JP2948294B2

JP2948294B2 - 認証機能付き鍵配送システムにおける端末

Info

Publication number: JP2948294B2
Application number: JP2253156A
Authority: JP
Inventors: なつめ松崎; 誠館林; 俊治原田
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1990-09-20
Filing date: 1990-09-20
Publication date: 1999-09-13
Anticipated expiration: 2014-09-13
Also published as: JPH04129441A

Description

【発明の詳細な説明】産業上の利用分野本発明は、各端末が生成した公開情報に、信頼の於け
るセンターがあらかじめ署名を施した証明書を用いて、
自分の認識している相手とのみ同じ鍵を共有できる認証
機能付き鍵配送システムの改良に関する。

従来の技術複数の端末が接続された通信網において、他の端末に
秘密の状態で特定の端末間で通信を行いたい要望があ
る。このような要望は双方向通信の場合だけでなく、電
子メールのような一方向通信の場合も同様である。

上記要望に応じる手法として、秘密通信を希望する２
つの端末間で共通の鍵を持ち、通信側がこの鍵を用いて
送信情報に施錠して送信し、受信側が共通鍵を用いて受
信情報を解錠するという方法がある。

この場合、２つの端末間で共有する鍵は、他の端末に
対して秘密でなければならない。このような秘密鍵を２
つの端末間で共有できるようにする一手法として公開鍵
配送法（public key distribution system:PKDS）とい
う方法がある。

この方法は、通信網の利用者が公開鍵を用いて秘密鍵
を共有する方法である。秘密鍵暗号を適用する場合、秘
密鍵自体を安全でない通信路に介して配送するわけには
いかず、まえもって何らかの安全な手段（例えば、密使
や書留郵便など）で通信相手と秘密鍵を共有する必要が
ある。ところが、公開鍵配送法を用いると、安全でない
（盗聴されてもかまわない）通信路を介して共有の秘密
鍵を生成できる。公開鍵配送法では、通信相手同士が公
開鍵を交換して計算した結果、この両者のみが知り得る
ランダムな秘密鍵の値が生成され、それを共有の秘密鍵
に用いるのである。

なお、鍵配送と同時に、鍵を共有する相手をきちんと
認証することも要望される。この認証がなされないと、
鍵を共有している相手が真に秘密通信を希望する相手と
同一であるかどうかが確認できないからである。

従って、ここでは認証機能を組込んだ公開鍵配送法に
ついて説明する。

公開鍵配送方法として、1976年にDiffieとHellmanに
よって提案されたDH鍵配送方式がある。これは、有限体
GF（ｐ）上での離散対数問題が難しいことに安全性の根
拠をおいている。これに認証機能を組み込むため、信頼
のおけるセンター発行の証明書を用いた方法が提案され
ている。（証明の便宜上この方法もDHの鍵配送方式と呼
ぶ）以下、DH鍵配送方式の手順をセンターによる証明書の
発行のフェーズと、端末１と端末２の間の鍵配送のフェ
ーズに分けて説明する。

〔証明書の発行フェーズ〕

（１）システムの構築時、法ｐとGF（ｐ）の原始元ｇを
決定し各端末に公開する。

（２）端末１は秘密情報x1を生成して、y1＝g^x1modpを
計算する。 …（１）なお、ここで‘Ｘ modp'は値Ｘをｐで除した時の剰
余を示す。

（３）端末１はy1と名前、住所など自分を特定できる情
報（識別情報、又はID情報と称する）ID1を信頼のおけ
るセンターに送信し、証明書を請求する。

（４）センターは端末１の正当性を調べ、センターだけ
が知っている秘密変換ｆを用いて、証明書Cert1を生成
し、例えば磁気カード等に格納して端末１に配付する。

Cert1＝ｆ（y1||ID1）ここで、||は連結を示している。なお、秘密変換ｆの
逆変換ｈはシステムにおいて公開であるとする。従っ
て、Cert1を得た任意の端末はｈ（Cert1）を計算するこ
とによってセンターによって保証されたID1の公開情報y
1を得ることができる。

〔鍵配送フェーズ〕

（１）端末１は自身の証明書Cert1を端末２に、端末２
は自身の証明書Cert2をそれぞれ配送する。

（２）端末１はｈ（Cert2）＝y2||ID2を計算し、自分の
秘密情報x1を用いて、 K12＝y2^x1modp＝ｇ^x1×x2modp を求める。

（３）一方、端末２はｈ（Cert1）＝y1||ID1を計算し、
自分の秘密情報x2を用いて、 K21＝y1^x2modp＝ｇ^x1×x2modp を求める。なお、K12＝K21は端末１と２の間の共有鍵で
ある。

ところで、通信で用いられる鍵は、安全上時々変更す
ることが望ましい。上記で述べたDH鍵配送方式では共有
鍵を変更するのにもう一度センターに依頼して証明書を
発行してもらう必要があり、非常に手間である。

そこで、証明書は変更せずに共有鍵を変更する方法が
いくつか提案されている。

以下、従来提案されている２つの方法について説明す
る。

〔方法１（第１の従来例）〕方式１は、「山元・秋山“アデータエンクリプシ
ョンデバイスインコーポレイティングファスト
ピーケイディエス”（A Data Encryption device incor
poration fast PKDS",Global Com.,32.2.1−32.2.6（De
c.1983」で提案されている方法である。

証明書の発行フェーズはDH鍵配送方式と同じである。

第３図は鍵配送フェーズの手順を示している。１は秘
密情報x1を保持する端末１、２は秘密情報x2を保持する
端末２である。以下に動作を示す。

（１）端末１は端末２に自分の証明書Cert1を送付す
る。

（２）端末２は、ｈ（Cert1）を計算して端末１の正規
の公開情報y1を得る。

また、次のようにして配送情報Z21を生成し、これと
自分の証明書Cert2を端末１に送付する。

（ａ）乱数r2を発生する。

（ｂ）Z21＝y1^x2×r2modp …（２）（３）端末１は、ｈ（Cert2）を計算して端末２の正規
の公開情報y2を得る。

また、次のようにして配送情報Z12を生成し、これを
端末２に送付する。

（ａ）乱数r1を発生する。

（ｂ）Z12＝y1^x1×r1modp …（３）そして、端末２からの配送情報Z21を用いて共有鍵K12
を生成する。

K12＝Z21^r1modp （４）端末２は、端末１からの配送情報Z12を用いて共
有鍵K21を生成する。

K21＝Z12^r2modp なお、端末１における共有鍵K12と端末２における共
有鍵K21は（１）〜（３）式より同じになる。

K12＝Z21^r1modp＝y1^x2×r2×r1modp ＝ｇ^{x1×x2×r1×r2}modp K21＝Z12^r2modp ＝y2^x1×r1×r2modp ＝ｇ^{x1×x2×r1×r2}modp ところで、この方法は配送情報を生成するために相手
の証明書が必要であるため、３パス（片道）の通信が必
要となる。

〔方法２（第２の従来例）〕方法２は、「岡本・中村“公開鍵配送方式の一検討”
昭和59年度電子通信学会全国大会、15」で提案されてい
る方法である。

証明書の発行フェーズはDH鍵配送方式と同じである。

第４図に鍵配送フェーズの手順を示している。端末
１、２間の動作を以下に示す。

（１）端末１は次のようにして配送情報Z12を生成し、
これと自分の証明書Cert1を端末２に送付する。

（ａ）乱数r1を発生する。

（ｂ）Z12＝y2^r1modp …（４）（２）端末２は次のようにして配送情報Z21を生成し、
これと自分の証明書Cert2を端末１に送付する。

（ａ）乱数r2を発生する。

（ｂ）Z21＝y2^r2modp …（５）また、端末１から送付されてきた情報を用いて、以下
のとおり共有鍵K21を生成する。

（ａ）Cert1より、ｈ（Cert1）＝y1||ID1を得る。

（ｂ）端末１からの配送情報Z12より次のように共有
鍵を算出する。

K21＝（Z12×y1^r2）^x2modp （３）端末１は、端末１からの配送情報を用いて共有鍵
K12を生成する。

K12＝（Z21×y2^r1）^x1modp なお、端末１における共有鍵K12と端末２における共
有鍵K21は（４）（５）式より同じになる。

K12＝（Z21×y2^r1）^x1modp ＝（y2^r2+r1）^x1modp ＝ｇ^{x1×x2（r1＋r2）}modp＝k21 この方法は配送情報を生成するために相手の証明書が
不要であるため、２回目の通信で鍵配送を行うことがで
きる。また、共有鍵の生成に正規の端末の秘密情報が必
要であるため、正規の端末対のみが同じ鍵が共有できる
間接的認証付きの鍵配送方式になっている。しかしなが
ら、この方法では各端末は配送情報の生成に１回、共有
鍵の生成に２回の計３回のべき乗剰余演算が必要とな
る。

また、電子メールのような一方向通信への応用におい
ては、一方向の通信で認証付きの鍵配送を行うことが必
要になる。この場合、前述のセンター発行の証明書をネ
ットワークのセンターが公開リストとして管理してお
き、送信者がこれを参照することを前提とする。

次に、DH鍵配送方式を基本にして、一方向通信におい
て共有鍵を毎回変更できる方法を説明する。

第５図に鍵配送フェーズの手順を示している。以下端
末１、２の動作について述べる。

（１）端末１は乱数r1を生成して、これと自分の説明書
Cert1を端末２に送信する。

（２）端末１は公開リストから端末２の証明書Cert2を
参照し、ｈ（Cert2）＝y2||ID2を得る。

端末１は以下の計算を行い端末２との共有鍵を得る。

S12＝y2^x1modp K12＝Ｆ（r1、S12）ここにおいてＦ（）はあらかじめ定められた演算であ
る。従って、例えばＦ（x,y）＝ｘ＋ｙ modp とすると、K12＝r1＋S12modpとなる。

（３）端末２は端末１から送付された端末１の証明書Ce
rt1からy1を得る。

端末２は端末１からの送付された乱数r1を用いて以下
の計算を行い端末１との共有鍵を得る。

S21＝y1^x2modp K21＝Ｆ（r1、S21）＝r1＋S21modp なお、ここでS12＝S21＝ｇ^x1×x2であるため、K12＝K
21がなりたつ。

発明が解決しようとする課題以上のように双方向通信バージョンの第１の従来例で
は、配送情報の生成に相手の証明書を用いるため、最低
３パス（片道）の通信が必要となる。また、第２の従来
例では共有鍵を求めるための計算量が大である。

また、一方向通信バージョンの従来例には以下の問題
点がある。例えば、Ｆ（ｘ、ｙ）＝ｘ＋ｙ modpの場
合、あるセッションにおける共有鍵K12とその時の通信
路上のデータr1が、第３者に一旦求められてしまうと、
S12＝K12−r1 modpによって第３者は端末１と２の間の
固定の共有鍵S12を得る。そして、任意のセッションに
おける通信路上のデータを観測し、得たS12を用いれ
ば、端末１と２の間の任意の共有鍵を求めることができ
る。つまり、そのセッションだけに有効であるためにあ
まり守秘に重きをおいていない共有鍵から、大切な固定
の共有秘密鍵が求められてしまう。

本発明は上述の問題点に鑑み、双方向通信において、
鍵配送時の端末間の通信回数を減少して鍵共有に必要と
なる計算量を削減した認証機能付き鍵配送システムの改
良を提供することを第１の目的とする。

本発明の第２の目的は、一方向通信において、第３者
がセッション鍵から固定鍵を求めることが困難であり、
また、受信者が発信者の認証を行う認証機能付き鍵配送
システムの改良を提供することである。

課題を解決するための手段第１の目的を達成するため、本発明は、各端末が公開
の数ｐとこのｐを法とする剰余環の原始元ｇを用いて、
各端末固有の秘密情報x1、x2・・・をべきとし前記ｐを
法とするｇのべき乗剰余演算値y1、y2・・・を算出して
信頼のおけるセンターに送り、センターが前記べき乗剰
余演算値y1、y2・・・に秘密変換ｆを施して証明書Cert
1、Cert2・・・を生成し、各端末に配付する証明書配付
フェーズを経た後、共通の鍵を持つことを所望する各端
末が前記証明書を含む情報の双方向通信を通じて秘密に
共通の鍵を生成する認証機能付き鍵配送システムにおけ
る端末であって、自端末が生成する乱数r1と証明書Cert
1を相手端末に送信する手段と、相手端末から送られて
きた証明書Cert2から相手端末のべき乗剰余演算値y2
を、前記秘密変換ｆの逆変換であって公開されている逆
変換ｈを用いて求める第１演算手段と、自端末の秘密情
報x1をべきとし、公開の数ｐを法とする相手端末の前記
べき乗剰余演算値y2のべき乗剰余演算値S12を算出する
第２演算手段と、前記べき乗剰余演算値S12をべきと
し、自端末と相手端末の乱数r1、r2を用いたべき乗剰余
演算を行って相手端末と共通の鍵k12を生成する手段
と、から成ることを特徴としている。

第２の目的を達成するため、本発明は各端末が公開の
数ｐとこのｐを法とする剰余環の原始元ｇを用いて、各
端末固有の秘密情報x1、x2・・・をべきとし前記ｐを法
とするｇのべき乗剰余演算値y1、y2・・・を算出して信
頼のおけるセンターに送り、センターが前記べき乗剰余
演算値y1、y2・・・に秘密変更ｆを施して証明書Cert
1、Cert2・・・を生成し、公開リストに登録する証明書
発行フェーズを経た後、一方向通信を行う発信側端末が
前記公開リストから受信側端末の証明書を入手して演算
を行い、当該受信側端末に対して演算値を含む情報をを
送信することにより、双方の端末が共通の鍵を生成する
認証機能付き鍵配送システムにおける発信側端末であっ
て、自己の生成した乱数r1をべきとし前記公開の数ｐを
法とした前記ｇのべき乗剰余演算値Z1を計算する第１計
算手段と、公開リストを参照し特定の受信側端末の証明
書Cert2に公開された逆変換ｈを施して受信側端末のべ
き乗剰余演算値y2を得る第２計算手段と、自己の生成し
た乱数r1、をべきとし、公開の数ｐを法とする前記y2の
べき乗剰余値u1を計算する第３計算手段と、自己の生成
した秘密情報x1をべきとし、公開の数ｐを法とする前記
y2のべき乗剰余値S12を算出する第４計算手段と、前記u
1とS12を用いて受信側端末との共有鍵を生成する共有鍵
生成手段と、前記共有鍵を公開の一方向性関数に入力し
て出力v1を得る第５計算手段と、自己の証明書Cert1、
前記Z1、及びv1を受信側端末に送信する送信手段と、各
端末が公開の数ｐとこのｐを法とする剰余環の原始元ｇ
を用いて、各端末固有の秘密情報x1、x2・・・をべきと
し前記ｐを法とするｇのべき乗剰余演算値y1、y2・・・
を算出して信頼のおけるセンターに送り、センターが前
記べき乗剰余演算値y1、y2・・・に秘密変更ｆを施して
証明書Cert1、Cert2・・・を生成し、公開リストに登録
する証明書発行フェーズを経た後、一方向通信を行う発
信側端末が前記公開リストから受信側端末の証明書を入
手して演算を行い、当該受信側端末に対して演算値を含
む情報を送信することにより、双方の端末が共通の鍵を
生成する認証機能付き鍵配送システムにおける受信側端
末であって、発信側端末から送られてきた証明書Cert1
に公開の逆変換ｈを施してべき乗剰余演算値y1を得る第
６計算手段と、発行側端末から送られてきたZ1を用い、
自己の生成した秘密情報x2をべきとし、公開の数ｐを法
とする前記Z1のべき乗剰余値u2を計算する第７計算手段
と、前記秘密情報x2をべきとし、公開の数ｐを法とする
前記y1のべき乗剰余値S21を算出する第８計算手段と、
前記u2とS21を用いて発信側端末との共有鍵を生成する
共有鍵生成手段と、前記共有鍵を公開の一方向性関数に
入力して出力v2を得る第９計算手段と、前記v2を発信側
端末から送られてきたv1と比較し、一致しているときの
み自己の生成した共有鍵を有効と決定する判定手段と、
から成ることを特徴としている。

作用第１の発明では、相手の証明書と双方の端末間におい
て固定の秘密情報S12をべきとし、双方の端末が発生し
た乱数のべき乗剰余値を、共有鍵としている。従って、
鍵からそのべき部の固定の秘密情報S12を求めることは
困難である。配送情報は自身の発生した乱数だけであ
り、また、共有鍵の計算にはそれぞれの端末で１回のべ
き乗剰余演算を行えばよいため、鍵配送のための通信回
数・鍵共有のための計算量共に削減される。

第２、第３の発明では、第３者が送信者に成りすまし
てセッション鍵から固定の共有鍵を求める不正を防ぐた
めに、v1＝v2により送信者の認証を行っている。また、
もしS12が得られた場合も、共有鍵の送受信者だけで共
有できるセッション毎のデータu1＝u2を用いることによ
って、自分自身が送信者になりすます以外には、セッシ
ョン鍵は得られない。

実施例第１図は、双方向通信を行う認証機能付き鍵配送シス
テムの一実施例を示す。１は秘密情報x1を保持する第１
の端末、２は秘密情報x2を保持する第２の端末である。
なお、実際には端末１、２だけでなく、複数の端末及び
センターが通信回線に接続された構成のシステムである
が、ここでは簡単のため、共通の鍵をもつことを希望す
る２つの端末１、２だけを示す。また、図示はしていな
いが、各端末１、２は夫々、乱数r1、r2を生成する乱数
生成部、自端末の証明書を記憶する記憶部、センター、
他端末との間でデータを送受を行う送信部、受信部、自
端末の乱数r1、r2や他端末から得た乱数r2、r1その他他
端末、センターから得たデータを用いて所定の演算を行
う計算部を備えている。以下の説明においては、乱数生
成部、記憶部、送信部、受信部、計算部を特定した処理
の記載にはなっておらず、端末が主体となって、所定の
処理を行う記載となっているが、実体において両者に差
異がないことは勿論である。

次に、証明書発行フェーズは従来例と同じなので説明
は省略し、鍵配送フェーズについてステップ毎に図を用
いて説明する。

ステップ（１）：端末１は乱数r1は生成し、自分の証明書Cert1と共に
端末２に送信する。

ステップ（２）：端末２は乱数r2を生成し、自分の証明書Cert2と共に
端末２に送信する。

ステップ（３）：端末１は端末２から送信された証明書Cert2から、ｈ（Cert2）＝y2||ID2 を計算し、相手が端末２であることを確認する。

ステップ（４）：次に、上記y2と自分の秘密情報x1を用いてS12＝y2^x1m
odpを計算する。

なお、このS12は端末１、２間の固定の共有データで
ある。

ステップ（５）：そして、端末２から送信された乱数r2と自分が生成し
た乱数r1、上記S12を用いてこのセッションにおける端
末２との共有鍵K12を計算する。この時、S12を共有鍵の
べきの部分に用いる。

K12＝（r1＋r2）^S12modp ステップ（６）：端末２は端末１から送信された証明書Cert1から、ｈ（Cert1）＝y1||ID1 を計算し、相手が端末２であることを確認する。

ステップ（７）：次に、上記y1と自分の秘密情報x2を用いて、 S21＝y1^x2modpを計算する。

なお、このS21は端末１、２間の固定の共有データで
あり、上記S12と同じ値である。

S12＝S21＝ｇ^x1×x2modp ステップ（８）：そして、端末１から送信された乱数r1と自分が生成し
た乱数r2、上記S21を用いてこのセッションにおける端
末２との共有鍵K21を計算する。この時、S12を共有鍵の
べきの部分に用いる。

K21＝（r1＋r2）^S21modp なお、S12＝S21よりK12＝K21が成り立つ。

この実施例からわかるように、S12（＝S21）を得るた
めには、正規の端末の秘密情報が必要である。このた
め、正規の端末だけが共通の鍵を得ることができる。そ
れ故、この実施例は間接的な認証付きの鍵配送方法であ
るといえる。

なお、相手を確実に確認するためには、共通の鍵を算
出できたことを示せばよい。これには例えば一方向性の
関数ｆ（）を定め、これにそれぞれの端末で得た共通鍵
を入力したときの出力値を交換する。つまり、端末１は
ｆ（K12、ID1）を端末２に送付し、端末２ではこれをｆ
（K21、ID1）と比較する。また、端末２はｆ（K21、ID
2）を端末１に送付し、端末１ではこれをｆ（K12、ID
2）と比較する。そしてこのことによってそれぞれ相手
を認証する。

また、セッション鍵は端末１、２の共有データ（固定
値）をべきとし、ｐを法とした端末１、２が生成した乱
数のべき乗剰余値（セッションごとに異なる数値）であ
る。従って、セッション鍵と通信路上のデータから、べ
きの部分である秘密の共有データ（固定値）を求めるに
は、GF（ｐ）上の離散対数問題をとく必要があり、ｐの
数を例えば1000ビット程度に設定することによって計算
量的に安全になる。

そして共有鍵を得るには、S12の算出に１回、共有鍵
の算出に１回の計２回のべき乗剰余演算が必要である。

なお、この実施例では端末１、２で発生した乱数r1、
r2からセッション毎に異なる数値を求めるに加算を用い
ているが、あらかじめ定められたものであればこの演算
Ｒ（）はどのようなものであってもよい。ただし、トー
タルの計算量の削減のためには加算又は乗算などが適し
ている。

ただし、例えばＲ（ｘ、ｙ）＝ｘ＋ｙ modpの場合、
次のような攻撃が可能となりうる。

（１）第３者端末３は、正規の端末１、端末２間の通信
を盗聴する。

（２）端末１からは乱数r1と証明書Cert1が送信され
る。

（３）端末３は、r1＋r3＝１ modpを満たす、r3を算出
する。

（４）端末３は端末２になりすまして、r3とCert2を送
信する。なお、Cert2はあらかじめ端末２の通信を盗聴
することによって入手しておく。

（５）端末１は、r12＝Ｒ（r1、r3）＝１ K12＝r12^S12
modp＝１を共通鍵として算出する。

（６）端末３は端末２になりすましてこの‘1'を端末１
と共有する。

もっとも、この攻撃を困難にするためには、r3を変数
と考えたときのＲ（r1、r3）＝c modpの方程式の求解を
困難にするような関数Ｒ（）を定めればよい。

次に、第２図は、一方向通信を行う認証機能付き鍵配
送システムの一実施例を示す。この実施例においても、
図の簡略化のため共通の鍵をもつことを希望する２つの
端末１、２のみを示す。端末１は秘密情報x1を保持する
発信側端末、端末２は秘密情報x2を保持する受信側端末
である。尚、発信側端末は送信部を、受信側端末は受信
部を備えること、及び両端末とも、乱数生成部、自分の
証明書や一方向性関数及びセンターから公開された情報
として後で演算に用いる必要のある情報を記憶する記憶
部、後述する演算を行う演算部を備えることは勿論であ
る。

また、本実施例においても、前の実施例と同様、上記
各部を特定して処理の記載となっておらず、発信側端
末、受信側端末を主体にした処理の記載となっている
が、実体において両者に差異はないものである。

証明書発行フェーズは従来例と同じであり、証明書は
公開リストに登録されているとする。ただし、システム
で１つの一方向性関数ｆ（）を定めて公開しておく。一
方向性関数は入力から出力値は容易に求めることができ
るが出力値から入力値を求めることが非常に困難である
関数である。

鍵配送フェーズについて図を用いてステップ毎に説明
する。

ステップ（１）：端末１は乱数r1を生成し、次の式で配送情報Z1を計算
する。

Z1＝g^r1modp ステップ（２）：端末１は公開リストを参照して端末２の証明書Cert2
を知り、次式に基づきy2を得る。

ｈ（Cert2）＝y2||ID2 ステップ（３）： y2を用いて次の計算を行い共有鍵K12を得る。

u1＝y2^r1modp S12＝y2^x1modp K12＝u1＋S12modp ステップ（４）：端末１は共有鍵K12を一方向性関数ｆ（）に入力して
配送情報v1を求める。

v1＝ｆ（K12）ステップ（５）：端末１は、Cert1,Z1、v1を端末２に配送する。

ステップ（６）：端末２は、端末１からの配送データCert1から、y1を
得る。

ｈ（Cert1）＝y1||ID1 ステップ（７）： y1を用いて次の計算を行い共有鍵K21を得る。

u2＝Z1^x2modp S21＝y1^x2modp K21＝u2＋S21modp ステップ（８）：端末２は共有鍵21を一方向性関数ｆ（）に入力して配
送情報v2を求める。

ステップ（９）：端末２は上記作成したv2と端末１から送付されたv1を
比較して、一致する場合のみこれを採用する。

なお、 u1＝y2^r1modp＝ｇ^x2×r1modp ＝Z1^x2modp＝u2 S12＝y2^x1modp＝ｇ^x1×x2modp ＝y1^x2modp＝S21 が成り立つため、K12＝K21となる。

この一方向通信バージョンの例では、受信者は送信者
と同じ値のu2を得るために自身の秘密情報を用いる必要
がある。また、送信者側もS12を得るためには自身の秘
密情報が必要である。従って、受信者がv1を検査し、同
じセッション鍵を共有できたことで送信者の認証を行
う。

ここで、第３の端末が端末１になり澄まし、その時の
セション鍵を求めたとしても、第３の端末と正規の端末
２の間で鍵の共有が成立しないため受信者側でセッショ
ン鍵が削除され、攻撃は成り立たない。

なお、この実施例ではセッション毎に異なるu1＝u2と
固定の秘密鍵S12＝S21から、加算を用いて共有鍵を生成
しているが、あらかじめ定められたものであればこの演
算はどのようなものであってもよい。ただし、トータル
の計算量の削減のためには加算又は乗算を用いればよ
い。

発明の効果以上の説明から明らかなように第１の発明は、第１の
従来例と比べ通信回数が１パス分だけ減少していると共
に、共有鍵を得るための計算量もべき乗剰余演算３回の
第２の従来例に比べて演算１回分少なくて済む、このた
め、認証機能付きの鍵配送を、通信回数並びに共有鍵を
得るための計算量を少ない状態で行うことができるとい
った効果がある。

第２の発明によれば、秘密情報を知らない第３者と正
規の端末は鍵を共有し得ないので、正規の端末は共有鍵
をチェックすることによって相手の不正を検出すること
ができる。また、万が一、セッション鍵とその時の通信
路上のデータを求められたとしても、これにより秘密の
共有鍵（固定値）を求めるためには、その時の送信者の
発生した乱数又は受信者の秘密情報を知る必要がある。

さらに万が一、秘密の共有鍵が求められたとしても正
規の端末１、２間の通信路上のデータからそのセッショ
ンの共有鍵を求めることはできない。

従って、第２の発明は盗聴やなりすまし攻撃に対し、
何重にも防御処理を施した安全な方法であるといえる。

【図面の簡単な説明】

第１図は第１の発明（双方向通信バージョン）の一実施
例における鍵配送時の手順説明図、第２図は第２の発明
（一方向通信バージョン）の一実施例における鍵配送時
の手順説明図、第３図は双方向通信バージョンの第１の
従来例における鍵配送時の手順説明図、第４図は双方向
通信バージョンと第２の従来例における鍵配送時の手順
説明図、第５図は一方向通信バージョンの従来例におけ
る鍵配送時の手順説明図である。１……端末１、２……端末２。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献Ｒ．Ａ．Ｒｕｅｐｐｅｌ，Ｐ．Ｃ，ｖａｎＯｏｒｓｃｈｏｔ，”ＭｏｄｅｒｎＫｅｙａｇｒｅｅｍｅｎｔｔｅｃｈｎｉｑｕｅｓ，”ＣｏｍｐｕｔｅｒＣｏｍｍｕｎｉｃａｔｉｏｎｓ，Ｖｏｌ．17，Ｎｏ．７，（1994），ｐ．458 −465 松崎なつめ，原田俊治，館林誠”公開鍵生成法の提案と暗号鍵配送方式の応用”電子情報通信学会技術研究報告Ｖｏｌ．90，Ｎｏ．365，（1990年12月）, ｐ．37−46（ＩＳＥＣ90−43) (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】各端末が公開の数ｐとこのｐを法とする剰
余環の原始元ｇを用いて、各端末固有の秘密情報x1、x2
・・・をべきとし前記ｐを法とするｇのべき乗剰余演算
値y1、y2・・・を算出して信頼のおけるセンターに送
り、センターが前記べき乗剰余演算値y1、y2・・・に秘
密変換ｆを施して証明書Cert1、Cert2・・・を生成し、
各端末に配付する証明書配付フェーズを経た後、共通の
鍵を持つことを所望する各端末が前記証明書を含む情報
の双方向通信を通じて秘密に共通の鍵を生成する認証機
能付き鍵配送システムにおける端末であって、自端末が生成する乱数r1と証明書Cert1を相手端末に送
信する手段と、相手端末から送られてきた証明書Cert2から相手端末の
べき乗剰余演算値y2を、前記秘密変換ｆの逆変換であっ
て公開されている逆変換ｈを用いて求める第１演算手段
と、自端末の秘密情報x1をべきとし、公開の数ｐを法とする
相手端末の前記べき乗剰余演算値y2のべき乗剰余演算値
S12を算出する第２演算手段と、前記べき乗剰余演算値S12をべきとし、自端末の乱数r1
と、相手端末から送られてきた乱数r2を用いたべき乗剰
余演算を行って相手端末と共通の鍵k12を生成する手段
と、を備えることを特徴とする双方向通信の認証機能付き鍵
配送システムにおける端末。
【請求項２】各端末が公開の数ｐとこのｐを法とする剰
余環の原始元ｇを用いて、各端末固有の秘密情報x1、x2
・・・をべきとし前記ｐを法とするｇのべき乗剰余演算
値y1、y2・・・を算出して信頼のおけるセンターに送
り、センターが前記べき乗剰余演算値y1、y2・・・に秘
密変換ｆを施して証明書Cert1、Cert2・・・を生成し、
公開リストに登録する証明書発行フェーズを経た後、一
方向通信を行う発信側端末が前記公開リストから受信側
端末の証明書を入手して演算を行い、当該受信側端末に
対して演算値を含む情報を送信することにより、双方の
端末が共通の鍵を生成する認証機能付き鍵配送システム
における発信側端末であって、自己の生成した乱数r1をべきとし前記公開の数ｐを法と
した前記ｇのべき乗剰余演算値Z1を計算する第１計算手
段と、公開リストを参照し特定の受信側端末の証明書Cert2に
公開された逆変換ｈを施して受信側端末のべき乗剰余演
算値y2を得る第２計算手段と、自己の生成した乱数r1をべきとし、公開の数ｐを法とす
る前記y2のべき乗剰余値u1を計算する第３計算手段と、自己の生成した秘密情報x1をべきとし、公開の数ｐを法
とする前記y2のべき乗剰余値S12を算出する第４計算手
段と、前記u1とS12を用いて受信側端末との共有鍵を生成する
共有鍵生成手段と、前記共有鍵を公開の一方向性関数に入力して出力v1を得
る第５計算手段と、自己の証明書Cert1、前記Z1、及びv1を受信側端末に送
信する送信手段と、を備えることを特徴とする認証機能付き鍵配送システム
における発信側端末。
【請求項３】各端末が公開の数ｐとこのｐを法とする剰
余環の原始元ｇを用いて、各端末固有の秘密情報x1、x2
・・・をべきとし前記ｐを法とするｇのべき乗剰余演算
値y1、y2・・・を算出して信頼のおけるセンターに送
り、センターが前記べき乗剰余演算値y1、y2・・・に秘
密変更ｆを施して証明書Cert1、Cert2・・・を生成し、
公開リストを登録する証明書発行フェーズを経た後、一
方向通信を行う発信側端末が前記公開リストから受信側
端末の証明書を入手して演算を行い、当該受信側端末に
対して演算値を含む情報を送信することにより、双方の
端末が共通の鍵を生成する認証機能付き鍵配送システム
における受信側端末であって、発信側端末から送られてきた証明書Cert1に公開の逆変
換ｈを施してべき乗剰余演算値y1を得る第６計算手段
と、発信側端末から送られてきたZ1を用い、自己の生成した
秘密情報x2をべきとし、公開の数ｐを法とする前記Z1の
べき乗剰余値ｕを計算する第７計算手段と、前記秘密情報x2をべきとし、公開の数ｐを法とする前記
y1のべき乗剰余値S21を算出する第８計算手段と、前記u2とS21を用いて発信側端末との共有鍵を生成する
共有鍵生成手段と、前記共有鍵を公開の一方向性関数に入力して出力v2を得
る第９計算手段と、前記v2を発信側端末から送られてきたv1と比較し、一致
しているときのみ自己の生成した共有鍵を有効と決定す
る判定手段と、を備えることを特徴とする認証機能付き鍵配送システム
における受信側端末。