JP2956709B2 - 公開鍵生成方法及び装置 - Google Patents

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、複数の端末と端末情報発行センターからな
るシステムにおいて、各端末が、センターの公開情報と
相手の端末の公開情報を用いて、相手端末の公開鍵を生
成する方式およびシステムに関する。

従来の技術 公開鍵を利用した相手認証、暗号通信、鍵配送、およ
び署名などのプロトコル（以下では単に公開鍵暗号系プ
ロトコルと称する）は、大規模のネットワークに適して
いるため、近年特に注目を浴びている。しかし、公開鍵
暗号系プロトコルでは、公開鍵の完全性、すなわち、そ
の公開鍵がまさに当該の端末のものであるということが
保証されなければならない。公開鍵の完全性を保証する
手段として、信頼のおけるセンターが公開鍵を管理する
方法と、各端末がそれぞれの公開鍵を自分で管理し、暗
号プロトコルの開始に先だって、相手端末から公開鍵を
配送してもらう方法がある。

前者は、端末数の多い大規模ネットワークに使用する
場合に、センターへのアクセスが集中し、センターの鍵
管理の負担が大きくなるという問題点がある。

一方、後者は、センターの負担が軽減される反面、そ
の公開鍵の完全性を保証するために、センター発行の署
名情報（証明書と呼ばれることがある）を必要とし、端
末はその署名情報を用いて公開鍵の完全性を確認しなけ
ればならない。

以上の方法とは別に、信頼のおけるセンターが各端末
の秘密鍵と公開可能な数値（以下では単に公開値と称す
る。この公開値は秘密鍵に対応する公開鍵そのものでは
ない）を端末情報として発行し、この端末情報を用いて
相手認証を行なうプロトコルが提案されている。ベスに
より提案されたこの方法は、公開値の完全性確認を単独
では行わず、相手端末を認証する時に同時に公開値の完
全性確認を行なう方式とみることができる。ただし、こ
の方法では相手認証プロトコルのみに限定される。

ここでは、まずセンター発行の署名情報を用いて公開
鍵の完全性を確認する方法の一例としてエルガマル署名
法を用いた方法について述べ、次に、ベスの提案した相
手認証の方式について述べる、なお、エルガマル署名法
は離散対数問題の難しさをもとにした署名法であり、
“ア パブリック キー クリプトシステム アンド
ア シグニチャスキーム ベイスト オン ディスクリ
ート ロガリズムズ”アイイーイーイー トランザクシ
ョン オン インフォメイション セオリ（T.E.EIGama
l:“A public key cryptosystem and a signature sche
me based on discrete logarithms",IEEE Trans. on I
T,vol.IT−31.NO.4 PP469−472）に詳しい。また、ベス
の方法は、“エフィシェント ゼロナレッジ アイデン
ティフィケーション スキーム フォ スマートカー
ド”ユーロクリプト'88（Beth:“Efficient zero−know
ledge identification scheme for smart cards"Lect N
otes Comput Sci VOL330 P77−84 '88）に詳しい。た
だし、これは周知技術であるため、その詳細な説明は省
略する。

［従来例１］ ここでは、各端末が、各自の公開鍵を管理し、その公
開鍵の完全性をセンター発行の署名情報で保証する方法
について述べる。なお完全性の確認された公開鍵を用い
て、任意の公開鍵暗号系プロトコルを実現できる。以下
では、１）システム初期設定、２）端末の鍵生成、３）
署名情報の発行請求、４）署名情報の発行、５）公開鍵
の完全性確認の各ステップの順に述べる。なお、１）か
ら４）の各ステップは端末がこのシステムに加入する時
に一度だけ実行されるステップである。

１）システム初期設定 センターは以下の手順でシステムの初期設定を行な
う。

［１］大きな素数もしくは該素数のべき乗値ｑと、GF
（ｑ）の原始元ｇを公開する。

ここで、GF（ｑ）はｑを法とする有限体を示す。

［２］センターの秘密鍵Ｘを決め、 Ｙ≡g^x （mod ｑ） （1.1） で定まるＹをセンターの公開鍵として公開する。ここで
（mod ｑ）はｑで除したときの剰余の算出を示す。ま
た式（1.1）において、入力値Ｘから出力値Ｙを求める
ことは容易であるが、出力値Ｙから入力値Ｘを求めるこ
とは離散対数問題に依存し困難である。

２）端末の鍵生成 端末ｉは秘密鍵xiを決定し、xiに対応する公開鍵 yi＝g^xi （mod ｑ） （1.2） を決定する。

３）署名情報の発行請求 端末ｉは、公開鍵yiと端末ｉの識別情報IDiを、端末
の公開情報として、センターに通知し、センターの署名
情報の発行を請求する。

なお、識別情報は名前や住所などの端末固有の公開情
報である。以降の変数における添字ｉは任意の端末ｉ用
の変数であることを示す。

４）署名情報の発行 センターは、端末ｉから受け取った端末の公開情報
（yi,IDi）に対して、エルガマル署名法を使ってセンタ
ー署名情報を発行する。センターによる署名情報の発行
手順は以下のとおりである。

［１］センターはなんらかの手段で端末ｉの正当性を確
認する。

［２］乱数kiを発生する。

［３］エルガマル署名法を用いて、端末ｉの公開情報
（識別情報IDiと公開鍵yi）に対する署名情報（ti,ui） ti≡g^ki （mod ｑ） （1.3） ui≡（yi‖IDi−Ｘ×ti）/ki （mod φ）（1.4）
（‘‖’はデータの連結を示す。） を生成し、端末ｉに発行する。

ここでφは、ｑのオイレル（EULER）の関数（φ
（ｑ）、はｑと互いに素かつｑ以下の自然数の個数を表
す。もし、ｑ＝２ならばφ（ｑ）＝１であり、ｑ＝３な
らばφ（ｑ）＝２である。）値を示す。ここにオイレル
の関数については、例えば“暗号と情報セキュリティ”
の第１章：基礎数学（照晃堂）に詳しいが、今本実施例
に関係する性質について少し説明する。全ての自然数
ｍ、ｎについて、m^φ⁽ⁿ⁾−ｍ≡０（mod n）。なお、発
行される署名情報（ti,ui）は公開可能な情報であり、
端末へは磁気カードなどを媒体として発行される。

５）公開鍵の完全性確認 ここでは、端末ｊが端末ｉの公開鍵の完全性を確認す
る場合について述べる。

［１］端末ｊは、端末ｉより端末ｉの公開情報（yi,ID
i）とセンター発行の署名情報（ti,ui）を受け取る。

［２］端末ｊは、受け取った端末ｉの公開情報（yi,ID
i）とセンター発行の署名情報（ti,ui）が ｇ^{（yi‖IDi）}≡Y^ti×ti^ui（mod ｑ） （1.5） を満たすか否か検査し、式（1.5）が成立する場合に
は、公開鍵yiがまさに端末ｉの公開鍵であると認識す
る。

この従来例によれば、次の（１）〜（４）に列挙のよ
うな特徴がある。

（１）各端末が各自の秘密鍵ｘと公開鍵yiを生成し、端
末の公開情報（公開鍵yiと識別情報IDi） に対する署名情報をセンターが発行する。

（２）各端末は、相手端末の公開情報（yi,IDi）とセン
ター発行の署名情報（ti,ui）を用いて、相手端末の公
開鍵の完全性を確認する。

（３）完全性の確認された公開鍵を用いて任意の離散対
数演算ベースの公開鍵暗号系プロトコルを構成できる。

（４）公開鍵の完全性確認に、modq上のべき乗剰余演算
を３回行う必要がある。

［従来法２］ ベスが提案した相手認証プロトコルは、センターの公
開情報と、端末の公開情報（端末の識別情報とセンター
発行の公開値）を用いて相手の認証を行なう方式があ
る。なお、端末の秘密鍵と公開値は、センターが発行す
る。以下では、上述のベスの文献において推奨されてい
る方式について、１）システム初期設定、２）端末情報
の発行請求、３）端末情報の発行、４）相手端末の認証
各ステップの順に述べるが、１）から３）の各ステップ
は端末がこのシステムに加入する時に一度だけ実行され
るステップである。

１）システム初期設定 センターは以下の手順でシステムを構成する。

［１］大きな素数ｐまたは該素数のべき乗値ｑとGF
（ｑ）の原始元ｇを公開する。

［２］センターの秘密鍵Ｘを決め、 Ｙ≡g^x （mod q） （2.1） を公開する。

２）端末情報の発行請求 端末ｉは、識別情報IDiにセンターを通知し、端末情
報として端末の秘密鍵xiと公開値yiの発行を請求する。

３）端末情報の発行 センターは、端末情報の発行を以下の手順で行なう。

［１］センターはなんらかの手段で端末ｉの正当性を確
認する。

［２］乱数kiを発生する。

［３］エルガマル署名法を用いて、識別情報IDiに対す
る署名情報（yi,xi） yi≡g^ki（mod ｑ） （2.2） xi≡（IDi−Ｘ×yi）/ki （mod φ） （2.3） を生成し、xiは端末の秘密鍵として、yiは端末の公開値
として、端末ｉに発行する。

なお、端末の秘密鍵xiは、ICカードなどの物理的に安
全なメモリを媒体として発行される。

４）相手端末の認証 端末ｉが端末ｊに自分の正当性を証明する場合につい
て説明する。

［１］端末ｉは、端末ｊに端末の公開情報として、識別
情報IDi及び端末の公開値yiを送付する。

［２］端末ｊは受け取った（IDi,yi）を用いて ρｉ≡Y^yi（mod ｑ） （2.4） を得る。

［３］端末ｉは、乱数Riを用いて C1≡yi^-Ri（mod ｑ） （2.5） を計算し、端末ｊに送付する。

［４］端末ｊは、乱数Ｅを端末ｉに送付する。

［５］端末ｉは、自身の秘密鍵xiを用いて、 C2≡Ｅ×xi＋Ri（mod φ） （2.6） を計算し、端末ｊに送付する。

［６］端末ｊは、ｖ≡Ｅ×IDi （mod φ）を求め ρ^Ｅ×y^C2×C1≡g^V（mod ｑ）（2.7）が成立するか
否かを検査し、式（2.7）が成り立つ場合に、相手端末
が、まさに端末ｉであると認識する。

この従来例によれば、次の（１）〜（４）に列挙する
特徴がある。

（１）センターが、各端末に対して、各端末の秘密鍵と
端末の公開値を生成する。

（２）各端末は、センターの公開情報と相手端末の公開
情報（公開値yiと識別情報IDi）を用いて、相手端末の
認証を行う。

（３）任意の離散対数演算ベースの公開鍵暗号系プロト
コルを構成できない。

（４）相手認証時に、modq上のべき乗剰余演算を３回行
う必要がある。

発明が解決しようとする課題 しかしながら、上記従来例１によれば、相手端末の公
開鍵の完全性は、相手端末の公開情報（yi,IDi）とセン
ター発行の署名情報（ti,ui）を用いなければ確認でき
ないし、また、その確認に（mod ｑ）上のべき乗剰余
演算を３回も行なわねばならず、計算量が大変多い。

一方、従来例２によれば、任意の離散対数演算ベース
の公開鍵暗号系プロトコルを構成できないし、相手認証
時に、（mod ｑ）上のべき乗剰余演算を３回行わねば
ならず、やはり計算量が多く煩瑣である。

本発明は、以上の課題に鑑み、生成された公開鍵を用
いて任意の離散対数演算ベースの公開暗号系プロトコル
を構成を構成できると共に、公開鍵の完全性の確認をあ
えて行う必要がなく、また、べき乗剰余演算の計算量を
少なくすることのできる公開鍵生成方式および公開鍵生
成システムを提案することを目的としてなされたもので
ある。

課題を解決するための手段 上記目的を達成するため、本発明は、固有の識別情報
を有する第１の端末と第２の端末とこれらを接続するネ
ットワークと、端末情報発行センターで構成される公開
鍵生成方法であって、 前記端末情報発行センターは、一方向性関数部Ｆと、
端末情報発行センターの秘密鍵Ｘを格納する秘密鍵格納
部と、公開鍵生成関数Ｐを格納した生成関数格納部とを
備え、 センターの秘密鍵Ｘを前記一方向性関数部Ｆに入力し
たときの出力値Ｙ＝Ｆ（Ｘ）と公開鍵生成関数Ｐとを端
末情報発行センターの公開情報として通信路を介して前
記第１、第２の端末に通知し、 前記第１の端末は、第１の端末の識別情報ｉを端末情
報発行センターに通信路を介して通知し、 前記端末情報発行センターは、前記に加え、乱数発生
部と、端末の秘密鍵を生成するための秘密鍵生成部Ｓを
備え、 発生した乱数値ｋを前記一方向性関数部Ｆに入力しそ
の出力値ｙ＝ｆ（ｋ）を前記第１の端末の公開値として
求め、さらに、センターの秘密鍵Ｘと、前記第１の端末
の公開鍵ｙと、乱数値ｋと、第１の端末から通知された
第１の端末の識別子ｉを前記秘密鍵生成部Ｓに入力しそ
の出力値ｘ ｘ＝Ｓ（X,y,k,i） を第１の端末の秘密鍵として求め、以上のｘとｙを第１
の端末に通知し、 前記第１の端末は、端末情報発行センターから受け取
った第１の端末の秘密鍵ｘを格納する秘密鍵格納部を備
え、第２の端末に前記第１の端末の公開値ｙと第１の端
末の識別情報ｉを通信路を介して第２の端末に通知し、 前記第２の端末は、センターから公開鍵情報として送
られてくる公開鍵生成関数Ｐを格納する生成関数格納部
を備え、その公開鍵生成関数Ｐに、前記第１の端末の公
開値ｙと第１の端末の識別情報ｉと前記端末情報発行セ
ンターの公開鍵Ｙを入力しその出力値Ｃ Ｃ＝Ｐ（Y,y,i） を第１の端末の公開鍵として求め、 これに続く第１、第２の端末間の通信路を介した公開
鍵暗号を利用した秘密通信または署名通信を、前記第１
の端末の秘密鍵ｘと前記第２の端末が生成した前記第１
の端末の公開鍵Ｃを用いて行なうようにしたことを特徴
としている。

ここで、一方向性関数部における関数Ｆを、素数もし
くは素数のべき乗値ｑと、前記ｑを法とする剰余体の原
始元ｇを用い、入力値ｕをべきとし、前記ｑを法とする
前記ｇのべき乗剰余値ｖ ｖ＝Ｆ（ｕ）＝g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
たとき、前記秘密鍵生成部における関数Ｓを、前記φを
法とし、センターの秘密鍵Ｘと第１の端末公開鍵ｙの積
と、センターの生成した乱数値ｋと第１の端末の識別情
報ｉの積との和 ｘ＝Ｓ（X,y,k,i） ＝Ｘ×ｙ＋ｋ×ｉ mod φ を出力する関数とし、前記公開鍵生成部における関数Ｐ
を、前記ｑを法とし、前記第１の端末の公開値ｙをべき
とした前記センターの公開情報Ｙのべき乗剰余値と、前
記第１の端末の識別情報ｉをべきとした前記第１の端末
の公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Y,y,i） ≡（Y^y）×（yⁱ）mod q を出力する関数とするようにしたことを特徴としてい
る。

また、ここで前記一方向性関数部における関数Ｆを、
素数もしくは素数のべき乗値ｑと、前記ｑを法とする剰
余体の原始元ｇを用いて、入力値ｕをべきとし、前記ｑ
を法とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）≡g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
たとき、前記秘密鍵生成部における関数Ｓを、前記φを
法とし、前記第１の端末の公開値ｙと前記第１の端末の
識別情報ｉをある公開の関数Ｈに入力したときに得られ
る出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セ
ンターの生成した乱数値ｋとの和 ｘ＝Ｓ（X,y,k,i） ＝Ｈ（y,i）×Ｘ＋ｋ mod φ ＝ｈ×Ｘ＋ｋ mod φ を出力する関数とし、前記公開鍵生成部における関数Ｐ
を、前記ｑを法とし、前記第１の端末の公開値ｙと前記
第１の端末の識別情報ｉを前記関数Ｈに入力したときに
得られる出力値ｈをべきとした前記センターの公開情報
Ｙのべき乗剰余値と、前記第１の端末の公開値ｙとの積 Ｃ＝Ｐ（Y,y,i） ＝（Ｙ^Ｈ（y,i））×ｙ mod q ＝（Y^h）×ｙ mod q を出力する関数とするようにしたことを特徴としてい
る。

また、ここで第１の端末は、前記に加え前記一方向性
関数部Ｆを備え、前記第１の端末の秘密鍵ｘを前記一方
向性関数部Ｆに入力した出力値Ｖを第１の端末の検証用
公開鍵として求め、第２の端末にこの検証用公開鍵Ｖと
前記第１の端末の公開値ｙと第１の端末の識別情報ｉを
前記ネットワークを介して第２の端末に通知し、 第２の端末は公開鍵検証手段を備え第１の端末の公開
鍵Ｃを生成した後、生成されたＣと、第１の端末から通
知された検証用公開鍵Ｖを比較し、一致するか否かを確
認し、一致する場合、これに続く第１、第２の端末間の
公開鍵暗号通信または認証通信を、前記第１の端末の秘
密鍵ｘと前記第２の端末が生成した前記第１の端末の公
開鍵Ｃを用いて行なうようにしたことを特徴としてい
る。

本発明は上記目的を達成するために、固有の識別情報
を有する第１の端末と第２の端末とこれらを接続するネ
ットワークと、端末情報発行センターで構成される公開
鍵生成装置であって、前記端末情報発行センターは、一
方向性関数処理手段Ｆと、端末情報発行センターの秘密
鍵Ｘを格納する秘密鍵格納手段と、公開鍵生成関数Ｐを
格納した生成関数格納手段とを備え、センターの秘密鍵
Ｘを前記一方向性関数処理手段Ｆに入力した出力値Ｙ＝
（Ｘ）と公開鍵生成関数Ｐとを端末情報発行センターの
公開鍵として通信路を介して前記第１、２の端末に通知
し、前記第１の端末は、第１の端末の識別情報ｉを端末
情報発行センターに通信路を介して通知し、前記端末情
報発行センターは、前記に加え乱数発生手段と、端末の
秘密鍵を生成するための秘密鍵生成手段Ｓを備え、発生
した乱数値ｋを前記一方向性関数処理手段Ｆに入力しそ
の出力値ｙ＝ｆ（ｋ）を前記第１の端末の公開値として
求め、さらに、センターの秘密鍵Ｘと、前記第１の端末
の公開値ｙと、乱数値ｋと、第１の端末から通知された
第１の端末の識別個ｉを前記秘密鍵生成手段Ｓに入力し
その出力値ｘ ｘ＝Ｓ（X,y,k,i） を第１の端末の秘密鍵として求め、以上のｘとｙを第１
の端末に通知し、前記第１の端末は、端末情報発行セン
ターから受け取った第１の端末の秘密鍵ｘを格納する秘
密鍵格納手段を備え、第２の端末に前記第１の端末の公
開値ｙと第１の端末の識別情報ｉを通信路を介して第２
の端末に通知し、前記第２の端末は、センターから公開
情報として送られてくる公開鍵生成関数Ｐを格納する生
成関数格納手段を備え、その公開鍵生成関数Ｐに前記第
１の端末の公開値ｙと第１の端末の識別情報ｉと前記端
末情報発行センターの公開鍵Ｙを入力しその出力値Ｃ Ｃ＝Ｐ（Y,y,i） を第１の端末の公開鍵として求め、これに続く第１、第
２の端末間の通信路を介した公開鍵暗号通信または署名
通信を、前記第１の端末の秘密鍵ｘと前記第２の端末が
生成した前記第１の公開鍵Ｃを用いて行なうようにした
ことを特徴としている。

ここで、前記一方向性関数処理手段における関数Ｆ
を、素数もしくは素数のべき乗値ｑと、前記ｑを法とす
る剰余体の原始元ｇを用い、入力値ｕをべきとし、前記
ｑを法とする前記ｇのべき乗剰余値ｖ ｖ＝Ｆ（ｕ）＝g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
たとき、前記秘密鍵生成手段における関数Ｓを前記φを
法とし、センターの秘密鍵Ｘと第１の端末の公開値ｙの
積と、センターの生成した乱数値ｋと第１の端末の識別
情報ｉの積との和 ｘ＝Ｓ（X,y,k,i） ＝Ｘ×ｙ＋ｋ×ｉ mod φ を出力する関数とし、前記公開鍵生成手段における関数
Ｐを、前記ｑを法とし、前記第１の端末の公開値ｙをべ
きとした前記センターの公開情報Ｙのべき乗剰余値と、
前記第１の端末の識別情報ｉをべきとした前記第１の端
末の公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Y,y,i） ＝（Y^y）×（yⁱ）mod q を出力する関数とするようにしたことを特徴としてい
る。

また、ここで前記一方向性関数処理手段における関数
Ｆを、素数もしくは素数のべき乗値ｑと、前記ｑを法と
する剰余体の原始元ｇを用いて、入力値ｕをべきとし、
前記ｑを法とする前記ｇのべし乗剰余値 ｖ＝Ｆ（ｕ）＝g^umod q を出力する関数とし、φを前記ｑのオイラー関数値とし
たとき、前記鍵生成手段における関数Ｓを、前記φを法
とし、前記第１の端末の公開値ｙと前記第１の端末の識
別情報ｉをある公開の関数Ｈに入力したときに得られる
出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セン
ターの生成した乱数値ｋとの和 ｘ＝Ｓ（X,y,k,i） ＝Ｈ（y,i）×Ｘ＋k modφ ＝ｈ×Ｘ＋k modφ を出力する関数とし、前記公開鍵生成手段における関数
Ｐを、前記ｑを法とし、前記第１の端末の公開値ｙと前
記第１の端末の識別情報ｉを前記関数Ｈに入力したとき
に得られる出力値ｈをべきとした前記センターの公開情
報Ｙのべき乗剰余値と、前記第１の端末の公開値ｙとの
積 Ｃ＝Ｐ（Y,y,i） ＝（Ｙ^Ｈ（Y,I））×ymod q （Y^h）×ｙ mod q を出力する関数とするようにしたことを特徴としてい
る。

また、ここで第１の端末は、前記に加え前記一方向性
関数手段Ｆを備え、前記第１の端末の秘密鍵ｘを前記一
方向性関数部Ｆに入力した出力値Ｖを第１の端末の検証
用公開鍵として求め、第２の端末にこの検証用公開鍵Ｖ
と前記鍵第１の端末の公開値ｙと第１の端末の識別情報
ｉを通信路を介して第２の端末に通知し、 第２の端末は、公開鍵検証手段を備え、第１の端末の
公開鍵Ｃを生成した後、生成されたＣと、第１の端末か
ら通知された検証用公開鍵Ｖを比較し、一致するか否か
を確認し、一致する場合、これに続く第１、第２の端末
間の公開鍵暗号通信または認証通信を、前記第１の端末
の秘密鍵ｘと前記第２の端末が生成した前記第１の端末
の公開鍵Ｃを用いて行なうようにしたことを特徴として
いる。

作用 上記構成により、本発明による公開鍵生成方法及び公
開鍵生成装置では、第２の端末は、センターの公開鍵Ｙ
と第１の端末の公開値ｙ及び識別情報ｉを用いて第１の
端末の公開鍵Ｃを生成する。このうち第１の端末の公開
値ｙはセンターの秘密鍵Ｘを用いないかぎり、都合の良
いように改竄や変更ができない情報である。このことに
より、第２の端末で生成した第１の端末の公開鍵Ｃの完
全性は自動的に保証され、あえて独立に公開鍵の完全性
を確認する必要はない。従って、公開鍵の完全性の確認
のために本来必要であった、公開鍵に対するセンターの
署名情報の転送が不要となり、通信効率が改善されると
ともに、暗号通信や署名通信を行なう前に、本来必要で
あった公開鍵の完全性確認のステップを省略することが
でき、このステップの省略により、従来に比べて処理が
高速になる。

また、請求項２及び５においては、第２の端末が、第
１の端末の公開鍵の生成に必要な計算量が、べき乗剰余
演算２回となる。また、請求項３及び６においては、さ
らに公開鍵の生成に必要な計算量が、べき乗剰余演算１
回となる。

また、請求項４及び請求項８においては、公開鍵の完
全性を独立に確認することができる。

実 施 例 以下、本発明を実施例に基づいて説明する。

（第１実施例） 第１図は、本発明の第１実施例のシステム構成の概略
図である。本図において、10は端末情報発行センターで
あり、20は第１の端末であり、30は第２の端末であり、
40はセンターと端末間で設定されている通信路であり、
50は第１の端末と第２の端末間で設定されている通信路
である。

第２図は、本実施例の鍵生成方式における、１）シス
テム初期設定ステップ、２）端末情報請求ステップ、
３）端末情報発行ステップの各ステップの概略を示し、
第３図は、４）端末情報転送ステップ、５）公開鍵生成
ステップの各ステップの概略図である。

次に、本実施例の鍵生成方式の動作について第２図及
び第３図を使用して、詳細に説明する。

１）システム初期設定ステップ センターは以下の手順でシステムを構成する。

［１］大きな素数または素数のべき乗値ｑとGF（ｑ）の
原始元ｇを生成し、ｑを11の法格納部に、ｇを12の原始
根格納部に格納する。

［２］センターの秘密鍵Ｘを決定し、13の秘密鍵格納部
に格納し、14の一方向性関数部Ｆにセンターの秘密鍵Ｘ
を入力して Ｙ≡Ｆ（Ｘ）≡g^x （mod q） （１） を生成する。この上で、（q,g,Y）と第２図に18で示す
格納部に格納されている公開鍵生成ステップにおいて使
用する公開鍵生成関数Ｐをセンターの公開情報として各
端末に公開する。

２）端末情報請求ステップ 端末ｉは21の識別情報格納部に格納された端末ｉ固有
の識別情報IDiを41の端末情報の請求用の通信路を通じ
てセンターに通知し、端末情報の発行を請求する。な
お、この場合、41の端末情報の請求用の通信路は、相手
の正当性を確認できる通信路（認証可能な通信路）であ
る。

３）端末情報発行ステップ 端末ｉからの端末情報発行の請求に対して、センター
は端末情報の発行を以下の手順で行なう。

［１］センターは端末ｉの正当性を確認する。

［２］15の乱数生成装置を用いて乱数kiを発生する。

［３］乱数kiを14の一方向性関数に入力して端末の公開
値 yi≡g^ki （mod ｑ） （２） を生成し、センターの秘密鍵Ｘと端末ｉの公開値yiと乱
数kiと端末ｉの識別情報IDiを秘密鍵生成部16の第１の
秘密鍵生成関数Ｓ保有部に入力して端末の秘密鍵 xi≡Ｓ（X,yi,ki,IDi）≡Ｘ×yi＋ki×IDi （mod
φ） （３） を生成し、42の端末情報発行用通信路を通じて端末ｉに
発行する。ここでφはｑのオイラーの関数の値である。

なお、42の端末情報発行用通信路は、外部に対して安
全な通信路とする。例えばICカードなどの物理的に安全
なメモリを媒体とする。

以上のステップは端末がこのシステムに加入するとき
に一度だけ実行されるステップである。

４）端末公開情報転送ステップ 端末ｉは、端末ｊに、21の格納部に格納された識別情
報IDiと22の格納部格納されたセンター発行の端末ｉの
公開値yiを、51の端末情報転送用通信路を通じて送付す
る。

５）公開鍵生成ステップ 端末ｊは、受け取った（IDi,yi）を、31の第１の公開
鍵生成関数Ｐに入力して、端末ｉの公開鍵 Pi≡Ｐ（Y,yi,IDi）≡（Y^yi）×（yi^IDi） （mod
ｑ） （４） を生成する。

このようにして、センターの公開情報と端末の公開情
報を用いて、相手端末の公開鍵を生成する。なお上述の
手順で、相手端末の公開鍵を生成したのち、次のステッ
プとして、その公開鍵を用いて、さまざまな公開鍵暗号
系プロトコルを作製の上実施できる。ここでは、一例と
して相手認証プロトコルの例について説明するが、他の
公開鍵を用いた暗号プロトコルであってもよいのは勿論
である。

ここで示す相手認証プロトコルは、チャウムと木崎に
よって提案された相手認証方式をもとにし構成される例
であり、第６図にその概略を示す。なお、チャウムの木
崎が提案した認証方式については“アン インプルーブ
ド プロトコル フォー デモンストレーティング ポ
ゼション オブ ディスクリート ロガリズムズ アン
ド サム ジェネラリゼイションズ”ユーロクリプト87
（D.Chaum:“An improved protocol for demonstratin
g possession of discrete logarithms and some gener
alizations",EUROCRYPT87）、または、“ア ノート
オン ゼロノレジ プルーフ フォー ザ ディスクリ
ート ロガリズム プロブレム”、ザ トランザクショ
ン オブ ザ アイイーアイシーイー1988（K.Kizaki:
“A note on zero−knowledge proof for the discrete
logarithm problem",The Trans.of the IEICE,Vol.E7
1,No.1,January,1988）に詳しい。

端末ｉが端末ｊに自分の正当性を証明する場合につい
て説明する。なお端末ｊは、既に端末ｉの公開鍵Piを上
述の手順で生成しているものとする。

６）相手認証ステップ ［１］端末ｉは、乱数Riを発生し、 C1≡g^Ri （mod ｑ） を計算し、端末ｊに送付する。

［２］端末ｊは、乱数Ｅを端末ｉに送付する。

［３］端末ｉは、自身の秘密鍵xiを用いて、 C2≡Ｅ×xi＋Ri （mod φ） を計算し、端末ｊに送付する。

［４］端末ｊは、検証式 g^C2≡（Pi^E）×C1 （mod ｑ） が成立するか否かを検査し、検証式が成立する場合に
は、相手端末がまさに端末ｉであると認識する。

本第１実施例の特徴は以下のとおりである。

（１）センターが、各端末に対して、各端末の秘密鍵ｘ
と端末の公開値yi（公開鍵ではない）を生成する。

（２）各端末は、センターの公開情報Ｙと相手端末の公
開情報（公開値yiと識別情報IDi）を用いて、相手端末
の公開鍵Piを生成する。

（３）生成された公開鍵Piを用いて、任意の離散対数演
算ベースの公開鍵暗号系プロトコルを構成できる。

（４）公開鍵の生成に必要となる計算量は、mod ｑ上
のべき乗剰余演算２回である。なお、端末ｉが自身の秘
密鍵xiを用いて、自分の公開鍵 Vi≡g^xi （mod ｑ） を求め、端末ｊに送付し、端末ｊはViを第１の公開鍵生
成関数Ｐで求めた公開鍵Piと比較することによって公開
鍵の完全性を単独に確認することもできる。

また、第１の秘密鍵の生成関数を次式の関数に置き換
えてもよい。

xi≡Ｓ（X,yi,ki,IDi）≡Ｘ×IDi＋yi×ki （mod
φ） この時、第１の公開鍵生成関数は、 Pi≡Ｐ（Y,yi,IDi）≡（Y^IDi）×（yi^yi） （mod
ｑ）となる。

第４図は本発明の第２の実施例により鍵生成方式にお
ける、１）システム初期設定ステップ、２）端末情報請
求ステップ、３）端末情報発行ステップの各ステップの
概略を示し、第５図は、４）端末情報転送ステップ、
５）公開鍵生成ステップの各ステップの概略を示してい
る。

（第２実施例） 次に、本発明の第２実施例の鍵生成方式について第４
図及び第５図を使用してその動作、内容を詳細に説明す
る。なお、本実施例は、第１実施例にハッシュ（hash）
関数を導入することにより、公開鍵生成における計算量
を削減せんとするものである。ここでハッシュ関数と
は、複数のデータに対してそれらに依存した圧縮データ
を出力する関数のことである。具体的には、１又は０よ
りなる偶数個の入力データを先頭より順に２個づつ区切
って、各区切った２個のデータの排他的な論理和をとる
ことにより、データの個数を半分にするような関数であ
る。ここに、ハッシュ関数の計算量は、べき乗剰余演算
に比べて極めて小ないものである。

１）システム処理設定ステップ センターは以下の手順でシステムを構成する。

［１］大きな素数または素数のべき乗値ｑとGF（ｑ）の
原始元ｇを生成し、ｑを11の法格納部に格納し、ｇを12
の原始元格納部に格納する。

［２］センターの秘密鍵Ｘを決定し、13の秘密鍵格納部
に格納し、14の一方向性関数Ｆにセンターの秘密鍵Ｘを
入力して Ｙ≡Ｆ（Ｘ）≡g^x （mod q） （５） を生成する。

［３］ハッシュ関数（ ）を決定し、公開する。センタ
ーの公開情報として（q,g,Y）と、ハッシュ関数（ ）
と、第４図に18で示す格納部に格納されている、公開鍵
生成ステップにおいて使用する公開鍵生成関数Ｐを各端
末に公開する。

２）端末情報請求ステップ 端末ｉは21の識別情報格納部に格納された端末ｉ固有
の識別情報IDiを41の端末情報の請求用の通信路を通じ
て、センターに通知し、端末情報の発行を請求する。な
お、41の端末情報の請求用の通信路は、相手端末の正当
性を確認できる通信路（認証可能な通信路）である。

３）端末情報発行ステップ 端末ｉからの端末情報発行の請求に対して、センター
は端末情報の発行を以下の手順で行なう。

［１］センターは端末ｉの正当性を確認する。

［２］15の乱数生成装置を用いて乱数kiを発生する。

［３］乱数kiを14の一方向性関数に入力して端末の公開
値 yi≡g^ki （mod ｑ） （６） を生成し、識別情報IDiと乱数kiとセンターの秘密鍵Ｘ
と端末の公開値yiを17の第２の秘密鍵生成関数Ｓに入力
して端末の秘密鍵 xi≡Ｓ（X,yi,ki,IDi）≡hash（IDi,yi）×Ｘ＋ki （mod φ） ≡Ｘ×hi＋ki （mod φ）
（７） を生成し、42の端末情報発行用通信路を通じて端末ｉに
発行する。ここでφはオイレルの関数の値である。

なお、42の端末情報発行用通信路は、外部に対して安
全な通信路とする。例えばICカードなどの物理的に安全
なメモリを媒体として発行される。

以上のステップは、端末がこのシステムに加入すると
きに一度だけ実行されるステップである。

４）端末公開情報転送ステップ 端末ｉは、端末ｊに、21の識別情報格納部に格納され
た識別情報IDiの22の格納部格納されたセンター発行の
端末ｉの公開値yiを、51の端末情報転送用通信路を通じ
て送付する。

５）公開鍵生成ステップ 端末ｉは、受け取った（IDi,yi）を、32の第２の公開
鍵生成関数Ｐに入力して、端末の公開鍵 Pi≡Ｐ（yi,IDi,Y）≡Ｙ^{hash（IDi,yi）}×yi≡
（Y^hi） ×yi（mod ｑ） （８） を生成する。

このようにして、センターの公開情報と端末の公開情
報を用いて、相手端末の公開鍵を生成する。なお上述の
手順で、相手端末の公開鍵を生成したのち、第１実施例
と同様に、次のステップとして、その公開鍵を用いて、
さまざまな公開鍵暗号系プロトコルを作成の上、秘密通
信号が実施される。

以上の第２の実施例における特徴は、第１の実施例の
（１）〜（４）の特徴に加え、（５）公開鍵生成までの
計算量が、べき乗剰余演算１回とハッシュ関数の演算１
回で済むという点もある。

なお、端末ｉが自身の秘密鍵xiを用いて、自分の公開
鍵 Vi≡g^xi （mod ｑ） を求め、端末ｊに送付し、端末ｊは、このViと、第２の
公開鍵生成関数Ｐを用いて生成した公開鍵Piを比較する
ことによって公開鍵の完全性を単独に確認することもで
きる。

また、第２の秘密鍵の生成関数を次式の関数に置き換
えてもよい。

xi≡Ｓ（X,yi,ki,IDi）≡Ｘ＋hash（IDi,yi）×ki ≡Ｘ＋hi×ki （mod φ） このとき、第２の公開鍵生成関数は、 Pi≡Ｐ（Y,yi,IDi）≡Ｙ×yi^{hash（IDi,yi）} ≡Ｙ×（yi^hi） （mod ｑ） となる。

発明の効果 以上説明してきたように、本発明においては、第２の
端末は、第１の端末との間でネットワークを介した公開
鍵暗号通信、または署名通信を行なう際に必要となる第
１の公開鍵を、端末情報発行センターの公開鍵Ｙと、第
１の端末の公開値ｙと識別情報ｉを用いて、生成でき
る。

また、端末情報発行センターは、自己のみが知りうる
センターの秘密鍵Ｘを用いて、第１の端末の秘密鍵ｘ
と、この第１の端末の秘密鍵ｘに対応する第１の端末の
公開鍵Ｃを生成するために使用する第１の端末の公開値
ｙを発行し、第２の端末が、端末情報発行センターの公
開鍵Ｙと、第１の端末から通知された第１の端末の公開
値ｙと、識別情報を用いて、第１の端末の公開鍵Ｃを生
成する構成により、端末情報発行センター以外は、例え
ば第１の端末用の偽の公開鍵を生成するような偽の第１
の端末の公開鍵を発行することは事実上不可能となる。
このため、従来独立に必要であった、公開鍵の完全性の
確認、すなわち、相手端末の公開鍵が本物か否かの確認
手順は不必要となり、処理効率が改善される。また、従
来例１では必要であった、公開鍵の完全性を確認するた
めの署名情報を転送する必要がなくなり、通信効率が改
善される。

また、端末情報発行センターの公開鍵から端末情報発
行センターの秘密鍵を解読する攻撃は、一方向性関数の
逆演算を求める攻撃に帰着される。従って、一方向性関
数Ｆを、要求される安全性のレベルや、その時点での解
読攻撃に対する技術レベルなどに応じて、選択すること
ができる。

また、第２の端末は、第１の端末から通知された、検
証用の公開鍵Ｖと、第１の端末から通知された第１の端
末の公開値ｙと第１の端末の識別情報ｉと端末情報発行
センターの公開鍵Ｙを用いて生成した第１の端末の公開
鍵Ｐを比較することで公開鍵の完全性を独立に確認でき
る。

また、公開鍵の生成に必要な計算量が、べき乗剰余２
回に、さらにハッシュ関数を導入することによって１回
に削減することができる。

【図面の簡単な説明】

第１図は、本発明の第１実施例による鍵生成方式のシス
テムの構成図である。 第２図は、本発明の第１実施例の構成図（１）である。 第３図は、本発明の第１実施例の構成図（２）である。 第４図は、本発明の第２実施例の構成図（１）である。 第５図は、本発明の第２実施例の構成図（２）である。 第６図は、従来の技術による相手認証プロトコルであ
る。 10……端末情報発行センター、 11……法格納部、 12……原始元格納部、 13……秘密鍵格納部、 14……一方向性関数、 15……乱数生成装置、 16……第１の秘密鍵生成関数、 17……第２の秘密鍵生成関数、 20……第１の端末、 21……識別情報格納部。 22……公開値格納部、 30……第２の端末、 31……第１の公開鍵生成関数、 32……第２の公開鍵生成関数、 40……センター・端末間通信路、 41……端末情報発行請求用通信路、 42……端末情報発行用通信路、 50……第１の端末・第２の端末間通信路、 51……端末情報転送用通信路、

───────────────────────────────────────────────────── フロントページの続き (72)発明者 館林 誠 大阪府門真市大字門真1006番地 松下電 器産業株式会社内 (56)参考文献 電子情報通信学会技術研究報告 ｖｏ ｌ．90 Ｎｏ．31 ＩＳＥＣ90−５ （1990．５．17）「公開暗号文の復号能 力に基づく暗号方式について」川村信 一，新保淳

Claims (8)

(57)【特許請求の範囲】
1. 【請求項１】固有の識別情報を有する第１の端末と第２
   の端末とこれらを接続するネットワークと、端末情報発
   行センターで構成される公開鍵生成方法であって、 前記端末情報発行センターは、一方向性関数部Ｆと、端
   末情報発行センターの秘密鍵Ｘを格納する秘密鍵格納部
   と、公開鍵生成関数Ｐを格納した生成関数格納部とを備
   え、 センターの秘密鍵Ｘを前記一方向性関数部Ｆに入力した
   ときの出力値Ｙ＝Ｆ（Ｘ）と公開鍵生成関数Ｐとを端末
   情報発行センターの公開情報として通信路を介して前記
   第１、第２の端末に通知し、 前記第１の端末は、第１の端末の識別情報ｉを端末情報
   発行センターに通信路を介して通知し、 前記端末情報発行センターは、前記に加え乱数発生部
   と、端末の秘密鍵を生成するための秘密鍵生成部Ｓとを
   備え、 発生した乱数値ｋを前記一方向性関数部Ｆに入力しその
   出力値ｙ＝ｆ（ｋ）を前記第１の端末の公開値とし求
   め、さらに、センターの秘密鍵Ｘと、前記第１の端末の
   公開鍵ｙと、乱数値ｋと、第１の端末から通知された第
   １の端末の識別子ｉを前記秘密鍵生成部Ｓに入力しその
   出力値ｘ ｘ＝Ｓ（X,y,k,i） を第１の端末の秘密鍵として求め、以上のｘとｙを第１
   の端末に通知し、 前記第１の端末は、端末情報発行センターから受け取っ
   た第１の端末の秘密鍵ｘを格納する秘密鍵格納部を備
   え、第２の端末に前記第１の端末の公開値ｙと第１の端
   末の識別情報ｉを通信路を介して第２の端末に通知し、 前記第２の端末は、センターから公開情報として送られ
   てくる公開鍵生成関数Ｐを格納する生成関数格納部を備
   え、その公開鍵生成関数Ｐに、前記第１の端末の公開値
   ｙと第１の端末の識別情報ｉと前記端末情報発行センタ
   ーの公開鍵Ｙを入力しその出力値Ｃ Ｃ＝Ｐ（Y,y,i） を第１の端末の公開鍵として求め、 これに続く第１、第２の端末間の通信路を介した公開鍵
   暗号を利用した秘密通信または署名通信を、前記第１の
   端末の秘密鍵ｘと前記第２の端末が生成した前記第１の
   端末の公開鍵Ｃを用いて行なうようにしたことを特徴と
   する公開鍵生成方法。
2. 【請求項２】一方向性関数部における関数Ｆを、素数も
   しくは素数のべき乗値ｑと、前記ｑを法とする剰余体の
   原始元ｇを用い、入力値ｕをべきとし、前記ｑを法とす
   る前記ｇのべき乗剰余値ｖ ｖ＝Ｆ（ｕ）＝g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
   たとき、前記秘密鍵生成部における関数Ｓを、前記φを
   法とし、センターの秘密鍵Ｘと第１の端末の公開鍵ｙの
   積と、センターの生成した乱数値ｋと第１の端末の識別
   情報ｉの積との和 ｘ＝Ｓ（X,y,k,i） ＝Ｘ×ｙ＋ｋ×１ mod φ を出力する関数とし、前記公開鍵生成部における関数Ｐ
   を、前記ｑを法とし、前記第１の端末の公開値ｙをべき
   とした前記センターの公開情報Ｙのべき乗剰余値と、前
   記第１の端末の識別情報ｉをべきとした前記第１の端末
   の公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Y,y,i） ≡（Y^y）×（Yⁱ）mod q を出力する関数とするようにしたことを特徴とする請求
   項１記載の公開鍵生成方法。
3. 【請求項３】前記一方向性関数部における関数Ｆを、素
   数もしくは素数のべき乗値ｑと、前記ｑを法とする剰余
   体の原始元ｇを用いて、入力値ｕをべきとし、前記ｑを
   法とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）≡g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
   たとき、前記秘密鍵生成部における関数Ｓを、前記φを
   法とし、前記第１の端末の公開値ｙと前記第１の端末の
   識別情報ｉをある公開の関数Ｈに入力したときに得られ
   る出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セ
   ンターの生成した乱数値ｋとの和 ｘ＝Ｓ（X,y,k,i） ＝Ｈ（y,i）×Ｘ＋ｋ mod φ ＝ｈ×Ｘ＋ｋ mod φ を出力する関数とし、前記公開鍵生成部における関数Ｐ
   を、前記ｑを法とし、前記第１の端末の公開値ｙと前記
   第１の端末の識別情報ｉを前記関数Ｈに入力したときに
   得られる出力値ｈをべきとした前記センターの公開情報
   Ｙのべき乗剰余値と、前記第１の端末の公開値ｙとの積 Ｃ＝Ｐ（Y,y,i） ＝（Ｙ^Ｈ（y,i））×ｙ mod q ＝（Y^h）×ｙ mod q を出力する関数とするようにしたことを特徴とする請求
   項１記載の公開鍵生成方法。
4. 【請求項４】第１の端末は、前記に加え前記一方向性関
   数部Ｆを備え、前記第１の端末の秘密鍵ｘを前記一方向
   性関数部Ｆに入力した出力値Ｖを第１の端末の検証用公
   開鍵として求め、第２の端末にこの検証用公開鍵Ｖと前
   記第１の端末の公開値ｙと第１の端末の識別情報ｉを前
   記ネットワークを介して第２の端末に通知し、 第２の端末は公開鍵検証手段を備え第１の端末の公開鍵
   Ｃを生成した後、生成されたＣと、第１の端末から通知
   された検証用公開鍵Ｖを比較し、一致するか否かを確認
   し、一致する場合、これに続く第１、第２の端末間の公
   開鍵暗号通信または認証通信を、前記第１の端末の秘密
   鍵ｘと前記第２の端末が生成した前記第１の端末の公開
   鍵Ｃを用いて行なうようにしたことを特徴とする請求項
   １記載の公開鍵生成方法。
5. 【請求項５】固有の識別情報を有する第１の端末と第２
   の端末とこれらを接続するネットワークと、端末情報発
   行センターで構成される公開鍵生成装置であって、 前記端末情報発行センターは、一方向性関数処理手段Ｆ
   と、端末情報発行センターの秘密鍵Ｘを格納する秘密鍵
   格納手段と、公開鍵生成関数Ｐを格納した生成関数格納
   手段とを備え、 センターの秘密鍵Ｘを前記一方向性関数処理手段Ｆに入
   力した出力値Ｙ＝（Ｘ）と公開鍵生成関数Ｐとを端末情
   報発行センターの公開鍵として通信路を介して前記第
   １、２の端末に通知し、 前記第１の端末は、第１の端末の識別情報ｉを端末情報
   発行センターに通信路を介して通知し、 前記端末情報発行センターは、前記に加え乱数発生手段
   と、端末の秘密鍵を生成するための秘密鍵生成手段Ｓを
   備え、 発生した乱数値ｋを前記一方向性関数処理手段Ｆに入力
   しその出力値ｙ＝ｆ（ｋ）を前記第１の端末の公開値と
   して求め、さらに、センターの秘密鍵Ｘと、前記第１の
   端末の公開値ｙと、乱数値ｋと、第１の端末から通知さ
   れた第１の端末の識別個ｉを前記秘密鍵生成手段Ｓに入
   力しその出力値ｘ ｘ＝Ｓ（X,y,k,i） を第１の端末の秘密鍵として求め、以上のｘとｙを第１
   の端末に通知し、 前記第１の端末は、端末情報発行センターから受け取っ
   た第１の端末の秘密鍵ｘを格納する秘密鍵格納手段を備
   え、第２の端末に前記第１の端末の公開値ｙと第１の端
   末の識別情報ｉを通信路を介して第２の端末に通知し、 前記第２の端末は、センターから公開情報として送られ
   てくる公開鍵生成関数Ｐを格納する生成関数格納手段を
   備え、その公開鍵生成関数Ｐに前記第１の端末の公開値
   ｙと第１の端末の識別情報ｉと前記端末情報発行センタ
   ーの公開鍵Ｙを入力しその出力値Ｃ Ｃ＝Ｐ（Y,y,i） を第１の端末の公開鍵として求め、 これに続く第１、第２の端末間の通信路を介した公開鍵
   暗号通信または署名通信を、前記第１の端末の秘密鍵ｘ
   と前記第２の端末が生成した前記第１の公開鍵Ｃを用い
   て行なうようにしたことを特徴とする公開鍵生成装置。
6. 【請求項６】前記一方向性関数処理手段における関数Ｆ
   を、素数もしくは素数のべき乗値ｑと、前記ｑを法とす
   る剰余体の原始元ｇを用い、入力値ｕをべきとし、前記
   ｑを法とする前記ｇのべき乗剰余値ｖ ｖ＝Ｆ（ｕ）＝g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
   たとき、前記秘密鍵生成手段における関数Ｓを前記φを
   法とし、センターの秘密鍵Ｘと第１の端末の公開値ｙの
   積と、センターの生成した乱数値ｋと第１の端末の識別
   情報ｉの積との和 ｘ＝Ｓ（X,y,k,i） ＝Ｘ×ｙ＋Ｋ×ｉ mod φ を出力する関数とし、前記公開鍵生成手段における関数
   Ｐを、前記ｑを法とし、前記第１の端末の公開値ｙをべ
   きとした前記センターの公開情報Ｙのべき乗剰余値と、
   前記第１の端末の識別情報ｉをべきとした前記第１の端
   末の公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Y,y,i） ＝（Y^y）×（yⁱ）mod q を出力する関数とするようにしたことを特徴とする請求
   項５記載の公開鍵生成装置。
7. 【請求項７】前記一方向性関数処理手段における関数Ｆ
   を、素数もしくは素数のべき乗値ｑと、前記ｑを法とす
   る剰余体の原始元ｇを用いて、入力値ｕのべきとし、前
   記ｑを法とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）＝g^u mod q を出力する関数とし、φを前記ｑのオイラー関数値とし
   たとき、前記秘密鍵生成手段における関数Ｓを、前記φ
   を法とし、前記第１の端末の公開値ｙと前記第１の端末
   の識別情報ｉをある公開の関数に入力したときに得られ
   る出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セ
   ンターの生成した乱数値ｋとの和 ｘ＝Ｓ（X,y,k,i） ＝Ｈ（y,i）×Ｘ＋k modφ ＝ｈ×Ｘ＋K modφ を出力する関数とし、前記公開鍵生成手段における関数
   Ｐを、前記ｑを法とし、前記第１の端末の公開値ｙと前
   記第１の端末の識別情報ｉを前記関数Ｈに入力したとき
   に得られる出力値ｈをべきとした前記センターの公開情
   報Ｙのべき乗剰余値と、前記第１の端末の公開値ｙとの
   積 Ｃ＝Ｐ（Y,y,i） ＝（Ｙ^Ｈ（Y,I））×y mod q ＝（Y^h）×ｙ mod q を出力する関数とするようにしたことを特徴とする請求
   項５記載の公開鍵生成装置。
8. 【請求項８】第１の端末は、前記に加え前記一方向性関
   数手段Ｆを備え、前記第１の端末の秘密鍵ｘを前記一方
   向性関数手段Ｆに入力した出力値Ｖを第１の端末の検証
   用公開鍵として求め、第２の端末にこの検証用公開鍵Ｖ
   と前記第１の端末の公開値ｙと第１の端末の識別情報ｉ
   を通信路を介して第２の端末に通知し、 第２の端末は、公開鍵検証手段を備え、第１の端末の公
   開鍵Ｃを生成した後、生成されたＣと、第１の端末から
   通知された検証用公開鍵Ｖを比較し、一致するか否かを
   確認し、一致する場合、これに続く第１、第２の端末間
   の公開鍵暗号通信または認証通信を、前記第１の端末の
   秘密鍵ｘと前記第２の端末が生成した前記第１の端末の
   公開鍵Ｃを用いて行なうようにしたことを特徴とする請
   求項５記載の公開鍵生成装置。