JP2007174083A - マルチホップネットワークにおける鍵更新システム，鍵管理装置，通信端末および鍵情報構築方法 - Google Patents

Abstract

【課題】 マルチホップネットワークにおける鍵情報構築方法，鍵更新システム，鍵管理装置および通信端末を提供する。
【解決手段】 鍵を階層構造で管理する認証管理装置１００と，鍵を入手する複数の通信端末１１０とを含むマルチホップネットワークにおいて，マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報を構築し，認証管理装置１００が鍵情報に基づいて鍵を暗号化する暗号化鍵を決定し，通信端末１１０が鍵を入手する鍵更新システムであって，認証管理装置１００は，鍵情報を構築および管理する鍵木管理部と，鍵情報内の鍵を用いて鍵を暗号化する暗号化部と，暗号化部で暗号化した鍵を送信する送信部とを含み，通信端末１１０は，暗号化した鍵を受信する受信部と，自身が保持すべき鍵を管理する鍵管理部と，暗号化した鍵を復号する復号部とを含むことを特徴とする，鍵更新システムが提供される。
【選択図】 図１

Description

本発明は，マルチホップネットワークにおける鍵更新システム，鍵管理装置，通信端末および鍵情報構築方法に関する。特に，ネットワーク外部の第三者の通信端末や，ネットワークから離脱させたい通信端末が，更新後の鍵を特定できないよう，安全に鍵を更新する技術に関する。さらには，ネットワークに新たに加入した通信端末が，以前に使用していた鍵を特定できないよう，安全に鍵を更新する技術に関する。

マルチホップネットワークは，任意の２つの通信端末間のデータ通信を，１つまたは複数の通信端末がリレー中継するようなネットワークであり，その通信形態は有線／無線を問わない。

図１にマルチホップネットワークシステムの一般的な構成図を示す。図１に示すマルチホップネットワークシステムは，認証管理装置１００と，ネットワークのメンバである複数の通信端末１１０とを含み，通信端末１１０は，ネットワーク共通鍵Ｋ０を共有している。このマルチホップネットワークにおいて，ある通信端末１１０をネットワークから離脱させたり，新たな通信端末１１０をネットワークに加入させたりする際には，それら通信端末１１０には分からないように，ネットワーク共通鍵Ｋ０を，新たな共通鍵Ｋ０´に更新する必要がある。

上記目的を満たす方法として，非特許文献１に挙げられているようなＬＫＨ（Ｌｏｇｉｃａｌ Ｋｅｙ Ｈｉｅｒａｒｃｈｙ）鍵配布プロトコルを用いる方法がある。ＬＫＨ鍵配布プロトコルについて図２１を用いて簡単に説明する。以下，階層構造の一種である木構造に関連付けた階層構造を有する鍵情報のことを「鍵木」と称する。ＬＫＨ鍵配布プロトコルでは，効果的な鍵更新を行うために，認証管理装置が鍵木を管理する。鍵木における各ノード（Ｋ０，Ｋ１，Ｋ２，Ｋ３，Ｋ４，Ｋ５，Ｋ６）は，それぞれ鍵を配布するための暗号化鍵を表している。認証管理装置は，各通信端末を鍵木の葉（木構造における葉を意味する）に割り付ける。このとき，各通信端末は，自身の葉ノードから，鍵木の根（ルート）までの全ての鍵について知っているが，鍵木のその他の鍵については分からない。木の根に位置する鍵Ｋ０は，全通信端末が共有するネットワーク共通鍵である。

ここで，ネットワークのメンバである通信端末Ｄ１をネットワークから離脱させたいとする。認証管理装置は，自身が管理する鍵木の暗号化鍵のうち，通信端末Ｄ１が持つ鍵Ｋ０，Ｋ１，Ｋ３を，それぞれ，Ｋ０´，Ｋ１´，Ｋ３´に更新する。そして，認証管理装置は，各通信端末が持つ鍵Ｋ０，Ｋ１を，それぞれＫ０´，Ｋ１´に更新するため，Ｅ（Ｘ，Ｙ）を，鍵Ｘを用いてメッセージＹを暗号化することの意味として現すと，以下のような鍵更新メッセージをブロードキャストする。
Ｅ（Ｋ４，Ｋ１´），Ｅ（Ｋ１´，Ｋ０´），Ｅ（Ｋ２，Ｋ０´）

通信端末Ｄ２は，鍵Ｋ４を知っているため，Ｋ１´を鍵更新メッセージから得ることができる。次に，通信端末Ｄ２は，鍵更新メッセージから得た鍵Ｋ１´を用いて，新しいネットワーク共通鍵Ｋ０´を得ることができる。通信端末Ｄ３およびＤ４は，鍵Ｋ２を知っているため，新しいネットワーク共通鍵Ｋ０´を鍵更新メッセージから得ることができる。

一方，通信端末Ｄ１は鍵更新メッセージを復号するための鍵を持っていない。そのため，新しい鍵を得ることができない。以上のように，ＬＫＨ鍵配布プロトコルでは，ネットワークから離脱させたい通信端末Ｄ１以外の通信端末に，新しいネットワーク共通鍵Ｋ０´を効果的に通知することができる。

「ワイヤード／ワイヤレスネットワークにおけるブロードキャスト通信のセキュリティ」Ａｄｒｉａｎ Ｐｅｒｒｉｇ，Ｊ。Ｄ Ｔｙｇｅｒ 著，溝口文雄 監訳，共立出版 ｐｐ．１２０−１２３

しかし，上記のＬＫＨ鍵配布プロトコルは，マルチホップネットワークシステムを想定して考案されたものではない。マルチホップネットワークシステムでは，１つ以上の通信端末がリレー中継するような通信形態をとるため，鍵更新メッセージを届けるのにかかる通信負荷が，通信端末ごとに異なってくる。マルチホップネットワークであることを利用して，上記の様な鍵更新を効果的に行う方法は今まで存在しなかった。

そこで，本発明は，このような問題に鑑みてなされたもので，その目的とするところは，新規かつ改良された，マルチホップネットワークにおける鍵更新システム，鍵管理装置，通信端末および鍵情報構築方法を提供することにある。

鍵を階層構造で管理する鍵管理装置と，鍵を入手する複数の通信端末とを含むマルチホップネットワークシステムにおいて，マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報を構築し，鍵情報を管理する鍵管理装置が鍵情報に基づいて鍵を暗号化するための暗号化鍵を決定し，通信端末が鍵を入手する鍵更新システムであって，鍵管理装置は，鍵情報を構築および管理する鍵情報管理部と，鍵情報内の鍵を用いて鍵を暗号化する暗号化部と，暗号化部で暗号化した鍵を送信する送信部と，を含み，通信端末は，暗号化した鍵を受信する受信部と，鍵情報内の鍵のうち，自身が保持すべき鍵を管理する鍵管理部と，暗号化した鍵を復号する復号部と，を含むことを特徴とする，鍵更新システムが提供される。

かかる構成によれば，鍵木管理装置はマルチホップのネットワーク構造に合わせた鍵木を構築して，通信端末に向けて暗号化した鍵を送信し，通信端末は暗号化された鍵を受信して，自身が保持すべき鍵の情報から，暗号化された鍵を復号し，鍵を得る。その結果，本発明のある観点にかかる鍵更新システムによれば，マルチホップのネットワーク構造に合わせて鍵木を構築することで，効果的に鍵を更新することができる。

上記鍵管理装置は，鍵を生成する鍵生成部をさらに含んでいてもよい。かかる構成によれば，鍵生成部で鍵を生成し，生成した鍵を鍵情報管理部へ授与する。その結果，鍵木内で鍵を更新する必要が生じる度に，新しい鍵を生成することができる。

上記鍵管理装置は，一方向性関数を有する一方向値生成部をさらに含んでいてもよい。かかる構成によれば，一方向値生成部は，鍵生成部が生成した鍵を，一方向性関数の初期の入力値として，１つ以上の新しい鍵を生成する。その結果，鍵木内の鍵を更新する必要が生じる度に，新しい鍵を生成し，その新しい鍵を基にして，鍵木内の他のグループ鍵の推測が困難であるという性質を持たせたまま，１つ以上の新しい鍵を導出することができる。

上記通信端末は，暗号化された鍵を送信する送信部をさらに含んでいてもよい。かかる構成によれば，送信部は，マルチホップネットワークにおける次のホップに位置する通信端末に暗号化された鍵を送信する。その結果，マルチホップネットワークにおいて鍵の授与を行うことができる。

上記通信端末は，暗号化された鍵の宛先を解析する鍵更新メッセージ解析部をさらに含んでいてもよい。かかる構成によれば，鍵更新メッセージ解析部は，自身の鍵更新に関係する情報と，マルチホップネットワークにおける次のホップに位置する通信端末へ中継すべき情報と，それ以外の情報とを判断する。その結果，暗号化された鍵の宛先を解析することで，必要な鍵を必要な通信端末にのみ送信することができる。

上記通信端末は，次のホップ以降の通信端末を宛先とする暗号化された鍵のみを送信するためのメッセージを生成する鍵更新メッセージ生成部をさらに含んでいてもよい。かかる構成によれば，暗号化された鍵と，暗号化に利用した鍵のインデックス値との組を連結して鍵更新メッセージを生成する。その結果，次のホップ以降の通信端末において，受信した鍵更新メッセージより，暗号化された鍵を復号し，新しい鍵に更新することができる。

上記通信端末は，一方向性関数を有する一方向値生成部をさらに含んでいてもよい。かかる構成によれば，一方向値生成部は，鍵管理部から与えられた鍵を一方向性関数を適用して新しい鍵に変換する。その結果，受信した鍵更新メッセージより，暗号化された鍵を復号し，新しい鍵に更新した後，その新しい鍵を一方向性関数の初期の入力値として，１つ以上の新しい鍵を導出することができる。

上記課題を解決するために，本発明の別の観点によれば，マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報を管理する鍵管理装置であって，鍵情報を構築および管理する鍵情報管理部と，鍵情報内の鍵を用いて鍵を暗号化する暗号化部と，暗号化部で暗号化した鍵を送信する送信部と，を含むことを特徴とする，鍵管理装置が提供される。

かかる構成によれば，鍵情報管理部はマルチホップのネットワーク構造に合わせた鍵木を構築し，暗号化部は鍵情報管理部が構築した鍵木内の鍵を用いて鍵を暗号化し，送信部は暗号化した鍵をマルチホップネットワークへ送信する。その結果，本発明の別の観点にかかる鍵木管理装置は，マルチホップのネットワーク構造に合わせて構築した鍵木内の鍵を用いる事で，マルチホップネットワークに参加する通信端末において効果的に鍵の更新を行うことができる。

上記鍵管理装置は，鍵を生成する鍵生成部をさらに含んでいてもよい。かかる構成によれば，鍵生成部で鍵を生成し，生成した鍵を鍵情報管理部へ授与する。その結果，マルチホップネットワークで鍵を更新する必要が生じる度に，新しい鍵を生成することができる。

上記鍵管理装置は，一方向性関数を有する一方向値生成部をさらに含んでいてもよい。かかる構成によれば，一方向値生成部は，鍵生成部が生成した鍵を，一方向性関数の初期の入力値として，１つ以上の新しい鍵を生成する。その結果，鍵木内の鍵を更新する必要が生じる度に，新しい鍵を生成し，その新しい鍵を基にして，鍵木内の他のグループ鍵の推測が困難であるという性質を持たせたまま，１つ以上の新しい鍵を導出することができる。

上記課題を解決するために，本発明の別の観点によれば，マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報内の鍵を用いて暗号化された鍵を入手する通信端末であって，暗号化された鍵を受信する受信部と，鍵情報内の鍵のうち，自身が保持すべき鍵を管理する鍵管理部と，暗号化された鍵を復号する復号部と，を含むことを特徴とする通信端末が提供される。

かかる構成によれば，受信部は暗号化された鍵を受信し，復号部はその暗号化された鍵を復号する。鍵管理部は，マルチホップネットワークにおいて自身に相当する，木構造における葉から木の根までの経路に存在する全ての鍵を，その鍵の鍵木上の位置を示す位置と共に管理する。その結果，本発明の別の観点にかかる通信端末は，マルチホップのネットワーク構造に合わせて構築した鍵木内の鍵を用いる事で，マルチホップネットワークにおいて効果的に鍵の更新を行うことができる。

上記通信端末は，暗号化された鍵を送信する送信部をさらに含んでいてもよい。かかる構成によれば，送信部は，マルチホップネットワークにおける次のホップに位置する通信端末に暗号化された鍵を送信する。その結果，マルチホップネットワークにおいて鍵の授与を行うことができる。

上記通信端末は，暗号化された鍵の宛先を解析する鍵更新メッセージ解析部をさらに含んでいてもよい。かかる構成によれば，鍵更新メッセージ解析部は，自身の鍵更新に関係する情報と，マルチホップネットワークにおける次のホップに位置する通信端末へ中継すべき情報と，それ以外の情報とを判断する。その結果，暗号化された鍵の宛先を解析することで，必要な鍵を必要な通信端末にのみ送信することができる。

上記通信端末は，次のホップ以降の通信端末を宛先とする暗号化された鍵のみを送信するためのメッセージを生成する鍵更新メッセージ生成部をさらに含んでいてもよい。かかる構成によれば，暗号化された鍵と，暗号化に利用した鍵のインデックス値との組を連結して鍵更新メッセージを生成する。その結果，次のホップ以降の通信端末において，受信した鍵更新メッセージより，暗号化された鍵を復号し，新しい鍵に更新することができる。

上記通信端末は，一方向性関数を有する一方向値生成部をさらに含んでいてもよい。かかる構成によれば，一方向値生成部は，鍵管理部から与えられた鍵を一方向性関数を適用して新しい鍵に変換する。その結果，受信した鍵更新メッセージより，暗号化された鍵を復号し，新しい鍵に更新した後，その新しい鍵を一方向性関数の初期の入力値として，１つ以上の新しい鍵を導出することができる。

上記課題を解決するために，本発明の別の観点によれば，鍵情報構築方法であって，マルチホップネットワークにおいて，親となる端末装置が同一である通信端末をグループとして，階層構造を有する鍵情報を構築することを特徴とする，鍵情報構築方法が提供される。

かかる構成によれば，ある通信端末が，共通の親端末を持つ端末が既に鍵木内に存在しているかどうか判断し，存在していれば，共通の親端末を持つ端末から形成される部分木にその端末を追加し，そうでなければ新しい部分木にその端末を追加する。この処理を全ての通信端末を鍵木の葉に配置するまで実行する。その結果，本発明の別の観点にかかる鍵木構築方法は，マルチホップネットワークにおいて，効果的に鍵の更新を行うことができる。

通信端末に，共通の親端末を持つ他の通信端末が存在していない場合は，その通信端末をグループの初期メンバとして，新しい階層構造を有する鍵情報を構築してもよい。かかる構成により，マルチホップネットワークにおいて，効果的に鍵の更新を行うことができる。

以上説明したように本発明によれば，マルチホップネットワークにおける鍵更新システム，鍵管理装置，通信端末および鍵情報構築方法を提供できるものである。

以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。

（第１の実施形態）
図２は，本発明の第１の実施形態に係る認証管理装置の内部構成を示す説明図である。図２に示したように，本発明の第１の実施形態にかかる認証管理装置１００は，鍵を階層的に管理する鍵管理装置の一例であり，鍵更新トリガ発信部１０１と，鍵木管理部１０２と，鍵生成部１０３と，暗号化部１０４と，鍵更新メッセージ生成部１０５と，送信部１０６とを含む。本実施形態では，鍵の階層を木構造を用いて表している。

鍵更新トリガ発信部１０１は，鍵更新開始メッセージを生成し，鍵木管理部１０２へ与えるものである。鍵更新開始メッセージは，新しい通信端末がネットワークへ加入した時や，既にネットワークのメンバである通信端末をネットワークから離脱させたい時に生成されるが，それ以外にも，一定時間が経過した時など様々なタイミングで生成されるようにしてもよい。例えば，新しい通信端末がネットワークへ加入した時は，鍵更新開始メッセージとして，その通信端末のＩＤ情報と，その通信端末の認証鍵と，その通信端末がネットワーク内のどの通信端末と接続しているかを示すルート情報とを，鍵木管理部１０２へ与える。通信端末の認証鍵とは，その通信端末と認証管理装置１００とが１対１で共有する鍵のことである。また，例えば，既にネットワークのメンバである通信端末をネットワークから離脱させたい時は，鍵更新メッセージとして，その通信端末のＩＤ情報を離脱させたい端末のＩＤ情報であるとして，鍵木管理部１０２へ与える。

鍵木管理部１０２は，鍵情報管理部の一例であり，ネットワークのメンバである各通信端末を，木構造における葉とした鍵木を管理するものである。鍵木管理部１０２は，管理する鍵木の根から各葉までに存在する全ての鍵とその鍵木上での位置を管理している。図４は，マルチホップネットワークシステムの一例を示す説明図であり，図５は，図４に示すマルチホップネットワークモデルを用いて鍵木を構成した例を示す説明図である。本実施形態での鍵木の構築方法は，認証管理装置１００から各通信端末に向かってワンホップ手前の親端末が共通である全通信端末を葉とする部分木を鍵木内に形成することを特徴とする。

図４において，通信端末Ｄ２，Ｄ３，Ｄ４は，通信端末Ｄ１を共通の親端末としている。この場合，鍵木は通信端末Ｄ２，Ｄ３，Ｄ４をグループとして，つまり鍵Ｋ１を持つグループとして，部分木を構成する。また，図４において，通信端末Ｄ５，Ｄ６，Ｄ７，Ｄ８は，通信端末Ｄ２を共通の親端末としている。この場合，鍵木は通信端末Ｄ５，Ｄ６，Ｄ７，Ｄ８をグループとして，つまり鍵Ｋ２を持つグループとして，部分木を構成する。本実施形態では，各グループを形成する通信端末が３つ以上の時に，従来技術で説明したＬＫＨのように２分木を作り，グループ内でさらに部分木を形成して鍵を割り当てているが，本発明はこの構成に限定するものではない。本発明における鍵木構築方法の特徴は，親端末が等しい通信端末を葉とする部分木を形成することである。

鍵木管理部１０２は，鍵更新トリガ発信部１０１より，鍵更新開始メッセージを受けることにより，管理する鍵木内で，更新すべき鍵の場所を決定する。例えば，鍵更新開始メッセージより，通信端末Ｄ５のネットワークからの離脱を認識した時には，鍵木の中で通信端末Ｄ５に相当する葉から木の根までの鍵，つまりＫ６，Ｋ２およびＫ０を更新すべき鍵と判断する。鍵木管理部１０２は，更新すべき鍵を判断することにより，鍵生成部１０３へ鍵要求メッセージを与え，鍵生成部１０３より，新しい鍵情報を受け取る。そして，鍵木内で更新すべき鍵を，鍵生成部１０３より与えられた新しい鍵に置き換え，また，更新した鍵をどの通信端末に教える必要があるか，そして，鍵木内のどのグループ鍵で暗号化すれば効果的かを判断する。

例えば，図５において，通信端末Ｄ５をネットワークから離脱させる際には，鍵Ｋ６，Ｋ２およびＫ０を，それぞれ新しい鍵Ｋ６´，Ｋ２´およびＫ０´に更新する必要がある。まず，鍵Ｋ６の鍵Ｋ６´への更新を，鍵Ｋ６を保持している通信端末Ｄ６のみへ教える必要がある。そのためには，鍵Ｋ６´を鍵ＫＤ６で暗号化したものを用意すべきことがわかる。次に，鍵Ｋ２の鍵Ｋ２´への更新を，鍵Ｋ２を保持している通信端末Ｄ６，Ｄ７，Ｄ８へ効果的に教えるために，鍵Ｋ２´を鍵ＫＤ６´，Ｋ７でそれぞれ暗号化したものを用意する。最後に，鍵Ｋ０の鍵Ｋ０´への更新を，鍵Ｋ０を保持する通信端末Ｄ５以外の全ての通信端末に効果的に教えるために，鍵Ｋ０´を鍵ＫＤ１，Ｋ１，Ｋ２´，Ｋ３，Ｋ４でそれぞれ暗号化したものを用意する。

鍵木管理部１０２は，上記のように，更新した鍵の中で鍵木において深い位置に存在する鍵から順番に，その鍵の一つ深い位置にある鍵を暗号化鍵として選択する。そして，新しく更新した鍵と，その鍵を暗号化するために利用する暗号化鍵と，暗号化鍵の鍵木内での位置とその暗号化鍵が属するグループが認証管理装置１００から何ホップ目に存在するかを示すインデックス値を組にして，暗号化部１０４へ与える。鍵木における各暗号化鍵の位置と，その暗号化鍵が認証管理装置１００から何ホップ目の通信端末から形成されるグループに属しているかを示すインデックス値の保持方法については，本発明では特に限定しないが，本発明で構築した鍵木を用いた鍵更新システムは，各暗号化された更新鍵が，どのグループを宛先として生成されたものかを，各通信端末が判断できる構成にすることを特徴とする。

例えば，図５の鍵木において，鍵Ｋ０を持つグループを示す場合は，「０（ホップなし＜ネットワーク共通鍵＞）」というインデックス値を，通信端末Ｄ１の位置にある鍵ＫＤ１を持つグループを示す場合は，「１−０（１ホップ目に位置する０番目のグループ）」とインデックス値を，鍵Ｋ１を持つグループを示す場合は，「２−０（２ホップ目に位置する０番目のグループ）」というインデックス値を，鍵Ｋ５を持つグループを示す場合は，「２−０−０（２ホップ目に位置する０番目のグループの内０番目のグループ）」というインデックス値を，通信端末Ｄ６の位置にある鍵ＫＤ６を持つグループを示す場合は，「３−０−０―１（３ホップ目に位置する０番目のグループ内の０番目のグループ内の１番目のグループ）」というインデックス値を用いるなどが考えられる。

鍵生成部１０３は，鍵木管理部１０２より鍵要求メッセージを受け取ると，ランダムな所定の長さのビット列を生成し，生成した鍵列を鍵木管理部１０２へ授与する。鍵生成部１０３は，乱数生成器を含んでいてもよい。

暗号化部１０４は，鍵木管理部１０２より，新しく更新した鍵と，その鍵を暗号化するために利用する暗号化鍵と，その暗号化鍵のインデックス値の組を与えられ，与えられた暗号化鍵を用いて新しく更新した鍵を暗号化し，その暗号化鍵のインデックス値と生成した暗号化された更新鍵を組にして，鍵更新メッセージ生成部１０５へ授与する。本実施形態においては暗号化部１０４で利用する暗号化方式は特に限定しないが，このシステムを利用する時に安全である暗号化方式を用いる必要がある。安全である暗号化方式としては，例えばＡＥＳ暗号や３−ＤＥＳ暗号などが挙げられる。

鍵更新メッセージ生成部１０５は，暗号化部１０４より，暗号化された更新鍵と，暗号化に利用した鍵のインデックス値の組を１つ以上与えられ，それら複数の組を連結し，鍵更新メッセージを生成する。鍵更新メッセージ生成部１０５は，生成した鍵更新メッセージを送信部１０６へ授与する。

送信部１０６は，鍵更新メッセージ生成部１０５から与えられた鍵更新メッセージを，ネットワークに存在する通信端末にブロードキャストする。送信方法としては，ブロードキャスト，マルチキャスト，ユニキャスト，親端末の子端末へのブロードキャスト依頼，親端末の子端末へのマルチキャスト依頼，親端末の子端末へのユニキャスト依頼など，様々なパターンが考えられるが，本発明において送信方法は特に限定しない。これらの方法の中から１つを用いて実施してもよく，鍵更新に係るトラフィック量が最小になるように，ネットワークの構造に合わせてこれらの方法の中から複数を組み合わせて実施してもよい。

以上，図２を用いて本実施形態に係る認証管理装置の内部構成について説明した。次に，図３を用いて本実施形態に係る通信端末の内部構成について説明する。

図３は，本発明の第１の実施形態に係る通信端末の内部構成を示す説明図である。図３に示したように，本発明の第１の実施形態に係る通信端末１１０は，送信部１１１と，鍵更新メッセージ生成部１１２と，受信部１１３と，鍵更新メッセージ解析部１１４と，端末情報管理部１１５と，鍵木更新処理部１１６と，鍵管理部１１７と，復号部１１８とを含む。

受信部１１３は，認証管理装置１００が送信した鍵更新メッセージ，または，他の通信端末１１０を介した鍵更新メッセージを受信し，受信した鍵更新メッセージを鍵更新メッセージ解析部１１４へ与える。

端末情報管理部１１５は，自身が，鍵木においてどのグループに属するかを示す情報を認証管理装置１００と共有しているものである。例えば，認証管理装置１００から何ホップの位置に存在するかの情報と，自身が認証管理装置１００の管理する鍵木において，どの葉，つまりどの位置に存在するかを示す情報を認証管理装置１００と共有している。これらの情報をどのように表現するかについては，予め認証管理装置１００との間で規定されているものとする。これらの情報の表現には，図２の鍵木管理部１０２で説明したようにインデックス値を用いてもよい。例えば，図５の通信端末Ｄ６の場合においては，「３−０−０−１（３ホップ目に位置する０番目のグループ内の０番目のグループ内の１番目の通信端末）」といったインデックス値を利用しても良い。端末情報管理部１１５は，これらの情報を鍵更新メッセージ解析部１１４へ授与する。端末情報管理部１１５で管理する情報は，認証管理装置１００が管理する鍵木の情報と同期しているものとする。

鍵更新メッセージ解析部１１４は，受信部１１３より授与された鍵更新メッセージと，端末情報管理部１１５より授与された自身の認証管理装置１００からのホップ数と，自身の鍵木上での位置より，受信した鍵更新メッセージの中から，自身の鍵更新に関係する情報と，次ホップの通信端末へ中継すべき情報と，それ以外の情報とを判断する。鍵更新メッセージ解析部１１４は，授与された鍵更新メッセージに含まれる，暗号化された更新鍵と組になっている，暗号化鍵のインデックス値を順にチェックし，その中で，自身の鍵更新に関係する情報を鍵木更新処理部１１６へ与え，次ホップの通信端末へ中継すべき情報を鍵更新メッセージ生成部１１２へ与える。

例えば，図５において，通信端末Ｄ１が，鍵更新メッセージとして，“「１−０」Ｅ（ＫＤ１，Ｋ０´）｜｜「２−０」Ｅ（Ｋ１，Ｋ０´）｜｜「３−０−０−１」Ｅ（ＫＤ６，Ｋ６´）｜｜「３−０−０」Ｅ（Ｋ６´，Ｋ２´）｜｜「３−０−１」Ｅ（Ｋ７，Ｋ２´）｜｜「３−０」Ｅ（Ｋ２´，Ｋ０´）｜｜「３−１」Ｅ（Ｋ３，Ｋ０´）｜｜「３−２」Ｅ（Ｋ４，Ｋ０´）”を与えられた場合を考える。端末情報管理部１１５より与えられた情報，すなわちインデックス値「１−０（１ホップ目の０番目の端末）」と，鍵更新メッセージに含まれるインデックス値を比較することにより，自身の保持する鍵に該当する情報は，“「１−０」Ｅ（ＫＤ１，Ｋ０´）”のみであると判断する。よって，鍵更新メッセージの中から，“「１−０」Ｅ（ＫＤ１，Ｋ０´）”を鍵木更新処理部１１６へ与える。次に，鍵更新メッセージの中から，自身の認証管理装置１００からのホップ数である１ホップ目の通信端末宛に生成されたメッセージを特定し，それ以外のメッセージを鍵更新メッセージ生成部１１２へ与える。上記の場合では，メッセージ“「１−０」（ＫＤ１，Ｋ０´）”以外は全て２ホップ目以降の通信端末宛であることがわかるため，メッセージ“「１−０」（ＫＤ１，Ｋ０´）”以外の全ての情報を，鍵更新メッセージ生成部１１２へ与える。

鍵木更新処理部１１６は，鍵更新メッセージ解析部１１４より与えられた，１つ以上の暗号化された更新鍵と，その暗号化鍵のインデックス値との組の中から，そのインデックス値を参照し，鍵木においてより深い位置に存在する組を特定し，深い位置に存在する鍵から順に暗号化された更新鍵の復号作業を導く。鍵木更新処理部１１６は，選択した組から順番に，その組のインデックス値を鍵管理部１１７へ与え，鍵管理部１１７より，そのインデックス値に対応する復号鍵を得る。そして，暗号化された更新鍵と，鍵管理部１１７より得た復号鍵と，インデックス値の示す鍵木内の位置から深さが一つ上のノードを示すインデックス値との組を復号部１１８へ与える。インデックス値の示す鍵木内の位置から深さが一つ上のノードを示すインデックス値とは，例えば，暗号化鍵のインデックス値が「３−０−０−１」だった場合は，「３−０−０」がこれに相当する。復号部１１８へ与えるインデックス値は，復号した鍵が，認証管理装置１００が管理する鍵木上でどの位置に存在するかを表す。

復号部１１８は，鍵木更新処理部１１６より，暗号化された更新鍵と，暗号化された更新鍵を復号する復号鍵と，インデックス値との組が与えられ，与えられた復号鍵を用いて，暗号化された更新鍵を復号して新しく更新された鍵を入手し，入手した鍵と，インデックス値とを組にして，鍵管理部１１７へ与える。ここで，復号部１１８で用いる復号方式は，図２で説明した認証管理装置１００の暗号化部１０４の暗号方式と対応している必要がある。例えば，図２で説明した認証管理装置１００の暗号化部１０４がＡＥＳ暗号を利用した暗号方式を採用した場合には，復号部１１８はＡＥＳ暗号を利用した復号方式を採用する。

鍵管理部１１７は，認証管理装置１００が管理する鍵木において，自身に相当する葉から木の根までの経路に存在する全ての鍵を，その鍵の鍵木上の位置を示すインデックス値と共に管理するものである。鍵木において，自身に相当する葉に存在する鍵は，認証管理装置１００と自身が１対１で共有する認証鍵を表し，木の根に存在する鍵は，ネットワーク内のすべての通信端末が保持するネットワーク共通鍵を表す。鍵管理部１１７は，鍵更新メッセージ解析部１１４より，鍵木における位置を示すインデックス値を与えられることにより，管理する鍵のうち，そのインデックス値に対応する鍵木の鍵を鍵木更新処理部１１６へ返信する。また，鍵管理部１１７は，復号部１１８より，鍵木における位置を示すインデックス値と，新しい鍵の組を与えられることにより，与えられた鍵を，インデックス値が示す鍵木内の位置に存在する新しい鍵であるとして管理する。鍵管理部１１７で管理する情報は，認証管理装置１００が管理する鍵木の情報と同期しているものとする。

鍵更新メッセージ生成部１１２は，暗号化された更新鍵と，暗号化に利用した鍵のインデックス値の組を１つ以上与えられ，それら複数の組を連結し，鍵更新メッセージを生成するものである。鍵更新メッセージ生成部１１２は，生成した鍵更新メッセージを送信部１１１へ与える。

送信部１１１は，鍵更新メッセージ生成部１１２から与えられた鍵更新メッセージを，次ホップの通信端末（ノード）へブロードキャストする。送信方法としては，ブロードキャスト，マルチキャスト，ユニキャストなど，様々なパターンが考えられるが，本発明において送信方法は特に限定しない。これらの方法の中から１つを用いて実施してもよく，ネットワークの構造に合わせてこれらの方法の中から複数を組み合わせて実施してもよい。

以上，図３を用いて本発明の第１の実施形態に係る通信端末の内部構成について説明した。次に，図６を用いて本発明の第１の実施形態に係る鍵木の構築方法について説明する。

図６は，本発明の第１の実施形態にかかる鍵木の構築方法を示した流れ図である。鍵木の構築処理が開始すると，まず，最初の通信端末を選択する（Ｓ１００）。その通信端末が，共通の親端末を持つ端末が既に鍵木内に存在しているかどうかを判断する（Ｓ１１０）。共通の親端末を持つ端末が鍵木内に既に存在していた場合は，共通の親端末を持つ端末から形成される部分木にその端末を追加する（Ｓ１２０）。端末を追加すると，その部分木内で鍵木を構築し，葉として配置する（Ｓ１３０）。鍵木を構築する構造としては２分木や多分木などの構造を用いることが出来る。上記Ｓ１１０において，共通の親端末を持つ端末が鍵木内に既に存在していない場合は，新しい部分木を作成して，葉として配置する（Ｓ１４０）。

全ての通信端末を鍵木の葉に配置したかどうかを判断し（Ｓ１５０），全ての通信端末を鍵木の葉に配置した場合は，処理を終了する。配置が完了していない場合は，上記Ｓ１１０に戻り，全ての通信端末を鍵木の葉に配置するまで処理を続行する。

以上，図６を用いて本発明の第１の実施形態に係る鍵木の構築方法について説明した。次に，図７〜図１２を用いて，本発明の第１の実施形態に係る鍵更新システムの動作について説明する。

図７は，図４で示したマルチホップネットワークモデルにおいて，通信端末Ｄ５を離脱させる際の認証管理装置１００が行う動作を示した説明図である。通信端末Ｄ１〜Ｄ１６の内部構成は，通信端末１１０と同一の構成を有している。

通信端末Ｄ５を離脱させるためには，まず鍵更新トリガ発信部１０１より，通信端末Ｄ５をネットワークから離脱させるための鍵更新開始メッセージが，鍵木管理部１０２に与えられる。

鍵木管理部１０２は，通信端末Ｄ５に相当する葉から，鍵木の根までの経路に存在する鍵Ｋ６，Ｋ２，Ｋ０を，鍵生成部１０３で生成したランダムな値Ｋ６´，Ｋ２´，Ｋ０´にそれぞれ更新する。また，更新した鍵を，どの通信端末に教えるべきかと，鍵木内のどの鍵を用いて暗号化すれば効果的かを鍵木より判断し，更新した鍵と，その鍵を暗号化するのに用いる暗号化鍵と，暗号化鍵の鍵木内での位置とどの部分木に属するかを示すインデックス値を組にして暗号化部１０４へ与える。どの部分木に属するかとは，つまり，認証管理装置１００から何ホップ目に位置する通信端末が形成する部分木内に存在する鍵か，という事である。

暗号化部１０４では，鍵木管理部１０２より与えられた更新鍵を，同じく鍵木管理部１０２より与えられた暗号化鍵で暗号化し，生成した暗号化更新鍵を，鍵木管理部１０２より与えられたインデックス値と組にして鍵更新メッセージ生成部１０５へ与える。

鍵更新メッセージ生成部１０５では，暗号化部１０４より与えられた１つ以上の暗号化更新鍵とインデックス値の組とを連結して，鍵更新メッセージを生成し，送信部１０６を通して通信端末に送信する。図８は，生成した鍵更新メッセージの例を示す説明図である。図８には，１ホップ目の端末宛，２ホップ目の端末宛，および３ホップ目の端末宛の鍵更新メッセージが１組になっている例を示す。鍵更新メッセージに含まれる各暗号化更新鍵には，インデックス値が付加されており，鍵更新メッセージを受信した通信端末は，このインデックス値から，暗号化更新鍵が認証管理装置１００から何ホップ目の通信端末宛に生成されたものなのか，また，暗号化更新鍵の暗号化に用いている鍵が鍵木内のどの鍵なのかを特定できる仕組みになっている。

図９は図４で示したマルチホップネットワークモデルにおいて，通信端末Ｄ１７を加入させる際の認証管理装置１００が行う動作を示した説明図である。通信端末Ｄ１７は，通信端末１１０と同一の構成を有している。

通信端末Ｄ１７を加入させるためには，まず鍵更新トリガ発信部１０１より，通信端末Ｄ１７をネットワークに加入させるための鍵更新開始メッセージが，鍵木管理部１０２に与えられる。

鍵木管理部１０２は，通信端末Ｄ１７に相当する葉から，鍵木の根までの経路に存在する鍵Ｋ１２，Ｋ１，Ｋ０を，鍵生成部１０３で生成したランダムな値Ｋ１２´，Ｋ１´，Ｋ０´にそれぞれ更新する。その後の処理の流れは，図７の通信端末Ｄ５をネットワークから離脱させる際の処理と同一であるので，説明を省略する。

図１０は，鍵更新メッセージを受信した通信端末が，どのようにして鍵更新メッセージを次ホップの通信端末へ中継していくかの概要を示す説明図である。鍵更新メッセージを受信した通信端末は，鍵更新メッセージに含まれる１つ以上の暗号化更新鍵とインデックス値の組が，認証管理装置１００から何ホップ目の通信端末宛に生成されたものかを把握することができる。本実施形態においては，鍵更新メッセージを受信した各通信端末が，自身が認証管理装置１００から何ホップ目に位置するかの情報と，鍵更新メッセージに含まれるインデックス値を参照し，次ホップ以降の通信端末宛に生成された情報のみ鍵更新メッセージとして転送することを特徴とする。

例えば，認証管理装置１００から１ホップ目に位置する通信端末Ｄ１は，認証管理装置１００から送信された鍵更新メッセージの内，１ホップ目の端末宛の鍵更新メッセージに含まれるインデックス値を参照し，２ホップ目以降の通信端末宛に生成された情報のみを２ホップ目の通信端末Ｄ２，Ｄ３，Ｄ４に転送する。２ホップ目の通信端末Ｄ２，Ｄ３，Ｄ４は，２ホップ目の端末宛の鍵更新メッセージに含まれるインデックス値を参照し，３ホップ目以降の通信端末宛に生成された情報のみを，３ホップ目の通信端末に転送する。

次に，図１１および図１２を用いて，図４のマルチホップネットワークモデルで通信端末Ｄ５をネットワークから離脱させる時の鍵更新動作において，通信端末Ｄ６が鍵更新メッセージを受信時に行う動作を説明する。

図１１は，通信端末Ｄ６が受信した鍵更新メッセージに含まれる情報のうち，自身の鍵更新に必要な情報と，次ホップに転送すべき情報と，それ以外の情報とを区別する動作を示す説明図である。

受信部１１３より鍵更新メッセージが鍵更新メッセージ解析部１１４に与えられる。そして，端末情報保持部より自身の鍵木上での位置と認証管理装置１００からのホップ数を示す情報「３−０−０−１」も，鍵更新メッセージ解析部１１４に与えられる。端末情報保持部より与えられた自身の情報「３−０−０−１」より，自身が認証管理装置１００から３ホップ目に位置することと，自身が保持する鍵木上の鍵は，「３−０−０−１」，「３−０−０」，「３−０」及び「０（ネットワーク共通鍵）」であることがわかる。鍵更新メッセージ解析部１１４は，鍵更新メッセージに含まれる暗号化更新鍵のインデックス値と自身の情報「３−０−０−１」を比較することにより，「３−０−０−１」，「３−０−０」，「３−０」のインデックス値を持つ暗号化更新鍵が，自身の保持する鍵更新に必要な情報であると判断する。そして，「３−０−０−１」，「３−０−０」，「３−０」のインデックス値を持つ暗号化更新鍵を鍵木更新処理部１１６へ与える。

次に，鍵更新メッセージに含まれるその他の情報を参照する。自身が認証管理装置１００から３ホップ目に位置することから，４ホップ目以降の通信端末宛に生成された暗号化更新鍵を，鍵更新メッセージ生成部１０５へ与える。図１１の場合，４ホップ目以降の通信端末は存在しないので，これに該当するメッセージは存在しないが，存在する場合は，鍵更新メッセージ生成部１０５において，与えられた暗号化更新鍵とインデックス値の組を連結して，鍵更新メッセージを生成し，次ホップの通信端末へ転送する。受信部１１３から与えられた鍵更新メッセージのうち残る情報は，自身と同じ認証管理装置１００から３ホップ目に位置するが，親端末が異なる通信端末宛に生成された情報である。

図１２は，鍵木更新処理部１１６へ与えられた暗号化更新鍵とインデックス値の処理を示す説明図である。

鍵木更新処理部１１６において，与えられた暗号化更新鍵のインデックス値を参照し，鍵木において位置が深い組から処理を行う。その結果，処理の順番は，「３−０−０−１」，「３−０−０」，「３−０」となる。各組に対して以下の処理を順番に行う。

暗号化更新鍵を暗号化するのに利用した鍵を表すインデックス値を，鍵管理部１１７へ与えて（Ｓ２００，Ｓ２２０，Ｓ２４０），鍵管理部１１７より，そのインデックス値に対応する復号鍵を受け取る（Ｓ２０２，Ｓ２２２，Ｓ２４２）。

鍵木更新処理部１１６は，暗号化更新鍵と，鍵管理部１１７より受け取った鍵と，インデックス値が示す鍵木の位置より一つ上の位置を示すインデックス値とを，復号部１１８へ与える（Ｓ２０４，Ｓ２２４，Ｓ２４４）。このインデックス値は，新しく更新された鍵の鍵木上での位置を示す。これは，更新した鍵は，鍵木においてその鍵より一段階深い位置にある鍵を用いて暗号化するためである。復号部１１８は，暗号化更新鍵を復号し，新しく更新された鍵を得る。

復号部１１８は，新しく更新された鍵と，インデックス値を組にして，鍵管理部１１７へ与える（Ｓ２０６，Ｓ２２６，Ｓ２４６）。そして，鍵管理部１１７において，復号部１１８より与えられた鍵を，同じく復号部１１８より与えられたインデックス値が示す鍵木上の鍵であるとして保持する（Ｓ２０８，Ｓ２２８，Ｓ２４８）。

以上説明したように，本発明の第１の実施形態は，認証管理装置が，マルチホップのネットワーク構造において，親となる端末が共通である全通信端末をグループとして鍵木を管理し，通信端末が，鍵更新メッセージの中継時に，鍵更新メッセージに含まれる情報の中から，自身よりもホップ数が大きい通信端末宛に生成された情報のみを抽出して，次ホップの通信端末へ送信することを特徴とする。

従来の２分木などの鍵木の構築方法と比較して，本発明の第１の実施形態に係る鍵木の構築方法は，マルチホップネットワークにおいて親となる端末が共通である全端末がグループとなって部分木を構築し，その部分木を鍵木の根の下に置く。そのため，親端末の総数が多くなるに従い，鍵木の根から分岐する部分木の数が多くなるために１つの暗号化更新鍵が対象とする通信端末の数が減り，その結果，鍵更新メッセージのサイズが大きくなる。一方，各通信端末が鍵更新のために保持すべき鍵木の鍵数（ある葉から根までのルートに存在する全ての鍵の数）は，ネットワークに参加している通信端末の総数によらず，ある共通の親端末に接続している子端末の総数のみに依存する。このように，鍵更新メッセージのサイズと，通信端末が保持する鍵の数とはトレードオフの関係になるが，本発明の第１の実施形態に係る鍵木構築方法に従って鍵木を構築することで，鍵更新メッセージを中継する通信端末ごとに，次ホップへ送信すべき情報と，次ホップへの送信は不要な情報ととの切り分けができるため，鍵更新メッセージのサイズを中継ごとに減少させることができる。

以上，本発明の第１の実施形態では，マルチホップのネットワーク構造に合わせて鍵木を構築することで，各通信端末が鍵更新のために保持すべき鍵数を，ある共通の親端末に接続している子端末の数のみに依存させながら，鍵更新メッセージの配送に伴うネットワーク全体のトラフィック量を抑える仕組みを提供することが可能となる。

（第２の実施形態）
図１３は，本発明の第２の実施形態に係る認証管理装置の内部構成を示した説明図である。図１３に示したように，本発明の第２の実施形態に係る認証管理装置２００は，鍵管理装置の一例であり，鍵更新トリガ発信部２０１と，鍵木管理部２０２と，鍵生成部２０３と，暗号化部２０４と，鍵更新メッセージ生成部２０５と，送信部２０６と，一方向値生成部２０７とを含む。本実施形態においても，鍵の階層を木構造を用いて表している。鍵木管理部２０２と一方向値生成部２０７以外の構成要素に関しては，第１の実施形態に係る認証管理装置１００と動作が同一であるため，詳細な説明は省略する。ここでは，第１の実施形態と動作が異なる鍵木管理部２０２と，新たな構成要素である一方向値生成部２０７に関して説明する。

鍵木管理部２０２は，鍵情報管理部の一例であり，第１の実施形態で説明した動作と基本的には同じである。異なる点は，更新鍵の生成方法と，各通信端末に教えるべき鍵の個数である。第２の実施形態では，更新すべきであると判断した鍵の中で，鍵木において一番深い位置にある鍵を更新し，そこから木の根までのルートに存在する鍵を，一方向関数を利用して生成することを特徴とする。

鍵木管理部２０２は，第１の実施形態と同様に，鍵生成部２０３へ鍵要求メッセージを与え，鍵生成部２０３より新しい鍵情報を受けることで，その鍵を，更新すべき鍵の中で鍵木において一番深い位置に存在する鍵に設定する。次に，今更新した鍵より一つ鍵木の根に近い位置に存在する鍵を更新するに際に，鍵木管理部２０２は，今更新した鍵を一方向値生成部２０７へ与え，一方向値生成部２０７から返信された鍵を新しい鍵とする。同じように，鍵木において一つ根に近い位置に存在する鍵を更新する時は，今更新した鍵を入力とした一方向性関数の出力値を新しい鍵として設定する。

例えば，図５において，通信端末Ｄ５のネットワークからの離脱に際して，鍵Ｋ６，Ｋ２，Ｋ０を，新しい鍵Ｋ６´，Ｋ２´，Ｋ０´に更新する時は，Ｋ２´＝ｆ（Ｋ６´），Ｋ０´＝ｆ（Ｋ２´）の関係が成り立つ．ここで，ｆ（・）は一方向性関数を示す．次に，第２の実施形態では，各通信端末に教えるべき鍵の個数が異なる．ある通信端末のグループに対して，教えるべき鍵が複数個ある場合は，それら鍵の中で鍵木において一番深い位置にある鍵のみを教えることを特徴とする．例えば，図５において，通信端末Ｄ５のネットワークからの離脱に際して，通信端末Ｄ６には，鍵Ｋ６の鍵Ｋ６´への更新のみを通知する。また，通信端末Ｄ７，Ｄ８には，鍵Ｋ２の鍵Ｋ２´への更新のみを通知する。それ以外の通信端末には，鍵Ｋ０の鍵Ｋ０´への更新を通知する。

一方向値生成部２０７は，鍵木管理部２０２より与えられたビット例に一方向性関数を適用して，規定長のビット列を生成するものである。生成したビット列は鍵木管理部２０２へ与える。一方向値生成部２０７が保持する一方向性関数は，後述する，通信端末が保持する一方向性関数と一致しておく必要がある。ここで利用する一方向性関数については特に規定しないが，本発明の利用時に安全な方式を用いる必要がある。例としては，暗号ハッシュ関数ＳＨＡ−１（Ｓｅｃｕｒｅ Ｈａｃｈ Ａｌｇｏｒｉｔｈｍ−１）や，ＡＥＳなどのブロック暗号を利用した一方向性関数，乱数生成器などを用いる事が出来る。

図１４は，本発明の第２の実施形態に係る通信端末の内部構成を示す説明図である。図１４に示したように，本発明の第２の実施形態に係る通信端末は，送信部２１１と，鍵更新メッセージ生成部２１２と，受信部２１３と，鍵更新メッセージ解析部２１４と，端末情報管理部２１５と，鍵木更新処理部２１６と，鍵管理部２１７と，復号部２１８と，一方向値生成部２１９とを含む。鍵木更新処理部２１６，鍵管理部２１７，一方向値生成部２１９以外の構成要素に関しては，第１の実施形態に係る通信端末と動作が同一であるため，詳細な説明は省略する。ここでは，第１の実施形態と動作が異なる，鍵木更新処理部２１６および鍵管理部２１７と，新たな構成要素である一方向値生成部２１９に関して説明する。

鍵木更新処理部２１６は，第１の実施形態で説明した動作と基本的には同じである。第１の実施形態と異なる点は，鍵更新メッセージ解析部２１４より，暗号化された更新鍵を１つだけ与えられることと，その暗号化された更新鍵のインデックス値との組を与えられることである。

鍵管理部２１７は，第１の実施形態で説明した動作と基本的には同じである。第１の実施形態と異なる点は，復号部２１８より与えられた鍵を，インデックス値が示す鍵木内の位置に存在する新しい鍵であるとして管理することにより，その新しい鍵の鍵木上の位置から，鍵木の根までに存在する鍵を，一方向値生成部２１９を利用して求めることである。鍵管理部２１７は，復号部２１８より新しい鍵を与えられ，その鍵を，インデックス値が示す鍵木内の位置に存在する新しい鍵であるとして管理する。次に，その鍵に対応するインデックス値が，鍵木において根でない場合に，今復号部２１８に与えられた新しい鍵を一方向値生成部２１９へ与える。そして，一方向値生成部２１９より鍵が与えられることによって，その鍵を，一方向値生成部２１９へ与えた鍵のインデックス値が示す鍵木における位置の，一つ根に近い位置に存在する新しい鍵として管理する。この動作を鍵木の根に至るまで繰り返すことで，鍵木内で自身に相当する葉から根までのルートに存在する，更新された鍵を得ることができる。

一方向値生成部２１９は，鍵管理部２１７より与えられたビット列に一方向性関数を適用して，規定長のビット列を生成するものであり，生成したビット列を鍵管理部２１７へ与える。一方向値生成部２１９が保持する一方向性関数は，上述した認証管理装置２００が保持する一方向性関数と一致しておく必要がある。

次に，図１５および図１６を用いて，本発明の第２の実施形態に係る鍵更新システムについて説明する。図１５は，図４で示したマルチホップネットワークモデルにおいて，通信端末Ｄ５を離脱させる際の認証管理装置２００が行う動作を示した説明図である。通信端末Ｄ１〜Ｄ１６の内部構成は，通信端末２１０と同一の構成を有している。

通信端末Ｄ５を離脱させるためには，まず鍵更新トリガ発信部２０１より，通信端末Ｄ５をネットワークから離脱させるための鍵更新開始メッセージが，鍵木管理部２０２に与えられる。

鍵木管理部２０２は，通信端末Ｄ５に相当する葉から，鍵木の根までの経路に存在する鍵の中で，一番深い位置に存在する鍵Ｋ６を，鍵生成部２０３で生成したランダムな値Ｋ６´に更新する。次に，更新した鍵Ｋ６´を一方向値生成部２０７へ与え，一方向値生成部２０７から返されたランダムな値ｆ（Ｋ６´）を用いて，鍵木において一つ上に位置する鍵Ｋ２をＫ２´に設定する。同様に，鍵木の根までのルートに存在するすべての鍵を，一方向値生成部２０７で生成したランダムな値に更新する。

次に，ある通信端末のグループに対して，教えるべき鍵が複数個ある場合は，それら鍵の中で鍵木において一番深い位置にある鍵のみを教える。図１５の場合では，通信端末Ｄ６には，鍵Ｋ６の鍵Ｋ６´への更新のみを，通信端末Ｄ７，Ｄ８には，鍵Ｋ２の鍵Ｋ２´への更新のみを，それ以外の通信端末には，鍵Ｋ０の鍵Ｋ０´への更新を教える。

鍵更新メッセージ生成部２０５では，暗号化部２０４より与えられた１つ以上の暗号化更新鍵とインデックス値の組とを連結して，鍵更新メッセージを生成し，送信部２０６を通して通信端末に送信する。図１６は，生成した鍵更新メッセージの例を示す説明図である。第１の実施形態における鍵更新メッセージと同様に，鍵更新メッセージは１ホップ目の端末宛，２ホップ目の端末宛，および３ホップ目の端末宛の鍵更新メッセージが１組になっている例を示す。

図１７は，鍵木更新処理部２１６へ与えられた暗号化更新鍵とインデックス値から鍵管理部２１７で管理する鍵を更新するまでの手順を示す説明図である。第１の実施形態同様に，図４のマルチホップネットワークモデルで，通信端末Ｄ５をネットワークから離脱させる時の鍵更新動作において，通信端末Ｄ６が鍵更新メッセージを受信時に行う動作を例にしている。

鍵木更新処理部２１６において，更新鍵を暗号化する際に利用した鍵を表すインデックス値を鍵管理部２１７へ与えて（Ｓ３００），鍵管理部２１７より，そのインデックス値に対応する復号鍵を受け取る（Ｓ３１０）。本実施形態においては，インデックス値「３−０−０−１」を鍵管理部２１７に与え，鍵管理部２１７から対応する鍵ＫＤ６を受け取る。

鍵木更新処理部２１６は，暗号化更新鍵と，鍵管理部２１７より受け取った鍵と，インデックス値が示す鍵木の位置より一つ上の位置を示すインデックス値を，復号部２１８へ与える（Ｓ３２０）。このインデックス値は，新しく更新された鍵の鍵木上での位置を示す。更新した鍵は，鍵木においてその鍵より一段階深い位置にある鍵を用いて暗号化するためである。復号部２１８は，暗号化された更新鍵を復号し，新しく更新された鍵を得る。本実施形態においては，

復号部２１８は，新しく更新した鍵と，インデックス値とを組にして，鍵管理部２１７へ与える（Ｓ３３０）。本実施形態では，新しく更新した鍵Ｋ６´とインデックス値「３−０−０」とを組にして，鍵管理部２１７へ与える。鍵管理部２１７は，復号部２１８より与えられた鍵を，同じく復号部２１８より与えられたインデックス値が示す鍵木上の鍵として保持する（Ｓ３４０）。本実施形態では，インデックス値「３−０−０」に対応する鍵をＫ６からＫ６´に更新して保持する。

鍵管理部２１７は，更新した鍵の鍵木上の位置から，鍵木の根までの経路に存在する鍵を，一方向値生成部２１９を利用して求め，更新する。本実施形態においては，まず，更新した鍵Ｋ６´を一方向値生成部２１９へ与える（Ｓ３５０）。一方向値生成部２１９は，Ｋ６´を入力値としたｆ（Ｋ６´）をＫ２´として鍵管理部２１７へ返す（Ｓ３６０）。鍵管理部２１７は，インデックス値「３−０」に対応する鍵を，Ｋ２から一方向値生成部２１９から与えられた鍵Ｋ２´に更新して保持する（Ｓ３７０）。さらに，更新した鍵Ｋ２´を一方向値生成部２１９へ与え（Ｓ３８０），一方向値生成部２１９は，Ｋ２´を入力値としたｆ（Ｋ２´）をＫ０´として鍵管理部２１７へ返す（Ｓ３９０）。鍵管理部２１７は，インデックス値「０」に対応する鍵を，Ｋ０から一方向値生成部２１９から与えられた鍵Ｋ０´に更新して保持する（Ｓ４００）。このように，鍵木の根までの経路に存在する鍵を，一方向値生成部２１９を利用して求め，更新することができる。

以上説明したように本発明の第２の実施形態においても，マルチホップのネットワーク構造に合わせて鍵木を構築することで，各通信端末が鍵更新のために保持すべき鍵数を，ある共通の親端末に接続している子端末の数のみに依存させながら，鍵更新メッセージの配送に伴うネットワーク全体のトラフィック量を抑える仕組みを提供することが可能となる。

（第３の実施形態）
第３の実施形態では、さらに，マルチホップネットワークにおける親となる端末が，自身を経由して繋がる子端末の情報を管理することで，鍵更新メッセージのサイズを減少させることを特徴とする。第３の実施形態の説明は，第２の実施形態を基にして説明する。第３の実施形態に係る認証管理装置３００は，鍵管理装置の一例である。認証管理装置３００は，第２の実施形態に係る認証管理装置２００と構成要素は同一であるため，説明は省略する。本実施形態においても，鍵の階層を木構造を用いて表している。

図１８は，本発明の第３の実施形態に係る通信端末の内部構成を示した説明図である。図１８に示したように，本発明の第３の実施形態に係る通信端末は，送信部３１１と，鍵更新メッセージ生成部３１２と，受信部３１３と，鍵更新メッセージ解析部３１４と，端末情報管理部３１５と，鍵木更新処理部３１６と，鍵管理部３１７と，復号部３１８と，一方向値生成部３１９と，子端末情報管理部３２０とを含む。

ここでは，このうち，第２の実施形態に係る通信端末とは少し動作が異なる鍵更新メッセージ生成部３１２と，新しい内部構成である子端末情報管理部３２０の動作についてのみ説明する。

子端末情報管理部３２０は，自身を親端末とする子端末，および，その子端末を親端末とする子端末など，自身のホップ先にいる端末が，鍵木においてどの部分木に属するかを管理するものである。どの部分木に属するかを管理する情報の表現方法は，予め認証管理装置との間で規定されているものとする。例えば，図５で示した鍵木において，通信端末Ｄ２が管理する情報は，“子端末のグループラベル：「３−０」（３ホップ目に位置する０番目のグループ）”といったようなインデックス値を利用してもよい。子端末情報管理部３２０は，自身の管理する情報を鍵更新メッセージ生成部３１２へ与える。子端末情報管理部３２０で管理する情報は，認証管理装置３００が管理する鍵木の情報と同期しているものとする。

鍵更新メッセージ生成部３１２は，第１の実施形態で説明した動作と基本的には同じである。第１の実施形態と異なる点は，子端末情報管理部３２０より，自身のホップ先にいる端末が，鍵木においてどの部分木に属するかの情報を与えられ，与えられた情報に基づいて鍵更新メッセージを生成することである。鍵更新メッセージ生成部３１２は，鍵更新メッセージ解析部３１４より与えられた暗号化更新鍵とインデックス値の組を，次ホップへ送るべき情報かどうかを，子端末情報管理部３２０より与えられている情報により判断する。次ホップへ送るべき情報であると判断した場合には，鍵更新メッセージ解析部３１４より与えられた暗号化更新鍵とインデックス値の組を鍵更新メッセージに含め，次ホップへ送るべき情報でない場合には，鍵更新メッセージ解析部３１４より与えられた暗号化更新鍵とインデックス値の組を鍵更新メッセージに含めない。

例えば，図５に示す通信端末Ｄ２において，鍵更新メッセージ解析部３１４より，“「３−０−０−１」Ｅ（ＫＤ６，Ｋ６´）”，“「３−０−１」Ｅ（Ｋ７，Ｋ２´）”，“「３−１」Ｅ（Ｋ３，Ｋ０´）”，“「３−２」Ｅ（Ｋ４，Ｋ０´）”というインデックス値と暗号化更新鍵との組を与えられて，子端末情報管理部３２０より，“「３−０」”というインデックス値を与えられている場合には，自身の子端末が属するグループ宛に生成された情報である，“「３−０−０−１」Ｅ（ＫＤ６，Ｋ６´）”および“「３−０−１」Ｅ（Ｋ７，Ｋ２´）”から鍵更新メッセージを生成する。

次に，図１９および図２０を用いて，本発明の第３の実施形態にかかる鍵更新システムの鍵更新方法について説明する。

図１９は，鍵更新メッセージを受信した通信端末が，どのようにして鍵更新メッセージを次ホップの通信端末へ中継していくかの概要を示した説明図である。図１９に示した通信端末Ｄ１〜Ｄ１６は，通信端末３１０と同一の内部構成を有する。図１９に示したように，鍵更新メッセージを受信した通信端末は，鍵更新メッセージに含まれる１つ以上の暗号化更新鍵とインデックス値の組が，認証管理装置３００から何ホップ目の通信端末宛に生成されたものかを把握することができる。

通信端末は，自身を経由する子端末のグループを示すインデックス値を把握しておくことで，鍵更新メッセージに含まれる１つ以上の暗号化更新鍵とインデックス値の組が，自身を経由する子端末グループ宛に生成されたものかを把握することができる。本実施形態においては，鍵更新メッセージを受信した各通信端末が，自身が認証管理装置３００から何ホップ目に位置するかの情報と，自身を経由した先に存在する子端末グループの情報と，鍵更新メッセージに含まれるインデックス値とを参照し，自身を経由する次ホップ以降の通信端末宛に生成された情報のみ，鍵更新メッセージとして転送することを特徴とする。

図１９においては，通信端末Ｄ１は，認証管理装置３００から１ホップ目，２ホップ目，３ホップ目の端末宛の鍵更新メッセージを受信すると，通信端末Ｄ１の子端末情報管理部３２０で，自身が認証管理装置３００から１ホップ目に存在する通信端末であることを確認し，通信端末Ｄ１の子端末である通信端末Ｄ２，Ｄ３およびＤ４に，通信端末Ｄ１を経由する２ホップ目の端末宛の鍵更新メッセージと，通信端末Ｄ１を経由する３ホップ目の端末宛の鍵更新メッセージとを送信する。通信端末Ｄ２は，通信端末Ｄ１から，通信端末Ｄ１を経由する２ホップ目の端末宛の鍵更新メッセージと，通信端末Ｄ１を経由する３ホップ目の端末宛の鍵更新メッセージとを受信すると，通信端末Ｄ２の子端末情報管理部３２０で，自身が認証管理装置３００から２ホップ目に存在する通信端末であることを確認し，通信端末Ｄ２の子端末である通信端末Ｄ５，Ｄ６，Ｄ７およびＤ８に，通信端末Ｄ２を経由する３ホップ目の端末宛の鍵更新メッセージを送信する。

図２０は，図４で示したマルチホップネットワークモデルにおいて，通信端末Ｄ５をネットワークから離脱させる時に，通信端末Ｄ２における鍵更新メッセージ生成手順を示した説明図である。

通信端末Ｄ２の鍵更新メッセージ生成部３１２は，鍵更新メッセージ解析部３１４より，次ホップ以降の通信端末宛の情報のみが与えられる。また，子端末情報管理部３２０より，自身のホップ先にいる端末が，鍵木においてどの部分木に属するかの情報を与えられている。

鍵更新メッセージ生成部３１２において，自身を経由した先に存在する子端末グループ「３−０」というインデックス値と，鍵更新メッセージ解析部３１４より与えられた，暗号化更新鍵と組になっているインデックス値を比較し，自身が次ホップへ経由すべき情報は，「３−０−０−１」と「３−０−１」のインデックス値を持つ暗号化更新鍵であると判断する。

そして，鍵更新メッセージ生成部３１２は，次ホップへ経由すべき情報のみを含む鍵更新メッセージを生成し，送信部３１１へ与える。送信部３１１は，通信端末Ｄ２の次ホップに位置する通信端末に対して，鍵更新メッセージを送信する。

以上説明したように，本発明の第３の実施形態によれば、第１，２の実施形態から，さらにマルチホップネットワークにおける親となる端末が，自身を経由する子端末の情報を管理することで，受信した鍵更新メッセージに含まれる情報の中で，次ホップの端末へ伝えるべき情報のみを判別し，それら情報から鍵更新メッセージを生成し，次ホップの端末へ送信することを特徴とする。

よって，第１，２の実施形態の場合では，自身の認証管理装置からのホップ数を知っており，次ホップ以降の端末を宛先とする鍵更新メッセージのみを送信していたのに対して，第３の実施形態の場合では，さらに，自身を経由する子端末情報を管理しており，自身を経由した次ホップ以降の端末を宛先とする鍵更新メッセージのみを送信することで，鍵更新メッセージのサイズを減少させることができる。よって，第１，２の実施形態よりもさらに，鍵更新メッセージの発信に伴うネットワーク全体のトラフィック量を抑えることできるという効果がある。

以上，添付図面を参照しながら本発明の好適な実施形態について説明したが，本発明は係る例に限定されないことは言うまでもない。当業者であれば，特許請求の範囲に記載された範疇内において，各種の変更例または修正例に想到し得ることは明らかであり，それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば，本発明では，マルチホップネットワークにおいて親端末が同じである通信端末がグループを形成し，部分木を構築したが，このグループ内における部分木の構築方法は特に限定しない。本発明の特徴は，親端末が同じである通信端末がグループとなって部分木を形成し，形成した部分木を鍵木内に配置することである。

また，本発明の第３の実施形態では，第２の実施形態を拡張したものとして説明したが，第１の実施形態の拡張としてもよい。つまり，通信端末が子端末情報管理部を有し，一方向値生成部を有さない場合であってもよい。

また，本発明の第３の実施形態では，各通信端末が自信に繋がる子端末の情報を持っており，それに基づき，自身の子端末に必要な鍵更新メッセージのみを抽出して中継する例で説明したが，各通信端末に繋がる子端末の情報は，認証管理装置が持っていてもよい。この場合，認証管理装置は，自信に繋がる１ホップ目の端末とその下に繋がる全ての通信端末ごとに，必要な鍵更新メッセージを生成し，該当する通信端末に送信してもよい。

また，図４を用いて本発明の説明に利用したネットワークモデルでは，認証管理装置が鍵更新メッセージをブロードキャストし，各通信端末が鍵更新メッセージをブロードキャスト中継する例で説明したが，本発明はこの構成に限定するものではない。認証管理装置が，ある通信端末に必要な鍵更新メッセージのみを生成し，その通信端末にユニキャストで送信する場合や，ある共通の親端末に繋がっている子端末群に必要な鍵更新メッセージのみを生成し，親端末にその子端末群への鍵更新メッセージの送信を依頼する場合など，様々なパターン，組み合わせを用いてもよい。

本発明は，マルチホップネットワークにおける鍵情報構築方法，鍵更新システム，鍵管理装置および通信端末に適用可能である。

マルチホップネットワークシステムの一般的な構成を示す説明図である。 本発明の第１の実施形態に係る認証管理装置の内部構成を示す説明図である。 本発明の第１の実施形態に係る通信端末の内部構成を示す説明図である。 本発明の第１の実施形態に係るマルチホップネットワークモデルを示す説明図である。 本発明の第１の実施形態に係る木構造に関連付けた階層構造を有する鍵情報の構成を示す説明図である。 本発明の第１の実施形態に係る木構造に関連付けた階層構造を有する鍵情報の構築方法について示す説明図である。 本発明の第１の実施形態に係る，通信端末を離脱させる際の認証管理装置の動作を示す説明図である。 本発明の第１の実施形態に係る鍵更新メッセージの例を示す説明図である。 本発明の第１の実施形態に係る，通信端末を加入させる際の認証管理装置の動作を示す説明図である。 本発明の第１の実施形態に係る，鍵更新メッセージを受信した通信端末の中継方法の概要を示す説明図である。 本発明の第１の実施形態に係る，鍵更新メッセージを受信した通信端末の動作を示す説明図である。 本発明の第１の実施形態に係る，鍵木更新処理部へ与えられた暗号化更新鍵とインデックス値の処理を示す説明図である。 本発明の第２の実施形態に係る認証管理装置の内部構成を示した説明図である。 本発明の第２の実施形態に係る通信端末の内部構成を示す説明図である。 本発明の第２の実施形態に係る，通信端末を離脱させる際の認証管理装置の動作を示す説明図である。 本発明の第２の実施形態に係る鍵更新メッセージの例を示す説明図である。 本発明の第２の実施形態に係る，鍵管理部で管理する鍵を更新するまでの手順を示す説明図である。 本発明の第３の実施形態に係る通信端末の内部構成を示した説明図である。 本発明の第３の実施形態に係る，鍵更新メッセージを受信した通信端末の中継方法の概要を示す説明図である。 本発明の第３の実施形態に係る，通信端末を離脱させる際の鍵更新メッセージ生成手順を示す説明図である。 ＬＫＨ鍵配布プロトコルについて示した説明図である。

符号の説明

１００，２００，３００ 認証管理装置
１０１，２０１ 鍵更新トリガ発信部
１０２，２０２ 鍵木管理部
１０３，２０３ 鍵生成部
１０４，２０４ 暗号化部
１０５，２０５ 鍵更新メッセージ生成部
１０６，２０６ 送信部
１１０，２１０，３１０ 通信端末
１１１，２１１，３１１ 送信部
１１２，２１２，３１２ 鍵更新メッセージ生成部
１１３，２１３，３１３ 受信部
１１４，２１４，３１４ 鍵更新メッセージ解析部
１１５，２１５，３１５ 端末情報管理部
１１６，２１６，３１６ 鍵木更新処理部
１１７，２１７，３１７ 鍵管理部
１１８，２１８，３１８ 復号部
２０７，２１９，３１９ 一方向値生成部
３２０ 子端末情報管理部

Claims (17)

1. 鍵を階層構造で管理する鍵管理装置と，鍵を入手する複数の通信端末とを含むマルチホップネットワークシステムにおいて，マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報を構築し，前記鍵情報を管理する前記鍵管理装置が前記鍵情報に基づいて鍵を暗号化するための暗号化鍵を決定し，前記通信端末が前記鍵を入手する鍵更新システムであって：
   前記鍵管理装置は，
   前記鍵情報を構築および管理する鍵情報管理部と；
   前記鍵情報内の前記鍵を用いて前記鍵を暗号化する暗号化部と；
   前記暗号化部で暗号化した鍵を送信する送信部と；
   を含み，
   前記通信端末は，
   前記暗号化した鍵を受信する受信部と；
   前記鍵情報内の前記鍵のうち，自身が保持すべき鍵を管理する鍵管理部と；
   前記暗号化した鍵を復号する復号部と；
   を含むことを特徴とする，鍵更新システム。
2. 前記鍵管理装置は，鍵を生成する鍵生成部をさらに含むことを特徴とする，請求項１に記載の鍵更新システム。
3. 前記鍵管理装置は，一方向性関数を有する一方向値生成部をさらに含むことを特徴とする，請求項１または２に記載の鍵更新システム。
4. 前記通信端末は，前記暗号化された鍵を送信する送信部をさらに含むことを特徴とする，請求項１〜３のいずれかに記載の鍵更新システム。
5. 前記通信端末は，前記暗号化された鍵の宛先を解析する鍵更新メッセージ解析部をさらに含むことを特徴とする，請求項１〜４のいずれかに記載の鍵更新システム。
6. 前記通信端末は，次のホップ以降の通信端末を宛先とする前記暗号化された鍵のみを送信するためのメッセージを生成する鍵更新メッセージ生成部をさらに含むことを特徴とする，請求項１〜５のいずれかに記載の鍵更新システム。
7. 前記通信端末は，一方向性関数を有する一方向値生成部をさらに含むことを特徴とする，請求項１〜６のいずれかに記載の鍵更新システム。
8. マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報を管理する鍵管理装置であって：
   前記鍵情報を構築および管理する鍵情報管理部と；
   前記鍵情報内の前記鍵を用いて前記鍵を暗号化する暗号化部と；
   前記暗号化部で暗号化した前記鍵を送信する送信部と；
   を含むことを特徴とする，鍵管理装置。
9. 鍵を生成する鍵生成部をさらに含むことを特徴とする，請求項８に記載の鍵管理装置。
10. 一方向性関数を有する一方向値生成部をさらに含むことを特徴とする，請求項８または９に記載の鍵管理装置。
11. マルチホップのネットワーク構造に合わせた階層構造を有する鍵情報内の鍵を用いて暗号化された鍵を入手する通信端末であって：
    前記暗号化された鍵を受信する受信部と；
    前記鍵情報内の鍵のうち，自身が保持すべき鍵を管理する鍵管理部と；
    前記暗号化された鍵を復号する復号部と；
    を含むことを特徴とする，通信端末。
12. 前記暗号化された鍵を送信する送信部をさらに含むことを特徴とする，請求項１１に記載の通信端末。
13. 前記暗号化された鍵の宛先を解析する鍵更新メッセージ解析部をさらに含むことを特徴とする，請求項１１または１２に記載の通信端末。
14. 次のホップ以降の通信端末を宛先とする前記暗号化された鍵のみを送信するためのメッセージを生成する鍵更新メッセージ生成部をさらに含むことを特徴とする，請求項１１〜１３に記載の通信端末。
15. 一方向性関数を有する一方向値生成部をさらに含むことを特徴とする，請求項１１〜１４のいずれかに記載の通信端末。
16. 鍵情報構築方法であって：
    マルチホップネットワークにおいて，親となる端末装置が同一である通信端末をグループとして，階層構造を有する鍵情報を構築することを特徴とする，鍵情報構築方法。
17. 前記通信端末に，共通の親端末を持つ他の通信端末が存在していない場合は，前記通信端末をグループの初期メンバとして，新しい階層構造を有する鍵情報を構築することを特徴とする，請求項１６に記載の鍵情報構築方法。
    

Images