JP3308561B2

JP3308561B2 - 電子メール通信方法および送信側端末

Info

Publication number: JP3308561B2
Application number: JP15802391A
Authority: JP
Inventors: 信一川村; 淳新保
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1990-11-14
Filing date: 1991-06-28
Publication date: 2002-07-29
Anticipated expiration: 2017-07-29
Also published as: JPH04347949A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は暗号通信方法及び暗号通
信システムに係わり、特に端末局間で共有する鍵の変更
が容易であり、３局間以上の鍵共有も容易であり、かつ
成り済ましによる再送攻撃を有効に防止することが可能
である暗号通信方法及び暗号通信システムに関する。

【０００２】

【従来の技術】従来から、第３者による盗聴又はメッセ
ージの改ざんが起こり得るような安全でない通信路を介
してデータの授受を行う場合、暗号を利用してそのデー
タを保護する様々な方式が研究され、かつ利用されてい
る。

【０００３】上記暗号方式は分類上、秘密鍵暗号（ある
いは慣用暗号）と公開鍵暗号とに分けられる。秘密鍵暗
号は、暗号化に使用する鍵とその復号化に使用する鍵が
同じ暗号方式であり高速処理が容易であるので、広く利
用されている。但しこの秘密鍵暗号の場合には、暗号通
信に先立って送信者と受信者との間で同一の鍵情報を第
３者に知られないように安全に共有しておかなければな
らない。すなわち鍵共有が必要である。原始的な鍵共有
方法として通信相手の所まで人が出向き、次いで使用す
る鍵を事前に打ち合わせる方法がある。軍事、外交用で
はこのような手間の掛かる方法で鍵共有することも許容
できるが、商用通信には不向きである。一方、公開鍵暗
号は、暗号化の鍵とその復号化の鍵が異なり、暗号化の
鍵は公開情報であり誰もが知ることができ、復号鍵のみ
を各自が秘密に保持する方式である。この方式では暗号
化の鍵が公開されているので鍵共有は必要なく、公開さ
れている鍵を用いて所望の相手と暗号通信が可能であ
る。公開鍵の管理方法の一例として、公開鍵をユーザ毎
にリスト化して誰もが参照可能なデータベースに登録す
る方法がある。この場合、公開鍵暗号を正しく運用する
ため公開鍵のリストに登録されている鍵が改ざんされて
いないことを保証しなければならない。すなわち公開鍵
の認証機能が必要である。

【０００４】しかしながら、公開鍵暗号は鍵の管理が簡
便であるという長所がある反面、処理速度が比較的低い
という欠点がある。そこで、公開鍵暗号の技術を利用し
て送信者と受信者との間で同一の鍵情報を共有してお
き、その後にその鍵情報を用いて秘密鍵暗号で暗号通信
を行うという幾つかの方式が実行されている。これらの
方式で最初に提案されたものとしてＤＨ方式（W.Diffie
&M.E.Hellman, "NewDirections in cryptography" IEEE
Trans. on Information Theory, IT-22,6,pp.644-645
(June 1976) ）が知られている。ＤＨ方式は、大きい素
数ｐを法とするべき乗演算の逆変換が困難であることに
基づいた二者間に限定した鍵配送方式である。つまり数
学上、ｙ＝ｇ^x mod ｐ（ｘ、ｇは整数）において、ｇ^x をｐで割った余りの値ｙをｘから求める
ことは簡単であるが、値ｙから値ｘを求めることは困難
であることに基づく。この方式では公開鍵の認証機能が
なく、かつ送受信者間で共有される鍵は変化することが
なかった。その後、共有される鍵が毎回変わるように改
良を加え、かつ３者以上の間で鍵を共有できるようにし
た幾つかの方式が提案されている。

【０００５】改良方式の一つとして岡本龍明氏等による
改良は二者以上の鍵共有への拡張と位置付けられる（岡
本、白石“ＰＫＤＳに基づく共有鍵配送方式”昭和５９
年度電子通信学会通信部門全国大会講演論文集 No.1
8）。

【０００６】しかしながら、上記改良方式は素数ｐを法
とするべき乗演算を用いているので、公開鍵のリストは
第３者による改ざんがないという仮定が必要であった。
又は、第３者による改ざんを防ぐための仕組み、例えば
認証機能を別個に設ける必要があった。

【０００７】それで、岡本栄司氏は法を二つの素数ｐ，
ｑの積に拡張することによって公開情報を認証する機構
を鍵共有法に組み込んだ方式を提案した("Proposal for
identity-based key distribution systems", Electron
ics Letters, Vol.22,No.24,pp.1283-1284, 1986) 。し
かしながら、この方式では共有した鍵が送信局ｉと受信
局ｊの両方の秘密情報に依存しており、３者以上の鍵共
有には向かない。

【０００８】小山−太田方式 (Security of improvedid
entity-based conference keydistribution systems",
Lecture Notes in Computer Science Advances incrypt
ology -Eurocrypt'88- pp.11-19, Springer-Verlag 198
8) は上記二人の岡本氏の方式の長所をそれぞれ取り込
み、かつ法を３つの素数の積としたものである。しかし
ながら、この方式では二つの素数の積を法とする方式に
比べ法の桁数が約２倍になってしまい、メモリ量及び演
算量の観点から不利である。例えばべき乗計算の演算量
は概ね法の桁数の３乗に比例するので、１回のべき乗計
算につき演算量は約８倍に達する。

【０００９】また伊藤等は、毎回鍵が変わり、かつグル
ープ鍵共有が可能であり、小山−太田方式よりも演算量
の少ない方式を提案している（伊藤、羽物、笹瀬、森：
“ＩＤ情報に基づく公開ファイル不要な一方向鍵配送方
式”、1990年電子情報通信学会春季全国大会講演論文
集、No.A-283, p.1-283, 1990,３月）。しかしながら、
伊藤等の方式をグループ鍵共有に用いた場合、グループ
内の第３者の再送攻撃による成り済ましや、送信者秘密
情報などの問題点が存在する。

【００１０】上記の如く、鍵配送方式の改良に対する技
術の進展と同時に、短文のデータのみならず上記鍵配送
方式を用いて長文を伝送する試みが行われている。例え
ば、上記伊藤等のグループ鍵共有を利用した鍵配送方式
に基づき、電子メールをユーザへ送信することが行われ
ている。

【００１１】電子メールの具体例としてＵＮＩＸネット
ワークのメールがある。このメール・システムは複数の
ＵＮＩＸマシンを通信回路でメッシュ状に接続したネッ
トワーク上を送信端末から受信端末へバケツ・リレー的
にメッセージを送り付けるものであり、現在広く使われ
ている。このような電子メールでは同一のメッセージを
複数の宛先に送り付ける同報通信機能が一般にサポート
されている。また、メールに不可欠な機能として宛先ア
ドレスの誤り、及び相手のアドレスが変更されていて送
信者が指定した相手にメールを配達できなかった場合
に、メールを送信元まで返送し、その旨送信者に通知す
る機能がある。ＵＮＩＸメールにおいてもこれらの機能
がサポートされている。

【００１２】このようにメールにおいて重要なメッセー
ジをやり取りする場合には、その内容を保護するために
メッセージを暗号化することが望ましい。また、その暗
号通信は同報通信機能及び宛先不明メールの返信機能に
対応している必要がある。上記機能を有する電子メール
の従来例を図17に示す。

【００１３】図示するように、電子メールは送信者側の
アドレスＩＤ₁、受信者側のアドレスＩＤ₂、ＩＤ₃、
…、鍵共有情報Ｘ₁₂、Ｘ₁₃、…、及び暗号文Ｃ＝Ｅ
（Ｋ，Ｍ）から構成される。

【００１４】上記従来例では、一送信者が同時に多数の
受信者へ暗号化された電子メールを受信者毎に異なる暗
号で伝送することができる。また、各受信者はその暗号
化された電子メールを各受信者毎に異なる復号鍵を用い
て復号することができる。

【００１５】しかしながら、暗号メールを送信したとき
にそのメールが宛先不明で送信元に返送されてきた場
合、送信者の当然の要求としてその暗号を復号して内容
を確認したくなる。仮に送信者が自分のところに戻って
きた暗号メールを復号できないとすると送信者は宛先名
のみから戻ってきたメールが自分が送信したメールのう
ちいずれであるかを判断しなければならない。

【００１６】従って、万一宛先に電子メールの受信者が
存在しない場合には、受信者は電子メールを復号するこ
とができない。換言すれば、返信された電子メールを復
号するためには復号鍵を何等かの方法で受信者が記憶し
ておかなければならない。このように全ての送信された
電子メールに対し復号鍵を記憶して管理することは通信
システムを複雑化することになる。

【００１７】

【発明が解決しようとする課題】上記の如く、鍵配送方
式を用いたＤＨ方式では２者間のみの通信であり、認証
機能がなく、かつ公開鍵は変化しないので、第３者によ
る盗聴又はメッセージの改ざんが高い確率で起こり得る
という問題があった。

【００１８】岡本龍明氏等による拡張された鍵共有方式
では、３者以上で通信が可能であるけれども第３者によ
るメッセージの改ざんが高いという問題が依然として残
っていた。

【００１９】岡本栄司氏による二つの素数を用いた方式
では、認証機能が取り込まれたため第３者による盗聴又
はメッセージの改ざんの恐れが減少されたものの、３者
以上の鍵共有には向かないという問題があった。

【００２０】小山−太田方式では３者以上で通信が可能
で、かつ認証機能が取り込まれているものの、演算量が
大幅に増加するため実用化に適さないという問題があっ
た。伊藤等の方式では、３者以上で通信が可能で認証機
能が取り込まれ、かつ演算量もそれ程増加しないもの
の、グループ鍵共有に用いた場合に再送攻撃や秘密情報
の漏洩等の問題点が存在した。

【００２１】一方、暗号化された電子メールの送受信に
おいて、宛先に電子メールの受信者が存在しない事態に
対し対処しようとした場合、通信システムが複雑になる
という問題があった。

【００２２】

【００２３】そこで、本発明は従来技術の問題点を解消
するもので、その目的は、電子メールの送受信において
宛先に電子メールの受信者が存在しない場合でも通信シ
ステムを複雑にすることなく対処可能である電子メール
通信方法、および送信側端末を提供することである。

【００２４】

【００２５】

【００２６】

【００２７】

【課題を解決するための手段】上記課題を解決するため
に本発明の電子メール通信方法は、伝送路を介して接続
された受信側端末へ電子メールを送信する送信側端末の
電子メール通信方法であって、前記送信側端末は、共有
鍵を用いて送信したい平文を暗号化し、該暗号化された
平文を前記受信側端末にて復号の際に利用される第1鍵
共有情報と、該暗号化された平文を前記送信側端末自身
にて復号の際に利用される第２鍵共有情報とを含む鍵共
有情報群を作成し、送信元を示す前記送信側端末のアド
レスと、宛先を示す送信したい前記受信側端末のアドレ
スと、該暗号化された平文と、作成された該鍵共有情報
群と、に基づいて電子メールを作成し、該電子メールを
該受信側端末へ送信するとともに、送信元を示す前記送
信側端末のアドレスに基づいて、送信した該電子メール
が宛先不明で返送されてきた場合に、該電子メールを受
信し、受信した該電子メールに含まれる該第２鍵共有情
報に基づいて前記共有鍵を生成し、生成した前記共有鍵
に基づいて該暗号化された平文を復号するようにした。
また、本発明の端末側装置は、伝送路を介して接続され
た受信側端末へ電子メールを送信する送信側端末であっ
て、共有鍵を用いて平文を暗号化する手段と、該暗号化
された平文を前記受信側端末にて復号の際に利用される
第1鍵共有情報と、該暗号化された平文を前記送信側端
末自身にて復号の際に利用される第２鍵共有情報とを含
む鍵共有情報群を作成する手段と、送信元を示す前記送
信側端末のアドレスと、宛先を示す送信したい前記受信
側端末のアドレスと、該暗号化された平文と、作成され
た該鍵共有情報群と、に基づいて電子メールを作成し、
伝送路を介し受信側端末へ送信する手段とを備えるとと
もに、送信元を示す前記送信側端末のアドレスに基づい
て、該伝送路から、前記送信する手段で送信された該電
子メールが宛先不明で返送されてきた場合に、この電子
メールを受信する手段と、前記受信する手段により該電
子メールを受信した場合に、受信した該電子メールに含
まれる該第２鍵共有情報に基づいて前記共有鍵を生成
し、生成した前記共有鍵に基づいて該暗号化された平文
を復号する手段とを備えた。このようにした本発明によ
り、送信された前記電子メールが宛先不明で返送されて
きた場合は、受信した電子メールに含めてある前記送信
側端末自身のための鍵共有情報を用いて、該電子メール
に含まれる暗号化された平文を復号することが可能であ
る。

【００２８】

【００２９】

【００３０】

【００３１】

【作用】本発明によれば、鍵共有情報に例えば宛先不明
用鍵共有情報を含ませ、受信側端末局に送信される暗号
化された平文にこの鍵共有情報を載せることができる。
すると、例えば受信側端末局が存在しないために送信側
端末局に暗号化された平文が返信されてきた場合、送信
側端末局自身が上記宛先不明用鍵共有情報を用いて、暗
号化された平文を復号することができる。このようにす
ることにより、送信側端末局は受信側端末局が存在しな
い場合でも平文の内容を知ることができ、管理上便利で
ある。

【００３２】

【実施例】以下本発明の実施例を図面を参照して説明す
る。図１に本発明の第１実施例に係わる暗号通信システ
ムのブロック図を示す。

【００３３】図示すように、暗号通信システムは該シス
テムを立ち上げる中央局２０１と、該中央局２０１に通
信ネットワークを介して接続される端末局ｉ，ｊ，…と
を備える。但し、図１においては便宜上、端末局ｉ，ｊ
のみが示される。

【００３４】中央局２０１はプログラムにより予め定め
られた手順に従って、公開情報、中央局秘密情報、及び
局秘密情報を算出すると共に、これらの情報をメモリす
る。ここで、公開情報とは全ての端末局ｉ，ｊ，…が中
央局２０１との通信により自由に知ることができる情報
であり、暗号通信システムの共通の法ｎ、プログラム内
で予め定められる所定の整数ｇ，中央局の公開鍵ｅ，疑
似ランダム関数ｈ₁ ( )及びｈ₂( ) 端末局ｉ，ｊ，…
の公開情報Ｙｉ，Ｙｊ，…、並びに端末局ｉ，ｊ，…の
一意に定まる名前を数値化したＩＤｉ，ＩＤｊ，…から
成る。

【００３５】これら公開情報は公開情報ゆえに管理運用
法の自由度も大きい。図１では中央局の公開情報ファイ
ルから読み出す方法が示されている。実際には中央局の
公開鍵ｅ、法ｎ、整数ｇは通信相手によらず一定だから
各端末局はシステム加入時に一度だけ公開鍵ｅ、法ｎ、
整数ｇを入手し、記録しておくだけで良い。また名前Ｉ
Ｄｉ，ＩＤｊ，…及び公開情報Ｙｉ，Ｙｊ，…は中央局
から入手する以外に、通信相手から入手しても良い。

【００３６】中央局秘密情報とは中央局２０１が各端末
局に対し秘密に保つ情報であり、相異なる２つの大きい
素数ｐ及びｑ、中央局内の法Ｌ、中央局固有の秘密鍵
ｄ、及び端末局ｉ，ｊ，…に対する中央局の秘密鍵
ｅ_i，ｅ_j，…から成る。

【００３７】局秘密情報とは中央局２０１と特定の端末
局以外の局に対し秘密に保たれる情報であり、特定の端
末局がｉである場合、端末局ｉの秘密鍵ｄ_i、及び端末
局ｉ認証用の秘密情報Ｓｉから成る。なお、中央局２０
１は秘密鍵ｄ_i，ｄ_j，…、秘密情報Ｓｉ，Ｓｊを各端
末局ｉ，ｊ，…に発行した後は局秘密情報を記録してお
く必要はない。これら局秘密情報は完全かつ確実に対応
する端末局に渡される。具体的方法として、例えば局秘
密情報は安全に持ち運び可能なＩＣカードのような記憶
媒体に保管して各局に渡す方法がある。図１では、中央
局が各端末局に安全に局秘密情報を発行する手続を「安
全な通信路」として示している。上記の各情報の生成方
法は後述する。

【００３８】端末局ｉ，ｊ，…のそれぞれは暗号情報の
送信部２０２及び受信部２０３を備える。例えば暗号情
報が端末局ｉの送信部２０２から端末局ｊの受信部２０
３へ送信される場合、乱数情報ｒ_iを生成する乱数生成
器２０４と、時刻情報ｔを出力する時計２０５と、中央
局２０１から入手した各種公開情報及び局秘密情報、並
びに乱数情報ｒi 及び時刻情報ｔを用いて鍵共有情報Ｘ
_ijを作成する鍵共有情報作成手段２０６と、公開情報ｇ
及び乱数情報ｒ_iを用いて端末局ｉの共有鍵Ｋ_ifを生成
する送信側鍵生成手段２０７とを備える。

【００３９】また、端末局ｊの受信部２０３は端末局ｉ
から入手する時刻情報ｔが虚偽であるか否かを確認する
時刻妥当性確認手段２０８と、中央局２０１から秘密鍵
ｄ_jを入手し保持する秘密鍵メモリ２０９と、中央局２
０１から入手した各種公開情報、虚偽でないと確認され
た時刻情報ｔ、秘密鍵ｄ_j及び端末局ｉの鍵共有情報作
成手段２０６から出力される鍵共有情報Ｘ_ijを用いて端
末局ｊの共有鍵Ｋ_jiを生成する受信側鍵生成手段２１０
とを備える。以上の構成において、まず最初に中央局２
０１内で行われる各種情報の作成方法を説明する。

【００４０】中央局２０１は最初に相異なる二つの大き
い素数ｐ、ｑを適宜生成し、その積ｎ＝ｐ・ｑを作成す
る。また、ｐ−１とｑ−１の最小公倍数であるＬを定め
る。次にガロア体（ガロアフィールド）ＧＦ（ｐ）とＧ
Ｆ（ｑ）の両方で生成元となる整数ｇを一つ選定する。
この条件は本発明の第１実施例に係わる暗号通信システ
ムの安全性を向上させるために導入されている。但し、
１＜ｇ≦ｎ−１の範囲の任意の整数値ｇを用いても構わ
ない。また、中央局２０１の公開鍵ｅをＬと互いに素で
ある整数群から一つ選定し、次いで公開鍵ｅに対応する
中央局２０１の秘密鍵ｄを、ｅ・ｄ＝１（mod Ｌ）を満たすように作成する。ここで、上式はｅとｄとの積
として定まる値に１を差し引いた値がＬで割り切れるこ
とを示す。さらに、公開の共通の底Ｇを、Ｇ＝ｇ^f mod ｎを満たすように定める。ここで、ｆ＝ｄ^k であり、Ｇは
ｇ^f の値をｎで割ったときの余りの値を意味する。ｋは
鍵共有のプロセスによって定まる非負整数（零及び自然
数）である。

【００４１】次に、中央局２０１は端末局ｉの秘密鍵ｄ
_iを秘密鍵ｄの値と異なり、かつＬと互いに素である整
数群から一つ選定する。ここで、各端末局ｉ，ｊ，…に
対する秘密鍵ｄ_i、ｄ_j、…は互いに異なるように選定
される。次いで、ｄ_iに対し、ｅ_i・ｄ_i−１（mod Ｌ）の関係を満たす中央局の秘密鍵ｅ_iが定められる。ま
た、中央局２０１は上記の秘密鍵ｄの値を用いて局認証
用の秘密情報Ｓｉを、Ｓｉ＝ｈ₁（ＩＤｉ）^-d mod ｎに従って定める。ここで、ｈ₁( ) は疑似ランダム関数
である。最後に法ｎの下で、上記の底Ｇ、秘密鍵ｅ_i、
秘密情報Ｓｉを用いて端末局ｉの公開情報Ｙ_iが、Ｙｉ＝Ｓｉ・（Ｇ^ei mod ｎ）に従って定められる。このように中央局２０１は、図２
に示すように、端末局ｉに関連する各種情報を作成する
と共に、他の各端末局ｊ，ｋ，…に関連する情報をも作
成する。

【００４２】なお、中央２０１は更に各端末局ｉ，ｊ，
…において時刻情報ｔに依存した情報であるいわゆるタ
イムスタンプＴを作成するため疑似ランダム関数ｈ
₂( ) を定める。次に、図１に示される暗号通信システ
ムの端末局ｉ，ｊの間での暗号通信方法を図３に示した
フローチャートに従って説明する。なお、本実施例では
ｋ＝２、すなわちｆ＝ｄ² を用いている。

【００４３】まずステップ３０１で、端末局ｉは中央局
２０１から公開情報である法ｎ、整数ｇ，公開鍵ｅ、疑
似ランダム関数ｈ₁( ) 及びｈ₂( ) 、公開情報Ｙｊ、
及び数値ＩＤｊ、並びに局秘密情報Ｓｉを入手する。

【００４４】ステップ３０２では、鍵共有情報作成手段
２０６において、乱数生成器２０４によって生成された
乱数情報ｒ_i及び時計２０５から得られる時刻情報ｔ、
並びに中央局２０１から入手した情報をもとにタイムス
タンプＴ及び鍵共有情報Ｘ_ijが、Ｔ＝ｈ₂（ｔ）Ｘ_ij＝Ｓｉ^T ・（Ｙｊ^e ・ｈ₁（ＩＤｊ））^ri mod ｎに従って定められる。ステップ３０３では、送信側鍵生
成手段２０７において共有鍵Ｋ_ijが、Ｋ_ij＝ｇ^ri mod ｎに従って定められる。また同時にステップ３０４では、
ステップ３０２で定められた鍵共有情報Ｘ_ij及び時刻情
報ｔが端末局ｊへ送信される。

【００４５】ステップ３０５では、端末局ｊは中央局２
０１から公開情報である法ｎ、公開鍵ｅ，疑似ランダム
関数ｈ₁( ) 及びｈ₂() 、及び数値ＩＤｊ、並びに局
秘密情報ｄ_jを入手する。

【００４６】ステップ３０６では、時刻妥当性確認手段
３０８において時刻情報ｔの妥当性が確認される。本実
施例では端末局ｊが処理を行っている現在時刻ｔ´と時
刻情報ｔとの差が端末局ｉから端末局ｊへの伝送遅延程
度であるか否かが確認される。すなわち適宜の許容誤差
△ｔを用いて、ｔ´−ｔ＜ △ｔであることを調べる。妥当性が確認された場合、ステッ
プ３０７へ進み、妥当でない場合には第３者の成り済ま
しがあったものとして処理を中止する。

【００４７】ステップ３０７では、受信側鍵生成手段２
１０において中央局２０１から入手した公開情報、局秘
密情報、及び端末局ｉから送信された情報を基に、タイ
ムスタンプＴ及び端末局ｊの共有鍵Ｋ_jiが、Ｔ＝ｈ₂（ｔ）Ｋ_ji＝（Ｘ_if ^e ・ｈ₁（ＩＤｉ）^T ）^dj mod ｎに従って定められる。

【００４８】ステップ３０８では、端末局ｊは生成した
共有鍵Ｋ_jiの値が、端末局ｉが生成した共有鍵Ｋ_ijの値
に一致するか否かが暗号技術を利用して確認される。暗
号通信によって端末局ｉと端末局ｊが同一の鍵情報を持
つことを確認する具体的方法として以下の方法がある。［プロトコル］１．端末局ｉは乱数Ｒを生成し端末局ｉへ送る。２．端末局ｊは別の乱数Ｒ´を生成し、共有鍵Ｋ_jiで乱
数Ｒと乱数Ｒ´の連結を暗号化し、Ｖ＝Ｅ（Ｋ_ji，Ｒ‖Ｒ´）を得る。端末局ｊはＶを端末局ｉへ送る。３．端末局ｉはＶを共有鍵Ｋ_ijで復号し、Ｗ＝Ｅ（Ｋ_ij，Ｖ）を得る。Ｗの前半部が端末局ｉが最初に生成した乱数Ｒ
と一致していれば、端末局ｉは端末局ｊが共有鍵Ｋ_ijと
同じ鍵を持っていることを確認する。また、端末局ｉは
Ｗの後半部を端末局ｊへ送る。４．端末局ｊは端末局ｉ
から送られてきた情報が自分が生成した乱数Ｒ´に一致
していれば端末局ｉが自局の鍵Ｋ_jiと同じ鍵を持ってい
ることを確認する。

【００４９】この方法は秘密鍵暗号に基づく相手認証プ
ロトコルと呼ばれる通信方法の一実現法である。相手認
証プロトコルによれば、第３者に対して秘密にしたいＫ
_ij又はＫ_jiを直接通信回線に流すことなしに相手局が自
局と同じ鍵を所有していることを確認できる。なお、Ｋ
_ijとＫ_jiが一致することを確認する方法はこの方法に限
定されない。

【００５０】これが公開鍵の認証機能である。Ｋ_ji＝Ｋ
_ijであることが確認された場合、端末局ｊは正規の送信
局から送信され、かつ伝送誤りのない暗号化された情報
であると認証する。すなわち、端末局ｉ，ｊは同一の鍵
を共有することになる。次に、第３者による成り済まし
について説明する。

【００５１】仮に、端末局ｊ以外の第３者が中央局２０
１からＹｊなどの公開情報を得、更に何等かの方法で局
秘密情報Ｓｉを盗用しても、従来と同様に第３者は乱数
情報ｒ_iの値を推定できなく、更に本実施例で用いてい
る時刻情報ｔの値を知ることができない。それで、Ｋ_ij
に暗号化された端末局ｉの送信電文の安全性は保たれる
ことになる。

【００５２】また、第３者が端末局ｉに成り済まして端
末局ｊに対し再送攻撃を行っても、その再送攻撃時の時
刻情報ｔ₀の値は端末局ｉの正規の送信時の時刻情報ｔ
と必ず異なることになるので、端末局ｊは再送攻撃に対
し共有鍵Ｋ_jiの生成を中止する。次に、本実施例と岡本
栄司氏の方式との違いを説明する。

【００５３】本実施例では共有鍵Ｋ_ij（Ｋ_ij＝ｇ^ri mo
d ｎ）は端末局ｉが定める乱数情報のみに依存し、端末
局ｊに関するパラメータを含まない。このような特徴は
３つ以上の端末局の間で鍵を共有する場合に大きな利点
になる。すなわち、端末局ｉ，ｊ．ｋの三者が鍵共有す
る場合、端末局ｉは端末局ｊと上述の鍵共有方式を用い
てＫ_ijを共有する。同様に端末局ｉは、同じ乱数情報及
び時刻情報を用いて、同時に端末局ｋとＫ_ikを共有す
る。その結果、端末局ｉ，ｊ，ｋの三者間ではｇ^ri mo
d ｎを鍵として共有することになる。四者以上の場合で
も全く同様である。

【００５４】なお、ここに示した鍵共有手続きには時刻
情報ｔが含まれ、特定の時刻に作成された鍵共有情報Ｘ
_ijは第３者による再送攻撃時には無効になるので、時刻
情報ｔを利用した本発明は再送攻撃を防ぐことができ
る。

【００５５】しかしながら、この鍵共有法では、送信局
ｉの秘密情報Ｓｉが、受信局ｊとｋの結託により漏洩す
る可能性がある。以下に受信局ｊとｋの結託による攻撃
法を説明する。受信局ｊは、送信局ｉからの鍵配送情報
Ｘ_ijと局秘密情報ｄ_jから次のＺ_ijを計算する。Ｚ_ij＝Ｘ_ij ^dj mod ｎ＝Ｓi ^Tdj ・Ｇ^er1 mod ｎ同様に、受信局ｋは、送信局からの鍵配送情報Ｘ_ikと局
秘密情報ｄ_kから次のＺ_ikを計算する。Ｚik＝Ｘ_ik ^dk mod ｎ＝Ｓi ^Tdk ・Ｇ^eri mod ｎ受信局ｊとｋの結託により以下のＺｉを求める。Ｚ_i＝Ｚ_ij／Ｚ_ik mod ｎ＝Ｓi ^T(dj ^-dk ⁾ mod ｎ

【００５６】一方、Ｓｉ^e ＝ｈ₁（ＩＤ_i）^-1mod ｎな
る情報は公開されているのでＧＣＤ（ｅ，Ｔ（ｄ_j−ｄ
_k））＝１であれば、次式を満たす整数（ａ，ｂ）をユ
ークリッドの互除法により求められる。ａ・ｅ＋ｂ・Ｔ（ｄ_j−ｄ_k）＝１この整数（ａ・ｂ）を利用することにより、次式の計算
でＳｉを求めることができる。（ｈ₁（ＩＤ_i）^-1）^a ・Ｚｉ^b ＝Ｓｉ mod ｎ

【００５７】以上の攻撃は、局秘密情報であるｄ_j，ｄ
_kを受信局が自由に利用できることを前提としている。
逆に、局秘密情報ｄ_j，ｄ_kは受信局であってもその値
を知らないデータであって、その秘密情報は鍵配送情報
から鍵を求める段階の限られた用途にしか利用できない
ように装置構成されている状況では、上記攻撃は不可能
である。

【００５８】以上のように、グループ鍵共有にも適用可
能にするためには、特殊な装置構成を採用する必要があ
る。図４は、その一実施例である。図４に示した装置
は、図３ステップ３０７におけるＫ_ji＝（Ｘ_ij ^e ・ｈ₁
（ＩＤ_i）^T ）^dj mod ｎの計算を実行するものであ
る。４０２，４０３，４０４の３つは、べき乗剰余計算
器であり、４０５は剰余乗算器である。４０６は演算に
必要な数値を格納するメモリであり、局秘密情報ｄ_j、
システムの公開鍵ｅ、ｎが記憶される。４０１はこれら
の要素部品を封止した媒体であり、例えばＩＣカードが
これに相当する。この装置の利用者は、（Ｘ_ij，ｈ
₁（ＩＤ_i），ｈ₂（ｔ））の３つのデータを入力とし
て与えて、出力としてＫ_jiを得ることができる。しか
し、利用者であってもメモリ４０６から局秘密情報ｄ_j
を読み出したり、あるいは、装置４０１内の信号の流れ
を変更したりすることはできない。図４には、べき乗剰
余計算器３個と剰余乗算器１個を内蔵した装置を示した
が、これらは、べき乗剰余計算器１個と剰余乗算器１個
で構成することも可能であるし、ソフトウェアで実現す
ることも可能である。また、装置４０１内に関数ｈ₁，
ｈ₂の演算器を内蔵し、入力として（Ｘ_ij，ＩＤ_i，
ｔ）を与えるように構成することも可能である。さらに
は、暗証照合などの手法により正当な利用者であると判
断した場合にのみ演算結果が得られるように構成するこ
ともできる。

【００５９】以上説明したように、本発明の方式では、
送信側端末局ｉが乱数情報ｒ_iを自ら生成するので、暗
号通信の度に簡単に鍵共有情報Ｘ_ij及び共有する鍵ｋ_ij
を変えることができる。また、鍵共有のために通信ネッ
トワークに流す鍵共有情報Ｘ_ijは時刻情報ｔに依存して
いるので、ある時刻に作成した鍵共有情報Ｘ_ijを後で再
び利用することは困難である。さらに、鍵Ｋ_ijは送信者
の乱数情報ｒ_iのみに依存するので、多数の受信側端末
局宛に個別に鍵共有情報を送ることで３者以上の間での
鍵共有も可能である。実際に３者以上で安全に利用でき
るシステムとするためには、送信者秘密情報の漏洩を防
止するために局秘密情報の不正使用が困難であるような
装置構成を取る必要がある。

【００６０】さらには、本発明では、１つの素数を法と
するのではなく２つの素数の積を法としているため、端
末局認証用の局秘密情報を用いて認証機能を実現してい
る。なお、３つ以上の素数の積を法とする方式に比べて
メモリ、計算量の節約となる。次に、平文Ｍの暗号化及
び解読のために適合された本発明の第２実施例に係わる
暗号通信システムのブロック図を図５に示す。

【００６１】図示するように、本実施例の暗号通信シス
テムは、第１実施例の暗号通信システムに送信側鍵生成
手段２０７で生成される共有鍵Ｋ_ijを基に平文Ｍから暗
号文Ｃを作成する暗号文生成手段２１２と、受信側鍵生
成手段２１０で生成される共有鍵Ｋ_jiを基に暗号文Ｃを
解読する復号手段２１３とを加えて構成される。

【００６２】上記構成において、図６に示したフローチ
ャートに従い、送信側端末局ｉと受信側端末局ｊとの間
で平文Ｍの暗号化及び解読をする暗号化通信方法につい
て説明する。本実施例では前述した第１実施例と同様
に、ｋ＝２とし、ステップ６０１では端末局ｉは中央局
２０１から公開情報及び局秘密情報Ｓｉを入手する。

【００６３】ステップ６０２では、乱数情報ｒ_i、時刻
情報ｔ、公開情報、及び局秘密情報Ｓｉをもとに鍵共有
情報作成手段２０６において、タイムスタンプＴ及び鍵
共有情報Ｘ_ijが、Ｔ＝ｈ₂（ｔ）Ｘ_ij＝Ｓi ^T ・（Ｙj ^e ・ｈ₁（ＩＤj ））^ri mod ｎに従って作成される。ステップ６０３では、ステップ６
０２で定められた第１の暗号文Ｃ₁及び時刻情報ｔが端
末局ｊへ送信される。また同時にステップ６０４では、
端末局ｉは送信側鍵生成手段２０７において共有鍵Ｋ_ij
が、Ｋ_ij＝ｇ^ri mod ｎに従って定められる。ステップ６０５では、暗号文生成
手段２１２において平文Ｍが上記共有鍵Ｋ_ijを用いて、Ｃ＝Ｅ（Ｋ_ij，Ｍ）に従って暗号文Ｃに暗号化される。ここで、記号Ｅ（Ｋ
_ij，Ｍ）は共有鍵Ｋ_ijに基づいて平文Ｍを暗号化する手
続を表す。代表例として、ＤＥＳ方式及びＦＥＡＬ方式
が挙げられる。

【００６４】次いで、端末局ｊはステップ６０６におい
て中央局２０１から公開情報である法ｎ、公開鍵ｅ、非
負整数ｋ、疑似ランダム関数ｈ₁( )及びｈ₂( ) 、及
び数値ＩＤｊ、並びに局秘密情報ｄ_jを入手する。

【００６５】次いで、ステップ６０７では時刻妥当性確
認手段２０８において時刻情報ｔの妥当性が確認され
る。この確認手順は第１実施例と同様である。妥当性が
確認された場合、ステップ６０８へ進み、妥当でない場
合には第３者の成り済ましがあったものとして処理を中
止する。

【００６６】ステップ６０８では、受信側鍵生成手段２
１０において中央局２０１から入手した公開情報、局秘
密情報ｄ_j、及び端末局ｉから送信された鍵共有情報Ｘ
_ij及び時刻情報ｔを基に、タイムスタンプＴ及び端末局
ｊの共有鍵Ｋ_jiが、Ｔ＝ｈ₂（ｔ）Ｋ_ji＝（Ｘ_ij ^e ・ｈ₁（ＩＤｉ）^T ）^dj mod ｎに従って定められる。ステップ６０９では、復号手段２
１３において暗号文Ｃが上記共有鍵Ｋ_jiを用いて以下の
ように復号される。Ｍ´＝Ｄ（Ｋ_ji，Ｃ）

【００６７】ここで、記号Ｄ（Ｋ_ji，Ｃ）は暗号文Ｃを
共有鍵Ｋ_jiで復号する手続を表す。次にステップ６１０
において、端末局ｊは復号されたＭ´の内容を確認す
る。もし復号文Ｍ´が意味のある内容であるならば暗号
文Ｃは送信局側で正しい鍵で暗号化され、通信途上でも
誤り又は改ざんが生じなかったことが確認できる。不正
な第３者が成り済ましを試みても、正しい鍵を知らない
のでここで不正が発覚する。なお、復号文Ｍ´が正しく
復号された意味のあるメッセージかどうかを受信側で自
動的に確認したい場合には、予め送受信者間で取り決め
た冗長性をメッセージＭに付加しておけば良い。

【００６８】なお、ステップ６１０での確証機能が必ず
しも必要でない場合には、ｋ＝０、Ｓｉ＝Ｓｊ＝１、及
びｈ₁（ＩＤｉ）＝ｈ₁（ＩＤｊ）＝１と設定しても良
い。従って、平文Ｍは暗号文生成手段２１２で暗号化さ
れた後に受信側端末局ｊへ送られ、該受信側端末局ｊの
復号手段２１３において時刻情報ｔに依存した鍵共有情
報Ｘ_ijを用いて解読されるので、第１の実施例と同様
に、成り済ましによるメッセージの再送攻撃を受ける恐
れがない。

【００６９】次に、上記第２実施例を利用して暗号化さ
れた電子メールを送受信する第３実施例に係わる暗号通
信方法及び暗号通信システムについて図７乃至図１１を
用いて説明する。本実施例においても従来例で説明した
同報通信機能及び受信者不在を通知する機能がサポート
されており、図７に暗号通信システムの概念図を示す。

【００７０】図示するように、ユーザ１乃至ユーザ５が
双方向通信の伝送路６、７、８、９及び１０で接続され
る。ここで、ユーザ１乃至ユーザ５のそれぞれは第２実
施例における各端末局に対応する。

【００７１】また、ユーザ１からユーザ２を介してユー
ザ４へ送信され宛先不明のため返信されたメールの伝送
経路１１と、ユーザ１からユーザ３へ送信されたメール
の伝送経路１２とが破線で示されている。

【００７２】ユーザ１乃至ユーザ５のそれぞれは第２実
施例におけける各端末局と同様に中央局２０１に通信ネ
ットワークを介して接続され、中央局２０１から公開情
報及び局秘密情報を入手する。図８にユーザ１において
メールを暗号化し、次いでユーザ３において暗号化され
たメールを復号する暗号通信システムの一部のブロック
図を示す。

【００７３】図示するように、本実施例に係わる暗号通
信システムは第２実施例の暗号通信システムの第１暗号
文生成手段２１１を鍵共有情報作成手段２０６に置き換
え、更に送信部２０２に送信電文作成部２１４と、受信
部２０３に受信電文分離部２１５とを追加して構成され
る。

【００７４】送信電文作成部２１４は鍵共有情報作成手
段２０６で作成される鍵共有情報Ｘ_ij、暗号文生成手段
２１２で生成される暗号文Ｃ＝Ｅ（Ｋ，Ｍ）、時計２０
５から出力される時刻情報ｔ，及び中央局２０１からの
番号ＩＤｉ（ｉ＝１、２、…）を基にして図９に示され
るビット列から成る送信電文（電子メール）を作成す
る。

【００７５】受信電文分離部２１５は送信電文作成部２
１４から送信される電文を受信し、該電文から自局に係
わる鍵共有情報Ｘ_ij及び番号ＩＤｉを受信側鍵生成手段
２１０へ、時刻情報ｔを時刻妥当性確認手段２０８へ、
第２暗号文Ｃ＝Ｅ（Ｋ，Ｍ）を復号手段２１３へ送る。
ここで、暗号文Ｃ＝Ｅ（Ｋ，Ｍ）はユーザｉからユーザ
ｊへ送信される同報通信の平文Ｍの暗号文を意味する。

【００７６】なお、図７に示す電文の送信の場合には、
送信電文は、図１０に示すように送信者のアドレスＩＤ
₁，受信者のアドレスＩＤ₃，ＩＤ₄、鍵共有情報
Ｘ₁₁、Ｘ₁₃，Ｘ₁₄、時刻情報ｔ、及び暗号文Ｃ＝Ｅ
（Ｋ，Ｍ）から構成される。但し、Ｋは乱数ｒ₁から送
信側鍵生成手段２０７で作成される鍵情報である。ユー
ザ１、３、４における受信側鍵生成が正しく行われた場
合には、Ｋ＝Ｋ₁₁＝Ｋ₃₁＝Ｋ₄₁が成り立つ。

【００７７】以上の構成において、ユーザ１の送信電文
作成部２１４で作成された電文は伝送経路１２を通って
ユーザ３へ送信され、ユーザ３の受信電文分離部２１５
において送信者のアドレスＩＤ₁、鍵共有情報Ｘ₁₃、時
刻情報ｔ、及び暗号文Ｃ＝Ｅ（Ｋ，Ｍ）が選び出され
る。これらの情報を基にして、第２実施例と同様に暗号
文Ｃ＝Ｅ（Ｋ，Ｍ）が復号されて平文Ｍが得られる。ユ
ーザ３がこの暗号文を復号できる理由はＫ＝Ｋ₃₁となる
からである。また、同様にユーザ１からユーザ４へも同
時に電文が送信される。

【００７８】ここで、例えばユーザ４の宛先が不明で電
文がユーザ１に返送されてきた場合、ユーザ１は鍵共有
情報Ｘ₁₁を選び出し、次いで受信者と同様に暗号文Ｃ＝
Ｅ（Ｋ，Ｍ）を復号するための共有鍵Ｋ₁₁を作成する。
なすわち、Ｔ＝ｈ₂（ＩＤ₁）Ｋ₁₁＝（Ｘ₁₁ ^e ・ｈ₁（ＩＤ₁）^T ）^d1 mod ｎユーザ１は上記手順で作成した鍵Ｋ₁₁を用いてＣ＝Ｅ
（Ｋ，Ｍ）を復号する。すなわち、上記共有鍵Ｋ₁₁を用
いて暗号文Ｃ＝Ｅ（Ｋ，Ｍ）が、Ｍ´＝Ｄ（Ｋ₁₁，Ｃ）に従って復号文Ｍ´に復号される。この復号文Ｍ´は平
文Ｍに一致する。

【００７９】従って、本実施例の暗号通信システムを用
いることにより、一のユーザから多数の他のユーザへ暗
号化された電子メールを同時に送信することが可能であ
る。もちろん宛先となっているユーザ以外のユーザから
盗聴される虞は無い。また、鍵共有情報Ｘ_ijは乱数情報
ｒ_i及び時刻情報ｔから作成されるので、第３者の成り
済ましによる再送攻撃を受ける虞がない。また、電子メ
ールを受信するユーザは自局に関係する情報のみを取り
出し、暗号化された電子メールを復号することができ
る。

【００８０】さらに、図１１に示すように宛先不明のた
めメッセージが送信側のユーザに返送されても、共有鍵
Ｘ₁₁を送信文に付加しているため、送信者側のユーザは
暗号化された電子メールを容易に復号できる。つまり、
いかなる内容のメッセージが相手に届かなかったのかを
確認することができる。

【００８１】上記実施例では、各ユーザの間は全て双方
向の伝送路で網目状に接続しても良い。また、選択次第
では、電子メールの伝送は他のユーザを介して行えるの
で、使用状況に応じて必要最小限の伝送路のみを用いて
も良い。また、本実施例では多数のユーザに電子メール
を同時に伝送したが、受信側のユーザが単一であっても
良い。

【００８２】また、図９に示した送信電文には、更に付
加的な情報として、例えば伝送誤りを訂正するためのパ
リティビットなどを付け加えても良い。また、送信電文
内の配列順は適宜変えても良い。

【００８３】次に、上記第２実施例を利用して暗号化さ
れたデータをファイルに格納する第４実施例に係わる暗
号通信方法及び暗号通信システムについて図１２乃至図
１６を用いて説明する。

【００８４】本実施例は、計算機で扱うデータのセキュ
リティを確保するための一方法として、ファイル毎にユ
ーザがデータの内容を暗号化して適宜のメモリに格納
し、必要に応じて上記データ内容を復号して用いる方法
を具現化したものである。

【００８５】本実施例の暗号通信システムの端末局の構
成は第３実施例と全く同様であるが暗号化されたデータ
の行き先が異なる。つまり、図１２に本実施例と第３実
施例を比較して示すように、第３実施例では作成された
暗号情報はメッセージとして伝送路を介して相手のユー
ザへ送られたが、本実施例では作成された暗号情報は送
信部２０２から記憶装置にファイルとして格納され、別
の時刻に受信部２０３を介して読み出される。

【００８６】図１３にユーザ１がデータＭを暗号化して
メモリに格納し、必要になったときにメモリから読み出
し復号する場合の概念図を示す。この場合のメモリに格
納されるファイルの構成は図１４に示される。すなわ
ち、ファイルはフィイルヘッダにファイルＩＤ、ユーザ
ＩＤ、鍵復元情報Ｘ₁₁、時刻情報ｔを有し、ファイル本
体に暗号化データＣ＝Ｅ（Ｋ，Ｍ）を有する。ここで、
暗号鍵Ｋは、Ｋ＝ｇ^r1 mod ｎによって定まり、鍵復元情報Ｘ₁₁は第３実施例と同様に
定まる。復元する場合も第３実施例と同様に復元鍵Ｋ₁₁
が生成される。つまり、このとき正しく鍵が復元されれ
ばＫ＝Ｋ₁₁が成り立つ。

【００８７】図１５に読み出し可能なユーザを複数に拡
張した場合の概念図を示す。つまり、ユーザ１のみなら
ず、ユーザ３、ユーザ４も同様に読み出すことが可能で
ある。この場合のメモリに格納されるファイルの構成は
図１６に示される。すなわち、ファイルはファイルヘッ
ダにファイルＩＤ、ファイル作成者ＩＤ₁、ファイル利
用者ＩＤ₁、ＩＤ₃、ＩＤ₄、鍵復元情報Ｘ₁₁、時刻情
報ｔを有し、ファイル本体に暗号化データＣ＝Ｅ（Ｋ，
Ｍ）を有する。

【００８８】図１６ではファイル作成者ＩＤ₁とファイ
ル利用者ＩＤ₁が重複するのでファイル利用者ＩＤ記入
フィールドのＩＤ₁は省略されている。ＩＤ₁をこのフ
ィールドに陽に書いておいても良い。従って、本実施例
の暗号通信システムはファイルを暗号化してメモリする
と共に、必要に応じて読み出し復元する暗号通信方法に
適用可能である。本発明は、上記実施例に限定されるも
のではなく、適宜の設計的変更により、適宜の態様で実
施し得るものである。

【００８９】

【００９０】

【発明の効果】以上説明したように、本発明の暗号通信
方法によれば、受信側端末局で暗号化を解くために用い
られる鍵共有情報に加え、送信側端末局自身で該暗号化
を解くための鍵共有情報が含まれるように、鍵共有情報
を作成し、送信側の鍵を用いて送信したい平文を暗号化
し、この暗号化された平文と作成された前記鍵共有情報
とに基づいて作成された送信電文を受信側端末局へ送信
するようにしたので、例えば電子メールの送受信におい
て宛先に電子メールの受信者が存在しないような場合に
でも、通信システムを複雑にすることなく対処可能であ
る。

【図面の簡単な説明】

【図１】本発明の第１の実施例に係わる暗号通信シス
テムのブロック図。

【図２】中央局及び端末局で作成される情報の説明
図。

【図３】図１に示した暗号通信システムの端末局間で
の暗号通信方法を説明するフローチャート図。

【図４】３者以上の鍵共有を行う暗号システムに利用
される演算装置の構成図。

【図５】本発明の第２の実施例に係わる暗号通信シス
テムのブロック図。

【図６】図５に示した暗号通信システムの暗号通信方
法を説明するためのフローチャート図。

【図７】本発明の第３の実施例に係わる暗号通信方法
の概念図。

【図８】図７に示した暗号通信方法を実現する暗号通
信システムのブロック図。

【図９】図８に示した暗号通信システムで作成された
送信電文図。

【図１０】ユーザ１からユーザ３及びユーザ４へ送信
される電文図。

【図１１】宛先不明のためメッセージが送信側のユー
ザに返信された場合の処理の説明図。

【図１２】本発明の第４と第３の実施例との比較図。

【図１３】図に１２に示した暗号通信方法を説明する
ための概念図。

【図１４】図に示したメモリに格納されるフィルタの
構成図。

【図１５】図１２に示した暗号通信方法に対し読み出
し可能なユーザを複数に拡張した場合の概念図。

【図１６】図１５に示したメモリに格納されるファイ
ルの構成図。

【図１７】従来例を示した図。

【符号の説明】

２０１…中央局，２０２…送信部，２０３…受信部，２０４…乱数生成器，２０５…時計，２０６…鍵共有情報作成手段，２０７…送信側鍵生成手段，２０８…時刻妥当性確認手段，２０９…秘密鍵メモリ，２１０…受信側鍵生成手段，２１２…暗号文生成手段２１３…復号手段，２１４…送信電文作成部，２１５…送信電文分離部，４０１…演算装置，４０２、４０３、４０４…べき乗剰余計算器，４０５…剰余乗算器，４０６…データ・メモリ。

フロントページの続き (56)参考文献特開昭62−65150（ＪＰ，Ａ) 特開昭63−314586（ＪＰ，Ａ) 公開鍵暗号文の複号能力に基づく暗号方式について，電子情報通信学会技術研究報告，1990年５月17日，Ｖｏｌ．90 Ｎｏ．31（ＩＳＥＣ−90−５），29− 34 (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/08 H04L 12/54 H04L 12/58 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】伝送路を介して接続された受信側端末へ電
子メールを送信する送信側端末の電子メール通信方法で
あって、前記送信側端末は、共有鍵を用いて送信したい平文を暗号化し、該暗号化された平文を前記受信側端末にて復号の際に利
用される第1鍵共有情報と、該暗号化された平文を前記
送信側端末自身にて復号の際に利用される第２鍵共有情
報とを含む鍵共有情報群を作成し、送信元を示す前記送信側端末のアドレスと、宛先を示す
送信したい前記受信側端末のアドレスと、該暗号化され
た平文と、作成された該鍵共有情報群と、に基づいて電
子メールを作成し、該電子メールを該受信側端末へ送信するとともに、送信元を示す前記送信側端末のアドレスに基づいて、送
信した該電子メールが宛先不明で返送されてきた場合
に、該電子メールを受信し、受信した該電子メールに含まれる該第２鍵共有情報に基
づいて前記共有鍵を生成し、生成した前記共有鍵に基づ
いて該暗号化された平文を復号するようにしたことを特
徴とする電子メール通信方法。
【請求項２】伝送路を介して接続された受信側端末へ電
子メールを送信する送信側端末であって、共有鍵を用いて平文を暗号化する手段と、該暗号化された平文を前記受信側端末にて復号の際に利
用される第1鍵共有情報と、該暗号化された平文を前記
送信側端末自身にて復号の際に利用される第２鍵共有情
報とを含む鍵共有情報群を作成する手段と、送信元を示す前記送信側端末のアドレスと、宛先を示す
送信したい前記受信側端末のアドレスと、該暗号化され
た平文と、作成された該鍵共有情報群と、に基づいて電
子メールを作成し、伝送路を介し受信側端末へ送信する
手段とを備えるとともに、送信元を示す前記送信側端末のアドレスに基づいて、該
伝送路から、前記送信する手段で送信された該電子メー
ルが宛先不明で返送されてきた場合に、この電子メール
を受信する手段と、前記受信する手段により該電子メールを受信した場合
に、受信した該電子メールに含まれる該第２鍵共有情報
に基づいて前記共有鍵を生成し、生成した前記共有鍵に
基づいて該暗号化された平文を復号する手段とを、備え
たことを特徴とする送信側端末。