JP2012078574A - 鍵交換装置、鍵交換システム、鍵交換方法、鍵交換プログラム - Google Patents

Abstract

【課題】攻撃者が短期秘密鍵を取得しても安全性を維持できる階層型ＩＤ認証鍵交換方式を提供する。
【解決手段】鍵交換装置は、短期鍵生成部、短期公開鍵受信部、セッション鍵生成部を備える。短期鍵生成部は、０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｘ^〜とし、ｘ＝Ｈ_２（Ｓ_Ａ，Ｍ，ｘ^〜）を計算し、（Ｐ_０＾ｘ，Ｐ_Ｂ，２＾ｘ，…，Ｐ_Ｂ，Ｎ＾ｘ）を短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）とし、短期公開鍵ｅｐｋ_Ｂを相手の鍵交換装置に送信する。短期公開鍵受信部は、相手の鍵交換装置から、短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）を受信する。セッション鍵生成部は、σ_１，σ_２，σ_３を計算し、ハッシュ関数Ｈを用いてセッション鍵Ｋを求める。
【選択図】図６

Description

本発明は、２つの装置で鍵を共有するための鍵交換装置、鍵交換システム、鍵交換方法、鍵交換プログラムに関する。

従来の階層型ＩＤ認証鍵交換方式として、非特許文献１のＭＤＣ方式が知られている。背景技術の説明では、ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）は群Ｇ_Ｔの生成元、Ｈは群Ｇの元をｋ_１ビットの整数に変換するハッシュ関数、Ｈ’は群Ｇ_Ｔの元をｋ_３ビットの整数に変換するハッシュ関数、ｆはｋ_１ビット以上の整数をｋ_２ビットの整数に変換するメッセージ認証コード、ＬはＩＤの階層の深さの最大値、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_ＡｍとＩＤ_Ｂｍは０以上ｐ−１以下の整数、＾はべき乗を示す記号、（＋）は排他的論理和を示す記号とする。

図１は、従来の階層型ＩＤ認証鍵交換方式のシステム構成を説明するための図である。図１のシステムでは、ネットワーク１０００を介して鍵生成手段９１０、鍵交換装置Ａ_１９２０_１〜鍵交換装置Ａ_Ｍ９２０_Ｍ、鍵交換装置Ｂ_１９３０_１〜鍵交換装置Ｂ_Ｎ９３０_Ｎが接続されている。鍵交換装置Ａ_１９２０_１〜鍵交換装置Ａ_Ｍ９２０_Ｍは階層的に識別子が付与されており、鍵交換装置Ａ_ｍ９２０_ｍの識別子は（ＩＤ_Ａ１，…，ＩＤ_Ａｍ）である。同様に鍵交換装置Ｂ_１９３０_１〜鍵交換装置Ｂ_Ｎ９３０_Ｎも階層的に識別子が付与されており、鍵交換装置Ｂ_ｎ９３０_ｎの識別子は（ＩＤ_Ｂ１，…，ＩＤ_Ｂｎ）である。

鍵生成手段９１０は、群Ｇの元ｇ_２，ｇ_３，ｈ_１，…，ｈ_Ｌ、および０以上ｐ−１以下の整数ｓをランダムに選ぶ。そして、ｇ_２＾ｓをマスタ秘密鍵とし、（ｇ，ｇ_１＝ｇ＾ｓ，ｇ_２，ｇ_３，ｈ_１，…，ｈ_Ｌ，ｇ_Ｔ，ｆ，Ｈ，Ｈ’）をマスタ公開鍵とし、マスタ公開鍵を公開する。

鍵生成手段９１０は、０以上ｐ−１以下の乱数ｒ_Ａｍを生成し、
（（ｇ_２＾ｓ）・（（ｈ_１＾ＩＤ_Ａ１）・…・（ｈ_ｍ＾ＩＤ_Ａｍ）・ｇ_３）＾ｒ_Ａｍ，ｇ＾ｒ_Ａｍ，（ｈ_ｍ＋１＾ｒ_Ａｍ），…，（ｈ_Ｌ＾ｒ_Ａｍ））＝（ｕ_Ａ１，ｕ_Ａ２，ｕ_{Ａ｜ｍ＋１}，…，ｕ_Ａ｜Ｌ）
を鍵交換装置Ａ_ｍ９２０_ｍ用の秘密鍵ｄ_Ａｍとする。また、鍵生成手段９１０は、同様に０以上ｐ−１以下の乱数ｒ_Ｂｎを生成し、
（（ｇ_２＾ｓ）・（（ｈ_１＾ＩＤ_Ｂ１）・…・（ｈ_ｎ＾ＩＤ_Ｂｎ）・ｇ_３）＾ｒ_Ｂｎ，ｇ＾ｒ_Ｂｎ，（ｈ_ｎ＋１＾ｒ_Ｂｎ），…，（ｈ_Ｌ＾ｒ_Ｂｎ））＝（ｕ_Ｂ１，ｕ_Ｂ２，ｕ_{Ｂ｜ｎ＋１}，…，ｕ_Ｂ｜Ｌ）
を鍵交換装置Ｂ_ｎ９３０_ｎ用の秘密鍵ｄ_Ｂｎとする。

このように鍵が生成された状態で、ユーザＵ_Ａが使用する鍵交換装置Ａ_Ｍ９２０_ＭとユーザＵ_Ｂが使用する鍵交換装置Ｂ_Ｎ９３０_Ｎとが共有鍵Ｋを共有する手順を次に示す。鍵交換装置Ａ_Ｍ９２０_Ｍは、０以上ｐ−１以下の整数ｘをランダムに選び、短期秘密鍵とする。そして、
Ｘ_１＝ｇ＾ｘ
Ｘ_２＝（（ｈ_１＾ＩＤ_Ｂ１）・…・（ｈ_Ｎ＾ＩＤ_ＢＮ）・ｇ_３）＾ｘ
Ｘ_３＝ｇ_Ｔ＾ｘ
を計算し、（Ｕ_Ａ，Ｘ_１，Ｘ_２）を短期公開鍵として鍵交換装置Ｂ_Ｎ９３０_Ｎに送る。なお、Ｘ_３は秘密情報として鍵交換装置Ａ_Ｍ９２０_Ｍが保持する。

鍵交換装置Ｂ_Ｎ９３０_Ｎは、（Ｕ_Ａ，Ｘ_１，Ｘ_２）を受信する。鍵交換装置Ｂ_Ｎ９３０_Ｎは、０以上ｐ−１以下の整数ｙをランダムに選び、短期秘密鍵とする。そして、
Ｙ_１＝ｇ＾ｙ
Ｙ_２＝（（ｈ_１＾ＩＤ_Ａ１）・…・（ｈ_Ｍ＾ＩＤ_ＡＭ）・ｇ_３）＾ｙ
Ｙ_３＝ｇ_Ｔ＾ｙ
を計算する。また、
Ｋ_Ａ＝ｅ（Ｘ_１，ｕ_Ｂ１）／ｅ（ｕ_Ｂ２，Ｘ_２）
＝ｅ（ｇ＾ｘ，（ｇ_２＾ｓ）・（（ｈ_１＾ＩＤ_Ｂ１）・…・（ｈ_Ｎ＾ＩＤ_ＢＮ）・ｇ_３）＾ｒ_ＢＮ）／ｅ（ｇ＾ｒ_ＢＮ，（（ｈ_１＾ＩＤ_Ｂ１）・…・（ｈ_Ｎ＾ＩＤ_ＢＮ）・ｇ_３）＾ｘ）
＝ｅ（ｇ＾ｘ，ｇ_２＾ｓ）
＝ｇ_Ｔ＾ｘ
を計算し、メッセージ認証子ｈを
ｈ＝ｆ_ＨＡ（Ｕ_Ａ，Ｕ_Ｂ，Ｙ_１，Ｙ_２）
ただし、ＨＡ＝Ｈ（Ｋ_Ａ）
のように計算する。そして、（Ｘ_１，Ｙ_１，Ｙ_２，ｈ）を短期公開鍵として鍵交換装置Ａ_Ｍ９２０_Ｍに送信する。また、鍵交換装置Ｂ_Ｎ９３０_Ｎは、共有鍵Ｋを、
Ｋ＝Ｈ’（Ｋ_Ａ＾ｙ）（＋）Ｈ’（Ｋ_Ａ・Ｙ_３）
のように計算して求める。

鍵交換装置Ａ_Ｍ９２０_Ｍは、（Ｘ_１，Ｙ_１，Ｙ_２，ｈ）を受信する。鍵交換装置Ａ_Ｍ９２０_Ｍは、メッセージ認証子ｈが、
ｆ_ＨＸ（Ｕ_Ａ，Ｕ_Ｂ，Ｙ_１，Ｙ_２）
ただし、ＨＸ＝Ｈ（Ｘ_３）
と等しいことを確認する。そして、等しくない場合は、鍵交換装置Ａ_Ｍ９２０_Ｍは処理を中止する。等しい場合は、鍵交換装置Ａ_Ｍ９２０_Ｍは
Ｋ_Ｂ＝ｅ（Ｙ_１，ｕ_Ａ１）／ｅ（ｕ_Ａ２，Ｙ_２）
＝ｅ（ｇ＾ｙ，（ｇ_２＾ｓ）・（（ｈ_１＾ＩＤ_Ａ１）・…・（ｈ_Ｍ＾ＩＤ_ＡＭ）・ｇ_３）＾ｒ_ＡＭ）／ｅ（ｇ＾ｒ_ＡＭ，（（ｈ_１＾ＩＤ_Ａ１）・…・（ｈ_Ｍ＾ＩＤ_ＡＭ）・ｇ_３）＾ｙ）
＝ｅ（ｇ＾ｙ，ｇ_２＾ｓ）
＝ｇ_Ｔ＾ｙ
を計算し、共有鍵Ｋを、
Ｋ＝Ｈ’（Ｋ_Ｂ＾ｘ）（＋）Ｈ’（Ｋ_Ｂ・Ｘ_３）
のように計算して求める。

ここで、
Ｋ_Ａ＾ｙ＝Ｋ_Ｂ＾ｘ＝ｇ_Ｔ＾（ｘｙ）
Ｋ_Ａ・Ｙ_３＝Ｋ_Ｂ・Ｘ_３＝ｇ_Ｔ＾（ｘ＋ｙ）
なので、鍵交換装置Ａ_Ｍ９２０_Ｍと鍵交換装置Ｂ_Ｎ９３０_Ｎとが求めた共有鍵Ｋは一致する。

森山大輔, 土井洋, 趙晋輝, "A Two-Party Hierarchical Identity Based Key Agreement Protocol Without Random Oracles",暗号と情報セキュリティシンポジウムSCIS2008 , 4D1-1,2008.

しかしながら、従来技術は短期秘密鍵が漏れると安全でなくなるという課題がある。具体的には、攻撃者Ｃが、短期秘密鍵ｘ、ｙを取得したとすると、攻撃者Ｃは、
Ｋ＝Ｈ’（ｇ_Ｔ＾（ｘｙ））（＋）Ｈ’（ｇ_Ｔ＾（ｘ＋ｙ））
を計算することで、共有鍵Ｋを取得できる。

本発明は、攻撃者が短期秘密鍵を取得しても安全性を維持できる階層型ＩＤ認証鍵交換方式を提供することを目的とする。

まず、ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈは任意長の整数をｋビットの整数に変換するハッシュ関数、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_Ａ，ｍとＩＤ_Ｂ，ｍは任意の整数、ｓ_０とｓ_Ａ，ｍとｓ_Ｂ，ｎはランダムに選択された０以上ｐ−１以下の整数、Ｓ_０は群Ｇの単位元、Ｐ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０、＾はべき乗を示す記号とする。そして、本発明の鍵交換装置は、識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）であり、長期秘密鍵として（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録している。また、鍵交換を行う相手の鍵交換装置は、識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録している。そして、
ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
とすると、
１〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
の関係である。なお、ＩＤ_Ａ，Ｍ≠ＩＤ_Ｂ，Ｎであれば、ＩＤ_Ａ，ｍ＝ＩＤ_Ｂ，ｎでもよい。

本発明の第１の鍵交換装置は、短期鍵生成部、短期公開鍵受信部、セッション鍵生成部を備える。短期鍵生成部は、０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｘ^〜とし、ｘ＝Ｈ_２（Ｓ_Ａ，Ｍ，ｘ^〜）を計算し、（Ｐ_０＾ｘ，Ｐ_Ｂ，２＾ｘ，…，Ｐ_Ｂ，Ｎ＾ｘ）を短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）とし、短期公開鍵ｅｐｋ_Ｂを相手の鍵交換装置（第２の鍵交換装置）に送信する。短期公開鍵受信部は、相手の鍵交換装置（第２の鍵交換装置）から、短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）を受信する。セッション鍵生成部は、
σ_１＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ

σ_３＝Ｙ_０＾ｘ
を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求める。

本発明の第２の鍵交換装置（第１の鍵交換装置の相手の鍵交換装置）も、短期鍵生成部、短期公開鍵受信部、セッション鍵生成部を備える。短期公開鍵受信部は、相手の鍵交換装置（第１の鍵交換装置）から、短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）を受信する。短期鍵生成部は、０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｙ^〜とし、ｙ＝Ｈ_２（Ｓ_Ｂ，Ｎ，ｙ^〜）を計算し、（Ｐ_０＾ｙ，Ｐ_Ａ，２＾ｙ，…，Ｐ_Ａ，Ｍ＾ｙ）を短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）とし、短期公開鍵ｅｐｋ_Ａを相手の鍵交換装置（第１の鍵交換装置）に送信する。セッション鍵生成部は、

σ_２＝ｅ（Ｑ_０，Ｐ_Ａ，１）＾ｙ
σ_３＝Ｘ_０＾ｙ
を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求める。

本発明の鍵交換装置によれば、相手の鍵交換装置のＩＤに対応する短期公開鍵を計算する際に、短期秘密鍵をそのままべき乗するのではなく、長期秘密鍵と短期秘密鍵のハッシュ値をべき乗する。したがって、短期秘密鍵が漏れても、長期秘密鍵が漏れない限りハッシュ値の値は分からない。このように片方の秘密鍵が漏洩したとしても攻撃者は共有鍵を求めることができない。したがって、本発明の鍵交換装置は高い安全性を有している。

従来の階層型ＩＤ認証鍵交換方式のシステム構成を説明するための図。 実施例１の鍵交換装置の階層を示す図。 実施例１の鍵交換システムの機能構成例を示す図。 マスタ鍵生成手段の処理フローを示す図。 すべての鍵交換装置が長期秘密鍵を記録するまでの処理フローを示す図。 鍵を共有する処理のフローを示す図。 仮想的な階層構造を示す図。 変形例の鍵交換システムの機能構成例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。また、以下の説明では、ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈは任意長の整数をｋビットの整数に変換するハッシュ関数、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_＊，＊は任意の整数、ｓ_０とｓ_＊，＊はランダムに選択された０以上ｐ−１以下の整数、Ｓ_０は群Ｇの単位元、Ｐ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０、＾はべき乗を示す記号とする。

図２に実施例１の鍵交換装置の階層を示す。最上位の階層（階層１）に１つ以上の鍵交換装置があり、これらの鍵交換装置は識別子として、１つのＩＤ_＊，＊を有する。例えば、鍵交換装置Ａ_１１２０_１は、識別子としてＩＤ_Ａ，１を有する。上位側からｍ番目の階層（階層ｍ）の鍵交換装置は、上位の鍵交換装置が有する識別子に１つの識別子ＩＤ_＊，＊を加えたものを識別子として有する。例えば、鍵交換装置Ａ_２１２０_２は、識別子として（ＩＤ_Ａ，１，ＩＤ_Ａ，２）を有する。そして、上位側からＭ番目の階層（階層Ｍ）に属する鍵交換装置Ａ_Ｍ１２０_Ｍは、識別子として（ＩＤ_Ａ，１，ＩＤ_Ａ，２，…，ＩＤ_Ａ，Ｍ）を有する。また、上位側からＮ番目の階層（階層Ｎ）に属する鍵交換装置Ｂ_Ｎ１３０_Ｎは、識別子として（ＩＤ_Ｂ，１，ＩＤ_Ｂ，２，…，ＩＤ_Ｂ，Ｎ）を有する。本実施例では、共有鍵を共有する処理を行う鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_Ｎ１３０_Ｎとは異なる鍵交換装置であることは言うまでもない。しかし、鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_Ｎ１３０_Ｎの上位の鍵交換装置が同一であってもかまわない。例えば、上位からＩ番目の階層（階層Ｉ：ただし、Ｉは１以上Ｍ未満かつＮ未満の整数）までの鍵交換装置が同一であり、Ｉ＋１番目の階層から異なる場合もある。このときは、（ＩＤ_Ａ，１，ＩＤ_Ａ，２，…，ＩＤ_Ａ，Ｉ）と（ＩＤ_Ｂ，１，ＩＤ_Ｂ，２，…，ＩＤ_Ｂ，Ｉ）は同じである。

図３は、実施例１の鍵交換システムの機能構成例を示す図である。鍵交換システムは、ネットワーク１０００で接続されたマスタ鍵生成手段１１０と複数の鍵交換装置で構成されている。図３では、本実施例の説明に必要な範囲の鍵交換装置を示しているが、この他にも鍵交換装置を備えてもよい。また、説明の都合上、鍵交換装置Ａ_１１２０_１〜鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_１１３０_１〜鍵交換装置Ｂ_Ｎ１３０_Ｎを別々の装置として示している。しかし、上述のとおり、（ＩＤ_Ａ，１，ＩＤ_Ａ，２，…，ＩＤ_Ａ，Ｉ）と（ＩＤ_Ｂ，１，ＩＤ_Ｂ，２，…，ＩＤ_Ｂ，Ｉ）とが同じ場合には、鍵交換装置Ａ_ｉ１２０_ｉと鍵交換装置Ｂ_ｉ１３０_ｉ（ただし、ｉは１以上Ｉ以下の整数）は、同じ装置である。

図４は、マスタ鍵生成手段の処理フローを示す図である。マスタ鍵生成手段１１０は、０以上ｐ−１以下の整数から１つを選定してマスタ秘密鍵ｓ_０を生成する（Ｓ１１０）。そして、Ｓ_０を群Ｇの単位元に設定し、Ｐ_０とＱ_０をＰ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０のように求め、前記のＰ_０とＱ_０を公開する（Ｓ１１２）。次に、マスタ鍵生成手段１１０は、最上位の階層の鍵交換装置ごとに、Ｐ_１、Ｓ_１を求める（Ｓ１１３）。そして、最上位の階層のすべての鍵交換装置のためのＰ_１、Ｓ_１を求めたかを確認する（Ｓ１１４）。ステップＳ１１４がＮｏの場合には、最上位の階層の別の鍵交換装置に対象を変更し（Ｓ１１５）、ステップＳ１１３に戻る。図３の例の場合であれば、最上位の階層の鍵交換装置Ａ_１１２０_１のためのＰ_１、Ｓ_１であるＰ_Ａ，１、Ｓ_Ａ，１を、
Ｐ_Ａ，１＝Ｈ_１（ＩＤ_Ａ，１）
Ｓ_Ａ，１＝Ｓ_０Ｐ_Ａ，１＾ｓ_０
のように計算する（Ｓ１１３）。そして、ＩＤ_Ｂ，１≠ＩＤ_Ａ，１の場合（Ｓ１１４がＮｏの場合）は、対象を鍵交換装置Ｂ_１１３０_１に変更し（Ｓ１１５）、鍵交換装置Ｂ_１１３０_１のためのＰ_１、Ｓ_１であるＰ_B，１、Ｓ_B，１を、
Ｐ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ，１）
Ｓ_Ｂ，１＝Ｓ_０Ｐ_Ｂ，１＾ｓ_０
のように計算する（Ｓ１１３）。

図５は、すべての鍵交換装置が長期秘密鍵を記録するまでの処理フローを示す図である。図３に示したように、鍵交換装置Ａ_ｍ１２０_ｍは、短期鍵生成部１２１_ｍ、短期公開鍵受信部１２２_ｍ、セッション鍵生成部１２３_ｍ、乱数生成部１２４_ｍ、情報取得部１２５_ｍ、長期秘密鍵計算部１２６_ｍ、記録部１２９_ｍを備える。なお、乱数生成部１２４_ｍ、情報取得部１２５_ｍ、長期秘密鍵計算部１２６_ｍで長期秘密鍵生成部１４２_ｍを構成している。同様に、鍵交換装置Ｂ_ｎ１３０_ｎは、短期鍵生成部１３１_ｎ、短期公開鍵受信部１３２_ｎ、セッション鍵生成部１３３_ｎ、乱数生成部１３４_ｎ、情報取得部１３５_ｎ、長期秘密鍵計算部１３６_ｎ、記録部１３９_ｎを備える。なお、乱数生成部１３４_ｎ、情報取得部１３５_ｎ、長期秘密鍵計算部１３６_ｎで長期秘密鍵生成部１４３_ｎを構成している。

乱数生成部１２４_ｍは、０以上ｐ−１以下の整数の中からランダムに整数を選択し、鍵交換装置Ａ_ｍ１２０_ｍ用のｓ_ｍであるｓ_Ａ，ｍを生成する（Ｓ１４１）。情報取得部１２５_ｍがＳ_Ａ，ｍ，Ｑ_Ａ，１，…，Ｑ_{Ａ，ｍ−１}を取得し、長期秘密鍵計算部１２６_ｍがＱ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍのように、鍵交換装置Ａ_ｍ１２０_ｍ用のＱ_ｍであるＱ_Ａ，ｍを求める（Ｓ１４２）。鍵交換装置Ａ_ｍ１２０_ｍは、下位の階層に配下の鍵交換装置があるかを確認する（Ｓ１４３）。ステップＳ１４３がＮｏの場合は、後述するステップＳ１４７に進む。ステップＳ１４３がＹｅｓの場合は、長期秘密鍵計算部１２６_ｍは、１つ下位の配下の鍵交換装置Ａ_ｍ＋１１２０_ｍ＋１（識別子がＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ，ＩＤ_{Ａ，ｍ＋１}）用のＰ_ｍ＋１、Ｓ_ｍ＋１であるＰ_{Ａ，ｍ＋１}、Ｓ_{Ａ，ｍ＋１}を求めるために、
Ｐ_{Ａ，ｍ＋１}＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ，ＩＤ_{Ａ，ｍ＋１}）
Ｓ_{Ａ，ｍ＋１}＝Ｓ_Ａ，ｍＰ_{Ａ，ｍ＋１}＾ｓ_Ａ，ｍ
を計算する（Ｓ１４４）。鍵交換装置Ａ_ｍ１２０_ｍは、１つ下位の階層の配下の鍵交換装置のためのＰ_ｍ＋１、Ｓ_ｍ＋１をすべて求めたかを確認する（Ｓ１４５）。ステップＳ１４５がＮｏの場合には、対象を１つ下位の階層の配下の別の鍵交換装置に変更し（Ｓ１４６）、ステップＳ１４４を行う。ステップＳ１４５がＹｅｓの場合には、ステップＳ１４７に進む。長期秘密鍵計算部１２６_ｍは、（Ｓ_Ａ，ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，ｍ）を鍵交換装置Ａ_ｍ１２０_ｍの長期秘密鍵とする（Ｓ１４７）。ステップＳ１４１〜Ｓ１４７が長期秘密鍵生成部１４２_ｍ（１台の鍵交換装置の長期秘密鍵生成部）が行う処理（Ｓ１４０）である。

鍵交換システムのいずれかの装置が、すべての鍵交換装置がステップＳ１４０の処理を実行したかを確認する（Ｓ１４８）。ステップＳ１４８がＮｏの場合は、上位側の鍵交換装置であってステップＳ１４０を実行していない鍵交換装置に対象を変更し（Ｓ１４９）、ステップＳ１４０を実行する。この処理を繰り返すことで、ステップＳ１４８がＹｅｓになり、すべての鍵交換装置が長期秘密鍵を記録した状態となる。このとき、鍵交換装置Ａ_ｍ１２０_ｍは、識別子が（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）であり、長期秘密鍵として（Ｓ_Ａ，ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，ｍ）を記録しており、鍵交換装置Ｂ_ｎ１３０_ｎは、（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，ｎ）を記録している。そして、
ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
とすると、
１〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
が成り立つ関係となっている。

図６に、鍵を共有する処理のフローを示す。この処理では、鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_Ｎ１３０_Ｎとが鍵交換を行う。上述のとおり、鍵交換装置Ａ_Ｍ１２０_Ｍは、識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）であり、長期秘密鍵として（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録しており、鍵交換装置Ｂ_Ｎ１３０_Ｎは、識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録している。

鍵交換装置Ａ_Ｍ１２０_Ｍの短期鍵生成部１２１_Ｍは、０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｘ^〜とし、ｘ＝Ｈ_２（Ｓ_Ａ，Ｍ，ｘ^〜）を計算し、（Ｐ_０＾ｘ，Ｐ_Ｂ，２＾ｘ，…，Ｐ_Ｂ，Ｎ＾ｘ）を短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）とし、短期公開鍵ｅｐｋ_Ｂを鍵交換装置Ｂ_Ｎ１３０_Ｎに送信する（Ｓ１２１）。

鍵交換装置Ｂ_Ｎ１３０_Ｎの短期公開鍵受信部１３２_Ｎは、鍵交換装置Ａ_Ｍ１２０_Ｍから短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）を受信する（Ｓ１３２）。鍵交換装置Ｂ_Ｎ１３０_Ｎの短期鍵生成部１３１_Ｎは、０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｙ^〜とし、ｙ＝Ｈ_２（Ｓ_Ｂ，Ｎ，ｙ^〜）を計算し、（Ｐ_０＾ｙ，Ｐ_Ａ，２＾ｙ，…，Ｐ_Ａ，Ｍ＾ｙ）を短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）とし、短期公開鍵ｅｐｋ_Ａを鍵交換装置Ａ_Ｍ１２０_Ｍに送信する（Ｓ１３１）。

鍵交換装置Ａ_Ｍ１２０_Ｍの短期公開鍵受信部１２２_Ｍは、鍵交換装置Ｂ_Ｎ１３０_Ｎから短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）を受信する（Ｓ１２２）。
鍵交換装置Ａ_Ｍ１２０_Ｍのセッション鍵生成部１２３_Ｍは、
σ_１＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ

σ_３＝Ｙ_０＾ｘ
を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求める。例えば、
Ｋ＝Ｈ（σ_１，σ_２，σ_３，ＰＩＤ，ＩＤ_Ａ，ＩＤ_Ｂ，ｅｐｋ_Ａ，ｅｐｋ_Ｂ）
ただし、ＰＩＤは本実施例のプロトコルを示す識別子
のようにセッション鍵Ｋを求めればよい。

鍵交換装置Ｂ_Ｎ１３０_Ｎのセッション鍵生成部１３３_Ｎは、

σ_２＝ｅ（Ｑ_０，Ｐ_Ａ，１）＾ｙ
σ_３＝Ｘ_０＾ｙ
を計算し、セッション鍵生成部１２３_Ｍと同じようにσ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求める。例えば、
Ｋ＝Ｈ（σ_１，σ_２，σ_３，ＰＩＤ，ＩＤ_Ａ，ＩＤ_Ｂ，ｅｐｋ_Ａ，ｅｐｋ_Ｂ）
のようにセッション鍵Ｋを求めればよい。このように処理することによって、セッション鍵Ｋを共有できる。なお、

σ_３＝Ｘ_０＾ｙ＝Ｙ_０＾ｘ＝Ｐ_０＾（ｘｙ）
である。したがって、鍵交換装置Ａ_Ｍ１２０_Ｍが計算するセッション鍵Ｋと鍵交換装置Ｂ_Ｎ１３０_Ｎが計算するセッション鍵Ｋとは等しくなる。

なお、鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_Ｎ１３０_Ｎの処理が逆でもよい。また、鍵交換装置Ａ_Ｍ１２０_Ｍは別の鍵交換装置と鍵交換を行う場合には、鍵交換装置Ａ_Ｍ１２０_Ｍが上述の鍵交換装置Ｂ_Ｎ１３０_Ｎの処理を行うこともあり得る。したがって、セッション鍵生成部１２３_Ｍは、

σ_２＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ
σ_３＝Ｙ_０＾ｘ
のようにσ_１，σ_２，σ_３を求めることもできるようにすればよい。そして、この場合は、どちらの方法でσ_１，σ_２，σ_３を求めるかは、鍵交換システムのルールとしてあらかじめ定めておけばよい。

本実施例の鍵交換装置によれば、相手の鍵交換装置のＩＤに対応する短期公開鍵を計算する際に、短期秘密鍵をそのままべき乗するのではなく、長期秘密鍵と短期秘密鍵のハッシュ値をべき乗する。したがって、短期秘密鍵が漏れても、長期秘密鍵が漏れない限りハッシュ値の値は分からない。このように片方の秘密鍵が漏洩したとしても攻撃者は共有鍵を求めることができない。したがって、本発明の鍵交換装置は高い安全性を有している。

［変形例１］
実施例１では、各鍵交換装置１２０_ｍ，１３０_ｎが長期秘密鍵生成部１４２_ｍ，１４３_ｎを備え、長期秘密鍵生成部１４２_１，…，１４２_Ｍ，１４３_１，…，１４３_Ｎのすべてを合わせたものが、鍵交換システムの長期秘密鍵生成手段であった。しかし、長期秘密鍵生成部１４２_１，…，１４２_Ｍ，１４３_１，…，１４３_Ｎを１つの装置にまとめてもよいし、何個かに分散させてもよい。また、識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）の鍵交換装置Ａ_Ｍ１２０_Ｍと識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）の鍵交換装置Ｂ_Ｎ１３０_Ｎとが鍵交換を行うときに、他の鍵交換装置は必要ない。そして、何らかの方法で、鍵交換装置Ａ_Ｍ１２０_Ｍが長期秘密鍵（Ｓ_Ａ，ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，ｍ）を記録し、鍵交換装置Ｂ_Ｎ１３０_Ｎが長期秘密鍵（Ｓ_Ｂ，ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，ｎ）を記録していれば、鍵交換を行うことができる。さらに、マスタ鍵生成手段と長期秘密鍵生成手段は、鍵交換システムの外部の装置が備え、必要に応じてネットワークを介して接続してもよい。

図７は、仮想的な階層構造を示す図であり、点線で示した装置は実在しなくてもよい。鍵交換装置Ａ_Ｍ１２０_Ｍと鍵交換装置Ｂ_Ｎ１３０_Ｎとは、このような仮想的な階層構造での識別子を有していてもよいし、実在する鍵交換装置によって形成された階層構造での識別子を有していてもよい。図８に示すように鍵交換システムが、マスタ鍵生成手段１１０、鍵交換装置Ａ_Ｍ２２０_Ｍ、鍵交換装置Ｂ_Ｎ２３０_Ｎ、長期秘密鍵生成手段２４０を備えればよい。本変形例では、鍵交換装置Ａ_Ｍ２２０_Ｍの長期秘密鍵も鍵交換装置Ｂ_Ｎ２３０_Ｎの長期秘密鍵も、長期秘密鍵生成手段２４０が生成する。したがって、鍵交換装置Ａ_Ｍ２２０_Ｍと鍵交換装置Ｂ_Ｎ２３０_Ｎは、長期秘密鍵生成部１４２_Ｍ，１４３_Ｎを備えていない。長期秘密鍵生成手段２４０は、乱数生成部１４４、情報取得部１４５、長期秘密鍵計算部１４６、記録部１４９を備えている。

本変形例では、情報取得部１４５が、マスタ鍵生成手段１１０が生成した最上位の階層の鍵交換装置用のすべてのＰ_１とＳ_１を取得した上で、図５の処理フローすべてを長期秘密鍵生成手段２４０が行う。図５の処理が終了したときには、鍵交換装置Ａ_Ｍ１２０_Ｍは長期秘密鍵（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録しており、鍵交換装置Ｂ_Ｎ１３０_Ｎは、長期秘密鍵（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録している。そして、
ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
とすると、
１〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
が成り立つ関係となっている。

鍵を共有する処理のフローは図６と同じであり、実施例１とまったく同じなので説明は省略する。本変形例の場合も、鍵交換装置Ａ_Ｍ１２０_Ｍが長期秘密鍵（Ｓ_Ａ，ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，ｍ）を記録し、鍵交換装置Ｂ_Ｎ１３０_Ｎが長期秘密鍵（Ｓ_Ｂ，ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，ｎ）を記録しているので、実施例１と同じ鍵交換を実行でき、同じ効果が得られる。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１１０ マスタ鍵生成手段
１２０、１３０、２２０、２３０、９２０、９３０ 鍵交換装置
１２１、１３１ 短期鍵生成部 １２２、１３２ 短期公開鍵受信部
１２３、１３３ セッション鍵生成部 １２４、１３４ 乱数生成部
１２５、１３５ 情報取得部 １２６、１３６ 長期秘密鍵計算部
１２９、１３９ 記録部 １４２、１４３ 長期秘密鍵生成部
１４４ 乱数生成部 １４５ 情報取得部
１４６ 長期秘密鍵計算部 １４９ 記録部
２４０ 長期秘密鍵生成手段 ９１０ 鍵生成手段
１０００ ネットワーク

Claims (10)

1. 鍵交換を行う鍵交換装置であって、
   ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈは任意長の整数をｋビットの整数に変換するハッシュ関数、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_Ａ，ｍとＩＤ_Ｂ，ｍは任意の整数、ｓ_０とｓ_Ａ，ｍとｓ_Ｂ，ｎはランダムに選択された０以上ｐ−１以下の整数、Ｓ_０は群Ｇの単位元、Ｐ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０、＾はべき乗を示す記号であり、
   当該鍵交換装置は、識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）であり、長期秘密鍵として（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録しており、
   鍵交換を行う相手の鍵交換装置は、識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録しており、
   ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
   Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
   とすると、
   １〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
   Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
   Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
   Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
   Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
   Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
   Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
   の関係であり、
   ０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｘ^〜とし、ｘ＝Ｈ_２（Ｓ_Ａ，Ｍ，ｘ^〜）を計算し、（Ｐ_０＾ｘ，Ｐ_Ｂ，２＾ｘ，…，Ｐ_Ｂ，Ｎ＾ｘ）を短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）とし、当該短期公開鍵ｅｐｋ_Ｂを前記の相手の鍵交換装置に送信する短期鍵生成部と、
   前記の相手の鍵交換装置から、短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）を受信する短期公開鍵受信部と、
   σ_１＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ
   

   

   σ_３＝Ｙ_０＾ｘ
   を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求めるセッション鍵生成部と
   を備える鍵交換装置。
2. 鍵交換を行う鍵交換装置であって、
   ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈは任意長の整数をｋビットの整数に変換するハッシュ関数、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_Ａ，ｍとＩＤ_Ｂ，ｍは任意の整数、ｓ_０とｓ_Ａ，ｍとｓ_Ｂ，ｎはランダムに選択された０以上ｐ−１以下の整数、Ｓ_０は群Ｇの単位元、Ｐ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０、＾はべき乗を示す記号であり、
   当該鍵交換装置は、識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録しており、
   鍵交換を行う相手の鍵交換装置は、識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）であり、長期秘密鍵として（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録しており、
   ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
   Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
   とすると、
   １〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
   Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
   Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
   Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
   Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
   Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
   Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
   の関係であり、
   前記の相手の鍵交換装置から、短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）を受信する短期公開鍵受信部と、
   ０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｙ^〜とし、ｙ＝Ｈ_２（Ｓ_Ｂ，Ｎ，ｙ^〜）を計算し、（Ｐ_０＾ｙ，Ｐ_Ａ，２＾ｙ，…，Ｐ_Ａ，Ｍ＾ｙ）を短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）とし、当該短期公開鍵ｅｐｋ_Ａを前記の相手の鍵交換装置に送信する短期鍵生成部と、
   

   

   σ_２＝ｅ（Ｑ_０，Ｐ_Ａ，１）＾ｙ
   σ_３＝Ｘ_０＾ｙ
   を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求めるセッション鍵生成部と
   を備える鍵交換装置。
3. 請求項１記載の鍵交換装置であって、
   ０以上ｐ−１以下の整数の中からランダムに整数を選択する乱数生成部と、
   当該鍵交換装置の外部から情報を取得する情報取得部と、
   長期秘密鍵（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を生成する長期秘密鍵計算部
   も備え、
   前記のｓ_Ａ，Ｍは、前記乱数生成部が生成したものであり、
   前記のＳ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_{Ａ，Ｍ−１}は、前記情報取得部が取得したものであり、
   前記のＱ_Ａ，Ｍは、前記長期秘密鍵計算部がＱ_Ａ，Ｍ＝Ｐ_０＾ｓ_Ａ，Ｍのように求めたものであり、
   前記長期秘密鍵計算部は、
   さらに、
   識別子が（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ，ＩＤ_{Ａ，Ｍ＋１}）の鍵交換装置のために、
   Ｐ_{Ａ，Ｍ＋１}＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ，ＩＤ_{Ａ，Ｍ＋１}）
   Ｓ_{Ａ，Ｍ＋１}＝Ｓ_Ａ，ＭＰ_{Ａ，Ｍ＋１}＾ｓ_Ａ，Ｍ
   を計算する
   ことを特徴とする鍵交換装置。
4. 請求項２記載の鍵交換装置であって、
   ０以上ｐ−１以下の整数の中からランダムに整数を選択する乱数生成部と、
   当該鍵交換装置の外部から情報を取得する情報取得部と、
   長期秘密鍵（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を生成する長期秘密鍵計算部
   も備え、
   前記のｓ_Ｂ，Ｎは、前記乱数生成部が生成したものであり、
   前記のＳ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_{Ａ，Ｎ−１}は、前記情報取得部が取得したものであり、
   前記のＱ_Ｂ，Ｎは、前記長期秘密鍵計算部がＱ_Ｂ，Ｎ＝Ｐ_０＾ｓ_Ｂ，Ｎのように求めたものであり、
   前記長期秘密鍵計算部は、
   さらに、
   識別子が（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ，ＩＤ_{Ｂ，Ｎ＋１}）の鍵交換装置のために、
   Ｐ_{Ｂ，Ｎ＋１}＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ，ＩＤ_{Ｂ，Ｎ＋１}）
   Ｓ_{Ｂ，Ｎ＋１}＝Ｓ_Ｂ，ＮＰ_{Ｂ，Ｎ＋１}＾ｓ_Ｂ，Ｎ
   を計算する
   ことを特徴とする鍵交換装置。
5. 請求項１または３記載の鍵交換装置であって、
   前記セッション鍵生成部が、
   

   

   σ_２＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ
   σ_３＝Ｙ_０＾ｘ
   のように前記のσ_１，σ_２，σ_３を求めることもでき、どちらの方法でσ_１，σ_２，σ_３を求めるかは、あらかじめ定めた方法に従う
   ことを特徴とする鍵交換装置。
6. 請求項１記載の鍵交換装置と、
   請求項２記載の鍵交換装置と、
   を備える鍵交換システム。
7. 請求項６記載の鍵交換システムであって、
   マスタ鍵生成手段と、
   長期秘密鍵生成手段
   も備え、
   前記マスタ鍵生成手段は、
   前記のｓ_０を生成し、前記のＳ_０を群Ｇの単位元に設定し、前記のＰ_０とＱ_０をＰ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０のように求め、前記のＰ_０とＱ_０を公開し、
   前記のＰ_Ａ，１、Ｓ_Ａ，１を
   Ｐ_Ａ，１＝Ｈ_１（ＩＤ_Ａ，１）
   Ｓ_Ａ，１＝Ｓ_０Ｐ_Ａ，１＾ｓ_０
   のように求め、
   前記のＩＤ_Ｂ，１≠ＩＤ_Ａ，１の場合は、前記のＰ_B，１、Ｓ_B，１を
   Ｐ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ，１）
   Ｓ_Ｂ，１＝Ｓ_０Ｐ_Ｂ，１＾ｓ_０
   のように求め、
   長期秘密鍵生成手段は、
   ０以上ｐ−１以下の整数の中からランダムに整数を選択する乱数生成部と、
   前記のＳ_Ａ，１，Ｓ_Ｂ，１を取得する情報取得部と、
   長期秘密鍵を生成する長期秘密鍵計算部と
   を有し、
   前記乱数生成部が前記のｓ_Ａ，ｍを生成し、
   前記長期秘密鍵計算部が、
   前記のＱ_Ａ，ｍをＱ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍのように求め、
   前記のＰ_{Ａ，ｍ＋１}とＳ_{Ａ，ｍ＋１}を
   Ｐ_{Ａ，ｍ＋１}＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ，ＩＤ_{Ａ，ｍ＋１}）
   Ｓ_{Ａ，ｍ＋１}＝Ｓ_Ａ，ｍＰ_{Ａ，ｍ＋１}＾ｓ_Ａ，ｍ
   のように求める処理をｍ＝１〜Ｍ−１まで繰返し、
   前記乱数生成部が前記のｓ_Ａ，Ｍを生成し、
   前記長期秘密鍵計算部が、
   前記のＱ_Ａ，ＭをＱ_Ａ，Ｍ＝Ｐ_０＾ｓ_Ａ，Ｍのように求め、
   （Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を請求項１記載の鍵交換装置の長期秘密鍵とし、
   ｎ＜Ｍ−１かつ（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ，ＩＤ_{Ｂ，ｎ＋１}）≠（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｎ，ＩＤ_{Ａ，ｎ＋１}）の場合に、
   前記乱数生成部が前記のｓ_Ｂ，ｎを生成し、
   前記長期秘密鍵計算部が、
   前記のＱ_Ｂ，ｎをＱ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎのように求め、
   前記のＰ_{Ｂ，ｎ＋１}とＳ_{Ｂ，ｎ＋１}を
   Ｐ_{Ｂ，ｎ＋１}＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ，ＩＤ_{Ｂ，ｎ＋１}）
   Ｓ_{Ｂ，ｎ＋１}＝Ｓ_Ｂ，ｎＰ_{Ｂ，ｎ＋１}＾ｓ_Ｂ，ｎ
   のように求める処理をｎ＝１〜Ｎ−１まで繰返し、
   前記乱数生成部が前記のｓ_Ｂ，Ｎを生成し、
   前記長期秘密鍵計算部が、
   前記のＱ_Ｂ，ＮをＱ_Ｂ，Ｎ＝Ｐ_０＾ｓ_Ｂ，Ｎのように求め、
   （Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を請求項２記載の鍵交換装置の長期秘密鍵とする
   鍵交換システム。
8. 識別子がＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）であり、長期秘密鍵として（Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を記録する鍵交換装置Ａ_Ｍと、識別子がＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）であり、長期秘密鍵として（Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を記録する鍵交換装置Ｂ_Ｎとが鍵交換を行う鍵交換方法であって、
   ｋは整数、ｐはｋビットの素数、ＧとＧ_Ｔは位数ｐの巡回群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形ペアリング関数、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈは任意長の整数をｋビットの整数に変換するハッシュ関数、Ｍ、Ｎは整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、ＩＤ_Ａ，ｍとＩＤ_Ｂ，ｍは任意の整数、ｓ_０とｓ_Ａ，ｍとｓ_Ｂ，ｎはランダムに選択された０以上ｐ−１以下の整数、Ｓ_０は群Ｇの単位元、＾はべき乗を示す記号であり、
   ｓ_Ａ，０＝ｓ_Ｂ，０＝ｓ_０
   Ｓ_Ａ，０＝Ｓ_Ｂ，０＝Ｓ_０
   とすると、
   １〜Ｍのすべてのｍと１〜Ｎのすべてのｎについて、
   Ｐ_Ａ，ｍ＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ）
   Ｓ_Ａ，ｍ＝Ｓ_{Ａ，ｍ−１}Ｐ_Ａ，ｍ＾ｓ_{Ａ，ｍ−１}
   Ｑ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍ
   Ｐ_Ｂ，ｎ＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ）
   Ｓ_Ｂ，ｎ＝Ｓ_{Ｂ，ｎ−１}Ｐ_Ｂ，ｎ＾ｓ_{Ｂ，ｎ−１}
   Ｑ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎ
   の関係であり、
   鍵交換装置Ａ_Ｍが、
   ０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｘ^〜とし、ｘ＝Ｈ_２（Ｓ_Ａ，Ｍ，ｘ^〜）を計算し、（Ｐ_０＾ｘ，Ｐ_Ｂ，２＾ｘ，…，Ｐ_Ｂ，Ｎ＾ｘ）を短期公開鍵ｅｐｋ_Ｂ＝（Ｘ_０，Ｘ_Ｂ，２，…，Ｘ_Ｂ，Ｎ）とし、当該短期公開鍵ｅｐｋ_Ｂを鍵交換装置Ｂ_Ｎに送信し、
   鍵交換装置Ｂ_Ｎが、
   鍵交換装置Ａ_Ｍから、前記短期公開鍵ｅｐｋ_Ｂを受信し、
   ０以上ｐ−１以下の整数の中からランダムに選択した整数を短期秘密鍵ｙ^〜とし、ｙ＝Ｈ_２（Ｓ_Ｂ，Ｎ，ｙ^〜）を計算し、（Ｐ_０＾ｙ，Ｐ_Ａ，２＾ｙ，…，Ｐ_Ａ，Ｍ＾ｙ）を短期公開鍵ｅｐｋ_Ａ＝（Ｙ_０，Ｙ_Ａ，２，…，Ｙ_Ａ，Ｍ）とし、当該短期公開鍵ｅｐｋ_Ａを鍵交換装置Ａ_Ｍに送信し、
   

   

   σ_２＝ｅ（Ｑ_０，Ｐ_Ａ，１）＾ｙ
   σ_３＝Ｘ_０＾ｙ
   を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求め、
   鍵交換装置Ａ_Ｍが、
   鍵交換装置Ｂ_Ｎから、前記短期公開鍵ｅｐｋ_Ａを受信し、
   σ_１＝ｅ（Ｑ_０，Ｐ_Ｂ，１）＾ｘ
   

   

   σ_３＝Ｙ_０＾ｘ
   を計算し、σ_１，σ_２，σ_３とハッシュ関数Ｈを用いてセッション鍵Ｋを求める
   鍵交換方法。
9. 請求項８記載の鍵交換方法であって、
   マスタ鍵生成手段が、
   前記のｓ_０を生成し、前記のＳ_０を群Ｇの単位元に設定し、前記のＰ_０とＱ_０をＰ_０＝ｇ、Ｑ_０＝Ｐ_０＾ｓ_０のように求め、前記のＰ_０とＱ_０を公開し、
   前記のＰ_Ａ，１、Ｓ_Ａ，１を
   Ｐ_Ａ，１＝Ｈ_１（ＩＤ_Ａ，１）
   Ｓ_Ａ，１＝Ｓ_０Ｐ_Ａ，１＾ｓ_０
   のように求め、
   前記のＩＤ_Ｂ，１≠ＩＤ_Ａ，１の場合は、前記のＰ_B，１、Ｓ_B，１を
   Ｐ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ，１）
   Ｓ_Ｂ，１＝Ｓ_０Ｐ_Ｂ，１＾ｓ_０
   のように求め、
   長期秘密鍵生成手段が、
   ０以上ｐ−１以下の整数の中からランダムに前記のｓ_Ａ，ｍを生成し、
   前記のＱ_Ａ，ｍをＱ_Ａ，ｍ＝Ｐ_０＾ｓ_Ａ，ｍのように求め、
   前記のＰ_{Ａ，ｍ＋１}とＳ_{Ａ，ｍ＋１}を
   Ｐ_{Ａ，ｍ＋１}＝Ｈ_１（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｍ，ＩＤ_{Ａ，ｍ＋１}）
   Ｓ_{Ａ，ｍ＋１}＝Ｓ_Ａ，ｍＰ_{Ａ，ｍ＋１}＾ｓ_Ａ，ｍ
   のように求める処理をｍ＝１〜Ｍ−１まで繰返し、
   ０以上ｐ−１以下の整数の中からランダムに前記のｓ_Ａ，Ｍを生成し、
   前記のＱ_Ａ，ＭをＱ_Ａ，Ｍ＝Ｐ_０＾ｓ_Ａ，Ｍのように求め、
   （Ｓ_Ａ，Ｍ，Ｑ_Ａ，１，…，Ｑ_Ａ，Ｍ）を鍵交換装置Ａ_Ｍの前記長期秘密鍵とし、
   ｎ＜Ｍ−１かつ（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ，ＩＤ_{Ｂ，ｎ＋１}）≠（ＩＤ_Ａ，１，…，ＩＤ_Ａ，ｎ，ＩＤ_{Ａ，ｎ＋１}）の場合に、
   ０以上ｐ−１以下の整数の中からランダムに前記のｓ_Ｂ，ｎを生成し、
   前記のＱ_Ｂ，ｎをＱ_Ｂ，ｎ＝Ｐ_０＾ｓ_Ｂ，ｎのように求め、
   前記のＰ_{Ｂ，ｎ＋１}とＳ_{Ｂ，ｎ＋１}を
   Ｐ_{Ｂ，ｎ＋１}＝Ｈ_１（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，ｎ，ＩＤ_{Ｂ，ｎ＋１}）
   Ｓ_{Ｂ，ｎ＋１}＝Ｓ_Ｂ，ｎＰ_{Ｂ，ｎ＋１}＾ｓ_Ｂ，ｎ
   のように求める処理をｎ＝１〜Ｎ−１まで繰返し、
   ０以上ｐ−１以下の整数の中からランダムに前記のｓ_Ｂ，Ｎを生成し、
   前記のＱ_Ｂ，ＮをＱ_Ｂ，Ｎ＝Ｐ_０＾ｓ_Ｂ，Ｎのように求め、
   （Ｓ_Ｂ，Ｎ，Ｑ_Ｂ，１，…，Ｑ_Ｂ，Ｎ）を鍵交換装置Ｂ_Ｎの前記長期秘密鍵とする
   鍵交換方法。
10. 請求項１から５のいずれかに記載の鍵交換装置としてコンピュータを機能させる鍵交換プログラム。

Images