JP2868759B1 - 鍵更新方法 - Google Patents

Abstract

【要約】 【課題】 基地局と複数の端末からなる暗号通信システ
ムにおいて、一度に特定の２端末だけを排除した残りの
端末で更新鍵を共有する。 【解決手段】 あらかじめ各端末は、第１の端末情報ｅ
_iを保持する。準備として基地局は、鍵Ｋと法ｎを定
め、第２の端末情報Ｘ_i＝Ｋ^ei mod nを対応する端末ｉ
に配布する。特定の端末Ｔ₁を排除する場合、基地局は
（ｅ₁,ｅ₂,Ｘ₁,Ｘ₂,ｎ）を各端末に一斉通知する。端末
Ｔ₁，Ｔ₂以外の各端末Ｔ_iでは、次の手順で鍵Ｋを求め
ることができる。（ｅ₁,ｅ₂,ｅ_i）より、ａ×ｅ₁＋ｂ×
ｅ₂＋ｃ×ｅ_i＝１を満たす整数（ａ,ｂ,ｃ）を求める。
（Ｘ₁,Ｘ₂,Ｘ_i,ｎ）より、Ｋ＝Ｘ₁ ^a×Ｘ₂ ^b×Ｘ_i ^c mod n
を求める。しかし、端末Ｔ₁，Ｔ₂には（ｅ₁,ｅ₂,Ｘ₁,Ｘ
₂,ｎ）しかないので、鍵Ｋを求めることは、ＲＳＡ暗号
を破るの同程度に困難である。したがって、基地局から
各端末に（ｅ₁,ｅ₂,Ｘ₁,Ｘ₂,ｎ）を同報するだけで、特
定の２端末を排除した残りの端末で更新鍵を共有でき
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、基地局および複数
端末からなるスター型通信システムにおける暗号鍵更新
方法に関し、特に、基地局が特定した端末以外のすべて
の端末に共通の秘密鍵を安全に配送する鍵更新方法に関
する。

【０００２】

【従来の技術】従来、基地局が複数の端末を管理するス
ター型通信システムにおいて、基地局と傘下の複数の端
末がグループを形成し、グループで同じグループ秘密鍵
を共有して同報の暗号通信が行なわれている。この場
合、グループ秘密鍵を用いて暗号化された情報は、同じ
秘密鍵を保有するグル−プ内の端末だけが復号すること
ができる。

【０００３】ところで、このグループから特定の端末を
排除したい場合が生じうる。それは例えば、グループ内
のある端末が盗難にあったり紛失して、その端末を用い
た暗号通信の盗聴や偽情報の送信などの不正が考えられ
る場合などである。このとき、この秘密鍵を管理する基
地局は、できるだけ速やかに、盗難にあった端末を排除
してグループ秘密鍵を更新し、残りの端末だけで新たな
秘密鍵を共有することが必要となる。

【０００４】（従来例１）図９は、基地局が特定した端
末以外で鍵データを共有するための、第１の従来例にお
ける鍵更新方法を示す。図９では、２〜６で示す５個の
端末Ｔ₁,・・・,Ｔ₅が、それぞれ固有鍵ｋ₁,・・・,ｋ₅を保持
しており、基地局１が、全端末の固有鍵を管理してい
る。このとき、例えば基地局１が端末Ｔ₁を排除して、
他の端末Ｔ₂,・・・,Ｔ₅に新しい共通の秘密鍵を配付する
場合について説明する。

【０００５】まず、基地局１は秘密鍵Ｋを生成し、これ
をそれぞれｋ₂,・・・,ｋ₅を鍵として暗号化し、それぞれ
端末Ｔ₂,・・・,Ｔ₅に配送する。排除される端末Ｔ₁以外の
各端末Ｔ₂〜Ｔ₅では固有鍵を用いてこれを復号し、秘密
鍵Ｋを獲得する。なお、図９中において、例えばＥｋ₂
（Ｋ）は、Ｋを固有鍵ｋ₂で暗号化した暗号文である。
この通信路上のデータは、それぞれ端末Ｔ₂〜Ｔ₅の固有
鍵で暗号化されているため、たとえ端末Ｔ₁がこの通信
データを盗聴したとしても、基地局１が生成した秘密鍵
Ｋを獲得することができない。

【０００６】（従来例２）図１０は、特公平5-46731号
公報に示された第２の従来例における鍵更新方法であ
る。従来例２では、公開鍵暗号の手法を用いている。図
１０では、２〜６で示す５個の端末Ｔ₁,・・・,Ｔ₅が、そ
れぞれ固有の秘密鍵（ｅ₁,ｄ₁）,・・・,（ｅ₅,ｄ₅）を保
持している。ここで、各秘密鍵（ｅ_i,ｄ_i）は、 ｅ_i×ｄ_i mod(p-1) ＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵 ｐ₁＝ｇ^e1 mod p,・・・,ｐ₅＝ｇ^e5 mod p を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐ_iおよびシステム公開の情報ｇ，
ｐから各端末の秘密鍵（ｅ_i,ｄ_i）を求めることはビッ
ト長を長く取れば離散対数問題に帰着して困難である。
第１の従来例と同様に、端末Ｔ₁を排除する場合、ま
ず、基地局は乱数Ｒを生成し、鍵 Ｋ＝ｇ^R mod p を生成するとともに、これより Ｚ₂＝ｐ₂ ^R mod p,・・・,Ｚ₅＝ｐ₅ ^R mod p を求めて、端末Ｔ₁を除いた各端末Ｔ₂,・・・,Ｔ₅に配送す
る。端末Ｔ₁以外の各端末ｉでは、受け取ったＺ_iと秘密
鍵ｄ_iを用いて、基地局と共通の更新鍵 Ｋ＝Ｚ_i ^di mod p （＝ｐ_i＾（Ｒ×ｄ_i） mod p＝ｇ＾(ｅ_i×ｄ_i×Ｒ) mod
p＝ｇ^R mod p） を獲得する。

【０００７】この方法は、従来例１と異なり、基地局が
各端末の秘密鍵を知り得ないため、基地局の不正を防止
できる点で、第１の従来例より安全性が向上している。

【０００８】（従来例３）以上の従来例１、２では、Ｎ
個の端末から１つの端末を排除するためには、基地局は
（Ｎ−１）回の暗号化を行ない、（Ｎ−１）個のデータ
を送信しなくてはならない。例えば、1000個の端末から
１個の端末を排除して、残りの999個の端末で新たな共
通の秘密鍵を共有する場合を考える。このとき、第１お
よび第２の従来例では、999回の暗号化の処理と999個の
暗号文の送信を行なう必要がある。Ｎが大きい場合この
送信の時間は通常の暗号通信ができないことになり、シ
ステム運用上問題が生じる。本発明者による特願平9-36
8943号の発明は、この課題を解決する方法として発明さ
れたものである。以下、この方法を第３の従来例として
説明する。

【０００９】従来例３による鍵更新方法は、システムセ
ットアップ、準備フェーズ、鍵更新の３つのフェーズに
分けられる。以下、基地局が５つの端末を管理している
場合について、各フェ−ズに分けて説明する。

【００１０】図１１は、従来例３の鍵更新方法のセット
アップを示している。図１１において、１は基地局、２
〜６は、基地局の管理下にある端末である。７〜11は、
各端末内の、外部より観測、変更できない記憶部であ
る。

【００１１】各端末Ｔ₁,Ｔ₂,Ｔ₃,Ｔ₄,Ｔ₅は、第１の端
末情報ｅ₁,ｅ₂,ｅ₃,ｅ₄,ｅ₅を、それぞれこの領域に秘
密に保持している。第１の端末情報は、任意のｅ_iとｅ_j
（ｉ,ｊ＝１〜５）の最大公約数ＧＣＤ（ｅ_i,ｅ_j）が１
であるよう、互いに素に定める。

【００１２】一方、基地局は、各端末の第１の端末情報
ｅ₁〜ｅ₅を、外部より観測、変更できない記憶部12に秘
密に保管している。

【００１３】図１２は、従来例３の準備フェーズを示し
ている。まず、基地局１は、素数ｐとｑを定め、これら
の積ｎ（＝ｐ×ｑ）を決定する。そして鍵Ｋと法ｎを、
すべての端末の第１の端末情報において、ＧＣＤ（Ｋ^ei
mod n，n）＝１を満たすように決定する。ただし、法
ｎが素数ｐ，ｑの積であるため、上記条件が満たされる
確率は、１−（１／ｐ＋１／ｑ）となり、素数ｐ，ｑを
十分に大きく（ＲＳＡ暗号のように10進100桁程度）と
ると、ほとんど上記条件を満たす。

【００１４】次に、基地局１は、端末Ｔ₁の第１の端末
情報ｅ₁をべきとし、前記ｎを法とする鍵Ｋのべき乗剰
余値Ｘ₁を求める。これを第２の端末情報と称し、式で
表すと、 Ｘ₁＝Ｋ^e1 mod nとなる。ここで、mod n
は、ｎで除したときの剰余を示す記号である。基地局は
同様に、端末Ｔ₂〜Ｔ₅の第２の端末情報Ｘ₂〜Ｘ₅を求
め、これらを記憶部12に記憶するとともに、対応する端
末に配布する。端末は、これをそれぞれ記憶部７〜11に
記憶する。第２の端末情報を求め配布する、基地局によ
る準備フェーズの作業は、各端末ごとであり時間がかか
るが、基地局はもともと計算パワーが大きく、また、前
の鍵更新と次の鍵更新の間の、時間が空いたときにすれ
ばよいので問題はない。

【００１５】図１３は、端末Ｔ₁を排除する場合の鍵更
新フェーズを示している。基地局１は、記憶部12から、
排除する端末Ｔ₁の第１、第２の端末情報ｅ₁、Ｘ₁およ
び秘密の整数ｎを各端末に一斉通知する。このとき、端
末Ｔ₂では、保持している第１、第２の端末情報を用い
て、次の計算を行ない、鍵Ｋを求める。 （１）端末Ｔ₁および端末Ｔ₂の第１の端末情報ｅ₁，ｅ₂
を用いて、 ｅ₁×ａ＋ｅ₂×ｂ＝１ を満たす整数ａ，ｂを求める。整数ａ，ｂは、ｅ₁，ｅ₂
が互いに素であるので必ず存在し、拡張ユークリッド互
除法により、計算パワーがそれほどない端末であって
も、多項式時間で求めることができる。 （２）端末Ｔ₁および端末Ｔ₂の第２の端末情報Ｘ₁，Ｘ₂
および整数ｎを用いて、ａが負の場合は、 Ｘ₁ ^-1×Ｘ₁ mod n＝１ を満たすＸ₁の法ｎにおける逆数Ｘ₁ ^-1を求め、
（Ｘ₁ ^-1）^-a×Ｘ₂ ^b mod nを計算することにより更新鍵
Ｋ mod nを求め、またｂが負の場合は、 Ｘ₂ ^-1×Ｘ₂ mod n＝１ を満たすＸ₂の法ｎにおける逆数Ｘ₂ ^-1を求め、
（Ｘ₂ ^-1）^-b×Ｘ₁ ^a mod nを計算することにより更新鍵
Ｋ mod nを求める。

【００１６】以上の計算は、端末Ｔ₃〜Ｔ₅でも同様に行
なうことができ、結果として、Ｔ₂〜Ｔ₅で共通の鍵Ｋを
共有することができる。

【００１７】一方、端末Ｔ₁においては、基地局から一
斉通知された情報と保持している端末情報が同じである
ために、上記（１）でのａ，ｂの算出ができない。その
ため、鍵Ｋを共有することができない。

【００１８】

【発明が解決しようとする課題】従来例１、２の鍵更新
方法では、Ｎ個の端末から１つの端末を排除するために
は、基地局は（Ｎ−１）回の暗号化を行ない、（Ｎ−
１）個のデータを送信しなくてはならない。例えば、10
00個の端末から１個の端末を排除して、残りの999個の
端末で新たな共通の秘密鍵を共有する場合を考える。こ
のとき、従来例１、２では、999回の暗号化の処理と999
個の暗号文の送信を行なう必要がある。Ｎが大きい場
合、この送信の時間中は通常の暗号通信ができないこと
になり、システム運用上問題が生じる。

【００１９】また従来例３の鍵更新方法では、上記問題
点を解決して、鍵更新フェーズではＮの大きさに関係な
く、排除する端末の情報を一斉通知するだけでよい。し
かしながら、この第３の従来例の方法では、１回に１つ
の端末しか排除できなかった。複数台を排除しようとす
ると、１台ずつ順次行なうしかないが、準備期間での処
理量が多いため実用的でなかった。

【００２０】本発明は、かかる点に鑑み、従来例３の方
法の特徴（以下の（１）の特徴）を保ったまま、特定の
複数端末だけを排除（以下の（２）の特徴）して、他の
端末で分配鍵情報を共有する鍵更新方法を実現すること
を目的とする。 （１）鍵更新フェーズにおいて、グループの端末数Ｎに
関係なく、基地局から端末への通信量が少なく、全局更
新までの業務停止期間が短い。 （２）同時に複数端末を排除できる。

【００２１】

【課題を解決するための手段】本発明では、上記の課題
を解決するために、鍵更新方法を、基地局において、ｄ
_ijを端末Ｔ_iと端末Ｔ_jに依存した整数とし、ｄをあらか
じめ定めた定数とするとき、 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij ・・・（Ａ） （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ；Ｎは端末数） ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ ・・・（Ｂ） （１≦ｉ,ｊ,ｋ≦Ｎ;ｉ≠ｊ≠ｋ≠ｉ;Ｎは端末数） を満たすｅ_iを生成して、第１の端末情報として基地局
に保管するとともに、各端末ｉに配布し、整数Ｋ，ｎを
適当に決定して、 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） を計算して、第２の端末情報として基地局に保管すると
ともに、各端末ｉに配布し、鍵更新時に、基地局が特定
した端末ｊと端末ｋの第１の端末情報ｅ_j,ｅ_kと第２の
端末情報Ｘ_j,Ｘ_kを、基地局から全端末に一斉通知し、
端末ｋを除く全ての端末ｉで、ｅ_iとｅ_j,ｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×ｅ_k＝ｄ （ｉ≠ｊ,ｋ） を満たす整数ａ,ｂ,ｃを求め、Ｘ_iとＸ_j,Ｘ_kとを用い
て、更新鍵Ｋ^d mod nを求めるという構成とした。

【００２２】このように構成したことにより、基地局か
ら全端末に同報通信をするだけで、２つの特定端末を排
除した鍵更新ができるので、鍵更新のための業務停止期
間を短くできる。もちろん、式Ａと式Ｂを３つ以上の端
末を同時に排除できるように拡張して構成することも可
能である。

【００２３】

【発明の実施の形態】本発明の請求項１記載の発明は、
基地局と、前記基地局と接続されたＮ台（Ｎは２以上の
整数）の端末からなる通信システムにおいて、前記基地
局は、前記端末の第１の端末情報を格納する第１の基地
局側記憶部と、第２の端末情報を格納する第２の基地局
側記憶部を備え、前記端末は、前記第１の端末情報と前
記第２の端末情報を格納する端末情報格納部と、受信部
と、第１計算部と、第２計算部とを備え、前記第１の端
末情報は、ＧＣＤ（ｅ_i,ｅ_j）≠ＧＣＤ（ｅ_i,ｅ_k），Ｇ
ＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ（ただし、１≦ｉ,ｊ,ｋ≦
Ｎ；ｉ≠ｊ≠ｋ≠ｉ；ｄは所定の整数）となる関係を満
たす整数ｅ_iであり、前記第２の端末情報は、Ｋを更新
鍵を生成するための情報とするとき、前記ｅ_iをべきと
し整数ｎを法とするＫのべき乗剰余値Ｘ_i＝Ｋ^ei mod n
（ＧＣＤ（Ｘ_i,ｎ）＝１）であり、（１）前記基地局に
おいて、鍵更新時に、前記基地局が特定した端末ｊの第
１の端末情報ｅ_jと第２の端末情報Ｘ_jと、端末ｋの第１
の端末情報ｅ_kと第２の端末情報Ｘ_kを、前記基地局側記
憶部から取り出して全端末に一斉通知し、（２）全ての
端末ｉにおいて、前記受信部で、前記端末ｊの第１の端
末情報ｅ_jと第２の端末情報Ｘ_jと、端末ｋの第１の端末
情報ｅ_kと第２の端末情報Ｘ_kを受信し、（３）端末ｊと
端末ｋを除く全ての端末ｉでは、前記第１の計算部にお
いて、端末ｉ、端末ｊ、端末ｋの第１の端末情報ｅ_i，
ｅ_j，ｅ_kを用いて、ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×ｅ_k＝ｄ
（ｉ≠ｊ≠ｋ≠ｉ）を満たす整数ａ，ｂ，ｃを求め、
（４）端末ｊと端末ｋを除く全ての端末ｉでは、前記第
２の計算部において、端末ｉ、端末ｊ、端末ｋの第２の
端末情報Ｘ_i, Ｘ_j, Ｘ_kを用いて、Ｘ_i ^a×Ｘ_j ^b×Ｘ_k ^c mo
d nを計算することにより更新鍵Ｋ^d mod nを求める鍵更
新方法であり、排除する２つの端末の端末情報を同報送
信することで、２つの端末を排除して鍵更新を行なうと
いう作用を有する。

【００２４】本発明の請求項２記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる暗号通信の鍵更新システムにおいて、前
記基地局は、（１）ＧＣＤ（ｅ_i,ｅ_j）≠ＧＣＤ（ｅ_i,
ｅ_k），ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ（ただし、ｉ≠ｊ≠
ｋ≠ｉ；ｄは所定の整数）となる関係を満たす整数ｅ_i
を第１の端末情報として格納する第１の基地局側記憶部
と、（２）Ｘ_i＝Ｋ^ei mod n （ただし、１≦ｉ≦Ｎ；ｅ
_iは第１の端末情報；法ｎはＧＣＤ（Ｘ_i,ｎ）＝１を満
たす整数；整数Ｋは更新鍵を生成するための情報）を第
２の端末情報として格納する第２の基地局側記憶部と、
（３）鍵更新時に、前記基地局が特定した端末ｊ，ｋの
第１の端末情報ｅ_j，ｅ_kと第２の端末情報Ｘ_j，Ｘ_kを、
前記基地局側記憶部から取り出して全端末に一斉通知す
る送信部とを備え、前記端末は、（４）自局の第１、第
２の端末情報を格納する端末情報格納部と、（５）端末
ｊの第１の端末情報ｅ_jと第２の端末情報Ｘ_jと、端末ｋ
の第１の端末情報ｅ_kと第２の端末情報Ｘ_kとを受信する
受信部と、（６）端末ｉ、端末ｊ、端末ｋの第１の端末
情報ｅ_i，ｅ_j，ｅ_kを用いて、ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×
ｅ_k＝ｄ（ｉ≠ｊ≠ｋ≠ｉ）を満たす整数ａ，ｂ，ｃを
求める第１の計算部と、（７）端末ｉ、端末ｊ、端末ｋ
の第２の端末情報Ｘ_i, Ｘ_j, Ｘ_kを用いて、Ｘ_i ^a×Ｘ_j ^b
×Ｘ_k ^c mod nを計算することにより更新鍵Ｋ^d mod nを
求める第２の計算部とを備えた鍵更新システムであり、
排除する２つの端末の端末情報を同報送信することで、
２つの端末を排除して鍵更新を行なうという作用を有す
る。

【００２５】本発明の請求項３記載の発明は、請求項１
記載の鍵更新方法において、前記端末ｉの第２の計算部
において、第１の計算部の出力である整数ａ，ｂ，ｃの
うち、整数ａが負の時、第２の計算部において、Ｘ_iの
ｎを法とする逆数（Ｘ_i ^-1）を求め、（Ｘ_i ^-1）^-a×Ｘ_j ^b
×Ｘ_k ^c mod nを算出し、整数ｂが負の時、第２の計算部
において、Ｘ_jのｎを法とする逆数（Ｘ_j ^-1)を求め、
（Ｘ_j ^-1)^-b×Ｘ_i ^a×Ｘ_k ^cmod nを算出し、整数ｃが負の
時、第２の計算部において、Ｘ_kのｎを法とする逆数
（Ｘ_k ^-1)を求め、（Ｘ_k ^-1)^-c×Ｘ_i ^a×Ｘ_k ^b mod nを算出
して更新鍵Ｋ^d mod nを求めるものであり、ｎを法とす
る逆数を求めることにより、整数ａ，ｂ，ｃのいずれか
が負の場合の計算を簡単にするという作用を有する。

【００２６】本発明の請求項４記載の発明は、請求項１
記載の鍵更新方法において、前記端末ｉ、端末ｊ、端末
ｋの第１の端末情報ｅ_i，ｅ_j，ｅ_kが、ｄ_ijを端末ｉと
端末ｊに依存した１ではない整数、ｄ_ikを端末ｉと端末
ｋに依存した１ではない整数として、ＧＣＤ（ｅ_i,
ｅ_j）＝ｄ_ij≠１，ＧＣＤ（ｅ_i,ｅ_k）＝ｄ_ik≠１，ＧＣ
Ｄ（ｄ_ij,ｄ_ik）＝ｄを満足するとき、前記端末ｉの第
１の計算部では、Ａ₁×ｅ_i＋Ｂ₁×ｅ_j＝ｄ_ij，Ａ₂×ｅ_i
＋Ｂ₂×ｅ_k＝ｄ_ik，Ａ₃×ｄ_ij＋Ｂ₃×ｄ_ik＝ｄとなる、
Ａ₁，Ａ₂，Ａ₃，Ｂ₁，Ｂ₂，Ｂ₃を求め、第１の計算部の
出力である整数ａ，ｂ，ｃを、ａ＝Ａ₁×Ａ₃＋Ａ₂×
Ｂ₃，ｂ＝Ａ₃×Ｂ₁，ｃ＝Ｂ₂×Ｂ₃とするものであり、
ｄ_ijとｄ_ikを求めてから拡張ユークリッド互除法を２回
適用することにより、整数ａ，ｂ，ｃを高速に計算する
という作用を有する。

【００２７】本発明の請求項５記載の発明は、請求項４
記載の鍵更新方法において、前記端末ｉの第１の端末情
報ｅ_iを、ｅ_i＝Π（１≦ｊ≦Ｎ）ｄ_ij（ｄ_ji＝ｄ_ij；ｄ
_ii＝１）とするものであり、第１の端末情報を最も単純
な構造で実現するという作用を有する。

【００２８】本発明の請求項６記載の発明は、請求項４
記載の鍵更新方法において、前記端末ｉの第１の端末情
報ｅ_iをｕ_iと互いに異なる素数とするとき、ｅ_i＝Π
（１≦ｊ≦Ｎ）ｄ_ij×ｕ_i（ｄ_ji＝ｄ_ij；ｄ_ii＝１）と
するものであり、第１の端末情報にｕ_iを掛けることに
より、端末の結託に対する暗号強度を高めるという作用
を有する。

【００２９】本発明の請求項７記載の発明は、請求項４
記載の鍵更新方法において、前記端末ｊと端末ｋを前記
基地局が特定する端末とする場合、（１）前記基地局に
おいて、鍵更新時に、前記基地局が特定した端末ｊと端
末ｋの第１の端末情報の最大公約数ＧＣＤ（ｅ_j,ｅ_k）
＝ｄ_jkとＫ^djk mod nを全端末に一斉通知し、（２）全
ての端末ｉにおいて、前記受信部で、前記ｄ_jkとＫ^djk
mod nを受信し、（３）端末ｊと端末ｋを除く全ての端
末ｉでは、前記第１の計算部において、端末ｉの第１の
端末情報ｅ_iと前記ｄ_jkを用いて、ａ×ｅ_i＋ｂ×ｄ_jk=
ｄ（ｉ≠ｊ≠ｋ≠ｉ）を満たす整数ａ，ｂを求め、
（４）端末ｊと端末ｋを除く全ての端末ｉでは、前記第
２の計算部において、端末ｉの第２の端末情報Ｘ_iとＫ
^dij mod nを用いて、Ｘ_i ^a×（Ｋ^dij mod n)^b mod nを計
算することにより更新鍵Ｋ^d mod nを求めるものであ
り、ｄ_jkとＫ^djk mod nを全端末に一斉通知することに
より、２端末排除のための通信量を少なくするという作
用を有する。

【００３０】本発明の請求項８記載の発明は、請求項６
記載の鍵更新方法において、前記基地局が端末ｊのみを
特定する端末とする場合、（１）前記基地局において、
鍵更新時に、前記端末ｊの第１の端末情報の約数ｕ_jと
Ｋ^uj mod nを全端末に一斉通知し、（２）全ての端末ｉ
において、前記受信部で、前記ｕ_jとＫ^uj mod nを受信
し、（３）端末ｊを除く全ての端末ｉでは、前記第１の
計算部において、端末ｉの第１の端末情報ｅ_iと前記ｕ_j
を用いて、ａ×ｅ_i＋ｂ×u_j＝１（ｉ≠ｊ）を満たす整
数ａ，ｂを求め、（４）端末ｊを除く全ての端末ｉで
は、前記第２の計算部において、端末ｉの第２の端末情
報Ｘ_iとＫ^uj mod nを用いてＸ_i ^a×（Ｋ^uj mod n）^b mod
nを計算することにより更新鍵Ｋ mod nを求めるもので
あり、排除する１台の端末の第１の端末情報の約数ｕ_j
とＫ^uj mod nを全端末に一斉通知することで、２端末排
除の方法で１端末排除を行なうという作用を有する。

【００３１】本発明の請求項９記載の発明は、請求項６
記載の鍵更新方法において、整数Ｕを前記すべての端末
の第１の端末情報と互いに素となる整数とするとき、
（１）前記基地局において、鍵更新時に、前記整数Ｕと
Ｋ^U mod nを全端末に一斉通知し、（２）全ての端末ｉ
において、前記受信部で、前記ＵとＫ^U mod nを受信
し、（３）全ての端末ｉでは、前記第１の計算部におい
て、端末ｉの第１の端末情報ｅ_iと前記Ｕを用いて、ａ
×ｅ_i＋ｂ×Ｕ＝１を満たす整数ａ，ｂを求め、（４）
全ての端末ｉでは、前記第２の計算部において、端末ｉ
の第２の端末情報Ｘ_iとＫ^U mod nを用いて、Ｘ_i ^a×（Ｋ
^U mod n）^b mod nを計算することにより更新鍵Ｋ mod n
を求めるものであり、２端末排除の方法で端末排除を行
なうことなく鍵更新を行なうという作用を有する。

【００３２】本発明の請求項10記載の発明は、請求項
１、３〜９記載の鍵更新方法において、前記あらかじめ
定めたｄを１とするものであり、第１の端末情報の構造
を単純化して計算を簡単にするという作用を有する。

【００３３】本発明の請求項11記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる通信システムにおいて、前記基地局は、
前記端末の第１の端末情報を格納する第１の基地局側記
憶部と、第２の端末情報を格納する第２の基地局側記憶
部を備え、前記端末は、前記第１の端末情報と前記第２
の端末情報を格納する端末情報格納部と、受信部と、第
１計算部と、第２計算部とを備え、前記第１の端末情報
は、ＧＣＤ（ｅ_i,ｅ_j1,・・・,ｅ_jm-1）≠ＧＣＤ（ｅ_j,ｅ
_j1,・・・,ｅ_jm-1），ＧＣＤ（ｅ_i,ｅ_j1,・・・,ｅ_jm）＝ｄ
（ただし、１≦ｉ,ｊ,ｊ₁,・・・,ｊ_m≦Ｎ；ｉ,ｊ,ｊ₁,・・
・,ｊ_mはすべて異なる；ｍとｄは所定の整数）となる関
係を満たす整数ｅ_iであり、前記第２の端末情報は、Ｋ
を更新鍵を生成するための情報とするとき、前記ｅ_iを
べきとし整数ｎを法とするＫのべき乗剰余値Ｘ_i＝Ｋ^ei
mod n（ＧＣＤ（Ｘ_i,ｎ）＝１）であり、（１）前記基
地局において、鍵更新時に、前記基地局が特定したｍ個
の端末ｊ₁,ｊ₂,・・・,ｊ_mの第１の端末情報ｅ_j1,ｅ_j2,・・
・,ｅ_jmと第２の端末情報Ｘ_j1,Ｘ_j2,・・・,Ｘ_jmを全端末に
一斉通知し、（２）全ての端末ｉにおいて、前記受信部
で、前記ｍ個の端末ｊ₁,ｊ₂,・・・,ｊ_mの第１の端末情報
と第２の端末情報を受信し、（３）ｍ個の端末ｊ₁,ｊ₂,
・・・,ｊ_mを除く全ての端末ｉでは、前記第１の計算部に
おいて、端末ｉ、端末ｊ₁,ｊ₂,・・・,ｊ_mの第１の端末情
報ｅ_i,ｅ_j1,ｅ_j2,・・・,ｅ_jmを用いて、ａ×ｅ_i＋ｂ₁×ｅ
_j1+ｂ₂×ｅ_j2＋・・・＋ｂ_m×ｅ_jm＝ｄ（ｉ≠ｊ₁,ｊ₂,・・・,
ｊ_m）を満たす整数ａ,ｂ₁,ｂ₂,・・・,ｂ_mを求め、（４）
ｍ個の端末ｊ₁,ｊ₂,・・・,ｊ_mを除く全ての端末ｉでは、
前記第２の計算部において、端末ｉ、端末ｊ₁,ｊ₂,・・・,
ｊ_mの第２の端末情報Ｘ_i,Ｘ_j1,Ｘ_j2,・・・,Ｘ_jmを用い
て、Ｘ_i ^a×Ｘ_j1 ^b1×Ｘ_j2 ^b2×・・・×Ｘ_jm ^bm mod nを計算
することにより更新鍵Ｋ^d mod nを求める鍵更新方法で
あり、第１の端末情報の構造を拡張することで、３台以
上の端末を同時に排除して鍵更新を行なうという作用を
有する。

【００３４】以下、本発明の実施の形態を、図１〜図８
を参照して、詳細に説明する。

【００３５】（第１の実施の形態）本発明の第１の実施
の形態は、任意の２つの端末の秘密鍵の最大公約数がす
べて異なり、任意の３つの端末の秘密鍵の最大公約数が
すべて同じとなるようにし、排除する２つの端末の秘密
鍵ｅ_i，ｅ_jと、更新鍵Ｋのｅ_i乗の剰余と、更新鍵Ｋの
ｅ_j乗の剰余を、基地局から全端末に同報通信し、２つ
の排除端末を除く各端末で、同報通信された情報と自局
の秘密鍵から更新鍵Ｋを求める鍵更新方法である。

【００３６】本発明の第１の実施の形態の鍵更新方法
は、従来例３と同様に、システムセットアップ、準備フ
ェーズ、鍵更新の３つのフェーズに分けられる。以下、
基地局が５つの端末を管理している場合について、各フ
ェ−ズに分けて説明する。

【００３７】図１は、本発明の第１の実施の形態の鍵更
新方法のシステムセットアップを示す図である。図１に
おいて、１は基地局、２〜６は、基地局の管理下にある
端末である。７〜11は、各端末内の、外部より観測も変
更もできない記憶部である。各端末Ｔ₁,Ｔ₂,Ｔ₃,Ｔ₄,Ｔ
₅は、第１の端末情報ｅ₁,ｅ₂,ｅ₃,ｅ₄,ｅ₅を、それぞれ
この領域に秘密に保持している。各端末の第１の端末情
報は、以下のように決定する。

【００３８】（１）任意のｉ,ｊに関してすべて異なる
素数ｄ_ij（≠１；１≦ｉ＜ｊ≦５）を用意する。また、
互いに異なる素数ｕ₁〜ｕ₅を用意する。

【００３９】（２）各端末の第１の端末情報ｅ₁,ｅ₂,ｅ
₃,ｅ₄,ｅ₅を次のように決定する。 ｅ₁＝ｄ₁₂×ｄ₁₃×ｄ₁₄×ｄ₁₅×ｕ₁ ｅ₂＝ｄ₁₂×ｄ₂₃×ｄ₂₄×ｄ₂₅×ｕ₂ ｅ₃＝ｄ₁₃×ｄ₂₃×ｄ₃₄×ｄ₃₅×ｕ₃ ｅ₄＝ｄ₁₄×ｄ₂₄×ｄ₃₄×ｄ₄₅×ｕ₄ ｅ₅＝ｄ₁₅×ｄ₂₅×ｄ₃₅×ｄ₄₅×ｕ₅ これを一般式で表わすと、 ｅ_i＝Π（１≦ｊ≦Ｎ）ｄ_ij・ｕ_i （ただし、ｄ_ji＝ｄ
_ij；ｄ_ii＝１） となる。

【００４０】これらの端末情報ｅ₁〜ｅ₅は、相異なる
ｉ，ｊ，ｋに対して、 ＧＣＤ（ｅ_i,ｅ_j）≠１， ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝１ を満足することは明らかである。

【００４１】（準備フェーズ）図２は、第１の実施の形
態の準備フェーズを示す図である。これは、第３の従来
例における準備フェーズと同じであるので、説明を省略
する。

【００４２】（鍵更新フェーズ）図３は、第１の実施の
形態の鍵更新フェーズを示す図である。例えば、端末Ｔ
₁とＴ₂を同時に排除する場合、基地局１は、以下の情報
を一斉通信する。 ・端末Ｔ₁とＴ₂の第１の端末情報ｅ₁,ｅ₂ ・端末Ｔ₁の第２の端末情報Ｘ₁（＝Ｋ^e1 mod n） ・端末Ｔ₂の第２の端末情報Ｘ₂（＝Ｋ^e2 mod n） ・法ｎ

【００４３】各端末はこれらを受信して、例えば（排除
端末Ｔ₁，Ｔ₂以外の）端末Ｔ₃では，次のようにして新
しい鍵Ｋを獲得する。 （１）ｅ₁，ｅ₃より、 ａ×ｅ₁＋ｂ×ｅ₃＝ｄ₁₃
・・・１ を満たす（ａ,ｂ）を求める。

【００４４】（２）ｅ₂，ｅ₃より、 ａ'×ｅ₂＋ｂ'×ｅ₃＝ｄ₂₃
・・・２ を満たす（ａ',ｂ'）を求める。

【００４５】（３）ｄ₁₃，ｄ₂₃より、 ａ"×ｄ₁₃＋ｂ"×ｄ₂₃＝１ ・・・３ を満たす（ａ",ｂ"）を求める。

【００４６】（４）Ｘ₁，Ｘ₂，Ｘ₃と上記（ａ,ｂ）,
（ａ',ｂ'）,（ａ",ｂ"）より、次のようにしてＫを求
める。 Ｘ₁＾（ａ"＊ａ）×Ｘ₃＾（ａ"＊ｂ）×Ｘ₂＾（ｂ"＊ａ'） ×Ｘ₃＾（ｂ"＊ｂ'） mod n ＝Ｋ ・・・４ 式３のｄ₁₃とｄ₂₃に、式１と式２の左辺を代入すると、 ａ"×（ａ×ｅ₁＋ｂ×ｅ₃）＋ｂ"×（ａ'×ｅ₂＋ｂ'×ｅ₃）＝１ となり、式４では、これがＫのべきになるため、式４の
計算でＫが獲得できる。他の端末Ｔ₄,Ｔ₅でも、３つの
秘密鍵を用いて同様に新しい鍵Ｋを獲得する。一方、排
除端末Ｔ₁や端末Ｔ₂では、結託しても秘密鍵が２つしか
そろわないため、Ｋを復元することができない。

【００４７】上記のように、本発明の第１の実施の形態
では、鍵更新方法を、任意の２つの端末の秘密鍵の最大
公約数がすべて異なり、任意の３つの端末の秘密鍵の最
大公約数がすべて同じとなるようにし、排除する２つの
端末の秘密鍵ｅ_i，ｅ_jと、更新鍵Ｋのｅ_i乗の剰余と、
更新鍵Ｋのｅ_j乗の剰余を、基地局から全端末に同報通
信し、２つの排除端末を除く各端末で、同報通信された
情報と自局の秘密鍵から更新鍵Ｋを求める構成としたの
で、基地局から全端末に同報通信をするだけで、指定し
た２つの端末を同時に排除する鍵更新ができるので、鍵
更新のための業務停止期間を短くできる。

【００４８】（第２の実施の形態）本発明の第２の実施
の形態は、排除する２つの端末の秘密鍵ｅ_i，ｅ_jの共通
因子ｄ_ijと、更新鍵Ｋのｄ_ij乗の剰余とを同報通信する
ことにより、２つの端末を排除するための通信量を減ら
した鍵更新方法である。

【００４９】本発明の第２の実施の形態は、第１の実施
の形態の鍵更新フェーズだけを変更したものである。図
４は、第２の実施の形態の鍵更新フェーズを示す図であ
る。第２の実施の形態では、第１の実施の形態に比べ、
一斉通信のデータ量の削減と、端末における計算量の削
減がなされている。例えば、端末Ｔ₁とＴ₂を同時に排除
する場合、基地局１は、鍵更新フェーズで次の情報を一
斉通信する。 ・ｄ₁₂（＝ＧＣＤ（ｅ₁,ｅ₂）） ・Ｘ₁₂（＝Ｋ^d12 mod n） ・法ｎ

【００５０】各端末はこれらの情報を受信し、排除端末
以外の端末、例えば端末Ｔ₃は、自局の秘密鍵（第１の
端末情報）ｅ₃と第２の端末情報Ｘ₃と一斉通信された上
記のｄ₁₂，Ｘ₁₂，ｎを用いて、次の手順で更新鍵Ｋを獲
得する。 （１）’ａ×ｅ₃＋ｂ×ｄ₁₂＝１ となるａ,ｂを求める。 ＧＣＤ（ｅ₃,ｄ₁₂）＝１ であるため、端末Ｔ₃は、拡張ユークリッド互除法を用
いて多項式時間でこの計算を行なうことができる。 （２）'ａ＜０の場合には （Ｘ₃ ^-1）^-a×Ｘ₁₂ ^b mod n（＝Ｋ＾（ａ×ｅ₃＋ｂ×ｄ
₁₂） mod n＝Ｋ） を計算してＫを求める。ｂ＜０の場合には、代わりに
（Ｘ₁₂ ^-1）^-b×Ｘ₃ ^a mod nを計算する。

【００５１】これを一般化すると、端末Ｔ_jとＴ_kを同時
に排除する場合、基地局は ・ｄ_jk（＝ＧＣＤ（ｅ_j,ｅ_k）） ・Ｘ_jk（＝Ｋ^djk mod n） ・法ｎ を一斉通信する。図５に、第２の実施の形態の処理を行
なうための、各端末の構成について示している。図５に
おいて、20は、第１の端末情報を格納する第１の端末情
報格納部、21は、準備フェーズで基地局から配送された
第２の端末情報を格納する第２の端末情報格納部であ
る。また、22は、鍵更新フェーズで基地局から配布され
る情報を受信する一斉通知受信部、23は、上記（１）'
の計算を行なう第１の計算部である。第１の計算部23
で、基地局から配布される第１の端末情報ｄ_jkと、第１
の端末情報格納部の格納値ｅ_iを用い、上記整数ａ，ｂ
を求める。24は、鍵更新フェーズでの上記（２）'の計
算を行なう第２の計算部であり、ここで、第１の計算部
の出力ａ，ｂと、基地局から配布される情報 Ｘ_jk＝Ｋ^djk mod n と、法ｎ、および第２の端末情報格納部の格納値Ｘ_iを
用い、上記（２）'の計算を行ない、鍵Ｋを求める。

【００５２】図６には、基地局１の構成を示している。
25は、全端末の第１の端末情報を格納する第１の端末情
報格納部、26は、鍵Ｋおよびｐ,ｑとその積ｎを生成す
る鍵生成部である。27は、鍵生成部の出力値と、各端末
の第１の端末情報を用いて、第２の端末情報を生成する
端末情報生成部である。第２の端末情報Ｘ_iは、各端末
の第１の端末情報ｅ_iをべきとし、ｎを法とする鍵Ｋの
べき乗剰余値として計算され、28の第２の端末情報格納
部に格納される。

【００５３】29は、排除する端末を指定する排除端末指
定部、30は、排除端末指定部の指定により、鍵更新フェ
ーズにおける、排除端末Ｔ_j, Ｔ_kの第１、第２の端末情
報ｅ_j，ｅ_kを、端末情報格納部25から選択して、前記
Ｋ，ｎとあわせて、ｄ_jkとＸ_jkを求め同報で全端末に通
知する同報通知部である。

【００５４】ここで、第１および第２の実施の形態にお
ける鍵更新の安全性について、まとめて説明を行なう。

【００５５】（１）すべての端末は、準備フェーズで
は、鍵Ｋを求めることは困難である。準備フェーズで、
例えば端末Ｔ₁が保持する情報は、以下の２つである。

【００５６】・第１の端末情報：ｅ₁ ・第２の端末情報：Ｘ₁（＝Ｋ^e1 mod n） これらの情報はそれぞれ、ＲＳＡ暗号の公開鍵、暗号文
に対応すると考えることができる。そのため、Ｋとｎを
十分に大きくとっておけば、ＲＳＡ暗号に帰着して、こ
れらからＫを求めることが困難となる。なお法ｎは、準
備フェーズで各端末に公開してもよいが、鍵更新フェー
ズで初めて明らかにすると、より安全であると考えられ
る。また、第１の端末情報は、総当たり攻撃に対抗でき
る程度の大きな数にとっておくことが必要である。

【００５７】（２）排除される端末Ｔ₁は、鍵更新フェ
ーズにおいても、鍵Ｋを求めることは困難である。

【００５８】鍵更新フェーズで排除される端末Ｔ₁が保
持する情報は、上記（１）に追加して、法ｎだけであ
る。そのため、 Ｘ₁＝Ｋ^e1 mod n を解いてＫを求めることは、Ｋとｎを十分に大きくとっ
ておけば、ＲＳＡ暗号に帰着して、これらからＫを求め
ることが困難となる。

【００５９】（３）排除される端末Ｔ₁とＴ₂が結託して
も、鍵Ｋを求めることは困難である。鍵更新フェーズで
端末Ｔ₁，Ｔ₂の保持する情報は、ｅ₁，ｅ₂，Ｘ₁，Ｘ₂，
ｎである。そのため、これらから計算できるのは、
ｄ₁₂，Ｋ^d12 mod nであり、これよりＫを求めることは
上記（１）、（２）と同様に、ＲＳＡ暗号に帰着して困
難である。

【００６０】（４）ある端末Ｔ₁の第１の端末情報は、
端末Ｔ₂，Ｔ₃，Ｔ₄，Ｔ₅が結託するとにより、ｕ₁以外
の約数は求められることになる。そのため、ｕ₁は総当
たり攻撃に対抗できる程度の大きな数に取っておくこと
が必要である。ただし、以上の攻撃が想定できない場合
には、ｕ₁〜ｕ₅は１としてよい。

【００６１】上記のように、本発明の第２の実施の形態
では、鍵更新方法を、排除する２つの端末の秘密鍵
ｅ_i，ｅ_jの共通因子ｄ_ijと、更新鍵Ｋのｄ_ij乗の剰余を
同報する構成としたので、２つの端末を排除するための
通信量を減らして、短時間で鍵更新を行なうことができ
る。

【００６２】（第３の実施の形態）本発明の第３の実施
の形態は、端末の秘密鍵ｅ_iとは互いに素であるＵと、
更新鍵ＫのＵ乗の剰余とを同報通信することにより、鍵
の定期更新などの場合に、端末を排除することなく、全
端末で一斉に鍵更新を行なう鍵更新方法である。

【００６３】図７は、本発明の第３の実施の形態の鍵更
新方法の鍵更新フェーズを示す図である。図７におい
て、基地局１と端末２〜６の構成は、第１の実施の形態
と同じである。図７は、端末２台を同時に排除する方法
を利用して、端末を排除することなく、全端末で鍵を更
新する場合を示すものである。基地局１は、第１の端末
情報ｅ₁〜ｅ₅と互いに素となるＵを求め、 Ｘ＝Ｋ^U mod n を計算する。そして、このＵ，Ｘと法ｎを全端末に一斉
通知する。このとき、端末Ｔ₁では、保持している第
１、第２の端末情報ｅ₁，Ｘ₁を用いて次の計算を行な
い、鍵Ｋを求める。

【００６４】（１）端末Ｔ₁の第１の端末情報ｅ₁と配布
されたＵを用いて、 ａ×ｅ₁＋ｂ×Ｕ＝１ を満たす整数ａ，ｂを求める。整数ａ，ｂはｅ₁，Ｕが
互いに素であるので必ず存在し、拡張ユークリッド互除
法により、計算パワーがそれほどない端末であっても、
多項式時間で求めることができる。

【００６５】（２）端末Ｔ₁の第２の端末情報Ｘ₁と、配
布されたＸおよび整数ｎを用いて、Ｘ₁ ^a×Ｘ^b mod nを
求める。ａ，ｂの正負に応じて、Ｘ₁ ^-1，Ｘ^-1を求め
て、Ｘ₁ ^amod n、Ｘ^b mod nを計算することは、上記と同
じである。

【００６６】Ｘ₁＝Ｋ^e1 mod n、 Ｘ＝Ｋ^U mod n であるから、この計算結果は、Ｋ＾（ｅ₁×ａ＋Ｕ×
ｂ） mod nとなり、前記ａ×ｅ₁＋ｂ×Ｕの式の値１に
より、結果はＫとなる。

【００６７】以上の計算は、端末Ｔ₂〜Ｔ₅でも同様に行
なうことができ、結果としてすべての端末で共通の鍵Ｋ
を共有することができる。各端末は、特定の端末を排除
する場合も、鍵の定期更新でも、同じ手続きを行ない、
端末での処理が簡素化される。また、端末において、鍵
更新の原因がわからないために、システム全体での安全
性が向上する。

【００６８】上記のように、本発明の第３の実施の形態
では、鍵更新方法を、端末の秘密鍵ｅ_iとは互いに素で
あるＵと、更新鍵ＫのＵ乗の剰余を、基地局から全端末
に同報通信することにより、全端末で一斉に鍵更新を行
なう構成としたので、２つの端末を同時に排除できる仕
組みを利用して、鍵の定期更新などの場合に、端末を排
除することなく、すべての端末で鍵を更新することが可
能となる。

【００６９】（第４の実施の形態）本発明の第４の実施
の形態は、排除する端末の秘密鍵ｅ_iの約数ｕ_iと、更新
鍵Ｋのｕ_i乗の剰余を基地局から全端末に同報通信する
ことにより、指定した１つの端末のみを排除して鍵更新
を行なう鍵更新方法である。

【００７０】図８は、本発明の第４の実施の形態の鍵更
新方法を示す図である。図８において、基地局１と端末
２〜６の構成は、第１の実施の形態と同じである。図８
は、２台の端末を同時に排除する鍵更新方法を利用し
て、１台の端末Ｔ₁だけを排除した鍵更新を行なう場合
を示すものである。基地局１は、端末Ｔ₁の第１の端末
情報の約数ｕ₁と、 Ｙ＝Ｋ^u1 mod n を計算する。そして、このｕ₁，Ｙと法ｎを全端末に一
斉通知する。このとき、端末Ｔ₂では、保持している第
１、第２の端末情報ｅ₂，Ｘ₂を用いて次の計算を行な
い、鍵Ｋを求める。

【００７１】（１）端末Ｔ₂の第１の端末情報ｅ₂と配布
されたｕ₁を用いて、 ａ×ｅ₂＋ｂ×ｕ₁＝１ を満たす整数ａ，ｂを求める。整数ａ，ｂはｅ₂，ｕ₁が
互いに素であるので必ず存在し、拡張ユークリッド互除
法により、計算パワーがそれほどない端末であっても、
多項式時間で求めることができる。

【００７２】（２）端末Ｔ₂の第２の端末情報Ｘ₂と、配
布されたＹおよび整数ｎを用いて、Ｘ₂ ^a×Ｙ^b mod nを
求める。ａ，ｂの正負に応じて、Ｘ₂ ^-1，Ｘ₂ ^-1を求め
て、Ｘ₂ ^a mod n，Ｙ^b mod nを計算することは、第２の
実施の形態と同じである。

【００７３】Ｘ₂＝Ｋ^e2 mod n， Ｙ＝Ｋ^u1 mod n であるから、この計算結果は、Ｋ＾（ｅ₂×ａ＋ｕ₁×
ｂ） mod nとなり、前記ａ×ｅ₂＋ｂ×ｕ₁の式の値１に
より、結果はＫとなる。

【００７４】以上の計算は、端末Ｔ₃〜Ｔ₅でも同様に行
なうことができる。しかし、端末Ｔ₁だけは ＧＣＤ（ｅ₁,ｕ₁）＝ｕ₁ となるため、同様の計算を行なってもＫ^u1 mod nしか求
めることができない。以上の方法により、２つの端末を
同時に排除できる仕組みを利用して、１つの端末だけを
排除することができる。排除する端末数が異っても端末
側の処理が共通にできるため、システム制御が容易とな
る。また、端末において鍵更新の原因がわからないため
に、システム全体での安全性が向上する。

【００７５】上記のように、本発明の第４の実施の形態
では、鍵更新方法を、排除する端末の秘密鍵ｅ_iの約数
ｕ_iと、更新鍵Ｋのｕ_i乗の剰余を基地局から全端末に同
報通信する構成としたので、２つの端末を同時に排除で
きる仕組みを利用して、指定した１つの端末のみを排除
する鍵更新を行なうことができる。

【００７６】なお、以上の実施の形態の鍵更新方法を拡
張して、３台以上の端末を同時に排除するように構成す
ることも可能である。第１〜４の実施の形態における各
端末の第１の端末情報は、 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij≠１， ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝１ を満たしていた。これを拡張して、 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij≠１， ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｆ_ijk≠１， ＧＣＤ（ｅ_i,ｅ_j,ｅ_k,ｅ_m）＝１ を満足するように各端末の第１の端末情報を定めること
により、３つの端末を同時に排除することができる。こ
の条件は ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij， ＧＣＤ（ｄ_ij,ｄ_ik）＝ｆ_ijk， ＧＣＤ（ｆ_ijk,ｆ_ijm）＝１ と言い換えてもよい。

【００７７】また、以上の方法は説明を簡略にするため
に端末数を５つとしていたが、これを一般のＮ局にでき
ることは勿論である。

【００７８】上記のように、本発明の第４の実施の形態
では、鍵更新方法を、排除する端末の秘密鍵ｅ_iの約数
ｕ_iと、更新鍵Ｋのｕ_i乗の剰余を基地局から全端末に同
報通信する構成としたので、２つの端末を同時に排除で
きる仕組みを利用して、指定した１つの端末のみを排除
する鍵更新を行なうことができる。

【００７９】

【発明の効果】以上説明したように、本発明では、鍵更
新方法を、基地局において、 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij , ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ （１≦ｉ,ｊ,ｋ≦Ｎ;ｉ≠ｊ≠ｋ≠ｉ;Ｎは端末数）を満
たすｅ_iを生成して、第１の端末情報として基地局に保
管するとともに、各端末ｉに配布し、整数Ｋ,ｎを適当
に決定して、 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） を計算して、第２の端末情報として基地局に保管すると
ともに、各端末ｉに配布し、鍵更新時に、基地局が特定
した端末ｊと端末ｋの第１の端末情報ｅ_j，ｅ_kと第２の
端末情報Ｘ_i，Ｘ_kを、基地局から全端末に一斉通知し、
端末ｊ，ｋを除く全ての端末ｉで、ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×ｅ_k＝ｄ （ｉ≠ｊ,ｋ） を満たす整数ａ，ｂを求め、Ｘ_iとＸ_j，Ｘ_kとを用い
て、更新鍵Ｋ^d mod nを求めるという構成としたので、
基地局から全端末に（ｅ_j,Ｘ_j,ｅ_k,Ｘ_k）を同報通信す
るだけで、２個の端末を同時に排除して残りの端末で同
じ更新鍵を獲得でき、鍵更新のための業務停止期間を短
くできるという効果が得られる。

【００８０】また、鍵更新方法を、基地局が鍵更新時に
各端末の第１の端末情報ｅ_iと互いに素である、すなわ
ち、 ＧＣＤ（Ｕ,ｅ_i）＝１（１≦ｉ≦Ｎ） を満たす整数Ｕと、 Ｘ＝Ｋ^U mod n （ＧＣＤ（Ｘ,ｎ）＝１） を各端末に一斉通知し、端末Ｔ_iでは、（ｅ_i,Ｕ）を用
いて、 ａ×ｅ_i＋ｂ×Ｕ＝１ を満たすａ，ｂを求め、（Ｘ_i,Ｘ）を用いて、Ｘ_i ^a×Ｘ
^b mod nを計算することにより共通の更新鍵Ｋを求める
という構成としたので、すべての端末が更新鍵を獲得で
きる定期更新にも使用することができ、基地局は特定端
末を排除する場合も定期更新時も意識する必要がなく、
処理の簡素化と安全性の向上が実現できるという効果が
得られる。

【００８１】また、 ＧＣＤ（ｅ_j,ｕ_j）＝ｕ_j， ＧＣＤ（ｅ_k,ｕ_j）＝１ （ｋ≠ｊ） となるｕ_jと Ｙ＝Ｋ^uj mod n を各端末に一斉通知し、端末Ｔ_j以外の任意の端末Ｔ_iで
（ｅ_i,ｕ_j）を用いて、 ａ×ｅ_i＋ｂ×ｕ_j＝１ を満たすａ、ｂを求め、（Ｘ_i,Ｙ）を用いて、Ｘ_i ^a×Ｙ
^b mod nを計算することにより共通の更新鍵Ｋを求める
という構成としたので、１個の端末だけを排除する鍵更
新にも使用することができ、基地局は排除する端末数を
意識する必要がなく、処理の簡素化と安全性の向上が実
現できるという効果が得られる。

【００８２】

【図面の簡単な説明】

【図１】本発明の第１の実施の形態の鍵更新方法におけ
るセットアップを示す図、

【図２】第１の実施の形態の鍵更新方法における準備フ
ェーズを示す図、

【図３】第１の実施の形態の鍵更新方法において、端末
Ｔ₁と端末Ｔ₂を同時に排除する鍵更新フェーズを示す
図、

【図４】本発明の第２の実施の形態の鍵更新方法におい
て、端末Ｔ₁と端末Ｔ₂を同時に排除する鍵更新フェーズ
を示す図、

【図５】第２の実施の形態の鍵更新方法における各端末
の構成を示す図、

【図６】第２の実施の形態の鍵更新方法における基地局
側の構成を示す図、

【図７】本発明の第３の実施の形態の鍵更新方法におい
て、定期更新の場合の鍵更新フェーズを示す図、

【図８】本発明の第４の実施の形態の鍵更新方法におい
て、端末Ｔ₁だけを排除する鍵更新フェーズを示す図、

【図９】従来例１における鍵更新方法を示す図、

【図１０】従来例２における鍵更新方法を示す図、

【図１１】従来例３における鍵更新方法におけるセット
アップを示す図、

【図１２】従来例３における鍵更新方法における準備フ
ェーズを示す図、

【図１３】従来例３における鍵更新方法において、端末
Ｔ₁を排除する鍵更新フェーズを示す図である。

【００８３】

【符号の説明】

１ 基地局 ２〜６ 端末Ｔ₁〜Ｔ₅ ７〜11 端末内の記憶部 12 基地局内の記憶部 20 第１の端末情報格納部 21 第２の端末情報格納部 22 一斉通知受信部 23 第１の計算部 24 第２の計算部 25 第１の端末情報格納部(基地局) 26 鍵Ｋ,ｐ,ｑ,ｎ生成部 27 第２の端末情報計算部 28 第２の端末情報格納部(基地局) 29 排除端末指定部 30 同報通知部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 ＦＩ Ｈ０４Ｌ 9/00 ６０１Ｅ (56)参考文献 松崎なつめ，安斎潤“移動体通信に適 したグループ鍵更新方法（ＩＩ）”情報 通信学会技術研究報告，Ｖｏｌ．97，Ｎ ｏ．611，（1998年３月18日），ｐ．51 −56（ＩＳＥＣ97−73) 松崎なつめ，安斎潤“移動体通信に適 したグループ鍵更新方法（Ｉ）”ＩＳ 98，（1998年１月31日）ＳＣＩＳ98− ５．２．Ｅ 松崎なつめ，安斎潤“移動体通信に適 したグループ鍵更新方法（ＩＩＩ）”電 子情報通信学会技術研究報告，Ｖｏｌ. 97，Ｎｏ．611，（1998年３月18日）, ｐ．57−62（ＩＳＥＣ97−74) (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 H04B 7/24 - 7/26 H04Q 7/02 - 7/38 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (11)

(57)【特許請求の範囲】
1. 【請求項１】 基地局と、前記基地局と接続されたＮ台
   （Ｎは２以上の整数）の端末からなる通信システムにお
   いて、前記基地局は、前記端末の第１の端末情報を格納
   する第１の基地局側記憶部と、第２の端末情報を格納す
   る第２の基地局側記憶部を備え、前記端末は、前記第１
   の端末情報と前記第２の端末情報を格納する端末情報格
   納部と、受信部と、第１計算部と、第２計算部とを備
   え、前記第１の端末情報は、 ＧＣＤ（ｅ_i,ｅ_j）≠ＧＣＤ（ｅ_i,ｅ_k） ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ （ただし、１≦ｉ,ｊ,ｋ≦Ｎ；ｉ≠ｊ≠ｋ≠ｉ；ｄは所
   定の整数）となる関係を満たす整数ｅ_iであり、前記第
   ２の端末情報は、Ｋを更新鍵を生成するための情報とす
   るとき、前記ｅ_iをべきとし整数ｎを法とするＫのべき
   乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） であり、（１）前記基地局において、鍵更新時に、前記
   基地局が特定した端末ｊの第１の端末情報ｅ_jと第２の
   端末情報Ｘ_jと、端末ｋの第１の端末情報ｅ_kと第２の端
   末情報Ｘ_kを、前記基地局側記憶部から取り出して全端
   末に一斉通知し、（２）全ての端末ｉにおいて、前記受
   信部で、前記端末ｊの第１の端末情報ｅ_jと第２の端末
   情報Ｘ_jと、端末ｋの第１の端末情報ｅ_kと第２の端末情
   報Ｘ_kを受信し、（３）端末ｊと端末ｋを除く全ての端
   末ｉでは、前記第１の計算部において、端末ｉ、端末
   ｊ、端末ｋの第１の端末情報ｅ_i，ｅ_j，ｅ_kを用いて ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×ｅ_k＝ｄ （ｉ≠ｊ≠ｋ≠ｉ） を満たす整数ａ，ｂ，ｃを求め、（４）端末ｊと端末ｋ
   を除く全ての端末ｉでは、前記第２の計算部において、
   端末ｉ、端末ｊ、端末ｋの第２の端末情報Ｘ_i, Ｘ_j, Ｘ
   _kを用いて Ｘ_i ^a×Ｘ_j ^b×Ｘ_k ^c mod n を計算することにより更新鍵Ｋ^d mod nを求めることを
   特徴とする鍵更新方法。
2. 【請求項２】 基地局と、前記基地局と接続されたＮ台
   （Ｎは２以上の整数）の端末からなる暗号通信の鍵更新
   システムにおいて、 前記基地局は、 （１）ＧＣＤ（ｅ_i,ｅ_j）≠ＧＣＤ（ｅ_i,ｅ_k） ＧＣＤ（ｅ_i,ｅ_j,ｅ_k）＝ｄ （ただし、ｉ≠ｊ≠ｋ≠ｉ；ｄは所定の整数）となる関
   係を満たす整数ｅ_iを第１の端末情報として格納する第
   １の基地局側記憶部と、 （２）Ｘ_i＝Ｋ^ei mod n （ただし、１≦ｉ≦Ｎ；ｅ_iは第１の端末情報；法ｎは
   ＧＣＤ（Ｘ_i,ｎ）＝１を満たす整数；整数Ｋは更新鍵を
   生成するための情報）を第２の端末情報として格納する
   第２の基地局側記憶部と、（３）鍵更新時に、前記基地
   局が特定した端末ｊ，ｋの第１の端末情報ｅ_j，ｅ_kと第
   ２の端末情報Ｘ_j，Ｘ_kを、前記基地局側記憶部から取り
   出して全端末に一斉通知する送信部とを備え、 前記端末は、（４）自局の第１、第２の端末情報を格納
   する端末情報格納部と、（５）端末ｊの第１の端末情報
   ｅ_jと第２の端末情報Ｘ_jと、端末ｋの第１の端末情報ｅ
   _kと第２の端末情報Ｘ_kとを受信する受信部と、（６）端
   末ｉ、端末ｊ、端末ｋの第１の端末情報ｅ_i，ｅ_j，ｅ_k
   を用いて ａ×ｅ_i＋ｂ×ｅ_j＋ｃ×ｅ_k＝ｄ （ｉ≠ｊ≠ｋ≠ｉ） を満たす整数ａ，ｂ，ｃを求める第１の計算部と、
   （７）端末ｉ、端末ｊ、端末ｋの第２の端末情報Ｘ_i,
   Ｘ_j, Ｘ_kを用いて Ｘ_i ^a×Ｘ_j ^b×Ｘ_k ^c mod n を計算することにより更新鍵Ｋ^d mod nを求める第２の
   計算部とを備えたことを特徴とする鍵更新システム。
3. 【請求項３】 前記端末ｉの第２の計算部において、第
   １の計算部の出力である整数ａ，ｂ，ｃのうち、整数ａ
   が負の時、第２の計算部において、Ｘ_iのｎを法とする
   逆数（Ｘ_i ^-1）を求め、 （Ｘ_i ^-1）^-a×Ｘ_j ^b×Ｘ_k ^c mod n を算出し、整数ｂが負の時、第２の計算部において、Ｘ
   _jのｎを法とする逆数（Ｘ_j ^-1)を求め、 （Ｘ_j ^-1)^-b×Ｘ_i ^a×Ｘ_k ^c mod n を算出し、整数ｃが負の時、第２の計算部において、Ｘ
   _kのｎを法とする逆数（Ｘ_k ^-1)を求め、 （Ｘ_k ^-1)^-c×Ｘ_i ^a×Ｘ_k ^b mod n を算出して更新鍵Ｋ^d mod nを求めることを特徴とする
   請求項１記載の鍵更新方法。
4. 【請求項４】 前記端末ｉ、端末ｊ、端末ｋの第１の端
   末情報ｅ_i，ｅ_j，ｅ_kが、ｄ_ijを端末ｉと端末ｊに依存
   した１ではない整数、ｄ_ikを端末ｉと端末ｋに依存した
   １ではない整数として、 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ_ij≠１， ＧＣＤ（ｅ_i,ｅ_k）＝ｄ_ik≠１， ＧＣＤ（ｄ_ij,ｄ_ik）＝ｄ を満足するとき、前記端末ｉの第１の計算部では、 Ａ₁×ｅ_i＋Ｂ₁×ｅ_j＝ｄ_ij， Ａ₂×ｅ_i＋Ｂ₂×ｅ_k＝ｄ_ik， Ａ₃×ｄ_ij＋Ｂ₃×ｄ_ik＝ｄ となる、Ａ₁，Ａ₂，Ａ₃，Ｂ₁，Ｂ₂，Ｂ₃を求め、第１の
   計算部の出力である整数ａ，ｂ，ｃを ａ＝Ａ₁×Ａ₃＋Ａ₂×Ｂ₃ ｂ＝Ａ₃×Ｂ₁ ｃ＝Ｂ₂×Ｂ₃ とすることを特徴とする請求項１記載の鍵更新方法。
5. 【請求項５】 前記端末ｉの第１の端末情報ｅ_iを、 ｅ_i＝Π（１≦ｊ≦Ｎ）ｄ_ij （ｄ_ji＝ｄ_ij；ｄ_ii＝
   １） とすることを特徴とする請求項４記載の鍵更新方法。
6. 【請求項６】 前記端末ｉの第１の端末情報ｅ_iをｕ_iと
   互いに異る素数とするとき、 ｅ_i＝Π（１≦ｊ≦Ｎ）ｄ_ij×ｕ_i （ｄ_ji＝ｄ_ij；ｄ_ii
   ＝１） とすることを特徴とする請求項４記載の鍵更新方法。
7. 【請求項７】 前記端末ｊと端末ｋを前記基地局が特定
   する端末とする場合、（１）前記基地局において、鍵更
   新時に、前記基地局が特定した端末ｊと端末ｋの第１の
   端末情報の最大公約数 ＧＣＤ（ｅ_j,ｅ_k）＝ｄ_jk とＫ^djk mod nを全端末に一斉通知し、（２）全ての端
   末ｉにおいて、前記受信部で、前記ｄ_jkとＫ^djk mod n
   を受信し、（３）端末ｊと端末ｋを除く全ての端末ｉで
   は、前記第１の計算部において、端末ｉの第１の端末情
   報ｅ_iと前記ｄ_jkを用いて ａ×ｅ_i＋ｂ×ｄ_jk=ｄ （ｉ≠ｊ≠ｋ≠ｉ） を満たす整数ａ，ｂを求め、（４）端末ｊと端末ｋを除
   く全ての端末ｉでは、前記第２の計算部において、端末
   ｉの第２の端末情報Ｘ_iとＫ^dij mod nを用いて Ｘ_i ^a×（Ｋ^dij mod n)^b mod n を計算することにより更新鍵Ｋ^d mod nを求めることを
   特徴とする請求項４記載の鍵更新方法。
8. 【請求項８】 前記基地局が端末ｊのみを特定する端末
   とする場合、（１）前記基地局において、鍵更新時に、
   前記端末ｊの第１の端末情報の約数ｕ_jとＫ^uj mod nを
   全端末に一斉通知し、（２）全ての端末ｉにおいて、前
   記受信部で、前記ｕ_jとＫ^uj mod nを受信し、（３）端
   末ｊを除く全ての端末ｉでは、前記第１の計算部におい
   て、端末ｉの第１の端末情報ｅ_iと前記ｕ_jを用いて ａ×ｅ_i＋ｂ×u_j＝１ （ｉ≠ｊ） を満たす整数ａ，ｂを求め、（４）端末ｊを除く全ての
   端末ｉでは、前記第２の計算部において、端末ｉの第２
   の端末情報Ｘ_iとＫ^uj mod nを用いて Ｘ_i ^a×（Ｋ^uj mod n）^b mod n を計算することにより更新鍵Ｋ mod nを求めることを特
   徴とする請求項６記載の鍵更新方法。
9. 【請求項９】 整数Ｕを前記すべての端末の第１の端末
   情報と互いに素となる整数とするとき、（１）前記基地
   局において、鍵更新時に、前記整数ＵとＫ^U mod nを全
   端末に一斉通知し、（２）全ての端末ｉにおいて、前記
   受信部で、前記ＵとＫ^U mod nを受信し、（３）全ての
   端末ｉでは、前記第１の計算部において、端末ｉの第１
   の端末情報ｅ_iと前記Ｕを用いて ａ×ｅ_i＋ｂ×Ｕ＝１ を満たす整数ａ，ｂを求め、（４）全ての端末ｉでは、
   前記第２の計算部において、端末ｉの第２の端末情報Ｘ
   _iとＫ^U mod nを用いて Ｘ_i ^a×（Ｋ^U mod n）^b mod n を計算することにより更新鍵Ｋ mod nを求めることを特
   徴とする請求項６記載の鍵更新方法。
10. 【請求項１０】 前記所定の整数ｄを１とすることを特
    徴とする請求項１、３〜９記載の鍵更新方法。
11. 【請求項１１】 基地局と、前記基地局と接続されたＮ
    台（Ｎは２以上の整数）の端末からなる通信システムに
    おいて、前記基地局は、前記端末の第１の端末情報を格
    納する第１の基地局側記憶部と、第２の端末情報を格納
    する第２の基地局側記憶部を備え、前記端末は、前記第
    １の端末情報と前記第２の端末情報を格納する端末情報
    格納部と、受信部と、第１計算部と、第２計算部とを備
    え、前記第１の端末情報は、 ＧＣＤ（ｅ_i,ｅ_j1,・・・,ｅ_jm-1）≠ＧＣＤ（ｅ_j,ｅ_j1,・・
    ・,ｅ_jm-1），ＧＣＤ（ｅ_i,ｅ_j1,・・・,ｅ_jm）＝ｄ （ただし、１≦ｉ,ｊ,ｊ₁,・・・,ｊ_m≦Ｎ；ｉ,ｊ,ｊ₁,・・
    ・,ｊ_mはすべて異なる；ｍとｄは所定の整数）となる関
    係を満たす整数ｅ_iであり、前記第２の端末情報は、Ｋ
    を更新鍵を生成するための情報とするとき、前記ｅ_iを
    べきとし整数ｎを法とするＫのべき乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） であり、（１）前記基地局において、鍵更新時に、前記
    基地局が特定したｍ個の端末ｊ₁,ｊ₂,・・・,ｊ_mの第１の
    端末情報ｅ_j1,ｅ_j2,・・・,ｅ_jmと第２の端末情報Ｘ_j1,Ｘ
    _j2,・・・,Ｘ_jmを全端末に一斉通知し、（２）全ての端末
    ｉにおいて、前記受信部で、前記ｍ個の端末ｊ₁,ｊ₂,・・
    ・,ｊ_mの第１の端末情報と第２の端末情報を受信し、
    （３）ｍ個の端末ｊ₁,ｊ₂,・・・,ｊ_mを除く全ての端末ｉ
    では、前記第１の計算部において、端末ｉ、端末ｊ₁,ｊ
    ₂,・・・,ｊ_mの第１の端末情報ｅ_i,ｅ_j1,ｅ_j2,・・・,ｅ_jmを
    用いて ａ×ｅ_i＋ｂ₁×ｅ_j1+ｂ₂×ｅ_j2＋・・・＋ｂ_m×ｅ_jm＝ｄ （ｉ≠ｊ₁,ｊ₂,・・・,ｊ_m）を満たす整数ａ,ｂ₁,ｂ₂,・・・,
    ｂ_mを求め、（４）ｍ個の端末ｊ₁,ｊ₂,・・・,ｊ_mを除く全
    ての端末ｉでは、前記第２の計算部において、端末ｉ、
    端末ｊ₁,ｊ₂,・・・,ｊ_mの第２の端末情報Ｘ_i,Ｘ_j1,Ｘ_j2,・
    ・・,Ｘ_jmを用いて Ｘ_i ^a×Ｘ_j1 ^b1×Ｘ_j2 ^b2×・・・×Ｘ_jm ^bm mod n を計算することにより更新鍵Ｋ^d mod nを求めることを
    特徴とする鍵更新方法。