JP2004228615A

JP2004228615A - Key isolation type encryption method and key isolation type encryption system using secret information intrinsic to user, and external auxiliary apparatus

Info

Publication number: JP2004228615A
Application number: JP2003010401A
Authority: JP
Inventors: Yutsuko Hanaoka; 裕都子花岡; Shinji Yamanaka; 晋爾山中; Masahito Akao; 雅人赤尾; Goichiro Hanaoka; 悟一郎花岡; Hideki Imai; 秀樹今井
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2003-01-17
Filing date: 2003-01-17
Publication date: 2004-08-12

Abstract

<P>PROBLEM TO BE SOLVED: To provide a key isolation type encryption method, a key isolation type encryption system, and an external auxiliary apparatus capable of updating a decoding key by using secret information intrinsic to a user without the need for storing information required for updating the decoding key to an external device. <P>SOLUTION: The key isolation type encryption method uses: a decoding processing terminal 10 for decoding a received encrypted text; encryption processing terminals 20a, 20b, 20n for transmitting the encrypted text resulting from encrypting a plain text message (m); a public key server 30 for opening a public key (pk) of a user into public; and a living body information acquisition apparatus 100 having a function of the external auxiliary apparatus. The living body information acquisition apparatus 100 acquires living body information of the user 10u and creates a user unique value unique to the user 10u calculated by using the acquired living body information and a prescribed function or the like stored in the inside of the apparatus. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、ユーザに固有の秘密情報を用いた鍵隔離型暗号化方法、鍵隔離型暗号システム及び外部補助装置に関する。
【０００２】
【従来の技術】
従来の公開鍵暗号方式において、ユーザの使用する復号鍵の漏洩は、暗号化通信の安全を脅かす最大の脅威である。このような復号鍵の漏洩による被害を低減するための方法のひとつとして、復号鍵を分散して管理することが行われている。
【０００３】
例えば、分散された複数の復号鍵のうち、一定の個数の復号鍵を収集して使用することにより、暗号化された情報の復号を可能とする方法が知られている。このような方法を実行することにより、復号鍵を不正に入手しようとする攻撃者は、暗号化された情報を復号するために複数の復号鍵を入手することが必要となり、復号鍵の安全性が向上する。
【０００４】
また、他の方法として、復号鍵に対して使用可能期間を設定し、ある時間帯（ｉ）においては、暗号化された情報の復号を特定の復号鍵（ｕｓｋ_ｉ）によってのみ可能とする方法も有効である。このような方法を実行することにより、ある時間帯（ｉ）における復号鍵（ｕｓｋ_ｉ）が漏洩しても、当該時間帯の前後の時間帯においては、暗号化された情報を当該復号鍵（ｕｓｋ_ｉ）によって復号することはできないため、復号鍵の漏洩による被害を低減することができる。
【０００５】
従来の鍵隔離型暗号方法（Ｋｅｙ−ＩｎｓｕｌａｔｅｄＥｎｃｒｙｐｔｉｏｎ）は、上述したような復号鍵の分散管理と、復号鍵の定期的な更新とを組み合わせて構成されている。例えば、非特許文献３に示されている鍵隔離型暗号方法によれば、概ね以下のような手順により、ユーザの復号鍵の生成及び更新の処理が行われる。
【０００６】
図６に示すように、ユーザＡは、まず、鍵生成アルゴリズムを用いて生成されるユーザＡの公開鍵（ｐｋ）と、初期復号鍵（ｕｓｋ_０）と、復号鍵の更新に用いられるヘルパー鍵（ｈｓｋ）とを取得する。公開鍵（ｐｋ）は、他のユーザがアクセス可能な公開鍵サーバ３０上に公開される。また、初期復号鍵（ｕｓｋ_０）は、復号処理を実行する復号処理端末１０に保存され、ヘルパー鍵（ｈｓｋ）は、例えばＩＣカード４１のような耐タンパ性を有するデバイスに保存される。
【０００７】
また、例えば、これまでに（ｉ−１）回更新された復号鍵（ｕｓｋ_ｉ−１）を復号鍵（ｕｓｋ_ｉ）に更新する場合には、ユーザＡは、ＩＣカード４１からの情報の読み込みやＩＣカード４１への情報の書き込みを制御する外部装置４０に対して復号鍵（ｕｓｋ_ｉ−１）の更新を要求する。復号鍵の更新を要求された外部装置４０は、秘密鍵の更新アルゴリズムを用い、ＩＣカード４１に保存されているヘルパー鍵（ｈｓｋ）に基づいて、復号鍵（ｕｓｋ_ｉ−１）を更新することのできる新たな秘密鍵（ｈｓｋ_ｉ）を生成し、生成した新たな秘密鍵（ｈｓｋ_ｉ）を盗聴等の危険性のない安全なネットワークを介して復号処理端末１０に送信する。次いで、復号処理端末１０は、復号鍵の更新アルゴリズムを用い、受信した新たな秘密鍵（ｈｓｋ_ｉ）と復号鍵（ｕｓｋ_ｉ−１）とに基づいて、ユーザＡの新たな復号鍵（ｕｓｋ_ｉ）を生成する。さらに、復号処理端末１０に保存されている新たな秘密鍵（ｈｓｋ_ｉ）と古い復号鍵（ｕｓｋ_ｉ−１）とが消去される。
【０００８】
さらに、あるユーザＡに対して、ユーザＢが、暗号処理を実行する暗号処理端末２０ａ（または２０ｂ）を用いて暗号化された情報を送信する場合には、ユーザＢは、まずユーザＡの公開鍵（ｐｋ）を取得する。次いで、ユーザＢは、暗号処理端末２０ａにおいて、取得したユーザＡの公開鍵（ｐｋ）と、期間情報（ｉ）、すなわち復号鍵の更新回数と、ユーザＡに対して送信すべきメッセージ（ｍ）とから、暗号化アルゴリズムを用いて、平文メッセージ（ｍ）を暗号化し、暗号化情報（ｃ）を生成する。
【０００９】
次いで、暗号化情報（ｃ）をユーザＢから受信したユーザＡは、復号処理端末１０において、自身の復号鍵（ｕｓｋ_ｉ）を用い、復号化アルゴリズムに基づいて、暗号化情報（ｃ）を平文メッセージ（ｍ）に復号する。
【００１０】
上述した従来の鍵隔離型暗号方法の大きな特徴は、ある期間に適用されるユーザの復号鍵のいくつかが漏洩した場合においても、漏洩した復号鍵の総数が一定数を超えない限り、当該漏洩した復号鍵が該当する期間以外のその他の期間に適用される復号鍵については、当該ユーザ以外の者には依然として未知なことである。従って、ユーザは、復号鍵を頻繁に更新することにより、復号鍵の漏洩による被害を低減することができる。
【００１１】
【非特許文献１】
Ｔ．ＥｌＧａｍａｌ， ”ＡＰｕｂｌｉｃ−ＫｅｙＣｒｙｐｔｏｓｙｓｔｅｍａｎｄａＳｉｇｎａｔｕｒｅＳｃｈｅｍｅＢａｓｅｄｏｎｔｈｅＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍ”，ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｆＩｎｆｏｒｍａｔｉｏｎＴｈｅｏｒｙ，１９８５，３１（４）：ｐ．４６９−４７２
【００１２】
【非特許文献２】
Ｒ．Ｒｉｖｅｓｔ，Ａ．ＳｈａｍｉｒａｎｄＬ．Ａｄｌｅｍａｎ， ”ＡＭｅｔｈｏｄｆｏｒＯｂｔａｉｎｉｎｇＤｉｇｉｔａｌＳｉｇｎａｔｕｒｅａｎｄＰｕｂｌｉｃ−ＫｅｙＣｒｙｐｔｏｓｙｓｔｅｍｓ”，ＣｏｍｍｕｎｉｃａｔｉｏｎｏｆｔｈｅＡＣＭ，１９７８，２１，２，ｐ．１２０−１２６
【００１３】
【非特許文献３】
Ｙ．Ｄｏｄｉｓ，Ｊ．Ｋａｔｚ，Ｓ．ＸｕａｎｄＭ．Ｙｕｎｇ， ”Ｋｅｙ−ＩｎｓｕｌａｔｅｄＰｕｂｌｉｃ−ＫｅｙＣｒｙｐｔｏｓｙｓｔｅｍｓ”，Ｐｒｏｃ．ｏｆＥｕｒｏｃｒｙｐｔ２００２，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅＶｏｌ．２３３２，２００２，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐ．６５−８２
【００１４】
【非特許文献４】
Ｍ．ＢｅｌｌａｒｅａｎｄＡ．Ｐａｌａｃｉｏ， ”ＰｒｏｔｅｃｔｉｎｇａｇａｉｎｓｔＫｅｙＥｘｐｏｓｕｒｅ：ＳｔｒｏｎｇｌｙＫｅｙ−ＩｎｓｕｌａｔｅｄＥｎｃｒｙｐｔｉｏｎｗｉｔｈＯｐｔｉｍａｌＴｈｒｅｓｈｏｌｄ”，ＣｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ０６４，インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００２＞
【００１５】
【発明が解決しようとする課題】
しかしながら、上述した従来の鍵隔離型暗号方法は、何れも復号鍵の更新に必要な情報（ヘルパー鍵）を安全な外部の補助装置（上述の例ではＩＣカード）に保存しておくことを前提としていた。従って、他の者が、当該補助装置を盗んで使用した場合には、当該補助装置に保存されている情報と対応付けられているユーザに成りすますことができる危険性があった。
【００１６】
そこで、本発明は、以上の点に鑑みてなされたもので、復号鍵の更新に必要な情報を外部装置に保存せず、ユーザに固有の秘密情報を用いて復号鍵の更新を可能とする鍵隔離型暗号化方法、鍵隔離型暗号システム及び外部補助装置を提供することをその目的とする。
【００１７】
【課題を解決するための手段】
上述した課題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、暗号化された情報を復号鍵によって復号する端末と、端末と隔離されている外部補助装置とを用いた鍵隔離型暗号化方法であって、外部補助装置が、ユーザに固有の秘密情報を取得するステップ（Ａ）と、外部補助装置が、秘密情報に基づいて、所定の方法によりユーザ固有値を生成するステップ（Ｂ）と、外部補助装置が、ユーザ固有値に基づいて、ユーザの秘密鍵を生成するステップ（Ｃ）と、外部補助装置が、ユーザの秘密鍵を端末に送信するステップ（Ｄ）と、外部補助装置が、ユーザ固有値とユーザの秘密鍵とを消去するステップ（Ｅ）と、端末が、外部補助装置からユーザの秘密鍵を受信し、ユーザの秘密鍵に基づいて、復号鍵を更新するステップ（Ｆ）とを有することを要旨とする。
【００１８】
かかる特徴によれば、外部補助装置が、例えば、ユーザの生体情報に代表されるユーザに固有の秘密情報を取得し、取得した秘密情報と装置内部に記憶されている所定の関数等を用いて演算されたユーザ固有値を生成する。さらに、ユーザ固有値に基づいて生成された秘密鍵が端末に送信された場合には、ユーザ固有値と秘密鍵とを消去する。この結果、復号鍵の更新に必要な情報（ユーザ固有値）を外部補助装置に保存する必要がなく、外部補助装置が盗まれた場合にも当該復号鍵のユーザへの成りすましを防止することができる。
【００１９】
本発明の第１の特徴において、外部補助装置が、公開鍵を公開する公開鍵サーバからユーザの公開鍵を取得するステップと、外部補助装置が、端末から復号鍵の更新回数を取得するステップとをさらに有し、ステップ（Ｃ）において、ユーザ固有値とユーザの公開鍵と復号鍵の更新回数とに基づいて、ユーザの秘密鍵を生成することが好ましい。
【００２０】
これによれば、ユーザの公開鍵と、ユーザの復号鍵の更新回数とが取得されるため、ユーザの公開鍵と、復号鍵の更新回数を用いた鍵生成アルゴリズムに基づいて、復号鍵の更新に必要な秘密鍵を生成することができる。
【００２１】
本発明の第２の特徴は、暗号化された情報を復号鍵によって復号する端末と、端末と隔離されている外部補助装置とを具備する鍵隔離型暗号システムであって、外部補助装置が、ユーザに固有の秘密情報を取得する秘密情報取得手段と、秘密情報に基づいて、所定の方法によりユーザ固有値を生成するユーザ固有値生成手段と、ユーザ固有値に基づいて、ユーザの秘密鍵を生成する秘密鍵生成手段と、ユーザの秘密鍵を端末に送信する送信手段とを備え、端末が、外部補助装置からユーザの秘密鍵を受信し、ユーザの秘密鍵に基づいて、復号鍵を更新する復号鍵更新手段を備え、ユーザ固有値生成手段が、送信手段が端末にユーザの秘密鍵を送信した場合には生成したユーザ固有値を消去し、秘密鍵生成手段が、送信手段が端末にユーザの秘密鍵を送信した場合には秘密鍵を消去することを要旨とする。
【００２２】
本発明の第２の特徴において、外部補助装置は、公開鍵を公開する公開鍵サーバからユーザの公開鍵を取得する公開鍵取得手段と、端末から復号鍵の更新回数を取得する更新回数取得手段とをさらに有し、秘密鍵生成手段は、ユーザ固有値とユーザの公開鍵と復号鍵の更新回数とに基づいて、ユーザの秘密鍵を生成することが好ましい。
【００２３】
本発明の第３の特徴は、暗号化された情報を復号鍵によって復号する端末と隔離され、復号鍵の更新に用いられる情報を生成する外部補助装置であって、ユーザに固有の秘密情報を取得する秘密情報取得手段と、秘密情報に基づいて、所定の方法によりユーザ固有値を生成するユーザ固有値生成手段と、ユーザ固有値に基づいて、ユーザの秘密鍵を生成する秘密鍵生成手段と、ユーザの秘密鍵を端末に送信する送信手段とを備え、ユーザ固有値生成手段が、送信手段が端末にユーザの秘密鍵を送信した場合には生成したユーザ固有値を消去し、秘密鍵生成手段が、送信手段が端末にユーザの秘密鍵を送信した場合には秘密鍵を消去することを要旨とする。
【００２４】
本発明の第３の特徴において、公開鍵を公開する公開鍵サーバからユーザの公開鍵を取得する公開鍵取得手段と、端末から復号鍵の更新回数を取得する更新回数取得手段とをさらに有し、秘密鍵生成手段は、ユーザ固有値とユーザの公開鍵と復号鍵の更新回数とに基づいて、ユーザの秘密鍵を生成することが好ましい。
【００２５】
【発明の実施の形態】
（本実施形態に係る鍵隔離型暗号システムの構成）
本発明の実施形態について図面を参照しながら説明する。図１は、本実施形態に係る鍵隔離型暗号システムの構成図である。
【００２６】
同図に示すように、本実施形態では、インターネット等の通信ネットワーク１を介して、暗号化された情報（暗号文）を受信し、受信した暗号文を復号する復号処理端末１０と、平文メッセージ（ｍ）を暗号化した暗号文を送信する暗号処理端末２０ａ、２０ｂ、２０ｎと、ユーザの公開鍵（ｐｋ）を公開する公開鍵サーバ３０とが、相互に通信可能に接続されている。
【００２７】
復号処理端末１０は、本実施形態では、ユーザ１０ｕが使用する端末であり、外部補助装置の機能を有する生体情報採取装置１００と接続されている。復号処理端末１０は、暗号処理端末２０ａから受信した暗号文を復号するために必要なユーザ１０ｕの復号鍵（ｕｓｋ，ｕｓｋ_ｉ−１，ｕｓｋ_ｉ）を保存し、当該復号鍵を用いて暗号文を平文メッセージ（ｍ）に復号するものである。また、復号処理端末１０は、生体情報採取装置１００に対して復号鍵の更新を要求し、この要求に基づいて生体情報採取装置１００から送信された復号鍵の更新に用いられる秘密鍵（ｈｓｋ_ｉ）を受信することができる。さらに、復号処理端末１０は、受信した秘密鍵（ｈｓｋ_ｉ）に基づいて、復号鍵（ｕｓｋ_ｉ−１）を更新し、新たな復号鍵（ｕｓｋ_ｉ）を生成することができる。
【００２８】
生体情報採取装置１００は、本実施形態では、ユーザ１０ｕの生体情報を取得し、取得した生体情報と、装置内部に記憶されている所定の関数等を用いて演算されたユーザ１０ｕに固有なユーザ固有値（ｈｓｋ’）を生成するものである。さらに、生体情報採取装置１００は、ユーザ固有値（ｈｓｋ’）に基づいて秘密鍵（ｈｓｋ_ｉ）を生成するものである。また、生体情報採取装置１００は、復号処理端末１０において使用される最初の復号鍵である初期復号鍵（ｕｓｋ_０）ならびに公開鍵（ｐｋ）を生成することもできる。
【００２９】
暗号処理端末２０ａ、２０ｂ、２０ｎは、本実施形態では、公開鍵サーバ３０上に公開されているユーザ１０ｕの公開鍵（ｐｋ）と復号鍵の更新回数（ｉ）とを取得し、これらの取得した情報を用いて暗号化した暗号文を復号処理端末１０に対して送信するものである。
【００３０】
なお、復号処理端末１０と暗号処理端末２０ａ、２０ｂ、２０ｎとは、例えば、ネットワークに接続可能なパーソナル・コンピュータや携帯情報端末（ＰＤＡ）等によって実現することができる。また、暗号化や復号化に必要な処理能力を具備する携帯電話端末であってもよい。
【００３１】
公開鍵サーバ３０は、本実施形態では、ユーザ１０ｕの公開鍵（ｐｋ）と復号鍵の更新回数（ｉ）とを、復号処理端末１０と暗号処理端末２０ａ、２０ｂ、２０ｎとに対して公開するものである。なお、ユーザ１０ｕの復号鍵の更新回数（ｉ）は、本実施形態では公開鍵サーバ３０上に公開されているが、当該更新回数（ｉ）は、復号処理端末１０から暗号処理端末２０ａ、２０ｂ、２０ｎに送信する形態としてもよい。
【００３２】
次に、図２を参照して、本実施形態に係る復号処理端末１０、暗号処理端末２０ａ及び生体情報採取装置１００の論理ブロック構成についてそれぞれ説明する。
【００３３】
まず、生体情報採取装置１００の論理ブロック構成について説明する。同図に示すように、生体情報採取装置１００は、生体情報採取部１０１と、固有値生成部１０３と、公開鍵生成部１０５と、初期復号鍵生成部１０７と、秘密鍵生成部１０９と、通信部１１１とから構成されている。
【００３４】
生体情報採取部１０１は、ユーザ１０ｕに固有の秘密情報を取得するものであり、本実施形態では、秘密情報取得手段を構成する。具体的には、生体情報採取部１０１は、ユーザ１０ｕの生体情報を採取するものである。ユーザ１０ｕの生体情報としては、例えば、ユーザ１０ｕの指紋や網膜（虹彩）の情報等、ユーザ１０ｕを一意に識別できる情報が用いられる。また、本実施形態では、ユーザ１０ｕの生体情報を用いているが、ユーザ固有の情報であって、当該情報がユーザ以外に知得されていない、すなわち秘密な情報であれば、生体情報以外の情報を用いることもできる。
【００３５】
固有値生成部１０３は、生体情報採取部１０１によって採取されたユーザ１０ｕの生体情報に基づいて、所定の方法によりユーザ１０ｕの固有値（ｈｓｋ’）を生成するものであり、本実施形態では、ユーザ固有値生成手段を構成する。具体的には、固有値生成部１０３は、任意の関数等から構成される数式を記憶し、生体情報採取部１０１によって採取されたユーザ１０ｕの生体情報のデータと当該数式とを用いて、ユーザ１０ｕの固有値（ｈｓｋ’）を生成する。なお、固有値生成部１０３が記憶する数式は、相異する生体情報のデータから同一の固有値が生成されないものであればよく、固有値を生成するための演算に係る負荷等を考慮して選定すればよい。
【００３６】
また、固有値生成部１０３は、通信部１１１を介して、生成したユーザ１０ｕの固有値（ｈｓｋ’）を初期復号鍵生成部１０７または秘密鍵生成部１０９に送信する。
【００３７】
公開鍵生成部１０５は、ユーザ１０ｕの公開鍵（ｐｋ）を生成するものである。
【００３８】
例えば、非特許文献４に示されているＢｏｎｅｈ−Ｆｒａｎｋｌｉｎ（ＢＦ）−ＩＢＥ（Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄＥｎｃｒｙｐｔｉｏｎ）に基づくＳＫＩＥ（Ｓｔｒｏｎｇｌｙ−ＫｅｙＩｎｓｕｌａｔｅｄＥｎｃｒｙｐｔｉｏｎ）方式によれば、以下のような手順により、ユーザ１０ｕの公開鍵（ｐｋ）を生成する。これ以降、適宜ＳＫＩＥ方式による手順を例として説明する。公開鍵生成部１０５は、集合（ｋ）からランダムにマスター鍵（ｓ）と公開鍵（ｐｋ）とを選定し、選定した公開鍵（ｐｋ）を通信部１１１及び復号処理端末１０を介して、公開鍵サーバ３０に送信する。
【００３９】
初期復号鍵生成部１０７は、固有値生成部１０３によって生成されたユーザ１０ｕの固有値（ｈｓｋ’）に基づいて、復号処理端末１０において使用される最初の復号鍵である初期復号鍵（ｕｓｋ_０）を生成するものである。
【００４０】
例えば、ＳＫＩＥ方式であれば、初期復号鍵生成部１０７は、ユーザ１０ｕの固有値（ｈｓｋ’）と、公開鍵生成部１０５によって生成されたユーザ１０ｕの公開鍵（ｐｋ）とマスター鍵（ｓ）とを用いて、初期復号鍵（ｕｓｋ_０）を生成する。具体的には、初期復号鍵生成部１０７は、ｕｓｋ_０＝（ｕｓｋ，ｉｂｓｋ_０），ｕｓｋ＝ｓ−ｈｓｋ’，ｉｂｓｋ_０＝ｓ・Ｈ（０）を用いて、ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を生成する。なお、Ｈ（・）は、公開鍵（ｐｋ）に含まれる一方向性関数である。初期復号鍵生成部１０７は、通信部１１１を介して、生成した初期復号鍵（ｕｓｋ_０）を復号処理端末１０に送信する。
【００４１】
秘密鍵生成部１０９は、固有値生成部１０３によって生成されたユーザ１０ｕの固有値（ｈｓｋ’）に基づいて、ユーザ１０ｕの秘密鍵を生成するものである。
【００４２】
また、秘密鍵生成部１０９は、ユーザ１０ｕの公開鍵（ｐｋ）を公開する公開鍵サーバ３０からユーザ１０ｕの公開鍵（ｐｋ）を取得するものであり、本実施形態では、公開鍵取得手段を構成する。さらに、秘密鍵生成部１０９は、復号処理端末１０からユーザ１０ｕの復号鍵の更新回数（ｉ）を取得するものであり、本実施形態では、更新回数取得手段を構成する。
【００４３】
具体的には、秘密鍵生成部１０９は、ユーザ１０ｕの固有値（ｈｓｋ’）と公開鍵（ｐｋ）と更新回数（ｉ）とを用いて、新たな秘密鍵（ｈｓｋ_ｉ）を生成する。例えば、ＳＫＩＥ方式であれば、ｈｓｋ_ｉ＝ｈｓｋ’・Ｈ（ｉ）を用いて新たな秘密鍵を生成することができる。
【００４４】
また、秘密鍵生成部１０９は、通信部１１１を介して、生成した新たな秘密鍵（ｈｓｋ_ｉ）を復号処理端末１０に送信するものであり、本実施形態では、送信手段を構成する。
【００４５】
通信部１１１は、固有値生成部１０３と、公開鍵生成部１０５と、初期復号鍵生成部１０７と、秘密鍵生成部１０９と通信可能に接続されており、本実施形態では、ユーザ１０ｕの固有値（ｈｓｋ’）や秘密鍵（ｈｓｋ_ｉ）等の情報を中継するものである。また、通信部１１１は、例えば、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）等の通信インターフェースを具備し、復号処理端末１０と接続され、復号処理端末１０との通信を行うことができる。
【００４６】
次に、復号処理端末１０の論理ブロック構成について説明する。復号処理端末１０は、通信部１１と、記憶部１３と、復号鍵更新部１５と、復号部１７とから構成されている。
【００４７】
通信部１１は、記憶部１３と、復号部１７と、復号鍵更新部１５と通信可能に接続されており、ユーザ１０ｕの秘密鍵（ｈｓｋ_ｉ等）や復号鍵（ｕｓｋ_ｉ等）等を中継するものである。また、通信部１１は、例えば、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）等の通信インターフェースを具備し、生体情報採取装置１００と接続され、生体情報採取装置１００との通信を行うことができる。
【００４８】
さらに、通信部１１は、通信ネットワーク１を介して、暗号処理端末２０ａ（２０ｂ、２０ｎ）と、公開鍵サーバ３０と接続されており、暗号処理端末２０ａ（２０ｂ、２０ｎ）または公開鍵サーバ３０と通信を行うことができる。具体的には、通信部１１は、上述したＵＳＢに加え、例えば、１００Ｂａｓｅ−ＴＸ等のＬＡＮインターフェースを具備し、ｘＤＳＬモデム等の通信機器を介して通信ネットワーク１と接続することができる。
【００４９】
記憶部１３は、生体情報採取装置１００から受信した初期復号鍵（ｕｓｋ_０）または復号鍵更新部１５において更新された復号鍵（ｕｓｋ_ｉ等）を記憶するものである。また、記憶部１３は、本実施形態では、復号部１７によって復号された平文メッセージ（ｍ）を記憶するものである。
【００５０】
復号鍵更新部１５は、生体情報採取装置１００からユーザ１０ｕの秘密鍵（ｈｓｋ_ｉ）を受信し、ユーザ１０ｕの秘密鍵（ｈｓｋ_ｉ）に基づいて、記憶部１３に記憶されている復号鍵（ｕｓｋ_ｉ−１）を更新するものである。
【００５１】
例えば、ＳＫＩＥ方式であれば、復号鍵更新部１５は、ユーザ１０ｕの秘密鍵（ｈｓｋ_ｉ）と、復号鍵（ｕｓｋ_ｉ−１）とを用いて、新たな復号鍵（ｕｓｋ_ｉ）を生成する。具体的には、復号鍵更新部１５は、ｕｓｋ_ｉ＝（ｕｓｋ，ｉｂｓｋ_ｉ），ｕｓｋ_ｉ−１＝（ｕｓｋ，ｉｂｓｋ_ｉ−１），ｉｂｓｋ_ｉ＝ｕｓｋ・Ｈ（ｉ）＋ｈｓｋ_ｉを用いてユーザ１０ｕの新たな復号鍵（ｕｓｋ_ｉ）を生成する。ここで、復号鍵更新部１５は、ｕｓｋ_ｉ−１が、ｕｓｋとｉｂｓｋ_ｉ−１とから構成されていることを認識している。復号鍵更新部１５は、通信部１１を介して、生成した新たな復号鍵（ｕｓｋ_ｉ）を記憶部１３に記憶させる。
【００５２】
復号部１７は、本実施形態では、通信部１１を介して、暗号処理端末２０ａ（２０ｂ、２０ｎ）によって送信されたユーザ１０ｕ宛ての暗号文（ｃ）を受信するものである。さらに、復号部１７は、受信した暗号文（ｃ）をユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）を用いて復号し、通信部１１を介して、平文メッセージ（ｍ）を記憶部１３に送信する。
【００５３】
次に、暗号処理端末２０ａの論理ブロック構成について説明する。なお、図２においては、暗号処理端末２０ｂ乃至２０ｎの論理ブロック構成の記載を省略しているが、暗号処理端末２０ａと同一の構成を有している。
【００５４】
暗号処理端末２０ａは、通信部２１と、公開鍵取得部２３と、暗号化部２５とから構成されている。
【００５５】
通信部２１は、公開鍵取得部２３と、暗号化部２５と通信可能に接続されており、ユーザ１０ｕの公開鍵（ｐｋ）等を中継するものである。また、通信部２１は、通信ネットワーク１を介して、復号処理端末１０と、公開鍵サーバ３０と接続されており、復号処理端末１０または公開鍵サーバ３０と通信を行うことができる。具体的には、通信部２１は、例えば、１００Ｂａｓｅ−ＴＸ等のＬＡＮインターフェースを具備し、ｘＤＳＬモデム等の通信機器を介して通信ネットワーク１と接続することができる。
【００５６】
公開鍵取得部２３は、ユーザ１０ｕの公開鍵（ｐｋ）を公開鍵サーバ３０から取得するものである。また、公開鍵取得部２３は、本実施形態では、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）の更新回数（ｉ）を取得することができる。
【００５７】
暗号化部２５は、本実施形態では、ユーザ１０ｕに送信すべき平文メッセージ（ｍ）を、復号処理端末１０にユーザ１０ｕの公開鍵（ｐｋ）と復号鍵（ｕｓｋ_ｉ）の更新回数（ｉ）とによって暗号化し、平文メッセージ（ｍ）が暗号化された暗号文（ｃ）を復号処理端末１０に対して送信するものである。具体的には、暗号化部２５は、公開鍵取得部２３によって取得されたユーザ１０ｕの公開鍵（ｐｋ）と復号鍵（ｕｓｋ_ｉ）の更新回数（ｉ）とを用いて平文メッセージ（ｍ）が暗号化された暗号文（ｃ）を生成し、通信部２１を介して復号処理端末１０に送信する。
【００５８】
（本実施形態に係る鍵隔離型暗号化方法）
次に、上述した本実施形態に係る鍵隔離型暗号システムを用いた暗号化方法について説明する。具体的には、図３乃至図５を参照し、上述したＳＫＩＥ方式を例として、（１）ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）の生成、（２）ユーザ１０ｕの復号鍵の更新（ｕｓｋ_ｉ−１→ｕｓｋ_ｉ）、及び（３）暗号文（ｃ）の送受信、の段階に分割して説明する。なお、図中の実線の矢印は、シーケンスを示し、一点破線の矢印は、情報の流れを示している。
【００５９】
図３は、ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）の生成方法を示すシーケンス図である。まず、生体情報採取装置１００は、ユーザ１０ｕ固有の秘密情報、すなわち本実施形態では、ユーザ１０ｕの生体情報を採取する（Ｓ１０）。次いで、ステップＳ１０において採取されたユーザ１０ｕの生体情報と、生体情報採取装置１００に記憶されている任意の関数等とから、ユーザ１０ｕの固有値（ｈｓｋ’）を生成する（Ｓ２０）。
【００６０】
さらに、生体情報採取装置１００は、所定の集合からユーザ１０ｕの公開鍵（ｐｋ）とマスター鍵（ｓ）とを、ランダムに選定することによって生成する（Ｓ３０）。
【００６１】
次いで、生体情報採取装置１００は、ステップＳ２０において生成されたユーザ１０ｕの固有値（ｈｓｋ’）と、ステップＳ３０において生成された公開鍵（ｐｋ）ならびにマスター鍵（ｓ）とから、ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を生成する（Ｓ４０）。具体的には、生体情報採取装置１００は、ｕｓｋ_０＝（ｕｓｋ，ｉｂｓｋ_０），ｕｓｋ＝ｓ−ｈｓｋ’，ｉｂｓｋ_０＝ｓ・Ｈ（０）を用いて、ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を生成する。なお、Ｈ（・）は、公開鍵（ｐｋ）に含まれる一方向性関数である。
【００６２】
生体情報採取装置１００は、ステップＳ４０において生成されたユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を復号処理端末１０に送信する（Ｓ５０）。さらに、生体情報採取装置１００は、復号処理端末１０を介して、ステップＳ３０において生成されたユーザ１０ｕの公開鍵（ｐｋ）を公開鍵サーバ３０に送信する（Ｓ６０）。公開鍵サーバ３０は、ユーザ１０ｕの公開鍵（ｐｋ）を受信し、通信ネットワーク１に接続されている復号処理端末１０と暗号処理端末２０ａ（２０ｂ、２０ｎ）とに対して、受信した公開鍵（ｐｋ）を公開することができる。
【００６３】
生体情報採取装置１００は、ステップＳ５０及びＳ６０の処理が完了後、内部に保存されているユーザ１０ｕの固有値（ｈｓｋ’）と、初期復号鍵（ｕｓｋ_０）と、マスター鍵（ｓ）とを消去する（Ｓ７０）。ステップＳ７０の処理が完了することにより、生体情報採取装置１００の内部には、ユーザ１０ｕの初期復号鍵（ｕｓｋ_０）や初期復号鍵（ｕｓｋ_０）の生成に必要な情報が保存されないようになっている。
【００６４】
また、復号処理端末１０は、生体情報採取装置１００からユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を受信（Ｓ８０）し、受信したユーザ１０ｕの初期復号鍵（ｕｓｋ_０）を内部に保存する（Ｓ９０）。
【００６５】
図４は、ユーザ１０ｕの復号鍵をｕｓｋ_ｉ−１からｕｓｋ_ｉに更新する方法を示すシーケンス図である。まず、復号処理端末１０は、生体情報採取装置１００に対して、これまでに（ｉ−１）回更新しているユーザ１０ｕの復号鍵（ｕｓｋ_ｉ−１）の更新を要求する（Ｓ１００）。
【００６６】
生体情報採取装置１００は、復号処理端末１０からユーザ１０ｕの復号鍵の更新要求を受信する（Ｓ１１０）。次いで、生体情報採取装置１００は、公開鍵サーバ３０からユーザ１０ｕの公開鍵（ｐｋ）を取得する（Ｓ１２０）。
【００６７】
さらに、生体情報採取装置１００は、ユーザ１０ｕ固有の秘密情報、すなわち生体情報を採取する（Ｓ１３０）。次いで、生体情報採取装置１００は、ステップＳ１３０において採取されたユーザ１０ｕの生体情報と、生体情報採取装置１００に記憶されている任意の関数等とから、ユーザ１０ｕの固有値（ｈｓｋ’）を生成する（Ｓ１４０）。
【００６８】
生体情報採取装置１００は、ステップＳ１１０において受信した復号鍵の更新回数（ｉ）と、ステップＳ１２０において取得したユーザ１０ｕの公開鍵（ｐｋ）と、ステップＳ１４０において生成されたユーザ１０ｕの固有値（ｈｓｋ’）とから、ユーザ１０ｕの新たな秘密鍵（ｈｓｋ_ｉ）を生成する（Ｓ１５０）。具体的には、生体情報採取装置１００は、ｈｓｋ_ｉ＝ｈｓｋ’・Ｈ（ｉ）を用いてユーザ１０ｕ新たな秘密鍵（ｈｓｋ_ｉ）を生成する。
【００６９】
生体情報採取装置１００は、ステップＳ１５０において生成されたユーザ１０ｕの新たな秘密鍵（ｈｓｋ_ｉ）を復号処理端末１０に送信する（Ｓ１６０）。生体情報採取装置１００は、ステップＳ１６０の処理が完了後、内部に保存されているユーザ１０ｕの固有値（ｈｓｋ’）と、新たな秘密鍵（ｈｓｋ_ｉ）とを消去する（Ｓ１７０）。ステップＳ１７０の処理が完了することにより、生体情報採取装置１００の内部には、ユーザ１０ｕの新たな秘密鍵（ｈｓｋ_ｉ）や固有値（ｈｓｋ’）が保存されないようになっている。
【００７０】
また、復号処理端末１０は、生体情報採取装置１００からユーザ１０ｕの新たな秘密鍵（ｈｓｋ_ｉ）を受信する（Ｓ１８０）。次いで、復号処理端末１０は、受信したユーザ１０ｕの新たな秘密鍵（ｈｓｋ_ｉ）と、これまでの復号鍵（ｕｓｋ_ｉ−１）とから、新たな復号鍵（ｕｓｋ_ｉ）を生成する（Ｓ１９０）。具体的には、復号処理端末１０は、ｕｓｋ_ｉ＝（ｕｓｋ，ｉｂｓｋ_ｉ），ｕｓｋ_ｉ−１＝（ｕｓｋ，ｉｂｓｋ_ｉ−１），ｉｂｓｋ_ｉ＝ｕｓｋ・Ｈ（ｉ）＋ｈｓｋ_ｉを用いてユーザ１０ｕの新たな復号鍵（ｕｓｋ_ｉ）を生成する。
【００７１】
次いで、復号処理端末１０は、ステップＳ１９０において生成されたユーザ１０ｕの新たな復号鍵（ｕｓｋ_ｉ）を内部に保存する（Ｓ２００）。さらに、復号処理端末１０は、ステップＳ２００の処理が完了後、内部に保存されているユーザ１０ｕのこれまでの復号鍵（ｕｓｋ_ｉ−１）と、生体情報採取装置１００から受信した新たな秘密鍵（ｈｓｋ_ｉ）とを消去する（Ｓ２１０）。また、復号処理端末１０は、ユーザ１０ｕの復号鍵の更新回数（ｉ）を公開鍵サーバ３０に送信する（Ｓ２２０）。公開鍵サーバ３０は、ユーザ１０ｕの復号鍵の更新回数（ｉ）を受信し、通信ネットワーク１に接続されている復号処理端末１０と暗号処理端末２０ａ（２０ｂ、２０ｎ）とに対して、ユーザ１０ｕの復号鍵の更新回数（ｉ）を公開することができる。
【００７２】
図５は、暗号処理端末２０ａがユーザ１０ｕの公開鍵（ｐｋ）を用いて暗号文（ｃ）を復号処理端末１０に送信し、復号処理端末１０がユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）を用いて平文メッセージ（ｍ）に復号する方法を示すシーケンス図である。
【００７３】
まず、暗号処理端末２０ａは、ユーザ１０ｕの公開鍵（ｐｋ）と、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）の更新回数（ｉ）とを公開鍵サーバ３０から取得する（Ｓ２３０）。次いで、暗号処理端末２０ａは、ユーザ１０ｕの公開鍵（ｐｋ）と、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）の更新回数（ｉ）とを用いて平文メッセージ（ｍ）を暗号化し、暗号文（ｃ）を生成する（Ｓ２４０）。さらに、暗号処理端末２０ａは、ステップＳ２４０において生成された暗号文（ｃ）を復号処理端末１０に送信する（Ｓ２５０）。
【００７４】
復号処理端末１０は、暗号処理端末２０ａから暗号文（ｃ）を受信（Ｓ２６０）し、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ）を用いて、暗号文（ｃ）を平文（ｍ）に復号する（Ｓ２７０）。
【００７５】
（本実施形態に係る鍵隔離型暗号システム及び鍵隔離型暗号化方法による作用・効果）
以上説明した本実施形態に係る鍵隔離型暗号システム及び鍵隔離型暗号化方法によれば、生体情報採取装置１００が、ユーザ１０ｕの生体情報を取得し、取得した生体情報と装置内部に記憶されている任意の関数等を用いて演算されたユーザ１０ｕの固有値（ｈｓｋ’）を生成する。さらに、ユーザ１０ｕの固有値（ｈｓｋ’）に基づいて生成されたユーザ１０ｕの秘密鍵（ｈｓｋ_ｉ）が復号処理端末１０に送信された場合には、ユーザ１０ｕの固有値（ｈｓｋ’）と秘密鍵（ｈｓｋ_ｉ）とを消去する。この結果、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ−１）の更新に必要なユーザ１０ｕの固有値（ｈｓｋ’）を生体情報採取装置１００に保存する必要がなく、生体情報採取装置１００が盗まれた場合にもユーザ１０ｕへの成りすましを防止することができる。
【００７６】
本実施形態によれば、ユーザ１０ｕの公開鍵（ｐｋ）と、復号鍵の更新回数（ｉ）とが取得されるため、ユーザ１０ｕの公開鍵（ｐｋ）と、復号鍵の更新回数（ｉ）とを用いた鍵生成アルゴリズム（例えば上述したＳＫＩＥ方式）に基づいて、ユーザ１０ｕの復号鍵（ｕｓｋ_ｉ−１）の更新に必要な秘密鍵（ｈｓｋ_ｉ）を生成することができる。
【００７７】
【発明の効果】
以上説明したように本発明によれば、復号鍵の更新に必要な情報を外部装置に保存せず、ユーザに固有の秘密情報を用いて復号鍵の更新を可能とする鍵隔離型暗号化方法、鍵隔離型暗号システム及び外部補助装置を提供することができる。
【図面の簡単な説明】
【図１】本発明の実施形態に係る鍵隔離型暗号システムの構成図である。
【図２】本発明の実施形態に係る生体情報採取装置、復号処理端末及び暗号処理端末の論理ブロック構成を示す図である。
【図３】本発明の実施形態に係る鍵隔離型暗号化方法を示すシーケンス図である。
【図４】本発明の実施形態に係る鍵隔離型暗号化方法を示すシーケンス図である。
【図５】本発明の実施形態に係る鍵隔離型暗号化方法を示すシーケンス図である。
【図６】従来の鍵隔離型暗号システムの構成図である。
【符号の説明】
１…通信ネットワーク
１０…復号処理端末
１０ｕ…ユーザ
１１…通信部
１３…記憶部
１５…復号鍵更新部
１７…復号部
２０ａ、２０ｂ、２０ｎ…暗号処理端末
２１…通信部
２３…公開鍵取得部
２５…暗号化部
３０…公開鍵サーバ
１００…生体情報採取装置
１０１…生体情報採取部
１０３…固有値生成部
１０５…公開鍵生成部
１０７…初期復号鍵生成部
１０９…秘密鍵生成部
１１１…通信部[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a key isolation type encryption method using secret information unique to a user, a key isolation type encryption system, and an external auxiliary device.
[0002]
[Prior art]
In a conventional public key cryptosystem, leakage of a decryption key used by a user is the greatest threat to the security of encrypted communication. As one of the methods for reducing the damage caused by the leakage of the decryption key, the decryption key is distributed and managed.
[0003]
For example, a method is known in which a predetermined number of decryption keys among a plurality of distributed decryption keys are collected and used, so that encrypted information can be decrypted. By performing such a method, an attacker attempting to obtain a decryption key illegally needs to obtain multiple decryption keys in order to decrypt the encrypted information. Is improved.
[0004]
As another method, a usable period is set for the decryption key, and in a certain time zone (i), decryption of the encrypted information is performed by a specific decryption key (usk). _i ) Is also effective. By executing such a method, the decryption key (usk) in a certain time zone (i) is obtained. _i ) Is leaked, the encrypted information is stored in the decryption key (usk) in the time period before and after the time period. _i ), It is possible to reduce the damage caused by the leakage of the decryption key.
[0005]
The conventional key isolation type encryption method (Key-Insulated Encryption) is configured by combining the above-described distributed management of the decryption key and the periodic update of the decryption key. For example, according to the key isolation type encryption method disclosed in Non-Patent Document 3, the process of generating and updating a user's decryption key is performed in substantially the following procedure.
[0006]
As shown in FIG. 6, the user A firstly obtains a public key (pk) of the user A generated using the key generation algorithm and an initial decryption key (usk). ₀ ) And a helper key (hsk) used for updating the decryption key. The public key (pk) is published on a public key server 30 accessible to other users. Also, the initial decryption key (usk ₀ ) Is stored in the decryption processing terminal 10 that executes decryption processing, and the helper key (hsk) is stored in a tamper-resistant device such as the IC card 41, for example.
[0007]
Also, for example, the decryption key (usk) updated (i-1) times so far. _i-1 ) With the decryption key (usk _i ), The user A issues a decryption key (usk) to the external device 40 that controls reading of information from the IC card 41 and writing of information to the IC card 41. _i-1 ) Request an update. The external device 40 that has been requested to update the decryption key uses the secret key update algorithm and, based on the helper key (hsk) stored in the IC card 41, uses the decryption key (usk). _i-1 ) Can be updated with a new secret key (hsk _i ) Is generated, and the generated new secret key (hsk _i ) Is transmitted to the decryption processing terminal 10 via a secure network free from eavesdropping and the like. Next, the decryption processing terminal 10 uses the decryption key update algorithm to update the received new secret key (hsk _i ) And decryption key (usk _i-1 ), The user A's new decryption key (usk _i ). Further, the new secret key (hsk _i ) And the old decryption key (usk _i-1 ) And are erased.
[0008]
Further, when the user B transmits information encrypted to the certain user A using the cryptographic processing terminal 20a (or 20b) for performing the cryptographic process, the user B first discloses the user A Obtain the key (pk). Next, the user B uses the cryptographic processing terminal 20a to obtain the public key (pk) of the user A, the period information (i), that is, the number of updates of the decryption key, and the message (m) to be transmitted to the user A. Then, the plaintext message (m) is encrypted using the encryption algorithm to generate the encrypted information (c).
[0009]
Next, the user A, which has received the encryption information (c) from the user B, uses the decryption processing terminal 10 to decrypt its own decryption key (usk _i ), And decrypts the encrypted information (c) into a plaintext message (m) based on the decryption algorithm.
[0010]
A major feature of the above-described conventional key isolation type encryption method is that even if some of the user's decryption keys applied during a certain period are leaked, as long as the total number of leaked decryption keys does not exceed a certain number, the leaked The decryption key applied to the other period other than the period to which the decryption key is applied is still unknown to anyone other than the user. Therefore, the user can reduce the damage caused by the leakage of the decryption key by frequently updating the decryption key.
[0011]
[Non-patent document 1]
T. El Gamal, "A Public-Key Cryptosystem and a Signature Scheme Based on the Discrete Logarithm," IEEE Transactions, Information Technology, IEEE Transformation of Information Technology. 469-472
[0012]
[Non-patent document 2]
R. Rivest, A .; Shamir and L.M. Adleman, "A Method for Obtaining a Digital Signature and Public-Key Cryptosystems", Communication of the ACM, 1978, 21, 2, p. 120-126
[0013]
[Non-Patent Document 3]
Y. Dodis, J .; Katz, S.M. Xu and M.S. Yung, "Key-Insulated Public-Key Cryptosystems", Proc. of Eurocrypt 2002, Lecture Notes in Computer Science Vol. 2332, 2002, Springer-Verlag, p. 65-82
[0014]
[Non-patent document 4]
M. Bellare and A. Palacio, "Protecting Against Key Exposure: Strongly Key-Insulated Encryption with Optimal Threshold: Internet Architect / Rental / Registration: Internet / Principal / Registration: iacr. org / 2002>
[0015]
[Problems to be solved by the invention]
However, the above-described conventional key-separation type encryption methods assume that information (helper key) necessary for updating the decryption key is stored in a secure external auxiliary device (IC card in the above example). And had Therefore, when another person steals and uses the auxiliary device, there is a risk that the user can impersonate a user who is associated with the information stored in the auxiliary device.
[0016]
Therefore, the present invention has been made in view of the above points, and enables updating of a decryption key using secret information unique to a user without storing information necessary for updating the decryption key in an external device. It is an object of the present invention to provide a key isolation type encryption method, a key isolation type encryption system, and an external auxiliary device.
[0017]
[Means for Solving the Problems]
In order to solve the above-described problems, the present invention has the following features. First, a first feature of the present invention is a key isolation type encryption method using a terminal for decrypting encrypted information with a decryption key and an external auxiliary device isolated from the terminal. A step in which the device obtains secret information unique to the user (A); a step in which the external auxiliary device generates a user unique value by a predetermined method based on the secret information; (C) generating a secret key of the user based on the unique value; (D) transmitting the secret key of the user to the terminal by the external auxiliary device; and (D) transmitting the secret key of the user to the external auxiliary device. And a step (F) in which the terminal receives the user's secret key from the external auxiliary device and updates the decryption key based on the user's secret key. .
[0018]
According to this feature, the external auxiliary device acquires, for example, secret information unique to the user represented by the biometric information of the user, and uses the acquired secret information and a predetermined function stored inside the device. Generate the calculated user specific value. Further, when the secret key generated based on the user unique value is transmitted to the terminal, the user unique value and the secret key are deleted. As a result, there is no need to store information (user-specific value) required for updating the decryption key in the external auxiliary device, and it is possible to prevent the decryption key from being impersonated by the user even if the external auxiliary device is stolen. .
[0019]
In the first aspect of the present invention, a step in which the external auxiliary device obtains the user's public key from a public key server that publishes the public key, and a step in which the external auxiliary device obtains the number of updates of the decryption key from the terminal Preferably, in step (C), the secret key of the user is generated based on the user unique value and the number of updates of the public key and the decryption key of the user.
[0020]
According to this, since the user's public key and the number of updates of the user's decryption key are obtained, the update of the decryption key is performed based on the key generation algorithm using the user's public key and the number of updates of the decryption key. Can generate a secret key required for the server.
[0021]
A second feature of the present invention is a key isolation type cryptosystem including a terminal for decrypting encrypted information with a decryption key, and an external auxiliary device isolated from the terminal, wherein the external auxiliary device comprises: Secret information acquisition means for acquiring secret information unique to the user, user unique value generation means for generating a user unique value by a predetermined method based on the secret information, and secret information for generating a user secret key based on the user unique value A decryption key that includes a key generation unit and a transmission unit that transmits a user's secret key to the terminal, wherein the terminal receives the user's secret key from the external auxiliary device and updates the decryption key based on the user's secret key. Updating means, wherein the user unique value generating means erases the generated user unique value when the transmitting means transmits the user's private key to the terminal, and the secret key generating means makes the transmitting means transmit the user's private key to the terminal. In the case that sent the key is summarized in that to erase the secret key.
[0022]
In the second aspect of the present invention, the external auxiliary device includes: a public key acquisition unit that acquires a user's public key from a public key server that publishes a public key; and an update count acquisition unit that acquires a decryption key update count from a terminal. Preferably, the secret key generation means generates the user's secret key based on the user's unique value, the user's public key, and the number of updates of the decryption key.
[0023]
A third feature of the present invention is an external auxiliary device that is isolated from a terminal that decrypts encrypted information using a decryption key and generates information used for updating the decryption key, and that stores secret information unique to a user. Secret information obtaining means for obtaining, a user unique value generating means for generating a user unique value by a predetermined method based on the secret information, secret key generating means for generating a secret key of the user based on the user unique value, Transmitting means for transmitting the secret key to the terminal, wherein the user unique value generating means deletes the generated user unique value when the transmitting means transmits the user's private key to the terminal, and the secret key generating means comprises: If the user sends the user's secret key to the terminal, the secret key is deleted.
[0024]
In the third aspect of the present invention, the apparatus further includes a public key acquisition unit that acquires a user's public key from a public key server that publishes a public key, and an update count acquisition unit that acquires a decryption key update count from a terminal. Preferably, the secret key generation means generates the user's secret key based on the user's unique value and the number of updates of the user's public key and decryption key.
[0025]
BEST MODE FOR CARRYING OUT THE INVENTION
(Configuration of the key isolation type encryption system according to the present embodiment)
An embodiment of the present invention will be described with reference to the drawings. FIG. 1 is a configuration diagram of a key isolation type encryption system according to the present embodiment.
[0026]
As shown in the figure, in the present embodiment, a decryption processing terminal 10 that receives encrypted information (cipher text) via a communication network 1 such as the Internet and decodes the received cipher text, and a plain text message The cryptographic processing terminals 20a, 20b, and 20n that transmit the encrypted text obtained by encrypting (m) and the public key server 30 that publishes the user's public key (pk) are communicably connected to each other.
[0027]
In this embodiment, the decryption processing terminal 10 is a terminal used by the user 10u, and is connected to the biological information collecting device 100 having the function of an external auxiliary device. The decryption processing terminal 10 decrypts the decryption key (usk, usk) of the user 10u necessary to decrypt the cipher text received from the cryptographic processing terminal 20a. _i-1 , Usk _i ) Is stored, and the ciphertext is decrypted into a plaintext message (m) using the decryption key. Further, the decryption processing terminal 10 requests the biometric information collection device 100 to update the decryption key, and based on the request, the secret key (hsk) used for updating the decryption key transmitted from the biometric information collection device 100. _i ) Can be received. Further, the decryption processing terminal 10 receives the secret key (hsk _i ), The decryption key (usk _i-1 ) Is updated and a new decryption key (usk _i ) Can be generated.
[0028]
In the present embodiment, the biological information collecting apparatus 100 acquires the biological information of the user 10u, and acquires the acquired biological information and a user unique to the user 10u calculated using a predetermined function or the like stored inside the apparatus. The eigenvalue (hsk ') is generated. Further, the biological information collecting apparatus 100 uses the secret key (hsk) based on the user unique value (hsk ′). _i ). In addition, the biological information collecting apparatus 100 uses the initial decryption key (usk), which is the first decryption key used in the decryption processing terminal 10. ₀ ) As well as a public key (pk).
[0029]
In the present embodiment, the cryptographic processing terminals 20a, 20b, and 20n obtain the public key (pk) of the user 10u and the update count (i) of the decryption key, which are published on the public key server 30, and obtain these. The ciphertext encrypted by using the obtained information is transmitted to the decryption processing terminal 10.
[0030]
Note that the decryption processing terminal 10 and the encryption processing terminals 20a, 20b, and 20n can be realized by, for example, a personal computer or a personal digital assistant (PDA) that can be connected to a network. Further, the mobile phone terminal may have a processing capability necessary for encryption and decryption.
[0031]
In this embodiment, the public key server 30 publishes the public key (pk) of the user 10u and the number of updates (i) of the decryption key to the decryption processing terminal 10 and the encryption processing terminals 20a, 20b, and 20n. Things. In this embodiment, the update count (i) of the decryption key of the user 10u is disclosed on the public key server 30, but the update count (i) is determined by the decryption processing terminal 10 to the encryption processing terminals 20a and 20b. , 20n.
[0032]
Next, the logical block configurations of the decryption processing terminal 10, the encryption processing terminal 20a, and the biological information collecting device 100 according to the present embodiment will be described with reference to FIG.
[0033]
First, the logical block configuration of the biological information collecting device 100 will be described. As shown in FIG. 1, the biometric information collection device 100 includes a biometric information collection unit 101, a unique value generation unit 103, a public key generation unit 105, an initial decryption key generation unit 107, and a secret key generation unit 109. And a unit 111.
[0034]
The biometric information collection unit 101 acquires secret information unique to the user 10u, and in the present embodiment, constitutes secret information acquisition means. Specifically, the biological information collecting unit 101 collects biological information of the user 10u. As the biometric information of the user 10u, for example, information that can uniquely identify the user 10u, such as fingerprint or retina (iris) information of the user 10u, is used. Further, in the present embodiment, the biometric information of the user 10u is used. However, if the information is unique to the user and is not known to anyone other than the user, that is, if the information is secret information, the biometric information other than the biometric information Information can also be used.
[0035]
The unique value generation unit 103 generates a unique value (hsk ′) of the user 10u based on the biological information of the user 10u collected by the biological information collection unit 101 by a predetermined method. The generating means is configured. Specifically, the eigenvalue generation unit 103 stores a mathematical expression composed of an arbitrary function and the like, and uses the data of the biometric information of the user 10u collected by the biological information collecting unit 101 and the mathematical formula to generate the user 10u. Generate an eigenvalue (hsk ′) of The mathematical expression stored in the eigenvalue generation unit 103 only needs to be one that does not generate the same eigenvalue from data of different biological information, and may be selected in consideration of a load related to an operation for generating an eigenvalue. Good.
[0036]
Further, eigenvalue generation section 103 transmits the generated eigenvalue (hsk ′) of user 10u to initial decryption key generation section 107 or secret key generation section 109 via communication section 111.
[0037]
The public key generation unit 105 generates a public key (pk) of the user 10u.
[0038]
For example, according to the SKIE (Strongly-Key Insulated Encryption) method based on Boneh-Franklin (BF) -IBE (Identity-based Encryption) shown in Non-Patent Document 4, the user 10 Generate a public key (pk). Hereinafter, a procedure based on the SKIE method will be described as an example. The public key generation unit 105 randomly selects a master key (s) and a public key (pk) from the set (k), and transmits the selected public key (pk) via the communication unit 111 and the decryption processing terminal 10. It is transmitted to the public key server 30.
[0039]
The initial decryption key generation unit 107 generates an initial decryption key (usk) that is the first decryption key used in the decryption processing terminal 10 based on the eigenvalue (hsk ′) of the user 10u generated by the eigenvalue generation unit 103. ₀ ).
[0040]
For example, in the case of the SKIE method, the initial decryption key generation unit 107 determines the unique value (hsk ′) of the user 10u, the public key (pk) and the master key (s) of the user 10u generated by the public key generation unit 105. Using the initial decryption key (usk ₀ ). Specifically, initial decryption key generation section 107 uses usk ₀ = (Usk, ibsk ₀ ), Usk = s-hsk ', ibsk ₀ = SH (0), the initial decryption key (usk ₀ ). Note that H (•) is a one-way function included in the public key (pk). The initial decryption key generation unit 107 transmits the generated initial decryption key (usk) via the communication unit 111. ₀ ) To the decryption processing terminal 10.
[0041]
The secret key generation unit 109 generates a secret key of the user 10u based on the unique value (hsk ′) of the user 10u generated by the unique value generation unit 103.
[0042]
In addition, the secret key generation unit 109 acquires the public key (pk) of the user 10u from the public key server 30 that publishes the public key (pk) of the user 10u. Constitute. Further, the secret key generation unit 109 acquires the number of updates (i) of the decryption key of the user 10u from the decryption processing terminal 10, and in this embodiment, constitutes an update number acquisition unit.
[0043]
Specifically, the secret key generation unit 109 uses the unique value (hsk ′), the public key (pk), and the number of updates (i) of the user 10u to generate a new secret key (hsk). _i ). For example, in the case of the SKIE method, hsk _i = Hsk ′ · H (i) to generate a new secret key.
[0044]
The secret key generation unit 109 also generates a new secret key (hsk _i ) To the decryption processing terminal 10, and in the present embodiment, constitutes a transmission unit.
[0045]
The communication unit 111 is communicably connected to the eigenvalue generation unit 103, the public key generation unit 105, the initial decryption key generation unit 107, and the secret key generation unit 109. In the present embodiment, the eigenvalue of the user 10u ( hsk ') and private key (hsk' _i ) Is relayed. In addition, the communication unit 111 includes a communication interface such as a USB (Universal Serial Bus), and is connected to the decoding processing terminal 10 and can communicate with the decoding processing terminal 10.
[0046]
Next, a logical block configuration of the decryption processing terminal 10 will be described. The decryption processing terminal 10 includes a communication unit 11, a storage unit 13, a decryption key update unit 15, and a decryption unit 17.
[0047]
The communication unit 11 is communicably connected to the storage unit 13, the decryption unit 17, and the decryption key update unit 15, and communicates with the secret key (hsk _i Etc.) and decryption key (usk _i Etc.). Further, the communication unit 11 includes a communication interface such as a USB (Universal Serial Bus), and is connected to the biological information collecting device 100, and can communicate with the biological information collecting device 100.
[0048]
Further, the communication unit 11 is connected to the cryptographic processing terminal 20a (20b, 20n) and the public key server 30 via the communication network 1, and communicates with the cryptographic processing terminal 20a (20b, 20n) or the public key server 30. Communication can be performed. Specifically, the communication unit 11 includes, for example, a LAN interface such as 100Base-TX in addition to the USB described above, and can be connected to the communication network 1 via a communication device such as an xDSL modem.
[0049]
The storage unit 13 stores the initial decryption key (usk) received from the biometric information collection device 100. ₀ ) Or the decryption key (usk) updated in the decryption key _i Etc.). In the present embodiment, the storage unit 13 stores the plaintext message (m) decrypted by the decryption unit 17.
[0050]
The decryption key updating unit 15 sends the secret key (hsk _i ) Is received and the secret key (hsk) of the user 10u is received. _i ), The decryption key (usk) stored in the storage unit 13 _i-1 ) Is updated.
[0051]
For example, in the case of the SKIE scheme, the decryption key updating unit 15 sends the secret key (hsk _i ) And the decryption key (usk _i-1 ) And a new decryption key (usk _i ). Specifically, the decryption key update unit 15 _i = (Usk, ibsk _i ), Usk _i-1 = (Usk, ibsk _i-1 ), Ibsk _i = Usk · H (i) + hsk _i Using the new decryption key (usk _i ). Here, the decryption key updating unit 15 _i-1 But usk and ibsk _i-1 And that it is composed of The decryption key updating unit 15 transmits the generated new decryption key (usk) via the communication unit 11. _i ) Is stored in the storage unit 13.
[0052]
In the present embodiment, the decryption unit 17 receives the encrypted text (c) addressed to the user 10u transmitted by the cryptographic processing terminal 20a (20b, 20n) via the communication unit 11. Further, the decryption unit 17 converts the received cipher text (c) into the decryption key (usk _i ), And transmits the plaintext message (m) to the storage unit 13 via the communication unit 11.
[0053]
Next, the logical block configuration of the cryptographic processing terminal 20a will be described. In FIG. 2, the logical block configurations of the cryptographic processing terminals 20b to 20n are omitted, but have the same configuration as the cryptographic processing terminal 20a.
[0054]
The cryptographic processing terminal 20a includes a communication unit 21, a public key acquisition unit 23, and an encryption unit 25.
[0055]
The communication unit 21 is communicably connected to the public key acquisition unit 23 and the encryption unit 25, and relays the public key (pk) of the user 10u. Further, the communication unit 21 is connected to the decryption processing terminal 10 and the public key server 30 via the communication network 1 and can communicate with the decryption processing terminal 10 or the public key server 30. Specifically, the communication unit 21 includes, for example, a LAN interface such as 100Base-TX, and can be connected to the communication network 1 via a communication device such as an xDSL modem.
[0056]
The public key acquisition unit 23 acquires the public key (pk) of the user 10u from the public key server 30. In the present embodiment, the public key obtaining unit 23 determines the decryption key (usk) of the user 10u. _i ) Can be obtained.
[0057]
In the present embodiment, the encryption unit 25 transmits the plaintext message (m) to be transmitted to the user 10u to the decryption processing terminal 10 by using the public key (pk) of the user 10u and the decryption key (usk). _i ) And the encrypted text (c) in which the plaintext message (m) is encrypted is transmitted to the decryption processing terminal 10. Specifically, the encryption unit 25 transmits the public key (pk) and the decryption key (usk) of the user 10u acquired by the public key acquisition unit 23. _i ) Is used to generate a ciphertext (c) in which the plaintext message (m) is encrypted and transmitted to the decryption processing terminal 10 via the communication unit 21.
[0058]
(Key isolation type encryption method according to the present embodiment)
Next, an encryption method using the above-described key isolation type encryption system according to the present embodiment will be described. Specifically, referring to FIGS. 3 to 5, the SKIE method described above is taken as an example, and (1) the initial decryption key (usk ₀ ), And (2) updating the decryption key of the user 10u (usk _i-1 → usk _i ) And (3) transmission and reception of ciphertext (c). It should be noted that solid arrows in the drawing indicate a sequence, and single-dashed arrows indicate a flow of information.
[0059]
FIG. 3 shows the initial decryption key (usk) of the user 10u. ₀ FIG. 7 is a sequence diagram showing a generation method of FIG. First, the biological information collecting apparatus 100 collects secret information unique to the user 10u, that is, in this embodiment, biological information of the user 10u (S10). Next, an eigenvalue (hsk ') of the user 10u is generated from the biological information of the user 10u collected in step S10 and an arbitrary function or the like stored in the biological information collecting device 100 (S20).
[0060]
Further, the biological information collecting apparatus 100 generates the public key (pk) and the master key (s) of the user 10u by randomly selecting them from a predetermined set (S30).
[0061]
Next, the biological information collecting apparatus 100 initializes the user 10u based on the unique value (hsk ′) of the user 10u generated in step S20, the public key (pk) and the master key (s) generated in step S30. Key (usk ₀ ) Is generated (S40). Specifically, the biological information collection device 100 ₀ = (Usk, ibsk ₀ ), Usk = s-hsk ', ibsk ₀ = SH (0), the initial decryption key (usk ₀ ). Note that H (•) is a one-way function included in the public key (pk).
[0062]
The biological information collecting apparatus 100 uses the initial decryption key (usk) of the user 10u generated in step S40. ₀ ) Is transmitted to the decryption processing terminal 10 (S50). Further, the biological information collecting apparatus 100 transmits the public key (pk) of the user 10u generated in step S30 to the public key server 30 via the decryption processing terminal 10 (S60). The public key server 30 receives the public key (pk) of the user 10u and sends the received public key (pk) to the decryption processing terminal 10 and the encryption processing terminals 20a (20b, 20n) connected to the communication network 1. pk) can be published.
[0063]
After completing the processes in steps S50 and S60, the biological information collecting apparatus 100 stores the unique value (hsk ') of the user 10u stored therein and the initial decryption key (usk). ₀ ) And the master key (s) are erased (S70). Upon completion of the processing in step S70, the initial decryption key (usk ₀ ) And the initial decryption key (usk ₀ ) Is not stored.
[0064]
In addition, the decryption processing terminal 10 sends the initial decryption key (usk ₀ ) Is received (S80), and the received initial decryption key (usk) of the user 10u is received. ₀ ) Is stored internally (S90).
[0065]
FIG. 4 shows that the decryption key of the user 10u is _i-1 From usk _i FIG. 9 is a sequence diagram showing a method for updating to. First, the decryption processing terminal 10 transmits to the biological information collecting apparatus 100 the decryption key (usk) of the user 10u that has been updated (i-1) times so far. _i-1 ) Is requested (S100).
[0066]
The biometric information collection device 100 receives the decryption key update request of the user 10u from the decryption processing terminal 10 (S110). Next, the biological information collecting apparatus 100 acquires the public key (pk) of the user 10u from the public key server 30 (S120).
[0067]
Further, the biological information collecting apparatus 100 collects secret information unique to the user 10u, that is, biological information (S130). Next, the biological information collecting apparatus 100 generates a unique value (hsk ') of the user 10u from the biological information of the user 10u collected in step S130 and any function or the like stored in the biological information collecting apparatus 100. (S140).
[0068]
The biometric information collecting apparatus 100 updates the decryption key (i) received in step S110, the public key (pk) of the user 10u obtained in step S120, and the unique value (hsk ') of the user 10u generated in step S140. ), The new secret key (hsk) of the user 10u _i ) Is generated (S150). Specifically, the biological information collecting device 100 _i = Hsk ′ · H (i) and the user 10u uses the new secret key (hsk _i ).
[0069]
The biological information collecting apparatus 100 uses the new secret key (hsk) of the user 10u generated in step S150. _i ) Is transmitted to the decryption processing terminal 10 (S160). After the processing of step S160 is completed, the biological information collecting apparatus 100 stores the unique value (hsk ′) of the user 10u stored therein and a new secret key (hsk). _i ) Is erased (S170). Upon completion of the process of step S170, a new secret key (hsk _i ) And eigenvalues (hsk ′) are not stored.
[0070]
In addition, the decryption processing terminal 10 sends a new secret key (hsk _i ) Is received (S180). Next, the decryption processing terminal 10 receives the new secret key (hsk _i ) And the previous decryption key (usk _i-1 ) And the new decryption key (usk _i ) Is generated (S190). Specifically, the decryption processing terminal 10 _i = (Usk, ibsk _i ), Usk _i-1 = (Usk, ibsk _i-1 ), Ibsk _i = Usk · H (i) + hsk _i Using the new decryption key (usk _i ).
[0071]
Next, the decryption processing terminal 10 uses the new decryption key (usk) of the user 10u generated in step S190. _i ) Is stored internally (S200). Further, after the processing in step S200 is completed, the decryption processing terminal 10 stores the decryption key (usk _i-1 ) And a new secret key (hsk) received from the biological information collecting apparatus 100. _i ) Is erased (S210). Further, the decryption processing terminal 10 transmits the update number (i) of the decryption key of the user 10u to the public key server 30 (S220). The public key server 30 receives the update count (i) of the decryption key of the user 10u, and sends the user 10u to the decryption processing terminal 10 and the encryption processing terminal 20a (20b, 20n) connected to the communication network 1. Can be made public.
[0072]
FIG. 5 shows that the encryption processing terminal 20a transmits the ciphertext (c) to the decryption processing terminal 10 using the public key (pk) of the user 10u, and the decryption processing terminal 10 transmits the decryption key (usk _i FIG. 7 is a sequence diagram showing a method of decoding a plaintext message (m) using the above method.
[0073]
First, the cryptographic processing terminal 20a uses the public key (pk) of the user 10u and the decryption key (usk _i ) Is obtained from the public key server 30 (S230). Next, the cryptographic processing terminal 20a transmits the public key (pk) of the user 10u and the decryption key (usk _i ), The plaintext message (m) is encrypted using the update count (i) to generate a ciphertext (c) (S240). Further, the cryptographic processing terminal 20a transmits the ciphertext (c) generated in step S240 to the decryption processing terminal 10 (S250).
[0074]
The decryption processing terminal 10 receives the ciphertext (c) from the encryption processing terminal 20a (S260), and receives the decryption key (usk) of the user 10u. _i ) To decrypt the ciphertext (c) into the plaintext (m) (S270).
[0075]
(Operation and effect of the key isolation type encryption system and the key isolation type encryption method according to the present embodiment)
According to the key isolation type encryption system and the key isolation type encryption method according to the present embodiment described above, the biometric information collection device 100 acquires the biometric information of the user 10u, and stores the acquired biometric information and the inside of the device. The eigenvalue (hsk ′) of the user 10u calculated using the arbitrary function or the like is generated. Furthermore, the secret key (hsk) of the user 10u generated based on the eigenvalue (hsk ') of the user 10u. _i ) Is transmitted to the decryption processing terminal 10, the eigenvalue (hsk ′) of the user 10u and the secret key (hsk) _i ) And erase. As a result, the decryption key (usk _i-1 ) Does not need to be stored in the biometric information collection device 100, and the impersonation of the user 10u can be prevented even when the biometric information collection device 100 is stolen. .
[0076]
According to the present embodiment, since the public key (pk) of the user 10u and the update count (i) of the decryption key are obtained, the public key (pk) of the user 10u and the update count (i) of the decryption key are obtained. Based on a key generation algorithm (for example, the SKIE method described above) using the decryption key (usk _i-1 ), The private key (hsk _i ) Can be generated.
[0077]
【The invention's effect】
As described above, according to the present invention, a key isolation type encryption method that enables updating of a decryption key using secret information unique to a user without storing information necessary for updating the decryption key in an external device , A key isolation type encryption system and an external auxiliary device can be provided.
[Brief description of the drawings]
FIG. 1 is a configuration diagram of a key isolation type encryption system according to an embodiment of the present invention.
FIG. 2 is a diagram showing a logical block configuration of a biological information collecting apparatus, a decryption processing terminal, and a cryptographic processing terminal according to the embodiment of the present invention.
FIG. 3 is a sequence diagram illustrating a key isolation type encryption method according to the embodiment of the present invention.
FIG. 4 is a sequence diagram showing a key isolation type encryption method according to the embodiment of the present invention.
FIG. 5 is a sequence diagram showing a key isolation type encryption method according to the embodiment of the present invention.
FIG. 6 is a configuration diagram of a conventional key isolation type encryption system.
[Explanation of symbols]
1. Communication network
10: decryption processing terminal
10u ... User
11 Communication part
13 ... storage unit
15 ... Decryption key update unit
17: decryption unit
20a, 20b, 20n ... cryptographic processing terminal
21 ... Communication unit
23 public key acquisition unit
25 ... Encryption unit
30 ... Public key server
100: biological information collecting device
101: Biological information collection unit
103 ... Eigenvalue generation unit
105 public key generation unit
107: Initial decryption key generation unit
109 ... Secret key generation unit
111 ... communication unit

Claims

A key isolation type encryption method using a terminal for decrypting encrypted information with a decryption key and an external auxiliary device isolated from the terminal,
(A) the external auxiliary device acquiring secret information unique to the user;
(B) the external auxiliary device generating a user unique value by a predetermined method based on the secret information;
(C) the external auxiliary device generating a secret key of the user based on the user unique value;
(D) transmitting the user's secret key to the terminal by the external auxiliary device;
(E) the external auxiliary device erasing the user unique value and the secret key of the user;
A key isolation type encryption method, wherein the terminal receives the user's secret key from the external auxiliary device and updates the decryption key based on the user's secret key (F). .

Wherein the external auxiliary device acquires a public key of the user from a public key server that publishes a public key;
The external auxiliary device further comprises a step of obtaining the number of updates of the decryption key from the terminal,
2. The key isolation type according to claim 1, wherein, in the step (C), a secret key of the user is generated based on the user unique value, the public key of the user, and the number of updates of the decryption key. Encryption method.

A key isolation type encryption system comprising a terminal for decrypting encrypted information with a decryption key, and an external auxiliary device isolated from the terminal,
The external auxiliary device,
Secret information acquisition means for acquiring secret information unique to the user;
The external auxiliary device, based on the secret information, a user unique value generating means for generating a user unique value by a predetermined method,
Secret key generation means for generating a secret key of the user based on the user unique value;
Transmitting means for transmitting the secret key of the user to the terminal,
The terminal includes a decryption key updating unit that receives the user's secret key from the external auxiliary device and updates the decryption key based on the user's secret key,
The user unique value generating unit, when the transmitting unit transmits the user's secret key to the terminal, deletes the generated user unique value,
The key isolation type cryptosystem, wherein the secret key generation unit deletes the secret key when the transmission unit transmits the user's secret key to the terminal.

The external auxiliary device,
Public key acquisition means for acquiring the user's public key from a public key server for publishing a public key,
Further comprising an update count acquisition unit for acquiring the update count of the decryption key from the terminal,
4. The key isolation type according to claim 3, wherein the secret key generation unit generates a secret key of the user based on the user unique value, a public key of the user, and the number of updates of the decryption key. 5. Cryptographic system.

An external auxiliary device that is isolated from a terminal that decrypts encrypted information with a decryption key and generates information used for updating the decryption key,
Secret information acquisition means for acquiring secret information unique to the user;
Based on the secret information, a user unique value generating means for generating a user unique value by a predetermined method,
Secret key generation means for generating a secret key of the user based on the user unique value;
Transmitting means for transmitting the secret key of the user to the terminal,
The user unique value generating unit, when the transmitting unit transmits the user's secret key to the terminal, deletes the generated user unique value,
The external auxiliary device, wherein the secret key generation unit deletes the secret key when the transmission unit transmits the user's secret key to the terminal.

Public key acquisition means for acquiring the user's public key from a public key server for publishing a public key,
Further comprising an update count acquisition unit for acquiring the update count of the decryption key from the terminal,
6. The external auxiliary device according to claim 5, wherein the secret key generation unit generates the secret key of the user based on the user unique value, the public key of the user, and the number of updates of the decryption key. .