JP2017208773A

JP2017208773A - 共有鍵共有システム、方法、クライアント装置、マスタ公開鍵保管サーバ及びプログラム

Info

Publication number: JP2017208773A
Application number: JP2016101710A
Authority: JP
Inventors: 恆和齋藤; Tsunekazu Saito; 鉄太郎小林; Tetsutaro Kobayashi
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2016-05-20
Filing date: 2016-05-20
Publication date: 2017-11-24

Abstract

【課題】従来よりも秘密鍵管理の利便性を向させた共有鍵共有技術を提供する。
【解決手段】秘密鍵Ｄ_Ａ，１を秘匿化された秘密鍵δ_Ａ，１とｐｉｎとに分割し、秘密鍵Ｄ_Ｂ，２を秘匿化された秘密鍵δ_Ｂ，２とｐｉｎとに分割する。そして、秘匿化された秘密鍵δ_Ａ，１，δ_Ｂ，２とｐｉｎの２要素によって認証鍵交換する。このようにすることで、秘匿化された秘密鍵かｐｉｎのどちらか片方が漏洩しても安全であり、秘匿化された秘密鍵をブラウザ等の利便性の高い領域などに保管することができる。よって、秘密鍵管理の利便性が向上する。
【選択図】図１

Description

この発明は、暗号技術に関する。特に、共有鍵を共有するための技術に関する。

従来の技術として、ＩＤベース認証鍵交換ＦＳＵについて説明する。

以下、群の計算を乗法と仮定するが、任意の演算についても同様な議論が行うことができ、一般性を失うことは無い、また、巡回群Ｇ_１，Ｇ_２，Ｇ_Ｔに対して、ペアリング

が用いられるが、非対称ペアリングを用いた記述とし、対称ペアリングを用いた場合も包含するものとする。また、Ｇ_１とＧ_２の役割を逆にしても一般生を失わずに同様に行えるので、その記述は省略する。

［認証鍵交換ＦＳＵについてのプロトコル］
ＴＬＳなどの多くの暗号通信は、正しい相手かどうかを認証し、鍵交換を行い、その後に共有したセッション鍵を用いた共通鍵暗号方式で暗号・復号の機能を利用し実現されている。例えば非特許文献１，２に記載された認証鍵交換ＦＳＵは、認証及び鍵交換の方式であり、秘密鍵の漏洩に対して最も強い安全性を満足することが証明されている暗号方式である。具体的に最も強い安全性とは、認証鍵交換のための秘密鍵には短期秘密鍵と長期秘密鍵の２種類があり、発信者と受信者の秘密鍵のどの非自明な秘密鍵の組み合わせの漏洩（例えば、発信者の短期秘密鍵と受信者の短期秘密鍵の漏洩）に対して交換されるセッショの漏洩が無いことである。

認証鍵交換ＦＳＵには、３つの方式が存在する。第１の方式はＩＤベース方式（例えば、ＩＤ−ＩＤ−ＦＳＵ）であり、第２の方式はＰＫＩベース方式であり、第３の方式はＩＤベース方式及びＰＫＩベース方式の組み合わせの方式（例えば、Ｃｅｒｔ−ＩＤ−ＦＳＵ）である。以下では、ＩＤ−ＩＤ−ＦＳＵ及びＣｅｒｔ−ＩＤ−ＦＳＵのそれぞれについて説明する。

［［ＩＤ−ＩＤ−ＦＳＵ］］
（登場する装置）
・第一クライアント装置Ｕ_Ａ及び第二クライアント装置Ｕ_Ｂ
・鍵生成装置ＫＧＣ
以下、第一クライアント装置Ｕ_Ａ、第二クライアント装置Ｕ_Ｂ及び鍵生成装置ＫＧＣのことをそれぞれＵ_Ａ，Ｕ_Ｂ，ＫＧＣと略記することもある。

（公開パラメータ）
・ｋをセキュリティパラメタとする。
・Ｇ_１，Ｇ_２とＧ_Ｔを位数がｋビット長の素数ｑの巡回群として、ｇ_１，ｇ_２とｇ_Ｔをそれぞれの群の生成元とする。
・ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとする。ここで、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足するものとする。
・Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１とＨ_２：｛０，１｝^＊→Ｇ_２をそれぞれ暗号学的Ｈａｓｈ関数とする。
・２以上の自然数ｍに対して、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝ｌ，．．．，ｍ）を以下のように与える；

ここで、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}とｃ_{ｉ，１，１}は定数であってもよいし、短期公開鍵、公開鍵、ユーザＩＤ等に依存して決まる数でもよい。
・ＫＧＣはマスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択し、マスタ公開鍵Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を公開する。
・Ｕ_Ａは識別子ＩＤ_Ａを持っていて、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を計算し公開する。同じように、Ｕ_Ｂは識別子ＩＤ_Ｂを持っていて、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）∈Ｇ_１とＱ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）∈Ｇ_２を計算し公開する。

（鍵生成）
ＫＧＣはＵ_ＡとＵ_Ｂの（Ｑ_Ａ，１，Ｑ_Ａ，２）と（Ｑ_Ｂ，１，Ｑ_Ｂ，２）を用いて、秘密鍵の２つのペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚとＤ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ｂ，２ ^ｚを計算し、Ｕ_Ａに（Ｄ_Ａ，１，Ｄ_Ａ，２）を、Ｕ_Ｂに（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を配布する。
Ｕ_Ａは短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ａ，１＝ｇ_１ ^ｘＡとＸ_Ａ，２＝ｇ_２ ^ｘＡを生成する。同様に、Ｕ_Ｂは短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ｂ，１＝ｇ_１ ^ｘＢとＸ_Ｂ，２＝ｇ_２ ^ｘＢを生成する。

（鍵交換）
（１）．Ｕ_ＡはＵ_Ｂへ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を送信する。
（２）．Ｕ_ＢはＵ_Ａへ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を送信する。
（３）．Ｕ_Ａはｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか確認し、Ｕ_Ｂはｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか確認する。正しくなければ、鍵生成からやり直す。

（４）．Ｕ_Ａは以下の（ａ）〜（ｃ）を行う。
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃｉ，０，０}Ｚ_１ ^{ｃｉ，１，０ｘＡ}，Ｑ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃｉ，０，１}Ｚ_１ ^{ｃｉ，１，１ｘＡ}，Ｘ_Ｂ，２）を計算する。
（ｂ）σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（ｃ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

（５）．同じように、Ｕ_Ｂは以下の（ａ）〜（ｃ）を行う。
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｄ_Ｂ，２ ^{ｃｉ，０，０}Ｚ_２ ^{ｃｉ，０，１ｘＢ}）ｅ（Ｘ_Ｂ，１，Ｄ_Ｂ，２ ^{ｃｉ，１，０}Ｚ_２ ^{ｃｉ，１，１ｘＢ}）を計算する。
（ｂ）σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（ｃ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

（６）．Ｕ_ＡとＵ_Ｂが計算した値σ_ｉは
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｇ_Ｔ ^{ｚｐｉ（ｑＡ，１，ｑＢ，２，ｘＡ，ｘＢ）}，（Ｑ_Ａ，１＝ｇ_１ ^ｑＡ，１，Ｑ_Ｂ，２＝ｇ_２ ^ｑＢ，２）
（ｂ）σ_ｍ＋１＝ｇ_１ ^ｘＡｘＢ，σ_ｍ＋２＝ｇ_２ ^ｘＡｘＢ
となるので、両者で計算した共有鍵Ｋは一致する。

なお、非特許文献１の中では、ｍ＝２として、多項式ｐ_ｉを以下のようにしている。

［［Ｃｅｒｔ−ＩＤ−ＦＳＵ］］
（登場する装置）
・第一クライアント装置Ｕ_Ａと第二クライアント装置Ｕ_Ｂ
・鍵生成装置ＫＧＣ
・認証装置

（公開パラメータ）
・ｋをセキュリティパラメタとする。
・Ｇ_１，Ｇ_２とＧ_Ｔを位数がｋビット長の素数ｑの巡回群として、ｇ_１，ｇ_２とｇ_Ｔをそれぞれの群の生成元とする。
・ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとする。ここで、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足するものとする。
・Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１とＨ_２：｛０，１｝^＊→Ｇ_２をそれぞれ暗号学的Ｈａｓｈ関数とする。
・２以上の自然数ｍに対して、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，．．．，ｍ）を以下のように与える；

ここで、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}とｃ_{ｉ，１，１}は定数であってもよいし、短期公開鍵、公開鍵、ユーザＩＤ等に依存して決まる数でもよい。
・ＫＧＣはマスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択し、マスタ公開鍵Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を公開する。
・Ｕ_Ａは識別子ＩＤ_Ａを持っていて、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を計算し公開する。

（鍵生成）
ＫＧＣはＵ_Ａの（Ｑ_Ａ，１，Ｑ_Ａ，２）を用いて、秘密鍵のペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、Ｕ_Ａに（Ｄ_Ａ，１，Ｄ_Ａ，２）を配布する。

Ｕ_Ｂは秘密鍵ｄ_Ｂ∈Ｚ_ｑを持っていて、公開鍵Ｄ_Ｂ，１＝ｇ_１ ^ｄＢ∈Ｇ_１とＤ_Ｂ，２＝ｇ_１ ^ｄＢ∈Ｇ_２を計算し公開する。

認証装置はＵ_Ｂの公開鍵Ｄ_Ｂを認証する。

Ｕ_Ａは短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ａ，１＝ｇ_１ ^ｘＡとＸ_Ａ，２＝ｇ_２ ^ｘＡを生成する。同様に、Ｕ_Ｂは短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ｂ，１＝ｇ_１ ^ｘＢとＸ_Ｂ，２＝ｇ_２ ^ｘＢを生成する。

（鍵交換）
（１）．Ｕ_ＡはＵ_Ｂへ（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）を送信する。
（２）．Ｕ_ＢはＵ_Ａへ（Ｄ_Ｂ，１，Ｄ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を送信する。
（３）．Ｕ_Ａはｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるかとｅ（Ｓ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｓ_Ｂ，２）確認し、Ｕ_Ｂはｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか確認する。正しくなければ、鍵生成からやり直す。

（４）．Ｕ_Ａは以下の（ａ）〜（ｃ）を行う。
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃｉ，０，０}Ｚ_１ ^{ｃｉ，１，０ｘＡ}，Ｓ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃｉ，０，１}Ｚ_１ ^{ｃｉ，１，１ｘＡ}，Ｘ_Ｂ，２）を計算する。
（ｂ）σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（ｃ）σ_ｍ＋３＝Ｄ_Ｂ，１ ^ｘＡ，σ_ｍ＋４＝Ｄ_Ｂ，２ ^ｘＡを計算する。
（ｄ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算する。

（５）．Ｕ_Ｂは以下の（ａ）〜（ｃ）を行う。
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｚ_２ ^{ｃｉ，０，０ＳＢ＋ｃｉ，０，１，ｘＢ}）ｅ（Ｘ_Ａ，２，Ｚ_２ ^{ｃｉ，１，０ＳＢ＋ｃｉ，１，１ｘＢ}）を計算する。
（ｂ）σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（ｃ）σ_ｍ＋３＝Ｘ_Ａ，１ ^ｄＢ，σ_ｍ＋４＝Ｘ_Ａ，２ ^ｄＢを計算する。
（ｄ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算する。

（６）．Ｕ_ＡとＵ_Ｂが計算した値σ_ｉは
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｇ_Ｔ ^{ｚｐｉ（ｑＡ，１，ＳＢ，ｘＡ，ｘＢ）}，（Ｑ_Ａ，１＝ｇ_１ ^ｑＡ，１）
（ｂ）σ_ｍ＋１＝ｇ_１ ^ｘＡｘＢ，σ_ｍ＋２＝ｇ_２ ^ｘＡｘＢ
（ｃ）σ_ｍ＋３＝ｇ_１ ^ｘＡｄＢ，σ_ｍ＋４＝ｇ_２ ^ｘＡｄＢ
となるので、両者で計算した共有鍵Ｋは一致する。

A. Fujioka, F. Hoshino, T. Kobayashi, et. al. "id-eCK Secure ID-Based Authenticated Key Exchange on Symmetric and Asymmetric Pairing", IEICE Transactions 96-A(6): 1139-1155 (2013) B. Ustaoglu, "Integrating identity-based and certicate-based authenticated key exchange protocols", Int J Inf Secur 10(4): 201―212 (2011)

従来の認証鍵交換ＦＳＵにおいては、秘密鍵の管理を厳重に行う必要があった。例えば、ＩＤに紐づく長期秘密鍵を耐タンパ性のある領域に保存するなどして厳重に行う必要があった。

この発明の目的は、従来よりも秘密鍵管理の利便性を向させた、共有鍵共有システム、方法、クライアント装置、マスタ公開鍵保管サーバ及びプログラムを提供することである。

この発明の一態様による共有鍵共有システムは、第一クライアント装置、第二クライアント装置、鍵生成装置及びマスタ公開鍵保管サーバを含む共有鍵共有システムであって、ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、上記第二クライアント装置の識別子をＩＤ_Ｂとし、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）とし、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）として、上記鍵生成装置は、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信し、上記鍵生成装置は、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信し、上記第一クライアント装置は、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算し、上記第二クライアント装置は、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、Ａ_Ｂ，１＝Ｑ_Ｂ，１ ^αＢを生成し、Ｄ_Ｂ，１’＝Ｄ_Ｂ，１Ａ_Ｂ，１ ^−１を計算し、上記第一クライアント装置は、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成し、上記第二クライアント装置は、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成し、上記第一クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信し、上記第二クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信し、上記第一クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定し、上記第二クライアント装置は、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか判定し、上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であると判定されるまで、上記の処理を繰り返し行い、上記第一クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせ、上記マスタ公開鍵保管サーバは、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行い、上記第一クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算し、

上記第二クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせ、上記マスタ公開鍵保管サーバは、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行い、上記第二クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

この発明の一態様による共有鍵共有システムは、第一クライアント装置、第二クライアント装置、鍵生成装置、認証装置及びマスタ公開鍵保管サーバを含む共有鍵共有システムであって、ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、ｄ_Ｂ∈Ｚ_ｑとし、Ｄ_Ｂ，１＝ｇ_１ ^ｄＢ∈Ｇ_１とし、Ｄ_Ｂ，２＝ｇ_２ ^ｄＢ∈Ｇ_２として、上記鍵生成装置は、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信し、上記鍵生成装置は、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信し、上記認証装置は、第二クライアント装置のＤ_Ｂ，１，Ｄ_Ｂ，２を認証し、上記第一クライアント装置は、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算し、上記第二クライアント装置は、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、σ_Ｂ＝ｄ_Ｂ−α_Ｂを計算し、上記第一クライアント装置は、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成し、上記第二クライアント装置は、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成し、上記第一クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信し、上記第二クライアント装置は、（Ｄ_Ｂ，１，Ｄ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信し、上記第一クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定し、上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｄ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｄ_Ｂ，２）であると判定されるまで、上記の処理を繰り返し行い、上記第一クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせ、上記マスタ公開鍵保管サーバは、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行い、上記第一クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡ，σ_ｍ＋３＝Ｄ_Ｂ，１ ^ｘＡ，σ_ｍ＋４＝Ｄ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算し、

上記第二クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせ、上記マスタ公開鍵保管サーバは、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行い、上記第二クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢ，σ_ｍ＋３＝Ｘ_Ａ，１ ^σＢＸ_Ａ，１ ^αＢ，σ_ｍ＋４＝Ｘ_Ａ，２ ^σＢＸ_Ａ，２ ^αＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）を計算する。

秘密鍵管理の利便性が向上する。

第一実施形態の共有鍵共有システムの例を説明するためのブロック図。第二実施形態の共有鍵共有システムの例を説明するためのブロック図。

以下、図面を参照して、この発明の一実施形態について説明する。

まず、この発明の一実施形態において用いられる技術である、自己訂正技術を用いた群準同型の代理計算について説明する。

［自己訂正技術を用いた群準同型の代理計算］
以下、自己訂正技術を用いた群準同型の代理計算について説明する。

二つの群Ｇ，Ｈとその間の準同型写像をＦ：Ｇ→Ｈとする。クライアント装置Ｕはｇ∈Ｇを秘匿化し代理計算装置Ｐに送信し、代わりにＦ（ｇ）を正しく計算してもらう手法を説明する（例えば、参考文献１参照。）。

〔参考文献１〕特開２０１２−１５１７５６号公報
１．クライアント装置Ｕは単位元でない適当な元ｇ_０∈Ｇに対してＦ（ｇ_０）を計算する。
２．クライアント装置Ｕはランダムな整数ｓ_１，ｓ_２∈Ｚを互いに素になるようにとり、ｓ’_１とｓ’_２をｓ_１ｓ’_１＋ｓ_２ｓ’_２＝１を満足するに定める。
３．Ｕは任意の単位元でない元ｇ_１，ｇ_２∈Ｇを定め、Ｐへ二つのペア（ｇ_１ ^−１，ｇ_１ｇ^ｓ１）と（ｇ_２ ^−１，ｇ_２ｇ^ｓ２）を送信する。
４．Ｐはζ_１＝Ｆ（ｇ_１ ^−１）Ｆ（ｇ_１ｇ^ｓ１）とζ_２＝Ｆ（ｇ_２ ^−１）Ｆ（ｇ_２ｇ^ｓ２）を計算し、Ｕへ送信する。
５．Ｕはζ_１ ^ｓ２＝ζ_２ ^ｓ１を確認する。正しくなければ、（１）に戻る。正しければ、ζ_１ ^ｓ’１ζ_２ ^ｓ’２＝Ｆ（ｇ^{ｓ１ｓ’１＋ｓ２ｓ’２}）＝Ｆ（ｇ）を計算する。

自己訂正技術を用いた代理計算のポイントは２つである。計算させる写像が準同型写像であることと適当な元ｇ_０に対してクライアント装置がＦ（ｇ_０）の正しい値を知っていることである。

［第一実施形態］
以下、第一実施形態の共有鍵共有システム及び方法について説明する。第一実施形態の共有鍵共有システム及び方法は、自己訂正とＭ−ｐｉｎを用いたＩＤ−ＩＤ−ＦＳＵに関するものである。

（登場する装置）
・第一クライアント装置Ｕ_Ａと第二クライアント装置Ｕ_Ｂ
・鍵生成装置ＫＧＣ
・マスタ公開鍵保管サーバＳＥＲ
以下、第一クライアント装置Ｕ_Ａ、第二クライアント装置Ｕ_Ｂ、鍵生成装置ＫＧＣ及びマスタ公開鍵保管サーバＳＥＲことをそれぞれＵ_Ａ，Ｕ_Ｂ，ＫＧＣ，ＳＥＲと略記することもある。

共有鍵共有システムは、図１に示すように、第一クライアント装置Ｕ_Ａ、第二クライアント装置Ｕ_Ｂ、鍵生成装置ＫＧＣ及びマスタ公開鍵保管サーバＳＥＲを例えば備えている。共有鍵共有方法は、共有鍵共有システムの各部が、以下に説明する処理を例えば行うことにより実現される。

（公開パラメータ）
・ｋをセキュリティパラメタとする。ｋは所定の正の整数である。
・Ｇ_１，Ｇ_２とＧ_Ｔを位数がｋビット長の素数ｑの巡回群として、ｇ_１，ｇ_２とｇ_Ｔをそれぞれの群の生成元とする。
・ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとする。ここで、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足するものとする。
・Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２とＨ_ｑ：｛０，１｝^＊→Ｚ_ｑをそれぞれ暗号学的Ｈａｓｈ関数とする。
・２以上の自然数ｍに対して、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，．．．，ｍ）を以下のように与える；

ここで、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}とｃ_{ｉ，１，１}は定数であってもよいし、短期公開鍵、公開鍵、ユーザＩＤ等に依存して決まる数でもよい。
・ＫＧＣは，マスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択し、マスタ公開鍵としてＺ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を生成し公開せずに、Ｓｅｒに送信する。また、擬マスタ公開鍵としてＺ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔを計算し、公開する。
・Ｕ_Ａは識別子ＩＤ_Ａを持っていて、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を計算し公開する。同じように、Ｕ_Ｂは識別子ＩＤ_Ｂを持っていて、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）∈Ｇ_１とＱ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）∈Ｇ_２を計算し公開する。

（鍵生成）
ＫＧＣはＵ_ＡとＵ_ＢのＩＤ_ＡとＩＤ_Ｂを用いて、秘密鍵の２つのペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚとＤ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ｂ，２ ^ｚを計算し、Ｕ_Ａに（Ｄ_Ａ，１，Ｄ_Ａ，２）を、Ｕ_Ｂに（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を配布する。

必要があるならば、Ｕ_ＡはＳｅｒにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｚ_１，Ｑ_Ａ，２）の計算を依頼し、ｅ（Ｄ_Ａ，１，ｇ_２）＝ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（ｇ_１，Ｄ_Ａ，２）＝ｅ（Ｚ_２，Ｑ_Ａ，２）を判定し、ＫＧＣから配布された秘密鍵がマスタ秘密鍵ｚと紐付いているかの確認を行う。同様に、Ｕ_ＢはＳｅｒにｅ（Ｄ_Ｂ，１，Ｚ_２）及びｅ（Ｚ_１，Ｄ_Ｂ，２）の計算を依頼する。ｅ（Ｄ_Ｂ，１，ｇ_２）＝ｅ（Ｑ_Ｂ，１，Ｚ_２）及びｅ（ｇ_１，Ｄ_Ｂ，２）＝ｅ（Ｚ_２，Ｑ_Ｂ，２）を判定し、ＫＧＣから配布された秘密鍵がマスタ秘密鍵ｚと紐付いているかの確認を行う。

なお、依頼するべき計算の関数は

である。共に、群の準同型写像であり、また、ｅ（ｇ_１，Ｚ_２）＝ｅ（Ｚ_１，ｇ_２）＝ｇ_Ｔ ^ｚ＝Ｚ_Ｔであり、この値は擬マスタ公開鍵である。従って、代理計算を使うことができる。

Ｕ_Ａはｐｉｎ（ｐｅｒｓｏｎａｌｉｄｅｎｔｉｆｉｃａｔｉｏｎｎｕｍｂｅｒ）であるｓ_ＡからＨ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Α_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成する。Ｕ_Ａはδ_Ａ，１＝Ｄ_Ａ，１Α_Ａ，１ ^−１を計算する。計算後にＤ_Ａ，１は消す。ｓ_Ａは、Ｕ_Ａのみしか知らない任意のストリングである。

Ｕ_Ｂはｐｉｎであるｓ_ＢからＨ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、Α_Ｂ，２＝Ｑ_Ｂ，２ ^αＢを生成する。Ｕ_Ｂはδ_Ｂ，２＝Ｄ_Ｂ，２Α_Ｂ，２ ^−１を計算する。計算後にＤ_Ｂ，２は消す。ｓ_Ｂは、Ｕ_Ｂのみしか知らない任意のストリングである。

このように、秘密鍵Ｄ_Ａ，１を秘匿化された秘密鍵δ_Ａ，１とｐｉｎとに分割し、秘密鍵Ｄ_Ｂ，２を秘匿化された秘密鍵δ_Ｂ，２とｐｉｎとに分割する。そして、後述のように、秘匿化された秘密鍵δ_Ａ，１，δ_Ｂ，２とｐｉｎの２要素によって認証鍵交換する。このようにすることで、秘匿化された秘密鍵かｐｉｎのどちらか片方が漏洩しても安全であり、秘匿化された秘密鍵をブラウザ等の利便性の高い領域などに保管することができる。よって、秘密鍵管理の利便性が向上する。

（４）．Ｕ_Ａは以下の（ａ）〜（ｄ）を行う。
（ａ）Ｓｅｒにｅ（Ｚ_１，Ｑ_Ｂ，２）およびｅ（Ｚ_１，Ｘ_Ｂ，２）の計算を依頼する。依頼する関数は

であり、群の準同型であり、ｅ（Ｚ_１，ｇ_２）＝ｇ_Ｔ ^ｚとなり、適当な一点を計算できるので、自己訂正の代理計算が可能である。
（ｂ）ｉ＝１，．．．，ｍについて

を計算する。
（ｃ）σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（ｄ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

（５）．同じように、Ｕ_Ｂは以下の（ａ）〜（ｄ）を行う。
（ａ）Ｓｅｒにｅ（Ｑ_Ａ，１，Ｚ_２）およびｅ（Ｘ_Ａ，２，Ｚ_２）の計算を依頼する。依頼する関数は

であり、群の準同型であり、ｅ（ｇ_１，Ｚ_２）＝ｇ_Ｔ ^ｚとなり、適当な一点を計算できるので、自己訂正の代理計算が可能である。
（ｂ）ｉ＝１，．．．，ｍについて

を計算する。
（ｃ）σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（ｄ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

（６）．Ｕ_ＡとＵ_Ｂが計算した値σ_ｉは
（ａ）ｉ＝１，．．．，ｍについてσ_ｉ＝ｇ_Ｔ ^{ｚｐｉ（ｑＡ，１，ｑｂ，１，ｘＡ，ｘＢ）}，（Ｑ_Ａ，１＝ｇ_１ ^ｑＡ，１，Ｑ_Ｂ，２＝ｇ_２ ^ｑＢ，２）
（ｂ）σ_ｍ＋１＝ｇ_１ ^ｘＡｘＢ，σ_ｍ＋２＝ｇ_２ ^ｘＡｘＢ
となるので、両者で計算した共有鍵Ｋは一致する。

［第二実施形態］
以下、第二実施形態の共有鍵共有システム及び方法について説明する。第二実施形態の共有鍵共有システム及び方法は、Ｍ−ｐｉｎを用いたＣｅｒｔ−ＩＤ−ＦＳＵに関するものである。

（登場する装置）
・第一クライアント装置Ｕ_Ａと第二クライアント装置Ｕ_Ｂ
・鍵生成局ＫＧＣ
・認証装置Ｎ
・マスタ公開鍵保管サーバＳＥＲ
以下、第一クライアント装置Ｕ_Ａ、第二クライアント装置Ｕ_Ｂ、鍵生成装置ＫＧＣ、認証装置Ｎ及びマスタ公開鍵保管サーバＳＥＲことをそれぞれＵ_Ａ，Ｕ_Ｂ，ＫＧＣ，Ｎ，ＳＥＲと略記することもある。

共有鍵共有システムは、図２に示すように、第一クライアント装置Ｕ_Ａ、第二クライアント装置Ｕ_Ｂ、鍵生成装置ＫＧＣ、認証装置Ｎ及びマスタ公開鍵保管サーバＳＥＲを例えば備えている。共有鍵共有方法は、共有鍵共有システムの各部が、以下に説明する処理を例えば行うことにより実現される。

（公開パラメータ）
・ｋをセキュリティパラメタとする。
・Ｇ_１，Ｇ_２とＧ_Ｔを位数がｋビット長の素数ｑの巡回群として、ｇ_１，ｇ_２とｇ_Ｔをそれぞれの群の生成元とする。
・ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとする。ここで、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足するものとする。
・Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２とＨ_ｑ：｛０，１｝^＊→Ｚ_ｑをそれぞれ暗号学的Ｈａｓｈ関数とする。
・２以上の自然数ｍに対して、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，．．．，ｍ）を以下のように与える；

ここで、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}とｃ_{ｉ，１，１}は定数であってもよいし、短期公開鍵、公開鍵、ユーザＩＤ等に依存して決まる数でもよい。
・ＫＧＣはマスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択し、マスタ公開鍵Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を生成し、Ｓｅｒへ送信する。また、擬マスタ公開鍵としてＺ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔを計算し、公開する。
・Ｕ_Ａは識別子ＩＤ_Ａを持っていて、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を計算し公開する。

（鍵生成）
ＫＧＣはＵ_Ａの（Ｑ_Ａ，１，Ｑ_Ａ，２）を用いて、秘密鍵のペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、Ｕ_Ａに（Ｄ_Ａ，１，Ｄ_Ａ，２）を配布する。
必要があるならば、Ｕ_ＡはＳｅｒにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｚ_１，Ｑ_Ａ，２）の計算を依頼し、ｅ（Ｄ_Ａ，１，ｇ_２）＝ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（ｇ_１，Ｄ_Ａ，２）＝ｅ（Ｚ_２，Ｑ_Ａ，２）を判定し、ＫＧＣから配布された秘密鍵がマスタ秘密鍵ｚと紐付いているかの確認を行う。

なお、依頼するべき計算の関数は

認証装置ＮはＵ_Ｂの公開鍵Ｄ_Ｂを認証する。
Ｕ_Ａはｐｉｎであるｓ_ＡからＨ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Α_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成する。Ｕ_Ａはδ_Ａ，１＝Ｄ_Ａ，１Α_Ａ，１ ^−１を計算する。計算後にＤ_Ａ，１は消す。ｓ_Ａは、Ｕ_Ａのみしか知らない任意のストリングである。

Ｕ_Ｂはｐｉｎであるｓ_ＢからＨ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、σ_Ｂ＝ｄ_Ｂ−α_Ｂを計算する。計算後にｄ_Ｂは消す。ｓ_Ｂは、Ｕ_Ｂのみしか知らない任意のストリングである。

このように、秘密鍵Ｄ_Ａ，１を秘匿化された秘密鍵δ_Ａ，１とｐｉｎとに分割し、秘密鍵ｄ_Ｂを秘匿化された秘密鍵σ_Ｂとｐｉｎとに分割する。そして、後述のように、秘匿化された秘密鍵δ_Ａ，１，σ_Ｂとｐｉｎの２要素によって認証鍵交換する。このようにすることで、秘匿化された秘密鍵かｐｉｎのどちらか片方が漏洩しても安全であり、秘匿化された秘密鍵をブラウザ等の利便性の高い領域などに保管することができる。よって、秘密鍵管理の利便性が向上する。

（鍵交換）
（１）．Ｕ_ＡはＵ_Ｂへ（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）を送信する。
（２）．Ｕ_ＢはＵ_Ａへ（Ｄ_Ｂ，１，Ｄ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）と送信する。
（３）．Ｕ_Ａはｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるかとｅ（Ｄ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｄ_Ｂ，２）確認し、Ｕ_Ｂはｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか確認する。正しくなければ、鍵生成からやり直す。

（４）．Ｕ_Ａは以下の（ａ）〜（ｄ）を行う。
（ａ）Ｓｅｒにｅ（Ｚ_１，Ｄ_Ｂ，２）およびｅ（Ｚ_１，Ｘ_Ｂ，２）の計算を依頼する。依頼する関数は

を計算する。
（ｃ）σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（ｄ）σ_ｍ＋３＝Ｄ_Ｂ，１ ^ｘＡ，σ_ｍ＋４＝Ｄ_Ｂ，２ ^ｘＡを計算する。
（ｅ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算する。

（５）．Ｕ_Ｂは以下の（ａ）〜（ｄ）を行う。
（ａ）Ｓｅｒにｅ（Ｑ_Ａ，１，Ｚ_２）およびｅ（Ｘ_Ａ，２，Ｚ_２）の計算を依頼する。依頼する関数は

を計算する。
（ｃ）σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（ｄ）σ_ｍ＋３＝Ｘ_Ａ，１ ^σＢＸ_Ａ，１ ^αＢ，σ_ｍ＋４＝Ｘ_Ａ，２ ^σＢＸ_Ａ，２ ^αＢを計算する。
（ｅ）共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）
を計算する。

［プログラム及び記録媒体］
共有鍵共有システム及び方法において説明した処理は、記載の順にしたがって時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、第一クライアント装置、第二クライアント装置、マスタ公開鍵保管サーバにおける各処理をコンピュータによって実現する場合、第一クライアント装置、第二クライアント装置、マスタ公開鍵保管サーバが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、その各処理がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、各処理手段は、コンピュータ上で所定のプログラムを実行させることにより構成することにしてもよいし、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

［変形例］
その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

Claims

第一クライアント装置、第二クライアント装置、鍵生成装置及びマスタ公開鍵保管サーバを含む共有鍵共有システムであって、
ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、上記第二クライアント装置の識別子をＩＤ_Ｂとし、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）とし、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）として、
上記鍵生成装置は、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信し、
上記鍵生成装置は、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信し、
上記第一クライアント装置は、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算し、
上記第二クライアント装置は、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、Ａ_Ｂ，１＝Ｑ_Ｂ，１ ^αＢを生成し、Ｄ_Ｂ，１’＝Ｄ_Ｂ，１Ａ_Ｂ，１ ^−１を計算し、
上記第一クライアント装置は、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成し、
上記第二クライアント装置は、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成し、
上記第一クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信し、
上記第二クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信し、
上記第一クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定し、
上記第二クライアント装置は、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか判定し、
上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であると判定されるまで、上記の処理を繰り返し行い、
上記第一クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせ、
上記マスタ公開鍵保管サーバは、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行い、
上記第一クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算し、

上記第二クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせ、
上記マスタ公開鍵保管サーバは、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行い、
上記第二クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する、

共有鍵共有システム。
第一クライアント装置、第二クライアント装置、鍵生成装置、認証装置及びマスタ公開鍵保管サーバを含む共有鍵共有システムであって、
ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、ｄ_Ｂ∈Ｚ_ｑとし、Ｄ_Ｂ，１＝ｇ_１ ^ｄＢ∈Ｇ_１とし、Ｄ_Ｂ，２＝ｇ_２ ^ｄＢ∈Ｇ_２として、
上記鍵生成装置は、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信し、
上記鍵生成装置は、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信し、
上記認証装置は、第二クライアント装置のＤ_Ｂ，１，Ｄ_Ｂ，２を認証し、
上記第一クライアント装置は、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算し、
上記第二クライアント装置は、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、σ_Ｂ＝ｄ_Ｂ−α_Ｂを計算し、
上記第一クライアント装置は、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成し、
上記第二クライアント装置は、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成し、
上記第一クライアント装置は、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信し、
上記第二クライアント装置は、（Ｄ_Ｂ，１，Ｄ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信し、
上記第一クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定し、
上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置は、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｄ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｄ_Ｂ，２）であると判定されるまで、上記の処理を繰り返し行い、
上記第一クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせ、
上記マスタ公開鍵保管サーバは、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行い、
上記第一クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡ，σ_ｍ＋３＝Ｄ_Ｂ，１ ^ｘＡ，σ_ｍ＋４＝Ｄ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算し、

上記第二クライアント装置は、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせ、
上記マスタ公開鍵保管サーバは、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行い、
上記第二クライアント装置は、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢ，σ_ｍ＋３＝Ｘ_Ａ，１ ^σＢＸ_Ａ，１ ^αＢ，σ_ｍ＋４＝Ｘ_Ａ，２ ^σＢＸ_Ａ，２ ^αＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）を計算する、

共有鍵共有システム。
請求項１又は２の共有鍵共有システムの第一クライアント装置又は第二クライアント装置であるクライアント装置。
請求項１又は２の共有鍵共有システムのマスタ公開鍵保管サーバ。
第一クライアント装置、第二クライアント装置、鍵生成装置及びマスタ公開鍵保管サーバにより実行される共有鍵共有方法であって、
ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、上記第二クライアント装置の識別子をＩＤ_Ｂとし、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）とし、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）として、
上記鍵生成装置が、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信するステップと、
上記鍵生成装置が、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信するステップと、
上記第一クライアント装置が、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算するステップと、
上記第二クライアント装置が、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、Ａ_Ｂ，１＝Ｑ_Ｂ，１ ^αＢを生成し、Ｄ_Ｂ，１’＝Ｄ_Ｂ，１Ａ_Ｂ，１ ^−１を計算するステップと、
上記第一クライアント装置が、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成するステップと、
上記第二クライアント装置が、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成するステップと、
上記第一クライアント装置が、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信するステップと、
上記第二クライアント装置が、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信するステップと、
上記第一クライアント装置が、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定するステップと、
上記第二クライアント装置が、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるか判定するステップと、
上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置が、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であると判定されるまで、上記の処理を繰り返し行うステップと、
上記第一クライアント装置が、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせるステップと、
上記マスタ公開鍵保管サーバが、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｑ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行い、
上記第一クライアント装置が、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算するステップと、

上記第二クライアント装置が、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせるステップと、
上記マスタ公開鍵保管サーバが、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行うるステップと、
上記第二クライアント装置が、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算するステップと、

を含む共有鍵共有方法。
第一クライアント装置、第二クライアント装置、鍵生成装置、認証装置及びマスタ公開鍵保管サーバにより実行される共有鍵共有方法であって、
ｋをセキュリティパラメタとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がｋビット長の素数ｑの巡回群とし、ｇ_１，ｇ_２，ｇ_ＴをＧ_１，Ｇ_２とＧ_Ｔの生成元とし、ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリング関数とし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）とし、＊をワイルドカードとして、Ｈ：｛０，１｝^＊→｛０，１｝^ｋ，Ｈ_１：｛０，１｝^＊→Ｇ_１，Ｈ_２：｛０，１｝^＊→Ｇ_２，Ｈ_ｑ：｛０，１｝^＊→Ｚ_ｑを暗号学的Ｈａｓｈ関数とし、２以上の自然数ｍに対して、ｃ_{ｉ，０，０}，ｃ_{ｉ，０，１}，ｃ_{ｉ，１，０}，ｃ_{ｉ，１，１}を所定の定数とし、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，…，ｍ）は以下の式により定義されるとし、

ｚ∈Ｚ_ｑとし、Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とし、Ｚ_２＝ｇ_２ ^ｚ∈Ｇ_２とし、Ｚ_Ｔ＝ｇ_Ｔ ^ｚ∈Ｇ_Ｔとし、上記第一クライアント装置の識別子をＩＤ_Ａとし、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）とし、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）とし、ｄ_Ｂ∈Ｚ_ｑとし、Ｄ_Ｂ，１＝ｇ_１ ^ｄＢ∈Ｇ_１とし、Ｄ_Ｂ，２＝ｇ_２ ^ｄＢ∈Ｇ_２として、
上記鍵生成装置が、Ｄ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ａ，１，Ｄ_Ａ，２）を上記第一クライアント装置に送信するステップと、
上記鍵生成装置が、Ｄ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ａ，２ ^ｚを計算し、計算された（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を上記第二クライアント装置に送信するステップと、
上記認証装置が、第二クライアント装置のＤ_Ｂ，１，Ｄ_Ｂ，２を認証するステップと、
上記第一クライアント装置が、Ｈ_ｑ（ｓ_Ａ）＝α_Ａ∈Ｚ_ｑを生成し、Ａ_Ａ，１＝Ｑ_Ａ，１ ^αＡを生成し、Ｄ_Ａ，１’＝Ｄ_Ａ，１Ａ_Ａ，１ ^−１を計算するステップと、
上記第二クライアント装置が、Ｈ_ｑ（ｓ_Ｂ）＝α_Ｂ∈Ｚ_ｑを生成し、σ_Ｂ＝ｄ_Ｂ−α_Ｂを計算するステップと、
上記第一クライアント装置が、ｘ_Ａ∈Ｚ_ｑとして、Ｘ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成するステップと、
上記第二クライアント装置が、ｘ_Ｂ∈Ｚ_ｑとして、Ｘ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成するステップと、
上記第一クライアント装置が、（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を上記第二クライアント装置に送信するステップと、
上記第二クライアント装置が、（Ｄ_Ｂ，１，Ｄ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を上記第一クライアント装置に送信するステップと、
上記第一クライアント装置が、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるか判定するステップと、
上記鍵生成装置、上記第一クライアント装置及び第二クライアント装置が、ｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であり、かつ、ｅ（Ｄ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｄ_Ｂ，２）であると判定されるまで、上記の処理を繰り返し行うステップと、
上記第一クライアント装置が、上記マスタ公開鍵保管サーバにｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行わせるステップと、
上記マスタ公開鍵保管サーバが、上記第一クライアント装置からの依頼を受けて、ｅ（Ｚ_１，Ｄ_Ｂ，２）及びｅ（Ｚ_１，Ｘ_Ｂ，２）について自己訂正技術を用いた代理計算を行うステップと、
上記第一クライアント装置が、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡ，σ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡ，σ_ｍ＋３＝Ｄ_Ｂ，１ ^ｘＡ，σ_ｍ＋４＝Ｄ_Ｂ，２ ^ｘＡを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｄ_Ｂ，１，Ｄ_Ｂ，２）を計算するステップと、

上記第二クライアント装置が、上記マスタ公開鍵保管サーバにｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について、自己訂正技術を用いた代理計算を行わせるステップと、
上記マスタ公開鍵保管サーバが、上記第二クライアント装置からの依頼を受けて、ｅ（Ｑ_Ａ，１，Ｚ_２）及びｅ（Ｘ_Ａ，２，Ｚ_２）について自己訂正技術を用いた代理計算を行うステップと、
上記第二クライアント装置が、以下の式により定義されるσ_ｉ（ｉ＝１，…，ｍ）を計算し、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢ，σ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢ，σ_ｍ＋３＝Ｘ_Ａ，１ ^σＢＸ_Ａ，１ ^αＢ，σ_ｍ＋４＝Ｘ_Ａ，２ ^σＢＸ_Ａ，２ ^αＢを計算し、共有鍵Ｋ＝Ｈ（σ_１，．．．，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）を計算するステップと、

を含む共有鍵共有方法。
請求項３のクライアント装置、請求項４のマスタ公開鍵保管サーバとしてコンピュータを機能させるためのプログラム。