JP3600161B2 - 複製端末発見方法 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、複製端末発見方法に関し、特に、センタと複数の端末からなる通信システムにおける複製端末の存在を自動的に発見する複製端末発見方法に関する。
【０００２】
【従来の技術】
センタと複数の端末からなる通信システムにおいて、情報の秘匿や端末の認証を行なう方法として、以下のような方法がある。すなわち、センタは、セッション鍵で端末に暗号化通信を行なう。端末は、予め格納された個別の秘密鍵を用いてセッション鍵を生成または入手して、センタからの暗号通信を復号する。センタは、端末の秘密鍵で作成された認証情報を検査して端末認証を行なう。
【０００３】
このような方法では、秘密鍵をいかに安全に端末に格納するかが問題となる。そこで、不正なアクセスを物理的に困難にする対タンパー性を備えた耐タンパーデバイスに、秘密鍵を格納することが多く行なわれている。一般的に、耐タンパーデバイスとしてＩＣカードが用いられる。ＩＣカードに端末固有の秘密鍵を保持し、端末にこのＩＣカードを挿入して使用する方式が、ＧＳＭ方式の携帯電話や有料衛星放送のＳＴＢなどに実装されている。
【０００４】
しかしながら、近年はＩＣカードに対する攻撃の研究が進み、ＩＣカードの消費電流などから内部の秘密鍵を解読するＰｏｗｅｒ Ａｎａｌｙｓｉｓ Ａｔｔａｃｋｓなどが考案されており、ＩＣカードの安全性は充分ではない。秘密鍵が漏洩した場合は、秘密鍵を用いた複製端末の偽造が可能になる。複製端末による暗号通信の傍受を防ぐために、暗号通信を中止して、複製端末を排除するなどの対策を講じなくてはならない。
【０００５】
複製端末を発見する方法としては、暗号通信の内容が外部に漏れていることから推測する方法や、ブラックマーケットにおいて複製端末を定期的に調査するといった方法があった。このような方法は、発見の確実性が低く、発見までの時間もかかるうえ、人手によらず自動的に行なうことが困難である。
【０００６】
これに対処するために、複製端末を事前に検出する方法が、文献１［松下達之，渡邉祐治，古原和邦，今井秀樹，“ＩＴＳに適したコンテンツ配信における不正加入者の事前検出法，”２０００年暗号と情報セキュリティシンポジウム，ＳＣＩＳ２０００−Ｃ０９，２０００．］で提案されている。
【０００７】
【発明が解決しようとする課題】
しかし、上記従来の事前検出法では、同報通信網とＥｌＧａｍａｌ暗号と秘密分散法を前提としており、前提条件が多くて汎用性が低い。秘密分散法を利用して秘密鍵を作成すると、結託しきい値が存在することになり、結託に対して安全でない。センタが信頼できるものであっても、通信量と演算量が減らない。同一ラウンドにおいて、１端末あたり複数の秘密情報を扱うことができない。未受信対策が無い。乱数の条件が不明で安全性が不十分である。データベースが大きい。このように、システムの構成条件や動作手順が不十分で、不正端末を自動的に効率的に完全に排除することは困難であるという問題がある。
【０００８】
本発明は、上記従来の問題を解決して、複製端末を効率的に発見して排除することを目的とする。
【０００９】
【課題を解決するための手段】
上記の課題を解決するために、本発明では、センタとｎ台（ｎは自然数）の端末を含む通信システムの複製端末発見方法を、端末は、ラウンドごとに端末乱数を生成し、端末乱数に対する端末認証文を端末秘密鍵により生成し、端末認証文と端末乱数とをセンタ公開鍵で暗号化して端末暗号文としてセンタに送信し、センタは、センタ秘密鍵で端末暗号文を復号して端末認証文と端末乱数とを得て、端末公開鍵（センタが端末秘密鍵を管理している場合は端末秘密鍵）で端末認証文を検証し、ラウンドごとに、秘密情報の配送に使用した端末乱数と、端末の端末ＩＤとを、対応させて登録したデータベースを検索して、同一端末ＩＤでかつ異なる端末乱数が登録されている重複登録の有無を検査し、端末認証文の検証結果が正しく、かつ重複登録が無い端末の端末乱数と端末ＩＤをデータベースに登録し、この端末乱数を用いて、共通鍵を生成し、共通鍵により秘密情報を暗号化してセンタ暗号文として端末に送信し、端末は、センタ暗号文を受信し、端末乱数から共通鍵を生成し、センタ暗号文を共通鍵により復号して秘密情報を得る構成とした。
【００１０】
このように構成したことにより、端末はラウンドごとの秘密情報を入手するために、端末乱数に対する認証文を自身の秘密鍵により生成し、端末乱数と認証文をセンタの公開鍵により暗号化してセンタに送信しなければならないので、センタは同一ラウンドにおいて同じ端末秘密鍵をもつ端末から異なる端末乱数が送られてきた場合に複製端末の存在を発見できる。発見を恐れて複製端末が端末乱数を送らない場合には、複製端末は秘密情報を入手できないので、無効化することができる。同報通信網とＥｌＧａｍａｌ暗号と秘密分散法を前提とせず、前提条件が少ないため、汎用性（さまざまなシステムへの適用性）が高く、適用できるシステムが多い。結託しきい値がなく、任意に作成した秘密鍵を使用することができるので、結託に対して安全である。
【００１１】
また、データベース手段を、ラウンドごとに、秘密情報の配送に使用した端末乱数と端末ＩＤとを対応させて登録するデータベース手段とした。このような構成にしたことにより、データベースのサイズを小さくできる。
【００１２】
また、認証文生成手段および認証文検証手段を、ディジタル署名方式とした。このような構成にしたことにより、センタは、各端末の秘密鍵を直接管理する必要がなく、管理が容易となり、かつセンタの不正による端末の陥れを防ぐことができる。
【００１３】
また、認証文生成手段および認証文検証手段を、鍵付きハッシュまたは共通鍵暗号を用いたメッセージ認証符号（ＭＡＣ）方式とした。このような構成にしたことにより、センタは認証文の検証を高速に行うことができる。センタが信頼できるという前提があれば、端末とその乱数の認証にＭＡＣを利用できるので、通信量と演算量を最小限に抑えられる。
【００１４】
また、共通鍵生成手段を、端末乱数をそのまま共通鍵として出力する手段とした。このような構成にしたことにより、共通鍵を容易に生成できる。
【００１５】
また、公開鍵暗号化手段および公開鍵暗号復号手段の代わりに、乱数を用いた鍵共有法（例えばＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有法）を用いて共有した鍵を乱数として用いる構成とした。このような構成にしたことにより、端末とセンタが平等に乱数を生成することができる。
【００１６】
また、センタ暗号文にＭＡＣを含ませて改ざんや成りすましを検出する構成とした。このような構成にしたことにより、改ざんや成りすましを高速に検出できる。
【００１７】
また、センタ暗号文にディジタル署名を含ませて改ざんや成りすましを検出する構成とした。このような構成にしたことにより、センタは各端末の秘密鍵を管理することなく改ざんや成りすましを検出できる。
【００１８】
また、秘密情報を、センタと端末のセッション鍵とする構成とした。このような構成にしたことにより、センタと各端末の間において一時的な暗号通信や認証に利用できるセッション鍵を共有できる。
【００１９】
また、秘密情報を、センタと複数の端末で共有されるグループ鍵とする構成とした。このような構成にしたことにより、センタと各端末の暗号化同報通信に利用できるグループ鍵を共有できる。
【００２０】
また、センタの送信情報としてセンタ乱数を追加し、前記センタ乱数に対して端末が認証文を生成し、センタは前記認証文を検証することにより、認証方式がチャレンジ−レスポンス認証となり安全性を向上できる。
【００２１】
また、センタ乱数を、複数の端末に共通のセンタ乱数とした。このような構成にしたことにより、端末総数だけ必要であったセンタ乱数が１つで済む。
【００２２】
また、１ラウンドにおいて秘密情報が複数種類存在する場合、端末が端末暗号文に所望の秘密情報の種類を指定し、かつ同一ラウンドにおいては常に同じ端末乱数を端末暗号文に使用し、センタは、同一ラウンドにおいて同一の端末乱数が使用された端末暗号文に対して指定された種類の秘密情報を端末乱数より生成した共通鍵により暗号化して配送する構成とした。このような構成にしたことにより、秘密情報が複数種類存在しても複製端末を発見することができる。
【００２３】
また、端末がセンタからの通信を受信できない場合、センタに対して現在のラウンド番号を問い合わせる問い合わせ手段を端末に備え、問い合わせた結果、端末とセンタのラウンド番号が異なる場合に、端末がセンタに再送を要求する再送要求手段とを備えた構成とした。このような構成にしたことにより、端末がセンタからの情報を受信できない場合にも、複製端末の発見および秘密情報の配布を再開できる。
【００２４】
また、通信システムを、同報通信システムとした。このような構成にしたことにより、センタ乱数を同報通信して通信量を削減でき、グループ鍵を用いた暗号化同報通信も実現できる。
【００２５】
また、端末乱数生成手段を、同じ乱数を出力する乱数生成器を他に作成できず、かつ偶然他の乱数生成器の出力と同じ出力となる確率が無視できる出力長を持つという条件を満たすものとした。このような構成にしたことにより、一定の攻撃に対して充分安全を確保できる。
【００２６】
また、グループ鍵の配布の途中において、複製端末が発見された場合、グループ鍵を未配布の端末の端末公開鍵（センタが端末秘密鍵を管理している場合は端末秘密鍵）によりグループ鍵を暗号化して未配布の端末に配布する手段を備えた。このような構成にしたことにより、早期にグループ通信を再開することができる。ただし、端末数に依存した通信量が必要となるので、端末数が小さい場合にのみ有効である。
【００２７】
【発明の実施の形態】
以下、本発明の実施の形態について、図１〜図８を参照しながら詳細に説明する。
【００２８】
（第１の実施の形態）
本発明の第１の実施の形態は、センタと複数台の端末が、個々のセッション鍵で暗号通信する通信網により接続された通信システムにおいて、センタが各端末に新規セッション鍵を配布する際に、端末で発生した乱数が複製困難なことを利用して端末ＩＤの重複を検査することで複製端末を発見する方法である。
【００２９】
図１は、本発明の第１の実施の形態における複製端末発見方法の流れ図である。図１において、センタＣは、各端末にセッション鍵を配布する機関である。通信路Ｎは、暗号通信可能な無線または有線の通信媒体である。端末Ｔ_ｉは、センタＣとセッション鍵で暗号通信を行なう通信装置である。端末は複数台あり、ｉは各端末にユニークな端末ＩＤである。端末は１台でもよい。フェーズ＃１は、複製端末を発見するための手続きを行なう段階である。フェーズ＃２は、センタＣから端末Ｔ_ｉにセッション鍵を配送するための手続きを行なう段階である。
【００３０】
図２は、本発明の第１の実施の形態における複製端末発見方法に用いるセンタの構成図である。図２において、乱数生成手段１は、擬似乱数を生成する手段である。送信手段２は、有線または無線でデータを端末に送信する手段である。公開鍵暗号復号手段３は、センタＣの公開鍵で暗号化された暗号文を復号する手段である。認証文検証手段４は、端末秘密鍵で暗号化された認証文を端末公開鍵で復号して検証する手段である。データベース手段５は、端末との交信記録をまとめたデータベースである。検出手段６は、データベースを検索して端末の重複を検出する手段である。共通鍵生成手段７は、端末との共通鍵を端末乱数から生成する手段である。共通鍵暗号化手段８は、端末との共通鍵でセッション鍵を暗号化する手段である。
【００３１】
図３は、本発明の第１の実施の形態における複製端末発見方法に用いる端末の構成図である。図３において、乱数生成手段１は、複製困難な擬似乱数を生成する手段である。送信手段２は、有線または無線でデータをセンタに送信する手段である。共通鍵生成手段７は、センタとの共通鍵を端末乱数から生成する手段である。共通鍵暗号復号手段９は、共通鍵で暗号化されたセッション鍵を復号する手段である。認証文生成手段１０は、端末乱数とセンタ乱数を端末秘密鍵で暗号化して認証文を生成する手段である。公開鍵暗号化手段１１は、認証文と端末乱数をセンタ公開鍵で暗号化する手段である。
【００３２】
図４は、本発明の第１の実施の形態における複製端末発見方法の複製端末発見フェーズ（フェーズ＃１）の流れ図である。図５は、本発明の第１の実施の形態における複製端末発見方法のセッション鍵配送フェーズ（フェーズ＃２）の流れ図である。
【００３３】
上記のように構成された本発明の第１の実施の形態における複製端末発見方法の動作を説明する。最初に、図１を参照して、複製端末発見方法の原理を説明する。複製端末発見方法は、センタＣにしか解読できないように暗号化されて端末Ｔ_ｉから送信された端末乱数Ｒ_ｉ ^ｂと端末認証文を、センタＣで検証し、端末認証文が正しく、かつ現時点において同じ端末ＩＤを持つ端末から異なる端末乱数Ｒ_ｉ ^ｂが送信されていない場合にのみ、この端末乱数Ｒ_ｉ ^ｂに依存して端末Ｔ_ｉにセッション鍵ＳＫ_ｉ ^ｂを与えるプロトコルである。ただし、上付きのｂはラウンド番号であり、ベキ乗の意味ではない。ラウンドは、セッション鍵の有効期間である。ラウンド番号は、端末ごとに独立であるので、厳密には端末ＩＤで識別できるようにすべきであるが、記載が煩雑になり、紛れることもないので、単にｂと書く。端末ＩＤのｉやラウンド番号ｂを省略することもある。
【００３４】
複製端末発見方法は、複製端末発見フェーズとセッション鍵配送フェーズの２つのフェーズからなる。複製端末発見フェーズ（フェーズ＃１）では、センタＣは、チャレンジ−レスポンス認証により、端末Ｔ_ｉと、その端末Ｔ_ｉがセンタＣの公開鍵により暗号化して配信した端末乱数Ｒ_ｉ ^ｂを認証する。この端末乱数Ｒ_ｉ ^ｂを用いて、端末Ｔ_ｉと共通鍵を共有する。センタＣは、データベースを検索して、端末識別符号の重複を検査する。同一端末ＩＤを持ち、異なる端末乱数を送信した端末Ｔ_ｉ’を検出すると、この端末ＩＤを持つオリジナル端末Ｔ_ｉの複製端末が存在すると判定できる。セッション鍵配送フェーズ（フェーズ＃２）では、センタＣは、複製端末のない端末Ｔ_ｉに対して、セッション鍵ＳＫ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂにより暗号化して配送する。
【００３５】
チャレンジ−レスポンス認証を説明する。センタＣは、センタ乱数Ｚ_ｉ ^ｂを生成して、チャレンジＣＨＡとして端末Ｔ_ｉに送信する。端末Ｔ_ｉは、センタＣから受信したセンタ乱数Ｚ_ｉ ^ｂと、自身が生成した端末乱数Ｒ_ｉ ^ｂに対して、自身の秘密鍵により生成した認証文を、レスポンスＲＥＳとしてセンタＣに送信する。これをセンタＣが検証することにより、端末Ｔ_ｉとその端末乱数Ｒ_ｉ ^ｂを認証する。ここで、センタＣは、端末Ｔ_ｉとその端末乱数Ｒ_ｉ ^ｂとの対応を確認する。ディジタル署名を用いる場合は、センタＣに各端末の秘密鍵を保管する必要がなく、鍵管理が容易となる。
【００３６】
端末乱数Ｒ_ｉ ^ｂの暗号化を説明する。同じ端末秘密鍵を保持する複製端末に対して端末乱数Ｒ_ｉ ^ｂを秘密にするために、センタ公開鍵により端末乱数Ｒ_ｉ ^ｂを暗号化する。または、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有法のような乱数を用いた方法により共有した鍵を、端末乱数の代わりに利用する。
【００３７】
データベースの検索を説明する。センタＣは、データベースを検索して、端末Ｔ_ｉに既にセッション鍵ＳＫ_ｉ ^ｂを配送済みか確認する。配送済みならば、配送に使用した端末乱数Ｒ_ｉ ^ｂ’と、送信されてきた端末乱数Ｒ_ｉ ^ｂとを比較して、不一致ならば、端末Ｔ_ｉの複製端末が存在すると判断する。端末Ｔ_ｉは、同一ラウンドでは同じ乱数を用いるので、複製端末が存在しない限り、異なる端末乱数Ｒ_ｉ ^ｂを用いたレスポンスＲＥＳ_ｉ ^ｂは来ない。ただし、端末乱数Ｒ_ｉ ^ｂ’と端末乱数Ｒ_ｉ ^ｂのどちらが複製端末の乱数であるかは区別できない。また、複製端末が複数ならば、端末乱数Ｒ_ｉ ^ｂ’と端末乱数Ｒ_ｉ ^ｂが共に複製端末の乱数である可能性があるが、複製端末が単数複数いずれの場合でも、複製端末発見方法により複製端末の存在を検出できる。
【００３８】
共通鍵ＣＫ_ｉ ^ｂの生成を説明する。正しく認証され、かつ複製端末が発見されない端末Ｔ_ｉと、センタＣは、その端末Ｔ_ｉの端末乱数を使って共通鍵を共有する。ここで、共通鍵の生成には、センタＣと端末乱数の保持者のみが生成できる方法を使う必要がある。最も単純な方法は、端末乱数をそのまま共通鍵として用いる方法である。
【００３９】
セッション鍵ＳＫ_ｉ ^ｂの暗号化を説明する。センタＣは、共通鍵ＣＫ_ｉ ^ｂを用いて、セッション鍵ＳＫ_ｉ ^ｂを暗号化する。端末Ｔ_ｉは、センタＣと同様に、端末乱数Ｒ_ｉ ^ｂより共通鍵ＣＫ_ｉ ^ｂを生成する。共通鍵ＣＫ_ｉ ^ｂを使ってセッション鍵ＳＫ_ｉ ^ｂを復号する。端末秘密鍵Ｓ_ｉが漏洩しても、端末乱数Ｒ_ｉ ^ｂがなければ、共通鍵ＣＫ_ｉ ^ｂは生成できないため、オリジナル端末と複製端末の集合の中で、セッション鍵ＳＫ_ｉ ^ｂを得ることができるのは、１台のみとなる。また、ここで使う暗号は、レスポンスＲＥＳ_ｉ ^ｂの場合と異なり、共通鍵暗号でよい。また、必要であればＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ：メッセージ認証符号）を併用して、改ざんや成りすましを検出する機能を追加できる。
【００４０】
セッション鍵ＳＫ_ｉ ^ｂの更新を説明する。センタＣは、一時横流しによるセッション鍵の漏洩に対処するために、定期的にセッション鍵を更新して、複製端末発見方法を実行する必要がある。この期間が短いほど、早く複製端末を発見・無効化できる。
【００４１】
セッション鍵ＳＫ_ｉ ^ｂが複数の場合を説明する。セッション鍵の種類が複数の場合は、各端末Ｔ_ｉは、同一ラウンドであれば同じ端末乱数を用いて、セッション鍵の種類を指定したレスポンスＲＥＳ_ｉ ^ｂを送信する。センタＣは、データベースより乱数が同じことを確認して、端末Ｔ_ｉが指定したセッション鍵を、同じ乱数による鍵で暗号化して配送する。
【００４２】
未受信対策を説明する。端末Ｔ_ｉが電源オフや、通信できない地域へ移動したことなどにより、チャレンジＣＨＡ_ｉ ^ｂやセッション鍵を受信できない場合のために、現在のラウンド番号をセンタに問い合わせる機能を、端末Ｔ_ｉに付加する。ラウンドが進んでいる場合に、端末Ｔ_ｉはセンタに再送を要求する。
【００４３】
以上のようにすることにより、複製端末を発見できる。正規の端末Ｔ_ｉが先にレスポンスＲＥＳ_ｉ ^ｂを送信し、複製端末がレスポンスＲＥＳ_ｉ ^ｂを送信しない場合には、複製端末は発見できないが、複製端末はセッション鍵を得ることができないので、実質的に無効化することができる。
【００４４】
第２に、図２、図３、図４を参照しながら、複製端末発見の手順（フェーズ＃１）の各ステップについて説明する。準備段階において、図示していない信頼できるシステム管理者は、センタ秘密鍵Ｓｃと、センタ公開鍵Ｙｃと、各端末Ｔ_ｉの端末秘密鍵Ｓ_ｉと、端末公開鍵Ｙ_ｉを生成する。センタＣに、センタ秘密鍵Ｓｃと端末公開鍵Ｙ_ｉを秘密に配布する。各端末Ｔ_ｉに、対応する端末秘密鍵Ｓ_ｉとセンタ公開鍵Ｙｃを秘密に配布する。
【００４５】
図４に示すフェーズ＃１−１で、図１に示すセンタＣは、図２の乱数生成手段１でセンタ乱数Ｚ_ｉ ^ｂを生成する。端末Ｔ_ｉに、セッション鍵の更新通知を兼ねるチャレンジ
ＣＨＡ_ｉ ^ｂ＝Ｚ_ｉ ^ｂ
を、送信手段２により送信する。
【００４６】
フェーズ＃１−２で、図３に示す端末Ｔ_ｉは、図３の乱数生成手段１により、端末乱数Ｒ_ｉ ^ｂを生成する。自身の端末秘密鍵Ｓ_ｉを用いて、端末ＩＤのｉと、センタＣからチャレンジＣＨＡ_ｉ ^ｂとして送られたセンタ乱数Ｚ_ｉ ^ｂと、端末乱数Ｒ_ｉ ^ｂとに対するディジタル署名ＳＩＧ（Ｓ_ｉ，（ｉ‖Ｚ_ｉ ^ｂ‖Ｒ_ｉ ^ｂ））を、認証文生成手段１０で生成する。ただし、（ｘ‖ｙ）は、ｘを上位桁とし、ｙを下位桁とする、符号の連接を示す。ＳＩＧ（ｘ，ｙ）は、鍵ｘを使ってｙのディジタル署名を計算することを示す。このディジタル署名を、端末認証文Ｄ_ｉ ^ｂとする。
【００４７】
センタ公開鍵Ｙｃを用いて、端末ＩＤのｉと、端末乱数Ｒ_ｉ ^ｂと、端末認証文Ｄ_ｉ ^ｂとに対する端末暗号文

を、公開鍵暗号化手段１１で生成する。ただし、ｘ［ｙ］は、ｙを鍵ｘで暗号化することを示す。これを、センタＣに、セッション鍵要求通知を兼ねるレスポンス

として、送信手段２で送信する。
【００４８】
フェーズ＃１−３で、図２のセンタＣは、図示しない受信手段で、端末Ｔ_ｉからのレスポンスＲＥＳ_ｉ ^ｂを受信し、公開鍵暗号復号手段３で、センタ秘密鍵Ｓｃを使ってレスポンスＲＥＳ_ｉ ^ｂを復号して、端末乱数Ｒ_ｉ ^ｂを得る。認証文検証手段４で、端末Ｔ_ｉの端末公開鍵Ｙ_ｉを用いて、ＳＩＧ（Ｓ_ｉ，（ｉ‖Ｚ_ｉ ^ｂ‖Ｒ_ｉ ^ｂ））を検証する。検証結果が正しい場合は、端末Ｔ_ｉと端末乱数Ｒ_ｉ ^ｂを認証したとして受付けて、フェーズ＃１−４へ進む。検証結果が不正の場合は、プロトコルを終了する。
【００４９】
フェーズ＃１−４で、センタＣは、検出手段６により、端末ＩＤをキーとして、端末ＩＤと配送に用いた乱数を関連付けて登録したデータベースが格納されたデータベース手段５を参照する。配送に用いた乱数が登録されていない、つまりセッション鍵ＳＫ_ｉ ^ｂが未配送の場合は、データベースに端末乱数Ｒ_ｉ ^ｂを記録して、フェーズ＃１−５へ進む。配送に用いた乱数が登録されている、つまりセッション鍵ＳＫ_ｉ ^ｂが配送済みの場合は、データベースに記録された端末乱数Ｒ_ｉ ^ｂ’と受信した端末乱数Ｒ_ｉ ^ｂが等しいならフェーズ＃１−５へ進む。異なるなら、複製端末を発見したと判断して、プロトコルを終了する。
【００５０】
フェーズ＃１−５で、センタＣは、図２の共通鍵生成手段７により、端末乱数Ｒ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂとする。
【００５１】
第３に、図２、図３、図５を参照しながら、セッション鍵配送の手順（フェーズ＃２）の各ステップを説明する。重複が検出されなかった端末に対してのみ、センタＣはセッション鍵を配送する。
【００５２】
図５に示すフェーズ＃２−１で、センタＣは、共通鍵暗号化手段８により、セッション鍵ＳＫ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂで暗号化したセンタ暗号文
ＥＣ_ｉ ^ｂ＝ＣＫ_ｉ ^ｂ［ＳＫ_ｉ ^ｂ］
を生成して、送信手段２により端末Ｔ_ｉに送信する。
【００５３】
フェーズ＃２−２で、端末Ｔ_ｉは、図示してない受信手段により、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＳＫ_ｉ ^ｂ］）を受信する。端末乱数Ｒ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂとして、図３の共通暗号復号手段９により、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＳＫ_ｉ ^ｂ］）を復号し、セッション鍵ＳＫ_ｉ ^ｂを得る。端末Ｔ_ｉが、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＳＫ_ｉ ^ｂ］）を受信できなかった場合は、フェーズ＃１−２において生成したレスポンスＲＥＳｉ^ｂを、センタＣに再送する。
【００５４】
第４に、乱数生成器の条件を説明する。端末に組込まれる乱数生成手段が満たすべき条件は、「同じ乱数を出力する乱数生成器を他に作成できないこと、かつ偶然他の乱数生成器の出力と同じ出力となる確率が無視できる出力長を持つこと」である。これは、乱数生成器の構造は複製できても、乱数またはシードの元となる状態が複製できないものであって、かつ出力が１２８ｂｉｔ程度あるものであれば満たされる。したがって、次の１２８ｂｉｔ乱数生成器は条件を満たす。
・ホワイトノイズなどを利用した真性乱数生成器
・予測困難な常に変化する各端末固有の状態により更新されるシードを入力とする擬似乱数生成器または擬似乱数生成ソフトウェア
【００５５】
このようなシードとして、以下のものやその組合せがある。
・端末のメモリの状態やシステムクロックの値
・端末の動作に関する時間，時刻，回数
【００５６】
第５に、安全性について説明する。複製端末発見方法は、複製端末の発見を目的とする。攻撃者は複製端末を偽造して暗号通信を解読することを目的とする。まず、複製端末発見方法において想定される攻撃について説明する。複製端末発見方法では、既に攻撃者が複製対象となるオリジナル端末の秘密鍵を保持していることを前提とした攻撃を想定する。端末秘密鍵を不正に取得できる機会には、メンバが自身の端末を解析する場合と、メンバが自身の端末から目を離している間（紛失・充電時など）に攻撃者が端末を解析する場合と、複数のメンバの結託により他のメンバの秘密鍵を作成する場合などがある。この前提において、攻撃者は、複製端末を偽造して暗号通信の解読を試みる。
【００５７】
攻撃は、オリジナル端末はそのままに、攻撃者が残りの秘密情報（セッション鍵、乱数）を入手できる横流し攻撃と、オリジナル端末を改変するか、別の端末（複製端末）に入れ替えてしまうことにより、オリジナル端末を無効化する改変攻撃に分けられる。
【００５８】
横流し攻撃のうち、一時横流し攻撃では、ある時点において、オリジナル端末のセッション鍵か、このセッション鍵を得るための乱数が漏洩し、攻撃者が複製端末を偽造する。常時横流し攻撃では、定期的に、オリジナル端末のセッション鍵か、このセッション鍵を得るための乱数を、不正なメンバが横流しして、攻撃者が複製端末を偽造する。改変攻撃は、オリジナル端末を改変するか、複製端末に入れ替えることにより、オリジナル端末を無効化し、複製端末を使用しても発見させない攻撃である。
【００５９】
本実施の形態における複製端末発見方法は、一時横流し攻撃に対して複製端末を発見することを目的とする。常時横流し攻撃および改変攻撃は、以下の理由により考慮する必要がないと考える。
【００６０】
常時横流し攻撃は、横流しの頻度に依存して不正なメンバの通信コストや不正発覚の可能性が増加するため、不正なメンバは容易に実行できないと考えられる。
【００６１】
改変として、具体的に以下の２つの場合が考えられる。１つ目は、オリジナル端末の使用者が目を離した隙などに、攻撃者がオリジナル端末を複製端末と入れ替える場合である。この複製端末は、他の複製端末と乱数が同期しているとすれば、改変されたオリジナル端末を使用し続ける限り、乱数による複製端末の発見はできない。しかし、常時端末を使用しているオリジナル端末の使用者に気付かれない複製端末を偽造することは、時間やコストの面から難しいと考える。また、物理的な改変を検出することは、情報の複製を検知することに比べ、一般に容易かつ低コストであるので、これを併用して対処できる。
【００６２】
２つ目は、オリジナル端末の使用者が、攻撃者または攻撃者に協力する不正なメンバの場合である。オリジナル端末の乱数生成器を複製端末と同期するように改変するか、同期する複製端末に入れ替えることにより、オリジナル端末を無効化する。１つ目より、不正なメンバの協力により成功する可能性が高い。しかし、不正発覚時に所有する改変した端末または複製端末により、不正なメンバであることを特定されてしまうため、容易に実行できない。また、端末を故障させて常に同じ乱数を出力させることにより、複製端末と乱数生成器を同期させる攻撃は、一定期間ログを保存・解析することにより検出できる。
【００６３】
以上の検討より、複製端末発見方法では、以下の仮定が満たされるとする。このとき、複製端末発見方法は安全である。
１．攻撃者は複製対象となる端末の秘密鍵を保持する。
２．一時横流し攻撃が可能である。
３．常時横流し攻撃および改変攻撃は困難である。
４．端末に上に定義した乱数生成器が組込まれる。
５．オリジナル端末はメンバにより使用される。
６．共通鍵暗号方式、公開鍵暗号方式、ＭＡＣおよびディジタル署名方式は安全である。
【００６４】
仮定１と２は現実的に起こりうる。一方、仮定３の攻撃は理論的には可能だが、攻撃者の負担が大きく、現実的にはあまり起こりえないと予測されるため考慮しない。仮定３〜５により、オリジナル端末に対する入替えや改変は行われず、かつ前述の乱数生成器をメンバが必ず使用すると仮定できる。仮定６については、共通鍵暗号方式として鍵長１２８ｂｉｔ程度の共通鍵暗号を利用し、公開鍵暗号方式として鍵長１０２４ｂｉｔ程度のＲＳＡ暗号やＥｌＧａｍａｌ暗号や、鍵長１６０ｂｉｔ程度の楕円ＥｌＧａｍａｌ暗号を利用し、ＭＡＣとして鍵長１２８ｂｉｔ程度の共通鍵暗号や、出力１２８ｂｉｔ程度の鍵付きハッシュ関数を利用し、ディジタル署名として鍵長１０２４ｂｉｔ程度のＤＳＡ署名やＲＳＡ署名や、鍵長１６０ｂｉｔ程度の楕円ＤＳＡ署名を利用することにより満たされる。
【００６５】
一時横流し攻撃に対する安全性について説明する。攻撃者が入手可能な情報は、オリジナル端末の秘密鍵と、攻撃に成功した時点のラウンドのセッション鍵と、対応する乱数である。以上により偽造された単数または複数の複製端末と、オリジナル端末が存在すると考える。
【００６６】
攻撃時点のラウンドのセッション鍵が更新されたとき、オリジナル端末が先にレスポンスＲＥＳを送信し、後から複製端末がレスポンスＲＥＳを送信した場合は、乱数の違いから複製端末を発見できる。レスポンスＲＥＳを送信しなければ、複製端末はセッション鍵を得られないため、実質的に無効化される。一方、複製端末が先にレスポンスＲＥＳを送信し、後からオリジナル端末がレスポンスＲＥＳを送信した場合は、乱数の違いから複製端末を発見できる。
【００６７】
つまり、オリジナル端末と複製端末の集合の内、セッション鍵を得られるのは常に１台であり、この内１台でもレスポンスＲＥＳを送信すれば、複製端末を発見または無効化できる。ここで、前述の仮定により、集合の内最低１台はレスポンスＲＥＳを送信するので、この攻撃に対して複製端末発見方法は安全である。
【００６８】
他の攻撃に対する安全性について説明する。偽造以外には、レスポンスＲＥＳを再送するＲｅｐｌａｙ Ａｔｔａｃｋがある。レスポンスＲＥＳに対して、センタは、共通鍵により暗号化したセッション鍵を配送するので、通信量は増加するが、乱数が無ければ復号はできないので問題ない。また、仮定により、暗号化関数と認証文生成関数が安全なので、暗号文の解読・レスポンスＲＥＳに対する成りすまし・改ざんは困難である。改変攻撃で述べたような端末を故障させる攻撃に対しては、センタが過去のデータベースを記録・検査すれば対処できる。したがって、過去の全てのラウンドのデータベースを保持・検査することが最も安全であるが、実際にはコストと安全性のトレードオフで、一定期間のデータベースのみを保持することになる。センタによる端末の陥れに関しては、センタが端末の秘密鍵を保持していないために困難である。
【００６９】
第６に、従来技術と比較して違いを説明する。本方法は、公開鍵ｅ３３ｂｉｔ、法・秘密鍵１０２４ｂｉｔのＲＳＡとし、従来法は、ｐを１０２４ｂｉｔ、ｑを１６０ｂｉｔ、ハッシュ関数の出力を１２８ｂｉｔとして比較する。ただし、ＲＳＡは一般に良く用いられる中国人剰余定理により秘密鍵の演算を高速化する方法の利用を考慮する。演算量は、全パラメータ１０２４ｂｉｔのベキ乗剰余１回を１として換算する。また、ｎは端末総数、ｋは結託しきい値である。共通鍵暗号・ＭＡＣの演算量とＩＤのサイズは無視する。このとき、本方法はレスポンス検証の演算量以外は従来法より効率的である。
【００７０】

【００７１】
上記のように、本発明の第１の実施の形態では、複製端末発見方法を、センタと複数台の端末が、個々のセッション鍵で暗号通信する通信網により接続された通信システムにおいて、センタが各端末に新規セッション鍵を配布する際に、端末で発生した乱数が複製困難なことを利用して端末ＩＤの重複を検査することで複製端末を発見する構成としたので、複製端末の存在を自動的に検出して排除できる。
【００７２】
（第２の実施の形態）
本発明の第２の実施の形態は、センタと複数台の端末が、共通のグループ鍵により暗号通信する同報通信網により接続された通信システムにおいて、センタが各端末に新規グループ鍵を配布する際に、端末で発生した乱数が複製困難なことを利用して端末ＩＤの重複を検査することで複製端末を発見する方法である。
【００７３】
図６は、本発明の第２の実施の形態における複製端末発見方法の流れ図である。図６において、センタＣは、各端末にグループ鍵を配布する局である。通信路Ｎは、同報暗号通信可能な無線または有線の通信媒体である。端末Ｔ_ｉは、センタＣとグループ鍵で暗号通信を行なう通信装置である。端末は複数台あり、ｉは各端末にユニークな端末ＩＤである。端末は１台でもよい。フェーズ＃１は、複製端末を発見するための手続きを行なう段階である。フェーズ＃２は、センタＣから端末Ｔ_ｉにグループ鍵を配送するための手続きを行なう段階である。本発明の第２の実施の形態における複製端末発見方法のシステム構成は、基本的に第１の実施の形態と同じである。
【００７４】
図７は、本発明の第２の実施の形態における複製端末発見方法の複製端末発見フェーズ（フェーズ＃１）の流れ図である。図８は、本発明の第２の実施の形態における複製端末発見方法のグループ鍵配送フェーズ（フェーズ＃２）の流れ図である。
【００７５】
上記のように構成された本発明の第２の実施の形態における複製端末発見方法の動作を説明する。最初に、図６を参照して、複製端末発見方法の全体の動作を説明する。準備段階において、信頼できるセンタＣは、自身のセンタ秘密鍵Ｓｃとセンタ公開鍵Ｙｃと、各端末の端末秘密鍵Ｓ_ｉを生成して、各端末に、対応する端末秘密鍵Ｓ_ｉとセンタ公開鍵Ｙｃを秘密に配布する。
【００７６】
複製端末発見方法は、複製端末発見フェーズとグループ鍵配送フェーズの２つのフェーズからなる。複製端末発見フェーズ（フェーズ＃１）では、センタＣは、チャレンジ−レスポンス認証により、端末Ｔ_ｉと、その端末Ｔ_ｉがセンタＣの公開鍵により暗号化して送信した端末乱数Ｒ_ｉ ^ｂを認証する。この端末乱数Ｒ_ｉ ^ｂを用いて、端末Ｔ_ｉと共通鍵を共有する。センタＣは、データベースを検索して、端末ＩＤの重複を検査する。同一端末ＩＤを持ち、異なる端末乱数を送信した端末Ｔ_ｉ’を検出すると、この端末ＩＤを持つオリジナル端末Ｔ_ｉの複製端末が存在すると判定できる。グループ鍵配送フェーズ（フェーズ＃２）では、センタＣは、複製端末のない端末Ｔ_ｉに対して、グループ鍵ＧＫ^ｂを共通鍵ＣＫ_ｉ ^ｂにより暗号化して配送する。第１の実施の形態と表現を合わせるために、チャレンジ−レスポンス認証による形態を示したが、本発明においては、センタによるチャレンジは必須でないため、実装するシステムにおける制限や安全性より効率を重視する場合は、センタはチャレンジを送信しなくても構わない。
【００７７】
複製端末発見フェーズ（フェーズ＃１）において、センタＣは、全端末に、同報通信網Ｎを用いて、共通のチャレンジＣＨＡを同報する。各端末が、共通のチャレンジＣＨＡに対して、個別のレスポンスＲＥＳを返す。
【００７８】
チャレンジ−レスポンス認証を説明する。端末は、センタからの全端末共通のセンタ乱数Ｚ^ｂと、自身が生成した端末乱数Ｒ_ｉ ^ｂに対して、自身の端末秘密鍵により生成したＭＡＣをレスポンスＲＥＳとして、センタに送信する。これをセンタが検証することにより、端末とその端末乱数Ｒ_ｉ ^ｂを認証する。ここで、センタは、端末とその端末乱数との対応を確認する。ＭＡＣでは、センタが全端末の端末秘密鍵を保管する必要があるが、処理が軽い。同報通信網を利用したことにより、チャレンジＣＨＡを、各端末で共通化できる。
【００７９】
端末乱数Ｒ_ｉ ^ｂの暗号化を説明する。同じ端末秘密鍵を保持する複製端末に対して、端末乱数を秘密にするため、センタ公開鍵により端末乱数を暗号化する。または、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有法のような乱数を用いた方法により共有した鍵を、端末乱数の代わりに利用する。
【００８０】
データベースの検索を説明する。センタは、データベースを検索して、端末Ｔ_ｉに、既にグループ鍵ＧＫ^ｂを配送済み（端末乱数Ｒ_ｉ ^ｂ’が登録されている）か確認する。配送済みならば、配送に使用した端末乱数Ｒ_ｉ ^ｂ’と、送信されてきた端末乱数Ｒ_ｉ ^ｂを比較して、不一致ならば、端末Ｔ_ｉの複製端末が存在すると判断する。端末Ｔ_ｉは、同一ラウンドでは同じ乱数を用いるので、複製端末が存在しない限り、異なる端末乱数Ｒ_ｉ ^ｂを用いたレスポンスＲＥＳは来ない。ただし、端末乱数Ｒ_ｉ ^ｂ’と端末乱数Ｒ_ｉ ^ｂのどちらが複製端末の乱数であるかは区別できない。また、複製端末が複数ならば、端末乱数Ｒ_ｉ ^ｂ’と端末乱数Ｒ_ｉ ^ｂが共に複製端末の端末乱数である可能性があるが、いずれの場合でも、複製端末発見方法により複製端末を発見できる。
【００８１】
共通鍵ＣＫ_ｉ ^ｂの生成を説明する。センタは、正しく認証され、かつ複製端末が発見されない端末と、その乱数により共通鍵を共有する。ここで、共通鍵の生成には、センタと端末乱数の保持者のみが生成できる方法を使用する必要がある。最も単純な方法は、端末乱数をそのまま共通鍵として用いる方法である。
【００８２】
グループ鍵配送フェーズ（フェーズ＃２）において、センタＣは、複製端末のない端末Ｔ_ｉに対して、グループ鍵ＧＫ^ｂを共通鍵ＣＫ_ｉ ^ｂにより暗号化して配送する。グループ鍵ＧＫ^ｂの暗号化を説明する。センタは、共通鍵ＣＫ_ｉ ^ｂを用いて、グループ鍵ＧＫ^ｂを暗号化する。端末Ｔ_ｉは、センタと同様に、端末乱数Ｒ_ｉ ^ｂより共通鍵ＣＫ_ｉ ^ｂを生成する。共通鍵ＣＫ_ｉ ^ｂで、グループ鍵ＧＫ^ｂを復号する。端末秘密鍵Ｓ_ｉが漏洩しても、端末乱数Ｒ_ｉ ^ｂがなければ、共通鍵ＣＫ_ｉ ^ｂを生成できないため、オリジナル端末と複製端末の集合の中で、グループ鍵ＧＫ^ｂを得ることができるのは１台のみとなる。また、必要であればＭＡＣを併用して、改ざんや成りすましを検出する機能を追加できる。
【００８３】
グループ鍵ＧＫ^ｂの更新を説明する。センタは、一時横流しによるグループ鍵の漏洩に対処するために、定期的にグループ鍵を更新して複製端末発見方法を実行する必要がある。この期間が短いほど、早く複製端末を発見・無効化できる。
【００８４】
グループ鍵ＧＫ^ｂが複数の場合を説明する。グループ鍵の種類が複数の場合は、各端末は、同一ラウンドであれば同じ乱数を用いて、グループ鍵の種類を指定したレスポンスＲＥＳを送信する。センタは、データベースより、端末乱数が同じことを確認して、端末が指定したグループ鍵を、同じ乱数により暗号化して配送する。
【００８５】
未受信対策を説明する。端末が電源オフや通信できない地域へ移動したことなどにより、チャレンジＣＨＡやグループ鍵を受信できない場合のために、現在のラウンド番号をセンタに問い合わせる機能を端末に付加し、ラウンドが進んでいる場合に、端末はセンタに再送を要求する。
【００８６】
以上のようにすることにより、複製端末を発見できる。正規の端末が先にレスポンスＲＥＳを送信し、複製端末がレスポンスＲＥＳを送信しない場合には、複製端末は発見できないが、複製端末はグループ鍵を得ることができないので、実質的に無効化することができる。第１の実施の形態との違いは、ディジタル署名の代わりにＭＡＣを使用しているため、処理が高速であること、同報通信網の利用により、チャレンジＣＨＡを各端末で共通化できるので、通信量が少ないこと、セッション鍵の代わりにグループ鍵を配送していることである。安全性の違いは、センタは各端末の端末秘密鍵を保管するため、信頼できる機関であることが必要である点である。
【００８７】
第２に、図２、図３、図７を参照しながら、複製端末発見（フェーズ＃１）の各手順を説明する。図７のフェーズ＃１−１で、センタＣは、図２の乱数生成手段１によりセンタ乱数Ｚ^ｂを生成し、全端末に、グループ鍵の更新通知を兼ねるチャレンジ
ＣＨＡ^ｂ＝Ｚ^ｂ
を、送信手段２により送信する。ただし、上付きのｂはラウンド番号であり、ベキ乗の意味ではない。ラウンドは、グループ鍵の有効期間である。
【００８８】
フェーズ＃１−２で、各端末Ｔ_ｉは、図３の乱数生成手段１により、端末乱数Ｒ_ｉ ^ｂを生成する。認証文生成手段１０により、自身の端末秘密鍵Ｓ_ｉを用いて、端末ＩＤであるｉと、センタＣからのチャレンジＣＨＡ^ｂであるセンタ乱数Ｚ^ｂと、端末乱数Ｒ_ｉ ^ｂとに対するＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ：メッセージ認証符号）を生成して、端末認証文Ｄ_ｉ ^ｂとする。すなわち、
Ｄ_ｉ ^ｂ＝ＭＡＣ（Ｓ_ｉ，（ｉ‖Ｚ^ｂ‖Ｒ_ｉ ^ｂ））
を生成する。ただし、ＭＡＣ（ｘ，ｙ）は、鍵ｘを使って、ｙのメッセージ認証符号を計算することを示す。公開鍵暗号化手段１１により、センタＣのセンタ公開鍵Ｙｃを用いて、端末ＩＤと、端末乱数Ｒ_ｉ ^ｂと、端末認証文Ｄ_ｉ ^ｂとに対する端末暗号文

を生成する。これを、センタＣに、セッション鍵要求通知を兼ねるレスポンス

として、送信手段２により送信する。
【００８９】
フェーズ＃１−３で、図２のセンタＣは、図示しない受信手段により、端末Ｔ_ｉからのレスポンスＲＥＳ_ｉ ^ｂを受信する。公開鍵暗号復号手段３により、自身のセンタ秘密鍵Ｓｃを使って、レスポンスＲＥＳ_ｉ ^ｂを復号して、端末乱数Ｒ_ｉ ^ｂを得る。認証文検証手段４により、端末Ｔ_ｉの端末秘密鍵Ｓ_ｉを用いて、端末認証文Ｄ_ｉ ^ｂを検証する。検証結果が正しい場合は、端末Ｔ_ｉと端末乱数Ｒ_ｉ ^ｂを認証したとして受付けて、フェーズ＃１−４へ進む。検証結果が不正の場合は、プロトコルを終了する。
【００９０】
フェーズ＃１−４で、センタＣは、端末ＩＤと、グループ鍵の配送に用いた乱数とを関連付けて登録したデータベースが格納されているデータベース手段５を、検出手段６により、端末ＩＤをキーとして参照する。グループ鍵ＧＫ^ｂが未配送（端末乱数が登録されていない）の場合は、データベースに、端末乱数Ｒ_ｉ ^ｂを記録して、フェーズ＃１−５へ進む。グループ鍵ＧＫ^ｂが配送済み（端末乱数が登録されている）の場合は、データベースに記録された端末乱数Ｒ_ｉ ^ｂ’と、受信した端末乱数Ｒ_ｉ ^ｂが等しいなら、フェーズ＃１−５へ進む。異なるなら、複製端末を発見したと判断して、プロトコルを終了する。
【００９１】
フェーズ＃１−５で、センタＣは、共通鍵生成手段７により、端末乱数Ｒ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂとする。
【００９２】
第３に、図２、図３、図８を参照しながら、グループ鍵配送（フェーズ＃２）の各手順を説明する。図８に示すフェーズ＃２−１で、センタＣは、共通鍵暗号化手段８により、共通鍵ＣＫ_ｉ ^ｂを用いて、グループ鍵ＧＫ^ｂを暗号化したセンタ暗号文
ＥＣ_ｉ ^ｂ＝ＣＫ_ｉ ^ｂ［ＧＫ^ｂ］
を生成して、送信手段２により、端末Ｔ_ｉに送信する。
【００９３】
フェーズ＃２−２で、図３の端末Ｔ_ｉは、図示していない受信手段により、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＧＫ^ｂ］）を受信する。共通鍵暗号復号手段９により、端末乱数Ｒ_ｉ ^ｂを共通鍵ＣＫ_ｉ ^ｂとし、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＧＫ^ｂ］）を復号して、グループ鍵ＧＫ^ｂを得る。端末Ｔ_ｉが、センタ暗号文ＥＣ_ｉ ^ｂ（＝ＣＫ_ｉ ^ｂ［ＧＫ^ｂ］）を受信できなかった場合は、フェーズ＃１−２において生成したレスポンスＲＥＳを、センタＣに再送する。
【００９４】
従来技術と比較して違いを説明する。

【００９５】
本方法では、レスポンス検証の演算量以外は従来法より効率的である。特に、センタが信頼でき、かつ全体の通信量と端末の演算量が少ないという条件は移動体通信に適している。ＲＳＡの代わりに楕円ＥｌＧａｍａｌ暗号を用いることにより通信量をさらに削減することができるが、端末の演算量はＲＳＡの場合より増加する。従来法では、ＰＫＩにおける端末の公開鍵の証明書を検証する必要がない点が利点としてあるが、センタは予め検証した公開鍵を保管しておくことが可能なので、証明書の検証の演算量は無視できる。
【００９６】
グループに属する端末数が多いグループ通信システムにおいて、グループ鍵ＧＫ^ｂを配布中に複製端末を発見した場合、現在のグループ鍵ＧＫ^ｂ−１を用いた暗号通信を中止し、早期にＧＫ^ｂを用いた暗号通信を再開する必要がある。しかしながら、グループ鍵ＧＫ^ｂの配布に、端末ごとに双方向通信を必要とし、全端末にグループ鍵ＧＫ^ｂを配布完了するまでに時間がかかる場合がある。そこで、残りの端末の複製端末の検査は後回しとして、未検査の端末Ｔ_ｉに対して、端末秘密鍵Ｓ_ｉまたは端末公開鍵Ｙ_ｉによりグループ鍵ＧＫ_ｂを暗号化して配布することにより、高速に配布することが可能となる。
【００９７】
上記のように、本発明の第２の実施の形態では、複製端末発見方法を、センタと複数台の端末が、共通のグループ鍵により暗号通信する同報通信網により接続された通信システムにおいて、センタが各端末に新規グループ鍵を配布する際に、端末で発生した乱数が複製困難なことを利用して端末ＩＤの重複を検査することで複製端末を発見する構成としたので、複製端末の存在を自動的に検出して排除して、グループ鍵を配布できる。
【００９８】
【発明の効果】
以上の説明から明らかなように、本発明では、センタと複数台の端末を含む通信システムの複製端末発見方法を、センタで、ラウンドごとにセンタ乱数を生成し、前回ラウンドにおける秘密情報の更新通知とセンタ乱数をチャレンジとして端末に送信し、端末で、チャレンジを受信し、ラウンドごとの端末乱数を生成し、センタ乱数と端末乱数に対する端末認証文を端末秘密鍵により生成し、端末認証文と端末乱数とをセンタ公開鍵で暗号化して端末暗号文としてセンタに送信し、センタＣで、センタ秘密鍵で端末暗号文を復号して端末認証文と端末乱数とを得て、端末公開鍵で端末認証文を検証し、秘密情報の配送に使用した端末乱数と、端末ＩＤとを、対応させて登録したデータベースを検索して、同一端末ＩＤでかつ異なる端末乱数が登録されている重複登録の有無を検査し、端末認証文の検証結果が正しく、かつ重複登録が無い端末の端末乱数をデータベースに登録し、この端末乱数を用いて、共通鍵を生成し、共通鍵により秘密情報を暗号化してセンタ暗号文として端末に送信し、端末で、センタ暗号文を受信し、端末乱数から共通鍵を生成し、センタ暗号文を共通鍵により復号して秘密情報を得る構成としたので、センタは自動的に複製端末の存在を検知でき、発見を恐れて複製端末が乱数を送らない場合には、複製端末は秘密情報を入手できないので無効化することができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態における複製端末発見方法の流れ図、
【図２】本発明の第１の実施の形態における複製端末発見方法で使用するセンタの構成図、
【図３】本発明の第１の実施の形態における複製端末発見方法で使用する端末の構成図、
【図４】本発明の第１の実施の形態における複製端末発見方法の複製端末発見フェーズ（フェーズ＃１）の流れ図、
【図５】本発明の第１の実施の形態における複製端末発見方法のセッション鍵配送フェーズ（フェーズ＃２）の流れ図、
【図６】本発明の第２の実施の形態における複製端末発見方法の流れ図、
【図７】本発明の第２の実施の形態における複製端末発見方法の複製端末発見フェーズ（フェーズ＃１）の流れ図、
【図８】本発明の第２の実施の形態における複製端末発見方法のグループ鍵配送フェーズ（フェーズ＃２）の流れ図である。
【符号の説明】
１ 乱数生成手段
２ 送信手段
３ 公開鍵暗号復号手段
４ 認証文検証手段
５ データベース手段
６ 検出手段
７ 共通鍵生成手段
８ 共通鍵暗号化手段
９ 共通鍵暗号復号手段
１０ 認証文生成手段
１１ 公開鍵暗号化手段

Claims (18)

1. センタＣとｎ台（ｎは自然数）の端末Ｔ_ｉ（ｉは端末ＩＤ）を含む通信システムの複製端末発見方法において、
   前記端末Ｔ_ｉは、ラウンドｂにおける端末乱数Ｒ_ｉ ^ｂ（上付きｂはラウンド番号を示す添字）を生成し、前記端末乱数Ｒ_ｉ ^ｂに対する端末認証文Ｄ_ｉ ^ｂを端末秘密鍵Ｓ_ｉにより生成し、前記端末認証文Ｄ_ｉ ^ｂと前記端末乱数Ｒ_ｉ ^ｂとをセンタ公開鍵Ｙｃで暗号化して端末暗号文Ｅ_ｉ ^ｂとして前記センタＣに送信し、
   前記センタＣは、センタ秘密鍵Ｓｃで前記端末暗号文Ｅ_ｉ ^ｂを復号して前記端末認証文Ｄ_ｉ ^ｂと前記端末乱数Ｒ_ｉ ^ｂとを得て、端末公開鍵Ｙ_ｉ（センタが端末秘密鍵を管理している場合は端末秘密鍵Ｓ_ｉ）で前記端末認証文Ｄ_ｉ ^ｂを検証し、ラウンドごとに、秘密情報の配送に使用した前記端末乱数Ｒ_ｉ ^ｂと、前記端末Ｔ_ｉの端末ＩＤとを、対応させて登録したデータベースを検索して、同一端末ＩＤでかつ異なる端末乱数が登録されている重複登録の有無を検査し、前記端末認証文Ｄ_ｉ ^ｂの検証結果が正しく、かつ前記重複登録が無い前記端末Ｔ_ｉの前記端末乱数Ｒ_ｉ ^ｂと前記端末ＩＤを前記データベースに登録し、この端末乱数Ｒ_ｉ ^ｂを用いて、前記共通鍵ＣＫ_ｉ ^ｂを生成し、前記共通鍵ＣＫ_ｉ ^ｂにより秘密情報Ｋ_ｉ ^ｂを暗号化してセンタ暗号文ＥＣ_ｉ ^ｂとして前記端末Ｔ_ｉに送信し、
   前記端末Ｔ_ｉは、前記センタ暗号文ＥＣ_ｉ ^ｂを受信し、前記端末乱数Ｒ_ｉ ^ｂから共通鍵ＣＫ_ｉ ^ｂを生成し、前記センタ暗号文ＥＣ_ｉ ^ｂを前記共通鍵ＣＫ_ｉ ^ｂにより復号して前記秘密情報Ｋ_ｉ ^ｂを得ることを特徴とする複製端末発見方法。
2. センタＣとｎ台（ｎは自然数）の端末Ｔ_ｉ（ｉは端末ＩＤ）を含む通信システムの複製端末発見方式において、
   前記端末Ｔ_ｉは、ラウンドｂにおける端末乱数Ｒ_ｉ ^ｂ（上付きｂはラウンド番号を示す添字）を生成する端末乱数生成手段と、前記端末乱数Ｒ_ｉ ^ｂに対する端末認証文Ｄ_ｉ ^ｂを端末秘密鍵Ｓ_ｉにより生成する認証文生成手段と、前記端末認証文Ｄ_ｉ ^ｂと前記端末乱数Ｒ_ｉ ^ｂをセンタ公開鍵Ｙｃで暗号化して端末暗号文Ｅ_ｉ ^ｂを生成する公開鍵暗号化手段と、前記端末暗号文Ｅ_ｉ ^ｂを送信する端末側送信手段と、前記端末乱数Ｒ_ｉ ^ｂから共通鍵ＣＫ_ｉ ^ｂを生成する端末側共通鍵生成手段と、秘密情報Ｋ_ｉ ^ｂを前記共通鍵ＣＫ_ｉ ^ｂにより暗号化したセンタ暗号文ＥＣ_ｉ ^ｂを前記共通鍵ＣＫ_ｉ ^ｂにより復号化する共通鍵暗号復号手段とを備え、
   前記センタＣは、センタ秘密鍵Ｓｃで前記端末暗号文Ｅ_ｉ ^ｂを復号して前記端末認証文Ｄ_ｉ ^ｂと前記端末乱数Ｒ_ｉ ^ｂを得る公開鍵暗号復号手段と、前記端末認証文Ｄ_ｉ ^ｂを端末公開鍵Ｙｉ（センタが端末秘密鍵を管理している場合は端末秘密鍵Ｓ_ｉ）で検証する認証文検証手段と、ラウンドごとに、秘密情報の配送に使用した前記端末乱数Ｒ_ｉ ^ｂと前記端末Ｔ_ｉの端末ＩＤとを対応させて登録するデータベース手段と、前記データベースを検索して同一端末ＩＤでかつ異なる端末乱数が登録されている重複登録を検出する検出手段と、前記端末認証文Ｄ_ｉ ^ｂの検証結果が正しく、かつ前記重複登録が無い前記端末Ｔ_ｉの前記端末乱数Ｒ_ｉ ^ｂを用いて前記共通鍵ＣＫ_ｉ ^ｂを生成するセンタ側共通鍵生成手段と、前記共通鍵ＣＫ_ｉ ^ｂにより秘密情報Ｋ_ｉ ^ｂを暗号化した前記センタ暗号文ＥＣ_ｉ ^ｂを生成する共通鍵暗号化手段と、前記センタ暗号文ＥＣ_ｉ ^ｂを前記端末Ｔ_ｉに送信する送信手段とを備えたことを特徴とする複製端末発見方式。
3. 前記認証文生成手段および前記認証文検証手段を、ディジタル署名を用いる手段としたことを特徴とする請求項２記載の複製端末発見方式。
4. 前記認証文生成手段および前記認証文検証手段を、鍵付きハッシュまたは共通鍵暗号を用いたメッセージ認証符号（ＭＡＣ）を用いる手段としたことを特徴とする請求項２記載の複製端末発見方式。
5. 前記センタ側共通鍵生成手段および前記端末側共通鍵生成手段を、前記端末乱数Ｒ_ｉ ^ｂをそのまま前記共通鍵ＣＫ_ｉ ^ｂとして出力する手段としたことを特徴とする請求項２記載の複製端末発見方式。
6. 前記公開鍵暗号化手段と前記公開鍵暗号復号手段に代えて、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有法を含む乱数を用いた鍵共有法の１つを用いて鍵を共有する手段と、共有した鍵を改めて端末乱数として用いる手段とを設けたことを特徴とする請求項２記載の複製端末発見方式。
7. 前記センタＣに、前記センタ暗号文ＥＣ_ｉ ^ｂにメッセージ認証符号（ＭＡＣ）を含める手段を設け、前記端末Ｔ_ｉに、改ざんや成りすましを検出する手段を設けたことを特徴とする請求項２記載の複製端末発見方式。
8. 前記センタＣに、前記センタ暗号文ＥＣ_ｉ ^ｂにディジタル署名を含める手段を設け、前記端末Ｔ_ｉに、改ざんや成りすましを検出する手段を設けたことを特徴とする請求項２記載の複製端末発見方式。
9. 前記秘密情報Ｋ_ｉ ^ｂが、前記センタＣと前記端末Ｔ_ｉのセッション鍵ＳＫ_ｉ ^ｂであることを特徴とする請求項２記載の複製端末発見方式。
10. 前記秘密情報Ｋ_ｉ ^ｂを、前記センタＣと複数の端末で共有されるグループ鍵ＧＫ^ｂとしたことを特徴とする請求項２記載の複製端末発見方式。
11. 前記端末Ｔ_ｉは、前記センタＣから受信したセンタ乱数Ｚ_ｉ ^ｂと前記端末乱数Ｒ_ｉ ^ｂに対する端末認証文Ｄ_ｉ ^ｂを端末秘密鍵Ｓ_ｉにより生成する認証文生成手段を備え、
    前記センタＣは、前記センタ乱数Ｚ_ｉ ^ｂを生成するセンタ乱数生成手段と、前回ラウンドにおける秘密情報の更新通知と前記センタ乱数Ｚ_ｉ ^ｂを前記端末Ｔ_ｉに送信するセンタ側送信手段とを備えたことを特徴とする請求項２記載の複製端末発見方式。
12. 前記センタ乱数Ｚ_ｉ ^ｂを、複数の端末に共通のセンタ乱数Ｚ^ｂとしたことを特徴とする請求項２記載の複製端末発見方式。
13. 前記端末Ｔ_ｉに、同一ラウンドにおいて前記秘密情報が複数種類存在する場合に前記端末暗号文Ｅ_ｉ ^ｂに所望の秘密情報の種類を指定する手段と、同一ラウンドにおいては常に同じ前記端末乱数Ｒ_ｉ ^ｂを前記端末暗号文Ｅ_ｉ ^ｂに使用する手段とを設け、前記センタＣに、同一ラウンドにおいて同一の前記端末乱数Ｒ_ｉ ^ｂが使用された前記端末暗号文Ｅ_ｉ ^ｂにおいて指定された種類の秘密情報を、前記端末乱数Ｒ_ｉ ^ｂより生成した前記共通鍵ＣＫ_ｉ ^ｂにより暗号化して配送する手段を設けたことを特徴とする請求項２記載の複製端末発見方式。
14. 前記端末Ｔ_ｉに、前記センタＣからの通信を受信できない場合に前記センタＣに対して現在のラウンド番号を問い合わせる問い合わせ手段と、前記端末Ｔ_ｉと前記センタＣの前記ラウンド番号ｂが異なる場合に前記センタＣに再送を要求する再送要求手段とを設けたことを特徴とする請求項２記載の複製端末発見方式。
15. 前記通信システムが、同報通信システムであることを特徴とする請求項２記載の複製端末発見方式。
16. 前記センタ公開鍵Ｙｃと前記センタ秘密鍵Ｓｃと前記端末公開鍵Ｙ_ｉと前記端末秘密鍵Ｓ_ｉとを生成する手段と、前記センタ公開鍵Ｙｃを全端末に配布する手段と、前記センタ秘密鍵Ｓｃとすべての前記端末公開鍵Ｙ_ｉとを前記センタＣに配布する手段と、前記端末秘密鍵Ｓ_ｉを対応する前記端末Ｔ_ｉに配布する手段とを有する信頼できるシステム管理手段を前記通信システムに備えたことを特徴とする請求項２記載の複製端末発見方式。
17. 前記端末乱数生成手段は、同じ乱数を出力する乱数生成器を他に作成できず、かつ偶然他の乱数生成器の出力と同じ出力となる確率が無視できる出力長を持つという条件を満たすことを特徴とする請求項２記載の複製端末発見方式。
18. 前記グループ鍵ＧＫ^ｂの配布の途中において、複製端末が発見された場合、前記グループ鍵ＧＫ^ｂを未配布の端末Ｔ_ｉの端末公開鍵Ｙ_ｉ（センタが端末秘密鍵を管理している場合は端末秘密鍵Ｓ_ｉ）により前記グループ鍵ＧＫ^ｂを暗号化して前記未配布の端末Ｔ_ｉに配布する手段を備えたことを特徴とする請求項１０記載の複製端末発見方式。

Images