JP2003087232A - 複製端末発見方法 - Google Patents

Abstract

(57)【要約】 【課題】 センタと複数のサービス機関と複数台の端末
からなる通信システムにおいて、複製端末を自動的に発
見して排除する。 【解決手段】 複数のサービス機関と複数台の端末は、
個々のセッション鍵で暗号通信する通信網により接続さ
れている。サービス機関は、端末に新規セッション鍵を
配布する際に、チャレンジ情報を送る。端末は、端末ID
と端末乱数を暗号化したレスポンス情報を返す。サービ
ス機関は、端末乱数から乱数情報を生成して、センタに
複製端末の検査を依頼する。センタは、同一端末IDで乱
数情報の異なる端末の有無を検査して、サービス機関に
調査結果を通知する。サービス機関は、複製端末が発見
された端末に対してセッション鍵を配布しない。端末乱
数は複製困難であり、複製端末は同じ乱数を発生できな
いので、複製端末の存在を検出できる。また、センタや
他のサービス機関はセッション鍵を知りえない。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複製端末発見方法
に関し、特に、センタと複数のサービス機関と複数の端
末からなる通信システムにおける複製端末の存在を自動
的に発見する複製端末発見方法に関する。

【０００２】

【従来の技術】センタと複数の端末からなる通信システ
ムにおいて、情報の秘匿や端末の認証を行なう場合、セ
ンタは、端末の秘密鍵で作成された認証情報を検査して
端末認証を行ない、セッション鍵で端末に暗号化通信を
行なう。端末は、個別の秘密鍵を用いてセッション鍵を
生成して、センタからの暗号通信を復号する。秘密鍵を
安全に端末に格納するために、ICカードなどの耐タンパ
ーデバイスに、秘密鍵を格納する。しかしながら、ICカ
ードの安全性は充分ではないので、複製端末を事前に検
出する方法が、文献１［松下達之,渡邉祐治,古原和邦,
今井秀樹,“ITSに適したコンテンツ配信における不正加
入者の事前検出法,”2000年暗号と情報セキュリティシ
ンポジウム, SCIS2000-C09, 2000.］で提案されてい
る。

【０００３】しかし、この事前検出法には、システムの
構成条件や動作手順が不十分で、不正端末を自動的に効
率的に完全に排除することは困難であるという問題があ
る。例えば、同報通信網とElGamal暗号と秘密分散法を
前提としており、前提条件が多くて汎用性が低いこと。
秘密分散法を利用して秘密鍵を作成すると、結託しきい
値が存在することになり、結託に対して安全でないこ
と。センタが信頼できるものであっても、通信量と演算
量が減らないこと。同一ラウンドにおいて、１端末あた
り複数の秘密情報を扱うことができないこと。未受信対
策が無いこと。乱数の条件が不明で安全性が不十分であ
ること。データベースが大きいことなど。

【０００４】そこで、本発明者らは、特願2001-011089
号において、センタと複数の端末からなる通信システム
における複製端末の存在を自動的に発見する複製端末発
見方法を提案した。センタと複数台の端末からなる通信
システムにおいて、図８に示す手順で、複製端末を自動
的に発見して排除する方法である。

【０００５】センタＣと複数台の端末Ｔ_iは、個々のセ
ッション鍵で暗号通信する通信網Ｎにより接続されてい
る。センタＣは、端末Ｔ_iに新規セッション鍵を配布す
る際に、フェーズ＃１において、チャレンジ情報CHAを
送る。端末Ｔ_iは、端末IDと端末乱数Ｒ_i ^bをセンタ公開
鍵で暗号化したレスポンス情報RESをセンタＣに送る。
センタＣは、通信ログを検索して、同一端末IDで端末乱
数の異なる端末の有無を検査する。該当する端末があれ
ば、複製端末が存在すると判断して、セッション鍵を配
布しない。オリジナル端末で発生した乱数は複製困難で
あり、複製端末は同じ乱数を発生できないので、複製端
末の存在を検出できる。複製端末が存在しなければ、フ
ェーズ＃２において、センタＣは、セッション鍵SK_i ^bを
共通鍵CK_i ^bで暗号化して、端末Ｔ_iに送る。

【０００６】

【発明が解決しようとする課題】しかし、上記の複製端
末発見方法では、サービス機関の機能をセンタが備えて
いる構成を前提としており、センタとサービス機関を分
離していなかった。そのため、携帯電話や衛星放送やイ
ンターネットに見られるような、複数のサービス提供者
が、通信事業者に課金や鍵管理を委託する形態に適用す
ることが難しい場合があった。また、単純にセンタのサ
ービス提供機能をサービス機関に分離した場合、すなわ
ち、複製端末の発見のために、端末からセンタに端末乱
数を送信させ、サービス機関が、センタに端末乱数を送
信して、複製端末の有無を確認してから、秘密情報を端
末に送信する形態では、次のような問題点がある。

【０００７】第１の問題点は、センタがサービス機関の
秘密情報を得ることができるという点である。これは、
秘密情報を暗号化する共通鍵を生成するための端末乱数
をセンタも得られるためである。第２の問題点は、サー
ビス機関が他のサービス提供者の秘密情報を得ることが
できるという点である。これは、端末が複数のサービス
機関を利用する場合は、同一ラウンドにおいて端末は利
用する全てのサービス機関に同じ端末乱数を送信しなけ
ればならないためである。サービス機関ごとに異なる端
末乱数を用意した場合は、複製端末を発見できる確率が
大幅に低下する。

【０００８】本発明は、上記従来の問題を解決して、セ
ンタとサービス機関を分離した構成において、複製端末
を効率的に発見して排除することを目的とする。

【０００９】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、センタＣとｍ局（ｍは自然数）のサ
ービス機関Ｐ_jとｎ台（ｎは自然数）の端末Ｔ_i（ｉは端
末ID）とを含む通信システムの複製端末発見方法を、端
末Ｔ_iは、ラウンドｂにおける端末乱数Ｒ_i ^b（上付きｂ
はラウンド番号を示す添字）および一時乱数Ｖ_ijを生成
し、端末乱数Ｒ _i ^bおよび一時乱数Ｖ_ijに対する端末認証
文Ｄ_i ^bを端末秘密鍵Ｓ_iにより生成し、端末認証文Ｄ_i ^b
と端末乱数Ｒ_i ^bとをサービス機関公開鍵Ｙp_jで暗号化し
て端末暗号文Ｅ_i ^bとしてサービス機関Ｐ_jに送信し、サ
ービス機関Ｐ_jは、サービス機関秘密鍵Ｓp_jで端末暗号
文Ｅ_i ^bを復号して端末認証文Ｄ_i ^bと端末乱数Ｒ_i ^bと一時
乱数Ｖ_ijとを得て、端末公開鍵Ｙ_i（サービス機関Ｐ_jが
端末秘密鍵を管理している場合は端末秘密鍵Ｓ_i）で端
末認証文Ｄ_i ^bを検証し、検証結果が正しければ一方向性
関数Ｈにより端末乱数Ｒ_i ^bを変換した乱数情報Ｈ(Ｒ_i ^b)
を生成し、乱数情報Ｈ(Ｒ_i ^b)と端末Ｔ_iの端末IDに対す
るサービス機関認証文Ｄ_j ^bをサービス機関秘密鍵Ｓp_jに
より生成し、乱数情報Ｈ(Ｒ_i ^b)と端末IDと共にセンタＣ
に送信し、センタＣは、サービス機関公開鍵Ｙp_j（セン
タＣがサービス機関秘密鍵を管理している場合はサービ
ス機関秘密鍵Ｓp_j）でサービス機関認証文Ｄp_j ^bを検証
し、検証結果が正しければ、ラウンドごとに、乱数情報
Ｈ(Ｒ_i ^b)と端末Ｔ_iの端末IDとを対応させて登録したデ
ータベースを検索して、同一端末IDでかつ異なる乱数情
報が登録されている重複登録の有無を検査し、重複登録
が無い端末Ｔ_iの乱数情報Ｈ(Ｒ_i ^b)と端末IDをデータベ
ースに登録し、重複登録の有無を記載した調査結果Ｆ_i ^b
に対するセンタ認証文Ｄ_C ^bをセンタ秘密鍵Ｓcにより生
成し、調査結果Ｆ_i ^bと共にサービス機関Ｐ_jに送信し、
サービス機関Ｐ_jは、センタ公開鍵Ｙc（サービス機関Ｐ
_jがセンタ秘密鍵を管理している場合はセンタ秘密鍵Ｓ
c）でセンタ認証文Ｄc^bを検証し、正しければ調査結果
Ｆ_i ^bを参照し、重複登録が無ければ一時乱数Ｖ_ijと端末
乱数Ｒ_i ^bに依存して共通鍵CK_i ^bを生成し、共通鍵CK_i ^bに
より秘密情報Ｋ_i ^bを暗号化してサービス機関暗号文PC_i ^b
として端末Ｔ_iに送信し、端末Ｔ_iは、サービス機関暗号
文PC_i ^bを受信し、一時乱数Ｖ_ijと端末乱数Ｒ_i ^bから共通
鍵CK_i ^bを生成し、サービス機関暗号文PC_i ^bを共通鍵CK_i ^b
により復号して秘密情報Ｋ _i ^bを得る構成とした。

【００１０】このように構成したことにより、センタ
は、端末乱数そのものではなく、一方向性関数により置
換された乱数情報しか入手できないため、ログにおける
重複検証はできても、秘密情報Ｋ_i ^bを復号することがで
きない。サービス機関と端末が共有する共通鍵CK_i ^bが、
端末乱数Ｒ_i ^b以外にサービス機関と端末しかわからない
一時乱数Ｖ_ijに依存しているため、他のサービス機関は
秘密情報Ｋ_i ^bを復号することができない。

【００１１】また、認証文生成手段および認証文検証手
段を、ディジタル署名方式とした。このような構成にし
たことにより、センタまたはサービス機関は、各サービ
ス機関または各端末の秘密鍵を直接管理する必要がな
く、管理が容易となり、かつセンタまたはサービス機関
の不正によるサービス機関または端末の陥れを防ぐこと
ができる。

【００１２】また、認証文生成手段および認証文検証手
段を、鍵付きハッシュまたは共通鍵暗号を用いたメッセ
ージ認証符号（MAC）方式とした。このような構成にし
たことにより、認証文の検証を高速に行うことができ
る。センタまたはサービス機関が信頼できるという前提
があれば、認証にMACを利用できるので、通信量と演算
量を最小限に抑えられる。

【００１３】また、サービス機関側共通鍵生成手段を、
前記端末乱数Ｒ_i ^bおよび前記一時乱数Ｖ_ijを入力とする
前記一方向性関数Ｈの出力を共通鍵CK_i ^bとする手段とし
た。このような構成にしたことにより、安全に共通鍵を
生成できる。

【００１４】また、サービス機関Ｐ_jは、一時乱数Ｖ_ij
を一方向性関数Ｈにより置換した一時乱数情報Ｈ(Ｖ_ij)
を生成する一時乱数情報手段と、乱数情報Ｈ(Ｒ_i ^b)と一
時乱数情報Ｈ(Ｖ_ij)に対する端末認証文Ｄ_i ^bを端末秘密
鍵Ｓ_iにより生成する認証文生成手段と、乱数情報Ｈ(Ｒ
_i ^b)と一時乱数情報Ｈ(Ｖ_ij)と端末認証文Ｄ_i ^bをセンタ
Ｃに送信するサービス機関側送信手段と、センタＣから
受信したセンタ認証文Ｄc^bを検証する認証文検証手段
と、検証結果が正しければセンタＣが送信した調査結果
Ｆ_i ^bを参照し、重複登録が無く、かつ一時乱数の変更が
確認されていれば一時乱数Ｖ_ijと端末乱数Ｒ_i ^bに依存し
て共通鍵CK_i ^bを生成するサービス機関側共通鍵生成手段
とを備え、センタＣは、サービス機関認証文Ｄp_j ^bをサ
ービス機関公開鍵Ｙp_j（センタがサービス機関秘密鍵を
管理している場合はサービス機関秘密鍵Ｓp_j）で検証す
る認証文検証手段と、検証結果が正しい場合にラウンド
ごとに乱数情報Ｈ(Ｒ_i ^b)と一時乱数情報Ｈ(Ｖ_ij)と端末
Ｔ_iの端末IDとを対応させて登録するデータベース手段
と、データベースを検索して同一端末IDでかつ異なる端
末乱数情報が登録されている重複登録を検出する検出手
段と、同一端末IDでかつ同じ一時乱数情報が登録されて
いる一時乱数情報の不変更を確認する確認手段と、重複
登録の有無と一時乱数情報変更の有無を記載した調査結
果Ｆ_i ^bに対するセンタ認証文Ｄ_C ^bをセンタ秘密鍵Ｓcに
より生成する認証文生成手段と、調査結果Ｆ_i ^bとセンタ
認証文Ｄ_C ^bをサービス機関Ｐ_jに送信するセンタ側送信
手段とを備えた構成とした。このような構成にしたこと
により、端末が一時乱数の生成を行わないで前回と同じ
一時乱数を送信したことによるシステムの安全性低下を
防ぐことができる。

【００１５】また、公開鍵暗号化手段および公開鍵暗号
復号手段の代わりに、乱数を用いた鍵共有法（例えばDi
ffie-Hellman鍵共有法）を用いて共有した鍵を乱数とし
て用いる構成とした。このような構成にしたことによ
り、端末とサービス機関が平等に乱数を生成することが
できる。

【００１６】また、サービス機関暗号文にMACを含ませ
て改ざんや成りすましを検出する構成とした。このよう
な構成にしたことにより、改ざんや成りすましを高速に
検出できる。

【００１７】また、サービス機関暗号文にディジタル署
名を含ませて改ざんや成りすましを検出する構成とし
た。このような構成にしたことにより、サービス機関は
各端末の秘密鍵を管理することなく改ざんや成りすまし
を検出できる。

【００１８】また、ディジタル署名およびメッセージ認
証符号（MAC）にタイムスタンプまたは続き番号を含ま
せる構成とした。このような構成にしたことにより、リ
プレイ攻撃を検出することができる。

【００１９】また、秘密情報を、電子チケットまたは電
子マネーとする構成とした。このような構成にしたこと
により、決済関係のアプリケーションに対応できる。

【００２０】また、秘密情報を、サービス機関と端末の
セッション鍵とする構成とした。このような構成にした
ことにより、サービス機関と各端末の間において一時的
な暗号通信や認証に利用できるセッション鍵を共有でき
る。

【００２１】また、秘密情報を、サービス機関と複数の
端末で共有されるグループ鍵とする構成とした。このよ
うな構成にしたことにより、サービス機関と各端末の暗
号化同報通信に利用できるグループ鍵を共有できる。

【００２２】また、サービス機関の送信情報としてサー
ビス機関乱数を追加し、サービス機関乱数に対して端末
が認証文を生成し、サービス機関は認証文を検証するこ
とにより、認証方式がチャレンジ-レスポンス認証とな
り安全性を向上できる。

【００２３】また、１ラウンドにおいて秘密情報が複数
種類存在する場合、端末が端末暗号文に所望の秘密情報
の種類を指定し、かつ同一ラウンドにおいては常に同じ
端末乱数を端末暗号文に使用し、サービス機関は、同一
ラウンドにおいて同一の端末乱数が使用された端末暗号
文に対して指定された種類の秘密情報を端末乱数より生
成した共通鍵により暗号化して配送する構成とした。こ
のような構成にしたことにより、秘密情報が複数種類存
在しても複製端末を発見することができる。

【００２４】また、端末がサービス機関からの通信を受
信できない場合、サービス機関に対して現在のラウンド
番号を問い合わせる問い合わせ手段を端末に備え、問い
合わせた結果、端末とサービス機関のラウンド番号が異
なる場合に、端末がサービス機関に再送を要求する再送
要求手段とを備えた構成とした。このような構成にした
ことにより、端末がサービス機関からの情報を受信でき
ない場合にも、複製端末の発見および秘密情報の配布を
再開できる。

【００２５】また、サービス機関乱数を、複数の端末に
共通のサービス機関乱数とした。このような構成にした
ことにより、端末総数だけ必要であったサービス機関乱
数が１つで済む。

【００２６】また、すべての公開鍵と秘密鍵を生成し、
安全に各エンティティに配布する信頼できるシステム管
理手段を用意する構成とした。このような構成にするこ
とにより、エンティティの鍵の生成と配布を一元化でき
る。

【００２７】また、端末乱数生成手段を、同じ乱数を出
力する乱数生成器を他に作成できず、かつ偶然他の乱数
生成器の出力と同じ出力となる確率が無視できる出力長
を持つという条件を満たすものとした。このような構成
にしたことにより、一定の攻撃に対して充分安全を確保
できる。

【００２８】また、グループ鍵の配布の途中において、
複製端末が発見された場合、グループ鍵を未配布の端末
の端末公開鍵（サービス機関が端末秘密鍵を管理してい
る場合は端末秘密鍵）によりグループ鍵を暗号化して未
配布の端末に配布する手段を備えた。このような構成に
したことにより、早期にグループ通信を再開することが
できる。ただし、端末数に依存した通信量が必要となる
ので、端末数が小さい場合にのみ有効である。

【００２９】また、端末が複数のサービス機関を利用す
る場合、同一ラウンドにおいては各サービス機関で同一
の端末乱数を使用する構成とした。このような構成にし
たことにより、複製端末を発見する確率を向上すること
ができる。

【００３０】また、端末Ｔ_iは、ラウンドｂにおける端
末乱数Ｒ_i ^bを生成する端末乱数生成手段と、一時乱数Ｖ
_ijを生成する一時乱数生成手段と、乱数を乱数情報Ｈ
(Ｒ_i ^b)に変換する一方向性関数Ｈ手段と、端末乱数Ｒ_i ^b
と一時乱数Ｖ_ijをサービス機関公開鍵Ｙp_jで暗号化して
端末暗号文Ｅ_i ^bを生成する公開鍵暗号化手段と、端末暗
号文Ｅ_i ^bおよび乱数情報Ｈ(Ｒ_i ^b)に対する端末認証文Ｄ
_i ^bを端末秘密鍵Ｓ_iにより生成する認証文生成手段と、
端末認証文Ｄ_i ^bと端末暗号文Ｅ_i ^bと乱数情報Ｈ(Ｒ_i ^b)を
センタＣに送信する端末側送信手段と、一時乱数Ｖ_ijと
端末乱数Ｒ_i ^bから共通鍵CK_i ^bを生成する端末側共通鍵生
成手段と、秘密情報Ｋ_i ^bを共通鍵CK_i ^bにより暗号化した
サービス機関暗号文PC_i ^bを共通鍵CK_i ^bにより復号化する
共通鍵暗号復号手段とを備え、センタＣは、端末認証文
Ｄ_i ^bを端末公開鍵Ｙ_i（センタが端末秘密鍵を管理して
いる場合は端末秘密鍵Ｓ_i）で検証する認証文検証手段
と、検証結果が正しい場合にラウンドごとに乱数情報Ｈ
(Ｒ_i ^b)と端末Ｔ_iの端末IDとを対応させて登録するデー
タベース手段と、データベースを検索して同一端末IDで
かつ異なる端末乱数情報が登録されている重複登録を検
出する検出手段と、重複登録の有無を記載した調査結果
Ｆ_i ^bに対するセンタ認証文Ｄ_C ^bをセンタ秘密鍵Ｓcによ
り生成する認証文生成手段と、調査結果Ｆ_i ^bとセンタ認
証文Ｄ_C ^bと端末認証文Ｄ_i ^bと端末暗号文Ｅ_i ^bと乱数情報
Ｈ(Ｒ_i ^b)をサービス機関Ｐ_jに送信するセンタ側送信手
段とを備え、サービス機関Ｐ_jは、端末認証文Ｄ_i ^bとセ
ンタ認証文Ｄ_C ^bをそれぞれ端末公開鍵Ｙ_i（サービス機
関が端末秘密鍵を管理している場合は端末秘密鍵Ｓ_i）
とセンタ公開鍵（サービス機関がセンタ秘密鍵を管理し
ている場合はセンタ秘密鍵Ｓc）で検証する認証文検証
手段と、正しい場合にサービス機関秘密鍵Ｓp_jで端末暗
号文Ｅ_i ^bを復号して端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを得る
公開鍵暗号復号手段と、乱数Ｒ_i ^bを一方向性関数Ｈ手段
により変換して受信した乱数情報Ｈ(Ｒ_i ^b)と比較する比
較手段と、比較検証が等しければセンタＣが送信した調
査結果Ｆ_i ^bを参照し、重複登録が無ければ一時乱数Ｖ_ij
と端末乱数Ｒ_i ^bに依存して共通鍵CK_i ^bを生成するサービ
ス機関側共通鍵生成手段と、秘密情報Ｋ_i ^bを共通鍵CK_i ^b
により暗号化してサービス機関暗号文PC_i ^bを生成する共
通鍵暗号化手段と、サービス機関暗号文PC_i ^bをセンタＣ
を経由して端末Ｔ_iに送信するサービス機関側送信手段
とを備えた構成とした。このような構成にしたことによ
り、サービス機関と端末がセンタを経由して通信するシ
ステムにおいて複製端末を発見することができる。

【００３１】また、前記一方向性関数Ｈを、ハッシュ関
数手段とする構成とした。このような構成にしたことに
より、高速に処理できる。

【００３２】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１〜図７を参照しながら詳細に説明する。

【００３３】（実施の形態）本発明の実施の形態は、複
数のサービス機関と複数台の端末が、個々のセッション
鍵で暗号通信する通信網により接続された通信システム
において、サービス機関が各端末に新規セッション鍵を
配布する際に、端末で発生した乱数を収集し、それを元
にセンタに複製端末の有無を問い合わせ、センタは端末
乱数が複製困難なことを利用して端末IDの重複を検査す
ることで複製端末を発見する方法である。

【００３４】図１は、本発明の実施の形態における複製
端末発見方法の流れ図である。図１において、センタＣ
は、複製端末を発見するための機関である。通信路Ｎ
は、暗号通信可能な無線または有線の通信媒体である。
サービス機関Ｐ_jは、セッション鍵を配布して情報サー
ビスを行なう機関である。端末Ｔ_iは、サービス機関Ｐ_j
とセッション鍵で暗号通信を行なう通信装置である。サ
ービス機関と端末は複数台あり、ｊは各サービス機関に
ユニークなサービス機関IDであり、ｉは各端末にユニー
クな端末IDである。サービス機関と端末は１台でもよ
い。フェーズ＃１は、複製端末を発見するための手続き
を行なう段階である。フェーズ＃２は、サービス機関か
ら端末Ｔ_iにセッション鍵を配送するための手続きを行
なう段階である。

【００３５】図２は、本発明の実施の形態における複製
端末発見方法に用いるセンタの構成図である。図２にお
いて、送信手段２は、有線または無線でデータをサービ
ス機関に送信する手段である。認証文検証手段４は、サ
ービス機関秘密鍵で暗号化された認証文をサービス機関
公開鍵で復号して検証する手段である。データベース手
段５は、サービス機関から得た乱数情報と対応する端末
IDをまとめたデータベースである。検出手段６は、デー
タベースを検索して端末の重複を検出する手段である。
認証文生成手段10は、端末の重複に関する調査結果をセ
ンタ秘密鍵で暗号化して認証文を生成する手段である。

【００３６】図３は、本発明の実施の形態における複製
端末発見方法に用いるサービス機関の構成図である。図
３において、乱数生成手段１は、擬似乱数を生成する手
段である。送信手段２は、有線または無線でデータを端
末に送信する手段である。公開鍵暗号復号手段３は、サ
ービス機関の公開鍵で暗号化された暗号文を復号する手
段である。認証文検証手段４は、端末秘密鍵で暗号化さ
れた認証文を端末公開鍵で復号して検証する手段であ
る。共通鍵生成手段７は、端末との共通鍵を生成する手
段である。共通鍵暗号化手段８は、端末との共通鍵でセ
ッション鍵を暗号化する手段である。認証文生成手段10
は、端末乱数を一方向性関数により置換した乱数情報
を、サービス機関秘密鍵で暗号化して認証文を生成する
手段である。一方向性関数手段12は、端末乱数を乱数情
報に置換する関数演算手段である。すなわち、サービス
機関Ｐ_jは、サービス機関乱数Ｚ_i ^bを生成するサービス
機関乱数生成手段と、前回ラウンドにおける秘密情報の
更新通知とサービス機関乱数Ｚ _i ^bを端末Ｔ_iに送信する
サービス機関側送信手段とを備えている。

【００３７】図４は、本発明の実施の形態における複製
端末発見方法に用いる端末の構成図である。図４におい
て、乱数生成手段１は、複製困難な擬似乱数を生成する
手段である。一時乱数生成手段13は、通信毎に異なる一
時乱数を生成する手段である。送信手段２は、有線また
は無線でデータをサービス機関に送信する手段である。
共通鍵生成手段７は、サービス機関との共通鍵を生成す
る手段である。共通鍵暗号復号手段９は、共通鍵で暗号
化されたセッション鍵を復号する手段である。認証文生
成手段10は、端末乱数と一時乱数とサービス機関乱数を
端末秘密鍵で暗号化して、認証文を生成する手段であ
る。公開鍵暗号化手段11は、認証文と端末乱数と一時乱
数をサービス機関公開鍵で暗号化する手段である。すな
わち、端末Ｔ_iは、サービス機関Ｐ_jから受信したサービ
ス機関乱数Ｚ_i ^bと一時乱数Ｖ_ijと端末乱数Ｒ_i ^bに対する
端末認証文Ｄ_i ^bを、端末秘密鍵Ｓ_iにより生成する認証
文生成手段を備えている。

【００３８】図５は、本発明の実施の形態における複製
端末発見方法の複製端末発見フェーズ（フェーズ＃１）
の流れ図である。図６は、本発明の第１の実施の形態に
おける複製端末発見方法のセッション鍵配送フェーズ
（フェーズ＃２）の流れ図である。図７は、サービス機
関と端末がセンタを経由して通信するシステムに適した
プロトコルの流れ図である。

【００３９】上記のように構成された本発明の実施の形
態における複製端末発見方法の動作を説明する。最初
に、図１を参照して、複製端末発見方法の原理を説明す
る。この複製端末発見方法は、次のプロトコルで構成さ
れている。 （１）サービス機関Ｐ_jにしか解読できないように暗号
化されて端末Ｔ_iから送信された端末乱数Ｒ_i ^bと一時乱
数Ｖ_ijと端末認証文を、サービス機関Ｐ_jで検証する。 （２）端末認証文が正しければ、端末乱数Ｒ_i ^bを一方向
性関数Ｈにより変換した乱数情報Ｈ(Ｒ_i ^b)と、それに対
する認証文を計算してセンタＣに送信する。 （３）センタＣは認証文を検証する。認証文が正しく、
かつ現時点において同じ端末IDについて、異なる乱数情
報Ｈ(Ｒ_i ^b)がデータベースに存在するか調査する。調査
結果Ｆ_i ^bとそれに対する認証文を計算してサービス機関
Ｐ_jに送信する。 （４）サービス機関Ｐ_jは認証文を検証して、正しけれ
ば、調査結果Ｆ_i ^bから、端末IDのiについて、複製端末
が存在しないことを確認できた場合にのみ、この端末乱
数Ｒ_i ^bと一時乱数Ｖ_ijに依存して、端末Ｔ_iにセッショ
ン鍵SK_i ^bを与える。

【００４０】ただし、上付きのｂはラウンド番号であ
り、ベキ乗の意味ではない。ラウンドは、セッション鍵
の有効期間である。ラウンド番号は、端末ごとに独立で
あるので、厳密には端末IDで識別できるようにすべきで
あるが、記載が煩雑になり、紛れることもないので、単
にｂと書く。端末IDのｉやラウンド番号ｂを省略するこ
ともある。

【００４１】この複製端末発見方法のプロトコルを、複
製端末発見フェーズとセッション鍵配送フェーズの２つ
のフェーズに分けて説明する。複製端末発見フェーズ
（フェーズ＃１）では、サービス機関Ｐ_jは、チャレン
ジ−レスポンス認証により、端末Ｔ_iと、その端末Ｔ_iが
サービス機関Ｐ_jの公開鍵により暗号化して配信した端
末乱数Ｒ_i ^bと一時乱数Ｖ_ijを認証する。この端末乱数Ｒ
_i ^bから、乱数情報Ｈ(Ｒ_i ^b)と、対応する認証文を生成し
て、センタＣに送信する。センタＣは、認証文が正しけ
れば、データベースを検索して、乱数情報Ｈ(Ｒ_i ^b)の重
複を検査する。同一IDについて、異なる乱数情報Ｈ(Ｒ_i
^b)'を検出すると、この端末IDを持つオリジナル端末Ｔ_i
の複製端末が存在すると判定できる。セッション鍵配送
フェーズ（フェーズ＃２）では、サービス機関Ｐ_jは、
複製端末のない端末Ｔ_iに対して、セッション鍵SK_i ^bを
共通鍵CK_i ^bにより暗号化して配送する。

【００４２】チャレンジ−レスポンス認証を説明する。
サービス機関Ｐ_jは、サービス機関乱数Ｚ_i ^bを生成し
て、チャレンジCHAとして端末Ｔ_iに送信する。端末Ｔ_i
は、サービス機関Ｐ_jから受信したサービス機関乱数Ｚ_i
^bと、自身が生成した端末乱数Ｒ_i ^bと一時乱数Ｖ_ijに対
して、自身の秘密鍵により生成した認証文を、レスポン
スRESとしてサービス機関Ｐ_jに送信する。これをサービ
ス機関Ｐ_jが検証することにより、端末Ｔ_iとその端末乱
数Ｒ_i ^bと一時乱数Ｖ_ijを認証する。ここで、サービス機
関Ｐ_jは、端末Ｔ_iとその端末乱数Ｒ_i ^bと一時乱数Ｖ_ijと
の対応を、端末認証文の検証により確認する。ディジタ
ル署名を用いる場合は、サービス機関Ｐ _jに各端末の秘
密鍵を保管する必要がなく、鍵管理が容易となる。端末
の乱数生成手段１は、同じ乱数を出力する乱数生成器を
他に作成できず、かつ偶然他の乱数生成器の出力と同じ
出力となる確率が無視できる出力長を持つという条件を
満たすものである。通信システムが同報通信システムで
ある場合には、サービス機関乱数Ｚ_i ^bを、複数の端末に
共通のサービス機関乱数Ｚ^bとする。端末Ｔ_iが、同一ラ
ウンドにおいて複数のサービス機関を利用する場合に
は、同一ラウンドにおいては、常に同じ端末乱数Ｒ_i ^bを
端末暗号文Ｅ_i ^bに使用する。

【００４３】端末乱数Ｒ_i ^bと一時乱数Ｖ_ijの暗号化を説
明する。同じ端末秘密鍵を保持する複製端末に対して、
端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを秘密にするために、サー
ビス機関公開鍵により端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを暗
号化する。または、Diffie-Hellman鍵共有法のような、
乱数を用いた方法により共有した鍵を、端末乱数の代わ
りに利用する。この場合、公開鍵暗号化手段と公開鍵暗
号復号手段に代えて、Diffie-Hellman鍵共有法のよう
な、乱数を用いた鍵共有法の１つを用いて鍵を共有する
手段と、共有した鍵を改めて端末乱数として用いる手段
とを設ける。

【００４４】乱数情報Ｈ(Ｒ_i ^b)の生成について説明す
る。乱数情報の必要条件は、乱数情報から端末乱数がセ
ンタＣに得られず、かつ端末乱数と一対一で対応しなけ
ればならないことである。そこで、端末乱数を一方向性
関数Ｈにより変換する。一方向性関数Ｈとしては、暗号
学的に安全と考えられているSHA-1などのハッシュ関数
や公開鍵暗号化関数を利用すればよい。

【００４５】データベースの検索を説明する。センタＣ
は、データベースを検索して、端末Ｔ_iに関して、乱数
情報が既に登録されているかどうか確認する。登録済み
ならば、登録されている乱数情報Ｈ(Ｒ_i ^b)'と、送信さ
れてきた乱数情報Ｈ(Ｒ_i ^b)とを比較する。不一致なら
ば、端末Ｔ_iの複製端末が存在すると判断する。端末Ｔ_i
は、同一ラウンドでは同じ端末乱数を用いるので、複製
端末が存在しない限り、異なる端末乱数Ｒ_i ^bを用いたレ
スポンスRES_i ^bは来ない。ただし、乱数情報Ｈ(Ｒ _i ^b)'と
乱数情報Ｈ(Ｒ_i ^b)のどちらが、複製端末の端末乱数を元
にしている乱数情報かは区別できない。また、複製端末
が複数ならば、乱数情報Ｈ(Ｒ_i ^b)'と乱数情報Ｈ(Ｒ_i ^b)
が、共に複製端末の端末乱数を元にしているものである
可能性があるが、複製端末が単数複数いずれの場合で
も、この複製端末発見方法により複製端末の存在を検出
できる。

【００４６】共通鍵CK_i ^bの生成を説明する。正しく認証
され、かつ複製端末が発見されない端末Ｔ_iと、サービ
ス機関Ｐ_jは、その端末Ｔ_iの端末乱数を使って、共通鍵
を共有する。ここで、共通鍵の生成には、サービス機関
Ｐ_jと端末乱数の保持者のみが生成できる方法を使う必
要がある。特願2001-011089号で提案した方法では、最
も単純な方法として、端末乱数をそのまま共通鍵として
用いた。しかしながら、複数のサービス機関が存在する
という構成を前提とする場合では、端末乱数をそのまま
共通鍵として用いることはできない。なぜなら、複数の
サービス機関に対して、同一ラウンドで同一端末が同じ
端末乱数を使用しない場合には、複製端末の発見精度が
低下するので、それを避けるために、同一の端末乱数を
使用する必要があるからである。したがって、端末乱数
をそのまま使用して共通鍵CK_i ^bとする方法では、あるサ
ービス機関が共通鍵CK_i ^bで暗号化したセッション鍵SK_i ^b
を、他のサービス機関に知られてしまう。そこで、他の
サービス機関に対して秘密を維持するために、端末Ｔ_i
はサービス機関ごとに異なる一時乱数Ｖ_ijを生成して、
端末乱数と共にサービス機関Ｐ_jに送信する。この一時
乱数は通信毎に発生するため各サービス機関で異なる値
となる。この一時乱数Ｖ^bと端末乱数Ｒ_i ^bに依存して、
共通鍵CK_i ^bを生成する。具体的には、次の方法がある。

【００４７】置換関数を利用する方法を説明する。サー
ビス機関Ｐ_jと端末Ｔ_iは共に、端末乱数Ｒ_i ^bと一時乱数
Ｖ_ijから共通鍵CK_i ^bを生成する。例えば、 CK_i ^b＝Ｈ(Ｒ_i ^b‖Ｖ_ij) として、共通鍵CK_i ^bを生成する。

【００４８】具体的には、端末Ｔ_iが、一時乱数Ｖ_i ^bと
それに対する認証文Ｄ_i ^bを、サービス機関Ｐ_jの公開鍵
Ｙp_jで暗号化して、サービス機関Ｐ_jに送信する。サー
ビス機関Ｐ_jと端末Ｔ_iはともに、端末乱数Ｒ_i ^bと一時乱
数Ｖ_ijから共通鍵CK_i ^bを出力する。

【００４９】セッション鍵SK_i ^bの暗号化を説明する。サ
ービス機関Ｐ_jは、共通鍵CK_i ^bを用いて、セッション鍵S
K_i ^bを暗号化する。端末Ｔ_iは、前述の方法により共通鍵
CK_i ^bを生成する。共通鍵CK_i ^bを使って、セッション鍵SK
_i ^bを復号する。端末秘密鍵Ｓ_iが漏洩しても、端末乱数
Ｒ_i ^bがなければ、共通鍵CK_i ^bは生成できないため、オリ
ジナル端末と複製端末の集合の中で、セッション鍵SK_i ^b
を得ることができるのは、１台のみとなる。また、一時
乱数Ｖ_ijがなければ、端末乱数Ｒ_i ^bを保持していても、
共通鍵CK_i ^bは生成できないため、他のサービス機関は、
セッション鍵SK_i ^bを得ることができない。なお、必要で
あれば、ディジタル署名やMAC（Message Authenticatio
n Code：メッセージ認証符号）を併用して、改ざんや成
りすましを検出する機能を追加できる。

【００５０】セッション鍵SK_i ^bの更新について説明す
る。センタＣは、一時横流しによるセッション鍵の漏洩
に対処するために、定期的にセッション鍵を更新して、
複製端末発見方法を実行する必要がある。この期間が短
いほど、早く複製端末を発見・無効化できる。

【００５１】セッション鍵が複数の場合を説明する。セ
ッション鍵の種類が複数の場合は、各端末Ｔ_iは、同一
ラウンドでは同じ端末乱数を用いて、セッション鍵の種
類を指定したレスポンスRES_i ^bを送信する。そのあと
は、セッション鍵が１つの場合と同様である。すなわ
ち、サービス機関Ｐ_jは、センタCに複製端末の検出を依
頼する。センタCからの調査結果で複製端末が存在しな
いことを確認して、端末Ｔ_iが指定したセッション鍵
を、同じ端末乱数による鍵で暗号化して配送する。

【００５２】この場合、端末Ｔ_iに、端末暗号文Ｅ_i ^bに
所望の秘密情報の種類を指定する手段を設ける。同一ラ
ウンドにおいては、常に同じ端末乱数Ｒ_i ^bを端末暗号文
Ｅ_i ^bに使用する。ただし、一時乱数Ｖ_ijは通信毎に異な
る値を生成する。また、サービス機関Ｐ_jに、端末暗号
文Ｅ_i ^bにおいて指定された種類の秘密情報を、端末乱数
Ｒ_i ^bより生成した共通鍵CK_i ^bにより暗号化して配送する
手段を設ける。

【００５３】一時乱数Ｖ_ijの変更確認を説明する。一時
乱数は、既に述べたように、通信毎に異なる値である。
しかしながら、端末が故意や偶然により、サービス機関
Ａで使用した値を再度使用して、サービス機関Ｂへ送信
することもありうる。この場合、サービス機関Ｂは、サ
ービス機関Ａのセッション鍵を入手できてしまう。端末
が一時乱数を確実に変更しているかを確認するために、
サービス機関は、一時乱数を一方向性関数Ｈにより置換
した一時乱数情報を、センタに乱数情報と共に送る。セ
ンタで、乱数情報の検査と同時に、一時乱数情報につい
てもログを検査する。ログに一時乱数情報が無ければ登
録し、あれば比較して、異なること確認する。この結果
をサービス機関に返送することにより、サービス機関
は、同じ一時乱数である場合に対処することができる。

【００５４】未受信対策を説明する。端末Ｔ_iが電源オ
フや、通信できない地域へ移動したことなどにより、チ
ャレンジCHA_i ^bやセッション鍵を受信できない場合のた
めに、現在のラウンド番号をサービス機関に問い合わせ
る機能を、端末Ｔ_iに付加する。すなわち、端末Ｔ_iに、
サービス機関Ｐ_jに対して現在のラウンド番号を問い合
わせる問い合わせ手段を設ける。受信に失敗した端末
は、レスポンスの送信と同様な方法で、サービス機関に
ラウンド番号の送信を要求する。その要求に関して、サ
ービス機関は、センタCに複製端末の検出を依頼する。
センタCからの調査結果で複製端末が存在しないことを
確認して、ラウンド番号を配送する。ラウンドが進んで
端末Ｔ_iとサービス機関Ｐ_jのラウンド番号ｂが異なる場
合には、セッション鍵が無効になっているので、端末は
サービス情報を復号できない。そこで端末Ｔ_iは、サー
ビス機関にチャレンジCHA_i ^bの再送を要求する。サービ
ス機関Ｐ _jは、チャレンジCHA_i ^bの再送からプロトコルを
やりなおす。プロトコルの途中で受信に失敗した場合に
は、受信できなかった情報の再送を要求して、プロトコ
ルを進行させる。

【００５５】以上のようにすることにより、複製端末を
発見できる。正規の端末Ｔ_iが先にレスポンスRES_i ^bを送
信し、複製端末がレスポンスRES_i ^bを送信しない場合に
は、複製端末は発見できないが、複製端末はセッション
鍵を得ることができないので、実質的に無効化すること
ができる。

【００５６】第２に、図２、図３、図４、図５を参照し
ながら、複製端末発見の手順（フェーズ＃１）の各ステ
ップについて説明する。準備段階において、図示してい
ない信頼できるシステム管理者は、サービス機関公開鍵
Ｙp_jと、サービス機関秘密鍵Ｓp_jと、センタ公開鍵Ｙc
と、センタ秘密鍵Ｓcと、端末公開鍵Ｙ_iと、端末秘密鍵
Ｓ_iとを生成する。センタ公開鍵Ｙcを全サービス機関に
配布し、サービス機関公開鍵Ｙp_jを全端末に配布し、セ
ンタ秘密鍵Ｓcとすべてのサービス機関公開鍵Ｙp_jとを
センタＣに配布し、サービス機関秘密鍵Ｓp_jを対応する
サービス機関Ｐ _jに配布し、端末秘密鍵Ｓ_iを対応する前
記端末Ｔ_iに配布する。

【００５７】図５に示すフェーズ＃１−１で、図２に示
すサービス機関Ｐ_jは、図３の乱数生成手段１で、サー
ビス機関乱数Ｚ_i ^bを生成する。端末Ｔ_iに、セッション
鍵の更新通知を兼ねるチャレンジ CHA_i ^b＝Ｚ_i ^b を、送信手段２により送信する。

【００５８】フェーズ＃１−２で、図４に示す端末Ｔ_i
は、図４の乱数生成手段１により、端末乱数Ｒ_i ^bを生成
する。同様に、図４の一時乱数生成手段13により、一時
乱数Ｖ_ijを生成する。自身の端末秘密鍵Ｓ_iを用いて、
端末IDのｉと、サービス機関Ｐ_jからチャレンジCHA_i ^bと
して送られたサービス機関乱数Ｚ_i ^bと、端末乱数Ｒ_i ^bと
一時乱数Ｖ_ijとに対するディジタル署名SIG(Ｓ_i,(ｉ‖
Ｚ_i ^b‖Ｒ_i ^b‖Ｖ_ij))を、認証文生成手段10で生成する。
ただし、(ｘ‖ｙ)は、ｘを上位桁とし、ｙを下位桁とす
る、符号の連接を示す。SIG(ｘ,ｙ)は、鍵ｘを使ってｙ
のディジタル署名を計算することを示す。このディジタ
ル署名を、端末認証文Ｄ_i ^bとする。

【００５９】サービス機関公開鍵Ｙp_jを用いて、端末ID
のｉと、端末乱数Ｒ_i ^bと、一時乱数Ｖ_ijと、端末認証文
Ｄ_i ^bとに対する端末暗号文 Ｅ_i ^b＝Ｙp_j[ｉ‖Ｒ_i ^b‖Ｖ_ij‖Ｄ_i ^b] ＝Ｙp_j[ｉ‖Ｒ_i ^b‖Ｖ_ij‖・・・・Ｓ_i,(ｉ‖Ｚ_i ^b‖Ｒ_i ^b
‖Ｖ_ij))]を、公開鍵暗号化手段11で生成する。ただ
し、ｘ[ｙ]は、ｙを鍵ｘで暗号化することを示す。これ
を、サービス機関Ｐ_jに、セッション鍵要求通知を兼ね
るレスポンス RES_i ^b＝Ｅ_i ^b＝Ｙp_j[ｉ‖Ｒ_i ^b‖Ｖ_ij‖Ｄ_i ^b] ＝Ｙp_j[ｉ‖Ｒ_i ^b‖Ｖ_ij‖・・・・Ｓ_i,(ｉ‖Ｚ_i ^b‖Ｒ_i ^b
‖Ｖ_ij))] として、送信手段２で送信する。

【００６０】フェーズ＃１−３で、図３のサービス機関
Ｐ_jは、図示しない受信手段で、端末Ｔ_iからのレスポン
スRES_i ^bを受信し、公開鍵暗号復号手段３で、サービス
機関秘密鍵Ｓp_jを使ってレスポンスRES_i ^bを復号して、
端末乱数Ｒ_i ^bおよび一時乱数Ｖ_ijを得る。認証文検証手
段４で、端末Ｔ_iの端末公開鍵Ｙ_iを用いて、SIG(Ｓ_i,
(ｉ‖Ｚ_i ^b‖Ｒ_i ^b‖Ｖ_ij))を検証する。検証結果が正し
い場合は、端末Ｔ_iと端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを認
証したとして受付けて、フェーズ＃１−４へ進む。検証
結果が不正の場合は、プロトコルを終了する。

【００６１】フェーズ＃１−４で、サービス機関Ｐ
_jは、一方向性関数手段12により端末乱数Ｒ_i ^bを変換し
て乱数情報Ｈ(Ｒ_i ^b)を生成する。乱数情報Ｈ(Ｒ_i ^b)に対
するディジタル署名SIG(Ｓp_j,(ｉ‖Ｈ(Ｒ_i ^b)))を、認証
文生成手段10で生成する。端末IDのｉと、乱数情報Ｈ
(Ｒ_i ^b)と、ディジタル署名SIG(Ｓp_j,(ｉ‖Ｈ(Ｒ_i ^b)))
を、送信手段２で送信する。

【００６２】フェーズ＃１−５で、センタＣは、サービ
ス機関公開鍵Ｙ_iを用いて、ディジタル署名SIG(Ｓp_j,
(ｉ‖Ｈ(Ｒ_i ^b)))を、認証文検証手段４により検証す
る。検証結果が正しい場合は、端末Ｔ_iと端末乱数Ｒ_i ^b
を認証したとして受付けて、フェーズ＃１−６へ進む。
検証結果が不正の場合は、プロトコルを終了する。

【００６３】フェーズ＃１−６で、センタＣは、検出手
段６により、端末IDをキーとして、端末IDと乱数情報を
関連付けて登録したデータベースが格納されたデータベ
ース手段５を参照する。既に乱数情報が登録されている
場合は、フェーズ＃１−７へ進み、データベースに記録
された乱数情報Ｈ(Ｒ_i ^b)'と、受信した乱数情報Ｈ
(Ｒ _i ^b)が等しいか否か調査して、フェーズ＃１−９へ進
む。乱数情報が登録されていない場合は、フェーズ＃１
-８へ進み、データベースに乱数情報Ｈ(Ｒ_i ^b)を記録し
て、フェーズ＃１−９へ進む。

【００６４】フェーズ＃１−９で、センタＣは、データ
ベースの調査結果Ｆ_i ^bに対して、ディジタル署名SIG(Ｓ
c,(ｉ‖Ｆ_i ^b))を、認証文生成手段10により生成する。

【００６５】第３に、図２、図３、図４、図６を参照し
ながら、セッション鍵配送の手順（フェーズ＃２）の各
ステップを説明する。重複が検出されなかった端末に対
してのみ、サービス機関Ｐ_jは、セッション鍵を配送す
る。

【００６６】図６に示すフェーズ＃２−１で、センタＣ
は、調査結果Ｆ_i ^bとそれに対するセンタ認証文を、送信
手段２により、サービス機関Ｐ_jに送信する。

【００６７】フェーズ＃２−２で、サービス機関Ｐ
_jは、図示しない受信手段により、調査結果Ｆ_i ^bとセン
タ認証文を受信する。センタ公開鍵Ｙcを用いて、ディ
ジタル署名SIG(Ｓc,(ｉ‖Ｆ_i ^b))を、認証文検証手段４
により検証する。検証結果が正しい場合は、調査結果Ｆ
_i ^bを認証したとして受付けて、フェーズ＃２−３へ進
む。検証結果が不正の場合は、プロトコルを終了する。

【００６８】フェーズ＃２−３で、サービス機関Ｐ
_jは、図示しない判断手段により、調査結果Ｆ_i ^bから、
複製端末が存在しないことが分れば、フェーズ＃２−４
へ進む。複製端末が存在することが分れば、プロトコル
を終了する。

【００６９】フェーズ＃２−４で、サービス機関Ｐ
_jは、共通鍵生成手段により、共通鍵CK_i ^b（＝Ｈ(Ｖp_j ^b
‖Ｒ_i ^b)）を生成し、共通鍵暗号化手段８により、セッ
ション鍵SK _i ^bを共通鍵CK_i ^bで暗号化したサービス機関暗
号文PC_i ^b＝CK_i ^b[SK_i ^b]を生成して、送信手段２により、
端末Ｔ_iに送信する。

【００７０】フェーズ＃２−５で、端末Ｔ_iは、共通鍵
生成手段７により、共通鍵CK_i ^b（＝Ｈ(Ｖp_j ^b‖Ｒ_i ^b)）
を生成し、図示してない受信手段により、サービス機関
暗号文PC_i ^bを受信する。図３の共通暗号復号手段９によ
り、サービス機関暗号文PC_i ^bを復号し、セッション鍵SK
_i ^bを得る。

【００７１】安全性について説明する。特願2001-01108
9号で提案した方法と基本的には同じであるので、それ
以外の部分について説明する。特願2001-011089号で提
案した方法と異なるセキュリティ要件としては、センタ
や他のサービス機関がセッション鍵を得られないこと、
および複製端末によりセンタとサービス機関のやり取り
が改ざんされないことがある。前者は既に説明したの
で、後者について説明する。仮に、サービス機関の乱数
情報やセンタの調査結果が改ざんできるとすると、複製
端末は、これらを改ざんして発見されないようにした
り、複製端末が存在しないIDに対して、複製端末が存在
するようにしたりして、サービスを妨害することが可能
となる。したがって、これらのメッセージに対して、デ
ィジタル署名やMACにより、メッセージ認証を行なう必
要がある。この場合、サービス機関Ｐ_jに、サービス機
関暗号文PC_i ^bにメッセージ認証符号（MAC）またはディ
ジタル署名を含める手段を設け、端末Ｔ_iに、改ざんや
成りすましを検出する手段を設ける。

【００７２】また、リプレイ攻撃を避けるために、これ
らのメッセージに、タイムスタンプやシーケンシャル番
号を付加することも可能である。すなわち、ディジタル
署名およびメッセージ認証符号（MAC）に、タイムスタ
ンプまたは続き番号を含ませる手段を設ける。さらに、
複製端末の有無が、プライバシー問題などにより、他に
知られてはならない場合は、これらのメッセージの暗号
化を行なうことも可能である。

【００７３】本実施の形態では、公開鍵や秘密鍵を各サ
ービス機関や端末で生成することを前提として説明した
が、通信システムに、信頼できるシステム管理手段を備
えて、システム管理手段で公開鍵や秘密鍵を生成して、
各サービス機関や端末に配布するようにしてもよい。こ
の場合、システム管理手段で、サービス機関公開鍵Ｙp_j
とサービス機関秘密鍵Ｓp_jとセンタ公開鍵Ｙcとセンタ
秘密鍵Ｓcと端末公開鍵Ｙ_iと端末秘密鍵Ｓ_iとを生成す
る。センタ公開鍵Ｙcを全サービス機関に配布する。サ
ービス機関公開鍵Ｙp_jを全端末に配布する。センタ秘密
鍵Ｓcとすべてのサービス機関公開鍵Ｙp_jとを、センタ
Ｃに配布する。サービス機関秘密鍵Ｓp_jを、対応するサ
ービス機関Ｐ_jに配布する。端末秘密鍵Ｓ_iを、対応する
端末Ｔ_iに配布する。

【００７４】本実施の形態の秘密情報としては、サービ
ス機関Ｐ_jと端末Ｔ_iのセッション鍵SK_i ^bを配送する場合
を説明したが、秘密情報は、サービス機関Ｐ_jと複数の
端末で共有されるグループ鍵GK^bであってもよいし、電
子チケットや電子マネーであってもよい。なお、グルー
プ鍵GK^bの配布の途中において、複製端末が発見された
場合、グループ鍵GK^bを未配布の端末Ｔ_iの端末公開鍵Ｙ
_i（サービス機関が端末秘密鍵を管理している場合は端
末秘密鍵Ｓ_i）により、グループ鍵GK^bを暗号化して、未
配布の端末Ｔ_iに配布する。

【００７５】上記の例では、端末側で端末乱数と一時乱
数と署名を暗号化して、暗号文のみを送る方式を説明し
たが、端末乱数と一時乱数を暗号化して、それに署名し
て、暗号文と署名を一緒に送る方式としてもよい。すな
わち、端末Ｔ_iにおいて、公開鍵暗号化手段11で、端末
乱数Ｒ_i ^bと一時乱数Ｖ_ijをサービス機関公開鍵Ｙp_jで暗
号化して端末暗号文Ｅ_i ^bを生成し、認証文生成手段10
で、端末暗号文Ｅ_i ^bに対する端末認証文Ｄ_i ^bを端末秘密
鍵Ｓ_iにより生成し、端末側送信手段２で、端末暗号文
Ｅ_i ^bと端末認証文Ｄ_i ^bをサービス機関Ｐ_jに送信し、サ
ービス機関Ｐ_jにおいて、公開鍵暗号復号手段３によ
り、サービス機関秘密鍵Ｓp_jで端末暗号文Ｅ_i ^bを復号し
て、端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを得る。

【００７６】上記の例では、サービス機関と端末が直接
通信する場合を説明したが、携帯電話やInternet等で
は、サービス機関と端末間に通信キャリアやISPの中継
局やゲートウェイが存在する。このゲートウェアに、本
発明のセンタ機能を付加する場合に、本実施の形態を直
接利用することも可能であるが、通信回数が増加するこ
とになる。そこで、図７に示すようなプロトコルを適用
することにより、通信回数を削減することができる。す
なわち、以下のプロトコルとする。 チャレンジを、センタまたはサービス機関が行い、本
実施の形態ではサービス機関が行っていた乱数情報の作
成を、端末が行う。 端末は、暗号化せずに認証文の付加のみを行った乱数
情報を、レスポンスに付加して、センタに送信する。 センタは、認証文の確認と、乱数情報による複製端末
の検証を行う。 センタは、レスポンスに検証結果とその認証文を付加
して、サービス機関に送信する。サービス機関は、認証
文を検証する。正しければ、リクエストを復号して、端
末乱数と一時乱数を得る。端末乱数を一方向性関数によ
り置換した値と、受信した乱数情報を比較して、等しい
ことを確認する。 サービス機関は、センタの検証結果から、複製端末が
存在しないことが分れば、端末乱数と一時乱数から共通
鍵を生成する。 サービス機関は、共通鍵によりセッション鍵を暗号化
した暗号文を、センタ経由で端末に送信する。

【００７７】上記のように、本発明の実施の形態では、
複製端末発見方法を、複数のサービス機関と複数台の端
末が、個々のセッション鍵で暗号通信する通信網により
接続された通信システムにおいて、サービス機関が各端
末に新規セッション鍵を配布する際に、端末で発生した
乱数を収集し、それを元にセンタに複製端末の有無を問
い合わせ、センタは、端末乱数が複製困難なことを利用
して、端末IDの重複を検査することで、複製端末を発見
する構成としたので、複製端末の存在を自動的に検出し
て排除できる。ここでは、認証文としてディジタル署名
を利用した形態を説明したが、予め秘密情報が共有され
ている場合には、MACを用いることも可能である。

【００７８】

【発明の効果】以上の説明から明らかなように、本発明
では、センタとサービス機関と端末とを含む通信システ
ムの複製端末発見方法を、端末は、ラウンドにおける端
末乱数および一時乱数を生成し、端末乱数および一時乱
数に対する端末認証文を端末秘密鍵により生成し、端末
認証文と端末乱数とをサービス機関公開鍵で暗号化して
端末暗号文としてサービス機関に送信し、サービス機関
は、サービス機関秘密鍵で端末暗号文を復号して端末認
証文と端末乱数と一時乱数とを得て、端末公開鍵で端末
認証文を検証し、検証結果が正しければ一方向性関数に
より端末乱数を変換した乱数情報を生成し、乱数情報と
端末の端末IDに対するサービス機関認証文をサービス機
関秘密鍵により生成し、乱数情報と端末IDと共にセンタ
に送信し、センタは、サービス機関公開鍵でサービス機
関認証文を検証し、検証結果が正しければ、ラウンドご
とに、乱数情報と端末の端末IDとを対応させて登録した
データベースを検索して、同一端末IDでかつ異なる乱数
情報が登録されている重複登録の有無を検査し、重複登
録が無い端末の乱数情報と端末IDをデータベースに登録
し、重複登録の有無を記載した調査結果に対するセンタ
認証文をセンタ秘密鍵により生成し、調査結果と共にサ
ービス機関に送信し、サービス機関は、センタ公開鍵で
センタ認証文を検証し、正しければ調査結果を参照し、
重複登録が無ければ一時乱数と端末乱数に依存して共通
鍵を生成し、共通鍵により秘密情報を暗号化してサービ
ス機関暗号文として端末に送信し、端末は、サービス機
関暗号文を受信し、一時乱数と端末乱数から共通鍵を生
成し、サービス機関暗号文を共通鍵により復号して秘密
情報を得る構成としたので、サービス機関は複製端末の
存在を検知でき、発見を恐れて複製端末が端末乱数を送
らない場合には、複製端末は秘密情報を入手できないの
で、無効化することができるという効果が得られる。

【図面の簡単な説明】

【図１】本発明の実施の形態における複製端末発見方法
の流れ図、

【図２】本発明の実施の形態における複製端末発見方法
で使用するセンタの構成図、

【図３】本発明の実施の形態における複製端末発見方法
で使用するサービス機関の構成図、

【図４】本発明の実施の形態における複製端末発見方法
で使用する端末の構成図、

【図５】本発明の実施の形態における複製端末発見方法
の複製端末発見フェーズ（フェーズ＃１）の流れ図、

【図６】本発明の実施の形態における複製端末発見方法
のセッション鍵配送フェーズ（フェーズ＃２）の流れ
図、

【図７】本発明の実施の形態における複製端末発見方法
の他の例で、サービス機関と端末がセンタを経由して通
信するシステムに適したプロトコルの流れ図、

【図８】従来の複製端末発見方法の流れ図である。

【符号の説明】

１ 乱数生成手段 ２ 送信手段 ３ 公開鍵暗号復号手段 ４ 認証文検証手段 ５ データベース手段 ６ 検出手段 ７ 共通鍵生成手段 ８ 共通鍵暗号化手段 ９ 共通鍵暗号復号手段 10 認証文生成手段 11 公開鍵暗号化手段 12 一方向性関数手段 13 一時乱数生成手段 Ｃ センタ Ｎ 通信路 Ｔ 端末 Ｐ サービス機関

───────────────────────────────────────────────────── フロントページの続き (72)発明者 松崎 なつめ 神奈川県横浜市港北区新横浜三丁目20番８ 号 株式会社高度移動通信セキュリティ技 術研究所内 (72)発明者 松本 勉 神奈川県横浜市青葉区柿の木台13−45 Ｆターム(参考） 5J104 AA08 AA09 AA11 AA16 EA06 EA18 FA07 JA01 LA01 LA06 MA04 NA02 NA03 NA12 PA12

Claims (21)

【特許請求の範囲】
1. 【請求項１】 センタＣとｍ局（ｍは自然数）のサービ
   ス機関Ｐ_jとｎ台（ｎは自然数）の端末Ｔ_i（ｉは端末I
   D）とを含む通信システムの複製端末発見方法におい
   て、 前記端末Ｔ_iは、ラウンドｂにおける端末乱数Ｒ_i ^b（上
   付きｂはラウンド番号を示す添字）および一時乱数Ｖ_ij
   を生成し、前記端末乱数Ｒ_i ^bおよび一時乱数Ｖ _ijに対す
   る端末認証文Ｄ_i ^bを端末秘密鍵Ｓ_iにより生成し、前記
   端末認証文Ｄ_i ^bと前記端末乱数Ｒ_i ^bとをサービス機関公
   開鍵Ｙp_jで暗号化して端末暗号文Ｅ_i ^bとして前記サービ
   ス機関Ｐ_jに送信し、 前記サービス機関Ｐ_jは、サービス機関秘密鍵Ｓp_jで前
   記端末暗号文Ｅ_i ^bを復号して前記端末認証文Ｄ_i ^bと前記
   端末乱数Ｒ_i ^bと前記一時乱数Ｖ_ijとを得て、端末公開鍵
   Ｙ_i（サービス機関Ｐ_jが端末秘密鍵を管理している場合
   は端末秘密鍵Ｓ _i）で前記端末認証文Ｄ_i ^bを検証し、検
   証結果が正しければ一方向性関数Ｈにより前記端末乱数
   Ｒ_i ^bを変換した乱数情報Ｈ(Ｒ_i ^b)を生成し、前記乱数情
   報Ｈ(Ｒ_i ^b)と前記端末Ｔ_iの端末IDに対するサービス機
   関認証文Ｄ_j ^bをサービス機関秘密鍵Ｓp_jにより生成し、
   前記乱数情報Ｈ(Ｒ_i ^b)と前記端末IDと共に前記センタＣ
   に送信し、 前記センタＣは、サービス機関公開鍵Ｙp_j（センタＣが
   サービス機関秘密鍵を管理している場合はサービス機関
   秘密鍵Ｓp_j）で前記サービス機関認証文Ｄp_j ^bを検証
   し、検証結果が正しければ、ラウンドごとに、前記乱数
   情報Ｈ(Ｒ_i ^b)と前記端末Ｔ_iの端末IDとを対応させて登
   録したデータベースを検索して、同一端末IDでかつ異な
   る乱数情報が登録されている重複登録の有無を検査し、
   前記重複登録が無い前記端末Ｔ_iの前記乱数情報Ｈ
   (Ｒ_i ^b)と前記端末IDを前記データベースに登録し、重複
   登録の有無を記載した調査結果Ｆ_i ^bに対するセンタ認証
   文Ｄ_C ^bをセンタ秘密鍵Ｓcにより生成し、前記調査結果
   Ｆ_i ^bと共にサービス機関Ｐ_jに送信し、 前記サービス機関Ｐ_jは、センタ公開鍵Ｙc（サービス機
   関Ｐ_jがセンタ秘密鍵を管理している場合はセンタ秘密
   鍵Ｓc）で前記センタ認証文Ｄc^bを検証し、正しければ
   前記調査結果Ｆ_i ^bを参照し、重複登録が無ければ前記一
   時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bに依存して共通鍵CK_i ^bを
   生成し、前記共通鍵CK_i ^bにより秘密情報Ｋ_i ^bを暗号化し
   てサービス機関暗号文PC_i ^bとして前記端末Ｔ_iに送信
   し、 前記端末Ｔ_iは、前記サービス機関暗号文PC_i ^bを受信
   し、前記一時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bから共通鍵CK
   _i ^bを生成し、前記サービス機関暗号文PC_i ^bを前記共通鍵
   CK_i ^bにより復号して前記秘密情報Ｋ_i ^bを得ることを特徴
   とする複製端末発見方法。
2. 【請求項２】 センタＣとｍ局（ｍは自然数）のサービ
   ス機関Ｐ_jとｎ台（ｎは自然数）の端末Ｔ_i（ｉは端末I
   D）とを含む通信システムの複製端末発見方式におい
   て、 前記端末Ｔ_iは、ラウンドｂにおける端末乱数Ｒ_i ^b（上
   付きｂはラウンド番号を示す添字）を生成する端末乱数
   生成手段と、一時乱数Ｖ_ijを生成する一時乱数生成手段
   と、前記端末乱数Ｒ_i ^bおよび一時乱数Ｖ_ijに対する端末
   認証文Ｄ_i ^bを端末秘密鍵Ｓ_iにより生成する認証文生成
   手段と、前記端末認証文Ｄ_i ^bと前記端末乱数Ｒ_i ^bと一時
   乱数Ｖ_ijをサービス機関公開鍵Ｙp_jで暗号化して端末暗
   号文Ｅ_i ^bを生成する公開鍵暗号化手段と、前記端末暗号
   文Ｅ_i ^bを前記サービス機関Ｐ_jに送信する端末側送信手
   段と、前記一時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bから共通鍵
   CK _i ^bを生成する端末側共通鍵生成手段と、秘密情報Ｋ_i ^b
   を前記共通鍵CK_i ^bにより暗号化したサービス機関暗号文
   PC_i ^bを前記共通鍵CK_i ^bにより復号化する共通鍵暗号復号
   手段とを備え、 前記サービス機関Ｐ_jは、サービス機関秘密鍵Ｓp_jで前
   記端末暗号文Ｅ_i ^bを復号して前記端末認証文Ｄ_i ^bと前記
   端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを得る公開鍵暗号復号手段
   と、前記端末認証文Ｄ_i ^bを端末公開鍵Ｙ_i（サービス機
   関が端末秘密鍵を管理している場合は端末秘密鍵Ｓ_i）
   で検証する認証文検証手段と、正しい場合に前記乱数を
   乱数情報Ｈ(Ｒ_i ^b)に変換する一方向性関数Ｈ手段と、前
   記乱数情報Ｈ(Ｒ_i ^b)と前記端末Ｔ_iの端末IDに対するサ
   ービス機関認証文Ｄp_j ^bをサービス機関秘密鍵Ｓp_jによ
   り生成する認証文生成手段と、前記端末IDと前記乱数情
   報Ｈ(Ｒ_i ^b)と前記サービス機関認証文Ｄp_j ^bを送信する
   サービス機関側送信手段と、センタＣがセンタ秘密鍵Ｓ
   cにより生成した前記センタ認証文Ｄc^bを検証する認証
   文検証手段と、検証結果が正しければ前記センタＣが送
   信した調査結果Ｆ_i ^bを参照し、重複登録が無ければ前記
   一時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bに依存して共通鍵CK_i ^b
   を生成するサービス機関側共通鍵生成手段と、秘密情報
   Ｋ_i ^bを前記共通鍵CK_i ^bにより暗号化してサービス機関暗
   号文PC_i ^bを生成する共通鍵暗号化手段と、前記サービス
   機関暗号文PC_i ^bを前記端末Ｔ_iに送信するサービス機関
   側送信手段とを備え、 前記センタＣは、前記サービス機関認証文Ｄp_j ^bをサー
   ビス機関公開鍵Ｙp_j（センタがサービス機関秘密鍵を管
   理している場合はサービス機関秘密鍵Ｓp_j）で検証する
   認証文検証手段と、検証結果が正しい場合にラウンドご
   とに前記乱数情報Ｈ(Ｒ_i ^b)と前記端末Ｔ_iの端末IDとを
   対応させて登録するデータベース手段と、前記データベ
   ースを検索して同一端末IDでかつ異なる端末乱数情報が
   登録されている重複登録を検出する検出手段と、重複登
   録の有無を記載した調査結果Ｆ_i ^bに対するセンタ認証文
   Ｄ_C ^bをセンタ秘密鍵Ｓcにより生成する認証文生成手段
   と、前記調査結果Ｆ_i ^bと前記センタ認証文Ｄ_C ^bをサービ
   ス機関Ｐ_jに送信するセンタ側送信手段とを備えたこと
   を特徴とする複製端末発見方式。
3. 【請求項３】 前記認証文生成手段および前記認証文検
   証手段を、メッセージ認証符号（MAC）またはディジタ
   ル署名を用いる手段としたことを特徴とする請求項２記
   載の複製端末発見方式。
4. 【請求項４】 前記サービス機関側共通鍵生成手段を、
   前記端末乱数Ｒ_i ^bおよび前記一時乱数Ｖ_ijを入力とする
   前記一方向性関数Ｈの出力を共通鍵CK_i ^bとする手段とし
   たことを特徴とする請求項２記載の複製端末発見方式。
5. 【請求項５】 前記サービス機関Ｐ_jは、前記一時乱数
   Ｖ_ijを前記一方向性関数Ｈにより置換した一時乱数情報
   Ｈ(Ｖ_ij)を生成する一時乱数情報手段と、前記乱数情報
   Ｈ(Ｒ_i ^b)と前記一時乱数情報Ｈ(Ｖ_ij)に対する端末認証
   文Ｄ_i ^bを端末秘密鍵Ｓ_iにより生成する認証文生成手段
   と、前記乱数情報Ｈ(Ｒ_i ^b)と前記一時乱数情報Ｈ(Ｖ_ij)
   と前記端末認証文Ｄ_i ^bを前記センタＣに送信するサービ
   ス機関側送信手段と、前記センタＣから受信した前記セ
   ンタ認証文Ｄ_C ^bを検証する認証文検証手段と、検証結果
   が正しければ前記センタＣが送信した調査結果Ｆ_i ^bを参
   照し、重複登録が無く、かつ一時乱数の変更が確認され
   ていれば前記一時乱数Ｖ _ijと前記端末乱数Ｒ_i ^bに依存し
   て共通鍵CK_i ^bを生成するサービス機関側共通鍵生成手段
   とを備え、 前記センタＣは、前記サービス機関認証文Ｄp_j ^bをサー
   ビス機関公開鍵Ｙp_j（センタがサービス機関秘密鍵を管
   理している場合はサービス機関秘密鍵Ｓp_j）で検証する
   認証文検証手段と、検証結果が正しい場合にラウンドご
   とに前記乱数情報Ｈ(Ｒ_i ^b)と前記一時乱数情報Ｈ(Ｖ_ij)
   と前記端末Ｔ_iの端末IDとを対応させて登録するデータ
   ベース手段と、前記データベースを検索して同一端末ID
   でかつ異なる端末乱数情報が登録されている重複登録を
   検出する検出手段と、同一端末IDでかつ同じ一時乱数情
   報が登録されている一時乱数情報の不変更を確認する確
   認手段と、重複登録の有無と一時乱数情報変更の有無を
   記載した調査結果Ｆ_i ^bに対するセンタ認証文Ｄ_C ^bをセン
   タ秘密鍵Ｓcにより生成する認証文生成手段と、前記調
   査結果Ｆ_i ^bと前記センタ認証文Ｄ_C ^bをサービス機関Ｐ_j
   に送信するセンタ側送信手段とを備えたことを特徴とす
   る請求項２記載の複製端末発見方式。
6. 【請求項６】 前記公開鍵暗号化手段と前記公開鍵暗号
   復号手段に代えて、Diffie-Hellman鍵共有法を含む乱数
   を用いた鍵共有法の１つを用いて鍵を共有する手段と、
   共有した鍵を改めて端末乱数として用いる手段とを設け
   たことを特徴とする請求項２記載の複製端末発見方式。
7. 【請求項７】 前記サービス機関Ｐ_jに、前記サービス
   機関暗号文PC_i ^bにメッセージ認証符号（MAC）またはデ
   ィジタル署名を含める手段を設け、前記端末Ｔ_iに、改
   ざんや成りすましを検出する手段を設けたことを特徴と
   する請求項２記載の複製端末発見方式。
8. 【請求項８】 前記ディジタル署名およびメッセージ認
   証符号（MAC）にタイムスタンプまたは続き番号を含ま
   せる手段を設けたことを特徴とする請求項２、３、７の
   いずれかに記載の複製端末発見方式。
9. 【請求項９】 前記秘密情報Ｋ_i ^bが、電子チケットまた
   は電子マネーであることを特徴とする請求項２記載の複
   製端末発見方式。
10. 【請求項１０】 前記秘密情報Ｋ_i ^bが、前記サービス機
    関Ｐ_jと前記端末Ｔ_iのセッション鍵SK_i ^bまたは前記サー
    ビス機関Ｐ_jと複数の端末で共有されるグループ鍵GK^bと
    したことを特徴とする請求項２記載の複製端末発見方
    式。
11. 【請求項１１】 前記端末Ｔ_iは、前記サービス機関Ｐ_j
    から受信したサービス機関乱数Ｚ_i ^bと前記端末乱数Ｒ_i ^b
    と一時乱数Ｖ_ijに対する端末認証文Ｄ_i ^bを端末秘密鍵Ｓ
    _iにより生成する認証文生成手段を備え、 前記サービス機関Ｐ_jは、前記サービス機関乱数Ｚ_i ^bを
    生成するサービス機関乱数生成手段と、前回ラウンドに
    おける秘密情報の更新通知と前記サービス機関乱数Ｚ_i ^b
    を前記端末Ｔ_iに送信するサービス機関側送信手段とを
    備えたことを特徴とする請求項２記載の複製端末発見方
    式。
12. 【請求項１２】 前記端末Ｔ_iに、同一ラウンドにおい
    て前記秘密情報が複数種類存在する場合に前記端末暗号
    文Ｅ_i ^bに所望の秘密情報の種類を指定する手段と、同一
    ラウンドにおいては常に同じ前記端末乱数Ｒ_i ^bを前記端
    末暗号文Ｅ_i ^bに使用する手段とを設け、前記サービス機
    関Ｐ_jに、同一ラウンドにおいて同一の前記端末乱数Ｒ_i
    ^bが使用された前記端末暗号文Ｅ_i ^bにおいて指定された
    種類の秘密情報を、前記端末乱数Ｒ_i ^bおよび前記一時乱
    数Ｖ_ijより生成した前記共通鍵CK_i ^bにより暗号化して配
    送する手段を設けたことを特徴とする請求項２記載の複
    製端末発見方式。
13. 【請求項１３】 前記端末Ｔ_iに、前記サービス機関Ｐ_j
    からの通信を受信できない場合に前記サービス機関Ｐ_j
    に対して現在のラウンド番号を問い合わせる問い合わせ
    手段と、前記端末Ｔ_iと前記サービス機関Ｐ_jの前記ラウ
    ンド番号ｂが異なる場合に前記サービス機関Ｐ_jに再送
    を要求する再送要求手段とを設けたことを特徴とする請
    求項２記載の複製端末発見方式。
14. 【請求項１４】 前記通信システムが同報通信システム
    である場合に、前記サービス機関乱数Ｚ_i ^bを、複数の端
    末に共通のサービス機関乱数Ｚ^bとしたことを特徴とす
    る請求項２記載の複製端末発見方式。
15. 【請求項１５】 前記サービス機関公開鍵Ｙp_jと前記サ
    ービス機関秘密鍵Ｓp_jと前記センタ公開鍵Ｙcと前記セ
    ンタ秘密鍵Ｓcと前記端末公開鍵Ｙ_iと前記端末秘密鍵Ｓ
    _iとを生成する手段と、前記センタ公開鍵Ｙcを全サービ
    ス機関に配布する手段と、前記サービス機関公開鍵Ｙp_j
    を全端末に配布する手段と、前記センタ秘密鍵Ｓcとす
    べての前記サービス機関公開鍵Ｙp_jとを前記センタＣに
    配布する手段と、前記サービス機関秘密鍵Ｓp_jを対応す
    る前記サービス機関Ｐ_jに配布する手段と、前記端末秘
    密鍵Ｓ_iを対応する前記端末Ｔ_iに配布する手段とを有す
    る信頼できるシステム管理手段を前記通信システムに備
    えたことを特徴とする請求項２記載の複製端末発見方
    式。
16. 【請求項１６】 前記端末乱数生成手段は、同じ乱数を
    出力する乱数生成器を他に作成できず、かつ偶然他の乱
    数生成器の出力と同じ出力となる確率が無視できる出力
    長を持つという条件を満たすことを特徴とする請求項２
    記載の複製端末発見方式。
17. 【請求項１７】 前記グループ鍵GK^bの配布の途中にお
    いて、複製端末が発見された場合、前記グループ鍵GK^b
    を未配布の端末Ｔ_iの端末公開鍵Ｙ_i（サービス機関が端
    末秘密鍵を管理している場合は端末秘密鍵Ｓ_i）により
    前記グループ鍵GK^bを暗号化して前記未配布の端末Ｔ_iに
    配布する手段を備えたことを特徴とする請求項９記載の
    複製端末発見方式。
18. 【請求項１８】 前記端末Ｔ_iに、同一ラウンドにおい
    て複数のサービス機関を利用する場合に同一ラウンドに
    おいては常に同じ前記端末乱数Ｒ_i ^bを前記端末暗号文Ｅ
    _i ^bに使用する手段とを設けたことを特徴とする請求項２
    記載の複製端末発見方式。
19. 【請求項１９】 センタＣとｍ局（ｍは自然数）のサー
    ビス機関Ｐ_jとｎ台（ｎは自然数）の端末Ｔ_i（ｉは端末
    ID）とを含む通信システムの複製端末発見方式におい
    て、 前記端末Ｔ_iは、ラウンドｂにおける端末乱数Ｒ_i ^bを生
    成する端末乱数生成手段と、一時乱数Ｖ_ijを生成する一
    時乱数生成手段と、前記乱数を乱数情報Ｈ(Ｒ_i ^b)に変換
    する一方向性関数手段と、前記端末乱数Ｒ_i ^bと一時乱数
    Ｖ_ijをサービス機関公開鍵Ｙp_jで暗号化して端末暗号文
    Ｅ_i ^bを生成する公開鍵暗号化手段と、前記端末暗号文Ｅ
    _i ^bおよび乱数情報Ｈ(Ｒ_i ^b)に対する端末認証文Ｄ_i ^bを端
    末秘密鍵Ｓ_iにより生成する認証文生成手段と、前記端
    末認証文Ｄ_i ^bと前記端末暗号文Ｅ_i ^bと前記乱数情報Ｈ
    (Ｒ_i ^b)を前記センタＣに送信する端末側送信手段と、前
    記一時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bから共通鍵CK_i ^bを生
    成する端末側共通鍵生成手段と、秘密情報Ｋ_i ^bを前記共
    通鍵CK_i ^bにより暗号化したサービス機関暗号文PC_i ^bを前
    記共通鍵CK_i ^bにより復号化する共通鍵暗号復号手段とを
    備え、 前記センタＣは、前記端末認証文Ｄ_i ^bを端末公開鍵Ｙ_i
    （センタが端末秘密鍵を管理している場合は端末秘密鍵
    Ｓ_i）で検証する認証文検証手段と、検証結果が正しい
    場合にラウンドごとに前記乱数情報Ｈ(Ｒ_i ^b)と前記端末
    Ｔ_iの端末IDとを対応させて登録するデータベース手段
    と、前記データベースを検索して同一端末IDでかつ異な
    る端末乱数が登録されている重複登録を検出する検出手
    段と、重複登録の有無を記載した調査結果Ｆ_i ^bに対する
    センタ認証文Ｄ_C ^bをセンタ秘密鍵Ｓcにより生成する認
    証文生成手段と、前記調査結果Ｆ_i ^bと前記センタ認証文
    Ｄ_C ^bと前記端末認証文Ｄ_i ^bと前記端末暗号文Ｅ_i ^bと前記
    乱数情報Ｈ(Ｒ_i ^b)をサービス機関Ｐ_jに送信するセンタ
    側送信手段とを備え、 前記サービス機関Ｐ_jは、前記端末認証文Ｄ_i ^bとセンタ
    認証文Ｄ_C ^bをそれぞれ端末公開鍵Ｙ_i（サービス機関が
    端末秘密鍵を管理している場合は端末秘密鍵Ｓ_i）とセ
    ンタ公開鍵（サービス機関がセンタ秘密鍵を管理してい
    る場合はセンタ秘密鍵Ｓc）で検証する認証文検証手段
    と、正しい場合にサービス機関秘密鍵Ｓp_jで前記端末暗
    号文Ｅ_i ^bを復号して前記端末乱数Ｒ_i ^bと一時乱数Ｖ_ijを
    得る公開鍵暗号復号手段と、前記乱数Ｒ_i ^bを一方向性関
    数Ｈ手段により変換して受信した前記乱数情報Ｈ(Ｒ_i ^b)
    と比較する比較手段と、比較検証が等しければ前記セン
    タＣが送信した調査結果Ｆ_i ^bを参照し、重複登録が無け
    れば前記一時乱数Ｖ_ijと前記端末乱数Ｒ_i ^bに依存して共
    通鍵CK_i ^bを生成するサービス機関側共通鍵生成手段と、
    秘密情報Ｋ_i ^bを前記共通鍵CK_i ^bにより暗号化してサービ
    ス機関暗号文PC_i ^bを生成する共通鍵暗号化手段と、前記
    サービス機関暗号文PC_i ^bを前記センタＣを経由して前記
    端末Ｔ_iに送信するサービス機関側送信手段とを備えた
    ことを特徴とする複製端末発見方式。
20. 【請求項２０】 前記一方向性関数Ｈを、ハッシュ関数
    手段としたことを特徴とする請求項２、４、５のいずれ
    かに記載の複製端末発見方式。
21. 【請求項２１】 前記端末Ｔ_iの公開鍵暗号化手段を、
    前記端末乱数Ｒ_i ^bと一時乱数Ｖ_ijをサービス機関公開鍵
    Ｙp_jで暗号化して端末暗号文Ｅ_i ^bを生成する手段とし、
    前記認証文生成手段を、前記端末暗号文Ｅ_i ^bに対する端
    末認証文Ｄ_i ^bを端末秘密鍵Ｓ_iにより生成する手段と
    し、前記端末側送信手段を、前記端末暗号文Ｅ_i ^bと前記
    端末認証文Ｄ_i ^bを前記サービス機関Ｐ_jに送信する手段
    とし、前記サービス機関Ｐ_jの公開鍵暗号復号手段を、
    前記サービス機関秘密鍵Ｓp_jで前記端末暗号文Ｅ_i ^bを復
    号して前記端末乱数Ｒ_i ^bと前記一時乱数Ｖ_ijを得る手段
    としたことを特徴とする請求項２記載の複製端末発見方
    式。