JP2003521197A - 鍵暗号化の供託および回復システムによる通信方法 - Google Patents
鍵暗号化の供託および回復システムによる通信方法Info
- Publication number
- JP2003521197A JP2003521197A JP2001555258A JP2001555258A JP2003521197A JP 2003521197 A JP2003521197 A JP 2003521197A JP 2001555258 A JP2001555258 A JP 2001555258A JP 2001555258 A JP2001555258 A JP 2001555258A JP 2003521197 A JP2003521197 A JP 2003521197A
- Authority
- JP
- Japan
- Prior art keywords
- key
- entity
- session key
- session
- cipher
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】
本発明は、通信セッションを開始するエンティティが、該エンティティの秘密鍵（Ｓa）と初期値（ＩＶ）とにより初期化される疑似ランダムジェネレータを用いてセッション鍵（ＳＫ）を生成する方法に関する。メッセージは、セッション鍵により符号化される。セッション鍵については、供託機関（Ｔa）により検索することができ、供託機関（Ｔa）は、秘密鍵（Ｓa）をアーカイブし、かつ、初期値（ＩＶ）を回復することができる。本発明は、安全な通信システムに応用可能である。
Description
【０００１】
本発明の目的は、鍵暗号化の供託（escrow）および回復（recovery）処理を考
慮に入れる通信方法である。これらの処理は、１つまたは幾つかの予め定義され
た団体（例えば、会社のネットワークのセキュリティ管理者、信頼された第三者
、および、場合によっては、実際の暗号化システムユーザー）に、必要であれば
、通信中に用いられ、交換されたデータに基づくセッション鍵を回復する可能性
を保証する。セッション鍵を回復する可能性は、社内において鍵を合法的に傍受
または回復する必要性から生じ得る。
慮に入れる通信方法である。これらの処理は、１つまたは幾つかの予め定義され
た団体（例えば、会社のネットワークのセキュリティ管理者、信頼された第三者
、および、場合によっては、実際の暗号化システムユーザー）に、必要であれば
、通信中に用いられ、交換されたデータに基づくセッション鍵を回復する可能性
を保証する。セッション鍵を回復する可能性は、社内において鍵を合法的に傍受
または回復する必要性から生じ得る。
【０００２】
本発明は、安全な通信サービスにおける応用性を有する。
【０００３】
本質的には、２人の話者またはエンティティａ，ｂ間の通信中に交換されたデ
ータから、この通信を解読するために用いられるセッション鍵を再構築する能力
を、１つまたは幾つかの供託機関に保証する２つのタイプの鍵供託／回復技術が
存在する。これら２つのタイプの技術については、エンティティと１つまたは複
数の供託機関との間における各々の通信中に発生するデータ交換を一切必要とせ
ずに導入することができる（“オフライン”として知られている方法）。
ータから、この通信を解読するために用いられるセッション鍵を再構築する能力
を、１つまたは幾つかの供託機関に保証する２つのタイプの鍵供託／回復技術が
存在する。これら２つのタイプの技術については、エンティティと１つまたは複
数の供託機関との間における各々の通信中に発生するデータ交換を一切必要とせ
ずに導入することができる（“オフライン”として知られている方法）。
【０００４】
〈タイプ１：供託機関により鍵を分配するための静的鍵（static key）のファ
イリング〉 このタイプの技術は、話者の間で確立されたセッション鍵が、該話者のうちの
１人（例えば、ｂ）による静的秘密鍵（すなわち、セッション毎に更新されない
鍵）の所有権に依存する鍵交換プロトコルを用いる場合のシステムに適用される
。鍵交換プロトコルにおいてｂにより用いられる秘密鍵は、供託機関によってフ
ァイリングされる（または、幾つかの供託機関の間で分配される）。この秘密鍵
の所有権によって、１つまたは複数の供託機関が、必要に応じて、ａとｂとの間
において交換された全てのセッション鍵を、この鍵を確立するためのプロトコル
において用いられたメッセージから再構築することが可能となる。この鍵の供託
および回復方法の一例は、"Lecture Notes in Computer Science 1029, Cryptog
raphy Policy and Algorithms Conference"（Springer Verlag社、１９９６年）
の第９８〜１０４頁に掲載された"A Proposed Architecture for Trusted Third
Party Services"（Ｎ．ジェフリーズ（Jefferies）、Ｃ．ミッチェル（Mitchel
l）、および、Ｍ．ウォーカー（Walker）著）という論文に提供されている。こ
れは、この第１のタイプの技術における主要な方法の１つであり、現在では、欧
州において検討されている。
イリング〉 このタイプの技術は、話者の間で確立されたセッション鍵が、該話者のうちの
１人（例えば、ｂ）による静的秘密鍵（すなわち、セッション毎に更新されない
鍵）の所有権に依存する鍵交換プロトコルを用いる場合のシステムに適用される
。鍵交換プロトコルにおいてｂにより用いられる秘密鍵は、供託機関によってフ
ァイリングされる（または、幾つかの供託機関の間で分配される）。この秘密鍵
の所有権によって、１つまたは複数の供託機関が、必要に応じて、ａとｂとの間
において交換された全てのセッション鍵を、この鍵を確立するためのプロトコル
において用いられたメッセージから再構築することが可能となる。この鍵の供託
および回復方法の一例は、"Lecture Notes in Computer Science 1029, Cryptog
raphy Policy and Algorithms Conference"（Springer Verlag社、１９９６年）
の第９８〜１０４頁に掲載された"A Proposed Architecture for Trusted Third
Party Services"（Ｎ．ジェフリーズ（Jefferies）、Ｃ．ミッチェル（Mitchel
l）、および、Ｍ．ウォーカー（Walker）著）という論文に提供されている。こ
れは、この第１のタイプの技術における主要な方法の１つであり、現在では、欧
州において検討されている。
【０００５】
〈タイプ２：合法的フィールドによる動的暗号鍵（dynamic encryption key）
（セッション鍵）の回復〉 前述の技術に対して、この第２のタイプの技術は、セッション鍵の交換中に用
いられる静的秘密鍵を事前にファイリングすることを必要としないが、供託機関
のみが理解できるフォーマットの形でセッション鍵ＳＫに関する情報を含む１つ
または幾つかの合法的フィールド（legal fields）を、安全な通信中にａとｂと
の間において交換されるメッセージ内に挿入することを必要とする。セッション
鍵ＳＫ（または、この鍵に関する情報）については、例えば、供託機関のＲＳＡ
公開鍵を用いて符号化することができる。ＩＢＭ社が提唱する“安全な鍵回復（
Secure Key Recovery）”（ＳＫＲ）プロトコルが、このタイプの技術に含まれ
る。
（セッション鍵）の回復〉 前述の技術に対して、この第２のタイプの技術は、セッション鍵の交換中に用
いられる静的秘密鍵を事前にファイリングすることを必要としないが、供託機関
のみが理解できるフォーマットの形でセッション鍵ＳＫに関する情報を含む１つ
または幾つかの合法的フィールド（legal fields）を、安全な通信中にａとｂと
の間において交換されるメッセージ内に挿入することを必要とする。セッション
鍵ＳＫ（または、この鍵に関する情報）については、例えば、供託機関のＲＳＡ
公開鍵を用いて符号化することができる。ＩＢＭ社が提唱する“安全な鍵回復（
Secure Key Recovery）”（ＳＫＲ）プロトコルが、このタイプの技術に含まれ
る。
【０００６】
これら２つのタイプの技術は、異なる国または別個の管轄区の話者の間で用い
られることが望まれるオープンアプリケーションの保護（例えば、安全な電子メ
ールシステム）に関して、ある欠点を呈している。安全なアプリケーションが国
際間の通信のために用いられそうな場合には、以下の２つの条件が満たされるべ
きである： （ｉ）全ての関連通信に関して、各々の国は、このアプリケーションのために
、鍵の供託／回復システムを配置するか否かを自由に決めることができる必要が
ある。 （ii）鍵の供託／回復システムを適所に備えた各々の国において、国際間の通
信を符号化するためのセッション鍵を万一の場合には回復する資格を与えられた
機関は、このことを、各々の傍受毎に、他国の機関と協力する必要なしに行うこ
とができる必要がある。
られることが望まれるオープンアプリケーションの保護（例えば、安全な電子メ
ールシステム）に関して、ある欠点を呈している。安全なアプリケーションが国
際間の通信のために用いられそうな場合には、以下の２つの条件が満たされるべ
きである： （ｉ）全ての関連通信に関して、各々の国は、このアプリケーションのために
、鍵の供託／回復システムを配置するか否かを自由に決めることができる必要が
ある。 （ii）鍵の供託／回復システムを適所に備えた各々の国において、国際間の通
信を符号化するためのセッション鍵を万一の場合には回復する資格を与えられた
機関は、このことを、各々の傍受毎に、他国の機関と協力する必要なしに行うこ
とができる必要がある。
【０００７】
これにより、前述した既知の技術は、部分的にのみであっても、以下の条件を
満たさなくなる： − 第１のタイプの方法に関して、関連セッション鍵の分配方法が、公開鍵の
暗号化（詳細には、この用途のために、非常に多くのセキュリティ製品において
用いられているＲＳＡ暗号化）に依存する場合には、国際間の協力がなければ、
鍵分配のために用いられる秘密鍵がファイリングされた国においてのみ、通信に
おけるセッション鍵の回復が可能となるだけであること。この問題は、ある著者
たちに、ディフィー−ヘルマン（Diffie-Hellman）の概論と類似した、より対称
的な鍵交換方法に依存する鍵の供託／回復システムを唱道させている（前述した
Ｎ．ジェフリーズらの論文を参照）。これらのシステムは、前述の条件（ii）を
満たし、かつ、場合によっては、ある適合によって、条件（ｉ）をさらに満たす
こともできるが、これらのシステムは、ＲＳＡアルゴリズムの利用を顕著に除外
するという強い制約を、鍵分配のために用いられる方法に対してもたらす。 − 第２のタイプの方法に関して、合法的フィールドを用いて宛先国において
鍵を回復することは、宛先国に適合する鍵供託／回復技術を送信国が確立してい
ること（すなわち、合法的フィールドの送信が宛先国の供託機関にとって理解で
きるものであること）に依存すること。この制約は、前述の条件（ｉ）と矛盾す
る。
満たさなくなる： − 第１のタイプの方法に関して、関連セッション鍵の分配方法が、公開鍵の
暗号化（詳細には、この用途のために、非常に多くのセキュリティ製品において
用いられているＲＳＡ暗号化）に依存する場合には、国際間の協力がなければ、
鍵分配のために用いられる秘密鍵がファイリングされた国においてのみ、通信に
おけるセッション鍵の回復が可能となるだけであること。この問題は、ある著者
たちに、ディフィー−ヘルマン（Diffie-Hellman）の概論と類似した、より対称
的な鍵交換方法に依存する鍵の供託／回復システムを唱道させている（前述した
Ｎ．ジェフリーズらの論文を参照）。これらのシステムは、前述の条件（ii）を
満たし、かつ、場合によっては、ある適合によって、条件（ｉ）をさらに満たす
こともできるが、これらのシステムは、ＲＳＡアルゴリズムの利用を顕著に除外
するという強い制約を、鍵分配のために用いられる方法に対してもたらす。 − 第２のタイプの方法に関して、合法的フィールドを用いて宛先国において
鍵を回復することは、宛先国に適合する鍵供託／回復技術を送信国が確立してい
ること（すなわち、合法的フィールドの送信が宛先国の供託機関にとって理解で
きるものであること）に依存すること。この制約は、前述の条件（ｉ）と矛盾す
る。
【０００８】
"Communications of the ACM"（第３９巻、Ｎｏ．３、１９９６年３月）にお
いて出版されたＤ．Ｅ．デニング（Denning）の論文"Descriptions of Key Escr
ow Systems"、および、"Communications of the ACM"（第３９巻、Ｎｏ．３、１
９９６年３月）において出版されたＤ．Ｅ．デニング（Denning）／Ｄ．Ｋ．ブ
ランスタッド（Branstad）の論文"A Taxonomy of Key Recovery Encryption Sys
tems"の両方は、３０以上の鍵供託／回復システムに関する記述および比較的分
析を提供している。
いて出版されたＤ．Ｅ．デニング（Denning）の論文"Descriptions of Key Escr
ow Systems"、および、"Communications of the ACM"（第３９巻、Ｎｏ．３、１
９９６年３月）において出版されたＤ．Ｅ．デニング（Denning）／Ｄ．Ｋ．ブ
ランスタッド（Branstad）の論文"A Taxonomy of Key Recovery Encryption Sys
tems"の両方は、３０以上の鍵供託／回復システムに関する記述および比較的分
析を提供している。
【０００９】
ここでは、添付の図１および図２に例示される２つの例に制限することができ
る。
る。
【００１０】
最初に、図１は、各々が暗号作成（cryptography）手段（図示せず）に適応し
、かつ、各々には身元ＩＤa，ＩＤbと、公開鍵Ｐa，Ｐbと、暗号化秘密鍵Ｓa，
Ｓbと、証明書Ｃa，Ｃbとが備えられている２つのエンティティ〈ａ〉，〈ｂ〉
を示している。さらに、２つのエンティティ〈ａ〉，〈ｂ〉に関連した２つの供
託機関Ｔa，Ｔbが備えられており、これら２つの供託機関は、各々が、関連エン
ティティの秘密鍵Ｓa，Ｓbと、自らの証明書Ｃa，Ｃbとをファイリングする。こ
れらの証明書は、秘密鍵と公開鍵との関係と、秘密鍵が正しくファイリングされ
たこととを証明する。証明書機関はこの図に示されていない。証明書は、ＵＩＴ
−Ｔの推奨Ｘ５０９に従うことができる。
、かつ、各々には身元ＩＤa，ＩＤbと、公開鍵Ｐa，Ｐbと、暗号化秘密鍵Ｓa，
Ｓbと、証明書Ｃa，Ｃbとが備えられている２つのエンティティ〈ａ〉，〈ｂ〉
を示している。さらに、２つのエンティティ〈ａ〉，〈ｂ〉に関連した２つの供
託機関Ｔa，Ｔbが備えられており、これら２つの供託機関は、各々が、関連エン
ティティの秘密鍵Ｓa，Ｓbと、自らの証明書Ｃa，Ｃbとをファイリングする。こ
れらの証明書は、秘密鍵と公開鍵との関係と、秘密鍵が正しくファイリングされ
たこととを証明する。証明書機関はこの図に示されていない。証明書は、ＵＩＴ
−Ｔの推奨Ｘ５０９に従うことができる。
【００１１】
これらの異なる手段の間における通信方法は、以下の処理を含む：
Ａ）メッセージＭの送信セッションａに携わるエンティティ〈ａ〉は、
・証明書Ｃa，Ｃbの有効性（validity）をチェックし、
・疑似ランダムジェネレータ（図示せず）を導入するためのセッション鍵ＳＫ
を生成し、 ・他のエンティティの公開鍵Ｐbによってセッション鍵ＳＫを符号化するため
に自らの暗号作成手段を用い、かつ、セッション鍵ＳＫによって、対称的暗号化
アルゴリズムにしたがって、メッセージＭを符号化し、 ・自分の身元ＩＤaまたは証明書Ｃaと、暗号化されたセッション鍵Ｐb(ＳＫ)
と、符号化されたメッセージＥSK(Ｍ)とを送信する。 Ｂ）前記送信を受信するエンティティ〈ｂ〉は、 ・証明書Ｃa，Ｃbの有効性をチェックし、 ・自らの秘密鍵Ｓbを用いて、セッション鍵ＳＫを回復し、 ・セッション鍵ＳＫを用いて、メッセージＭを解読する。
を生成し、 ・他のエンティティの公開鍵Ｐbによってセッション鍵ＳＫを符号化するため
に自らの暗号作成手段を用い、かつ、セッション鍵ＳＫによって、対称的暗号化
アルゴリズムにしたがって、メッセージＭを符号化し、 ・自分の身元ＩＤaまたは証明書Ｃaと、暗号化されたセッション鍵Ｐb(ＳＫ)
と、符号化されたメッセージＥSK(Ｍ)とを送信する。 Ｂ）前記送信を受信するエンティティ〈ｂ〉は、 ・証明書Ｃa，Ｃbの有効性をチェックし、 ・自らの秘密鍵Ｓbを用いて、セッション鍵ＳＫを回復し、 ・セッション鍵ＳＫを用いて、メッセージＭを解読する。
【００１２】
このような方法によって、供託機関Ｔbは、必要であれば、自らがファイリン
グした秘密鍵Ｓbによって、セッション鍵ＳＫを回復することもでき、かつ、こ
れにより、送信されたメッセージを回復することもできる。
グした秘密鍵Ｓbによって、セッション鍵ＳＫを回復することもでき、かつ、こ
れにより、送信されたメッセージを回復することもできる。
【００１３】
この方法は、ある欠点を有している。すなわち、供託機関Ｔbが、（自らが秘
密鍵Ｔbをファイリングしたことにより）セッション鍵ＳＫを回復することがで
き、かつ、これにより、送信されたメッセージを回復することができても、供託
機関Ｔaには、異なる事情がもたらされる。その理由は、供託機関Ｔaが秘密鍵Ｓ b を有していないためである。したがって、国際間の通信の場合には稀である供
託機関Ｔa，Ｔb間の協力について想定する必要がある。
密鍵Ｔbをファイリングしたことにより）セッション鍵ＳＫを回復することがで
き、かつ、これにより、送信されたメッセージを回復することができても、供託
機関Ｔaには、異なる事情がもたらされる。その理由は、供託機関Ｔaが秘密鍵Ｓ b を有していないためである。したがって、国際間の通信の場合には稀である供
託機関Ｔa，Ｔb間の協力について想定する必要がある。
【００１４】
この問題点は、鍵交換方法が、ＲＳＡ暗号化の例のように、それぞれが公開鍵
および秘密鍵である一組の鍵を用いる非対称的な暗号化−解読システムに依存し
ているという事実から、特に生じている。ある著者たちは、ディフィー−ヘルマ
ン（Diffie-Hellman）として公知のプロトコルと類似した、より対称的な方法を
唱道している。この方法については、図２に示されている。ここに見られる手段
は、図１の手段と顕著に類似している（すなわち、２つのエンティティ〈ａ〉，
〈ｂ〉、および、２つの供託機関Ｔa，Ｔb）。ディフィー−ヘルマン・プロトコ
ルのパラメータは、モジュール（module）として知られる大きな素数ｐと、ジェ
ネレータ番号（generator number）ｇとからなる。２つの供託機関Ｔa，Ｔbは、
これらの数ｐ，ｇと関連している。〈ａ〉のための秘密鍵Ｓaは、Ｔaにファイリ
ングされている秘密指数（secret exponent）αであり、かつ、〈ａ〉のための
公開鍵は、Ｐa＝ｇαである。証明書Ｃaは、公開鍵Ｐa＝ｇαを含んでいる。同
じことが、エンティティ〈ｂ〉にも当てはまる（すなわち、Ｓb＝β，Ｐb＝ｇβ ）。
および秘密鍵である一組の鍵を用いる非対称的な暗号化−解読システムに依存し
ているという事実から、特に生じている。ある著者たちは、ディフィー−ヘルマ
ン（Diffie-Hellman）として公知のプロトコルと類似した、より対称的な方法を
唱道している。この方法については、図２に示されている。ここに見られる手段
は、図１の手段と顕著に類似している（すなわち、２つのエンティティ〈ａ〉，
〈ｂ〉、および、２つの供託機関Ｔa，Ｔb）。ディフィー−ヘルマン・プロトコ
ルのパラメータは、モジュール（module）として知られる大きな素数ｐと、ジェ
ネレータ番号（generator number）ｇとからなる。２つの供託機関Ｔa，Ｔbは、
これらの数ｐ，ｇと関連している。〈ａ〉のための秘密鍵Ｓaは、Ｔaにファイリ
ングされている秘密指数（secret exponent）αであり、かつ、〈ａ〉のための
公開鍵は、Ｐa＝ｇαである。証明書Ｃaは、公開鍵Ｐa＝ｇαを含んでいる。同
じことが、エンティティ〈ｂ〉にも当てはまる（すなわち、Ｓb＝β，Ｐb＝ｇβ ）。
【００１５】
エンティティ〈ｂ〉へメッセージを送信するために、エンティティ〈ａ〉は、
セッション鍵ＳＫを生成し、かつ、 ・（Ｐa＝ｇαを含む）自らの証明書Ｃaと、 ・鍵ｇαβを用いるアルゴリズムＥによって符号化されたセッション鍵（Ｅｇ αβ (ＳＫ)）と、 ・セッション鍵ＳＫにより符号化されたメッセージ（ＥSK(Ｍ)）と によって、エンティティ〈ｂ〉へアドレッシングする。
セッション鍵ＳＫを生成し、かつ、 ・（Ｐa＝ｇαを含む）自らの証明書Ｃaと、 ・鍵ｇαβを用いるアルゴリズムＥによって符号化されたセッション鍵（Ｅｇ αβ (ＳＫ)）と、 ・セッション鍵ＳＫにより符号化されたメッセージ（ＥSK(Ｍ)）と によって、エンティティ〈ｂ〉へアドレッシングする。
【００１６】
Ｔaがαと〈ｂ〉の公開鍵Ｐb＝ｇβとを識別することによって、Ｔaが(ｇβ)
α＝ｇβαを計算することが可能となる。これについては、(ｇα)β＝ｇαβを
計算することができるＴbにも当てはまる。したがって、ｇαβは、〈ａ〉，〈
ｂ〉により共有される。
α＝ｇβαを計算することが可能となる。これについては、(ｇα)β＝ｇαβを
計算することができるＴbにも当てはまる。したがって、ｇαβは、〈ａ〉，〈
ｂ〉により共有される。
【００１７】
したがって、各々の機関Ｔa，Ｔbは、セッション鍵（ＳＫ）を回復することが
でき、かつ、同様に、メッセージ（Ｍ）を回復することもできる。
でき、かつ、同様に、メッセージ（Ｍ）を回復することもできる。
【００１８】
しかし、ここで再び述べると、この原則は、両方の当事者間の同意を必要とす
る。
る。
【００１９】
本発明のねらいは、通信を行う当事者間での同意を一切必要としない方法を提
案することにより、これらの欠点を補修することであり、この場合に、セッショ
ン鍵およびメッセージの回復については、通信において交換されたデータのみを
用いることにより行うことができる。
案することにより、これらの欠点を補修することであり、この場合に、セッショ
ン鍵およびメッセージの回復については、通信において交換されたデータのみを
用いることにより行うことができる。
【００２０】
正確には、本発明の目的は、
− 第１暗号作成手段（ＭＣa）からなり、かつ、第１身元（ＩＤa）と、鍵分配
のための第１公開鍵（Ｐa）と、該第１公開鍵（Ｐa）に対応する鍵分配のための
第１秘密鍵（Ｓa）とを備えた第１エンティティ（ａ）と、 − 第２暗号作成手段（ＭＣb）からなり、かつ、第２身元（ＩＤb）と、鍵分配
のための第２公開鍵（Ｐb）と、該第２公開鍵（Ｐb）に対応する鍵分配のための
第２秘密鍵（Ｓb）とを備えた第２エンティティ（ｂ）と を導入する鍵暗号化の供託および回復システムによって符号化される通信方法で
あって、 （ｉ）エンティティ（ａ，ｂ）のうちの少なくとも一方がセッション鍵（ＳＫ
）を生成し、かつ、他方のエンティティの公開鍵（Ｐb，Ｐa）により符号化され
たセッション鍵からなる暗号を形成し、この場合に、他方のエンティティ（ｂ，
ａ）は、前記暗号を、自らの秘密鍵（Ｓb，Ｓa）によって解読し、かつ、セッシ
ョン鍵（ＳＫ）を回復する、というセッション鍵（ＳＫ）を確立するための予備
的段階と、 （ii）エンティティ（ａ，ｂ）は、前記予備的段階において確立されているセ
ッション鍵（ＳＫ）により符号化されたメッセージ（Ｍ）からなる暗号ＥSK(Ｍ)
を形成し、この場合に、各々のエンティティは、受信された暗号を、セッション
鍵（ＳＫ）によって解読し、かつ、これにより、各々のエンティティへ送信され
たメッセージを回復する、というメッセージ（Ｍ）交換段階と からなる方法において、 前記方法は、さらに、エンティティ（ａ，ｂ）のうちの一方と関連した少なく
とも１つの供託機関（Ｔa，Ｔb）を導入し、この場合に、この機関は、関連した
エンティティ（ａ，ｂ）の秘密鍵（Ｓa，Ｓb）をファイリングし、 前記予備的段階において、セッション鍵（ＳＫ）を生成するエンティティ（ａ
，ｂ）は、関連した供託機関（Ｔa，Ｔb）により識別される疑似ランダムジェネ
レータ（ＰＲＧa，ＰＲＧb）を導入し、かつ、自らの秘密鍵（Ｓa，Ｓb）と、供
託機関（Ｔa，Ｔb）により識別されるアルゴリズムにより関連データから導き出
された初期値（ＩＶ）とによって、この疑似ランダムジェネレータを初期化する
ことを特徴とする方法である。
のための第１公開鍵（Ｐa）と、該第１公開鍵（Ｐa）に対応する鍵分配のための
第１秘密鍵（Ｓa）とを備えた第１エンティティ（ａ）と、 − 第２暗号作成手段（ＭＣb）からなり、かつ、第２身元（ＩＤb）と、鍵分配
のための第２公開鍵（Ｐb）と、該第２公開鍵（Ｐb）に対応する鍵分配のための
第２秘密鍵（Ｓb）とを備えた第２エンティティ（ｂ）と を導入する鍵暗号化の供託および回復システムによって符号化される通信方法で
あって、 （ｉ）エンティティ（ａ，ｂ）のうちの少なくとも一方がセッション鍵（ＳＫ
）を生成し、かつ、他方のエンティティの公開鍵（Ｐb，Ｐa）により符号化され
たセッション鍵からなる暗号を形成し、この場合に、他方のエンティティ（ｂ，
ａ）は、前記暗号を、自らの秘密鍵（Ｓb，Ｓa）によって解読し、かつ、セッシ
ョン鍵（ＳＫ）を回復する、というセッション鍵（ＳＫ）を確立するための予備
的段階と、 （ii）エンティティ（ａ，ｂ）は、前記予備的段階において確立されているセ
ッション鍵（ＳＫ）により符号化されたメッセージ（Ｍ）からなる暗号ＥSK(Ｍ)
を形成し、この場合に、各々のエンティティは、受信された暗号を、セッション
鍵（ＳＫ）によって解読し、かつ、これにより、各々のエンティティへ送信され
たメッセージを回復する、というメッセージ（Ｍ）交換段階と からなる方法において、 前記方法は、さらに、エンティティ（ａ，ｂ）のうちの一方と関連した少なく
とも１つの供託機関（Ｔa，Ｔb）を導入し、この場合に、この機関は、関連した
エンティティ（ａ，ｂ）の秘密鍵（Ｓa，Ｓb）をファイリングし、 前記予備的段階において、セッション鍵（ＳＫ）を生成するエンティティ（ａ
，ｂ）は、関連した供託機関（Ｔa，Ｔb）により識別される疑似ランダムジェネ
レータ（ＰＲＧa，ＰＲＧb）を導入し、かつ、自らの秘密鍵（Ｓa，Ｓb）と、供
託機関（Ｔa，Ｔb）により識別されるアルゴリズムにより関連データから導き出
された初期値（ＩＶ）とによって、この疑似ランダムジェネレータを初期化する
ことを特徴とする方法である。
【００２１】
応用様式によれば、前記予備的段階においてセッション鍵（ＳＫ）を生成する
エンティティ（ａ，ｂ）と関連した供託機関（Ｔa，Ｔb）は、関連したエンティ
ティと同一の疑似ランダムジェネレータ（ＰＲＧa，ＰＲＧb）を導入し、前記初
期値（ＩＶ）と、該供託機関がファイリングした関連エンティティ（ａ，ｂ）の
秘密鍵（Ｓa，Ｓb）とによって、このジェネレータを初期化し、かつ、これによ
り、セッション鍵（ＳＫ）を回復する。
エンティティ（ａ，ｂ）と関連した供託機関（Ｔa，Ｔb）は、関連したエンティ
ティと同一の疑似ランダムジェネレータ（ＰＲＧa，ＰＲＧb）を導入し、前記初
期値（ＩＶ）と、該供託機関がファイリングした関連エンティティ（ａ，ｂ）の
秘密鍵（Ｓa，Ｓb）とによって、このジェネレータを初期化し、かつ、これによ
り、セッション鍵（ＳＫ）を回復する。
【００２２】
他の応用様式によれば、前記予備的段階においてセッション鍵（ＳＫ）を生成
していないエンティティ（ｂ，ａ）と関連した供託機関（Ｔb，Ｔa）は、該供託
機関がファイリングした関連エンティティ（ｂ，ａ）の秘密鍵（Ｓb，Ｓa）によ
って、セッション鍵の暗号（Ｐb(ＳＫ)，Ｐa(ＳＫ)）を解読し、かつ、これによ
り、セッション鍵（ＳＫ）を回復する。
していないエンティティ（ｂ，ａ）と関連した供託機関（Ｔb，Ｔa）は、該供託
機関がファイリングした関連エンティティ（ｂ，ａ）の秘密鍵（Ｓb，Ｓa）によ
って、セッション鍵の暗号（Ｐb(ＳＫ)，Ｐa(ＳＫ)）を解読し、かつ、これによ
り、セッション鍵（ＳＫ）を回復する。
【００２３】
前記初期値（ＩＶ）については、セッション鍵を確立するための予備的段階に
おいてエンティティ（ａ，ｂ）間で交換されたデータから導き出すことができ、
または、所定個数の値を生成することが可能なデータを用いた連続的な試行から
得ることもでき、この場合に、前記個数は、供託機関により費やされる時間と考
慮される応用性とが両立できるように、十分に制限される。
おいてエンティティ（ａ，ｂ）間で交換されたデータから導き出すことができ、
または、所定個数の値を生成することが可能なデータを用いた連続的な試行から
得ることもでき、この場合に、前記個数は、供託機関により費やされる時間と考
慮される応用性とが両立できるように、十分に制限される。
【００２４】
序論において説明したように、供託機関については、認可された第三者、また
は、会社のネットワークのセキュリティ管理者、または、実際のユーザーでさえ
あってもよい（したがって、供託は、“自己供託（self-escrow）”である）。
は、会社のネットワークのセキュリティ管理者、または、実際のユーザーでさえ
あってもよい（したがって、供託は、“自己供託（self-escrow）”である）。
【００２５】
本発明の方法については、最初に、ある一定の初期条件を明記し、次に、ユー
ザーの暗号作成手段において展開される手順について略述し、最後に、鍵回復手
順について記述することにより、説明することができる。
ザーの暗号作成手段において展開される手順について略述し、最後に、鍵回復手
順について記述することにより、説明することができる。
【００２６】
〈Ａ．初期条件〉
セッション鍵を確立するためにエンティティ〈ａ〉により用いられる公開鍵を
備えた鍵暗号化システムの秘密鍵Ｓaは、供託機関Ｔaによってファイリングされ
る。〈ａ〉の身元ＩＤaと公開鍵Ｐaとの関係を証明する証明書Ｃa（例えば、Ｕ
ＩＴ−Ｔの推奨Ｘ５０９に従う証明書）を、（Ｔaにより予め指定された）証明
書機関ＣＡがエンティティ〈ａ〉に対して引き渡すためには、このファイリング
に左右される必要がある。〈ａ〉がＣＡからの証明書を所有することは、公開鍵
Ｐaに対応する秘密鍵ＳaのファイリングがＴaによって事実上（effectively）発
生したことを立証する。実際には、証明書機関ＣＡおよび第三者的な供託機関Ｔ a は、全く同一の団体であってもよく、または、契約書に署名した２つの別個の
団体であってもよい。状況に応じて、秘密鍵Ｓaの生成については、ユーザー〈
ａ〉または第三者Ｔaにより行うことができる。
備えた鍵暗号化システムの秘密鍵Ｓaは、供託機関Ｔaによってファイリングされ
る。〈ａ〉の身元ＩＤaと公開鍵Ｐaとの関係を証明する証明書Ｃa（例えば、Ｕ
ＩＴ−Ｔの推奨Ｘ５０９に従う証明書）を、（Ｔaにより予め指定された）証明
書機関ＣＡがエンティティ〈ａ〉に対して引き渡すためには、このファイリング
に左右される必要がある。〈ａ〉がＣＡからの証明書を所有することは、公開鍵
Ｐaに対応する秘密鍵ＳaのファイリングがＴaによって事実上（effectively）発
生したことを立証する。実際には、証明書機関ＣＡおよび第三者的な供託機関Ｔ a は、全く同一の団体であってもよく、または、契約書に署名した２つの別個の
団体であってもよい。状況に応じて、秘密鍵Ｓaの生成については、ユーザー〈
ａ〉または第三者Ｔaにより行うことができる。
【００２７】
〈Ｂ．ユーザーの暗号作成手段における手順〉
“〈ａ〉の暗号作成手段”（ＭＣaとして記される）は、安全な通信中におけ
る〈ａ〉のためのセッションおよび暗号化鍵を確立するための暗号作成計算を可
能にするソフトウェアおよびマテリアルリソースであるものとして理解される。
例えば、安全な電子メールシステムのクライアントソフトウェアを、暗号作成手
段と考えることができる。
る〈ａ〉のためのセッションおよび暗号化鍵を確立するための暗号作成計算を可
能にするソフトウェアおよびマテリアルリソースであるものとして理解される。
例えば、安全な電子メールシステムのクライアントソフトウェアを、暗号作成手
段と考えることができる。
【００２８】
ユーザーの暗号作成手段ＭＣaが、Ｔaにより提供される第三者的供託サービス
に従うためには、以下の条件を満たす必要がある： （ｉ）（セッションおよび暗号化鍵を確立するための）ＭＣa暗号化関数のパ
フォーマンスについては、Ｔaにより指定された証明書機関ＣＡからの証明書Ｃa 、および、これに対応する秘密鍵Ｓaの存在に左右される必要がある。暗号作成
手段ＭＣaは、証明書Ｃaが有効であることをチェックする必要があるだけでなく
、Ｔa内に含まれる秘密鍵Ｓaと公開鍵Ｐaとの間に事実上の（effective）関係が
存在することがチェックする必要もある。これらのチェックは、第三者的な供託
機関ＴaがＭＣaにより用いられるセッション鍵を回復できることを保証するため
に必要である。 （ii）ＭＣaにより導入される鍵を生成するための方法（典型的には、〈ａ〉
が話者〈ｂ〉との安全なセッションを開始する際のセッション鍵ＳＫを生成する
ために用いられる鍵生成アルゴリズム）については、Ｔaにより識別される疑似
ランダムジェネレータ（pseudo-random generator）ＰＲＧである必要があり、
かつ、そのシード（すなわち、前記ジェネレータの値が計算される元となる入力
）は、 − 秘密鍵Ｓa（または、変形例によれば、この鍵の関数Ｈ(Ｓa)）と、 − 〈ａ〉とその話者との間における通信の非符号化部分内に含まれる変数デ
ータ（variable data）（例えば、日付および時刻）から、または、ＭＣa内部で
管理される計量器から、Ｔaにより識別されるアルゴリズムにより導き出される
初期値ＩＶと からなる。
に従うためには、以下の条件を満たす必要がある： （ｉ）（セッションおよび暗号化鍵を確立するための）ＭＣa暗号化関数のパ
フォーマンスについては、Ｔaにより指定された証明書機関ＣＡからの証明書Ｃa 、および、これに対応する秘密鍵Ｓaの存在に左右される必要がある。暗号作成
手段ＭＣaは、証明書Ｃaが有効であることをチェックする必要があるだけでなく
、Ｔa内に含まれる秘密鍵Ｓaと公開鍵Ｐaとの間に事実上の（effective）関係が
存在することがチェックする必要もある。これらのチェックは、第三者的な供託
機関ＴaがＭＣaにより用いられるセッション鍵を回復できることを保証するため
に必要である。 （ii）ＭＣaにより導入される鍵を生成するための方法（典型的には、〈ａ〉
が話者〈ｂ〉との安全なセッションを開始する際のセッション鍵ＳＫを生成する
ために用いられる鍵生成アルゴリズム）については、Ｔaにより識別される疑似
ランダムジェネレータ（pseudo-random generator）ＰＲＧである必要があり、
かつ、そのシード（すなわち、前記ジェネレータの値が計算される元となる入力
）は、 − 秘密鍵Ｓa（または、変形例によれば、この鍵の関数Ｈ(Ｓa)）と、 − 〈ａ〉とその話者との間における通信の非符号化部分内に含まれる変数デ
ータ（variable data）（例えば、日付および時刻）から、または、ＭＣa内部で
管理される計量器から、Ｔaにより識別されるアルゴリズムにより導き出される
初期値ＩＶと からなる。
【００２９】
疑似ランダムジェネレータは、以下の条件を満たす必要がある：
（ｉ）このジェネレータの出力値（典型的には、セッション鍵ＳＫ）は、Ｓa
（または、Ｈ(Ｓa)）と初期値ＩＶとから導き出すことが容易である必要がある
。好ましい生成様式によれば、初期値ＩＶの大きさについては、２０〜４０ビッ
トの間という事実上の大きさに制限することができ、これにより、秘密鍵Ｓaが
識別された場合には、たとえＩＶの正確な値が損失されても、ジェネレータの出
力値の回復が、徹底的な調査によって、なおも可能である。 （ii）Ｓa（または、Ｈ(Ｓa)）に関する情報は、ＩＶ値、および、対応するＰ
ＲＧ(Ｓa，ＩＶ)またはＰＲＧ(Ｈ(Ｓa)，ＩＶ)の出力値のセットから予測するこ
とが困難である必要がある。 （iii）様々なＩＶ値に対するＰＲＧ(Ｓa，ＩＶ)またはＰＲＧ(Ｈ(Ｓa)，ＩＶ
)の出力に関連する情報は、Ｓa（または、Ｈ(Ｓa)）の値が識別されていない場
合には、予測することが困難である必要がある。
（または、Ｈ(Ｓa)）と初期値ＩＶとから導き出すことが容易である必要がある
。好ましい生成様式によれば、初期値ＩＶの大きさについては、２０〜４０ビッ
トの間という事実上の大きさに制限することができ、これにより、秘密鍵Ｓaが
識別された場合には、たとえＩＶの正確な値が損失されても、ジェネレータの出
力値の回復が、徹底的な調査によって、なおも可能である。 （ii）Ｓa（または、Ｈ(Ｓa)）に関する情報は、ＩＶ値、および、対応するＰ
ＲＧ(Ｓa，ＩＶ)またはＰＲＧ(Ｈ(Ｓa)，ＩＶ)の出力値のセットから予測するこ
とが困難である必要がある。 （iii）様々なＩＶ値に対するＰＲＧ(Ｓa，ＩＶ)またはＰＲＧ(Ｈ(Ｓa)，ＩＶ
)の出力に関連する情報は、Ｓa（または、Ｈ(Ｓa)）の値が識別されていない場
合には、予測することが困難である必要がある。
【００３０】
〈Ｃ．鍵回復手順〉
ユーザー〈ａ〉と受信者〈ｂ〉との間における安全な通信を符号化するために
、Ｔaにより、または、Ｔaによりファイリングされた秘密鍵Ｓaにアクセスする
資格を与えられた機関により用いられるセッション鍵ＳＫの鍵回復のために、２
つの別個の手順が存在し、これらの手順は以下の通りである： （ｉ）セッション鍵ＳＫが〈ｂ〉により生成され、〈ａ〉により受信され、か
つ、〈ａ〉の公開鍵Ｐaによって符号化されれば、Ｔaは、ファイリングされた秘
密鍵Ｓaによって、鍵分配プロトコルにおいて送信された暗号Ｐa(ＳＫ)を復号化
することにより、鍵ＳＫを回復することができる。 （ii）セッション鍵ＳＫが〈ａ〉の暗号作成手段ＭＣaによって生成され、〈
ｂ〉へ送信され、かつ、〈ｂ〉の公開鍵Ｐbの下で符号化されれば、Ｔaは、〈ａ
〉と〈ｂ〉との間で交換された非暗号データから初期値ＩＶを回復することがで
き、かつ、ＩＶとファイリングされたＳaの値とによって、ＳＫ＝ＰＲＧ(Ｓa，
ＩＶ)、または、ＳＫ＝ＰＲＧ(Ｈ(Ｓa)，ＩＶ)を計算することにより、ＳＫの値
を再構築することができる。ＩＶが計量器の内容である場合には、または、ＩＶ
の事実上の大きさが制限される場合には、または、どちらの場合の理由によって
も、ＩＶを非暗号データから回復することができない可能性があるが、考えられ
得るＩＶ値に関する徹底的なテストを通して、各々のＩＶに対して得られたＳＫ
＝ＰＲＧ(Ｓa，ＩＶ)値、または、ＳＫ＝ＰＲＧ(Ｈ(Ｓa)，ＩＶ)値が正しいか否
かをチェックすることにより、Ｔaがセッション鍵ＳＫを回復することが、なお
も可能である。
、Ｔaにより、または、Ｔaによりファイリングされた秘密鍵Ｓaにアクセスする
資格を与えられた機関により用いられるセッション鍵ＳＫの鍵回復のために、２
つの別個の手順が存在し、これらの手順は以下の通りである： （ｉ）セッション鍵ＳＫが〈ｂ〉により生成され、〈ａ〉により受信され、か
つ、〈ａ〉の公開鍵Ｐaによって符号化されれば、Ｔaは、ファイリングされた秘
密鍵Ｓaによって、鍵分配プロトコルにおいて送信された暗号Ｐa(ＳＫ)を復号化
することにより、鍵ＳＫを回復することができる。 （ii）セッション鍵ＳＫが〈ａ〉の暗号作成手段ＭＣaによって生成され、〈
ｂ〉へ送信され、かつ、〈ｂ〉の公開鍵Ｐbの下で符号化されれば、Ｔaは、〈ａ
〉と〈ｂ〉との間で交換された非暗号データから初期値ＩＶを回復することがで
き、かつ、ＩＶとファイリングされたＳaの値とによって、ＳＫ＝ＰＲＧ(Ｓa，
ＩＶ)、または、ＳＫ＝ＰＲＧ(Ｈ(Ｓa)，ＩＶ)を計算することにより、ＳＫの値
を再構築することができる。ＩＶが計量器の内容である場合には、または、ＩＶ
の事実上の大きさが制限される場合には、または、どちらの場合の理由によって
も、ＩＶを非暗号データから回復することができない可能性があるが、考えられ
得るＩＶ値に関する徹底的なテストを通して、各々のＩＶに対して得られたＳＫ
＝ＰＲＧ(Ｓa，ＩＶ)値、または、ＳＫ＝ＰＲＧ(Ｈ(Ｓa)，ＩＶ)値が正しいか否
かをチェックすることにより、Ｔaがセッション鍵ＳＫを回復することが、なお
も可能である。
【００３１】
前述した基本的手順（ｉ），（ii）を組み合わせることにより、セッション鍵
を確立するためのより複雑なプロトコルが〈ａ〉と〈ｂ〉との間で用いられる場
合であっても、Ｔaは、なおも、セッション鍵を回復することができる。例とし
て、以下のプロトコルについて考えることができる： 〈ｂ〉は、秘密値ＳＫ１を生成し、かつ、該秘密値ＳＫ１を〈ａ〉へ送信し、
該秘密値ＳＫ１は、〈ａ〉の公開鍵Ｐaの下で符号化される。〈ａ〉は、秘密値
ＳＫ２を生成し、かつ、該秘密値ＳＫ２を〈ｂ〉へ送信し、該秘密値ＳＫ２は、
〈ｂ〉の公開鍵Ｐbの下で符号化される。〈ａ〉および〈ｂ〉は、ＳＫ１，ＳＫ
２値の排他的論理和に等しいセッション鍵ＳＫを計算する（ＳＫ＝Ｋ１ ＸＯＲ
Ｋ２）。このタイプのプロトコルによって、Ｔaは、前述した手順（ｉ）を用い
ることによりＳＫ１を回復することができ、手順（ii）を用いることによりＳＫ
２を回復することができ、かつ、これにより、これら２つの値からＳＫを回復す
ることができる。
を確立するためのより複雑なプロトコルが〈ａ〉と〈ｂ〉との間で用いられる場
合であっても、Ｔaは、なおも、セッション鍵を回復することができる。例とし
て、以下のプロトコルについて考えることができる： 〈ｂ〉は、秘密値ＳＫ１を生成し、かつ、該秘密値ＳＫ１を〈ａ〉へ送信し、
該秘密値ＳＫ１は、〈ａ〉の公開鍵Ｐaの下で符号化される。〈ａ〉は、秘密値
ＳＫ２を生成し、かつ、該秘密値ＳＫ２を〈ｂ〉へ送信し、該秘密値ＳＫ２は、
〈ｂ〉の公開鍵Ｐbの下で符号化される。〈ａ〉および〈ｂ〉は、ＳＫ１，ＳＫ
２値の排他的論理和に等しいセッション鍵ＳＫを計算する（ＳＫ＝Ｋ１ ＸＯＲ
Ｋ２）。このタイプのプロトコルによって、Ｔaは、前述した手順（ｉ）を用い
ることによりＳＫ１を回復することができ、手順（ii）を用いることによりＳＫ
２を回復することができ、かつ、これにより、これら２つの値からＳＫを回復す
ることができる。
【００３２】
たった今説明した方法については、秘密鍵Ｓaに関係する情報が唯一のエンテ
ィティＴaによってファイリングされずに、別個の第三者的な供託機関によって
ファイリングされる２つの“部分”に分割されるという変形例にしたがって導入
することができる。
ィティＴaによってファイリングされずに、別個の第三者的な供託機関によって
ファイリングされる２つの“部分”に分割されるという変形例にしたがって導入
することができる。
【００３３】
例えば、〈ａ〉の秘密鍵Ｓaは、ＲＳＡ秘密指数〈ｄ〉からなる。この秘密値
については、ｄ１＋ｄ２＝ｄであるような２つの“部分”ｄ１，ｄ２に分割する
ことができる。ｄ１，ｄ２（および、〈ａ〉の公開モジュール（public module
）ｎa）をファイリングする責任をそれぞれが有する２つの供託機関Ｔa，Ｔbは
、以下のことを行うことができる： ・ 秘密値〈ｄ〉に関する自分側の「部分」を開示することなく、自らが鍵Ｓ a の秘密関数を事実上計算することが可能であることをチェックすること。これ
を行うためには、供託機関Ｔa，Ｔbの各々がモジュールｎと、自分側の「部分」
により決定された入力値の累乗とを計算し、次に、得られた値を、これらの値の
間において乗算してモジュールｎaとすれば十分である。 ・ （必要に応じて、秘密鍵Ｓaに関する自分側の「部分」を、他方の第三者
または傍受機関へ開示することにより、）セッション鍵を確立するためのプロト
コルのデータから、セッション鍵ＳＫを回復すること。
については、ｄ１＋ｄ２＝ｄであるような２つの“部分”ｄ１，ｄ２に分割する
ことができる。ｄ１，ｄ２（および、〈ａ〉の公開モジュール（public module
）ｎa）をファイリングする責任をそれぞれが有する２つの供託機関Ｔa，Ｔbは
、以下のことを行うことができる： ・ 秘密値〈ｄ〉に関する自分側の「部分」を開示することなく、自らが鍵Ｓ a の秘密関数を事実上計算することが可能であることをチェックすること。これ
を行うためには、供託機関Ｔa，Ｔbの各々がモジュールｎと、自分側の「部分」
により決定された入力値の累乗とを計算し、次に、得られた値を、これらの値の
間において乗算してモジュールｎaとすれば十分である。 ・ （必要に応じて、秘密鍵Ｓaに関する自分側の「部分」を、他方の第三者
または傍受機関へ開示することにより、）セッション鍵を確立するためのプロト
コルのデータから、セッション鍵ＳＫを回復すること。
【図１】 非対称として公知の方法を示す図である。
【図２】 対称として公知の方法を示す図である。
【図３】 本発明による方法を示す図である。
〈ａ〉，〈ｂ〉 エンティティ
Ｃa，Ｃb 証明書
ＩＤa，ＩＤb 身元
Ｐa，Ｐb 公開鍵
Ｓa，Ｓb 秘密鍵
Ｔa，Ｔb 供託機関
ＩＶ 初期値
ＳＫ セッション鍵
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 ティエリー・バリトー
フランス・Ｆ−92170・ヴァンヴ・アヴニ
ュー・ドゥ・ヴェルダン・29
(72)発明者 パスカル・ショヴォー
フランス・Ｆ−92130・イシ・レ・ムリノ
ー・アヴニュー・ドゥ・ラ・レピュブリー
ク・36
Ｆターム(参考） 5J104 AA16 EA04 EA12 EA13 EA24
FA00 JA21 MA05 NA02 NA03
NA04
Claims (12)
- 【請求項１】 − 第１暗号作成手段（ＭＣa）からなり、かつ、第１身元
（ＩＤa）と、鍵分配のための第１公開鍵（Ｐa）と、該第１公開鍵（Ｐa）に対
応する鍵分配のための第１秘密鍵（Ｓa）とを備えた第１エンティティ（ａ）と
、 − 第２暗号作成手段（ＭＣb）からなり、かつ、第２身元（ＩＤb）と、鍵分配
のための第２公開鍵（Ｐb）と、該第２公開鍵（Ｐb）に対応する鍵分配のための
第２秘密鍵（Ｓb）とを備えた第２エンティティ（ｂ）と を導入する鍵暗号化の供託および回復システムによって符号化される通信方法で
あって、 （iii）エンティティ（ａ，ｂ）のうちの少なくとも一方がセッション鍵（Ｓ
Ｋ）を生成し、かつ、他方のエンティティの公開鍵（Ｐb，Ｐa）により符号化さ
れたセッション鍵からなる暗号を形成し、この場合に、他方のエンティティ（ｂ
，ａ）は、前記暗号を、自らの秘密鍵（Ｓb，Ｓa）によって解読し、かつ、セッ
ション鍵（ＳＫ）を回復する、というセッション鍵（ＳＫ）を確立するための予
備的段階と、 （iv）エンティティ（ａ，ｂ）は、前記予備的段階において確立されているセ
ッション鍵（ＳＫ）により符号化されたメッセージ（Ｍ）からなる暗号ＥSK(Ｍ)
を形成し、この場合に、各々のエンティティは、受信された暗号を、セッション
鍵（ＳＫ）によって解読し、かつ、これにより、各々のエンティティへ送信され
たメッセージを回復する、というメッセージ（Ｍ）交換段階と からなる方法において、 前記方法は、さらに、エンティティ（ａ，ｂ）のうちの一方と関連した少なく
とも１つの供託機関（Ｔa，Ｔb）を導入し、この場合に、この機関は、関連した
エンティティ（ａ，ｂ）の秘密鍵（Ｓa，Ｓb）をファイリングし、 前記予備的段階において、セッション鍵（ＳＫ）を生成するエンティティ（ａ
，ｂ）は、関連した供託機関（Ｔa，Ｔb）により識別される疑似ランダムジェネ
レータ（ＰＲＧa，ＰＲＧb）を導入し、かつ、自らの秘密鍵（Ｓa，Ｓb）と、供
託機関（Ｔa，Ｔb）により識別されるアルゴリズムにより関連データから導き出
された初期値（ＩＶ）とによって、この疑似ランダムジェネレータを初期化する
ことを特徴とする方法。 - 【請求項２】 前記予備的段階においてセッション鍵（ＳＫ）を生成するエ
ンティティ（ａ，ｂ）と関連した供託機関（Ｔa，Ｔb）は、関連したエンティテ
ィと同一の疑似ランダムジェネレータ（ＰＲＧa，ＰＲＧb）を導入し、前記初期
値（ＩＶ）と、該供託機関がファイリングした関連エンティティ（ａ，ｂ）の秘
密鍵（Ｓa，Ｓb）とによって、このジェネレータを初期化し、かつ、これにより
、セッション鍵（ＳＫ）を回復することを特徴とする請求項１に記載の方法。 - 【請求項３】 前記予備的段階においてセッション鍵（ＳＫ）を生成してい
ないエンティティ（ｂ，ａ）と関連した供託機関（Ｔb，Ｔa）は、該供託機関が
ファイリングした関連エンティティ（ｂ，ａ）の秘密鍵（Ｓb，Ｓa）によって、
セッション鍵の暗号（Ｐb(ＳＫ)，Ｐa(ＳＫ)）を解読し、かつ、これにより、セ
ッション鍵（ＳＫ）を回復することを特徴とする請求項１に記載の方法。 - 【請求項４】 前記初期値（ＩＶ）は、セッション鍵（ＳＫ）を確立するた
めの予備的段階においてエンティティ（ａ，ｂ）間で交換されたデータから導き
出されることを特徴とする請求項１から請求項３のいずれかに記載の方法。 - 【請求項５】 前記供託機関は、徹底的なテストを通して、限られた数の値
を得ることが可能なデータから、初期値（ＩＶ）を得ることを特徴とする請求項
２に記載の方法。 - 【請求項６】 前記エンティティ（ａ，ｂ）の疑似ランダムジェネレータ（
ＰＲＧa，ＰＲＧb）は、該エンティティ（ａ，ｂ）の秘密鍵（Ｓa，Ｓb）の一方
向関数（Ｈ(Ｓa)，Ｈ(Ｓb)）により初期化されることを特徴とする請求項１に記
載の方法。 - 【請求項７】 少なくとも１つの第１証明書機関（ＣＡa，ＣＡb）は、対応
する秘密鍵（Ｓa，Ｓb）のファイリングが、対応する供託機関（Ｔa，Ｔb）によ
って事実上発生した場合に、また、発生した場合にのみ、エンティティの身元（
ＩＤa，ＩＤb）と公開鍵（Ｐb，Ｐa）との関係を証明する証明書（Ｃa，Ｃb）を
引き渡し、 セッション鍵（ＳＫ）を確立するための前記予備的段階、および、前記メッセ
ージ交換段階は、暗号作成手段（ＭＣa，ＭＣb）において、両方ともに、証明書
（Ｃa，Ｃb）の有効性と、この証明書に含まれる公開鍵（Ｐb，Ｐa）と分配秘密
鍵（Ｓa，Ｓb）との事実上の関係に左右されることを特徴とする請求項１に記載
の方法。 - 【請求項８】 前記エンティティ（ａ，ｂ）のうちの少なくとも一方に関し
て、証明書機関（ＣＡa，ＣＡb）、および、このエンティティに関連した供託機
関（Ｔa，Ｔb）は、１つの機関の下で結合されることを特徴とする請求項１に記
載の方法。 - 【請求項９】 前記供託機関（Ｔa，Ｔb）は、２つの部分的機関（Ｔa 1，Ｔ a 2 ）（Ｔb 1，Ｔb 2）に分割され、これらの部分的機関の各々は、分配秘密鍵（Ｓ a ，Ｓb）の部分（Ｓa 1，Ｓa 2）（Ｓb 1，Ｓb 2）をファイリングし、 前記２つの部分的機関は、どちらも、分配秘密鍵（Ｓa，Ｓb）を自分だけで再
構築することが不可能であるが、 前記部分的機関の両方は、協力することにより、分配秘密鍵を再構築すること
が可能であり、 前記部分的機関の両方は、秘密鍵を再構築することを可能にする秘密鍵の部分
を自らが保持していることを保証することができることを特徴とする請求項１に
記載の方法。 - 【請求項１０】 セッション鍵を確立するための前記予備的段階の間におい
て、 − 第１エンティティは、第１の部分的セッション鍵（ＳＫa）を生成し、第
２エンティティ（ｂ）の公開鍵（Ｐb）により符号化された該第１の部分的セッ
ション鍵（ＳＫa）の第１暗号Ｐb(ＳＫa)を形成し、この第１暗号を第２エンテ
ィティ（ｂ）へ送信し、 − 第２エンティティ（ｂ）は、第２の部分的セッション鍵（ＳＫb）を生成
し、第１エンティティ（ａ）の公開鍵（Ｐa）により符号化された該第２の部分
的セッション鍵（ＳＫb）の第２暗号Ｐa(ＳＫb)を形成し、この第２暗号を第１
エンティティ（ａ）へ送信し、 − ２つのエンティティ（ｂ，ａ）は、第１および第２暗号を、自らの秘密鍵
（Ｓb，Ｓa）によって解読し、第１および第２の部分的セッション鍵（ＳＫa，
ＳＫb）を回復し、かつ、これらの部分的セッション鍵からセッション鍵（ＳＫ
）を形成することを特徴とする請求項１に記載の方法。 - 【請求項１１】 前記エンティティ（ａ，ｂ）は、第１および第２の部分的
セッション鍵（ＳＫa，ＳＫb）間の排他的論理和演算によって、セッション鍵（
ＳＫ）を形成することを特徴とする請求項１０に記載の方法。 - 【請求項１２】 前記エンティティ（ａ，ｂ）のうちの一方と関連した供託
機関（Ｔa，Ｔb）は、実在のユーザーであることを特徴とする請求項１から請求
項１１のいずれかに記載の方法。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR00/01185 | 2000-01-31 | ||
| FR0001185A FR2804561B1 (fr) | 2000-01-31 | 2000-01-31 | Procede de communication avec sequestre et recuperation de cle de chiffrement |
| PCT/FR2001/000285 WO2001056222A1 (fr) | 2000-01-31 | 2001-01-30 | Procede de communication avec sequestre et recuperation de cle de chiffrement |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2003521197A true JP2003521197A (ja) | 2003-07-08 |
Family
ID=8846480
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001555258A Withdrawn JP2003521197A (ja) | 2000-01-31 | 2001-01-30 | 鍵暗号化の供託および回復システムによる通信方法 |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US20030012387A1 (ja) |
| EP (1) | EP1254534A1 (ja) |
| JP (1) | JP2003521197A (ja) |
| FR (1) | FR2804561B1 (ja) |
| WO (1) | WO2001056222A1 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005244988A (ja) * | 2004-02-27 | 2005-09-08 | Microsoft Corp | 装置用セキュリティアソシエーション |
| JP2014514860A (ja) * | 2011-04-22 | 2014-06-19 | アルカテル−ルーセント | セキュリティアソシエーションの発見法 |
Families Citing this family (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2829644A1 (fr) | 2001-09-10 | 2003-03-14 | St Microelectronics Sa | Procede securise de transmission de donnees multimedia |
| GB2376392B (en) * | 2001-12-07 | 2003-05-07 | Ericsson Telefon Ab L M | Legal interception of IP traffic |
| GB2390270A (en) * | 2002-06-27 | 2003-12-31 | Ericsson Telefon Ab L M | Escrowing with an authority only part of the information required to reconstruct a decryption key |
| US7900051B2 (en) | 2002-09-10 | 2011-03-01 | Stmicroelectronics S.A. | Secure multimedia data transmission method |
| WO2007020566A1 (en) * | 2005-08-19 | 2007-02-22 | Nxp B.V. | Circuit arrangement for and method of performing an inversion operation in a cryptographic calculation |
| US8418235B2 (en) * | 2006-11-15 | 2013-04-09 | Research In Motion Limited | Client credential based secure session authentication method and apparatus |
| KR20080084480A (ko) * | 2007-03-16 | 2008-09-19 | 삼성전자주식회사 | 매개 모듈을 이용한 디바이스간의 상호 인증 방법 및 그시스템 |
| US7864960B2 (en) * | 2007-05-31 | 2011-01-04 | Novell, Inc. | Techniques for securing content in an untrusted environment |
| JP5273963B2 (ja) * | 2007-07-23 | 2013-08-28 | 修 亀田 | 擬似乱数の生成方法及び装置、並びに擬似乱数を用いた暗号化方法及び装置 |
| JP5139028B2 (ja) * | 2007-10-24 | 2013-02-06 | エイチジーエスティーネザーランドビーブイ | コンテンツデータ管理システム及び方法 |
| WO2010108994A2 (fr) * | 2009-03-26 | 2010-09-30 | Trustseed | Procede et dispostif d'archivage d'un document |
| FR2943870B1 (fr) * | 2009-03-26 | 2022-03-11 | Trustseed | Procede et dispositif de chiffrement d'un document |
| CN104393989A (zh) * | 2014-10-30 | 2015-03-04 | 北京神州泰岳软件股份有限公司 | 一种密钥协商方法及装置 |
| CN104735085A (zh) * | 2015-04-15 | 2015-06-24 | 上海汉邦京泰数码技术有限公司 | 一种终端双因子安全登录防护方法 |
| CN107925715B (zh) * | 2015-09-07 | 2020-10-16 | 索尼公司 | 成像设备、其控制方法和程序 |
| CN107704749A (zh) * | 2017-10-25 | 2018-02-16 | 深圳竹云科技有限公司 | 基于U盾验证算法的Windows系统安全登录方法 |
| SG10201801094VA (en) | 2018-02-08 | 2019-09-27 | Huawei Int Pte Ltd | System and method for computing an escrow session key and a private session key for encoding digital communications between two devices |
| JP7469164B2 (ja) | 2020-06-26 | 2024-04-16 | 川崎重工業株式会社 | 積付用ロボットハンド、ロボット及び物品保持方法 |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5315658B1 (en) * | 1992-04-20 | 1995-09-12 | Silvio Micali | Fair cryptosystems and methods of use |
| MX9602773A (es) * | 1994-01-13 | 1997-05-31 | Bankers Trust Co | Sistema criptografico y metodo con aspecto de deposito de plica de clave. |
| US5438622A (en) * | 1994-01-21 | 1995-08-01 | Apple Computer, Inc. | Method and apparatus for improving the security of an electronic codebook encryption scheme utilizing an offset in the pseudorandom sequence |
| US5557765A (en) * | 1994-08-11 | 1996-09-17 | Trusted Information Systems, Inc. | System and method for data recovery |
| US5631961A (en) * | 1995-09-15 | 1997-05-20 | The United States Of America As Represented By The Director Of The National Security Agency | Device for and method of cryptography that allows third party access |
| US5633929A (en) * | 1995-09-15 | 1997-05-27 | Rsa Data Security, Inc | Cryptographic key escrow system having reduced vulnerability to harvesting attacks |
| US5937066A (en) * | 1996-10-02 | 1999-08-10 | International Business Machines Corporation | Two-phase cryptographic key recovery system |
| US6483920B2 (en) * | 1996-12-04 | 2002-11-19 | Bull, S.A. | Key recovery process used for strong encryption of messages |
| US5920630A (en) * | 1997-02-25 | 1999-07-06 | United States Of America | Method of public key cryptography that includes key escrow |
| US6058188A (en) * | 1997-07-24 | 2000-05-02 | International Business Machines Corporation | Method and apparatus for interoperable validation of key recovery information in a cryptographic system |
| US6151395A (en) * | 1997-12-04 | 2000-11-21 | Cisco Technology, Inc. | System and method for regenerating secret keys in diffie-hellman communication sessions |
| US6754820B1 (en) * | 2001-01-30 | 2004-06-22 | Tecsec, Inc. | Multiple level access system |
-
2000
- 2000-01-31 FR FR0001185A patent/FR2804561B1/fr not_active Expired - Fee Related
-
2001
- 2001-01-30 JP JP2001555258A patent/JP2003521197A/ja not_active Withdrawn
- 2001-01-30 WO PCT/FR2001/000285 patent/WO2001056222A1/fr active Application Filing
- 2001-01-30 EP EP01904002A patent/EP1254534A1/fr not_active Withdrawn
- 2001-01-30 US US10/181,598 patent/US20030012387A1/en not_active Abandoned
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005244988A (ja) * | 2004-02-27 | 2005-09-08 | Microsoft Corp | 装置用セキュリティアソシエーション |
| JP2014514860A (ja) * | 2011-04-22 | 2014-06-19 | アルカテル−ルーセント | セキュリティアソシエーションの発見法 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1254534A1 (fr) | 2002-11-06 |
| FR2804561A1 (fr) | 2001-08-03 |
| WO2001056222A1 (fr) | 2001-08-02 |
| US20030012387A1 (en) | 2003-01-16 |
| FR2804561B1 (fr) | 2002-03-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA2187035C (en) | Computer network cryptographic key distribution system | |
| CA2197915C (en) | Cryptographic key recovery system | |
| US8687812B2 (en) | Method and apparatus for public key cryptography | |
| EP0916209B1 (en) | Cryptographic key recovery system | |
| JP2003521197A (ja) | 鍵暗号化の供託および回復システムによる通信方法 | |
| KR100568233B1 (ko) | 인증서를 이용한 기기 인증 방법 및 상기 방법을 이용하여기기 인증을 수행하는 디지털 컨텐츠 처리 기기 | |
| GB2491896A (en) | Secret key generation | |
| JP2020532177A (ja) | データの高度なセキュリティ、高速暗号化および、伝送のためのコンピュータ実装システムおよび方法 | |
| JP2001211154A (ja) | 秘密鍵生成方法，暗号化方法及び暗号通信方法 | |
| CN111953487B (zh) | 一种密钥管理系统 | |
| Rana et al. | A comprehensive survey of cryptography key management systems | |
| KR20030047148A (ko) | Ｒｓａ를 이용한 클라이언트/서버 기반의 메신저 보안 방법 | |
| CN112019553B (zh) | 一种基于ibe/ibbe数据共享方法 | |
| Prabhu et al. | Security in computer networks and distributed systems | |
| Cooley et al. | GROK: A practical system for securing group communications | |
| JPH11187008A (ja) | 暗号鍵の配送方法 | |
| Mishra et al. | A certificateless authenticated key agreement protocol for digital rights management system | |
| CN113141249B (zh) | 一种门限解密方法、系统及可读存储介质 | |
| Fumy | Key management techniques | |
| JP7097581B2 (ja) | 通信システム、サーバ装置、通信方法、及びプログラム | |
| JP3884593B2 (ja) | 秘密鍵生成装置，暗号化装置，暗号通信方法，暗号通信システム及び記録媒体 | |
| JP3657803B2 (ja) | 秘密鍵生成装置，暗号化装置，暗号通信方法，暗号通信システム，共通鍵生成装置及び記録媒体 | |
| Raiturkar et al. | Efficient and Secure Cloud Data Distribution and Sharing Scheme in Groups | |
| Harn et al. | A protocol for establishing secure communication channels in a large network | |
| Kumar et al. | Web Application Security on Top of Public Cloud |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A300 | Application deemed to be withdrawn because no request for examination was validly filed |
Free format text: JAPANESE INTERMEDIATE CODE: A300 Effective date: 20080401 |