JP2003110540A

JP2003110540A - 暗号鍵更新方法

Info

Publication number: JP2003110540A
Application number: JP2001305280A
Authority: JP
Inventors: Mariko Hagita; 真理子萩田
Original assignee: Keio University
Current assignee: Keio University
Priority date: 2001-10-01
Filing date: 2001-10-01
Publication date: 2003-04-11
Anticipated expiration: 2021-10-01
Also published as: JP3695526B2

Abstract

(57)【要約】【課題】暗号通信における鍵更新の処理時間と通信コ
ストを削減する。【解決手段】暗号通信の利用者は、最初に、Diffie-H
ellman鍵交換方式などにより、基本鍵ｋを交換して共有
する。基本鍵ｋのサイズを、暗号鍵サイズより大きくと
っておく。基本鍵ｋから、同じ一方向性関数に従って、
それぞれ別々に暗号鍵ｇを生成する。通信終了後に、次
の暗号通信のための鍵更新を行う。最初の基本鍵交換の
みで、以後は暗号鍵更新のための通信をせずに、ｉ番目
の暗号鍵ｇ(ｋ,ｉ)を生成する。鍵更新を通信終了後に
行えるようになり、鍵更新のための通信中の待ち時間と
通信コストを削減できる。次の暗号鍵を生成できること
が本人であることの証明にもなり、認証としての役割を
得ることもできる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号鍵更新方法に
関し、特に、共有鍵暗号を用いた暗号通信において、暗
号鍵を簡単かつ安全に更新する暗号鍵更新方法に関す
る。

【０００２】

【従来の技術】インターネットを用いて電子商取引を行
う時には、第３者に知られることなく、安全に２点Ａ,
Ｂ間で通信を行うために、データは暗号化して伝送され
ている。その時に利用される暗号技術として、現在広く
使用されているのは、AESやDESに代表される共有鍵暗号
方式である。これは、通信を行うＡ,Ｂ間でのみ共有し
ている共通暗号鍵をもとに、送信するデータを第３者に
分からないデータに変換する方法である。

【０００３】DES(Data Encryption Standard)は、これ
までアメリカ合衆国政府の国立標準研究所(NIST)が、デ
ータ暗号の標準として推奨してきた共有鍵暗号方式であ
る。AES(Advanced Encryption Standard)は、DESに代わ
るデータ暗号の標準としてNISTが公募し、数学者J.Daem
en,V.Rijmenによって開発されたRijndaelと呼ばれる暗
号化方式である。どちらも共有鍵を利用して、固定サイ
ズのブロックに区切られたデータを高速に暗号化する共
有鍵暗号方式であり、ブロックサイファーと呼ばれる。
この変換に必要な計算量は大変小さい。８ビットの２数
の積を求める計算と、鍵と同じビット数（64,128,196,2
56ビットのいずれか）の２数の和を求める計算が必要な
だけである。

【０００４】ここで使われる共有鍵は、第３者に知られ
てはならないものである。しかし、同じ鍵を何度も使い
続けると、知られてしまう可能性がある。これを避ける
ために、通信を何度か行うごとに、鍵を交換し直してい
る。この鍵交換では、最も安全とされるDiffie-Hellman
(1976)の鍵交換方式が利用されることが多い。すなわ
ち、公開された大きな素数ｐと、位数ｐの有限体GF(ｐ)
の乗法群の生成元ｇを用いて、ＡとＢがそれぞれ乱数
ａ,ｂを発生させる。ＡはＢに(ｇ^a modｐ)を送り、Ｂは
Ａに（ｇ^b modｐ）を送る。それぞれ、ｋ＝(ｇ^b)^a mod p＝(ｇ^a)^b modｐを計算し、秘密鍵として共有する。この鍵交換方法は、
DES,AESの変換に比べ大変安全だが、256ビット(128また
は512ビットの場合もある)の数同士の冪乗を計算するた
め、計算量がとても大きく、低速である。

【０００５】安全性を維持しながら、鍵交換の負荷を少
なくするために、各種の方法が提案されている。特開20
00-278258号公報に開示された「共通鍵交換方法」は、
共通鍵暗号方式を用いた秘密通信を行うための通信量が
少なく、効率的で安全な鍵交換方法である。１回目の鍵
交換は、Diffie-Hellman鍵交換方式において必要な全て
のパラメータの生成を行ない、公開情報の共有処理を行
った上で、鍵交換処理を行う。２回目以降の鍵交換にお
いては、既に共有されている秘密情報を、新たな鍵交換
における公開情報の一つとして使用し、このパラメータ
の生成および共有処理は行わずに、鍵交換処理を行う。
２回目以降の鍵交換処理時に、共有すべき公開情報の一
部を生成する必要が無いため、鍵交換処理において任意
数発生の処理が省略できる。また、通知すべきパラメー
タが少なくなるため、共有すべき公開情報を含むパケッ
トのサイズが小さくなる。ひいては、通信量を少なくす
ることができ、通信路に公開情報を送信する必要をなく
すことができる。

【０００６】また、特開2001-60256号公報に開示された
「データ更新機能付きICカード」は、鍵更新のための特
別なカード処理のためのセンターを不要にし、安全に鍵
更新できるようにするものである。ICカードに暗号用鍵
の更新予定日を登録しておき、外部からの時間情報と更
新予定日に基づいて更新時期を判別し、更新予定日以降
に、現在の暗号用鍵データと取引回数データとから演算
して新しい鍵を生成し、更新する。

【０００７】

【発明が解決しようとする課題】しかし、従来の暗号鍵
更新方法においては、Diffie-Hellman鍵交換方式で通信
中に鍵交換を行うと、その計算を行っている間、電子商
取引をストップさせることになり、定期的に待ち時間と
通信コストが生じるという問題があった。

【０００８】本発明は、上記従来の問題を解決して、通
信を必要としない効率的で安全な鍵更新方法により、鍵
更新を通信終了後に行うことで、待ち時間と通信コスト
を削減することを目的とする。

【０００９】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、共有鍵暗号方式で暗号通信を行う二
点間の共有秘密情報に基づいて、更新暗号鍵を同じ一方
向性関数に従って二点それぞれで別々に生成することに
より、通信をせずに暗号鍵更新を行う暗号鍵更新方法
を、暗号鍵のサイズより大きい共有秘密情報を二点で共
有し、共通秘密情報を含む情報から、一方向性関数によ
り共通秘密情報よりも情報量が少ない新しい暗号鍵を生
成する構成とした。

【００１０】このように構成したことにより、簡単かつ
安全に暗号鍵を更新することができる。また、暗号鍵交
換のためのデータのやり取りをしない代わりに、最初に
交換する共通秘密情報のサイズを、暗号鍵サイズより大
きくとっておくことで、通信時に共通秘密情報の一部し
か外に現れないようにして、暗号鍵を更新するごとに、
その前の暗号鍵にはなかった新たな情報が加わるように
して、新たに選び直すことに相当する安全性を得てい
る。通信では元の共通秘密情報の一部しか見せないこと
で、新規に暗号鍵を生成したと同様な状態を作り出し、
安全性を高めることができる。また、暗号鍵更新のため
の情報を通信しないため、その情報を漏らさないための
処理が不要となる。さらに、次の暗号鍵を生成できるこ
とが本人であることの証明にもなり、認証としての役割
を得ることもできる。

【００１１】また、一方向性関数を、あらかじめ取り決
めた合成数Ｎを法とする剰余環における乗算を行う関数
としたので、素数を法とした場合に比べ乱数度と強度を
高めることができる。暗号鍵更新のための計算量も、通
信を利用して新たな鍵を安全に交換するよりも少なくで
きる。

【００１２】また、一回の通信を終了するごとに暗号鍵
を更新するので、暗号鍵更新を通信終了後に行えるよう
になり、暗号鍵更新のための通信中の待ち時間と通信コ
ストを削減できる。

【００１３】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１〜図６を参照しながら詳細に説明する。

【００１４】（第１の実施の形態）本発明の第１の実施
の形態は、最初にDiffie-Hellman鍵交換方式で256ビッ
トの基本鍵を交換して、基本鍵を二乗して１とならない
ことを確認し、これを更新基本鍵とし、そのうちの64ビ
ットをDESの暗号鍵とし、２回目からは、更新基本鍵を
二乗した新更新基本鍵のうちの64ビットをDESの暗号鍵
とする暗号鍵更新方法である。

【００１５】図１は、本発明の第１の実施の形態におけ
る暗号鍵更新方法の概念図である。図２は、本発明の第
１の実施の形態における暗号鍵更新方法の概略の流れ図
である。この方法は、平方剰余により疑似乱数を生成す
るBlum-Blum-Shub（ＢＢＳ）法を利用した方法であるの
で、仮にＢＢＳ法と呼ぶ。最初に、図１と図２を参照し
て、本発明の第１の実施の形態における暗号鍵更新方法
の概略を説明する。

【００１６】図１に示すように、256ビットの基本鍵ｋ
を二乗して、更新基本鍵ｈを求める。更新基本鍵ｈのう
ちの64ビットを抽出して、暗号鍵ｇとする。図２の流れ
図に示すステップ１で、剰余計算に使う法Ｎと鍵交換に
使う乱数ｒを用意する。ステップ２で、Diffie-Hellman
鍵交換方式により256ビットの基本鍵ｋを、通信相手と
交換する。ステップ３で、基本鍵ｋを二乗して更新基本
鍵ｈとする。ステップ４で、更新基本鍵ｈのうちの64ビ
ットを抽出して、暗号鍵ｇとする。ステップ５で、暗号
鍵ｇをDESの暗号鍵として、暗号通信を行う。ステップ
６で、更新基本鍵ｈを二乗して新しい更新基本鍵ｈとす
る。ステップ７で、新しい更新基本鍵ｈのうちの64ビッ
トを抽出して、次の暗号鍵ｇとする。ステップ５に戻
り、暗号通信を行う。これを繰り返す。

【００１７】以下、各ステップについて、詳しく説明す
る。DES方式の暗号を用いて暗号通信を行う場合を例と
して説明する。DESでは64ビットの暗号鍵を用いる。送
りたいデータ（平文）を64ビットに区切って、暗号鍵で
暗号文に変換する。DESを利用した通信では、同じ暗号
鍵を長く使い続けると、暗号鍵が破られて、その後のす
べての文書を解読されてしまう。これを回避するため、
一回の通信を終了する度に暗号鍵を更新して、安全性を
確保する。

【００１８】暗号鍵の更新における計算は、素数ｐを法
とする剰余での計算（GF(ｐ)での計算）ではなく、合成
数Ｎ（＝ｓ×ｔ）を法とする剰余環での計算とする。GF
(ｐ)での演算では除算及び平方根を求める簡単な計算方
法が存在するが、合成数を法とする剰余環では、与えら
れた元に逆元があっても因数分解を知らずにこれを求め
るには膨大な計算量がかかるため、除算及び平方根を求
めることも事実上不可能で、因数を求める効率の良い計
算方法も見つかっていないので、暗号鍵の逆算が困難に
なるためである。

【００１９】あらかじめ、合成数Ｎを準備しておく。12
8ビットの素数ｓ,ｔで、(ｓ−１)／２も(ｔ−１)／２も
素数となるものを選び、Ｎ＝ｓ×ｔ（256ビット）とす
る。例えば、２進125ビットの乱数ｘを次々に発生させ
る。1x1(乱数ｘのMSBの上位桁に１を連接し、LSBの下位
桁にも１を連接した127ビットの数、すなわち、２¹²⁶ ＋
２ｘ＋１)に素数検定をかける。これが素数ならば、1x1
1（さらにLSBの下位桁に１を連接した128ビットの数、
２¹²⁷＋４ｘ＋３）に素数検定をかける。これが素数検
定に合格すれば、この数を使う。これを、２回の素数検
定に合格するまで繰り返す。このようにして、素数ｓ＝
1x11を見つけることができる。素数ｔも同様にして見つ
ける。

【００２０】また、256ビットの乱数ｒで、ｒ^(s-1)≠１ modＮｒ^(t-1)≠１ modＮとなるものを選んで装備しておく。ｓ,ｔは非公開とす
る。この場合には、ｒ^e＝１ modＮをみたす最小の正の整数ｅは(ｓ−１)(ｔ−１)／２とな
り、十分に大きく、ｓ,ｔを知らない人が、ｅを求める
ことは難しい。

【００２１】通信を行う人も、以下の計算過程でｓ,ｔ
を知る必要はないので、Ｎ,ｒは、システムとしてあら
かじめ装備しておく。利用者それぞれが複数の通信相手
を持つ場合にも、積の計算はすべて同じmodＮで行うこ
とにする。

【００２２】最初の基本鍵ｋの交換には、最も安全な方
法と考えられているDiffie-Hellman鍵交換方式を、素数
での剰余の代わりに合成数Ｎでの剰余に置き換えたもの
を用いる。ここでは、有限体上のDiffie-Hellman鍵交換
方式と同様な剰余環上の鍵交換方式も、Diffie-Hellman
鍵交換方式と呼ぶことにする。すなわち、以下の方法
で、256ビットの基本鍵ｋを交換する。

【００２３】通信を行うＡとＢは、それぞれ256ビット
の乱数ａ,ｂを発生させて、ＡはＢに、（ｒ^a modＮ）を
送り、ＢはＡに、（ｒ^b modＮ）を送り、それぞれが、ｋ＝(ｒ^b)^a modＮ＝(ｒ^a)^b modＮを計算し、ｋを基本鍵として秘密に共有する。Diffie-H
ellman鍵交換方式以外の方法で、基本鍵ｋを交換しても
よい。例えば、公開鍵方式で基本鍵ｋを相手に送ること
もできる。

【００２４】基本鍵ｋをこのように選ぶと、合成数Ｎを
法とする剰余環において、基本鍵ｋのべき乗で生成され
る乗法群の位数ｅ、すなわち、ｋ^e＝１ modＮをみたす最小の正の整数ｅは、ｋ²≠１ modＮであれば、(ｓ−１)(ｔ−１)／２，(ｓ−１)(ｔ−１)／
４，(ｓ−１)，(ｔ−１)，(ｓ−１)／２，(ｔ−１)／２
のいずれかであり、どれも十分に大きい。また、ｓ,ｔ
を知らない人がこれを求めるには、Ｎを因数分解する
か、全数チェックすることが必要となる。この計算量は
十分に多いため、現在の技術では事実上求めることがで
きないものとみなせる。

【００２５】１回目の通信に用いる暗号鍵ｇ(ｋ,１)
は、ｈ(ｋ,１)＝ｋ² modＮの最初の64ビットとする。すなわち、基本鍵ｋを二乗し
て更新基本鍵ｈを求め、256ビットの更新基本鍵の最初
の64ビットを取り出して、暗号鍵ｇとする。ｉ回目の通
信に利用する暗号鍵ｇ(ｋ,ｉ)は、ｈ(ｋ,ｉ)＝ｈ(ｋ,ｉ−１)² modＮのｉ（mod 256）ビット目（MSBを１ビット目とする）か
ら、mod 256ビットで見て連続する64ビットとする。

【００２６】ｉ番目の暗号鍵ｇ(ｋ,ｉ)を用いての通信
時には、暗号鍵ｇ(ｋ,ｉ)の他に、更新基本鍵ｈ(ｋ,ｉ)
を保存しておき、その通信の終了後、次の通信までの間
に、それぞれが、ｈ(ｋ,ｉ＋１)＝ｈ(ｋ,ｉ)² modＮを計算し、（ｉ＋１）番目の暗号鍵ｇ(ｋ,ｉ＋１)を生
成し、次の通信に用いる。もちろん、速度に問題がなけ
れば、通信中に並行して次の暗号鍵ｇを計算しておき、
必要となった場合、すぐに暗号鍵ｇを更新するようにし
てもよい。

【００２７】２回目以降の鍵更新を、通信中には行わな
いので、暗号鍵更新のための待ち時間と通信コストを削
減できる。また、２回目以降の暗号鍵ｇを生成するため
の計算量も、256ビットの数２つの積の計算１回分に相
当し、冪乗の計算を行うDiffie-Hellman鍵交換方式を用
いる場合に比べれば、はるかに小さい。そのため、通信
の度に暗号鍵ｇを取り替えることが可能となり、DESの
ように十分に安全とは言えなくなった暗号方式で通信を
行っても、通信相手以外の者が暗号鍵を推定することは
困難となる。

【００２８】さらに、ｉ番目の暗号鍵ｇ(ｋ,ｉ)を用い
ての通信のデータから、第三者がDESを解読して暗号鍵
ｇ(ｋ,ｉ)を推定できたとしても、更新基本鍵ｈ(ｋ,ｉ)
を推定するには、残りのビットに相当する２¹⁹²通りの
可能性を考えなくてはならず、DESの64ビット鍵を求め
る以上の計算量が必要となる。

【００２９】また、このように基本鍵ｋを次々に二乗し
て、未知の２つの素数の積Ｎでの剰余ｈ(ｋ,ｉ)を作
り、これを並べて作った列が、乱数として大変優れたも
の、すなわち連続するいくつものデータを集めても、次
のビットをランダムより良い確率で予測することが難し
い、という性質をもつ乱数列になっていることは、文献
［L. Blum, M. Blum, M. Shub: "A Simple Unpredictab
le Psudo-Random NumberGenerator", SIAM J. Comput.
Vol15, No.2, May 1986］で示されている。よって、い
くつかの暗号鍵ｇ(ｋ,ｉ)を推定しても、法則を見つけ
ることは大変に難しく、他の暗号鍵を推定するには、や
はり全数チェック相当の計算が必要となると考えられ、
安全に通信を行うことができる。

【００３０】上記のように、本発明の第１の実施の形態
では、暗号鍵更新方法を、最初にDiffie-Hellman鍵交換
方式で256ビットの基本鍵を交換して、基本鍵を二乗し
て更新基本鍵とし、そのうちの64ビットをDESの暗号鍵
とし、２回目からは、更新基本鍵を二乗した新更新基本
鍵のうちの64ビットをDESの暗号鍵とする構成としたの
で、暗号鍵の交換のための通信をすることなく、簡単な
計算で安全に暗号鍵を更新できる。

【００３１】(第２の実施の形態)本発明の第２の実施の
形態は、最初に、鍵管理センターから256ビットの基本
鍵を取得して共有し、基本鍵から加減算で64ビットのDE
S暗号鍵を生成し、２回目からは、32ビットの加減乗算
で基本鍵を更新し、更新した基本鍵から加減算で64ビッ
トのDES暗号鍵を生成する暗号鍵更新方法である。

【００３２】図３は、本発明の第２の実施の形態におけ
る暗号鍵更新方法の概念図である。図４は、本発明の第
２の実施の形態における暗号鍵更新方法の概略の流れ図
である。この方法は、加減算により暗号鍵を生成するの
で、仮に加減算法と呼ぶ。携帯端末やICカードなどで
は、電子商取引を行うために信頼できる暗号処理が必要
にもかかわらず、メモリやCPUや待ち時間の上限等の制
約がある。大きな暗号鍵データをいくつも保存すること
も、32ビット以上の２つの数の冪乗の計算を行うことも
難しい。十分に安全な暗号方式でデータを暗号化するこ
とが困難である。データの変換方式を簡易なものに変え
るかわりに、暗号鍵の更新を、計算量も少なく、しかも
頻繁に、例えば、電子商取引を行うたびに行うことで、
十分な安全性を確保する。図３と図４を参照して、本発
明の第２の実施の形態における暗号鍵更新方法の概略を
説明する。

【００３３】図３に示すように、256ビットの基本鍵ｋ
を32ビットずつに分け、上位128ビットについて32ビッ
トずつの加減算を行い、64ビットの暗号鍵ｇの上位32ビ
ットとする。下位128ビットについて32ビットずつの加
減算を行い、64ビットの暗号鍵ｇの下位32ビットとす
る。図４の流れ図に示すステップ12で、センターから25
6ビットの基本鍵ｋを取得する。ステップ13で、基本鍵
ｋから加減算により暗号鍵ｇを計算する。ステップ14
で、暗号鍵ｇをDESの暗号鍵として、暗号通信を行う。
ステップ15で、加減乗算により、基本鍵ｋから新しい基
本鍵ｋを生成する。ステップ16で、新しい基本鍵ｋから
加減算により暗号鍵ｇを計算する。ステップ14に戻り、
暗号通信を行う。これを繰り返す。

【００３４】以下、各ステップについて、詳しく説明す
る。商取引には、64ビットの暗号鍵を用いたDESまたは
ストリームサイファーで情報の変換をする。上記のよう
な制約がある場合には、暗号鍵情報を、通信路を利用し
て安全に交換することはできないため、一回目の電子商
取引を始める前には、鍵管理センターに直接アクセスし
てデータを取り込むことで、256ビットの基本鍵ｋを共
有しておく。

【００３５】しかし、鍵管理センターに頻繁に直接アク
セスして256ビットの基本鍵を共有させるのは、手間が
かかりすぎて実用上問題があるため、現在保有している
情報から、実現可能な計算量で次回の通信に使う暗号鍵
を生成する。

【００３６】商取引を始める直前に、共有する基本鍵ｋ
から、通信に用いる64ビットの暗号鍵ｇを得るため、次
のような計算をする。まず、図３に示すように、基本鍵
ｋを32ビットごとに区切り、x₁,x₂,x₃,x₄,x₅,x₆,x₇,x₈
とする。以下、計算はすべてmod２³²で行う。商取引に
用いる64ビット鍵ｇは、上位32ビットを、x₁-x₂+x₃(EXO
R)x₄で求める。下位32ビットを、x₅(EXOR)x₆+x₇-x₈で求
める。ここで、(EXOR)は、ビットごとに排他的論理和を
とる関数とする。基本鍵ｋから64ビットの暗号鍵ｇを求
める計算は、和と(EXOR)だけからなる。これは大変簡単
な計算で、時間もほとんどかからない。

【００３７】商取引終了直後に、基本鍵ｋを更新するた
めの計算を、次のように行う。すなわち、ｙ₁＝ｘ₁×ｘ₅ ｙ₂＝ｘ₂×ｘ₇ ｙ₃＝ｘ₃(EXOR)x₈ ｙ₄＝ｘ₄−ｘ₆ ｙ₅＝ｘ₃×ｘ₆ ｙ₆＝ｘ₄×ｘ₈ ｙ₇＝ｘ₁(EXOR)ｘ₇ ｙ₈＝ｘ₂(EXOR)ｘ₅ として、ｘ_iをｙ_iに代えて基本鍵ｋを更新し、次の通信
まで保存しておく。携帯端末なら、通信終了後に計算す
れば良い。ICカードなら、電子商取引終了時に上の計算
をして基本鍵ｋを更新し、書き換えておくようにすれば
良い。

【００３８】32ビットの積を４回計算する他は、和と(E
XOR)しか計算していないため、かなり制約の大きい通信
装置でも、簡単に計算することができる。また、自身が
保有するデータだけを利用して、通信することなく次の
暗号鍵を生成できるため、暗号鍵の更新が容易に行え
る。

【００３９】さらに、通信及び電子商取引終了後には、
必ず自動的に暗号鍵を更新しているため、次の暗号鍵を
生成できることが、本人であることの証明にもなる。第
三者によるなりすまし、すなわち、取引のために暗号化
して送ったデータをそのまま送ることで同じ取引を実現
すること、を防止することも可能になる。

【００４０】上記のように、本発明の第２の実施の形態
では、暗号鍵更新方法を、最初に、鍵管理センターから
256ビットの基本鍵を取得して共有し、基本鍵から加減
算で64ビットのDES暗号鍵を生成し、２回目からは、32
ビットの加減乗算で基本鍵を更新し、更新した基本鍵か
ら加減算で64ビットのDES暗号鍵を生成する構成とした
ので、１回通信するのみで、きわめて簡単な計算で安全
に暗号鍵を更新できる。

【００４１】(第３の実施の形態)本発明の第３の実施の
形態は、最初に、Diffie-Hellman鍵交換方式で512ビッ
トの基本鍵ｋを交換し、基本鍵ｋのうちの下位256ビッ
トをS-box処理してｋ乗した結果の下位256ビットをAES
の暗号鍵とし、２回目からは、前回の暗号鍵をS-box処
理したものをｋ乗した結果の下位256ビットをAESの暗号
鍵とする暗号鍵更新方法である。

【００４２】図５は、本発明の第３の実施の形態におけ
る暗号鍵更新方法の概念図である。図６は、本発明の第
３の実施の形態における暗号鍵更新方法の概略の流れ図
である。この方法は、べき乗により暗号鍵を生成するの
で、仮にべき乗法と呼ぶ。これからの共有鍵暗号方式の
標準として推奨されるAES暗号方式のうち、もっとも安
全性の高い256ビット暗号鍵を用いた暗号化方式を用い
る。ある程度の計算量はかかっても良いから、更に安全
性を強化して、できるだけ外部に情報を漏らさずに通信
を行いたい場合の暗号鍵更新方法である。図５と図６を
参照して、本発明の第３の実施の形態における暗号鍵更
新方法の概略を説明する。

【００４３】図５に示すように、512ビットの基本鍵ｋ
の下位256ビットを抽出して、最初の暗号鍵ｇとする。
暗号鍵ｇをS-box処理して、ｆ(ｇ)とする。これをｋ乗
して、512ビットの法Ｎの剰余を求め、その下位256ビッ
トを次回の暗号鍵ｇとする。図６の流れ図に示すステッ
プ21で、剰余計算に使う法Ｎと鍵交換に使う乱数ｒを用
意する。ステップ22で、Diffie-Hellman鍵交換方式によ
り512ビットの基本鍵ｋを、通信相手と交換する。ステ
ップ23で、基本鍵ｋの下位256ビットをS-box処理してｋ
乗した結果の下位256ビットを暗号鍵ｇとする。ステッ
プ24で、暗号鍵ｇをDESの暗号鍵として、暗号通信を行
う。ステップ25で、基本鍵ｋと暗号鍵ｇのビットパター
ンに応じて暗号鍵ｇの更新を行うかどうかを判断する。
更新を行う場合は、ステップ26で、暗号鍵ｇをS-box処
理してｋ乗した結果の下位256ビットを新しい暗号鍵ｇ
とする。ステップ24に戻り、暗号通信を行う。これを繰
り返す。

【００４４】以下、各ステップについて、詳しく説明す
る。第１の実施の形態と同様に、256ビットの素数ｓ,ｔ
で、(ｓ−１)／２も(ｔ−１)／２も素数となるものを生
成する。計算は、Ｎ＝ｓ×ｔ（512ビット）を法とする
剰余環で行う。通信を行うＡ,Ｂは、最初の基本鍵ｋ
を、Diffie-Hellman鍵交換方式で交換する。交換し共有
した512ビットの基本鍵ｋは、それぞれ秘密に保存し続
ける。

【００４５】AESにおけるデータの変換には、S-boxと呼
ばれる８ビットの情報の一対一対応を与える関数を使
う。256ビットの２進数を８ビットごとに区切り、それ
ぞれにS-boxを施す関数をｆとする。また、任意の数に
対して、mod２²⁵⁶をとる関数をＭ₂₅₆とし、modＮをとる
関数をＭ_Nとする。

【００４６】まず、基本鍵ｋの下位256ビットを取り出
し、ｇ(ｋ,０)とする。すなわち、ｇ(ｋ,０)＝Ｍ₂₅₆(ｋ) とする。実際の通信に用いる最初の暗号鍵ｇ(ｋ,１)
は、ｇ(ｋ,０)をS-box処理し、その結果のｋ乗の法Ｎで
の剰余を求め、その下位256ビットを使う。すなわち、ｇ(ｋ,１)＝Ｍ₂₅₆(Ｍ_N(ｆ(ｇ(ｋ,０))^k)) とする。２回目以降の暗号鍵は、それぞれが、ｇ(ｋ,ｉ＋１)＝Ｍ₂₅₆(Ｍ_N(ｆ(ｇ(ｋ,ｉ))^k)) を計算することにより、ｉ番目の鍵ｇ(ｋ,ｉ)から（ｉ
＋１）番目の鍵ｇ(ｋ,ｉ＋１)を生成する。

【００４７】次回に使う暗号鍵ｇは、通信中でもそうで
なくても、暗号鍵更新後１時間以内に計算しておく。ｉ
番目の暗号鍵ｇ(ｋ,ｉ)を利用している間に保存してお
く情報は、ｇ(ｋ,ｉ),ｇ(ｋ,ｉ＋１),ｋの合わせて1024
ビットである。

【００４８】暗号鍵更新のタイミングは、AESを用いた
通信をスタートさせるときに、Ａ,Ｂの時計を同期させ
ることで決める。通信中でもそれ以外でも、１時間ごと
に基本鍵ｋと暗号鍵ｇを見て、最後に暗号鍵更新をして
からｉ時間目には、基本鍵ｋのｉ番目のビットと、その
時に共有鍵としている暗号鍵ｇのｉ番目のビットを比べ
て、一致している場合に、次の暗号鍵に取り替える。24
時間経過したら、一致しなくても取り替える。

【００４９】ここで用いるS-boxは、AESのために装備さ
れているものなので、新たに大きな関数を書き加える必
要はない。２回目以降の暗号鍵を生成するための計算量
は、冪計算を行っているので、Diffie-Hellman鍵交換方
式を用いるのと同程度に大きくなるが、暗号鍵の安全性
も同程度に高くなる。また、暗号鍵更新のための信号を
送らないため、暗号鍵更新のタイミングも第三者にはわ
からず、機密性の高い暗号通信装置を実現することがで
きる。

【００５０】上記のように、本発明の第３の実施の形態
では、暗号鍵更新方法を、最初に、Diffie-Hellman鍵交
換方式で512ビットの基本鍵ｋを交換し、基本鍵ｋのう
ちの下位256ビットをS-box処理してｋ乗した結果の下位
256ビットをAESの暗号鍵とし、２回目からは、前回の暗
号鍵をS-box処理したものをｋ乗した結果の下位256ビッ
トをAESの暗号鍵とする構成としたので、通信すること
なく、安全に暗号鍵を更新できる。

【００５１】

【発明の効果】以上の説明から明らかなように、本発明
では、共有鍵暗号方式で暗号通信を行う二点間の共有秘
密情報に基づいて、次に使う暗号鍵を同じ一方向性関数
に従って二点それぞれで別々に生成することにより、通
信をせずに暗号鍵更新を行う暗号鍵更新方法を、共通秘
密情報を一方向性関数により更新し、更新した共通秘密
情報の情報量を削減することにより新しい暗号鍵を生成
する構成としたので、暗号鍵更新を、高い安全性を損な
うことなく、通信をせずに行うことが可能となり、待ち
時間と通信コストの削減を実現できるという効果が得ら
れる。

【００５２】また、暗号鍵更新のための情報を通信しな
いため、その情報を漏らさないための処理が不要とな
る。暗号鍵更新のための計算量も、通信を利用して新た
な鍵を安全に交換するよりも少なくできる。これによ
り、頻繁に共有鍵を取り替えることが可能となり、同じ
コストで、これまで以上に信頼性の高い暗号通信装置を
実現することができる。

【００５３】また、携帯端末やICカードを用いて電子商
取引を行う場合など、信頼できる暗号処理が必要にもか
かわらず、メモリやCPUの制約により、AES等の十分に安
全な共有鍵暗号方式でデータを変換することが困難な場
合にも、データの変換方式を簡易なものに変えるかわり
に、鍵の更新を頻繁に行うことで、高い安全性を確保す
ることが可能となる。

【００５４】すでに設計済みの暗号を強化したい場合に
も、用いる鍵の倍のサイズの鍵を共有して、通常より頻
繁に鍵更新を行うことで、通信を必要とする鍵交換の回
数は増やさずに、同じ暗号で安全性を高めることもでき
る。この場合、鍵更新に必要な情報を通信する必要がな
いため、あらかじめ取り決めた鍵情報がなければわから
ないタイミングで鍵更新を行えば、鍵更新したことすら
気づかせずに鍵を代えることもできる。

【００５５】さらに、大切な電子商取引を行う場合に
は、終了後には必ず自動的に鍵を更新することにより、
次の鍵を生成できることが本人であることの証明にもな
り、第三者によるなりすまし、すなわち、取引のために
暗号化して送ったデータをそのまま送ることで同じ取引
を実現することを防止する効果も得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態における暗号鍵更新
方法の概念図、

【図２】本発明の第１の実施の形態における暗号鍵更新
方法の概略の流れ図、

【図３】本発明の第２の実施の形態における暗号鍵更新
方法の概念図、

【図４】本発明の第２の実施の形態における暗号鍵更新
方法の概略の流れ図、

【図５】本発明の第３の実施の形態における暗号鍵更新
方法の概念図、

【図６】本発明の第３の実施の形態における暗号鍵更新
方法の概略の流れ図である。

【符号の説明】

ｋ基本鍵ｈ更新基本鍵ｇ暗号鍵

Claims

【特許請求の範囲】

【請求項１】共有鍵暗号方式で暗号通信を行う二点間
の共有秘密情報に基づいて、更新暗号鍵を同じ一方向性
関数に従って前記二点それぞれで別々に生成することに
より、通信をせずに暗号鍵更新を行う暗号鍵更新方法に
おいて、暗号鍵のサイズより大きい共有秘密情報を前記
二点で共有し、前記共通秘密情報を含む情報から、前記
一方向性関数により前記共通秘密情報よりも情報量が少
ない新しい暗号鍵を生成することを特徴とする暗号鍵更
新方法。
【請求項２】最初の共有秘密情報をDiffie-Hellman鍵
交換方式により前記二点間で交換することを特徴とする
請求項１記載の暗号鍵更新方法。
【請求項３】一回の通信を終了するごとに前記暗号鍵
を更新することを特徴とする請求項１記載の暗号鍵更新
方法。
【請求項４】前記暗号鍵は、DES方式の暗号鍵である
ことを特徴とする請求項１記載の暗号鍵更新方法。
【請求項５】前記暗号鍵は、AES方式の暗号鍵である
ことを特徴とする請求項１記載の暗号鍵更新方法。
【請求項６】前記共有秘密情報のビット数は、前記暗
号鍵のビット数の２倍または４倍であるであることを特
徴とする請求項１記載の暗号鍵更新方法。
【請求項７】前記一方向性関数は、あらかじめ取り決
めた合成数Ｎを法とする剰余環における乗算を行う関数
であることを特徴とする請求項１記載の暗号鍵更新方
法。
【請求項８】前記一方向性関数は、あらかじめ取り決
めた合成数Ｎを法とする剰余環において前記共通秘密情
報を二乗し、その結果の所定部分を暗号鍵として出力す
る関数であることを特徴とする請求項１記載の暗号鍵更
新方法。
【請求項９】前記一方向性関数は、あらかじめ取り決
めた合成数Ｎを法とする剰余環における乗算を行う関数
であり、前記合成数Ｎは素数ｓと素数ｔの積であり、前
記素数ｓは（ｓ−１）／２が素数となり、前記素数ｔは
（ｔ−１）／２が素数となる素数であることを特徴とす
る請求項１記載の暗号鍵更新方法。
【請求項１０】請求項１〜９のいずれかに記載の暗号
鍵更新方法を実行する手順を記述したことを特徴とする
コンピュータプログラム。
【請求項１１】請求項１０記載のコンピュータプログ
ラムを格納したことを特徴とする記録媒体。
【請求項１２】請求項１０記載のコンピュータプログ
ラムを実行する演算手段と、前記演算手段により更新し
た暗号鍵を使って暗号通信を行う通信手段とを具備する
ことを特徴とする通信装置。
【請求項１３】請求項１０記載のコンピュータプログ
ラムを実行する演算手段と、前記演算手段により更新し
た暗号鍵を使って暗号通信を行う通信手段とを具備する
ことを特徴とするICカード。