JP2945523B2 - ネットワーク利用秘密及び署名通信方法 - Google Patents
ネットワーク利用秘密及び署名通信方法Info
- Publication number
- JP2945523B2 JP2945523B2 JP3227125A JP22712591A JP2945523B2 JP 2945523 B2 JP2945523 B2 JP 2945523B2 JP 3227125 A JP3227125 A JP 3227125A JP 22712591 A JP22712591 A JP 22712591A JP 2945523 B2 JP2945523 B2 JP 2945523B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- public key
- secret
- information
- terminal information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】
【産業上の利用分野】本発明はネットワークを利用した
秘密通信及び署名方法に関し、殊に秘密及び署名通信に
際して用いる公開鍵の生成方法に関する。
秘密通信及び署名方法に関し、殊に秘密及び署名通信に
際して用いる公開鍵の生成方法に関する。
【０００２】
【従来の技術】ＬＡＮ、ＮＴＴの回線、衛星通信等通信
内容の第三者による盗聴、第三者の詐称による使用等を
完全に防止すること、即ち、秘密通信と署名通信の確保
が困難な通信ネットワークシステムにおける秘密及び署
名通信の方法として数値情報たる公開鍵を使用した暗号
方式が採用されている。本方式は、多種類あるがその基
本原理は伝達すべき情報を数値化した上で数値情報たる
公開鍵等と一定の演算をすることにより暗号化して送信
し、受信した側は秘密鍵といわれる一定の数値を使用
し、一定の演算を行うことにより伝達すべき情報を数値
化された状態で復号し、しかる後もとの情報とするもの
と伝達すべき情報を数値化した上で送信側は秘密鍵と呼
ばれる一定の数値を使用し、一定の演算を行うことによ
り送信者自身にしか生成できない署名データを作成して
それを送信し、受信側は、数値情報たる公開鍵を用い
て、その署名データの正しさを確認するものである。な
お、公開鍵そのものの原理は、電子通信学会発行、池
野、小山共著『現代暗号理論』等に詳述されているた
め、詳細は略する。
内容の第三者による盗聴、第三者の詐称による使用等を
完全に防止すること、即ち、秘密通信と署名通信の確保
が困難な通信ネットワークシステムにおける秘密及び署
名通信の方法として数値情報たる公開鍵を使用した暗号
方式が採用されている。本方式は、多種類あるがその基
本原理は伝達すべき情報を数値化した上で数値情報たる
公開鍵等と一定の演算をすることにより暗号化して送信
し、受信した側は秘密鍵といわれる一定の数値を使用
し、一定の演算を行うことにより伝達すべき情報を数値
化された状態で復号し、しかる後もとの情報とするもの
と伝達すべき情報を数値化した上で送信側は秘密鍵と呼
ばれる一定の数値を使用し、一定の演算を行うことによ
り送信者自身にしか生成できない署名データを作成して
それを送信し、受信側は、数値情報たる公開鍵を用い
て、その署名データの正しさを確認するものである。な
お、公開鍵そのものの原理は、電子通信学会発行、池
野、小山共著『現代暗号理論』等に詳述されているた
め、詳細は略する。
【０００３】この公開鍵暗号方式は、秘密に保持する鍵
の種類が少ない上、暗号、即ち数値の作成が容易かつ多
様なため上述の端末数の多い大規模ネットワークに適し
た方式として注目されている。ところで公開鍵暗号方式
では、相手端末の公開鍵として使用するデータが間違い
なく相手端末の公開鍵であること（公開鍵の完全性の確
保）を保証する技術が必要となる。具体的には、金銭取
引では相手方の確認であり、秘密情報伝達においては送
信内容の解読困難性であり、またいずれの場合でも第三
者の詐称、妨害の排除も要求される。
の種類が少ない上、暗号、即ち数値の作成が容易かつ多
様なため上述の端末数の多い大規模ネットワークに適し
た方式として注目されている。ところで公開鍵暗号方式
では、相手端末の公開鍵として使用するデータが間違い
なく相手端末の公開鍵であること（公開鍵の完全性の確
保）を保証する技術が必要となる。具体的には、金銭取
引では相手方の確認であり、秘密情報伝達においては送
信内容の解読困難性であり、またいずれの場合でも第三
者の詐称、妨害の排除も要求される。
【０００４】公開鍵の完全性を確保するための第１の方
法は公開のディレクトリ（ファイル）を利用する方法で
ある。ここで、公開のディレクトリとはすべての端末が
それを見ることができるが、それへ書き込むことはその
ディレクトリを管理する機関を通す必要のあるアクセス
を制御された媒体のことである。具体的には銀行と各取
引者のようなものである。すなわち、この方式では各端
末、例えば各取引者は各自の公開鍵を管理機関、例えば
取引銀行を通して公開のディレクトリに登録し、必要に
応じてそのディレクトリから登録された相手端末の公開
鍵を獲得する。しかしながら、この方式を端末数の多い
ネットワークに適用する場合、公開のディレクトリへ各
端末のアクセスが集中するという問題が生じる。またこ
の方式では公開のディレクトリを管理する機関が信頼で
きることが前提となる。
法は公開のディレクトリ（ファイル）を利用する方法で
ある。ここで、公開のディレクトリとはすべての端末が
それを見ることができるが、それへ書き込むことはその
ディレクトリを管理する機関を通す必要のあるアクセス
を制御された媒体のことである。具体的には銀行と各取
引者のようなものである。すなわち、この方式では各端
末、例えば各取引者は各自の公開鍵を管理機関、例えば
取引銀行を通して公開のディレクトリに登録し、必要に
応じてそのディレクトリから登録された相手端末の公開
鍵を獲得する。しかしながら、この方式を端末数の多い
ネットワークに適用する場合、公開のディレクトリへ各
端末のアクセスが集中するという問題が生じる。またこ
の方式では公開のディレクトリを管理する機関が信頼で
きることが前提となる。
【０００５】公開鍵の完全性を確保するための第２の方
法は、各端末が各自の公開鍵を自分自身で管理し、相手
端末の公開鍵を相手端末に直接要求する方法である。具
体的には取引者相互の直接取引のようなものである。こ
の方法では、公開のディレクトリが不要となるが、各端
末が相手端末から受け取った公開鍵が正しい公開鍵であ
ることを保証する手段（公開鍵の完全性の確保）が必要
となる。これを実現する方法の一つに信頼された機関が
各端末の公開鍵に対して発行した公開鍵証明書を利用す
る方法がある。具体的には銀行が発行するようなもので
ある。ここで公開鍵証明書とは全ての端末から信頼され
た機関（センタ）が各端末の識別情報IDと公開鍵に対し
て生成したセンタの署名情報のことである。またIDとし
ては、名前や住所といった端末を特定できる広く知られ
た情報を用いる。以下にこれらの従来例を具体的に説明
する。 （従来例１）図３は、従来例の一例であり、特にいわば
御墨付きを与えるセンタがデジタル証明を与える一手段
としてエルガマル署名法を用いて公開鍵証明書を発行す
るものである。なお、ここではエルガマル署名法を利用
するが任意の署名法を利用して同様に構成できる。エル
ガマル署名法は通信関係では、いわゆる離散対数問題の
難しさ、数学的には、剰余と法ｐと原始根とから原始根
の指数(Index) を求めることは、法ｐが大きな数の場合
にはその必要計算量が膨大となるため困難であることを
もとにした署名法で、上述の『現代暗号理論』の他”ア
パブリックキー クリプトシステム アンド シグネ
イチャー スキーム ベイスト オンディスクリート
ロガリズム”プロシーディング オブ クリプト84(T.
E.ElGamal:"A public key crypto system and signatur
e scheme based on discretelogarithm",Proc.Crypto8
4) に詳しい。以下同図に沿ってこの従来例の手順を説
明する。 1)システム初期設定ステップ （１） センタは大きな素数ｐとｐを法とする剰余より
なる有限体の正の原始根ｇを生成する。 （２） センタは秘密鍵Ｘを生成し公開鍵Ｙを次式より
求める。
法は、各端末が各自の公開鍵を自分自身で管理し、相手
端末の公開鍵を相手端末に直接要求する方法である。具
体的には取引者相互の直接取引のようなものである。こ
の方法では、公開のディレクトリが不要となるが、各端
末が相手端末から受け取った公開鍵が正しい公開鍵であ
ることを保証する手段（公開鍵の完全性の確保）が必要
となる。これを実現する方法の一つに信頼された機関が
各端末の公開鍵に対して発行した公開鍵証明書を利用す
る方法がある。具体的には銀行が発行するようなもので
ある。ここで公開鍵証明書とは全ての端末から信頼され
た機関（センタ）が各端末の識別情報IDと公開鍵に対し
て生成したセンタの署名情報のことである。またIDとし
ては、名前や住所といった端末を特定できる広く知られ
た情報を用いる。以下にこれらの従来例を具体的に説明
する。 （従来例１）図３は、従来例の一例であり、特にいわば
御墨付きを与えるセンタがデジタル証明を与える一手段
としてエルガマル署名法を用いて公開鍵証明書を発行す
るものである。なお、ここではエルガマル署名法を利用
するが任意の署名法を利用して同様に構成できる。エル
ガマル署名法は通信関係では、いわゆる離散対数問題の
難しさ、数学的には、剰余と法ｐと原始根とから原始根
の指数(Index) を求めることは、法ｐが大きな数の場合
にはその必要計算量が膨大となるため困難であることを
もとにした署名法で、上述の『現代暗号理論』の他”ア
パブリックキー クリプトシステム アンド シグネ
イチャー スキーム ベイスト オンディスクリート
ロガリズム”プロシーディング オブ クリプト84(T.
E.ElGamal:"A public key crypto system and signatur
e scheme based on discretelogarithm",Proc.Crypto8
4) に詳しい。以下同図に沿ってこの従来例の手順を説
明する。 1)システム初期設定ステップ （１） センタは大きな素数ｐとｐを法とする剰余より
なる有限体の正の原始根ｇを生成する。 （２） センタは秘密鍵Ｘを生成し公開鍵Ｙを次式より
求める。
【０００６】 Ｙ≡ｇx mod ｐ …［１］ （３） センタは（ｐ，ｇ，Ｙ）を各端末に通知する。
ここで（ｇx mod ｐ）はｇのＸ乗をｐで割った剰余を示
し、≡は（Ｙmod ｐ）と（ｇx mod ｐ）とが等しいこと
を示す。この式［１］においてＸ，ｐ，ｇからＹを求め
ることは容易であるが、Ｙ，ｐ，ｇからＸを求めること
はｐが大きくなるにつれて必要計算量が膨大となるため
困難となる。ことに、ｇが原始根であれば、この困難性
は増大する。このことは上述の通信関係では離算対数問
題の難しさ、数学では指数計算の困難性としてよく知ら
れていることである（ここに、Ｘはｐを法としｇを底と
するＹの指数（Index ）と呼ばれる）。このシステム初
期設定ステップはシステム構築時にセンタによって実行
されるステップである。 ２）公開鍵証明書発行ステップ （１） 端末ｉは秘密鍵xiを生成し公開鍵yiを次式より
求める。
ここで（ｇx mod ｐ）はｇのＸ乗をｐで割った剰余を示
し、≡は（Ｙmod ｐ）と（ｇx mod ｐ）とが等しいこと
を示す。この式［１］においてＸ，ｐ，ｇからＹを求め
ることは容易であるが、Ｙ，ｐ，ｇからＸを求めること
はｐが大きくなるにつれて必要計算量が膨大となるため
困難となる。ことに、ｇが原始根であれば、この困難性
は増大する。このことは上述の通信関係では離算対数問
題の難しさ、数学では指数計算の困難性としてよく知ら
れていることである（ここに、Ｘはｐを法としｇを底と
するＹの指数（Index ）と呼ばれる）。このシステム初
期設定ステップはシステム構築時にセンタによって実行
されるステップである。 ２）公開鍵証明書発行ステップ （１） 端末ｉは秘密鍵xiを生成し公開鍵yiを次式より
求める。
【０００７】 yi≡ｇxi mod ｐ …［２］ （添字ｉは任意の端末ｉ用の変数であることを示す。） （２） 端末ｉは公開鍵yiと自分の識別情報IDi をセン
タに通知し（yi,IDi）に対する公開鍵証明書の発行を請
求する。 （３） センタは公開鍵証明書の発行を請求している端
末が端末ｉに相違ないことを確認する（端末ｉの正当性
確認）。なお、この確認のみは別途何らかの手段、例え
ばセンタと端末ｉとの公開ネットワーク等を利用しない
直接の通信によりなされる。これは以下の従来例、本発
明の実施例でも同じである。 （４） センタは各端末ごとに異なる乱数riを生成し
（yi,IDi）に対する公開鍵証明書（ti，si）を次式より
求める。（’ＡＢ’は情報の結合を示す）。
タに通知し（yi,IDi）に対する公開鍵証明書の発行を請
求する。 （３） センタは公開鍵証明書の発行を請求している端
末が端末ｉに相違ないことを確認する（端末ｉの正当性
確認）。なお、この確認のみは別途何らかの手段、例え
ばセンタと端末ｉとの公開ネットワーク等を利用しない
直接の通信によりなされる。これは以下の従来例、本発
明の実施例でも同じである。 （４） センタは各端末ごとに異なる乱数riを生成し
（yi,IDi）に対する公開鍵証明書（ti，si）を次式より
求める。（’ＡＢ’は情報の結合を示す）。
【０００８】 ti≡ｇri mod ｐ …［３］ si≡（yiＡＢIDi −Ｘ×ti）／ri mod（ｐ-1） …［４］ なお、ここに乱数riを発生させるのは、複数の端末が共
謀してセンタの秘密鍵を求める等の不正防止を図るもの
である。 （５） センタは公開鍵証明書（ti，si）を端末ｉに発
行する。
謀してセンタの秘密鍵を求める等の不正防止を図るもの
である。 （５） センタは公開鍵証明書（ti，si）を端末ｉに発
行する。
【０００９】この公開鍵証明書発行ステップは各端末が
このシステムに加入する時に実行されるステップであ
る。 ３）公開鍵証明書確認ステップ （１） 端末ｉは公開鍵yiと識別情報IDi と公開鍵証明
書（ti,si ）を端末ｊに通知する。 （２） 端末ｊは端末ｉから通知された公開鍵yiと識別
情報IDi と公開鍵証明書（ti,si）に対して次式 ｇyi AB IDi ＝ｙti×tisi mod ｐ …［５］ が成立するか否かを調べ、［５］式が成立すれば公開鍵
yiを端末ｉの公開鍵として受取り、［５］式が成立しな
いならばこの公開鍵yiを棄却する。なお、（p,g,Ｙ）
は、センタから通知されている情報である。
このシステムに加入する時に実行されるステップであ
る。 ３）公開鍵証明書確認ステップ （１） 端末ｉは公開鍵yiと識別情報IDi と公開鍵証明
書（ti,si ）を端末ｊに通知する。 （２） 端末ｊは端末ｉから通知された公開鍵yiと識別
情報IDi と公開鍵証明書（ti,si）に対して次式 ｇyi AB IDi ＝ｙti×tisi mod ｐ …［５］ が成立するか否かを調べ、［５］式が成立すれば公開鍵
yiを端末ｉの公開鍵として受取り、［５］式が成立しな
いならばこの公開鍵yiを棄却する。なお、（p,g,Ｙ）
は、センタから通知されている情報である。
【００１０】この公開鍵証明書確認ステップは各端末間
で随時実行される。このステップで各端末ｊは公開鍵yi
を獲得するためにセンタにアクセスする必要がない。こ
の場合、各端末はセンタの秘密鍵Ｘを知らないため、
［５］式を満たす公開鍵yiおよび識別情報IDi に対する
公開鍵証明書（ti,si ）の生成は困難である。以上に説
明した公開鍵の完全性を確保するための公開鍵証明書確
認ステップにおける諸特性は以下の通り。
で随時実行される。このステップで各端末ｊは公開鍵yi
を獲得するためにセンタにアクセスする必要がない。こ
の場合、各端末はセンタの秘密鍵Ｘを知らないため、
［５］式を満たす公開鍵yiおよび識別情報IDi に対する
公開鍵証明書（ti,si ）の生成は困難である。以上に説
明した公開鍵の完全性を確保するための公開鍵証明書確
認ステップにおける諸特性は以下の通り。
【００１１】 ［１］通信量：３×log2ｐビット（ただしIDの通信量は
除く） ［２］処理量：平均約1.875 ×log2ｐ回のlog2ｐビット
幅の乗算剰余演算 以上の方式においては十分な安全性を確保するため、す
なわち指数を求めるのを困難にするためにはlog2ｐを例
えば512 程度にする必要があるとされている。この場合
［１］の通信量は1536ビット［２］の処理量は 512ビッ
ト幅の剰余演算が平均960 回程度となる。 （従来例２） 従来例１と同様に公開のディレクトリを不要とし、かつ
各端末が相手端末から正しい公開鍵を獲得できる手段と
して公開鍵生成法がある。公開鍵生成法では、各端末は
信頼された機関が発行する端末情報を用いて相手端末の
公開鍵を生成する。この公開鍵生成法の特徴は、(1) セ
ンタが発行する端末情報はセンタ以外が偽造できないよ
うにセンタの秘密情報と各端末の識別情報IDを用いて生
成されることと、(2) 端末情報から生成された公開鍵が
正しい公開鍵であるかどうかは後にその公開鍵を利用す
るときに確認できることである。ここで端末情報が偽造
できないという意味は、不正者が「自身の選んだ秘密鍵
に対応する公開鍵」を生成するための端末情報を作りだ
すことが不可能であるということである。またもし端末
情報から誤った公開鍵が生成されその公開鍵が利用され
ても（その誤った公開鍵を用いて実行されたステップは
無駄になるが）なんら安全上の問題はない。したがって
この方法では公開鍵の正当性が間接的に確認できる（つ
まり、公開鍵の正当性の確認を第１の従来例のように直
接行なう必要はない）。公開鍵生成法の一例として、出
願人らが特願平２−３２４４７９及び３２４４８０号で
公開したものを以下に説明する。図４はこの例における
公開鍵生成方法の構成を示すものである。以下同図に沿
ってこの例の手順を説明する。 １）システム初期設定ステップ （１） センタは、素数ｐとｐを法とする完全剰余系の
正の原始根ｇを生成する。また、あるハッシュ関数ｈを
決定する。ここでハッシュ関数とは入力データを圧縮す
る一方向性関数であって以下の４条件を満たすものをい
う。ｈは通信文の分割単位であるブロックごとに独立
に計算するのではなく、通信文全てのビットに依存した
方法で計算する。任意の与えられた通信文Ｍとそのハ
ッシュ値ｈ（Ｍ）に関し、ｈ（Ｍ）＝ｈ（ｘ）となるよ
うな他の通信文Ｘを見つけることが非常に困難である。
ｈに関してｈ（Ｘ・Ｙ）≠ｈ（Ｘ）・ｈ（Ｙ）を満た
す必要がある。ｈ（Ｍ）の計算が高速に実行できる。
除く） ［２］処理量：平均約1.875 ×log2ｐ回のlog2ｐビット
幅の乗算剰余演算 以上の方式においては十分な安全性を確保するため、す
なわち指数を求めるのを困難にするためにはlog2ｐを例
えば512 程度にする必要があるとされている。この場合
［１］の通信量は1536ビット［２］の処理量は 512ビッ
ト幅の剰余演算が平均960 回程度となる。 （従来例２） 従来例１と同様に公開のディレクトリを不要とし、かつ
各端末が相手端末から正しい公開鍵を獲得できる手段と
して公開鍵生成法がある。公開鍵生成法では、各端末は
信頼された機関が発行する端末情報を用いて相手端末の
公開鍵を生成する。この公開鍵生成法の特徴は、(1) セ
ンタが発行する端末情報はセンタ以外が偽造できないよ
うにセンタの秘密情報と各端末の識別情報IDを用いて生
成されることと、(2) 端末情報から生成された公開鍵が
正しい公開鍵であるかどうかは後にその公開鍵を利用す
るときに確認できることである。ここで端末情報が偽造
できないという意味は、不正者が「自身の選んだ秘密鍵
に対応する公開鍵」を生成するための端末情報を作りだ
すことが不可能であるということである。またもし端末
情報から誤った公開鍵が生成されその公開鍵が利用され
ても（その誤った公開鍵を用いて実行されたステップは
無駄になるが）なんら安全上の問題はない。したがって
この方法では公開鍵の正当性が間接的に確認できる（つ
まり、公開鍵の正当性の確認を第１の従来例のように直
接行なう必要はない）。公開鍵生成法の一例として、出
願人らが特願平２−３２４４７９及び３２４４８０号で
公開したものを以下に説明する。図４はこの例における
公開鍵生成方法の構成を示すものである。以下同図に沿
ってこの例の手順を説明する。 １）システム初期設定ステップ （１） センタは、素数ｐとｐを法とする完全剰余系の
正の原始根ｇを生成する。また、あるハッシュ関数ｈを
決定する。ここでハッシュ関数とは入力データを圧縮す
る一方向性関数であって以下の４条件を満たすものをい
う。ｈは通信文の分割単位であるブロックごとに独立
に計算するのではなく、通信文全てのビットに依存した
方法で計算する。任意の与えられた通信文Ｍとそのハ
ッシュ値ｈ（Ｍ）に関し、ｈ（Ｍ）＝ｈ（ｘ）となるよ
うな他の通信文Ｘを見つけることが非常に困難である。
ｈに関してｈ（Ｘ・Ｙ）≠ｈ（Ｘ）・ｈ（Ｙ）を満た
す必要がある。ｈ（Ｍ）の計算が高速に実行できる。
【００１２】ここに、一方向性関数の具体例とては、入
力値が任意の正整数である場合に、その入力値の素数ｒ
を法とする剰余は０，１，２，…，ｒ−１のｒ通りとな
る、整数１，２，…，ｒ−１（ここにｒは素数）をべき
乗等した場合のｒを法とする剰余はその種類が1/2 等と
なる（ｒ＝５の場合には、整数を５で割った剰余の種類
は０を除くと１，２，３，４の４種類であるが１2，２
2 ，３2 ，４2 を各５で割った剰余は１，４，４，１と
２種類になる）等をあげられよう。また、ハッシュ関数
の具体例としては、多数の１又は０からなる信号列の１
番から順次奇数番目の情報とその次の偶数番目の情報と
の排他的論理和をとることにより情報量が1/2 になるよ
うなものをあげられよう。なお、現在実際に採用されて
いるハッシュ関数として代表的なものには、通信文に秘
密鍵暗号方式ＤＥＳをＣＢＣモードで適用する方法、通
信文に秘密鍵暗号方式Ｒａｂｉｎの暗号化関数（２次合
同式）をＣＢＣモードで適用する方法の２つをあげられ
よう。なお、これらは上述の『現代暗号理論』等に詳し
く記載されているため、その説明は省略する。 （２） センタはセンタ秘密鍵Ｘを生成しセンタ公開鍵
Ｙを次式より生成する。
力値が任意の正整数である場合に、その入力値の素数ｒ
を法とする剰余は０，１，２，…，ｒ−１のｒ通りとな
る、整数１，２，…，ｒ−１（ここにｒは素数）をべき
乗等した場合のｒを法とする剰余はその種類が1/2 等と
なる（ｒ＝５の場合には、整数を５で割った剰余の種類
は０を除くと１，２，３，４の４種類であるが１2，２
2 ，３2 ，４2 を各５で割った剰余は１，４，４，１と
２種類になる）等をあげられよう。また、ハッシュ関数
の具体例としては、多数の１又は０からなる信号列の１
番から順次奇数番目の情報とその次の偶数番目の情報と
の排他的論理和をとることにより情報量が1/2 になるよ
うなものをあげられよう。なお、現在実際に採用されて
いるハッシュ関数として代表的なものには、通信文に秘
密鍵暗号方式ＤＥＳをＣＢＣモードで適用する方法、通
信文に秘密鍵暗号方式Ｒａｂｉｎの暗号化関数（２次合
同式）をＣＢＣモードで適用する方法の２つをあげられ
よう。なお、これらは上述の『現代暗号理論』等に詳し
く記載されているため、その説明は省略する。 （２） センタはセンタ秘密鍵Ｘを生成しセンタ公開鍵
Ｙを次式より生成する。
【００１３】 Ｙ≡ｇx mod ｐ …［６］ （３） （ｐ，ｇ，ｈ，Ｙ）を各端末に通知する。この
システム初期設定ステップはシステム構築時にセンタに
よって実行されるステップである。 ２）端末情報発行ステップ （１） 端末ｉは乱数xiを生成し次式よりyiを求める。
システム初期設定ステップはシステム構築時にセンタに
よって実行されるステップである。 ２）端末情報発行ステップ （１） 端末ｉは乱数xiを生成し次式よりyiを求める。
【００１４】 yi≡ｇxi mod ｐ …［７］ （２） 端末ｉはyiと識別情報IDi をセンタに通知し端
末情報の発行を請求する。 （３） センタは端末情報の発行を請求している端末が
端末ｉに相違ないことを確認する（端末ｉの正当性確
認）。 （４） センタは各端末ごとに異なる乱数riを生成し、
この乱数riと端末ｉから通知された（yi,IDi）およびセ
ンタ秘密鍵Ｘを用いて次式により端末ｉの端末情報（s
i,ti ）を生成する。
末情報の発行を請求する。 （３） センタは端末情報の発行を請求している端末が
端末ｉに相違ないことを確認する（端末ｉの正当性確
認）。 （４） センタは各端末ごとに異なる乱数riを生成し、
この乱数riと端末ｉから通知された（yi,IDi）およびセ
ンタ秘密鍵Ｘを用いて次式により端末ｉの端末情報（s
i,ti ）を生成する。
【００１５】 ti≡ｇri×yi mod ｐ …［８］ si≡ｈ(ti,IDi)×Ｘ＋ri mod (ｐ-1) …［９］ （５） センタは端末情報（si,ti ）を端末ｉに発行す
る。 （６） 端末ｉはセンタから受け取ったsiと自分の秘密
鍵xiを用いて次式により自分の秘密鍵uiを生成する。
る。 （６） 端末ｉはセンタから受け取ったsiと自分の秘密
鍵xiを用いて次式により自分の秘密鍵uiを生成する。
【００１６】 ui≡（si＋xi） mod (ｐ-1） …［１０］ この端末情報発行ステップは各端末がこのシステムに加
入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１） 端末ｉは端末ｊに端末情報tiと識別情報IDi を
通知する。 （２） 端末ｊは端末ｉより通知された端末情報tiと識
別情報IDi を用いて次式より端末ｉの公開鍵Piを求め
る。
入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１） 端末ｉは端末ｊに端末情報tiと識別情報IDi を
通知する。 （２） 端末ｊは端末ｉより通知された端末情報tiと識
別情報IDi を用いて次式より端末ｉの公開鍵Piを求め
る。
【００１７】 Pi≡Ｙh(ti,IDi) ×ti mod p …［１１］ ここで（ｐ，Ｙ）はセンタから通知されている情報であ
る。この端末公開鍵生成ステップは各端末間で随時実行
される。このステップで各端末は公開鍵を獲得するため
にセンタにアクセスする必要がない。なお、式［６］，
［８］，［７］，［９］，［１０］より Pi≡Ｙh(ti,IDi) ×ti mod p ≡ｇx*h(ti,IDi) ×ｇri×yi mod p（添え字の＊は×の意味） ≡ｇh(ti,IDi)*x ×ｇri×ｇxi mod p ≡ｇh(ti,IDi)*x+ri+xi mod p ≡ｇsi+xi mod p ≡ｇui mod p …［１２］ が成り立つため、このPiを「素数ｐを法とする完全剰余
系上の指数計算に基づいた暗号系（例えばエルガマル暗
号など）」における秘密鍵uiに対応する公開鍵とみなす
ことができる。
る。この端末公開鍵生成ステップは各端末間で随時実行
される。このステップで各端末は公開鍵を獲得するため
にセンタにアクセスする必要がない。なお、式［６］，
［８］，［７］，［９］，［１０］より Pi≡Ｙh(ti,IDi) ×ti mod p ≡ｇx*h(ti,IDi) ×ｇri×yi mod p（添え字の＊は×の意味） ≡ｇh(ti,IDi)*x ×ｇri×ｇxi mod p ≡ｇh(ti,IDi)*x+ri+xi mod p ≡ｇsi+xi mod p ≡ｇui mod p …［１２］ が成り立つため、このPiを「素数ｐを法とする完全剰余
系上の指数計算に基づいた暗号系（例えばエルガマル暗
号など）」における秘密鍵uiに対応する公開鍵とみなす
ことができる。
【００１８】ここで、センタ以外はセンタの秘密情報Ｘ
を知らないため、［１２］式を満たす公開鍵Piおよび秘
密鍵uiを生成するための端末情報（ti,si ）を求めるこ
とは困難である。以上に説明した公開鍵の完全性を確保
するための端末公開鍵生成ステップにおける諸特性は以
下の通り。
を知らないため、［１２］式を満たす公開鍵Piおよび秘
密鍵uiを生成するための端末情報（ti,si ）を求めるこ
とは困難である。以上に説明した公開鍵の完全性を確保
するための端末公開鍵生成ステップにおける諸特性は以
下の通り。
【００１９】 ［１］通信量：log2ｐビット（ただしIDの通信量は除
く） ［２］処理量：平均約（1.5 ×log2ｈ+1）回のlog2ｐビ
ット幅の乗算剰余演算 この方式においても従来例１と同様に十分な安全性を確
保するためにlog2ｐを512 程度に設定する必要がある。
一方log2ｈはハッシュ関数ｈの出力ビット数であり十分
な安全性を確保するために例えば128 程度にする必要が
ある。このとき［１］通信量は512 ビット［２］処理量
は平均193 回程度の512 ビット幅の乗算剰余演算とな
る。 （従来例３）従来例１、同２と異なりセンタを複数設
け、センタの発行した公開鍵証明書を用いて公開鍵の完
全性を確保する方法がある。この方法を以下に説明す
る。ここでは簡単のためセンタが２つの場合を示す。ま
たセンタが公開鍵証明書を発行するために利用する署名
法は従来例１と同様にエルガマル署名とする。図５に構
成を示す。以下同図に沿ってこの従来例の手順を説明す
る。 1)システム初期設定ステップ （１） センタC1、C2は共同で大きな素数ｐとｐを法と
する完全剰余系上の原始根ｇを生成する。 （２） センタCk（ｋ＝1,２）はそれぞれ秘密情報Xkを
生成し公開情報Ykを次式より求める。
く） ［２］処理量：平均約（1.5 ×log2ｈ+1）回のlog2ｐビ
ット幅の乗算剰余演算 この方式においても従来例１と同様に十分な安全性を確
保するためにlog2ｐを512 程度に設定する必要がある。
一方log2ｈはハッシュ関数ｈの出力ビット数であり十分
な安全性を確保するために例えば128 程度にする必要が
ある。このとき［１］通信量は512 ビット［２］処理量
は平均193 回程度の512 ビット幅の乗算剰余演算とな
る。 （従来例３）従来例１、同２と異なりセンタを複数設
け、センタの発行した公開鍵証明書を用いて公開鍵の完
全性を確保する方法がある。この方法を以下に説明す
る。ここでは簡単のためセンタが２つの場合を示す。ま
たセンタが公開鍵証明書を発行するために利用する署名
法は従来例１と同様にエルガマル署名とする。図５に構
成を示す。以下同図に沿ってこの従来例の手順を説明す
る。 1)システム初期設定ステップ （１） センタC1、C2は共同で大きな素数ｐとｐを法と
する完全剰余系上の原始根ｇを生成する。 （２） センタCk（ｋ＝1,２）はそれぞれ秘密情報Xkを
生成し公開情報Ykを次式より求める。
【００２０】 Yk≡ｇxk mod ｐ …［１３］ （３） センタC1,C2 は（ｐ，ｇ,Y1,Y2）を各端末に通
知する。 ２）公開鍵証明書発行ステップ （１） 端末ｉは秘密鍵xiを決定し公開鍵yiを次式より
求める。 yi≡ｇxi mod p …［１４］ （２） 端末ｉは公開鍵yiと自分の識別情報IDi をセン
タC1,C2にそれぞれ通知し （yi,IDi）に対する公
開鍵証明書の発行を請求する。 （３） センタCk（ｋ＝1,2 ）はそれぞれ公開鍵証明書
の発行を請求している端末が端末ｉに相違ないことを確
認する（端末ｉの正当性確認）。 （４） センタCk（ｋ＝1,2 ）はそれぞれ端末ごとに異
なる乱数rik を生成しそれぞれ（yi,IDi）に対する公開
鍵証明書（tik,sik ）を次式より求める。
知する。 ２）公開鍵証明書発行ステップ （１） 端末ｉは秘密鍵xiを決定し公開鍵yiを次式より
求める。 yi≡ｇxi mod p …［１４］ （２） 端末ｉは公開鍵yiと自分の識別情報IDi をセン
タC1,C2にそれぞれ通知し （yi,IDi）に対する公
開鍵証明書の発行を請求する。 （３） センタCk（ｋ＝1,2 ）はそれぞれ公開鍵証明書
の発行を請求している端末が端末ｉに相違ないことを確
認する（端末ｉの正当性確認）。 （４） センタCk（ｋ＝1,2 ）はそれぞれ端末ごとに異
なる乱数rik を生成しそれぞれ（yi,IDi）に対する公開
鍵証明書（tik,sik ）を次式より求める。
【００２１】 tik ≡ｇrik mod ｐ …［１５］ sik ≡（yiＡＢIDi −Xk×tik ）／rik mod ( ｐ-1) …［１６］ （５） センタCk（k ＝1,2 ）はそれぞれ公開鍵証明書
（tik,sik ）を端末ｉに発行する。 ３）公開鍵正当性確認ステップ （１） 端末ｉは公開鍵yiと識別情報IDi と公開鍵証明
書（tik,sik ）（k ＝1,2 ）を端末ｊに通知する。 （２） 端末ｊは端末ｉから通知された公開鍵yiと識別
情報IDi と公開鍵証明書（tik,sik ）（k ＝1,2 ）に対
して次式 ｇyi AB IDi ≡Yktik ×tikssik od ｐ …［１７］ が（k ＝1,2 ）に対して成立するかどうかを調べ［１
７］式がそれぞれ成立すれば公開鍵yiを端末ｉの公開鍵
として受取り［１７］式が成立しないならばこの公開鍵
yiを棄却する。なお、（ｐ，ｇ，Ｙｋ）は、センタから
通知されている情報である。
（tik,sik ）を端末ｉに発行する。 ３）公開鍵正当性確認ステップ （１） 端末ｉは公開鍵yiと識別情報IDi と公開鍵証明
書（tik,sik ）（k ＝1,2 ）を端末ｊに通知する。 （２） 端末ｊは端末ｉから通知された公開鍵yiと識別
情報IDi と公開鍵証明書（tik,sik ）（k ＝1,2 ）に対
して次式 ｇyi AB IDi ≡Yktik ×tikssik od ｐ …［１７］ が（k ＝1,2 ）に対して成立するかどうかを調べ［１
７］式がそれぞれ成立すれば公開鍵yiを端末ｉの公開鍵
として受取り［１７］式が成立しないならばこの公開鍵
yiを棄却する。なお、（ｐ，ｇ，Ｙｋ）は、センタから
通知されている情報である。
【００２２】ここで、各端末は、センタＣｋ（k ＝1,2
）の秘密鍵Xkを知らないため［１７］式を満たす公開
鍵yiおよび識別情報IDi に対する公開鍵証明書（tik,si
k ）（k ＝1,2 ）を生成することは困難である。この方
法では従来例１、２とは異なり、たとえセンタが悪意を
持っても単独では不正をなしえない。なぜなら、一方の
センタは他方のセンタの秘密情報を知らないため、他方
のセンタの発行する公開鍵証明書を偽造できないからで
ある。そして、このようなセンタの不正はセンタの数を
増すことで事実上不可能としえる。
）の秘密鍵Xkを知らないため［１７］式を満たす公開
鍵yiおよび識別情報IDi に対する公開鍵証明書（tik,si
k ）（k ＝1,2 ）を生成することは困難である。この方
法では従来例１、２とは異なり、たとえセンタが悪意を
持っても単独では不正をなしえない。なぜなら、一方の
センタは他方のセンタの秘密情報を知らないため、他方
のセンタの発行する公開鍵証明書を偽造できないからで
ある。そして、このようなセンタの不正はセンタの数を
増すことで事実上不可能としえる。
【００２３】以上に説明した公開鍵の完全性を確保する
ための公開鍵証明書確認ステップにおける諸特性を一般
にセンタ数をＮとした場合について以下に示す。 ［１］通信量：（２Ｎ＋１）×log2ｐビット ［２］処理量：平均約1.875 ×Ｎ×log2ｐ回のlog2ｐビ
ット幅の剰余乗算
ための公開鍵証明書確認ステップにおける諸特性を一般
にセンタ数をＮとした場合について以下に示す。 ［１］通信量：（２Ｎ＋１）×log2ｐビット ［２］処理量：平均約1.875 ×Ｎ×log2ｐ回のlog2ｐビ
ット幅の剰余乗算
【００２４】
【発明が解決しようとする課題】しかしながら、以上説
明したように従来例１、２ではともに単一のセンタが発
行する公開鍵証明書や端末情報を利用して公開鍵の完全
性を確保しているためセンタが悪意を持てば簡単に不正
ができる。すなわち従来例１ではセンタが端末ｉになり
かわって決定した偽の秘密鍵xi' および公開鍵yi' と偽
の公開鍵yi' および識別情報IDi に対して発行した公開
鍵証明書を用いることで、また従来例２ではセンタが端
末ｉになりかわって生成した偽の乱数xiおよび乱数xiか
ら生成されたyi' とIDi に対して発行した端末情報を用
いることによって不正を実行できる。
明したように従来例１、２ではともに単一のセンタが発
行する公開鍵証明書や端末情報を利用して公開鍵の完全
性を確保しているためセンタが悪意を持てば簡単に不正
ができる。すなわち従来例１ではセンタが端末ｉになり
かわって決定した偽の秘密鍵xi' および公開鍵yi' と偽
の公開鍵yi' および識別情報IDi に対して発行した公開
鍵証明書を用いることで、また従来例２ではセンタが端
末ｉになりかわって生成した偽の乱数xiおよび乱数xiか
ら生成されたyi' とIDi に対して発行した端末情報を用
いることによって不正を実行できる。
【００２５】一方、従来例３では複数のセンタの発行し
た公開鍵証明書を用いて公開鍵の完全性を確保するた
め、センタ数に比例して端末の通信量や処理量が増大
し、各種設備の負担も増大する。このため、センタの不
正に対処しえかつ所要計算量の少ない公開鍵を利用した
ネットワークによる秘密及び署名通信方法が望まれてい
た。
た公開鍵証明書を用いて公開鍵の完全性を確保するた
め、センタ数に比例して端末の通信量や処理量が増大
し、各種設備の負担も増大する。このため、センタの不
正に対処しえかつ所要計算量の少ない公開鍵を利用した
ネットワークによる秘密及び署名通信方法が望まれてい
た。
【００２６】本発明は以上の問題点に鑑みて試されたも
のでありセンタの不正を不可能とし、また必要な通信量
や処理量がそれほど大きくない公開鍵生成方式を採用し
た秘密及び署名通信方法を提供することを目的とする。
のでありセンタの不正を不可能とし、また必要な通信量
や処理量がそれほど大きくない公開鍵生成方式を採用し
た秘密及び署名通信方法を提供することを目的とする。
【００２７】
【課題を解決するための手段】以上の目的を達成するた
め、請求項１に係る発明においては、固有の識別情報を
有する第１の端末が同じく固有の識別情報を有する第２
の端末に自己の公開鍵作成のための情報を連絡し、第２
の端末はその公開鍵作成のための情報を使用して作成し
た第１の端末の公開鍵を用いて秘密通信、署名通信をな
すネットワーク利用秘密及び署名通信方法において、秘
密及び署名通信に使用する公開鍵の生成はシステム初期
設定ステップと端末情報発行ステップと端末公開鍵生成
ステップとからなり、前記システム初期設定ステップ
は、複数の各端末情報発行センタが共同で第１、第２の
データに対する第１の演算の結果を入力とするときの出
力値が前記第１のデータを入力とするときの出力値と前
記第２のデータに対する第２の演算の結果に等しくな
り、複数のデータに対する第３の演算の結果を入力とす
るときの出力値が前記複数のデータのそれぞれを入力と
するときの各出力値に対する第４の演算の結果と等しく
なる性質を有する一方向性関数ｆと、入力された情報を
何らかの形で残しつつ縮約するハッシュ関数ｈとを決定
し、又各端末情報発行センタはそれぞれ独立に秘密鍵Xb
を決定し、秘密鍵Xbを入力とする前記一方向性関数ｆの
出力値Ybを決定し、各端末情報発行センタは共同でそれ
ぞれのYbに対する前記第４の演算の結果Ｙを計算し、前
記Xbは前記各端末情報発行センタが秘密のままとする一
方、前記Ｙを全端末情報発行センタの公開鍵とした上
で、前記一方向性関数ｆ、および前記ハッシュ関数ｈと
共に第１、第２の端末に通知する手順よりなり、前記端
末情報発行ステップは前記第１の端末が、乱数ｘを発生
しこれを秘密に保持する一方でこの乱数ｘを入力とする
前記一方向性関数ｆの出力値ｙと前記識別情報を前記各
端末情報発行センタにそれぞれ通知した上で端末情報の
発行を請求し、その請求に基づき前記各端末情報発行セ
ンタが、それぞれ、乱数rbを発生しこれを秘密に保持す
る一方前記乱数rbを入力とする前記一方向性関数ｆの出
力値vbを求めた上で他の各端末情報発行センタに通知す
る一方で前記ｙと前記各vbに対する前記第４の演算の結
果ｔを求め、その上で前記ｔと第１の端末の前記識別情
報を入力とする前記ハッシュ関数ｈの出力値Ｈを求め、
更に前記秘密鍵Xbと前記出力値Ｈに対する前記第１の演
算の結果を求め、しかる後この第１の演算の結果と前記
乱数rbに対する前記第３の演算の結果sbを求めこれを他
の各端末情報発行センタに通知し、最終的には前記各端
末情報発行センタが共同で前記各sbに対する前記第３の
演算の結果ｓを求め、これと前記ｔとを前記第１の端末
の端末情報として前記第１の端末に発行し、発行を受け
た前記第１の端末が前記ｓと前記乱数ｘを入力とする前
記第３の演算の結果ｕを第１の端末の秘密鍵とする手順
よりなり、前記端末公開鍵生成ステップは前記第１の端
末が前記ｔと前記第１の端末の識別情報を前記第２の端
末に前記ネットワークを介して通知し、該通知を受けた
前記第２の端末が、前記ｔと前記第１の端末の識別情報
を入力とする前記ハッシュ関数ｈの出力値H'を求め、前
記Ｙと前記出力値H'に対する前記第２の演算の結果を求
め、この第２の演算の結果と前記ｔに対する前記第４の
演算の結果を第１の端末の公開鍵Ｐとする手順からな
り、前記第１の演算及び前記第３の演算は両演算間に分
配律が成立するという性質を有する演算であり、前記第
３の演算は結合律及び可換律が成立するという性質を有
する演算であることを特徴とするネットワーク利用秘密
及び署名通信方法としている。
め、請求項１に係る発明においては、固有の識別情報を
有する第１の端末が同じく固有の識別情報を有する第２
の端末に自己の公開鍵作成のための情報を連絡し、第２
の端末はその公開鍵作成のための情報を使用して作成し
た第１の端末の公開鍵を用いて秘密通信、署名通信をな
すネットワーク利用秘密及び署名通信方法において、秘
密及び署名通信に使用する公開鍵の生成はシステム初期
設定ステップと端末情報発行ステップと端末公開鍵生成
ステップとからなり、前記システム初期設定ステップ
は、複数の各端末情報発行センタが共同で第１、第２の
データに対する第１の演算の結果を入力とするときの出
力値が前記第１のデータを入力とするときの出力値と前
記第２のデータに対する第２の演算の結果に等しくな
り、複数のデータに対する第３の演算の結果を入力とす
るときの出力値が前記複数のデータのそれぞれを入力と
するときの各出力値に対する第４の演算の結果と等しく
なる性質を有する一方向性関数ｆと、入力された情報を
何らかの形で残しつつ縮約するハッシュ関数ｈとを決定
し、又各端末情報発行センタはそれぞれ独立に秘密鍵Xb
を決定し、秘密鍵Xbを入力とする前記一方向性関数ｆの
出力値Ybを決定し、各端末情報発行センタは共同でそれ
ぞれのYbに対する前記第４の演算の結果Ｙを計算し、前
記Xbは前記各端末情報発行センタが秘密のままとする一
方、前記Ｙを全端末情報発行センタの公開鍵とした上
で、前記一方向性関数ｆ、および前記ハッシュ関数ｈと
共に第１、第２の端末に通知する手順よりなり、前記端
末情報発行ステップは前記第１の端末が、乱数ｘを発生
しこれを秘密に保持する一方でこの乱数ｘを入力とする
前記一方向性関数ｆの出力値ｙと前記識別情報を前記各
端末情報発行センタにそれぞれ通知した上で端末情報の
発行を請求し、その請求に基づき前記各端末情報発行セ
ンタが、それぞれ、乱数rbを発生しこれを秘密に保持す
る一方前記乱数rbを入力とする前記一方向性関数ｆの出
力値vbを求めた上で他の各端末情報発行センタに通知す
る一方で前記ｙと前記各vbに対する前記第４の演算の結
果ｔを求め、その上で前記ｔと第１の端末の前記識別情
報を入力とする前記ハッシュ関数ｈの出力値Ｈを求め、
更に前記秘密鍵Xbと前記出力値Ｈに対する前記第１の演
算の結果を求め、しかる後この第１の演算の結果と前記
乱数rbに対する前記第３の演算の結果sbを求めこれを他
の各端末情報発行センタに通知し、最終的には前記各端
末情報発行センタが共同で前記各sbに対する前記第３の
演算の結果ｓを求め、これと前記ｔとを前記第１の端末
の端末情報として前記第１の端末に発行し、発行を受け
た前記第１の端末が前記ｓと前記乱数ｘを入力とする前
記第３の演算の結果ｕを第１の端末の秘密鍵とする手順
よりなり、前記端末公開鍵生成ステップは前記第１の端
末が前記ｔと前記第１の端末の識別情報を前記第２の端
末に前記ネットワークを介して通知し、該通知を受けた
前記第２の端末が、前記ｔと前記第１の端末の識別情報
を入力とする前記ハッシュ関数ｈの出力値H'を求め、前
記Ｙと前記出力値H'に対する前記第２の演算の結果を求
め、この第２の演算の結果と前記ｔに対する前記第４の
演算の結果を第１の端末の公開鍵Ｐとする手順からな
り、前記第１の演算及び前記第３の演算は両演算間に分
配律が成立するという性質を有する演算であり、前記第
３の演算は結合律及び可換律が成立するという性質を有
する演算であることを特徴とするネットワーク利用秘密
及び署名通信方法としている。
【００２８】請求項２に係る発明においては前記一方向
性関数ｆが、各端末情報発行センタが、共同で、素数ｐ
と（ｐ-1）の約数ｑと（ｐ-1）以下の正整数で前記ｐを
法として位数がｑである整数ｇを決定した後、ａを変数
としたときにｆ（ａ）≡ｇa mod ｐであることを特徴と
する請求項１記載のネットワーク利用秘密及び署名通信
方法としている。
性関数ｆが、各端末情報発行センタが、共同で、素数ｐ
と（ｐ-1）の約数ｑと（ｐ-1）以下の正整数で前記ｐを
法として位数がｑである整数ｇを決定した後、ａを変数
としたときにｆ（ａ）≡ｇa mod ｐであることを特徴と
する請求項１記載のネットワーク利用秘密及び署名通信
方法としている。
【００２９】請求項３に係る発明においては前記一方向
関数ｆが、各端末情報発行センタが共同で、素数ｐのべ
き乗値ｐm と（ｐm −１）の約数ｑとｐm 個の要素を持
つ拡大体の元で位数がｑとなる元ｇを決定した後ａを変
数としたときに前記拡大体上でｆ（ａ）＝ｇa であるこ
とを特徴とする請求項１記載のネットワーク利用秘密及
び署名通信方法としている。
関数ｆが、各端末情報発行センタが共同で、素数ｐのべ
き乗値ｐm と（ｐm −１）の約数ｑとｐm 個の要素を持
つ拡大体の元で位数がｑとなる元ｇを決定した後ａを変
数としたときに前記拡大体上でｆ（ａ）＝ｇa であるこ
とを特徴とする請求項１記載のネットワーク利用秘密及
び署名通信方法としている。
【００３０】請求項４に係る発明においては前記一方向
性関数ｆが、各端末情報発行センタが、共同で合成数ｎ
と前記ｎのオイラーの関数の値の約数であるｑと前記ｎ
を法としてｑを位数とする正整数ｇを決定した後、ａを
変数としたときにｆ（ａ）≡ｇa mod ｎとしたことを特
徴とする請求項１記載のネットワーク利用秘密及び署名
通信方法としている。
性関数ｆが、各端末情報発行センタが、共同で合成数ｎ
と前記ｎのオイラーの関数の値の約数であるｑと前記ｎ
を法としてｑを位数とする正整数ｇを決定した後、ａを
変数としたときにｆ（ａ）≡ｇa mod ｎとしたことを特
徴とする請求項１記載のネットワーク利用秘密及び署名
通信方法としている。
【００３１】請求項５に係る発明においては前記システ
ム初期設定ステップが各端末情報発行センタが、共同
で、Ｙ、ｈ、ｇ、ｎ、ｑを第１、第２の端末に通知する
のに代えて共同で、前記Ｙ、ｈ、ｇ、ｎを第１、第２の
端末に通知し、前記端末情報発行ステップが第１の端末
が前記ｑを法として端末情報ｓと乱数ｘの和ｕを第１の
端末の秘密鍵として求めるのに代えて、前記端末情報ｓ
と乱数ｘの和ｕを第１の端末の秘密鍵として求める公開
鍵生成方式としたことを特徴とする請求項４記載のネッ
トワーク利用秘密及び署名通信方法としている。
ム初期設定ステップが各端末情報発行センタが、共同
で、Ｙ、ｈ、ｇ、ｎ、ｑを第１、第２の端末に通知する
のに代えて共同で、前記Ｙ、ｈ、ｇ、ｎを第１、第２の
端末に通知し、前記端末情報発行ステップが第１の端末
が前記ｑを法として端末情報ｓと乱数ｘの和ｕを第１の
端末の秘密鍵として求めるのに代えて、前記端末情報ｓ
と乱数ｘの和ｕを第１の端末の秘密鍵として求める公開
鍵生成方式としたことを特徴とする請求項４記載のネッ
トワーク利用秘密及び署名通信方法としている。
【００３２】請求項６に係る発明においては固有の識別
情報を有する第１の端末が同じく固有の識別情報を有す
る第２の端末に自己の公開鍵作成のための情報を連絡し
第２の端末はその公開鍵作成のための情報を使用して作
成した第１の端末の公開鍵を用いて暗号文を作成したり
署名文を確認するようにしたネットワーク利用秘密及び
署名通信方法において、秘密及び署名通信に使用する公
開鍵の生成はシステム初期設定ステップと端末情報発行
ステップと端末公開鍵生成ステップとからなり、前記シ
ステム初期設定ステップは複数の各端末情報発行センタ
が共同で第１、第２のデータに対する第１の演算の結果
を入力するときの出力値が前記第１のデータを入力する
ときの出力値と前記第２のデータに対する第２の演算の
結果に等しくなり、複数のデータに対する第３の演算の
結果を入力とするときの出力値が前記複数のデータのそ
れぞれを入力するときの各出力値に対する第４の演算の
結果と等しくなる性質を有する一方向性関数ｆと、入力
された情報を何らかの形で残しつつ縮約するハッシュ関
数ｈとを決定し、又各端末情報発行センタはそれぞれ独
立に秘密鍵Xbを決定し、秘密鍵Xbを入力とする前記一方
向性関数ｆの出力値Ybを決定し、各端末情報発行センタ
は共同でそれぞれのYbに対する前記第４の演算の結果Ｙ
を計算し、前記Xbは前記各端末情報発行センタが秘密の
ままとする一方、前記Ｙを全端末情報発行センタの公開
鍵とした上で、前記一方向性関数ｆ、及び前記ハッシュ
関数ｈと共に第１、第２の端末に通知する手順よりな
り、前記端末情報発行ステップは前記第１の端末が、秘
密鍵ｘを決定しこれを秘密に保持する一方で、この秘密
鍵ｘを入力とする前記一方向性関数ｆの出力値ｙを前記
第１の端末の公開鍵として求め、この第１の端末の公開
鍵ｙと前記識別情報を前記複数の端末情報発行センタに
それぞれ通知した上で端末情報の発行を請求し、その請
求に基づき前記各端末情報発行センタが、それぞれ、乱
数rbを発生しこれを秘密に保持する一方で前記乱数rbを
入力とする前記一方向性関数ｆの出力値vbを求めた上で
他の各端末情報発行センタに通知し、また前記ｙと前記
各vbに対する前記第４の演算の結果ｔを求め、その上で
前記ｔと第１の端末の前記識別情報を入力する前記ハッ
シュ関数ｈの出力値Ｈを求め、しかる後前記秘密鍵Xbと
前記出力値Ｈに対する前記第１の演算の結果を求めこの
第１の演算の結果と前記乱数rbに対する前記第３の演算
の結果sbを求めこれを他の各端末情報発行センタに通知
し、最終的には前記各端末情報発行センタが共同で前記
各sbに対する前記第３の演算の結果ｓを求め、これと前
記ｔとを前記第１の端末の端末情報として前記第１の端
末に発行する手順からなり、前記端末公開鍵生成ステッ
プは前記第１の端末が前記第１の端末の端末情報ｔ、ｓ
と前記第１の端末の識別情報を前記第２の端末に前記ネ
ットワークを介して通知し、該通知を受けた前記第２の
端末が前記ｔと前記第１の端末の識別情報を入力とする
前記ハッシュ関数ｈの出力値H'を求め、前記ｓを入力す
る前記一方向性関数ｆの出力値ｗを求め、前記Ｙと前記
出力値H'に対する前記第２の演算の結果を求め、この結
果と前記ｔと前記ｗの前記第４の演算に関する逆数W'に
対する前記第４の演算の結果として前記第１の端末の公
開鍵ｙを生成する手順からなり、前記第１の演算及び前
記第３の演算は両演算間に分配律が成立するという性質
を有する演算であり、前記第３の演算は結合律及び可換
律が成立するという性質を有する演算であり、前記第４
の演算は結合律が成立するという性質を有する演算であ
ることを特徴とするネットワーク利用秘密及び署名通信
方法としている。
情報を有する第１の端末が同じく固有の識別情報を有す
る第２の端末に自己の公開鍵作成のための情報を連絡し
第２の端末はその公開鍵作成のための情報を使用して作
成した第１の端末の公開鍵を用いて暗号文を作成したり
署名文を確認するようにしたネットワーク利用秘密及び
署名通信方法において、秘密及び署名通信に使用する公
開鍵の生成はシステム初期設定ステップと端末情報発行
ステップと端末公開鍵生成ステップとからなり、前記シ
ステム初期設定ステップは複数の各端末情報発行センタ
が共同で第１、第２のデータに対する第１の演算の結果
を入力するときの出力値が前記第１のデータを入力する
ときの出力値と前記第２のデータに対する第２の演算の
結果に等しくなり、複数のデータに対する第３の演算の
結果を入力とするときの出力値が前記複数のデータのそ
れぞれを入力するときの各出力値に対する第４の演算の
結果と等しくなる性質を有する一方向性関数ｆと、入力
された情報を何らかの形で残しつつ縮約するハッシュ関
数ｈとを決定し、又各端末情報発行センタはそれぞれ独
立に秘密鍵Xbを決定し、秘密鍵Xbを入力とする前記一方
向性関数ｆの出力値Ybを決定し、各端末情報発行センタ
は共同でそれぞれのYbに対する前記第４の演算の結果Ｙ
を計算し、前記Xbは前記各端末情報発行センタが秘密の
ままとする一方、前記Ｙを全端末情報発行センタの公開
鍵とした上で、前記一方向性関数ｆ、及び前記ハッシュ
関数ｈと共に第１、第２の端末に通知する手順よりな
り、前記端末情報発行ステップは前記第１の端末が、秘
密鍵ｘを決定しこれを秘密に保持する一方で、この秘密
鍵ｘを入力とする前記一方向性関数ｆの出力値ｙを前記
第１の端末の公開鍵として求め、この第１の端末の公開
鍵ｙと前記識別情報を前記複数の端末情報発行センタに
それぞれ通知した上で端末情報の発行を請求し、その請
求に基づき前記各端末情報発行センタが、それぞれ、乱
数rbを発生しこれを秘密に保持する一方で前記乱数rbを
入力とする前記一方向性関数ｆの出力値vbを求めた上で
他の各端末情報発行センタに通知し、また前記ｙと前記
各vbに対する前記第４の演算の結果ｔを求め、その上で
前記ｔと第１の端末の前記識別情報を入力する前記ハッ
シュ関数ｈの出力値Ｈを求め、しかる後前記秘密鍵Xbと
前記出力値Ｈに対する前記第１の演算の結果を求めこの
第１の演算の結果と前記乱数rbに対する前記第３の演算
の結果sbを求めこれを他の各端末情報発行センタに通知
し、最終的には前記各端末情報発行センタが共同で前記
各sbに対する前記第３の演算の結果ｓを求め、これと前
記ｔとを前記第１の端末の端末情報として前記第１の端
末に発行する手順からなり、前記端末公開鍵生成ステッ
プは前記第１の端末が前記第１の端末の端末情報ｔ、ｓ
と前記第１の端末の識別情報を前記第２の端末に前記ネ
ットワークを介して通知し、該通知を受けた前記第２の
端末が前記ｔと前記第１の端末の識別情報を入力とする
前記ハッシュ関数ｈの出力値H'を求め、前記ｓを入力す
る前記一方向性関数ｆの出力値ｗを求め、前記Ｙと前記
出力値H'に対する前記第２の演算の結果を求め、この結
果と前記ｔと前記ｗの前記第４の演算に関する逆数W'に
対する前記第４の演算の結果として前記第１の端末の公
開鍵ｙを生成する手順からなり、前記第１の演算及び前
記第３の演算は両演算間に分配律が成立するという性質
を有する演算であり、前記第３の演算は結合律及び可換
律が成立するという性質を有する演算であり、前記第４
の演算は結合律が成立するという性質を有する演算であ
ることを特徴とするネットワーク利用秘密及び署名通信
方法としている。
【００３３】請求項７に係る発明においては前記一方向
性関数ｆが、各端末情報発行センタが、共同で、素数ｐ
と（ｐ−１）の約数ｑと（ｑ−１）以下の正整数で前記
ｐを法として位数がｑである整数ｇを決定した後、ａを
変数としたときにｆ（ａ）≡ｇa mod ｐとしたことを特
徴とする請求項６記載のネットワーク利用秘密及び署名
通信方法としている。
性関数ｆが、各端末情報発行センタが、共同で、素数ｐ
と（ｐ−１）の約数ｑと（ｑ−１）以下の正整数で前記
ｐを法として位数がｑである整数ｇを決定した後、ａを
変数としたときにｆ（ａ）≡ｇa mod ｐとしたことを特
徴とする請求項６記載のネットワーク利用秘密及び署名
通信方法としている。
【００３４】請求項８に係る発明においては前記一方向
性関数ｆが各端末情報発行センタが共同で素数ｐのべき
乗値ｐm と（ｐm −１）の約数ｑとｐm 個の要素を持つ
拡大体の元で位数がｑとなる元ｇを決定した後、ａを変
数としたときに前記拡大体上でｆ（ａ）＝ｇa としたこ
とを特徴とする請求項６記載のネットワーク利用秘密通
信方法としている。
性関数ｆが各端末情報発行センタが共同で素数ｐのべき
乗値ｐm と（ｐm −１）の約数ｑとｐm 個の要素を持つ
拡大体の元で位数がｑとなる元ｇを決定した後、ａを変
数としたときに前記拡大体上でｆ（ａ）＝ｇa としたこ
とを特徴とする請求項６記載のネットワーク利用秘密通
信方法としている。
【００３５】請求項９に係る発明においては前記一方向
性関数ｆが、各端末情報発行センタが、共同で合成数ｎ
と前記ｎのオイラーの関数の値の約数であるｑと前記ｎ
を法としｑを位数とする正整数ｇを決定した後、ａを変
数としたときにｆ（ａ）≡ｇ a mod ｎとしたことを特徴
とする請求項６記載のネットワーク利用秘密及び署名通
信方法としている。
性関数ｆが、各端末情報発行センタが、共同で合成数ｎ
と前記ｎのオイラーの関数の値の約数であるｑと前記ｎ
を法としｑを位数とする正整数ｇを決定した後、ａを変
数としたときにｆ（ａ）≡ｇ a mod ｎとしたことを特徴
とする請求項６記載のネットワーク利用秘密及び署名通
信方法としている。
【００３６】請求項１０に係る発明においては前記シス
テム初期設定ステップが各端末情報発行センタが、共同
で、Ｙ、ｈ、ｇ、ｎ、ｑを第１、第２の端末に通知する
のに代えて、前記ｑを秘密に保持し、共同で、前記Ｙ、
ｈ、ｇ、ｎを第１、第２の端末に通知し、前記端末情報
発行ステップが、第１の端末が前記ｑを法として端末情
報ｓと乱数ｘの和ｕを第１の端末の秘密鍵として求める
のに代えて、前記第１の端末が前記端末情報ｓと乱数ｘ
の和ｕを第１の端末の秘密鍵として求める公開鍵生成方
式を採用したことを特徴とする請求項９記載のネットワ
ーク利用秘密及び署名通信方法としている。
テム初期設定ステップが各端末情報発行センタが、共同
で、Ｙ、ｈ、ｇ、ｎ、ｑを第１、第２の端末に通知する
のに代えて、前記ｑを秘密に保持し、共同で、前記Ｙ、
ｈ、ｇ、ｎを第１、第２の端末に通知し、前記端末情報
発行ステップが、第１の端末が前記ｑを法として端末情
報ｓと乱数ｘの和ｕを第１の端末の秘密鍵として求める
のに代えて、前記第１の端末が前記端末情報ｓと乱数ｘ
の和ｕを第１の端末の秘密鍵として求める公開鍵生成方
式を採用したことを特徴とする請求項９記載のネットワ
ーク利用秘密及び署名通信方法としている。
【００３７】請求項１１に係る発明においては公開鍵生
成方式が、ｎを二つの素数p1、p2の積とし、ｑを(p1-1)
と(p2-1)の公約数とする公開鍵生成方式を採用したこと
を特徴とする請求項４あるいは９記載のネットワーク利
用秘密及び署名通信方法としている。請求項１２に係る
発明においては公開鍵生成方式が、ｎを二つの素数p1、
p2の積とし、ｑを（p1−１）と（ｐ２−１）の最小公倍
数とする公開鍵生成方式を採用したことを特徴とする請
求項５あるいは１０記載のネットワーク利用秘密及び署
名通信方法としている。
成方式が、ｎを二つの素数p1、p2の積とし、ｑを(p1-1)
と(p2-1)の公約数とする公開鍵生成方式を採用したこと
を特徴とする請求項４あるいは９記載のネットワーク利
用秘密及び署名通信方法としている。請求項１２に係る
発明においては公開鍵生成方式が、ｎを二つの素数p1、
p2の積とし、ｑを（p1−１）と（ｐ２−１）の最小公倍
数とする公開鍵生成方式を採用したことを特徴とする請
求項５あるいは１０記載のネットワーク利用秘密及び署
名通信方法としている。
【００３８】請求項１３に係る発明においては公開鍵生
成方式が、端末公開鍵生成ステップにおける、全端末情
報発行センタの公開鍵Ｙをハッシュ関数ｈの出力値H'で
べき乗する計算を、あらかじめ計算された前記公開鍵Ｙ
の代表的なべき乗値を利用して行なう公開ことを特徴と
する請求項２、３、４あるいは５記載のネットワーク利
用秘密及び署名通信方法としている。
成方式が、端末公開鍵生成ステップにおける、全端末情
報発行センタの公開鍵Ｙをハッシュ関数ｈの出力値H'で
べき乗する計算を、あらかじめ計算された前記公開鍵Ｙ
の代表的なべき乗値を利用して行なう公開ことを特徴と
する請求項２、３、４あるいは５記載のネットワーク利
用秘密及び署名通信方法としている。
【００３９】請求項１４に係る発明においては公開鍵生
成方式が、端末公開鍵生成ステップにおける、全端末情
報発行センタの公開鍵ｙをハッシュ関数ｈの出力値H'で
べき乗する計算と端末情報ｓを一方向性関数ｆに入力し
たときの出力値を求める計算すなわちｇをｓでべき乗す
る計算を、あらかじめ計算された前記公開鍵Ｙの代表的
なべき乗値と前記ｇの代表的なべき乗値を利用して行な
う公開鍵生成方式を採用したことを特徴とする請求項
７、８、９あるいは１０記載のネットワーク利用秘密及
び署名通信方法としている。
成方式が、端末公開鍵生成ステップにおける、全端末情
報発行センタの公開鍵ｙをハッシュ関数ｈの出力値H'で
べき乗する計算と端末情報ｓを一方向性関数ｆに入力し
たときの出力値を求める計算すなわちｇをｓでべき乗す
る計算を、あらかじめ計算された前記公開鍵Ｙの代表的
なべき乗値と前記ｇの代表的なべき乗値を利用して行な
う公開鍵生成方式を採用したことを特徴とする請求項
７、８、９あるいは１０記載のネットワーク利用秘密及
び署名通信方法としている。
【００４０】
【作用】上記構成により、端末情報発行ステップにおい
て第１の端末が端末情報発行センタの発行する端末情報
ｓと乱数ｘから生成した秘密鍵ｕが、端末公開鍵生成ス
テップにおいて、第２の端末が第１の端末の端末情報ｔ
と識別情報と端末情報発行センタの公開鍵Ｙから生成し
た公開鍵Ｐに対応する秘密鍵となる。
て第１の端末が端末情報発行センタの発行する端末情報
ｓと乱数ｘから生成した秘密鍵ｕが、端末公開鍵生成ス
テップにおいて、第２の端末が第１の端末の端末情報ｔ
と識別情報と端末情報発行センタの公開鍵Ｙから生成し
た公開鍵Ｐに対応する秘密鍵となる。
【００４１】同じく、端末情報発行ステップにおいて第
１の端末が決定した秘密鍵ｘが、端末公開鍵生成ステッ
プにおいて、第２の端末が第１の端末の端末情報ｓ、ｔ
と識別情報と端末情報発行センタの公開鍵Ｙから生成し
た公開鍵ｙに対応する秘密鍵となる。しかる後、作成さ
れた公開鍵等と本来送信すべき数値情報との間で一定の
演算により暗号情報が作成され、第２の端末から第１の
端末への送信は公開のネットワークを利用して該暗号情
報の形でなされる。該暗号情報を受信した第１の端末は
自己の秘密鍵等を利用して復号する。
１の端末が決定した秘密鍵ｘが、端末公開鍵生成ステッ
プにおいて、第２の端末が第１の端末の端末情報ｓ、ｔ
と識別情報と端末情報発行センタの公開鍵Ｙから生成し
た公開鍵ｙに対応する秘密鍵となる。しかる後、作成さ
れた公開鍵等と本来送信すべき数値情報との間で一定の
演算により暗号情報が作成され、第２の端末から第１の
端末への送信は公開のネットワークを利用して該暗号情
報の形でなされる。該暗号情報を受信した第１の端末は
自己の秘密鍵等を利用して復号する。
【００４２】以上の手順により第２の端末から第１の端
末へのネットワークを利用した秘密及び署名通信がなさ
れる。
末へのネットワークを利用した秘密及び署名通信がなさ
れる。
【００４３】
【実施例】以下、請求項１から５に係る発明を秘密及び
署名通信に不可欠の公開鍵生成を中心に実施例に基づき
説明する。 （実施例１）図６は本発明に係るネットワーク利用秘密
及び署名通信方法を採用した通信回線である。
署名通信に不可欠の公開鍵生成を中心に実施例に基づき
説明する。 （実施例１）図６は本発明に係るネットワーク利用秘密
及び署名通信方法を採用した通信回線である。
【００４４】本図において、６１はＬＡＮ、ＮＴＴ等の
一般に公開されたデジタル通信回線、６２はセンタＣ
１、６３はセンタＣ２、６４は端末ｉ、６５は端末ｊを
示す。そして、センタＣ１及びＣ２には本発明に係る秘
密及び署名通信に使用する公開鍵生成等に必要な大きな
素数、その原始根等を計算する大型コンピュータが装備
されている。一方、端末ｉ，ｊには伝達すべき情報の数
値化と数値化された情報をもとの情報にもどす情報と数
値の変換機、伝達すべき情報を公開鍵等を使用して暗号
化及び暗号化された情報を秘密鍵等を使用して復号する
などの処理を行う小型コンピュータ等が装備されてい
る。次に、本発明ネットワーク利用の秘密通信方法に必
要な公開鍵生成方法について説明する。
一般に公開されたデジタル通信回線、６２はセンタＣ
１、６３はセンタＣ２、６４は端末ｉ、６５は端末ｊを
示す。そして、センタＣ１及びＣ２には本発明に係る秘
密及び署名通信に使用する公開鍵生成等に必要な大きな
素数、その原始根等を計算する大型コンピュータが装備
されている。一方、端末ｉ，ｊには伝達すべき情報の数
値化と数値化された情報をもとの情報にもどす情報と数
値の変換機、伝達すべき情報を公開鍵等を使用して暗号
化及び暗号化された情報を秘密鍵等を使用して復号する
などの処理を行う小型コンピュータ等が装備されてい
る。次に、本発明ネットワーク利用の秘密通信方法に必
要な公開鍵生成方法について説明する。
【００４５】図１は請求項１から５の発明に係る公開鍵
生成方式の一実施例の構成を示すものである。同図にお
いて１１は第１の端末情報発行センタ（以下センタＣ
１）、１２は第２の端末情報発行センタ（以下センタＣ
２）、２１は端末ｉ、２２は端末ｊである。以下同図を
参照しながら実施例の手順を説明する。 １）システム初期設定ステップ （１） センタC1およびC2は共同で素数ｐとｐを法とす
る完全剰余系上の原始根ｇを生成する。また、ハッシュ
関数ｈを決定する。 （２） 各センタCk（ここに、k ＝1,2 ）はそれぞれ秘
密鍵Xk（k ＝1,2 ）を生成し次式よりYkを生成する。
生成方式の一実施例の構成を示すものである。同図にお
いて１１は第１の端末情報発行センタ（以下センタＣ
１）、１２は第２の端末情報発行センタ（以下センタＣ
２）、２１は端末ｉ、２２は端末ｊである。以下同図を
参照しながら実施例の手順を説明する。 １）システム初期設定ステップ （１） センタC1およびC2は共同で素数ｐとｐを法とす
る完全剰余系上の原始根ｇを生成する。また、ハッシュ
関数ｈを決定する。 （２） 各センタCk（ここに、k ＝1,2 ）はそれぞれ秘
密鍵Xk（k ＝1,2 ）を生成し次式よりYkを生成する。
【００４６】 Yk≡ｇxk mod ｐ （k ＝1,2 ） …［１８］ （３） センタC1およびC2は共同でセンタの公開鍵Ｙを
次式より生成する。 Ｙ≡Y1×Y2 mod p …［１９］ （４） センタC1は（ｐ，ｇ，ｈ，Ｙ）を各端末に通知
する。 このシステム初期設定ステップはシステム構築時にセン
タによって実行されるステップである。 ２）端末情報発行ステップ （１） 識別情報IDi を有する端末ｉは乱数xiを生成し
次式よりyiを生成する。
次式より生成する。 Ｙ≡Y1×Y2 mod p …［１９］ （４） センタC1は（ｐ，ｇ，ｈ，Ｙ）を各端末に通知
する。 このシステム初期設定ステップはシステム構築時にセン
タによって実行されるステップである。 ２）端末情報発行ステップ （１） 識別情報IDi を有する端末ｉは乱数xiを生成し
次式よりyiを生成する。
【００４７】 yi≡ｇxi mod ｐ …［２０］ （２） 端末ｉはこのyiと自分の識別情報IDi をセンタ
C1およびC2に通知し端末情報の発行を請求する。 （３） 各センタCk（k ＝1,2 ）はそれぞれ端末情報の
発行を請求している端末が端末ｉに相違ないことを確認
する（端末ｉの正当性確認）。 （４） 各センタCk（k ＝1,2 ）はそれぞれ端末ごとに
異なる乱数rik （k ＝1,2 ）を 生成し次式よりvik
（k ＝1,2 ）を求める。
C1およびC2に通知し端末情報の発行を請求する。 （３） 各センタCk（k ＝1,2 ）はそれぞれ端末情報の
発行を請求している端末が端末ｉに相違ないことを確認
する（端末ｉの正当性確認）。 （４） 各センタCk（k ＝1,2 ）はそれぞれ端末ごとに
異なる乱数rik （k ＝1,2 ）を 生成し次式よりvik
（k ＝1,2 ）を求める。
【００４８】 vik ≡ｇrik mod ｐ （k ＝1,2 ） …［２１］ （５） センタC1およびC2は共同で次式よりtiを生成す
る。 ti≡vi1 ×vi2 ×yi mod ｐ …［２２］ （６） 各センタCk（k ＝1,2 ）はそれぞれ次式よりSi
k （k ＝1,2 ）を生成する。
る。 ti≡vi1 ×vi2 ×yi mod ｐ …［２２］ （６） 各センタCk（k ＝1,2 ）はそれぞれ次式よりSi
k （k ＝1,2 ）を生成する。
【００４９】 Hi≡ｈ(ti,IDi) …［２３］ sik ≡Hi×Xk＋rik mod ( ｐ-1) （k ＝1,2 ） …［２４］ （７） センタC1およびC2は共同で次式よりsiを生成す
る。 si≡（si1 ＋si2 ） mod (ｐ-1) …［２５］ （８） センタC1はsiを端末ｉに通知する。 （９） 端末ｉはsiと乱数xiを用いて次式により自分の
秘密鍵uiを生成する。
る。 si≡（si1 ＋si2 ） mod (ｐ-1) …［２５］ （８） センタC1はsiを端末ｉに通知する。 （９） 端末ｉはsiと乱数xiを用いて次式により自分の
秘密鍵uiを生成する。
【００５０】 ui≡（si＋xi） mod （ｐ-1） …［２６］ この端末情報発行ステップは各端末がこのシステムに加
入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１）端末ｉは端末ｊに公開端末情報tiと識別情報IDi
を通知する。 （２）端末ｊは端末ｉの公開鍵Piを次式より求める。
入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１）端末ｉは端末ｊに公開端末情報tiと識別情報IDi
を通知する。 （２）端末ｊは端末ｉの公開鍵Piを次式より求める。
【００５１】 Hi≡ｈ(ti,IDi) …［２７］ Pi≡ＹHi×ti mod ｐ …［２８］ この端末公開鍵生成ステップは各端末間で随時実行され
る。このステップで各端末は公開鍵を獲得するためにセ
ンタにアクセスする必要がない。ここで、式［１９］，
［２２］，［１８］，［２０］，［２１］，［２４］，
［２６］より Pi≡ＹHi×ti mod ｐ ≡（Y1×Y2）Hi×（vi1 ×vi2 ×yi） mod p ≡（ｇX1+X2 ）Hi×ｇri1 ×ｇri2 ×ｇxi mod p ≡ｇ(Hi*Xi+ri1)+(Hi*X2+ri2)+xi mod p ≡ｇsi1+si2+Xi mod p ≡ｇui mod p …［２９］ が成り立つため、このPiを「素数ｐを法とする完全剰余
系上の指数計算に基づいた暗号系（例えばエルガマル暗
号など）」における秘密鍵uiに対応する公開鍵とみなす
ことができる。
る。このステップで各端末は公開鍵を獲得するためにセ
ンタにアクセスする必要がない。ここで、式［１９］，
［２２］，［１８］，［２０］，［２１］，［２４］，
［２６］より Pi≡ＹHi×ti mod ｐ ≡（Y1×Y2）Hi×（vi1 ×vi2 ×yi） mod p ≡（ｇX1+X2 ）Hi×ｇri1 ×ｇri2 ×ｇxi mod p ≡ｇ(Hi*Xi+ri1)+(Hi*X2+ri2)+xi mod p ≡ｇsi1+si2+Xi mod p ≡ｇui mod p …［２９］ が成り立つため、このPiを「素数ｐを法とする完全剰余
系上の指数計算に基づいた暗号系（例えばエルガマル暗
号など）」における秘密鍵uiに対応する公開鍵とみなす
ことができる。
【００５２】ここで、各端末は、センタC1およびC2の秘
密情報X1、X2を知らないため、［２８］式を満たす公開
鍵Piおよび秘密鍵uiを生成するための端末情報（ti,si
）を求めることは困難である。またセンタでさえもう
一方のセンタの秘密情報を知らないため単独では端末情
報（ti,si ）を求めることは困難である。したがって従
来例１、２のようにセンタが簡単に不正を実行すること
はできない。
密情報X1、X2を知らないため、［２８］式を満たす公開
鍵Piおよび秘密鍵uiを生成するための端末情報（ti,si
）を求めることは困難である。またセンタでさえもう
一方のセンタの秘密情報を知らないため単独では端末情
報（ti,si ）を求めることは困難である。したがって従
来例１、２のようにセンタが簡単に不正を実行すること
はできない。
【００５３】以上に説明した実施例１の公開鍵生成ステ
ップにおける諸特性は以下の通り。 ［１］通信量：log2ｐビット（ただしIDの通信量は除
く） ［２］処理量：平均約（1.5 ×log2ｈ+1）回のlog2ｐビ
ット幅の乗算剰余演算 この方式において十分な安全性を確保するためすなわち
剰余と法から指数を求めるのを困難にするためにlog2ｐ
を例えば512 程度に設定する。またlog2ｈはハッシュ関
数ｈの出力ビット数であり十分な安全性を確保するため
例えば128 程度に設定する。このとき［１］通信量は51
2 ビット［２］処理量は193 回程度の512ビット幅の乗
算剰余演算となる。これは従来例２の場合と同程度であ
る。
ップにおける諸特性は以下の通り。 ［１］通信量：log2ｐビット（ただしIDの通信量は除
く） ［２］処理量：平均約（1.5 ×log2ｈ+1）回のlog2ｐビ
ット幅の乗算剰余演算 この方式において十分な安全性を確保するためすなわち
剰余と法から指数を求めるのを困難にするためにlog2ｐ
を例えば512 程度に設定する。またlog2ｈはハッシュ関
数ｈの出力ビット数であり十分な安全性を確保するため
例えば128 程度に設定する。このとき［１］通信量は51
2 ビット［２］処理量は193 回程度の512ビット幅の乗
算剰余演算となる。これは従来例２の場合と同程度であ
る。
【００５４】なお、ここではセンタ数が２の場合を説明
したがセンタ数を任意の数Ｎとして同様に構成すること
が可能であり、この場合の公開鍵生成ステップにおける
諸特性はセンタ数が２の場合と同じである。すなわち上
記諸特性はセンタ数Ｎに依存しない。上述の手順により
一旦、端末ｊが端末ｉの数値情報たる公開鍵ｐi を入手
した後は、端末ｊはその公開鍵ｐi を使用して伝達すべ
き情報を公開鍵暗号処理という一定の演算により暗号化
した上でネットワークを通じて端末ｉに送信することが
できる。この場合、暗号化された情報を受信した端末ｉ
は自己の秘密の数値情報たる秘密鍵ｕｉを使用して一定
の手順、いわば逆の演算にて復号する。又、以下に示す
ように入手した相手端末の公開鍵より相手端末と同一の
データ（共有鍵）を第三者に秘密に得ることができ、こ
の共有鍵を用いて、端末ｉとｊとの共有鍵暗号を利用し
た暗号通信が行える。即ち、同じ手順にて端末ｉは端末
ｊの公開鍵pjを入手した後、端末ｉと端末ｊは数値情報
たるｇui.uj を両者の共有鍵とする。（ここに、ｇ
ui・ uj≡piuj≡pjui mod p である。）そして、端末ｉ
から端末ｊへ送信する場合には、送信すべき情報が０と
１からなる場合には２進数で表した共有鍵と同じビット
数に区切った上で各区分した送信すべき情報を数値とみ
なす。なお、送信すべき情報がＡＭ変調のように連続的
な場合には単位時間毎にその波高をとる等の操作をなす
ことにより数値化する。その上で、数値化した送信すべ
き情報（例えば、１１０１１）と共有鍵（例えば１００
１１）とを一定の演算、例えば足し算をなすことにより
暗号化した上でその和（１０１１１０）を送信する。暗
号化された伝達情報を受信した端末ｊは、受信情報から
数値情報たる共有鍵を引き去り差を求めることにより送
信情報（即ち、差）を２進数の形で入手、即ち復号す
る。なお、ここに一旦２進数としているのは、コンピュ
ータ関連では２進数化して処理を行うため、２進数化し
た情報の送信技術、その正確度確認の技術が高度に発達
していることに適合させたものである。そして、実際の
送信はいわば幾組かの暗号化した区分された情報毎に別
途識別信号、送信の正確性確認用の信号、公開鍵の桁を
探知されないよう桁揃えの処理信号等が組み合わされた
上なされる。なお、上記の暗号化、復号化のための演算
はあくまでも一例であり、その他共有鍵に応じて送信す
べき情報の数値を置き換える（例えば、送信すべき情報
の０又は１を共有鍵の相応ずる桁が０か１に応じてその
まま若しくは反対の１又は０に置き換える、例えば前記
送信すべき情報が１１０１１、共有鍵が１００１１の場
合、暗号は０１０００となる。）等の演算を行ってもよ
い。なお、また以上の数値化の手法、公開鍵若しくは共
有鍵を使用して暗号化した上で送信をなし、しかる後秘
密鍵若しくは共有鍵を使用して復号する方式は以下の実
施例においても同じである。従って、以下の実施例にお
いては、これらの暗号化、復号化の手法の説明は省略す
る。 （実施例２）ところで実施例１に係る公開鍵の生成方式
を複数のシステムで利用する場合、各端末は同一の秘密
鍵と公開鍵を利用できない。なぜなら実施例１では端末
の公開鍵（および秘密鍵）がセンタの秘密鍵に依存する
ためである。また、複数のシステムで利用する場合の一
例として各地域ごとにそれぞれ複数のセンタを設け、実
施例１に示す方法を適用する場合を考える。いま地域で
はセンタCAk （k ＝1,2 ）が、地域ＢではセンタCBk
（k ＝1,2 ）が各地域内の端末に端末情報を発行してい
るものとする。このとき地域Ａに属する端末iの公開鍵
を地域Ｂに属する端末jが獲得したい場合、端末ｊは、
端末i の端末情報とセンタCAk （k ＝1,2）の公開鍵を
獲得する必要がある。この場合端末jが獲得したセンタC
Ak （k ＝1,2 ）の公開鍵が正しい公開鍵であることを
別途保証する必要がある（なぜなら端末j はセンタCAk
の公開鍵を知らない）。いまセンタCBk （k ＝1,2 ）が
センタCAk （k ＝1 2 ）の公開鍵を生成するための「セ
ンタCAk （k ＝1,2 ）の端末情報」を実施例１を用いて
発行する場合を考える。しかし実施例１ではセンタCAk
（k ＝1,2 ）の公開鍵（したがって秘密鍵）がセンタCB
k （k ＝1,2 ）の秘密鍵に依存することになる。すなわ
ち各地域のセンタがそれぞれ独立に秘密鍵を決定できな
くなる。すなわち実施例１では端末の公開鍵（および秘
密鍵）がセンタの秘密鍵に依存するため上述のような複
数のシステムに適用するときに問題が生じる。
したがセンタ数を任意の数Ｎとして同様に構成すること
が可能であり、この場合の公開鍵生成ステップにおける
諸特性はセンタ数が２の場合と同じである。すなわち上
記諸特性はセンタ数Ｎに依存しない。上述の手順により
一旦、端末ｊが端末ｉの数値情報たる公開鍵ｐi を入手
した後は、端末ｊはその公開鍵ｐi を使用して伝達すべ
き情報を公開鍵暗号処理という一定の演算により暗号化
した上でネットワークを通じて端末ｉに送信することが
できる。この場合、暗号化された情報を受信した端末ｉ
は自己の秘密の数値情報たる秘密鍵ｕｉを使用して一定
の手順、いわば逆の演算にて復号する。又、以下に示す
ように入手した相手端末の公開鍵より相手端末と同一の
データ（共有鍵）を第三者に秘密に得ることができ、こ
の共有鍵を用いて、端末ｉとｊとの共有鍵暗号を利用し
た暗号通信が行える。即ち、同じ手順にて端末ｉは端末
ｊの公開鍵pjを入手した後、端末ｉと端末ｊは数値情報
たるｇui.uj を両者の共有鍵とする。（ここに、ｇ
ui・ uj≡piuj≡pjui mod p である。）そして、端末ｉ
から端末ｊへ送信する場合には、送信すべき情報が０と
１からなる場合には２進数で表した共有鍵と同じビット
数に区切った上で各区分した送信すべき情報を数値とみ
なす。なお、送信すべき情報がＡＭ変調のように連続的
な場合には単位時間毎にその波高をとる等の操作をなす
ことにより数値化する。その上で、数値化した送信すべ
き情報（例えば、１１０１１）と共有鍵（例えば１００
１１）とを一定の演算、例えば足し算をなすことにより
暗号化した上でその和（１０１１１０）を送信する。暗
号化された伝達情報を受信した端末ｊは、受信情報から
数値情報たる共有鍵を引き去り差を求めることにより送
信情報（即ち、差）を２進数の形で入手、即ち復号す
る。なお、ここに一旦２進数としているのは、コンピュ
ータ関連では２進数化して処理を行うため、２進数化し
た情報の送信技術、その正確度確認の技術が高度に発達
していることに適合させたものである。そして、実際の
送信はいわば幾組かの暗号化した区分された情報毎に別
途識別信号、送信の正確性確認用の信号、公開鍵の桁を
探知されないよう桁揃えの処理信号等が組み合わされた
上なされる。なお、上記の暗号化、復号化のための演算
はあくまでも一例であり、その他共有鍵に応じて送信す
べき情報の数値を置き換える（例えば、送信すべき情報
の０又は１を共有鍵の相応ずる桁が０か１に応じてその
まま若しくは反対の１又は０に置き換える、例えば前記
送信すべき情報が１１０１１、共有鍵が１００１１の場
合、暗号は０１０００となる。）等の演算を行ってもよ
い。なお、また以上の数値化の手法、公開鍵若しくは共
有鍵を使用して暗号化した上で送信をなし、しかる後秘
密鍵若しくは共有鍵を使用して復号する方式は以下の実
施例においても同じである。従って、以下の実施例にお
いては、これらの暗号化、復号化の手法の説明は省略す
る。 （実施例２）ところで実施例１に係る公開鍵の生成方式
を複数のシステムで利用する場合、各端末は同一の秘密
鍵と公開鍵を利用できない。なぜなら実施例１では端末
の公開鍵（および秘密鍵）がセンタの秘密鍵に依存する
ためである。また、複数のシステムで利用する場合の一
例として各地域ごとにそれぞれ複数のセンタを設け、実
施例１に示す方法を適用する場合を考える。いま地域で
はセンタCAk （k ＝1,2 ）が、地域ＢではセンタCBk
（k ＝1,2 ）が各地域内の端末に端末情報を発行してい
るものとする。このとき地域Ａに属する端末iの公開鍵
を地域Ｂに属する端末jが獲得したい場合、端末ｊは、
端末i の端末情報とセンタCAk （k ＝1,2）の公開鍵を
獲得する必要がある。この場合端末jが獲得したセンタC
Ak （k ＝1,2 ）の公開鍵が正しい公開鍵であることを
別途保証する必要がある（なぜなら端末j はセンタCAk
の公開鍵を知らない）。いまセンタCBk （k ＝1,2 ）が
センタCAk （k ＝1 2 ）の公開鍵を生成するための「セ
ンタCAk （k ＝1,2 ）の端末情報」を実施例１を用いて
発行する場合を考える。しかし実施例１ではセンタCAk
（k ＝1,2 ）の公開鍵（したがって秘密鍵）がセンタCB
k （k ＝1,2 ）の秘密鍵に依存することになる。すなわ
ち各地域のセンタがそれぞれ独立に秘密鍵を決定できな
くなる。すなわち実施例１では端末の公開鍵（および秘
密鍵）がセンタの秘密鍵に依存するため上述のような複
数のシステムに適用するときに問題が生じる。
【００５５】この問題は以下の手段を用いれば解決でき
る。すなわち、各端末は各自の公開鍵および秘密鍵をセ
ンタとは独立に決定できる。図２は請求項６から１０の
発明に係る秘密通信方法の実施例における公開鍵生成方
式の構成を示すものである。なお、ネットワーク利用の
秘密通信方式の全体構成は実施例１と同様なので説明を
省略する。図２において１１は第１の端末情報発行セン
タ（以下センタC1）、１２は第２の端末情報発行センタ
（以下センタC2）、２１は端末ｉ、２２は端末ｊであ
る。以下同図を参照しながら実施例の手順を説明する。 １）システム初期設定ステップ （１） センタC1およびC2は共同で素数ｐとｐを法とす
る完全剰余系上の原始根ｇを生成する。また、あるハッ
シュ関数ｈを決定する。 （２） 各センタCk（k ＝1,2 ）はそれぞれ秘密鍵Xk
（k ＝1,2 ）を生成し次式よりYkを生成する。
る。すなわち、各端末は各自の公開鍵および秘密鍵をセ
ンタとは独立に決定できる。図２は請求項６から１０の
発明に係る秘密通信方法の実施例における公開鍵生成方
式の構成を示すものである。なお、ネットワーク利用の
秘密通信方式の全体構成は実施例１と同様なので説明を
省略する。図２において１１は第１の端末情報発行セン
タ（以下センタC1）、１２は第２の端末情報発行センタ
（以下センタC2）、２１は端末ｉ、２２は端末ｊであ
る。以下同図を参照しながら実施例の手順を説明する。 １）システム初期設定ステップ （１） センタC1およびC2は共同で素数ｐとｐを法とす
る完全剰余系上の原始根ｇを生成する。また、あるハッ
シュ関数ｈを決定する。 （２） 各センタCk（k ＝1,2 ）はそれぞれ秘密鍵Xk
（k ＝1,2 ）を生成し次式よりYkを生成する。
【００５６】 Yk≡ｇxk mod ｐ （k ＝1,2 ） …［３０］ （３） センタC1およびC2は共同でセンタの公開鍵Ｙを
次式より生成する。 Ｙ≡Y1×Y2 mod ｐ …［３１］ （４） センタC1は（ｐ, ｇ, ｈ, Ｙ）を各端末に通知
する。 このシステム初期設定ステップはシステム構築時にセン
タによって実行されるステップである。 ２）端末情報発行ステップ （１） 識別情報IDi を有する端末ｉは秘密鍵xiを決定
し次式より公開鍵yiを生成する。
次式より生成する。 Ｙ≡Y1×Y2 mod ｐ …［３１］ （４） センタC1は（ｐ, ｇ, ｈ, Ｙ）を各端末に通知
する。 このシステム初期設定ステップはシステム構築時にセン
タによって実行されるステップである。 ２）端末情報発行ステップ （１） 識別情報IDi を有する端末ｉは秘密鍵xiを決定
し次式より公開鍵yiを生成する。
【００５７】 yi≡ｇxi mod ｐ …［３２］ （２） 端末ｉはこの公開鍵yiと自分の識別情報IDi を
センタC1およびC2に端末情報の発行を請求する。 （３） 各センタCk（k ＝1,2 ）はそれぞれ端末情報の
発行を請求している端末が端末ｉに相違ないことを確認
する（端末ｉの正当性確認）。 （４） 各センタCk（k ＝1,2 ）は端末ごとに異なる乱
数rik （k ＝1,2 ）を生成し次式よりvik （k＝1,2 ）
を求める。
センタC1およびC2に端末情報の発行を請求する。 （３） 各センタCk（k ＝1,2 ）はそれぞれ端末情報の
発行を請求している端末が端末ｉに相違ないことを確認
する（端末ｉの正当性確認）。 （４） 各センタCk（k ＝1,2 ）は端末ごとに異なる乱
数rik （k ＝1,2 ）を生成し次式よりvik （k＝1,2 ）
を求める。
【００５８】 vik ≡ｇrik mod ｐ （k ＝1,2 ） …［３３］ （５） センタC1およびC2は共同で次式よりtiを生成す
る。 ti≡vi1 ×vi2 ×yi mod ｐ …［３４］ （６） 各センタCk（k ＝1,2 ）はそれぞれ次式よりsi
k （k ＝1,2 ）を生成する。
る。 ti≡vi1 ×vi2 ×yi mod ｐ …［３４］ （６） 各センタCk（k ＝1,2 ）はそれぞれ次式よりsi
k （k ＝1,2 ）を生成する。
【００５９】 Hi≡ｈ(ti,IDi) …［３５］ sik ≡Hi×Xk＋rik mod ( ｐ-1) （k ＝1,2 ） …［３６］ （７） センタC1およびC2は共同で次式よりsiを生成す
る。 si≡（si1 ＋si2 ） mod (ｐ-1) …［３７］ （８） 各センタCk（k ＝1,2 ）はsiを端末ｉに通知す
る。この端末情報発行ステップは各端末がこのシステム
に加入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１） 端末ｉは端末ｊにti、siと識別情報IDiを通知
する。 （２） 端末ｊは端末ｉの公開鍵Piを次式より求める。
る。 si≡（si1 ＋si2 ） mod (ｐ-1) …［３７］ （８） 各センタCk（k ＝1,2 ）はsiを端末ｉに通知す
る。この端末情報発行ステップは各端末がこのシステム
に加入する時に実行されるステップである。 ３）端末公開鍵生成ステップ （１） 端末ｉは端末ｊにti、siと識別情報IDiを通知
する。 （２） 端末ｊは端末ｉの公開鍵Piを次式より求める。
【００６０】 Hi≡ｈ(ti,IDi) …［３８］ Pi≡ＹHi×ti×ｇ-si mod p …［３９］ このステップで各端末は公開鍵を獲得するためにセンタ
にアクセスする必要がない。この端末公開鍵生成ステッ
プは各端末間で随時実行される。ここで、式［３１］，
［３４］，［３７］，［３０］，［３２］，［３３］，
［３６］より Pi≡ＹHi×ti×ｇ-si mod ｐ ≡（Y1×Y2）Hi×（vi1 ×vi2 ×yi）×ｇ-si1-si2 mod ｐ ≡（ｇxi+x2 ）Hi×ｇri1 ×ｇri2 ×ｇxi×ｇ-Hi*xi-ri1-Hi*x2-ri21 mo d ｐ ≡ｇxi mod ｐ ≡yi …［４０］ となり、求められた公開鍵Piは、式［３２］で求めたyi
に等しい。したがってこのPiを「素数ｐを法とする完全
剰余上の指数に基づいた暗号系（例えばエルガマル暗号
など）」における、秘密鍵Xiに対応する公開鍵とみなす
ことができる。
にアクセスする必要がない。この端末公開鍵生成ステッ
プは各端末間で随時実行される。ここで、式［３１］，
［３４］，［３７］，［３０］，［３２］，［３３］，
［３６］より Pi≡ＹHi×ti×ｇ-si mod ｐ ≡（Y1×Y2）Hi×（vi1 ×vi2 ×yi）×ｇ-si1-si2 mod ｐ ≡（ｇxi+x2 ）Hi×ｇri1 ×ｇri2 ×ｇxi×ｇ-Hi*xi-ri1-Hi*x2-ri21 mo d ｐ ≡ｇxi mod ｐ ≡yi …［４０］ となり、求められた公開鍵Piは、式［３２］で求めたyi
に等しい。したがってこのPiを「素数ｐを法とする完全
剰余上の指数に基づいた暗号系（例えばエルガマル暗号
など）」における、秘密鍵Xiに対応する公開鍵とみなす
ことができる。
【００６１】ここで、各端末は、センタC1およびC2の秘
密情報X1、X2を知らないため、［４０］式を満たす公開
鍵Piおよび秘密鍵uiを生成するための端末情報（ti,si
）を求めることは困難である。また各センタでさえも
う一方のセンタの秘密情報を知らないため単独では端末
情報（ti,si ）を求めることは困難である。したがって
従来例１、２のようにセンタが簡単に不正を実行するこ
とはできない。
密情報X1、X2を知らないため、［４０］式を満たす公開
鍵Piおよび秘密鍵uiを生成するための端末情報（ti,si
）を求めることは困難である。また各センタでさえも
う一方のセンタの秘密情報を知らないため単独では端末
情報（ti,si ）を求めることは困難である。したがって
従来例１、２のようにセンタが簡単に不正を実行するこ
とはできない。
【００６２】以上に説明した公開鍵の完全性を確保する
ための実施例２の公開鍵生成ステップにおける諸特性は
以下の通りである。 ［１］通信量：２×log2ｐビット（ただしIDの通信量は
除く） ［２］処理量：平均約(1.75 ×log2ｈ+1) 回のlog2ｐビ
ット幅の剰余の乗算 この方式において十分な安全性を確保するため、すなわ
ち指数を求めるのを困難にするためにlog2ｐは512 程度
に設定している。またlog2ｈはハッシュ関数ｈの出力ビ
ット数であり、128 程度に設定している。このとき
［１］は通信量は1024ビット、［２］は処理量は225 回
程度の512 ビット幅の乗算剰余演算となる。このように
実施例２では実施例１に比較して端末の通信量、処理量
が大きくなる。
ための実施例２の公開鍵生成ステップにおける諸特性は
以下の通りである。 ［１］通信量：２×log2ｐビット（ただしIDの通信量は
除く） ［２］処理量：平均約(1.75 ×log2ｈ+1) 回のlog2ｐビ
ット幅の剰余の乗算 この方式において十分な安全性を確保するため、すなわ
ち指数を求めるのを困難にするためにlog2ｐは512 程度
に設定している。またlog2ｈはハッシュ関数ｈの出力ビ
ット数であり、128 程度に設定している。このとき
［１］は通信量は1024ビット、［２］は処理量は225 回
程度の512 ビット幅の乗算剰余演算となる。このように
実施例２では実施例１に比較して端末の通信量、処理量
が大きくなる。
【００６３】なお、ここではセンタ数が２の場合を説明
したが、センタ数を任意の数Ｎとしても同様に構成する
ことが可能であり、この場合の公開鍵生成ステップにお
ける諸特性はセンタ数が２の場合と同じである。すなわ
ち上記諸特性はセンタ数Ｎに依存しない。ところで実施
例２を複数のシステムで利用する場合、各端末は同一の
秘密鍵と公開鍵を利用できる。なぜなら端末がセンタに
独立に端末の秘密鍵を決定できるためである。また、複
数のシステムにおいて公開鍵生成法を利用するとき、別
のシステムに属する端末間の公開鍵の完全性確保におい
て必要であったセンタの公開鍵の完全性の確保に実施例
２を利用できる。
したが、センタ数を任意の数Ｎとしても同様に構成する
ことが可能であり、この場合の公開鍵生成ステップにお
ける諸特性はセンタ数が２の場合と同じである。すなわ
ち上記諸特性はセンタ数Ｎに依存しない。ところで実施
例２を複数のシステムで利用する場合、各端末は同一の
秘密鍵と公開鍵を利用できる。なぜなら端末がセンタに
独立に端末の秘密鍵を決定できるためである。また、複
数のシステムにおいて公開鍵生成法を利用するとき、別
のシステムに属する端末間の公開鍵の完全性確保におい
て必要であったセンタの公開鍵の完全性の確保に実施例
２を利用できる。
【００６４】次に、請求項２及び７に係る発明について
説明する。実施例１、２においては、いずれもｇをｐを
法とする完全剰余系における原始根としたが、一般には
ｇをｐを法とする、充分大きな素数を少なくとも一つ因
数とする位数を有する元としても同様に構成できる。具
体的には、いまｇの位数をｑ（ｑは（ｐ−１）の充分大
きな素因数を因数としてもつ）とするとき、実施例１の
式［２４］［２５］［２６］、および実施例２の式［３
６］、［３７］における法（ｐ−１）の演算を法ｑの演
算に置き換えることによっても構成できる。このことに
よって指数計算に対する悉皆的探索攻撃に対する安全性
は、ｇを原始根とする場合よりも劣るものの、ｇの位数
に応じて実施例１の式［１８］［３２］［３３］［３
９］の計算が簡単になり、処理量が削減される。なお、
このような、アプローチはシュノーワがクリプト８９に
おける「エフィシエント アイデンティフィケーション
アンド シグネチャーズ フォー スマート カー
ド」プロシーディング、クリプト８９（C.p.Schnorr,"E
FFICIENT IDENTIFICATIONAND SIGNATURES FOR SMART C
ARDS",Proc.CRYPTO89)で述べている。ただしシュノーワ
は安全性を高めるためにｑを140 ビット以上の数とする
ことを推奨している。
説明する。実施例１、２においては、いずれもｇをｐを
法とする完全剰余系における原始根としたが、一般には
ｇをｐを法とする、充分大きな素数を少なくとも一つ因
数とする位数を有する元としても同様に構成できる。具
体的には、いまｇの位数をｑ（ｑは（ｐ−１）の充分大
きな素因数を因数としてもつ）とするとき、実施例１の
式［２４］［２５］［２６］、および実施例２の式［３
６］、［３７］における法（ｐ−１）の演算を法ｑの演
算に置き換えることによっても構成できる。このことに
よって指数計算に対する悉皆的探索攻撃に対する安全性
は、ｇを原始根とする場合よりも劣るものの、ｇの位数
に応じて実施例１の式［１８］［３２］［３３］［３
９］の計算が簡単になり、処理量が削減される。なお、
このような、アプローチはシュノーワがクリプト８９に
おける「エフィシエント アイデンティフィケーション
アンド シグネチャーズ フォー スマート カー
ド」プロシーディング、クリプト８９（C.p.Schnorr,"E
FFICIENT IDENTIFICATIONAND SIGNATURES FOR SMART C
ARDS",Proc.CRYPTO89)で述べている。ただしシュノーワ
は安全性を高めるためにｑを140 ビット以上の数とする
ことを推奨している。
【００６５】次に、請求項３及び８に係る発明について
説明する。実施例１、２では請求項２及び請求項７に相
応する場合、すなわち素数ｐを法とする完全剰余系上で
構成したが、素数のべき乗値ｐm 個の要素を有する拡大
体、即ち、素数ｐを法とする剰余類の要素を係数とする
ｍ次の既約多項式を法としたときに、ｐm 個のｐ次以下
の多項式よりなる剰余類体においても同様に実現でき
る。ただしこの場合実施例１における式［２３］［２
７］と実施例２における式［３５］［３８］の計算にお
けるtiを、この拡大体上の元を整数に変換する関数ｅで
tiを変換した変換値に置き換える。
説明する。実施例１、２では請求項２及び請求項７に相
応する場合、すなわち素数ｐを法とする完全剰余系上で
構成したが、素数のべき乗値ｐm 個の要素を有する拡大
体、即ち、素数ｐを法とする剰余類の要素を係数とする
ｍ次の既約多項式を法としたときに、ｐm 個のｐ次以下
の多項式よりなる剰余類体においても同様に実現でき
る。ただしこの場合実施例１における式［２３］［２
７］と実施例２における式［３５］［３８］の計算にお
けるtiを、この拡大体上の元を整数に変換する関数ｅで
tiを変換した変換値に置き換える。
【００６６】次に、請求項４及び９に係る発明について
説明する。実施例１、２における素数ｐを充分大きな素
因数を複数個有する合成数ｎに置き換えて構成すること
もできる。このとき端末の不正に対する安全性はｎを法
とする指数を求める計算の困難さに依存し、各センタの
不正に対する安全性はｎの素因数を法とする指数を求め
る計算の困難さに依存する。すなわち、オイラー（EULE
R)の関数（ｎと互に素、かつｎ以下である正整数の個
数）の因数が大きいほど、困難になる。とくにｎとして
十分に大きな２つの素数p1、p2の積を用いることがで
き、このときジローがユーロクリプト９０における「ア
ン アイデンティティベースド アイデンティフィケー
ション スキーム ベイスドオン ディスクリート ロ
ガリズムズ モジュロー ア コンポジット ナンバ
ー」、プロシーディング、ユーロクリプト９０(Marc.Gi
rault、"An identity-based identification scheme bas
ed on discrete logarithms modulo a composite numbe
r",Proc. Eurocrypto90）で述べているように、ｑとし
てｐ1 及びp2を２つの素数としたとき（p1-1）および
（p2-1）の公約数を用いて構成でき、この場合端末の計
算量が削減できる。請求項１１及び請求項１２に係る発
明は以上のことを利用したものである。
説明する。実施例１、２における素数ｐを充分大きな素
因数を複数個有する合成数ｎに置き換えて構成すること
もできる。このとき端末の不正に対する安全性はｎを法
とする指数を求める計算の困難さに依存し、各センタの
不正に対する安全性はｎの素因数を法とする指数を求め
る計算の困難さに依存する。すなわち、オイラー（EULE
R)の関数（ｎと互に素、かつｎ以下である正整数の個
数）の因数が大きいほど、困難になる。とくにｎとして
十分に大きな２つの素数p1、p2の積を用いることがで
き、このときジローがユーロクリプト９０における「ア
ン アイデンティティベースド アイデンティフィケー
ション スキーム ベイスドオン ディスクリート ロ
ガリズムズ モジュロー ア コンポジット ナンバ
ー」、プロシーディング、ユーロクリプト９０(Marc.Gi
rault、"An identity-based identification scheme bas
ed on discrete logarithms modulo a composite numbe
r",Proc. Eurocrypto90）で述べているように、ｑとし
てｐ1 及びp2を２つの素数としたとき（p1-1）および
（p2-1）の公約数を用いて構成でき、この場合端末の計
算量が削減できる。請求項１１及び請求項１２に係る発
明は以上のことを利用したものである。
【００６７】なお、素数ｐを合成数ｎに置き換えて構成
する場合、実施例１および２のようにｑを端末に公開す
るのではなくｑを秘密にする方法を構成することができ
る。すなわち、請求項４の発明と請求項５の発明の公開
鍵生成方式の相違であるが、請求項５の発明においては
各端末に対してｑが秘密となるため、各センタの安全性
が少し高くなる一方で、各端末の秘密鍵のビット数が増
大するため各端末の処理量が少し増大する。ユーザがい
ずれを採用するかは、秘密通信の内容の重要性、暗号化
装置、復号化装置の能力等による。請求項９記載の発明
と請求項１０記載の発明の関係も同じである。
する場合、実施例１および２のようにｑを端末に公開す
るのではなくｑを秘密にする方法を構成することができ
る。すなわち、請求項４の発明と請求項５の発明の公開
鍵生成方式の相違であるが、請求項５の発明においては
各端末に対してｑが秘密となるため、各センタの安全性
が少し高くなる一方で、各端末の秘密鍵のビット数が増
大するため各端末の処理量が少し増大する。ユーザがい
ずれを採用するかは、秘密通信の内容の重要性、暗号化
装置、復号化装置の能力等による。請求項９記載の発明
と請求項１０記載の発明の関係も同じである。
【００６８】なお、ｎが充分に大きな２つの素数ｐ１、
ｐ２の場合、ｑとして（p1-1）および（p2-1）の最小公
倍数を用いて構成するのがよいであろう。次に、請求項
１３及び請求項１４の発明について説明する。実施例１
及び２における例えば原始根ｇのべき剰余値を、ｐを法
とし、べきとして取りうる値に対応してあらかじめテー
ブルとして求めて記憶装置に格納しておき、この記憶装
置に格納されたテーブルを参照することによって、高速
に求める方法を考えることができる。
ｐ２の場合、ｑとして（p1-1）および（p2-1）の最小公
倍数を用いて構成するのがよいであろう。次に、請求項
１３及び請求項１４の発明について説明する。実施例１
及び２における例えば原始根ｇのべき剰余値を、ｐを法
とし、べきとして取りうる値に対応してあらかじめテー
ブルとして求めて記憶装置に格納しておき、この記憶装
置に格納されたテーブルを参照することによって、高速
に求める方法を考えることができる。
【００６９】例えば、２のべき剰余余値を求める場合に
ついて述べる。まず、あらかじめｇ 2 mod ｐ，ｇ4 mo
d p ，ｇ8 mod p 等を求めて記憶装置に格納しておく。
そして、ｇxi mod pを求めるにはXiを２進展開しその各
ビットに対応して、上記の記憶値をＧＦ（ｐ）上で乗算
すればよい。この場合の乗算剰余演算の回数は平均して
記憶値を用いない場合に比べて1/3 程度になしえる。
ついて述べる。まず、あらかじめｇ 2 mod ｐ，ｇ4 mo
d p ，ｇ8 mod p 等を求めて記憶装置に格納しておく。
そして、ｇxi mod pを求めるにはXiを２進展開しその各
ビットに対応して、上記の記憶値をＧＦ（ｐ）上で乗算
すればよい。この場合の乗算剰余演算の回数は平均して
記憶値を用いない場合に比べて1/3 程度になしえる。
【００７０】次に、実施例１および実施例２では一方向
性関数として ｆ（ｘ）≡ｇx mod ｐ を利用したが、一方向関数としては、 ｆ（ａ×ｂ）＝｛ｆ（ａ）｝b …［４１］ ｆ（ａ＋ｂ＋…＋ｚ）＝ｆ（ａ）×ｆ（ｂ）×…×ｆ（ｚ）…［４２］ なる性質に基づいて構成すればよく一般には、関数ｆと
２つの２項演算op1, op2と２つの多項演算op3, op4 op1 （ａ，ｂ） op2 （ａ，ｂ） op3 （ａ，ｂ，…，ｚ） op4 （ａ，ｂ，…，ｚ） の間に関係式 ｆ(op1(a,b))＝op2(f(a),b) …［４３］ ｆ(op3(a,b, …,z))＝op4(f(a),f(b),…,f(z)) …［４４］ が成り立つ場合、同様に公開鍵を生成することができ
る。このような性質を満足する関数ｆの例としては他に
楕円曲線ｙ2 ＝ｘ3 ＋α・ｘ＋β上のいわゆる離散対数
問題の基本式を一方向性関数とする等が考えられる。
性関数として ｆ（ｘ）≡ｇx mod ｐ を利用したが、一方向関数としては、 ｆ（ａ×ｂ）＝｛ｆ（ａ）｝b …［４１］ ｆ（ａ＋ｂ＋…＋ｚ）＝ｆ（ａ）×ｆ（ｂ）×…×ｆ（ｚ）…［４２］ なる性質に基づいて構成すればよく一般には、関数ｆと
２つの２項演算op1, op2と２つの多項演算op3, op4 op1 （ａ，ｂ） op2 （ａ，ｂ） op3 （ａ，ｂ，…，ｚ） op4 （ａ，ｂ，…，ｚ） の間に関係式 ｆ(op1(a,b))＝op2(f(a),b) …［４３］ ｆ(op3(a,b, …,z))＝op4(f(a),f(b),…,f(z)) …［４４］ が成り立つ場合、同様に公開鍵を生成することができ
る。このような性質を満足する関数ｆの例としては他に
楕円曲線ｙ2 ＝ｘ3 ＋α・ｘ＋β上のいわゆる離散対数
問題の基本式を一方向性関数とする等が考えられる。
【００７１】以上本発明を公開鍵生成方式を中心とした
実施例に基づき説明してきたが、本発明は何もこれらに
限定されるものでないのは勿論である。また用途も単な
る端末どうしの秘密通信のみならず、衛星放送における
スクランブルを復号するための鍵の配送、パソコン通信
等における利用者の認証等を含むのは勿論である。更
に、伝達すべき情報も必ずしも２進数化する必要もな
い。また、各端末の使用するコンピュータの容量、秘密
通信内容の重要性等によっては使用する素数、即ち秘密
鍵及び公開鍵のビット数は数十ビット等適宜小さくして
もよいのは勿論である。
実施例に基づき説明してきたが、本発明は何もこれらに
限定されるものでないのは勿論である。また用途も単な
る端末どうしの秘密通信のみならず、衛星放送における
スクランブルを復号するための鍵の配送、パソコン通信
等における利用者の認証等を含むのは勿論である。更
に、伝達すべき情報も必ずしも２進数化する必要もな
い。また、各端末の使用するコンピュータの容量、秘密
通信内容の重要性等によっては使用する素数、即ち秘密
鍵及び公開鍵のビット数は数十ビット等適宜小さくして
もよいのは勿論である。
【００７２】
【発明の効果】以上説明したごとく本発明においては端
末が独自に端末の秘密鍵ｘと公開鍵ｙを決定できるため
公開鍵生成方式を利用した複数のシステムに各端末は同
一の秘密鍵と公開鍵を利用できる。また別システムに属
する端末間においても公開鍵の生成が容易となる。さら
に端末の通信量がセンタの数に比例して増加することは
ない。
末が独自に端末の秘密鍵ｘと公開鍵ｙを決定できるため
公開鍵生成方式を利用した複数のシステムに各端末は同
一の秘密鍵と公開鍵を利用できる。また別システムに属
する端末間においても公開鍵の生成が容易となる。さら
に端末の通信量がセンタの数に比例して増加することは
ない。
【図１】本発明の第１実施例における公開鍵生成方式の
構成図である。
構成図である。
【図２】本発明の第２実施例における公開鍵生成方式の
構成図である。
構成図である。
【図３】第１従来例の公開鍵証明書を利用する方式の構
成図である。
成図である。
【図４】第２従来例の公開鍵生成方式の構成図である。
【図５】第３従来例の公開鍵証明書を利用する方式の構
成図である。
成図である。
【図６】本発明に係るネットワーク利用秘密通信方法を
採用したネットワーク通信の構成図である。
採用したネットワーク通信の構成図である。
６１ デジタル通信回路 ６２ 端末情報発行センタC1 ６３ 端末情報発行センタC2 ６４ 端末ｉ ６５ 端末ｊ
フロントページの続き (56)参考文献 松崎なつめ，原田俊治，館林誠“公開 鍵生成法の提案と暗号鍵配送法式の応 用”電子情報通信学会技術研究報告，Ｖ ｏｌ．90，Ｎｏ．365，（1990年），ｐ. 37−46 (58)調査した分野(Int.Cl.6，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＪＩＣＳＴファイル（ＪＯＩＳ) ＩＮＳＰＥＣ（ＤＩＡＬＯＧ)
Claims (14)
- 【請求項１】 固有の識別情報を有する第１の端末が同
じく固有の識別情報を有する第２の端末に自己の公開鍵
作成のための情報を連絡し、第２の端末はその公開鍵作
成のための情報を使用して作成した第１の端末の公開鍵
を用いて秘密通信、署名通信をなすネットワーク利用秘
密及び署名通信方法において、 秘密及び署名通信に使用する公開鍵の生成はシステム初
期設定ステップと端末情報発行ステップと端末公開鍵生
成ステップとからなり、 前記システム初期設定ステップは、複数の各端末情報発
行センタが共同で第１、第２のデータに対する第１の演
算の結果を入力とするときの出力値が前記第１のデータ
を入力とするときの出力値と前記第２のデータに対する
第２の演算の結果に等しくなり、複数のデータに対する
第３の演算の結果を入力とするときの出力値が前記複数
のデータのそれぞれを入力とするときの各出力値に対す
る第４の演算の結果と等しくなる性質を有する一方向性
関数ｆと、入力された情報を何らかの形で残しつつ縮約
するハッシュ関数ｈとを決定し、又各端末情報発行セン
タはそれぞれ独立に秘密鍵Xbを決定し、秘密鍵Xbを入力
とする前記一方向性関数ｆの出力値Ybを決定し、各端末
情報発行センタは共同でそれぞれのYbに対する前記第４
の演算の結果Ｙを計算し、前記Xbは前記各端末情報発行
センタが秘密のままとする一方、前記Ｙを全端末情報発
行センタの公開鍵とした上で、前記一方向性関数ｆ、お
よび前記ハッシュ関数ｈと共に第１、第２の端末に通知
する手順よりなり、 前記端末情報発行ステップは前記第１の端末が、乱数ｘ
を発生しこれを秘密に保持する一方でこの乱数ｘを入力
とする前記一方向性関数ｆの出力値ｙと前記識別情報を
前記各端末情報発行センタにそれぞれ通知した上で端末
情報の発行を請求し、その請求に基づき前記各端末情報
発行センタが、それぞれ、乱数rbを発生しこれを秘密に
保持する一方前記乱数rbを入力とする前記一方向性関数
ｆの出力値vbを求めた上で他の各端末情報発行センタに
通知する一方で前記ｙと前記各vbに対する前記第４の演
算の結果ｔを求め、その上で前記ｔと第１の端末の前記
識別情報を入力とする前記ハッシュ関数ｈの出力値Ｈを
求め、更に前記秘密鍵Xbと前記出力値Ｈに対する前記第
１の演算の結果を求め、しかる後この第１の演算の結果
と前記乱数rbに対する前記第３の演算の結果sbを求めこ
れを他の各端末情報発行センタに通知し、最終的には前
記各端末情報発行センタが共同で前記各sbに対する前記
第３の演算の結果ｓを求め、これと前記ｔとを前記第１
の端末の端末情報として前記第１の端末に発行し、発行
を受けた前記第１の端末が前記ｓと前記乱数ｘを入力と
する前記第３の演算の結果ｕを第１の端末の秘密鍵とす
る手順よりなり、 前記端末公開鍵生成ステップは前記第１の端末が前記ｔ
と前記第１の端末の識別情報を前記第２の端末に前記ネ
ットワークを介して通知し、該通知を受けた前記第２の
端末が、前記ｔと前記第１の端末の識別情報を入力とす
る前記ハッシュ関数ｈの出力値H'を求め、前記Ｙと前記
出力値H'に対する前記第２の演算の結果を求め、この第
２の演算の結果と前記ｔに対する前記第４の演算の結果
を第１の端末の公開鍵Ｐとする手順からなり、 前記第１の演算及び前記第３の演算は両演算間に分配律
が成立するという性質を有する演算であり、前記第３の
演算は結合律及び可換律が成立するという性質を有する
演算である ことを特徴とするネットワーク利用秘密及び
署名通信方法。 - 【請求項２】 前記一方向性関数ｆが、各端末情報発行
センタが、共同で、素数ｐと（ｐ-1）の約数ｑと（ｐ-
1）以下の正整数で前記ｐを法として位数がｑである整
数ｇを決定した後、ａを変数としたときにｆ（ａ）≡ｇ
a mod ｐであることを特徴とする請求項１記載のネット
ワーク利用秘密及び署名通信方法。 - 【請求項３】 前記一方向関数ｆが、各端末情報発行セ
ンタが共同で、素数ｐのべき乗値ｐm と（ｐm −１）の
約数ｑとｐm 個の要素を持つ拡大体の元で位数がｑとな
る元ｇを決定した後ａを変数としたときに前記拡大体上
でｆ（ａ）＝ｇa であることを特徴とする請求項１記載
のネットワーク利用秘密及び署名通信方法。 - 【請求項４】 前記一方向性関数ｆが、各端末情報発行
センタが、共同で合成数ｎと前記ｎのオイラーの関数の
値の約数であるｑと前記ｎを法としてｑを位数とする正
整数ｇを決定した後、ａを変数としたときにｆ（ａ）≡
ｇa mod ｎとしたことを特徴とする請求項１記載のネッ
トワーク利用秘密及び署名通信方法。 - 【請求項５】 前記システム初期設定ステップが各端末
情報発行センタが、共同で、Ｙ、ｈ、ｇ、ｎ、ｑを第
１、第２の端末に通知するのに代えて共同で、前記Ｙ、
ｈ、ｇ、ｎを第１、第２の端末に通知し、 前記端末情報発行ステップが第１の端末が前記ｑを法と
して端末情報ｓと乱数ｘの和ｕを第１の端末の秘密鍵と
して求めるのに代えて、前記端末情報ｓと乱数ｘの和ｕ
を第１の端末の秘密鍵として求める公開鍵生成方式とし
たことを特徴とする請求項４記載のネットワーク利用秘
密及び署名通信方法。 - 【請求項６】 固有の識別情報を有する第１の端末が同
じく固有の識別情報を有する第２の端末に自己の公開鍵
作成のための情報を連絡し第２の端末はその公開鍵作成
のための情報を使用して作成した第１の端末の公開鍵を
用いて暗号文を作成したり署名文を確認するようにした
ネットワーク利用秘密及び署名通信方法において、 秘密及び署名通信に使用する公開鍵の生成はシステム初
期設定ステップと端末情報発行ステップと端末公開鍵生
成ステップとからなり、 前記システム初期設定ステップは複数の各端末情報発行
センタが共同で第１、第２のデータに対する第１の演算
の結果を入力するときの出力値が前記第１のデータを入
力するときの出力値と前記第２のデータに対する第２の
演算の結果に等しくなり、複数のデータに対する第３の
演算の結果を入力とするときの出力値が前記複数のデー
タのそれぞれを入力するときの各出力値に対する第４の
演算の結果と等しくなる性質を有する一方向性関数ｆ
と、入力された情報を何らかの形で残しつつ縮約するハ
ッシュ関数ｈとを決定し、又各端末情報発行センタはそ
れぞれ独立に秘密鍵Xbを決定し、秘密鍵Xbを入力とする
前記一方向性関数ｆの出力値Ybを決定し、各端末情報発
行センタは共同でそれぞれのYbに対する前記第４の演算
の結果Ｙを計算し、前記Xbは前記各端末情報発行センタ
が秘密のままとする一方、前記Ｙを全端末情報発行セン
タの公開鍵とした上で、前記一方向性関数ｆ、及び前記
ハッシュ関数ｈと共に第１、第２の端末に通知する手順
よりなり、 前記端末情報発行ステップは前記第１の端末が、秘密鍵
ｘを決定しこれを秘密に保持する一方で、この秘密鍵ｘ
を入力とする前記一方向性関数ｆの出力値ｙを前記第１
の端末の公開鍵として求め、この第１の端末の公開鍵ｙ
と前記識別情報を前記複数の端末情報発行センタにそれ
ぞれ通知した上で端末情報の発行を請求し、その請求に
基づき前記各端末情報発行センタが、それぞれ、乱数rb
を発生しこれを秘密に保持する一方で前記乱数rbを入力
とする前記一方向性関数ｆの出力値vbを求めた上で他の
各端末情報発行センタに通知し、また前記ｙと前記各vb
に対する前記第４の演算の結果ｔを求め、その上で前記
ｔと第１の端末の前記識別情報を入力する前記ハッシュ
関数ｈの出力値Ｈを求め、しかる後前記秘密鍵Xbと前記
出力値Ｈに対する前記第１の演算の結果を求めこの第１
の演算の結果と前記乱数rbに対する前記第３の演算の結
果sbを求めこれを他の各端末情報発行センタに通知し、
最終的には前記各端末情報発行センタが共同で前記各sb
に対する前記第３の演算の結果ｓを求め、これと前記ｔ
とを前記第１の端末の端末情報として前記第１の端末に
発行する手順からなり、 前記端末公開鍵生成ステップは前記第１の端末が前記第
１の端末の端末情報ｔ、ｓと前記第１の端末の識別情報
を前記第２の端末に前記ネットワークを介して通知し、
該通知を受けた前記第２の端末が前記ｔと前記第１の端
末の識別情報を入力とする前記ハッシュ関数ｈの出力値
H'を求め、前記ｓを入力する前記一方向性関数ｆの出力
値ｗを求め、前記Ｙと前記出力値H'に対する前記第２の
演算の結果を求め、この結果と前記ｔと前記ｗの前記第
４の演算に関する逆数W'に対する前記第４の演算の結果
として前記第１の端末の公開鍵ｙを生成する手順からな
り、 前記第１の演算及び前記第３の演算は両演算間に分配律
が成立するという性質を有する演算であり、前記第３の
演算は結合律及び可換律が成立するという性質を有する
演算であり、前記第４の演算は結合律が成立するという
性質を有する演算である ことを特徴とするネットワーク
利用秘密及び署名通信方法。 - 【請求項７】 前記一方向性関数ｆが、各端末情報発行
センタが、共同で、素数ｐと（ｐ−１）の約数ｑと（ｑ
−１）以下の正整数で前記ｐを法として位数がｑである
整数ｇを決定した後、ａを変数としたときにｆ（ａ）≡
ｇa mod ｐとしたことを特徴とする請求項６記載のネッ
トワーク利用秘密及び署名通信方法。 - 【請求項８】 前記一方向性関数ｆが各端末情報発行セ
ンタが共同で素数ｐのべき乗値ｐm と（ｐm −１）の約
数ｑとｐm 個の要素を持つ拡大体の元で位数がｑとなる
元ｇを決定した後、ａを変数としたときに前記拡大体上
でｆ（ａ）＝ｇa としたことを特徴とする請求項６記載
のネットワーク利用秘密通信方法。 - 【請求項９】 前記一方向性関数ｆが、各端末情報発行
センタが、共同で合成数ｎと前記ｎのオイラーの関数の
値の約数であるｑと前記ｎを法としｑを位数とする正整
数ｇを決定した後、ａを変数としたときにｆ（ａ）≡ｇ
a mod ｎとしたことを特徴とする請求項６記載のネット
ワーク利用秘密及び署名通信方法。 - 【請求項１０】 前記システム初期設定ステップが各端
末情報発行センタが、共同で、Ｙ、ｈ、ｇ、ｎ、ｑを第
１、第２の端末に通知するのに代えて、前記ｑを秘密に
保持し、共同で、前記Ｙ、ｈ、ｇ、ｎを第１、第２の端
末に通知し、前記端末情報発行ステップが、第１の端末
が前記ｑを法として端末情報ｓと乱数ｘの和ｕを第１の
端末の秘密鍵として求めるのに代えて、前記第１の端末
が前記端末情報ｓと乱数ｘの和ｕを第１の端末の秘密鍵
として求める公開鍵生成方式を採用したことを特徴とす
る請求項９記載のネットワーク利用秘密及び署名通信方
法。 - 【請求項１１】 公開鍵生成方式が、ｎを二つの素数p
1、p2の積とし、ｑを(p1-1)と(p2-1)の公約数とする公
開鍵生成方式を採用したことを特徴とする請求項４ある
いは９記載のネットワーク利用秘密及び署名通信方法。 - 【請求項１２】 公開鍵生成方式が、ｎを二つの素数p
1、p2の積とし、ｑを（p1−１）と（ｐ２−１）の最小
公倍数とする公開鍵生成方式を採用したことを特徴とす
る請求項５あるいは１０記載のネットワーク利用秘密及
び署名通信方法。 - 【請求項１３】 公開鍵生成方式が、端末公開鍵生成ス
テップにおける、全端末情報発行センタの公開鍵Ｙをハ
ッシュ関数ｈの出力値H'でべき乗する計算を、あらかじ
め計算された前記公開鍵Ｙの代表的なべき乗値を利用し
て行なう公開ことを特徴とする請求項２、３、４あるい
は５記載のネットワーク利用秘密及び署名通信方法。 - 【請求項１４】 公開鍵生成方式が、端末公開鍵生成ス
テップにおける、全端末情報発行センタの公開鍵ｙをハ
ッシュ関数ｈの出力値H'でべき乗する計算と端末情報ｓ
を一方向性関数ｆに入力したときの出力値を求める計算
すなわちｇをｓでべき乗する計算を、あらかじめ計算さ
れた前記公開鍵Ｙの代表的なべき乗値と前記ｇの代表的
なべき乗値を利用して行なう公開鍵生成方式を採用した
ことを特徴とする請求項７、８、９あるいは１０記載の
ネットワーク利用秘密及び署名通信方法。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP3227125A JP2945523B2 (ja) | 1991-09-06 | 1991-09-06 | ネットワーク利用秘密及び署名通信方法 |
| US07/809,134 US5199070A (en) | 1990-12-18 | 1991-12-18 | Method for generating a public key |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP3227125A JP2945523B2 (ja) | 1991-09-06 | 1991-09-06 | ネットワーク利用秘密及び署名通信方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0568034A JPH0568034A (ja) | 1993-03-19 |
| JP2945523B2 true JP2945523B2 (ja) | 1999-09-06 |
Family
ID=16855875
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP3227125A Expired - Fee Related JP2945523B2 (ja) | 1990-12-18 | 1991-09-06 | ネットワーク利用秘密及び署名通信方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2945523B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CA2235359C (en) * | 1998-03-23 | 2012-04-10 | Certicom Corp. | Implicit certificate scheme with ca chaining |
| CN117254909B (zh) * | 2023-11-13 | 2024-02-23 | 泉州信息工程学院 | 一种快速生成高概率原根的计算方法、系统及存储介质 |
-
1991
- 1991-09-06 JP JP3227125A patent/JP2945523B2/ja not_active Expired - Fee Related
Non-Patent Citations (1)
| Title |
|---|
| 松崎なつめ，原田俊治，館林誠"公開鍵生成法の提案と暗号鍵配送法式の応用"電子情報通信学会技術研究報告，Ｖｏｌ．９０，Ｎｏ．３６５，（１９９０年），ｐ．３７−４６ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH0568034A (ja) | 1993-03-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5146500A (en) | Public key cryptographic system using elliptic curves over rings | |
| JP7492508B2 (ja) | コンピュータにより実施される、デジタル署名されたデータのシェアを分配するシステム及び方法 | |
| EP2686978B1 (en) | Keyed pv signatures | |
| CN118160275A (zh) | 阈值签名方案 | |
| Kumar et al. | An efficient implementation of digital signature algorithm with SRNN public key cryptography | |
| JPH08251156A (ja) | 電子メール暗号化方法及び暗号化システム | |
| JP2945523B2 (ja) | ネットワーク利用秘密及び署名通信方法 | |
| Lizama-Perez | Non-invertible key exchange protocol | |
| Mohapatra | Signcryption schemes with forward secrecy based on elliptic curve cryptography | |
| JP2002023626A (ja) | 公開鍵暗号方法および公開鍵暗号を用いた通信システム | |
| JP3706398B2 (ja) | 楕円曲線による署名、認証及び秘密通信方式 | |
| Abdelfattah et al. | Simplified Hybrid Secure Algorithm for Mobile Banking Application | |
| Thadvai et al. | A novel authenticated encryption scheme with convertibility | |
| Ullah et al. | An investigating study of blind and ID-based signcryption schemes for misuse risk protection and high performance computing | |
| Badawy | Security Evaluation of Different Hashing Functions with RSA for Digital Signature | |
| CN116781243B (zh) | 一种基于同态加密的不经意传输方法、介质及电子设备 | |
| Tanwar | Basics of cryptographic primitives for blockchain development | |
| JP3862397B2 (ja) | 情報通信システム | |
| Radhakrishna et al. | Digital Image Encryption and Decryption based on RSA Algorithm | |
| WO2000045548A1 (fr) | Chiffreur a cle non protegee et procede de partage de cle | |
| EP1921790A1 (en) | Signature schemes using bilinear mappings | |
| Syed | A New Generalized Signcryption Scheme Based on Elliptic Curves | |
| JPH09160492A (ja) | 署名方式 | |
| Ibrahim et al. | Modeling Cryptosystem via Latin Square | |
| Somsuk et al. | The Variant of Digital Signature Algorithm for Constant Message. |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| LAPS | Cancellation because of no payment of annual fees |