JP3074164B2 - 排他的鍵共有法 - Google Patents
排他的鍵共有法Info
- Publication number
- JP3074164B2 JP3074164B2 JP10368817A JP36881798A JP3074164B2 JP 3074164 B2 JP3074164 B2 JP 3074164B2 JP 10368817 A JP10368817 A JP 10368817A JP 36881798 A JP36881798 A JP 36881798A JP 3074164 B2 JP3074164 B2 JP 3074164B2
- Authority
- JP
- Japan
- Prior art keywords
- modp
- base station
- terminal
- information
- terminals
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Landscapes
- Mobile Radio Communication Systems (AREA)
Description
【０００１】
【発明の属する技術分野】本発明は、基地局と複数端末
からなるスター型通信システムにおける暗号鍵共有方法
に関し、特に、基地局が特定した端末以外のすべての端
末に共通の秘密鍵を安全に配送する鍵共有方法、および
特定の端末のみに共有の秘密鍵を安全に配送する鍵共有
方法に関する。
からなるスター型通信システムにおける暗号鍵共有方法
に関し、特に、基地局が特定した端末以外のすべての端
末に共通の秘密鍵を安全に配送する鍵共有方法、および
特定の端末のみに共有の秘密鍵を安全に配送する鍵共有
方法に関する。
【０００２】
【従来の技術】基地局が複数の端末を管理するスター型
通信システムにおいて、基地局と傘下の複数の端末がグ
ループを形成し、グループで同じグループ秘密鍵を共有
して同報の暗号通信を行なう場合を考える。グループ秘
密鍵を用いて暗号化された情報は、同じ秘密鍵を保有す
るグル−プ内の端末だけが復号することができる。
通信システムにおいて、基地局と傘下の複数の端末がグ
ループを形成し、グループで同じグループ秘密鍵を共有
して同報の暗号通信を行なう場合を考える。グループ秘
密鍵を用いて暗号化された情報は、同じ秘密鍵を保有す
るグル−プ内の端末だけが復号することができる。
【０００３】ところで、このグループから特定の端末を
排除したい場合が生じうる。それは、例えばグループ内
のある端末が盗難にあい、その端末を用いた暗号通信の
盗聴や偽情報の送信などの不正が考えられる場合などで
ある。このとき、この秘密鍵を管理する基地局は、でき
るだけ速やかに、盗難にあった端末を排除してグループ
秘密鍵を更新し、残りの端末だけで新たな秘密鍵を共有
することが必要となる。
排除したい場合が生じうる。それは、例えばグループ内
のある端末が盗難にあい、その端末を用いた暗号通信の
盗聴や偽情報の送信などの不正が考えられる場合などで
ある。このとき、この秘密鍵を管理する基地局は、でき
るだけ速やかに、盗難にあった端末を排除してグループ
秘密鍵を更新し、残りの端末だけで新たな秘密鍵を共有
することが必要となる。
【０００４】また、新たにグループを構成する必要が生
じうる。それは、グループ外の端末をグループに加入さ
せる場合や、別のグループの端末を一つのグループにす
る場合などである。このとき、基地局は、できるだけ速
やかに、新規グループの鍵をグループを構成する端末と
共有することが必要となる。
じうる。それは、グループ外の端末をグループに加入さ
せる場合や、別のグループの端末を一つのグループにす
る場合などである。このとき、基地局は、できるだけ速
やかに、新規グループの鍵をグループを構成する端末と
共有することが必要となる。
【０００５】図10は、基地局が特定した端末以外で鍵デ
ータを共有するための、第１の従来例における鍵更新方
法を示す。図10では、５個の端末Ｔ1〜Ｔ5が、それぞれ
固有鍵ｋ1〜ｋ5を保持しており、基地局が全端末の固有
鍵を管理している。このとき、例えば基地局が端末Ｔ1
を排除して、他の端末Ｔ2〜Ｔ5に新しい共通の秘密鍵を
配付する場合について説明する。
ータを共有するための、第１の従来例における鍵更新方
法を示す。図10では、５個の端末Ｔ1〜Ｔ5が、それぞれ
固有鍵ｋ1〜ｋ5を保持しており、基地局が全端末の固有
鍵を管理している。このとき、例えば基地局が端末Ｔ1
を排除して、他の端末Ｔ2〜Ｔ5に新しい共通の秘密鍵を
配付する場合について説明する。
【０００６】まず、基地局は秘密鍵Ｋを生成し、これを
それぞれｋ2〜ｋ5を鍵として暗号化し、それぞれ端末Ｔ
2〜Ｔ5に配送する。排除される端末Ｔ1以外の各端末Ｔ2
〜Ｔ 5では固有鍵を用いてこれを復号し、秘密鍵Ｋを獲
得する。なお、図10中において、例えばＥｋ2(Ｋ)は、
Ｋを固有鍵ｋ2で暗号化した暗号文である。この通信路
上のデータは、それぞれ端末Ｔ2〜Ｔ5の固有鍵で暗号化
されているため、たとえ端末Ｔ1がこの通信データを盗
聴したとしても、基地局が生成した秘密鍵Ｋを獲得する
ことができない。
それぞれｋ2〜ｋ5を鍵として暗号化し、それぞれ端末Ｔ
2〜Ｔ5に配送する。排除される端末Ｔ1以外の各端末Ｔ2
〜Ｔ 5では固有鍵を用いてこれを復号し、秘密鍵Ｋを獲
得する。なお、図10中において、例えばＥｋ2(Ｋ)は、
Ｋを固有鍵ｋ2で暗号化した暗号文である。この通信路
上のデータは、それぞれ端末Ｔ2〜Ｔ5の固有鍵で暗号化
されているため、たとえ端末Ｔ1がこの通信データを盗
聴したとしても、基地局が生成した秘密鍵Ｋを獲得する
ことができない。
【０００７】しかし、この方法では、一般にＮ個の端末
から１つの端末を排除するためには、基地局は(Ｎ−１)
回の暗号化を行ない、(Ｎ−１)個のデータを送信しなく
てはならない。グループが大きくなると、この作業は基
地局にとって非常に負担になる。また、全局更新までは
グループ内の暗号通信等の業務を停止する必要がある
が、(Ｎ−１)局に配り終えるまでの業務停止期間が長い
と大きな問題である。
から１つの端末を排除するためには、基地局は(Ｎ−１)
回の暗号化を行ない、(Ｎ−１)個のデータを送信しなく
てはならない。グループが大きくなると、この作業は基
地局にとって非常に負担になる。また、全局更新までは
グループ内の暗号通信等の業務を停止する必要がある
が、(Ｎ−１)局に配り終えるまでの業務停止期間が長い
と大きな問題である。
【０００８】図11は、特公平5-46731号公報に示された
第２の従来例における鍵更新方法である。第２の従来例
では、公開鍵暗号の手法を用いている。図11では、５個
の端末Ｔ1〜Ｔ5が、それぞれ固有の秘密鍵(ｅ1,ｄ1)〜
(ｅ5,ｄ5)を保持している。ここで、各秘密鍵(ｅi,ｄi)
は、 ｅi・ｄi mod(p-1)＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵 ｐ1＝ｇe1 modｐ，・・・，ｐ5＝ｇe5 modｐ を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐiおよびシステム公開の情報ｇ，
ｐから各端末の秘密鍵(ｅi,ｄi)を求めることは、ビッ
ト長を長く取れば離散対数問題に帰着して困難である。
従来例１と同様に、端末Ｔ1を排除する場合、まず、基
地局は乱数Ｒを生成し、鍵 Ｋ＝ｇR modｐ を生成するとともに、これより Ｚ2＝ｐ2 R modｐ，・・・，Ｚ5＝ｐ5 R modｐ を求めて、端末Ｔ1を除いた各Ｔ2〜Ｔ5に配送する。端
末Ｔ1以外の各端末ｉでは、受け取ったＺiと秘密鍵ｄi
を用いて、基地局と共通の更新鍵Ｋ Ｋ＝Ｚi di modｐ(＝(ｐi R)di modｐ＝((ｇei)di)R mod
ｐ＝ｇR modｐ) を獲得する。
第２の従来例における鍵更新方法である。第２の従来例
では、公開鍵暗号の手法を用いている。図11では、５個
の端末Ｔ1〜Ｔ5が、それぞれ固有の秘密鍵(ｅ1,ｄ1)〜
(ｅ5,ｄ5)を保持している。ここで、各秘密鍵(ｅi,ｄi)
は、 ｅi・ｄi mod(p-1)＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵 ｐ1＝ｇe1 modｐ，・・・，ｐ5＝ｇe5 modｐ を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐiおよびシステム公開の情報ｇ，
ｐから各端末の秘密鍵(ｅi,ｄi)を求めることは、ビッ
ト長を長く取れば離散対数問題に帰着して困難である。
従来例１と同様に、端末Ｔ1を排除する場合、まず、基
地局は乱数Ｒを生成し、鍵 Ｋ＝ｇR modｐ を生成するとともに、これより Ｚ2＝ｐ2 R modｐ，・・・，Ｚ5＝ｐ5 R modｐ を求めて、端末Ｔ1を除いた各Ｔ2〜Ｔ5に配送する。端
末Ｔ1以外の各端末ｉでは、受け取ったＺiと秘密鍵ｄi
を用いて、基地局と共通の更新鍵Ｋ Ｋ＝Ｚi di modｐ(＝(ｐi R)di modｐ＝((ｇei)di)R mod
ｐ＝ｇR modｐ) を獲得する。
【０００９】この方法は、第１の従来例と異なり、基地
局が各端末の秘密鍵を知り得ないため、基地局の不正を
防止できる点で、第１の従来例より安全性が向上してい
る。
局が各端末の秘密鍵を知り得ないため、基地局の不正を
防止できる点で、第１の従来例より安全性が向上してい
る。
【００１０】
【発明が解決しようとする課題】しかし、従来の鍵共有
方法では、Ｎ個の端末から１つの端末を排除するために
は、基地局は（Ｎ−１）回の暗号化を行ない、（Ｎ−
１）個のデータを送信しなくてはならない。例えば、10
00個の端末から１個の端末を排除して、残りの999個の
端末で新たな共通の秘密鍵を共有する場合を考える。こ
のとき、第１および第２の従来例では、999回の暗号化
の処理と999個の暗号文の送信を行なう必要がある。い
ずれにしても、基地局側にとって、これら作業は非常に
負担なものとなる。
方法では、Ｎ個の端末から１つの端末を排除するために
は、基地局は（Ｎ−１）回の暗号化を行ない、（Ｎ−
１）個のデータを送信しなくてはならない。例えば、10
00個の端末から１個の端末を排除して、残りの999個の
端末で新たな共通の秘密鍵を共有する場合を考える。こ
のとき、第１および第２の従来例では、999回の暗号化
の処理と999個の暗号文の送信を行なう必要がある。い
ずれにしても、基地局側にとって、これら作業は非常に
負担なものとなる。
【００１１】また、一般に端末は、小型で安価に実現す
る必要性により、それほど計算能力が高くない。このよ
うな端末で、高速に鍵を更新する必要がある。第２の従
来例においては、端末は鍵を獲得するために、長いビッ
ト長のべき乗剰余演算が必要である。この演算を、計算
能力が高くない端末で実現するのは、かなりの負担であ
り、鍵共有までの処理時間が長くなる。
る必要性により、それほど計算能力が高くない。このよ
うな端末で、高速に鍵を更新する必要がある。第２の従
来例においては、端末は鍵を獲得するために、長いビッ
ト長のべき乗剰余演算が必要である。この演算を、計算
能力が高くない端末で実現するのは、かなりの負担であ
り、鍵共有までの処理時間が長くなる。
【００１２】本発明は、かかる点に鑑み、特定の端末だ
けを排除して、他の端末で分配鍵情報を共有する方法、
および特定の端末だけで分配鍵情報を共有する方法であ
って、次の点を特徴とする鍵共有方法を実現することを
目的とする。 （１）基地局から端末への通信量が少ない。基地局にお
けるデータ送信量が少ない。全端末の鍵共有までの業務
停止期間が短い。 （２）計算能力が高くない端末で高速に鍵共有が実現で
きる。端末での処理が削減できる。
けを排除して、他の端末で分配鍵情報を共有する方法、
および特定の端末だけで分配鍵情報を共有する方法であ
って、次の点を特徴とする鍵共有方法を実現することを
目的とする。 （１）基地局から端末への通信量が少ない。基地局にお
けるデータ送信量が少ない。全端末の鍵共有までの業務
停止期間が短い。 （２）計算能力が高くない端末で高速に鍵共有が実現で
きる。端末での処理が削減できる。
【００１３】
【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、基地局と、前記基地局と接続された
Ｎ台（Ｎは２以上の整数）の端末からなる同報通信が可
能な通信システムの排他的鍵共有法を、秘密鍵をＳと
し、ＳおよびＮより大きい素数または素数のべき数をｐ
とし、（ｐ−１）の約数をｑとし、基地局が特定できる
特定端末数を１とし、各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧ
Ｆ(ｑ)の元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、基地局
は、（Ｓ,ｐ,ｇ,Ｓ1,…,ＳN）を保持し、（１）基地局
は、ＧＦ(ｐ)の元をｇとし、零でないＧＦ(ｑ)の元をｋ
としたとき、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）基地局は、特定端末ａの秘密情報Ｓa
から排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）基地局は、特定端末ａを除く全て
の端末ｊ(ｊ≠ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）各端末ｊ(ｊ≠ａ)は、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、基地局との共有鍵Ｋを求める
という構成とした。
めに、本発明では、基地局と、前記基地局と接続された
Ｎ台（Ｎは２以上の整数）の端末からなる同報通信が可
能な通信システムの排他的鍵共有法を、秘密鍵をＳと
し、ＳおよびＮより大きい素数または素数のべき数をｐ
とし、（ｐ−１）の約数をｑとし、基地局が特定できる
特定端末数を１とし、各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧ
Ｆ(ｑ)の元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、基地局
は、（Ｓ,ｐ,ｇ,Ｓ1,…,ＳN）を保持し、（１）基地局
は、ＧＦ(ｐ)の元をｇとし、零でないＧＦ(ｑ)の元をｋ
としたとき、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）基地局は、特定端末ａの秘密情報Ｓa
から排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）基地局は、特定端末ａを除く全て
の端末ｊ(ｊ≠ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）各端末ｊ(ｊ≠ａ)は、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、基地局との共有鍵Ｋを求める
という構成とした。
【００１４】このように構成したことにより、基地局か
ら全端末に同報通信をするだけで鍵共有ができるので、
鍵共有のための業務停止期間を短くできるとともに、端
末での処理が削減できるので、計算能力が高くない端末
で高速に鍵共有ができる。
ら全端末に同報通信をするだけで鍵共有ができるので、
鍵共有のための業務停止期間を短くできるとともに、端
末での処理が削減できるので、計算能力が高くない端末
で高速に鍵共有ができる。
【００１５】
【発明の実施の形態】本発明の請求項１記載の発明は、
基地局と、前記基地局と接続されたＮ台（Ｎは２以上の
整数）の端末からなる同報通信が可能な通信システムの
排他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよ
び前記Ｎより大きい素数または素数のべき数をｐとし、
（ｐ−１）の約数をｑとし、基地局が特定できる端末数
（以下、特定端末数という）を１とし、前記各端末ｉ
(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ 1,…,ＳN）を保持し、（１）
前記基地局は、ＧＦ(ｐ)の元をｇとし、零でないＧＦ
(ｑ)の元をｋとしたとき、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、特定端末ａの秘密情報
Ｓaから排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記基地局は、前記特定端末ａを
除く全ての端末ｊ(ｊ≠ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、前記準備情報
Ｃ1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、
前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とす
る、前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする、
前記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐを計算をすることにより、前記基地局との共
有鍵Ｋを求める排他的鍵共有法であり、基地局から各端
末に、Ｃ1,Ｃ2と特定端末番号（ａ）を同報送信するの
みで、特定端末ａ以外の端末で鍵共有を可能とするとい
う作用を有する。
基地局と、前記基地局と接続されたＮ台（Ｎは２以上の
整数）の端末からなる同報通信が可能な通信システムの
排他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよ
び前記Ｎより大きい素数または素数のべき数をｐとし、
（ｐ−１）の約数をｑとし、基地局が特定できる端末数
（以下、特定端末数という）を１とし、前記各端末ｉ
(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ 1,…,ＳN）を保持し、（１）
前記基地局は、ＧＦ(ｐ)の元をｇとし、零でないＧＦ
(ｑ)の元をｋとしたとき、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、特定端末ａの秘密情報
Ｓaから排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記基地局は、前記特定端末ａを
除く全ての端末ｊ(ｊ≠ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、前記準備情報
Ｃ1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、
前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とす
る、前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする、
前記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐを計算をすることにより、前記基地局との共
有鍵Ｋを求める排他的鍵共有法であり、基地局から各端
末に、Ｃ1,Ｃ2と特定端末番号（ａ）を同報送信するの
みで、特定端末ａ以外の端末で鍵共有を可能とするとい
う作用を有する。
【００１６】本発明の請求項２記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有装置において、前記基地局は、秘密鍵Ｓおよび前
記Ｎより大きい素数または素数のべき数である法ｐと、
ＧＦ(ｐ)の元ｇと、（ｐ−１）の約数をｑとしたＧＦ
(ｑ)の元ｋとを保持する第１の基地局側記憶部を備え、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧ
Ｆ(ｑ)の元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末のうちの任意の２台からなる集
合） を満たす秘密情報Ｓ1,…,ＳNを保持する第２の基地局側
記憶部をさらに備え、前記秘密鍵Ｓを保持する第３の基
地局側記憶部をさらに備え、前記各端末ｉは、前記
（ｐ，ｇ）を保持する第１の端末側記憶部を備え、前記
秘密情報Ｓiを秘密に保持する第２の端末側記憶部をさ
らに備え、（１）前記基地局は、前記第１の基地局側記
憶部に保存された前記（ｋ，ｐ，ｑ，ｇ）を用いて、準
備情報 Ｃ1＝ｇk modｐ を計算する第１の基地局側計算部をさらに備え、（２）
前記基地局は、特定端末ａを指定する制御部を備え、こ
の制御のもと前記第２の基地局側記憶部に保存された前
記秘密情報Ｓaを出力し、これと前記（ｋ，ｐ，ｑ，
ｇ）を用いて、排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算する第２の基地局側計算部を備え、前記準備情報
Ｃ1と前記特定端末番号ａと共に全端末に同報通信する
送信部を備え、（３）前記基地局は、前記（ｋ，ｐ，
ｑ）と、前記第３の基地局側記憶部に保持された前記秘
密鍵Ｓを用いて、前記端末ａを除く全ての端末ｊ(ｊ≠
ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算する第３の基地局側計算部を備え、（４）前記各
端末ｊ(ｊ≠ａ)は、前記Ｃ1のべき乗剰余値Ｃ1∧(Ｓj×
λ(ｊ,Λ) modｑ) modｐと、前記Ｃ2のべき乗剰余値Ｃ2
∧(λ(ａ,Λ) modｑ) modｐとの積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、前記基地局との共有鍵Ｋを求
める端末側計算部を備える排他的鍵共有装置であり、基
地局から各端末に、Ｃ1,Ｃ2と特定端末番号（ａ）を同
報送信するのみで、特定端末ａ以外の端末で鍵共有を可
能とするという作用を有する。
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有装置において、前記基地局は、秘密鍵Ｓおよび前
記Ｎより大きい素数または素数のべき数である法ｐと、
ＧＦ(ｐ)の元ｇと、（ｐ−１）の約数をｑとしたＧＦ
(ｑ)の元ｋとを保持する第１の基地局側記憶部を備え、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧ
Ｆ(ｑ)の元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末のうちの任意の２台からなる集
合） を満たす秘密情報Ｓ1,…,ＳNを保持する第２の基地局側
記憶部をさらに備え、前記秘密鍵Ｓを保持する第３の基
地局側記憶部をさらに備え、前記各端末ｉは、前記
（ｐ，ｇ）を保持する第１の端末側記憶部を備え、前記
秘密情報Ｓiを秘密に保持する第２の端末側記憶部をさ
らに備え、（１）前記基地局は、前記第１の基地局側記
憶部に保存された前記（ｋ，ｐ，ｑ，ｇ）を用いて、準
備情報 Ｃ1＝ｇk modｐ を計算する第１の基地局側計算部をさらに備え、（２）
前記基地局は、特定端末ａを指定する制御部を備え、こ
の制御のもと前記第２の基地局側記憶部に保存された前
記秘密情報Ｓaを出力し、これと前記（ｋ，ｐ，ｑ，
ｇ）を用いて、排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算する第２の基地局側計算部を備え、前記準備情報
Ｃ1と前記特定端末番号ａと共に全端末に同報通信する
送信部を備え、（３）前記基地局は、前記（ｋ，ｐ，
ｑ）と、前記第３の基地局側記憶部に保持された前記秘
密鍵Ｓを用いて、前記端末ａを除く全ての端末ｊ(ｊ≠
ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算する第３の基地局側計算部を備え、（４）前記各
端末ｊ(ｊ≠ａ)は、前記Ｃ1のべき乗剰余値Ｃ1∧(Ｓj×
λ(ｊ,Λ) modｑ) modｐと、前記Ｃ2のべき乗剰余値Ｃ2
∧(λ(ａ,Λ) modｑ) modｐとの積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、前記基地局との共有鍵Ｋを求
める端末側計算部を備える排他的鍵共有装置であり、基
地局から各端末に、Ｃ1,Ｃ2と特定端末番号（ａ）を同
報送信するのみで、特定端末ａ以外の端末で鍵共有を可
能とするという作用を有する。
【００１７】本発明の請求項３記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有法において、秘密鍵をＳとし、Ｓ，Ｎより大きい
素数または素数のべき数をｐとし、(ｐ−１)の約数をｑ
とし、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端
末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ1,…,ＳN）を保持し、（１）
前記基地局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、ｄ台の特定端末ｉ1,
…,ｉdの秘密情報Ｓi1,…,Ｓidから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ，・・・， Ｃ2d＝ｇ∧(ｋ×Ｓid modｑ) modｐ を計算して、上記排除情報Ｃ21,…,Ｃ2dを、前記準備情
報Ｃ1と特定端末番号ｉ1,…,ｉdと共に全端末に同報通
信し、（３）前記基地局は、前記特定端末ｉ1,…,ｉdを
除く全ての端末ｊ(ｊ≠ｉ1,…,ｉd)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算し、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd)は、Λ
＝｛ｊ,ｉ1,…,ｉd｝とし、λ(ｊ,Λ),λ(ｉ1,Λ),…,
λ(ｉd,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ
21,…,Ｃ2dと自身の前記秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ)×…×Ｃ2d∧(λ(ｉd,Λ) modｑ) modｐ を計算することにより、前記基地局との前記共有鍵Ｋを
求める排他的鍵共有法であり、基地局から各端末に、Ｃ
1,Ｃ21,…,Ｃ2dと特定端末番号（ｉ1,…,ｉd）を同報送
信するのみで、複数の特定端末ｉ1,…,ｉdを除いた端末
で鍵共有を行なうことを可能とするという作用を有す
る。
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有法において、秘密鍵をＳとし、Ｓ，Ｎより大きい
素数または素数のべき数をｐとし、(ｐ−１)の約数をｑ
とし、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端
末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ1,…,ＳN）を保持し、（１）
前記基地局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、ｄ台の特定端末ｉ1,
…,ｉdの秘密情報Ｓi1,…,Ｓidから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ，・・・， Ｃ2d＝ｇ∧(ｋ×Ｓid modｑ) modｐ を計算して、上記排除情報Ｃ21,…,Ｃ2dを、前記準備情
報Ｃ1と特定端末番号ｉ1,…,ｉdと共に全端末に同報通
信し、（３）前記基地局は、前記特定端末ｉ1,…,ｉdを
除く全ての端末ｊ(ｊ≠ｉ1,…,ｉd)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算し、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd)は、Λ
＝｛ｊ,ｉ1,…,ｉd｝とし、λ(ｊ,Λ),λ(ｉ1,Λ),…,
λ(ｉd,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ
21,…,Ｃ2dと自身の前記秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ)×…×Ｃ2d∧(λ(ｉd,Λ) modｑ) modｐ を計算することにより、前記基地局との前記共有鍵Ｋを
求める排他的鍵共有法であり、基地局から各端末に、Ｃ
1,Ｃ21,…,Ｃ2dと特定端末番号（ｉ1,…,ｉd）を同報送
信するのみで、複数の特定端末ｉ1,…,ｉdを除いた端末
で鍵共有を行なうことを可能とするという作用を有す
る。
【００１８】本発明の請求項４記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有法において、秘密鍵をＳとし、前記Ｓと前記Ｎよ
り大きい素数または素数のべき数をｐとし、(ｐ−１)の
約数をｑとし、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、
鍵共有時に実際に前記基地局が特定する端末数（以下、
実際特定端末数という）Ｄを、前記特定端末数ｄより小
さい１以上の数とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、 ＳN+1＝Ｓ＋ｆ1×(Ｎ＋１)＋…＋ｆd×(Ｎ＋１)d mod
ｑ，・・・，ＳN+d-1＝Ｓ＋ｆ1×(Ｎ＋ｄ−１)＋…＋ｆ
d×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報ＳN+1,…,Ｓ
N+d-1と前記秘密情報Ｓ1,…,ＳNと、前記秘密鍵Ｓ、前
記法ｐ、前記ＧＦ(ｐ)の元ｇを保持し、（１）前記基地
局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記Ｄ台の特定端末ｉ
1,…,ｉDの秘密情報Ｓi1,…,ＳiDと前記秘密情報ＳN+1,
…,ＳN+d-1の内任意のｖ(＝ｄ−Ｄ)個の秘密情報Ｓb1,
…,Ｓ bvとから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ,・・・, Ｃ2D＝ｇ∧(ｋ×ＳiD modｑ) modｐ, Ｃ2b1＝ｇ∧(ｋ×Ｓb1 modｑ) modｐ,・・・, Ｃ2bv＝ｇ∧(ｋ×Ｓbv modｑ) modｐ を計算し、上記排除情報Ｃ21,…,Ｃ2DとＣ2b1,…,Ｃ2bv
と前記準備情報Ｃ1と特定端末番号ｉ1,…,ｉDおよび前
記秘密情報Ｓb1,…,Ｓbvの番号ｂ1,…,ｂvを全端末に同
報通信し、（３）前記基地局は、前記特定端末ｉ1,…,
ｉDを除く全ての端末ｊ(ｊ≠ｉ1,…,ｉD)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉD)は、Λ＝
{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}として、λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｉb1,Λ),…,λ(ｉbv,Λ)
を求め、前記準備情報Ｃ1と前記排除情報Ｃ21,…,Ｃ2D,
Ｃ2b1,…,Ｃ2bvと自身の前記秘密情報Ｓjを用いて、べ
き乗剰余値Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)と、べき乗剰
余値 Ｃ21∧(λ(ｉ1,Λ) modｑ)×…×Ｃ2D∧(λ(ｉD,Λ) mo
dｑ)×Ｃb1∧(λ(ｂ1,Λ) modｑ)×…×Ｃbv∧(λ(ｂv,
Λ) modｑ) modｐ) との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ)×…×Ｃ2D∧(λ(ｉD,Λ) modｑ)×Ｃb1∧(λ(ｂ1,
Λ) modｑ)×…×Ｃbv∧(λ(ｂv,Λ) modｑ) modｐ) を計算することにより、前記基地局との共有鍵Ｋを求め
る排他的鍵共有法排他的鍵共有方法であり、基地局から
各端末に、Ｃ1,Ｃ21,…,Ｃ2d,Ｃ2b1,…,Ｃ2bvと特定端
末番号（ｉ1,…,ｉD,ｂ1,…,ｂv）を同報送信するのみ
で、予め特定端末数ｄを決定しておいても実際の特定端
末数Ｄの特定端末ｉ1,…,ｉDを除いた端末で鍵共有を行
なうことを可能とするという作用を有する。
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる同報通信が可能な通信システムの排他的
鍵共有法において、秘密鍵をＳとし、前記Ｓと前記Ｎよ
り大きい素数または素数のべき数をｐとし、(ｐ−１)の
約数をｑとし、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、
鍵共有時に実際に前記基地局が特定する端末数（以下、
実際特定端末数という）Ｄを、前記特定端末数ｄより小
さい１以上の数とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、 ＳN+1＝Ｓ＋ｆ1×(Ｎ＋１)＋…＋ｆd×(Ｎ＋１)d mod
ｑ，・・・，ＳN+d-1＝Ｓ＋ｆ1×(Ｎ＋ｄ−１)＋…＋ｆ
d×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報ＳN+1,…,Ｓ
N+d-1と前記秘密情報Ｓ1,…,ＳNと、前記秘密鍵Ｓ、前
記法ｐ、前記ＧＦ(ｐ)の元ｇを保持し、（１）前記基地
局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記Ｄ台の特定端末ｉ
1,…,ｉDの秘密情報Ｓi1,…,ＳiDと前記秘密情報ＳN+1,
…,ＳN+d-1の内任意のｖ(＝ｄ−Ｄ)個の秘密情報Ｓb1,
…,Ｓ bvとから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ,・・・, Ｃ2D＝ｇ∧(ｋ×ＳiD modｑ) modｐ, Ｃ2b1＝ｇ∧(ｋ×Ｓb1 modｑ) modｐ,・・・, Ｃ2bv＝ｇ∧(ｋ×Ｓbv modｑ) modｐ を計算し、上記排除情報Ｃ21,…,Ｃ2DとＣ2b1,…,Ｃ2bv
と前記準備情報Ｃ1と特定端末番号ｉ1,…,ｉDおよび前
記秘密情報Ｓb1,…,Ｓbvの番号ｂ1,…,ｂvを全端末に同
報通信し、（３）前記基地局は、前記特定端末ｉ1,…,
ｉDを除く全ての端末ｊ(ｊ≠ｉ1,…,ｉD)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉD)は、Λ＝
{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}として、λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｉb1,Λ),…,λ(ｉbv,Λ)
を求め、前記準備情報Ｃ1と前記排除情報Ｃ21,…,Ｃ2D,
Ｃ2b1,…,Ｃ2bvと自身の前記秘密情報Ｓjを用いて、べ
き乗剰余値Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)と、べき乗剰
余値 Ｃ21∧(λ(ｉ1,Λ) modｑ)×…×Ｃ2D∧(λ(ｉD,Λ) mo
dｑ)×Ｃb1∧(λ(ｂ1,Λ) modｑ)×…×Ｃbv∧(λ(ｂv,
Λ) modｑ) modｐ) との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ)×…×Ｃ2D∧(λ(ｉD,Λ) modｑ)×Ｃb1∧(λ(ｂ1,
Λ) modｑ)×…×Ｃbv∧(λ(ｂv,Λ) modｑ) modｐ) を計算することにより、前記基地局との共有鍵Ｋを求め
る排他的鍵共有法排他的鍵共有方法であり、基地局から
各端末に、Ｃ1,Ｃ21,…,Ｃ2d,Ｃ2b1,…,Ｃ2bvと特定端
末番号（ｉ1,…,ｉD,ｂ1,…,ｂv）を同報送信するのみ
で、予め特定端末数ｄを決定しておいても実際の特定端
末数Ｄの特定端末ｉ1,…,ｉDを除いた端末で鍵共有を行
なうことを可能とするという作用を有する。
【００１９】本発明の請求項５記載の発明は、請求項３
記載の排他的鍵共有法において、前記基地局は、前記秘
密鍵Ｓを任意の整数ｅ個の特定端末数ｄ1,…,ｄeに対し
てそれぞれ分割したｅ組の秘密情報を保持し、一方、前
記端末は各組の中から自身の端末番号に対応したｅ個の
秘密情報を保持しておき、前記特定端末を排除した鍵共
有を行なう場合には、前記基地局および前記端末ｊが、
前記実際特定端末数Ｄと等しい前記特定端末数ｄw(１≦
ｗ≦ｅ)を前記ｄ1,…,ｄeより選択し、前記基地局は選
択された特定端末数ｄwに対応した１組の前記秘密情報
を用いて前記準備情報と前記排除情報を同報通信し、端
末との共有鍵Ｋを求め、一方前記端末ｊはｄwに対応し
た秘密情報を用いて基地局との共有鍵Ｋを求めるもので
あり、実際の特定端末数Ｄに等しい特定端末数ｄwに対
応する秘密情報を選択するのみで、実際の特定端末数Ｄ
の端末を除いた端末で鍵共有を行なうことを可能とする
という作用を有する。
記載の排他的鍵共有法において、前記基地局は、前記秘
密鍵Ｓを任意の整数ｅ個の特定端末数ｄ1,…,ｄeに対し
てそれぞれ分割したｅ組の秘密情報を保持し、一方、前
記端末は各組の中から自身の端末番号に対応したｅ個の
秘密情報を保持しておき、前記特定端末を排除した鍵共
有を行なう場合には、前記基地局および前記端末ｊが、
前記実際特定端末数Ｄと等しい前記特定端末数ｄw(１≦
ｗ≦ｅ)を前記ｄ1,…,ｄeより選択し、前記基地局は選
択された特定端末数ｄwに対応した１組の前記秘密情報
を用いて前記準備情報と前記排除情報を同報通信し、端
末との共有鍵Ｋを求め、一方前記端末ｊはｄwに対応し
た秘密情報を用いて基地局との共有鍵Ｋを求めるもので
あり、実際の特定端末数Ｄに等しい特定端末数ｄwに対
応する秘密情報を選択するのみで、実際の特定端末数Ｄ
の端末を除いた端末で鍵共有を行なうことを可能とする
という作用を有する。
【００２０】本発明の請求項６記載の発明は、請求項１
記載の排他的鍵共有法において、前記秘密鍵Ｓを全端末
の秘密鍵とし、前記Ｓを指数とし、前記ｐを法とする前
記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、全ての端末の分
解された秘密情報Ｓ1,Ｓ 2,…,ＳNを秘密に保持し、
（１）前記基地局は、整数ｋを任意に生成し、前記ｋを
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記特定端末ａの前記
秘密情報Ｓaを用いて前記ｋとの前記法ｑ上での積を求
め、これを指数とし、前記ｐを法とし、前記ｇを底とす
る排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある共有鍵 Ｋ＝ｙk modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記共有鍵Ｋの法ｐ上での積
（以後、暗号文という） Ｃ3＝Ｍ×Ｋ modｐ を計算して、前記準備情報Ｃ1と特定端末番号ａと共に
全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)は、
Λ＝{ｊ,ａ}として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前
記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘密情報
Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上で
の積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする前
記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ) を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との前記共通データＭとして求めるもので
あり、任意のＭを設定可能にするという作用を有する。
記載の排他的鍵共有法において、前記秘密鍵Ｓを全端末
の秘密鍵とし、前記Ｓを指数とし、前記ｐを法とする前
記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、全ての端末の分
解された秘密情報Ｓ1,Ｓ 2,…,ＳNを秘密に保持し、
（１）前記基地局は、整数ｋを任意に生成し、前記ｋを
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記特定端末ａの前記
秘密情報Ｓaを用いて前記ｋとの前記法ｑ上での積を求
め、これを指数とし、前記ｐを法とし、前記ｇを底とす
る排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある共有鍵 Ｋ＝ｙk modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記共有鍵Ｋの法ｐ上での積
（以後、暗号文という） Ｃ3＝Ｍ×Ｋ modｐ を計算して、前記準備情報Ｃ1と特定端末番号ａと共に
全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)は、
Λ＝{ｊ,ａ}として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前
記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘密情報
Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上で
の積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする前
記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ) を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との前記共通データＭとして求めるもので
あり、任意のＭを設定可能にするという作用を有する。
【００２１】本発明の請求項７記載の発明は、請求項１
記載の排他的鍵共有法において、前記全端末の秘密鍵Ｓ
を指数とし、前記ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とする、前記特定端末ａの公開情報ｙaのべき
乗剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある前記共有鍵 Ｋ＝ｙk modｐ＝ｇ∧(Ｓ×ｋ) modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記Ｋの法ｐ上での積である
前記暗号文 Ｃ3＝Ｍ×Ｋ modｐ を計算し、前記準備情報Ｃ1と前記特定端末番号ａと共
に全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)
は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ(ａ,Λ)を求
め、前記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘
密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法
ｑ上での積を指数とし、前記Ｃ1を底とするべき乗剰余
値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とし、前
記Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ modｐ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との共通データＭとして求めるものであ
り、任意のＭを設定可能とし、基地局に各端末の秘密情
報を記憶する必要をなくして安全性を向上させ、予め秘
密情報を共有する必要をなくしてセットアップの負荷を
減らすという作用を有する。
記載の排他的鍵共有法において、前記全端末の秘密鍵Ｓ
を指数とし、前記ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とする、前記特定端末ａの公開情報ｙaのべき
乗剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある前記共有鍵 Ｋ＝ｙk modｐ＝ｇ∧(Ｓ×ｋ) modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記Ｋの法ｐ上での積である
前記暗号文 Ｃ3＝Ｍ×Ｋ modｐ を計算し、前記準備情報Ｃ1と前記特定端末番号ａと共
に全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)
は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ(ａ,Λ)を求
め、前記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘
密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法
ｑ上での積を指数とし、前記Ｃ1を底とするべき乗剰余
値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とし、前
記Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ modｐ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との共通データＭとして求めるものであ
り、任意のＭを設定可能とし、基地局に各端末の秘密情
報を記憶する必要をなくして安全性を向上させ、予め秘
密情報を共有する必要をなくしてセットアップの負荷を
減らすという作用を有する。
【００２２】本発明の請求項８記載の発明は、請求項１
記載の排他的鍵共有法において、前記秘密鍵Ｓを前記基
地局の秘密鍵とし、前記Ｓを指数とし、前記ｐを法とす
る前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を基地局の公開鍵（ただし、端末には公開しない）と
し、前記各端末は、前記基地局の秘密鍵Ｓの分解された
秘密情報Ｓ1,Ｓ2,…,ＳNをそれぞれ秘密に保持し、前記
基地局は、端末の分解された秘密情報Ｓ1,Ｓ2,…,ＳNそ
れぞれを指数とし、前記ｐを法とする前記ｇのべき乗剰
余値である公開情報 ｙ1＝ｇS1 modｐ，ｙ2＝ｇS2 modｐ，…,ｙN＝ｇSN mod
ｐ を利用でき、（１） 前記基地局は、(1-a)整数ｋを任意
に生成し、法ｑ上で求めた（−ｋ）を指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値 Ｃ0＝ｇ∧(−ｋ modｑ) modｐ を計算し、(1-b)前記特定端末ａを除く全ての端末ｊ(ｊ
≠ａ)との共通データＭを生成して、前記Ｍと前記Ｃ0と
の法ｐ上での積 ｒ＝Ｍ×Ｃ0 modｐ を求め、(1-c)前記ｒの前記ｑで除したときの剰余 ｒ'＝ｒ modｑ を求め、(1-d)前記ｒ'、前記ｋ、前記基地局の秘密鍵Ｓ
を用いて、 ｋ＝ｓ−ｒ'×Ｓ modｑ を満たす値ｓを求め、(1-e)法ｑ上で求めた（−ｒ）を
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇ∧(−ｒ modｑ) modｐ を計算し、(1-f)前記特定端末ａの前記公開情報ｙaを用
いて、法ｑ上で求めた（−ｒ）を指数とし、前記ｐを法
とする前記ｙaのべき乗剰余値である排除情報 Ｃ2＝ｙa∧(−ｒ modｑ) modｐ を計算し、(1-g)前記(ｒ,ｓ)をＭの署名として前記
Ｃ1，Ｃ2とともに全端末に同報通信し、（２）前記各端
末ｊ(ｊ≠ａ)は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ
(ａ,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ2と
自身の前記秘密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,
Λ)の法ｑ上での積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、法ｑ上で求めた前記λ(ａ,Λ)を指数とする前記Ｃ2
のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) modｑ) modｐ ＝ｙ∧(−ｒ modｑ) modｐ を前記法ｐ上で求め、また、前記ｓを指数とする前記ｇ
のべき乗剰余値と、前記ｒおよび、前記Ｋの法ｐ上での
積 ｒ×ｇs×Ｋ modｐ を計算することにより、前記共通データＭを求めるもの
であり、同時に基地局のディジタル署名を検証可能にす
るという作用を有する。
記載の排他的鍵共有法において、前記秘密鍵Ｓを前記基
地局の秘密鍵とし、前記Ｓを指数とし、前記ｐを法とす
る前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を基地局の公開鍵（ただし、端末には公開しない）と
し、前記各端末は、前記基地局の秘密鍵Ｓの分解された
秘密情報Ｓ1,Ｓ2,…,ＳNをそれぞれ秘密に保持し、前記
基地局は、端末の分解された秘密情報Ｓ1,Ｓ2,…,ＳNそ
れぞれを指数とし、前記ｐを法とする前記ｇのべき乗剰
余値である公開情報 ｙ1＝ｇS1 modｐ，ｙ2＝ｇS2 modｐ，…,ｙN＝ｇSN mod
ｐ を利用でき、（１） 前記基地局は、(1-a)整数ｋを任意
に生成し、法ｑ上で求めた（−ｋ）を指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値 Ｃ0＝ｇ∧(−ｋ modｑ) modｐ を計算し、(1-b)前記特定端末ａを除く全ての端末ｊ(ｊ
≠ａ)との共通データＭを生成して、前記Ｍと前記Ｃ0と
の法ｐ上での積 ｒ＝Ｍ×Ｃ0 modｐ を求め、(1-c)前記ｒの前記ｑで除したときの剰余 ｒ'＝ｒ modｑ を求め、(1-d)前記ｒ'、前記ｋ、前記基地局の秘密鍵Ｓ
を用いて、 ｋ＝ｓ−ｒ'×Ｓ modｑ を満たす値ｓを求め、(1-e)法ｑ上で求めた（−ｒ）を
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇ∧(−ｒ modｑ) modｐ を計算し、(1-f)前記特定端末ａの前記公開情報ｙaを用
いて、法ｑ上で求めた（−ｒ）を指数とし、前記ｐを法
とする前記ｙaのべき乗剰余値である排除情報 Ｃ2＝ｙa∧(−ｒ modｑ) modｐ を計算し、(1-g)前記(ｒ,ｓ)をＭの署名として前記
Ｃ1，Ｃ2とともに全端末に同報通信し、（２）前記各端
末ｊ(ｊ≠ａ)は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ
(ａ,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ2と
自身の前記秘密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,
Λ)の法ｑ上での積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、法ｑ上で求めた前記λ(ａ,Λ)を指数とする前記Ｃ2
のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) modｑ) modｐ ＝ｙ∧(−ｒ modｑ) modｐ を前記法ｐ上で求め、また、前記ｓを指数とする前記ｇ
のべき乗剰余値と、前記ｒおよび、前記Ｋの法ｐ上での
積 ｒ×ｇs×Ｋ modｐ を計算することにより、前記共通データＭを求めるもの
であり、同時に基地局のディジタル署名を検証可能にす
るという作用を有する。
【００２３】本発明の請求項９記載の発明は、請求項１
記載の排他的鍵共有法において、前記全端末の秘密鍵Ｓ
を指数とし、前記ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とし、前記特定端末ａの公開情報ｙaのべき乗
剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値
を、前記特定端末ａを除く全ての端末ｊ(ｊ≠ａ)との共
有鍵 Ｋ＝ｙk modｐ として求め、（４）前記端末ｊでは、前記準備情報Ｃ1
と前記排除情報Ｃ2と自身の秘密情報Ｓ jを用いて、前記
Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とする、
前記Ｃ1のべき乗剰余値と、前記法ｑ上で求めた前記λ
(ａ,Λ)を指数とする、前記Ｃ2のべき乗剰余値との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を前記法ｐ上で計算することにより、前記基地局との共
有鍵Ｋを求めるものであり、基地局に各端末の秘密情報
を記憶する必要をなくして安全性を向上させ、予め秘密
情報を共有する必要をなくしてセットアップの負荷を減
らすという作用を有する。
記載の排他的鍵共有法において、前記全端末の秘密鍵Ｓ
を指数とし、前記ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とし、前記特定端末ａの公開情報ｙaのべき乗
剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値
を、前記特定端末ａを除く全ての端末ｊ(ｊ≠ａ)との共
有鍵 Ｋ＝ｙk modｐ として求め、（４）前記端末ｊでは、前記準備情報Ｃ1
と前記排除情報Ｃ2と自身の秘密情報Ｓ jを用いて、前記
Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とする、
前記Ｃ1のべき乗剰余値と、前記法ｑ上で求めた前記λ
(ａ,Λ)を指数とする、前記Ｃ2のべき乗剰余値との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を前記法ｐ上で計算することにより、前記基地局との共
有鍵Ｋを求めるものであり、基地局に各端末の秘密情報
を記憶する必要をなくして安全性を向上させ、予め秘密
情報を共有する必要をなくしてセットアップの負荷を減
らすという作用を有する。
【００２４】本発明の請求項10記載の発明は、請求項１
記載の排他的鍵共有法において、前記各端末は、前記秘
密情報Ｓ1，…，ＳNをそれぞれ秘密に保持し、前記Ｎ台
の端末の任意の２台以上のｔ台からなる集合をΛとした
とき、（１）前記基地局は整数ｋを用いて、前記ｋを指
数とし、前記ｐを法とし、前記ｇを底とする前記準備情
報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、ｔ台の特定端末ｉ1,
…,ｉtの任意のｉj(ｊ＝１,…,ｔ)に対して次の式を満
たす共有情報Ｘij Ｘij＝Π(ｇ∧(Ｓu×ｋ)) modｐ（積はｕ∈Λ−{ｉj}
についてとる） を計算し、全ての共有情報Ｘijと前記準備情報Ｃ1を全
端末に同報通信し、（３）前記基地局は、前記特定端末
の秘密情報Ｓi1,…,Ｓitを用いて次の式を満たすＫを計
算して前記ｔ台の特定端末との共有鍵Ｋとし、 Ｋ＝ｇx modｐ， ｘ＝ｋ×ΣＳij modｑ（和はｊ＝１〜ｔについてと
る） （４）前記特定端末ｉjは、前記ｐを法とし、自身の前
記秘密情報Ｓijを指数とする前記Ｃ1のべき乗剰余値と
前記Ｘijの積 Ｘij×Ｃ1 Sij modｐ を法ｐ上で計算することにより、前記基地局との共有鍵
Ｋを求めるものであり、全端末の半数を超えない規模の
グループを高速に構成するという作用を有する。
記載の排他的鍵共有法において、前記各端末は、前記秘
密情報Ｓ1，…，ＳNをそれぞれ秘密に保持し、前記Ｎ台
の端末の任意の２台以上のｔ台からなる集合をΛとした
とき、（１）前記基地局は整数ｋを用いて、前記ｋを指
数とし、前記ｐを法とし、前記ｇを底とする前記準備情
報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、ｔ台の特定端末ｉ1,
…,ｉtの任意のｉj(ｊ＝１,…,ｔ)に対して次の式を満
たす共有情報Ｘij Ｘij＝Π(ｇ∧(Ｓu×ｋ)) modｐ（積はｕ∈Λ−{ｉj}
についてとる） を計算し、全ての共有情報Ｘijと前記準備情報Ｃ1を全
端末に同報通信し、（３）前記基地局は、前記特定端末
の秘密情報Ｓi1,…,Ｓitを用いて次の式を満たすＫを計
算して前記ｔ台の特定端末との共有鍵Ｋとし、 Ｋ＝ｇx modｐ， ｘ＝ｋ×ΣＳij modｑ（和はｊ＝１〜ｔについてと
る） （４）前記特定端末ｉjは、前記ｐを法とし、自身の前
記秘密情報Ｓijを指数とする前記Ｃ1のべき乗剰余値と
前記Ｘijの積 Ｘij×Ｃ1 Sij modｐ を法ｐ上で計算することにより、前記基地局との共有鍵
Ｋを求めるものであり、全端末の半数を超えない規模の
グループを高速に構成するという作用を有する。
【００２５】本発明の請求項11記載の発明は、請求項１
記載の排他的鍵共有法において、前記秘密鍵Ｓの分割を
前記基地局が行ない、あらかじめ前記基地局と前記端末
に備えられた暗号通信手段により、対応する端末に配布
するものであり、秘密鍵Ｓを分割するための第三機関を
不要にするという作用を有する。
記載の排他的鍵共有法において、前記秘密鍵Ｓの分割を
前記基地局が行ない、あらかじめ前記基地局と前記端末
に備えられた暗号通信手段により、対応する端末に配布
するものであり、秘密鍵Ｓを分割するための第三機関を
不要にするという作用を有する。
【００２６】本発明の請求項12記載の発明は、請求項１
記載の排他的鍵共有法において、前記基地局とは別の第
３機関が、前記秘密鍵Ｓの分割、べき乗剰余値ｙ、公開
情報ｙ1,ｙ2,…,ｙNの算出と公開、および前記端末ａに
対応したＳaの埋め込みを行なうものであり、基地局が
秘密鍵Ｓを分割する必要をなくして、基地局の負担を減
らすという作用を有する。
記載の排他的鍵共有法において、前記基地局とは別の第
３機関が、前記秘密鍵Ｓの分割、べき乗剰余値ｙ、公開
情報ｙ1,ｙ2,…,ｙNの算出と公開、および前記端末ａに
対応したＳaの埋め込みを行なうものであり、基地局が
秘密鍵Ｓを分割する必要をなくして、基地局の負担を減
らすという作用を有する。
【００２７】本発明の請求項13記載の発明は、請求項１
記載の排他的鍵共有法において、前記各端末ｉ(1≦ｉ≦
Ｎ)は前記秘密情報Ｓiを、秘密に保持し、前記各端末ｉ
は、前記整数ｆ0（＝Ｓ）,ｆ1,…,ｆdをそれぞれ指数と
し、前記ｐを法とする前記ｇのべき乗剰余値（以後、検
証情報という）ｇf0,ｇf1,…,ｇfdを利用でき、前記各
端末ａは、検証情報と自身の前記秘密情報Ｓiを用いて
次の計算を行ない、 ｇSi＝Π(ｇ∧(ｆj×ａj) modｐ（積はｊ＝０〜ｄに
ついてとる） 両辺が等しいか否かを判定することにより、自身の秘密
情報Ｓiの正当性を確認するものであり、分割を行なう
機関が不正を行なっていないことを検証可能とするとい
う作用を有する。
記載の排他的鍵共有法において、前記各端末ｉ(1≦ｉ≦
Ｎ)は前記秘密情報Ｓiを、秘密に保持し、前記各端末ｉ
は、前記整数ｆ0（＝Ｓ）,ｆ1,…,ｆdをそれぞれ指数と
し、前記ｐを法とする前記ｇのべき乗剰余値（以後、検
証情報という）ｇf0,ｇf1,…,ｇfdを利用でき、前記各
端末ａは、検証情報と自身の前記秘密情報Ｓiを用いて
次の計算を行ない、 ｇSi＝Π(ｇ∧(ｆj×ａj) modｐ（積はｊ＝０〜ｄに
ついてとる） 両辺が等しいか否かを判定することにより、自身の秘密
情報Ｓiの正当性を確認するものであり、分割を行なう
機関が不正を行なっていないことを検証可能とするとい
う作用を有する。
【００２８】本発明の請求項14記載の発明は、請求項１
記載の排他的鍵共有法において、前記同報通信可能な通
信システムに新規に加入する端末に対して、新たな端末
番号Ｉ（Ｉ＞Ｎ）を設定し、 ＳI＝Ｓ＋ｆ1×Ｉ を計算することにより求められた秘密情報ＳIを秘密に
保持させるものであり、システム構築後に新規端末を加
入させることを可能にするという作用を有する。
記載の排他的鍵共有法において、前記同報通信可能な通
信システムに新規に加入する端末に対して、新たな端末
番号Ｉ（Ｉ＞Ｎ）を設定し、 ＳI＝Ｓ＋ｆ1×Ｉ を計算することにより求められた秘密情報ＳIを秘密に
保持させるものであり、システム構築後に新規端末を加
入させることを可能にするという作用を有する。
【００２９】本発明の請求項15記載の発明は、請求項１
記載の排他的鍵共有法において、前記端末ｉは、前記秘
密情報Ｓiの代わりに前記ｐを法とし、前記Ｓiを指数と
する前記Ｃ1のべき乗剰余値（＝Ｃ1 Si modｐ）を秘密に
保存するものであり、端末同士が結託しても秘密鍵Ｓを
求めることができないようにするという作用を有する。
記載の排他的鍵共有法において、前記端末ｉは、前記秘
密情報Ｓiの代わりに前記ｐを法とし、前記Ｓiを指数と
する前記Ｃ1のべき乗剰余値（＝Ｃ1 Si modｐ）を秘密に
保存するものであり、端末同士が結託しても秘密鍵Ｓを
求めることができないようにするという作用を有する。
【００３０】本発明の請求項16記載の発明は、請求項１
記載の排他的鍵共有法において、前記基地局が、前記特
定端末を含む全ての前記Λについての前記λ(ｉ,Λ)を
求め、前記法ｑ上で求めた各前記λ(ｉ,Λ)を指数と
し、前記ｐを法とする前記排除情報Ｃ2のべき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ を計算し、鍵共有時に同報通信し、前記特定端末ａを除
く全ての端末ｊ(ｊ≠ａ)では、前記ｊを含む前記Λに対
応した前記べき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ) を用いて共有鍵Ｋを求めるものであり、端末の計算量を
少なくするという作用を有する。
記載の排他的鍵共有法において、前記基地局が、前記特
定端末を含む全ての前記Λについての前記λ(ｉ,Λ)を
求め、前記法ｑ上で求めた各前記λ(ｉ,Λ)を指数と
し、前記ｐを法とする前記排除情報Ｃ2のべき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ を計算し、鍵共有時に同報通信し、前記特定端末ａを除
く全ての端末ｊ(ｊ≠ａ)では、前記ｊを含む前記Λに対
応した前記べき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ) を用いて共有鍵Ｋを求めるものであり、端末の計算量を
少なくするという作用を有する。
【００３１】本発明の請求項17記載の発明は、請求項１
記載の排他的鍵共有法において、前記基地局と前記特定
端末ａを除く全ての端末ｊ(ｊ≠ａ)が共有した前記共有
鍵Ｋと前回の鍵共有時に共有した共有鍵Ｋ1から新規共
有鍵Ｋ2を生成するものであり、一度排除した端末を次
の鍵共有時においても排除し続けることを可能にすると
いう作用を有する。
記載の排他的鍵共有法において、前記基地局と前記特定
端末ａを除く全ての端末ｊ(ｊ≠ａ)が共有した前記共有
鍵Ｋと前回の鍵共有時に共有した共有鍵Ｋ1から新規共
有鍵Ｋ2を生成するものであり、一度排除した端末を次
の鍵共有時においても排除し続けることを可能にすると
いう作用を有する。
【００３２】本発明の請求項18記載の発明は、請求項１
記載の排他的鍵共有法において、前記基地局と前記端末
にあらかじめ備えられたディジタル署名手段において、
基地局から配送されるデータに対して基地局のディジタ
ル署名を付加するものであり、端末でディジタル署名を
検証することにより成りすましや改ざんを検出するとい
う作用を有する。
記載の排他的鍵共有法において、前記基地局と前記端末
にあらかじめ備えられたディジタル署名手段において、
基地局から配送されるデータに対して基地局のディジタ
ル署名を付加するものであり、端末でディジタル署名を
検証することにより成りすましや改ざんを検出するとい
う作用を有する。
【００３３】本発明の請求項19記載の発明は、請求項２
記載の排他的鍵共有装置において、前記基地局の第１、
第２、第３の基地局側記憶部および前記端末の第１、第
２の端末側記憶部は、外部より観測したり変更できない
領域とするものであり、基地局への進入や端末の紛失・
結託に対するセキュリティを向上させるという作用を有
する。
記載の排他的鍵共有装置において、前記基地局の第１、
第２、第３の基地局側記憶部および前記端末の第１、第
２の端末側記憶部は、外部より観測したり変更できない
領域とするものであり、基地局への進入や端末の紛失・
結託に対するセキュリティを向上させるという作用を有
する。
【００３４】本発明の請求項20記載の発明は、請求項１
記載の排他的鍵共有法において、構成されるグループの
規模が全端末の半数を超える場合には請求項１記載の排
他的鍵共有法を適応し、構成されるグループの規模が全
端末の半数を超えない場合には請求項10記載の排他的鍵
共有法を適応するように自動的に選択するものであり、
基地局が意識することなくグループ規模が半数を超える
か超えないかに関わらず効率的に鍵共有を行なえるよう
にするという作用を有する。
記載の排他的鍵共有法において、構成されるグループの
規模が全端末の半数を超える場合には請求項１記載の排
他的鍵共有法を適応し、構成されるグループの規模が全
端末の半数を超えない場合には請求項10記載の排他的鍵
共有法を適応するように自動的に選択するものであり、
基地局が意識することなくグループ規模が半数を超える
か超えないかに関わらず効率的に鍵共有を行なえるよう
にするという作用を有する。
【００３５】本発明の請求項21記載の発明は、請求項１
記載の排他的鍵共有法において、前記端末が保持する秘
密情報の数を、端末の権限に応じて増減させるものであ
り、端末に対して権限の強弱を設定するという作用を有
する。
記載の排他的鍵共有法において、前記端末が保持する秘
密情報の数を、端末の権限に応じて増減させるものであ
り、端末に対して権限の強弱を設定するという作用を有
する。
【００３６】本発明の請求項22記載の発明は、相互に接
続されたＮ台（Ｎは２以上の整数）の端末からなる同報
通信が可能な通信システムの排他的鍵共有法において、
秘密鍵をＳとし、前記Ｓおよび前記Ｎより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇとし、議長端末が特定できる特定
端末数を１とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記議長端末は、零でないＧＦ(ｑ)
の元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記議長端末は、特定端末ａの公開情
報ｙaから排除情報 Ｃ2＝ｙa k modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求める排他的鍵共
有法であり、基地局なしの通信システムにおいて、特定
端末を排除して共通鍵を共有することを可能とするとい
う作用を有する。
続されたＮ台（Ｎは２以上の整数）の端末からなる同報
通信が可能な通信システムの排他的鍵共有法において、
秘密鍵をＳとし、前記Ｓおよび前記Ｎより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇとし、議長端末が特定できる特定
端末数を１とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記議長端末は、零でないＧＦ(ｑ)
の元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記議長端末は、特定端末ａの公開情
報ｙaから排除情報 Ｃ2＝ｙa k modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求める排他的鍵共
有法であり、基地局なしの通信システムにおいて、特定
端末を排除して共通鍵を共有することを可能とするとい
う作用を有する。
【００３７】本発明の請求項23記載の発明は、相互に接
続されたＮ台（Ｎは２以上の整数）の端末からなる同報
通信が可能な通信システムの排他的鍵共有法において、
秘密鍵をＳとし、前記Ｓおよび前記Ｎより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇとし、前記各端末ｉ(１≦ｉ≦Ｎ)
は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、各端末の公開鍵 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）ある端末ａは、零でないＧＦ(ｑ)の
元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記端末ａは、自身の公開鍵ｙaから
排除情報 Ｃ2＝ｙa k modｐ を計算し、来端末番号ａと準備情報Ｃ1と共に全端末に
同報通信し、（３）前記端末ａは、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求める排他的鍵共
有法であり、グループ鍵を更新するという作用を有す
る。
続されたＮ台（Ｎは２以上の整数）の端末からなる同報
通信が可能な通信システムの排他的鍵共有法において、
秘密鍵をＳとし、前記Ｓおよび前記Ｎより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇとし、前記各端末ｉ(１≦ｉ≦Ｎ)
は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、各端末の公開鍵 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）ある端末ａは、零でないＧＦ(ｑ)の
元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記端末ａは、自身の公開鍵ｙaから
排除情報 Ｃ2＝ｙa k modｐ を計算し、来端末番号ａと準備情報Ｃ1と共に全端末に
同報通信し、（３）前記端末ａは、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求める排他的鍵共
有法であり、グループ鍵を更新するという作用を有す
る。
【００３８】本発明の請求項24記載の発明は、請求項22
記載の排他的鍵共有法において、各端末が自身の公開鍵
以外の全ての公開鍵を保有するものであり、公開鍵を管
理する必要をなくすという作用を有する。
記載の排他的鍵共有法において、各端末が自身の公開鍵
以外の全ての公開鍵を保有するものであり、公開鍵を管
理する必要をなくすという作用を有する。
【００３９】本発明の請求項25記載の発明は、請求項
１、３〜17、20〜24記載の排他的鍵共有法において、前
記乗法演算を、任意の有限体上の楕円曲線などの曲線上
の加法演算に対応させるものであり、基地局および端末
の計算を高速化するという作用を有する。
１、３〜17、20〜24記載の排他的鍵共有法において、前
記乗法演算を、任意の有限体上の楕円曲線などの曲線上
の加法演算に対応させるものであり、基地局および端末
の計算を高速化するという作用を有する。
【００４０】以下、本発明の実施の形態を、図１〜図９
を参照して、詳細に説明する。
を参照して、詳細に説明する。
【００４１】（第１の実施の形態）本発明の第１の実施
の形態は、基地局と５つの端末のシステムにおいて、秘
密分散法により秘密鍵Ｓを分散した秘密情報Ｓiを利用
して、各端末に、準備情報(ｇk modｐ)、排除情報（ｇ
kS5 modｐ）、暗号文（Ｍ×Ｋ modｐ）および排除端末
番号（５）を同報通信し、各端末では、Ｃi∧(λ(ｉ,
Λ) modｑ) modｐと、Ｃ2∧(λ(５,Λ) modｑ) modｐと
の積を計算してＫを得て、暗号文(Ｍ×Ｋ modｐ)をＫで
除してＭを求めて基地局０との共通データとして、端末
５を除いた他の端末と基地局で鍵を共有する排他的鍵共
有法である。
の形態は、基地局と５つの端末のシステムにおいて、秘
密分散法により秘密鍵Ｓを分散した秘密情報Ｓiを利用
して、各端末に、準備情報(ｇk modｐ)、排除情報（ｇ
kS5 modｐ）、暗号文（Ｍ×Ｋ modｐ）および排除端末
番号（５）を同報通信し、各端末では、Ｃi∧(λ(ｉ,
Λ) modｑ) modｐと、Ｃ2∧(λ(５,Λ) modｑ) modｐと
の積を計算してＫを得て、暗号文(Ｍ×Ｋ modｐ)をＫで
除してＭを求めて基地局０との共通データとして、端末
５を除いた他の端末と基地局で鍵を共有する排他的鍵共
有法である。
【００４２】図１は、本発明の第１の実施の形態の鍵共
有方法のセットアップを示す図である。図１において、
０は基地局、１〜５は、基地局の管理下にある端末であ
る。６は、基地局内の記憶部、７〜11は、各端末内の、
外部より観測も変更もできない記憶部である。
有方法のセットアップを示す図である。図１において、
０は基地局、１〜５は、基地局の管理下にある端末であ
る。６は、基地局内の記憶部、７〜11は、各端末内の、
外部より観測も変更もできない記憶部である。
【００４３】図２は、本発明の第１の実施の形態の準備
フェーズを示す図である。
フェーズを示す図である。
【００４４】図３は、端末５を除いた全ての端末１,…,
４で共有鍵を共有する場合の鍵共有フェーズを示す図で
ある。
４で共有鍵を共有する場合の鍵共有フェーズを示す図で
ある。
【００４５】図４は、基地局と各端末ｉ(１≦ｉ≦Ｎ)の
構成を示す図である。図４(ａ)は、端末のブロック図で
ある。図４(ａ)において、20は、基地局からのデータを
受信する受信部、21は、法ｐ，ｑと底ｇを保持する第１
の端末側記憶部、22は、秘密情報Ｓiを保持する第２の
端末側記憶部である。23は、鍵共有フェーズで基地局か
ら配送される準備情報Ｃ１、排除情報Ｃ2から共有鍵Ｋ
を計算する第１の端末側計算部、24は、基地局から配送
される暗号文Ｃ3とＫから共通データＭを計算する第２
の端末側計算部である。図４(ｂ)は、基地局のブロック
図である。図４(ｂ)において、25は、法ｐ，ｑと底ｇと
整数ｋを保持する第１の基地局側記憶部、26は、各端末
の公開情報ｙ1,…,ｙ5を保持する第２の基地局側記憶
部、27は、共通データＭと全端末の公開鍵ｙを記憶する
第３の基地局側記憶部である。また、28は、準備情報Ｃ
1を計算する第１の基地局側計算部、29は、排除情報Ｃ2
を計算する第２の基地局側計算部、30は、共有鍵Ｋを計
算し、これと共通データＭから暗号文Ｃ3を計算する第
３の基地局側計算部である。また、31は、特定端末番号
から公開情報を選択し、特定端末番号を送信部32に送る
制御部、32は、準備情報、排除情報、暗号文、特定端末
番号を全端末に同報通信する送信部である。
構成を示す図である。図４(ａ)は、端末のブロック図で
ある。図４(ａ)において、20は、基地局からのデータを
受信する受信部、21は、法ｐ，ｑと底ｇを保持する第１
の端末側記憶部、22は、秘密情報Ｓiを保持する第２の
端末側記憶部である。23は、鍵共有フェーズで基地局か
ら配送される準備情報Ｃ１、排除情報Ｃ2から共有鍵Ｋ
を計算する第１の端末側計算部、24は、基地局から配送
される暗号文Ｃ3とＫから共通データＭを計算する第２
の端末側計算部である。図４(ｂ)は、基地局のブロック
図である。図４(ｂ)において、25は、法ｐ，ｑと底ｇと
整数ｋを保持する第１の基地局側記憶部、26は、各端末
の公開情報ｙ1,…,ｙ5を保持する第２の基地局側記憶
部、27は、共通データＭと全端末の公開鍵ｙを記憶する
第３の基地局側記憶部である。また、28は、準備情報Ｃ
1を計算する第１の基地局側計算部、29は、排除情報Ｃ2
を計算する第２の基地局側計算部、30は、共有鍵Ｋを計
算し、これと共通データＭから暗号文Ｃ3を計算する第
３の基地局側計算部である。また、31は、特定端末番号
から公開情報を選択し、特定端末番号を送信部32に送る
制御部、32は、準備情報、排除情報、暗号文、特定端末
番号を全端末に同報通信する送信部である。
【００４６】図５は、特定端末だけで鍵共有を行なう方
法における鍵共有フェーズを示す図である。
法における鍵共有フェーズを示す図である。
【００４７】本発明の第１の実施の形態の鍵共有方法
は、セットアップ、準備フェーズ、鍵共有フェーズの３
つのフェーズに分けられる。以下、基地局が５つの端末
を管理している場合について、各フェ−ズに分けて説明
する。
は、セットアップ、準備フェーズ、鍵共有フェーズの３
つのフェーズに分けられる。以下、基地局が５つの端末
を管理している場合について、各フェ−ズに分けて説明
する。
【００４８】図１を参照して、本発明の第１の実施の形
態の鍵共有方法のセットアップについて説明する。基地
局０は、秘密鍵Ｓを作成して、秘密に保持する。秘密鍵
Ｓより大きく、端末数５より大きな素数または素数のべ
きｐを作成して、保持する。（ｐ−１）の約数ｑを１つ
求めて保持する。ＧＦ(ｑ)の０でない元ｆ1を求めて保
持する。
態の鍵共有方法のセットアップについて説明する。基地
局０は、秘密鍵Ｓを作成して、秘密に保持する。秘密鍵
Ｓより大きく、端末数５より大きな素数または素数のべ
きｐを作成して、保持する。（ｐ−１）の約数ｑを１つ
求めて保持する。ＧＦ(ｑ)の０でない元ｆ1を求めて保
持する。
【００４９】ｆ(ｚ)＝Ｓ＋ｆ1×ｚ modｑ を用いて、Ｓｉ＝ｆ(ｉ)を計算することにより求めた秘
密情報Ｓｉを、各端末ｉ(１≦ｉ≦５)に暗号通信手段を
用いて秘密に配送する。
密情報Ｓｉを、各端末ｉ(１≦ｉ≦５)に暗号通信手段を
用いて秘密に配送する。
【００５０】５台の端末の任意の２台からなる集合をΛ
としたとき、秘密情報Ｓｉは、 Ｓ＝Σλ(ｉ,Λ)×Ｓｉ（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） を満たす。ただし、集合Λ−{ｉ}は、集合Λから集合
{ｉ}を除いた集合である。たとえば、Λ＝｛１，２｝と
すると、 λ(１,Λ)＝Π｛Ｌ／(Ｌ−１)｝（Ｌ∈{２}） ＝２／（２−１）＝２ λ(２,Λ)＝Π｛Ｌ／(Ｌ−２)｝（Ｌ∈{１}） ＝１／（１−２）＝−１Σ λ(ｉ,Λ)×Ｓｉ（ｉ∈Λ） ＝λ(１,Λ)×Ｓ1＋λ(２,Λ)×Ｓ2 ＝２×ｆ（１）−ｆ（２） ＝２・（Ｓ＋ｆ1）−（Ｓ＋２・ｆ1） ＝Ｓ となる。秘密情報Ｓｉをこのように設定することによ
り、積和の演算で秘密鍵Ｓを求めることができる。した
がって、秘密情報Ｓｉをべき指数とした排除情報をべき
乗して掛けることで、指数部分で積和演算ができる。そ
のため、秘密情報Ｓｉをあからさまにすることなく、指
数部分に隠したままで秘密鍵Ｓを指数部分に得ることが
できて、秘密情報Ｓｉを秘密のまま何度でも利用するこ
とが可能となる。
としたとき、秘密情報Ｓｉは、 Ｓ＝Σλ(ｉ,Λ)×Ｓｉ（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） を満たす。ただし、集合Λ−{ｉ}は、集合Λから集合
{ｉ}を除いた集合である。たとえば、Λ＝｛１，２｝と
すると、 λ(１,Λ)＝Π｛Ｌ／(Ｌ−１)｝（Ｌ∈{２}） ＝２／（２−１）＝２ λ(２,Λ)＝Π｛Ｌ／(Ｌ−２)｝（Ｌ∈{１}） ＝１／（１−２）＝−１Σ λ(ｉ,Λ)×Ｓｉ（ｉ∈Λ） ＝λ(１,Λ)×Ｓ1＋λ(２,Λ)×Ｓ2 ＝２×ｆ（１）−ｆ（２） ＝２・（Ｓ＋ｆ1）−（Ｓ＋２・ｆ1） ＝Ｓ となる。秘密情報Ｓｉをこのように設定することによ
り、積和の演算で秘密鍵Ｓを求めることができる。した
がって、秘密情報Ｓｉをべき指数とした排除情報をべき
乗して掛けることで、指数部分で積和演算ができる。そ
のため、秘密情報Ｓｉをあからさまにすることなく、指
数部分に隠したままで秘密鍵Ｓを指数部分に得ることが
できて、秘密情報Ｓｉを秘密のまま何度でも利用するこ
とが可能となる。
【００５１】各端末１,…,５は、秘密情報Ｓiを記憶部
７,…,11に保持する。基地局０は、法ｐ、ＧＦ(ｐ)の元
ｇを記憶部６に保持する。基地局０は、秘密情報Ｓ1,
…,Ｓ5をそれぞれ指数とし、ｐを法とし、ｇを底とした
公開情報ｙ1(＝ｇS1 modｐ)，ｙ2(＝ｇS2 modｐ),…,ｙ
5(＝ｇS5 modｐ)を計算して記憶部６に保持する。計算
後、Ｓ1，…，Ｓ5は基地局内より消去する。基地局０
は、全端末１,…,５の秘密鍵Ｓを指数とし、ｐを法と
し、ｇを底とする全端末の公開鍵ｙ(＝ｇS modｐ)を計
算して記憶部６に保持する。計算後、Ｓは基地局内より
消去する。
７,…,11に保持する。基地局０は、法ｐ、ＧＦ(ｐ)の元
ｇを記憶部６に保持する。基地局０は、秘密情報Ｓ1,
…,Ｓ5をそれぞれ指数とし、ｐを法とし、ｇを底とした
公開情報ｙ1(＝ｇS1 modｐ)，ｙ2(＝ｇS2 modｐ),…,ｙ
5(＝ｇS5 modｐ)を計算して記憶部６に保持する。計算
後、Ｓ1，…，Ｓ5は基地局内より消去する。基地局０
は、全端末１,…,５の秘密鍵Ｓを指数とし、ｐを法と
し、ｇを底とする全端末の公開鍵ｙ(＝ｇS modｐ)を計
算して記憶部６に保持する。計算後、Ｓは基地局内より
消去する。
【００５２】図２を参照して、本発明の第１の実施の形
態の準備フェーズを説明する。基地局０は、ＧＦ(ｑ)の
０でない元ｋを任意に生成し、ｋを指数とし、ｐを法と
し、ｇを底とする準備情報Ｃ1(＝ｇk modｐ)を計算す
る。整数ｋを指数、ｐを法とし、基地局０が特定した端
末５の公開情報ｙ5を底とする排除情報Ｃ2（＝ｙ5 k mod
ｐ）を計算する。ｋを指数、ｐを法、全端末１，…，５
の公開鍵ｙを底とする共有鍵Ｋ（＝ｙk modｐ＝ｇ∧(Ｓ
×ｋ) modｐ）を求める。同時に特定端末５を除く全て
の端末ｊ（ｊ＝１,…,４）との共通データＭを生成し
て、ＭとＫの法ｐ上での積である暗号文Ｃ3（＝Ｍ×Ｋ
modｐ）を計算する。以上のＣ1、Ｃ2、Ｃ3および特定端
末番号５を全端末に同報通信する。ｋを用いるのは、ｋ
を変更することにより、同じ秘密鍵Ｓを使って異なる共
有鍵Ｋを配送できるようにするためである。
態の準備フェーズを説明する。基地局０は、ＧＦ(ｑ)の
０でない元ｋを任意に生成し、ｋを指数とし、ｐを法と
し、ｇを底とする準備情報Ｃ1(＝ｇk modｐ)を計算す
る。整数ｋを指数、ｐを法とし、基地局０が特定した端
末５の公開情報ｙ5を底とする排除情報Ｃ2（＝ｙ5 k mod
ｐ）を計算する。ｋを指数、ｐを法、全端末１，…，５
の公開鍵ｙを底とする共有鍵Ｋ（＝ｙk modｐ＝ｇ∧(Ｓ
×ｋ) modｐ）を求める。同時に特定端末５を除く全て
の端末ｊ（ｊ＝１,…,４）との共通データＭを生成し
て、ＭとＫの法ｐ上での積である暗号文Ｃ3（＝Ｍ×Ｋ
modｐ）を計算する。以上のＣ1、Ｃ2、Ｃ3および特定端
末番号５を全端末に同報通信する。ｋを用いるのは、ｋ
を変更することにより、同じ秘密鍵Ｓを使って異なる共
有鍵Ｋを配送できるようにするためである。
【００５３】図３を参照して、端末５を除いた全ての端
末１,…,４で共有鍵を共有する場合の鍵共有フェーズを
説明する。端末１では、自己の端末番号１と、受信した
排除端末番号５から、Λ＝｛１，５｝として、 λ(１,Λ)＝５／（５−１）＝５／４ λ(５,Λ)＝１／（１−５）＝−１／４ を計算する。準備情報Ｃ1(＝ｇk modｐ)と、排除情報Ｃ
2(＝ｙ5 k modｐ)を用いて、Ｓ1とλ(１,Λ)を指数と
し、Ｃ1を底とするべき乗剰余値 Ｃ1∧(λ(１,Λ) modｑ) modｐ と、λ(５,Λ)を指数とし、Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(５,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ)×Ｃ2∧(λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(ｋ×Ｓ5×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ ＝Ｋ を求めることによりＫを得る。さらに暗号文Ｃ3(＝Ｍ×
Ｋ modｐ)を法ｐ上でＫで除した値 Ｃ3／Ｋ＝Ｍ×Ｋ／Ｋ modｐ＝Ｍ を求めて基地局０との共通データとする。
末１,…,４で共有鍵を共有する場合の鍵共有フェーズを
説明する。端末１では、自己の端末番号１と、受信した
排除端末番号５から、Λ＝｛１，５｝として、 λ(１,Λ)＝５／（５−１）＝５／４ λ(５,Λ)＝１／（１−５）＝−１／４ を計算する。準備情報Ｃ1(＝ｇk modｐ)と、排除情報Ｃ
2(＝ｙ5 k modｐ)を用いて、Ｓ1とλ(１,Λ)を指数と
し、Ｃ1を底とするべき乗剰余値 Ｃ1∧(λ(１,Λ) modｑ) modｐ と、λ(５,Λ)を指数とし、Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(５,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ)×Ｃ2∧(λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(ｋ×Ｓ5×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ ＝Ｋ を求めることによりＫを得る。さらに暗号文Ｃ3(＝Ｍ×
Ｋ modｐ)を法ｐ上でＫで除した値 Ｃ3／Ｋ＝Ｍ×Ｋ／Ｋ modｐ＝Ｍ を求めて基地局０との共通データとする。
【００５４】以上の計算は、端末２〜４でも同様に行な
うことができ、結果として、端末１〜４で共通データＭ
を共有することができる。
うことができ、結果として、端末１〜４で共通データＭ
を共有することができる。
【００５５】一方、端末５においては、基地局０から同
報通信された排除情報Ｃ2(＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) mod
ｐ)と、保持している情報から計算可能なべき乗剰余値
(＝Ｃ1 S 5 modｐ＝ｇ∧(ｋ×Ｓ5) modｐ)が、同じである
こと、Λ＝｛５｝となってλ(５,Λ)が求められないこ
とから、上記鍵共有フェーズでの共有鍵Ｋの算出ができ
ない。そのため、共通データＭを計算することができな
い。
報通信された排除情報Ｃ2(＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) mod
ｐ)と、保持している情報から計算可能なべき乗剰余値
(＝Ｃ1 S 5 modｐ＝ｇ∧(ｋ×Ｓ5) modｐ)が、同じである
こと、Λ＝｛５｝となってλ(５,Λ)が求められないこ
とから、上記鍵共有フェーズでの共有鍵Ｋの算出ができ
ない。そのため、共通データＭを計算することができな
い。
【００５６】各端末は、 Ｋ＝ｇ∧(Ｓ×ｋ) modｐ， Ｃ1＝ｇk modｐ， ｙ＝ｇS modｐ から秘密鍵Ｓを求めることができないため、各分割秘密
情報Ｓaは再利用できる。このため、次の鍵共有からは
セットアップを行なう必要はなく、準備フェーズと鍵共
有フェーズを繰り返せばよい。
情報Ｓaは再利用できる。このため、次の鍵共有からは
セットアップを行なう必要はなく、準備フェーズと鍵共
有フェーズを繰り返せばよい。
【００５７】図４に、以上の処理を行なうための、基地
局と各端末ｉ(１≦ｉ≦Ｎ)の構成を示す。
局と各端末ｉ(１≦ｉ≦Ｎ)の構成を示す。
【００５８】次に、第１の実施の形態における安全性の
説明を行なう。
説明を行なう。
【００５９】（１）すべての端末は、準備フェーズで
は、共有鍵Ｋを求めることは困難である。準備フェーズ
で、例えば端末1が保持する情報は、以下の２つであ
る。 ・秘密情報：Ｓ1 ・準備情報：Ｃ1(＝ｇk modｐ) 以上の情報から共有鍵Ｋを求めるには、Ｓ1から秘密鍵
Ｓを求められればよい。しかし、全端末の秘密鍵ＳはSh
amirのしきい値法（Shamirのしきい値法の詳細は、Mene
zes,van Oorschot,Vanstone著「HANDBOOK of APPLIED C
RYPTOGRAPHY」、出版社CRCを参照されたい。）を用いて
分割しているので、Ｓ1からでは求めることはできな
い。ただし、全端末の秘密鍵Ｓの大きさは総当たり攻撃
に対抗できる程度の大きな数にとっておくことが必要で
ある。
は、共有鍵Ｋを求めることは困難である。準備フェーズ
で、例えば端末1が保持する情報は、以下の２つであ
る。 ・秘密情報：Ｓ1 ・準備情報：Ｃ1(＝ｇk modｐ) 以上の情報から共有鍵Ｋを求めるには、Ｓ1から秘密鍵
Ｓを求められればよい。しかし、全端末の秘密鍵ＳはSh
amirのしきい値法（Shamirのしきい値法の詳細は、Mene
zes,van Oorschot,Vanstone著「HANDBOOK of APPLIED C
RYPTOGRAPHY」、出版社CRCを参照されたい。）を用いて
分割しているので、Ｓ1からでは求めることはできな
い。ただし、全端末の秘密鍵Ｓの大きさは総当たり攻撃
に対抗できる程度の大きな数にとっておくことが必要で
ある。
【００６０】（２）排除される端末５は、鍵共有フェー
ズにおいても、共有鍵Ｋと共通データＭを求めることは
困難である。鍵共有フェーズで排除される端末５が保持
する情報は、上記（１）に追加して、 ・排除情報：Ｃ2(＝ｙS5 ＝ｇ∧(ｋ×Ｓ5) modｐ) ・暗号文 ：Ｃ3(＝Ｍ×Ｋ＝Ｍ×ｇ∧(ｋ×Ｓ) modｐ) である。これらはElGamal暗号における暗号文に等し
い。したがって、法ｐ,ｑ、整数ｋを十分に大きくとっ
ておけば、ElGamal暗号に帰着して、これらから共有鍵
Ｋと共通データＭを求めることが困難となる。具体的に
は、ｐを1024bits以上、ｋ,ｑを160bits以上にすること
が望ましい。
ズにおいても、共有鍵Ｋと共通データＭを求めることは
困難である。鍵共有フェーズで排除される端末５が保持
する情報は、上記（１）に追加して、 ・排除情報：Ｃ2(＝ｙS5 ＝ｇ∧(ｋ×Ｓ5) modｐ) ・暗号文 ：Ｃ3(＝Ｍ×Ｋ＝Ｍ×ｇ∧(ｋ×Ｓ) modｐ) である。これらはElGamal暗号における暗号文に等し
い。したがって、法ｐ,ｑ、整数ｋを十分に大きくとっ
ておけば、ElGamal暗号に帰着して、これらから共有鍵
Ｋと共通データＭを求めることが困難となる。具体的に
は、ｐを1024bits以上、ｋ,ｑを160bits以上にすること
が望ましい。
【００６１】また、端末５を排除して鍵共有した後の準
備フェーズでは、引き続き端末５を排除することが可能
である。これは、例えば５つの端末で共通の秘密鍵を共
有してグループ内の暗号通信を行なっている際に、まず
端末５が紛失または盗難にあい、これに対応して残りの
４端末で新たな共通の秘密鍵を共有する。
備フェーズでは、引き続き端末５を排除することが可能
である。これは、例えば５つの端末で共通の秘密鍵を共
有してグループ内の暗号通信を行なっている際に、まず
端末５が紛失または盗難にあい、これに対応して残りの
４端末で新たな共通の秘密鍵を共有する。
【００６２】次に、さらに端末４も紛失または盗難にあ
い、端末４、５両方とも排除して、次の共通の鍵を共有
する必要が生じる場合である。このためには、端末５排
除後の鍵共有フェーズにおいて、基地局と端末１〜３は
端末５排除時に共有した共通データＭ1と端末４排除時
に共有した共通データＭ2から新規共通データＭ'を作成
（単純にＭ1とＭ2の排他的論理和をとってもよいし、ハ
ッシュ関数を用いてＭ 1とＭ2の和のハッシュ値をとって
もよい。）して使用すればよい。この方法によれば、共
通データＭ1を求められない端末５と共通データＭ2を求
められない端末４は新規共通データＭ'を作成すること
はできない。同様に、共通データＭ1を用いて、共通デ
ータＭ2を共有するための準備情報や排除情報や暗号文
を秘密に配送しても良い。この方法によれは、共通デー
タＭ1を求められない端末５と、端末４は共通データＭ4
を求められない。
い、端末４、５両方とも排除して、次の共通の鍵を共有
する必要が生じる場合である。このためには、端末５排
除後の鍵共有フェーズにおいて、基地局と端末１〜３は
端末５排除時に共有した共通データＭ1と端末４排除時
に共有した共通データＭ2から新規共通データＭ'を作成
（単純にＭ1とＭ2の排他的論理和をとってもよいし、ハ
ッシュ関数を用いてＭ 1とＭ2の和のハッシュ値をとって
もよい。）して使用すればよい。この方法によれば、共
通データＭ1を求められない端末５と共通データＭ2を求
められない端末４は新規共通データＭ'を作成すること
はできない。同様に、共通データＭ1を用いて、共通デ
ータＭ2を共有するための準備情報や排除情報や暗号文
を秘密に配送しても良い。この方法によれは、共通デー
タＭ1を求められない端末５と、端末４は共通データＭ4
を求められない。
【００６３】また、端末４，５が結託して新規共通デー
タＭ'を求めるような場合には、端末５排除後の端末４
排除時の鍵共有フェーズで端末５に対応した排除情報Ｃ
2も配送し、端末１〜３で新規共通データを共有する方
法もある。この方法は実質的には第２の実施の形態にお
いて説明する方法と同じである。
タＭ'を求めるような場合には、端末５排除後の端末４
排除時の鍵共有フェーズで端末５に対応した排除情報Ｃ
2も配送し、端末１〜３で新規共通データを共有する方
法もある。この方法は実質的には第２の実施の形態にお
いて説明する方法と同じである。
【００６４】第１の実施の形態では、各端末の秘密情報
Ｓaは基地局が分割して、暗号通信手段を用いて配送す
るとしたが、これらは基地局と端末以外の信頼できる第
三機関が行なっても構わないし、配送せずに予め秘密情
報Ｓaを端末に埋め込んでおいてもよい。
Ｓaは基地局が分割して、暗号通信手段を用いて配送す
るとしたが、これらは基地局と端末以外の信頼できる第
三機関が行なっても構わないし、配送せずに予め秘密情
報Ｓaを端末に埋め込んでおいてもよい。
【００６５】また、暗号通信手段は秘密鍵暗号を用いた
ものでも公開鍵暗号を用いたものでもよい。ただし、公
開鍵暗号を用いたほうが、基地局が各端末の公開鍵だけ
を保持するため、基地局の不正に対してセキュリティが
向上する。
ものでも公開鍵暗号を用いたものでもよい。ただし、公
開鍵暗号を用いたほうが、基地局が各端末の公開鍵だけ
を保持するため、基地局の不正に対してセキュリティが
向上する。
【００６６】基地局から各端末に配送される全てのデー
タに、基地局のディジタル署名を付加すれば、端末によ
る基地局の認証ができるし、第三者による改ざんを検知
することができ、セキュリティが向上する。
タに、基地局のディジタル署名を付加すれば、端末によ
る基地局の認証ができるし、第三者による改ざんを検知
することができ、セキュリティが向上する。
【００６７】また、第１の実施の形態における各端末の
秘密情報Ｓaが正しく分割されているかどうかは、Peder
senのシェア検証プロトコル（「Proc. of Eurocrypt'9
1」出版社 Springer-Verlagの予稿“Distributed Prove
rs with Applications to Undeniable Signatures”著
T.P.Pedersenを参照のこと。）を適用することができ
る。検証情報｛ｇf0 modｐ, ｇf1 modｐ,…, ｇfN mod
ｐ｝を秘密分割者が公開することにより、各端末が自身
の秘密情報の正しさを確認することができ、セキュリテ
ィが向上する。
秘密情報Ｓaが正しく分割されているかどうかは、Peder
senのシェア検証プロトコル（「Proc. of Eurocrypt'9
1」出版社 Springer-Verlagの予稿“Distributed Prove
rs with Applications to Undeniable Signatures”著
T.P.Pedersenを参照のこと。）を適用することができ
る。検証情報｛ｇf0 modｐ, ｇf1 modｐ,…, ｇfN mod
ｐ｝を秘密分割者が公開することにより、各端末が自身
の秘密情報の正しさを確認することができ、セキュリテ
ィが向上する。
【００６８】基地局が、各端末の秘密情報Ｓaを暗号通
信手段を用いて秘密に各端末に配送し、準備情報Ｃ1も
各端末に配送する構成としたが、基地局がＣ1 Sa modｐ
を計算して暗号通信手段を用いて秘密に各端末に配送し
てもよい。この方法では各端末は直接Ｓａを知ることが
できないので、端末同士が結託してＳを求めることはで
きない。ただし、この場合にはセットアップを鍵共有ご
とに行なう必要がある。
信手段を用いて秘密に各端末に配送し、準備情報Ｃ1も
各端末に配送する構成としたが、基地局がＣ1 Sa modｐ
を計算して暗号通信手段を用いて秘密に各端末に配送し
てもよい。この方法では各端末は直接Ｓａを知ることが
できないので、端末同士が結託してＳを求めることはで
きない。ただし、この場合にはセットアップを鍵共有ご
とに行なう必要がある。
【００６９】基地局が、鍵共有フェーズに端末５を排除
する場合に排除情報Ｃ2を配送する構成としたが、基地
局がＣ2∧(λ(５,Λ) modｑ) modｐを計算して配送して
もよい。この方法では端末の計算量が非常に少なくて済
むが、Λは端末ごとに異なるので通信量が増加する。
する場合に排除情報Ｃ2を配送する構成としたが、基地
局がＣ2∧(λ(５,Λ) modｑ) modｐを計算して配送して
もよい。この方法では端末の計算量が非常に少なくて済
むが、Λは端末ごとに異なるので通信量が増加する。
【００７０】第１の実施の形態ではElGamal暗号を基に
した方法で実施したが、Nyberg-Rueppel署名を基にして
実施することもできる。この方法では端末が共通データ
Ｍに対する基地局のディジタル署名を検証することがで
きる。Nyberg-Rueppel署名の詳細は、Menezes,van Oors
chot,Vanstone著「HANDBOOK of APPLIED CRYPTOGRAPH
Y」（CRC出版）を参照されたい。また、Nyberg-Rueppel
署名は、構成の方法により６種類（正負を考慮するとさ
らに多い）が提案されており、この６種類全てが本発明
に適用可能である。
した方法で実施したが、Nyberg-Rueppel署名を基にして
実施することもできる。この方法では端末が共通データ
Ｍに対する基地局のディジタル署名を検証することがで
きる。Nyberg-Rueppel署名の詳細は、Menezes,van Oors
chot,Vanstone著「HANDBOOK of APPLIED CRYPTOGRAPH
Y」（CRC出版）を参照されたい。また、Nyberg-Rueppel
署名は、構成の方法により６種類（正負を考慮するとさ
らに多い）が提案されており、この６種類全てが本発明
に適用可能である。
【００７１】また、基地局が各端末の公開情報ｙ1,…,
ｙ5を保持する構成としたが、基地局が信頼できる場合
には、代わりに秘密情報Ｓ1,…,Ｓ5を保持してもよい。
ｙ5を保持する構成としたが、基地局が信頼できる場合
には、代わりに秘密情報Ｓ1,…,Ｓ5を保持してもよい。
【００７２】また、第１の実施の形態では、共通データ
Ｍを共通の鍵として用いたが、代わりに共有鍵Ｋ自身を
基地局と端末との共通の鍵をして利用してもよい。
Ｍを共通の鍵として用いたが、代わりに共有鍵Ｋ自身を
基地局と端末との共通の鍵をして利用してもよい。
【００７３】また、第１の実施の形態のようにセットア
ップが終了したシステムに、新規に端末を加入させる場
合には、新たな端末番号を用いて秘密情報を計算して、
この秘密情報を新規端末に秘密に配送してやればよい。
ップが終了したシステムに、新規に端末を加入させる場
合には、新たな端末番号を用いて秘密情報を計算して、
この秘密情報を新規端末に秘密に配送してやればよい。
【００７４】また、第１の実施の形態では、各端末につ
き１個の秘密情報を保持させたが、端末の権限の強弱に
応じて秘密情報の数を増減させることにより、端末ごと
に権限を変更することが可能である。例えば、秘密情報
を１個しか保有していない端末では鍵共有できないが、
２個以上保有している端末では鍵共有が可能というよう
な使用法が可能となる。
き１個の秘密情報を保持させたが、端末の権限の強弱に
応じて秘密情報の数を増減させることにより、端末ごと
に権限を変更することが可能である。例えば、秘密情報
を１個しか保有していない端末では鍵共有できないが、
２個以上保有している端末では鍵共有が可能というよう
な使用法が可能となる。
【００７５】また、第１の実施の形態では有限体ＧＦ
(ｐ)上の離散対数問題の困難さを利用しているが、一般
にこれを任意の有限体上（定義体）の楕円曲線上の離散
対数問題に拡張することができる。この場合には、定義
体のビット数を例えば160ビット程度に削減することが
できるため、データ通信量や端末や基地局における記憶
域のサイズを削減することができる。
(ｐ)上の離散対数問題の困難さを利用しているが、一般
にこれを任意の有限体上（定義体）の楕円曲線上の離散
対数問題に拡張することができる。この場合には、定義
体のビット数を例えば160ビット程度に削減することが
できるため、データ通信量や端末や基地局における記憶
域のサイズを削減することができる。
【００７６】基地局の第１、第２、第３の基地局側記憶
部および端末の第１、第２の端末側記憶部を、外部より
観測したり変更できない領域とすれば、基地局および端
末のユーザおよび第三者は秘密の情報を観測したり変更
できないのでセキュリティを向上できる。また、端末同
士が結託しても全端末の秘密鍵Ｓを求めることが困難に
なる。
部および端末の第１、第２の端末側記憶部を、外部より
観測したり変更できない領域とすれば、基地局および端
末のユーザおよび第三者は秘密の情報を観測したり変更
できないのでセキュリティを向上できる。また、端末同
士が結託しても全端末の秘密鍵Ｓを求めることが困難に
なる。
【００７７】第１の実施の形態では特定端末を排除した
鍵共有を行なったが、以下では、逆に基地局が特定端末
とだけ鍵を共有する方法について説明する。この方法で
は、第１の実施の形態と同じインフラを利用することが
できる。また、グループ規模により第１の実施の形態の
鍵共有法と下記の鍵共有法を自動的に切り換える構成と
すれば、基地局は意識すること無く効率的な方法で鍵共
有を行なうことができる。 図５は、特定端末だけで鍵
共有を行なう方法における鍵共有フェーズを示す。
鍵共有を行なったが、以下では、逆に基地局が特定端末
とだけ鍵を共有する方法について説明する。この方法で
は、第１の実施の形態と同じインフラを利用することが
できる。また、グループ規模により第１の実施の形態の
鍵共有法と下記の鍵共有法を自動的に切り換える構成と
すれば、基地局は意識すること無く効率的な方法で鍵共
有を行なうことができる。 図５は、特定端末だけで鍵
共有を行なう方法における鍵共有フェーズを示す。
【００７８】基地局０は、特定端末１と２に対して、特
定端末１と２の公開情報ｙ1とｙ2を底とし、ｐを法と
し、ｋを指数とする共有情報Ｘ1（＝ｙ2 k modｐ），Ｘ2
（＝ｙ 1 k modｐ）を計算して、準備情報Ｃ1（＝ｇk mod
ｐ）と共に全端末１，…，５に同報通信する。
定端末１と２の公開情報ｙ1とｙ2を底とし、ｐを法と
し、ｋを指数とする共有情報Ｘ1（＝ｙ2 k modｐ），Ｘ2
（＝ｙ 1 k modｐ）を計算して、準備情報Ｃ1（＝ｇk mod
ｐ）と共に全端末１，…，５に同報通信する。
【００７９】基地局０は、整数ｋ、特定端末１、２の公
開情報ｙ1，ｙ2を用いて、指数をｋ、法をｐ、ｙ1とｙ2
の積を底とする共有鍵 Ｋ＝(ｙ1×ｙ2)k ＝ｇ∧(ｋ×(Ｓ1＋Ｓ2) modｑ) modｐ） を計算する。
開情報ｙ1，ｙ2を用いて、指数をｋ、法をｐ、ｙ1とｙ2
の積を底とする共有鍵 Ｋ＝(ｙ1×ｙ2)k ＝ｇ∧(ｋ×(Ｓ1＋Ｓ2) modｑ) modｐ） を計算する。
【００８０】特定端末１は、ｐを法とし、準備情報Ｃ1
を底とし、秘密鍵Ｓ1を指数とするべき乗剰余値と共有
情報Ｘ1の積 Ｃ1 S1×Ｘ1＝ｇ∧(ｋ(Ｓ2＋Ｓ1) modｑ) modｐ を計算をすることにより、共有鍵Ｋを求める構成とすれ
ばよい。この方法では、特定端末２も同様の計算により
共有鍵Ｋを求めることができる。また、システムセット
アップと準備フェーズは第１の実施の形態と同じなの
で、鍵共有フェーズにおいて、特定端末数により第１の
実施の形態と上記特定端末間の鍵共有方法を切り替えれ
ばよい。
を底とし、秘密鍵Ｓ1を指数とするべき乗剰余値と共有
情報Ｘ1の積 Ｃ1 S1×Ｘ1＝ｇ∧(ｋ(Ｓ2＋Ｓ1) modｑ) modｐ を計算をすることにより、共有鍵Ｋを求める構成とすれ
ばよい。この方法では、特定端末２も同様の計算により
共有鍵Ｋを求めることができる。また、システムセット
アップと準備フェーズは第１の実施の形態と同じなの
で、鍵共有フェーズにおいて、特定端末数により第１の
実施の形態と上記特定端末間の鍵共有方法を切り替えれ
ばよい。
【００８１】上記のように、本発明の第１の実施の形態
では、基地局と５つの端末のシステムにおける排他的鍵
共有法を、秘密分散法により秘密鍵Ｓを分散した秘密情
報Ｓ iを利用して、各端末に、準備情報(ｇk modｐ)、排
除情報（ｇkS5 modｐ）、暗号文（Ｍ×Ｋ modｐ）およ
び排除端末番号（５）を同報通信し、各端末では、Ｃ i
∧(λ(ｉ,Λ) modｑ) modｐと、Ｃ2∧(λ(５,Λ) mod
ｑ) modｐとの積を計算してＫを得て、暗号文(Ｍ×Ｋ m
odｐ)をＫで除してＭを求めて基地局０との共通データ
とする構成としたので、少ない通信量で高速に、端末５
を除いた他の端末と基地局で鍵を共有することができ
る。
では、基地局と５つの端末のシステムにおける排他的鍵
共有法を、秘密分散法により秘密鍵Ｓを分散した秘密情
報Ｓ iを利用して、各端末に、準備情報(ｇk modｐ)、排
除情報（ｇkS5 modｐ）、暗号文（Ｍ×Ｋ modｐ）およ
び排除端末番号（５）を同報通信し、各端末では、Ｃ i
∧(λ(ｉ,Λ) modｑ) modｐと、Ｃ2∧(λ(５,Λ) mod
ｑ) modｐとの積を計算してＫを得て、暗号文(Ｍ×Ｋ m
odｐ)をＫで除してＭを求めて基地局０との共通データ
とする構成としたので、少ない通信量で高速に、端末５
を除いた他の端末と基地局で鍵を共有することができ
る。
【００８２】（第２の実施の形態）本発明の第２の実施
の形態は、基地局と５つの端末のシステムにおいて、準
備情報(ｇk modｐ)、排除情報(ｙ4 k modｐ,ｙ5 k mod
ｐ)、暗号文(Ｍ×Ｋ modｐ)を特定端末の番号（４,５）
と共に全端末に同報通信し、端末では、ｇ∧(ｋ×Ｓ1×
λ(１,Λ) modｑ)×ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ)×
ｇ∧(Ｓ5×ｋ×λ(５,Λ)modｑ) modｐを計算してＫを
得て、暗号文Ｋで除して基地局との共通データＭを得
て、端末４と端末５を除いた他の端末と基地局で鍵を共
有する排他的鍵共有法である。
の形態は、基地局と５つの端末のシステムにおいて、準
備情報(ｇk modｐ)、排除情報(ｙ4 k modｐ,ｙ5 k mod
ｐ)、暗号文(Ｍ×Ｋ modｐ)を特定端末の番号（４,５）
と共に全端末に同報通信し、端末では、ｇ∧(ｋ×Ｓ1×
λ(１,Λ) modｑ)×ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ)×
ｇ∧(Ｓ5×ｋ×λ(５,Λ)modｑ) modｐを計算してＫを
得て、暗号文Ｋで除して基地局との共通データＭを得
て、端末４と端末５を除いた他の端末と基地局で鍵を共
有する排他的鍵共有法である。
【００８３】図６は、本発明の第２の実施の形態の排他
的鍵共有法において、端末４と端末５を除いた全ての端
末１，２，３で共通データを共有する場合の鍵共有フェ
ーズを示す図である。本発明の第２の実施の形態のセッ
トアップおよび準備フェーズは、第１の実施の形態と同
じである。
的鍵共有法において、端末４と端末５を除いた全ての端
末１，２，３で共通データを共有する場合の鍵共有フェ
ーズを示す図である。本発明の第２の実施の形態のセッ
トアップおよび準備フェーズは、第１の実施の形態と同
じである。
【００８４】図６を参照して、端末４と端末５を除いた
全ての端末１，２，３で共通データを共有する場合の鍵
共有フェーズを説明する。基地局０は、ｋを指数とし、
ｐを法とし、ｇを底とする準備情報Ｃ1(＝ｇk modｐ)
と、２台の特定端末４，５の公開情報ｙ4，ｙ5を用い
て、整数ｋを指数とし、ｐを法とし、ｇを底とする排除
情報Ｃ24（＝ｙ4 k modｐ），Ｃ25（＝ｙ5 k modｐ）と、
共通データＭと共有鍵Ｋの法ｐ上での積である暗号文Ｃ
3（＝Ｍ×Ｋ modｐ）を特定端末の番号（＝４,５）と共
に全端末に同報通信する。
全ての端末１，２，３で共通データを共有する場合の鍵
共有フェーズを説明する。基地局０は、ｋを指数とし、
ｐを法とし、ｇを底とする準備情報Ｃ1(＝ｇk modｐ)
と、２台の特定端末４，５の公開情報ｙ4，ｙ5を用い
て、整数ｋを指数とし、ｐを法とし、ｇを底とする排除
情報Ｃ24（＝ｙ4 k modｐ），Ｃ25（＝ｙ5 k modｐ）と、
共通データＭと共有鍵Ｋの法ｐ上での積である暗号文Ｃ
3（＝Ｍ×Ｋ modｐ）を特定端末の番号（＝４,５）と共
に全端末に同報通信する。
【００８５】端末１では、Λ＝｛１，４，５｝とし、λ
（１,Λ），λ(４,Λ)，λ(５,Λ)を計算する。準備情
報Ｃ1と排除情報Ｃ24,Ｃ25を用いて、Ｓ1とλ（１,Λ）
の法ｑ上での積を指数とし、Ｃ1を底とするべき乗剰余
値 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) modｐ を計算する。排除情報Ｃ24を用いて、λ(４,Λ)を指数
とし、Ｃ24を底とするべき乗剰余値 Ｃ24∧(λ(４,Λ) modｑ) modｐ ＝ｙ4∧(ｋ×λ(４,Λ) modｑ) modｐ ＝ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ) modｐ を計算する。排除情報Ｃ24,Ｃ25を用いて、λ(５,Λ)を
指数とし、Ｃ25を底とするべき乗剰余値 Ｃ25∧(λ（５,Λ) modｑ) modｐ ＝ｙ5∧(ｋ×λ(５,Λ) modｑ) modｐ ＝ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐ を計算する。これらの積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ) ×Ｃ24∧(λ(４,Λ) modｑ) ×Ｃ25∧(λ（５,Λ) modｑ) modｐ） ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ) ×ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ4×λ(４,Λ) ＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ＝Ｋ を計算することによりＫを得る。さらに、暗号文Ｃ3を
法ｐ上でＫで除した値 Ｃ3／Ｋ modｐ＝Ｍ×Ｋ／Ｋ modｐ＝Ｍ を求め、基地局との共通データＭを得る。
（１,Λ），λ(４,Λ)，λ(５,Λ)を計算する。準備情
報Ｃ1と排除情報Ｃ24,Ｃ25を用いて、Ｓ1とλ（１,Λ）
の法ｑ上での積を指数とし、Ｃ1を底とするべき乗剰余
値 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) modｐ を計算する。排除情報Ｃ24を用いて、λ(４,Λ)を指数
とし、Ｃ24を底とするべき乗剰余値 Ｃ24∧(λ(４,Λ) modｑ) modｐ ＝ｙ4∧(ｋ×λ(４,Λ) modｑ) modｐ ＝ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ) modｐ を計算する。排除情報Ｃ24,Ｃ25を用いて、λ(５,Λ)を
指数とし、Ｃ25を底とするべき乗剰余値 Ｃ25∧(λ（５,Λ) modｑ) modｐ ＝ｙ5∧(ｋ×λ(５,Λ) modｑ) modｐ ＝ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐ を計算する。これらの積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ) ×Ｃ24∧(λ(４,Λ) modｑ) ×Ｃ25∧(λ（５,Λ) modｑ) modｐ） ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(Ｓ4×ｋ×λ(４,Λ) modｑ) ×ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ4×λ(４,Λ) ＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ＝Ｋ を計算することによりＫを得る。さらに、暗号文Ｃ3を
法ｐ上でＫで除した値 Ｃ3／Ｋ modｐ＝Ｍ×Ｋ／Ｋ modｐ＝Ｍ を求め、基地局との共通データＭを得る。
【００８６】以上の計算は、端末２，３でも同様に行な
うことができ、結果として、端末１〜３で共通データＭ
を共有することができる。また、次の鍵共有からはセッ
トアップを行なう必要はない。
うことができ、結果として、端末１〜３で共通データＭ
を共有することができる。また、次の鍵共有からはセッ
トアップを行なう必要はない。
【００８７】一方、端末４，５においては、基地局から
同報通信され排除情報Ｃ24（＝ｙ4 k＝ｇ∧(ｋ×Ｓ4) mo
dｐ），Ｃ25（＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) modｐ）と、保持
している情報から計算できるべき乗剰余値（Ｃ1 S4 mod
ｐ＝ｇ∧(ｋ×Ｓ4) modｐ，Ｃ1 S5modｐ＝ｇ∧(ｋ×Ｓ5)
modｐ）が同じであること、Λ＝｛４，５｝となり、λ
(４,Λ)，λ(５,Λ)が求められないことから、鍵共有フ
ェーズでの共有鍵Ｋの算出ができない。そのため、共通
データＭを計算することができない。
同報通信され排除情報Ｃ24（＝ｙ4 k＝ｇ∧(ｋ×Ｓ4) mo
dｐ），Ｃ25（＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) modｐ）と、保持
している情報から計算できるべき乗剰余値（Ｃ1 S4 mod
ｐ＝ｇ∧(ｋ×Ｓ4) modｐ，Ｃ1 S5modｐ＝ｇ∧(ｋ×Ｓ5)
modｐ）が同じであること、Λ＝｛４，５｝となり、λ
(４,Λ)，λ(５,Λ)が求められないことから、鍵共有フ
ェーズでの共有鍵Ｋの算出ができない。そのため、共通
データＭを計算することができない。
【００８８】予め決められた特定端末数ｄ台の排除だけ
でなく、任意数の排除を行なうこともできる。基地局
が、秘密鍵Ｓを任意の整数ｅ個の特定端末数ｄ1，…，
ｄeに対してそれぞれ分割したｅ組の秘密情報を保持し
て、一方、各端末は各組の中から自身の端末番号に対応
した秘密情報を保持しておき、鍵共有を行なう場合には
実際特定端末数Ｄと等しい特定端末数ｄw（１≦ｗ≦
ｅ）をｄ1，…，ｄeより選択して、選択された特定端末
数ｄwに対して分割された秘密情報を用いて、排除情報
を計算して全端末に配送してやればｄ台以内ならば任意
に排除することができる。
でなく、任意数の排除を行なうこともできる。基地局
が、秘密鍵Ｓを任意の整数ｅ個の特定端末数ｄ1，…，
ｄeに対してそれぞれ分割したｅ組の秘密情報を保持し
て、一方、各端末は各組の中から自身の端末番号に対応
した秘密情報を保持しておき、鍵共有を行なう場合には
実際特定端末数Ｄと等しい特定端末数ｄw（１≦ｗ≦
ｅ）をｄ1，…，ｄeより選択して、選択された特定端末
数ｄwに対して分割された秘密情報を用いて、排除情報
を計算して全端末に配送してやればｄ台以内ならば任意
に排除することができる。
【００８９】また、特定端末数ｄよりも実際の特定端末
数Ｄが小さい場合には、全端末の秘密鍵Ｓを通常より
（ｄ−１）個多く分割しておき、この通常より多く分割
したＳ N+1，…，ＳN+d-1をダミーの秘密情報として基地
局が保持しておく。この方法では実際の特定端末数Ｄと
特定端末数ｄの差ｖ（＝ｄ−Ｄ）個の秘密情報Ｓb1，
…，ＳbvをＳN+1，…，ＳN+d-1から基地局が選んで排除
情報を計算して余分に全端末に配送することによりｄ台
以内ならば任意に排除することができる。この方法の場
合、前記ｄ1，ｄ2,，…，ｄeに対応したｅ組の秘密情報
を用いる方法よりも、秘密情報が少なく済む。
数Ｄが小さい場合には、全端末の秘密鍵Ｓを通常より
（ｄ−１）個多く分割しておき、この通常より多く分割
したＳ N+1，…，ＳN+d-1をダミーの秘密情報として基地
局が保持しておく。この方法では実際の特定端末数Ｄと
特定端末数ｄの差ｖ（＝ｄ−Ｄ）個の秘密情報Ｓb1，
…，ＳbvをＳN+1，…，ＳN+d-1から基地局が選んで排除
情報を計算して余分に全端末に配送することによりｄ台
以内ならば任意に排除することができる。この方法の場
合、前記ｄ1，ｄ2,，…，ｄeに対応したｅ組の秘密情報
を用いる方法よりも、秘密情報が少なく済む。
【００９０】上記のように、本発明の第２の実施の形態
では、基地局と５つの端末のシステムにおける排他的鍵
共有法を、準備情報(ｇk modｐ)、排除情報(ｙ4 k mod
ｐ,ｙ5 k modｐ)、暗号文(Ｍ×Ｋ modｐ)を特定端末の番
号（４,５）と共に全端末に同報通信し、端末では、ｇ
∧(ｋ×Ｓ1×λ(１,Λ) modｑ)×ｇ∧(Ｓ4×ｋ×λ(４,
Λ) modｑ)×ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐを
計算してＫを得て、暗号文Ｋで除して基地局との共通デ
ータＭを得る構成としたので、少ない通信量で高速に、
端末４と端末５を除いた他の端末と基地局で鍵を共有す
ることができる。
では、基地局と５つの端末のシステムにおける排他的鍵
共有法を、準備情報(ｇk modｐ)、排除情報(ｙ4 k mod
ｐ,ｙ5 k modｐ)、暗号文(Ｍ×Ｋ modｐ)を特定端末の番
号（４,５）と共に全端末に同報通信し、端末では、ｇ
∧(ｋ×Ｓ1×λ(１,Λ) modｑ)×ｇ∧(Ｓ4×ｋ×λ(４,
Λ) modｑ)×ｇ∧(Ｓ5×ｋ×λ(５,Λ) modｑ) modｐを
計算してＫを得て、暗号文Ｋで除して基地局との共通デ
ータＭを得る構成としたので、少ない通信量で高速に、
端末４と端末５を除いた他の端末と基地局で鍵を共有す
ることができる。
【００９１】（第３の実施の形態）本発明の第３の実施
の形態は、６つの端末のシステムにおいて、秘密分散法
により秘密鍵Ｓを分散した秘密情報Ｓiを利用して、議
長端末から他の各端末に、準備情報Ｃ1(ｇk modｐ)、排
除情報Ｃ2（ｇkS5 modｐ）、暗号文Ｋ（ｇkS modｐ）お
よび排除端末番号（５）を同報通信し、各端末では、Ｃ
1∧(λ(ｉ,Λ) modｑ) ×Ｃ2∧(λ(５,Λ) modｑ) mod
ｐを計算してＫを得て、端末５を除いた他の端末でグル
ープ鍵Ｋを共有する排他的鍵共有法である。
の形態は、６つの端末のシステムにおいて、秘密分散法
により秘密鍵Ｓを分散した秘密情報Ｓiを利用して、議
長端末から他の各端末に、準備情報Ｃ1(ｇk modｐ)、排
除情報Ｃ2（ｇkS5 modｐ）、暗号文Ｋ（ｇkS modｐ）お
よび排除端末番号（５）を同報通信し、各端末では、Ｃ
1∧(λ(ｉ,Λ) modｑ) ×Ｃ2∧(λ(５,Λ) modｑ) mod
ｐを計算してＫを得て、端末５を除いた他の端末でグル
ープ鍵Ｋを共有する排他的鍵共有法である。
【００９２】図７は、本発明の第３の実施の形態の鍵共
有方法のセットアップを示す図である。図８は、本発明
の第３の実施の形態の準備フェーズを示す図である。図
９は、端末５を除いた全ての端末で共有鍵を共有する場
合の鍵共有フェーズを示す図である。
有方法のセットアップを示す図である。図８は、本発明
の第３の実施の形態の準備フェーズを示す図である。図
９は、端末５を除いた全ての端末で共有鍵を共有する場
合の鍵共有フェーズを示す図である。
【００９３】本発明の第３の実施の形態の鍵共有方法
は、セットアップ、準備フェーズ、鍵共有フェーズの３
つのフェーズに分けられる。以下、端末２が議長になっ
て端末５を排除しグループ鍵Ｋを共有する場合につい
て、各フェ−ズに分けて説明する。
は、セットアップ、準備フェーズ、鍵共有フェーズの３
つのフェーズに分けられる。以下、端末２が議長になっ
て端末５を排除しグループ鍵Ｋを共有する場合につい
て、各フェ−ズに分けて説明する。
【００９４】図７を参照して、本発明の第３の実施の形
態の鍵共有方法のセットアップについて説明する。議長
端末２は、秘密鍵Ｓを作成して、秘密に保持する。秘密
鍵Ｓより大きく、端末数６より大きな素数または素数の
べきｐを作成して公開する。（ｐ−１）の約数ｑを１つ
求めて公開する。ＧＦ(ｐ)の元ｇを公開する。
態の鍵共有方法のセットアップについて説明する。議長
端末２は、秘密鍵Ｓを作成して、秘密に保持する。秘密
鍵Ｓより大きく、端末数６より大きな素数または素数の
べきｐを作成して公開する。（ｐ−１）の約数ｑを１つ
求めて公開する。ＧＦ(ｐ)の元ｇを公開する。
【００９５】ＧＦ(ｑ)の０でない元ｆ1を求めて保持す
る。
る。
【００９６】ｆ(ｉ)＝Ｓ＋ｆ1×ｉ modｑ を用いて、Ｓi＝ｆ(ｉ)を計算することにより求めた秘
密情報Ｓiを、各端末ｉ(１≦ｉ≦６)に暗号通信手段を
用いて秘密に配送する。
密情報Ｓiを、各端末ｉ(１≦ｉ≦６)に暗号通信手段を
用いて秘密に配送する。
【００９７】６台の端末の任意の２台からなる集合をΛ
としたとき、秘密情報Ｓiは、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） を満たす。ただし、集合Λ−{ｉ}は、集合Λから集合
{ｉ}を除いた集合である。各端末１,…,６は、秘密情報
Ｓiを記憶部に保持する。
としたとき、秘密情報Ｓiは、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） を満たす。ただし、集合Λ−{ｉ}は、集合Λから集合
{ｉ}を除いた集合である。各端末１,…,６は、秘密情報
Ｓiを記憶部に保持する。
【００９８】議長端末は、秘密情報Ｓ1,…,Ｓ6をそれぞ
れ指数とし、ｐを法とし、ｇを底とした公開情報ｙ1(＝
ｇS1 modｐ),ｙ2(＝ｇS2 modｐ),…,ｙ6(＝ｇS6 modｐ)
を計算して公開する。計算後、Ｓ1,…,Ｓ6は議長端末内
より消去する。議長端末は、全端末１,…,６の秘密鍵Ｓ
を指数とし、ｐを法とし、ｇを底とする全端末の公開鍵
ｙ(＝ｇS modｐ)を計算して公開する。計算後、Ｓは議
長端末内より消去する。 図８を参照して、本発明の第
３の実施の形態の準備フェーズを説明する。
れ指数とし、ｐを法とし、ｇを底とした公開情報ｙ1(＝
ｇS1 modｐ),ｙ2(＝ｇS2 modｐ),…,ｙ6(＝ｇS6 modｐ)
を計算して公開する。計算後、Ｓ1,…,Ｓ6は議長端末内
より消去する。議長端末は、全端末１,…,６の秘密鍵Ｓ
を指数とし、ｐを法とし、ｇを底とする全端末の公開鍵
ｙ(＝ｇS modｐ)を計算して公開する。計算後、Ｓは議
長端末内より消去する。 図８を参照して、本発明の第
３の実施の形態の準備フェーズを説明する。
【００９９】議長端末は、ＧＦ(ｑ)の０でない元ｋを任
意に生成し、ｋを指数とし、ｐを法とし、ｇを底とする
準備情報Ｃ1(＝ｇk modｐ)を計算する。整数ｋを指数と
し、ｐを法とし、議長端末が特定した端末５の公開情報
ｙ5を底とする排除情報Ｃ2（＝ｙ5 k modｐ）を計算す
る。Ｃ1、Ｃ2および特定端末番号５を全端末に同報通信
する。
意に生成し、ｋを指数とし、ｐを法とし、ｇを底とする
準備情報Ｃ1(＝ｇk modｐ)を計算する。整数ｋを指数と
し、ｐを法とし、議長端末が特定した端末５の公開情報
ｙ5を底とする排除情報Ｃ2（＝ｙ5 k modｐ）を計算す
る。Ｃ1、Ｃ2および特定端末番号５を全端末に同報通信
する。
【０１００】図９を参照して、端末５を除いた全ての端
末１,…,４,６で共有鍵を共有する場合の鍵共有フェー
ズを説明する。議長端末は、システム公開鍵ｙを用い
て、グループ鍵 Ｋ＝ｙk modｐ を計算する。
末１,…,４,６で共有鍵を共有する場合の鍵共有フェー
ズを説明する。議長端末は、システム公開鍵ｙを用い
て、グループ鍵 Ｋ＝ｙk modｐ を計算する。
【０１０１】端末１では、自己の端末番号１と、受信し
た排除端末番号５から、Λ＝｛１，５｝として、λ(１,
Λ)とλ(５,Λ)を計算する。準備情報Ｃ1(＝ｇk modｐ)
と、排除情報Ｃ2(＝ｙ5 k modｐ)を用いて、Ｓ1とλ(１,
Λ)を指数とし、Ｃ1を底とするべき乗剰余値 Ｃ1∧(λ(１,Λ) modｑ) modｐ と、λ(５,Λ)を指数とし、Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(５,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ)×Ｃ2∧(λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(ｋ×Ｓ5×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ ＝Ｋ を求めることによりＫを得る。
た排除端末番号５から、Λ＝｛１，５｝として、λ(１,
Λ)とλ(５,Λ)を計算する。準備情報Ｃ1(＝ｇk modｐ)
と、排除情報Ｃ2(＝ｙ5 k modｐ)を用いて、Ｓ1とλ(１,
Λ)を指数とし、Ｃ1を底とするべき乗剰余値 Ｃ1∧(λ(１,Λ) modｑ) modｐ と、λ(５,Λ)を指数とし、Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(５,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓ1×λ(１,Λ) modｑ)×Ｃ2∧(λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×Ｓ1×λ(１,Λ) modｑ) ×ｇ∧(ｋ×Ｓ5×λ(５,Λ) modｑ) modｐ ＝ｇ∧(ｋ×(Ｓ1×λ(１,Λ)＋Ｓ5×λ(５,Λ) modｑ)) modｐ ＝ｇ∧(ｋ×Ｓ modｑ) modｐ ＝Ｋ を求めることによりＫを得る。
【０１０２】以上の計算は、端末３〜４，６でも同様に
行なうことができ、結果として、端末１〜４，６で共通
データＫを共有することができる。
行なうことができ、結果として、端末１〜４，６で共通
データＫを共有することができる。
【０１０３】一方、端末５においては、議長端末から同
報通信された排除情報Ｃ2(＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) mod
ｐ)と、保持している情報から計算可能なべき乗剰余値
(＝Ｃ1 S 5 modｐ＝ｇ∧(ｋ×Ｓ5) modｐ)が、同じである
こと、Λ＝｛５｝となってλ(５,Λ)が求められないこ
とから、上記鍵共有フェーズでの共有鍵Ｋの算出ができ
ない。
報通信された排除情報Ｃ2(＝ｙ5 k＝ｇ∧(ｋ×Ｓ5) mod
ｐ)と、保持している情報から計算可能なべき乗剰余値
(＝Ｃ1 S 5 modｐ＝ｇ∧(ｋ×Ｓ5) modｐ)が、同じである
こと、Λ＝｛５｝となってλ(５,Λ)が求められないこ
とから、上記鍵共有フェーズでの共有鍵Ｋの算出ができ
ない。
【０１０４】各端末は、Ｋ，Ｃ1，ｙから秘密鍵Ｓを求
めることができないため、各分割秘密情報Ｓiは再利用
できる。このため、次の鍵共有からはセットアップを行
なう必要はなく、準備フェーズと鍵共有フェーズを繰り
返せばよい。
めることができないため、各分割秘密情報Ｓiは再利用
できる。このため、次の鍵共有からはセットアップを行
なう必要はなく、準備フェーズと鍵共有フェーズを繰り
返せばよい。
【０１０５】新規加入端末がある場合は、新規加入端末
ｉにＳi＝ｆ(ｉ)を秘密に配送すればよい。
ｉにＳi＝ｆ(ｉ)を秘密に配送すればよい。
【０１０６】共有鍵の定期更新方法について説明する。
例えば、３番の端末が鍵を変更する場合、乱数ｋを発生
して、Ｃ1を作成して他の端末に同報通信する。３番の
端末の公開鍵ｙ3を用いて、３番の端末を排除する場合
のＣ2を作成して他の端末に同報通信する。３番以外は
同じ鍵を共有できる。３番は、全端末の公開鍵ｙと自身
が生成した乱数ｋを用いて他の端末との共有鍵を求める
ことができる。誰でもが２つの情報を送ることにより、
同報鍵の一斉変更ができる。
例えば、３番の端末が鍵を変更する場合、乱数ｋを発生
して、Ｃ1を作成して他の端末に同報通信する。３番の
端末の公開鍵ｙ3を用いて、３番の端末を排除する場合
のＣ2を作成して他の端末に同報通信する。３番以外は
同じ鍵を共有できる。３番は、全端末の公開鍵ｙと自身
が生成した乱数ｋを用いて他の端末との共有鍵を求める
ことができる。誰でもが２つの情報を送ることにより、
同報鍵の一斉変更ができる。
【０１０７】つまり、これは鍵共有の提案者（端末３）
が、自分を排除する鍵共有を基地局がしていたように行
ない、最後に自分も全端末の公開鍵から共有鍵を生成す
る。
が、自分を排除する鍵共有を基地局がしていたように行
ない、最後に自分も全端末の公開鍵から共有鍵を生成す
る。
【０１０８】端末の格付け方法について説明する。端末
の中でも使用者による権限の違いがあり、議長がいるも
のとする。議長のみのグループを構成して、通信内容に
より受け取り手を制限することを目的とする。具体的な
方法としては、議長と他の端末でシェアＳiの数（重
み）を変えることにより実現する。
の中でも使用者による権限の違いがあり、議長がいるも
のとする。議長のみのグループを構成して、通信内容に
より受け取り手を制限することを目的とする。具体的な
方法としては、議長と他の端末でシェアＳiの数（重
み）を変えることにより実現する。
【０１０９】例えば、セットアップにおいて、議長は、
しきい値３のシェアを２個持ち、他の端末は同じくしき
い値３のシェアを１個持つ。鍵共有フェーズにおいて、
議長はダミーのシェアを１個作って排除情報を送る。そ
の結果、議長は鍵共有できるが他の端末はできない。
しきい値３のシェアを２個持ち、他の端末は同じくしき
い値３のシェアを１個持つ。鍵共有フェーズにおいて、
議長はダミーのシェアを１個作って排除情報を送る。そ
の結果、議長は鍵共有できるが他の端末はできない。
【０１１０】別の例としては、セットアップにおいて、
議長は、しきい値４のシェアを３個持ち、副議長は同シ
ェアを２個持ち、他の端末は同シェアを１個持つように
する。鍵共有フェーズにおいて、議長はダミーのシェア
を１個作って排除情報を送る。その結果、議長は鍵共有
できるが、副議長と他の端末は鍵共有できない。議長が
ダミーのシェアを２個作って排除情報を送ると、議長と
副議長は鍵共有できるが他の端末はできない。
議長は、しきい値４のシェアを３個持ち、副議長は同シ
ェアを２個持ち、他の端末は同シェアを１個持つように
する。鍵共有フェーズにおいて、議長はダミーのシェア
を１個作って排除情報を送る。その結果、議長は鍵共有
できるが、副議長と他の端末は鍵共有できない。議長が
ダミーのシェアを２個作って排除情報を送ると、議長と
副議長は鍵共有できるが他の端末はできない。
【０１１１】上記のように、本発明の第３の実施の形態
では、排他的鍵共有法を、６つの端末のシステムにおい
て、秘密分散法により秘密鍵Ｓを分散した秘密情報Ｓi
を利用して、議長端末から他の各端末に、準備情報Ｃ
1(ｇk modｐ)、排除情報Ｃ2（ｇkS5 modｐ）、暗号文Ｋ
（ｇkS modｐ）および排除端末番号（５）を同報通信
し、各端末では、Ｃ1∧(λ(ｉ,Λ) modｑ) ×Ｃ2∧(λ
(５,Λ) modｑ) modｐを計算してＫを得て、端末５を除
いた他の端末でグループ鍵Ｋを共有する構成としたの
で、基地局のないシステムでも、少ない通信量で高速
に、端末５を除いた他の端末で鍵を共有することができ
る。
では、排他的鍵共有法を、６つの端末のシステムにおい
て、秘密分散法により秘密鍵Ｓを分散した秘密情報Ｓi
を利用して、議長端末から他の各端末に、準備情報Ｃ
1(ｇk modｐ)、排除情報Ｃ2（ｇkS5 modｐ）、暗号文Ｋ
（ｇkS modｐ）および排除端末番号（５）を同報通信
し、各端末では、Ｃ1∧(λ(ｉ,Λ) modｑ) ×Ｃ2∧(λ
(５,Λ) modｑ) modｐを計算してＫを得て、端末５を除
いた他の端末でグループ鍵Ｋを共有する構成としたの
で、基地局のないシステムでも、少ない通信量で高速
に、端末５を除いた他の端末で鍵を共有することができ
る。
【０１１２】
【発明の効果】以上説明したように、本発明では、基地
局と接続されたＮ台の端末からなる同報通信が可能な通
信システムの排他的鍵共有法を、秘密鍵をＳとし、各端
末ｉは、Ｓ＝Σλ(ｉ,Λ)×Ｓiを満たす秘密情報Ｓi
を秘密に保持し、基地局は、準備情報Ｃ1（ｇk modｐ）
と、排除情報Ｃ2（ｇ∧(ｋ×Ｓa modｑ) modｐ）を、特
定端末番号ａと共に全端末に同報通信し、各端末ｊ(ｊ
≠ａ)は、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,
Λ) modｑ) modｐを計算をすることにより、基地局との
共有鍵Ｋを求める構成としたので、処理の簡素化と安全
性の向上が実現できるという効果が得られる。
局と接続されたＮ台の端末からなる同報通信が可能な通
信システムの排他的鍵共有法を、秘密鍵をＳとし、各端
末ｉは、Ｓ＝Σλ(ｉ,Λ)×Ｓiを満たす秘密情報Ｓi
を秘密に保持し、基地局は、準備情報Ｃ1（ｇk modｐ）
と、排除情報Ｃ2（ｇ∧(ｋ×Ｓa modｑ) modｐ）を、特
定端末番号ａと共に全端末に同報通信し、各端末ｊ(ｊ
≠ａ)は、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,
Λ) modｑ) modｐを計算をすることにより、基地局との
共有鍵Ｋを求める構成としたので、処理の簡素化と安全
性の向上が実現できるという効果が得られる。
【０１１３】また、排他的鍵共有法を、秘密鍵をＳと
し、特定端末数をｄとし、各端末ｉは、Ｓ＝Σλ(ｉ,
Λ)×Ｓiを満たす秘密情報Ｓiを秘密に保持し、基地局
は、準備情報Ｃ1＝ｇk modｐと、排除情報Ｃ21（ｇ∧
(ｋ×Ｓi1 modｑ) modｐ），・・・，Ｃ2d（ｇ∧(ｋ×
Ｓid modｑ) modｐ）を、特定端末番号ｉ1,…,ｉdと共
に全端末に同報通信し、各端末ｊは、Ｃ1∧(Ｓj×λ
(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) modｑ)×…×Ｃ2d
∧(λ(ｉd,Λ) modｑ) modｐを計算することにより、基
地局との共有鍵Ｋを求める構成としたので、基地局から
全端末に、Ｃ1,Ｃ2a,Ｃ2bと特定端末番号（ａ，ｂ）を
同報通信するだけで、２個の端末を同時に排除できると
いう効果が得られる。
し、特定端末数をｄとし、各端末ｉは、Ｓ＝Σλ(ｉ,
Λ)×Ｓiを満たす秘密情報Ｓiを秘密に保持し、基地局
は、準備情報Ｃ1＝ｇk modｐと、排除情報Ｃ21（ｇ∧
(ｋ×Ｓi1 modｑ) modｐ），・・・，Ｃ2d（ｇ∧(ｋ×
Ｓid modｑ) modｐ）を、特定端末番号ｉ1,…,ｉdと共
に全端末に同報通信し、各端末ｊは、Ｃ1∧(Ｓj×λ
(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) modｑ)×…×Ｃ2d
∧(λ(ｉd,Λ) modｑ) modｐを計算することにより、基
地局との共有鍵Ｋを求める構成としたので、基地局から
全端末に、Ｃ1,Ｃ2a,Ｃ2bと特定端末番号（ａ，ｂ）を
同報通信するだけで、２個の端末を同時に排除できると
いう効果が得られる。
【図１】本発明の第１の実施の形態の鍵共有方法におけ
るセットアップを示す図、
るセットアップを示す図、
【図２】第１の実施の形態の鍵共有方法における準備フ
ェーズを示す図、
ェーズを示す図、
【図３】第１の実施の形態の鍵共有方法において、端末
５を除いた全ての端末で共有する鍵共有フェーズを示す
図、
５を除いた全ての端末で共有する鍵共有フェーズを示す
図、
【図４】第１の実施の形態の鍵共有方法における各端末
と基地局の構成を示す図、
と基地局の構成を示す図、
【図５】第１の実施の形態の鍵共有方法における全端末
の半数を超えない数の端末が鍵を共有する場合の鍵共有
フェーズ図、
の半数を超えない数の端末が鍵を共有する場合の鍵共有
フェーズ図、
【図６】本発明の第２の実施の形態の鍵共有方法におい
て、特定端末４，５を除いた全端末で共有鍵を共有する
場合の鍵共有フェーズを示す図、
て、特定端末４，５を除いた全端末で共有鍵を共有する
場合の鍵共有フェーズを示す図、
【図７】本発明の第３の実施の形態の鍵共有方法におけ
るセットアップを示す図、
るセットアップを示す図、
【図８】第３の実施の形態の鍵共有方法における準備フ
ェーズを示す図、
ェーズを示す図、
【図９】第３の実施の形態の鍵共有方法においる鍵共有
フェーズを示す図、
フェーズを示す図、
【図１０】第１の従来例における鍵共有方式を示す図、
【図１１】第２の従来例における鍵共有方式を示す図で
ある。
ある。
０ 基地局 １〜５ 端末１〜端末５ ６ 基地局内の記憶部 ７〜11 端末内の記憶部 19 受信部 20 第１の端末側記憶部 21 第２の端末側記憶部 22 第１の端末側計算部 23 第２の端末側計算部 24 第３の端末側計算部 25 第１の基地局側記憶部 26 第２の基地局側記憶部 27 第３の基地局側記憶部 28 第１の基地局側計算部 29 第２の基地局側計算部 30 第３の基地局側計算部 31 制御部 32 送信部
───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 平９−212089（ＪＰ，Ａ) 特開 平10−22991（ＪＰ，Ａ) 特許2865654（ＪＰ，Ｂ２) 安斉潤 他；“マスク付きグループ鍵 共有法”1999年暗号と情報セキュリティ シンポジウム予稿集 Ｖｏｌ．２／２ （1999．１．26）ｐ．835−840 松崎なつめ 他；“マスク付きグルー プ鍵共有法（その２）”電子情報通信学 会技術研究報告（ＳＳＴ98−113〜129) Ｖｏｌ．98，Ｎｏ．657（1999．３．10) ｐ．67−72 松崎なつめ 他；“マスク付きグルー プ鍵共有を少量の加入者計算で行う方 法”2000年暗号と情報セキュリティ・シ ンポジウム（2000．１．27）Ｃ−18 (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/08 H04L 9/32 G09C 1/00 H04B 7/26
Claims (25)
- 【請求項１】 基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有法において、秘密鍵をＳと
し、前記Ｓおよび前記Ｎより大きい素数または素数のべ
き数をｐとし、（ｐ−１）の約数をｑとし、基地局が特
定できる端末数（以下、特定端末数という）を１とし、
前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ 1,…,ＳN）を保持し、（１）
前記基地局は、ＧＦ(ｐ)の元をｇとし、零でないＧＦ
(ｑ)の元をｋとしたとき、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、特定端末ａの秘密情報
Ｓaから排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記基地局は、前記特定端末ａを
除く全ての端末ｊ(ｊ≠ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、前記準備情報
Ｃ1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、
前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とす
る、前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする、
前記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、前記基地局との共有鍵Ｋを求
めることを特徴とする排他的鍵共有法。 - 【請求項２】 基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有装置において、前記基地局
は、秘密鍵Ｓおよび前記Ｎより大きい素数または素数の
べき数である法ｐと、ＧＦ(ｐ)の元ｇと、（ｐ−１）の
約数をｑとしたＧＦ(ｑ)の元ｋとを保持する第１の基地
局側記憶部を備え、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧ
Ｆ(ｑ)の元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末のうちの任意の２台からなる集
合） を満たす秘密情報Ｓ1,…,ＳNを保持する第２の基地局側
記憶部をさらに備え、前記秘密鍵Ｓを保持する第３の基
地局側記憶部をさらに備え、 前記各端末ｉは、前記（ｐ，ｇ）を保持する第１の端末
側記憶部を備え、前記秘密情報Ｓiを秘密に保持する第
２の端末側記憶部をさらに備え、（１）前記基地局は、
前記第１の基地局側記憶部に保存された前記（ｋ，ｐ，
ｑ，ｇ）を用いて、準備情報 Ｃ1＝ｇk modｐ を計算する第１の基地局側計算部をさらに備え、（２）
前記基地局は、特定端末ａを指定する制御部を備え、こ
の制御のもと前記第２の基地局側記憶部に保存された前
記秘密情報Ｓaを出力し、これと前記（ｋ，ｐ，ｑ，
ｇ）を用いて、排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算する第２の基地局側計算部を備え、前記準備情報
Ｃ1と前記特定端末番号ａと共に全端末に同報通信する
送信部を備え、（３）前記基地局は、前記（ｋ，ｐ，
ｑ）と、前記第３の基地局側記憶部に保持された前記秘
密鍵Ｓを用いて、前記端末ａを除く全ての端末ｊ(ｊ≠
ａ)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算する第３の基地局側計算部を備え、（４）前記各
端末ｊ(ｊ≠ａ)は、前記Ｃ1のべき乗剰余値Ｃ1∧(Ｓj×
λ(ｊ,Λ) modｑ) modｐと、前記Ｃ2のべき乗剰余値Ｃ2
∧(λ(ａ,Λ) modｑ) modｐとの積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、前記基地局との共有鍵Ｋを求
める端末側計算部を備えることを特徴とする排他的鍵共
有装置。 - 【請求項３】 基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有法において、秘密鍵をＳと
し、Ｓ，Ｎより大きい素数または素数のべき数をｐと
し、(ｐ−１)の約数をｑとし、特定端末数をｄ(１≦ｄ
＜Ｎ−１)とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、前記（Ｓ,ｐ,ｇ,Ｓ1,…,ＳN）を保持し、（１）
前記基地局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、ｄ台の特定端末ｉ1,
…,ｉdの秘密情報Ｓi1,…,Ｓidから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ，・・・， Ｃ2d＝ｇ∧(ｋ×Ｓid modｑ) modｐ を計算して、上記排除情報Ｃ21,…,Ｃ2dを、前記準備情
報Ｃ1と特定端末番号ｉ1,…,ｉdと共に全端末に同報通
信し、（３）前記基地局は、前記特定端末ｉ1,…,ｉdを
除く全ての端末ｊ(ｊ≠ｉ1,…,ｉd)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を計算し、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd)は、Λ
＝｛ｊ,ｉ1,…,ｉd｝とし、λ(ｊ,Λ),λ(ｉ1,Λ),…,
λ(ｉd,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ
21,…,Ｃ2dと自身の前記秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ) ×…×Ｃ2d∧(λ(ｉd,Λ) modｑ) modｐ を計算することにより、前記基地局との前記共有鍵Ｋを
求めることを特徴とする排他的鍵共有法。 - 【請求項４】 基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有法において、秘密鍵をＳと
し、前記Ｓと前記Ｎより大きい素数または素数のべき数
をｐとし、(ｐ−１)の約数をｑとし、特定端末数をｄ
(１≦ｄ＜Ｎ−１)とし、鍵共有時に実際に前記基地局が
特定する端末数（以下、実際特定端末数という）Ｄを、
前記特定端末数ｄより小さい１以上の数とし、前記各端
末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、Ｓi＝Ｓ＋ｆ1×ｉ＋…＋ｆd×ｉd modｑ （ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ただし、ｆd≠
０） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行なう） Λは、前記Ｎ台の端末の任意の（ｄ＋１）台からなる集
合） を満たす秘密情報Ｓiを秘密に保持しており、前記基地
局は、 ＳN+1＝Ｓ＋ｆ1×(Ｎ＋１)＋…＋ｆd×(Ｎ＋１)d mod
ｑ，・・・，ＳN+d-1＝Ｓ＋ｆ1×(Ｎ＋ｄ−１)＋…＋ｆ
d×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報ＳN+1,…,Ｓ
N+d-1と前記秘密情報Ｓ1,…,ＳNと、前記秘密鍵Ｓ、前
記法ｐ、前記ＧＦ(ｐ)の元ｇを保持し、（１）前記基地
局は、準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記Ｄ台の特定端末ｉ
1,…,ｉDの秘密情報Ｓi1,…,ＳiDと前記秘密情報ＳN+1,
…,ＳN+d-1の内任意のｖ(＝ｄ−Ｄ)個の秘密情報Ｓb1,
…,Ｓ bvとから、排除情報 Ｃ21＝ｇ∧(ｋ×Ｓi1 modｑ) modｐ,・・・, Ｃ2D＝ｇ∧(ｋ×ＳiD modｑ) modｐ, Ｃ2b1＝ｇ∧(ｋ×Ｓb1 modｑ) modｐ,・・・, Ｃ2bv＝ｇ∧(ｋ×Ｓbv modｑ) modｐ を計算し、上記排除情報Ｃ21,…,Ｃ2DとＣ2b1,…,Ｃ2bv
と前記準備情報Ｃ1と特定端末番号ｉ1,…,ｉDおよび前
記秘密情報Ｓb1,…,Ｓbvの番号ｂ1,…,ｂvを全端末に同
報通信し、（３）前記基地局は、前記特定端末ｉ1,…,
ｉDを除く全ての端末ｊ(ｊ≠ｉ1,…,ｉD)との共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉD)は、Λ＝
{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}として、λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｉb1,Λ),…,λ(ｉbv,Λ)
を求め、前記準備情報Ｃ1と前記排除情報Ｃ21,…,Ｃ2D,
Ｃ2b1,…,Ｃ2bvと自身の前記秘密情報Ｓjを用いて、べ
き乗剰余値Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)と、べき乗剰
余値 Ｃ21∧(λ(ｉ1,Λ) modｑ)×…×Ｃ2D∧(λ(ｉD,Λ) mo
dｑ)×Ｃb1∧(λ(ｂ1,Λ) modｑ)×…×Ｃbv∧(λ(ｂv,
Λ) modｑ) modｐ) との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ21∧(λ(ｉ1,Λ) mod
ｑ)×…×Ｃ2D∧(λ(ｉD,Λ) modｑ)×Ｃb1∧(λ(ｂ1,
Λ) modｑ)×…×Ｃbv∧(λ(ｂv,Λ) modｑ) modｐ) を計算することにより、前記基地局との共有鍵Ｋを求め
ることを特徴とする排他的鍵共有法。 - 【請求項５】 前記基地局は、前記秘密鍵Ｓを任意の整
数ｅ個の特定端末数ｄ1,…,ｄeに対してそれぞれ分割し
たｅ組の秘密情報を保持し、一方、前記端末は各組の中
から自身の端末番号に対応したｅ個の秘密情報を保持し
ておき、前記特定端末を排除した鍵共有を行なう場合に
は、前記基地局および前記端末ｊが、前記実際特定端末
数Ｄと等しい前記特定端末数ｄw(１≦ｗ≦ｅ)を前記
ｄ1,…,ｄ eより選択し、前記基地局は選択された特定端
末数ｄwに対応した１組の前記秘密情報を用いて前記準
備情報と前記排除情報を同報通信し、端末との共有鍵Ｋ
を求め、一方前記端末ｊはｄwに対応した秘密情報を用
いて基地局との共有鍵Ｋを求めることを特徴とする請求
項３記載の排他的鍵共有法。 - 【請求項６】 前記秘密鍵Ｓを全端末の秘密鍵とし、前
記Ｓを指数とし、前記ｐを法とする前記ｇのべき乗剰余
値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、全ての端末の分
解された秘密情報Ｓ1,Ｓ 2,…,ＳNを秘密に保持し、
（１）前記基地局は、整数ｋを任意に生成し、前記ｋを
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記特定端末ａの前記
秘密情報Ｓaを用いて前記ｋとの前記法ｑ上での積を求
め、これを指数とし、前記ｐを法とし、前記ｇを底とす
る排除情報 Ｃ2＝ｇ∧(ｋ×Ｓa modｑ) modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある共有鍵 Ｋ＝ｙk modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記共有鍵Ｋの法ｐ上での積
（以後、暗号文という） Ｃ3＝Ｍ×Ｋ modｐ を計算して、前記準備情報Ｃ1と特定端末番号ａと共に
全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)は、
Λ＝{ｊ,ａ}として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前
記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘密情報
Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法ｑ上で
の積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とする前
記Ｃ2のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ) を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との前記共通データＭとして求めることを
特徴とする請求項１記載の排他的鍵共有法。 - 【請求項７】 前記全端末の秘密鍵Ｓを指数とし、前記
ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ（ｋは零でないＧＦ(ｑ)の元） を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とする、前記特定端末ａの公開情報ｙaのべき
乗剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値で
ある前記共有鍵 Ｋ＝ｙk modｐ＝ｇ∧(Ｓ×ｋ) modｐ を求め、同時に任意に前記端末ｊ(ｊ≠ａ)との共通デー
タＭを生成して、前記Ｍと前記Ｋの法ｐ上での積である
前記暗号文 Ｃ3＝Ｍ×Ｋ modｐ を計算し、前記準備情報Ｃ1と前記特定端末番号ａと共
に全端末に同報通信し、（４）前記各端末ｊ(ｊ≠ａ)
は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ(ａ,Λ)を求
め、前記準備情報Ｃ1と前記排除情報Ｃ2と自身の前記秘
密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,Λ)の前記法
ｑ上での積を指数とし、前記Ｃ1を底とするべき乗剰余
値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、前記法ｑ上で求めた前記λ(ａ,Λ)を指数とし、前
記Ｃ2を底とするべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) m
odｑ) modｐ を前記法ｐ上で求め、さらに前記暗号文Ｃ3を法ｐ上で
前記Ｋで除した値 Ｃ3／Ｋ modｐ＝Ｍ×Ｋ／Ｋ modｐ を前記基地局との共通データＭとして求めることを特徴
とする請求項１記載の排他的鍵共有法。 - 【請求項８】 前記秘密鍵Ｓを前記基地局の秘密鍵と
し、前記Ｓを指数とし、前記ｐを法とする前記ｇのべき
乗剰余値 ｙ＝ｇS modｐ を基地局の公開鍵（ただし、端末には公開しない）と
し、前記各端末は、前記基地局の秘密鍵Ｓの分解された
秘密情報Ｓ1,Ｓ2,…,ＳNをそれぞれ秘密に保持し、前記
基地局は、端末の分解された秘密情報Ｓ1,Ｓ2,…,ＳNそ
れぞれを指数とし、前記ｐを法とする前記ｇのべき乗剰
余値である公開情報 ｙ1＝ｇS1 modｐ，ｙ2＝ｇS2 modｐ，…,ｙN＝ｇSN mod
ｐ を利用でき、（１） 前記基地局は、(1-a)整数ｋを任意
に生成し、法ｑ上で求めた（−ｋ）を指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値 Ｃ0＝ｇ∧(−ｋ modｑ) modｐ を計算し、(1-b)前記特定端末ａを除く全ての端末ｊ(ｊ
≠ａ)との共通データＭを生成して、前記Ｍと前記Ｃ0と
の法ｐ上での積 ｒ＝Ｍ×Ｃ0 modｐ を求め、(1-c)前記ｒの前記ｑで除したときの剰余 ｒ'＝ｒ modｑ を求め、(1-d)前記ｒ'、前記ｋ、前記基地局の秘密鍵Ｓ
を用いて、 ｋ＝ｓ−ｒ'×Ｓ modｑ を満たす値ｓを求め、(1-e)法ｑ上で求めた（−ｒ）を
指数とし、前記ｐを法とする前記ｇのべき乗剰余値であ
る準備情報 Ｃ1＝ｇ∧(−ｒ modｑ) modｐ を計算し、(1-f)前記特定端末ａの前記公開情報ｙaを用
いて、法ｑ上で求めた（−ｒ）を指数とし、前記ｐを法
とする前記ｙaのべき乗剰余値である排除情報 Ｃ2＝ｙa∧(−ｒ modｑ) modｐ を計算し、(1-g)前記(ｒ,ｓ)をＭの署名として前記
Ｃ1，Ｃ2とともに全端末に同報通信し、（２）前記各端
末ｊ(ｊ≠ａ)は、Λ＝｛ｊ,ａ｝として、λ(ｊ,Λ)とλ
(ａ,Λ)を求め、前記準備情報Ｃ1と前記排除情報Ｃ2と
自身の前記秘密情報Ｓjを用いて、前記Ｓjと前記λ(ｊ,
Λ)の法ｑ上での積を指数とする前記Ｃ1のべき乗剰余値 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ) modｐ と、法ｑ上で求めた前記λ(ａ,Λ)を指数とする前記Ｃ2
のべき乗剰余値 Ｃ2∧(λ(ａ,Λ) modｑ) modｐ との積 Ｋ＝Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) modｑ) modｐ ＝ｙ∧(−ｒ modｑ) modｐ を前記法ｐ上で求め、また、前記ｓを指数とする前記ｇ
のべき乗剰余値と、前記ｒおよび、前記Ｋの法ｐ上での
積 ｒ×ｇs×Ｋ modｐ を計算することにより、前記共通データＭを求めること
を特徴とする請求項１記載の排他的鍵共有法。 - 【請求項９】 前記全端末の秘密鍵Ｓを指数とし、前記
ｐを法とする前記ｇのべき乗剰余値 ｙ＝ｇS modｐ を全端末の公開鍵とし、前記基地局は、端末の分解され
た秘密情報Ｓ1,Ｓ2,…,ＳNそれぞれを指数とし、前記ｐ
を法とする前記ｇのべき乗剰余値である公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記基地局は、前記整数ｋを任意に
生成し、前記ｋを指数とし、前記ｐを法とする前記ｇの
べき乗剰余値である準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、前記ｋを指数とし、前
記ｐを法とし、前記特定端末ａの公開情報ｙaのべき乗
剰余値である排除情報 Ｃ2＝ｙa k modｐ を計算し、（３）前記基地局は、前記ｋを指数とし、前
記ｐを法とする前記全端末の公開鍵ｙのべき乗剰余値
を、前記特定端末ａを除く全ての端末ｊ(ｊ≠ａ)との共
有鍵 Ｋ＝ｙk modｐ として求め、（４）前記端末ｊでは、前記準備情報Ｃ1
と前記排除情報Ｃ2と自身の秘密情報Ｓ jを用いて、前記
Ｓjと前記λ(ｊ,Λ)の前記法ｑ上での積を指数とする、
前記Ｃ1のべき乗剰余値と、前記法ｑ上で求めた前記λ
(ａ,Λ)を指数とする、前記Ｃ2のべき乗剰余値との積 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を前記法ｐ上で計算することにより、前記基地局との共
有鍵Ｋを求めることを特徴とする請求項１記載の排他的
鍵共有法。 - 【請求項１０】 前記各端末は、前記秘密情報Ｓ1，
…，ＳNをそれぞれ秘密に保持し、前記Ｎ台の端末の任
意の２台以上のｔ台からなる集合をΛとしたとき、
（１）前記基地局は整数ｋを用いて、前記ｋを指数と
し、前記ｐを法とし、前記ｇを底とする前記準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記基地局は、ｔ台の特定端末ｉ1,
…,ｉtの任意のｉj(ｊ＝１,…,ｔ)に対して次の式を満
たす共有情報Ｘij Ｘij＝Π(ｇ∧(Ｓu×ｋ)) modｐ（積はｕ∈Λ−{ｉj}
についてとる） を計算し、全ての共有情報Ｘijと前記準備情報Ｃ1を全
端末に同報通信し、（３）前記基地局は、前記特定端末
の秘密情報Ｓi1,…,Ｓitを用いて次の式を満たすＫを計
算して前記ｔ台の特定端末との共有鍵Ｋとし、 Ｋ＝ｇx modｐ， ｘ＝ｋ×ΣＳij modｑ（和はｊ＝１〜ｔについてと
る） （４）前記特定端末ｉjは、前記ｐを法とし、自身の前
記秘密情報Ｓijを指数とする前記Ｃ1のべき乗剰余値と
前記Ｘijの積 Ｘij×Ｃ1 Sij modｐ を法ｐ上で計算することにより、前記基地局との共有鍵
Ｋを求めることを特徴とする請求項１記載の排他的鍵共
有法。 - 【請求項１１】 前記秘密鍵Ｓの分割を前記基地局が行
ない、あらかじめ前記基地局と前記端末に備えられた暗
号通信手段により、対応する端末に配布することを特徴
とする請求項１記載の排他的鍵共有法。 - 【請求項１２】 前記基地局とは別の第３機関が、前記
秘密鍵Ｓの分割、べき乗剰余値ｙ、公開情報ｙ1,ｙ2,
…,ｙNの算出と公開、および前記端末ａに対応したＳa
の埋め込みを行なうことを特徴とする請求項９記載の排
他的鍵共有法。 - 【請求項１３】 前記各端末ｉ(1≦ｉ≦Ｎ)は前記秘密
情報Ｓiを、秘密に保持し、前記各端末ｉは、前記整数
ｆ0（＝Ｓ）,ｆ1,…,ｆdをそれぞれ指数とし、前記ｐを
法とする前記ｇのべき乗剰余値（以後、検証情報とい
う）ｇf0,ｇf1,…,ｇfdを利用でき、前記各端末ａは、
検証情報と自身の前記秘密情報Ｓiを用いて次の計算を
行ない、 ｇSi＝Π(ｇ∧(ｆj×ａj) modｐ（積はｊ＝０〜ｄに
ついてとる） 両辺が等しいか否かを判定することにより、自身の秘密
情報Ｓiの正当性を確認することを特徴とする請求項３
記載の排他的鍵共有法。 - 【請求項１４】 前記同報通信可能な通信システムに新
規に加入する端末に対して、新たな端末番号Ｉ（Ｉ＞
Ｎ）を設定し、 ＳI＝Ｓ＋ｆ1×Ｉ を計算することにより求められた秘密情報ＳIを秘密に
保持させることを特徴とする請求項１記載の排他的鍵共
有法。 - 【請求項１５】 前記端末ｉは、前記秘密情報Ｓiの代
わりに前記ｐを法とし、前記Ｓiを指数とする前記Ｃ1の
べき乗剰余値（＝Ｃ1 Si modｐ）を秘密に保存すること
を特徴とする請求項１記載の排他的鍵共有法。 - 【請求項１６】 前記基地局が、前記特定端末を含む全
ての前記Λについての前記λ(ｉ,Λ)を求め、前記法ｑ
上で求めた各前記λ(ｉ,Λ)を指数とし、前記ｐを法と
する前記排除情報Ｃ2のべき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ を計算し、鍵共有時に同報通信し、前記特定端末ａを除
く全ての端末ｊ(ｊ≠ａ)では、前記ｊを含む前記Λに対
応した前記べき乗剰余値 Ｃ2∧(λ(ｉ,Λ) modｑ) modｐ) を用いて共有鍵Ｋを求めることを特徴とする請求項１記
載の排他的鍵共有法。 - 【請求項１７】 前記基地局と前記特定端末ａを除く全
ての端末ｊ(ｊ≠ａ)が共有した前記共有鍵Ｋと前回の鍵
共有時に共有した共有鍵Ｋ1から新規共有鍵Ｋ2を生成す
ることを特徴とする請求項１記載の排他的鍵共有法。 - 【請求項１８】 前記基地局と前記端末にあらかじめ備
えられたディジタル署名手段において、基地局から配送
されるデータに対して基地局のディジタル署名を付加す
ることを特徴とする請求項１記載の排他的鍵共有法。 - 【請求項１９】 前記基地局の第１、第２、第３の基地
局側記憶部および前記端末の第１、第２の端末側記憶部
は、外部より観測したり変更できない領域とすることを
特徴とする請求項２記載の排他的鍵共有装置。 - 【請求項２０】 構成されるグループの規模が全端末の
半数を超える場合には請求項１記載の排他的鍵共有法を
適応し、構成されるグループの規模が全端末の半数を超
えない場合には請求項１０記載の排他的鍵共有法を適応
するように自動的に選択することを特徴とする請求項１
および１０記載の排他的鍵共有法。 - 【請求項２１】 前記端末が保持する秘密情報の数を、
端末の権限に応じて増減させることを特徴とする請求項
１記載の排他的鍵共有法。 - 【請求項２２】 相互に接続されたＮ台（Ｎは２以上の
整数）の端末からなる同報通信が可能な通信システムの
排他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよ
び前記Ｎより大きい素数または素数のべき数をｐとし、
（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、議
長端末（任意の端末がなることができる）が特定できる
特定端末数を１とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）前記議長端末は、零でないＧＦ(ｑ)
の元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記議長端末は、特定端末ａの公開情
報ｙaから排除情報 Ｃ2＝ｙa k modｐ を計算し、特定端末番号ａと準備情報Ｃ1と共に全端末
に同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求めることを特徴
とする排他的鍵共有法。 - 【請求項２３】 相互に接続されたＮ台（Ｎは２以上の
整数）の端末からなる同報通信が可能な通信システムの
排他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよ
び前記Ｎより大きい素数または素数のべき数をｐとし、
（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、前
記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行なう） （ただし、 Ｓi＝Ｓ＋ｆ1×ｉ modｑ（ｆ1は零でないＧＦ(ｑ)の
元） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}(積はＬ∈Λ−{ｉ}につ
いて行なう) Λは、前記Ｎ台の端末の任意の２台からなる集合） を満たす秘密情報Ｓiを秘密に保持しており、全端末の
公開鍵 ｙ＝ｇS modｐ と、各端末の公開鍵 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ を利用でき、（１）ある端末ａは、零でないＧＦ(ｑ)の
元ｋを任意に生成し、準備情報 Ｃ1＝ｇk modｐ を計算し、（２）前記端末ａは、自身の公開鍵ｙaから
排除情報 Ｃ2＝ｙa k modｐ を計算し、端末番号ａと準備情報Ｃ1と共に全端末に同
報通信し、（３）前記端末ａは、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ａ)は、Λ＝{ｊ,ａ}
として、λ(ｊ,Λ)とλ(ａ,Λ)を求め、前記準備情報Ｃ
1と前記排除情報Ｃ2と自身の秘密情報Ｓjを用いて、 Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2∧(λ(ａ,Λ) mod
ｑ) modｐ を計算をすることにより、共有鍵Ｋを求めることを特徴
とする排他的鍵共有法。 - 【請求項２４】 各端末が自身の公開鍵以外の全ての公
開鍵を保有することを特徴とする請求項２２記載の排他
的鍵共有法。 - 【請求項２５】 前記乗法演算を、任意の有限体上の楕
円曲線などの曲線上の加法演算に対応させることを特徴
とする請求項１、３〜１７、２０〜２４記載の排他的鍵
共有法。
Priority Applications (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10368817A JP3074164B2 (ja) | 1998-12-25 | 1998-12-25 | 排他的鍵共有法 |
| US09/622,941 US6813357B1 (en) | 1998-12-25 | 1999-12-22 | Exclusive key sharing method |
| PCT/JP1999/007234 WO2000039957A1 (fr) | 1998-12-25 | 1999-12-22 | Procede de partage de cle exclusive |
| EP99961331A EP1059762B1 (en) | 1998-12-25 | 1999-12-22 | Exclusive key sharing method |
| DE69940842T DE69940842D1 (de) | 1998-12-25 | 1999-12-22 | Verfahren zur gemeinsamen nutzung eines exklusiven schlüssels |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP10368817A JP3074164B2 (ja) | 1998-12-25 | 1998-12-25 | 排他的鍵共有法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000196581A JP2000196581A (ja) | 2000-07-14 |
| JP3074164B2 true JP3074164B2 (ja) | 2000-08-07 |
Family
ID=18492838
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP10368817A Expired - Fee Related JP3074164B2 (ja) | 1998-12-25 | 1998-12-25 | 排他的鍵共有法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3074164B2 (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002096139A1 (en) * | 2001-05-23 | 2002-11-28 | Qualcomm Incorporated | Synchronization of stored service parameters in a communication system |
| KR101466780B1 (ko) | 2009-03-03 | 2014-11-28 | 케이디디아이 가부시키가이샤 | 키 공유 시스템, 통신 단말, 관리 장치, 키 공유 방법 및 컴퓨터 프로그램 |
| JP5347597B2 (ja) * | 2009-03-13 | 2013-11-20 | カシオ計算機株式会社 | 秘密情報管理システム、秘密情報管理装置及びプログラム |
| JP5911289B2 (ja) * | 2011-12-16 | 2016-04-27 | セコム株式会社 | 鍵管理システム |
| JP6965832B2 (ja) | 2018-05-29 | 2021-11-10 | 日本電信電話株式会社 | 投票システム、投票中継サーバ、クライアント端末、投票方法、広告配信システム、及びプログラム |
-
1998
- 1998-12-25 JP JP10368817A patent/JP3074164B2/ja not_active Expired - Fee Related
Non-Patent Citations (3)
| Title |
|---|
| 安斉潤 他；"マスク付きグループ鍵共有法"１９９９年暗号と情報セキュリティシンポジウム予稿集 Ｖｏｌ．２／２（１９９９．１．２６）ｐ．８３５−８４０ |
| 松崎なつめ 他；"マスク付きグループ鍵共有を少量の加入者計算で行う方法"２０００年暗号と情報セキュリティ・シンポジウム（２０００．１．２７）Ｃ−１８ |
| 松崎なつめ 他；"マスク付きグループ鍵共有法（その２）"電子情報通信学会技術研究報告（ＳＳＴ９８−１１３〜１２９）Ｖｏｌ．９８，Ｎｏ．６５７（１９９９．３．１０）ｐ．６７−７２ |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000196581A (ja) | 2000-07-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4588874B2 (ja) | 内在的証明書方式 | |
| JP2606419B2 (ja) | 暗号通信システムと暗号通信方法 | |
| US5796833A (en) | Public key sterilization | |
| EP1526676B1 (en) | Conference session key distribution method on an id-based cryptographic system | |
| US8429408B2 (en) | Masking the output of random number generators in key generation protocols | |
| CN108667625B (zh) | 协同sm2的数字签名方法 | |
| JP2003298568A (ja) | 鍵供託を使用しない、認証された個別暗号システム | |
| WO2003094422A1 (fr) | Systeme de communication chiffree, serveur de remise de cle associe, terminal, et procede de partage de cle | |
| WO2000039957A1 (fr) | Procede de partage de cle exclusive | |
| JP3074164B2 (ja) | 排他的鍵共有法 | |
| EP2395698B1 (en) | Implicit certificate generation in the case of weak pseudo-random number generators | |
| CN108964906B (zh) | 协同ecc的数字签名方法 | |
| JPH10177341A (ja) | Ｒｓａ暗号における秘密鍵預託方法およびシステム | |
| JP4146252B2 (ja) | 不正者特定可能な匿名通信方法、それに使用される利用者装置、及び中継サーバ装置 | |
| JP3074168B1 (ja) | 排他的鍵共有法 | |
| US7035405B1 (en) | Method for establishing a common key between a central station and a group of subscribers | |
| KR20050057474A (ko) | 공통 비밀 키를 생성하는 방법 및 시스템 | |
| JP3233605B2 (ja) | 鍵更新方法 | |
| JP2865654B1 (ja) | 鍵更新方法 | |
| JP3032192B1 (ja) | 排他的鍵共有法 | |
| Mishra et al. | A certificateless authenticated key agreement protocol for digital rights management system | |
| Ahmedova et al. | Generation and distribution secret encryption keys with parameter | |
| JPH06112935A (ja) | 暗号通信方法 | |
| JPH11168459A (ja) | 同報暗号通信における暗復号化鍵の配送方法 | |
| JPH07118709B2 (ja) | 秘密情報通信方式 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090602 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090602 Year of fee payment: 9 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090602 Year of fee payment: 9 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100602 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100602 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110602 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120602 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120602 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130602 Year of fee payment: 13 |
|
| LAPS | Cancellation because of no payment of annual fees |