JP2022500920A - コンピュータにより実施される、共通シークレットを共有するシステム及び方法 - Google Patents

Abstract

Ｂｉｔｃｏｉｎブロックチェーンにおけるようなブロックチェーントランザクションのセキュアな通信を可能にするために、複数のノード（Ａ，Ｂ，Ｃ）の間で第１共通シークレットを共有する方法が開示される。当該方法は、少なくとも１つの第１ノード（Ａ）について、複数の第２共通シークレット（ＳＡＰＣ、ＳＡＰＢ）を決定するステップであって、各第２共通シークレットは、前記第１ノード及びそれぞれの第２ノード（Ｂ）に共通であり、前記第１ノードにおいて前記第１ノードの第１秘密鍵（ＳＡ）及び前記第２ノードの第１公開鍵（ＰＣ、ＰＢ）に基づき決定され、前記第２ノードにおいて前記２ノードの第１秘密鍵（ＳＢ、ＳＣ）及び前記第１ノードの第１公開鍵（ＰＡ）に基づき決定される。第２ノード（Ｂ）及び第３ノード（Ｃ）に共通な第３共通シークレット（ＳＢＰＣ、ＳＣＰＢ）は、第２ノードについて決定される。当該方法は、第１ノードにおいて、前記第１ノードに知られている第１共通シークレットのシェアを暗号化するステップと、前記の暗号化されたシェアを第２ノードへ送信するステップと、を含む。当該方法は、第１ノードにおいて、前記第２ノードから、前記第１共通シークレットの暗号化されたシェアを受信するステップであって、複数のノードのうちの各々が、前記第１共通シークレットにアクセスするための第１共通シークレットの閾数のシェアに達することを可能にする、ステップを更に含む。

Description

本開示は、概して、複数のノードの間で共通シークレットを共有する方法に関し、特に、少なくとも３つのノードの間で共通シークレットを共有する方法に関する。本開示は、特に、限定ではないが、ノード間のセキュアな通信を可能にするために暗号法における使用に適し、限定ではないが、デジタルウォレット、ブロックチェーン（例えば、Ｂｉｔｃｏｉｎ）技術、及び個人向け装置のセキュリティと共に使用することに適し得る。

本願明細書では、私たちは、全ての形式の電子的な、コンピュータに基づく、分散型台帳を包含するために用語「ブロックチェーン」を使用する。これらは、総意に基づくブロックチェーン及びトランザクションチェーン技術、許可及び未許可台帳、共有台帳、並びにこれらの変形を含む。他のブロックチェーン実装が提案され開発されているが、ブロックチェーン技術の最も広く知られているアプリケーションは、Ｂｉｔｃｏｉｎ台帳である。Ｂｉｔｃｏｉｎは、ここでは、便宜上及び説明の目的で参照されることがあるが、本開示はＢｉｔｃｏｉｎブロックチェーンと共に使用することに限定されず、代替のブロックチェーン実装及びプロトコルが本開示の範囲に包含されることに留意すべきである。用語「ユーザ」は、ここでは、人間またはプロセッサに基づくリソースを表してよい。

ブロックチェーンは、コンピュータに基づく非集中型の分散型システムとして実装されるピアツーピアの電子台帳であり、ブロックにより構成され、ブロックはまたトランザクションにより構成される。各トランザクションは、ブロックチェーンシステムの中の参加者間でデジタルアセットの制御の移転を符号化するデータ構造であり、少なくとも１つのインプット及び少なくとも１つのアウトプットを含む。各ブロックは前のブロックのハッシュを含み、これらのブロックは一緒に繋げられて、起源以来ブロックチェーンに書き込まれている全てのトランザクションの永久的な変更不可能な記録を生成する。トランザクションは、スクリプトとして知られている小さなプログラムを含む。スクリプトは、それらのインプット及びアウトプットを埋め込まれ、トランザクションのアウトプットがどのように及び誰によりアクセス可能であるかを指定する。Ｂｉｔｃｏｉｎプラットフォームでは、これらのスクリプトはスタックに基づくスクリプト言語を用いて記述される。

トランザクションがブロックチェーンに書き込まれるためには、検証されなければならない。ネットワークノード（マイナー）は、無効なトランザクションがネットワークから拒否され、各トランザクションが有効であることを保証するために作業を実行する。ノードにインストールされたソフトウェアクライアントは、未使用トランザクション（unspent transaction, UTXO）のロック及びアンロックスクリプトを実行することにより、UTXOに対してこの検証作業を実行する。ロック及びアンロックスクリプトの実行が真（TRUE）と評価する場合、トランザクションは有効であり、トランザクションはブロックチェーンに書き込まれる。したがって、トランザクションがブロックチェーンに書き込まれるためには、（ｉ）トランザクションを受信した第１ノードにより検証され、トランザクションが有効な場合には、ノードが該トランザクションをネットワーク内の他のノードに中継する、（ｉｉ）マイナーにより構築された新しいブロックに追加される、（ｉｉｉ）マイニングされる、つまり過去のトランザクションのパブリック台帳に追加される、ことが必要である。

ブロックチェーン技術は、暗号通貨の実装の使用のために最も広く知られているが、デジタル事業家が、Ｂｉｔｃｏｉｎの基づく暗号セキュリティシステム及び新しいシステムを実装するためにブロックチェーンに格納できるデータの両方の使用を開発し始めている。ブロックチェーンが、暗号通貨の分野に限定されない自動化タスク及びプロセスのために使用できれば、非常に有利になる。

このようなソリューションは、ブロックチェーンの利益（例えば、永久性、イベントの記録の耐タンパ性、分散型処理、等）を利用しながら、それらの用途をより多様化し得る。

国際特許出願ＷＯ２０１７／１４５０１６号は、ノード間のセキュアな通信を可能にするために、２つのノードの間で共通シークレットを共有する方法を開示している。

しかしながら、２つより多くのノードの間で共通シークレットを共有する方法を提供することが望ましい。

このような改良されたソリューションがここで考案される。

従って、本開示によると、添付の請求項において定められる方法が提供される。

本開示によると、複数のノードの間で第１共通シークレットを共有する方法であって、各々の前記ノードは、前記複数のノードに共通の暗号システムのそれぞれの第１秘密鍵及びそれぞれの第１公開鍵を有するそれぞれの非対称暗号第１鍵ペアに関連付けられ、前記第１共通シークレットは、前記ノードの各々の前記第１秘密鍵に基づき、前記方法は、
少なくとも１つの第１ノードについて、複数の第２共通シークレットを決定するステップであって、各々の前記第２共通シークレットは、前記第１ノード及びそれぞれの第２ノードに共通であり、前記第１ノードにおいて前記第１ノードの前記第１秘密鍵及び前記第２ノードの前記第１公開鍵に基づき決定され、前記第２ノードにおいて前記第２ノードの前記第１秘密鍵及び前記第１ノードの前記第１公開鍵に基づき決定され、前記第１共通シークレットの複数のシェアはそれぞれ、少なくとも１つのそれぞれの第２共通シークレットに基づき、前記第１共通シークレットが閾数の前記シェアにアクセス可能になるが、前記閾数より少ないシェアにアクセス不可能になる、ステップと、
少なくとも１つの第２ノードについて、少なくとも１つのそれぞれの第３共通シークレットを決定するステップであって、それぞれの第３共通シークレットは、前記第２ノード及びそれぞれの第３ノードに共通であり、前記第２ノードにおいて前記第２ノードの前記第１秘密鍵及び前記第３ノードの前記第１公開鍵に基づき決定され、前記第３ノードにおいて前記第３ノードの前記第１秘密鍵及び前記第２ノードの前記第１公開鍵に基づき決定され、前記第１共通シークレットの少なくとも１つのシェアは、少なくとも１つのそれぞれの前記第３共通シークレットに基づく、ステップと、
少なくとも１つの前記第１ノードにおいて、前記第１ノードに知られている前記第１共通シークレットの少なくとも１つのシェアを、暗号システムのそれぞれの非対称暗号第２鍵ペアの第２秘密鍵に基づき、暗号化するステップであって、前記第２鍵ペアは前記第１ノードに知られているそれぞれの前記第２共通シークレットに基づく、ステップと、
少なくとも１つの前記の暗号化されたシェアを、前記第１ノードから、前記第２鍵ペアが基づく前記第２共通シークレットが共通であるそれぞれの前記第２ノードへ送信するステップと、
少なくとも１つの前記第１ノードにおいて、少なくとも１つの前記第２ノードから、前記第２ノードに知られており前記暗号システムのそれぞれの非対称暗号第２鍵ペアの第２秘密鍵に基づき暗号化された前記第１シークレットの少なくとも１つのそれぞれのシェアを受信するステップであって、前記第２鍵ペアは、前記第１ノード及び前記第２ノードに共通の前記第２共通シークレットに基づき、前記複数のノードの各々が前記第１共通シークレットの前記閾数のシェアに達することを可能にする、ステップと、
を含む方法が提供される。

これは、複数のノードの間で共通シークレットを共有し、該共通シークレットがノードの間のセキュアな通信の基礎として使用できる、効率的な方法を提供するという利点を提供する。

複数の前記の暗号化されたシェアは、それぞれ、対応する前記ノードに知られている複数の前記共通シークレットの結合に基づく。

これは、個々の共通シークレットを第三者に対して難読化し、それにより、例えば共有されたシークレットがブロックチェーントランザクションのスクリプトに含まれるとき、プライバシを向上することを可能にしながら、効率を向上するという利点を提供する。

複数の前記の暗号化されたシェアは、それぞれ、対応する前記ノードに知られている複数の前記共通シークレット少なくとも１つのそれぞれのＸＯＲ結合に基づいてよい。

これは、処理が簡易になり、それにより、受信ノードによる第１共通シークレットの復元を簡単にするという利点を提供する。

複数の前記の暗号化されたシェアは、対応する前記ノードに知られている複数の前記共通シークレットの乗算結合に基づいてよい。

前記乗算結合は（ｘ_１，ｘ_２，ｘ_３） ｍｏｄ ｎの形式であってよく、ｘ_１，ｘ_２，ｘ_３はノードに知られている共通シークレットであり、ｎは暗号システムの次数である。

複数の前記シェアは、第１多項式関数のシェアであってよく、前記第１シークレットは、少なくとも閾数の前記シェアの多項式補間により、決定されてよい。

前記方法は、前記第１共通シークレットの少なくとも閾数のシェアを受信するステップであって、各々の前記シェアは前記第１多項式関数のそれぞれの値に対応する、ステップと、
前記第１共通シークレットを決定するために、前記シェアの複数の知られている値から、前記第１多項式関数の係数を決定することにより、前記第１多項式関数を決定するステップと、
を更に含み得る。

前記第１多項式関数を決定するステップは、誤り訂正アルゴリズムを実行するステップを含んでよい。

前記第１多項式関数を決定するステップは、Ｂｅｒｌｅｋａｍｐ−Ｗｅｌｃｈ復号アルゴリズムを実行するステップを含んでよい。

前記第１多項式関数を決定するステップは、
誤り位置多項式関数及び第２多項式関数を定義するステップであって、前記第２多項式関数は、前記第１多項式関数と前記誤り位置多項式関数との積である、ステップと、
前記部分署名の複数の知られている値から、前記第２多項式関数及び前記誤り位置多項式関数の係数を決定するステップと、
前記第１共通シークレットを決定するために、前記第２多項式関数及び前記誤り検出多項式関数から前記第１多項式関数を決定するステップと、を含んでよい。

少なくとも１つの前記暗号システムは、準同型特性を有してよい。

これは、方法のより柔軟な効率的な動作を可能にするという利点を提供する。

少なくとも１つの前記デジタル署名は、楕円曲線暗号システムに基づいてよい。

これは、所与の鍵サイズに高いセキュリティの利点を提供する。

前記方法は、少なくとも第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）と前記第１及び第２ノードと共通な決定性鍵（ＤＫ）とに基づき、少なくとも１つの前記第１ノードの前記第１秘密鍵を決定するステップと、
前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）と前記共通暗号システムを用いる前記決定性鍵（ＤＫ）の暗号化とに基づき、少なくとも１つの前記第２ノードの前記第１公開鍵（Ｐ_２Ｓ）を決定するステップと、
を更に含んでよい。

決定性鍵（ＤＫ）はメッセージ（Ｍ）に基づいてよい。

前記メッセージ（Ｍ）及び前記第１ノードの第１秘密鍵（Ｖ_２Ｃ）に基づき、第１署名付きメッセージ（ＳＭ１）を生成するステップと、
前記通信ネットワークを介して、前記第１署名付きメッセージ（ＳＭ１）を前記第２ノード（Ｓ）へ送信するステップであって、前記第１署名付きメッセージ（ＳＭ１）は、前記第１ノード（Ｃ）を認証するために、前記第１ノードの第１公開鍵（Ｐ_２Ｃ）により検証できる、ステップと、
を更に含んでよい。

前記方法は、前記通信ネットワークを介して、前記第２ノード（Ｓ）から第２署名付きメッセージ（ＳＭ２）を受信するステップと、
前記第２ノードの前記第１公開鍵（Ｐ_２Ｓ）により、前記第２署名付きメッセージ（ＳＭ２）を検証するステップと、
前記第２署名付きメッセージ（ＳＭ２）を検証した結果に基づき、前記第２ノード（Ｓ）を認証するステップと、
を更に含んでよく、
前記第２署名付きメッセージ（ＳＭ２）は、メッセージ（Ｍ）又は第２メッセージ（Ｍ２）と前記第２ノードの前記第１秘密鍵（Ｖ_２Ｓ）とに基づき生成されたものである。

前記方法は、メッセージ（Ｍ）を生成するステップと、
通信ネットワークを介して、前記メッセージ（Ｍ）を前記第２ノードへ送信するステップと、を更に含んでよい。

前記方法は、前記通信ネットワークを介して、前記第２ノード（Ｓ）から前記メッセージ（Ｍ）を受信するステップ、を更に含んでよい。

前記方法は、前記通信ネットワークを介して、別のノードから前記メッセージ（Ｍ）を受信するステップ、を更に含んでよい。

前記方法は、データストア及び／又は前記第１ノード（Ｃ）に関連付けられた入力インタフェースから、前記メッセージ（Ｍ）を受信するステップ、を含んでよい。

前記暗号システムは楕円曲線暗号（ＥＣＣ）システムであってよく、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）及び第２ノードのマスタ公開鍵（Ｐ_１Ｓ）は、それぞれ第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）と生成元（Ｇ）との楕円曲線点積に基づいてよい。

前記方法は、前記通信ネットワークを介して、前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を受信するステップと、
前記第１ノード（Ｃ）に関連付けられたデータストアに、前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を格納するステップと、
を更に含んでよい。

前記方法は、第１ノード（Ｃ）において、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ秘密鍵（Ｐ_１Ｃ）を生成するステップと、
前記通信ネットワークを介して、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を前記第２ノード（Ｓ）及び／又は他のノードへ送信するステップと、
前記第１ノード（Ｃ）に関連付けられた第１データストアに、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）を格納するステップと、
を更に含んでよい。

前記方法は、前記通信ネットワークを介して、前記第２ノードへ、少なくとも１つの前記共通シークレット（ＣＳ）を決定する方法のために共通暗号システムを使用することを示す通知を送信するステップ、を更に含んでよく、
前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を生成するステップは、
前記共通暗号システムで指定される許容範囲内のランダムな整数に基づき、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）を生成するステップと、
前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）の暗号化に基づき、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を決定するステップと、
を含む。

前記共通暗号システムは、共通の生成元（Ｇ）を有する楕円曲線暗号（ＥＣＣ）システムであり、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）は、次式：
Ｐ_１Ｃ＝Ｖ_１Ｃ×Ｇ
に従い、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記共通の生成元（Ｇ）の楕円曲線点積に基づき決定されてよい。

前記方法は、メッセージ（Ｍ）のハッシュを決定することに基づき、前記決定性鍵（ＤＫ）を決定するステップ、を更に含んでよく、
前記第１ノードの第１秘密鍵（Ｖ_２Ｃ）を決定するステップは、次式：
Ｖ_２Ｃ＝Ｖ_１Ｃ＋ＤＫ
に従う、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記決定性鍵（ＤＫ）のスカラー加算に基づき、
前記第２ノードの第１公開鍵（Ｐ_２Ｓ）を決定するステップは、次式：
Ｐ_２Ｓ＝Ｐ_１Ｓ＋ＤＫ×Ｇ
に従う、前記決定性鍵（ＤＫ）及び前記共通の生成元（Ｇ）の楕円曲線点積への前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）の楕円曲線点加算に基づく。

前記決定性鍵（ＤＫ）は、前の決定性鍵のハッシュを決定することに基づいてよい。

本開示は、複数のノードの間のセキュアな通信の方法であって、前記方法は、
上述の方法により、第１共通シークレットを決定するステップと、
前記第１共通シークレットに基づき対称鍵を決定するステップと、
前記対称鍵により第１通信メッセージを暗号化して、暗号化第１通信メッセージにするステップと、
通信ネットワークを介して、前記複数のノードのうちの１つのノードから前記複数のノードのうちの他のノードへ、前記暗号化第１通信メッセージを送信するステップと、
を含む方法も提供し得る。

前記方法は、通信ネットワークを介して、前記複数のノードのうちの１つのノードから、暗号化第２通信メッセージを受信するステップと、
前記対称鍵により前記暗号化第２通信メッセージを復号して、第２通信メッセージにするステップと、
を更に含んでよい。

本開示は、複数のノードの間でオンライントランザクションを実行する方法であって、前記方法は、
上述の方法により、第１共通シークレットを決定するステップと、
前記第１共通シークレットに基づき対称鍵を決定するステップと、
前記対称鍵により第１トランザクションメッセージを暗号化して、暗号化第１トランザクションメッセージにするステップと、
通信ネットワークを介して、前記複数のノードのうちの第１ノードから前記複数のノードのうちの他のノードへ、前記暗号化第１トランザクションメッセージを送信するステップと、
を含む方法を更に提供し得る。

本開示は、プロセッサと、プロセッサによる実行の結果として、システムに本願明細書に記載のコンピュータにより実施される方法のいずれかの実施形態を実行させる実行可能命令を含むメモリと、を含むシステムも提供する。

本開示は、実行可能命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記実行可能命令は、コンピュータシステムのプロセッサにより実行された結果として、少なくとも、前記コンピュータシステムに、本願明細書に記載のコンピュータにより実施される方法を実行させる、非一時的コンピュータ可読記憶媒体も提供する。

本開示のこれらの及び他の態様は、本願明細書に記載の実施形態から明らかであり及びそれらを参照して教示される。

本開示の実施形態は、単なる例を用いて及び添付の図面を参照して以下に説明される。
第１ノード及び第２ノードの共通シークレットを決定するための例示的なシステムの概略図である。 共通シークレットを決定する、コンピュータにより実施される方法のフローチャートである。 第１及び第２ノードを登録する、コンピュータにより実施される方法のフローチャートである。 共通シークレットを決定する、コンピュータにより実施される方法の別のフローチャートである。 第１及び第２ノードの間のセキュアな通信の、コンピュータにより実施される方法のフローチャートである。 第１ノード及び第２ノードを認証する、コンピュータにより実施される方法のフローチャートである。 ３つのノードの間で共通シークレットを共有する、本開示を実現する方法を示す図である。 図７の方法のフローチャートである。 本開示を実現する方法において、第１共通シークレットを復元するＢｅｒｌｅｋａｍｐ−Ｗｅｌｃｈデコーダを示す。 ４つのノードの間で共通シークレットを共有する、本開示を実現する方法のフローチャートである。 種々の実施形態が実装できるコンピューティング環境を示す概略図である。

＜概要＞
最初に、第１ノード（Ｃ）において、第２ノード（Ｓ）におけるものと同じ共通シークレットである共通シークレット（ＣＳ）を決定する方法、装置、及びシステムが記載される。これは、ノードのペアの間で第２共通シークレットを決定するために使用され、次に、図７及び８を参照して以下に詳述されるように、３以上のノードを含む複数のノードの間で第１共通シークレットを共有するために使用される。図１は、通信ネットワーク５を介して、第２ノード７と通信する第１ノード３を含むシステム１を示す。第１ノード３は、関連する第１処理装置２３を有し、第２ノード５は、関連する第２処理装置２７を有する。第１及び第２ノード３、７は、コンピュータ、タブレットコンピュータ、モバイル通信装置、コンピュータサーバ、等のような電子装置を含んでよい。一例では、第１ノード３はクライアント装置であってよく、第２ノード７はサーバである。

第１ノード３は、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を有する第１非対称暗号ペアと関連付けられる。第２ノード（７）は、第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）及び第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を有する第２非対称暗号ペアと関連付けられる。第１及び第２ノード３、７のそれぞれの第１及び第２非対称暗号ペアは、登録（registration）中に生成されてよい。第１及び第２ノード３、７により実行される登録の方法１００、２００は、図３を参照して更詳細に後述される。各ノードの公開鍵は、例えば通信ネットワーク５を介して、公に共有されてよい。

第１ノード３及び第２ノード７の両方で共通シークレット（ＣＳ）を決定するために、ノード３、７は、通信ネットワーク５を介して秘密鍵を通信することなく、それぞれの方法３００、４００のステップを実行する。

第１ノード３で実行される方法３００は、少なくとも第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び決定性鍵（ＤＫ）に基づき第１ノードの第２秘密鍵（Ｖ_２Ｃ）を決定するステップ３２０を含む。決定性鍵（deterministic key）は、第１及び第２ノードの間で共有されるメッセージ（Ｍ）に基づいてよい。これは、以下に更に詳述するように、通信ネットワーク５を介してメッセージを共有することを含んでよい。方法３００は、少なくとも第２ノードのマスタ公開鍵（Ｐ_１Ｓ）及び決定性鍵（ＤＫ）に基づき第２ノードの第２公開鍵（Ｐ_２Ｓ）を決定するステップ３７０も含む。方法３００は、第１ノードの第２秘密鍵（Ｖ_２Ｃ）及び第２ノードの第２公開鍵（Ｐ_２Ｓ）に基づき共通シークレット（ＣＳ）を決定するステップ３８０を含む。

重要なことに、同じ共通シークレット（ＣＳ）が、方法４００により第２ノード７においても決定できる。方法４００は、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）及び決定性鍵（ＤＫ）に基づき第１ノードの第２公開鍵（Ｐ_２Ｃ）を決定するステップ４３０を含む。方法４００は、第２ノードのマスタ秘密鍵（Ｖ１S）及び決定性鍵（ＤＫ）に基づき第２ノードの第２秘密鍵（Ｖ_２Ｓ）を決定するステップ４７０も含む。方法４００は、第２ノードの第２秘密鍵（Ｖ_２Ｓ）及び第１ノードの第２公開鍵（Ｐ_２Ｃ）に基づき共通シークレット（ＣＳ）を決定するステップ４８０を含む。

通信ネットワーク５は、ローカルエリアネットワーク、ワイドエリアネットワーク、セルラネットワーク、無線通信ネットワーク、インターネット、等を含んでよい。

これらのネットワークでは、データが電線、光ファイバ、又は無線のような通信媒体を介して伝送されてよく、盗聴者によるような盗聴を受ける可能性がある。

方法３００、４００は、通信ネットワーク５を介して共通シークレットを送信することなく、第１ノード３及び第２ノード７両方とも独立に共通シークレットを決定できるようにし得る。従って、１つの利点は、セキュアでない可能性のある通信ネットワーク５を介して秘密鍵を送信する必要を有しないで、共通シークレット（ＣＳ）が、各ノードによりセキュアに決定され得ることである。また、共通シークレットは、通信ネットワーク５を介する第１ノード及び第２ノード３、７の間の暗号化通信のためのシークレット鍵として（又はシークレット鍵の基礎として）使用され得る。

方法３００、４００は、追加ステップを含んでよい。方法３００は、第１ノード３において、メッセージ（Ｍ）及び第１ノードの第２秘密鍵（Ｖ_２Ｃ）に基づき、署名付きメッセージ（ＳＭ１）を生成するステップを含んでよい。方法３００は、通信ネットワークを介して、第２ノード７へ、第１署名付きメッセージ（ＳＭ１）を送信するステップ３６０を更に含む。また、第２ノード７は、第１署名付きメッセージ（ＳＭ１）を受信するステップ４４０を実行してよい。方法４００は、第１ノードの第２公開鍵（Ｐ_２Ｃ）により第１署名付きメッセージ（ＳＭ１）を検証するステップ４５０と、第１署名付きメッセージ（ＳＭ１）を検証して結果に基づき、第１ノード３を認証するステップ４６０と、を更に含む。有利なことに、これは、第２ノード７が、自称（purported）第１ノード（第１署名付きメッセージが生成された場所）が第１ノード３であることを認証することを可能にする。

これは、第１ノード３のみが第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）へのアクセスを有し、従って、第１ノード３のみが第１署名付きメッセージ（ＳＭ１）を生成するための第１ノードの第２秘密鍵（Ｖ_２Ｃ）を決定できるという前提に基づく。理解されるべきことに、第２署名付きメッセージ（ＳＭ２）は、第２ノード７において生成され、第１ノード３へ送信され得る。その結果、ピアツーピアシナリオのおけるように、第１ノード３は第２ノード７を認証できる。

第１及び第２ノードの間でメッセージ（Ｍ）を共有することは、種々の方法で達成されてよい。一例では、メッセージは、第１ノード３において生成されてよく、次に、通信ネットワーク５を介して第２ノード７へ送信される。代替として、メッセージは、第２ノード７において生成されてよく、次に、通信ネットワーク５を介して第２ノード７へ送信される。更に別の例では、メッセージは、第３ノード９において生成されてよく、メッセージは第１及び第２ノード３、７の両方へ送信される。更に別の例では、ユーザは、ユーザインタフェースを通じて、第１及び第２ノード３、７により受信されるべきメッセージを入力してよい。更に別の例では、メッセージ（Ｍ）は、データストア１９から読み出されてよく、第１及び第２ノード３、７の両方へ送信される。幾つかの例では、メッセージ（Ｍ）は、公にされてよく、従ってセキュアでないネットワーク５を介して送信されてよい。

更なる例では、１つ以上のメッセージ（Ｍ）が、データストア１３、１７、１９に格納されてよく、メッセージは、第１ノード３と第２ノード７との間のセッション、トランザクション、等に関連付けられてよい。従って、メッセージ（Ｍ）は、それぞれ第１ノード３及び第２ノード７において読み出され、該セッション又はトランザクションに関連付けられた共通シークレット（ＣＳ）を再生成するために使用されてよい。有利なことに、共通シークレット（ＣＳ）の再生成を可能にするためのレコードが保持されてよく、該レコード自体が秘密に格納され又はセキュアに送信される必要はない。これは、多数のトランザクションが第１ノード３及び第２ノード７において実行され、ノード自体に全部のメッセージ（Ｍ）を格納することが実用的でない場合に有利である。

＜登録方法１００、２００＞
登録方法１００、２００の例は、図３を参照して説明される。ここで、方法１００は第１ノード３により実行され、方法２００ｈじゃ第２ノード７により実行される。これは、それぞれの第１ノード３及び第２ノード７について、第１及び第２非対称暗号ペアを確立するステップを含む。

非対称暗号ペアは、公開鍵暗号化で使用されるような、関連付けられた秘密鍵及び公開鍵を含む。本例では、非対称暗号ペアは、楕円曲線暗号（ＥＣＣ）及び楕円曲線演算の特性を用いて生成される。

ＥＣＣについての標準は、Standards for Efficient Cryptography Group (www.sceg.org)により策定されたもののような知られている標準を含んでよい。

楕円曲線暗号は、ＵＳ５,６００,７２５、ＵＳ５,７６１,３０５、ＵＳ５８８９,８６５、ＵＳ５,８９６,４５５、ＵＳ５,９３３,５０４、ＵＳ６,１２２,７３６、ＵＳ６,１４１,４２０、ＵＳ６,６１８,４８３、ＵＳ６,７０４,８７０、ＵＳ６,７８５,８１３、ＵＳ６,０７８,６６７、ＵＳ６,７９２,５３０にも記載されている。

方法１００、２００では、これは、第１ノード及び第２ノードが、共通ＥＣＣシステム及び共通生成元（Ｇ、common generatorを使用することを決定するステップ１１０、２１０を含む。一例では、共通ＥＣＣシステムは、Ｂｉｔｃｏｉｎにより使用されるＥＣＣシステムであるｓｅｃｐ２５６Ｋ１に基づいてよい。共通生成元（Ｇ）は、選択され、ランダムに生成され、又は割り当てられてよい。

第１ノード３を参照すると、方法１００は、共通ＥＣＣシステム及び共通生成元（Ｇ）を決定するステップ１１０を含む。これは、第２ノード７又は第３ノード９から、共通ＥＣＣシステム及び共通生成元を受信するステップを含んでよい。代替として、ユーザインタフェース１５は、第１ノード３に関連付けられてよく、それにより、ユーザは、共通ＥＣＣシステム及び／又は共通生成元（Ｇ）を選択的に提供してよい。また別の代替では、ＥＣＣシステム及び／又は共通生成元（Ｇ）の一方又は両方は、第１ノード３によりランダムに選択されてよい。第１ノード３は、通信ネットワーク５を介して、共通ＥＣＣシステムを共通生成元（Ｇ）と共に使用することを示す通知を第２ノード７へ送信してよい。また、第２ノード７は、共通ＥＣＣシステム及び共通生成元（Ｇ）を使用することの肯定応答を示す通知を送信することにより、決定してよい２１０。

方法１００は、第１ノード３が、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を有する第１非対称暗号ペアを生成するステップ１２０を更に含む。これは、少なくとも部分的に、共通ＥＣＣシステムで指定された許容範囲内のランダムな整数に基づき、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）を生成するステップを含む。これは、次式に従い、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）と共通生成元（Ｇ）との楕円曲線点積に基づき、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を決定するステップを更に含む。

従って、第１非対称暗号ペアは以下を含む。

Ｖ_１Ｃ：第１ノードにより秘密に保持される第１ノードのマスタ秘密鍵。

Ｐ_１Ｃ：公に知られるようにされた第１ノードのマスタ公開鍵。

第１ノード３は、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を、第１ノード３に関連付けられた第１データストア１３に格納してよい。セキュリティのために、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）は、鍵田秘密のままであることを保証するために、第１データストア１３のセキュアな部分に格納されてよい。

方法１００は、通信ネットワーク５を介して、第２ノード７へ、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を送信するステップ１３０を更に含む。第２ノード７は、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を受信すると２２０、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を、第２ノード７に関連付けられた第２データストア１７に格納してよい２３０。

第１ノード３と同様に、第２ノード７の方法２００は、第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）及び第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を有する第２非対称暗号ペアを生成するステップ２４０を含む。第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）は、また、許容範囲内のランダムな整数である。また、第２ノードのマスタ公開鍵（Ｐ_１Ｓ）は、次式により決定される。

従って、第２非対称暗号ペアは以下を含む。

Ｖ_１Ｓ：第２ノードにより秘密に保持される第２ノードのマスタ秘密鍵。

Ｐ_１Ｓ：公に知られるようにされた第２ノードのマスタ公開鍵。

第２ノード７は、第２非対称暗号ペアを第２データストア１７に格納してよい。方法２００は、第１ノード３へ、第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を送信するステップ２５０を更に含む。また、第１ノード３は、第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を受信し１４０、格納してよい１５０。

理解されるべきことに、幾つかの代替では、それぞれの公開マスタ鍵は、受信され、（信頼できる第三者のような）第３ノード９に関連付けられた第３データストア１９に格納される。これは、証明機関のようなパブリックディレクトリとして動作する第三者を含んでよい。従って、幾つかの例では、共通シークレット（ＣＳ）を決定することが必要なときにのみ、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）は、第２ノード７により要求され受信されてよい（逆も同様である）。

登録ステップは、初期設定として１回生じる必要があるだけである。後に、マスタ鍵は、特に決定性鍵（ＤＫ）に依存する共通シークレットを生成するために、安全の問題で再利用できる。

＜セッション開始、及び第１ノード３による共通シークレットの決定＞
共通シークレット（ＣＳ）を決定する例は、図４を参照して以下に記載される。共通シークレット（ＣＳ）は、特定のセッション、時間、トランザクション、又は他の目的で、第１ノード３と第２ノード７との間で使用されてよく、同じ共通シークレット（ＣＳ）を使用することは望ましくなく又は安全ではない可能性がある。従って、共通シークレット（ＣＳ）は、異なるセッション、時間、トランザクション等の間で変更されてよい。

＜メッセージ（Ｍ）の生成３１０＞
本例では、第１ノード３により実行される方法３００は、メッセージ（Ｍ）を生成するステップ３１０を含む。メッセージ（Ｍ）は、ランダム、疑似ランダム、又はユーザにより定義されてよい。一例では、メッセージ（Ｍ）は、Ｕｎｉｘ時間及びノンス（及び任意の値）に基づく。例えば、メッセージ（Ｍ）は以下のように提供されてよい。

幾つかの例では、メッセージ（Ｍ）は任意である。しかしながら、メッセージ（Ｍ）が、幾つかの用途において有用であり得る（Ｕｎｉｘ時間のような）選択的な値を有してよいことが理解されるべきである。

方法３００は、通信ネットワークを介して、第２ノード７へ、メッセージ（Ｍ）を送信するステップ３１５を含む。メッセージ（Ｍ）は秘密鍵に関する情報を含まないので、メッセージ（Ｍ）は、セキュアでないネットワークを介して送信されてよい。

＜決定性鍵の決定３２０＞
方法３００は、メッセージ（Ｍ）に基づき、決定性鍵（ＤＫ）を決定するステップ３２０を更に含む。本例では、これは、メッセージの暗号ハッシュを決定するステップを含む。

暗号ハッシュアルゴリズムの例は、２５６ビットの決定性鍵（ＤＫ）を生成するためのＳＨＡ−２５６を含む。つまり：

理解されるべきことに、他のハッシュアルゴリズムが使用されてよい。これは、セキュアハッシュアルゴリズム（Secure Hash Algorithm (SHA)）ファミリの中のアルゴリズムを有する。幾つかの特定の例は、ＳＨＡ３−２２４、ＳＨＡ３−２５６、ＳＨＡ３−３８４、ＳＨＡ３−５１２、ＳＨＡＫＥ１２８、ＳＨＫＥ２５６を含むＳＨＡ−３サブセットの中のインスタンスを含む。他のハッシュアルゴリズムは、ＲＩＰＥＭＤ（RACE Integrity Primitives Evaluation Message Digest）ファミリの中のアルゴリズムを含んでよい。特定の例は、ＲＩＰＥＭＤ−１６０を含んでよい。他のハッシュアルゴリズムは、Ｚｅｍｏｒ−Ｔｉｌｌｉｃｈハッシュ関数及びナップサックに基づくハッシュ関数に基づくファミリを含んでよい。

＜第１ノードの第２秘密鍵の決定３３０＞
方法３００は、次に、第２ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び決定性鍵（ＤＫ）に基づき第１ノードの第２秘密鍵（Ｖ_２Ｃ）を決定するステップ３３０を含む。

これは、次式に従う、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び決定性鍵（ＤＫ）のスカラー加算に基づき得る。

従って、第１ノードの第２秘密鍵（Ｖ_２Ｃ）は、ランダム値ではないが、代わりに、第１ノードのマスタ秘密鍵から決定的に導出される。暗号ペアの中の対応する公開鍵、つまり第１ノードの第２公開鍵（Ｐ_２Ｃ）は、以下の関係を有する。

式５からのＶ_２Ｃを式６に代入すると、

ここで、「＋」演算子はスカラー加算を表し、「×」演算子は楕円曲線点乗算を表す。

楕円曲線暗号代数学は分配的であることに留意して、式７は以下のように表される。

最後に、式１が式７に代入されて、以下を与える。

式８〜９．２で、「＋」演算子は、楕円曲線点加算を表す。従って、対応する第１ノードの第２公開鍵（Ｐ_２Ｃ）は、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）及びメッセージ（Ｍ）の知識が与えられると、導出可能であり得る。方法４００に関して以下に更に詳述するように、第２ノード７は、第１ノードの第２公開鍵（Ｐ_２Ｃ）を独立に決定するために、このような知識を有してよい。

＜メッセージ及び第１ノードの第２秘密鍵に基づく第１署名付きメッセージ（ＳＭ１）の生成３５０＞
方法３００は、メッセージ（Ｍ）及び決定した第１ノードの第２秘密鍵（Ｖ_２Ｃ）に基づき、第１署名付きメッセージ（ＳＭ１）を生成するステップ３５０を更に含む。署名付きメッセージを生成するステップは、メッセージ（Ｍ）にデジタル方式で署名するために、デジタル署名アルゴリズムを適用するステップを含む。一例では、これは、第１署名付きメッセージ（ＳＭ１）を取得するために、第１ノードの第２秘密鍵（Ｖ_２Ｃ）を、楕円曲線デジタル署名アルゴリズム（Elliptic Curve Digital Signature Algorithm (ECDSA)）においてメッセージに適用するステップを含む。

ＥＣＤＳＡの例は、ｓｅｃｐ２５６ｋ１、ｓｅｃｐ２５６ｒ１、ｓｅｃｐ３８４ｒ１、ｓｅ３ｃｐ５２１ｒ１を有するＥＣＣシステムに基づくものを含む。

第１署名付きメッセージ（ＳＭ１）は、第２ノード７において、第１ノードの第２公開鍵（Ｐ_２Ｃ）により検証できる。第１署名付きメッセージ（ＳＭ１）のこの検証は、第１ノード３を認証するために、第２ノード７により使用されてよい。これは、以下の方法４００で議論される。

＜第２ノードの第２公開鍵の決定３７０’＞
第１ノード３は、次に、第２ノードの第２公開鍵（Ｐ_２Ｓ）を決定してよい３７０。上述のように、第２ノードの第２公開鍵（Ｐ_２Ｓ）は、第２ノードのマスタ公開鍵（Ｐ_１Ｓ）及び決定性鍵（ＤＫ）に基づき決定されてよい。本例では、公開鍵は、秘密鍵と生成元（Ｇ）との楕円曲線点積により決定されるので３７０’、第２ノードの第２公開鍵（Ｐ_２Ｓ）は、式６と同様に、次式により表すことができる。

式１０．２の数学的証明は、第１ノードの第２公開鍵（Ｐ_２Ｃ）について式９．１を導出するために上述したのと同じである。第１ノード３は、第２ノード７と独立に、第２ノードの第２公開鍵を決定できる３７０。

＜第１ノード３における共通シークレット３８０の決定＞
第１ノード３は、決定した第１ノードの第２秘密鍵（Ｖ_２Ｃ）及び決定した第２ノードの第２公開鍵（Ｐ_２Ｓ）に基づき共通シークレット（ＣＳ）を決定してよい３８０。共通シークレット（ＣＳ）は、次式により第１ノード３により決定されてよい。

＜第２ノード７において実行される方法４００＞
第２ノード７において実行される対応する方法４００が以下に説明される。理解されるべきことに、これらのステップのうちの幾つかは、第１ノード３により実行された上述のステップと同様である。

方法４００は、通信ネットワーク５を介して、第１ノード３から、メッセージ（Ｍ）を受信するステップ４１０を含む。これは、ステップ３１５において第１ノード３により送信されたメッセージ（Ｍ）を含んでよい。第２ノード７は、次に、メッセージ（Ｍ）に基づき、決定性鍵（ＤＫ）を決定する４２０。第２ノード７により決定性鍵（ＤＫ）を決定するステップ４２０は、第１ノードにより実行される上述のステップ３２０と同様である。本例では、第２ノード７は、第１ノード３と独立である、この決定するステップを実行する。

次のステップは、第１ノードのマスタ公開鍵（Ｐ_１Ｃ）及び決定性鍵（ＤＫ）に基づき第１ノードの第２公開鍵（Ｐ_２Ｃ）を決定するステップ４３０を含む。本例では、公開鍵は、秘密鍵と生成元（Ｇ）との楕円曲線点積により決定されるので４３０’、第１ノードの第２公開鍵（Ｐ_２Ｃ）は、式９と同様に、次式により表すことができる。

式１２．１及び１２．２の数学的証明は、式１０．１及び１０．２について上述したものと同じである。

＜第２ノード７が第１ノード３を認証する＞
方法４００は、自称第１ノード３が第１ノード３であることを認証するために、第２ノード７により実行されるステップを含んでよい。上述のように、これは、第１ノード３から第１署名付きメッセージ（ＳＭ１）を受信するステップ４４０を含む。第２ノード７は、ステップ４３０で決定された第１ノードの第２公開鍵（Ｐ_２Ｃ）により、第１署名付きメッセージ（ＳＭ１）上の署名を検証してよい４５０。

デジタル署名の検証は、上述のように楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）に従い行われてよい。重要なことに、Ｖ_２Ｃ及びＰ_２Ｃは暗号ペアを形成するので、第１ノードの第２秘密鍵（Ｖ_２Ｃ）により署名された第１署名付きメッセージ（ＳＭ１）は、対応する第１ノードの第２公開鍵（Ｐ_２Ｃ）によってよみ正しく検証されるべきである。これらの鍵は、第１ノード３の登録の際に生成された第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ公開鍵（Ｐ_１Ｃ）の上で確定するので、第１署名付きメッセージ（ＳＭ１）の検証は、第１署名付きメッセージ（ＳＭ１）を送信している自称第１ノードが登録中と同じ第１ノード３であることを認証する基礎として使用できる。従って、第２ノード７は、第１署名付きメッセージを検証するステップ（４５０）の結果に基づき、第１ノード３を認証するステップ（４６０）を更に実行してよい。

上述の認証は、２つのノードのうちの１つが信頼できるノードであり、これらのノードのうちの１つのみが認証される必要があるシナリオに適してよい。例えば、第１ノード３はクライアントであってよく、第２ノード７はクライアントにより信頼されるサーバであってよい。従って、サーバ（第２ノード７）は、クライアントがサーバシステムにアクセスするのを許可するために、クライアント（第１ノード３）の認証情報（credentials）を認証する必要があってよい。サーバは、クライアントにサーバの認証情報を認証される必要がなくてよい。しかしながら、幾つかのシナリオでは、別の例において後述するように、ピアツーピアシナリオにおけるように、両方のノードが互いに認証されることが望ましい場合がある。

＜第２ノード７が共通シークレットを決定する＞
方法４００は、第２ノード７が、第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）及び決定性鍵（ＤＫ）に基づき第２ノードの第２秘密鍵（Ｖ_２Ｓ）を決定するステップ４７０を更に含んでよい。第１ノード３により実行されるステップ３３０と同様に、第２ノードの第２秘密鍵（Ｖ_２Ｓ）は、次式に従う、第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）及び決定性鍵（ＤＫ）のスカラー加算に基づくことができる。

第２ノード７は、次に、第１ノード３と独立に、次式に基づき、第２ノードの第２秘密鍵（Ｖ_２Ｓ）及び決定した第２ノードの第２公開鍵（Ｐ_２Ｃ）に基づき共通シークレット（ＣＳ）を決定してよい４８０。

＜第１ノード３及び第２ノード７により決定される共通シークレット（ＣＳ）の証明＞
第１ノード３により決定された共通シークレット（ＣＳ）は、第２ノード７により決定された共通シークレット（ＣＳ）と同じである。式１１及び式１４が同じ共通シークレット（ＣＳ）であることの数学的証明が以下に説明される。

第１ノード３により決定された共通シークレット（ＣＳ）を考えると、以下のように式１０．１は式１１に代入できる。

第２ノード７により決定された共通シークレット（ＣＳ）を考えると、以下のように式１２．１は式１４に代入できる。

ＥＣＣ代数学は可換性なので、式１５及び式１６は等価である：

＜共通シークレット（ＣＳ）及びシークレット鍵＞
共通シークレット（ＣＳ）は、第１ノード３と第２ノード７との間のセキュアな通信のために対称鍵アルゴリズムの中でシークレット鍵として又はシークレット鍵の基礎として使用されてよい。

共通シークレット（ＣＳ）は、楕円曲線点（ｘ_Ｓ，ｙ_Ｓ）の形式であってよい。これは、ノード３、７により合意された標準的な公に知られている演算を用いて標準的な鍵フォーマットに変換されてよい。例えば、ｘ_Ｓ値は、ＡＥＳ２５６暗号化の鍵として使用され得る２５６ビットの整数であってよい。それは、１６０ビットの長さの鍵を必要とする任意の用途のためにＲＩＰＥＭＤ１６０を用いて、１６０ビットの整数に更に変換され得る。

共通シークレット（ＣＳ）は、必要に応じて決定されてよい。重要なことに、共通シークレット（ＣＳ）はメッセージ（Ｍ）に基づき再決定できるので、第１ノード３は、共通シークレット（ＣＳ）を格納する必要がない。幾つかの例では、使用されるメッセージ（Ｍ）は、マスタ秘密鍵について要求されるのと同じレベルのセキュリティを有することなく、データストア１３、１７、１９（又は他のデータストア）に格納されてよい。幾つかの例では、メッセージ（Ｍ）は公に利用可能であってよい。

しかしながら、幾つかの用途に依存して、共通シークレット（ＣＳ）が第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）と同じようにセキュアに保たれるならば、共通シークレット（ＣＳ）は、第１ノードに関連付けられた第１データストア（Ｘ）に格納され得る。

更に、開示のシステムは、単一のマスタ鍵暗号ペアに基づき、複数のセキュアなシークレット鍵に対応してよい複数の共通シークレットの決定を可能にし得る。この利点は、以下の例により説明され得る。

複数のセッションが存在し、それぞれが複数のそれぞれの共通シークレット（ＣＳ）に関連付けられる状況では、これらの複数のセッションに関連付けられたレコードを有し、それぞれの共通シークレット（ＣＳ）が将来に再決定できるようにすることが望ましい場合がある。知られているシステムでは、これは、複数のシークレット鍵をセキュアなデータストアに格納する必要があり、これは高価であり又は保守するのに不便である場合がある。

これに対して、本発明のシステムは、第１及び第２ノードにおいてマスタ鍵をセキュアに保つと同時に、他の決定性鍵又はメッセージはセキュアに又は非セキュアに格納されてよい。決定性鍵（ＤＫ）、又はメッセージ（Ｍ）が非セキュアに格納される代わりに、共通シークレットを決定するために必要なマスタ秘密鍵はセキュアなままなので、複数の共通シークレット（ＣＳ）はセキュアに保たれる。

方法は、例えばログインパスワードをセキュアに送信するために、一時的な通信リンクのための「セッション鍵」を生成するために使用されてもよい。

＜ピアツーピア認証＞
ピアツーピアシナリオでは、第１ノード３及び第２ノード７は、互いの認証情報を認証する必要があってよい。この例は、図６を参照して以下に記載される。本例では、検証された第１署名付きメッセージ（ＳＭ１）に基づき第１ノード３を認証するための方法３００、４００のステップは、上述のものと同様である。

しかしながら、第２ノード７により実行される方法４００は、メッセージ（Ｍ）及び第２ノードの秘密鍵（Ｖ_２Ｓ）に基づき、第２署名付きメッセージ（ＳＭ２）を生成するステップ４６２を更に含む。幾つかの代替では、第２署名付きメッセージ（ＳＭ２）は、第２メッセージ（Ｍ２）及び第２ノードの秘密鍵（Ｖ_２Ｓ）に基づいてよく、第２メッセージ（Ｍ２）は第１ノード３と共有される。方法４００は、通信ネットワーク５を介して、第１ノード３へ、第２署名付きメッセージ（ＳＭ２）を送信するステップ４６４を更に含む。

第１ノード３で、方法３００は、第２ノード７から第２署名付きメッセージ（ＳＭ２）を受信するステップを含む。方法は、ステップ３７０で決定された第２ノードの第２公開鍵（Ｐ_２Ｓ）により、第２署名付きメッセージ（ＳＭ２）上の署名を検証するステップ３７４を含む。方法３００は、次に、第２署名付きメッセージ（ＳＭ２）を検証した結果に基づき、第２ノード７を認証するステップ３７６を含んでよい。この結果、第１ノード３及び第２ノード７が互いに認証する。

＜決定性鍵の階層構造＞
一例では、連続的な決定性鍵のシリーズが決定されてよく、各連続する鍵は、先行する決定性鍵に基づき決定されてよい。

例えば、連続的な単一目的の鍵を生成するためにステップ３１０〜３７０及び４１０〜４７０を繰り返す代わりに、ノード間の事前合意により、決定性鍵の階層構造を構築するために、両方のパーティにより、前に使用された決定性鍵（ＤＫ）が繰り返し再ハッシングされ得る。事実上、メッセージ（Ｍ）のハッシュに基づく決定性鍵は、次世代の決定性鍵（ＤＫ’）のための次世代のメッセージ（Ｍ’）であり得る。これを行うことは、共通シークレットの連続的な生成が、更なるプロトコルにより確立される送信、特に共通シークレットの各世代のための複数のメッセージの送信を必要とすることなく計算できるようにする。次世代の共通シークレット（ＣＳ’）は、以下のように計算できる。

先ず、第１ノード３及び第２ノード７の両方は、次世代の決定性鍵（ＤＫ’）を独立に決定する。これは、ステップ３２０及び４２０と同様であるが、以下の式により適応される。

第１ノード３は、次に、上述のステップ３７０及び３３０と同様であるが、次式により適応されて、次世代の第２ノードの第２公開鍵（Ｐ_２Ｓ’）及び第１ノードの第２秘密鍵（Ｖ_２Ｃ’）を決定してよい。

第２ノード７は、次に、上述のステップ４３０及び４７０と同様であるが、次式により適応されて、次世代の第１ノードの第２公開鍵（Ｐ_２Ｃ’）及び第２ノードの第２秘密鍵（Ｖ_２Ｓ’）を決定してよい。

第１ノード３及び第２ノード７は、次に、それぞれ、次世代の共通シークレット（ＣＳ’）を決定してよい。特に、第１ノード３は、次世代の共通シークレット（ＣＳ’）を次式により決定する。

第２ノード７は、次世代の共通シークレット（ＣＳ’）を次式により決定する。

更なる世代（ＣＳ’’、ＣＳ’’’、等）は同じ方法で計算でき、チェーン階層構造を生成する。

この技術は、第１ノード３及び第２ノード７の両方が、元のメッセージ（Ｍ）又は最初に計算された決定性鍵（ＤＫ）、及びそれがどのノードに関連するか、を追跡することを要求する。これは公に知られた情報なので、この情報の保持に関してセキュリティ問題は存在しない。従って、この情報は、（ハッシュ値を公開鍵にリンクする）「ハッシュテーブル」に保持され、（例えばＴｏｒｒｅｎｔを用いて）ネットワーク５に渡り自由に分配されてよい。更に、階層構造の中のいずれの個々の共通シークレット（ＣＳ）も危険に晒されない場合、これは、秘密鍵Ｖ_１Ｃ、Ｖ_１Ｓがセキュアなままであるならば、階層構造の中の任意の他の共通シークレットのセキュリティに影響を与えない。

＜鍵の木構造＞
上述のようなチェーン（線形）階層構造と同様に、木構造の形式の階層構造を生成できる。

木構造によると、認証鍵、暗号鍵、署名鍵、支払い鍵、等のような異なる目的のための種々の鍵が、決定できる。それにより、これらの鍵は全部、単一のセキュアに維持されるマスタ鍵にリンクされる。

＜実施形態の説明＞
図７は、３つのノードＡ、Ｂ、Ｃの間で第１共通シークレットを共有するための、本開示を実現する方法を示し、図８は当該方法のフローチャートを示す。各ノードＡ、Ｂ、Ｃは、それ自体の秘密鍵／公開鍵ペア（Ｓ，Ｐ）に関連付けられ、例えばノードＡの秘密鍵、公開鍵ペアは（Ｓ_Ａ，Ｐ_Ａ）である。各々の秘密鍵又は公開鍵は、図１〜６を参照して上述したのと同様の方法で、該ノードのそれぞれのマスタ秘密鍵又はマスタ公開鍵と決定性鍵とから導出されてよい。秘密−公開鍵ペアは、楕円曲線暗号システムの鍵ペアである。例えば、Ｐ_Ａ＝Ｓ_Ａ×Ｇ、Ｇは楕円曲線基準点（generator point）である。、
ノードＡとＢ、ＡとＣ、ＢとＣの各ペアの間のセキュアな通信は、図８のステップ８０で、図１〜６を参照して上述した方法を用いてノードの各ペアの間の第２の共通シークレットを決定することにより、確立される。図７に示す構成では、以下の関係が適用される。

ノードＡ、Ｂ、Ｃの間で共有されるべき第１共通シークレットは、次の通りである。

セキュアな通信チャネルがノードの各ペアの間で確立されると、図８のステップ８２で、各ノードは、該ノードに知られている第２シークレットの結合の形式で、該第２シークレットに基づく秘密−公開鍵ペアを用いて、第１シークレットのシェアを暗号化する。これは、各ノードにより行われ、該ノードに知られている第２共通シークレットｘのペアのＸＯＲ結合を符号化する。従って、ノードＡについて、共通シークレットｘ_１及びｘ_２がノードＡに知られているので、ノードＡは、結合（ｘ_１）ＸＯＲ（ｘ_２）を計算し、次に、それぞれの通信チャネルの秘密−公開鍵ペアのうちの秘密鍵ｘ_１又はｘ_２に基づき、この結合を各他のノードと別個に符号化する。図８のステップ８４で、ノードＡは、次に、ｘ_１に基づき暗号化された結合（ｘ_１）ＸＯＲ（ｘ_２）をノードＢへ、ｘ_２に基づき暗号化された結合（ｘ_１）ＸＯＲ（ｘ_２）をノードＣへ、送信する。これらの暗号化されたシェアは、それぞれ次式により表される。

同様に、共通シークレットｘ_１及びｘ_３はノードＢに知られ、ｘ_３は第３共通シークレットを表し、第２ノードＢ及び第３ノードＣに共通である。ノードＢは、結合（ｘ_１）ＸＯＲ（ｘ_３）を計算し、次に、第２共通シークレットｘ_１及びｘ_３に基づき、この結合を各他のノードと別個に符号化する。図８のステップ８４で、ノードＢは、次に、ｘ_１に基づき暗号化された結合（ｘ_１）ＸＯＲ（ｘ_３）であるＥｘ_１［（ｘ_１）ＸＯＲ（ｘ_３）］をノードＡへ、ｘ_３に基づき暗号化された結合（ｘ_１）ＸＯＲ（ｘ_３）であるＥｘ_３［（ｘ_１）ＸＯＲ（ｘ_３）］をノードＣへ、送信する。ノードＣは、一方で、結合ｘ_２（ＸＯＲ）ｘ_３を計算し、次に、第２共通シークレットｘ_２及びｘ_３に基づき、この結合を各他のノードと別個に符号化する。図８のステップ８４で、ノードＣは、次に、ｘ_２に基づき暗号化された結合（ｘ_２）ＸＯＲ（ｘ_３）であるＥｘ_２［（ｘ_２）ＸＯＲ（ｘ_３）］をノードＡへ、ｘ_３に基づき暗号化されたＥｘ_３［（ｘ_２）ＸＯＲ（ｘ_３）］をノードＢへ、送信する。

図８のステップ８６で、ノードＡ、Ｂ、Ｃの各々は、他のノードから暗号化シェアを受信し、暗号化シェアを復号する。結果として、ノードの各々は、以下のように第１共有シークレット（ｘ_１）ＸＯＲ（ｘ_２）ＸＯＲ（ｘ_３）を再構成するために必要な閾数のシェアを取得できる。

ノードＡは、ノードＢからシェア（ｘ_２）ＸＯＲ（ｘ_３）を、ノードＣから（ｘ_１）ＸＯＲ（ｘ_３）を受信する。ノードＡはｘ_１及びｘ_２を個別に知るので、図８のステップ８８で、ノードＡは、ｘ_１と（ｘ_２）ＸＯＲ（ｘ_３）との又はｘ_２と（ｘ_１）ＸＯＲ（ｘ_３）とのＸＯＲ結合により、第１共通シークレット（ｘ_１）ＸＯＲ（ｘ_２）ＸＯＲ（ｘ_３）を簡単に計算できる。同様に、ノードＢは、ノードＡからシェア（ｘ_１）ＸＯＲ（ｘ_２）を、ノードＣから（ｘ_２）ＸＯＲ（ｘ_３）を受信する。ノードＢはｘ_１及びｘ_３を個別に知るので、ｘ_１と（ｘ_２）ＸＯＲ（ｘ_３）との又はｘ_３と（ｘ_１）ＸＯＲ（ｘ_２）とのＸＯＲ結合により、第１共通シークレット（ｘ_１）ＸＯＲ（ｘ_２）ＸＯＲ（ｘ_３）を簡単に計算できる。更に、ノードＣは、ノードＢからシェア（ｘ_１）ＸＯＲ（ｘ_３）を、ノードＡから（ｘ_１）ＸＯＲ（ｘ_２）を受信する。ノードＣはｘ_２及びｘ_３を個別に知るので、ｘ_２と（ｘ_１）ＸＯＲ（ｘ_３）との又はｘ_３と（ｘ_１）ＸＯＲ（ｘ_２）とのＸＯＲ結合により、第１共通シークレット（ｘ_１）ＸＯＲ（ｘ_２）ＸＯＲ（ｘ_３）を簡単に計算できる。

上述の第２共通シークレットについて説明した方法と同様に、第１共通シークレット（ＣＳ）は、楕円曲線点（ｘ_Ｓ，ｙ_Ｓ）の形式であってよい。これは、ノード３、７により合意された標準的な公に知られている演算を用いて標準的な鍵フォーマットに変換されてよい。例えば、ｘ_Ｓ値は、ＡＥＳ２５６暗号化の鍵として使用され得る２５６ビットの整数であってよい。それは、１６０ビットの長さの鍵を必要とする任意の用途のためにＲＩＰＥＭＤ１６０を用いて、１６０ビットの整数に更に変換され得る。

ＸＯＲ暗号化以外の手段により第１共通シークレットのシェアを分配することが可能である。しかしながら、ＸＯＲ暗号化は、ブロックチェーントランザクションのスクリプトの中でブロードキャストされるとき、第２共通シークレットを難読化するという利点を提供する。その結果、第三者は、閾数の他の第２共通シークレットを知らずに第２共通シークレットを決定することができない。例えば、（ｘ_１ ｘ_２ ｘ_３） ｍｏｄ ｎの形式の第２共通シークレットの単純な算術的乗算が使用できる。ここで、ｎは、使用される楕円曲線暗号システムの次数である。

更に、第１共通シークレットのシェアは、当業者に馴染みのあるシャミアのシークレット共有方式又はディーラ不要のシークレット共有方式を用いて多項式関数のシェアとして分配できる。第１共通シークレットのシェアが多項式関数のシェアである場合には、第１共通シークレットの効率的な復元は、図９に示すようなＢｅｒｌｅｋａｍｐ−Ｗｅｌｃｈデコーダにより実行できる。図９を参照すると、Ｂｅｒｌｅｋａｍｐ−Ｗｅｌｃｈデコーダ７０は、多項式関数を取得するために、多項式関数のシェアの多項式補間を実行する。

送信されたデータの中の誤りを訂正するためのＢｅｒｌｅｋａｍｐ−Ｗｅｌｃｈアルゴリズムの伝統的な使用において、メッセージｍはエンコーダ７２において、ｋバイトの詩リースに分割され、各バイトｃ０、ｃ１、．．．、ｃｋ−１は整数モジュロｐとして符号化される。次に、メッセージは、多項式関数により表される。

多項式関数ｍ（ｘ）の値は、次に、（ｘ，ｙ）ペアのシリーズを生成するために、ｘの多数の知られている値について決定され、これは、つぎに送信機７４により受信機７６へ送信される。

受信機７６において受信されたデータＭ（つまり、受信されたメッセージ）は、元のメッセージを表す多項式関数上の点に対応するペア（ａ_１，ｂ_１，．．．，ａ_ｎ，ｂ_ｎ）を含む。

送信された（ｘ，ｙ）ペアのうちの幾つかが、送信中に壊れた場合、誤り位置多項式関数が以下のように定義できる。

積多項式関数Ｑ（ａ_ｉ）は次式のように定義される。

次に、受信した（ａ_ｉ，ｂ_ｉ）ペアの各々について、ｂ_ｉの値が壊れているか否かに拘わらず、

（ａ_ｉ，ｂ_ｉ）のｎ個の知られている値について、Ｅ（ａ_ｉ）はｅ次の多項式関数であり、Ｐ（ａ_ｉ）は（ｋ−１）次の多項式関数なので、Ｑ（ａ_ｉ）は（ｅ＋ｋ−１）次の多項式関数である。（ａ_ｉ，ｂ_ｉ）の知られている値は、従って、線形系として表すことができる。

線形系は２ｅ＋ｋ−１個の未知の項を含む（Ｅ（ｘ）からｅ個、及びＱ（ｘ）からｅ＋ｋ−１個）。その結果として、ｎ＞＝２ｅ＋ｋ−１ならば、Ｑ（ａ_ｉ）及びＥ（ａ_ｉ）が決定できる。Ｑ（ａ_ｉ）及びＥ（ａ_ｉ）が決定できるならば、元のメッセージｍ（ｘ）を復元するために、Ｐ（ａ_ｉ）が決定可能である。

従って、Ｂｅｒｌｅｋａｍｐ−Ｗｅｌｃｈデコーダ７０は、多項式関数上の点を表すペアを入力として受信し、多項式関数を出力することが分かる。デコーダ７０は、従って、多項式関数により表される閾数のシェアから該多項式関数を決定するために、本開示ではラグランジュ（Lagrange）補間の代わりとして使用できる。

図１０は、４つのノードＡ、Ｂ、Ｃ、Ｄの間で第１共通シークレットを共有する、本開示を実現する方法を示す。各ノードＡ、Ｂ、Ｃ、Ｄは、それ自体の秘密鍵／公開鍵ペア（Ｓ，Ｐ）に関連付けられ、例えばノードＡの秘密鍵、公開鍵ペアは（Ｓ_Ａ，Ｐ_Ａ）である。

各々の秘密鍵又は公開鍵は、図１〜６を参照して上述したのと同様の方法で、該ノードのそれぞれのマスタ秘密鍵又はマスタ公開鍵と決定性鍵とから導出されてよい。秘密−公開鍵ペアは、楕円曲線暗号システムの鍵ペアである。例えば、Ｐ_Ａ＝Ｓ_Ａ×Ｇ、Ｇは楕円曲線基準点（generator point）である。、
ノードＡとＢ、ＡとＣ、ＡとＤ、ＢとＣ、ＢとＤ、ＣとＤの各ペアの間のセキュアな通信は、図１〜６を参照して上述した方法を用いてノードの各ペアの間の第２共通シークレットを決定することにより、確立される。図１０に示す構成では、以下の関係が適用される。

セキュアな通信チャネルがノードの各ペアの間で確立されると、図７及び８を参照して上述した方法と同様の方法で、各ノードは、該ノードに知られている第２シークレットの結合の形式で、該第２シークレットに基づく秘密−公開鍵ペアを用いて、第１シークレットのシェアを暗号化する。これは、各ノードにより行われ、該ノードに知られている第２共通シークレットｘのペアのＸＯＲ結合を符号化する。従って、ノードＡについて、共通シークレットｘ_１、ｘ_２及びｘ_３がノードＡに知られているので、ノードＡは、結合

を計算し、次に、それぞれの通信チャネルの秘密−公開鍵ペアのうちの秘密鍵ｘ_１、ｘ_２又はｘ_３に基づき、この結合を各他のノードと別個に符号化する。

本発明の実施形態では、別個の結合

は図１０において［Ａｓｈａｒｅｓ］として省略して示される。

符号化された結合は、次に次式のように表される。

ノードＡは、次に、Ｅｘ_１［Ａｓｈａｒｅｓ］をノードＢへ送信し、それによりｘ_１が共通になり、Ｅｘ_２［Ａｓｈａｒｅｓ］をノードＣへ送信し、それによりｘ_２が共通になり、Ｅｘ_３［Ａｓｈａｒｅｓ］をノードＤへ送信し、それによりｘ_３が共通になる。

同様の方法で、ノードＢは以下の結合を計算する。

そして、暗号化して以下を送信する。

ノードＣは、以下の結合を計算する。

そして、暗号化して以下を送信する。

そして、ノードＣは、以下の結合を計算する。

そして、暗号化して以下を送信する。

ノードＡ、Ｂ、Ｃ、Ｄの各々は、他のノードから暗号化シェアを受信し、適切な第２共通シークレットｘ_１、ｘ_２、ｘ_３、ｘ_４、ｘ_５、又はｘ_６に対応する秘密鍵を用いて暗号化シェアを復号し、その結果として、ノードの各々は、以下のように第１共通シークレット

を再構成するために必要な閾数のシェアを取得できる。

ノードＡは、ノードＢからシェア

を受信し、ｘ_１、ｘ_２、及びｘ_３を別個に知り、従って、

から、ｘ_４及びｘ_５をそれぞれ計算できる。

ノードＡは、ノードＣからシェア

を受信し、ｘ_１、ｘ_２、及びｘ_３を別個に知り、従って、

から、ｘ_６を計算でき、結果としてｘ_１〜ｘ_６を別個に知り、第１共通シークレットを計算できる。

同様の処理を行うことにより、他のノードＢ、Ｃ、Ｄの各々は、第２共通シークレットの全部を取得し、今やノードの全部の間で共有される第１共通シークレットを決定できる。

図１１を参照すると、本開示の少なくとも一実施形態を実施するために使用され得るコンピューティング装置２６００の説明のための簡略ブロック図が提供される。種々の実施形態で、コンピューティング装置２６００は、上述の図示のシステムのうちのいずれかを実装するために使用されてよい。例えば、コンピューティング装置２６００は、データサーバ、ウェブサーバ、ポータブルコンピューティング装置、パーソナルコンピュータ、又は任意の電子コンピューティング装置として使用するために構成されてよい。図１１に示すように、コンピューティング装置２６００は、主メモリ２６０８及び永久記憶装置２６１０を含む記憶サブシステム２６０６と通信するよう構成され得る１つ以上のレベルのキャッシュメモリ及びメモリ制御部（集合的に２６０２とラベル付けされる）を備える１つ以上のプロセッサを含んでよい。主メモリ２６０８は、図示のように、動的ランダムアクセスメモリ（ＤＲＡＭ）２６１８及び読み出し専用メモリ（ＲＯＭ）２６２０を含み得る。記憶サブシステム２６０６及びキャッシュメモリ２６０２は、本開示で説明されたようなトランザクション及びブロックに関連付けられた詳細事項のような情報の記憶のために使用されてよい。プロセッサ２６０２は、本開示で説明されたような任意の実施形態のステップ又は機能を提供するために利用されてよい。

プロセッサ２６０２は、１つ以上のユーザインタフェース入力装置２６１２、１つ以上のユーザインタフェース出力装置２６１４、及びネットワークインタフェースサブシステム２６１６とも通信できる。

バスサブシステム２６０４は、コンピューティング装置２６００の種々のコンポーネント及びサブシステムが意図した通りに互いに通信できるようにするメカニズムを提供してよい。

バスサブシステム２６０４は、単一のバスとして概略的に示されるが、バスサブシステムの代替の実施形態は、複数のバスを利用してよい。ネットワークインタフェースサブシステム２６１６は、他のコンピューティング装置及びネットワークへのインタフェースを提供してよい。

ネットワークインタフェースサブシステム２６１６は、幾つかの実施形態では、コンピューティング装置２６００の他のシステムからデータを受信し及びそれへデータを送信するインタフェースとして機能してよい。例えば、ネットワークインタフェースサブシステム２６１６は、データ技術者が、装置をネットワークに接続することを可能にする。その結果、データ技術者は、データセンタのような遠隔地にいがなら、データを装置へ送信し、データを装置から受信できる。

ユーザインタフェース入力装置２６１２は、キーボード、統合型マウス、トラックボール、タッチパッド、又はグラフィックタブレットのような指示装置、スキャナ、バーコードスキャナ、ディスプレイに組み込まれたタッチスクリーン、音声認識システム、マイクロフォンのようなオーディオ入力装置、及び他の種類の入力装置のような、１つ以上のユーザ入力装置を含んでよい。通常、用語「入力装置」の使用は、コンピューティング装置２６００に情報を入力する全ての可能な種類の装置及びメカニズムを含むことを意図する。

１つ以上のユーザインタフェース出力装置２６１４は、ディスプレイサブシステム、プリンタ、又は音声出力装置のような非視覚ディスプレイ、等を含んでよい。ディスプレイサブシステムは、陰極線管（CRT）、液晶ディスプレイ（LCD）、発光ダイオード（LED）ディスプレイ、又はプロジェクションのような平面装置、又は他のディスプレイ装置を含んでよい。通常、用語「出力装置」の使用は、コンピューティング装置２６００から情報を出力する全ての可能な種類の装置及びメカニズムを含むことを意図する。１つ以上のユーザインタフェース出力装置２６１４は、例えば、ユーザインタフェースを提示して、ここに記載したプロセス及び変形を実行するアプリケーションとのユーザ相互作用が適切であるとき、そのような相互作用を実現するために使用されてよい。

記憶サブシステム２６０６は、本開示の少なくとも１つの実施形態の機能を提供する基本プログラミング及びデータ構造を記憶するコンピュータ可読記憶媒体を提供してよい。アプリケーション（例えば、プログラム、コードモジュール、命令）は、１つ以上のプロセッサにより実行されると、本開示の１つ以上の実施形態の機能を提供し、記憶サブシステム２６０６に格納されてよい。これらのアプリケーションモジュール又は命令は、１つ以上のプロセッサ２６０２により実行されてよい。記憶サブシステム２６０６は、更に、本開示に従い使用されるデータを格納するレポジトリを提供する。例えば、主メモリ２６０８及びキャッシュメモリ２６０２は、プログラム及びデータのための揮発性記憶を提供できる。永久記憶装置２６１０は、プログラム及びデータの永久（不揮発性）記憶を提供でき、磁気ハードディスクドライブ、取り外し可能媒体に関連付けられた１つ以上のフロッピディスクドライブ、取り外し可能媒体に関連付けられた１つ以上の光ドライブ（例えば、ＣＤ−ＲＯＭ、又はＤＶＤ、又はＢｌｕｅ−Ｒａｙ）ドライブ、及び他の同様の記憶媒体を含んでよい。このようなプログラム及びデータは、本開示に記載した１つ以上の実施形態のステップを実行するためのプログラム、及び本開示に記載したトランザクション及びブロックに関連付けられたデータを含み得る。

コンピューティング装置２６００は、ポータブルコンピュータ装置、タブレットコンピュータ、ワークステーション、又は後述する任意の他の装置を含む種々のタイプのものであってよい。さらに、コンピューティング装置２６００は、１つ以上のポート（例えば、USB、ヘッドフォンジャック、光コネクタ、等）を通じてコンピューティング装置２６００に接続可能な別の装置を含み得る。コンピューティング装置２６００に接続され得る装置は、光ファイバコネクタを受けるよう構成される複数のポートを含んでよい。したがって、この装置は、光信号を、処理のために装置を接続するポートを通じてコンピューティング装置２６００に送信される電気信号に変換するよう構成されてよい。コンピュータ及びネットワークの絶えず変化する特性により、図１１に示したコンピューティング装置２６００の説明は、装置の好適な実施形態を説明する目的の特定の例としてのみ意図される。図１１に示したシステムより多くの又は少ないコンポーネントを有する多くの他の構成が可能である。

上述の実施形態は、本開示を限定するのではなく、説明すること、及び当業者は添付の特許請求の範囲により定められる本開示の範囲から逸脱することなく多くの代替的実施形態を考案できることに留意すべきである。特許請求の範囲において、括弧内の任意の参照符号は、請求項を限定することを意図しない。用語「有する」及び「含む」（comprising、comprises）等は、任意の請求項又は明細書全体に列挙されたもの以外の要素またはステップの存在を排除しない。本願明細書では、「有する」は「有する又は構成される」を意味し、「含む」は「含む又は構成される」を意味する。要素の単数の参照は、該要素の複数の参照を排除しない。逆も同様である。本開示は、幾つかの別個の要素を含むハードウェアにより、及び適切にプログラムされたコンピュータにより、実装できる。幾つかの手段を列挙する装置クレームでは、これらの手段のうちの幾つかは、１つの同じハードウェアアイテムにより具現化されてよい。単に特定の手段が相互に異なる従属請求項に記載されるという事実は、これらの手段の組み合わせが有利に使用されないことを示さない。

Claims (31)

1. 複数のノードの間で第１共通シークレットを共有する方法であって、各々の前記ノードは、前記複数のノードに共通の暗号システムのそれぞれの第１秘密鍵及びそれぞれの第１公開鍵を有するそれぞれの非対称暗号第１鍵ペアに関連付けられ、前記第１共通シークレットは、前記ノードの各々の前記第１秘密鍵に基づき、前記方法は、
   少なくとも１つの第１ノードについて、複数の第２共通シークレットを決定するステップであって、各々の前記第２共通シークレットは、前記第１ノード及びそれぞれの第２ノードに共通であり、前記第１ノードにおいて前記第１ノードの前記第１秘密鍵及び前記第２ノードの前記第１公開鍵に基づき決定され、前記第２ノードにおいて前記第２ノードの前記第１秘密鍵及び前記第１ノードの前記第１公開鍵に基づき決定され、前記第１共通シークレットの複数のシェアはそれぞれ、少なくとも１つのそれぞれの第２共通シークレットに基づき、前記第１共通シークレットが閾数の前記シェアにアクセス可能になるが、前記閾数より少ないシェアにアクセス不可能になる、ステップと、
   少なくとも１つの第２ノードについて、少なくとも１つのそれぞれの第３共通シークレットを決定するステップであって、それぞれの第３共通シークレットは、前記第２ノード及びそれぞれの第３ノードに共通であり、前記第２ノードにおいて前記第２ノードの前記第１秘密鍵及び前記第３ノードの前記第１公開鍵に基づき決定され、前記第３ノードにおいて前記第３ノードの前記第１秘密鍵及び前記第２ノードの前記第１公開鍵に基づき決定され、前記第１共通シークレットの少なくとも１つのシェアは、少なくとも１つのそれぞれの前記第３共通シークレットに基づく、ステップと、
   少なくとも１つの前記第１ノードにおいて、前記第１ノードに知られている前記第１共通シークレットの少なくとも１つのシェアを、暗号システムのそれぞれの非対称暗号第２鍵ペアの第２秘密鍵に基づき、暗号化するステップであって、前記第２鍵ペアは前記第１ノードに知られているそれぞれの前記第２共通シークレットに基づく、ステップと、
   少なくとも１つの前記の暗号化されたシェアを、前記第１ノードから、前記第２鍵ペアが基づく前記第２共通シークレットが共通であるそれぞれの前記第２ノードへ送信するステップと、
   少なくとも１つの前記第１ノードにおいて、少なくとも１つの前記第２ノードから、前記第２ノードに知られており前記暗号システムのそれぞれの非対称暗号第２鍵ペアの第２秘密鍵に基づき暗号化された前記第１共通シークレットの少なくとも１つのそれぞれのシェアを受信するステップであって、前記第２鍵ペアは、前記第１ノード及び前記第２ノードに共通の前記第２共通シークレットに基づき、前記複数のノードの各々が前記第１共通シークレットの前記閾数のシェアに達することを可能にする、ステップと、
   を含む方法。
2. 複数の前記の暗号化されたシェアは、それぞれ、対応する前記ノードに知られている複数の前記共通シークレットの結合に基づく、請求項１に記載の方法。
3. 複数の前記の暗号化されたシェアは、対応する前記ノードに知られている複数の前記共通シークレットの少なくとも１つのそれぞれのＸＯＲ結合に基づく、請求項２に記載の方法。
4. 複数の前記の暗号化されたシェアは、対応する前記ノードに知られている複数の前記共通シークレットの乗算結合に基づく、請求項２又は３に記載の方法。
5. 前記乗算結合は（ｘ_１，ｘ_２，ｘ_３） ｍｏｄ ｎの形式であり、ｘ_１，ｘ_２，ｘ_３はノードに知られている共通シークレットであり、ｎは暗号システムの次数である、請求項４に記載の方法。
6. 複数の前第１シェアは、第１多項式関数のシェアであり、前記第１共通シークレットは、少なくとも閾数の前記シェアの多項式補間により決定される、請求項１〜５のいずれか一項に記載の方法。
7. 前記第１共通シークレットの少なくとも閾数のシェアを受信するステップであって、各々の前記シェアは前記第１多項式関数のそれぞれの値に対応する、ステップと、
   前記第１共通シークレットを決定するために、前記シェアの複数の知られている値から、前記第１多項式関数の係数を決定することにより、前記第１多項式関数を決定するステップと、
   を更に含む請求項６に記載の方法。
8. 前記第１多項式関数を決定するステップは、誤り訂正アルゴリズムを実行するステップを含む、請求項７に記載の方法。
9. 前記第１多項式関数を決定するステップは、Ｂｅｒｌｅｋａｍｐ−Ｗｅｌｃｈ復号アルゴリズムを実行するステップを含む、請求項８に記載の方法。
10. 前記第１多項式関数を決定するステップは、
    誤り位置多項式関数及び第２多項式関数を定義するステップであって、前記第２多項式関数は、前記第１多項式関数と前記誤り位置多項式関数との積である、ステップと、
    前記部分署名の複数の知られている値から、前記第２多項式関数及び前記誤り位置多項式関数の係数を決定するステップと、
    前記第１共通シークレットを決定するために、前記第２多項式関数及び前記誤り検出多項式関数から前記第１多項式関数を決定するステップと、
    を含む、請求項７又は８に記載の方法。
11. 少なくとも１つの前記暗号システムは、準同型特性を有する、請求項１〜１０のいずれか一項に記載の方法。
12. 少なくとも１つの前記暗号システムは、楕円曲線暗号システムである、請求項１１に記載の方法。
13. 少なくとも第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）と前記第１及び第２ノードと共通な決定性鍵（ＤＫ）とに基づき、少なくとも１つの前記第１ノードの前記第１秘密鍵を決定するステップと、
    前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）と共通暗号システムを用いる前記決定性鍵（ＤＫ）の暗号化とに基づき、少なくとも１つの前記第２ノードの前記第１公開鍵（Ｐ_２Ｓ）を決定するステップと、
    を更に含む請求項１〜１２のいずれか一項に記載の方法。
14. 前記決定性鍵（ＤＫ）は、メッセージ（Ｍ）に基づく、請求項１３に記載の方法。
15. 前記メッセージ（Ｍ）及び前記第１ノードの第１秘密鍵（Ｖ_２Ｃ）に基づき、第１署名付きメッセージ（ＳＭ１）を生成するステップと、
    通信ネットワークを介して、前記第１署名付きメッセージ（ＳＭ１）を前記第２ノード（Ｓ）へ送信するステップであって、前記第１署名付きメッセージ（ＳＭ１）は、前記第１ノード（Ｃ）を認証するために、前記第１ノードの第１公開鍵（Ｐ_２Ｃ）により検証できる、ステップと、
    を更に含む請求項１４に記載の方法。
16. 通信ネットワークを介して、前記第２ノード（Ｓ）から第２署名付きメッセージ（ＳＭ２）を受信するステップと、
    前記第２ノードの前記第１公開鍵（Ｐ_２Ｓ）により、前記第２署名付きメッセージ（ＳＭ２）を検証するステップと、
    前記第２署名付きメッセージ（ＳＭ２）を検証した結果に基づき、前記第２ノード（Ｓ）を認証するステップと、
    を更に含み、
    前記第２署名付きメッセージ（ＳＭ２）は、メッセージ（Ｍ）又は第２メッセージ（Ｍ２と前記第２ノードの前記第１秘密鍵（Ｖ_２Ｓ）とに基づき生成されたものである、請求項１４又は１５に記載の方法。
17. メッセージ（Ｍ）を生成するステップと、
    通信ネットワークを介して、前記メッセージ（Ｍ）を前記第２ノードへ送信するステップと、
    を更に含む請求項１４〜１６のいずれか一項に記載の方法。
18. 通信ネットワークを介して、前記第２ノード（Ｓ）から前記メッセージ（Ｍ）を受信するステップ、
    を更に含む請求項１４〜１７のいずれか一項に記載の方法。
19. 通信ネットワークを介して、別のノードから前記メッセージ（Ｍ）を受信するステップ、
    を更に含む請求項１４〜１８のいずれか一項に記載の方法。
20. データストア及び／又は前記第１ノード（Ｃ）に関連付けられた入力インタフェースから、前記メッセージ（Ｍ）を受信するステップ、
    を含む請求項１４〜１９のいずれか一項に記載の方法。
21. 前記暗号システムは楕円曲線暗号（ＥＣＣ）システムであり、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）及び第２ノードのマスタ公開鍵（Ｐ_１Ｓ）は、それぞれ第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第２ノードのマスタ秘密鍵（Ｖ_１Ｓ）と生成元（Ｇ）との楕円曲線点積に基づく、請求項１３〜２０のいずれか一項に記載の方法。
22. 通信ネットワークを介して、前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を受信するステップと、
    前記第１ノード（Ｃ）に関連付けられたデータストアに、前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）を格納するステップと、
    を更に含む請求項１３〜２１のいずれか一項に記載の方法。
23. 第１ノード（Ｃ）において、第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び第１ノードのマスタ秘密鍵（Ｐ_１Ｃ）を生成するステップと、
    通信ネットワークを介して、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を前記第２ノード（Ｓ）及び／又は他のノードへ送信するステップと、
    前記第１ノード（Ｃ）に関連付けられた第１データストアに、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）を格納するステップと、
    を更に含む請求項１３〜２２のいずれか一項に記載の方法。
24. 通信ネットワークを介して、前記第２ノードへ、少なくとも１つの前記共通シークレット（ＣＳ）を決定する方法のために共通暗号システムを使用することを示す通知を送信するステップ、を更に含み、
    前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を生成するステップは、
    前記共通暗号システムで指定される許容範囲内のランダムな整数に基づき、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）を生成するステップと、
    前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）の暗号化に基づき、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）を決定するステップと、
    を含む、請求項１３〜２３のいずれか一項に記載の方法。
25. 前記共通暗号システムは、共通の生成元（Ｇ）を有する楕円曲線暗号（ＥＣＣ）システムであり、前記第１ノードのマスタ公開鍵（Ｐ_１Ｃ）は、次式：
    Ｐ_１Ｃ＝Ｖ_１Ｃ×Ｇ
    に従い、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記共通の生成元（Ｇ）の楕円曲線点積に基づき決定される、請求項１３〜２４のいずれか一項に記載の方法。
26. メッセージ（Ｍ）のハッシュを決定することに基づき、前記決定性鍵（ＤＫ）を決定するステップ、を更に含み、
    前記第１ノードの第１秘密鍵（Ｖ_２Ｃ）を決定するステップは、次式：
    Ｖ_２Ｃ＝Ｖ_１Ｃ＋ＤＫ
    に従う、前記第１ノードのマスタ秘密鍵（Ｖ_１Ｃ）及び前記決定性鍵（ＤＫ）のスカラー加算に基づき、
    前記第２ノードの第１公開鍵（Ｐ_２Ｓ）を決定するステップは、次式：
    Ｐ_２Ｓ＝Ｐ_１Ｓ＋ＤＫ×Ｇ
    に従う、前記決定性鍵（ＤＫ）及び前記共通の生成元（Ｇ）の楕円曲線点積への前記第２ノードのマスタ公開鍵（Ｐ_１Ｓ）の楕円曲線点加算に基づき、
    前記決定性鍵（ＤＫ）は、前の決定性鍵のハッシュを決定することに基づき得る、
    請求項１３〜２５のいずれか一項に記載の方法。
27. 複数のノードの間のセキュアな通信の方法であって、前記方法は、
    請求項１〜２６のいずれか一項に記載の方法により、複数のノードの間で第１共通シークレットを共有するステップと、
    前記第１共通シークレットに基づき対称鍵を決定するステップと、
    前記対称鍵により第１通信メッセージを暗号化して、暗号化第１通信メッセージにするステップと、
    通信ネットワークを介して、前記複数のノードのうちの１つのノードから前記複数のノードのうちの他のノードへ、前記暗号化第１通信メッセージを送信するステップと、
    を含む方法。
28. 通信ネットワークを介して、前記複数のノードのうちの１つのノードから、暗号化第２通信メッセージを受信するステップと、
    前記対称鍵により前記暗号化第２通信メッセージを復号して、第２通信メッセージにするステップと、
    を更に含む請求項２７に記載の方法。
29. 複数のノードの間のオンライントランザクションを実行する方法であって、前記方法は、
    請求項１〜２６のいずれか一項に記載の方法により、複数のノードの間で第１共通シークレットを共有するステップと、
    前記第１共通シークレットに基づき対称鍵を決定するステップと、
    前記対称鍵により第１トランザクションメッセージを暗号化して、暗号化第１トランザクションメッセージにするステップと、
    通信ネットワークを介して、前記複数のノードのうちの第１ノードから前記複数のノードのうちの他のノードへ、前記暗号化第１トランザクションメッセージを送信するステップと、
    を含む方法。
30. システムであって、
    プロセッサと、
    前記プロセッサによる実行の結果として、前記システムに請求項１〜２９のいずれか一項に記載の方法を実行させる実行可能命令を含むメモリと、
    を含むシステム。
31. 実行可能命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記実行可能命令は、コンピュータシステムのプロセッサにより実行された結果として、前記コンピュータシステムに、請求項１〜２９のいずれか一項に記載の方法を実行させる、非一時的コンピュータ可読記憶媒体。

Images