JP2018116231A - Ｉｄベース認証鍵交換システム、端末、ｉｄベース認証鍵交換方法、プログラム - Google Patents

Abstract

【課題】１つの鍵生成装置の情報が分かっても端末になりすませないようにする。
【解決手段】本発明のＩＤベース認証鍵交換システムは、２つ以上の鍵生成装置と端末Ａと端末Ｂを有する。鍵生成装置は、マスタ鍵生成部と秘密鍵生成部を備える。端末Ａは、鍵生成部Ａと鍵交換部Ａを備える。鍵生成部Ａは、０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを計算し、０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を生成し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し、公開鍵Ｘ_２，Ａを公開する。鍵交換部Ａは、σ_１，Ａ，σ_２，Ａ，σ_３，Ａの計算を含む所定の計算で、端末Ｂとの共有鍵Ｋを求める。端末Ｂは、鍵生成部Ｂと鍵交換部Ｂを備え、σ_１，Ｂ，σ_２，Ｂ，σ_３，Ｂの計算を含む所定の計算で、端末Ｂとの共有鍵Ｋを求める。
【選択図】図１

Description

本発明は、安全に共有鍵を交換するためのＩＤベース認証鍵交換システム、端末、ＩＤベース認証鍵交換方法、プログラムに関する。

多くの暗号通信では、正しい相手かどうかを認証して鍵交換を行い、その後に共有したセッション鍵を用いた共通鍵暗号方式で暗号・復号の機能を利用している。その認証と鍵交換を同時に行う認証鍵交換と呼ばれる技術があり、認証された鍵が交換できる。認証鍵交換では短期鍵と長期鍵の二種類を用い、それぞれに対して秘密鍵と公開鍵が存在する。認証鍵交換の方式として、非特許文献１のＣＣＳ、非特許文献２，３のＦＳＵや非特許文献４の認証鍵交換方式が提案されている。ＦＳＵは認証鍵交換の方式であり、秘密鍵の漏洩に対して最も強い安全性のｅＣＫモデル安全性を満足することが証明されている暗号方式である。具体的にｅＣＫモデル安全性とは、認証鍵交換のための秘密鍵には短期秘密鍵と長期秘密鍵の２種類があり、発信者と受信者の秘密鍵のどの非自明な秘密鍵の組み合わせの漏洩（例えば、発信者の短期秘密鍵と受信者の短期秘密鍵の漏洩）に対しても、交換されるセッションの漏洩が無いことである。非特許文献４の認証及び鍵交換方式は発信者及び受信者の長期秘密鍵を生成する鍵生成装置が異なる場合のｅＣＫモデル安全性を満足する方式である。

Chen, L., Cheng, Z., Smart, N.P."Identity-based key agreement protocols from pairings", Int. J. Inf. Security 6(4), 213―241 (2007). A. Fujioka, F. Hoshino, T. Kobayashi, et. al."id-eCK Secure ID-Based Authenticated Key Exchange on Symmetric and Asymmetric Pairing", IEICE Transactions 96-A(6): 1139―1155 (2013). B. Ustaoglu"Integrating identity-based and certicate-based authenticated key exchange protocols", Int J Inf Secur 10(4): 201―212 (2011). A. Fujioka,"One-Round Exposure-Resilient Identity-Based Authenticated Key Agreement with Multiple Private Key Generator", Mycrypto 2016.

従来のＴＬＳ（Transport Layer Security）などの証明書ベースの認証鍵交換の場合は、クライアントの端末同士は、別々の認証局から発行された証明書をもとに認証鍵を交換できた。しかしながら、ＩＤベース認証鍵交換方式のＦＳＵは、同一の鍵生成装置（ＫＧＣ：Key Generate Center）が発行した秘密鍵を持つ端末同士でなければ通信できないという課題がある。非特許文献４の技術はこの課題を解決しているが、秘密鍵を生成した鍵生成装置自身が端末になりすますことができた。また、鍵生成装置からマスタ秘密鍵が漏洩した場合にはマスタ秘密鍵の情報を保有する装置であれば、端末になりすますことができた。

本発明は、少なくとも一方の端末については、１つの鍵生成装置の情報が分かっても端末になりすませないようにすることを目的とする。

本発明のＩＤベース認証鍵交換システムは、２つ以上の鍵生成装置と端末Ａと端末Ｂを有する。κはセキュリティパラメータ、Ｇ_１，Ｇ_２，Ｇ_Ｔは位数がκビット長の素数ｑの巡回群、ｇ_１は群Ｇ_１の生成元、ｇ_２は群Ｇ_２の生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ_１×Ｇ_２→Ｇ_Ｔのペアリングを示す記号、ｇ_１，ｇ_２，ｇ_Ｔはｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足し、ｉは１または２、Ｈ_ｉは任意長の０と１で表現されたビット列を群Ｇ_ｉの元に写像するハッシュ関数、Ｍは２以上のあらかじめ定めた整数、Ｎは１以上のあらかじめ定めた整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、端末Ａは識別子としてＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）を有し、端末Ｂは識別子としてＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）を有し、鍵生成装置Ｋ_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ｂ，ｎはＩＤ_Ｂ，ｎに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍの中には互いに異なる鍵生成装置が含まれており、＾はべき乗を示す記号、Ｘ_２，Ａは前記端末Ａの公開鍵、Ｘ_２，Ｂは前記端末Ｂの公開鍵、Ｈ_１（ＩＤ_Ａ，ｍ）とＨ_１（ＩＤ_Ｂ，ｎ）は公開された情報とする。

鍵生成装置は、マスタ鍵生成部と秘密鍵生成部を備える。マスタ鍵生成部は、鍵生成装置Ｋ_Ａ，ｍに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ａ，ｍを生成し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}をＺ_{２，Ａ，ｍ}＝ｇ_２＾ｚ_Ａ，ｍのように計算し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}を公開する。マスタ鍵生成部は、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ｂ，ｎを生成し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}をＺ_{２，Ｂ，ｎ}＝ｇ_２＾ｚ_Ｂ，ｎのように計算し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}を公開する。秘密鍵生成部は、鍵生成装置Ｋ_Ａ，ｍに該当するときは、秘密鍵Ｓ_{１，Ａ，ｍ}をＳ_{１，Ａ，ｍ}＝Ｈ_１（ＩＤ_Ａ，ｍ）＾ｚ_Ａ，ｍのように計算し、端末Ａに送信する。秘密鍵生成部は、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、秘密鍵Ｓ_{１，Ｂ，ｎ}をＳ_{１，Ｂ，ｎ}＝Ｈ_１（ＩＤ_Ｂ，ｎ）＾ｚ_Ｂ，ｎのように計算し、端末Ｂに送信する。

端末Ａは、鍵生成部Ａと鍵交換部Ａを備える。鍵生成部Ａは、０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを

のように計算し、秘密鍵ｘ_Ａと秘密鍵Ｓ_１，Ａを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を計算し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し、公開鍵Ｘ_２，Ａを公開する。鍵交換部Ａは、

および公開鍵Ｘ_２，Ｂと秘密鍵ｘ_Ａ’とから計算されるσ_３，Ａの計算を含む所定の計算で、端末Ｂとの共有鍵Ｋを求める。

端末Ｂは、鍵生成部Ｂと鍵交換部Ｂを備える。鍵生成部Ｂは、０以上ｑ未満の整数である秘密鍵ｘ_Ｂを生成し、秘密鍵Ｓ_１，Ｂを

のように計算し、秘密鍵ｘ_Ｂと秘密鍵Ｓ_１，Ｂを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ｂ’を生成し、公開鍵Ｘ_２，ＢをＸ_２，Ｂ＝ｇ_２＾ｘ_Ｂ’のように計算し、公開鍵Ｘ_２，Ｂを公開する。鍵交換部Ｂは、

および公開鍵Ｘ_２，Ａと秘密鍵ｘ_Ｂ’とから計算されるσ_３，Ｂの計算を含む所定の計算で、端末Ａとの共有鍵Ｋを求める。

σ_３，Ａとσ_３，Ｂは、

または、

のように計算される。

本発明のＩＤベース認証鍵交換システムによれば、少なくとも一方の端末については、２つ以上の鍵生成装置から秘密鍵を受信して処理を行うので、１つの鍵生成装置の情報が分かってもその端末にはなりすませない。

ＩＤベース認証鍵交換システムの構成例を示す図。 本発明のＩＤベース認証鍵交換システムの処理フローの中の主に鍵生成装置の処理フローを示す図。 本発明の端末の処理フローを示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１にＩＤベース認証鍵交換システムの構成例を示す。この説明では、端末２００_Ａは複数の識別子を有し、端末２００_Ｂは１つだけの識別子を有することも、複数の識別子を有することもあることを前提に説明する。実際には、複数の識別子を有する端末を端末２００_Ａと考えればよい。図２に本発明のＩＤベース認証鍵交換システムの処理フローの中の主に鍵生成装置の処理フローを示す。図３に本発明の端末の処理フローを示す。本発明のＩＤベース認証鍵交換システムは、ネットワーク９００を介して接続されている２つ以上の鍵生成装置１００_１，…，１００_Ｋ（Ｋは２以上の整数）と２つ以上の端末を有する。

κはセキュリティパラメータ、Ｇ_１，Ｇ_２，Ｇ_Ｔは位数がκビット長の素数ｑの巡回群、ｇ_１は群Ｇ_１の生成元、ｇ_２は群Ｇ_２の生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ_１×Ｇ_２→Ｇ_Ｔのペアリングを示す記号、ｇ_１，ｇ_２，ｇ_Ｔはｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足し、ｉは１または２、Ｈ_ｉは任意長の０と１で表現されたビット列を群Ｇ_ｉの元に写像するハッシュ関数、Ｈ_ｑは任意長の０と１で表現されたビット列を０以上ｑ未満の整数に写像するハッシュ関数、Ｈは任意長の０と１で表現されたビット列をκビット長の０と１で表現されたビット列に写像するハッシュ関数、Ｋは２以上の整数、ｋは１以上Ｋ以下の整数、Ｍは２以上のあらかじめ定めた整数、Ｎは１以上のあらかじめ定めた整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、端末２００_Ａは識別子としてＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）を有し、端末２００_Ｂは識別子としてＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）を有し、鍵生成装置１００_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた２つ以上の鍵生成装置の中の１つ、鍵生成装置１００_Ｂ，ｎはＩＤ_Ｂ，ｎに対応付けられた２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍの中には互いに異なる鍵生成装置が含まれており、＾はべき乗を示す記号、｜を０と１で表現されたビット列をつなげることを示す記号、Ｘ_２，Ａは前記端末Ａの公開鍵、Ｘ_２，Ｂは前記端末Ｂの公開鍵とする。「鍵生成装置１００_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた２つ以上の鍵生成装置の中の１つ」とは、「鍵生成装置１００_Ａ，ｍ」は鍵生成装置１００_１，…，１００_Ｋの中のいずれか１つが、ＩＤ_Ａ，ｍに対応つけられていることを意味している。「対応つける」方法としては、あらかじめ定める方法でもいいし、端末２００_Ａがランダムに選ぶ方法でもよい。また、サービスごとにＩＤ_Ａ，ｍに対応付ける鍵生成装置を変えてもよい。「鍵生成装置１００_Ｂ」も同様である。鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍのすべてが同一の鍵生成装置であることは除くが、鍵生成装置１００_Ａ，１，…，１００_Ａ，Ｍと鍵生成装置１００_Ｂ，１，…，１００_Ｂ，Ｎの中に同一の鍵生成装置となる場合があってもよい。つまり、添え字の「Ａ，ｍ」と「Ｂ，ｎ」は１〜Ｋのいずれかの整数である。なお、鍵生成装置１００_Ａ，１，…，１００_Ａ，Ｍと鍵生成装置１００_Ｂ，１，…，１００_Ｂ，Ｎとをできるだけ異なる装置にすれば、鍵生成装置のマスタ秘密鍵の漏えいが生じた場合のセキュリティ上のリスクを低減できる。

端末２００_ＡはＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍのハッシュ情報Ｈ_１（ＩＤ_Ａ，１），…，Ｈ_１（ＩＤ_Ａ，Ｍ）を公開する（Ｓ２１０_Ａ）。端末２００_ＢはＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎのハッシュ情報Ｈ_１（ＩＤ_Ｂ，１），…，Ｈ_１（ＩＤ_Ｂ，Ｎ）を公開する（Ｓ２１０_Ｂ）。「公開する」とは、何らかの方法でだれでも入手できる状態にすることを意味し、例えば、特定のサーバなどにアクセスすることでだれでもダウンロードできる状態にする方法などがある。なお、「ハッシュ情報Ｈ_１（ＩＤ_Ａ，ｍ）」は、識別子ＩＤ_Ａ，ｍのハッシュ値であるＨ_１（ＩＤ_Ａ，ｍ）自体でもよいし、ハッシュ関数Ｈ_１が既に公開されている場合は、識別子ＩＤ_Ａ，ｍ自体を公開してもよい。

鍵生成装置１００_ｋは、マスタ鍵生成部１１０_ｋと秘密鍵生成部１２０_ｋを備える。鍵生成装置１００_Ａ，ｍに該当するときは、マスタ鍵生成部１１０_Ａ，ｍは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ａを生成し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}をＺ_{２，Ａ，ｍ}＝ｇ_２＾ｚ_Ａ，ｍのように計算し（Ｓ１１１_Ａ，ｍ）、マスタ公開鍵Ｚ_{２，Ａ，ｍ}を公開する（Ｓ１１２_Ａ，ｍ）。この処理をｍ＝１，…，Ｍに対して行う。鍵生成装置１００_Ｂ，ｎに該当するときは、マスタ鍵生成部１１０_Ｂ，ｎは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ｂ，ｎを生成し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}をＺ_{２，Ｂ，ｎ}＝ｇ_２＾ｚ_Ｂ，ｎのように計算し（Ｓ１１１_Ｂ，ｎ）、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}を公開する（Ｓ１１２_Ｂ，ｎ）。この処理をｎ＝１，…，Ｎに対して行う。

鍵生成装置１００_Ａ，ｍに該当するときは、秘密鍵生成部１２０_Ａ，ｍは、秘密鍵Ｓ_{１，Ａ，ｍ}をＳ_{１，Ａ，ｍ}＝Ｈ_１（ＩＤ_Ａ，ｍ）＾ｚ_Ａ，ｍのように計算し（Ｓ１２１_Ａ，ｍ）、端末２００_Ａに送信する（Ｓ１２２_Ａ，ｍ）。この処理をｍ＝１，…，Ｍに対して行う。鍵生成装置１００_Ｂ，ｎに該当するときは、秘密鍵生成部１２０_Ｂ，ｎは、秘密鍵Ｓ_{１，Ｂ，ｎ}をＳ_{１，Ｂ，ｎ}＝Ｈ_１（ＩＤ_Ｂ，ｎ）＾ｚ_Ｂ，ｎのように計算し（Ｓ１２１_Ｂ，ｎ）、端末Ｂに送信する（Ｓ１２２_Ｂ，ｎ）。この処理をｎ＝１，…，Ｎに対して行う。

端末２００_Ａは、鍵生成部２１０_Ａと鍵交換部２２０_Ａを備える。鍵生成部２１０_Ａは、０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを

のように計算し、秘密鍵ｘ_Ａと秘密鍵Ｓ_１，Ａを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を計算し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し（Ｓ２１３_Ａ）、公開鍵Ｘ_２，Ａを公開する（Ｓ２１２_Ａ）。「あらかじめ定めた方法」としては、例えば、ｘ_Ａ’＝Ｈ_ｑ（ｘ_Ａ｜Ｓ_１，Ａ）のように計算することで秘密鍵ｘ_Ａ’を計算すればよい。

鍵交換部２２０_Ａは、

および公開鍵Ｘ_２，Ｂと秘密鍵ｘ_Ａ’とから計算されるσ_３，Ａの計算を含む所定の計算で、端末２００_Ｂとの共有鍵Ｋを求める（Ｓ２２１_Ａ）。「所定の計算」については後述する。

端末２００_Ｂも、鍵生成部２１０_Ｂと鍵交換部２２０_Ｂを備える。鍵生成部２１０_Ｂは、０以上ｑ未満の整数である秘密鍵ｘ_Ｂを生成し、秘密鍵Ｓ_１，Ｂを

のように計算し、秘密鍵ｘ_Ｂと秘密鍵Ｓ_１，Ｂを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ｂ’を生成し、公開鍵Ｘ_２，ＢをＸ_２，Ｂ＝ｇ_２＾ｘ_Ｂ’のように計算し（Ｓ２１３_Ｂ）、公開鍵Ｘ_２，Ｂを公開する（Ｓ２１２_Ｂ）。「あらかじめえ定めた方法」としては、例えば、ｘ_Ｂ’＝Ｈ_ｑ（ｘ_Ｂ｜Ｓ_１，Ｂ）のように計算することで秘密鍵ｘ_Ｂ’を計算すればよい。

鍵交換部２２０_Ｂは、

および公開鍵Ｘ_２，Ａと秘密鍵ｘ_Ｂ’とから計算されるσ_３，Ｂの計算を含む所定の計算で、端末Ａとの共有鍵Ｋを求める（Ｓ２２１_Ｂ）。なお、正しい処理が行われていれば、

となるので、σ_１，Ａ＝σ_１，Ｂ、σ_２，Ａ＝σ_２，Ｂである。

「所定の計算」として、以下に３つの例を説明するが、σ_３，Ａ＝σ_３，Ｂとなり、同一の共有鍵Ｋを求められる範囲であれば、これらに限定する必要はない。第１の例では、鍵交換部２２０_Ａはσ_３，Ａを、

のように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ａ｜σ_２，Ａ｜σ_３，Ａ）のように共有鍵Ｋを計算する。その際、Ｈに対する入力として、その他の変数を加えてもよい。そして、鍵交換部２２０_Ｂはσ_３，Ｂを、

のように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ｂ｜σ_２，Ｂ｜σ_３，Ｂ）のように共有鍵Ｋを計算する。なお、正しい処理が行われていれば、

となるので、σ_３，Ａ＝σ_３，Ｂである。したがって、端末２００_Ａと端末２００_Ｂは共有鍵Ｋを共有できる。

「所定の計算」の第２の例では、鍵交換部２２０_Ａはσ_３，Ａを、

のように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ａ｜σ_２，Ａ｜σ_３，Ａ）のように共有鍵Ｋを計算する。その際、Ｈに対する入力として、その他の変数を加えてもよい。そして、鍵交換部２２０_Ｂはσ_３，Ｂを、

のように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ｂ｜σ_２，Ｂ｜σ_３，Ｂ）のように共有鍵Ｋを計算する。なお、正しい処理が行われていれば、

となるので、σ_３，Ａ＝σ_３，Ｂである。したがって、端末２００_Ａと端末２００_Ｂは共有鍵Ｋを共有できる。

「所定の計算」の第３の例では、鍵交換部２２０_Ａはσ_３，Ａを第２の例と同じように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ａσ_２，Ａσ_３，Ａ）のように共有鍵Ｋを計算する。その際、Ｈに対する入力として、その他の変数を加えてもよい。鍵交換部２２０_Ｂはσ_３，Ｂを第２の例と同じように計算し、共有鍵ＫをＫ＝Ｈ（σ_１，Ｂσ_２，Ｂσ_３，Ｂ）のように共有鍵Ｋを計算する。正しい処理が行われていれば、端末２００_Ａと端末２００_Ｂは共有鍵Ｋを共有できる。

上述の処理では、Ｎも２以上であればＡとＢを入れ替えても同じ処理となる。したがって、識別子を２つ以上持つ１つの端末の視点で見たときには、常にその端末自体を端末２００_Ａとし、鍵交換をする他の端末を端末２００_Ｂと扱えばよい。つまり、本発明のすべての端末は、端末２００_Ａとして機能すればよい。

本発明のＩＤベース認証鍵交換システムによれば、端末２００_Ａは２つ以上の鍵生成装置から秘密鍵を受信して処理を行うので、１つの鍵生成装置の情報が分かっても端末２００_Ａにはなりすませない。つまり、１つの鍵生成装置だけでは端末２００_Ａになりすますことはできない。また、１つの鍵生成装置からマスタ秘密鍵が漏洩した場合でも、その情報だけでは、端末２００_Ａになりすますことはできない。また、２つの端末２００_Ａと２００_Bに対して２つの非自明な情報の組（秘密鍵Ｓ_１，Ａと秘密鍵ｘ_Ａ）と（秘密鍵Ｓ_１，Bと秘密鍵ｘ_B）がある。そのうち(Ｓ_１，ＡとＳ_１，B）及び(Ｓ_１，Ａとｘ_B）及び(ｘ_ＡとＳ_１，B）及び(ｘ_Ａとｘ_B)のどの秘密鍵の組み合わせの漏洩が起きても、攻撃者はσ_１，Ａ（又はσ_１，Ｂ），σ_２，Ａ（又はσ_２，Ｂ），σ_３，Ａ（又はσ_３，Ｂ）のすべては計算できない。よって、従来のＦＳＵと同様にｅＣＫモデル安全性が確保できている。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００ 鍵生成装置
１１０ マスタ鍵生成部
１２０ 秘密鍵生成部
２００ 端末
２１０ 鍵生成部
２２０ 鍵交換部
９００ ネットワーク

Claims (7)

1. ２つ以上の鍵生成装置と端末Ａと端末Ｂを有するＩＤベース認証鍵交換システムであって、
   κはセキュリティパラメータ、Ｇ_１，Ｇ_２，Ｇ_Ｔは位数がκビット長の素数ｑの巡回群、ｇ_１は群Ｇ_１の生成元、ｇ_２は群Ｇ_２の生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ_１×Ｇ_２→Ｇ_Ｔのペアリングを示す記号、ｇ_１，ｇ_２，ｇ_Ｔはｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足し、ｉは１または２、Ｈ_ｉは任意長の０と１で表現されたビット列を群Ｇ_ｉの元に写像するハッシュ関数、Ｍは２以上のあらかじめ定めた整数、Ｎは１以上のあらかじめ定めた整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、端末Ａは識別子としてＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）を有し、端末Ｂは識別子としてＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）を有し、鍵生成装置Ｋ_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ｂ，ｎはＩＤ_Ｂ，ｎに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍの中には互いに異なる鍵生成装置が含まれており、＾はべき乗を示す記号、Ｘ_２，Ａは前記端末Ａの公開鍵、Ｘ_２，Ｂは前記端末Ｂの公開鍵、Ｈ_１（ＩＤ_Ａ，ｍ）とＨ_１（ＩＤ_Ｂ，ｎ）は公開された情報とし、
   前記２つ以上の鍵生成装置のそれぞれは、
   １からＭまでのすべてのｍについて、鍵生成装置Ｋ_Ａ，ｍに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ａ，ｍを生成し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}をＺ_{２，Ａ，ｍ}＝ｇ_２＾ｚ_Ａ，ｍのように計算し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}を公開し、１からＮまでのすべてのｎについて、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ｂ，ｎを生成し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}をＺ_{２，Ｂ，ｎ}＝ｇ_２＾ｚ_Ｂ，ｎのように計算し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}を公開するマスタ鍵生成部と、
   １からＭまでのすべてのｍについて、鍵生成装置Ｋ_Ａ，ｍに該当するときは、秘密鍵Ｓ_{１，Ａ，ｍ}をＳ_{１，Ａ，ｍ}＝Ｈ_１（ＩＤ_Ａ，ｍ）＾ｚ_Ａ，ｍのように計算し、端末Ａに送信し、１からＮまでのすべてのｎについて、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、秘密鍵Ｓ_{１，Ｂ，ｎ}をＳ_{１，Ｂ，ｎ}＝Ｈ_１（ＩＤ_Ｂ，ｎ）＾ｚ_Ｂ，ｎのように計算し、端末Ｂに送信する秘密鍵生成部と、
   を備え、
   前記端末Ａは、
   ０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを
   

   

   
   のように計算し、秘密鍵ｘ_Ａと秘密鍵Ｓ_１，Ａを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を計算し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し、公開鍵Ｘ_２，Ａを公開する鍵生成部Ａと、
   

   

   
   および公開鍵Ｘ_２，Ｂと秘密鍵ｘ_Ａ’とから計算されるσ_３，Ａの計算を含む所定の計算で、端末Ｂとの共有鍵Ｋを求める鍵交換部Ａ
   を備え、
   前記端末Ｂは、
   ０以上ｑ未満の整数である秘密鍵ｘ_Ｂを生成し、秘密鍵Ｓ_１，Ｂを
   

   

   
   のように計算し、秘密鍵ｘ_Ｂと秘密鍵Ｓ_１，Ｂを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ｂ’を計算し、公開鍵Ｘ_２，ＢをＸ_２，Ｂ＝ｇ_２＾ｘ_Ｂ’のように計算し、公開鍵Ｘ_２，Ｂを公開する鍵生成部Ｂと、
   

   

   
   および公開鍵Ｘ_２，Ａと秘密鍵ｘ_Ｂ’とから計算されるσ_３，Ｂの計算を含む所定の計算で、端末Ａとの共有鍵Ｋを求める鍵交換部Ｂ
   を備え、
   前記σ_３，Ａと前記σ_３，Ｂは、
   

   

   
   または、
   

   

   
   のように計算される
   ＩＤベース認証鍵交換システム。
2. １つ以上の鍵生成装置を用いて他の端末との共有鍵を求める端末であって、
   κはセキュリティパラメータ、Ｇ_１，Ｇ_２，Ｇ_Ｔは位数がκビット長の素数ｑの巡回群、ｇ_１は群Ｇ_１の生成元、ｇ_２は群Ｇ_２の生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ_１×Ｇ_２→Ｇ_Ｔのペアリングを示す記号、ｇ_１，ｇ_２，ｇ_Ｔはｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足し、ｉは１または２、Ｈ_ｉは任意長の０と１で表現されたビット列を群Ｇ_ｉの元に写像するハッシュ関数、Ｍは２以上のあらかじめ定めた整数、Ｎは１以上のあらかじめ定めた整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、当該端末は識別子としてＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）を有し、前記他の端末は識別子としてＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）を有し、鍵生成装置Ｋ_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍの中には互いに異なる鍵生成装置が含まれており、＾はべき乗を示す記号、Ｘ_２，Ａは当該端末の公開鍵、Ｘ_２，Ｂは前記他の端末の公開鍵、Ｈ_１（ＩＤ_Ａ，ｍ）とＨ_１（ＩＤ_Ｂ，ｎ）は公開された情報とし、
   鍵生成装置Ｋ_Ａ，ｍは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ａ，ｍを生成し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}をＺ_{２，Ａ，ｍ}＝ｇ_２＾ｚ_Ａ，ｍのように計算し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}を公開し、秘密鍵Ｓ_{１，Ａ，ｍ}をＳ_{１，Ａ，ｍ}＝Ｈ_１（ＩＤ_Ａ，ｍ）＾ｚ_Ａ，ｍのように計算し、端末Ａに送信するとし、
   当該端末は、
   ０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを
   

   

   
   のように計算し、秘密鍵ｘ_Ａと秘密鍵Ｓ_１，Ａを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を計算し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し、公開鍵Ｘ_２，Ａを公開する鍵生成部と、
   

   

   
   および
   

   

   
   のあらかじめ定められた一方を含む所定の計算で、前記他の端末との共有鍵Ｋを求める鍵交換部
   を備えた端末。
3. 請求項２記載の端末であって、
   Ｈ_ｑは任意長の０と１で表現されたビット列を０以上ｑ未満の整数に写像するハッシュ関数、｜を０と１で表現されたビット列をつなげることを示す記号とし、
   前記鍵生成部は、ｘ_Ａ’＝Ｈ_ｑ（ｘ_Ａ｜Ｓ_１，Ａ）のように計算することで前記秘密鍵ｘ_Ａ’を計算する
   ことを特徴とする端末。
4. 請求項２または３記載の端末であって、
   Ｈは任意長の０と１で表現されたビット列をκビット長の０と１で表現されたビット列に写像するハッシュ関数、｜を０と１で表現されたビット列をつなげることを示す記号とし、
   前記鍵交換部は、Ｋ＝Ｈ（σ_１，Ａ｜σ_２，Ａ｜σ_３，Ａ）のように前記共有鍵Ｋを計算する
   ことを特徴とする端末。
5. 請求項２または３記載の端末であって、
   Ｈは任意長の０と１で表現されたビット列をκビット長の０と１で表現されたビット列に写像するハッシュ関数とし、
   前記鍵交換部の前記のあらかじめ定められた一方を含む所定の計算は、
   

   

   
   を含む所定の計算であって、
   前記鍵交換部は、σ_Ａ＝σ_１，Ａσ_２，Ａσ_３，Ａを計算し、Ｋ＝Ｈ（σ_Ａ）のように前記共有鍵Ｋを計算する
   ことを特徴とする端末。
6. ２つ以上の鍵生成装置と端末Ａと端末Ｂを有するＩＤベース認証鍵交換システムで実行するＩＤベース認証鍵交換方法であって、
   κはセキュリティパラメータ、Ｇ_１，Ｇ_２，Ｇ_Ｔは位数がκビット長の素数ｑの巡回群、ｇ_１は群Ｇ_１の生成元、ｇ_２は群Ｇ_２の生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ_１×Ｇ_２→Ｇ_Ｔのペアリングを示す記号、ｇ_１，ｇ_２，ｇ_Ｔはｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満足し、ｉは１または２、Ｈ_ｉは任意長の０と１で表現されたビット列を群Ｇ_ｉの元に写像するハッシュ関数、Ｍは２以上のあらかじめ定めた整数、Ｎは１以上のあらかじめ定めた整数、ｍは１以上Ｍ以下の整数、ｎは１以上Ｎ以下の整数、端末Ａは識別子としてＩＤ_Ａ＝（ＩＤ_Ａ，１，…，ＩＤ_Ａ，Ｍ）を有し、端末Ｂは識別子としてＩＤ_Ｂ＝（ＩＤ_Ｂ，１，…，ＩＤ_Ｂ，Ｎ）を有し、鍵生成装置Ｋ_Ａ，ｍはＩＤ_Ａ，ｍに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ｂ，ｎはＩＤ_Ｂ，ｎに対応付けられた前記２つ以上の鍵生成装置の中の１つ、鍵生成装置Ｋ_Ａ，１，…，Ｋ_Ａ，Ｍの中には互いに異なる鍵生成装置が含まれており、＾はべき乗を示す記号、Ｘ_２，Ａは前記端末Ａの公開鍵、Ｘ_２，Ｂは前記端末Ｂの公開鍵、Ｈ_１（ＩＤ_Ａ，ｍ）とＨ_１（ＩＤ_Ｂ，ｎ）は公開された情報とし、
   前記２つ以上の鍵生成装置のそれぞれは、
   １からＭまでのすべてのｍについて、鍵生成装置Ｋ_Ａ，ｍに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ａ，ｍを生成し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}をＺ_{２，Ａ，ｍ}＝ｇ_２＾ｚ_Ａ，ｍのように計算し、マスタ公開鍵Ｚ_{２，Ａ，ｍ}を公開し、１からＮまでのすべてのｎについて、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、０以上ｑ未満の整数であるマスタ秘密鍵ｚ_Ｂ，ｎを生成し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}をＺ_{２，Ｂ，ｎ}＝ｇ_２＾ｚ_Ｂ，ｎのように計算し、マスタ公開鍵Ｚ_{２，Ｂ，ｎ}を公開するマスタ鍵生成ステップと、
   １からＭまでのすべてのｍについて、鍵生成装置Ｋ_Ａ，ｍに該当するときは、秘密鍵Ｓ_{１，Ａ，ｍ}をＳ_{１，Ａ，ｍ}＝Ｈ_１（ＩＤ_Ａ，ｍ）＾ｚ_Ａ，ｍのように計算し、端末Ａに送信し、１からＮまでのすべてのｎについて、鍵生成装置Ｋ_Ｂ，ｎに該当するときは、秘密鍵Ｓ_{１，Ｂ，ｎ}をＳ_{１，Ｂ，ｎ}＝Ｈ_１（ＩＤ_Ｂ，ｎ）＾ｚ_Ｂ，ｎのように計算し、端末Ｂに送信する秘密鍵生成ステップと、
   を実行し、
   前記端末Ａは、
   ０以上ｑ未満の整数である秘密鍵ｘ_Ａを生成し、秘密鍵Ｓ_１，Ａを
   

   

   
   のように計算し、秘密鍵ｘ_Ａと秘密鍵Ｓ_１，Ａを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ａ’を計算し、公開鍵Ｘ_２，ＡをＸ_２，Ａ＝ｇ_２＾ｘ_Ａ’のように計算し、公開鍵Ｘ_２，Ａを公開する鍵生成Ａステップと、
   

   

   
   および公開鍵Ｘ_２，Ｂと秘密鍵ｘ_Ａ’とから計算されるσ_３，Ａの計算を含む所定の計算で、端末Ｂとの共有鍵Ｋを求める鍵交換Ａステップ
   を実行し、
   前記端末Ｂは、
   ０以上ｑ未満の整数である秘密鍵ｘ_Ｂを生成し、秘密鍵Ｓ_１，Ｂを
   

   

   
   のように計算し、秘密鍵ｘ_Ｂと秘密鍵Ｓ_１，Ｂを用いてあらかじめ定めた方法で０以上ｑ未満の整数である秘密鍵ｘ_Ｂ’を計算し、公開鍵Ｘ_２，ＢをＸ_２，Ｂ＝ｇ_２＾ｘ_Ｂ’のように計算し、公開鍵Ｘ_２，Ｂを公開する鍵生成Ｂステップと、
   

   

   
   および公開鍵Ｘ_２，Ａと秘密鍵ｘ_Ｂ’とから計算されるσ_３，Ｂの計算を含む所定の計算で、端末Ａとの共有鍵Ｋを求める鍵交換Ｂステップ
   を実行し、
   前記σ_３，Ａと前記σ_３，Ｂは、
   

   

   
   または、
   

   

   
   のように計算される
   ＩＤベース認証鍵交換方法。
7. 請求項２から５のいずれかの端末としてコンピュータを機能させるためのプログラム。

Images