JP2980320B2

JP2980320B2 - 暗号文による通信方式における暗号鍵共有方式

Info

Publication number: JP2980320B2
Application number: JP61251896A
Authority: JP
Inventors: 勉松本; 秀樹今井
Original assignee: ADOBANSU KK
Current assignee: ADOBANSU KK
Priority date: 1986-10-24
Filing date: 1986-10-24
Publication date: 1999-11-22
Anticipated expiration: 2014-11-22
Also published as: JPS63107667A

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、通信におけるメッセージの機密保持、認
証、及び通信相手の認証等に必要不可欠である暗号文に
よる通信において、メッセージの通信に先だって、通信
を行うエンティティ（暗号による通信を行う通信主体エ
ンティティであって、加入者用通信端末、通信装置、ソ
フトウェアを適用する計算装置、等の通信主体エンティ
ティ）の間で通信のための暗号鍵を共有する方式に関す
るものである。〔従来の技術〕暗号文による通信で達成されるセキュリティは、通信
の当事者であるエンティティだけが同一の暗号鍵をも
ち、当事者以外の通信端末エンティティがその暗号鍵を
有さないことに強く依存するので、安全で効率の良い暗
号鍵共有方式が望まれており、種々の従来技術が提案さ
れている。これについては今井秀樹、松下勉「暗号技
術」、テレビジョン学会誌 Vol.39 No.12,pp1140−114
7,1985年12月を参照することができる。従来、暗号鍵の共有方式としては大別して次の２種の
方式が考察されている。これについては、後記の文献
〔２〕，〔３〕，〔４〕，〔５〕を参照されたい。（ｉ）各エンティティが、想定されるすべての通信相手
と、他の暗号的手段もしくは物理的手法により、個別に
暗号鍵を共有する方式。（ii）各エンティティが、自分の秘密情報に基づき公開
情報を作成し、これを読み出しは自由であるが書き込み
や消去は厳重に管理された公開ファイルに登録し、通信
の際に、自分の秘密情報と相手の公開情報から共有すべ
き暗号鍵を計算して求める方式。〔発明が解決しようとする課題〕前記の（ｉ）の方式は、想定される通信相手の数が多
数であるときには多大な手間がかかり、不特定多数との
暗号通信には不向きであるという欠点を有する。又、（ii）の方式では、通信の際に、必要に応じて公
開ファイルを参照すれば、どのエンティティとでも暗号
鍵の共有が行えるので、不特定多数相手の暗号通信にも
適用可能であるが、公開ファイル又はそれに相当する、
公開情報の管理機構が必要である。更に、各エンティティが相手の公開情報を参照するた
めの手間も無視できない。本発明の目的は、上記各方式の欠点を解決し、通信相
手の識別子（名前、住所等）を用いるだけで、公開ファ
イルなどは参照することなく、暗号鍵の共有が簡単な手
続きで効率よく安全に行われつつ、暗号文による通信が
適切に行われることにある。〔課題を解決するための手段〕上記の目的を達成するため、本発明による方式におい
ては、複数のセンタ（管理設備）の存在のもとで、通信
を行うエンティティの識別子をセンタだけが知っている
センタアルゴリズムにより変換した秘密アルゴリズムを
各エンティティに配布することにより、暗号文による通
信方式における暗号鍵共有方式を実現しようとする。本発明においては、暗号文による通信における暗号鍵
共有方式であって、通信を行う手段を有する複数のエン
ティティおよび複数のセンタにより構成されるネットワ
ークが用いられ、各センタは、線形スキームにもとづきアルゴリズムを作成し各セン
タにのみ秘密に保持させるセンタアルゴリズム作成手
段、各センサ毎に、該センタアルゴリズムにエンティティ
に固有で公開され半固定的に用いられるエンティティ識
別子を施しエンティティ専用の秘密アルゴリズムを作成
し各エンティティに事前に配送する秘密アルゴリズム配
送手段、各センタで作成された該エンティティ専用の秘密アル
ゴリズムを組合わせて組合わせ秘密アルゴリズムを作成
する手段、および、該組合わせ秘密アルゴリズムを記憶する記憶手段、を
具備し、各エンティティについて、通信を行うすべての相手の
識別子が自己の秘密アルゴリズム実行手段へ入力され、
識別子の入力に基づいて該組合わせ秘密アルゴリズムが
実行され、通信を行う複数のエンティティの秘密アルゴ
リズム実行手段において、同一の暗号鍵が発生させられ
るようになっている、暗号文による通信における暗号鍵
共有方式、が提供される。尚、エンティティとしては、装置、機械、プログラム
関連装置、あるいはそれらが構成要素となったシステム
など、多様なものがある。本発明による暗号鍵共有方式
は、CPUチップとROMチップの間の通信、ICカード同士の
通信、ICカードと端末と銀行センタの間の通信、移動体
通信機間の通信、パーソナル無線機間の通信、電話器間
の通信、ホスト計算機と端末とデータベース関連装置の
間の通信、並列計算機内のプロセス関連装置同士の通
信、CATV放送局と加入者端末の間の通信、衛星放送、等
に適用されることが可能である。又、アルゴリズムとは、計算の方法を、定められた言
語で記述したものを意味し、通常の意味での計算機プロ
グラム、及びデータ、論理回路、グラフ、チューリング
機械（Turing machine）、ペトリネット、LSIパターン
等は、すべて本発明におけるアルゴリズムの一種であ
る。本発明の基礎となる事項をより詳細に下記に説明す
る。ネットワークにおいて不特定多数のエンティティ通信
主体と暗号通信を行うことは、特に大規模ネットワーク
の場合、鍵の配送（共有）の問題のため、共有鍵方式に
おいても公開鍵方式においても、従来、煩雑な手間が必
要であった。又、通常の郵便における手紙のような、暗
号による不特定多数相手のメイル通信を手軽に実現する
ことも難しかった。最近、本発明者らはこれらの暗号通信を簡便に実現可
能な鍵共有方式：キイプレディストリビューション
システム（Key Predistribution System,KPS）を提案
し、その詳細について出題した（特願昭61−178652、特
公平５−48980）。本願はこれらに続くものであり、先に提案した線形代
数に基づくキイプレディストリビューションシステ
ムをより拡充し、その安全性をより高めたものである。キイプレディストリビューションシステム（KP
S）について述べる。本発明のKPSは、（信頼における）センサ（ｓを正整
数とし、センタ１、センタ２、…、センタｓと表す）
と、通信を行う多数のエンティティ（ｎ正整数とし、エ
ンティティ１、エンティティ２、…、エンティティｎと
表す）からなるネットワークにおいて、ネットワーク内
の通信を行う複数のエンティティが、以下のようにして
同一鍵を共有する方式である。手順（１）センタアルゴリズムの作成手順（２）各エンティティ用の秘密アルゴリズムの作
成・配布手順（３）各エンティティによる鍵共有手順（１）は、システムの立上げ時又は更新時だけに
必要な操作であり、各センタ（例えばセンタｐ）が、特
別なアルゴリズム、すなわちセンタｐだけが秘密に保持
するセンタアルゴリズムGpを生成することを指す。ただ
し、Gpを生成する方法については、すべてのエンティテ
ィもしくはエンティティの代表の間で合意を得ておくも
のとする。手順（２）は、各エンティティのネットワークへの加
入時にセンタとエンティティにより行われる操作であ
る。各エンティティ（例えばエンティティｉ）に固有で
公開され半固定的に用いられる各エンティティの識別子
（名前、住所等のアイデンティティ）yiに、各センタ
（センタｐとする）がGpを施して各エンティティ専用の
アルゴリズムXpi＝Gp（yi）を作成する。エンティティ
ｉ用のアルゴリズムX₁i,X₂i,…,Xsiを個別に、もしくは
適当な方法により結合して、エンティティｉだけに（例
えばICカード等に入れて）配布する。エンティティｉは
受けとったアルゴリズムの組もしくはそれらの結合され
たものを秘密に保管する。これをエンティティｉの組合
わせ秘密アルゴリズムといいXiで表す。手順（３）は、手順（１）、手順（２）の準備が行わ
れた後に、暗号鍵を共有したいエンティティにより行わ
れる操作である。各々のエンティティは、他のエンティ
ティの識別子を自己の組合わせ秘密アルゴリズムに入力
することにより、同一の暗号鍵を共有する。例えばエン
ティティＡとエンティティＢが暗号鍵ｋを共有したい場
合は、それぞれ次のようにｋを計算する：ｋ＝X_A ⁽²⁾（y_B）,k＝X_B ⁽²⁾（y_A）又、エンティティＡ、エンティティＢ、エンティティ
Ｃが暗号鍵を共有したい場合は、＝X_A ⁽³⁾（y_B,y_C），＝X_B ⁽³⁾（y_C,y_A），＝X_C ⁽³⁾（y_A,y_B）のようにしてそれぞれがを計算する。ここにXi
^(e)は、ｅ個のエンティティで鍵共有を行う時に用いる
エンティティｉの組合わせ秘密アルゴリズムを表すもの
とした。次に、KPS一般の安全性について述べる。 KPSにおいては、秘密アルゴリズムの配布時に、秘密
アルゴリズムを渡すべきエンティティを正しく認証（同
定）する必要があるが、エンティティ認証（本人確認）
がきちんと行われていることがすべての暗号的手段の大
前提であるから、エンティティ認証の問題はKPSに特有
の問題ではない。 KPSにより各エンティティが共有する鍵は各エンティ
ティに固有のものであり、センタアルゴリズムを更新し
ない限り、不変である。したがって、KPSは、いわゆる
マスタ鍵を共有するための方法であるといえる。マスタ
鍵が当事者以外に漏れた場合でも、新しいマスタ鍵に代
えることはできない。そこで、適当な期間の後にセンタ
アルゴリズムの更新をすることが望ましい。しかし、例
えば２エンティティの鍵共有のために、３エンティティ
に対する鍵共有用の秘密アルゴリズムXi⁽³⁾を用いれ
ば、適当な乱数を交換することにより２エンティティの
間で毎回異なる鍵を共有することができる。例えば、エ
ンティティＡとエンティティＢがどのエンティティの識
別子とも異なる乱数ｒを用いて、のように鍵を共有できる。さて、KPSにおいてはセンタアルゴリズムに関する情
報を秘密アルゴリズムXiという形で各エンティティに分
散しているわけであるから、単独のエンティティ又は協
力した複数のエンティティにより適当な計算量を費やせ
ばセンタアルゴリズム又は協力したエンティティ以外の
エンティティ用秘密アルゴリズムXt又はその一部を必ず
求めることができる。秘密アルゴリズムを、物理的に保護され計算能力を有
する何らかの装置（例えばICカード）の中に埋め込み、
各エンティティが、自分の秘密アルゴリズムを知ること
なしに実行できるような工夫を施せば、センタアルゴリ
ズムや他のエンティティの秘密アルゴリズムXt又はその
一部が暴かれることはない。したがって、物理的セキュ
リティが完全に保たれるような環境においては、いかな
るKPSも安全であるといえよう。しかし、実際には完全
な物理的セキュリティを期待することは難しい（現在の
ICカード等の物理的セキュリティは完全とはいえない）
ので、多くのエンティティが結託（協力）しなければセ
ンタアルゴリズム又はXt又はその一部を決定するために
充分な情報を得られないか、又は、充分な情報が得られ
てもセンタアルゴリズム又はXt又はその一部を求めるた
めの計算量が多大となるような工夫がKPSには要求され
ると考えられる。前者はいわゆる無条件的な安全保障
（unconditional security）に、後者は計算的な安全保
障（computational security）に対応すると言える。無条件的な安全保障の証明は一般に難しくないが、計
算的な安全保障の証明は現在のところ、素因子分解等の
適当な問題を解く難しさを仮定せずにはうまく行えな
い。項目３では、ある程度の数のエンティティが結託しな
い限り安全であるという意味で無条件的に安全保障され
たKPSをベクトルの１次独立性を利用して構成する。〔実施例〕本発明の一実施例としての暗号文による通信方式にお
ける暗号鍵共有方式が以下に説明される。第１図にKPSの適用例が示される。第１図のシステム
には秘密アルゴリズムX_A,X_B、暗号化手段Ｅ、復号化手
段Ｄが設けられる。相手の識別子y_B、自分の識別子y_Aが
適用される。第１図のように、KPSを用いると、通常の
郵便のようにメイル通信、すなわち一方向の暗号通信が
簡単に実現できる。宛て先が２つ以上の場合でも、いわ
ゆる「同報性の認証」を行いつつメイル通信ができる。
なお、電話のような対話通信にも適用できることはいう
までもない。線形代数に基づくKPSの一方式について述べる。ここでは、線形代数を利用してKPSを構成する。な
お、この方式は、センタが１つの場合は、すでに先行の
出願で示してある。方式の定義について述べる。以下に定義する方式を線形スキームと名付ける。ｑを素数べき、m,s,hを正整数とする。Ｑ＝GF（ｑ）
とおき、Ｑ上のｍ次元横ベクトル全体のなすベクトル空
間をQ^mで表す。各エンティティ（例えばエンティティｉ）の識別子yi
は集合Ｉの元であるとし、ｉ≠ｊならばyi≠yjであるも
のとする。又、Ｒを、ＩからQ^mへの単射写像を表現するアルゴリ
ズムとする。各センタ（センタp,p＝1,2,…,s）は、ｈ個のＱ上ｍ
次対称行列Gp₁,Gp₂,…,Cphをランダムかつ一様に他エン
ティティとは独立に選び、センタアルゴリズムGpを生成
する。Gpは、各yi∈Ｉに対してアルゴリズム Xpi（ξ）＝xpiR（ξ）^Ｔを作成するアルゴリズムであると定める。ただし、xpi
は、により定められるＱ上のｈ×ｍ行列であり、Ｔは行列の
転置を意味するものとする。アルゴリズムXpiにもとづき、エンティティｉ専用の
秘密アルゴリズムXiを次のようにして作る：なお、ICカード等を用いれば秘密アルゴリズムXiを自
動的に得ることも可能である。例えば、まず、エンティ
ティｉがICカードを入手し、書き込みは誰でもできるが
読み出しはエンティティｉにしかできないように初期化
してセンタ側に渡し、各センタにxpiを入力してもらい
次々とICカード内部で総和をとり、最終的にxiが作られ
た段階でICカードをエンティティｉに戻してもらう、と
いう方法が考えられる。このようにして、エンティティｉは秘密アルゴリズム
Xiを持つ。エンティティｉとエンティティｊが暗号鍵を共有した
い場合、エンティティｉはXi（yj）を、エンティティｊ
はXj（yi）を、それぞれ鍵として計算する。Xi（yj）と
Xj（yi）は共にＱ上のｈ次元縦ベクトルであり、両者が
一致することは、Xi,Xjの定義から容易に導ける。以上は２つのエンティティの場合であるが、一般にｅ
側のエンティティ（ｅ≧２）のグループの場合には、前
記のGpi、すなわち双線形写像のかわりに、ｅ重線形写
像を用いれば同様な方式が実現できる。安全性について述べる。次に、線形スキームの安全性について考える。この方
式への攻撃としては、センタによる攻撃とエンティティ
による攻撃の両方を考える必要がある。この方式を完全に破ることは、なる行列G₁,G₂,…,Ghを並べた行列Ｇ＝〔G₁,G₂,…,Gh〕を決定することと等価である。よって、すべてのセンタが結託しない限り、たとえい
くつかのセンタが結託したとしてもＧを全く決定できな
い。したがって、暗号鍵も全く決定できない。又、少なくともrankG個のエンティティが結託しない
限りＧを完全には決定できない〔証明省略〕。rankGは
ｍ又はｍに近い値をとる確率が大きい。しかし、rankG個未満のエンティティの結託によって
も、結託エンティティ数が増えれば増えるだけ、Ｇに関
する情報、したがって、各エンティティの秘密アルゴリ
ズムに関する情報をより多く入手できることは確かであ
る。そこで、結託したエンティティが、他のエンティテ
ィ間の暗号鍵をどの程度決定できるかを考察すると、次
の結論を得る。システムに加入しているすべてのエンティティの集合
をＥとおく。このとき、「Ｅの部分集合E_Bに属すすべてのエンティティが結託し
ても、Ｅ−E_Bに属す任意の２つのエンティティ間で共有
される暗号鍵を全く決定できない」ためには、「各ｉ∈Ｅ−E_BについてベクトルＲ（yi）がベクトルの
集合｛Ｒ（yi）|j∈E_B｝に１次独立であること」が必要十分である〔証明省略〕。したがって、エンティティの結託に対する安全性の問
題は、ベクトルの集合Ｕ＝｛Ｒ（yi）|i∈Ｅ｝における１次独立性の問題に移して論じることが可能と
なる。特に、線形符号の理論と密接な結びつきが生じ
る。実際、Ｕに属すすべてのベクトルの転置ベクトルを横
に並べてできる行列をパリティ検査行列とする、符号長
ｎ、検査記号数ｍの線形符号をＣとすると、「Ｃに（Hamming）重みｗの符号語が存在すること」と、「（ｗ−１）エンティティの結託により他のエンティテ
ィ間の鍵が決定できる場合が存在すること」は同値であり、特に、「Ｃの最小（Hamming）重み〔最小距離〕がｂ＋２以上
であること」は、「任意のｂエンティティの結託によっても他のエンティ
ティ間の任意の鍵を全く決定できない」ための十分条件である。したがって、代数的／代数幾何学的符号理論に基づい
てアルゴリズムＲを選ぶことができる。この場合、yiを
適当なベクトルとみなすとＲ（yi）はyiの成分に関する
単項式を並べたものになる。よって、アルゴリズムXiは
項式（タプル）等となる。対応する線形符号としては、
（ｅ）−GRM符号、BCH符号、RS符号、Goppa符号等（〔1
0〕）を用いることになる。しかし、これらのＲの評価
（計算）をすることは、ｍが大きい場合、あまり効率よ
く行えない。ところが、符号理論におけるGilbert−Varsharmovの
定理（〔10〕）をKPSの言葉に翻訳すると、「素数べきｑ、正整数ｍ及びｂが与えられたとき、ただし、 ψ（ｘ）＝xlog_q（ｑ−１）−xlog_q x−（１−ｘ）log_q（１−ｘ）を満たす、許容結託エンティティ数ｂ以上、秘密アルゴ
リズムの記憶量hmlog₂q〔bit〕、総エンティティ数ｍの
線形スキームが存在する。ここにｈは任意の正整数であ
る。」となり、又、大部分の線形スキームは（＊）を満たすパ
ラメータを有することも、符号理論の結果から導ける。そこで、再生可能な疑似乱数系列を高速に発生するア
ルゴリズムをＲに選ぶことができる。この点では線形符号の通常の利用法と異なっている。
通常の応用では、復号アルゴリズムを効率よく実現する
必要上、何らかの構造を利用した符号を用いるが、KPS
のための線形スキームにおいては、復号に相当するアル
ゴリズムの効率を考える必要が全くないために、ランダ
ムな符号を用い得るのである。線形スキームの安全性に関する以上の議論の結果を表
１にまとめておく。複雑性（complexity）について述べる。次に、線形スキームに関する種々の記憶量・計算量を
評価する。各センタは、アルゴリズムＲとｈ個の対称行列Gp₁,Gp
₂,…,Gphを記憶しており、各エンティティの加入時に、
Ｒ（yi）を計算し、更にＲ（yi）にGp₁,Gp₂,…,Gphを掛
けてxpiを求めるので、表２のような記憶量・計算量を
必要とする。又、各エンティティは、アルゴリズムＲと行列xiを記
憶しており、鍵共有時にＲ（yi）を計算し、Ｒ（yi）^Ｔ
にxiを掛けて暗号鍵を求めるので、表２のような記憶量
・計算量を必要とする。なお、m,bを与えたとき、Gilbert−Varsharmov bound
より定められるｎは、b/nが小さいときと近似できる。ｑ＝２かつｈ＝64としたときの数値例を、表３に示
す。表３より、例えばｍ＝2¹³,b＝2⁸の場合には、各セン
タが約４〔Gbit〕を記憶し、各エンティティが約512〔K
bit〕を記憶する線形スキームで、システム全体を破る
にはすべてのセンタの結託又は約8192以上のエンティテ
ィの結託が必要であり、256以下のエンティティが結託
しても他の２エンティティ間の鍵を全く決定できないも
ので、約2⁴⁰（＝10¹²）個までのエンティティのうちの
任意の２エンティティ間で64〔bit〕の鍵を共有できる
ものが存在することがわかる。これに対し、すべてのエ
ンティティとの鍵をあらかじめ共有しておく原始的な方
法をとった場合、各エンティティは約64〔Tbit〕を記憶
しなければならない。ここに、１〔Tbit〕＝1024〔Gbi
t〕である。他方式との比較について述べる。 KPSの特徴を調べるために、他方式について整理して
みる。従来、暗号通信を行うには図２の（Ｉ），（II）のよ
うな方式が用いられてきた。これに対し、KPSに基づく方式は図の（III）のように
位置づけられる。以上の諸方式を、記憶量、計算量、通信量、センタの
有無、メイル通信の可能性、安全性の根拠などについて
比較すると表４のようにまとめられる。ここにｎはネッ
トワークの総エンティティ数、Ｓはセンタの数、ｍは安
全性パラメータ、σは機密保持性（secrecy）が要求さ
れること、αは認証性（authenticity）が要求されるこ
と、をそれぞれあらわす。表４から、総合的にみて、不
特定多数の間での暗号通信に対してKPSに基づく方式（I
II）が優れていることがわかる。本発明実施例による暗号文による通信方式における暗
号鍵共有方式が適用される装置の構成例が第３図に示さ
れる。第３図においては、秘密アルゴリズム出力手段1
1,12,13、センタアルゴリズムG₁,G₂,G₃、エンティティ
の秘密アルゴリズム組合せ手段7,8、組合わされた秘密
アルゴリズムX_A,X_B、エンティティの秘密アルゴリズム
実行手段2,3、エンティティＡにおける入力部41、暗号
部42、および送信部43、およびエンティティＢにおける
受信部51、復号部52、および出力部53が示されている。
エンティティの秘密アルゴリズム出力手段11,12,13にお
いては各センタが生成した線形スキームに基づく特別な
アルゴリズム、すなわち各センタだけが秘密に保持する
センタアルゴリズムを実行し、各エンティティに固有で
公開され半固定的に用いられる各エンティティの識別子
が入力され、各エンティティ専用の秘密アルゴリズムが
出力される。エンティティの秘密アルゴリズム組合せ手
段7,8においては各センタのエンティティの秘密アルゴ
リズム出力手段から出力された各エンティティの秘密ア
ルゴリズムが組合わされる。秘密アルゴリズム実行手段
2,3においては組合わされたエンティティの秘密アルゴ
リズムを秘密に保持した状態で、当該エンティティの秘
密アルゴリズムが実行される。通信においてはセンタの
関与なしにエンティティの秘密アルゴリズム実行手段
は、通信相手の識別子が入力されることにより通信相手
の秘密アルゴリズム実行手段と同一の暗号鍵を作成す
る。yA,yBはエンティティA,Bの識別子をあらわす。な
お、エンティティの秘密アルゴリズム組合せ手段7,8に
よるアルゴリズム組合せは、センタ側で行うことも、エ
ンティティ側で行うことも、いずれも可能である。以上において、KPSのための線形スキームについて詳
細に説明した。又、KPSの実現法は線形スキームの他にも存在し得
る。例えば、センタアルゴリズムをアルゴリズム合成法
によるオブスキュアなアルゴリズム（obscure algorit
hm）として構成することが考えられる。オブスキュアア
ルゴリズム合成法についての詳細は後記の文献〔６〕，
〔７〕，〔８〕，〔９〕を参照されたい。〔発明の効果〕以上詳述したように、本発明によれば、一度も会って
いない、すなわち通信したことがない、相手と共通の暗
号鍵を、その相手の識別子を入力するだけで簡単かつ安
全に計算することができ、容易に任意の当事者間での、
暗号鍵の共有が簡単な手続きで効率よく安全に行われつ
つ、暗号文による通信が適切に行われることが可能にな
る。参考文献は下記のとおりである。〔１〕今井秀樹、松本勉、“暗号技術”、テレビジョン
学会誌、Vol.39,No.12,PP.1140−1147,1985年12月。〔２〕エージーコンハイム、“クリプトグラフィ
ー：アプライマー”、ワイリ、ニューヨーク、1981
年。（A.G.Konheim,“Cryptography:A Primer,"Wiley,New Y
ork 1981.）〔３〕シーエイチメイヤー、エスエムマティア
ス、“クリプトグラフィー”、ワイリー、ニューヨー
ク、1982年。（C.H.Meyer,and S.M.Matyas,“Cryptography,"Wiley,N
ew York 1982.）〔４〕ディーイーデニング、“クリプトグラフイー
アンドデータセキュリティー”、アディソン−ウ
ェズリー、リーディング、1982年。（D.E.Denning,“Cryptography,and Data Security,"Ad
dison−Wesley,Reading,1982.）〔５〕ディーダブリュデビース、ダブリュエル
プライス、“セキュリティフォアコンピュータネ
ットワークス”、ワイリー、チチェスター、1984年。（D.W.Davies,and W.L.Price,“Security for Computer
Networks,"Wiley,Chichester,1984.）〔６〕松本勉、今井秀樹、原島博、宮川洋、“暗号化変
換の自明でない表現を用いる非対称暗号系”、昭和58年
度電子通信学会情報システム部門全国大会講演論文集
PP.1−469〜１−470,No.S8−5,1983年９月。〔７〕松本勉、原島博、今井秀樹、“多変数多項式タプ
ル非対称暗号系の構成理論"1986年暗号と情報セキュリ
ティシンポジウム資料E2、暗号と情報セキュリティ研究
会、電子通信学会情報セキュリティ時限研究専門委員
会、1986年２月７日。〔８〕松本勉、今井秀樹、原島博、宮川洋、“アクリ
プトグラフィカリーユースフルセオレムオンザ
コネクションビトウィーンユニアンドマルチ
バリエイトポリノミアルズ”、ザトランザクション
オブザアイ・イー・シー・イーオブジャパ
ン、ボリュームE68、ナンバー３、139ページから146ペ
ージ、1985年３月。（Matsumoto,T.,Imai,H.,Harashima,H.,and Miyakawa,
H.,“A crypotgraphically useful theorem on the con
nection between uni and multivariate polynomials,"
The Transaction of The IECE of Japan,Vol.E68,No.3,
PP.139−146,March 1985.）〔９〕今井秀樹、松本勉、“アルジェブライックメソ
ッズフォーコンストラクティングアシンメトリッ
ククリプトシステムズ”、サードインターナショナ
ルコンファレンスオンアプライドアルジェブ
ラ、アルジェブライックアルゴリズムズアンドシ
ンボリックコンピューテーション、エラーコレクテ
ィングコーズ（1985年７月15日から19日、グルノーブ
ル、フランス）、シュプリンガーフェアラーク。（Imai,H.,and Matsumoto,T.,“Algebraic methods for
constructing asymmetric cryptosystems,"3rd Intern
ational Conference on Applied Algebra,Algebraic Al
gorithms and Symbolic Computation,Error Correcting
Codes（July 15−19,1985,Grenoble,France）,Springe
r Verlag.）〔10〕嵩忠雄他、符号理論、コロナ社、1975。〔11〕松本勉、今井秀樹、“第３の鍵共有方式”、1986
年暗号と情報セキュリティワークショップ講演論文集、
PP.39−41,WCIS86−10,横浜、Aug.27,1986。〔12〕松本勉、今井秀樹、“簡便な暗号鍵共有方式”、
電子通信学会技術研修報告、IT86−54,京都、Sep.18,19
86。〔13〕特願昭61−178652号（特公平５−48980）株式会
社アドバンス

【図面の簡単な説明】第１図は、本発明実施例を示す模式図、第２図は暗号通
信諸方式を示す概念図、第３図は本発明実施例による暗
号文による通信方式における暗号鍵共有方式が適用され
る装置の構成例を示す図である。

フロントページの続き (56)参考文献特開昭61−30827（ＪＰ，Ａ) 特開平５−48980（ＪＰ，Ａ) 松本勉、今井秀樹「簡便な暗合鍵共有方式」電子通信学会技術研究報告ＩＴ 86−54，1986．９．18

Claims

(57)【特許請求の範囲】１．暗号文による通信における暗号鍵共有方式であっ
て、通信を行う手段を有する複数のエンティティおよび
複数のセンタにより構成されるネットワークが用いら
れ、各センタは、線形スキームにもとづきアルゴリズムを作成し各センタ
にのみ秘密に保持させるセンタアルゴリズム作成手段、各センタ毎に、該センタアルゴリズムにエンティティに
固有で公開され半固定的に用いられるエンティティ識別
子を施しエンティティ専用の秘密アルゴリズムを作成し
各エンティティに事前に配送する秘密アルゴリズム配送
手段、各センタで作成された該エンティティ専用の秘密アルゴ
リズムを組合わせて組合わせ秘密アルゴリズムを作成す
る手段、および、該組合わせ秘密アルゴリズムを記憶する記憶手段、を具
備し、各エンティティについて、通信を行うすべての相手の識
別子が自己の秘密アルゴリズム実行手段へ入力され、識
別子の入力に基づいて該組合わせ秘密アルゴリズムが実
行され、通信を行う複数のエンティティの秘密アルゴリ
ズム実行手段において、同一の暗号鍵が発生させられる
ようになっている、暗号文による通信における暗号鍵共
有方式。