの２
つの主要な変形例が示されている。１つは、鍵確認が、ＭＡＣアルゴリズム（Ｓ
ＴＳ−ＭＡＣ）による一致鍵Ｋを用いることによって供給されるものであり、も
う１つは、Ｋが暗号化方式（ＳＴＳ−ＥＮＣ）によって用いられるものである。
ＳＴＳ−ＭＡＣは、多くの実際の場面において、ＳＴＳ−ＥＮＣよりも好ましい
ものとなっている。また、ＳＴＳ−ＥＮＣによって、鍵確認を供給するための暗
号化を行うと、信用度が低くなる。これは、暗号化方式の目的は、機密性を供給
するものであり、鍵の所有を検証するための認証機構ではないからである。ＳＴ
Ｓ−ＥＮＣが、ＳＴＳ−ＭＡＣよりも有利である点は、ＳＴＳ−ＥＮＣが、匿名
性の供給を容易にすることができることである。

【０００９】ＳＴＳに関連した多くのプロトコルが文献に出現している。しかしながら、こ
れらのプロトコルは、ＳＴＳの小さな変形例(minor variants)であるとみなすこ
とができないものであることに注意すべきである。

【００１０】明瞭にすることを目的として、最初に、以降の説明において用いる表記を次の
ように概説しておく。Ａ，Ｂ誠実な主体Ｅ攻撃者Ｓ_A 署名方式ＳによるＡの（個人）署名鍵ＰＡＳによるＡの公開照合鍵Ｓ_A（Ｍ）メッセージＭにおけるＡの署名Ｃｅｒｔ_A Ａの名前、公開署名鍵ＰＡ、およびその他情報を含んだ証明書Ｅ_K（Ｍ）鍵Ｋによる対称鍵暗号化方式を用いた、Ｍの暗号ＭＡＣ_K（Ｍ）鍵Ｋに基づくメッセージ認証コードＧ，α，ｎ Diffle-Hellmanパラメータ；αは、有限群Ｇの首位の位数(prime
order) ｎの要素ｒＡＡの、短命(ephemeral) Diffle-Hellman個人鍵；１≦ｒＡ≦ｎ−１Ｋ短命Diffle-Hellman共有秘密；Ｋ＝α^rArB ２つのＳＴＳ変形例を以下に示す。これらの記述において、Ａを開始者(initi
ator) と呼び、Ｂを応答者(responder) と呼ぶことにする。

【００１１】〔ＳＴＳ−ＭＡＣプロトコル〕以下に、ＳＴＳ−ＭＡＣプロトコルについて説明する。開始者Ａがランダムな
秘密の整数ｒＡ（１≦ｒＡ≦ｎ−１）を選択し、Ｂに対してメッセージ（１）を
送信する。（１）を受信すると、Ｂは、ランダムな秘密の整数ｒＢ（１≦ｒＢ≦
ｎ−１）を選択し、共有秘密Ｋ＝α^rArBを計算し、Ａに対してメッセージ（２）
を送信する。（２）を受信すると、Ａは、Ｂの署名鍵ＰＢの認証を検証するため
にＣｅｒｔ_Bを使用し、メッセージ（α^rB，α^rA）上の署名を検証し、共有秘密
Ｋを計算し、Ｓ_B（α^rB，α^rA）のＭＡＣを検証した後に、Ｂに対してメッセー
ジ（３）を送信する。（３）を受信すると、Ｂは、Ａの署名鍵ＰＡの認証を検証
するためにＣｅｒｔ_Aを使用し、メッセージ（α^rA，α^rB）上の署名を検証し、
共有秘密Ｋを計算し、Ｓ_B（α^rA，α^rB）のＭＡＣを検証する。もし、Ａまたは
Ｂにおいて行われる任意の段階のチェックや検証が失敗した場合には、その主体
がプロトコルの動作を終了させ、拒絶する。（１）Ａ→ＢＡ，α^rA （２）Ａ←ＢＣｅｒｔ_B，α^rB，Ｓ_B（α^rB，α^rA），ＭＡＣ_K（Ｓ_B（α ^rB ，α^rA））（３）Ａ→ＢＣｅｒｔ_A，Ｓ_A（α^rA，α^rB），ＭＡＣ_K（Ｓ_A（α^rA，α ^rB ））〔ＳＴＳ−ＥＮＣプロトコル〕以下に、ＳＴＳ−ＥＮＣプロトコルについて説明する。簡潔に説明するために
、ＡおよびＢによって行われるチェックに関しては、以下では省略する。（１）Ａ→ＢＡ，α^rA （２）Ａ←ＢＣｅｒｔ_B，α^rB，Ｅ_K（Ｓ_B（α^rB，α^rA））（３）Ａ→ＢＣｅｒｔ_A，Ｅ_K（Ｓ_A（α^rA，α^rB））鍵一致プロトコルに対する未知の鍵共有（ＵＫＳ）攻撃について、より明確に
理解するために、ＵＫＳ攻撃によって引き起こされる損害の結果に関する仮想的
なシナリオについてここで考えてみる。Ａが銀行の支店であり、Ｂが口座の所有
者であると仮定する。銀行の本社によって、口座所有者の口座情報に関する証明
書が発行される。電子預金のプロトコルが、ＡＫＣプロトコルによって、銀行の
支店に対して鍵の交換を行うためのものであると仮定する。このプロトコルを実
行した結果、証明書内の口座番号に対して暗号化された金額が預金される。ここ
で、暗号化された預金額のメッセージにおいて、さらなる認証が行われなかった
場合を仮定する（例えば、帯域幅を節約するためなど）。ここで、上記したＵＫ
Ｓ攻撃がうまく行われた場合には、Ｂの口座に代えて、Ｅの口座が作られること
になる。

【００１２】ＡＫＣプロトコルに対するＵＫＳ攻撃は、ＡＫプロトコル（鍵確認を提供しな
い）に対するＵＫＳ攻撃よりも重大な結果を招くことに注意することが重要であ
る。

【００１３】ＡＫプロトコルにおいて一致された鍵は、鍵確認なしに用いられることはない
。実際、ある基準では、ＡＫプロトコルにおいて一致された鍵の鍵確認を命令す
る保守的な方法が採用されている。適当な鍵確認が続いて供給される場合には、
ＵＫＳ攻撃の企みは検出されることになる。この理由により、上記の仮想的なシ
ナリオ（特に、鍵一致プロトコルが終了した後に行われるさらなる認証がないと
仮定した場合）は、ＡＫＣプロトコルが用いられた場合には（鍵確認がすでに供
給されているので）現実的なものとなる一方、ＡＫプロトコルが用いられた場合
には（鍵確認がまだ供給されていないので）非現実的なものとなる。

【００１４】応答者に対するＵＫＳ攻撃において、攻撃者Ｅは、例えばＰＥ＝ＰＡというよ
うに、Ａの公開鍵ＰＡを自分自身のものとして登録する。ＡがＢにメッセージ（
１）を送信したとき、Ｅはそれを横取りし、Ａの身元情報をＥのものとして置き
換える。そして、Ｅは、ＢからＡに対するメッセージ（２）を変化させないで送
る。最後に、Ｅはメッセージ（３）を横取りし、Ｃｅｒｔ_AをＣｅｒｔ_Eに置き
換える。ＰＡ＝ＰＥとなっているので、Ｓ_A（α^rA，α^rB）＝ＳＥ（α^rA，α^rB ）となる。よって、Ｂは、鍵Ｋを受領し、Ｋは実際にはＡと共有されているにも
拘らず、Ｅと共有されていると信じることになる。なお、ＥはＫの値を知ること
がないことになっている。この攻撃について以下に説明する。Ａ！→Ｂという符
号は、Ａが、Ｂに対してメッセージを送ることを意図しているにも拘らず、攻撃
者によって横取りされて、Ｂに送信されていない状態を示している。（１）Ａ！→ＢＡ，α^rA （１’）Ｅ→ＢＥ，α^rA （２）Ｅ←ＢＣｅｒｔ_B，α^rB，Ｓ_B（α^rB，α^rA），ＭＡＣ_K（Ｓ_B（α ^rB ，α^rA））（２’）Ａ←ＥＣｅｒｔ_B，α^rB，Ｓ_B（α^rB，α^rA），ＭＡＣ_K（Ｓ_B（
α^rB，α^rA））（３）Ａ！→ＢＣｅｒｔ_A，Ｓ_A（α^rB，α^rA），ＭＡＣ_K（Ｓ_A（α^rB，
α^rA））（３’）Ｅ→ＢＣｅｒｔ_A，Ｓ_A（α^rB，α^rA），ＭＡＣ_K（Ｓ_A（α^rB，
α^rA））同様に、主体Ｅは、Ｂの公開鍵ＰＢを自分自身のものとして登録することによ
って、開始者Ａに対してＵＫＳ攻撃を行うことができる。この攻撃について以下
に説明する。（１）Ａ→ＥＡ，α^rA （１’）Ｅ→ＢＥ，α^rA （２）Ａ←！ＢＣｅｒｔ_B，α^rB，Ｓ_B（α^rB，α^rA），ＭＡＣ_K（Ｓ_B（
α^rB，α^rA））（２’）Ａ←ＥＣｅｒｔ_E，α^rB，Ｓ_B（α^rB，α^rA），ＭＡＣ_K（Ｓ_B（
α^rB，α^rA））（３）Ａ→ＥＣｅｒｔ_A，Ｓ_A（α^rB，α^rA），ＭＡＣ_K（Ｓ_A（α^rB，α ^rA ））（３’）Ｅ→ＢＣｅｒｔ_A，Ｓ_A（α^rB，α^rA），ＭＡＣ_K（Ｓ_A（α^rB，
α^rA））新しいオンラインＵＫＳ攻撃について説明するにあたって、次のような仮定を
設けることにする。第１に、ＳＴＳにおいて用いられる署名方式Ｓが、次のよう
な２つの署名鍵を選択する特性を有していると仮定する。ＰＡ（Ａの公開鍵）、
および、メッセージＭにおけるＡの署名Ｓ_Aが知られているとする。この場合、
攻撃者は、Ｓ_AがメッセージＭにおけるＥの署名となっている鍵の組（ＰＥ；Ｓ
Ｅ）を選択することが可能となっている。

【００１５】第２に、Ｅは、ＳＴＳプロトコルが実行されている際に証明された公開鍵を得
ることができる。この仮定は、例えば、メッセージの移動における遅延が通常で
ある場合や、ＣＡがオンラインとなっている場合などにおいて、ありがちなこと
である。

【００１６】この応答者に対する新しいＵＫＳ攻撃は、前記した、応答者に対する公開鍵代
理攻撃と同様のものとなっている。Ａがメッセージ（３）を送った後に、Ｅはそ
れを横取りし、ＳＥ（α^rA，α^rB）＝Ｓ_A（α^rA，α^rB）というように、用いら
れている署名方式における鍵の組（ＰＥ；ＳＥ）を選択する。その後、ＥはＰＥ
に対する証明書Ｃｅｒｔ_Eを入手し、メッセージ（３’）をＢに送信する。

【００１７】この開始者に対する新しいＵＫＳ攻撃は、前記した、開始者に対する公開鍵代
理攻撃と同様のものとなっている。Ｂがメッセージ（２）を送った後に、Ｅはそ
れを横取りし、ＳＥ（α^rB，α^rA）＝Ｓ_B（α^rB，α^rA）というように、用いら
れている署名方式における鍵の組（ＰＥ；ＳＥ）を選択する。その後、ＥはＰＥ
に対する証明書Ｃｅｒｔ_Eを入手し、メッセージ（２’）をＢに送信する。

【００１８】オンラインＵＫＳ攻撃では、攻撃者は、選択されている公開鍵ＰＥに相当する
個人鍵ＳＥを知っている。よって、公開鍵代理攻撃の場合とは異なり、証明プロ
セスにおいて、主体が、公開鍵に相当する個人鍵を所有しているという証明書発
行の権利を証明することを必要とすることによっては、このオンライン攻撃を防
ぐことはできない。

【００１９】出願人は、ＳＴＳプロトコルが安全に対して欠如している特性を有しているこ
とを発見した。それは、未知の鍵共有攻撃を最小にするために、ＳＴＳプロトコ
ルが有していることが望まれるものである。

【００２０】〔発明の開示〕本発明の総体的な特徴としては、オンラインＵＫＳ攻撃を防ぐために、署名さ
れたメッセージにおけるフローナンバー(flow number) とともに、送信者と受信
者との身元情報を含んだステップが、鍵一致プロトコルにおいて備えられている
ことである。

【００２１】本発明の１つの特徴としては、応答者に対するオンラインＵＫＳ攻撃を最小に
するために、第１のフロー(first flow)において、証明書Ｃｅｒｔ_Aを送る主体
Ａのうちの一者が、ＳＴＳ−ＭＡＣプロトコルにおいて備えられていることであ
る。

【００２２】本発明の他の特徴としては、明示ではなく、暗示鍵確認のステップが備えられ
ていることである。

【００２３】本発明のさらに他の特徴としては、署名されたメッセージではなく、鍵導出関
数において主体の身元情報が含まれていることである。

【００２４】本発明のさらに他の特徴としては、ＳＴＳ−ＥＮＣおよびＳＴＳ−ＭＡＣプロ
トコルによるアプリケーションが備えられていることである。

【００２５】本発明の好適な実施形態に係る上記の特徴およびその他の特徴は、添付図面を
参照した次の詳細な説明で明白になるであろう。

【００２６】〔発明の実施における好適な形態〕図１に示すように、電子通信システム１０は、通信経路１６によって接続され
ている送信者１２および受信者１４で示されているＡおよびＢの２つの通信者を
有している。通信者１２および１４のそれぞれは、情報処理および経路１６を通
しての情報の移動の準備を行う暗号化ユニット１８および２０を有している。第
３の主体２２は攻撃者として説明される。

【００２７】鍵設定／一致プロトコルにおいて、本発明の実施形態では、主体同志の間で、
次に示すようなメッセージの流れが行われる。項目１（１）Ａ→ＥＡ，α^rA （２）Ａ←ＢＣｅｒｔ_B，α^rB，Ｓ_B（２，Ｂ，Ａ，α^rB，α^rA），ＭＡＣ _K （Ｓ_B（２，Ｂ，Ａ，α^rB，α^rA））（３）Ａ→ＢＣｅｒｔ_A，Ｓ_A（３，Ａ，Ｂ，α^rA，α^rB），ＭＡＣ_K（３
，Ａ，Ｂ，Ｓ_A（α^rA，α^rB））従来の技術で説明した、元のＳＴＳ−ＭＡＣプロトコル、および上記のように
修正したプロトコルでは、一致鍵Ｋが、明示鍵確認を提供することを目的として
、ＭＡＣ鍵として用いられている。受動的な攻撃者(passive adversary) は、Ｋ
に関する何らかの情報、すなわち、Ｋに基づいて知らされたメッセージのＭＡＣ
を有している。この攻撃者は、これを用いることによって、Ｋと、鍵空間１から
ランダムに偏りなく選択された鍵とを区別することが可能となる。ここでの鍵空
間は、Ｋ＝｛αⁱ：１≦ｉ≦ｎ−１｝で示される。また、この方法において、明
示鍵確認を供給することによる他の欠点としては、一致鍵Ｋが、ＭＡＣアルゴリ
ズムとは異なる原始的な暗号化方式によって用いられる可能性があることである
。これによって、鍵が１つの以上の目的で使われるべきではないという暗号化に
おける基本原理が犯されることになる。

【００２８】明示ではなく、暗示鍵確認が達成される２つの方法としては、次のようなもの
がある。（ｉ）同じ共有秘密からＫ，Ｋ’＝Ｈ（α^rArB）（Ｈは、暗号化ハッシュ関数）
の２つの鍵を取り出す。（ｉｉ）Ｋ’＝Ｈ₁（α^rArB），Ｋ＝Ｈ₂（α^rArB）（Ｈ₁，Ｈ₂は、独立した
ランダムオラクル(oracles) である）の２つの鍵を取り出す。

【００２９】Ｋは、一致セッション鍵として用いられる一方、Ｋ’は、そのセッションにお
けるＭＡＣ鍵として用いられる。この改訂されたプロトコルについて以下に説明
する。項目２（１）Ａ→ＥＡ，α^rA （２）Ａ←ＢＣｅｒｔ_B，α^rB，Ｓ_B（２，Ｂ，Ａ，α^rB，α^rA），ＭＡＣ _K' （Ｓ_B（２，Ｂ，Ａ，α^rB，α^rA））（３）Ａ→ＢＣｅｒｔ_A，Ｓ_A（３，Ａ，Ｂ，α^rA，α^rB），ＭＡＣ_K'（３
，Ａ，Ｂ，Ｓ_A（α^rA，α^rB））署名されたメッセージに主体の身元情報が含まれる代わりに、共有秘密α^rArB から共有鍵を導出することを目的として、鍵導出関数の中に、それらが含まれる
ことになる。項目１におけるプロトコルでは、共有鍵はＫ＝Ｈ（α^rArB，Ａ，Ｂ
）となるが、項目２におけるプロトコルでは、共有鍵は、Ｋ，Ｋ’＝Ｈ（α^rArB ，Ａ，Ｂ）、および（ｉｉ）Ｋ’＝Ｈ₁（α^rArB，Ａ，Ｂ），Ｋ＝Ｈ₂（α^rArB ，Ａ，Ｂ）となる。

【００３０】しかしながら、鍵導出関数は、暗号化の世界において良く研究されていないの
で、鍵導出関数において所望とされる特性がまだ特定されていない。よって、項
目１および２において示したプロトコルは、鍵導出関数に身元情報が含まれる変
形例においても好ましく用いることができる。

【００３１】項目２によるプロトコルは、暗示鍵確認を提供している。ほかの主体が実際に
共有鍵Ｋを計算したという保証がない場合には、それぞれの主体は、他の主体が
共有秘密α^rArBを計算したという保証を得ることができる。ＭＡＣがフローの中
に含まれていない場合には、暗示鍵確認がさらに（いくらか低い程度で）供給さ
れることになる。この改訂されたプロトコルを以下に示す。項目３（１）Ａ→ＢＡ，α^rA （２）Ａ←ＢＣｅｒｔ_B，α^rB，Ｓ_B（２，Ｂ，Ａ，α^rB，α^rA）（３）Ａ→ＢＣｅｒｔ_A，Ｓ_A（３，Ａ，Ｂ，α^rA，α^rB）オンラインＵＫＳ攻撃は、ＳＴＳ−ＥＮＣに対しては実行することができない
。これは、署名Ｓ_A（α^rA，α^rB）および署名Ｓ_B（α^rB，α^rA）が、攻撃者に
知られていないからである。しかしながら、予防策として、フローナンバーおよ
び送信者と意図されている受信者との身元情報が、署名されたメッセージに含ま
れるようにするか、上記の鍵導出関数に身元情報が含まれるようにするというよ
うな修正を行うことが好ましい。

【００３２】発明の詳細な説明の項においてなされた具体的な実施態様または実施例は、あ
くまでも、本発明の技術内容を明らかにするものであって、そのような具体例に
のみ限定して狭義に解釈されるべきものではなく、本発明の精神と次に記載する
特許請求事項との範囲内で、いろいろと変更して実施することができるものであ
る。例えば、ＳＴＳ−ＭＡＣに関して複数の項目を記載したが、これらは、ＳＴ
Ｓ−ＥＮＣに関しても同様に定義されうるものである。さらに、これらは、例え
ば楕円曲線群のような他の群に適用することも可能である。

【図面の簡単な説明】

【図１】データ通信システムの概要を示すブロック図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＷＦターム(参考） 5J104 AA16 AA41 EA04 EA26 JA03 NA02

Claims

【特許請求の範囲】

【請求項１】通信者間で身元の情報を含んだメッセージを交換し、上記情報が、上記通信者
のどちらか一方によって身元確認することができるものであり、これによって、
共有鍵が設定されるステップを有している、２つの通信者間での共通の共有鍵の
設定方法。
【請求項２】署名されるメッセージの中に、フローナンバーを含んだ送信者および受信者の
身元が供給されるステップを含んでいる、請求項１記載の方法。
【請求項３】上記メッセージの交換のステップが、ＳＴＳ−ＭＡＣプロトコルに基づいてい
る、請求項１記載の方法。
【請求項４】受信者に対するオンラインＵＫＳ攻撃を最小にすることを目的として、第１の
フローにおいて、送り手の証明書が送られるステップを有している、請求項３記
載の方法。
【請求項５】署名されたメッセージではなく、鍵導出関数に、通信者の身元が供給されるス
テップを有している、請求項１記載の方法。
【請求項６】上記メッセージの交換が、ＳＴＳ−ＥＮＣプロトコルに基づいている、請求項
１記載の方法。
【請求項７】上記メッセージの交換が、ＳＴＳ−ＭＡＣプロトコルに基づいている、請求項
１記載の方法。