JP3233605B2 - 鍵更新方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、基地局および複数
端末からなるスター型通信システムにおける暗号鍵更新
方法に関し、特に、基地局が特定した端末以外のすべて
の端末に共通の秘密鍵を安全に配送する鍵更新方法に関
する。

【０００２】

【従来の技術】基地局が複数の端末を管理するスター型
通信システムにおいて、基地局と傘下の複数の端末がグ
ループを形成し、グループで同じグループ秘密鍵を共有
して同報の暗号通信を行なう場合を考える。グループ秘
密鍵を用いて暗号化された情報は、同じ秘密鍵を保有す
るグル−プ内の端末だけが復号することができる。

【０００３】ところで、このグループから特定の端末を
排除したい場合が生じうる。それは、例えばグループ内
のある端末が盗難にあい、その端末を用いた暗号通信の
盗聴や偽情報の送信などの不正が考えられる場合などで
ある。このとき、この秘密鍵を管理する基地局は、でき
るだけ速やかに、盗難にあった端末を排除してグループ
秘密鍵を更新し、残りの端末だけで新たな秘密鍵を共有
することが必要となる。

【０００４】図１０は、基地局が特定した端末以外で鍵
データを共有するための、第１の従来例における鍵更新
方法を示す。図１０では、２〜６で示す５個の端末
Ｔ₁、・・・、Ｔ₅が、それぞれ固有鍵ｋ₁、・・・、ｋ₅を保持
しており、基地局１が、全端末の固有鍵を管理してい
る。このとき、例えば基地局１が端末Ｔ₁を排除して、
他の端末Ｔ₂、・・・、Ｔ₅に新しい共通の秘密鍵を配付す
る場合について説明する。

【０００５】まず、基地局１は秘密鍵Ｋを生成し、これ
をそれぞれｋ₂、・・・、ｋ₅を鍵として暗号化し、それぞ
れ端末Ｔ₂、・・・、Ｔ₅に配送する。排除される端末Ｔ₁以
外の各端末Ｔ₂〜Ｔ₅では固有鍵を用いてこれを復号し、
秘密鍵Ｋを獲得する。なお、図１０中において、例えば
Ｅｋ₂（Ｋ）は、Ｋを固有鍵ｋ₂で暗号化した暗号文であ
る。この通信路上のデータは、それぞれ端末Ｔ₂〜Ｔ₅の
固有鍵で暗号化されているため、たとえ端末Ｔ₁がこの
通信データを盗聴したとしても、基地局１が生成した秘
密鍵Ｋを獲得することができない。

【０００６】しかし、この方法では、一般にＮ個の端末
から１つの端末を排除するためには、基地局は（Ｎ−
１）回の暗号化を行ない、（Ｎ−１）個のデータを送信
しなくてはならない。グループが大きくなると、この作
業は基地局にとって非常に負担になる。また、全局更新
まではグループ内の暗号通信等の業務を停止する必要が
あるが、（Ｎ−１）局に配り終えるまでの業務停止期間
が長いと大きな問題である。

【０００７】図１１は、特公平5-46731号公報に示され
た第２の従来例における鍵更新方法である。第２の従来
例では、公開鍵暗号の手法を用いている。図１１では、
２〜６で示す５個の端末Ｔ₁、・・・、Ｔ₅が、それぞれ固
有の秘密鍵（ｅ₁，ｄ₁）、・・・、（ｅ₅，ｄ₅）を保持し
ている。ここで、各秘密鍵（ｅ_i，ｄ_i）は、 ｅ_i×ｄ_i mod(p-1) ＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵 ｐ₁＝ｇ^e1 mod p，・・・，ｐ₅＝ｇ^e5 mod p を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐ_iおよびシステム公開の情報ｇ、
ｐから各端末の秘密鍵（ｅ_i，ｄ_i）を求めることはビッ
ト長を長く取れば離散対数問題に帰着して困難である。
従来例１と同様に、端末Ｔ₁を排除する場合、まず、基
地局は乱数Ｒを生成し、鍵 Ｋ＝ｇ^R mod p を生成するとともに、これより Ｚ₂＝ｐ₂ ^R mod p，・・・，Ｚ₅＝ｐ₅ ^R mod p を求めて、端末Ｔ₁を除いた各Ｔ₂，・・・，Ｔ₅に配送す
る。端末Ｔ₁以外の各端末ｉでは、受け取ったＺ_iと秘密
鍵ｄ_iを用いて、基地局と共通の更新鍵 Ｋ＝Ｚ_i ^di mod p（＝(ｐ_i ^R)^di mod p＝（(ｇ^ei)^di）^R m
od p＝ｇ^R mod p） を獲得する。

【０００８】この方法は、第１の従来例と異なり、基地
局が各端末の秘密鍵を知り得ないため、基地局の不正を
防止できる点で、第１の実施例より安全性が向上してい
る。

【発明が解決しようとする課題】しかし、従来の鍵更新
方法では、Ｎ個の端末から１つの端末を排除するために
は、基地局は（Ｎ−１）回の暗号化を行ない、（Ｎ−
１）個のデータを送信しなくてはならない。例えば、10
00個の端末から１個の端末を排除して、残りの999個の
端末で新たな共通の秘密鍵を共有する場合を考える。こ
のとき、第１および第２の従来例では、999回の暗号化
の処理と999個の暗号文の送信を行なう必要がある。い
ずれにしても、基地局側にとって、これら作業は非常に
負担なものとなる。

【０００９】また、一般に端末は、小型で安価に実現す
る必要性により、それほど計算能力が高くない。このよ
うな端末で、高速に鍵を更新する必要がある。第２の従
来例においては、端末は鍵を獲得するために、長いビッ
ト長のべき乗剰余演算が必要である。この演算を、計算
能力が高くない端末で実現するのは、かなりの負担であ
り、鍵更新までの処理時間が長くなる。

【００１０】本発明は、かかる点に鑑み、特定の端末だ
けを排除して、他の端末で分配鍵情報を共有する方法で
あって、次の点を特徴とする鍵更新方法を実現すること
を目的とする。 （１）基地局から端末への通信量が少ない。

【００１１】基地局における暗号処理の手間が少なく、
暗号文の送信量が少ない。

【００１２】全局更新までの業務停止期間が短い。 （２）計算能力が高くない端末で高速に鍵更新が実現で
きる。

【００１３】端末での処理が削減できる。

【００１４】

【課題を解決するための手段】本発明では、上記の問題
を解決するために、鍵更新方法を、基地局において、 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ （１≦ｉ，ｊ≦Ｎ；ｉ≠ｊ；
Ｎは端末数） を満たすｅ_iを生成して、第１の端末情報として基地局
に保管するとともに、各端末ｉに配布し、（Ｋ，ｎ）を
任意に決定して、 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） を計算して、第２の端末情報として基地局に保管すると
ともに、各端末ｉに配布し、鍵更新時に、基地局が特定
した端末ｋの第１の端末情報ｅ_kと第２の端末情報Ｘ
_kを、基地局から全端末に一斉通知し、端末ｋを除く全
ての端末ｉで、ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ（ｉ≠ｋ） を満たす整数ａ、ｂを求め、Ｘ_iとＸ_kとを用いて、更新
鍵Ｋ^d mod nを求めるという構成とした。

【００１５】このように構成したことにより、基地局か
ら全端末に同報通信をするだけで鍵更新ができるので、
鍵更新のための業務停止期間を短くできるとともに、端
末での処理が削減できるので、計算能力が高くない端末
で高速に鍵更新ができる。

【００１６】

【発明の実施の形態】本発明の請求項１記載の発明は、
基地局と、前記基地局と接続されたＮ台（Ｎは２以上の
整数）の端末からなる通信システムにおいて、前記基地
局は、前記端末の第１の端末情報を格納する第１の基地
局側記憶部と、第２の端末情報を格納する第２の基地局
側記憶部を備え、前記端末は、前記第１の端末情報と前
記第２の端末情報を格納する端末情報格納部と、受信部
と、第１計算部と、第２計算部とを備え、第ｉ番目（ｉ
＝１〜Ｎ）の端末の第１の端末情報は、最大公約数が共
通の整数 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、第２の端末情報は、Ｋを更新鍵
を生成するための情報とするとき、前記ｅ_iをべきとし
整数ｎを法とするＫのべき乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） であり、（１）前記基地局において、鍵更新時に、前記
基地局が特定した端末ｋの第１の端末情報ｅ_kと第２の
端末情報Ｘ_kを、前記基地局側記憶部から取り出して全
端末に一斉通知し、（２）全ての端末ｉにおいて、前記
受信部で、前記端末ｋの第１の端末情報ｅ_kと第２の端
末情報Ｘ_kを受信し、（３）端末ｋを除く全ての端末ｉ
では、前記第１の計算部において、端末ｉと前記端末ｋ
の第１の端末情報ｅ_iとｅ_kを用いて ａ×ｅ_i＋ｂ×ｅ_k＝ｄ（ｉ≠ｋ） を満たす整数ａ、ｂを求め、（４）端末ｋを除く全ての
端末ｉでは、前記第２の計算部において、前記整数ａ、
ｂと、端末ｉの第２の端末情報Ｘ_iと端末ｋの第２の端
末情報Ｘ_kとを用いて、前記ａが負の場合は、 Ｘ_i ^-1×Ｘ_i mod n＝１ を満たすＸ_iの法ｎにおける逆数Ｘ_i ^-1を求め、
（Ｘ_i ^-1）^-a×Ｘ_k ^b mod nを計算することにより更新鍵
Ｋ^d mod nを求め、また前記ｂが負の場合は、 Ｘ_k ^-1×Ｘ_k mod n＝１ を満たすＸ_kの法ｎにおける逆数Ｘ_k ^-1を求め、
（Ｘ_k ^-1）^-b×Ｘ_i ^a mod nを計算することにより更新鍵
Ｋ^d mod nを求める鍵更新方法であり、基地局から各端
末に（ｅ_k，Ｘ_k）を同報送信するのみで、端末ｋ以外の
端末で鍵更新を可能とするという作用を有する。

【００１７】本発明の請求項２記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる通信システムの鍵更新装置において、前
記基地局は、前記端末の第１の端末情報を格納する第１
の基地局側記憶手段と、第２の端末情報を格納する第２
の基地局側記憶手段とを備え、前記端末は、前記第１の
端末情報と前記第２の端末情報を格納する端末情報格納
手段とを備え、第ｉ番目（ｉ＝１〜Ｎ）の端末の第１の
端末情報は、最大公約数が共通の整数 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、第２の端末情報は、Ｋを更新鍵
を生成するための情報とするとき、前記ｅ_iをべきとし
整数ｎを法とするＫのべき乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） であり、（１）前記基地局は、鍵更新時に、前記基地局
が特定した端末ｋの第１の端末情報ｅ_kと第２の端末情
報Ｘ_kを、前記基地局側記憶手段から取り出して全端末
に一斉通知する送信手段を備え、（２）全ての端末ｉ
は、前記端末ｋの第１の端末情報ｅ_kと第２の端末情報
Ｘ_kを受信する受信手段を備え、（３）全ての端末ｉ
は、前記端末ｉと前記端末ｋが異なる場合に、前記端末
ｉと前記端末ｋの第１の端末情報ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ （ｉ≠ｋ） を満たす整数ａ、ｂを求める第１の計算手段を備え、
（４）全ての端末ｉは、前記端末ｉと前記端末ｋが異な
る場合に、前記整数ａ、ｂと、前記端末ｉの第２の端末
情報Ｘ_iと前記端末ｋの第２の端末情報Ｘ_kとを用いて、
前記ａが負の場合は、 Ｘ_i ^-1×Ｘ_i mod n＝１ を満たすＸ_iの法ｎにおける逆数Ｘ_i ^-1を求め、
（Ｘ_i ^-1）^-a×Ｘ_k ^b mod nを計算することにより更新鍵
Ｋ^d mod nを求め、また前記ｂが負の場合は、 Ｘ_k ^-1×Ｘ_k mod n＝１ を満たすＸ_kの法ｎにおける逆数Ｘ_k ^-1を求め、
（Ｘ_k ^-1）^-b×Ｘ_i ^a mod nを計算することにより更新鍵
Ｋ^d mod nを求める第２の計算手段を備える鍵更新装置
であり、基地局から各端末に（ｅ_k，Ｘ_k）を同報送信す
るのみで、端末ｋ以外の端末で鍵更新を可能とするとい
う作用を有する。

【００１８】本発明の請求項３記載の発明は、請求項１
記載の鍵更新方法において、前記端末ｉの第１の端末情
報ｅ_iと前記端末ｊの第１の端末情報ｅ_jが互いに素であ
る、すなわち、 ＧＣＤ（ｅ_i，ｅ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） を満たすものとし、前記第１の計算部において、 ａ×ｅ_i＋ｂ×ｅ_j＝１ を満たす整数ａ、ｂを求め、前記第２の計算部におい
て、更新鍵Ｋを求めるものであり、更新鍵Ｋの計算を簡
単にするという作用を有する。

【００１９】本発明の請求項４記載の発明は、請求項１
記載の鍵更新方法において、前記第１の端末情報を、前
記基地局が作成し、あらかじめ基地局と端末に備えられ
た暗号通信手段により、対応する端末に配布するもので
あり、第１の端末情報の盗聴を困難にするという作用を
有する。

【００２０】本発明の請求項５記載の発明は、請求項４
記載の鍵更新方法において、前記暗号通信手段を、基地
局と各端末ごとに共有された鍵を用いた共通鍵暗号方式
で実現するものであり、第１の端末情報の盗聴を困難に
するという作用を有する。

【００２１】本発明の請求項６記載の発明は、請求項４
記載の鍵更新方法において、前記暗号通信手段を、端末
に個別の秘密鍵を備え、基地局に対応する公開鍵を備
え、これらを用いた公開鍵暗号方式で実現するものであ
り、基地局の不正に対して安全性を強化するという作用
を有する。

【００２２】本発明の請求項７記載の発明は、請求項６
記載の鍵更新方法において、前記公開鍵暗号を用いた暗
号通信路に、基地局のディジタル署名を付加するもので
あり、システムの安全性をより強化するという作用を有
する。

【００２３】本発明の請求項８記載の発明は、請求項１
記載の鍵更新方法において、前記基地局が、鍵更新時に
各端末ｉの第１の端末情報ｅ_iとの最大公約数が ＧＣＤ（ｅ，ｅ_i）＝ｄ （１≦ｉ≦Ｎ） となる整数ｅと、前記整数ｅをべきとし整数ｎを法とす
るＫのべき乗剰余値 Ｘ＝Ｋ^e mod n （ＧＣＤ（Ｘ，ｎ）＝１） を一斉通知し、前記任意の端末ｉでは、前記第１の計算
部で、端末ｉの第１の端末情報ｅ_iと前記整数ｅを用い
て ａ×ｅ_i＋ｂ×ｅ＝ｄ を満たすａ、ｂを求め、次に前記第２の計算部で、端末
ｉの第２の端末情報Ｘ_iと前記べき乗剰余値Ｘを用いて
共通の更新鍵Ｋ^d mod nを求めるものであり、基地局か
ら各端末に（ｅ，Ｘ）を同報送信するのみで、全端末で
の一斉鍵更新を可能とするという作用を有する。

【００２４】本発明の請求項９記載の発明は、請求項
１、８記載の鍵更新方法において、前記端末の第１の計
算部で、拡張ユークリッド互除法を用いて前記整数ａ、
ｂを求めるものであり、多項式時間で計算可能とすると
いう作用を有する。

【００２５】本発明の請求項１０記載の発明は、請求項
１、８記載の鍵更新方法において、前記整数ｎを基地局
の秘密の整数とし、鍵更新時に端末ｋの第１、第２の端
末情報（ｅ_k，Ｘ_k）または前記（ｅ，Ｘ）に加えて前記
整数ｎを一斉通知するものであり、より安全性を強化す
るという作用を有する。

【００２６】本発明の請求項１１記載の発明は、請求項
１、８記載の鍵更新方法において、前記整数ｎを基地局
が生成した素数ｐとｑの積とするものであり、より安全
性を強化するという作用を有する。

【００２７】本発明の請求項１２記載の発明は、請求項
１、８記載の鍵更新方法において、前記基地局の第１の
基地局側記憶部および前記端末の第１の端末情報格納部
は、外部より観測したり変更できない領域とするもので
あり、基地局や端末からの鍵情報の盗難を防ぐという作
用を有する。

【００２８】本発明の請求項１３記載の発明は、請求項
１、８記載の鍵更新方法において、前記基地局が任意の
秘密の整数Ｋとｎを生成して、前記第１の基地局側記憶
部に格納している各端末ｉの第１の秘密情報ｅ_iを用い
て第２の端末情報Ｘ_iを計算し、これを鍵更新の前に対
応する各端末に配布するものであり、基地局や端末から
の鍵情報の盗難を防ぎ、より安全性を増すという作用を
有する。

【００２９】本発明の請求項１４記載の発明は、請求項
１記載の鍵更新方法において、前記基地局が整数Ｋに加
えて、整数Ｋ'を基地局の秘密の更新鍵とし、第ｉ番目
の端末は前記第１、第２の端末情報に加えて、前記ｅ_i
をべきとし整数ｎ'を法とするＫ'のべき乗剰余値 Ｘ_i'＝Ｋ'^ei mod n'（ＧＣＤ（Ｘ_i'，ｎ'）＝１） を第３の端末情報として保持し、鍵更新時には、基地局
が特定した端末ｋと端末ｍの第１の端末情報ｅ_k、ｅ_mお
よび、端末ｋの第２の端末情報Ｘ_kと端末ｍの第３の端
末情報Ｘ_m'を一斉通知し、端末ｋと端末ｍ以外の任意の
端末ｉでは、端末ｉ、端末ｋの第１の端末情報ｅ_iとｅ_k
を用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ を満たすａ、ｂを第１の計算部において求め、前記第１
の計算部の出力と、端末ｉ、端末ｋの第２の端末情報Ｘ
_iとＸ_kを用いて、整数Ｋ^d mod nを第２の計算部におい
て求め、さらに前記第１、第２の計算部に加えて第３、
第４の計算部を備え、端末ｉ、端末ｍの第１の端末情報
ｅ_iとｅ_mを用いて、 ａ'×ｅ_i＋ｂ'×ｅ_m＝ｄ を満たすａ'、ｂ'を第３の計算部において求め、前記第
３の計算部の出力と、端末ｉ、端末ｍの第３の端末情報
Ｘ_i'とＸ_m'を用いて、整数Ｋ'^d mod n'を第４の計算部
において求め、前記第２、第４の計算部の出力である整
数Ｋ^d mod nとＫ'^d mod n'を用いて共通の更新鍵を生成
するものであり、基地局から各端末に（ｅ_k，Ｘ_k）と
(ｅ_m，Ｘ_m')を同報送信するのみで、端末ｋと端末ｍ以
外の端末で鍵更新を可能とするという作用を有する。

【００３０】本発明の請求項１５記載の発明は、請求項
１４記載の鍵更新方法において、基地局が、鍵更新時に
基地局が特定した端末ｋの第１の端末情報ｅ_kと、端末
ｋの第２の端末情報Ｘ_k、および前記各端末ｉの第１の
端末情報ｅ_iとの最大公約数が ＧＣＤ（ｅ，ｅ_i）＝ｄ （１≦ｉ≦Ｎ） となる整数ｅと、前記整数ｅをべきとし整数ｎ'を法と
するＫ'のべき乗剰余値 Ｘ'＝Ｋ'^e mod n' （ＧＣＤ（Ｘ'，ｎ'）＝１） を一斉通知し、端末ｋ以外の任意の端末ｉでは、第１の
計算部で端末ｉ、端末ｋの第１の端末情報ｅ_iとｅ_kを用
いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ を満たすａ、ｂを求め、次に第２の計算部で端末ｉ、端
末ｋの第２の端末情報Ｘ_iとＸ_kを用いて、整数Ｋ^d mod
nを求め、さらに第３の計算部で端末ｉの第１の端末情
報ｅ_iと前記整数ｅを用いて、 ａ'×ｅ_i＋ｂ'×ｅ＝ｄ を満たすａ'、ｂ'を求め、次に第４の計算部で端末ｉの
第３の端末情報Ｘ_i'と前記べき乗剰余値Ｘ'を用いて、
整数Ｋ'^d mod n'を求め、前記第２、第４の計算部の出
力である整数Ｋ^d mod nとＫ'^d mod n'を用いて共通の更
新鍵を生成するものであり、基地局から各端末に
（ｅ_k，Ｘ_k）と(ｅ，Ｘ')を同報送信するのみで、端末
ｋ以外の端末で鍵更新を可能とするという作用を有す
る。

【００３１】本発明の請求項１６記載の発明は、請求項
１４記載の鍵更新方法において、前記整数ｎおよび整数
ｎ'を基地局の秘密の整数とし、鍵更新時に端末ｋと端
末ｍの第１の端末情報および端末ｋの第２の端末情報と
端末ｍの第３の端末情報に追加して整数ｎおよびｎ'を
一斉通知するものであり、基地局や端末からの鍵情報の
盗難を防ぎ、より安全性を増すという作用を有する。

【００３２】本発明の請求項１７記載の発明は、請求項
１４記載の鍵更新方法において、基地局が前記各端末の
第１の端末情報を秘密に保持し、基地局が任意の秘密の
整数Ｋとｎを生成して、各端末の第１の端末情報をべき
とし前記ｎを法とする前記整数Ｋのべき乗剰余値である
第２の端末情報を計算して、また任意の秘密の整数Ｋ'
とｎ'を生成して、各端末の第１の端末情報をべきとし
前記ｎ'を法とする前記整数Ｋ'のベき乗剰余値である第
３の端末情報を計算して、これらを鍵更新の前に、対応
する各端末に配布するものであり、基地局や端末からの
鍵情報の盗難を防ぎ、より安全性を増すという作用を有
する。

【００３３】本発明の請求項１８記載の発明は、基地局
と、前記基地局と接続されたＮ局（Ｎは２以上の整数）
の端末からなる通信システムにおいて、Ｍを１≦Ｍ＜Ｎ
である自然数とするとき、前記基地局は、前記端末の個
別端末情報と第１から第Ｍの端末情報を格納する基地局
側記憶部を備え、前記端末は、前記個別端末情報と前記
第１から第Ｍの端末情報を格納する端末情報格納部と、
受信部と、Ｍ個の第１、第２の計算部を備え、第ｉ番目
（ｉ＝１〜Ｎ）の端末の個別端末情報は、最大公約数が
共通の整数 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、ｍを１からＭまでの整数とする
とき、前記第ｍの端末情報は、Ｋ_mを更新鍵を生成する
ための情報とするとき、前記ｅ_iをべきとし整数ｎ_mを法
とするＫ_mのべき乗剰余値 Ｘ［ｉ,ｍ］＝Ｋ_m ^ei mod n_m （ＧＣＤ（Ｘ［ｉ,ｍ］,ｎ
_m）＝１） であり、（１）前記基地局において、鍵更新時に、前記
基地局が特定したＭ個の特定の端末ｋ₁,ｋ₂,...,ｋ_Mの
個別端末情報ｅ_k1,ｅ_k2,...,ｅ_kMと、端末ｋ₁の第１の
端末情報Ｘ［ｋ₁,１］、端末ｋ₂の第２の端末情報Ｘ
［ｋ₂,２］、...、端末ｋ_Mの第Ｍの端末情報Ｘ［ｋ_M,
Ｍ］を前記基地局側記憶部から取り出して全端末に一斉
通知し、（２）すべての端末ｉにおいて、前記受信部
で、前記基地局の一斉通知を受信し、（３）Ｍ個の特定
の端末を除くすべての端末ｉでは、第１番目の第１の計
算部で、 ａ₁×ｅ_i＋ｂ₁×ｅ_k1＝ｄ を満たす整数ａ₁、ｂ₁を求め、前記ａ₁が負である場合
には、Ｘ［ｉ,１］のｎ₁を法とする逆数Ｘ［ｉ,１］^-1
を求め、 ［Ｘ［ｉ,１］^-1］^-a1×Ｘ［ｋ₁,１］^b1 mod n₁ を計算することによりＫ₁ ^d mod n₁を求め、前記ｂ₁が負
である場合には、Ｘ［ｋ₁,１］のｎ₁を法とする逆数Ｘ
［ｋ₁,１］^-1を求め、 ［Ｘ［ｋ₁,１］^-1］^-b1×Ｘ［ｉ,１］^a1 mod n₁ を計算することによりＫ₁ ^d mod n₁を求め、（４）Ｍ個
の特定の端末を除くすべての端末ｉでは、第２番目の第
１の計算部で、 ａ₂×ｅ_i＋ｂ₂×ｅ_k2＝ｄ を満たす整数ａ₂、ｂ₂を求め、前記ａ₂が負である場合
には、Ｘ［ｉ,２］のｎ₂を法とする逆数Ｘ［ｉ,２］^-1
を求め、 ［Ｘ［ｉ,２］^-1］^-a2×Ｘ［ｋ₂,２］^b2 mod n₂ を計算することによりＫ₂ ^d mod n₂を求め、前記ｂ₂が負
である場合には、Ｘ［ｋ₂,２］のｎ₂を法とする逆数Ｘ
［ｋ₂,２］^-1を求め、 ［Ｘ［ｋ₂,２］^-1］^-b2×Ｘ［ｉ,２］^a2 mod n₂ を計算することによりＫ₂ ^d mod n₂を求め、以降同様に
Ｋ₃ ^d mod n₃、...、Ｋ_M ^dmod n_Mを求め、以上のＭ個の秘
密の整数を用いて共通の更新鍵を生成する鍵更新方法で
あり、基地局から各端末に複数の端末情報を同報送信す
るのみで、複数端末を同時に排除する鍵更新を可能とす
るという作用を有する。

【００３４】本発明の請求項１９記載の発明は、請求項
１記載の鍵更新方法において、前記鍵更新を連続して行
なう場合において、第ｉ回目の鍵更新で特定の端末ｋの
端末情報を一斉通話した後には、第（ｉ＋１）回目の鍵
更新の前に、基地局は前記端末ｋの第１の端末情報を用
いた第２の端末情報を計算せず、また端末ｋには配布し
ないものであり、鍵更新処理を効率化するという作用を
有する。

【００３５】本発明の請求項２０記載の発明は、請求項
１記載の鍵更新方法において、基地局が各端末ｉの第２
の端末情報Ｘ_iに関するべき乗剰余テーブルを求め、鍵
更新の前に対応する端末に配布し、各端末は鍵更新の第
２の計算部でこのテーブル値を用いて、Ｘ_i ^b mod nの計
算を行なうものであり、端末の計算負荷を軽くするとい
う作用を有する。

【００３６】本発明の請求項２１記載の発明は、請求項
１記載の鍵更新方法において、基地局が特定の端末ｋ
の、第２の端末情報Ｘ_kに関するべき乗剰余テーブルを
求め、鍵更新の際にこのテーブル値を一斉通話し、各端
末は鍵更新の第２の計算部でこのテーブル値を用いて、
Ｘ_k ^a mod nの計算を行なうものであり、端末の計算負荷
を軽くするという作用を有する。

【００３７】本発明の請求項２２記載の発明は、請求項
１記載の鍵更新方法において、基地局が、新規加入の端
末ｊに対して端末ｊの第２の端末情報と、鍵更新時に一
斉通話した特定端末ｉの第１、第２の端末情報を通知
し、端末ｊでは前記第１、第２の計算部を備えて前記更
新鍵Ｋ^d mod nを求めるものであり、追加の端末に対し
て鍵更新を効率化するという作用を有する。

【００３８】本発明の請求項２３記載の発明は、請求項
１記載の鍵更新方法において、前記鍵Ｋにバージョン番
号を付加し、基地局はバージョン番号が一致していない
端末ｊに、端末ｊの第２の端末情報と、鍵更新時に一斉
通話した特定端末ｉの第１および第２の端末情報を対応
する端末に通知し、端末ｊでは前記第１、第２の計算部
において、相当するバージョンの鍵Ｋ^d mod nを求める
ものであり、バージョン番号により端末の鍵更新を管理
するという作用を有する。

【００３９】本発明の請求項２４記載の発明は、請求項
１、３〜２３記載の鍵更新方法において、前記基地局に
おける前記第２の端末情報の計算、および端末における
更新鍵Ｋを求める計算を、任意の有限体上で行なうもの
であり、楕円ＲＳＡ暗号を利用して鍵更新を行なうとい
う作用を有する。

【００４０】以下、本発明の実施の形態を、図１〜図９
を参照して、詳細に説明する。

【００４１】(第１の実施の形態）本発明の第１の実施
の形態は、基地局と５つの端末のシステムにおいて、基
地局では、 ＧＣＤ（ｅ_i，ｅ_j）＝１（１≦ｉ，ｊ≦５；ｉ≠ｊ） となる第１の端末情報ｅ_iを基地局と対応する各端末ｉ
の間で秘密に共有し、基地局は鍵Ｋと法ｎ（＝ｐ×ｑ；
ｐ、ｑは素数）を任意に決定して、第２の端末情報 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i,ｎ）＝１） を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵更新時に、排除する端末１の端末情報
（ｅ₁，Ｘ₁）を、基地局から端末２〜５に一斉通知し、
端末２〜５で（ｅ_i，ｅ₁）を用いて、 ａ×ｅ_i＋ｂ×ｅ₁＝１（ｉ＝２〜５） を満たす整数ａ、ｂを求め、Ｘ_iとＸ₁とを用いて、更新
鍵Ｋ mod nを求める鍵更新方法である。

【００４２】本発明の第１の実施の形態の鍵更新方法
は、システムセットアップ、準備フェーズ、鍵更新の３
つのフェーズに分けられる。以下、基地局が５つの端末
を管理している場合について、各フェ−ズに分けて説明
する。

【００４３】図１は、本発明の第１の実施の形態の鍵更
新方法のセットアップを示している。図１において、１
は基地局、２〜６は、基地局の管理下にある端末であ
る。７〜11は、各端末内の、外部より観測、変更できな
い記憶部である。

【００４４】各端末Ｔ₁，Ｔ₂，Ｔ₃，Ｔ₄，Ｔ₅は、第１
の端末情報ｅ₁，ｅ₂，ｅ₃、ｅ₄，ｅ₅を、それぞれこの
領域に秘密に保持している。第１の端末情報は、任意の
ｅ_iとｅ_j（ｉ,ｊ＝１〜５）の最大公約数ＧＣＤ（ｅ_i，
ｅ_j）が１であるよう、互いに素に定める。

【００４５】一方、基地局は、各端末の第１の端末情報
ｅ₁〜ｅ₅を、外部より観測、変更できない記憶部12に秘
密に保管している。

【００４６】図２は、本発明の第１の実施の形態の準備
フェーズを示している。まず、基地局１は、素数ｐとｑ
を定め、これらの積ｎ（＝ｐ×ｑ）を決定する。そし
て、鍵Ｋと法ｎを、すべての端末の第１の端末情報にお
いて、 ＧＣＤ（Ｋ^ei mod n，ｎ）＝１ を満たすように決定する。ただし、法ｎが素数ｐ、ｑの
積であるため、上記条件が満たされる確率は、１−（１
／ｐ＋１／ｑ）となり、素数ｐ、ｑを十分にＲＳＡ暗号
のように10進100桁程度に大きくとると、ほとんど上記
条件を満たす。

【００４７】次に、基地局は、端末Ｔ₁の第１の端末情
報ｅ₁をべきとし、前記ｎを法とする鍵Ｋのべき乗剰余
値Ｘ₁を求める。これを第２の端末情報と称し、式で表
すと、 Ｘ₁＝Ｋ^e1 mod n となる。ここで、 mod n は、ｎで除したときの剰余を
示す記号である。基地局は同様に、端末Ｔ₂〜Ｔ₅の第２
の端末情報Ｘ₂〜Ｘ₅を求め、これらを記憶部12に記憶す
るとともに、対応する端末に配布する。端末は、これを
それぞれ記憶部７〜11に記憶する。第２の端末情報を求
め配布する、基地局による準備フェーズの作業は、各端
末ごとであり時間がかかるが、基地局はもともと計算パ
ワーが大きく、また、前の鍵更新と次の鍵更新の間の、
時間が空いたときにすればよいので問題はない。

【００４８】図３は、端末Ｔ₁を排除する場合の鍵更新
フェーズを示している。基地局１は、記憶部12から、排
除する端末Ｔ₁の第１、第２の端末情報ｅ₁、Ｘ₁および
秘密の整数ｎを各端末に一斉通知する。このとき、端末
Ｔ₂では、保持している第１、第２の端末情報を用い
て、次の計算を行ない、鍵Ｋを求める。 （１）端末Ｔ₁および端末Ｔ₂の第１の端末情報ｅ₁、ｅ₂
を用いて、 ｅ₁×ａ＋ｅ₂×ｂ＝１ を満たす整数ａ、ｂを求める。整数ａ、ｂは、ｅ₁、ｅ₂
が互いに素であるので必ず存在し、拡張ユークリッド互
除法により、計算パワーがそれほどない端末であって
も、多項式時間で求めることができる。 （２）端末Ｔ₁および端末Ｔ₂の第２の端末情報Ｘ₁、Ｘ₂
および整数ｎを用いて、ａが負の場合は、 Ｘ₁ ^-1×Ｘ₁ mod n＝１ を満たすＸ₁の法ｎにおける逆数Ｘ₁ ^-1を求め、
（Ｘ₁ ^-1）^-a×Ｘ₂ ^b mod nを計算することにより更新鍵
Ｋ mod nを求め、またｂが負の場合は、 Ｘ₂ ^-1×Ｘ₂ mod n＝１ を満たすＸ₂の法ｎにおける逆数Ｘ₂ ^-1を求め、
（Ｘ₂ ^-1）^-b×Ｘ₁ ^a mod nを計算することにより更新鍵
Ｋ mod nを求める。

【００４９】以上の計算は、端末Ｔ₃〜Ｔ₅でも同様に行
なうことができ、結果として、Ｔ₂〜Ｔ₅で共通の鍵Ｋを
共有することができる。

【００５０】一方、端末Ｔ₁においては、基地局から一
斉通知された情報と保持している端末情報が同じである
ために、上記（１）でのａ、ｂの算出ができない。その
ため、鍵Ｋを共有することができない。

【００５１】図４に、以上の処理を行なうための、各端
末の構成について示している。図４において、20は、第
１の端末情報を格納する第１の端末情報格納部、21は、
準備フェーズで基地局から配送された第２の端末情報を
格納する第２の端末情報格納部である。また、22は、鍵
更新フェーズで基地局から配布される情報を受信する一
斉通知受信部、23は、上記（１）の計算を行なう第１の
計算部である。第１の計算部23で、基地局から配布され
る第１の端末情報ｅ_jと、第１の端末情報格納部の格納
値ｅ_iを用い、上記整数ａ、ｂを求める。24は、鍵更新
フェーズでの上記（２）の計算を行なう第２の計算部で
あり、ここで、第１の計算部の出力ａ、ｂと、基地局か
ら配布される第２の端末情報Ｘ_jと、法ｎ、および第２
の端末情報格納部の格納値Ｘ_iを用い、上記（２）の計
算を行ない、鍵Ｋを求める。

【００５２】図５には、基地局の構成を示している。25
は、全端末の第１の端末情報を格納する第１の端末情報
格納部、26は、鍵Ｋおよびｐ、ｑとその積ｎを生成する
鍵生成部である。27は、鍵生成部の出力値と、各端末の
第１の端末情報を用いて、第２の端末情報を生成する端
末情報格納部である。第２の端末情報Ｘ_iは、各端末の
第１の端末情報ｅ_iをべきとし、ｎを法とする鍵Ｋのべ
き乗剰余値として計算され、28の第２の端末情報格納部
に格納される。

【００５３】29は、排除する端末を指定する排除端末指
定部、30は、排除端末指定部の指定により、鍵更新フェ
ーズにおける、排除端末Ｔ_jの第１、第２の端末情報
ｅ_j、Ｘ_jを、端末情報格納部25、28から選択して、前記
ｎとあわせて、同報で全端末に通知する同報通知部であ
る。

【００５４】次に、第１の実施の形態における安全性の
説明を行なう。 （１）すべての端末は、準備フェーズでは、鍵Ｋを求め
ることは困難である。準備フェーズで、例えば端末Ｔ₁
が保持する情報は、以下の２つである。 ・第１の端末情報：ｅ₁ ・第２の端末情報：Ｘ₁＝Ｋ^e1 mod n これらの情報はそれぞれ、ＲＳＡ暗号の公開鍵、暗号文
に対応すると考えることができる。そのため、Ｋとｎを
十分に大きくとっておけば、ＲＳＡ暗号に帰着して、こ
れらからＫを求めることが困難となる。なお法ｎは、準
備フェーズで各端末に公開してもよいが、鍵更新フェー
ズで初めて明らかにすると、より安全であると考えられ
る。また、第１の端末情報は、総当たり攻撃に対抗でき
る程度の大きな数にとっておくことが必要である。 （２）排除される端末Ｔ₁は、鍵更新フェーズにおいて
も、鍵Ｋを求めることは困難である。

【００５５】鍵更新フェーズで排除される端末Ｔ₁が保
持する情報は、上記（１）に追加して、法ｎだけであ
る。そのため、 Ｘ₁＝Ｋ^e1 mod n を解いてＫを求めることは、Ｋとｎを十分に大きくとっ
ておけば、ＲＳＡ暗号に帰着して、これらからＫを求め
ることが困難となる。

【００５６】図６は、以上の方法により、定期的な鍵更
新を行なう場合の鍵更新時の構成を示す。基地局は、す
べての端末の第１の端末情報と互いに素となるｅを求
め、 Ｘ＝Ｋ^e mod n を計算する。そして、このｅ、Ｘと法ｎを全端末に一斉
通知する。このとき、端末Ｔ₁では、保持している第
１、第２の端末情報ｅ₁、Ｘ₁を用いて次の計算を行な
い、鍵Ｋを求める。 （１）端末Ｔ₁の第１の端末情報ｅ₁と配布されたｅを用
いて、 ｅ₁×ａ＋ｅ×ｂ＝１ を満たす整数ａ、ｂを求める。整数ａ、ｂはｅ₁、ｅが
互いに素であるので必ず存在し、拡張ユークリッド互除
法により、計算パワーがそれほどない端末であっても、
多項式時間で求めることができる。 （２）端末Ｔ₁の第２の端末情報Ｘ₁と、配布されたＸお
よび整数ｎを用いて、Ｘ₁ ^a×Ｘ^b mod nを求める。ａ、
ｂの正負に応じて、Ｘ₁ ^-1、Ｘ^-1を求めて、Ｘ₁ ^a mod
n、Ｘ^b mod nを計算することは、上記と同じである。

【００５７】Ｘ₁＝Ｋ^e1 mod n、Ｘ＝Ｋ^e mod n であるから、この計算結果は、Ｋ^e1a+eb mod nとなり、
前記ａ、ｂの式の値１により、結果はＫ mod nとなる。

【００５８】以上の計算は、端末Ｔ₂〜Ｔ₅でも同様に行
なうことができ、結果としてすべての端末で共通の鍵Ｋ
を共有することができる。各端末は、特定の端末を排除
する場合も、鍵の定期更新でも、同じ手続きを行ない、
端末での処理が簡素化される。また、端末において、鍵
更新の原因がわからないために、システム全体での安全
性が向上する。

【００５９】また、端末Ｔ₁を排除して鍵更新した後の
準備フェーズでは、引き続き端末Ｔ₁を排除することが
可能である。これは、例えば５つの端末で共通の秘密鍵
を共有してグループ内の暗号通信を行なっている際に、
まず端末Ｔ₁が盗難にあい、これに対応して残りの４端
末で新たな共通の秘密鍵を共有する。次に、さらに端末
Ｔ₂も盗難にあい、端末Ｔ₁、Ｔ₂両方とも排除して、次
の共通の鍵を共有する必要が生じる、といったシナリオ
である。

【００６０】このためには、端末Ｔ₁排除後の準備フェ
ーズにおいて、基地局は、端末Ｔ₁の第２の端末情報を
求めない。次の鍵更新フェーズで、端末Ｔ₁は、自身の
第２の端末情報を保持しないために、新しい鍵を求める
ことはできない。ただし、勿論この準備フェーズで、基
地局が端末Ｔ₁の第２の端末情報を求めて、端末Ｔ₁に配
布すると、次の鍵更新フェーズで再び端末Ｔ₁を含めて
新しい鍵を更新し、端末Ｔ₂だけを排除することも可能
となる。

【００６１】また、端末は計算パワーが乏しい装置と考
えられる。このような端末では、図４における第２の計
算部24での大きな数のベき乗剰余演算がかなりの負担に
なる。この計算を削減するために、あらかじめ基地局で
生成した剰余テーブルを使用することが可能である。例
えば、端末Ｔ₁を排除する場合の、端末Ｔ₂の第２の計算
部では、Ｘ₁ ^a×Ｘ₂ ^b mod nの演算が必要である。このう
ち、Ｘ₁のべき乗剰余演算に関しては、鍵更新フェーズ
において、基地局が排除端末Ｔ₁の情報を同報で通知す
る際に、同時にＸ₁に関する剰余テーブルを配布するこ
とができる。また、Ｘ₂のべき乗剰余演算に関しては、
準備フェーズにおいて、基地局が各端末に第２の端末情
報を配布する際に、同時にＸ₂に関する剰余テーブルを
配布することができる。なお、剰余テーブルについて
は、例えば次のような作り方と利用の仕方を行なう。つ
まり、Ｘ₁ ² mod n、Ｘ₁ ²∧² mod n、Ｘ₁ ²∧³ mod n、・
・・のテーブルを備えたとする。そして例えば、Ｘ₁ ⁶ m
od nを求める場合には、べき部の６を２進展開して対応
するＸ₁ ²∧² mod n、Ｘ₁ ² mod nのテーブル値を法ｎで
乗算する。法ｎでの乗算はべき乗剰余演算に比べはるか
に計算負担が軽減される。

【００６２】第１の実施の形態では、各端末の第２の端
末情報は、基地局が生成して準備フェーズで各端末に配
送するとしたが、これは別の組織が生成して基地局と端
末に配送してもよい。配布はせずに、あらかじめ複数蓄
積しておいたものを、順次鍵更新に使用してもよい。

【００６３】なお、任意の端末ｉ、ｊの第１の端末情報
ｅ_i、ｅ_jが共通の最大公約数ｄを持つ場合であってもよ
い。

【００６４】ＧＣＤ（ｅ_i，ｅ_j）＝ｄ の場合は、各端末ではＫ^d mod nが求まることになるの
で、Ｋ mod nの代わりにＫ^d mod nを更新鍵とすればよ
い。

【００６５】なお、 ＧＣＤ（Ｘ_i，ｎ）＝１ としたので、Ｘ_i ^-1が存在することは保証される。

【００６６】また、第１の実施の形態では、各端末の第
１の端末情報はあらかじめ基地局と各端末間で秘密に共
有しているものとしたが、基地局が生成して暗号通信手
段を用いて対応する端末に配布してもよい。

【００６７】なお、暗号通信手段は、秘密鍵暗号を用い
たものでも、公開鍵暗号を用いたものでもよい。ただ
し、公開鍵暗号を用いたほうが、基地局が各端末の公開
鍵だけを保持するため、基地局の不正に対して安全性が
強化される。

【００６８】また、公開鍵暗号を用いる場合には、基地
局の認証がそのままではできないため、別途基地局のデ
ィジタル署名を付加するようにすると、システムとして
の安全性がより強化される。

【００６９】上記のように、本発明の第１の実施の形態
によれば、鍵更新方法を、基地局と複数の端末のシステ
ムにおいて、基地局では、 ＧＣＤ（ｅ_i，ｅ_j）＝１（１≦ｉ，ｊ≦Ｎ；ｉ≠ｊ） となる第１の端末情報ｅ_iを生成して基地局に保管する
とともに、各端末に配布し、鍵Ｋと法ｎ（＝ｐ×ｑ；
ｐ、ｑは素数）を任意に決定して、第２の端末情報 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） を計算して基地局に保管するとともに、各端末に配布
し、鍵更新時に、排除する端末１の端末情報（ｅ₁，
Ｘ₁）を、基地局から各端末に一斉通知し、各端末で
（ｅ_i，ｅ₁）を用いて、 ａ×ｅ_i＋ｂ×ｅ₁＝１（ｉ＝２〜Ｎ） を満たす整数ａ、ｂを求め、Ｘ_iとＸ₁とを用いて、更新
鍵Ｋ mod nを求める構成としたので、基地局から各端末
に（ｅ₁，Ｘ₁）を同報するのみで、１つの端末を排除し
て、残りの端末で新しい鍵を更新して共有することがで
きる。

【００７０】（第２の実旋の形態）本発明の第２の実施
の形態は、基地局と５つの端末のシステムにおいて、基
地局では、 ＧＣＤ（ｅ_i，ｅ_j）＝１（１≦ｉ，ｊ≦５；ｉ≠ｊ） となる第１の端末情報ｅ_iを基地局と対応する各端末ｉ
の間で秘密に共有し、基地局は鍵Ｋと法ｎ（＝ｐ×ｑ；
ｐ、ｑは素数）を任意に決定して、第２の端末情報 Ｘ_i＝Ｋ^ei mod n（ＧＣＤ（Ｘ_i，ｎ）＝１） を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵Ｋ'と法ｎ'（＝ｐ'×ｑ'；ｐ',ｑ'は素数）
を任意に決定して、第３の端末情報 Ｘ'_i＝Ｋ'^ei mod n'（ＧＣＤ（Ｘ'_i，ｎ'）＝１） を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵更新時に、排除する端末１の端末情報
（ｅ₁，Ｘ₁）を、基地局から端末２〜５に一斉通知し、
端末２〜５で（ｅ_i，ｅ₁）を用いて、 ａ×ｅ_i＋ｂ×ｅ₁＝１（ｉ＝２〜５） を満たす整数ａ、ｂを求め、Ｘ_iとＸ₁とを用いて、鍵Ｋ
mod nを求め、排除する端末２の端末情報（ｅ₂，
Ｘ₂'）を、基地局から端末１、３〜５に一斉通知し、端
末１、３〜５で（ｅ_i，ｅ₂）を用いて、 ａ'×ｅ_i＋ｂ'×ｅ₂＝１（ｉ＝１、３〜５） を満たす整数ａ'、ｂ'を求め、Ｘ_i'とＸ₂'とを用いて、
鍵Ｋ' mod n'を求めることにより、以上のＫ mod nと
Ｋ' mod n'両方を用いて新しい更新鍵を作成することに
より２つ以上の端末を同時に排除できる鍵更新方法であ
る。

【００７１】第２の実施の形態のシステムセットアップ
は第１の実施の形態と同じである。

【００７２】図７は、第２の実施の形態の準備フェーズ
を示している。第１の実施の形態に加えて、基地局は素
数ｐ'とｑ'を定め、これらの積ｎ'（＝ｐ'×ｑ'）を決
定する。そして、鍵Ｋ'を任意に決定する。次に、基地
局は、端末Ｔ₁の第１の端末情報ｅ₁をべきとし、前記
ｎ'を法とする鍵Ｋ'のべき乗剰余値Ｘ₁'を求める。これ
は式で表すと Ｘ₁'＝Ｋ'^e1 mod n' となり、第３の端末情報と称する。基地局は同様に、端
末Ｔ₂〜Ｔ₅の第３の端末情報Ｘ₂'〜Ｘ₅'を求め、これら
を記憶部12に記憶するとともに、第１の実施の形態で生
成した第２の端末情報とともに、対応する端末に配布す
る。対応する端末では、第１、第２の端末情報ととも
に、これをそれぞれ記憶部７〜11に秘密に記憶する。

【００７３】図８は、端末Ｔ₁と端末Ｔ₂を排除する場合
を示している。基地局は、記憶している端末Ｔ₁の第
１、第２の端末情報ｅ₁、Ｘ₁および秘密の整数ｎ、さら
に端末Ｔ₂の第１、第３の端末情報ｅ₂、Ｘ₂'および秘密
の整数ｎを一斉通知する。このとき、端末Ｔ₃では、保
持している第１、第２、第３の端末情報を用いて、次の
計算を行ない、鍵Ｋと鍵Ｋ₁から生成される更新鍵を求
める。

【００７４】（１）端末Ｔ₁および端末Ｔ₃の第１の端末
情報ｅ₁、ｅ₃を用いて、 ｅ₁×ａ＋ｅ₃×ｂ＝１ を満たす整数ａ、ｂを求める。整数ａ、ｂはｅ₁、ｅ₃が
互いに素であるので必ず存在し、拡張ユークリッド互除
法により、計算パワーがそれほどない端末であっても、
多項式時間で求めることができる。

【００７５】（２）端末Ｔ₁および端末Ｔ₃の第２の端末
情報Ｘ₁、Ｘ₃および整数ｎを用いて、Ｘ₁ ^a×Ｘ₃ ^b mod n
を求める。ａ、ｂの正負に応じて、Ｘ₁ ^-1、Ｘ₃ ^-1を求め
て、Ｘ₁ ^a mod n、Ｘ₃ ^b mod nを計算することは、上記と
同じである。

【００７６】Ｘ₁＝Ｋ^e1 mod n、Ｘ₃＝Ｋ^e3 mod n であるから、この計算結果はＫ^e1a+e3b mod nとなり、
前記ａ、ｂの式の値１により、結果はＫ mod nとなる。

【００７７】（３）端末Ｔ₂および端末Ｔ₃の第１の端末
情報ｅ₂、ｅ₃を用いて、 ｅ₂×ａ'＋ｅ₃×ｂ'＝１ を満たす整数ａ'、ｂ'を求める。整数ａ'、ｂ'はｅ₂、
ｅ₃が互いに素であるので必ず存在し、拡張ユークリッ
ド互除法により、計算パワーがそれほどない端末であっ
ても、多項式時間で求めることができる。

【００７８】（４）端末Ｔ₂および端末Ｔ₃の第３の端末
情報Ｘ₂'、Ｘ₃'および整数ｎ'を用いて、Ｘ₂'^a'×
Ｘ₃'^b' mod n'を求める。ａ'、ｂ'の正負に応じて、
Ｘ₂'^-1、Ｘ₃'^-1を求めて、Ｘ₂'^a' mod n'、Ｘ₃'^b' mod
n'を計算することは、上記と同じである。

【００７９】Ｘ₂'＝Ｋ'^e2 mod n'、Ｘ₃'＝Ｋ'^e3 mod n' であるから、この計算結果はＫ'^e2a'^+e3b' mod n'とな
り、前記ａ'、ｂ'の式の値１により、結果はＫ' mod n'
となる。

【００８０】以上の計算は、残りの端末Ｔ₄〜Ｔ₅でも同
様に行なうことができ、結果として、端末Ｔ₃〜Ｔ₅が、
鍵Ｋと鍵Ｋ'を両方とも求めることができる。一方、端
末Ｔ₁は鍵Ｋを、端末Ｔ₂は鍵Ｋ'を、それぞれ求めるこ
とができない。そのため、鍵Ｋと鍵Ｋ'の両方から生成
される値を更新鍵とすることにより、端末Ｔ₁と端末Ｔ₂
を同時に排除して、残りの端末で共通の更新鍵を共有す
ることができる。

【００８１】図９は、２つの端末を同時に排除する第２
の実施の形態において、１つの端末だけを排除する場合
を示している。

【００８２】基地局は、すべての端末の第１の端末情報
と互いに素となるｅを求め、 Ｘ'＝Ｋ'^e mod n' を計算する。端末Ｔだけを排除する場合、基地局は、記
憶している端末Ｔ₁の第１、第２の端末情報ｅ₁とＸ₁と
ｎおよび、前記ｅとＸ'とｎ'を全端末に一斉通知する。

【００８３】端末Ｔ₂では、保持している第１、第２、
第３の端末情報を用いて、次の計算を行ない、鍵Ｋと鍵
Ｋ'から生成される更新鍵を求める。

【００８４】（１）端末Ｔ₁および端末Ｔ₂の第１の端末
情報ｅ₁、ｅ₂を用いて、 ｅ₁×ａ＋ｅ₂×ｂ＝１ を満たす整数ａ、ｂを求める。整数ａ、ｂはｅ₁、ｅ₂が
互いに素であるので必ず存在し、拡張ユークリッド互除
法により、計算パワーがそれほどない端末であっても、
多項式時間で求めることができる。

【００８５】（２）端末Ｔ₁および端末Ｔ₂の第２の端末
情報Ｘ₁、Ｘ₂および整数ｎを用いて、Ｘ₁ ^a×Ｘ₂ ^b mod n
を求める。ａ、ｂの正負に応じて、Ｘ₁ ^-1、Ｘ₂ ^-1を求め
て、Ｘ₁ ^a mod n、Ｘ₂ ^b mod nを計算することは、上記と
同じである。

【００８６】Ｘ₁＝Ｋ^e1 mod n、Ｘ₂＝Ｋ^e2 mod n であるから、この計算結果はＫ^e1a+e2b mod nとなり、
前記ａ、ｂの式の値１により、結果はＫ mod nとなる。

【００８７】（３）端末Ｔ₂の第１の端末情報ｅ₂と前記
一斉通知されたｅを用いて、 ｅ₂×ａ'＋ｅ×ｂ'＝１ を満たす整数ａ'、ｂ'を求める。整数ａ'、ｂ'はｅ₂、
ｅが互いに素であるので必ず存在し、拡張ユークリッド
互除法により、計算パワーがそれほどない端末であって
も、多項式時間で求めることができる。

【００８８】（４）端末Ｔ２の第３の端末情報Ｘ₂'と前
記一斉通知されたＸおよび整数ｎ'を用いて、Ｘ₂'^a'×
Ｘ'^b' mod n'を求める。ａ'、ｂ'の正負に応じて、Ｘ₂'
^-1、Ｘ'^-1を求めて、Ｘ₂'^a' mod n'、Ｘ'^b' mod n'を計
算することは、上記と同じである。

【００８９】Ｘ₂'＝Ｋ'^e2 mod n'、Ｘ'＝Ｋ'^e mod n' であるから、この計算結果はＫ'^e2a'^+eb' mod n'とな
り、前記ａ'、ｂ'の式の値１により、結果はＫ' mod n'
となる。

【００９０】以上の計算は、残りの端末Ｔ₃〜Ｔ₅でも同
様に行なうことができ、結果として、端末Ｔ₂〜Ｔ₅が鍵
Ｋと鍵Ｋ'を両方とも求めることができる。一方端末Ｔ₁
は鍵Ｋを求めることができない。そのため、鍵Ｋと鍵
Ｋ'の両方から生成される値を更新鍵とすることによ
り、端末Ｔ₁だけを排除して、残りの端末で共通の更新
鍵を共有することができる。

【００９１】第１の実施の形態の場合と同様に、第２の
実施の形態においても、 ＧＣＤ（ｅ,ｅ_i）＝１ （ｉ＝１〜５） を用いて、 Ｘ＝Ｋ^e mod n，Ｘ'＝Ｋ'^e mod n' とｅ、ｎ、ｎ'を一斉通知することにより更新鍵の定期
更新を行なうことが可能である。

【００９２】なお、第２の実施の形態は、０以上２つ以
下の端末を同時に排除して、その他の端末で鍵を更新す
る鍵更新方法を説明したが、これを３以上のＮにするこ
とが可能である。この場合には、基地局は鍵Ｋと法ｎを
Ｎ個備え、また、各端末では第１の端末情報以外に各Ｋ
およびｎに対応してＮ個の端末情報（第２の端末情報〜
第（Ｎ＋１）の端末情報）を備える。そして、基地局は
端末Ｔ₁〜Ｔ_Nを排除する場合、基地局は端末Ｔ₁〜Ｔ_Nの
第１の端末情報と、端末Ｔ₁の第２の端末情報、端末Ｔ₂
の第３の端末情報、以下同様に、端末Ｔ_Nの第（Ｎ＋
１）の端末情報を一斉通知する。特定のＮ端末以外の端
末でのみ、Ｎ個の鍵Ｋをすべて求めることができ、これ
らをすべて使用した更新鍵を獲得することができる。

【００９３】また、以上では特定の端末を排除する場合
について述べたが、秘密の第１の端末情報ｅ₆を保持す
る新しい端末Ｔ₆が追加された場合には、この端末に第
２の端末情報Ｘ₆を配布することにより、端末の追加と
排除を同時に行なうことができる。つまり、端末Ｔ
₆は、自身の第２の端末情報Ｘ₆と排除端末の第１、第２
の端末情報および法ｎより更新鍵を計算することができ
る。勿論、基地局が最新の更新鍵Ｋを、新規端末の第１
の端末情報ｅ₆を用いて暗号化し、その結果Ｅｅ₆（Ｋ）
を端末Ｔ₆に配布してもよい。

【００９４】また、鍵の更新においては、鍵にバージョ
ン番号を付加して、端末と基地局で最新の鍵のバージョ
ン番号を照合して、最新の鍵を獲得するのが一般的であ
る。

【００９５】上記のように、本発明の第２の実施の形態
によれば、鍵更新方法を、基地局と５つの端末のシステ
ムにおいて、基地局では、 ＧＣＤ（ｅ_i，ｅ_j）＝１（１≦ｉ,ｊ≦５；ｉ≠ｊ） となる第１の端末情報ｅ_iを生成して基地局に保管する
とともに、各端末１〜５に配布し、鍵Ｋと法ｎ（＝ｐ×
ｑ；ｐ、ｑは素数）を任意に決定して、第２の端末情報 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵Ｋ'と法ｎ'＝ｐ'×ｑ'（ｐ'、ｑ'は素数）を
任意に決定して、第３の端末情報 Ｘ'_i＝Ｋ'^ei mod n'（ＧＣＤ（Ｘ'_i，ｎ'）＝１） を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵更新時に、排除する端末１の端末情報
（ｅ₁，Ｘ₁）を、基地局から端末２〜５に一斉通知し、
端末２〜５で（ｅ_i，ｅ₁）を用いて、 ａ×ｅ_i＋ｂ×ｅ₁＝１（ｉ＝２〜５） を満たす整数ａ、ｂを求め、Ｘ_iとＸ₁とを用いて、更新
鍵Ｋ mod nを求め、排除する端末２の端末情報（ｅ₂，
Ｘ₂'）を、基地局から端末１、３〜５に一斉通知し、端
末１、３〜５で（ｅ_i，ｅ₂）を用いて、 ａ'×ｅ_i＋ｂ'×ｅ₂＝１（ｉ＝１、３〜５） を満たす整数ａ'、ｂ'を求め、Ｘ_i'とＸ₂'とを用いて、
更新鍵Ｋ' mod n'を求める構成としたので、基地局から
各端末に（ｅ₁，Ｘ₁）と（ｅ₂，Ｘ₂'）を同報するだけ
で、２つ端末を同時に排除できる。

【００９６】

【発明の効果】以上説明したように、本発明では、鍵更
新方法を、基地局において、 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ；Ｎ
は端末数） を満たすｅ_iを生成して、第１の端末情報として基地局
に保管するとともに、各端末ｉに配布し、（Ｋ，ｎ）を
任意に決定して、 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） を計算して、第２の端末情報として基地局に保管すると
ともに、各端末ｉに配布し、鍵更新時に、基地局が特定
した端末ｋの第１の端末情報ｅ_kと第２の端末情報Ｘ
_kを、基地局から全端末に一斉通知し、端末ｋを除く全
ての端末ｉで、ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ（ｉ≠ｋ） を満たす整数ａ、ｂを求め、Ｘ_iとＸ_kとを用いて、更新
鍵Ｋ^d mod nを求めるという構成としたので、基地局か
ら全端末に（ｅ_k，Ｘ_k）を同報通信するだけで、１個の
端末を排除して残りの端末で同じ更新鍵を獲得でき、鍵
更新のための業務停止期間を短くできるという効果が得
られる。

【００９７】また、鍵更新方法を、基地局が鍵更新時に
各端末の第１の端末情報と互いに素である ＧＣＤ（ｅ，ｅ_i）＝１（１≦ｉ≦Ｎ） を満たす整数ｅと、 Ｘ＝Ｋ^e mod n （ＧＣＤ（Ｘ，ｎ）＝１） を各端末に一斉通知し、端末ｉでは、（ｅ_i，ｅ）を用
いて、 ａ×ｅ_i＋ｂ×ｅ＝１ を満たすａ、ｂを求め、（Ｘ_i，Ｘ）を用いて、Ｘ_i ^a×
Ｘ^b mod nを計算することにより共通の更新鍵Ｋを求め
るという構成としたので、すべての端末が更新鍵を獲得
できる定期更新にも使用することができ、基地局は特定
端末を排除する場合も定期更新時も意識する必要がな
く、処理の簡素化と安全性の向上が実現できるという効
果が得られる。

【００９８】また、鍵更新方法を、基地局が整数Ｋに加
えて、整数Ｋ'を基地局の秘密の更新鍵とし、第ｉ番目
の端末は第１、第２の端末情報に加えて、 Ｘ_i'＝Ｋ'^ei mod n' を第３の端末情報として保持し、鍵更新時には、基地局
が特定した端末ｋと端末ｍの第１の端末情報ｅ_k、ｅ_mお
よび、端末ｋの第２の端末情報Ｘ_kと端末ｍの第３の端
末情報Ｘ_m'を各端末に一斉通知し、端末ｋと端末ｍ以外
の任意の端末ｉでは、端末ｉ、端末ｋの第１の端末情報
ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝１ を満たすａ、ｂを求め、端末ｉ、端末ｋの第２の端末情
報Ｘ_iとＸ_kを用いて、Ｘ_i ^a×Ｘ_k ^b mod nを計算すること
により整数Ｋを求め、さらに端末ｉ、端末ｍの第１の端
末情報ｅ_iとｅ_mを用いて、 ａ'×ｅ_i＋ｂ'×ｅ_m＝１ を満たすａ'、ｂ'を求め、端末ｉ、端末ｍの第３の端末
情報Ｘ_i'とＸ_m'を用いて、Ｘ_i'^a’×Ｘ_m'^b' mod n'を計
算することにより整数Ｋ'を求め、整数ＫとＫ'を用いて
共通の更新鍵を生成するという構成としたので、基地局
から全端末に（ｅ_k，Ｘ_k）と（ｅ_m，Ｘ_m'）を同報通信
するだけで、２個の端末を同時に排除できるという効果
が得られる。

【００９９】また、鍵更新方法において、基地局が第２
の端末情報Ｘ_iに関するべき乗剰余テーブルを求め、こ
のテーブル値を各端末に一斉通話し、各端末はこのテー
ブル値を用いてＸ_i ^a mod nの計算を行なうように構成し
たので、あらかじめ計算パワーのある基地局がテーブル
を作成し、これを端末が使用することにより、鍵更新時
の計算が削減でき、一般に計算パワーが乏しい端末で早
急に更新鍵を求めることができるという効果が得られ
る。

【０１００】また、鍵更新方法において、基地局が、新
規加入の端末ｊに対して端末ｊの第２の端末情報と、鍵
更新時に一斉通話した特定端末ｉの第１、第２の端末情
報を通知し、端末ｊで更新鍵Ｋを求めるように構成した
ので、端末の追加の作業も同様の手続きで行なうことが
できるという効果が得られる。

【０１０１】また、鍵更新方法において、鍵Ｋにバージ
ョン番号を付加し、基地局はバージョン番号が一致して
いない端末ｊに、端末ｊの第２の端末情報と、鍵更新時
に一斉通話した特定端末ｉの第１および第２の端末情報
を対応する端末に通知し、端末ｊで相当するバージョン
の鍵Ｋを求めるように構成したので、基地局と端末で最
新の更新鍵を共有することができるという効果が得られ
る。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態の鍵更新方法におけ
るセットアップを示す図、

【図２】第１の実施の形態の鍵更新方法における準備フ
ェーズを示す図、

【図３】第１の実施の形態の鍵更新方法において、端末
Ｔ₁を排除する鍵更新フェーズを示す図、

【図４】第１の実施の形態の鍵更新方法における各端末
の構成を示す図、

【図５】第１の実施の形態の鍵更新方法における基地局
側の構成を示す図、

【図６】第１の実施の形態の鍵更新方法において、定期
更新の場合の鍵更新フェーズを示す図、

【図７】本発明の第２の実施の形態の鍵更新方法におけ
る準備フェーズを示す図、

【図８】第２の実施の形態の鍵更新方法において、特定
の端末Ｔ₁、Ｔ₂を同時に排除する場合の鍵更新フェーズ
を示す図、

【図９】第２の実施の形態において特定の端末Ｔ₁だけ
を排除する場合の鍵更新フェーズを示す図、

【図1０】従来例１における鍵更新方式を示す図、

【図１１】従来例２における鍵更新方式を示す図であ
る。

【符号の説明】

１ 基地局 ２〜６ 端末Ｔ₁〜Ｔ₅ ７〜11 端末内の記憶部 12 基地局内の記憶部 20 第１の端末情報格納部 21 第２の端末情報格納部 22 一斉通知受信部 23 第１の計算部 24 第２の計算部 25 第１の端末情報格納部(基地局) 26 鍵Ｋ，ｐ，ｑ，ｎ生成部 27 第２の端末情報計算部 28 第２の端末情報格納部(基地局) 29 排除端末指定部 30 同報通知部

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 平９−212089（ＪＰ，Ａ) 電子情報通信学会技術研究報告，Ｖｏ ｌ．91，Ｎｏ．127（ＩＳＥＣ91−11）, ｐ．21−23 電子情報通信学会技術研究報告，Ｖｏ ｌ．91，ＮＯ．226（ＩＳＥＣ91−31）, ｐ．17−21 (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/08 G09C 1/00 630 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (24)

(57)【特許請求の範囲】
1. 【請求項１】 基地局と、前記基地局と接続されたＮ台
   （Ｎは２以上の整数）の端末からなる通信システムにお
   いて、前記基地局は、前記端末の第１の端末情報を格納
   する第１の基地局側記憶部と、第２の端末情報を格納す
   る第２の基地局側記憶部を備え、前記端末は、前記第１
   の端末情報と前記第２の端末情報を格納する端末情報格
   納部と、受信部と、第１計算部と、第２計算部とを備
   え、第ｉ番目（ｉ＝１〜Ｎ）の端末の第１の端末情報
   は、最大公約数が共通の整数 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ （１≦ｉ，ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、第２の端末情報は、Ｋを更新鍵
   を生成するための情報とするとき、前記ｅ_iをべきとし
   整数ｎを法とするＫのべき乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） であり、（１）前記基地局において、鍵更新時に、前記
   基地局が特定した端末ｋの第１の端末情報ｅ_kと第２の
   端末情報Ｘ_kを、前記基地局側記憶部から取り出して全
   端末に一斉通知し、（２）全ての端末ｉにおいて、前記
   受信部で、前記端末ｋの第１の端末情報ｅ_kと第２の端
   末情報Ｘ_kを受信し、（３）端末ｋを除く全ての端末ｉ
   では、前記第１の計算部において、端末ｉと前記端末ｋ
   の第１の端末情報ｅ_iとｅ_kを用いて ａ×ｅ_i＋ｂ×ｅ_k＝ｄ （ｉ≠ｋ） を満たす整数ａ、ｂを求め、（４）端末ｋを除く全ての
   端末ｉでは、前記第２の計算部において、前記整数ａ、
   ｂと、端末ｉの第２の端末情報Ｘ_iと端末ｋの第２の端
   末情報Ｘ_kとを用いて、前記ａが負の場合は、 Ｘ_i ^-1×Ｘ_i mod n＝１ を満たすＸ_iの法ｎにおける逆数Ｘ_i ^-1を求め、
   （Ｘ_i ^-1）^-a×Ｘ_k ^b mod nを計算することにより更新鍵
   Ｋ^d mod nを求め、また前記ｂが負の場合は、 Ｘ_k ^-1×Ｘ_k mod n＝１ を満たすＸ_kの法ｎにおける逆数Ｘ_k ^-1を求め、
   （Ｘ_k ^-1）^-b×Ｘ_i ^a mod nを計算することにより更新鍵
   Ｋ^d mod nを求めることを特徴とする鍵更新方法。
2. 【請求項２】 基地局と、前記基地局と接続されたＮ台
   （Ｎは２以上の整数）の端末からなる通信システムの鍵
   更新装置において、前記基地局は、前記端末の第１の端
   末情報を格納する第１の基地局側記憶手段と、第２の端
   末情報を格納する第２の基地局側記憶手段とを備え、前
   記端末は、前記第１の端末情報と前記第２の端末情報を
   格納する端末情報格納手段とを備え、第ｉ番目（ｉ＝１
   〜Ｎ）の端末の第１の端末情報は、最大公約数が共通の
   整数 ＧＣＤ（ｅ_i，ｅ_j）＝ｄ （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、第２の端末情報は、Ｋを更新鍵
   を生成するための情報とするとき、前記ｅ_iをべきとし
   整数ｎを法とするＫのべき乗剰余値 Ｘ_i＝Ｋ^ei mod n （ＧＣＤ（Ｘ_i，ｎ）＝１） であり、（１）前記基地局は、鍵更新時に、前記基地局
   が特定した端末ｋの第１の端末情報ｅ_kと第２の端末情
   報Ｘ_kを、前記基地局側記憶手段から取り出して全端末
   に一斉通知する送信手段を備え、（２）全ての端末ｉ
   は、前記端末ｋの第１の端末情報ｅ_kと第２の端末情報
   Ｘ_kを受信する受信手段を備え、（３）全ての端末ｉ
   は、前記端末ｉと前記端末ｋが異なる場合に、前記端末
   ｉと前記端末ｋの第１の端末情報ｅ_iとｅ_kを用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ （ｉ≠ｋ） を満たす整数ａ、ｂを求める第１の計算手段を備え、
   （４）全ての端末ｉは、前記端末ｉと前記端末ｋが異な
   る場合に、前記整数ａ、ｂと、前記端末ｉの第２の端末
   情報Ｘ_iと前記端末ｋの第２の端末情報Ｘ_kとを用いて、
   前記ａが負の場合は、 Ｘ_i ^-1×Ｘ_i mod n＝１ を満たすＸ_iの法ｎにおける逆数Ｘ_i ^-1を求め、
   （Ｘ_i ^-1）^-a×Ｘ_k ^b mod nを計算することにより更新鍵
   Ｋ^d mod nを求め、また前記ｂが負の場合は、 Ｘ_k ^-1×Ｘ_k mod n＝１ を満たすＸ_kの法ｎにおける逆数Ｘ_k ^-1を求め、
   （Ｘ_k ^-1）^-b×Ｘ_i ^a mod nを計算することにより更新鍵
   Ｋ^d mod nを求める第２の計算手段を備えることを特徴
   とする鍵更新装置。
3. 【請求項３】 前記端末ｉの第１の端末情報ｅ_iと前記
   端末ｊの第１の端末情報ｅ_jが互いに素である、すなわ
   ち ＧＣＤ（ｅ_i，ｅ_j）＝１ （１≦ｉ，ｊ≦Ｎ；ｉ≠ｊ） を満たすとし、前記第１の計算部において ａ×ｅ_i＋ｂ×ｅ_j＝１ を満たす整数ａ、ｂを求め、前記第２の計算部におい
   て、更新鍵Ｋを求めることを特徴とする請求項１記載の
   鍵更新方法。
4. 【請求項４】 前記第１の端末情報を、前記基地局が作
   成し、あらかじめ基地局と端末に備えられた暗号通信手
   段により、対応する端末に配布することを特徴とする請
   求項１記載の鍵更新方法。
5. 【請求項５】 前記暗号通信手段を、基地局と各端末ご
   とに共有された鍵を用いた共通鍵暗号方式で実現するこ
   とを特徴とする請求項４記載の鍵更新方法。
6. 【請求項６】 前記暗号通信手段を、端末に個別の秘密
   鍵を備え、基地局に対応する公開鍵を備え、これらを用
   いた公開鍵暗号方式で実現することを特徴とする請求項
   ４記載の鍵更新方法。
7. 【請求項７】 前記公開鍵暗号を用いた暗号通信路に、
   基地局のディジタル署名を付加することを特徴とする請
   求項６記載の鍵更新方法。
8. 【請求項８】 前記基地局が、鍵更新時に各端末ｉの第
   １の端末情報ｅ_iとの最大公約数が ＧＣＤ（ｅ，ｅ_i）＝ｄ （１≦ｉ≦Ｎ） となる整数ｅと、前記整数ｅをべきとし整数ｎを法とす
   るＫのべき乗剰余値 Ｘ＝Ｋ^e mod n （ＧＣＤ（Ｘ，ｎ）＝１） を一斉通知し、前記任意の端末ｉでは、前記第１の計算
   部で、端末ｉの第１の端末情報ｅ_iと前記整数ｅを用い
   て ａ×ｅ_i＋ｂ×ｅ＝ｄ を満たすａ、ｂを求め、次に前記第２の計算部で、端末
   ｉの第２の端末情報Ｘ_iと前記べき乗剰余値Ｘを用いて
   共通の更新鍵Ｋ^d mod nを求めることを特徴とする請求
   項１記載の鍵更新方法。
9. 【請求項９】 前記端末の第１の計算部で、拡張ユーク
   リッド互除法を用いて前記整数ａ、ｂを求めることを特
   徴とする請求項１または８記載の鍵更新方法。
10. 【請求項１０】 前記整数ｎを基地局の秘密の整数と
    し、鍵更新時に端末ｋの第１、第２の端末情報（ｅ_k，
    Ｘ_k）または前記（ｅ，Ｘ）に加えて整数ｎを一斉通知
    することを特徴とする請求項１または８記載の鍵更新方
    法。
11. 【請求項１１】 前記整数ｎを基地局が生成した素数ｐ
    とｑの積とすることを特徴とする請求項１または８記載
    の鍵更新方法。
12. 【請求項１２】 前記基地局の第１の基地局側記憶部お
    よび前記端末の第１の端末情報格納部は、外部より観測
    したり変更できない領域とすることを特徴とする請求項
    １または８記載の鍵更新方法。
13. 【請求項１３】 前記基地局が任意の秘密の整数Ｋとｎ
    を生成して、前記第１の基地局側記憶部に格納している
    各端末ｉの第１の秘密情報ｅiを用いて第２の端末情報
    Ｘiを計算し、これを鍵更新の前に対応する各端末に配
    布することを特徴とする請求項１または８記載の鍵更新
    方法。
14. 【請求項１４】 前記基地局が整数Ｋに加えて、整数
    Ｋ'を基地局の秘密の更新鍵とし、第ｉ番目の端末は前
    記第１、第２の端末情報に加えて、前記ｅ_iをべきとし
    整数ｎ'を法とするＫ'のべき乗剰余値 Ｘ_i'＝Ｋ'^ei mod n' （ＧＣＤ（Ｘ_i'，ｎ'）＝１） を第３の端末情報として保持し、鍵更新時には、基地局
    が特定した端末ｋと端末ｍの第１の端末情報ｅ_k、ｅ_mお
    よび、端末ｋの第２の端末情報Ｘ_kと端末ｍの第３の端
    末情報Ｘ_m'を一斉通知し、端末ｋと端末ｍ以外の任意の
    端末ｉでは、端末ｉ、端末ｋの第１の端末情報ｅ_iとｅ_k
    を用いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ を満たすａ、ｂを第１の計算部において求め、前記第１
    の計算部の出力と、端末ｉ、端末ｋの第２の端末情報Ｘ
    _iとＸ_kを用いて、整数Ｋ^d mod nを第２の計算部におい
    て求め、さらに前記第１、第２の計算部に加えて第３、
    第４の計算部を備え、端末ｉ、端末ｍの第１の端末情報
    ｅ_iとｅ_mを用いて、 ａ'×ｅ_i＋ｂ'×ｅ_m＝ｄ を満たすａ'、ｂ'を第３の計算部において求め、前記第
    ３の計算部の出力と、端末ｉ、端末ｍの第３の端末情報
    Ｘ_i'とＸ_m'を用いて、整数Ｋ'^d mod n'を第４の計算部
    において求め、前記第２、第４の計算部の出力である整
    数Ｋ^d mod nとＫ'^d mod n'を用いて共通の更新鍵を生成
    することを特徴とする請求項１記載の鍵更新方法。
15. 【請求項１５】 基地局が、鍵更新時に基地局が特定し
    た端末ｋの第１の端末情報ｅ_kと、端末ｋの第２の端末
    情報Ｘ_k、および前記各端末ｉの第１の端末情報ｅ_iとの
    最大公約数が ＧＣＤ（ｅ，ｅ_i）＝ｄ （１≦ｉ≦Ｎ） となる整数ｅと、前記整数ｅをべきとし整数ｎ'を法と
    するＫ'のべき乗剰余値 Ｘ'＝Ｋ'^e mod n' （ＧＣＤ（Ｘ'，ｎ'）＝１） を一斉通知し、端末ｋ以外の任意の端末ｉでは、第１の
    計算部で端末ｉ、端末ｋの第１の端末情報ｅ_iとｅ_kを用
    いて、 ａ×ｅ_i＋ｂ×ｅ_k＝ｄ を満たすａ、ｂを求め、次に第２の計算部で端末ｉ、端
    末ｋの第２の端末情報Ｘ_iとＸ_kを用いて、整数Ｋ^d mod
    nを求め、さらに第３の計算部で端末ｉの第１の端末情
    報ｅ_iと前記整数ｅを用いて、 ａ'×ｅ_i＋ｂ'×ｅ＝ｄ を満たすａ'、ｂ'を求め、次に第４の計算部で端末ｉの
    第３の端末情報Ｘ_i'と前記べき乗剰余値Ｘ'を用いて、
    整数Ｋ'^d mod n'を求め、前記第２、第４の計算部の出
    力である整数Ｋ^d mod nとＫ'^d mod n'を用いて共通の更
    新鍵を生成することを特徴とする請求項１４記載の鍵更
    新方法。
16. 【請求項１６】 前記整数ｎおよび整数ｎ'を基地局の
    秘密の整数とし、鍵更新時に端末ｋと端末ｍの第１の端
    末情報および端末ｋの第２の端末情報と端末ｍの第３の
    端末情報に追加して、整数ｎおよびｎ'を一斉通知する
    ことを特徴とする請求項１４記載の鍵更新方法。
17. 【請求項１７】 基地局が前記各端末の第１の端末情報
    を秘密に保持し、基地局が任意の秘密の整数Ｋとｎを生
    成して、各端末の第１の端末情報をべきとし前記ｎを法
    とする前記整数Ｋのべき乗剰余値である第２の端末情報
    を計算して、また任意の秘密の整数Ｋ'とｎ'を生成し
    て、各端末の第１の端末情報をべきとし前記ｎ'を法と
    する前記整数Ｋ'のベき乗剰余値である第３の端末情報
    を計算して、これらを鍵更新の前に、対応する各端末に
    配布することを特徴とする請求項１４記載の鍵更新方
    法。
18. 【請求項１８】 基地局と、前記基地局と接続されたＮ
    局（Ｎは２以上の整数）の端末からなる通信システムに
    おいて、Ｍを１≦Ｍ＜Ｎである自然数とするとき、前記
    基地局は、前記端末の個別端末情報と第１から第Ｍの端
    末情報を格納する基地局側記憶部を備え、前記端末は、
    前記個別端末情報と前記第１から第Ｍの端末情報を格納
    する端末情報格納部と、受信部と、Ｍ個の第１、第２の
    計算部を備え、第ｉ番目（ｉ＝１〜Ｎ）の端末の個別端
    末情報は、最大公約数が共通の整数 ＧＣＤ（ｅ_i,ｅ_j）＝ｄ （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ） となる整数ｅ_iであり、ｍを１からＭまでの整数とする
    とき、前記第ｍの端末情報は、Ｋ_mを更新鍵を生成する
    ための情報とするとき、前記ｅ_iをべきとし整数ｎ_mを法
    とするＫ_mのべき乗剰余値 Ｘ［ｉ,ｍ］＝Ｋ_m ^ei mod n_m （ＧＣＤ（Ｘ［ｉ,ｍ］,ｎ
    _m）＝１） であり、（１）前記基地局において、鍵更新時に、前記
    基地局が特定したＭ個の特定の端末ｋ₁,ｋ₂,...,ｋ_Mの
    個別端末情報ｅ_k1,ｅ_k2,...,ｅ_kMと、端末ｋ₁の第１の
    端末情報Ｘ［ｋ₁,１］、端末ｋ₂の第２の端末情報Ｘ
    ［ｋ₂,２］、...、端末ｋ_Mの第Ｍの端末情報Ｘ［ｋ_M,
    Ｍ］を前記基地局側記憶部から取り出して全端末に一斉
    通知し、（２）すべての端末ｉにおいて、前記受信部
    で、前記基地局の一斉通知を受信し、（３）Ｍ個の特定
    の端末を除くすべての端末ｉでは、第１番目の第１の計
    算部で、 ａ₁×ｅ_i＋ｂ₁×ｅ_k1＝ｄ を満たす整数ａ₁、ｂ₁を求め、前記ａ₁が負である場合
    には、Ｘ［ｉ,１］のｎ₁を法とする逆数Ｘ［ｉ,１］^-1
    を求め、 ［Ｘ［ｉ,１］^-1］^-a1×Ｘ［ｋ₁,１］^b1 mod n₁ を計算することによりＫ₁ ^d mod n₁を求め、前記ｂ₁が負
    である場合には、Ｘ［ｋ₁,１］のｎ₁を法とする逆数Ｘ
    ［ｋ₁,１］^-1を求め、 ［Ｘ［ｋ₁,１］^-1］^-b1×Ｘ［ｉ,１］^a1 mod n₁ を計算することによりＫ₁ ^d mod n₁を求め、（４）Ｍ個
    の特定の端末を除くすべての端末ｉでは、第２番目の第
    １の計算部で、 ａ₂×ｅ_i＋ｂ₂×ｅ_k2＝ｄ を満たす整数ａ₂、ｂ₂を求め、前記ａ₂が負である場合
    には、Ｘ［ｉ,２］のｎ₂を法とする逆数Ｘ［ｉ,２］^-1
    を求め、 ［Ｘ［ｉ,２］^-1］^-a2×Ｘ［ｋ₂,２］^b2 mod n₂ を計算することによりＫ₂ ^d mod n₂を求め、前記ｂ₂が負
    である場合には、Ｘ［ｋ₂,２］のｎ₂を法とする逆数Ｘ
    ［ｋ₂,２］^-1を求め、 ［Ｘ［ｋ₂,２］^-1］^-b2×Ｘ［ｉ,２］^a2 mod n₂ を計算することによりＫ₂ ^d mod n₂を求め、以降同様に
    Ｋ₃ ^d mod n₃、...、Ｋ_M ^dmod n_Mを求め、以上のＭ個の秘
    密の整数を用いて共通の更新鍵を生成することを特徴と
    する鍵更新方法。
19. 【請求項１９】 前記鍵更新を連続して行なう場合にお
    いて、第ｉ回目の鍵更新で特定の端末ｋの端末情報を一
    斉通話した後には、第（ｉ＋１）回目の鍵更新の前に、
    基地局は前記端末ｋの第１の端末情報を用いた第２の端
    末情報を計算せず、また端末ｋには配布しないことを特
    徴とする請求項１記載の鍵更新方法。
20. 【請求項２０】 基地局が各端末ｉの第２の端末情報Ｘ
    _iに関するべき乗剰余テーブルを求め、鍵更新の前に対
    応する端末に配布し、各端末は鍵更新の第２の計算部で
    このテーブル値を用いて、Ｘ_i ^b mod nの計算を行なうこ
    とを特徴とする請求項１記載の鍵更新方法。
21. 【請求項２１】 基地局が特定の端末ｋの、第２の端末
    情報Ｘ_kに関するべき乗剰余テーブルを求め、鍵更新の
    際にこのテーブル値を一斉通話し、各端末は鍵更新の第
    ２の計算部でこのテーブル値を用いて、Ｘ_k ^a mod nの計
    算を行なうことを特徴とする請求項１記載の鍵更新方
    法。
22. 【請求項２２】 基地局が、新規加入の端末ｊに対して
    端末ｊの第２の端末情報と、鍵更新時に一斉通話した特
    定端末ｉの第１、第２の端末情報を通知し、端末ｊでは
    前記第１、第２の計算部を備えて前記更新鍵Ｋ^d mod n
    を求めることを特徴とする請求項１記載の鍵更新方法。
23. 【請求項２３】 前記鍵Ｋにバージョン番号を付加し、
    基地局はバージョン番号が一致していない端末ｊに、端
    末ｊの第２の端末情報と、鍵更新時に一斉通話した特定
    端末ｉの第１および第２の端末情報を対応する端末に通
    知し、端末ｊでは前記第１、第２の計算部において、相
    当するバージョンの鍵Ｋ^d mod nを求めることを特徴と
    する請求項１記載の鍵更新方法。
24. 【請求項２４】 前記基地局における前記第２の端末情
    報の計算、および端末における更新鍵Ｋを求める計算
    を、任意の有限体上で行なうことを特徴とする請求項
    １、３〜２３のいずれか１項に記載の鍵更新方法。